Post-kwantumcryptografie (PQC) voor TLS 1.3 is de discipline waarbij klassieke publieke-sleutelcryptografie, gebaseerd op RSA of elliptische krommen, wordt vervangen door of gecombineerd met algoritmen die bestand zijn tegen aanvallen door kwantumcomputers. Voor organisaties in de publieke sector, de juridische wereld en andere gereguleerde omgevingen is dit geen toekomstig vraagstuk: de dreiging van “harvest now, decrypt later” maakt de migratie van PKI-certificaten vandaag al operationeel relevant.
Waarom TLS 1.3 het startpunt is voor PQC-certificaatmigratie
RFC 8446, de specificatie van TLS 1.3, biedt de technische basis waarop PQC-extensies kunnen worden opgebouwd. De handshake-architectuur van TLS 1.3 ondersteunt pluggable key exchange groups, wat de introductie van ML-KEM (NIST FIPS 203) als sleutelinkapselmechanisme mogelijk maakt zonder het protocol zelf te herzien.
NIST publiceerde in 2024 twee centrale standaarden: NIST FIPS 203 voor ML-KEM (sleutelinkapseling) en NIST FIPS 204 voor ML-DSA (digitale handtekeningen). Beide zijn gebaseerd op roostertaalkundige wiskunde en vormen de kern van wat organisaties in hun certificaatinfrastructuur moeten implementeren. NISTIR 8547 beschrijft de bredere tijdlijn en plaatst deze standaarden in het bredere migratieplaatje.
“The migration to post-quantum cryptography is not a simple algorithm swap; it requires organizations to rethink their entire key management lifecycle, including certificate issuance, revocation and HSM provisioning.” — Dustin Moody, wiskundige en projectleider PQC-standaardisatie bij NIST
Drie certificaatstrategieën: composiet, dual en puur PQC
De keuze tussen certificaattypen is de meest bepalende architectuurbeslissing bij de migratie. Elk type kent specifieke voor- en nadelen, afhankelijk van de legacy-situatie van de organisatie.
| Certificaattype | Beschrijving | Voordeel | Nadeel |
|---|---|---|---|
| Composiet | Eén certificaatobject met gecombineerde klassieke en PQC-sleutel | Één uitgifte- en validatieproces, beheerbaar voor CA’s | Groter certificaatformaat, beperkte standaardisatie |
| Dual (TLS-extensie) | Twee afzonderlijke certificaten, aangeboden via TLS-extensie | Maximale flexibiliteit, volledig terugwaartse compatibiliteit | Complexere CA-infrastructuur, twee certificaatlevenscycli |
| Pure PQC | Uitsluitend een post-kwantumsleutel in het certificaat | Kleinste beheerslast op lange termijn | Geen ondersteuning voor legacy-clients zonder PQC-stack |
Het IETF-draft draft-yusef-tls-pqt-dual-certs beschrijft het mechanisme waarmee dual-certificaten worden uitgewisseld in een TLS 1.3-handshake. De server biedt beide certificaten aan; de client kiest op basis van zijn mogelijkheden. Dit maakt de dual-aanpak bijzonder geschikt voor omgevingen met een mix van moderne en legacy-systemen, wat in overheids- en juridische omgevingen de regel is, niet de uitzondering.
Interoperabiliteit en downgrade-aanvallen in gemengde omgevingen
In omgevingen waar zowel moderne TLS 1.3-stacks als verouderde systemen draaien, ontstaan specifieke risico’s. Oudere TLS-implementaties kennen PQC cipher suites niet en zullen terugvallen op klassieke algoritmen, wat een aanvaller actief kan uitbuiten via een downgrade-aanval.
Organisaties voorkomen dit door een gelaagde aanpak. Allereerst: TLS-versies 1.0 en 1.1 worden volledig geblokkeerd op netwerkniveau, niet alleen ontmoedigd. Vervolgens wordt HSTS (HTTP Strict Transport Security) afgedwongen voor alle webbased verbindingen, en DANE (DNS-based Authentication of Named Entities) toegepast waar de DNS-infrastructuur dit toelaat. Voor API-koppelingen met ketenpartners, zoals gemeentelijke systemen of rechtbanken, worden de onderhandelde cipher suites gemonitord via netwerkdetectietools die TLS-handshake-parameters loggen.
Het IETF-draft draft-ietf-uta-pqc-app beschrijft hoe applicatieprotocollen, waaronder TLS, PQC-algoritmen moeten toepassen en welke aanbevelingen gelden voor afwijzing van zwakke suites. Compliance-officers kunnen dit document gebruiken als referentie bij het opstellen van technisch beleid.
CA-infrastructuur en root CA-rotatie: doorlooptijden en vereisten
Het bijwerken van de PKI-infrastructuur voor PQC vraagt meer dan een softwareupdate. De vertrouwensketen, van root CA via intermediate CA’s naar leaf-certificaten, moet volledig worden heringericht voor ML-DSA-handtekeningen.
Een root CA-rotatie heeft een gemiddelde doorlooptijd van drie tot vijf jaar bij grotere organisaties, aldus de CISA Post-Quantum Cryptography Initiative (2023). Dit omvat de uitgifte van nieuwe PQC-roots, het vernieuwen van intermediate CA’s, het intrekken van verouderde roots en het verifiëren dat alle toepassingen de nieuwe vertrouwensketens accepteren.
