Computação quântica tem dois lados — e a migração do RSA já precisa começar

A computação quântica tem uma espécie de dupla face. De um lado, promete avanços em simulações de química quântica e materiais, problemas específicos de otimização e alguns fluxos de inteligência artificial — benefícios que ainda são prospectivos e dependem bastante da aplicação. De outro, apresenta um problema de cibersegurança que as organizações já podem começar a enfrentar: um computador quântico grande e tolerante a falhas poderia comprometer sistemas de criptografia de chave pública amplamente usados, embora nenhum computador quântico criptograficamente relevante exista atualmente. 52

A conclusão prática é direta: não é preciso esperar a máquina capaz de quebrar a criptografia para iniciar a migração. Algumas informações precisam continuar sigilosas por mais tempo do que pode levar a substituição de todos os sistemas vulneráveis.

Por que o algoritmo de Shor ameaça RSA e criptografia de curvas elípticas

O RSA depende da dificuldade de fatorar números inteiros muito grandes. Já Diffie–Hellman e os sistemas de curvas elípticas dependem de problemas de logaritmo discreto. Em um hardware quântico tolerante a falhas e suficientemente avançado, o algoritmo de Shor ofereceria uma maneira fundamentalmente mais rápida de resolver esses problemas do que os computadores clássicos conseguem fazer.

A ameaça não se limita ao conteúdo de mensagens cifradas. Sistemas de chave pública vulneráveis à computação quântica são usados para estabelecer chaves, autenticar usuários, emitir certificados, assinar softwares, proteger cadeias de inicialização segura e sustentar outras funções de confiança digital. No futuro, um invasor poderia atingir tanto a confidencialidade quanto a capacidade de verificar se um software, documento, transação ou registro é autêntico.

Isso não significa que toda a criptografia deixará de funcionar de uma só vez. A preocupação direta está concentrada em algoritmos de chave pública como RSA e criptografia de curvas elípticas. A criptografia simétrica não é ameaçada pelo algoritmo de Shor da mesma maneira, embora cada organização ainda precise avaliar a força de segurança e a implementação de todos os componentes criptográficos.

“Colete agora, descriptografe depois” transforma dados atuais em alvo

Um ataque do tipo “harvest now, decrypt later” — ou “colete agora, descriptografe depois” — não exige que o invasor consiga ler o tráfego imediatamente. Ele pode interceptar comunicações cifradas ou obter arquivos criptografados, armazená-los e tentar descriptografá-los quando um computador quântico criptograficamente relevante estiver disponível. 51

Isso faz com que o prazo relevante dependa de duas variáveis:

• quanto tempo a organização levará para migrar seus sistemas; e
• por quanto tempo a informação protegida precisa permanecer em sigilo.

Estão especialmente expostos os dados com ciclo de confidencialidade longo, como registros governamentais e diplomáticos, projetos de defesa e engenharia, informações de saúde e genômicas, dados de identidade, arquivos financeiros e jurídicos, segredos comerciais, registros de infraestrutura e pesquisas proprietárias. O risco também alcança arquivos e registros assinados cuja autenticidade precisará ser verificada por muitos anos.

A existência dessa ameaça não prova que todo arquivo criptografado esteja sendo coletado nem que um ataque quântico seja iminente. Mas significa que esperar evidências definitivas de um eventual “Q-Day” — o dia em que um computador quântico poderá quebrar a criptografia atual — pode ser tarde demais para informações capturadas hoje.

O calendário quântico é incerto; o calendário da migração já está em movimento

As previsões para o surgimento de um computador quântico criptograficamente relevante variam bastante. Orientações de autoridades alemãs destacam que nenhum CRQC está disponível atualmente, enquanto as estimativas sobre quando uma máquina desse tipo poderá surgir continuam incertas. 52 Outras avaliações apontam para um risco significativo na década de 2030, mas essas projeções não equivalem a uma data confirmada de chegada. 5356

Por isso, um plano sensato não deve depender da previsão de um único Q-Day. O ideal é classificar as informações segundo sua sensibilidade e seu período de retenção, levando em conta também os anos necessários para descobrir dependências, testar substitutos, atualizar fornecedores e aposentar sistemas que não possam ser modernizados.

A proposta de transição do NIST — o Instituto Nacional de Padrões e Tecnologia dos Estados Unidos — foi amplamente descrita como uma migração em fases para abandonar algoritmos de chave pública vulneráveis à computação quântica. Nesse documento, RSA-2048 e ECC-256 são propostos para entrar em processo de descontinuação depois de 2030 e para ser proibidos depois de 2035. Como o IR 8547 é uma proposta de transição, as organizações devem verificar a orientação final aplicável ao seu setor, em vez de tratar essas datas como prazos legais universais. 2035

Ainda assim, a direção da política federal americana é clara. Agências civis dos Estados Unidos receberam a determinação de enviar inventários priorizados de sistemas e ativos que contêm criptografia vulnerável a um CRQC até 4 de maio de 2023 e anualmente até 2035. 33 O Memorando de Segurança Nacional 10 estabeleceu o objetivo federal de reduzir o risco quântico até 2035. 39

Os padrões pós-quânticos do NIST oferecem um ponto de partida

Em 13 de agosto de 2024, o NIST finalizou três padrões principais de criptografia pós-quântica, desenvolvidos para enfrentar futuros ataques quânticos: 2425

