Security Professionals
- ipfw add deny all from eindgebruikers to any
Risico quantum compu overschat?
14-07-2025, 16:04 door Erik van Straten, 34 reacties
In de PDF te downloaden uit https://eprint.iacr.org/2025/1237 vegen de cryptografie-experts Peter Gutmann (*) en Stephan Neuhaus de vloer aan met alle publicaties over geslaagde factorisatie van, naar verluidt, grote RSA-getallen - middels en dankzij quantum computers.
(*) Peter Gutmann is o.a. bekend van het minstens 35 keer overschrijven (met speciale patronen) van harde schijven om het kunnen herstellen van de oorspronkele gegevens, zelfs in een forensisch laboratorium, nagenoeg onmogelijk te maken (dit gold voor de eerste generaties van harde schijven, maar bleef nog vele jaren rondzingen als de DoD-methode). Zie https://en.wikipedia.org/wiki/Gutmann_method en lees ook de "Epilogues" in https://www.cs.auckland.ac.nz/~pgut001/pubs/secure_del.html).
Een RSA-getal is het resultaat van de vermenigvuldiging van twee grote, willekeurig gekozen en geheim gehouden, priemgetallen (waar nog een aantal aanvullende eisen voor gelden). Om versleuteling te kraken moet je, gegeven zo'n RSA-getal, zien te achterhalen wat de twee priemgetallen waren. Gegeven een RSA-getal dat aan alle voorwaarden voldoet, zouden zelfs de modernste "gewone" computers er zó lang over doen om de factoren (de twee priemgetallen) te achterhalen, dat geen verstandig mens hieraan begint.
Een voldoende krachtige en betrouwbare quantum computer zou dit, gebruikmakend van het algoritme van Peter Shor, véle malen sneller kunnen, waardoor versleutelde internet-communicatie en digitale handtekeningen in één klap onveilig zouden kunnen worden.
Waarschijnlijk veiliger alternatieven, geschaard onder de noemer "PQC" (Post Quantum Computing"), worden ontwikkeld en bestaan deels al. Maar doordat het om nog weinig in de praktijk geteste en meestal complexe algoritmes gaat, valt de betrouwbaarheid daarvan valt nog te bezien. Om die reden worden oude en nieuwe technieken vaak beide (als ketentje) ingezet, zodanig dat als één methode onveilig blijkt, de aanvaller diens tanden op de andere mag stukbijten.
Echter, de alom gerespecteerde Peter Gutmann en Stephan Neuhaus claimen in hun artikel dat, in alle publicaties over factoriseren met quantum computers die zij hebben onderzocht, de auteurs de lezers misleiden door gebruik te maken van speciaal geprepareerde invoer.
Peter Gutmann en Stephan Neuhaus claimen zelfs dat zij in die gevallen helemaal geen quantum computer nodig hebben om de door de onderzoekers genoemde RSA-getallen te "factoriseren", maar dat zij dat kunstje ook kunnen flikken met een Commodore VIC 20 (een home-computer van meer dan 40 jaar geleden: https://en.wikipedia.org/wiki/VIC-20), een abacus of zelfs een getrainde hond.
Peter Gutmann begon een discussie over dit onderwerp op de Cryptography maillijst, gearchiveerd in https://www.metzdowd.com/pipermail/cryptography/2025-February/038625.html.
(*) Peter Gutmann is o.a. bekend van het minstens 35 keer overschrijven (met speciale patronen) van harde schijven om het kunnen herstellen van de oorspronkele gegevens, zelfs in een forensisch laboratorium, nagenoeg onmogelijk te maken (dit gold voor de eerste generaties van harde schijven, maar bleef nog vele jaren rondzingen als de DoD-methode). Zie https://en.wikipedia.org/wiki/Gutmann_method en lees ook de "Epilogues" in https://www.cs.auckland.ac.nz/~pgut001/pubs/secure_del.html).
Meer over RSA-getallen en asymmetrische cryptografie
RSA-getallen worden (naast andere technieken) toegepast in asymmetrische cryptografie, o.a. gebruikt voor public en private keys en de Diffie-Hellman Key Agreement (zie "Public keys voor leken" https://security.nl/posting/884482).Een RSA-getal is het resultaat van de vermenigvuldiging van twee grote, willekeurig gekozen en geheim gehouden, priemgetallen (waar nog een aantal aanvullende eisen voor gelden). Om versleuteling te kraken moet je, gegeven zo'n RSA-getal, zien te achterhalen wat de twee priemgetallen waren. Gegeven een RSA-getal dat aan alle voorwaarden voldoet, zouden zelfs de modernste "gewone" computers er zó lang over doen om de factoren (de twee priemgetallen) te achterhalen, dat geen verstandig mens hieraan begint.
Een voldoende krachtige en betrouwbare quantum computer zou dit, gebruikmakend van het algoritme van Peter Shor, véle malen sneller kunnen, waardoor versleutelde internet-communicatie en digitale handtekeningen in één klap onveilig zouden kunnen worden.
Waarschijnlijk veiliger alternatieven, geschaard onder de noemer "PQC" (Post Quantum Computing"), worden ontwikkeld en bestaan deels al. Maar doordat het om nog weinig in de praktijk geteste en meestal complexe algoritmes gaat, valt de betrouwbaarheid daarvan valt nog te bezien. Om die reden worden oude en nieuwe technieken vaak beide (als ketentje) ingezet, zodanig dat als één methode onveilig blijkt, de aanvaller diens tanden op de andere mag stukbijten.
Misleidende onderzoeksresultaten?
Er zijn meerdere onderzoeksresultaten van experimenten met quantum computers gepubliceerd die aanleiding geven tot zorg bij veel mensen (ook bij mij, ik ben beslist geen expert op dit gebied).Echter, de alom gerespecteerde Peter Gutmann en Stephan Neuhaus claimen in hun artikel dat, in alle publicaties over factoriseren met quantum computers die zij hebben onderzocht, de auteurs de lezers misleiden door gebruik te maken van speciaal geprepareerde invoer.
Peter Gutmann en Stephan Neuhaus claimen zelfs dat zij in die gevallen helemaal geen quantum computer nodig hebben om de door de onderzoekers genoemde RSA-getallen te "factoriseren", maar dat zij dat kunstje ook kunnen flikken met een Commodore VIC 20 (een home-computer van meer dan 40 jaar geleden: https://en.wikipedia.org/wiki/VIC-20), een abacus of zelfs een getrainde hond.
Schapen i.p.v. honden?
Tevens uit het artikel van Peter Gutmann en Stephan Neuhaus:8 Future Work
After our successful factorisation using a dog, we were delighted to learn that scientists have now discovered evidence of quantum entanglement in other species of mammals such as sheep [32]. This would open up an entirely new research field of mammal-based quantum factorisation. We hypothesise that the production of fully entangled sheep is casy, given how hard it can be to disentangle their coats in the first place. The logistics of assembling the tens of thousands of sheep necessary to factorise RSA-2048 numbers is left as an open problem.
After our successful factorisation using a dog, we were delighted to learn that scientists have now discovered evidence of quantum entanglement in other species of mammals such as sheep [32]. This would open up an entirely new research field of mammal-based quantum factorisation. We hypothesise that the production of fully entangled sheep is casy, given how hard it can be to disentangle their coats in the first place. The logistics of assembling the tens of thousands of sheep necessary to factorise RSA-2048 numbers is left as an open problem.
Hoe dan wel
In hoofdstuk 7 beschrijven Peter Gutmann en Stephan Neuhaus aan welke numerieke voorwaarden onderzoekers van quantum computers zich moeten houden om toekomstige publicaties over hun resultaten voldoende betrouwbaar te laten zijn.Bronnen en aanvullende info
Bron: Frederic Jacobs in https://mastodon.social/@fj/114851035651415691 - die ik onder ogen kreeg dankzij een boost van Thomas Bosnoom (https://infosec.exchange/@thomasbosboom).Peter Gutmann begon een discussie over dit onderwerp op de Cryptography maillijst, gearchiveerd in https://www.metzdowd.com/pipermail/cryptography/2025-February/038625.html.
Reacties (34)
maar dat zij dat kunstje ook kunnen flikken met een Commodore VIC 20 (een home-computer van meer dan 40 jaar geleden: https://en.wikipedia.org/wiki/VIC-20), een abacus of zelfs een getrainde hond.
off-topic: Die good old VIC-20, mijn eerste eigen homecomputertje.
14-07-2025, 16:43 door
Anoniem
Net als A.I. ver overschat, Net als IPv4 tekort of dat wachtwoorden obsolete zijn wegens passkeys.
Onze hele sector zit vol marketing bullshit met toefje FUD en slechte statistieken waarin wat op papier staat en wordt aangeraden bijna nooit overeenkomt met wat er in de praktijk gebeurt. Dat is voor ons als niet staats doelwitten.
