Post-kwantumcryptografie

Een kwantumcomputer rekent met qubits, die tegelijk een combinatie van 0 en 1 kunnen bevatten en zo gekoppeld kunnen worden dat hun toestanden van elkaar afhangen. Voor de meeste taken is hij niet sneller dan een gewone computer. Bij een paar problemen met de juiste wiskundige structuur zorgt een kwantumalgoritme ervoor dat foute antwoorden elkaar opheffen en het juiste naar voren komt, en dat levert een enorme versnelling op. De huidige machines hebben te weinig qubits en te veel fouten om versleuteling te bedreigen. Daarvoor is een grote, fouttolerante machine nodig die haar eigen fouten corrigeert, en die heeft nog niemand gebouwd. Voor uw bedrijf is het praktische punt beperkt: zo'n machine zou de publieke-sleutelcryptografie breken die bijna elke verbinding van u beschermt, dus de vervanging moet gepland worden voordat ze bestaat.

Omdat een grote, fouttolerante kwantumcomputer met het algoritme van Shor de publieke-sleutelmethoden zou kunnen breken die nu worden gebruikt om sleutels af te spreken en gegevens te ondertekenen: RSA en elliptische-curvecryptografie (ECC). Die twee beschermen de sleuteluitwisseling van bijna elke HTTPS-, VPN- en SSH-verbinding en de handtekeningen op certificaten, software-updates en documenten. Een aanvaller met zo'n machine zou eerder opgenomen verkeer kunnen lezen en handtekeningen kunnen vervalsen. Symmetrische versleuteling zoals AES, die de gegevens versleutelt zodra de sleutel is afgesproken, wordt door het algoritme van Grover maar beperkt verzwakt en blijft bruikbaar met 256-bitssleutels. Zo'n computer bestaat vandaag niet en niemand kan het jaar noemen waarin hij er komt. Het risico is reëel voor gegevens die vele jaren geheim moeten blijven: iets om te plannen, geen noodgeval. De oplossing is software, geen hardware: nieuwe algoritmen die NIST in 2024 standaardiseerde en die via updates worden uitgerold.

Het maakt de moeilijke problemen waarop ze steunen gemakkelijk. RSA is veilig omdat niemand een heel groot getal binnen redelijke tijd in zijn twee priemfactoren kan ontbinden; elliptische-curvecryptografie is veilig omdat niemand het geheime getal achter een publiek punt op de curve kan terugvinden. Peter Shor liet in 1994 zien dat een kwantumcomputer in beide problemen een verborgen herhalend patroon kan vinden, een periode, waaruit het geheim snel volgt. Op een machine die groot genoeg is, kost de aanval een haalbare tijd in plaats van een onmogelijke. Langere sleutels redden RSA en ECC niet: ze maken de kwantumaanval alleen wat trager. Daarom is het antwoord nieuwe wiskunde, zoals de roosterproblemen achter ML-KEM en ML-DSA, waarvoor geen efficiënt kwantumalgoritme bekend is. Gepubliceerde schattingen van de benodigde machine liggen nog ver voorbij alles wat tot nu toe is gebouwd.

Veel minder dan het algoritme van Shor voor RSA: het verzwakt symmetrische versleuteling en hashing, maar breekt ze niet. Lov Grover liet in 1996 zien dat een kwantumcomputer mogelijkheden kan doorzoeken in ongeveer de wortel van het gebruikelijke aantal stappen. Toegepast op het raden van een sleutel halveert dat ruwweg de sleutellengte in bits: in theorie gedraagt een 128-bits AES-sleutel zich eerder als een van 64 bits. In de praktijk is de aanval één zeer lange reeks stappen die niet zinvol over veel machines te verdelen is, dus zelfs AES-128 blijft verre van makkelijk te breken. Het gangbare advies is eenvoudig: AES-256 voor gegevens die lang geheim moeten blijven en SHA-256 of sterker voor hashing. De meeste moderne systemen ondersteunen beide al, dus dit deel van de overstap is meestal een configuratiekeuze en geen migratieproject. Het echte werk zit in de publieke-sleutelmethoden.

Niemand weet het, en wie een jaartal noemt, gokt. Een machine die groot en stabiel genoeg is om het algoritme van Shor tegen de huidige sleutellengtes uit te voeren, vraagt om vooruitgang in qubitkwaliteit, foutcorrectie en schaal die nog niet is aangetoond. Enquêtes onder experts en roadmaps van fabrikanten geven bandbreedtes, geen data, en die bandbreedtes verschuiven. Uw planning hangt echter niet van die datum af. Toezichthouders hebben eigen termijnen gesteld: de gecoördineerde EU-routekaart van 23 juni 2025 vraagt om toepassingen met een hoog risico uiterlijk eind 2030 om te zetten, en de overgangsrichtlijn van NIST (NIST IR 8547, concept van november 2024, definitieve versie van oktober 2026) keurt kwantumkwetsbare publieke-sleutelmethoden zoals RSA en elliptische-curvecryptografie na 2030 af en verbiedt ze na 2035 in NIST-standaarden. Klanten, auditors en aanbestedingen vragen naar die data lang voordat er een kwantumcomputer bestaat. Voor gegevens die tien jaar of langer geheim moeten blijven, laat de ongelijkheid van Mosca zien waarom wachten op die datum de verkeerde strategie is.

