Kennisbank › Post-quantum cryptografie
Post-quantum cryptografie: versleuteling die quantumcomputers weerstaat
Bijna al het digitale verkeer dat we vandaag versturen, van WhatsApp-berichten tot internetbankieren, is beveiligd met wiskundige sloten die voor gewone computers vrijwel onmogelijk te kraken zijn. Post-quantum cryptografie is een nieuwe generatie van dat soort sloten, speciaal ontworpen om ook bestand te zijn tegen quantumcomputers: een type computer dat met de eigenaardige regels van de kwantummechanica bepaalde rekenproblemen razendsnel kan oplossen. De huidige sloten zijn daar niet tegen bestand, en dus wordt er wereldwijd hard gewerkt aan vervangers.
Een vergelijking maakt het concreet. Stel je een kluis voor met een slot dat zo ingewikkeld is dat een dief met de beste gereedschapskist van dit moment er duizenden jaren over zou doen om het open te breken. Dat is ongeveer de situatie met de encryptie die we nu gebruiken: onkraakbaar voor normale computers. Maar wetenschappers werken aan een compleet nieuw type gereedschap, de quantumcomputer, dat volgens de wiskunde in staat zou zijn om dat specifieke soort slot in een fractie van de tijd open te wrikken. Post-quantum cryptografie is het ontwerpen van een nieuw soort slot waar ook dat nieuwe gereedschap geen vat op heeft.
Wat is het precies?
Vrijwel alle beveiligde verbindingen op internet, van een simpele bankapp tot e-mail, leunen op twee populaire cryptografische systemen: RSA en ECC (elliptic curve cryptografie, ofwel cryptografie gebaseerd op elliptische krommen). Beide zijn veilig omdat ze steunen op wiskundige problemen die voor gewone computers extreem tijdrovend zijn om op te lossen, zoals het ontbinden van een heel groot getal in zijn priemfactoren. Een gewone computer zou daar, afhankelijk van de sleutelgrootte, langer over doen dan het heelal oud is.
Het probleem is dat een quantumcomputer dat soort problemen wél relatief snel kan oplossen, dankzij een rekenmethode die in 1994 werd bedacht door wiskundige Peter Shor en die bekendstaat als het algoritme van Shor. Een quantumcomputer die krachtig genoeg is om Shor's algoritme in de praktijk te draaien, bestaat op dit moment nog niet, maar de verwachting binnen de vakwereld is dat zo'n machine er op termijn kan komen. Zodra dat zover is, liggen RSA en ECC open.
Post-quantum cryptografie lost dit op door over te stappen op heel andere wiskundige problemen, problemen waarvan onderzoekers tot nu toe geen aanwijzingen hebben dat een quantumcomputer ze snel kan kraken. Een belangrijke familie daarvan is roostergebaseerde cryptografie (lattice-based cryptography): de veiligheid steunt hier op het vinden van een bepaald kort punt in een enorm, veeldimensionaal rooster van punten, een taak die extreem lastig blijft, ook voor een quantumcomputer. Andere families gebruiken foutcorrigerende codes (code-based) of eigenschappen van hash-functies, wiskundige functies die elk stukje data omzetten in een vaste, unieke reeks tekens (hash-based).
Deze zoektocht naar nieuwe, quantumbestendige systemen werd internationaal gecoördineerd door het Amerikaanse standaardisatie-instituut NIST (National Institute of Standards and Technology), dat in 2016 een wereldwijde competitie opende voor cryptografen. In augustus 2024 publiceerde NIST de eerste drie definitieve standaarden: FIPS 203, oftewel ML-KEM (gebaseerd op het algoritme CRYSTALS-Kyber), voor het veilig uitwisselen van sleutels tussen twee partijen; FIPS 204, ML-DSA (gebaseerd op CRYSTALS-Dilithium), voor digitale handtekeningen waarmee je kunt bewijzen dat een bericht echt van jou komt en niet is aangepast; en FIPS 205, SLH-DSA (gebaseerd op SPHINCS+), eveneens voor digitale handtekeningen maar op basis van hash-functies in plaats van roosters, als extra vangnet.
Wat wil men ermee bereiken?
Het uiteindelijke doel is simpel te omschrijven: ervoor zorgen dat vertrouwelijke data ook over tien, twintig of dertig jaar nog vertrouwelijk blijft, zelfs als er dan wél een werkende, krachtige quantumcomputer bestaat. Zonder die overstap zou al het huidige versleutelde verkeer op termijn alsnog leesbaar kunnen worden voor wie de juiste apparatuur in handen krijgt.
Een belangrijke reden voor de haast is een dreigingsmodel dat bekendstaat als 'harvest now, decrypt later': nu al versleuteld dataverkeer onderscheppen en opslaan, in de wetenschap dat het pas over jaren te ontsleutelen is zodra een quantumcomputer beschikbaar komt. Voor informatie die morgen waardeloos is, is dat geen probleem. Maar voor gegevens die decennia geheim moeten blijven, zoals staatsgeheimen, medische dossiers of financiële en persoonsgegevens met een lange houdbaarheid, is dat een reëel risico. Inlichtingendiensten en onderzoekers gaan er daarom van uit dat dergelijk verzamelen nu al plaatsvindt, ook al is er over de precieze omvang weinig publiek bekend.
