Criptografia pós-quântica: como preparar a internet para o computador quântico

Em algum lugar - num servidor que nunca irá ver - estão a acumular cópias desse tráfego. Quem o faz está a apostar numa máquina do futuro. A aposta é simples: quando surgir um computador quântico prático, as fechaduras de hoje deixam de aguentar.

Estou num laboratório discreto de um campus, já depois de horas, com as luzes baixas e o ar cheio daquele zumbido de ventoinhas que só se nota quando a sala fica em silêncio. Um engenheiro informático, de camisola com capuz já gasta, desenha um laço no quadro branco e depois outro a cruzá-lo, como carris a intersectarem-se: “É aqui que estamos e é aqui que temos de chegar.” Fala de chaves e de matemática como se fossem ferramentas de carpintaria, aponta para uma rede desenhada à pressa, pára para beber um café morno. Vamos até a um bastidor onde filamentos de fibra brilham ao de leve por trás de vidro fumado - segredos de uma cidade inteira a pulsar. Ele sorri, com aquele ar de quem sabe que há trabalho pela frente, mas também um caminho possível. E o relógio já está a contar.

De fechaduras frágeis a escudos à prova de física

Durante décadas, as “fechaduras” da internet assentaram em problemas difíceis para computadores normais: a factorização de números enormes e o quebra-cabeças do logaritmo discreto. Foram fiéis, silenciosamente. Mas há uma tempestade a formar-se no horizonte: máquinas quânticas a correr o algoritmo de Shor podem partir essas proteções como plástico quebradiço. O ponto do engenheiro não é alarmismo; é calendário. Uma camada de proteção guiada por ideias quânticas - criptografia pós‑quântica e, em casos selecionados, distribuição quântica de chaves - está a chegar mais depressa do que a maioria imagina.

As pistas no mundo real já se veem. Em 2024, o NIST concluiu a primeira vaga de normas pós‑quânticas, atribuindo nomes e parâmetros a algoritmos que vão substituir o RSA e as curvas elípticas em componentes essenciais. A Google e a Cloudflare já experimentaram negociações híbridas que juntam as curvas atuais a chaves baseadas em redes (lattices) e já as disponibilizaram à escala da internet. Bancos, hospitais e redes espaciais estão a planear migrações. E o impulso sente-se nos detalhes: atualizações de firmware que mencionam “PQC”, roadmaps de fornecedores com novas opções assinaláveis, documentos de compras a pedir prazos. Já não é teoria; é canalização.

O que muita gente chama “encriptação quântica” costuma dividir-se em dois caminhos. O primeiro é a criptografia pós‑quântica: algoritmos construídos sobre matemática que se acredita resistir a ataques quânticos - como redes, códigos e funções hash. Correm em dispositivos comuns e encaixam nos protocolos que já usamos. O segundo é a distribuição quântica de chaves (QKD): chaves geradas com fotões, onde a interferência se manifesta como ruído, muito útil para ligações especializadas por fibra ou satélite. O engenheiro é direto: uma combinação destas abordagens vai proteger a maioria das comunicações. A estratégia é começar pelo software com PQC e recorrer a QKD onde a física e os orçamentos o justificarem.

O que fazer a seguir: guia de campo de criptografia pós‑quântica (PQC) para equipas

Comece por um mapa, não por um comunicado. Faça um inventário criptográfico dos seus sistemas: onde vivem TLS, SSH, VPNs e assinaturas; que bibliotecas e dispositivos estão em uso; que dados precisam de permanecer confidenciais durante cinco, dez ou vinte anos. Assinale o que for sensível ao cenário “recolher agora, desencriptar depois” - segredos comerciais, dados pessoais (PII) e gravações de longa duração. Depois, acenda um ambiente de testes. Ative uma negociação TLS 1.3 híbrida que combine X25519 com um KEM baseado em redes alinhado com as novas normas do NIST e meça o tamanho do handshake, CPU e latência sob os seus padrões reais de tráfego.

