Quantumcomputers: een forse inbreuk op vertrouwelijkheid

Op de korte termijn is het van belang dat organisaties zich bewust zijn van de komst van quantum-computers en de risico’s voor de organisatie. Organisaties zullen een impactanalyse moeten uitvoeren om goed voorbereid te zijn op de opmars van quantumcomputers. Vanwege de vigerende privacywetgeving zijn veel processen en gegevens al in kaart gebracht en dat versnelt de voorbereiding.

De impactanalyse zal alle datastromen binnen de organisatie moeten identificeren. Dit houdt in dat de bron van de data wordt opgezocht en het pad van de data vanaf die bron wordt gevolgd totdat deze wordt verwijderd of voor lange tijd wordt opgeslagen. Met name connecties vanuit de organisatie naar de buitenwereld zijn belangrijk om in kaart te brengen. Hierbij moet ook rekening worden gehouden met digitale handtekeningen en certificaten, aangezien deze een vorm van versleuteling omvatten. Voor het volgen van de data is het nuttig om een onderscheid te maken tussen data die op een device is opgeslagen (statische data) en data die wordt uitgewisseld tussen twee devices (data in transit). Voor deze twee typen data moeten verschillende factoren worden meegenomen in de impactanalyse.

Door voor iedere datastroom te analyseren om welke data het gaat en de bijbehorende vragen te beantwoorden, geeft de impactanalyse een duidelijk beeld van de weg naar een veilige post-quantumwereld. De impactanalyse geeft inzicht in de eerdergenoemde factoren: implementatietijd, beschermingstijd en locaties. Met een goed zicht op deze factoren is uw organisatie in staat om de juiste maatregelen op de juiste momenten te nemen.

Uit de impactanalyse kan volgen dat u met gevoelige data met een zeer lange beschermingstijd werkt. Mocht dit het geval zijn kan uw organisatie direct een aantal maatregelen treffen om de veiligheid van de informatie te waarborgen. Vaak zullen dit maatregelen zijn met een korte implementatietijd. Het doel van deze maatregelen is niet om definitief beschermd te zijn, maar om de tijd tot quantumcomputers met voldoende rekenkracht te vergroten.

Het is in elk geval goed om het versleutelingsbeleid te herijken of, als dat er nog niet is, om het op te stellen. Als gegevens met symmetrische versleuteling worden uitgewisseld dan moet geverifieerd worden dat het algoritme en sleutellengte sterk genoeg zijn om bestand te zijn tegen quantumcomputers. Voor het gestandaardiseerde en veel gebruikte algoritme AES wordt een lengte van 256 bits aangeraden. Een dergelijke maatregel is relatief simpel te implementeren en zorgt ervoor dat uw gegevens langere tijd veilig zijn voor quantumcomputers.
Als informatie met een lange beschermingstijd versleuteld via het internet wordt uitgewisseld dan is het gebruikelijk om een geheime sleutel zelf asymmetrisch te versleutelen en te versturen.

Quantumcomputers zijn uiterst efficiënt in het kraken van asymmetrische versleuteling en daarmee kunnen zij de sleutel achterhalen en de gegevens ontsleutelen. Door de sleuteluitwisseling op een andere wijze te doen, bijvoorbeeld door deze fysiek te transporteren met een smartcard, worden de gegevens beter beschermd.
Gelukkig zijn er vele kortetermijnmaatregelen die ervoor zorgen dat uw gegevens niet op straat belanden. Deze maatregelen zijn sterk situatie afhankelijk. Om erachter te komen of uw organisatie baat heeft bij dergelijke maatregelen en welke dat dan zijn, is het nodig om de impactanalyse uit te voeren.

Als post-quantumcryptografie beschikbaar is, kunnen organisaties overgaan op nieuwe oplossingen om hun data te beschermen. Dit zal in veel gevallen een aanzienlijke implementatietijd met zich meebrengen. Het lijkt nog een aantal jaren te duren voordat deze post-quantum algoritmes daadwerkelijk gestandaardiseerd zijn. NIST hoopt deze algoritmes aan te kondigen in 2024, maar kan dit versnellen als er doorbraken zijn op het gebied van quantumcomputers. Binnen Nederland is de TU Eindhoven betrokken bij de ontwikkeling van post-quantum cryptography .

Zodra NIST hun algoritmes aankondigt, kan een bijgewerkte impactanalyse inzicht geven op welke gebieden nog geen maatregelen genomen zijn en waar maatregelen wel gewenst zijn. De kortetermijnmaatregelen kunnen dan vervangen worden door een langetermijnbescherming tegen quantumcomputers. Dit kan in de vorm zijn van nieuwe quantumcomputer-bestendige algoritmes, maar ook de quantum-natuurkundige principes zelf kunnen voor een bescherming zorgen in de vorm van quantum key distrbution (QKD), waarbij speciale hardware wordt gebruikt om sleutels uit te wisselen.