Post-kwantumcryptografie (PQC) is publieke-sleutelcryptografie die veilig moet blijven tegen een grote kwantumcomputer en toch op gewone computers draait. NIST publiceerde de eerste standaarden op 13 augustus 2024: FIPS 203 (ML-KEM) voor het vaststellen van sleutels, en FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) voor digitale handtekeningen. Ze steunen op wiskundige problemen, zoals het vinden van korte vectoren in hoogdimensionale roosters, of op de veiligheid van hashfuncties, waarvoor geen efficiënte kwantumaanval bekend is. Migreren betekent software, bibliotheken, protocollen en certificaten bijwerken, geen kwantumhardware kopen. Het is ook niet hetzelfde als kwantumsleuteldistributie, waarvoor speciale optische apparatuur nodig is. De prijs van de overstap is omvang: post-kwantumsleutels en -handtekeningen zijn groter dan de huidige, handshakes groeien en sommige oudere apparatuur heeft daar moeite mee. De meeste organisaties komen PQC eerst tegen via updates van browsers, besturingssystemen en VPN-software, en moeten daarna hun eigen servers en applicaties aanpakken.

Het zijn de eerste drie post-kwantumstandaarden van het Amerikaanse National Institute of Standards and Technology (NIST), gepubliceerd op 13 augustus 2024 na een open, internationale competitie die in 2016 begon. FIPS 203 beschrijft ML-KEM, een sleutelinkapselingsmechanisme waarmee twee partijen een gedeelde geheime sleutel afspreken; het neemt de rol over die RSA en Diffie-Hellman op elliptische curven nu bij sleuteluitwisseling spelen. FIPS 204 beschrijft ML-DSA, het belangrijkste schema voor digitale handtekeningen. FIPS 205 beschrijft SLH-DSA, een trager handtekeningschema met grotere handtekeningen dat alleen op hashfuncties steunt en als behoudend alternatief dient. Hoewel het Amerikaanse federale standaarden zijn, gelden ze wereldwijd als referentie: Europese instanties zoals het Duitse BSI en het Franse ANSSI bevelen onder meer deze algoritmen aan, meestal gecombineerd met een klassiek algoritme. Voor u zijn het de namen om naar te zoeken in leveranciersdocumentatie, productroadmaps en antwoorden op aanbestedingen.

ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism, FIPS 203) is de post-kwantummethode om over een open netwerk een geheime sleutel af te spreken, en de methode die u als eerste tegenkomt. Ze komt voort uit de inzending CRYSTALS-Kyber. De ene kant publiceert een publieke sleutel; de andere gebruikt die om een vers willekeurig geheim in te pakken dat alleen de houder van de privésleutel kan uitpakken. Dat geheim dient daarna als sleutel voor snelle symmetrische versleuteling zoals AES. Er zijn drie groottes, ML-KEM-512, ML-KEM-768 en ML-KEM-1024, waarbij 768 de gangbare keuze is. Het is snel, vaak vergelijkbaar met elliptische curven, maar de publieke sleutel en het cijfertekst zijn elk ongeveer een kilobyte, tegen 32 bytes bij X25519. Die omvang is de reden dat sommige oude firewalls en middleboxes moeite hebben met post-kwantumhandshakes. In TLS verschijnt ML-KEM meestal gecombineerd met X25519 als de hybride groep X25519MLKEM768, die de meeste browsers al aanbieden.

Het zijn de twee post-kwantumstandaarden voor handtekeningen: ML-DSA (FIPS 204, uit CRYSTALS-Dilithium) en SLH-DSA (FIPS 205, uit SPHINCS+). Een digitale handtekening bewijst wie gegevens heeft gemaakt en dat niemand ze heeft veranderd; ze beschermt certificaten, software-updates, firmware, documenten en code. ML-DSA is de keuze voor algemeen gebruik: snel, met handtekeningen van een paar kilobyte in plaats van de 64 bytes van een gewone ECDSA-handtekening. SLH-DSA steunt alleen op de veiligheid van hashfuncties en is daardoor zeer behoudend, ten koste van grotere handtekeningen en trager ondertekenen; het past bij langlevende vertrouwensankers en het ondertekenen van firmware. Voor harvest now, decrypt later tellen handtekeningen minder, omdat een vervalste handtekening een aanvaller pas helpt als er een kwantumcomputer bestaat. Daarom stappen de meeste organisaties eerst over op nieuwe sleuteluitwisseling en pas later op nieuwe handtekeningen. Het ecosysteem van certificaten met post-kwantumhandtekeningen wordt nog opgebouwd; vraag uw leveranciers naar hun plannen in plaats van nu al post-kwantumcertificaten te verwachten.

