TL, DR
Criptografia pós-quântica (PQC) refere-se a algoritmos criptográficos projetados para resistir a ataques de um futuro computador quântico de grande escala. A migração para essa tecnologia já é uma obrigação ultrapassada na Europa, nas Américas e na região Ásia-Pacífico. não é mais um tema de pesquisa.
O primeiro produto a ser entregue em todos os lugares é um inventário, não uma alteração de código. Todo regime, como NIST IR 8547, Transição para a Criptografia Pós-Quântica Standards, Roteiro da UE, Da Espanha CCN-TEC 009 e similares para outras regiões, além de recomendações setoriais como PCI-DSS 12.3.3, começa pedindo que você enumere a criptografia que utiliza.
Uma proposta de implementação de tal inventário para ativos criptográficos é o CBOM (Lista de Materiais Criptográficos), que é uma lista legível por máquina dos algoritmos, chaves, certificados e protocolos que um sistema utiliza. É uma extensão da conhecida SBOM e o recomendado standardformato izado para esse inventário.
Verifique a data de vencimento mais antiga; pode não ser 2035. A maioria das jurisdições converge para a fase de descoberta até 2026–2028, para a fase de alto risco até 2030–2031 e para a fase completa até 2035. Os alvos são conhecidos, mas não se trata de uma substituição única. ML-KEM substitui a troca de chaves, ML-DSA substitui assinaturas de uso geral, enquanto esquemas baseados em hash (SLH-DSA, XMSS/LMS) abrangem firmware e raízes de longa duração. O estabelecimento de chaves já está sendo implementado em escala na internet; certificados e assinaturas estão anos atrasados — portanto, pedidos urgentes e pedidos com prazo de entrega são diferentes, e seu plano precisa de ambos.
A transição será uma década de coexistência, não uma mudança radical. Até meados da década de 2030, a maioria das organizações executará criptografia clássica e pós-quântica lado a lado, e muitas vezes literalmente combinadas: uma construção híbrida. Criptoagilidade É isso que torna esse período suportável. Significa poder alterar o algoritmo, os parâmetros ou mesmo se você usa um modelo híbrido por meio de configuração e políticas, em vez de reescrever e reimplantar o código.
Existem dois "relógios" em funcionamento, não apenas um: o relógio regulatório acima, e "Colha agora, decifre depois" (HNDLEste último envolve adversários gravando tráfego criptografado hoje para descriptografá-lo quando um computador quântico existir. Isso significa que dados com longa vida útil de confidencialidade já estão expostos.
A parte difícil não são os algoritmos, mas sim a descoberta. A criptografia se esconde no código-fonte, nas dependências, nos certificados, nos arquivos de chave, na infraestrutura como código, nas imagens de contêiner, na configuração de protocolos e em produtos de terceiros. Um inventário confiável precisa dizer honestamente o que não consegue ver.
A Xygeni pode ajudar você a se preparar para a PQC (Prontidão Pós-Quântica) produzindo o CBOM (Relatório de Objetivos de Computação Baseado em Casos), classificando cada criptoativo por risco quântico, hierarquizando o backlog de migração por exposição a HNDL (Helping Not-Delay - Nível de Desastre Não Permitido), mapeando os resultados para seis regimes regulatórios e relatando a prontidão pós-quântica de suas dependências. Detalhes completos: Conformidade com a segurança quântica.
O que um computador quântico quebra — e o que ele não quebra
Essa distinção é o fato técnico mais importante para o público de GRC, pois determina se uma constatação é válida ou não. projeto de substituição mudança de configuraçãoErrar nesse ponto gera conselhos de correção que não são apenas inúteis, mas ativamente prejudiciais.
o algoritmo de Shor — um algoritmo quântico que fatora números inteiros grandes e calcula logaritmos discretos de forma eficiente — quebra estruturalmente a criptografia de chave pública atual: RSA, ECDSA, EdDSA, Diffie-Hellman e ECDH, ou DSA. sem correção de tamanho de teclaUma chave RSA de 4096 bits não é significativamente mais segura do que uma de 2048 bits contra um adversário quântico. Esses algoritmos devem ser substituídoO mesmo se aplica às variantes nacionais construídas com base na mesma matemática — o SM2 da China, por exemplo, é baseado em curvas elípticas e, portanto, igualmente vulnerável.
algoritmo de Grover — um algoritmo de busca quântica — enfraquece cifras simétricas e funções hash, mas apenas reduzindo aproximadamente pela metade sua força efetiva. Estas são endurecível no localA transição do AES-128 para o AES-256, do SHA-256 para o SHA-384 ou SHA-512, é um ponto abordado no documento NIST IR 8547. O documento NIST IR 8547 deixa isso bem claro: a simetria do NIST é fundamental. standard“são significativamente menos vulneráveis a ataques quânticos conhecidos do que a criptografia de chave pública” standards”, e qualquer primitiva simétrica aprovada que ofereça pelo menos 128 bits de segurança clássica ainda atende à categoria de segurança pós-quântica mais baixa do NIST.
A máquina que faria isso se chama CRQC - Um computador quântico criptograficamente relevanteA política pública é cautelosa quanto ao seu status; o memorando de implementação dos EUA afirma claramente: "Ainda não se sabe da existência de um CRQC, mas os avanços constantes no campo da computação quântica podem resultar em um CRQC na próxima década."
