O Que É a Criptografia RSA? Como Funciona o Algoritmo RSA

Se já gerou um CSR alguma vez, provavelmente escolheu “RSA 2048” como tipo de chave. A seguir, explicamos o que isso significa: como funciona o algoritmo RSA, um exemplo prático que pode conferir manualmente e que tamanho de chave escolher. Também abordamos os recordes de fatoração de setembro de 2026, que não ameaçam chaves de 2048 bits.

Este guia aborda o algoritmo RSA. A RSA Security, a empresa de segurança, tem o nome dos mesmos três inventores.

---

Índice

1. O Que É a Encriptação RSA?
2. O Que É uma Chave RSA?
3. Tamanhos de Chave RSA
4. Como Funciona a Encriptação RSA?
5. Passos da Encriptação RSA: Um Exemplo Prático
6. Onde É Utilizado o RSA?
7. O RSA no Seu Certificado SSL
8. RSA vs AES e ECC
9. Vantagens e Desvantagens do RSA
10. O RSA É Seguro?
11. O RSA Está a Ser Eliminado Gradualmente?
12. Perguntas Frequentes sobre Encriptação RSA

---

---

O Que É a Encriptação RSA?

A encriptação RSA é uma forma de criptografia assimétrica: utiliza uma chave pública para cifrar dados e uma chave privada separada para os decifrar. As cifras simétricas, como o AES, usam uma única chave partilhada para ambas as operações.

A sua segurança assenta na fatoração. Multiplicar dois números primos grandes é fácil. Recuperá-los a partir do seu produto, um número chamado semiprimo, é impraticável com qualquer método clássico conhecido assim que esse produto atinge 2048 bits.

Ron Rivest, Adi Shamir e Leonard Adleman publicaram o algoritmo em 1977 no Massachusetts Institute of Technology (MIT). Clifford Cocks, do GCHQ do Reino Unido, tinha encontrado um sistema equivalente em 1973, mas o seu trabalho permaneceu classificado até 1997.

O RSA raramente cifra os seus dados reais. É lento e só consegue processar uma mensagem mais curta do que a sua chave. Os sistemas utilizam, em vez disso, encriptação híbrida: a criptografia RSA protege uma chave secreta curta ou assina uma mensagem, e o AES cifra os dados.

O Que Significa RSA?

RSA significa Rivest-Shamir-Adleman, os apelidos dos três investigadores do MIT que o publicaram em 1977. Não é a abreviatura de um termo técnico. Também o verá referido como algoritmo RSA, criptossistema RSA ou cifra RSA; os três termos significam a mesma coisa.

---

O Que É uma Chave RSA?

Uma chave RSA é metade de um par matematicamente relacionado. A chave pública é composta por dois números, (e, n), e a chave privada é (d, n). Aqui, n é o produto de dois primos secretos, e apenas quem conhece esses primos consegue calcular o expoente privado d.

A sua chave pública RSA é incluída no seu Certificate Signing Request (CSR) e depois no certificado emitido, onde qualquer navegador a pode ler. A sua chave privada RSA permanece no seu servidor e nunca é enviada para a CA. Se for comprometida, qualquer pessoa pode personificar o seu site, por isso siga as nossas práticas de armazenamento de chaves privadas.

No disco, uma chave é um ficheiro de texto em formato PEM que começa com -----BEGIN PRIVATE KEY-----. Os nossos guias sobre ficheiros PEM e sobre como encontrar a sua chave privada SSL explicam o formato e onde os servidores a guardam.

O expoente público e é quase sempre 65537. É primo, suficientemente grande para bloquear ataques de expoente pequeno, e igual a 2¹⁶ + 1. Esse número tem apenas dois bits “1” em binário, pelo que a cifragem e a verificação de assinaturas se mantêm rápidas.

---

Tamanhos de Chave RSA: 2048, 3072 ou 4096 Bits?

Utilize uma chave RSA de 2048 bits para um certificado SSL padrão. É o tamanho mínimo aceite pelas CAs públicas e o mais rápido dos três. Escolha 3072 bits se precisar do nível de segurança de 128 bits que o plano preliminar do NIST prevê para depois de 2030. Uma chave de 4096 bits acrescenta robustez, mas torna mais lento cada handshake num servidor com muito tráfego.

