💻 computer science

On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks

Este artigo reinterpreta os ataques "coletar agora, descriptografar depois" como um problema econômico, demonstrando que, embora o armazenamento de tráfego seja trivial para o adversário, estratégias defensivas como o aumento do tamanho das chaves e a recriação frequente de chaves (rekeying) podem tornar a descriptografia futura economicamente proibitiva sem exigir infraestrutura pós-quântica imediata.

Autores originais: Javier Blanco-Romero, Florina Almenares Mendoza, Carlos García Rubio, Celeste Campo, Daniel Díaz Sánchez

Publicado 2026-03-03

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Javier Blanco-Romero, Florina Almenares Mendoza, Carlos García Rubio, Celeste Campo, Daniel Díaz Sánchez

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você está escrevendo cartas secretas para um amigo no futuro. Você as coloca em cofres à prova de fogo (criptografia) e as envia pelo correio. O problema é que, hoje em dia, existe um "ladrão" que não consegue abrir esses cofres agora, mas ele tem uma ideia genial: ele vai roubar todas as cartas, guardá-las em um armazém gigante e esperar.

A espera? Ele está esperando que, daqui a 10 ou 20 anos, a tecnologia avance o suficiente para criar uma "chave mestra" (um computador quântico) capaz de abrir qualquer cofre antigo.

Este é o ataque "Colheita Agora, Descriptografe Depois" (ou Harvest-Now, Decrypt-Later).

O artigo que você pediu para explicar faz uma análise brilhante sobre se isso é realmente possível e o que podemos fazer para impedir. Aqui está a explicação simplificada:

1. O Problema: O Ladrão Paciente

O artigo diz que, para governos e grandes espionagens, guardar essas cartas é muito barato.

A Analogia do Armazém: Antigamente, guardar dados era como alugar um cofre de ouro. Hoje, guardar dados é como alugar um galpão de papelão. O custo caiu 95% desde 2010.
A Conclusão: O ladrão não precisa se preocupar com o dinheiro para guardar os dados. O problema real é: quanto vai custar para ele abrir os cofres no futuro?

2. A Solução: Como Tornar a "Chave Mestra" Inacessível

O papel propõe que, em vez de apenas tentar esconder melhor as cartas, devemos mudar as regras do jogo para que, quando o ladrão tentar abrir os cofres no futuro, o trabalho seja tão gigantesco que ele desista. Eles identificam duas estratégias principais:

Estratégia A: Encher o Armazém de Lixo (Inflação de Armazenamento)

Imagine que você envia uma carta, mas coloca dentro dela 100 páginas de jornal em branco.

O que acontece: O ladrão é obrigado a roubar e guardar todo aquele jornal inútil junto com sua carta.
O problema: Isso custa dinheiro para você (o defensor) também, porque você precisa enviar mais dados pela internet. É como se você e o ladrão tivessem que pagar para carregar o caminhão de lixo. Não é a melhor estratégia.

Estratégia B: Multiplicar os Cofres (Inflação do Trabalho Quântico)

Esta é a estratégia vencedora do artigo. Imagine que, em vez de ter um cofre para sua carta, você coloca a carta em 100 cofres diferentes, e cada cofre tem uma fechadura diferente.

O que acontece: Quando o computador quântico do ladrão chegar no futuro, ele não vai conseguir abrir apenas uma fechadura e ler tudo. Ele terá que abrir 100 fechaduras diferentes para ler a mesma mensagem.
A Vantagem: Isso não custa nada extra para você enviar a carta (o tamanho dos dados não muda), mas multiplica o trabalho do ladrão por 100. É como se você tivesse que pagar 100 chaves mestras para ele abrir tudo.

3. O Que Funciona e O Que Não Funciona (Os Protocolos)

O estudo testou as tecnologias que usamos hoje (como o cadeado verde no navegador, TLS 1.3, e o SSH para servidores) e descobriu:

O "Velho" (TLS 1.2 com RSA): É como ter um cofre com uma única chave. Se o ladrão roubar a chave do dono do cofre no futuro, ele abre todas as cartas que você já enviou. Perigoso!
O "Novo" (TLS 1.3 e SSH): Eles usam "chaves de uso único" para cada sessão. Se o ladrão quebrar uma, ele só abre aquela carta específica. Isso já é bom, mas ainda tem falhas.
O Grande Problema do TLS 1.3: Ele tem um recurso chamado "KeyUpdate" (atualização de chave), mas ele é "preguiçoso". Ele muda a chave, mas usa a mesma lógica matemática. Se o ladrão quebrar a primeira, ele consegue deduzir todas as seguintes. É como trocar a fechadura, mas usar a mesma chave mestra.
O Herói Oculto (SSH): O protocolo SSH (usado por administradores de servidores) faz algo incrível: ele troca a chave no meio da conversa de verdade, criando um novo cofre independente. Isso força o ladrão a trabalhar muito mais.

