Un computer quantistico abbastanza grande romperebbe la crittografia asimmetrica di oggi (RSA, curve ellittiche): l'algoritmo di Shor fattorizza e calcola logaritmi discreti in tempi che oggi sono impossibili. Non esiste ancora una tale macchina – ma la minaccia è già operativa per via di "Harvest Now, Decrypt Later": chi intercetta e archivia oggi il traffico cifrato potrà decifrarlo domani, quando la macchina arriverà.
La PQC sono algoritmi progettati per resistere anche al quantistico, basati su problemi matematici diversi (reticoli, in gran parte). Il NIST ha standardizzato nel 2024 i primi: ML-KEM (ex Kyber) per lo scambio di chiavi, ML-DSA (ex Dilithium) per le firme. La transizione è già cominciata – browser e librerie TLS adottano scambi ibridi (classico + PQC insieme, così se uno cede l'altro regge).
Cosa fare, oggi, concretamente: per la stragrande maggioranza è aspettare e aggiornare – arriva nelle librerie e nei server che già usi. Le eccezioni che devono muoversi ora sono i dati con segretezza a lunghissimo termine (sanitari, di stato, industriali): lì l'inventario crittografico ("dove uso cosa") e la crypto-agility – poter cambiare algoritmo senza riscrivere tutto – vanno pianificati adesso. Nota: la crittografia simmetrica (AES-256) e l'hashing restano sostanzialmente al sicuro.