Het zijn de volgende post-kwantumalgoritmen op het traject van NIST, nog geen definitieve standaarden. HQC (Hamming Quasi-Cyclic) is een sleutelinkapselingsmethode die NIST in maart 2025 koos als reserve voor ML-KEM. Ze steunt op foutcorrigerende codes in plaats van roosters, zodat er een algoritme uit een andere wiskundige familie klaarstaat als ooit een zwakte in roosterproblemen wordt gevonden. NIST verwachtte toen een conceptstandaard ongeveer een jaar later en een definitieve standaard in 2027. FN-DSA, gebaseerd op de inzending FALCON, is een handtekeningschema dat als FIPS 206 gepland staat; de handtekeningen zijn veel kleiner dan die van ML-DSA, wat helpt waar ruimte schaars is, maar het is lastiger veilig te implementeren. De les voor uw planning: zet niet voor altijd in op één algoritme. Kies producten die algoritmen via configuratie of updates kunnen wisselen. Dat vermogen, crypto-agility genoemd, beschermt u als een standaard verandert of een implementatiefout opduikt.

Hybride sleuteluitwisseling combineert in dezelfde TLS-handshake een klassieke methode (X25519, een uitwisseling op elliptische curven) met een post-kwantummethode (ML-KEM-768) en leidt de sessiesleutel uit beide af. De sleutel blijft geheim zolang een van de twee standhoudt: zou er een fout worden gevonden in het nog jonge ML-KEM, dan houdt X25519 de aanvallers van vandaag nog steeds buiten; tegen een toekomstige kwantumcomputer doet ML-KEM dat. Daarom geven de meeste richtlijnen, ook die van Europese instanties zoals BSI en ANSSI, tijdens de overgang de voorkeur aan hybride. X25519MLKEM768 is de naam van deze combinatie in TLS. Grote browsers bieden haar al standaard aan, en grote contentdeliverynetwerken en veel clouddiensten accepteren haar, dus een deel van uw webverkeer gebruikt haar mogelijk al zonder dat u iets hebt veranderd. Een verbinding die haar gebruikt, maakt opgenomen verkeer later veel moeilijker te ontsleutelen. Plannen moet u voor verbindingen die nog alleen klassieke sleuteluitwisseling gebruiken: oudere servers, appliances, VPN's en interne applicaties.

Voor bijna elk bedrijf niet. Kwantumsleuteldistributie (QKD) gebruikt de natuurkunde van losse fotonen, verstuurd over eigen glasvezel of door de vrije ruimte, om een sleutel af te spreken op een manier die afluisteren zichtbaar maakt. Ze vraagt speciale hardware aan beide kanten, werkt alleen over beperkte afstanden tenzij er vertrouwde tussenstations worden toegevoegd, en authenticeert de twee partijen niet uit zichzelf, dus er blijven klassieke of post-kwantumhandtekeningen nodig. Post-kwantumcryptografie is daarentegen software die draait op de netwerken en apparaten die u al hebt. Europese veiligheidsinstanties, waaronder het Duitse BSI, het Franse ANSSI en het Nederlandse NLNCSA, hebben een gezamenlijk standpunt gepubliceerd dat post-kwantumcryptografie als hoofdroute ziet en QKD hooguit geschikt acht voor nichetoepassingen. De Europese kwantumcommunicatie-infrastructuur EuroQCI dient specifieke overheidsbehoeften en staat los van wat een middelgroot bedrijf zou moeten kopen. Biedt een leverancier QKD aan als antwoord op harvest now, decrypt later voor een gewoon kantoornetwerk, vraag dan wat het doet dat een hybride TLS- of VPN-configuratie niet doet.