Zodra de eerste consument een QC kan leasen via hosting provider tegen minder dan een maandsalaris dat is is het moment dat je je zorgen moet gaan maken als regulier bedrijf. Tegen staats gesponserd doe je toch bar weinig wetende wat voor infra die mogelijk al hebben voor Harvest now, decrypt later en potetieel live aanvallen.
Maar reguliere criminelen gaan niet miljoenen investeren hierin. Het is niet 123 opgezet je kan het niet verplaatsen van locatie zonder eerst alles af te breken en als je gesnapt wordt ben je alle investing kwijt tegen over het simpelweg overnemen van systemen middels botnets of opzetten van VPS images binnen seconden. Het vereist specifieke omgeving condities de temperatuur richting 0 kelvin en het vergt zeer veel kennis in het veld zelf en niet 1 genie een heel team aan computer engineers, wetenschappers en fysici.
Ik vergelijk het maar met de Turing-Welchman Bombe grote kans dat er al iets bestaat geen kans dat het in handen is van iemand waar de meeste hier zich zorgen over moeten maken buiten als je staatsdoelwit bent en grote kans dat we pas over twintig jaar te horen krijgen wat er al bestond en ingebruik was militair, inlichtingen gezien. Want zo gaat het altijd.
Onze hele sector zit vol marketing bullshit met toefje FUD en slechte statistieken waarin wat op papier staat en wordt aangeraden bijna nooit overeenkomt met wat er in de praktijk gebeurt. Dat is voor ons als niet staats doelwitten.
Zodra de eerste consument een QC kan leasen via hosting provider tegen minder dan een maandsalaris dat is is het moment dat je je zorgen moet gaan maken als regulier bedrijf. Tegen staats gesponserd doe je toch bar weinig wetende wat voor infra die mogelijk al hebben voor Harvest now, decrypt later en potetieel live aanvallen.
Maar reguliere criminelen gaan niet miljoenen investeren hierin. Het is niet 123 opgezet je kan het niet verplaatsen van locatie zonder eerst alles af te breken en als je gesnapt wordt ben je alle investing kwijt tegen over het simpelweg overnemen van systemen middels botnets of opzetten van VPS images binnen seconden. Het vereist specifieke omgeving condities de temperatuur richting 0 kelvin en het vergt zeer veel kennis in het veld zelf en niet 1 genie een heel team aan computer engineers, wetenschappers en fysici.
Ik vergelijk het maar met de Turing-Welchman Bombe grote kans dat er al iets bestaat geen kans dat het in handen is van iemand waar de meeste hier zich zorgen over moeten maken buiten als je staatsdoelwit bent en grote kans dat we pas over twintig jaar te horen krijgen wat er al bestond en ingebruik was militair, inlichtingen gezien. Want zo gaat het altijd.
14-07-2025, 17:29 door
Anoniem
Niemand van jullie heeft een quantum computer. Niemand van jullie heeft enige kennis van een quantum computer. Beter overschatten dan onderschatten. Hoogmoed komt voor de val.
14-07-2025, 21:36 door
Anoniem
Door Anoniem: Niemand van jullie heeft een quantum computer. Niemand van jullie heeft enige kennis van een quantum computer. Beter overschatten dan onderschatten. Hoogmoed komt voor de val.
Nee , overschatten is niet altijd 'de veilige keuze' .
Je hebt beperkte resources - en die verspillen aan een klein risico gaat ten koste van veel reeele risico's waar je dan geen tijd/budget/aandacht voor hebt .
Van alles wat je qua security wilt upgraden is 'PQC' echt wel de laatste argument om wakker van te liggen.
Ongeveer niemand _op de wereld_ heeft een quantum computer - en na een jaar of twintig research zegt dat ook iets.
En sommigen hebben wel wat van die papers gelezen en dan begint het gebrek aan praktische voortgang echt wel op te vallen.
Niks mis met fundamentele research, en mooie proefschriften, maar het jeukt een beetje als dat verkocht wordt als praktische toepassingen die om de hoek zouden staan.
Sommige risico's kun je gerust lopen, en m.i. is 'quantum doorbraak' daar wel een voorbeeld van.
(zit je permanent in de kelder, omdat je het risico 'vliegtuig of meteoriet op je hoofd als je naar buiten gaat' ook niet moet onderschatten ? )
14-07-2025, 22:59 door
Anoniem
Sommige risico's kun je gerust lopen, en m.i. is 'quantum doorbraak' daar wel een voorbeeld van.
(zit je permanent in de kelder, omdat je het risico 'vliegtuig of meteoriet op je hoofd als je naar buiten gaat' ook niet moet onderschatten ?)
En dan krijg je een sinkhole, aardbeving, lekkage, ongedierte en andere narigheid.
Kelders zijn notoir slecht in de omgang met overstromingen. (of zware regen)
Op dit moment lijkt het veiligste om te beginnen aan een resort:
Drenthe aan Zee!.
Toch een stykje boven de zeespiegel en naja, als er GEEN overstroming komt, dan is dat dus ook geen probleem, maar als er wel eentje komt dan zit jij goed!
Moet je het resort wel super exclusief maken, namelijk alleen voor jou, want het allergrootste gevaar is toch altijd: 'andere mensen' ...
Om dan uiteindelijk compleet en grondig gek te worden, want in je uppie in de eeuwigheid is nu juist de reden waarom het Universum is begonnen.
Er is geen veilige plek!!!
Naja, als er dan toch geen veilige plek is, kan je net zo goed rustig blijven zitten waar je zit ;)
14-07-2025, 23:37 door
Anoniem
Door Anoniem:
Nee , overschatten is niet altijd 'de veilige keuze' .
Je hebt beperkte resources - en die verspillen aan een klein risico gaat ten koste van veel reeele risico's waar je dan geen tijd/budget/aandacht voor hebt .
Van alles wat je qua security wilt upgraden is 'PQC' echt wel de laatste argument om wakker van te liggen.
Ongeveer niemand _op de wereld_ heeft een quantum computer - en na een jaar of twintig research zegt dat ook iets.
En sommigen hebben wel wat van die papers gelezen en dan begint het gebrek aan praktische voortgang echt wel op te vallen.
Niks mis met fundamentele research, en mooie proefschriften, maar het jeukt een beetje als dat verkocht wordt als praktische toepassingen die om de hoek zouden staan.
Sommige risico's kun je gerust lopen, en m.i. is 'quantum doorbraak' daar wel een voorbeeld van.
(zit je permanent in de kelder, omdat je het risico 'vliegtuig of meteoriet op je hoofd als je naar buiten gaat' ook niet moet onderschatten ? )
Door Anoniem: Niemand van jullie heeft een quantum computer. Niemand van jullie heeft enige kennis van een quantum computer. Beter overschatten dan onderschatten. Hoogmoed komt voor de val.
Nee , overschatten is niet altijd 'de veilige keuze' .
Je hebt beperkte resources - en die verspillen aan een klein risico gaat ten koste van veel reeele risico's waar je dan geen tijd/budget/aandacht voor hebt .
Van alles wat je qua security wilt upgraden is 'PQC' echt wel de laatste argument om wakker van te liggen.
Ongeveer niemand _op de wereld_ heeft een quantum computer - en na een jaar of twintig research zegt dat ook iets.
En sommigen hebben wel wat van die papers gelezen en dan begint het gebrek aan praktische voortgang echt wel op te vallen.
Niks mis met fundamentele research, en mooie proefschriften, maar het jeukt een beetje als dat verkocht wordt als praktische toepassingen die om de hoek zouden staan.
Sommige risico's kun je gerust lopen, en m.i. is 'quantum doorbraak' daar wel een voorbeeld van.
(zit je permanent in de kelder, omdat je het risico 'vliegtuig of meteoriet op je hoofd als je naar buiten gaat' ook niet moet onderschatten ? )
Ondanks weinig resources kun je toch iets doen:
Quantum-resistant tunnels
A regular WireGuard VPN tunnel has no known weaknesses today, but an attacker could potentially record encrypted traffic and in the future use a stronger quantum computer to decrypt it.
The feature prevents such a future attack using post-quantum secure key encapsulation mechanisms for exchanging a pre-shared key for WireGuard. The algorithms currently used are Classic McEliece and ML-KEM.
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
15-07-2025, 00:54 door
Anoniem
Door Anoniem: Niemand van jullie heeft een quantum computer. Niemand van jullie heeft enige kennis van een quantum computer. Beter overschatten dan onderschatten. Hoogmoed komt voor de val.
Dan kunnen we er nog wel verhalen over spinnen. Gebruikers ICT en It is geen exacte wetenschap, nooit geweest. Van Y2K, dotcombubble, sql, piratebay enz, het is een speeltje voor den jeugd van tegenwoordig, en wat toen de jeugd was.
