Criptografia pós-quântica: porque é preciso começar a preparar a migração

Um atacante não precisa de decifrar uma comunicação hoje, basta guardá-la. É a lógica do recolher agora tráfego cifrado, arquivá-lo, e esperar pacientemente que a matemática se torne tratável. Para um contrato comercial que perde valor em dois anos, isso é irrelevante. Para um segredo de estado, um historial clínico ou uma chave de assinatura de longa duração, é um problema muito real, já em curso. Imagine uma empresa que mantém backups cifrados de contratos de aquisição durante 15 anos. Mesmo que o contrato seja inútil daqui a três anos, os dados pessoais e financeiros que o acompanham podem continuar sensíveis durante muito mais tempo.

A razão técnica desta urgência assenta em dois algoritmos quânticos com impactos muito distintos. O algoritmo de Shor resolve de forma eficiente os problemas matemáticos, em que assentam o RSA e a criptografia de curva elíptica (ECC, ECDSA, ECDH). Um computador quântico suficientemente poderoso tornaria computacionalmente viáveis ataques que hoje são impraticáveis contra RSA e criptografia de curva elíptica.

Por outro lado, o algoritmo de Grover afeta os algoritmos simétricos e as funções de hash (como o AES ou a família SHA), em termos genéricos, uma aceleração sempre elevada ao quadrado na procura de chaves. Na prática, o ganho é mais complexo, mas constitui uma razão para preferir parâmetros simétricos mais robustos, como AES-256 ao invés do AES-128.

Por isso, o impacto mais disruptivo da computação quântica está hoje associado à criptografia de chave pública. É aqui que entra a criptografia pós-quântica (PQC), também conhecida por quantum-safe. A PQC procura substituir esses mecanismos por algoritmos que podem correr em computadores convencionais, mas cuja segurança assenta em problemas matemáticos para os quais não são conhecidos ataques quânticos eficientes.

O NIST tornou-se uma das principais referências na normalização de PQC, enquanto organismos europeus como a ENISA e o ETSI têm desenvolvido recomendações e especificações próprias para a transição. Em 2024, o NIST fechou a primeira parte desse processo com três normas: ML-KEM para estabelecimento de chaves e ML-DSA e SLH-DSA para assinaturas digitais. Em 2025 acrescentou o HQC como alternativa baseada em códigos, reduzindo a dependência de uma única família matemática.

Comparado com o que já existe, o quadro é assimétrico: RSA e ECC ficam vulneráveis assim que houver capacidade quântica suficiente. AES e as famílias SHA-2/SHA-3 resistem, com parâmetros maiores. Na prática, uma das dificuldades está no tamanho das chaves, assinaturas e mensagens. Em alguns equipamentos, sobretudo IoT e hardware mais antigo, isso pode ser bastante relevante.

A migração deve começar por um inventário criptográfico real: saber onde e como são utilizados RSA e ECC, desde certificados e VPNs até firmware e APIs. É igualmente importante classificar os dados pelo tempo durante o qual precisam de permanecer confidenciais. Sistemas legados, PKI e HSMs raramente foram desenhados para chaves deste tamanho, o que explica a preferência atual por esquemas híbridos, combinando um algoritmo clássico com um pós-quântico no mesmo handshake: se um falhar, o outro ainda protege.

Não há uma data certa para um computador quântico criptograficamente relevante. As estimativas credíveis vão de "dentro de uma década" a "talvez nunca com esta arquitetura". Mas bancos, saúde, telecomunicações e infraestruturas críticas, que guardam dados sensíveis durante décadas, não se podem dar ao luxo de esperar pela certeza. É preciso ter em mente que, com os dados disponíveis hoje, nenhum algoritmo criptográfico, pós-quântico, deve ser tratado como definitivamente seguro.

Conteúdo co-produzido pela MediaNext e pela CSO