NIST-beveiligingsniveaus voor post-kwantumcryptografie: een gids voor categorieën 1-5

Stel je een kluis voor met een cijferslot. Normaal gesproken kun je die alleen openen door verschillende cijfercombinaties uit te proberen totdat je de juiste hebt gevonden.

Sommige kluizen hebben zeer lange combinaties, waardoor het miljoenen jaren zou duren om ze te raden. Daarom worden ze als veilig beschouwd. Stel je nu eens een toekomstige machine voor die direct de juiste combinatie kan zien zonder alle mogelijkheden te proberen. Kluizen die ooit onmogelijk leken te openen, zouden ineens binnen enkele seconden ontgrendeld kunnen worden.

Het nieuwe hulpmiddel is de kwantumcomputerTerwijl klassieke computers bits als basiseenheid van informatie gebruiken, gebruiken kwantumcomputers kwantumbits (qubits). Hierdoor kunnen kwantumcomputers complexe wiskundige berekeningen uitvoeren en problemen exponentieel sneller oplossen dan klassieke computers.

De sloten die in dit scenario kwetsbaar worden, zijn: RSA, Diffie-Hellman, en Elliptische curve-cryptografie (ECC), de drie algoritmen die tegenwoordig het grootste deel van het versleutelde internetverkeer beveiligen.

Decennialang waren beveiligingsbeslissingen gebaseerd op een gedeeld begrip van hoe moeilijk deze systemen te kraken waren. Maar kwantumcomputers veranderen de regels volledig. De schaal die gebruikt wordt om de beveiligingssterkte te meten, vertelt niet langer het hele verhaal.

De uitdaging is des te verontrustender omdat de dreiging nog niet volledig aanwezig is, maar we weten al wel dat die eraan komt. Daarom is de Nationaal instituut voor normen en technologie (NIST) heeft zich er bijna tien jaar op voorbereid. Hun doel was om een ​​nieuwe generatie cryptografische algoritmen te ontwerpen en te standaardiseren die bestand zijn tegen de rekenkracht van kwantumcomputers.

Deze inspanning leidde tot de ontwikkeling van Post-kwantumcryptografie (PQC). Dit verwijst naar de nieuwe klasse cryptografische algoritmen die specifiek zijn ontworpen om veilig te blijven, zelfs tegen kwantumcomputers die algoritmen zoals het algoritme van Shor kunnen uitvoeren, waarmee traditionele cryptografische systemen met publieke sleutels kunnen worden gekraakt.

Wat zijn de NIST PQC-beveiligingscategorieën?

PQC verwijst naar cryptografische algoritmen die ontworpen zijn om veilig te blijven tegen aanvallen van zowel klassieke als kwantumcomputers. NIST definieert vijf beveiligingscategorieën (1-5), elk gekoppeld aan een specifiek, goed begrepen referentieprobleem dat zelfs tegen kwantumhardware computationeel moeilijk blijft. De categorieën zijn verdeeld over twee soorten problemen:

• Categorieën 1, 3 en 5 zijn gebaseerd op brute-force-aanvallen op sleutels tegen respectievelijk AES-128, AES-192 en AES-256, het aanvalsmodel dat relevant is voor encryptie en sleuteluitwisseling. Categorie 1 komt overeen met het beveiligingsniveau van de huidige standaard internetprotocollen; categorie 3 is de door NIST aanbevolen standaard voor nieuwe implementaties; categorie 5 is ontworpen voor langdurige geheimen, root-certificaatinstanties en systemen met een hoge mate van betrouwbaarheid.
• Categorieën 2 en 4 zijn gebaseerd op botsingsdetectie tegen respectievelijk SHA-256 en SHA-384, het aanvalsmodel dat relevant is voor digitale handtekeningen en hash-gebaseerde schema's.

Wat staat er nu eigenlijk op het spel?

De meeste versleutelde gegevens worden tegenwoordig beschermd door een van de drie algoritmen: RSA, Diffie-Hellman of ECC. Ze zijn alle drie gebaseerd op hetzelfde principe: hun beveiliging komt voort uit wiskundige problemen die extreem moeilijk te kraken zijn.

Bijvoorbeeld:

• RSA is gebaseerd op de moeilijkheid om zeer grote getallen te ontbinden in hun priemfactoren.
• De Diffie-Hellman-methode is afhankelijk van de moeilijkheidsgraad van het discrete logaritme-probleem.
• ECC is gebaseerd op het oplossen van het discrete logaritme-probleem van een elliptische kromme.

Voor klassieke computers zijn deze problemen op grote schaal rekenkundig onhaalbaar. En dit is wat uw TLS-verbindingen, SSH-sessies, digitale handtekeningen en versleutelde e-mails vandaag de dag beschermt.

In 1994 toonde wiskundige Peter Shor echter aan dat een voldoende krachtige kwantumcomputer zowel factorisatieproblemen als discrete logaritme-problemen in polynomiale tijd kon oplossen, exponentieel sneller dan elke bekende klassieke methode.

