Oblivio
Lo scambio di chiavi post-quantistico è un metodo che consente a due dispositivi di stabilire un segreto condiviso per la cifratura, usando una matematica progettata per resistere sia ai computer tradizionali sia a futuri computer quantistici crittograficamente rilevanti. Il segreto condiviso di solito non coincide con la chiave che cifra direttamente il file. È invece materiale di chiave temporaneo, usato per proteggere una sessione sicura o per derivare le chiavi che cifrano i dati. Diventa particolarmente importante quando dati cifrati oggi potrebbero essere copiati e dover restare riservati per anni, perché metodi a chiave pubblica molto diffusi, come RSA e la crittografia a curve ellittiche, potrebbero essere compromessi da un computer quantistico sufficientemente potente.
In pratica, lo scambio di chiavi post-quantistico affronta il primo problema della comunicazione sicura: permettere a due parti di accordarsi su un segreto anche quando un aggressore può osservare la rete. Per i file sensibili, la domanda rilevante è se il file potrà restare privato quando arriveranno future capacità di calcolo, non se i computer quantistici siano un rischio immediato per ogni documento inviato oggi.
Cosa fa lo scambio di chiavi
La cifratura richiede una chiave segreta, ma inviare quella chiave come un normale messaggio vanificherebbe lo scopo: chiunque la intercettasse potrebbe decifrare il contenuto protetto. Un meccanismo di scambio o stabilimento delle chiavi consente a due parti di creare o ottenere lo stesso segreto senza esporlo direttamente a un osservatore.
Una volta che entrambe le parti possiedono il segreto condiviso, un algoritmo di cifratura simmetrica separato può usarlo per proteggere i dati effettivi. La cifratura simmetrica è abbastanza efficiente per file, chiamate e grandi flussi di messaggi. Lo scambio di chiavi gestisce il difficile passaggio iniziale: stabilire il segreto tra parti che non ne condividono già uno.
- Lo stabilimento delle chiavi a chiave pubblica aiuta a creare un segreto condiviso attraverso una rete non attendibile.
- La derivazione delle chiavi trasforma quel segreto condiviso in una o più chiavi per scopi specifici.
- La cifratura simmetrica protegge il contenuto del file o del messaggio.
- L’autenticazione aiuta a confermare chi si trova dall’altra parte; lo scambio di chiavi da solo non lo garantisce automaticamente.
Questi ruoli sono spesso riuniti in un’app, e questo può farli sembrare un’unica operazione. In realtà svolgono compiti di sicurezza distinti. Un sistema può avere una cifratura dei file robusta ma uno stabilimento delle chiavi debole, oppure usare un metodo post-quantistico per stabilire le chiavi senza autenticare adeguatamente il destinatario.
Perché lo scambio di chiavi deve cambiare nell’era quantistica
Molti protocolli Internet attuali si affidano a RSA o alla crittografia a curve ellittiche per stabilire segreti e verificare identità. La loro sicurezza dipende da problemi matematici difficili da risolvere per i computer convenzionali. L’algoritmo di Shor mostra che un computer quantistico sufficientemente grande e tollerante agli errori potrebbe risolvere in modo efficiente i problemi di fattorizzazione e di logaritmo discreto sottostanti, compromettendo questi sistemi a chiave pubblica.
Questo non significa che tutta la cifratura fallisca improvvisamente nello stesso momento. La moderna cifratura simmetrica resta una categoria diversa di crittografia, anche se margini di sicurezza e dimensioni delle chiavi continuano a contare. Il tema urgente della migrazione riguarda la crittografia a chiave pubblica: se un aggressore registra oggi traffico cifrato e in futuro ottiene capacità quantistiche, potrebbe recuperare segreti di sessione stabiliti con metodi a chiave pubblica vulnerabili. Questo scenario viene spesso chiamato harvest now, decrypt later, cioè «raccogli ora, decifra più tardi».
Lo scambio di chiavi post-quantistico sostituisce o integra lo stabilimento a chiave pubblica vulnerabile con un algoritmo ritenuto resistente agli attacchi quantistici noti. È soprattutto una misura di riservatezza per informazioni la cui utilità nel restare segrete supera il periodo di transizione.
