Criptografia pós-quântica: por que importa e o que são os padrões do NIST

Quando você abre um site com o cadeado do navegador, envia uma mensagem protegida ou baixa uma atualização de software, algoritmos de criptografia trabalham em silêncio. Alguns dos mais usados hoje dependem de problemas matemáticos que um computador quântico suficientemente grande poderia, em tese, resolver com facilidade.

Esse computador ainda não existe. Mas, como a troca de toda a criptografia do mundo leva anos, especialistas e governos já estão se preparando. Este guia explica o problema, os novos padrões, o cronograma de migração e o que empresas e pessoas podem fazer. Para entender o pano de fundo tecnológico, veja o que é computação quântica.

Como a criptografia atual funciona, em resumo

Existem dois grandes tipos de criptografia:

• Simétrica: a mesma chave cifra e decifra. É rápida, e usada para proteger grandes volumes de dados. Exemplo: AES.
• Assimétrica (de chave pública): usa um par de chaves, uma pública e uma privada. Serve para trocar chaves com segurança e para assinaturas digitais. Exemplos: RSA e criptografia de curvas elípticas.

A criptografia de chave pública é a base do HTTPS, de certificados digitais, de assinaturas de software e de carteiras de criptomoedas. Sua segurança depende de problemas matemáticos considerados muito difíceis para computadores clássicos, como a fatoração de números grandes e o logaritmo discreto.

Onde está o risco

Em 1994, o matemático Peter Shor descreveu um algoritmo quântico capaz de resolver esses dois problemas de forma eficiente. Se existir um computador quântico grande e confiável o bastante, RSA e a criptografia de curvas elípticas deixam de ser seguros.

Pontos que ajudam a calibrar o risco:

• Ainda não existe uma máquina quântica com essa capacidade. As atuais são pequenas e ruidosas. Não há consenso sobre quando, ou se, isso acontecerá.
• A criptografia simétrica e as funções de hash são menos afetadas. O algoritmo de Grover reduz a segurança de forma moderada, e a resposta costuma ser usar chaves maiores.
• O problema está principalmente na criptografia de chave pública.

"Coletar agora, decifrar depois"

Mesmo sem um computador quântico hoje, há um risco antecipado: adversários podem capturar e armazenar dados criptografados agora para decifrá-los no futuro, quando dispuserem da tecnologia. É a estratégia chamada, em inglês, de harvest now, decrypt later.

Isso importa para dados que precisam continuar confidenciais por muitos anos: segredos de Estado, informações de saúde, contratos, propriedade intelectual. Se um dado precisa ficar secreto por vinte anos, e a migração leva dez, o momento de começar é agora.

Assinaturas digitais têm um risco diferente: a ameaça é a falsificação futura, e só importa quando uma máquina capaz existir. Mas sistemas de vida longa, como firmware e certificados de raiz, precisam de planejamento antecipado.

O que é criptografia pós-quântica

Criptografia pós-quântica (PQC, do inglês post-quantum cryptography) é o conjunto de algoritmos projetados para resistir tanto a computadores clássicos quanto a quânticos. Ela não usa computação quântica: roda em computadores comuns, com base em outros problemas matemáticos, que não se conhece algoritmo quântico eficiente para resolver.

Não confunda com distribuição quântica de chaves (QKD), uma tecnologia diferente, que usa a física quântica para trocar chaves e exige equipamentos próprios. A PQC é software e matemática, e por isso é implantável em larga escala.

As principais famílias de problemas usados:

• Baseada em reticulados (lattices): a mais adotada nos novos padrões.
• Baseada em hash: para assinaturas, com segurança bem compreendida.
• Baseada em códigos: usada em algoritmos de troca de chaves.
• Multivariada e outras, com menos adoção.

Os padrões do NIST

O NIST, instituto de padrões dos Estados Unidos, conduziu um processo público de vários anos, com participação de pesquisadores do mundo todo, para escolher algoritmos pós-quânticos. Em 13 de agosto de 2024, publicou os primeiros três padrões:

Outros passos, segundo informações públicas do NIST e da comunidade:

• Um algoritmo de assinatura adicional, baseado no Falcon, está em preparação como FIPS 206 (FN-DSA).
• Em março de 2025, o NIST selecionou o HQC, baseado em códigos, como um algoritmo adicional de troca de chaves, para oferecer uma alternativa aos reticulados. A padronização está em andamento.

Vale acompanhar o site do NIST, porque os documentos e os prazos evoluem.

O cronograma de migração

Em um documento de trabalho, o NIST propôs que os algoritmos vulneráveis a computadores quânticos, como RSA e curvas elípticas, sejam descontinuados até 2030 e desativados até 2035. Trata-se de uma diretriz para uso em sistemas do governo americano, e serve de referência para o setor. Outros países e organizações publicaram roteiros próprios.

Na prática, a migração é longa porque a criptografia está em toda parte: navegadores, servidores, VPNs, aplicativos, dispositivos IoT, cartões, firmware e infraestrutura de certificados. Muitos dispositivos de vida longa, como equipamentos industriais, não são atualizados com facilidade.

