FIPS 206 is de aankomende NIST-standaard die het Falcon-algoritme formaliseert als post-quantumveilige methode voor digitale handtekeningen. Voor compliance officers en IT-beslissers in overheid, juridische sector en gereguleerde branches is het verschil tussen FIPS 206 en de reeds gepubliceerde FIPS 203, 204 en 205 niet louter academisch: het raakt direct aan PKI-architectuur, certificaatbeheer en de vraag welke migratiestappen nu al gezet moeten worden.
Status van FIPS 206: waar staan we nu?
FIPS 206 bevindt zich in de afrondingsfase van het NIST-standaardisatieproces, maar is op het moment van schrijven nog niet definitief gepubliceerd.
In augustus 2024 publiceerde NIST drie definitieve post-quantumcryptografiestandaarden: FIPS 203 (ML-KEM, gebaseerd op CRYSTALS-Kyber), FIPS 204 (ML-DSA, gebaseerd op CRYSTALS-Dilithium) en FIPS 205 (SLH-DSA, gebaseerd op SPHINCS+). FIPS 206 volgt als vierde standaard en standaardiseert Falcon, officieel hernoemd naar FN-DSA (Fast Fourier lattice-based compact signatures over NTRU). NIST heeft aangegeven dat FIPS 206 aansluit bij dezelfde publicatieronde, maar de definitieve tekst is nog in consultatie- en redactiefase.
Organisaties kunnen al werken met de gepubliceerde concepttekst (initial public draft) van FIPS 206 voor pilotimplementaties en risicoanalyses, maar het is te vroeg om productiesystemen volledig te gronden op een versie die nog niet definitief is. Het NIST NCCoE Migration to PQC Project adviseert organisaties om deze wachttijd te benutten voor inventarisatie van cryptografische afhankelijkheden en het voorbereiden van hybride migratiestrategieën.
Hoe verschilt FIPS 206 van FIPS 203, 204 en 205?
De vier standaarden bestrijken fundamenteel verschillende cryptografische functies en mogen niet als alternatieven voor elkaar worden gezien.
| Standaard | Algoritme (basis) | Functie | Primaire use case |
|---|---|---|---|
| FIPS 203 | ML-KEM (CRYSTALS-Kyber) | Sleutelinkapseling (KEM) | TLS-sleuteluitwisseling, versleuteling van data in transit |
| FIPS 204 | ML-DSA (CRYSTALS-Dilithium) | Digitale handtekening | Algemene PKI, code signing, documentondertekening |
| FIPS 205 | SLH-DSA (SPHINCS+) | Digitale handtekening (hash-based) | Hoge vertrouwensomgevingen, root CA’s, lange levensduur |
| FIPS 206 | FN-DSA (Falcon) | Digitale handtekening | Compacte handtekeningen, hoge volumes, IoT en embedded |
Het onderscheidende voordeel van Falcon ten opzichte van CRYSTALS-Dilithium ligt in de compactheid van handtekeningen en sleutels. Falcon-512 produceert handtekeningen van circa 666 bytes, tegenover circa 2420 bytes voor CRYSTALS-Dilithium op vergelijkbaar beveiligingsniveau (bron: NIST PQC Round 3 Submissions, 2022). Dit maakt Falcon bijzonder interessant voor toepassingen waarin bandbreedte of opslagcapaciteit beperkend is: denk aan PKI-certificaatketens in smartcards, TLS-handshakes op laagbandbreedteverbindingen en firmware-ondertekening in IoT-apparaten.
Thomas Prest, co-auteur van het Falcon-algoritme en cryptograaf bij PQShield, stelt het zo: “Falcon’s compactness makes it particularly attractive for constrained environments and high-volume signing scenarios, but its implementation complexity demands careful engineering discipline.”
Prestatiekenmerken en hardwarecompatibiliteitsproblemen
Falcon is sneller in sleutelaanmaak en verificatie dan ML-DSA, maar stelt hogere eisen aan de implementatie.
Het algoritme steunt op Gaussische steekproeftrekking via drijvende-kommaberekeningen (floating-point arithmetic). Dit betekent dat de correctheid en veiligheid van de implementatie afhankelijk zijn van de nauwkeurigheid van de floating-point-eenheid in de processor. Op moderne x86-64-servers vormt dit geen probleem: IEEE 754-dubbele precisie is voldoende. Op microcontrollers zonder hardwarematige floating-point-unit, zoals bepaalde ARM Cortex-M0-klassen, is software-emulatie nodig, wat niet alleen trager is maar ook zijkanaalaanvallen kan introduceren als dit niet zorgvuldig is geïmplementeerd.
