A computação quântica preocupa a criptografia porque alguns dos problemas matemáticos usados para proteger comunicações digitais podem se tornar muito mais fáceis de resolver com computadores quânticos suficientemente poderosos. Isso não significa que toda criptografia atual esteja prestes a deixar de funcionar nem que os computadores quânticos disponíveis hoje consigam abrir qualquer mensagem protegida. O problema é mais específico: certos sistemas fundamentais de criptografia de chave pública foram construídos sobre dificuldades matemáticas que algoritmos quânticos conhecidos podem reduzir de maneira muito importante.

A criptografia está presente em grande parte da vida digital. Quando alguém acessa um site seguro, utiliza serviços bancários, instala uma atualização de software ou troca informações com um serviço pela internet, diferentes mecanismos criptográficos podem estar trabalhando nos bastidores. Eles ajudam a impedir que terceiros leiam informações, modifiquem mensagens sem serem percebidos ou se apresentem falsamente como outra pessoa.

Nem todos esses mecanismos funcionam da mesma maneira. Uma distinção importante existe entre criptografia simétrica e criptografia de chave pública. Na criptografia simétrica, as partes compartilham uma chave secreta utilizada para proteger e recuperar informações. O grande desafio é fazer com que as pessoas ou sistemas certos possuam essa chave sem entregá-la a quem não deveria conhecê-la.

A criptografia de chave pública ajudou a resolver parte desse problema. Nela, existem informações que podem ser divulgadas publicamente e outras que precisam permanecer secretas. Uma chave pública pode ser distribuída amplamente, enquanto uma chave privada fica protegida com seu proprietário.

Dependendo do sistema, essa estrutura pode ser utilizada para estabelecer segredos compartilhados ou produzir assinaturas digitais. As assinaturas permitem verificar, por exemplo, se uma mensagem realmente foi autorizada por quem possui determinada chave privada e se o conteúdo foi alterado depois.

Esses mecanismos são possíveis graças a problemas matemáticos que possuem uma característica muito útil: realizar determinada operação pode ser relativamente fácil, enquanto desfazê-la sem uma informação secreta pode ser extremamente difícil para os computadores conhecidos.

Um exemplo famoso envolve a fatoração de números inteiros. Multiplicar dois números primos grandes é uma operação simples para um computador. Receber o resultado dessa multiplicação e descobrir quais eram os números originais pode ser muito mais difícil quando eles são suficientemente grandes.

O sistema RSA utiliza uma estrutura matemática relacionada a essa dificuldade. Sua segurança prática depende, entre outros fatores, de não conhecermos um método clássico eficiente para fatorar os números enormes utilizados em configurações adequadas.

Isso não significa que fatoração seja impossível. Um computador tradicional consegue fatorar números. O problema é a quantidade de recursos necessária quando os números atingem tamanhos utilizados em criptografia. A diferença entre “possível em princípio” e “viável na prática” é justamente o que oferece proteção.

A criptografia utiliza essa diferença constantemente. Não é necessário que quebrar uma chave seja matematicamente impossível. Basta que o esforço necessário seja tão grande que o ataque não seja viável dentro de um período útil e com recursos disponíveis.

É nesse ponto que a computação quântica muda a situação. Na década de 1990, o matemático Peter Shor desenvolveu um algoritmo quântico capaz de resolver eficientemente certos problemas matemáticos importantes, incluindo fatoração de inteiros e um problema relacionado chamado logaritmo discreto.

O algoritmo de Shor é uma das descobertas mais importantes da computação quântica porque mostrou que um computador quântico suficientemente grande poderia realizar determinadas tarefas muito mais eficientemente do que os melhores algoritmos clássicos conhecidos.

Isso afeta não apenas o RSA. Outros sistemas de chave pública dependem do logaritmo discreto ou de problemas relacionados. A criptografia baseada em curvas elípticas, muito utilizada por oferecer forte segurança com chaves relativamente pequenas, também seria vulnerável a um computador quântico capaz de executar o algoritmo de Shor na escala necessária.

