De cryptografische fundamenten van het internet zijn gebouwd voor een wereld die niet langer bestaat — of preciezer gezegd, voor een wereld die stilletjes aan tijd verliest. Q-Day, het moment waarop een quantumcomputer krachtig genoeg wordt om moderne public-key-encryptie te kraken, is niet langer een theoretische horizon. Volgens veel veteranen in de cryptografie is het een probleem voor eind jaren 2020. Dat ligt dichterbij dan de meeste institutionele routekaarten suggereren, en veel dichterbij dan de gemiddelde cryptogebruiker heeft geleerd te verwachten. Het mechanisme waar het om draait is Shor’s algoritme, gepubliceerd in 1994: een voldoende grote, foutgecorrigeerde quantumcomputer zou het kunnen gebruiken om de private keys af te leiden achter RSA en elliptische-curve-cryptografie, de schema’s die het grootste deel van het internetverkeer en vrijwel alle crypto beveiligen. Geen enkele computer die vandaag bestaat kan het algoritme op die schaal uitvoeren, en daarom draait de discussie onder experts om de aankomstdatum en niet om de wiskunde zelf.

Joseph Gabriel Mattia III, COO van Quantus — het bedrijf dat post-quantum cryptografie integreert in hardware wallet-infrastructuur — onderzoekt hoe die overgang eruitziet op protocolniveau, custody-niveau en voor de gewone houder die alles wat hij over beveiliging moest weten uit een hardware wallet-doos heeft geleerd. Zijn antwoorden zijn minder geruststellend dan de huidige houding van de sector doet vermoeden dat ze zouden moeten zijn. Een administratieve sleutel van een stablecoin baart hem meer zorgen dan de wallet van Satoshi. Multisig biedt volgens hem geen betekenisvolle weerstand tegen een quantumaanvaller — alleen meer sloten van hetzelfde gebrekkige type. En elk belangrijk crypto-activum dat wordt gevolgd door migration.fail, een openbare gereedheidstracker, staat momenteel op signatuurniveau als kwetsbaar vermeld.

Wat volgt is een gesprek over de dreiging die de sector nog niet serieus genoeg neemt, waarom wachten op een proof of concept misschien al te laat is, en hoe quantumgereedheid er daadwerkelijk uit moet zien — niet als marketinglabel, maar als iets wat verifieerbaar, auditeerbaar en standaard in de stack is ingebouwd.

Wanneer verwacht u dat “Q-Day” aanbreekt — het moment waarop een quantumcomputer moderne public-key-cryptografie kan breken? Welke systemen, data, activa, protocollen of infrastructuur zouden aanvallers als eerste targeten? Waarom?

Waarschijnlijk ergens in de late jaren 2020. Er is nog steeds discussie over het exacte jaar, maar veel cryptografie-veteranen denken dat het binnen de komende vier jaar zal gebeuren.

Wat de eerste doelwitten betreft, verwacht ik niet dat Satoshi’s Bitcoin daar één van zal zijn, ook al is dat waar mensen meestal aan denken.

Als een tegenstander over deze mogelijkheid beschikte, zou het targeten van iets zichtbaars dit aan de hele wereld aankondigen en een enorm strategisch voordeel vernietigen. Ze zouden zich waarschijnlijk richten op sleutels die de meeste controle of waarde opleveren, terwijl ze zo weinig mogelijk aandacht trekken.

Binnen crypto zou ik mij meer zorgen maken over iets als de administratieve sleutel van een grote stablecoin. Eén gecompromitteerde sleutel kan het hele ecosysteem beïnvloeden, wat het een veel groter doelwit maakt dan welke afzonderlijke wallet dan ook.

Buiten crypto zou ik kijken naar geclassificeerde overheidscommunicatie, militaire netwerken en inlichtingensystemen, waar het breken van public-key-cryptografie zeer gevoelige gegevens kan blootleggen.

Veel projecten claimen vandaag “quantum resistance”, maar zonder een uniforme, controleerbare checklist zijn zulke beweringen onmogelijk te verifiëren. Wat is volgens u de minimale drempel voor quantumgereedheid?

