pool di un market maker automatico divergono, rispetto a tenere semplicemente gli stessi token. Diventa definitiva al prelievo.">Il 23 ottobre 2026, alle 08:46 UTC, la blockchain di Bitcoin era arrivata al blocco 972.744, secondo l’explorer mempool.space. Chiunque abbia un browser può leggere ognuno di quei blocchi. Aprite la prima transazione, nel blocco 0, e trovate il titolo di un giornale scritto in chiaro e la chiave pubblica di 65 byte a cui furono assegnate le prime monete. Niente è cifrato. Eppure nessuno può muovere monete bloccate su una chiave come quella senza un numero segreto che non è mai stato scritto sulla catena.
Cos’è la crittografia, allora? È ciò che crea quel divario tra un registro che tutti possono leggere e monete che una sola persona può spendere. Più precisamente, è l’insieme dei metodi matematici che proteggono l’informazione e dimostrano chi ha fatto cosa: che un messaggio non è stato alterato, che arriva davvero da chi dice di averlo inviato e, quando serve, che solo il destinatario previsto può capirlo. Le criptovalute prendono il nome da questa disciplina, ma ne usano una fetta stretta. Le funzioni di hash danno a qualsiasi dato un’impronta breve e di dimensione fissa. Le firme digitali provano che il titolare di una chiave ha approvato un pagamento.
Questa lezione segue la nostra introduzione su che cos’è una blockchain. Alla fine dovreste saper distinguere hashing, cifratura e firma, dire quali di questi strumenti usano Bitcoin ed Ethereum e quali no, e leggere i titoli sui computer quantistici con le date giuste in mente. La coppia di chiavi in sé, cioè come da una chiave privata si ottiene una chiave pubblica e poi un indirizzo, avrà una lezione tutta sua più avanti in questo percorso.
A cosa serve la crittografia: dimostrare, più spesso che nascondere
La parola viene dal greco kryptos (nascosto) e graphein (scrivere), e per gran parte della sua storia ha significato proprio questo: scrivere un messaggio in modo che un nemico che lo intercetta non possa leggerlo. La crittografia moderna conserva quel compito e ne aggiunge altri. Gli standard di sicurezza e i manuali elencano di solito quattro obiettivi, e ciascuno ha il suo strumento.
Quattro obiettivi, tre dei quali servono a una blockchain
- La riservatezza significa che solo il destinatario previsto può capire un messaggio. La garantisce la cifratura.
- L’integrità significa che qualsiasi modifica ai dati, anche di un solo bit, può essere rilevata. La garantiscono le funzioni di hash.
- L’autenticazione significa che chi riceve può verificare chi ha inviato il messaggio. La garantiscono le firme digitali e i codici di autenticazione dei messaggi.
- Il non ripudio significa che il mittente non può negare in seguito di averlo inviato. Il glossario del NIST (in inglese) lo descrive come protezione contro chi nega falsamente di aver compiuto un’azione. Anche qui bastano le firme digitali.
Una blockchain pubblica ha bisogno degli ultimi tre e rinuncia al primo di proposito. Ogni nodo deve poter controllare ogni transazione, quindi importi e indirizzi devono restare leggibili. Ciò che deve essere impossibile è modificare un record passato senza che nessuno se ne accorga, spendere monete senza il consenso del proprietario e, per un proprietario, negare un pagamento che ha firmato.
Crittografia, cifratura, criptovaluta: tre parole che non sono sinonimi
Delle tre, la cifratura è l’unico strumento della crittografia che nasconde il contenuto. La crittografia è l’intero campo e comprende anche hashing e firme, che non nascondono nulla. Una criptovaluta è un sistema monetario costruito con alcuni di questi strumenti; il «cripto» del nome rimanda alle firme che la proteggono, non a transazioni segrete. La crittologia, termine che si incontra nei testi più vecchi, comprende sia la crittografia (costruire i codici) sia la crittoanalisi (romperli).
