Criptografia pós-quântica: o que muda e como se preparar
Entenda o que é criptografia pós-quântica, quais algoritmos atuais estão em risco e como inventariar sistemas e planejar uma migração segura.
Um contrato, prontuário ou segredo industrial protegido hoje pode precisar continuar confidencial por muitos anos.
Se alguém guardar a comunicação criptografada agora e conseguir quebrá-la no futuro, a descoberta tardia não devolverá a privacidade perdida.
Criptografia pós-quântica é o conjunto de algoritmos projetados para resistir aos ataques conhecidos de computadores quânticos e funcionar em computadores convencionais.
Ela deverá substituir partes da criptografia de chave pública usadas em conexões, certificados, assinaturas e atualizações de software.
Isso não significa abandonar RSA ou curvas elípticas de forma improvisada.
A ação mais útil agora é descobrir onde a organização depende desses mecanismos, entender por quanto tempo cada dado precisa permanecer protegido e preparar sistemas para trocar algoritmos sem uma reconstrução completa.
Neste guia, você entenderá o risco real, os padrões do NIST, a diferença entre encapsulamento de chaves e assinaturas e um roteiro prático para começar a migração com segurança.
O que é criptografia pós-quântica?
Criptografia pós-quântica, também chamada de PQC, utiliza problemas matemáticos para os quais não são conhecidos ataques eficientes nem em computadores clássicos nem em computadores quânticos.
Seus algoritmos são executados no hardware convencional que já usamos em servidores, celulares e dispositivos de rede.
O objetivo imediato é substituir duas funções da criptografia assimétrica: estabelecer uma chave secreta entre participantes e produzir assinaturas digitais.
Depois que uma chave de sessão é estabelecida, algoritmos simétricos continuam protegendo o conteúdo da comunicação.
A expressão “resistente a ataques quânticos” não significa segurança eterna.
Qualquer implementação pode conter falhas, parâmetros podem ser usados de forma errada e novas análises podem enfraquecer um algoritmo.
Por isso, a migração precisa vir acompanhada de agilidade criptográfica, testes e atualização contínua.
Por que computadores quânticos ameaçam a criptografia atual
RSA, Diffie-Hellman e criptografia de curvas elípticas dependem de problemas matemáticos difíceis para computadores tradicionais, como fatoração de inteiros e logaritmo discreto.
Um computador quântico grande, tolerante a falhas e executando o algoritmo de Shor poderia resolver esses problemas com eficiência suficiente para comprometer as chaves.
Isso afetaria conexões TLS, VPNs, certificados, autenticação, assinaturas de código, firmware e documentos.
O artigo sobre como funciona a computação quântica explica qubits, superposição, correção de erros e por que os equipamentos atuais ainda têm limitações importantes.
O ponto não é afirmar uma data para a quebra. Ninguém sabe quando um computador quântico criptograficamente relevante estará disponível.
O planejamento existe porque substituir criptografia em infraestrutura, produtos e cadeias de fornecedores pode levar muitos anos.
O que não será quebrado da mesma forma
O impacto não é igual em toda a criptografia. O algoritmo de Grover oferece uma aceleração quadrática para busca, mas não derruba algoritmos simétricos como o Shor ameaça RSA e ECC.
Na prática, parâmetros maiores podem preservar uma margem adequada, e AES-256 costuma aparecer em estratégias de longo prazo.
Funções de hash também exigem revisão de parâmetros e protocolos, mas não deixam de funcionar automaticamente.
A decisão deve considerar o uso específico: senha, integridade, assinatura, derivação de chave ou armazenamento.
O conteúdo sobre riscos da criptografia fraca ajuda a separar algoritmo, tamanho de chave e implementação.
O risco de coletar agora e decifrar depois
No cenário conhecido como harvest now, decrypt later, um adversário registra tráfego protegido hoje e espera ter capacidade para decifrá-lo no futuro.
O risco é relevante quando a informação tem vida sigilosa longa, como propriedade intelectual, dados médicos, segredos de Estado e credenciais-raiz.
Uma sessão encerrada não pode ser corrigida retroativamente. Se o conteúdo continuar valioso quando a chave pública se tornar vulnerável, o momento de avaliar a proteção é agora.
