Il limite dell'errore — La distanza del segreto — IIIIl limite dell'errore — La distanza del segreto — III

Non c'è algoritmo che la fisica non possa, dato il tempo sufficiente, disfare.

---

Kyber è sicuro oggi. Lo sarà per anni, probabilmente decenni. Ma non sarà sicuro per sempre. Nessuno schema crittografico lo è stato.

La domanda — quella scomoda, che gli ingegneri rimandano e i venditori evitano — è: quando cesserà di esserlo? E più importante: esiste un rifugio definitivo?

Energia e sicurezza

La crittografia si misura in bit di sicurezza. Uno schema a 128 bit richiede, in teoria, $2^{128}$ operazioni per essere rotto per forza bruta. Ma questa misura è computazionale, non fisica. Ignora le restrizioni dell'universo reale.

Ogni operazione costa energia. Il limite di Landauer stabilisce che cancellare un bit di informazione richiede almeno $k_B T \ln 2$ joule, dove $k_B$ è la costante di Boltzmann e $T$ la temperatura.

A temperatura ambiente:

$$E_{Landauer} = k_B \cdot 300\text{K} \cdot \ln 2 \approx 2.9 \times 10^{-21} \text{ J}$$

Anche operando al limite teorico di Landauer, rompere AES-128 richiederebbe:

$$E_{128} = 2^{128} \cdot 2.9 \times 10^{-21} \text{ J} \approx 9.9 \times 10^{17} \text{ J}$$

Questo è ~240 megatoni di TNT. Molta energia, ma non impossibile. Se il computer funziona alla temperatura della radiazione di fondo dell'universo ($\sim 3\text{K}$), l'energia per operazione diminuisce e il costo totale si riduce.

Per Kyber-768, l'attacco classico più conosciuto richiede > $2^{207}$ operazioni:

$$E_{Kyber} > 2^{207} \cdot 2.9 \times 10^{-21} \text{ J} \approx 5.9 \times 10^{41} \text{ J}$$

Per metterlo in contesto: l'energia totale del Sole al secondo è $\sim 3.8 \times 10^{26} \text{ J}$. Rompere Kyber-768 per forza bruta classica richiederebbe più energia di quella che il Sole ha emesso in tutta la storia dell'universo.

Ma la crittografia non si rompe per forza bruta. Si rompe per attacchi migliori.

La proiezione quantistica

Per un attacco quantistico contro LWE, abbiamo bisogno di una metrica diversa. Non bit di sicurezza, ma qubit e profondità di circuito.

Il miglior limite conosciuto per un attacco quantistico contro Module-LWE (usando l'algoritmo di Regev e miglioramenti successivi) richiede:

$$Q_{attack}(n, k) \approx O\left(n \cdot k \cdot \log q \cdot \text{poly}(\lambda)\right)$$

Per Kyber-768 ($n=256, k=3, q=3329$):

Un qubit logico richiede ~1000 qubit fisici (con gli attuali codici di correzione d'errore). Questo dà:

$$Q_{physical} \approx 125000 \times 1000 = 125 \text{ milioni di qubit fisici}$$

Oggi (luglio 2026), il più grande computer quantistico ha ~1500 qubit fisici. Al tasso attuale di crescita (legge di Neven: la capacità quantistica raddoppia ogni ~2 anni):

$$Q_{available}(t) = 1500 \cdot 2^{(t - 2026) / 2}$$

Risolvendo:

$$125 \times 10^6 = 1500 \cdot 2^{(t - 2026) / 2}$$ $$\frac{125 \times 10^6}{1500} = 83333 = 2^{(t - 2026) / 2}$$ $$\log_2 83333 = 16.35 = (t - 2026) / 2$$ $$t \approx 2026 + 32.7 \approx 2059$$

~33 anni. Verso il 2059, se la legge di Neven regge, un computer quantistico potrebbe avere i qubit fisici necessari per attaccare Kyber-768.

Ma questo suppone che:

1. Esista un algoritmo quantistico per LWE che richieda ~125K qubit logici (è un limite inferiore ottimistico).
2. La correzione degli errori quantistici raggiunga quel livello di efficienza (oggi no).
3. La coerenza quantistica si mantenga durante operazioni di quella profondità (oggi no).
4. La legge di Neven regga per tre decenni (è un'estrapolazione).

