Il computer quantistico in grado di rompere RSA non esiste ancora. Eppure difendersi da quella macchina è già un problema, colpa di una cifra che continua a rimpicciolirsi. I qubit fisici stimati per rompere RSA-2048, che nel 2019 erano 20 milioni, sono scesi sotto il milione nel 2025 e sotto le centomila in alcuni studi del 2026. Un computer quantistico simile non c’è, ma può arrivare più in fretta di quanto ci si aspetta. Contro quella macchina serve una crittografia diversa, detta post-quantum o post-quantistica: algoritmi che girano su normali computer classici e resistono anche a un attacco quantistico. Per anni è rimasta materia da conferenze e complottisti. Nel 2026 è diventata un problema di silicio e di firmware, e per chi progetta hardware la domanda non è più se adottarla, ma come farla stare dentro un dispositivo reale.
Perché adesso: conta il tempo, non il qubit
Se la macchina non esiste ancora, perché progettarci contro adesso? La risposta ha un nome, harvest-now-decrypt-later. Un attaccante intercetta e archivia oggi comunicazioni cifrate che non sa ancora leggere, contando di decifrarle il giorno in cui avrà gli strumenti per farlo. Per un dato che vale poco la minaccia resta teorica. Per un segreto che deve restare tale per vent’anni è già concreta, perché quei vent’anni cadono dentro la finestra in cui la macchina probabilmente arriverà.
È qui che entra in gioco il ciclo di vita del prodotto, il fattore che riguarda più da vicino l’elettronica. Un dispositivo messo in campo oggi, con quindici o vent’anni di vita davanti e il compito di proteggere dati a lunga validità, è già vulnerabile nel momento in cui esce dalla fabbrica.
Non riguarda solo i sistemi di difesa, che pure ne sono l’esempio più netto per durata e posta in gioco. Vale allo stesso modo per l’avionica, l’energia, il medicale e il controllo industriale, settori in cui i prodotti restano installati per decenni e in cui sostituire l’hardware costa molto più di un aggiornamento software.
Ecco perché le scadenze hanno smesso di essere un’esortazione per diventare un calendario. Il NIST pianta due paletti: deprecare RSA ed ECC entro il 2030 e dismetterli del tutto entro il 2035. L’agenzia per la sicurezza nazionale statunitense, con la suite CNSA 2.0, indica lo stesso 2030 per i sistemi più critici, e in Europa ENISA e la francese ANSSI si muovono sullo stesso orizzonte.
Per chi progetta un prodotto a vita lunga, quelle date non sono una previsione da osservare con curiosità, ma un vincolo da mettere subito nel progetto.
Gli standard post-quantum su cui si costruisce oggi
La buona notizia, per chi deve passare dalla teoria all’implementazione, è che le fondamenta sono ormai solide. Già ad agosto 2024 il NIST ha finalizzato i primi tre standard di crittografia post-quantum, e su quelli si lavora. I primi due coprono i due usi cardine della crittografia a chiave pubblica. FIPS 203 standardizza ML-KEM, il meccanismo di incapsulamento di chiave erede di CRYSTALS-Kyber, che prende il posto di RSA ed ECDH nello scambio di chiavi. FIPS 204 fa lo stesso per le firme con ML-DSA, derivato da CRYSTALS-Dilithium, al posto di RSA ed ECDSA.
Il terzo, FIPS 205, gioca un ruolo diverso. SLH-DSA è una firma più pesante ma costruita solo su funzioni hash, tenuta come rete di sicurezza nel caso gli schemi su reticolo mostrassero una crepa. Sul sito del NIST i tre documenti sono già pubblici, con le indicazioni per portarli nei prodotti.
Il quadro si è poi ampliato. A marzo 2025 il NIST ha aggiunto HQC, un KEM basato su codici a correzione d’errore, come riserva di ML-KEM. La logica è la diversità matematica: se un domani una debolezza colpisse gli schemi su reticolo, HQC resterebbe in piedi, perché poggia su un problema del tutto diverso.
