• Estamos compartilhando lições aprendidas com a criptografia pós-quântica do Meta (PQC) migração para ajudar outras organizações a fortalecer sua resiliência à medida que a indústria faz a transição para padrões de criptografia pós-quântica.
• Estamos propondo a ideia de níveis de migração PQC para ajudar as equipes dentro das organizações a gerenciar a complexidade da migração PQC para seus vários casos de uso..
• Ao delinear a abordagem da Meta para este trabalho – desde a avaliação de riscos e inventário até a implantação e proteções – esperamos contribuir com orientações práticas que ajudem a acelerar os esforços da comunidade mais ampla para avançar em direção a um futuro pós-quântico..
• Nosso objetivo é ajudar outras pessoas a navegar nessa transição de maneira eficaz, eficientemente, e economicamente, para que possam preparar-se para um futuro em que os actuais métodos de encriptação de chave pública poderão já não ser suficientes.

---

Pesquisa indica que computadores quânticos acabará por quebrar criptografia convencional de chave pública, criando riscos de segurança para muitos sistemas digitais em toda a indústria. Embora estimativa de especialistas isso pode acontecer dentro de 10 a 15 anos, sofisticado adversários poderiam coletar dados criptografados hoje, antecipando um futuro onde os computadores quânticos possam descriptografá-lo – uma estratégia conhecida como “armazenar agora, descriptografar mais tarde” (SNDL). Isso significa que informações confidenciais podem estar em risco, mesmo que os computadores quânticos ainda estejam a anos de distância.

Reconhecendo esta ameaça, organizações como a Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) e o Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) publicaram orientações de migração que discutem prazos-alvo (incluindo 2030) para priorizar proteções pós-quânticas em sistemas críticos. Esta orientação reconhece que a complexidade e as capacidades técnicas ausentes ou incompletas são fatores importantes que afetam os planos de migração do PQC.

Por exemplo, os primeiros padrões PQC em todo o setor, como ML-KEM (Cibernético) e ML-DSA (Dilítio), já foram publicados pelo NIST, com algoritmos adicionais como HQC a caminho. Notavelmente, Metacriptógrafos são coautores do HQC, um dos algoritmos PQC recém-selecionados, refletindo nosso compromisso com o avanço da segurança criptográfica global. Esses padrões fornecem às organizações opções robustas de defesa contra ataques SNDL, e Meta busca compartilhar progressos e insights relevantes para ajudar a comunidade em geral a navegar na transição para um futuro seguro de PQC.

Na Meta, adotamos uma abordagem proativa para garantir que estamos preparados para enfrentar os desafios de ameaças apresentados pelos computadores quânticos e pelo SNDL. Com bilhões de pessoas em todo o mundo confiando em nossas plataformas e aplicativos todos os dias, continuamos a manter fortes padrões de segurança e proteção de dados. Como parte disso, nós já começamos implantando e implementando criptografia pós-quântica em nossa infraestrutura interna ao longo de um processo plurianual para garantir que cumprimos nossos compromissos de segurança e privacidade agora e no futuro.

Metas de migração PQC da Meta

Adotamos uma estratégia de migração PQC robusta e abrangente que aspira aos seguintes princípios para garantir uma transição perfeita:

1. Eficácia: Resistir aos adversários quânticos e proteger contra ameaças potenciais.
2. Oportunidade: Implantação oportuna de mecanismos de proteção alinhados com os padrões em evolução.
3. Desempenho: Minimizar a sobrecarga e garantir que as novas soluções criptográficas não comprometam o desempenho do sistema ou a experiência do usuário.
4. Eficiência de custos: Evitar despesas desnecessárias através da adopção de uma abordagem estratégica que equilibre o investimento com a mitigação de riscos.

Níveis de maturidade PQC – Como cada organização pode avaliar a prontidão pós-quântica

A migração do PQC é gradual, complexo, processo plurianual. Pode ser útil pensar sobre a migração PQC em termos do que chamamos de Níveis de Migração PQC. Os níveis são escalonados em termos da rapidez com que permitem que uma organização responda a uma ameaça quântica.. Quanto mais curto for tempo para reagir a um evento quântico relevante melhor. Um evento quântico relevante pode estar relacionado aos avanços no desenvolvimento da computação quântica, publicações de padrões, ou o estabelecimento de novas práticas industriais.

