A ameaça com data: o que quebra, quando e o que fazer
De todos os efeitos da computação quântica, o único com prazo regulatório, custo conhecido e consequência física é a quebra da criptografia de chave pública. RSA, curvas elípticas e Diffie-Hellman caem com o algoritmo de Shor; AES e SHA só precisam de chaves maiores. Dados cifrados hoje podem ser gravados e decifrados quando a máquina existir. Os prazos (NIST 2030/2035, UE 2030 para infraestrutura crítica, ICP-Brasil desde jan/2026) são anteriores a qualquer estimativa realista da máquina porque a migração leva uma década. Este capítulo quantifica a ameaça, mapeia as normas e traz uma calculadora para testar a sua exposição.
- O que a computação quântica quebra, o que só enfraquece, e por que o risco já começou?
- Quais são os prazos e padrões que organizam a migração?
- Onde a criptografia pós-quântica não cabe, e o que fazer nesses casos?
O que quebra e o que só enfraquece
| Algoritmo | Onde está | Efeito do quântico | Ação |
|---|---|---|---|
| RSA | TLS, certificados, assinaturas, NF-e, EMV, remote key loading | quebrado (Shor) | Substituir por ML-KEM / ML-DSA; depreciado após 2030, proibido após 2035 (NIST IR 8547) |
| ECDSA, EdDSA, ECDH | TLS 1.3, SSH, VPNs, blockchains, V2X, JWT | quebrado (Shor) | Mesma regra; ECC-256 exige hoje menos recursos para quebrar que RSA-2048 (Google, mar/2026) |
| DH, MQV | IKE/IPsec, legado | quebrado (Shor) | Substituir |
| AES-128 | Cifra de dados, EMV, DUKPT | enfraquecido em teoria (Grover) | Na prática seguro por décadas (NIST). CNSA 2.0 pede AES-256 como conservadorismo barato |
| AES-256, SHA-384/512, SHA-3 | Tudo | seguro | Manter; é a base da defesa para dispositivos que não rodam PQC |
| 3DES, SHA-1 | PIN de cartões, legados | já depreciados por motivos clássicos | Migrar para AES e SHA-2 independentemente do quântico |
RSA esconde dois números primos dentro de N. Shor não fatora diretamente: escolhe um número a e olha a sequência a¹, a², a³... módulo N. Essa sequência se repete com um período r. Para um computador clássico, achar r é tão difícil quanto fatorar. Para o quântico, a interferência revela r de uma vez, e o resto é aritmética de escola. Escolha N e a.
Cores iguais marcam o mesmo resto. O computador quântico calcula todos os restos em superposição e usa a transformada de Fourier quântica para ler só o período. Com RSA-2048, N tem 617 dígitos e a sequência tem mais termos que átomos no universo; nenhum computador clássico a percorre.
Por que o risco já começou
Um adversário que grave tráfego cifrado hoje (uma VPN entre a praça de pedágio e o data center, um backup, uma transmissão de imagens de placas) poderá decifrá-lo quando tiver a máquina. O Google (mar/2026) trata a cifragem como risco presente por "store-now-decrypt-later" e as assinaturas como risco futuro que precisa ser resolvido antes da máquina existir. No Brasil, a rede privativa do governo federal (EAF, Telebras) declarou em ago/2026 que já incorpora PQC por esse motivo.
Tudo o que ainda precisa ser secreto quando a máquina chegar já está exposto se for capturado hoje. As barras que entram na faixa rosa são o problema; só dados com retenção curta escapam, e por pouco. Os prazos de retenção são exemplos; use os seus.
Confidencialidade
Dados com vida longa: imagens e placas (retenção regulatória de anos), contratos de concessão de 30 anos, dados pessoais sob LGPD, segredos industriais. O que importa é quanto tempo o dado precisa ficar secreto, não quando foi cifrado.
Integridade e confiança
Assinaturas forjadas em atualizações de firmware, certificados de identidade e documentos. A McKinsey (abr/2026) sobre infraestrutura: "if trust is compromised here, expect to see significant physical disruption, potentially catastrophic."
Dívida técnica criptográfica
Não saber onde está cada chave, certificado e algoritmo. Um banco global estimou ter de trocar "dezenas de milhares de roteadores". A migração do SHA-1 levou 25 anos entre o primeiro ataque (2005) e a retirada total (2030).
As estimativas caem rápido
Qubits físicos estimados para quebrar RSA-2048 (ou ECC-256) em tempo útil, por publicação. Escala logarítmica. Nenhuma máquina existente chega perto: a maior em operação tem cerca de 6.100 átomos sem correção completa, e a melhor corrigida tem 48 qubits lógicos.
