Algoritmos simétricos: Prós, contras e riscos-chave em 2026

Os algoritmos simétricos cifram e decifram dados com uma única chave partilhada. É essa conceção de chave única que os torna suficientemente rápidos para proteger uma base de dados em tempo real e suficientemente duradouros para que as orientações pós-quânticas da NSA não exijam qualquer alteração de algoritmo para continuar a confiar neles. O que falha à escala empresarial não é a matemática subjacente: é fazer chegar essa chave a todos os que dela precisam e retirá-la de forma limpa a todos os que já não precisam.

Esse compromisso, velocidade e simplicidade em troca da distribuição de chaves, resume toda a criptografia simétrica. Tudo o resto (cifras de blocos versus cifras de fluxo, AES contra ChaCha20, o que muda quando a computação quântica se tornar real) são pormenores que assentam nessa base.

Pontos principais

• A cifragem simétrica utiliza uma única chave para cifrar e decifrar, razão pela qual é suficientemente rápida para grandes volumes de dados e tráfego em tempo real.
• Os seus dois pontos fortes reais são a velocidade bruta e a durabilidade face à computação quântica. O AES-256 não precisa de qualquer alteração algorítmica para se manter seguro perante um adversário quântico.
• As suas duas limitações reais são o problema da distribuição de chaves e a ausência de não repúdio, uma vez que ambas as partes detêm uma chave idêntica.
• Segundo as orientações CNSA 2.0 da NSA, o AES-256 mantém-se tal como está. A migração obrigatória de 2027-2035 visa o RSA e a ECC, e não as cifras simétricas.
• As empresas resolvem o problema da distribuição com cifragem híbrida e hierarquias de chaves estruturadas, e não abandonando os algoritmos simétricos.

O que é a cifragem simétrica?

A cifragem simétrica utiliza uma chave secreta para transformar dados em texto cifrado e para os repor em texto em claro. O remetente e cada destinatário autorizado detêm uma cópia idêntica dessa chave. Quem a tem consegue ler os dados. Quem não a tem não consegue, independentemente da quantidade de texto cifrado que intercete.

Os algoritmos simétricos dividem-se em duas famílias. Uma cifra de blocos, como o AES, cifra os dados em blocos de tamanho fixo (128 bits de cada vez, no caso do AES), aplicando preenchimento ou encadeando blocos para tudo o que for maior. Uma cifra de fluxo, como o ChaCha20 ou o já retirado RC4, cifra um fluxo contínuo de dados um bit ou um byte de cada vez, o que se adequa melhor a contextos de baixa latência ou com recursos limitados do que preencher dados em blocos.

É o comprimento da chave que define a margem de segurança real. O AES admite chaves de 128, 192 e 256 bits, e a de 256 bits tornou-se a predefinição prática para tudo o que é sensível, uma vez que a diferença de custo em desempenho é pequena e a margem de segurança é maior.

A cifragem assimétrica resolve o problema da partilha de chaves de outra forma: uma chave pública cifra, uma chave privada matematicamente associada decifra, e as duas nunca precisam de se encontrar no mesmo lugar. Os algoritmos simétricos dispensam totalmente essa matemática. O custo é que ambas as partes precisam do mesmo segredo antes de poderem comunicar, e é aí que reside o verdadeiro compromisso.

As vantagens dos algoritmos simétricos

Velocidade e eficiência

Para o mesmo volume de dados, os algoritmos simétricos são várias ordens de grandeza mais rápidos do que os assimétricos. O AES-256-GCM consegue cifrar uma base de dados completa, um volume de disco ou uma sessão TLS ativa sem a sobrecarga computacional que a matemática de chave pública implica a essa escala. É por isso que todos os principais protocolos utilizam cifras simétricas para a transferência de dados propriamente dita e reservam a criptografia assimétrica para o handshake. Essa diferença explica também porque o TLS 1.3 executa uma troca assimétrica exatamente uma vez por sessão e entrega depois tudo o resto ao AES ou ao ChaCha20.

Concebidos para grandes volumes de dados

Cifrar gigabytes de registos, ficheiros de log ou cópias de segurança com um algoritmo assimétrico torna-se impraticável muito antes de se tornar apenas lento. As cifras simétricas escalam de forma linear com o volume de dados e, em hardware moderno, funcionam a uma velocidade próxima da do barramento de memória. É esta propriedade que torna viáveis em produção ferramentas de cifragem integral de disco como o BitLocker e o LUKS, bem como a cifragem por registo dentro das aplicações, em vez de as relegar para uma tarefa em lote que alguém executa durante a noite.

