La crittografia post-quantistica, indicata anche con l’acronimo PQC (Post-Quantum Cryptography), identifica una famiglia di algoritmi progettati per resistere agli attacchi condotti sia con computer tradizionali sia con computer quantistici. Contrariamente a quanto il nome potrebbe suggerire, non richiede hardware quantistico.
Si tratta di crittografia matematica eseguibile sui sistemi convenzionali, dai server agli smartphone e va distinta dalla distribuzione quantistica delle chiavi (QKD), che sfrutta fenomeni fisici e richiede infrastrutture dedicate.
L’esigenza di nuovi schemi nasce dalla capacità, teorizzata da tempo e oggetto di crescente attenzione da parte della ricerca, dei computer quantistici di violare gli algoritmi a chiave pubblica su cui poggia la quasi totalità delle comunicazioni digitali odierne, dalle transazioni bancarie ai certificati che proteggono il traffico web, fino alle firme digitali e alle VPN aziendali.
Le potenziali vulnerabilità degli algoritmi attuali
La sicurezza di RSA e della crittografia a curve ellittiche (ECC) si fonda su problemi matematici considerati intrattabili per i computer classici, come la fattorizzazione di grandi numeri interi e il logaritmo discreto. Violare una chiave RSA-2048 con i sistemi tradizionali richiederebbe tempi paragonabili all’età dell’universo.
Nel 1994, quando i computer quantistici erano poco più di un esercizio teorico, il matematico Peter Shor ha però dimostrato che una macchina quantistica sufficientemente potente sarebbe in grado di risolvere entrambi i problemi in tempi rapidi, rendendo di fatto inutilizzabili questi schemi. Un secondo algoritmo quantistico, formulato da Lov Grover, indebolisce invece la crittografia simmetrica dimezzandone il livello di sicurezza effettivo. In questo caso la contromisura è più semplice e consiste nell’adozione di chiavi più lunghe, per esempio AES-256 al posto di AES-128.
Il momento in cui sarà disponibile un computer quantistico crittograficamente rilevante, spesso indicato come Q-Day, resta oggetto di stime divergenti. Uno studio del gruppo Google Quantum AI valuta che un sistema da 500mila qubit fisici basati su tecnologia superconduttiva potrebbe portare a termine un attacco alla crittografia attuale in pochi minuti. L’hardware odierno, tuttavia, opera con poche migliaia di qubit fisici soggetti a rumore e il divario da colmare rimane ampio.
Gli standard pubblicati dal NIST
Il principale ostacolo storico alla migrazione, ossia l’assenza di algoritmi standardizzati, è venuto meno il 13 agosto 2024, quando il NIST statunitense ha pubblicato i primi tre standard definitivi. Il risultato arriva al termine di una competizione pubblica avviata nel 2016, che ha raccolto 82 candidature da crittografi di 25 Paesi e le ha sottoposte a otto anni di analisi e tentativi di attacco da parte della comunità scientifica internazionale.
- FIPS 203 definisce ML-KEM (Module-Lattice-based Key-Encapsulation Mechanism), derivato da CRYSTALS-Kyber e destinato all’incapsulamento delle chiavi, cioè allo scambio sicuro dei segreti condivisi che proteggono le sessioni cifrate. È lo standard indicato dal NIST come scelta primaria per la cifratura generale ed è quello che sta entrando nei protocolli di uso quotidiano come TLS.
- FIPS 204 specifica ML-DSA (Module-Lattice-based Digital Signature Algorithm), basato su CRYSTALS-Dilithium e proposto come schema di riferimento per le firme digitali, dalle transazioni agli aggiornamenti software.
- FIPS 205 descrive SLH-DSA, evoluzione di SPHINCS+, uno schema di firma che rinuncia ai reticoli in favore delle sole funzioni hash. Produce firme più voluminose e lente, ma poggia su assunzioni matematiche minime e consolidate da decenni, il che lo rende la riserva prudenziale nel caso emergessero vulnerabilità negli schemi reticolari.
