In Breve
- Cosa sono i Merkle Tree Certificates?
- I Merkle Tree Certificates sono certificati X.509 che utilizzano un registro pubblico per garantire la verifica delle impronte digitali.
- Qual è il termine fissato da Google per la migrazione alla crittografia post-quantistica?
- Google ha fissato il termine per la migrazione alla crittografia post-quantistica al 2029.
- Come influenzeranno le MTC le prestazioni dei sistemi?
- Le MTC mirano a mantenere i certificati compatti e a mitigare l'impatto delle firme post-quantistiche sulle prestazioni.
Google ha recentemente comunicato l’accelerazione della propria migrazione verso la crittografia post-quantistica, fissando il termine per il 2029. Questa decisione è stata accompagnata dalla pubblicazione di una roadmap dettagliata, suddivisa in tre domini di rischio e con milestone specifiche per vari servizi. La mossa si inserisce in un contesto in cui attori avversari potrebbero già raccogliere dati cifrati con l’intenzione di decifrarli in futuro, una strategia nota come “harvest now, decrypt later”.
La necessità di preparare infrastrutture in grado di adattarsi a standard e formati di certificati in continua evoluzione è diventata cruciale. Gli algoritmi resistenti ai computer quantistici, come il ML-DSA, generano chiavi e firme significativamente più grandi. Se distribuiti tramite l’attuale Public Key Infrastructure (PKI), questi potrebbero rallentare o compromettere le prestazioni di sistemi e reti ad alta latenza.
Un punto saliente della roadmap è l’introduzione delle Merkle Tree Certificates (MTC), prevista per il 2028. Questi certificati X.509 sostituiranno le tradizionali firme pesanti con una prova di presenza in un registro pubblico di emissione, strutturato come un Merkle tree. Questo approccio consentirà ai browser di verificare una breve traccia di impronte digitali, confrontandola con il sommario del registro ricevuto tramite aggiornamenti software.
Le MTC non eliminano i certificati X.509 esistenti, ma li affiancano, mantenendo i certificati compatti e rendendoli verificabili pubblicamente. Questo sistema mira a mitigare l’impatto delle firme post-quantistiche sulle prestazioni. Inoltre, le MTC intendono rendere la trasparenza una caratteristica fondamentale: un certificato sarà considerato valido solo se la sua voce è presente nel registro pubblico.
Lo sviluppo delle MTC è frutto della collaborazione tra diversi operatori del settore, con standard attualmente in fase di elaborazione presso l’IETF. Tra i partecipanti ci sono aziende e autorità di certificazione che hanno già contribuito alla ricerca, e alcuni operatori hanno manifestato impegni pubblici verso questo nuovo formato.
Google prevede anche l’implementazione di un Quantum-resistant Root Store, che supporterà esclusivamente certificati resistenti ai quanti nel formato MTC, piuttosto che come semplici firme post-quantistiche inserite nei tradizionali X.509.
Per le organizzazioni, l’implicazione pratica non consiste nell’adozione immediata delle MTC, ma nella capacità di implementare nuovi formati senza la necessità di programmi di ingegneria pluriennali. È consigliato effettuare un inventario completo di certificati e asset crittografici, automatizzare il ciclo di vita dei certificati e sviluppare una roadmap post-quantistica in collaborazione con le proprie autorità di certificazione.
Il campo della crittografia post-quantistica è in continua evoluzione e le MTC potrebbero non rappresentare l’unica soluzione definitiva. Tuttavia, le organizzazioni che investiranno ora in agilità crittografica, gestione automatizzata dei certificati e visibilità completa saranno in una posizione migliore per adattarsi all’evoluzione degli standard futuri.
