La durata della segretezza di un messaggio può superare quella del dispositivo e della crittografia usata per stabilirne le chiavi.
Un messaggio inviato oggi potrebbe dover restare privato molto più a lungo del telefono usato per inviarlo. È questa differenza a rendere importante «raccogliere oggi, decifrare domani»: un avversario può conservare ora il traffico cifrato e tentare di recuperarne il contenuto se una tecnologia futura supera lo scambio di chiavi che lo protegge.
Non esiste una data stabilita per l’arrivo di un computer quantistico rilevante dal punto di vista crittografico. Un requisito di segretezza di dieci anni è un esempio di pianificazione, non un conto alla rovescia. Occorre valutare se le informazioni potrebbero ancora causare danni dopo il tempo necessario ad aggiornare i sistemi che le proteggono.
Di cosa avrebbe bisogno un attaccante
Salvare soltanto il testo cifrato non garantisce una decifratura futura. All’attaccante servono una cattura utile, il materiale pertinente del protocollo e un modo per superare le protezioni applicate. Traffico mancante, segreti indipendenti e progettazione del protocollo possono influire sul risultato.
Un computer quantistico sufficientemente potente potrebbe minacciare la crittografia a chiave pubblica RSA e a curve ellittiche, molto diffuse. Ciò non significa che qualsiasi computer quantistico attuale possa violare un servizio di messaggistica, né che ogni cifratura ceda nello stesso modo. La cifratura simmetrica, come AES, e l’accordo di chiavi basato sulla crittografia a chiave pubblica, come ECDH, hanno presupposti di sicurezza diversi.
Il programma post-quantistico del NIST raccomanda di iniziare la migrazione verso i propri standard pubblicati, riconoscendo al contempo l’incertezza sui tempi del calcolo quantistico. Pianificare in anticipo conta perché un aggiornamento successivo non può recuperare una precedente cattura in possesso dell’avversario.
Perché la normale forward secrecy non è tutta la risposta
La forward secrecy mira a limitare l’esposizione dei messaggi precedenti quando in seguito viene compromessa una chiave a lungo termine, a condizione che i vecchi segreti di sessione siano stati cancellati correttamente. È preziosa già oggi.
Tuttavia, uno scambio che dipende da un problema matematico vulnerabile agli attacchi quantistici non diventa resistente solo perché i suoi valori privati erano temporanei. Se un futuro attaccante può ricostruirli da scambi pubblici registrati, la relativa sessione passata potrebbe essere ancora a rischio. L’esito esatto dipende dal protocollo completo e da ciò che è stato catturato.
L’accordo post-quantistico delle chiavi affronta questa minaccia diversa. FIPS 203 standardizza ML-KEM, un meccanismo per stabilire un segreto condiviso. Un protocollo di messaggistica può usare tale segreto nella derivazione delle chiavi e poi cifrare i messaggi con un cifrario simmetrico autenticato. ML-KEM non è un nome alternativo del cifrario dei messaggi.
Il contributo di un progetto ibrido
Un progetto ibrido combina contributi classici e post-quantistici mediante una costruzione specificata. Il beneficio previsto è la resilienza qualora i presupposti di un componente vengano meno mentre l’altro rimane solido. Questo beneficio dipende da combinazione, autenticazione, casualità e implementazione corrette; inserire due nomi di algoritmi in una pagina di funzionalità non basta.
La panoramica sulla sicurezza di Livara descrive LVR1 con P-256 affiancato da epoche periodiche ML-KEM-768. Consideratela una dichiarazione sul protocollo documentato, non una garanzia indipendente che ogni elemento archiviato, modalità di chiamata o client precedente abbia una protezione identica. Distribuzione delle chiavi di gruppo, allegati e registrazioni richiedono ciascuno una verifica del proprio ambito.
Una scheda pratica sull’orizzonte di segretezza
Usate le seguenti domande per trasformare una generica preoccupazione quantistica in una verifica concreta:
| Domanda | Esempio di risposta utile |
|---|---|
| Per quanto tempo il contenuto deve rimanere riservato? | Un codice temporaneo per una riunione e un documento di ricerca a lungo termine hanno orizzonti diversi |
| Dove sono conservate le copie? | Dispositivi della chat, esportazioni, allegati, backup e destinatari |
| Quale scambio protegge il nuovo traffico? | Protocollo e versione esatti, inclusi percorsi di compatibilità o di ripiego |
| Come sono protetti gli archivi conservati? | Algoritmo di cifratura, custodia delle chiavi ed eventuali chiavi derivate da password |
| Quanto durerà la migrazione? | Aggiornamenti dei client, test di interoperabilità, test di recupero e dismissione dei percorsi precedenti |
Un’organizzazione può dare priorità alle informazioni con una lunga durata di riservatezza e un percorso di migrazione lento. Una persona può iniziare aggiornando i client, verificando se la protezione si applica alla conversazione in uso e limitando le copie inutili dei dati sensibili.
Un aggiornamento può proteggere retroattivamente i vecchi messaggi?
Può proteggere il traffico futuro o una copia nuovamente cifrata con una chiave diversa. Non può cancellare una copia cifrata o in chiaro acquisita in precedenza. Cifrare di nuovo un archivio è utile soltanto all’interno di un piano più ampio che consideri vecchi backup, file esportati e chiavi compromesse.
Allo stesso modo, eliminare la visualizzazione di una chat non dimostra la cancellazione sicura di ogni copia sui dispositivi o presso i destinatari. Le pratiche di archiviazione locale e backup restano importanti anche quando lo scambio di chiavi di rete è resistente agli attacchi post-quantistici.
Cosa non risolve
La crittografia post-quantistica non nasconde tutti i metadati delle comunicazioni, non impedisce gli screenshot, non rimuove il malware e non rende privato un canale pubblico. Non può neppure garantire la sicurezza futura contro ogni nuovo risultato crittoanalitico.
Per i messaggi da mantenere segreti a lungo, abbinate un protocollo mantenuto e sottoposto ad attento esame alla protezione dei dispositivi, a scelte consapevoli sui backup e a una politica di conservazione chiara. Usate il modello di minaccia di Livara per mantenere visibili questi rischi distinti, invece di trattare la parola «quantistico» come una valutazione completa della sicurezza.
