Segurança pós-quântica de palavras-passe: O que fazer

Segurança de palavras-passe pós-quântica: O que os CISO devem fazer agora

Nos próximos tempos, os computadores quânticos não conseguirão quebrar por força bruta uma palavra-passe de 16 caracteres devidamente protegida por hash. O algoritmo de Grover apenas reduz para metade o expoente de uma pesquisa de hash, e não o problema inteiro. O que um computador quântico suficientemente potente quebra é a troca de chaves RSA e de curva elíptica que transporta essa palavra-passe até ao servidor, e o NIST já fixou o prazo de 2030 para a sua substituição.

Dois problemas distintos são reduzidos a uma única manchete: «os computadores quânticos vão quebrar as palavras-passe». Este guia mantém-nos separados e propõe depois às equipas de TI e de segurança um fluxo de trabalho para verificar qual dos dois se aplica realmente ao respetivo conjunto de palavras-passe e quais as partes desse conjunto que podem esperar.

Pontos principais

O algoritmo de Shor quebra a troca de chaves RSA e de curva elíptica. O algoritmo de Grover apenas reduz para metade a resistência efetiva de um hash de palavra-passe, de cerca de 128 bits para 64 bits.
O NIST finalizou as normas FIPS 203, 204 e 205 em agosto de 2024 e, no documento NIST IR 8547, definiu um calendário de descontinuação em 2030 e de proibição em 2035 para RSA, ECDSA e EdDSA.
Harvest-now-decrypt-later (recolher agora, decifrar depois) já é uma ameaça ativa. 61 % dos profissionais de segurança consideram-na a sua principal preocupação quântica, segundo o relatório de 2026 da Thales.
A Auditoria de Exposição Quântica em 3 Camadas classifica o conjunto de palavras-passe em hashes, troca de chaves e dados cifrados de longa duração. Cada camada recebe o seu próprio veredicto.
O AES-256 mantém-se resistente a ataques quânticos com os tamanhos de chave atuais. O RSA-2048 é o componente para o qual todos os fornecedores, incluindo os gestores de palavras-passe, precisam de um plano de migração.

Os dois algoritmos quânticos que importam (Shor vs Grover)

Dois algoritmos quânticos são relevantes para a segurança das palavras-passe, e desempenham funções diferentes. O algoritmo de Shor proporciona uma aceleração exponencial contra a matemática subjacente ao RSA e à criptografia de curva elíptica, o que quebra a troca de chaves assim que existir um computador quântico suficientemente potente. O algoritmo de Grover proporciona apenas uma aceleração quadrática contra a pesquisa simétrica, reduzindo a resistência efetiva para metade, e não para zero.

Algoritmo	Aceleração	Alvo	Efeito prático
Algoritmo de Shor	Exponencial	RSA, criptografia de curva elíptica (ECC), Diffie-Hellman	Quebra a troca de chaves e as assinaturas digitais assim que existir um computador quântico de grande dimensão com correção de erros
Algoritmo de Grover	Quadrática (raiz quadrada)	Pesquisa simétrica: hashes de palavras-passe, chaves AES	Reduz para metade a resistência efetiva em bits (128 bits passam a cerca de 64); o algoritmo em si permanece intacto

A diferença entre exponencial e quadrático explica tudo. Uma aceleração quadrática contra um hash de 128 bits deixa ainda cerca de 2⁶⁴ operações por tentar, o que é computacionalmente enorme hoje, e uma função com uso intensivo de memória (memory-hard), como o Argon2id, multiplica esse custo ainda mais. Uma aceleração exponencial contra o RSA-2048 não deixa uma margem comparável.

Para uma análise mais aprofundada dos mecanismos dos esquemas pós-quânticos baseados em reticulados e de outros tipos, consulte o artigo explicativo sobre o que é a criptografia quântica; este guia centra-se no que muda especificamente para a infraestrutura de palavras-passe.

O que é o algoritmo de Shor?

Algoritmo de Shor: algoritmo quântico desenvolvido por Peter Shor em 1994 que decompõe eficientemente números inteiros grandes nos respetivos fatores primos em tempo polinomial. Num computador quântico, consegue decompor um número de n bits em aproximadamente O(n³) operações, em comparação com os melhores algoritmos clássicos conhecidos, que exigem tempo exponencial. Este algoritmo é relevante porque pode quebrar a cifragem RSA, que se baseia na dificuldade de decompor números grandes em fatores. Por exemplo, enquanto um computador clássico poderia demorar milhares de anos a decompor em fatores um número de 2048 bits, o algoritmo de Shor, num computador quântico suficientemente potente, poderia fazê-lo em horas.

