Autore IA: Oliver Grant European Affairs Correspondent

La cosa scomoda del rischio quantistico è che non aspetta educatamente che i computer quantistici diventino utili. La crittografia che oggi appare sicura può comunque essere copiata, archiviata e lasciata a maturare nell’archivio di un avversario, motivo per cui i governi considerano ora la crittografia post-quantistica come un programma di migrazione e non più un seminari[1][2][5][8] La minaccia è meno cinematografica di una macchina che cracca subito Internet, e più burocratica: una lunga e costosa riprogettazione dei sistemi che mantengono intatti banche, governi e comunicazioni private. Non è un argomento entusiasmante, ma è un tipo di problema che tende a superare i titoli dei giornali.

Le linee guida per la transizione del NIST precisano che l’obiettivo è passare da algoritmi vulnerabili al quantum a schemi post-quantistici per firme digitali e stabilimento di chiavi, e che questo lavoro è rivolto a informare agenzie federali, industria e ag[1][4][7][10] Il NIST si aspetta che ML-KEM, ML-DSA e SLH-DSA forniscano la base per molte implementazioni.[7][12] In altre parole, l’approccio americano è già istituzionale e non più speculativo. Il cambiamento crittografico raramente consiste nello scambiare un acronimo con un altro; è piuttosto una questione di test, interoperabilità e di evitare disastri eleganti che solo un responsabile della compliance potrebbe ammirare.

Il National Cyber Security Centre britannico ha dichiarato che la migrazione alla crittografia post-quantistica è un impegno pluriennale.[2][5][8][11] A marzo 2025 ha fissato come traguardi il 2028 per un piano di migrazione iniziale, il 2031 per i servizi più critici, e il 2035 per il completamento su tutti i sistemi e servizi.[5][8][11] Questo calendario più che una lista di date è una tacita ammissione che il lavoro duro comincia molto prima che un attacco quantistico sia possibile. Lo Stato britannico, mai poco incline a ordinarie forme di allarme, sta di fatto dicendo alle organizzazioni di fare ora l’inventario della loro crittografia sperando che sappiano ancora dove sono le chiavi quando arriverà il fabbro.

ETSI ha pubblicato lavori tecnici che dimostrano come, anche se non ci sono ancora standard post-quantistici definiti, la transizione possa iniziare inventariando componenti crittografici e gli asset che proteggono.[3][6][9] Ha anche lanciato una specifica di scambio ibrido di chiavi quantum-safe chiamata Covercrypt, pensata per preservare la sicurezza sia in condizioni pre-quantistiche sia post-quantistiche tramite l’ibridazione.[9] La filosofia tecnica è ragionevole: non aspettare la certezza assoluta, perché la perfezione è la fine dei progetti di migrazione. Il sottotesto politico è più interessante, dato che gli standard spesso determinano quali prodotti siano facili da acquistare, distribuire e certificare.

Qui la narrazione non è più un semplice bollettino di cyber sicurezza, ma diventa una questione di potere industriale. Il processo del NIST, la roadmap del Regno Unito e il lavoro di ETSI stanno definendo la grammatica con cui saranno costruiti i sistemi futuri.[1][2][3][5] Per i fornitori significa roadmap di prodotto, certificati aggiornati e molto lavoro di ingegneria che non apparirà mai nei report trimestrali. Per i governi significa cercare di evitare che infrastrutture critiche dipendano da crittografia che si sapeva essere vulnerabile anni prima.[1][2][5][8] I mercati spesso si muovono più rapidamente della regolamentazione, ma nella sicurezza può essere il contrario: gli standard determinano chi può continuare a vendere dopo il panico.

La parte più difficile è che le prove non possono mai essere complete nel tempo presente. Uno studio su arXiv sull’idoneità di Internet indica che la transizione è irregolare, mentre un altro confronto su quantistica, diplomazia e geopolitica indica un futuro in cui le comunicazioni governative e militari rischiano molto se le macchine quantistiche[3][4] Questo basta a giustificare la pianificazione, ma non a giustificare melodrammi. Non sappiamo ancora quando arriverà un computer quantistico rilevante per la crittografia, e questa incertezza va inserita nelle politiche senza essere nascosta.[1][2][4][8] La domanda ragionevole non è se ogni messaggio criptato sia già condannato, ma quali categorie di dati hanno una durata abbastanza lunga da meritare protezione ora.

In pratica questo crea una gerarchia di rischio piuttosto scomoda. Alcuni traffici hanno breve durata e saranno dimenticati prima che i computer quantistici diventino rilevanti; altri archivi — legali, dati sanitari, disegni industriali, comunicazioni di Stato — hanno una vita molto più lunga e necessitano di confidenzialità,[1][2][4][8] L’espressione “raccogli ora, decripta dopo” sembra un vezzo da consulente di sicurezza, ma coglie una vera asimmetria: gli attaccanti possono aspettare, mentre i difensori devono migrare entro limiti di budget, acquisti e compatibilità. Ecco perché PQC non è solo un aggiornamento tecnico ma un problema di governance, che richiede inventari, coordinamento con i fornitori e la volontà di spendere prima che ci sia una crisi visibile.[1][2][7][8]

C’è anche la questione delle abitudini di Internet, raramente progettate con l’eleganza della futura prova. TLS, infrastruttura a chiave pubblica e i sistemi embedded che ne dipendono sono stati costruiti pensando che RSA e crittografia a curva ellittica fossero soluzioni a lungo termine.[1][4][7][10] Sostituirli richiederà implementazioni ibride, test di fallimento e una buona dose di bruttezze temporanee.[3][6][9] Il lavoro di Cisco per il 2026 su un’architettura crittografica post-quantistica completa suggerisce che l’industria stia già sperimentando implementazioni end-to-end.[2] Gli esperimenti, ovviamente, non sono la stessa cosa di una distribuzione diffusa; il divario tra una dimostrazione e un’impostazione di default è dove la maggior parte delle speranze politiche va a polverizzarsi.

Quindi la lezione duratura non è che il calcolo quantistico abbia reso la crittografia obsoleta, ma che il calendario della fiducia dipende ora dalla disciplina nella migrazione. I punti di controllo utili sono gli stessi che contano in ogni transizione infrastrutturale: se i governi mantengono le scadenze, se i principali fornitori distribuiscono supporto interoperabile, se gli organismi di definizione degli standard convergono invece I computer quantistici forse non sono ancora nella stanza; il problema strategico è che le serrature stanno già venendo copiate. È una storia meno spettacolare di un’apocalisse crittografica, ma è quella che probabilmente conterà di più quando si farà la storia.