O algoritmo de Shor quebra a fatoração e os logaritmos discretos, então RSA, DH de corpo finito, ECDH, ECDSA e EdDSA caem diante de um computador quântico criptograficamente relevante. Os esquemas pós-quânticos se baseiam em problemas sem atalho quântico conhecido: reticulados estruturados (ML-KEM, ML-DSA, FN-DSA), funções de hash (SLH-DSA, LMS, XMSS) e códigos corretores de erros (HQC, Classic McEliece). Cifras simétricas e hashes são afetados apenas pelo ganho de raiz quadrada do algoritmo de Grover, então AES-256, AES-128 e SHA-256 continuam utilizáveis.
O NIST publicou a FIPS 203 (ML-KEM), a FIPS 204 (ML-DSA) e a FIPS 205 (SLH-DSA) em 13 de agosto de 2024; o FN-DSA (FIPS 206, derivado do Falcon) e o HQC ainda estão em rascunho. O NIST IR 8547 (rascunho público inicial) propõe descontinuar os algoritmos clássicos de 112 bits depois de 2030 e proibir todos os algoritmos de chave pública vulneráveis à computação quântica depois de 2035; o CNSA 2.0 da NSA define datas anteriores para os sistemas de segurança nacional.
Ordem de migração na prática: primeiro a troca de chaves híbrida, porque o tráfego gravado pode ser descriptografado depois (o X25519MLKEM768 no TLS e o mlkem768x25519-sha256 no SSH já são padrão), depois as assinaturas e a PKI, em que os tamanhos e a distribuição de confiança são problemas mais difíceis. O zoo de algoritmos PQC compara tamanhos e velocidades.