Crittografia quantistica: pro e contro per la sicurezza dati

La rivoluzione quantistica impone una crittografia post-quantum e strategie ibride per un cloud sovrano sicuro.

Il calcolo quantistico rappresenta una svolta epocale nel panorama tecnologico del XXI secolo, fondandosi su principi della meccanica quantistica che, diversamente dal calcolo tradizionale – basato su bit binari (0 o 1) – utilizza i qubit, capaci di sfruttare fenomeni come la sovrapposizione, l’entanglement e l’interferenza.

Come il calcolo quantistico riscrive le regole della sicurezza

Di fatto, grazie alla sovrapposizione, i sistemi quantistici possono trovarsi contemporaneamente in molteplici stati, incrementando in modo esponenziale la capacità di calcolo.

L’entanglement, invece, permette ai qubit di essere correlati istantaneamente anche a grande distanza, offrendo un livello di parallelismo computazionale inedito, oltre ad aprire la strada alla cosiddetta “supremazia quantistica”.

Infine, l’interferenza quantistica permette di ottimizzare gli algoritmi, incrementando la probabilità di ottenere soluzioni corrette tramite l’amplificazione costruttiva degli stati desiderati e la soppressione di quelli non corretti.

Secondo le più recenti stime di ricercatori e istituzioni di rilievo internazionale la supremazia quantistica potrebbe essere raggiunta già nei prossimi cinque-dieci anni. Tale traguardo rappresenterebbe una minaccia fondamentale per la sicurezza delle attuali infrastrutture cloud che si affidano in modo significativo a standard crittografici – quali RSA (algoritmo di crittografia asimmetrica), ECC (Elliptic Curve Cryptography) e AES (Advanced Encryption Standard) – per garantire la riservatezza delle comunicazioni, l’integrità dei dati, l’autenticazione e la validità delle firme digitali.

Differenza con i sistemi tradizionali

Inoltre, è doveroso evidenziare che sistemi di calcolo tradizionali considerano gli algoritmi crittografici RSA, ECC e AES praticamente inviolabili, grazie all’enorme quantità di risorse computazionali e ai tempi di calcolo estremamente lunghi necessari per attaccarli. Tuttavia, con l’avvento degli algoritmi quantistici, in particolare quello di Shor, diventa possibile fattorizzare numeri primi molto grandi e risolvere problemi di logaritmo con una rapidità esponenzialmente superiore rispetto ai metodi classici.

Ancora, l’algoritmo di Grover – altra innovazione chiave del calcolo quantistico – riduce drasticamente la sicurezza degli algoritmi simmetrici come AES, diminuendo in modo significativo la robustezza effettiva delle chiavi di cifratura.

In termini pratici, con l’eventuale raggiungimento della supremazia quantistica da parte di attori ostili – statali o non statali – gli attuali schemi crittografici – impiegati per la protezione delle infrastrutture cloud europee, delle comunicazioni governative, dei sistemi finanziari, delle cartelle cliniche e dei dati delle infrastrutture critiche – risulterebbero vulnerabili a compromissioni rapide e su larga scala. Ciò comporterebbe impatti immediati e significativi in termini di riservatezza delle informazioni, di sicurezza nazionale, di stabilità dei mercati e di integrità dei processi democratici.

Crittografia post-quantistica e rischio harvest now, decrypt later

Particolare preoccupazione destano già oggi i cosiddetti attacchi “harvest now, decrypt later” in cui un avversario ostile – tipicamente agenzie di intelligence statali o organizzazioni criminali avanzate – memorizza i dati crittografati nel presente per decrittografarli in futuro, quando sarà disponibile un computer quantistico sufficientemente potente.

I rischi sono particolarmente gravi per informazioni che mantengono valore nel lungo periodo, e precisamente: segreti di stato, proprietà intellettuale, dati sanitari, progetti di ricerca strategica o informazioni personali sensibili. Ciò crea un’urgenza particolare per settori come difesa, sanità, finanza e ricerca, dove la riservatezza deve essere garantita per decenni. Per questo motivo, gli esperti raccomandano di iniziare quanto prima ad individuare tutti i sistemi che risulteranno vulnerabili ed effettuare una transizione verso algoritmi post-quantum.

