DEV Community: gabrielacarvalho

Java 27 e a criptografia pós-quântica: o que muda para quem programa (e onde a AWS entra nisso)

gabrielacarvalho — Mon, 28 Sep 2026 18:55:39 +0000

Um lançamento que olha para daqui a dez anos
No dia 15 de setembro a Oracle lançou o Java 27, e dessa vez a estrela da festa não foi uma sintaxe nova nem um atalho bonito para escrever menos código. O destaque foi segurança, mais especificamente a criptografia pós-quântica.

Ninguém precisa de um computador quântico hoje para se preocupar com ele. Basta alguém capturar o tráfego criptografado da sua aplicação agora e guardar numa gaveta. Quando a máquina certa existir, é só abrir a gaveta. Esse golpe tem nome, "harvest now, decrypt later", e é justamente ele que o Java 27 começa a dificultar.

A boa notícia para quem vive de Java é que a proteção chega pela própria plataforma, sem obrigar ninguém a reescrever sistema. E quem roda na AWS encontra um ecossistema que já vem caminhando na mesma direção há algum tempo.

O que chegou de novo
A atração é a JEP 527. Com ela, o Java passa a suportar troca de chaves híbrida direto no TLS 1.3, o protocolo que protege praticamente toda conexão HTTPS. "Híbrida" quer dizer que o handshake combina um algoritmo clássico, que a gente já conhece e confia, com um algoritmo resistente a ataques quânticos. Se um dos dois cair um dia, o outro continua segurando a porta.

Em volta disso vieram melhorias que todo mundo que já brigou com certificado vai gostar. O suporte a arquivos PEM, aqueles onde moram certificados e chaves privadas, ficou melhor. E o Java Flight Recorder agora consegue esconder dados sensíveis antes que eles saiam da JVM, o que evita aquele susto de descobrir um token dentro de uma gravação de diagnóstico.

No desempenho, a JEP 534 liga por padrão os cabeçalhos compactos de objetos, o que reduz o consumo de memória sem você mexer em nada. A JEP 537 dá mais um passo na Vector API, que executa a mesma instrução sobre vários dados ao mesmo tempo e ajuda bastante em cargas pesadas como as de inteligência artificial. O G1 vira o coletor de lixo padrão em todos os ambientes, as lazy constants ficaram melhores e a concorrência estruturada chegou à sétima prévia.

Vale um lembrete honesto: o Java 27 não é uma versão LTS. Ele segue o ciclo semestral e chega seis meses depois do Java 26. A própria Oracle diz que a ideia é levar recursos equivalentes para as versões de suporte longo ao longo do tempo.

O que muda para quem programa ?
A primeira coisa é que segurança pós-quântica deixa de ser um projeto paralelo. Até pouco tempo, quem queria esse tipo de proteção em Java precisava recorrer a bibliotecas externas, configurar provedores e torcer para tudo conversar bem. Agora o suporte mora na própria plataforma, dentro do TLS que sua aplicação já usa para falar com bancos, APIs e outros serviços.

Isso pesa muito para quem trabalha com dados de vida longa. Prontuário médico, contrato, dado bancário, segredo industrial: tudo isso precisa continuar protegido daqui a dez ou quinze anos.

Também tem ganho de rotina. Quem cuida de observabilidade passa a ter um jeito oficial de limpar dados sensíveis das gravações do JFR, o que facilita a vida com LGPD e auditoria. Quem mexe com certificados escreve menos código de cola para ler e gravar PEM.

E tem o lado do bolso. Cabeçalhos compactos por padrão significam objetos menores, e objetos menores significam mais aplicação cabendo no mesmo pedaço de memória. Em contêiner ou em função serverless, onde memória vira fatura, isso aparece no fim do mês. Quem roda modelos ou processa grandes volumes de números ainda ganha fôlego com a Vector API.

Onde a AWS entra nessa história ?
O primeiro ponto é o mais simples: você nem precisa sair do ecossistema para usar o Java 27. O Amazon Corretto 27, a distribuição gratuita do OpenJDK mantida pela Amazon, já está disponível para Linux, Windows e macOS, com suporte até abril de 2027. No resumo semanal da AWS, a empresa destaca justamente o TLS híbrido da JEP 527, os cabeçalhos compactos e a limpeza de dados do JFR entre as novidades.