Simples de implementar e auditar

Uma chave, um algoritmo, nenhum par de chaves para gerar, trocar ou validar. Menos componentes móveis significam menos pontos onde uma implementação pode correr mal, e isso explica em grande parte porque o AES resistiu a mais de duas décadas de criptanálise pública como norma do NIST sem uma quebra prática. As implementações do AES são também amplamente validadas no âmbito do Cryptographic Algorithm Validation Program do NIST, pelo que uma equipa que o adote não depende de uma biblioteca desenvolvida internamente ou não auditada.

Durabilidade face à computação quântica

Os algoritmos simétricos são a única parte da pilha criptográfica que não precisa de mudar para a era pós-quântica. O algoritmo de Grover dá a um computador quântico uma aceleração quadrática teórica na pesquisa de chaves por força bruta, mas uma aceleração quadrática contra um espaço de chaves de 2²⁵⁶ apenas reduz para metade a resistência quântica do AES-256, deixando uma margem efetiva de 128 bits, cuja quebra continua computacionalmente inviável com qualquer hardware previsto num roteiro realista. A secção sobre computação quântica, mais abaixo, explica o que a CNSA 2.0 diz realmente sobre este ponto e porque a pressão de migração recai inteiramente sobre os algoritmos assimétricos.

As desvantagens dos algoritmos simétricos

O problema da distribuição de chaves

Todos os esquemas simétricos esbarram no mesmo obstáculo: como fazer chegar a chave secreta à outra parte sem que alguém à escuta também a obtenha? Enviar a chave pelo mesmo canal que os dados anula o propósito, enviá-la em separado não escala para lá de um punhado de pessoas, e uma chave partilhada por chat ou e-mail fica em texto em claro na caixa de entrada de alguém indefinidamente. Este problema, por si só, é a razão pela qual a cifragem híbrida existe, e é abordado em pormenor mais adiante neste artigo.

A escalabilidade degrada-se rapidamente

Numa rede em que cada par de utilizadores precisa de uma chave partilhada única, o número de chaves cresce segundo n(n-1)/2. Dez utilizadores precisam de 45 chaves distintas. Cem utilizadores precisam de 4950. Uma organização de engenharia de média dimensão que começa com 20 pessoas a partilhar credenciais de bases de dados e cresce para 200 passa de 190 chaves por par para quase 20 000, sem que ninguém tenha decidido deliberadamente tornar a gestão de chaves mais difícil. Gerir, rodar e revogar manualmente tantas chaves por par exige uma gestão de chaves automatizada ou, de forma mais prática, uma arquitetura partilhada em que os utilizadores não precisem, cada um, de uma chave direta por par.

A solução alternativa habitual, uma única chave partilhada por equipa ou departamento em vez de uma por par, troca o problema de escalabilidade por um problema de raio de impacto ainda pior: uma única chave divulgada expõe todas as credenciais que o grupo partilha, e rodá-la implica mexer em tudo ao mesmo tempo, em vez de numa única relação.

Se a equipa já anda a gerir palavras-passe partilhadas de bases de dados e chaves de API para um número crescente de pessoas, é exatamente este o problema com que se depara. Experimentar o Passwork gratuitamente e ver o acesso ao nível do cofre substituir a folha de cálculo.

Ausência de não repúdio

Como o remetente e o destinatário detêm uma chave idêntica, nada no texto cifrado prova quem o criou de facto. Qualquer uma das partes poderia ter gerado a mesma mensagem com a mesma chave, pelo que a cifragem simétrica, por si só, não consegue fornecer o tipo de prova de origem que uma assinatura digital fornece. Isto importa mais do que parece: se uma credencial partilhada de base de dados for divulgada e duas pessoas tiverem tido acesso à chave que a cifrou, a cifragem simétrica, por si só, não oferece qualquer forma criptográfica de determinar qual delas a utilizou. Os sistemas que precisam de não repúdio acrescentam assinaturas assimétricas por cima ou recorrem ao registo de acessos para determinar quem fez o quê e quando.

AES vs. ChaCha20: Qual utilizar na prática?

