A frase "computadores quânticos vão quebrar a criptografia" é comum e meio errada. Um computador quântico grande e tolerante a falhas quebraria por completo parte da criptografia sobre a qual a internet funciona, e deixaria o resto quase intocado. Saber qual é qual é toda a base da migração em curso, então vale ser preciso.
Origens: o prazo foi fixado pela matemática, e depois pela compra
Peter Shor publicou seu algoritmo de fatoração em 1994, e a consequência foi imediata no papel e remota na prática: um computador quântico suficientemente grande quebraria o e a criptografia de curvas elípticas, porque as duas se apoiam em problemas que o algoritmo de Shor resolve com eficiência. O algoritmo de busca de Lov Grover, de 1996, deu um resultado mais suave - uma aceleração quadrática contra cifras simétricas e hashes, que se responde dobrando o tamanho da chave, e não trocando o algoritmo.
Essa divisão é o assunto inteiro, e vale mantê-la clara, porque quase toda confusão sobre "o quântico quebrar a criptografia" a colapsa:
- Criptografia de chave pública - RSA, , curvas elípticas - é quebrada, não enfraquecida. Troca de chaves e assinaturas.
- Criptografia simétrica e hashes - , , SHA-3 - são enfraquecidos de forma previsível. O AES-256 segue sólido; o AES-128 perde margem.
O que transformou um resultado teórico em prazo de compra foi a padronização pós-quântica do , conduzida como competição aberta desde 2016. Os primeiros padrões saíram em agosto de 2024: o 203 para encapsulamento de chaves, baseado no algoritmo submetido como CRYSTALS-, e os FIPS 204 e 205 para assinaturas. A padronização é o que torna uma transição criptográfica possível - fabricantes não entregam o que não tem padrão, e auditores não aceitam o que os fabricantes não entregam.
Colher agora, decifrar depois
A razão de isso ser urgente antes de a máquina existir cabe numa frase: o tráfego capturado hoje pode ser decifrado quando a capacidade chegar.
Isso muda a pergunta de "quando os computadores quânticos vão funcionar" para "por quanto tempo este dado precisa continuar secreto". Tudo com vida útil de confidencialidade medida em décadas - prontuários, segredos de Estado, acordos comerciais longos, e as chaves privadas dentro de equipamentos de vida longa - já está exposto a um adversário disposto a guardar o texto cifrado e esperar.
Assinaturas ficam noutro lugar. Uma assinatura só precisa resistir à falsificação enquanto está sendo usada, então a pressão ali é sobre prazos de certificado e de assinatura de , e não sobre tráfego passado. Um equipamento entregue hoje com quinze anos de vida útil e raiz de assinatura clássica é o problema mais difícil, porque ninguém rotaciona o que está gravado em hardware.
Dois algoritmos, dois efeitos muito diferentes
A ameaça se resume a dois algoritmos quânticos, e eles não fazem a mesma coisa.
O algoritmo de Shor fatora inteiros grandes e calcula logaritmos discretos em tempo polinomial. É exatamente a matemática difícil da qual a criptografia de chave pública depende: o RSA (Rivest-Shamir-Adleman) se apoia na fatoração de inteiros, o Diffie-Hellman no problema do logaritmo discreto, e a criptografia de curva elíptica ( e ) na versão em curva elíptica do logaritmo discreto. Um computador quântico de tamanho suficiente rodando o algoritmo de Shor quebra todos eles. Não enfraquece: quebra. Chaves RSA maiores não salvam você, porque o ganho não é um fator constante que se possa superar com o tamanho da chave; ele muda a classe de dificuldade do problema.
O algoritmo de Grover é uma busca genérica que encontra um alvo em um espaço não ordenado de tamanho N em cerca da raiz quadrada de N passos, um ganho quadrático. Aplicado a uma cifra simétrica, isso significa que forçar por força bruta uma chave de k bits leva na ordem de 2 elevado a k/2 em vez de 2 elevado a k. Ou seja, o Grover efetivamente reduz pela metade o nível de segurança dos algoritmos simétricos. O AES-128 cai para cerca de 64 bits de resistência a força bruta, o que é desconfortável, mas o AES-256 cai para cerca de 128 bits, o que continua muito fora de alcance. A mesma lógica de redução pela metade se aplica às funções de hash e à sua resistência a colisão e pré-imagem, e é por isso que um hash de 256 bits é tratado como cerca de 128 bits num cenário pós-quântico.
A divisão que isso cria
Junte os dois e você obtém uma divisão clara. A criptografia simétrica sobrevive com um ajuste de margem: mantenha o AES-256 e um hash de 384 bits ou mais e você está bem, sem exigir matemática nova. A criptografia de chave pública não sobrevive: todo algoritmo de troca de chaves e de assinatura amplamente implantado na internet hoje é um alvo do Shor. Como os algoritmos de chave pública são o que estabelece as chaves de sessão e prova identidade em TLS, , e assinatura de código, "a chave pública está quebrada" não é um cantinho do problema. É o handshake, o certificado e a assinatura de uma vez só.
