Grover's algoritme en AES-256: Wat MAXDEPTH onthult over de echte kwantumdreiging

Kort antwoord: Grovers algoritme biedt slechts een kwadratische snelheidsverbetering ten opzichte van AES, en als rekening wordt gehouden met MAXDEPTH-beperkingen, overhead voor foutcorrectie en parallelisatielimieten, vereist het kraken van AES-128 ruwweg 2^106⁶ tot 2^130 kwantumgates, veel meer dan een realistische kwantumaanval vereist, en niet de vaak genoemde 2^64. Dit is belangrijk omdat Shors algoritme daarentegen naar verwachting RSA en ECC volledig zal kraken, waardoor de migratie naar publieke-sleutelinfrastructuur de meest urgente prioriteit is, en niet symmetrische encryptie. De aanbevolen actie is om prioriteit te geven aan de migratie naar ML-KEM en ML-DSA voor publieke-sleutelsystemen en AES-256-upgrades te beschouwen als goedkoop onderhoud in plaats van de primaire kwantumverdediging.

Key Takeaways

• De MAXDEPTH-parameter van NIST beperkt het aantal realistische opeenvolgende kwantumpoortbewerkingen, waardoor de werkelijke kosten van een Grover-aanval op AES-128 uitkomen op ongeveer 2^106 tot 2^130 poorten, en niet op de vaak genoemde 2^64.
• Grovers algoritme profiteert nauwelijks van parallelisatie, in tegenstelling tot klassieke brute-force-aanvallen, die vrijwel lineair schalen met extra hardware.
• Het algoritme van Shor is fundamenteel anders: het zal naar verwachting RSA, ECDH en ECDSA volledig onbruikbaar maken, en ze niet alleen verzwakken. Daarom zijn de bindende deadlines van NIST voor 2030 en 2035 voor het uitfaseren van publieke-sleutelalgoritmen gericht op AES, en niet op AES.
• Volgens de eigen FAQ van NIST zal Grover waarschijnlijk "weinig tot geen voordeel" bieden ten opzichte van AES, en zal AES-128 naar verwachting nog tientallen jaren veilig blijven.
• AES-256-upgrades zijn verstandig en goedkoop onderhoud, maar beveiligingsteams die hier prioriteit aan geven en de ML-KEM/ML-DSA-migratie uitstellen, lossen eerst het kleinere probleem op.

Het bekende script

Discussies over kwantumcomputing volgen doorgaans een bekend patroon. Het algoritme van Shor vormt een bedreiging voor RSA en elliptische-curve-cryptografie (ECC). Het algoritme van Grover vormt een bedreiging voor symmetrische encryptie . Daardoor verliest AES-128 de helft van zijn beveiliging en moet iedereen onmiddellijk overstappen op AES -256.

Dat verhaal is simpel, wordt veelvuldig herhaald en klopt slechts gedeeltelijk.

De wiskunde achter Grovers algoritme is geldig en onomstreden. Het biedt inderdaad een theoretische kwadratische snelheidsverbetering ten opzichte van brute-force sleutelzoekacties, en geen enkele serieuze onderzoeker betwist dit. Wat wel veranderd is, is ons begrip van wat het daadwerkelijk zou vereisen om Grover op een zinvolle schaal tegen AES te gebruiken. Wanneer de technische realiteit in beeld komt, verandert het dreigingsmodel drastisch.

De vraag is niet langer of Grover een zoekruimte van ^2¹²⁸ reduceert tot ongeveer ^2⁶⁴ bewerkingen. De vraag is of een realistisch kwantumsysteem die bewerkingen tegen de vereiste kosten en binnen een praktische tijdsspanne zou kunnen uitvoeren. Dat onderscheid vormt de kern van het debat in 2026.

In deze blog bekijken we waarom Grover niet de dreiging vormt die het lijkt te zijn, hoe het zich verhoudt tot het algoritme van Shor, waar AES-256 nog steeds zijn waarde bewijst en wat beveiligingsteams daadwerkelijk prioriteit zouden moeten geven.

De misvatting over Grover en waarom MAXDEPTH alles verandert.

Dit is het punt waar de meeste berichtgeving de mist in gaat, en als je het goed aanpakt, verandert dat je kijk op de urgentie en het risico.

