EN 18031 CRY-1: come dimostrare la crittografia best practice

[CRY-1] Best practice cryptography è l'unico requisito della sezione CRY della norma EN 18031. Il testo è breve: l'apparecchiatura deve utilizzare la best practice per la crittografia impiegata nella protezione dei security asset o dei network asset, con un'unica eccezione per la crittografia la cui deviazione sia giustificata in un'altra sezione. La difficoltà non sta nello scegliere AES-256 al posto di DES, ma nel dimostrare, nella documentazione tecnica, che ogni scelta crittografica è best practice, con una fonte citabile alle spalle.

Il testo del requisito nella EN 18031-1:2024, clausola 6.11.1 è volutamente sintetico:

"The equipment shall use best practice for cryptography that is used for the protection of the security assets or network assets, except for: cryptography used for a specific security mechanism, where a deviation is identified and justified under the terms of sections ACM or AUM or SCM or SUM or SSM."

Da questa frase discendono due conseguenze. Primo, l'ambito è legato ai vostri asset: CRY-1 si applica alla crittografia che protegge security asset e network asset (e, nelle parti EN 18031-2 ed EN 18031-3, anche privacy asset e financial asset). Se non avete identificato correttamente gli asset, non potete definire correttamente l'ambito di CRY-1. Secondo, esiste una via d'uscita: la crittografia la cui debolezza sia già identificata e giustificata nelle sezioni ACM, AUM, SCM, SUM o SSM esce dall'ambito di questo requisito, perché la giustificazione risiede in quell'altra sezione.

EN 18031 valuta ogni requisito attraverso un albero decisionale. CRY-1 ha esattamente due nodi decisionali, applicati a ciascun meccanismo crittografico che protegge un asset in ambito:

Le regole di verdetto contano quanto l'albero. Un PASS richiede almeno un percorso che termini con esito positivo, nessun percorso che termini con esito negativo e giustificazioni corrette lungo tutto il tragitto. Una giustificazione mancante o errata produce un FAIL anche quando la crittografia sottostante è perfettamente solida. In altre parole, si può fallire CRY-1 con buona crittografia e cattiva documentazione.

CRY-1 prevede inoltre una verifica di completezza funzionale (esiste sul dispositivo crittografia che non avete mai documentato?) e una di sufficienza funzionale (l'implementazione corrisponde a quanto documentato?). Le modifiche introdotte dagli aggiornamenti software di sicurezza non sono esplicitamente considerate deviazioni.

EN 18031 non definisce una tassonomia formale delle evidenze accettabili. Ciò che fornisce, nella Guidance e nelle note alla clausola 6.11.1, sono tre vie riconoscibili. Leggerle come tre opzioni è un'interpretazione pratica più che una struttura letterale della clausola, ed è opportuno dichiararlo in questi termini nella vostra documentazione.

La Guidance della norma rimanda ai cataloghi crittografici pubblicamente disponibili forniti da organismi di normazione e autorità pubbliche, citando sogis.eu e il SOGIS Agreed Cryptographic Mechanisms, la ETSI TS 119 312, le indicazioni di ENISA, la serie NIST SP 800 e la BSI TR-02102-1. È la via più pulita: il meccanismo, la lunghezza di chiave e la modalità che utilizzate compaiono come raccomandati in un catalogo citato per nome, e voi ne indicate documento, versione e data.

La Guidance afferma che un metodo crittografico di uso comune per un determinato caso d'uso, in assenza di evidenze di un attacco praticabile con le tecniche attualmente disponibili, può essere considerato best practice. Questa via è utile per meccanismi ampiamente diffusi ma non elencati in un catalogo. È più debole di una citazione di catalogo e vi obbliga a una sorveglianza continua: l'assenza odierna di un attacco praticabile non è una proprietà permanente.

La norma ammette esplicitamente la crittografia nuova: è possibile fornire evidenze del fatto che una crittografia innovativa sia idonea per un determinato caso d'uso e possa quindi essere considerata best practice. In pratica ciò significa crittanalisi pubblicata, dimostrazioni di sicurezza sottoposte a revisione paritaria e valutazioni indipendenti. Aspettatevi che questa via attiri il maggiore livello di scrutinio in sede di valutazione.

Un'avvertenza su un'affermazione che troverete altrove: l'uso di un'implementazione certificata (per esempio un modulo validato FIPS 140-3) non è presentato da EN 18031 come una via di evidenza a sé stante. L'affermazione più vicina è una preferenza, secondo cui le implementazioni riviste o valutate possono essere preferibilmente utilizzate. Un modulo validato è un'ottima evidenza a supporto della correttezza implementativa, ma la tesi che la vostra scelta di algoritmo sia best practice richiede comunque un catalogo o un'analisi alle spalle.

