La sicurezza è un patto. Ma chi scrive le clausole?
La crittografia moderna poggia su un patto tacito: gli utenti confidano che le istituzioni tecniche — NIST, la comunità di ricerca, gli organismi di standardizzazione — abbiano scelto correttamente gli algoritmi che proteggeranno i loro segreti. Ma cosa accade quando il patto non è tra pari?
Hobbes descrisse il Leviatano come il sovrano a cui gli individui cedono il loro potere in cambio di sicurezza collettiva. In crittografia, il Leviatano ha un nome: NIST. L'agenzia che, dopo otto anni di processo pubblico, ha selezionato un unico schema di incapsulamento di chiavi basato su reticoli — Kyber — come standard FIPS 203.
Non è la prima volta che NIST decide uno standard crittografico. Lo ha fatto con DES nel 1977, con AES nel 2001, con SHA-1, SHA-2 e SHA-3. Ma c'è una differenza fondamentale: DES, AES e SHA sono primitive simmetriche o hash — costruzioni le cui congetture di durezza non sono interrelate —. Kyber rappresenta la scommessa che una famiglia concreta di problemi — LWE su reticoli — sia la base corretta per la crittografia asimmetrica post-quantistica globale.
Nessun'altra famiglia matematica ha uno standard FIPS per KEM. Tutto l'ecosistema — TLS, Signal, iMessage, AWS KMS, Cloudflare — sta costruendo il suo futuro post-quantistico su un'unica congettura.
Cosa è rimasto lungo la strada
Il processo di NIST ha ricevuto 82 proposte iniziali. Nel round finale, Kyber è stato selezionato come l'unico KEM. Ma c'erano alternative qualitativamente diverse, con fondamenti matematici indipendenti:
| Schema | Fondamento | Chiave pubblica | Anni di analisi | Stato |
|---|---|---|---|---|
| Kyber-768 | Module-LWE (reticoli) | 1184 B | ~20 | FIPS 203 (standard) |
| Classic McEliece | Codici di Goppa | ~1 MB | 48 | Finalista, non standardizzato |
| NTRU | Reticoli (NTRU) | ~1 KB | 30 | Finalista, non standardizzato |
| Saber | Module-LWR (reticoli) | ~1 KB | ~10 | Fuso con Kyber |
| HQC | Codici (HCQC) | ~2 KB | ~10 | Selezionato round 4 |
Classic McEliece è il caso più rivelatore. Pubblicato nel 1978 da Robert McEliece — un anno dopo RSA — ha resistito 48 anni di crittoanalisi senza che sia stato trovato un attacco efficiente, nemmeno quantistico. La sua sicurezza non poggia su una congettura recente, ma su un problema — la decodifica di codici lineari — che si sa essere NP-completo dagli anni '70. Le sue credenziali di sicurezza sono, oggettivamente, le più solide di qualsiasi candidato.
Ma le sue chiavi di ~1 MB lo rendono impraticabile per la maggior parte delle applicazioni:
Classic McEliece
Chiave pubblica: 1,049,600 byte (≈ 1 MB)
Tempo di trasmissione in 5G: ~8 ms
Archiviazione in firmware: impraticabile
Uso in TLS handshake: impraticabile (l'intero handshake sta in ~5 KB)
Kyber-768
Chiave pubblica: 1,184 byte (≈ 1 KB)
Tempo di trasmissione in 5G: ~0.01 ms
Archiviazione in firmware: banale
Uso in TLS handshake: naturale
La crittografia non sceglie il più sicuro. Sceglie abbastanza sicuro che funzioni.
NTRU, pubblicato nel 1996, è anteriore a Kyber di oltre due decenni. Usa anch'esso reticoli, ma con una struttura diversa — il crittosistema NTRU originale, non LWE —. È stato finalista ma non selezionato; le sue tecniche sono state parzialmente assorbite dall'evoluzione dei parametri di Kyber (come il cambio del modulo q a 3329, ispirato al design di NTRU).
HQC, selezionato nel round 4 del processo NIST (2024) come schema di riserva, è basato su codici, non su reticoli. Se LWE viene rotto, HQC rimane in piedi. Ma HQC non è ancora uno standard FIPS — è in fase di definizione — e la sua adozione è marginale rispetto a Kyber.
