Todos os capítulos
Traduzido do original alemão. A história passa-se na região do Ruhr, na Alemanha.
Parte 3 · Capítulo 21 · 21 de 27
Shor e a assinatura quântica
A manchete estava na página três, por baixo de uma fotografia de um lustre dourado igualzinho ao do instituto.
«COMPUTADORES QUÂNTICOS: O FIM DE TODOS OS SEGREDOS?», leu o Uwe em voz alta. «Especialistas alertam: futuros computadores quânticos poderão quebrar a cifragem de bancos, serviços públicos e aplicações de mensagens.»
«Tem um ponto de interrogação», disse a Sabine, sem levantar os olhos do seu próprio jornal. «Quando o título tem um ponto de interrogação, a resposta costuma ser não.»
«E se não for?»
«Então na próxima semana aparece sem ponto de interrogação.»
O tio Herbert também estava à mesa do pequeno-almoço. Há algum tempo que vinha aos sábados, supostamente por causa dos pãezinhos da Gisela, mas na verdade porque, desde o caso do portátil velho na cave, ia todas as manhãs ver a cotação da bitcoin e precisava de alguém a quem dizer o número.
«Bancos», disse ele. «Aplicações de mensagens. E o meu dinheiro da internet?»
«Isso não diz aqui», disse o Uwe.
«Então diz na próxima semana», disse o Herbert, sombrio. «KevIn. Agora a sério. Um frigorífico destes pode roubar-me o dinheiro?»
A luz azul pulsou. «Hoje não, Herbert.»
«E amanhã?»
«Amanhã também não.»
«E depois de amanhã?»
«Aí começa a ficar interessante.»
O Herbert pousou o pãozinho. Isso só costumava fazer em caso de morte e de desempate por penáltis.
Um homem chamado Shor
«Comecemos pelo princípio», disse o KevIn. «Lembram-se dos números primos? O professor Demir e a mensagem para os extraterrestres?»
«1679», disse logo o Tobi. «23 vezes 73.»
«Exatamente. Multiplicar é fácil. 23 vezes 73 faz-se nas costas de uma base de copo. Mas se eu te der só 1679 e perguntar que dois números primos estão lá metidos, tens de ir experimentando. Com 1679 ainda dá. Com um número de seiscentos algarismos, um computador normal fica a experimentar mais tempo do que a idade do universo.»
«E é nisso que o RSA se baseia», disse o Tobi. «Já demos isso.»
«É nisso que o RSA se baseia. A chave pública contém o produto, a chave privada depende dos dois fatores¹. Enquanto ninguém conseguir decompor o número grande, é seguro.»
«E agora vem o frigorífico», disse o Uwe.
«Agora vem o Peter Shor. Um matemático americano. Em 1994 mostrou que um computador quântico suficientemente grande conseguiria decompor números grandes muito mais depressa do que qualquer caminho conhecido em computadores normais². Na altura, nem sequer havia computadores quânticos. O Shor escreveu, portanto, a receita antes de alguém ter fogão.»
«Como a mãe», disse o Uwe. «Também escreve receitas de coisas que não temos em casa.»
«Eu escrevo listas de compras», disse a Sabine. «É a diferença entre planear e ter esperança.»
«Como é que ele faz isso?», perguntou o Tobi. «O Shor. Experimenta todos os números ao mesmo tempo?»
«Não», disseram o KevIn e o Tobi ao mesmo tempo, porque o Tobi se arrependeu da própria pergunta no mesmo segundo.
«Muito bem», disse o KevIn. «O capítulo 17 surtiu efeito. Um computador quântico não experimenta simplesmente tudo. O Shor encontrou um desvio. Transforma a pergunta “Que fatores?” na pergunta “Que ritmo?”.»
«Ritmo?», perguntou a Gisela.
«Imagina que pegas num número e o multiplicas sempre outra vez por si próprio, mas de cada vez só olhas para o resto que fica quando se divide pelo número grande. A certa altura, os restos repetem-se. Como um padrão no tricô. Duas malhas de meia, duas de liga, uma trança, e depois outra vez do princípio.»
«Isso é a repetição do motivo», disse a Gisela. «No tricô diz-se assim.»
