Comunicazioni critiche post-quantum: perché la crittografia matematica (PQC) sembra avere la meglio sulla QKD

Secondo quanto riportato, le comunicazioni governative e militari si starebbero orientando verso la crittografia post-quantum (PQC) piuttosto che verso la distribuzione quantistica di chiavi (QKD). Non sarebbe una bocciatura della QKD sul piano teorico, ma un giudizio sui costi, sulla complessità infrastrutturale e sui rischi operativi di una tecnologia che oggi non offrirebbe un vantaggio sufficiente rispetto all'alternativa matematica — quest'ultima già standardizzata e pronta alla migrazione. Va detto subito con chiarezza: le fonti primarie che indicherebbero questa posizione non sono state reperite in fase di verifica, quindi quanto segue va letto come posizione attribuita, non come dato confermato — a eccezione della parte sugli standard NIST, questa sì verificata.

Cosa cambia (secondo le fonti citate, non ancora confermate)

Un documento di indirizzo attribuito alla NATO orienterebbe le comunicazioni critiche verso la PQC invece che verso la QKD, e una roadmap sulle tecnologie quantistiche, sempre attribuita alla NATO, ne confermerebbe la direzione prevedendo l'adozione di standard PQC. Non siamo in grado di citare un codice documento o una data verificati per queste due fonti: non li riportiamo per non attribuire alla NATO affermazioni che non abbiamo potuto controllare su un testo ufficiale. Trattiamo quindi questi due punti come posizioni riportate, non come dichiarazioni confermate della NATO.

Le ragioni che circolano a sostegno di questa direzione sono tecnicamente plausibili e in linea con i limiti noti della QKD: la necessità di un canale classico autenticato, un hardware ottico specializzato e costoso, i limiti di distanza, il ricorso a nodi intermedi fidati per estendere le reti, alcune vulnerabilità implementative e la mancanza, oggi, di un vantaggio operativo sufficiente rispetto alla PQC.

QKD vs PQC: due logiche di sicurezza a confronto

La differenza di fondo non è «quale tecnologia è più sicura in teoria», ma quale sia oggi più adatta a essere distribuita su reti esistenti, a larga scala, con un costo e una complessità operativa sostenibili.

Il punto tecnico più delicato: un canale autenticato non è una distribuzione di chiavi

Un'obiezione ricorrente alla QKD è che richiede comunque un canale classico autenticato, e quindi sarebbe in qualche modo superflua. È un'equivalenza sbagliata, ed è l'unico punto tecnico di questo articolo che non dipende da nessuna fonte istituzionale da verificare: è consenso tecnico consolidato. Autenticare un canale non equivale a distribuire chiavi segrete. La QKD usa una chiave di autenticazione precondivisa, breve, per evitare attacchi man-in-the-middle sul canale classico; da quella base genera poi materiale di chiave nuovo, più lungo, condiviso in modo sicuro tra le parti. Il limite reale della QKD, quindi, non è un'inutilità matematica, ma il rapporto fra benefici, complessità, costi e rischi operativi — che è anche l'argomento su cui si baserebbe la preferenza per la PQC.

Ciò che è davvero confermato: gli standard NIST

Qui il terreno è solido. Il NIST ha reso definitivi, ad agosto 2024, i primi tre standard di crittografia post-quantum, inclusi ML-KEM (per lo stabilimento di chiavi) e ML-DSA (per le firme digitali) — pubblicati rispettivamente come FIPS 203 e FIPS 204. È un fatto di dominio pubblico, confermato dalla pagina ufficiale del NIST, e rappresenta oggi il punto di riferimento più concreto per chi deve pianificare una migrazione crittografica: a differenza della QKD, qui esistono standard finalizzati, implementabili su reti e hardware esistenti.

Le altre posizioni citate: da trattare con cautela

Si riporta da tempo che la NSA nutra riserve sulla QKD per i sistemi di sicurezza nazionale, nell'ambito della sua guida CNSA 2.0: è una posizione nota pubblicamente, ma che non abbiamo potuto riconfermare su una fonte primaria in questa verifica, quindi la segnaliamo come posizione attribuita alla NSA, non come citazione testuale.

Lato italiano, una strategia nazionale per le tecnologie quantistiche — di cui non è stato possibile confermare in questa sede l'anno esatto di pubblicazione — considererebbe PQC e QKD complementari piuttosto che alternative. Questo non è necessariamente in contraddizione con la posizione attribuita alla NATO: un conto è cosa adottare oggi per le reti operative (la PQC, già standardizzata), un altro è cosa finanziare come ricerca e autonomia tecnologica futura (la QKD, su cui la roadmap citata manterrebbe comunque investimenti in R&S).

Le implicazioni pratiche per chi fa compliance

Indipendentemente dalla conferma definitiva delle posizioni NATO citate sopra, il punto centrale per chi gestisce sicurezza e compliance non cambia: chi opera in settori regolati — difesa, pubblica amministrazione, finanza, infrastrutture critiche — o segue comunque gli standard NIST per la migrazione crittografica dovrebbe:

• fare l'inventario degli algoritmi crittografici in uso (certificati, TLS, VPN, firme digitali);
• mappare i dati esposti al rischio harvest now, decrypt later, cioè ai dati cifrati oggi che potrebbero essere decifrati in futuro con un computer quantistico;
• valutare la propria crypto-agility, ovvero la capacità di sostituire un algoritmo senza riprogettare l'intera infrastruttura;
• pianificare la migrazione verso gli standard NIST ML-KEM e ML-DSA, che sono reali, finalizzati e già disponibili.

Questo percorso ha senso a prescindere dal fatto che la propria organizzazione sia o meno un target NATO, e a prescindere dalla conferma dei due documenti citati in apertura.

Nota sulle fonti

Verificato su fonte primaria in questa sede: la finalizzazione degli standard NIST ML-KEM/ML-DSA (agosto 2024) e la distinzione tecnica fra autenticazione del canale e distribuzione di chiavi nella QKD (consenso tecnico consolidato, non derivato da una singola fonte normativa). Non verificato su fonte primaria, e per questo attenuato nel testo: l'esistenza e il contenuto esatto del position paper e della roadmap attribuiti alla NATO (nessun codice documento o data riportati), la posizione della NSA su CNSA 2.0, e la strategia italiana per le tecnologie quantistiche (anno di pubblicazione omesso). Questi tre punti andrebbero confermati su fonte primaria prima di essere citati come fatti, non come posizioni riportate.