Análise: A computação quântica não representa uma ameaça para chaves simétricas de 128 bits, e a "criptografia pós-quântica" sofre de uma leitura alarmista incorreta

Notícias da Mars Finance, 21 de abril, o engenheiro de criptografia Filippo Valsorda escreveu um artigo argumentando que, mesmo com o ritmo mais otimista de desenvolvimento, os computadores quânticos atuais não conseguirão quebrar a criptografia simétrica de 128 bits num futuro previsível, e que o atual “criptografia pós-quântica” está sendo interpretado de forma alarmista. Em seu artigo “Computadores quânticos não representam ameaça às chaves simétricas de 128 bits”, ele afirma que os computadores quânticos não representam uma ameaça real às chaves simétricas de 128 bits (como AES-128), e que a indústria não precisa aumentar o comprimento das chaves por causa disso. Filippo Valsorda aponta que muitas pessoas temem que os computadores quânticos possam, por meio do algoritmo de Grover, reduzir a segurança efetiva das chaves simétricas pela metade, fazendo com que uma chave de 128 bits ofereça apenas 64 bits de segurança, o que é um equívoco. Essa má interpretação decorre de ignorar as limitações cruciais do algoritmo de Grover em ataques práticos. O principal problema do algoritmo de Grover é que ele não pode ser paralelizado de forma eficiente. Seus passos devem ser executados de forma sequencial, e tentar paralelizá-los aumenta drasticamente o custo computacional total. Mesmo com um computador quântico idealizado, o esforço total necessário para quebrar uma chave AES-128 é astronômico, aproximadamente 2¹⁰⁴·⁵ operações, dezenas de bilhões de vezes maior do que o custo de quebrar algoritmos de criptografia assimétrica atuais, tornando-se totalmente inviável. Atualmente, instituições de padronização como o NIST dos EUA, o BSI da Alemanha e especialistas em criptografia quântica afirmam claramente que algoritmos como AES-128 são suficientes para resistir a ataques quânticos conhecidos, e o utilizam como padrão de segurança pós-quântica. O NIST, em seu FAQ oficial, recomenda diretamente que “não se deve dobrar o comprimento da chave AES para enfrentar ameaças quânticas”. Filippo Valsorda conclui que a única tarefa urgente na transição pós-quântica é substituir a criptografia assimétrica vulnerável (como RSA, ECDSA). Investir recursos limitados na atualização de chaves simétricas (por exemplo, de 128 para 256 bits) é desnecessário, pois dispersa esforços, aumenta a complexidade do sistema e os custos de coordenação, devendo-se concentrar totalmente na substituição das partes realmente vulneráveis.