Abordagem híbrida e agilidade criptográfica

Como os algoritmos novos são mais recentes e menos testados do que RSA e curvas elípticas, uma prática recomendada é a abordagem híbrida: combinar um algoritmo clássico e um pós-quântico, de modo que a segurança se mantenha se um dos dois falhar. Muitos navegadores e serviços de infraestrutura já vêm implantando trocas de chaves híbridas em conexões seguras.

O conceito de agilidade criptográfica também é central: projetar sistemas de modo que os algoritmos possam ser trocados sem reescrever tudo, porque a criptografia envelhece.

O que empresas e organizações devem fazer

1. Faça um inventário criptográfico: onde e como a criptografia de chave pública é usada, em sistemas, produtos, contratos com fornecedores e dispositivos.
2. Classifique os dados pelo tempo em que precisam permanecer confidenciais e pelo impacto de uma exposição futura.
3. Priorize os sistemas críticos e os dados de longa vida.
4. Pergunte aos fornecedores sobre planos de migração e suporte a algoritmos pós-quânticos.
5. Planeje a agilidade criptográfica na arquitetura.
6. Teste as implementações em ambientes controlados, com atenção ao desempenho, pois chaves e assinaturas pós-quânticas costumam ser maiores.
7. Acompanhe as orientações oficiais dos órgãos de padrões e de segurança.
8. Envolva a governança: o tema afeta risco, compras e conformidade. Veja também o que é a LGPD para a proteção de dados pessoais.

E as pessoas comuns?

Para quem usa a tecnologia no dia a dia, o esforço é indireto:

• Mantenha sistemas e aplicativos atualizados, porque as migrações chegarão por atualizações de navegadores, sistemas e serviços.
• Prefira serviços que informem seus planos de segurança e mantenham a infraestrutura em dia.
• Continue seguindo as boas práticas básicas: senhas fortes, autenticação em dois fatores e cuidado com golpes, que são uma ameaça muito mais imediata do que a computação quântica. Veja segurança digital.

Não há motivo para pânico nem para medidas caseiras. A ameaça é de médio a longo prazo, e a resposta é organizada por especialistas e fabricantes.

Criptomoedas e blockchains

Muitas blockchains usam assinaturas de curvas elípticas, que seriam vulneráveis a uma máquina quântica grande. Pesquisadores e comunidades discutem migrações para esquemas pós-quânticos, com desafios técnicos e de coordenação, porque exigem mudanças no protocolo e o movimento de fundos para novos tipos de endereço. Veja o contexto em Bitcoin e Ethereum: diferenças técnicas e em carteiras de criptomoedas.

Desafios técnicos

• Tamanho: chaves e assinaturas maiores aumentam o uso de banda e de memória.
• Desempenho: alguns algoritmos são mais lentos em certos ambientes, embora outros sejam competitivos.
• Maturidade: algoritmos novos precisam de escrutínio contínuo. Um dos candidatos do processo do NIST foi quebrado com um computador comum durante a avaliação, o que mostra a importância do processo aberto.
• Implementação segura: erros de programação e ataques a implementações (canais laterais) são riscos reais.
• Interoperabilidade: todos os lados de uma conexão precisam suportar os algoritmos.
• Dispositivos limitados, como sensores e cartões, com pouca memória.

Perguntas frequentes

A criptografia atual já foi quebrada por computadores quânticos?

Não. Ainda não existe um computador quântico com capacidade para isso. A preocupação é com o futuro e com dados que precisam de sigilo prolongado.

Preciso fazer algo agora como usuário comum?

Basicamente, manter tudo atualizado e seguir as boas práticas de segurança. As mudanças serão feitas por fabricantes e serviços.

A criptografia pós-quântica é segura?

Os algoritmos padronizados passaram por anos de análise pública, mas nenhuma criptografia tem segurança comprovada de forma absoluta. Por isso, a abordagem híbrida e a agilidade criptográfica são recomendadas.

AES precisa ser trocado?

O AES, com chaves suficientemente grandes, é considerado resistente ao que se sabe de ataques quânticos. A recomendação é usar tamanhos de chave adequados. A grande mudança está na criptografia de chave pública.

Qual é a diferença entre PQC e criptografia quântica?

A PQC é um conjunto de algoritmos que roda em computadores comuns e resiste a ataques quânticos. A "criptografia quântica" costuma se referir a técnicas que usam a física quântica, como a distribuição quântica de chaves, que exigem hardware específico.

Conclusão

Computadores quânticos futuros ameaçam a criptografia de chave pública usada hoje, como RSA e curvas elípticas. Como a migração é lenta e dados podem ser coletados agora para decifrar depois, órgãos como o NIST já publicaram padrões pós-quânticos e propõem cronogramas.

A resposta é técnica e organizada: inventário, priorização, abordagem híbrida e agilidade criptográfica. Para a maioria das pessoas, basta manter tudo atualizado. Este guia foi revisado em setembro de 2026, e os padrões e os prazos evoluem, por isso confira as fontes oficiais.

Fontes

• NIST. Post-Quantum Cryptography.
• NIST. NIST Releases First 3 Finalized Post-Quantum Encryption Standards.
• NIST. FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard.
• NIST. NIST IR 8547: Transition to Post-Quantum Cryptography Standards.
• Shor, P. Polynomial-Time Algorithms for Prime Factorization and Discrete Logarithms on a Quantum Computer (1995).
• CISA. Post-Quantum Cryptography Initiative.