O que é o algoritmo de Grover?

Algoritmo de Grover: algoritmo quântico desenvolvido por Lov Grover em 1996 que pesquisa uma base de dados não ordenada de N elementos em tempo O(√N), proporcionando uma aceleração quadrática face à pesquisa clássica, que exige tempo O(N). O algoritmo utiliza a sobreposição quântica e a amplificação de amplitude para identificar um elemento marcado entre muitos elementos não marcados. Por exemplo, para encontrar um elemento específico entre 1 milhão de elementos, o algoritmo de Grover necessitaria de aproximadamente 1000 consultas em vez de 500 000, em média. Embora menos espetacular do que o algoritmo de Shor, a aceleração de Grover aplica-se a uma gama mais vasta de problemas, incluindo a pesquisa em bases de dados, a otimização e a criptoanálise.

Porque é que o hash da palavra-passe não é o verdadeiro alvo

Uma palavra-passe com um hash adequado continua a ser dispendiosa de quebrar mesmo com o algoritmo de Grover, porque o custo da função de hash se aplica a cada tentativa individual que um computador quântico faz. O Argon2id e o bcrypt são memory-hard por conceção, pelo que reduzir o expoente para metade continua a obrigar o atacante a pagar um preço elevado por tentativa.

Considere uma palavra-passe aleatória de 16 caracteres, retirados do conjunto completo de 95 caracteres imprimíveis: cerca de 105 bits de entropia antes de o hash ser aplicado. A aceleração quadrática de Grover reduz esse expoente para cerca de metade, o que deixa o atacante com cerca de 2⁵² operações efetivas. Esse número continua fora do alcance de qualquer computador quântico em discussão séria atualmente, e o custo memory-hard do Argon2id multiplica ainda o preço de cada tentativa.

Nem todas as funções de hash oferecem esta proteção de forma igual. O PBKDF2 é limitado pela CPU e é mais barato de paralelizar em hardware personalizado. O Argon2id e o bcrypt obrigam o atacante a pagar em memória, além de tempo, o que pesa cada vez mais à medida que melhoram as técnicas de quebra com GPU e ASIC, quânticas ou não. O uso de salt continua a ser obrigatório, independentemente do algoritmo: impede ataques com rainbow tables pré-calculadas e obriga a que cada tentativa seja executada individualmente contra um único hash.

O guia sobre hash e salting de palavras-passe explica em maior detalhe o funcionamento de cada função, incluindo a razão pela qual um mínimo de 16 caracteres se tornou o patamar prático.

O que é o Argon2id?

Argon2id: algoritmo moderno de hash de palavras-passe que venceu a Password Hashing Competition em 2015. Foi concebido para resistir a ataques com GPU e ASIC, exigindo quantidades significativas de memória e de tempo de computação. O Argon2id combina duas variantes: Argon2i (resistente a ataques por canal lateral) e Argon2d (mais rápida, mas potencialmente vulnerável a canais laterais). Utiliza parâmetros configuráveis de custo de tempo, custo de memória e paralelismo, o que o torna altamente resistente a ataques de força bruta. Por exemplo, com as definições recomendadas, o hash de uma palavra-passe pode demorar 1 a 2 segundos e exigir 64 MB de memória, o que torna impraticável para os atacantes quebrar palavras-passe em larga escala.

O que é o PBKDF2?

PBKDF2 (Password-Based Key Derivation Function 2): função de derivação de chaves normalizada pelo NIST que aplica repetidamente uma função pseudoaleatória (como HMAC-SHA256) a uma palavra-passe e a um salt para produzir uma chave derivada. Foi concebida para tornar o hash de palavras-passe mais lento através de um número de iterações configurável, o que encarece computacionalmente os ataques de força bruta. O PBKDF2 foi amplamente adotado para o hash de palavras-passe e a derivação de chaves em diversas aplicações. No entanto, tem limitações em comparação com algoritmos modernos como o Argon2id, porque não exige uma quantidade significativa de memória, o que o torna vulnerável a ataques baseados em GPU e ASIC. Por exemplo, o PBKDF2 com 100 000 iterações continua a ser considerado aceitável, mas é menos seguro do que alternativas memory-hard.

