Criptografia de Chave Pública: Como Criar Chaves Seguras

Criar uma chave criptográfica forte hoje custa um comando e alguns milissegundos. No nosso teste, o Ed25519 gerou um par completo em 3,4 ms. A dificuldade não está no comando: está na escolha. A maioria dos tutoriais em português cola o ssh-keygen e segue em frente, sem explicar o “porquê”.

Por que Ed25519 e não RSA? Que tamanho é seguro? Um computador quântico derruba tudo daqui a alguns anos? Este guia responde tudo isso na prática. Você vai entender o par de chaves e criar o seu em uma linha. Depois, escolher o algoritmo certo com base em números que medimos aqui e ver como o gov.br e o ICP-Brasil usam a mesma ideia. Se a base ainda é nova, comece por o que é criptografia.

Resumo rápido: Criptografia de chave pública usa um par matemático: uma chave pública (que você distribui) e uma privada (que nunca sai do seu poder). Criar um par seguro hoje é um comando: ssh-keygen -t ed25519. Nos nossos testes, o Ed25519 gerou a chave em 3,4 ms (295× mais rápido que RSA-4096), com chave pública de 87 bytes e a mesma força de um RSA-3072. Para o futuro, o NIST já marcou 2030 e 2035 como prazos de aposentadoria do RSA e do ECC.

O que é criptografia de chave pública e por que ela protege você?

Criptografia de chave pública é o modelo com duas chaves ligadas por matemática: uma pública, que você distribui, e uma privada, que nunca sai do seu poder. O que uma tranca, só a outra destranca. É isso que permite trocar segredos com quem você nunca encontrou — uma ideia que só nasceu nos anos 1970, o capítulo mais recente da história da criptografia. Um RSA-2048 entrega 112 bits de segurança (NIST SP 800-57, 2020).

Na prática, esse par faz duas coisas. Primeiro, ele cifra: qualquer pessoa usa a sua chave pública para trancar uma mensagem que só a sua privada abre. Segundo, ele prova identidade: você assina com a privada, e o mundo confere com a pública. A analogia da caixa de correio para o par de chaves público e privado está detalhada no nosso guia de criptografia simétrica e assimétrica.

O detalhe que muda tudo é a assimetria. Na criptografia de chave única, alguém precisa entregar o segredo antes de a conversa começar. Aqui, não. A chave pública pode ser copiada, fotografada, colada num site. Ela não abre nada: só tranca ou só confere. A metade que abre e assina nunca viaja.

É por isso que esse par protege você o tempo todo sem aparecer. Ele está no cadeado do navegador, no login do banco, na verificação do aplicativo de mensagens. Sempre a mesma lógica: uma chave à vista de todos, a outra guardada com você.

Como criar seu par de chaves SSH em um único comando?

Um único comando resolve: ssh-keygen -t ed25519 -C "seu@email". Ele cria o par e salva dois arquivos em ~/.ssh: a chave privada em id_ed25519 e a pública em id_ed25519.pub. A chave pública Ed25519 carrega só 32 bytes de material (RFC 8032, 2017), então cabe folgada em uma linha de texto.

ssh-keygen -t ed25519 -C "seu@email"

Cada pedaço do comando tem um papel:

• -t ed25519 escolhe o tipo de chave (o “t” vem de type);
• -C "seu@email" adiciona um comentário que rotula a chave, para você saber de quem ela é;
• ao rodar, o programa pede uma passphrase: uma senha que cifra a chave privada no disco.

Não pule a passphrase. Ela é a segunda camada de proteção. Se alguém copiar o seu arquivo id_ed25519, ainda vai precisar dessa senha para usá-lo. Sem ela, a chave privada fica em texto claro, pronta para quem puser a mão no arquivo.

Depois de gerar, olhe o que saiu. A chave pública é uma linha só, como esta que geramos aqui:

A regra de ouro cabe numa frase. O arquivo .pub você distribui à vontade: cola no GitHub, no servidor, onde precisar. A chave privada (o arquivo sem .pub) nunca sai da sua máquina. E aquele código SHA256: que o ssh-keygen mostra ao gerar? É a impressão digital da chave, um hash que identifica o par sem revelá-lo.

Ed25519 ou RSA: qual tipo de chave você deve criar?