O que mudou não foi a chegada da máquina, mas sim a redução constante da estimativa dos recursos necessários para criá-la. Em maio de 2025, Craig Gidney, da Google Quantum AI, publicou uma estimativa de recursos mostrando que O algoritmo RSA-2048 poderia ser processado em menos de uma semana por um computador quântico com menos de um milhão de qubits ruidosos. — uma redução de aproximadamente vinte vezes em relação à sua própria estimativa de 2019, de cerca de 20 milhões. Essa é uma estimativa de engenharia, mas uma estimativa que cai 20 vezes em seis anos é exatamente o tipo de tendência que um profissional de gestão de riscos é pago para levar a sério.
O relógio já começou a correr: colher agora, decifrar depois.
Colha agora, decifre depois (HNDL) É a prática de capturar tráfego ou dados criptografados hoje e armazená-los até que um CRQC possa descriptografá-los. Isso transforma uma capacidade futura em uma exposição presente para qualquer coisa que deva permanecer confidencial por anos: registros de saúde, arquivos jurídicos, propriedade intelectual, segredos de Estado, credenciais de longa duração, provas assinadas.
Os reguladores deixaram de se esquivar dessa questão. A proposta da Comissão Europeia de janeiro de 2026 para alterar a norma NIS2 afirma, no considerando 8, que “a possibilidade de ataques do tipo 'coletar agora e descriptografar depois', que provavelmente já estão ocorrendo, e os riscos futuros induzidos por ataques quânticos à falsificação de assinaturas” justificam a transição.
A consequência para o planejamento é uma simples questão de aritmética, um argumento que Michele Mosca vem defendendo desde 2015Adicione o número de anos que seus dados devem permanecer confidenciais ao número de anos que sua migração levará. Se essa soma ultrapassar o ponto em que um CRQC (Contrato de Qualidade de Registro de Dados) plausível se aplica, você já está atrasado. Para a maioria das organizações regulamentadas, uma migração de vários anos, somada a uma década de retenção de dados, excede com folga qualquer estimativa confiável.
O NIST chega à conclusão operacional no IR 8547: espera priorizar a migração para esquemas de estabelecimento de chaves resistentes à computação quântica... para proteger contra ataques do tipo "coletar agora, descriptografar depois", particularmente em protocolos interativos como TLS e IKE. Primeiro o estabelecimento de chaves, depois as assinaturas — uma ordem que o planejamento federal dos EUA segue literalmente, com o estabelecimento de chaves pós-quântico previsto para um ano inteiro antes das assinaturas. (IKE é o protocolo de negociação de chaves por trás das VPNs IPsec.)
Por que isso é um problema de GRC antes de ser um problema de criptografia?
Existem três razões pelas quais isso acaba nas mesas de CISOs responsáveis pela conformidade e os sistemas operacionais, em vez de ficarem com os engenheiros de criptografia.
Os prazos são definidos por lei e regulamentação, não pela física. Ninguém sabe quando um CRQC será implementado. Todos podem verificar que a UE espera que os casos de uso de alto risco sejam migrados até o final de 2030 e que a ASD da Austrália prevê toda a transição. acabado até o final de 2030, e que o NIST descontinue a criptografia RSA e de curva elíptica no nível de segurança de 112 bits após 2030 e proíba toda criptografia de chave pública vulnerável à computação quântica após 2035. Essas datas são auditáveis; o cronograma da computação quântica não é.
O primeiro produto a ser entregue é um documento de auditoria. Antes de qualquer troca de algoritmo, todos os regimes fazem a mesma pergunta: Que tipo de criptografia você utiliza e onde ela está localizada? Trata-se de uma obrigação de inventário — um requisito de governança com um responsável, uma frequência de revisão e requisitos de comprovação. O PCI DSS exige exatamente isso desde março de 2025, independentemente da quantidade de dados a serem coletados.
É um problema de aquisição. A maior parte da criptografia em seu ambiente não é sua. Ela está em bibliotecas, plataformas, dispositivos, provedores de SaaS e terminais de pagamento. O roteiro da UE solicita que as entidades "criem mapas de dependência... analisando tanto as dependências internas quanto as de terceiros"; a ASD publica uma lista complementar de perguntas pós-computação quântica para fazer aos seus fornecedores. Ambas são atividades de gestão de fornecedores e ambas exigem evidências que você possa apresentar a um auditor.
A regraebookO que realmente se aplica a você?
Os algoritmos estão definidos.
O NIST finalizou o núcleo pós-quântico standardem agosto de 2024 — ML-KEM para estabelecimento chave (FIPS 203), E ML-DSA (FIPS 204) e SLH-DSA (FIPS 205) para assinaturas — portanto não há mais uma “espera pela standarddefesa de s. A KEMO mecanismo de encapsulamento de chaves, ou key-encapsulation mechanism, é o substituto pós-quântico para a troca de chaves: ele estabelece um segredo compartilhado entre duas partes e é o elemento que impede o HNDL (ataques de baixa resolução de alto nível).
Mais dois estão em voo: FN-DSA (FIPS 206, baseado em Falcon) ainda não foi publicado nem mesmo como rascunho, e Controle de Qualidade Geral Foi selecionado em março de 2025 como um mecanismo de encapsulamento de chave de backup baseado em código, documentado em NISTIR 8545Nenhum dos dois deve impedir um plano hoje, mas ambos são motivos para construir para o futuro. cripto-agilidade — a capacidade de alterar o algoritmo por meio de configuração, em vez de reescrever o código. Qual dos seus algoritmos se torna qual está definido em o mapa de substituição mais embaixo.
