Shor e la firma quantistica

«COMPUTER QUANTISTICI: LA FINE DI TUTTI I SEGRETI?», lesse Uwe ad alta voce. «Gli esperti avvertono: i futuri computer quantistici potrebbero violare la crittografia di banche, enti pubblici e app di messaggistica.»

«C’è un punto interrogativo», disse Sabine, senza alzare gli occhi dal suo giornale. «Quando nel titolo c’è un punto interrogativo, la risposta di solito è no.»

«E se invece no?»

«Allora la settimana prossima lo scrivono senza punto interrogativo.»

Zio Herbert era seduto con loro al tavolo della colazione. Da un po’ di tempo veniva il sabato, ufficialmente per i panini di Gisela, in realtà perché dalla faccenda del vecchio portatile in cantina controllava ogni mattina il prezzo del bitcoin e aveva bisogno di qualcuno a cui dire il numero.

«Banche», disse. «App di messaggistica. E i miei soldi di internet?»

«Qui non c’è scritto», disse Uwe.

«Allora lo scrivono la settimana prossima», disse Herbert cupo. «KevIn. Sinceramente. Un frigorifero del genere può rubarmi i soldi?»

La luce blu pulsò. «Oggi no, Herbert.»

«E domani?»

«Neanche domani.»

«E dopodomani?»

«Lì si fa interessante.»

Herbert posò il panino. Di solito lo faceva solo in caso di lutti e di calci di rigore.

Un uomo di nome Shor

«Cominciamo dall’inizio», disse KevIn. «Vi ricordate dei numeri primi? Il professor Demir e il messaggio agli extraterrestri?»

«1679», disse subito Tobi. «23 per 73.»

«Esatto. Moltiplicare è facile. 23 per 73 lo calcoli su un sottobicchiere. Ma se ti do solo 1679 e ti chiedo quali due numeri primi ci sono dentro, devi provare. Con 1679 si fa ancora. Con un numero di seicento cifre, un computer normale continua a provare per più tempo di quanto sia vecchio l’universo.»

«E su questo si basa l’RSA», disse Tobi. «L’abbiamo fatto.»

«Su questo si basa l’RSA. La chiave pubblica contiene il prodotto, la chiave segreta dipende dai due fattori¹. Finché nessuno riesce a scomporre il numero grande, è sicuro.»

«E adesso arriva il frigorifero», disse Uwe.

«Adesso arriva Peter Shor. Un matematico americano. Nel 1994 ha dimostrato che un computer quantistico abbastanza grande potrebbe scomporre numeri grandi molto più velocemente di qualsiasi metodo conosciuto sui computer normali². All’epoca non esisteva ancora nessun computer quantistico. Shor, quindi, ha scritto la ricetta prima che qualcuno avesse un fornello.»

«Come la mamma», disse Uwe. «Anche lei scrive ricette di cose che in casa non abbiamo.»

«Io scrivo liste della spesa», disse Sabine. «È la differenza tra pianificazione e speranza.»

«Come fa?», chiese Tobi. «Questo Shor. Prova tutti i numeri contemporaneamente?»

«No», dissero KevIn e Tobi contemporaneamente, perché Tobi si era pentito della propria domanda nello stesso secondo.

«Molto bene», disse KevIn. «Il capitolo 17 ha funzionato. Un computer quantistico non prova semplicemente tutto. Shor ha trovato una scorciatoia. Trasforma la domanda “Quali fattori?” nella domanda “Quale ritmo?”.»

«Ritmo?», chiese Gisela.

«Immagina di prendere un numero e moltiplicarlo per se stesso ancora e ancora, ma ogni volta guardi solo il resto che rimane quando lo dividi per il numero grande. A un certo punto i resti si ripetono. Come un motivo nel lavoro a maglia. Due diritti, due rovesci, treccia, e poi di nuovo da capo.»

«Quello è il rapporto», disse Gisela. «Nel lavoro a maglia si chiama così.»

«Grazie. Il trucco di Shor è questo: se si conosce la lunghezza di questo rapporto, con un po’ di matematica da scuola si possono calcolare i fattori. E trovare ritmi è una cosa che ai computer quantistici riesce bene. Grazie all’interferenza. Le possibilità che non si adattano al ritmo si annullano a vicenda. Quelle giuste si rafforzano. Come le onde in piscina, solo con la matematica.»

«Come quando si ondeggia a braccetto alla festa», disse Gisela. «Se uno ondeggia dalla parte sbagliata, te ne accorgi subito. E prima o poi ondeggia giusto, perché lo trascini con te.»

