Nel panorama della sicurezza informatica, l’avanzamento tecnologico porta con sé nuove minacce e la necessità di evolvere costantemente le nostre difese. Una delle sfide più significative all’orizzonte è rappresentata dall’emergere di computer quantistici su larga scala. I sistemi crittografici a chiave pubblica attualmente in uso, quali RSA, gli schemi basati sul logaritmo discreto (come Diffie-Hellman) e le curve ellittiche, sono vulnerabili ad attacchi condotti da tali macchine, in particolare grazie all’algoritmo di Shor.
La consapevolezza di questa minaccia futura ha portato alla coniazione del termine “crittografia post-quantistica” (PQC), che descrive sistemi crittografici alternativi progettati per resistere ad attacchi da parte di computer quantistici. Questa non è una problematica da affrontare in un lontano futuro; è imperativo dotare già oggi le nostre applicazioni con crittografia resistente agli attacchi quantistici per difenderci da minacce di tipo “store now, decrypt later”. Un avversario potrebbe memorizzare comunicazioni cifrate oggi, con l’intenzione di decifrarle una volta che un computer quantistico potente sarà disponibile.
La PQC è un campo di ricerca attivo e alcuni schemi sono già stati standardizzati. È fondamentale sottolineare che la PQC si concentra su algoritmi che girano su computer convenzionali ma sono capaci di contrastare attacchi che utilizzano computer quantistici, distinguendosi dalla crittografia quantistica (QC), che sfrutta effetti quantistici per la distribuzione di chiavi sicure (QKD).
Principi Fondamentali della Crittografia Post-Quantistica
Molti schemi PQC si basano su principi di perdita di informazione e approssimazione, introducendo incertezza per un attaccante. L’esempio del cubo proiettato in due dimensioni illustra come la riduzione di dimensionalità possa rendere difficile identificare univocamente una posizione. Questo concetto si lega alla funzione one-way delle funzioni hash. L’idea di trovare un punto (o simile elemento) che sia il più vicino a una struttura predefinita è alla base di approcci come la crittografia basata su reticoli e codici.
Le Famiglie Promettenti della Crittografia Post-Quantistica
La ricerca e la standardizzazione della PQC si concentrano principalmente su tre famiglie di algoritmi:
- Crittografia basata su reticoli (Lattice-based cryptography): Questa famiglia sfrutta la difficoltà di problemi matematici su strutture algebriche chiamate reticoli. Un problema fondamentale è il Learning With Errors (LWE), che introduce un “rumore” a un punto del reticolo, rendendo difficile il recupero della sua posizione esatta. Varianti come Ring-LWE e Module-LWE migliorano l’efficienza utilizzando anelli polinomiali e moduli. Gli schemi basati su reticoli sono versatili e supportano sia trasporto di chiavi (ad esempio, KYBER, FRODO) che firme digitali (ad esempio, DILITHIUM, FALCON).
- Crittografia basata su codici (Code-based cryptography): Questa approccio si basa sulla teoria dei codici di correzione degli errori. Il problema centrale è la decodifica di sindromi, che diventa computazionalmente difficile per codici generici. Lo schema di McEliece (basato su codici Goppa) e lo schema di Niederreiter sono esempi di crittosistemi a chiave pubblica basati su codici, utilizzati principalmente per il trasporto di chiavi. La sicurezza si basa sulla difficoltà di decodificare un codice lineare generale.
- Crittografia basata su hash (Hash-based cryptography): Questa famiglia utilizza le proprietà di funzioni hash crittografiche one-way per costruire schemi di firme digitali. Le firme one-time (come Lamport-Diffie e Winternitz) costituiscono le fondamenta. Gli schemi many-time (come Merkle Signature Scheme — MSS) utilizzano alberi hash (alberi di Merkle) per aggregare più chiavi pubbliche one-time in un’unica chiave pubblica. Schemi standardizzati come XMSS e LMS (stateful) e SPHINCS+ (stateless) offrono alternative robuste per le firme digitali resistenti ai quantici.
Verso la Standardizzazione Post-Quantistica
Il National Institute of Standards and Technology (NIST) ha avviato un’importante iniziativa di standardizzazione per la crittografia post-quantistica nel 2017. Questo processo competitivo, simile a quello per AES e SHA‑3, ha visto la valutazione di numerosi candidati in diverse tornate. Nel 2022, sono stati selezionati i primi schemi per la standardizzazione:
- KYBER (basato su Module-LWE): Meccanismo di incapsulamento di chiavi (KEM) selezionato come standard con il nome ML-KEM.
- DILITHIUM (basato su Module-LWE): Schema di firma digitale selezionato come standard con il nome ML-SIG.
- FALCON (basato su reticoli): Schema di firma digitale selezionato come candidato per la standardizzazione come FN-SIG.
- SPHINCS+ (basato su hash): Schema di firma digitale selezionato per la standardizzazione.
Oltre a questi, è stata avviata una quarta tornata per considerare ulteriori candidati, principalmente KEM basati su codici. Anche organizzazioni come ISO stanno valutando schemi PQC come Classic McEliece e FRODOKEM per la standardizzazione.
Considerazioni sull’Implementazione della PQC
Sebbene la PQC prometta sicurezza nell’era quantistica, presenta alcune sfide:
- Efficienza: Molti schemi PQC sono computazionalmente più intensi e richiedono più memoria rispetto a RSA ed ECC.
- Dimensioni delle chiavi e degli output: Alcuni schemi hanno dimensioni di chiavi pubbliche (ad esempio, Classic McEliece) e firme (ad esempio, schemi basati su hash) significativamente maggiori rispetto alla crittografia classica. I meccanismi di crittografia (o KEM) PQC spesso comportano un’espansione del ciphertext.
- Vincoli secondari: Alcuni schemi possono avere una piccola probabilità di fallimento nella decifrazione o nella generazione della firma. Gli schemi di firma stateful richiedono una gestione attenta dello stato per evitare il riutilizzo di firme one-time.
- Sicurezza dell’implementazione: Le implementazioni PQC possono essere vulnerabili ad attacchi side-channel e fault injection, richiedendo tecniche di implementazione robuste.
Conclusioni
La crittografia post-quantistica rappresenta una risposta cruciale alla minaccia posta dai futuri computer quantistici ai sistemi crittografici attuali. La ricerca e la standardizzazione di schemi basati su reticoli, codici e hash stanno compiendo progressi significativi, preparando il terreno per una transizione verso algoritmi resistenti ai quantici. Comprendere i principi, le potenzialità e le sfide di queste nuove famiglie di algoritmi è fondamentale per garantire la sicurezza delle comunicazioni e dell’autenticazione nel futuro panorama informatico. La diversità degli schemi standardizzati sarà essenziale per soddisfare le diverse esigenze di sicurezza delle applicazioni moderne.