Het is inderdaad nooit verkeerd om te overschatten, want dat boezemt angst in voor het commerciele en politieke aspect ervan. Hebben ze allebei weer iets. Dus ze gaan doorrrrrr......
15-07-2025, 09:41 door
[Account Verwijderd]
Door Anoniem: Niemand van jullie heeft een quantum computer. Niemand van jullie heeft enige kennis van een quantum computer. Beter overschatten dan onderschatten. Hoogmoed komt voor de val.
Dat laatste kun je op twee manieren relateren aan deze futuristische 'Rechner' (Duits voor computer) Vanuit de IT wetenschap die deze computer onttwikkelt of misschien publiekelijk pretendeert met de ontwikkeling in een vergevorrderd stadium te zijn, en degenen die een feitelijke totstandkoming daarvan betwisten.
Voor mij hanteer ik de gedachte zoals omschreven door anoniem van 14 juli, 21:36uur: Ik ga niet permanent in de kelder schuilen voor een imaginair neerstortend vliegtuig of meteoriet, en daardoor niet merken dat op de verdieping boven mij een brandende kaars is omgevallen...
15-07-2025, 09:55 door
Anoniem
Door A.P. Molenaar:
Dat laatste kun je op twee manieren relateren aan deze futuristische 'Rechner' (Duits voor computer) Vanuit de IT wetenschap die deze computer onttwikkelt of misschien publiekelijk pretendeert met de ontwikkeling in een vergevorrderd stadium te zijn, en degenen die een feitelijke totstandkoming daarvan betwisten.
Voor mij hanteer ik de gedachte zoals omschreven door anoniem van 14 juli, 21:36uur: Ik ga niet permanent in de kelder schuilen voor een imaginair neerstortend vliegtuig of meteoriet, en daardoor niet merken dat op de verdieping boven mij een brandende kaars is omgevallen...
Door Anoniem: Niemand van jullie heeft een quantum computer. Niemand van jullie heeft enige kennis van een quantum computer. Beter overschatten dan onderschatten. Hoogmoed komt voor de val.
Dat laatste kun je op twee manieren relateren aan deze futuristische 'Rechner' (Duits voor computer) Vanuit de IT wetenschap die deze computer onttwikkelt of misschien publiekelijk pretendeert met de ontwikkeling in een vergevorrderd stadium te zijn, en degenen die een feitelijke totstandkoming daarvan betwisten.
Voor mij hanteer ik de gedachte zoals omschreven door anoniem van 14 juli, 21:36uur: Ik ga niet permanent in de kelder schuilen voor een imaginair neerstortend vliegtuig of meteoriet, en daardoor niet merken dat op de verdieping boven mij een brandende kaars is omgevallen...
Met niemand bedoel ik ook inclusief mijzelf.
15-07-2025, 09:58 door
Anoniem
Door Anoniem:
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
Want gloednieuwe implementaties gebruiken draagt geen enkel risico ...
Begrijpelijk dat een VPN verkoper mee moet lopen in de hype, maar je mag ook zelf wat nadenken.
15-07-2025, 10:41 door
Anoniem
Door Anoniem:
Want gloednieuwe implementaties gebruiken draagt geen enkel risico ...
Begrijpelijk dat een VPN verkoper mee moet lopen in de hype, maar je mag ook zelf wat nadenken.
Door Anoniem:
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
Want gloednieuwe implementaties gebruiken draagt geen enkel risico ...
Begrijpelijk dat een VPN verkoper mee moet lopen in de hype, maar je mag ook zelf wat nadenken.
Het is open-source:
https://mullvad.net/en/open-source
U kunt zelf de broncode controleren.
Het is geen hype.
15-07-2025, 11:38 door
Anoniem
Hilarisch:
Maar het is wel vernietigend voor hoe onderzoek wordt gedaan als je dit soort vergelijkingen zelfs maar kan maken. Wetenschap zou over weten moeten gaan en niet over scoren, het is geen scorenschap.
As has been previously pointed out, the 2001 and 2012 quantum factorisation records may be easily matched with a dog trained to bark three times [31]. We verified this by taking a recently-calibrated reference dog, Scribble, depicted in Figure 6, and having him bark three times, thus simultaneously factorising both 15 and 21. This process wasn’t as simple as it first
appeared because Scribble is very well behaved and almost never barks. Having him perform the quantum factorisation required having his owner play with him with a ball in order to encourage him to bark. It was a special performance just for this publication, because he understands the importance of evidence-based science.
appeared because Scribble is very well behaved and almost never barks. Having him perform the quantum factorisation required having his owner play with him with a ball in order to encourage him to bark. It was a special performance just for this publication, because he understands the importance of evidence-based science.
Maar het is wel vernietigend voor hoe onderzoek wordt gedaan als je dit soort vergelijkingen zelfs maar kan maken. Wetenschap zou over weten moeten gaan en niet over scoren, het is geen scorenschap.
15-07-2025, 12:56 door
Anoniem
Door Anoniem: Niemand van jullie heeft een quantum computer. Niemand van jullie heeft enige kennis van een quantum computer. Beter overschatten dan onderschatten. Hoogmoed komt voor de val.
Mensen die er jaren aan gewerkt hebben zeggen zelf dat we geen wonderen hoeven te verwachten.
Quantum computers worden vooralsnog vooral overschat en overhyped.
16-07-2025, 09:26 door
Anoniem
Er zijn meerdere partijen die zeggen dat het een probleem is, en er is nu 1 partij die zegt dat het niet zo is.
Ik focus toch voor de zekerheid nog even op de implemenatie van quantum-safe algoritmes voor data beveiliging.
Ik focus toch voor de zekerheid nog even op de implemenatie van quantum-safe algoritmes voor data beveiliging.
16-07-2025, 15:24 door
Anoniem
Door Anoniem: Hilarisch:
Maar het is wel vernietigend voor hoe onderzoek wordt gedaan als je dit soort vergelijkingen zelfs maar kan maken. Wetenschap zou over weten moeten gaan en niet over scoren, het is geen scorenschap.
As has been previously pointed out, the 2001 and 2012 quantum factorisation records may be easily matched with a dog trained to bark three times [31]. We verified this by taking a recently-calibrated reference dog, Scribble, depicted in Figure 6, and having him bark three times, thus simultaneously factorising both 15 and 21. This process wasn’t as simple as it first
appeared because Scribble is very well behaved and almost never barks. Having him perform the quantum factorisation required having his owner play with him with a ball in order to encourage him to bark. It was a special performance just for this publication, because he understands the importance of evidence-based science.
appeared because Scribble is very well behaved and almost never barks. Having him perform the quantum factorisation required having his owner play with him with a ball in order to encourage him to bark. It was a special performance just for this publication, because he understands the importance of evidence-based science.
Maar het is wel vernietigend voor hoe onderzoek wordt gedaan als je dit soort vergelijkingen zelfs maar kan maken. Wetenschap zou over weten moeten gaan en niet over scoren, het is geen scorenschap.
We leven in het jaar 2025.. is 13 jaar geleden.
16-07-2025, 16:19 door
Anoniem
Door Anoniem:
We leven in het jaar 2025.. is 13 jaar geleden.
Door Anoniem: Hilarisch:
Maar het is wel vernietigend voor hoe onderzoek wordt gedaan als je dit soort vergelijkingen zelfs maar kan maken. Wetenschap zou over weten moeten gaan en niet over scoren, het is geen scorenschap.
As has been previously pointed out, the 2001 and 2012 quantum factorisation records may be easily matched with a dog trained to bark three times [31]. We verified this by taking a recently-calibrated reference dog, Scribble, depicted in Figure 6, and having him bark three times, thus simultaneously factorising both 15 and 21. This process wasn’t as simple as it first
appeared because Scribble is very well behaved and almost never barks. Having him perform the quantum factorisation required having his owner play with him with a ball in order to encourage him to bark. It was a special performance just for this publication, because he understands the importance of evidence-based science.
appeared because Scribble is very well behaved and almost never barks. Having him perform the quantum factorisation required having his owner play with him with a ball in order to encourage him to bark. It was a special performance just for this publication, because he understands the importance of evidence-based science.
Maar het is wel vernietigend voor hoe onderzoek wordt gedaan als je dit soort vergelijkingen zelfs maar kan maken. Wetenschap zou over weten moeten gaan en niet over scoren, het is geen scorenschap.
We leven in het jaar 2025.. is 13 jaar geleden.
Er is nog steeds niks meer (echter) gepresteerd door quantum "computers" . Alleen maar voorgekookte 'resultaten'
Zegt ook wat over dat veld .