C’è poi un quarto standard in arrivo, FIPS 206, la firma FN-DSA derivata da Falcon, in bozza pubblica con finalizzazione attesa tra fine 2026 e inizio 2027. FN-DSA produce firme molto compatte, ma richiede aritmetica in virgola mobile per il campionamento, e proprio questo apre problemi implementativi su cui torneremo.
Livelli di sicurezza e dimensioni delle chiavi
Prima di guardare al peso conviene fissare un riferimento, perché non tutti i livelli di sicurezza si equivalgono. Le categorie del NIST corrispondono grosso modo ad AES: il livello 1 vale come AES-128, il livello 3 come AES-192, il livello 5 come AES-256. Sul versante simmetrico l’impatto quantistico è modesto, perché l’algoritmo di Grover dimezza la sicurezza effettiva e si compensa raddoppiando la lunghezza della chiave. È l’asimmetria a dover essere rifatta da capo, ed è lì che si concentra il lavoro.
| Schema | Tipo | Dimensione tipica | Ruolo |
|---|---|---|---|
| ECC-256 (classico) | firma / scambio | ~32-64 byte | riferimento pre-quantum |
| ML-KEM (FIPS 203) | KEM | chiave pubblica 800-1568 B, ciphertext 768-1568 B | scambio chiave primario |
| ML-DSA (FIPS 204) | firma | firma 2.420-4.595 B | firma primaria |
| FN-DSA (FIPS 206, bozza) | firma | firma 666-1.280 B | compatta, virgola mobile |
| SLH-DSA (FIPS 205) | firma | firma 7.856-49.856 B | backup robusto su hash |
Il vero problema per l’hardware: il peso
Cosa succede quando questi algoritmi lasciano il data center e finiscono su un microcontrollore? È qui che la tabella smette di essere una curiosità e diventa un problema di progetto. Una chiave ECC sta in poche decine di byte, ed è il metro di paragone. Gli equivalenti post-quantum stanno su un altro ordine di grandezza: chiave pubblica ML-KEM da 800 a oltre 1500 byte, firma ML-DSA oltre 2400, firma SLH-DSA fino a quasi 50 KB.
Su un server nessuno se ne accorge. Su un microcontrollore con risorse limitate quei numeri cambiano tutto, perché premono insieme su RAM, flash e banda di trasmissione. Le misure su piattaforme embedded parlano di un fabbisogno di memoria da due a cinque volte superiore e di un consumo più alto dal 15 al 50 per cento rispetto agli equivalenti classici. E non è solo questione di spazio occupato, ma anche di tempo speso. Un incapsulamento ML-KEM che un processore desktop esegue decine di migliaia di volte al secondo, su un core ARM Cortex-A53 scende a circa centocinquanta esecuzioni. Su microcontrollori più piccoli si arriva al paradosso vero e proprio: l’implementazione di riferimento di ML-DSA non parte nemmeno, perché la RAM non basta.
Per orientarsi tra questi limiti esistono riferimenti condivisi. Non è un’ottimizzazione marginale, è la barriera che decide se un algoritmo, su un dato dispositivo, si può usare oppure no.
La NTT e il nodo della virgola mobile
Il costo, in realtà, si concentra tutto in un punto. Il collo di bottiglia degli schemi su reticolo, ML-KEM e ML-DSA, è la moltiplicazione polinomiale, realizzata tramite la trasformata teorica dei numeri, la NTT. È lì che si consuma la maggior parte dei cicli, ed è lì che bisogna intervenire per rendere gli algoritmi praticabili. Chi progetta firmware lo scopre presto, perché senza un’accelerazione della NTT le prestazioni su MCU restano marginali.
Il caso di Falcon, il futuro FN-DSA, lo mostra bene. Le sue firme sono compatte, ma il campionamento gaussiano richiede aritmetica in virgola mobile, e una FPU non è scontata su un microcontrollore. C’è un problema in più, perché le implementazioni floating-point si sono rivelate delicate sul fronte dei canali laterali, tanto che la comunità discute una variante a virgola fissa per renderle affidabili. La lezione, per chi progetta hardware, è che la compattezza sulla carta non basta: conta come l’algoritmo si comporta sul silicio reale.