Het betekent dat een aanvaller nu versleuteld verkeer opneemt en bewaart, om het te ontsleutelen zodra er een krachtige kwantumcomputer is. Opnemen is goedkoop en voor u onzichtbaar: het kan gebeuren op een internetknooppunt, op een gecompromitteerde router of bij een provider, ver van uw eigen netwerk. Alleen verkeer waarvan de sleuteluitwisseling kwantumgevoelig is loopt risico, en alleen gegevens die bij het ontsleutelen nog ertoe doen. Medische dossiers, ontwerpen, broncode, langlopende contracten, juridische dossiers en persoonsgegevens die vele jaren worden bewaard zijn typische voorbeelden; het leverschema van deze week niet. Een gangbare manier om het af te wegen is de ongelijkheid van Mosca: als het aantal jaren dat de gegevens geheim moeten blijven plus het aantal jaren dat uw migratie duurt groter is dan het aantal jaren tot zo'n computer er is, moet u nu beginnen. Het praktische antwoord is eerst de sleuteluitwisseling die langlevende gegevens beschermt over te zetten op hybride post-kwantummethoden, want daar zouden de opnames van vandaag de lekken van morgen worden. Handtekeningen kunnen later volgen.

Gegevens die vandaag over een netwerk gaan en vertrouwelijk moeten blijven tot na de komst van een grote kwantumcomputer. Stel bij elke gegevensverzameling twee vragen: gaat die over een verbinding met kwantumgevoelige sleuteluitwisseling, en hoeveel jaar zou openbaarmaking nog schade doen? Typische langlevende voorbeelden zijn patiënt- en personeelsdossiers, productontwerpen en broncode, dossiers over overnames en rechtszaken, overheidscontracten, biometrische gegevens en inloggegevens die nooit worden gewijzigd. Kortlevende gegevens, zoals een eenmalige code of de prijzen van deze maand, zijn geen zorg waard. Opgeslagen gegevens zijn een andere kwestie: die worden meestal beschermd met symmetrische versleuteling zoals AES, die een kwantumcomputer niet breekt, tenzij de sleutels met RSA worden uitgewisseld of ingepakt. Leg de lijst vast met een eigenaar en een bewaartermijn per item: ze wordt de prioriteitsvolgorde van uw migratie en de basis voor de berekening volgens Mosca. Een netwerksensor kan uw gegevens niet classificeren; die lijst komt uit het bedrijf.

Zet voor elke belangrijke gegevensverzameling of elk belangrijk systeem drie getallen naast elkaar. X is hoeveel jaar de gegevens geheim moeten blijven. Y is hoeveel jaar het u kost om dat systeem over te zetten op post-kwantumcryptografie, inclusief leveranciers, tests en begrotingscycli. Z is hoeveel jaar het nog duurt tot een kwantumcomputer de huidige publieke-sleutelcryptografie kan breken. Is X plus Y groter dan Z, dan staan gegevens die u vandaag verstuurt al bloot aan harvest now, decrypt later. Michele Mosca beschreef de ongelijkheid in 2015, in een artikel dat verscheen als IACR ePrint 2015/1075. Z is onbekend, dus doe niet alsof u het weet: probeer een voorzichtige en een ruime waarde en kijk welke systemen zelfs bij de ruime waarde falen. Voorbeeld: contracten die 10 jaar vertrouwelijk moeten blijven, op een systeem waarvan de migratie 5 jaar kost, falen bij elke Z onder de 15 jaar. Het resultaat is een prioriteitenlijst, geen voorspelling, en een redenering die een auditor of bestuur kan volgen.

De dreiging niet, maar veel van de marketing eromheen wel. De feiten staan vast: NIST publiceerde in augustus 2024 definitieve standaarden, browsers en grote cloudaanbieders gebruiken al hybride post-kwantumsleuteluitwisseling, en de EU heeft een gecoördineerde routekaart met data. Onzeker is wanneer er een capabele kwantumcomputer bestaat, en juist daarom wint plannen het van wachten: cryptografie in een heel bedrijf vervangen duurt jaren. De hype zit in producten die beloven dat u immuun wordt voor kwantumaanvallen, in aftelklokken en in druk om hardware te kopen die u niet nodig hebt. Een nuchtere houding voor de meeste middelgrote bedrijven: geen noodbudget, wel dit jaar een inventaris, post-kwantumvragen bij elke nieuwe aankoop, updates die hybride sleuteluitwisseling aanzetten waar leveranciers die bieden, en voorrang voor gegevens die lang geheim moeten blijven. Dat kost weinig en voorkomt later een overhaaste, dure migratie.

Ja, als plannings- en risico-onderwerp, niet als crisis. Het hoort om drie redenen op de bestuursagenda. Het is een lange, bedrijfsbrede verandering die jarenlang leveranciers, producten en budgetten raakt, en alleen het management kan die in volgorde zetten. Het gaat om gegevens die het bedrijf heeft beloofd vele jaren te beschermen, zoals klant-, patiënt- of ontwerpgegevens. En klanten, verzekeraars en aanbestedingen beginnen ernaar te vragen, zodat het antwoord een commerciële kwestie wordt. Onder NIS2 moeten de bestuursorganen van entiteiten die eronder vallen de maatregelen voor het beheer van cybersecurityrisico's goedkeuren en op de uitvoering toezien, en een beleid voor cryptografie is daar een van. Wat het bestuur nodig heeft is kort: een inventaris van waar kwantumgevoelige cryptografie wordt gebruikt, een prioriteitenlijst op basis van hoe lang gegevens geheim moeten blijven, een benoemde eigenaar en een tijdlijn die aansluit op de Europese mijlpalen van 2030 en 2035. Een technische uitleg over qubits heeft het niet nodig.

