Wat is Post-kwantumcryptografie (PQC)?

Cryptografie die haar veiligheid baseert op wiskundige problemen waarvan wordt aangenomen dat ook kwantumcomputers ze niet efficiënt kunnen oplossen, zoals roosterproblemen en hashfuncties. Ze draait op conventionele computers en wordt gebruikt om RSA en elliptische-krommecryptografie te vervangen, die het algoritme van Shor kan kraken.

Japanse benaming: 耐量子計算機暗号

“Post-kwantumcryptografie (PQC)” komt voor in 2 oefenvragen uit 1 onderwerpen, bijv. Hardware voor kwantumcomputers.

Vakgebied: Hardware voor kwantumcomputers

Waarom ze nodig is

RSA en elliptische-krommecryptografie, die vandaag op grote schaal worden gebruikt, zouden met het algoritme van Shor op een grote fouttolerante kwantumcomputer worden gekraakt. Zulke kwantumcomputers bestaan nog niet, maar er is het risico van „harvest now, decrypt later”, waarbij versleutelde gegevens die vandaag worden opgenomen in de toekomst worden ontsleuteld, en het vervangen van cryptografie duurt vele jaren. De migratie moet daarom beginnen voordat er kwantumcomputers zijn.

Belangrijkste schema's en standaarden

In 2024 publiceerde het Amerikaanse NIST als standaarden het op roosters gebaseerde sleutelinkapselingsmechanisme ML-KEM (FIPS 203), het op roosters gebaseerde handtekeningschema ML-DSA (FIPS 204) en het op hashfuncties gebaseerde handtekeningschema SLH-DSA (FIPS 205). Hun sleutels en handtekeningen zijn groter dan voorheen: een publieke sleutel van ML-KEM-768 is bijvoorbeeld 1184 bytes, veel groter dan de 32 bytes van de elliptische-krommesleuteluitwisseling X25519. Een handtekening van ML-DSA-65 is 3309 bytes.

Hardware en migratie

Omdat de sleutels en handtekeningen groter zijn en de berekeningen van een andere aard, verloopt de migratie terwijl de gevolgen worden gecontroleerd voor embedded apparaten en smartcards met weinig geheugen, pakketgrootten in communicatieprotocollen enzovoort. Schema's op basis van roosters versnellen de vermenigvuldiging van polynomen met de getaltheoretische transformatie (NTT), en versnelling met speciale schakelingen wordt onderzocht. Implementaties moeten ook bestand zijn tegen een zijkanaalaanval, die geheimen lekt via het opgenomen vermogen of de rekentijd. Voorlopig verloopt de migratie stap voor stap met hybride schema's die met conventionele cryptografie worden gecombineerd, en ontwerpen die het gemakkelijk maken om cryptografie later te vervangen (crypto-agility) krijgen veel nadruk.

Nu oefenen: vragen over Post-kwantumcryptografie (PQC)

Welke beschrijving van post-kwantumcryptografie (PQC) is juist?

ACryptografie die op conventionele computers draait en haar veiligheid baseert op wiskundige problemen (zoals roosterproblemen) waarvan wordt aangenomen dat ook kwantumcomputers ze niet efficiënt kunnen oplossen
BCryptografie die niet kan versleutelen of ontsleutelen zonder een kwantumcomputer
CCryptografie die alleen de sleutellengte van RSA verdubbelt

Antwoord en toelichting tonen

Antwoord: A. Cryptografie die op conventionele computers draait en haar veiligheid baseert op wiskundige problemen (zoals roosterproblemen) waarvan wordt aangenomen dat ook kwantumcomputers ze niet efficiënt kunnen oplossen

Post-kwantumcryptografie vervangt priemfactorisatie en het discrete-logaritmeprobleem, die het algoritme van Shor kan oplossen, door schema's die zijn gebaseerd op roosterproblemen, hashfuncties en dergelijke, en ze draait zonder meer op de huidige computers en netwerkapparatuur. In 2024 publiceerde het Amerikaanse NIST standaarden, waaronder het op roosters gebaseerde sleutelinkapselingsmechanisme ML-KEM (FIPS 203) en het handtekeningschema ML-DSA (FIPS 204). Veel van deze schema's hebben grotere sleutels of handtekeningen dan RSA of elliptische-krommecryptografie, dus de migratie verloopt met aandacht voor de gevolgen voor communicatieprotocollen, embedded apparaten en hardware-implementaties. Het is een andere technologie dan kwantumsleuteldistributie (QKD), die sleutels deelt met behulp van kwantumeigenschappen zelf.