De praktische implicatie is dramatisch. Om het uit te leggen: het kraken van RSA-2048 met klassieke computers zou ongeveer 2¹¹² bewerkingen vereisen, een hoeveelheid zo groot dat het met de huidige technologie praktisch onmogelijk is. Maar Shors algoritme suggereert dat een kwantumcomputer hetzelfde probleem met slechts duizenden bewerkingen zou kunnen oplossen.

Als grootschalige kwantumcomputers dus praktisch uitvoerbaar worden, zullen alle drie de pijlers van de moderne publieke-sleutelcryptografie, waaronder RSA, Diffie-Hellman en ECC, kwetsbaar zijn voor voldoende grote, fouttolerante kwantumcomputers die het algoritme van Shor uitvoeren. En daarmee ook een groot deel van de bestaande publieke-sleutelinfrastructuur van het internet.

Symmetrische cryptografiealgoritmen zoals AES of ChaCha20, die de gegevens versleutelen nadat de sleutels zijn uitgewisseld, zijn niet gebaseerd op dezelfde algebraïsche structuren die het algoritme van Shor benut.

Er bestaat een kwantumalgoritme dat symmetrische effecten beïnvloedt. encryptie Dit staat bekend als het Grover-algoritme, dat brute-force-zoekopdrachten naar sleutels versnelt. Het voordeel ervan is echter slechts kwadratisch, niet exponentieel.

Simpel gezegd betekent dit dat de effectieve beveiliging van AES-128 tegen een kwantumaanvaller daalt van 2¹²⁸ bewerkingen naar ongeveer 2⁶⁴. Dat klinkt misschien alarmerend, maar in de praktijk valt het reuze mee.

Het directe en veel urgentere probleem ligt daarom aan de kant van de publieke-sleutelcryptografie. Als cryptografische algoritmen met publieke sleutels kwetsbaar blijken, heeft het internet namelijk vervanging nodig door algoritmen die gebaseerd zijn op wiskundige problemen die zelfs kwantumcomputers niet efficiënt kunnen oplossen.

Dat vakgebied staat bekend als PQC, en dat is precies waar NIST bijna tien jaar aan heeft besteed om te evalueren en te standaardiseren. Maar het kiezen van de juiste algoritmen was slechts de helft van de uitdaging. Het moeilijkere probleem was om erachter te komen hoe je hun veiligheid überhaupt kon meten.

Waarom werkt de traditionele beveiligingsschaal niet met PQC?

Bij klassieke cryptografie is het meten van de beveiliging relatief eenvoudig. Onderzoekers bestuderen de bekendste aanval op een algoritme, schatten hoeveel bewerkingen die aanval zou vereisen en nemen vervolgens de logaritme met grondgetal 2 van dat getal. Het resultaat is het beveiligingsniveau van het algoritme in bits.

Omdat verschillende cryptografische systemen allemaal met dezelfde meeteenheid kunnen worden uitgedrukt, kunnen ze direct met elkaar worden vergeleken. Bijvoorbeeld:

• AES-128 biedt ongeveer 128 bits beveiliging, wat betekent dat de bekendste aanval ongeveer 2 bits aan beveiliging zou vereisen.¹²⁸ operaties.
• ECDH, dat gebruikmaakt van de P-256-curve, biedt ongeveer 128 bits aan beveiliging, gebaseerd op de moeilijkheid van het oplossen van het discrete logaritme-probleem op elliptische krommen.
• RSA-3072 valt ook in ongeveer het 128-bits beveiligingsbereik, gebaseerd op de geschatte moeilijkheid om een ​​3072-bits geheel getal te ontbinden in factoren.

PQC geniet nog niet hetzelfde niveau van langetermijnvertrouwen als klassieke cryptografie, omdat het gebaseerd is op relatief nieuwe aannames over beveiligingshardheid, zoals Learning With Errors (LWE), syndroomdecodering vanuit foutcorrectiecodes en hash-gebaseerde constructies. Daardoor blijven de beveiligingsschattingen voor deze schema's zich ontwikkelen door voortdurend onderzoek en cryptanalyse.

Naarmate het proces vorderde, begon voortdurende cryptanalyse echter een aantal van die aannames te betwisten. In meerdere gevallen moesten de veiligheidsschattingen naar beneden worden bijgesteld, omdat onderzoekers efficiëntere aanvallen ontdekten. Dit was geen mislukking van het proces; het proces werkte zoals bedoeld en legde zwakke punten bloot onder aanhoudend wereldwijd toezicht.

Het meest treffende voorbeeld was SIKESIKE werd aanvankelijk beschouwd als een veelbelovende kandidaat, maar bleek uiteindelijk onbruikbaar nadat onderzoekers een nieuwe klassieke aanval ontdekten waarmee privésleutels binnen enkele uren op een standaardlaptop konden worden achterhaald, zonder dat er kwantumhardware aan te pas kwam. Dit resultaat was doorslaggevend en leidde ertoe dat SIKE niet langer in aanmerking kwam.

