ISO adotta Classic McEliece: l'algoritmo del 1978 diventa lo standard globale per la crittografia post-quantistica

Il panorama della crittografia post-quantistica (PQC) ha appena vissuto una svolta epocale. Nel giugno 2026, l'Organizzazione Internazionale per la Standardizzazione (ISO) ha ufficialmente adottato Classic McEliece – un algoritmo crittografico pubblicato per la prima volta nel 1978 – come standard globale per la crittografia resistente ai computer quantistici . Questa pietra miliare arriva in un momento in cui la finestra temporale per prepararsi all'avvento del quantum computing si è improvvisamente ristretta, trainata dalla scadenza 2029 di Google, da un nuovo ordine esecutivo USA e da un crescente consenso sul fatto che computer quantistici in grado di violare la crittografia attuale potrebbero arrivare anni prima del previsto.

Ecco cosa è successo, perché è importante e cosa significa per le organizzazioni che devono proteggere i propri dati da futuri attacchi quantistici.

L'ISO inserisce Classic McEliece negli standard globali di crittografia

Il 5 giugno 2026, l'Organizzazione Internazionale per la Standardizzazione ha pubblicato un aggiornamento dello standard ISO/IEC 18033-2, lo standard internazionale per la crittografia asimmetrica, aggiungendo ufficialmente Classic McEliece come primo algoritmo code-based e resistente ai quantum computer all'interno dello standard . Un'analisi indipendente del settore nota che l'ISO ha standardizzato anche FrodoKEM nello stesso aggiornamento .

Lo standard è ora disponibile per le organizzazioni in tutti i 177 paesi membri dell'ISO, consentendo loro di adottare la crittografia post-quantistica all'interno di un quadro internazionale riconosciuto . Questo è importante perché gli standard internazionali riducono il rischio di implementazioni incompatibili e forniscono a team di procurement, regolatori e revisori un punto di riferimento comune.

Classic McEliece: origini, compromesso e ruolo nella standardizzazione internazionale

Origini (1978)

Robert J. McEliece pubblicò il crittosistema originale nel 1978, basandosi sulla difficoltà di decodificare codici binari casuali di Goppa – un problema che rimane NP-hard e che non è noto per essere risolvibile da computer quantistici . Classic McEliece ne è un discendente diretto, che utilizza la variante duale migliorata di Niederreiter (basata sulla sindrome) anziché lo schema originale basato sulle parole di codice, ma mantenendo lo stesso presupposto di sicurezza fondamentale . È descritto come "il più antico schema di crittografia a chiave pubblica ancora considerato sicuro" .

Il compromesso chiave: chiavi pubbliche enormi

Il punto debole che ha definito Classic McEliece – e il motivo per cui non fu ampiamente adottato negli anni '80 – è la dimensione della sua chiave pubblica. Le chiavi vanno da circa 261 kilobyte a oltre 1,3 megabyte (ad esempio, 1.047.319 byte per un set di parametri) . Si tratta di ordini di grandezza superiori rispetto alle chiavi RSA o ECC (tipicamente poche centinaia di byte), rendendolo inadatto per ambienti con risorse limitate come dispositivi IoT, smart card o handshake TLS su larghezza di banda ridotta.

La sua forza compensativa è che la sua sicurezza è straordinariamente ben compresa. Non sono stati trovati miglioramenti crittanalitici pratici in oltre 45 anni di studio . Il livello di sicurezza del sistema McEliece è rimasto notevolmente stabile, nonostante dozzine di tentativi di attacco .

Ruolo nella standardizzazione internazionale

Classic McEliece è ora riconosciuto da diversi organismi di standardizzazione, ognuno con un ruolo leggermente diverso:

Organismo	Azione	Data
ISO	Aggiunto Classic McEliece a ISO/IEC 18033-2	5 giugno 2026
NIST	Mantenuto come candidato del 4° round; considerato il backup più conservativo	Rapporto luglio 2026
IETF	Pubblicata una bozza informativa che specifica Classic McEliece come KEM sicuro IND-CCA2	23 giugno 2026
BSI (Germania)	Approvato come adatto per la protezione a lungo termine di dati classificati	Giugno 2026
Mullvad VPN	Ha già integrato l'algoritmo	Giugno 2026

Classic McEliece è posizionato come backup conservativo o seconda linea di difesa: se gli schemi basati su reticoli che il NIST ha già standardizzato (ML-KEM / CRYSTALS-Kyber) venissero mai violati, la crittografia code-based fornisce un'alternativa matematicamente indipendente .