Habilitado para PQ, o nível em que a proteção quântica total é efetivamente alcançada, é o padrão platina que as organizações devem buscar para cada uma de suas aplicações e casos de uso. No entanto, qualquer organização que pretenda aumentar a sua resiliência às ameaças quânticas pode tomar medidas no seu caminho para o PQ-Enabled. Mesmo iniciando o processo de migração definindo o nível de sucesso minimamente aceitável em Pronto para PQ pode ter benefícios. Neste nível, as empresas que podem não ter orçamentado para capacitação a curto prazo podem sentir-se motivadas (e recompensado) para construir os blocos de construção necessários para completar a mitigação de riscos no futuro.

• Habilitado para PQ: O objetivo final para cada caso de uso. As organizações têm sucesso ao implementar e implantar uma solução segura pós-quântica. Na meta, por exemplo, começamos a implantar proteções PQ em partes significativas do nosso tráfego interno.
• PQ-endurecido: As organizações conseguem implementar todas as proteções pós-quânticas atualmente disponíveis na literatura, mas devido à ausência de primitivas PQ na literatura, a equipe (e a indústria em geral) não é capaz de mitigar totalmente a ameaça quântica. Por exemplo, Funções pseudo-aleatórias alheias pós-quânticas eficientes (OPRFs) ainda não estão disponíveis e, portanto, os casos de uso que dependem deste tipo de primitivo só poderiam atingir o nível PQ Hardened.
• Pronto para PQ: As organizações começam a ter sucesso implementando uma solução segura pós-quântica adequada ao caso de uso. No entanto, devido a custos, priorização, ou outros fatores, sua habilitação não é atualmente viável. Este não é um objetivo final desejável, dado o fato de ainda não proteger o caso de uso contra ataques quânticos., mas reduz o tempo de reação quando comparado com níveis mais baixos.
• Consciente de PQ: A organização foi informada de que os computadores quânticos ameaçam seu caso de uso e já concluiu uma avaliação inicial do que é necessário para eventualmente alcançar a prontidão PQ. No entanto, a equipe ainda não começou a projetar as proteções PQ.
• PQ-Inconsciente: A organização não está ciente da próxima ameaça quântica, colocando-os na posição mais indesejável na escada do nível de maturidade do PQC.

Uma Visão Geral da Estratégia PQC da Meta

A estratégia proposta é definida como uma sequência de etapas. Alguns deles podem se sobrepor no tempo com outros, mas o objetivo aqui é dar uma indicação sobre os diferentes fluxos de trabalho que as organizações podem ter que embarcar como parte de sua preparação para o PQC.

1. Definição de Priorização estabelecer critérios qualitativos para diferenciar tipos de aplicações em alto, moderado, e baixa prioridade entre os tipos de casos de uso impactados por possíveis ataques quânticos. Esta abordagem ajuda a priorizar quais casos de uso devem ser migrados primeiro.
2. Construa um inventário criptográfico para ter uma visão completa do uso da criptografia em toda a organização e identificar aplicativos em risco.
3. Abordar dependências externas para a migração das aplicações selecionadas para PQC (por exemplo, publicação de padrões PQC, PQC-HSMs, Implementações maduras de PQC).
4. Implementar componentes PQC para ser eventualmente integrado em casos de uso.
5. Implementar guarda-corpos PQC alterando os padrões de criptografia, proibindo a criação de novas chaves e o uso de APIs afetadas.
6. Integrar componentes PQC para proteger os casos de uso contra a ameaça quântica.

UM. Priorização

Criamos um critério que nos permite classificar qualquer aplicação em diferentes níveis de priorização. Para este fim, analisamos vários aspectos que influenciam tal priorização.

Alta prioridade Aplicativos

Suscetível a ataques que podem ser iniciados agora sem a existência de um computador quântico (ataques off-line) e concluído com eficiência mais tarde (Ataque SNDL por meio do algoritmo de Shor). Qualquer aplicativo que use criptografia de chave pública vulnerável quântica e primitivas de troca de chaves se enquadra nesta categoria. Entre aplicações de alto risco, diferenciamos aqueles que não possuem dependências externas (pode ser migrado imediatamente), daqueles que possuem dependências externas e, portanto, podem precisar esperar até que essas dependências sejam resolvidas.