Voor mij is de minimale drempel dat een project exact kan laten zien waar quantum-kwetsbare cryptografie nog steeds in de stack aanwezig is. Het gebruik van een post-quantum-beveiligd autorisatiemechanisme is een goed begin, maar het maakt het hele netwerk nog niet quantumgereed.

Transactie-autorisatie moet vertrouwen op een erkend post-quantum-beveiligd mechanisme, en het project moet publiek documenteren wat de P2P-verbindingen, consensus, zero-knowledge-systemen, privacylaag, bridges en andere kritieke infrastructuur beschermt.

Er moet ook een duidelijk onderscheid zijn tussen wat vandaag live is en wat alleen op een roadmap staat.

Het belangrijkste is dat die claims controleerbaar moeten zijn. Iedereen moet kunnen zien welke algoritmen en parameterinstellingen worden gebruikt, de implementatie kunnen inspecteren en kunnen verifiëren dat de beveiliging niet is gebaseerd op een ondoorzichtig of niet-verifieerbaar schema of een marketinglabel.

Als u niet exact kunt aanwijzen welke cryptografie elk kritiek onderdeel van het systeem beschermt, denk ik niet dat “quantum-ready” veel betekent.

Wie moet verantwoordelijk zijn voor het vaststellen van uniforme, verifieerbare criteria voor quantumgereedheid? Wat moet daarin worden opgenomen?

Ik zou NIST behouden als referentiepunt voor de cryptografie zelf. Hun post-quantumproces bracht onderzoekers van over de hele wereld samen en maakte het voor geen enkele overheid of onderneming gemakkelijk om de uitkomst te sturen. Dat proces — een open, meerjarige competitie die in 2016 werd gestart — leverde in augustus 2024 de eerste definitieve standaarden op: ML-KEM voor sleuteluitwisseling, naast de handtekeningenschema’s ML-DSA en SLH-DSA.

Voor blockchains moet de volgende laag worden gebouwd door protocolteams die open werken, met ruimte voor onderzoekers en auditors om het ontwerp en de uitkomsten streng te bekritiseren.

De criteria moeten vervolgens weerspiegelen hoe het netwerk vandaag werkt. Dat begint met de cryptografie die wordt gebruikt om transacties te autoriseren en met de vraag of post-quantum bescherming standaard is. Eventuele resterende afhankelijkheid van kwetsbare handtekeningen moet duidelijk worden vermeld.

Migratie moet daar ook deel van uitmaken, omdat een netwerk post-quantum keys kan ondersteunen terwijl de meeste gebruikers nog steeds op oude sleutels zitten.

Hardware wallets beschermen sleutels tegen fysieke diefstal, maar niet tegen quantumaanvallen op publieke sleutels. Hoe beoordeelt u het huidige gebruikersbewustzijn van dit onderscheid? Bestaat er vandaag een veilig opslagmodel voor de gemiddelde gebruiker, of heeft de sector een nieuw wallet-paradigma nodig?

Er bestaat nog steeds een groot misverstand over waartegen een hardware wallet u beschermt. Het houdt uw private key geïsoleerd van uw laptop of telefoon, wat uiterst nuttig is. Maar een quantumaanvaller zou het apparaat niet hoeven aan te raken. Zodra een kwetsbare publieke sleutel wordt blootgesteld, kan een quantumaanvaller direct de cryptografie aanvallen zonder ooit de hardware wallet aan te raken.

Dat maakt hardware wallets niet achterhaald. We hebben al post-quantum ondersteuning geïntegreerd in Keystone voor Quantus, dus het hardwaremodel kan evolueren. De beperking is dat een wallet Bitcoin of Ethereum niet op zichzelf post-quantum kan maken — het onderliggende netwerk moet ook nieuwe handtekeningen ondersteunen.

Een beter model bouwt standaard post-quantum bescherming in zowel de wallet als het netwerk in. Gebruikers zouden niet hoeven te weten wanneer de cryptografie onder hen verouderd is geraakt.

Multisignature-schema’s verhogen de complexiteit van een aanval alleen lineair, niet exponentieel. Betekent dit dat institutionele custody-architecturen die op multisig zijn gebouwd een vals gevoel van veiligheid creëren?

