Distribuição quântica de chaves vs criptografia pós-quântica: contra o que cada uma protege

Como a distribuição quântica de chaves e a criptografia pós-quântica diferem em objetivos, pressupostos, trade-offs de implantação e nas ameaças que cada uma aborda.

Esta página foi traduzida do inglês. Os nomes de empresas e produtos e os links das fontes permanecem inalterados. Leia o original em inglês

A distribuição quântica de chaves e a criptografia pós-quântica costumam ser agrupadas como tecnologias “seguras contra ataques quânticos”, mas elas resolvem problemas diferentes de maneiras diferentes. A QKD é um método para criar chaves secretas compartilhadas cuja segurança está ligada ao comportamento da mecânica quântica, enquanto a PQC é uma família de algoritmos, em sua maioria de chave pública, destinada a manter os sistemas digitais atuais seguros contra futuros computadores quânticos.

Na prática, a escolha geralmente não é uma ou outra. A QKD trata do estabelecimento de chaves com detecção de espionagem sob pressupostos físicos e de rede específicos; a PQC trata de substituir blocos fundamentais vulneráveis da criptografia em toda a infraestrutura existente. Entender contra o que cada uma protege começa por essa distinção.

Duas respostas diferentes para a ameaça quântica

A preocupação central por trás das duas abordagens é que a computação quântica ameaça muitos sistemas de chave pública amplamente usados. Segundo o resumo da Wikipédia sobre criptografia pós-quântica, a maioria dos algoritmos de chave pública em uso depende da fatoração de inteiros, de logaritmos discretos ou de logaritmos discretos em curvas elípticas, e um computador quântico suficientemente poderoso executando o algoritmo de Shor poderia resolver esses problemas de forma eficiente.

Isso não significa que toda a criptografia quebra de uma vez. O resumo da Wikipédia também diz que a criptografia simétrica atual e as funções hash são consideradas relativamente seguras contra ataques quânticos, embora o algoritmo de Grover possa acelerar a busca por força bruta e isso possa ser neutralizado na prática dobrando o tamanho da chave.

A partir daí, QKD e PQC seguem caminhos diferentes:

QKD busca permitir que duas partes gerem uma chave secreta aleatória compartilhada usando estados quânticos.
PQC busca substituir algoritmos clássicos vulneráveis de chave pública por novos algoritmos que hoje se acredita, embora sem prova definitiva, resistirem a ataques quânticos.

Essa diferença de escopo importa. A QKD não criptografa, por si só, os dados da sua aplicação; ela distribui chaves. Já a PQC foi pensada para ocupar os lugares em que a criptografia de chave pública já é usada para estabelecimento de chaves e assinaturas digitais.

Contra o que a QKD protege

A QKD é um método de comunicação segura baseado na mecânica quântica, incluindo o princípio da perturbação pela medição e o teorema da não clonagem. Seu objetivo é permitir que duas partes criem uma chave secreta compartilhada conhecida apenas por elas.

Sua propriedade de segurança distintiva é a detecção de espionagem. Em geral, medir um sistema quântico o perturba. Assim, se um terceiro tentar descobrir a chave medindo os estados quânticos transmitidos, essa interferência cria anomalias que as partes legítimas podem detectar. Se a perturbação observada ficar abaixo de um limite, elas ainda podem derivar uma chave segura; se for alta demais, interrompem o processo.

O artigo da Wikipédia sobre distribuição quântica de chaves descreve a segurança da QKD como baseada na física, e não na suposta dificuldade de problemas matemáticos. Ele também descreve a QKD como tendo segurança demonstrável com base na teoria da informação e como fornecendo sigilo de encaminhamento (forward secrecy).

Dito isso, a QKD protege uma parte mais estreita do problema do que muita gente supõe:

Ela protege o processo de distribuição de uma chave.
Ela não transmite diretamente os dados da mensagem.
A chave resultante ainda precisa ser usada com um método de criptografia, como a cifra de Vernam (one-time pad) ou um algoritmo simétrico como o AES.

Portanto, se a pergunta é “O que a QKD protege?”, a resposta é: ela protege a confidencialidade da própria troca de chaves, sob os pressupostos do protocolo e da implementação, ao tornar detectável a espionagem no canal quântico.

Como a QKD funciona em alto nível

O artigo da Wikipédia sobre distribuição quântica de chaves descreve duas grandes famílias de protocolos de QKD.

Preparar e medir

Nesse modelo, uma das partes prepara estados quânticos e os envia por um canal quântico inseguro. O receptor os mede. Depois, por um canal clássico autenticado, os dois lados comparam informações limitadas para verificar se as medições são consistentes com uma transmissão sem perturbação.

Se não forem, eles inferem possível espionagem ou ruído excessivo e podem interromper o processo.

