Distribuzione quantistica delle chiavi vs crittografia post-quantistica: da cosa protegge ciascuna

In cosa differiscono la distribuzione quantistica delle chiavi e la crittografia post-quantistica per obiettivi, presupposti, compromessi di implementazione e minacce affrontate.

Questa pagina è stata tradotta dall'inglese. I nomi di aziende e prodotti e i link alle fonti restano invariati. Leggi l'originale in inglese

La distribuzione quantistica delle chiavi e la crittografia post-quantistica vengono spesso raggruppate sotto l’etichetta di tecnologie “quantum-safe”, ma risolvono problemi diversi in modi diversi. La QKD è un metodo per creare chiavi segrete condivise la cui sicurezza è legata al comportamento della meccanica quantistica, mentre la PQC è una famiglia di algoritmi per lo più a chiave pubblica pensati per mantenere sicuri gli attuali sistemi digitali di fronte ai futuri computer quantistici.

Nella pratica, la scelta di solito non è un aut-aut. La QKD riguarda la creazione della chiave con rilevamento delle intercettazioni, sotto specifici presupposti fisici e di rete; la PQC riguarda la sostituzione dei componenti crittografici vulnerabili all’interno dell’infrastruttura esistente. Capire da cosa protegge ciascuna parte da questa distinzione.

Due risposte diverse alla minaccia quantistica

La preoccupazione di fondo comune a entrambi gli approcci è che il calcolo quantistico minaccia molti sistemi a chiave pubblica ampiamente utilizzati. Secondo il riepilogo di Wikipedia sulla crittografia post-quantistica, la maggior parte degli algoritmi a chiave pubblica oggi impiegati si basa sulla fattorizzazione di interi, sui logaritmi discreti o sui logaritmi discreti su curve ellittiche, e un computer quantistico sufficientemente potente che esegua l’algoritmo di Shor potrebbe risolvere questi problemi in modo efficiente.

Questo non significa che tutta la crittografia crolli all’improvviso. Il riepilogo di Wikipedia afferma anche che l’attuale crittografia simmetrica e le funzioni hash sono considerate relativamente sicure contro gli attacchi quantistici, anche se l’algoritmo di Grover può accelerare la ricerca brute-force e nella pratica può essere contrastato raddoppiando la dimensione della chiave.

Da qui, QKD e PQC prendono strade diverse:

QKD punta a consentire a due parti di generare una chiave segreta casuale condivisa usando stati quantistici.
PQC punta a sostituire gli algoritmi classici vulnerabili a chiave pubblica con nuovi algoritmi che oggi si ritiene, pur senza prova definitiva, resistano agli attacchi quantistici.

Questa differenza di ambito conta. La QKD non cifra di per sé i dati dell’applicazione; distribuisce chiavi. La PQC, invece, è pensata per inserirsi nei punti in cui la crittografia a chiave pubblica è già usata per la creazione delle chiavi e per le firme digitali.

Da cosa protegge la QKD

La QKD è un metodo di comunicazione sicura basato sulla meccanica quantistica, compresi il principio di perturbazione dovuta alla misura e il teorema di non clonazione. Il suo scopo è permettere a due parti di creare una chiave segreta condivisa nota soltanto a loro.

La sua proprietà di sicurezza distintiva è il rilevamento delle intercettazioni. In generale, misurare un sistema quantistico lo perturba. Quindi, se una terza parte cerca di apprendere la chiave misurando gli stati quantistici trasmessi, questa interferenza crea anomalie che le parti legittime possono rilevare. Se la perturbazione osservata è al di sotto di una soglia, possono ancora derivare una chiave sicura; se è troppo elevata, interrompono il processo.

L’articolo di Wikipedia sulla distribuzione quantistica delle chiavi descrive la sicurezza della QKD come fondata sulla fisica piuttosto che sull’ipotesi della difficoltà di problemi matematici. Descrive inoltre la QKD come dotata di sicurezza dimostrabile su base informazionale e come capace di offrire forward secrecy.