ML-DSA (CRYSTALS-Dilithium) vermijdt deze complexiteit door uitsluitend met gehele-getal-rekenwerk te werken. Dit maakt Dilithium eenvoudiger veilig te implementeren op een brede variëteit aan hardware. Voor de meeste overheidsorganisaties en juridische dienstenleveranciers die werken met standaard serverhardware of cloudomgevingen is dit een argument om de eerste PKI-migratie te richten op ML-DSA en Falcon pas in een tweede fase te introduceren.
Hardware Security Modules en Falcon
Een specifiek knelpunt vormen Hardware Security Modules (HSM’s). Veel HSM-fabrikanten, waaronder Thales en Utimaco, zijn bezig met firmware-updates die post-quantumalgoritmen ondersteunen. Niet alle huidige HSM-modellen ondersteunen de roostertrap-rekenoperaties die Falcon vereist. Organisaties moeten bij hun HSM-leverancier navragen welke firmwareversie Falcon ondersteunt en of bestaande hardwaremodellen hiervoor in aanmerking komen, of dat vervanging noodzakelijk is.
PKI-aanpassingen voor Falcon naast ML-DSA
Een bestaande PKI-infrastructuur aanpassen voor Falcon vereist werk op meerdere lagen, van de root CA tot aan eindentiteits-certificaten en de afhankelijke applicaties.
Concreet moeten organisaties de volgende stappen doorlopen. Ten eerste: de Certificate Authority-software, zoals Microsoft AD CS, EJBCA of Bouncy Castle, bijwerken naar versies die de OID’s voor Falcon en FN-DSA ondersteunen. Ten tweede: certificaatprofielen aanpassen, omdat de sleutelgrootte en handtekeningstructuur van Falcon afwijken van RSA- en ECDSA-profielen. Ten derde: hybride certificaten evalueren, waarbij een enkel certificaat zowel een klassiek sleutelpaar (RSA of ECDSA) als een Falcon-sleutelpaar bevat. Dit maakt achterwaartse compatibiliteit mogelijk tijdens de transitieperiode.
Het NIST NCCoE Migration to PQC Project heeft vastgesteld dat PKI-vervanging een van de meest complexe migratietaken is, met honderden afhankelijke systemen per gemiddelde overheidsorganisatie (NIST NCCoE, 2023). Validatielogica in applicaties die certificaten verwerken, zoals VPN-gateways, authenticatiediensten en documentbeheersystemen, moet worden bijgewerkt om Falcon-handtekeningen te kunnen valideren.
Prioritering: FIPS 206 versus de al gepubliceerde standaarden
Voor de meeste organisaties geldt een duidelijke prioriteitsvolgorde: begin met de definitieve standaarden en behandel FIPS 206 als een latere uitbreiding.
Dustin Moody, wiskundige en projectleider van het PQC-standaardisatieproject bij NIST, formuleerde het helder: “Organizations should not wait for a single perfect standard. The migration to post-quantum cryptography is a process, not an event, and hybrid approaches will be essential during the transition period.”
Voor 2025 en 2026 betekent dit in de praktijk dat de cryptografische migratie in de volgende volgorde wordt aangepakt. Als eerste FIPS 203 (ML-KEM) voor alle sleuteluitwisseling in TLS en VPN-verbindingen, omdat het “harvest now, decrypt later”-risico hier het grootst is: aanvallers kunnen versleuteld verkeer van nu opslaan en later ontsleutelen met een kwantumcomputer. Als tweede FIPS 204 (ML-DSA) voor PKI en code signing, omdat dit de breedste compatibiliteit biedt en het best ondersteund wordt door huidige bibliotheekversies. Als derde, zodra FIPS 206 definitief is, een gerichte evaluatie voor use cases die compactheid vereisen.
Organisaties in de defensie- of inlichtingensector die werken onder NSA Suite B-opvolgers of vergelijkbare classificatieregimes, kunnen eerder worden verplicht Falcon te implementeren als de overheidsrichtlijnen dat voorschrijven. Voor civiele overheid, juridische dienstverleners en financiële instellingen die opereren onder NIS-2 en GDPR is de druk minder acuut, maar de inventarisatie van cryptografische afhankelijkheden moet nu beginnen.