Lo scambio di chiavi post-quantistico protegge la creazione di un segreto condiviso. Da solo non garantisce che un file sia cifrato correttamente, che il destinatario sia autentico o che il destinatario non possa farne una copia non autorizzata dopo averlo visualizzato.
ML-KEM: il principale standard post-quantistico per lo stabilimento delle chiavi
L’approccio standardizzato principale è il meccanismo Kyber (ML-KEM), abbreviazione di Module-Lattice-Based Key-Encapsulation Mechanism. È il successore standardizzato di CRYSTALS-Kyber, spesso ancora chiamato Kyber nelle discussioni sui prodotti. Nell’agosto 2024, il National Institute of Standards and Technology degli Stati Uniti ha pubblicato ML-KEM come FIPS 203.
Un meccanismo di incapsulamento delle chiavi, o KEM, funziona in modo leggermente diverso dal modello mentale classico secondo cui «entrambe le parti calcolano lo stesso valore», associato a Diffie-Hellman. Una parte pubblica una chiave di incapsulamento pubblica. L’altra crea un nuovo segreto condiviso e lo cifra, o incapsula, verso quella chiave pubblica. Solo chi possiede la corrispondente chiave privata di decapsulamento può recuperare il segreto.
Ad alto livello, ML-KEM usa matematica basata su reticoli strutturati invece della fattorizzazione o dei logaritmi discreti su curve ellittiche. Nessun sistema crittografico pubblico può promettere sicurezza permanente contro scoperte ancora ignote. L’affermazione pratica è più circoscritta: ML-KEM è progettato per resistere agli approcci di attacco classici e quantistici oggi noti contro il problema dello stabilimento delle chiavi, ed è stato selezionato e standardizzato dopo una valutazione crittografica pubblica.
Come funziona lo scambio di chiavi post-quantistico nella condivisione di file
Un flusso semplificato di condivisione sicura può essere questo:
- Il destinatario dispone di una chiave pubblica e di una chiave privata protetta.
- Il mittente usa la chiave pubblica del destinatario per stabilire un nuovo segreto condiviso, mediante ML-KEM o una costruzione ibrida.
- Entrambe le parti derivano chiavi di sessione da quel segreto.
- Il mittente cifra il file con un algoritmo simmetrico veloce e invia il file cifrato insieme alle informazioni necessarie al destinatario per recuperare il segreto di sessione.
- Il destinatario usa la propria chiave privata protetta per recuperare il segreto condiviso, derivare la chiave di sessione e decifrare il file.
I protocolli reali aggiungono dettagli importanti: trascrizioni autenticate, controlli di integrità, nonce, gestione degli errori, rotazione delle chiavi e difese contro aggressori attivi. Un diagramma che si ferma a «genera un segreto condiviso» può nascondere queste responsabilità. Una progettazione sicura è una proprietà dell’intero sistema, non soltanto la scelta di un algoritmo.
Perché lo scambio ibrido è comune durante la migrazione
Una progettazione ibrida combina un metodo convenzionale, come Diffie-Hellman a curve ellittiche, con un meccanismo post-quantistico come ML-KEM. Il segreto di sessione finale deriva da entrambi i contributi. Lo scopo è rendere più resiliente la transizione: se la combinazione è progettata correttamente, il sistema mira a mantenere protezione nel modello di minaccia pertinente se risulta solido il componente convenzionale oppure quello post-quantistico più recente.
I progetti ibridi non sono automaticamente migliori in ogni implementazione. Aggiungono dimensione ai messaggi, percorsi di codice, lavoro di interoperabilità e necessità di revisione. Restano però un modello pratico di migrazione, perché l’adozione post-quantistica non consiste nel sostituire in un solo giorno ogni protocollo, certificato, dispositivo e chiave archiviata.
Cosa non risolve lo scambio di chiavi post-quantistico
La preparazione post-quantistica può essere fraintesa come un’etichetta di sicurezza generale. Lo scambio di chiavi riguarda un livello di un sistema sicuro, ma non elimina i rischi presenti altrove.
- Autenticazione: senza una verifica affidabile dell’identità, un aggressore può ancora impersonare un destinatario o condurre un attacco man-in-the-middle.