De gangbare stelling is: "Het algoritme van Grover halveert de bitbeveiliging van symmetrische cryptografie. AES-128 daalt naar 64-bits beveiliging. AES-256 daalt naar 128-bits. Dus verdubbel gewoon je sleutelgroottes." Dit is technisch gezien waar in één engere zin, maar praktisch misleidend in vrijwel alle opzichten die ertoe doen.

Grovers algoritme kan worden geparallelliseerd, maar alleen op de meest eenvoudige manier: door de zoekruimte gelijkmatig te verdelen over onafhankelijke kwantumcomputers, die elk hun eigen zoekopdracht uitvoeren. Er bestaat geen slimmere aanpak die het totale aantal orakelvragen vermindert. De totale kosten van de zoekopdracht blijven hetzelfde, ongeacht hoeveel machines je gebruikt. Dit betekent dat parallelisatie geen voordeel biedt dat verder gaat dan wat je zou verwachten van het simpelweg verdelen van het werk. Dit maakt de beperking van de circuitdiepte praktisch relevant: je kunt niet meer hardware gebruiken om het algoritme sneller uit te voeren, zoals bij klassieke berekeningen wel mogelijk is.

NIST legt dit vast via een parameter genaamd MAXDEPTH, die is gedefinieerd als het realistische maximum aantal opeenvolgende kwantumpoortbewerkingen dat een kwantumcomputer in één berekening kan uitvoeren voordat decoherentie, fouten of praktische beperkingen een stop afdwingen.

Mogelijke waarden variëren van 2 ⁴⁰ , ruwweg wat toekomstige kwantumarchitecturen serieel in een jaar zouden kunnen uitvoeren op basis van de hardwarearchitecturen die werden bestudeerd toen NIST de evaluatiecriteria opstelde, via 2 ⁶⁴ tot een theoretisch maximum van 2 ⁹⁶.

Met deze beperking vereist een aanval op AES-128 via Grover ^2¹⁷⁰ / MAXDEPTH kwantumpoorten. Bij MAXDEPTH 2⁴⁰ ^is dat ^2¹³⁰ . Bij MAXDEPTH 2⁶⁴ ^is dat ^2¹⁰⁶ . Geen van beide getallen is ^2⁶⁴ . Beide liggen ver buiten het bereik van een realistische kwantumaanval.

Voor AES-256 is de schatting 2 ²⁹⁸ / MAXDEPTH. Bij MAXDEPTH 2 ⁶⁴ is dat 2 ²³⁴ , een getal dat niet significant bedreigd wordt, zelfs als de kwantumhardware vele ordes van grootte verder verbetert dan de huidige voorspellingen.

Dus wanneer NIST zegt dat een categorie 1-algoritme bestand moet zijn tegen aanvallen die net zo kostbaar zijn als het zoeken naar sleutels met AES-128, bedoelen ze niet dat het 64-bits kwantumbeveiliging heeft. Ze bedoelen dat het iets dichter bij 106 tot 130 bits kwantumbeveiliging heeft, afhankelijk van de hardware-aannames.

De kostenmodellen voor beveiliging die in de PQC -evaluatie van NIST worden gebruikt, gaan ervan uit dat een kwantumpoort ergens tussen de ^10⁹ en 10¹² ^keer meer kost dan een klassieke poort. Dit is een modelaanname die wordt gebruikt om verschillende economische scenario's te onderzoeken, geen gemeten fysieke verhouding. Een kwantumaanval op categorie 1 die 2¹⁰⁶ ^{kwantumpoorten} vereist , waarbij elke poort een biljoen keer zoveel kost als een klassieke poort, kan nog lange tijd economisch minder haalbaar zijn dan een klassieke brute-force-aanval.

NIST houdt hier rekening mee door in kostenmodellen voor kwantumgates een hogere waarde toe te kennen dan klassieke gates bij beveiligingsevaluaties. Belangrijk is ook dat NIST voor de hoogste beveiligingscategorieën aanbeveelt ervan uit te gaan dat dit kostenverschil uiteindelijk verdwijnt en dat toekomstige kwantumhardware net zo goedkoop in gebruik zal zijn als klassieke hardware. Categorie 5 is ontworpen om dit scenario te doorstaan.

