In Breve
- Cosa sono i Merkle Tree Certificates?
- I Merkle Tree Certificates sono certificati X.509 che utilizzano un registro pubblico strutturato come un Merkle tree per migliorare la sicurezza e la trasparenza.
- Quando Google prevede di completare la transizione alla crittografia post-quantistica?
- Google prevede di completare la transizione alla crittografia post-quantistica entro il 2029.
- Qual è l'obiettivo delle MTC?
- L'obiettivo delle MTC è garantire la sicurezza digitale, mantenendo i certificati compatti e verificabili pubblicamente.
Google ha anticipato il termine di migrazione verso la crittografia post-quantistica al 2029, pubblicando una roadmap dettagliata che affronta i rischi legati alla sicurezza digitale. Questa mossa è motivata dalla crescente preoccupazione che attori avversari possano raccogliere dati cifrati oggi, per decifrarli in futuro con le capacità dei computer quantistici, in un approccio noto come “harvest now, decrypt later”.
La roadmap di Google è organizzata in tre domini di rischio e comprende milestone specifiche per diversi servizi. Un aspetto chiave di questa transizione è l’introduzione dei Merkle Tree Certificates (MTC), previsti per il 2028. Questi certificati, che si basano sul formato X.509, sostituiscono le tradizionali firme pesanti con una prova di presenza in un registro pubblico di emissione, strutturato come un Merkle tree.
Le MTC consentono ai browser di verificare una breve traccia di impronte digitali, confrontandola con il sommario del registro ricevuto tramite aggiornamenti software. Questo approccio non elimina i certificati X.509 esistenti, ma li affianca, mantenendo i certificati compatti e rendendoli verificabili pubblicamente. Inoltre, le MTC mitigano l’impatto delle firme post-quantistiche sulle prestazioni.
Un altro obiettivo delle MTC è quello di garantire una maggiore trasparenza nella certificazione. Infatti, un certificato sarà considerato valido solo se la sua voce è presente nel registro pubblico. Lo sviluppo delle MTC coinvolge diversi attori del settore, con standard in fase di elaborazione presso l’IETF. Aziende e autorità di certificazione stanno già contribuendo alla ricerca e alcuni operatori hanno espresso impegni pubblici verso questo nuovo formato.
Parallelamente, Google prevede di creare un Quantum-resistant Root Store che supporterà esclusivamente certificati nel formato MTC, evitando l’uso di semplici firme post-quantistiche all’interno dei tradizionali X.509. Per le organizzazioni, la sfida non sarà l’adozione immediata delle MTC, ma piuttosto la capacità di implementare nuovi formati senza la necessità di programmi di ingegneria di lungo termine.
Google raccomanda alle organizzazioni di effettuare un inventario completo dei certificati e degli asset crittografici, automatizzare il ciclo di vita dei certificati e sviluppare una roadmap post-quantistica in collaborazione con le proprie autorità di certificazione. Sebbene il campo sia in continua evoluzione e le MTC potrebbero non rappresentare l’unica soluzione definitiva, chi investe ora in agilità crittografica e gestione automatica dei certificati sarà in una posizione migliore per adattarsi all’evoluzione degli standard futuri.
