NIST IR 8610 uitgelegd: 9 veelbelovende handtekeningalgoritmes die de volgende PQC-standaarden vormgeven 

Al bijna tien jaar racen cryptografen tegen een klok die nog niet is begonnen te tikken. Die klok behoort toe aan kwantumcomputers, en wanneer die uiteindelijk afgaat, zal de publieke-sleutelcryptografie die ten grondslag ligt aan vrijwel alles wat we vandaag de dag online vertrouwen, simpelweg niet meer werken. 

RSA. ECDSA. ECDH. Klassieke Diffie-Hellman. Het is allemaal kwetsbaar voor Shors algoritme zodra er een voldoende krachtige kwantumcomputer bestaat. Dat is de encryptie die uw bankrekening, uw software-updates, uw TLS-handshakes en de certificaten beschermt die uw browser vertellen dat een website is wie hij beweert te zijn. En de dreiging werkt twee kanten op: gegevens die vandaag worden vastgelegd, kunnen later worden gedecodeerd, en alles wat vandaag wordt ondertekend, kan later worden vervalst. Dat laatste is een sluimerend risico dat vooral van invloed is op handtekeningen die tientallen jaren betrouwbaar moeten blijven.

NIST heeft in stilte het voortouw genomen in de reactie hierop. Sinds 2016 voert het agentschap een jarenlange evaluatie uit om vervangende systemen te vinden, en de resultaten tot nu toe zijn al in gebruik: ML-KEM ( FIPS 203 ), ML-DSA ( FIPS 204 ) en SLH-DSA ( FIPS 205 ). FN-DSA (FIPS 206, gebaseerd op Falcon) staat op de planning en de afronding wordt in 2027 verwacht. HQC werd vorig jaar toegevoegd als een back-upmechanisme voor sleuteluitwisseling.

De migratie is dus al in volle gang. Waarom organiseert NIST dan nog een wedstrijd? 

Het verborgen probleem in NIST's eigen portfolio 

Kijk goed naar de drie handtekeningstandaarden en je zult iets ongemakkelijks opmerken. Twee ervan, ML-DSA en FN-DSA, zijn gebaseerd op dezelfde familie van gestructureerde-roosterveronderstellingen. Als een enkele cryptanalytische doorbraak die familie op de verkeerde manier raakt, zou een groot deel van de post-kwantumhandtekeningportfolio van de ene op de andere dag twijfelachtig kunnen worden. 

NIST zag dit in 2022 en deed iets wat ongebruikelijk is voor een standaardisatie-instantie: het erkende de lacune en lanceerde een aparte oproep voor aanvullende digitale handtekeningschema's. De opdracht was specifiek. Bouw voort op andere wiskundige fundamenten. Optimaliseer voor kleinere handtekeningen of snellere verificatie. Bied ons opties die het huidige portfolio niet kan bieden.

Tegen de deadline in juni 2023 waren er 50 inzendingen binnengekomen. Veertig daarvan werden geaccepteerd voor de eerste ronde. Veertien gingen door naar de tweede ronde in oktober 2024. Die ronde is net afgerond. 

Wat NIST IR 8610 daadwerkelijk zegt 

In mei 2026 publiceerde NIST Intern Rapport 8610 , het officiële statusrapport over de tweede ronde. Deze ronde liep van 24 oktober 2024 tot en met 14 mei 2026 en omvatte de zesde NIST PQC- standaardisatieconferentie in Gaithersburg afgelopen september. Na achttien maanden van cryptanalyse, openbare beoordeling en geduldig overleg tussen indieners en de gemeenschap, bracht NIST het aantal kandidaten terug van veertien naar negen.

De lat voor de evaluatie werd al vroeg hoog gelegd. Op Lattice gebaseerde inzendingen moesten CRYSTALS-Dilithium en Falcon duidelijk overtreffen op een relevant prestatieaspect. Niet-Lattice inzendingen moesten SPHINCS+ op dezelfde manier overtreffen. Vervolgens werd elke kandidaat beoordeeld op drie criteria in deze volgorde: beveiliging eerst, kosten en prestaties vervolgens, en algoritme- en implementatiekenmerken als derde. De minimale beveiligingsvereiste was EUF-CMA, waarbij SUF-CMA als bonus werd beschouwd. 

