Da anni si sente dire che i computer quantistici "romperanno la crittografia". La frase è vera solo in parte, e soprattutto non riguarda tutta la crittografia allo stesso modo. Ciò che è certo è che la comunità internazionale ha già definito nuovi algoritmi, detti post-quantistici, e che la loro adozione è iniziata. Vediamo perché, e cosa significa in pratica.
Cosa minaccia davvero un computer quantistico
Un computer quantistico non è semplicemente un computer più veloce. Per alcuni problemi specifici, sfruttando fenomeni della meccanica quantistica, può usare algoritmi che non hanno equivalenti efficienti sui computer classici.
Due algoritmi sono rilevanti per la crittografia.
- L'algoritmo di Shor (1994) risolve in modo efficiente la fattorizzazione e il logaritmo discreto. Sono proprio i problemi su cui si basano RSA, Diffie-Hellman e la crittografia a curve ellittiche. Un computer quantistico abbastanza grande e affidabile li renderebbe insicuri.
- L'algoritmo di Grover (1996) accelera la ricerca esaustiva, ma in misura molto più limitata: in pratica dimezza la sicurezza effettiva di una chiave simmetrica. Per questo AES-256 resta adeguato, e le funzioni hash con uscite lunghe, come SHA-256 e SHA-384, conservano un buon margine.
In sintesi: a rischio è soprattutto la crittografia a chiave pubblica, cioè lo scambio di chiavi e le firme digitali. La cifratura simmetrica richiede al più chiavi più lunghe.
Se non esistono ancora, perché preoccuparsi ora?
Oggi non esiste un computer quantistico in grado di rompere RSA o le curve ellittiche alle dimensioni usate nella pratica, e nessuno sa con certezza quando ne esisterà uno. Ci sono però due buoni motivi per muoversi in anticipo.
Raccogli ora, decifra dopo
Un avversario può registrare oggi comunicazioni cifrate e conservarle, in attesa di poterle decifrare in futuro. Per informazioni che devono restare riservate per molti anni, come dati sanitari, segreti industriali o comunicazioni diplomatiche, il rischio è già attuale.
Le migrazioni richiedono anni
Sostituire un algoritmo crittografico in tutti i sistemi, i dispositivi, i protocolli e i certificati di un'organizzazione è un lavoro lungo. L'esperienza con l'abbandono di SHA-1 o delle vecchie versioni di TLS mostra che servono anni. Iniziare tardi significherebbe arrivare impreparati.
I nuovi standard
Nel 2016 l'ente statunitense NIST ha avviato un processo pubblico, simile a quello che portò ad AES, per selezionare algoritmi resistenti ai computer quantistici. Ricercatori di tutto il mondo hanno proposto e attaccato decine di candidati. Nell'agosto 2024 sono stati pubblicati i primi tre standard:
| Standard | Nome | Funzione | Base matematica |
|---|---|---|---|
| FIPS 203 | ML-KEM (derivato da Kyber) | Scambio di chiavi | Reticoli |
| FIPS 204 | ML-DSA (derivato da Dilithium) | Firma digitale | Reticoli |
| FIPS 205 | SLH-DSA (derivato da SPHINCS+) | Firma digitale | Funzioni hash |
Gli algoritmi basati su reticoli offrono buone prestazioni, ma chiavi e firme più grandi di quelle a curve ellittiche. SLH-DSA si basa solo sulla sicurezza delle funzioni hash: è considerato molto conservativo, ma produce firme decisamente più voluminose.
Il processo ha anche mostrato quanto sia importante la prudenza: alcuni candidati promettenti sono stati violati durante la selezione con attacchi eseguiti su normali computer classici. Un algoritmo nuovo ha bisogno di anni di analisi prima di meritare fiducia.
La strategia di transizione: l'approccio ibrido
Proprio perché gli algoritmi post-quantistici sono giovani, molti sistemi adottano uno schema ibrido: lo scambio di chiavi combina un algoritmo classico collaudato, come X25519, con uno post-quantistico, come ML-KEM. La chiave finale deriva da entrambi, quindi per violarla un attaccante dovrebbe rompere tutti e due.
Questo approccio è già in uso. I principali browser e diversi grandi servizi web supportano scambi di chiavi ibridi in TLS, e alcune app di messaggistica cifrata hanno aggiornato i loro protocolli per includere una componente post-quantistica.
Come prepararsi
Per un'azienda o un professionista che gestisce sistemi informatici, i passi concreti sono questi:
- inventario crittografico: sapere dove si usano RSA, Diffie-Hellman e curve ellittiche, in protocolli, certificati, VPN, firme del software e dispositivi;
- priorità ai dati di lunga durata: proteggere per primi i dati che devono restare riservati per molti anni;
- agilità crittografica: progettare i sistemi in modo che cambiare algoritmo sia una modifica di configurazione e non una riscrittura;
- aggiornamenti: mantenere aggiornati sistemi operativi, browser e librerie, che stanno introducendo il supporto ai nuovi algoritmi;
- chiavi simmetriche lunghe: preferire AES-256 dove possibile.
In sintesi
- I computer quantistici minacciano soprattutto RSA, Diffie-Hellman e curve ellittiche, grazie all'algoritmo di Shor.
- La cifratura simmetrica resiste con chiavi lunghe: AES-256 resta adeguato.
- Nel 2024 sono stati pubblicati gli standard ML-KEM, ML-DSA e SLH-DSA.
- Il rischio "raccogli ora, decifra dopo" rende la transizione urgente per i dati di lunga durata.
- La strada più prudente è l'approccio ibrido, accompagnato da inventario e agilità crittografica.
