La competizione NIST PQC: processo e criteri

NIST ha avviato il progetto di standardizzazione della crittografia post-quantistica (PQC) nel 2016, in risposta diretta alla minaccia posta dai computer quantistici. L'algoritmo di Shor può violare RSA e la crittografia a curve ellittiche in tempo polinomiale su un computer quantistico sufficientemente grande. NIST ha riconosciuto che la transizione dell'infrastruttura crittografica richiede decenni e ha avviato il processo ben prima che i computer quantistici costituissero una minaccia immediata.

NIST ha pubblicato una richiesta di proposte nel dicembre 2016 e ha ricevuto 82 proposte complete entro novembre 2017. Dopo la revisione iniziale, 69 sono state accettate come candidate del primo turno. Le proposte coprivano un'ampia gamma di ipotesi matematiche: problemi sui reticoli, funzioni hash, crittografia basata sui codici, crittografia basata sulle isogenie e polinomi multivariati. La diversità delle ipotesi era un obiettivo fondamentale, per evitare di puntare tutto su un'unica soluzione.

Durante il primo turno, NIST e la più ampia comunità crittografica hanno sottoposto a un'analisi approfondita tutte le 69 candidate. I criteri comprendevano la sicurezza (resistenza agli attacchi classici e quantistici), le prestazioni (dimensioni delle chiavi e dei testi cifrati, velocità di calcolo), la flessibilità (insiemi di parametri per diversi livelli di sicurezza) e la semplicità di implementazione. Entro gennaio 2019, 26 candidate sono passate al secondo turno.

Le 26 candidate del secondo turno sono state sottoposte ad analisi crittografica più approfondita e a benchmark delle prestazioni. Durante questo turno diversi schemi sono stati violati o indeboliti, tra cui Rainbow (multivariato) e SIKE (basato sulle isogenie, anche se SIKE è stato violato solo nel terzo turno). Entro luglio 2020, 15 candidate sono passate al terzo turno, organizzate in 7 finaliste e 8 alternative.

Le 7 finaliste del terzo turno erano Kyber, NTRU, SABER (KEM) e Dilithium, FALCON, Rainbow, SPHINCS+ (firme). SIKE era un'alternativa, ma è stata spettacolarmente violata nel 2022. NIST ha selezionato Kyber per la standardizzazione dei KEM grazie al suo design chiaro, alle solide dimostrazioni di sicurezza e alle eccellenti prestazioni. Dilithium, FALCON e SPHINCS+ sono stati selezionati per le firme.

NIST ha selezionato deliberatamente algoritmi basati su problemi matematici diversi, per proteggersi da future scoperte. ML-KEM e ML-DSA si basano su Module-LWE (reticoli). FALCON si basa su reticoli NTRU e sul campionamento gaussiano. SLH-DSA si basa esclusivamente sulla sicurezza delle funzioni hash. Se si verificasse una scoperta decisiva contro i reticoli, SLH-DSA resterebbe sicuro, garantendo diversità algoritmica nella suite standardizzata.

Nel 2022, NIST ha aperto un quarto turno dedicato alla richiesta di ulteriori candidate per le firme, spinto dal desiderio di ottenere una maggiore diversità oltre gli schemi basati sui reticoli. Tra le candidate figuravano MAYO, CROSS, UOV e altre basate su ipotesi multivariate e basate sui codici. Questo processo si è svolto parallelamente alla finalizzazione dei tre standard iniziali (FIPS 203, 204, 205).

NIST ha pubblicato gli standard PQC definitivi nell'agosto 2024: FIPS 203 (ML-KEM, basato su Kyber), FIPS 204 (ML-DSA, basato su Dilithium) e FIPS 205 (SLH-DSA, basato su SPHINCS+). FIPS 206 (FN-DSA, basato su FALCON) dovrebbe seguire. Questi standard sono ora considerazioni obbligatorie per le agenzie federali statunitensi e stanno influenzando gli standard a livello globale attraverso ISO, ETSI e IETF.

IETF ha integrato rapidamente il PQC nei protocolli. Nel 2024 erano in corso le bozze degli RFC per ML-KEM in TLS 1.3, SSH e nei certificati X.509. Cloudflare, Google e Amazon hanno annunciato piani per distribuire ML-KEM nei propri stack TLS. Apple ha annunciato PQ3 per iMessage, usando ML-KEM per la forward secrecy post-quantistica basata su ratchet, distribuita su oltre un miliardo di dispositivi.

La competizione PQC di NIST ha dimostrato che la standardizzazione crittografica aperta e collaborativa funziona efficacemente. Durante il processo sono stati violati diversi schemi molto apprezzati (GeMSS, SIKE, Rainbow), confermando l'importanza di un'analisi crittografica pubblica e approfondita. La competizione ha inoltre stimolato lo sviluppo di implementazioni hardware efficienti e librerie open source (liboqs, PQClean), accelerandone l'adozione.

La standardizzazione post-quantistica non è completa. NIST continua a valutare ulteriori schemi di firma per aumentare la diversità. L'organismo per gli standard finanziari X9 sta sviluppando standard PQC per il settore bancario. ETSI e ISO si stanno allineando agli standard FIPS di NIST. Sono in fase di sviluppo linee guida per la migrazione in settori specifici: sanità (implicazioni di HIPAA), difesa (suite CNSA 2.0 della NSA) e telecomunicazioni (3GPP per il 5G/6G).

Quante candidate sono passate dalle proposte iniziali al secondo turno della competizione PQC di NIST?

NIST ha avviato il progetto di standardizzazione PQC nel 2016, ricevendo 69 proposte complete. Tre cicli di valutazione hanno ristretto il campo in base a sicurezza, prestazioni e diversità. Le selezioni finali sono state Kyber (ML-KEM, FIPS 203), Dilithium (ML-DSA, FIPS 204), SPHINCS+ (SLH-DSA, FIPS 205) e FALCON (FN-DSA, FIPS 206). La competizione ha convalidato la crittoanalisi aperta e ha portato a standard ampiamente adottati, ora integrati nei protocolli TLS, SSH e di messaggistica.