Echt een FKK geklede keizer
16-07-2025, 18:37 door
Erik van Straten
Door Anoniem: Er zijn meerdere partijen die zeggen dat het een probleem is, en er is nu 1 partij die zegt dat het niet zo is.
Dat is niet wat er speelt.Peter Gutmann en Stephan Neuhaus (niet zomaar "partijen", en na een duscussie in de cryptography maillijst) hebben aangetoond dat onderzoekers die claimden grote RSA-getallen te kunnen factoriseren, dat niet deden met grote RSA-getallen die op correcte en onvoorspelbare wijze waren gegenereerd - maar met speciefieke RSA-getallen die je, ook zonder quantum computer, in relatief zeer korte tijd kunt factoriseren.
Dat noemen we vals spelen (door de auteurs van "doorbraken" bij het factoriseren middels quantum computers).
Kennelijk is de druk om "te presteren" zo hoog (om bijv. geld voor vervolgonderzoek te verkrijgen, of zelfs hun baan zeker te stellen) dat sommige wetenschappers zich laten verleiden tot het verkopen van Haarlemmerolie. In veel landen is het voor wetenschappers van "levensbelang" om opzienbarende onderzoeksresultaten te publiceren, waarbij vaak het aantal citaties (verwijzingen naar hun publicatie door andere wetenschappers in hun publicaties) telt.
De wetenschap is "self-healing" indien andere wetenschappers aantonen dat geclaimde onderzoeksresultaten niet deugen. Precies dat is hier gebeurd.
Peter Gutmann en Stephan Neuhaus stellen, voor zover ik begrepen heb, niet dat een quantum computer, die grote RSA-getallen kan factoriseren, niet zou kunnen bestaan.
Zoals wel vaker het geval is, is dit geen Booleaanse algebra: niet niet betekent hier niet wel ;-)
Oftewel, de laatstgenoemde auteurs laten in het midden hoe lang het nog duurt voordat een gevreesde quantum computer bestaat. Zij sluiten bedreigende quantum computers dus niet uit, maar verwijzen wel de tot zover gepubliceerde opzienbarende resultaten met quantum computers naar de prullenbak.
Daardoor is, wat mij betreft, de kans op een snelle doorbraak van quantum computers die (in de praktijk gebruikte) grote RSA-getallen kunnen factoriseren (of Elliptic Curve cryptografie en/of Diffie-Hellman kunnen kraken), een stuk kleiner geworden.
Door Anoniem: Ik focus toch voor de zekerheid nog even op de implemenatie van quantum-safe algoritmes voor data beveiliging.
Als je anders toch maar uit je neus zit te eten, is dat ontegenzeggelijk hartstikke verstandig.Zo niet, lees dan wat Anoniem eerder (onder meer) schreef in https://security.nl/posting/896311:
Door Anoniem: Nee , overschatten is niet altijd 'de veilige keuze' .
Je hebt beperkte resources - en die verspillen aan een klein risico gaat ten koste van veel reeele risico's waar je dan geen tijd/budget/aandacht voor hebt .
Je hebt beperkte resources - en die verspillen aan een klein risico gaat ten koste van veel reeele risico's waar je dan geen tijd/budget/aandacht voor hebt .
16-07-2025, 19:01 door
Anoniem
Door A.P. Molenaar:
Dat laatste kun je op twee manieren relateren aan deze futuristische 'Rechner' (Duits voor computer) Vanuit de IT wetenschap die deze computer onttwikkelt of misschien publiekelijk pretendeert met de ontwikkeling in een vergevorrderd stadium te zijn, en degenen die een feitelijke totstandkoming daarvan betwisten.
Voor mij hanteer ik de gedachte zoals omschreven door anoniem van 14 juli, 21:36uur: Ik ga niet permanent in de kelder schuilen voor een imaginair neerstortend vliegtuig of meteoriet, en daardoor niet merken dat op de verdieping boven mij een brandende kaars is omgevallen...
Door Anoniem: Niemand van jullie heeft een quantum computer. Niemand van jullie heeft enige kennis van een quantum computer. Beter overschatten dan onderschatten. Hoogmoed komt voor de val.
Dat laatste kun je op twee manieren relateren aan deze futuristische 'Rechner' (Duits voor computer) Vanuit de IT wetenschap die deze computer onttwikkelt of misschien publiekelijk pretendeert met de ontwikkeling in een vergevorrderd stadium te zijn, en degenen die een feitelijke totstandkoming daarvan betwisten.
Voor mij hanteer ik de gedachte zoals omschreven door anoniem van 14 juli, 21:36uur: Ik ga niet permanent in de kelder schuilen voor een imaginair neerstortend vliegtuig of meteoriet, en daardoor niet merken dat op de verdieping boven mij een brandende kaars is omgevallen...
Of dat ze benzine door je brievenbus spuiten en later beweren dat ze een hele jerrycan bij je in de kruipruimte gevonden hebben. Ja, elkaar hatende buurtbewoners in de ergste volksbuurten en de klik-beet ziekte. Vreselijk volk.
16-07-2025, 19:27 door
Anoniem
Door Erik van Straten:
Kennelijk is de druk om "te presteren" zo hoog (om bijv. geld voor vervolgonderzoek te verkrijgen, of zelfs hun baan zeker te stellen) dat sommige wetenschappers zich laten verleiden tot het verkopen van Haarlemmerolie. In veel landen is het voor wetenschappers van "levensbelang" om opzienbarende onderzoeksresultaten te publiceren, waarbij vaak het aantal citaties (verwijzingen naar hun publicatie door andere wetenschappers in hun publicaties) telt.
De wetenschap is "self-healing" indien andere wetenschappers aantonen dat geclaimde onderzoeksresultaten niet deugen. Precies dat is hier gebeurd.
Kennelijk is de druk om "te presteren" zo hoog (om bijv. geld voor vervolgonderzoek te verkrijgen, of zelfs hun baan zeker te stellen) dat sommige wetenschappers zich laten verleiden tot het verkopen van Haarlemmerolie. In veel landen is het voor wetenschappers van "levensbelang" om opzienbarende onderzoeksresultaten te publiceren, waarbij vaak het aantal citaties (verwijzingen naar hun publicatie door andere wetenschappers in hun publicaties) telt.
De wetenschap is "self-healing" indien andere wetenschappers aantonen dat geclaimde onderzoeksresultaten niet deugen. Precies dat is hier gebeurd.
Dat is wat charitatief . In dit onderzoeksveld zijn beiden ietwat buitenstaanders - en het heeft eigenlijk wel schandalig lang geduurd voordat dit gegeven wat nadrukkelijk in beeld gebracht is .
Ik krijg toch wel het idee dat researchers actief in het veld echt wel weten dat de bereikte "resultaten" enorm opgeklopt zijn en niks zeggen omdat de onderzoeksmolen draait op grote beloften .
En het is natuurlijk een veld waarin niet gek veel mensen de papers goed genoeg kunnen doorgronden om te zien dat het heel speciale gevallen zijn, of (slechts) controle van een gegeven factorisatie dat als "resultaat" verkocht wordt.
Peter Gutmann en Stephan Neuhaus stellen, voor zover ik begrepen heb, niet dat een quantum computer, die grote RSA-getallen kan factoriseren, niet zou kunnen bestaan.
Zoals wel vaker het geval is, is dit geen Booleaanse algebra: niet niet betekent hier niet wel ;-)
Inderdaad doen ze in dat paper geen uitspraak "het zal nooit kunnen" .
In mijn (summiere) lezingen van papers heb ik - gek genoeg - dat nooit geaddresseerd zien worden.
Je kunt extrapolaties vinden naar aantallen benodigde qubits voor een quantum computer , maar enige redenering waarom / hoe het zou lukken om die allemaal coherent te houden ontbreekt .
Oftewel, de laatstgenoemde auteurs laten in het midden hoe lang het nog duurt voordat een gevreesde quantum computer bestaat. Zij sluiten bedreigende quantum computers dus niet uit, maar verwijzen wel de tot zover gepubliceerde opzienbarende resultaten met quantum computers naar de prullenbak.
Feitelijk staat de teller van _werkelijke_ quantum factorisaties van niet-speciale gevallen gewoon op NUL.
Na een jaar of twintig researchen - dan is de hype en de druk voor 'PQC voordat het te laat is' echt onverklaarbaar.
Daardoor is, wat mij betreft, de kans op een snelle doorbraak van quantum computers die (in de praktijk gebruikte) grote RSA-getallen kunnen factoriseren (of Elliptic Curve cryptografie en/of Diffie-Hellman kunnen kraken), een stuk kleiner geworden.
Door Anoniem: Ik focus toch voor de zekerheid nog even op de implemenatie van quantum-safe algoritmes voor data beveiliging.