Hier zijn de negen die het gehaald hebben, gesorteerd op hun wiskundige familie:

Categorie	Kandidaten door laten stromen
Op roosters gebaseerd	HAWK
Op isogenie gebaseerd	SQI-teken
MPC-in-het-hoofd	FAEST, MQOM, SDitH
multivariate	UOV, MAYO, QR-UOV, SNOVA

De negen die doorstroomden 

Een korte toelichting voordat we ze doornemen. Elk digitaal handtekeningsysteem is gebaseerd op een wiskundig probleem waarvan de wereld denkt dat het moeilijk op te lossen is. RSA zet in op de moeilijkheid om enorme getallen te ontbinden in factoren. ECDSA zet in op de moeilijkheid van bepaalde berekeningen met elliptische krommen. Beide zetten verliezen het echter van een werkende kwantumcomputer.

De negen kandidaten hieronder richten zich op vier zeer verschillende problemen, en die diversiteit is nu juist de bedoeling. NIST wil meerdere onafhankelijke stichtingen, zodat één doorbraak niet alles in één keer kan ondermijnen. Hieronder leggen we uit wat elke stichting concreet doet.

FAEST: Gebouwd op wat de industrie al vertrouwt 

De beveiliging van FAEST is uiteindelijk gebaseerd op AES, de symmetrische encryptiestandaard die tegenwoordig het grootste deel van het internetverkeer beschermt. Het schema maakt gebruik van een zero-knowledge proof-systeem om aan te tonen dat de ondertekenaar een AES-sleutel kent die consistent is met bepaalde publieke waarden, zonder de sleutel zelf te onthullen. Omdat AES al meer dan 25 jaar continu is bestudeerd en aangevallen zonder te zijn gecompromitteerd, erft FAEST een uitzonderlijk volwassen basis voor een post-kwantumschema. 

De technische infrastructuur bestaat uit een bewijskader genaamd VOLE-in-the-Head, in combinatie met een protocol genaamd QuickSilver. De tweede ronde leverde een aantal belangrijke optimalisaties op: een efficiënter commitment-schema, een op AES gebaseerde PRG, een schonere methode voor het uitdrukken van AES-beperkingen met polynomen van graad 3, en nieuwe beveiligingsreducties in het Quantum Random Oracle Model. 

Van de zes MPCitH-kandidaten in de tweede ronde sprak NIST het grootste vertrouwen uit in de veiligheid van FAEST, vanwege het gebruik van uitgebreid bestudeerde symmetrische primitieven. Onderzoek naar side-channel-aanvallen en foutinjectie heeft kwetsbaarheden in gemaskeerde FAEST-implementaties aan het licht gebracht, maar deze bevindingen hebben geen invloed op het onderliggende beveiligingsmodel van het schema.

HAWK: Een rasterschema ontworpen voor hardware met beperkte mogelijkheden 

HAWK behoort tot dezelfde wiskundige familie als de bestaande roostergebaseerde standaarden van NIST, ML-DSA en de aankomende Falcon-gebaseerde FN-DSA, maar het pakt een van de meest hardnekkige implementatieproblemen van Falcon aan. Het ondertekeningsproces van Falcon vereist drijvende-komma-rekenkunde, wat moeilijk correct te implementeren is op smartcards, beveiligde elementen en veel ingebedde systemen. Implementatiefouten in die rekenkunde kunnen leiden tot het lekken van de privésleutel. HAWK gebruikt uitsluitend gehele getallen, waardoor dit type foutmodus volledig wordt geëlimineerd. 

De prestaties zijn ook concurrerend. In beveiligingscategorie 1 zijn HAWK-handtekeningen 555 bytes groot, kleiner dan zowel Falcon als ML-DSA. De beveiliging van sleutelherstel is gebaseerd op het Search Module Lattice Isomorphism Problem (smLIP) van rang 2. Onvervalsbaarheid is gebaseerd op het One-More-Shortest-Vector Problem (omSVP). Beide zijn gebaseerd op roosters, wat betekent dat een fundamentele doorbraak tegen roostercryptografie HAWK, net als de bestaande standaarden, zou beïnvloeden. 

Tijdens de tweede ronde ontdekten cryptanalisten een discrepantie in de oorspronkelijke definitie van omSVP. Het HAWK-team reageerde met een verfijnde definitie die de relevante aanvalsvector uitsluit. Verder onderzoek wees uit dat het onderliggende getallenveld een significante invloed heeft op de beveiliging, en dat de door HAWK gekozen cyclotomische velden bestand lijken tegen bekende aanvallen. NIST heeft HAWK verder ontwikkeld en de community aangemoedigd om smLIP te blijven testen in de specifieke ringstructuur van HAWK.

