owasp/quantum-security-projectProyecto OWASP neutral respecto al proveedor que mapea los riesgos de seguridad de la era cuántica con una lista de los 10 principales riesgos, guía de mitigación y modelos de amenazas para la migración a la criptografía post-cuántica y la seguridad de plataformas cuánticas.
Prepárate hoy. Protege el mañana.
Un proyecto oficial de la comunidad OWASP que mapea los riesgos de seguridad de la era cuántica de forma práctica, neutral respecto a fabricantes y basada en riesgos: el antídoto contra la exageración y el miedo.
Estado: Fase de arranque. El Top 10 de OWASP de Riesgos de Seguridad Cuántica está en borrador v0.1 y abierto a las aportaciones de la comunidad. Es nuestro punto de partida, no la lista definitiva.
NIST, el NCSC del Reino Unido y las instituciones de la UE han publicado orientaciones concretas sobre criptografía poscuántica, agilidad criptográfica y mitigación de cosecha-ahora-descifra-después, mientras que los propios sistemas cuánticos pasan de la investigación a los entornos de nube y empresariales. Sin embargo, los equipos de seguridad siguen enfrentándose a tres carencias:
Este proyecto cierra esas brechas con un trabajo que es:
| Línea | Enfoque | Entregables clave |
|---|---|---|
| Línea 1 (principal, primer año) | Riesgos de seguridad cuántica y preparación | Top 10 de OWASP de Riesgos de Seguridad Cuántica, guía de mitigación y un Asistente de Evaluación de Preparación Cuántica |
| Línea 2 (paralela) | Modelado de amenazas para plataformas cuánticas | Modelos de amenazas, arquitecturas de referencia, mapeo de superficies de ataque y guía de diseño seguro para plataformas cuánticas |
El proyecto cuenta con el respaldo de expertos y está impulsado por la comunidad, con una revisión por pares abierta y transparente y la aprobación de los responsables del proyecto. Se están incorporando más responsables de grupos de trabajo y de entradas a medida que el proyecto madura.
Consulta la carta del proyecto para conocer la misión, el alcance, la gobernanza y las formas de trabajo.
Borrador v0.1. Cada entrada se encuentra en quantum-top-10/.
La ruta desde el borrador v0.1 hasta una v1 validada por la comunidad se describe en el plan de sprint y cronograma del proyecto.
QS01-QS07 abordan la superficie de migración: riesgos para las organizaciones cuya criptografía clásica existente debe sustituirse por equivalentes poscuánticos. QS08-QS10 abordan la superficie de plataforma: riesgos para las organizaciones que ejecutan cargas de trabajo en plataformas de computación cuántica.
| ID | Riesgo | Referencia principal |
|---|---|---|
| QS01 | Exposición de cosecha-ahora-descifra-después | Hoja de ruta de la UE finales de 2030; NCSC 2031; NSM-10 |
| QS02 | Datos sensibles de larga duración | Desigualdad de Mosca; Hoja de ruta de la UE finales de 2030 |
| QS03 | Firmas y firma de código vulnerables | NSA CNSA 2.0 para 2030; Anexo I del CRA |
| QS04 | Ausencia de inventario criptográfico y CBOM | NCSC 2028; Hoja de ruta de la UE finales de 2026 |
| QS05 | Fallos de agilidad criptográfica | Artículo 21(2)(h) de la NIS2; IETF PQUIP/TLS WG |
| QS06 | Migración insegura y uso indebido de modos híbridos | Hoja de ruta de la UE finales de 2030; prohibición de criptografía clásica independiente |
| QS07 | Raíces de confianza en hardware | Hito NCSC 2028; Anexo IV del CRA |
| QS08 | Fallos de aislamiento de inquilinos en QPU | Li et al. NDSS 2025; Xu et al. CCS 2023 |
| QS09 | Compromiso de la cadena de herramientas y del compilador | Suresh et al. HASP 2021; Chu et al. ICASSP 2023 |
| QS10 |
Cada entrada sigue una plantilla común: descripción, ejemplos comunes, prevención, escenarios de ataque de ejemplo, referencias y un mapeo normativo y de estándares.
El proyecto celebra una llamada comunitaria quincenal (lunes de 17:30 a 18:30, hora de Londres, a partir del 3 de agosto de 2026; consulta Comunidad y contacto para los detalles de Zoom y el calendario), con llamadas adicionales bajo demanda a medida que avanza el trabajo. Las presentaciones de cada llamada se publican en calls/, empezando por la presentación de arranque del proyecto; las presentaciones de llamadas posteriores se añaden allí cuando se producen.
Los comentarios y las contribuciones son bienvenidos: este es un proyecto comunitario y el Top 10 es explícitamente un borrador abierto a debate.
1. Clona el repositorio
git clone https://github.com/OWASP/quantum-security-project.git
cd quantum-security-project
2. Propón un cambio mediante una pull request
git checkout -b my-contribution
# edit or add entries under quantum-top-10/ (start from _template.md for new risks)
git commit -am "Describe your change"
git push -u origin my-contribution
A continuación, abre una pull request contra main. Fundamenta el contenido nuevo o revisado en estándares publicados, normativas o investigaciones revisadas por pares, y mantén el proyecto neutral respecto a fabricantes.
3. O comparte tus comentarios a través de GitHub Issues
¿Prefieres debatir antes de escribir un cambio? Abre un issue para sugerir un riesgo candidato, señalar un error, cuestionar la selección o el orden, o iniciar una conversación. Los issues son el mejor lugar para comentarios que aún no se convierten en una edición concreta.
Formularios rápidos de envío
Durante la fase de arranque también puedes contribuir a través de estos formularios sin usar GitHub:
#project-quantum-security — únete al Slack de OWASP873 2179 1672, código de acceso 701551). Añádela a tu calendario: Invitación ICS.El proyecto sigue las prácticas estándar de documentación y contribución de OWASP, incluido el Código de Conducta de OWASP y la neutralidad respecto a fabricantes.
El contenido se publica bajo la licencia Creative Commons Attribution-ShareAlike 4.0 (CC BY-SA 4.0).
| Exposición por canales laterales y del plano de control |
| Mi et al. CCS 2022; Xu et al. CCS 2023 |