Als je anders toch maar uit je neus zit te eten, is dat ontegenzeggelijk hartstikke verstandig.Zo niet, lees dan wat Anoniem eerder (onder meer) schreef in https://security.nl/posting/896311:
Door Anoniem: Nee , overschatten is niet altijd 'de veilige keuze' .
Je hebt beperkte resources - en die verspillen aan een klein risico gaat ten koste van veel reeele risico's waar je dan geen tijd/budget/aandacht voor hebt .
Je hebt beperkte resources - en die verspillen aan een klein risico gaat ten koste van veel reeele risico's waar je dan geen tijd/budget/aandacht voor hebt .
Gutmann heeft een eerder/ander papier die deze case duidelijk maakt.
https://www.cs.auckland.ac.nz/~pgut001/pubs/bollocks.pdf
Hij benoemt hetzelfde voor 'gewone' vulnerabilities met hippe namen (Spectre, POODLE etc etc etc) - veel aandacht, geen werkelijk gebruik bekend, vergeleken met de simpele CVEs waarmee werkelijk aangevallen wordt.
17-07-2025, 08:46 door
Anoniem
Peter Gutmann en Stephan Neuhaus (niet zomaar "partijen", en na een duscussie in de cryptography maillijst) hebben aangetoond dat onderzoekers die claimden grote RSA-getallen te kunnen factoriseren, dat niet deden met grote RSA-getallen die op correcte en onvoorspelbare wijze waren gegenereerd - maar met speciefieke RSA-getallen die je, ook zonder quantum computer, in relatief zeer korte tijd kunt factoriseren.
Waar de meeste mensen geen rekening mee houden is dat er een wapenwedloop gaande is. Landen als China met een populatie van 1,408,280,000 mensen en Amerika met een populatie van 340,110,988 mensen. China publiseert niets en de Amerikanen achter de schermen ook niets. Reken maar dat deze landen achter de schermen in een vergevorderd stadium zijn. Alleen als iemand wereldvreemd is dan zou je inderdaad Peter Gutmann en Stephan Neuhaus kunnen volgen. De tijd zal het leren of het verstandig was te onderschatten of te overschatten.
Waar de meeste mensen geen rekening mee houden is dat er een wapenwedloop gaande is. Landen als China met een populatie van 1,408,280,000 mensen en Amerika met een populatie van 340,110,988 mensen. China publiseert niets en de Amerikanen achter de schermen ook niets. Reken maar dat deze landen achter de schermen in een vergevorderd stadium zijn. Alleen als iemand wereldvreemd is dan zou je inderdaad Peter Gutmann en Stephan Neuhaus kunnen volgen. De tijd zal het leren of het verstandig was te onderschatten of te overschatten.
17-07-2025, 14:16 door
Anoniem
Misschien ben ik een doemdenker. Stel dat China in de nabije toekomst beschikt over een quantum computer en wij hebben ons daar niet op voorbereid.. wat zijn dan de gevolgen?
Dan heeft dat destastreuze gevolgen. Voor de economie en ons hele infrastuctuur (wereldwijd).
"Nee , overschatten is niet altijd 'de veilige keuze' .
Je hebt beperkte resources - en die verspillen aan een klein risico gaat ten koste van veel reeele risico's waar je dan geen tijd/budget/aandacht voor hebt .
Van alles wat je qua security wilt upgraden is 'PQC' echt wel de laatste argument om wakker van te liggen."
Penny wise pound foulish!
Peter Gutmann en Stephan Neuhaus zijn gerenomeerde zeer intelligente mensen (laat daar geen misverstand over zijn). Maar ze hebben de wijsheid niet in pacht (ik ook niet).
Om te denken het loopt allemaal wel los, het valt allemaal wel mee en het komt wel goed...
Niet zo lang geleden 85 jaar ( 2e wereldoorlog).. kan nu weer gebeuren. Als ik één ding heb geleerd 'de mens leert nooit van zijn fouten' (collectief bezien).
Dan heeft dat destastreuze gevolgen. Voor de economie en ons hele infrastuctuur (wereldwijd).
"Nee , overschatten is niet altijd 'de veilige keuze' .
Je hebt beperkte resources - en die verspillen aan een klein risico gaat ten koste van veel reeele risico's waar je dan geen tijd/budget/aandacht voor hebt .
Van alles wat je qua security wilt upgraden is 'PQC' echt wel de laatste argument om wakker van te liggen."
Penny wise pound foulish!
Peter Gutmann en Stephan Neuhaus zijn gerenomeerde zeer intelligente mensen (laat daar geen misverstand over zijn). Maar ze hebben de wijsheid niet in pacht (ik ook niet).
Om te denken het loopt allemaal wel los, het valt allemaal wel mee en het komt wel goed...
Niet zo lang geleden 85 jaar ( 2e wereldoorlog).. kan nu weer gebeuren. Als ik één ding heb geleerd 'de mens leert nooit van zijn fouten' (collectief bezien).
17-07-2025, 14:42 door
Erik van Straten
Door Anoniem: [...] China publiseert niets [...]
Enkele passages uit https://www.ft.com/content/b15680c0-cf31-448d-9eb6-b30426c29b8b:
Chinese researchers claim to find way to break encryption using quantum computers
Experts assess whether method outlined in scientific paper could be a sooner-than-expected turning point in the technology
Richard Waters, Published Jan 5 2023
[...]
The method, outlined in a scientific paper [1] published in late December, could be used to break the RSA algorithm that underpins most online encryption using a quantum machine with only 372 qubits — or quantum bits, a basic unit of quantum computing — according to the claims from 24 researchers from a number of academic bodies and state laboratories.
[...]
“As far as I can tell, the paper isn’t wrong,” said Peter Shor, the Massachusetts Institute of Technology scientist whose 1994 algorithm proving that a quantum machine could defeat online encryption helped to trigger a research boom in quantum computing. Shor’s method requires machines with many hundreds of thousands, or even millions, of qubits, something that many experts believe is a decade or more away.
Shor added, however, that the Chinese researchers had “failed to address how fast the algorithm will run”, and said that it was possible it “will still take millions of years”. He said: “In the absence of any analysis showing that it will be faster, I suspect that the most likely scenario is that it’s not much of an improvement.”
The latest research paper is the second time in less than a year that the field of computer security has been jolted by claims that online encryption was in imminent danger of being broken. German mathematician Claus-Peter Schnorr published an algorithm last year that he said was a far more efficient way to factor large prime numbers — central to breaking the RSA code — potentially putting it within reach of traditional, or “classical” computers. But it turned out that Schnorr’s technique could not be scaled up to work as needed to challenge the RSA algorithm.
Experts assess whether method outlined in scientific paper could be a sooner-than-expected turning point in the technology
Richard Waters, Published Jan 5 2023
[...]
The method, outlined in a scientific paper [1] published in late December, could be used to break the RSA algorithm that underpins most online encryption using a quantum machine with only 372 qubits — or quantum bits, a basic unit of quantum computing — according to the claims from 24 researchers from a number of academic bodies and state laboratories.
[...]
“As far as I can tell, the paper isn’t wrong,” said Peter Shor, the Massachusetts Institute of Technology scientist whose 1994 algorithm proving that a quantum machine could defeat online encryption helped to trigger a research boom in quantum computing. Shor’s method requires machines with many hundreds of thousands, or even millions, of qubits, something that many experts believe is a decade or more away.
Shor added, however, that the Chinese researchers had “failed to address how fast the algorithm will run”, and said that it was possible it “will still take millions of years”. He said: “In the absence of any analysis showing that it will be faster, I suspect that the most likely scenario is that it’s not much of an improvement.”
The latest research paper is the second time in less than a year that the field of computer security has been jolted by claims that online encryption was in imminent danger of being broken. German mathematician Claus-Peter Schnorr published an algorithm last year that he said was a far more efficient way to factor large prime numbers — central to breaking the RSA code — potentially putting it within reach of traditional, or “classical” computers. But it turned out that Schnorr’s technique could not be scaled up to work as needed to challenge the RSA algorithm.
[1] (ik verwijs naar de Abstract pagina i.p.v. naar een PDF, omdat er latere versies kunnen worden toegevoegd) https://arxiv.org/abs/2212.12372
Nogmaals, dat er papers worden gepubliceerd waarin, op z'n zachtst gezegd, onjuiste conclusies worden getrokken, bewijst niet dat er geen geheim gehouden onderzoek wordt gedaan waarin wél griezelige resultaten worden geboekt.
Door Anoniem: [...]Landen als China met een populatie van 1,408,280,000 mensen [...]
Precies. Van degenen met het vermogen om dit soort onderzoek te doen, gaat niet iedereen naar geheime labs. De rest gaat naar universiteiten - niet alleen in China.Als gerapporteerde "vorderingen" dat telkens niet blijken te zijn, hoe groot is dan de kans dat er wel geheim gehouden doorbraken zijn?