Tamanho da chave RSA	Nível de segurança (NIST SP 800-57)	Situação na CA pública	Utilize-o para
1024 bits	80 bits ou menos	Não aceite	Nada. Substitua-a.
2048 bits	112 bits	Mínimo aceite	A maioria dos sites
3072 bits	128 bits	Aceite	Chaves que devem cumprir uma política de 128 bits
4096 bits	Entre 128 e 192 bits	Aceite	Políticas que a exigem
ECDSA P-256 (para comparação)	128 bits	Aceite	Uma alternativa mais pequena e rápida

As Baseline Requirements do CA/Browser Forum (secção 6.1.5) definem o mínimo para certificados públicos: um módulo RSA de pelo menos 2048 bits, com um comprimento divisível por 8. As chaves ECDSA devem utilizar a curva P-256, P-384 ou P-521.

Um módulo de 2048 bits tem cerca de 617 dígitos de comprimento. O maior número RSA fatorado publicamente até agora tem 270 dígitos (consulte Chaves Curtas e Recordes de Fatoração). Se estiver a escolher um tipo de chave para um novo certificado, a nossa comparação ECDSA vs RSA aborda a compatibilidade e a velocidade.

---

Como Funciona a Encriptação RSA?

O algoritmo de encriptação RSA funciona em três etapas, passo a passo: geração de chaves, encriptação e desencriptação. Cada etapa utiliza aritmética modular, a matemática no estilo de um relógio em que os números se repetem ao atingirem um módulo, e a ligação entre as chaves pública e privada.

Geração de Chaves RSA

1. Escolha dois números primos grandes e aleatórios, p e q, a partir de um gerador de números aleatórios forte. Para uma chave de 2048 bits, cada um tem cerca de 1024 bits.
2. Multiplique-os: n = p × q. Este módulo define o tamanho da chave.
3. Calcule a função totiente de Euler: φ(n) = (p − 1)(q − 1).
4. Escolha o expoente público e, que não pode partilhar nenhum fator com φ(n) exceto 1. As chaves reais utilizam 65537, não o e = 3 de muitos manuais.
5. Calcule o expoente privado d, o inverso modular de e módulo φ(n), com o algoritmo euclidiano estendido.

A chave pública é (e, n) e a chave privada é (d, n). Mantenha p e q tão secretos quanto d, uma vez que quem os possuir pode reconstruir a chave privada.

O padrão PKCS #1 define d com a função de Carmichael, λ(n) = lcm(p − 1, q − 1), em vez de φ(n). Pode produzir um d mais pequeno que funciona igualmente bem. No exemplo abaixo, ambos dão d = 23.

Encriptação e Desencriptação RSA

Para cifrar, converta a mensagem num número M menor do que n e, em seguida, calcule o texto cifrado C com exponenciação modular:

C = Mᵉ mod n

Para decifrar, aplique a chave privada:

M = Cᵈ mod n

Apenas quem detém d consegue inverter a primeira operação, pelo que duas partes que nunca se encontraram podem trocar um segredo numa rede aberta. Os sistemas reais acrescentam preenchimento (padding) antes de cifrar (consulte Preenchimento Incorreto).

Assinaturas Digitais RSA

As assinaturas RSA executam a mesma matemática ao contrário. Calcula-se o hash da mensagem e eleva-se o hash à potência d com a sua chave privada. Qualquer pessoa pode elevar a assinatura à potência e com a sua chave pública e comparar o resultado com o seu próprio hash.

Uma correspondência prova que a mensagem veio do detentor da chave e que não foi alterada. As assinaturas RSA modernas utilizam o esquema de preenchimento PSS, que o TLS 1.3 exige para as assinaturas do handshake.

---

Passos da Encriptação RSA: Um Exemplo Prático com Números Pequenos

Com p = 17 e q = 11, o RSA transforma a mensagem 88 no texto cifrado 11 e volta a transformá-la em 88. Cada passo é suficientemente pequeno para verificar numa calculadora.

1. Primos: p = 17 e q = 11.
2. Módulo: n = 17 × 11 = 187.
3. Totiente: φ(n) = 16 × 10 = 160.
4. Expoente público: e = 7, válido porque mdc(7, 160) = 1.
5. Expoente privado: encontrar d tal que 7 × d mod 160 = 1.

