RSA-3072 tiene muchos más bits que ECC P-256 — ¿hace eso a RSA mucho más fuerte?
Respuesta breve
No. No puedes comparar la longitud bruta de clave entre familias de algoritmos distintas. Por cómo se endurece la matemática subyacente de cada uno, una clave de curva elíptica de 256 bits da aproximadamente la misma seguridad que una clave RSA de 3072 bits — unos 128 bits de fuerza, según NIST. Más grande no es simplemente más fuerte: ECC alcanza una fuerza equivalente con claves mucho más pequeñas, por eso lo prefieren los sistemas modernos. Dentro de un mismo algoritmo, claves más largas sí ayudan, hasta cierto punto.
Esta pregunta filtra a quienes piensan «bits = fuerza» de quienes entienden que la seguridad depende del mejor ataque conocido contra un algoritmo concreto, no de la longitud bruta de la clave.
Los bits no son una moneda universal
La longitud de una clave solo indica su tamaño, no lo difícil que es romperla. El trabajo que debe hacer un atacante depende del mejor algoritmo conocido contra el problema subyacente. La seguridad de RSA descansa en la factorización de enteros, que tiene un ataque subexponencial (la criba del cuerpo de números). La seguridad de ECC descansa en el logaritmo discreto sobre curva elíptica, cuyos mejores ataques conocidos son plenamente exponenciales. Como el problema de ECC se endurece más rápido por bit, hacen falta muchos menos bits de ECC para alcanzar la misma dificultad.
Las equivalencias de NIST
NIST SP 800-57 publica una tabla de fuerzas comparables. A grandes rasgos:
- fuerza de 80 bits ≈ RSA-1024 ≈ ECC 160 bits
- fuerza de 112 bits ≈ RSA-2048 ≈ ECC 224 bits
- fuerza de 128 bits ≈ RSA-3072 ≈ ECC P-256
- fuerza de 192 bits ≈ RSA-7680 ≈ ECC P-384
Así que RSA-3072 y P-256 están en la misma línea: ambos dan unos 128 bits de seguridad. RSA simplemente necesita un orden de magnitud más de bits para llegar ahí.
Por qué importa en la práctica
Claves ECC más pequeñas significan firmas más cortas, operaciones más rápidas y menos ancho de banda y almacenamiento — por eso TLS, SSH, la firma de código y la cripto móvil se han movido en gran medida a curvas como P-256 y Ed25519. La idea errónea «más bits = más fuerte» lleva a sobredimensionar RSA o a desconfiar de ECC sin razón.
Dos trampas en las respuestas incorrectas
«Más bits siempre significa más seguridad» es falso entre familias. Y «ECC es la familia débil que necesitaría una curva de 3072 bits» invierte la realidad — ECC es la familia más eficiente. Observa el matiz que conserva la respuesta correcta: dentro de un mismo algoritmo, claves más largas sí añaden fuerza, hasta el punto en que otros factores (implementación, RNG, canales laterales) dominan.
Posibles preguntas de seguimiento
- ¿Por qué ECC logra la misma seguridad que RSA con muchos menos bits?
- ¿Qué «fuerza de seguridad en bits» asigna NIST a RSA-3072 y a P-256?
- ¿En qué difiere el problema del logaritmo discreto entre RSA y las curvas elípticas?