💻 computer science

DIT: A Decentralized Identity and Trust Protocol for Post-Quantum CA-Free Web Authentication

DIT è un protocollo di autenticazione decentralizzato e post-quantistico che elimina la tradizionale gerarchia delle CA ancorando le identità di dominio in chiavi ML-DSA-65 verificate tramite DNSSEC e utilizzando un handshake ibrido X25519MLKEM768 con log di trasparenza Merkle per fornire una fiducia efficiente e revocabile senza autorità di certificazione centralizzate.

Autori originali: Debasish tripathy, Dayananda P

Pubblicato 2026-07-22

📖 7 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Debasish tripathy, Dayananda P

Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina Internet come una città enorme e frenetica dove ogni negozio, banca e casa ha bisogno di un modo sicuro per dimostrare la propria identità. In questo momento, la città si affida a un massiccio sistema centralizzato di "notai" chiamati Certificate Authorities (CA). Pensa a queste CA come agli unici soggetti autorizzati a timbrare la carta d'identità di un negozio. Se un notaio viene hackerato o commette un errore, l'intera sicurezza della città è a rischio. Per risolvere il problema, la città ha iniziato a far scadere le carte d'identità molto rapidamente — a volte in meno di 50 giorni — costringendo i negozi a rinnovarle costantemente. Ma questo è come cercare di fermare un tetto che perde cambiando le tegole ogni settimana invece di riparare il tetto stesso. Il vero problema è che il sistema è troppo dipendente da questi notai centrali e non è pronto per il futuro, dove potenti computer quantistici potrebbero rompere completamente le serrature di queste carte d'identità.

Questo documento presenta un nuovo modo per gestire l'identità digitale chiamato DIT (Decentralized Identity and Trust - Identità e Fiducia Decentralizzata). Invece di affidarsi a un notaio centrale, il DIT suggerisce che ogni negozio debba possedere la propria chiave maestra, che viene pubblicata nella directory pubblica della città (il sistema DNS) e controllata da un gruppo di testimoni indipendenti ed onesti. Utilizza una matematica "a prova di futuro" che nemmeno i computer quantistici possono violare per firmare queste chiavi. Gli autori hanno costruito un modello funzionante di questo sistema e hanno scoperto che può provare l'identità e mantenere i segreti con la stessa velocità dell'attuale sistema, ma senza la necessità dei notai centrali. Tuttavia, ammettono anche che se la chiave maestra viene persa, il processo di recupero si affida ancora alla matematica più vecchia che i computer quantistici potrebbero violare, e l'intero sistema funziona solo se la directory pubblica della città è già sicura.

La Grande Idea: Abbandonare il Notaio

Il modo attuale in cui il web rimane sicuro è un po' come un gioco del "telefono senza fili" in cui ti fidi di una catena di persone che garantiscono per uno sconosciuto. Ti fidi del tuo browser, che si fida di una grande azienda (la CA), la quale garantisce per il sito web che stai visitando. Se quella grande azienda viene hackerata, può fingere di essere chiunque. Il documento sostiene che questa catena è interrotta. La soluzione non è accorciare la catena o far scadere le carte più velocemente; è tagliare via l'intermediario del tutto.

Il DIT propone un sistema in cui l'identità di un sito web è ancorata direttamente nella rubrica di Internet (il DNS). Invece di una CA che timbra un certificato, il sito web pubblica una "Chiave Maestra" nella sua voce della rubrica. Questa voce è firmata dal sistema di sicurezza della rubrica stessa (DNSSEC), che funge da arbitro supremo della verità.

Il Castello di Sicurezza a Tre Strati

Per far sì che questo funzioni senza un capo centrale, gli autori hanno progettato un castello di chiavi a tre strati:

