ZeroTier e Carahsoft: quello che è firmato è un canale di vendita

Il 6 agosto 2026 ZeroTier e Carahsoft hanno annunciato, in un comunicato congiunto pubblicato nella newsroom di Carahsoft, una partnership per portare alla pubblica amministrazione americana reti software-defined con crittografia post-quantistica. Il titolo suona ampio: «ZeroTier and Carahsoft Partner to Bring Post-Quantum Secure, Software-Defined Networking to the Public Sector». La frase che descrive che cosa è stato davvero firmato dice però una cosa più stretta: l’oggetto dell’accordo è la distribuzione. Mettiamo subito la distinzione che regge il pezzo: un canale di vendita non è un’autorizzazione all’impiego. Sono due cose diverse, con responsabilità diverse, e l’annuncio riguarda solo la prima.

Un’azienda piccola che deve vendere a un’amministrazione grande ha bisogno di entrambe, e un comunicato tende a farle sembrare una sola. Il canale serve per essere acquistati; l’autorizzazione serve per essere impiegati dove un requisito normativo lo impone. Questo accordo dà il primo; il secondo non è oggetto dell’annuncio, e non va dedotto. Lo stesso schema, sul versante opposto — chi risponde della sicurezza quando l’autorizzazione è di un altro — l’abbiamo misurato su Palantir e KODE Labs; il calendario della transizione crittografica europea è in questa nota.

Che cosa dice l’accordo

La frase che conta, verbatim: «Under the agreement, Carahsoft will expand access to ZeroTier solutions across the Public Sector through its distribution network, making the company’s software-defined, end-to-end quantum-secure networking platform, ZeroTier Quantum, available to the Public Sector through Carahsoft’s reseller partners and the NASA Solutions for Enterprise-Wide Procurement (SEWP) V contract.» — Carahsoft amplierà l’accesso a ZeroTier nel settore pubblico tramite la propria rete di distribuzione, rendendo ZeroTier Quantum disponibile tramite i rivenditori e il contratto NASA SEWP V: rete di rivenditori più un veicolo contrattuale, non un’autorizzazione di sicurezza, non una certificazione, non un contratto diretto con un’amministrazione. Andrew Gault, CEO di ZeroTier, usa lo stesso registro: «Through Carahsoft’s strength and reach, agencies can more easily access ZeroTier’s platforms through established procurement channels to rapidly accelerate their deployments» — canali di approvvigionamento, non un’autorizzazione.

Che cos’è SEWP lo dice la NASA, verbatim: «The NASA SEWP (Solutions for Enterprise-Wide Procurement) GWAC (Government-Wide Acquisition Contract) provides the latest in Information Technology, Communication and Audio Visual (ITC/AV) products and services for all Federal Agencies and their approved contractors.» Un GWAC è un veicolo attraverso cui le amministrazioni acquistano: essere disponibili su SEWP significa essere acquistabili, non approvati. Un dettaglio, letto con cautela sulla stessa pagina NASA: un avviso segnala che «NASA is in the process of making awards for the Solutions for Enterprise-Wide Procurement (SEWP) VI contracts». Il veicolo citato è la generazione V, mentre è in corso l’aggiudicazione della VI: non ne traiamo conclusioni sulla durata residua, che non abbiamo verificato.

Che cosa fa ZeroTier Quantum

Robert Stevenson, CCO di ZeroTier, inquadra l’urgenza: «The White House and international security agencies are clear: the threat of quantum computing cracking modern encryption isn’t a future problem; It’s a today problem.» Il comunicato, verbatim: «ZeroTier Quantum redefines secure networking by embedding post-quantum cryptographic resilience directly into the transport layer. Leveraging the ZeroTier Transport Protocol (ZTP) and a memory-safe Rust architecture, the platform implements hybrid ML-KEM-1024 and ECDH P-384 cryptography to neutralize ‘harvest now, decrypt later’ and ‘trust now, forge later’ threats.» — crittografia post-quantistica nel livello di trasporto, protocollo proprio ZTP, architettura Rust memory-safe, crittografia ibrida ML-KEM-1024 più ECDH P-384.

Spieghiamolo senza tecnicismi. «Ibrido» vuol dire che la piattaforma combina due algoritmi: uno post-quantistico, ML-KEM — il meccanismo di incapsulamento di chiave standardizzato dal NIST come FIPS 203, «Module-Lattice-Based Key-Encapsulation Mechanism Standard» — e uno classico a curve ellittiche, ECDH P-384. Il motivo è assicurativo: se uno dei due cede, la sicurezza regge sull’altro. «Harvest now, decrypt later» è la minaccia che l’architettura vuole neutralizzare: un avversario registra oggi il traffico cifrato, per decifrarlo domani con un computer quantistico sufficientemente potente. Il comunicato aggiunge, verbatim: «By meeting rigorous NIST and NSA CNSA 2.0 standards, ZeroTier Quantum delivers high-performance, infrastructure-agnostic connectivity that functions seamlessly across public cloud, sovereign and air-gapped environments, helping Government agencies maintain data sovereignty and operational continuity without sacrificing agility.»