4. O Plano de Ação (O que fazer hoje?)

O artigo sugere que, enquanto esperamos a tecnologia quântica perfeita, podemos usar "defesas em profundidade":

Desligue o "0-RTT": É um recurso que permite enviar dados antes de terminar a "conversa" de segurança. É rápido, mas se o ladrão quebrar a primeira chave, ele descriptografa tudo. Desligue isso.
Use o "ECH" (Olá Criptografado): Esconda para quem você está enviando a carta. Se o ladrão não sabe se você está falando com um banco ou um jornal, ele não consegue escolher quais cartas roubar. Ele terá que roubar tudo, o que é caro e difícil de organizar.
Troque as Chaves com Frequência (Rekeying): Force o sistema a criar novos cofres a cada poucos segundos ou kilobytes. Isso transforma o trabalho do ladrão de "abrir 1 cofre" para "abrir 1 milhão de cofres".
- Nota: O SSH já faz isso bem. O TLS 1.3 (que usamos na web) ainda não faz isso de forma eficiente, e o artigo pede que isso seja corrigido em futuras atualizações.

Resumo Final

O artigo conclui que o ataque "Colheita Agora, Descriptografe Depois" é economicamente viável para grandes espionagens. Guardar os dados é barato.

A única defesa real não é apenas esconder melhor os dados, mas aumentar o custo de trabalho para quem vai tentar abri-los no futuro. A melhor estratégia é fazer com que, para ler uma única mensagem, o computador quântico tenha que realizar milhões de cálculos extras, tornando o ataque tão caro e demorado que se torna inútil.

Em poucas palavras: Não tente apenas esconder a chave; faça com que o ladrão tenha que construir uma fábrica inteira só para tentar abrir uma única porta.

Resumo Técnico: Viabilidade Prática de Ataques "Colher Agora, Descriptografar Depois" (HN-DL)

1. O Problema

Os ataques Harvest-Now, Decrypt-Later (HN-DL) representam uma ameaça crítica às comunicações criptografadas atuais. Neste cenário, um adversário (geralmente um ator estatal) intercepta e arquiva tráfego de dados criptografado hoje, aguardando o surgimento de computadores quânticos capazes de quebrar os esquemas de troca de chaves subjacentes (como RSA e ECC) no futuro.

O papel destaca que, embora a migração para criptografia pós-quântica (PQC) seja a solução definitiva, o "janela de colheita" já está aberta. Dados sensíveis com longa vida útil (registros de saúde, segredos de estado, dados financeiros) estão em risco imediato. O artigo questiona a premissa de que o armazenamento massivo de dados é economicamente proibitivo para adversários, propondo que a viabilidade do HN-DL deve ser reavaliada como um problema econômico e não apenas criptográfico.

2. Metodologia

Os autores desenvolveram uma abordagem baseada em três pilares principais:

Modelagem Econômica: Reframing do HN-DL para quantificar os custos do adversário em duas dimensões:
1. Custo de Armazenamento ( $S$ ): O volume de dados a ser retido.
2. Custo Computacional Quântico ( $E \times T_q$ ): O esforço necessário para descriptografar os dados (número de execuções do algoritmo de Shor e complexidade por execução).
Testbed de Simulação de Ponta a Ponta: Foi construído um ambiente de teste open-source que reproduz o ciclo completo do ataque HN-DL. O sistema utiliza:
- Protocolos Analisados: TLS 1.2, TLS 1.3, QUIC e SSH.
- Ferramentas: OpenSSL 3.6.0, OpenSSH 9.9p2, Tshark e Python.
- Simulação Quântica: Em vez de esperar por um computador quântico real, o sistema simula a obtenção das chaves privadas efêmeras (resolvendo o problema do logaritmo discreto) e usa essas chaves para derivar todas as chaves de sessão e descriptografar o tráfego capturado.
Análise de Sobrecarga de Protocolo: Cálculo do coeficiente de sobrecarga ( $\alpha$ ), que mede a relação entre o tamanho do tráfego capturado e o tamanho do payload original, considerando cabeçalhos, handshakes e preenchimento (padding).

3. Principais Contribuições

A. Quantificação Econômica do Armazenamento

O estudo demonstra que, uma vez que um adversário possui capacidade de interceptação, o custo de armazenar o tráfego é economicamente trivial.

Mesmo com uma estimativa conservadora baseada em preços de nuvem comercial, capturar 1% do tráfego global criptografado custaria cerca de US$ 1 bilhão por ano.
Para atores estatais que utilizam fitas magnéticas (LTO) com custos de capital (CapEx) de ~US$ 5,25/TB e vida útil de 50 anos, o custo de retenção é ainda menor.
Conclusão: O gargalo não é o armazenamento, mas sim o custo computacional futuro da descriptografia.