O que é o bcrypt?

bcrypt: algoritmo de hash de palavras-passe baseado na cifra Blowfish, concebido por Niels Provos e David Mazières em 1999. Incorpora um salt e um fator de custo configurável (fator de trabalho) para tornar o processo de hash mais lento, o que o torna resistente a ataques de força bruta. O fator de custo pode ser aumentado ao longo do tempo à medida que a capacidade de computação cresce, permitindo que o bcrypt se mantenha seguro durante anos. O bcrypt gera e armazena automaticamente o salt na própria saída do hash, o que simplifica a implementação. Por exemplo, o bcrypt com um fator de custo de 12 demora aproximadamente 250 milissegundos a calcular o hash de uma palavra-passe em hardware moderno. Embora o bcrypt continue a ser amplamente utilizado e considerado seguro, não exige memória como o Argon2id, pelo que é de algum modo vulnerável a ataques com hardware especializado.

A camada que realmente quebra: Troca de chaves

O RSA-2048 e a troca de chaves ECDH são aqui o verdadeiro alvo. O algoritmo de Shor torna tratável a decomposição em fatores em que assenta o RSA e o cálculo dos logaritmos discretos em que assenta a ECC, o que quebra handshakes TLS, sessões SSH, túneis VPN e qualquer encapsulamento de chaves privadas baseado nas mesmas primitivas.

A criptografia de chave pública transporta esse risco para a infraestrutura quotidiana em mais locais do que a maioria das equipas contabiliza:

Handshakes TLS 1.3: troca de chaves RSA ou ECDHE, certificados ECDSA
Troca de chaves SSH de host e de utilizador
Negociação de túneis VPN
Encapsulamento de chaves privadas na hierarquia de chaves de um gestor de palavras-passe
Certificados de assinatura de código e de documentos

O fundamento matemático deste risco não é hipotético. A Google Quantum AI publicou em maio de 2025 um preprint que demonstra que o RSA de 2048 bits poderia, em teoria, ser decomposto em fatores por um computador quântico com correção de erros suficientemente grande. A máquina ainda não existe. A matemática que o quebraria já existe.

Um gestor de palavras-passe encontra-se nesta mesma lista. Partilhar um cofre com um novo membro da equipa, sincronizar um registo entre dispositivos ou desencapsular uma chave privada no início de sessão dependem, em algum ponto da cadeia, de uma operação assimétrica. A auditoria da pilha criptográfica do gestor de palavras-passe deve constar do mesmo inventário que os endpoints TLS e os concentradores VPN.

Harvest now, decrypt later: A ameaça que já existe hoje

O harvest now, decrypt later (recolher agora, decifrar depois) descreve um atacante que grava hoje tráfego cifrado e o decifra quando existir um computador quântico capaz. Reformula o argumento de que «a computação quântica está a dez anos de distância» como «a recolha já começou», o que é relevante para qualquer dado cuja confidencialidade tenha de se manter durante uma década ou mais.

O 2026 Quantum & AI Threat Report da Thales inquiriu 3120 profissionais de segurança e de TI em 20 países e concluiu que o harvest-now-decrypt-later é a sua principal preocupação quântica, citada por 61 % dos inquiridos, à frente da descontinuação de algoritmos ou dos prazos de conformidade. Os adversários com paciência para esperar anos por um retorno, tipicamente atores estatais, são quem realiza esta recolha atualmente.

A exposição concentra-se nos dados que têm de permanecer confidenciais durante anos: registos médicos, documentos jurídicos, propriedade intelectual, comunicações governamentais. Uma chave de sessão TLS descartada no momento em que a ligação é fechada é um alvo pouco interessante. Um arquivo de 2024 protegido por encapsulamento RSA e ainda guardado numa banda magnética de cópia de segurança em 2034 é exatamente o alvo desta ameaça, tal como uma exportação cifrada de um cofre guardada numa cópia de segurança desativada que ninguém se lembrou de eliminar.

O que o NIST realmente decidiu e os prazos vinculativos

O NIST finalizou as suas três primeiras normas de criptografia pós-quântica em agosto de 2024: a FIPS 203 (ML-KEM) para troca de chaves, e a FIPS 204 (ML-DSA) e a FIPS 205 (SLH-DSA) para assinaturas digitais. O documento NIST IR 8547 definiu depois o calendário de conformidade, descontinuando o RSA, o ECDSA e o EdDSA após 2030 e proibindo-os após 2035.