O algoritmo euclidiano estendido requer duas divisões: 160 = 7 × 22 + 6, depois 7 = 6 × 1 + 1. Trabalhando ao contrário, 1 = 7 − 6 = 7 − (160 − 7 × 22) = 7 × 23 − 160. Assim, d = 23. Verificação: 7 × 23 = 161, e 161 mod 160 = 1.

Isto dá uma chave pública de (7, 187) e uma chave privada de (23, 187). Agora, cifre o número 88. Num sistema real, o texto é primeiro convertido em números, por exemplo, com códigos ASCII.

• Para cifrar: C = 88⁷ mod 187 = 11
• Para decifrar a mensagem cifrada com RSA: M = 11²³ mod 187 = 88

A versão de Carmichael dá o mesmo d: λ(187) = lcm(16, 10) = 80, e 7 × 23 = 161 = 2 × 80 + 1.

Note que 88 é sempre cifrado como 11. O RSA “de manual” é determinístico, pelo que um atacante que adivinhe uma mensagem provável pode cifrá-la com a sua chave pública e comparar. É por isso que o RSA real acrescenta sempre preenchimento aleatório.

As chaves reais seguem os mesmos passos com primos com centenas de dígitos. Quem intercetar o texto cifrado não consegue invertê-lo sem p, q ou d.

Exemplo de encriptação RSA com p = 17 e q = 11: geração de chaves, encriptação de 88 para 11 e desencriptação de volta para 88

---

---

Onde É Utilizado o RSA?

O RSA autentica servidores em HTTPS, assina software e certificados, cifra e-mail, e protege ligações SSH e VPN. Essas funções fazem dele um dos algoritmos mais comuns na segurança de redes. O que raramente faz hoje em dia é cifrar grandes volumes de dados ou, no TLS moderno, trocar chaves de sessão.

RSA em Certificados SSL/TLS e HTTPS

O seu certificado SSL, um certificado X.509, contém a sua chave pública RSA. Num handshake TLS moderno, essa chave comprova a identidade do seu servidor. Já não cifra a chave de sessão.

Quando um navegador se liga via HTTPS com TLS 1.3:

1. O navegador e o servidor acordam numa chave de sessão através de uma troca de chaves efémera (ECDHE). O Chrome utiliza aqui um modelo híbrido de X25519 e ML-KEM pós-quântico.
2. O servidor envia o seu certificado digital, e o navegador verifica a assinatura da CA e a validade do certificado.
3. O servidor assina o handshake com a sua chave privada RSA, e o navegador verifica-o com a chave pública do certificado.
4. Ambas as partes cifram a sessão com uma cifra simétrica, como o AES.

As configurações mais antigas do TLS 1.2 podiam utilizar a troca de chaves RSA em alternativa: o navegador cifrava um segredo com a chave pública do servidor. O TLS 1.3 removeu esse modo em 2018, porque não tem sigilo direto perfeito (forward secrecy). Quem mais tarde roubasse a chave privada poderia decifrar tráfego gravado.

A RFC 10015, publicada em julho de 2026, agora também proíbe a troca de chaves RSA no TLS 1.2. Os clientes não devem oferecê-la, e os servidores não devem selecioná-la.

Assinaturas Digitais, Assinatura de Código e Autoridades de Certificação

O RSA permite assinaturas digitais, que comprovam que uma mensagem ou ficheiro veio do remetente e não foi alterado. Quando os programadores assinam software, utilizam a sua chave privada, e o sistema operativo verifica a assinatura com a chave pública correspondente.

O mesmo mecanismo constrói confiança em ligações SSL/TLS. Envia a sua chave pública num Certificate Signing Request (CSR), e a Autoridade de Certificação (CA) assina o seu certificado com a sua própria chave privada. Os navegadores armazenam os certificados raiz da CA, para que possam verificar essa assinatura.

E-mail, SSH e VPNs

Ferramentas de e-mail como o Pretty Good Privacy (PGP) e o S/MIME utilizam o RSA para proteger os seus e-mails. O remetente cifra uma chave de mensagem descartável com a chave pública do destinatário, e apenas a chave privada do destinatário a consegue recuperar.

