Sicurezza quantistica: il punto di vista del Prof. Andriolli

La sicurezza quantistica sta passando da tema per specialisti a priorità strategica. Rapporti recenti, incluse le valutazioni di istituzioni di primo piano, avvertono che entro il 2035 i computer quantistici potrebbero decifrare gran parte delle informazioni oggi crittografate. Eppure i dati mostrano un divario sorprendente: mentre molte organizzazioni prevedono di adottare una crittografia quantum-safe, solo una piccola parte dispone di una vera strategia di transizione.

Per capire cosa questo significhi in termini pratici e perché il tema meriti attenzione già ora, abbiamo parlato con il Professor Nicola Andriolli dell'Università di Pisa, esperto di comunicazioni ottiche classiche/quantistiche e di sicurezza delle reti.

Di seguito una breve intervista che chiarisce i fondamentali, i nuovi standard NIST e cosa dovrebbero fare oggi le organizzazioni per restare sicure in un futuro quantistico.

Partiamo dalle basi. Che cos'è un computer quantistico e cosa lo distingue dalle macchine che usiamo oggi?

“Un computer classico funziona in modo molto intuitivo: elabora l'informazione sotto forma di bit che possono valere 0 oppure 1. Un computer quantistico usa i qubit, che possono essere 0, 1 o entrambi allo stesso tempo. Questa proprietà (chiamata sovrapposizione) permette a un computer quantistico di esplorare molte possibilità simultaneamente. Per alcune classi di problemi, questo genera un'accelerazione computazionale che le macchine classiche semplicemente non possono eguagliare.”

Perché questo è rilevante per la crittografia tradizionale?

“Perché parte della crittografia usata oggi si basa su problemi matematici estremamente difficili per i computer classici ma molto più semplici per uno quantistico. Un esempio noto è l'algoritmo di Shor, che un computer quantistico può usare per violare le fondamenta matematiche di molti sistemi a chiave pubblica. Per ora i computer quantistici sono ancora in una fase iniziale, ma questo non significa che siamo al sicuro. Il vero pericolo è la strategia ‘harvest now, decrypt later’: gli attaccanti possono intercettare dati cifrati oggi e decifrarli in futuro, quando i computer quantistici diventeranno più potenti.”

Su quali algoritmi facciamo affidamento oggi, e perché diventeranno vulnerabili?

“Oggi la maggior parte delle comunicazioni sicure si basa su algoritmi asimmetrici nell'ambito della Public Key Infrastructure (PKI). Questi algoritmi poggiano su problemi matematici facili da verificare ma estremamente difficili da risolvere con computer classici, come la fattorizzazione di numeri molto grandi o il calcolo dei logaritmi discreti. I computer quantistici, però, possono risolvere questi problemi in modo efficiente, il che significa che le chiavi crittografiche che proteggono i nostri dati potrebbero essere violate. In altre parole, le fondamenta dell'attuale PKI, che proteggono email, transazioni finanziarie e servizi online, diventeranno vulnerabili non appena saranno disponibili macchine quantistiche sufficientemente potenti.”

Quali opzioni abbiamo oggi per proteggere i dati dalle minacce quantistiche?

“Stanno emergendo due strategie principali per proteggere i dati dalle minacce quantistiche. La prima è la Quantum Key Distribution (QKD), che sfrutta la fisica quantistica per scambiare chiavi in modo sicuro su collegamenti in fibra dedicati. La seconda è la Post-Quantum Cryptography (PQC), che si affida a nuovi algoritmi software progettati per resistere agli attacchi quantistici sulle infrastrutture attuali. A differenza della QKD, la PQC non richiede hardware quantistico speciale e può funzionare sulle infrastrutture di oggi. Ogni approccio ha punti di forza e limiti: la QKD offre una sicurezza fondata sulla fisica ma è più difficile da dispiegare su larga scala, mentre la PQC è più facile da integrare ma si basa su assunzioni matematiche. La combinazione delle due offre la protezione più robusta.”

