A criptografia pós-quântica (em inglês: post-quantum cryptography ou PQC), por vezes referida como à prova de computação quântica, segura contra computação quântica ou resistente a computação quântica, é o desenvolvimento de algoritmos criptográficos (geralmente algoritmos de chave pública) que atualmente são considerados, mas não comprovados, seguros contra um ataque criptoanalítico por um computador quântico. A maioria dos algoritmos de chave pública amplamente utilizados baseia-se na dificuldade de um dos três problemas matemáticos: o problema da fatoração de inteiros, o problema do logaritmo discreto ou o problema do logaritmo discreto da curva elíptica. Todos estes problemas poderiam ser facilmente resolvidos num computador quântico suficientemente poderoso executando o algoritmo de Shor ou possivelmente alternativas.
Ao ano de 2026, os computadores quânticos não têm poder de processamento suficiente para quebrar algoritmos criptográficos amplamente utilizados; no entanto, devido ao longo tempo necessário para a migração para criptografia resistente a ataques quânticos, os criptógrafos já estão a projetar novos algoritmos para se prepararem para o Y2Q ou "Dia Q", o dia em que os algoritmos atuais ficarão vulneráveis a ataques de computação quântica. O teorema de Mosca fornece a estrutura de análise de risco que ajuda as organizações a identificar a rapidez com que precisam de iniciar a migração.
O trabalho deles atraiu a atenção de académicos e da indústria por meio da série de conferências PQCrypto, realizada desde 2006, de vários workshops sobre Criptografia Segura Quântica organizados pelo Instituto Europeu de Normas de Telecomunicações (ETSI) e pelo Instituto de Computação Quântica. A existência, supostamente generalizada, de programas do tipo "recolher agora, decriptar depois" também foi vista como uma motivação para a introdução precoce de algoritmos pós-quânticos, já que os dados registados agora podem permanecer sensíveis por muitos anos no futuro.
Em contraste com a ameaça que a computação quântica representa para os algoritmos de chave pública atuais, a maioria dos algoritmos criptográficos simétricos e funções hash atuais são considerados relativamente seguros contra ataques de computadores quânticos. Embora o algoritmo de Grover quântico acelere os ataques contra cifras simétricas, dobrar o tamanho da chave pode neutralizar estes ataques de forma eficaz. Assim, a criptografia simétrica pós-quântica não precisa de diferir significativamente da criptografia simétrica atual.
Em 2024, o Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) lançou as versões finais dos seus três primeiros padrões de criptografia pós-quântica.
Migração A transição da criptografia clássica de chave pública para a criptografia pós-quântica (PQC) é considerada um processo de longo prazo e multifásico devido à ampla implantação de infraestrutura criptográfica em sistemas digitais. O planeamento da migração é influenciado por fatores como requisitos de longevidade de dados, orientações regulatórias, restrições de interoperabilidade e a complexidade operacional da substituição de componentes criptográficos incorporados.
Um modelo de risco comumente citado é o teorema de Mosca, que estima a urgência da migração comparando três horizontes temporais: o tempo necessário para a transição de sistemas (X), o tempo durante o qual os dados devem permanecer seguros (Y) e a chegada estimada de computadores quânticos criptograficamente relevantes (Z). Se X + Y > Z, a migração é considerada urgente.
Uma grande preocupação que motiva a transição precoce é o modelo de ameaça “recolher agora, decriptar depois”, no qual os dados criptografados são intercetados e armazenados com a intenção de decifrá-los quando os computadores quânticos de grande escala estiverem disponíveis.
As estratégias de migração frequentemente enfatizam a criptoagilidade, a capacidade dos sistemas de substituir rapidamente primitivas criptográficas sem grandes mudanças arquitetónicas. Implantações criptográficas híbridas onde algoritmos clássicos e pós-quânticos são usados simultaneamente foram testadas em protocolos como o Transport Layer Security (TLS) para reduzir o risco de transição.
Em 2024, o Instituto Nacional de Padrões e Tecnologia (NIST) finalizou os seus primeiros padrões de criptografia pós-quântica, incluindo encapsulamento de chave baseado em reticulado de módulos e esquemas de assinatura digital, fornecendo uma base para migração estruturada em sistemas governamentais e comerciais.
Organizações internacionais e agências nacionais de cibersegurança publicaram roteiros coordenados que descrevem cronogramas de adoção faseada, avaliações de risco e diretrizes de aquisição para facilitar uma transição sistemática.
Preparação As infraestruturas digitais exigem uma cibersegurança robusta. Os sistemas criptográficos são vitais para proteger a confidencialidade e a autenticidade dos dados. A computação quântica representará uma ameaça para muitos dos algoritmos criptográficos clássicos, que são usados para atingir estes objetivos de proteção, mas que são seguros apenas contra computadores clássicos. Os dados que atualmente não são seguros contra computadores quânticos, sejam eles armazenados ou transmitidos, e que precisam de permanecer confidenciais por um longo período, podem ser comprometidos no futuro por computadores quânticos (ataques de "recolher agora, decriptar depois"). Além disso, a autenticidade também será posta em risco pelos computadores quânticos. A ameaça que a computação quântica representa para a cibersegurança pode ser combatida por uma transição oportuna, abrangente e coordenada para a criptografia pós-quântica (PQC).
