Beoordeel de waarde van postkwantumbescherming op basis van hoe lang gegevens vertrouwelijk moeten blijven, niet op basis van een geschatte datum in de toekomst.
‘Nu verzamelen, later ontsleutelen’, of HNDL, betekent dat een aanvaller nu versleutelde gegevens verzamelt in de hoop in de toekomst over de middelen te beschikken om ze te lezen. In het kwantumscenario gaat de grootste zorg over bepaalde methoden met openbare sleutels die een voldoende krachtige kwantumcomputer zou kunnen aanvallen.
Dit risico betekent niet dat alle berichten van vandaag al zijn gekraakt, of dat er een vaststaande datum is waarop dat gebeurt. Het belang ervan hangt af van de gebruikte cryptografie, de gegevens die verzameld kunnen worden en hoe lang de informatie vertrouwelijk moet blijven.
Waarom is de vertrouwelijkheidsduur belangrijk?
Een alledaags bericht om iets af te spreken kan na een paar uur weinig waarde meer hebben, terwijl een contract, een persoonlijk dossier of de identiteit van een journalistieke bron jarenlang gevoelig kan blijven. Dat verschil moet meewegen bij de keuze van bescherming en het migratieplan.
NIST wijst in zijn uitleg over postkwantumcryptografie op dit risico voor gegevens die lang gevoelig blijven en op de tijd die een migratie kost. Wanneer er een kwantumcomputer komt die bestaande cryptografie kan kraken, is onbekend. Plannen onder onzekerheid is iets anders dan een vaste dag aanwijzen waarop de beveiliging instort.
| Vraag over je gegevens | Waarom is dit belangrijk? |
|---|---|
| Hoe lang moeten ze vertrouwelijk blijven? | Dit bepaalt de mogelijke waarde van een toekomstige onthulling |
| Wie zou er een kopie van kunnen verzamelen? | Dit brengt de mogelijkheden en toegang van de aanvaller in de beoordeling |
| Hoe worden de sleutels aangemaakt en bewaard? | Alleen de naam van het algoritme voor inhoudsversleuteling, zoals AES, is geen volledig antwoord |
| Welke kopieën staan in back-ups of op apparaten? | Voor sommige manieren waarop gegevens kunnen uitlekken, is helemaal geen kwantumcomputer nodig |
Deze tabel is een hulpmiddel bij het nemen van beslissingen, geen statistische score of bewijs dat jouw specifieke gegevens zijn onderschept.
Wat doet ML-KEM?
De standaard FIPS 203 definieert het ML-KEM-mechanisme om een gedeeld geheim tot stand te brengen. ML-KEM-768 is een van de bijbehorende parametersets. Het verkregen geheim kan binnen een protocol worden gebruikt om een sleutel voor inhoudsversleuteling af te leiden; ML-KEM is zelf geen methode om rechtstreeks een film of een lange tekst te versleutelen.
Postkwantumbestendigheid is geen bewijs dat iets voor altijd onkraakbaar is. De veiligheid hangt af van wiskundige aannames, de juiste combinatie van algoritmen, de implementatie en het sleutelbeheer. De naam ML-KEM op een productpagina is geen onafhankelijke certificering van de volledige berichtenapp.
Waarom wordt een hybride aanpak gebruikt?
Een hybride ontwerp combineert klassiek en postkwantum-sleutelmateriaal met een specifiek mechanisme, zodat het niet van één familie van algoritmen afhangt. Het doel kan zijn om de vertrouwelijkheid te behouden als een van de componenten wordt gekraakt. Of dat lukt, hangt echter af van het ontwerp van het combinatiemechanisme en de aannames van het protocol; twee algoritmenamen naast elkaar zetten is niet genoeg.
Forward secrecy en beveiliging na een compromittering, of post-compromise security, zijn ook afzonderlijke eigenschappen. Een protocol moet duidelijk maken welke periode wordt geraakt als een bepaalde sleutel uitlekt, en welke nieuwe invoer nodig is om de beveiliging te herstellen. Alleen een deterministische keten laten doorlopen, verwijdert geen aanvaller die nog op het apparaat aanwezig is.
Wat betekent dit voor gebruikers van Livara?
De beveiligingsdocumentatie van Livara beschrijft het gecombineerde gebruik van P-256 en ML-KEM-768 voor LVR1 en de distributie van groepssleutels via paarsgewijze sessies. Dit is de beschrijving van de maker. Beoordeel de productversie, de dekking van elk gesprekstype en het technische bewijs afzonderlijk.
Leid uit de bescherming van één berichttype niet af dat alle functies beschermd zijn. Voor oproepen, back-ups, openbare kanalen en identiteitsherstel kunnen andere regels gelden. Het dreigingsmodel van Livara en de checklist voor het kiezen van een veilige berichtenapp zijn geschiktere vertrekpunten dan een algemeen label ‘kwantum’.
Wat wordt niet opgelost door sleutels postkwantumbestendig te maken?
- Malware of toegang tot een apparaat waarop ontsleutelde inhoud zichtbaar is.
- Een ontvanger die het bericht opslaat, fotografeert of verder verspreidt.
- Metadata die het product bewust bewaart voor de routering.
- Een back-up die niet afzonderlijk wordt beschermd.
- Het opnieuw vastleggen van inhoud die al is uitgelekt.
Een upgrade van vandaag verandert bovendien niets aan de kopie van het verkeer die een aanvaller al eerder heeft verzameld. Lees de uitleg over metadata van berichtenapps voor het verschil tussen inhoud en bijkomende informatie.
Waar begin je?
Breng eerst in kaart welke gegevens lang vertrouwelijk moeten blijven. Vraag vervolgens in welke versie en in welke gegevensstroom postkwantumbescherming daadwerkelijk actief is, welke specificaties en beoordelingen zijn gepubliceerd en welke beperkingen gelden voor herstel. Blijf ondertussen apparaten bijwerken, contacten verifiëren en back-ups beveiligen; deze risico’s bestaan ook nu al.
Moet ik ervan uitgaan dat al mijn berichten in de toekomst worden gelezen?
Nee. Die conclusie is niet te onderbouwen zonder het cryptografische ontwerp en de mogelijkheden van de aanvaller te kennen. HNDL is een reden om bescherming te plannen die past bij gevoelige gegevens, geen zekerheid dat alle berichten worden onthuld.
Is end-to-endversleuteling op zichzelf postkwantumbestendig?
Nee. End-to-endversleuteling gaat over waar toegang tot sleutels en inhoud mogelijk is; de weerstand tegen kwantumaanvallen hangt af van de algoritmen en het protocol.