Het eerste probleem is dus dat precieze beweringen over de bitbeveiliging van nieuwe PQC-algoritmen slechts zo betrouwbaar zijn als de huidige stand van de cryptanalyse, die zich nog steeds actief ontwikkelt.

De tweede uitdaging komt van onzekerheid over de hardwareOm de weerstand tegen kwantumaanvallen te kunnen inschatten, is het nodig te voorspellen hoe toekomstige kwantumcomputers er daadwerkelijk uit zullen zien.

Het derde probleem is nog fundamenteler. Klassieke en kwantumoperaties zijn geen vergelijkbare eenheden. Een kwantumpoort kost volgens huidige schattingen ongeveer een miljard tot een biljoen keer meer dan een klassieke poort, zowel qua hardware, energie als tijd.

Geconfronteerd met deze onzekerheden, NIST koos voor een andere aanpak.In plaats van te proberen precieze numerieke beveiligingsniveaus toe te kennen aan nieuwe PQC-algoritmen, kozen ze ervoor om beveiliging te definiëren. ter vergelijkingwaarbij nieuwe systemen worden verankerd aan de welbekende sterkte van bestaande klassieke cryptografie.

Het kernidee van referenties voor kwantumveilige algoritmen

Het door NIST ontwikkelde raamwerk is gebaseerd op een eenvoudige observatie: zelfs als we niet met zekerheid kunnen zeggen dat een post-kwantumcryptografisch algoritme precies X bits aan kwantumbeveiliging heeft, kunnen we nog steeds bepalen of het moeilijker of gemakkelijker te kraken is dan een referentieprobleem dat we al goed begrijpen.

In plaats van een precieze meting na te streven, definieert NIST beveiligingsdrempels. De gekozen referentieproblemen zijn AES-sleutelzoekacties en botsingszoekacties op specifieke hashbreedtes, SHA-256 voor categorie 2 en SHA-384 voor categorie 4. SHA-256 en SHA-384 behoren beide tot de SHA-2-familie, maar de beveiligingscategorieën van NIST verwijzen niet naar de familie als geheel; ze specificeren individuele hash-uitvoerlengtes omdat elke breedte een aparte beveiligingsdrempel oplevert.

De 256-bits uitvoer van SHA-256 biedt 128 bits botsingsbestendigheid (volgens de verjaardagsparadox), wat precies de ondergrens is die categorie 2 vereist. SHA3-256 uit de nieuwere SHA-3-familie biedt een gelijkwaardige garantie en wordt formeel door NIST, naast SHA-256, erkend als een acceptabele referentie voor categorie 2. Deze symmetrische primitieven zijn uitgebreider bestudeerd dan vrijwel elke andere cryptografische bouwsteen.

Duizenden onderzoekers hebben ze geanalyseerd, evenals de kwantumaanvallen erop, met name het Grover-algoritme, dat de sleutelzoekkant beïnvloedt, en het Brassard-Høyer-Tapp-algoritme, dat de botsingszoekkant beïnvloedt. Omdat deze referentieproblemen goed geanalyseerd zijn, bieden ze een stabiel anker. In plaats van te zeggen "dit algoritme heeft 143 bits beveiliging", zegt NIST iets praktischers:

Dit algoritme moet minstens even moeilijk te kraken zijn als AES-192, ongeacht de aanval die we realistisch kunnen simuleren.

Dat is geen exact getal. Het is een categorie. En omdat de referentieproblemen zelf goed begrepen zijn, blijft de categorie betekenisvol, zelfs nu de kwantumhardware zich ontwikkelt en er nieuwe cryptanalysemethoden ontstaan. Het resultaat zijn vijf beveiligingscategorieën, elk gekoppeld aan een specifieke referentietaak.

De vijf beveiligingscategorieën

Om de evaluatie van post-kwantumalgoritmen te standaardiseren, heeft NIST vijf beveiligingscategorieën gedefinieerd op basis van de geschatte moeilijkheid om gevestigde cryptografische primitieven zoals AES en SHA-2 te kraken, zowel onder klassieke als kwantumaanvallen. Elke categorie vertegenwoordigt een andere beveiligingssterkte, aanvalsmodel en doelstelling voor bescherming op de lange termijn, waardoor organisaties de juiste algoritmen kunnen kiezen voor encryptie, digitale handtekeningen en gegevensbeveiliging op de lange termijn. Laten we elke categorie in detail bekijken.

Categorie 1

Categorie 1 is gebaseerd op brute-force sleutelzoekacties tegen AES-128. Een aanvaller die een post-kwantumalgoritme van categorie 1 probeert te kraken, moet minstens evenveel rekenkracht leveren als het uitproberen van elke mogelijke 128-bits AES-sleutel. Wanneer realistische circuitkosten worden meegerekend, komt dit overeen met ongeveer 2¹⁴³ klassieke poortbediening.

In klassieke cryptografische termen komt dit beveiligingsniveau ruwweg overeen met RSA-3072 en de NIST P-256-curve die in moderne ECC wordt gebruikt. Dit is het beveiligingsniveau dat tegenwoordig voor de meeste TLS-verbindingen op het internet geldt.

