A migração para criptografia pós-quântica não começa escolhendo o algoritmo novo. Começa descobrindo onde a criptografia atual está escondida. Certificados, VPNs, bibliotecas, HSMs, assinaturas, firmware, aplicações legadas e integrações podem depender de RSA ou ECC sem aparecer em nenhum inventário central.
Esse é o ponto em que muitos projetos podem travar. Os padrões existem, fornecedores começam a oferecer suporte, mas a organização não sabe exatamente o que precisa substituir.
Criptografia costuma estar mais espalhada do que parece
É fácil lembrar de TLS no site e da PKI corporativa. Mais difícil é lembrar de certificados embarcados em appliances, bibliotecas dentro de aplicações, comunicação entre serviços, assinatura de código, tokens, backups criptografados e integrações antigas.
Em empresas grandes, parte dessa criptografia foi implementada anos atrás por equipes que já mudaram. Algumas decisões estão documentadas. Outras vivem apenas na configuração.
O NCCoE/NIST destaca a descoberta de algoritmos vulneráveis a quantum como etapa fundamental da migração. Faz sentido: não é possível priorizar o que não está visível.
Um inventário útil precisa ir além do nome do algoritmo. Deve registrar onde ele está, quem é o owner, qual função exerce, qual dado protege, por quanto tempo esse dado precisa permanecer confidencial e quais dependências existem para a troca.
Nem todo dado possui a mesma urgência. Informações cujo valor expira em semanas não têm o mesmo risco de conteúdos que precisam permanecer confidenciais por décadas.
A possibilidade de um adversário coletar tráfego criptografado hoje para tentar decriptá-lo futuramente aumenta a prioridade de dados de longa vida: propriedade intelectual, informações governamentais, certos registros de saúde e outros conjuntos sensíveis.
Notícias Relacionadas
- Criptografia pós-quântica: sem governança, a migração pode ampliar o risco
- O maior risco para os sistemas industriais não é a computação quântica, e sim esperar por ela
O fornecedor pode ser parte crítica do roadmap
Nem toda implementação está sob controle da equipe interna. Appliances, SaaS, HSMs, sistemas embarcados e bibliotecas comerciais dependem do suporte do fabricante.
Isso significa que a migração pós-quântica também é gestão de terceiros. A empresa precisa saber quais fornecedores possuem roadmap, quais versões serão suportadas e onde a atualização exige substituição de hardware.
A transição não acontecerá de uma vez. Sistemas novos precisarão conversar com legados. Parceiros adotarão algoritmos em ritmos diferentes. Protocolos podem operar em modos híbridos durante determinado período.
Essa fase precisa ser testada. Tamanho de chaves, certificados, handshake e performance podem mudar. Um algoritmo seguro que quebra interoperabilidade de um serviço crítico não é uma migração bem-sucedida.
O que deveria entrar no inventário criptográfico
- Algoritmo e tamanho de chave.
- Sistema e finalidade. Onde é usado e o que protege.
- Owner técnico e de negócio.
- Biblioteca ou produto. Incluindo fornecedor e versão.
- Certificados e validade. Especialmente os de longa duração.
- Dependências. Clientes, servidores, parceiros e hardware envolvidos.
- Criticidade do dado. Quanto tempo a confidencialidade precisa durar.
- Capacidade de mudança. Pode trocar algoritmo por configuração ou exige reengenharia?
A migração atual é um lembrete de que algoritmos mudam. Mesmo depois de adotar pós-quântica, a organização continuará precisando substituir primitives no futuro.
Aplicações que possuem algoritmo hardcoded, certificados difíceis de trocar e dependências pouco documentadas tornam qualquer migração cara.
Crypto-agility significa projetar para que a próxima troca seja menos traumática.
Esperar por uma ameaça plenamente materializada parece prudente, mas ignora o tempo necessário para inventário, testes, fornecedores e atualização de sistemas legados.
Em ambientes complexos, migração criptográfica leva anos. O trabalho inicial é justamente o que não depende de previsão sobre quando a computação quântica atingirá determinada capacidade: descobrir ativos, classificar dados e remover dependências frágeis.
Ferramentas de cryptographic discovery conseguem encontrar certificados, bibliotecas e protocolos em grande escala, mas raramente entendem sozinhas o contexto completo. Um certificado pode parecer pouco importante e estar ligado a uma integração crítica. Outro pode existir em inventário e já não ser usado.
O inventário precisa combinar descoberta técnica com owner e finalidade de negócio. Essa validação evita duas armadilhas: migrar componentes irrelevantes primeiro ou deixar para depois uma dependência que bloqueia dezenas de sistemas.
Mapear criptografia frequentemente revela problemas que nada têm a ver com computadores quânticos: certificados esquecidos, algoritmos antigos, chaves sem owner, bibliotecas desatualizadas e processos manuais de renovação.
Corrigir essas fragilidades durante o programa melhora o ambiente antes mesmo da migração pós-quântica terminar. O projeto deixa de ser apenas preparação para uma ameaça futura e passa a reduzir risco atual.
Conclusão
A parte mais difícil da criptografia pós-quântica talvez não seja matemática. É saber onde a criptografia existente está e conseguir mudá-la sem quebrar o negócio.
Por isso, o primeiro projeto não deveria ser “substituir RSA”. Deveria ser “construir um inventário criptográfico confiável e um roadmap de migração”.
Quando a organização enxerga o ambiente, a escolha de algoritmo vira uma decisão técnica. Sem isso, vira aposta.
Veja também
- 10 melhores soluções criptográficas pós-quânticas em 2026
- Ataques de dentro para fora: quando a ameaça chega por uma dependência confiável
Be the first to comment