L'informatica quantistica è alle porte e potrebbe finire per costare un occhio della testa — letteralmente.
Questa tecnologia rivoluzionaria consentirà di raggiungere velocità di elaborazione esponenzialmente superiori rispetto a quelle dei computer attuali, grazie all’utilizzo di qubit di tipo “ ” per l’esecuzione di algoritmi quantistici multidimensionali.
Qubit? Ne parleremo tra un attimo. The key here is that today’s primitive quantum computers are thought to make use of about 100 logical qubits. Tuttavia, quando raggiungeranno il livello necessario per elaborare da 3.000 a 4.000 di queste unità digitali di informazione – cosa che, secondo molti, potrebbe avvenire entro un decennio circa – ciò potrebbe inaugurare un’età dell’oro delle scoperte nei settori della medicina , della scienza dei materiali, della difesa, dell’urbanistica , dell’alta tecnologia e di altre discipline. Tuttavia, come accade per la maggior parte delle innovazioni straordinarie, c’è anche il rovescio della medaglia: questa tecnologia potrebbe essere sfruttata anche dai criminali informatici, e le banche costituiranno un obiettivo primario.
Nel settore bancario, ad esempio, si prevede che i futuri computer quantistici diventeranno talmente potenti da riuscire a eludere la maggior parte degli algoritmi crittografici attualmente utilizzati dagli istituti finanziari per proteggere i dati privati e sensibili dei clienti, le transazioni online e i conti.
Ciò non significa che un hacker qualsiasi sarà in grado di sfruttare facilmente i computer quantistici per sferrare attacchi contro istituzioni come BofA o Citigroup. I sistemi quantistici risulteranno di gran lunga troppo costosi per la maggior parte dei criminali informatici. No, il timore è che Stati ostili o gruppi di hacker ben finanziati possano rubare, acquistare o sviluppare computer quantistici e sferrare attacchi contro istituzioni finanziarie e mercati prima che qualcuno se ne accorga.
Che cos’è l’informatica quantistica e perché le banche devono agire subito?
Se non avete familiarità con il termine, il qubit (pronunciato “KYOO-bit”, abbreviazione di “quantum bit”) indica un’unità di base di informazione nell’informatica quantistica, analoga al bit o alla cifra binaria nell’informatica classica, che consente l’elaborazione delle informazioni in una frazione del tempo richiesto dall’informatica tradizionale. Viene spesso raffigurata come una sfera che ruota, in contrapposizione agli uno e agli zero del sistema binario dell’informatica tradizionale. Nei prossimi anni sentirete parlare sempre più spesso dei qubit, man mano che la tecnologia quantistica si svilupperà e i criminali informatici ne sfrutteranno il potenziale per sferrare attacchi contro il settore dei servizi finanziari e altri obiettivi.
«Anchese [l’informatica quantistica] non dovesse diventare realtà prima di un altro decennio, è necessario iniziare fin da ora a pianificare i cambiamenti che saranno necessari per scongiurare potenziali minacce.»”Matthew Mittelsteadt, ricercatore presso il Mercatus Center
Tale minaccia ha indotto il presidente Biden a emanare, lo scorso anno, un decreto esecutivo relativo all’ e che stabilisce i requisiti che le agenzie federali devono soddisfare per rendere i propri sistemi crittografici resistenti alla crittografia quantistica (post-quantum). Il mandato è stato poi formalizzato nella legge sulla preparazione alla sicurezza informatica nell’ambito del calcolo quantistico (Quantum Computing Cybersecurity Preparedness Act), firmata lo scorso dicembre.
Da parte loro, le banche sanno già da tempo di essere vulnerabili e prevedono di investire miliardi di dollari per contrastare tale minaccia. Tuttavia, gli osservatori temono che, poiché il pieno potenziale dell’informatica quantistica non sarà raggiungibile prima di almeno sette o 10 anni, molte banche rimanderanno l’adozione di misure concrete fino a quando non ci si avvicinerà a tale data. Dopotutto, la loro attenzione è rivolta a questioni urgenti quali l’economia , le perdite crescenti e il calo della fiducia dei depositanti.
Ciononostante, secondo gli osservatori del settore, rimandare l’adozione di misure contro la minaccia quantistica costituirebbe un grave errore.