Aanbeveling (EU) 2024/1101 van de Commissie van 11 april 2024 vroeg de lidstaten de overgang te coördineren, en de NIS-samenwerkingsgroep publiceerde op 23 juni 2025 een gecoördineerde routekaart: de overgang starten, toepassingen met een hoog risico uiterlijk eind 2030 beschermen en zo veel mogelijk systemen vóór 2035 omzetten. Het is een routekaart voor de lidstaten, geen wet die uw bedrijf rechtstreeks bindt; nationale autoriteiten kunnen er richtsnoeren of regels van maken. De eerste praktische stap is weten waar u cryptografie gebruikt.

Dat de overgang overal is begonnen. De gecoördineerde routekaart die de NIS-samenwerkingsgroep op 23 juni 2025 publiceerde, als vervolg op Aanbeveling (EU) 2024/1101 van de Commissie, kent drie stappen: eerste stappen tegen eind 2026, toepassingen met een hoog risico omgezet tegen eind 2030, en zoveel mogelijk systemen tegen 2035. De eerste stap gaat over voorbereiding: lidstaten stellen nationale overgangsplannen op, organisaties beginnen te inventariseren waar ze kwantumgevoelige cryptografie gebruiken, en het risico van elk gebruik wordt beoordeeld, zodat toepassingen met een hoog risico vroeg kunnen worden getest. De routekaart richt zich tot de lidstaten en hun publieke en vitale sectoren, niet rechtstreeks tot uw bedrijf, en nationale instanties vertalen haar naar eigen richtlijnen. De logica geldt toch voor elke organisatie: weet tegen eind 2026 waar uw cryptografie zit, wie eigenaar is van elk systeem en welke als eerste over moeten. Volg wat uw nationale cybersecurityautoriteit publiceert.

Niet bij naam, maar beide wijzen die kant op. NIS2, Richtlijn (EU) 2022/2555, verlangt van entiteiten die eronder vallen beleid en procedures voor het gebruik van cryptografie en, waar passend, versleuteling, als onderdeel van de maatregelen voor het beheer van cybersecurityrisico's in artikel 21. De Cyberweerbaarheidsverordening (CRA), Verordening (EU) 2024/2847, verlangt dat producten met digitale elementen de vertrouwelijkheid van gegevens beschermen met mechanismen volgens de stand van de techniek, als deel van de essentiële eisen in bijlage I. Geen van beide noemt een algoritme. De stand van de techniek schuift echter op: zodra NIST-standaarden, richtlijnen van Europese instanties en de EU-routekaart hybride post-kwantumsleuteluitwisseling als normaal behandelen, wordt een product of beleid dat het negeert moeilijker te verdedigen bij een audit of aanbesteding. De EU-routekaart presenteert de post-kwantumovergang zelf als een no-regretstap die NIS2 en de CRA ondersteunt. Controleer de nationale omzetting van NIS2 en de richtlijnen van uw nationale autoriteit, want de details kunnen per land verschillen.

Vooral goedkope, gewone dingen. Eén: houd browsers, besturingssystemen, VPN-clients, servers en bibliotheken bijgewerkt; veel van de post-kwantumovergang komt via updates, en moderne browsers gebruiken al standaard hybride sleuteluitwisseling. Twee: maak een lijst van waar u cryptografie gebruikt die u zelf beheert: uw website en de hosting daarvan, toegang op afstand, e-mail, bestandsuitwisseling met klanten en elk apparaat met eigen certificaten. Drie: markeer de gegevens die vele jaren geheim moeten blijven. Vier: stel bij elke nieuwe aankoop of contractverlenging één vraag: ondersteunt het product hybride post-kwantumsleuteluitwisseling, en zo niet, wanneer wel? Vijf: kies bij voorkeur leveranciers die algoritmen via updates kunnen wisselen. Speciale kwantumproducten kopen staat niet op de lijst. NetSenX kan helpen bij stap twee: NQCI, in preview, is zichtbaar op elk abonnement en actief vanaf het Pro-abonnement, en heeft de packet-capturesensor nodig, standaard uit, ingeschakeld voor een Linux-agent of als SPAN/TAP-sensor; de basismodus op macOS ziet geen handshakes.