- Compromissione dell’endpoint: malware, un dispositivo sbloccato o una credenziale di recupero rubata possono esporre file decifrati o chiavi private utilizzabili.
- Archiviazione delle chiavi: uno scambio resistente ai quanti non aiuta se la chiave privata di decapsulamento viene copiata da un dispositivo o backup protetto male.
- Comportamento del destinatario: un destinatario legittimo può inoltrare, salvare, catturare con screenshot o fotografare un file dopo che gli è stato concesso l’accesso.
- Agilità nel lungo periodo: le applicazioni devono poter aggiornare algoritmi e formati con l’evoluzione degli standard e delle valutazioni sulle minacce.
Per approfondire il tema sul lato del dispositivo, leggi la nostra guida all’archiviazione sicura delle chiavi per file privati. L’obiettivo pratico non è trasformare ogni utente in un crittografo. La privacy dovrebbe funzionare attraverso impostazioni predefinite ragionevoli: chiavi locali protette, controllo chiaro dei destinatari e scelte di sicurezza che non richiedono un’attenzione tecnica costante.
Una verifica pratica per decidere se è rilevante
Il seguente quadro è uno strumento decisionale illustrativo, non un punteggio di rischio né una previsione di quando i computer quantistici saranno capaci di compromettere la crittografia a chiave pubblica oggi distribuita.
La verifica della durata della riservatezza
- Per quanto tempo il contenuto deve restare privato? Un file di pianificazione di breve durata ha una finestra di esposizione diversa rispetto a documenti d’identità, atti legali, informazioni sanitarie o segreti commerciali.
- Un aggressore potrebbe copiare oggi il materiale cifrato? Il testo cifrato trasmesso pubblicamente o replicato ampiamente è più facile da conservare per attacchi futuri rispetto a dati che non escono mai da un dispositivo strettamente controllato.
- Una divulgazione ritardata causerebbe un danno concreto? Considera frodi d’identità, danni contrattuali, sicurezza personale, riservatezza professionale e conseguenze normative.
- Il metodo di stabilimento delle chiavi è identificabile? Un’indicazione generica come «sicuro contro i quanti» è meno utile di una documentazione che specifichi l’uso di ML-KEM, di un approccio ibrido o di un piano di migrazione.
- Gli altri livelli sono adeguati? Verifica autenticazione del destinatario, protezione delle chiavi locali, recupero, revoca e modalità di controllo dell’accesso dopo la condivisione.
Scenario illustrativo: un commercialista freelance invia a un cliente una dichiarazione fiscale che include numeri identificativi e potrebbe restare sensibile per decenni. Scegliere uno stabilimento delle chiavi attento al post-quantistico può ridurre l’esposizione del trasferimento al rischio «raccogli ora, decifra più tardi». Non sostituisce però la verifica del destinatario, la protezione del dispositivo del commercialista o la limitazione dell’accesso dopo la consegna. Un flusso di condivisione che supporta anche scadenza e revoca affronta un rischio diverso e complementare: un accesso che potrebbe persistere dopo la consegna se non può essere ritirato.
Oblivio è progettato per quest’ultimo tipo di problema nella condivisione: file sensibili che richiedono più controllo su destinatari, durata e accesso rispetto a quanto offre normalmente un allegato standard. Il suo modello di sicurezza include cifratura end-to-end, protezione locale dei dati operativi e attenzione alla crittografia post-quantistica come parte della protezione nel lungo periodo. Queste misure vanno valutate come livelli complementari, non come la promessa che una singola funzione elimini ogni rischio.
Per una guida più ampia su quando questo livello orientato al futuro sia proporzionato, leggi se la crittografia post-quantistica serve agli utenti comuni e la nostra guida su come scegliere la condivisione di file resistente ai quanti.
Errori comuni nel valutare una dichiarazione post-quantistica
Chiamare «cifratura dei file» ogni uso di Kyber
ML-KEM/Kyber stabilisce o incapsula un segreto. Il file stesso viene normalmente cifrato con crittografia simmetrica. Questa distinzione è importante per valutare documentazione di prodotto e modelli di minaccia.
