RSA: Vandaag veilig, gepland voor pensionering

Gepubliceerd: februari 2026. Bijgewerkt: augustus 2026. Beoordeeld door het PQC-adviessteam van Encryption Consulting.

RSA blijft een van de meest gebruikte cryptografische algoritmen met publieke sleutels in de moderne beveiligingsinfrastructuur. Het biedt nog steeds ondersteuning voor Transport Layer Security (TLS)-certificaten, digitale handtekeningen en identiteitssystemen in zowel bedrijfs- als overheidsomgevingen. De aanhoudende aanwezigheid ervan weerspiegelt echter steeds vaker de vereisten voor achterwaartse compatibiliteit in plaats van toekomstgerichte cryptografische ontwerpkeuzes.

Vanuit het perspectief van beveiligingsarchitectuur is RSA niet langer de voorkeurskeuze in toekomstgerichte cryptografische ontwerpen. Het blijft bestaan ​​omdat het nog steeds functioneert op basis van klassieke computerprincipes en breed ondersteund wordt, niet omdat het aansluit bij evoluerende dreigingsmodellen.

Om deze overgang goed te begrijpen, is het nodig om de wiskundige grondslagen, het operationele gedrag en de beperkingen van RSA in de context van post-kwantumcryptografie (PQC) te onderzoeken.

RSA-sleutelgroottes, beveiligingsniveaus en algoritme-equivalentie

De beveiliging die een RSA-sleutel biedt, wordt niet bepaald door de naam van het algoritme, maar door de sleutelgrootte, en de relatie tussen sleutelgrootte en beveiligingssterkte is niet lineair. SP 800-57 Deel 1 Revisie 5 , Tabel 2 definieert vergelijkbare beveiligingssterktes voor verschillende algoritmefamilies. RSA valt onder de IFC-kolom (Integer Factorization Cryptography), waarbij een modulus van 2048 bits (k=2048) een beveiliging van 112 bits biedt, een modulus van 3072 bits een beveiliging van 128 bits (equivalent aan AES-128), een modulus van 7680 bits een beveiliging van 192 bits (equivalent aan AES-192) en een modulus van 15360 bits een beveiliging van 256 bits (equivalent aan AES-256).

De tabel zelf bevat een opmerking bij de kolommen IFC en ECC waarin staat dat deze schattingen van de beveiligingssterkte aanzienlijk zullen veranderen wanneer kwantumcomputing een praktische toepassing wordt.

Deze vergelijking onthult een fundamenteel efficiëntieverschil. Om 128-bits beveiliging te bereiken, vereist RSA een modulus van 3,072 bits, terwijl een elliptische-curve-sleutel hetzelfde niveau bereikt met 256 bits. Om P-384 te evenaren, vereist RSA 7,680 bits. Het verschil in grootte neemt aanzienlijk toe bij hogere beveiligingsniveaus. Daarom worden elliptische-curve-algoritmen steeds vaker verkozen boven RSA in toekomstgerichte protocolontwerpen, met name voor sleuteluitwisseling, waar gelijkwaardige beveiliging met aanzienlijk kleinere sleutelgroottes de rekenkosten verlaagt.

Deze richtlijnen voor sleutelgroottes gelden echter alleen binnen de context van klassieke computers. Volgens NIST IR 8547 (eerste openbare conceptversie, november 2024) zijn alle RSA-sleutelgroottes na 2035 niet meer toegestaan, omdat het algoritme van Shor gehele getallen in polynomiale tijd ontbindt, ongeacht de sleutellengte. Het vergroten van een RSA-sleutel van 2048 naar 7680 bits verandert niets aan de kwantumkwetsbaarheid ervan.

Beveiligingsveronderstellingen achter RSA

Elke cryptografische aanbeveling is afhankelijk van een gespecificeerd dreigingsmodel. Voor RSA is de klassieke veiligheidsveronderstelling dat geen enkele tegenstander, gebonden aan klassieke, niet-kwantumcomputatie, een grote semiprime modulus binnen een haalbare tijd kan ontbinden. Die veronderstelling geldt nog steeds voor RSA-2048: de bekendste klassieke aanval, de General Number Field Sieve, heeft een sub-exponentiële looptijd en blijft computationeel onhaalbaar bij de huidige sleutelgroottes, zelfs in combinatie met correcte padding (OAEP voor encryptie, PSS voor handtekeningen) en veilige sleutelgeneratie.