MAYO: Het publieke-sleutelprobleem van UOV aanpakken 

UOV (later in deze lijst besproken) produceert zeer kleine handtekeningen, maar wordt beperkt door een zeer grote publieke sleutel. MAYO is een herontwerp dat de kleine handtekeningen behoudt en de sleutellast vermindert door te werken met een compacte startsleutel en deze uit te breiden naar het volledige UOV-systeem wanneer nodig. Het uitbreidingsmechanisme, een zogenaamde "whipping"-transformatie, creëert de grotere instantie met een blokstructuur die de beveiliging waarborgt en tegelijkertijd de sleutel comprimeert. 

In de tweede ronde kwam een ​​belangrijk probleem aan het licht. Een nieuwe techniek, de zogenaamde wigaanval, toegepast op UOV-varianten met karakteristiek 2, trof de parameterverzameling van MAYO in categorie 1 met een beveiligingstekort van ongeveer 30 bits. NIST schreef de impact, die groter is dan het overeenkomstige effect op gewone UOV, toe aan de balans tussen het aantal kwadratische vormen en de codimensie van de geheime deelruimte, in plaats van aan de wigconstructie zelf. 

MAYO behoudt enkele van de kleinste publieke sleutelgroottes in de multivariate categorie, met efficiënte ondertekening en verificatie. NIST heeft MAYO verder ontwikkeld, maar wees wel op de les die geleerd moest worden met betrekking tot parameterselectie en moedigde het team aan om parameters met ongebruikelijke kenmerken te evalueren als tegenmaatregel.

MQOM: Sterkste prestatie in de MPCitH-categorie 

MQOM is gebaseerd op de moeilijkheid om grote stelsels kwadratische vergelijkingen over een eindig veld op te lossen, een van de langst bestudeerde moeilijke problemen in de cryptografie. Het ondertekeningsproces maakt gebruik van een MPC-in-the-Head-constructie: de ondertekenaar simuleert meerdere partijen die gezamenlijk rekenen op delen van een geheim en bewijst dat de simulatie correct is verlopen, zonder het geheim zelf te onthullen. 

De tweede versie maakt gebruik van TCitH (Threshold Computation in the Head), een specialisatie van MPCitH die traditionele additieve geheimdeling vervangt door drempelgebaseerde Shamir-geheimdeling. 

Cijfermatig gezien is MQOM de absolute topper in de MPCitH-categorie. Over alle drie de beveiligingsniveaus heen heeft het de kleinste gecombineerde omvang van publieke sleutels en handtekeningen van alle MPCitH-kandidaten, met zeer concurrerende aantallen ondertekenings- en verificatiecycli. NIST heeft het op basis van deze cijfers en de al lang bestaande volwassenheid van het onderliggende MQ-probleem verder ontwikkeld, hoewel werd opgemerkt dat de formele beveiligingsbewijzen in het Random Oracle Model en QROM nog verdere verfijning behoeven. 

QR-UOV: Efficiënte compressie zonder compromissen

QR-UOV past een wiskundige techniek toe, genaamd quotiëntringen, om de standaard UOV-publieke sleutel te comprimeren. Elk blok in de publieke sleutel vereist ℓ getallen in plaats van ℓ² om te worden beschreven, waardoor de grootte van de publieke sleutels wordt teruggebracht tot ongeveer 15 tot 50 procent van de grootte van de standaard UOV-sleutel, zonder het onderliggende beveiligingsmodel te wijzigen. 

QR-UOV was de meest onopvallend succesvolle multivariate kandidaat in ronde twee. De wigaanval richt zich voornamelijk op een specifieke klasse van getallenvelden, namelijk velden met karakteristiek 2, en QR-UOV gebruikt velden met een oneven karakteristiek.

Zelfs toen de aanval werd uitgebreid naar ongebruikelijke kenmerken, bleef de complexiteit ervan tegen QR-UOV hoger dan bij bestaande aanvallen. Bovendien leverde de tweede inzending ondertekenings- en verificatiesnelheden op die 15 tot 20 keer sneller waren dan in de eerste ronde, terwijl de grootte van de publieke sleutel en de handtekening constant bleven. NIST promootte QR-UOV met aanzienlijk vertrouwen, verwijzend naar de afwezigheid van doorslaggevende aanvallen en de significante reductie van de publieke sleutel. 

