NIST PQC-normen uitgelegd: FIPS 203, 204 en 205 voor bedrijfsteams

Kort antwoord: NIST heeft op 13 augustus 2024 drie post-kwantumcryptografiestandaarden afgerond: FIPS 203 (ML-KEM) voor sleuteluitwisseling, FIPS 204 (ML-DSA) voor algemene digitale handtekeningen en FIPS 205 (SLH-DSA) als een conservatieve, hash-gebaseerde terugvaloptie voor handtekeningen. De meeste bedrijfsomgevingen gebruiken standaard ML-KEM-768 en ML-DSA-65 voor civiel gebruik, of ML-KEM-1024 en ML-DSA-87 voor CNSA 2.0-omgevingen, en reserveren SLH-DSA voor specifieke gevallen waarin algoritmediversiteit belangrijker is dan prestaties.

Drie standaarden die op dezelfde dag worden gepubliceerd, is niet hetzelfde als drie standaarden die hetzelfde probleem oplossen. Bedrijfsteams vragen zich voortdurend af welk FIPS-document nu eigenlijk van toepassing is op hun TLS-stack, hun code-ondertekeningspipeline of hun certificeringsinstantie. Het eerlijke antwoord is dat FIPS 203, 204 en 205 nooit bedoeld waren om met elkaar te concurreren. Ze dekken verschillende taken, hebben verschillende prestatieprofielen en bevinden zich in 2026 in verschillende stadia van implementatievolwassenheid voor bibliotheken, HSM's en platforms.

Deze handleiding beschrijft wat elke standaard precies inhoudt, vergelijkt ML-KEM, ML-DSA en SLH-DSA rechtstreeks met elkaar en koppelt elke standaard aan de use case, het prestatieprofiel en de migratieafhankelijkheid die de beslissing zouden moeten bepalen. Voor een snellere, op de beslissing gerichte versie van deze vergelijking en de meest voorkomende selectiefouten, zie onze beslissingshandleiding ML-KEM vs ML-DSA vs SLH-DSA.

Key Takeaways

• FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) werden op 13 augustus 2024 door NIST definitief vastgesteld, waarmee een acht jaar durend openbaar evaluatieproces werd afgesloten.
• ML-KEM lost het sleuteluitwisselingsproces op; ML-DSA en SLH-DSA lossen het digitale handtekeningproces op. Ze zijn niet uitwisselbaar en de meeste systemen hebben zowel een KEM- als een handtekeningalgoritme nodig.
• ML-DSA is de standaardmethode voor algemene digitale handtekeningen; SLH-DSA ruilt prestaties en omvang in voor een conservatieve, op hashes gebaseerde beveiligingsaanname die onafhankelijk is van roosterberekeningen.
• De keuze van de parameterinstellingen hangt af van het beoogde gebruik: ML-KEM-768 en ML-DSA-65 voor civiele systemen, ML-KEM-1024 en ML-DSA-87 waar CNSA 2.0 van toepassing is.
• De implementatievolwassenheid verschilt in 2026 sterk per algoritme en platform, en die kloof in volwassenheid, en niet de voorkeur voor een bepaald algoritme, zou bepalend moeten zijn voor de volgorde van implementaties.

Wat FIPS 203, 204 en 205 daadwerkelijk standaardiseren

Het NIST-project voor post-kwantumcryptografie begon in 2016 met een open oproep voor het indienen van algoritmen en doorliep verschillende rondes van openbare cryptanalyse voordat NIST in 2022 de finalisten selecteerde. De minister van Handel keurde de resulterende standaarden goed op 13 augustus 2024, waarna ze de volgende dag van kracht werden.

