--- title: "ZeroTier e Carahsoft: quello che è firmato è un canale di vendita" description: "ZeroTier Quantum arriva alla PA americana tramite Carahsoft e il contratto NASA SEWP V. È distribuzione, non accreditazione: la differenza conta." url: https://csidia.com/note-operative/zerotier-carahsoft-canale-non-autorizzazione/ lang: it date: 2026-08-09 label: "Partnership" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/zerotier-carahsoft-canale-non-autorizzazione/ --- # ZeroTier e Carahsoft: quello che è firmato è un canale di vendita Il 6 agosto 2026 ZeroTier e Carahsoft hanno annunciato, in un comunicato congiunto pubblicato nella newsroom di Carahsoft, una partnership per portare alla pubblica amministrazione americana reti software-defined con crittografia post-quantistica. Il titolo suona ampio: «ZeroTier and Carahsoft Partner to Bring Post-Quantum Secure, Software-Defined Networking to the Public Sector». La frase che descrive che cosa è stato davvero firmato dice però una cosa più stretta: l’oggetto dell’accordo è la distribuzione. Mettiamo subito la distinzione che regge il pezzo: un canale di vendita non è un’autorizzazione all’impiego. Sono due cose diverse, con responsabilità diverse, e l’annuncio riguarda solo la prima. Un’azienda piccola che deve vendere a un’amministrazione grande ha bisogno di entrambe, e un comunicato tende a farle sembrare una sola. Il canale serve per essere acquistati; l’autorizzazione serve per essere impiegati dove un requisito normativo lo impone. Questo accordo dà il primo; il secondo non è oggetto dell’annuncio, e non va dedotto. Lo stesso schema, sul versante opposto — chi risponde della sicurezza quando l’autorizzazione è di un altro — l’abbiamo misurato su [KODE Labs e il fornitore titolare dell’autorizzazione](https://csidia.com/note-operative/kode-fedramp-high-perimetro-di-un-altro); il calendario della transizione crittografica europea è in [questa nota](https://csidia.com/note-operative/crittografia-post-quantistica-scadenza-2026). ## Che cosa dice l’accordo La frase che conta, verbatim: «Under the agreement, Carahsoft will expand access to ZeroTier solutions across the Public Sector through its distribution network, making the company's software-defined, end-to-end quantum-secure networking platform, ZeroTier Quantum, available to the Public Sector through Carahsoft's reseller partners and the NASA Solutions for Enterprise-Wide Procurement (SEWP) V contract.» — Carahsoft amplierà l’accesso a ZeroTier nel settore pubblico tramite la propria rete di distribuzione, rendendo ZeroTier Quantum disponibile tramite i rivenditori e il contratto NASA SEWP V: rete di rivenditori più un veicolo contrattuale, non un’autorizzazione di sicurezza, non una certificazione, non un contratto diretto con un’amministrazione. Andrew Gault, CEO di ZeroTier, usa lo stesso registro: «Through Carahsoft's strength and reach, agencies can more easily access ZeroTier's platforms through established procurement channels to rapidly accelerate their deployments» — canali di approvvigionamento, non un’autorizzazione. Che cos’è SEWP lo dice la NASA, verbatim: «The NASA SEWP (Solutions for Enterprise-Wide Procurement) GWAC (Government-Wide Acquisition Contract) provides the latest in Information Technology, Communication and Audio Visual (ITC/AV) products and services for all Federal Agencies and their approved contractors.» Un GWAC è un veicolo attraverso cui le amministrazioni acquistano: essere disponibili su SEWP significa essere acquistabili, non approvati. Un dettaglio, letto con cautela sulla stessa pagina NASA: un avviso segnala che «NASA is in the process of making awards for the Solutions for Enterprise-Wide Procurement (SEWP) VI contracts». Il veicolo citato è la generazione V, mentre è in corso l’aggiudicazione della VI: non ne traiamo conclusioni sulla durata residua, che non abbiamo verificato. ## Che cosa fa ZeroTier Quantum Robert Stevenson, CCO di ZeroTier, inquadra l’urgenza: «The White House and international security agencies are clear: the threat of quantum computing cracking modern encryption isn't a future problem; It's a today problem.» Il comunicato, verbatim: «ZeroTier Quantum redefines secure networking by embedding post-quantum cryptographic resilience directly into the transport layer. Leveraging the ZeroTier Transport Protocol (ZTP) and a memory-safe Rust architecture, the platform implements hybrid ML-KEM-1024 and ECDH P-384 cryptography to neutralize 'harvest now, decrypt later' and 'trust now, forge later' threats.» — crittografia post-quantistica nel livello di trasporto, protocollo proprio ZTP, architettura Rust memory-safe, crittografia ibrida ML-KEM-1024 più ECDH P-384. Spieghiamolo senza tecnicismi. «Ibrido» vuol dire che la piattaforma combina due algoritmi: uno post-quantistico, ML-KEM — il meccanismo di incapsulamento di chiave standardizzato dal NIST come **FIPS 203**, «Module-Lattice-Based Key-Encapsulation Mechanism