Quantum key distribution versus post-quantumcryptografie: waartegen elk beschermt

Hoe quantum key distribution en post-quantumcryptografie verschillen in doelstellingen, aannames, afwegingen bij uitrol en de dreigingen die elk ervan aanpakt.

Deze pagina is vertaald vanuit het Engels. Bedrijfs- en productnamen en bronlinks zijn ongewijzigd. Lees het origineel in het Engels

Quantum key distribution en post-quantumcryptografie worden vaak samen onder de noemer “quantum-safe” geplaatst, maar ze lossen verschillende problemen op, en ook op verschillende manieren. QKD is een methode om gedeelde geheime sleutels te creëren waarvan de beveiliging is gekoppeld aan kwantummechanisch gedrag, terwijl PQC een familie van meestal publieke-sleutelalgoritmen is die bedoeld is om de huidige digitale systemen te beschermen tegen toekomstige kwantumcomputers.

In de praktijk is de keuze meestal niet of/of. QKD draait om sleuteluitwisseling met detectie van afluisteren onder specifieke fysieke en netwerkmatige aannames; PQC draait om het vervangen van kwetsbare cryptografische bouwstenen in bestaande infrastructuur. Om te begrijpen waartegen elk beschermt, moet je eerst dat onderscheid scherp hebben.

Twee verschillende antwoorden op de quantumdreiging

De kernzorg achter beide benaderingen is dat quantumcomputing veel veelgebruikte publieke-sleutelsystemen bedreigt. Volgens Wikipedia’s samenvatting van post-quantumcryptografie steunen de meeste gebruikte publieke-sleutelalgoritmen op ontbinding in priemfactoren, discrete logaritmen of elliptische-kromme-discrete logaritmen, en zou een voldoende krachtige kwantumcomputer die Shor’s algoritme draait die problemen efficiënt kunnen oplossen.

Dat betekent niet dat alle cryptografie in één keer breekt. In dezelfde Wikipedia-samenvatting staat ook dat huidige symmetrische cryptografie en hashfuncties relatief veilig worden geacht tegen quantumaanvallen, al kan Grover’s algoritme brute-forcezoektochten versnellen en kan dat in de praktijk worden opgevangen door de sleutellengte te verdubbelen.

Vanaf dat punt lopen QKD en PQC uiteen:

QKD wil twee partijen in staat stellen een gedeelde willekeurige geheime sleutel te genereren met behulp van kwantumtoestanden.
PQC wil kwetsbare klassieke publieke-sleutelalgoritmen vervangen door nieuwe algoritmen waarvan momenteel wordt aangenomen, maar niet bewezen, dat ze bestand zijn tegen quantumaanvallen.

Dat verschil in reikwijdte is belangrijk. QKD versleutelt je applicatiegegevens niet zelf; het distribueert sleutels. PQC is daarentegen bedoeld om te worden ingezet op de plekken waar publieke-sleutelcryptografie nu al wordt gebruikt voor sleuteluitwisseling en digitale handtekeningen.

Waartegen QKD beschermt

QKD is een methode voor beveiligde communicatie die is gebaseerd op de kwantummechanica, waaronder het meet-verstoringsprincipe en het no-cloning-theorema. Het doel is om twee partijen een gedeelde geheime sleutel te laten creëren die alleen bij hen bekend is.

De onderscheidende beveiligingseigenschap is detectie van afluisteren. In het algemeen verstoort het meten van een kwantumsysteem dat systeem. Als een derde partij dus de sleutel probeert te achterhalen door de verzonden kwantumtoestanden te meten, veroorzaakt die interferentie afwijkingen die de legitieme partijen kunnen detecteren. Als de waargenomen verstoring onder een drempel blijft, kunnen ze nog steeds een veilige sleutel afleiden; is die te hoog, dan breken ze af.

Wikipedia’s artikel over quantum key distribution beschrijft de beveiliging van QKD als gebaseerd op natuurkunde in plaats van op de veronderstelde moeilijkheid van wiskundige problemen. Het beschrijft QKD ook als bewijsbaar veilig op basis van informatietheorie en als iets dat forward secrecy biedt.