O segundo ponto é que a AWS está fazendo a mesma migração do lado dela. Segundo a página de criptografia pós-quântica da AWS, serviços como CloudFront, IAM, KMS e S3 já usam troca de chaves híbrida combinando curvas elípticas com ML-KEM. O plano de migração inclui ainda os serviços que terminam TLS para as suas aplicações, como Elastic Load Balancing, API Gateway e CloudFront. Resultado: uma aplicação em Java 27 conversando com esses endpoints tem os dois lados da conversa falando a mesma língua pós-quântica.

Para quem guarda credenciais, o Secrets Manager estendeu o TLS híbrido para todos os seus clientes, e quem já atualizou para as versões mais recentes não precisa mudar código nem configuração. É um bom exemplo de como a proteção pode chegar quase de graça quando a plataforma e a nuvem andam juntas.

E a conversa não para no transporte. O AWS KMS já permite criar chaves ML-DSA, o padrão pós-quântico de assinatura digital, usando as mesmas APIs de sempre, como CreateKey, Sign e Verify. Para um time Java, isso abre caminho para assinar documentos, tokens ou artefatos de build com algoritmos resistentes a ataques quânticos, sem montar infraestrutura própria de chaves.

Tem também o argumento do desempenho, que costuma ser o primeiro medo de quem ouve falar em pós-quântico. A AWS relata na sua página de migração que CloudFront, S3 e KMS não tiveram impacto relevante em latência ou vazão, e que a implementação otimizada de ML-KEM ficou até 2,7 vezes mais rápida em processadores Graviton e 1,8 vez em x86 em relação às versões anteriores. Somando isso aos cabeçalhos compactos do Java 27, rodar em Graviton fica ainda mais interessante para quem quer economizar.

Um cuidado com Lambda: os runtimes gerenciados de Java historicamente acompanham as versões LTS, então para usar o Java 27 em função serverless o caminho natural é empacotar o Corretto 27 numa imagem de contêiner. Em ECS, EKS ou EC2 basta trocar a imagem base.

Paran mais conteúdos como este, sigam no instagram, @deployada

Fontes
Tecnoblog: Java 27 é lançado com foco em criptografia pós-quântica

AWS: Amazon Corretto 27 is now generally available

AWS Weekly Roundup (setembro de 2026)

AWS: Post-Quantum Cryptography

AWS: Migration to Post-Quantum Cryptography

AWS Security Blog: AWS post-quantum cryptography migration plan

AWS: Secrets Manager clients now support hybrid post-quantum TLS

Você já usa IA pra codar. Mas será que tá usando do jeito certo?

gabrielacarvalho — Tue, 21 Apr 2026 03:55:06 +0000

Você já usa IA pra codar. Mas será que tá usando do jeito certo?

Extensão instalada, atalho configurado... Você abre o painel lateral, descreve o que precisa, a IA responde. Funciona. É sensacional.

Masvocê já tentou usar o Claude Code direto no terminal?

A maioria das devs que usa extensões de IA nunca fez essa transição, até porque a extensão já resolve. O conforto vira um teto invisível.

O problema é que extensão e CLI não são a mesma coisa com visual diferente. São formas de trabalho diferentes, com resultados diferentes.

E a diferença não é só estética. Na extensão, você tende a trabalhar de forma reativa: abre um arquivo, seleciona um trecho, faz uma pergunta. A IA responde sobre aquilo. Na CLI, a dinâmica muda. Você descreve uma tarefa, e o Claude Code age sobre o projeto: lê os arquivos que precisar, propõe mudanças, cria testes, refatora. Você não dirige cada passo, você revisa o resultado.

No terminal você consegue rodar múltiplas sessões paralelas. Uma por módulo, uma por feature, sem misturar contexto. E qualquer pessoa que fez essa transição relata a mesma coisa: os prompts ficam mais precisos, porque a interface CLI te força a pensar antes de escrever.

