CNSA 2.0: hoe Amerika zijn geheimen quantumbestendig maakt
Stel je voor dat je een brief verstuurt in een kluisje waarvan je zeker weet dat niemand het slot binnen honderd jaar kan kraken. Dat is ongeveer wat versleuteling (encryptie) vandaag doet met digitale informatie: gegevens worden zo door elkaar gehusseld dat alleen de juiste sleutel ze weer leesbaar maakt. Het probleem is dat er een nieuw soort gereedschap in aantocht is dat sommige van die kluizen wél kan openbreken: de quantumcomputer. CNSA 2.0 is het antwoord van de Amerikaanse inlichtingendienst NSA (National Security Agency) op die dreiging: een verplichte lijst van nieuwe, quantumbestendige beveiligingsmethoden voor de belangrijkste Amerikaanse overheids- en defensiesystemen.
De afkorting staat voor Commercial National Security Algorithm Suite 2.0, oftewel de tweede versie van een 'pakket' cryptografische algoritmes dat de NSA voorschrijft voor zogeheten National Security Systems: computersystemen die classified of anderszins gevoelige nationale-veiligheidsinformatie verwerken. Simpel gezegd is het een verhuisschema: over een periode van ruim een decennium moeten al deze systemen overstappen van de huidige, kwetsbare versleuteling naar nieuwe wiskundige methodes die naar verwachting ook bestand zijn tegen krachtige toekomstige quantumcomputers.
Wat is het precies?
Vrijwel alle beveiligde communicatie op internet, van bankieren tot WhatsApp, leunt op zogeheten publieke-sleutelcryptografie. Daarbij gebruik je twee bij elkaar horende sleutels: een openbare om gegevens te versleutelen en een geheime om ze te ontsleutelen. De wiskundige trucs achter dit systeem, zoals RSA en elliptische-curvecryptografie (ECC), zijn zo gekozen dat een gewone computer er duizenden jaren over zou doen om de geheime sleutel te raden.
Een quantumcomputer werkt fundamenteel anders dan een klassieke computer en kan, in theorie, met een specifiek algoritme (het Shor-algoritme) precies dat soort wiskundige problemen wél snel oplossen. Zulke machines bestaan nog niet in een vorm die dit daadwerkelijk kan, maar cryptografen houden al jaren rekening met de dag dat het wel zover is.
CNSA 2.0 vervangt daarom de kwetsbare algoritmes door nieuwe, zogeheten post-quantumalgoritmes. De belangrijkste zijn ML-KEM (voorheen bekend als CRYSTALS-Kyber) voor het veilig uitwisselen van sleutels, en ML-DSA (voorheen CRYSTALS-Dilithium) voor digitale handtekeningen, waarmee je kunt bewijzen dat een bestand echt en onveranderd is. Voor het ondertekenen van software en firmware — de basissoftware die in chips en apparaten zit — worden twee oudere, al goed onderzochte technieken voorgeschreven: LMS en XMSS, gebaseerd op hashfuncties in plaats van op de wiskunde die kwetsbaar is voor quantumcomputers. Daarnaast blijft symmetrische versleuteling met AES-256 en de hashfunctie SHA-384 of SHA-512 gehandhaafd, omdat quantumcomputers dat type beveiliging veel minder hard raken.
Deze nieuwe algoritmes zijn niet door de NSA zelf bedacht, maar komen voort uit een jarenlange internationale wedstrijd van het Amerikaanse standaardisatie-instituut NIST (National Institute of Standards and Technology), waarin cryptografen wereldwijd nieuwe methodes indienden die vervolgens publiek werden getest en aangevallen door andere onderzoekers, voordat de sterkste kandidaten als standaard werden vastgelegd.
Wat wil men ermee bereiken?
De directe drijfveer is een dreiging die cryptografen 'harvest now, decrypt later' noemen: versleuteld verkeer onderscheppen en jarenlang opslaan, in de verwachting dat een toekomstige quantumcomputer het alsnog kan ontcijferen. Voor gegevens die morgen niet meer relevant zijn, is dat geen probleem. Maar staatsgeheimen, diplomatieke communicatie en militaire plannen moeten soms tientallen jaren geheim blijven, en dat is precies het soort informatie dat National Security Systems verwerken.
Door nu al over te stappen, wil de NSA voorkomen dat vandaag onderschepte data over tien of twintig jaar alsnog leesbaar wordt. Een tweede doel is orde en voorspelbaarheid: door één verplichte, uniforme set algoritmes met een vaste tijdlijn voor te schrijven, moeten fabrikanten van overheidsapparatuur, softwareleveranciers en systeembeheerders precies weten waar ze aan toe zijn, in plaats van dat iedereen zijn eigen tempo en eigen keuzes hanteert.
Belangrijk is de reikwijdte: CNSA 2.0 is in de eerste plaats verplicht voor Amerikaanse nationale-veiligheidssystemen, niet voor de commerciële internetstandaard in het algemeen. In de praktijk werkt het echter als een invloedrijke voorloper: omdat dezelfde NIST-algoritmes ook de basis vormen voor bredere internetstandaarden, sijpelt de aanpak door naar browsers, clouddiensten en netwerkapparatuur die iedereen gebruikt.