• Tegenstandermodel: beperkt tot klassieke probabilistische polynomiale berekeningen, zonder toegang tot een cryptografisch relevante kwantumcomputer.
• Het moeilijkheidsprobleem: de integerfactorisatie van een grote semiprime modulus, ook wel bekend als het RSA-probleem, is niet formeel bewezen, maar is wel stabiel gebleven gedurende decennia van cryptanalyse.
• Implementatieafhankelijkheid: beveiliging is alleen gegarandeerd met de juiste opvulling (OAEP, PSS), veilige willekeurige sleutelgeneratie en bewerkingen met constante uitvoeringstijd die bestand zijn tegen side-channel-lekken.
• Primaire standaarden: NIST SP 800-57 Deel 1 Revisie 5 definieert de relatie tussen sleutelgrootte en beveiligingssterkte; NIST IR 8547 (eerste openbare conceptversie, november 2024) definieert de voorgestelde overgangstijdlijn van RSA naar een ander systeem naarmate het dreigingsmodel verandert.
• De aanname die niet opgaat bij kwantumcomputing: Shors algoritme lost integerontbinding in polynomiale tijd op op een voldoende grote, fouttolerante kwantumcomputer, waardoor de klassieke aanname van complexiteit volledig vervalt in plaats van slechts verzwakt wordt.

Waarom RSA nog steeds werkt onder klassieke computermodellen

RSA blijft veilig in klassieke computeromgevingen omdat er geen enkel bekend efficiënt klassiek algoritme is dat grote semi-priemgetallen kan ontbinden in factoren bij cryptografisch relevante sleutelgroottes. De veiligheidsveronderstelling is specifiek gekoppeld aan de moeilijkheid van het ontbinden van gehele getallen in factoren ten opzichte van klassieke probabilistische polynomiale tijdmodellen.

De bekendste algemene klassieke aanval is de General Number Field Sieve (GNFS), die een sub-exponentiële complexiteit heeft. Hoewel GNFS asymptotisch de snelste bekende methode is, nemen de praktische kosten ervan superpolynomiaal toe met de sleutelgrootte. Hierdoor blijft 2048-bits RSA computationeel onhaalbaar met de huidige klassieke computermogelijkheden, zelfs wanneer het correct wordt geïmplementeerd met moderne padding en veilige sleutelgeneratie.

Het is ook belangrijk om te benadrukken dat de beveiliging van RSA niet alleen afhangt van de factorisatiemoeilijkheid, maar ook van een correcte implementatie. Padding-schema's zoals Optimal Asymmetric Encryption Padding (OAEP) voor encryptie en het Probabilistic Signature Scheme (PSS) voor handtekeningen zijn essentieel. Zonder deze schema's wordt RSA kwetsbaar voor structurele aanvallen of padding-orakelaanvallen, zelfs als de onderliggende sleutel wiskundig sterk is.

Belangrijk is dat RSA geen bekend verkort algoritme heeft dat de beveiliging vereenvoudigt tot iets dat makkelijker is dan integerfactorisatie in het klassieke model. De beveiliging is gebaseerd op een goed onderzochte aanname over de moeilijkheidsgraad, die al decennia stabiel is gebleven, hoewel niet formeel bewezen.

Deze stabiliteit geldt echter uitsluitend binnen de klassieke computerwetenschap. Ze is niet van toepassing op kwantumcomputermodellen.

Waar RSA nog steeds wordt gebruikt in moderne systemen

RSA is nog steeds aanwezig in verschillende kritieke infrastructuurlagen, maar de rol ervan wordt steeds meer beperkt tot compatibiliteit en het waarborgen van vertrouwen, in plaats van actieve protocolinnovatie.

In TLS-ecosystemen wordt RSA nog steeds veel gebruikt voor certificaten en de validatie van digitale handtekeningen, met name in systemen die achterwaartse compatibiliteit met oudere clients vereisen.

In PKI-systemen (Public Key Infrastructure) blijft RSA de certificeringsinstanties (CA's) beveiligen, inclusief root- en tussenliggende certificaten. Deze systemen veranderen langzaam vanwege hun afhankelijkheid van langetermijnvertrouwensankers.

RSA wordt ook gebruikt in systemen voor het ondertekenen van software en firmware, waar het de authenticiteit van besturingssysteemupdates, firmware-images en applicatiebestanden verifieert.

In Secure Shell (SSH)-omgevingen is RSA-ondersteuning nog steeds aanwezig, hoewel deze steeds vaker wordt vervangen door op ECC gebaseerde algoritmen zoals Ed25519.

Waar RSA als eerste risico's creëert

RSA brengt niet in alle contexten waarin het wordt ingezet een gelijk risico met zich mee. Het risicoprofiel hangt af van of RSA wordt gebruikt voor sleutelgeneratie of digitale handtekeningen, en van hoe lang de beschermde gegevens of ondertekende documenten actief in gebruik blijven.

