Computação Quântica e Proteção de Dados: Desafios e a Realidade da Criptografia Pós-Quântica
O 1º Simpósio de Criptografia Pós-Quântica de Defesa, realizado pela Marinha do Brasil no Centro Tecnológico da Marinha no Rio de Janeiro, reuniu pesquisadores, universidades e empresas para tratar de um problema que não cabe no ciclo orçamentário de um único ano: o que acontece com os dados sigilosos de hoje quando computadores quânticos suficientemente capazes existirem. A escolha do tema por uma força armada não é casual. Segredos militares, planos operacionais e identidades de pessoal têm validade medida em décadas, e é esse horizonte longo que torna a ameaça quântica relevante agora, e não num futuro abstrato.
A ameaça é específica, não genérica
O risco central tem nome e data. O algoritmo de Shor, publicado em 1994, resolve em tempo polinomial a fatoração de inteiros e o logaritmo discreto, os dois problemas que sustentam RSA e criptografia de curvas elípticas. Um computador quântico tolerante a falhas rodando Shor em escala derruba a criptografia assimétrica usada em HTTPS, assinaturas digitais, VPNs e troca de chaves. Esse é o ponto factual.
A parte que a cobertura de imprensa costuma distorcer é a abrangência. O algoritmo de Grover, também quântico, ataca a criptografia simétrica, mas oferece apenas aceleração quadrática. Na prática, dobrar o tamanho da chave recompõe a margem de segurança, e migrar de AES-128 para AES-256 resolve a questão sem trocar o algoritmo. O cenário de colapso total e instantâneo de toda a criptografia, repetido em manchetes, descreve mal a engenharia real. O que está em jogo é a substituição da camada assimétrica, um problema sério e caro, porém delimitado.
Convém separar fato de hipótese. Fato: Shor funciona e os padrões de defesa já mudaram por causa dele. Hipótese: quando existirá uma máquina capaz de executá-lo contra RSA-2048. As estimativas de recursos caem rápido. Em 2019, Gidney e Ekerå projetaram cerca de 20 milhões de qubits físicos. Em maio de 2025, Gidney revisou o número para menos de um milhão de qubits físicos em menos de uma semana, o equivalente, em ordem de grandeza, a mil e poucos qubits lógicos. Atribuir a essa máquina milhões de qubits lógicos, como às vezes se lê, confunde a contagem física com a lógica e infla o problema.
O alvo não é amanhã, é o dado coletado hoje
A urgência que justifica um simpósio de defesa vem da estratégia conhecida como Harvest Now, Decrypt Later. Um adversário com recursos coleta hoje o tráfego cifrado e o arquiva, apostando em decifrá-lo quando a capacidade quântica chegar. Para dados de validade curta isso é irrelevante. Para material com sigilo de trinta ou cinquenta anos, a coleta já é uma ameaça concreta, independentemente de a máquina existir agora.
O raciocínio não é exclusivo do Brasil. A suíte CNSA 2.0, da NSA, estabelece prazos escalonados de migração para sistemas de segurança nacional ao longo do início da década de 2030. Na mesma linha, Gidney recomenda tratar como obsoletos após 2030 os sistemas que dependem de criptografia clássica vulnerável, e desautorizá-los após 2035. São balizas de planejamento, não datas de apocalipse.
Selecionado pelo NIST não significa seguro para sempre
Os padrões que já existem
Em agosto de 2024, o NIST publicou os três primeiros padrões finais: FIPS 203, que define o ML-KEM para estabelecimento de chaves, derivado do CRYSTALS-Kyber; FIPS 204, o ML-DSA para assinaturas, derivado do CRYSTALS-Dilithium; e FIPS 205, o SLH-DSA, baseado no SPHINCS+. Em março de 2025 o NIST selecionou o HQC como mecanismo de chaves alternativo, com fundamento matemático distinto do baseado em reticulados, para reduzir o risco de depender de uma única família. Esse detalhe da diversificação revela a lição mais incômoda do processo.
Dois candidatos que caíram sem computador quântico
O Rainbow era um dos três finalistas para assinatura digital. Em 2022, Ward Beullens, da IBM Research em Zurique, recuperou a chave secreta dos parâmetros de nível 1 em cerca de 53 horas, um fim de semana, num laptop comum. A falha não tinha nada de quântico: era uma fragilidade algébrica na estrutura Oil and Vinegar do esquema, explorada por ataques de MinRank e interseção. O Rainbow saiu da disputa.
