SoK: Post-Quantum Cryptography (PQC) Implementation in Software Systems

Este artigo de Sistematização do Conhecimento (SoK) analisa os desafios de implementação da Criptografia Pós-Quântica (PQC) por meio da estrutura Humano, Organização e Tecnologia (HOT), revelando um desequilíbrio crítico onde os fatores humanos e organizacionais são subexplorados, e propõe o modelo PQC-HOT para orientar uma transformação socio-tecnológica coordenada para uma integração bem-sucedida.

O essencial

O Panorama Geral: Uma Tempestade Quântica está se Aproximando

Imagine que o mundo da segurança digital é como uma fortaleza protegendo sua conta bancária, senhas e mensagens privadas. No momento, as fechaduras das portas são feitas de um metal muito forte (a criptografia atual, como o RSA).

No entanto, cientistas estão construindo um novo tipo de "superbroca" chamada Computador Quântico. Assim que essa broca for poderosa o suficiente, ela será capaz de atravessar essas fechaduras de metal em segundos, deixando seus dados totalmente expostos.

Para impedir isso, os criptógrafos inventaram novas fechaduras superfortes, feitas de um material diferente chamado Criptografia Pós-Quântica (PQC). Essas novas fechaduras são projetadas para que nem mesmo a superbroca consiga quebrá-las.

O Problema: Temos as plantas dessas novas fechaduras, mas não sabemos como instalá-las nos milhões de edifícios existentes (sistemas de software) que usamos todos os dias. Este artigo é uma investigação massiva sobre por que instalar essas novas fechaduras é tão difícil.

---

A Investigação: Olhando para o "Banco de Três Pernas"

Os autores perceberam que as pessoas estavam olhando para o problema através de apenas uma lente: a Tecnologia. Elas estavam perguntando: "A matemática está correta?" e "O código é rápido?".

Mas os autores argumentam que instalar essas novas fechaduras é como tentar equilibrar um banco de três pernas. Se uma perna estiver faltando ou bamba, tudo desmorona. Eles chamam essas três pernas de HOT:

1. H - Human (Humano): As pessoas (desenvolvedores) que têm que construir e instalar as fechaduras.
2. O - Organisation (Organização): As empresas e governos que pagam por isso, criam as regras e gerenciam a transição.
3. T - Technology (Tecnologia): A matemática real, o código e as ferramentas usadas para fazer as fechaduras.

O Que Eles Descobriram: O "Viés Tecnológico"

Para chegar às suas conclusões, os pesquisadores começaram com um estoque inicial de mais de 10.000 publicações sobre o tema. Eles aplicaram critérios rigorosos para filtrar esse monte gigante e selecionaram apenas 29 estudos que realmente se encaixavam no que precisavam analisar. Aqui está o que descobriram:

• A perna "Tecnológica" é enorme: Quase toda a pesquisa foca na Tecnologia. As pessoas estão ocupadas inventando uma matemática melhor, escrevendo bibliotecas de código e testando se os algoritmos funcionam. É como ter um armazém cheio de plantas perfeitas para fechaduras.
• A perna "Humana" é minúscula: Há pouquíssima pesquisa sobre como ensinar os desenvolvedores a usar essas novas fechaduras. A maior parte do treinamento é para estudantes universitários, não para os engenheiros de software que realmente trabalham em empresas. É como ter as plantas, mas não ter um manual de instruções para a equipe de construção.
• A perna "Organizacional" está totalmente ausente: A descoberta mais chocante foi que, entre os 29 estudos selecionados, não existia nenhum que abordasse explicitamente estruturas de governança, planejamento organizacional ou conformidade regulatória para PQC. É como ter as fechaduras e a equipe, mas não ter absolutamente nenhum gerente de projeto para dizer quando começar ou quem paga a conta.

A Analogia: Imagine que você está tentando trocar o motor de um carro enquanto ele ainda está dirigindo em uma rodovia.

