ML-KEM: hoe we straks sleutels uitwisselen zonder dat een quantumcomputer meeluistert
Stel je voor dat je een geheime brief naar een vriend wilt sturen, maar de postbode leest onderweg alles wat er doorheen komt. Om dat te voorkomen, spreek je eerst samen een geheime code af zonder dat de postbode die kan achterhalen. Dat is precies wat er gebeurt telkens wanneer je browser verbinding maakt met een beveiligde website: computers spreken via het internet een geheime sleutel af, terwijl al het verkeer daartussen in principe afgeluisterd kan worden. ML-KEM is een nieuwe wiskundige methode om die geheime sleutel af te spreken, ontworpen om ook stand te houden tegen quantumcomputers.
De naam staat voor Module-Lattice-based Key-Encapsulation Mechanism: een sleutelinkapselingsmechanisme gebaseerd op zogeheten roosters (lattices), een wiskundige structuur. Het is in augustus 2024 door het Amerikaanse standaardisatie-instituut NIST officieel vastgelegd als standaard, onder de naam FIPS 203. ML-KEM is de opvolger van een algoritme dat eerder bekendstond als CRYSTALS-Kyber, en het gaat de komende jaren geleidelijk de huidige sleuteluitwisselingsmethoden in browsers, apps en netwerkapparatuur vervangen of aanvullen.
Wat is het precies?
Om te snappen wat ML-KEM doet, helpt het om eerst te kijken naar wat er nu gebeurt. Als je nu een beveiligde verbinding opzet, gebruiken computers meestal methoden als RSA of Elliptic Curve Diffie-Hellman (ECDH) om een gedeelde geheime sleutel af te spreken. Die methoden zijn wiskundig gebaseerd op problemen die met gewone computers vrijwel onmogelijk op te lossen zijn, zoals het ontbinden van heel grote getallen in priemfactoren.
Het probleem is dat een voldoende krachtige quantumcomputer, met een rekenmethode die bekendstaat als het algoritme van Shor, dat soort wiskundige problemen juist wel relatief snel zou kunnen oplossen. Zulke quantumcomputers bestaan vandaag nog niet in een bruikbare vorm, maar cryptografen willen daar nu al op voorbereid zijn. Dat is nodig omdat er een reëel risico is dat kwaadwillenden nu al versleuteld verkeer opslaan, in de hoop het over tien of twintig jaar alsnog te kunnen ontsleutelen zodra er wel een werkende quantumcomputer is. Dit scenario wordt vaak 'harvest now, decrypt later' genoemd: nu oogsten, later ontsleutelen.
ML-KEM lost dit op door de geheime sleutel niet af te spreken via een probleem dat quantumcomputers makkelijk aankunnen, maar via een probleem uit de roostercryptografie: het Module Learning With Errors-probleem, kortweg Module-LWE. Vereenvoudigd komt het erop neer dat je een stelsel vergelijkingen krijgt waaraan opzettelijk een beetje wiskundige 'ruis' is toegevoegd. Voor wie de juiste geheime sleutel niet kent, is het door die ruis extreem lastig om het stelsel op te lossen, zelfs met een quantumcomputer. Wie de sleutel wel kent, kan de ruis er juist gemakkelijk uitfilteren en de afgesproken waarde aflezen.
In de praktijk werkt ML-KEM als een soort digitale kluis. De ene partij (bijvoorbeeld een webserver) maakt een publieke sleutel aan en stuurt die open en bloot over het internet. De andere partij (jouw browser) gebruikt die publieke sleutel om een willekeurig geheim getal 'in te kapselen', vergelijkbaar met het opsluiten van een briefje in een kluis die alleen met de bijbehorende privésleutel te openen is. Dat afgesloten pakketje stuurt de browser terug; alleen de server kan het met zijn privésleutel openen en zo dezelfde geheime waarde afleiden. Die gedeelde geheime waarde wordt vervolgens gebruikt om met snellere, klassieke versleuteling (zoals AES) het eigenlijke dataverkeer te beveiligen.
NIST heeft ML-KEM vastgelegd in drie varianten met oplopende beveiligingsniveaus: ML-KEM-512, ML-KEM-768 en ML-KEM-1024. Hoe hoger het getal, hoe groter de gebruikte sleutels en berekeningen, en hoe hoger de veiligheidsmarge, maar ook hoe iets meer rekenwerk en dataverkeer het kost. ML-KEM-768 geldt momenteel als de gangbare keuze voor algemeen gebruik.
Wat wil men ermee bereiken?
Het overkoepelende doel is simpel te omschrijven: de digitale infrastructuur van internet, bankieren, overheidscommunicatie en bedrijfsnetwerken tijdig voorbereiden op een toekomst waarin quantumcomputers krachtig genoeg zijn om huidige versleuteling te kraken. Niemand weet exact wanneer dat moment aanbreekt; schattingen van experts lopen uiteen van rond 2030 tot pas na 2040, en sommigen sluiten niet uit dat het nooit op grote schaal praktisch haalbaar wordt. Juist die onzekerheid is de reden om nu al te handelen, omdat het jarenlang duurt om alle systemen wereldwijd om te zetten.
Een tweede doelstelling is compatibiliteit en vertrouwen. NIST organiseerde daarom vanaf 2016 een jarenlange, openbare wedstrijd waarin cryptografen wereldwijd algoritmen mochten indienen en elkaars ontwerpen mochten proberen te kraken. Dat proces moet het vertrouwen geven dat het uiteindelijke algoritme grondig is getoetst, in plaats van dat één partij in het geheim iets bedenkt.