Voor organisaties waarvan de gegevens de komende vijf tot tien jaar vertrouwelijk moeten blijven, biedt de migratie van RSA-3072 naar een post-quantumalgoritme van categorie 1 een vergelijkbare beveiligingspositie.

Het concrete algoritme dat op dit niveau werkt, is ML-KEM-512, de kleinste parameterverzameling van het Kyber-sleutelinkapselingsmechanisme. Het gebruikt een publieke sleutel van 800 bytes en een versleutelde tekst van 768 bytes. Ter vergelijking: Elliptic Curve Diffie-Hellman op P-256 bereikt dezelfde functie met een publieke sleutel van 64 bytes. Dat verschil illustreert wat veel ingenieurs informeel de 'post-kwantumbelasting' noemen.

Categorie 2

Categorie 2 verschuift het referentieprobleem van sleutelzoeking naar botsingszoeking op SHA-256. Dit onderscheid is belangrijk omdat encryptie en digitale handtekeningen op fundamenteel verschillende manieren worden aangevallen.

Het kraken van encryptie is doorgaans een sleutelzoekprobleem, waarbij de aanvaller probeert een specifieke geheime sleutel te achterhalen. Het vervalsen van een digitale handtekening is daarentegen vaak een botsingsprobleem. De aanvaller probeert twee verschillende invoerwaarden te vinden die dezelfde hashwaarde opleveren, zodat een kwaadwillig document een legitiem document kan vervangen en tegelijkertijd de handtekening kan verifiëren.

Deze twee aanvalstypen gedragen zich anders onder kwantumcomputers. Door ze als equivalent te beschouwen, zouden signature-schema's worden geëvalueerd aan de hand van een verkeerd dreigingsmodel, en daarom bestaat categorie 2.

Voor SHA-256 vereist de klassieke botsingsdetectie ongeveer 2¹²⁸ bewerkingen, gebaseerd op de verjaardagsparadox. Een kwantumalgoritme, bekend als het Brassard-Høyer-Tapp-algoritme, reduceert dit tot ongeveer 2⁸⁵ dergelijke operaties vereisen weliswaar een enorme hoeveelheid kwantumgeheugen van vergelijkbare omvang. Hardware die een dergelijke aanval kan ondersteunen bestaat momenteel niet en wordt ook niet op korte termijn verwacht.

Daarom plaatst NIST categorie 2 iets lager dan categorie 3. In de meeste plausibele technologische scenario's zouden SHA-256-botsingen iets eerder mogelijk worden dan AES-192-sleutelherstel.

Het kenmerkende schema dat voor deze categorie is ontworpen, is ML-DSA-44, de kleinste parameterverzameling van de Dilithium-familie voor digitale handtekeningen.

Categorie 3

Categorie 3 is gebaseerd op het zoeken naar sleutels met behulp van brute force tegen AES-192, wat overeenkomt met ongeveer 2²⁰⁷ klassieke poortbewerkingen. Op het eerste gezicht lijkt de verhoging van het beveiligingsniveau van categorie 1 naar categorie 3 bescheiden, omdat de sleutelgrootte slechts met 64 bits toeneemt. In de praktijk is dat verschil enorm. Een kloof van 2⁶⁴ Dat komt neer op ongeveer 18 quintiljoen keer meer rekenkracht. Als het kraken van een systeem van categorie 1 zou vereisen dat elke computer op aarde een miljard jaar lang onafgebroken draait, dan zou het kraken van een systeem van categorie 3 18 quintiljoen keer meer werk vergen.

In klassieke cryptografische termen komt categorie 3 ruwweg overeen met RSA 7680 bits of de NIST P-384 elliptische-curve standaard. De P-384 curve werd historisch gebruikt voor geheime, geclassificeerde communicatie binnen het NSA Suite B-raamwerk van de NSA.

Categorie 3 is het niveau dat NIST aanbeveelt voor de meeste nieuwe implementaties. Het biedt een comfortabele veiligheidsmarge voor een beschermingsperiode van 10 tot 20 jaar en past binnen de verwachte ontwikkeltijdlijn voor grootschalige kwantumcomputers.

De belangrijkste algoritmen die op dit niveau actief zijn, zijn ML-KEM-768 voor sleutelinkapseling en ML-DSA-65 voor digitale handtekeningen. Hun publieke sleutels zijn respectievelijk ongeveer 1184 bytes en 1952 bytes groot, waardoor ze waarschijnlijk de meest gebruikte parameterreeksen zullen zijn voor de meeste praktijktoepassingen na het kwantumtijdperk.

Categorie 4

Categorie 4 is de botsingsdetectievariant van Categorie 3. In plaats van te verwijzen naar AES-sleuteldetectie, is deze gebaseerd op de botsingsbestendigheid van SHA-384, wat overeenkomt met ongeveer 2.¹⁹² klassieke operaties.

In de praktijk dient categorie 4 voornamelijk als een analytisch kader in plaats van een algemeen beoogd implementatieniveau. Categorieën 2 en 4 fungeren als tussenliggende benchmarks die worden gebruikt om schema's te evalueren die sterk afhankelijk zijn van beveiligingsveronderstellingen gebaseerd op hashfuncties.