Voorbeelden uit de praktijk
Google experimenteert al sinds 2016 met post-quantumversleuteling in zijn Chrome-browser en voegde vanaf 2023 een hybride sleuteluitwisseling toe die het klassieke X25519 combineert met het nieuwe Kyber-algoritme (de voorloper van ML-KEM), zodat verbindingen zowel tegen klassieke als tegen toekomstige quantumaanvallen bestand zijn.
Cloudflare, een groot bedrijf dat een flink deel van het wereldwijde webverkeer afhandelt, behoorde tot de vroege aanbieders van post-quantum TLS-verbindingen (de beveiligingslaag achter het slotje in je browser) voor zijn klantennetwerk en publiceert regelmatig over de voortgang van die uitrol.
Amazon Web Services (AWS) bouwde vanaf ongeveer 2021 ondersteuning voor post-quantumalgoritmes in diensten zoals sleutelbeheer (KMS) en opslag, zodat klanten alvast hybride versleuteling konden testen zonder op standaardisatie te hoeven wachten.
IBM Research was nauw betrokken bij de ontwikkeling van zowel CRYSTALS-Kyber als CRYSTALS-Dilithium, samen met onder meer het Nederlandse onderzoeksinstituut CWI in Amsterdam en Franse universiteiten, en werkt sindsdien aan het inbouwen van deze algoritmes in eigen mainframes en beveiligingssoftware.
Netwerkfabrikanten als Cisco hebben aangekondigd stapsgewijs post-quantum-ondersteuning toe te voegen aan VPN- en routerapparatuur, een categorie die door de NSA relatief laat in de tijdlijn is gepland omdat het vervangen van fysieke netwerkinfrastructuur traag en kostbaar is.
Hoe ver is de techniek?
Een belangrijke mijlpaal is dat NIST in augustus 2024 de eerste drie post-quantumstandaarden definitief vastlegde: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (een aanvullende handtekeningmethode, SLH-DSA). Daarmee liggen de wiskundige bouwstenen van CNSA 2.0 nu formeel vast, na jaren van publieke analyse en enkele kandidaten die tussentijds alsnog werden gekraakt of ingetrokken — een herinnering dat ook 'nieuwe' cryptografie niet automatisch onfeilbaar is.
De NSA hanteert voor de daadwerkelijke invoering een gefaseerde tijdlijn die zich over meer dan een decennium uitstrekt: software- en firmware-ondertekening staat het eerst gepland, gevolgd door webbrowsers, servers en cloudsystemen, met traditionele netwerkapparatuur zoals VPN's als een van de laatste categorieën. Voor de volledige overstap van alle nationale-veiligheidssystemen wordt door de NSA een horizon rond 2030-2033 genoemd. Deze auteur benadrukt dat de exacte jaartallen per apparaatcategorie in officiële documenten kunnen verschuiven; lezers die op de letter af willen weten wat voor hun sector geldt, doen er goed aan de actuele NSA-richtlijnen te raadplegen in plaats van op één vaste datum te vertrouwen.
De grootste praktische obstakels zijn niet zozeer wiskundig als wel technisch en organisatorisch. De nieuwe algoritmes gebruiken vaak grotere sleutels en handtekeningen dan de klassieke methodes, wat meer rekenkracht, geheugen en netwerkbandbreedte vraagt — lastig voor kleine chips in bijvoorbeeld satellieten, medische apparatuur of oude industriële systemen. Daarnaast is het vervangen van cryptografie in miljoenen bestaande apparaten en softwaresystemen wereldwijd een enorme logistieke operatie die niet van de ene op de andere dag klaar is.
Wie werken eraan?
De NSA schrijft de eisen voor en bepaalt de tijdlijn voor Amerikaanse nationale-veiligheidssystemen. NIST is verantwoordelijk voor het wetenschappelijke standaardisatieproces en het vastleggen van de exacte technische specificaties in FIPS-documenten. De Amerikaanse cyberbeveiligingsdienst CISA (Cybersecurity and Infrastructure Security Agency) helpt federale overheidsinstanties, ook buiten de strikte nationale-veiligheidssystemen, met praktische migratieroutekaarten.
Op de onderzoekskant zijn universiteiten en bedrijven wereldwijd betrokken geweest bij het ontwerpen en aanvallen van de kandidaat-algoritmes, waaronder onderzoeksgroepen in Nederland (CWI Amsterdam), Frankrijk, Duitsland en de Verenigde Staten. Aan de implementatiekant investeren grote technologiebedrijven als Google, Microsoft, Amazon, IBM, Cisco en Cloudflare in het inbouwen van post-quantumondersteuning in hun producten, deels gedreven door de Amerikaanse eisen en deels omdat zij zelf grote hoeveelheden gevoelige data beheren die op lange termijn beschermd moeten blijven.