Criptografia baseada em redes (lattices) Protegendo os dados de hoje contra os computadores de amanhã

Em algum lugar, em um servidor desconhecido, um arquivo de tráfego de internet criptografado está crescendo. Os dados não podem ser lidos hoje, mas quem os coletou aguarda o momento em que isso será possível. Nos círculos de segurança, essa estratégia tem um nome: "coletar agora, descriptografar depois". Essa ameaça existe porque computadores quânticos processam informações de maneira diferente das máquinas clássicas. Uma vez suficientemente poderosa, essa capacidade poderia desvendar os problemas matemáticos que sustentam a maior parte da criptografia usada atualmente. 

A resposta para essa ameaça não é simplesmente criar uma fechadura mais forte. A criptografia baseada em redes (ou *lattices*) funciona de forma diferente. Ela oculta dados dentro de estruturas geométricas complexas com ruído adicionado deliberadamente, como uma névoa. O sistema codifica informações em uma vasta grade multidimensional de pontos matemáticos e, em seguida, adiciona pequenos erros aleatórios durante a criptografia. A solução correta é indistinguível das incorretas. Esses erros tornam extremamente difícil para um invasor chegar aos dados originais: vista de fora, a solução correta é difícil de distinguir de muitas soluções incorretas plausíveis, mesmo com máquinas clássicas ou quânticas poderosas.

Essa névoa tem utilidades que vão além de manter adversários afastados. As mesmas propriedades matemáticas que tornam os esquemas baseados em redes resistentes a computadores quânticos possibilitam uma capacidade adicional que a criptografia clássica não consegue igualar. A criptografia totalmente homomórfica permite que cálculos sejam executados diretamente sobre dados criptografados, sem jamais expô-los.

Em 2024, pesquisadores do Asan Medical Center utilizaram essa abordagem para treinar modelos de IA com base em mais de 300.000 registros de pacientes de três hospitais, sem que os dados brutos de qualquer hospital saíssem de seus próprios servidores. Os modelos superaram qualquer coisa que uma única instituição poderia ter desenvolvido sozinha. Com as capacidades comprovadas, a área precisava de uma base comum sobre a qual construir.

O Instituto Nacional de Padrões e Tecnologia (NIST) passou dois anos avaliando abordagens concorrentes para criptografia pós-quântica antes de finalizar seus padrões em 2024. A escolha de algoritmos baseados em redes como base principal forneceu a toda a indústria um modelo validado para desenvolvimento, e outros seguiram o exemplo. A Organização Internacional de Normalização (ISO) e o Instituto Europeu de Normas de Telecomunicações (ETSI) alinharam-se em torno da mesma base de criptografia baseada em redes (lattice-based), e prazos para sistemas resistentes à computação quântica foram estabelecidos.

A União Europeia definiu 2026 como o ano em que sistemas públicos devem iniciar a migração para sistemas resistentes à computação quântica; a Agência de Segurança Nacional (NSA) exigiu algoritmos resistentes à computação quântica em todos os novos sistemas de segurança nacional até janeiro de 2027; e a SWIFT — a rede que transmite mensagens financeiras entre mais de 11.000 instituições em 200 países — está ativamente engajada no planejamento da migração pós-quântica. O Google comprometeu-se a concluir sua própria transição até 2029. Dados criptografados ainda podem estar sendo coletados, mas a resposta já não é teórica. A tarefa agora é migrar sistemas críticos para bases resistentes à computação quântica antes que esses dados possam ser expostos.

*.   *.   *

Perspectiva estratégica

Criptografia baseada em redes (lattice-based)

Por Dubai Future Foundation

A criptografia baseada em redes poderia permitir que as verificações de conformidade ocorressem à medida que os dados são transferidos, em vez de serem realizadas *a posteriori*.

Se as ações puderem ser verificadas em tempo real sem revelar as informações subjacentes, as organizações poderiam conferir se os dados estão sendo utilizados corretamente no momento da transferência.

Isso transformaria a maneira como a confiança é incorporada aos sistemas digitais.

A amostragem de registros, a interpretação de ambiguidades e a negociação da aplicação de normas eram necessárias quando a infraestrutura não conseguia verificar a conformidade na origem. Protocolos recentes baseados em redes reduziram os tempos de verificação de 90 segundos para 20 milissegundos, tornando as verificações em tempo real viáveis ​​pela primeira vez. A confiança poderia passar a ser uma condição para o acesso, em vez de algo estabelecido por meio de supervisão posterior.

Para governos e instituições financeiras e de saúde, as implicações iriam além da criptografia.

