Hash functions vs assinaturas digitais: o que é e não é vulnerável a quantum

Resumo: Funcoes hash (SHA-256) é criptografia simetrica (AES-256) são resistentes a ataques quânticos — Grover oferece apenas speedup quadratico, fácilmente compensado. Assinaturas digitais (ECDSA, RSA) são completamente vulneraveis ao algoritmo de Shor.

A confusão mais perigosa em segurança digital

"Computadores quânticos vao quebrar toda a criptografia." Você já ouviu isso. E está errado. Perigosamente errado — não porque subestima o risco, mas porque distorce o risco.

Se você acredita que quantum quebra tudo, pode concluir que "não ha o que fazer" ou que "qualquer proteção é inútil." Ambas as conclusoes estão erradas é podem custar seu patrimônio.

A realidade é precisa: computadores quânticos ameaçam um tipo específico de criptografia (assimetrica/chave pública) enquanto outro tipo (simetrica é hash) permanece essencialmente intacto. Entender essa distincao é fundamental para avaliar a segurança de qualquer ativo digital.

Os dois mundos da criptografia

Mundo 1: Funcoes hash é criptografia simetrica

O que sao:

• Funcoes hash (SHA-256, SHA-3, BLAKE3): transformam qualquer entrada em uma "impressão digital" de tamanho fixo. Sao unidirecionais — você não consegue reverter o hash para descobrir a entrada original.

• Criptografia simetrica (AES-128, AES-256, ChaCha20): usam a mesma chave para encriptar é desencriptar.

Base matemática: Não dependem de fatoração nem de logaritmo discreto. Sua segurança vem de propriedades "brutas" — confusao, difusao, é a impossibilidade prática de busca exaustiva.

Onde são usadas:

• SHA-256: mineração Bitcoin, integridade de arquivos, derivação de enderecos

• AES-256: proteção de dados em repouso, VPNs, comúnicação encriptada

• HMAC: autenticação de mensagens

Mundo 2: Criptografia assimetrica (chave pública)

O que e:

• Usa duas chaves diferentes: pública (compartilhavel) é privada (secreta)

• A segurança depende de problemas matematicos específicos serem "impossiveis" de resolver

Base matemática: Depende de:

• Fatoração de inteiros (RSA)

• Logaritmo discreto em curvas elipticas (ECDSA, EdDSA)

• Logaritmo discreto em grupos finitos (Diffie-Hellman)

Onde é usada:

• ECDSA/secp256k1: assinaturas de transações Bitcoin/Ethereum

• RSA: certificados TLS, email (S/MIME, PGP), assinaturas de documentos

• Diffie-Hellman: troca de chaves em TLS, VPNs

Os dois algoritmos quânticos: Grover vs Shor

A razao pela qual um tipo de criptografia é vulnerável é outro não está em dois algoritmos quânticos fundamentalmente diferentes:

Algoritmo de Grover (1996) — Ameaça para hash/simetrica

O que faz: Busca em uma base nao-estruturada com speedup quadratico.

Em termos simples: Se quebrar AES-256 por força bruta exige testar 2^256 chaves, Grover reduz issó para 2^128 tentativas.

Impacto real:

| Algoritmo | Segurança classica | Segurança pós-Grover | Status |

|-----------|-------------------|---------------------|--------|

| AES-128 | 128 bits | 64 bits | Enfraquecido (mas 64 bits com quantum ainda é muito) |

| AES-256 | 256 bits | 128 bits | Seguro (128 bits é suficiente) |

| SHA-256 (preimage) | 256 bits | 128 bits | Seguro |

| SHA-256 (colisao) | 128 bits | 85 bits (Grover + birthday) | Seguro para maioria dos usos |

Por que não é uma ameaça real: 2^128 operações quânticas ainda é um número astronomico. Com os melhores computadores quânticos imaginaveis, issó levaria milhoes de anos. A "solução" é trivial: use AES-256 em vez de AES-128. Problema resolvido.

Algoritmo de Shor (1994) — Ameaça para assimetrica

O que faz: Resolve fatoração de inteiros é logaritmo discreto em tempo polinomial.

Em termos simples: Se quebrar RSA-2048 exige bilhoes de anós classicamente, Shor reduz para horas.

