Crittografia post-quantistica: gli standard NIST e come funziona la migrazione

Come si integrano i primi standard post-quantistici del NIST, perché la migrazione deve iniziare prima del Q-Day e quali passi pratici le organizzazioni devono affrontare già ora.

Questa pagina è stata tradotta dall'inglese. I nomi di aziende e prodotti e i link alle fonti restano invariati. Leggi l'originale in inglese

La crittografia post-quantistica è lo sforzo per sostituire l’attuale crittografia a chiave pubblica vulnerabile con alternative ritenute resistenti agli attacchi dei futuri computer quantistici. I primi tre standard finalizzati del NIST, pubblicati nel 2024, significano che la transizione è passata dalla ricerca all’implementazione: ora ci si aspetta che le organizzazioni facciano l’inventario dei punti in cui vengono usati algoritmi esposti, decidano cosa sostituire per prima cosa e avviino un percorso di migrazione pluriennale.

Perché serve la crittografia post-quantistica

Il problema non è che i computer quantistici possano violare tutto. La preoccupazione principale è più circoscritta e più importante: i sistemi a chiave pubblica ampiamente utilizzati dipendono da problemi matematici come la fattorizzazione degli interi, i logaritmi discreti e i logaritmi discreti su curve ellittiche. Un computer quantistico sufficientemente potente che esegua l’algoritmo di Shor potrebbe risolvere questi problemi in modo efficiente, compromettendo sistemi come RSA, Diffie–Hellman su campi finiti ed elliptic-curve Diffie–Hellman.

Questa minaccia è ancora prospettica. Al 2026, i computer quantistici non hanno la potenza di calcolo necessaria per violare i sistemi crittografici ampiamente distribuiti, e le dimostrazioni di laboratorio dell’algoritmo di Shor hanno funzionato solo su numeri molto piccoli. L’ostacolo pratico non è la possibilità teorica ma la scala ingegneristica: Wikipedia osserva che per superare i metodi classici potrebbero servire macchine con milioni di qubit a causa dell’overhead della correzione degli errori.

Anche così, aspettare un computer quantistico pienamente capace sarebbe un errore. La migrazione richiede anni e alcuni dati hanno una lunga vita utile in termini di riservatezza. Per questo il concetto di “harvest now, decrypt later” è diventato centrale nella pianificazione. Un avversario può raccogliere oggi traffico cifrato o testi cifrati archiviati e conservarli finché futuri progressi non renderanno possibile la decifrazione. Per archivi email, dati sanitari, proprietà intellettuale, registri governativi o log di infrastrutture critiche, il danno può arrivare molto tempo dopo la prima intercettazione dei dati.

Cosa cambia con il quantum — e cosa non cambia

Un malinteso comune è che il calcolo quantistico renda obsoleta tutta la crittografia.

La maggior parte della crittografia simmetrica attuale e delle funzioni hash è considerata relativamente sicura contro gli attacchi quantistici. L’algoritmo di Grover può accelerare la ricerca brute-force contro i cifrari simmetrici, ma nella pratica questo effetto può essere compensato usando chiavi più grandi, per esempio raddoppiandone la dimensione. Quindi il maggiore elemento di rottura riguarda la crittografia a chiave pubblica, in particolare:

instaurazione della chiave e scambio di chiavi
cifratura a chiave pubblica e incapsulamento della chiave
firme digitali

Per questo il programma PQC del NIST si è concentrato sui meccanismi di incapsulamento della chiave, o KEM, e sugli algoritmi di firma digitale, invece di sostituire tutto lo stack in una sola volta.

Cosa ha standardizzato per primo il NIST

Il NIST ha avviato il suo sforzo formale di standardizzazione alla fine del 2016 dopo una call for proposals. Secondo il registro di standardizzazione, 69 candidature complete e corrette sono entrate nel primo round e sette candidati sono arrivati al terzo round annunciato nel luglio 2020. Dopo anni di valutazione, il NIST ha finalizzato i suoi primi tre standard il 13 agosto 2024.

Questi standard sono:

FIPS 203: ML-KEM, il Module-Lattice-Based Key-Encapsulation Mechanism, basato su CRYSTALS-Kyber
FIPS 204: ML-DSA, il Module-Lattice-Based Digital Signature Algorithm, basato su CRYSTALS-Dilithium
FIPS 205: SLH-DSA, lo Stateless Hash-Based Digital Signature Algorithm, basato su SPHINCS+

Il NIST descrive ML-KEM come lo standard principale per la cifratura generale, evidenziandone le chiavi di cifratura relativamente piccole e la velocità. ML-DSA è lo standard principale per le firme digitali. SLH-DSA usa una base matematica diversa ed è pensato come backup nel caso in cui ML-DSA si rivelasse in seguito vulnerabile.

Le indicazioni del NIST sono esplicite: questi tre standard sono pronti per un uso immediato e le organizzazioni dovrebbero iniziare ad applicarli subito.

