Le fondamenta crittografiche di internet sono state costruite per un mondo che non esiste più — o, più precisamente, per un mondo che sta silenziosamente esaurendo il tempo a disposizione. Il Q-Day, il momento in cui un computer quantistico diventa abbastanza potente da violare la moderna crittografia a chiave pubblica, non è più un orizzonte teorico. Secondo molti veterani della crittografia, si tratta di un problema della fine degli anni 2020. Questo lo colloca più vicino di quanto suggeriscano la maggior parte delle roadmap istituzionali e molto più vicino di quanto l’utente crypto medio sia stato portato ad aspettarsi. Il meccanismo in gioco è l’algoritmo di Shor, pubblicato nel 1994: una macchina quantistica sufficientemente grande e corretta dagli errori potrebbe usarlo per derivare le chiavi private alla base di RSA e della crittografia a curva ellittica, gli schemi che proteggono gran parte del traffico internet e praticamente tutta la crypto. Nessun computer esistente oggi può eseguire l’algoritmo a quella scala, ed è per questo che il dibattito tra gli esperti si concentra sulla data di arrivo e non sulla matematica sottostante.

Joseph Gabriel Mattia III, COO di Quantus — l’azienda che integra la crittografia post-quantistica nell’infrastruttura dei hardware wallet — sta analizzando come appare questa transizione al livello del protocollo, al livello della custodia e per il possessore comune che ha imparato tutto ciò che riteneva necessario sapere sulla sicurezza da una scatola di hardware wallet. Le sue risposte sono meno rassicuranti di quanto suggerisca l’attuale postura del settore. La chiave amministrativa di una stablecoin lo preoccupa più del wallet di Satoshi. Il multisig, sostiene, non offre una resistenza significativa contro un attaccante quantistico — solo più serrature dello stesso tipo difettoso. E ogni principale asset crypto monitorato da migration.fail, un tracker pubblico della preparazione, è attualmente indicato come vulnerabile a livello di firma.

Segue una conversazione sulla minaccia che il settore non sta ancora prendendo abbastanza sul serio, sul perché attendere una proof of concept potrebbe essere già troppo tardi e su come debba apparire davvero la preparazione quantistica — non come etichetta di marketing, ma come qualcosa di verificabile, auditabile e integrato di default nello stack.

Quando stimi che arriverà il “Q-Day” — la soglia in cui un computer quantistico può violare la moderna crittografia a chiave pubblica? Quali sistemi, dati, asset, protocolli o infrastrutture colpirebbero per primi gli avversari? Perché?

Molto probabilmente in qualche momento della fine degli anni 2020. C’è ancora dibattito sull’anno esatto, ma molti veterani della crittografia ritengono che accadrà entro i prossimi quattro anni.

Per quanto riguarda i primi bersagli, non mi aspetto che il Bitcoin di Satoshi sia uno di questi, anche se è lì che di solito va il pensiero delle persone.

Se un avversario disponesse di questa capacità, colpire qualcosa di visibile lo annuncerebbe al mondo intero e distruggerebbe un enorme vantaggio strategico. Probabilmente si concentrerebbe su chiavi che offrano il massimo controllo o valore attirando il meno possibile l’attenzione.

Nel settore crypto, qualcosa come la chiave amministrativa di una grande stablecoin mi preoccuperebbe di più. Una sola chiave compromessa potrebbe influire sull’intero ecosistema, il che la rende un bersaglio molto più grande di qualsiasi singolo wallet.

E al di fuori della crypto, guarderei alle comunicazioni governative classificate, alle reti militari e ai sistemi di intelligence, dove la violazione della crittografia a chiave pubblica potrebbe esporre dati altamente sensibili.

Molti progetti oggi dichiarano di essere “quantum resistant”, ma senza una checklist unificata e verificabile tali affermazioni sono impossibili da controllare. Secondo lei, quale costituisce la soglia minima di preparazione quantistica?

Per me, la soglia minima è che un progetto sia in grado di mostrare esattamente dove la crittografia vulnerabile al quantistico esiste ancora nel proprio stack. Usare un meccanismo di autorizzazione sicuro post-quantistico è un buon inizio, ma non rende l’intera rete pronta al quantistico.

L’autorizzazione delle transazioni dovrebbe basarsi su un meccanismo post-quantistico riconosciuto e il progetto dovrebbe documentare pubblicamente cosa protegge le connessioni P2P, il consenso, i sistemi zero-knowledge, il livello di privacy, i bridge e qualsiasi altra infrastruttura critica.

Deve inoltre esserci una chiara distinzione tra ciò che è attivo oggi e ciò che esiste solo in una roadmap.

Soprattutto, tali affermazioni devono essere verificabili. Chiunque dovrebbe poter vedere quali algoritmi e set di parametri vengono utilizzati, esaminare l’implementazione e verificare che la sicurezza non si basi su uno schema opaco o non verificabile, né su un’etichetta di marketing.

Se non puoi indicare la crittografia esatta che protegge ogni parte critica del sistema, non credo che “quantum-ready” significhi molto.

