Cryptografische wendbaarheid: waarom digitale sloten verwisselbaar moeten zijn
Cryptografische wendbaarheid, in het Engels crypto-agility, is het vermogen van een computersysteem om de onderliggende versleutelingstechniek te vervangen zonder dat het hele systeem opnieuw gebouwd hoeft te worden. Denk aan het slot op je voordeur: een goed ontworpen deur heeft een standaardgat waar je elk merk cilinderslot in kunt schroeven. Gaat er een nieuw, veiliger slot op de markt, dan vervang je alleen de cilinder. De deur, het kozijn en de scharnieren blijven hetzelfde.
Bij software werkt dat zelden zo soepel. Versleuteling zit vaak diep verweven in protocollen, apparaten en jarenoude code. Een systeem dat cryptografisch wendbaar is, heeft van tevoren nagedacht over die vervangbaarheid: het spreekt niet één vast "slot" af, maar een manier om sloten uit te wisselen zodra dat nodig is. Dat klinkt technisch, maar de gedachte is simpel: bouw niet voor het cijferslot van vandaag, bouw voor het feit dat er ooit een nieuw slot nodig zal zijn.
Wat is het precies?
Vrijwel alle beveiligde communicatie op internet, van een bankapp tot een berichtenapp, gebruikt cryptografische algoritmes: wiskundige procedures om gegevens te versleutelen, te ontsleutelen en handtekeningen te controleren. Voorbeelden zijn RSA en ECC (elliptic curve cryptography), die al decennia de ruggengraat vormen van beveiligd webverkeer.
Een wendbaar systeem bouwt een laag tussenlaag in tussen de applicatie en het gebruikte algoritme. In plaats van dat de code hardgecodeerd is op één specifieke versleutelingsmethode, wordt het algoritme als een los onderdeel behandeld dat via configuratie of onderhandeling gekozen wordt. In beveiligingsprotocollen zoals TLS (het protocol achter het hangslotje in je browser) gebeurt dit al met zogeheten algoritme-onderhandeling: bij het opzetten van een verbinding spreken twee partijen af welke versleutelingsmethode ze gebruiken, gekozen uit een lijst die beide ondersteunen.
Een concrete techniek die de laatste jaren populair is geworden, heet hybride key exchange: het combineren van een klassiek algoritme (zoals ECC) met een nieuw, nog minder beproefd algoritme in één sleuteluitwisseling. Zo blijft de verbinding beveiligd door het vertrouwde algoritme, terwijl het nieuwe algoritme alvast in de praktijk wordt getest. Breekt het nieuwe algoritme onverwacht, dan valt de beveiliging terug op het oude; is het oude algoritme ooit zwak, dan beschermt het nieuwe.
Wendbaarheid zit ook in beheer: kunnen certificaten, sleutels en software op afstand en snel worden bijgewerkt, of zitten ze vastgebakken in hardware die je fysiek moet vervangen? Systemen met verouderde chips, industriële apparatuur of medische apparaten zijn vaak juist weinig wendbaar, omdat vervanging van de cryptografie daar jaren kan duren.
Wat wil men ermee bereiken?
De directe aanleiding voor de huidige aandacht voor crypto-agility is de opkomst van kwantumcomputers. Een voldoende krachtige kwantumcomputer zou, met een wiskundige methode die bekendstaat als het algoritme van Shor, de veelgebruikte algoritmes RSA en ECC in theorie kunnen breken. Zulke computers bestaan nog niet in een vorm die dit in de praktijk kan, maar niemand kan met zekerheid zeggen wanneer dat wél zo is.
Dat onzekere tijdspad levert een concreet risico op dat bekendstaat als "harvest now, decrypt later": kwaadwillenden kunnen nu al versleuteld verkeer onderscheppen en opslaan, in de verwachting dat ze het over tien of twintig jaar alsnog kunnen ontsleutelen zodra een kwantumcomputer beschikbaar is. Voor gegevens die lang gevoelig blijven, zoals medische dossiers, staatsgeheimen of vertrouwelijke bedrijfsdata, is dat nu al een reden om te handelen.
Maar crypto-agility is breder dan alleen de kwantumdreiging. De geschiedenis van cryptografie laat zien dat algoritmes die ooit als veilig golden, later toch kwetsbaar bleken door nieuwe wiskundige inzichten of gewoon door snellere computers. Denk aan oudere standaarden als MD5 en SHA-1, die na verloop van tijd te zwak bleken en vervangen moesten worden. Een wendbaar systeem is voorbereid op dat soort verrassingen, ongeacht of de dreiging van kwantumcomputers komt of ergens anders vandaan.