«Obrigado. O truque do Shor é este: quem souber o comprimento dessa repetição consegue calcular os fatores com um bocadinho de matemática da escola. E encontrar ritmos é coisa em que os computadores quânticos são bons. Graças à interferência. As possibilidades que não encaixam no ritmo anulam-se umas às outras. As certas reforçam-se. Como as ondas na piscina, só que com matemática.»
«Como quando se canta de braço dado e a abanar», disse a Gisela. «Se um balança para o lado errado, nota-se logo. E a certa altura ele já balança bem, porque os outros o levam com eles.»
O KevIn refletiu meio segundo. «Isso não está totalmente correto. Mas é mais bonito do que correto.»
O que fica a abanar
«Então o RSA está estragado», disse o Herbert. «E o meu dinheiro?»
«É ainda pior», disse o KevIn. «E ao mesmo tempo menos mau. Vou explicar as duas coisas.»
«Primeiro o mau», disse o Herbert. «No bom não acredito de qualquer maneira.»
«O método do Shor não funciona só contra o RSA. Numa forma adaptada, funciona também contra as chamadas curvas elípticas³. É a outra grande família de métodos de chave pública, que hoje está metida em quase tudo. Também no Ed25519⁴, o método de assinatura que vos expliquei por causa da avaliação da fisioterapia da Gisela. E também nas assinaturas com que se assinam as transferências de bitcoin.»
O Herbert ficou pálido. «Então sempre é verdade.»
«Agora o menos mau. Para quebrar o RSA ou estas curvas no tamanho que hoje se usa, seria preciso um computador quântico com muitíssimos qubits com correção de erros, ou seja, lógicos⁵. Vocês viram no instituto como já é difícil um único qubit lógico fiável. Uma máquina dessas hoje não existe. Ninguém sabe quando vai existir. As estimativas dos especialistas divergem muito⁶. Uns dizem dez, quinze anos, outros mais tarde, outros são cautelosos com qualquer número.»
«E tu, o que dizes?», perguntou o Uwe.
«Digo: não sei. E tenho muito orgulho em conseguir dizê-lo sem citar um livro do Dr. Sauerbier-Klenk.»
«E o meu dinheiro?», perguntou o Herbert pela terceira vez.
«A bitcoin teria de passar um dia as suas assinaturas para métodos resistentes à computação quântica. Isso já está a ser discutido na comunidade da bitcoin⁷. É complicado, porque na bitcoin têm todos de chegar a acordo e ninguém é o chefe.»
«Como no clube de bowling», disse a Gisela.
«No nosso, a chefe é a Brigitte», disse o Herbert.
«A Brigitte julga que é a chefe», disse a Gisela. «É outra coisa.»
Colher e esperar
A Sabine já tinha dobrado o jornal. «Se essa máquina ainda não existe, porque é que isto aparece agora no jornal?»
«Porque há segredos que têm de durar muito tempo», disse o KevIn. «Há uma expressão para isso: “Harvest now, decrypt later.” Colher agora, decifrar mais tarde⁸.»
«Parece coisa de horta», disse o Uwe.
«Um bocadinho. Imagine o senhor que alguém interceta hoje mensagens cifradas. Não as consegue ler. Mas guarda-as. Os discos rígidos são baratos. E daqui a quinze anos, quando tiver um computador quântico grande, vai buscá-las à cave e decifra-as.»
«Como a tia Erna com os frascos de conserva», disse a Gisela. «Punha em conserva coisas que ninguém queria comer. E dez anos depois abria-os na mesma.»
«E então?»
«Também ninguém comeu. Mas abrir, abriu-os.»
«Para a maioria das mensagens, tanto faz», disse o KevIn. «Quem é que daqui a quinze anos quer saber que o Uwe hoje encomendou pãezinhos? Mas segredos de Estado, processos clínicos, segredos comerciais, esses às vezes têm de ficar secretos durante décadas. Por isso está-se a mudar agora. Não só quando a máquina estiver pronta.»
«E as assinaturas?», perguntou o Tobi. «Também se podem colher?»
«Boa pergunta.» O KevIn parecia satisfeito. «Com as assinaturas, o perigo é outro. Uma assinatura não é secreta. O problema seria este: se alguém com um computador quântico grande conseguir calcular a chave privada a partir da chave pública, pode falsificar assinaturas novas. Poderia, portanto, afirmar que um documento sempre esteve assinado assim, embora só o tenha feito ontem.»
