Duits techbedrijf bouwt quantumveilige identiteitskaart voor Europa

Elke Europeaan met een identiteitskaart vertrouwt op cryptografie: wiskundige sloten die voorkomen dat iemand een kaart namaakt of gegevens aftapt. Die sloten werken nu goed, maar toekomstige quantumcomputers kunnen ze in theorie kraken. Omdat een identiteitskaart soms tien jaar meegaat, moet de beveiliging van vandaag al bestand zijn tegen de rekenkracht van morgen. Daarom werkt G+D, bekend van bankbiljetten en betaalsystemen, mee aan het Europese onderzoeksproject uPQComing.

Waarom identiteitskaarten kwetsbaar zijn

Het project wordt gefinancierd door de Chips Joint Undertaking, een samenwerkingsverband van de Europese Unie en de chipindustrie. Doel is kritieke infrastructuur, zoals digitale identiteitssystemen, klaar te stomen voor post-quantum cryptografie: versleuteling die ook een krachtige quantumcomputer niet kan breken. Identiteitskaarten zijn een lastig geval. De chip erin heeft weinig rekenkracht en geheugen, terwijl nieuwe quantumveilige rekenmethodes vaak juist meer daarvan vragen. G+D moet dus versleuteling bedenken die licht genoeg is voor een simpele kaartchip, maar toch bestand tegen toekomstige aanvallen.

Van laboratorium naar chipkaart

Concreet ontwikkelt en test G+D nieuwe beveiligingsprotocollen en past het bestaande identificatiemethodes aan, bijvoorbeeld de manier waarop een kaart zich bij een grenscontrole of gemeentebalie identificeert. Belangrijk onderdeel is crypto-agiliteit: het zo bouwen van systemen dat beveiligingsmethodes later relatief eenvoudig vervangen kunnen worden, zonder dat de hele kaart opnieuw moet worden ontworpen. Dat is nodig omdat nog niet vaststaat welke quantumveilige methodes uiteindelijk de standaard worden. Ook onderzoekt het bedrijf hybride cryptografie, waarbij oude en nieuwe versleuteling tegelijk worden gebruikt. Zo blijft een kaart ook veilig als een gloednieuwe quantumveilige methode later toch een zwakke plek blijkt te hebben. De ontwikkelde technieken worden ingebouwd in een prototype van een chipkaartbesturingssysteem op basis van de Java Card-standaard, de software die op de chip van identiteitskaarten draait, en vervolgens getest op veiligheid, snelheid en compatibiliteit met bestaande apparatuur zoals paspoortlezers.

Al een proef in Duitsland

G+D bouwt voort op eerder werk met Bundesdruckerei, de Duitse staatsdrukkerij die onder meer paspoorten produceert. Voor de Duitse nationale identiteitskaart deden beide partijen al een haalbaarheidsstudie naar post-quantum authenticatie, waaruit bleek dat de techniek al bruikbaar is voor hooggevoelige documenten. Group Chief Digital Officer Gabriel von Mitschke-Collande van G+D noemt digitale identiteit een onderwerp waarvoor nu al de technologische basis moet worden gelegd. Volgens hem draagt het project ook bij aan de Europese technologische onafhankelijkheid op een gebied dat de komende jaren steeds belangrijker wordt. Aan uPQComing werken bedrijven, kennisinstellingen en universiteiten uit heel Europa mee.