Cos’è la crittografia Kyber? ML-KEM spiegato chiaramente

Categoria

Sicurezza locale

Pubblicato

Ottobre 15, 2026

Tempo di lettura

10 min di lettura

Con l’espressione crittografia Kyber si intende di solito CRYSTALS-Kyber, un algoritmo crittografico post-quantistico progettato per stabilire un segreto condiviso attraverso una rete non attendibile. In genere non è l’algoritmo che cifra direttamente un intero file. Kyber permette invece a due parti di creare lo stesso segreto temporaneo, che può poi essere usato con una cifratura simmetrica veloce, come AES o ChaCha20, per proteggere file, messaggi o traffico di rete.

Kyber è importante perché sistemi a chiave pubblica molto diffusi, come RSA e la crittografia a curva ellittica, potrebbero essere vulnerabili a un computer quantistico sufficientemente potente. Nel 2024, il National Institute of Standards and Technology statunitense ha standardizzato una tecnologia derivata da Kyber con il nome di ML-KEM, abbreviazione di Module-Lattice-Based Key-Encapsulation Mechanism. Per capire come funziona lo scambio post-quantistico, è utile distinguere il ruolo di ML-KEM dalla cifratura dei dati. Nelle discussioni tecniche attuali, “Kyber” può indicare il precedente progetto CRYSTALS-Kyber oppure, in senso più ampio, ML-KEM e i sistemi che lo utilizzano.

La distinzione più importante è che Kyber è un meccanismo di incapsulamento delle chiavi (KEM). Un KEM risolve un problema circoscritto ma essenziale: come può il mittente stabilire un segreto con un destinatario senza trasmettere quel segreto in forma leggibile?

Un flusso Kyber semplificato funziona così:

• Il destinatario genera una chiave pubblica e una chiave privata.
• Il mittente usa la chiave pubblica del destinatario per incapsulare un nuovo segreto condiviso e produce un piccolo testo cifrato.
• Il mittente trasmette quel testo cifrato al destinatario.
• Il destinatario usa la chiave privata per decapsulare lo stesso segreto condiviso.
• Entrambe le parti derivano chiavi di cifratura da quel segreto e usano la cifratura simmetrica per proteggere i dati effettivi.

La chiave pubblica e il testo cifrato di Kyber possono transitare in un canale non attendibile. La chiave privata deve invece restare protetta. Se un aggressore registra lo scambio ma non riesce a ottenere la chiave privata, l’obiettivo è che non possa ricavare il segreto condiviso.

Kyber aiuta a stabilire o a proteggere chiavi di cifratura. Un sistema completo di condivisione sicura richiede anche chiavi pubbliche autenticate, cifratura simmetrica dei file, archiviazione sicura delle chiavi, implementazioni corrette e un modo per gestire l’accesso nel tempo.

Gran parte della crittografia a chiave pubblica odierna si basa su problemi matematici che riguardano la fattorizzazione di interi o i logaritmi discreti. Un computer quantistico crittograficamente rilevante potrebbe, in linea di principio, usare l’algoritmo di Shor per risolvere questi problemi in modo molto più efficiente rispetto ai metodi classici oggi noti. Per questo RSA e gli accordi di chiave a curva ellittica usati comunemente richiedono un piano di migrazione nel lungo periodo.

Kyber usa una base matematica diversa: problemi strutturati sui reticoli, nello specifico il problema Module Learning With Errors. Il progetto aggiunge intenzionalmente rumore matematico controllato. Un destinatario legittimo può comunque recuperare il segreto condiviso con la chiave privata, mentre un aggressore affronta un problema ritenuto difficile sia per i computer convenzionali sia per quelli quantistici.

“Ritenuto difficile” è la formulazione responsabile. Gli algoritmi post-quantistici vengono selezionati attraverso crittoanalisi pubblica e standardizzazione, non garantiti per sempre. La loro sicurezza dipende dalla matematica sottostante, dalla scelta accurata dei parametri, da implementazioni resistenti, dalla protezione delle chiavi e dalla continua revisione della comunità crittografica.