Per prima cosa, i dati odierni potrebbero già essere vulnerabili alla decrittazione tramite il calcolo quantistico — ma non nel modo in cui si potrebbe pensare. Poiché i dati mantengono la loro utilità per un certo periodo, gli Stati potrebbero raccogliere fin da ora informazioni crittografate dai propri avversari nella speranza di riuscire a decifrarle, una volta che ciò sarà possibile, avvalendosi della tecnologia quantistica. Questo approccio basato sulla “capsula del tempo” è noto come “attacco HNDL” (harvest now, decrypt later, ovvero “raccogli ora, decodifica in seguito”) e, secondo un sondaggio condotto da Deloitte nell’ambito dell’ , oltre la metà (50,2%) delle organizzazioni consapevoli delle minacce quantistiche ritiene di essere “a rischio” a causa di tale attacco.
Contrastare la “minaccia esistenziale” dell’informatica quantistica
Alla luce di tutto ciò, Matthew Mittelsteadt, ricercatore presso il Mercatus Center, un think tank con sede in Virginia, definisce l’informatica quantistica «una minaccia esistenziale per la sicurezza bancaria» e mette in guardia dal sottovalutare il tempo e le risorse finanziarie necessari per affrontare adeguatamente tale minaccia.
«Anche se ciò non dovesse verificarsi prima di un altro decennio, è necessario iniziare fin da ora a pianificare i cambiamenti che saranno necessari per scongiurare potenziali minacce, poiché tali cambiamenti saranno piuttosto significativi», afferma Mittelsteadt. «Se si considera ciò che sarà interessato da questo problema, si tratta praticamente di tutto. “Saranno la nostra tecnologia mobile, i nostri database… Letteralmente, qualsiasi cosa che comunichi in formato digitale e utilizzi la crittografia potrebbe essere compromessa e resa insicura.”
Per correttezza nei confronti dei banchieri, va precisato che il loro lavoro di preparazione dipenderà dalle iniziative del governo volte a concordare sostituti solidi e resistenti alla crittografia quantistica per i comuni sistemi di crittografia a chiave pubblica (PKC), quali RSA, Diffie-Hellman e la crittografia a curve ellittiche (ECC). Tali iniziative, guidate dall’Istituto Nazionale di Standard e Tecnologia (NIST ) del Dipartimento del Commercio degli Stati Uniti, sono in corso dal 2015 e proseguono tuttora.
Progressi lenti ma costanti nel campo della sicurezza informatica quantistica
Infatti, solo lo scorso anno l’ NIST ha pubblicato e ha avviato una consultazione pubblica su un elenco di quattro algoritmi di crittografia “finalisti” —CRYSTALS-Kyber per la crittografia generale e CRYSTALS-Dilithium, FALCON e SPHINCS+ per le firme digitali — che presumibilmente entreranno a far parte del proprio standard di crittografia post-quantistica (PQC) intorno al 2024.
«: Gli attuali algoritmi di sicurezza informatica potrebbero essere spiegati alla maggior parte degli studenti delle scuole superiori durante una lezione di matematica.» Tuttavia, la matematica che utilizziamo per questi nuovi algoritmi post-quantistici è molto più complessa e occorreranno conoscenze e formazione approfondite per comprenderla.”Dustin Moody, matematico presso la divisione di sicurezza informatica, NIST
Tuttavia, il percorso verso l’approvazione di tali standard è incerto, poiché i ricercatori nel campo della sicurezza continuano a mettere alla prova gli algoritmi. All’inizio di quest’anno, ad esempio, alcuni ricercatori svedesi sono riusciti a violare un’implementazione di CRYSTALS-Kyber utilizzando un attacco di canale laterale , assistito da un’intelligenza artificiale (IA) di tipo “”. Gli attacchi tramite canale laterale raccolgono informazioni sensibili, quali le chiavi crittografiche, misurando le emissioni casuali dell’hardware anziché prendere di mira direttamente il codice.
Tali ostacoli erano tuttavia prevedibili, data la complessità degli algoritmi quantistici, afferma Dustin Moody, matematico presso la divisione di sicurezza informatica dell’ NIST.
