Crittografia post-quantistica, cos'è, standard NIST e come migrare

La crittografia post-quantistica è l'unica applicazione del calcolo quantistico con una scadenza già scritta, perché non serve possedere un computer quantistico per esserne coinvolti, ma basta avere dati che devono restare riservati più a lungo di quanto impiegherà l'hardware a maturare. Questa guida copre tutto il necessario per decidere, dalla minaccia esatta portata dall'algoritmo di Shor a cosa protegge e cosa no, dagli standard NIST pubblicati nel 2024 alla matematica dei reticoli spiegata al giusto livello, fino al principio di crypto-agility e al piano di migrazione in cinque passi, con le scadenze regolatorie già fissate in Europa e negli Stati Uniti. Il taglio è operativo, perché la crittografia post-quantistica è un cantiere da pianificare, più che un dibattito da seguire.

Che cos'è la crittografia post-quantistica?

La crittografia post-quantistica, spesso abbreviata PQC, è la famiglia di algoritmi crittografici costruiti su problemi matematici per cui non si conoscono attacchi efficienti nemmeno da parte di un computer quantistico. Vale la pena sciogliere subito un equivoco comune, perché non è crittografia quantistica e non usa né qubit né fotoni, dato che gira su computer, smartphone e server ordinari esattamente come RSA, ed è per questo distribuibile con un semplice aggiornamento software. La differenza sta nella matematica sottostante, perché al posto della fattorizzazione e del logaritmo discreto, vulnerabili all'algoritmo di Shor, vengono usati problemi come quelli sui reticoli, resistenti a ogni attacco quantistico noto finora. Un inquadramento generale è disponibile su Wikipedia.

Perché RSA e le curve ellittiche sono a rischio?

RSA e le curve ellittiche sono a rischio perché la loro sicurezza poggia su due problemi, la fattorizzazione e il logaritmo discreto, che l'algoritmo di Shor risolve in tempo polinomiale su hardware quantistico corretto. Non si tratta di una minaccia negoziabile allungando le chiavi, dato che il costo dell'attacco cresce solo polinomialmente con la loro dimensione. Va però delimitata con precisione, perché riguarda la crittografia a chiave pubblica, cioè scambio di chiavi, firme digitali e certificati. La crittografia simmetrica, come AES, e le funzioni hash subiscono al più il vantaggio quadratico di Grover, neutralizzabile raddoppiando le lunghezze, tanto che AES-256 resta considerato sicuro e non richiede la sostituzione con algoritmi di crittografia post-quantistica. Il perimetro della migrazione, quindi, è vasto ma definito, e comprende tutto ciò che oggi usa RSA, Diffie-Hellman o curve ellittiche. In un'organizzazione tipica significa canali TLS, VPN, firme di documenti e codice, identità digitali e una lunga coda di sistemi dei fornitori, tanto che il perimetro reale emerge davvero solo facendo l'inventario.

Perché il problema è urgente già oggi?

Il problema è urgente già oggi per via della strategia detta harvest now, decrypt later, che consiste nell'intercettare e archiviare oggi traffico cifrato, a costi di storage ormai irrisori, per poi decifrarlo quando l'hardware quantistico sarà maturo. Ne segue la regola con cui si calcola l'urgenza, nota come teorema di Mosca, secondo cui se la vita utile del dato più il tempo di migrazione supera il tempo di arrivo della minaccia, si è già in ritardo. Per segreti industriali, dati sanitari, informazioni classificate e proprietà intellettuale, categorie con riservatezza spesso ventennale, il conto è presto fatto. Ed è proprio per questo che la crittografia post-quantistica non aspetta il vantaggio quantistico, perché la finestra di rischio si è aperta con gli archivi, non con le macchine.

Quali sono gli standard NIST del 2024?

Il processo di standardizzazione del NIST, avviato nel 2016 con una competizione internazionale, ha prodotto nel 2024 i primi standard federali. ML-KEM, derivato da CRYSTALS-Kyber, serve per l'incapsulamento delle chiavi, cioè il ruolo oggi svolto da RSA e Diffie-Hellman nello stabilire canali sicuri, mentre ML-DSA, derivato da CRYSTALS-Dilithium, e SLH-DSA, basato su funzioni hash, servono per le firme digitali. Ulteriori schemi, su basi matematiche diverse, restano in valutazione per diversificare il rischio, così che se una famiglia di problemi cedesse a un attacco imprevisto le alternative sarebbero già pronte. Per un'organizzazione, questi nomi sono la lista della spesa della migrazione, e la loro adozione nei protocolli e nelle librerie principali è già in corso, tanto che chi migra oggi lavora su standard già consolidati, il frutto di quasi un decennio di valutazione pubblica.

Su cosa si basa la sicurezza dei reticoli?