KevIn ci pensò mezzo secondo. «Non è del tutto corretto. Ma è più bello che corretto.»

Che cosa vacilla

«Quindi l’RSA è rotto», disse Herbert. «E i miei soldi?»

«È ancora peggio», disse KevIn. «E allo stesso tempo meno grave. Spiego tutte e due le cose.»

«Prima la cosa brutta», disse Herbert. «A quella bella tanto non ci credo.»

«Il metodo di Shor non funziona solo contro l’RSA. In forma modificata funziona anche contro le cosiddette curve ellittiche³. È l’altra grande famiglia di procedimenti a chiave pubblica, che oggi si trova quasi dappertutto. Anche in Ed25519⁴, il procedimento di firma che vi ho spiegato con la recensione della fisioterapista di Gisela. E anche nelle firme con cui si firmano i trasferimenti di bitcoin.»

Herbert impallidì. «Allora è vero.»

«Adesso la cosa meno grave. Per violare l’RSA o queste curve nelle dimensioni usate oggi, servirebbe un computer quantistico con moltissimi qubit con correzione degli errori, cioè logici⁵. All’istituto avete visto quanto è difficile già un singolo qubit logico affidabile. Una macchina del genere oggi non esiste. Nessuno sa quando esisterà. Le stime degli esperti divergono molto⁶. Alcuni dicono tra dieci, quindici anni, altri più tardi, altri ancora sono cauti con qualsiasi numero.»

«E tu che cosa dici?», chiese Uwe.

«Io dico: non lo so. E sono molto orgoglioso di poterlo dire senza citare un libro del dottor Sauerbier-Klenk.»

«E i miei soldi?», chiese Herbert per la terza volta.

«Prima o poi il bitcoin dovrà passare a procedimenti di firma resistenti ai quanti. Nella comunità del bitcoin se ne discute già⁷. È complicato, perché nel bitcoin tutti devono mettersi d’accordo e nessuno è il capo.»

«Come al club di birilli», disse Gisela.

«Da noi il capo è Brigitte», disse Herbert.

«Brigitte crede di essere il capo», disse Gisela. «È un’altra cosa.»

Raccogliere e aspettare

Nel frattempo Sabine aveva piegato il suo giornale. «Se questa macchina non esiste ancora, perché adesso ne parlano i giornali?»

«Perché certi segreti devono durare a lungo», disse KevIn. «C’è un’espressione per questo: “Harvest now, decrypt later.” Raccogli adesso, decifra più tardi⁸.»

«Sembra roba da orto urbano», disse Uwe.

«Un po’. Si immagini che qualcuno oggi intercetti messaggi cifrati. Non li può leggere. Però li salva. I dischi rigidi costano poco. E fra quindici anni, quando avrà un grande computer quantistico, li tira fuori dalla cantina e li decifra.»

«Come zia Erna con i suoi barattoli di conserva», disse Gisela. «Metteva sottovetro roba che nessuno voleva mangiare. E dieci anni dopo li ha aperti lo stesso.»

«E?»

«Non li ha mangiati nessuno nemmeno allora. Ma aperti li ha aperti.»

«Per la maggior parte dei messaggi non importa», disse KevIn. «A chi interesserà fra quindici anni che oggi Uwe ha ordinato dei panini? Ma i segreti di Stato, le cartelle cliniche, i segreti aziendali a volte devono restare segreti per decenni. Per questo si cambia adesso. Non quando la macchina sarà pronta.»

«E le firme?», chiese Tobi. «Si possono raccogliere anche quelle?»

«Bella domanda.» KevIn sembrava contento. «Con le firme il pericolo è diverso. Una firma non è segreta. Il problema sarebbe questo: se qualcuno con un grande computer quantistico riesce a calcolare la chiave segreta da quella pubblica, allora può falsificare nuove firme. Potrebbe quindi sostenere che un documento è sempre stato firmato così, anche se l’ha fatto solo ieri.»

«Sarebbe come con Marlies», disse Gisela. «Quella volta la lista dei birilli…»

«Mamma», disse Uwe.

«Io non dico niente. Dico solo che sarebbe così.»

Reticoli e rumore

«E adesso che cosa si fa?», chiese Sabine. «Non si può mica tornare a scrivere tutto su carta.»

«Tu sì», disse Uwe.

«Si usa un’altra matematica», disse KevIn. «Una matematica per cui nemmeno Shor ha trovato un trucco. Si chiama crittografia post-quantistica. L’ente di normazione americano NIST ha organizzato a questo scopo una gara pubblica, durata molti anni, con esperti di tutto il mondo. Tutti potevano provare a violare le proposte. Alcune sono state davvero violate, addirittura con computer del tutto normali⁹. Nell’agosto 2024 il NIST ha pubblicato i primi tre standard¹⁰.»