• Tecnologia é o novo motor.
• Humano é o mecânico tentando fazer a troca.
• Organização é o controle de tráfego e o orçamento para comprar o novo motor.
• A Descoberta do Artigo: Temos um ótimo novo motor (Tecnologia), mas não treinamos os mecânicos (Humano) e, pior, não existe nenhum plano de controle de tráfego ou orçamento (Organização). Se apenas parafusarmos o motor, o carro irá bater.

O Perigo do "Cruzamento de Problemas"

O artigo explica que esses problemas não ficam em suas próprias faixas. Eles se misturam e tornam tudo pior. Isso é chamado de Acoplamento Socio-Tecnológico.

• Exemplo: Se as ferramentas de Tecnologia forem confusas (design ruim), o desenvolvedor Humano fica estressado e comete um erro.
• Resultado: Como a Organização não tinha nenhum estudo ou plano sobre como gerenciar riscos ou verificar o trabalho, esse erro passa despercebido até que o sistema falhe.

Os autores chamam isso de um "círculo vicioso". Uma ferramenta fraca causa um erro humano, e a falta total de suporte organizacional permite que esse erro se torne um desastre.

A Solução: O Modelo PQC-HOT

Para corrigir isso, os autores propõem uma nova forma de pensar chamada Modelo PQC-HOT.

Pense neste modelo como um aperto de mão de três vias. Para que a segurança Pós-Quântica funcione, você não pode apenas atualizar a matemática. Você deve atualizar os três ao mesmo tempo:

1. Construir ferramentas melhores que sejam fáceis para os humanos usarem (Tecnologia).
2. Treinar os humanos para que entendam como usá-las com segurança (Humano).
3. Criar planos empresariais que deem tempo, dinheiro e regras para a transição (Organização).

A Principal Conclusão

O artigo conclui que a transição para a segurança Pós-Quântica não é apenas um problema matemático. É um problema de pessoas e gestão disfarçado de problema matemático.

Se focarmos apenas na "fechadura" (o código) e ignorarmos o "chaveiro" (o desenvolvedor) e o "dono do edifício" (a organização), a nova segurança falhará. Para ter sucesso, precisamos tratar a transição como uma reformulação completa do sistema, onde o código, as pessoas e os planos de negócios trabalham juntos em harmonia.

Resumo técnico

Resumo Técnico: SoK sobre Implementação de Criptografia Pós-Quântica (PQC) em Sistemas de Software

1. Definição do Problema

A transição para a Criptografia Pós-Quântica (PQC) é crítica para proteger sistemas de software contra futuras ameaças habilitadas por computação quântica, como as postas pelos algoritmos de Shor e Grover. Embora algoritmos PQC padronizados estejam disponíveis, sua integração segura em sistemas de software do mundo real permanece um desafio significativo. A pesquisa atual concentra-se predominantemente no design algorítmico, provas de segurança e benchmarking de desempenho. No entanto, esse foco oferece pouco insight sobre os fatores sociotécnicos mais amplos necessários para uma implementação bem-sucedida.

O problema central identificado é que a implementação da PQC é frequentemente tratada como uma migração puramente tecnológica. Na realidade, ela envolve interações complexas entre mecanismos criptográficos, expertise do desenvolvedor e governança organizacional. A literatura existente carece de uma síntese integrada de como essas dimensões — Humana, Organizacional e Tecnológica (HOT) — influenciam coletivamente os resultados da implementação. Consequentemente, as práticas atuais são caracterizadas por abordagens fragmentadas, integrações experimentais e uma falta de orientação unificada, aumentando o risco de configurações incorretas e implantações inseguras.

2. Metodologia

Este estudo emprega uma abordagem de Sistematização do Conhecimento (SoK), seguindo o protocolo de dois estágios de Kitchenham e Charters (planejamento e execução) para garantir uma revisão estruturada e reprodutível.