La Chiave di Identità (La Chiave Maestra): Questa è la chiave maestra permanente e offline del sito web. È come l'atto di proprietà di una casa. Cambia raramente ed è conservata in una cassaforte super sicura (o divisa tra un gruppo di persone fidate). Utilizza una serratura speciale "a prova di quantum" (ML-DSA-65) che si ritiene sia indistruttibile anche per i futuri computer quantistici.
La Chiave di Epoca (Il Pass Giornaliero): Ogni 24 ore, il sito web genera una chiave nuova e temporanea. È come un pass giornaliero che ti permette di entrare nell'edificio per un solo giorno. La Chiave Maestra firma questo pass giornaliero per dire: "Sì, questo pass è reale". Se un hacker ruba il pass giornaliero, esso funzionerà solo per un giorno e poi si autodistruggerà.
La Chiave di Sessione (Il Handshake): Quando visiti il sito web, tu e il server fate un "handshake" (una stretta di mano digitale) per creare un codice segreto solo per quella specifica conversazione. Questo utilizza un mix di vecchia e nuova matematica (X25519 e ML-KEM-768) per garantire che, anche se qualcuno registrasse la vostra conversazione oggi, non possa leggerla domani se rubasse le chiavi in seguito.

Il Sistema degli "Onesti Testimoni"

Come si fa a sapere che la Chiave Maestra nella rubrica non è stata scambiata da un hacker? Il DIT utilizza un sistema di Testimoni di Fiducia. Immaginate un gruppo di sette auditor indipendenti (come una giuria) che osservano l'attività del sito web. Ogni volta che il sito web cambia la sua Chiave Maestra, deve ottenere la firma di almeno cinque di questi sette auditor per approvare il cambiamento.

Il sito web mantiene anche un "registro di trasparenza" pubblico, come un diario con pareti di vetro, dove ogni modifica alle chiavi viene registrata. Se un hacker tenta di scambiare la chiave senza l'approvazione dei testimoni, il pubblico può accorgersene immediatamente. Gli autori hanno dimostrato matematicamente che finché almeno tre dei sette testimoni sono onesti, un hacker non può ingannare il sistema.

La Promessa "A Prova di Quantum"

La parte più eccitante del DIT è che è costruito per il futuro. Gli autori hanno utilizzato nuovi tipi di matematica (crittografia basata su reticoli) che sono progettati per resistere agli attacchi dei computer quantistici.

Autenticazione: Le firme utilizzate per verificare l'identità sono a prova di quantum.
Conservazione dei Segreti: Anche il modo in cui i segreti vengono scambiati è a prova di quantum.

Tuttavia, il documento è molto onesto riguardo a un punto debole: il Recupero. Se la Chiave Maestra viene persa o rubata, il sito web ha bisogno di un modo per ottenerne una nuova. L'attuale metodo di recupero utilizza un tipo di matematica più vecchio (FROST-Schnorr) che è vulnerabile ai computer quantistici. Gli autori dichiarano esplicitamente che questo percorso di recupero non è a prova di quantum e suggeriscono che sarà necessario un aggiornamento futuro per risolvere la questione una volta disponibili strumenti di recupero quantum-proof migliori.

Funziona Davvero?

Gli autori non si sono limitati a scrivere una teoria; hanno costruito un prototipo funzionante e lo hanno testato.

Velocità: Quando un utente visita un sito che ha già visto prima (il "percorso caldo" o warm path), il DIT è veloce quanto l'attuale sistema, richiedendo circa 6 KB di dati per la verifica.
Prima Visita: La prima volta che un utente visita un nuovo sito (il "percorso freddo" o cold path), richiede un po' più di dati (~34 KB) perché l'utente deve scaricare le firme dei testimoni e la cronologia del registro. Ma questo costo viene pagato una sola volta; tutte le visite successive sono veloci.
Efficienza: Poiché le chiavi giornaliere ruotano automaticamente, i siti web non avrebbero bisogno di rinnovare i certificati migliaia di volte all'anno. Gli autori hanno calcolato che per un'azienda con 1.000 domini, questo evita di gestire 8.000 rinnovi all'anno, portando quel numero a zero.

Il Problema: Serve una Rubrica Sicura

Il documento si conclude con un fondamentale richiamo alla realtà. Il DIT è un nuovo motore brillante, ma ha bisogno di un tipo specifico di strada su cui correre. Richiede che la rubrica di Internet (DNS) sia protetta con DNSSEC. Attualmente, solo una piccola frazione del web utilizza questa sicurezza. Se la rubrica stessa non è sicura, l'intero sistema DIT crolla.

Inoltre, il sistema dipende dall'adozione di questi nuovi standard da parte di browser e siti web. Gli autori suggeriscono un rilascio graduale: prima come estensione del browser, poi come funzione integrata e, infine, come il modo predefinito in cui funziona il web.