Gidney e Ekerå 2019; Gidney 2025 (arXiv 2505.15917); Iceberg Quantum 2026 (arXiv 2602.11457, modelagem com qLDPC); Google 2026 (arXiv 2603.28846, ECDLP-256). Mastercard 2025 citava 67,7 milhões para P-256.
O que os especialistas estimam
Global Risk Institute e evolutionQ (Mosca e Piani) entrevistam anualmente dezenas de pesquisadores sobre a chance de um computador quântico criptograficamente relevante (CRQC: quebra RSA-2048 em 24 h). O relatório 2025 (publicado em mar/2026, 26 especialistas) subiu 15 pontos em relação a 2024 na leitura otimista de 10 anos.
GRI Quantum Threat Timeline 2024 (32 especialistas) e 2025 (26). Barras: faixa entre a leitura pessimista e a otimista do relatório. O relatório 2024 não publicou faixa para 15 anos no sumário executivo.
Leitura
- 10 anos (~2035): 28% a 49%; 13 de 26 especialistas dão 50% ou mais.
- 15 anos: 51% a 70% ("likely").
- 20 anos: 92% dão 50% ou mais.
- Posição conservadora: BSI alemão não espera relevância criptanalítica antes de ~2040; Mastercard: "mais provavelmente 20+ anos".
- Jensen Huang (jan/2025): "15 anos seria cedo, 30 tarde, 20 é o consenso".
Calculadora de Mosca: X + Y > Z?
X é quanto tempo os dados precisam ficar protegidos. Y é quanto tempo a migração leva. Z é quando a máquina chega. Se X + Y é maior que Z, a organização já está atrasada. Ajuste para o seu caso.
O que o NIST já publicou
Algoritmos padronizados (13/08/2024)
- FIPS 203, ML-KEM (ex-Kyber): troca de chaves. Já é padrão em navegadores, OpenSSL 3.5 e OpenSSH 10.
- FIPS 204, ML-DSA (ex-Dilithium): assinaturas. Assinatura de ~2.420 bytes e chave de 1.312 bytes (ECDSA: 64 e 64).
- FIPS 205, SLH-DSA (ex-SPHINCS+): assinaturas baseadas em hash, conservadoras e lentas.
- FIPS 206, FN-DSA (Falcon): em desenvolvimento; rascunho submetido ago/2025, não final.
- HQC: selecionado em mar/2025 como KEM reserva baseado em códigos; padrão final previsto para 2027.
Prazos e agilidade
- NIST IR 8547 (rascunho, nov/2024): RSA, ECDSA, ECDH, DH a 112 bits "deprecated after 2030" e "disallowed after 2035".
- NIST CSWP 39 (mar/2025): agilidade criptográfica como requisito de arquitetura: trocar algoritmos sem parar o sistema.
- NSA CNSA 2.0: novas aquisições pós-quânticas a partir de 01/01/2027; equipamentos sem suporte fora de operação até 31/12/2030; ML-KEM-1024, ML-DSA-87, AES-256, SHA-384.
- Híbridos (clássico + PQC): posição dominante na Europa (UE, ANSSI, BSI) e em Chrome, Signal, OpenSSH; CNSA 2.0 aceita mas prefere PQC puro.
Reguladores convergem em 2030 / 2035
EO de 22/06/2026: sistemas de alto impacto com PQC em troca de chaves até 31/12/2030 e em assinaturas até 31/12/2031; CBOM obrigatório; contratados com conformidade FIPS até 2030. Custo estimado para agências civis: US$ 7,1 bi (2025 a 2035).
Até 31/12/2026 todos os Estados com roteiro e transição iniciada; até fim de 2030 casos de alto risco migrados, incluindo "água, energia, saúde, finanças e transportes"; até 2035 migração completa. Híbridos: "esquemas tradicionais não devem ser enfraquecidos".
Até 2028: metas, descoberta e inventário concluídos, dependências de fornecedores identificadas. O inventário "não é um registro formal de ativos": precisa capturar dados, tempo de vida e valor para o adversário.
Híbrido recomendado (obrigatório para informação classificada). Fonte secundária com correção do autor: confirmar no texto do BSI antes de citar em material público.
"Cessar o uso de criptografia assimétrica tradicional até o fim de 2030", o prazo mais agressivo entre governos.
Plano inicial por departamento até abril de 2026.
