WireGuard è sicuro contro il post-quantistico? Cosa offre davvero il protocollo

La domanda ritorna ogni volta che il calcolo quantistico finisce sui giornali: la mia VPN mi protegge ancora? Per WireGuard la risposta onesta richiede di separare ciò che il protocollo fa oggi da ciò che un ente di normazione ha pubblicato, perché non sono la stessa cosa.

La parte davvero vulnerabile

L'handshake di WireGuard è costruito su Curve25519. Lo scambio di chiavi a curva ellittica è esattamente la famiglia di crittografia che un grande computer quantistico riuscirebbe a rompere, ed è proprio per questo che la domanda viene posta.

Non è un difetto di WireGuard. È lo stato di quasi tutto lo scambio di chiavi in uso, ed è il motivo per cui il NIST ha condotto un processo pluriennale per standardizzare dei sostituti.

Cosa ha standardizzato davvero il NIST

Il 13 agosto 2024 il NIST ha pubblicato FIPS 203, che specifica un meccanismo di incapsulamento di chiave chiamato ML-KEM.

Un KEM svolge un compito specifico: consente a due parti di stabilire una chiave segreta condivisa su un canale pubblico, che può poi essere usata per la normale cifratura e autenticazione simmetriche. La sua sicurezza poggia sul problema Module Learning with Errors e, nella formulazione prudente dello standard, si ritiene che sia sicuro, anche contro avversari che possiedono un computer quantistico.

Lo standard definisce tre set di parametri, ML-KEM-512, ML-KEM-768 e ML-KEM-1024, in ordine di forza di sicurezza crescente e prestazioni decrescenti. Si noti la formulazione lungo tutto il testo: si ritiene che sia sicuro. È così che scrivono i crittografi, e vale la pena leggerlo alla lettera anziché come una cautela di marketing.

Cosa offre WireGuard al suo posto

WireGuard non implementa ML-KEM. Quello che descrive la sua pagina del protocollo è una chiave precondivisa opzionale, da usare se è richiesto un livello aggiuntivo di crittografia a chiave simmetrica (per, diciamo, la resistenza post-quantistica).

Qui contano tre dettagli.

Viene mescolata, non sostituita. La chiave precondivisa è combinata con la crittografia a chiave pubblica durante la derivazione delle chiavi. Un attaccante deve perciò sia rompere Curve25519 sia possedere il segreto condiviso. La curva ellittica non viene rimossa, viene affiancata.

È disattivata per impostazione predefinita. Quando la modalità a chiave precondivisa non è in uso, il valore è trattato come una stringa di 32 byte tutti a zero. Non accade nulla se non la configurate.

La documentazione stessa si cautela. L'espressione è per, diciamo, la resistenza post-quantistica. Quel «diciamo» svolge un lavoro reale: la pagina propone il caso d'uso come esempio anziché come garanzia, e non enuncia alcuna affermazione formale di sicurezza riguardo agli avversari quantistici. Un protocollo che volesse pubblicizzare la sicurezza post-quantistica non lo formulerebbe così.

La distinzione che decide tutto

Entrambi gli approcci si concludono con un segreto condiviso, ma risolvono metà opposte del problema.

ML-KEM stabilisce un segreto tra parti che non si sono mai incontrate, su un canale che chiunque può osservare. Quello è il problema difficile, ed è quello che un computer quantistico minaccia.

La chiave precondivisa di WireGuard presuppone che il segreto esista già. Dovete far arrivare 32 byte a entrambi i peer per un'altra via, in sicurezza, e proteggerli in seguito.

Quindi la chiave precondivisa è una mitigazione reale, e non è la stessa cosa dello stabilimento di chiave post-quantistico. Se potete distribuire segreti fuori banda, funziona. Se non potete, non aiuta, e per quanto la abilitiate questo non cambia.

Cosa fare in concreto

Abilitatela se controllate entrambe le estremità. Tunnel da sede a sede, i vostri server, una manciata di dispositivi che amministrate: il problema della distribuzione delle chiavi è ridotto e la mitigazione è reale. Affronta la questione del raccogliere ora, decifrare dopo, in cui il traffico catturato oggi viene conservato finché non esisterà un computer quantistico.

Valutate onestamente il costo operativo. Ogni coppia di peer ha bisogno della propria chiave, distribuita in sicurezza, ruotata e protetta. Una chiave precondivisa trapelata è peggio di nessuna chiave, perché rimuove il livello che credevate di avere mentre continuate a credere che ci sia.

Non aspettatevi che la vostra VPN commerciale la offra. Il modello a chiave precondivisa si adatta a un'infrastruttura di vostra proprietà, non a un fornitore che serve migliaia di clienti. Se un fornitore dichiara una protezione post-quantistica, la domanda utile è quale meccanismo, e se si tratti di ML-KEM o di qualcosa a cui ha dato un nome da sé.

Il riepilogo onesto

WireGuard non è sicuro contro il post-quantistico per impostazione predefinita, e il suo handshake poggia su Curve25519, che il calcolo quantistico minaccia direttamente.

La sua risposta è una chiave precondivisa opzionale, mescolata alla crittografia esistente, disattivata se non configurata, e descritta dalla sua stessa documentazione con un diciamo deliberato anziché con una promessa. ML-KEM del NIST, standardizzato in FIPS 203 il 13 agosto 2024 con tre set di parametri, risolve il problema più difficile di stabilire un segreto in primo luogo.

Usate la chiave precondivisa dove potete distribuire le chiavi in sicurezza. Non scambiatela per lo standard e siate scettici verso chiunque confonda le due cose.

La descrizione di ML-KEM, la data di pubblicazione di FIPS 203 del 13 agosto 2024, i tre set di parametri, la base Module Learning with Errors e l'espressione sul ritenersi sicuro contro avversari che possiedono un computer quantistico provengono dalla pagina pubblicata dal NIST per FIPS 203. La chiave precondivisa opzionale, la sua finalità dichiarata, la sua mescolanza con la crittografia a chiave pubblica e il valore predefinito di 32 byte tutti a zero provengono dalla documentazione del protocollo WireGuard. Entrambe sono state verificate al momento della stesura. I link commerciali riportano l'attributo rel="sponsored nofollow"; può essere applicata una commissione di affiliazione senza costi aggiuntivi per voi.