Categorie 5

Categorie 5 vertegenwoordigt het hoogste beveiligingsniveau binnen het framework. Het is gebaseerd op een brute-force-sleutelzoekactie tegen AES-256, wat overeenkomt met ongeveer 2%.²⁷² klassieke poortbediening.

Bij een kwantumaanval met behulp van Grovers algoritme worden de kosten ongeveer 2.²⁹⁸ / MAXDEPTH kwantumpoorten, waarbij MAXDEPTH de realistische limiet aangeeft voor hoe lang een kwantumberekening sequentieel kan draaien voordat ruis en overheadkosten voor foutcorrectie verdere uitvoering onmogelijk maken.

Zelfs met optimistische prognoses voor de ontwikkeling van kwantumhardware blijft dit rekenniveau ver buiten het bereik van een plausibele tegenstander. In klassieke termen komt categorie 5 ruwweg overeen met RSA 15360 bits of de NIST P-521-curve. P-521 was de curve die werd aanbevolen voor TOP SECRET-communicatie binnen het Suite B-cryptografisch raamwerk.

Deze categorie is geschikt voor root-certificaatinstanties, vertrouwelijke overheidscommunicatie, langdurige encryptiesleutels en systemen die ontworpen zijn om bestand te zijn tegen de Oogst nu, decodeer later. Een dreigingsmodel waarbij tegenstanders vandaag de dag versleutelde gegevens opslaan in de hoop deze te kunnen decoderen zodra kwantumcomputers beschikbaar komen.

Verschillende post-kwantumalgoritmen werken op dit niveau, waaronder ML-KEM-1024, ML-DSA-87 en SLH-DSA-SHA2-256s.

PQC-algoritmefamilie	Parametersets	Beveiligingscategorie
ML-DSA	ML-DSA-44	2
	ML-DSA-65	3
	ML-DSA-87	5
SLH-DSA	SLH-DSA-SHA2-128[s/f]	1
	SLH-DSA-SHAKE-128[s/f]	1
	SLH-DSA-SHA2-192[s/f]	3
	SLH-DSA-SHAKE-192[s/f]	3
	SLH-DSA-SHA2-256[s/f]	5
	SLH-DSA-SHAKE-256[s/f]	5
LMS, HSS	Met SHA-256/192	3
	Met SHAKE256/192	3
	Met SHA-256	5
	Met SHAKE256	5
XMSS, XMSSMT	Met SHA-256/192	3
	Met SHAKE256/192	3
	Met SHA-256	5
	Met SHAKE256	5
ML-KEM	ML-KEM-512	1
	ML-KEM-768	3
	ML-KEM-1024	5

De misvatting over Grover en waarom MAXDEPTH alles verandert?

Dit is het punt waar de meeste berichtgeving de mist in gaat, en als je het goed aanpakt, verandert dat je kijk op de urgentie en het risico.

De gangbare stelling is: "Het algoritme van Grover halveert de bitbeveiliging van symmetrische cryptografie. AES-128 daalt naar 64-bits beveiliging. AES-256 daalt naar 128-bits. Dus verdubbel gewoon je sleutelgroottes." Dit is technisch gezien waar in één engere zin, maar praktisch misleidend in vrijwel alle opzichten die ertoe doen.

Grover's methode biedt een kwadratische snelheidsverbetering. Dit klopt. Maar Grover's methode is inherent sequentieel; elke iteratie bouwt voort op het resultaat van de vorige. Je kunt het niet verdelen over meerdere kwantumprocessoren zoals je dat wel kunt bij klassieke berekeningen. Als je probeert te paralleliseren door meerdere kleinere Grover-zoekopdrachten parallel uit te voeren, doet elke kleinere zoekopdracht proportioneel minder nuttig werk, waardoor je exponentieel meer parallelle instanties nodig hebt om dit te compenseren. De totale kosten, inclusief hardware, energie en tijd, stijgen daardoor aanzienlijk sneller dan bij de naïeve methode.⁶⁴ schatting suggereert.

NIST legt dit vast via een parameter genaamd "MAXDEPTH", die is gedefinieerd als het realistische maximum aantal opeenvolgende kwantumpoortbewerkingen dat een kwantumcomputer in één berekening kan uitvoeren voordat decoherentie, fouten of praktische beperkingen een stop afdwingen. Plausibele waarden variëren van 2⁴⁰ (ongeveer wat kwantumarchitecturen in de nabije toekomst serieel in een jaar zouden kunnen uitvoeren, gebaseerd op de hardwarearchitecturen die werden bestudeerd toen NIST de evaluatiecriteria opstelde) tot en met 2⁶⁴ en tot een theoretisch maximum van 2⁹⁶.

Met deze beperking vereist een aanval op AES-128 via Grover 2¹⁷⁰ / MAXDEPTH kwantumpoorten. Bij MAXDEPTH 2⁴⁰, dat zijn er 2¹³⁰Bij MAXDEPTH 2⁶⁴het is 2¹⁰⁶Geen van beide getallen is 2.⁶⁴Geen van beide is goedkoop.