O impacto seria grande porque sistemas desse tipo estão presentes em muitos componentes da infraestrutura digital. Eles são utilizados em diferentes formas de comunicação segura, autenticação, assinaturas e gerenciamento de chaves.

Entretanto, existe uma diferença enorme entre conhecer um algoritmo capaz de realizar o ataque e possuir uma máquina capaz de executá-lo contra sistemas criptográficos reais.

Os computadores quânticos atuais ainda possuem limitações importantes. Qubits são frágeis, operações apresentam erros e cálculos longos são difíceis de manter. Para atacar chaves criptográficas modernas de maneira prática usando o algoritmo de Shor, seria necessário um computador quântico tolerante a falhas com capacidade muito superior à disponível nas máquinas atuais.

A correção de erros é uma das principais dificuldades. Para realizar cálculos grandes de maneira confiável, não basta possuir muitos qubits físicos. É necessário proteger a informação quântica contra erros que aparecem durante a execução.

Uma estratégia é combinar vários qubits físicos para construir qubits lógicos mais confiáveis. Isso pode exigir uma quantidade de hardware muito maior do que o número de qubits lógicos efetivamente utilizado pelo algoritmo.

Por isso, manchetes dizendo que determinada empresa construiu um computador com centenas ou milhares de qubits não significam que a máquina esteja próxima de quebrar a criptografia moderna. O número bruto de qubits é apenas uma das características relevantes. Qualidade das operações, taxas de erro e capacidade de correção também importam.

Mesmo assim, organizações responsáveis por segurança não podem simplesmente esperar até que uma máquina suficientemente poderosa exista. Sistemas criptográficos são incorporados a equipamentos e infraestruturas que podem permanecer em operação durante muitos anos. Trocar os métodos utilizados por milhões de dispositivos é um processo lento.

Essa demora cria uma razão prática para agir antecipadamente. Se for plausível que computadores quânticos capazes de ameaçar certos sistemas apareçam no futuro, a migração para alternativas resistentes precisa começar antes desse momento.

Existe ainda outro problema conhecido pela ideia de “coletar agora e decifrar depois”. Um adversário pode capturar hoje comunicações criptografadas que ainda não consegue ler e armazená-las. Se no futuro adquirir capacidade para quebrar a proteção, poderá tentar recuperar o conteúdo antigo.

Esse risco importa especialmente para informações que precisam permanecer secretas durante muitos anos. Uma mensagem que perde todo o valor depois de algumas horas pode ter pouca importância futura. Registros governamentais, segredos industriais, informações pessoais ou outros dados sensíveis podem continuar valiosos por décadas.

Assim, a pergunta não é apenas quando um computador quântico capaz de atacar determinada criptografia será construído. Também importa por quanto tempo os dados transmitidos hoje precisam continuar protegidos.

Esse cenário levou ao desenvolvimento da criptografia pós-quântica. O nome pode causar uma impressão errada: ela não exige computadores quânticos. São métodos criptográficos projetados para funcionar em computadores tradicionais, mas baseados em problemas matemáticos para os quais não conhecemos ataques quânticos eficientes comparáveis ao algoritmo de Shor.

A ideia é substituir sistemas vulneráveis antes que computadores quânticos de grande escala possam ameaçá-los.

Depois de um processo internacional de avaliação iniciado anos antes, o Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, o NIST, publicou em 2024 seus primeiros padrões completos de criptografia pós-quântica. Entre eles estão mecanismos destinados ao estabelecimento seguro de chaves e assinaturas digitais. Desde então, a transição passou de uma preparação teórica para um trabalho concreto de adoção em sistemas reais.

Essa mudança não acontece simplesmente instalando um novo algoritmo em todos os computadores. Criptografia está espalhada por protocolos de internet, sistemas empresariais, dispositivos, certificados digitais, equipamentos industriais e programas que podem ter sido desenvolvidos há décadas.

Uma organização pode nem saber todos os lugares em que utiliza algoritmos vulneráveis. Descobrir onde a criptografia está presente já pode ser uma tarefa significativa.

