Hybride cryptografie: dubbele sloten tegen de kwantumcomputer
Stel je voor dat je voordeur twee sloten heeft: een ouderwets maar beproefd cilinderslot en daarnaast een gloednieuw elektronisch slot dat nog niemand goed heeft kunnen uittesten. Een inbreker moet nu beide sloten kraken om binnen te komen, niet slechts één. Dat is in essentie hybride cryptografie: het combineren van een oud, goed vertrouwd beveiligingsalgoritme met een nieuw algoritme, zodat een aanvaller allebei zou moeten breken voordat hij bij de versleutelde informatie kan.
In de praktijk gaat het meestal om internetverkeer, berichten-apps of bestandsversleuteling die tegelijk beveiligd wordt met een klassiek cryptografisch algoritme (zoals RSA of elliptische-krommecryptografie, ook wel ECC) én met een nieuw post-quantum algoritme dat is ontworpen om ook bestand te zijn tegen toekomstige kwantumcomputers. "Post-quantum" betekent hier niet dat het al ná de komst van kwantumcomputers is gemaakt, maar dat het algoritme is ontworpen om ook dan nog veilig te blijven. Door beide tegelijk te gebruiken, hoeft niemand blind te vertrouwen op een technologie die nog relatief jong en onbewezen is, terwijl toch alvast bescherming wordt opgebouwd tegen een dreiging die nog moet ontstaan.
Wat is het precies?
Vrijwel elke beveiligde verbinding op internet, van internetbankieren tot een WhatsApp-bericht, begint met een zogeheten sleuteluitwisseling: twee apparaten spreken via een wiskundige truc een geheime sleutel af waarmee ze daarna hun berichten versleutelen, zonder dat een afluisteraar die sleutel kan achterhalen, ook al ziet hij het hele gesprek. Deze truc, bijvoorbeeld Diffie-Hellman met elliptische krommen (ECDH) of het RSA-algoritme, steunt op wiskundige problemen die met gewone computers praktisch onmogelijk op te lossen zijn binnen een mensenleven.
Het probleem is dat een kwantumcomputer — een nog in ontwikkeling zijnde soort computer die rekent met de eigenaardige regels van de kwantummechanica — dit soort wiskundige problemen in theorie wél snel kan oplossen. Er bestaat al sinds de jaren negentig een kwantumalgoritme, bedacht door wiskundige Peter Shor, dat precies dit kan: grote getallen ontbinden en de wiskundige structuur achter ECC kraken. Een voldoende krachtige kwantumcomputer zou daarmee RSA en ECC in principe kunnen breken. Zo'n machine bestaat vandaag de dag niet, maar het vooruitzicht ervan is reden genoeg om nu al actie te ondernemen.
Post-quantum algoritmen steunen op heel andere wiskundige problemen, bijvoorbeeld puzzels met roosters van punten in veel dimensies ("lattice-problemen"), waarvoor ook een kwantumcomputer vooralsnog geen snelle oplossing kent. Bij hybride cryptografie worden een klassiek en een post-quantum algoritme niet los van elkaar gebruikt, maar wiskundig met elkaar verweven tot één gecombineerde sleutel. Die combinatie is zo ontworpen dat een aanvaller alléén de communicatie kan ontsleutelen als hij zowel het klassieke als het post-quantum probleem weet op te lossen. Blijkt het nieuwe post-quantum algoritme later toch een zwakte te hebben, dan beschermt het oude, beproefde algoritme nog steeds; blijkt een kwantumcomputer het oude algoritme te breken, dan houdt het nieuwe algoritme stand.
Wat wil men ermee bereiken?
Het hoofddoel is toekomstbestendigheid zonder onnodig risico te nemen in het heden. Volledig overstappen op enkel post-quantum cryptografie zou betekenen dat je moet vertrouwen op algoritmen die pas een paar jaar publiek zijn onderzocht, terwijl RSA en ECC al decennialang wereldwijd zijn getest door cryptografen én aanvallers. Hybride cryptografie is een voorzichtige tussenweg: je profiteert van de nieuwe bescherming zonder de oude, bewezen bescherming meteen overboord te zetten.
Een tweede, urgentere drijfveer heet "harvest now, decrypt later" (nu oogsten, later ontsleutelen). Inlichtingendiensten en andere kwaadwillenden met lange adem kunnen vandaag al versleuteld verkeer onderscheppen en opslaan, in de verwachting dat ze het over tien of twintig jaar alsnog kunnen ontsleutelen zodra een bruikbare kwantumcomputer bestaat. Voor gegevens die lang geheim moeten blijven — medische dossiers, staatsgeheimen, bedrijfsstrategieën — is dat een reëel risico, ook al is de kwantumcomputer die het moet kraken er vandaag nog niet. Wie nu al hybride versleutelt, zorgt dat dit soort langetermijngegevens ook over tientallen jaren beschermd blijven.
Tot slot is er het doel van een geleidelijke, beheersbare migratie. De overstap naar nieuwe cryptografie in bestaande systemen — browsers, servers, bankpassen, overheidssystemen — is een enorme operatie die niet van de ene op de andere dag kan gebeuren. Hybride opzetten geeft organisaties de tijd om te wennen aan de nieuwe algoritmen, eventuele kinderziektes te ontdekken, en pas op termijn volledig over te stappen als het vertrouwen groot genoeg is.
