"Colha agora, decifre depois": a interceptação de tráfego criptografado puxa a corrida pela criptografia pós-quântica

A premissa operacional dos serviços de inteligência já está escrita nas próprias regulações: adversários interceptam e armazenam hoje o tráfego criptografado que circula por canais críticos — redes bancárias, comunicações de Estado, infraestrutura de energia, dados de saúde e de mobilidade — para decifrá-lo retroativamente quando existir um computador quântico criptograficamente relevante, capaz de quebrar a matemática dos algoritmos RSA e de curvas elípticas (ECC) em que repousa quase toda a segurança digital atual. A tática tem nome: "harvest now, decrypt later" (colha agora, decifre depois) — e uma propriedade perversa: ao contrário de uma senha vazada, o criptograma capturado não pode ser revogado, rotacionado ou recuperado; as cópias já estão fora, e a única variável em jogo é se o dado perde valor antes de a capacidade de leitura chegar. A resposta institucional se consolidou em velocidade incomum para criptografia. Em agosto de 2024, o NIST finalizou os três primeiros padrões pós-quânticos — FIPS 203 (ML-KEM, para estabelecimento de chaves), FIPS 204 e 205 (ML-DSA e SLH-DSA, para assinaturas digitais) —, após oito anos de avaliação pública. Em junho de 2026, os Estados Unidos converteram diretriz em obrigação: ordem executiva passou a exigir que ativos federais de alto valor migrem o estabelecimento de chaves até 31 de dezembro de 2030 e as assinaturas digitais até 31 de dezembro de 2031, com a memorando de execução da OMB (escritório de orçamento da presidência) cobrando planos de migração das agências em meses; o documento abre explicitamente com a ameaça "colha agora, decifre depois". O prazo converge no mundo: a União Europeia exige infraestruturas críticas migradas até 2030 e conclusão até 2035; o Reino Unido cobra inventário criptográfico completo até 2028; a Austrália desaprova RSA, Diffie-Hellman e ECC após o fim de 2030; e o NIST prepara a deprecação formal de RSA e ECC em 2030, com desativação total em 2035. A evidência do problema de execução vem do relatório The Global 50 (2026), da Dubai Future Foundation: apenas 9% dos líderes de tecnologia têm um roadmap de criptografia pós-quântica, o risco quântico à criptografia vigente é esperado em três a cinco anos, e as empresas levam em média três a quatro anos apenas para sair da conscientização para um plano — num campo em que aposentar um algoritmo historicamente leva uma a duas décadas (o SHA-1 levou quase vinte anos entre a primeira fraqueza publicada e a rejeição pelos navegadores), e estimativas revisadas por pares colocam a migração de empresas médias em 8 a 12 anos e de grandes em 12 a 15, estourando o prazo de 2030 mesmo para quem começar agora. O avanço técnico que torna a ameaça crível é o mesmo que oferece saída alternativa: em abril de 2025, a Toshiba Europe demonstrou na revista Nature a distribuição quântica de chaves (QKD — técnica cuja segurança deriva da física, não da matemática) por 254 km de fibra óptica comercial na Alemanha, sem refrigeração especial — dobrando a distância prática anterior e mostrando que criptografia de nova geração pode rodar sobre infraestrutura já enterrada.

A consequência mais contraintuitiva: para dados que precisam permanecer sigilosos até os anos 2030 e 2040 — prontuários, segredos industriais, comunicações diplomáticas, dados de passageiros e de infraestrutura de transporte —, o prazo efetivo de proteção já passou; migrar em 2029 protege o futuro, não o que já foi colhido. Efeitos de segunda ordem: o inventário criptográfico (na prática, uma "lista de materiais" criptográfica, ou CBOM, que o governo americano começou a exigir) torna-se pré-requisito de contratação pública e pressiona toda a cadeia de fornecedores, como aconteceu com as listas de componentes de software; a migração de assinaturas digitais — certificados, atualizações de firmware, código assinado — é o gargalo mais lento e menos maduro que o da troca de chaves, já implantada em escala na internet pública; e há risco de bifurcação de padrões, com a China desenvolvendo algoritmos próprios fora do conjunto NIST, o que fragmentaria a interoperabilidade global. Ressalva honesta: nenhum computador quântico capaz de quebrar RSA existe hoje — a urgência não decorre de anúncio de quebra iminente, mas da aritmética entre o tempo de vida do sigilo, o tempo da migração e a irreversibilidade do tráfego já interceptado. Nas palavras de analistas do setor, a política não acelerou; ela alcançou a matemática.

De: criptografia como componente estável e invisível da infraestrutura digital, com RSA e ECC tratados como garantia permanente → Para: agilidade criptográfica como disciplina permanente — inventário contínuo, migração com prazo regulatório, diversidade de fundamentos matemáticos e, no limite, canais cuja segurança é física. Estágio atual: acelerando — padrões finalizados e prazos vinculantes definidos, mas a execução corporativa ainda está, na maioria das organizações, na fase de inventário.