SSH pós-quântico no iOS: NeoServer suporta troca de chaves ML-KEM

Cada conexão SSH que você envia hoje do seu iPhone pode estar sendo silenciosamente gravada e armazenada em algum lugar. O objetivo da gravação não é quebrar a criptografia agora, mas esperar o dia em que os computadores quânticos estejam suficientemente maduros para descriptografar tudo em massa, retroativamente. A indústria de segurança deu um nome direto a esse ataque: Harvest Now, Decrypt Later (grave agora, descriptografe depois).

A boa notícia é que a defesa já se tornou um padrão oficial: o NIST finalizou em 2024 o algoritmo de encapsulamento de chaves pós-quântico ML-KEM (FIPS 203), e o OpenSSH já o incorporou à troca de chaves padrão. Agora, o NeoServer traz o ML-KEM para o iOS — seu iPhone pode iniciar conexões SSH verdadeiramente pós-quânticas, e sem nenhuma configuração.

Harvest Now, Decrypt Later: por que você deveria se importar agora

A confidencialidade do SSH tradicional baseia-se em problemas matemáticos clássicos como ECDH e RSA. Eles são seguros o suficiente para os computadores de hoje, mas quando computadores quânticos executarem o algoritmo de Shor, esses problemas serão quebrados com eficiência. O verdadeiro problema é a diferença temporal:

1. A gravação acontece hoje. O Wi-Fi de aeroportos e cafeterias, roteadores comprometidos, qualquer elo ao longo da rota pode armazenar o tráfego criptografado — para quem grava, o custo é praticamente zero.
2. A descriptografia acontece no futuro. Assim que um computador quântico suficientemente poderoso surgir, cada troca de chaves clássica gravada hoje poderá ser quebrada retroativamente — sem que você cometa nenhum erro novo nesse momento.
3. Uma vez que a sessão SSH é descriptografada, tudo é descriptografado. Sua senha de sudo, os arquivos de configuração e chaves exibidos com cat, os tokens nos scripts de implantação, a topologia da rede interna — tudo aparece em texto puro.

Para administradores de servidores, usuários de NAS e engenheiros de operações, o tráfego SSH é justamente o alvo de gravação de maior valor a longo prazo. E a estratégia de "esperar o computador quântico realmente aparecer para então agir" é irreversível para o tráfego que já foi gravado.

O que é ML-KEM: a versão de três minutos

ML-KEM (Module-Lattice-based Key Encapsulation Mechanism, mecanismo de encapsulamento de chaves baseado em retículos modulares) é o padrão criptográfico pós-quântico FIPS 203, finalizado pelo NIST em agosto de 2024, tendo como predecessor o algoritmo Kyber. Sua segurança baseia-se em problemas matemáticos sobre retículos — para os algoritmos quânticos conhecidos até hoje, esses problemas não têm solução eficiente.

Ele é responsável por apenas uma coisa, mas exatamente a mais crucial: a troca de chaves. No estabelecimento da conexão, as duas partes negociam a chave de sessão usando ML-KEM; depois disso, mesmo que um computador quântico reproduza todo o tráfego, não conseguirá reconstruir essa chave.

Dois fatos que valem a pena conhecer:

• O OpenSSH, desde a versão 9.9 (setembro de 2024), habilita por padrão a troca de chaves híbrida mlkem768x25519-sha256. Ela combina ML-KEM-768 com o clássico X25519: dois problemas matemáticos protegendo simultaneamente a mesma sessão — quebrar qualquer um deles não é suficiente para descriptografar. A maioria das distribuições Linux recentes e o servidor SSH do macOS já oferecem suporte por padrão há quase um ano.
• A Apple está implantando criptografia pós-quântica em toda a sua linha. O iMessage introduziu proteção pós-quântica com o protocolo PQ3, e o iOS 26 foi além, usando ML-KEM para criptografar a comunicação entre iPhone e Apple Watch. Entre seu telefone e seu relógio a criptografia já é pós-quântica — e o seu cliente SSH?

