Computer quantistici: cosa cambia davvero per i tuoi dati

I computer quantistici non sono un PC più veloce e non decifreranno domani mattina tutte le tue email. Possono però rendere inutili gli algoritmi che oggi proteggono le connessioni HTTPS, le VPN e le firme digitali. In questo articolo separi i fatti dall'entusiasmo e capisci che cosa significa per i dati della tua azienda.

Se ti occupi di un'impresa o di un reparto IT, ti serve una risposta semplice: che cosa devo fare, e quando? La risposta breve è che non devi comprare nulla di quantistico. Devi sapere dove usi la crittografia, quanto a lungo devono restare riservati i tuoi dati e quali fornitori stanno già aggiornando i loro prodotti.

Bit e qubit: la differenza senza formule

Un computer classico lavora con i bit. Ogni bit vale 0 oppure 1, sempre, in modo netto. Anche i calcoli più complessi del tuo gestionale sono sequenze di operazioni su bit.

Un qubit è diverso. Prima di essere misurato, il suo stato è descritto da due numeri chiamati ampiezze: una legata allo 0 e una legata all'1. Quando lo misuri ottieni sempre 0 oppure 1. Le ampiezze stabiliscono la probabilità di ciascun esito.

Fin qui ti potrebbe sembrare un dado truccato. La differenza è che le ampiezze si comportano come onde: possono sommarsi e rinforzarsi, oppure annullarsi a vicenda. Questo fenomeno si chiama interferenza. Un algoritmo quantistico ben progettato organizza i passaggi in modo che le strade verso le risposte sbagliate si cancellino e quelle verso la risposta giusta si rinforzino.

C'è poi la crescita delle combinazioni, che ti aiuta a capire la potenza in gioco. Con 50 qubit lo stato coinvolge più di un milione di miliardi di ampiezze. Per questo simulare certi sistemi quantistici con un computer classico diventa presto impossibile.

Sovrapposizione ed entanglement senza miti

La sovrapposizione viene spesso raccontata così: "il qubit è 0 e 1 nello stesso momento, quindi prova tutte le soluzioni in parallelo". È una semplificazione che ti porta fuori strada. Alla fine del calcolo misuri e ottieni un solo risultato. Il vantaggio non nasce dal provare tutto, ma dall'interferenza guidata, e funziona solo per problemi con una struttura matematica adatta.

L'entanglement lega due o più qubit in un unico stato. Misurandoli trovi risultati correlati in un modo che nessun sistema classico riproduce, anche a grande distanza. Qui nasce il secondo mito: l'entanglement non trasmette informazione istantaneamente. Ogni osservatore, preso da solo, vede risultati casuali. Per confrontarli e ricavarne qualcosa di utile serve comunque un canale normale, che non supera la velocità della luce.

Se tu leggi titoli su "comunicazioni istantanee" o su computer che "risolvono in minuti qualunque problema da millenni", ora sai come pesarli. Il vantaggio quantistico riguarda classi specifiche di problemi, non il calcolo in generale.

A cosa servono davvero i computer quantistici

Gli ambiti più promettenti sono quelli in cui la natura stessa è quantistica. Simulare molecole e materiali, per esempio, potrebbe aiutare la ricerca su farmaci, catalizzatori e batterie. Se lavori in farmaceutica, chimica o energia, è il fronte che ti conviene seguire. Qui un computer quantistico affidabile parlerebbe la stessa lingua del problema.

Su ottimizzazione e logistica, come i percorsi di consegna o la pianificazione della produzione, l'entusiasmo supera le prove. La ricerca è attiva, ma un vantaggio generale e dimostrato rispetto ai migliori metodi classici non c'è. Se un fornitore ti propone oggi "ottimizzazione quantistica" per il magazzino, chiedigli un confronto misurato con un buon algoritmo classico.

Lo stato reale dell'hardware ti aiuta a mantenere le proporzioni. Nel dicembre 2024 Google ha presentato Willow, un chip da 105 qubit, con un risultato importante sulla correzione degli errori. La stessa Google scrive che il calcolo dimostrativo usato come banco di prova non ha ancora applicazioni commerciali pratiche.