Prioridade média Aplicativos

Suscetível a ataques que só poderão ser iniciados com um computador quântico no futuro, quando um computador quântico suficientemente poderoso estiver disponível (ataques on-line) e que será executado de forma eficiente (Algoritmo de Shor).

Diferenciamos essas duas categorias com base na capacidade de atualizar seu mecanismo de segurança: Riscos médios-altos são difíceis de corrigir (por exemplo, aplicativos que possuem chaves públicas incorporadas ao hardware) e riscos médio-baixo são aqueles que são possíveis de corrigir (por exemplo, atualizações de software). A capacidade de aplicação de patches é particularmente relevante para aplicações com longa vida útil (ou seja, tempo para desenvolvimento + tempo implantado em campo). Qualquer aplicativo que use assinaturas digitais vulneráveis ​​quânticas se enquadra nesta categoria.

Baixa prioridade Aplicativos

Suscetível apenas a ataques quânticos ineficientes (O ataque de Grover). Conforme apresentado em muitas publicações acadêmicas (por exemplo, Gheorghiu e Mosca, 2025), os enormes requisitos de recursos para executar tal ataque (o que até levanta dúvidas sobre se tal ataque algum dia será viável) torná-los o menor risco. Qualquer aplicação que utilize criptografia simétrica com parâmetros inadequados se enquadra nesta categoria.

A tabela abaixo resume os critérios propostos.

B. Construa um inventário criptográfico

A força dos algoritmos de criptografia diminui com o tempo, conforme ilustrado no gráfico abaixo. Desde o início da criptografia, vimos várias cifras e algoritmos subirem e descerem em relação à segurança e taxa de adoção. A necessidade contínua de substituir algoritmos criptográficos requer, no mínimo, uma compreensão de onde a criptografia está sendo usada. O problema é que a criptografia é onipresente, e encontrar todas as instâncias de uma primitiva criptográfica em uma grande infraestrutura e base de código é inerentemente desafiador.

O processo de mapeamento de todos os usos da criptografia dentro de uma organização é chamado de Crypto Inventorying.. Para uma estratégia de migração PQC em toda a empresa, representa um pré-requisito crítico para a conclusão do trabalho. Isso pode ser construído aplicando duas estratégias complementares.

• Descoberta Automatizada: Aproveitamos ferramentas de monitoramento, como o nosso Visibilidade criptográfica serviço, mapear autonomamente primitivas criptográficas usadas na produção. Isso fornece dados de alta fidelidade sobre o uso ativo em nossas bibliotecas primárias.
• Relatórios: Porque o monitoramento não pode capturar todos os casos extremos ou dependências ocultas, complementamos a automação com relatórios para desenvolvedores. Este processo captura a intenção criptográfica para novas arquiteturas e revela o uso legado em sistemas fora dos caminhos de monitoramento padrão.

C. Abordar dependências externas

Além do compromisso da organização, a migração PQC é um processo que exige que certos pré-requisitos externos sejam atendidos. Próximo, descrevemos o que precisa ser desbloqueado para que uma migração PQC em toda a empresa seja viável. Identificamos também os principais atores de desbloqueio – a própria organização é sempre altamente encorajada a envolver-se nestes processos.

Dependência	Ator principal de desbloqueio
Padrões PQC aprovados pela comunidade	Organismos de Normalização (NIST, IETF, ISO, etc.)
Suporte PQC em Hardware	HSM, CPU, e outros fornecedores de hardware
Implementações de PQC em nível de produção	Comunidade de criptografia de engenharia

Padrões PQC aprovados pela comunidade

A comunidade criptográfica tem participado ativamente nos processos de padronização do PQC. Como resultado, O NIST publicou recentemente os primeiros padrões PQC: FIPS 203, FIPS 204, e FIPS 205, e anunciou uma segunda lista de algoritmos a serem padronizados. Meta tem contribuído ativamente, coautoria de alguns dos algoritmos padronizados (por exemplo, Controle de Qualidade Geral), e alguns outros candidatos (por exemplo, BICICLETA e McEliece Clássico).

