Italiano
La crittografia post-quantistica prepara le nostre serrature digitali a un grimaldello diverso. Lo scopo è proteggere le informazioni dai futuri computer quantistici abbastanza potenti da superare parti importanti della sicurezza attuale.
Non serve un portatile quantistico per usarla. Servono normali software che implementino una nuova crittografia adatta e servizi che la supportino. Il gatto può continuare a occupare il portatile che hai già.
Che cosa significa «post-quantistica»?
L’introduzione del NIST alla crittografia post-quantistica descrive algoritmi progettati per resistere agli attacchi di computer sia convenzionali sia quantistici. Funzionano su macchine convenzionali. La loro sicurezza si fonda su problemi matematici per cui non si conosce un attacco quantistico efficiente.
Quest’ultima formulazione conta. I crittografi formulano giudizi di sicurezza esaminati con attenzione, non promettono che nessuno scoprirà mai un attacco migliore. Standard, scrutinio pubblico e implementazione corretta fanno tutti parte del quadro.
La distribuzione quantistica delle chiavi è un approccio diverso, che usa effetti quantistici e apparecchiature specializzate per distribuire chiavi. La PQC è pensata per computer e reti che utilizziamo già, anche se alcuni dispositivi e prodotti richiederanno comunque sostituzioni o modifiche ingegneristiche.
Una connessione sicura ha diversi compiti
Immagina di spedire un pacco: devi proteggerne il contenuto, stabilire con chi hai a che fare e predisporre le chiavi necessarie. La sicurezza su internet ha livelli paragonabili, anche se la matematica vera si dimostra meno comodamente con una scatola di cartone.
La crittografia simmetrica usa una chiave segreta condivisa per proteggere i dati in modo efficiente. AES è un esempio noto. La crittografia a chiave pubblica usa chiavi pubbliche e private per funzioni come stabilire segreti condivisi e creare firme digitali. Queste firme aiutano ad autenticare le informazioni e a rilevare modifiche.
Una moderna connessione a un sito combina questi compiti. Descrivere ogni handshake come la cifratura di un messaggio con la chiave pubblica del server è fuorviante: un accordo sulle chiavi può invece derivare un segreto condiviso. Certificati e firme hanno uno scopo diverso dalla cifratura del contenuto della pagina.
La nostra guida alla risoluzione DNS (in inglese) copre un’altra parte del viaggio: trovare innanzitutto il server. Trovare un indirizzo e proteggere la conversazione sono passaggi separati.
Perché i computer quantistici cambiano il calcolo
RSA si basa sulla difficoltà di fattorizzare grandi numeri interi. Sistemi diffusi a curve ellittiche si basano su problemi di logaritmo discreto. L’algoritmo quantistico di Shor offre modi efficienti per risolvere questi problemi su una macchina sufficientemente capace.
«Efficiente» non significa istantaneo. Dimensione della chiave, algoritmo, correzione degli errori e hardware reale influenzano le risorse necessarie. Per esempio, una stima di ricerca di Google del maggio 2025 descriveva la fattorizzazione di un intero RSA di 2.048 bit in circa una settimana con circa un milione di qubit fisici rumorosi, secondo le sue ipotesi. Era una stima teorica delle risorse, non una dimostrazione che Google avesse violato quella chiave.
La ricerca può cambiare queste stime. Un attacco previsto è un motivo per prepararsi, non un appuntamento affidabile sul calendario per il giorno in cui finirà la cifratura.
La cifratura simmetrica affronta una sfida quantistica diversa. Le FAQ del NIST spiegano i limiti degli attacchi basati su Grover, inclusi i costi pratici e la difficoltà di parallelizzazione. AES-256 non è minacciato nello stesso modo di RSA. La migrazione non significa buttare via tutti gli strumenti crittografici esistenti.
Perché prepararsi prima che l’attacco sia praticabile?
Il timore spesso chiamato «raccogli ora, decifra dopo» è semplice: un attaccante potrebbe registrare comunicazioni cifrate vulnerabili, conservarle e cercare di recuperarne il contenuto quando saranno disponibili strumenti migliori. Il NIST ne discute nella bozza sulla transizione del novembre 2024.