• Definição de Escopo: A revisão utiliza o framework PICOC (População, Intervenção, Comparação, Resultado, Contexto) para definir o escopo, focando em metodologias, frameworks, diretrizes, ferramentas e intervenções educacionais para PQC no desenvolvimento de software.
• Fontes de Dados: A literatura foi recuperada de grandes bibliotecas digitais (ACM, IEEE Xplore, Springer, etc.) e principais conferências de cibersegurança (USENIX, CCS, etc.).
• Critérios de Seleção: A revisão incluiu publicações revisadas por pares em inglês entre janeiro de 2020 e fevereiro de 2026, com critérios de inclusão específicos para estudos que abordam a implementação de PQC em software. Dois estudos excepcionais de 2017 e 2019 foram incluídos via snowballing devido à sua relevância.
• Processo de Seleção: Seguindo o framework PRISMA 2020, o processo envolveu três fases: busca em bibliotecas digitais, busca direcionada em conferências/periódicos e snowballing reverso/direto. De um pool inicial de mais de 10.000 publicações, 29 estudos foram selecionados para a análise final.
• Análise: Uma análise temática de seis fases (Braun e Clarke) foi aplicada para extrair e sintetizar os dados. Os achados foram sistematicamente mapeados no framework Humano-Organização-Tecnologia (HOT) para analisar as abordagens e desafios de implementação através destas três dimensões.

3. Principais Contribuições

O artigo apresenta quatro contribuições primárias para o campo da implementação de PQC:

1. Síntese Sociotécnica: Os autores mapeiam as abordagens de implementação de PQC existentes (diretrizes, frameworks, ferramentas e intervenções educacionais) na perspectiva HOT, revelando um desequilíbrio estrutural onde as soluções tecnológicas predominam enquanto as considerações humanas e organizacionais são subexploradas.
2. O Modelo PQC-HOT: Um framework conceitual é introduzido para explicar as interdependências entre fatores humanos, organizacionais e tecnológicos. Este modelo conceitualiza a implementação da PQC não como atividades isoladas, mas como um sistema sociotécnico onde mecanismos criptográficos, capacidades dos desenvolvedores e processos organizacionais determinam conjuntamente os resultados de segurança.
3. Classificação em Camadas de Desafios: O estudo constrói uma classificação em camadas dos desafios de implementação, revelando sua distribuição através das dimensões HOT. Isso estende as categorizações fragmentadas anteriores ao destacar restrições transversais e interdependentes.
4. Agenda de Pesquisa Consolidada: Com base nas lacunas identificadas, o artigo delineia direções de pesquisa acionáveis para avançar na implementação de PQC eficaz e orientada à prática, enfatizando a necessidade de estratégias integradas e conscientes do ciclo de vida.

4. Principais Resultados

4.1. RQ1: Abordagens de Implementação

A revisão identificou quatro categorias de intervenções, que são fortemente enviesadas para a dimensão Tecnológica:

• Diretrizes (G1): Focam primariamente em fundamentos matemáticos e provas de segurança formal (Tecnológica).
• Frameworks (F1–F3): Incluem frameworks de integração, extensões de autoridade de certificação e frameworks de teste/avaliação, todos operando principalmente dentro da dimensão Tecnológica.
• Ferramentas e Bibliotecas (T1–T4): A categoria mais relevante operacionalmente, incluindo bibliotecas de implementação, plugins de protocolo, ferramentas de teste e ferramentas de migração. Estas são quase exclusivamente Tecnológicas.
• Intervenções Educacionais (E1–E2): Cobrem estratégias pedagógicas tradicionais e ativas. Embora abordem a dimensão Humana, visam primariamente o público acadêmico e a compreensão teórica, em vez da prática profissional do desenvolvedor.
• Dimensão Organizacional: Notavelmente, zero estudos abordaram explicitamente estruturas de governança, planejamento organizacional ou conformidade regulatória para a implementação de PQC.