17-07-2025, 16:58 door
Anoniem
Door Anoniem:
Het is open-source:
https://mullvad.net/en/open-source
U kunt zelf de broncode controleren.
Het is geen hype.
Zeker nog nooit zelf een serieuze broncode review gedaan.Door Anoniem:
Want gloednieuwe implementaties gebruiken draagt geen enkel risico ...
Begrijpelijk dat een VPN verkoper mee moet lopen in de hype, maar je mag ook zelf wat nadenken.
Door Anoniem:
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
Want gloednieuwe implementaties gebruiken draagt geen enkel risico ...
Begrijpelijk dat een VPN verkoper mee moet lopen in de hype, maar je mag ook zelf wat nadenken.
Het is open-source:
https://mullvad.net/en/open-source
U kunt zelf de broncode controleren.
Het is geen hype.
Toen ik werkte bij een Grote Machinebouwer in het Zuiden des lands, was de metric voor een review: 150 regels per uur.
En dan wist je al van de hoed en de rand qua implementatie, zonder context is sourcecode n.l. niet goed te begrijpen.
Voor iets geheel nieuws zal het aantal regels/uur nog veel lager liggen. En dan moet je ook nog van alle
gebriukte algoritmes en technieken en standaarden weten hoe ze in elkaar zitten.
Nee, open source reviews doet niemand, want de effort is te groot en het resultaat te laag,
bovendien gaat iemand anders met de opbrengst aan de haal. Intern in een bedrijf is dat natuurlijk
anders.
17-07-2025, 18:40 door
Anoniem
Door Anoniem:
Het is open-source:
https://mullvad.net/en/open-source
U kunt zelf de broncode controleren.
Het is geen hype.
Door Anoniem:
Want gloednieuwe implementaties gebruiken draagt geen enkel risico ...
Begrijpelijk dat een VPN verkoper mee moet lopen in de hype, maar je mag ook zelf wat nadenken.
Door Anoniem:
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
Want gloednieuwe implementaties gebruiken draagt geen enkel risico ...
Begrijpelijk dat een VPN verkoper mee moet lopen in de hype, maar je mag ook zelf wat nadenken.
Het is open-source:
https://mullvad.net/en/open-source
U kunt zelf de broncode controleren.
Het is geen hype.
Het zou al schelen als je snapte waar je over schreef.
Het _concept_ "quantum decryptie staat op de stoep" is de hype . En dus de geclaimde noodzaak om zsm 'PQC' (post quantum crypto) te implementeren ook.
Alleen de hype is zo groot dat - natuurlijk - VPN verkopers dat wel moeten implementeren . Die leven toch al op de hype dat ze een product met enorme noodzaak en grote security meerwaarde leveren.
(wat maar in beperkte mate waar is ).
Waar je zelf over na mag denken of je je moet laten gek maken dat je ZSM alles wat iets met PKI doet moet vervangen door PQC varianten .
Mullvad zal best een PQC implementatie gedaan hebben. En ik ga niet proberen die te auditen op bugs.
17-07-2025, 23:24 door
Anoniem
Door Anoniem:
Toen ik werkte bij een Grote Machinebouwer in het Zuiden des lands, was de metric voor een review: 150 regels per uur.
En dan wist je al van de hoed en de rand qua implementatie, zonder context is sourcecode n.l. niet goed te begrijpen.
Voor iets geheel nieuws zal het aantal regels/uur nog veel lager liggen. En dan moet je ook nog van alle
gebriukte algoritmes en technieken en standaarden weten hoe ze in elkaar zitten.
Nee, open source reviews doet niemand, want de effort is te groot en het resultaat te laag,
bovendien gaat iemand anders met de opbrengst aan de haal. Intern in een bedrijf is dat natuurlijk
anders.
Door Anoniem:
Het is open-source:
https://mullvad.net/en/open-source
U kunt zelf de broncode controleren.
Het is geen hype.
Zeker nog nooit zelf een serieuze broncode review gedaan.Door Anoniem:
Want gloednieuwe implementaties gebruiken draagt geen enkel risico ...
Begrijpelijk dat een VPN verkoper mee moet lopen in de hype, maar je mag ook zelf wat nadenken.
Door Anoniem:
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
Want gloednieuwe implementaties gebruiken draagt geen enkel risico ...
Begrijpelijk dat een VPN verkoper mee moet lopen in de hype, maar je mag ook zelf wat nadenken.
Het is open-source:
https://mullvad.net/en/open-source
U kunt zelf de broncode controleren.
Het is geen hype.
Toen ik werkte bij een Grote Machinebouwer in het Zuiden des lands, was de metric voor een review: 150 regels per uur.
En dan wist je al van de hoed en de rand qua implementatie, zonder context is sourcecode n.l. niet goed te begrijpen.
Voor iets geheel nieuws zal het aantal regels/uur nog veel lager liggen. En dan moet je ook nog van alle
gebriukte algoritmes en technieken en standaarden weten hoe ze in elkaar zitten.
Nee, open source reviews doet niemand, want de effort is te groot en het resultaat te laag,
bovendien gaat iemand anders met de opbrengst aan de haal. Intern in een bedrijf is dat natuurlijk
anders.
Methods for Viewing Source Code
There are several ways to view the source code of an open-source piece of software. The method you choose will depend on the nature of the software and your level of expertise. Here are some common methods for accessing source code:
Visit the Project Website: Many open-source projects host their source code on websites such as GitHub, GitLab, or Bitbucket. These platforms provide a user-friendly interface for browsing through the codebase, viewing files, and tracking changes. Simply visit the project’s website and look for a link to the source code repository.
Clone the Repository: If the project is hosted on a version control system such as Git or SVN, you can clone the repository to your local machine. This allows you to have a local copy of the codebase, which you can explore, modify, and contribute to. To clone a repository, you will need to have the appropriate version control software installed on your machine.
Use a Code Browser: There are several code browsing tools available that can help you navigate through source code more easily. Tools like Sourcegraph, OpenGrok, and Understand provide features such as code search, syntax highlighting, and code navigation. These tools can be particularly useful for exploring large codebases with multiple files and directories.
Read Documentation: Many open-source projects provide documentation that explains the architecture, design decisions, and coding conventions of the software. Reading the documentation can help you gain a better understanding of the codebase and its functionality.
Ask for Help: If you are having trouble accessing or understanding the source code of an open-source project, don’t hesitate to ask for help. Many projects have active communities of developers who are willing to provide assistance, answer questions, and offer guidance.
Tips for Navigating Source Code
Navigating through the source code of an open-source project can be a challenging task, especially if the codebase is large and complex. Here are some tips to help you navigate through the code more effectively:
Start with the README: The README file is typically included in the root directory of a project and provides an overview of the software, its features, and how to get started. Reading the README can give you a high-level understanding of the project and its structure.
Explore the Directory Structure: Familiarize yourself with the directory structure of the project to understand how the code is organized. Look for directories such as src (source code), tests (unit tests), and docs (documentation) to get a sense of where different components of the project are located.
Search for Keywords: Use the search functionality of your code editor or code browsing tool to search for keywords, function names, or classes that are relevant to the feature you are interested in. This can help you quickly navigate to the relevant parts of the codebase.
Follow Dependencies: Pay attention to dependencies between files, classes, and modules in the codebase. Understanding how different components of the software interact with each other can help you make sense of the overall architecture.
Read Comments and Documentation: Comments and documentation within the source code can provide valuable insights into the purpose of a particular piece of code, its intended behavior, and any constraints or assumptions. Be sure to read comments and documentation to understand the code better.
Experiment and Test: Experiment with making small changes to the codebase and see how it affects the behavior of the software. Testing your changes can help you gain a deeper understanding of how the code works and how different components interact with each other.
Collaborate with Others: If you are having difficulty understanding a particular part of the codebase, reach out to the community of developers working on the project. Collaborating with others can help you gain new perspectives, learn from others’ experiences, and overcome challenges more effectively.
18-07-2025, 11:47 door
Anoniem
Door Anoniem:
Mensen die er jaren aan gewerkt hebben zeggen zelf dat we geen wonderen hoeven te verwachten.
Quantum computers worden vooralsnog vooral overschat en overhyped.
Door Anoniem: Niemand van jullie heeft een quantum computer. Niemand van jullie heeft enige kennis van een quantum computer. Beter overschatten dan onderschatten. Hoogmoed komt voor de val.
Mensen die er jaren aan gewerkt hebben zeggen zelf dat we geen wonderen hoeven te verwachten.
Quantum computers worden vooralsnog vooral overschat en overhyped.
Overhyped of niet, feit is dat het aantal te gebruiken QBits nog steeds oploopt!