La risposta è nel silicio: acceleratori e secure element
Il fatto nuovo del 2026 è che questa barriera ha cominciato a cadere, e a farla cadere è l’hardware. Al CES di gennaio, e nei mesi successivi, diversi produttori di semiconduttori hanno presentato i primi chip commerciali con un acceleratore PQC integrato. È il segnale che la migrazione ha lasciato la carta ed è entrata nel prodotto.
L’architettura che si va affermando è sempre la stessa. Un motore hardware per gli schemi su reticolo, ML-KEM e ML-DSA, viene affiancato a un secure element e protetto contro side-channel e fault injection.
I contesti coperti sono già diversi tra loro: secure element mobili a die singolo, dove l’acceleratore convive con NFC ed eSIM, microcontrollori industriali che portano la conformità CNSA 2.0 alla protezione del firmware, MPU per l’edge con ML-KEM e ML-DSA a bordo. Al di là dei singoli prodotti, ciò che conta è la direzione: l’accelerazione post-quantum sta diventando una funzione di base del silicio di sicurezza, non più un tema da laboratorio.
Anche il mondo open si sta muovendo nella stessa direzione. Il progetto OpenTitan, (Open Source silicon root of trust – RoT) con la sua libreria crittografica, ha aggiunto implementazioni accelerate in hardware dei tre schemi standardizzati, con SLH-DSA usato fin dai primi campioni per un secure boot post-quantum. La conseguenza pratica è che, per la prima volta, portare crittografia quantum-safe su un dispositivo di edge computing vincolato non obbliga più a sacrificare prestazioni o autonomia.
Come lavorano gli acceleratori
Il guadagno nasce da due scelte che ricorrono in quasi tutti questi progetti. La prima è il riuso dell’hardware esistente: i tre schemi NIST si appoggiano alla famiglia di funzioni hash SHA-3, quindi un acceleratore SHA-3 già presente sul chip fa gran parte del lavoro anche per la PQC. La seconda sono le unità aritmetiche dedicate alla moltiplicazione polinomiale, progettate per eseguire in parallelo quelle operazioni della NTT che il software fatica a sostenere.
Dove vive la chiave privata
Un acceleratore veloce, però, non basta se la chiave è custodita male. Su un dispositivo esposto in campo tenere la chiave privata in flash non è raccomandato. La scelta solida è affidarla a un secure element o a un TPM, che la conservi e la usi senza mai esporla all’esterno.
Non a caso i chip di questa generazione integrano l’acceleratore PQC dentro il secure element, in un’architettura embedded industriale in cui la parte crittografica resta isolata dal resto del sistema. Progettare un device quantum-safe vuol dire decidere fin dall’inizio dove le chiavi nascono, dove vivono e come si rinnovano.
I side-channel non spariscono, si spostano nel silicio
Spostare la crittografia in hardware non elimina gli attacchi a canale laterale: li sposta di livello. Gli schemi su reticolo restano vulnerabili all’analisi di potenza e di temporizzazione proprio nei punti critici, la NTT e il campionamento, dove il consumo del chip può tradire informazioni sulla chiave. È un tema che tocca direttamente chi progetta il silicio e il firmware. Sono le stesse logiche della sicurezza dei sistemi di controllo secondo IEC 62443, calate però sul singolo componente.
Le contromisure hanno un costo, ed è qui che sta il lavoro ingegneristico. Il masking, che scompone i valori sensibili in quote casuali, protegge ma occupa spazio. Da qui la risposta pragmatica emersa nel 2026: il masking parziale. Solo le operazioni più esposte vengono protette con tecniche booleane, mentre le altre si affidano allo shuffling, in un compromesso tra sicurezza e area occupata su cui la ricerca è ancora al lavoro.
A questo si aggiungono circuiti di generazione di rumore e logica bilanciata, che mascherano l’attività crittografica, e la protezione contro il fault injection che i nuovi chip ormai dichiarano esplicitamente.