A encriptação VPN baseia-se frequentemente em certificados RSA durante o handshake, para que o seu dispositivo possa confirmar que está a comunicar com o servidor VPN real.

O SSH utiliza o RSA para chaves de anfitrião e de utilizador, embora o Ed25519 seja o tipo de chave predefinido no ssh-keygen desde o OpenSSH 9.5 (outubro de 2023). Escolha o Ed25519 para novas chaves SSH, a menos que um sistema mais antigo só aceite RSA. O nosso guia SSH vs SSL explica em que diferem os dois protocolos.

---

O RSA no Seu Certificado SSL: Tipo de Chave, CSR e Renovação

Para a maioria dos sites, encomende o seu certificado SSL com uma chave RSA-2048, ou ECDSA P-256 se o seu servidor e visitantes a suportarem. De qualquer forma, gera a chave privada no seu servidor, e a chave pública viaja até à CA dentro do seu CSR.

RSA ou ECDSA?

O RSA-2048 funciona com praticamente todos os clientes ainda em uso, incluindo dispositivos mais antigos e sistemas embutidos. O ECDSA P-256 oferece segurança de 128 bits com uma chave muito mais pequena, pelo que os certificados são mais pequenos e os handshakes mais rápidos. Escolha ECDSA se atende navegadores modernos; mantenha-se no RSA para dispositivos legados. O nosso guia sobre certificados ECC explica como obter um.

Gerar uma Chave RSA e um CSR

Um único comando OpenSSL cria uma chave privada RSA de 2048 bits e um CSR:

openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr

Pede os detalhes do seu domínio e da organização. Envie o ficheiro .csr para a CA e mantenha example.com.key no servidor. A flag -nodes deixa a chave não cifrada para que o seu servidor web a possa ler no arranque.

Prefere um formulário? O nosso Gerador de CSR faz o mesmo trabalho, e a nossa lista de comandos OpenSSL cobre o resto.

Verificar a Chave RSA num Certificado

Execute openssl x509 -in example.com.crt -noout -text e procure três linhas:

• Public Key Algorithm: rsaEncryption
• Public-Key: (2048 bit)
• Exponent: 65537 (0x10001)

A linha “Signature Algorithm”, como sha256WithRSAEncryption, descreve como a CA assinou o certificado, não o tipo da sua chave. Para inspecionar um CSR antes de o submeter, cole-o no nosso Decodificador de CSR.

Tempos de Vida Mais Curtos Significam Mais Gestão de Chaves

Os tempos de vida máximos dos certificados estão a diminuir ao abrigo das regras do CA/Browser Forum: 200 dias desde 15 de março de 2026, 100 dias a partir de 15 de março de 2027, e 47 dias a partir de 15 de março de 2029. Cada renovação precisa de um CSR, pelo que decidirá com mais frequência se reutiliza a sua chave RSA.

Gere uma nova chave a cada renovação, a menos que algo force a reutilização, como uma chave fixada (“pinned”) ou um módulo de segurança de hardware. Automatizar as renovações com o protocolo ACME torna isso rotineiro.

---

RSA vs AES e ECC

O RSA, o AES e o ECC desempenham funções diferentes, e uma ligação HTTPS utiliza pelo menos dois deles. O AES cifra os dados, enquanto o RSA ou o ECC comprova quem é o servidor.

	RSA	AES	ECC (ECDSA, ECDHE)
Tipo	Assimétrico	Simétrico	Assimétrico
Tamanho de chave para segurança de 128 bits	3072 bits	128 bits	256 bits
Velocidade	Lenta	Rápida	Mais rápida do que o RSA para geração de chaves e assinatura
Função típica	Assinaturas de certificados	Cifragem de dados em massa	Troca de chaves e assinaturas de certificados

Assim, a resposta a “Qual é melhor, RSA ou AES?” é ambos: o AES para os dados e um algoritmo assimétrico para a configuração inicial. A nossa comparação RSA vs AES aprofunda o tema, e ECDSA vs RSA aborda a escolha do certificado.