Il NIST ha recentemente selezionato nuovi algoritmi post-quantum. Come funzionano questi nuovi sistemi?

“Sono progettati attorno a problemi matematici che, in base alle conoscenze attuali, resistono agli attacchi quantistici. Molti si basano su strutture a reticoli, problemi geometricamente complessi per i quali non conosciamo soluzioni efficienti, nemmeno con i computer quantistici. La certezza assoluta non esiste, ma sono considerati i percorsi più affidabili. Kyber è progettato per lo scambio di chiavi; Dilithium per le firme digitali; SPHINCS+ usa solo funzioni hash, il che lo rende robusto ma più lento e più esigente in termini di risorse. Kyber e Dilithium sono basati su reticoli, mentre SPHINCS+ segue un approccio hash-based. Tutti puntano a resistere ai futuri attacchi quantistici.”

Quale approccio considera il più efficace contro le minacce quantistiche?

“In realtà sia la QKD sia la PQC hanno i loro vantaggi, e l'approccio più sicuro è spesso una soluzione ibrida che le combina. Gli algoritmi PQC offrono una protezione basata sulla complessità matematica e possono essere dispiegati sulle infrastrutture esistenti, mentre la QKD garantisce una sicurezza fondata sulle leggi della fisica quantistica, pur richiedendo reti specializzate. Integrandole entrambe, le organizzazioni possono beneficiare di una protezione multilivello: la PQC protegge i dati stessi e la QKD protegge le chiavi, riducendo il rischio che una singola vulnerabilità comprometta l'intero sistema.”

A che punto siamo nella transizione?

“Per ambienti come le agenzie federali, la transizione è già iniziata. Il NIST raccomanda di avviare la migrazione adesso, perché i dati protetti oggi potrebbero essere ancora sensibili tra 10 o 20 anni. In Europa e nelle pubbliche amministrazioni l'adozione procede, ma in modo disomogeneo.”

E sul fronte industriale?

“Esistono già soluzioni QKD commerciali e iniziative regionali, come il progetto in Regione Lombardia che collega ospedali, siti militari e istituzioni finanziarie. La transizione richiede l'aggiornamento di hardware, software e protocolli — e la complessità è tanto tecnica quanto strategica. In ogni caso, i settori ad alta sensibilità si stanno muovendo per primi.”

Quali settori dovrebbero prepararsi per primi?

“Quelli in cui la riservatezza deve durare decenni: governo, difesa, finanza e sanità. In particolare le comunicazioni istituzionali e militari.”

Come dovrebbero affrontare questa svolta gli attori industriali?

“Adottare la PQC già oggi e valutare la QKD dove praticabile, idealmente in forme ibride. Aspettare che la minaccia si concretizzi del tutto non è un'opzione.”

Che ruolo giocano l'Italia e l'Europa nella standardizzazione?

“L'Italia contribuisce attraverso università e spin-off. L'Europa è attiva, ma il NIST guida ancora gli sforzi di standardizzazione formale.”

Cosa consiglierebbe a un CTO che si prepara all'era quantistica?

“Iniziare a usare gli algoritmi post-quantum adesso. Il rischio non è futuro, è presente. Dobbiamo proteggere oggi i dati che dovranno restare segreti per decenni. Non possiamo più aspettare. Mettere in sicurezza le comunicazioni è già una sfida di oggi. Non sappiamo quanto tempo abbiamo realisticamente a disposizione. Quando la minaccia quantistica raggiungerà la piena capacità, potrebbe essere troppo tardi. Chi resta indietro rischia violazioni retroattive dei dati, perdita di fiducia, di competitività e di sicurezza.”

La sicurezza quantum-safe fa già parte della nostra roadmap in SMA-RTY. Per saperne di più, scopri il nostro lavoro su SDQ-5G e le prossime soluzioni per comunicazioni resilienti al quantum.