Resumo

  • RFC 9958 orienta equipes a inventariar uso de algoritmos no código e configurações criptográficas expostas.
  • Uma entrada de inventário é evidência de descoberta, não prova de negociação ativa, cobertura total, retirada do legado ou decisão de risco.

Há uma passagem sutil entre “sabemos onde procurar” e “já estamos protegidos”. É nessa passagem que um programa de migração perde responsabilidade. RFC 9958 insiste que a criptografia precisa ser tratada como parte de engenharia de sistemas: desenvolvedores devem identificar algoritmos codificados quando puderem; administradores, responsáveis por políticas e conformidade devem registrar configurações que a aplicação expõe e gerenciá-las por políticas escritas ou automatizadas.

O inventário que nasce desse esforço é uma evidência útil. Ele permite perguntar qual repositório, configuração ou fornecedor introduziu uma referência. Também permite medir lacunas de descoberta. O que ele não faz é observar cada conexão. Uma biblioteca pode estar instalada sem ser chamada. Um parâmetro pode estar disponível sem ser negociado. Um caminho clássico pode continuar por causa de um parceiro, de uma restauração, de um arquivo ou de uma contingência. Um relatório que chama tudo isso de “PQC pronto” troca perguntas verificáveis por uma conclusão sem dono.

RFC 9958 explica por que a simplificação é técnica e institucionalmente frágil. A transição para algoritmos pós-quânticos pode exigir mudanças de interface, tamanho e desempenho; não é, em geral, a substituição mecânica de uma sigla. A função também importa. Um KEM possui operações e papéis próprios. A referência a ML-KEM numa lista não revela se a aplicação encapsula, desencapsula, testa, apenas oferece um mecanismo ou usa outra rota em produção. FIPS 203 e FIPS 204 são especificações de ML-KEM e ML-DSA, não relatórios sobre o comportamento de uma organização.

O desenho correto separa registro de descoberta, classificação de função, observação de execução, evidência de compatibilidade, exceção, decisão e resultado. Uma descoberta pode ser excelente e ainda não ter dono operacional. Uma observação de tráfego pode confirmar um fluxo e ainda não autorizar sua extensão para outro. Uma exceção pode ser razoável e ainda não dever permanecer indefinidamente. Um responsável pode aprovar uma mudança e ainda precisar de uma observação posterior que mostre o que de fato ocorreu. Essa cadeia não é burocracia adicional; é o que impede que um painel central transforme símbolos em autoridade.

RFC 7696 chama a atenção para a capacidade de alterar escolhas criptográficas. Tal capacidade vale muito, mas não equivale a uma mudança realizada. RFC 9958 é Informational e não é um calendário para computadores quânticos relevantes, uma certificação de fornecedor ou uma ordem de implantação. A leitura de Heng Lu ajuda a preservar a ordem correta: a descrição compartilhada é necessária; o código executado prova algo mais específico; a decisão sobre consequência continua local, atribuível e contestável.

Sources