Standaard	Algoritme	Gebaseerd op	Functie	Vervangt
FIPS203	ML-KEM (Module-Lattice-Gebaseerd Sleutel-Encapsulatiemechanisme)	KRISTALLEN-Kyber	Sleutel vestiging	RSA- en Diffie-Hellman-sleuteluitwisseling, ECDH
FIPS204	ML-DSA (Module-Lattice-Based Digital Signature Algorithm)	KRISTALLEN-Dilithium	Digitale handtekeningen	RSA- en ECDSA-handtekeningen
FIPS205	SLH-DSA (Stateless Hash-Based Digital Signature Algorithm)	SPHINCS +	Digitale handtekeningen	RSA- en ECDSA-handtekeningen als een conservatieve back-up.

ML-KEM is een sleutel-encapsulatiemechanisme, het post-kwantum equivalent van het tot stand brengen van een gedeeld geheim via een onveilig kanaal, de taak die klassieke Diffie-Hellman en ECDH tegenwoordig vervullen. ML-DSA en SLH-DSA zijn beide digitale handtekeningalgoritmen die bewijzen dat een bericht, certificaat of software-artefact afkomstig is van een specifieke privésleutel en niet is gewijzigd, de taak die RSA en ECDSA tegenwoordig vervullen. Een vierde standaard, FN-DSA (FALCON), bleef tot medio 2026 een concept als FIPS 206, en NIST selecteerde HQC in 2025 ook als een structureel onafhankelijke back-up KEM voor ML-KEM.

ML-KEM versus ML-DSA versus SLH-DSA in één oogopslag

De drie algoritmen verschillen niet alleen in hun functie. De grootte van de sleutels en handtekeningen, de beveiligingsveronderstelling waarop elk algoritme is gebaseerd en de rekenkosten bepalen allemaal waar elk algoritme in een daadwerkelijke implementatie het beste tot zijn recht komt.

Eigendom	ML-KEM (FIPS 203)	ML-DSA (FIPS 204)	SLH-DSA (FIPS 205)
Beveiligingsbasis	Moduleleren met fouten (rooster)	Moduleleren met fouten en moduleoplossing met korte gehele getallen (rooster)	Beveiliging uitsluitend op basis van hashfuncties, geen aanname van een rooster.
Parametersets	ML-KEM-512, 768, 1024	ML-DSA-44, 65, 87	Meerdere, bijvoorbeeld SLH-DSA-128s/f, 192s/f, 256s/f
Burgerlijke standaard	ML-KEM-768 (openbare sleutel ~1,184 bytes, versleutelde tekst ~1,088 bytes)	ML-DSA-65 (openbare sleutel ~1,952 bytes, handtekening ~3,309 bytes)	Geen standaardinstelling; wordt selectief gebruikt.
CNSA 2.0 parameter	ML-KEM-1024 (openbare sleutel ~1,568 bytes, versleutelde tekst ~1,568 bytes)	ML-DSA-87 (openbare sleutel ~2,592 bytes, handtekening ~4,627 bytes)	Niet inbegrepen in de CNSA 2.0-suite.
Grootte van handtekening/cijfertekst versus klassiek	Ongeveer 15 tot 25 keer groter dan ECDH	Ongeveer 15 tot 50 keer groter dan ECDSA	Ongeveer 100 tot 700 keer groter dan ECDSA (7,856 tot 49,856 bytes)
Relatieve snelheid	Snel; vergelijkbaar met of sneller dan klassieke KEM's op moderne hardware.	Snel; geschikt voor grote aantallen ondertekeningen.	Traag; ondertekenen kan honderden milliseconden per bewerking duren.
Beste pasvorm	TLS, VPN en elke vorm van sleuteluitwisseling	Algemeen gebruik voor digitale handtekeningen: code, documenten, certificaten, protocollen	Langdurige, kleinschalige ondertekening waarbij algoritmediversiteit het belangrijkst is.

