La crittografia a chiave pubblica protegge una parte essenziale delle attività digitali che utilizziamo ogni giorno: dalle comunicazioni online ai pagamenti, dalla firma dei documenti ai sistemi di identificazione. È presente in applicazioni, dispositivi e infrastrutture da cui dipendono servizi pubblici, attività economiche e comunicazioni.

Lo sviluppo del quantum computing apre però uno scenario nuovo. Computer quantistici sufficientemente avanzati potrebbero, in futuro, compromettere molti degli algoritmi su cui oggi si basa questa protezione. Il momento in cui tali capacità saranno sufficienti a compromettere su larga scala gli algoritmi a chiave pubblica oggi utilizzati viene indicato come Q-Day.

Ma attendere il Q-Day per intervenire significherebbe considerare soltanto una parte del rischio. Dati cifrati intercettati oggi possono essere conservati con l’obiettivo di decifrarli in futuro, quando capacità quantistiche adeguate saranno disponibili: è lo scenario noto come Harvest Now, Decrypt Later. Per le informazioni che devono rimanere riservate per molti anni, prepararsi a soluzioni crittografiche post-quantistiche diventa quindi una necessità già attuale.

La Post-Quantum Cryptography (PQC) non comporta però la semplice sostituzione di un algoritmo. I meccanismi di crittografia a chiave pubblica interessati sono incorporati in sistemi sviluppati in momenti diversi: occorre individuarli, comprenderne le dipendenze e verificare che le nuove soluzioni possano essere introdotte senza compromettere il funzionamento delle infrastrutture.

È l’incrocio tra la necessità di proteggere dati sensibili nel lungo periodo e la complessità dell’adeguamento dei sistemi a rendere necessario agire prima che la minaccia diventi concreta.

È stato questo il punto di partenza di “Post-quantum cryptography: standard, innovazioni e difesa digitale”, quinto appuntamento del ciclo di seminari sulla cybersicurezza promosso dal Ministero delle Imprese e del Made in Italy, in collaborazione con la Scuola Superiore di Specializzazione in Telecomunicazioni e Cyber 4.0.

Ad aprire i lavori, il 21 ottobre, sono stati Eva Spina, Capo Dipartimento per il Digitale, la Connettività e le Nuove Tecnologie del MIMIT, e Matteo Lucchetti, Direttore Operativo di Cyber 4.0. Dal confronto tra istituzioni europee e nazionali, ricerca e industria è emerso un quadro articolato, dallo stato delle tecnologie quantistiche alle strategie e alle scelte necessarie per preparare sistemi e organizzazioni.

Dal rischio alla strategia: la roadmap europea e il percorso italiano

Parlare oggi di Post-Quantum Cryptography (PQC) non significa assumere che un computer quantistico capace di compromettere su larga scala gli algoritmi oggi utilizzati sia imminente.

Massimo Bernaschi, del Consiglio Nazionale delle Ricerche (CNR), ha ricondotto il confronto allo stato effettivo della tecnologia. Le capacità disponibili oggi restano lontane da quelle necessarie per compromettere RSA con chiavi da 2048 bit, una configurazione ampiamente utilizzata nella crittografia a chiave pubblica.

È il divario tra questa incertezza tecnologica e i tempi necessari per adeguare le infrastrutture ad aver portato le istituzioni a pianificare in anticipo.

Christian Trefzger, della DG CONNECT della Commissione europea, ha inserito la PQC nella strategia europea sulle tecnologie quantistiche, collegandola a cybersecurity, capacità industriale, competenze e autonomia tecnologica.

Fabiana Da Pieve, della DG CONNECT della Commissione europea, ha quindi approfondito la roadmap europea coordinata per la transizione alla crittografia post-quantistica, articolata in tappe progressive:

  • entro il 2026, gli Stati membri sono chiamati a definire i propri piani nazionali e ad avviare il percorso;
  • entro il 2030, la migrazione dovrà essere completata per i casi considerati ad alto rischio;
  • entro il 2035, l’adeguamento dovrà essere progressivamente esteso, per quanto possibile, ai sistemi a rischio medio e basso.

La logica è quindi graduale e basata sul rischio: non tutti i sistemi devono essere modificati nello stesso momento. La durata della protezione richiesta ai dati, il livello di esposizione e il ciclo di vita delle infrastrutture contribuiscono a stabilire le priorità.

In questo quadro si inserisce la risposta italiana. Luigi Schinelli, Capo Servizio Crittografia, ACN, ha illustrato il lavoro in corso per la definizione del piano nazionale di transizione alla PQC, nel quadro delle tappe stabilite a livello europeo.

Il percorso delineato dall’Agenzia per la Cybersicurezza Nazionale guarda tanto all’adeguamento tecnologico quanto alla capacità delle organizzazioni di governarlo, attraverso consapevolezza, controllo della filiera, gestione del rischio e governance. Tra gli elementi centrali rientrano anche la crypto-agility e la definizione di requisiti da tradurre nelle specifiche tecniche e nei rapporti con i fornitori.

Dalla roadmap alle organizzazioni: sapere dove intervenire

Per tradurre queste scadenze in azioni concrete, il primo problema è conoscere dove la crittografia interessata dalla migrazione è effettivamente utilizzata.