Voorbeelden uit de praktijk
Google experimenteerde vanaf 2023 in zijn Chrome-browser met hybride sleuteluitwisseling voor TLS-verbindingen (het protocol achter het slotje en "https" in de adresbalk, dat webverkeer versleutelt), door het klassieke X25519-algoritme te combineren met het post-quantum algoritme Kyber. Miljoenen gebruikers surfden daardoor al, meestal zonder het te merken, via hybride versleutelde verbindingen.
Cloudflare, een van de grootste partijen die internetverkeer voor websites afhandelt, heeft eveneens vroeg geëxperimenteerd met en ondersteuning geboden voor hybride post-quantum TLS-verbindingen, en publiceert daar regelmatig over.
De berichten-app Signal voegde in 2023 het protocol PQXDH (Post-Quantum Extended Diffie-Hellman) toe, een hybride uitbreiding van hun bestaande sleuteluitwisselingsprotocol X3DH, om berichten ook op de lange termijn tegen "harvest now, decrypt later" te beschermen.
Apple introduceerde in 2024 PQ3, een hybride post-quantum protocol voor iMessage, waarmee het bedrijf zei een van de eerste grootschalige berichtendiensten te zijn met dit beschermingsniveau.
Ook buiten browsers en apps is hybride cryptografie al te vinden: OpenSSH, veelgebruikte software voor beveiligde toegang tot servers op afstand, voegde al vanaf 2022 een hybride sleuteluitwisseling toe (een combinatie van het post-quantum algoritme Streamlined NTRU Prime met het klassieke X25519, bekend als sntrup761x25519), later aangevuld met varianten op basis van het nieuwere ML-KEM.
Hoe ver is de techniek?
Een belangrijke mijlpaal viel in augustus 2024: het Amerikaanse standaardisatie-instituut NIST maakte na een jarenlang wereldwijd evaluatietraject de eerste definitieve post-quantum cryptografiestandaarden bekend. ML-KEM (gebaseerd op het eerder genoemde Kyber) is bedoeld voor sleuteluitwisseling en encryptie, ML-DSA (gebaseerd op Dilithium) en SLH-DSA (gebaseerd op SPHINCS+) zijn bedoeld voor digitale handtekeningen, waarmee de herkomst en integriteit van berichten of software wordt gewaarborgd.
Sinds die standaardisatie gaat de praktische uitrol sneller: grote techbedrijven en de internetstandaardenorganisatie IETF werken aan en publiceren specificaties voor hybride sleuteluitwisseling binnen TLS 1.3, het huidige beveiligingsprotocol van het web. Toch is hybride post-quantum beveiliging allerminst overal de standaard; veel systemen, van bankpassen tot industriële apparatuur, gebruiken nog uitsluitend klassieke cryptografie en zullen jaren nodig hebben om over te schakelen.
De belangrijkste praktische obstakels zijn niet zozeer wiskundig maar technisch: post-quantum algoritmen produceren vaak grotere sleutels en berichten dan hun klassieke tegenhangers, wat extra rekenkracht en bandbreedte kost. Sommige verouderde hardware, zoals bepaalde smartcards of hardware security modules (gespecialiseerde chips die sleutels veilig opslaan), moet worden vervangen of bijgewerkt om de nieuwe, grotere sleutels te kunnen verwerken. Dat maakt grootschalige migratie een kostbaar en tijdrovend traject.
Er bestaat eerlijk gezegd nog geen kwantumcomputer die in de praktijk RSA of ECC daadwerkelijk kan breken, en niemand weet zeker wanneer — of zelfs óf — die er ooit komt; schattingen onder experts lopen sterk uiteen. Dat verklaart waarom sommigen de urgentie van post-quantum migratie beperkt vinden. Tegelijk is precies dat de reden waarom voorstanders van hybride cryptografie wél haast bepleiten: door het "harvest now, decrypt later"-risico kan uitstel betekenen dat gegevens die vandaag worden onderschept, over tien of twintig jaar alsnog worden ontsleuteld.
Wie werken eraan?
Het Amerikaanse NIST heeft met zijn standaardisatietraject een centrale, sturende rol gespeeld en blijft nieuwe post-quantum algoritmen evalueren. Grote techbedrijven als Google, Cloudflare, Apple en de Signal Foundation (de non-profitorganisatie achter Signal) hebben hybride post-quantum bescherming al daadwerkelijk in hun producten gebracht. De internetstandaardenorganisatie IETF werkt aan de bijbehorende technische specificaties zodat verschillende systemen onderling compatibel blijven.
Op onderzoeksgebied hebben Europese academische groepen een belangrijke bijdrage geleverd aan de onderliggende wiskunde van Kyber en Dilithium, waaronder onderzoekers verbonden aan het Amsterdamse onderzoeksinstituut CWI (onder wie cryptograaf Léo Ducas), naast bijdragen van onder meer IBM Research en diverse andere Europese en Amerikaanse universiteiten in internationaal samenwerkingsverband. De bredere wetenschappelijke gemeenschap komt onder meer samen via de International Association for Cryptologic Research (IACR), die conferenties en vaktijdschriften over cryptografie organiseert.
Ook overheden zijn actief: het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) en het Franse Agence nationale de la sécurité des systèmes d'information (ANSSI) publiceren eigen aanbevelingen over hoe organisaties zich het beste geleidelijk, en bij voorkeur hybride, op post-quantum cryptografie kunnen voorbereiden.