SDitH: De meest conservatieve hardheidsaanname 

SDitH (Syndrome Decoding in the Head) is gebaseerd op een probleem uit de coderingstheorie dat al sinds de jaren 1970 wordt bestudeerd. Gegeven een beschadigd bericht en de foutcorrectiecode die dit bericht heeft gegenereerd, is het identificeren van het exacte foutpatroon computationeel onhaalbaar. Foutcorrectiecodes vormen de basis van veel moderne communicatie, waaronder wifi, mobiele netwerken en opslagsystemen, waardoor de onderliggende wiskunde tot de meest grondig onderzochte in het vakgebied behoort. SDitH zet die complexiteit om in een signatuurschema. 

Net als andere MPCitH-kandidaten werd SDitH in de tweede ronde herontworpen om technieken zoals VOLE-in-the-Head en Threshold Computation in the Head te integreren. De rekenkundige bewerking codeert het syndroomdecoderingsprobleem over het binaire veld, met behulp van ongestructureerde lineaire codes. 

NIST benadrukte SDitH specifiek vanwege de conservatieve aanname over de beveiligingsgraad. Van de zes MPCitH-kandidaten heeft alleen FAEST een vergelijkbaar goed onderbouwde basis. De keerzijde hiervan is de rekenkundige complexiteit, die doorgaans hoger ligt dan bij de andere kandidaten. NIST heeft SDitH aanbevolen vanwege de sterke beveiligingsaanname en om de diversiteit aan aannames binnen de MPCitH-categorie te behouden.

SNOVA: Hoog potentieel, nog in ontwikkeling 

SNOVA is een andere variant van UOV en produceert op papier de kleinste sleutels en handtekeningen van alle multivariate kandidaten. De complicatie zit hem in de geschiedenis van cryptanalyse. Elke ronde van grondige evaluatie bracht nieuwe zwakheden aan het licht, waarop het team reageerde met opeenvolgende herontwerpen. Het is tegelijkertijd de meest aantrekkelijke kandidaat qua pure prestaties en de minst stabiele in zijn huidige vorm. 

Structureel gezien ontleent SNOVA ideeën aan niet-commutatieve ringen en kan het worden beschouwd als het toepassen van een MAYO-achtige zweeptransformatie op een reeds gestructureerde UOV-publieke sleutel. 

De geschiedenis van de cryptanalyse vereist zorgvuldige bestudering. Een variant van de wigaanval kraakte de meeste door SNOVA voorgestelde parameterreeksen in de tweede ronde, vaak met aanzienlijke marges. Het team reageerde met een herontwerp met behulp van velden met oneven karakteristieken en symmetrische kwadratische vormen. De nieuwe parameterreeks van categorie 1 heeft zowel een publieke sleutel- als een handtekeninggrootte die kleiner is dan die van Falcon, de meest compacte op roosters gebaseerde handtekening die NIST tot nu toe heeft gestandaardiseerd. 

De beoordeling van NIST is ongebruikelijk direct. SNOVA zou een algemeen toepasbaar handtekeningsysteem kunnen opleveren met snelle verificatie en zeer compacte resultaten, maar het rapport stelt expliciet dat NIST "SNOVA nog niet als stabiel beschouwt", grotere aanpassingen zal overwegen dan voor andere kandidaten, en een langere periode nodig heeft voordat een variant voor standaardisatie in aanmerking komt.

SQIsign: De kleinste ecologische voetafdruk in de competitie 

SQIsign opereert in een ander wiskundig gebied dan de andere kandidaten: de geometrie van supersinguliere elliptische krommen. Het onderliggende probleem is lastig samen te vatten zonder specialistische kennis, maar het resultaat is eenduidig. SQIsign produceert de kleinste gecombineerde publieke sleutel- en handtekeningvoetafdruk van alle kandidaten in de hele competitie. Een handtekening van categorie 1 is 148 bytes, klein genoeg om in één Ethernet-frame te passen. 

Voor organisaties die op isogenie gebaseerde cryptografie afwegen tegen het waarschuwende voorbeeld van SIKE, de op isogenie gebaseerde KEM die gedurende vier NIST-rondes werd onderzocht voordat deze in één weekend in 2022 werd gekraakt, is SQIsign structureel anders. Het onthult niet de aanvullende torsiepuntinformatie die door SIDH-achtige aanvallen werd misbruikt. Het behoort tot dezelfde brede wiskundige familie, maar gebruikt een andere constructie. 