Cronograma de referência: NIST IR 8547
NIST IR 8547, Transição para a Criptografia Pós-Quântica Standards, é o documento com o qual a maioria dos outros roteiros se baseia, porque estabelece datas para a aposentadoria da criptografia clássica de chave pública:
Uma observação sobre unidades: o NIST declara... força de segurança, não o comprimento da chave. Por SP 800-57 Parte 1 Rev. 5, Tabela 2, o nível de força de 112 bits é RSA-2048 e curvas elípticas com ordem de 224 a 255 bits (P-224); o nível de 128 bits é RSA-3072 e curvas de 256 a 383 bits (P-256). Portanto, “RSA de 112 bits” não é uma chave de 112 bits — é o RSA-2048 que ainda termina uma grande parte do TLS de produção. E o onipresente par P-256/RSA-3072 é não Está no período de descontinuação de 2030; está no período de proibição de 2035. Ambos os períodos terminam no mesmo ponto: após 2035, nenhum algoritmo de chave pública vulnerável a computação quântica será aprovado, independentemente do tamanho do parâmetro.
Uma ressalva importante a saber antes de citá-la em um documento de direção. commitcamiseta: IR 8547 ainda é uma versão preliminar pública. — publicado em novembro de 2024, período para comentários encerrado em janeiro de 2025, sem versão final no momento da redação deste texto. Isso não impediu que se tornasse a referência; roteiros nacionais e fornecedores de Produtos, Xygeni incluído, calibre em relação a ele. Observe também o que é não éNão menciona nada sobre inventários, descoberta ou criptoagilidade. Essas obrigações vêm de outro lugar.
O mapa global: quem diz o quê e quando?
Esta tabela resume o quadro regulamentar por região:
Três divergências valem mais do que uma linha da tabela.
- A Austrália está cinco anos à frente de todos os outros. A orientação da ASD não é "descontinuar os parâmetros fracos até 2030" — mas sim "concluir a transição até o final de 2030". O ISM recomenda a cessação do uso da criptografia assimétrica tradicional, "incluindo algoritmos criptográficos como Rivest-Shamir-Adleman (RSA), Diffie-Hellman (DH), Diffie-Hellman de Curva Elíptica (ECDH) e Algoritmo de Assinatura Digital de Curva Elíptica (ECDSA)", até essa data. Se você opera na Austrália ou vende para cadeias de suprimentos do governo australiano, essa é a data vinculativa, e não 2035.
- A China está seguindo uma trajetória soberana. Não adotou ML-KEM e ML-DSA; o instituto da Administração Estatal de Criptografia lançou seu próprio edital para algoritmos comerciais de próxima geração, com prazo para envio de propostas até junho de 2026. standarda seguir. Para uma multinacional, isso significa planejamento para dois Famílias de algoritmos pós-quânticos no mesmo domínio, com o SM2 — baseado em curvas elípticas, portanto igualmente vulnerável à quebra de Shor — como o incumbente a ser substituído. A criptoagilidade deixa de ser uma abstração aqui.
- Na maior parte do mundo, não existe qualquer mandato nacional de controle de qualidade de partículas — e isso pouco muda. Na maior parte da América Latina, e em grande parte do Oriente Médio e da região Ásia-Pacífico, nenhum prazo para o PQC foi publicado. As obrigações ainda chegam por meio de três canais que ignoram fronteiras: reguladores setoriais (um conselho consultivo para instituições financeiras nos moldes do modelo de Singapura; expectativas de um banco central), horizontal standardque já exigem um inventário criptográfico (PCI DSS, conjuntos de controle ISO/IEC 27001) e clientes. Um fornecedor para um comprador federal da UE, Austrália ou EUA herda seu prazo por meio do contrato.
Afinal, o que une uma organização privada?
Deixemos de lado, por um momento, os roteiros nacionais. Para a maioria das organizações privadas, as obrigações exigíveis provêm de quatro fontes, nenhuma das quais foi elaborada para a análise quantitativa de danos:
- NIS2 A Diretiva (UE) 2022/2555 exige, no artigo 21.º, n.º 2, alínea h), «políticas e procedimentos relativos à utilização da criptografia e, se for caso disso, da encriptação» como medida de gestão de riscos de base. O documento COM(2026) 13 tornaria explícita a dimensão quântica, acrescentando a transição PQC ao artigo 7.º, n.º 2.
- DORA - O Lei de Resiliência Operacional Digital e seus aspectos técnicos standards, Regulamento Delegado (UE) 2024/1774 da ComissãoO Artigo 6 exige que as entidades financeiras incluam em sua política de criptografia “disposições para atualizar ou alterar, quando necessário, a tecnologia criptográfica com base nos desenvolvimentos em criptoanálise” e, quando não puderem atualizar, que “adotem medidas de mitigação e monitoramento que garantam a resiliência contra ameaças cibernéticas”. Trata-se de uma obrigação de criptoagilidade com um supervisor associado, e seus considerandos mencionam explicitamente os avanços da computação quântica.