In de FAQ van NIST zelf staat het duidelijk: "Het is zeer waarschijnlijk dat het algoritme van Grover weinig tot geen voordeel zal opleveren bij het aanvallen van AES, en AES-128 zal nog decennia lang veilig blijven." Huidige applicaties kunnen AES blijven gebruiken met 128-, 192- of 256-bits sleutels.

Zodra de werkelijke kosten van een Grover-aanval duidelijk worden, wordt het verschil met Shor niet langer te negeren, en dat verschil bepaalt waar de migratie-inspanningen daadwerkelijk op gericht moeten zijn.

Drie realiteitschecks op Grovers algoritme

De MAXDEPTH-afbeelding biedt een theoretisch kader. Drie technische beperkingen maken de praktische situatie nog erger voor elke aanvaller die Grover op grote schaal wil uitvoeren.

1. Parallelisatie biedt nauwelijks voordelen

Klassieke brute-force-aanvallen schalen vrijwel perfect met extra hardware. Verdubbel het aantal machines en je halveert ruwweg de tijd. Grover werkt niet zo. Hoe meer je Grover paralleliseert over kwantumprocessoren, hoe minder efficiënt het wordt. De totale rekeninspanning neemt niet af naarmate de parallelisatie toeneemt.

Zelfs met de meest geoptimaliseerde AES-128 kwantumcircuitontwerpen die vandaag de dag beschikbaar zijn, en ervan uitgaande dat de kwantumhardware in zeer optimistische scenario's tien jaar lang continu draait, zou het kraken van AES-128 nog steeds ongeveer 2⁴⁷ ^parallelle kwantumcircuits vereisen die tegelijkertijd draaien, ruwweg 140 biljoen ( Valsorda , 2026, met verwijzing naar Liao en Luo, 2025). De totale kosten van die aanval bedragen ongeveer 2⁷⁸ ^. Vijf keer meer dan het kraken van 256-bits elliptische krommen met behulp van Shors algoritme, ruwweg 4 x 10²³ ^keer duurder.

2. De overheadkosten voor foutcorrectie zijn het grootst.

Echte kwantumhardware ondervindt ruis en qubit-instabiliteit. Elke grootschalige, betrouwbare berekening vereist kwantumfoutcorrectie, wat het resourceverbruik aanzienlijk verhoogt.

Google Quantum AI-onderzoek heeft aangetoond dat kwadratische snelheidsverbeteringen geen kwantumvoordeel zullen opleveren op vroege fouttolerante apparaten, met de belangrijke kanttekening dat deze conclusie alleen geldig is als er een significante verbetering komt in de manier waarop kwantumfoutcorrectie wordt gerealiseerd. Dit is geen definitieve uitspraak over wat kwantumcomputers nooit zullen kunnen. Het is een eerlijke beoordeling van de huidige stand van zaken en vormt de basis voor praktische risicobeslissingen.

Wanneer een kwantumalgoritme slechts een kwadratische snelheidsverbetering biedt, zijn de constante overheadkosten voor foutcorrectie zo groot dat zelfs klassieke hardware het onder realistische aannames kan overtreffen, waardoor op Grover gebaseerde aanvallen op korte termijn onuitvoerbaar zijn.

3. De AES Oracle is duur.

Grover doorzoekt een sleutelruimte niet direct. Het evalueert herhaaldelijk een orakel, en voor AES-sleutelzoekacties is dat orakel een volledig omkeerbare kwantumimplementatie van AES zelf. Zelfs de meest geoptimaliseerde ontwerpen die we vandaag kennen, vereisen enkele honderden tot een paar duizend logische qubits (circuitbreedte), afhankelijk van het circuitontwerp en welke kostenparameter wordt geoptimaliseerd. De beschrijving in leerboeken verbergt deze kosten achter een constante factor. In de praktijk bevat die constante de volledige complexiteit van het implementeren van AES in een kwantumcircuit en draagt ​​deze aanzienlijk bij aan de algehele onhaalbaarheid van de aanval.

Deze drie beperkingen, samen met de MAXDEPTH-analyse, transformeren wat op het eerste gezicht een zuivere theoretische versnelling lijkt in een technische uitdaging die geen enkel plausibel kwantumsysteem op korte termijn kan aangaan. Dat maakt het contrast met Shors algoritme des te opvallender.