Tussen de rondes door onderging SQIsign een aanzienlijke architectonische verandering, waarbij het oorspronkelijke padvindingsalgoritme gebaseerd op KLPT werd vervangen door een algoritme gebaseerd op isogenieën van hogere dimensies. Het resultaat was een verbetering van de ondertekeningssnelheid met een factor 20 en een verbetering van de verificatiesnelheid met een factor 6. NIST prees SQIsign vanwege de compactheid en toenemende volwassenheid, maar merkte op dat volledig constante ondertekeningstijd een open probleem blijft dat de moeite waard is om op te lossen voor bescherming tegen side-channelaanvallen. 

UOV: De reeds lang bestaande multivariate basislijn 

UOV is het oorspronkelijke multivariate handtekeningschema, daterend uit de jaren negentig, en is al bijna dertig jaar onderwerp van onderzoek. De handtekeningeigenschappen blijven uitzonderlijk: 96 bytes per handtekening in categorie 1, met verificatie in tienduizenden CPU-cycli. Het nadeel is een publieke sleutel van meer dan 200 kilobyte, waardoor UOV ongeschikt is als algemene vervanging voor RSA of ECDSA. Het is echter zeer geschikt voor scenario's waarbij een enkele publieke sleutel eenmalig wordt verstrekt en vele compacte handtekeningen verifieert, zoals firmware-updates en codeondertekening voor embedded systemen. 

Mathematisch gezien maakt UOV gebruik van een gestructureerd systeem van kwadratische polynomen dat nul is op een geheime deelruimte. De houder van het geheim kan pre-images efficiënt berekenen met behulp van een klein lineair systeem en een affiene projectie; alle anderen kunnen dat niet. 

In de tweede ronde werden nieuwe aanvallen geïntroduceerd. Een wigaanval met behulp van externe producten legde de verborgen geheime subruimte bloot in drie van de vier voorgestelde parameterreeksen, met beveiligingsreducties variërend van enkele bits in categorie 1 tot ongeveer 20 bits in categorie 5. Een daaropvolgende aanval, die gebruikmaakte van de eigenschappen van kleine velden, bracht diezelfde parameterreeksen onder hun beoogde beveiligingsniveau.

NIST heeft UOV aanbevolen vanwege de lange staat van dienst, het bestaan ​​van parameterreeksen die niet worden beïnvloed en de waarde van diversiteit door het behoud van een klassieke multivariate optie in de portefeuille. Het team wordt aangemoedigd om parameters met afwijkende kenmerken te evalueren, dezelfde aanbeveling die NIST doet voor verschillende multivariate kandidaten. 

Wat is er niet in de selectie gekomen, en waarom? 

Vijf kandidaten uit de tweede ronde zijn afgevallen. Het is belangrijk om de reden hiervoor te begrijpen, omdat het laat zien waar NIST nu eigenlijk naar streeft. 

• CROSS (code-based, Restricted Syndrome Decoding) had een prestatieprofiel dat in de buurt lag van SPHINCS+, maar met een minder volwassen onderliggende aanname over de beveiligingsgraad, en aanvallen in de tweede ronde dwongen parameterupdates af. Het prestatievoordeel was niet voldoende om de afweging ten aanzien van de beveiliging te rechtvaardigen. 
• LESS (code-based, Linear Code Equivalence) bood de kleinste handtekeningen van alle code-gebaseerde schema's, maar met enorme publieke sleutels en trage ondertekening en verificatie. Een tweede aanval reduceerde de concrete complexiteit met 12 bits in categorie 1 en 24 bits in categorie 5. De getallen werkten niet meer. 
• Mirath (MPCitH, MinRank, ontstaan ​​uit de fusie van MIRA en MiRitH) boekte in de tweede ronde prestatieverbeteringen tot wel tien keer, maar werd uiteindelijk buitengesloten door het grote aantal MPCitH-kandidaten. NIST selecteerde de kandidaten met ofwel een sterkere beveiliging (FAEST) ofwel betere prestaties (MQOM). 
• PERK (MPCitH, Permuted Kernel) produceerde signatures die ongeveer 10 procent kleiner waren dan die van FAEST, maar was aanzienlijk trager. NIST beschouwde dit als een afweging tussen prestaties en niet als een argument tegen het Permuted Kernel Problem zelf. 
• RYDE (MPCitH, Rank Syndrome Decoding) viel in de categorie 1, met een grootte van 3 tot 3.5 kilobyte, vergelijkbaar met MQOM en Mirath, maar was consequent trager dan MQOM. NIST heeft de resultaten geconsolideerd. 

