Bruno Ortale analisa os riscos da computação quântica, a proteção de dados e a importância da criptoagilidade na transição para novos padrões criptográficos
Dados criptografados atualmente podem ser capturados e armazenados para futura descriptografia, quando computadores quânticos suficientemente avançados estiverem disponíveis. A ameaça, conhecida como Harvest Now, Decrypt Later, amplia os desafios de segurança para organizações que precisam proteger informações sensíveis por muitos anos.
Bruno Ortale, Head de Cibersegurança da Delfia, alerta que o risco não depende apenas do desenvolvimento de computadores quânticos capazes de comprometer determinados algoritmos criptográficos. Ele também está relacionado ao tempo de vida das informações, à visibilidade das tecnologias utilizadas e à capacidade das organizações de atualizar seus mecanismos de proteção.
O tema ganha relevância diante das dificuldades de preparação identificadas nos Estados Unidos e das iniciativas brasileiras de planejamento da transição pós-quântica.
A entrevista proposta pelo Crypto ID busca aprofundar os aspectos técnicos apresentados pela Delfia, especialmente os riscos de coleta antecipada de dados, o papel da inteligência artificial, o inventário de ativos criptográficos, a proteção de informações nos setores público e privado e a implementação de estratégias de criptoagilidade.
Leia a entrevista na íntegra!
Crypto ID: A Delfia alerta para o “Harvest Now, Decrypt Later“, quando dados criptografados são capturados hoje para possível descriptografia futura. Quais algoritmos e protocolos estão mais expostos a esse risco? Em quais condições o tráfego interceptado poderá ser recuperado no futuro?
Bruno Ortale: Os mais expostos são RSA, Diffie-Hellman e ECDH/ECDHE, utilizados na negociação de chaves em protocolos como TLS e VPNs IPsec. O tráfego capturado poderá ser descriptografado futuramente se o atacante registrar os dados necessários da sessão e dispuser de capacidade quântica para quebrar esses mecanismos, sem proteção pós-quântica efetiva.
Crypto ID: Considerando sua afirmação de que o risco quântico é temporal, como relacionar o período de confidencialidade dos dados à resistência dos mecanismos criptográficos? Quais informações deveriam receber prioridade na proteção contra ameaças futuras?
Bruno Ortale: O risco aumenta quando o período de confidencialidade dos dados supera a resistência esperada da criptografia que os protege. Devem ser priorizadas informações com valor estratégico de longo prazo, como propriedade intelectual, dados pessoais sensíveis, registros financeiros, segredos industriais e informações de infraestrutura crítica, especialmente quando expostas à coleta de tráfego.
Crypto ID: Uma empresa pode operar com VPNs, certificados digitais e comunicações criptografadas sem apresentar alertas de segurança. Quais controles técnicos permitem avaliar a exposição ao Harvest Now, Decrypt Later? A adoção de protocolos com sigilo de encaminhamento (Forward Secrecy) é suficiente diante da ameaça quântica?
Bruno Ortale: A avaliação exige inventário criptográfico, análise dos algoritmos de VPNs e TLS, gestão de certificados e identificação de dados sensíveis expostos à interceptação. O Forward Secrecy tradicional não é suficiente, pois DH e ECDHE continuam vulneráveis à ameaça quântica. Por isso, é necessária a adoção de mecanismos pós-quânticos ou híbridos. Quando não é possível garantir a evolução da criptografia, também é possível recorrer à distribuição quântica de chaves (Quantum Key Distribution — QKD).
Crypto ID: Muitas organizações não conhecem todos os pontos em que utilizam criptografia. Como realizar um inventário que identifique RSA, ECC, certificados, chaves privadas e dependências criptográficas em sistemas legados, ambientes de nuvem, APIs e fornecedores? Quais ferramentas e metodologias são mais eficazes?
Bruno Ortale: O inventário deve combinar descoberta automatizada de certificados, varredura de protocolos, análise de código e bibliotecas, integração com infraestruturas de chaves públicas (PKI), módulos de segurança de hardware (HSMs) e ambientes de nuvem, além da avaliação de fornecedores.
Ferramentas de Cryptographic Bill of Materials (CBOM) e plataformas de gestão do ciclo de vida de certificados permitem mapear algoritmos, chaves, dependências e prioridades de migração para a criptografia pós-quântica (PQC). Como metodologia, recomendo o modelo de descoberta contínua e gestão de riscos criptográficos do NIST, utilizando ferramentas como o próprio DelfiaCert+.
Crypto ID: A inteligência artificial pode acelerar o reconhecimento de ambientes, a análise de tráfego e a exploração de vulnerabilidades. Como essas capacidades aumentam os riscos para informações criptografadas? Quais ataques já são possíveis com IA e quais ainda dependem da evolução da computação quântica?
Bruno Ortale: A IA já acelera a identificação de vulnerabilidades, a descoberta de chaves expostas, a engenharia reversa e a análise de dados interceptados, ampliando a escala dos ataques. Entretanto, a quebra de algoritmos robustos, como RSA e ECC, sem falhas de implementação, ainda depende de computadores quânticos suficientemente avançados.
