In Breve
- Cosa sono i Merkle Tree Certificates?
- I Merkle Tree Certificates sono certificati X.509 che utilizzano un registro pubblico organizzato come un Merkle tree per garantire la sicurezza dei dati.
- Quando Google prevede di completare la migrazione alla crittografia post-quantistica?
- Google prevede di completare la migrazione entro il 2029.
- Qual è l'obiettivo della roadmap di Google?
- L'obiettivo è garantire la sicurezza dei dati in un contesto di minacce crescenti da parte di attori avversari.
Google ha recentemente anticipato il termine della sua migrazione verso la crittografia post-quantistica, fissato per il 2029, e ha presentato una roadmap dettagliata che illustra i passaggi da seguire per garantire la sicurezza dei dati in un contesto di crescente minaccia da parte di attori avversari. Questa iniziativa si inserisce in un panorama in cui i dati cifrati vengono già raccolti con l’intento di essere decifrati in futuro, un fenomeno noto come “harvest now, decrypt later”.
La roadmap di Google è organizzata in tre domini di rischio e include milestone specifiche per diversi servizi. Un aspetto cruciale di questa transizione è l’adozione di algoritmi resistenti ai computer quantistici, come il ML-DSA, che producono chiavi e firme significativamente più grandi. Se distribuiti tramite l’attuale Public Key Infrastructure (PKI), questi algoritmi potrebbero rallentare o compromettere i sistemi e le reti, specialmente in contesti ad alta latenza.
Tra le novità più rilevanti, Google ha annunciato l’introduzione dei Merkle Tree Certificates (MTC), previsti per il 2028. Questi certificati X.509 sostituiranno le tradizionali firme pesanti con una prova di presenza in un registro pubblico di emissione organizzato come un Merkle tree. Questa innovazione permetterà ai browser di verificare una breve traccia di impronte digitali, confrontandola con il sommario del registro ricevuto tramite aggiornamenti software.
È importante sottolineare che i MTC non eliminano i certificati X.509 esistenti, ma li affiancano, mantenendo i certificati compatti e rendendoli verificabili pubblicamente. Questo approccio mira a mitigare l’impatto delle firme post-quantistiche sulle prestazioni, introducendo una maggiore trasparenza nel processo di certificazione. Infatti, un certificato sarà considerato valido solo se la sua voce è presente nel registro pubblico.
Lo sviluppo dei MTC è frutto della collaborazione tra diversi operatori del settore e standard in fase di lavoro presso l’IETF. Tra i partecipanti figurano aziende e autorità di certificazione che hanno già espresso impegni pubblici verso questo nuovo formato. Inoltre, Google prevede di implementare un Quantum-resistant Root Store che supporterà esclusivamente certificati resistenti ai quanti nel formato MTC, piuttosto che come semplici firme post-quantistiche inserite negli X.509 tradizionali.
Per le organizzazioni, l’implicazione pratica non consiste nell’adozione immediata delle MTC, ma nella capacità di implementare nuovi formati senza la necessità di programmi di ingegneria pluriennali. È consigliato effettuare un inventario completo di certificati e asset crittografici, automatizzare il ciclo di vita dei certificati e sviluppare una roadmap post-quantistica fornita dalle proprie autorità di certificazione.
Il campo della crittografia post-quantistica è in continua evoluzione e i MTC potrebbero non rappresentare l’unica soluzione definitiva. Tuttavia, le organizzazioni che investono ora in agilità crittografica, gestione automatica dei certificati e visibilità completa saranno in una posizione migliore per adattarsi all’evoluzione degli standard e garantire la sicurezza dei propri dati nel futuro.