Esse raciocínio ajuda a priorizar sem tratar todos os sistemas como igualmente urgentes.
Quais são os padrões pós-quânticos do NIST?
Após um processo internacional de avaliação, o NIST publicou em 2024 os três primeiros padrões principais.
A página oficial do projeto de criptografia pós-quântica recomenda que as organizações iniciem a migração e mantenham atenção aos padrões adicionais em desenvolvimento.
| Padrão | Algoritmo | Função principal | Base matemática |
|---|---|---|---|
| FIPS 203 | ML-KEM | Estabelecer um segredo compartilhado | Reticulados estruturados |
| FIPS 204 | ML-DSA | Assinaturas digitais de uso geral | Reticulados estruturados |
| FIPS 205 | SLH-DSA | Assinaturas digitais com base alternativa | Funções de hash |
A apresentação dos padrões pelo NIST explica que ML-KEM deriva do CRYSTALS-Kyber, ML-DSA do CRYSTALS-Dilithium e SLH-DSA do SPHINCS+.
Os nomes dos padrões devem ser usados nas especificações novas, evitando tratar nomes de propostas como se fossem versões idênticas do padrão final.
Como o ML-KEM protege uma conexão
ML-KEM é um mecanismo de encapsulamento de chave, não um algoritmo que criptografa sozinho todo o arquivo ou tráfego. Uma parte gera uma chave pública e uma chave privada.
A outra usa a chave pública para encapsular um segredo e envia o texto encapsulado. Apenas quem possui a chave privada correspondente consegue recuperar o mesmo segredo.
Esse segredo alimenta uma função de derivação e origina chaves simétricas usadas por algoritmos como AES.
É semelhante ao papel que mecanismos de acordo de chaves exercem em protocolos modernos, mas baseado em um problema matemático escolhido para resistir a ataques quânticos conhecidos.
Entender essa divisão evita uma confusão frequente: migrar a negociação de chaves não significa reescrever cada rotina que cifra dados.
A arquitetura e as bibliotecas determinam quais camadas precisam mudar.
ML-DSA e SLH-DSA nas assinaturas digitais
Assinaturas digitais provam a origem e a integridade de uma mensagem. Elas aparecem em certificados, pacotes, atualizações, documentos e firmware.
ML-DSA foi padronizado como opção principal de uso geral. SLH-DSA usa uma construção baseada em hashes e oferece diversidade matemática, embora suas assinaturas sejam maiores.
A migração de assinaturas tende a ser mais complexa do que trocar uma chave efêmera.
Certificados e raízes de confiança podem durar anos; formatos têm limites; dispositivos precisam verificar assinaturas; e componentes antigos podem não reconhecer novos identificadores.
Práticas de segurança desde o início do desenvolvimento reduzem o custo de adaptar essas dependências.
PQC e criptografia quântica são a mesma coisa?
Não. PQC é software baseado em matemática pós-quântica e funciona sobre redes e computadores comuns.
Distribuição quântica de chaves, ou QKD, utiliza propriedades físicas e equipamentos especializados para distribuir material de chave.
QKD não é uma substituição geral para certificados, assinaturas de código ou toda comunicação da internet.
Além do custo e da infraestrutura, ela ainda depende de autenticação e de uma arquitetura segura ao redor.
Para a maioria das organizações, a preparação prática começa com padrões pós-quânticos implementados por produtos e bibliotecas confiáveis.
Como criar um inventário criptográfico
Não é possível migrar o que ninguém sabe que existe. O inventário deve localizar onde algoritmos, chaves, certificados e protocolos são usados e relacionar cada item ao sistema, responsável, fornecedor, tipo de dado e prazo de substituição.
- certificados TLS públicos e internos;
- VPNs, SSH, Wi-Fi corporativo e acesso remoto;
- PKI interna, autoridades certificadoras e módulos HSM;
- assinatura de código, containers, pacotes e firmware;
- bancos, backups, arquivos e integrações com terceiros;
- identidade, tokens, dispositivos e raízes de confiança;
- bibliotecas criptográficas embutidas nas aplicações.