Algoritmo di Shor: dove sta il rischio per la crittografia

Nel 1994 Peter Shor ha descritto un algoritmo quantistico che risolve in modo efficiente due problemi: la fattorizzazione di grandi numeri interi e il logaritmo discreto. Attenzione a un errore frequente: Shor non "trova numeri primi giganti". Prende un numero enorme, ottenuto moltiplicando due primi, e ne ricava i fattori.

Su questa difficoltà si basa RSA. Sul logaritmo discreto si basano Diffie-Hellman e la crittografia a curve ellittiche (ECC: ECDH ed ECDSA). Sono gli algoritmi a chiave pubblica che tu usi ogni giorno senza vederli: certificati dei siti, scambio di chiavi nelle connessioni TLS, VPN, firme di documenti e aggiornamenti software.

Per la crittografia simmetrica come AES e per le funzioni di hash puoi stare più tranquillo: sono molto meno esposte. Il NIST, nel rapporto IR 8547 sulla transizione, scrive di non prevedere l'abbandono degli standard simmetrici in questa migrazione. L'Agenzia per la Cybersicurezza Nazionale indica per questi algoritmi la strada di chiavi e impronte più lunghe.

Quanto manca? Nessuno lo sa con certezza, e diffida di chi ti dà una data. Una stima del 2025 di Craig Gidney (Google Quantum AI) indica che una chiave RSA da 2048 bit potrebbe essere fattorizzata in meno di una settimana con meno di un milione di qubit "rumorosi". La stima presuppone un tasso di errore dello 0,1% per operazione. Confronta quel milione con i 105 qubit di Willow: la distanza è grande, ma le stime scendono da anni.

Harvest now, decrypt later: perché il problema è già oggi

Il rischio più concreto non riguarda il futuro, riguarda i dati che viaggiano adesso. Si chiama harvest now, decrypt later: raccogli oggi, decifri domani. Chi intercetta e conserva oggi il tuo traffico cifrato potrebbe leggerlo quando avrà un computer quantistico adatto.

Foto: 11287688 · Pixabay · Licenza dei contenuti Pixabay

Se ti serve una fonte istituzionale, il NIST lo dice in modo esplicito nel rapporto IR 8547 finale del 27 ottobre 2026: questa minaccia rende necessario agire subito, soprattutto per i dati sensibili a lungo termine, come i segreti di Stato o le cartelle cliniche.

Applicalo alla tua realtà con una domanda pratica. Per quanti anni questi dati devono restare riservati? Progetti industriali, brevetti in preparazione, dati sanitari, contratti pluriennali e archivi legali hanno una vita lunga. La lista dei prezzi della settimana prossima no. Se la vita utile dei dati supera il tempo che ti resta prima di un computer quantistico capace, sei già esposto.

Crittografia post-quantistica: gli standard già pubblicati

La risposta non è un computer quantistico difensivo. È la crittografia post-quantistica (PQC): algoritmi che girano sui computer normali, compreso il tuo, e si basano su problemi matematici che, per quanto sappiamo, resistono anche agli attacchi quantistici.

Il 13 agosto 2024 il NIST ha pubblicato i primi tre standard definitivi:

• FIPS 203 (ML-KEM), derivato da CRYSTALS-Kyber: serve a stabilire le chiavi di cifratura tra due parti.
• FIPS 204 (ML-DSA), derivato da CRYSTALS-Dilithium: lo standard principale per le firme digitali.
• FIPS 205 (SLH-DSA), derivato da SPHINCS+: un secondo schema di firma basato su un approccio matematico diverso, utile come riserva.

Nello stesso annuncio il NIST invita gli amministratori di sistema, quindi anche il tuo reparto IT, a iniziare la transizione il prima possibile, senza attendere altri standard.

La buona notizia per te è che una parte del lavoro è già in corso. Dalla versione 131 di Chrome, Google usa per TLS uno scambio di chiavi ibrido, ML-KEM768 insieme a X25519. Ibrido significa che le due tecniche lavorano insieme: per rompere la chiave bisogna superarle entrambe. La libreria OpenSSL 3.5, rilasciata l'8 aprile 2025, supporta ML-KEM, ML-DSA e SLH-DSA e propone di default lo scambio ibrido X25519MLKEM768.

Il punto per te è che i tuoi sistemi non ne beneficiano automaticamente. Server vecchi, apparati di rete, VPN e software gestionali che non aggiorni da anni restano sulla crittografia classica.

