Migrazione alla PQC: approcci ibridi

Passare dalla crittografia classica a quella post-quantistica è la più grande migrazione crittografica della storia, più complessa dell'aggiornamento a RSA a 2048 bit o della dismissione di SHA-1. Richiede l'aggiornamento simultaneo di protocolli, librerie, HSM, certificati e codice.

KEM ibrido = KEM classico + KEM PQC. Segreto condiviso = KDF(classical_secret || pqc_secret). La sicurezza richiede di compromettere entrambi. Un avversario quantistico compromette ECDH ma non Kyber. Un avversario classico non compromette nessuno dei due. Offre una difesa stratificata durante il periodo di transizione.

Google Chrome e Cloudflare hanno distribuito X25519Kyber768 (che combina ECDH X25519 e Kyber-768) in TLS 1.3 nel 2023. La bozza IETF draft-ietf-tls-hybrid-design definisce l'incapsulamento. Entrambe le parti negoziano il key share combinato nell'estensione ClientHello esistente di TLS.

I certificati X.509 attualmente usano chiavi pubbliche RSA o ECDSA. Percorso di migrazione: (1) emettere certificati a doppio algoritmo (classico + PQC), (2) le CA intermedie usano chiavi PQC, (3) le CA radice effettuano la transizione per ultime. Il CA/Browser Forum sta sviluppando profili di certificati PQC.

Molti HSM non possono essere aggiornati tramite firmware per supportare gli algoritmi PQC. I cicli di sostituzione dell'hardware durano 5-10 anni. Le organizzazioni devono verificare le roadmap del firmware degli HSM, pianificare la sostituzione dell'hardware e valutare bridge PQC basati su software per gli HSM legacy durante la transizione.

Passaggio 1: esegua un inventario crittografico. Identifichi: ogni chiave e certificato RSA/ECC, ogni scambio di chiavi DH e ogni versione del protocollo. Strumenti: scanner delle cipher suite, strumenti di inventario dei certificati e analisi statica del codice per le chiamate crittografiche. Documenti la durata di vita di ogni risorsa.

Urgenza massima: dati a lunga durata (dati classificati, cartelle cliniche), oggi vulnerabili allo scenario «raccogli ora, decifra in seguito». Poi: scambio di chiavi nei protocolli (TLS, SSH, VPN): la migrazione deve iniziare da questi elementi, usando KEM ibridi. Urgenza minima: firme su dati di breve durata (token di sessione).

Python: usate pyca/cryptography con il backend liboqs per ML-KEM. Java: modulo PQC di BouncyCastle. Rust: crate pqcrypto. Sostituite: rsa.generate_private_key() → generazione delle chiavi ML-KEM; ecdh_key_agreement() → incapsulamento/decapsulamento ML-KEM. Astrazione tramite un livello di agilità crittografica.

L'agilità crittografica consiste nel progettare sistemi in modo da poter sostituire gli algoritmi senza modifiche al codice. Usate campi per gli identificatori degli algoritmi, registri dei tipi di chiave e backend collegabili. Evitate di codificare direttamente i nomi degli algoritmi nei formati di serializzazione. Questo ha permesso la migrazione da SHA-1 a SHA-256 e permetterà quella da RSA a PQC.

Eseguite i test usando vettori di test con risposta nota tratti dalle implementazioni di riferimento PQC del NIST. Convalidate l'interoperabilità tramite la suite di test OQS-OpenSSL. Testate TLS ibrido con oqs-provider per OpenSSL. Consultate le pagine degli errata NIST FIPS 203/204/205/206 per gli aggiornamenti sulle indicazioni relative all'implementazione.

Raccomandazioni di NIST/NSA: (1) interrompere ora la distribuzione di nuovi sistemi RSA/ECC. (2) Distribuire lo scambio di chiavi ibrido in TLS e nelle VPN entro il 2025-2026. (3) Migrare i certificati a PQC entro il 2028-2030. (4) Completare la migrazione, inclusi gli HSM, entro il 2035, prima che si concretizzi il rischio CRQC.

Perché i dati cifrati oggi (usando RSA/ECDH) sono a rischio anche prima che esistano computer quantistici?

La migrazione a PQC utilizza KEM ibridi (crittografia classica + PQC) durante la transizione. Date priorità ai dati a lunga durata e allo scambio di chiavi. Effettuate un inventario crittografico, aggiornate l'hardware e applicate l'agilità crittografica. Il NIST raccomanda di completare la migrazione entro il 2035. Prossimo argomento: crittografia della blockchain — alberi di Merkle e PoW.