«Isso era como a Marlies», disse a Gisela. «Na altura, a lista do bowling…»
«Mãe», disse o Uwe.
«Eu não digo nada. Só digo que seria assim.»
Reticulados e ruído
«E agora o que se faz?», perguntou a Sabine. «Não se pode voltar a escrever tudo em papel.»
«Tu podes», disse o Uwe.
«Usa-se outra matemática», disse o KevIn. «Matemática para a qual nem o Shor encontrou um truque. Chama-se criptografia pós-quântica. A agência de normalização americana NIST organizou para isso um concurso público, durante muitos anos, com especialistas do mundo inteiro. Todos podiam tentar quebrar as propostas. Algumas foram mesmo quebradas, até com computadores perfeitamente normais⁹. Em agosto de 2024, o NIST publicou as três primeiras normas¹⁰.»
«Como é que se chamam?», perguntou o Tobi.
«ML-KEM¹¹ para a troca de chaves. ML-DSA¹² e SLH-DSA¹³ para assinaturas.»
«Parecem matrículas alemãs», disse o Uwe. «ML-KEM. Mülheim, Kempen.»
«E depois há ainda o FN-DSA», disse o KevIn. «Um método de assinatura que também foi escolhido. Foi desenvolvido com o nome Falcon, e no NIST está a ser normalizado como FN-DSA¹⁴. As assinaturas dele são relativamente pequenas. Isso dá jeito quando se quer guardar muitíssimas.»
«E em que é que se baseiam?», perguntou o Tobi. «Se não for em números primos?»
«A maioria em reticulados.»
«Reticulados?», perguntou a Gisela. «Como a rede da vedação do jardim?»
«Quase. Imagina um reticulado gigantesco de pontos. Não plano como uma vedação, mas em centenas de direções, torto e deformado. Eu dou-te um ponto algures no espaço que não está exatamente no reticulado, mas um bocadinho ao lado, porque lhe misturei ruído de propósito¹⁵. E tu tens de encontrar o verdadeiro ponto do reticulado mais próximo.»
«Em duas direções consigo», disse o Tobi. «É papel quadriculado.»
«Em duas direções, sim. Em centenas de direções, pelo que hoje se sabe, nem um computador normal nem um computador quântico encontram o ponto certo num tempo razoável. Mas quem tem a chave privada tem, por assim dizer, um bom mapa do reticulado e encontra-o logo.»
A Gisela levantou-se, foi ao cesto da malha e voltou com uma camisola meio feita. «Como isto aqui?»
Todos olharam para a camisola. Era verde, tinha um padrão de tranças e, em vários sítios, pequenas irregularidades.
«Enganei-me umas quantas vezes», disse a Gisela. «À noite, a ver televisão. Se agora alguém só vir a camisola, sabe como o padrão devia ser?»
«Numa camisola, talvez», disse o KevIn. «Porque o padrão só vai em duas direções e os erros são raros. Mas imagina uma camisola tricotada em quinhentas direções, e com um pequeno erro em cada malha. E só tu tens as instruções do tricô.»
«Quinhentas direções», disse a Gisela. «Para isso precisava de mais agulhas.»
«A ideia é essa. O erro está lá de propósito. É ele a proteção.»
«Então a lista do bowling da Marlies também estava errada de propósito», disse a Gisela, satisfeita. «Para proteção.»
«Mãe!»
A pergunta da cozinha
À tarde, a Ayşe Kurt telefonou por causa de uma marcação. A Gisela já tinha feito a décima segunda sessão, o ombro já fazia quase tudo outra vez, e nesse dia, ao estender a roupa, pela primeira vez não se lembrou de nenhuma dor. Disse isso à Ayşe ao telefone. Ouvia-se que a Ayşe ficou contente.
Depois de desligar, a Gisela ficou um bocado calada na cozinha. Depois disse: «KevIn. A minha avaliação. Para a senhora Kurt.»
«A que deixaste no inverno. Na receção, com o código QR.»
«Essa. Agora também fica estragada? Quando vierem essas coisas quânticas?»
«O que queres dizer com estragada?»