Roteiro coordenado para o setor financeiro, não prescritivo, com ênfase em fornecedores e terceiros.
Veja a seção seguinte.
O que existe de fato no país
ICP-Brasil já migrou a norma
Instrução Normativa ITI nº 35, de 30/01/2026 (DOU 03/02/2026): inclui ML-DSA-65/87 em chaves de AC, ML-DSA-44 em chaves de usuário final e ML-KEM-512/768/1024 em acordo de chaves e envelopes. Cria tipos Selo Eletrônico e Aplicações Específicas. Sem prazos de transição para as ACs. O presidente do ITI chamou a migração de "irreversível"; Assinatura Gov.br (mais de 1 milhão de assinaturas por dia) previa as primeiras assinaturas com PQC no 1º semestre de 2026. Afeta diretamente certificados A1/A3, NF-e e assinatura de contratos.
Banco Central: "estudando"
Em 25/03/2026 o BCB disse estar estudando criptografia pós-quântica, sem norma ou prazo. As Resoluções CMN 5.274/2025 e BCB 538/2025 (vigência 01/03/2026) tratam de ciber em geral. Em 2022, BCB, Brazil Quantum, Microsoft e Fenasbac testaram PQC no Pix (assinatura Picnic): "lenta e pesada demais", mas promissora.
Governo federal e setor privado
EAF (Telebras) incorpora PQC (ago/2026). O Decreto 12.573/2025 instituiu a nova E-Ciber; o P-Ciber, seu plano de execução, ainda não havia sido publicado em março de 2026 e nenhum dos dois cita criptografia pós-quântica. GSI/PR, ANPD e Anatel: nenhuma orientação específica encontrada. Bradesco iniciou CBOM com IBM Quantum Safe Explorer em 2023 (Open Finance). Itaú mantém inventário criptográfico entre suas 13 pesquisas quânticas.
Pesquisa e redes quânticas no país
O CPQD conduz desde 2025 um projeto de R$ 12,2 milhões (MCTI, via PPI Softex) com QKD, PQC, QRNG e um testbed aberto, e em abril de 2026 reportou transmissão quântica por 200 km de fibra em Campinas. A Rede Rio Quântica (UFF, CBPF, UFRJ, PUC-Rio) opera desde 2021 com 21 km de fibra e um enlace óptico de 6,8 km sobre a Baía de Guanabara; Recife tem rede de 7 km (UFPE) e Brasília a rede Quandanga (IME, QKD e PQC, apresentada à Anatel em 2026). São testes de comunicação quântica, não alternativas à migração PQC, mas são os parceiros nacionais para um piloto.
Leitura para uma concessionária
Não há prazo brasileiro, mas há três pressões: fornecedores globais de OT e pagamentos seguirão os prazos de EUA e UE (contratados federais dos EUA com FIPS até 2030); a cadeia de certificados ICP-Brasil vai migrar; e seguradoras e auditorias tendem a exigir controles "state of the art", que já incluem TLS híbrido. Quem não tiver inventário em 2028 (marco do NCSC) não terá como responder.
O que já é padrão de mercado
- ●Navegadores: Chrome (desde o 131) e Firefox usam X25519MLKEM768 por padrão. Cloudflare (out/2025): mais de 50% do tráfego humano já com troca de chaves pós-quântica.
- ●OpenSSL 3.5 (abr/2025): ML-KEM, ML-DSA, SLH-DSA nativos. OpenSSH 10.0 (abr/2025): mlkem768x25519 como troca de chaves padrão; DSA removido.
- ●Mensageria: Apple iMessage PQ3 (iOS 17.4) e Signal SPQR (out/2025, ML-KEM-768 em ratchet contínuo, verificado formalmente).
- ●Nuvem e HSM: AWS KMS com ML-DSA (jun/2025); Google Cloud KMS com ML-DSA e SLH-DSA em GA (jul/2026); Microsoft com APIs PQC em Windows e Linux; Entrust nShield 5 validado no CAVP (set/2025).
- ●Certificados públicos: nenhum certificado PQ em uso em out/2025; Let's Encrypt escolheu Merkle Tree Certificates, com staging no fim de 2026 e produção em 2027. Confiança ampla em navegadores improvável antes de 2027. Google tem meta interna de 2029; Android 17 traz ML-DSA.
- ●Pagamentos (EMV): a proteção antifraude do chip é simétrica (não afetada); RSA aparece em dados de gestão de risco e remote key loading. Experimento Idemia: PQC em cartão Cortex-M3 consumiu quase todo o tempo da transação; Banque de France estima 4 a 6x mais RAM. FS-ISAC: migrar PIN, DUKPT e TR-31 para AES.