Het verschil in omvang is niet alleen academisch, maar ook operationeel van belang. Een certificaatketen van vier certificaten gebouwd op ML-DSA-87 bevat ongeveer 15 tot 20 keer meer handtekeninggegevens dan dezelfde keten op ECDSA P-384. Dit vertaalt zich in grotere TLS-handshakes, meer OCSP-antwoordbytes en hogere eisen aan de doorvoersnelheid van HSM-ondertekening. De handtekeningen van SLH-DSA zijn zelfs nog een tot twee ordes van grootte groter. Dit is de directe prijs die betaald moet worden voor een beveiligingsveronderstelling die niet afhankelijk is van de hardheid van het lattice.

De juiste standaard kiezen op basis van een gebruiksscenario.

De meeste systemen vereisen een KEM-algoritme en een signatuuralgoritme die samenwerken, en niet een keuze tussen slechts drie.

• TLS- en VPN-sleuteluitwisseling: ML-KEM is de meest voor de hand liggende oplossing. Hybride constructies zoals X25519MLKEM768 combineren het met een klassieke sleuteluitwisseling tijdens het overgangsvenster.
• Codeondertekening en firmwareondertekening: ML-DSA is in de praktijk de standaard. Ondertekende artefacten moeten vaak jarenlang verifieerbaar blijven, en het prestatieprofiel van ML-DSA ondersteunt het ondertekeningsvolume dat de meeste build-pipelines vereisen.
• Hiërarchieën van certificeringsinstanties: ML-DSA is de voornaamste keuze voor uitgevende en root-CA's, en volgt dezelfde parameterlogica als bij codeondertekening.
• Zeer betrouwbare, kleinschalige en duurzame handtekeningen: SLH-DSA is geschikt wanneer een organisatie een tweede, structureel onafhankelijk ondertekeningsschema wil als verzekering tegen een toekomstige zwakte in roostercryptografie, waarbij de kosten qua omvang en snelheid voor lief worden genomen.
• Nationale veiligheidssystemen en de defensie-industriële basis: ML-KEM-1024 en ML-DSA-87 zijn de vereiste parameterreeksen onder CNSA 2.0; SLH-DSA maakt geen deel uit van die reeks.

Implementatievolwassenheid in 2026

Standaardstatus en implementatiegereedheid zijn niet hetzelfde. Alle drie de FIPS-standaarden zijn definitief, maar de bibliotheek-, HSM- en platformondersteuning voor elk ervan is in een verschillend tempo ontwikkeld.

ML-KEM heeft de breedste ondersteuning voor browsers en TLS-bibliotheken van de drie, waarbij hybride sleuteluitwisseling al mogelijk is in de huidige versies van de belangrijkste browsers en TLS-stacks. ML-DSA-ondersteuning is doorgedrongen tot de gangbare PKI-platformen voor bedrijven, inclusief algemene beschikbaarheid in Microsoft Active Directory Certificate Services op Windows Server 2025 sinds de update van mei 2026, hoewel de dekking per scenario verschilt: codeondertekening is de meest betrouwbare methode, terwijl bredere TLS-, VPN- en Remote Desktop-scenario's validatie per workload vereisen. SLH-DSA-ondersteuning is aanwezig in de belangrijkste cryptografische bibliotheken, maar wordt veel minder in productieomgevingen ingezet, wat de smallere, meer gespecialiseerde rol ervan weerspiegelt. HSM-firmwareondersteuning voor ML-KEM en ML-DSA is beschikbaar op de huidige generatie hardware van de belangrijkste leveranciers, terwijl oudere HSM-modules doorgaans een firmware-update of hardwarevernieuwing vereisen voordat ze PQC-bewerkingen kunnen uitvoeren.

Migratieafhankelijkheid en -volgorde

Geen van deze algoritmen kan op zichzelf worden ingezet, en de volgorde is belangrijker dan de keuze van het algoritme.

