RSA-2048 após 2030: o que propõe o rascunho NIST IR 8547

O NIST IR 8547 é um rascunho público inicial (initial public draft), publicado em 12 de novembro de 2024 e ainda em fase de rascunho em setembro de 2026. Ele propõe descontinuar, após 2030, os algoritmos de chave pública vulneráveis à computação quântica com nível de segurança de 112 bits, sendo o RSA-2048 o exemplo típico, e proibir todos os algoritmos de chave pública vulneráveis à computação quântica após 2035. Essas duas datas são propostas de um rascunho, e não requisitos finalizados do NIST, embora sejam frequentemente citadas como se já estivessem em vigor.

O que é o NIST IR 8547

O NIST IR 8547 foi publicado como rascunho público inicial em 12 de novembro de 2024 (csrc.nist.gov/pubs/ir/8547/ipd). Um rascunho público inicial é a primeira versão submetida a comentários públicos. Ele pode ser revisado, reorganizado ou ter suas datas ajustadas antes que surja qualquer versão final. Em setembro de 2026, nenhuma versão final havia sido publicada.

Ele deve ser lido em conjunto com o NIST SP 800-131A Rev. 3, que também é um rascunho público inicial (21 de outubro de 2024, csrc.nist.gov/pubs/sp/800/131/a/r3/ipd). O SP 800-131A é a publicação que contém as regras de transição de algoritmos para uso federal nos EUA, e essas regras se propagam para aquilo que os módulos criptográficos validados podem fazer. Por isso, fornecedores e auditores acompanham de perto os dois documentos. Ambos são rascunhos. Nenhum deles é lei, e nenhum deles, por si só, vincula uma empresa privada.

Descontinuado e não permitido são termos técnicos

No vocabulário de transição do NIST, as duas palavras não são sinônimos. Descontinuado (deprecated) significa que um algoritmo continua aprovado, mas seu uso é desaconselhado e implica um risco reconhecido. Não permitido (disallowed) significa que ele deixa de ser aprovado para o uso descrito. O rascunho propõe o primeiro estado após 2030 e o segundo após 2035, e define os termos que utiliza: leia o próprio rascunho antes de citar uma definição em uma política interna.

Por que a linha dos 112 bits recai sobre o RSA-2048

O rascunho raciocina em níveis de segurança, e não em tamanhos de chave, e o RSA-2048 é o exemplo que ele dá para o nível de 112 bits. A consequência prática é que uma transição formulada dessa maneira vai muito além do RSA. ECDSA, EdDSA, ECDH, Diffie-Hellman em corpo finito e DSA são todos quebrados pelo algoritmo de Shor em um computador quântico suficientemente grande, qualquer que seja o tamanho da chave. O DSA já não é mais aprovado para geração de assinaturas segundo o FIPS 186-5, que permite apenas a verificação de assinaturas legadas.

Uma chave RSA maior não é uma migração

Passar do RSA-2048 para um módulo maior eleva o nível de segurança clássico, e é por isso que o BSI TR-02102-1 exige RSA de pelo menos 3000 bits. Isso não oferece nenhuma proteção contra o algoritmo de Shor. A resposta quântica é outra família de algoritmos: ML-KEM (mecanismo de encapsulamento de chaves, padronizado no FIPS 203 em 13 de agosto de 2024) para o estabelecimento de chaves, e ML-DSA ou SLH-DSA para assinaturas. Consulte a página sobre o ML-KEM para os conjuntos de parâmetros padronizados e os grupos TLS que os utilizam.

A ordem do trabalho importa aqui. Harvest now, decrypt later (HNDL, ou colher agora, decifrar depois) significa que um adversário grava hoje o tráfego cifrado e o decifra mais tarde: as sessões gravadas são protegidas apenas pela troca de chaves. É por isso que a troca de chaves híbrida vem primeiro, e que certificados e assinaturas podem migrar depois. Um parque que ainda assina com certificados RSA-2048, mas negocia um grupo híbrido ML-KEM, está em melhor posição do que o inverso.

Como o rascunho se compara ao BSI, à UE e a outros

A janela de 2030 a 2035 não é exclusiva do NIST, mas o peso jurídico de cada documento difere bastante. A tabela abaixo mantém cada fonte em sua própria categoria. A lista completa e datada, com as fontes primárias de cada marco, está em nosso artigo de referência sobre os prazos de migração pós-quântica.