In che modo i computer quantistici decifrano la crittografia RSA

È doveroso evidenziare che la sicurezza della crittografia RSA si basa sulla difficoltà computazionale di fattorizzare numeri molto grandi. Consideriamo un esempio semplice: dato il numero 851, un computer classico deve testare diverse combinazioni fino a scoprire che 851 = 23 × 37. Tale operazione è immediata per numeri piccoli, ma quando si tratta di numeri con centinaia di cifre (come quelli utilizzati nelle chiavi RSA reali), la fattorizzazione diventa proibitivamente lenta, richiedendo potenzialmente numerosi anni. Tuttavia, la fattorizzazione nasconde una vulnerabilità: presenta una struttura periodica che i computer quantistici possono identificare e sfruttare in modo efficiente.

I computer quantistici minacciano RSA grazie all’algoritmo di Shor – sviluppato dal matematico Peter Shor nel 1994 – che sfrutta due proprietà fondamentali della meccanica quantistica e, precisamente:

• Sovrapposizione quantistica – Essa permette di testare simultaneamente molte possibilità.
• Interferenza quantistica – Essa amplifica le risposte corrette ed elimina quelle sbagliate.

In pratica, l’algoritmo di Shor trasforma il problema della fattorizzazione in uno di “period finding” (ricerca di periodicità) che un computer quantistico può risolvere in tempo polinomiale, anziché esponenziale, riducendo drasticamente il tempo necessario.

Di fronte a questa minaccia, la comunità crittografica sta sviluppando la crittografia post-quantistica (Post-Quantum Cryptography – PQC), ovvero algoritmi basati su problemi matematici che resistono anche agli attacchi quantistici. Il NIST ha già standardizzato i primi algoritmi PQC nel 2024, segnando l’inizio della transizione verso un’era crittografica resistente ai computer quantistici. Ma vediamo di che si tratta.

Crittografia post-quantistica per la sicurezza aziendale

Con l’emergere dei rischi posti dal calcolo quantistico, il National Institute of Standards and Technology (NIST) è in prima linea nella standardizzazione di algoritmi crittografici post-quantistici in grado di resistere agli attacchi sia classici sia a quelli quantistici.

È doveroso ricordare che gli algoritmi RSA, ECC (curve ellittiche) e AES sono i pilastri della sicurezza informatica moderna, essendo impiegati quotidianamente in:

• TLS/SSL, per la protezione delle comunicazioni HTTPS
• VPN aziendali, per connessioni sicure da remoto
• Certificati digitali, firme elettroniche, PEC e identità elettroniche
• Chiavi SSH, per l’accesso ai server
• Infrastrutture PKI, nei sistemi governativi, industriali e militari

Un computer quantistico, con l’algoritmo di Shor, potrà fattorizzare grandi numeri interi e calcolare logaritmi, rompendo in poche ore chiavi RSA 2048 e curve ellittiche come P-256 o secp256k1 che potranno comportare, ad esempio:

• Falsificazione di firme digitali su documenti legali o contratti elettronici
• Possibile intercettazione e decifratura comunicazioni cifrate o impersonificazione di un utente legittimo
• Controllo remoto non autorizzato di dispositivi critici come quelli SCADA nei contesti industriali

Algoritmi post-quantistici: i pilastri della resistenza al quantum computing

La PQC sta entrando nella fase di standardizzazione, con il National Institute of Standards and Technology (NIST) statunitense che ha rilasciato i primi tre standard post-quantistici e, precisamente:

Federal Information Processing Standard (FIPS) 203, pensato come standard principale per la crittografia generale. Tra i suoi vantaggi ci sono chiavi di crittografia relativamente piccole che due parti possono scambiare facilmente, oltre alla velocità di operazione. Lo standard si basa sull’algoritmo CRYSTALS-Kyber, che è stato rinominato ML-KEM, abbreviazione di Module-Lattice-Based Key-Encapsulation Mechanism.

FIPS 204, standard principale per la protezione delle firme digitali che utilizza l’algoritmo CRYSTALS-Dilithium, rinominato ML-DSA, abbreviazione di Module-Lattice-Based Digital Signature Algorithm.

