Crittografia Post-Quantistica (PQC) vs Crittografia Classica: Guida Completa alla Transizione Ibrida 2025
Crittografia Post-Quantistica (PQC) vs Crittografia Classica — Guida Completa alla Transizione Ibrida 2025
Per: Team di Sicurezza/Piattaforma/Dati, PM, Architetti, Conformità/Normativa │ Basato su: Anno 2025
- Introduzione: L'Era Quantistica, Cosa Sta Cambiando?
- Il Cuore della Crittografia Classica (Simmetrica, Asimmetrica, Hash)
- Comprendere la Minaccia Quantistica (Shor, Grover, HNDL)
- La Famiglia della Crittografia Post-Quantistica (PQC) (KEM, Firme, Algoritmi di Riferimento)
- PQC vs. Crittografia Classica: Confronto Pratico (Prestazioni, Dimensione Chiave, Operazioni)
- Strategia di Transizione Ibrida (TLS, VPN, Email, Firma del Codice)
- Operazioni e Governance (Gestione delle Chiavi, Audit, Agilità Crittografica)
- Modellazione di Prestazioni/Costo (Larghezza di Banda, Latenza, Vincoli del Dispositivo)
- Roadmap di Transizione 30-60-90 Giorni
- Checklist/Matrice decisionale
- FAQ
- Conclusione: Coesistenza, Combinazione, Priorità all'Operazionalizzazione
1) Introduzione: L'Era Quantistica, Cosa Sta Cambiando?
Il login che usiamo ogni giorno, i pagamenti, i messaggi e gli aggiornamenti software si basano sulla tecnologia crittografica. Fino ad ora, la **crittografia classica** (RSA, ECC, AES, SHA-2/3) è stata la base della fiducia, ma con il **calcolo quantistico** che si avvicina alla fase pratica, alcune crittografie asimmetriche (in particolare RSA/ECC) sono strutturalmente minacciate. L'alternativa è la **crittografia post-quantistica (Post-Quantum Cryptography, PQC)**. La domanda chiave non è “quando cambiare?”, ma **“cosa, come e in modo sicuro, avviare la transizione”**.
Punto cruciale: La sostituzione completa non è realistica; l'approccio *ibrido* è la soluzione pratica. È necessaria una strategia per mantenere la sicurezza e la maturità della crittografia classica attuale, affiancandola alla PQC per garantire la “sicurezza futura”.
2) Il Cuore della Crittografia Classica
2.1 Crittografia a Chiave Simmetrica (AES, ecc.)
- Uso: Crittografia di grandi quantità di dati. È veloce e ben ottimizzata per l'hardware.
- Operazioni: Lo scambio di chiavi viene gestito separatamente con crittografia asimmetrica (es. RSA/ECDH).
- Impatto quantistico: L'algoritmo di Grover teoricamente riduce la forza di sicurezza a metà → Si può rispondere aumentando la lunghezza della chiave (es. AES-256).
2.2 Crittografia a Chiave Asimmetrica (RSA/ECC)
- Uso: Fondamentale per lo scambio di chiavi, le firme digitali e le infrastrutture di certificati (PKI).
- Punti di forza: Decenni di validazione, ampia implementazione e interoperabilità.
- Impatto quantistico: Può essere rotta in linea di principio dall'algoritmo di Shor (assumendo un computer quantistico sufficientemente grande).
2.3 Hash/Firma (Schemi Hash, HMAC, RSA/ECDSA/EdDSA)
- Gli hash si basano sull'integrità e la firma. L'**hash stesso** è relativamente robusto contro gli attacchi quantistici, ma richiede una maggiore lunghezza.
- La firma è essenziale per i certificati/la firma del codice e i documenti digitali. Nell'era quantistica, è importante la transizione verso le **firme PQC**.
3) Comprendere la Minaccia Quantistica
3.1 Algoritmo di Shor
Un algoritmo quantistico in grado di risolvere in modo efficiente la fattorizzazione di interi e il logaritmo discreto. Può minare la fondamentale presunzione di difficoltà computazionale di RSA ed ECC. Questo presuppone un computer quantistico “sufficientemente grande e con correzione degli errori”.