O iPhone costuma ser o elo mais fraco da cadeia

O servidor está pronto por padrão, mas o cliente muitas vezes fica para trás: a maioria dos clientes SSH para iOS até hoje oferece apenas troca de chaves clássica. O resultado é uma situação embaraçosa — o servidor oferece suporte total à negociação pós-quântica, mas o handshake é rebaixado para algoritmos clássicos do lado do telefone.

E o telefone é justamente o dispositivo mais exposto: Wi-Fi de cafeterias, aeroportos e hotéis, redes de origem duvidosa, conexões iniciadas de improviso. No Mac você talvez ainda coloque uma camada de WireGuard; aquela conexão SSH rápida no iPhone costuma ser uma conexão direta e sem proteção.

O NeoServer preenche essa lacuna. Ao conectar, o NeoServer prioriza automaticamente a negociação de mlkem768x25519-sha256:

• Servidor com suporte → entra imediatamente em sessão pós-quântica, toda a conexão é segura contra quânticos desde o handshake
• Servidor mais antigo → recuo suave para algoritmos clássicos, a conexão continua funcionando normalmente, sem interromper nenhum fluxo de trabalho
• Configuração zero: não é preciso alterar nenhuma definição, entra em vigor assim que o app for atualizado

Verifique em 30 segundos se o seu servidor está pronto

Execute no servidor (funciona igualmente no terminal do NeoServer):

ssh -Q kex | grep mlkem
# Se a saída for mlkem768x25519-sha256, há suporte

Para ver o resultado da negociação com seus próprios olhos, adicione -vv ao conectar a partir do computador desktop:

ssh -vv user@your-server 2>&1 | grep "kex:"
# debug1: kex: algorithm: mlkem768x25519-sha256

Se o primeiro comando não produzir saída, significa que o OpenSSH do servidor ainda está em uma versão anterior à 9.9; atualize o sistema ou o OpenSSH para obter suporte. Depois disso, ao conectar pelo NeoServer, a negociação passará automaticamente a usar ML-KEM.

Mais do que troca de chaves: o modelo de segurança do NeoServer

A troca de chaves pós-quântica resolve o problema do "link gravado"; o NeoServer também não faz concessões nos demais pontos:

• A chave privada existe apenas no seu iPhone, protegida por Face ID / Touch ID, e a sincronização entre múltiplos dispositivos é feita pelo seu iCloud privado
• SSH Agent Forwarding: o servidor remoto "empresta" temporariamente as chaves do seu telefone para autenticação, e a chave privada nunca é gravada no servidor — veja a análise detalhada anterior
• Capacidades completas de autenticação: senha, chave privada, 2FA, Jump Server (bastião), Failover, proxy Socks5
• Zero estatísticas de terceiros, zero SDKs de anúncios: o NeoServer não se comunica com nenhum servidor que você não tenha configurado — os dados pertencem apenas a você

Além disso, o Mosh mantém você conectado ao trocar de rede, sessões tmux/zellij podem ser retomadas após desconexões, e há SFTP, monitoramento de servidores, gerenciamento de Docker/Podman e execução de scripts em lote. O NeoServer não é apenas "um terminal com suporte a ML-KEM", mas uma estação de trabalho completa de operações móveis no iPhone.

Para quem é

• Entusiastas de Home Server e usuários de NAS (Synology, QNAP, TrueNAS, etc.)
• Administradores de sites e engenheiros de operações
• Desenvolvedores e programadores
• Quem administra nós de computação de IA e servidores em nuvem
• E todos que acham que a "descriptografia retroativa em dez anos" não deveria ameaçar o tráfego de hoje

Segurança quântica a partir da próxima conexão

O que torna o ataque "grave agora, descriptografe depois" tão assustador é sua assimetria: o defensor só precisa atualizar o handshake uma vez hoje, mas o atacante pode manter para sempre o tráfego gravado ontem. Seu servidor já está pronto por padrão — falta apenas um cliente iOS com suporte a ML-KEM.

Abra a App Store e pesquise NeoServer, ou vá direto à App Store para baixar — para que a próxima conexão SSH enviada do seu iPhone seja segura contra quânticos desde o momento do handshake.