ISO Adota Classic McEliece: O Algoritmo de 1978 Que Acabou de se Tornar um Padrão Global Anticrítico Quântico

Classic McEliece: Origens, Compensação e Papel na Padronização

Origens (1978)

Robert J. McEliece publicou o criptossistema original em 1978, baseado na dificuldade de decodificar códigos binários aleatórios de Goppa — um problema que permanece NP-difícil e não se sabe que pode ser resolvido por computadores quânticos . O Classic McEliece é um descendente direto, usando a variante dual melhorada de Niederreiter (baseada em síndrome) em vez do esquema original baseado em palavras-código, mas mantendo a mesma premissa de segurança central . É descrito como "o esquema de criptografia de chave pública mais antigo ainda considerado seguro" .

A Compensação: Chaves Públicas Massivas

A fraqueza definidora do Classic McEliece — e a razão pela qual não foi amplamente adotado na década de 1980 — é o tamanho de sua chave pública. As chaves variam de aproximadamente 261 kilobytes a mais de 1,3 megabytes (por exemplo, 1.047.319 bytes para um conjunto de parâmetros) . Isso é ordens de magnitude maior do que as chaves RSA ou ECC (tipicamente algumas centenas de bytes), tornando-o inadequado para ambientes restritos como dispositivos IoT, cartões inteligentes ou handshakes TLS em largura de banda limitada.

Sua força contraposta é que sua segurança é extraordinariamente bem compreendida. Nenhuma melhoria criptanalítica prática foi encontrada em mais de 45 anos de estudo . O nível de segurança do sistema McEliece permaneceu notavelmente estável, apesar de dezenas de tentativas de ataque .

Papel na Padronização Internacional

O Classic McEliece é agora reconhecido por vários órgãos de padronização, cada um com um papel ligeiramente diferente:

O Classic McEliece é posicionado como um backup conservador ou segunda linha de defesa: se os esquemas baseados em reticulados que o NIST já padronizou (ML-KEM / CRYSTALS-Kyber) forem quebrados, a criptografia baseada em código fornece um fallback matematicamente independente .

Por que o NIST Não o Padronizou Primeiro

Curiosamente, o NIST adiou explicitamente a padronização do Classic McEliece em 2025, escrevendo que "a padronização simultânea do Classic McEliece pelo NIST e pela ISO corre o risco de criar padrões incompatíveis" e indicando que consideraria desenvolver um padrão baseado no trabalho da ISO após a conclusão do processo da ISO . O NIST selecionou um algoritmo diferente baseado em código, o HQC, para padronização, mas o Classic McEliece permanece na quarta rodada como candidato para consideração futura .

Desenvolvimentos Recentes que Aceleram a Urgência da PQC

A padronização ISO por si só já seria significativa. Mas ela chega junto com vários desenvolvimentos que comprimiram a janela de migração PQC de uma questão vaga dos anos 2030 para um prazo concreto de ~3 anos.

Prazo de Migração de 2029 do Google

Em 25 de março de 2026, o Google publicou uma postagem no blog da VP de Engenharia de Segurança Heather Adkins e da Criptógrafa Sênior Sophie Schmieg intitulada "Quantum frontiers may be closer than they appear", estabelecendo um prazo interno de 2029 para concluir a migração PQC em todos os sistemas do Google . Isso moveu o Q-Day para frente em cerca de seis anos em relação às expectativas anteriores da indústria, alinhadas com os cronogramas de 2035 do NIST ou 2031 da NSA . O Google citou avanços mais rápidos que o esperado em hardware quântico e correção de erros como principais motivadores .

Estimativas Reduzidas de Qubits para Quebrar Criptografia de Curva Elíptica

O cronograma atualizado do Google foi impulsionado em parte por estimativas de recursos drasticamente reduzidas para ataques do algoritmo de Shor em ECC. Novas técnicas de otimização de circuitos reduziram o número estimado de qubits físicos necessários para quebrar a criptografia de curva elíptica de 256 bits de milhões para potencialmente centenas de milhares . Isso torna um computador quântico criptograficamente relevante viável mais cedo do que se supunha anteriormente.

Cronograma Correspondente da Cloudflare

A Cloudflare alinhou-se publicamente com uma urgência semelhante, anunciando planos para concluir sua migração PQC em um cronograma que corresponde à janela de 2029 do Google . A Cloudflare tem sido uma implantadora precoce de TLS pós-quântico, incluindo o acordo de chave híbrida X25519Kyber768, e está acelerando a implantação total em produção.

Preocupações com 'Colha Agora, Decifre Depois' (HNDL)

O Google citou explicitamente o risco de "armazene agora, decifre depois" como um motivador chave . Adversários — incluindo atores estatais — já estão coletando tráfego criptografado: conexões VPN, dados financeiros, segredos de estado e comunicações de criptomoedas. A intenção é decifrá-los assim que um computador quântico estiver disponível. Isso significa que os dados criptografados hoje com RSA ou ECC já estão em risco, criando urgência para migrar antes de uma quebra quântica, e não depois .

Decreto Executivo dos EUA de Junho de 2026

Em junho de 2026, a administração Biden emitiu um decreto executivo determinando que todas as agências federais dos EUA acelerassem a migração para a criptografia pós-quântica, com prazos vinculativos para inventário, avaliação e planos de transição . Isso se baseia na Lei de Preparação para Segurança Cibernética de Computação Quântica de 2022 e nos padrões PQC do NIST de 2024 (FIPS 203/204/205), convertendo diretrizes voluntárias em requisitos federais .

A Convergência: O Que Significa

A combinação dos padrões oficiais da ISO (Classic McEliece, FrodoKEM), dos algoritmos primários finalizados do NIST (ML-KEM, ML-DSA, SLH-DSA), do prazo de 2029 do Google, da queda nas estimativas de qubits, do cronograma correspondente da Cloudflare, das ameaças HNDL já em movimento e de um decreto executivo dos EUA de junho de 2026 mudou fundamentalmente o cálculo da urgência.

A infraestrutura de padrões agora está em vigor. Para a maioria das organizações, o desafio restante é a execução em escala: inventariar ativos criptográficos, priorizar sistemas de alto risco (autenticação, dados de longa vida, VPNs) e iniciar a migração para algoritmos híbridos ou pós-quânticos antes de 2029.

O Classic McEliece não será o algoritmo que a maioria das organizações usará para TLS cotidiano — seu tamanho de chave torna isso impraticável para a maioria dos casos de uso. Mas para proteção de dados de longo prazo, comunicações governamentais de alta segurança e aplicações onde a certeza da segurança importa mais do que a largura de banda, o algoritmo de 1978 recém-padronizado pode ser exatamente o tipo de backup conservador de que a internet precisa.