Além disso, A IETF também publicou dois RFCs especificando esquemas PQC, e ISO outro padrão PQC. Muitos outros padrões ainda são necessários, em particular aqueles que visam protocolos de camada superior. Existem alguns rascunhos preliminares sendo escritos, como Rascunho da IETF #1 e Rascunho da IETF #2. Eles abordam componentes específicos do mecanismo TLS (por exemplo, a etapa de encapsulamento da chave). Ainda é necessária uma quantidade considerável de trabalho para finalizar os rascunhos e cobrir outras partes da pilha TLS, como certificados PQC X.509 e PQC PKI em geral. A maioria dos produtos Meta depende de TLS, portanto, eliminar esse obstáculo é de extrema importância para proteger efetivamente nossos sistemas.

Suporte PQC em Hardware

Em alguns casos, as organizações podem ter dependências de fornecedores de hardware externos porque alguns aplicativos dependem de suporte de hardware (por exemplo. HSM e CPU). Em casos como este, é importante que as organizações se alinhem com os seus fornecedores à medida que planeiam a migração do PQC. meta, por exemplo, está trabalhando em estreita colaboração com seus fornecedores de hardware em soluções avaliadas pela comunidade, estratégias padronizadas de PQC.

Implementações de PQC em nível de produção

A maioria das vulnerabilidades relacionadas à criptografia não se deve a falhas nos algoritmos, mas em vez disso em suas implementações, que pode conter bugs ou vulnerabilidades sutis de canal lateral. Acertar todas essas coisas não é trivial. A boa notícia é que a comunidade criptográfica já trabalha nessa frente há algum tempo.

Desde 2019, o Abra o Quantum Safe consórcio, parte do Aliança de criptografia pós-quântica da Linux Foundation, vem se desenvolvendo LibOQS, uma biblioteca de criptografia PQC. LibOQS está começando a ser integrado por organizações da indústria. Suportes meta e está trabalhando ativamente com líderes do LibOQS, incluindo corrigindo bugs na biblioteca e fornecendo feedback continuamente. Estamos empenhados em continuar a promover estas colaborações estratégicas.

D- Projetar componentes seguros para PQC

Seleção de Algoritmos

A criptografia pós-quântica é um campo comparativamente novo, e, portanto, as organizações não devem desviar-se do que os organismos públicos de normalização respeitáveis ​​recomendam. Como mencionado acima, o Competição de padronização NIST PQC publicou recentemente os primeiros padrões PQC. Para construir os blocos de construção seguros do PQC subjacente, encorajamos as organizações a considerarem a adoção dos algoritmos selecionados do NIST PQC, nomeadamente:

Além dos algoritmos listados acima, O NIST também selecionou dois algoritmos de assinatura adicionais: ESFÍNCAS+ e Falcão. Comparado ao dilítio, o primeiro tem tamanhos de assinatura consideravelmente maiores, enquanto o último requer aritmética de apontamento flutuante. Estas desvantagens tornam a sua adopção consideravelmente mais difícil do que a (já é um tanto desafiador) implantação de ML-DSA.

Em termos de força de segurança, tanto ML-KEM quanto ML-DSA são definidos com diferentes conjuntos de parâmetros, cada parametrização oferece um perfil diferente de desempenho x segurança. Para ML-KEM, em geral, sugerimos que as equipes considerem a adoção do ML-KEM768, alcançando o nível de segurança NIST 3, embora exceções possam ser concedidas para ML-KEM512 atingir o nível de segurança NIST 1 (conforme endossado por Perguntas frequentes sobre PQC do NIST) caso o desempenho do ML-KEM768 seja proibitivo para um caso de uso específico. O mesmo se aplica ao ML-DSA, preferência por ML-DSA65, mas exceções poderiam ser permitidas para ML-DSA44, considerando restrições de desempenho.

HQC foi recentemente selecionado pelo NIST para padronização. É desenvolvido com base em matemática diferente do ML-KEM, o que é importante se forem descobertos pontos fracos no ML-KEM ou em sua abordagem de redes modulares, garantindo que um método alternativo de proteção PQC ainda possa ser implantado para proteger as organizações contra ataques SNDL. O NIST está atualmente elaborando o padrão HQC.

E – Implementar Guardas de PQC

Além de migrar aplicativos existentes, devemos também evitar que aplicativos sejam projetados com algoritmos criptográficos vulneráveis ​​quânticos em mente. Isso pode ser feito adicionando atrito a qualquer novo caso de uso que tente usar algoritmos quânticos vulneráveis.