Questo non significa che una macchina futura riveli automaticamente ogni byte cifrato mai raccolto. Il risultato dipende dallo schema crittografico, dalle informazioni catturate e da eventuali protezioni aggiuntive. Ma un segreto che deve durare decenni richiede un orizzonte di pianificazione diverso da un messaggio usa e getta sulla cena di stasera.
C’è anche un altro conto alla rovescia: sostituire la crittografia in servizi, dispositivi e fornitori richiede tempo. Aspettare la dimostrazione di un attacco lascerebbe una mole enorme di lavoro per un pomeriggio molto spiacevole.
I tre standard da riconoscere
Il NIST ha finalizzato i primi tre standard PQC nell’agosto 2024:
- ML-KEM, FIPS 203: un meccanismo di incapsulamento delle chiavi derivato da CRYSTALS-Kyber. Aiuta a stabilire un segreto condiviso che altri strumenti crittografici possono poi usare.
- ML-DSA, FIPS 204: uno schema di firma digitale derivato da CRYSTALS-Dilithium.
- SLH-DSA, FIPS 205: uno schema di firma basato su hash derivato da SPHINCS+, con una base matematica diversa dagli standard basati sui reticoli.
I primi due usano reticoli strutturati: disposizioni matematiche di punti i cui problemi associati diventano difficili in molte dimensioni. L’alternativa basata su hash offre un’utile diversità. Non devi visualizzare le dimensioni per capire l’idea pratica: basi diverse riducono la dipendenza da un’unica famiglia di ipotesi.
Sono elementi costitutivi con compiti diversi. Un algoritmo di firma non sostituisce un meccanismo di incapsulamento delle chiavi solo perché entrambi hanno l’etichetta post-quantistica.
La migrazione è già un problema di ingegneria del software
L’annuncio di Google su Chrome del settembre 2024 descriveva il passaggio dell’accordo ibrido sulle chiavi dal Kyber sperimentale allo standard ML-KEM, combinato con X25519. Il progetto unisce componenti convenzionali e post-quantistici invece di affidarsi completamente al più recente.
L’annuncio illustra anche il lavoro sulla compatibilità: la precedente versione di Kyber e l’ML-KEM finale non erano intercambiabili, quindi i server andavano preparati. Messaggi più grandi possono influenzare le connessioni, e le prestazioni dipendono da algoritmo, dispositivo e rete. «Nessuno se ne accorgerà» è un obiettivo progettuale, non una misurazione universale.
Un accordo ibrido sulle chiavi, inoltre, non aggiorna automaticamente certificati, firme, dati archiviati e ogni altro livello. Un browser aggiornato è un partecipante in un sistema molto più vasto.
La tabella di marcia del NCSC britannico del marzo 2025 raccomanda ricognizione e pianificazione iniziale entro il 2028, migrazioni prioritarie entro il 2031 e completamento entro il 2035. Sono obiettivi di migrazione per le organizzazioni, non previsioni dell’arrivo di una macchina capace di violare i codici al cambio di calendario.
Che cosa dovrebbe fare un utente comune?
Mantieni aggiornati dispositivi e software ancora supportati per ricevere le nuove protezioni. Per chi gestisce sistemi, il compito più ampio è identificare le dipendenze crittografiche, chiedere ai fornitori quali piani abbiano e provare con cura le sostituzioni. Un prodotto etichettato «quantum-safe» deve comunque inserirsi in un sistema sicuro.
Conta ancora anche la sicurezza degli account. Password lunghe e uniche, un gestore di password (in inglese) adatto e autenticazione aggiuntiva proteggono da minacce note. Un handshake più robusto non impedisce di consegnare le credenziali a una convincente pagina di accesso falsa.
La promessa della PQC è rassicurantemente pratica: gran parte del cambiamento può avvenire dentro software e servizi mentre tu continui la giornata. Il lavoro dietro quell’aggiornamento silenzioso è considerevole. Idealmente, la cosa più drammatica vicino al computer resterà il gatto che butta una penna dalla scrivania.
Traduzione italiana dell’articolo originale in inglese del 2026-06-23. Tradotto il 30 ottobre 2026 con assistenza IA; i riferimenti temporali restano quelli dell’originale.