Dat gezegd hebbende beschermt QKD een smaller deel van het probleem dan veel mensen aannemen:

Het beschermt het proces van sleutelverdeling.
Het verzendt de berichtgegevens niet direct.
De resulterende sleutel moet nog steeds worden gebruikt met een versleutelingsmethode zoals een one-time pad of een symmetrisch algoritme zoals AES.

Dus als de vraag is: “Waartegen verdedigt QKD?” dan is het antwoord: het verdedigt de vertrouwelijkheid van de sleuteluitwisseling zelf, onder de aannames van het protocol en de implementatie, door afluisteren op het kwantumkanaal detecteerbaar te maken.

Hoe QKD op hoofdlijnen werkt

Wikipedia’s artikel over quantum key distribution beschrijft twee brede families van QKD-protocollen.

Prepare-and-measure

In dit model bereidt één partij kwantumtoestanden voor en verstuurt die via een onveilig kwantumkanaal. De ontvanger meet ze. Later vergelijken beide partijen via een geauthenticeerd klassiek kanaal beperkte informatie om te controleren of de metingen overeenkomen met een onverstoorde transmissie.

Is dat niet zo, dan leiden ze daaruit af dat mogelijk is afgeluisterd of dat er te veel ruis was, en kunnen ze de procedure afbreken.

Het bekendste voorbeeld is BB84, geïntroduceerd door Charles H. Bennett en Gilles Brassard in 1984. In BB84 codeert de verzender willekeurige bits in een van twee mogelijke basissen, en meet de ontvanger elke binnenkomende kwantumtoestand met een willekeurig gekozen basis. Daarna vergelijken ze publiekelijk hun basiskeuzes en gooien ze de posities weg waarvoor ze verschillende basissen gebruikten. Vervolgens testen ze een deelverzameling van de overgebleven bits op fouten; te veel fouten betekenen dat de veiligheid niet kan worden gegarandeerd.

Op verstrengeling gebaseerd

Deze protocollen gebruiken verstrengelde toestanden die tussen de twee partijen worden gedeeld. Wikipedia legt uit dat het meten van de ene helft van een verstrengeld paar het totale systeem beïnvloedt, en dat onderschepping de correlaties op detecteerbare wijze verandert. Een genoemd voorbeeld is E91, voorgesteld door Artur Ekert in 1991.

Voor een niet-specialist is het belangrijkste punt dat beide families hetzelfde doel proberen te bereiken: een gedeelde geheime sleutel genereren en onderschepping zichtbaar maken.

QKD’s verborgen afhankelijkheid: authenticatie

De opvallendste eigenschap van QKD kan een cruciale vereiste verhullen. Wikipedia’s artikel over quantum key distribution stelt dat QKD doorgaans afhankelijk is van een geauthenticeerd klassiek kanaal. Zo weten de twee partijen dat ze tijdens de publieke discussiefase echt met elkaar communiceren en niet met iemand die zich voordoet als een van beiden.

Dat leidt tot een belangrijke praktische beperking:

Om dat klassieke kanaal te authenticeren, hebben de partijen al een vertrouwde cryptografische basis nodig, zoals een eerder uitgewisselde symmetrische sleutel of voldoende veilige publieke sleutels.

Dat betekent dat QKD het authenticatieprobleem niet wegneemt. Het lost sleutelverdeling op onder de aanname dat authenticatie al beschikbaar is.

Wikipedia’s artikel is ongewoon direct over de consequentie: als je al hebt wat nodig is om veilig te authenticeren, dan kun je in de praktijk mogelijk ook zonder QKD beveiligde communicatie bereiken met conventionele symmetrische cryptografie. Het karakteriseert QKD zelfs als iets dat het werk doet van een stroomcijfer, maar dan tegen veel hogere kosten.

Dit is een van de belangrijkste afwegingen in het debat over QKD. Het beveiligingsmodel is aantrekkelijk, maar de last van uitrol op systeemniveau is aanzienlijk.

Waartegen PQC beschermt

PQC pakt een ander dreigingsoppervlak aan. Het gaat om de ontwikkeling van cryptografische algoritmen, meestal publieke-sleutelalgoritmen, waarvan momenteel wordt gedacht dat ze veilig blijven tegen aanvallen met kwantumcomputers.