3.2 Algoritmo di Grover
Accelera la ricerca (a livello di radice quadrata). Modella la **riduzione della forza di sicurezza** effettiva delle chiavi simmetriche/hash a circa la metà. La contromisura è relativamente semplice: **aumentare la lunghezza della chiave** (es. AES-256, SHA-384/512).
3.3 Rischio "Harvest-Now, Decrypt-Later (HNDL)"
Uno scenario di attacco in cui il traffico viene salvato oggi per essere decifrato in futuro da un computer quantistico. Questo è particolarmente letale per i dati a lungo termine (governo, sanità, R&D, standard di prossima generazione, dati dei clienti, ecc.). Il **costo di ritardare la transizione** può non essere evidente, ma il rischio reale si accumula.
Punto chiave: Se il periodo di conservazione dei dati che devono essere riservati oggi è più lungo del punto di transizione quantistica, è razionale proteggerli **immediatamente** con la PQC (o un approccio ibrido).
4) La Famiglia della Crittografia Post-Quantistica (PQC)
La PQC si basa su problemi matematici che sono strutturalmente resistenti agli attacchi quantistici. Le categorie principali sono:
4.1 Basata su Reticoli (Lattice-based)
- KEM (Key Encapsulation Mechanism): Es. Kyber — Candidato per sostituire lo scambio di chiavi TLS.
- Firme: Es. Dilithium — Candidato per sostituire la firma del codice/documenti.
- Caratteristiche: Abbastanza veloce, ma la dimensione delle chiavi/firme può essere maggiore rispetto a quelle classiche.
4.2 Firme Basate su Hash
- Es. SPHINCS+ — Approccio conservatore e teoricamente semplice.
- Caratteristiche: Ampio compromesso tra velocità/dimensione di firma e verifica. È considerata un'opzione vantaggiosa per la verifica a lungo termine.
4.3 Basata su Codici
- Es. Classic McEliece — Lo svantaggio è la chiave pubblica molto grande, ma ha una tradizione di sicurezza classica.
4.4 Altre (Multivariata, Isogenia, ecc.)
- Alcune di queste famiglie hanno già mostrato vulnerabilità e sono state escluse dai candidati principali.
Nella pratica, bisogna considerare sia lo **stato di avanzamento della standardizzazione** (es. candidati KEM/firma) che la **maturità delle librerie** (portabilità su linguaggi/piattaforme, accelerazione hardware, mitigazione degli attacchi a canali laterali).
5) PQC vs. Crittografia Classica — Confronto Pratico
| Elemento | Crittografia Classica | Crittografia Post-Quantistica (PQC) |
|---|---|---|
| Presupposto di sicurezza | Fattorizzazione di interi/logaritmo discreto (asimmetrica), blocchi/hash forti (simmetrica) | Basato su reticoli, codici, hash, ecc., resistenti al quantismo |
| Impatto quantistico | RSA/ECC vulnerabile a Shor, AES mitigabile aumentando la chiave | Progettato per essere resistente ai quanti (attenzione alle vulnerabilità di progettazione) |
| Dimensione della chiave/firma | Piccola (specialmente ECC) | Generalmente grande (impatto su larghezza di banda/archiviazione) |
| Prestazioni | Matura e ottimizzata | A seconda dell'algoritmo può essere veloce o avere verifiche pesanti |
| Ecosistema/Compatibilità | Vasto (standard/hardware/strumenti) | In rapida espansione (standard/librerie in evoluzione) |
| Rischio operativo | Maturo, ma vulnerabile a canali laterali/bug di implementazione | Sensibile a nuove vulnerabilità/canali laterali, *agilità crittografica* essenziale |
Conclusione: A breve termine, l'approccio *ibrido* è il più sicuro. Permette di combinare l'ampia compatibilità della crittografia classica con la sicurezza futura della PQC.
