Criptografia pós-quântica
Aula 21 de 23 do curso “Quântica”. Grátis, com animações e teste.
Matemática nova em hardware velho
O principal remédio contra o Q-Day não é quântico. A criptografia pós-quântica (PQC) são algoritmos novos para computadores e celulares comuns. Eles se apoiam em problemas que nem o algoritmo de Shor nem nenhum outro algoritmo quântico conhecido resolve: achar pontos em reticulados multidimensionais, propriedades de hashes e de códigos corretores. Não confunda com a “criptografia quântica” por fibra (QKD): ela exige hardware especial, já a PQC é só atualização de software.
Os padrões do NIST
Desde 2016 o instituto de padrões dos EUA, o NIST, fez um concurso aberto: criptógrafos do mundo todo propuseram algoritmos e passaram anos tentando quebrar os dos outros. Alguns candidatos caíram de verdade. Em 13 de agosto de 2024 saíram três padrões: FIPS 203 (ML-KEM) para troca de chaves, e FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA) para assinaturas. Em março de 2025 entrou o HQC como reserva com outra matemática, caso surja algo contra os reticulados. Por que uma reserva? Pela história: em 2022 o candidato SIKE foi quebrado em cerca de uma hora num único núcleo de um computador comum.
Você já usa PQC
Boa notícia: a transição já está acontecendo e você nem percebeu. O Signal adicionou a troca de chaves pós-quântica PQXDH em 2023, a Apple ativou o protocolo PQ3 no iMessage em 2024 e, desde 2024, o Chrome usa ML-KEM por padrão ao se conectar a sites por HTTPS. Quase sempre é um híbrido: o algoritmo antigo e o novo funcionam juntos. Para quebrar a conexão é preciso quebrar os dois. Se acharem uma falha no novo, o antigo ainda segura, e vice-versa.
Por que a pressa: a regra de Mosca
Se ainda não existe um quebrador quântico, por que correr? O criptógrafo Michele Mosca propôs um teste simples. x são os anos que seus dados precisam ficar secretos. y, os anos que a migração para novos algoritmos vai levar. z, os anos até chegar um quebrador quântico. Se x + y for maior que z, você já está atrasado: um atacante grava hoje o tráfego cifrado e decifra depois. Prontuários médicos, segredos de Estado e mensagens privadas precisam durar décadas. E a migração de uma grande empresa leva fácil 5–10 anos.
Os prazos
Os reguladores já definiram datas. No rascunho IR 8547 (novembro de 2024), o NIST propõe declarar RSA e curvas elípticas obsoletos após 2030 e proibi-los após 2035. O programa CNSA 2.0 da NSA exige suporte pós-quântico em sistemas novos a partir de 2027 e a transição total dos sistemas de segurança nacional até 2035. A UE espera planos nacionais até o fim de 2026, infraestrutura crítica protegida até 2030 e o resto até 2035. Para as empresas isso significa uma coisa: quem souber migrar sistemas para PQC vai ser muito disputado.
O preço da transição
Nada é de graça. Chaves e assinaturas pós-quânticas são bem maiores. Uma assinatura Schnorr ou ECDSA no bitcoin pesa cerca de 64–72 bytes, a ML-DSA 2420 bytes e o esquema mais cauteloso baseado em hash, SLH-DSA, quase 8 kilobytes. Num site isso nem aparece, mas numa blockchain dói: cada assinatura ocupa espaço no bloco, então as taxas sobem ou a capacidade cai. Por isso as comunidades do bitcoin e do Ethereum discutem tanto qual esquema escolher. A segunda dor é o inventário: muitas empresas nem sabem onde usam criptografia antiga.
Teste-se
- O que é criptografia pós-quântica?
Resposta certa: Algoritmos novos para computadores comuns, resistentes a ataques quânticos. A PQC é software: matemática nova nos mesmos celulares e servidores. Por isso dá para implantar em massa. - Por que migrar para PQC antes de existir um quebrador quântico?
Resposta certa: Os dados são roubados agora e decifrados depois, e a migração leva anos. Regra de Mosca: se x + y > z, você já está atrasado. “Colete agora, decifre depois” torna a ameaça real hoje. - Por que assinaturas pós-quânticas não são de graça para uma blockchain?
Resposta certa: As assinaturas são dezenas de vezes maiores e ocupam espaço em cada bloco. A ML-DSA pesa 2420 bytes contra ~64–72 da Schnorr/ECDSA. Mais dados por bloco: taxas maiores ou menos capacidade.