In Breve
- Cosa sono le Merkle Tree Certificates?
- Le Merkle Tree Certificates (MTC) sono certificati X.509 che utilizzano un registro pubblico per garantire la verifica delle impronte digitali.
- Quando Google prevede di implementare le MTC?
- Google prevede di introdurre le MTC entro il 2028.
- Qual è l'obiettivo della transizione verso la crittografia post-quantistica?
- L'obiettivo è garantire la sicurezza dei dati contro le future capacità di decrittazione dei computer quantistici.
Google ha recentemente comunicato un’importante novità nel campo della sicurezza informatica: la transizione verso la crittografia post-quantistica è stata anticipata al 2029. Questa decisione è stata accompagnata dalla pubblicazione di una roadmap dettagliata, organizzata in tre domini di rischio e con milestone specifiche per vari servizi. Questo cambiamento si inserisce in un contesto di crescente preoccupazione riguardo alla possibilità che attori malintenzionati stiano già raccogliendo dati cifrati, pronti a decrittarli quando le capacità quantistiche diventeranno una realtà.
Un aspetto cruciale di questa transizione è rappresentato dagli algoritmi resistenti ai computer quantistici, come il ML-DSA, che generano chiavi e firme significativamente più grandi. Se questi algoritmi venissero distribuiti tramite l’attuale infrastruttura di chiavi pubbliche (PKI), potrebbero compromettere la latenza e le prestazioni dei sistemi e delle reti.
La roadmap di Google prevede l’introduzione delle Merkle Tree Certificates (MTC) entro il 2028. Questi certificati X.509 sostituiranno la tradizionale firma pesante con una prova di presenza in un registro pubblico di emissione organizzato come un Merkle tree. Ciò permetterà ai browser di verificare una breve traccia di impronte digitali, confrontandola con il sommario del registro ricevuto tramite aggiornamenti software.
Le MTC non sostituiranno completamente i certificati X.509 esistenti, ma li affiancheranno, mantenendo i certificati compatti e rendendoli verificabili pubblicamente. Questo approccio mira a mitigare l’impatto delle firme post-quantistiche sulle prestazioni. Inoltre, le MTC puntano a garantire la trasparenza strutturale: un certificato sarà considerato valido solo se la sua voce è presente nel registro pubblico.
Lo sviluppo delle MTC è frutto della collaborazione tra diversi operatori del settore e standard in fase di lavoro presso l’IETF. Tra i partecipanti ci sono aziende e autorità di certificazione che hanno contribuito alla ricerca, e diversi operatori hanno già espresso impegni pubblici verso questo nuovo formato.
Google prevede anche l’implementazione di un Quantum-resistant Root Store, che supporterà esclusivamente certificati resistenti ai quanti nel formato MTC, piuttosto che semplici firme post-quantistiche inserite negli X.509 tradizionali.
Per le organizzazioni, l’implicazione pratica di queste novità non è l’adozione immediata delle MTC, ma piuttosto la capacità di implementare nuovi formati senza dover avviare programmi di ingegneria complessi e lunghi. Si raccomanda un inventario completo di certificati e asset crittografici, l’automazione del ciclo di vita dei certificati e una roadmap post-quantistica fornita dalle proprie autorità di certificazione.
Il campo della crittografia post-quantistica è in continua evoluzione e le MTC potrebbero non rappresentare l’unica soluzione definitiva. Tuttavia, le organizzazioni che investono ora in agilità crittografica, gestione automatica dei certificati e visibilità completa saranno in una posizione privilegiata per adattarsi all’evoluzione degli standard futuri.