É precisamente por isso que o esforço de padronização produziu novos algoritmos de estabelecimento de chaves e de assinatura, mas deixou as cifras simétricas em paz. O conserto necessário é uma substituição da camada de chave pública, não uma reinvenção completa da criptografia.
Por que isso é um problema antes de o computador existir
A resposta natural é que nenhum computador quântico desses existe ainda, então isso pode esperar. Para a confidencialidade, esse raciocínio falha, por causa de um ataque de nome direto: colher agora, decifrar depois (também chamado de armazenar agora, decifrar depois). Um adversário pode gravar o tráfego cifrado hoje, guardá-lo, e decifrá-lo anos depois assim que um computador quântico capaz chegar. Qualquer coisa que você envie agora cujo valor ultrapasse o prazo do hardware, registros médicos, segredos de Estado, credenciais de longa duração, propriedade intelectual, já está exposta a uma quebra futura no momento em que cruza o fio. O relógio que importa não é quando o computador quântico é construído; é a soma de quanto tempo os seus dados precisam ficar secretos mais quanto tempo a migração leva. Se essa soma alcançar além da chegada da máquina, você já está atrasado.
A autenticação é diferente de um jeito importante. Uma assinatura só precisa resistir à falsificação até o momento em que é verificada; você não pode falsificar a assinatura de um handshake TLS depois do fato para quebrar uma sessão que já aconteceu. Então o colher-agora-decifrar-depois pressiona a confidencialidade (troca de chaves) primeiro e com mais força, enquanto a migração de assinaturas, embora necessária, é menos uma corrida contra o tráfego gravado. Essa diferença é por que a troca de chaves se moveu primeiro na internet, e as assinaturas estão vindo em seguida.
Como a transição de fato acontece
A troca de chaves híbrida veio primeiro, e já está implantada: combinar uma curva clássica com uma troca baseada em reticulados, de modo que a sessão só cai se as duas forem quebradas. Navegadores e grandes redes ligaram isso ao longo de 2024 e 2025, o que faz dela a transição criptográfica mais rápida que a web já executou - e ela funciona justamente por não exigir confiar apenas no algoritmo novo.
As assinaturas são mais lentas, porque tocam hierarquias de certificado, assinatura de código, raízes em hardware e organismos de norma que andam no próprio ritmo.
As restrições práticas são sem glamour. Chaves e assinaturas pós-quânticas são maiores, às vezes muito maiores, e isso cai sobre tamanho de aperto de mão, pacotes que deixam de caber, dispositivos embarcados com buffers fixos, e protocolos com larguras de campo escritas quando ninguém esperava chave da ordem de quilobytes. A aritmética de MTU não é coincidência.
Agilidade criptográfica é a entrega de verdade. Um parque que não sabe dizer onde seus algoritmos estão configurados não vai concluir esta transição, compre o que comprar. A pergunta de inventário vem primeiro: quais sistemas, quais bibliotecas, quais premissas fixas no código, quais fabricantes e quais contratos.
Uma dose de humildade, e por que ela cabe aqui
O foi candidato no mesmo processo do NIST, baseado em isogenias supersingulares, e foi quebrado em 2022 - num único computador clássico, em cerca de uma hora, por matemática sem relação com computação quântica. Ele tinha sobrevivido a anos de análise pública antes disso.
É esse o argumento pela implantação híbrida, dito melhor do que qualquer avaliação de risco conseguiria: os algoritmos novos são jovens, a análise segue em curso, e combiná-los com algo bem compreendido não é timidez, é a resposta de engenharia correta a essa incerteza.
O cenário, por categoria
- Organismos de norma - o NIST para os algoritmos, com grupos de trabalho do definindo como eles aparecem em TLS, SSH e certificados.
- Reguladores nacionais, que cada vez mais publicam os próprios prazos de migração, e não concordam todos nem em algoritmo nem em data - problema real para quem opera em várias jurisdições.
- Implementadores de biblioteca - OpenSSL, BoringSSL, liboqs e as pilhas de plataforma, onde o algoritmo vira algo que um produto consegue de fato chamar.
- Fabricantes de hardware e de dispositivos, a camada mais lenta, e aquela em que o problema do colher-agora é o menos remediável.
O resumo honesto: os algoritmos estão escolhidos e padronizados, a troca de chaves híbrida já carrega tráfego real, e a parte difícil não é criptografia, é inventário - saber onde estão os algoritmos antigos, num parque que ninguém documentou para essa pergunta.
Esta série, em ordem
Este artigo abre a série Criptografia pós-quântica. Ele separa o que o algoritmo de Shor quebra do que o de Grover apenas enfraquece; as duas partes seguem a resposta dos padrões até o fio.
- Os padrões pós-quânticos do NIST: ML-KEM, ML-DSA e SLH-DSA. FIPS 203, 204 e 205: ML-KEM para o estabelecimento de chaves, ML-DSA e SLH-DSA para assinaturas, e por que há duas destas.
- Troca de chaves híbrida no TLS: o que o X25519MLKEM768 faz no fio. X25519MLKEM768: uma curva clássica e o ML-KEM num único grupo de troca de chaves, para que a quebra de qualquer um deixe a sessão segura.