Firme digitali post-quantistiche: guida chiara

Categoria

Sicurezza locale

Pubblicato

Ottobre 18, 2026

Tempo di lettura

10 min di lettura

Le firme digitali post-quantistiche sono firme crittografiche progettate per restare affidabili anche se futuri computer quantistici riuscissero a compromettere molti dei sistemi a chiave pubblica usati oggi. Una firma valida può dimostrare che chi controllava una determinata chiave privata ha firmato un messaggio o un file e che i dati firmati non sono stati modificati dopo la firma. Non cifra il file, non ne nasconde il contenuto, non controlla chi può aprirlo e non impedisce a un destinatario autorizzato di copiarlo. Le firme post-quantistiche sono rilevanti quando autenticità e integrità devono restare verificabili per anni, soprattutto per documenti sensibili, aggiornamenti software, registri e flussi di condivisione di file destinati a durare oltre la crittografia attuale.

Una firma digitale usa una chiave privata per creare una prova matematica relativa a dati specifici. Chiunque disponga della chiave pubblica corrispondente può verificare tale prova. Una firma digitale post-quantistica usa uno schema di firma progettato per resistere agli attacchi sia dei computer convenzionali sia di un futuro computer quantistico crittograficamente rilevante.

Molti sistemi di firma molto diffusi si basano su RSA o sulla crittografia a curve ellittiche (ECC). Un computer quantistico capace di applicare l’algoritmo di Shor contro questi sistemi potrebbe compromettere le ipotesi matematiche su cui poggiano entrambe le famiglie. Ne deriverebbero due problemi: un aggressore potrebbe potenzialmente forgiare nuove firme con una chiave privata rubata o ricostruita, e una firma storica potrebbe diventare più difficile da considerare affidabile se non ne sono stabiliti in modo indipendente la data e la cronologia della chiave.

Le firme post-quantistiche adottano basi matematiche diverse. L’opzione standardizzata più nota è ML-DSA, in precedenza chiamata CRYSTALS-Dilithium. Il NIST ha standardizzato ML-DSA in FIPS 204. Ha inoltre standardizzato SLH-DSA, uno schema di firma basato su funzioni hash, in FIPS 205. Questi standard offrono agli implementatori un riferimento comune; non eliminano la necessità di una solida gestione delle chiavi, aggiornamenti software o una verifica chiara dell’identità.

Una firma post-quantistica verificata correttamente offre due garanzie fondamentali, a condizione che chi verifica disponga della chiave pubblica autentica e che la chiave privata del firmatario sia rimasta protetta.

• Integrità: il file o messaggio firmato non è stato modificato dopo la firma.
• Controllo della chiave del firmatario: la firma è stata creata da qualcuno che aveva accesso alla chiave privata associata.

Il secondo punto è volutamente più circoscritto rispetto a “questo prova che ha firmato una determinata persona”. La crittografia dimostra il controllo di una chiave, non un’identità nel mondo reale. Per associare una chiave pubblica a una persona, un’azienda o un servizio, il flusso deve prevedere un collegamento affidabile: per esempio una directory di chiavi autenticata, un certificato verificato, un’impronta della chiave scambiata in modo sicuro o un processo organizzativo di gestione delle chiavi.

Il processo di firma opera normalmente su un hash crittografico del file, anziché direttamente su ogni byte di un documento di grandi dimensioni. La firma resta vincolata al file: modificare anche una piccola parte produce un hash diverso e fa fallire la verifica.

1. Il firmatario crea una coppia di chiavi pubblica/privata con un algoritmo di firma post-quantistico.
2. Il dispositivo del firmatario usa la chiave privata per firmare il file o il suo hash.
3. Il file, la firma e le informazioni necessarie a identificare algoritmo e chiave pubblica vengono consegnati al destinatario.
4. Il destinatario ottiene la chiave pubblica corretta tramite un canale affidabile e verifica la firma.
5. Il risultato della verifica è significativo solo se la chiave pubblica è davvero associata al firmatario dichiarato e non è stata revocata o compromessa.

Firmare è quindi distinto dal cifrare. In un flusso sicuro per i file, la cifratura protegge la riservatezza durante l’archiviazione o il trasferimento; la firma protegge autenticità e integrità. Un sistema può usare entrambe, ma una non fornisce automaticamente l’altra.

Con l’espressione “firme Dilithium” si intende di solito CRYSTALS-Dilithium, l’algoritmo selezionato dal NIST e standardizzato con il nome ML-DSA (Module-Lattice-Based Digital Signature Algorithm). In pratica, ML-DSA è un’opzione di firma post-quantistica progettata per usi generali in cui occorre firmare e verificare in modo efficiente numerosi messaggi o file.

SLH-DSA è diverso. Si basa su funzioni hash anziché su reticoli ed è spesso considerato un’alternativa più conservativa, con compromessi differenti. Le sue firme sono in genere più grandi, con possibili effetti sulla larghezza di banda e sullo spazio di archiviazione. Questo non significa che ogni organizzazione debba usare due schemi per ogni documento. Significa piuttosto che una migrazione crittografica può evitare un singolo punto di dipendenza quando i requisiti lo giustificano.

Il solo nome di un algoritmo non basta per valutare l’affermazione di un prodotto. Chiediti se la firma è davvero usata per l’autenticazione, quali file o messaggi copre, come vengono distribuite le chiavi pubbliche, come sono protette le chiavi private e se il prodotto offre un percorso di aggiornamento credibile quando cambiano gli standard o le indicazioni di implementazione.