O exemplo mais conhecido é o BB84, introduzido por Charles H. Bennett e Gilles Brassard em 1984. No BB84, o remetente codifica bits aleatórios em uma de duas bases possíveis, e o receptor mede cada estado quântico recebido usando uma base escolhida aleatoriamente. Em seguida, eles comparam publicamente as escolhas de base e descartam as posições em que usaram bases diferentes. Depois, testam um subconjunto dos bits restantes em busca de erros; erros em excesso indicam que a segurança não pode ser garantida.

Baseado em emaranhamento

Esses protocolos usam estados emaranhados compartilhados entre as duas partes. A Wikipédia explica que medir uma das metades de um par emaranhado afeta o sistema como um todo, e a interceptação altera as correlações de maneiras detectáveis. Um exemplo citado é o E91, proposto por Artur Ekert em 1991.

Para quem não é especialista, o ponto importante é que ambas as famílias tentam atingir o mesmo objetivo: gerar uma chave secreta compartilhada ao mesmo tempo em que tornam a interceptação visível.

A dependência oculta da QKD: autenticação

A principal característica destacada da QKD pode esconder uma exigência crucial. O artigo da Wikipédia sobre distribuição quântica de chaves afirma que a QKD normalmente depende de um canal clássico autenticado. É assim que as duas partes sabem que estão realmente falando uma com a outra durante a etapa de discussão pública, e não com alguém se passando por uma delas.

Isso cria uma limitação prática importante:

Para autenticar esse canal clássico, as partes já precisam de alguma base criptográfica confiável, como uma chave simétrica previamente trocada ou chaves públicas suficientemente seguras.

Isso significa que a QKD não elimina o problema da autenticação. Ela resolve a distribuição de chaves sob a premissa de que a autenticação já está disponível.

O artigo da Wikipédia é incomumente direto sobre a consequência: se você já tem o necessário para autenticar de forma segura, então, na prática, talvez consiga obter comunicação segura sem QKD, usando criptografia simétrica convencional. Ele chega a caracterizar a QKD como fazendo o trabalho de uma cifra de fluxo a um custo muito mais alto.

Esse é um dos principais trade-offs no debate sobre QKD. Seu modelo de segurança é atraente, mas o custo de implantação no nível de sistema é substancial.

Contra o que a PQC protege

A PQC aborda uma superfície de ameaça diferente. Ela consiste no desenvolvimento de algoritmos criptográficos, geralmente algoritmos de chave pública, que hoje se acredita permanecerem seguros contra ataques de computadores quânticos.

Seu principal alvo é a futura falha dos sistemas de chave pública atuais. O resumo da Wikipédia sobre criptografia pós-quântica também destaca duas razões pelas quais a migração é urgente antes da existência de grandes computadores quânticos:

A migração leva tempo.
Colher agora, descriptografar depois é uma preocupação real: dados coletados hoje ainda podem ser sensíveis daqui a anos.

Assim, a PQC protege contra dois riscos relacionados:

A futura descriptografia de dados protegidos hoje com métodos de chave pública vulneráveis a ataques quânticos.
A futura falsificação ou falha de mecanismos de autenticidade que dependem desses mesmos métodos vulneráveis.

Ao contrário da QKD, a PQC não se baseia em hardware de comunicação quântica. Trata-se de uma transição criptográfica clássica: substituir algoritmos em software, hardware, protocolos e padrões.

A PQC é mais ampla do que uma única família de algoritmos

O resumo da Wikipédia sobre criptografia pós-quântica lista várias linhas de pesquisa em PQC, incluindo criptografia baseada em reticulados, multivariada, baseada em hash, baseada em códigos e baseada em isogenias, além de abordagens de chave simétrica com chaves suficientemente grandes.

Uma nuance central é que a PQC não tem segurança provada de forma abrangente. A Wikipédia descreve repetidamente esses sistemas como atualmente considerados seguros e observa que alguns candidatos fracassaram. Um exemplo marcante é o SIDH/SIKE, que foi quebrado em 2022.

Isso não invalida a PQC como um todo, mas mostra que “resistente a ataques quânticos” não é um rótulo permanente. É um processo de pesquisa e padronização construído sobre criptoanálise contínua.

Algumas famílias têm reduções formais mais fortes do que outras, e algumas envolvem trade-offs práticos, como chaves, assinaturas ou textos cifrados maiores. A Wikipédia observa que muitos algoritmos de PQC exigem tamanhos de chave maiores do que os sistemas de chave pública pré-quânticos, e que isso pode criar trade-offs em tamanho de transmissão e eficiência computacional.

Padronização e realidade de implantação

O sinal mais claro sobre o status prático da PQC vem do NIST.

O NIST afirma que publicou seus principais padrões de PQC em 2024 e que as organizações devem começar a migração agora. Os padrões listados são:

FIPS 203: ML-KEM
FIPS 204: ML-DSA
FIPS 205: SLH-DSA

O NIST também afirma que esses padrões devem servir de base para a maioria das implantações e que padrões adicionais estão em andamento, incluindo Falcon e HQC. Afirma ainda que, de acordo com o cronograma de transição no NIST IR 8547, os algoritmos vulneráveis a ataques quânticos serão descontinuados e, por fim, removidos dos padrões do NIST até 2035, com os sistemas de maior risco avançando antes.

