Dal 2016 ai FIPS 203: come il NIST ha scelto la crittografia post-quantistica

Il National Institute of Standards and Technology gestisce dal 2017 la selezione e la standardizzazione della crittografia post-quantistica. La ragione è precisa: secondo le stime, l'algoritmo RSA, il più diffuso, potrebbe essere violato da un computer quantistico già intorno al 2030. Il processo del NIST è lo sforzo collettivo principale per sviluppare e valutare algoritmi resistenti agli attacchi quantistici. Si svolge in più turni, ciascuno accompagnato da una conferenza. A ogni turno alcuni algoritmi vengono esclusi, altri sottoposti a verifiche più approfondite.

La maggior parte delle primitive crittografiche simmetriche si adatta facilmente alla sicurezza quantistica, ad esempio raddoppiando la lunghezza della chiave per neutralizzare l'accelerazione dell'algoritmo di Grover. Per questo gli sforzi si concentrano sulla crittografia asimmetrica, in particolare sulle firme digitali e sui meccanismi di incapsulamento delle chiavi. I futuri standard vengono pubblicati come Federal Information Processing Standard, tra cui FIPS 203, FIPS 204 e FIPS 205.

Il modello preso dall'AES

L'iniziativa ricalca il processo di standardizzazione dell'AES degli anni 1997-2000, un formato aperto e trasparente lodato dalla comunità crittografica. La ricerca accademica sui potenziali effetti dell'informatica quantistica risale almeno al 2001. Nel 2015 le autorità federali statunitensi hanno annunciato piani per trasferire tutti i sistemi governativi di elaborazione delle informazioni soggetti a requisiti di riservatezza verso la crittografia resistente ai computer quantistici. Alla conferenza PQCrypto del 2016, il NIST ha annunciato la standardizzazione di primitive crittografiche sicure rispetto ai quanti. Nel dicembre 2016 il processo è iniziato con un invito a presentare proposte.

Alla chiusura delle candidature, alla fine del 2017, erano stati presentati 23 sistemi di firma digitale e 59 metodi di cifratura e di incapsulamento delle chiavi. Di questi, 69 sono stati giudicati completi e idonei al primo turno. In quella fase 23 candidature sono passate ai lavori successivi. Al secondo turno sono rimasti sette algoritmi e otto candidature alternative. Il 22 luglio 2020 il NIST ha annunciato sette finalisti, tra cui tre sistemi di firma, e otto soluzioni alternative.

Chi ha vinto, chi è caduto

Nel terzo turno hanno vinto CRYSTALS-Kyber come meccanismo di incapsulamento delle chiavi e CRYSTALS-Dilithium, FALCON e SPHINCS+ come sistemi di firma digitale. Questi sono gli algoritmi attualmente standardizzati dal NIST. Il quarto turno, annunciato nel luglio 2022 per esaminare altri quattro algoritmi, era ancora in corso nel marzo 2024. Nel 2024 il NIST ha pubblicato le versioni definitive dei suoi primi tre standard di crittografia post-quantistica. Due algoritmi basati sui reticoli, ML-KEM (noto come Kyber) e ML-DSA (noto come Dilithium), sono tra le prime soluzioni post-quantistiche standardizzate. Non tutte le costruzioni sono sopravvissute: la costruzione SIDH/SIKE è stata violata in modo spettacolare nel 2022. L'attacco riguardava soltanto quella famiglia di schemi e non si generalizza ad altre costruzioni basate sulle isogenie.