Planejando sua Migração para Padrões Pós-Quânticos

Migrar a infraestrutura criptográfica não é um projeto de curto prazo. Organizações grandes levam de 10 a 15 anos para atualizar integralmente todos os sistemas. O NIST estima que computadores quânticos capazes de quebrar o RSA-2048 possam existir dentro de 10 a 30 anos. Considerando a ameaça de capturar dados agora para descriptografá-los mais tarde e os longos prazos de migração, as organizações precisam começar a planejar hoje, mesmo que a ameaça quântica imediata pareça distante.

Agilidade criptográfica significa projetar sistemas para que os algoritmos criptográficos possam ser substituídos sem reprojetar toda a arquitetura. Um sistema ágil centraliza a seleção de algoritmos na configuração, usa tipos abstratos de chave e separa a lógica do protocolo das implementações específicas de cifras. Sistemas que codificam RSA ou ECDH diretamente na lógica do protocolo exigirão migrações muito mais caras que os sistemas ágeis.

A primeira etapa da migração é catalogar cada primitiva criptográfica do seu sistema: onde RSA, ECDH, ECDSA e algoritmos simétricos são usados, em quais contextos (TLS, assinatura de código, criptografia de dados em repouso, credenciais de autenticação) e quais tempos de vida dos dados estão envolvidos. O NIST IR 8547 e as orientações da CISA recomendam o uso de ferramentas automatizadas de descoberta para localizar chaves inseridas diretamente no código e identificadores de algoritmos em bases de código e configurações.

O TLS 1.3 é compatível com a troca híbrida de chaves, que combina X25519 e ML-KEM-768, especificada no rascunho da IETF draft-ietf-tls-hybrid-design. O NamedGroup híbrido X25519MLKEM768 envia partes de chaves clássicas e de PQC no ClientHello. O segredo compartilhado é o resumo criptográfico das duas saídas. Isso não exige nenhuma alteração no protocolo para servidores compatíveis com o novo NamedGroup e mantém a compatibilidade com versões anteriores de clientes que não são compatíveis com ele.

O NIST IR 8413 (2022) fornece orientações para a migração para a criptografia pós-quântica. Ele categoriza os sistemas em três zonas: imediatamente críticos (segredos de longa duração sujeitos ao risco de colher agora e descriptografar depois), de médio prazo (dados com sensibilidade de 5 a 10 anos) e de baixa prioridade (dados efêmeros ou de curta duração). O NIST recomenda priorizar a PKI e a infraestrutura de certificados, pois a alteração dos certificados raiz afeta cadeias de confiança inteiras.

A ameaça de colher agora e descriptografar depois (HNDL) é o motivo mais urgente para implementar imediatamente a criptografia pós-quântica, mesmo antes da existência de computadores quânticos. Adversários (estados-nação) registram o tráfego criptografado atualmente, esperando descriptografá-lo quando um computador quântico estiver disponível. Dados com sensibilidade de longo prazo (prontuários médicos, segredos de Estado e dados financeiros relevantes por várias décadas) estão imediatamente ameaçados por esse ataque.

Com base na ameaça HNDL, a prioridade máxima da migração pós-quântica é proteger dados que exigem confidencialidade prolongada. A troca efêmera de chaves do TLS (ECDHE) deve ser atualizada imediatamente para o modo híbrido X25519+ML-KEM. Chaves privadas RSA de longa duração (usadas para assinatura de certificados ou para proteger dados armazenados de forma criptografada) precisam ser recriptografadas com esquemas pós-quânticos. Chaves de sessão efêmeras usadas para transmissão contínua de vídeo têm baixa prioridade, pois não possuem valor de longo prazo.

Antes de implementar PQC, as organizações devem medir o impacto no desempenho em suas cargas de trabalho específicas. ML-KEM é rápido: a geração de chaves e o encapsulamento levam menos de 20 microssegundos em hardware moderno. No entanto, o aumento no tamanho das chaves e dos textos cifrados (ML-KEM-768: 1184 + 1088 bytes, em comparação com X25519: 32 + 32 bytes) aumenta o tamanho dos estabelecimentos de conexão TLS. Para servidores TLS de alto volume, que lidam com milhões de conexões por segundo, essa sobrecarga de largura de banda precisa ser medida.

O projeto OQS fornece a liboqs, uma biblioteca de código aberto que implementa algoritmos de PQC, incluindo todos os padrões do NIST. O OQS também fornece versões derivadas do OpenSSL e do BoringSSL que adicionam suporte a PQC, além de um servidor de testes em test.openquantumsafe.org. As organizações podem usar a liboqs para criar protótipos e testar a integração de PQC antes da implementação em produção, sem esperar pelo suporte da biblioteca principal.

Agências federais dos Estados Unidos (US) e setores regulados precisam usar módulos criptográficos validados segundo FIPS. O NIST FIPS 203, 204 e 205 já foi publicado, mas as implementações validadas (com certificados do CMVP) levam mais tempo para surgir. O NIST está executando um programa acelerado de validação para PQC. As organizações em ambientes regulados devem acompanhar o status de validação do CMVP e planejar um período em que as implantações híbridas de algoritmos clássicos e PQC usem algoritmos clássicos validados segundo FIPS junto com implementações de PQC validadas.

A migração da PKI é particularmente complexa. Os certificados raiz e as autoridades certificadoras intermediárias precisam ser reemitidos com ML-DSA ou chaves híbridas. As cadeias de certificados ficam maiores (os certificados ML-DSA-65 têm aproximadamente 4 KB, em comparação com 1 KB do RSA-2048). Os repositórios de confiança dos navegadores, dos OS móveis e dos dispositivos incorporados precisam ser atualizados. Algumas organizações estão explorando certificados com dois algoritmos (PKI híbrida) para manter a compatibilidade com versões anteriores durante a transição.

Qual tipo de dados deve receber a prioridade HIGHEST para a migração para a criptografia pós-quântica devido à ameaça de colher agora e descriptografar depois?

A migração para PQC exige agilidade criptográfica, um inventário criptográfico completo e uma priorização baseada no tempo de vida dos dados. A ameaça de colher agora e descriptografar depois torna urgente a implementação imediata do TLS híbrido (X25519+ML-KEM-768) para segredos de longa duração. A sobrecarga de desempenho é administrável para a maioria das cargas de trabalho. A liboqs permite realizar testes antes do suporte da biblioteca principal. A conformidade com FIPS exige acompanhar o status de validação do CMVP das implementações de PQC.