FIPS 205, standard anch’esso progettato per firme digitali, impiega l’algoritmo Sphincs+, che è stato rinominato SLH-DSA, abbreviazione di Stateless Hash-Based Digital Signature Algorithm. Lo standard si basa su un approccio matematico diverso rispetto a ML-DSA ed è pensato come metodo di riserva nel caso in cui ML-DSA risulti vulnerabile.

A livello globale, la crescente perdita di fiducia nelle tecnologie estere, in particolare statunitensi, sta accelerando il percorso verso la sovranità digitale. Di fatto, sempre più Paesi stanno implementando politiche per il controllo diretto dei propri sistemi crittografici e delle infrastrutture di sicurezza informatica. Tale scenario fa presagire un ecosistema post-quantum caratterizzato da una molteplicità di standard e protocolli nazionali, piuttosto che da una suite crittografica universalmente condivisa, con conseguenze rilevanti in termini di sfide di interoperabilità, compliance normativa e coordinamento internazionale, oltre che impatti diretti sulla resilienza e sulla sicurezza delle infrastrutture digitali.

Differenza tra crittografia quantistica e crittografia post-quantistica

Vediamo di seguito in cosa si differiscono la crittografia quantistica e la crittografia post-quantistica.

• Crittografia quantistica – è un campo emergente che utilizza i principi della meccanica quantistica per proteggere le comunicazioni. È spesso associata alla distribuzione quantistica delle chiavi (QKD – Quantistic Key Distribution), una tecnica che sfrutta il comportamento delle particelle quantistiche (come i fotoni) per scambiare chiavi di crittografia in modo sicuro. Qualsiasi tentativo di intercettare queste particelle ne modifica lo stato, rendendo possibile il rilevamento di intercettazioni. È doveroso evidenziare che la crittografia quantistica – a differenza della crittografia tradizionale che si basa sulla difficoltà computazionale – è teoricamente indistruttibile grazie alle leggi della fisica (i.e. il teorema di non clonazione). Tuttavia, la crittografia quantistica non è ancora praticabile per un uso diffuso, dato che richiede hardware specializzato, quale reti di comunicazione quantistica o satelliti che sono costosi e non ampiamente disponibili, rimanendo in gran parte confinata ai laboratori di ricerca e alle strutture sperimentali.
• Crittografia post-quantistica (PQC – Post-Quantum Cryptography) – A differenza della crittografia quantistica, la PQC non si basa sulla meccanica quantistica ed utilizza, invece, algoritmi matematici avanzati che sono stati progettati per resistere agli attacchi dei computer sia classici sia quantistici. Gli algoritmi PQC si basano su problemi computazionali – quali la crittografia basata su reticoli o hash – difficili da risolvere sia per i computer classici sia per quelli quantistici. Di conseguenza, proteggono dagli attacchi “harvest now, decrypt later”.

Di seguito, un’analisi schematica di ciò che distingue la crittografia post-quantistica dalla crittografia quantistica:

• Fondamenti diversi – La crittografia post-quantistica utilizza la matematica tradizionale, ma affronta problemi che nemmeno i computer quantistici più avanzati riescono a risolvere facilmente. La crittografia quantistica è interamente basata sulla fisica e utilizza come chiave lo stato fragile delle particelle quantistiche.
• Complessità di implementazione – La PQC è un aggiornamento software per la maggior parte dei sistemi: un nuovo algoritmo, una nuova libreria, spesso retrocompatibile con l’hardware attuale. La crittografia quantistica richiede, invece, infrastrutture completamente nuove, come fibra ottica, sorgenti di fotoni quantistici e ricevitori specializzati.
• Implementazione e scalabilità – La PQC è progettata per il mondo odierno ed è relativamente facile da implementare in ambienti cloud, dispositivi mobili e sensori IoT. Al contrario, la crittografia quantistica è attualmente limitata a reti altamente sensibili, dove costi e complessità sono giustificati e le risorse sono sostanzialmente illimitate.
• Garanzie di sicurezza – Si ritiene che la crittografia post-quantistica sia sicura, alla luce delle attuali conoscenze matematiche, ma ulteriori ricerche potrebbero alla fine rivelarne i punti deboli. La crittografia quantistica è supportata dalla sicurezza basata sulla teoria dell’informazione, ovvero risulterebbe impossibile per un aggressore violarla, senza essere scoperto (almeno finché saranno valide le attuali leggi della fisica).
• Costi e fattibilità – La PQC è oggi accessibile e realisticamente adottabile dalla maggior parte delle organizzazioni. La crittografia quantistica è costosa, specializzata e dovremo attendere anni prima della sua diffusione su larga scala.