Standard» — e uno classico a curve ellittiche, ECDH P-384. Il motivo è assicurativo: se uno dei due cede, la sicurezza regge sull’altro. «Harvest now, decrypt later» è la minaccia che l’architettura vuole neutralizzare: un avversario registra oggi il traffico cifrato, per decifrarlo domani con un computer quantistico sufficientemente potente. Il comunicato aggiunge, verbatim: «By meeting rigorous NIST and NSA CNSA 2.0 standards, ZeroTier Quantum delivers high-performance, infrastructure-agnostic connectivity that functions seamlessly across public cloud, sovereign and air-gapped environments, helping Government agencies maintain data sovereignty and operational continuity without sacrificing agility.» ## L’affermazione che non abbiamo potuto verificare La frase «By meeting rigorous NIST and NSA CNSA 2.0 standards» è un’autodichiarazione dell’azienda, contenuta nel proprio comunicato. Non è una certificazione: nessun ente terzo è nominato come verificatore. Non abbiamo potuto controllarla su una fonte primaria della NSA: nsa.gov e media.defense.gov respingono gli accessi automatici, e questo è un limite del nostro controllo, non un giudizio sulla piattaforma. Non scriviamo che l’affermazione sia falsa, né che sia certificata: scriviamo che è una dichiarazione di prima parte, e che la domanda giusta da girare a chi vende un prodotto con questa frase è chi l’ha verificata, con quale schema, e in che data. ## Tre partnership in due giorni Nella stessa newsroom di Carahsoft, nell’elenco delle notizie recenti, compaiono in due giorni tre annunci sullo stesso titolo-modello. Il 6 agosto: «ZeroTier and Carahsoft Partner to Bring Post-Quantum Secure, Software-Defined Networking to the Public Sector», e lo stesso giorno «PSJ Consulting and Carahsoft Partner to Bring Mission-Focused Consulting, Data, Compliance and Project Delivery Modernization Solutions to the Public Sector». Il 5 agosto: «Service IT Direct and Carahsoft Partner to Bring Advanced Third-Party Maintenance Solutions to the Public Sector». Tre aziende diverse, nello stesso schema, in quarantotto ore. Non è un difetto di Carahsoft, che fa il proprio mestiere e lo dichiara apertamente: è la prova, presa sulla fonte, che in questo mercato «partnership» è spesso la parola con cui si annuncia l’ingresso in un catalogo. Chi legge deve saperlo pesare. ## Come lo verifichiamo noi Quando un fornitore ci porta una partnership come credenziale, chiediamo il tipo di contratto e lo leggiamo: distribuzione, rivendita, integrazione o co-sviluppo sono impegni diversi, con responsabilità diverse. Separiamo sempre il canale di acquisto dall’autorizzazione all’impiego: essere acquistabili su un veicolo federale non equivale a essere autorizzati a trattare dati classificati, né a soddisfare un requisito NIS2. E per ogni affermazione di conformità a uno standard crittografico chiediamo il nome dell’ente che l’ha verificata e la data, e archiviamo la risposta — o la sua assenza. [Vedi il servizio](https://csidia.com/soluzioni/governance-ai) · [Parlane con un tecnico](https://csidia.com/contatti) ## Il rovescio, doveroso ZeroTier pubblica che cosa implementa, con nomi di algoritmi e standard verificabili — ML-KEM-1024, ECDH P-384, FIPS 203 — e Carahsoft dichiara apertamente di essere un distributore, non un’autorità di accreditamento. Nessuno dei due nasconde niente. Il problema non è l’annuncio: è la lettura frettolosa che ne fa chi compra, e la scorciatoia mentale per cui «partner di» diventa «approvato da». ## Che cosa comporta per un compratore europeo 1. Chiedere sempre il tipo di contratto firmato: distribuzione, rivendita, integrazione o co-sviluppo non sono la stessa cosa. 2. Distinguere il canale dall’autorizzazione: essere acquistabili su un catalogo non equivale a essere impiegabili dove un requisito normativo pretende una valutazione formale. 3. Chiedere chi ha verificato una conformità crittografica dichiarata, e con quale schema: l’autodichiarazione è legittima, ma va nominata come tale. 4. Verificare che il veicolo contrattuale citato in un’offerta sia ancora quello davvero in vigore, e non una generazione in via di sostituzione. 5. Ricordare, punto specificamente europeo, che un veicolo di acquisto americano non produce alcun effetto in Europa: qui valgono altre regole di qualificazione dei fornitori. ## Fonti - [Carahsoft — ZeroTier and Carahsoft Partner to Bring Post-Quantum Secure, Software-Defined Networking to the Public Sector (6 agosto 2026)](https://www.carahsoft.com/news/zerotier-and-carahsoft-partner-to-bring-post-quantum-secure-software-defined-networking-to-the-public-sector-2026) - [NASA — SEWP, Solutions for Enterprise-Wide Procurement](https://www.sewp.nasa.gov/) - [NIST — FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard](https://csrc.nist.gov/pubs/fips/203/final) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/zerotier-carahsoft-canale-non-autorizzazione/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com