Com violações de segurança custando agora até US$ 4,44 milhões, muitas organizações estão reformulando fluxos de dados e migrando para a criptografia resistente à computação quântica. Petabytes de sequências genômicas, dados de dispositivos vestíveis (*wearables*) e padrões financeiros poderiam ser compartilhados, processados ​​e verificados com maior segurança, mantendo-se protegidos contra futuras tentativas de descriptografia por agentes com capacidade quântica.

Para que esse cenário se concretize, as regras de conformidade precisariam ser definidas com precisão antes de serem codificadas nos sistemas.

Uma vez aplicadas automaticamente, as regras são seguidas exatamente como foram redigidas, deixando menos margem para interpretações posteriores. Software, hardware e instituições também precisariam passar por atualizações coordenadas. Protocolos, sistemas operacionais e dispositivos teriam de adotar novos padrões de forma sincronizada, sem interromper os serviços que já dependem deles. Durante a transição, a execução simultânea da criptografia baseada em redes e de métodos mais antigos permitiria manter o funcionamento dos serviços existentes.

A transição não ocorrerá de maneira uniforme. Dispositivos menores, como *wearables* e sensores embarcados, ainda não conseguem suportar a carga computacional mais pesada exigida pelos métodos baseados em redes, e a atualização de infraestruturas mais antigas pode ser difícil, especialmente quando os sistemas estão fragmentados ou obsoletos. À medida que a criptografia se torna mais robusta, os ataques podem passar a visar cada vez mais falhas de projeto e implementação, elevando a importância crítica da engenharia e da execução desses sistemas. A criptografia baseada em redes (lattice-based cryptography) pode tornar o compartilhamento, a análise e a verificação de dados mais seguros; se isso resultará em sistemas de dados confiáveis, dependerá dos padrões, das políticas e das escolhas institucionais estabelecidos em torno dela.

Megatendências do DFF relacionadas: dados multidimensionais ilimitados; vulnerabilidades tecnológicas.

A criptografia que promete esconder dados até da nuvem exige poder computacional além do que os data centers atuais podem oferecer

Toda vez que você envia um prompt ao ChatGPT, suas palavras são transformadas em um código indecifrável antes de atravessar fibras ópticas e cabos submarinos rumo aos data centers da OpenAI no estado do Texas, nos Estados Unidos – ou em algum outro lugar do mundo. É assim que boa parte da informação do planeta trafega: criptografada. Mas proteger dados em trânsito não resolve tudo. Em algum momento, o servidor precisa decifrar a informação para processá-la — e é justamente aí que surgem as brechas.

Em 1995, o pioneiro da segurança digital Gene Spafford resumiu o problema dizendo que “criptografia sem um sistema íntegro equivale a investir em um carro-forte para levar dinheiro de alguém que mora em uma caixa de papelão para outra pessoa fazendo negócios em um banco de parque”. Ou seja, proteger os dados no caminho não adianta se emissor e destinatário continuam vulneráveis.

Nos últimos quinze anos, passamos a terceirizar cada vez mais funções à nuvem, do streaming ao armazenamento de arquivos e e-mails. A banda larga permite delegar nossas demandas computacionais a esses servidores remotos, mas isso exige enviar muitos dados para empresas com termos e condições de uso intermináveis.

O número do cartão de crédito é apenas a ponta de um iceberg de informações sensíveis que não devem estar na nuvem. Imagine, por exemplo, uma IA da área médica que analisa o prontuário dos pacientes e sugere diagnósticos: uma seguradora de saúde poderia usar esses dados para investigar o histórico de quem tenta contratar o plano — e, assim, negar clientes com doenças crônicas.

Por isso, um dos grandes objetivos da criptografia contemporânea é desenvolver um tipo de cifra que permita a um data center processar dados cifrados “às cegas” e dar o resultado correto sem precisar bisbilhotar o conteúdo. O nome dessa ideia é criptografia completamente homomórfica (fully homomorphic encryption, ou FHE, na sigla em inglês). Ela já é possível na prática — mas, no estágio atual de desenvolvimento, ainda é uma opção milhares a milhões de vezes mais lenta do que processar a mesma informação abertamente.

Transformar a FHE em realidade envolve dois desafios. O primeiro é que pressionar grandes empresas por avanços em segurança digital não depende apenas de legislação ou de agências reguladoras. Porém, é necessário também um grau de conscientização coletivo que ainda não existe. Quando alguém aponta uma arma para você, o perigo está na sua frente. Diferente de falar para as pessoas que empresas coletam dados da população e os usam para manipular eleições. Isso ainda soa abstrato. 