Data	Marco
2016	O NIST abre o seu processo de normalização da criptografia pós-quântica
agosto de 2024	FIPS 203, 204 e 205 finalizadas: ML-KEM, ML-DSA, SLH-DSA
novembro de 2024	NIST IR 8547 publicado, com o calendário de descontinuação e de proibição
Após 2030	RSA, ECDSA e EdDSA descontinuados
Após 2035	RSA, ECDSA e EdDSA proibidos

A criptografia simétrica com segurança de 128 bits ou superior não é afetada por nada disto. O AES-256 não exige qualquer alteração de algoritmo. Os prazos visam especificamente a camada assimétrica: RSA, ECDSA e EdDSA, substituídos por ML-KEM e ML-DSA. A Commercial National Security Algorithm Suite 2.0 reflete este calendário para os sistemas de segurança nacional dos EUA, um sinal da seriedade com que as equipas de aquisição devem encarar o assunto.

O NIST IR 8547 apresenta a migração pós-quântica como um esforço de engenharia plurianual, da ordem de uma década para integrar em produtos e infraestruturas, o que constitui o verdadeiro argumento para iniciar um inventário agora em vez de esperar até 2029. O roteiro quântico público da IBM fixa como objetivo um sistema com mais de 100 000 qubits até 2033. É o objetivo declarado pelo próprio fornecedor, e não uma projeção independente, mas dá uma data aproximada para o momento em que «suficientemente grande» deixa de ser teórico.

Integrar desde já a agilidade criptográfica (crypto agility) nas aquisições, isto é, a capacidade de substituir um algoritmo sem reestruturar um produto, é o que transforma isto numa migração planeada e não numa correria.

A Auditoria de Exposição Quântica em 3 Camadas

A execução desta auditoria demora uma tarde, e não um projeto de consultoria. Classifique o conjunto de palavras-passe em três camadas, e cada uma recebe o seu próprio veredicto: seguro, vigiar ou agir já.

Camada	O que é	Estado quântico	Veredicto
1. Hashes de palavras-passe	Argon2id, bcrypt ou PBKDF2 a proteger credenciais armazenadas	O algoritmo de Grover reduz para metade a resistência efetiva; as funções memory-hard continuam dispendiosas por tentativa	Seguro. Voltar a verificar o algoritmo e o número de iterações, mas não é urgente
2. Troca de chaves e transporte	RSA, ECDH, ECDSA em TLS, SSH, VPN e encapsulamento de chaves privadas	O algoritmo de Shor quebra a matemática subjacente assim que existir um computador quântico capaz	Agir já. Inventariar e planear a migração para ML-KEM e ML-DSA
3. Dados cifrados de longa duração em repouso	Arquivos, cópias de segurança e registos cuja confidencialidade tem de durar mais de uma década	Expostos hoje através de harvest-now-decrypt-later, se protegidos apenas por uma troca de chaves assimétrica	Vigiar. Dar prioridade em função da sensibilidade dos dados e do período de retenção

A camada 1 é aquela com que as equipas mais se preocupam e com que menos precisam de se preocupar. Se os hashes das palavras-passe de início de sessão e das palavras-passe mestras do gestor de palavras-passe já utilizarem Argon2id, PBKDF2 ou bcrypt com um fator de trabalho razoável, o algoritmo de Grover não altera o cálculo de risco. A única lacuna real que vale a pena resolver: um sistema legado que ainda use MD5 ou SHA-1 sem salt já estava comprometido antes de a computação quântica entrar na conversa.

A camada 2 é onde um administrador costuma encontrar a lacuna real: um concentrador VPN ainda preso ao RSA-2048, uma infraestrutura de chave pública (PKI) interna que emite certificados ECDSA sem plano de renovação, uma API legada que nunca passou do TLS 1.2. Inventarie todos os pontos em que o RSA, o ECDH ou o ECDSA realizam uma troca de chaves e comece pelo que protege o tráfego de maior longevidade.

A camada 3 diz respeito ao que já foi recolhido, e não ao que será cifrado amanhã. Importa perguntar que dados a organização protege hoje que ainda precisarão de confidencialidade em 2035: retenções por motivos legais, tabelas de capitalização, código-fonte, tudo o que esteja abrangido por um acordo de confidencialidade plurianual. Depois, há que verificar se essa confidencialidade depende de uma troca de chaves assimétrica realizada há anos.