L’affermazione che non abbiamo potuto verificare

La frase «By meeting rigorous NIST and NSA CNSA 2.0 standards» è un’autodichiarazione dell’azienda, contenuta nel proprio comunicato. Non è una certificazione: nessun ente terzo è nominato come verificatore. Non abbiamo potuto controllarla su una fonte primaria della NSA: nsa.gov e media.defense.gov respingono gli accessi automatici, e questo è un limite del nostro controllo, non un giudizio sulla piattaforma. Non scriviamo che l’affermazione sia falsa, né che sia certificata: scriviamo che è una dichiarazione di prima parte, e che la domanda giusta da girare a chi vende un prodotto con questa frase è chi l’ha verificata, con quale schema, e in che data.

Tre partnership in due giorni

Nella stessa newsroom di Carahsoft, nell’elenco delle notizie recenti, compaiono in due giorni tre annunci sullo stesso titolo-modello. Il 6 agosto: «ZeroTier and Carahsoft Partner to Bring Post-Quantum Secure, Software-Defined Networking to the Public Sector», e lo stesso giorno «PSJ Consulting and Carahsoft Partner to Bring Mission-Focused Consulting, Data, Compliance and Project Delivery Modernization Solutions to the Public Sector». Il 5 agosto: «Service IT Direct and Carahsoft Partner to Bring Advanced Third-Party Maintenance Solutions to the Public Sector». Tre aziende diverse, nello stesso schema, in quarantotto ore. Non è un difetto di Carahsoft, che fa il proprio mestiere e lo dichiara apertamente: è la prova, presa sulla fonte, che in questo mercato «partnership» è spesso la parola con cui si annuncia l’ingresso in un catalogo. Chi legge deve saperlo pesare.

Come lo verifichiamo noi

Quando un fornitore ci porta una partnership come credenziale, chiediamo il tipo di contratto e lo leggiamo: distribuzione, rivendita, integrazione o co-sviluppo sono impegni diversi, con responsabilità diverse. Separiamo sempre il canale di acquisto dall’autorizzazione all’impiego: essere acquistabili su un veicolo federale non equivale a essere autorizzati a trattare dati classificati, né a soddisfare un requisito NIS2. E per ogni affermazione di conformità a uno standard crittografico chiediamo il nome dell’ente che l’ha verificata e la data, e archiviamo la risposta — o la sua assenza.

Vedi il servizio · Parlane con un tecnico

Il rovescio, doveroso

ZeroTier pubblica che cosa implementa, con nomi di algoritmi e standard verificabili — ML-KEM-1024, ECDH P-384, FIPS 203 — e Carahsoft dichiara apertamente di essere un distributore, non un’autorità di accreditamento. Nessuno dei due nasconde niente. Il problema non è l’annuncio: è la lettura frettolosa che ne fa chi compra, e la scorciatoia mentale per cui «partner di» diventa «approvato da».

Che cosa comporta per un compratore europeo

Chiedere sempre il tipo di contratto firmato: distribuzione, rivendita, integrazione o co-sviluppo non sono la stessa cosa.
Distinguere il canale dall’autorizzazione: essere acquistabili su un catalogo non equivale a essere impiegabili dove un requisito normativo pretende una valutazione formale.
Chiedere chi ha verificato una conformità crittografica dichiarata, e con quale schema: l’autodichiarazione è legittima, ma va nominata come tale.
Verificare che il veicolo contrattuale citato in un’offerta sia ancora quello davvero in vigore, e non una generazione in via di sostituzione.
Ricordare, punto specificamente europeo, che un veicolo di acquisto americano non produce alcun effetto in Europa: qui valgono altre regole di qualificazione dei fornitori.

I due assi, applicati

La verifica di che cosa un fornitore ha davvero firmato non è un controllo da fare una volta e archiviare. Sul primo asse — adempiere — diventa un controllo che gira sui contratti e sui sistemi del cliente, con un registro delle dipendenze critiche: per ogni fornitore, che accordo, con chi, che cosa copre, quali conformità sono dichiarate e da chi verificate, con la data — pronto da esibire a un’ispezione o a un consiglio di amministrazione.

Sul secondo asse — decidere — lo stesso impianto unifica contratti, fornitori, archivi, gestionali e documenti in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando, per grandi imprese, difesa, pubblica amministrazione e sanità. Applicato qui: quando esce una notizia su un fornitore, la risposta a «dove lo abbiamo in casa, con quale contratto e con quale alternativa» arriva in ore. Sempre in due modalità: on-premise su macchine autonome senza integrazione profonda nella rete del cliente, o cloud dedicato con VPN dedicata e data center in Italia — sempre con gestione condivisa.

Dovete capire se una partnership che vi hanno appena presentato è un canale o un’autorizzazione? Parliamone: la prima sessione è senza costi.