Por que o tamanho da chave criptográfica importa

Na criptografia, o parâmetro de segurança lambda representa o nível de segurança pretendido. Ele determina os comprimentos das chaves, os tamanhos das saídas das funções de resumo e outros parâmetros de todo o sistema criptográfico. Um sistema com lambda = 128 significa que um invasor precisa de aproximadamente 2^128 operações para quebrá-lo. Todos os parâmetros são escolhidos de forma consistente para que o componente mais fraco forneça pelo menos esse nível de segurança.

A segurança de 80 bits já foi considerada suficiente para aplicações que não lidavam com dados sensíveis. Para quebrá-la, são necessárias aproximadamente 2^80, ou cerca de 10^24, operações. Com clusters de GPUs modernos e algoritmos otimizados, isso se aproxima da viabilidade para adversários bem financiados. A NIST retirou a segurança de 80 bits em 2010, e ela não é mais recomendada para nenhuma nova implantação criptográfica. Sistemas legados que usam parâmetros de 80 bits devem ser atualizados.

A segurança de 112 bits, oferecida pelo DES triplo (3DES), proporciona proteção moderada e foi a recomendação mínima da NIST para criptografia simétrica depois que o DES foi retirado de uso. O 3DES aplica o DES três vezes com chaves diferentes, usando efetivamente um nível de segurança de 112 bits apesar de sua chave de 168 bits. A NIST planeja proibir o 3DES para uso federal até 2024, à medida que o poder computacional continua aumentando e o AES o substitui completamente.

O AES-128 oferece segurança de 128 bits e é o padrão atual para criptografia simétrica. Não existe ataque prático contra o AES-128 usando computadores clássicos. A NIST considera a segurança de 128 bits adequada para proteção de longo prazo até pelo menos 2030. A maioria dos protocolos criptográficos, incluindo TLS 1.3, WireGuard e Signal, usa por padrão chaves simétricas de 128 bits ou mais fortes.

O AES-256 oferece segurança de 256 bits contra ataques clássicos e segurança efetiva de 128 bits contra o algoritmo quântico de Grover. O uso de chaves simétricas de 256 bits garante que, mesmo se computadores quânticos de grande escala se tornarem disponíveis, a criptografia continuará segura com nível de 128 bits. É por isso que aplicações governamentais e militares que exigem proteção de dados a longo prazo estão migrando agora para a criptografia simétrica de 256 bits.

A segurança do RSA baseia-se na dificuldade de fatorar números inteiros grandes. A fatoração é um problema matemático mais fácil do que forçar uma chave simétrica por tentativa e erro, portanto o RSA precisa de chaves muito maiores para alcançar um nível de segurança equivalente. Uma chave RSA de 2048 bits oferece apenas cerca de 112 bits de segurança. Uma chave RSA de 3072 bits oferece aproximadamente 128 bits de segurança. Para alcançar a mesma segurança do AES-256, seria necessária uma chave RSA de cerca de 15.360 bits.

A Criptografia de Curvas Elípticas alcança a mesma segurança que o RSA com chaves muito menores, explorando a dificuldade matemática do problema do logaritmo discreto em curvas elípticas. Uma chave ECC de 256 bits, como P-256 ou Curve25519, oferece aproximadamente 128 bits de segurança, o equivalente a uma chave RSA de 3072 bits. Chaves menores significam cálculos mais rápidos e mensagens menores durante a negociação do TLS, o que torna a ECC preferível em aplicações sensíveis ao desempenho.

A Publicação Especial 800-57 do NIST é o guia oficial para o gerenciamento de chaves criptográficas. Ela especifica quais algoritmos e tamanhos de chave são aprovados em cada nível de segurança, por quanto tempo as chaves devem ser usadas antes da rotação e quais são os requisitos para seu armazenamento e destruição. Seguir a SP 800-57 garante que as escolhas criptográficas estejam alinhadas às normas federais e possam ser justificadas em auditorias de conformidade.

A comparação mais comum: a criptografia simétrica de 128 bits (AES-128) oferece uma segurança aproximadamente equivalente à de uma chave RSA de 3072 bits ou de uma chave ECC de 256 bits. Isso ocorre porque as chaves simétricas são protegidas contra força bruta por um custo exponencial, enquanto as chaves assimétricas são protegidas contra algoritmos matemáticos com custo subexponencial. A diferença entre os tamanhos das chaves reflete a dificuldade distinta dos problemas matemáticos subjacentes.

A segurança em bits é mais informativa do que o tamanho bruto da chave. Dizer que um sistema tem segurança de 128 bits significa que sua quebra exige aproximadamente 2^128 operações, independentemente do algoritmo. Uma chave RSA de 2048 bits oferece segurança de 112 bits. Uma chave AES de 128 bits oferece segurança de 128 bits. Comparar tamanhos de chave entre algoritmos sem considerar a segurança em bits leva a conclusões equivocadas sobre a resistência relativa.

Os dados criptografados hoje precisam permanecer seguros durante todo o período de validade de sua classificação. Documentos governamentais classificados podem precisar permanecer confidenciais por décadas. Escolher o comprimento das chaves com base apenas nas capacidades computacionais atuais é insuficiente: as chaves devem ter tamanho suficiente para resistir a ataques possibilitados por futuros avanços de hardware e por possíveis computadores quânticos. Usar chaves mais longas do que o necessário custa pouco, mas oferece uma proteção significativa para o futuro.

Qual tamanho de chave oferece aproximadamente o mesmo nível de segurança que o AES-128?

O parâmetro de segurança lambda mede o nível de segurança desejado em bits. 80 bits está obsoleto; 112 bits é o mínimo; 128 bits é o padrão; 256 bits oferece margem pós-quântica. O RSA exige chaves muito maiores que os algoritmos simétricos para alcançar uma segurança equivalente: RSA de 3072 bits equivale ao AES-128. A ECC alcança a mesma segurança que o RSA com chaves muito menores. A segurança em bits é mais significativa que o tamanho bruto da chave ao comparar algoritmos.