Multisig is nog steeds uiterst nuttig, en ik zou niet willen dat instellingen het opgeven. Het beschermt tegen de bedreigingen waarmee custody-systemen vandaag te maken hebben, zoals één gestolen sleutel of één gecompromitteerde ondertekenaar.

Het wordt gevaarlijk wanneer mensen meer sleutels gaan zien als bescherming tegen quantumaanvallen. Een 3-of-5-opzet die volledig op hetzelfde kwetsbare handtekeningenschema is gebaseerd, heeft nog steeds dezelfde onderliggende zwakte. Een quantumaanvaller moet misschien meerdere sleutels herstellen, maar lost telkens hetzelfde soort probleem op. Vijf sloten helpen weinig als ze allemaal hetzelfde kwetsbare mechanisme delen.

Dus ja, multisig kan een vals gevoel van veiligheid creëren als instellingen redundantie gelijkstellen aan quantumresistentie. De betere weg is om gedistribueerde custody te behouden, maar de kwetsbare autorisatie eronder te vervangen door iets dat een quantumaanvaller aankan.

Zijn grote exchanges en custodians voorbereid op een scenario waarin een quantumcomputer binnen enkele minuten een private key uit een publieke key kan afleiden? En gewone gebruikers?

De meeste grote exchanges zijn goed in het verdedigen tegen de aanvallen die we vandaag kennen. Ik heb weinig bewijs gezien dat ze klaar zijn voor een aanval waarbij een private key kan worden gereconstrueerd zonder hun infrastructuur überhaupt aan te raken.

We volgen dit via migration.fail, een openbare gereedheidstracker die beoordeelt of grote blockchainnetwerken nog steeds afhankelijk zijn van quantum-kwetsbare cryptografie. Op dit moment staan alle top 20 crypto-activa die het volgt op signatuurniveau als kwetsbaar vermeld.

Een serieus responsplan moet rekening houden met welke operationele sleutels blootgesteld zijn en hoe snel fondsen kunnen worden verplaatst zodra er één verdacht wordt. Een kwaadaardige transactie kan op de blockchain nog steeds volledig geldig lijken, wat een vroege reactie bemoeilijkt.

Gewone gebruikers lopen verder achter. De meesten zullen pas horen dat zij moeten migreren wanneer een wallet of exchange het hen vertelt, dus elk realistisch plan moet die overstap eenvoudig genoeg maken om veilig te voltooien.

Waarom is de dreiging van “harvest now, decrypt later” vandaag relevant — lang voor de komst van grootschalige quantumcomputers?

Allereerst zou ik dit scheiden van de quantumdreiging voor blockchainhandtekeningen, omdat die vaak op één hoop worden gegooid. Een Bitcoin-transactie is al openbaar. Een aanvaller hoeft vandaag niets op te nemen om het tien jaar later te ontsleutelen.

Dat kan echter niet gezegd worden van banken, overheden en andere instellingen waarvan versleutelde data over jaren nog steeds gevoelig kan zijn — en waarschijnlijk ook zal zijn. Iemand kan dat verkeer vandaag verzamelen en bewaren totdat de technologie is ingehaald.

Signal, iMessage en Cloudflare hebben al delen van hun systemen naar post-quantum bescherming verplaatst — Signal activeerde post-quantum sleuteluitwisseling voor nieuwe chats in 2023, Apple rolde zijn PQ3-protocol uit over iMessage in 2024, en Cloudflare heeft hybride post-quantum sleuteluitwisseling over zijn netwerk ingeschakeld — en de meeste gebruikers merkten daar nauwelijks iets van. Waarschijnlijk zou deze overgang er zo uit moeten zien.

Gevoelige data zou niet op quantum-kwetsbare encryptie moeten blijven staan totdat iemand bewijst dat een quantumcomputer die kan breken. Tegen die tijd kunnen er al jaren aan verkeer in het archief van iemand anders liggen.

Blockchaindata is onveranderlijk en openbaar. Is er iets dat kan worden gedaan aan reeds geregistreerde transacties, of is die data voorgoed gecompromitteerd?

Vastgelegde blockchaingegevens zijn permanent, maar permanent betekent niet dat elke oude transactie na Q-Day ineens gevaarlijk wordt. Het meeste was toch al openbaar op een transparante chain.

