Dal 2016 ai FIPS 203: come il NIST ha scelto la crittografia post-quantistica

Il National Institute of Standards and Technology porta avanti dal 2017 un processo di selezione e standardizzazione della crittografia post-quantistica. Il motivo è concreto: secondo le stime l'algoritmo RSA, il più diffuso, potrebbe essere violato da un computer quantistico già intorno al 2030. Il processo del NIST è considerato il più importante sforzo collettivo per sviluppare e valutare algoritmi resistenti agli attacchi quantistici. Si articola in più turni, ognuno dei quali comprende anche una conferenza. A ogni turno una parte degli algoritmi viene esclusa, altri vengono sottoposti a verifiche più approfondite.

La maggior parte delle primitive crittografiche simmetriche si adatta con relativa facilità alla sicurezza quantistica, per esempio raddoppiando la lunghezza della chiave: così si neutralizza l'accelerazione data dall'algoritmo di Grover. Per questo gli sforzi si concentrano sulla crittografia asimmetrica, in particolare sulle firme digitali e sui meccanismi di incapsulamento delle chiavi. I futuri standard vengono pubblicati come Federal Information Processing Standard, tra cui FIPS 203, FIPS 204 e FIPS 205.

Il modello preso dall'AES

Il formato collaudato, aperto e trasparente dell'iniziativa ricalca il processo di standardizzazione dell'AES degli anni 1997-2000, lodato dall'ambiente crittografico. La ricerca accademica sui potenziali effetti dell'informatica quantistica risale almeno al 2001. Nel 2015 le autorità federali statunitensi annunciarono piani per trasferire tutti i sistemi governativi di elaborazione delle informazioni soggetti a requisiti di riservatezza verso la crittografia resistente ai computer quantistici. Per questo alla conferenza PQCrypto del 2016 il NIST annunciò la standardizzazione di primitive crittografiche sicure rispetto ai quanti. Nel dicembre 2016 il processo è stato inaugurato con un invito a presentare proposte.

Alla chiusura delle candidature, alla fine del 2017, erano stati presentati 23 sistemi di firma digitale e 59 metodi di cifratura e di incapsulamento delle chiavi. Di questi, 69 sono stati giudicati completi e idonei a partecipare al primo turno. In quel turno 23 candidature sono passate ai lavori successivi. Al secondo turno sono arrivati sette algoritmi e otto candidature alternative. Il 22 luglio 2020 il NIST ha annunciato sette finalisti, tra cui tre sistemi di firma, e otto soluzioni alternative.

Chi ha vinto, chi è caduto

Nel terzo turno hanno vinto gli algoritmi CRYSTALS-Kyber come meccanismo di incapsulamento delle chiavi e CRYSTALS-Dilithium, FALCON e SPHINCS+ come sistemi di firma digitale: sono questi a essere attualmente standardizzati dal NIST. Il quarto turno, annunciato nel luglio 2022, in cui vengono esaminati altri quattro algoritmi, era ancora in corso nel marzo 2024. Nel 2024 il NIST ha pubblicato le versioni definitive dei suoi primi tre standard di crittografia post-quantistica. Due algoritmi basati sui reticoli, ML-KEM noto comunemente come Kyber e ML-DSA noto come Dilithium, sono tra le prime soluzioni post-quantistiche standardizzate. Non tutte le costruzioni sono sopravvissute: la costruzione SIDH/SIKE, molto discussa, è stata violata in modo spettacolare nel 2022. L'attacco riguardava soltanto quella famiglia di schemi e non si generalizza ad altre costruzioni basate sulle isogenie.