Uma prática de segurança voltada para o futuro, explorando conjuntamente soluções de segurança para Web2 e Web3 na era pós-quântica

Em uma era de rápida evolução tecnológica, a segurança é uma jornada contínua de exploração e progresso. A computação quântica, como uma tecnologia de ponta, traz oportunidades imensas, ao mesmo tempo em que apresenta uma ameaça potencial de longo prazo aos atuais sistemas de criptografia de chave pública (como RSA, ECC) que protegem a segurança digital global. Reconhecendo essa tendência, optamos por explorar proativamente, em vez de esperar passivamente.

Hoje, temos o prazer de compartilhar um importante resultado dessa exploração: a KuCoin, em colaboração com o projeto de código aberto pqc-gateway (https://github.com/web3infra-foundation/pqc-gateway) sob a Web3 Infrastructure Foundation (W3IF) e o parceiro técnico flomesh.io, concluiu com sucesso a prova de conceito (POC) para um gateway de criptografia resistente a tecnologia quântica (PQC) e o disponibilizou para experiência pública. Isso marca um passo sólido em nossa longa jornada rumo à segurança pós-quântica.

 

Sobre a Web3 Infrastructure Foundation (W3IF)
A Fundação W3IF (site oficial: https://web3infra.foundation/) é uma fundação de software de código aberto sem fins lucrativos sediada em Hong Kong, com o objetivo de reunir projetos de infraestrutura Web3 de alta qualidade globalmente, promovendo a construção de um ecossistema tecnológico descentralizado abrangendo áreas-chave como algoritmos de consenso, provas de conhecimento zero, autenticação de identidade descentralizada (DID) e computação confiável. O projeto pqc-gateway, parte dessa colaboração, é um componente importante do ecossistema da fundação.

 

• PQC, uma sigla para criptografia pós-quântica ou criptografia resistente a quântica. Ela não se refere a um algoritmo específico, mas sim a uma classe de algoritmos criptográficos de próxima geração projetados para resistir a ataques de computadores quânticos no futuro.

• O problema central que ela aborda é o seguinte: a segurança dos algoritmos de criptografia assimétrica amplamente utilizados (como RSA, ECC) é baseada na complexidade computacional de determinados problemas matemáticos. No entanto, computadores quânticos podem utilizar seus qubits únicos (como o algoritmo de Shor) para resolver esses problemas em um tempo muito curto, ameaçando os sistemas de segurança de tudo, desde comunicações de rede até ativos de blockchain que dependem desses algoritmos.
• O valor do PQC está no fato de que, mesmo com computadores quânticos poderosos, quebrar algoritmos PQC é teoricamente muito difícil. O objetivo é construir uma nova ponte de segurança que consiga atravessar a "era quântica".

Órgãos reguladores e de definição de padrões globais também tomaram ações ativas, indicando a direção e a urgência dessa migração:

• O Instituto Nacional de Padrões e Tecnologia (NIST) liderou e concluiu a padronização do primeiro conjunto de algoritmos PQC (como Kyber, Dilithium, etc.), marcando um caminho tecnológico claro ^[1]. Ao mesmo tempo, mais algoritmos entraram na versão de rascunho final, e o ecossistema está amadurecendo rapidamente.

• A Agência de Segurança Nacional (NSA) emitiu uma estratégia nacional obrigatória exigindo que a transição dos algoritmos de chave pública tradicionais (RSA, ECC) seja concluída por volta de 2030. A partir de 2035, todos os novos dispositivos e softwares usados para sistemas de segurança nacional devem usar apenas algoritmos PQC ^[2].

• . A Comissão de Valores Mobiliários dos EUA (SEC) também começou a se preparar para o futuro, elaborando uma proposta para as instituições financeiras globais intitulada "Post-Quantum Cryptography Readiness for the Financial Industry (PQFIF)", indicando que a segurança resistente a quântica está prestes a se tornar um requisito obrigatório para a conformidade financeira ^[3].

. Tudo isso indica que a transição para o PQC não é mais uma questão de "se", mas sim de "quando" e "como".

 

Nesse contexto, a KuCoin fez uma parceria com o projeto open-source pqc-gateway e um parceiro técnico.flomesh.io sob a W3IF Foundation para colocar a exploração teórica em prática. Juntos, construímos um ambiente de prova de conceito para um gateway resistente a computação quântica.

Seu princípio central é: durante o estabelecimento de uma conexão HTTPS entre o navegador do usuário e o servidor da KuCoin, os algoritmos de troca de chaves e autenticação são substituídos dos tradicionais RSA/ECC para os algoritmos resistentes a computação quântica (PQC) do rascunho do padrão NIST.

Convidamos você sinceramente a experimentar este resultado inicial: visite https://pqctest.kucoin.biz ; sua conexão já está protegida por criptografia pós-quântica.

