VVD vraagt ministers om beveiligingsoplossing voor komst kwantumcomputers
Om ervoor te zorgen dat Nederlandse burgers veilig digitaal kunnen blijven communiceren en persoonsgegevens en bedrijfs- en staatsgeheimen goed beveiligd blijven moeten er vanuit de overheid op tijd oplossingen komen voor kwantumcomputers, zo vindt de VVD, die minister Yesilgöz van Justitie en Veiligheid en minister Adriaansens van Economische Zaken hier in Kamervragen om heeft gevraagd.
Aanleiding is berichtgeving dat het Amerikaanse National Institute of Standards and Technology (NIST) vier encryptie-algoritmes heeft gekozen die tegen de rekenkracht van kwantumcomputers zijn opgewassen. "Op welke wijze borgt u tijdig met oplossingen te komen tegen de komst van kwantumcomputers zodat inwoners van Nederland veilig digitaal kunnen communiceren en persoonsgegevens en bedrijfs- en staatsgeheimen goed beveiligd kunnen blijven? Welke concrete stappen zijn hier de afgelopen jaren voor gezet en welke stappen bent u nog voornemens te zetten?", zo wil VVD-Kamerlid Rajkowski weten.
Het Kamerlid wil ook weten of de Rijksoverheid samen met bedrijven en experts op zoek is naar oplossingen om encryptie bestendig te maken tegen de komst van kwantumcomputers. Volgens het Nationaal Cyber Security Centrum (NCSC) zullen met de komst van kwantumcomputers de meestgebruikte asymmetrische cryptografische algoritmes, zoals RSA en ECC, niet meer veilig zijn.
Yesilgöz en Adriaansens moeten ook duidelijk maken of er al een selectie is gemaakt van alternatieve encryptie-algoritmes die niet vatbaar zijn voor het "kwantumrekengeweld", en welke algoritmes dit zijn. "Bent u het ermee eens dat kwantumcomputers een serieus gevaar kunnen vormen voor het Nederlandse briefgeheim en veilige communicatie tussen onder andere veiligheidsdiensten, Nederlandse burgers onderling en voor onze ondernemers in het kader van bedrijfsgeheimen? Zo ja, hoe beoordeelt u dit gevaar?", vraagt Rajkowski verder. De ministers hebben drie weken om met een reactie te komen.
Het moet niet mooier worden.
De partij die voorstander was van achterdeurtjes in encryptie / toegankelijkheid voor politie en veiligheidsdiensten, maakt zich nu zorgen over hoe veilig die encryptie nog is.
Hebben ze bij de VVD iets te verbergen?
Of hebben ze boter op hun hoofd?
Of is de dementie van Rutte zich aan het uitbreiden als een besmettelijke ziekte binnen de VVD?
Misschien wil hij Rutte opvolge als die vertrekt (ooit)
Of misschien weet hij iets wat wij nog niet weten.
Niet dat ik op de VVD ga stemmen.
Dit is een kans die het kabinet niet voorbij moet laten gaan! Alle cybercriminaliteit kan in de toekomst opgespoord en opgelost worden als nu de juiste keuzes worden gemaakt door de politiek.
Een kwantum resistent algoritme wat wel afgeluisterd kan worden is natuurlijk ook een mooie uitkomst van deze ontwikkelingen.
U digitale alter ego via uw zee aan data ge-metaversed. Voor eeuwig online. Big Guv loves us all. Duidelijk toch?
Dit is een kans die het kabinet niet voorbij moet laten gaan! Alle cybercriminaliteit kan in de toekomst opgespoord en opgelost worden als nu de juiste keuzes worden gemaakt door de politiek.
Een kwantum resistent algoritme wat wel afgeluisterd kan worden is natuurlijk ook een mooie uitkomst van deze ontwikkelingen.
Hoe wil je ooit een algoritme verboden maken in een gebied zo groot als Europa?
Nb. Een probleem van symmetrische cryptografie dat dat asymmetrische cryptografie niet oplost, is dat je zeker moet weten dat de sleutel die je krijgt, daadwerkelijk van de door jou bedoelde partij is, en niet van een AitM (Attacker in the Middle, ook bekend als MitM = Man in the Middle).
