Nuove firme digitali post-quantum: il NIST annuncia i candidati del terzo round

Introduzione

Il 14 maggio 2026, il National Institute of Standards and Technology (NIST) ha pubblicato gli schemi selezionati per il terzo round del processo aggiuntivo di standardizzazione per le firme digitali post-quantum. Con lo scopo di ampliare la varietà di assunzioni di sicurezza degli schemi standardizzati, tale processo mira ad affiancare delle soluzioni ulteriori a ML-DSA, FN-DSA e SLH-DSA.

Criteri di valutazione

Similmente al primo processo di standardizzazione per la crittografia post-quantum, i criteri di valutazione hanno incluso, in ordine di rilevanza, la sicurezza, le performance così come le caratteristiche implementative. Inoltre, in linea con l’obiettivo di ampliare la varietà di assunzioni, si è richiesto che:

• i candidati basati sui reticoli fornissero almeno un aspetto di vantaggio sostanziale sia rispetto a ML-DSA che FN-DSA;
• i candidati non basati sui reticoli fornissero almeno un aspetto di vantaggio sostanziale rispetto a SLH-DSA.

Così facendo, la comunità crittografica è stata fortemente stimolata nella ricerca di soluzioni che si distaccassero dalla teoria dei reticoli, essendo parte dei parametri di SLH-DSA molto più agevoli da raggiungere e migliorare.

Schemi selezionati

A giugno 2023, con il termine della fase di sottomissione, il NIST ha ricevuto 50 proposte e ne ha ammesse 40 al primo round. Il secondo round ha visto un’ulteriore scrematura a 14 proposte mentre in quest’ultima fase gli schemi sono stati ulteriormente ridotti a 9. Il NIST ha specificato come l’attuale selezione dei candidati sia stata particolarmente sfidante vista l’elevata qualità di tutte le proposte analizzate. Di seguito sono riportate le principali famiglie di problemi e il numero di candidati per ciascuna di esse, con un confronto tra i vari round del processo.

In particolare, il terzo round vedrà i seguenti candidati.

• Isogenie SQIsign
• Reticoli HAWK
• MPC-in-the-head FAEST, MQOM, SDitH
• Sistemi multivariati UOV, MAYO, SNOVA, QR-UOV

Le proposte sono liberamente consultabili, con le relative specifiche ed implementazioni, sulla pagina ufficiale del NIST. Le motivazioni alla base della selezione riflettono un bilanciamento tra sicurezza, performance e diversità algoritmica. Tra i candidati MPC-in-the-head, FAEST è risultato quello che offre le maggiori garanzie di sicurezza, MQOM si è distinto per le buone performance computazionali, mentre SDitH contribuisce alla diversità dello spazio delle assunzioni grazie al ben consolidato Syndrome Decoding Problem per codici lineari. Nonostante alcuni attacchi abbiano colpito UOV, MAYO e SNOVA durante il secondo round, il NIST ha scelto di mantenere tutti e quattro gli schemi multivariati in gara, vista la lunga storia della famiglia UOV, l’esistenza di parametri mai violati e le promettenti dimensioni di chiavi pubbliche di MAYO e SNOVA. UOV è visto come un candidato per scenari applicativi specifici mentre MAYO e SNOVA come candidati general purpose e QR-UOV come soluzione intermedia. HAWK, pur essendo basato sui reticoli, è stato incluso in quanto vanta firme più corte di FN-DSA ed evita l’uso dell’aritmetica floating point. SQIsign, infine, offre le dimensioni combinate di chiave e firma più ridotte tra tutti i candidati. Rilevante evidenziare come SQIsign sia resiliente per costruzione all’attacco portato in precedenza a SIKE, attacco che anzi è stato occasione di miglioramento per SQIsign. Si ricorda che, fino al momento della sua rottura, SIKE è stato il meccanismo di incapsulamento chiave basato su isogenie di curve ellittiche in valutazione nel precedente processo del NIST.

Performance

Il grafico seguente riporta un confronto tra i principali parametri dei diversi schemi di firma digitale, in particolare la dimensione della chiave pubblica e della firma. Sono inclusi gli schemi pre-quantum, quelli post-quantum già standardizzati e i candidati attualmente in fase di valutazione. I dati riportati si riferiscono a parametrizzazioni che garantiscono un livello di sicurezza minimo di almeno 128 bit. Per alcuni schemi sono disponibili più parametrizzazioni associate al medesimo livello di sicurezza, ciascuna caratterizzata da differenti compromessi tra dimensione delle chiavi, dimensione delle firme e costo computazionale. Per ragioni di leggibilità, nel grafico è stata selezionata una sola parametrizzazione per ciascuno schema.