A proposito di vocabolario: la «crittografia end to end» di WhatsApp e degli altri servizi di messaggistica è cifratura applicata a una conversazione tra due telefoni, in modo che l’azienda che trasporta i messaggi non abbia le chiavi per aprirli. Con le criptovalute condivide solo la radice della parola.
La confusione ha un costo pratico. Chi crede che Bitcoin sia «cifrato» può pensare che i suoi pagamenti siano privati. Non lo sono, come mostra più avanti una sezione di questa lezione con le parole stesse del white paper.
Dalle lettere di Cesare alle curve ellittiche: le date che contano
Il cifrario meglio documentato tra i più antichi è un semplice spostamento. Lo storico romano Svetonio scrive che Giulio Cesare, nelle lettere riservate, sostituiva ogni lettera con quella che la segue di tre posti, la D al posto della A e così via (Vita di Giulio Cesare, paragrafo 56, in inglese). Chi intuisce il trucco legge la lettera. Il segreto è il metodo stesso, e con un alfabeto di 26 lettere gli spostamenti da provare sono soltanto 25.
Per secoli i cifrari sono rimasti variazioni di quell’idea, con sostituzioni sempre più complesse. La macchina tedesca Enigma le ha meccanizzate con ruote rotanti: Arthur Scherbius la brevettò nel 1918, le prime macchine con il marchio Enigma comparvero nel 1923 e le forze armate tedesche ne usarono versioni fino al 1945. Marian Rejewski, dell’ufficio cifra polacco, ricostruì una replica della macchina militare nel 1932-33. Durante la guerra i decrittatori britannici di Bletchley Park leggevano il traffico di Enigma con metodi manuali e con le Bombe elettromeccaniche, come racconta il Crypto Museum (in inglese).
I computer hanno cambiato la scala. Il Data Encryption Standard (DES), standard federale statunitense la cui ultima revisione, la FIPS 46-3, fu pubblicata dal NIST il 25 ottobre 1999, usava una chiave di 56 bit. Si rivelò troppo corta. Nel gennaio 1999 la macchina Deep Crack della Electronic Frontier Foundation, aiutata da quasi 100.000 PC della rete distributed.net, trovò una chiave DES in 22 ore e 15 minuti, battendo il proprio record di 56 ore del luglio 1998, come annunciò l’EFF il 19 gennaio 1999. Il NIST ha ritirato la FIPS 46-3 il 19 maggio 2005.
Il successore è AES, l’Advanced Encryption Standard, pubblicato come FIPS 197 il 26 novembre 2001. È il cifrario Rijndael, scelto con un concorso pubblico, e lavora su blocchi di 128 bit con chiavi da 128, 192 o 256 bit. Il NIST ne ha aggiornato il testo il 9 maggio 2023 senza cambiare l’algoritmo.
1976: il problema della distribuzione delle chiavi trova una risposta
Tutti quei cifrari hanno lo stesso punto debole: mittente e destinatario devono già possedere la stessa chiave segreta. Eserciti e banche spostavano le chiavi con i corrieri. Nel novembre 1976 Whitfield Diffie e Martin Hellman, a Stanford, pubblicarono «New Directions in Cryptography» sulla rivista IEEE Transactions on Information Theory. La frase d’apertura annuncia che la crittografia è sull’orlo di una rivoluzione. L’articolo proponeva sistemi che eliminano la necessità di canali sicuri per distribuire le chiavi e che offrono l’equivalente di una firma scritta (in inglese).
Ronald Rivest, Adi Shamir e Leonard Adleman, al MIT, descrissero il primo sistema pratico di questo tipo, RSA, in un articolo uscito su Communications of the ACM nel febbraio 1978. La sua sicurezza, scrivono, poggia in parte sulla difficoltà di scomporre in fattori un grande numero pubblicato. L’abstract enuncia anche la proprietà su cui le criptovalute avrebbero contato tre decenni dopo: le firme non si possono falsificare e chi firma non può negarne in seguito la validità (articolo su RSA, in inglese).