In breve, il DIT offre un modo per costruire un web in cui non devi fidarti di un'unica autorità centrale, dove i tuoi segreti sono al sicuro dai futuri computer quantistici e dove i siti web non devono rinnovare costantemente le loro identità. Ma non è una bacchetta magica; richiede che l'infrastruttura sottostante di Internet si adegui, e possiede ancora un punto debole "classico" quando si tratta di recuperare le chiavi perse. Gli autori hanno dimostrato che è possibile, ma il viaggio per renderlo la nuova norma è appena iniziato.

Sintesi Tecnica: DIT – Un protocollo di Identità e Fiducia Decentralizzato per l'autenticazione Web Post-Quantum senza CA

Problematica
L'attuale infrastruttura a chiave pubblica (PKI) del web si basa su una gerarchia centralizzata di Autorità di Certificazione (CA). Questo modello soffre di vulnerabilità strutturali: qualsiasi singola CA radice fidata può emettere unilateralmente certificati validi per qualsiasi dominio, e i meccanismi di revoca (OCSP, CRL) sono inaffidabili, portando il settore a fare affidamento sulla durata breve dei certificati come sostituto della revoca. Il Ballot SC-081v3 del CA/B Forum, che impone la riduzione della validità dei certificati TLS pubblici a 47 giorni entro il 2029, evidenzia l'onere operativo e i limiti architettonici di questo approccio di "revoca tramite scadenza". Inoltre, gli sforzi esistenti per la migrazione post-quantum (PQ) in TLS 1.3 spesso mettono in sicurezza solo lo scambio di chiavi (ad es. ML-KEM), lasciando la catena di autenticazione (certificati RSA/ECDSA) vulnerabile agli attacchi quantistici. Precedenti tentativi di decentralizzare la fiducia, come DANE (DNS-based Authentication of Named Entities), soffrono di una limitata trasparenza, mancanza di meccanismi di recupero delle chiavi e una struttura delle chiavi piatta che non separa l'identità a lungo termine dal materiale di sessione a breve termine.

Metodologia
Gli autori propongono DIT (Decentralized Identity and Trust), un protocollo che sostituisce interamente la gerarchia delle CA con un modello di fiducia ancorato al DNS e post-quantum sicuro. L'architettura è composta da sei livelli:

Pubblicazione dell'Identità DNS: L'identità del dominio è ancorata in un record HTTPS/SVCB firmato con DNSSEC (_dit.domain). Questo record contiene un impegno di hash (non la chiave completa) a un oggetto identità canonico recuperato da un endpoint HTTPS ben noto.
Gerarchia a Tre Livelli di Chiave:
- Chiave di Identità (IK): Una coppia di chiavi ML-DSA-65 a lungo termine conservata offline o in una configurazione a soglia (threshold). Firma le credenziali di epoca (epoch).
- Chiave di Autenticazione di Epoca (EAK): Una coppia di chiavi ML-DSA-65 fresca e casuale generata ogni 24 ore. È certificata dall'IK e utilizzata per firmare le trascrizioni dell'handshake. La compromissione dell'IK non compromette retroattivamente le passate EAK.
- Chiave di Sessione (SK): Derivata per ogni connessione tramite uno scambio di chiavi ibrido (X25519 + ML-KEM-768) utilizzando lo schema di chiavi TLS 1.3.
Registro di Trasparenza (Transparency Log): Un registro di tipo append-only, basato su alberi di Merkle e con ambito di dominio (hash SHA3-384), registra le pubblicazioni e le rotazioni delle chiavi. La fiducia è stabilita tramite Cosignatura di Testimone (Witness Cosigning): un quorum di 5 su 7 testimoni di fiducia indipendenti deve cosignare la Signed Tree Head (STH) affinché una voce di log sia accettata. Ciò impedisce l'equivocazione.
Handshake: Il protocollo segue la forma a round-trip singolo (1-RTT) di TLS 1.3. Il server firma la trascrizione dell'handshake con l'attuale EAK. Il client verifica la catena: impegno DNSSEC $\to$ firma IK su EAK $\to$ firma EAK sulla trascrizione $\to$ prova di inclusione nel log.
Rotazione delle Chiavi:
- Rotazione Normale: Effettuata dal possessore dell'IK tramite doppie firme ML-DSA-65 (chiavi vecchia e nuova), mantenendo la sicurezza post-quantum.
- Rotazione di Recupero: Innescata se l'IK viene smarrita. Utilizza una cerimonia di firma a soglia FROST-Schnorr tra i peer di recupero. Gli autori notano esplicitamente che questo percorso è solo classico e non post-quantum sicuro, in attesa della futura standardizzazione delle firme a soglia basate su reticoli (lattice-based).

