Post-quantum authenticatie: digitale identiteit klaarmaken voor het kwantumtijdperk
Stel je voor: een dief kopieert niet de inhoud van een kluis, maar het slot zelf, in de hoop later een meestersleutel te vinden die alle huidige sloten opent. Zo'n meestersleutel bestaat nog niet, maar wordt wel volop ontwikkeld. Iets vergelijkbaars speelt zich af in de digitale wereld. Inlogsystemen, bankpassen en versleutelde apps steunen op wiskundige 'sloten' die voor gewone computers vrijwel onbreekbaar zijn. Onderzoekers bouwen echter aan kwantumcomputers die, eenmaal groot genoeg, deze sloten in een handomdraai zouden kunnen openen. Post-quantum authenticatie is de verzameling nieuwe technieken waarmee we bewijzen wie we zijn — inloggen, berichten ondertekenen, software verifiëren — zo maken dat ook een toekomstige kwantumcomputer er geen raad mee weet.
Het woord 'authenticatie' gaat hier niet alleen over je wachtwoord, maar over het bredere systeem waarmee computers elkaars identiteit checken: een website die aantoont echt te zijn wie hij zegt te zijn, een software-update die aantoonbaar van de juiste fabrikant komt, of een handtekening onder een digitaal contract. Al die processen leunen op wiskundige trucs die decennia meegingen. Post-quantum authenticatie vervangt die trucs door nieuwe, gebaseerd op wiskundige problemen waarvan onderzoekers vermoeden dat zelfs kwantumcomputers ze niet efficiënt kunnen oplossen.
Wat is het precies?
Digitale authenticatie werkt meestal met een sleutelpaar: een geheime (private) sleutel die alleen jij hebt, en een openbare (public) sleutel die iedereen mag zien. Met de geheime sleutel zet je een 'digitale handtekening' onder een bericht; met de openbare sleutel kan iedereen controleren dat die handtekening klopt en het bericht niet is aangepast. Dit systeem, asymmetrische cryptografie genoemd, vormt de ruggengraat van internetbeveiliging: het zit in beveiligde webverbindingen (https), app-updates, chatapps en internetbankieren.
De huidige standaarden — RSA en elliptische-krommecryptografie (ECC) — zijn veilig omdat bepaalde rekensommen, zoals het ontbinden van een heel groot getal in priemfactoren, met gewone computers gigantisch veel tijd kosten. Een voldoende grote en stabiele kwantumcomputer kan dankzij een wiskundige truc, het algoritme van Shor (bedacht door wiskundige Peter Shor in 1994), diezelfde sommen juist snel oplossen. Zodra zo'n machine bestaat, zijn RSA en ECC in principe te kraken.
Post-quantum cryptografie zoekt daarom naar geheel andere wiskundige problemen die, voor zover bekend, ook lastig blijven voor kwantumcomputers. De meest kansrijke kandidaat is roosterwiskunde (lattice-cryptografie): stel je een oneindig rooster van punten voor in een ruimte met honderden dimensies; het is extreem lastig om, uitgaand van een willekeurig punt, het dichtstbijzijnde roosterpunt te vinden — ook voor een kwantumcomputer. Daarnaast bestaan hashgebaseerde handtekeningen, die steunen op de eigenschappen van cryptografische hashfuncties (functies die van elke invoer een unieke 'vingerafdruk' maken), en systemen gebaseerd op foutcorrectiecodes.
In augustus 2024 maakte het Amerikaanse standaardisatie-instituut NIST drie officiële standaarden definitief: ML-KEM (voorheen Kyber, voor sleuteluitwisseling), ML-DSA (voorheen Dilithium, voor digitale handtekeningen — dus specifiek voor authenticatie) en SLH-DSA (voorheen SPHINCS+, een hashgebaseerd handtekeningsysteem als extra vangnet). Een vierde standaard, gebaseerd op het Falcon-algoritme, volgt later. In de praktijk combineren veel systemen voorlopig een oude en een nieuwe methode tegelijk — 'hybride cryptografie' — zodat een onverwachte zwakte in de nieuwe wiskunde niet meteen alles onveilig maakt.
Wat wil men ermee bereiken?
Het hoofddoel is simpel: voorkomen dat digitale identiteit en vertrouwen instorten zodra er een cryptografisch relevante kwantumcomputer bestaat. Denk aan de gevolgen als iemand ongemerkt een vervalste software-update kan ondertekenen alsof die van een grote fabrikant komt, of een vervalst overheidscertificaat kan produceren. Authenticatie is de basis van vertrouwen op internet; als die basis breekt, breekt in feite alles wat daarop steunt.
Voor versleuteling (encryptie) speelt ook het zogeheten 'harvest now, decrypt later'-scenario: aanvallers verzamelen nu al versleuteld verkeer, in de hoop het over tien of twintig jaar alsnog te ontcijferen. Bij authenticatie ligt het net iets anders, want een handtekening uit het verleden kan niet met terugwerkende kracht vervalst worden. Het risico zit vooral in de toekomst: certificaten, sleutels en handtekeningsystemen die nu worden uitgerold, moeten ook over tien of twintig jaar nog te vertrouwen zijn — zeker bij zaken met een lange levensduur, zoals overheidsdocumenten, industriële besturingssystemen of chips in auto's en satellieten.