Voor de meeste organisaties jaren, en daarom is vroeg beginnen belangrijker dan de precieze deadline. De overstap raakt elke plek waar sleutels worden afgesproken of gegevens worden ondertekend: websites, VPN's, SSH, e-mail, interne applicaties, certificaten, hardware security modules (HSM), smartcards, machines en hun firmware. Veel hangt ervan af wanneer leveranciers post-kwantumondersteuning leveren, en van uw eigen vervangingscycli: een firewall die u dit jaar koopt, draait misschien het volgende decennium nog, een industriële besturing veel langer. Eerdere overgangen geven een idee van de schaal: het uitfaseren van SHA-1 en de oude TLS-versies kostte de sector vele jaren, van de eerste waarschuwingen tot het definitieve uitschakelen. Een klein bedrijf dat vooral clouddiensten en actuele software gebruikt, komt met gewone updates binnen een normale vervangingscyclus al een heel eind. Een bedrijf met eigen software, langlevende apparaten of een eigen certificaatautoriteit moet rekenen op een programma van meerdere jaren. De Y in de ongelijkheid van Mosca is uw eigen schatting, dus leg die vast met de redenen.

U beschermt het verkeer van vandaag tegen ontsleuteling morgen, en u krijgt een aantal voordelen die helemaal niet van kwantumcomputers afhangen. Gegevens met een lange houdbaarheid staan niet langer bloot aan harvest now, decrypt later zodra hun sleuteluitwisseling naar een hybride methode gaat. De inventaris die u onderweg opbouwt, vindt oude TLS-versies, zwakke cijfersuites, verlopen of vergeten certificaten en onbeheerde servers, en dat zijn risico's van nu. Crypto-agility, het vermogen om algoritmen via configuratie te wisselen, maakt de volgende gedwongen overstap goedkoper, wat die ook veroorzaakt. Commercieel beantwoordt u vragen uit aanbestedingen en van klanten met feiten en data in plaats van een leeg vak, en u bent klaar wanneer nationale instanties de EU-routekaart naar richtlijnen vertalen. Binnen normale vervangingscycli kost de migratie veel minder dan een migratie onder tijdsdruk. Wat u niet wint, is onkwetsbaarheid: post-kwantumcryptografie beschermt sleuteluitwisseling en handtekeningen, geen gestolen wachtwoorden, phishing of ongepatchte systemen.

Vooral compatibiliteit en prestaties, zelden de wiskunde. Post-kwantumsleutels zijn groter, dus een TLS-ClientHello met X25519MLKEM768 past niet meer in één netwerkpakket; sommige oudere firewalls, loadbalancers en inbraakpreventiesystemen gaan daar verkeerd mee om en laten de verbinding vallen of resetten haar. Hardware security modules, smartcards en embedded apparaten missen mogelijk het geheugen of de firmware voor de nieuwe algoritmen. Handtekeningen van enkele kilobytes maken certificaatketens groter en vertragen beperkte verbindingen. Jonge implementaties kunnen fouten bevatten, een reden te meer voor hybride methoden en goed onderhouden bibliotheken. Onderscheppende proxy's die TLS ontsleutelen, ondersteunen de nieuwe groepen misschien niet en duwen verbindingen stilletjes terug naar klassieke sleuteluitwisseling. Plan het in: test met echt verkeer in een testsegment, houd tijdens de overgang de klassieke terugval aan, controleer of middleboxes zijn bijgewerkt en meet achteraf welke verbindingen echt hybride sleuteluitwisseling gebruiken. Zicht op de handshakes in het netwerk toont terugvallen die configuratiebestanden niet tonen.

Crypto-agility is het vermogen om de cryptografische algoritmen van een systeem te wisselen zonder het systeem te herschrijven of te vervangen. In de praktijk betekent het dat algoritmen via configuratie worden gekozen en niet vastliggen in de code; dat software onderhouden bibliotheken gebruikt die nieuwe algoritmen via updates krijgen; dat certificaten en sleutels centraal worden beheerd, met bekende eigenaren en vervaldata; en dat u weet waar elk algoritme wordt gebruikt. Het telt nu omdat de post-kwantumovergang niet de laatste zal zijn: HQC en FN-DSA komen er nog aan, parameters kunnen worden herzien en in een jonge implementatie kan een fout opduiken. Een organisatie die één pijnlijke, handmatige migratie doormaakt, krijgt de volgende keer dezelfde pijn; een organisatie die agility opbouwt, maakt van de volgende wijziging een configuratierelease. Vraag ernaar bij elke aankoop: kan het product zijn algoritmen voor sleuteluitwisseling en handtekeningen via een update of instelling wisselen, en zegt de leverancier dat toe? Een product dat het niet kan, is een migratieprobleem dat u vandaag inkoopt.