Le scadenze indicate da NIST, UE, NCSC e ACN

Non esiste una data certa per il "Q-Day", il giorno in cui un computer quantistico romperà RSA. Esistono però scadenze precise fissate dalle istituzioni. Per te sono il riferimento più utile per programmare budget e lavori.

• NIST (Stati Uniti): il rapporto IR 8547 stabilisce che la crittografia a chiave pubblica vulnerabile sarà deprecata dopo il 2030 e non più ammessa negli standard NIST dopo il 2035.
• Unione europea: la Commissione ha presentato il 23 giugno 2025 una tabella di marcia coordinata. Tutti gli Stati membri dovrebbero avviare la transizione entro la fine del 2026; le infrastrutture critiche dovrebbero passare alla PQC entro la fine del 2030.
• NCSC (Regno Unito): le linee guida sui tempi di migrazione chiedono di completare inventario e piano entro il 2028, le migrazioni prioritarie entro il 2031 e quella completa entro il 2035.
• ACN (Italia): dal luglio 2024 l'Agenzia pubblica un documento informativo sulla crittografia post-quantum e quantistica, dedicato alla preparazione alla minaccia quantistica.

Se la tua organizzazione rientra nella NIS2, c'è un collegamento diretto. L'articolo 21 della direttiva chiede, tra le misure di gestione del rischio, "politiche e procedure relative all'uso della crittografia". Una politica crittografica che ignora la transizione post-quantistica è già incompleta. Trovi il quadro degli obblighi nella pagina sul supporto per NIS2 e GDPR.

Come fare: il piano passo per passo

Non ti serve un progetto enorme per cominciare. Ti serve un ordine.

1. Fai l'inventario della crittografia. Elenca dove usi RSA, ECC e Diffie-Hellman: certificati dei siti, VPN, posta, firme digitali, accessi SSH, backup cifrati, applicazioni interne, dispositivi IoT. Includi chi gestisce ogni componente.
2. Classifica i dati per durata. Per ogni flusso indica per quanti anni deve restare riservato. Parti da ciò che vive più a lungo: è il bersaglio naturale dell'harvest now, decrypt later.
3. Interroga i fornitori. Chiedi per iscritto se e quando supporteranno ML-KEM e ML-DSA, e con quali versioni. Un fornitore senza risposta è un'informazione utile anche per il prossimo rinnovo.
4. Lavora sulla crypto-agility. Significa poter cambiare algoritmo con una modifica di configurazione, non riscrivendo un'applicazione. Evita algoritmi scritti in modo rigido nel codice e centralizza la gestione di chiavi e certificati. Nel software sviluppato su misura, una revisione del codice fa emergere queste scelte nascoste.
5. Attiva l'ibrido dove è già disponibile. Server web e proxy aggiornati possono negoziare X25519MLKEM768 con i browser moderni. Provalo prima in un ambiente di test, controllando compatibilità e prestazioni.
6. Pianifica firme e PKI. Certificati, firme del software e documenti firmati hanno tempi più lunghi. Inseriscili nella roadmap pluriennale e collega le scadenze ai rinnovi naturali dell'hardware.
7. Rivedi la politica crittografica ogni anno. Standard e prodotti cambiano in fretta. Una revisione annuale ti evita di scoprire il problema durante un audit.

Per capire come funzionano certificati e connessioni cifrate prima di metterci mano, ti può servire il capitolo su crittografia, TLS e certificati del percorso di ethical hacking.

Checklist per titolari e responsabili IT

• Hai un elenco aggiornato dei sistemi che usano RSA, ECC o Diffie-Hellman.
• Sai quali dati devono restare riservati oltre il 2030.
• Hai chiesto ai fornitori principali la loro roadmap post-quantistica.
• I server esposti su Internet supportano TLS 1.3, prerequisito per lo scambio ibrido.
• Esiste una persona responsabile della politica crittografica.
• I contratti nuovi includono un requisito di aggiornabilità degli algoritmi.
• Hai un budget, anche piccolo, per il primo inventario.

