Il NIST ha pubblicato la guida definitiva NIST IR 8547 con le scadenze ufficiali per la migrazione alla crittografia post-quantistica. Secondo il documento, gli algoritmi RSA, ECDSA ed EdDSA — considerati vulnerabili agli attacchi dei futuri computer quantistici — saranno deprecati dopo il 2030 e non saranno più ammessi dopo il 2035. Per i sistemi federali statunitensi più sensibili, lo scambio di chiavi dovrà essere migrato entro il 31 dicembre 2030 e le firme digitali entro il 31 dicembre 2031: date che trasformano un dibattito tecnico in una tabella di marcia vincolante.
Una roadmap che vale oltre gli Stati Uniti
Le indicazioni del NIST si affiancano alla roadmap europea e alle linee guida dell’ACN italiana, disegnando un quadro internazionale sempre più coerente sulle tempistiche della transizione. Sebbene le scadenze possano sembrare lontane, gli esperti sottolineano che preparare per tempo la migrazione è essenziale: sostituire gli algoritmi crittografici in un parco applicativo ampio e stratificato richiede anni di lavoro, non mesi, e coinvolge sistemi, librerie, certificati digitali e dispositivi con cicli di vita molto diversi tra loro.
Il rischio dell’«harvest now, decrypt later»
Un aspetto poco noto ma molto concreto è la strategia cosiddetta «harvest now, decrypt later»: un attaccante può oggi intercettare e conservare il traffico cifrato con gli algoritmi attuali, per decifrarlo in futuro quando disporrà di computer quantistici sufficientemente potenti. Per questo motivo, più si rinvia la migrazione, più a lungo restano esposti dati che dovrebbero mantenersi riservati nel lungo periodo, come informazioni finanziarie, sanitarie o industriali. La posta in gioco riguarda quindi anche ciò che viene cifrato oggi, non solo ciò che sarà cifrato domani.
Come prepararsi concretamente
Le imprese dovrebbero iniziare un censimento crittografico, individuando dove vengono utilizzati RSA, ECDSA e gli altri schemi vulnerabili, e definire un piano di migrazione graduale verso gli algoritmi post-quantistici già standardizzati dal NIST. Per chi gestisce dati sensibili o a lunga conservazione, dare priorità ai sistemi più critici è il primo passo concreto. Ada Consulting può affiancare le aziende in questa valutazione, trasformando una scadenza normativa in un vantaggio di sicurezza misurabile e governato nel tempo.
Il ruolo dei fornitori e dei certificati
La migrazione non riguarda solo i sistemi interni: coinvolge anche i fornitori di servizi, i certificati digitali e i dispositivi embedded con lunghi cicli di vita. Chiedere ai propri partner tecnologici un piano di migrazione post-quantistica e aggiornare i certificati con algoritmi resistenti ai computer quantistici sono passi che le imprese possono avviare fin da subito, anticipando le scadenze invece di subirle.
Perché iniziare adesso
Cominciare presto consente di distribuire i costi e di procedere senza fretta, integrando la migrazione nei normali cicli di rinnovo tecnologico. Chi attende le scadenze rischia invece di dover intervenire in emergenza, con costi più alti e margini di errore maggiori. La post-quantum non è una moda, ma un passaggio strutturale che le organizzazioni lungimiranti stanno già pianificando.