Nederlands
Menu

Wat is ML-KEM?

Een op roosters gebaseerd sleutelinkapselingsmechanisme (KEM) dat het Amerikaanse NIST in augustus 2024 als FIPS 203 heeft gestandaardiseerd. De naam staat voor Module-Lattice-Based Key-Encapsulation Mechanism, en het is gebaseerd op CRYSTALS-Kyber. De veiligheid berust op de moeilijkheid van het Module-LWE-probleem, waarbij een geheim moet worden gevonden uit een stelsel lineaire vergelijkingen waaraan kleine fouten zijn toegevoegd; aangenomen wordt dat ook kwantumcomputers dit niet efficiënt kunnen oplossen. Er zijn drie parametersets: ML-KEM-512, ML-KEM-768 en ML-KEM-1024. Het wordt in protocollen zoals TLS gebruikt om ECDHE-sleuteluitwisseling te vervangen of ermee te worden gecombineerd.

Japanse benaming: ML-KEM

“ML-KEM” komt voor in 4 oefenvragen uit 2 onderwerpen, bijv. Basis en toepassingen van cryptografie, Hardware voor kwantumcomputers.

Vakgebied: Basis en toepassingen van cryptografie

Wat een sleutelinkapselingsmechanisme is

Een KEM bestaat uit drie bewerkingen: sleutelgeneratie, inkapseling en decapsulatie. De zender kapselt in met de publieke sleutel van de ontvanger, krijgt zo een willekeurig gedeeld geheim en een cijfertekst die het omhult, en verstuurt de cijfertekst. De ontvanger decapsuleert met de privésleutel en krijgt hetzelfde gedeelde geheim. Anders dan bij de Diffie-Hellman-sleuteluitwisseling hoeft de zender geen eigen langdurig sleutelpaar te hebben.

Typische groottes

Bij ML-KEM-768 is de publieke sleutel (inkapselingssleutel) 1184 bytes, de cijfertekst 1088 bytes en het gedeelde geheim 32 bytes. De openbare waarde van de sleuteluitwisseling X25519 op een elliptische kromme is 32 bytes, dus er wordt veel meer data verstuurd. De berekening zelf is daarentegen licht en zou niet trager zijn dan sleuteluitwisseling op elliptische krommen.

Hybride gebruik

Als voorzorg tegen twijfels over een nieuw schema wordt stand 2025 in TLS 1.3 hybride sleuteluitwisseling in gebruik genomen die de gedeelde geheimen van zowel X25519 als ML-KEM-768 in de sleutelafleiding stopt (zoals X25519MLKEM768). Zolang een van beide veilig is, blijft de resulterende sleutel beschermd.

Nu oefenen: vragen over ML-KEM

Welke uitspraak beschrijft juist hoe een sleutelinkapselingsmechanisme (KEM) zoals ML-KEM wordt gebruikt?

  1. ADe zender ondertekent het gedeelde geheim met zijn eigen privésleutel en verstuurt het, en de ontvanger controleert de handtekening met de publieke sleutel van de zender en ontvangt het geheim
  2. BDe zender maakt uit de publieke sleutel van de ontvanger een gedeeld geheim en een cijfertekst die het omhult, en de ontvanger haalt met zijn privésleutel hetzelfde geheim eruit
  3. CZender en ontvanger hebben vooraf dezelfde symmetrische sleutel en versleutelen berichten daar rechtstreeks mee
Antwoord en toelichting tonen

Antwoord: B. De zender maakt uit de publieke sleutel van de ontvanger een gedeeld geheim en een cijfertekst die het omhult, en de ontvanger haalt met zijn privésleutel hetzelfde geheim eruit

Een KEM bestaat uit drie bewerkingen: sleutelgeneratie, inkapseling en decapsulatie. De zender kapselt in met de publieke sleutel van de ontvanger, krijgt zo tegelijk een willekeurig gedeeld geheim en een cijfertekst die het omhult, en verstuurt alleen de cijfertekst. De ontvanger decapsuleert met zijn privésleutel en krijgt hetzelfde gedeelde geheim, waarna beide kanten symmetrische cryptografie gebruiken met sleutels die daarop zijn gebaseerd. Een KEM is een mechanisme om sleutels te delen, dus voor de authenticatie van de andere partij wordt apart een handtekening zoals ML-DSA gebruikt.