Het hoofddoel is het toekomstige falen van de huidige publieke-sleutelsystemen. Wikipedia’s samenvatting van post-quantumcryptografie benadrukt ook twee redenen waarom migratie urgent is voordat er grote kwantumcomputers bestaan:

Migratie kost tijd.
Nu oogsten, later ontsleutelen is een reële zorg: data die vandaag worden verzameld, kunnen over jaren nog steeds gevoelig zijn.

PQC beschermt daarom tegen twee verwante risico’s:

Toekomstige ontsleuteling van gegevens die vandaag zijn beschermd met quantumkwetsbare publieke-sleutelmethoden.
Toekomstige vervalsing of uitval van authenticatiemechanismen die op diezelfde kwetsbare methoden steunen.

In tegenstelling tot QKD is PQC niet gebaseerd op hardware voor quantumcommunicatie. Het is een klassieke cryptografische transitie: het vervangen van algoritmen in software, hardware, protocollen en standaarden.

PQC is breder dan één algoritmefamilie

Wikipedia’s samenvatting van post-quantumcryptografie noemt verschillende onderzoeksrichtingen binnen PQC, waaronder roostergebaseerde, multivariate, hashgebaseerde, codegebaseerde en isogeniegebaseerde cryptografie, samen met symmetrische-sleutelbenaderingen die voldoende grote sleutels gebruiken.

Een centrale nuance is dat PQC niet in algemene zin bewezen veilig is. Wikipedia beschrijft deze systemen herhaaldelijk als systemen die momenteel veilig worden geacht, en merkt op dat sommige kandidaten zijn afgevallen. Een opvallend voorbeeld is SIDH/SIKE, dat in 2022 werd gebroken.

Dat ondermijnt PQC als geheel niet, maar het laat wel zien dat “quantumresistent” geen permanent label is. Het is een onderzoeks- en standaardisatieproces dat steunt op doorlopende cryptanalyse.

Sommige families hebben sterkere formele reducties dan andere, en sommige kennen praktische afwegingen zoals grotere sleutels, handtekeningen of ciphertexts. Wikipedia merkt op dat veel PQC-algoritmen grotere sleutels vereisen dan publieke-sleutelsystemen van vóór het quantumbedreigingstijdperk, en dat dit afwegingen kan opleveren in transmissiegrootte en rekenefficiëntie.

Standaardisatie en de realiteit van uitrol

Het duidelijkste signaal over de praktische status van PQC komt van NIST.

NIST zegt dat het in 2024 zijn belangrijkste PQC-standaarden heeft uitgebracht en dat organisaties nu met de migratie moeten beginnen. De genoemde standaarden zijn:

FIPS 203: ML-KEM
FIPS 204: ML-DSA
FIPS 205: SLH-DSA

NIST zegt ook dat deze standaarden de basis moeten vormen voor de meeste uitrol, en dat aanvullende standaarden in de maak zijn, waaronder Falcon en HQC. Verder stelt het dat volgens de transitietijdlijn in NIST IR 8547 quantumkwetsbare algoritmen tegen 2035 zullen worden uitgefaseerd en uiteindelijk uit de NIST-standaarden worden verwijderd, waarbij systemen met een hoger risico eerder aan de beurt zijn.

Dit is een belangrijk contrast met QKD. Wat men ook vindt van de langetermijnverdiensten van beide benaderingen, PQC zit al op een op standaarden gebaseerd migratiepad dat is gericht op brede uitrol in gewone digitale infrastructuur.

Naast elkaar: waartegen elk beschermt

Aspect	Quantum key distribution	Post-quantumcryptografie
Primair doel	Een gedeelde geheime sleutel creëren	Kwetsbare publieke-sleutelalgoritmen vervangen
Beveiligingsbasis	Kwantummechanica en detecteerbare verstoring	Klassieke algoritmen die bestand worden geacht tegen quantumaanvallen
Wat het direct beschermt	De vertrouwelijkheid van sleutelverdeling	Sleuteluitwisseling, handtekeningen en andere publieke-sleutelfuncties in digitale systemen
Detectie van afluisteren	Ja, als ingebouwde protocoleigenschap	Geen equivalente fysieke detectie-eigenschap
Hardwarevereiste	Vereist een kwantumkanaal plus klassiek kanaal	Draait op klassieke digitale infrastructuur
Authenticatiebehoefte	Vereist een geauthenticeerd klassiek kanaal	Biedt zelf authenticatiemechanismen via standaarden voor handtekeningen/KEM
Uitrolmodel	Gespecialiseerde verbindingen en protocolinrichting	Migratie van software, hardware en protocollen binnen bestaande systemen
Belangrijkste afweging in de praktijk	Hoge kosten en afhankelijkheid van voorafgaande authenticatie	Grotere sleutels/handtekeningen en aanhoudend risico bij algoritmeevaluatie

Dus wat beschermt er “meer”?

