💻 computer science

On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks

Questo articolo analizza la fattibilità pratica degli attacchi "raccogli ora, decifra dopo" come problema economico, dimostrando che, poiché l'archiviazione dei dati è trascurabile, le strategie difensive più efficaci non risiedono solo nella crittografia post-quantistica, ma nell'aumento dei costi computazionali per l'avversario attraverso il rekeying aggressivo e parametri di scambio chiavi più grandi.

Autori originali: Javier Blanco-Romero, Florina Almenares Mendoza, Carlos García Rubio, Celeste Campo, Daniel Díaz Sánchez

Pubblicato 2026-03-03

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Javier Blanco-Romero, Florina Almenares Mendoza, Carlos García Rubio, Celeste Campo, Daniel Díaz Sánchez

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

🕵️‍♂️ Il Piano "Raccogli Oggi, Decifra Domani"

Immagina che gli spionaggi di stato (come la NSA o servizi segreti di altre nazioni) abbiano un piano molto astuto, che gli autori chiamano "Harvest-Now, Decrypt-Later" (HN-DL).

Ecco come funziona, con una metafora semplice:

Oggi (La Raccolta): Gli spionaggi stanno già registrando tutto il traffico internet cifrato che passa sotto i loro occhi. Immagina che stiano raccogliendo milioni di cassette audio cifrate, chiuse in scatole di metallo indecifrabili. Non possono aprirle ora perché non hanno la chiave.
Domani (La Decifrazione): Sanno che tra 10 o 20 anni arriveranno i computer quantistici. Questi futuri computer saranno così potenti da poter aprire le serrature di quelle cassette in un attimo, usando un algoritmo matematico (l'algoritmo di Shor) che oggi è impossibile da eseguire.
Il Problema: Se oggi stiamo parlando di segreti medici, dati bancari o informazioni di stato che devono rimanere segreti per decenni, quel "futuro" potrebbe arrivare prima che noi ci accorgiamo di essere stati spiati.

💰 Il vero segreto: È una questione di soldi, non di magia

Il punto centrale di questo studio è rivoluzionario: non è difficile per uno stato raccogliere e conservare questi dati.

Gli autori hanno fatto i calcoli e scoperto che:

Archiviare è economico: Immagina di dover conservare l'equivalente di tutti i film di Hollywood su un hard disk. Oggi, lo spazio di archiviazione è così economico che uno stato può permettersi di conservare petabyte (miliardi di gigabyte) di dati per pochi miliardi di dollari l'anno. È come se volessi conservare un'intera biblioteca: il costo dei libri è basso, il problema era solo avere lo scaffale. Ora gli scaffali sono a buon mercato.
La vera sfida è la chiave: Il costo non è dove mettere i dati, ma quanto costerà aprirli quando arriverà il computer quantistico.

🛡️ Come possiamo difenderci? (Senza aspettare i computer quantistici)

Il paper non si limita a dire "è un disastro". Propone delle strategie difensive che possiamo usare oggi, anche prima che i computer quantistici siano pronti. Immagina di dover proteggere la tua casa da un ladro che arriverà tra 10 anni con una chiave universale. Cosa puoi fare ora?

1. Rendi la casa più grande (Aumentare il "Rumore")

Una strategia è rendere i dati così voluminosi e confusi che il ladro, anche se vuole rubare solo qualcosa di specifico (es. le tue password), è costretto a rubare tutto il contenuto della casa.

L'analogia: Se il ladro vuole solo il portafoglio, ma tu metti il portafoglio in una stanza piena di 10.000 scatole identiche, lui deve portarsi via tutte le scatole per trovare quella giusta. Questo aumenta il suo costo di archiviazione.
Nella realtà: Usare tecnologie come l'ECH (Client Hello Criptato) nasconde chi stai visitando. Il ladro non sa più se stai visitando un sito di notizie o un sito governativo, quindi è costretto a registrare tutto il traffico, rendendo il suo compito molto più costoso e ingombrante.

2. Cambia le serrature continuamente (Rekeying)

Questa è la strategia più potente e intelligente.

L'analogia: Immagina di inviare una lettera segreta. Se usi una sola serratura per tutto il viaggio, una volta che il ladro la sblocca, legge tutto. Ma se cambi la serratura ogni 100 metri del viaggio, il ladro dovrà usare la sua "chiave universale" (il computer quantistico) migliaia di volte per leggere la stessa lettera.
Nella realtà: Protocolli come SSH permettono di cambiare le chiavi di cifratura mentre la connessione è attiva. Questo costringe il futuro computer quantistico a fare un lavoro enorme (migliaia di calcoli) invece di uno solo. È come se il ladro dovesse scalare un muro 100 volte invece di una sola.
Il problema: I protocolli più usati oggi (come TLS 1.3 che protegge il 93% del web) non fanno questo cambio di serrature in modo automatico e veloce. Sono come una casa con una sola serratura che non cambia mai. Gli autori chiedono di aggiornare questi standard per permettere cambi di chiave frequenti.