Waarom NIST deze wedstrijd überhaupt organiseert. 

Als je even afstand neemt van de kandidatenlijst, wordt het beeld duidelijker. NIST doet dit om twee praktische redenen.

• Wiskundige diversiteit: Twee van de drie huidige handtekeningstandaarden zijn gebaseerd op aannames over gestructureerde roosters. De geschiedenis heeft niet mild gesproken over aannames die gebaseerd zijn op overmoed. Rainbow, een multivariate methode, haalde de derde ronde van het oorspronkelijke NIST-proces en werd in 2022 gekraakt. SIKE, een op isogenie gebaseerde KEM die NIST gedurende vier evaluatierondes in overweging hield, werd in datzelfde jaar in één weekend gekraakt. Te veel nadruk leggen op één specifieke probleemfamilie is een fout die je maar één keer kunt maken. 
• Grootte en snelheid van de handtekening: Het toepassingsgebied voor digitale handtekeningen is enorm en gevarieerd. TLS, SSH, IKE, IPsec, OCSP, DNSSEC, certificaattransparantie, documentondertekening, codeondertekening, firmware-updates. Elk van deze methoden heeft zijn eigen bandbreedte en tijdsbudget, en veel van deze budgetten zijn simpelweg niet geschikt voor de huidige op roosters en hashes gebaseerde digitale handtekeningen. NIST vroeg om schema's die dat wél zouden kunnen.

Het antwoord is in de cijfers te zien. SQIsign van 148 bytes past in één Ethernet-frame. UOV van 96 bytes is in tienduizenden cycli geverifieerd. HAWK van 555 bytes is kleiner dan alles wat tot nu toe gestandaardiseerd is. Dit zijn geen theoretische voordelen; ze komen overeen met de daadwerkelijke implementaties waar het huidige portfolio problemen mee heeft. 

Wat dit betekent voor uw PQC-migratie 

Als je momenteel een post-kwantumprogramma uitvoert, verandert het nieuws van NIST niets aan je directe plannen. Het verduidelijkt ze alleen. 

De huidige migratiedoelen zijn nog steeds ML-DSA, SLH-DSA en de aankomende FN-DSA. Kandidaten voor de derde ronde zijn nog niet definitief en zullen dat ook niet snel zijn. NIST heeft zojuist de openbare raadpleging geopend over de negen overgebleven standaarden, accepteert bijgewerkte indieningspakketten tot 14 augustus 2026 en plant een nieuwe standaardisatieconferentie in de eerste helft van 2027. Beslissingen over standaardisatie volgen na die conferentie en een nieuwe ronde van cryptanalyse. Het zou een planningsfout zijn om een ​​van de negen standaarden als een doelwit voor implementatie op korte termijn te beschouwen. 

Wat de aankondiging wél verandert, is hoe je over crypto-flexibiliteit moet denken. Wanneer de standaardisatie-instantie die jouw standaarden publiceert actief op zoek is naar alternatieven voor diezelfde standaarden, is de conclusie onmiskenbaar: ontwikkel de mogelijkheid om algoritmen te wijzigen zonder de systemen eromheen opnieuw te hoeven ontwerpen. De organisaties die deze transitie het beste doorstaan, zijn de organisaties die de keuze van algoritmen als een configuratiekwestie beschouwden, en niet als een fundamentele kwestie. 

En als uw omgeving apparaten met beperkte resources, satellietverbindingen, OT-netwerken, IoT-vloten, DNSSEC of codeondertekening voor embedded firmware omvat, heeft u direct belang bij wat er vervolgens gebeurt. Besteed aandacht aan SQIsign, HAWK en de multivariate kandidaten. Het principe 'nu oogsten, later decoderen' krijgt de meeste aandacht in PQC-discussies, maar de verwante methode 'nu vertrouwen, later vervalsen' is van toepassing op alles wat vandaag de dag wordt ondertekend en tientallen jaren betrouwbaar moet blijven. Langdurig ondertekende artefacten vormen stilletjes een van de belangrijkste problemen op dit gebied.

Waar past encryptieconsulting in? 

