QKD e crittografia post-quantistica: non una scelta, una difesa a strati
Il computer quantistico minaccia la crittografia che protegge banche, Stati e segreti industriali. Le due risposte — distribuzione quantistica delle chiavi e algoritmi post-quantistici — non competono: si completano.
Gran parte della sicurezza digitale poggia su un'ipotesi: che certi problemi matematici siano troppo difficili da risolvere in tempi ragionevoli. Il computer quantistico minaccia di rendere quell'ipotesi falsa. E l'attacco è già in corso, in una forma subdola: "harvest now, decrypt later" — intercettare e archiviare oggi traffico cifrato (finanziario, diplomatico, industriale) per decifrarlo domani, quando una macchina quantistica sufficientemente potente sarà disponibile. I dati con riservatezza decennale vanno protetti ora, non quando la minaccia busserà alla porta.
Due garanzie diverse di sicurezza
Esistono due risposte, ed è cruciale capire che offrono garanzie di natura diversa. La crittografia post-quantistica (PQC) sostituisce gli algoritmi vulnerabili con altri basati su problemi che si ritengono difficili anche per un computer quantistico: è sicurezza computazionale, e funziona oggi sull'infrastruttura esistente. La distribuzione quantistica delle chiavi (QKD) non si affida alla difficoltà di un calcolo, ma a una legge fisica: è sicurezza informatica (information-theoretic), valida anche contro un avversario con potenza di calcolo illimitata.
La fisica che protegge: il no-cloning
Il fondamento della QKD è il teorema di no-cloning (1982): non esiste alcuna operazione che possa copiare uno stato quantistico sconosciuto. Nel protocollo BB84 (Bennett e Brassard, 1984), Alice invia a Bob singoli fotoni codificati in basi diverse; chiunque tenti di intercettarli per copiarli — la spia "Eve" — è costretto a misurarli, e così facendo li perturba, introducendo errori rilevabili. Se il tasso di errore supera una soglia critica (intorno all'11%), il protocollo si interrompe: la chiave non è sicura, e si ricomincia. L'intercettazione, semplicemente, non passa inosservata.
Perché servono entrambe
La QKD ha limiti concreti: la perdita nelle fibre ottiche la confina a poche centinaia di chilometri senza ripetitori quantistici, ancora in sviluppo. La PQC, al contrario, è subito scalabile a reti globali — e nel 2024 il NIST ha standardizzato i primi algoritmi (ML-KEM, ML-DSA, SLH-DSA), basati su reticoli e funzioni hash. La strategia matura non è scegliere l'una o l'altra, ma costruire una difesa a strati: PQC per proteggere subito il traffico di massa, QKD per i segreti di valore altissimo dove la garanzia fisica fa la differenza. E un principio guida tutto: la cripto-agilità, cioè la capacità di cambiare algoritmo in fretta, perché nessuno è garantito per sempre.
Questo articolo riprende temi trattati in «Crittografia Quantistica» (Core Matrix Edizioni).
