Pianificare la migrazione agli standard post-quantistici

La migrazione dell'infrastruttura crittografica non è un progetto a breve termine. Le grandi organizzazioni impiegano dai 10 ai 15 anni per aggiornare completamente tutti i sistemi. NIST stima che computer quantistici in grado di violare RSA-2048 potrebbero esistere entro 10-30 anni. Considerando la minaccia «raccogli ora, decifra più avanti» e i lunghi tempi necessari per la migrazione, le organizzazioni devono iniziare a pianificare oggi, anche se la minaccia quantistica immediata sembra lontana.

La crypto-agility consiste nel progettare sistemi in modo che gli algoritmi crittografici possano essere sostituiti senza riprogettare l'intera architettura. Un sistema agile centralizza la selezione degli algoritmi nella configurazione, usa tipi di chiave astratti e disaccoppia la logica del protocollo dalle implementazioni specifiche dei cifrari. I sistemi che inseriscono direttamente RSA o ECDH nella logica del protocollo richiederanno migrazioni molto più costose rispetto ai sistemi agili.

Il primo passo della migrazione consiste nel catalogare ogni primitiva crittografica presente nel sistema: dove vengono utilizzati RSA, ECDH, ECDSA e gli algoritmi simmetrici, in quali contesti (TLS, firma del codice, cifratura dei dati a riposo, token di autenticazione) e quali durate di conservazione hanno i dati coinvolti. NIST IR 8547 e le linee guida CISA raccomandano l'uso di strumenti di rilevamento automatizzato per individuare chiavi hardcoded e identificatori di algoritmi nelle basi di codice e nelle configurazioni.

TLS 1.3 supporta lo scambio ibrido di chiavi, che combina X25519 e ML-KEM-768, come specificato nella bozza IETF draft-ietf-tls-hybrid-design. Il NamedGroup ibrido X25519MLKEM768 invia nel ClientHello entrambe le chiavi condivise, classica e PQC. Il segreto condiviso è l'hash di entrambi i risultati. Per i server che supportano il nuovo NamedGroup non è necessaria alcuna modifica al protocollo e viene mantenuta la compatibilità con i client che non lo supportano.

NIST IR 8413 (2022) fornisce linee guida per la migrazione alla crittografia post-quantistica. Classifica i sistemi in tre zone: immediatamente critici (segreti a lunga durata esposti al rischio harvest-now-decrypt-later), a medio termine (dati sensibili per 5-10 anni) e a bassa priorità (dati effimeri o di breve durata). NIST raccomanda di dare priorità alla PKI e all'infrastruttura dei certificati, poiché la modifica dei certificati radice influisce su intere catene di fiducia.

La minaccia harvest-now-decrypt-later (HNDL) è il motivo più urgente per implementare immediatamente la cifratura post-quantistica, persino prima che esistano computer quantistici. Gli avversari (Stati nazionali) registrano oggi il traffico cifrato, aspettandosi di poterlo decrittare quando sarà disponibile un computer quantistico. I dati la cui riservatezza deve essere mantenuta a lungo (cartelle cliniche, segreti di Stato, dati finanziari rilevanti per diversi decenni) sono esposti immediatamente a questo attacco.

Alla luce della minaccia HNDL, la massima priorità nella migrazione post-quantistica consiste nel proteggere i dati che devono rimanere riservati a lungo. Lo scambio effimero di chiavi TLS (ECDHE) dovrebbe essere aggiornato immediatamente alla modalità ibrida X25519+ML-KEM. Le chiavi private RSA a lunga durata (utilizzate per la firma dei certificati o per i dati archiviati in forma cifrata) richiedono una nuova cifratura con schemi post-quantistici. Le chiavi di sessione effimere per lo streaming video hanno bassa priorità, poiché non possiedono valore a lungo termine.

Prima di implementare la PQC, le organizzazioni dovrebbero misurare l'impatto sulle prestazioni per i propri carichi di lavoro specifici. ML-KEM è veloce: la generazione delle chiavi e l'incapsulamento richiedono meno di 20 microsecondi sull'hardware moderno. Tuttavia, l'aumento delle dimensioni delle chiavi e dei ciphertext (ML-KEM-768: 1184 + 1088 byte rispetto a X25519: 32 + 32 byte) aumenta le dimensioni degli handshake TLS. Per i server TLS ad alto volume, che gestiscono milioni di connessioni al secondo, è necessario misurare questo sovraccarico di banda.

Il progetto Open Quantum Safe (OQS) fornisce liboqs, una libreria open source che implementa gli algoritmi PQC, inclusi tutti gli standard NIST. OQS fornisce inoltre fork di OpenSSL e BoringSSL con supporto per la PQC, oltre a un server di test all'indirizzo test.openquantumsafe.org. Le organizzazioni possono usare liboqs per creare prototipi e testare l'integrazione della PQC prima dell'implementazione in produzione, senza dover attendere il supporto nelle versioni principali delle librerie.

Le agenzie federali statunitensi e i settori regolamentati devono utilizzare moduli crittografici con convalida FIPS. NIST FIPS 203, 204 e 205 sono stati pubblicati, ma occorre ulteriore tempo prima che siano disponibili implementazioni convalidate (e relativi certificati CMVP). NIST sta gestendo un programma di convalida accelerata per la PQC. Le organizzazioni che operano in contesti regolamentati dovrebbero monitorare lo stato delle convalide CMVP e prevedere un periodo durante il quale le implementazioni ibride classiche+PQC utilizzino algoritmi classici con convalida FIPS insieme a implementazioni PQC convalidate.

La migrazione della PKI è particolarmente complessa. I certificati radice e le CA intermedie devono essere riemessi con ML-DSA o con chiavi ibride. Le catene di certificati diventano più grandi (i certificati ML-DSA-65 hanno dimensioni di circa 4 KB, rispetto a 1 KB per RSA-2048). È necessario aggiornare gli archivi di attendibilità dei browser, dei sistemi operativi mobili e dei dispositivi embedded. Alcune organizzazioni stanno valutando certificati a doppio algoritmo (PKI ibrida) per mantenere la compatibilità con le versioni precedenti durante la transizione.

Quale tipo di dati ha la priorità PIÙ ALTA nella migrazione alla cifratura post-quantistica a causa della minaccia harvest-now-decrypt-later?

La migrazione alla PQC richiede crypto-agility, un inventario crittografico completo e una definizione delle priorità basata sulla durata dei dati. La minaccia harvest-now-decrypt-later rende urgente l'implementazione immediata di TLS ibrido (X25519+ML-KEM-768) per i segreti a lunga durata. Per la maggior parte dei carichi di lavoro, il sovraccarico sulle prestazioni è gestibile. liboqs consente di eseguire test prima che il supporto sia disponibile nelle versioni principali delle librerie. La conformità FIPS richiede di monitorare lo stato delle convalide CMVP delle implementazioni PQC.