«Que venha alguém dizer que não foi feita por mim. Ou que alguém me tire os corações e faça deles três. Eu dei cinco. Ela merece cinco. E os da PhysioPremium bem gostavam que ela tivesse menos.»
Antes de o KevIn conseguir responder, entrou o Uwe, com um café e a grande certeza de um homem que leu um jornal de manhã.
«Mãe, não precisas de te preocupar com isso», disse ele. «A McGesund faz aquelas assinaturas quânticas.»
Fez-se uma pausa. Algures entre Dublin e Frankfurt, uma ventoinha começou a girar um pouco mais depressa.
«Uwe», disse o KevIn com simpatia. «Quase.»
«Como assim, quase?»
«Não se chama assinatura quântica. Na McGesund não se usa nenhum computador quântico. Não há nenhum lustre dourado na cave.»
«Mas eu li isso assim.»
«Onde?»
O Uwe pensou. «Na minha cabeça, acho eu.»
«Os especialistas dizem criptografia pós-quântica», disse o KevIn. «E eu prefiro dizer resistente à computação quântica do que à prova de quântica. Seguro, ninguém pode prometer, nem eu. Resistente quer dizer: contra tudo o que hoje conhecemos, aguenta. É matemática perfeitamente normal em computadores perfeitamente normais. Mas está construída de maneira a que, pelo que hoje se sabe, nem um futuro computador quântico a consiga falsificar. “Pós” quer dizer depois. Para o tempo de depois.»
«Resistente à computação quântica», repetiu o Uwe devagar. «Isso é mais difícil do que assinatura quântica.»
«Infelizmente, é muitas vezes assim com as palavras que estão certas.»
Três fechaduras numa porta
«Então o que acontece agora à minha avaliação?», perguntou a Gisela. «Explica de maneira que eu o consiga contar à Brigitte.»
«Está bem», disse o KevIn. «A tua avaliação tem três camadas de proteção. Imagina uma porta com três fechaduras.»
«Como o Herbert», disse o Uwe. «Também tem três fechaduras. E ninguém lhe rouba nada. Porque ele não tem nada.»
«Estou a ouvir», disse o Herbert, da sala.
«A primeira fechadura é a assinatura clássica. Ed25519. Essa já conheces. Com ela fica assinado que a avaliação nasceu por este caminho, através do código QR no consultório, e que desde então não foi alterada uma única letra. Se alguém fizer das tuas cinco estrelas três, a assinatura deixa de bater certo. Qualquer pessoa que verifique dá por isso.»
«E essa o computador quântico consegue estragar.»
«Talvez, um dia. Por isso há a segunda fechadura, e essa é uma fechadura dupla. Além da assinatura clássica, cada avaliação recebe duas assinaturas resistentes à computação quântica. Uma com o FN-DSA, o método de reticulados com as assinaturas pequenas. E outra com o ML-DSA, que o NIST publicou em agosto de 2024 como a norma FIPS 204. Se um dia alguém quebrar o Ed25519, continuam lá duas assinaturas que, por tudo o que hoje se sabe, também resistem a um computador quântico.»
«Duas?», perguntou a Gisela. «Não chega uma?»
«Os dois métodos ainda são novos», disse o KevIn. «Ambos se baseiam em reticulados, é verdade, mas estão construídos de maneira muito diferente e foram desenvolvidos por equipas de investigadores diferentes. Se um dia se descobrir uma fraqueza num deles, na matemática ou só no programa que o põe em prática, o outro continua a aguentar. Como uma fechadura dupla com dois cilindros de fabricantes diferentes. Um ladrão teria de arrombar os dois. E ainda a fechadura clássica.»
«Cinto e suspensórios», disse o Uwe.
«Exatamente. Não se confia só num. Se ainda se descobrir uma fraqueza num dos métodos, o outro aguenta.»
«E a terceira fechadura?», perguntou a Gisela.
«A terceira é o carimbo temporal. Lembras-te do dinheiro da internet do Herbert? E do notário?»
«A impressão digital no livro-caixa», disse a Gisela. «Com a árvore genealógica.»
«A árvore de Merkle, exatamente. A impressão digital da tua avaliação assinada e as chaves de assinatura são ancoradas na blockchain da bitcoin através do OpenTimestamps¹⁶. Assim fica registado que a tua avaliação, com estas assinaturas, existia o mais tardar naquele dia de inverno.»
