O que quebra, o que fica, o que trocar.

Existem dois tipos de fechadura na criptografia. O primeiro é um cofre com senha: quem fecha e quem abre usam a mesma senha. É a criptografia de chave secreta, como o AES, que protege os dados guardados em disco.

O segundo é uma caixa de correio com fenda: qualquer um coloca uma carta pela fenda, mas só o dono tem a chave para abrir. É a criptografia de chave pública, usada para duas pessoas que nunca se viram combinarem uma senha pela internet (a troca de chaves do HTTPS) e para assinar documentos.

Um computador quântico grande, rodando o algoritmo de Shor, descobre a chave da caixa de correio olhando só para a fenda. A fechadura inteira cai, qualquer que seja o tamanho da chave. Para o cofre só existe o algoritmo de Grover, que acelera a adivinhação da senha: uma senha de 256 bits passa a valer como uma de 128, o que continua seguro.

Na prática: a caixa de correio precisa ser trocada; no cofre, basta usar a senha longa.

O ataque não espera a máquina existir. Quem grava hoje o tráfego cifrado com a troca de chaves atual pode guardá-lo e abri-lo quando o computador quântico ficar pronto. Para um prontuário, um contrato ou um segredo de Estado que precisa ficar sigiloso por dez anos, o problema já começou.

Quando? Ninguém sabe, e o que existe são estimativas de terceiros. O criptógrafo Filippo Valsorda (ex-Google, time do Go) mudou sua estimativa de 2035 para 2029 depois de dois artigos de 2025: um do Google, mostrando que curvas de 256 bits cairiam em minutos com menos qubits do que se pensava, e um da Oratomic, falando em cerca de 10 mil qubits físicos com átomos neutros.

Em julho de 2026, a Oratomic captou US$ 300 milhões para uma máquina de 20 mil qubits, e o Google publicou uma correção de erros que se recalibra sozinha sem parar a conta. O gargalo passou de "quantos qubits" para "rodar dias sem parar". Nenhum desses números é medição nossa. O prazo e o diagnóstico estão em CRQC 2029.

Em agosto de 2024, o NIST, o instituto de padrões dos EUA, publicou as fechaduras novas: ML-KEM para a troca de chaves (FIPS 203), ML-DSA para assinatura (FIPS 204) e SLH-DSA, uma assinatura feita só com impressões digitais (FIPS 205).

As duas primeiras se apoiam num problema de reticulado: achar um ponto escondido numa grade gigantesca, de centenas de dimensões, a partir de uma pista propositalmente borrada. Ninguém conhece atalho para isso, nem com computador quântico.

Medimos no nosso stack (Go com a biblioteca CIRCL, da Cloudflare), numa execução, em 28 set 2026, num Mac: a ML-KEM-768 gera, fecha e abre a chave em 95 µs, contra 63 µs da troca de chaves atual; a ML-DSA-65 gera, assina e confere em 287 µs, contra 165 µs do ECDSA. Na prática, o tempo não pesa para quase nada.

O preço está no tamanho: a chave pública da troca fica 18 vezes maior, e a assinatura, 46 vezes. Onde cada byte conta (sensor de campo, satélite, cadeia de certificados num aperto de mão), isso muda o projeto.

Enquanto a fechadura nova não tem décadas de uso, dá para usar as duas juntas: a troca de chaves atual (X25519) e a nova (ML-KEM). A senha final é a impressão digital das duas. Se qualquer uma aguentar, a conversa fica protegida. Chrome, Signal e AWS já fazem isso na troca de chaves.

Esse seguro já mostrou por que existe. Em agosto de 2026 circulou um artigo alegando um algoritmo quântico contra problemas de reticulado. Até a data desta página não houve confirmação, e um anúncio parecido em 2024 caiu em cerca de oito dias por um erro na prova. Com o modo híbrido, mesmo que um dia se confirme, a conversa não fica exposta.

Uma ressalva: para assinaturas, Valsorda recomenda ir direto à nova, sem híbrido. E o que protege de verdade contra surpresas é poder trocar a fechadura sem trocar a porta: a criptoagilidade.

Uma prova de conhecimento zero mostra que você sabe algo sem revelar o quê: por exemplo, provar que tem mais de 18 anos sem mostrar a data de nascimento. As versões mais usadas hoje se apoiam em curvas elípticas ou em "emparelhamentos", e as duas caem com o algoritmo de Shor.

No stack há duas saídas. A primeira é o Schnorr em reticulado: a mesma receita clássica, trocando a curva por um problema de reticulado. A segunda é o STARK, que usa só impressões digitais (SHA-256): não depende de curva nem de uma cerimônia de configuração em que alguém precisa ser confiável.

Os parâmetros destes dois módulos são didáticos (uma grade pequena, de ensino), não de produção. A prova do exemplo ao lado tem cerca de 2,5 KB na nossa implementação simplificada.

O último módulo junta as peças numa votação. O servidor publica a chave da troca pós-quântica (1.184 bytes). Cada terminal fecha um canal ML-KEM com ele e recebe, por esse canal, a chave de criptografia homomórfica: uma cifra que permite fazer contas sobre o dado sem abri-lo.

Cada voto sai do terminal cifrado, com 131.406 bytes (cerca de 128 KB). O servidor soma os votos cifrados em menos de 1 ms, sem nunca ver um voto; só a autoridade, que tem a chave, abre o total. Números da execução de 28 set 2026.

Todas as camadas resistem a computador quântico: troca de chaves e voto em reticulado, transporte com AES-256, compromisso com SHA-256. Outros usos da mesma ideia estão em 20 aplicações de FHE, e dá para votar de verdade no tutorial interativo.