Utilize o AES-256-GCM quando o hardware dispuser de aceleração AES-NI, o que abrange a maioria das CPU modernas de servidores e computadores de secretária. Utilize o ChaCha20-Poly1305 quando não dispuser, em chips móveis, dispositivos embebidos ou ambientes exclusivamente de software, onde o AES funciona sem suporte de hardware. Esta é a regra prática do AES-NI, e resolve a escolha na esmagadora maioria das implementações.

Ambos são modos de cifragem autenticada, o que significa que detetam adulterações além de ocultarem o conteúdo, numa única passagem, sem precisarem de um passo de autenticação acrescentado à parte. Ambos estão aprovados para utilização no TLS 1.3, e o WireGuard, o protocolo VPN integrado no kernel do Linux, utiliza o ChaCha20-Poly1305 como a sua única cifra precisamente por essa independência do hardware.

O AES-NI não é novo nem raro: a Intel acrescentou-o às CPU de servidores e de computadores de secretária a partir da geração Westmere, em 2010, e a AMD seguiu-a pouco depois. Para a maioria das equipas, a questão prática é saber se a pilha de software utiliza efetivamente essa aceleração, em vez de recorrer a uma implementação lenta e sem aceleração. A lista de algoritmos legados deve ser posta de parte por completo: o DES e o 3DES estão descontinuados ao abrigo da NIST SP 800-131A Rev. 2, e o RC4 e o Blowfish têm fraquezas práticas conhecidas que os excluem de qualquer utilização com tráfego real em 2026.

Computação quântica e algoritmos simétricos: O que muda realmente

O algoritmo de Grover reduz para metade a margem de segurança efetiva do AES-256, para cerca de 128 bits de resistência quântica, o que continua a tornar computacionalmente inviável um ataque de força bruta com qualquer hardware quântico previsível. O algoritmo em si não precisa de mudar. Compare-se com o que o algoritmo de Grover faz a uma chave de 128 bits: reduz a margem efetiva para 64 bits, bem dentro do alcance da força bruta, e é essa a verdadeira razão pela qual as chaves de 256 bits são hoje o mínimo prático para tudo o que tenha uma vida longa, e não uma mera preferência conservadora.

A CNSA 2.0 impõe uma substituição definitiva do RSA e da ECC. Não toca no AES-256. As FAQ da Commercial National Security Algorithm Suite 2.0 publicadas pela NSA afirmam que os requisitos simétricos são «essencialmente os mesmos» que os da CNSA 1.0, desde que os tamanhos de chave se mantenham nos 256 bits. A migração obrigatória segue um calendário fixo: as novas aquisições de National Security Systems (sistemas de segurança nacional) têm de estar em conformidade com a CNSA 2.0 até 1 de janeiro de 2027, o equipamento não conforme é retirado até 31 de dezembro de 2030, a CNSA 2.0 torna-se obrigatória até 31 de dezembro de 2031 e a resistência quântica total está prevista para 2035. Todos estes prazos dizem respeito à substituição da troca de chaves e das assinaturas RSA e ECC pelo ML-KEM e pelo ML-DSA, as normas pós-quânticas que o NIST finalizou como FIPS 203 e FIPS 204 em agosto de 2024.

Existe, no entanto, um risco quântico real que afeta os dados protegidos por cifragem simétrica: harvest-now-decrypt-later (recolher agora, decifrar depois). Um atacante que grava hoje tráfego cifrado, apostando que um futuro computador quântico quebrará a troca de chaves assimétrica que o protegeu, está a visar o handshake RSA ou ECC, e não a chave de sessão AES em si. Uma chave de sessão TLS de curta duração, descartada no momento em que a ligação termina, é um alvo pobre para este tipo de recolha. A exposição real diz respeito a dados cuja confidencialidade a longo prazo ainda depende de uma troca de chaves assimétrica realizada há anos: registos governamentais, assinaturas digitais de longa duração ou propriedade intelectual cifrada com uma chave envolvida por RSA que nunca foi rodada para um esquema pós-quântico.

Nada disto altera as orientações específicas para as cifras simétricas. As organizações que planeiam uma migração pós-quântica devem concentrar esse esforço na substituição da troca de chaves e das assinaturas RSA e ECC, e não na renovação das chaves de implementações AES-256 que já cumprem o requisito de 256 bits.