4.2. RQ2: Desafios de Implementação

A análise revela que os desafios não são isolados, mas emergem de desalinhamentos estruturais através das dimensões HOT. Eles estão organizados em cinco camadas distintas:

1. Vulnerabilidades de Nível Criptográfico e de Implementação: Riscos surgem de fraquezas algorítmicas, implementações imaturas e ataques de canal lateral. Mesmo algoritmos matematicamente seguros podem falhar devido a erros de codificação, otimizações inseguras ou falta de execução em tempo constante.
2. Restrições de Nível de Sistema e de Ciclo de Vida: A PQC introduz um overhead significativo (tamanho de chaves, memória, computação) que conflita com arquiteturas legadas. A falta de agilidade criptográfica nos sistemas existentes torna a migração incremental difícil, muitas vezes exigindo refatoração extensa.
3. Riscos de Ferramental e Ecossistema: O ecossistema é fragmentado, com interoperabilidade limitada entre ferramentas e bibliotecas. APIs mal projetadas, padrões inseguros e a falta de mecanismos de validação padronizados aumentam a probabilidade de erro do desenvolvedor.
4. Barreiras Organizacionais e de Governança: Organizações enfrentam incerteza em relação à padronização, cronogramas de migração e conformidade regulatória. Há uma falta de modelos de maturidade ou estruturas de governança estruturadas para guiar transições em larga escala.
5. Vulnerabilidades Centradas no Humano: Existe um descompasso entre o conhecimento teórico e as habilidades de implementação prática. Desenvolvedores muitas vezes carecem da expertise específica necessária para a codificação segura de PQC (ex: segurança de memória, seleção de parâmetros), e as iniciativas educacionais raramente abordam necessidades profissionais e orientadas à prática.

Além dessas cinco camadas, o estudo destaca a existência de Desafios Transversais que não constituem uma sexta camada, mas sim representam a natureza interdependente das restrições. Os riscos propagam-se dinamicamente entre as cinco camadas listadas e as dimensões HOT. Por exemplo, um design de ferramenta ruim (Tecnológico) aumenta a carga cognitiva e as taxas de erro para os desenvolvedores (Humano), enquanto uma governança fraca (Organizacional) falha em mitigar esses problemas. Essa interconexão demonstra que os desafios são sistêmicos e se reforçam mutuamente através de todo o espectro de implementação.

5. Significância e Alegações

O artigo alega que a implementação da PQC é fundamentalmente uma transformação sociotécnica, e não apenas um simples upgrade criptográfico. A significância deste trabalho reside em:

• Reenquadramento do Problema: Ele desloca a perspectiva de um desafio puramente algorítmico para um problema de engenharia sistêmica que envolve arquitetura de software, comportamento do desenvolvedor e estratégia organizacional.
• Exposição de Desequilíbrios: Ao aplicar o framework HOT, o estudo demonstra que o corpo de conhecimento atual é fortemente enviesado para soluções tecnológicas, deixando lacunas críticas na prontidão organizacional e no desenvolvimento de capacidades humanas.
• Introdução do Modelo PQC-HOT: Este modelo fornece uma lente estruturada para analisar como os desalinhamentos entre as dimensões criam riscos em cascata. Argumenta-se que a implementação segura requer avanços coordenados em todas as três dimensões; melhorias tecnológicas isoladas são insuficientes.
• Orientação de Trabalhos Futuros: O artigo afirma que a pesquisa futura deve ir além das abordagens centradas na tecnologia para desenvolver frameworks integrados e conscientes do ciclo de vida que abordem usabilidade, governança e experiência do desenvolvedor. Ele clama pelo desenvolvimento de modelos de maturidade organizacional, ferramentas educacionais orientadas à prática e abstrações seguras por design para permitir a implantação sustentável da PQC.

Os autores concluem que, sem abordar as interdependências entre os fatores humanos, organizacionais e tecnológicos, mesmo as soluções PQC teoricamente seguras podem falhar em alcançar uma implantação confiável, escalável e segura em sistemas de software do mundo real.