O NIST SP 800-57 Parte 1 Rev. 5 (tabela 2) associa as forças clássicas a tamanhos de chave: 112 bits = RSA ou DH sobre corpos finitos com módulos de 2048 bits, ou curvas de 224–255 bits; 128 bits = AES-128, RSA-3072, curvas de 256–383 bits; 192 bits = AES-192, RSA-7680, curvas de 384–511 bits; 256 bits = AES-256, RSA-15360, curvas de 512 bits ou mais. As funções de hash oferecem n/2 bits de resistência a colisões e n bits de resistência a pré-imagens, então o SHA-256 oferece 128 bits de resistência a colisões.
Desde 2014, 112 bits é o mínimo para novos usos federais, e 128 bits é o padrão em projetos novos. O NIST IR 8547 (rascunho público inicial) propõe descontinuar depois de 2030 os algoritmos vulneráveis à computação quântica com 112 bits e proibir todos os vulneráveis depois de 2035, independentemente da força clássica.
Os padrões pós-quânticos usam categorias de segurança em vez de contagens de bits, porque os custos dos ataques quânticos são incertos: a categoria 1 é pelo menos tão difícil de quebrar quanto a busca de chave do AES-128, a categoria 3 quanto o AES-192 e a categoria 5 quanto o AES-256, com as categorias 2 e 4 atreladas a colisões de SHA-256 e SHA3-384. O ML-KEM-768 e o ML-DSA-65 são de categoria 3.