Em outubro de 2025, o Signal anunciou uma mudança silenciosa, mas estrutural, no motor criptográfico que protege bilhões de mensagens trocadas diariamente no aplicativo. Não foi uma reação a um ataque descoberto, nem a um vazamento. Foi uma aposta em um problema que, hoje, ainda não existe: o de que um computador quântico suficientemente poderoso possa, décadas no futuro, quebrar a criptografia de curva elíptica que sustenta o Signal desde sua criação. A resposta da equipe do aplicativo foi batizada de Triple Ratchet, e ela reformula justamente a peça mais elogiada — e mais copiada — de toda a arquitetura de segurança do Signal: o mecanismo que gera uma chave de criptografia inteiramente nova a cada mensagem enviada.
Para entender por que essa mudança importa, é preciso primeiro entender o que já existia. Não se trata de uma correção de falha, mas de uma camada extra de blindagem somada a um sistema que já era considerado, por especialistas independentes, um dos mais bem projetados da criptografia aplicada moderna.
O que é, afinal, um “ratchet” criptográfico
A palavra em inglês ratchet descreve aquela ferramenta mecânica — a catraca — que só gira em um sentido: uma vez avançada, não recua. Em criptografia, o termo foi adotado para descrever exatamente essa propriedade aplicada a chaves secretas. Um “ratchet criptográfico” é um mecanismo que avança automaticamente, produzindo uma nova chave a cada passo, de um jeito que torna praticamente impossível reconstruir uma chave antiga a partir de uma chave atual.
Isso tem uma consequência prática enorme: se um invasor, por algum meio, conseguir roubar a chave usada na mensagem de hoje, ele não ganha acesso às mensagens de ontem — porque a catraca já girou e a chave antiga foi descartada. E, de forma simétrica, se ele um dia perder o acesso àquele segredo, as mensagens futuras voltam a ficar protegidas assim que o mecanismo avançar de novo. Esses dois efeitos têm nomes técnicos específicos: o primeiro é chamado de sigilo direto (forward secrecy) e o segundo de segurança pós-comprometimento (post-compromise security). Juntos, eles são a razão pela qual comprometer uma única mensagem de uma conversa no Signal não compromete a conversa inteira.
Como o Double Ratchet clássico gera uma chave nova a cada mensagem
O mecanismo que faz esse trabalho no Signal desde sua concepção — desenhado originalmente por Trevor Perrin e Moxie Marlinspike e hoje mantido também por Rolfe Schmidt — chama-se Double Ratchet (catraca dupla), porque na verdade combina dois mecanismos de avanço distintos, funcionando em conjunto.
O primeiro é um ratchet simétrico: a cada mensagem trocada, uma função matemática de mão única processa a chave atual e produz, ao mesmo tempo, duas coisas — a chave que efetivamente vai criptografar aquela mensagem específica, e uma nova chave “semente” para a próxima. Como essa função não pode ser revertida, é matematicamente inviável partir da chave de hoje para recalcular a de ontem. Só que esse ratchet sozinho tem um limite: se um invasor rouba a semente em algum momento, ele consegue prever todas as chaves seguintes, porque o processo é uma sequência determinística.
É aí que entra o segundo mecanismo, o ratchet de troca de chaves (baseado no protocolo Diffie-Hellman): periodicamente — na prática, a cada troca de mensagens entre os dois lados da conversa — os dispositivos geram um novo par de chaves pública e privada e combinam esse novo material com o anterior, injetando entropia fresca na cadeia principal do sistema, chamada de cadeia-raiz. Esse novo sopro de aleatoriedade é o que reintroduz segurança mesmo que uma chave antiga tenha sido comprometida: a nova rodada de troca de chaves não depende de nada que o invasor já tenha visto. Por isso o Double Ratchet consegue oferecer tanto sigilo direto quanto segurança pós-comprometimento — mas, até 2025, ele fazia isso apoiado inteiramente em criptografia de curva elíptica, um tipo de matemática que os computadores atuais não conseguem quebrar, mas que um computador quântico suficientemente avançado, rodando o chamado algoritmo de Shor, conseguiria.
A peça nova: o Sparse Post-Quantum Ratchet
É importante não confundir o que o Signal fez em 2025 com o que já havia feito em 2023. Naquele ano, o aplicativo introduziu o PQXDH, um protocolo que reforça apenas o aperto de mão inicial entre dois dispositivos — o momento único em que duas pessoas trocam mensagem pela primeira vez e estabelecem a base secreta da conversa. O PQXDH combina a troca de chaves de curva elíptica tradicional com um mecanismo pós-quântico baseado em reticulados (a família matemática por trás do padrão ML-KEM, definido pelo instituto americano de padrões NIST), de modo que mesmo esse instante inicial já ficava blindado contra o cenário de “colher agora, decifrar depois” — a estratégia de gravar hoje o tráfego criptografado, na aposta de decifrá-lo décadas depois com um computador quântico.
O problema é que o PQXDH protege só a largada. Todas as mensagens trocadas depois daquele primeiro aperto de mão continuavam avançando exclusivamente pelo Double Ratchet clássico — ou seja, dependiam só de curva elíptica. Uma conversa longa, gravada por um adversário paciente, permaneceria com essa mesma vulnerabilidade de longo prazo em cada uma das suas mensagens seguintes.
