Computer quantistici e internet: A cosa dovremmo prepararci?

11/ago/2026 | Jindřich Zechmeister

Forse ultimamente avete sentito parlare di termini come «crittografia post-quantistica» o «minaccia quantistica per Internet». Sembra fantascienza, ma in realtà si tratta di un processo molto concreto, già in corso, che influenzerà anche la sicurezza con cui facciamo acquisti online, accediamo all’home banking o inviamo e-mail. Vediamo di cosa si tratta, in modo semplice e senza inutili tecnicismi.

Di cosa si tratta?

Tutta la sicurezza internet odierna – crittografia, certificati digitali, accesso tramite HTTPS – si basa su problemi matematici che sono estremamente difficili da risolvere per i computer classici. Tuttavia, i computer quantistici (se e quando saranno sufficientemente potenti) potrebbero risolvere questi problemi con relativa facilità. Gli esperti chiamano questa ipotetica macchina CRQC (computer quantistico rilevante per la crittografia).

La buona notizia è che un tale computer non esiste ancora. La cattiva notizia è che dobbiamo prepararci al suo arrivo già oggi – e questo per un motivo semplice.

„Raccolta ora, decri(ta) in seguito“

Esiste una minaccia reale chiamata raccolta ora, decrittografia in seguito – cioè "raccolta ora, decritta in seguito". Un attaccante potrebbe già oggi intercettare e salvare la comunicazione crittografata che attualmente non è in grado di decifrare. Una volta che un computer quantistico verrà costruito, potrebbe tornare ai dati salvati e decifrarli retroattivamente. Per le informazioni sensibili che devono avere una lunga durata (dati sanitari, segreti commerciali, comunicazioni governative), questo è già un rischio reale oggi, non tra dieci anni.

Per questo il mondo della crittografia non sta aspettando che arrivino realmente i computer quantistici, e sta già affrontando la minaccia.

Dove siamo già avanti

Nel 2024, l'ente americano NIST (analogo dell'istituto di normalizzazione) ha ufficialmente approvato dopo anni di preparazione nuovi algoritmi crittografici resistenti ai computer quantistici. I due più importanti sono:

ML-KEM – serve per uno scambio sicuro delle chiavi di crittografia
ML-DSA – serve per le firme digitali e verifica dell'identità

La crittografia della comunicazione (quindi la protezione contro le intercettazioni) sta quindi avanzando abbastanza rapidamente. I browser e i grandi fornitori di infrastrutture internet hanno già iniziato a implementare le cosiddette soluzioni ibride, che combinano la consolidata crittografia ellittica con il nuovo ML-KEM. Gran parte del traffico web è quindi già oggi parzialmente protetto anche contro la futura minaccia quantistica.

È interessante notare che Google ha intrapreso parzialmente un proprio percorso. Non gli piace che le firme ML-DSA siano piuttosto grandi (il che rallenta la comunicazione), quindi sta sviluppando un'alternativa chiamata Merkle Tree Certificates (MTC) – un nuovo tipo di certificati che sarà più veloce e più economico. Tuttavia, il risultato è che il mondo dei certificati inizia a dividersi in due rami: il classico (X.509 con ML-DSA) e il nuovo (MTC). Si prevede che i nuovi certificati MTC arriveranno intorno al 2027.

Dove ci aspetta il lavoro più duro

Mentre la crittografia della comunicazione avanza a un buon ritmo, la verifica dell'identità (cioè i certificati digitali, su cui si basa la fiducia nei siti web HTTPS) è all'inizio della sua trasformazione.

Perché è così complicato?

1. Aumenterà il numero di certificati. I server di oggi tipicamente usano uno o due certificati. In futuro ne avranno bisogno tranquillamente di quattro o cinque, perché i nuovi tipi di certificati (veloci e lenti) funzioneranno accanto a quelli esistenti.

2. Deve nascere una nuova infrastruttura. Sarà necessario costruire nuove autorità di certificazione, adattare il sistema di emissione automatica dei certificati (ACME) e riprogettare il modo in cui i server gestiscono e rinnovano i certificati.

3. Attacchi di downgrade. Questo è probabilmente il problema più spinoso. Anche se un sito web disponesse di un nuovo certificato resistente ai quantistici, un attaccante con un computer quantistico potrebbe teoricamente falsificare un vecchio tipo di certificato e “convincere” il browser a utilizzare la crittografia obsoleta e violabile invece che quella nuova. Per prevenire questo, sarà necessario disattivare definitivamente il supporto alla vecchia crittografia, un processo che richiederà anni di coordinazione tra browser, server e autorità di certificazione.

Qual è la timeline?

Inizialmente si credeva che la transizione completa sarebbe durata fino al 2035. A causa delle preoccupazioni per lo sviluppo più rapido dei computer quantistici, però, molte grandi aziende tecnologiche hanno fissato un nuovo obiettivo, più ambizioso: l'anno 2029.

Cosa portare a casa

La protezione dall'intercettazione (crittografia) si sta preparando abbastanza bene e rapidamente per l'era quantistica.
La verifica dell'identità e l'affidabilità dei certificati è un problema molto più complesso che deve ancora essere risolto.
Come utente comune di internet, non si noterà ancora nulla di sostanziale – l'intero processo avviene in background ed è gestito dai browser, dai sistemi operativi e dalle autorità di certificazione.
Per le aziende e gli operatori web è importante seguire questo sviluppo, perché negli anni a venire cambierà notevolmente il modo in cui i certificati vengono emessi e gestiti.

Fonte: Feisty Duck's Cryptography & Security Newsletter