Grover versus Shor: niet dezelfde dreiging

De meest significante fout bij de planning van kwantumbeveiliging is het beschouwen van deze twee algoritmen als gelijkwaardige risico's. Dat zijn ze niet, en het verschil heeft directe gevolgen voor waar migratiemiddelen naartoe moeten gaan.

Algoritme	Waar het op gericht is	Kwantumimpact	Migratieprioriteit
Het algoritme van Shor	RSAECDH, ECDSA	Naar verwachting zullen de onderliggende, complexe problemen volledig worden opgelost.	Hoog: begin migratie nu
Grover's algoritme	AES, symmetrische sleutelzoekactie	Kwadratische versnelling, met belangrijke praktische beperkingen.	Lager: vergroot de toetsgrootte indien praktisch.
Grover's algoritme	Hash-preimage zoeken	Kwadratische versnelling alleen	Beheersbaar bij grotere uitvoerformaten

Het algoritme van Shor zal naar verwachting de complexe wiskundige problemen die ten grondslag liggen aan RSA, ECDH en ECDSA fundamenteel oplossen. Een voldoende krachtige kwantumcomputer die het algoritme van Shor uitvoert, verzwakt deze systemen niet alleen, maar maakt ze onbruikbaar. Grover maakt AES niet onbruikbaar. Het reduceert de complexiteit van brute-force-query's van N naar ongeveer sqrt(N), terwijl het alle hierboven beschreven praktische beperkingen behoudt.

Dat onderscheid is precies de reden waarom de richtlijnen van NIST voor de migratie na het kwantumtijdperk zich richten op het vervangen van kwetsbare systemen met publieke sleutels. De definitieve post-kwantumstandaarden van NIST, gepubliceerd op 13 augustus 2024, weerspiegelen deze prioriteit direct:

• ML-KEM (FIPS 203): Sleutelinkapseling, ter vervanging van RSA en ECDH bij sleuteluitwisseling.
• ML-DSA (FIPS 204): Digitale handtekeningen, ter vervanging van ECDSA en RSA-PSS.
• SLH-DSA (FIPS 205): Back-up hash-gebaseerd handtekeningschema

In maart 2025 selecteerde NIST HQC als een op back-upcode gebaseerde KEM, die naast ML-KEM wiskundige diversiteit biedt. FN-DSA (FIPS 206), gebaseerd op FALCON, bevindt zich in de ontwerpfase en de definitieve versie wordt eind 2026 of begin 2027 verwacht. Geen van deze toevoegingen verandert het AES-beeld.

Geen van deze vervangt AES. NIST IR 8547 (eerste openbare conceptversie, november 2024) stelt de uitfasering van RSA-2048 en ECC P-256 vast voor 2030, met een volledige uitsluiting van alle kwantumkwetsbare publieke-sleutelalgoritmen tegen 2035. Deze deadlines hebben betrekking op algoritmen die worden bedreigd door Shor, niet door Grover. De urgentie bij de migratie na het kwantumtijdperk ligt bij sleutelgeneratie en digitale handtekeningen.

Dat wil echter niet zeggen dat symmetrische cryptografie geen aandacht verdient.

Waar AES-256 nog steeds zinvol is

Als het algoritme van Grover naar alle waarschijnlijkheid niet snel een reële bedreiging zal vormen, moeten organisaties AES-256 dan volledig negeren? Niet helemaal.

Het sterkste argument voor AES-256 is niet dat AES-128 gekraakt is. Het is dat het vergroten van de symmetrische sleutelgrootte vaak goedkoop is en dat de extra marge reëel is, zelfs wanneer de dreiging op korte termijn laag is. NSA CNSA 2.0 (v2.1, december 2024) schrijft AES-256 voor als beveiligingsmaatregel voor symmetrische encryptie in nationale veiligheidssystemen. Niet omdat AES-128 in de praktijk kwetsbaar is voor kwantumaanvallen, maar omdat de extra marge in die omgevingen geen noemenswaardige operationele kosten met zich meebrengt.

