Preparar tu red para la encriptación resistente a la computación cuántica en TLS
Obtén información sobre la encriptación resistente a la computación cuántica en TLS y cómo verificar si los servidores web de tu organización están listos.
Este artículo está dirigido a los administradores de redes empresariales y educativas.
En iOS 26, iPadOS 26, macOS Tahoe 26 y visionOS 26, las conexiones protegidas por TLS anuncian automáticamente la compatibilidad con el intercambio de claves híbrido y resistente a la computación cuántica en TLS 1.3. Esto permite la negociación de un algoritmo de intercambio de claves resistente a la computación cuántica con servidores TLS 1.3 compatibles, a la vez que posibilita mantener la compatibilidad con servidores que aún no lo admiten. La encriptación resistente a la computación cuántica, también llamada “cifrado poscuántica”, está diseñada para evitar que un atacante registre el tráfico de conexión TLS y luego use una computadora cuántica más adelante para desencriptar el contenido.
El mensaje ClientHello de los dispositivos con iOS 26, iPadOS 26, macOS Tahoe 26 y visionOS 26 incluye X25519MLKEM768 en la extensión supported_groups (consulta el registro), junto con una clave compartida correspondiente en la extensión key_share. Los servidores pueden seleccionar X25519MLKEM768 si lo admiten, o usar otro grupo anunciado en el mensaje ClientHello.
Comprobar si un servidor web admite la encriptación resistente a la computación cuántica
A partir de macOS Tahoe 26, puedes comprobar si tu servidor HTTPS admite el algoritmo de intercambio de claves X25519MLKEM768 mediante el siguiente comando:
nscurl --tls-diagnostics https://test.example
Los servidores que admiten la encriptación resistente a la computación cuántica responden lo siguiente:
Versión TLS negociada (punto de código): 0x0304
Grupo de intercambio de claves TLS negociado (nombre): X25519MLKEM768
Conjunto de encriptación de TLS negociado (punto de código): 0x1302
Los servidores que no admiten la encriptación resistente a la computación cuántica seleccionan otros grupos compatibles durante el protocolo de enlace TLS para permitir que los dispositivos con iOS 26, iPadOS 26, macOS Tahoe 26 y visionOS 26 se conecten.
Solucionar problemas de conexión
Es posible que los dispositivos con iOS 26, iPadOS 26, macOS Tahoe 26 y visionOS 26 no puedan conectarse a algunos servidores antiguos debido a una implementación de TLS incorrecta que no puede leer mensajes ClientHello grandes. Hay más información disponible sobre este problema del servidor aquí.
Si necesitas conectar iOS 26, iPadOS 26, macOS Tahoe 26 y visionOS 26 a un servidor o dispositivo de red afectado por este problema antes de solucionarlo, puedes habilitar temporalmente un modo de compatibilidad para permitir que las conexiones se vuelvan a intentar sin anunciar la admisión de la encriptación resistente a la computación cuántica. Ten en cuenta que este es un modo de compatibilidad temporal que no estará disponible en una versión futura de iOS, iPadOS, macOS y visionOS.
Usa el siguiente comando para habilitar este modo de compatibilidad en macOS Tahoe 26:
defaults write com.apple.network.tls AllowPQTLSFallback -bool true
Los perfiles de configuración para habilitar este modo de compatibilidad en iOS 26, iPadOS 26, macOS Tahoe 26 y visionOS 26 mediante un servicio de control de dispositivos están disponibles en la página de Recursos de AppleSeed para TI.