Roostergebaseerde cryptografie: encryptie die quantumcomputers moet weerstaan
Stel je een enorm, oneindig groot rooster van punten voor, niet in twee of drie dimensies zoals een schaakbord of een kubus, maar in honderden dimensies tegelijk. Dat rooster is opgebouwd uit regelmatige, herhalende patronen van punten, vergelijkbaar met de kruispunten van een oneindig stratennet. Als je vanaf een willekeurig punt ergens middenin dat rooster wordt neergezet, blijkt het verrassend lastig om terug te vinden welk roosterpunt het dichtstbij ligt, of om de kortste route naar de oorsprong te berekenen. Die schijnbaar onschuldige rekenkundige moeilijkheid vormt de basis van roostergebaseerde cryptografie.
Waar bijna alle huidige beveiliging op internet, van online bankieren tot WhatsApp-berichten, leunt op wiskundige problemen die kwetsbaar zijn voor toekomstige quantumcomputers, geldt dat niet voor roosterproblemen. Voor zover bekend kan ook een quantumcomputer geen efficiënte manier vinden om het kortste-vector-probleem in een hoogdimensionaal rooster op te lossen. Daarom geldt roostergebaseerde cryptografie als een van de belangrijkste kandidaten voor "post-quantum cryptografie": versleuteling die veilig moet blijven, ook nadat quantumcomputers volwassen zijn geworden.
Wat is het precies?
Een rooster (in het Engels: lattice) is in de wiskunde een verzameling punten die ontstaat door een aantal basisvectoren steeds bij elkaar op te tellen in gehele veelvouden. In twee dimensies levert dat een simpel raster van punten op, maar cryptografen werken met roosters in honderden of duizenden dimensies, wat menselijke intuïtie ver te boven gaat.
De kern van de beveiliging zit in twee verwante problemen. Het kortste-vectorprobleem (Shortest Vector Problem, SVP) vraagt: wat is het roosterpunt dat het dichtst bij de oorsprong ligt, zonder de oorsprong zelf te tellen? Het dichtstbijzijnde-vectorprobleem (Closest Vector Problem, CVP) vraagt hetzelfde, maar dan vanaf een willekeurig gekozen punt in de ruimte. Beide problemen zijn in hoge dimensies extreem rekenintensief op te lossen, ook voor de snelste computers.
De meeste praktische systemen bouwen niet direct op SVP of CVP, maar op een variant die "Learning With Errors" (LWE) heet, geïntroduceerd door wiskundige Oded Regev in 2005. Bij LWE krijg je een reeks vergelijkingen te zien waaraan expres een kleine, willekeurige "ruis" is toegevoegd. Zonder die ruis zou je het onderliggende geheim met eenvoudige lineaire algebra kunnen terugrekenen; mét de ruis wordt dat voor een buitenstaander vrijwel onmogelijk, terwijl de rechtmatige ontvanger, die de sleutel kent, de ruis wel kan wegfilteren. Om de berekeningen sneller en de sleutels compacter te maken, gebruiken de meeste huidige systemen niet "kale" LWE maar efficiëntere varianten zoals Ring-LWE of Module-LWE, die extra wiskundige structuur toevoegen zonder de veiligheid merkbaar te verzwakken.
Wat wil men ermee bereiken?
Het hoofddoel is simpel te omschrijven: internetverkeer, bestandsversleuteling en digitale handtekeningen beschermen tegen een dreiging die er nu al aan komt, ook al bestaat de aanvaller nog niet volledig. Een krachtige quantumcomputer zou met het beroemde Shor-algoritme de wiskundige problemen achter RSA en elliptische-krommecryptografie (de twee pijlers van vrijwel alle huidige beveiliging) in principe kunnen kraken. Zulke computers bestaan vandaag nog niet in bruikbare vorm, maar cryptografen houden al rekening met een scenario dat bekendstaat als "harvest now, decrypt later": versleuteld verkeer nu al opslaan, om het later alsnog te ontsleutelen zodra een quantumcomputer beschikbaar is.
Roostergebaseerde cryptografie is aantrekkelijk omdat ze, in tegenstelling tot sommige andere post-quantum kandidaten, relatief snel is, compacte sleutels oplevert en al decennialang wiskundig wordt onderzocht. Daardoor kon ze als een van de eersten praktijkrijp worden gemaakt voor grootschalig gebruik op internet.