Algoritmos A investigação em criptografia pós-quântica concentra-se principalmente em seis abordagens diferentes:
Projeto Open Quantum Safe
O projeto Open Quantum Safe (OQS) foi iniciado no final de 2016 e tem como objetivo desenvolver e prototipar criptografia resistente à computação quântica. O projeto visa integrar os esquemas pós-quânticos atuais numa única biblioteca: liboqs. A liboqs é uma biblioteca C de código aberto para algoritmos criptográficos resistentes à computação quântica. Inicialmente, ela concentrava-se em algoritmos de troca de chaves, mas agora inclui vários esquemas de assinatura. Fornece uma interface de programação de aplicativos (API) comum, adequada para algoritmos de troca de chaves pós-quânticos, e reunirá várias implementações. A liboqs também incluirá uma estrutura de testes e rotinas de benchmarking para comparar o desempenho de implementações pós-quânticas. Além disso, o OQS também fornece a integração da liboqs ao OpenSSL .
Implementação Um desafio na criptografia pós-quântica é a implementação de algoritmos potencialmente seguros contra ataques quânticos em sistemas existentes. Existem testes realizados, por exemplo, pela Microsoft Research implementando o PICNIC numa infraestrutura de chaves públicas usando módulos de segurança de hardware. Implementações de teste para o algoritmo NewHope da Google também foram feitas por fornecedores de módulos de segurança de hardware. Em agosto de 2023, a Google lançou uma implementação de chave de segurança FIDO2 de um esquema de assinatura híbrido ECC/Dilithium, que foi feita em parceria com a ETH Zurique.
O Protocolo Signal utiliza o Diffie-Hellman Estendido Pós-Quântico (PQXDH) desde 2023.
Em 21 de fevereiro de 2024, a Apple anunciou que iria atualizar o seu protocolo iMessage com um novo protocolo PQC chamado "PQ3", que usará criptografia contínua. A Apple afirmou que, embora computadores quânticos capazes ainda não existam, queria mitigar os riscos de futuros computadores quânticos, bem como os chamados cenários de ataque "recolher agora, decriptar depois". A Apple afirmou acreditar que a sua implementação do PQ3 oferece proteções que "superam as de todos as outras aplicações de mensagens amplamente utilizadas", porque usa criptografia contínua. A Apple pretendia substituir o protocolo iMessage existente em todas as conversas suportadas pelo PQ3 até o final de 2024. A Apple também definiu uma escala para facilitar a comparação das propriedades de segurança das aplicações de mensagens, com uma escala representada por níveis que variam de 0 a 3: 0 para nenhuma criptografia de ponta a ponta por padrão, 1 para criptografia de ponta a ponta pré-quântica por padrão, 2 para apenas estabelecimento de chave PQC (por exemplo, PQXDH) e 3 para estabelecimento de chave PQC e recodificação contínua (PQ3).
A Força-Tarefa de Engenharia da Internet preparou um rascunho da Internet usando algoritmos PQC em Segurança da Camada de Mensagens (MLS). O MLS será usado em mensagens de texto RCS no Google Mensagens e Messages (Apple).
Outras implementações notáveis incluem:
bouncycastle liboqs
Criptografia pós-quântica em sistemas blockchain Os sistemas de blockchain geralmente dependem de criptografia de chave pública, particularmente algoritmos de assinatura digital de curva elíptica (ECDSA), para autenticar transações e controlar a propriedade de ativos. Estes esquemas criptográficos são vulneráveis a ataques quânticos, pois o algoritmo de Shor pode resolver eficientemente o problema do logaritmo discreto no qual eles se baseiam.
Em muitos protocolos de blockchain, as chaves públicas não são reveladas até que uma transação seja executada; no entanto, uma vez expostas, elas podem tornar-se suscetíveis a ataques quânticos se os adversários possuírem capacidades quânticas suficientemente avançadas. Isto levou a recomendações para que os utilizadores migrem os seus ativos para esquemas de endereçamento resistentes a ataques quânticos antes do surgimento de computadores quânticos de grande escala.
A integração de algoritmos criptográficos pós-quânticos em sistemas blockchain apresenta diversos desafios técnicos. Muitos esquemas de assinatura pós-quânticos exigem tamanhos maiores de chave e assinatura, o que pode aumentar o tamanho da transação, os requisitos de armazenamento e o uso de largura de banda da rede. Além disso, custos computacionais mais altos para verificação podem afetar a escalabilidade e a taxa de transferência em redes distribuídas.
Abordagens criptográficas híbridas, que combinam assinaturas clássicas e pós-quânticas, têm sido propostas como soluções de transição. Estas abordagens visam manter a compatibilidade com versões anteriores, ao mesmo tempo que introduzem gradualmente mecanismos de segurança resistentes à computação quântica. A investigação em andamento concentra-se na otimização de esquemas pós-quânticos para ambientes descentralizados, equilibrando os requisitos de segurança, eficiência e escalabilidade.
Complementos da camada física Embora os algoritmos pós-quânticos protejam o conteúdo dos dados contra descriptografia futura, eles não impedem a intercetação e o armazenamento do próprio texto cifrado criptografado (um modelo de ameaça conhecido como "recolher agora, descriptar depois"). Para mitigar este risco, algumas arquiteturas de rede incorporam segurança da camada física (PLS) ou caos óptico juntamente com PQC.
Ao ocultar o sinal óptico no nível de ruído (OSNR negativa) usando codificação de fase espectral, estas contramedidas físicas visam tornar a transmissão não gravável. Isto cria uma estratégia de "defesa em profundidade": a ofuscação física impede completamente a coleta do texto cifrado, garantindo que não existam dados para futura decriptografia quântica, enquanto os algoritmos PQC fornecem a proteção necessária para os dados armazenados nos pontos de extremidade.
Encriptação híbrida miniaturadaimagem|Captura de ecrã da página de teste de Post-Quantum Key Agreement da Cloudflare mostrando o Firefox 135.0 usando X25519MLKEM768