Uma assinatura digital é normalmente avaliada no momento em que é criada: o certificado é válido, a chave é suficientemente forte, o algoritmo é recomendado. Mas muitos registos não vivem apenas no momento da assinatura. Contratos de longa duração, registos clínicos, documentação de ensaios, projetos de engenharia, títulos de propriedade ou arquivos regulatórios podem ter de ser guardados, e provados, durante décadas.
Durante esse tempo, os certificados expiram, as autoridades de certificação mudam, os algoritmos envelhecem e, no horizonte, surge uma mudança mais profunda: a possibilidade de computadores quânticos suficientemente capazes tornarem inseguros os algoritmos de assinatura mais usados hoje. Este artigo explica o que isso significa para a integridade de registos de longa duração e como preparar a transição sem pânico e sem esperar demasiado.
O que muda com a computação quântica
A maior parte das assinaturas digitais em uso assenta em RSA ou em criptografia de curvas elípticas, como ECDSA. A segurança destes esquemas depende da dificuldade de problemas matemáticos, como a fatorização de números grandes ou o logaritmo discreto, que um computador quântico suficientemente grande poderia resolver de forma eficiente através do algoritmo de Shor. Não existe hoje um computador quântico com essa capacidade, e não há consenso sobre quando poderá existir. Mas a janela de preocupação não é definida pela data em que tal máquina aparece; é definida pelo tempo durante o qual os seus registos precisam de continuar a ser fiáveis.
Para a confidencialidade, o risco é conhecido como «recolher agora, decifrar depois»: dados cifrados intercetados hoje poderão ser decifrados no futuro. Para a integridade, o risco é diferente, mas igualmente relevante. Se um algoritmo de assinatura for quebrado, passa a ser possível forjar assinaturas com as chaves afetadas. A partir desse momento, uma assinatura isolada deixa de ser, por si só, prova de que um documento foi assinado por quem diz tê-lo sido, e quando.
A pergunta certa não é «quando chega o computador quântico?», mas «durante quanto tempo os meus registos têm de continuar a provar alguma coisa?».
Os novos padrões pós-quânticos
Em agosto de 2024, o NIST publicou os primeiros padrões de criptografia pós-quântica: o FIPS 203 (ML-KEM, para estabelecimento de chaves), o FIPS 204 (ML-DSA, assinaturas baseadas em reticulados) e o FIPS 205 (SLH-DSA, assinaturas baseadas em funções de hash). Estão em preparação padrões adicionais. Na Europa, os Estados-Membros, através do Grupo de Cooperação NIS, publicaram um roteiro coordenado para a transição, que aponta para o início da migração já a curto prazo e para a proteção prioritária dos casos de uso de maior risco até ao final da década.
A existência destes padrões não significa que todos os sistemas devam migrar amanhã. Significa que o caminho está definido e que as organizações que gerem registos de longa duração devem começar a planear.
Porque é que as funções de hash envelhecem melhor
Nem toda a criptografia é afetada da mesma forma. As funções de hash, como SHA-256, não dependem dos problemas matemáticos que o algoritmo de Shor resolve. O algoritmo de Grover oferece uma aceleração quadrática na procura de pré-imagens, o que, na prática, reduz a margem de segurança efetiva, mas não a elimina: funções de hash com saídas de 256 bits continuam a ser consideradas adequadas para resistência a pré-imagens num cenário pós-quântico.
Isto tem uma consequência importante para o desenho de arquivos. Uma prova de integridade baseada numa impressão digital (o hash do documento) selada com um carimbo temporal num registo independente depende sobretudo da robustez da função de hash e da preservação do registo, e não exclusivamente da longevidade de um par de chaves de assinatura. Separar a prova de integridade da assinatura torna o arquivo mais resiliente à evolução criptográfica.
Assinatura, carimbo temporal e renovação
O papel do carimbo temporal
Se for possível provar que um documento e a sua assinatura existiam numa data em que o algoritmo ainda era seguro, a assinatura mantém valor probatório mesmo depois de o algoritmo ser considerado fraco. É este o princípio por detrás dos formatos de assinatura de longo prazo definidos pelo ETSI e dos registos de evidência descritos no RFC 4998 (Evidence Record Syntax): acrescentar carimbos temporais sucessivos que «envolvem» a prova anterior antes de ela perder força.
Renovar antes de ser tarde
A renovação de provas tem de acontecer enquanto os algoritmos em uso ainda são fiáveis. Uma prova que só é renovada depois de o algoritmo subjacente estar comprometido já não pode ser reconstruída com credibilidade. Por isso, arquivos de longa duração precisam de uma política explícita de renovação, com responsáveis, prazos e critérios técnicos.
Agilidade criptográfica
A lição mais duradoura da transição pós-quântica é a necessidade de agilidade: sistemas capazes de trocar de algoritmo sem reescrever arquiteturas nem invalidar evidências anteriores. Registos que guardam a indicação do algoritmo usado, em vez de o assumirem implicitamente, são muito mais fáceis de migrar.
Um plano prático para registos de longa duração
- Inventariar. Identifique os registos que têm de manter valor probatório durante longos períodos e os mecanismos criptográficos que hoje os protegem.
- Classificar pelo horizonte de retenção. Um registo que tem de ser guardado durante décadas tem prioridade sobre um que é descartado ao fim de um ano.
- Separar integridade de assinatura. Garanta que existe uma impressão digital de cada registo selada de forma independente, com carimbo temporal, além de qualquer assinatura.
- Selar agora. Um carimbo temporal fiável aplicado hoje é a melhor defesa contra dúvidas futuras sobre quando um documento existia.
- Definir ciclos de renovação. Estabeleça quando e como as provas são renovadas com algoritmos mais recentes.
- Exigir agilidade aos fornecedores. Pergunte como cada fornecedor planeia suportar os novos padrões e preservar a validade das provas já emitidas.
- Acompanhar as orientações. Siga as recomendações do NIST, da ENISA e das autoridades nacionais, que continuarão a evoluir.
Como a ROOTKey ajuda
A ROOTKey separa, por desenho, a prova de integridade do documento em si. Cada ativo recebe uma impressão digital única, permanentemente selada num registo público independente - um registo com carimbo temporal do seu estado exato. Numa implementação à medida, o conteúdo permanece na sua infraestrutura; apenas a impressão digital é registada.
Esta abordagem dá aos registos de longa duração uma âncora temporal verificável de forma independente, que complementa as assinaturas existentes e pode ser confirmada anos mais tarde, por qualquer parte, através do portal público de verificação. A monitorização contínua deteta qualquer alteração face ao estado selado, e a cadeia de custódia fica pronta para ser apresentada a auditores e reguladores quando for necessária.