6) Strategia di Transizione Ibrida (Guida per Protocollo)
6.1 TLS (HTTPS/QUIC)
- KEM ibrido: Scambio di chiavi simultaneo con algoritmi classici (ECDH/X25519) + PQC (famiglia Kyber).
- Negoziazione quando sia il client che il server lo supportano. Implementazione graduale (canary → espansione).
- Per i certificati, considerare una **firma ibrida** (es. ECDSA + Dilithium) o una doppia catena.
6.2 Email (S/MIME·PGP)
- Applicare in via prioritaria le **firme PQC** a documenti/email a lunga conservazione.
- La forma di una *doppia firma* è realistica per l'interoperabilità.
6.3 VPN/IPsec/SSH
- Miscelare PQC KEM nella fase di scambio delle chiavi. Avviare un'implementazione pilota nelle aree di confine.
- Aggiornare firmware/librerie in linea con il ciclo di sostituzione dell'hardware.
6.4 Firma del Codice/Aggiornamenti Software
- **Raddoppiare l'algoritmo di firma** per garantire la possibilità di verifica a lungo termine.
- Progettare versioni e politiche in modo da evitare conflitti con la catena di avvio legacy.
6.5 Crittografia dei Dati (Archiviazione/Trasferimento)
- Per la crittografia simmetrica, utilizzare parametri forti come AES-256.
- Garantire la sicurezza quantistica nell'area della gestione/scambio delle chiavi attraverso un approccio ibrido.
Punto chiave: Mantenere la struttura **KEM-DEM** (Key Encapsulation + Crittografia Simmetrica) e *sostituire il KEM con un approccio ibrido* riduce al minimo l'impatto.
7) Operazioni e Governance — Costruire la "Agilità Crittografica"
7.1 Politica di Vita e Sostituzione delle Chiavi
- Operare le firme e lo scambio di chiavi classiche con una *vita utile abbreviata*; estenderla gradualmente con l'affiancamento della PQC.
- Accelerare l'adozione della firma PQC per log/documenti che richiedono una verifica a lungo termine.
7.2 Canali Laterali/Sicurezza dell'Implementazione
- A causa delle dimensioni delle chiavi/firme e dei modelli operativi della PQC, prestare attenzione ai rischi di fuga basati su **timing, cache, e consumo energetico**.
- Utilizzare implementazioni a tempo costante, mascheramento, verifica della qualità dei numeri casuali e moduli di sicurezza hardware (HSM/TPM/TEE).
7.3 Audit/Tracciabilità
- Registrare la **cronologia delle modifiche** di algoritmi, lunghezza delle chiavi, versioni e politiche.
- Registrare i tassi di successo/fallimento dell'approccio ibrido e i risultati della negoziazione (handshake).
7.4 Gestione di Normative/Standard e Fornitori
- Monitorare lo stato di avanzamento degli standard e riflettere le promesse di aggiornamento dei fornitori in **SLA/contratti**.
- Eliminare i rischi di compatibilità precoce con test di interoperabilità.
8) Modellazione di Prestazioni/Costo
8.1 Dimensione di Chiave/Firma → Larghezza di Banda/Costo di Archiviazione
- Le dimensioni della chiave pubblica, della firma e dell'incapsulamento della PQC possono essere maggiori, aumentando il carico di dimensione dell'handshake e della catena di certificati.
- Mitigare con CDN/cache edge, compressione e semplificazione della catena.
8.2 Latenza di Calcolo
- La verifica di KEM/firma può diventare un collo di bottiglia nei server. **Profilare** per identificare i punti critici.
- Compensare con pool di thread, handshake asincroni, parametri leggeri e accelerazione hardware.
8.3 Edge/Mobile/Embedded
- Considerare i vincoli di memoria/flash e la dimensione dell'OTA del firmware.
- Negli ambienti a bassa potenza, il costo della verifica della firma è sensibile — fare attenzione nella scelta dei parametri.