---

Vantagens e Desvantagens do RSA

A principal vantagem do RSA é que duas partes desconhecidas entre si podem comunicar com segurança sem partilhar um segredo previamente. As suas principais desvantagens são a velocidade, o tamanho da chave e a facilidade com que uma implementação descuidada o compromete.

Benefícios do RSA

• Não precisa de segredo partilhado: as partes podem configurar comunicação segura sem se encontrarem previamente.
• Criptografia de chave pública: qualquer pessoa pode cifrar para si ou verificar a sua assinatura com uma chave que publica abertamente.
• Assinaturas digitais: o RSA autentica identidades e confirma que uma mensagem não foi alterada.
• Ampla compatibilidade: TLS, PGP, S/MIME, SSH e todas as CAs públicas o suportam.

Desvantagens do RSA

• Velocidade de cifragem mais lenta: o RSA é muito mais lento do que o AES, pelo que só processa valores pequenos, como chaves e hashes.
• Chaves grandes: o RSA precisa de 3072 bits para a segurança de 128 bits que o ECDSA atinge com 256 bits.
• Carga útil pequena: uma chave de 2048 bits com OAEP e SHA-256 cifra, no máximo, 190 bytes.
• Risco quântico: o algoritmo de Shor num computador quântico suficientemente grande quebraria o RSA.
• Implementações frágeis: erros de preenchimento, aleatoriedade e temporização já comprometeram implementações reais de RSA.

---

O RSA É Seguro? Ataques Conhecidos e Como Preveni-los

Sim. A criptografia RSA com uma chave de 2048 bits ou maior resiste a todos os ataques clássicos conhecidos. Quando o RSA falha na prática, a causa é quase sempre a implementação: aleatoriedade deficiente, preenchimento em falta, fugas de temporização ou uma chave demasiado curta.

Ataques de Canal Lateral

Um ataque de canal lateral ignora a matemática e mede, em vez disso, o computador: quanto tempo demora a desencriptação, quanta energia consome ou que sinais emite. Essas medições podem revelar bits da chave privada.

A defesa é o código de tempo constante, que demora o mesmo tempo independentemente da entrada, mais a técnica de blinding (ofuscação), que aleatoriza cada operação com a chave privada. A análise de previsão de ramificação (branch prediction) é um risco relacionado, pelo que o código nunca deve ramificar com base em dados secretos.

Geradores de Números Aleatórios Fracos

As chaves RSA são tão boas quanto a aleatoriedade utilizada para escolher p e q. Se os primos forem previsíveis, um atacante pode regenerá-los e reconstruir a chave privada. Números primos fracos, como dois primos demasiado próximos entre si, são igualmente perigosos.

Gere chaves com a fonte aleatória do sistema operativo, como /dev/urandom no Linux, que recorre a fontes de elevada entropia, como ruído de hardware. O bug do OpenSSL no Debian em 2008 mostra o que corre mal quando isso não acontece: os sistemas Debian e Ubuntu afetados geravam chaves previsíveis, e todas tiveram de ser substituídas.

Chaves Curtas e Recordes de Fatoração

As chaves RSA curtas sucumbem à fatoração, e o recorde público continua a avançar: 896 bits em setembro de 2026. Eis os marcos do RSA Factoring Challenge:

Número	Tamanho	Fatorado	Notas
RSA-155	512 bits	22 de agosto de 1999	Primeiro número RSA de 512 bits fatorado publicamente
RSA-768	768 bits	12 de dezembro de 2009
RSA-250	829 bits	28 de fevereiro de 2020	O recorde até 2026
RSA-260	862 bits	3 de setembro de 2026	Eric Lu, Cognition; cerca de 13,5 GPU-anos
RSA-896	896 bits	19 de setembro de 2026	Stephen A. Weis; cerca de 30 GPU-anos

Ambas as equipas utilizaram agentes de codificação com IA (o Devin da Cognition e o Claude da Anthropic) para portar o software de fatoração CADO-NFS para GPUs. A matemática em si era a crivo geral do corpo de números (GNFS) padrão, o melhor método clássico conhecido.

Nenhum dos resultados utilizou um computador quântico, e ambos os investigadores afirmam que as chaves RSA-2048 implementadas não são afetadas. A Cognition estima que o RSA-2048 é cerca de mil milhões de vezes mais difícil de fatorar do que o RSA-1024, que também ninguém conseguiu fatorar.