3. Non usare serrature vecchie e rotte

Alcuni protocolli vecchi (come TLS 1.2 con RSA) sono come serrature che si possono aprire con un semplice cacciavite. Se il ladro ruba la chiave principale del server, apre tutte le cassette di tutti gli anni passati. Bisogna disattivarle subito.

📉 Il Verdetto Finale

Il paper ci dice tre cose fondamentali:

Il tempo è scaduto: Non possiamo aspettare che i computer quantistici siano pronti per iniziare a proteggerci. I dati che inviamo oggi potrebbero essere letti tra 10 anni.
Archiviare è facile, decifrare è costoso: I nemici possono permettersi di conservare i nostri dati. La nostra difesa non deve essere "nascondere i dati" (è impossibile), ma rendere costoso per loro il processo di decifrazione futura.
La soluzione migliore: Non basta aspettare la crittografia "post-quantum" (i nuovi sistemi di sicurezza). Dobbiamo usare subito le difese "strutturali": cambiare le chiavi spesso (rekeying) e rendere difficile per il nemico scegliere quali dati rubare.

In sintesi: Immagina che il futuro ladro abbia un'auto da corsa (il computer quantistico). Noi non possiamo fermare l'auto, ma possiamo rendere la strada piena di buche, curve strette e ostacoli (cambiando le chiavi spesso). Così, anche se il ladro ha un'auto veloce, ci vorrà un'eternità per arrivare a destinazione, rendendo il furto troppo costoso per essere utile.

1. Il Problema: La Minaccia HN-DL

L'attacco Harvest-Now, Decrypt-Later (HN-DL) rappresenta una minaccia esistente per le comunicazioni crittografate odierne. Un avversario (tipicamente uno stato-nazione) intercetta e archivia oggi il traffico cifrato, aspettando che la tecnologia quantistica (computer quantistici crittograficamente rilevanti o CRQC) diventi matura per decifrare le chiavi di scambio.

Natura della minaccia: Gli algoritmi asimmetrici attuali (RSA, ECC) sono vulnerabili all'algoritmo di Shor, che può risolverli in tempo polinomiale. Gli algoritmi simmetrici rimangono sicuri se si raddoppia la dimensione della chiave, ma l'attacco si concentra sullo scambio delle chiavi.
Il vuoto di conoscenza: Mentre la vulnerabilità crittografica è nota, la fattibilità economica di archiviare petabyte di dati per decenni è stata poco quantificata. La domanda chiave non è se un avversario possa archiviare, ma quanto gli costerà.
Forward Secrecy (Segretezza Futura): I protocolli moderni (TLS 1.3, SSH) usano chiavi effimere per garantire che la compromissione di una chiave a lungo termine non decifri sessioni passate. Tuttavia, in uno scenario HN-DL, un avversario deve risolvere il problema del logaritmo discreto per ogni singola sessione intercettata, trasformando un attacco "uno contro tutti" in un costo per sessione.

2. Metodologia

Gli autori hanno affrontato il problema riformulandolo come una sfida economica, utilizzando un approccio sperimentale e modellistico:

Testbed Open Source: È stato sviluppato un pipeline di simulazione open-source che riproduce l'intera sequenza di attacco HN-DL contro TLS 1.2, TLS 1.3, QUIC e SSH.
- Il sistema cattura il traffico, simula l'estrazione della chiave privata effimera da parte di un CRQC (risolvendo il problema ECDLP), e deriva le chiavi di sessione per decifrare i dati.
- L'ambiente di test utilizza interfacce loopback per isolare i costi di archiviazione dai costi di rete, garantendo che ogni byte misurato rappresenti un limite inferiore assoluto per l'avversario.
Modellazione dei Costi:
- Asse di Archiviazione ( $\alpha$ ): È stato definito un rapporto di sovraccarico per protocollo ( $\alpha = S(P)/P$ ) che mappa il volume di dati grezzi rispetto ai dati applicativi, includendo handshake, header e padding.
- Asse Computazionale Quantistico ( $E \times T_q$ ): È stato quantificato il lavoro computazionale necessario, dove $E$ è il numero di chiavi da recuperare (moltiplicatore di rekeying) e $T_q$ è il tempo computazionale per chiave (dipendente dai parametri della chiave).
Simulazione Monte Carlo: Per valutare l'incertezza, sono state eseguite 10.000 simulazioni variando il volume del traffico, i costi di archiviazione cloud, la crescita del traffico e i prezzi dei supporti di memorizzazione.

3. Contributi Chiave

Il paper offre tre avanzamenti principali:

Pipeline di Simulazione HN-DL: Una dimostrazione pratica end-to-end che valida come la compromissione di una singola chiave effimera (o di una chiave RSA statica in TLS 1.2) permetta la decifratura retroattiva deterministica di tutte le sessioni collegate.
Analisi Economica Quantitativa: La dimostrazione che l'archiviazione dei dati intercettati è economicamente banale per un attore statale. Anche con costi cloud conservativi, l'archiviazione globale di una frazione del traffico (es. 1%) costa nell'ordine di miliardi di dollari all'anno, una cifra ben all'interno dei budget di difesa nazionali.
Strategie di Difesa "Defense-in-Depth": Identificazione di configurazioni che non richiedono crittografia post-quantum (PQC) completa ma aumentano i costi per l'avversario, agendo su due assi indipendenti:
- Inflazione dello Storage: Aumentare il volume dei dati (es. Encrypted Client Hello - ECH).
- Inflazione del Carico Quantistico: Aumentare il numero di calcoli necessari (es. Rekeying aggressivo, parametri di chiave più grandi).