Dois pontos merecem ser ditos com clareza. Primeiro, as únicas obrigações com datas firmes nessa tabela se aplicam às agências federais dos EUA; o BSI TR-02102-1 é uma diretriz técnica (o próprio documento), e o roteiro da UE é uma orientação coordenada dirigida aos Estados-Membros. A ANSSI afirma que suas recomendações sobre PQC ainda não são obrigações regulatórias fora de seu escopo regulado (qualificação de produtos e determinados operadores regulados), onde a hibridização é obrigatória; ela pretende exigir PQC para os produtos que entrarem em qualificação a partir de 2027 e considera que, após 2030, adquirir produtos sem PQC não será razoável, o que é uma recomendação. Segundo, todos esses textos convergem para os mesmos dois primeiros passos, o inventário e a troca de chaves híbrida, e é por isso que o destino do rascunho não muda o que fazer agora.

O que fazer enquanto o rascunho ainda é um rascunho

Este artigo tem caráter informativo e não constitui aconselhamento jurídico. A sequência abaixo é trabalho de engenharia comum, e é a mesma quer a versão final do NIST IR 8547 mantenha, adie ou suavize as datas propostas.

1. Saiba onde está o RSA-2048. Faça o inventário de chaves, certificados e configurações TLS, com tamanho de chave, algoritmo de assinatura, responsável e data de expiração. O requisito 12.3.3 do PCI DSS v4.0.1 exige que os conjuntos de cifras e protocolos em uso sejam documentados e revisados pelo menos a cada 12 meses, incluindo uma estratégia documentada para mudanças previstas nas vulnerabilidades criptográficas; ele é obrigatório desde 31 de março de 2025.
2. Redija a cláusula de agilidade, não o algoritmo. O RTS do DORA, Regulamento Delegado (UE) 2024/1774 da Comissão, Art. 6, exige literalmente uma política de cifragem e de controles criptográficos que inclua disposições para atualizar ou alterar a tecnologia criptográfica com base na evolução da criptoanálise, e o Art. 7 exige a gestão de chaves ao longo de todo o ciclo de vida, além de um registro de certificados para os ativos de TIC que suportam funções críticas ou importantes. Consulte a página sobre o DORA para o escopo exato. Nossa interpretação, e não um requisito literal: uma política que define um gatilho de revisão (a publicação de um documento final de transição do NIST, por exemplo) é uma forma mais simples de atender ao Art. 6 do que uma política que cita o RSA-2048 e uma data.
3. Ative a troca de chaves híbrida onde as sessões são gravadas. Primeiro a terminação TLS e VPN exposta ao público, pois é esse o alvo do HNDL.
4. Limite conscientemente a validade dos certificados. Um certificado RSA-2048 emitido hoje não deveria ser concebido para permanecer válido além da janela que importa para o seu setor.

Comece por verificações somente leitura. Estes comandos mostram o que está de fato implantado, e não o que a documentação afirma:

openssl x509 -in server.crt -noout -subject -enddate
openssl x509 -in server.crt -noout -text | grep -E "Public-Key|Signature Algorithm"
openssl s_client -connect example.com:443 -tls1_3 -groups X25519MLKEM768 </dev/null

Os grupos TLS ML-KEM exigem OpenSSL 3.5 ou posterior; portanto, um cliente mais antigo rejeitará o nome do grupo, e não o servidor. Quando passar para alterações de configuração, mantenha um fallback clássico (liste X25519 depois de X25519MLKEM768) e teste em homologação antes da produção.

Próximo passo: medir e depois planejar

Antes de citar uma data de rascunho em um documento para o conselho, verifique os fatos em seu próprio perímetro: se seus servidores já negociam um grupo híbrido ML-KEM, quais versões de TLS aceitam e quais tamanhos de chave e algoritmos de assinatura estão na cadeia de certificados. Você pode analisar seu domínio com o PQC Status gratuitamente e usar o resultado como a primeira linha do inventário descrito acima. Uma análise descreve apenas a configuração TLS visível externamente: ela não é uma certificação nem um atestado de conformidade.