«Come si chiamano?», chiese Tobi.

«ML-KEM¹¹ per lo scambio di chiavi. ML-DSA¹² e SLH-DSA¹³ per le firme.»

«Sembrano targhe tedesche», disse Uwe. «ML-KEM. Mülheim, Kempen.»

«E poi c’è anche FN-DSA», disse KevIn. «Un procedimento di firma che è stato anch’esso selezionato. È stato sviluppato con il nome Falcon, al NIST viene standardizzato come FN-DSA¹⁴. Le sue firme sono relativamente piccole. È pratico quando se ne vogliono salvare moltissime.»

«E su che cosa si basano?», chiese Tobi. «Se non sui numeri primi?»

«La maggior parte sui reticoli.»

«Reticoli?», chiese Gisela. «Come la grata della recinzione del giardino?»

«Quasi. Immagina un’enorme griglia di punti. Non piatta come una recinzione, ma in centinaia di direzioni, storta e deformata. Io ti do un punto da qualche parte nello spazio, che non sta esattamente sulla griglia ma un po’ di lato, perché ci ho mescolato apposta del rumore¹⁵. E tu devi trovare il vero punto della griglia più vicino.»

«In due direzioni ci riesco», disse Tobi. «È carta a quadretti.»

«In due direzioni sì. In centinaia di direzioni, per quanto si sa oggi, né un computer normale né un computer quantistico trovano il punto giusto in un tempo ragionevole. Chi invece ha la chiave segreta ha, per così dire, una buona mappa della griglia e lo trova subito.»

Gisela si alzò, andò al suo cesto del lavoro a maglia e tornò con un maglione fatto a metà. «Come questo?»

Tutti guardarono il maglione. Era verde, aveva un motivo a trecce e in diversi punti piccole irregolarità.

«Lì ho sbagliato qualche punto», disse Gisela. «La sera, davanti alla televisione. Se adesso uno vede solo il maglione, sa come doveva andare il motivo?»

«Con un maglione forse sì», disse KevIn. «Perché il motivo va solo in due direzioni e gli errori sono rari. Ma immagina un maglione lavorato in cinquecento direzioni, e in ogni maglia c’è un piccolo errore. E solo tu hai lo schema.»

«Cinquecento direzioni», disse Gisela. «Mi servirebbero più ferri.»

«È questa l’idea. L’errore c’è apposta. È lui la protezione.»

«Allora anche la lista dei birilli di Marlies era sbagliata apposta», disse Gisela soddisfatta. «Per protezione.»

«Mamma!»

La domanda dalla cucina

Nel pomeriggio chiamò Ayşe Kurt, per un appuntamento. Ormai Gisela aveva alle spalle la dodicesima seduta, la spalla faceva di nuovo quasi tutto, e quel giorno, stendendo il bucato, per la prima volta non le era venuto in mente nessun dolore. Lo disse ad Ayşe al telefono. Ayşe si rallegrò in modo udibile.

Dopo aver riattaccato, Gisela rimase un po’ seduta in silenzio in cucina. Poi disse: «KevIn. La mia recensione. Per la signora Kurt.»

«Quella che hai lasciato in inverno. Alla reception, con il codice QR.»

«Quella. Adesso è rotta anche quella? Quando arrivano le cose quantistiche?»

«Che cosa intendi con rotta?»

«Che arriva uno e dice che non l’ho scritta io. Oppure che uno mi toglie i cuoricini e da cinque ne fa tre. Io gliene ho dati cinque. Se li è meritati. E quelli di PhysioPremium sarebbero ben contenti se ne avesse di meno.»

Prima che KevIn potesse rispondere, entrò Uwe, con un caffè e la grande sicurezza di un uomo che la mattina ha letto il giornale.

«Mamma, non ti devi preoccupare», disse. «McGesund fa queste firme quantistiche.»

Ci fu una pausa. Da qualche parte tra Dublino e Francoforte una ventola girò un po’ più veloce.

«Uwe», disse KevIn gentilmente. «Quasi.»

«Come sarebbe, quasi?»

«Non si chiama firma quantistica. McGesund non usa nessun computer quantistico. Non c’è nessun lampadario dorato in cantina.»

«Ma io l’ho letto così.»

«Dove?»

Uwe ci pensò. «Nella mia testa, credo.»