«Si tratta di un ambito molto complesso», afferma Moody. «L’RSA, ad esempio, è un algoritmo che si potrebbe spiegare alla maggior parte degli studenti delle scuole superiori durante una lezione di matematica. Tuttavia, la matematica che utilizziamo per questi nuovi algoritmi post-quantistici è molto più complessa e occorreranno conoscenze e formazione approfondite per comprenderla. Ci saranno quindi delle sfide. «E potrebbero insorgere delle vulnerabilità se non attuassimo tutto ciò con la massima attenzione».
Moody's consiglia alle banche di attendere la pubblicazione degli standard nel 2024 prima di implementare gli algoritmi post-quantistici, ma altri esperti continuano a sottolineare l'importanza di adottare alcune misure per prepararsi al loro arrivo.
Per cominciare, raccomandano:
1. Fate un inventario dei vostri sistemi crittografici
Graham Steel, responsabile di prodotto del gruppo dedicato alla sicurezza quantistica presso SandboxAQ, una startup spin-off di Alphabet Inc., società madre di Google , spiega a (Focal Point di ) che è necessario effettuare un inventario approfondito per individuare dove, all’interno della propria organizzazione, si utilizza una crittografia vulnerabile alla crittografia quantistica.
A questo punto è necessario prendere in considerazione una valutazione dei rischi relativa all’ , al fine di individuare quali dati dovranno rimanere riservati tra cinque e 10 anni. Ciò può contribuire a prevenire eventuali attacchi HNDL in futuro.
Potete inoltre sperimentare gli algoritmi quantistici in fase di bozza NIST nel vostro ambiente per valutare in che modo potrebbero influire sulle vostre applicazioni più importanti, aggiunge.
2. Destinare risorse finanziarie alla sicurezza informatica quantistica
Mittelsteadt afferma che poche banche si rendono conto di quanto sarà dispendioso in termini di tempo e di costi smantellare e sostituire l’intera infrastruttura crittografica alla base dei propri sistemi digitali.
«Il rischio di non agire in tal senso è quello di rimanere indietro rispetto ai vostri concorrenti, i quali presto renderanno noti i propri progressi.»”Graham Steel, responsabile di prodotto presso il gruppo di sicurezza quantistica di SandboxAQ
«Bisogna cominciare a riflettere su quali infrastrutture potrebbero essere interessate», afferma. «Si tratta di un compito molto complesso. «Ci saranno molti sistemi di cui non vi rendete conto che siano insicuri.»
Molti sistemi, avverte, non sono adeguatamente documentati.
«Probabilmente dovrete incaricare qualcuno di esaminare tutte le vostre entità e filiali e, sul campo, individuare quali sistemi esistono, verificare se potrebbero essere interessati e elaborare un piano per modificare il vostro software al fine di garantire una migliore difesa contro gli attacchi quantistici», afferma. «Non sarà facile.»
3. Riprogettate il vostro software
Mittelsteadt osserva che potrebbe essere necessario un lungo percorso prima che gli algoritmi di “ NIST ” vengano standardizzati. In vista di ciò, egli consiglia alle banche di iniziare a riprogettare il proprio software “monolitico” per adattarsi più facilmente ai cambiamenti.
«È necessario implementare metodologie volte a garantire l’agilità informatica», afferma. “Ciò significa progettare sistemi modulari, in modo da poter sostituire facilmente i componenti, in particolare quelli relativi alla sicurezza. «Se oggi progetterete sistemi di questo tipo, sarete pronti quando tali standard NIST saranno formalizzati.»
Nessuno sa quando la minaccia quantistica si concretizzerà e diventerà un problema più grave per il settore bancario, ma gli esperti sconsigliano di aspettare per scoprirlo. Adottando misure graduali sin da ora, le banche possono ripartire i costi e gli sforzi necessari su un lungo periodo di tempo, attenuando così l’impatto negativo che ne deriva.
«Non deve necessariamente essere troppo costoso se viene considerato strategicamente come parte integrante del processo complessivo di modernizzazione del vostro sistema informatico», afferma Steel. «Il rischio di non agire in tal senso è quello di rimanere indietro rispetto ai propri concorrenti, i quali presto comunicheranno i propri progressi, oltre a diventare soggetti a pressioni normative volte a imporre una migrazione entro tempistiche che potrebbero rivelarsi irrealizzabili (poiché non si è iniziato con sufficiente anticipo), con il rischio di incorrere in sanzioni per inadempienza.»