Não é sobre abandonar sua IDE. É sobre como você trabalha com a IA dentro dela.

CLI ou extensão ? qual a diferença real?

O Claude Code existe em duas formas: CLI (terminal nativo) e extensão para VS Code. E tem um mal-entendido comum sobre as duas.

A extensão não é um produto separado. Ela funciona como uma ponte que conecta o CLI ao ambiente visual do VS Code. O CLI está embutido dentro dela. Não são concorrentes: a extensão envolve o CLI.

⌨️ CLI —> Terminal nativo

É a forma original e mais poderosa. Você roda claude direto no terminal (iTerm, Windows Terminal, terminal do IntelliJ) e toda a interação acontece ali.

Controle total do contexto: edita mensagens anteriores e "rebobina" o estado do código com Double-ESC;
Funcionalidades interativas completas que dependem de TTY: checklists de confirmação, prompts de seleção multi-step;
Mais leve em recursos do sistema;
Múltiplas sessões paralelas. Cada uma no seu terminal.

🖥️ Extensão VS Code

Interface gráfica nativa integrada ao VS Code é a forma recomendada pela Anthropic pra quem usa VS Code.

Diffs inline com accept/reject visual, parecido com o Copilot;
@-mention em arquivos com intervalos de linha específicos;
Histórico de conversas e múltiplas abas;
Revisão e edição dos planos do Claude antes de aceitar;
Curva de entrada mais suave.

⚠️ Detalhe técnico: quando você roda o Claude Code dentro do terminal integrado do VS Code, algumas features que dependem de TTY não funcionam igual a um terminal nativo, como checklists de planos multi-step. Quem usa só a extensão pode nunca ver essas features e achar que são bugs.

Por que forçar o uso do terminal vale a pena?

Se você está acostumada com extensões visuais, o terminal pode parecer um retrocesso. Mas quem fez essa transição relata algo consistente:

"Me forcei a usar o CLI e isso realmente me fez pensar com mais clareza sobre o que estou pedindo. **Extensão = conforto. Terminal = uso mais deliberado."
— r

No terminal, você tende a ser mais precisa. Você pensa antes de escrever. E isso muda a qualidade das respostas.

Outros benefícios que aparecem na comunidade:

"Só uso CLI porque me permite rodar múltiplas sessões em paralelo para um ou mais projetos."

"Tenho 9 instâncias abertas. Nunca mais uso o app desktop. Cansei do inferno de copiar e colar."

"Comecei com a extensão, migrei pro CLI no terminal do Cursor e depois passei a rodar no tmux em servidor Linux."

"Sua preferência por usar CLI deve estar alinhada com como você usa o Git. Se usa Git no terminal, vai se sentir natural aqui também."

A maioria das pessoas que migrou do visual pro CLI não voltou.

💡 Por onde começar: use o terminal integrado da sua própria IDE. O Alt + F12 do IntelliJ. Você mantém o conforto visual do ambiente, mas já desenvolve o hábito do CLI.

Instalação e configuração passo a passo

Vou mostrar como configurar no IntelliJ IDEA, mas o processo funciona em qualquer IDE com terminal integrado (VSCode, Eclipse, etc.).

1. Node.js 18+ instalado

node --version

Se não tiver, baixe em nodejs.org ou via nvm.

2. Instale via npm

npm install -g @anthropic-ai/claude-code

Confirme a instalação:

claude --version

3. Autenticação

Na primeira execução, ele abre o navegador pra login com sua conta Anthropic. Após autenticar, a sessão fica salva localmente.

claude

4. Abrindo o terminal no IntelliJ

Alt + F12 (Windows/Linux) ou ⌥ F12 (Mac) ou vá em View → Tool Windows → Terminal.

5. Navegue até o projeto e inicie

cd /seu/projeto
claude

O Claude Code indexa seu projeto e já está pronto pra receber comandos.

~/projetos/meu-servico-java $ claude

─────────────────────────────────────
✦ Claude Code v1.x.x
  Analisando projeto... encontrei 47 arquivos Java
  pom.xml detectado → projeto Maven/Spring Boot
─────────────────────────────────────

Como posso ajudar?
> _

Primeiros comandos na prática

Vou mostrar como uso no dia a dia com Java e Spring Boot.