Para a melhor experiência, recomendamos o uso das seguintes versões de navegadores:

• Chrome: Versão 142.0.7444.135 ou superior

• Safari: Versão 26.0.1 ou superior

• Firefox: Versão 144.0.2 ou superior

Por exemplo, no navegador Chrome, pressione F12 para acessar o console, selecione o painel Segurança ; se o seu navegador suportar PQC, você verá na seção Conexão , no campo Troca de chaves , que o algoritmo de troca de chaves utilizado foi o algoritmo PQC X25519MLKEM768 , indicando que sua comunicação está protegida por PQC.

Transformar o PQC de padrões teóricos em soluções utilizáveis em ambientes de produção está repleto de desafios. Nesta prática de POC, aprofundamos várias questões centrais com a equipe do projeto pqc-gateway da W3IF Foundation e com a flomesh.io , que também representam as "águas profundas" enfrentadas por toda a indústria:

1. Desempenho e Sobrecarga: A arte de equilibrar segurança e eficiência, bem como caminhos futuros de otimização

Este é o desafio mais direto para a implementação de PQC, refletido principalmente em dois aspectos: computação e comunicação.

• Sobrecarga Computacional:A carga computacional da maioria dos algoritmos PQC supera em muito a dos ECC atuais. Por exemplo, a velocidade de geração e verificação de assinaturas do algoritmo de assinatura Dilithium é várias vezes, ou até dezenas de vezes, mais lenta do que o tradicional ECDSA. Para gateways de plataformas de negociação de alto desempenho, como a KuCoin, isso implica em um aumento significativo na carga de CPU, o que pode afetar diretamente a taxa de consultas do sistema e a latência dos serviços.

• Sobrecarga de Comunicação (Largura de Banda): Este é atualmente um dos maiores pontos críticos do PQC.

• • Troca de Chaves: O tamanho do ciphertext e da chave pública do algoritmo Kyber é de aproximadamente 1-2KB, enquanto o do ECDH tradicional é de apenas 32-64 bytes.
  • Assinatura: O tamanho da assinatura do Dilithium é de cerca de 2-4KB, enquanto as assinaturas ECDSA geralmente têm entre 64-128 bytes.
• Desafios em Certificados e Infraestrutura de Chaves Públicas (PKI):
  • Expansão da Cadeia de Certificados: As cadeias de certificados TLS normalmente incluem certificados de entidade final, certificados de CA intermediária e certificados de CA raiz. Se todos utilizarem assinaturas PQC, o tamanho total da cadeia de certificados pode chegar a dezenas de KB. Os navegadores podem precisar baixar centenas de KB de dados de certificados durante o handshake, o que pode afetar gravemente a velocidade de carregamento da primeira tela e a experiência do usuário.
• Impacto Geral e Soluções Futuras: Um handshake completo do TLS 1.3, utilizando completamente algoritmos PQC para substituir os algoritmos existentes, pode aumentar a quantidade de dados transmitidos em 10-20 vezes. Este é um grande desafio para cenários sensíveis à latência de rede e ambientes com restrição de largura de banda (como redes móveis).

Olhando para o futuro, planejamos trabalhar em estreita colaboração com a Fundação W3IF e seus parceiros técnicos para explorar soluções sistemáticas em conjunto:  

• • Descarregamento de Hardware: Pesquisar o uso de hardware dedicado (como placas de rede inteligentes e placas de aceleração criptográfica) para executar tarefas computacionais intensivas de PQC, liberando a CPU para lidar com atividades essenciais de negócios.
  • Tecnologia de Compressão de Certificados: Explorar algoritmos de compressão eficientes para lidar com o grande tamanho dos certificados PQC, reduzindo significativamente a quantidade de dados transmitidos sem comprometer a segurança.
  • Otimização de Conjunto de Instruções da CPU: Promover e adotar conjuntos de instruções de CPU otimizados para algoritmos PQC predominantes, melhorando a eficiência computacional desde a base.

Nosso objetivo é alcançar, por meio dessas inovações tecnológicas, a coexistência entre segurança e eficiência.

 

2. Protocolos e Interoperabilidade: A complexidade da colaboração ecológica

TLS é um ecossistema de protocolos complexo, e a introdução de PQC requer colaboração de todas as partes, envolvendo extensões de protocolo e sistemas de certificados.

• Compatibilidade com o ecossistema existente e um caminho de implementação gradual:Inovações tecnológicas abrangentes e radicais são irrealistas no nível da infraestrutura da internet. Portanto, um caminho de implementação gradual é a única abordagem viável.
  • Desafios de compatibilidade resolvidos:Neste POC, resolvemos com sucesso os problemas de compatibilidade com o ecossistema existente por meio de um design inteligente de gateway e estratégias de negociação de protocolo. Nosso gateway pode identificar de forma inteligente as capacidades de suporte a PQC do cliente (navegador). Para navegadores que ainda não suportam PQC, o gateway pode alternar automaticamente para algoritmos de criptografia tradicionais, garantindo que todos os usuários possam acessar o site sem problemas, assegurando assim a disponibilidade universal do serviço. Este é um avanço significativo que alcançamos nesta prática.
  • O estado atual e as limitações do suporte dos navegadores:Por que você atualmente só vê PQC no nível de troca de chaves.
    Atualmente, os navegadores mainstream (Chrome, Safari, Firefox) estão nas fases iniciais de suporte a PQC. A estratégia de suporte deles é gradual e faseada:

1. 1. Prioridade ao suporte na troca de chaves:As versões atuais dos navegadores integram, principalmente, suporte a algoritmos PQC (como Kyber) na etapa de troca de chaves. Isso ocorre porque a troca de chaves afeta diretamente a segurança das chaves de sessão para comunicações subsequentes, sendo essencial para proteger contra ataques do tipo "armazenar agora, descriptografar depois". Assim, ao acessar nosso domínio de teste, seu navegador já pode negociar uma chave de sessão resistente a ataques quânticos com nosso gateway utilizando algoritmos PQC.
   2. Atraso no suporte a assinaturas digitais: Em contraste, o suporte para assinaturas digitais (principalmente usadas para autenticação de identidade de servidor, ou seja, verificação da cadeia de certificados) ainda está sendo aprimorado nos navegadores. É por isso que, na experiência atual, a aplicação de PQC é principalmente refletida no nível de troca de chaves. Toda a indústria ainda precisa aguardar que os navegadores e as autoridades certificadoras (CAs) acompanhem totalmente o nível de assinatura.

 

3. Gerenciamento de segurança de materiais sensíveis de chave

As atualizações criptográficas não se tratam apenas de mudar algoritmos; elas também impõem novos requisitos para o gerenciamento de todo o ciclo de vida de segurança. Como gerar, armazenar, rotacionar e destruir de forma segura as chaves privadas correspondentes ao algoritmo PQC, garantindo que essas novas, e potencialmente mais complexas, informações sensíveis não sejam vazadas, é um desafio mais complexo e crítico do que a substituição do algoritmo em si. Estamos adaptando e validando o sistema de gerenciamento de chaves já consolidado com os novos recursos do PQC.

Apesar de muitos desafios, a validação POC deste gateway abriu a porta para cenários mais amplos de aplicação de PQC para nós. A segurança da plataforma de negociação é apenas o ponto de partida; a segurança do próprio blockchain, especialmente a segurança de carteiras e contratos inteligentes, também enfrenta desafios decorrentes da computação quântica. No futuro, estenderemos nossa visão exploratória para o campo on-chain, comprometidos em proteger a segurança abrangente dos ativos digitais dos usuários:

• Carteiras resistentes a quântica: Explorando o uso de algoritmos PQC para gerar e armazenar chaves privadas, ou construindo esquemas de assinatura resistentes a quântica para proteger fundamentalmente os ativos das carteiras contra ameaças futuras da computação quântica.

• Aplicações DApp seguras: Apoiar e promover que desenvolvedores de DApp utilizem algoritmos PQC para autenticação de identidade de usuários e assinatura de transações, construindo uma base de segurança pós-quântica para todo o ecossistema de aplicativos descentralizados.

• Transações on-chain e contratos inteligentes: Pesquisar formatos de assinatura de transações de nova geração e mecanismos de verificação de contratos inteligentes compatíveis com PQC, garantindo que as operações on-chain permaneçam seguras e confiáveis na era quântica.

Nossa visão é construir um sistema de proteção de segurança tridimensional resistente a computação quântica, abrangendo desde plataformas de negociação até redes blockchain, de serviços centralizados a aplicativos descentralizados, protegendo verdadeiramente a segurança on-chain de todos.

Essa colaboração POC com a Fundação W3IF, flomesh.io e seu projeto open-source pqc-gateway, juntamente com nossa análise aprofundada de desafios e planejamento futuro, é apenas o ponto de partida para a KuCoin no longo caminho de migração pós-quântica. Não ousamos afirmar que resolvemos todos os problemas, mas acreditamos firmemente que a exploração precoce, a prática ativa e a cooperação aberta são as melhores formas de lidar com incertezas futuras.

A KuCoin sempre considera a segurança dos ativos e dados dos usuários como sua principal responsabilidade. Por meio de uma exploração abrangente, desde plataformas de negociação até o ecossistema blockchain, buscamos não apenas aprimorar nossas próprias barreiras tecnológicas de segurança, mas também acumular as melhores práticas para a indústria na implementação de PQC. Estamos ansiosos para trabalhar com mais parceiros e usuários para construir conjuntamente um ecossistema de ativos digitais mais seguro, que esteja preparado para enfrentar com confiança a próxima era da computação.

Porque a verdadeira segurança vem de um respeito pelo futuro e de ações que começam no presente.

Referências:

[1] Padronização de PQC pelo NIST: https://csrc.nist.gov/projects/post-quantum-cryptography/selected-algorithms-2022
[2] Aviso de Cibersegurança da NSA - Migração PQC: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3498776/post-quantum-cryptography-cisa-nist-and-nsa-recommend-how-to-prepare-now/
[3] SEC - Recomendações de Rascunho PQFIF: https://www.sec.gov/files/cft-written-input-daniel-bruno-corvelo-costa-090325.pdf

 

Aviso legal: Esta página foi traduzida usando tecnologia de IA (alimentada por GPT) para sua conveniência. Para informações mais precisas, consulte a versão original em inglês.