Crittografia post-quantistica: perché riguarda anche il tuo e-commerce

Immagina un ladro che entra in casa tua, trova una cassaforte, non riesce ad aprirla e allora si porta via la cassaforte intera. Non per aprirla stasera: per tenerla in cantina finché non avrà l’attrezzo giusto. Fra otto anni, dodici, quindici. È esattamente ciò che rende la crittografia post-quantistica una faccenda meno remota di quanto sembri, e il motivo per cui riguarda anche un e-commerce di provincia con trecento ordini al mese.

Non è una previsione catastrofica. È una questione di calendario, e il calendario funziona al contrario rispetto a come lo immaginiamo.

Come si chiude, oggi, un lucchetto sul web

Quando compri qualcosa online, il tuo browser e il server del negozio devono mettersi d’accordo su una parola segreta — la chiave con cui verranno cifrati numero di carta, indirizzo, password. Il problema è che devono accordarsi parlando ad alta voce, su una rete dove chiunque può ascoltare. Sembra impossibile, ed è la ragione per cui la crittografia a chiave pubblica è una delle invenzioni più eleganti del secolo scorso.

Il trucco è usare operazioni matematiche facili in un verso e mostruosamente difficili nell’altro. Moltiplicare due numeri primi grandissimi è banale; risalire ai due fattori partendo dal prodotto richiede, con le macchine di oggi, tempi geologici. Su questa asimmetria si costruisce una coppia di chiavi: una pubblica, che chiunque può usare per chiudere un messaggio, e una privata, che solo il destinatario possiede e con cui lo riapre. Un meccanismo analogo — basato su un’altra operazione difficile da invertire, quella delle curve ellittiche — regge le firme digitali che certificano che quel sito è davvero quel sito.

Fatto lo scambio, il grosso del traffico viaggia poi con una cifratura simmetrica, veloce e robusta. Il punto delicato è la stretta di mano iniziale. Chi controlla quella, controlla tutto il resto.

Perché una macchina quantistica la aprirebbe

Qui entra in scena l’algoritmo di Peter Shor, formulato a metà degli anni Novanta quando i computer quantistici erano puri esercizi teorici. Shor dimostrò che una macchina quantistica sufficientemente grande e stabile può scomporre in fattori primi un numero enorme in tempi ragionevoli — e la stessa idea si applica al problema su cui poggiano le curve ellittiche.

La differenza rispetto al solito attacco informatico è sostanziale, e conviene fissarla. Non è forza bruta: nessuno prova miliardi di combinazioni finché ne trova una. È una scorciatoia matematica. Il lucchetto non viene scassinato, viene aperto con una chiave costruita apposta.

Detto questo, va detto anche il resto, altrimenti si fa allarmismo. Una macchina capace di eseguire quell’algoritmo su chiavi vere non esiste. Costruirla richiede un numero di qubit affidabili enormemente superiore a quelli che si sanno tenere in vita, e il collo di bottiglia è la correzione degli errori, non la potenza. Quanto ci vorrà, nessuno lo sa: chi ti dà una data ti sta vendendo qualcosa. Cosa succede se e quando arriverà, invece, lo sappiamo benissimo. Ed è per questo che ci si muove adesso.

Harvest now, decrypt later

Il concetto ha un nome inglese che vale la pena imparare, perché è la chiave di tutta la faccenda: harvest now, decrypt later. Raccogli adesso, decifra dopo.

Chi ha risorse e pazienza — servizi di intelligence, gruppi criminali strutturati — può intercettare traffico cifrato oggi, archiviarlo e conservarlo. Non serve saperlo aprire subito. Serve solo che il contenuto valga ancora qualcosa il giorno in cui l’attrezzo arriverà. È la cassaforte portata in cantina.

Ecco perché la domanda giusta non è “quando arriveranno i computer quantistici”, ma un’altra, molto più concreta: per quanti anni i miei dati devono restare segreti?