Het meest risicovolle beveiligingslek is RSA dat wordt gebruikt bij sleuteluitwisseling, met name in TLS 1.2-configuraties die afhankelijk zijn van RSA-sleuteltransport. In dit model versleutelt de client een pre-master secret rechtstreeks met de openbare RSA-sleutel van de server, waarna de server deze ontsleutelt met de bijbehorende privésleutel. Dit ontwerp biedt geen forward secrecy. Als een aanvaller vandaag het versleutelde sessieverkeer onderschept en vastlegt en later toegang krijgt tot de privésleutel van de server, hetzij via een inbreuk, hetzij via een kwantumcomputer die de privésleutel herstelt met behulp van het Shor-algoritme, kan hij het vastgelegde pre-master secret ontsleutelen, de sessiesleutels afleiden en het verkeer lezen.

Deze dreiging is nu al actueel omdat tegenstanders versleutelde tekst kunnen onderscheppen en decoderen zodra kwantumtechnologie beschikbaar komt. TLS 1.3, gedefinieerd in RFC 8446 (augustus 2018), heeft dit aangepakt door de RSA-sleuteluitwisseling volledig te verwijderen. Forward secrecy via efemere sleuteluitwisseling is verplicht in TLS 1.3. TLS 1.2-implementaties die nog steeds TLS_RSA_WITH_* cipher suites gebruiken, behouden deze kwetsbaarheid en vormen het meest urgente migratiedoelwit.

RSA, gebruikt voor digitale handtekeningen bij authenticatie, kent een ander risicoprofiel. Een authenticatiegebeurtenis die geldig was op het moment dat deze plaatsvond, raakt niet achteraf in gevaar wanneer RSA uiteindelijk kan worden gekraakt. Een correct gevalideerde login of toegangstoekenning in 2025 wordt niet ongedaan gemaakt door een kwantumaanval in 2035.

NIST IR 8547 IPD weerspiegelt dit en merkt op dat authenticatiesystemen klassieke algoritmen kunnen blijven gebruiken totdat er een cryptografisch relevante kwantumcomputer bestaat, waarna ze moeten worden uitgeschakeld. De zorg verschuift van een compromittering achteraf naar vervalsing in de toekomst: een tegenstander met kwantumcomputermogelijkheden zou RSA-handtekeningen kunnen vervalsen om zich voor te doen als diensten of entiteiten, waardoor de migratietijdlijn voor authenticatiesystemen afhankelijk wordt van de gereedheid van kwantumhardware in plaats van de levensduur van de gegevens.

Codeondertekening en firmwareondertekening hebben een langere blootstellingsperiode dan authenticatie. Met RSA ondertekende firmware kan jarenlang na de ondertekening nog steeds op apparaten actief en betrouwbaar zijn. Als een aanvaller erin slaagt RSA-handtekeningen te vervalsen gedurende die periode, kan hij frauduleuze firmware of software-updates produceren die de oude verificatieprocedure doorstaan. Dit maakt RSA in langlopende ondertekeningsprocessen een hogere prioriteit voor migratie dan kortstondige sessiegegevens.

RSA in PKI-vertrouwensankers versterkt al het bovenstaande. Root CA-certificaten met RSA-sleutels hebben doorgaans een geldigheidsperiode van enkele jaren. Als de RSA-sleutel die een root CA beschermt, binnen de geldigheidsperiode door een kwantumaanvaller wordt gecompromitteerd, verliest elk certificaat dat onder die hiërarchie is uitgegeven zijn vertrouwensbasis, wat tegelijkertijd gevolgen heeft voor alle afhankelijke gebruiksscenario's.

Beperkingen op het gebied van prestaties en schaalbaarheid

RSA introduceert beperkingen op het gebied van prestaties en schaalbaarheid die vooral merkbaar worden in moderne, grootschalige en latencygevoelige systemen. De beveiliging wordt voornamelijk versterkt door de sleutelgrootte te vergroten, wat direct van invloed is op de rekenkosten. Naarmate de sleutelgrootte toeneemt van 2048-bit naar 3072-bit en verder, worden bewerkingen gebaseerd op modulaire machtsverheffing duurder, met name voor bewerkingen met privésleutels zoals ondertekenen en decoderen.

RSA vertoont ook een inherente asymmetrie in operationele kosten. Openbare sleutelbewerkingen zoals handtekeningverificatie en encryptie zijn relatief efficiënt dankzij het gebruik van kleine openbare exponenten zoals 65537. Daarentegen vereisen privésleutelbewerkingen aanzienlijk zwaardere berekeningen, omdat ze modulaire rekenkunde met grote exponenten vereisen. Deze onbalans kan een knelpunt vormen in systemen die frequent ondertekeningsbewerkingen uitvoeren, zoals authenticatiediensten of certificeringsinstanties (CA's).

