Op 21 oktober werd de stekker uit een flink deel van digitaal België getrokken. Overheidsdiensten, ziekenhuizen, bedrijven tot en met het schoolplatform Smartschool gingen uit voorzorg offline na de vroegtijdige bekendmaking van beveiligingslekken in PHP, een alomtegenwoordige programmeertaal voor websites. De lekken waren met behulp van artificiële intelligentie ontdekt, maar konden gelukkig met software-updates worden verholpen. Het voorval toont hoe kwetsbaar onze samenleving is geworden door de verregaande digitalisering.
Een maand eerder bleek uit een studie van de technologiefederatie Agoria dat zes op de tien bevraagde Belgische technologiebedrijven niet beschikken over een volledige inventaris van hun digitale infrastructuur, noch over een cybersecuritybeleid. Bijna de helft heeft geen monitoringsysteem om aanvallen te detecteren.
België worstelt dus nog met de beveiliging van vandaag, terwijl een fundamentelere dreiging zich aandient. Eentje die zich niet laat verhelpen met enkele regels code: de komst van de kwantumcomputer.
De kwantumcomputer als nieuwe dreiging
Zo blijft het opvallend stil over de veiligheidsrichtlijnen die het Amerikaanse standaardisatie-instituut NIST vorige week publiceerde. In de Verenigde Staten moeten de gevoeligste federale systemen tegen 2030 al overstappen op kwantumbestendige sleuteluitwisseling en tegen 2031 op nieuwe digitale handtekeningen. Tegen 2035 moet de bredere omschakeling voltooid zijn.
Digitale beveiliging maakt informatie 'onleesbaar' door middel van berekeningen die dankzij een geheime sleutel makkelijk zijn voor zender en ontvanger, maar moeilijk voor afluisteraars. Men steunt hierbij meestal op wiskundige problemen die klassieke computers – en dus aanvallers – niet efficiënt kunnen oplossen. Zo weten we al sinds Euclides, rond 300 voor Christus, dat elk natuurlijk getal groter dan 1 als een product van priemgetallen kan worden geschreven. Maar probeer die priemfactoren eens te vinden voor een getal met meer dan 600 cijfers. De krachtigste klassieke computers lopen daarop vast. AI voorlopig ook.
Dat geeft een vals gevoel van veiligheid, want in 1994 toonde de wiskundige Peter Shor aan dat een kwantumcomputer dat wel efficiënt kan. Zijn ontdekking gaf een enorme impuls aan het onderzoek naar machines die rekenen volgens de wetten van de kwantummechanica en daarmee computationele rekenproblemen aankunnen waarop de klassieke computer zijn tanden stukbijt.
Wat begin jaren 80 een zweverige theorie leek, transformeerde in een heilige graal met verstrekkende toepassingen. Naast gespecialiseerde bedrijven investeren technologiereuzen als IBM, Google en Microsoft volop in kwantumhardware. De ontwikkeling blijkt evenwel bijzonder complex. De fysica laat zich niet zomaar temmen. De machines zijn daardoor nog lang niet krachtig genoeg om onze cryptografie te kraken. Wanneer dat wel mogelijk wordt, weet niemand.
“Wie denkt veilig te zitten tot de kwantumcomputer er is, komt te laat”
Toch is onze beveiliging al in gevaar. Kwaadwillenden kunnen versleutelde informatie simpelweg bewaren om die later met een kwantumcomputer te ontcijferen. Harvest now, decrypt later. Diplomatieke berichten, medische dossiers en bedrijfsgeheimen verliezen hun vertrouwelijkheid niet noodzakelijk na enkele jaren.
Tien tot twintig jaar
Ondertussen werkt men al jaren aan alternatieve cryptosystemen voor de klassieke computer (want die zullen we blijven gebruiken), wat we postkwantumcrypto noemen. Die systemen steunen op wiskundige problemen waarvoor er (nog) geen klassieke én kwantumoplossingen bestaan.
Om meer zekerheid te hebben over hun veiligheid worden kandidaat-algoritmes door NIST gepubliceerd en jarenlang aan crypto-analytische aanvallen onderworpen. Wie zo'n systeem kraakt, kiest allicht voor roem in plaats van een hackerbestaan. Dat domein wordt nu ook versneld door AI. Deze zomer ontwikkelde Anthropic in amper 60 uur een klassieke aanval op HAWK, een kandidaat voor een nieuwe standaard voor digitale handtekeningen.
De overstap naar zulke nieuwe cryptosystemen vergt veel meer dan een software-update. Algoritmes draaien vaak op gespecialiseerde hardware en zitten diep verweven in onze digitale infrastructuur. NIST wijst erop dat eerdere cryptografische overgangen tien tot twintig jaar duurden. Onze overheden, ziekenhuizen en bedrijven moeten dus dringend inventariseren welke cryptografie ze gebruiken, migratie voorbereiden en ervoor zorgen dat beveiligingssystemen flexibel vervangbaar worden.
We komen in een tijdperk van almaar snellere kat-en-muisspelletjes. Als we de AI- en kwantumdreiging blijven negeren, duurt de digitale stilstand in de niet zo verre toekomst veel langer dan één dag.
BIO
Ann Dooms is professor wiskunde aan de Vrije Universiteit Brussel
De conclusie
Onze overheden, ziekenhuizen en bedrijven moeten ervoor zorgen dat beveiligingssystemen flexibel vervangbaar worden.