Chi dovrebbe essere responsabile della definizione di criteri unificati e verificabili per la preparazione quantistica? Cosa dovrebbe includere tali criteri?

Terrei il NIST come punto di riferimento per la crittografia in sé. Il loro processo post-quantistico ha coinvolto ricercatori di tutto il mondo e ha reso difficile per qualsiasi governo o azienda orientare il risultato. Quel processo — una competizione aperta e pluriennale avviata nel 2016 — ha prodotto i primi standard finalizzati nell’agosto 2024: ML-KEM per la definizione delle chiavi, insieme agli schemi di firma ML-DSA e SLH-DSA.

Per le blockchain, il livello successivo deve essere costruito dai team di protocollo che operano apertamente, con spazio per ricercatori e auditor per contestare rigorosamente il design e i suoi risultati.

I criteri devono poi riflettere il modo in cui la rete opera oggi. Si parte dalla crittografia usata per autorizzare le transazioni e dal fatto che la protezione post-quantistica sia l’impostazione predefinita. Ogni residua dipendenza da firme vulnerabili deve essere resa esplicita.

Anche la migrazione deve far parte di questo quadro, perché una rete può supportare chiavi post-quantistiche mentre la maggior parte dei suoi utenti utilizza ancora chiavi vecchie.

I hardware wallet proteggono le chiavi dal furto fisico, ma non dagli attacchi quantistici alle chiavi pubbliche. Come valuta l’attuale consapevolezza degli utenti su questa distinzione? Esiste oggi un modello di archiviazione sicura per l’utente medio, o il settore richiede un nuovo paradigma di wallet?

C’è ancora un grande equivoco su ciò da cui ti protegge un hardware wallet. Mantiene la tua chiave privata isolata dal laptop o dallo smartphone, cosa estremamente utile. Ma un attaccante quantistico non avrebbe bisogno di toccare il dispositivo. Una volta che una chiave pubblica vulnerabile è esposta, l’attaccante quantistico può agire direttamente sulla crittografia senza mai toccare l’hardware wallet.

Questo non rende obsoleti gli hardware wallet. Abbiamo già integrato il supporto post-quantistico in Keystone per Quantus, quindi il modello hardware può evolvere. Il limite è che un wallet da solo non può rendere Bitcoin o Ethereum post-quantistici — anche la rete sottostante deve supportare nuove firme.

Un modello migliore integra per impostazione predefinita la protezione post-quantistica sia nel wallet sia nella rete. Gli utenti non dovrebbero dover sapere quando la crittografia sottostante è diventata obsoleta.

Gli schemi multisignature aumentano la complessità dell’attacco solo in modo lineare, non esponenziale. Questo significa che le architetture di custodia istituzionale basate su multisig creano un falso senso di sicurezza?

Il multisig è ancora estremamente utile, e non vorrei che le istituzioni lo abbandonassero. Protegge dalle minacce che i sistemi di custodia affrontano oggi, come una chiave rubata o un firmatario compromesso.

Diventa pericoloso quando si inizia a considerare un maggior numero di chiavi come protezione contro gli attacchi quantistici. Una configurazione 3-of-5 basata interamente sullo stesso schema di firma vulnerabile conserva la stessa debolezza di fondo. Un attaccante quantistico può aver bisogno di recuperare più chiavi, ma ogni volta sta risolvendo lo stesso tipo di problema. Cinque serrature non aiutano molto se condividono tutte lo stesso meccanismo vulnerabile.

Quindi sì, il multisig può creare un falso senso di sicurezza se le istituzioni assumono che ridondanza significhi resistenza quantistica. La strada migliore è mantenere la custodia distribuita, ma sostituire l’autorizzazione vulnerabile sottostante con qualcosa che possa reggere contro un attaccante quantistico.

Le principali borse e i custodian sono pronti per uno scenario in cui un computer quantistico possa derivare una chiave privata da una chiave pubblica in pochi minuti? E gli utenti comuni?

La maggior parte delle principali borse è brava a difendersi dagli attacchi che conosciamo oggi. Non ho visto molte prove che siano pronte per un attacco in cui una chiave privata possa essere ricostruita senza toccare affatto la loro infrastruttura.

Monitoriamo questo tramite migration.fail, un tracker pubblico della preparazione che valuta se le principali reti blockchain si affidino ancora a crittografia vulnerabile al quantistico. Al momento, tutti i 20 principali asset crypto che copre sono indicati come vulnerabili a livello di firma.

Un piano di risposta serio deve tenere conto di quali chiavi operative siano esposte e di quanto velocemente i fondi potrebbero essere spostati una volta che una di esse diventa sospetta. Una transazione malevola può ancora apparire perfettamente valida on-chain, il che rende più difficile una risposta tempestiva.

Gli utenti comuni sono ancora più indietro. La maggior parte scoprirà di dover migrare solo quando un wallet o una borsa glielo dirà, quindi qualsiasi piano realistico deve rendere quel passaggio abbastanza semplice da completarsi in sicurezza.