Perché il NIST non lo ha standardizzato per primo

È interessante notare che il NIST ha esplicitamente ritardato la standardizzazione di Classic McEliece nel 2025, scrivendo che "la standardizzazione simultanea di Classic McEliece da parte di NIST e ISO rischia la creazione di standard incompatibili" e indicando che avrebbe preso in considerazione uno standard basato sul lavoro dell'ISO dopo il completamento del processo ISO . Il NIST ha selezionato un diverso algoritmo code-based, HQC, per la standardizzazione, ma Classic McEliece rimane nel quarto round come candidato per future considerazioni .

Sviluppi recenti che accelerano l'urgenza della PQC

La standardizzazione ISO da sola sarebbe già significativa. Ma arriva insieme a diversi sviluppi che hanno compresso la finestra di migrazione PQC da un vago problema degli anni '30 a una scadenza concreta di circa 3 anni.

La scadenza 2029 di Google

Il 25 marzo 2026, Google ha pubblicato un post sul blog a firma di Heather Adkins, VP of Security Engineering, e Sophie Schmieg, Senior Staff Cryptographer, intitolato "Quantum frontiers may be closer than they appear", fissando una scadenza interna al 2029 per completare la migrazione PQC su tutti i sistemi Google . Questo ha spostato il Q-Day in avanti di circa sei anni rispetto alle precedenti aspettative del settore allineate con le scadenze NIST del 2035 o NSA del 2031 . Google ha citato i progressi più rapidi del previsto nell'hardware quantistico e nella correzione degli errori come fattori chiave .

Stime ridotte di qubit per violare la crittografia a curve ellittiche

La tempistica aggiornata di Google è stata determinata in parte da stime drasticamente ridotte delle risorse per gli attacchi dell'algoritmo di Shor sulla crittografia a curve ellittiche. Le nuove tecniche di ottimizzazione dei circuiti hanno ridotto il numero stimato di qubit fisici necessari per violare la crittografia a curve ellittiche a 256 bit da milioni a potenzialmente centinaia di migliaia . Questo rende un computer quantistico crittograficamente rilevante realizzabile prima di quanto si pensasse.

La scadenza parallela di Cloudflare

Cloudflare si è allineato pubblicamente a un'urgenza simile, annunciando piani per completare la propria migrazione PQC in una finestra temporale che corrisponde a quella del 2029 di Google . Cloudflare è stato tra i primi a implementare TLS post-quantistico, incluso l'accordo di chiave ibrida X25519Kyber768, e sta accelerando il dispiegamento completo in produzione.

Preoccupazioni per "Harvest-Now-Decrypt-Later" (HNDL)

Google ha citato esplicitamente il rischio "store-now, decrypt-later" come fattore chiave . Attori ostili – inclusi attori statali – stanno già raccogliendo traffico crittografato: connessioni VPN, dati finanziari, segreti di stato e comunicazioni in criptovaluta. L'intenzione è decifrarli non appena un computer quantistico diventerà disponibile. Ciò significa che i dati crittografati oggi con RSA o ECC sono già a rischio, creando l'urgenza di migrare prima di una violazione quantistica, non dopo .

Ordine esecutivo USA del giugno 2026

Nel giugno 2026, l'amministrazione Biden ha emesso un ordine esecutivo che impone a tutte le agenzie federali USA di accelerare la migrazione alla crittografia post-quantistica, con scadenze vincolanti per inventario, valutazione e piani di transizione . Questo si basa sul Quantum Computing Cybersecurity Preparedness Act del 2022 e sugli standard PQC NIST del 2024 (FIPS 203/204/205), convertendo linee guida volontarie in requisiti federali .

La convergenza: cosa significa

La combinazione degli standard ufficiali ISO (Classic McEliece, FrodoKEM), degli algoritmi primari finalizzati dal NIST (ML-KEM, ML-DSA, SLH-DSA), della scadenza 2029 di Google, della riduzione delle stime sui qubit, della tempistica parallela di Cloudflare, delle minacce HNDL già in atto e di un ordine esecutivo USA del giugno 2026 ha cambiato radicalmente il calcolo dell'urgenza.

L'infrastruttura degli standard è ora in atto. Per la maggior parte delle organizzazioni, la sfida rimanente è l'esecuzione su larga scala: inventariare gli asset crittografici, dare priorità ai sistemi ad alto rischio (autenticazione, dati a lunga conservazione, VPN) e iniziare la migrazione verso algoritmi ibridi o post-quantistici entro il 2029.

Classic McEliece non sarà l'algoritmo che la maggior parte delle organizzazioni utilizzerà per il TLS quotidiano – la dimensione della sua chiave lo rende poco pratico per la maggior parte dei casi d'uso. Ma per la protezione dei dati a lungo termine, le comunicazioni governative ad alta sicurezza e le applicazioni in cui la certezza della sicurezza conta più della larghezza di banda, l'algoritmo del 1978 appena standardizzato potrebbe essere esattamente il tipo di backup conservativo di cui Internet ha bisogno.