Execute a auditoria uma vez e integre-a depois na cadência que a equipa já utiliza para o inventário criptográfico. Anualmente é razoável. Com maior frequência, se este ano estiver prevista a emissão de uma nova PKI ou a renegociação de um contrato de VPN.

Como ler a documentação criptográfica de um gestor de palavras-passe

A documentação criptográfica de um gestor de palavras-passe deve indicar exatamente o que protege o cofre em cada camada. Uma referência vaga a «cifragem de nível militar» não conta. Procure algoritmos identificados pelo nome, tamanhos de chave declarados, uma função de derivação de chaves identificada e uma posição pública sobre a migração pós-quântica.

O que publica um fornecedor atento à ameaça quântica:

A cifra simétrica exata e o tamanho de chave que protegem os dados do cofre (AES-128 e AES-256 não oferecem a mesma margem, pelo que «AES» por si só não basta)
O algoritmo assimétrico exato utilizado para a troca de chaves e o encapsulamento de chaves privadas
A função de derivação de chaves e o número de iterações que transformam uma palavra-passe mestra numa chave de cifragem
Se a cifragem ocorre no lado do cliente, no modelo de zero-knowledge, ou apenas em repouso no servidor

A documentação do próprio Passwork é um exemplo razoável do aspeto que essa transparência tem na prática. A sua cifragem do lado do cliente aplica AES-256 aos dados de cofres e de registos, com uma camada AES-256 separada a proteger a base de dados em repouso. A partir de uma palavra-passe mestra, o PBKDF2 (HMAC-SHA-256) deriva uma chave mestra de 512 bits, que desencapsula uma chave privada RSA-2048 que, por sua vez, desencapsula as chaves de cada cofre e de cada registo, uma hierarquia documentada na visão geral da criptografia.

Se esta pilha for submetida à Auditoria de 3 Camadas, a resposta honesta é simples. A camada de dados AES-256 mantém-se resistente a ataques quânticos com os tamanhos de chave atuais; a camada de troca de chaves RSA-2048 é o componente a vigiar à medida que as normas pós-quânticas amadurecem em todo o setor. É a mesma resposta que qualquer fornecedor que encapsule chaves com RSA deve dar hoje: uma camada AES-256 documentada que não precisa de mudar e uma camada assimétrica com um caminho de migração reconhecido, e não a afirmação de que tudo já está à prova de ataques quânticos. O artigo explicativo sobre o AES-256 aborda a razão pela qual a margem do tamanho da chave importa por si só.

Se a equipa estiver a iniciar o seu próprio inventário criptográfico, o Passwork publica exatamente este tipo de pilha AES-256/RSA-2048 documentada, com registos de auditoria exportáveis para alimentar diretamente a revisão da camada 2. Iniciar um teste gratuito

O que fazer hoje (e o que pode esperar)

Comece pelo que protege hoje a troca de chaves TLS, SSH e VPN, uma vez que é a camada com um prazo real, em 2030. A adoção de passkeys, os testes de troca de chaves híbrida e um inventário criptográfico documentado podem decorrer em paralelo. Renovar as chaves de implementações AES-256 ou preocupar-se com a resistência dos hashes de palavras-passe pode esperar.

Fazer agora:

Inventariar todos os pontos em que o RSA, o ECDH ou o ECDSA realizam uma troca de chaves: endpoints TLS, hosts SSH, concentradores VPN, PKI interna.
Confirmar que o gestor de palavras-passe e o fornecedor de identidade publicam a sua pilha criptográfica real, em vez de uma referência vaga a «cifragem de nível bancário». Se um fornecedor não indicar, a pedido, os seus algoritmos e tamanhos de chave, essa é a resposta.
Ativar a autenticação multifator (MFA) em todos os sistemas onde ainda não seja obrigatória. Não toca diretamente na questão quântica, mas reduz a exposição enquanto a migração decorre.

Planear este ano:

Incluir a troca de chaves híbrida (clássica mais ML-KEM) nas conversas sobre o roteiro com os fornecedores, sobretudo para tudo o que enfrente um prazo em 2030.
Dar prioridade à adoção de passkeys na autenticação dirigida aos utilizadores. A agilidade algorítmica do FIDO2 significa que o caminho de migração já existe, embora as passkeys atuais ainda utilizem ECDSA, e a própria adoção reduz a parte do conjunto de palavras-passe que ainda depende de um hash de palavra-passe.
Eliminar os endpoints TLS 1.2 que ainda subsistam. A atualização para TLS 1.3 é um pré-requisito para a troca de chaves pós-quântica, e não um projeto separado.

