Comunicações classificadas e serviços ao cidadão com proteção pós-quântica
Os governos movem-se em ciclos de décadas: um documento classificado hoje tem vida útil de 25-50 anos. O NSA já publicou o CNSA 2.0 (Commercial National Security Algorithm) obrigando transição completa para algoritmos PQC até 2035, com começo em 2027 em sistemas novos. A UE com eIDAS 2.0 e o eu-wallet obriga a assinaturas qualificadas que permaneçam verificáveis mesmo após Q-Day. Sem PQC hoje, as credenciais eID emitidas hoje não serão juridicamente sustentáveis em 15 anos.
Três cenários onde a PosQuantum atua
VPN inter-ministerial com separação de redes (MLS)
Ministério da Defesa a conectar 14 bases a um HQ central. Tráfego com classificações RESTRITO/CONFIDENCIAL/SECRETO. Requisito: crypto acreditada NIST + ETSI.
IPsec com IKEv2 + ECDSA — todos os materiais de handshake são harvestable. Tráfego classificado SECRETO cifrado hoje terá de ser considerado comprometido pós-Q-Day.
PQSL Secure Channel como overlay L3 sobre IPsec: handshake híbrido X25519 + ML-KEM-1024 + ChaCha20-Poly1305. Re-chaveamento determinístico bidirecional a cada 1 M mensagens ou 30 min (o que ocorrer primeiro). Compatível com Common Criteria EAL4+ pipeline.
eID cidadão com assinatura qualificada long-term
Autoridade de certificação nacional emite certificados de assinatura qualificada (QSCD) para 4 M cidadãos. Documentos assinados com validade legal 30+ anos (testamentos, escrituras).
Certificados atuais RSA-3072 — válidos hoje, inválidos legalmente pós-Q-Day. Assinaturas guardadas em notariado não terão prova forense.
Crypto-Agility na CA: emissão dual (RSA + ML-DSA-65). PUCE Archive notarial guarda manifesto assinado por ambos os algoritmos — preserva evidência matematica mesmo se RSA cair. Compatível com formato AdES BASELINE-LT (long-term validation).
Videoconferência para gabinetes governamentais
Sistema de videoconferência classificada para primeiros-ministros + gabinetes (tipo Jabber/Webex dedicado). Tráfego cifrado sujeito a interceção SIGINT estrangeira.
SFU com SRTP-GCM + DTLS. DTLS usa ECDHE — harvest-now-decrypt-later trivial para um estado-adversário.
PUCE Stream com tokens TTL-PQC para playback. Handshake PQC-híbrido entre participantes. Gravação para PUCE Archive com retenção legislativa (15 anos para atas de Conselho de Ministros).
Arquitetura de referência
1. Identidade PQ
CA emite certificados ML-DSA-65 em paralelo com RSA (dual-stack).
2. VPN overlay
PQSL Secure Channel sobre infraestrutura MPLS / IPsec existente.
3. Comunicação rica
PUCE Stream para videoconferência + PUCE Archive para gravação.
4. Compliance
Dashboard gera relatórios CNSA 2.0 / eIDAS 2.0 automáticos para auditoria interna.
5. Key escrow
HSM governamental + split-key (Shamir threshold 3/5) para recuperação de chaves PQ.
Produtos PosQuantum aplicáveis
Conformidade regulamentar coberta
Plano de transição CNSA 2.0 / eIDAS 2.0 para a sua agência?
Oferecemos workshop técnico de 1 dia para equipas de CISO governamentais — mapeamento de sistemas + quick-wins + roadmap 24 meses.