Nel 1985 Victor Miller, alla conferenza CRYPTO ’85, propose di costruire lo stesso tipo di sistema sulle curve ellittiche; Neal Koblitz arrivò all’idea in modo indipendente, in un articolo pubblicato nel 1987. Le curve ellittiche offrono una sicurezza equivalente con chiavi molto più corte. Nella tabella di confronto dello standard SEC 2 una curva a 256 bit sta allo stesso livello di sicurezza di una chiave RSA a 3.072 bit. La crittografia a curve ellittiche è il ramo che usano Bitcoin ed Ethereum.
| Data | Tappa |
|---|---|
| I secolo a.C. | Cifrario a spostamento di Cesare, descritto poi da Svetonio |
| 1918 | Arthur Scherbius brevetta la macchina Enigma |
| Novembre 1976 | Diffie e Hellman pubblicano «New Directions in Cryptography» |
| Febbraio 1978 | Articolo su RSA in Communications of the ACM |
| 1985 | Victor Miller propone la crittografia a curve ellittiche (Neal Koblitz in modo indipendente, articolo del 1987) |
| 19 gennaio 1999 | Trovata una chiave DES a 56 bit in 22 ore e 15 minuti |
| 26 novembre 2001 | AES pubblicato come FIPS 197 |
| 31 ottobre 2008 | White paper di Bitcoin |
| Agosto 2015 | SHA-3 pubblicato come FIPS 202 |
| 14 novembre 2021 | Taproot (firme Schnorr) attivo su Bitcoin, blocco 709.632 |
| 13 agosto 2024 | Il NIST pubblica i primi tre standard post-quantistici |
Funzione di hash: un’impronta di dimensione fissa per qualsiasi dato
Una funzione di hash prende un input qualsiasi, una parola, un contratto o un film di quattro gigabyte, e restituisce una stringa breve di lunghezza fissa chiamata hash o digest. SHA-256, la funzione che usa Bitcoin, restituisce sempre 256 bit, scritti come 64 caratteri esadecimali. Appartiene alla famiglia SHA-2 che il NIST specifica nella FIPS 180-4 (agosto 2015). I quattro digest qui sotto sono stati calcolati con la libreria standard hashlib di Python il 23 ottobre 2026; chiunque può riprodurli in pochi secondi.
| Input | Digest SHA-256 (calcolato il 23 ottobre 2026) |
|---|---|
| (testo vuoto) | e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 |
| abc | ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad |
| Coindaro | cc640dcae7abc17683f609d3e26a2f78a6b4acc85da607e03d8ea99c1b192894 |
| coindaro | e8709cf11980229adf58f9b8201b3ee48c83a7a211c419f3af8fecd6183a7580 |
Confrontate le ultime due righe. È cambiata una sola lettera maiuscola e le due impronte non hanno nulla in comune che si veda. Questo comportamento, detto effetto valanga, è voluto. Una piccola modifica dell’input produce un output che sembra senza relazione, perciò nessuno può ritoccare di poco un documento e mantenerne l’hash.
Quattro proprietà che rendono utile un hash
- È deterministico: lo stesso input dà sempre lo stesso digest su qualsiasi computer, quindi due sconosciuti possono verificare di avere lo stesso file confrontando 64 caratteri.
- L’output ha dimensione fissa, 256 bit per SHA-256, che l’input sia una lettera o un intero disco rigido.
- È a senso unico: da un digest non esiste una scorciatoia nota per risalire all’input, si può solo tentare input e calcolare l’hash di ciascun tentativo.
- Resiste alle collisioni: trovare due input diversi con lo stesso digest dev’essere praticamente impossibile, anche se coppie del genere devono esistere, perché gli input sono illimitati e gli output no.
Sono queste proprietà a spiegare perché l’hash si usa come prova di integrità. Pubblicate oggi il digest di un file e chiunque potrà verificare l’anno prossimo che il file che ha in mano è lo stesso, byte per byte, senza che voi lo rimandiate.