Vigiar:

Os roteiros de hardware quântico da IBM e da Google. Um salto para além dos marcos do calendário do NIST acima indicado anteciparia os prazos, em vez de simplesmente os confirmar.
As orientações do NIST sobre modos híbridos e puramente pós-quânticos, à medida que as implementações das FIPS 203, 204 e 205 amadurecem nas bibliotecas TLS e SSH de uso generalizado.

Nada disto exige a substituição de um gestor de palavras-passe existente. Se este já publicar uma pilha AES-256/RSA-2048 como a descrita acima, a plataforma está a fazer a sua parte; o trabalho de inventário acima descrito cabe à organização.

Conclusão

Os computadores quânticos não vêm atrás do hash da palavra-passe. Vêm atrás da troca de chaves RSA e ECC que a transporta, e o NIST já marcou datas no calendário: 2030 para descontinuar, 2035 para proibir. A Auditoria de Exposição Quântica em 3 Camadas transforma esse risco abstrato em três verificações concretas que uma equipa pode executar neste trimestre, uma das quais provavelmente pode ficar concluída ainda esta tarde.

Comece pela camada 2. Reúna a lista de todos os locais onde o RSA, o ECDH ou o ECDSA tratam de um handshake no ambiente e saberá, num dia, que fornecedores exigem uma conversa sobre migração e quais já a iniciaram.

Se a equipa estiver a elaborar esse inventário, o Passwork disponibiliza um cofre AES-256/RSA-2048 documentado, com registos de auditoria exportáveis para alimentar diretamente esse trabalho. Iniciar um teste gratuito

Perguntas frequentes

Os computadores quânticos vão quebrar todas as palavras-passe atuais?

Não. O algoritmo de Shor quebra a troca de chaves RSA e ECC que rodeia uma palavra-passe, e não o hash da palavra-passe em si. Uma palavra-passe aleatória de 16 caracteres continua a ser computacionalmente dispendiosa de quebrar mesmo com a aceleração quadrática de Grover, sobretudo com uma função memory-hard como o Argon2id.

Os hashes de palavras-passe são seguros contra ataques quânticos?

Em grande medida, sim. O Argon2id, o PBKDF2 e o bcrypt continuam a ser dispendiosos perante o algoritmo de Grover porque o respetivo trabalho memory-hard se aplica a cada tentativa, quântica ou não. Um comprimento suficiente (16 caracteres ou mais) e um algoritmo de hash moderno são os dois controlos que realmente importam neste caso.

Qual é a diferença entre os algoritmos de Shor e de Grover no que respeita às palavras-passe?

O algoritmo de Shor proporciona uma aceleração exponencial contra a decomposição em fatores e os logaritmos discretos, que é o que quebra a troca de chaves RSA e ECC. O algoritmo de Grover proporciona apenas uma aceleração quadrática contra a pesquisa de hashes, reduzindo a resistência de 128 bits para cerca de 64 bits em vez de a quebrar por completo.

O que é o harvest now, decrypt later?

É a prática de gravar o tráfego cifrado atual e de o decifrar quando existir um computador quântico capaz. Os dados com um requisito de confidencialidade prolongado, como registos jurídicos, médicos ou de propriedade intelectual, são o alvo, razão pela qual o risco de recolha existe já agora e não apenas em 2030.

O que significa o prazo de 2030/2035 do NIST para a minha organização?

O NIST IR 8547 descontinua o RSA, o ECDSA e o EdDSA após 2030 e proíbe-os após 2035. As equipas devem inventariar desde já os pontos em que esses algoritmos tratam a troca de chaves e elaborar um plano de migração para ML-KEM e ML-DSA antes de o prazo chegar.

As passkeys são seguras contra ataques quânticos?

Ainda não, mas estão bem posicionadas. As passkeys atuais utilizam ECDSA, que o algoritmo de Shor acabaria por quebrar, mas o protocolo FIDO2 admite a substituição de algoritmos por conceção. Isso deverá tornar a transição para passkeys mais fácil do que a migração da infraestrutura de palavras-passe legada.