Perché la minaccia “harvest now, decrypt later” è rilevante oggi — molto prima dell’arrivo di computer quantistici su larga scala?

Prima di tutto, vorrei separarla dalla minaccia quantistica alle firme blockchain, perché spesso vengono messe nello stesso calderone. Una transazione Bitcoin è già pubblica. Non c’è nulla che un attaccante debba registrare oggi e decifrare tra dieci anni.

Ma lo stesso non si può dire per banche, governi e altre istituzioni i cui dati cifrati potrebbero — e probabilmente lo saranno — essere ancora sensibili tra anni. Qualcuno può raccogliere quel traffico oggi e conservarlo fino a quando la tecnologia lo consentirà.

Signal, iMessage e Cloudflare hanno già spostato parti dei loro sistemi verso la protezione post-quantistica, e la maggior parte degli utenti se n’è accorta appena. È probabilmente così che dovrebbe apparire questa transizione.

I dati sensibili non dovrebbero restare su cifrature vulnerabili al quantistico fino a quando qualcuno non dimostri che un computer quantistico è in grado di violarle. A quel punto, anni di traffico potrebbero già trovarsi nell’archivio di qualcun altro.

I dati blockchain sono immutabili e pubblici. Si può fare qualcosa per le transazioni già registrate, o quei dati sono compromessi per sempre?

I dati blockchain registrati sono permanenti, ma permanenza non significa che ogni vecchia transazione diventi improvvisamente pericolosa dopo il Q-Day. La maggior parte era già pubblica su una chain trasparente.

Le chiavi pubbliche sono l’eccezione, perché Bitcoin già registra in modo permanente quelle esposte. Gli indirizzi Bitcoin standard pubblicano solo un hash della chiave pubblica finché i fondi non vengono spesi, ma i primi output pay-to-public-key della rete — e ogni indirizzo riutilizzato o già speso — mostrano la chiave pubblica in chiaro. Un attaccante non deve costruire oggi un archivio privato né intercettare nulla in anticipo. Tra anni, potrà tornare sullo stesso registro pubblico e colpire qualsiasi chiave esposta che controlli ancora qualcosa di valore.

Spostare i fondi su chiavi post-quantistiche può eliminare il valore di quell’esposizione passata, ma non può ripulire il record storico.

Per le transazioni private, il problema è un po’ diverso. I dati restano on-chain per anni, quindi se la crittografia che li protegge viene infine violata, informazioni che all’epoca erano nascoste potrebbero diventare visibili ex post.

Quali standard misurabili e applicabili di preparazione quantistica dovrebbe stabilire il settore entro i prossimi 12-24 mesi?

Un benchmark utile è ciò che sta facendo oggi il governo degli Stati Uniti, con le agenzie federali tenute a mappare la propria esposizione crittografica e a mettere persone specifiche a capo della migrazione. Tali requisiti derivano dal National Security Memorandum 10 e da successive indicazioni dell’Office of Management and Budget; inoltre, la bozza del piano di transizione del NIST propone di deprezzare RSA-2048 e la crittografia a curva ellittica entro il 2030 e di vietarle del tutto entro il 2035. I sistemi ad alto valore hanno scadenze ferme per migrare alla crittografia post-quantistica e sono in corso lavori su un cryptographic bill of materials per rendere più semplice il tracciamento di queste dipendenze.

La crypto ha bisogno di una propria versione di questa disciplina nei prossimi 12-24 mesi. I principali protocolli dovrebbero pubblicare dove la crittografia vulnerabile è ancora in uso e indicare le date per completare la transizione. Exchange e custodian dovrebbero divulgare quanto valore è detenuto dietro chiavi legacy.

Una volta che questi numeri saranno pubblici, anche le revisioni di listing e gli audit di sicurezza potranno iniziare a usarli. Questo offre al settore qualcosa di concreto da misurare.

Qual è il singolo ostacolo più grande all’implementazione di questi standard su larga scala? Come dovrebbe affrontarlo il settore nell’immediato?

La parte più difficile è convincere milioni di possessori indipendenti a muoversi quando non esiste un interruttore centrale che qualcuno possa azionare. Un protocollo può aggiungere il supporto post-quantistico, ma le monete conservate in cold storage per anni devono comunque essere spostate dai loro proprietari.

Il lavoro immediato deve concentrarsi nel rendere la migrazione il più semplice possibile. I wallet devono avere flussi che guidino gli utenti verso chiavi più sicure con il minimo attrito, mentre exchange e custodian devono avere procedure già testate sotto carico. A livello di protocollo, dobbiamo anche evitare di sostituire semplicemente un sistema vulnerabile con qualcosa che generi costi inaccettabili di banda, storage o privacy. Attendere di progettare quei sistemi fino a quando la minaccia sembrerà urgente lascerebbe poco margine per gli errori.

Gli asset dormienti rendono il problema ancora più difficile. Alcuni proprietari non si presenteranno mai a migrare, quindi le reti devono anche decidere come gestire le monete vulnerabili rimaste indietro.