Durant anys, la seguretat informàtica s'ha sostingut sobre pilars criptogràfics com RSA, ECDH i ECDSA. La imminent arribada de la computació quàntica posa aquests algoritmes a la corda fluixa, i la resposta instintiva de moltes organitzacions és pensar que n'hi ha prou amb actualitzar una llibreria. Tanmateix, la migració post-quàntica (PQC) no és un simple canvi de versió en un arxiu de configuració; és una transformació profunda que afecta cada racó de la infraestructura tecnològica. La complexitat rau en el el en el qual la criptografia no viu aïllada: està incrustada en TLS, en la malla de serveis, en l'autenticació OIDC, en els sistemes de gestió de claus (KMS), en la cadena de subministrament de programari i en els mateixos contenidors. Canviar un únic punt sense entendre el graf de dependències no només és insuficient, sinó que pot generar un estat híbrid ingovernable.
El primer error és tractar la migració com un projecte amb data d' inici i fi. En entorns cloud-native, els serveis es despleguen contínuament, les imatges base es reconstrueixen, els certificats roten i els proveïdors actualitzen les seves implementacions. Per això, la migració post-quàntica no pot ser un esdeveniment puntual; ha de convertir-se en un procés continu, un bucle de control que integri descobriment, priorització, pilotatge, enforcement i monitoratge. La cripto-agilitat —definida pel NIST com la capacitat de reemplaçar algoritmes mantenint seguretat i operacions— és l'objectiu real. Però per assolir-la es necessita alguna cosa més que bones intencions: es necessita un model operatiu.
Q2BSTUDIO, com a empresa especialitzada en aplicacions a mida i ciberseguretat, entén que la transformació digital no es pot aturar per un canvi criptogràfic. Per això, els seus equips integren la cripto-agilitat com un requisit arquitectònic des del disseny. La clau està en modelar cada dependència criptogràfica com a part d'un graf de confiança: no n'hi ha prou amb llistar servidors o certificats; cal registrar per a cada actiu el seu locus (on es pren la decisió criptogràfica), el protocol que el fa servir (TLS, mTLS, firma JWT, wrapping de claus), l'algoritme actual (clàssic, híbrid o PQC), la vida útil de les dades protegides, l'exposició (Internet, partners, intern), el proveïdor i propietari, i el camí de reemplaçament —ja sigui un canvi de política, rotació de certificats o una actualització de llibreria.
Una eina com el CycloneDX Cryptography Bill of Materials (CBOM) proporciona una representació estàndard d'aquesta informació, però és només el fonament. Sobre ell cal construir un sistema que respongui preguntes clau: on es fa servir criptografia de clau pública? quines dades i endpoints pateixen més exposició quàntica? quines dependències tenen algoritmes hardcodejats i quines es poden canviar mitjançant polítiques? quins clients i serveis poden negociar una manera híbrida? quins senyals de producció demostren que un desplegament és segur? La resposta a aquestes preguntes no pot dependre de fulls de càlcul; necessita un pla de control, similar al que fem servir per gestionar microserveis o infraestructura.
La fallada més comuna en els primers intents de migració és subestimar els problemes distribuïts que s'amaguen darrere de la criptografia. L'atac 'harvest now, decrypt later' (collita ara, desxifra després) converteix el trànsit xifrat actual en una amenaça futura, cosa que prioritza els canals de llarga durada amb dades confidencials. Però també hi ha trampes més subtils: dependències ocultes en imatges base, keystors de Java, SDKs, controladors de bases de dades o configuracions per defecte de sidecars. Si una dependència no està en l' inventari, no es pot prioritzar ni corregir. Un altre error és l' acoblament dur d' algorismes en el codi d' aplicació, que obliga a canvis manuals cada vegada que s' actualitza un paràmetre. La interoperabilitat híbrida afegeix un altre nivell de complexitat: clients i servidors no migren alhora, i una negociació mal configurada pot generar caigudes o un retrocés silenciós a modes clàssics, deixant el sistema tan vulnerable com abans.
El rendiment també se'n ressent. Els handshakes amb algoritmes PQC o híbrids incrementen la mida dels missatges, l'ús de CPU i la memòria. En una malla de serveis amb alta cardinalitat est-oest, aquest cost es multiplica. Una migració criptogràficament correcta pot col·lapsar els proxies o el pla de control si no s'anticipen aquestes càrregues. D'altra banda, la deriva de certificats i trust bundles és un clàssic: una porta d'enllaç confia en un nou emissor mentre un sidecar antic o un soci extern rebutja la cadena. Els certificats de suport temporals tendeixen a fer-se permanents si ningú assumeix la data de caducitat. L'asimetria dels serveis gestionats (IAM al núvol, OIDC, KMS) afegeix una capa extra d'incertesa: el llogater pot controlar la configuració de federació, però no les claus de signatura del proveïdor ni el seu calendari de migració.
