Riepilogo Tecnico: Implementazione di una Crittografia End-to-End Ibrida Post-Quantum

Definizione del Problema

La moderna comunicazione digitale si basa su sistemi di crittografia a chiave pubblica (RSA, DSA, ECC) la cui sicurezza dipende dall'intrattenibilità computazionale dei problemi di fattorizzazione degli interi e del logaritmo discreto. L'emergere del calcolo quantistico, specificamente l'algoritmo di Shor, pone una minaccia fondamentale a questi sistemi, rendendoli potenzialmente obsoleti. Sebbene non esistano ancora computer quantistici a larga scala e tolleranti ai guasti, il modello di minaccia "raccogli ora, decripta dopo" (harvest now, decrypt later) suggerisce che gli avversari stiano già raccogliendo dati criptati per decriptarli una volta maturate le capacità quantistiche. Ciò rende necessaria una transizione urgente verso la Crittografia Post-Quantum (PQC).

Tuttavia, l'integrazione della PQC nei sistemi di comunicazione sicuri esistenti presenta sfide significative. Gli algoritmi standardizzati dal NIST come CRYSTALS-Kyber (un Meccanismo di Incapsulamento delle Chiavi basato su reticoli) sono altamente efficaci per lo scambio di chiavi, ma sono ordini di grandezza più lenti degli algoritmi simmetrici quando elaborano dati massivi. Di conseguenza, l'uso di Kyber da solo per criptare grandi messaggi o flussi di dati in tempo reale è impraticabile. Inoltre, gli attuali sistemi di Crittografia End-to-End (E2EE) (ad esempio, Signal, WhatsApp) si affidano a primitive classiche che sono vulnerabili agli attacchi quantistici, richiedendo una riprogettazione che bilanci la resistenza quantistica con l'efficienza richiesta per la messaggistica pratica.

Metodologia

Gli autori propongono e implementano un sistema E2EE ibrido che combina la resistenza quantistica della PQC con l'efficienza della crittografia classica simmetrica. Il sistema opera sotto un modello zero-trust, in cui un server relay facilita la comunicazione ma rimane criptograficamente cieco, non avendo accesso ai messaggi in chiaro o alle chiavi crittografiche. Tutte le operazioni crittografiche avvengono esclusivamente presso gli endpoint dei client.

Componenti Core

1. Scambio di Chiavi (Kyber): Il sistema impiega CRYSTALS-Kyber-768, un KEM basato su reticoli standardizzato dal NIST. Viene utilizzato esclusivamente per stabilire un segreto condiviso tra le parti comunicanti (Alice e Bob). La sicurezza si basa sul problema del Learning With Errors modulare (MLWE), che si ritiene sia difficile sia per i computer classici che per quelli quantistici.
2. Derivazione della Chiave (SHA-256): Il segreto condiviso grezzo generato da Kyber viene elaborato attraverso la funzione di hash SHA-256. Questo passaggio produce una chiave di sessione deterministica, ad alta entropia e di 256 bit, adatta alla crittografia simmetrica, garantendo l'uniformità e prevenendo potenziali problemi di implementazione con gli output grezzi del KEM.
3. Crittografia Bulk (AES-256-GCM): La chiave di sessione derivata viene utilizzata con AES-256-GCM (Galois/Counter Mode) per la crittografia effettiva dei payload dei messaggi. Ciò fornisce una crittografia simmetrica autenticata, garantendo sia la riservatezza che l'integrità dei dati.
4. Architettura: Il sistema utilizza un server relay (costruito con Flask e WebSocket) che inoltra i ciphertext e le chiavi incapsulate senza decriptazione. L'implementazione utilizza librerie standard: pq-crystals-kyber (o liboqs) per le operazioni PQC e PyCryptodome per AES e SHA-256.