- ●Bancos centrais (BIS, Projeto Leap): fase 1 (jun/2023) ligou Banque de France e Bundesbank por canal híbrido pós-quântico; fase 2 (dez/2025, com Banca d'Italia, Nexi-Colt e Swift) assinou transferências de liquidez com PQC em sistema operacional: todos os cenários funcionaram, com latência maior. PQC roda em sistemas transacionais reais.
- ●Telecom: GSMA PQ.03 v2.0 (out/2024) traz orientações de migração para operadoras; 3GPP TR 33.703 (Rel-20, set/2026) estuda PQC standalone e híbrida em 5G; ainda estudo, não norma.
Onde a PQC não cabe: RFID, DSRC, V2X e OT
Para uma operadora de rodovias, este é o ponto que mais pesa. Assinaturas pós-quânticas são grandes; dispositivos restritos não têm memória, banda ou firmware atualizável. A defesa para eles é simétrica (AES com chaves diversificadas e HSM no backend) e controle de fraude no backend, como o setor de cartões está fazendo.
V2X e DSRC
Estudo de C-V2X (arXiv 2608.05087, ago/2026): com mensagens IEEE 1609.2, Dilithium-2 e SPHINCS+ não cabem no transport block; só Falcon-512 cabe, e atinge 90% de entrega apenas no nível de tráfego mais leve em linha de visada. "A eficiência espectral, não o tempo de computação, é a restrição primária." Tags RFID passivas (ISO 18000-6C) e OBUs DSRC legadas não executam PQC nem recebem firmware.
OT, SCADA e firmware
CISA (2022, 55 funções críticas nacionais): hardware de ICS é "caro de substituir", disperso, de vida longa e dependente de fornecedores; os ciclos de substituição já devem contemplar o risco quântico. IETF: o próprio processo de atualização de firmware precisa ser pós-quântico (LMS/XMSS no CNSA 2.0 desde 2025). Equipamentos comprados em 2026 estarão em campo em 2036, depois do "disallowed after 2035".
O que dizem as normas de pedágio e de ITS
A ISO 19299:2020 (security framework da cobrança eletrônica) descreve onde a criptografia vive em um sistema de pedágio e é o ponto de partida natural para o inventário; é toda baseada em criptografia clássica. Os formatos de certificado veicular (IEEE 1609.2-2025 e ETSI TS 103 097 V2.2.1, de março de 2026) listam só ECDSA, ECIES e AES, sem nenhum algoritmo pós-quântico. O único estudo de órgão normativo sobre migração em ITS é o ETSI TR 103 949 (2023): conclui que assinaturas pós-quânticas são pesadas para o rádio veicular e que a perda das raízes de confiança seria uma "ameaça existencial" para a PKI europeia (CCMS), que ainda não publicou plano de migração. Nos EUA, o SCMS também não tem plano oficial; a 5GAA e a GSMA assinaram em março de 2025 apenas uma declaração de intenção. ANTT, ARTESP e Senatran não mencionam criptografia pós-quântica em nenhuma norma de pedágio ou free flow. Em resumo: a operadora que exigir agilidade criptográfica em edital estará à frente dos próprios padrões.
Além da criptografia
Ações caíram ~40% num dia em jan/2025; short sellers e ações coletivas em 2025 e 2026. Risco para quem escolhe fornecedor pelo valor de mercado. Detalhes no capítulo 04.
Consolidação acelerada (IonQ comprou 7 empresas; IBM comprou HRL). Contratos de longo prazo com startups devem prever continuidade, portabilidade (Qiskit, CUDA-Q) e saída.
Controles de exportação dos EUA (set/2024); hardware chinês no CIQUANTA-PB; Google retendo circuitos de ataque. Fornecedor é decisão geopolítica.
Regulatório (prazos de fornecedores e ICP-Brasil), contratual e de seguro (E-Ciber prevê selo e seguro cibernético), operacional (equipamentos comprados sem agilidade) e de dados (LGPD e HNDL).
O que levar deste capítulo
- RSA, ECC e DH caem com Shor; AES e SHA seguem; dados cifrados hoje podem ser decifrados depois.
- FIPS 203/204/205 (2024); depreciação em 2030 e proibição em 2035 (NIST); UE 2030 para transportes; ICP-Brasil já aceita ML-DSA.
- Tags, OBUs e OT não rodam PQC: defesa simétrica, HSM no backend e requisitos de agilidade em toda compra nova.