Es posible crear un certificado digital que implemente algoritmos PQC (Post-Quantum Crypto). Vamos a demostrar como es posible generar un par de llaves ML-DSA y utilizarlas dentro de un certificado X.509, ya sea self-signed o firmado por un CA privado usando las herramientas CLI de OpenSSL.

Pre-requisitos

• El soporte para ML-DSA fue introducido a partir de OpenSSL 3.5.

• Existen algoritmos PQC para varios propósitos, pero en esta guía nos vamos a enfocar en algoritmos stateless y asimétricos para firmas digitales: ml-dsa-44, ml-dsa-65 y ml-dsa-87 (categorías de seguridad 128/192/256-bit).

• Tome en cuenta que el soporte en la actualidad a nivel de industria para este tipo de certificados sigue siendo limitado. No se recomienda utilizar este tipo de certificados TODAVIA en producción a no ser que sepa MUY BIEN lo que está haciendo.

• Esta vez vamos a utilizar Windows para nuestro tutorial, pero las instrucciones funcionan para cualquier sistema operativo en el que se pueda utilizar openssl 3.5+.

Utilizando la versión correcta de OpenSSL

• Bajar la versión más reciente de OpenSSL en versión ZIP para Windows de aquí:

    https://download.firedaemon.com/FireDaemon-OpenSSL/FireDaemon-OpenSSL-x64-3.6.0.exe
  

• Ejecute el instalador y asegúrese de habilitar la opción de agregar al PATH:

  

• Abra una sesión de DOS/command prompt y asegúrese de tener permisos de lectura/escritura en el directorio de trabajo que decida utilizar

  

Creando un CA

Vamos a enfocarnos en un ejemplo básico que no incluya un RA, el cual es un componente clave cuando se construye una infrastuctura de PKI. Por lo pronto, comenzamos creando el CA:

• Generar una llave privada ML-DSA (escoja ml-dsa-44 / -65 / -87)

    openssl genpkey -algorithm ml-dsa-87 -out ca-priv.pem
  

• Generamos un CA temporal para pruebas utilizando un certificado self-signed con una validez de 10 años:

    openssl req -x509 -new -key ca-priv.pem -subj "/CN=Test CA" -days 3650 -nodes -keyout ca.key -out ca.crt
  

Creación del certificado firmado por el CA

• Generar una llave privada ML-DSA (escoja ml-dsa-44 / -65 / -87)

    openssl genpkey -algorithm ml-dsa-65 -out mldsa65-priv.pem
  

• Extraiga la llave pública

    openssl pkey -in mldsa65-priv.pem -pubout -out mldsa65-pub.pem
  

• Crear un CSR

    openssl req -new -key mldsa65-priv.pem -subj "/CN=example.local" -out mldsa65.csr
  

• Crear un certificado self-signed con una validez de 1 año:

    openssl req -x509 -new -key mldsa65-priv.pem -subj "/CN=example.local" -days 365 -out mldsa65-self.crt
  

• Firmar el CSR con un CA cert+key

    openssl x509 -req -in mldsa65.csr -CA ca.crt -CAkey ca.key -CAcreateserial -days 365 -out mldsa65-by-ca.crt
  

Verificación

• Obtener una versión texto del certificado privado:

    openssl x509 -in mldsa65-by-ca.crt -text -noout
  

  

• Verificar el certificado firmado por el CA:

    openssl verify -CAfile ca.crt mldsa65-by-ca.crt
  

  

Conclusión

El Post-Quantum Cryptography (PQC) es el futuro, Microsoft ya comenzó a soportar librerías de PQC en .NET 10, Chrome Browser desde hace varios años empezó la adopción de PQC, y existen muchos otros ejemplos más de los gigantes de la industria adoptando estas prácticas.

Este laboratorio permite tener acceso a los mismos algoritmos y tecnología criptográfica que los gigantes de la industria están empezando a adoptar alrededor del planeta.