• FIPS 203, ML-KEM: mecanismo de encapsulamento de chaves baseado em reticulados modulares, usado para estabelecer segredos compartilhados. 23
• FIPS 204, ML-DSA: padrão de assinatura digital também baseado em reticulados modulares. 22
• FIPS 205, SLH-DSA: padrão de assinatura digital baseado em funções hash e sem estado, com uma abordagem matemática diferente. 17

Esses padrões não representam uma troca automática que possa ser aplicada em todos os lugares de um dia para o outro. Eles precisam ser integrados a protocolos, bibliotecas, certificados, sistemas de identidade, módulos de segurança de hardware, firmware, aplicativos e produtos de fornecedores. O NIST descreve os padrões como o início de uma transição ampla e continua desenvolvendo algoritmos adicionais para servir como alternativas ou reservas. 28

O que deve entrar primeiro no inventário das organizações

A criptografia costuma estar escondida em sistemas que não foram projetados para substituir algoritmos rapidamente. Um inventário útil deve ir além das configurações óbvias de criptografia e incluir:

• TLS, VPNs, APIs e protocolos de rede antigos;
• infraestrutura de chave pública, emissão de certificados e renovação de certificados;
• sistemas de identidade, autenticação e controle de acesso;
• assinatura de código, firmware, inicialização segura e mecanismos de atualização;
• módulos de segurança de hardware, bancos de dados, backups e arquivos históricos;
• dispositivos de internet das coisas, equipamentos industriais, médicos e outros ativos de longa duração;
• serviços de nuvem, fornecedores de SaaS, bibliotecas e demais dependências de terceiros.

O passo seguinte é priorizar os riscos. Sistemas que protegem informações que precisam permanecer secretas por décadas — ou que controlam a origem de softwares e a confiança na infraestrutura — merecem atenção antes de dados de curta duração ou fáceis de substituir.

As organizações também precisam de agilidade criptográfica (crypto-agility): a capacidade de trocar algoritmos, tamanhos de chave, certificados e bibliotecas criptográficas sem redesenhar todo um produto ou uma rede. Implantações híbridas, que combinam mecanismos clássicos e pós-quânticos durante a transição, podem ajudar a reduzir riscos, mas aumentam a complexidade de integração, testes e operação.

O caso HAWK alerta sobre avaliação — não sobre uma quebra dos padrões NIST

Em julho de 2026, a Anthropic informou que seu modelo Claude Mythos Preview havia encontrado uma fraqueza estrutural até então desconhecida na HAWK, uma candidata a assinatura digital pós-quântica baseada em reticulados. Segundo a empresa, a HAWK havia sobrevivido a dois anos e duas rodadas de revisão por especialistas, mas o modelo melhorou o melhor ataque conhecido em aproximadamente 60 horas. A equipe da HAWK então retirou a candidata do processo de assinaturas adicionais do NIST. 5

A ressalva importante é que a HAWK era uma candidata, não um padrão FIPS finalizado pelo NIST nem um algoritmo de produção implantado. O episódio não quebrou os padrões FIPS 203, FIPS 204 ou FIPS 205, e as reportagens sobre o caso afirmam que sistemas em produção não foram afetados. 56

A lição mais ampla é relevante: “pós-quântico” não é um selo permanente de segurança. Algoritmos candidatos precisam de investigação matemática contínua, testes independentes de implementação, diversidade de pressupostos e capacidade de substituição quando novos ataques surgirem. A análise criptográfica assistida por IA pode se tornar uma parte desse processo, mas não elimina a necessidade de revisão humana nem de um trabalho transparente de padronização.

O custo é uma transição de sistemas, não apenas a troca de um algoritmo

A migração pós-quântica pode exigir mudanças em softwares e protocolos, novas bibliotecas, alterações em certificados e na infraestrutura de chave pública, atualizações de módulos de segurança de hardware e firmware, testes de interoperabilidade, coordenação com fornecedores, adequações de conformidade e substituição de equipamentos que não possam ser corrigidos. Chaves ou assinaturas maiores também podem afetar largura de banda, armazenamento, latência e desempenho dos dispositivos.

É difícil resumir o custo em um único número universal, porque ele depende do parque tecnológico da organização, das obrigações de retenção de dados, dos contratos com fornecedores e do ambiente regulatório. A conclusão mais defensável é que a transição será cara porque a criptografia de chave pública está incorporada a muitas relações de confiança digital de longa duração — não porque todos os sistemas precisem ser substituídos ao mesmo tempo.

O ponto central

A computação quântica pode trazer benefícios científicos importantes no futuro, mas esses ganhos ainda são incertos, especializados e estão em desenvolvimento. A exigência de segurança é mais imediata: sistemas RSA e de curvas elípticas podem se tornar vulneráveis ao algoritmo de Shor, e dados cifrados capturados hoje podem ser expostos mais adiante.

Nenhum CRQC existe hoje. Isso é motivo para planejar com cuidado, não para adiar a decisão. A sequência prática é inventariar a criptografia, classificar os dados pelo tempo de confidencialidade, priorizar dependências de alto valor, testar os padrões pós-quânticos finalizados pelo NIST, desenvolver agilidade criptográfica e usar os cronogramas de migração como metas de planejamento — sem esperar um anúncio definitivo do Q-Day.