Para uma chave nova hoje, crie Ed25519. Só troque por RSA quando um sistema antigo não aceitar nada mais moderno, e aí nunca abaixo de 3072 bits. O motivo está nos números que medimos: o Ed25519 gerou o par em 3,4 ms, contra 1002 ms do RSA-4096 (média de 20 execuções do ssh-keygen na nossa máquina). São 295 vezes mais rápido.

A velocidade é só o começo. Rodamos o mesmo teste medindo tamanho de chave e de assinatura, e a vantagem do Ed25519 se repete em todas as frentes. A chave pública dele tem 87 bytes, contra 731 do RSA-4096: 8,4 vezes menor. A assinatura sai com 294 bytes, contra 1556: 5,3 vezes menor. Veja o comparativo:

O raro aqui é não haver troca. Quase toda escolha em tecnologia troca uma coisa por outra: mais segurança por mais lentidão, menos tamanho por menos força. O Ed25519 é menor e mais rápido e tem força equivalente ao RSA-3072. Você ganha nas três frentes de uma vez.

Um mito atrapalha muita gente aqui, e vale desfazer. Em 26/09/2021, o OpenSSH 8.8 desligou por padrão o esquema de assinatura ssh-rsa (OpenSSH 8.8, 2021). Muitos leram como “RSA foi aposentado”. Não foi. O que caiu foi o esquema antigo, baseado no hash SHA-1. As chaves RSA seguem válidas com SHA-2. O que morreu foi o SHA-1, não o RSA.

O tamanho de chave seguro hoje, segundo o NIST

Força não se mede pelo número de bits da chave, e sim pelos bits de segurança que ela entrega. Um RSA-2048 vale 112 bits, o piso que já está sendo aposentado. RSA-3072 e ECC-256 valem 128 bits, o patamar recomendado (NIST SP 800-57, 2020). Chave menor não significa chave mais fraca.

A tabela do NIST alinha os padrões pela força real, não pelo tamanho do número. Repare como algoritmos bem diferentes se encontram na mesma linha:

Bits de segurança	RSA	ECC (curva)	Simétrico (AES)
112	2048	224	3DES
128	3072	256	AES-128
192	7680	384	AES-192
256	15360	512	AES-256

O salto na coluna do RSA é o que chama a atenção. Para chegar a 256 bits de segurança, o RSA precisa de uma chave de 15360 bits. O ECC alcança o mesmo com apenas 512. Por que essa diferença gigante?

A resposta está no problema matemático que cada um usa como cofre. A segurança do RSA se apoia na dificuldade de fatorar números enormes em seus fatores primos. A do ECC se apoia no logaritmo discreto sobre curvas elípticas, um problema que resiste muito melhor por bit. Resultado: o RSA precisa de chaves cada vez mais colossais para acompanhar, enquanto a curva mantém o tamanho enxuto.

É essa nuance que explica o Ed25519. Ele usa uma curva elíptica (a Curve25519), então seus 256 bits de chave rendem 128 bits de segurança: a mesma força de um RSA-3072, com 1/8 do tamanho. Pequeno no disco, forte na matemática.

A computação quântica vai quebrar suas chaves?

Hoje, não. Nenhum computador quântico prático quebra RSA ou ECC, e nada indica que isso aconteça nos próximos anos. Mas o calendário já existe: o NIST marcou o RSA e o ECDSA como “deprecated após 2030”, e todos os algoritmos atuais de chave pública como “disallowed após 2035” (NIST IR 8547, 2024). É planejamento ordenado, não pânico.

O risco tem nome: “harvest now, decrypt later”, ou “colha agora, decifre depois”. A ideia é simples. Um adversário guarda hoje o tráfego cifrado que não consegue abrir. Se um computador quântico útil chegar em 2035, ele volta ao arquivo e decifra tudo com atraso. Por isso a preocupação real é com segredos de vida longa, não com a sua sessão SSH de terça-feira.

A boa notícia é que a defesa já está pronta. Em 13/08/2024, o NIST publicou os primeiros padrões pós-quânticos: FIPS 203 (ML-KEM), 204 (ML-DSA) e 205 (SLH-DSA) (NIST CSRC, 2024). São algoritmos desenhados para resistir a computadores quânticos. O calendário de migração é este:

Para o seu uso pessoal, respire fundo. Uma chave Ed25519 ou RSA-3072 segue segura por anos para SSH, e-mail e assinaturas do dia a dia. A migração urgente é para quem guarda segredo de longuíssimo prazo: registros médicos, dados de Estado, propriedade intelectual que precisa ficar sigilosa por décadas. Para o resto, há tempo de sobra e um caminho já traçado.