1. Atualizar diretrizes internas de criptografia documentos para alertar as equipes sobre os riscos da adoção de criptografia de chave pública vulnerável quântica, e a necessidade de eventualmente migrar para o PQC.
2. Desencorajar a criação de novas chaves quânticas vulneráveis. Se a organização controla as ferramentas para gerar chaves, essas ferramentas devem avisar as equipes quando solicitarem a criação de novas chaves quânticas vulneráveis. Isso não impediria totalmente que as equipes gerassem essas chaves usando outras interfaces, mas provavelmente exigiria que elas se envolvessem com a equipe interna de criptografia..
3. Desencoraje o uso de APIs afetadas. Se a organização se beneficiar de um repositório de código-fonte gerenciado centralmente com um sistema de construção rigidamente controlado (por exemplo, Sistema Buck), pode criar regras que impeçam o uso de APIs potencialmente afetadas (por exemplo, APIs RSA ou ECDH), e assim avisar as equipes durante a revisão do código se tentarem usá-los.

F- Integrar componentes PQC

A implantação de soluções baseadas em PQC geralmente segue um de dois caminhos: substituição (trocando clássico por PQC) ou híbrido (combinando ambos).

Embora a substituição reduza a largura de banda e a complexidade, depende inteiramente de padrões PQC mais recentes que ainda estão amadurecendo. A recente criptoanálise (e invalidação) de algoritmos como SIKE (candidato da rodada final concorrendo no processo de padronização NIST PQC) sublinha a importância de confiar em dados minuciosamente controlados, algoritmos padronizados durante este período de transição para manter uma segurança robusta.

Para mitigar isso, priorizamos a abordagem híbrida colocando uma primitiva PQC em camadas sobre uma clássica estabelecida, projetado para que o sistema combinado permaneça pelo menos tão seguro quanto o padrão atual. Um adversário precisaria quebrar ambas as camadas para comprometer o sistema, fornecendo uma rede de segurança crítica.

Considerações Finais

Compartilhar nossa estratégia e aprendizados não significa que o processo esteja completo. Proteger os sistemas da Meta — e os sistemas de qualquer outra organização — para a criptografia pós-quântica leva anos de trabalho faseado entre protocolos, produtos, e infraestrutura à medida que padrões, implementações e ameaças amadurecem. Continuaremos a expandir a cobertura, estender proteções, e compartilhar o progresso, e continuaremos elevando o padrão para garantir que estamos seguindo práticas de segurança rigorosas, consistentes com a evolução dos padrões do setor.

As informações neste artigo são compartilhadas apenas para fins informativos e não constituem, técnico, ou aconselhamento jurídico, nem constitui uma garantia de qualquer resultado de segurança específico. As organizações devem realizar as suas próprias avaliações e consultar profissionais qualificados antes de tomar decisões de implementação criptográfica..

Agradecimentos

Este trabalho reflete uma ampla, esforço entre empresas. Somos gratos aos colegas da Meta que estão ajudando a moldar nossa estratégia de migração de criptografia pós-quântica e a colocá-la em prática – por meio do design do sistema, implementação, planejamento de implantação, medição, e operações contínuas. Em particular, gostaríamos de agradecer as contribuições e colaboração inestimáveis ​​de equipes de todo: Segurança de Transporte (Sheran Lin , Jolene Tan , Kyle Nekritz, Ameya Shendarkar), WhatsApp (Sebastião Messmer, Maayan Sagir Hever, Juliano está com ciúmes, Alex Kube, Ronak Patel), Facebook/Mensageiro (Emma Connor, Jasmim Henrique), Infraestrutura (Dong Wu, Graça Wu, (Seattle) Wei Yuan Li, Yue Li, Shay Gueron Grunbaum, Xiao Yi Fei), Laboratórios de realidade (Marcus Hodges), Hardware (Henrik Volkmer, Vijay Sai Krishnamoorthy) e o Equipe de pagamentos (Hootan Shadmehr, Hema Pamarty, Ryan DeSouza). Agradecemos também a Chris Wiltz e aos muitos engenheiros adicionais, pesquisadores, gerentes de programa, e revisores — em segurança, Produto, e Política - cujo feedback melhorou a clareza técnica e a orientação prática nesta postagem.