AES-256 is in de volgende situaties het meest geschikt:

• Langdurig gevoelige gegevens met bewaarplichten van meerdere decennia.
• Nationale veiligheidssystemen waar CNSA 2.0 AES-256 al verplicht stelt.
• Medische dossiers vallen onder uitgebreide geheimhoudingsverplichtingen.
• Kritieke infrastructuursystemen ondergaan een bredere cryptografische modernisering.
• Elke omgeving waar de overstap naar langere sleutels operationeel weinig extra kosten met zich meebrengt.

De belangrijkste beperking is deze: het vervangen van RSA en ECC door ML-KEM en ML-DSA levert een veel grotere beveiligingsverbetering op dan het upgraden van de AES-sleutelgrootte. Beveiligingsteams die prioriteit geven aan AES-256-upgrades en de post-quantummigratie van de publieke-sleutelinfrastructuur (PKI) uitstellen, lossen eerst het kleinere probleem op. Dat is een van de meest voorkomende verkeerde toewijzingen van migratiemiddelen, en een nauwkeurige analyse van de gegevens helpt om dit te voorkomen.

Voordat we de prioriteiten vaststellen, is er één eerlijke onzekerheid die we moeten benoemen.

Eén joker om rekening mee te houden

De meeste schattingen van de benodigde resources gaan ervan uit dat AES zich gedraagt ​​als een ideaal ongestructureerd zoekdoel, waarbij Grover de bekendste kwantumaanval vertegenwoordigt. AES bevat echter een algebraïsche structuur en onderzoekers blijven onderzoeken of toekomstige kwantumalgoritmen die structuur effectiever zouden kunnen benutten dan de generieke aanpak van Grover.

De huidige gegevens wijzen niet op een doorbraak in deze richting op korte termijn. Maar de mogelijkheid kan niet volledig worden uitgesloten. Deze onzekerheid werkt twee kanten op: ze verhindert dat we met zekerheid kunnen stellen dat AES een aanzienlijk betere kwantumaanval zal weerstaan, maar ze verhindert ook dat we met zekerheid kunnen stellen dat Grover het definitieve antwoord is op het gebied van kwantumsymmetrische cryptanalyse.

De verantwoorde aanpak is om beslissingen te nemen op basis van bekend bewijs in plaats van speculatie. Dat bewijs wijst consistent in één richting: symmetrische encryptie is niet waar het meest urgente kwantumrisico schuilt, en migratiemiddelen zouden daarop moeten aansluiten.

Wat beveiligingsleiders zouden moeten doen

Uit het bewijsmateriaal volgt een duidelijk kader voor het stellen van prioriteiten.

Begin met de blootstelling aan publieke sleutels : Systemen die afhankelijk zijn van RSA en ECC hebben het duidelijkste kwantumrisico en de meest bindende wettelijke deadlines. NSA CNSA 2.0 (v2.1, december 2024) vereist dat alle nieuwe aankopen van nationale veiligheidssystemen de CNSA 2.0-algoritmen ondersteunen vóór 1 januari 2027. PQC-implementaties moeten ook FIPS 140-3 gevalideerd zijn via het Cryptographic Module Validation Program (CMVP); FIPS 140-2 modulecertificaten krijgen op 21 september 2026 de status 'Historisch', waarna alleen FIPS 140-3 gevalideerde modules worden geaccepteerd voor nieuwe federale aanbestedingen.

Implementeer NIST-gestandaardiseerde post-kwantumalgoritmen: migreer naar ML-KEM ( FIPS 203 ) voor sleuteluitwisseling, ML-DSA ( FIPS 204 ) voor digitale handtekeningen en SLH-DSA ( FIPS 205 ) voor stateless hash-gebaseerde handtekeningen. Implementeer deze tijdens de overgang naast de bestaande klassieke algoritmen in een hybride configuratie, zodat de klassieke laag blijft functioneren als er een implementatieprobleem optreedt in de nieuwe PQC-code. Deze algoritmen bieden een directe oplossing voor de dreiging van het Shor-algoritme.

Upgrade de symmetrische sleutelgrootte waar de kosten laag zijn: gebruik AES-256 wanneer de operationele verstoring minimaal is en de gevoeligheid van de gegevens een extra marge rechtvaardigt. Laat deze werkzaamheden de migratie naar systemen met publieke sleutels niet vertragen.