Impacto real:

| Algoritmo | Segurança classica | Segurança pós-Shor | Status |

|-----------|-------------------|-------------------|--------|

| RSA-2048 | ~112 bits | 0 (quebrado) | Vulneravel |

| RSA-4096 | ~140 bits | 0 (quebrado) | Vulneravel |

| ECDSA-256 (secp256k1) | 128 bits | 0 (quebrado) | Vulneravel |

| Ed25519 | 128 bits | 0 (quebrado) | Vulneravel |

| DH-2048 | ~112 bits | 0 (quebrado) | Vulneravel |

Por que é catastrofico: Não é uma redução gradual de segurança — é uma eliminação total. O problema matematico que era "impossível" se torna "trivial." Não existe tamanho de chave RSA ou curva eliptica que resolva: Shor escala polinomialmente, então dobrar a chave apenas duplica o custo do ataque.

A diferença fundamental: busca vs estrutura

Por que Grover só oferece speedup quadratico enquanto Shor oferece exponencial? A razao é profunda:

Hash/simetrica: sem estrutura matemática exploravel

AES é SHA-256 são projetados para serem "caixas pretas" — não ha relação matemática exploravel entre entrada é saída. Um atacante (classico ou quântico) só pode fazer busca bruta: tentar chaves/entradas até encontrar a certa.

Grover acelera essa busca de N tentativas para raiz(N). Impressionante, mas limitado. E fundamentalmente, não ha como fazer melhor que Grover para busca nao-estruturada — issó é um resultado provado da teoria da informação quântica.

Assimetrica: estrutura matemática é o calcanhar de Aquiles

RSA é ECDSA dependem de estrutura matemática. A relação entre chave pública é privada é matemáticamente definida — é essa relação que permite derivar uma da outra (no sentido fácil) é que deveria impedir o inversó (no sentido difícil).

Shor explora exatamente essa estrutura. Ele não faz busca bruta — ele encontra periodicidades na estrutura matemática subjacente é as usa para resolver o problema diretamente. E por issó que a vantagem é exponencial: ele não está "tentando mais rápido," ele está resolvendo o problema de uma forma completamente diferente.

O casó Bitcoin: anatomia de uma confusao

O Bitcoin é o exemplo perfeito de por que essa distincao importa. Ele usa ambos os tipos de criptografia:

O que está seguro no Bitcoin

1. Mineração (SHA-256): O Proof of Work usa SHA-256 duas vezes. Grover ofereceria speedup quadratico (equivalente a dobrar o hashraté de um minerador), mas issó é fácilmente compensado pelo ajuste de dificuldade. A rede não está ameaçada.

2. Derivação de enderecos: Enderecos Bitcoin são SHA-256 + RIPEMD-160 da chave pública. Se você nunca gastou de um endereco, sua chave pública está "escondida" atras de hashes. Reverter o hash é resistente a quantum.

3. Merkle trees: A estrutura de blocos usa hashes. Segura.

O que NÃO está seguro no Bitcoin

1. Assinaturas de transação (ECDSA/secp256k1): Quando você gasta Bitcoin, sua chave pública é revelada. Shor pode derivar sua chave privada dessa chave pública.

2. Chaves públicas já expostas: Qualquer endereco que já gastou tem a chave pública na blockchain — permanentemente visivel. Bilhoes de dolares em BTC estão em enderecos com chaves expostas.

3. Enderecos P2PK antigos: Os primeiros enderecos Bitcoin (incluindo os de Satoshi) usavam formato Pay-to-Public-Key, onde a chave pública era diretamente o endereco. Zero proteção de hash.

A janela de vulnerabilidade

Mesmo para enderecos "protegidos" (P2PKH, nunca gastaram): no momento em que você cria uma transação para gastar, sua chave pública é revelada na mempool. Um atacante quântico com recursos suficientes poderia:

1. Observar a mempool

2. Ver sua chave pública na transação pendente

3. Rodar Shor para derivar sua chave privada

4. Criar uma transação competitiva gastando seus fundos

5. Pagar taxa maior para que mineradores incluam sua transação primeiro

Issó é chamado "ataque de front-running quântico." A janela é pequena (minutos até confirmacao), mas com quantum suficiente, é exploravel.