Interessant (vind ik) in dit kader dat, als we eenmaal een account op een website hebben, nog steeds asymmetrische cryptografie gebruiken om de server te authenticeren, om vervolgens met een (of meer) "shared secret" te bewijzen dat wij de persoon zijn van wie het account is. Bij de binnenkort verschijnende Passkeys authenticeert ook de gebruiker met asymmetrische cryptografie (met beperkt quantum-computer-risico als de server op veilige wijze is geauthenticeerd en de verbinding veilig wordt versleuteld - de meerwaarde t.o.v. een uniek random wachtwoord lijkt niet héél groot), maar denkbaar is net zo goed dat, als je al een account hebt op een server, een shared secret de basis vormt voor zowel de authenticatie van beide partijen als de beveiligde verbinding.
Wat dan resteert is het aanmaken van een account, en dat is lastiger te beveiligen: hoe weet je dat je op de juiste server zit?
Maar ook mét asymmetrische cryptografie is dat niet vanzelfsprekend omdat je, als je bij een specifieke organisatie (zoals een webshop) een account aanmaakt, wel moet weten of de domeinnaam (getoond in de URL-balk van de browser) wel of juist niet van die organisatie is (en zo ja, of de eigenaar betrouwbaar is en die site niet gehacked is).
Het aantonen van de authenticiteit van software is een stuk lastiger zonder asymmetrische cryptografie, vooral tijdens het booten of op permanente off-line systemen.
Een vraag die je kunt stellen is of er voldoende geld naar wetenschappelijk onderzoek naar (of gerelateerd aan) cryptografie gaat. Ook zou de overheid flinke geldsommen kunnen uitloven aan Nederlanders of onderzoeksgroepen die concrete en realistische oplossingen bedenken, of daar een internationale bijdrage aan leveren.
Het lijkt mij persoonlijk ook verstandig om aan een plan B te werken, namelijk als er niet bijtijds onkraakbare alternatieven voor ESA, DSA, Diffie-Hellman etc. worden ontwikkeld. Je zou kunnen denken aan TTP's (trusted third parties, zoals nu certificaatuitgevers) die symmetrische sleutels uitwisselen. Daarbij is het niet persé zo dat de servereigenaar de TTP kiest; de klant laten kiezen zou wel eens verstandiger kunnen zijn (dat kost consumenten dan geld, maar linksom of rechtsom betaal je nu als klant ook voor servercertificaten).
Een systeem met zowel client-side als server-side TTP's (die elkaar onderling meer of minder vertrouwen, wat naar beide communicerende partijen gemeld kan (zou moeten) worden. Als je sleutels in meerdere delen opsplitst zou je die delen via verschillende TTP's kunnen uitwisselen om zo de (zeer realistische) risico's te verkleinen. Aan de andere kant moeten we nu en straks de makers van de besturingssystemen, browsers, plug-ins, antimalware-software, andere software/apps op onze devices (maar ook de hardware) vertrouwen - onterecht want de patches vliegen ons om de oren en aan telemetrie lijkt bijna niemand zich te storen (of we willen het niet weten).
Terug naar quantum-veilige crypto: je kunt ook denken aan "one time private keys" zoals ik eerder op dit forum voorstelde (zie https://www.security.nl/posting/628112/crypto+bewijs%3A+dezelfde+anoniem).
Met Europol. Die hebben verstand van crypto en backdoors.
https://nl.wikipedia.org/wiki/Kwantum_(winkelketen)
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Information Security Officer
AIVD
Ben jij nieuwsgierig naar de verschillende risicoscenario’s en dreigingen die komen kijken bij het beveiligen van staatsgeheimen? Zie jij het als een uitdaging om jouw collega’s die vaak al veiligheidsbewust zijn, te adviseren over nóg betere informatie-beveiliging?
Zorgen voor verbinding én KPN beter leren kennen. Op 16 maart brengen we mensen die zich sociaal geïsoleerd voelen weer in contact met anderen in het Rijksmuseum. Meld je nu aan! #hetmooistecontact
Security Operator
Ministerie van Economische Zaken en Klimaat
Voorkomen dat zo’n twee miljoen bedrijven het slachtoffer worden van cybercrime. Dat is jouw doel als security-officer bij het Digital Trust Center van het ministerie van Economische Zaken en Klimaa. Jij waarschuwt ondernemingen in de niet-vitale sector van Nederland proactief over concrete dreigingen en adviseert over te nemen maatregelen.
Security Trainer
Heb jij net als de rest van ons een passie voor cybersecurity en wil je in een team werken met mensen die minstens zo enthousiast en gedreven zijn als jij? Lijkt het je tof om wereldwijd security trainingen te geven en je security kennis over te dragen? Dan zijn wij op zoek naar jou!
Are you ready for a challenge?