Voorbeelden uit de praktijk
Het Amerikaanse standaardisatie-instituut NIST (National Institute of Standards and Technology) startte in 2016 een openbaar traject om nieuwe, kwantumbestendige algoritmes te selecteren. Onderzoekers wereldwijd dienden voorstellen in, die jarenlang publiekelijk werden aangevallen en getest. In 2022 koos NIST vier winnaars: CRYSTALS-Kyber voor sleuteluitwisseling en drie algoritmes voor digitale handtekeningen (CRYSTALS-Dilithium, FALCON en SPHINCS+). In augustus 2024 volgden de definitieve standaarden: FIPS 203 (ML-KEM, gebaseerd op Kyber), FIPS 204 (ML-DSA, gebaseerd op Dilithium) en FIPS 205 (SLH-DSA, gebaseerd op SPHINCS+). Een standaard gebaseerd op FALCON volgt later.
Google experimenteerde al vanaf 2016 met post-quantum-sleuteluitwisseling in zijn Chrome-browser, onder de naam CECPQ1 en later CECPQ2. Rond 2023 begon het bedrijf, samen met partijen als Cloudflare, Kyber-achtige algoritmes standaard te ondersteunen in TLS-verbindingen, meestal in de hybride vorm die hierboven is beschreven.
Signal, de makers van de gelijknamige versleutelde berichtenapp, voegde in 2023 het protocol PQXDH toe. Dit combineert het bestaande X3DH-protocol met Kyber, om zogeheten forward secrecy ook tegen kwantumcomputers te beschermen. Forward secrecy betekent dat het compromitteren van één sleutel niet meteen ook oudere berichten leesbaar maakt; PQXDH probeert die eigenschap kwantumbestendig te maken.
Apple kondigde in 2024 een vergelijkbare stap aan voor iMessage, met het protocol PQ3. Daarnaast verplicht de Amerikaanse inlichtingendienst NSA via de zogeheten CNSA 2.0-suite (aangekondigd in 2022) dat nationale veiligheidssystemen in de VS overstappen op kwantumbestendige algoritmes, met een tijdlijn die doorloopt tot 2033. Het open-source Open Quantum Safe-project, met de softwarebibliotheek liboqs, dient intussen als gedeeld testterrein waarin ontwikkelaars nieuwe post-quantum-algoritmes kunnen uitproberen in bestaande protocollen.
Hoe ver is de techniek?
De belangrijkste mijlpaal, de publicatie van de definitieve NIST-standaarden in augustus 2024, ligt inmiddels achter ons. Daarmee is de fase van pure algoritme-selectie grotendeels afgerond, al loopt er nog een aanvullende beoordelingsronde voor extra handtekeningschema's, omdat men niet volledig wil leunen op één wiskundige aanpak (de meeste gekozen algoritmes zijn gebaseerd op zogeheten lattice-cryptografie, een wiskundige structuur met roosters van punten in hoge dimensies die tot dusver bestand lijkt tegen kwantumaanvallen).
De praktische migratie is echter een veel groter en langduriger project. Post-quantum-algoritmes hebben doorgaans grotere sleutels en handtekeningen dan de klassieke varianten, wat meer rekenkracht, opslag en netwerkverkeer kost. Dat is vooral lastig voor apparaten met beperkte capaciteit, zoals sommige IoT-apparaten (internet-of-things, kleine verbonden apparaten zoals sensoren) of oudere hardware die niet eenvoudig te updaten is.
Daarnaast zit cryptografie diep verankerd in bestaande systemen: certificaten, hardwarebeveiligingsmodules, betaalsystemen en industriële besturingssystemen zijn vaak niet ontworpen met wendbaarheid in gedachten. Zulke systemen vervangen kost jaren tot decennia, wat precies de reden is waarom crypto-agility nu als apart ontwerpprincipe wordt gepromoot: hoe eerder systemen wendbaar worden gebouwd, hoe minder pijnlijk de volgende overstap wordt. Onzeker blijft vooral wanneer een kwantumcomputer daadwerkelijk krachtig genoeg is om RSA of ECC te breken; schattingen onder experts lopen sterk uiteen en niemand kan dit met zekerheid voorspellen.
Wie werken eraan?
NIST speelt een centrale rol als opsteller van de Amerikaanse standaarden, die wereldwijd als referentie worden gebruikt. Grote techbedrijven als Google, Cloudflare, Microsoft, Amazon (AWS), Apple en IBM investeren in eigen implementaties en experimenten in hun producten en clouddiensten. De NSA en het Amerikaanse cyberagentschap CISA sturen aan op migratie binnen overheids- en defensiesystemen.
In Europa zijn onder meer ETSI (European Telecommunications Standards Institute) en het Duitse BSI (Bundesamt für Sicherheit in der Informationstechnik) actief betrokken bij standaardisatie en advisering. In Nederland publiceert het Nationaal Cyber Security Centrum (NCSC-NL) richtlijnen om organisaties te helpen bij de overstap naar post-quantum-cryptografie. Academisch onderzoek speelt een grote rol bij het ontwerpen en aanvallen van kandidaat-algoritmes; de TU Eindhoven is daarin internationaal zichtbaar, onder meer via onderzoeker Tanja Lange, die meewerkte aan lattice-based voorstellen zoals NewHope.