Ognuna di queste supposizioni è ottimistica. La data reale potrebbe essere il 2059, o il 2080, o mai, se LWE risulta essere quantisticamente duro.

L'analogia entropica

La seconda legge della termodinamica stabilisce che l'entropia di un sistema isolato non diminuisce mai. La crittografia è, in questo senso, una lotta contro l'entropia: cerchiamo di mantenere distinguibili due distribuzioni di probabilità (quella reale e quella casuale) che l'attaccante vuole confondere.

L'analogia è precisa:

$$\Delta S_{cripto} \approx -\log_2 P(break)$$

Dove $P(break)$ è la probabilità che un attaccante rompa lo schema. Minore è la probabilità, maggiore è l'"entropia negativa" che la crittografia deve mantenere. Ma mantenere quella separazione costa energia — sotto forma di tempo di calcolo, larghezza di banda, chiavi più grandi.

Schema         Entropia negativa     Costo fisico (bit)
──────         ─────────────────     ────────────────────
AES-128        128 bit              128 bit di chiave
RSA-2048       ~112 bit             2048 bit di chiave
Kyber-768      ~207 bit             1184 bit di pk + 2400 bit di sk
One-time pad   ∞ bit (perfetto)     ∞ bit (chiave = messaggio)

Il one-time pad è l'unico schema con sicurezza dimostrabile (Shannon, 1949), ed è impraticabile. Tutto il resto — incluso Kyber — è un'approssimazione che consuma risorse per mantenere la separazione entropica per il tempo sufficiente.

Il limite dell'errore

La congettura di durezza di LWE dice: "l'errore aggiunto all'equazione $b = A \cdot s + e$ rende il sistema difficile da invertire". Ma l'errore crittografico deve superare l'errore quantistico — il rumore dei qubit, l'imprecisione delle porte, la decoerenza.

La battaglia finale, se arriverà, non sarà tra algoritmi. Sarà tra due scale di errore: l'errore matematico (LWE) che protegge il segreto, e l'errore fisico (rumore quantistico, energia) che l'attaccante deve superare per calcolare.

$$\text{Sicurezza} = \text{min}(\text{errore LWE}, \text{errore d'implementazione}, \text{limite fisico})$$

Dei tre, il limite fisico è l'unico assoluto. Non importa quanto buona sia la congettura di durezza se l'energia disponibile nell'universo è insufficiente per l'attacco. Ma quel limite — l'energia totale dell'universo ~ $10^{69}$ J — è così enorme che solo gli schemi più aggressivi (512 bit di sicurezza o più) lo raggiungono.

Kyber-1024 (~272 bit di sicurezza) è molto lontano da quel limite. Kyber-768 (~207 bit) anche. Il limite fisico non li protegge. Li protegge l'assenza di un algoritmo efficiente.

E quell'assenza non è una legge della natura. È una congettura.

Il rifugio provvisorio

Frankl scrisse che tra lo stimolo e la risposta c'è uno spazio, e in quello spazio risiede la nostra libertà. In crittografia, lo spazio è la distanza del segreto: il tempo che intercorre tra la pubblicazione di uno schema e l'attacco che lo rompe.

La distanza del segreto è, per Kyber, un'incognita. Nessuno sa se si romperà nel 2035, 2050 o 2100. Nessuno sa se si romperà per un algoritmo quantistico, un attacco algebrico, o una vulnerabilità d'implementazione che nessuno ha previsto.

L'onestà intellettuale impone di riconoscerlo: Kyber è sicuro oggi. È la migliore opzione che abbiamo per proteggere le comunicazioni contro un futuro quantistico. Ma è un rifugio provvisorio, non definitivo.

Come tutti i rifugi in crittografia.

---

La serie "La distanza del segreto" è terminata. L'esplorazione di quella distanza — tra la congettura e la prova, tra l'algoritmo e il codice, tra l'energia necessaria e l'energia disponibile — non ha conclusione perché il problema non ha soluzione. La distanza si misura, si gestisce, si rimanda. Non si elimina.

---

Riferimenti incrociati con la ricerca:

• Fondamenti di LWE — La congettura di durezza e il modulo q=3329
• Attacchi — Stato dell'arte quantistico contro LWE
• Conclusioni — Ciò che rimane aperto
• Parametri di sicurezza — Robustezza equivalente e margini