Su questo passaggio si è concentrato Nicola Sotira, Responsabile del CERT di Poste Italiane. Il primo passo operativo è costruire una Cryptographic Bill of Materials (CBOM), cioè un inventario strutturato delle componenti crittografiche presenti nell’organizzazione: algoritmi, librerie, applicazioni, dispositivi e relative dipendenze.

Questa visibilità consente di valutare il rischio, stabilire quali asset richiedano maggiore attenzione e pianificare le risorse necessarie. Il principio espresso dalla roadmap europea trova qui la sua applicazione operativa: anche all’interno della singola organizzazione la migrazione deve procedere per priorità.

L’inventario, però, non può essere una fotografia realizzata una volta sola. Cloud, applicazioni, servizi di terze parti, sistemi legacy e supply chain modificano continuamente l’ambiente tecnologico. Il censimento deve quindi diventare un processo continuativo, integrato nella governance e nei rapporti con i fornitori.

La migrazione alla prova dei sistemi reali

Sapere dove intervenire non significa ancora sapere se la nuova soluzione funzionerà correttamente.

Luca Iuliano, di Telsy, ha evidenziato come un algoritmo possa essere matematicamente robusto e standardizzato senza risultare automaticamente compatibile con il sistema che dovrà utilizzarlo.

Le soluzioni post-quantum possono avere chiavi, firme o messaggi di dimensioni differenti rispetto agli algoritmi precedenti, con effetti su latenza, trasmissione dei dati e interoperabilità. Anche hardware e reti diventano quindi parte della valutazione.

Non basta sapere quale algoritmo sostituire: occorre verificare quale impatto avrà la nuova soluzione nel contesto in cui dovrà operare.

I casi d’uso, inoltre, non presentano tutti la stessa urgenza: dati destinati a rimanere riservati nel tempo, firme digitali, aggiornamenti firmware e infrastrutture con cicli di vita differenti richiedono valutazioni diverse.

Crypto-agility e standard: progettare per il cambiamento

Se il percorso post-quantistico richiederà anni e gli standard continueranno a evolvere, non basta scegliere oggi un algoritmo ritenuto robusto. Occorre evitare che i sistemi vengano costruiti attorno a scelte difficili da modificare in futuro.

È qui che assume rilievo la crypto-agility, indicata da ACN tra i principi centrali del percorso di transizione: la capacità di sostituire o aggiornare algoritmi, protocolli, parametri e chiavi senza riprogettare completamente un sistema. La sua applicazione dipende dal ciclo di vita delle tecnologie, dai rischi e dai costi, ma può tradursi anche in requisiti tecnici e contrattuali per i fornitori.

Il contributo di Ivan Visconti, Professore ordinario di Informatica alla Sapienza Università di Roma, ha mostrato perché questa capacità sia particolarmente rilevante. La PQC non consiste infatti nell’individuare oggi un unico algoritmo destinato a risolvere definitivamente il problema.

Il processo di standardizzazione avviato dal National Institute of Standards and Technology (NIST) nel 2016 ne offre un esempio concreto. Dalla candidatura di un algoritmo alla sua adozione come standard possono trascorrere anni, durante i quali le soluzioni vengono sottoposte allo scrutinio della comunità scientifica e a tentativi di attacco; alcuni candidati vengono esclusi quando emergono criticità.

I tempi della standardizzazione sono parte integrante del processo con cui viene verificata la robustezza delle nuove soluzioni. I primi tre standard post-quantum del NIST sono stati pubblicati nel 2024, mentre la valutazione di ulteriori soluzioni prosegue.

Da qui l’importanza di disporre di soluzioni eterogenee e alternative e di evitare che una scelta compiuta oggi renda i sistemi difficili da modificare domani. La stessa logica sostiene gli schemi ibridi, che possono affiancare algoritmi già consolidati e nuove soluzioni post-quantum durante il periodo di migrazione.

La crypto-agility assume così un valore che va oltre la singola scelta tecnologica: serve a mantenere nel tempo la capacità di adattare i sistemi all’evoluzione degli standard e delle conoscenze crittografiche.

Prepararsi prima del Q-Day

Il punto emerso dal seminario non è individuare una data per il Q-Day, ma evitare che sistemi e organizzazioni arrivino impreparati a uno scenario che richiede anni di pianificazione.

La roadmap europea e il percorso avviato a livello nazionale hanno già tradotto questa prospettiva in scadenze e attività concrete: conoscere gli asset crittografici, valutarne il rischio, verificare le nuove soluzioni e progettare sistemi capaci di adattarsi nel tempo.

Torna così il principio che attraversa l’intero percorso: prepararsi prima che la minaccia diventi concreta e mantenere la capacità di modificare le proprie scelte quando tecnologie e standard evolvono.

Il Q-Day resta incerto. La capacità di prepararsi al cambiamento, invece, può essere costruita già oggi.

Prossimo appuntamento: aerospazio, difesa e tecnologie dual use

Il ciclo di seminari sulla cybersicurezza si concluderà a novembre con il sesto e ultimo appuntamento del 2026, “Aerospazio e difesa: la sfida cyber delle tecnologie dual use”.

Data, programma e modalità di partecipazione saranno comunicati prossimamente.