I reticoli su cui si basano gli schemi standardizzati sono strutture matematiche molto studiate, delle griglie regolari di punti in spazi con centinaia di dimensioni, in cui alcuni problemi geometrici restano estremamente difficili da risolvere anche con potenza di calcolo enorme. La proprietà decisiva, per chi deve fidarsi di questi algoritmi, è che non si conosce alcun algoritmo quantistico efficiente in grado di romperli, nonostante decenni di tentativi, perché l'algoritmo di Shor sfrutta una struttura periodica che i reticoli, per quanto ne sappiamo, non offrono. Resta una sicurezza congetturale, come per tutta la crittografia moderna, ma costruita su fondamenta studiate a fondo dalla comunità scientifica internazionale.

Cosa cambia in pratica per prestazioni e dimensioni

La migrazione comporta più di un semplice cambio di libreria, ed è bene saperlo in anticipo. Le chiavi e le firme post-quantistiche sono più grandi, dato che dove una chiave a curve ellittiche occupa decine di byte, ML-KEM ne richiede centinaia o migliaia, e alcune firme crescono ancora di più. Le conseguenze pratiche riguardano handshake di rete più pesanti, certificati più grandi, possibili problemi su dispositivi vincolati come sistemi embedded e smart card, e protocolli da riadattare. Le prestazioni computazionali, in compenso, sono generalmente buone, spesso persino migliori di RSA. È aritmetica di sistema, non drammatica ma reale, che va misurata sui propri carichi effettivi più che semplicemente assunta, ed è parte del lavoro di migrazione serio. La buona notizia è che l'ecosistema della crittografia post-quantistica ha già assorbito buona parte di questi vincoli, dato che le implementazioni di riferimento sono ottimizzate e i profili per dispositivi vincolati sono in via di definizione.

Cos'è la crypto-agility e perché conta?

La crypto-agility è la lezione strategica di tutta questa vicenda, perché consiste nel progettare i sistemi in modo che gli algoritmi crittografici siano sostituibili senza dover riscrivere le applicazioni. La transizione attuale è resa lenta e costosa proprio dalla crittografia cablata in profondità, dentro firmware, protocolli proprietari e dispositivi decennali, mentre la prossima transizione, perché ce ne sarà comunque una, qualunque sia la causa, dovrà costare meno. In pratica significa astrazione delle primitive crittografiche, inventari mantenuti nel tempo e adozione delle modalità ibride, in cui classico e post-quantistico lavorano insieme così che la sicurezza regga anche se uno dei due cedesse. I grandi protocolli di rete stanno già seguendo questa strada, e vale la pena tenerla come riferimento.

Come si costruisce il piano di migrazione?

Il piano di migrazione si articola in cinque passi sequenziali, ormai codificati dalle linee guida delle principali agenzie.

1. Inventario. Censire dove vive la crittografia vulnerabile, incluso ciò che è annidato in fornitori, dispositivi e protocolli, tipicamente la fase più lunga.
2. Classificazione. Ordinare i dati per vita utile, perché è questo criterio, dettato dal teorema di Mosca, a stabilire le priorità.
3. Priorità. Partire dalle infrastrutture critiche, dai canali con dati a lunga riservatezza e dai sistemi di firma con validità pluriennale.
4. Sostituzione. Adottare gli standard, preferibilmente in modalità ibrida, coordinandosi con i fornitori.
5. Verifica. Effettuare test di interoperabilità e prestazioni, con un monitoraggio continuo, perché la migrazione è un programma pluriennale, non un progetto una tantum.

Quali scadenze hanno fissato i regolatori?

Le principali giurisdizioni hanno già messo date precise sul calendario. Negli Stati Uniti, direttive federali impongono alle agenzie l'inventario crittografico e la transizione dei sistemi di sicurezza nazionale, con orizzonti che puntano all'inizio degli anni Trenta. In Europa, la roadmap coordinata dagli Stati membri chiede l'avvio formale della migrazione e la protezione prioritaria delle infrastrutture critiche entro fine decennio, in raccordo con la direttiva NIS2. Il tema rientra inoltre nel perimetro della sicurezza nazionale e delle tecnologie critiche. Il messaggio regolatorio è ormai univoco, perché la crittografia post-quantistica è passata da raccomandazione a obbligo con scadenza, e i tempi tecnici di un inventario serio consigliano di non attendere l'ultimo anno utile.

Che ruolo ha l'emulazione nella preparazione?

L'emulazione gioca qui un ruolo soprattutto formativo e di valutazione del rischio. In un ambiente di emulazione quantistica come la piattaforma EQM utilizzata da HumanQ, il team di sicurezza può eseguire l'algoritmo di Shor su istanze ridotte e capire meccanicamente come lavora l'attacco che sta contrastando, così che la difesa si dimensioni meglio quando la minaccia non è più una sigla astratta ma un esperimento riprodotto con le proprie mani. L'emulazione serve anche a seguire l'evoluzione delle varianti d'attacco a basso consumo di qubit, il parametro che più influenza le stime dei tempi. Unita all'inventario e al piano di migrazione, chiude il cerchio della quantum readiness, un percorso che si riassume in tre passaggi, capire, quantificare, agire.