Geen van beide beschermt universeel meer; ze beschermen op verschillende manieren.

QKD biedt een onderscheidende beveiligingsclaim voor sleutelverdeling: pogingen tot onderschepping op het kwantumkanaal zijn in principe detecteerbaar. Voor toepassingen waarbij die eigenschap doorslaggevend is, kan QKD aantrekkelijk zijn. Maar daar staan veeleisende aannames tegenover, vooral de noodzaak van een geauthenticeerd klassiek kanaal en gespecialiseerde communicatie-infrastructuur.

PQC pakt het bredere en directere systeemprobleem aan: het vervangen van publieke-sleutelcryptografie die een toekomstige kwantumcomputer zou kunnen breken. Het biedt niet de op natuurkunde gebaseerde detectie van afluisteren van QKD, maar is ontworpen om de cryptografische functies te beveiligen waar moderne netwerken op grote schaal daadwerkelijk van afhankelijk zijn.

Een andere manier om het te formuleren:

Als je zorg is hoe twee eindpunten sleutels uitwisselen via een kwantumwaarneembaar kanaal, dan is QKD het relevante hulpmiddel.
Als je zorg is hoe het internet, softwaretoeleveringsketens, identiteitssystemen en langlevende versleutelde data de komst van quantumaanvallen overleven, dan is PQC het centrale antwoord.

De open vragen en afwegingen

Een evenwichtige kijk moet verschillende onzekerheden in beeld houden.

Voor QKD:

Het beveiligingsverhaal is in theorie sterk, maar hangt af van correcte implementatie.
Het neemt de noodzaak van authenticatie niet weg.
Wikipedia stelt expliciet de praktische vraag of de extra kosten gerechtvaardigd zijn wanneer klassieke geauthenticeerde versleuteling mogelijk al voldoet.

Voor PQC:

Van deze algoritmen wordt gedacht, maar niet bewezen, dat ze veilig zijn tegen quantumaanvallen.
Sommige kandidaatfamilies of schema’s zijn afgevallen onder cryptanalyse.
Praktische uitrol kan grotere sleutels en andere prestatie-afwegingen met zich meebrengen.

Toch wijst NIST op een huidige operationele consensus: migreer nu richting gestandaardiseerde PQC, want wachten op volledig volwassen kwantumcomputers kan te weinig tijd overlaten om langlevende vertrouwelijkheid en authenticiteit te beschermen.

Belangrijkste punten

QKD en PQC zijn geen eenvoudige vervangers van elkaar. QKD distribueert geheime sleutels; PQC vervangt kwetsbare publieke-sleutelcryptografie.
De opvallendste eigenschap van QKD is detecteerbaar afluisteren op het kwantumkanaal, geworteld in verstoring door kwantummeting.
QKD versleutelt berichten niet uit zichzelf en vereist meestal een geauthenticeerd klassiek kanaal, wat betekent dat er al een vertrouwensbasis moet bestaan.
PQC is gericht op het bredere migratieprobleem dat ontstaat door quantumdreigingen voor huidige publieke-sleutelsystemen.
Huidige symmetrische cryptografie wordt minder ontwricht door quantumcomputing dan huidige publieke-sleutelcryptografie, al kunnen grotere sleutellengtes verstandig zijn.
PQC vindt al zijn weg naar gangbare standaarden. NIST bracht FIPS 203, 204 en 205 uit in 2024 en zegt dat organisaties nu met migratie moeten beginnen.
Geen van beide routes is gratis. QKD brengt lasten mee op het vlak van infrastructuur en authenticatie; PQC brengt algoritmische onzekerheid en prestatie-afwegingen zoals grotere sleutels mee.
Voor de meeste organisaties is PQC de primaire reactie op korte termijn op quantumrisico, terwijl QKD een smaller en specialistischer beveiligingsdoel adresseert.