A Azion Platform oferece criptografia pós-quântica (PQC) pronta para produção em todas as conexões TLS 1.3. A plataforma opera com bibliotecas TLS atualizadas para suportar algoritmos padronizados pelo NIST (FIPS 203 — ML-KEM), garantindo que suas aplicações permaneçam seguras contra ameaças atuais e emergentes de computação quântica.

Como a criptografia pós-quântica funciona na Azion

A negociação de troca de chaves pós-quântica está ativa para todas as conexões TLS 1.3 no caminho Cliente → Azion. Navegadores modernos que suportam ML-KEM (Chrome 131+, Edge 131+, Firefox 135+ e versões recentes do Safari) negociam automaticamente o algoritmo híbrido ao se conectar a domínios servidos pela Azion.

Você pode verificar a ativação do PQC usando OpenSSL:

echo "Q" | openssl s_client -connect www.azion.com:443 -tls1_3 2>&1 | grep "group"

Exemplo de saída:

Negotiated TLS1.3 group: X25519MLKEM768

Modelo de troca de chaves híbrida

A Azion implementa o modelo híbrido X25519MLKEM768, a abordagem padrão da indústria adotada por grandes provedores de tecnologia. Este modelo combina duas camadas criptográficas:

Se qualquer uma das camadas for comprometida no futuro, a outra continua protegendo a sessão. A conexão permanece tão segura quanto a mais forte das duas.

Considerações sobre certificados

Os certificados TLS (RSA ou ECDSA) permanecem inalterados—autoridades certificadoras públicas ainda não emitem certificados pós-quânticos. Espera-se que isso mude por volta de 2027+. A segurança de certificados é menos urgente que a troca de chaves porque certificados protegem contra adversários ativos com computadores quânticos (que não existem hoje). A priorização da troca de chaves mitiga o risco de “harvest now, decrypt later”.

Ordem de prioridade dos algoritmos

A Azion negocia algoritmos de troca de chaves na seguinte ordem de prioridade:

X25519MLKEM768 recebe prioridade porque navegadores mainstream enviam key shares para este grupo por padrão em suas mensagens ClientHello. Se um grupo diferente recebesse prioridade (como SecP256r1MLKEM768), o servidor precisaria emitir um HelloRetryRequest, adicionando um round-trip completo e aumentando a latência para cada nova conexão.

Retrocompatibilidade

O suporte a criptografia pós-quântica é totalmente retrocompatível:

• Clientes com suporte a PQC (navegadores modernos) negociam automaticamente X25519MLKEM768
• Clientes sem suporte a PQC fazem fallback transparente para X25519 ou P-256
• Nenhuma conexão é recusada—o servidor aceita o melhor algoritmo que ambas as partes suportam

Versão mínima do TLS

Você pode configurar TLS 1.2 como a versão mínima aceita enquanto ainda aceita TLS 1.3. A criptografia pós-quântica opera exclusivamente dentro do TLS 1.3—não existe mecanismo de troca de chaves ML-KEM no TLS 1.2 ou versões anteriores.

Certifique-se de informar que, ao selecionar TLS 1.2 como mínimo, somente as conexões TLS 1.3 serão protegidas com PQC, uma vez que dependam da versão 1.3. O TLS 1.2 recorrerá normalmente a um conjunto de cifras apropriado configurado para a carga de trabalho.

Suporte de Edge para Origin

A Azion suporta negociação PQC no caminho Application → Origin, desde que seu servidor de origem aceite TLS 1.3 com X25519MLKEM768. Se a origem não suportar PQC, ocorre fallback automático para troca de chaves clássica.

Testes e verificação

Você pode validar a ativação da criptografia pós-quântica através de múltiplos métodos:

Verificação via navegador

1. Acesse qualquer domínio servido pela Azion
2. Abra as Ferramentas de Desenvolvedor (F12)
3. Navegue até a aba Segurança
4. Verifique se X25519MLKEM768 aparece como Key Exchange

Verificação via linha de comando

Teste a negociação PQC:

echo "Q" | openssl s_client -connect seu-dominio.com:443 -tls1_3 2>&1 | grep "group"

Saída esperada:

Negotiated TLS1.3 group: X25519MLKEM768

Teste de fallback

Verifique se o fallback clássico funciona corretamente:

echo "Q" | openssl s_client -connect seu-dominio.com:443 -tls1_3 -groups X25519 2>&1 | grep "group"

Saída esperada:

Negotiated TLS1.3 group: X25519

Isso confirma que o fallback clássico funciona corretamente para clientes sem suporte a PQC.

Implicações de segurança

Harvest now, decrypt later

A troca de chaves pós-quântica aborda o modelo de ameaça “harvest now, decrypt later”. Adversários podem atualmente gravar tráfego criptografado e armazená-lo para descriptografia futura quando computadores quânticos estiverem disponíveis. Ao implementar PQC hoje, você protege comunicações atuais contra ataques quânticos futuros.

Defesa em profundidade

O modelo híbrido fornece defesa em profundidade. Mesmo se computadores quânticos avançarem inesperadamente mais rápido que o previsto, ou se a criptografia clássica enfrentar novas vulnerabilidades, a abordagem de dupla camada garante proteção contínua.

Sem configuração necessária

O PQC ativa automaticamente para todas as conexões TLS 1.3. Nenhuma configuração manual, alteração de certificados ou modificações na aplicação são necessárias. A rede global da Azion gerencia a negociação de algoritmos de forma transparente.