Il computer quantistico capace di violare la crittografia attuale non esiste ancora. Eppure governi e aziende stanno già cambiando il modo in cui proteggono i dati. Il motivo ha un nome inglese piuttosto inquietante: “harvest now, decrypt later”. Raccogli oggi, decifra domani.
Chi intercetta comunicazioni cifrate può conservarle per anni. Quando arriverà una macchina quantistica abbastanza potente, potrà aprirle. Per i dati che devono restare segreti a lungo, come cartelle cliniche, segreti industriali o documenti di Stato, il pericolo è già attuale.
La risposta si chiama crittografia post-quantistica. Sono nuovi algoritmi pensati per resistere sia ai computer di oggi sia a quelli quantistici di domani. Gli Stati Uniti hanno pubblicato i primi standard nell’agosto 2024. L’Unione europea ha fissato le sue scadenze: le infrastrutture critiche dovranno passare ai nuovi sistemi entro il 2030.
Perché il quantistico fa paura
Gran parte della sicurezza su internet si basa su problemi matematici molto difficili. Per un computer tradizionale, scomporre un numero enorme nei suoi fattori primi richiede tempi lunghissimi. Su questa difficoltà poggiano algoritmi come RSA e la crittografia a curve ellittiche.
Proteggono quasi tutto quello che facciamo in rete, dal bonifico fatto dal divano al lucchetto nel browser, fino alle firme digitali e alle VPN aziendali. Ogni volta che due computer si scambiano una chiave segreta, entrano in gioco questi algoritmi.
Nel 1994 il matematico Peter Shor ha dimostrato che un computer quantistico potrebbe risolvere quei problemi in tempi ragionevoli. L’algoritmo di Shor è rimasto a lungo un esercizio teorico, perché le macchine necessarie non esistevano. Oggi i computer quantistici esistono, anche se ancora troppo piccoli e instabili per questo compito.
Nessuno sa dire con certezza quando arriverà una macchina abbastanza potente. Le stime degli esperti variano di molti anni. Proprio questa incertezza spinge governi e aziende a muoversi adesso, senza aspettare una data precisa.
Non tutta la crittografia è uguale
Il pericolo riguarda soprattutto la crittografia “a chiave pubblica”, quella usata per scambiarsi le chiavi e firmare. La crittografia simmetrica, come AES, che cifra i dati veri e propri, regge meglio. Per proteggerla basta, in genere, usare chiavi più lunghe.
Il punto debole è quindi il momento della stretta di mano tra due sistemi. Se un attaccante può ricostruire la chiave scambiata, può leggere tutto quello che viene dopo.
I nuovi standard
Nel 2016 il NIST, l’istituto statunitense per gli standard, ha lanciato una gara internazionale. Crittografi di tutto il mondo hanno proposto algoritmi, e per anni la comunità ha cercato di romperli. I sopravvissuti sono diventati standard il 13 agosto 2024.
Gli standard pubblicati sono tre. FIPS 203 definisce ML-KEM, derivato dall’algoritmo CRYSTALS-Kyber, che serve a scambiare le chiavi. FIPS 204 definisce ML-DSA, nato da CRYSTALS-Dilithium, per le firme digitali. FIPS 205 definisce SLH-DSA, basato su SPHINCS+, un secondo metodo di firma costruito su principi matematici diversi.
Altri tasselli sono in arrivo. Nel 2025 il NIST ha scelto HQC come algoritmo di riserva per lo scambio di chiavi, indipendente da ML-KEM. Un quarto standard di firma, basato su Falcon, è in preparazione.
Una diversificazione voluta
Puntare su basi matematiche diverse è una scelta precisa. Se un giorno si scoprisse una debolezza in una famiglia, l’altra resterebbe in piedi. La cautela ha le sue ragioni: alcuni candidati della gara sono stati violati proprio durante la selezione, con computer normali.
[Infografica: i tre standard NIST e il loro uso – scambio di chiavi e firme digitali]
La strada ibrida
Proprio per prudenza, oggi si preferisce non sostituire di colpo i vecchi algoritmi. Si usa la crittografia ibrida. Due algoritmi lavorano insieme: uno classico, collaudato da decenni, e uno post-quantistico.
Ognuno genera una propria parte di segreto. Le due parti vengono combinate per creare la chiave che protegge la sessione. Per violarla, un attaccante dovrebbe rompere entrambi gli algoritmi.
Se il nuovo algoritmo nascondesse un difetto, resterebbe in piedi la protezione classica. Se invece un computer quantistico mettesse fuori gioco quella classica, a reggere sarebbe la parte post-quantistica.
È già nel nostro browser
L’approccio ibrido è già uscito dai laboratori. Chrome usa per impostazione predefinita lo scambio di chiavi X25519MLKEM768 dalla versione 131, su computer desktop. Firefox lo ha attivato dalla versione 132. La combinazione unisce la curva X25519, classica, con ML-KEM.
Molti utenti, senza saperlo, navigano già con connessioni protette anche contro i computer quantistici. Lo stesso approccio si sta diffondendo nelle VPN, nelle reti aziendali e nei sistemi di storage che cifrano i dati in transito.
L’Europa fissa le scadenze
Il 23 giugno 2025 la Commissione europea e gli Stati membri hanno pubblicato una tabella di marcia coordinata per la transizione, con tre scadenze.
Entro la fine del 2026 ogni Stato membro deve avviare la transizione e approvare un proprio piano nazionale. Entro il 2030 i sistemi critici, come energia, finanza, sanità e difesa, dovranno usare crittografia resistente ai computer quantistici. Entro il 2035 la transizione dovrebbe coprire, per quanto possibile, tutti gli altri sistemi.
Anche negli Stati Uniti si guarda al 2035. Il NIST ha proposto di vietare da quell’anno gli algoritmi a chiave pubblica vulnerabili al calcolo quantistico.
Cosa significa per le aziende
Una migrazione crittografica non si fa in un fine settimana. La crittografia è ovunque: nei server, nelle applicazioni, nei dispositivi di rete, nello storage, nei sistemi di backup. Spesso nessuno ha un elenco completo di dove si trovi.
Si comincia dall’inventario, cioè sapere quali sistemi usano quali algoritmi, e quali dati devono restare riservati per molti anni. Poi viene quella che gli specialisti chiamano “cripto-agilità”: scegliere prodotti che permettano di cambiare algoritmo con un aggiornamento, senza rifare tutto.
E bisogna parlare con i fornitori. Server, storage, firewall e software gestionali dovranno supportare i nuovi standard. Chi rinnova oggi un’infrastruttura destinata a durare dieci anni dovrebbe tenerne conto fin da subito.
Servono anche dei test. Le chiavi dei nuovi algoritmi sono più grandi di quelle tradizionali, e alcuni dispositivi più vecchi possono avere problemi a gestirle. Meglio scoprirlo in laboratorio che in produzione.
Il calendario può sembrare lontano. Ma i dati rubati oggi potrebbero essere letti proprio negli anni in cui scadono quelle date.
Le informazioni ufficiali sugli standard sono raccolte nella pagina del NIST dedicata alla Post-Quantum Cryptography. La tabella di marcia europea è disponibile sul sito della Commissione europea.