O segundo é que fazer a FHE funcionar está longe de ser trivial. Do ponto de vista do computador, lidar com uma cifra completamente homomórfica equivale a resolver um cubo mágico de olhos vendados. Para entender como é possível uma máquina processar dados sem enxergá-los (e até que ponto é possível tornar esse processo mais rápido), precisamos voltar algumas casas na história da criptografia — e começar na época em que o homomorfismo ainda era entendido como uma propriedade indesejável pelos criptógrafos.

A brecha que virou solução

A criptografia moderna se apoia em operações matemáticas simples de executar, mas extremamente difíceis de desfazer — como fatorar números gigantescos gerados pela multiplicação de dois números primos (lembrar do algoritmo denominado Crivo de Eratóstenes para encontrar todos os números primos até um limite específico). Esse é o princípio por trás do RSA, um dos métodos de criptografia mais influentes, criado em 1977. A sigla representa os sobrenomes dos criptógrafos que inventaram a técnica: Rivest, Shamir e Adleman.

Os números gigantescos da RSA são inquebráveis na prática. Mas a estrutura matemática dessa cifra é frágil de outra forma: ela permite manipular os criptogramas sem que percam seu significado no processo, ou seja, a equivalência matemática com o conteúdo que deu origem a eles. 

Uma metáfora ajuda a entender. Imagine duas palavras. Uma é “pão”, a outra é “manteiga”. Em RSA, cada uma é representada por um criptograma gigante e difícil de fatorar. Porém, se um servidor multiplicar “pão” e “manteiga”, ele vai obter um criptograma que significa “pão com manteiga”. O servidor não consegue ler o conteúdo, mas a operação continua fazendo sentido. Isso é o homomorfismo: o comportamento das multiplicações realizadas em texto claro (ou plaintext, em inglês) se mantém ao ser mapeado para o conjunto de dados cifrados (ciphertext).

No caso da RSA, apenas uma operação matemática é homomórfica: a multiplicação. Por isso, a RSA é classificada como uma cifra parcialmente homomórfica. Para computar às cegas, porém, era preciso ir além e construir uma cifra completamente homomórfica — que, além das multiplicações, permitisse também fazer somas sem mudar o conteúdo. 

Nas décadas seguintes à invenção da RSA, pesquisadores tentaram ampliar esse princípio para permitir múltiplas operações matemáticas sobre dados cifrados. Em 2005, o criptógrafo israelense Dan Boneh chegou perto: criou uma cifra homomórfica para as duas operações, mas que permitia apenas uma multiplicação, embora suportasse infinitas adições. O avanço decisivo veio em 2009, quando o americano Craig Gentry, então funcionário da IBM, publicou sua tese de doutorado orientada pelo próprio Boneh, apresentando a primeira cifra completamente homomórfica funcional. 

Os limites físicos e teóricos da FHE

O problema é que as cifras homomórficas acumulam “ruído” matemático a cada operação realizada. Depois de muitas contas, esse ruído cresce tanto que pode corromper o resultado. É como a poluição por mercúrio nos oceanos: cada peixe pequeno tem um pouco desse elemento tóxico no organismo. Mas quando um tubarão come todos eles, acaba concentrando uma quantidade muito maior do metal (processo chamado de bioacumulação).

O que Gentry fez foi encontrar um jeito de limpar o ruído a cada ciclo de processamento de dados, técnica que batizou de bootstrapping. O nome vem da expressão inglesa “puxar a si mesmo pelas alças das próprias botas”, usada para descrever um procedimento recursivo. 

Neste caso, o criptograma ruidoso é processado pelas próprias técnicas de FHE para produzir um criptograma equivalente, mas com ruído menor. “Isso abre portas para um número ilimitado de operações. Esse foi o grande problema que Gentry resolveu há pouco mais de 15 anos”, diz Diego Aranha, professor brasileiro que trabalha na Universidade de Aarhus, na Dinamarca. O bootstrapping é, ao mesmo tempo, o segredo da FHE e sua limitação: limpar o ruído das cifras é uma tarefa pesada, e é a razão desse tipo de criptografia demorar tanto. 

Foi apenas em meados de 2016 que as coisas começaram a parecer “razoavelmente praticáveis”, nas palavras de Hilder Pereira, professor da Unicamp. O GPS é um exemplo ilustrativo do tipo de coisa que a FHE ainda não consegue fazer. O aplicativo precisa recalcular a rota em segundos quando você entra em uma rua errada, e realizar essa computação com uma cifra homomórfica poderia levar dias. 

Ao problema computacional se soma um problema econômico. O mundo vive uma crise de disponibilidade de chips de silício causada pela construção acelerada de data centers para inteligência artificial (IA). Grande parte do poder computacional previsto para ser instalado em 2026 já está comprometida com as big techs. 

