Resumen Técnico: MQTT en una Red IoT de Raspberry Pi 5 Utilizando Algoritmos de Firma Resistentes a la Cuántica

Declaración del Problema

La rápida proliferación de dispositivos del Internet de las Cosas (IoT) ha introducido millones de nodos con recursos limitados en infraestructuras críticas y de consumo. Estos dispositivos dependen de protocolos ligeros como Message Queuing Telemetry Transport (MQTT) para la comunicación. Sin embargo, la seguridad de estas redes se ve cada vez más amenazada por el advenimiento de la computación cuántica. Específicamente, el algoritmo de Shor representa un riesgo directo para la criptografía RSA y de curvas elípticas utilizada actualmente para asegurar las comunicaciones MQTT mediante TLS. Dado el largo ciclo de vida operativo de muchos dispositivos IoT (a menudo décadas) y los lentos ciclos de actualización de los sistemas desplegados, existe una necesidad urgente de transitar hacia la Criptografía Post-Cuántica (PQC) para garantizar la resiliencia a largo plazo.

El desafío principal en esta transición es la restricción de recursos del hardware IoT. Muchos algoritmos PQC requieren claves y firmas más grandes, lo que genera una sobrecarga computacional sustancial y problemas de asignación de memoria que podrían degradar el rendimiento de dispositivos ligeros.

Metodología

Para investigar la viabilidad de integrar PQC en entornos IoT con recursos limitados, los autores implementaron una red IoT funcional basada en MQTT utilizando tres unidades Raspberry Pi 5. El sistema modela una arquitectura estándar de publicación-suscripción:

1. Publicador: Una Raspberry Pi 5 conectada a un circuito de sensor de movimiento PIR HC-SR501. Detecta movimiento, lo traduce a una carga útil digital y publica mensajes en un tema específico (motion-sensor).
2. Agente (Broker): Una Raspberry Pi 5 central ejecutando el agente MQTT Mosquitto, responsable de enrutar mensajes entre el publicador y el suscriptor.
3. Suscriptor: Una tercera Raspberry Pi 5 que se suscribe al tema motion-sensor para recibir y registrar datos.

Implementación Criptográfica:
El estudio integra específicamente el esquema de firma digital FALCON, uno de los algoritmos PQC basados en retículos seleccionados por el NIST. FALCON fue elegido por su compacidad y eficiencia, presentando tamaños de clave y firma más pequeños en comparación con otros candidatos del NIST como CRYSTALS-Dilithium y SPHINCS+.

La implementación utilizó una pila de software compuesta por:

• OpenSSL: Para la gestión de TLS/SSL.
• liboqs: Una biblioteca de código abierto en C que proporciona algoritmos seguros contra la cuántica.
• oqs-provider: Una biblioteca compartida que permite a OpenSSL utilizar algoritmos seguros contra la cuántica (específicamente FALCON).
• Mosquitto: La biblioteca de agente/cliente MQTT, compilada con soporte PQC.

El sistema se configuró para utilizar FALCON-1024 para la autenticación basada en certificados, reemplazando el estándar RSA-2048 para asegurar las conexiones TLS 1.3 entre los dispositivos.

Contribuciones Clave

1. Implementación Práctica en Hardware: A diferencia de demostraciones anteriores que dependían de contenedores Docker (que abstraen las restricciones del hardware físico), este trabajo proporciona una implementación práctica en hardware real. Aborda restricciones del mundo real como la interfaz GPIO, la distribución física de certificados y las limitaciones de red inherentes a los puntos finales embebidos.
2. Flujo de Trabajo PQC de Extremo a Extremo: Los autores proporcionan un flujo de trabajo completo y operativo que incluye detección, publicación de mensajes, gestión por agente y suscripción, todo asegurado mediante técnicas seguras contra la cuántica. Esto incluye scripts para la configuración del entorno, generación de certificados e inicialización del sistema.
3. Evaluación de Rendimiento: El estudio mide empíricamente las compensaciones de rendimiento al desplegar PQC basada en retículos en hardware ligero, centrándose específicamente en los tiempos de generación de certificados.

Resultados

Los autores realizaron pruebas de rendimiento comparando los tiempos de generación de certificados de FALCON-1024 frente al algoritmo clásico RSA-2048 en los nodos Raspberry Pi 5. Las pruebas implicaron ejecutar los scripts de generación 25 veces para cada algoritmo en los dispositivos publicador y suscriptor.

• Rendimiento de FALCON-1024: El algoritmo FALCON generó certificados en aproximadamente 68–70 milisegundos en promedio.
• Rendimiento de RSA-2048: El algoritmo RSA requirió más de 300 milisegundos en los mismos dispositivos.

Contrario a la percepción común de que los algoritmos PQC son universalmente más costosos computacionalmente que las alternativas clásicas, los resultados indicaron que FALCON-1024 fue significativamente más rápido que RSA-2048 en este contexto específico. Los autores atribuyen esto al hecho de que la generación de certificados RSA está dominada por costosas pruebas de primalidad de enteros grandes y exponenciación modular, que escalan mal. En contraste, FALCON depende de aritmética polinómica sobre retículos NTRU y Transformadas Rápidas de Fourier, que son más eficientes en niveles de seguridad equivalentes.

Significado y Afirmaciones

El documento afirma que la integración de PQC en arquitecturas de mensajería IoT ligeras no solo es viable, sino que puede lograrse sin interrumpir la funcionalidad general del sistema. Las conclusiones clave incluyen:

• Viabilidad de FALCON: FALCON demuestra un rendimiento competitivo y, en el caso de la generación de certificados, superior en comparación con RSA en hardware embebido. Esto sugiere que algoritmos PQC específicos pueden ofrecer ventajas de rendimiento prácticas junto con beneficios de seguridad a largo plazo.
• Seguridad Proactiva: El estudio valida que PQC puede desplegarse proactivamente en infraestructuras IoT en lugar de esperar a que se materialice una amenaza cuántica. Esto es crucial dado el largo ciclo de vida de los dispositivos IoT.
• Agilidad Criptográfica: El uso modular de bibliotecas (OpenSSL, liboqs, oqsprovider) permite implementaciones seguras contra la cuántica sin modificar la lógica de MQTT a nivel de aplicación, facilitando una transición más suave hacia la seguridad post-cuántica.

Los autores concluyen que, aunque la PQC generalmente introduce sobrecarga, las características específicas de FALCON la convierten en una opción viable para asegurar infraestructuras IoT actuales y futuras, proporcionando una base para la agilidad criptográfica en la transición hacia un mundo post-cuántico.

Trabajo Futuro

El documento reconoce que FALCON depende de muestreo gaussiano de alta precisión y operaciones de punto flotante, lo que puede introducir fugas de tiempo y vulnerabilidades de canales laterales. Como dirección para trabajo futuro, los autores proponen evaluar SOLMAE, un esquema de firma basado en retículos similar a FALCON en compacidad pero diseñado con una resistencia explícita contra ataques de canales laterales, dentro del mismo banco de pruebas.