Bouw vanaf het begin crypto-flexibiliteit in: ontwerp systemen zodanig dat cryptografische algoritmen kunnen worden vervangen zonder het platform opnieuw te hoeven ontwerpen. De huidige NIST-normen weerspiegelen de beste huidige beoordeling , maar bieden geen permanente oplossing.

Voer eerst een cryptografische inventarisatie uit : u kunt niet migreren wat u niet in kaart hebt gebracht. Elk TLS-certificaat , elke sleutel, elk algoritme, elke bibliotheek en elke ondertekeningssleutel moet worden gedocumenteerd voordat een zinvol migratieplan kan worden opgesteld.

Hoe encryptieconsultancy kan helpen

Encryption Consulting helpt organisaties het kwantumrisicobeeld te vertalen naar een praktisch, stapsgewijs migratieprogramma dat is gebaseerd op geverifieerd bewijs. Of het nu gaat om public-key infrastructuren, upgrades van symmetrische sleutels of het inbouwen van crypto-flexibiliteit in nieuwe systemen, wij bieden de expertise om van risicobeoordeling naar implementatie te gaan zonder daarbij nieuwe kwetsbaarheden te creëren, dankzij onze PQC Advisory Services.

• Cryptografische ontdekking en inventarisatie: Een volledige omgevingsscan wordt uitgevoerd om elk certificaat, elke sleutel, elk algoritme en elk protocol te identificeren op alle eindpunten, applicaties, API's en infrastructuur voordat de migratieplanning begint.
• PQC-beoordeling: Systematische evaluatie van de blootstelling aan bedreigingen van het Shor-algoritme in RSA- en ECC-afhankelijke systemen, met een geprioriteerde routekaart en risico-ernstclassificaties.
• PQC-strategie en routekaartGefaseerde migratieplanning, afgestemd op wettelijke deadlines en risicobereidheid, inclusief een ontwerp dat rekening houdt met cryptografie, zodat systemen zich kunnen aanpassen naarmate standaarden evolueren.
• Leveranciersevaluatie en proefprojecten: Selectie van bibliotheken en tools met gedocumenteerde auditgeschiedenissen, proof-of-concept-implementaties en interoperabiliteitsvalidatie vóór volledige uitrol.
• Volledige implementatie: Implementatie van ML-KEM en ML-DSA binnen uw PKI en een infrastructuur voor digitale handtekeningen, met continue monitoring waarbij het ontdekken van kwetsbaarheden na de implementatie als geplande operationele werkzaamheden wordt beschouwd.

CBOM Secure

CBOM Secure van Encryption Consulting biedt beveiligingsteams een gecentraliseerd, continu bijgewerkt overzicht van elk cryptografisch algoritme, bibliotheekversie en sleutel binnen de organisatie. Voor teams die werken met Grover-versus-Shor-prioritering, identificeert CBOM Secure precies welke systemen afhankelijk zijn van kwantumkwetsbare publieke-sleutelalgoritmen en welke symmetrische encryptie gebruiken, zodat migratie-inspanningen worden ingezet waar het daadwerkelijke risico zich bevindt.

Als uw organisatie klaar is om een ​​kwantumparaatheidsprogramma op te zetten dat gebaseerd is op bewijs in plaats van paniekzaaierij, raden we u aan contact met ons op te nemen.

Conclusie

De werkelijke kosten van een Grover-aanval op AES-128, rekening houdend met MAXDEPTH-beperkingen, overhead voor foutcorrectie en parallelisatielimieten, liggen tussen 2¹⁰⁶ ^en 2¹³⁰ ^equivalente kwantumgates, niet ^2⁶⁴ . De richtlijnen van NIST bevestigen dit: Grover zal waarschijnlijk "weinig tot geen voordeel" opleveren ten opzichte van AES, en AES-128 zou de komende decennia veilig moeten blijven.

De migratie die niet kan wachten, is niet symmetrische encryptie. Het is publieke-sleutelinfrastructuur. Het algoritme van Shor verzwakt RSA en ECC niet alleen, het maakt ze onbruikbaar. De deadlines die volgen zijn bindend: NIST IR 8547, momenteel in conceptfase, stelt voor om kwantumkwetsbare publieke-sleutelalgoritmen volledig te verbieden tegen 2035, waarbij eerdere mijlpalen al in zicht zijn. Beveiligingsteams die prioriteit geven aan AES-256-upgrades terwijl ze de PKI-migratie uitstellen, pakken hun risicobeheer in de verkeerde volgorde aan.