Steeds vaker wel, maar u moet elk product controleren. OpenSSH maakte in versie 9.0 in 2022 een hybride post-kwantumsleuteluitwisseling standaard, en versie 10.0 uit 2025 maakte de op ML-KEM gebaseerde hybride mlkem768x25519-sha256 de standaard; draaien beide kanten actuele versies, dan gebruiken uw SSH-sessies die waarschijnlijk al. Bij VPN's is het beeld wisselend. De IPsec-sleuteluitwisseling IKEv2 kreeg met RFC 9370 een standaardmanier om extra sleuteluitwisselingen toe te voegen, zoals ML-KEM; sommige leveranciers en opensourceprojecten ondersteunen dat, andere hebben het alleen aangekondigd. WireGuard kan een vooraf gedeelde symmetrische sleutel toevoegen als post-kwantumbeschermingslaag, maar de handshake zelf is klassiek. Controleer de release notes van de firmware van uw firewall of VPN-gateway en de clientversies die echt in gebruik zijn, en bedenk dat een oude server aan één kant de hele verbinding klassiek houdt. VPN's voor toegang op afstand en tussen locaties vervoeren veel langlevende gegevens en verdienen daarom een hoge plek in uw migratievolgorde.

Begin met een inventaris: certificaten, VPN's, TLS op uw servers, SSH, codeondertekening en de bibliotheken die uw applicaties gebruiken. Netwerkverkeer laat een groot deel zien, omdat de sleuteluitwisseling van elke TLS-verbinding zonder ontsleuteling zichtbaar is. NQCI, de crypto-inventaris van NetSenX (in preview), is zichtbaar op elk abonnement en actief vanaf het Pro-abonnement: het laat zien welke verbindingen kwantumgevoelige sleuteluitwisseling gebruiken en welke hybride post-kwantumsleuteluitwisseling. Daarvoor is de packet-capturesensor nodig, die standaard uit staat: ingeschakeld voor een Linux-agent, of een sensor op een SPAN- of TAP-poort. De basismodus van de agent, zoals op macOS, ziet geen TLS-handshakes. Het geeft zicht; de migratie zelf blijft bij u en uw leveranciers.

Een groot deel ervan wel, maar niet alles. Elke TLS-verbinding maakt, voordat de versleuteling begint, bekend welke groepen voor sleuteluitwisseling de client aanbiedt en welke de server kiest, plus de TLS-versie; SSH werkt vergelijkbaar. Een sensor die die handshakes ziet, kan per server en per client opsommen waar nog kwantumgevoelige sleuteluitwisseling wordt gebruikt en waar al hybride post-kwantumsleuteluitwisseling, voor elk apparaat in het segment, ook printers, appliances en machines waarop geen agent kan draaien. Wat ze niet ziet: cryptografie binnen applicaties en databases, sleutels en certificaten die op schijf staan, codeondertekening, versleutelde back-ups, segmenten die niet worden gemonitord en verbindingen waarvan de handshake nooit langs de sensor komt. NQCI, de crypto-inventaris van NetSenX (in preview), is zichtbaar op elk abonnement en actief vanaf het Pro-abonnement; het heeft de packet-capturesensor nodig, standaard uit, ingeschakeld voor een Linux-agent of een sensor op een SPAN- of TAP-poort. De basismodus op macOS ziet geen handshakes. Combineer het met een certificaatinventaris en vragenlijsten voor leveranciers.

Kijk naar de groep voor sleuteluitwisseling die in elke TLS-handshake wordt gekozen: X25519MLKEM768 betekent hybride post-kwantum; X25519, secp256r1 of een RSA-sleuteluitwisseling betekenen alleen klassiek. Eén server kunt u van buitenaf testen: OpenSSL 3.5 en later, en tools die daarop bouwen zoals curl, kunnen de hybride groep aanbieden en tonen wat de server kiest, en sommige online TLS-checkers melden het. Ook de ontwikkelaarstools van de browser tonen de onderhandelde groep voor een site die u bezoekt. Voor het hele netwerk is een eenmalige test niet genoeg, want het gaat om wat er elke dag echt gebeurt tussen uw clients en servers: oude clients, appliances en interne applicaties vallen vaak terug op klassieke groepen. NQCI, in preview, toont dit per verbinding in gemonitord verkeer. Het is zichtbaar op elk abonnement en actief vanaf het Pro-abonnement, met de packet-capturesensor ingeschakeld voor een Linux-agent of als SPAN- of TAP-sensor, want de basismodus op macOS ziet geen handshakes. Het resultaat laat zien waar updates de migratie al hebben gedaan en waar die nog moet gebeuren.