Daarnaast streeft de sector naar wat crypto-agiliteit wordt genoemd: het vermogen van systemen, software en apparaten om relatief eenvoudig van het ene cryptografische algoritme naar het andere over te stappen. De overgang naar post-quantum cryptografie is namelijk niet de laatste keer dat zo'n wissel nodig zal zijn, en organisaties willen voorkomen dat een volgende migratie net zo traag en pijnlijk verloopt als deze.
Voorbeelden uit de praktijk
Het NIST-standaardisatietraject zelf is het meest zichtbare voorbeeld: gestart in 2016 met tientallen kandidaat-algoritmes van onderzoeksteams wereldwijd, uitgemond in de definitieve publicatie van FIPS 203, 204 en 205 in augustus 2024. Dit traject vormt de basis waarop vrijwel alle andere praktijkvoorbeelden voortbouwen.
Messaging-app Signal voerde in september 2023 het PQXDH-protocol in (Post-Quantum Extended Diffie-Hellman), waarmee de sleuteluitwisseling bij het opzetten van een nieuw gesprek quantumbestendig werd gemaakt, terwijl de bestaande beveiliging intact bleef. Apple volgde in 2024 met het PQ3-protocol voor iMessage, dat op vergelijkbare wijze roostergebaseerde cryptografie combineert met de klassieke aanpak.
Ook browsers en netwerken experimenteren al langer. Google testte in 2016 een eerste post-quantum-experiment genaamd CECPQ1 in de Chrome-browser, en breidde dit in 2023 uit met een hybride combinatie genaamd X25519Kyber768, waarbij een klassiek en een post-quantum algoritme tegelijk worden gebruikt zodat de verbinding veilig blijft zelfs als één van de twee later toch een zwakte blijkt te hebben. Netwerkbedrijf Cloudflare rolde in 2023 en 2024 vergelijkbare hybride post-quantum-ondersteuning uit voor het TLS-verkeer (de beveiligingslaag achter het slotje in de adresbalk) dat via hun wereldwijde netwerk loopt.
Hoe ver is de techniek?
De publicatie van FIPS 203, 204 en 205 in augustus 2024 was de belangrijkste mijlpaal tot nu toe: voor het eerst hadden organisaties officiële, definitieve standaarden om daadwerkelijk mee te gaan bouwen, in plaats van voorlopige kandidaten. Toch is het traject nog niet klaar. Falcon, een vierde algoritme voor digitale handtekeningen dat vooral compacte handtekeningen oplevert, wordt nog gestandaardiseerd onder de naam FN-DSA en dat proces was medio 2025 nog niet afgerond.
NIST breidt het aanbod ook bewust uit als extra vangnet. In 2025 selecteerde het instituut HQC (Hamming Quasi-Cyclic) als aanvullend algoritme voor sleuteluitwisseling. HQC steunt, anders dan ML-KEM, niet op roosters maar op foutcorrigerende codes, een andere wiskundige aanname. Mocht er ooit een onverwachte zwakte in roostergebaseerde cryptografie worden ontdekt, dan staat er met HQC alvast een fundamenteel ander alternatief klaar.
De grootste praktische obstakels zitten niet in de wiskunde zelf, maar in de invoering. Post-quantum sleutels en handtekeningen zijn vaak aanzienlijk groter dan hun klassieke tegenhangers, en de berekeningen kosten meer rekenkracht. Dat is vervelend voor kleine, energiezuinige apparaten zoals sensoren en andere IoT-apparatuur (internet of things, het internet der dingen), en voor verouderde systemen die niet snel aan te passen zijn. Veel bestaande software mist bovendien de eerder genoemde crypto-agiliteit, waardoor een overstap soms een grondige verbouwing vergt in plaats van een eenvoudige update. Kortom: dit is een geleidelijk migratieproces van jaren, geen knop die je in één keer omzet.
Wie werken eraan?
NIST speelt de hoofdrol in de internationale standaardisatie en werkt daarbij nauw samen met cryptografen van universiteiten en bedrijven wereldwijd. De Amerikaanse inlichtingendienst NSA (National Security Agency) publiceerde daarnaast CNSA 2.0 (Commercial National Security Algorithm Suite 2.0), een richtlijn met een tijdlijn waarin Amerikaanse overheids- en defensiesystemen uiterlijk in 2033 volledig moeten zijn overgestapt op post-quantum algoritmes.
In de private sector zijn onder meer Google, Microsoft, IBM, Amazon (AWS), Apple, Cloudflare en de Signal Foundation actief betrokken, zowel met eigen onderzoek als met praktijkimplementaties zoals hierboven beschreven. In Europa geven instanties als ENISA (het Europese cybersecurity-agentschap), het Duitse BSI (Bundesamt für Sicherheit in der Informationstechnik) en in Nederland het NCSC (Nationaal Cyber Security Centrum) samen met de AIVD migratieadviezen aan overheden en bedrijven. Ook de IETF (Internet Engineering Task Force), die internetstandaarden zoals TLS beheert, werkt aan het inbouwen van de nieuwe algoritmes in de protocollen die het internet dagelijks gebruikt.