Daarnaast genereert RSA grotere sleutels en handtekeningen in vergelijking met ECC, wat het bandbreedteverbruik tijdens certificaatuitwisseling en TLS-handshakes verhoogt. Hoewel deze overhead marginaal kan zijn bij geïsoleerde transacties, wordt het relevanter in grootschalige gedistribueerde systemen met een hoge verbindingsfrequentie. Als gevolg hiervan is RSA over het algemeen minder efficiënt dan op ECC gebaseerde algoritmen in moderne protocol- en infrastructuurontwerpen.

Post-kwantumcryptografie en de fundamentele doorbraak in RSA

De belangrijkste beperking van RSA is niet de prestatie, maar de incompatibiliteit met kwantumcomputermodellen. PQC is gebaseerd op de erkenning dat veelgebruikte publieke sleutelschema's, waaronder RSA en ECC, afhankelijk zijn van wiskundige problemen die kwetsbaar zijn voor kwantumalgoritmen onder specifieke rekenmodellen.

In het geval van RSA is de voornaamste zorg het algoritme van Shor, dat grote gehele getallen in polynomiale tijd kan ontbinden in factoren op een voldoende krachtige kwantumcomputer. Omdat de beveiliging van RSA gebaseerd is op de moeilijkheid van het ontbinden van gehele getallen in klassieke computermodellen, maakt het bestaan ​​van een dergelijk algoritme die onderliggende aanname ongeldig in een kwantumomgeving. Dit betekent niet dat RSA momenteel in de praktijk gekraakt is, maar wel dat de beveiligingsgaranties niet gelden voor tegenstanders met grootschalige kwantumcapaciteiten.

Door deze verschuiving in het dreigingsmodel biedt het vergroten van de RSA-sleutelgrootte geen zinvolle bescherming tegen kwantumaanvallen. Het probleem zit hem niet in de rekenkracht, maar in de verandering van de onderliggende probleemklasse. Volgens NIST IR 8547 (eerste openbare conceptversie, november 2024) zullen RSA-2048 en P-256, die werken op het 112-bits beveiligingsniveau, na 2030 worden uitgefaseerd. Alle kwantumkwetsbare publieke sleutelalgoritmen, inclusief die met grotere sleutelgroottes, zullen na 2035 niet meer zijn toegestaan. Moderne PQC-algoritmen zoals ML-KEM en ML-DSA zijn daarentegen ontworpen rond wiskundige structuren, met name roostergebaseerde problemen, waarvoor momenteel geen efficiënte kwantumoplossingen bekend zijn.

Deze overgang is geen upgrade voor RSA, maar een cryptografische vervanging gebaseerd op een fundamenteel andere beveiligingsveronderstelling. In de praktijk wordt echter niet verwacht dat organisaties alle systemen tegelijk migreren. Bestaande RSA-implementaties blijven functioneren in klassieke omgevingen, terwijl PQC-algoritmen parallel worden geïntroduceerd via hybride methoden tijdens de overgangsfase. Deze hybride benaderingen zijn tijdelijke mechanismen die bedoeld zijn om de interoperabiliteit te behouden en het migratierisico te verlagen.

Uitgewerkt voorbeeld: RSA-2048 in concrete getallen

Abstracte beweringen over de uiteindelijke kwantumkwetsbaarheid van RSA zijn gemakkelijker te beoordelen met concrete cijfers. Een 2048-bits RSA-modulus is een samengesteld getal van ongeveer 617 decimalen, gevormd als het product van twee 1024-bits priemgetallen. De General Number Field Sieve-aanval op deze modulus heeft klassiek gezien een geschatte werkfactor van ongeveer 2 tot de macht 112 bewerkingen, vandaar dat NIST RSA-2048 in SP 800-57 beoordeelt op een beveiliging van 112 bits. Met die werkfactor blijft het ontbinden van een enkele RSA-2048-modulus in factoren met de best bekende klassieke methoden en realistische hardware praktisch onhaalbaar.

Het kwantumbeeld is niet alleen qua omvang, maar ook qua aard anders. Een veel geciteerde analyse uit 2019 van onderzoekers Craig Gidney en Martin Ekera schatte dat het ontbinden van een 2048-bits RSA-integer ongeveer 20 miljoen ruisende qubits zou vereisen die ongeveer 8 uur draaien, gebruikmakend van geoptimaliseerde circuitconstructies voor Shors algoritme. In 2026 werken de grootste publiekelijk bekende kwantumprocessoren met honderden tot enkele duizenden fysieke qubits, een aantal ordes van grootte minder dan die schatting, en fysieke qubits vereisen nog steeds aanzienlijke overhead voor foutcorrectie om de stabiele logische qubits te worden die de schatting veronderstelt. Deze kloof is precies de reden waarom NIST de RSA-transitie beschouwt als risicobeheer met een tijdslimiet in plaats van een noodsituatie: het algoritme is vandaag de dag niet gekraakt, maar gegevens die vandaag met RSA-sleuteluitwisseling zijn versleuteld, kunnen nu worden verzameld en later worden ontsleuteld zodra er een cryptografisch relevante kwantumcomputer bestaat.