«Gli esperti dicono crittografia post-quantistica», disse KevIn. «E io preferisco dire resistente ai quanti anziché a prova di quanti. Che sia a prova di tutto non lo può promettere nessuno, nemmeno io. Resistente significa: contro tutto quello che conosciamo oggi, regge. È matematica del tutto normale su computer del tutto normali. Ma è costruita in modo che, per quanto si sa oggi, nemmeno un futuro computer quantistico possa falsificarla. “Post” significa dopo. Per il tempo che viene dopo.»

«Resistente ai quanti», ripeté Uwe lentamente. «È più difficile di firma quantistica.»

«Purtroppo succede spesso con le parole giuste.»

Tre serrature su una porta

«Allora, che cosa succede adesso alla mia recensione?», chiese Gisela. «Spiegamelo in modo che lo possa raccontare a Brigitte.»

«Va bene», disse KevIn. «La tua recensione ha tre strati di protezione. Immagina una porta con tre serrature.»

«Come Herbert», disse Uwe. «Anche lui ha tre serrature. E nessuno gli ruba niente. Perché non ha niente.»

«Ti sento», disse Herbert dal soggiorno.

«La prima serratura è la firma classica. Ed25519. La conosci già. Con quella è firmato che la recensione è nata per questa strada, tramite il codice QR nello studio, e che da allora non è stata cambiata nemmeno una lettera. Se qualcuno trasforma le tue cinque stelle in tre, la firma non corrisponde più. Se ne accorge chiunque controlli.»

«E questa il computer quantistico la può rompere.»

«Forse, un giorno. Per questo c’è la seconda serratura, ed è una serratura doppia. Oltre alla firma classica, ogni recensione riceve due firme resistenti ai quanti. Una con FN-DSA, il procedimento a reticolo con le firme piccole. E una con ML-DSA, che il NIST ha pubblicato nell’agosto 2024 come standard FIPS 204. Se un giorno qualcuno viola Ed25519, ci sono comunque ancora due firme che, per tutto quello che si sa oggi, resistono anche a un computer quantistico.»

«Due?», chiese Gisela. «Non ne basta una?»

«Tutti e due i procedimenti sono ancora giovani», disse KevIn. «Si basano tutti e due sui reticoli, è vero, ma sono costruiti in modo molto diverso e sono stati sviluppati da gruppi di ricerca diversi. Se un giorno in uno dei due si scopre un punto debole, nella matematica o solo nel programma che lo realizza, l’altro continua a reggere. Come una serratura doppia con due cilindri di produttori diversi. Uno scassinatore dovrebbe forzarli tutti e due. E in più la serratura classica.»

«Cintura e bretelle», disse Uwe.

«Esatto. Non ci si affida a uno solo. Se in un procedimento si dovesse trovare comunque un punto debole, l’altro regge.»

«E la terza serratura?», chiese Gisela.

«La terza è la marca temporale. Ti ricordi dei soldi di internet di Herbert? E del notaio?»

«L’impronta digitale nel libro cassa», disse Gisela. «Con l’albero genealogico.»

«L’albero di Merkle, esatto. L’impronta digitale della tua recensione firmata e le chiavi di firma vengono ancorate nella blockchain del bitcoin tramite OpenTimestamps¹⁶. Così resta registrato che la tua recensione con queste firme esisteva al più tardi in quel giorno d’inverno.»

«E perché questo aiuta contro i quanti?»

«Perché la marca temporale si basa sulle funzioni di hash. Sul tritacarne. E contro il tritacarne Shor non ha niente in mano. Per quanto si sa oggi, i computer quantistici possono aiutare solo in modo limitato nella ricerca dentro le funzioni di hash, nemmeno lontanamente in modo così drammatico come con l’RSA. E adesso arriva il trucco. Immagina che fra vent’anni qualcuno costruisca un grande computer quantistico e con quello falsifichi una firma classica Ed25519. Però non può dimostrare che il suo falso era già nella blockchain quest’inverno. La tua recensione sì. Esisteva, in modo dimostrabile, prima che ci fossero macchine capaci di falsificare firme del genere.»

Gisela ci pensò. «Quindi la mia recensione è più vecchia del pericolo.»

«È un ottimo riassunto.»

«Anch’io lo sono», disse Gisela. «Più vecchia della maggior parte dei pericoli.»

Che cosa non può fare

Tobi era entrato in cucina e aveva ascoltato. «E perché tutto questo sforzo? Per una recensione della fisioterapista? Non è mica un segreto di Stato.»

«Perché si tratta di un’altra cosa», disse KevIn. «Ti ricordi di PhysioPremium? Ottocento recensioni, e sembravano tutte scritte da me in una brutta giornata.»

«Certo.»