Errori da evitare

• Aspettare il Q-Day. Quando un computer quantistico capace sarà annunciato, i dati raccolti in precedenza saranno già leggibili.
• Comprare "soluzioni quantum-safe" a scatola chiusa. Chiedi sempre quali standard implementano: FIPS 203, 204 e 205 sono i riferimenti verificabili.
• Confondere crittografia quantistica e post-quantistica. La prima usa fenomeni quantistici e hardware dedicato; la seconda è software che gira sui sistemi attuali. Per un'azienda la seconda è quasi sempre la strada.
• Cambiare tutto in una volta. Una migrazione senza test può interrompere servizi e integrazioni. Procedi per priorità.
• Dimenticare i dispositivi a lunga vita. Apparati industriali, telecamere e sensori restano in servizio per anni e spesso non si aggiornano facilmente.

Consigli pratici per una PMI

Se gestisci una piccola o media impresa, il tuo lavoro principale è scegliere bene e chiedere le cose giuste. Gran parte della crittografia che usi è dentro prodotti di terzi: browser, sistemi operativi, servizi cloud, firewall, gestionali.

Tieni aggiornati i tuoi sistemi e apparati: è la via più economica per ricevere nel tuo ambiente il supporto post-quantistico quando arriva. Inserisci nei capitolati una clausola sulla crypto-agility e sul supporto agli standard NIST. Dai priorità ai dati a lunga vita: progetti, dati sanitari, informazioni legali.

Se non sai da dove partire, un controllo esterno ti dà la fotografia iniziale. Il Cyber Health Check serve proprio a capire quali sistemi sono esposti e quali interventi hanno la priorità. Per una visione più orientata alla tabella di marcia trovi anche l'articolo sulla crittografia post-quantistica per le aziende.

Domande frequenti

I computer quantistici possono già rompere la crittografia RSA?

No, non esiste oggi un computer quantistico pubblicamente noto capace di farlo. La stima pubblica più citata parla di un numero di qubit vicino al milione, con errori molto bassi, mentre i chip annunciati finora sono lontani da quelle dimensioni. Il rischio per te riguarda soprattutto i dati raccolti oggi e decifrati in futuro.

Devo cambiare subito tutti i miei sistemi?

No. Devi iniziare dall'inventario e dalle priorità. Le istituzioni indicano finestre fino al 2030 e al 2035, ma la migrazione richiede anni. Chi comincia adesso lavora con calma; chi aspetta lavorerà di corsa.

AES e le password sono a rischio?

La crittografia simmetrica come AES è molto meno esposta e il NIST non prevede di sostituirla in questa transizione. Le password sono un problema diverso: restano più vulnerabili a furti, phishing e riuso che a un computer quantistico.

La crittografia post-quantistica rallenta i sistemi?

Le chiavi e le firme post-quantistiche sono più grandi di quelle attuali, quindi aumentano i dati scambiati. Sui server e PC moderni l'impatto è di solito contenuto, ma ti conviene misurarlo. Su dispositivi piccoli o reti lente conviene fare prove prima di estendere la configurazione.

Le mie considerazioni

Da ethical hacker guardo i computer quantistici con due occhi. Il primo vede una tecnologia scientifica seria, con progressi veri sulla correzione degli errori. Il secondo vede molto marketing, che mescola fisica, promesse e paura. Il mio lavoro è aiutarti a tenere separate le due cose.

Il rischio che considero più sottovalutato non è un attacco spettacolare futuro. È la crittografia che nessuno ricorda di avere: la VPN configurata anni fa, il certificato generato a mano, il dispositivo industriale mai aggiornato. Nelle verifiche di sicurezza i problemi nascono quasi sempre da ciò che manca nell'inventario, e la transizione post-quantistica non farà eccezione.

Vedo anche un'opportunità. L'inventario crittografico che ti serve per la PQC migliora subito la tua sicurezza: trovi certificati scaduti, protocolli vecchi, chiavi deboli e responsabilità poco chiare. È lavoro utile oggi, anche se il computer quantistico capace arrivasse più tardi delle stime.

Al tuo posto farei tre cose entro il prossimo trimestre: un inventario dei punti in cui usi la crittografia a chiave pubblica, una domanda scritta ai fornitori principali e una classificazione dei dati per durata. Con questi tre documenti puoi decidere con calma, senza inseguire le scadenze. Se vuoi partire con una fotografia chiara dei tuoi sistemi, richiedi un Cyber Health Check: costruiamo insieme l'inventario e le priorità.