Capítulo 2 — Segurança quântica e pós-quântica: seminário avançado

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Colete agora, decifre depois"]
  N1["2.2 O ML-KEM em uma página"]
  N2["2.3 Combinadores híbridos"]
  N3["2.4 Famílias comparadas"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Colete agora, decifre depois"]
  N1["2.2 O ML-KEM em uma página"]
  N2["2.3 Combinadores híbridos"]
  N3["2.4 Famílias comparadas"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX008"]

[2.1 Colete agora, decifre depois]
    |
    v
[2.2 O ML-KEM em uma página]
    |
    v
[2.3 Combinadores híbridos]
    |
    v
[2.4 Famílias comparadas]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem e conexão

Você vai (1) explicar por que o estabelecimento de chaves é migrado antes das assinaturas; (2) descrever a estrutura do ML-KEM e de um combinador híbrido PQ/T no nível necessário para raciocinar sobre a implantação; (3) comparar as famílias pós-quânticas por tamanho e pressuposto; e (4) criticar um artigo de seminário. O capítulo aprofunda o contexto do Capítulo 1 e fundamenta o desenho do estudo do Capítulo 3.

2.1 Colete agora, decifre depois

Um adversário que grava tráfego cifrado hoje pode decifrá-lo mais tarde se a troca de chaves cair diante de um futuro computador quântico criptograficamente relevante executando o algoritmo de Shor (Shor 1997). Com as assinaturas é diferente: forjar uma assinatura depois não ajuda o atacante contra uma sessão que já terminou. Essa assimetria explica por que navegadores e CDNs implantaram primeiro a troca de chaves híbrida e por que o Fragment Study trata de compartilhamentos de chave, e não de certificados. A migração das assinaturas importa para âncoras de confiança e firmware de vida longa, e traz seus próprios problemas de tamanho — as assinaturas ML-DSA-65 têm 3.309 bytes (FIPS 204) —, mas é uma onda posterior.

2.2 O ML-KEM em uma página

O ML-KEM é um mecanismo de encapsulamento de chaves construído sobre o problema module learning-with-errors, uma variante estruturada do LWE (Regev 2009). Informalmente, a chave pública esconde um vetor secreto atrás de um produto de matriz somado a um ruído pequeno; o encapsulamento produz um texto cifrado do qual só quem detém a chave secreta consegue recuperar uma chave compartilhada de 32 bytes, e uma transformação no estilo Fujisaki–Okamoto dá segurança contra ataques de texto cifrado escolhido. O ML-KEM-512, o -768 e o -1024 visam as categorias de segurança 1, 3 e 5 do NIST. Para a pesquisa de implantação, os fatos essenciais são os tamanhos (chave de encapsulamento de 800/1.184/1.568 bytes; texto cifrado de 768/1.088/1.568 bytes), a velocidade (rápido — muitas vezes mais rápido que o X25519 em código otimizado) e o fato de que a falha de desencapsulamento é possível, mas desprezível nos parâmetros padronizados. A SP 800-227 traz as recomendações do NIST para o uso de KEMs.

2.3 Combinadores híbridos

Um híbrido PQ/T (RFC 9794) executa uma troca de chaves pós-quântica e uma tradicional e deriva a chave de sessão de ambas, de modo que o atacante precisa quebrar as duas. No X25519MLKEM768, os dois segredos compartilhados são concatenados — primeiro o ML-KEM, depois o X25519 — e entram no escalonamento de chaves do TLS 1.3 (RFC 10024). O híbrido cobre dois riscos ao mesmo tempo: um futuro computador quântico (coberto pelo ML-KEM) e uma fraqueza inesperada no pressuposto de reticulados, mais novo (coberta pelo X25519). As quebras do Rainbow (Beullens 2022) e do SIKE (Castryck e Decru 2022) são o motivo de a segunda proteção ser levada a sério.

2.4 Famílias comparadas

Tabela da aula; deslize para ver todas as colunas →

2.5 Exemplo resolvido: crítica de seminário

O artigo do seminário (estudo sintético "P-7") relata que "a troca de chaves híbrida aumenta a falha de handshake em 240%". Crítica: a taxa de base não é informada (240% de quê?); a comparação é feita entre duas semanas diferentes, com uma atualização do navegador entre elas; as falhas são contadas por tentativa, mas as novas tentativas inflam o número de tentativas; e não há estratificação por caminho. A versão defensável relataria taxas absolutas com intervalos, um controle concorrente e resultados por caminho — que é o desenho do Fragment Study.

Escreva a crítica em quatro parágrafos curtos, um por falha, cada um terminando com a mudança de desenho que a corrigiria. Isso transforma uma lista de reclamações num método e torna visível a ligação com o Fragment Study: taxas de base por 10.000 séries, uma coorte de controle concorrente, séries em vez de tentativas e resultados por caminho de saída.

2.6 Erros comuns e limites

• Dizer que a troca de chaves híbrida "torna o TLS seguro contra a computação quântica": certificados e dados armazenados são questões separadas.
• Tratar aumentos relativos sem taxas de base como evidência.
• Supor que o ML-KEM é lento; o problema habitual de implantação é o tamanho, não o processamento.
• Esquecer que as normas do HQC e do FN-DSA ainda estavam em desenvolvimento em 12 de outubro de 2026.

Cada erro tem uma correção concreta nesta dissertação. A troca de chaves híbrida protege apenas o estabelecimento de chaves, e os certificados migram depois. As taxas são relatadas por 10.000 séries, com intervalos de Wilson. O custo do ML-KEM no Fragment Study é o tamanho do compartilhamento de chave, que empurra o ClientHello para além do limite de um segmento. A situação das normas é datada e deve ser verificada de novo antes da entrega.

Exercícios — capítulo 2

• EX008 — Por que KEMs primeiro. Explique a assimetria do "colete agora, decifre depois" em 150 palavras. Rubrica: 3 = assimetria correta e um caso em que as assinaturas são urgentes.
• EX009 — Fatos do ML-KEM. Liste os três conjuntos de parâmetros com categorias e tamanhos. Rubrica: 3 = tudo correto, com a FIPS 203 citada.
• EX010 — Raciocínio sobre o combinador. Explique por que concatenar os dois segredos compartilhados no escalonamento de chaves obriga o atacante a quebrar ambos. Rubrica: 3 = menciona a derivação de chaves e o pressuposto de que a KDF se comporta bem.
• EX011 — Escolha de família. Escolha um KEM para um canal de atualização de firmware com chaves estáticas de vida longa e justifique. Rubrica: 3 = compromisso entre tamanho e pressuposto explícito.
• EX012 — Criticar o P-7. Escreva uma crítica de 200 palavras. Rubrica: 3 = taxa de base, fator de confusão e problema de unidade nomeados.
• EX013 — De relativo para absoluto. Converta o "aumento de 240%" em termos absolutos, se a taxa de base era de 4,5 por 10.000. Rubrica: 3 = correto (para 15,3 por 10.000) e comentário sobre o significado.

Síntese do capítulo

O estabelecimento de chaves migra primeiro porque o tráfego gravado pode ser decifrado mais tarde. O ML-KEM é rápido, mas grande; os híbridos cobrem tanto surpresas quânticas quanto clássicas; e as alegações de implantação precisam de taxas de base, controles concorrentes e estratificação.