La minaccia HNDL e la sua natura unica

La possibilità che computer quantistici possano compromettere gli attuali meccanismi crittografici introduce una nuova dimensione nel cyber risk: quella di un attacco che può essere preparato oggi, rimanere invisibile per anni e produrre i suoi effetti solo in futuro. Questo è il principio alla base della strategia "Harvest Now, Decrypt Later" (HNDL): un attaccante può intercettare e archiviare dati cifrati, comunicazioni e informazioni sensibili che non è ancora in grado di decifrare, confidando nella possibilità di farlo successivamente, quando saranno disponibili i quantum computer.

Le organizzazioni devono, sin d’ora, essere in grado di identificare i dati che stanno proteggendo oggi e che dovranno rimanere protetti anche quando la tecnologia quantistica sarà disponibile. La tecnica di attacco HNDL diventa un tema di governance e resilienza: un rischio silenzioso, difficilmente osservabile attraverso i tradizionali indicatori di cybersecurity e che richiede di anticipare oggi decisioni tecnologiche, organizzative e di gestione del rischio il cui impatto si manifesterà nel futuro.

Le fasi dell'attacco HNDL

L'attacco HNDL si sviluppa in tre fasi principali:

La gestione del rischio HNDL

Ciò che distingue l’HNDL da un attacco informatico classico è la separazione tra il momento del danno e il momento in cui quel danno diventa visibile. Di fatto, in una violazione tradizionale, il furto di credenziali o lo sfruttamento di una falla producono un effetto quasi immediato. Qui, l’evento dannoso è l’esfiltrazione stessa, anche se il dato resta illeggibile per anni: l’azienda potrebbe scoprire la violazione solo quando l’informazione viene infine decifrata e utilizzata, con la finestra di rischio ormai chiusa da tempo.

Il National Institute of Standards and Technology (NIST) ha reso esplicito questo ragionamento nel report NIST IR 8547 (“Transition to Post-Quantum Cryptography Standards”), che propone di deprecare entro il 2030 gli algoritmi a chiave pubblica vulnerabili al calcolo quantistico e di eliminarli del tutto entro il 2035. Tuttavia, indipendentemente dalla data esatta in cui un computer quantistico riuscirà a rompere RSA-2048, il calendario entro cui iniziare a muoversi è già stato tracciato.

È importante comprendere che l’HNDL non è un tema di innovazione tecnologica rimandabile, ma un rischio di riservatezza differita, da gestire con gli stessi strumenti già applicati a qualsiasi altro rischio cyber rilevante, i.e. classificazione dei dati, architettura di rete, accountability del management.

La valutazione del rischio HNDL

La priorità con cui intervenire non dipende soltanto dalla probabilità stimata di un attacco quantistico, ma dall’incrocio fra due orizzonti temporali distinti, ovvero: per quanto tempo un dato deve restare segreto; quanto tempo separa oggi dal momento in cui la crittografia che lo protegge smetterà di essere sicura. Ciò si traduce in una formula semplice:

Rischio HNDL = valore del dato × durata della riservatezza richiesta × esposizione crittografica

Ne consegue che, se un’informazione deve restare confidenziale per dieci, quindici o vent’anni, aspettare che la minaccia quantistica diventi concreta prima di avviare la migrazione equivale a intervenire troppo tardi: completare l’aggiornamento crittografico nel 2032 non protegge retroattivamente un dataset già intercettato nel 2024. Pertanto, è necessario comprendere per quanto tempo i dati protetti devono restare illeggibili a terzi.

Tale valutazione deve diventare parte delle policy di gestione del ciclo di vita dei dati, dei criteri di conservazione degli archivi e dei contratti con fornitori cloud, outsourcer e partner di filiera.

Le categorie di dati più esposte

Le categorie di dati più esposte all’attacco HNDL sono quelle con una lunga durata di riservatezza richiesta, non necessariamente quelle di maggior valore immediato e, precisamente:

È doveroso evidenziare che anche un archivio apparentemente innocuo può acquisire valore nel tempo, se combinato in futuro con altre fonti o con tecniche di IA. Pertanto, si consiglia di non valutare l’esposizione soltanto in base all’impatto operativo immediato del dato, ma anche nel lungo termine.

Le strategie di difesa

Un’operazione HNDL raramente somiglia a una violazione “rumorosa”. L’attaccante può limitarsi a intercettare il traffico TLS e VPN fra sedi e data center; sottrarre backup cifrati, snapshot e repository di codice, compromettere endpoint o account privilegiati per raccogliere file e metadati; ottenere accesso (anche indirettamente, attraverso un fornitore terzo) a chiavi, certificati e token che faciliteranno una futura decifrazione o impersonificazione.

Poiché la raccolta non richiede una decifrazione in tempo reale, può restare del tutto invisibile ai controlli di incident response tradizionali, tarati per riconoscere un danno immediato, rispetto ad un’esposizione a lunghissimo termine. Ne consegue che è importante essere consapevoli del fatto che l’assenza di un incidente percepibile non equivale all’assenza di un’esposizione già avvenuta.

La gestione della minaccia HNDL presuppone che venga inserita nella matrice del risk assessment, come rischio cyber strategico e valutando ogni asset o flusso informativo in base alle seguenti parametri: valore informativo, durata della segretezza, esposizione, dipendenza crittografica, criticità operativa. Ciò permetterà di identificare i dati da proteggere subito, applicazioni da adeguare, dipendenze da terze parti da verificare, sistemi legacy da trattare con misure compensative, fino a quando una sostituzione completa non sarà tecnicamente possibile.

Gli standard di crittografia post-quantistica

Il NIST ha finalizzato i primi tre standard di crittografia post-quantistica:

Tali standard offrono un riferimento concreto per pianificare l’evoluzione delle architetture e ridurre la dipendenza da meccanismi vulnerabili alla minaccia quantistica. Inoltre, al momento sono ancora in fase di bozza gli standard FIPS 206 (FN-DSA) per casi d’uso che richiedono chiavi e firme di dimensioni ridotte e HQC (Hierarchical Cipher), selezionato ufficialmente come meccanismo KEM di backup alternativo basato su codici, nell’ambito del Progetto di standardizzazione PQC del NIST.

Le organizzazioni, nel breve termine devono adoperarsi per ridurre quanto prima l’esposizione dei dati più sensibili, costruendo in parallelo la capacità di migrare in modo sostenibile nel tempo. La cifratura ibrida, che combina in un unico scambio crittografico, meccanismi classici consolidati e algoritmi post-quantum, costituisce al momento la strategia più pragmatica, proteggendo sin d’ora contro il rischio HNDL.