Risulta evidente come la dimensione delle chiavi pubbliche di UOV e QR-UOV sia particolarmente elevata. Aspetto che, pur parzialmente compensato da una dimensione delle firme contenuta, ne precluderebbe un’applicabilità in diversi scenari applicativi qualora venissero selezionate. Viceversa, ma con un esito applicativo analogo, gli schemi MPC-in-the-head presentano una chiave pubblica corta ma una firma piuttosto grande similmente a SLH-DSA. Più omogenei da questo punto di vista sono, invece, HAWK, SQIsign, MAYO e SNOVA, tutti con delle dimensioni paragonabili o inferiori a ML-DSA. Per confrontare anche il costo computazionale dei diversi schemi, si è fatto riferimento ai dati raccolti dal progetto NIST Signature Zoo. Infatti, sebbene ciascuna sottomissione al processo di standardizzazione del NIST includa una panoramica delle prestazioni computazionali, un confronto significativo richiede che le misurazioni siano effettuate su una piattaforma comune. A tal fine, il progetto menzionato raccoglie e pubblica benchmark ottenuti eseguendo le implementazioni dei diversi schemi sul medesimo sistema, basato su un processore Intel di dodicesima generazione. Un elemento interessante da osservare, ma purtroppo assente nel benchmarking citato, riguarda il costo di generazione delle chiavi di firma e verifica. In alcuni contesti applicativi tale operazione può infatti assumere un ruolo determinante, soprattutto nei casi in cui nuove coppie di chiavi vengono generate frequentemente.

Dal grafico emerge come, dal punto di vista del costo computazionale delle operazioni di firma e verifica, SQIsign e UOV presentino caratteristiche opposte rispetto a quanto osservato per le dimensioni delle chiavi e delle firme. SQIsign risulta infatti tra gli schemi più onerosi dal punto di vista computazionale, mentre UOV si distingue per ottime prestazioni. In linea con gli obiettivi del processo di standardizzazione, si osserva inoltre come HAWK presenti prestazioni migliori rispetto agli schemi basati sui reticoli già standardizzati. Analogamente, gli schemi MPC-in-the-head e multivariati mostrano costi computazionali inferiori rispetto a SLH-DSA. Tale risultato non è tuttavia sorprendente, poiché SLH-DSA privilegia altre proprietà, come ad esempio l’assenza di assunzioni matematiche strutturate, a scapito dell’efficienza computazionale.

Conclusioni

I nove schemi selezionati per il terzo round rappresentano un portafoglio algoritmico eterogeneo in cui ciascuna famiglia dovrà affrontare ancora alcune sfide specifiche prima di poter ambire alla standardizzazione. Gli schemi multivariati sono quelli che nel corso del secondo round hanno mostrato maggiori incertezze. Nonostante l’anzianità delle assunzioni di sicurezza di UOV, la serie di attacchi subiti ne ha messo in discussione la piena maturità. I candidati MPC-in-the-head, pur poggiando su assunzioni computazionali generalmente conservative, presentano design e prove di sicurezza complesse la cui verifica da parte della comunità crittografica non è banale. In questo senso, il NIST auspica che le eventuali modifiche future agli schemi rimangano contenute, così da non vanificare il lavoro di analisi già svolto. HAWK e SQIsign, invece, poggiano entrambi su assunzioni di sicurezza relativamente giovani che, sebbene siano state approfondite, necessitano di ulteriori analisi da parte dell’intera comunità. Infine, trasversalmente a tutte le famiglie, permane la questione della resistenza agli attacchi side-channel delle implementazioni. In quest’ottica, il NIST si attende che il terzo round venga sfruttato per consolidare implementazioni a tempo costante, così da garantire che la solidità teorica degli schemi non venga vanificata nei contesti applicativi. [1] In origine, il conteggio delle proposte MPCitH era di 7, in quanto FAEST era inizialmente inclusa fra le primitive simmetriche.

Questo articolo appartiene ad una serie di contributi, a cura del Gruppo di Ricerca in Crittografia di Telsy, dedicata al calcolo quantistico e alle sue implicazioni sulla Crittografia. Per la consultazione di altri articoli si rimanda all’indice della rubrica.

Per altri articoli relativi ai temi Quantum e Crittografia si rimanda alle relative categorie nel blog.

Gli autori

Francesco Stocco, laureato magistrale in Matematica presso l’Università degli Studi di Padova e l’Université de Bordeaux frequentando il percorso di studi “Algebra Geometry And Number Theory” (ALGANT), entrato a far parte del Gruppo di Ricerca in Crittografia di Telsy alla fine del 2020.