Samenhang met datasoevereiniteit en GDPR
De keuze voor post-quantumalgoritmen staat niet los van bredere vragen over waar data wordt opgeslagen en verwerkt. Organisaties die hun digitale infrastructuur verschuiven naar on-premise of Zwitserse soevereine cloudomgevingen, moeten de cryptografische laag van die omgevingen even zorgvuldig evalueren als de jurisdictionele aspecten. Een Nextcloud-implementatie op Europees grondgebied die gebruik maakt van kwetsbare RSA-sleuteluitwisseling biedt onvoldoende bescherming als versleuteld verkeer op dit moment al wordt onderschept voor toekomstige decryptie.
NIS-2, die in Nederland is omgezet in de Wet beveiliging netwerk- en informatiesystemen 2 (Wbni), en de AVG (GDPR) vereisen dat organisaties passende technische maatregelen treffen. De Europese Unie Agency for Cybersecurity (ENISA) heeft in haar richtlijnen aangegeven dat post-quantummigratie als onderdeel van de verplichting tot “state of the art”-beveiliging beschouwd kan worden. Dat betekent dat compliance officers nu al moeten documenteren welk migratiepad hun organisatie volgt, ook al zijn de definitieve vereisten nog niet in wet vastgelegd.
FAQ
Is FIPS 206 al definitief gepubliceerd en kunnen organisaties er nu op bouwen?
Nee, FIPS 206 was ten tijde van de laatste beschikbare informatie nog in de afrondingsfase. NIST publiceerde FIPS 203, 204 en 205 in augustus 2024 als definitieve standaarden. FIPS 206 volgt als aanvullende handtekeningstandaard. Organisaties kunnen al wel pilotimplementaties starten op basis van de concepttekst, maar mogen nog niet bouwen op een definitieve versie.
Waarom heeft een organisatie zowel FIPS 204 als FIPS 206 nodig als beide digitale handtekeningen standaardiseren?
FIPS 204 (ML-DSA, gebaseerd op CRYSTALS-Dilithium) is de primaire aanbevolen standaard voor de meeste toepassingen. FIPS 206 (Falcon) is compacter en sneller bij verificatie, wat het geschikt maakt voor toepassingen met strenge bandbreedtebeperkingen of grote aantallen handtekeningen, zoals ingebedde systemen, PKI-certificaatketens en protocollen op IoT-niveau.
Welke aanpassingen zijn minimaal nodig in een bestaande PKI om Falcon te ondersteunen?
Organisaties moeten hun Certificate Authority-software bijwerken naar versies die Falcon-OID’s ondersteunen, hun HSM’s controleren op compatibiliteit met roostertrap-rekenwerk, en hun certificaatprofielen aanpassen voor de afwijkende sleutel- en handtekeningformaten. Hybride certificaten, die zowel een klassiek als een Falcon-sleutelpaar bevatten, vergen ook aanpassingen in de certificaatvalidatielogica van afhankelijke applicaties.
Welk algoritme moet een organisatie in 2025 als eerste implementeren: FIPS 203, 204, 205 of 206?
De prioriteit ligt bij FIPS 203 (ML-KEM) voor sleuteluitwisseling en versleuteling, en bij FIPS 204 (ML-DSA) voor digitale handtekeningen. Beide zijn definitief gepubliceerd. FIPS 206 (Falcon) is een secundaire prioriteit, relevant zodra de definitieve tekst verschijnt en specifieke use cases zoals compacte handtekeningen dit vereisen.
Heeft Falcon hardwareondersteuning nodig, of werkt het op standaard serverhardware?
Falcon werkt op standaard x86-64 serverhardware, maar vereist zorgvuldige implementatie vanwege de afhankelijkheid van Gaussische steekproeftrekking met drijvende-kommaberekeningen. Op hardware zonder voldoende nauwkeurige floating-point-eenheden, zoals bepaalde microcontrollers, zijn extra maatregelen nodig om zijkanaalaanvallen te voorkomen. De meeste moderne server- en cloudomgevingen ondersteunen Falcon-uitvoering zonder aanvullende hardwarevereisten.