- Requisito 12.3.3 do PCI DSS v4.0 — o requisito que a maioria das organizações já deixa de cumprir sem perceber que se trata de um requisito de Controle de Qualidade de Protocolo (PQC) disfarçado. O PCI SSC o descreve como um “novo requisito para documentar e revisar os conjuntos de cifras e protocolos criptográficos em uso pelo menos uma vez a cada 12 meses”, e deixou de ser uma prática recomendada em 31 Março de 2025Sem prazo para o PQC, sem lista de algoritmos quânticos — mas o inventário criptográfico anual e o plano documentado para responder às mudanças criptográficas estão prontos.cisOs controles necessários para um programa de controle de qualidade de peças (PQC) já estão em vigor e já foram auditados.
- Cascata de aquisições. Duas cláusulas terão um alcance maior do que qualquer roteiro nacional. Lei de Resiliência Cibernética (O Regulamento (UE) 2024/2847) aplica-se a partir de 11 de Dezembro de 2027 e já faz um SBOM Uma obrigação do fabricante para Produtos com elementos digitais — não exige uma lista de materiais completa (CBOM), mas estabelece listas de materiais legíveis por máquina como artefatos de conformidade do produto. E nos EUA, EO 14412 orienta o Conselho de Regulamentação de Aquisições Federais (FAR, na sigla em inglês) a propor uma regra exigindo empreiteiros abrangidos para cumprir os requisitos do NIST FIPS, incorporando algoritmos de PQC. em 31 de dezembro de 2030e — a cláusula de maior alcance — ordens CISA e o NIST publicarão dentro de 270 dias (cerca de 19 Março de 2027), “orientação pública que descreve a visão ponderada das agências quanto aos elementos mínimos para uma lista de materiais criptográficos. Esses elementos devem permitir a avaliação automatizada dos ativos criptográficos utilizados por um elemento de hardware ou software.”
Essa última questão é importante muito além de Washington. “Elementos mínimos para um SBOM"é pré"cisVeja como a lista de materiais de software passou de uma boa ideia a um artefato contratual em todo o mundo. O CBOM está agora seguindo o mesmo caminho, com avaliação automatizada Está escrito nos requisitos — uma planilha manual não os atenderá.
O formato: CycloneDX CBOM
CicloneDX é o standard que dá ao CBOM uma forma concreta. Versão 1.7A versão atual da ECMA-424, lançada em 21 de outubro de 2025 e ratificada como ECMA-424 2ª Edição, é focada em criptografia e adiciona uma standardlista criptográfica famílias de algoritmos e uma lista abrangente de curvas elípticas, explicitamente para dar suporte a “auditorias, revisões de conformidade e avaliações de prontidão para PQC”. Um CBOM da CycloneDX descreve quatro tipos de criptoativos — algoritmos, protocolos, certificados e materiais relacionados, como chaves, IVs e salts — além dos componentes de software que os implementam.
A questão é específica, mas útil: quando os elementos mínimos do CBOM forem publicados, o CycloneDX será o formato que o mercado já estará utilizando.
A linha do tempo consolidada
O padrão tem o mesmo formato em quase todos os lugares: Descobertas até 2026–2028, migração de alto risco até 2030–2031, e todo o resto até 2035. Planeje de acordo com esse formato e você estará amplamente alinhado com todos eles. Em seguida, encontre a data única que une tudo. tua Primeiro, raramente se trata de 2035, e para qualquer pessoa abrangida pelo PCI DSS, a obrigação de inventário começou em 2025.
A migração em si: o que substitui o quê?
Os prazos representam apenas metade do briefing. A outra metade é o que você está realmente migrando. para — e a resposta não é uma única substituição, mas várias, com diferentes níveis de maturidade, tamanhos e prazos de entrega muito distintos.
O mapa de substituição
Híbrido — combinar um algoritmo pós-quântico com um clássico, de forma que um atacante precise quebrar ambos — é a postura padrão durante a transição, e RFC 9794 (Junho de 2025) finalmente standardA legislação definiu o vocabulário para isso (“híbrido PQ/T”). As políticas divergem nesse ponto, portanto, trata-se de uma questão de jurisdição, não de preferência técnica: a CCN da Espanha recomenda a hibridização de assinaturas baseadas em reticulados (ML-DSA, FN-DSA), ao mesmo tempo que afirma que esquemas baseados em hash (XMSS, SLH-DSA) não a necessitam, e a postura da UE é amplamente favorável a sistemas híbridos; a CNSA 2.0, por outro lado, defende o uso de PQC puro para sistemas de segurança nacional. Uma multinacional precisará de ambas as configurações, o que justifica que a escolha do algoritmo seja feita por meio da configuração, e não do código.
O que não tem substituto direto?
O NIST tem standardA criptografia quântica resolveu exatamente duas coisas: encapsulamento de chaves e assinaturas digitais. Isso é suficiente para a maior parte de um ambiente, mas não para o restante. Se seus sistemas dependem de construções baseadas em emparelhamento, criptografia baseada em identidade ou atributo, assinaturas de limite, cegas ou em grupo, ou outras criptografias avançadas em nível de protocolo, não existe um equivalente pós-quântico aprovado para migrar hoje — a resposta honesta é identificar esses usos agora, sinalizá-los como não resolvidos e projetar uma solução alternativa em vez de esperar por uma solução. standardO mesmo se aplica às raízes de confiança de hardware: HSMs (módulos de segurança de hardware), TPMs e smartcards passam por ciclos de atualização de silício que são mais longos do que o período regulamentar.
Não se trata de uma única migração, mas de várias com diferentes prazos de execução.
É aqui que o mapa de substituição altera o cronograma de prontidão. A ordem de urgência e a ordem do prazo de entrega não são a mesma.E um plano baseado em apenas um deles não cumprirá o prazo.