Dove Bitcoin ed Ethereum usano gli hash
Gli hash sono dappertutto in una blockchain. Ogni blocco registra l’hash del precedente, ed è questo a trasformare blocchi separati in una catena; il meccanismo è spiegato nella lezione su come funziona una blockchain, quindi qui non lo ripetiamo.
Anche il mining è hashing. Il white paper di Bitcoin (in inglese) descrive la proof of work come la ricerca di un valore il cui hash, per esempio con SHA-256, comincia con un certo numero di bit a zero. I miner calcolano l’hash di blocchi candidati ancora e ancora, cambiando ogni volta un piccolo campo, finché un digest scende sotto la soglia. Trovarlo richiede un lavoro enorme; verificarlo richiede un solo hash.
Anche gli indirizzi nascono da hash. Un indirizzo Bitcoin classico, quello che comincia per 1, si ottiene calcolando l’hash della chiave pubblica con SHA-256 e poi con un’altra funzione, RIPEMD-160, e aggiungendo un checksum di quattro byte preso da un doppio SHA-256. Il checksum serve a intercettare un indirizzo digitato male prima che il denaro parta. Su Ethereum, spiega ethereum.org (in inglese), un indirizzo si ottiene prendendo gli ultimi 20 byte dell’hash Keccak-256 della chiave pubblica, ed è scritto con 42 caratteri che iniziano per 0x. La nostra guida sugli indirizzi crypto mostra i formati che incontrate nei wallet.
SHA-256 e Keccak-256 non sono la stessa funzione
Ethereum ha scelto un hash diverso. Keccak ha vinto il concorso con cui il NIST ha scelto un nuovo standard, SHA-3, pubblicato come FIPS 202 nell’agosto 2015. Ethereum, lanciato nel luglio 2015, usa Keccak così come era stato presentato al concorso, mentre lo standard finale ha cambiato il byte di riempimento aggiunto all’input prima dell’hashing (0x06 invece di 0x01). Per lo stesso input i due danno risultati diversi.
Per un input vuoto, lo SHA3-256 del NIST restituisce a7ffc6f8bf1ed76651c14756a061d662f580ff4de43b49fa82d80a4b80f8434a, mentre il Keccak-256 di Ethereum restituisce c5d2460186f7233c927e7db2dcc703c0e500b653ca82273b7bfad8045d85a470. Li abbiamo calcolati il 23 ottobre 2026, il secondo con un’implementazione di riferimento che riproduce l’output ufficiale di SHA3-256 quando le si dà il riempimento dello standard. Uno sviluppatore che chiama la funzione generica «SHA3» di una libreria per derivare un indirizzo Ethereum ottiene un indirizzo sbagliato.
Crittografia simmetrica e asimmetrica: una chiave condivisa o una coppia di chiavi
La maggior parte delle persone, sentendo la parola crittografia, pensa alla cifratura: trasformare dati leggibili, il testo in chiaro, in un testo cifrato illeggibile che solo chi ha una chiave può riportare alla forma originale. Esiste in due famiglie, e la differenza tra le due è una delle domande più frequenti dei principianti.
La cifratura simmetrica usa una sola chiave segreta nei due sensi. AES ne è l’esempio standard. È veloce, gestisce grandi volumi di dati ed è molto usata per proteggere file archiviati e traffico di rete. Il suo limite è quello descritto da Diffie e Hellman nel 1976: le due parti devono prima procurarsi la stessa chiave senza che nessun altro la veda.
La cifratura asimmetrica, detta anche a chiave pubblica, usa una coppia di chiavi. Una chiave pubblica, che chiunque può avere, cifra un messaggio; solo la chiave privata corrispondente, tenuta segreta, lo decifra. RSA può funzionare così. Risolve il problema dello scambio di chiavi ma è molto più lenta, quindi i sistemi reali combinano le due famiglie. Quando il browser apre una pagina HTTPS, la crittografia a chiave pubblica serve a concordare una chiave simmetrica nuova, e poi è un cifrario simmetrico a trasportare i dati.