Cloud sovrano e crittografia post-quantistica come priorità strategica

L’Europa ha intrapreso una radicale modernizzazione della propria struttura digitale, adottando i servizi di cloud computing come componenti fondamentali della trasformazione digitale del settore pubblico e privato. L’infrastruttura cloud – caratterizzata da server ospitati in remoto, storage, database, reti, software e analisi forniti tramite Internet – è emersa come la spina dorsale dell’economia digitale europea, accelerando l’innovazione, riducendo i costi operativi e migliorando notevolmente scalabilità e flessibilità. Tuttavia, una valutazione dettagliata del panorama attuale rivela uno squilibrio preoccupante, ovvero: l’infrastruttura cloud del continente europeo, nonostante il notevole potere economico, le capacità tecnologiche e i solidi quadri normativi europei (come il GDPR), è dominata da provider non europei, mettendo a nudo la cruda realtà: tre provider cloud globali con sede negli Stati Uniti (i.e. Amazon Web Services (AWS), Microsoft Azure e Google Cloud), secondo recenti analisi di settore, controllano collettivamente oltre il 70% del mercato cloud europeo.

Al contrario, provider puramente europei, come OVHcloud, Deutsche Telekom (T-Systems), Scaleway e un numero esiguo di operatori regionali più piccoli, detengono una mera frazione del mercato, spesso inferiore al 15%. Tale squilibrio rappresenta uno svantaggio commerciale e una vulnerabilità strategica e geopolitica che limita l’autonomia tecnologica dell’Europa, oltre a minare i principi fondamentali della sovranità dei dati.

Proteggere i dati in un mondo quantistico: dai servizi finanziari alla sanità

Interi settori sono destinati a essere radicalmente trasformati dall’avvento del quantum computing: dalla sanità al farmaceutico, dalla finanza alle comunicazioni e all’energia. Pertanto, a diverse latitudini si sta lavorando per proteggere i dati dai futuri computer quantistici.

Di fatto, i governi e gli enti di standardizzazione considerano la preparazione alla tecnologia quantistica una priorità per la sicurezza globale. Il loro obiettivo è sostituire i sistemi crittografici vulnerabili prima che emergano computer quantistici su larga scala.

Il ruolo delle normative nella transizione alla crittografia post-quantistica

Le istituzioni internazionali e vari Paesi stanno guidando attivamente la transizione alla crittografia post-quantistica.

Negli USA, il NIST ha completato nel 2024 la standardizzazione dei primi algoritmi resistenti ai computer quantistici, dopo un processo di valutazione durato otto anni. Oltre al NIST, sul fronte della difesa, la National Security Agency (NSA) ha pubblicato la Commercial National Security Algorithm Suite 2.0 (CNSA 2.0), che impone ai sistemi governativi e di difesa di migrare verso algoritmi resistenti ai sistemi quantistici entro l’inizio degli anni ’30. A sostegno di tale mandato, il National Security Memorandum-10 (NSM-10) impone a tutte le agenzie federali di inventariare la crittografia esistente e di iniziare a pianificare la transizione. Inoltre, la Quantum Readiness Roadmap di CISA/NSA/NIST estende tale guida alle infrastrutture critiche e ai fornitori, ponendo l’accento sugli inventari crittografici e sul coordinamento dei fornitori.

In parallelo, l’Unione Europea ha incluso la sicurezza quantistica tra le priorità del programma Horizon Europe e della strategia per la cybersicurezza. La Direttiva NIS2, entrata in vigore nel 2024, richiede alle organizzazioni critiche di prepararsi alle minacce emergenti, incluse quelle quantistiche. Inoltre, l’ENISA ha pubblicato linee guida specifiche per supportare gli Stati membri nella transizione, raccomandando un approccio graduale, oltre a promuovere la cooperazione internazionale in materia di interoperabilità e standard di sicurezza condivisi. Tuttavia, l’allineamento tra le diverse giurisdizioni rimane una sfida.

