Pagamentos, custódia e trading com migração PQC sem downtime
A banca corre em infraestrutura criptográfica de há 20 anos: RSA-2048, ECDSA-P256, TLS 1.2 com curvas NIST. Q-Day (estimado 2030-2035 pela NSA/NIST) torna esses algoritmos inseguros retroativamente. Transações de hoje, logs de auditoria, wallets de custódia — tudo pode ser decifrado depois. PCI-DSS 4.0 (março 2025) e CNSA 2.0 já obrigam a começar a migração. Parar para fazer uma grande revisão não é opção: a migração tem de ser progressiva e observável.
Três cenários onde a PosQuantum atua
Migração PQC de gateway de pagamentos Tier-1
PSP europeu a processar 1.2 B transações/ano (Visa/MC/SEPA). Stack: Java + Spring + SWIFT connectors + HSM Thales. 142 microserviços com TLS mútuo.
Migração big-bang quebraria SLA. Compliance PCI-DSS 4.0 exige plano de transição criptográfica até 2027.
Crypto-Agility Hub: camada de negociação que escolhe entre RSA/ECDSA/ML-DSA-65 consoante peer. Migration Scanner corre no CI/CD e identifica onde ficam chamadas RSA hard-coded. PQSL Spring Middleware aplicado em 3 sprints — 8% dos serviços por sprint, com rollback automático se latência subir >15%.
Custódia de cripto-ativos (MiCA)
Custódia de 4 mil M€ em cripto-ativos para clientes institucionais. MiCA (entrada em vigor 30-Dez-2024) obriga cold-storage com assinatura qualificada.
Wallets HD (BIP32) assinam com ECDSA-secp256k1 — quebrável pós-Q-Day. Um atacante que recolha transações hoje pode extrair seeds e esvaziar wallets em 2035.
PQSL HybridSignature (Ed25519 + Dilithium3) para assinatura de transações out-of-band. Chaves-raiz HD envolvidas em ML-KEM-1024 em HSM. Logs de aprovação com Dilithium3 via PUCE Archive para 10 anos (retenção MiCA).
Plataforma de trading algoritmic (latência crítica)
Broker/market-maker com co-location em LD4 (Londres) e FR2 (Frankfurt). SLA latência < 200 µs (exchange → execução).
TLS 1.3 com X25519 quebrável quanticamente. Recolha de mensagens FIX permite engenharia reversa das estratégias quando decifradas.
PQSL Secure Channel com handshake híbrido (X25519 + ML-KEM-512) — 512 é escolhido para minimizar overhead de handshake (~12% vs X25519 puro). ChaCha20-Poly1305 para payload. Benchmarks reais PQSL ≤ 8 µs adicional em handshake, 0 µs em steady-state.
Arquitetura de referência
1. Edge PQC
Load-balancer + middleware PQSL terminam TLS clássico e re-fazem handshake PQC-híbrido para upstream.
2. Agility layer
Crypto-Agility Hub negocia algoritmo por peer (RSA | ECDSA | ML-DSA-65 | híbrido).
3. HSM integration
Chaves privadas permanecem em HSM; PQSL chama PKCS#11 para assinatura — nunca exporta.
4. Migration scanner
Bot de CI identifica uso de crypto legado em pull-requests — bloqueia merge se novo código introduz RSA/ECDSA sem justificação.
5. Compliance reports
Export PCI-DSS 4.0 + DORA automático a partir dos logs PQSL.
Produtos PosQuantum aplicáveis
Conformidade regulamentar coberta
Plano PQC para PCI-DSS 4.0 e DORA sem parar operações?
Análise gratuita do seu stack: Migration Scanner corre 7 dias em modo read-only e entrega roadmap priorizado. Sem surpresas.