Criptografia Pós-Quântica: CRYSTALS-Kyber e Dilithium

A criptografia de chave pública atual — RSA, ECC e Diffie-Hellman — depende de problemas matemáticos que são computacionalmente inviáveis para computadores clássicos. A segurança do RSA baseia-se na dificuldade de fatorar inteiros grandes; a segurança da ECC baseia-se no problema do logaritmo discreto em curvas elípticas. Um computador quântico suficientemente poderoso executando o algoritmo de Shor pode resolver ambos os problemas em tempo polinomial, quebrando efetivamente toda a criptografia de chave pública amplamente implantada. Embora tal computador quântico não exista atualmente, a ameaça é levada tão a sério que o NIST começou a padronizar alternativas resistentes à computação quântica em 2016.

Adversários estatais podem estar coletando hoje o tráfego criptografado da internet com a intenção de descriptografá-lo quando computadores quânticos estiverem disponíveis — uma estratégia chamada 'coletar agora, descriptografar depois' ou SNDL (Store Now, Decrypt Later). Dados com sensibilidade de longo prazo (segredos governamentais classificados, registros financeiros e dados médicos) estão particularmente em risco, pois ainda podem ser sensíveis quando os computadores quânticos chegarem. É por isso que as organizações são incentivadas a migrar para a criptografia pós-quântica (PQC) antes da existência de computadores quânticos, e não depois, pois a transição é complexa e demorada.

É importante distinguir a ameaça quântica para diferentes classes de algoritmos. O algoritmo de Shor quebra a criptografia assimétrica RSA e ECC. O algoritmo de Grover oferece uma aceleração quadrática para buscas, reduzindo pela metade o comprimento efetivo das chaves de cifras simétricas e funções hash. Isso significa que o AES-128 oferece apenas 64 bits de segurança contra um invasor quântico — o que é insuficiente — enquanto o AES-256 mantém 128 bits de segurança pós-quântica, o que é aceitável. O SHA-256 também tem sua segurança reduzida pela metade, mas ainda é adequado; SHA-384 e SHA-512 são recomendados para uma segurança de mais longo prazo.

Em 2016, o NIST lançou uma competição para selecionar algoritmos criptográficos pós-quânticos, recebendo 82 propostas. Após várias rodadas de avaliação, o NIST finalizou seu primeiro conjunto de padrões de PQC em 2024: FIPS 203 (ML-KEM, do CRYSTALS-Kyber) para encapsulamento de chaves, FIPS 204 (ML-DSA, do CRYSTALS-Dilithium) para assinaturas digitais e FIPS 205 (SLH-DSA, do SPHINCS+) como alternativa de assinatura baseada em hash. Esses algoritmos resistem a ataques de computadores clássicos e quânticos e foram projetados para substituir RSA e ECDSA em sistemas PKI.

Tanto o CRYSTALS-Kyber quanto o CRYSTALS-Dilithium são esquemas criptográficos baseados em reticulados. Um reticulado é uma grade regular de pontos em um espaço de alta dimensão. O problema difícil subjacente a ambos os algoritmos é o problema de Aprendizado com Erros (LWE): dado um conjunto de equações lineares às quais foram adicionados pequenos erros aleatórios, encontrar o segredo subjacente. Não se conhece nenhum algoritmo quântico que resolva o LWE de forma eficiente. A variante Module-LWE (MLWE) usada no CRYSTALS oferece um bom equilíbrio entre o nível de segurança e o tamanho das chaves e do texto cifrado.

O CRYSTALS-Kyber (agora ML-KEM) é um Mecanismo de Encapsulamento de Chaves (KEM) — ele permite que duas partes estabeleçam um segredo compartilhado por um canal inseguro, substituindo a troca de chaves Diffie-Hellman e RSA. O Kyber gera um par de chaves pública e privada; o remetente encapsula uma chave de sessão aleatória usando a chave pública do destinatário; e o destinatário a desencapsula usando sua chave privada. O Kyber-768 (nível de segurança 3 do NIST, aproximadamente equivalente ao AES-192) tem uma chave pública de cerca de 1.184 bytes e um texto cifrado de cerca de 1.088 bytes — muito maior que uma chave RSA-2048 de 256 bytes.