9) Roadmap di Transizione 30-60-90 Giorni
Primi 30 Giorni (Diagnosi/Preparazione)
- **Inventario degli asset**: Elencare i punti di utilizzo della crittografia (TLS, VPN, email, firma del codice, crittografia di archiviazione...).
- **Classificazione dei dati**: Dati a lungo termine/breve termine/pubblici. Valutazione del rischio HNDL.
- **Bozza di politica**: Principi ibridi, vita delle chiavi, voci di audit, regole di fallback in caso di fallimento.
- **PoC (Proof of Concept)**: Sperimentazione del KEM ibrido TLS (canary) e del raddoppio della firma.
60 Giorni (Espansione/Standardizzazione)
- Espansione dell'applicazione ibrida a VPN/email/firma del codice.
- Dashboard di monitoraggio: Tasso di successo dell'handshake, latenza, andamento della dimensione di chiavi/firme.
- Test di interoperabilità con fornitori/partner, istituzione di un sistema di reporting CISO.
90 Giorni (Operazionalizzazione)
- Applicazione di un framework di **agilità crittografica** a tutta la produzione (flag/caricamento delle politiche/rollback di emergenza).
- Revisione trimestrale dei rischi: Cambiamenti degli standard, problemi di vulnerabilità, tendenze di costo/prestazioni.
- Distribuzione di formazione/guide: Onboarding aziendale per sviluppo, operazioni, sicurezza, legale.
10) Checklist/Matrice decisionale
| Domanda | Sì/No | Azione Consigliata |
|---|---|---|
| Avete dati riservati a lungo termine (conservazione per 5-10 anni o più)? | Sì | Applicare immediatamente l'ibrido (prevenzione HNDL) |
| Il vostro handshake TLS è un collo di bottiglia per le prestazioni? | Sì | Semplificare i parametri KEM/catena, accelerazione |
| È richiesta la verifica a lungo termine delle firme? | Sì | Raddoppiare la firma PQC, rafforzare la politica di conservazione |
| Avete un grande numero di dispositivi edge/mobile? | Sì | Ottimizzare la dimensione del firmware e i costi di verifica |
| La dipendenza da fornitori/partner è alta? | Sì | Test di interoperabilità e riflessione delle clausole in SLA |
| Avete un framework di agilità crittografica? | No | Costruire un sistema di hot-swap/versioning e rollback delle politiche |
Suggerimento: Considera “Priorità ibrida” come modello operativo standard e riutilizzalo come modulo comune in tutta l'azienda.
11) FAQ
Q1. I modelli generativi da soli non sono sufficienti?
Sono ottimi per la produzione creativa, ma un sistema di inferenza è essenziale per compiti che richiedono alta precisione e auditabilità. Completa l'approccio con RAG/strumenti.
Q2. I modelli di inferenza sono obsoleti?
No. Rimangono fondamentali per qualità, velocità, costo e audit. Si combinano con la generazione per creare pipeline più potenti.
Q3. Qual è il modo più semplice per ridurre le allucinazioni?
Combina la fornitura di evidenze (RAG), l'uso di strumenti per numeri/date, filtri per parole proibite e revisione umana.
Q4. Quali competenze servono a un team?
Le 4 aree chiave sono: prompt, valutazione, governance e controllo. Collabora con i team di dati/piattaforma.
12) Conclusione: Coesistenza, Combinazione, Priorità all'Operazionalizzazione
- Ciò di cui abbiamo bisogno **adesso** non è la paura, ma una transizione sistematica.
- Combina la stabilità della crittografia classica con la sicurezza futura della PQC in un approccio **ibrido**.
- Procedere con inventario→PoC ibrido→costruzione dell'agilità crittografica ti permette di ridurre realisticamente i rischi HNDL.
Da applicare subito: Questa settimana, avvia un canary test con TLS KEM ibrido e un PoC con la doppia firma del codice. La prossima settimana, puoi espandere il raggio d'azione con un progetto pilota di firma di email/documenti.
