Criptografia pós-quântica: os padrões do NIST e como funciona a migração

Como os primeiros padrões pós-quânticos do NIST se encaixam, por que a migração precisa começar antes do Q-Day e quais etapas práticas as organizações enfrentam agora.

Esta página foi traduzida do inglês. Os nomes de empresas e produtos e os links das fontes permanecem inalterados. Leia o original em inglês

A criptografia pós-quântica é o esforço para substituir a criptografia de chave pública vulnerável de hoje por alternativas que se acredita resistirem a ataques de futuros computadores quânticos. Os três primeiros padrões finalizados do NIST, lançados em 2024, significam que a transição saiu da pesquisa e entrou na implantação: agora, espera-se que as organizações inventariem onde algoritmos expostos são usados, decidam o que substituir primeiro e iniciem um trabalho de migração que levará vários anos.

Por que a criptografia pós-quântica é necessária

O problema não é que computadores quânticos possam quebrar tudo. A principal preocupação é mais específica e mais importante: sistemas de chave pública amplamente usados dependem de problemas matemáticos como fatoração de inteiros, logaritmos discretos e logaritmos discretos em curvas elípticas. Um computador quântico suficientemente capaz executando o algoritmo de Shor poderia resolver esses problemas de forma eficiente, o que comprometeria sistemas como RSA, Diffie–Hellman em corpos finitos e Diffie–Hellman em curvas elípticas.

Essa ameaça ainda é prospectiva. Em 2026, os computadores quânticos ainda não têm poder de processamento para quebrar sistemas criptográficos amplamente implantados, e demonstrações laboratoriais do algoritmo de Shor só funcionaram com números muito pequenos. O obstáculo prático não é a possibilidade teórica, mas a escala de engenharia: a Wikipedia observa que superar métodos clássicos pode exigir máquinas com milhões de qubits por causa da sobrecarga de correção de erros.

Mesmo assim, esperar por um computador quântico plenamente capaz seria um erro. A migração leva anos, e alguns dados têm um longo tempo de vida de confidencialidade. É por isso que “colher agora, descriptografar depois” se tornou um conceito central de planejamento. Um adversário pode coletar hoje tráfego criptografado ou texto cifrado armazenado e mantê-lo até que avanços futuros tornem a descriptografia possível. Para arquivos de e-mail, dados de saúde, propriedade intelectual, registros governamentais ou logs de infraestrutura crítica, o dano pode chegar muito depois de os dados terem sido interceptados pela primeira vez.

O que a computação quântica muda — e o que não muda

Um equívoco comum é achar que a computação quântica torna toda a criptografia obsoleta.

A maior parte da criptografia simétrica atual e das funções hash é considerada relativamente segura contra ataques quânticos. O algoritmo de Grover pode acelerar a busca por força bruta contra cifras simétricas, mas esse efeito pode ser compensado na prática com o uso de chaves maiores, como dobrar o tamanho da chave. Portanto, a maior ruptura está na criptografia de chave pública, especialmente em:

estabelecimento e troca de chaves
criptografia de chave pública e encapsulamento de chaves
assinaturas digitais

É por isso que o programa de PQC do NIST se concentrou em mecanismos de encapsulamento de chaves, ou KEMs, e algoritmos de assinatura digital, em vez de substituir tudo na pilha de uma só vez.

O que o NIST padronizou primeiro

O NIST lançou seu esforço formal de padronização no fim de 2016, após uma chamada de propostas. Segundo o registro de padronização, 69 submissões completas e adequadas entraram na primeira rodada, e sete candidatos chegaram à terceira rodada anunciada em julho de 2020. Após anos de avaliação, o NIST finalizou seus três primeiros padrões em 13 de agosto de 2024.

Esses padrões são:

FIPS 203: ML-KEM, o mecanismo de encapsulamento de chaves baseado em reticulados modulares, baseado em CRYSTALS-Kyber
FIPS 204: ML-DSA, o algoritmo de assinatura digital baseado em reticulados modulares, baseado em CRYSTALS-Dilithium
FIPS 205: SLH-DSA, o algoritmo de assinatura digital sem estado baseado em hash, baseado em SPHINCS+

O NIST descreve o ML-KEM como o padrão principal para criptografia geral, destacando suas chaves de criptografia relativamente pequenas e sua velocidade. O ML-DSA é o padrão principal para assinaturas digitais. O SLH-DSA usa uma base matemática diferente e foi pensado como alternativa de reserva caso o ML-DSA venha a se mostrar vulnerável no futuro.

A própria orientação do NIST é explícita: esses três padrões estão prontos para uso imediato, e as organizações devem começar a aplicá-los agora.