Welke uitspraak beschrijft juist het idee van hybride sleuteluitwisseling, die tijdens de migratie naar post-kwantumcryptografie wordt gebruikt en X25519 (Diffie-Hellman-sleuteluitwisseling op een elliptische kromme) met ML-KEM combineert?

  1. ABeide gedeelde geheimen uit de twee schema's gaan de sleutelafleiding in, zodat de resulterende sleutel veilig is zolang een van beide veilig is
  2. BVan de twee schema's wordt alleen het gedeelde geheim gebruikt van het schema dat in de handshake het eerst klaar is, en het andere wordt weggegooid
  3. CML-KEM wordt pas gebruikt als kwantumcomputers werkelijkheid zijn; beide worden klaargezet zodat er dan automatisch wordt overgeschakeld
Antwoord en toelichting tonen

Antwoord: A. Beide gedeelde geheimen uit de twee schema's gaan de sleutelafleiding in, zodat de resulterende sleutel veilig is zolang een van beide veilig is

ML-KEM is een nieuw schema, en de kans dat er implementatiefouten of nieuwe aanvallen worden gevonden, kan nog niet volledig worden uitgesloten. X25519 is daarentegen zwak tegen kwantumcomputers, maar heeft een lange staat van dienst wat betreft veiligheid tegen klassieke computers. Bij hybride sleuteluitwisseling worden beide gedeelde geheimen aan elkaar gekoppeld en in een sleutelafleidingsfunctie gestopt, dus een aanvaller moet beide breken om de sleutel te krijgen, en communicatie die nu wordt opgenomen, is ook beschermd tegen ontsleuteling door toekomstige kwantumcomputers. Stand 2025 wordt deze combinatie (zoals X25519MLKEM768) in TLS 1.3 in gebruik genomen.

Veelgestelde vragen

Kan ML-KEM voor handtekeningen worden gebruikt?

Nee. ML-KEM is een mechanisme om sleutels te delen. Voor post-kwantumhandtekeningen worden ML-DSA (FIPS 204) en SLH-DSA (FIPS 205) gebruikt, die eveneens in augustus 2024 zijn gestandaardiseerd.

Is het hetzelfde als kwantumsleuteldistributie (QKD)?

Nee. ML-KEM berust op de moeilijkheid van een wiskundig probleem en draait zonder aanpassingen op gewone computers en netwerken. Kwantumsleuteldistributie deelt sleutels met behulp van kwantumeigenschappen van onder meer fotonen, en vereist speciale apparatuur en kanalen.

“ML-KEM” in de toelichting

Vragen met “ML-KEM” (4)

  1. Welke uitspraak beschrijft juist hoe een sleutelinkapselingsmechanisme (KEM) zoals ML-KEM wordt gebruikt?
  2. Welke uitspraak beschrijft juist het idee van hybride sleuteluitwisseling, die tijdens de migratie naar post-kwantumcryptografie wordt gebruikt en X25519 (Diffie-Hellman-sleuteluitwisseling op een elliptische kromme) met ML-KEM combineert?
  3. Welke beschrijving van post-kwantumcryptografie (PQC) is juist?
  4. Welke combinatie van de standaarden voor post-kwantumcryptografie die het Amerikaanse NIST in augustus 2024 publiceerde en hun soort is juist?

Verwante termen

Post-kwantumcryptografie (PQC) Hashfunctie Symmetrische cryptografie (secret-key-cryptografie) Diffie-Hellman-sleuteluitwisseling TLS (Transport Layer Security) Algoritme van Shor RSA-cryptosysteem Elliptische-krommecryptografie Digitale handtekening AES (Advanced Encryption Standard)

Naar de woordenlijst