Entendendo um erro de compilação

> Estou com NullPointerException na linha 42 do PedidoService. Pode analisar?

Claude: Vou verificar o PedidoService.java...

O problema está em pedido.getCliente().getNome()
sem verificar se getCliente() retorna null.

Sugestão:
Optional.ofNullable(pedido.getCliente())
    .map(Cliente::getNome)
    .orElse("Cliente não identificado");

Quer que eu aplique essa correção no arquivo?

Gerando testes unitários

> Gera testes JUnit 5 com Mockito pro método calcularDesconto() do DescontoService

Claude: Lendo DescontoService.java e suas dependências...
Criando DescontoServiceTest.java com 4 cenários:

  ✓ desconto aplicado para cliente VIP
  ✓ sem desconto para cliente comum
  ✓ lança exceção quando valor é negativo
  ✓ desconto máximo não ultrapassa 50%

✓ Arquivo criado: src/test/java/.../DescontoServiceTest.java

Revisando antes de um PR

> Revisa as mudanças no branch atual antes de eu abrir o PR.

Claude: Analisando diff do branch feature/pagamento-pix...

⚠ PagamentoController.java (linha 87):
   Tratamento de exceção muito genérico,pode esconder erros
⚠ PixService.java (linha 134):
   Timeout hardcoded, considera externalizar no application.yml
✓ Cobertura de testes: adequada para os métodos alterados
✓ Nomenclatura: seguindo padrões do projeto

Casos de uso do dia a dia

Esses são os cenários em que o Claude Code realmente brilha numa rotina de backend:

🧟 Código legado — peça pra Claude explicar um método de 200 linhas sem comentário. Ela lê o arquivo inteiro e resume o que está acontecendo.
🧪 Geração de testes — JUnit + Mockito com happy path e edge cases. Salva muito tempo quando a cobertura está baixa.
📝 Documentação rápida — gera Javadoc em métodos sem documentação. Útil antes de compartilhar código com o time.
🔄 Refatoração — peça pra extrair um método, aplicar um design pattern ou reduzir duplicação. Ela propõe, você aprova.
🐛 Debug assistido — cole a stack trace e peça análise. Ela cruza com o código do projeto pra apontar a causa raiz.
⚙️ Config e boilerplate — beans Spring, DTOs, mappers. As partes chatas que consomem tempo sem agregar raciocínio.

💡 Dica de fluxo: mantenha o Claude Code aberto em uma aba do terminal integrado do IntelliJ e o código na outra. Você nunca precisa minimizar nada.

Limitações que ninguém te conta

Seria desonesto não falar das limitações. Saber quando não usar o Claude Code é tão importante quanto saber quando usar.

📦 Projetos muito grandes: o contexto tem limite. Seja específica. Aponte o arquivo ou módulo que quer analisar em vez de pedir uma análise geral.
💰 Custo de tokens: Claude Code usa a API da Anthropic, cobrada por token. Acompanhe seu consumo no painel.
🌐 Precisa de internet: diferente de modelos locais (LM Studio, Ollama), depende da API. Offline não funciona.
🔒 Código sensível: cuidado com dados confidenciais. Cheque a política da sua empresa antes de enviar código pra API.
🤔 Quando a extensão ainda ganha: pra conversas exploratórias e conceituais, a interface visual ainda é mais confortável.
✅ Sempre revise o diff: Claude propõe mudanças e você aprova. Nunca aceite sem ler. Código correto em isolamento pode não funcionar no contexto do seu sistema.

Muda o onde, muda o como

Usar IA pela extensão funciona. Mas quando você coloca ela dentro do terminal, dentro do seu fluxo, sem atrito, a relação muda. Você deixa de usar IA como ferramenta de consulta e começa a usar como parceira de desenvolvimento.

Não é sobre substituição. É sobre reduzir a resistência entre a dúvida e a resposta, entre o erro e a solução.