Bitcoin non cifra le vostre transazioni
Una transazione Bitcoin o Ethereum non è cifrata sulla catena, qualunque cosa suggerisca la parola «crypto». L’indirizzo del destinatario, l’importo e la commissione sono scritti in chiaro, perché ogni nodo deve controllarli prima di accettare il blocco. La cifratura compare intorno alla blockchain, non dentro: un wallet software può cifrare con una password il file che contiene le chiavi, e il collegamento tra la vostra app e un exchange viaggia su HTTPS. Le monete in sé sono protette dalle firme.
Firma digitale: dimostrare di poter spendere senza mostrare il proprio segreto
Una firma digitale è un numero calcolato a partire da un messaggio e da una chiave privata. Chi possiede la chiave pubblica corrispondente può verificare che la firma si adatti a quel messaggio esatto e a quella chiave, ma non può produrne una nuova. Cambiate un carattere del messaggio e la verifica fallisce. È l’equivalente della firma scritta che cercavano Diffie e Hellman, con una differenza: una firma a mano ha lo stesso aspetto su ogni documento, mentre quella digitale è diversa per ogni messaggio, quindi non si può prelevare da un pagamento e incollare su un altro.
Satoshi Nakamoto ha messo le firme al centro di Bitcoin. Il white paper, datato 31 ottobre 2008, lo dice in una riga: una moneta elettronica è definita come una catena di firme digitali. Ogni proprietario passa la moneta firmando l’hash della transazione precedente insieme alla chiave pubblica del proprietario successivo. La lezione sul white paper di Bitcoin percorre il documento sezione per sezione.
ECDSA su secp256k1, la curva che Bitcoin ed Ethereum condividono
Il white paper non nomina nessun algoritmo; lo fa il software. La guida per sviluppatori di Bitcoin (in inglese) afferma che Bitcoin usa l’Elliptic Curve Digital Signature Algorithm, su una curva chiamata secp256k1. Ethereum ha fatto la stessa scelta: la sua specifica formale, lo Yellow Paper di Ethereum (in inglese), dice che le transazioni sono firmate con firme ECDSA recuperabili sulla curva SECP-256k1 (appendice F).
secp256k1 è definita in SEC 2, un documento dello Standards for Efficient Cryptography Group, che la classifica come curva di Koblitz. La sua equazione è breve, y² = x³ + 7, su un campo di numeri a 256 bit. Non l’ha progettata il NIST. Le curve del NIST, come P-256, sono state generate da seed pubblicati; secp256k1 compare soltanto in un’appendice della NIST SP 800-186 (febbraio 2023), che la ammette per le applicazioni legate alla blockchain. La differenza ha fatto notizia a ottobre 2026, quando i seed delle curve NIST sono stati ricondotti a un vecchio generatore di numeri casuali di Unix avviato con timestamp del 1997-98. secp256k1 non ha un seed del genere, quindi per le chiavi di Bitcoin ed Ethereum non è cambiato nulla, come spiegava il nostro articolo sui seed delle curve NIST. La libreria open source che esegue questi calcoli, libsecp256k1, dichiara che il suo sviluppo si è concentrato sull’uso nel sistema Bitcoin.
Firme Schnorr e Taproot da novembre 2021
Nel 2021 Bitcoin ha aggiunto un secondo schema di firma. La BIP 340 specifica le firme Schnorr sulla stessa curva, con chiavi pubbliche di 32 byte e firme di 64 byte. La loro algebra è lineare: più persone possono combinare le proprie chiavi e produrre un’unica firma valida per la somma delle chiavi pubbliche, e un nodo può verificare molte firme in blocco più in fretta che una alla volta.