Por que há vários padrões, e não um único vencedor

O campo pós-quântico não tem uma única base matemática dominante. Famílias diferentes têm forças, características de implementação e perfis de risco diferentes. As escolhas do NIST refletem uma mentalidade de portfólio.

A criptografia baseada em reticulados hoje carrega grande parte da carga de implantação. Os primeiros algoritmos baseados em reticulados padronizados pelo NIST são ML-KEM e ML-DSA. Eles são atraentes em parte por causa do desempenho e de tamanhos de chave administráveis.

Mas a diversificação importa. O NIST selecionou o SLH-DSA, um esquema de assinatura baseado em hash, como reserva para a assinatura principal baseada em reticulados. Depois, em 11 de março de 2025, o NIST selecionou o HQC como KEM de reserva para criptografia geral. O HQC é baseado em códigos, não em reticulados, e o NIST disse que essa diferença de abordagem matemática é o motivo para mantê-lo como alternativa de contingência.

A mensagem é estratégica: não aposte o futuro da confiança digital em uma única hipótese.

Os próximos padrões no pipeline

O trabalho de PQC do NIST não terminou com o lançamento de 2024.

A página do projeto CSRC diz que o NIST continua o trabalho de padronização em:

Falcon, um algoritmo de assinatura digital
HQC, um mecanismo de encapsulamento de chaves

O registro de padronização diz que o padrão baseado em Falcon se chamará FN-DSA na FIPS 206. Em meados de 2026, ele permanecia em status de rascunho. O motivo citado para o cronograma mais lento é a complexidade de implementação: o FN-DSA depende de amostragem gaussiana em ponto flutuante no processo de assinatura, o que, segundo o NIST, é mais difícil de implementar com segurança e em tempo constante do que os três padrões já finalizados.

Para o HQC, o NIST disse em março de 2025 que um rascunho de padrão era esperado em cerca de um ano, com um padrão final previsto para 2027 após consulta pública.

Esse cronograma escalonado importa do ponto de vista operacional. As organizações não precisam esperar por todas as opções futuras antes de agir. O NIST espera que ML-KEM, ML-DSA e SLH-DSA formem a base da maioria das implantações e diz que eles já devem estar em uso.

Um mapa rápido dos primeiros padrões

Padrão	Nome do algoritmo	Função principal	Família matemática	Descrição do papel segundo o NIST
FIPS 203	ML-KEM	Estabelecimento de chaves / suporte a criptografia geral	Baseado em reticulados	Padrão principal para criptografia geral
FIPS 204	ML-DSA	Assinaturas digitais	Baseado em reticulados	Padrão principal para assinaturas
FIPS 205	SLH-DSA	Assinaturas digitais	Baseado em hash	Método de assinatura de reserva
Futuro	FN-DSA	Assinaturas digitais	Baseado em reticulados NTRU	Padrão adicional de assinatura em desenvolvimento
Futuro	HQC	Estabelecimento de chaves / suporte a criptografia geral	Baseado em códigos	KEM de reserva para ML-KEM

Como a migração realmente funciona

A migração tem menos a ver com trocar uma biblioteca e mais com redesenhar dependências criptográficas em todos os sistemas.

A orientação de migração do NIST diz que as organizações precisam identificar onde algoritmos vulneráveis são usados e planejar atualizações ou substituições para produtos, serviços e protocolos. Isso significa localizar criptografia em lugares onde ela muitas vezes é mal documentada:

terminação de TLS e links internos entre serviços
VPNs e sistemas de acesso remoto
PKI e fluxos de trabalho de certificados
assinatura de código e assinatura de documentos
módulos de segurança de hardware e sistemas de atualização de firmware
ferramentas de identidade, acesso e gerenciamento de chaves
dispositivos embarcados e tecnologia operacional
dados armazenados de longa duração protegidos por esquemas antigos de estabelecimento de chaves

O primeiro passo costuma ser o inventário criptográfico: onde RSA, Diffie–Hellman ou mecanismos de curva elíptica são usados, direta ou indiretamente por meio de produtos de terceiros? O segundo é a priorização: quais sistemas têm alto risco porque lidam com segredos de longa duração ou são difíceis de atualizar? O terceiro é a execução: testes, trabalho de interoperabilidade, implantação em fases e mudanças de política.

O cronograma do NIST aumenta a urgência. Segundo a linha do tempo de transição mencionada na página do CSRC, o NIST planeja descontinuar e, por fim, remover algoritmos vulneráveis a ataques quânticos de seus padrões até 2035, com sistemas de maior risco avançando muito antes.