Leg voor elke plek waar cryptografie iets beschermt vast wat er wordt beschermd, hoe, en wie het kan wijzigen. Praktische velden: het systeem of de dienst en de eigenaar; wat het beschermt, met het soort gegevens en hoeveel jaar ze geheim moeten blijven; het protocol, zoals TLS, SSH, IPsec, S/MIME, codeondertekening of schijf- en databaseversleuteling; de algoritmen voor sleuteluitwisseling, handtekeningen en versleuteling, met sleutellengtes; certificaten, hun uitgever en vervaldatum; de versie van bibliotheek of product en of de leverancier een post-kwantumplan heeft; en of het algoritme via configuratie te wijzigen is. Voeg een prioriteit toe op basis van de ongelijkheid van Mosca. De bronnen verschillen per laag: netwerkobservatie voor wat over de lijn gaat, certificaatbeheer en scanners voor certificaten, software-compositieanalyse en vragenlijsten voor leveranciers voor wat in applicaties zit. Een inventaris met alleen certificaten mist sleuteluitwisseling, en een die alleen uit het netwerk komt mist opgeslagen gegevens. Houd hem actueel, want elke update kan het antwoord veranderen, en dateer elk item: auditors en aanbestedingen vragen wanneer hij voor het laatst is gecontroleerd.

Nee, en geen enkel product voor netwerkmonitoring kan dat. Bescherming tegen een toekomstige kwantumcomputer komt van het vervangen van de cryptografie in uw eigen systemen en in die van uw leveranciers: eerst hybride sleuteluitwisseling, daarna post-kwantumhandtekeningen. NetSenX is geen versleutelingsproduct en verandert, upgradet of migreert niets. Wat het u geeft is zicht, en daar begint elke migratie. NQCI, de crypto-inventaris van NetSenX, is in preview: zichtbaar op elk abonnement en actief vanaf het Pro-abonnement. Het toont welke verbindingen in gemonitord verkeer nog kwantumgevoelige sleuteluitwisseling gebruiken en welke al hybride post-kwantumsleuteluitwisseling, zodat u ziet waar updates het werk al hebben gedaan en waar niet, en later terugvallen opmerkt. Het heeft de packet-capturesensor nodig, die standaard uit staat: ingeschakeld voor een Linux-agent, of een sensor op een SPAN- of TAP-poort; de basismodus op macOS ziet geen handshakes. Cryptografie binnen applicaties, op schijven of in segmenten die geen sensor ziet, ziet het niet.

Met feiten over uw plan, niet met slogans. Beoordelaars zoeken meestal vier dingen: dat u weet waar u kwantumgevoelige cryptografie gebruikt, dat u prioriteiten hebt gesteld, dat u een tijdlijn hebt en dat iemand eigenaar is. Een sterk antwoord noemt de inventaris en de datum ervan; de manier van prioriteren, bijvoorbeeld de ongelijkheid van Mosca toegepast op bewaartermijnen; de stappen die al zijn gezet, zoals hybride sleuteluitwisseling op publieke diensten en gecontroleerde VPN- en SSH-versies; de afhankelijkheden van leveranciers met hun opgegeven plannen; en mijlpalen die aansluiten op de gecoördineerde EU-routekaart: eerste stappen tegen eind 2026 en toepassingen met een hoog risico tegen eind 2030. Noem de NIST-standaarden FIPS 203, 204 en 205 bij naam. Beweer niet dat uw dienst immuun is voor kwantumaanvallen; een deskundige beoordelaar trekt daar punten voor af. Komt uw inventaris deels uit netwerkobservatie, zeg dat dan en zeg ook wat hij niet dekt. Een eerlijk gedeeltelijk antwoord met data scoort beter dan een zelfverzekerd leeg vak.

Stel vragen met controleerbare antwoorden. Welke post-kwantum- of hybride algoritmen ondersteunt het product vandaag, bij naam, zoals X25519MLKEM768 voor TLS of ML-DSA voor handtekeningen, en vanaf welke versie? Zo nog geen: in welke release en wanneer? Zijn de algoritmen te wijzigen via configuratie of update, zonder hardware te vervangen? Welke cryptografische bibliotheek gebruikt het product en wie onderhoudt die? Heeft de hardware, zoals een firewall, een hardware security module of een besturing, ruimte voor grotere sleutels, of moet ze worden vervangen? Hoe ondertekent de leverancier zijn eigen updates zodra de handtekeningalgoritmen veranderen? Blijft het product tijdens de overgang werken met clients die alleen klassieke algoritmen ondersteunen? Vraag de antwoorden schriftelijk, met data. Wees voorzichtig met antwoorden die immuniteit tegen kwantumaanvallen beloven of alleen over symmetrische versleuteling gaan: die ontwijken de echte vraag. Een leverancier die niet kan antwoorden, is een afhankelijkheid om in uw planning mee te nemen, en zijn antwoord hoort in uw inventaris.