La BIP 341, nota come Taproot, si appoggia su di esse. È entrata in vigore al blocco 709.632, estratto il 14 novembre 2021 alle 05:15 UTC secondo mempool.space. Per gli utenti il cambiamento principale è la discrezione. Un output Taproot speso con il percorso della chiave appare come un qualsiasi pagamento a chiave singola, anche quando dietro ci sono più co-proprietari o un insieme di condizioni di spesa, quindi sulla catena finiscono meno dati e si rivela meno dell’assetto scelto.
Come si genera una chiave privata, perché una chiave pubblica si può condividere e come una seed phrase fa da copia di sicurezza di tutto appartengono alla prossima lezione del percorso. Per ora basta una regola dalla nostra guida alla sicurezza della seed phrase: una firma prova che possedete la chiave, quindi chi ottiene la chiave può firmare al vostro posto.
Che cosa le crypto non nascondono: un registro pubblico di pseudonimi
Il white paper è franco sulla privacy. La sezione 10 spiega che il pubblico vede che qualcuno invia un importo a qualcun altro, ma senza informazioni che colleghino la transazione a una persona. La riservatezza poggia sul tenere sconosciuti i titolari delle chiavi pubbliche, non sul nascondere le transazioni, e il documento consiglia di usare una coppia di chiavi nuova per ogni transazione.
È pseudonimato, non anonimato. La stessa sezione ammette un limite: le transazioni con più input rivelano che quegli input appartenevano allo stesso proprietario. Le società di analisi della blockchain costruiscono il proprio lavoro su indizi di questo tipo, e quando un indirizzo viene legato a un nome, per esempio tramite un conto su un exchange aperto con la verifica dell’identità, diventa leggibile anche lo storico degli indirizzi collegati.
La primissima transazione mostra quanto sia aperto il registro. Nel suo input, nel blocco 0, c’è scritto in chiaro «The Times 03/Jan/2009 Chancellor on brink of second bailout for banks», visibile a tutti su mempool.space. La storia di quel blocco e del suo titolo è raccontata nella lezione sul blocco genesi e la crisi del 2008.
Dove la crittografia può aggiungere privacy
Nascondere dati su una catena è possibile, ma servono altri strumenti. Le prove a conoscenza zero permettono di dimostrare che un’affermazione è vera, per esempio che una transazione quadra, senza rivelare i dati che ci stanno dietro. Zcash vi ricorre per i pagamenti schermati, e i zk-rollup le usano su Ethereum per provare che un intero lotto di transazioni è valido. La nostra voce di glossario sulla prova a conoscenza zero spiega le basi.
Da che cosa nessun algoritmo vi protegge
La crittografia protegge la chiave, non la persona che la tiene. Una pagina di phishing che ottiene la vostra seed phrase ottiene esattamente il vostro potere di firma, e la rete non vede la differenza. Chi minaccia qualcuno di persona, in gergo della sicurezza un «attacco con la chiave inglese», aggira del tutto la matematica. Una chiave persa è persa per sempre, perché nessun servizio clienti può firmare al posto vostro. La nostra guida su come evitare le truffe crypto elenca le trappole che funzionano sulle persone e non sugli algoritmi.
Crittografia post-quantistica e crypto: a che punto siamo a ottobre 2026
I computer quantistici minacciano soprattutto una famiglia: gli schemi a chiave pubblica come RSA e le curve ellittiche. Una macchina abbastanza grande che eseguisse l’algoritmo di Shor potrebbe ricavare una chiave privata dalla sua chiave pubblica. Le funzioni di hash sono in genere considerate molto meno esposte, perché il miglior attacco quantistico noto contro di esse dà un vantaggio molto minore. A ottobre 2026 non esiste una macchina in grado di rompere una curva a 256 bit. Esistono stime delle risorse necessarie, e sono scese in fretta.