Le firme post-quantistiche sono più rilevanti quando una firma dovrà restare verificabile anche dopo che l’attuale generazione di crittografia a chiave pubblica non sarà più considerata sicura. Alcuni esempi sono documenti legali o amministrativi conservati a lungo, aggiornamenti software e firmware, approvazioni di alto valore, documenti legati all’identità e archivi che potrebbero essere controllati anni dopo.

Sono pertinenti anche in una prospettiva di “raccogli ora, decifra più tardi”, benché la preoccupazione principale sia diversa da quella della cifratura. Per la cifratura, il rischio è la divulgazione differita di dati acquisiti oggi. Per le firme, riguarda la futura falsificazione o la perdita di fiducia nell’autenticità del materiale firmato. Un file riservato a lunga conservazione può richiedere sia una cifratura attenta al post-quantistico sia firme post-quantistiche, ma si tratta di requisiti distinti.

Queste cinque domande sono illustrative: non costituiscono un test di prodotto né una previsione di quando gli attacchi quantistici diventeranno pratici. Servono a capire se un flusso merita già oggi una pianificazione delle firme post-quantistiche.

• Per quanto tempo la prova deve restare credibile? Una firma usata solo per un avviso interno di breve durata ha un orizzonte diverso da quello di un registro conservato per decenni.
• Cosa succede se un file viene falsificato o alterato? Considera danni finanziari, legali, alla sicurezza, alla privacy e alle attività operative.
• I destinatari riescono a ottenere la vera chiave pubblica in modo affidabile? Un algoritmo robusto non aiuta se un aggressore può sostituire la chiave di verifica.
• Dove è custodita la chiave di firma? Furto della chiave privata, malware, backup non sicuri e un dispositivo sbloccato possono vanificare qualsiasi schema di firma.
• Il flusso può migrare? I registri dovrebbero conservare file firmato, firma, metadati dell’algoritmo, informazioni per la verifica e un piano di aggiornamento.

Considera il caso illustrativo di un piccolo studio commercialista che invia a un cliente un documento fiscale da verificare anche in futuro. La cifratura protegge il documento da lettori non autorizzati durante la condivisione. Una firma post-quantistica può aiutare il cliente a verificare che il documento provenga dalla chiave di firma dello studio e non sia stato modificato. Lo studio deve comunque verificare l’identità del destinatario, proteggere la propria chiave di firma e gestire ciò che accade se il cliente inoltra il documento. La firma risolve un livello importante, ma non governa l’intero ciclo di vita del documento.

• Scambiare le firme per cifratura. Un PDF firmato può essere comunque leggibile da chiunque lo ottenga, salvo che sia cifrato separatamente.
• Fidarsi di una chiave pubblica non verificata. La verifica ha valore solo quando il destinatario sa a chi appartiene la chiave.
• Ignorare la sicurezza degli endpoint. Malware o accessi non autorizzati che usano una chiave privata possono produrre firme apparentemente valide.
• Firmare una versione ambigua del file. Definisci con precisione quale versione, quali allegati, metadati e timestamp sono inclusi.
• Equiparare “post-quantistico” a sicurezza permanente. Algoritmi, implementazioni e pratiche di gestione delle chiavi richiedono verifiche man mano che standard e minacce evolvono.

Nella condivisione di contenuti sensibili, la privacy non dovrebbe dipendere dal fatto che gli utenti ricordino ogni volta una lunga lista di precauzioni separate. Un flusso solido sovrappone più protezioni: cifratura per la riservatezza, firme per autenticità e integrità, chiavi locali protette e controlli che limitano gli accessi non necessari dopo la consegna.

Oblivio è progettato per affrontare il problema più ampio della perdita di controllo sui file sensibili dopo l’invio. Il suo modello di condivisione usa cifratura end-to-end e punta sulla protezione locale, sull’accesso temporaneo, sulla revoca e sui registri locali delle condivisioni. L’attenzione alla crittografia post-quantistica va intesa come una scelta progettuale orientata alla protezione futura, non come la promessa che la sola crittografia possa fermare ogni fuga di dati o compromissione dell’endpoint. Per file che non dovrebbero restare accessibili indefinitamente, questi controlli completano le firme affrontando una domanda diversa: chi può accedere al file, per quanto tempo e con quale responsabilizzazione.

Per la riservatezza, anziché per la verifica della firma, leggi la nostra guida alla crittografia post-quantistica per documenti privati. Se stai valutando se la transizione sia rilevante oggi per i tuoi file, la guida su quando la crittografia post-quantistica serve agli utenti comuni distingue i documenti sensibili di lunga durata dai dati quotidiani a rischio più basso.

• Le firme digitali post-quantistiche sono progettate per preservare la sicurezza delle firme contro futuri attacchi quantistici alla crittografia a chiave pubblica attuale.
• Dimostrano integrità e controllo di una chiave di firma, non riservatezza, identità del destinatario o controllo sulle copie.
• ML-DSA è il nome standardizzato dal NIST per l’algoritmo derivato da CRYSTALS-Dilithium.
• La protezione della chiave privata e una distribuzione affidabile della chiave pubblica restano essenziali.
• Per documenti sensibili conservati a lungo, pianifica insieme firme, cifratura, controllo degli accessi e migrazione: l’etichetta di un algoritmo non è l’intera soluzione.