Cryptanalyse: de wetenschap van het kraken van geheime codes
Stel je voor dat je een dagboek vindt dat volledig in een onbekende geheimtaal is geschreven. Cryptanalyse is de wetenschap die zich bezighoudt met het ontcijferen van zulke boodschappen zonder dat je de sleutel kent waarmee ze zijn versleuteld. Het is in feite de tegenhanger van cryptografie: waar cryptografen slimme sloten bouwen om informatie te beschermen, proberen cryptanalisten diezelfde sloten open te breken. Beide vakgebieden hebben elkaar hard nodig, want een versleuteling die niemand ooit serieus heeft proberen kraken, weet je eigenlijk niet hoe veilig hij is.
Een bekend historisch voorbeeld maakt het concreet. Tijdens de Tweede Wereldoorlog gebruikte het Duitse leger de Enigma-machine om berichten te versleutelen: een apparaat met roterende schijven dat elke letter volgens een steeds wisselend patroon verving door een andere letter. Voor buitenstaanders leek de uitkomst willekeurige lettersoep. Codebrekers in Bletchley Park, het Britse ontcijferingscentrum, wisten echter patronen en zwakke plekken in het systeem te vinden waardoor ze berichten alsnog konden lezen. Dat is cryptanalyse in de kern: op zoek gaan naar wiskundige, technische of menselijke zwakheden in een versleutelingssysteem, zodat geheime informatie toch leesbaar wordt zonder de officiële sleutel.
Wat is het precies?
Cryptanalyse is geen los trucje maar een systematische aanpak. Cryptanalisten beginnen meestal met het bestuderen van het versleutelingsalgoritme zelf: de wiskundige regels die bepalen hoe leesbare tekst (de 'platte tekst') wordt omgezet in onleesbare tekst (de 'cijfertekst'). Ze zoeken naar afwijkingen van pure willekeurigheid, want een goed versleutelingssysteem moet zich in theorie gedragen als perfecte ruis.
Een veelgebruikte techniek is differentiële cryptanalyse. Daarbij versleutelt de aanvaller stelselmatig kleine variaties van dezelfde boodschap en bestudeert hoe die kleine verschillen zich voortplanten door het algoritme. Als bepaalde verschillen vaker voorkomen dan puur toeval zou verklaren, verraadt dat informatie over de gebruikte sleutel. Een andere methode, lineaire cryptanalyse, zoekt naar simpele wiskundige relaties tussen delen van de platte tekst, de cijfertekst en de sleutel die net iets vaker kloppen dan je bij toeval zou verwachten.
Naast deze wiskundige aanvallen bestaan er ook praktischer benaderingen. Bij een brute-force-aanval probeert een computer simpelweg alle mogelijke sleutels uit totdat de juiste gevonden is; dit werkt alleen als de sleutel kort genoeg is om binnen een redelijke tijd te doorzoeken. Bij zogeheten side-channel-aanvallen kijkt men niet naar de wiskunde, maar naar bijverschijnselen van de apparatuur die de versleuteling uitvoert, zoals stroomverbruik, geluid of de tijd die een berekening kost. Die metingen kunnen indirect verraden welke sleutel gebruikt wordt, ook al is het onderliggende algoritme wiskundig kraakhelder.
Wat wil men ermee bereiken?
Het belangrijkste doel van cryptanalyse is niet het stelen van geheimen, maar het testen en verbeteren van beveiliging. Voordat een nieuw versleutelingsalgoritme wereldwijd wordt gebruikt in bijvoorbeeld internetbankieren, WhatsApp-berichten of overheidscommunicatie, wordt het jarenlang publiekelijk aangevallen door onderzoekers. Alleen algoritmes die deze stresstest overleven, worden als betrouwbaar beschouwd. Dit proces heet 'kraken om te beschermen': door zwakke plekken te vinden vóórdat kwaadwillenden dat doen, kunnen ontwerpers hun systemen bijstellen.
Daarnaast speelt cryptanalyse een rol in inlichtingenwerk en nationale veiligheid, zoals het Bletchley Park-voorbeeld laat zien. Overheden en veiligheidsdiensten investeren al decennia in het ontcijferen van versleutelde communicatie van tegenstanders. Tegelijkertijd is cryptanalyse essentieel voor digitale forensisch onderzoek en voor het opsporen van kwetsbaarheden in software die miljoenen mensen dagelijks gebruiken.
Een minder voor de hand liggend doel is het opbouwen van vertrouwen in nieuwe technologie. Wanneer bedrijven of overheden een nieuwe standaard voorstellen, wordt de cryptografische gemeenschap uitgenodigd om er zo hard mogelijk op te bijten. Overleeft het voorstel die aanvallen, dan groeit het vertrouwen dat het ook in de praktijk standhoudt tegen toekomstige aanvallers, inclusief overheden met grote rekenkracht.
Voorbeelden uit de praktijk
De ontcijfering van de Enigma-code tijdens de Tweede Wereldoorlog blijft het bekendste voorbeeld. Poolse wiskundigen, onder wie Marian Rejewski, legden in de jaren dertig de basis, waarna Alan Turing en collega's in Bletchley Park in de periode 1939-1945 machines bouwden, de zogeheten 'bommes', om Enigma-sleutels systematisch te doorzoeken.