Contributi Chiave
Il documento rivendica cinque contributi primari:

C1: Un protocollo di fiducia per browser, formalmente analizzato e privo di CA, che affronta i quattro modi di fallimento di DANE (dipendenza da DNSSEC, mancanza di trasparenza, assenza di recupero, mancanza di prontezza PQ) utilizzando la crittografia post-quantum sia per l'autenticazione che per lo scambio di chiavi.
C2: Una gerarchia a tre livelli di chiavi che disaccoppia l'identità a lungo termine dal materiale di sessione effimero, consentendo la rotazione automatica delle credenziali sub-giornaliera senza l'intervento di una CA.
C3: Un meccanismo di doppia rotazione che separa le rotazioni post-quantum sicure dalle rotazioni di recupero classiche, garantite dalla cosignatura dei testimoni e da periodi di attesa obbligatori per prevenire il furto silenzioso delle chiavi.
C4: Il primo modello di fiducia web post-quantum completo, che combina ML-DSA-65 per la firma dell'identità e lo scambio di chiavi ibrido X25519/ML-KEM-768.
C5: Un modello di minaccia formale con dieci classi di avversari e sette teoremi di sicurezza dimostrati tramite riduzione a standard di ipotesi di durezza (ML-DSA-65 EUF-CMA, ML-KEM-768 IND-CCA2, ecc.).

Risultati e Prestazioni
Gli autori hanno implementato una prova di concetto in Go 1.24 e hanno condotto benchmark contro TLS 1.3 classico e PQ-TLS 1.3 (con certificati classici).

Dimensione dell'Handshake: Il "percorso caldo" (identità in cache) richiede circa 6 KB, paragonabile al TLS 1.3 classico (~~5,6 KB) e circa il 50% più piccolo del PQ-TLS 1.3 con certificati classici (~~12 KB).
Percorso Freddo: L'handshake al primo contatto è più grande (~34 KB) a causa del recupero degli oggetti identità e della verifica dei testimoni, ma questo costo è ammortizzato sull'epoca di 24 ore.
Overhead Operativo: DIT elimina interamente i rinnovi annuali dei certificati (0 rinnovi/anno per 1.000 domini rispetto a circa 8.000 sotto il mandato dei 47 giorni).
Archiviazione Log: Si stima che un log con ambito di dominio richieda circa 10 GB/anno (usando foglie basate solo su hash), significativamente meno dei ~750 GB/anno richiesti dai log CT globali.

Significatività e Rivendicazioni
Il documento sostiene che DIT dimostra che l'indipendenza dalle CA è realizzabile con caratteristiche di prestazione paragonabili al TLS 1.3 classico. Spostando la fiducia da una gerarchia di CA centralizzata a un registro di trasparenza ancorato al DNS e verificato dai testimoni, il protocollo elimina il singolo punto di fallimento inerente all'attuale PKI.

Gli autori sono modesti riguardo ai limiti:

Dipendenza da DNSSEC: DIT richiede la validazione DNSSEC, che è attualmente implementata solo su circa il 4–5% dei domini .com/.net.
Vulnerabilità della Prima Visita: Come ogni sistema privo di una radice di fiducia globale out-of-band, DIT non può verificare indipendentemente se un'identità appena pubblicata sia quella storicamente legittima per un dominio (il problema della scoperta della "prima visita"), sebbene lo mitighi tramite finestre di audit e osservabilità del log.
Percorso di Recupero: Il meccanismo di recupero delle chiavi si basa su firme FROST-Schnorr classiche ed è esplicitamente non rivendicato come post-quantum sicuro.

Il documento conclude che, sebbene DIT introduca una complessità architettonica, offre una via percorribile verso un web affidabile che sia resiliente sia alla compromissione delle CA che alle minacce del calcolo quantistico, a condizione che l'infrastruttura DNSSEC sottostante maturi.