“A parte infeliz é que, do ponto de vista de hardware, acelerar a FHE ou usá-la para delegação segura de computação compete pelo mesmo hardware que a IA”, diz Aranha. “Empresas de internet que operam infraestrutura de nuvem — Amazon, Google, Microsoft — têm seu ganha-pão exatamente nisso: rodar seu código nos servidores delas. Do ponto de vista do cliente, seria muito melhor ter uma garantia matemática do que assinar um papel em que a Amazon promete não bisbilhotar.”

Uma possibilidade é reaproveitar gerações antigas de GPUs (microprocessadores) descartadas pela corrida da IA. O hardware que deixa de ser competitivo para treinar modelos de fronteira pode ajudar a acelerar pesquisas em FHE. Há também startups produzindo chips dedicados à FHE — por exemplo, a KU Leuven, um dos grupos de hardware para criptografia mais respeitados do mundo, onde Pereira fez pós-doutorado, tem um projeto financiado pela União Europeia nessa direção.

Da teoria à indústria

Toda cifra é construída sobre a premissa de que um problema matemático é difícil de resolver. A RSA, por exemplo, aposta que fatorar o produto de dois números primos enormes é computacionalmente inviável. Contudo, essa dificuldade não é necessariamente eterna. “Talvez alguém encontre um novo algoritmo de fatoração muito mais eficiente e rápido, que reduza o tempo de fatoração”, explica Hilder Pereira. Um de seus objetivos no projeto apoiado pela FAPESP é justamente investigar se é possível construir FHE com menos pressupostos matemáticos. Apoiar a segurança num conjunto menor de suposições reduz a vulnerabilidade da cifra caso alguma delas se revele falsa.

Para a academia, essa é a diferença entre um prédio com fundações construídas para o grau exato de estabilidade do solo e um prédio com precauções extras, que permanece em pé mesmo que o solo se mostre menos firme do que se pensava. Os acadêmicos estão sempre se antecipando, como na criptografia pós-quântica. “Estamos nos preparando para que, se um dia existir o computador quântico, essas novas cifras pós-quânticas já sejam seguras”, explica Pereira.

A FHE é um campo de estudo bem estabelecido no mundo acadêmico. Do lado da indústria, o movimento é mais fragmentado, mas já perceptível. A startup francesa Zama, por exemplo, trabalha em aplicações de machine learning e blockchain com FHE, tentando ocultar não apenas a identidade dos usuários, mas também os próprios fluxos financeiros.

A Zama quer cifrar essas transações com FHE, de modo que nem mesmo quem opera a infraestrutura saiba quem mandou quanto para quem. Para Nigel Smart, professor da KU Leuven que também ocupa o cargo de chief academic officer da empresa, esse é um momento equivalente à passagem do protocolo HTTP para o HTTPS na internet, em 1994 — uma camada de privacidade que reconfigura o que é possível fazer online. Foi o ‘S’ de ‘seguro’ que permitiu o uso de cartões de crédito na internet.

Smart, porém, faz questão de desfazer uma ilusão comum sobre as possibilidades da FHE. Esse tipo de cifra não é “uma poeira mágica que se polvilha sobre sistemas existentes para torná-los privados. Elas devem ser vistas como tecnologias que habilitam novos modelos de negócio e novas oportunidades que antes simplesmente não existiam”, diz ele. Um exemplo concreto é o combate à lavagem de dinheiro: bancos precisam cruzar dados de clientes para identificar fluxos suspeitos, mas não querem — e muitas vezes não podem, legalmente — entregar esses dados a concorrentes. Com FHE, a colaboração se torna possível.

Já existem outras aplicações de cifras homomórficas saindo do papel. O Microsoft Edge emprega FHE para verificar se senhas foram comprometidas em vazamentos sem revelar as senhas ao servidor. Craig Gentry, criador da primeira FHE viável, hoje trabalha na startup Cornami, com foco no gargalo mais relevante para a IA: tornar a multiplicação de matrizes mais rápida sob cifra homomórfica, já que essa operação é importantíssima para Modelos de Linguagem de Grande Escala (LLMs, do inglês) como o GPT.

Não existe milagre: é pouco provável que a FHE se torne uma tecnologia amplamente disseminada ainda nas próximas décadas. Mas chegar mais perto desse grau platônico de segurança não é apenas uma questão de avanço científico-tecnológico: é algo que exige uma mudança de mentalidade que também está distante. “As pessoas não estão acostumadas a se preocupar com isso”, resume Pereira. À medida que a vida contemporânea passa a depender cada vez mais de computação delegada, é urgente que o trabalho de pesquisadores como Pereira se traduza em aplicações práticas.

Leia a reportagem completa em: https://revistapesquisa.fapesp.br/a-criptografia-que-promete-esconder-dados-ate-da-nuvem/