Alessandro Giovannini
Con l’avvento del quantum computing gli attuali sistemi di sicurezza informatica rischiano di vacillare. Ecco cosa sta escogitando Google per far fronte all’emergenza.
Lo sappiamo, il web è una risorsa fondamentale per l’umanità, ma è anche fonte di terribili rischi, tanto per la nostra privacy quanto per la nostra sicurezza. Ogni giorno, durante la navigazione in Internet dobbiamo difenderci dagli “sguardi” di malviventi che aspettano solo un nostro passo falso per penetrare nei nostri dispositivi, rubarci le credenziali e altri dati sensibili, violare la nostra privacy e, in un modo o nell’altro, arrivare al nostro portafogli. Ma nell’era del cyberterrorismo questi rischi vanno oltre i singoli individui e coinvolgono aziende, istituzioni e gangli fondamentali delle nostre società.
I anni recenti un grande passo avanti nel campo della sicurezza informatica è stato ottenuto dallo standard industriale FIDO2 con l’introduzione del sistema di autenticazione a 2 fattori, un metodo di input di credenziali che dipende da almeno due dispositivi differenti, il che limita di molto le possibilità di trafugamento di dati ed accessi informatici non autorizzati. Molti di noi semplici internauti abbiamo imparato a conoscere questo sistema e lo abbiamo implementato nelle nostre interazioni con siti di e-commerce, operazioni di e-banking e persino gaming online.
Con l’avvento del quantum computing però anche questo sistema super sicuro rischia di non essere più sufficiente a bloccare gli intrusi. Ecco perché Google sta lavorando ad un nuovo sofisticatissimo algoritmo che dovrebbe rappresentare l’ultima frontiera della sicurezza informatica.
PQC
Gli sforzi profusi da Google fanno parte di una ricerca collettiva che da ormai un decennio ha coinvolto matematici e ingegneri di tutto il mondo, impegnati nel progettare sistema di sicurezza informatica all’avanguardia, in grado di resistere a tentativi di intrusione da parte dei sistemi più sofisticati oggi dispositivi, ovvero i computer quantici. L’orizzonte di questi sforzi collettivi è rappresentato dall’acronimo PQC, ovvero crittografia post-quantistica, ovvero il tentativo di creare sistemi di crittografia talmente sofisticati da poter resistere ad attacchi informatici quantistici.
Ovviamente al momento il quantum computing non è ancora così diffuso da rappresentare una minaccia alla sicurezza informatica planetaria, ma è proprio per questo motivo che la ricerca sta facendo il possibile per mettere a punto le difese informatiche già adesso, in modo di farsi trovare pronti al prossimo futuro. Anche perché, oltre a mettere a punto il sistema vero e proprio, potranno volerci anni affinché tale sistema sia standardizzato da FIDO2 e adottato da tutti i principali browser per Internet.
Tentativo fallito
Da notare che la strada è lunga e non certo dritta. Alcuni tentativi di mettere a punto sistemi PQC sono già stati fatti in passato, ma l’esito non è stato positivo. Si ricorda in particolare l’algoritmo SIKE, messo a punto solo pochissimi anni fa e considerato fino a quel momento il non plus ultra nel campo della crittografia post-quantistica. Il sistema stava ricevendo ampi consensi, tanto da esser entrato a far parte di un programma sostenuto dal National Institute of Standards and Technology del Dipartimento del Commercio degli Stati Uniti: tuttavia, proprio l’anno scorso SIKE si è rivelato un clamoroso fallimento, quando un singolo computer classico (cioè nemmeno quantistico) è riuscito a bucarlo, dimostrandone l’inefficacia.
La nuova arma di Google
Attualmente il NIST sta prendendo in considerazione altri 3 algoritmi giudicati particolarmente promettenti. In particolare il più interessante è l’algoritmo Crystals-Dilithium, su cui Google è al lavoro combinando due tipi di chiavi di sicurezza diverse, una basata sulla tecnologia PQC e una su quella ECDSA, acronimo per Elliptic Curve Digital Signature Algorithm, ovvero una crittografia a curva ellittica, che genera una chiave più piccola ed efficiente rispetto a quella di un normale algoritmo digitale. Ecco i vantaggi del sistema a detta degli stessi ricercatori di Google:
In collaborazione con l’ETH, abbiamo sviluppato questo nuovo schema di firma ibrida che combina il collaudato sistema di firma ECDSA al Dilithium, resistente ai quantici e di recente standardizzazione. Affidarsi a una firma ibrida è fondamentale, poiché la sicurezza di Dilithium e di altri algoritmi resistenti ai quanti recentemente standardizzati non ha ancora superato la prova del tempo e i recenti attacchi a Rainbow (un altro algoritmo resistente ai quanti) dimostrano la necessità di cautela. Siamo riusciti a sviluppare un’implementazione ottimizzata che richiede solo 20 KB di memoria, una quantità sufficientemente piccola. Abbiamo anche lavorato affinché la velocità di firma rientrasse nelle specifiche previste per le chiavi di sicurezza. Detto questo, crediamo che migliorare ulteriormente la velocità della firma sfruttando l’accelerazione hardware consentirebbe alle chiavi di essere più reattive. Speriamo che questa implementazione venga standardizzata come parte delle specifiche delle chiavi FIDO2 e supportata dai principali browser web, in modo da proteggere le credenziali degli utenti dagli attacchi quantistici. – ricercatori Google citati da Ars Technica – 8/18/2023
Attualmente un computer quantistico necessiterebbe di circa 8 ore per individuare la chiave di un sistema crittografato con gli standard attualmente in uso. Questo nuovo algoritmo, invece, renderebbe l’operazione pressoché impossibile. Sebbene il pericolo che attacchi di questo si verifichino è ancora molto lontano nel tempo, non è certo il caso di farsi trovare impreparati quando la tempesta informatica arriverà.