Capítulo 26 — Segurança quântica e pós-quântica: alternativas de arquitetura

Mapa da aula

Aula 26 publicada. Mapa, exemplo, EX051.

flowchart TD
  N0["26.1 Pura versus híbrida"]
  N1["26.2 Certificados"]
  N2["26.3 Mitigações provisórias"]
  N3["26.4 Tabela de decisão"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX051"]

Desenho lógico

flowchart LR
  N0["26.1 Pura versus híbrida"]
  N1["26.2 Certificados"]
  N2["26.3 Mitigações provisórias"]
  N3["26.4 Tabela de decisão"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX051"]

[26.1 Pura versus híbrida]
    |
    v
[26.2 Certificados]
    |
    v
[26.3 Mitigações provisórias]
    |
    v
[26.4 Tabela de decisão]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX051]

Objetivos de aprendizagem

Você vai (1) comparar PQC pura, híbrido PQ/T e mitigações provisórias; (2) avaliar certificados compostos versus paralelos; (3) considerar alternativas de chave simétrica, como chaves pré-compartilhadas; e (4) escolher a arquitetura por contexto. O capítulo parte dos Capítulos 18 e 25.

26.1 Pura versus híbrida

A PQC pura usa apenas algoritmos pós-quânticos: mais simples e menor que o híbrido, mas aposta tudo em pressupostos mais novos. O híbrido PQ/T combina os dois (RFC 9794): é seguro se qualquer um deles resistir, ao custo extra de bytes e complexidade. Durante a transição, muitos protocolos e documentos de orientação preferem híbridos para a troca de chaves; algumas orientações governamentais, como o CNSA 2.0, aceitam PQC pura com os conjuntos de parâmetros da categoria 5. A escolha depende do apetite de risco frente a uma surpresa criptoanalítica versus a complexidade.

A BPA escolhe híbridos para a troca de chaves externa.

26.2 Certificados

Opções para a autenticação pós-quântica: (a) certificados de PQC pura (chaves e assinaturas ML-DSA); (b) certificados compostos, em que um certificado carrega uma chave tradicional e uma pós-quântica e as duas assinaturas precisam ser verificadas; (c) cadeias paralelas — dois certificados, um por algoritmo, com a negociação escolhendo; (d) migração adiada, com certificados clássicos de vida curta, aceitável onde ataques quânticos ativos ainda não são viáveis. Cada uma troca compatibilidade, tamanho e complexidade.

Para a BPA, a opção (d) é aceitável por enquanto para os certificados web públicos, porque eles duram cerca de um ano e um ataque quântico ativo precisa de um CRQC no momento da conexão.

26.3 Mitigações provisórias

Onde a PQC ainda não está disponível — em equipamentos de VPN antigos, por exemplo —, misturar uma chave simétrica pré-compartilhada na derivação de chaves pode proteger o tráfego gravado, já que as PSKs não são vulneráveis a Shor. O RFC 8784 define um mecanismo desse tipo para o IKEv2. As PSKs trazem os ônus da distribuição e da rotação de chaves, então são uma ponte, não um destino.

Para os dois parceiros de maior valor da BPA, a PSK é trocada por um canal fora de banda e rotacionada a cada três meses, com responsável e expiração registrados por parceiro. O tráfego gravado do túnel fica então protegido mesmo enquanto o equipamento oferece apenas troca de chaves clássica.

26.4 Tabela de decisão

Tabela da aula; deslize para ver todas as colunas →

A tabela torna explícita a variação: a mesma organização usa cinco combinações diferentes conforme o contexto. Cada linha remonta a uma decisão anterior, por exemplo a linha do firmware dos guindastes à restrição de 32 KB e a linha do equipamento antigo ao estudo de compromisso que escolheu a mistura de PSK como solução provisória. Quando um parceiro se atualiza, a sua linha muda e a tabela mostra o novo alvo. As linhas têm datas de revisão, para que as escolhas provisórias não se tornem permanentes.

26.5 Exemplo resolvido

A BPA debate certificados compostos para a sua PKI interna. Prós: uma só cadeia, os dois algoritmos verificados. Contras: suporte limitado nas bibliotecas, certificados maiores, política complexa. Decisão: cadeias paralelas internamente, onde os clientes podem ser atualizados, e adiar a migração dos certificados públicos até que exista suporte no ecossistema dos navegadores; revisão anual.

As cadeias paralelas internas permitem à BPA testar certificados ML-DSA com clientes que ela controla, sem esperar por um suporte mais amplo. A revisão anual verifica as versões dos navegadores e das bibliotecas; quando o ecossistema suportar certificados ML-DSA, o portal público migra, aproveitando a experiência da implantação interna.

26.6 Erros comuns e limites

• Uma só arquitetura para todos os contextos.
• PSKs sem planos de rotação.
• Supor que os certificados compostos têm suporte universal.

Uma arquitetura única falha porque os contextos diferem: um controlador de guindaste com 32 KB de flash e um portal público com milhões de navegadores não podem usar o mesmo projeto. PSKs sem rotação acabam vazando ou expirando sem que ninguém perceba, deixando os túneis desprotegidos; cada uma precisa de um responsável e de uma data de rotação trimestral. Os certificados compostos ainda têm suporte limitado nas bibliotecas, então as cadeias paralelas costumam ser a escolha prática por enquanto, como mostrou a decisão da PKI interna da BPA.

Exercícios

• EX051 — Argumento pelo híbrido. Defenda em 150 palavras a troca de chaves híbrida no portal da BPA, citando as quebras de esquemas. Rubrica: 3 = raciocínio de "basta um resistir" e custo reconhecido.
• EX052 — Ponte com PSK. Projete uma abordagem provisória com PSK para uma VPN antiga, incluindo a rotação. Rubrica: 3 = distribuição, rotação, data de desativação.

Síntese

As alternativas de arquitetura diferem conforme o contexto: os híbridos protegem contra surpresas, a PQC pura simplifica, as PSKs fazem a ponte e as estratégias de certificados trocam compatibilidade por garantia.