È qui che molta documentazione EN 18031 risulta silenziosamente superata. La EN 18031-1:2024 cita sogis.eu nella propria Guidance e gran parte degli articoli su questo tema continua a consigliare di citare il SOG-IS Agreed Cryptographic Mechanisms. Quel consiglio è scaduto.

Il sito SOG-IS riporta ora un avviso inequivocabile: "As of 27th February 2026 SOG-IS cease to emit certificates, this website is no longer updated". L'ultimo catalogo SOG-IS pubblicato è la versione 1.3 del febbraio 2023. In modo fuorviante, la pagina dei documenti di supporto continua ad affermare che il documento sarà aggiornato regolarmente: un testo obsoleto, smentito dall'avviso di cessazione presente in homepage.

Il successore è l'ECCG Agreed Cryptographic Mechanisms, mantenuto dal sottogruppo ECCG sulla crittografia nell'ambito dello schema EUCC istituito dal Regolamento di esecuzione (UE) 2024/482 e pubblicato tramite ENISA. La versione operativa è la v2, pubblicata il 6 maggio 2025, mentre una bozza di versione 3 è stata sottoposta a consultazione pubblica il 2 giugno 2026. La ACM v2 è anche il primo elenco ufficiale raccomandato a livello europeo a includere algoritmi post-quantistici.

Nulla di tutto ciò rende errata la norma EN 18031. La norma cita sogis.eu come esempio del tipo di catalogo da utilizzare e la sua guidance è generica per costruzione. Ciò che cambia è quale documento dovreste effettivamente citare oggi nella vostra giustificazione CRY-1.

Una nota pratica su keylength.com: è un aggregatore comodo, ma i dati di origine più recenti risalgono al 2020, prima degli standard post-quantistici e prima di sei revisioni annuali della BSI. La riga di copyright riporta automaticamente l'anno corrente, il che lo fa sembrare più aggiornato di quanto non sia. Non è il tipo di fonte che, da sola, soddisfa un requisito di evidenza CRY-1.

CRY-1 non è una casella isolata da spuntare. Le evidenze crittografiche si propagano lungo tutta la EN 18031 e la dipendenza è più forte in alcuni punti che in altri. Vale la pena distinguerli, perché solo due requisiti rendono la crittografia best practice un obbligo normativo.

CCK sta per confidential cryptographic key, ossia chiave crittografica riservata. Il minimo di 112 bit di robustezza di sicurezza previsto da CCK-1 è uno dei pochi numeri concreti in questa parte della norma ed è un utile controllo di coerenza sull'intero inventario delle chiavi.

Un errore diffuso nelle guide su questo tema è elencare AUM-6 (protezione dagli attacchi a forza bruta) tra i requisiti dipendenti dalla crittografia. AUM-6 richiede che i meccanismi di autenticazione siano resilienti agli attacchi a forza bruta; la crittografia compare solo come una delle tecniche di esempio nella sua guidance, non come requisito normativo. Includerlo tra le dipendenze forti di CRY-1 ne sopravvaluta il legame.

Cinque sezioni possono concedere una deviazione giustificata dalla crittografia best practice: ACM, AUM, SCM, SUM e SSM. La stessa via d'uscita compare in CRY-1, CCK-1 e CCK-2. Esiste per vincoli ingegneristici reali, il più delle volte l'interoperabilità con un protocollo che non controllate. Usarla è legittimo; usarla senza mettere per iscritto la giustificazione è il modo in cui CRY-1 si trasforma in un FAIL.

EN 18031 contiene due regole distinte relative al tempo, spesso fuse in una sola. Tenerle separate renderà la vostra documentazione più chiara e la valutazione più agevole.

La Guidance riconosce che la protezione crittografica potrebbe non essere conforme alla best practice qualora sia richiesta l'interoperabilità, e che i meccanismi legacy diffusi su larga scala sono considerati capaci di fornire una sicurezza accettabile nel breve periodo, pur soffrendo di limiti di assurance rispetto alle best practice dei cataloghi. Osserva poi che i cataloghi crittografici elencano i meccanismi legacy con un periodo di validità definito da una scadenza di deprecazione e vengono aggiornati con cadenza ravvicinata, tipicamente annuale.

Separatamente, la norma avverte che per le apparecchiature i cui algoritmi o primitive crittografiche non possono essere aggiornati, per esempio quando si utilizza una radice di fiducia basata su hardware, "it is important that the intended lifetime of the equipment does not exceed the recommended usage lifetime of the cryptographic algorithms and primitives used by the equipment." Si tratta di un vincolo di progettazione per i dispositivi non aggiornabili, non di un'affermazione sull'interoperabilità legacy. Il razionale lo rafforza: la crittografia ha maggiori probabilità di diventare inadeguata quando esistono già evidenze che possa essere deprecata entro la vita utile prevista dell'apparecchiatura.