4. Risultati Principali

A. Fattibilità Economica dell'Archiviazione

Costi Triviali: L'archiviazione di dati a riposo è il collo di bottiglia meno critico. L'uso di nastri magnetici (LTO-9) riduce i costi a circa $5,25/TB (solo CapEx), eliminando i costi energetici e di manutenzione dei dischi rigidi.
Stima dei Costi: Un'archiviazione selettiva dell'1% del traffico globale (circa 88 EB/anno) costerebbe circa 1 miliardo di dollari/anno. Anche proiettando su 10-15 anni con inflazione dei prezzi, il costo totale rimane nell'ordine di $10^{10}$ - $10^{11}$ USD, sostenibile per stati avanzati.
Conclusione: Se un avversario ha la capacità di intercettare il traffico, l'archiviazione è garantita. La difesa non può basarsi sul "non poter archiviare".

B. Vulnerabilità dei Protocolli

TLS 1.2 (RSA): Vulnerabile total. Una singola chiave privata compromessa decifra tutte le sessioni passate.
TLS 1.3 e QUIC: Offrono segretezza futura contro attacchi classici, ma sono vulnerabili HN-DL. Tuttavia, la compromissione di una chiave effimera decifra solo quella sessione (e le sessioni derivate tramite PSK/0-RTT).
SSH: Offre la migliore protezione strutturale grazie al rekeying in-band. Ogni rekeying genera una nuova chiave effimera indipendente, costringendo l'avversario a risolvere un nuovo problema quantistico per ogni segmento di dati.

C. Efficacia delle Strategie di Difesa

Rekeying (Asse Quantistico): È la leva difensiva più potente.
- In SSH, il rekeying frequente (es. ogni 64 KB) moltiplica il lavoro quantistico ( $E$ ) con un overhead di banda trascurabile (~2-3 KB).
- In TLS 1.3, manca un meccanismo di rekeying in-band efficace. Il KeyUpdate è deterministico (non introduce nuova casualità), quindi $E=1$ indipendentemente dalla lunghezza della sessione. Il rekeying tramite nuova connessione (PSK-DHE) è troppo costoso in termini di latenza.
ECH (Encrypted Client Hello): Nasconde l'SNI (Server Name Indication), impedendo all'avversario di filtrare selettivamente il traffico in base al dominio. Questo forza l'avversario ad archiviare tutto il traffico di un CDN, aumentando i costi di storage ( $\alpha$ ), ma penalizza anche il difensore (costi di banda).
Padding dei Record: Infla artificialmente i dati, ma è inefficiente perché il difensore paga il costo di trasmissione per ogni byte aggiunto, mentre l'avversario paga solo il costo marginale di archiviazione.

5. Significato e Implicazioni

Il paper conclude che la migrazione alla Crittografia Post-Quantum (PQC) è urgente e necessaria, ma non è l'unica linea di difesa.

Asimmetria Economica: La difesa deve sfruttare l'asse computazionale quantistico ( $E \times T_q$ ) piuttosto che l'asse dello storage. Aumentare il carico computazionale per l'avversario (tramite rekeying e parametri di chiave più grandi) è molto più efficiente che tentare di aumentare i costi di archiviazione.
Gap Critico nei Protocolli: C'è una lacuna critica in TLS 1.3 e QUIC, che mancano di un meccanismo di rekeying in-band efficiente (come quello di SSH). I draft "Extended Key Update" sono necessari per colmare questo divario.
Priorità di Migrazione: Per dati con vita utile lunga (es. cartelle cliniche, segreti di stato), la migrazione PQC è già in ritardo rispetto all'equazione di Mosca ( $x + y > z$ ). La segretezza futura classica non è sufficiente contro la minaccia quantistica futura.
Raccomandazioni Pratiche:
- Disabilitare immediatamente TLS 1.2 RSA e 0-RTT in TLS 1.3.
- Implementare ECH per degradare il filtraggio selettivo.
- Utilizzare rekeying aggressivo e parametri di chiave più grandi (es. P-384 invece di P-256) dove supportato (specialmente in SSH) per aumentare il costo computazionale dell'avversario.
- Accelerare la migrazione verso PQC (ML-KEM) per fermare l'accumulo di nuovi dati vulnerabili.

In sintesi, il paper dimostra che l'attacco HN-DL è economicamente fattibile oggi e che la difesa deve spostarsi dalla semplice protezione della chiave verso strategie che massimizzano il costo computazionale per l'avversario, sfruttando le caratteristiche strutturali dei protocolli esistenti mentre si completa la transizione al quantum-safe.