Een echte PQC-migratie is een meerjarig programma, en het werk omvat meer dan alleen het vervangen van algoritmes. Het gaat over inventarisatie, governance, architectuur, leveranciersbeheer en de engineeringteams die daadwerkelijk met productiesystemen werken. Onze PQC-adviesdiensten zijn gebouwd rond dit complete plaatje.

We beginnen met cryptografische ontdekking en inventarisatie van certificaten, sleutels, algoritmen, bibliotheken en protocollen, waar ze zich ook bevinden: on-premise, in de cloud, hybride of SaaS. De motor hierachter is CBOM Secure , ons platform voor cryptografische stuklijsten, dat u continu en machinaal leesbaar inzicht biedt in broncode, binaire bestanden, runtime-omgevingen, TLS-eindpunten, cloud KMS, HSM's en IoT.

Van daaruit voeren we een kwantumdreigingsanalyse en een analyse van de paraatheidskloof uit, waarbij activa worden geclassificeerd op basis van gevoeligheid en levensduur, kwantumkwetsbaarheid wordt beoordeeld en beleidshiaten ten opzichte van de NIST-richtlijnen worden blootgelegd. De output vormt de basis voor een PQC-strategie en een migratieplan dat is afgestemd op FIPS 203, 204, 205 en de aanstaande 206, waarbij de prioritering is gekoppeld aan uw daadwerkelijke bedrijfsrisico in plaats van een algemene tijdlijn. 

De belangrijkste investering die we onze klanten helpen doen, met name gezien de nog steeds evoluerende portfolio van NIST, is het ontwerp van een framework voor crypto-agility. Algoritmewijzigingen moeten via configuratie plaatsvinden, niet via herontwerp. Die ene ontwerpbeslissing voorkomt dat u deze migratie twee keer moet uitvoeren. 

Aan de PKI-kant is PKIaaS onze volledig beheerde, PQC-compatibele PKI. Het geeft hybride en pure kwantumveilige certificaten uit (inclusief ML-DSA), handhaaft centraal algoritmebeleid en draait op een FIPS 140-3 Level-3 HSM-ondersteunde root-CA. Voor codeondertekening centraliseert CodeSign Secure de ondertekeningsbewerkingen met hybride en PQC-compatibele ondersteuning, beleidsgestuurde goedkeuringen en HSM-ondersteunde sleutelbescherming, zonder dat u uw CI/CD-pipelines hoeft aan te passen.

Daarnaast verzorgen we de evaluatie van leveranciers en proof-of-concepts, de implementatie van hybride PQC voor PKI, applicaties en cloudworkloads, de afstemming van governance en beleid op de NIST-richtlijnen, CNSA 2.0, de tijdlijnen van de EU en het VK, en sectorspecifieke regelgeving, en de training en handleidingen die uw interne teams nodig hebben om het programma te onderhouden nadat wij ons hebben teruggetrokken. 

Weet u niet zeker waar uw organisatie staat? Begin met een vrijblijvend kennismakingsgesprek van 30 minuten waarin we uw specifieke omgeving beoordelen aan de hand van de huidige en toekomstige NIST-standaarden. Dit is met name interessant als uw omgeving OT-netwerken, IoT-vloten, DNSSEC, satellietverbindingen of langdurig ondertekende firmware omvat. Stuur een e-mail naar [email protected] of boek direct een demo om te beginnen.

Conclusie 

Het feit dat negen veelbelovende algoritmes de derde ronde hebben bereikt, is geen louter procedurele voetnoot. Het is een signaal. Het post-kwantumveld is nog steeds in beweging. Geen enkele wiskundige familie zal de volledige verantwoordelijkheid voor digitaal vertrouwen kunnen dragen. En hoe een algoritme in de praktijk presteert, is net zo belangrijk als hoe veilig het er op papier uitziet. 

De komende twee jaar zullen cryptanalyse en technische ontwikkeling uitwijzen welke van FAEST, HAWK, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign en UOV klaar zijn voor productie. 

Voor alle anderen is het stappenplan eenvoudig. Migreer naar de huidige standaarden binnen de door toezichthouders vastgestelde termijnen. Bouw de crypto-flexibiliteit op waarmee u de standaarden van morgen kunt overnemen zonder helemaal opnieuw te hoeven beginnen. En wacht niet tot de rust is teruggekeerd voordat u begint met de inventarisatie en governance, want dat is het onderdeel dat de meeste tijd in beslag neemt, ongeacht welke algoritmes uiteindelijk de overhand krijgen.