- Dados em trânsito — estabelecimento fundamental. Urgência máxima (trata-se da superfície HNDL) e a menor Prazo de implementação: para a maioria das soluções, trata-se de uma atualização de biblioteca e uma alteração de configuração. Além disso, é comprovadamente viável — conforme relatado pela Cloudflare em Em Outubro de 2025 que mais da metade do tráfego iniciado por humanos em sua rede já utilizava o acordo de chaves pós-quântico. A lacuna está do seu lado da conexão: apenas cerca de 39% dos 100,000 principais servidores web públicos o suportavam, e 3.7% dos servidores de origem atrás do Cloudflare. Os dados atuais estão em Radar Cloudflare. Comece aqui, termine cedo.
- Assinatura de código, firmware e inicialização segura. Baixa urgência no HNDL — ninguém coleta uma assinatura — mas um longo prazo de antecedência e um prazo final antecipado, porque um dispositivo enviado em 2027 ainda precisa verificar assinaturas em 2040, e as raízes de assinatura têm uma vida útil de mais de uma década. standardOs padrões estão prontos (SP 800-208, SLH-DSA); a CNSA 2.0 e a CCN da Espanha colocaram a assinatura de firmware no topo da lista exatamente por esse motivo. Comece agora, apesar da baixa urgência.
- Infraestrutura de Chaves Públicas (PKI) e certificados. Você não controla esse cronograma. Não se esperava que os certificados pós-quânticos estivessem amplamente disponíveis e fossem confiáveis em todos os navegadores antes de 2027, os formatos de certificados híbridos ainda estavam indefinidos no IETF no final de 2025 e os tamanhos das cadeias cresceram várias vezes. Planeje com antecedência e tenha um orçamento definido; não prometa uma data que você não pode cumprir.
- Dados em repouso e arquivos de longa duração. A criptografia em massa funciona bem — AES-256 é apenas uma mudança de parâmetro. A vulnerabilidade está na hierarquia de chaves acima dela: encapsulamento e transporte de chaves que usam RSA ou ECDH. Campanhas de reencriptação são lentas e afetam backups, arquivos e custódia.
- Sistemas embarcados, OT (tecnologia operacional — sistemas industriais e de controle) e sistemas de terceiros. Ciclos de atualização mais longos do que o período disponível e alguns ativos que simplesmente não podem ser migrados. Para esses casos, a solução é a substituição, controles compensatórios ou um risco documentado e aceito — e quanto antes você os identificar, mais baratas serão essas opções.
Duas consequências práticas para um plano GRC. Primeiro, Planeje retroativamente a partir da sua data de início mais próxima, considerando o prazo de antecedência, e não apenas a pontuação de risco.A lista de pendências classificada indica o que corrigir primeiro dentre as tarefas que você precisa realizar. pode Corrija rapidamente; a lista de prazos indica o que fazer. começar Primeiro, independentemente de tudo. Segundo, O inventário precisa registrar o caso de uso, não apenas o algoritmo.A informação “RSA-2048 neste repositório” não é acionável; “RSA-2048 usado para transporte de chaves em um serviço público” e “RSA-2048 usado para assinar firmware” são dois projetos diferentes com dois objetivos diferentes, dois prazos diferentes e dois responsáveis diferentes. É por isso que um inventário precisa capturar a classe primitiva e a superfície em que a criptografia foi encontrada, não apenas o nome do algoritmo — e é por isso que construir um inventário acaba sendo mais difícil do que parece.
Por que a preparação para PQC é difícil: a criptografia está realmente em toda parte
Todo regime exige o inventário primeiro porque o inventário é a parte mais difícil. As organizações descobrem isso no momento em que tentam.
Onde a criptografia realmente se esconde
- Acesse os sites em sua própria fonte. — uma cifra construída em um serviço, um hash escolhido em uma classe utilitária, uma curva nomeada em uma rotina de assinatura. Oito linguagens em um monorepo significa oito conjuntos de expressões idiomáticas.
- Dependências — A maior parte da criptografia na maioria das aplicações é executada por bibliotecas que a equipe nunca escolheu deliberadamente: BouncyCastle, OpenSSL, libsodium, node-forge, PyCryptodome, Tink. O algoritmo que de fato é executado é uma propriedade da biblioteca, não do seu código.
- Certificados e material principal — Certificados X.509 armazenados em repositórios, arquivos de chave PEM em diretórios de configuração, keystores incorporados em imagens.
- Infraestrutura como código e configuração de protocolo — uma versão mínima do TLS em um módulo Terraform, uma lista de conjuntos de cifras em um controlador de entrada, uma configuração SSH em uma imagem base.
- Imagens de contêiner e binários compilados — bibliotecas criptográficas vinculadas em camadas que nenhuma análise de código-fonte jamais lê.
- Produtos e SaaS de terceiros — a criptomoeda que você não pode ver nem alterar, apenas perguntar a respeito.
- HSMs, serviços de gerenciamento de chaves e dispositivos de rede — a criptomoeda que existe completamente fora do software.
Os quatro elementos que fazem disto um programa, e não uma digitalização.
Cobertura honesta. Um inventário só é prova se declarar seus próprios limites. “Analisamos o código-fonte, as dependências, os certificados, os arquivos de chave e IaC Afirmar que "não analisamos o tráfego em tempo de execução, os handshakes TLS, o conteúdo do HSM, os binários compilados ou as camadas do contêiner" é uma posição defensável. Um número sem denominador, não.