Detto questo, la QKD protegge una parte più ristretta del problema di quanto molti pensino:

Protegge il processo di distribuzione di una chiave.
Non trasmette direttamente i dati del messaggio.
La chiave risultante deve comunque essere usata con un metodo di cifratura come un one-time pad o un algoritmo simmetrico come AES.

Quindi, se la domanda è “Che cosa difende la QKD?”, la risposta è: difende la riservatezza dello scambio della chiave in sé, sotto le ipotesi del protocollo e dell’implementazione, rendendo rilevabile l’intercettazione del canale quantistico.

Come funziona la QKD a grandi linee

L’articolo di Wikipedia sulla distribuzione quantistica delle chiavi descrive due grandi famiglie di protocolli QKD.

Prepare-and-measure

In questo modello, una parte prepara stati quantistici e li invia su un canale quantistico insicuro. Il destinatario li misura. In seguito, attraverso un canale classico autenticato, le due parti confrontano informazioni limitate per verificare se le misure sono coerenti con una trasmissione non perturbata.

In caso contrario, deducono una possibile intercettazione o un rumore eccessivo e possono interrompere il processo.

L’esempio più noto è BB84, introdotto da Charles H. Bennett e Gilles Brassard nel 1984. In BB84, il mittente codifica bit casuali in una di due possibili basi, e il destinatario misura ciascuno stato quantistico in arrivo usando una base scelta casualmente. In seguito, confrontano pubblicamente le scelte delle basi e scartano le posizioni in cui hanno usato basi diverse. Poi testano un sottoinsieme dei bit rimanenti per verificare la presenza di errori; troppi errori implicano che la sicurezza non può essere garantita.

Basati sull’entanglement

Questi protocolli usano stati entangled condivisi tra le due parti. Wikipedia spiega che la misura di una metà di una coppia entangled influenza il sistema complessivo, e l’intercettazione modifica le correlazioni in modi rilevabili. Un esempio citato è E91, proposto da Artur Ekert nel 1991.

Per un non specialista, il punto importante è che entrambe le famiglie cercano di ottenere lo stesso obiettivo: generare una chiave segreta condivisa rendendo visibile l’intercettazione.

La dipendenza nascosta della QKD: l’autenticazione

La caratteristica più evidente della QKD può nascondere un requisito cruciale. L’articolo di Wikipedia sulla distribuzione quantistica delle chiavi afferma che la QKD di solito si basa su un canale classico autenticato. È così che le due parti sanno di stare davvero parlando tra loro durante la fase di discussione pubblica, e non con qualcuno che si spaccia per l’altro.

Questo crea un’importante limitazione pratica:

Per autenticare quel canale classico, le parti hanno già bisogno di una base crittografica fidata, come una chiave simmetrica scambiata in precedenza o chiavi pubbliche sufficientemente sicure.

Ciò significa che la QKD non elimina il problema dell’autenticazione. Risolve la distribuzione delle chiavi partendo dall’assunzione che l’autenticazione sia già disponibile.

L’articolo di Wikipedia è insolitamente esplicito sulla conseguenza: se si dispone già di ciò che serve per autenticare in modo sicuro, allora nella pratica può essere possibile ottenere comunicazioni sicure senza QKD, usando la crittografia simmetrica convenzionale. Arriva perfino a descrivere la QKD come un modo di svolgere il compito di un cifrario a flusso a un costo molto più elevato.

Questo è uno dei compromessi chiave nel dibattito sulla QKD. Il suo modello di sicurezza è attraente, ma l’onere di implementazione a livello di sistema è considerevole.

Da cosa protegge la PQC

La PQC affronta una superficie di minaccia diversa. Si tratta dello sviluppo di algoritmi crittografici, di solito algoritmi a chiave pubblica, che oggi si ritiene restino sicuri contro gli attacchi dei computer quantistici.