Se vendi scarpe, il carrello di ieri fra dodici anni non interessa a nessuno. Ma il quadro cambia se tratti cartelle cliniche, progetti industriali, contratti pluriennali, documenti d’identità, dati di minori, brevetti in corso di deposito, corrispondenza con studi legali. E cambia in modo brutale per chiunque conservi archivi cifrati destinati a durare. La regola pratica sta in un’aritmetica semplice: quanto tempo devono restare protetti i dati, più quanto tempo ci vorrà per aggiornare i sistemi. Se la somma sembra lunga, il problema è già cominciato.

Le serrature nuove esistono già

La buona notizia è che il mondo non si è fatto trovare impreparato. Il NIST, l’ente americano che stabilisce gli standard tecnici e che a suo tempo standardizzò anche le cifrature simmetriche oggi in uso, ha organizzato una gara pubblica aperta a ricercatori di tutto il mondo: proposte depositate, analizzate, attaccate senza pietà dalla comunità scientifica, scartate quando cadevano. Alcune candidate sono state demolite in corso d’opera, con dimostrazioni pubbliche, e questa è la parte migliore della storia: significa che il metodo funziona.

Gli algoritmi arrivati in fondo si appoggiano soprattutto a problemi matematici sui reticoli — griglie di punti in spazi a moltissime dimensioni, dove trovare il punto più vicino a un altro è difficile sia per un computer classico sia, per quanto oggi si sa, per uno quantistico. Il primo standard riguarda lo scambio delle chiavi (l’algoritmo pubblicato con la sigla ML-KEM, nato nella ricerca con il nome Kyber); gli altri due riguardano le firme digitali (ML-DSA, dal progetto Dilithium, e SLH-DSA, dal progetto SPHINCS+, che si basa soltanto su funzioni di hash e serve da rete di sicurezza nel caso i reticoli si rivelassero fragili).

Nessuno di questi nomi ti servirà mai in una riunione. Serve sapere che esistono, che sono pubblici e verificabili, e che l’adozione è già cominciata: browser e sistemi di messaggistica hanno iniziato a usare scambi di chiavi ibridi, che combinano l’algoritmo classico e quello nuovo. Se uno dei due cade, l’altro regge. È una cintura con le bretelle, ed è la scelta giusta.

Cosa devi fare tu: niente di eroico

Nessuna PMI deve implementare crittografia. Sarebbe come chiedere a un ristoratore di raffinare il petrolio per il furgone. Ma tre cose sono alla portata di chiunque.

La prima è aggiornare, sempre e con noia. La transizione arriverà sotto forma di aggiornamenti di sistemi operativi, librerie, server e CMS: chi tiene la propria infrastruttura al passo se la ritroverà installata senza accorgersene, chi ha un sito fermo da anni resterà fuori. Vale la pena ricordarlo, perché è lo stesso motivo per cui conviene curare la sicurezza del proprio sito anche quando sembra che non stia succedendo niente: le manutenzioni si fanno prima.

La seconda è chiedere. Al fornitore di hosting, al gestore dei pagamenti, a chi ti dà il gestionale o il servizio di posta. Una domanda sola, in italiano semplice: avete un piano per la transizione agli algoritmi post-quantistici? Non ti serve una relazione tecnica. Ti serve capire se la domanda li sorprende. Un fornitore serio ha già la risposta pronta; uno che non l’ha mai sentita nominare ti sta dicendo qualcosa di utile su tutto il resto.

La terza è fare l’inventario di ciò che deve restare segreto a lungo, e trattarlo di conseguenza: meno dati raccolti, meno tempo conservati, meno posti in cui stanno. È buona igiene a prescindere dai computer quantistici, e ha il pregio di funzionare anche contro i ladri normali, quelli che non aspettano quindici anni.

La cassaforte in cantina, alla fine, è una metafora paziente. Il ladro non ha fretta, e questa è la parte scomoda. L’unica contromossa disponibile è cambiare serratura mentre lui aspetta — e assicurarsi che dentro ci sia meno roba di quanto crede.

Fare le domande giuste ai propri fornitori digitali è metà del lavoro: l’altra metà la facciamo noi in Publilia.