Voor AES-256 is de schatting 2.²⁹⁸/MAXDEPTH. Op MAXDEPTH 2⁶⁴, dat zijn er 2²³⁴Een getal dat niet wezenlijk bedreigd wordt, zelfs als de kwantumhardware vele malen beter wordt dan de huidige voorspellingen.

Dus, wanneer NIST zegt dat een categorie 1-algoritme bestand moet zijn tegen aanvallen die net zo kostbaar zijn als het zoeken naar sleutels met AES-128, bedoelen ze niet dat het 64-bits kwantumbeveiliging heeft. Ze bedoelen dat het iets dichter bij 106 tot 130 bits kwantumbeveiliging heeft, afhankelijk van de hardware-aannames.

De kostenverhouding tussen een kwantumpoort en een klassieke poort ligt momenteel ergens tussen de 10 en 10.⁹ en 10¹²Een kwantumaanval op categorie 1 die 2 vereist.¹⁰⁶ Kwantumgates, waarbij elke gate een biljoen keer zoveel kost als een klassieke gate, zullen wellicht nog lange tijd economisch minder haalbaar zijn dan een klassieke brute-force-aanval.

NIST houdt hier rekening mee door in kostenmodellen voor beveiligingsevaluaties toe te staan ​​dat kwantumgates duurder worden ingeschat dan klassieke gates. Belangrijk is ook dat NIST voor de hoogste beveiligingscategorieën aanbeveelt ervan uit te gaan dat dit kostenverschil uiteindelijk verdwijnt en dat toekomstige kwantumhardware net zo goedkoop in gebruik wordt als klassieke hardware. Categorie 5 is ontworpen om dat scenario te doorstaan.

Wat "breken" betekent

Beveiligingsniveaus hebben alleen zin als je precies definieert wat het betekent om een ​​cryptografisch algoritme te "kraken". Daarom stelt NIST beveiligingsvereisten zeer zorgvuldig vast en bepalen deze definities direct hoe beveiligingscategorieën moeten worden geïnterpreteerd.

Voor sleutelinkapselingsmechanismen (KEM's) en encryptieschema's is de vereiste beveiligingsnotie ononderscheidbaarheid onder adaptieve gekozen ciphertext-aanvallen (IND-CCA2). In de praktijk betekent dit dat zelfs als een aanvaller een enorm aantal decrypties kan aanvragen (tot (2⁶⁴Zelfs op basis van versleutelde teksten naar keuze kunnen ze nog steeds niet onderscheiden welke van twee gekozen platte teksten overeenkomt met een gegeven uitdagingsversleutelde tekst.

Dit komt nauw overeen met de realiteit, waar aanvallers verkeer kunnen observeren, verbindingen kunnen manipuleren of systemen kunnen onderzoeken via decryptiequery's. IND-CCA2 zorgt ervoor dat geen van deze mogelijkheden een significant voordeel oplevert.

In meer beperkte scenario's, zoals bij puur vluchtige sleuteluitwisseling, waarbij sleutelparen voor elke sessie opnieuw worden gegenereerd en nooit worden hergebruikt, is een zwakkere notie van toepassing. Ononderscheidbaarheid onder een Chosen Plaintext Attack (IND-CPA)Dit kan acceptabel zijn. Deze versoepeling geldt echter alleen onder strikte implementatievoorwaarden en mag niet worden gegeneraliseerd.

Voor digitale handtekeningen is de standaard Existentiële Onvervalsbaarheid onder een Gekozen Berichtaanval (EUF-CMA). Volgens deze definitie kan een aanvaller handtekeningen aanvragen voor een groot aantal berichten naar keuze (tot wel 2 berichten).⁶⁴)) maar kan nog steeds geen geldige handtekening genereren voor een nieuw bericht. De term 'existentieel' is belangrijk omdat de aanvaller zich niet hoeft te richten op een specifiek bericht; hij slaagt erin als hij een willekeurig nieuw geldig bericht-handtekeningpaar kan vervalsen. Als zelfs deze minimale vorm van vervalsing onmogelijk is, wordt het schema als veilig beschouwd.

Om aan een bepaalde PQC-beveiligingscategorie te voldoen, moet een algoritme deze garanties ten slotte handhaven. allen relevante aanvalsmodellen: klassiek, kwantum of hybride binnen de vastgestelde kostendrempel. Een schema dat in de klassieke zin veilig is, maar kwetsbaar voor een efficiëntere kwantumaanval onder de vereiste drempel, komt niet in aanmerking, ongeacht de andere sterke punten.

Inzicht in de drie praktische eigenschappen

De vijf beveiligingscategorieën staan ​​centraal. Maar NIST heeft ook drie praktische eigenschappen geëvalueerd die bepalen of een algoritme dat in theorie aan de beveiligingsdefinitie voldoet, ook in de praktijk veilig blijft.