La terminologia può creare confusione perché la versione standardizzata usa un nuovo nome. CRYSTALS-Kyber è l’algoritmo scelto dal NIST per la standardizzazione. Lo standard risultante si chiama ML-KEM e comprende tre set di parametri: ML-KEM-512, ML-KEM-768 e ML-KEM-1024. I numeri identificano set di parametri standardizzati con compromessi diversi fra sicurezza e prestazioni; non corrispondono semplicemente ai “bit di cifratura”.

Per la specifica tecnica autorevole, il NIST pubblica FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard. La documentazione di un prodotto può continuare a usare “Kyber”, soprattutto parlando di implementazioni precedenti o di scelte di compatibilità. Una descrizione precisa dovrebbe indicare quale versione e quale set di parametri vengono effettivamente usati.

Kyber può ridurre il rischio futuro nella fase a chiave pubblica di un sistema sicuro. Non rende automaticamente resistente ai quanti ogni altra parte del sistema.

• Kyber può aiutare a: stabilire un segreto per una sessione cifrata, proteggere una chiave di cifratura di un file oppure difendere la componente a chiave pubblica di un protocollo di condivisione dai previsti attacchi quantistici.
• Kyber non cifra da solo un intero file: il file richiede normalmente una modalità di cifratura simmetrica autenticata e una chiave separata per la cifratura dei dati.
• Kyber non dimostra l’identità: un KEM da solo non può dire al mittente se una chiave pubblica appartiene davvero al destinatario previsto. L’autenticazione resta necessaria.
• Kyber non risolve la compromissione dell’endpoint: malware, una chiave privata esposta, un PIN debole o un aggressore che controlla un dispositivo già sbloccato possono vanificare anche una crittografia robusta.
• Kyber non controlla un file dopo la decifratura: revoca, scadenza, tracciamento del destinatario e deterrenza contro le copie sono controlli a livello applicativo, con limiti propri.

Questa distinzione è importante per i documenti privati. L’algoritmo di cifratura protegge la riservatezza in un contesto crittografico definito; un sistema per la privacy realmente utilizzabile deve anche ridurre le esposizioni evitabili attraverso impostazioni predefinite appropriate, protezione locale delle chiavi e comportamenti di condivisione più sicuri.

Durante la migrazione, i sistemi possono adottare un approccio ibrido: il segreto condiviso viene derivato sia da un metodo convenzionale di accordo delle chiavi sia da un KEM post-quantistico come ML-KEM. Lo scopo è evitare di dipendere esclusivamente da una sola famiglia di algoritmi mentre implementazioni, standard, librerie e interoperabilità maturano.

I progetti ibridi non sono una scorciatoia universale. Introducono complessità a livello di protocollo e implementazione, e la costruzione combinata deve essere progettata correttamente. Per la maggior parte delle persone, la domanda utile è se un prodotto di sicurezza spieghi chiaramente il proprio percorso di migrazione crittografica e possa aggiornarlo con l’evoluzione di standard e rischi, non come aggiungere manualmente Kyber al proprio flusso di lavoro.

Usa questo quadro quando un’app, un servizio di archiviazione o uno strumento di condivisione afferma di usare Kyber, ML-KEM o la crittografia post-quantistica. È un aiuto per decidere, non un test di prodotto né una valutazione di un fornitore specifico.

• Chiediti quale ruolo ha Kyber nel progetto. Viene usato per stabilire le chiavi, per proteggere le chiavi dei file o è solo menzionato come ambito di ricerca futura?
• Chiediti cosa cifra il contenuto. Una spiegazione credibile distingue il KEM dalla cifratura simmetrica che protegge il file o il messaggio.
• Chiediti come vengono autenticate le chiavi pubbliche. Senza autenticazione, un aggressore potrebbe sostituire le chiavi anche se il KEM è robusto.
• Chiediti dove risiedono le chiavi private. Uno scambio resistente ai quanti si indebolisce se l’endpoint espone la chiave privata o ne consente un accesso occasionale.
• Chiediti se i dati richiedono riservatezza a lungo termine. Scansioni di passaporti, documenti legali, cartelle cliniche e file dei clienti possono restare sensibili molto più a lungo di messaggi ordinari e temporanei.