Superar as desvantagens: Como as empresas gerem, na prática, as chaves simétricas

A resposta padrão do setor ao problema da distribuição de chaves é a cifragem híbrida, que já funciona por baixo de quase todas as ligações seguras do dia a dia. O TLS 1.3 utiliza uma troca de chaves assimétrica (normalmente ECDHE) para acordar um segredo partilhado através de uma rede não fiável sem nunca transmitir esse segredo diretamente, e passa depois para uma cifra simétrica, AES-256-GCM ou ChaCha20-Poly1305, para o tráfego da sessão propriamente dito. A criptografia assimétrica resolve uma vez, no início da ligação, o problema de «como acordar um segredo sem que ninguém o ouça»; a criptografia simétrica faz o trabalho pesado em tudo o que se segue, porque nessa altura ambas as partes já partilham a chave de que precisam.

Esse padrão resolve a distribuição para uma sessão pontual. Não resolve a gestão de chaves para dados em repouso nem para segredos empresariais de longa duração que sobrevivem a qualquer ligação individual, como credenciais guardadas num cofre durante meses ou anos e partilhadas por toda uma equipa. Isso exige controlos deliberados e contínuos:

• Rodar as chaves segundo um calendário definido e imediatamente após qualquer suspeita de comprometimento, e não de forma ad hoc, ao sabor de quem se lembrar de o fazer
• Separar funções para que nenhum administrador possa, sozinho, aceder a uma chave, exportá-la e utilizá-la, o que limita os danos que uma única conta comprometida pode causar
• Registar cada acesso e cada exportação de chaves e encaminhar esses registos para uma equipa de segurança que os reveja efetivamente com regularidade, e não para um repositório de retenção que ninguém abre
• Armazenar as chaves num módulo de segurança de hardware (HSM) ou num cofre equivalente baseado em hardware, e não em ficheiros de configuração, variáveis de ambiente ou numa folha de cálculo partilhada, nenhum dos quais foi concebido para manter um segredo em segredo
• Automatizar a rotação e a revogação, em vez de depender de alguém que se lembre de o fazer durante a saída de colaboradores, uma vez que é precisamente esse o passo que se salta quando o tempo aperta

Cada uma destas medidas é uma correção de processo aplicada sobre o algoritmo e, em conjunto, tratam a gestão de chaves como uma disciplina própria, com um responsável definido, e não como algo que acontece por omissão quando alguém se lembra.

Como o Passwork aplica isto: Uma hierarquia de chaves que isola cada registo

A arquitetura zero-knowledge do próprio Passwork é uma resposta concreta aos problemas de distribuição e de escalabilidade descritos acima. A cadeia do lado do cliente funciona assim:

• Uma palavra-passe mestra, nunca transmitida ao servidor, deriva uma chave mestra através do PBKDF2, com cerca de 300 000 iterações do lado do cliente
• Essa chave mestra decifra a chave privada RSA-2048 do utilizador, que por sua vez decifra as chaves de cada cofre a que o utilizador tem acesso
• Cada chave de cofre desbloqueia, por sua vez, a chave AES-256 individual de cada registo nele contido, e só essa chave decifra a palavra-passe ou o segredo propriamente dito

Todos os passos dessa cadeia acontecem no cliente. O servidor apenas armazena texto cifrado e chaves cifradas que não tem forma de ler por si só.

O objetivo de construir o sistema desta forma é o raio de impacto. Uma chave comprometida ou rodada afeta um registo ou um cofre, e não o conjunto de credenciais de toda a organização, porque não existe uma chave mestra única que desbloqueie tudo de uma vez, nem um equivalente ao problema das chaves por par n(n-1)/2 descrito anteriormente.

Alterar uma palavra-passe mestra apenas volta a envolver a chave privada do utilizador. Não exige voltar a cifrar todos os registos a que essa chave pode, em última instância, chegar, e é essa a diferença operacional entre uma rotação que demora segundos e outra que exige uma janela de manutenção. O Passwork executa também uma camada AES-256 independente do lado do servidor, sobre esta cadeia do lado do cliente, pelo que comprometer uma camada de cifragem não entrega a outra a um atacante, um padrão relacionado com a cifragem ponta a ponta dos sistemas de mensagens, mas distinto dela.

O acesso a uma credencial partilhada pode, ainda assim, ser revogado instantaneamente e registado, e é isso que transforma «quem consegue tecnicamente decifrar isto» em «quem continua realmente autorizado a fazê-lo». Os pormenores completos de implementação constam da documentação sobre a arquitetura criptográfica do Passwork.

