Embora a chegada de computadores quânticos plenamente operacionais ainda pareça distante, a segurança digital já enfrenta um risco concreto no presente. Cibercriminosos e agentes estatais estão interceptando ativamente grandes volumes de informações criptografadas para armazená-las e decifrá-las no futuro. Diante desse cenário, a criação de um inventário criptográfico abrangente tornou-se a primeira linha de defesa indispensável para qualquer organização.
O perigo imediato da tática “capture agora, decifre depois”
Muitas lideranças acreditam que as contramedidas só serão necessárias no chamado “Dia Q”, momento em que um computador quântico tolerante a falhas (CRQC) se tornar realidade. No entanto, o método conhecido como “harvest now, decrypt later” (HNDL) capture agora, decifre depois, já está em andamento. Adversários utilizam sequestro de rotas via BGP (Border Gateway Protocol) e invasões a redes corporativas para roubar bases de dados inteiras e tráfego de rede, aguardando apenas o salto tecnológico para quebrar essas proteções.
O colapso iminente se concentra na criptografia assimétrica, que sustenta a infraestrutura de chave pública (PKI) moderna. Quando executado em um computador quântico suficientemente potente, o Algoritmo de Shor conseguirá resolver problemas matemáticos complexos em tempo polinomial, neutralizando protocolos amplamente utilizados como RSA-2048, RSA-4096, ECC e Diffie-Hellman. Em contrapartida, algoritmos simétricos são mais resistentes: embora o Algoritmo de Grover reduza pela metade o nível de segurança do AES-128 (tornando-o equivalente a 64 bits), o padrão AES-256 continuará seguro contra o poder computacional quântico.
Exigências regulatórias aceleram a transição global
Governos internacionais já respondem à urgência com novas obrigações legais. Nos Estados Unidos, a Ordem Executiva 14412 estabeleceu prazos agressivos para agências federais e fornecedores da cadeia de suprimentos: a transição para criptografia pós-quântica (PQC) em mecanismos de troca de chaves de ativos críticos deve ocorrer até 31 de dezembro de 2030 enquanto as assinaturas digitais têm como prazo final 31 de dezembro de 2031.
contratantes do governo norte-americano deverão adotar os padrões pós-quânticos do NIST até o fim de 2030. Uma mudança importante na governança é que a ausência de criptografia ou o uso de algoritmos vulneráveis passa a ser catalogado como vulnerabilidade ativa reportável, e não apenas um apontamento passivo de auditoria. Exigências semelhantes de visibilidade e inventário também avançam na Europa, por meio da regulamentação DORA e em polos financeiros como Singapura.
Para viabilizar esse controle, frameworks modernos como o CycloneDX impulsionam a adoção do CBOM (Cryptographic Bill of Materials) exigindo a catalogação automatizada de certificados, chaves e algoritmos em softwares, firmwares e hardwares.
Estratégia em quatro fases para a migração pós-quântica
Com base nas orientações de órgãos de referência, como a CISA e o NIST (especificação SP 1800-38), a modernização da infraestrutura de segurança exige um plano estruturado em etapas:
1. Descoberta automatizada
É impossível remediar o que não se enxerga. As organizações devem inventariar todos os ativos de tecnologia e escanear serviços expostos à internet para identificar certificados TLS/SSL, sessões SSH e cifras negociadas que possam ser alvos fáceis de captura de tráfego.
2. Priorização e análise de risco
Nem todos os sistemas precisam de migração imediata. A prioridade máxima deve recair sobre dispositivos e serviços que armazenam ou trafegam dados ultrassensíveis, cuja confidencialidade precisa ser garantida a longo prazo.
3. Remediação e agilidade criptográfica
O caminho recomendado envolve a transição gradual para modelos híbridos, combinando criptografia clássica e pós-quântica, rumo à conformidade total prevista internacionalmente para 2035. É crucial adotar agilidade criptográfica evitando algoritmos codificados de forma rígida (hard-coded), o que permite atualizar parâmetros rapidamente sem necessidade de recompilar sistemas caso novas vulnerabilidades surjam.
4. Verificação contínua
A conformidade não é um estado estático. Atualizações frequentes de código ou ajustes em esteiras de DevOps podem desconfigurar sistemas seguros e restaurar algoritmos legados como o RSA. Monitoramentos periódicos evitam que o ambiente perca o nível de segurança alcançado.
Tratar a criptografia como um componente estático e invisível não é mais uma opção viável. O avanço da computação quântica exige que chaves e algoritmos sejam acompanhados como ativos dinâmicos dentro da gestão diária de vulnerabilidades corporativas.