La crittografia post-quantistica non serve perché oggi esista già un computer quantistico capace di rompere Internet in pochi minuti. Serve perché una parte dei dati cifrati oggi potrebbe dover restare riservata per molti anni, mentre la migrazione dei sistemi crittografici richiede tempo.
Il 3 settembre 2026 il gruppo di lavoro cybersecurity del G7 ha pubblicato una call to action sulla transizione post-quantistica. Il messaggio è netto: la data in cui arriverà un computer quantistico crittograficamente rilevante resta incerta, ma organizzazioni pubbliche e private devono iniziare la transizione prima che quella capacità esista.
Il punto più facile da fraintendere è questo: PQC non significa usare un computer quantistico per cifrare i dati. Gli algoritmi post-quantistici sono progettati per funzionare sui computer classici e resistere agli attacchi noti sia classici sia quantistici.
Perché RSA ed ECC sono il problema
Gran parte della sicurezza digitale usa crittografia a chiave pubblica. RSA e gli schemi basati su curve ellittiche proteggono o autenticano, a seconda del protocollo, scambi di chiavi, firme digitali, certificati, software, VPN e numerosi servizi Internet.
La loro sicurezza dipende da problemi matematici che un computer classico non sa risolvere in modo pratico quando le chiavi sono sufficientemente grandi. Un computer quantistico abbastanza potente e stabile potrebbe però usare l’algoritmo di Shor per rendere vulnerabili questi meccanismi.
Fatto: una macchina quantistica capace di eseguire questo attacco su larga scala non è oggi disponibile pubblicamente. Previsione: nessuno può indicare con certezza l’anno in cui una macchina simile diventerà operativa. La pianificazione della sicurezza deve quindi lavorare con un rischio temporale, non con una data garantita.
Harvest now, decrypt later: perché i dati di oggi contano già
Uno dei motivi per cui la transizione è iniziata prima dell’arrivo di computer quantistici sufficientemente potenti è il modello di attacco chiamato harvest now, decrypt later. Un avversario può raccogliere oggi traffico cifrato o archivi protetti e conservarli, con l’obiettivo di decifrarli in futuro quando avrà strumenti migliori.
Non ogni dato ha lo stesso rischio. Una sessione senza valore dopo qualche giorno è molto diversa da informazioni sanitarie, proprietà intellettuale, documenti governativi, segreti industriali o archivi personali che devono restare confidenziali per dieci o vent’anni.
La domanda utile non è quindi soltanto quando arriverà il computer quantistico, ma anche per quanto tempo deve restare segreto il dato che sto proteggendo oggi e quanto tempo servirà per aggiornare tutti i sistemi che lo gestiscono.
Quali algoritmi post-quantistici esistono già
Il National Institute of Standards and Technology ha finalizzato nel 2024 i primi standard principali della nuova generazione. La documentazione aggiornata del progetto Post-Quantum Cryptography del NIST indica che la migrazione deve già essere avviata.
- ML-KEM, FIPS 203: meccanismo per stabilire chiavi condivise, derivato da CRYSTALS-Kyber.
- ML-DSA, FIPS 204: algoritmo per firme digitali, derivato da CRYSTALS-Dilithium.
- SLH-DSA, FIPS 205: schema di firma basato su funzioni hash, pensato anche come alternativa con fondamenta matematiche differenti.
Questi standard non sono più semplici candidati da laboratorio. I prodotti e i protocolli stanno già integrando soluzioni ibride e post-quantistiche. Un esempio concreto è il passaggio di Chrome da Kyber a ML-KEM, che mostra come la transizione tocchi anche software utilizzato ogni giorno.
PQC e QKD non sono la stessa cosa
La sigla quantum-safe viene usata per tecnologie differenti e può creare confusione. La post-quantum cryptography usa algoritmi matematici eseguiti su hardware classico. La Quantum Key Distribution, invece, utilizza proprietà della fisica quantistica per distribuire chiavi attraverso infrastrutture dedicate o compatibili.
Non sono alternative equivalenti. La PQC può essere integrata in software, protocolli e dispositivi su larga scala senza richiedere un canale quantistico. La QKD ha requisiti fisici e di rete differenti. Abbiamo visto una dimostrazione italiana nel collegamento quantum-safe tra due data center TIM.
Devo cambiare qualcosa sul PC o sullo smartphone?
Per un utente comune la risposta, oggi, è non manualmente nella maggior parte dei casi. Non serve cercare un’app che prometta di rendere il telefono post-quantistico e non ha senso sostituire un dispositivo funzionante soltanto per questo motivo.
Browser, sistemi operativi, servizi cloud, VPN, applicazioni di messaggistica e infrastrutture di rete stanno introducendo le nuove primitive attraverso aggiornamenti software e modifiche dei protocolli. Per l’utente la priorità resta mantenere aggiornati sistemi e applicazioni e usare servizi che documentano la propria strategia di sicurezza.
Il discorso cambia per chi gestisce infrastrutture, certificati, PKI, firmware firmato, archivi cifrati o dati con un ciclo di riservatezza molto lungo. In quel caso aspettare l’arrivo del computer quantistico sarebbe un errore operativo.
Cosa deve fare un’azienda prima di cambiare algoritmo
La migrazione non comincia installando ML-KEM ovunque. Comincia sapendo dove viene usata la crittografia. Certificati TLS, VPN, HSM, librerie applicative, sistemi di firma, firmware, backup, API, dispositivi industriali e prodotti di terze parti possono dipendere da algoritmi differenti.
- Inventario crittografico: identificare algoritmi, chiavi, certificati, librerie e protocolli utilizzati.
- Classificazione dei dati: stabilire quali informazioni devono restare riservate più a lungo.
- Dipendenze: verificare quali fornitori e dispositivi devono essere aggiornati prima della migrazione.
- Crypto agility: progettare sistemi in cui un algoritmo possa essere sostituito senza ricostruire l’intera infrastruttura.
- Test: verificare prestazioni, dimensioni di chiavi e firme, compatibilità e interoperabilità prima del passaggio in produzione.
Perché non basta aspettare uno standard definitivo per ogni caso
Alcune parti dell’ecosistema continueranno a evolversi. Nuovi algoritmi possono essere standardizzati, protocolli possono cambiare e implementazioni possono mostrare limiti. Questo non rende inutile la migrazione: rende essenziale la crypto agility.
Un’infrastruttura rigida, costruita intorno a un solo algoritmo per decenni, rende ogni transizione costosa e lenta. Un sistema progettato per sostituire primitive crittografiche può adattarsi sia al rischio quantistico sia a vulnerabilità classiche scoperte in futuro.
Quanto è urgente il rischio quantistico
Fatto: gli standard PQC principali esistono e sono implementabili sui sistemi attuali. Dato: il NIST indica una transizione che porta alla progressiva rimozione degli algoritmi vulnerabili entro il 2035, con sistemi ad alto rischio da spostare prima.
Ipotesi: un computer quantistico crittograficamente rilevante potrebbe diventare disponibile in futuro, ma la tempistica non è nota. Rischio pratico: dati raccolti oggi e destinati a restare sensibili a lungo possono avere una finestra di esposizione che precede l’arrivo della macchina capace di attaccarli.
La conclusione operativa è meno spettacolare e più utile: non serve farsi prendere dal panico, ma non conviene rimandare l’inventario e la pianificazione. La crittografia post-quantistica è già un problema di gestione del rischio e del ciclo di vita dei sistemi, non soltanto una previsione sul futuro dei computer quantistici.