Il suo obiettivo principale è il futuro fallimento degli attuali sistemi a chiave pubblica. Il riepilogo di Wikipedia sulla crittografia post-quantistica evidenzia anche due ragioni per cui la migrazione è urgente prima che esistano grandi computer quantistici:

La migrazione richiede tempo.
Raccogli ora, decifra dopo è una preoccupazione reale: i dati raccolti oggi potrebbero essere ancora sensibili tra anni.

La PQC protegge quindi da due rischi correlati:

La futura decifrazione di dati oggi protetti con metodi a chiave pubblica vulnerabili al quantistico.
La futura falsificazione o il fallimento dei meccanismi di autenticità che si basano su quegli stessi metodi vulnerabili.

A differenza della QKD, la PQC non si basa su hardware di comunicazione quantistica. È una transizione crittografica classica: sostituire algoritmi all’interno di software, hardware, protocolli e standard.

La PQC è più ampia di una sola famiglia di algoritmi

Il riepilogo di Wikipedia sulla crittografia post-quantistica elenca diverse direzioni di ricerca nella PQC, tra cui crittografia basata su reticoli, multivariata, basata su hash, basata su codici e basata su isogenie, insieme ad approcci a chiave simmetrica che usano chiavi sufficientemente grandi.

Una sfumatura centrale è che la PQC non è dimostrata sicura in senso generale. Wikipedia descrive ripetutamente questi sistemi come attualmente ritenuti sicuri e osserva che alcuni candidati hanno fallito. Un esempio notevole è SIDH/SIKE, compromesso nel 2022.

Questo non mette in discussione la PQC nel suo complesso, ma mostra che “quantum-resistant” non è un’etichetta permanente. È un processo di ricerca e standardizzazione costruito sulla crittoanalisi continua.

Alcune famiglie hanno riduzioni formali più forti di altre, e alcune presentano compromessi pratici come chiavi, firme o testi cifrati più grandi. Wikipedia osserva che molti algoritmi PQC richiedono chiavi più grandi rispetto ai sistemi a chiave pubblica pre-quantistici, e che ciò può creare compromessi nelle dimensioni della trasmissione e nell’efficienza computazionale.

Standardizzazione e realtà dell’implementazione

Il segnale più chiaro sullo stato pratico della PQC arriva dal NIST.

Il NIST afferma di aver pubblicato i suoi principali standard PQC nel 2024 e che le organizzazioni dovrebbero iniziare subito la migrazione. Gli standard elencati sono:

FIPS 203: ML-KEM
FIPS 204: ML-DSA
FIPS 205: SLH-DSA

Il NIST afferma inoltre che questi standard dovrebbero costituire la base per la maggior parte delle implementazioni e che altri standard sono in fase di sviluppo, tra cui Falcon e HQC. Dichiara inoltre che, secondo la timeline di transizione in NIST IR 8547, gli algoritmi vulnerabili al quantistico saranno deprecati e infine rimossi dagli standard NIST entro il 2035, con i sistemi a rischio più elevato anticipati.

Questo è un contrasto importante con la QKD. Qualunque sia il giudizio sui meriti di lungo periodo di uno o dell’altro approccio, la PQC è già avviata su un percorso di migrazione basato su standard e orientato a un’ampia implementazione nell’infrastruttura digitale ordinaria.

Confronto diretto: da cosa protegge ciascuna

Aspect	Quantum key distribution	Post-quantum cryptography
Primary purpose	Create a shared secret key	Replace vulnerable public-key algorithms
Security basis	Quantum mechanics and detectable disturbance	Classical algorithms believed resistant to quantum attacks
What it directly protects	The confidentiality of key distribution	Key establishment, signatures, and other public-key functions in digital systems
Eavesdropping detection	Yes, as a built-in protocol property	No equivalent physical detection property
Hardware requirement	Requires a quantum channel plus classical channel	Runs on classical digital infrastructure
Authentication need	Requires an authenticated classical channel	Provides authentication mechanisms itself through signature/KEM standards
Deployment model	Specialized links and protocol setup	Software, hardware, and protocol migration across existing systems
Main trade-off in evidence	High cost and dependence on prior authentication	Larger keys/signatures and ongoing algorithm-evaluation risk

Quindi quale delle due protegge “di più”?