Priorização, não enumeração. Uma grande propriedade intelectual gera milhares de descobertas criptográficas. Uma lista simples é inutilizável. A classificação que importa combina quatro fatores: o algoritmo foi quebrado pelo teste Shor ou apenas enfraquecido pelo teste Grover; por quanto tempo os dados protegidos devem permanecer confidenciais (o fator HNDL); ele está exposto a uma rede; e ele é realmente acessível em código em execução, em vez de estar em um ambiente de teste ou em uma amostra comercial. Todo roteiro que diz "casos de uso de alto risco primeiro" está emitindo uma instrução de priorização, e você não pode respondê-la com base em uma lista alfabética.
Agilidade, não apenas substituição. Como mostrou o mapa de substituição, o conjunto de alvos ainda está em movimento e as regras híbridas variam por região — a troca que você fizer em 2027 não será a última. Nomes de algoritmos fixos, conjuntos de cifras predefinidos, ausência de abstração de provedor e versões de protocolo não negociáveis são o que tornam o Próximo migrar para outro projeto plurianual. Essas são descobertas por si só, baratas de corrigir agora e caras de corrigir mais tarde.
A cadeia de suprimentos. Você não pode migrar mais rápido do que o seu componente upstream mais lento. Quais das suas dependências suportam PQC, quais oferecem modos híbridos, quais publicaram um roteiro, quais publicam um CBOM — isso determina o seu caminho crítico e também é a evidência que uma equipe de compras precisa para cumprir as obrigações de risco do fornecedor NIS2 e DORA.
Mais uma armadilha: o inventário é um controle, não um projeto.
O instinto é realizar um exercício de descoberta.cisPor exemplo, crie uma planilha e arquive-a. O PCI DSS já impede isso com seu ciclo de revisão de doze meses; a CCN da Espanha encerra sua lista de verificação de migração com a recomendação de “atualizar o inventário de ativos criptográficos e suas dependências”; e o memorando de implementação dos EUA é ainda mais direto:
Dada a escala e a complexidade dos ambientes de TI federais, as abordagens manuais para a descoberta e gestão de criptografia são frequentemente insuficientes. As agências devem utilizar a automação sempre que viável e apropriado para obter uma compreensão abrangente e continuamente atualizada de sua postura criptográfica. A automação é fundamental para a gestão de inventário, a aplicação de políticas e a geração de relatórios de conformidade.
A criptografia sofre alterações: um desenvolvedor adiciona uma biblioteca, uma imagem base muda, um novo serviço é lançado com um conjunto de cifras padrão. Um inventário que é regenerado a cada compilação é um controle; um que é regenerado anualmente à mão é um projeto de arqueologia que você repetirá para sempre.
O que significa “preparação para o PQC” na prática
Removendo a linguagem técnica dos fornecedores, a prontidão para o Controle de Qualidade de Produção (PQC) se resume à capacidade de produzir seis itens sob demanda:
- Um inventário criptográfico em uma standard Formato legível por máquina, abrangendo as superfícies visíveis e regenerado automaticamente.
- Uma classificação de risco de cada ativo nele: deve ser substituído (quebrado por Shor), pode ser reforçado no local (enfraquecido por Grover) ou já é seguro contra ataques quânticos.
- Uma lista de espera de migração classificada Isso reflete a longevidade, a exposição e a acessibilidade dos dados — portanto, priorizar os casos de uso de alto risco é uma resposta plausível.
- Uma declaração de cobertura que nomeia explicitamente seus pontos cegos.
- Evidência de conformidade mapeados de acordo com os regimes que realmente te vinculam, com suas respectivas datas.
- Uma visão sobre a prontidão da cadeia de suprimentos Informando quais servidores upstream estão bloqueando sua migração.
Todo o resto — rotação de chaves, ciclo de vida de certificados, orquestração de HSM, descoberta de rede — é importante, mas está em segundo plano em relação a esses seis. Você não pode rotacionar o que não encontrou.
Como a Xygeni ajuda
Xygeni Conformidade com a segurança quântica A funcionalidade produz todos os seis a partir da verificação que já é executada no seu pipelineSem produto cripto-imobiliário separado, sem agente, sem alteração na forma como você constrói — a descoberta de criptomoedas ocorre em paralelo com a SCA (análise de composição de software — varredura de dependências), SAST (teste estático de segurança de aplicativos — a varredura do código-fonte) e IaC análise que você já possui.
1 · O CBOM. A Xygeni emite um CBOM CycloneDX que abrange os quatro tipos de criptoativos — algoritmos, protocolos, certificados e materiais relacionados, como chaves e salts — em Java, Kotlin, JavaScript/TypeScript, Python, Go, C#, PHP e Swift, e vincula cada algoritmo à biblioteca que o implementa. Criptoativos são objetos de inventário de primeira classe na plataforma, juntamente com componentes, vulnerabilidades, segredos e IaC Os achados compartilham a mesma proveniência e história. Materiais-chave nunca são incluídos no inventário — apenas sua presença, tipo e localização.