Evite arrancar e substituir tudo à pressa, sem visibilidade. Percorra a sua pilha por camadas: browsers e serviços de borda; APIs e barramentos internos de mensagens; cópias de segurança e arquivos; canais de atualização de firmware; pipelines de assinatura de código. Durante a transição, mantenha certificados de vida curta e introduza “agilidade criptográfica”: a capacidade de trocar algoritmos sem deitar a casa abaixo. Sejamos francos: quase ninguém pratica isto todos os dias. Por isso, escreva o playbook, execute-o uma vez com cuidado e depois incorpore-o nos ciclos normais de mudança.

Todos já vimos aquele caso em que uma atualização parece impecável em staging e, em produção, um pormenor de canto derruba tudo. É por isso que o engenheiro repete a mesma frase, em salas diferentes.

“Migrem como quem aterra um avião com vento cruzado: mãos firmes, checklists claras, olhos nos instrumentos.”

Pilote a mudança com uma equipa que compreenda tanto código como cabos. Em seguida, dê-lhes uma checklist simples e pública, fácil de reenviar:

• Inventariar a criptografia: protocolos, bibliotecas, dispositivos, duração das chaves.
• Priorizar dados de longa vida com risco de recolher agora, desencriptar depois.
• Ativar TLS híbrido com um KEM baseado em redes selecionado pelo NIST.
• Encurtar a duração de certificados e chaves; rodar com frequência.
• Introduzir agilidade criptográfica nos pipelines de build e de deployment.

O que esta mudança significa para a internet que levamos no bolso

Há uma viragem cultural embutida nesta atualização. A web inicial parecia um aperto de mão otimista; depois, transformou-se numa fortaleza com fossos e crachás. A criptografia resistente ao quântico empurra-nos para uma segurança mais discreta - aquela que vive nos valores por defeito e acaba por se tornar memória muscular. Quando as novas normas forem o tecido comum - em browsers, terminais de pagamento, satélites e contadores inteligentes - a alteração será quase invisível, como uma cidade a substituir condutas de água durante a noite.

O engenheiro não a romantiza. Chama-lhe infraestrutura: daquelas coisas que só se notam quando falham - e é precisamente esse o objetivo. Quando as falhas deixarem de ser manchetes, saberemos que a camada está a funcionar. É esse o conforto estranho desta história: a maior mudança chega como um encolher de ombros, resistente ao quântico por defeito - e depois as pessoas voltam à sua vida.

Ponto‑chave	Detalhe	Interesse para o leitor
Implementação pós‑quântica	O NIST normalizou algoritmos baseados em redes em 2024; fornecedores já estão a disponibilizar TLS híbrido	Mostra que a mudança é real e próxima, não ficção científica
Playbook de migração	Inventariar, priorizar dados de longa duração, ativar híbrido, encurtar durações, adicionar agilidade	Passos concretos que pode adaptar já neste trimestre
Onde a QKD se encaixa	Chaves com fotões para ligações especializadas; a PQC cobre o resto	Ajuda a evitar erros caros e armadilhas de exagero

FAQ:

• O que é, ao certo, “encriptação quântica”? Misturam-se duas coisas: criptografia pós‑quântica (nova matemática que resiste a ataques quânticos e corre em dispositivos comuns) e distribuição quântica de chaves (chaves geradas com fotões, para ligações de fibra/satélite). A maioria das organizações vai adotar PQC primeiro.
• O meu telemóvel ou browser vai precisar de novo hardware? Não para PQC. Trata-se de atualizações de software e de protocolos. Vai ver handshakes ou assinaturas um pouco maiores, mas os dispositivos modernos aguentam bem. A QKD requer hardware especial em backbones de rede, não em telemóveis.
• Quando é que os atacantes vão, de facto, quebrar a criptografia atual? Ninguém consegue apontar uma data. O risco, hoje, é “recolher agora, desencriptar depois”. Se os seus dados têm de permanecer secretos durante anos, aja antes de existir uma grande máquina quântica.
• O que devem fazer primeiro as equipas pequenas? Ative TLS híbrido com um KEM alinhado com o NIST onde for possível, encurte a duração dos certificados e mantenha uma lista das bibliotecas criptográficas usadas na sua pilha. Atualize essa lista a cada versão.
• A performance vai piorar muito? Conte com um overhead moderado: chaves e mensagens maiores e pequenos picos de CPU durante os handshakes. Depois da ligação inicial, a encriptação de dados (bulk) continua rápida, por isso a maioria dos utilizadores não vai notar.

---