«E porque é que isso ajuda contra os quânticos?»
«Porque o carimbo temporal se baseia em funções de hash. Na máquina de picar carne. E contra a máquina de picar carne o Shor não tem nada na mão. Pelo que hoje se sabe, os computadores quânticos só podem ajudar de forma limitada a procurar em funções de hash, nem de perto tão dramaticamente como no RSA. E agora vem o truque. Imagina que daqui a vinte anos alguém constrói um computador quântico grande e falsifica com ele uma assinatura clássica Ed25519. Mas não consegue provar que a falsificação dele já estava na blockchain neste inverno. A tua avaliação consegue. Comprovadamente, ela existia antes de haver máquinas capazes de falsificar assinaturas destas.»
A Gisela pensou. «Então a minha avaliação é mais velha do que o perigo.»
«É um resumo muito bom.»
«Eu também sou», disse a Gisela. «Mais velha do que a maior parte dos perigos.»
O que não consegue fazer
O Tobi tinha entrado na cozinha e estava a ouvir. «E para quê tanto trabalho? Por uma avaliação de fisioterapia? Isso não é nenhum segredo de Estado.»
«Porque se trata de outra coisa», disse o KevIn. «Lembras-te da PhysioPremium? Oitocentas avaliações, e todas soavam como eu num dia mau.»
«Claro.»
«A internet está a encher-se de textos que ninguém viveu. Avaliações, relatos de experiências, comentários, fotografias. Eu consigo escrever coisas destas em segundos. Milhares delas. E os próximos modelos de linguagem aprendem com estes textos. É a deriva da verdade. Cópia da cópia da cópia. Num mundo assim, ganha valor um rasto que prova: aqui esteve uma pessoa real num sítio real, neste dia, e foi isto que ela escreveu. Nada mais. Mas também nada menos.»
«Nada mais?», perguntou a Sabine, que estava à porta.
«Nada mais», disse o KevIn. «Isso é importante para mim. A melhor assinatura do mundo não torna uma opinião verdadeira. Se a Gisela escrever que a senhora Kurt tem as melhores mãos da região do Ruhr, fica provado que foi a Gisela que o escreveu, no local, naquele dia, sem alterações. Se é verdade, nenhuma matemática o prova. A Gisela pode estar enganada. A Gisela também pode simplesmente gostar da senhora Kurt.»
«Gosto dela», disse a Gisela. «E ela tem as melhores mãos da região do Ruhr.»
«Estás a ver, isso eu não consigo verificar.»
«Mas já não se podem tirar mil avaliações de ursinhos de goma do nada», disse a Sabine devagar. «Sem que alguém lá tenha estado mil vezes.»
«Pelo menos fica muito mais difícil. E se mais tarde alguém reescrever ou apagar avaliações às escondidas, ou meter lá outras mais antigas, dá-se por isso. Mesmo que fosse a própria McGesund a tentar.»
«E eles fariam isso?», perguntou o Uwe.
«Essa é que é a graça de um notário», disse o KevIn. «Não é preciso confiar nele. Pode-se ir verificar.»
«E se alguém escrever lá uma maldade?», perguntou a Gisela. «Com nomes? Como a Marlies, naquela vez, sobre o empregado da sede do clube?»
«Então, para começar, a avaliação nem aparece», disse o KevIn. «Se alguém escrever lá “senhora Müller” ou “Dr. Meier”, o formulário avisa logo antes do envio. Se mesmo assim for enviada, a McGesund retém-na, e uma pessoa lê-a antes de alguém a ver. Depois o nome é rasurado.»
O Tobi franziu a testa. «Mas ainda agora disseste que qualquer alteração quebra a assinatura.»
«E quebra. Por isso não se altera nada às escondidas. A McGesund acrescenta um segundo selo, bem visível: “Editado pela McGesund.” A assinatura antiga fica como estava, com o seu carimbo temporal. Vê-se, portanto, que alguém interveio e quando. Só já não se vê de quem é que se estava a dizer mal. Que é precisamente o que deve desaparecer.»
«E se alguém disser mal do governo?», perguntou o Uwe. «Numa avaliação de fisioterapia?»