Os maiores trade-offs de engenharia

A migração pós-quântica não é apenas um exercício de conformidade. Ela envolve compromissos técnicos reais.

Um trade-off amplo é tamanho versus eficiência. Os materiais de PQC do NIST observam que muitos algoritmos de PQC usam chaves maiores do que sistemas de chave pública pré-quânticos. Eles também descrevem trade-offs entre tamanho de chave, eficiência computacional e tamanho de texto cifrado ou assinatura. Para protocolos voltados para a internet e dispositivos com restrições, essas diferenças podem afetar largura de banda, latência, memória e complexidade de implementação.

Outro trade-off é maturidade versus diversidade. Os sistemas baseados em reticulados dominam os primeiros padrões porque tiveram desempenho suficientemente bom nas avaliações do NIST para se tornarem as escolhas principais. Mas o risco de concentração é real, e é por isso que padrões de reserva baseados em outra matemática estão sendo desenvolvidos.

Segurança de implementação é uma terceira questão. O registro de padronização menciona preocupações com canais laterais no Falcon e observa que possíveis mitigações podem afetar o desempenho. De modo mais geral, um projeto criptográfico pode parecer forte no papel e ainda assim ser difícil de implementar com segurança na prática.

O que os padrões não resolvem

A existência de um padrão não prova segurança eterna. Acredita-se, mas não se prova, que algoritmos pós-quânticos resistam a ataques quânticos. Essa ressalva está incorporada ao próprio campo.

Também há lições do processo do NIST. Alguns candidatos foram quebrados durante a avaliação. A Wikipedia destaca dois exemplos especialmente visíveis: Rainbow foi quebrado em um computador clássico durante a terceira rodada, e SIKE foi quebrado na quarta rodada. Essas falhas não invalidam a PQC como um todo; elas mostram por que a criptoanálise pública e a padronização conservadora levam tempo.

Permanecem questões em aberto sobre:

confiança de longo prazo nos problemas matemáticos escolhidos
qualidade de implementação entre fornecedores e pilhas open source
resistência a canais laterais em hardware e software reais
interoperabilidade em protocolos e ecossistemas de certificados
quão agressivamente as organizações devem diversificar entre famílias de algoritmos

Uma forma prática de pensar sobre “quando migrar”

Para a maioria das organizações, a forma correta de enquadrar a questão não é “O Q-Day é no ano que vem?”, mas “Quanto tempo nossa migração vai levar e por quanto tempo nossos dados precisam permanecer seguros?”

Se seus sistemas são profundamente embarcados, regulados, distribuídos globalmente ou dependentes de fornecedores, a transição pode ser lenta. Se seus dados ainda forem sensíveis daqui a anos, o risco de colher agora e descriptografar depois torna o adiamento mais caro. Essa lógica explica por que o NIST está incentivando a adoção imediata dos padrões de 2024, mesmo que os computadores quânticos ainda não tenham atingido a escala necessária.

Em resumo, a migração para PQC é uma transição clássica de infraestrutura: comece antes da emergência, porque, quando a emergência se tornar óbvia, será tarde demais para migrar com tranquilidade.

Principais pontos

A criptografia pós-quântica trata principalmente de substituir sistemas vulneráveis de chave pública, não de descartar toda a criptografia existente.
Um computador quântico suficientemente capaz executando o algoritmo de Shor poderia quebrar RSA, Diffie–Hellman e Diffie–Hellman em curvas elípticas.
O NIST finalizou seus três primeiros padrões de PQC em 13 de agosto de 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA).
O NIST diz que esses padrões já estão prontos e que as organizações devem iniciar a migração imediatamente.
ML-KEM é o padrão principal para estabelecimento de chaves relacionado à criptografia geral; ML-DSA é o principal padrão de assinatura; SLH-DSA é um método de assinatura de reserva.
Em março de 2025, o NIST selecionou o HQC como KEM de reserva baseado em matemática diferente da do ML-KEM.
A migração começa com a descoberta de onde algoritmos vulneráveis são usados, seguida da priorização de sistemas de alto risco e do planejamento de substituição em fases.
Trade-offs importantes incluem material de chave maior, custos de desempenho e largura de banda, complexidade de implementação e o valor da diversidade matemática.
Os padrões de PQC reduzem o risco futuro, mas não eliminam a incerteza; criptoanálise contínua, revisão de implementação e testes operacionais continuam sendo essenciais.
A urgência central vem dos longos tempos de transição e da possibilidade de ataques de colher agora, descriptografar depois contra dados que precisam permanecer confidenciais por anos.