| Pubblicato | Chi | Bersaglio | Macchina stimata |
|---|---|---|---|
| 21 maggio 2025 | Craig Gidney, Google Quantum AI | RSA-2048 | meno di 1 milione di qubit rumorosi, meno di una settimana |
| 31 marzo 2026 | Google Quantum AI | curva ellittica a 256 bit | meno di 500.000 qubit fisici, pochi minuti |
| 8 settembre 2026 | IonQ | secp256k1 | 19.397 qubit fisici a ioni intrappolati, circa 25,7 giorni per tentativo |
Per rendere la scala, il chip di Google al centro del nostro articolo del 16 ottobre 2026 sui tassi di errore quantistici ha 105 qubit. Nel post del 31 marzo 2026 Google ha raccomandato alle blockchain di passare alla crittografia post-quantistica e ha indicato il 2029 come obiettivo per la propria migrazione.
Le alternative esistono sulla carta. Il 13 agosto 2024 il NIST, l’ente statunitense di normazione, ha pubblicato i primi tre standard post-quantistici: FIPS 203 (ML-KEM, per stabilire chiavi condivise), FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA), questi ultimi due per le firme. Dustin Moody, del NIST, ha invitato gli amministratori di sistema a cominciare a integrarli subito. Una bozza del NIST del 12 novembre 2024, la IR 8547, prevede di eliminare entro il 2035 dai propri standard gli algoritmi vulnerabili ai computer quantistici. Nel Regno Unito il National Cyber Security Centre chiede alle organizzazioni di completare la migrazione entro il 2035, con tappe di pianificazione nel 2028 e nel 2031.
In Italia: le linee guida dell’ACN
Per chi vive in Italia, il riferimento pubblico è l’Agenzia per la cybersicurezza nazionale (ACN), che pubblica una serie di linee guida sulle funzioni crittografiche. Come si legge sul suo sito, l’11 giugno 2026 l’agenzia ha aggiunto due documenti, uno sui cifrari a flusso e uno sulle firme digitali, e ha aggiornato alla versione 2.0 la linea guida sul protocollo TLS, pubblicata la prima volta nel febbraio 2025. Entrambi i nuovi documenti, scrive l’ACN, «sottolineano l’importanza di valutare soluzioni resistenti alla minaccia quantistica»; le firme digitali classiche rientrano tra le primitive crittografiche altamente vulnerabili, e per questo il documento include già alternative post-quantistiche. Per i cifrari a flusso, che sono crittografia simmetrica, l’agenzia osserva che non risultano particolarmente suscettibili agli attacchi dei computer quantistici, in linea con quanto abbiamo detto sugli hash. Il testo completo è nella pagina «Aggiornate le Linee guida sulle funzioni crittografiche» dell’ACN. Sono indicazioni tecniche per organizzazioni e sviluppatori, non regole per chi detiene criptovalute.
Bitcoin ha sul tavolo una proposta, non una decisione. La BIP 360, assegnata il 18 dicembre 2024 e ancora in stato Draft, si apre proponendo un nuovo tipo di output, Pay-to-Merkle-Root (P2MR), tramite soft fork. Il nuovo output elimina la spesa con il percorso della chiave di Taproot, quello che mette una chiave pubblica sulla catena. Quanto alla data in cui una macchina potrebbe rompere una curva a 256 bit, a ottobre 2026 la risposta onesta è che nessuno lo sa.
Da ricordare: tre strumenti, tre compiti
| Obiettivo | Strumento | Dove compare in Bitcoin ed Ethereum |
|---|---|---|
| Integrità | Funzione di hash (SHA-256, Keccak-256) | Collegamenti tra blocchi, mining, indirizzi |
| Autenticazione e non ripudio | Firma digitale (ECDSA, Schnorr) | Ogni spesa di monete |
| Riservatezza | Cifratura (AES, RSA) | Non sulla catena; file dei wallet e connessioni HTTPS |
La prossima lezione del percorso smonta la coppia di chiavi: come nasce una chiave privata, come ne deriva una chiave pubblica e poi un indirizzo, e perché una chiave persa non si ritrova.
