GAO: 24 agências sem teste de criptografia pós-quântica

Summary

Entre fevereiro de 2024 e setembro de 2025, o GAO não encontrou teste de criptografia pós-quântica em ambiente próprio de nenhuma das 24 agências federais cobertas pela CFO Act. Uma pesquisou possíveis produtos, mas não os testou; as outras 23 não haviam preparado o ensaio avaliado.
A orientação federal de 2022 pedia inventários, estimativas de recursos e testes. O NIST concluiu as primeiras normas centrais em agosto de 2024. A execução ficou presa no ponto em que cada instituição teria de conhecer seu próprio sistema.

A norma termina onde começa o sistema legado

O zero tem data. O relatório público do GAO, lançado em 6 de outubro de 2026 e esclarecido no dia 14, examinou o período de fevereiro de 2024 a setembro de 2025. Nesse intervalo, nenhuma das 24 agências testou criptografia pós-quântica em seus próprios sistemas. O próximo teste documentado, com nome do órgão e do sistema, será a medida concreta de avanço.

Em novembro de 2022, o Office of Management and Budget orientou as agências a identificar sistemas prioritários com criptografia vulnerável, avaliar os recursos necessários e experimentar soluções pós-quânticas em seus ambientes. Em agosto de 2024, o NIST concluiu normas centrais como a FIPS 203. O algoritmo pode estar definido enquanto uma aplicação antiga ainda depende de uma biblioteca, de um equipamento ou de um fornecedor incapaz de recebê-lo sem alterações. Uma especificação informa o que implementar; o teste revela o que quebra.

Uma agência pesquisou produtos candidatos. Parou antes de experimentá-los em casa. As outras 23 sequer haviam concluído as atividades preparatórias examinadas pelo GAO. Uma lista de fornecedores serve à compra; o teste mostra se a nova assinatura atravessa o protocolo antigo, se a autenticação aguenta e como voltar atrás em caso de falha. Uma agência tinha opções no papel; nenhuma havia medido a compatibilidade no próprio ambiente.

Quem chamou o teste de opcional?

Dezesseis agências disseram que escolher candidatos ou testar era prematuro, pois fornecedores ainda incorporavam as normas. Autoridades do Office of the National Cyber Director chamaram os testes de voluntários e mencionaram limitações de recursos. O GAO contestou a leitura: a orientação do OMB não dizia que testar era voluntário. Protótipos com ferramentas de código aberto também podiam ser feitos antes da oferta comercial completa. A palavra “voluntário” deslocava uma responsabilidade concreta: descobrir incompatibilidades locais antes de fechar contratos e calendários.

O problema começava antes do laboratório. Só uma agência completou as tarefas de inventário aplicáveis. Uma não tinha lista de sistemas prioritários; 22 entregaram listas parciais. Numa verificação separada, o GAO examinou a precisão dos registros de algoritmos vulneráveis em seis agências. Nenhuma das seis cumpriu integralmente esse critério. A amostra mede essas seis; o levantamento das 24 já expõe a falta de um mapa completo da migração.

O custo também estava escrito a lápis. Nenhuma agência concluiu a avaliação financeira. Vinte e uma entregaram estimativas parciais com dados imprecisos; três não entregaram avaliação. Só uma estimativa partia de um inventário completo de sistemas prioritários. O OMB e o escritório nacional disseram que os valores serviam como ordem de grandeza para decisões de política pública, não como pedidos de verba. Sem conhecer o sistema e sem testá-lo, a cifra continua distante de um orçamento de migração.

O texto integral do GAO também separa o risco futuro de um ataque já ocorrido. Computadores quânticos atuais não conseguem romper a criptografia em questão; uma máquina futura suficientemente potente poderia. Dados cifrados capturados hoje podem continuar valiosos nessa data. Para informações que precisam permanecer secretas por anos, cada adiamento do levantamento e do teste reduz o tempo disponível para substituição.

O GAO fez 89 recomendações no relatório sensível de setembro de 2025. A versão pública de outubro de 2026 não trouxe outras. Uma agência pode responder com mais um plano; a prova mais forte será um registro datado de teste num sistema identificado, a falha encontrada, o responsável pela correção e o custo revisto. A reflexão de Heng Lu sobre uma especificação inicial comum seguida de implementação local ajuda a interpretar a divisão de tarefas, sem fornecer os fatos sobre o governo americano.