Ter vergelijking: een ECC P-256-sleutel bereikt hetzelfde beveiligingsniveau van 128 bits als een RSA-sleutel van 3072 bits, maar met ongeveer een twaalfde van de sleutelgrootte. Een op een rooster gebaseerde ML-KEM-768-sleutelgeneratie biedt daarentegen een vergelijkbare klassieke sterkte plus weerstand tegen het algoritme van Shor, ten koste van grotere publieke sleutels en cipherteksten dan ECC (ongeveer 1.1 KB versus 65 bytes voor een P-256 publieke sleutel). Deze afweging tussen grootte en prestaties is de praktische reden waarom er hybride klassieke-plus-PQC-modi bestaan ​​tijdens migratie: ze stellen systemen in staat de efficiëntie van ECC voor de klassieke garantie te behouden en tegelijkertijd de structuur van ML-KEM voor de kwantumgarantie toe te voegen.

Waarom RSA een verouderd algoritme aan het worden is

RSA raakt door een combinatie van factoren geleidelijk aan verouderd: prestatiekenmerken, beperkingen in schaalbaarheid en de opkomst van PQC. Hoewel ECC al een gelijkwaardige beveiliging biedt met kleinere sleutels en verbeterde efficiëntie, blijft RSA voornamelijk bestaan ​​vanwege de compatibiliteit met bestaande systemen en vertrouwensinfrastructuren.

Op protocolniveau vertrouwen moderne beveiligingsontwerpen steeds meer op ECC-gebaseerde mechanismen voor sleuteluitwisseling en digitale handtekeningen, terwijl RSA voornamelijk wordt gebruikt voor certificaatcompatibiliteit en validatie van oudere systemen. Dit creëert een overgangsfase waarin RSA niet langer als voorkeursprimitief wordt beschouwd, maar als compatibiliteitslaag binnen gemengde omgevingen.

Post-kwantummigratie in de praktijk

De overstap naar PQC is geen directe algoritme-uitwisseling, maar een operationeel migratieproces. Het begint met het in kaart brengen van de locaties van kwantumkwetsbare cryptografische elementen in de infrastructuur, waaronder TLS-eindpunten, identiteitssystemen, hardwarebeveiligingsmodules (HSM's), applicaties en embedded apparaten. Vervolgens wordt een gestructureerde cryptografische inventaris opgesteld die niet alleen certificaten en sleutels vastlegt, maar ook de onderlinge afhankelijkheden tussen systemen en vertrouwensketens.

Zodra de inventaris is opgesteld, moeten organisaties de afhankelijkheden in kaart brengen om systemen te identificeren die PQC-algoritmen of ECC-vervangingen niet direct kunnen ondersteunen. Dit omvat verouderde clients, apparaten met beperkingen en leverancierssystemen die updates vereisen voordat ze nieuwere cryptografische primitieven kunnen ondersteunen.

De migratie zelf verloopt doorgaans gefaseerd. Tijdens de overgangsperiode worden hybride cryptografische configuraties gebruikt om de compatibiliteit te behouden terwijl PQC-algoritmen worden geïntroduceerd. Hybride cryptografie verwijst naar het gecombineerde gebruik van klassieke algoritmen zoals RSA of elliptische-curve-cryptografie met PQC-algoritmen in één protocoluitwisseling, waardoor de beveiliging tegen zowel klassieke als kwantumaanvallen tijdens de migratieperiode wordt gewaarborgd.

Deze aanpak zorgt ervoor dat systemen interoperabel blijven terwijl kwantumresistente mechanismen geleidelijk worden gevalideerd en geïmplementeerd. Dit is echter niet bedoeld als een permanente oplossing. Het is een overgangsstrategie die is ontworpen om de continuïteit van de beveiliging tijdens de migratie te waarborgen, met als langetermijndoel de volledige implementatie van PQC naarmate de ondersteuning vanuit het ecosysteem volwassener wordt.

Naarmate de ondersteuning vanuit het ecosysteem zich ontwikkelt, wordt RSA geleidelijk verwijderd uit systemen die langetermijnbeveiligingsgaranties vereisen. In deze context evolueert RSA niet naar PQC. Het wordt geleidelijk uitgefaseerd naarmate systemen overstappen op cryptografische modellen die zijn ontworpen voor een ander dreigingslandschap op het gebied van computertechnologie.

