Computador Quântico e Criptografia: A Ameaça e a Defesa

O dado cifrado que você envia hoje pode estar sendo guardado agora para ser lido daqui a dez anos. Não por um gênio do mal, mas por quem aposta que o computador quântico vai chegar. A técnica tem nome: grava agora, decifra depois.

Parece ficção científica, mas não é. Em 2024, o instituto de padrões dos Estados Unidos, o NIST, publicou os primeiros algoritmos feitos para resistir a esse futuro. A defesa já existe antes mesmo de a ameaça existir de verdade.

Vale separar o susto do fato. O computador quântico é uma ameaça real, mas assimétrica: ele quebra o tipo de criptografia que combina chaves, não o que guarda o conteúdo. Este guia mostra o que cai, o que resiste e por que o relógio já começou a correr para alguns dados. É a próxima Enigma — e, como toda cifra da história, ela também terá sua resposta.

Resumo rápido: Um computador quântico grande vai quebrar a criptografia que troca chaves (RSA, ECC — a assimétrica), porque o algoritmo de Shor torna a conta por trás dela fácil. Mas ele não derruba o AES que cifra o conteúdo: contra a criptografia simétrica, o algoritmo de Grover só corta a força pela metade, e o AES-256 continua seguro. Esse computador ainda não existe em escala, com estimativas de chegada para meados dos anos 2030. A defesa — a criptografia pós-quântica (PQC) — já foi padronizada pelo NIST em 2024 e já roda no Chrome e no Signal.

Um computador quântico pode quebrar a criptografia de verdade?

Pode, mas não toda ela. A ameaça mira um tipo específico: a criptografia de chave pública, como o RSA e o ECC. É ela que hoje protege a troca de chaves em quase toda conexão segura. E é ela que corre risco, por um motivo matemático preciso.

O RSA se apoia numa aposta: multiplicar dois números primos gigantes é fácil. Fazer o caminho de volta, descobrir quais eram os primos, leva mais tempo do que a idade do universo num computador comum. Toda a segurança mora nessa mão única. Quebrar o RSA é resolver esse quebra-cabeça de fatoração.

Em 1994, o matemático Peter Shor mostrou como um computador quântico faria exatamente isso. O algoritmo de Shor transforma a fatoração de números enormes numa tarefa rápida para uma máquina quântica grande o bastante. O mesmo golpe vale para o ECC, que se apoia num problema parecido.

Aqui entra a calibração. Esse computador quântico grande o suficiente ainda não existe. O algoritmo de Shor é de 1994, mas rodá-lo contra uma chave real exige um hardware que ninguém construiu. A ameaça é séria e datada para o futuro, não uma emergência de hoje — com uma exceção importante, que veremos adiante.

Por que o AES e a sua senha sobrevivem ao computador quântico?

Porque o computador quântico ataca a fechadura da troca de chave, não o cofre onde o conteúdo fica. Essa é a parte que quase todo alarme esquece de contar. A criptografia simétrica, como o AES que cifra seus arquivos e suas mensagens, resiste bem ao quântico.

O ataque quântico contra a simétrica se chama algoritmo de Grover, e ele é bem mais fraco que o de Shor. Grover só corta a força pela metade. Na prática, um AES-256 passaria a oferecer a segurança equivalente a 128 bits — que continua fora de alcance, hoje e em qualquer futuro previsível. A conta apenas dobra o esforço, não o zera.

O mesmo raciocínio protege as funções de hash como o SHA-256, usadas em assinaturas e na verificação de integridade. Elas perdem margem contra Grover, mas seguem viáveis com tamanhos maiores. Nada de colapso: é um ajuste de dose, não uma troca de remédio.

O que é “grava agora, decifra depois” e por que o prazo já começou?

É a estratégia que torna a ameaça quântica um problema de hoje, não de 2035. Um adversário não precisa esperar o computador quântico para agir. Ele grava agora o tráfego cifrado que consegue interceptar e o arquiva, à espera do dia em que uma máquina quântica poderá decifrá-lo. Em inglês, harvest now, decrypt later.

Para o dado descartável, isso não importa: ninguém liga de ler sua conversa de ontem daqui a dez anos. O problema é o segredo de vida longa. Pense num prontuário médico, num documento de Estado, numa fórmula industrial ou num dado pessoal sensível. Tudo isso precisa continuar secreto por uma década ou mais, e está exposto desde já.

É por isso que a migração começou antes de o computador quântico existir. Quem guarda segredos duradouros não pode esperar a ameaça amadurecer, porque a captura acontece no presente. A defesa precisa entrar em cena enquanto o dado ainda viaja, não depois.

Quando o computador quântico vai chegar lá? (e por que ninguém crava a data)

A resposta honesta é: ninguém sabe, e desconfie de quem cravar uma data. O consenso entre especialistas aponta para meados dos anos 2030, e o próprio NIST fala em algo que “poderia aparecer dentro de uma década”. Mas é uma estimativa, não uma promessa de calendário.