Voorbeelden uit de praktijk
De meest zichtbare stap kwam van het Amerikaanse standaardisatie-instituut NIST, dat in 2016 een wereldwijde wedstrijd startte om post-quantum algoritmes te selecteren. In juli 2022 koos NIST vier winnaars, waarvan er drie op roosters zijn gebaseerd: CRYSTALS-Kyber voor sleuteluitwisseling en CRYSTALS-Dilithium en FALCON voor digitale handtekeningen (de vierde, SPHINCS+, gebruikt een ander wiskundig principe). In augustus 2024 publiceerde NIST de definitieve federale standaarden: FIPS 203 (ML-KEM, gebaseerd op Kyber) en FIPS 204 (ML-DSA, gebaseerd op Dilithium).
Google experimenteerde al in 2019 met een vroege roostervariant (CECPQ2, gebaseerd op NTRU) in de Chrome-browser, en schakelde in 2023 breder over op een hybride combinatie genaamd X25519Kyber768, waarbij een klassieke en een post-quantum sleuteluitwisseling gecombineerd worden voor extra zekerheid.
Signal, de makers van de gelijknamige versleutelde berichten-app, voegde in 2023 het PQXDH-protocol toe, dat Kyber-1024 combineert met de bestaande X3DH-sleuteluitwisseling om chatgesprekken ook tegen toekomstige quantumaanvallen te beschermen.
Apple kondigde begin 2024 PQ3 aan, een vernieuwd cryptografisch protocol voor iMessage dat eveneens op Kyber leunt, met als doel langlopende gesprekken te beschermen tegen dezelfde "harvest now, decrypt later"-dreiging.
Ook infrastructuurbedrijf Cloudflare biedt sinds 2022-2023 post-quantum sleuteluitwisseling aan voor websiteverkeer via TLS, waardoor een groot deel van het reguliere webverkeer inmiddels optioneel al roostergebaseerde bescherming krijgt, meestal onzichtbaar voor de gebruiker.
Hoe ver is de techniek?
Roostergebaseerde cryptografie is het verst ontwikkelde onderdeel van post-quantum cryptografie: de wiskundige problemen worden al sinds de jaren negentig bestudeerd, en met de NIST-standaarden van 2024 is er voor het eerst een officieel, breed gedragen fundament waarop softwaremakers kunnen bouwen. Grote techbedrijven hebben de eerste versies al operationeel getest en gedeeltelijk uitgerold, vaak in "hybride" vorm naast bestaande klassieke cryptografie, juist omdat nieuwe wiskunde in de praktijk soms onverwachte zwakke plekken laat zien.
Dat voorzichtigheid terecht is, bleek uit SIKE, een ander post-quantum kandidaat (niet roostergebaseerd maar op elliptische krommen gebaseerd) die in 2022, laat in het NIST-traject, alsnog volledig gebroken werd met een klassieke computer. Roosterproblemen hebben zo'n aanval tot nu toe doorstaan, maar cryptografen benadrukken dat "tot nu toe veilig gebleken" iets anders is dan "bewezen veilig": voor geen van de gangbare post-quantum problemen bestaat een wiskundig bewijs van onkraakbaarheid, net zomin als voor RSA overigens.
Een resterend obstakel is dat roostergebaseerde sleutels en handtekeningen doorgaans groter zijn dan hun klassieke tegenhangers, wat extra rekenkracht en bandbreedte kost, vooral merkbaar op kleine apparaten zoals smartcards, sensoren of implantaten. Onderzoek naar compactere en snellere varianten loopt door, net als de bredere overgang: veel bedrijven en overheden werken nu aan meerjarige "migratieplannen" om oude systemen op tijd, vóór de komst van een bruikbare quantumcomputer, over te zetten.
Wie werken eraan?
Het Amerikaanse NIST (National Institute of Standards and Technology) coördineert het internationale standaardisatietraject en publiceert de officiële FIPS-standaarden. Het team achter Kyber en Dilithium, dat zich organiseerde onder de naam CRYSTALS, bestaat uit onderzoekers van onder meer de Radboud Universiteit Nijmegen, het Duitse Max Planck Institute for Security and Privacy, KU Leuven in België, ENS Lyon in Frankrijk, en techbedrijven als IBM Research en NXP Semiconductors. Ook Nederlandse onderzoeksinstellingen zoals het CWI (Centrum Wiskunde & Informatica) in Amsterdam dragen bij aan het bredere wiskundige onderzoek naar roosterproblemen.
Daarnaast investeren grote techbedrijven zoals Google, Microsoft, Amazon, Apple en Cloudflare in eigen implementaties en praktijktests, terwijl academische groepen wereldwijd, van Europa tot de Verenigde Staten en Azië, blijven zoeken naar zowel sterkere aanvallen als efficiëntere en veiligere constructies. Ook Europese samenwerkingsverbanden en nationale veiligheidsdiensten volgen de ontwikkelingen op de voet, met het oog op de overgang van overheids- en defensiesystemen naar quantumbestendige cryptografie.