Parâmetros deficientes também comprometem o RSA, como um expoente privado d demasiado pequeno. Se encontrar uma chave de 1024 bits num servidor, substitua-a: nenhuma CA pública emitirá um certificado para ela.

Preenchimento Incorreto

Nunca cifre dados em bruto com RSA. Sem um esquema de preenchimento, mensagens idênticas produzem texto cifrado idêntico, e os atacantes podem lançar ataques de texto cifrado escolhido. Um esquema de preenchimento acrescenta bytes aleatórios e estruturados antes da cifragem. O RSA utiliza três, todos definidos no PKCS #1 (RFC 8017):

• Optimal Asymmetric Encryption Padding (OAEP), para cifragem.
• PSS, para assinaturas. O TLS 1.3 exige-o para as assinaturas do handshake RSA.
• PKCS #1 v1.5, o esquema original, ainda permitido para assinaturas de certificados.

A cifragem PKCS #1 v1.5 é o motivo pelo qual a troca de chaves RSA foi retirada de uso. Daniel Bleichenbacher publicou um ataque de oráculo de preenchimento contra ela em 1998, e o ataque ROBOT encontrou a mesma falha ainda ativa em sites populares em 2017.

Exposição Durante a Troca de Chaves

Se um atacante substituir a sua própria chave pública durante o handshake, pode ler tudo o que se segue. Trata-se de um ataque man-in-the-middle. Os certificados assinados por CAs de confiança bloqueiam-no, porque o seu navegador verifica a assinatura do certificado e rejeita uma chave falsa. O ataque só funciona quando as verificações de certificado são ignoradas ou um utilizador clica para ignorar um aviso do navegador.

---

O RSA Está a Ser Eliminado Gradualmente?

Ainda não. Os certificados RSA continuam a ser emitidos e de confiança em 2026, mas o NIST propôs a retirada do RSA na próxima década devido aos computadores quânticos. O seu plano preliminar, NIST IR 8547, descontinuaria o RSA-2048 após 2030 e proibiria todo o RSA após 2035. Ainda é um rascunho público inicial de novembro de 2024.

A ameaça é o algoritmo de Shor, publicado em 1994, que fatora números grandes rapidamente num computador quântico suficientemente potente. Em maio de 2025, Craig Gidney, da Google Quantum AI, estimou que o RSA-2048 poderia cair em menos de uma semana com menos de 1 milhão de qubits ruidosos. A sua estimativa de 2019 exigia 20 milhões, e não existe uma máquina de nenhuma dessas dimensões.

O NIST finalizou os substitutos a 13 de agosto de 2024: o ML-KEM (FIPS 203) para troca de chaves, e o ML-DSA (FIPS 204) e o SLH-DSA (FIPS 205) para assinaturas.

A troca de chaves foi a primeira a mudar devido ao princípio “recolher agora, decifrar depois”: o tráfego gravado hoje poderia ser decifrado assim que existisse um grande computador quântico. É por isso que o Chrome já combina o X25519 com o ML-KEM. As assinaturas não carregam esse risco, porque uma assinatura falsificada só importa enquanto o certificado for válido.

Para um site, nada é urgente. Continue a utilizar certificados RSA-2048 ou ECDSA P-256, automatize as renovações e esteja atento a certificados pós-quânticos, que as CAs públicas ainda não emitem. A Criptografia de Curva Elíptica (ECC) enfrenta o mesmo risco quântico, pelo que mudar para ECDSA traz velocidade, não segurança quântica. Saiba mais sobre o problema pós-quântico por trás da validade do SSL.

---

Perguntas Frequentes sobre Encriptação RSA

---

Proteja o Seu Site com Certificados SSL Baseados em RSA e de Confiança

Para a maioria dos sites, um certificado DV com uma chave RSA-2048 da SSL Dragon é o ponto de partida certo. É emitido em minutos, é de confiança de 99,99% dos navegadores e funciona com todos os clientes. Se o seu servidor e visitantes o suportarem, escolha antes o ECDSA para handshakes mais pequenos e rápidos. Compare certificados SSL e escolha o nível de validação de que o seu site necessita.