Isso significa que a IA vai identificar falhas, sejam elas de configuração ou de omissão. Já a computação quântica representa um risco mesmo quando a organização utiliza uma chave segura, sem vulnerabilidades, mas protegida por uma cifra tradicional vulnerável a esse tipo de capacidade computacional.
Crypto ID: O NIST publicou os padrões FIPS 203, 204 e 205, incluindo ML-KEM, ML-DSA e SLH-DSA. Quais são os principais desafios de integração desses algoritmos aos sistemas existentes? Como avaliar desempenho, interoperabilidade e segurança das implementações antes de sua adoção em produção?
Bruno Ortale: Atualmente, grande parte dos dispositivos já suporta esses mecanismos criptográficos. É importante avaliar os dispositivos obsoletos e entender se será necessário substituí-los. Vale lembrar que um dispositivo que não ofereça suporte à PQC pode apresentar falhas na descriptografia de dados necessários para análise.
Crypto ID: A transição pós-quântica envolve aplicações, infraestruturas de chaves públicas (PKI), certificados digitais e módulos de segurança de hardware (HSMs). Quais componentes deverão passar por adaptações mais complexas? Como preservar a autenticidade e a verificabilidade de documentos assinados digitalmente por décadas?
Bruno Ortale: Os maiores desafios estarão nos sistemas antigos e nas tecnologias responsáveis por emitir, armazenar e validar certificados e assinaturas digitais, que precisarão ser atualizados. Para garantir que documentos assinados hoje continuem confiáveis daqui a décadas, será necessário adotar novas tecnologias de assinatura e renovar periodicamente os mecanismos que comprovam sua autenticidade.
Crypto ID: Empresas privadas e órgãos públicos armazenam informações pessoais, financeiras, fiscais, de saúde e dados estratégicos que precisam permanecer protegidos por longos períodos. Quais critérios técnicos devem orientar a classificação desses dados e a prioridade de migração? Como lidar com informações compartilhadas entre diferentes organizações?
Bruno Ortale: A prioridade deve considerar a sensibilidade dos dados, por quanto tempo precisam permanecer protegidos, o impacto de um vazamento e o risco de interceptação. Informações compartilhadas entre organizações exigem padrões de segurança alinhados, responsabilidades definidas e planejamento conjunto para a migração pós-quântica, garantindo proteção durante todo o percurso dos dados.
Crypto ID: O Crypto ID noticiou que uma auditoria do Government Accountability Office (GAO) identificou deficiências na preparação de 24 agências federais americanas para a transição pós-quântica, incluindo dificuldades com inventários criptográficos, investimentos e testes. Quais medidas técnicas e de governança poderiam evitar esses problemas em organizações brasileiras?
Bruno Ortale: A descoberta e o inventário são, na minha avaliação, os dois pontos principais. Compreender o inventário criptográfico permite reduzir as deficiências na preparação para a transição para a criptografia pós-quântica.
Crypto ID: O Instituto Nacional de Tecnologia da Informação (ITI) criou, em junho de 2026, um grupo técnico para estudar a transição pós-quântica da ICP-Brasil. Na sua avaliação, quais desafios devem ser considerados para garantir que essa evolução seja compatível com os sistemas utilizados por empresas, instituições financeiras e órgãos públicos?
Bruno Ortale: O grande desafio é garantir que todas as instituições críticas também adotem a PQC, sem interromper serviços ou comprometer certificados.
Crypto ID: Você afirma que a capacidade mais importante será conseguir mudar os mecanismos criptográficos a tempo. Como implementar a criptoagilidade em ambientes complexos? Quais indicadores de maturidade e testes práticos permitem demonstrar que uma organização está preparada para realizar essa transição?
Bruno Ortale: A criptoagilidade depende de compreender amplamente onde a criptografia é utilizada e quanto tempo é necessário para alterar cada sistema, banco de dados ou certificado. Esse conhecimento permite estimar o tempo de migração e planejar a transição.
Um teste prático interessante seria medir quanto da visibilidade dos dispositivos internos de segurança está sendo perdida devido ao uso de cifras PQC. Hoje, por exemplo, 70% do tráfego que vai para a Cloudflare já utiliza PQC, e esse tráfego pode não estar sendo inspecionado.
Outro ponto relevante é a redução do tempo de vida útil dos certificados, que chegará a 47 dias em 2029. Isso leva as empresas a olhar para o tema e a incorporar a PQC, ao menos parcialmente, durante os processos de renovação e automação. Sem isso, um certificado vencido pode tornar um serviço indisponível.
Agradecimento
O Crypto ID agradece a Bruno Ortale, Head de Cibersegurança da Delfia, pela participação nesta entrevista e pela contribuição ao debate sobre os desafios da criptografia pós-quântica, a proteção de dados e a importância da criptoagilidade para a segurança das organizações diante da evolução da computação quântica.
ID Talk | Qubic retoma operações após ataque e Marco Zanini analisa falha criptográfica
ID Talk | Da impressão à IA: a transformação da Ricoh no mercado corporativo
ID Talk são entrevistas que geram insights poderosos e soluções práticas para você tomar decisões estratégicas e liderar o futuro. Assistindo ou lendo você descobre o que há de mais inovador em tecnologia. Você vai gostar muito!