Beperkingen

• NIST IR 8547 is op het moment van deze update nog steeds een eerste openbaar ontwerp; de data voor uitfasering in 2030 en verbod in 2035 voor RSA en andere kwantumkwetsbare algoritmen zijn voorstellen, geen definitieve data, en kunnen nog veranderen naarmate NIST de openbare reacties beoordeelt.
• De verplichte mijlpalen van CNSA 2.0 (nieuwe nationale veiligheidssystemen die CNSA 2.0 ondersteunen tegen 2027, verouderde apparatuur uitgefaseerd tegen 2030, verplichte invoering tegen 2031) gelden alleen rechtstreeks voor systemen die de Amerikaanse nationale veiligheidsmissies ondersteunen; commerciële bedrijven zijn niet gebonden aan CNSA 2.0, maar gebruiken het vaak als planningsreferentie.
• Er bestaat momenteel geen cryptografisch relevante kwantumcomputer. Schattingen over wanneer er mogelijk een zal bestaan, lopen uiteen binnen de beveiligingsgemeenschap. Daarom zouden risicobeoordelingen op basis van 'nu oogsten, later decoderen' gebaseerd moeten zijn op hoe lang beschermde gegevens vertrouwelijk moeten blijven, en niet op een specifieke voorspelde doorbraakdatum.
• Hybride configuraties met klassieke en PQC-technologie brengen extra rekenkracht en bandbreedte met zich mee in vergelijking met modi die alleen klassieke of alleen PQC-technologie gebruiken. Sommige systemen met beperkte mogelijkheden of oudere systemen ondersteunen dit mogelijk nog niet zonder extra technische aanpassingen.

Bedrijfsbeslissingstabel: Wat te doen met RSA op dit moment?

De juiste reactie op de kwantumrisico's van RSA hangt af van het implementatiescenario, niet van RSA als een op zichzelf staande categorie. De onderstaande tabel koppelt veelvoorkomende bedrijfsscenario's aan een aanbevolen actie en een globale tijdlijn, gebaseerd op de conceptdata van NIST IR 8547 en de CNSA 2.0-mijlpalen die veel bedrijven als externe planningsreferentie gebruiken.

Scenario	Aangeraden actie	Prioriteitsvenster
TLS 1.2-eindpunten onderhandelen nog steeds over RSA-sleuteltransport (TLS_RSA_WITH_*)	Schakel RSA-sleuteluitwisselingscoderingssuites uit; vereis ECDHE of ga over op TLS 1.3, dat RSA-sleuteluitwisseling volledig elimineert.	Direct tot 12 maanden
Nieuwe PKI-opbouw of een volledig nieuwe hiërarchie van certificeringsinstanties	Probleem met ECC (P-256 of P-384) vandaag; proef met hybride certificaten naarmate het CA/Browser Forum en de ondersteuning van de leverancier zich verder ontwikkelen.	Onmiddellijk
Code- of firmware-ondertekeningssleutels met een lange levensduur (vertrouwensperiode van 5 jaar of langer)	Geef prioriteit aan de overstap naar ML-DSA of een hybride RSA/ML-DSA-ondertekening; vervalste handtekeningen op lang bewaard gebleven documenten hebben de langste blootstellingsperiode.	Nu tot en met 2030
Root- en intermediaire CA-sleutels in bestaande PKI-hiërarchieën	Begin met het in kaart brengen van afhankelijkheden en het plannen van heruitgifte; een gecompromitteerd rootcertificaat maakt elk certificaat daaronder ongeldig.	Nu tot en met 2030 tot 2033
FIPS 140-3 gevalideerde HSM-omgevingen	Controleer of de HSM-firmware en de roadmap van de leverancier de ML-KEM- en ML-DSA-modules ondersteunen voordat het gebruik ervan in productie wordt verplicht gesteld.	12 naar 24 maand
Authenticatie van kortstondige sessies (login, API-tokens)	Lagere onmiddellijke prioriteit; achteraf implementeren zodra ECC/PQC-ondersteuning standaard wordt bij identiteitsaanbieders, aangezien het risico op vervalsing pas begint zodra een kwantumcomputer bestaat.	2027 tot 2030

Hoe encryptieconsultancy kan helpen

De overstap van RSA naar PQC vereist meer dan alleen de selectie van algoritmen. Het hangt af van inzicht in hoe cryptografie daadwerkelijk in systemen wordt ingezet, hoe afhankelijkheden zijn gestructureerd en waar operationele risico's bestaan ​​tijdens de migratie. Encryption Consulting helpt organisaties hierbij om op een gecontroleerde en risicobewuste manier van beoordeling naar implementatie te gaan.

