In Breve
- Qual è la scadenza fissata da Google per la migrazione alla crittografia post-quantistica?
- Google ha fissato la scadenza per il 2029.
- Cosa sono i Merkle Tree Certificates?
- I Merkle Tree Certificates sono certificati X.509 che utilizzano un registro pubblico per garantire la sicurezza dei dati.
- Qual è l'obiettivo della roadmap di Google?
- L'obiettivo è preparare le infrastrutture per affrontare le sfide della crittografia post-quantistica.
Google ha recentemente annunciato un’accelerazione nella transizione verso la crittografia post-quantistica, fissando il termine per il 2029. Questa iniziativa è parte di una roadmap dettagliata, suddivisa in tre domini di rischio, che affronta le sfide legate alla sicurezza dei dati in un’era in cui i computer quantistici potrebbero compromettere le attuali tecnologie di cifratura.
Il contesto di questa mossa è preoccupante: attori avversari potrebbero già raccogliere dati cifrati con l’intento di decifrarli in futuro, un approccio noto come “harvest now, decrypt later”. Pertanto, è fondamentale che le infrastrutture siano pronte ad adattarsi a standard e formati di certificati in continua evoluzione.
Un aspetto cruciale della roadmap è l’introduzione dei Merkle Tree Certificates (MTC), prevista per il 2028. Questi certificati X.509 rappresentano un’innovazione significativa, poiché sostituiscono la tradizionale firma pesante con una prova di presenza in un registro pubblico di emissione, strutturato come un Merkle tree. Questo consente ai browser di verificare una breve traccia di impronte digitali, confrontandola con il sommario del registro ricevuto tramite aggiornamenti software.
Le MTC non eliminano i certificati X.509 esistenti, ma li affiancano, mantenendo i certificati compatti e rendendoli verificabili pubblicamente. Questa soluzione mira a mitigare l’impatto delle firme post-quantistiche sulle prestazioni, garantendo al contempo una maggiore trasparenza. Infatti, un certificato è considerato valido solo se la sua voce è presente nel registro pubblico.
Il progetto delle MTC è il risultato della collaborazione di diversi operatori del settore e di standard in fase di sviluppo presso l’IETF. Tra i partecipanti ci sono aziende e autorità di certificazione che hanno contribuito alla ricerca e alcuni hanno già espresso impegni pubblici verso questo nuovo formato.
In aggiunta, Google prevede di istituire un Quantum-resistant Root Store, che supporterà esclusivamente certificati resistenti ai quanti nel formato MTC, piuttosto che come semplici firme post-quantistiche integrate nei tradizionali certificati X.509.
Per le organizzazioni, l’implementazione delle MTC non richiederà un’adozione immediata, ma piuttosto la capacità di implementare nuovi formati senza necessità di programmi di ingegneria pluriennali. Si raccomanda di effettuare un inventario completo di certificati e asset crittografici, automatizzare il ciclo di vita dei certificati e seguire una roadmap post-quantistica fornita dalle proprie autorità di certificazione.
Il campo della crittografia post-quantistica è in continua evoluzione e le MTC potrebbero non rappresentare l’unica soluzione definitiva. Tuttavia, le organizzazioni che investono ora in agilità crittografica, gestione automatica dei certificati e visibilità totale saranno in una posizione migliore per adattarsi all’evoluzione degli standard futuri.
