A Competição PQC do NIST: Processo e Critérios

O NIST lançou o projeto de padronização da Criptografia Pós-Quântica (PQC) em 2016, em resposta direta à ameaça representada pelos computadores quânticos. O algoritmo de Shor pode quebrar o RSA e a criptografia de curvas elípticas em tempo polinomial em um computador quântico suficientemente grande. O NIST reconheceu que a transição da infraestrutura criptográfica leva décadas e iniciou o processo muito antes de os computadores quânticos representarem uma ameaça imediata.

O NIST publicou uma chamada para propostas em dezembro de 2016 e recebeu 82 propostas completas até novembro de 2017. Após a análise inicial, 69 foram aceitas como candidatas da primeira rodada. As propostas abrangiam uma ampla variedade de pressupostos matemáticos: problemas de reticulados, funções de resumo, criptografia baseada em códigos, criptografia baseada em isogenias e polinômios multivariados. A diversidade de pressupostos era um objetivo fundamental para evitar colocar todos os ovos na mesma cesta.

Durante a Rodada 1, o NIST e a comunidade criptográfica mais ampla realizaram uma análise intensa de todas as 69 candidatas. Os critérios incluíam segurança (resistência a ataques clássicos e quânticos), desempenho (tamanho das chaves e dos textos cifrados, velocidade de computação), flexibilidade (conjuntos de parâmetros para diferentes níveis de segurança) e simplicidade de implementação. Até janeiro de 2019, 26 candidatas avançaram para a Rodada 2.

As 26 candidatas da Rodada 2 passaram por uma criptoanálise mais profunda e por uma avaliação comparativa de desempenho. Vários esquemas foram quebrados ou enfraquecidos durante essa rodada, incluindo Rainbow (multivariado) e SIKE (baseado em isogenias, embora SIKE só tenha sido quebrado na Rodada 3). Até julho de 2020, 15 candidatas avançaram para a Rodada 3, organizadas em 7 finalistas e 8 alternativas.

As 7 finalistas da Rodada 3 foram Kyber, NTRU, SABER (KEMs) e Dilithium, FALCON, Rainbow, SPHHINCS+ (assinaturas). SIKE era uma alternativa, mas foi espetacularmente quebrado em 2022. O NIST selecionou o Kyber para a padronização de KEMs com base em seu projeto bem estruturado, suas provas de segurança robustas e seu excelente desempenho. Dilithium, FALCON e SPHINCS+ foram selecionados para assinaturas.

O NIST selecionou deliberadamente algoritmos baseados em problemas matemáticos diferentes para se proteger contra avanços futuros. ML-KEM e ML-DSA dependem do LWE modular (reticulados). FALCON depende de reticulados NTRU e de amostragem gaussiana. SLH-DSA depende apenas da segurança das funções de resumo. Se ocorresse um avanço contra os reticulados, o SLH-DSA continuaria seguro, proporcionando diversidade algorítmica ao conjunto padronizado.

Em 2022, o NIST abriu uma quarta rodada solicitando especificamente candidatas adicionais a assinaturas, motivado pelo desejo de obter mais diversidade além dos esquemas baseados em reticulados. Entre as candidatas estavam MAYO, CROSS, UOV e outras baseadas em pressupostos multivariados e baseados em códigos. Esse processo ocorreu em paralelo à finalização dos três padrões iniciais (FIPS 203, 204 e 205).

O NIST publicou os padrões finais de PQC em agosto de 2024: FIPS 203 (ML-KEM, baseado no Kyber), FIPS 204 (ML-DSA, baseado no Dilithium) e FIPS 205 (SLH-DSA, baseado no SPHINCS+). Espera-se que o FIPS 206 (FN-DSA, baseado no FALCON) seja publicado em seguida. Esses padrões agora devem ser obrigatoriamente considerados pelas agências federais dos US e estão influenciando padrões em todo o mundo por meio da ISO, da ETSI e da IETF.

A IETF incorporou rapidamente o PQC aos protocolos. Em 2024, estavam em andamento rascunhos de RFC para ML-KEM no TLS 1.3, no SSH e em certificados X.509. Cloudflare, Google e Amazon anunciaram planos para implantar ML-KEM em suas pilhas de TLS. A Apple anunciou o PQ3 para o iMessage, usando ML-KEM para oferecer sigilo de encaminhamento pós-quântico baseado em encadeamento progressivo, implantado em mais de um bilhão de dispositivos.

A competição de PQC do NIST demonstrou que a padronização criptográfica aberta e colaborativa funciona de maneira eficaz. Vários esquemas muito respeitados foram quebrados durante o processo (GeMSS, SIKE e Rainbow), validando a importância de uma criptoanálise pública ampla. A competição também impulsionou o desenvolvimento de implementações eficientes em componentes físicos e de bibliotecas de código aberto (liboqs, PQClean), acelerando a adoção.

A padronização pós-quântica ainda não está concluída. O NIST continua avaliando esquemas adicionais de assinatura para ampliar a diversidade. A entidade de padrões financeiros X9 está desenvolvendo padrões de PQC para o setor bancário. A ETSI e a ISO estão se alinhando aos padrões FIPS do NIST. Estão sendo desenvolvidas orientações de migração para setores específicos: saúde (implicações da HIPAA), defesa (conjunto CNSA 2.0 da NSA) e telecomunicações (3GPP para 5G/6G).

Quantos candidatos avançaram das submissões iniciais para a Rodada 2 da competição PQC do NIST?

O NIST lançou o projeto de padronização do PQC em 2016 e recebeu 69 submissões completas. Três rodadas de avaliação reduziram o conjunto de candidatos com base em segurança, desempenho e diversidade. As seleções finais foram Kyber (ML-KEM, FIPS 203), Dilithium (ML-DSA, FIPS 204), SPHINCS+ (SLH-DSA, FIPS 205) e FALCON (FN-DSA, FIPS 206). A competição validou a criptoanálise aberta e resultou em padrões amplamente adotados, que agora estão sendo integrados a TLS, SSH e protocolos de mensagens.