Il nuovo Post-Quantum Cryptography Strategy del Pentagono è un documento che affronta l’arrivo del quantum computing e la potenziale minaccia che rappresenta per la sicurezza nazionale degli Stati Uniti e per la supremazia militare globale.
Il piano, costituito da 25 pagine, è stato presentato negli scorsi giorni e offre alcune direttive preziose al personale del Dipartimento della difesa americano per blindare reti di comunicazione e sistemi informativi critici con algoritmi appositi.
Kirsten Davies, Chief Information Officer del Dipartimento, scrive nell’introduzione che “Quasi ogni asset militare già dispiegato sarà interessato in qualche modo, gli avversari continueranno a cercare vulnerabilità”.
Di fatto, la transizione non riguarda un singolo programma, ma l’intera architettura digitale della difesa statunitense, dai sistemi operativi ai canali di comunicazione, fino alla gestione delle chiavi crittografiche.
Che Cos’è la Quantum Information Science e Perché Fa Paura al Pentagono
La quantum information science sfrutta fenomeni complessi che avvengono a livello atomico e subatomico per archiviare, trasmettere, manipolare, elaborare e misurare dati.
Se queste capacità verranno sfruttate su larga scala nel prossimo futuro, potranno produrre svolte radicali, come algoritmi capaci di rompere la crittografia e reti di comunicazione oggi impossibili da violare.
Proprio per questo il Pentagono considera la sicurezza post-quantum una priorità strategica, non una semplice modernizzazione tecnica.
Il Pentagono ha iniziato a pensare alla sicurezza post-quantum nel 2018
Nel tardo 2018, durante il primo mandato Trump, il presidente ha firmato il National Quantum Initiative Act, creando un quadro federale per sostenere ricerca e industria quantistica.
Poi, lunedì, la Casa Bianca ha presentato due nuovi ordini esecutivi pensati per accelerare e semplificare l’evoluzione del governo federale verso la post-quantum encryption e per riallocare investimenti e finanziamenti a favore dell’industria quantistica.
Uno di questi ordini esecutivi, quello commerciale, impone anche al Pentagono di individuare almeno tre progetti di sensoristica di nuova generazione basati su tecnologie quantistiche, da prioritizzare per arrivare alla loro adozione entro il 30 settembre 2028.
Il giorno successivo a questi ordini è arrivato il nuovo DOD PQC Strategy, che delinea il piano generale del dipartimento per proteggere i sistemi critici e prepararsi a un futuro campo di battaglia abilitato da Cryptographically Relevant Quantum Computers, abbreviati come CRQC.
Entro il 31 dicembre 2030, tutti i sistemi del DOD dovranno risultare conformi al DOD PQC Strategy, oppure essere dismessi.
I Rischi di un Attacco Quantistico: Dai Sistemi Nucleari ai Malware
La strategia non parla quindi di un’adozione facoltativa o graduale senza limiti, ma di un obbligo temporale netto che costringe il Pentagono a ripensare hardware, software, reti e procedure operative.
Secondo i funzionari, le comunicazioni insicure associate alla crescita delle capacità quantistiche rappresentano una minaccia esistenziale per operazioni che vanno dall’autorizzazione e dal dispiegamento di armi nucleari, fino all’esecuzione di manovre coordinate con i partner di missione.
Il rischio principale è che avversari dotati di CRQC possano decifrare informazioni classificate, trasmesse via infrastrutture terrestri, satellitari, radiofrequenza e di altro tipo, oppure prendere il controllo dei sistemi DOD usando gli stessi contro i proprietari legittimi.
Il Concetto di Cryptographic Agility
Le conseguenze peggiori includono anche l’inserimento di malware nelle piattaforme belliche e l’accesso ai sistemi command-and-control impiegati nei teatri operativi, con possibili disastri sul campo.
Per questo la strategia insiste su quella che viene definita come cryptographic agility, cioè sulla capacità di cambiare rapidamente algoritmi e difese quando emergono nuove vulnerabilità, invece di restare legati a uno schema crittografico fisso.
Cinque linee operative e otto obiettivi strategici
Il piano individua cinque linee operative e otto obiettivi strategici associati.
1. Comprensione e mappatura delle vulnerabilità
Tra questi figurano la comprensione completa delle vulnerabilità più gravi dei sistemi crittografici su tempi coerenti con la missione, e la preparazione di strategie adattive per una difesa autonoma, essenziali per un futuro quantistico imprevedibile.
2. Sviluppo di patch e aggiornamenti rapidi
In pratica, il Pentagono vuole creare meccanismi per testare, distribuire e installare rapidamente aggiornamenti e patch crittografici critici, senza influenzare negativamente le operazioni in corso.
I pianificatori e i responsabili dei sistemi devono inoltre mappare tutta la crittografia in uso sia nei sistemi di sicurezza nazionale sia negli asset al di fuori di questo contesto, ma comunque usati per attività federali ordinarie o commerciali.
Una volta completata la mappatura, dovranno stabilire quali componenti sono quantum-vulnerable e misurare l’esposizione delle organizzazioni alle possibili minacce.
3. Integrazione tra Intelligenza Artificiale e Quantum
Amanda Satterwhite, Cyber Lead di Accenture Federal Services, nei giorni scorsi ha affermato che le nuove direttive dell’amministrazione rappresentano “Un segnale deciso che la cybersecurity deve avanzare insieme alle capacità di AI e quantum”.
Accenture Federal Services opera nel contesto dell’integrazione di nuove tecnologie per il DOD, quindi il suo ruolo è quello di tradurre l’innovazione tecnologica in ambienti operativi complessi.
Satterwhite ha spiegato che l’azienda sta evolvendo le proprie piattaforme di sicurezza AI e i sistemi crittografici per mantenere un vantaggio strategico, collaborando con partner come SandboxAQ per garantire che le infrastrutture critiche americane restino avanti rispetto alle minacce tecnologiche future.
L’esperta ha poi aggiunto che l’emergere di modelli AI avanzati e specializzati in cybersecurity richiede di colmare il gap tra innovazione commerciale e ambito governativo, evitando che si creino crepe in cui eventuali aggressori, statali e non, possano attaccare le infrastrutture sensibili.