O CRYSTALS-Dilithium (agora ML-DSA) é um algoritmo de assinatura digital que substitui as assinaturas ECDSA e RSA. Ele produz assinaturas usando matemática de reticulados, e a verificação é eficiente. O Dilithium3 (nível de segurança 3) produz assinaturas de cerca de 3.293 bytes — significativamente maiores que uma assinatura ECDSA de 64 bytes. Esse aumento de tamanho é o principal desafio de migração para sistemas PKI com muitos certificados. Apesar do tamanho, o Dilithium assina e verifica rapidamente em hardware padrão e é resistente a todos os ataques quânticos conhecidos.

O SPHINCS+ (agora SLH-DSA) é um esquema de assinatura baseado em hash sem estado, selecionado pelo NIST como alternativa ao Dilithium. Sua segurança depende apenas da segurança de sua função hash subjacente (SHA-256 ou SHAKE), o que o torna extremamente conservador — se a matemática dos reticulados for de alguma forma quebrada, o SPHINCS+ continuará seguro. A desvantagem é o tamanho da assinatura: as assinaturas SPHINCS+ variam de 8 KB a 50 KB, dependendo do conjunto de parâmetros, o que as torna inadequadas para certificados TLS, mas excelentes para assinatura de código, em que o tamanho da assinatura é menos crítico.

A estratégia de migração recomendada é a criptografia híbrida: combinar um algoritmo clássico com um algoritmo pós-quântico, para que a conexão permaneça segura enquanto qualquer um dos algoritmos não for quebrado. Por exemplo, X25519 + Kyber-768 para troca de chaves significa que um invasor precisaria quebrar tanto ECDH quanto Kyber para descriptografar o tráfego. Isso já está sendo implantado: o navegador Chrome do Google adicionou suporte à troca híbrida de chaves X25519Kyber768 para TLS 1.3 em 2023, e a Apple a adicionou ao iMessage. A abordagem híbrida permite uma transição suave, sem uma mudança abrupta em uma data única.

Migrar a PKI para algoritmos pós-quânticos envolve uma complexidade enorme: os tamanhos dos certificados aumentam significativamente, afetando o tamanho e o desempenho do handshake do TLS; os módulos de segurança de hardware (HSMs) precisam ser atualizados ou substituídos para oferecer suporte aos novos algoritmos; a infraestrutura de assinatura de código e as autoridades certificadoras precisam de atualizações; e os dispositivos de IoT com memória limitada talvez não ofereçam suporte a chaves pós-quânticas maiores. As organizações devem começar um inventário criptográfico — catalogando todos os locais em que RSA e ECC são usados — como primeiro passo do plano de migração para PQC.

Agilidade criptográfica refere-se ao projeto de sistemas de modo que os algoritmos criptográficos possam ser substituídos sem exigir um redesenho completo do sistema. Sistemas com agilidade criptográfica armazenam identificadores de algoritmos junto às chaves e aos textos cifrados, permitindo atualizações futuras por meio da alteração de um parâmetro de configuração. TLS, SSH e os padrões modernos de certificados já demonstram agilidade criptográfica. As organizações devem auditar seus protocolos e aplicativos personalizados em busca de escolhas de algoritmos codificadas diretamente — esses serão os sistemas mais caros de migrar. Adotar agora uma camada de abstração para bibliotecas criptográficas torna a migração para PQC muito mais fácil.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: o algoritmo de Shor ameaça RSA e ECC, enquanto o algoritmo de Grover apenas reduz pela metade a segurança das chaves simétricas, tornando AES-256 e SHA-384 ainda viáveis no cenário pós-quântico; CRYSTALS-Kyber (ML-KEM) substitui a troca de chaves e CRYSTALS-Dilithium (ML-DSA) substitui as assinaturas digitais como padrões pós-quânticos selecionados pelo NIST; e a criptografia híbrida que combina algoritmos clássicos e de PQC é a estratégia de migração recomendada enquanto a transição avança. A seguir, exploraremos a segurança de contêineres em ambientes nativos da nuvem.