Wat is de meest passende reden om de migratie naar post-kwantumcryptografie te versnellen, ook al bestaan er nog geen grote kwantumcomputers?

AKwantumcomputers van midden jaren 2020 kraken RSA-2048 al routinematig
BOverstappen op post-kwantumcryptografie maakt communicatie altijd sneller
CVersleutelde gegevens die nu worden onderschept en opgeslagen, kunnen later door kwantumcomputers worden ontsleuteld („harvest now, decrypt later”), en de migratie van cryptografie duurt vele jaren

Antwoord en toelichting tonen

Antwoord: C. Versleutelde gegevens die nu worden onderschept en opgeslagen, kunnen later door kwantumcomputers worden ontsleuteld („harvest now, decrypt later”), en de migratie van cryptografie duurt vele jaren

Een aanvaller kan nu versleuteld verkeer opnemen en, zodra kwantumcomputers praktisch bruikbaar worden, de sleuteluitwisseling kraken en de inhoud lezen. Informatie die lang geheim moet blijven, moet daarom met post-kwantumcryptografie worden beschermd, nog voordat er kwantumcomputers zijn. Cryptografie zit bovendien ingebouwd in besturingssystemen, browsers, netwerkapparatuur, smartcards en de firmware en hardware van embedded apparaten, en alles vervangen duurt vele jaren. De migratie gebeurt stap voor stap met hybride schema's die conventionele cryptografie en post-kwantumcryptografie combineren.

Veelgestelde vragen

Wat is het verschil met kwantumsleuteldistributie (QKD)?

Post-kwantumcryptografie is gebaseerd op de moeilijkheid van wiskundige problemen en draait op gewone computers en netwerken. Kwantumsleuteldistributie deelt sleutels met behulp van kwantumeigenschappen van fotonen en dergelijke en vereist speciale apparatuur voor optische communicatie. Het zijn afzonderlijke technologieën, en post-kwantumcryptografie staat centraal in de vervanging.

Moet symmetrische cryptografie zoals AES ook worden vervangen?

Tegen symmetrische cryptografie is er alleen de kwadratische versnelling van het algoritme van Grover, dus naar verwachting is een ander schema niet nodig en volstaan voldoende lange sleutels. Van AES-256 wordt bijvoorbeeld aangenomen dat het ook tegen kwantumcomputers voldoende veilig blijft.

“Post-kwantumcryptografie (PQC)” in de toelichting

Post-kwantumcryptografie vervangt priemfactorisatie en het discrete-logaritmeprobleem, die het algoritme van Shor kan oplossen, door schema's die zijn gebaseerd op roosterproblemen, hashfuncties en dergelijke, en ze draait zonder meer op de huidige computers en netwerkapparatuur.
Welke beschrijving van post-kwantumcryptografie (PQC) is ju…
Informatie die lang geheim moet blijven, moet daarom met post-kwantumcryptografie worden beschermd, nog voordat er kwantumcomputers zijn.
Wat is de meest passende reden om de migratie naar post-kwa…

Vragen met “Post-kwantumcryptografie (PQC)” (2)

Verwante termen

Algoritme van Shor Hashfunctie Decoherentie Ionenval (ion trap) Josephson-junctie (Josephson junction) Kwantumfoutcorrectie (quantum error correction) Kwantumpoort (quantum gate) NISQ Qubit (kwantumbit) Spinqubit (spin qubit)

Naar de woordenlijst