1. Certificeringsinstantiehiërarchieën moeten van boven naar beneden migreren. Het uitgeven van een bladcertificaat op ML-DSA voordat de uitgevende CA en de offline root zijn gemigreerd, verbreekt de vertrouwensketen die de migratie juist moest vestigen.
2. De gereedheid van de HSM beperkt de doorvoer van ondertekeningsbewerkingen. Zowel ML-DSA als SLH-DSA verhogen de reken- en opslagbelasting per ondertekeningsbewerking, en oudere HSM-partities vereisen firmwarevalidatie voordat ze in een productieomgeving betrouwbaar genoeg zijn om de vereiste snelheid te halen.
3. Hybride constructies bieden tijd, maar voegen later een tweede migratie toe. Samengestelde of dual-stack ontwerpen die een klassiek algoritme combineren met ML-KEM of ML-DSA bieden bescherming tegen onvolwassen PQC-implementaties, maar ze moeten het klassieke component nog steeds afwerpen vóór de door NIST voorgestelde datum van 2035 waarop kwantumkwetsbare publieke-sleutelalgoritmen niet langer zijn toegestaan.
4. Ontdekking moet voorop staan. Een nauwkeurige inventarisatie van waar RSA, ECDSA en ECDH momenteel daadwerkelijk worden gebruikt, gekoppeld aan eigenaar en kritikaliteit, is de basis voor elke beslissing over de volgorde van de behandelingen.

Wat we daadwerkelijk zouden aanbevelen

Voor de meeste teams buiten de nationale veiligheidsdiensten is ML-KEM-768 voor sleuteluitwisseling en ML-DSA-65 voor ondertekening de juiste standaard: beide voldoen aan NIST's beveiligingsniveau Categorie 3, beide hebben solide bibliotheek- en platformondersteuning in 2026, en beide houden de certificaat- en handshake-groottes beheersbaarder dan de hoogste parameterwaarden. Teams die verwachten te verkopen aan de nationale veiligheidsdiensten of de defensie-industrie, zouden vanaf het begin moeten ontwerpen voor ML-KEM-1024 en ML-DSA-87 in plaats van later aanpassingen te doen, aangezien CNSA 2.0 de civiele standaarden niet accepteert. Reserveer SLH-DSA voor een beperkt aantal zeer betrouwbare ondertekeningsscenario's waarbij een tweede, onafhankelijke beveiligingsveronderstelling de kosten qua omvang en prestaties rechtvaardigt, en niet als algemene standaard. Welke combinatie een team ook kiest, het moeilijkste probleem is zelden de algoritmekeuze. Het is weten waar klassieke algoritmen vandaag de dag daadwerkelijk worden gebruikt, en daarom is cryptografische ontdekking, en niet de standaardkeuze, meestal het eerste echte obstakel waar teams tegenaan lopen.

Hoe encryptieconsultancy kan helpen

De juiste combinatie van ML-KEM, ML-DSA en SLH-DSA kiezen is een beslissing die afhangt van de specifieke systemen, wettelijke verplichtingen en huidige cryptografische infrastructuur van een organisatie, en niet van een standaardoplossing die voor iedereen geschikt is. Onze PQC Advisory Services begeleiden u bij deze beslissing: we beoordelen welke parameterreeksen geschikt zijn voor elke systeemcategorie, we bepalen de volgorde van de hierboven beschreven CA-migratie (van root naar root) en we stellen een gefaseerd stappenplan op dat is afgestemd op de FIPS 203, 204 en 205 en, waar van toepassing, de CNSA 2.0-vereisten.

Dat advieswerk is alleen geldig als het begint met een nauwkeurig beeld van waar klassieke algoritmen vandaag de dag daadwerkelijk draaien. CBOM Secure bouwt en onderhoudt die inventaris continu, waarbij elke RSA-, ECDSA- en ECDH-instantie, samen met de bijbehorende bibliotheken en HSM-partities, wordt gekoppeld aan de systeembeheerders die de standaardselectiebeslissingen in deze handleiding moeten uitvoeren. Het is de input waarop elke migratievolgorde hierboven is gebaseerd, en de reden waarom de algoritmeselectie zonder deze input zo vaak vastloopt.