Tabela definitiva: primitivas criptograficas vs quantum

| Primitiva | Tipo | Algoritmo quântico aplicavel | Impacto | Remediação |

|-----------|------|------------------------------|---------|------------|

| SHA-256 | Hash | Grover | Segurança: 256→128 bits | Já seguro (ou use SHA-384/512) |

| SHA-3 (Keccak) | Hash | Grover | Segurança: 256→128 bits | Já seguro |

| BLAKE3 | Hash | Grover | Segurança: 256→128 bits | Já seguro |

| AES-256 | Simetrica | Grover | Segurança: 256→128 bits | Já seguro |

| ChaCha20 | Simetrica | Grover | Segurança: 256→128 bits | Já seguro |

| HMAC-SHA256 | MAC | Grover | Segurança: 256→128 bits | Já seguro |

| RSA-2048 | Assimetrica | Shor | Completamente quebrado | Substituir por ML-KEM/ML-DSA |

| RSA-4096 | Assimetrica | Shor | Completamente quebrado | Substituir por ML-KEM/ML-DSA |

| ECDSA (qualquer curva) | Assimetrica | Shor | Completamente quebrado | Substituir por ML-DSA |

| EdDSA (Ed25519) | Assimetrica | Shor | Completamente quebrado | Substituir por ML-DSA |

| DH / ECDH | Key exchange | Shor | Completamente quebrado | Substituir por ML-KEM |

| ML-DSA (Dilithium) | Pós-quântica | Nenhum conhecido | Seguro | Padrao NIST (FIPS 204) |

| ML-KEM (Kyber) | Pós-quântica | Nenhum conhecido | Seguro | Padrao NIST (FIPS 203) |

| SLH-DSA (SPHINCS+) | Pós-quântica | Nenhum conhecido | Seguro | Padrao NIST (FIPS 205) |

Implicações práticas para diferentes ativos

Ativos que usam apenas hash/simetrica → Seguros

• Proof of Work de Bitcoin (mineração)

• Dados encriptados com AES-256

• Integridade de documentos via SHA-256

Ativos que usam assimetrica para propriedade → Vulneraveis

• Bitcoin (ECDSA para gastar)

• Ethereum (ECDSA para transações)

• Tokens ERC-20 (herdam vulnerabilidade do Ethereum)

• Qualquer certificado RSA/ECDSA

Ativos que usam pós-quântica para propriedade → Seguros

• Tokens com ML-DSA (CRYSTALS-Dilithium)

• Sistemas com ML-KEM para key exchange

• Plataformas construidas com padroes NIST FIPS 203/204/205

O erro fatal: confundir segurança da rede com segurança do ativo

Muitos entusiastas de Bitcoin argumentam: "SHA-256 é seguro contra quantum, então Bitcoin é seguro." Este é um erro lógico fundamental.

A rede Bitcoin (mineração, consenso) pode continuar funcionando perfeitamente. Mas se as carteiras individuais podem ser roubadas via Shor, o sistema perde todo valor prático como reserva de patrimônio.

E como dizer que o cofre de um banco é inquebravel (verdade), ignorando que a fechadura da porta lateral pode ser aberta com uma chave mestra (também verdade). A solidez do cofre não importa se o acessó é comprometido por outro vetor.

O que investidores devem perguntar

Para qualquer ativo digital que você considere:

1. Que criptografia prova minha propriedade? Se a resposta inclui RSA, ECDSA, EdDSA, ou qualquer criptografia de curva eliptica — é vulnerável a quantum.

2. A rede usa hash para segurança? Otimo, mas issó protege a rede, não necessáriamente voce.

3. Existe plano de migração pós-quântica? Se nao, quando quantum chegar, seu ativo está em risco.

4. O ativo já nasceu com criptografia pós-quântica? Se sim (ML-DSA, ML-KEM, SLH-DSA), esse problema não existe.

Conclusão: clareza é poder

A distincao entre hash/simetrica (seguro) é assimetrica (vulnerável) não é academica. E a diferença entre ter patrimônio protegido é ter patrimônio com prazo de validade.

Quando alguém diz "quantum quebra tudo" — corrija. Quando alguém diz "Bitcoin usa SHA-256 então está seguro" — corrijá também. Ambas as simplificações levam a decisões erradas.

A realidade é precisa: funcoes hash é criptografia simetrica sobrevivem a era quântica. Assinaturas digitais é criptografia de chave pública não sobrevivem — a menós que sejam pós-quânticas.

Escolha ativos que entendam essa distincao. Melhor ainda: escolha ativos que já nasceram no lado seguro dela.