Il post-quantistico vuole OpenSSL 3.5 all'origine

Il primo passo post-quantistico che la CDN non compie al posto vostro

Un tecnico che apra la pagina di stato post-quantistico di Cloudflare legge buone notizie da tre anni senza aver fatto nulla. Sul tratto fra il browser di un visitatore e il bordo di Cloudflare la cifratura post-quantistica è attiva per impostazione predefinita dal 2023, con lo scambio di chiavi ibrido che oggi si scrive X25519MLKEM768, e nessun cliente l'ha configurata. È arrivata come arriva il tempo atmosferico.

Il 29 luglio questa forma di lavoro è finita. Cloudflare ha annunciato l'autenticazione post-quantistica sull'altro tratto, fra la propria rete e i server di origine gestiti dai clienti, con firme ML-DSA. L'autenticazione non è qualcosa che un proxy possa svolgere per conto vostro, perché ciò che viene attestato è il vostro server. Per usarla, quel server deve conservare e mostrare un certificato firmato con un algoritmo che probabilmente non ha mai visto.

Che cosa è stato effettivamente rilasciato

Il cambiamento passa da due prodotti. Authenticated Origin Pulls è il meccanismo con cui Cloudflare presenta un certificato client alla vostra origine, così che questa possa rifiutare le connessioni non passate da Cloudflare, e ora accetta ML-DSA ai livelli di configurazione per zona e per nome host. Il livello globale è indicato come in arrivo più avanti. Il Custom Origin Trust Store, che consente a un cliente di caricare autorità di certificazione proprie invece di affidarsi all'insieme pubblico, accoglie ora autorità che firmano con ML-DSA, così che un certificato di origine possa essere convalidato contro un firmatario post-quantistico.

Sono supportati tutti e tre gli insiemi di parametri di FIPS 204: ML-DSA-44, ML-DSA-65 e ML-DSA-87. Lo scambio di chiavi della connessione resta l'ibrido X25519MLKEM768. In altre parole la riservatezza su quel tratto era già risolta; a cambiare è la parte che dimostra chi sta a ciascuna estremità.

Cinque cose che devono cambiare su una macchina vostra

L'elenco dei requisiti è breve e ogni voce cade dal vostro lato della connessione. Sull'origine serve OpenSSL 3.5.0 o successivo anche solo per generare una catena di certificati ML-DSA. Il certificato va caricato nella codifica a solo seme definita da FIPS 204, che non è quella prodotta per abitudine dalla maggior parte degli strumenti. Il server web all'origine, NGINX nell'esempio dello stesso Cloudflare, va configurato per presentare il certificato ML-DSA oppure per verificare contro di esso il certificato client. Chi usa il Custom Origin Trust Store deve impostare la modalità SSL/TLS della zona su Full (strict). E poi va rimossa la fiducia nel meccanismo vulnerabile ai calcolatori quantistici, perché lasciarlo in piedi permette a un aggressore di negoziare la via vecchia e rende la nuova puramente decorativa.

Nulla di tutto questo è esotico. OpenSSL 3.5.0 è uscito l'8 aprile 2025 come linea a supporto prolungato con aggiornamenti fino ad aprile 2030 ed è stata la prima versione a portare in modo nativo i tre standard post-quantistici del NIST. La difficoltà non sta nel numero di versione. Sta nel fatto che l'origine è spesso la macchina meno frequentata dell'intero parco: un apparato, una scatola gestita da un fornitore, una macchina virtuale che nessuno ha più ricostruito dal giorno in cui è stata creata, o un bilanciatore il cui stack TLS resta un problema di qualcun altro finché non lo è più.

Il rilascio dello stesso Cloudflare è l'argomento a favore di una fase di collaudo. Il 10 giugno 2026 l'azienda ha avuto un guasto in produzione durante questa distribuzione, causato dal controllo del campo KeyUsage nei certificati. È un dettaglio di un'estensione di certificato, e ha colpito una squadra che costruisce librerie TLS per mestiere, su un'infrastruttura che controlla da un capo all'altro. Un'impresa di media dimensione che faccia la stessa modifica un giovedì pomeriggio dovrebbe mettere in conto di trovare qualcosa di analogo.

Perché l'insieme consigliato è il più piccolo

Cloudflare consiglia ML-DSA-44 per la maggior parte delle applicazioni e lo descrive come l'opzione più efficiente. È una scelta tecnica sostenibile ed è al tempo stesso il più piccolo dei tre insiemi di FIPS 204, collocato nella categoria di sicurezza 2 del NIST. Altrove la raccomandazione predefinita più diffusa è ML-DSA-65, categoria 3. Le firme post-quantistiche sono grandi rispetto a quelle che sostituiscono e, su un tratto che trasporta ogni singola richiesta fra bordo e origine, la differenza di dimensione è un costo reale di latenza e banda, non teorico.

Per un imprenditore il punto è che qui nasce una decisione con il vostro nome sopra. Se la vostra politica di sicurezza o il vostro revisore hanno già fissato la categoria 3 per le firme, adottare in silenzio la raccomandazione della CDN crea un'eccezione che dovrete poi spiegare. Mettete per iscritto l'insieme di parametri e la ragione, prima che qualcun altro scopra lo scarto durante una verifica.

La scadenza che esiste e quella che non esiste

Sull'urgenza conviene essere chiari, perché le due metà del post-quantistico corrono davvero su orologi diversi. Il traffico cifrato registrato oggi può essere decifrato da una macchina futura, ed è questo a rendere lo scambio di chiavi un problema del presente. Una firma non si falsifica all'indietro allo stesso modo: nessuno userà un calcolatore quantistico nel 2032 per inventare a posteriori una stretta di mano avvenuta stamattina. La ragione per cominciare adesso non è che siate sotto attacco, ma la lunghezza della fila dietro questa modifica, che attraversa autorità di certificazione, hardware, apparati dei fornitori e ogni origine che avevate dimenticato.

Cloudflare ha messo date sulla propria fila: sicurezza post-quantistica completa su tutti i prodotti entro il 2029 e un primo impiego dei Merkle Tree Certificates sul lato visitatore previsto per il 2027. Sono le sue scadenze, non le vostre. La vostra è la prossima verifica che chiederà che cosa protegge la connessione fra la vostra CDN e i vostri server, e in Italia è l'Agenzia per la Cybersicurezza Nazionale a dare il riferimento. La risposta onesta oggi, per quasi tutti, è crittografia classica con un sostituto disponibile e inutilizzato.

Da leggere ora: Avere più operatori non vuol dire scegliere il percorso  |  I domini albanesi sono spariti. Quelli tedeschi a maggio.