Il quadro sarà completato da FIPS 206 con FN-DSA, derivato da Falcon e apprezzato per le firme compatte, mentre a marzo 2025 il NIST ha selezionato HQC, algoritmo fondato sui codici correttori d’errore, come meccanismo di riserva rispetto a ML-KEM.
La logica della diversificazione ha una motivazione molto concreta. Nel 2022 SIKE, uno dei candidati arrivati alle fasi finali della selezione, è stato violato da due ricercatori con un normale computer in circa un’ora, a dimostrazione che anche schemi studiati per anni possono cadere in modo inatteso.
La maggior parte dei nuovi algoritmi si basa sui reticoli, strutture matematiche multidimensionali su cui poggiano problemi ritenuti difficili anche per i computer quantistici. Il prezzo da pagare riguarda le dimensioni di chiavi e firme, nell’ordine dei kilobyte contro le poche decine di byte delle curve ellittiche. Per server, PC e smartphone si tratta di un sovraccarico trascurabile e le criticità si concentrano in ambiti specifici. Riguardano i microcontrollori di fascia minimale e le smart card, dove la memoria disponibile si misura anch’essa in kilobyte, le reti a basso consumo come LoRaWAN, progettate per trasmettere poche decine di byte per messaggio, e i protocolli in cui le firme si accumulano, a partire dalle catene di certificati TLS, il cui peso con i nuovi schemi può moltiplicarsi di diverse volte fino a richiedere scambi di rete aggiuntivi durante l’handshake.
Il fattore tempo e i trend della migrazione
L’interesse per il tema precede l’arrivo del computer quantistico per una ragione precisa. Lo scenario denominato “harvest now, decrypt later” ipotizza che un avversario raccolga e archivi oggi il traffico cifrato per decifrarlo in futuro, quando la tecnologia lo consentirà. Il rischio riguarda i dati destinati a rimanere riservati per molti anni, come segreti industriali, cartelle cliniche o comunicazioni governative.
Se il Q-Day arrivasse prima che queste informazioni abbiano esaurito il proprio valore, per riservatezza, ricadute industriali o implicazioni legali, chi oggi le protegge con gli algoritmi tradizionali avrebbe un motivo concreto di preoccupazione.
Su questa base le autorità hanno delineato una serie di iniziative su orizzonti temporali di medio/lungo periodo. Il NIST, nel documento di transizione IR 8547, prospetta la deprecazione di RSA-2048 ed ECC P-256 entro il 2030 e il ritiro dell’intera crittografia a chiave pubblica oggi in uso entro il 2035 (https://csrc.nist.gov/pubs/ir/8547/ipd).
La suite CNSA 2.0 della NSA prevede gli algoritmi post-quantistici nei nuovi sistemi di sicurezza nazionale statunitensi con completamento fissato al 2033. In Europa la roadmap del NIS Cooperation Group, pubblicata a giugno 2025, invita gli Stati membri a definire piani nazionali e avviare i primi progetti pilota entro la fine del 2026, con la protezione delle infrastrutture critiche entro il 2030 (https://digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-transition-post-quantum-cryptography ).
Il percorso che si va delineando nel settore parte dall’inventario crittografico, ovvero la mappatura di algoritmi, chiavi, certificati e protocolli in uso, passa per architetture crypto-agili, capaci di sostituire gli algoritmi senza riprogettare i sistemi, e privilegia nella fase intermedia gli schemi ibridi, che affiancano crittografia classica e post-quantistica in modo che la sicurezza regga anche se una delle due componenti venisse compromessa.
È l’approccio già in produzione su larga scala. Cloudflare, Google Chrome, Apple iMessage e Signal hanno introdotto lo scambio di chiavi ibrido post-quantistico per miliardi di utenti, spesso senza che gli utenti se ne accorgessero. Più che di un’emergenza, si tratta dell’avvio ordinato di una transizione infrastrutturale che, come le precedenti migrazioni crittografiche, si misurerà in anni e procederà in gran parte sotto la superficie dei servizi digitali di tutti i giorni.