Supporre che lo scambio di chiavi autentichi il destinatario
Un KEM può stabilire un segreto con chiunque controlli la corrispondente chiave privata. L’applicazione deve comunque dimostrare che la chiave pubblica appartiene davvero alla persona o al servizio previsto, di solito tramite firme, directory autenticate, impronte verificate o una procedura di sicurezza dell’account.
Ignorare dati archiviati e backup
Proteggere un trasferimento è utile, ma un file in chiaro copiato, un’esportazione non cifrata o un backup esposto possono aggirare del tutto quella protezione. La privacy nel lungo periodo richiede di verificare dove sono archiviati contenuti e chiavi, chi può ripristinarli e se i vecchi formati possono essere migrati.
Considerare una minaccia futura come panico urgente o come irrilevante
La risposta sensata è dare priorità. Informazioni di alto valore con una lunga durata della riservatezza meritano una pianificazione post-quantistica più tempestiva. Per dati ordinari e di breve durata, la sicurezza convenzionale moderna e una corretta igiene dell’account restano importanti oggi. Il piano giusto può includere entrambe.
Punti chiave da ricordare
- Lo scambio di chiavi post-quantistico crea un segreto condiviso usando crittografia progettata per le minacce dell’era quantistica.
- Protegge la fase iniziale della comunicazione cifrata, non ogni altra parte del sistema di sicurezza.
- ML-KEM, in precedenza noto come CRYSTALS-Kyber, è il KEM post-quantistico standardizzato dal NIST.
- Lo scambio ibrido può combinare metodi convenzionali e post-quantistici mentre i sistemi migrano.
- La protezione post-quantistica va priorizzata quando dati cifrati possono essere acquisiti oggi e restare sensibili per molti anni.
- Per i file sensibili, affianca crittografia orientata al futuro ad autenticazione, chiavi locali protette, limiti di accesso e un piano realistico per le copie effettuate dai destinatari.
Quando il compito va oltre il semplice invio di un allegato, Oblivio può aiutare a rendere la condivisione dei file più consapevole, aggiungendo controllo su chi riceve un file, per quanto tempo dura l’accesso e se può essere revocato in seguito.
Domande frequenti
Lo scambio di chiavi post-quantistico coincide con la cifratura post-quantistica?
No. Lo scambio di chiavi post-quantistico è una parte di un sistema di cifratura post-quantistico. Stabilisce o incapsula un segreto condiviso che può essere usato per derivare chiavi di cifratura simmetrica. Il contenuto effettivo del file o del messaggio viene in genere cifrato separatamente con crittografia simmetrica.
Kyber e ML-KEM sono la stessa cosa?
ML-KEM è l’algoritmo standardizzato dal NIST derivato da CRYSTALS-Kyber. «Kyber» può essere ancora usato in modo informale, ma la documentazione tecnica dovrebbe identificare algoritmo standardizzato, set di parametri, protocollo e implementazione esatti quando questi dettagli sono rilevanti.
Un KEM post-quantistico può prevenire gli attacchi man-in-the-middle?
Non da solo. Un KEM stabilisce un segreto con chi possiede una chiave privata. Per prevenire un attacco man-in-the-middle serve anche un’autenticazione che colleghi in modo affidabile la chiave pubblica o la sessione al destinatario previsto.
Serve lo scambio di chiavi post-quantistico per ogni file?
Di solito no. È più rilevante quando la riservatezza deve durare anni e un aggressore potrebbe conservare traffico cifrato per decifrarlo in futuro. Documenti d’identità, legali, finanziari, sanitari o aziendali di lunga durata sono candidati più forti rispetto a contenuti a basso rischio e di breve durata.
Lo scambio di chiavi post-quantistico impedisce ai destinatari di copiare un file?
No. Protegge lo stabilimento delle chiavi di cifratura prima della decifratura. Dopo che un destinatario autorizzato può visualizzare il file, il rischio di copia diventa un tema separato di controllo dell’accesso e responsabilizzazione del destinatario. Scadenza, revoca, tracciamento e deterrenza anti-copia possono ridurre questo rischio distinto, ma nessuna app può promettere di impedire ogni copia.