È qui che CRY-1 smette di essere un esercizio documentale. Il NIST ha finalizzato i primi standard post-quantistici il 13 agosto 2024: FIPS 203 (ML-KEM, incapsulamento di chiavi), FIPS 204 (ML-DSA, firme) e FIPS 205 (SLH-DSA, firme basate su hash). L'Europa ha risposto con un piano coordinato.

Accostate quelle date a un dispositivo radio certificato nel 2026 con dieci anni di vita di servizio e l'implicazione è diretta: le vostre evidenze CRY-1 dovrebbero dichiarare non solo che la crittografia è best practice oggi, ma anche che l'apparecchiatura può essere aggiornata quando i cataloghi cambieranno, oppure che la sua vita utile prevista termina prima dei vostri algoritmi. È esattamente ciò che chiede la Regola 2 sopra.

Questo è il significato pratico della crypto agility nel contesto EN 18031, ed è molto più utile nel vostro fascicolo tecnico di una semplice dichiarazione di utilizzo di AES-256.

Seguire questo elenco produrrà una voce CRY-1 in grado di reggere allo scrutinio:

No. EN 18031 evita deliberatamente di pubblicare un elenco di algoritmi, perché invecchierebbe più rapidamente della norma stessa. Definisce l'obbligo (utilizzare crittografia best practice) e rimanda a cataloghi esterni mantenuti con cadenza annuale. Spetta a voi compiere la scelta e citarne la fonte.

Aiuta, ma da solo non risponde alla domanda. Un modulo validato è una solida evidenza che l'implementazione è corretta e testata. CRY-1 chiede se la crittografia sia best practice per il vostro obiettivo di protezione: una questione di algoritmo, lunghezza di chiave, modalità e caso d'uso. Affiancate al certificato la citazione di un catalogo.

Solo come riferimento storico. SOG-IS ha cessato di emettere certificati il 27 febbraio 2026 e il suo sito non è più aggiornato, con il catalogo fermo alla v1.3 del febbraio 2023. Citate invece l'ECCG Agreed Cryptographic Mechanisms, la BSI TR-02102-1 o la pubblicazione NIST SP 800 pertinente.

È una situazione prevista. Identificate la deviazione e giustificatela nella sezione pertinente (ACM, AUM, SCM, SUM o SSM). CRY-1 risulterà allora non applicabile per quel meccanismo attraverso il nodo decisionale DN-1. Ciò che non è accettabile è una deviazione non documentata.

Non oggi. Nessun requisito EN 18031 attuale impone algoritmi post-quantistici. Tuttavia la roadmap europea fissa alla fine del 2030 i casi d'uso ad alto rischio e la BSI conclude dopo il 2031 le raccomandazioni sullo scambio di chiavi classico usato da solo: per apparecchiature con lunga vita di servizio, la risposta onesta nella documentazione è una dichiarazione sulla capacità di aggiornamento, non il silenzio.

A tutte e tre. CRY-1 compare in EN 18031-1, EN 18031-2 ed EN 18031-3, con l'ambito degli asset che si amplia dai security asset e network asset ai privacy asset (parte 2) e ai financial asset (parte 3).

Dimostrare la crittografia best practice secondo EN 18031 si riduce a una disciplina semplice: per ogni meccanismo crittografico che protegge un asset in ambito, mettete per iscritto che cosa protegge, quale algoritmo e quale lunghezza di chiave utilizzate e quale fonte attuale, citata per nome e data, attesta la solidità di quella scelta. Poi gestite le eccezioni con onestà, giustificando le deviazioni nella sezione che le governa, e dichiarate se il dispositivo può essere aggiornato quando i cataloghi cambieranno.

Le due trappole che vale la pena ripetere sono quelle che colgono anche i team esperti. Primo, una buona crittografia con giustificazioni mancanti fallisce comunque l'albero decisionale. Secondo, il catalogo che gran parte delle guide continua a consigliare, SOG-IS, non è più mantenuto da febbraio 2026: le evidenze copiate da un modello più vecchio potrebbero quindi citare una fonte ormai inattiva. Verificate entrambi gli aspetti prima di firmare la Dichiarazione di Conformità.

RedComply trasforma CRY-1 da pagina bianca in una tabella strutturata e guidata. La piattaforma implementa direttamente la struttura dei requisiti EN 18031, incluso l'albero decisionale di CRY-1 con i suoi due nodi, così che l'esito della valutazione discenda dalle risposte fornite e non da una lettura manuale della norma.

Se state preparando un fascicolo tecnico EN 18031 e CRY-1 è la sezione che continuate a rimandare, iniziate da redcomply.com e lasciate che sia la struttura a ricordare per voi.