A rendere il quadro maturo c’è anche un ecosistema di verifica. Gli strumenti di test per la sicurezza embedded si sono estesi alla PQC, e oggi permettono di collaudare un’implementazione di Dilithium proprio contro gli attacchi a canale laterale. Per un progettista è un cambio di passo: la resistenza ai side-channel non è più una best-practice, ma obbligatoria.
Progettare per il cambio: agilità crittografica e ibrido
Resta un’ultima considerazione, forse la più importante per chi disegna un prodotto destinato a durare. Gli standard non sono ancora tutti fermi, FIPS 206 e HQC devono completare il percorso, e la storia recente invita alla prudenza. SIKE, uno degli schemi candidati basati su isogenie, è stato demolito nel 2022 da un attacco eseguibile su un normale computer classico, dopo anni di analisi che lo davano per solido. Nessuno può escludere che a un altro algoritmo, un domani, capiti lo stesso.
La conseguenza pratica è che l’agilità crittografica va trattata come un requisito. Un dispositivo dovrebbe poter sostituire l’algoritmo senza rifare l’hardware, con una crittografia aggiornabile via firmware e un’astrazione che separi il protocollo dallo schema sottostante.
Nella transizione questo si traduce nell’approccio ibrido, che affianca un algoritmo classico e uno post-quantum nella stessa negoziazione.
Conclusioni
La crittografia post-quantum ha smesso di essere un argomento da convegno per diventare una voce concreta del progetto hardware, con un impatto misurabile su memoria, energia, area di silicio e resistenza ai canali laterali. A dettare i tempi non è l’arrivo del computer quantistico, che nel 2026 ancora non c’è, ma la logica harvest-now-decrypt-later e le scadenze del 2030 e del 2035. La buona notizia è che, per la prima volta, il silicio rende tutto questo praticabile anche sui dispositivi più piccoli, con acceleratori dedicati, secure element e strumenti per verificare i canali laterali. Chi comincia adesso a mettere a budget la crittografia post-quantistica si troverà avvantaggiato quando quelle scadenze saranno arrivate. E metterla a budget significa considerarla per intero: il peso degli algoritmi, la custodia delle chiavi, la libertà di sostituirle quando servirà. Per un prodotto che nasce oggi con vent’anni di vita davanti, quel momento è più vicino di quanto sembri.
Domande frequenti
Che cos’è la crittografia post-quantum?
È l’insieme degli algoritmi crittografici progettati per resistere agli attacchi di un computer quantistico, pur girando su computer classici. Si basa su problemi matematici che né i computer tradizionali né quelli quantistici sanno risolvere efficientemente, come i reticoli o i codici a correzione d’errore. Il NIST ne ha standardizzati i primi nel 2024 con le pubblicazioni FIPS 203, 204 e 205.
Che differenza c’è tra crittografia post-quantum e crittografia quantistica?
Sono due cose diverse che vengono spesso confuse. La crittografia post-quantum, o post-quantistica, è fatta di algoritmi matematici eseguiti su hardware convenzionale, e sostituisce RSA ed ECC. La crittografia quantistica, come la QKD, sfrutta invece le proprietà fisiche dei fotoni per distribuire chiavi e richiede hardware ottico dedicato. Per proteggere un device embedded si usa la prima.
Quali sono gli algoritmi post-quantum standardizzati dal NIST?
I tre finalizzati nel 2024 sono ML-KEM (FIPS 203) per lo scambio di chiave, ML-DSA (FIPS 204) per le firme e SLH-DSA (FIPS 205) come firma di backup basata su hash. A marzo 2025 si è aggiunto HQC come KEM di riserva su base diversa, e nel 2026 è atteso FN-DSA (FIPS 206), la firma compatta derivata da Falcon.
Perché migrare adesso se il computer quantistico non esiste ancora?
Per via degli attacchi harvest-now-decrypt-later. Un avversario può archiviare oggi il traffico cifrato e decifrarlo quando la macchina sarà disponibile. Un dato che deve restare segreto per molti anni, o un dispositivo con un ciclo di vita lungo, è quindi già esposto adesso. Va protetto con algoritmi quantum-safe prima che la minaccia diventi operativa.