2 · Classificação de risco quântico. Todos os ativos estão etiquetados. curto-quebrado (chave pública, deve ser substituída), Grover enfraquecido (simétrico ou hachurado, endurecível no local) ou pqc-seguroe sinalizada para exposição a HNDL. A mesma distinção impulsiona a SAST As recomendações de correção se ramificam de acordo com a classe primitiva: RSA e ECC recebem a sugestão de "migrar para ML-KEM ou ML-DSA, com uma construção híbrida durante a transição", enquanto AES-128 e SHA-256 recebem a sugestão de "aumentar o tamanho da chave ou do resumo". Isso é intencional — recomendar uma chave RSA maior contra um adversário quântico é pior do que não dizer nada, e qualquer ferramenta que confunda os dois casos fará exatamente isso.
3 · A lista de pendências de migração classificada. Em vez de uma lista simples, a Xygeni atribui uma pontuação de 0 a 100 a cada ativo vulnerável a ataques quânticos, considerando fatores como vulnerabilidade quântica, longevidade e sensibilidade dos dados, exposição da rede, acessibilidade e valor comercial, e gera uma lista de pendências classificada. É isso que transforma o slogan "casos de uso de alto risco até 2030" em uma fila de trabalho concreta.
4 · O mapa de cobertura. O Xygeni relata o que analisou e o que não analisou: código-fonte, certificados, atribuição de dependências, arquivos de chave privada e IaC As configurações são enumeradas como cobertas, parciais ou não verificadas, com tráfego de tempo de execução e de rede, handshakes TLS, conteúdo de HSM e KMS, binários compilados e bibliotecas da camada de contêiner nomeados explicitamente como pontos cegos. Os auditores respondem bem a uma ferramenta que declara suas próprias limitações; portanto, em nossa experiência, faça o seguinte. CISOs.
5 · Evidências de conformidade. O mecanismo de conformidade avalia o inventário de criptomoedas em relação a seis regimes e retorna veredictos de aprovação, reprovação parcial ou reprovação, considerando os respectivos prazos: NISTIR 8547, NSA CNSA 2.0, Roteiro da UE para o Controle de Qualidade de Produtos (PQC)e os subconjuntos pós-quânticos de PCI-DSS 4.0, DORA e NIS2Isso fica no mesmo scanner de conformidade que o CIS Benchmark da cadeia de suprimentos de software, OWASP SCVS e OpenSSF standardAssim, os relatórios de postura do PQC são enviados pelo mesmo canal que o restante da conformidade da sua cadeia de suprimentos de software. Organizações cujo prazo vinculativo vem de outras fontes — ASD, CCCS, CCN — podem trabalhar com as mesmas evidências, já que esses roteiros se baseiam na mesma estrutura de 2030/2035; apenas a data de conclusão da Austrália, no final de 2030, precisa ser monitorada separadamente.
6. Preparação da cadeia de suprimentos. Cada dependência possui um atributo de prontidão pós-quântica — ela suporta PQC, oferece modos híbridos, tem um roteiro publicado? — para que você possa ver quais fornecedores upstream estão no seu caminho crítico e gerar uma visão da prontidão do fornecedor para aquisição.
Além dos seis: descobertas sobre criptoagilidade. Xygeni também sinaliza os padrões que compõem o Próximo Migração e reescrita — algoritmos e curvas predefinidos, falta de abstração do provedor, conjuntos de cifras legados fixos, versões de protocolo não negociáveis. Criptografia fraca e vulnerável a ataques quânticos é aplicável pela mesma camada de política que o restante das suas descobertas, portanto, um novo algoritmo quebrado pelo algoritmo de Shor pode ser detectado. pull request em vez de na auditoria do próximo ano.
Principais takeaways
- Descubra a data de início mais próxima antes de planejar qualquer coisa. A maioria dos planos converge para 2030 para áreas de alto risco e 2035 para as demais — mas a Austrália espera que... inteiro A transição foi concluída até o final de 2030, e o PCI DSS começou a solicitar o inventário em 2025.
- Planeje levando em conta o formato, não a jurisdição. Descoberta até 2026–2028, migração de alto risco até 2030–2031, concluída até 2035. Alinhe uma vez e você atenderá à maioria delas; acompanhe as exceções separadamente.
- Comece pelo inventário, porque é ele que todo mundo pergunta primeiro. — A UE, a Espanha, o Canadá, a Austrália, a MAS de Singapura e o PCI DSS começam com o mesmo objetivo.
- Utilize CBOM como formato. O roteiro da UE recomenda isso nominalmente; as diretrizes dos EUA sobre os elementos mínimos da CBOM devem ser divulgadas por volta de março de 2027 e exigem explicitamente automatizado avaliação.
- Nunca confunda Shor com Grover. A chave pública deve ser substituída; as chaves simétrica e hash podem ser reforçadas no local. Recomendações de remediação que misturam esses dois aspectos são piores do que nenhuma recomendação.
- HNDL define seu prazo real. Dados que devem permanecer confidenciais após 2035 estão expostos hoje. Priorize o estabelecimento de protocolos essenciais — TLS, IKE, qualquer mecanismo que proteja os dados em trânsito — em detrimento das assinaturas.
- Planeje com base no prazo de antecedência, não apenas no risco. O estabelecimento de chaves é urgente, mas rápido; a assinatura de firmware e a PKI não são urgentes, mas são lentas, e os itens lentos devem ser iniciados primeiro. Tudo o que não puder ser migrado — hardware antigo, produtos de terceiros congelados — deve ser priorizado este ano, pois a substituição é a única opção restante e requer um ciclo orçamentário.
- Registre o caso de uso, não apenas o algoritmo. A proteção RSA de um handshake TLS e a assinatura RSA de firmware são dois projetos diferentes, com objetivos, prazos e responsáveis distintos. Um inventário que apenas lista os nomes dos algoritmos não pode orientar uma migração.