«Então não é publicada. A política não tem lugar numa avaliação. Aí trata-se do consultório, não de Berlim. Com os insultos é igual. E o que mesmo assim escapar, qualquer pessoa pode denunciar, com nome e e-mail. Depois a McGesund verifica e retira-o.»
A Gisela acenou com a cabeça. «Como no clube de bowling. Não se fala de política, e quem armar confusão vai para a rua.»
«Tal e qual», disse o KevIn.
Kasimiro
À noite, o Uwe estava à vedação do jardim a contar tudo ao senhor Kasimiro. Contou tudo com muito pormenor, com reticulados e camisolas e cinto e suspensórios. O senhor Kasimiro passou o tempo todo a acenar com a cabeça, como acenam as pessoas que estão a pensar noutra coisa.
«E o mais importante», disse o Uwe no fim, solenemente, «não se chama assinatura quântica. Chama-se resistente à computação quântica.»
«Ah», disse o senhor Kasimiro.
Da janela da cozinha do Kasimiro ouviu-se uma voz metálica. «Percebi. Coloquei um computador quântico no carrinho de compras. Entrega prevista para terça-feira.»
«Siggi, não!», gritou o senhor Kasimiro, e correu para dentro de casa.
O Uwe voltou para a sala. «KevIn. O Siggi encomendou um computador quântico.»
«Duvido que receba um», disse o KevIn. «Provavelmente vai receber um frigorífico.»
«Com fitas de Natal?»
«Com máquina de fazer gelo. E uma brochura.»
O Uwe sentou-se no sofá e pensou na QuantumLeap Ruhr AG. «Sabes que mais, KevIn? Se o Siggi tiver sorte, ao menos é um frigorífico a sério.»
«Isso é mais», disse o KevIn, «do que o senhor recebeu por dois mil euros.»
O Uwe atirou uma almofada do sofá ao altifalante. Não acertou. O termóstato marcava 19 graus.
Fontes do Capítulo 21
- Rivest, R. L.; Shamir, A.; Adleman, L.: «A method for obtaining digital signatures and public-key cryptosystems». Communications of the ACM 21(2), p. 120–126, 1978. https://doi.org/10.1145/359340.359342↑
- Shor, P. W.: «Algorithms for quantum computation: discrete logarithms and factoring». Proceedings 35th Annual Symposium on Foundations of Computer Science, p. 124–134, 1994. https://doi.org/10.1109/SFCS.1994.365700; versão completa: SIAM Journal on Computing 26(5), p. 1484–1509, 1997. https://doi.org/10.1137/S0097539795293172↑
- Proos, J.; Zalka, C.: «Shor’s discrete logarithm quantum algorithm for elliptic curves». Quantum Information and Computation 3, p. 317–344, 2003. https://arxiv.org/abs/quant-ph/0301141; Roetteler, M.; Naehrig, M.; Svore, K. M.; Lauter, K.: «Quantum Resource Estimates for Computing Elliptic Curve Discrete Logarithms». ASIACRYPT 2017, LNCS, p. 241–270. https://doi.org/10.1007/978-3-319-70697-9_9↑
- Bernstein, D. J.; Duif, N.; Lange, T.; Schwabe, P.; Yang, B.-Y.: «High-speed high-security signatures». Journal of Cryptographic Engineering 2, p. 77–89, 2012. https://doi.org/10.1007/s13389-012-0027-1; Josefsson, S.; Liusvaara, I.: RFC 8032, «Edwards-Curve Digital Signature Algorithm (EdDSA)», 2017. https://www.rfc-editor.org/rfc/rfc8032↑
- Gidney, C.; Ekerå, M.: «How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits». Quantum 5, 433, 2021. https://doi.org/10.22331/q-2021-04-15-433; Gidney, C.: «How to factor 2048 bit RSA integers with less than a million noisy qubits». arXiv:2505.15917, 2025. https://arxiv.org/abs/2505.15917↑
- Mosca, M.; Piani, M.: «Quantum Threat Timeline Report 2025». Global Risk Institute / evolutionQ, publicado a 9 de março de 2026 (estimativa de especialistas: 28–49 por cento de probabilidade de um computador quântico criptograficamente relevante dentro de 10 anos, 51–70 por cento dentro de 15 anos). https://globalriskinstitute.org/publication/quantum-threat-timeline-report-2025b/↑