PKI-beoordeling

De PKI-assessment van Encryption Consulting is een gestructureerd traject dat uw volledige PKI-omgeving evalueert op technisch, operationeel en governancegebied. Het begint met een inventarisatie: het in kaart brengen van uw huidige PKI-architectuur in on-premises, cloud- en hybride omgevingen om een ​​compleet beeld te krijgen van wat er is, hoe het is geconfigureerd en waar het verbinding mee maakt.

Dit omvat validatie van de CA-hiërarchie, beoordeling van certificaatsjablonen, sleutelbeheerpraktijken en een end-to-end test van uw intrekkingsinfrastructuur, waarbij wordt geverifieerd dat de CRL Distribution Point (CDP) en Authority Information Access (AIA) extensies in uitgegeven certificaten verwijzen naar responders en distributiepunten die daadwerkelijk bereikbaar zijn vanuit de netwerksegmenten waar certificaten worden gevalideerd.

Naast configuratie worden gestructureerde workshops met belanghebbenden en architectuurbeoordelingssessies gebruikt om de operationele realiteit te begrijpen. Deze discussies brengen vaak lacunes aan het licht die niet alleen uit de documentatie blijken, zoals PKI-beleid dat wel bestaat maar niet consequent wordt gehandhaafd, Online Certificate Status Protocol (OCSP)-responders die wel zijn geïmplementeerd maar niet onder reële omstandigheden zijn getest, en certificaatsjablonen die niet langer voldoen aan de huidige beveiligingsvereisten.

Het resultaat is een rapport met een risico- en tekortkomingsanalyse op basis van prioriteiten. De bevindingen worden gerangschikt op ernst en gekoppeld aan specifieke herstelmaatregelen, waardoor uw team een ​​duidelijke routekaart krijgt in plaats van een algemene checklist.

PQC Adviesdiensten

Encryption Consulting ondersteunt organisaties gedurende dit traject met complete PQC-migratiediensten, van begin tot eind, inclusief inventarisatie, beoordeling, planning, validatie en implementatie.

Onze PQC-adviesdiensten helpen organisaties bij het identificeren van certificaten, sleutels, algoritmen, protocollen en cryptografische afhankelijkheden in cloudomgevingen, applicaties, infrastructuur, HSM's, broncode-repositories, containers, API's en CI/CD-pipelines. Met behulp van dit inzicht beoordelen we de blootstelling aan kwantumkwetsbare cryptografie, identificeren we prioritaire herstelgebieden en ontwikkelen we risicogebaseerde migratieplannen die aansluiten bij NIST-normen, wettelijke vereisten en bedrijfsdoelstellingen.

Naast planning biedt Encryption Consulting ondersteuning bij het beoordelen van de gereedheid van leveranciers, het valideren van proof-of-concepts, interoperabiliteitstesten, hybride cryptografie-implementaties, het ontwerpen van crypto-agile PKI-architecturen en implementatieprogramma's op bedrijfsniveau. Deze gestructureerde aanpak stelt organisaties in staat om over te stappen van gefragmenteerd cryptografisch inzicht naar een beheerd, meetbaar en duurzaam PQC-migratieprogramma.

CBOM Secure

Een succesvolle transitie na het kwantumtijdperk begint met inzicht. CBOM Secure van Encryption Consulting biedt continue detectie en inventarisatie van cryptografische activa binnen bedrijfsinfrastructuren, cloudomgevingen, applicaties en cryptografische diensten.

In tegenstelling tot een momentopname genereert en verbruikt CBOM Secure continu cryptografische stuklijsten (CBOM's), terwijl het certificaten, sleutels, algoritmen en cryptografische afhankelijkheden in de hele omgeving bijhoudt. Het biedt inzicht in wat er is geïmplementeerd, waar het draait en hoe die afhankelijkheden zich in de loop van de tijd ontwikkelen.

Het platform ondersteunt beleidsgestuurde governance door cryptografische configuraties te valideren aan de hand van organisatiestandaarden, afwijkingen te identificeren en beveiligings-, operationele en compliance-risico's in kaart te brengen. Voor organisaties die zich voorbereiden op PQC-migratie, helpt CBOM Secure bij het identificeren van systemen die afhankelijk zijn van kwantumkwetsbare algoritmen, het prioriteren van herstelmaatregelen en het opzetten van de continue cryptografische governance die nodig is om crypto-flexibiliteit op lange termijn te bereiken.

Of uw organisatie nu aan de slag gaat in het post-quantumtijdperk of een bestaand cryptografiemoderniseringsprogramma uitbreidt, Encryption Consulting combineert adviesexpertise met op maat gemaakte oplossingen om u te helpen cryptografische activa te ontdekken, de migratiebereidheid te beoordelen en een schaalbare, crypto-flexibele basis voor de toekomst te leggen. Lees meer over onze PKI-adviesdiensten, PQC-adviesdiensten en CBOM Secure op encryptionconsulting.com of neem contact op met ons team om uw post-quantummigratiestrategie te bespreken.

