In Breve
- Qual è l'obiettivo della roadmap di Google?
- Anticipare la transizione alla crittografia post-quantistica entro il 2029.
- Cosa sono le Merkle Tree Certificates?
- Certificati X.509 che utilizzano un registro pubblico per migliorare la verifica e la trasparenza.
- Quali sono le implicazioni per le organizzazioni?
- Necessità di adattarsi a nuovi formati senza ingegneria complessa e automatizzare la gestione dei certificati.
Google ha recentemente comunicato un’accelerazione nella propria transizione verso la crittografia post-quantistica, fissando il termine per il 2029. Questa decisione è stata accompagnata dalla pubblicazione di una roadmap dettagliata, suddivisa in tre domini di rischio e milestone specifiche per diversi servizi.
La mossa di Google si colloca in un contesto di crescente preoccupazione riguardo alla sicurezza dei dati. Attori avversari potrebbero infatti raccogliere dati cifrati oggi, per decifrarli in futuro, quando le capacità quantistiche saranno più diffuse. Questo approccio, noto come “harvest now, decrypt later”, sottolinea l’urgenza di preparare infrastrutture capaci di adattarsi a standard e formati di certificati in continua evoluzione.
Un aspetto cruciale della roadmap è l’introduzione delle Merkle Tree Certificates (MTC), attesa per il 2028. Questi certificati X.509 rappresentano una novità significativa, poiché sostituiscono la tradizionale firma pesante con una prova di presenza in un registro pubblico di emissione strutturato come un Merkle tree. Questo consente ai browser di verificare una breve traccia di impronte digitali, confrontandola con il sommario del registro ricevuto tramite aggiornamenti software.
Le MTC non eliminano i certificati X.509 esistenti, ma si affiancano a essi, mantenendo i certificati compatti e rendendoli verificabili pubblicamente. Questo approccio mira a mitigare l’impatto delle firme post-quantistiche sulle prestazioni. Inoltre, le MTC puntano a garantire una maggiore trasparenza: un certificato è considerato valido solo se la sua voce è presente nel registro pubblico.
Lo sviluppo delle MTC è frutto della collaborazione tra diversi operatori del settore e standard in fase di elaborazione presso l’IETF. Tra i partecipanti ci sono aziende e autorità di certificazione che hanno contribuito alla ricerca, con alcuni operatori che hanno già espresso impegni pubblici verso questo nuovo formato.
Google prevede anche l’implementazione di un Quantum-resistant Root Store, destinato a supportare solo certificati resistenti ai quanti nel formato MTC, piuttosto che come semplici firme post-quantistiche all’interno dei tradizionali certificati X.509.
Per le organizzazioni, l’implicazione pratica non consiste nell’adozione immediata delle MTC, ma nella capacità di implementare nuovi formati senza la necessità di programmi di ingegneria complessi e prolungati. Si raccomanda di effettuare un inventario completo di certificati e asset crittografici, automatizzare il ciclo di vita dei certificati e sviluppare una roadmap post-quantistica fornita dalle proprie autorità di certificazione.
Il campo della crittografia è in continua evoluzione e le MTC potrebbero non rappresentare l’unica soluzione definitiva. Tuttavia, le organizzazioni che investono ora in agilità crittografica, gestione automatica dei certificati e visibilità completa saranno in una posizione migliore per adattarsi all’evoluzione degli standard futuri.