O período de confidencialidade de uma mensagem pode ultrapassar a vida do dispositivo e da criptografia usada para estabelecer as suas chaves.
Uma mensagem enviada hoje pode precisar de permanecer privada muito mais tempo do que o telemóvel usado para a enviar. É por isso que «recolher agora, decifrar depois» importa: um adversário pode guardar tráfego cifrado agora e tentar recuperar o conteúdo se uma tecnologia futura superar a troca de chaves que o protege.
Não existe uma data estabelecida para a chegada de um computador quântico com relevância criptográfica. Uma exigência de dez anos de sigilo é um exemplo de planeamento, não uma contagem decrescente. A decisão é saber se a informação ainda poderia causar danos após o tempo necessário para atualizar os sistemas que a protegem.
Do que um atacante precisaria
Guardar apenas o texto cifrado não garante a sua futura decifragem. O atacante precisa de uma captura útil, dos elementos relevantes do protocolo e de uma forma de superar as proteções aplicadas. Tráfego em falta, segredos independentes e a conceção do protocolo podem afetar o resultado.
Um computador quântico suficientemente capaz poderia ameaçar a criptografia de chave pública RSA e de curvas elípticas amplamente utilizada. Isso não significa que todos os computadores quânticos existentes consigam quebrar um mensageiro, nem que toda a cifragem falhe da mesma maneira. A cifragem simétrica, como AES, e o estabelecimento de chaves públicas, como ECDH, têm pressupostos de segurança diferentes.
O programa pós-quântico do NIST recomenda iniciar a migração para as normas publicadas, reconhecendo a incerteza do calendário quântico. Planear antecipadamente importa porque uma atualização posterior não permite recuperar uma captura anterior nas mãos de um adversário.
Porque o sigilo futuro habitual não é a resposta completa
O sigilo futuro procura limitar a exposição de mensagens anteriores quando uma chave de longo prazo é comprometida posteriormente, pressupondo que os segredos antigos das sessões foram devidamente apagados. É valioso hoje.
Contudo, uma troca que depende de um problema matemático vulnerável a ataques quânticos não se torna resistente a esses ataques apenas porque os seus valores privados eram temporários. Se um atacante futuro conseguir reconstruí-los a partir de trocas públicas gravadas, a sessão histórica correspondente poderá continuar em risco. O resultado exato depende do protocolo completo e do que foi capturado.
O estabelecimento pós-quântico de chaves responde a essa ameaça diferente. A FIPS 203 normaliza o ML-KEM, um mecanismo para estabelecer um segredo partilhado. Um protocolo de mensagens pode usar esse segredo na derivação de chaves e depois cifrar as mensagens com uma cifra simétrica autenticada. ML-KEM não é outro nome para a própria cifra das mensagens.
O contributo de uma conceção híbrida
Uma conceção híbrida combina contribuições clássicas e pós-quânticas através de uma construção especificada. O benefício pretendido é a resiliência se os pressupostos de um componente falharem enquanto o outro permanecer sólido. Esse benefício depende da combinação correta, da autenticação, da aleatoriedade e da implementação; colocar dois nomes de algoritmos numa página de funcionalidades não basta.
A visão geral de segurança da Livara descreve o LVR1 com P-256 juntamente com épocas periódicas ML-KEM-768. Trate isso como uma declaração sobre o protocolo documentado, não como uma garantia independente de que todos os elementos armazenados, modos de chamada ou clientes antigos têm proteção idêntica. A distribuição de chaves de grupo, os anexos e as gravações precisam, cada um, de uma verificação própria do âmbito.
Uma ficha prática sobre o horizonte de confidencialidade
Use estas perguntas para transformar uma preocupação quântica abrangente numa análise concreta:
| Pergunta | Exemplo de resposta útil |
|---|---|
| Durante quanto tempo deve o conteúdo permanecer confidencial? | Um código de reunião de curta duração e um registo de investigação de longo prazo têm horizontes diferentes |
| Onde se guardam as cópias? | Dispositivos de chat, exportações, anexos, cópias de segurança e destinatários |
| Que troca protege o tráfego novo? | Protocolo e versão exatos, incluindo vias de compatibilidade ou de recurso |
| Como se protegem os arquivos armazenados? | Algoritmo de cifragem, custódia das chaves e eventuais chaves derivadas de palavras-passe |
| Quanto tempo demorará a migração? | Atualizações de clientes, testes de interoperabilidade, testes de recuperação e retirada de vias antigas |
Uma organização pode dar prioridade a informações com uma longa vida confidencial e uma migração lenta. Uma pessoa pode começar por atualizar os clientes, verificar se a proteção se aplica à conversa em uso e limitar cópias desnecessárias de dados sensíveis.
Pode uma atualização proteger retroativamente mensagens antigas?
Pode proteger tráfego futuro ou uma nova cópia cifrada com outra chave. Não pode apagar uma cópia de texto cifrado ou de texto simples capturada anteriormente. Voltar a cifrar um arquivo só é útil dentro de um plano mais amplo que considere cópias de segurança antigas, ficheiros exportados e chaves comprometidas.
Da mesma forma, eliminar a vista de um chat não demonstra o apagamento seguro de todas as cópias em dispositivos ou junto dos destinatários. As práticas de armazenamento local e de cópia de segurança continuam importantes mesmo quando a troca de chaves na rede é resistente a ataques pós-quânticos.
O que isto não resolve
A criptografia pós-quântica não esconde todos os metadados de comunicação, não impede capturas de ecrã, não remove malware nem torna privado um canal público. Também não pode garantir segurança futura contra todos os novos resultados de criptoanálise.
Para mensagens duradouras, combine um protocolo mantido e escrutinado com proteção dos dispositivos, escolhas ponderadas de cópias de segurança e uma política clara de retenção. Use o modelo de ameaças da Livara para manter visíveis estes riscos distintos, em vez de tratar a palavra «quântico» como uma avaliação completa de segurança.