1. Perfecte voorwaartse geheimhouding (PFS)

Perfect forward secrecy zorgt ervoor dat zelfs als een langdurige privésleutel in de toekomst wordt gecompromitteerd, eerdere communicatie veilig blijft. Dit wordt bereikt door voor elke sessie nieuwe, tijdelijke sleutelparen te genereren en deze direct na gebruik te verwijderen.

In oudere systemen zoals RSA-gebaseerde sleuteluitwisseling is dit onpraktisch vanwege de trage sleutelgeneratie. Moderne PQC-schema's zoals ML-KEM genereren daarentegen sleutels in microseconden, waardoor forward secrecy per sessie in feite "gratis" is en de beveiliging in de praktijk aanzienlijk verbetert.

2. Zijkanaalweerstand

Side-channel-resistentie bepaalt of een algoritme veilig blijft wanneer het op echte hardware wordt geïmplementeerd. Zelfs als de wiskunde klopt, kunnen aanvallers variaties in uitvoeringstijd, energieverbruik of geheugentoegangspatronen misbruiken om geheime sleutels te achterhalen. Deze aanvallen zijn goed gedocumenteerd in echte systemen. De belangrijkste verdediging is een implementatie met constante uitvoeringstijd, waarbij het uitvoeringsgedrag niet afhankelijk is van geheime waarden. NIST heeft expliciet de voorkeur gegeven aan algoritmen die dit kunnen bereiken zonder grote prestatieverminderingen, omdat dit cruciaal is voor een veilige implementatie.

3. Weerstand tegen meerdere sleutels en misbruik

In de praktijk gaat het om grootschalige systemen en menselijke fouten, dus algoritmen moeten onder beide omstandigheden veilig blijven. Weerstand tegen aanvallen met meerdere sleutels zorgt ervoor dat de beveiliging niet significant afneemt wanneer een aanvaller zich gelijktijdig op veel sleutels richt, zoals in cloudomgevingen.

Misbruikbestendigheid richt zich op veerkracht tegen implementatiefouten zoals hergebruik van nonce's, zwakke willekeurigheid of onjuiste statusafhandeling. Ontwerpen zoals stateless hashing (in SLH-DSA) en deterministische ondertekening (in ML-DSA) verminderen de afhankelijkheid van een perfecte implementatie, waardoor de beveiliging behouden blijft, zelfs als er iets misgaat.

PQC-niveau selectiekader

Als u daadwerkelijk implementatiebeslissingen neemt, is dit het praktische kader.

1. Stem de beveiligingscategorie af op uw risicohorizon.

Als u systemen vervangt die momenteel werken met standaard internetbeveiligingsniveaus (AES-128 met RSA-3072 of ECC P-256), dan zorgt het streven naar categorie 1 of 2 ervoor dat uw bestaande basisniveau behouden blijft – dat is het minimum. Voor infrastructuur die moeilijk te upgraden is, zoals embedded systemen, HSM's of PKI's met een lange levensduur, is categorie 3 de aanbevolen standaard.

Het biedt een veiligheidsmarge tegen toekomstige ontwikkelingen, met name op het gebied van kwantumcomputing. Voor zeer gevoelige gegevens met een lange vertrouwelijkheidshorizon (meer dan 20 jaar), of omgevingen die blootgesteld zijn aan bedreigingen waarbij gegevens nu worden verzameld en later worden gedecodeerd, is categorie 5 de juiste keuze. De prestatievermindering ten opzichte van categorie 3 is relatief klein en wordt vaak gerechtvaardigd door de hogere betrouwbaarheid.

2. Kies algoritmen op basis van de implementatiecontext

Voor sleuteluitwisseling is ML-KEM de standaardkeuze in vrijwel alle omgevingen vanwege de balans tussen prestaties en beveiliging. Voor digitale handtekeningen is ML-DSA de praktische standaard wanneer een bescheiden toename van de handtekeninggrootte acceptabel is. SLH-DSA is daarentegen het meest geschikt voor scenario's met hoge betrouwbaarheidseisen, zoals rootcertificaatinstanties of kritieke infrastructuur voor digitale handtekeningen, waar vertrouwen op lange termijn en conservatieve aannames belangrijker zijn dan efficiëntie.

3. Ontwerp voor cryptografische flexibiliteit

Het categoriseringssysteem van NIST is bewust zo opgezet dat het een upgradepad biedt. Naarmate de rekenkracht zich ontwikkelt, kunnen lagere beveiligingsniveaus worden afgeschaft – net zoals 80-bits en 112-bits beveiliging in het verleden zijn uitgefaseerd. Het belangrijkste voordeel van PQC-standaardisatie is dat de overgang van de ene categorie naar een hogere (bijvoorbeeld van categorie 1 naar 3) doorgaans gepaard gaat met het wijzigen van parameters binnen dezelfde algoritmefamilie, en niet met het volledig vervangen van het algoritme.

Dit zorgt ervoor dat systemen die vandaag worden gebouwd, zich in de toekomst soepel kunnen aanpassen. Klopt. cryptografische behendigheid Dit betekent dat er van tevoren rekening moet worden gehouden met die overgang, zodat upgrades stapsgewijs verlopen in plaats van ingrijpend te zijn.