Flusso di Lavoro

1. Generazione delle Chiavi: Gli utenti generano coppie di chiavi pubblica/privata Kyber localmente.
2. Incapsulamento: Il mittente (Alice) utilizza la chiave pubblica del destinatario (Bob) per incapsulare un segreto condiviso, generando un ciphertext e il segreto.
3. Derivazione e Crittografia: Alice esegue l'hashing del segreto condiviso tramite SHA-256 per derivare una chiave di sessione AES, quindi cripta il messaggio in chiaro utilizzando AES-256-GCM.
4. Trasmissione: Alice invia il ciphertext AES e il ciphertext di incapsulamento Kyber al server relay.
5. Decapsulamento e Decriptazione: Bob riceve i dati, utilizza la sua chiave privata per decapsulare il segreto condiviso, deriva la stessa chiave di sessione AES tramite SHA-256 e decripta il messaggio.

Contributi Chiave

• Design dell'Architettura Ibrida: Il documento presenta un design architettonico completo che integra CRYSTALS-Kyber-768, AES-256-GCM e SHA-256 in un sistema E2EE funzionale che aderisce a un modello di relay zero-trust.
• Implementazione Pratica: A differenza dei framework puramente teorici, gli autori forniscono un'implementazione completa e open-source utilizzando librerie crittografiche standard (pq-crystals-kyber, PyCryptodome, Flask). Ciò facilita la riproducibilità e l'audit di sicurezza indipendente.
• Caratterizzazione delle Prestazioni: Lo studio conduce un'analisi delle prestazioni completa su hardware comune (Intel Core i5, 8GB RAM), misurando i tempi di generazione delle chiavi, incapsulamento, decapsulamento e crittografia/decriptazione su varie dimensioni di messaggi.
• Analisi della Sicurezza: Il lavoro stabilisce la riservatezza sotto assunzioni standard (sicurezza IND-CCA2 di Kyber, sicurezza IND-CPA di AES-GCM) e discute la forward secrecy attraverso la generazione di chiavi effimere.

Risultati Sperimentali

L'implementazione è stata testata su hardware standard con Python 3.11. I risultati indicano che l'integrazione della PQC introduce un overhead minimo:

• Latenza: La generazione delle chiavi Kyber richiede circa 2 ms. L'incapsulamento e il decapsulamento richiedono circa 3,0 ms e 3,2 ms, rispettivamente.
• Prestazioni End-to-End: Per i tipici piccoli messaggi, la latenza totale end-to-end rimane sotto i 10 ms.
• Analisi dei Costi: Il sistema presenta due classi di costo:
  • Costi Fissi: Le operazioni Kyber e l'hashing SHA-256 sono costi limitati e contenuti (millisecondi) incorri per sessione.
  • Costi Variabili: La crittografia/decriptazione AES scala linearmente con la dimensione del messaggio. Per i payload di grandi dimensioni, AES diventa il fattore dominante, mentre per i messaggi piccoli, l'overhead di Kyber è più significativo.
• Efficienza: Gli autori concludono che l'overhead fisso della PQC è accettabile per le applicazioni in tempo reale, specialmente quando le chiavi di sessione sono ammortizzate su più messaggi.

Significato e Rivendicazioni

Il documento afferma che la crittografia post-quantum standardizzata dal NIST può essere integrata efficacemente in sistemi di messaggistica pratici senza sacrificare le caratteristiche di prestazione richieste per la comunicazione in tempo reale. Combinando Kyber per uno scambio di chiavi quantum-safe con AES per la crittografia bulk efficiente, il sistema offre protezione sia contro avversari classici che quantistici.

Gli autori sottolineano che il loro lavoro si concentra specificamente sugli aspetti crittografici (scambio di chiavi, crittografia, integrità) piuttosto che sulla protezione dei metadati o sull'autenticazione degli endpoint. Affermano che il loro approccio ibrido colma una lacuna nella letteratura dimostrando un'implementazione pratica a livello applicativo zero-trust che mantiene la forward secrecy e la riservatezza, fornendo un'implementazione di riferimento per le organizzazioni che transitano verso la messaggistica sicura post-quantum. Il lavoro conclude che tale sistema ibrido classico-quantistico è fattibile e pronto per il dispiegamento in contesti di messaggistica sicura e IoT, a condizione che vengano considerate ottimizzazioni future (come l'accelerazione hardware e l'uso di HKDF per la derivazione delle chiavi).