Registre também quem controla a configuração. Uma aplicação pode usar TLS sem escolher o algoritmo diretamente, porque a decisão está no sistema operacional, proxy, CDN ou provedor de nuvem.
Já um equipamento industrial pode depender de firmware e hardware que não recebem atualização.
Como planejar a migração pós-quântica
A migração é um programa de risco e arquitetura, não uma troca global feita em uma madrugada.
O roteiro do NCSC para migração pós-quântica sugere concluir descoberta e plano inicial até 2028, executar atividades prioritárias até 2031 e trabalhar para completar a migração até 2035.
Essas datas são referências de planejamento, não uma garantia sobre a chegada de computadores quânticos nem uma obrigação universal para todas as empresas.
Mapeie dependências e responsáveis
Associe cada uso criptográfico ao dono técnico e ao fornecedor. Descubra se a troca exige apenas atualizar uma biblioteca ou se envolve certificado, protocolo, hardware e parceiro externo.
Sem essa cadeia, um componente aparentemente simples pode falhar por incompatibilidade.
Priorize pelo tempo de sigilo e impacto
Dê atenção primeiro aos dados que precisam permanecer secretos por muitos anos, às raízes de confiança e aos produtos difíceis de atualizar.
Sistemas expostos, infraestrutura crítica e componentes com ciclos longos de aquisição também merecem antecipação.
Teste fornecedores e modos híbridos
Peça roadmaps claros a provedores e confirme quais padrões finais são usados.
Faça pilotos isolados, capture métricas e valide negociação com clientes antigos.
Não ative um algoritmo apenas porque existe uma opção no painel: é preciso confirmar o que foi realmente negociado e qual fallback ocorreu.
Onde a mudança aparecerá nos sistemas
Em aplicações web, a adoção pode chegar por navegadores, bibliotecas TLS, balanceadores e provedores de nuvem.
Em APIs, é preciso considerar a conexão e também tokens e assinaturas. O guia sobre autenticação em APIs mostra onde JWT, OAuth e outros mecanismos entram nessa arquitetura.
Em infraestrutura, o impacto alcança VPN, SSH, PKI, HSM, gestão de dispositivos e atualização segura.
Sistemas legados podem ter limites de memória, tamanho de pacote ou firmware. A preparação deve fazer parte da estratégia de segurança de servidores e ambientes em nuvem.
Na cadeia de software, assinaturas maiores podem afetar artefatos, manifests, boot seguro e atualização de dispositivos.
Isso reforça a importância de conhecer dependências e formatos antes de escolher um cronograma.
Por que usar uma transição híbrida
Um esquema híbrido combina um mecanismo tradicional e um pós-quântico para que o segredo final continue protegido enquanto pelo menos um componente permanecer seguro.
Isso preserva a confiança acumulada na criptografia atual e adiciona proteção contra o risco quântico durante uma fase de transição.
O RFC 9954 do IETF descreve uma construção para troca híbrida de chaves no TLS 1.3.
A combinação não deve ser inventada na aplicação: a forma de unir segredos, codificar mensagens e negociar parâmetros precisa seguir protocolos analisados.
Híbrido também não quer dizer compatível com tudo. Clientes antigos, middleboxes e limites de pacote podem reagir de modo inesperado.
A transição exige telemetria, testes de interoperabilidade e uma política consciente para fallback.
Desempenho e interoperabilidade
Algoritmos pós-quânticos possuem perfis diferentes de tamanho de chave, assinatura, memória e tempo de execução.
Uma operação rápida pode gerar mensagens maiores; outra pode reduzir tamanho de chave ao custo de assinatura. Não existe um vencedor isolado de contexto.
- meça latência de handshake e tamanho das mensagens;
- teste perda de pacotes, redes móveis e caminhos com MTU limitada;
- avalie CPU, memória e energia em dispositivos modestos;
- confirme compatibilidade com HSM, certificados e proxies;
- valide rotação, revogação, backup e recuperação de chaves;
- registre qual algoritmo foi negociado em cada fluxo.
O desempenho deve ser medido de ponta a ponta. Um benchmark isolado da primitiva não mostra fragmentação, tempo de rede, validação de certificado ou efeito sobre dispositivos.