Hoe kan Encryption Consulting u helpen?

Als je je afvraagt ​​waar en hoe je moet beginnen met je post-kwantum Tijdens uw hele traject staat Encryption Consulting voor u klaar. U kunt op ons rekenen als uw betrouwbare partner; wij begeleiden u bij elke stap met duidelijkheid, vertrouwen en praktische expertise.  

We beginnen met een Cryptografische ontdekking en inventarisatieUw volledige omgeving wordt gescand om certificaten, sleutels, algoritmen en protocollen te identificeren in alle eindpunten, applicaties, API's en infrastructuur. Dit vormt de basis die u nodig hebt voordat een migratie kan beginnen.

Van daaruit voeren we een PQC-beoordeling Om uw blootstelling aan kwantumdreigingen te evalueren, RSA- en ECC-afhankelijke systemen te identificeren en een rapport op te stellen met prioriteiten van kwetsbare activa en risicoclassificaties.

Met die duidelijkheid ontwikkelen we een PQC-strategie en routekaartEen gefaseerd migratieplan dat is afgestemd op uw risicobereidheid, wettelijke vereisten en langetermijnbeveiligingsdoelen, inclusief cryptografische flexibiliteit zodat uw systemen zich kunnen aanpassen naarmate standaarden evolueren.

Wij ondersteunen vervolgens Leveranciersevaluatie en proefprojecten, zodat u de juiste tools kunt selecteren, proof-of-concept-tests kunt uitvoeren en de interoperabiliteit kunt valideren vóór een volledige uitrol.

Tot slot lukt het ons. Volledige implementatieHet implementeren van hybride klassieke en kwantumveilige modellen, het uitrollen van PQC over uw PKI en infrastructuur, en het instellen van monitoring voor cryptografische gezondheid op de lange termijn.

CBOM Secure

Encryptie Consulting's CBOM Secure Deze tool speelt een cruciale rol bij de voorbereiding van organisaties. In plaats van te werken met spreadsheets, handmatige OpenSSL-uitvoer of verspreide configuratiebestanden, biedt onze CBOM-tool een helder overzicht van het cryptografische gebruik in verschillende omgevingen. Het laat zien welke algoritmen in gebruik zijn, wat er moet veranderen voor beveiliging na de kwantumcomputertijd en of systemen aan de beveiligingsdoelstellingen voldoen. Voor organisaties die zich voorbereiden op bestuursvergaderingen, architectuurkeuzes of complianceplanning, biedt onze tool duidelijkheid en snelheid.

Onze CBOM Secure is meer dan alleen een rapportagetool; het versnelt ook het proces. Het automatiseert cryptografische inventarisaties, controleert TLS-configuraties, valideert algoritmen en stemt beleid af, zodat teams van de ontdekkingsfase direct naar de actiefase kunnen overgaan zonder te hoeven gissen. In toekomstige releases is Encryption Consulting van plan om geautomatiseerde oplossingen, cloud-native integraties en beleidshandhaving toe te voegen om configuraties te allen tijde in lijn te houden met de beveiligingsnormen.

Nu is een uitstekend moment om te beginnen: test PQC Breng in een testomgeving uw huidige cryptogebruik in kaart en begin met het opstellen van interne beleidsregels. Als uw organisatie kwantumveilige projecten wil testen, feedback wil geven of wil meewerken aan de ontwikkeling van nieuwe functies, moedigen wij van Encryption Consulting u aan om contact met ons op te nemen. uitreikenHoe eerder de teams beginnen, hoe gemakkelijker het werk op de lange termijn zal zijn.

Conclusie

Het belangrijkste inzicht achter de post-kwantumbeveiligingscategorieën van NIST is dat stabiliteit belangrijker is dan precisie. In plaats van te streven naar exacte bitbeveiligingswaarden, koppelt het raamwerk algoritmen aan referentieproblemen die we al goed begrijpen: sleutelzoekacties met AES en botsingsdetectie met SHA-256. Zolang een algoritme minstens zo moeilijk te kraken is als de referentietaak, blijft de categorie geldig.

Voor ingenieurs en architecten is de praktische conclusie duidelijk: Categorie 1 waarborgt de huidige basis voor internetbeveiliging, Categorie 3 is het aanbevolen doel voor de meeste nieuwe implementaties en Categorie 5 is de juiste keuze voor langdurig beveiligde systemen en systemen met een hoge mate van betrouwbaarheid.

De eerste standaardisatie van ML-KEM, ML-DSA en SLH-DSA door NIST is niet het einde van het proces. FN-DSA is afgerond en aanvullende kandidaten uit de lopende vierde evaluatieronde worden nog steeds actief overwogen. Naarmate dit ontwikkelingsproces vordert en de meeste implementaties een hybride overgangsperiode doormaken, bestaande uit klassieke en post-kwantumtechnologie, biedt het categoriekader de stabiele terminologie die nodig is om dergelijke beslissingen coherent te nemen, ongeacht protocol, infrastructuur of vertrouwenshiërarchieën.