O segundo caso é mais agudo. O SIKE, baseado em isogenias, avançara para a quarta rodada do NIST e tinha chaves pequenas, um atrativo de engenharia. Em julho de 2022, Wouter Castryck e Thomas Decru quebraram os parâmetros de nível 1 em cerca de uma hora, num único núcleo de processador. O desafio público de 50 mil dólares da Microsoft para o SIKE caiu em 85 segundos. O ataque explorava pontos de torção auxiliares expostos no protocolo, via critério de Kani, e tampouco precisava de computador quântico. Um candidato considerado promissor foi eliminado por matemática clássica.
A conexão com a discussão da Marinha é direta. Nenhum dos três padrões finais do NIST foi quebrado até hoje, e a queda de Rainbow e SIKE ainda na fase de avaliação é o processo funcionando como deveria, não uma falha dele. A lição não é desconfiar do FIPS, é não tratar nenhum esquema novo como definitivo cedo demais. Migrar é necessário, mas adotar um único algoritmo recém-escolhido carrega o risco de que a criptanálise clássica o derrube anos depois. Por isso a prática que se consolidou é o modo híbrido, combinando uma curva clássica já testada, o X25519, com o ML-KEM. O conjunto X25519MLKEM768 já é o padrão em Chrome, Firefox, Edge e Safari, e, segundo medições da Cloudflare, cerca de 43% das conexões humanas à sua rede em meados de setembro de 2025 já usavam troca de chaves híbrida pós-quântica. Se um dos dois componentes falhar, o outro segura.
Onde a migração realmente trava
Quem já conduziu troca de infraestrutura criptográfica sabe que o algoritmo é a parte fácil. O obstáculo inicial é o inventário. A maioria das organizações não consegue dizer onde a criptografia está: certificados embutidos em firmware, bibliotecas estáticas em sistemas legados, módulos de HSM que não recebem atualização, autenticação em equipamentos de rede que ninguém documentou. Sem esse mapa, não há plano de migração, há improviso.
Há um efeito colateral pouco comentado fora de quem opera redes, documentado pela Cloudflare como ossificação de protocolo. As chaves do ML-KEM são maiores que as clássicas e fazem a mensagem ClientHello do TLS ultrapassar o tamanho de um pacote, e middleboxes, balanceadores e firewalls antigos que assumiam pacotes menores passaram a derrubar esses handshakes. Já em experimentos de 2019 equipamentos de certos fornecedores rejeitavam um ClientHello fragmentado. O problema não está na matemática do algoritmo, está na infraestrutura intermediária que ninguém previu tocar. Para assinaturas o efeito é pior, porque ML-DSA e SLH-DSA geram artefatos bem maiores que ECDSA, com impacto em banda, armazenamento e latência.
O contraponto honesto é que nada disso paralisa a adoção, como os volumes já em produção mostram. O impacto de desempenho da troca de chaves para sessões novas é pequeno. O custo real concentra-se em assinaturas e em sistemas embarcados de recursos limitados, onde o equilíbrio entre tamanho e segurança exige decisão caso a caso. A ausência de consenso está menos no que padronizar e mais em quando e onde aplicar, e a que custo operacional.
O que o setor público brasileiro deveria fazer agora
A iniciativa da Marinha acerta no diagnóstico, mas o trabalho difícil começa depois do simpósio. As prioridades práticas são quatro: inventariar onde e para que a criptografia é usada; classificar sistemas pela validade dos dados, atacando primeiro o sigilo de longo prazo exposto a coleta; planejar a transição em modo híbrido, com teste duplo clássico e pós-quântico; e exigir agilidade criptográfica nas próximas compras, para que trocar de algoritmo não signifique trocar de hardware.
A computação quântica não vai apagar a criptografia num único dia, e tampouco é um problema resolvível com uma atualização de software. É uma migração de anos, cujo maior risco hoje não é o computador quântico que ainda não existe, e sim a falta de inventário e de planejamento em quem deveria começar agora. Para outras análises técnicas sobre segurança e infraestrutura, vale explorar os demais posts de t3chtech.com.br.