Depois disso, é necessário atualizar programas, protocolos e equipamentos. Alguns dispositivos podem não receber mais atualizações. Outros possuem limitações de memória ou processamento. Sistemas críticos podem exigir longos períodos de teste antes que qualquer alteração seja autorizada.

Essa dificuldade explica a importância de uma característica chamada agilidade criptográfica. Em termos simples, significa projetar sistemas de modo que seus métodos criptográficos possam ser substituídos sem reconstruir toda a infraestrutura.

Essa flexibilidade é útil não apenas por causa dos computadores quânticos. Algoritmos criptográficos podem precisar ser substituídos por várias razões, incluindo novas descobertas matemáticas, falhas de implementação ou mudanças nos requisitos de segurança.

Também é importante entender que a ameaça quântica não afeta todos os tipos de criptografia da mesma maneira. O algoritmo de Shor representa uma ameaça especialmente forte para certos sistemas de chave pública porque muda profundamente a dificuldade dos problemas matemáticos em que eles se baseiam.

A situação da criptografia simétrica é diferente. Existe um algoritmo quântico conhecido como algoritmo de Grover que pode acelerar determinados tipos de busca. Em termos simplificados, isso pode reduzir a segurança efetiva de algumas chaves simétricas diante de um adversário quântico.

Mas o efeito é muito diferente daquele produzido por Shor sobre RSA e curvas elípticas. Em muitos casos, aumentar adequadamente o tamanho das chaves simétricas é uma forma de manter margens de segurança contra esse tipo de ameaça.

Por isso, dizer que “computadores quânticos quebrarão toda a criptografia” é incorreto. Diferentes mecanismos precisam ser analisados separadamente.

Funções de resumo criptográfico, frequentemente chamadas pelo termo inglês hash, também possuem uma situação diferente. Elas recebem dados e produzem uma representação de tamanho determinado, sendo utilizadas em várias partes dos sistemas de segurança. Algoritmos quânticos podem alterar algumas estimativas de segurança, mas isso não significa que todas essas funções deixem automaticamente de ser úteis.

A resposta à computação quântica, portanto, não é abandonar a criptografia. É modificar os métodos utilizados.

Isso já aconteceu antes. A história da segurança digital contém algoritmos que foram substituídos porque o avanço da computação ou da análise criptográfica tornou suas margens de segurança insuficientes. Sistemas seguros precisam ser capazes de evoluir.

A diferença da ameaça quântica é que ela nasce de um novo modelo de computação capaz de alterar a dificuldade de determinados problemas fundamentais. Não se trata apenas de processadores clássicos ficando gradualmente mais rápidos.

Um computador tradicional duas vezes mais rápido reduz aproximadamente pela metade o tempo de certas tarefas. Um algoritmo melhor pode produzir mudanças muito maiores. O algoritmo de Shor é importante porque oferece justamente uma mudança na maneira como o problema pode ser resolvido, e não apenas mais força bruta.

Isso mostra por que simplesmente aumentar indefinidamente o tamanho de chaves RSA não é considerado uma resposta adequada para um futuro com computadores quânticos tolerantes a falhas. O problema não é apenas que a máquina teria mais velocidade; o algoritmo quântico altera de forma fundamental a dificuldade do ataque.

Por outro lado, também não sabemos exatamente quando existirá um computador quântico capaz de executar ataques criptográficos relevantes em grande escala. Previsões variam e dependem de avanços difíceis de antecipar em hardware, correção de erros e engenharia.

É possível que avanços ocorram mais rapidamente do que alguns esperam. Também é possível que obstáculos técnicos levem muito mais tempo. Segurança de longo prazo não pode depender de acertar uma data específica.

Por isso, organizações podem planejar a transição com base no risco. Informações que precisam permanecer secretas durante décadas merecem atenção diferente de dados que perdem valor rapidamente. Sistemas que levam muitos anos para serem substituídos precisam começar a adaptação antes daqueles que podem ser atualizados facilmente.

Existe também a possibilidade de utilizar abordagens híbridas durante períodos de transição. Um sistema pode combinar métodos tradicionais com métodos pós-quânticos de forma que a segurança não dependa exclusivamente de uma única família de algoritmos.