- Exija um mapa de cobertura honesto. Qualquer ferramenta que afirme ter visibilidade criptográfica completa a partir de uma varredura da fonte está exagerando. O que ela não consegue ver é tão importante para o auditor quanto o que ela consegue.
- Preparar para a segunda migração. O FIPS 206 não é definitivo, o HQC não é. standardizado, e a China e a Coreia são standardcingindo suas próprias famílias. Um patrimônio multinacional abrigará mais de um conjunto de algoritmos pós-quânticos; descobertas de criptoagilidade são baratas agora e caras em 2031.
- Automatize ou repita. Um inventário criptográfico regenerado a cada compilação é um controle. Uma planilha é um instantâneo que começa a divergir no dia em que é assinada.
Para ler mais
Todos os detalhes técnicos — o que é descoberto, como funciona a classificação de risco quântico e a pontuação de prioridade, em relação a quais critérios cada regime de conformidade é avaliado e como obter os relatórios — estão na documentação da Xygeni:
- Xygeni: “Conformidade com a segurança quântica“. Xygeni Docs.
- Xygeni: “Gere um CBOM com a CLI do Xygeni“. Xygeni Docs.
- Xygeni: “Conformidade garantida standards“. Xygeni Docs.
Standards e algoritmos:
- NIST: “IR 8547 (Rascunho Público Inicial): Transição para a Criptografia Pós-Quântica StandardsNovembro de 2024.
- NIST: “FIPS 203 (ML-KEM)","FIPS 204 (ML-DSA)","FIPS 205 (SLH-DSA)Agosto de 2024.
- NIST: “IR 8545: Relatório de Situação da Quarta Rodada do NIST PQC StandardProcesso de ização“Março de 2025.”
- NIST: “SP 800-57 Parte 1 Rev. 5: Recomendação para Gerenciamento de Chaves— Tabela 2, níveis de segurança comparáveis.
- NIST: “SP 800-208: Recomendação para Esquemas de Assinatura Baseados em Hash com Estado(LMS, HSS, XMSS, XMSS^MT). Outubro de 2020.
- IETF: “RFC 9794: Terminologia para Esquemas Híbridos Tradicionais Pós-Quânticos“Junho de 2025.”
- Cloudflare: “Estado da Internet pós-quântica em 2025e dados de adoção em tempo real sobre “Radar Cloudflare".
- CycloneDX: “Lista de Materiais de Criptografia (CBOM)eLançamento do CycloneDX v1.7Outubro de 2025.
Roteiros nacionais e regionais:
- TEA (Austrália): “Planejamento para criptografia pós-quântica“Setembro de 2025.”
- Grupo de Cooperação NIS: “Um roteiro de implementação coordenada para a transição para a criptografia pós-quântica.“Junho de 2025.”
- CCN (Espanha): “CCN-TEC 009 / BP-37 — Recomendações para uma transição pós-cuântica segura“. Julho de 2026.
- Comissão Europeia: “Recomendação da Comissão (UE) 2024/1101” (11 de abril de 2024) e “COM(2026) 13 — Proposta de alteração da Diretiva (UE) 2022/2555 (NIS2)” (20 de janeiro de 2026).
- NCSC (Reino Unido): “Cronograma para a migração para a criptografia pós-quântica“Março de 2025.”
- Centro Canadense de Segurança Cibernética: “Roteiro para a migração para a criptografia pós-quântica para o Governo do Canadá (ITSM.40.001)“Junho de 2025.”
- A Casa Branca: “Decreto Executivo 14412 — Protegendo a Nação contra Ataques Criptográficos Avançados” (22 de junho de 2026) e OMB “M-26-15” (24 de junho de 2026).
- NSA: “Recursos de cibersegurança pós-quântica (CNSA 2.0)".
- CRYPTREC (Japão): “CRIPTREC— ML-KEM adicionado à Lista de Cifras Recomendadas, março de 2026.
- MAS (Singapura): “Aviso sobre como lidar com os riscos de segurança cibernética associados à computação quântica.“Fevereiro de 2024.”
- NZISM (Nova Zelândia): “Preparação para a Criptografia Pós-Quântica".
- ICCS (China): “Instituto de Criptografia Comercial Standards— programa de algoritmos criptográficos comerciais de próxima geração.
- ITI (Brasil): “ITI publica Instrução Normativa que incorpora algoritmos pós-quânticos à ICP-BrasilJaneiro 2026.
Obrigações setoriais e horizontais:
- UE: "Diretiva (UE) 2022/2555 (NIS2)"; "Regulamento (UE) 2022/2554 (DORA)"; "Regulamento Delegado (UE) 2024/1774 da Comissão (DORA - Regulamento Técnico de Roteiro para a Gestão de Riscos nas TIC)"; "Regulamento (UE) 2024/2847 (Lei de Ciber-Resiliência)".
- Segurança PCI StandardConselho: “Resumo das alterações do PCI DSS v3.2.1 para o v4.0” (requisito 12.3.3).
Fundo:
- Craig Gidney: “Como fatorar números inteiros RSA de 2048 bits com menos de um milhão de qubits ruidosos“Google Quantum AI, maio de 2025.”
- Michele Mosca: “Cibersegurança na era dos computadores quânticos: estaremos preparados?". IACR ePrint 2015/1075.