Cifragem simétrica e requisitos de conformidade

A maioria dos referenciais que mencionam a cifragem descreve o que esta deve alcançar, e não que algoritmo utilizar, e confundir esta distinção conduz a alegações de conformidade que não resistem a uma auditoria.

O artigo 32.º, n.º 1, alínea a), do RGPD indica «a pseudonimização e a cifragem dos dados pessoais» como exemplo de medida técnica de segurança adequada, uma opção entre várias e não uma imposição de uma cifra específica. O artigo deixa a implementação, incluindo o algoritmo a utilizar, à avaliação de riscos da própria organização.

O requisito 3.5.1 da PCI DSS v4.0 exige que os dados armazenados dos titulares de cartões se tornem ilegíveis através de hashes unidirecionais, truncagem, tokens de índice ou criptografia forte com processos documentados de gestão de chaves, e conhecer a diferença entre hashing e cifragem é importante neste ponto, uma vez que apenas uma dessas quatro opções é reversível. O requisito não refere o AES nem especifica um comprimento mínimo de chave, pelo que tratar a PCI DSS como uma «obrigação de AES-256», alegação que aparece em bastantes artigos de blogues de segurança, exagera o que a norma realmente diz. Uma organização que consiga documentar o seu processo de criptografia e de gestão de chaves cumpre o requisito, independentemente do algoritmo aprovado que utilize.

A Diretiva NIS2 (UE) 2022/2555, no artigo 21.º, exige que as entidades essenciais e importantes implementem medidas de gestão de riscos que abranjam as suas redes e sistemas de informação, mais uma vez sem prescrever um algoritmo específico. Exige, sim, que as organizações consigam demonstrar que medidas tomaram e porquê, e é aí que a rotação de chaves documentada, o registo de acessos e uma hierarquia de chaves definida deixam de ser extras desejáveis e passam a ser provas de auditoria.

O padrão é coerente nos três casos: os reguladores exigem criptografia e gestão de chaves fortes e documentadas e deixam a escolha do algoritmo à organização. Essa é uma razão para escolher o AES-256 ou o ChaCha20-Poly1305 pelos seus méritos técnicos, e não porque uma regulamentação específica os menciona.

Conclusão

Nada disto altera o veredicto essencial: a cifragem simétrica nunca falhou no algoritmo, e a computação quântica não muda isso. O AES-256 continua a cumprir a sua função à velocidade de que as empresas precisam. O que determina realmente se as credenciais de uma organização estão seguras é quem detém que chave, como essa chave é rodada e com que rapidez o acesso desaparece quando alguém sai. A hierarquia de chaves por registo do Passwork, descrita acima, é uma forma concreta de evitar que esse trabalho se torne ingerível à escala.

Comece por auditar que sistemas ainda gerem chaves simétricas manualmente e, depois, transfira-os para uma estrutura em que uma única chave comprometida não consiga chegar mais longe do que o necessário.

Testar como a cifragem AES-256 por registo e uma hierarquia de chaves estruturada resistem à dispersão de credenciais da própria organização. Iniciar um teste gratuito do Passwork, sem necessidade de cartão de crédito.

Perguntas frequentes: Algoritmos simétricos para a segurança dos dados

O que é a cifragem zero-knowledge? Como funciona em 5 minutos

A cifragem zero-knowledge significa que o servidor nunca possui as chaves de decifragem, apenas o texto cifrado. Saiba como funciona a cadeia de chaves, contra o que protege, o que não protege e como verificar a alegação de um fornecedor.

PassworkPasswork Team

Shadow IT vs Shadow AI: Porque a IA é a ameaça maior

Os colaboradores estão a utilizar ferramentas de IA não aprovadas, em contas que não é possível monitorizar, com dados que não é possível recuperar. Eis como é, na realidade, o risco, e o que a governação precisa de resolver.

Passwork BlogAlex Muntyan

O que é a cifragem AES-256: É realmente inquebrável em 2026?

O AES-256 não tem qualquer fraqueza prática, clássica ou quântica. O risco real está em tudo o que o rodeia: gestão de chaves, controlo de acessos e higiene das credenciais. Eis o que realmente leva as organizações a sofrer violações e o que corrigir primeiro.

PassworkPasswork Team