Tot slot speelt praktische bruikbaarheid een grote rol. Een aantal eerder onderzochte post-quantum technieken bleek in de praktijk te traag of te omvangrijk om zomaar in bestaande protocollen zoals TLS (de beveiliging achter https) te passen. ML-KEM is juist gekozen omdat het relatief compacte sleutels heeft en snel genoeg rekent om zonder merkbare vertraging te werken op gewone computers, telefoons en zelfs kleinere chips.
Voorbeelden uit de praktijk
Verschillende grote technologiebedrijven hebben ML-KEM, of de voorloper Kyber, al ingezet of getest.
Google Chrome experimenteerde vanaf 2023 met een hybride sleuteluitwisseling die de klassieke methode X25519 combineert met Kyber (later ML-KEM), zodat de verbinding pas kwetsbaar wordt als zowel de klassieke als de post-quantum wiskunde tegelijk zou breken. Deze hybride aanpak is inmiddels breder uitgerold in Chrome-verbindingen naar ondersteunende servers.
Apple introduceerde in 2024 het beveiligingsprotocol PQ3 voor iMessage, dat gebruikmaakt van op Kyber gebaseerde sleuteluitwisseling om berichten te beschermen tegen toekomstige quantumaanvallen, naast de bestaande klassieke versleuteling.
Signal voegde in 2023 een uitbreiding toe aan zijn berichtenprotocol genaamd PQXDH, die Kyber combineert met de klassieke Extended Triple Diffie-Hellman-methode, zodat gesprekken ook na de komst van quantumcomputers vertrouwelijk blijven.
Cloudflare, een groot bedrijf achter internetinfrastructuur voor miljoenen websites, biedt sinds 2023 post-quantum ondersteuning aan in zijn netwerk, zodat verbindingen tussen bezoekers en aangesloten websites hybride post-quantum versleuteling kunnen gebruiken.
Ook overheidsinstanties bewegen mee: verschillende Amerikaanse en Europese overheidsorganisaties, waaronder onderdelen van de Amerikaanse overheid onder het beleid van de National Security Agency (NSA), hebben tijdlijnen gepubliceerd waarin ML-KEM en verwante standaarden verplicht worden voor overheidssystemen in de komende jaren.
Hoe ver is de techniek?
De wiskundige basis van ML-KEM is geen nieuwe uitvinding: roostercryptografie wordt al sinds de jaren negentig onderzocht, en het specifieke Kyber-ontwerp dateert uit 2017. Wat wél nieuw is, is de officiële status: sinds FIPS 203 in augustus 2024 is ML-KEM formeel een Amerikaanse federale standaard, wat de weg vrijmaakt voor grootschalige, verplichte toepassing bij overheidssystemen en in bredere zin voor de industrie.
De grootste mijlpaal was de selectie van Kyber door NIST in juli 2022, na een meerjarig traject van indienen, aanvallen zoeken en verfijnen waarbij tientallen kandidaat-algoritmen wereldwijd tegen elkaar en tegen cryptoanalisten werden getest. Sindsdien is het ontwerp nog op detailpunten aangepast en herbenoemd tot ML-KEM voor de definitieve standaard.
Toch is het proces niet afgerond. Omdat roostercryptografie relatief jong is vergeleken met decennia beproefde methoden als RSA, houdt NIST als vangnet ook een tweede, wiskundig heel andere KEM-standaard aan. In maart 2025 selecteerde NIST daarvoor HQC, een algoritme gebaseerd op foutcorrigerende codes in plaats van roosters, zodat er een alternatief klaarligt mocht er ooit een onverwachte zwakte in roostergebaseerde systemen worden gevonden.
De belangrijkste praktische obstakels liggen nu niet meer bij het algoritme zelf, maar bij de wereldwijde invoering: miljoenen servers, routers, betaalterminals, auto's en industriële systemen moeten worden bijgewerkt, wat softwaremakers, chipfabrikanten en beheerders jaren gaat kosten. Ook is er discussie over de iets grotere sleutels en berekeningen van ML-KEM ten opzichte van klassieke methoden, wat op zeer kleine chips of in verbindingen met beperkte bandbreedte een reële overweging is.
Wie werken eraan?
De basis van Kyber/ML-KEM is ontwikkeld door een internationaal team van cryptografen, met onderzoekers verbonden aan onder meer Radboud Universiteit Nijmegen, het Centrum Wiskunde & Informatica (CWI) in Amsterdam, de Franse onderzoeksinstelling ENS Lyon, en de bedrijven NXP Semiconductors en IBM Research. Bekende namen uit dat team zijn onder anderen Peter Schwabe, Léo Ducas, Vadim Lyubashevsky en Eike Kiltz.
De formele standaardisatie wordt geleid door het Amerikaanse National Institute of Standards and Technology (NIST), dat sinds 2016 het wereldwijde Post-Quantum Cryptography-project coördineert waaraan onderzoeksgroepen uit tientallen landen hebben deelgenomen.
Daarnaast dragen grote technologiebedrijven zoals Google, Apple, Cloudflare, Microsoft en Amazon actief bij aan implementatie en praktijktests, en onderhoudt het open-source Open Quantum Safe-project (OQS), gesteund door onder meer de Linux Foundation, de vrij beschikbare bibliotheek liboqs waarmee ontwikkelaars ML-KEM in eigen software kunnen inbouwen. Ook Europese instanties, zoals het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) en agentschappen binnen de Europese Unie, publiceren richtlijnen voor de overstap naar post-quantum cryptografie.