Se pesquisar por armazenamento na cloud pós-quântico, há um nome que surge mais do que qualquer outro: Internxt. Os artigos-lista acertam quando dizem que o lançaram. O que nunca mencionam é qual pós-quântico — e acontece que é aí que reside toda a história.
O próprio blog da Internxt é preciso quanto a isso: "Internxt Drive has implemented Kyber-512 post-quantum encryption selected by the NIST," e o Kyber-512 "aims at security roughly equivalent to AES-128." Ambas as frases são verdadeiras. O Kyber-512, agora normalizado como ML-KEM-512, é de facto uma seleção do NIST, e o AES-128 não é uma cifra fraca. Até aqui, nada a contestar.
A questão é que "pós-quântico" não é uma propriedade de sim-ou-não. O NIST não normalizou um único algoritmo. Normalizou uma escada.
A escada a que ninguém remete
Quando o NIST conduziu o seu concurso pós-quântico, ordenou os vencedores em categorias de segurança:
NIST Level 1 ≈ AES-128 ML-KEM-512 (Kyber-512)
NIST Level 3 ≈ AES-192 ML-KEM-768 (Kyber-768)
NIST Level 5 ≈ AES-256 ML-KEM-1024 (Kyber-1024)O Kyber-512 está no primeiro degrau. É a variante mais pequena e mais rápida, e a própria Internxt reconhece-o: escolheram-no pelas suas "comparatively small encryption keys" e "speed of operation." Para muitas cargas de trabalho é uma troca justa. Chaves pequenas e velocidade são vantagens reais.
É uma troca pior para a única função que a encriptação pós-quântica existe para desempenhar.
A margem é o que importa quando a ameaça é paciente
A razão para adotar criptografia pós-quântica hoje é colher agora, desencriptar depois: um adversário copia o seu texto cifrado agora e espera pela chegada de um computador quântico. É uma aposta medida em décadas. Os dados que sela em 2026 podem ter de aguentar até 2046.
A criptografia de reticulados é jovem. Acredita-se que o ML-KEM é seguro, mas "seguro contra os ataques que conhecemos" é uma afirmação com prazo de validade, e a criptanálise continua a avançar. Num horizonte de vinte anos, a diferença entre "aproximadamente AES-128" e "aproximadamente AES-192" deixa de ser académica. É a folga que lhe resta se os ataques melhorarem — e, perante quem colhe dados, ataques melhores são exatamente o cenário contra o qual se está a precaver.
O StenVault sela ficheiros com ML-KEM-768. Nível 3. Subir um degrau não é dramático. É apenas o degrau que quer ter por baixo de dados que não pode voltar a encriptar depois de já terem sido copiados.
A diferença que importa mais do que o nível
Eis a parte que os números dos níveis não mostram.
A descrição publicada pela Internxt é Kyber-512, por si só. O StenVault não executa o ML-KEM sozinho. Executa-o em modo híbrido, emparelhado com o X25519 clássico:
Internxt (as documented) Kyber-512
StenVault X25519 + ML-KEM-768A diferença está no que acontece se o novo algoritmo for quebrado. O ML-KEM tem apenas alguns anos. Se lhe surgir uma fraqueza real — do género das que historicamente têm surgido em esquemas jovens — uma troca de chaves puramente Kyber não tem nada por trás. Um híbrido continua a apoiar-se no X25519, que já teve três décadas de escrutínio. Perde a resistência quântica. Não perde o ficheiro.
Isto não é uma posição marginal. É a razão pela qual o Signal, o Chrome e o iMessage da Apple implementaram todos a troca de chaves pós-quântica como híbridos clássico-mais-PQC, nunca apenas como a parte PQC. Quando não se pode dar ao luxo de errar sobre uma primitiva nova, não se aposta nela toda a troca de chaves.
O que verificar de facto
Da próxima vez que uma comparação classificar algo como "pós-quântico", duas perguntas dizem-lhe quase tudo o que importa:
- Que nível? O Kyber-512 é Nível 1. O Kyber-768 é Nível 3. O número está no próprio nome.
- Híbrido, ou sozinho? Um algoritmo pós-quântico com um parceiro clássico falha de forma suave. Um sozinho falha de forma abrupta.
A Internxt lançou encriptação pós-quântica antes da maior parte da indústria, e vale a pena dizê-lo sem rodeios. Mas lançou o piso dessa encriptação, isolado. Para ficheiros com uma longa vida pela frente, o piso não é o lugar onde quer estar.