Valuta l’utilità della protezione post-quantistica in base alla durata della riservatezza dei dati, non a una data futura ipotetica.
«Raccogli ora, decifra dopo», o HNDL («Harvest now, decrypt later»), significa che un attaccante raccoglie oggi dati cifrati nella speranza di ottenere in futuro gli strumenti necessari per leggerli. Nello scenario quantistico, la preoccupazione principale riguarda alcuni metodi a chiave pubblica che un computer quantistico sufficientemente potente potrebbe attaccare.
Questo rischio non significa che la cifratura di tutti i messaggi di oggi sia già stata violata, né che esista una data certa in cui ciò avverrà. La sua rilevanza dipende dalla cifratura utilizzata, dai dati che si possono raccogliere e dal tempo per cui le informazioni devono restare riservate.
Perché conta la «durata della riservatezza»?
Un messaggio per coordinare le attività quotidiane può avere scarso valore dopo poche ore, mentre un contratto, un fascicolo personale o l'identità di una fonte giornalistica possono restare sensibili per anni. Questa differenza deve essere considerata nella scelta delle protezioni e nella pianificazione della migrazione.
La spiegazione del NIST sulla crittografia post-quantistica richiama proprio questo rischio per i dati di lunga durata e il tempo necessario per la migrazione. Non si sa quando arriverà un computer quantistico capace di violare la crittografia esistente; pianificare nell'incertezza non equivale ad annunciare un giorno preciso per il crollo della sicurezza.
| Domanda sui tuoi dati | Perché è importante? |
|---|---|
| Fino a quando devono restare riservati? | Permette di valutare il potenziale valore di una divulgazione futura |
| Chi potrebbe raccoglierne una copia? | Include nella valutazione le capacità e le possibilità di accesso dell'attaccante |
| Come vengono create e conservate le relative chiavi? | Il solo nome dell'algoritmo di cifratura del contenuto, come AES, non è una risposta completa |
| Quali copie esistono nei backup o sui dispositivi? | Alcune vie di divulgazione non richiedono affatto un computer quantistico |
Questa tabella è uno strumento decisionale, non un punteggio statistico né una prova che siano stati registrati proprio i tuoi dati.
Che cosa fa ML-KEM?
Lo standard FIPS 203 definisce ML-KEM come un meccanismo per stabilire un segreto condiviso. ML-KEM-768 è uno dei suoi insiemi di parametri. Il segreto ottenuto può essere utilizzato all'interno di un protocollo per derivare una chiave di cifratura del contenuto; ML-KEM non è, di per sé, un metodo per cifrare direttamente un film o un testo lungo.
La resistenza post-quantistica non è una prova di inviolabilità eterna. La sicurezza dipende dalle ipotesi matematiche, dalla corretta combinazione degli algoritmi, dall'implementazione e dalla gestione delle chiavi. La presenza del nome ML-KEM nella pagina di un prodotto non costituisce una certificazione indipendente dell'intero servizio di messaggistica.
Perché si usa un approccio ibrido?
Un progetto ibrido combina materiale di chiave classico e post-quantistico mediante un meccanismo definito, per non dipendere da una sola famiglia di algoritmi. L'obiettivo può essere quello di mantenere la riservatezza se uno dei componenti viene compromesso, ma questo risultato dipende dalla progettazione del combinatore e dalle ipotesi del protocollo; affiancare due nomi non basta.
Anche la segretezza in avanti e la sicurezza post-compromissione sono proprietà distinte. Un protocollo deve chiarire quale periodo risente dell'esposizione di una determinata chiave e quali nuovi input servono per ripristinare la sicurezza. La sola rotazione di una catena deterministica non allontana un attaccante ancora presente sul dispositivo.
Che cosa significa per chi usa Livara?
La documentazione sulla sicurezza di Livara descrive l'uso combinato di P-256 e ML-KEM-768 per LVR1 e la distribuzione delle chiavi di gruppo tramite sessioni tra coppie di partecipanti. È la descrizione del produttore; per valutarla, esamina separatamente la versione del prodotto, la copertura di ciascun tipo di conversazione e le evidenze tecniche disponibili.
Non dedurre dalla protezione di un tipo di messaggio che tutte le funzionalità siano protette allo stesso modo. Chiamate, backup, canali pubblici e recupero dell'identità possono seguire regole diverse. Il modello di minaccia di Livara e la guida alla scelta di un'app di messaggistica sicura sono punti di partenza migliori di una generica etichetta «quantistica».
Quali problemi non si risolvono con chiavi post-quantistiche?
- Malware o accesso a un dispositivo che mostra contenuti decifrati.
- Un destinatario che salva, fotografa o ricondivide un messaggio.
- Metadati che il prodotto conserva intenzionalmente per l'instradamento.
- Un backup privo di una protezione autonoma.
- Una nuova acquisizione di contenuti già divulgati.
Inoltre, un aggiornamento effettuato oggi non modifica una copia del traffico che un attaccante ha già raccolto in precedenza. Per la differenza tra contenuto e informazioni associate, leggi la guida ai metadati della messaggistica.
Da dove iniziare?
Individua prima i dati che devono restare riservati a lungo. Poi chiedi in quale versione e in quale flusso sia effettivamente attiva la protezione post-quantistica, quali specifiche e valutazioni siano state pubblicate e quali siano i limiti del recupero. Allo stesso tempo, non trascurare gli aggiornamenti dei dispositivi, la verifica dei contatti e i backup sicuri: questi rischi esistono già oggi.
Devo presumere che in futuro verranno letti tutti i miei messaggi?
No. Questa conclusione non è sostenibile senza conoscere la progettazione della cifratura e le capacità dell'attaccante. HNDL è un motivo per pianificare in modo proporzionato alla sensibilità dei dati, non la certezza che tutti i messaggi verranno divulgati.
La cifratura end-to-end è di per sé post-quantistica?
No. La cifratura end-to-end riguarda i punti in cui è possibile accedere alle chiavi e ai contenuti; la resistenza agli attacchi quantistici dipende dagli algoritmi e dal protocollo.