O componente que o Signal anunciou em outubro de 2025 fecha exatamente essa lacuna. Chama-se Sparse Post-Quantum Ratchet, ou SPQR (numa tradução livre, algo como “catraca pós-quântica esparsa”), e é um ratchet novo, desenhado por Graeme Connell e Rolfe Schmidt, que roda em paralelo ao Double Ratchet ao longo de toda a conversa — não apenas na abertura dela. A cada mensagem, o SPQR também avança e também produz sua própria chave, usando exclusivamente matemática pós-quântica baseada em reticulados, a mesma família de algoritmos usada no PQXDH. O adjetivo “esparso” descreve uma otimização de engenharia central do protocolo: em vez de anexar material criptográfico pós-quântico — que ocupa muito mais espaço do que uma chave de curva elíptica — inteiro a cada mensagem, o SPQR distribui esse custo de forma intercalada, usando um esquema de códigos corretores que reconstrói o material que falta sem precisar reenviá-lo por completo a cada troca. É essa engenharia que evita inflar o tamanho de cada mensagem do Signal a ponto de pesar no consumo de dados de quem usa o aplicativo.
Por que somar duas chaves é mais seguro do que trocar uma pela outra
A decisão de engenharia mais reveladora, porém, não é a existência do SPQR isoladamente — é a forma como o Signal optou por combiná-lo com o Double Ratchet já existente. A equipe poderia ter simplesmente aposentado a criptografia de curva elíptica e migrado tudo para reticulados, que hoje são considerados resistentes a computadores quânticos. Não foi essa a escolha.
Em vez disso, o Triple Ratchet mantém os dois mecanismos rodando simultaneamente, sempre. A cada mensagem, o Double Ratchet clássico produz sua chave baseada em curva elíptica, e o SPQR produz, em paralelo, sua própria chave baseada em reticulados. As duas saídas são então combinadas dentro de uma função de derivação de chaves, misturadas em uma única chave final que efetivamente criptografa a mensagem.
A lógica dessa escolha é uma forma de ceticismo saudável aplicada à própria criptografia nova. A matemática de curva elíptica é estudada e atacada por criptógrafos há mais de duas décadas sem que ninguém tenha encontrado uma falha prática — é um alicerce testado pelo tempo. Já a criptografia baseada em reticulados que sustenta o SPQR é comparativamente recente: passou a ser padronizada apenas nos últimos anos, e ainda está sob escrutínio ativo da comunidade acadêmica em busca de eventuais fraquezas que ainda não tenham sido descobertas. Se o Signal tivesse simplesmente substituído a curva elíptica pela matemática pós-quântica, uma falha ainda não descoberta nos reticulados derrubaria toda a proteção da conversa — inclusive contra os computadores de hoje, não apenas os quânticos do futuro.
Ao rodar os dois ratchets lado a lado e misturar as duas chaves, o Signal transforma a segurança da conversa em uma soma, não em uma troca. Um adversário que queira ler uma mensagem — hoje ou daqui a trinta anos, mesmo depois de ter guardado o tráfego criptografado à espera de um computador quântico — precisaria quebrar simultaneamente as duas suposições matemáticas independentes: a da curva elíptica e a dos reticulados pós-quânticos. Enquanto pelo menos uma das duas resistir, a mensagem continua ilegível. É essa combinação, e não a substituição de uma tecnologia pela outra, que o artigo acadêmico que fundamenta o Triple Ratchet chama de segurança híbrida: o sistema todo só quebra se as duas partes quebrarem ao mesmo tempo.
O que muda, na prática, para quem usa o Signal
Para o usuário comum, a resposta é: nada precisa ser configurado, e a mudança já está em andamento nas conversas do aplicativo, sem exigir nenhuma ação manual. Isso é, aliás, coerente com o espírito do próprio Double Ratchet original: sempre foi um mecanismo pensado para funcionar de forma invisível, girando a catraca em segundo plano a cada mensagem trocada. O Triple Ratchet segue a mesma filosofia — só que agora girando duas catracas ao mesmo tempo, uma testada há décadas e outra desenhada especificamente para resistir a uma ameaça que, por enquanto, ainda não existe fora dos laboratórios de pesquisa.
Fontes
Signal Foundation. “Signal Protocol and Post-Quantum Ratchets” (blog oficial, 2 de outubro de 2025) — signal.org/blog/spqr/.
Signal Foundation. “The Double Ratchet Algorithm” (especificação técnica) — signal.org/docs/specifications/doubleratchet/.
Signal Foundation. “The PQXDH Key Agreement Protocol” (especificação técnica, 2023) — signal.org/docs/specifications/pqxdh/.
Auerbach, B.; Dodis, Y.; Jost, D.; Katsumata, S.; Prest, T.; Schmidt, R. “The Triple Ratchet Protocol: A Bandwidth Efficient Hybrid-Secure Signal Protocol”, Cryptology ePrint Archive, artigo 2025/078, apresentado na conferência Eurocrypt 2025 — eprint.iacr.org/2025/078.
Schneier, Bruce. “Signal’s Post-Quantum Cryptographic Implementation”, Schneier on Security, 29 de outubro de 2025.
CSO Online. “Quantum resistance and the Signal Protocol: From PQXDH to Triple Ratchet”.