Esse é um contraste importante em relação à QKD. Independentemente do que se pense sobre os méritos de longo prazo de cada abordagem, a PQC já está em uma trilha de migração baseada em padrões, voltada para implantação ampla na infraestrutura digital comum.

Lado a lado: contra o que cada uma protege

Aspecto	Distribuição quântica de chaves	Criptografia pós-quântica
Finalidade principal	Criar uma chave secreta compartilhada	Substituir algoritmos vulneráveis de chave pública
Base de segurança	Mecânica quântica e perturbação detectável	Algoritmos clássicos considerados resistentes a ataques quânticos
O que protege diretamente	A confidencialidade da distribuição de chaves	Estabelecimento de chaves, assinaturas e outras funções de chave pública em sistemas digitais
Detecção de espionagem	Sim, como propriedade nativa do protocolo	Não há propriedade física equivalente de detecção
Exigência de hardware	Requer um canal quântico mais um canal clássico	Funciona sobre infraestrutura digital clássica
Necessidade de autenticação	Requer um canal clássico autenticado	Fornece mecanismos de autenticação por si só por meio de padrões de assinatura/KEM
Modelo de implantação	Links especializados e configuração de protocolo	Migração de software, hardware e protocolos em sistemas existentes
Principal trade-off evidenciado	Alto custo e dependência de autenticação prévia	Chaves/assinaturas maiores e risco contínuo na avaliação dos algoritmos

Então qual das duas protege “mais”?

Nenhuma protege mais de forma universal; elas protegem de maneiras diferentes.

A QKD oferece uma alegação de segurança distintiva para distribuição de chaves: tentativas de interceptação no canal quântico são, em princípio, detectáveis. Para aplicações em que essa propriedade seja decisiva, a QKD pode ser atraente. Mas ela vem com pressupostos exigentes, especialmente a necessidade de um canal clássico autenticado e de infraestrutura de comunicação especializada.

A PQC aborda o problema mais amplo e mais imediato no nível de sistemas: substituir a criptografia de chave pública que um futuro computador quântico poderia quebrar. Ela não oferece a detecção de espionagem baseada em física da QKD, mas foi projetada para proteger as funções criptográficas das quais as redes modernas realmente dependem em escala.

Outra forma de colocar isso:

Se sua preocupação é como dois pontos finais estabelecem chaves por um canal observável quânticamente, a QKD é a ferramenta relevante.
Se sua preocupação é como a internet, as cadeias de fornecimento de software, os sistemas de identidade e os dados criptografados de longa duração sobreviverão à chegada de ataques quânticos, a PQC é a resposta central.

As questões em aberto e os trade-offs

Uma visão equilibrada deve manter várias incertezas em perspectiva.

Para a QKD:

Sua proposta de segurança é forte em teoria, mas depende de implementação correta.
Ela não elimina a necessidade de autenticação.
A Wikipédia levanta explicitamente a questão prática de saber se o custo adicional se justifica quando a criptografia autenticada clássica já pode atender à necessidade.

Para a PQC:

Acredita-se, mas não está provado, que esses algoritmos sejam seguros contra ataques quânticos.
Algumas famílias ou esquemas candidatos fracassaram sob criptoanálise.
A implantação prática pode envolver chaves maiores e outros trade-offs de desempenho.

Ainda assim, o NIST aponta para um consenso operacional atual: migrar agora para a PQC padronizada, porque esperar por computadores quânticos totalmente maduros pode deixar pouco tempo para proteger a confidencialidade e a autenticidade de longo prazo.

Principais conclusões

QKD e PQC não são substitutas em um sentido simples. A QKD distribui chaves secretas; a PQC substitui a criptografia vulnerável de chave pública.
A característica de destaque da QKD é a espionagem detectável no canal quântico, enraizada na perturbação quântica causada pela medição.
A QKD não criptografa mensagens por si só e normalmente requer um canal clássico autenticado, o que significa que alguma base de confiança já precisa existir.
A PQC se destina ao problema mais amplo da migração criado pelas ameaças quânticas aos sistemas atuais de chave pública.
A criptografia simétrica atual é menos afetada pela computação quântica do que a criptografia atual de chave pública, embora tamanhos de chave maiores possam ser prudentes.
A PQC já está entrando nos padrões dominantes. O NIST publicou o FIPS 203, 204 e 205 em 2024 e diz que as organizações devem começar a migração agora.
Nenhum dos dois caminhos é gratuito. A QKD traz exigências de infraestrutura e autenticação; a PQC traz incerteza algorítmica e trade-offs de desempenho, como chaves maiores.
Para a maioria das organizações, a PQC é a principal resposta de curto prazo ao risco quântico, enquanto a QKD trata de um objetivo de segurança mais estreito e mais especializado.