Nessuna delle due protegge universalmente di più; proteggono in modo diverso.

La QKD offre una caratteristica di sicurezza distintiva per la distribuzione delle chiavi: il tentativo di intercettazione sul canale quantistico è, in linea di principio, rilevabile. Per applicazioni in cui questa proprietà è decisiva, la QKD può essere interessante. Ma comporta presupposti impegnativi, in particolare la necessità di un canale classico autenticato e di un’infrastruttura di comunicazione specializzata.

La PQC affronta il problema più ampio e più immediato dei sistemi: sostituire la crittografia a chiave pubblica che un futuro computer quantistico potrebbe violare. Non offre il rilevamento delle intercettazioni basato sulla fisica tipico della QKD, ma è progettata per mettere in sicurezza le funzioni crittografiche da cui le reti moderne dipendono realmente su larga scala.

Un altro modo di inquadrare la questione:

Se la vostra preoccupazione è come due endpoint stabiliscono chiavi su un canale osservabile quantisticamente, la QKD è lo strumento pertinente.
Se la vostra preoccupazione è come internet, le supply chain del software, i sistemi di identità e i dati cifrati di lunga durata sopravvivano all’arrivo degli attacchi quantistici, la PQC è la risposta centrale.

Le questioni aperte e i compromessi

Una visione equilibrata dovrebbe tenere presenti diverse incertezze.

Per la QKD:

La sua impostazione di sicurezza è forte in teoria, ma dipende da una corretta implementazione.
Non elimina la necessità di autenticazione.
Wikipedia solleva esplicitamente la questione pratica se il costo aggiuntivo sia giustificato quando la cifratura autenticata classica può già soddisfare l’esigenza.

Per la PQC:

Questi algoritmi sono ritenuti, non dimostrati, sicuri contro gli attacchi quantistici.
Alcune famiglie o alcuni schemi candidati hanno fallito sotto l’analisi crittografica.
L’implementazione pratica può comportare chiavi più grandi e altri compromessi prestazionali.

Tuttavia, il NIST indica un attuale consenso operativo: migrare ora verso una PQC standardizzata, perché aspettare computer quantistici pienamente maturi potrebbe lasciare troppo poco tempo per proteggere riservatezza e autenticità di lunga durata.

Punti chiave

QKD e PQC non sono sostituti in senso semplice. La QKD distribuisce chiavi segrete; la PQC sostituisce la crittografia vulnerabile a chiave pubblica.
La caratteristica distintiva della QKD è il rilevamento delle intercettazioni sul canale quantistico, radicato nella perturbazione quantistica dovuta alla misura.
La QKD non cifra da sola i messaggi e di solito richiede un canale classico autenticato, il che significa che deve già esistere una qualche base di fiducia.
La PQC è rivolta al problema di migrazione più ampio creato dalle minacce quantistiche per gli attuali sistemi a chiave pubblica.
L’attuale crittografia simmetrica è meno sconvolta dal calcolo quantistico rispetto all’attuale crittografia a chiave pubblica, anche se dimensioni di chiave maggiori possono essere prudenti.
La PQC sta già entrando negli standard mainstream. Il NIST ha pubblicato FIPS 203, 204 e 205 nel 2024 e afferma che le organizzazioni dovrebbero iniziare subito la migrazione.
Nessuna delle due strade è priva di costi. La QKD comporta oneri infrastrutturali e di autenticazione; la PQC comporta incertezza algoritmica e compromessi prestazionali come chiavi più grandi.
Per la maggior parte delle organizzazioni, la PQC è la principale risposta nel breve termine al rischio quantistico, mentre la QKD affronta un obiettivo di sicurezza più ristretto e specializzato.