- Beast, H.; Heilman, E.; Foxen Duke, I.: BIP 360, «Pay-to-Merkle-Root (P2MR)», rascunho (número atribuído em 2024). Bitcoin Improvement Proposals. https://github.com/bitcoin/bips/blob/master/bip-0360.mediawiki↑
- NIST: IR 8547 (Initial Public Draft), «Transition to Post-Quantum Cryptography Standards», 2024. https://csrc.nist.gov/pubs/ir/8547/ipd Descreve a ameaça «harvest now, decrypt later».↑
- Castryck, W.; Decru, T.: «An Efficient Key Recovery Attack on SIDH». EUROCRYPT 2023, LNCS, p. 423–447. https://doi.org/10.1007/978-3-031-30589-4_15; Beullens, W.: «Breaking Rainbow Takes a Weekend on a Laptop». CRYPTO 2022, LNCS, p. 464–479. https://doi.org/10.1007/978-3-031-15979-4_16↑
- NIST: IR 8413-upd1, «Status Report on the Third Round of the NIST Post-Quantum Cryptography Standardization Process», 2022. https://csrc.nist.gov/pubs/ir/8413/upd1/final Seleção do Kyber, do Dilithium, do Falcon e do SPHINCS+.↑
- NIST: FIPS 203, «Module-Lattice-Based Key-Encapsulation Mechanism Standard» (ML-KEM), 13 de agosto de 2024. https://csrc.nist.gov/pubs/fips/203/final↑
- NIST: FIPS 204, «Module-Lattice-Based Digital Signature Standard» (ML-DSA), 13 de agosto de 2024. https://csrc.nist.gov/pubs/fips/204/final↑
- NIST: FIPS 205, «Stateless Hash-Based Digital Signature Standard» (SLH-DSA), 13 de agosto de 2024. https://csrc.nist.gov/pubs/fips/205/final↑
- Fouque, P.-A. et al.: «Falcon: Fast-Fourier Lattice-based Compact Signatures over NTRU», especificação do método NIST-PQC. https://falcon-sign.info/; sobre o estado da FIPS 206 (FN-DSA): Perlner, R. (NIST): «FIPS 206 Status Update», 6.ª NIST PQC Standardization Conference, 2025. https://csrc.nist.gov/presentations/2025/fips-206-fn-dsa-falcon↑
- Regev, O.: «On lattices, learning with errors, random linear codes, and cryptography». Journal of the ACM 56(6), Art. 34, 2009 (versão de conferência STOC 2005). https://doi.org/10.1145/1568318.1568324 Aqui é introduzido o problema «Learning with Errors» (reticulado mais ruído).↑
- Todd, P.: «OpenTimestamps: Scalable, Trust-Minimized, Distributed Timestamping with Bitcoin», 15 de setembro de 2016. https://petertodd.org/2016/opentimestamps-announcement; página do projeto: https://opentimestamps.org/↑
- Chen, L. et al. (NIST): IR 8105, «Report on Post-Quantum Cryptography», 2016. https://csrc.nist.gov/pubs/ir/8105/final Tabela 1: para o AES são necessárias chaves maiores, para o SHA-2 saídas mais longas; os métodos de chave pública como o RSA e o ECDSA deixam de ser seguros.↑
- McGesund: «Ed25519 mathematisch erklärt». https://mcgesund.de/kryptografie/ed25519 A McGesund assina com ele cada avaliação no momento do envio; a assinatura pode ser verificada no próprio navegador.↑
- McGesund: «FALCON mathematisch erklärt». https://mcgesund.de/kryptografie/falcon-1024 É usado o FN-DSA-1024 (Falcon) como assinatura resistente à computação quântica no envio de uma avaliação.↑
- McGesund: «ML-DSA-87 mathematisch erklärt». https://mcgesund.de/kryptografie/ml-dsa-87 É usado o ML-DSA-87, a variante com o nível de segurança mais alto da FIPS 204.↑
- McGesund: «SLH-DSA mathematisch erklärt». https://mcgesund.de/kryptografie/slh-dsa-256f Explicação passo a passo do SLH-DSA (FIPS 205): cadeias de hash, árvores de Merkle e FORS.↑