Measuring Post-Quantum TLS Deployment Across UK Internet Sectors
Questo studio su 4.665 organizzazioni del Regno Unito rivela che l'implementazione osservabile della crittografia post-quantistica è altamente disomogenea e frammentata, guidata principalmente dalle decisioni dei fornitori di infrastrutture piuttosto che dal settore dell'organizzazione, con un'adozione significativamente più alta in HTTPS rispetto a SMTP e una nota assenza di firme di certificati post-quantistici.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immaginate Internet come una gigantesca e frenetica città dove ogni edificio è un sito web, un server di posta elettronica o un servizio cloud. Per tenere le porte chiuse a chiave e i segreti al sicuro, questi edifici utilizzano chiavi digitali speciali chiamate crittografia. Per decenni, queste chiavi sono state incredibilmente forti, ma gli scienziati sono preoccupati per una futura "super-chiave" che potrebbe romperle tutte. Questa super-chiave proviene da un nuovo tipo di computer chiamato computer quantistico, che è ancora in fase di costruzione ma si prevede sarà abbastanza potente da scassinare le serrature odierne. Per prepararsi, gli esperti stanno progettando nuove serrature, resistenti ai quanti, chiamate Crittografia Post-Quantistica (PQC). La grande domanda per i governi e le aziende è: "Stiamo effettivamente mettendo queste nuove serrature sulle nostre porte o ne stiamo solo parlando?". Questo articolo è come un'ispezione massiccia, su scala cittadina, per vedere esattamente quanti edifici nel Regno Un\ito abbiano effettivamente installato queste nuove serrature futuristiche sulle loro porte anteriori.
Gli autori, Konstantinos Loizou ed Essam Ghadafi dell'Università di Newcastle, hanno deciso di esaminare questo problema in modo molto specifico e intelligente. Invece di scansionare solo i siti web più popolari (come controllare solo i grattacieli del centro città), hanno creato una mappa bilanciata di 4.665 diverse organizzazioni attraverso dieci settori differenti, dalle banche agli ospedali, dalle università agli uffici governativi. Hanno controllato due tipi principali di "porte": il web (HTTPS, che è la serratura che vedete quando visitate un sito web) e l'email (SMTP, che è la serratura usata per inviare e ricevere messaggi). Volevano vedere se queste organizzazioni stavano effettivamente utilizzando i nuovi metodi di scambio chiavi resistenti ai quanti.
Ecco cosa hanno scoperto, ed è un quadro contrastante. Innanzitutto, hanno scoperto che le nuove serrature stanno apparendo, ma soprattutto sul web. Circa il 44% dei siti web raggiungibili che hanno controllato aveva almeno una di queste nuove chiavi resistenti ai quanti installata. Tuttavia, quando hanno guardato ai server di posta elettronica, il quadro era molto più cupo: solo circa il 6,4% dei servizi email possedeva le nuove chiavi. Risulta che se un'organizzazione ha la nuova serratura sul suo sito web, ha circa 17 volte più probabilità di averla sul proprio server email rispetto a chi non ce l'ha, ma anche in questo caso, la maggior parte dei server email sta ancora utilizzando le vecchie serrature, potenzialmente vulnerabili.
Il colpo di scena più sorprendente della storia è chi sta effettivamente mettendo queste serrature. Potreste pensare che una banca sia molto diversa da un'azienda tecnologica in termini di velocità di aggiornamento, ma lo studio ha scoperto che il settore dell'organizzazione contava meno di chi gestiva l'edificio. È come rendersi conto che il fatto che una casa abbia un nuovo sistema di sicurezza dipende interamente dal proprietario, non dalla famiglia che ci vive dentro. I ricercatori hanno scoperto che un piccolo gruppo di grandi fornitori di infrastrutture (aziende come Cloudflare, Google e Amazon) era responsabile di quasi tutte le nuove serrature che hanno visto. Ad esempio, il 95% dei siti web ospitati da Cloudflare aveva le nuove chiavi, mentre i server email ospitati da Microsoft non ne avevano nessuna. Infatti, per l'email, Google era l'unico grande fornitore con le nuove chiavi, rappresentando quasi tutta l'adozione osservata.
L'articolo ha anche controllato le "firme" sui certificati (le carte d'identità digitali che provano che un edificio è chi dice di essere). Hanno scoperto che, sebbene le chiavi per le porte stessero iniziando a diventare resistenti ai quanti, le carte d'identità stavano ancora utilizzando le vecchie firme classiche. Nessuno era ancora passato alle nuove carte d'identità resistenti ai quanti. Ciò suggerisce che, sebbene la porta d'ingresso stia diventando più forte, il modo in cui verifichiamo chi c'è davanti non è cambiato.
In breve, lo studio suggerisce che quando vediamo un sito web con una serratura resistente ai quanti, è spesso perché la grande azienda tecnologica che lo ospita ha deciso di aggiornarsi, non perché l'organizzazione specifica che gestisce il sito abbia fatto un piano speciale per farlo. Questo significa che semplicemente guardare un sito web e vedere una nuova serratura non significa necessariamente che l'intera organizzazione sia pronta per il futuro quantistico; potrebbe solo significare che il loro proprietario è in anticipo sui tempi. I ricercatori concludono che dobbiamo fare attenzione a non scambiare questi aggiornamenti visibili per una migrazione completa a livello di organizzazione, poiché i sistemi email e le carte d'identità digitali sono ancora in attesa nei corridoi.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.