Die inventaris voedt twee verschillende uitvoeringspaden, aangezien ML-KEM en ML-DSA/SLH-DSA via verschillende infrastructuren worden beheerd. HSM-as-a-Service brengt de ML-KEM-sleuteluitwisselingsbeslissing naar productie, FIPS-gevalideerd sleutelbeheer voor TLS, VPN en alle sleuteluitwisselingsworkloads. CodeSign Secure doet hetzelfde voor de ML-DSA- en SLH-DSA-ondertekeningsbeslissing, met HSM-ondertekening voor code, firmware en langdurige artefacten. Waar de ondertekeningsbeslissing specifiek betrekking heeft op certificaatuitgifte, geeft CertSecure Manager ML-DSA- en hybride certificaten uit en beheert deze via Microsoft AD CS en andere CA-platformen vanuit één beleidslaag.

Wat betekent dit voor bedrijfsteams?

FIPS 203, 204 en 205 beantwoorden drie verschillende technische vragen, niet één. ML-KEM beveiligt de sleuteluitwisseling, ML-DSA draagt ​​de algemene ondertekeningslast en SLH-DSA is gereserveerd voor de specifieke gevallen waarin een tweede, onafhankelijke beveiligingsaanname de kosten qua omvang en snelheid waard is. De standaarden zelf zijn vastgelegd; wat nog steeds verschilt per organisatie is de parameterselectie, de implementatievolwassenheid op de specifieke gebruikte platforms en de volgorde die nodig is om een ​​PKI-hiërarchie veilig te migreren. Teams die de standaardselectie als het moeilijkste onderdeel beschouwen, ontdekken vaak dat de werkelijke beperking ligt in de kennis van de locatie van hun klassieke cryptografie.

Veelgestelde Vragen / FAQ

Zijn FIPS 203, 204 en 205 definitieve normen of concepten?

Alle drie zijn definitief. De minister van Handel van NIST heeft ze op 13 augustus 2024 goedgekeurd, met ingang van 14 augustus 2024. Het zijn productieklare standaarden, geen concepten, in tegenstelling tot NIST IR 8547 of het concept FIPS 206 (FN-DSA), die tot medio 2026 de status van concept behielden.

Heb ik alle drie de standaarden nodig, of kan ik er één kiezen?

Vrijwel elk systeem heeft minstens één KEM- en één handtekeningalgoritme nodig, dus ML-KEM plus ML-DSA of SLH-DSA is het realistische minimum. SLH-DSA is doorgaans een aanvulling op ML-DSA en geen vervanging ervan; het wordt selectief gebruikt wanneer de onafhankelijke beveiligingsveronderstelling de prestatiekosten waard is.

Waarom heeft NIST twee handtekeningstandaarden in plaats van één?

Algoritme-diversiteit is een bewuste voorzorgsmaatregel. ML-DSA en SLH-DSA berusten op verschillende wiskundige aannames, namelijk roosterproblemen versus hashfunctiebeveiliging, zodat een toekomstige zwakte in roostercryptografie niet beide tegelijk in gevaar brengt. NIST handhaaft SLH-DSA specifiek als die structureel onafhankelijke fallback.

Welke parameterreeksen moeten organisaties die onder de CNSA 2.0-regelgeving vallen, gebruiken?

ML-KEM-1024 voor sleutelgeneratie en ML-DSA-87 voor digitale handtekeningen, beide in NIST-categorie 5. CNSA 2.0 bevat geen SLH-DSA in zijn algoritmesuite.

Betekent de invoering van deze normen dat AES ook moet veranderen?

Nee. FIPS 203, 204 en 205 behandelen publieke-sleutelcryptografie, waarbij het algoritme van Shor een kwantumcomputer een exponentieel voordeel geeft. AES-256 is een symmetrisch algoritme en wordt bij die sleutelgrootte al als kwantumresistent beschouwd, wat rekening houdt met het algoritme van Grover.