In 1990 publiceerden Eli Biham en Adi Shamir hun werk over differentiële cryptanalyse, waarmee ze aantoonden dat de destijds veelgebruikte versleutelingsstandaard DES (Data Encryption Standard) theoretisch aanvalbaar was met minder pogingen dan brute kracht zou vergen. Dit werk zette de deur open voor een hele nieuwe tak van cryptanalytisch onderzoek.
In 1998 bouwde de burgerrechtenorganisatie Electronic Frontier Foundation een machine genaamd 'Deep Crack', die een DES-sleutel binnen ruim 56 uur kraakte door alle mogelijke sleutels uit te proberen. Dit bewees in de praktijk dat DES te zwak was geworden voor gevoelige toepassingen en versnelde de overstap naar de opvolger AES.
Een recenter voorbeeld is de 'SHAttered'-aanval uit 2017, uitgevoerd door onderzoekers van Google en het Nederlandse onderzoeksinstituut CWI Amsterdam. Zij toonden voor het eerst een praktische botsing aan in het veelgebruikte hashalgoritme SHA-1: twee verschillende bestanden die dezelfde digitale 'vingerafdruk' opleverden. Dit versnelde wereldwijd de uitfasering van SHA-1 in beveiligingssoftware.
Ook het factoriseren van grote getallen, de basis van RSA-versleuteling, is een vorm van cryptanalytisch onderzoek. In 2020 slaagde een internationaal team, onder leiding van onderzoekers verbonden aan het Franse CNRS en de universiteit van Nancy, erin het getal RSA-250, met 250 decimale cijfers, te ontbinden in zijn priemfactoren. Dat soort resultaten helpt bepalen hoe lang RSA-sleutels minimaal moeten zijn om veilig te blijven.
Hoe ver is de techniek?
Cryptanalyse ontwikkelt zich als een langzame, gestage wedloop in plaats van met plotselinge doorbraken. Bestaande, goed doorgelichte algoritmes zoals AES (voor versleuteling) en SHA-256 (voor hashing) worden nog altijd als veilig beschouwd voor de komende jaren, ondanks decennia van pogingen om ze te breken. Kleine theoretische verzwakkingen worden af en toe gevonden, maar die vertalen zich meestal niet direct naar bruikbare aanvallen op echte systemen.
De grootste onzekerheid op dit moment betreft kwantumcomputers. Een voldoende krachtige kwantumcomputer zou in theorie, met een methode die bekendstaat als het algoritme van Shor, de wiskundige problemen waarop RSA en vergelijkbare systemen zijn gebaseerd, snel kunnen oplossen. Zulke machines bestaan vandaag de dag nog niet in een vorm die deze dreiging waarmaakt, en experts zijn het oneens over hoeveel jaar of decennia dit nog kan duren. Toch is de onzekerheid groot genoeg dat het Amerikaanse standaardisatie-instituut NIST tussen 2016 en 2024 een meerjarig traject doorliep om nieuwe, kwantumbestendige versleutelingsstandaarden te selecteren en vast te leggen.
Een belangrijk obstakel blijft dat cryptanalytisch onderzoek traag en arbeidsintensief is: het kost vaak jaren voordat een theoretische zwakte praktisch uitgebuit kan worden, als dat al lukt. Daarnaast is een deel van het meest geavanceerde onderzoek geheim, omdat inlichtingendiensten hun eigen ontcijferingscapaciteiten niet prijsgeven. Dit maakt het moeilijk om met zekerheid te zeggen hoe ver de allernieuwste technieken werkelijk zijn.
Wie werken eraan?
Academische onderzoeksgroepen vormen de ruggengraat van openbare cryptanalyse. Voorbeelden zijn de onderzoeksgroep COSIC aan de KU Leuven in België, het Nederlandse onderzoeksinstituut CWI in Amsterdam, en cryptografie-afdelingen aan universiteiten als Bristol, ETH Zürich en het Weizmann Institute in Israël, waar onder meer Adi Shamir werkzaam is geweest. Hun werk wordt gedeeld en bediscussieerd op internationale conferenties die worden georganiseerd door de International Association for Cryptologic Research (IACR), zoals de jaarlijkse Crypto- en Eurocrypt-conferenties.
Op overheidsniveau spelen inlichtingen- en beveiligingsdiensten een grote, deels onzichtbare rol, waaronder de Amerikaanse National Security Agency (NSA) en de Britse Government Communications Headquarters (GCHQ), de opvolger van Bletchley Park. Het Amerikaanse National Institute of Standards and Technology (NIST) heeft een meer open rol: het organiseert publieke wedstrijden waarin cryptografen wereldwijd elkaars voorstellen voor nieuwe standaarden proberen te breken, zoals recentelijk bij de selectie van postkwantum-cryptografie.
Ook techbedrijven dragen actief bij. Google en Microsoft financieren cryptografisch onderzoek en publiceren zelf aanvallen, zoals bij de eerdergenoemde SHAttered-aanval op SHA-1. IBM en verschillende universiteiten werken daarnaast aan kwantumcomputers en aan de cryptanalyse die daarmee samenhangt, terwijl onafhankelijke onderzoekers en beveiligingsbedrijven via verantwoorde openbaarmaking ('responsible disclosure') regelmatig nieuwe kwetsbaarheden in bestaande systemen aan het licht brengen.