Perché ci sono più standard, e non un solo vincitore

Il campo post-quantistico non ha un’unica base matematica dominante. Famiglie diverse hanno punti di forza, caratteristiche implementative e profili di rischio differenti. Le scelte del NIST riflettono una logica di portafoglio.

La crittografia basata su reticoli sostiene attualmente gran parte del carico di implementazione. I primi algoritmi basati su reticoli standardizzati dal NIST sono ML-KEM e ML-DSA. Sono interessanti anche per via delle prestazioni e delle dimensioni gestibili delle chiavi.

Ma la diversificazione conta. Il NIST ha selezionato SLH-DSA, uno schema di firma basato su hash, come backup della firma principale basata su reticoli. Poi, l’11 marzo 2025, il NIST ha selezionato HQC come KEM di backup per la cifratura generale. HQC è basato su codici, non su reticoli, e il NIST ha detto che questa differenza di approccio matematico è il motivo per mantenerlo come opzione di riserva.

Il messaggio è strategico: non scommettere il futuro della fiducia digitale su una sola ipotesi.

I prossimi standard in arrivo

Il lavoro del NIST sul PQC non si è concluso con il rilascio del 2024.

La pagina di progetto del CSRC dice che il NIST continua il lavoro di standardizzazione su:

Falcon, un algoritmo di firma digitale
HQC, un meccanismo di incapsulamento della chiave

Il registro di standardizzazione dice che lo standard basato su Falcon si chiamerà FN-DSA in FIPS 206. A metà del 2026 era ancora in stato di bozza. Il motivo citato per la tempistica più lenta è la complessità implementativa: FN-DSA si basa sul campionamento gaussiano in virgola mobile nel processo di firma, che secondo il NIST è più difficile da implementare in modo sicuro e a tempo costante rispetto ai tre standard già finalizzati.

Per HQC, il NIST ha detto nel marzo 2025 che una bozza di standard era attesa entro circa un anno, con uno standard finale previsto nel 2027 dopo la consultazione pubblica.

Questo calendario scaglionato è importante dal punto di vista operativo. Le organizzazioni non devono aspettare ogni futura opzione prima di agire. Il NIST si aspetta che ML-KEM, ML-DSA e SLH-DSA costituiscano la base della maggior parte delle implementazioni e afferma che dovrebbero già essere usati.

Una rapida mappa dei primi standard

Standard	Nome dell’algoritmo	Funzione principale	Famiglia matematica	Descrizione del ruolo secondo il NIST
FIPS 203	ML-KEM	Instaurazione della chiave / supporto alla cifratura generale	Basato su reticoli	Standard principale per la cifratura generale
FIPS 204	ML-DSA	Firme digitali	Basato su reticoli	Standard principale per le firme
FIPS 205	SLH-DSA	Firme digitali	Basato su hash	Metodo di firma di backup
In arrivo	FN-DSA	Firme digitali	Basato su reticoli NTRU	Ulteriore standard di firma in fase di sviluppo
In arrivo	HQC	Instaurazione della chiave / supporto alla cifratura generale	Basato su codici	KEM di backup per ML-KEM

Come funziona davvero la migrazione

La migrazione riguarda meno la sostituzione di una libreria e più la riprogettazione delle dipendenze crittografiche nei sistemi.

Le linee guida del NIST sulla migrazione dicono che le organizzazioni devono individuare dove vengono usati algoritmi vulnerabili e pianificare aggiornamenti o sostituzioni per prodotti, servizi e protocolli. Questo significa trovare la crittografia in punti in cui spesso è documentata male:

terminazione TLS e collegamenti interni service-to-service
VPN e sistemi di accesso remoto
PKI e workflow dei certificati
firma del codice e firma dei documenti
moduli hardware di sicurezza e sistemi di aggiornamento del firmware
strumenti di gestione di identità, accessi e chiavi
dispositivi embedded e tecnologia operativa
dati archiviati a lungo termine protetti con vecchi schemi di instaurazione della chiave

Il primo passo è di solito l’inventario crittografico: dove vengono usati RSA, Diffie–Hellman o meccanismi a curve ellittiche, direttamente o tramite prodotti di terze parti? Il secondo è la prioritizzazione: quali sistemi presentano un rischio elevato perché gestiscono segreti di lunga durata o sono difficili da aggiornare? Il terzo è l’esecuzione: test, lavoro di interoperabilità, distribuzione graduale e modifiche delle policy.

La timeline del NIST aumenta l’urgenza. Secondo la timeline di transizione richiamata nella pagina del CSRC, il NIST prevede di deprecare e poi rimuovere dai suoi standard gli algoritmi vulnerabili al quantum entro il 2035, con i sistemi a rischio più elevato che si muoveranno molto prima.