Ancora, l’Istituto europeo per gli standard delle telecomunicazioni (ETSI – European Telecommunications Standards Institute) ha pubblicato il documento TR 103 967, che delinea i quadri di migrazione per i sistemi post-quantistici.

È doveroso evidenziare che ogni Paese sta definendo le proprie tempistiche e priorità, il che complica il coordinamento per le organizzazioni multinazionali. Si ritiene che raggiungere una vera sicurezza quantistica richiederà, non solo nuovi algoritmi, ma anche una coerenza globale nella loro implementazione. Di fatto, mentre i governi stabiliscono gli standard, le organizzazioni devono ora tradurre queste politiche in azioni concrete.

La roadmap della crittografia post-quantistica verso il 2035

La Commissione europea ha recentemente pubblicato una “Roadmap for post quantum-cryptography transition by 2035”, delineando una strategia unificata per preparare l’infrastruttura digitale europea alle sfide poste dall’informatica quantistica.

Si tratta di una tabella di marcia che definisce aspettative e tempistiche chiare affinché gli Stati membri possano avviare e portare avanti la migrazione dagli algoritmi crittografici classici vulnerabili verso soluzioni resistenti alla tecnologia quantistica.

Il documento organizza la migrazione al PQC in tre tappe fondamentali, fornendo un quadro chiaro per un’azione coordinata in tutta Europa:

• Entro il 2026 – Completare i passaggi iniziali e avviare i progetti pilota per i casi d’uso ad alto e medio rischio – Ci si aspetta che gli Stati membri avviino o aggiornino i piani nazionali di transizione PQC, incorporando diverse attività fondamentali, quali:
  • Coinvolgimento delle parti interessate pertinenti, tra cui CTO governativi, CISO, autorità di sicurezza informatica e istituti di ricerca
  • Sviluppo di inventari dettagliati delle risorse crittografiche utilizzando formati standardizzati
  • Mappatura delle dipendenze tra applicazioni, piattaforme e catene di fornitura
  • Valutazione del rischio quantistico per stabilire le priorità dei sistemi, in base alla vulnerabilità e all’impatto
  • Coinvolgimento dei partner della supply chain per allineare le roadmap di prodotti e di servizi
  • Avvio di programmi di sensibilizzazione e di comunicazione personalizzati per i diversi gruppi di stakeholder
  • Condivisione delle conoscenze e coordinamento tramite gruppi di sicurezza informatica dell’UE
  • Creazione di piani di attuazione con tempi che riflettano le priorità nazionali

Entro questa tappa, dovrebbero essere avviati, altresì, i progetti pilota per casi d’uso ad alto e medio rischio, consentendo la sperimentazione pratica delle soluzioni PQC.

• Entro il 2030 – Implementare i passaggi successivi e finalizzare la transizione per i casi d’uso ad alto rischio – Gli Stati membri entro il 2030 dovrebbero aver completato la migrazione al PQC per tutti i sistemi ad alto rischio. Le azioni chiave includono:
  • Garantire l’agilità crittografica in tutti i nuovi prodotti, con percorsi di aggiornamento che supportano algoritmi post-quantistici
  • Stanziare risorse adeguate, in termini sia finanziari sia di personale specializzato, per sostenere la transizione
  • Aggiornamento dei quadri normativi e di certificazione per incorporare gli standard PQC
  • Revisione delle leggi nazionali e delle politiche di approvvigionamento per applicare la crittografia quantistica sicura
  • Coinvolgimento delle parti interessate del settore privato, programmi di formazione e iniziative di finanziamento per rafforzare l’ecosistema PQC
  • Partecipazione a centri di collaudo e a progetti pilota supportati dall’UE per convalidare l’interoperabilità

Si evidenzia che i sistemi ad alto rischio sono quelli che proteggono dati che richiedono riservatezza per almeno 10 anni o sistemi con un impatto potenziale significativo in caso di compromissione.

• Entro il 2035 – Transizione completa per i casi d’uso a rischio medio e basso – L’ultimo traguardo mira al completamento della transizione PQC per i casi d’uso a medio rischio e per il maggior numero possibile di sistemi a basso rischio. Tale obiettivo è in linea con gli obiettivi internazionali stabiliti da autorità come il NIST e l’NCSC del Regno Unito, che prevedono di eliminare la crittografia vulnerabile entro tale data.