Conclusie

PQC vertegenwoordigt een fundamentele verschuiving in cryptografische uitgangspunten, en RSA blijft alleen veilig binnen de grenzen van klassieke computersystemen. Naarmate organisaties zich voorbereiden op deze transitie, ligt de uitdaging niet alleen in het vervangen van algoritmen, maar ook in het uitbreiden van de zichtbaarheid en controle over complexe en gedistribueerde cryptografische ecosystemen.

RSA zal nog enige tijd blijven bestaan ​​in legacy- en compatibiliteitsrollen, maar de cryptografische strategie voor de lange termijn wordt steeds meer bepaald door PQC-vereisten, ECC-alternatieven en crypto-agile architecturen. Succes in deze transitie hangt af van nauwkeurige inventarisatie, gestructureerde gegevensverzameling, het in kaart brengen van afhankelijkheden en een gecontroleerde uitvoering van de migratie.

Veelgestelde Vragen / FAQ

Is RSA vandaag de dag gekraakt? Nee. RSA-2048 blijft veilig tegen elke bekende klassieke aanval wanneer het correct wordt geïmplementeerd met de juiste padding en sleutelgeneratie. De kwetsbaarheid ervan ligt bij toekomstige kwantumcomputers die het algoritme van Shor uitvoeren, niet bij enige momenteel praktische klassieke of kwantumaanval.

Wanneer moeten we stoppen met het gebruik van RSA-2048 voor nieuwe implementaties? Nu, waar alternatieven al worden ondersteund. ECC (P-256 of P-384) is een direct te gebruiken klassiek alternatief met kleinere sleutels en betere prestaties, en het kan in hybride modus werken met ML-KEM of ML-DSA waar PQC-ondersteuning aanwezig is. De concepttijdlijn van NIST IR 8547 stelt voor om RSA-2048 na 2030 uit te faseren, wat zou moeten fungeren als een harde uiterste deadline, niet als een beginpunt.

Wat vervangt RSA voor sleuteluitwisseling en digitale handtekeningen? Voor sleuteluitwisseling is dat momenteel ECDHE en ML-KEM (FIPS 203) naarmate de ondersteuning voor PQC zich verder ontwikkelt. Voor digitale handtekeningen is dat momenteel ECDSA of EdDSA en ML-DSA (FIPS 204) voor kwantumbestendigheid. Veel bedrijven gebruiken deze in een hybride modus tijdens de overgang om zich tegelijkertijd in te dekken tegen zowel klassieke als kwantumrisico's.

Als er nog geen kwantumcomputer is die RSA kan kraken, waarom dan nu migreren? Vanwege het risico van 'nu verzamelen, later decoderen': versleuteld verkeer dat vandaag wordt vastgelegd met behulp van RSA-sleuteluitwisseling kan achteraf worden gedecodeerd zodra er een kwantumcomputer bestaat die het algoritme van Shor kan uitvoeren. Alle gegevens die jarenlang vertrouwelijk moeten blijven, zoals medische dossiers, bedrijfsgeheimen of geclassificeerd materiaal, worden vandaag al blootgesteld, ook al bestaat de mogelijkheid tot decodering nog niet.

Lost het vergroten van de RSA-sleutelgrootte naar 4096 of 8192 bits het kwantumprobleem op? Nee. Het algoritme van Shor ontbindt gehele getallen in polynomiale tijd, ongeacht de grootte van de modulus. Grotere RSA-sleutels verhogen dus alleen de kosten van een klassieke aanval, niet die van een kwantumaanval. De enige manier om een ​​kwantumtegenstander te beschermen, is door de algoritmefamilie volledig te vervangen, met ECC als tussenstap en PQC (ML-KEM, ML-DSA) als de kwantumresistente eindbestemming.

Referenties

• NIST SP 800-57 Deel 1 Revisie 5, Aanbeveling voor sleutelbeheer: https://nvlpubs.nist.gov/nistpubs/specialpublications/nist.sp.800-57pt1r5.pdf
• NIST IR 8547 (eerste openbare conceptversie, november 2024), Overgang naar post-kwantumcryptografiestandaarden: https://csrc.nist.gov/pubs/ir/8547/ipd
• RFC 8446, Het Transport Layer Security (TLS) Protocol Versie 1.3: https://www.rfc-editor.org/rfc/rfc8446
• Gidney en Ekera (2019), Hoe je 2048-bits RSA-getallen in 8 uur kunt ontbinden met behulp van 20 miljoen ruisende qubits: https://arxiv.org/abs/1905.09749
• NSA Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) richtlijnen: https://www.nsa.gov/Resources/Commercial-National-Security-Algorithm-Suite-2-0/