Laat je vooral niet gek maken door te denken dat een QC niet bestaat of er voorlopig nog niet is of nog niets kan preteren. Het is er al, op meerdere plekken in de wereld en dat de private RSA key *nog niet* achterhaald kan worden klopt. De ontwikkelingen op dit gebied gaan nog steeds door en denk vooral niet dat het nog heeeeeel lang duurt.
Voordat je het weet is het een bruikbaar (SaaS) product.
Over Ai was ook weinig geloof en vertrouwen, maar opeens is het er in diverse varianten!
Be prepared!
18-07-2025, 12:37 door
Anoniem
Door Anoniem: Laat je vooral niet gek maken door te denken dat een QC niet bestaat of er voorlopig nog niet is of nog niets kan preteren. Het is er al, op meerdere plekken in de wereld en dat de private RSA key *nog niet* achterhaald kan worden klopt. De ontwikkelingen op dit gebied gaan nog steeds door en denk vooral niet dat het nog heeeeeel lang duurt.
Volgens Peter Gutmann duurt het nog 2000 jaar https://www.theregister.com/2025/07/17/quantum_cryptanalysis_criticism/:
"The Bollocks talk drew a line through the two PQC data points we have which indicate that we'd get to the same level of code breaking that we have today with standard computers in about 2,000 years' time, but even those data points are from sleight-of-hand factorizations, not legitimate applications of Shor's algorithm to recover two unknown factors as needed to break RSA (this is why in the paper we suggest evaluation criteria for quantum cryptanalysis claims that should be resistant to sleight-of-hand tricks).
18-07-2025, 13:57 door
Anoniem
Door Anoniem:
Volgens Peter Gutmann duurt het nog 2000 jaar https://www.theregister.com/2025/07/17/quantum_cryptanalysis_criticism/:
Door Anoniem: Laat je vooral niet gek maken door te denken dat een QC niet bestaat of er voorlopig nog niet is of nog niets kan preteren. Het is er al, op meerdere plekken in de wereld en dat de private RSA key *nog niet* achterhaald kan worden klopt. De ontwikkelingen op dit gebied gaan nog steeds door en denk vooral niet dat het nog heeeeeel lang duurt.
Volgens Peter Gutmann duurt het nog 2000 jaar https://www.theregister.com/2025/07/17/quantum_cryptanalysis_criticism/:
Yep en volgens Bill Gates zou je meer dan genoeg hebben aan 640KB werkgeheugen.
640K ought to be enough for anybody.
Keep on snoozing!
18-07-2025, 15:45 door
Anoniem
zomaar wat gedachten
omdat ik wel van PKI weet Best veel ;-)
Maar niet zo veel van Quantum Computers
Ik las eerder: "be prepared". En daar ben ik het volledig mee eens.
Maar ook: "laat je niet gek maken door de hype".
Even een gedachte over verschillen rond breken van sleutels bij symmetrische encryptie en asymmetrische encryptie.
- Symmetrische encryptie: in een netwerk gebruiken in beginsel alle partijen dezelfde sleutel. Als in symmetrisch een sleutel wordt gebroken, dan zijn alle berichten van en naar alle aangesloten gebruikers te ontcijferen.
- Asymmetrische encryptie. Dat is niet zo bij RSA en/of ECC. Als dan een private sleutel wordt gebroken, dan zijn alleen de berichten naar de ontvanger te ontcijferen. En als de PKI wordt gebruikt voor symmetrische sleuteluitwisseling (die per keer random is) dan moet de slechterik zeker ook het eerste bericht ontvangen.
Ik wil hiermee zeggen dat
- de impact op een QC voor ontcijferen per sleutel heel erg klein is
- de QC heel druk zal zijn om alle PKI sleutels binnen een community te ontcijferen.
Dan een gedachte over 1k, 2k, 3k en 4k sleutels.
Nog nergens in de wereld is ooit een 1k sleutel gekraakt. Wel gestolen. Niet gekraakt.
We zitten nu standaard op 2k sleutels. In mijn organisatie wordt nu onderzocht of we (vanwege de normen) naar 3k of 4k sleutels moeten gaan. Ik denk dat we het best nog op 2k kunnen blijven, maar ik buig me natuurlijk voor de normen ;-).
Waarom op 2k blijven? Omdat 1k nog niet is gebroken.
De QC in relatie tot 1k, 2k, 3k en 4k sleutels.
Een veel gehoord argument is: "de Quantum Computer (QC) komt er aan".
hmmm. Ja dat klopt. Althans, ik hoop het.
Alleen. Als een QC bestaat die een 2k sleutel kan breken. Hoe lang duurt het dan dat diezelfde QC een 3k of 4k sleutel kan breken. Kost dat twee keer zoveel tijd? Of heb je daarvoor twee keer zoveel qbits nodig?
Als de QC eenmaal bestaat, dan meen ik dat alle PKI sleutellengtes gebroken zijn.
Dus beargumenteer ik dat de QC zeker NIET de heel goede reden is om naar 3k of 4k sleutels over te gaan.
Natuurlijk wordt ik hierop bestreden (gelukkig maar).
Daarom heb ik op een feestje heel intensief met een quantum wetenschapper gesproken. Ik heb nadrukkelijk mijn gedachtegang aan hem voorgelegd. Hij heeft mijn gedachtegang volledig naar de prullenbak verwezen. Niet omdat die in zichzelf niet goed zou zijn. Wel omdat ik in zijn ogen geen benul heb van de natuurkundige complexiteit van een quantum computer. Zijn woorden: "blijkbaar heb je van quantum niets begrepen. het is geen lineair probleem. De complexiteit van stabiele qbits en ook van veel meer qbits is zoveel groter dat je helemaal al geen voorspellingen kan doen.
Voor mij betekende dit "Ok, dus die quantum computer is nog ver weg (voor praktisch gebruik) en geschikt maken voor breken van heel lange sleutels duurt dus ook nog heel erg lang".
Nogmaals:
ik heb wel verstand van PKI
maar geen verstand van quantum.
By the way
ik heb ook verstand van legacy systemen waarin PKI soms hard-coded in is verwerkt (helaas een feit)
Ik heb ook verstand van interoperabiliteit.
Ik heb mijn lessen geleerd toen ik een keer te snel sleutelverlenging af dwong.
omdat ik wel van PKI weet Best veel ;-)
Maar niet zo veel van Quantum Computers
Ik las eerder: "be prepared". En daar ben ik het volledig mee eens.
Maar ook: "laat je niet gek maken door de hype".
Even een gedachte over verschillen rond breken van sleutels bij symmetrische encryptie en asymmetrische encryptie.
- Symmetrische encryptie: in een netwerk gebruiken in beginsel alle partijen dezelfde sleutel. Als in symmetrisch een sleutel wordt gebroken, dan zijn alle berichten van en naar alle aangesloten gebruikers te ontcijferen.
- Asymmetrische encryptie. Dat is niet zo bij RSA en/of ECC. Als dan een private sleutel wordt gebroken, dan zijn alleen de berichten naar de ontvanger te ontcijferen. En als de PKI wordt gebruikt voor symmetrische sleuteluitwisseling (die per keer random is) dan moet de slechterik zeker ook het eerste bericht ontvangen.
Ik wil hiermee zeggen dat
- de impact op een QC voor ontcijferen per sleutel heel erg klein is
- de QC heel druk zal zijn om alle PKI sleutels binnen een community te ontcijferen.
Dan een gedachte over 1k, 2k, 3k en 4k sleutels.
Nog nergens in de wereld is ooit een 1k sleutel gekraakt. Wel gestolen. Niet gekraakt.
We zitten nu standaard op 2k sleutels. In mijn organisatie wordt nu onderzocht of we (vanwege de normen) naar 3k of 4k sleutels moeten gaan. Ik denk dat we het best nog op 2k kunnen blijven, maar ik buig me natuurlijk voor de normen ;-).
Waarom op 2k blijven? Omdat 1k nog niet is gebroken.
De QC in relatie tot 1k, 2k, 3k en 4k sleutels.
Een veel gehoord argument is: "de Quantum Computer (QC) komt er aan".
hmmm. Ja dat klopt. Althans, ik hoop het.
Alleen. Als een QC bestaat die een 2k sleutel kan breken. Hoe lang duurt het dan dat diezelfde QC een 3k of 4k sleutel kan breken. Kost dat twee keer zoveel tijd? Of heb je daarvoor twee keer zoveel qbits nodig?
Als de QC eenmaal bestaat, dan meen ik dat alle PKI sleutellengtes gebroken zijn.
Dus beargumenteer ik dat de QC zeker NIET de heel goede reden is om naar 3k of 4k sleutels over te gaan.
Natuurlijk wordt ik hierop bestreden (gelukkig maar).