A segurança depende da experiência completa continuar confiável.
Erros comuns na preparação para PQC
- Esperar uma data exata: a migração demora mais do que a previsão de hardware permite.
- Trocar tudo sem inventário: a mudança pode quebrar integrações e deixar componentes esquecidos.
- Implementar criptografia própria: detalhes de geração de aleatoriedade, validação e canais laterais são críticos.
- Usar nomes antigos como garantia: uma biblioteca “Kyber” experimental não é automaticamente compatível com FIPS 203.
- Ignorar assinaturas: proteger a troca de chaves não migra certificados, firmware e código assinado.
- Tratar PQC como correção universal: credenciais expostas, falhas de acesso e software vulnerável continuam perigosos.
Criptografia forte protege apenas uma parte do sistema. Atualizações, privilégios, monitoramento e resposta a incidentes continuam necessários.
Uma visão ampla de cibersegurança e ameaças digitais ajuda a colocar PQC no lugar correto do programa de proteção.
Checklist de preparação
- Nomeie um responsável pelo programa de agilidade e migração criptográfica.
- Inventarie certificados, protocolos, chaves, bibliotecas, hardware e fornecedores.
- Classifique dados pelo tempo de confidencialidade e impacto de exposição.
- Identifique RSA, Diffie-Hellman e ECC em funções de troca de chaves e assinatura.
- Priorize raízes de confiança, infraestrutura crítica e produtos difíceis de atualizar.
- Exija dos fornecedores suporte a padrões finais e um roadmap verificável.
- Crie pilotos com bibliotecas mantidas e modos definidos por protocolos.
- Teste desempenho, interoperabilidade, observabilidade e recuperação.
- Documente fallback e critérios para retirar algoritmos tradicionais.
- Revise o inventário periodicamente e inclua requisitos pós-quânticos em novas aquisições.
Perguntas frequentes
Já existe computador quântico capaz de quebrar RSA?
Não há demonstração pública de um computador quântico tolerante a falhas capaz de quebrar chaves RSA usadas na prática. A preparação começa antes porque inventário, padronização, fornecedores e substituição de infraestrutura levam anos.
PQC exige um computador quântico?
Não. ML-KEM, ML-DSA e SLH-DSA são algoritmos executados em computadores clássicos. O termo pós-quântico descreve o modelo de ameaça, não o hardware necessário para usá-los.
AES e hashes precisam ser substituídos?
Não da mesma forma que RSA e ECC. Algoritmos simétricos e hashes sofrem um impacto diferente e podem manter segurança adequada com parâmetros apropriados. Cada protocolo deve ser avaliado em vez de aplicar uma regra genérica.
Posso implementar ML-KEM por conta própria?
Para estudo, uma implementação didática pode ajudar. Em produção, use bibliotecas mantidas e avaliadas. Aleatoriedade, validação, proteção contra canais laterais e integração com o protocolo são tão importantes quanto a fórmula.
Pequenas empresas precisam agir agora?
Elas não precisam construir uma equipe de criptografia, mas devem conhecer dados de longa duração, manter sistemas atualizados e perguntar aos fornecedores sobre seus planos. Quem depende de serviços gerenciados provavelmente receberá boa parte da migração por atualizações da plataforma.
Qual é o primeiro passo da migração?
Comece pelo inventário criptográfico e pela classificação dos dados. Sem saber onde RSA, ECC, certificados e assinaturas são usados, não é possível estimar prioridade, custo ou dependência de fornecedores.
Conclusão
Criptografia pós-quântica não é uma tecnologia distante que exige hardware quântico.
Os primeiros padrões principais já existem e a migração começa com tarefas conhecidas: inventário, gestão de ativos, classificação de risco, atualização de fornecedores e testes de interoperabilidade.
O caminho seguro é gradual. Proteja primeiro dados de longa duração e raízes de confiança, adote implementações padronizadas, use transições híbridas quando o protocolo recomendar e preserve a capacidade de trocar algoritmos.
Assim, a organização reduz o risco futuro sem criar uma vulnerabilidade nova no presente.