In Breve
- Cosa sono i Merkle Tree Certificates?
- I Merkle Tree Certificates sono certificati X.509 che utilizzano un registro pubblico organizzato come un Merkle tree per garantire la sicurezza e la trasparenza.
- Quando Google prevede di completare la transizione alla crittografia post-quantistica?
- Google prevede di completare la transizione entro il 2029.
- Qual è l'importanza della crittografia post-quantistica?
- La crittografia post-quantistica è fondamentale per proteggere i dati da attacchi futuri da parte di computer quantistici.
Google ha recentemente anticipato il termine della sua migrazione verso la crittografia post-quantistica, fissandolo al 2029. Questa decisione è accompagnata dalla pubblicazione di una roadmap dettagliata, suddivisa in tre domini di rischio, con milestone specifiche per vari servizi. La mossa si inserisce in un contesto in cui attori avversari potrebbero già raccogliere dati cifrati in previsione delle future capacità quantistiche, un fenomeno noto come “harvest now, decrypt later”.
La necessità di preparare infrastrutture in grado di adattarsi a standard e formati di certificati in rapida evoluzione è diventata cruciale. Gli algoritmi resistenti ai computer quantistici, come il ML-DSA, generano chiavi e firme di dimensioni significativamente maggiori. Se distribuiti tramite l’attuale Public Key Infrastructure (PKI), tali chiavi potrebbero compromettere le prestazioni di sistemi e reti ad alta latenza.
Un aspetto centrale della roadmap è l’introduzione dei Merkle Tree Certificates (MTC) entro il 2028. Questi certificati X.509 sostituiscono la tradizionale firma pesante con una prova di presenza in un registro pubblico organizzato come un Merkle tree. Ciò consente ai browser di verificare una breve traccia di impronte digitali, confrontandola con il sommario del registro ricevuto tramite aggiornamenti software.
È importante notare che le MTC non eliminano i certificati X.509 esistenti, ma li affiancano, mantenendo i certificati compatti e rendendoli verificabili pubblicamente. Questo approccio aiuta a mitigare l’impatto delle firme post-quantistiche sulle prestazioni. Inoltre, le MTC puntano a garantire una maggiore trasparenza: un certificato è considerato valido solo se la sua voce è presente nel registro pubblico.
Lo sviluppo delle MTC è frutto della collaborazione tra vari operatori del settore e standard in fase di lavoro presso l’IETF. Tra i partecipanti ci sono aziende e autorità di certificazione che hanno contribuito alla ricerca, e alcuni operatori hanno già espresso impegni pubblici verso questo nuovo formato.
Google prevede anche la creazione di un Quantum-resistant Root Store, che supporterà solo certificati resistenti ai quanti nel formato MTC, piuttosto che semplici firme post-quantistiche integrate nei tradizionali X.509.
Per le organizzazioni, l’implicazione pratica non è l’adozione immediata delle MTC, ma la capacità di implementare nuovi formati senza necessità di programmi di ingegneria complessi. Si raccomanda un inventario completo di certificati e asset crittografici, l’automazione del ciclo di vita dei certificati e una roadmap post-quantistica fornita dalle proprie autorità di certificazione.
Il campo della crittografia post-quantistica è in continua evoluzione e le MTC potrebbero non rappresentare l’unica soluzione definitiva. Tuttavia, le organizzazioni che investono ora in agilità crittografica, gestione automatica dei certificati e visibilità completa saranno in una posizione migliore per adattarsi all’evoluzione degli standard futuri.