La monocoltura
Il rischio di centralizzazione non è teorico. Se tra 20 anni viene scoperto un attacco contro LWE — quantistico o classico — la dipendenza globale da Kyber significa che tutto cade simultaneamente:
Attacco contro Module-LWE / LWE
│
├─► ML-KEM-512 → rotto
├─► ML-KEM-768 → rotto (con più risorse)
├─► ML-KEM-1024 → rotto (con molte risorse)
├─► ML-DSA → rotto (stessa famiglia, stesso fondamento)
│
└─► Ogni schema basato su reticoli LWE → rotto
(Kyber, Dilithium, NewHope, ecc.)
Non è uno scenario probabile. Ma è possibile. E la storia della crittografia — MD5 (1991→2004), SHA-1 (1995→2017), RC4 (1987→2015), Dual_EC_DRBG (2006→2013) — è piena di schemi che furono sicuri fino a quando smisero di esserlo.
La domanda della monocoltura:
Se piantiamo un solo raccolto (reticoli LWE) in tutto il mondo
e arriva una piaga (attacco contro LWE), cosa mangiamo?
La diversificazione ha un costo: complessità, interoperabilità, prestazioni. Non è evidente che l'industria debba implementare due KEM simultaneamente. Ma è evidente che dovrebbe poterlo fare se necessario. E oggi, l'infrastruttura post-quantistica globale è costruita su un unico fondamento matematico.
Fiducia e istituzioni
Nel 2013, la rivelazione di Snowden mostrò che la NSA aveva influenzato la selezione del generatore pseudo-casuale Dual_EC_DRBG come standard NIST, con il sospetto fondato che contenesse una backdoor. Lo scandalo scosse la fiducia nel processo di standardizzazione. NIST rispose con trasparenza: il processo PQC fu pubblico, aperto, documentato, con riunioni aperte, commenti pubblici e revisioni paritarie internazionali.
Ma la trasparenza non elimina la centralizzazione. Il Leviatano può essere benevolo, informato, tecnicamente impeccabile — rimane il Leviatano —. La decisione di scommettere sui reticoli fu ragionevole, forse corretta. Ma concentra il rischio della sicurezza post-quantistica globale in un'unica famiglia matematica.
Fiducia nel processo NIST PQC:
A favore: Contro:
• 8 anni di analisi pubblica • Monocoltura di reticoli
• 82 proposte valutate • Classic McEliece scartato per
• Processo aperto e dimensione, non per sicurezza
documentato • Nessuna alternativa con lo stesso
• Partecipazione internazionale livello di dispiegamento
• HQC come riserva (round 4) • La fiducia istituzionale è
• Migrazione scaglionata fino a un requisito, non un lusso
2035
Il seme
In crittografia, il seed — il seme — è il valore casuale da cui deriva tutto il resto: chiavi, nonce, parametri. Un seme compromesso invalida qualsiasi sicurezza derivata.
L'analogia con il processo di standardizzazione è suggestiva: il "seme" della sicurezza post-quantistica è la decisione di fidarsi di LWE. Se quella decisione è corretta, tutto il resto funziona. Se è errata, nulla importa.
Ma l'analogia ha un limite: in crittografia possiamo generare semi multipli. Nella standardizzazione, la diversità ha costi che il mercato non è sempre disposto a pagare.
Hobbes scrisse che lo stato di natura è la guerra di tutti contro tutti. La crittografia post-quantistica è, in un certo senso, un tentativo di sfuggire a quello stato — di costruire un ordine in cui i segreti possano circolare senza timore di intercettazione futura —. Ma l'ordine richiede un sovrano, e il sovrano richiede fiducia.
La domanda che questa serie ha posto fin dall'inizio — "quando possiamo dire che qualcosa è sicuro?" — non ha risposta definitiva. Ma ha una conseguenza pratica: la fiducia in Kyber non è una certezza matematica. È una decisione collettiva, informata dalle evidenze disponibili e dalla credibilità delle istituzioni che la sostengono.
Non è una fede cieca. È un patto.
In VI: Il sapere e il fare, chiuderemo il ciclo con ciò che insegna implementare Kyber in Dart: la distanza tra il sapere teorico e il fare pratico, e perché la crittografia esige tanto dal paper quanto dal codice.
Riferimenti incrociati con la ricerca:
- Standardizzazione — Il processo NIST, i criteri di selezione, le controversie
- Fondamenti di LWE — La congettura di durezza rispetto alle alternative
- Attacchi — Il rischio di un attacco futuro contro LWE
- Conclusioni — Sintesi finale della serie: indicatori, non prove