Publieke sleutels zijn de uitzondering, omdat Bitcoin blootgestelde sleutels al permanent registreert. Standaard Bitcoin-adressen publiceren alleen een hash van de publieke sleutel totdat er coins vanaf worden uitgegeven, maar de vroegste pay-to-public-key outputs van het netwerk — en elk hergebruikt of al uitgegeven adres — tonen de publieke sleutel volledig. Een aanvaller hoeft vandaag geen privé-archief op te bouwen of iets vooraf te onderscheppen. Jaren later kan diezelfde publieke ledger worden doorzocht om elke blootgestelde sleutel te targeten die nog steeds iets waardevols beheert.

Fondsen verplaatsen naar post-quantum keys kan de waarde uit die oude blootstelling halen, maar het kan het historische record niet opschonen.

Voor private transacties ligt het probleem iets anders. De data staat jaren later nog steeds op de chain, dus als de cryptografie die het beschermt uiteindelijk wordt gebroken, kan informatie die destijds verborgen was achteraf zichtbaar worden.

Welke meetbare, afdwingbare standaarden voor quantumgereedheid zou de sector binnen de komende 12 tot 24 maanden moeten invoeren?

Een nuttige benchmark is wat de Amerikaanse overheid nu doet, waarbij federale agentschappen hun cryptografische blootstelling in kaart moeten brengen en specifieke personen verantwoordelijk moeten maken voor de migratie. Die vereisten zijn terug te voeren op National Security Memorandum 10 en opvolgende richtlijnen van het budgetbureau, en NIST’s ontwerp-transitieplan stelt voor om RSA-2048 en elliptische-curve-cryptografie tegen 2030 te verouderen en deze tegen 2035 volledig niet meer toe te staan. Hoogwaardige systemen hebben harde deadlines om naar post-quantum cryptografie te migreren, en er wordt gewerkt aan een cryptographic bill of materials om die afhankelijkheden gemakkelijker te volgen.

Crypto heeft de komende 12 tot 24 maanden een eigen versie van die discipline nodig. Grote protocollen moeten publiceren waar kwetsbare cryptografie nog steeds in gebruik is en data vermelden voor het afronden van de overgang ervan. Exchanges en custodians moeten bekendmaken hoeveel waarde achter legacy keys zit.

Zodra die cijfers openbaar zijn, kunnen noteringsbeoordelingen en security-audits ze ook gaan gebruiken. Dat geeft de sector iets concreets om te meten.

Wat is de grootste hindernis bij het op grote schaal implementeren van die standaarden? Hoe moet de sector dit op korte termijn aanpakken?

Het moeilijkste deel is miljoenen individuele houders in beweging krijgen wanneer er geen centrale schakel is die iemand kan omzetten. Een protocol kan post-quantum ondersteuning toevoegen, maar coins die jarenlang in cold storage zitten, moeten nog steeds door de eigenaars worden verplaatst.

Het onmiddellijke werk moet zich richten op het zo eenvoudig mogelijk maken van de migratie. Wallets hebben flows nodig die gebruikers met minimale wrijving naar veiligere sleutels leiden, terwijl exchanges en custodians procedures nodig hebben die zij al onder belasting hebben getest. Op protocolniveau moeten we ook vermijden dat we simpelweg het ene kwetsbare systeem vervangen door iets dat onacceptabele kosten voor bandbreedte, opslag of privacy met zich meebrengt. Die beperking is niet abstract: NIST’s ML-DSA-handtekeningen zijn enkele kilobytes groot, tientallen keren de grootte van de 64- tot 72-byte elliptische-curve-handtekeningen die vandaag gangbaar zijn op blockchains, en hashgebaseerde alternatieven brengen hun eigen afwegingen mee op het vlak van handtekeninggrootte en state-beheer. Wachten met het ontwerpen van die systemen tot de dreiging urgent aanvoelt, laat weinig ruimte voor fouten.

Inactieve activa maken het probleem nog moeilijker. Sommige eigenaars zullen nooit verschijnen om te migreren, dus netwerken moeten ook beslissen hoe zij omgaan met kwetsbare coins die achterblijven.