Scenario illustrativo, non una storia di cliente né un risultato misurato: un commercialista freelance invia i documenti d’identità e i dati fiscali di un cliente. Una solida cifratura simmetrica protegge i file, mentre un meccanismo derivato da Kyber potrebbe aiutare a proteggere lo scambio della chiave del file dal rischio futuro di “raccogliere oggi, decifrare domani”. Restano comunque doveri pratici: confermare il destinatario, proteggere entrambi i dispositivi, limitare la durata dell’accesso ed evitare copie non controllate. Lo scenario mostra perché la preparazione post-quantistica è uno strato di una decisione più ampia sulla protezione dei file.

Nella condivisione di file, lo schema abituale usa una cifratura simmetrica efficiente per il contenuto e la crittografia a chiave pubblica per distribuire o proteggere la chiave del contenuto. Kyber è rilevante per la seconda parte. Può aiutare a stabilire il segreto usato per proteggere una chiave di file, ma non sostituisce la gestione degli accessi.

Questa separazione è utile nella scelta di uno strumento per la privacy. Alcuni servizi sono pensati principalmente per l’archiviazione cifrata e la collaborazione; altri si concentrano sulla consegna controllata. Oblivio si colloca nel secondo caso quando l’invio di un file sensibile è solo l’inizio: il mittente può aver bisogno anche di registri locali delle condivisioni, scadenza, revoca e misure che rendano meno anonima una ridistribuzione non autorizzata. Il modello di sicurezza di Oblivio è progettato con attenzione alla crittografia avanzata e post-quantistica, ma non si dovrebbe dedurre una specifica implementazione di Kyber o ML-KEM senza conferma nella documentazione del prodotto.

Per un approfondimento sulla rilevanza della crittografia orientata al futuro per i tuoi documenti, leggi la nostra guida alla crittografia post-quantistica per documenti privati. Se la tua preoccupazione immediata è la condivisione anziché l’archiviazione, la nostra spiegazione di cos’è la condivisione di file resistente ai quanti distingue la protezione crittografica dai controlli su destinatari e accesso.

• Definire Kyber un sostituto di AES. Kyber e AES svolgono compiti diversi. Un KEM stabilisce o protegge un segreto; la cifratura simmetrica gestisce in modo efficiente grandi quantità di dati.
• Supporre che “post-quantistico” significhi sicuro contro ogni minaccia. Phishing, processi di recupero insicuri, compromissione del dispositivo, scarsa casualità e bug di implementazione restano rilevanti.
• Trattare Kyber e ML-KEM come prodotti scollegati. ML-KEM è il discendente del lavoro su Kyber standardizzato dal NIST, anche se versioni e parametri esatti continuano a essere importanti.
• Confondere una dichiarazione crittografica con la privacy end-to-end. La privacy dipende anche dalla gestione dei metadati, dall’architettura del server, dalla custodia delle chiavi, dall’autenticazione e da ciò che accade quando un destinatario apre un file.
• Aspettare un’emergenza quantistica prima di pianificare. La migrazione è più utile prima che dati da conservare a lungo si accumulino sotto la protezione di sistemi a chiave pubblica legacy.

• Kyber è un KEM post-quantistico per stabilire segreti condivisi, non normalmente un algoritmo autonomo per cifrare file.
• La sua forma standardizzata dal NIST si chiama ML-KEM.
• Kyber affronta il rischio futuro nello scambio a chiave pubblica; cifratura simmetrica, autenticazione, sicurezza dell’endpoint e controlli di accesso restano necessari.
• È particolarmente rilevante quando le informazioni possono conservare valore per anni o quando un prodotto deve offrire un percorso credibile di migrazione crittografica.
• La privacy non dovrebbe richiedere agli utenti di diventare crittografi. Il risultato utile è uno strumento che renda più semplice applicare protezioni solide e verificabili nelle normali decisioni di condivisione dei file.