O que é criptografia

Criptografia é o conjunto de técnicas que usa algoritmos e chaves para transformar dados de forma que apenas partes autorizadas consigam entendê-los ou verificar se não foram alterados. Na prática, ela costuma ser usada para três objetivos: confidencialidade (evitar leitura por terceiros), integridade (detectar alterações) e autenticidade (confirmar origem ou identidade, dependendo do esquema).

Ela não é “magia” e não elimina todos os riscos. Se os dados forem comprometidos antes da criptografia (por exemplo, em um dispositivo infectado) ou se as chaves forem expostas, a proteção pode falhar.

Um modelo simples de funcionamento

Pense em criptografia como uma transformação controlada por uma chave.

  • O emissor usa uma chave (ou um par de chaves) e um algoritmo para transformar o “texto” em “cifrado”.
  • Quem tem a chave correta realiza a operação inversa para recuperar o texto original.

Em muitos sistemas modernos, há mais de uma etapa: além de cifrar, costuma-se incluir mecanismos para garantir integridade e, em alguns casos, autenticar o interlocutor. Um ponto-chave é que a força do sistema depende não só do algoritmo, mas também de como ele é configurado e de como as chaves são gerenciadas.

Limitações e exceções importantes

A criptografia não resolve problemas fora do que ela foi projetada para cobrir.

Primeiro, existem limites práticos: se a chave vazar, for fraca, reutilizada indevidamente ou não for rotacionada quando deveria, um atacante pode explorar isso. Em segundo lugar, a implementação importa: erros de programação, configurações inseguras e escolhas de parâmetros inadequados podem criar brechas.

Terceiro, “ver como está criptografado” não significa necessariamente que está bem protegido. Por exemplo, pode haver cifragem, mas sem integridade adequada, ou com padrões desatualizados. Além disso, criptografia não impede necessariamente metadados de serem observados (como horários e tamanhos de mensagens), dependendo do contexto.

Por fim, há limitações de ameaça: se o adversário controlar o endpoint (o dispositivo que envia ou recebe), ele pode capturar dados antes de serem cifrados ou após serem decifrados. Nesses cenários, a criptografia ajuda, mas não é suficiente por si só.

Verificações práticas para o dia a dia

Mesmo sem ser especialista, o leitor pode fazer checagens que aumentam a chance de escolhas razoáveis.

  1. Confirme se há proteção de canal (quando aplicável) Ao usar comunicação segura na web, observe se o navegador/cliente está estabelecendo uma sessão com criptografia ativa e se os avisos de certificado não estão sendo ignorados. Certificados inválidos ou avisos recorrentes indicam risco.

  2. Avalie a configuração, não só a presença Procure quais algoritmos e modos estão sendo usados (por exemplo, versões de protocolos e categorias de cifras). Evite situações em que um sistema negocia padrões antigos ou inseguros.

  3. Considere o gerenciamento de chaves Quando for um ambiente próprio (infra, servidores, aplicações), verifique políticas de rotação e o armazenamento seguro de chaves. Se alguém consegue acessar chaves, a criptografia deixa de ser uma barreira eficaz.

  4. Verifique integridade e autenticação Em protocolos que envolvem troca de dados, garanta que existe mecanismo para detectar alterações e para estabelecer confiança na identidade/parte comunicante (o que varia conforme o método). Sem isso, um atacante pode interferir no conteúdo.

Conceitos relacionados para não confundir

Alguns termos aparecem junto de criptografia e vale entender a distinção:

  • Chave: segredo (ou parte de um par) que permite cifrar/decifrar ou assinar/verificar.
  • Algoritmo: método matemático usado para transformar dados.
  • Cifra e assinatura: esquemas voltados, em geral, a confidencialidade e/ou integridade/autenticidade.
  • Troca de chaves: etapa que define como as partes obtêm chaves sem expor o segredo.

Uma fonte comum de confusão é assumir que “criptografia” sozinho significa tudo. Na realidade, cada aplicação escolhe objetivos específicos e, por isso, a proteção real depende do que está sendo implementado: confidencialidade, integridade, autenticação e o modelo de ameaça considerado.