Lessen uit DES: wat we hebben geleerd

De DES-sleutel van 56 bits is ontworpen met de rekenkracht van 1977 in gedachten. De ontwerpers verwachtten dat deze minstens 10 tot 15 jaar veilig zou zijn. In 1997 (20 jaar later) kon hij in maanden worden gekraakt; in 1999 in uren.

De les: bij cryptografische sleutellengtes moet rekening worden gehouden met toekomstige vooruitgang in rekenkracht. NIST adviseert nu dat systemen een veiligheidsmarge van ten minste 112 bits hebben om tot 2030 veilig te blijven, en 128 bits of meer voor langdurige beveiliging.

Auguste Kerckhoffs stelde in 1883 dat een versleutelingsalgoritme veilig moet zijn, zelfs als alles aan het systeem behalve de sleutel publiek bekend is. DES was het eerste door de overheid gestandaardiseerde versleutelingsalgoritme dat expliciet volgens dit principe werd ontworpen.

Door de volledige specificatie van DES te publiceren, kon de cryptografische gemeenschap het algoritme 20 jaar lang op zwakke plekken onderzoeken. Het algoritme bleek beter bestand tegen openbare kritische analyse dan alternatieven die vertrouwden op geheimhouding van het algoritme.

Toen DES voor het eerst werd gepubliceerd, hield de NSA de ontwerpcriteria voor de S-boxen geheim. Dit voedde complottheorieën over achterdeurtjes. In de jaren 90 werden de criteria onthuld. Daaruit bleek dat de S-boxen specifiek waren ontworpen om bestand te zijn tegen differentiële cryptanalyse.

Deze les over transparantie leidde tot moderne wedstrijden voor versleutelingsalgoritmen waarbij de volledige ontwerpredenering moet worden gepubliceerd. AES-kandidaten publiceerden volledige ontwerpcriteria en beveiligingsargumenten, waardoor grondige openbare analyse mogelijk werd.

De betrokkenheid van de NSA bij het verkorten van de DES-sleutellengte van 128 naar 56 bits en het aanpassen van de S-boxen heeft geleid tot blijvend institutioneel wantrouwen tegenover overheidsbemoeienis met cryptografische standaarden.

Dit wantrouwen werd versterkt door het Dual_EC_DRBG-achterdeurschandaal (2013), waarbij bleek dat de NSA opzettelijk een NIST-standaard voor een generator van willekeurige getallen had verzwakt. De ervaring met DES legde de basis voor gezonde scepsis over ingrepen van overheden in versleutelingsalgoritmen.

Een les uit DES is het belang van algoritmische wendbaarheid: systemen moeten zo worden ontworpen dat cryptografische algoritmen eenvoudig kunnen worden vervangen wanneer ze verouderd raken. Systemen waarin DES hardgecodeerd was, vereisten dure migraties waarbij alles moest worden vervangen.

Moderne cryptografische protocollen zoals TLS onderhandelen aan het begin van elke verbinding over algoritmekeuzes, zodat beide partijen overeenstemming kunnen bereiken over de sterkste algoritmen die ze allebei ondersteunen. Daardoor kunnen nieuwe algoritmen worden ingevoerd zonder de achterwaartse compatibiliteit te verbreken.

NIST leerde van DES dat een gesloten overheidsproces wantrouwen en mogelijk zwakke algoritmen oplevert. De AES-wedstrijd (1997-2001) was volledig openbaar: elke organisatie ter wereld kon een kandidaat indienen.

Er werden vijftien algoritmen ingediend door teams uit de VS, Europa en andere regio's. Vijf finalisten werden drie jaar lang openbaar geanalyseerd. Rijndael, ontwikkeld door Belgische cryptografen, won op technische gronden. Het openbare proces zorgde voor breed vertrouwen in AES.

De AES-wedstrijd paste de lessen uit DES rechtstreeks toe: ruime sleutelopties (128, 192 en 256 bits), een blokgrootte van 128 bits om zorgen over verjaardagsaanvallen aan te pakken, volledige openbare ontwerpcriteria en meerjarige openbare cryptanalyse.

AES heeft meer dan 20 jaar openbare cryptanalyse doorstaan zonder praktische aanvallen. De best bekende aanvallen op AES zijn slechts marginaal beter dan bruteforceaanvallen. Dit bevestigt dat het openbare wedstrijdproces een sterk versleutelingsalgoritme heeft opgeleverd.

Er bestaan miljoenen hardware-implementaties van DES in geldautomaten, betaalterminals, satellietdecoders en industriële besturingssystemen. Hardware vervangen is veel duurder en duurt veel langer dan software bijwerken.

De les: hardwarematige cryptografische implementaties moeten vanaf het begin rekening houden met vervanging van algoritmen. Moderne HSM's en smartcardchips zijn ontworpen om meerdere algoritmen te ondersteunen en kunnen via firmware worden bijgewerkt om nieuwe standaarden toe te voegen.

Na DES werd het standaardisatieproces van NIST transparanter en inclusiever. Openbare reactietermijnen werden verlengd, algoritmeontwerpen werden vóór de standaardisatie volledig vrijgegeven en internationale deelname werd actief aangemoedigd.

De standaardisatie van postkwantumcryptografie door NIST (2016-2024) paste al deze lessen toe: een open internationale wedstrijd, meerdere rondes openbare cryptanalyse, transparante selectiecriteria en gelijktijdige standaardisatie van meerdere algoritmen voor diversiteit.

Moderne cryptografie heeft het probleem van de sleutellengte opgelost: AES-256 biedt zo'n ruime veiligheidsmarge dat bruteforceaanvallen in de voorzienbare toekomst onmogelijk zijn. De resterende uitdaging is sleutelbeheer.

Sleutelgeneratie (echt willekeurig), sleutelopslag (beschermd tegen onbevoegde toegang), sleutelverdeling (veilig gedeeld met de juiste partijen), sleutelrotatie (sleutels wijzigen zonder de dienstverlening te verstoren) en sleutelintrekking (gecompromitteerde sleutels intrekken) zijn de onopgeloste problemen die de meeste cryptografische fouten in de praktijk veroorzaken.

De overgang naar postkwantumcryptografie (PQC) is het moderne equivalent van de overgang van DES naar AES. Kwantumcomputers vormen een bedreiging voor RSA en ECC, net zoals exponentiële groei van hardware een bedreiging vormde voor DES.

NIST voltooide in 2024 zijn eerste PQC-standaarden: CRYSTALS-Kyber (nu ML-KEM) voor sleutelinkapseling en CRYSTALS-Dilithium (nu ML-DSA) voor handtekeningen. De lessen uit DES, waaronder een open wedstrijd en algoritmische wendbaarheid, werden rechtstreeks toegepast in het standaardisatieproces van PQC.

DES leerde ons dat sleutellengtes rekening moeten houden met de wet van Moore, dat openbare toetsing versleutelingsalgoritmen sterker maakt, dat ontwerpcriteria voor S-boxen gepubliceerd moeten worden en dat overheidsbetrokkenheid bij standaarden transparantie vereist.

Algoritmische wendbaarheid, openbare wedstrijden (AES, PQC) en hardware die is ontworpen voor vervanging van algoritmen zijn allemaal rechtstreekse reacties op de erfenis van DES. Het moeilijkste probleem in de moderne cryptografie is niet de sleutellengte, maar het sleutelbeheer.