Post-kwantum: wat als de quantumcomputer komt

Om de zoveel maanden staat het weer in het nieuws: de quantumcomputer komt en dan is alle encryptie waardeloos. Dat klopt niet. Een quantumcomputer is geen toverstok die elk slot opent — hij is heel goed in één bepaald soort som, en toevallig is dat net de som waar de helft van dit boek op rust. De andere helft raakt hij niet aan. Dit hoofdstuk zegt precies welke helft welke is, en wat eraan gedaan wordt.

Wat breekt en wat blijft

Shors algoritme kan één soort verstopplek doorzien: een som waar een verborgen regelmaat in zit, iets dat zich om de zoveel stappen herhaalt. Het ontbinden in priemfactoren heeft die regelmaat, en het discrete logaritme ook — dat klokrekenen uit hoofdstuk 5 loopt letterlijk in rondjes. Een quantumcomputer kan meten hoe lang zo'n rondje is, en uit die ene lengte rolt het antwoord.

Dat is meteen het slechte nieuws, want daar staat alles op wat met twee sleutels werkt:

Die onderste twee regels verdienen uitleg, want "halveert de sterkte" klinkt dramatischer dan het is. Een AES-sleutel van 256 bits heeft 2²⁵⁶ mogelijkheden — een getal van 78 cijfers. Grover hoeft daar de wortel van te proberen: 2¹²⁸, een getal van 39 cijfers. Dat is onnoemelijk veel minder, en nog altijd onnoemelijk veel te veel. Je vervangt AES dus niet, je neemt gewoon de lange versie. Dat is de hele maatregel.

De machine bestaat nog niet. De quantumcomputers die nu draaien hebben te weinig en te onstabiele qubits om een echte RSA-sleutel te kraken; de grootste getallen die er ooit mee ontbonden zijn, haal je met een hoofdrekensom ook. Niemand weet of het over tien jaar lukt of over veertig, of helemaal niet. Maar het volgende stuk legt uit waarom dat niet betekent dat je kan wachten.

Opslaan nu, lezen later

Iemand die vandaag jouw versleutelde verkeer opvangt, kan het niet lezen. Hij kan het wel bewaren. Harde schijven zijn goedkoop, en over twintig jaar bestaat die machine misschien wel. Dan haalt hij de doos van zolder en leest alsnog alles wat je in 2026 verstuurde. Die aanval heeft een naam: harvest now, decrypt later — oogst nu, ontcijfer later. Er is niets futuristisch aan; opslaan kan iedereen vandaag.

Of dat erg is, hangt volledig af van hoelang je geheim geheim moet blijven. Het bericht waarin je afspreekt om zes uur af te spreken, is morgen niets meer waard — als iemand dat in 2046 leest, heb je geen probleem. Een medisch dossier, een adres dat verborgen moet blijven, de plannen van een bedrijf, een staatsgeheim: die moeten er in 2046 nog steeds tegen kunnen. Voor dat soort gegevens is de quantumcomputer geen probleem van later maar van nu.

Wat er klaarstaat

Het Amerikaanse normeringsinstituut NIST schreef in 2016 een wedstrijd uit: wie heeft encryptie die een quantumcomputer aankan? Acht jaar, tientallen inzendingen en heel wat gesneuvelde kandidaten later kwamen op 13 augustus 2024 de eerste drie standaarden uit.

Die laatste is er met opzet bij. ML-KEM en ML-DSA rusten allebei op roosters; als daar ooit een gat in gevonden wordt, vallen ze samen om. SLH-DSA gebruikt alleen hashfuncties — dezelfde bouwsteen uit hoofdstuk 2, die we al dertig jaar kennen en die de quantumcomputer niet stuk krijgt. Trager en met veel grotere handtekeningen, maar het is een reservewiel dat op een andere manier gemaakt is.

Om dezelfde reden koos NIST op 11 maart 2025 nog een tweede manier om een sleutel af te spreken: HQC, dat niet op roosters rust maar op foutcorrigerende codes — de wiskunde die ervoor zorgt dat een kras op een cd de muziek niet stukmaakt. HQC vraagt meer rekenwerk dan ML-KEM en is dus geen vervanger maar een achterdeur voor het geval roosters tegenvallen. De standaard zelf is er nog niet: NIST mikt op 2027. Een vierde handtekeningstandaard, FIPS 206 (FN-DSA, uit de inzending Falcon), is nog in de maak.

Hybride: allebei tegelijk

Er zit een eerlijk probleem aan die nieuwe algoritmes: ze zijn jong. RSA bestaat sinds 1977 en het discrete logaritme sinds 1976, en al die tijd heeft iedereen die er verstand van heeft geprobeerd ze te breken. Roosters hebben die halve eeuw niet achter de rug. De kans dat er nog een fout in gevonden wordt, is klein maar niet nul — en in 2022 werd een van de finalisten van de wedstrijd (SIKE) in één weekend op een gewone laptop gekraakt, wat precies laat zien hoe dat gaat.

Daarom doet niemand de overstap in één keer. De oplossing heet hybride, en ze werkt zoals de naam zegt:

1. Je doet de oude sleuteluitwisseling op een elliptische kromme. Je krijgt geheim A.
2. Je doet daarnaast de nieuwe met ML-KEM. Je krijgt geheim B.
3. Je gooit A en B samen door een hashfunctie. Wat eruit komt, is de sleutel die je echt gebruikt.

Een aanvaller moet nu allebei breken. Blijkt er een gat in de roosters te zitten, dan houdt de kromme hem tegen; komt de quantumcomputer, dan houdt ML-KEM hem tegen. Je betaalt er wat extra bytes voor in elke verbinding, en dat is het. Verwar dit niet met het hybride uit hoofdstuk 7.3: daar combineer je een asymmetrisch met een symmetrisch slot omdat ze verschillend werk doen, hier zet je twee sleuteluitwisselingen naast elkaar omdat je er geen van beide alleen vertrouwt.

Het draait al — ook bij jou

Dit is geen plan voor later. De hybride sleuteluitwisseling zit in de browser waarmee je dit leest. Ze heet X25519MLKEM768: X25519 is de elliptische kromme, ML-KEM-768 de nieuwe helft, en het slotje uit hoofdstuk 7.4 gebruikt ze zonder dat je er iets voor moet doen.

En het wordt echt gebruikt. Cloudflare, dat een groot deel van het wereldwijde webverkeer afhandelt, meldde in 2026 dat meer dan twee derde van het browserverkeer naar hun netwerk al met post-kwantum sleuteluitwisseling beschermd is. Dat is geen proefopstelling meer; dat is de standaardweg geworden terwijl niemand het merkte.

Wat nog niet overgeschakeld is, zijn de handtekeningen. De certificaten waarmee een website bewijst wie ze is, staan bijna overal nog op RSA of op een kromme. Dat is minder dringend — een handtekening die je vandaag vervalst nadat je hem twintig jaar bewaard hebt, overtuigt niemand meer — maar het is wel een veel grotere verhuizing, want elk certificaat ter wereld moet mee.

Dit hoofdstuk heeft als enige geen knop. De demo's op deze site draaien allemaal op WebCrypto, de encryptie die je browser aan JavaScript uitleent — en die kende deze algoritmes lange tijd niet. Dat begint net te veranderen: Chrome biedt ML-KEM en ML-DSA er sinds de zomer van 2026 in aan en Firefox schakelt ze in versie 157 in. Maar het zit nog niet overal, en iets namaken in gewoon JavaScript zou je een speelgoedversie tonen die doet alsof ze echt is. Liever een hoofdstuk zonder knop.