Por que não consigo migrar uma credencial emitida no ano passado para assinaturas seguras contra computação quântica?
Oportunidade
O NIST finalizou o ML-DSA e o ML-KEM em 2024, oferecendo aos novos sistemas um alvo criptográfico claro, mas toda credencial verificável já em circulação está assinada com ECDSA ou EdDSA. Não existe caminho técnico para atualizar uma credencial emitida para um novo esquema de assinatura sem revogá-la e reemiti-la, o que exige coordenar simultaneamente cada emissor e cada titular. Credenciais de longa duração em governos, serviços de saúde e educação são exatamente os documentos que um adversário arquiva hoje para decifrar quando a capacidade quântica amadurecer. Além do problema de migração de chaves, as assinaturas ML-DSA são aproximadamente cinco vezes maiores que as do Ed25519, o que quebra os formatos de apresentação compactos dos quais as implementações de divulgação seletiva dependem atualmente. A criptografia tem um roteiro padronizado; o ciclo de vida das credenciais não tem.
Por que importa
Sem um caminho de migração para credenciais já emitidas, a transição pós-quântica forçará crises simultâneas de reemissão em massa em governos e sistemas de saúde ao redor do mundo.
Como avalio a oportunidade
A Pontuação de Oportunidade é minha própria leitura, não uma medição: o quanto dói, com que frequência aparece e o quanto pouco existe para resolvê-lo hoje. Quanto maior, mais vale a pena construir, na minha opinião.
O quanto de dor causa quando aparece.
Com que frequência as pessoas realmente se deparam com isso.
O quanto pouco de boas ferramentas existe para isso hoje.
Mais problemas que merecem ser resolvidos
Por que o software do qual mais dependemos é o pior para usar?
TechPor que ainda não sou dono de nenhum dos dados que gero?
TechPor que não consigo um comprovante que prove que meus dados foram realmente excluídos?
TechPor que não consigo saber se o que está em execução corresponde ao que meu SBOM declarou?
TechPor que toda cadeia de proveniência C2PA se rompe no momento em que o conteúdo chega às redes sociais?
TechPor que é que os meus testes gerados por IA não detetam os erros que deveriam detetar?