AES-256 is een verstandige keuze wanneer de upgrade weinig operationele kosten met zich meebrengt en de levensduur van de data de meerprijs rechtvaardigt. Maar het is onderhoud, geen transformatie. De echte transformatie is de migratie naar ML-KEM en ML-DSA, het inbouwen van cryptografische flexibiliteit in nieuwe systemen en het in kaart brengen van elke cryptografische afhankelijkheid voordat de mogelijkheid daartoe vervalt. Daar ligt de focus.

Veelgestelde Vragen / FAQ

Kan Grovers algoritme AES-256 kraken?

Nee. Grover biedt slechts een kwadratische snelheidsverbetering ten opzichte van symmetrische sleutelzoekacties. Voor AES-256 bedragen de realistische aanvalskosten ruwweg 2^234 kwantumgates bij de MAXDEPTH-aannames van NIST, een aantal dat zelfs met aanzienlijke toekomstige verbeteringen in kwantumhardware onbereikbaar blijft.

Wat is MAXDEPTH en waarom is het belangrijk voor het AES-dreigingsmodel?

MAXDEPTH is de parameter van NIST voor het realistische maximum aantal opeenvolgende kwantumpoortbewerkingen dat een kwantumcomputer in één berekening kan uitvoeren voordat decoherentie of praktische beperkingen een stop afdwingen. Deze parameter is belangrijk omdat hij een limiet stelt aan hoeveel van Grovers theoretische snelheidsverbetering daadwerkelijk kan worden gerealiseerd, waardoor de werkelijke kosten van een AES-128-aanval uitkomen op ongeveer 2^106⁶ tot 2^130 poorten in plaats van de naïeve schatting van 2^64.

Waarom wordt het algoritme van Shor als een grotere bedreiging beschouwd dan dat van Grover?

Het algoritme van Shor zal naar verwachting de complexe wiskundige problemen die ten grondslag liggen aan RSA, ECDH en ECDSA fundamenteel oplossen, waardoor ze niet slechts verzwakt, maar volledig onbruikbaar worden. Grover verkleint de brute-force zoekruimte van AES slechts van N tot ongeveer de wortel van N, en praktische beperkingen zorgen ervoor dat de werkelijke kosten veel hoger liggen dan dit vereenvoudigde cijfer doet vermoeden.

Moeten organisaties nog steeds overstappen op AES-256?

Ja, dat kan wanneer de upgrade goedkoop is en de gevoeligheid van de gegevens de extra kosten rechtvaardigt, zoals bij langdurig gevoelige gegevens, nationale veiligheidssystemen die er al gebruik van moeten maken onder CNSA 2.0, en kritieke infrastructuur die een bredere cryptografische modernisering ondergaat. Het mag echter geen prioriteit krijgen boven de migratie van de publieke-sleutelinfrastructuur naar ML-KEM en ML-DSA.

Waar moeten beveiligingsteams als eerste naar migreren: symmetrische encryptie of public-key infrastructure?

Infrastructuur voor publieke sleutels. NIST IR 8547 stelt bindende deadlines voor de uitfasering van RSA-2048 en ECC P-256 in 2030 en een volledige uitfasering in 2035. Deze deadlines zijn gebaseerd op het algoritme van Shor, niet op dat van Grover. Teams die prioriteit geven aan AES-256-upgrades en de migratie naar ML-KEM en ML-DSA uitstellen, pakken eerst het kleinere risico aan.

Zou een toekomstig kwantumalgoritme AES effectiever kunnen aanvallen dan Grover?

Het kan niet worden uitgesloten. AES bevat een algebraïsche structuur die onderzoekers blijven bestuderen voor mogelijke kwantumexploits die verder gaan dan Grovers algemene zoekmethode. De huidige gegevens wijzen niet op een doorbraak op korte termijn in deze richting, maar de mogelijkheid betekent dat Grover niet als het definitieve antwoord op kwantumsymmetrische cryptanalyse moet worden beschouwd.