Strategie ibride: perché combinare algoritmi classici e quantum-safe

Molte organizzazioni stanno adottando una strategia ibrida che combina algoritmi classici e PQC durante il periodo di transizione. Di fatto, tale combinazione è fondamentale per una transizione fluida e sicura verso l’era post-quantistica, poiché mantiene sia la sicurezza attuale (classica) durante i test sia la preparazione per le minacce future (PQC), garantendo la compatibilità con le versioni precedenti, oltre a ridurre al minimo le interruzioni e a proteggere i dati dagli attacchi “Harvest Now, Decrypt Later”. Di fatto, si tratta di attuare una sicurezza a doppio livello che offra una strategia pragmatica, stratificata e resiliente, oltre a garantire:

• Mitigazione del rischio – Se un algoritmo viene compromesso, gli altri forniscono protezione di backup.
• Flessibilità di transizione – Ciò consente una migrazione graduale dai sistemi classici a quelli quantistici sicuri.
• Ottimizzazione delle prestazioni – Si tratta di bilanciare la sicurezza con i requisiti di prestazioni del sistema.
• Flessibilità – Capacità di accogliere le nuove tecnologie quantistiche, man mano che emergono.

I tre passi essenziali per la preparazione alla transizione PQC

Per prepararsi alla transizione alla PQC è necessario un approccio strategico, come di seguito descritto.

• Valutazione e pianificazione – Ciò include:
  • Inventario delle risorse crittografiche correnti – Identificare tutti i sistemi che utilizzano la crittografia che potrebbero essere vulnerabili agli attacchi quantistici.
  • Priorità del rischio – Concentrarsi sulla protezione dei dati che necessitano di sicurezza a lungo termine.
  • Pianificazione temporale – Iniziare l’implementazione sin d’ora, poiché la transizione richiederà anni per essere completata.

• Implementazione tecnica – Ciò comporta:
  • Iniziare con soluzioni ibride – Implementare sistemi che utilizzano la crittografia sia classica sia quella post-quantistica.
  • Eseguire test ripetutamente – Testare approfonditamente i nuovi algoritmi in ambienti non di produzione.
  • Monitorare le prestazioni – Assicurarsi che le soluzioni quantistiche non abbiano un impatto significativo sulle prestazioni del sistema.
  • Pianificare gli aggiornamenti – Creare sistemi che possano facilmente incorporare nuovi algoritmi quantistici sicuri, man mano che vengono sviluppati.

• Preparazione organizzativa – Si tratta di:
  • Formare i team tecnici – Garantire che i team IT e di sicurezza comprendano le tecnologie quantistiche sicure.
  • Aggiornare le policy di sicurezza – Rivedere le policy di sicurezza organizzative per affrontare le minacce quantistiche.
  • Valutazione del fornitore – Collaborare con fornitori che dispongono di roadmap e implementazioni sicure per la tecnologia quantistica.

Lo scenario

La minaccia rappresentata dal quantum computing alla sicurezza delle attuali infrastrutture crittografiche non è più una prospettiva remota, ma una sfida concreta che richiede azioni immediate.

Di fatto, la transizione verso una connettività quantum-safe non rappresenta soltanto un’opzione prudente, ma una necessità strategica per qualsiasi organizzazione che intenda preservare l’integrità dei propri dati e la fiducia dei propri stakeholder nel lungo periodo.

Inoltre, l’adozione di un approccio multilivello – che integri crittografia post-quantistica, distribuzione di chiavi quantistiche (QKD) e architetture di sicurezza ibride – costituisce la risposta più efficace per costruire una difesa resiliente e adattabile, considerando che questi strumenti, già disponibili e in fase di standardizzazione, permettono di anticipare l’evoluzione tecnologica anziché subirla.

Tempus fugit: il momento di agire è adesso, dato che procrastinare la pianificazione e l’implementazione di soluzioni quantum-safe significa esporsi a vulnerabilità che potrebbero rivelarsi irreversibili.

Concludendo, solo attraverso un investimento proattivo nella sicurezza quantum-safe, le organizzazioni potranno garantire la continuità operativa, proteggere le comunicazioni digitali e affrontare con fiducia l’era del quantum computing.