Daarnaast draait het om 'cryptografische wendbaarheid': omdat het vervangen van cryptografie in wereldwijde infrastructuur historisch tien tot twintig jaar kost, willen overheden en bedrijven ruim op tijd beginnen. Ten slotte spelen ook regelgeving en compliance een rol: instanties als de Amerikaanse veiligheidsdienst NSA en Europese toezichthouders geven organisaties concrete termijnen om over te stappen.
Voorbeelden uit de praktijk
Signal was een koploper: in september 2023 voegden de makers van de gelijknamige berichten-app het protocol PQXDH toe, dat de sleuteluitwisseling bij het opzetten van een gesprek combineert met het post-quantum-algoritme Kyber, naast de bestaande klassieke cryptografie.
Apple volgde in februari 2024 met PQ3, een vernieuwd beveiligingsprotocol voor iMessage dat eveneens hybride post-quantum sleuteluitwisseling gebruikt en zichzelf periodiek ververst, zodat een eventuele toekomstige sleutellek niet meteen het hele gespreksverleden blootlegt.
Google begon in 2023 met het testen van hybride post-quantum sleuteluitwisseling (X25519Kyber768) in de Chrome-browser en breidde dit sindsdien uit naar verbindingen tussen Chrome en diverse servers.
Cloudflare, dat een groot deel van het wereldwijde webverkeer afhandelt, biedt sinds 2022-2023 post-quantum-ondersteuning aan voor beveiligde verbindingen tussen browsers en de miljoenen websites die van hun netwerk gebruikmaken.
Ook overheden zijn actief bezig: de Amerikaanse NSA verplicht via het zogeheten CNSA 2.0-beleid dat nationale veiligheidssystemen gefaseerd overstappen op post-quantum-algoritmen, met termijnen die doorlopen tot in de jaren 2030.
Hoe ver is de techniek?
De wiskundige fundering staat er inmiddels vrij solide bij: na een selectieproces dat NIST in 2016 startte en meerdere onderzoeksrondes kende, zijn sinds augustus 2024 de eerste officiële standaarden gepubliceerd. Dat is een mijlpaal, maar de praktische uitrol staat nog aan het begin. De meeste toepassingen die nu al post-quantum-ondersteuning bieden, draaien in hybride modus: klassieke en nieuwe cryptografie tegelijk, als extra zekerheid zolang de nieuwe algoritmen nog relatief onbeproefd zijn in de praktijk.
Een praktisch obstakel is de omvang: post-quantum handtekeningen en sleutels zijn vaak veel groter dan hun klassieke tegenhangers. Een ECDSA-handtekening past in ongeveer 64 bytes; een SLH-DSA-handtekening kan tientallen kilobytes beslaan. Dat is lastig voor apparaten met weinig geheugen of bandbreedte, zoals chipkaarten en sommige IoT-apparaten (kleine, verbonden apparaten zoals sensoren of slimme meters). Ook moeten bestaande software, hardware en internetprotocollen wereldwijd worden aangepast — een operatie die volgens veel experts eerder tien tot vijftien jaar dan enkele jaren zal duren.
Onzeker blijft vooral wanneer een kwantumcomputer daadwerkelijk krachtig genoeg is om bijvoorbeeld RSA-2048 te kraken. Schattingen van experts lopen sterk uiteen, van 'mogelijk al in de jaren 2030' tot 'nog vele decennia weg', en niemand kan dit met zekerheid voorspellen. Juist die onzekerheid, gecombineerd met de lange transitietijd, is de reden dat instanties aandringen om nu al te beginnen. Ook is de wiskunde zelf niet onomstreden: in 2022 bleek een van de kandidaten die nog in de race was, SIKE, plots kraakbaar met een gewone computer — een herinnering dat nieuwe cryptografische aannames grondig getoetst moeten blijven worden.
Wie werken eraan?
Het Amerikaanse NIST (National Institute of Standards and Technology) trekt het internationale standaardisatieproces en publiceerde de eerste officiële algoritmen. De Amerikaanse veiligheidsdienst NSA stelt via CNSA 2.0 eisen aan overheids- en defensiesystemen. In Europa geven het Duitse BSI (Bundesamt für Sicherheit in der Informationstechnik) en het Franse ANSSI eigen richtlijnen en aanbevolen tijdlijnen, terwijl het EU-agentschap ENISA lidstaten adviseert over de overstap.
Bij de ontwikkeling van de gekozen algoritmen is ook Nederlandse expertise nauw betrokken: onderzoekers van het Centrum Wiskunde & Informatica (CWI) in Amsterdam en de Radboud Universiteit in Nijmegen behoren tot de internationale teams achter Kyber/ML-KEM en Dilithium/ML-DSA, samen met onder meer IBM Research, de Duitse Ruhr-Universität Bochum en de Franse onderzoeksschool ENS Lyon.
Onder de techbedrijven lopen Google, Apple, Cloudflare, Signal, Microsoft, Amazon (AWS) en IBM voorop met concrete implementaties. Ook standaardisatie-organisaties als de FIDO Alliance (bekend van wachtwoordloze inlogmethoden zoals passkeys) onderzoeken hoe authenticatiestandaarden post-quantum-bestendig gemaakt kunnen worden. Het open-sourceproject Open Quantum Safe, gedragen door academische en bedrijfsvrijwilligers, levert vrij beschikbare software-bibliotheken waarmee ontwikkelaars wereldwijd met de nieuwe algoritmen kunnen experimenteren.