«Internet si riempie di testi che nessuno ha vissuto. Recensioni, racconti di esperienze, commenti, foto. Io posso scrivere roba del genere in pochi secondi. A migliaia. E i prossimi modelli linguistici imparano da questi testi. È la deriva della verità. Copia della copia della copia. In un mondo così diventa preziosa una traccia che dimostri: qui c’era una persona vera in un posto vero, in quel giorno, e ha scritto questo. Non di più. Ma nemmeno di meno.»

«Non di più?», chiese Sabine, che stava sulla porta.

«Non di più», disse KevIn. «Per me è importante. La migliore firma del mondo non rende vera un’opinione. Se Gisela scrive che la signora Kurt ha le mani migliori della Ruhr, allora è dimostrato che l’ha scritto Gisela, sul posto, in quel giorno, senza modifiche. Se sia vero, non lo dimostra nessuna matematica. Gisela può sbagliarsi. Gisela può anche semplicemente voler bene alla signora Kurt.»

«Le voglio bene», disse Gisela. «E ha le mani migliori della Ruhr.»

«Vedi, questo io non lo posso verificare.»

«Però non si possono più far comparire dal nulla mille recensioni da orsetti gommosi», disse Sabine lentamente. «Senza che qualcuno ci sia stato mille volte.»

«Di sicuro diventa molto più difficile. E se più tardi qualcuno di nascosto riscrive recensioni, o le cancella, o ne infila di più vecchie, salta all’occhio. Anche se ci provasse McGesund stessa.»

«E lo farebbero?», chiese Uwe.

«È proprio questo il bello di un notaio», disse KevIn. «Non bisogna fidarsi di lui. Si può controllare.»

«E se uno ci scrive dentro una cattiveria?», chiese Gisela. «Con i nomi? Come Marlies quella volta sul personale della sede del club?»

«Allora la recensione per il momento non compare proprio», disse KevIn. «Se qualcuno ci scrive “signora Müller” o “dottor Meier”, il modulo avvisa già prima dell’invio. Se viene inviata lo stesso, McGesund la trattiene, e una persona la legge prima che la veda qualcuno. Poi il nome viene oscurato.»

Tobi aggrottò la fronte. «Ma hai appena detto che ogni modifica rompe la firma.»

«E infatti la rompe. Per questo non si modifica di nascosto. McGesund aggiunge un secondo sigillo, ben visibile: “Modificata da McGesund.” La vecchia firma resta com’era, con la sua marca temporale. Si vede quindi che qualcuno è intervenuto, e quando. Solo non si vede più di chi si sparlava. È proprio quello che deve sparire.»

«E se uno se la prende con il governo?», chiese Uwe. «In una recensione della fisioterapista?»

«Allora non viene pubblicata. La politica non c’entra in una recensione. Lì si parla dello studio, non di Berlino. Lo stesso vale per gli insulti. E quello che sfugge comunque lo può segnalare chiunque, con nome ed e-mail. Allora McGesund controlla e lo toglie.»

Gisela annuì. «Come al club di birilli. Di politica non si parla, e chi fa il prepotente è fuori.»

«Esattamente così», disse KevIn.

Kasimiro

La sera Uwe era alla recinzione del giardino e raccontò tutto al signor Kasimiro. Lo raccontò in modo molto dettagliato, con reticoli e maglioni e cintura e bretelle. Il signor Kasimiro continuava ad annuire, come annuiscono le persone che pensano ad altro.

«E la cosa più importante», disse Uwe alla fine, solenne, «è che non si chiama firma quantistica. Si chiama resistente ai quanti.»

«Ah», disse il signor Kasimiro.

Dalla finestra della cucina di Kasimiro si fece sentire una voce metallica. «L’ho capita. Ho aggiunto un computer quantistico al carrello. Consegna prevista martedì.»

«Siggi, no!», gridò il signor Kasimiro, e corse in casa.

Uwe tornò in soggiorno. «KevIn. Siggi ha ordinato un computer quantistico.»

«Dubito che gliene arrivi uno», disse KevIn. «Probabilmente gli arriva un frigorifero.»

«Con i fili d’argento natalizi?»

«Con il distributore di ghiaccio. E un opuscolo.»

Uwe si sedette sul divano e pensò alla QuantumLeap Ruhr AG. «Sai una cosa, KevIn? Se a Siggi va bene, almeno è un frigorifero vero.»

«È più di quanto», disse KevIn, «Lei abbia ricevuto per duemila euro.»

Uwe lanciò un cuscino del divano contro l’altoparlante. Non lo prese. Il termostato segnava 19 gradi.