Assinatura digital no Brasil: como gov.br e ICP-Brasil usam suas chaves

Assinar digitalmente é o par de chaves ao contrário: você cifra o resumo do documento com a privada, e qualquer um confere com a pública. É o que roda por baixo do gov.br e dos certificados ICP-Brasil. Em 2024, o ICP-Brasil bateu recorde com mais de 10,6 milhões de certificados emitidos (ANCD/ITI, 2025), somando mais de 14,2 milhões ativos.

Vale separar dois caminhos que as pessoas confundem. A assinatura eletrônica gov.br usa a sua conta gov.br, é gratuita e serve para o dia a dia com órgãos públicos. Já o certificado ICP-Brasil (o e-CPF ou e-CNPJ) é emitido por uma autoridade certificadora e tem validade jurídica plena, equivalente à assinatura de próprio punho. Nos dois casos, o motor é o mesmo: a sua chave privada assina, a pública confere.

A adoção da assinatura gov.br cresceu num ritmo que poucos serviços públicos alcançam. O total acumulado passou de 548 milhões de usos em 2026 (ITI, painel oficial, 2026), com picos de mais de um milhão de documentos assinados em um único dia. O gráfico abaixo mostra a curva de adoção acumulada ano a ano:

Por baixo dessa curva está exatamente o conceito deste guia. Cada assinatura no gov.br ou num documento com e-CPF usa as mesmas chaves públicas e privadas que você acabou de aprender a criar. A privada assina no seu dispositivo. A pública, distribuída junto do certificado, permite que qualquer pessoa verifique se o documento é seu e se ninguém o alterou depois. Conceito de par de chaves, aplicado a milhões de brasileiros todos os dias.

Perguntas frequentes

Qual a diferença entre chave pública e chave privada?

São as duas metades de um mesmo par matemático. A chave pública você distribui livremente: ela serve para cifrar mensagens destinadas a você ou verificar a sua assinatura. A privada nunca sai do seu poder: só ela decifra essas mensagens ou cria a sua assinatura. Uma tranca, a outra abre.

Ed25519 ou RSA: qual é melhor para SSH?

Para uma chave nova, Ed25519. Ele é mais rápido, gera uma chave menor e tem a força de um RSA-3072. Use RSA (de 3072 bits ou mais) apenas quando um sistema antigo não aceitar Ed25519. Nos nossos testes, o Ed25519 gerou o par 295 vezes mais rápido que o RSA-4096.

RSA-2048 ainda é seguro?

Sim, mas é o piso. Ele entrega 112 bits de segurança, o mínimo aceito, e está em processo de aposentadoria. O NIST recomenda migrar para 3072 bits ou mais, que rendem 128 bits, e marca 2030 como o início do fim para o patamar de 112 bits. Para chave nova, prefira algo mais forte.

Preciso me preocupar com computador quântico agora?

Para uso pessoal, não. Nenhum computador quântico prático quebra RSA ou ECC hoje, e o NIST marca 2035 como prazo final de migração. Até lá, Ed25519 e RSA-3072 seguem seguros para SSH e assinaturas. A preocupação real é de quem guarda segredos sigilosos por décadas.

Como criar chaves seguras: 3 decisões que importam

Vale fechar com as três decisões que não podem escapar:

• Tipo: Ed25519 por padrão. Um comando resolve, ssh-keygen -t ed25519, e você ganha nas três frentes: mais rápido, menor e com a força de um RSA-3072. Só use RSA (3072 bits ou mais) para compatibilidade com sistema legado;
• Proteja a privada. Coloque uma passphrase na chave, guarde o arquivo id_ed25519 só na sua máquina e distribua apenas o .pub. A privada que vaza deixa de ser sua;
• O futuro tem prazo. RSA e ECC valem até 2030 e 2035 no calendário do NIST. Não é urgência para uso pessoal, mas é bom saber que os padrões pós-quânticos já existem.

A trilha de Criptografia segue daqui. Se você chegou agora, comece pelo pilar sobre o que é criptografia e passe pela diferença entre criptografia simétrica e assimétrica. Depois, abra o terminal: um ssh-keygen agora vale mais que qualquer teoria guardada.