Per abordar tot això, Q2BSTUDIO proposa un enfocament estructurat en set fases que es repeteixen contínuament: descobrir, classificar, abstreure, pilotar, forçar, monitoritzar i retirar. El descobriment combina escanejos estàtics, observació en temps d' execució i extracció del pla de control. La classificació ordena les dependències per vulnerabilitat algorítmica, vida de les dades, exposició, rol de confiança, propietat i dificultat de reemplaçament. L'abstracció trasllada les decisions algorítmiques després d'interfícies estables: biblioteques TLS configurables, polítiques de malla de serveis, emissors de certificats o APIs de KMS. El pilotatge activa modes híbrids en una població canari i executa proves de compatibilitat. L'enforcement utilitza polítiques de porta d'enllaç, configuracions de malla, controls d'admissió i gats en CI/CD per evitar desviacions. El monitoratge mesura latència, errors, CPU, validació de certificats, senyals de downgrade i completitud del CBOM. Finalment, la retirada deshabilita algoritmes clàssics només quan la telemetria demostra que ja no són necessaris o que totes les excepcions restants tenen propietari i data de caducitat.
Un aspecte crucial és que la migració ha de passar per estats explícits, no per un booleà 'PQC habilitat'. Cada dependència avança des de 'S0: solo clásico' fins a 'S4: llegat deshabilitat', passant per estats intermedis com 'híbrid capaç', 'híbrid preferit' i 'PQC primari'. La promoció entre estats s'autoritza amb evidència: èxit en handshake, capacitat del parell, absència de downgrade, validació de ruta, latència p95/p99, CPU del proxy i taxa d'errors. També han d' existir dues rutes d' escapament deliberades: una de rollback que retorni la dependència a l' estat anterior quan es cremi el pressupost d' error, i una altra d' excepció que permeti a un parell heretat romandre temporalment amb propietari responsable, controls compensatoris i data d' expiració. Sense aquests estats explícits, el suport híbrid esdevé un dual-stack permanent i els algoritmes clàssics mai arriben a desaparèixer.
El mesurament del progrés no s'ha de centrar en el nombre de tiquets oberts, sinó en respostes concretes: coneixem on es fa servir la criptografia? (cobertura de l'inventari, algoritmes desconeguts, completitud del CBOM); quines dependències vulnerables són més crítiques? (dades de llarga vida, endpoints públics, arrels de confiança); estan arribant els canvis a producció? (dependències híbrides o PQC habilitades, llegat deshabilitat); és el canvi segur? (fallades de handshake, retrocessos, alertes de downgrade, latència); i està controlat el risc residual? (deriva de polítiques, excepcions obertes, antiguitat mitjana d'excepcions). Una puntuació simple d' exposició quàntica pot combinar la vulnerabilitat de l' algoritme, el pes de la vida de les dades, l' exposició i la dificultat de reemplaçament. L'important no és la precisió matemàtica, sinó la transparència: els equips han de poder explicar per què es migra un endpoint abans que un altre.
Per a les organitzacions que vulguin començar de forma pràctica, Q2BSTUDIO recomana un pla de 90 dies. Els primers 30 es dediquen a establir visibilitat i propietat: inventariar endpoints públics, polítiques de malla, certificats i Secrets de Kubernetes, emissors OIDC, operacions de clau pública en KMS, claus de signatura i llibreries criptogràfiques. Cada dependència ha de tenir un propietari i una font d' evidència. Els següents 30 dies se centren a prioritzar i abstreure: identificar les dades confidencials de llarga vida, les vores exposades a Internet i les arrels de confiança crítiques. Les eleccions algorítmiques que puguin traslladar-se a polítiques de porta d'enllaç, malla, emissor o KMS s'han de moure com més aviat millor. Els últims 30 dies es dediquen a pilotar i instrumentar: seleccionar un canari de TLS públic o de malla de serveis on la població de clients sigui mesurable, definir llindars d'èxit, downgrade, rendiment i retrocés abans de canviar la política, i crear excepcions temporals per a parells no suportats.
Aquest enfocament aporta valor fins i tot abans que tots els proveïdors suportin tots els primitius PQC. Substitueix la incertesa per un camí de migració governat, on cada dependència és visible, té propietari, està classificada per risc i adjunta a una ruta de retrocés provada. La migració post-quàntica deixa de ser un dolor de cap per convertir-se en un procés controlat de transicions d'estat, l'essència de la cripto-agilitat cloud-native.
En aquest context, Q2BSTUDIO combina la seva experiència en programari a mida i ciberseguretat amb capacitats avançades en intel·ligència artificial i agents IA per automatitzar el descobriment de dependències criptogràfiques, classificar riscos i recomanar polítiques de mitigació. A més, els seus serveis cloud AWS i Azure permeten desplegar els plànols de control de cripto-agilitat de forma escalable, mentre que les solucions de Power BI i serveis intel·ligència de negoci transformen les dades d'inventari i telemetria en quadres de comandament accionables. Per a les empreses que busquen ja per a empreses que acceleri la migració, els models d'agents IA poden analitzar logs de trànsit, detectar desviacions i suggerir rollbacks automàtics. En definitiva, la migració post-quàntica no és una actualització de llibreria; és una oportunitat per repensar l'arquitectura de seguretat des dels seus fonaments, amb un enfocament àgil, governat i preparat per al futur.