B. Taxonomia de Vulnerabilidade por Protocolo

O artigo classifica a vulnerabilidade dos protocolos com base na secreção futura (forward secrecy):

TLS 1.2 (RSA): Sem secreção futura. A compromissão de uma chave privada de longo prazo descriptografa todas as sessões passadas.
TLS 1.3, QUIC e SSH (ECDHE): Possuem secreção futura clássica. A compromissão de uma chave não afeta outras sessões, mas o adversário precisa resolver um logaritmo discreto por sessão.
Risco Específico do TLS 1.3: O uso de 0-RTT (dados iniciais) e renovação de chaves baseada apenas em PSK (sem nova troca de chaves) cria uma cadeia de vulnerabilidade. Quebrar uma sessão inicial pode descriptografar toda a cadeia de sessões subsequentes.

C. Estratégias de Defesa em Profundidade

Os autores propõem estratégias que aumentam o custo para o adversário sem exigir a migração completa para PQC imediatamente:

Rekeying (Rotação de Chaves) Agressiva:
- SSH: Suporta rekeying in-band (dentro da mesma conexão TCP). Isso força o adversário a executar o algoritmo de Shor múltiplas vezes ( $E > 1$ ) para descriptografar uma única sessão longa.
- TLS 1.3/QUIC: Atualmente, o mecanismo KeyUpdate é determinístico (não gera nova aleatoriedade), mantendo $E=1$ . A solução é usar renovação de sessão com PSK-DHE (que exige nova troca de chaves), mas isso impõe custos de latência significativos.
Encrypted Client Hello (ECH): Oculta o SNI (Server Name Indication) em texto claro, impedindo que o adversário triage (selecione) sessões de alto valor com base no domínio, forçando a retenção de volumes massivos de dados ("bulk collection").
Desativação de Modos Legados: Desativar TLS 1.2 RSA e TLS 1.3 0-RTT elimina vetores de ataque onde uma única chave compromete múltiplas sessões.

4. Resultados Chave

Viabilidade Econômica: O armazenamento de dados para HN-DL é viável para atores estatais. O custo de retenção é uma fração mínima dos orçamentos de defesa nacionais.
Ineficiência do Padding: Aumentar o tamanho dos pacotes (padding) para inflar o custo de armazenamento ( $\alpha$ ) é uma estratégia ineficaz, pois penaliza o defensor (custos de largura de banda ativos) tanto quanto o adversário.
Superioridade do Eixo Quântico: A defesa mais eficaz é inflar o trabalho quântico ( $E \times T_q$ $E \times T_{q}$ ).
- O SSH é o mais resiliente devido ao seu mecanismo de rekeying nativo, que multiplica o trabalho quântico necessário com sobrecarga de rede quase nula.
- O TLS 1.3 e QUIC sofrem com a falta de um mecanismo de rekeying in-band eficiente, deixando $E=1$ para a maioria das sessões longas, a menos que se use renovação de conexão completa (custo de latência alto).
Análise de Monte Carlo: Simulações de longo prazo (10-15 anos) confirmam que, mesmo com variações nos custos de armazenamento e crescimento de tráfego, o custo total permanece na ordem de $10^{10}$ a $10^{11}$ USD, o que é financeiramente sustentável para um estado-nação.

5. Significância e Conclusão

O artigo conclui que o HN-DL não é um risco especulativo, mas uma ameaça prática e imediata. A migração para criptografia pós-quântica (PQC) é essencial, mas insuficiente por si só para proteger dados já interceptados.

Pontos Críticos para Defensores:

Defesa em Profundidade: Antes da adoção total do PQC, administradores devem maximizar o custo computacional do adversário através de rekeying frequente (especialmente em SSH) e uso de parâmetros de chave maiores (ex: P-384 em vez de P-256).
Correção de Configurações: É urgente desativar modos sem secreção futura (TLS 1.2 RSA, 0-RTT no TLS 1.3) para evitar que uma única compromissão exponha décadas de dados.
Limitação Atual: Existe uma lacuna crítica nos protocolos TLS 1.3 e QUIC, que carecem de um mecanismo de rekeying eficiente in-band (como o Extended Key Update ainda em rascunho), tornando-os mais vulneráveis a ataques de HN-DL em sessões longas do que o SSH.

Em suma, o trabalho desloca o foco da defesa: não se trata apenas de "se" o adversário pode armazenar os dados (a resposta é sim, é barato), mas de "quanto" custará para ele descriptografá-los. A estratégia deve focar em inflar esse custo computacional quântico.