Essa estratégia pode ser útil enquanto novas tecnologias são implantadas e avaliadas, embora sua implementação também precise ser cuidadosamente projetada. Combinar dois métodos incorretamente não produz automaticamente o melhor dos dois.

Outro ponto importante é que criptografia segura depende de muito mais do que escolher um bom algoritmo. Implementações podem conter falhas. Chaves podem ser roubadas. Senhas podem ser fracas. Dispositivos podem estar comprometidos. Pessoas podem ser enganadas por técnicas de manipulação.

Um invasor não precisa executar um sofisticado algoritmo quântico se consegue convencer alguém a entregar sua senha.

Isso continuará verdadeiro mesmo em um mundo com computadores quânticos avançados. A criptografia pós-quântica pode proteger contra determinadas capacidades matemáticas de um adversário quântico, mas não resolve todos os problemas de segurança digital.

Também existem tecnologias conhecidas como criptografia quântica, das quais a distribuição quântica de chaves é um exemplo. Elas utilizam propriedades da física quântica para realizar certas tarefas de comunicação segura. Apesar do nome semelhante, não devem ser confundidas com criptografia pós-quântica.

A criptografia pós-quântica utiliza algoritmos que podem rodar em computadores comuns e foi projetada para resistir a ataques de computadores clássicos e quânticos conhecidos. Já a comunicação quântica depende de sistemas físicos quânticos e possui requisitos de infraestrutura diferentes.

Para grande parte da infraestrutura digital existente, a criptografia pós-quântica é particularmente importante porque pode ser incorporada a sistemas computacionais convencionais sem exigir que cada usuário possua um computador quântico.

A transição também envolve assinaturas digitais. Elas são utilizadas para verificar autenticidade e integridade de programas, documentos, certificados e atualizações. Se um sistema de assinatura se tornar vulnerável, um adversário suficientemente poderoso poderia tentar produzir assinaturas falsas.

Isso mostra que a preocupação não se limita a esconder mensagens. Criptografia também ajuda computadores a decidir em quem confiar. Uma atualização de software, por exemplo, pode ser aceita porque possui uma assinatura que demonstra sua origem. Proteger esses mecanismos é essencial para manter a confiança na infraestrutura digital.

O impacto potencial da computação quântica sobre a criptografia é, portanto, grande, mas bastante específico. Não estamos diante de uma tecnologia que simplesmente “desliga a segurança da internet”. Estamos diante de algoritmos quânticos capazes de ameaçar famílias importantes de métodos criptográficos caso existam máquinas grandes e confiáveis o suficiente para executá-los.

A boa notícia é que esse risco é conhecido com antecedência. Não precisamos esperar o primeiro ataque quântico prático para começar a construir alternativas. Novos padrões já existem e a migração pode acontecer gradualmente.

O desafio é que infraestrutura criptográfica possui vida longa. Equipamentos instalados hoje podem continuar funcionando por muitos anos. Dados capturados hoje podem continuar sensíveis no futuro. Por isso, uma ameaça que ainda não é prática pode exigir decisões no presente.

A computação quântica preocupa a criptografia justamente porque segurança depende de antecipação. Quando um método criptográfico finalmente pode ser quebrado com facilidade, começar a substituí-lo naquele momento pode ser tarde demais.

Isso não significa entrar em pânico diante de cada avanço anunciado em computação quântica. Computadores atuais ainda estão muito distantes de realizar muitos dos ataques que motivam essa preocupação. Significa reconhecer que uma mudança fundamental na capacidade computacional é possível e preparar a infraestrutura antes que ela se torne urgente.

A resposta mais adequada não é acreditar que toda criptografia será destruída nem ignorar o problema até existir uma máquina capaz de explorá-lo. É realizar uma transição planejada. A computação quântica não torna a segurança digital impossível; ela muda quais problemas matemáticos podem continuar servindo como base para essa segurança. A criptografia, como sempre aconteceu, precisa evoluir junto com as capacidades de quem tenta quebrá-la.