Standardizzare un algoritmo non equivale a certificare la sicurezza di un intero messenger.
La minaccia «raccogli ora, decifra dopo» descrive uno scenario in cui un attaccante conserva dati cifrati sperando di ottenere in futuro gli strumenti per violarne la cifratura. Questo scenario non dimostra che i messaggi di un particolare utente siano già stati raccolti, né che sia nota la data di realizzazione di un computer adatto. La crittografia post-quantistica nei messenger (PQC) è uno strumento crittografico moderno progettato per contrastare proprio questo scenario.
In questo articolo esaminiamo il rischio del calcolo quantistico per le chat e presentiamo criteri pratici per valutare le dichiarazioni dei prodotti.
Sintesi: i punti chiave della crittografia post-quantistica nei messenger
- Il traffico di oggi, il rischio di domani: dati che devono restare riservati a lungo possono essere un bersaglio interessante per la conservazione attuale e la decifrazione futura.
- Standard NIST definitivi: nel 2024 sono stati finalizzati tre standard principali di crittografia post-quantistica: FIPS 203, 204 e 205.
- Requisiti della sicurezza complessiva: la sola etichetta «messenger resistente ai computer quantistici» non basta; la sicurezza dipende dall’architettura dell’intero sistema e dalla protezione dei metadati.
- Un esempio pratico (Livara): Livara usa un’architettura ibrida di cifratura end-to-end post-quantistica (Hybrid PQC E2EE) per messaggi personali, gruppi privati compatibili in modalità E2EE e contenuti multimediali coperti dalla stessa conversazione. I canali non rientrano in questa copertura.
Cos’è la crittografia post-quantistica nei messenger?
La crittografia post-quantistica (PQC) è un insieme di algoritmi crittografici capaci di resistere all’elevata potenza di calcolo dei computer quantistici. Non richiedono hardware quantistico per funzionare: operano sugli attuali telefoni e computer ordinari.
Un computer quantistico sufficientemente grande e affidabile potrebbe, con algoritmi come quello di Shor, risolvere alcuni problemi alla base di RSA ed ECC; questo non vale per qualunque computer quantistico esistente. Ciò rende vulnerabile lo scambio di chiavi nei messenger tradizionali. La tecnologia post-quantistica protegge il contenuto dei messaggi generando chiavi di sessione resistenti.
Che cosa significa «Harvest now, decrypt later»?
La tattica «raccogli ora, decifra dopo» (Harvest Now, Decrypt Later) consiste nell’intercettare e conservare il traffico cifrato delle reti di oggi. Gli attaccanti non mirano a violare immediatamente la cifratura: aspettano invece che i computer quantistici maturino, per poi decifrare i file conservati.
Perché è un rischio serio?
Il valore dei messaggi quotidiani può svanire rapidamente, ma queste informazioni restano sensibili per decenni:
- Segreti commerciali e finanziari
- Documenti legali e medici
- Dati identificativi e governativi
Quanto è immediato il rischio quantistico per le chat?
Non sono disponibili prove dell’esistenza di un computer quantistico capace di violare su larga scala gli algoritmi attuali. Tuttavia, la migrazione delle infrastrutture di sicurezza richiede tempo. Per decidere una migrazione, considera la durata della riservatezza dei dati e il tempo necessario ad aggiornare il sistema: non esiste una soglia universale e definitiva di «cinque anni».
Nota di sicurezza: minacce classiche come phishing, malware e furto di account rimangono la prima priorità. Un messenger resistente ai computer quantistici non può proteggere i messaggi su un telefono compromesso o su uno schermo lasciato accessibile.
Distingui algoritmo standard, protocollo e prodotto
Il NIST FIPS 203 definisce ML-KEM, un meccanismo per stabilire un segreto condiviso. Questo algoritmo non cifra direttamente il testo di tutti i messaggi, e la sua standardizzazione non equivale all’approvazione di un intero messenger.
Un’architettura ibrida utilizza insieme materiale di chiave classico e post-quantistico. La protezione che rimane se uno dei componenti viene violato dipende dal metodo di combinazione e dalle ipotesi del protocollo: la semplice presenza di due nomi di algoritmi non basta. Vanno esaminati anche autenticazione, firme, aggiornamenti delle chiavi e gestione degli errori.
La presentazione di PQXDH di Signal è un esempio di spiegazione tecnica dell’obiettivo di un aggiornamento post-quantistico. Quel testo riguarda una fase storica precisa; per lo stato attuale del prodotto occorre leggere anche le specifiche e la versione correnti. Anche Livara descrive la propria architettura ibrida. Questo articolo non ricava da tali documenti classifiche o certificazioni indipendenti di sicurezza.
Cosa valutare quando si sceglie un messenger?
Per valutare la sicurezza dei messenger, considera queste domande strutturate:
- Cifratura predefinita: i messaggi sono cifrati end-to-end per impostazione predefinita?
- Tipo di protezione quantistica: quale parte del protocollo, scambio di chiavi o firma, è post-quantistica?
- Ambito della copertura: che cosa comprende esattamente la crittografia post-quantistica: solo messaggi diretti oppure anche gruppi, immagini e file audio? E cosa rimane escluso?
- Standard: vengono utilizzati algoritmi standardizzati dal NIST?
- Gestione dei metadati: quanti metadati, come orario dei messaggi e contatti, conserva l’applicazione?
Devo cambiare messenger oggi?
Se hai dati sensibili a lungo termine, è ragionevole esaminare il piano di migrazione post-quantistica del prodotto. Non scegliere però soltanto in base a questa etichetta: un prodotto con gestione debole dei dispositivi, recupero inaffidabile o dichiarazioni non dimostrate può creare rischi più immediati.
Identifica prima i dati sensibili e l’avversario da cui proteggerti, quindi leggi l’ambito esatto del protocollo e le evidenze delle sue valutazioni. Aggiornare l’applicazione e mantenere sicuro il dispositivo resta essenziale. Una nuova crittografia non può ritirare una copia già esposta in chiaro o tramite una chiave compromessa.
Domande frequenti (FAQ)
Che cosa significa «Harvest now, decrypt later»?
È una tattica di attacco in cui gli avversari conservano dati oggi cifrati e illeggibili per decifrarli in futuro sfruttando la potenza dei computer quantistici.
La crittografia post-quantistica nei messenger sostituisce la cifratura end-to-end (E2EE)?
No. Le due tecnologie sono complementari. Cifratura end-to-end significa che solo i due estremi della comunicazione leggono il messaggio. Aggiungere un algoritmo post-quantistico ha un altro obiettivo: rendere la fase di scambio delle chiavi resistente ai futuri computer quantistici.
Basta il nome ML-KEM?
No. Devi sapere in quale fase viene usato, come si combina con gli altri componenti e quale valutazione indipendente esiste per quella versione del prodotto. Ambito dell’E2EE, metadati e sicurezza del dispositivo sono questioni distinte.
I computer quantistici leggono già le chat?
Dalla notizia di un progresso hardware non si deve dedurre che la crittografia delle chat sia stata violata su scala pratica. I tempi di questa capacità sono incerti; minacce attuali come malware e furto di account esistono anche indipendentemente da essa.
