Il Lemma 3, ovvero come si verifica una rivendicazione straordinaria

 

Tutto parte da un articolo scritto da un crittografo che per qualche giorno ha fatto temere il peggio.

Di Luigi Ricci – Analista e Autore di Vaticano Zero Day

La notizia uscita la settimana scorsa mi ha drizzato le antenne.

Partiamo da cosa c’è in gioco, in parole semplici. Ogni volta che mandiamo un messaggio, facciamo un pagamento o apriamo un sito sicuro, i nostri dati vengono chiusi a chiave da un codice matematico. Quei codici tengono perché certi calcoli sono facili da fare in un verso e quasi impossibili da rifare all’indietro. Il problema è che i computer quantistici, quando saranno abbastanza potenti, sapranno rifare all’indietro proprio quei calcoli, e le serrature di oggi cadranno. Per questo il mondo sta passando a una nuova generazione di codici, detti post-quantistici, costruiti apposta per resistere anche a quelle macchine. La notizia della settimana scorsa dice che forse anche quelle nuove serrature hanno una crepa.

Il 3 agosto un ricercatore di Amazon Web Services deposita un articolo in un archivio scientifico specializzato, quello della IACR, l’associazione internazionale di ricerca crittografica. L’autore è Daniel R. Simon, e non è un nome qualunque: è lo stesso Simon che negli anni Novanta gettò una delle basi da cui sarebbe nato l’algoritmo di Shor, quello che un giorno permetterà ai computer quantistici di scardinare le difese di tipo RSA, cioè buona parte della sicurezza che usiamo adesso.

La sua affermazione pesa. Le serrature post-quantistiche più diffuse, quelle che portano le sigle ML-KEM e ML-DSA, standard ufficiali di crittografia post-quantistica (PQC) pubblicati dal National Institute of Standards and Technology (NIST), poggiano tutte sullo stesso tipo di problema matematico, ritenuto durissimo da risolvere. Simon sostiene di aver trovato il modo di risolverlo in fretta con un computer quantistico, il che significa, sul piano teorico, aver dimostrato che la serratura non è inviolabile. Se avesse ragione, una parte importante di quelle difese finirebbe sotto esame e sorgerebbe un problema grande come una montagna.

Nel giro di poche ore il segnale è diventato titolo: la crittografia post-quantistica potrebbe essere a rischio. Ed è qui che conviene rallentare.

Il documento non descrive un attacco a una serratura reale, non dice quanta potenza servirebbe per metterlo in pratica, e diverse delle dimostrazioni su cui si regge sono solo abbozzate, con un passaggio finale che rimanda a conversazioni private mai pubblicate. Sono cose scritte nero su bianco nel testo, per chi lo apre. In sostanza Simon dice di aver tolto di mezzo un ostacolo che negli attacchi precedenti richiedeva una specie di aiutante magico, una scatola che dà sempre la risposta giusta ma che nella realtà non esiste. Se il ragionamento reggesse, sarebbe enorme. Tutto il punto è lì: regge?

La parte più interessante è come la comunità ha reagito, e in quanto tempo. Un gruppo di esperti si è messo a rifare i conti in pubblico, su una chat aperta dedicata proprio a questo tipo di verifiche. Nel giro di pochi giorni sono venuti fuori due punti deboli veri nella dimostrazione, non passaggi scritti di fretta ma buchi di sostanza.

Daniel Apon, che di crittografia si occupa per l’azienda Anduril ed è stato il controllore più attivo, ha pubblicato una risposta intitolata The Search for Simon in cui mostra che alla dimostrazione manca un pezzo, e che non è un pezzo che si possa rattoppare. La sua conclusione è netta: non crede che il metodo funzioni, ritiene sbagliato uno dei passaggi chiave, quello che gli addetti chiamano Lemma 3, e dopo molto lavoro non vede come rimettere in piedi il resto.

Simon, va detto a suo onore, ammette la lacuna e che ci sta ancora lavorando. Nessuno ha barato, ed è proprio così che la scienza dovrebbe funzionare: un’affermazione forte, messa in chiaro davanti a tutti, e controllata in pochi giorni da chi ne ha le competenze.

C’è poi un dettaglio che quasi nessun titolo ha riportato, e che aiuta a capire la posta in gioco. Un secondo studio, questo già passato al vaglio di altri esperti e accettato a un convegno importante del settore, ha dimostrato una cosa solida: il collegamento matematico tra il problema su cui poggiano le nuove serrature e il problema che Simon voleva risolvere esiste davvero. Il ponte, insomma, c’è. Quello che al momento non regge è la strada che Simon proponeva per attraversarlo. Attenzione, non significa che ML-KEM e ML-DSA siano già aggirabili. Significa che poggiano su una difficoltà creduta, non dimostrata, e quindi un margine di rischio, teorico e residuo, esiste. Come esiste, del resto, per le difese che usiamo tutti i giorni.

Per chi deve prendere decisioni, e non fare il tifo, la conclusione pratica è noiosa e non cambia. Il passaggio ai nuovi codici va fatto lo stesso, e va fatto bene, cioè costruendo i sistemi in modo da poter cambiare la serratura senza dover rifare tutta la casa. Non a caso Cloudflare, Google e Microsoft hanno già fissato il 2029, non perché sappiano come andrà a finire, ma proprio perché non lo sanno. Prepararsi a cambiare in fretta non è una scommessa su una serratura sola, è un’assicurazione contro l’imprevisto.

Un’ultima cosa, e la dico da europeo prima che da italiano. In questa vicenda si fronteggiano un ricercatore di AWS e un verificatore di Anduril, lo standard che tutti seguiranno lo ha fissato un’agenzia federale americana, e le scadenze che muovono davvero il mercato le hanno decise quattro grandi aziende americane, spesso in anticipo sui loro stessi governi. L’Europa, in tutto questo, non è a corto di talento: la matematica di queste serrature l’hanno scritta i suoi ricercatori, e il contributo più solido dell’intera storia, l’unico già passato per revisione, porta la firma di Télécom Paris. Quello che ci manca non è la testa, è la presenza nella stanza dove si decide il ritmo.

E quando l’Europa prova a organizzarsi, la penna la tengono in tre, Francia, Germania e Paesi Bassi. L’Italia, ancora una volta, non è al tavolo. C’è nelle firme, manca nella regia. Sono problemi che ci riguardano da vicino, la sicurezza dei nostri dati, delle nostre banche, delle nostre infrastrutture, e continuiamo a lasciarli scrivere ad altri, per poi limitarci a recepirli.