Manual da Europol aponta caminhos aos serviços financeiros na migração segura para a criptografia pós-quântica

Um relatório da Europol — Agência da União Europeia para a Cooperação Policial — sobre a Prioridade dos Serviços Financeiros na Migração para a Criptografia Pós-Quântica traça um mapa prático de transição, permitindo que as instituições financeiras comecem a preparar a mudança das suas infraestruturas tecnológicas para uma nova realidade: a criptografia pós-quântica (Post-Quantum Cryptography – PQC).

O documento fornece orientações práticas para incorporar a segurança quântica nos frameworks existentes de gestão de risco, avaliando a “Prioridade de Migração” com base no “Risco Quântico” e no “Tempo de Migração” dos casos de uso de negócio, destacando oportunidades para execução imediata.

De acordo com a Europol, “um primeiro passo crítico é inventariar todos os casos de uso do negócio que dependem de criptografia de chave pública. Esse inventário permite criar um mapa de transição que avalia e hierarquiza o Risco Quântico de cada caso com base em três parâmetros:

• Vida útil dos dados protegidos (Shelf Life of Protected Data): por quanto tempo os dados permanecem sensíveis.

• Exposição: grau em que os dados estão acessíveis a potenciais atacantes.

• Severidade: impacto no negócio de uma eventual intrusão.

Após avaliar o Risco Quântico, as organizações podem hierarquizar ações com base no Tempo de Migração de cada caso, ou seja, na complexidade e no horizonte temporal necessários para alcançar a Segurança Quântica. Como parte desta atividade, serão identificadas ações que podem ser iniciadas de imediato e casos que exigem coordenação com ciclos de vida de ativos de longo prazo.

Exemplos de implementação imediata incluem:

• Integração de requisitos pós-quânticos no planeamento de longo prazo para casos de uso intensivos em hardware, alinhados com os ciclos de vida dos ativos financeiros.

• Reforço da proteção da confidencialidade em websites transacionais.

• Identificação e eliminação de soluções criptográficas pouco seguras, reduzindo futuras despesas com correções técnicas.

Estes exemplos mostram como as instituições financeiras podem dar passos estruturados rumo a uma transição eficiente para a criptografia pós-quântica.

O documento apresenta uma metodologia simples que permite avaliar a Prioridade de Migração de cada caso em função do Risco Quântico e do Tempo de Migração. Isto garante que os esforços de mitigação se concentrem onde o impacto é mais significativo e fornece orientações para incorporar a Segurança Quântica nos frameworks de gestão de risco existentes.

Ao avaliar a Prioridade de Migração, as organizações podem obter insights estratégicos para responder a questões críticas, tais como:

• É importante agir com urgência? Esclarecer os potenciais impactos no negócio, operacionais e reputacionais da inação.

• Qual é o custo-benefício de agir mais cedo? Avaliar os compromissos entre adoção antecipada e migração tardia, considerando a evolução do mercado e da maturidade tecnológica.

• Quando devemos agir? Determinar prioridades com base na exposição ao Risco Quântico e na complexidade de implementação.

• Quais são as nossas dependências? Identificar fatores internos ou externos da cadeia de fornecimento que possam influenciar os prazos.

• Temos a capacidade necessária? Avaliar se a experiência interna e os recursos disponíveis são suficientes ou se é necessário apoio externo.

• O nosso plano é eficaz? Confirmar se os recursos, tecnologias e esforços de coordenação suportam uma transição atempada e bem-sucedida.

A Europol apresenta dois exemplos concretos de desafios na migração para a criptografia pós-quântica: os terminais de pagamento (POS) e os websites públicos onde instituições financeiras e organismos públicos interagem com os clientes.

1. Terminais de pagamento (POS)
Os POS são dispositivos de rede onde as transações de pagamento são iniciadas. Lidam diretamente com dados sensíveis, como detalhes de cartões, identificadores pessoais e informações bancárias. Ao mesmo tempo, estão amplamente distribuídos e são acessíveis a terceiros.

O processo típico de uma transação financeira através de um POS é:

1. Início da transação: o cliente apresenta o cartão ao terminal.

2. Captura e transmissão de dados: o terminal captura os dados de pagamento. No modo online, os envia ao banco do comerciante para autorização usando criptografia simétrica. No modo offline, os dados são verificados com assinaturas de chave pública e armazenados para transmissão posterior, sendo a decisão tomada localmente com regras predefinidas.

3. Encaminhamento pela rede de pagamentos: o banco do comerciante envia o pedido ao banco emissor do cliente.

4. Autorização: o banco emissor verifica os dados e envia a resposta.

5. Conclusão: a autorização retorna ao terminal, que aprova ou recusa a transação.

Todo o processo é protegido por múltiplos mecanismos criptográficos, combinando criptografia simétrica e de chave pública para garantir confidencialidade, integridade e autenticidade.

Segundo a EMVCo, a ameaça quântica mais relevante neste ecossistema é a quebra da chave pública de um sistema de pagamentos ou do emissor, permitindo a criação de cartões falsos para pagamentos offline fraudulentos.

A migração para criptografia pós-quântica nos POS é complexa devido à diversidade de partes interessadas, às dependências de hardware e aos esforços de normalização ainda em evolução.

2. Websites públicos
Bancos e instituições financeiras dependem de websites públicos para interagir com clientes e fornecer serviços online. Estes canais envolvem múltiplas camadas de autenticação e encriptação, cada uma vital para proteger dados sensíveis.

• Ao nível da infraestrutura, a autenticação via Transport Layer Security (TLS) é realizada para cada sessão com certificados de chave pública, atualmente vulneráveis a ataques quânticos.

• Ao nível do utilizador, os métodos de autenticação variam: a tradicional baseada em palavras-passe exige proteção das credenciais, enquanto abordagens sem palavra-passe, como Fast Identity Online (FIDO), utilizam criptografia de chave pública. Apesar de seguros atualmente, tornam-se vulneráveis se um atacante conseguir aceder às chaves privadas antes do prazo de validade, usando capacidades quânticas.

O relatório alerta ainda que as comunicações em websites frequentemente transmitem dados confidenciais (credenciais, dados pessoais e financeiros), sujeitos a retenção durante vários anos. Mesmo após esse período, a divulgação não autorizada pode causar danos reputacionais significativos.

A proteção da confidencialidade é assegurada pela encriptação TLS. Para resistir a ataques quânticos, será necessário adotar algoritmos resistentes e esquemas pós-quânticos de estabelecimento de chaves. Isto representa a ameaça quântica mais imediata: o risco de ataques “recolher agora, desencriptar mais tarde” (harvest-now, decrypt-later), em que adversários recolhem tráfego encriptado hoje para o decifrar quando capacidades quânticas estiverem disponíveis.