La minaccia quantistica alla crittografia ha una caratteristica che la rende urgente oggi, anche se un computer quantistico rilevante non esiste ancora: si chiama "harvest now, decrypt later". Un avversario può registrare adesso il traffico cifrato — VPN, sessioni TLS, backup — e conservarlo finché non avrà la macchina per decifrarlo. Ogni segreto con una vita utile lunga (dati sanitari, proprietà intellettuale, chiavi di root delle PKI) è già a rischio, retroattivamente.
La finestra si sta accorciando
Nel maggio 2025 Craig Gidney di Google ha pubblicato una stima che ha spostato le lancette: fattorizzare RSA-2048 richiederebbe meno di un milione di qubit rumorosi in meno di una settimana. È una riduzione di 20 volte rispetto alla sua stima del 2021 (che parlava di 20 milioni di qubit in 8 ore). Non significa che accada domani, ma che i margini di sicurezza su cui contavamo sono più sottili del previsto.
Gli standard ci sono
Ad agosto 2024 il NIST ha finalizzato i primi tre standard post-quantici. Un quarto, basato su Falcon, è ancora in bozza perché il suo campionamento gaussiano in virgola mobile è difficile da implementare in tempo costante senza aprire canali laterali.
| Standard | Algoritmo | Uso | Stato |
|---|---|---|---|
| FIPS 203 | ML-KEM (Kyber) | Scambio di chiavi | Finale (ago 2024) |
| FIPS 204 | ML-DSA (Dilithium) | Firma digitale | Finale (ago 2024) |
| FIPS 205 | SLH-DSA (SPHINCS+) | Firma (hash-based) | Finale (ago 2024) |
| FIPS 206 | FN-DSA (Falcon) | Firma compatta | In bozza (finale attesa fine 2026 / inizio 2027) |
Le scadenze sono fissate
Il documento NIST IR 8547 traccia la rotta: gli algoritmi classici a 112 bit di sicurezza (RSA-2048, ECC P-256) saranno deprecati dopo il 2030 e vietati dopo il 2035. Negli USA gli ordini esecutivi e le direttive OMB trattano già queste date come scadenze di conformità per i sistemi federali critici. In Europa la roadmap del NIS Cooperation Group (giugno 2025) chiede piani nazionali entro fine 2026, i sistemi ad alto rischio protetti entro il 2030, la transizione completa entro il 2035.
La transizione è già in produzione
Non è un esercizio da laboratorio: gli strumenti che usi ogni giorno hanno già virato.
- OpenSSH usa
mlkem768x25519-sha256come scambio di chiavi predefinito dalla versione 10.0 (aprile 2025); la 10.1 mostra un avviso quando la connessione non usa un algoritmo post-quantico, citando esplicitamente gli attacchi "store now, decrypt later". La 10.0 ha anche rimosso del tutto DSA e disabilitato il Diffie-Hellman a campo finito. - Cloudflare a fine ottobre 2025 ha confermato che oltre metà del traffico umano che gestisce usa lo scambio ibrido post-quantico X25519MLKEM768.
L'approccio dominante è ibrido: si combina un algoritmo classico (X25519) con uno post-quantico (ML-KEM), così la sessione è sicura finché almeno uno dei due regge. Nessun salto nel vuoto.
Prima le chiavi che scambiano segreti a lunga vita: VPN, TLS verso servizi interni, backup cifrati. La firma (certificati, aggiornamenti software) è meno urgente sul fronte "harvest now", ma va pianificata perché le catene di fiducia hanno vite lunghissime.
Il piano pratico
- Inventario crittografico (CBOM): dove usi RSA/ECC, in quali protocolli, librerie, dispositivi. Non puoi migrare ciò che non hai mappato.
- Prioritizza per vita del dato: ciò che deve restare segreto oltre il 2035 va protetto per primo.
- Attiva lo scambio ibrido dove i tuoi stack lo supportano già (OpenSSH 10, TLS 1.3 con X25519MLKEM768).
- Cripto-agilità: progetta i sistemi perché cambiare algoritmo sia una configurazione, non una riscrittura. Sarà necessario più di una volta.
La transizione post-quantica è la migrazione crittografica più grande dai tempi del passaggio a TLS. La differenza è che stavolta l'orologio dell'attaccante è già partito: i dati intercettati oggi non aspettano il 2035.