Experimenta. Abre o terminal do IntelliJ agora e digita claude. E me conta como foi 💜

Me segue no Instagram e LinkedIn: *@deployada** · Conteúdo de tech pra mulheres que codam 💜*

Vercel Hackeada: A história por trás do ataque

gabrielacarvalho — Tue, 21 Apr 2026 02:37:45 +0000

🔍 O que aconteceu ?

Um funcionário da Vercel usava uma ferramenta de IA chamada Context.ai com sua conta corporativa do Google Workspace.

Em fevereiro de 2026, um funcionário da Context.ai foi infectado por um infostealer chamado Lumma, que foi baixado junto com um script malicioso de jogo. Isso comprometeu as credenciais OAuth da ferramenta.

O atacante usou esse acesso em três pontos principais:

Tomar conta do Google Workspace do funcionário da Vercel;
Escalar privilégios dentro dos sistemas internos;
Acessar variáveis de ambiente não marcadas como sensíveis.

A Vercel confirmou que variáveis marcadas como sensíveis estavam criptografadas e não foram acessadas. Mas as demais estavam expostas, e foi por aí que o atacante escalou ainda mais o acesso.

A empresa classificou o atacante como altamente sofisticado, com "velocidade operacional e conhecimento detalhado dos sistemas da Vercel". Estão trabalhando com a Mandiant na resposta ao incidente.

A boa notícia é que a supply chain foi preservada. O CEO Guillermo Rauch confirmou que Next.js, Turbopack e os projetos open source da Vercel não foram comprometidos.

🧠 Pontos que deveriam ter atenção:

O vetor foi uma ferramenta de IA com acesso amplo demais

Um funcionário autorizou o Context.ai com permissões "Allow All" no Google Workspace corporativo. Isso não deveria ser possível, e se for possível no seu ambiente, é um risco real agora.

OAuth mal configurado é uma porta aberta

Quantas ferramentas têm OAuth ativo no Google Workspace, GitHub ou Slack da sua empresa hoje? Cada uma dessas integrações é uma superfície de ataque em potencial.

"Não sensível" não significa "sem risco"

A Vercel tem criptografia para variáveis marcadas como sensíveis. O problema foi exatamente as que não estavam marcadas. O atacante usou isso para escalar o acesso progressivamente.

⚠️ É necessário tratar toda variável de ambiente como sensível por padrão.

A cadeia de ataque começou com um script de jogo

Um funcionário de uma empresa terceira baixou um "auto-farm" de Roblox. Isso infectou a máquina com um infostealer. Que comprometeu credenciais OAuth. Que deu acesso a uma empresa completamente diferente. Esse é o supply chain attack na vida real.

🛡️ Como se prevenir ?

→ Audite integrações OAuth: Revogue tudo que não está em uso ativo.

→ Nunca autorize "Allow All" : Em ferramentas de terceiros no ambiente corporativo. Princípio do menor privilégio sempre.

→ Classifique ativamente seus secrets: Não deixe o padrão decidir por você.

→ Treine seu time sobre infostealers: A origem do ataque foi um download malicioso num computador pessoal/corporativo de um funcionário de uma empresa parceira.

→ Configure alertas de acesso anômalo: No seu stack de observabilidade (Datadog, Splunk, CloudWatch).

→ Tenha um processo periódico de rotação de secrets — não espere um incidente para criar esse hábito.

Segurança é sobre os hábitos que você constrói antes.

📌 Fontes:

Boletim oficial da Vercel (atualizado) → https://vercel.com/kb/bulletin/vercel-april-2026-security-incident

BleepingComputer → https://www.bleepingcomputer.com/news/security/vercel-confirms-breach-as-hackers-claim-to-be-selling-stolen-data/

The Hacker News → https://thehackernews.com/2026/04/vercel-breach-tied-to-context-ai-hack.html

InfoStealers / Hudson Rock → https://www.infostealers.com/article/breaking-vercel-breach-linked-to-infostealer-infection-at-context-ai/

Context.ai security bulletin (via The Hacker News)

segurança #devops #backend #cloud #vercel #supplychainattack #oauth #infosec #developers