Uw migratie naar post-quantumstandaarden plannen

Het migreren van cryptografische infrastructuur is geen kortetermijnproject. Grote organisaties hebben 10-15 jaar nodig om al hun systemen volledig bij te werken. NIST schat dat er binnen 10-30 jaar kwantumcomputers kunnen bestaan die RSA-2048 kunnen breken. Gezien de dreiging van nu verzamelen en later ontsleutelen en de lange migratietermijnen moeten organisaties vandaag beginnen met plannen, ook als de directe kwantumdreiging nog ver weg lijkt.

Cryptografische flexibiliteit betekent dat je systemen zo ontwerpt dat cryptografische algoritmen kunnen worden vervangen zonder de volledige architectuur opnieuw te ontwerpen. Een flexibel systeem centraliseert de algoritmekeuze in de configuratie, gebruikt abstracte sleuteltypen en ontkoppelt de protocollogica van specifieke implementaties van cryptografische algoritmen. Systemen die RSA of ECDH rechtstreeks in hun protocol­logica vastleggen, vereisen veel duurdere migraties dan flexibele systemen.

De eerste stap van een migratie is het inventariseren van elke cryptografische primitief in je systeem: waar RSA, ECDH, ECDSA en symmetrische algoritmen worden gebruikt, in welke contexten (TLS, codeondertekening, versleuteling van opgeslagen gegevens, authenticatietokens) en welke levensduur de gegevens hebben. NIST IR 8547 en de richtlijnen van CISA raden aan geautomatiseerde ontdekkingshulpmiddelen te gebruiken om hardgecodeerde sleutels en algoritme-identificatoren in codebases en configuraties te vinden.

TLS 1.3 ondersteunt hybride sleuteluitwisseling waarin X25519 en ML-KEM-768 worden gecombineerd, zoals vastgelegd in IETF draft-ietf-tls-hybrid-design. De hybride NamedGroup X25519MLKEM768 verstuurt zowel klassieke als PQC-sleuteldelen in de ClientHello. Het gedeelde geheim is de hash van beide uitvoerwaarden. Hiervoor zijn geen protocolwijzigingen nodig op servers die de nieuwe NamedGroup ondersteunen, en het is achterwaarts compatibel met clients die dat niet doen.

NIST IR 8413 (2022) biedt richtlijnen voor de migratie naar post-kwantumcryptografie. Het deelt systemen in drie zones in: direct kritiek (langdurige geheimen die worden bedreigd door het risico van nu verzamelen, later ontsleutelen), middellange termijn (gegevens die 5-10 jaar gevoelig blijven) en lage prioriteit (tijdelijke of kortlevende gegevens). NIST raadt aan prioriteit te geven aan PKI en certificaatinfrastructuur, omdat het wijzigen van hoofdcertificaten volledige vertrouwensketens beïnvloedt.

De dreiging van nu verzamelen, later ontsleutelen (HNDL) is de dringendste reden om onmiddellijk post-kwantumversleuteling in te voeren, zelfs voordat er kwantumcomputers bestaan. Aanvallers (natiestaten) slaan vandaag versleuteld verkeer op, in de verwachting dat ze het kunnen ontsleutelen zodra er een kwantumcomputer beschikbaar is. Gegevens die langdurig gevoelig blijven (medische dossiers, staatsgeheimen en financiële gegevens die tientallen jaren relevant blijven) lopen direct gevaar door deze aanval.

Op basis van de HNDL-dreiging ligt de hoogste prioriteit voor de migratie naar post-kwantumcryptografie bij het beschermen van gegevens met langdurige vertrouwelijkheidsvereisten. Tijdelijke sleuteluitwisseling in TLS (ECDHE) moet onmiddellijk worden gemigreerd naar hybride X25519+ML-KEM. Langdurige RSA-privésleutels (gebruikt voor certificaatondertekening of voor versleutelde opgeslagen gegevens) moeten opnieuw worden versleuteld met post-kwantumschema's. Tijdelijke sessiesleutels voor videostreaming hebben een lage prioriteit, omdat ze geen langetermijnwaarde hebben.

Voordat PQC wordt ingevoerd, moeten organisaties de prestatie-impact voor hun specifieke werklasten meten. ML-KEM is snel: sleutelgeneratie en inkapseling duren op moderne hardware minder dan 20 microseconden. De grotere omvang van sleutels en cijferteksten (ML-KEM-768: 1184 + 1088 bytes tegenover X25519: 32 + 32 bytes) vergroot echter de omvang van TLS-handshakes. Voor TLS-servers met hoge volumes die miljoenen verbindingen per seconde afhandelen, moet deze extra bandbreedte worden gemeten.

Het Open Quantum Safe (OQS)-project biedt liboqs, een opensourcebibliotheek die PQC-algoritmen implementeert, waaronder alle NIST-standaarden. OQS biedt ook afsplitsingen van OpenSSL en BoringSSL waaraan PQC-ondersteuning is toegevoegd, evenals een testserver op test.openquantumsafe.org. Organisaties kunnen liboqs gebruiken om de integratie van PQC te prototypen en te testen voordat ze deze in productie nemen, zonder te wachten op ondersteuning in de hoofdversie van de bibliotheek.

Amerikaanse federale instanties en gereguleerde bedrijfstakken moeten cryptografische modules gebruiken die door FIPS zijn gevalideerd. NIST FIPS 203, 204 en 205 zijn nu gepubliceerd, maar het duurt langer voordat gevalideerde implementaties (met CMVP-certificaten) beschikbaar komen. NIST voert een versneld validatieprogramma voor PQC uit. Organisaties in gereguleerde omgevingen moeten de validatiestatus van CMVP volgen en rekening houden met een periode waarin hybride implementaties van klassieke cryptografie en PQC door FIPS gevalideerde klassieke algoritmen naast gevalideerde PQC-implementaties gebruiken.

De migratie van PKI is bijzonder complex. Hoofdcertificaten en tussenliggende CA's moeten opnieuw worden uitgegeven met ML-DSA of hybride sleutels. Certificaatketens worden groter (ML-DSA-65-certificaten zijn ongeveer 4 KB groot, tegenover 1 KB voor RSA-2048). Vertrouwensopslagplaatsen van browsers, mobiele besturingssystemen en ingebedde apparaten moeten allemaal worden bijgewerkt. Sommige organisaties onderzoeken certificaten met twee algoritmen (hybride PKI) om tijdens de overgang achterwaartse compatibiliteit te behouden.

Voor een PQC-migratie zijn cryptografische wendbaarheid, een volledige cryptografische inventaris en prioritering op basis van de levensduur van gegevens nodig. De dreiging van nu verzamelen, later ontsleutelen maakt onmiddellijke invoering van hybride TLS (X25519+ML-KEM-768) dringend voor langdurige geheimen. De prestatie-overhead is voor de meeste werklasten beheersbaar. Met liboqs kun je testen voordat er ondersteuning in de hoofdversie van de bibliotheek beschikbaar is. Voor FIPS-naleving moet je de validatiestatus van CMVP van PQC-implementaties volgen.