Daarom heb ik op een feestje heel intensief met een quantum wetenschapper gesproken. Ik heb nadrukkelijk mijn gedachtegang aan hem voorgelegd. Hij heeft mijn gedachtegang volledig naar de prullenbak verwezen. Niet omdat die in zichzelf niet goed zou zijn. Wel omdat ik in zijn ogen geen benul heb van de natuurkundige complexiteit van een quantum computer. Zijn woorden: "blijkbaar heb je van quantum niets begrepen. het is geen lineair probleem. De complexiteit van stabiele qbits en ook van veel meer qbits is zoveel groter dat je helemaal al geen voorspellingen kan doen.
Voor mij betekende dit "Ok, dus die quantum computer is nog ver weg (voor praktisch gebruik) en geschikt maken voor breken van heel lange sleutels duurt dus ook nog heel erg lang".
Nogmaals:
ik heb wel verstand van PKI
maar geen verstand van quantum.
By the way
ik heb ook verstand van legacy systemen waarin PKI soms hard-coded in is verwerkt (helaas een feit)
Ik heb ook verstand van interoperabiliteit.
Ik heb mijn lessen geleerd toen ik een keer te snel sleutelverlenging af dwong.
18-07-2025, 16:26 door
Anoniem
Door Anoniem:
Yep en volgens Bill Gates zou je meer dan genoeg hebben aan 640KB werkgeheugen.
Yep en volgens Bill Gates zou je meer dan genoeg hebben aan 640KB werkgeheugen.
640K ought to be enough for anybody.
Keep on snoozing!Ik ben twintig jaar voorgelogen hoe goed het gaat, maar ik blijf geloven dat het binnenkort dan wel klopt.
18-07-2025, 16:29 door
Anoniem
Door Anoniem:
Overhyped of niet, feit is dat het aantal te gebruiken QBits nog steeds oploopt!
Door Anoniem:
Mensen die er jaren aan gewerkt hebben zeggen zelf dat we geen wonderen hoeven te verwachten.
Quantum computers worden vooralsnog vooral overschat en overhyped.
Door Anoniem: Niemand van jullie heeft een quantum computer. Niemand van jullie heeft enige kennis van een quantum computer. Beter overschatten dan onderschatten. Hoogmoed komt voor de val.
Mensen die er jaren aan gewerkt hebben zeggen zelf dat we geen wonderen hoeven te verwachten.
Quantum computers worden vooralsnog vooral overschat en overhyped.
Overhyped of niet, feit is dat het aantal te gebruiken QBits nog steeds oploopt!
Gek genoeg niet nuttig bruikbaar.
Laat je vooral niet gek maken door te denken dat een QC niet bestaat of er voorlopig nog niet is of nog niets kan preteren. Het is er al, op meerdere plekken in de wereld en dat de private RSA key *nog niet* achterhaald kan worden klopt. De ontwikkelingen op dit gebied gaan nog steeds door en denk vooral niet dat het nog heeeeeel lang duurt.
Misschien kun jij ook eeens een deep-dive in de publicaties doen en iets laten zien dat GEEN opgeklopt crap is en waarbij het resultaat geen fake versie met een voorgekookt simpel probleem dat gepresenteerd wordt als een 'echt' resultaat.
18-07-2025, 16:43 door
Anoniem
Op 10 mei 1940 vallen Duitse troepen Nederland binnen. Binnen 5 dagen is de strijd afgelopen. De Nederlandse regering gaat in ballingschap en vestigt zich in Londen.
https://www.nimh.nl/themas/tijdlijn-militaire-geschiedenis-van-nederland/historische-overzichten/tijdlijn-militaire-geschiedenis/1940-1945-de-tweede-wereldoorlog
Typisch Nederland we bereiden ons nergens op voor. Was toen en ook vandaag.
Zit in ons DNA.
https://www.nimh.nl/themas/tijdlijn-militaire-geschiedenis-van-nederland/historische-overzichten/tijdlijn-militaire-geschiedenis/1940-1945-de-tweede-wereldoorlog
Typisch Nederland we bereiden ons nergens op voor. Was toen en ook vandaag.
Zit in ons DNA.
18-07-2025, 17:40 door
Anoniem
Door Anoniem:
Toen ik werkte bij een Grote Machinebouwer in het Zuiden des lands, was de metric voor een review: 150 regels per uur.
En dan wist je al van de hoed en de rand qua implementatie, zonder context is sourcecode n.l. niet goed te begrijpen.
Voor iets geheel nieuws zal het aantal regels/uur nog veel lager liggen. En dan moet je ook nog van alle
gebriukte algoritmes en technieken en standaarden weten hoe ze in elkaar zitten.
Nee, open source reviews doet niemand, want de effort is te groot en het resultaat te laag,
bovendien gaat iemand anders met de opbrengst aan de haal. Intern in een bedrijf is dat natuurlijk
anders.
Door Anoniem:
Het is open-source:
https://mullvad.net/en/open-source
U kunt zelf de broncode controleren.
Het is geen hype.
Zeker nog nooit zelf een serieuze broncode review gedaan.Door Anoniem:
Want gloednieuwe implementaties gebruiken draagt geen enkel risico ...
Begrijpelijk dat een VPN verkoper mee moet lopen in de hype, maar je mag ook zelf wat nadenken.
Door Anoniem:
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
With this new app release we switched to the NIST standard ML-KEM from the earlier Kyber standard, but this is essentially a minor revision of that standard.
Bron: https://mullvad.net/nl/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop
Want gloednieuwe implementaties gebruiken draagt geen enkel risico ...
Begrijpelijk dat een VPN verkoper mee moet lopen in de hype, maar je mag ook zelf wat nadenken.
Het is open-source:
https://mullvad.net/en/open-source
U kunt zelf de broncode controleren.
Het is geen hype.
Toen ik werkte bij een Grote Machinebouwer in het Zuiden des lands, was de metric voor een review: 150 regels per uur.
En dan wist je al van de hoed en de rand qua implementatie, zonder context is sourcecode n.l. niet goed te begrijpen.
Voor iets geheel nieuws zal het aantal regels/uur nog veel lager liggen. En dan moet je ook nog van alle
gebriukte algoritmes en technieken en standaarden weten hoe ze in elkaar zitten.
Nee, open source reviews doet niemand, want de effort is te groot en het resultaat te laag,
bovendien gaat iemand anders met de opbrengst aan de haal. Intern in een bedrijf is dat natuurlijk
anders.
Toen ik werkte bij een Grote Machinebouwer in het Zuiden des lands, was de metric voor een review: 150 regels per uur.
En dan wist je al van de hoed en de rand qua implementatie, zonder context is sourcecode n.l. niet goed te begrijpen.
Voor iets geheel nieuws zal het aantal regels/uur nog veel lager liggen. En dan moet je ook nog van alle
gebriukte algoritmes en technieken en standaarden weten hoe ze in elkaar zitten.
Ik heb vroeger aardbeien geplukt bij een boer in het zuiden van ons land. Ik had niet zo'n hoog salaris als u.. Verdiende 1 gulden per kist.
18-07-2025, 18:40 door
Anoniem
Door Anoniem: Op 10 mei 1940 vallen Duitse troepen Nederland binnen. Binnen 5 dagen is de strijd afgelopen. De Nederlandse regering gaat in ballingschap en vestigt zich in Londen.
https://www.nimh.nl/themas/tijdlijn-militaire-geschiedenis-van-nederland/historische-overzichten/tijdlijn-militaire-geschiedenis/1940-1945-de-tweede-wereldoorlog
Typisch Nederland we bereiden ons nergens op voor. Was toen en ook vandaag.
Zit in ons DNA.
https://www.nimh.nl/themas/tijdlijn-militaire-geschiedenis-van-nederland/historische-overzichten/tijdlijn-militaire-geschiedenis/1940-1945-de-tweede-wereldoorlog
Typisch Nederland we bereiden ons nergens op voor. Was toen en ook vandaag.
Zit in ons DNA.
Als je het vergelijkt, moet je het ook netjes doen: na bekendwoorden Russisch-Duitse as in augustus '39 werd algehele mobilisatie afgekondigd, 300.000 manschappen. Capitulatie na bombardement Rotterdam, en de belofte de rest van stedelijk Nederland plat te bombarderen.
Het volkse cyberleger heeft zijn politieke geloofsbrieven de afgelopen 25 jaar op het internet ingeleverd en breed maatschappelijk ingezet.
Dat is de oorzaak van de ontstane situatie, dat zit in het DNA van Nederland.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Ervaren Chief Information Security Officer (CISO)
Provincie Noord-Holland
Ben jij een ervaren CISO? En wil jij jouw kennis in een andere organisatie delen? Help ons dan onze informatieveiligheid verder te vergroten. Als CISO speel je een sleutelrol in het veilig houden van gegevens en systemen die essentieel zijn voor een leefbare, veilige en duurzame provincie.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?