I maggiori compromessi ingegneristici

La migrazione post-quantistica non è soltanto un esercizio di conformità. Comporta veri compromessi tecnici.

Un compromesso generale riguarda dimensione ed efficienza. I materiali del NIST sul PQC osservano che molti algoritmi PQC usano chiavi più grandi rispetto ai sistemi pre-quantistici a chiave pubblica. Descrivono inoltre compromessi tra dimensione della chiave, efficienza computazionale e dimensione del testo cifrato o della firma. Per i protocolli esposti su internet e i dispositivi vincolati, queste differenze possono incidere su banda, latenza, memoria e complessità implementativa.

Un altro compromesso è tra maturità e diversità. I sistemi basati su reticoli dominano attualmente i primi standard perché hanno ottenuto risultati sufficientemente buoni nelle valutazioni del NIST da diventare le scelte principali. Ma il rischio di concentrazione è reale, ed è per questo che si stanno sviluppando standard di backup basati su altra matematica.

La sicurezza implementativa è un terzo tema. Il registro di standardizzazione menziona preoccupazioni relative ai side-channel per Falcon e osserva che le possibili mitigazioni possono influire sulle prestazioni. Più in generale, un progetto crittografico può apparire solido sulla carta pur restando difficile da implementare in modo sicuro nella pratica.

Cosa gli standard non risolvono

L’esistenza di uno standard non dimostra una sicurezza eterna. Si ritiene, ma non si dimostra, che gli algoritmi post-quantistici resistano agli attacchi quantistici. Questa avvertenza è intrinseca al settore stesso.

Ci sono anche lezioni che arrivano dal processo del NIST. Alcuni candidati sono stati violati durante la valutazione. Wikipedia evidenzia due esempi particolarmente visibili: Rainbow è stato violato su un computer classico durante il terzo round e SIKE è stato violato nel quarto round. Questi fallimenti non invalidano il PQC nel suo complesso; mostrano perché la crittoanalisi pubblica e una standardizzazione prudente richiedono tempo.

Restano aperte questioni su:

la fiducia di lungo periodo nei problemi matematici scelti
la qualità delle implementazioni tra fornitori e stack open-source
la resistenza ai side-channel nell’hardware e nel software reali
l’interoperabilità nei protocolli e negli ecosistemi dei certificati
quanto aggressivamente le organizzazioni dovrebbero diversificare tra famiglie di algoritmi

Un modo pratico di pensare al “quando muoversi”

Per la maggior parte delle organizzazioni, l’inquadramento corretto non è “Il Q-Day sarà l’anno prossimo?” ma “Quanto tempo richiederà la nostra migrazione e per quanto tempo i nostri dati dovranno restare al sicuro?”

Se i vostri sistemi sono profondamente integrati, regolamentati, distribuiti a livello globale o dipendenti dai fornitori, la transizione potrebbe essere lenta. Se i vostri dati saranno ancora sensibili tra anni, il rischio harvest-now rende il ritardo più costoso. Questa logica spiega perché il NIST stia sollecitando l’adozione immediata degli standard del 2024 anche se i computer quantistici non hanno ancora raggiunto la scala necessaria.

In breve, la migrazione al PQC è una classica transizione infrastrutturale: bisogna iniziare prima dell’emergenza, perché quando l’emergenza sarà evidente, sarà troppo tardi per muoversi senza scosse.

Punti chiave

La crittografia post-quantistica riguarda soprattutto la sostituzione dei sistemi vulnerabili a chiave pubblica, non l’abbandono di tutta la crittografia esistente.
Un computer quantistico sufficientemente potente che esegua l’algoritmo di Shor potrebbe violare RSA, Diffie–Hellman ed elliptic-curve Diffie–Hellman.
Il NIST ha finalizzato i suoi primi tre standard PQC il 13 agosto 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA).
Il NIST afferma che questi standard sono pronti ora e che le organizzazioni dovrebbero iniziare immediatamente la migrazione.
ML-KEM è lo standard principale per l’instaurazione della chiave legata alla cifratura generale; ML-DSA è lo standard principale per le firme; SLH-DSA è un metodo di firma di backup.
Nel marzo 2025, il NIST ha selezionato HQC come KEM di backup basato su una matematica diversa da quella di ML-KEM.
La migrazione inizia dalla scoperta dei punti in cui vengono usati algoritmi vulnerabili, per poi dare priorità ai sistemi ad alto rischio e pianificare una sostituzione graduale.
Tra i compromessi importanti ci sono materiale di chiave più grande, costi in termini di prestazioni e banda, complessità implementativa e il valore della diversità matematica.
Gli standard PQC riducono il rischio futuro, ma non eliminano l’incertezza; crittoanalisi continua, revisione delle implementazioni e test operativi restano essenziali.
L’urgenza fondamentale deriva dai lunghi tempi di transizione e dalla possibilità di attacchi harvest now, decrypt later contro dati che devono restare riservati per anni.