O hardware de hoje está longe. As máquinas quânticas atuais têm da ordem de centenas a alguns milhares de qubits ruidosos, enquanto quebrar uma chave real exigiria a casa dos milhões. A distância ainda é enorme, e cada qubit a mais é um desafio de engenharia brutal.

O que muda o jogo não é só o hardware: é a conta encolhendo. As estimativas de quantos qubits seriam necessários para quebrar o RSA-2048 despencaram. Em 2019, o cálculo apontava cerca de 20 milhões de qubits ruidosos. Em 2025, um novo estudo do Google baixou a estimativa para menos de um milhão.

Os números não deixam dúvida: a meta se aproxima por dois lados. Não é que o computador quântico ficou perto; é que o alvo ficou vinte vezes menor em seis anos, à medida que os algoritmos melhoraram. Por isso a prudência de começar a defesa agora, mesmo sem uma data marcada.

A defesa já existe: criptografia pós-quântica (que não é “criptografia quântica”)

A solução tem nome e já está pronta: criptografia pós-quântica, ou PQC. São algoritmos comuns, que rodam no computador que você já tem, projetados com uma matemática que nem o computador quântico sabe resolver rápido. Eles substituem o RSA e o ECC sem exigir nenhuma máquina exótica.

Cuidado com a confusão de nomes, que é o erro mais comum do assunto. Criptografia pós-quântica (PQC) é software clássico resistente ao quântico. Criptografia quântica, geralmente a distribuição quântica de chaves, é outra coisa: usa a física quântica em hardware especial e caro. Quem defende a sua conexão hoje é a primeira, não a segunda.

Em 13 de agosto de 2024, o NIST finalizou os três primeiros padrões. O FIPS 203 (ML-KEM, antigo Kyber) cuida da cifragem e da troca de chaves. O FIPS 204 (ML-DSA, antigo Dilithium) cuida das assinaturas digitais. E o FIPS 205 (SLH-DSA, antigo SPHINCS+) é o reserva, um método de assinatura com outra base matemática, para o caso de o primeiro falhar.

Isso não é um plano para o futuro: já está em uso. O protocolo HTTPS do Chrome e o aplicativo Signal já adotam esquemas híbridos, que combinam a criptografia atual com a pós-quântica durante a transição. Como resumiu Dustin Moody, do NIST, a orientação é começar a integrar os padrões “imediatamente, porque a integração completa leva tempo”.

A próxima Enigma é quântica: o que levar sobre a era pós-quântica

Se sobrar espaço para três frases, que sejam estas:

• A ameaça é assimétrica. O quântico quebra a chave pública (RSA, ECC) que troca chaves, não o AES-256 que cifra o conteúdo nem o hash que garante integridade.
• O prazo já começou para o segredo de vida longa. O “grava agora, decifra depois” captura hoje o que só será lido daqui a anos — por isso a migração não espera o hardware.
• A defesa já é padrão. A criptografia pós-quântica (não confunda com criptografia quântica) foi padronizada pelo NIST em 2024 e já roda no seu navegador.

De volta à trilha de Criptografia, o caminho continua. Para ver de onde vêm as chaves que o quântico ameaça, o guia de chave pública abre o mecanismo por inteiro.

Perguntas frequentes

Preciso me preocupar com o computador quântico hoje?

Para o uso cotidiano, não é urgente — o hardware capaz ainda não existe. Mas se você guarda dados que precisam durar dez ou vinte anos, o “grava agora, decifra depois” já é um risco real. Vale acompanhar a migração dos serviços que você usa para a criptografia pós-quântica.

”Criptografia quântica” e “criptografia pós-quântica” são a mesma coisa?

Não, e a confusão é comum. Criptografia quântica usa a física quântica em hardware especial para distribuir chaves. Criptografia pós-quântica são algoritmos comuns, que rodam no seu computador de hoje, feitos para resistir a um futuro computador quântico. É a segunda que defende você agora.

O computador quântico vai quebrar a senha do meu banco?

Não diretamente. O AES que cifra o conteúdo resiste, porque o algoritmo de Grover só corta sua força pela metade. O alvo real é o RSA que troca as chaves. E o HTTPS já começou a migrar para esquemas pós-quânticos, justamente para fechar essa porta antes da hora.

O que é o algoritmo de Shor?

É o método, publicado por Peter Shor em 1994, que permitiria a um computador quântico grande fatorar números enormes com rapidez. O RSA e o ECC se apoiam na dificuldade dessa conta. Por isso o algoritmo de Shor é o que torna a criptografia de chave pública vulnerável ao quântico.

Já dá para usar criptografia pós-quântica?

Sim. O NIST finalizou os primeiros padrões em agosto de 2024 (FIPS 203, 204 e 205). Serviços como o Chrome e o Signal já usam esquemas híbridos, que combinam a criptografia atual com a pós-quântica durante a transição. A adoção mais ampla está em andamento.