Publieke CA’s zoals sectigo en DigiCert hebben testomgevingen voor PQC-certificaatuitgifte beschikbaar gesteld. Voor organisaties met een interne PKI (op basis van Microsoft Active Directory Certificate Services of OpenSSL-gebaseerde CA’s) is de situatie complexer: de gebruikte cryptografische bibliotheken moeten expliciet ML-DSA ondersteunen. OpenSSL 3.x biedt via de OQS-provider (Open Quantum Safe) experimentele PQC-ondersteuning, maar productie-inzet vereist een zorgvuldige risicoafweging.
“Hybrid certificates that combine classical and post-quantum algorithms provide the best transitional security posture, because they maintain backward compatibility while adding quantum resistance.” — ENISA, Guidelines on Post-Quantum Cryptography
Prioritering: externe verbindingen versus interne systemen
Niet alle TLS-verbindingen dragen hetzelfde risicoprofiel. De “harvest now, decrypt later”-aanvalsstrategie, waarbij een aanvaller versleuteld verkeer nu verzamelt om het later te ontsleutelen met een kwantumcomputer, treft met name verbindingen met een lange vertrouwelijkheidseis.
Organisaties in de rechtspraak, gezondheidszorg en overheidssector prioriteren als volgt:
- Extern gerichte verbindingen met burgers, advocaten of patiënten, via HTTPS en API-gateways: hoogste prioriteit omdat deze het meest blootgesteld zijn aan passief onderscheppen.
- Federatieve koppelvlakken met ketenpartners, zoals DigiD-koppelpunten, PKIoverheid-gebaseerde verbindingen en e-Herkenning: hoge prioriteit vanwege de gevoeligheid van de geïdentificeerde entiteiten.
- Interne VPN-tunnels en datacenterreplicatie: middelmatige prioriteit, maar relevant wanneer versleuteld verkeer via onbeheerde netwerksegmenten loopt.
- Intern microserviceverkeer binnen een beheerd datacenter of on-premise cloud: laagste prioriteit, maar niet te verwaarlozen bij langlopende projecten.
PKIoverheid, beheerd door Logius, is de Nederlandse overheidsuitgifte-autoriteit voor TLS-certificaten die door overheidsinstanties worden gebruikt. Logius heeft aangegeven de PQC-transitie te volgen, maar concrete certificaatuitgifte voor ML-DSA is nog niet beschikbaar op het moment van schrijven. Compliance-officers bij Rijksdiensten doen er goed aan dit via het Logius-serviceregister bij te houden.
HSM-vereisten voor PQC-algoritmen
Hardware Security Modules zijn de hoeksteen van een soevereine PKI-strategie. Bij de overgang naar ML-DSA (FIPS 204) en ML-KEM (FIPS 203) stelt dit nieuwe eisen aan HSM-hardware en -firmware.
ML-DSA genereert handtekeningen van 2 tot 4 kilobyte, afhankelijk van het geselecteerde parameterset (ML-DSA-44, 65 of 87). ML-KEM ciphertexts bedragen ruim 1 kilobyte. Dit is aanzienlijk groter dan een ECDSA P-256-handtekening van 64 bytes. Gevolgen voor HSM-infrastructuur zijn onder meer:
- Doorvoercapaciteit: een HSM die 10.000 RSA-2048 operaties per seconde uitvoert, presteert mogelijk anders bij ML-DSA vanwege de grotere rekenkernvereisten per operatie.
- Geheugen en opslagcapaciteit: grotere sleutel- en handtekeningobjecten vragen meer RAM en opslagruimte per HSM-slot.
- FIPS-certificering: de meeste huidige FIPS 140-2 of 140-3 gecertificeerde HSM’s ondersteunen PQC-algoritmen nog niet in hun gecertificeerde modus. Fabrikanten als Thales (Luna HSM) en Utimaco hebben firmware-updates aangekondigd, maar FIPS-certificering voor PQC-modi is nog in behandeling bij NIST.
Voor organisaties die een soevereine hardwarestrategie nastreven, zonder afhankelijkheid van Amerikaanse cloudproviders of hun key management services, is dit bepalend: een on-premise HSM-opstelling vereist een investeringscyclus van twee tot vier jaar voor hardware-evaluatie, aanschaf, certificering en integratie in de PKI-keten.
IETF-standaarden bijhouden als doorlopend proces
De normatieve basis voor PQC in TLS is nog in ontwikkeling. RFC 8446 is vastgesteld, maar de PQC-specifieke uitbreidingen bevinden zich in verschillende IETF-werkgroepen. Het bewaken van de status van draft-ietf-uta-pqc-app en draft-yusef-tls-pqt-dual-certs via datatracker.ietf.org is geen eenmalige taak maar een doorlopend proces.
Praktisch advies: wijs binnen het IT- of complianceteam een eigenaar aan voor het bijhouden van IETF working group mailinglists (met name de UTA en TLS werkgroepen) en abonneer op NIST-nieuwsbrieven voor updates over FIPS-certificeringen van HSM-fabrikanten. Koppel statuswijzigingen van drafts direct aan de interne PKI-roadmap, zodat architectuurkeuzes tijdig worden bijgesteld.
NIS-2 en GDPR: wat PQC-migratie juridisch verankert
De NIS-2-richtlijn (Richtlijn (EU) 2022/2555), van toepassing op essentiële en belangrijke entiteiten in de EU, verplicht tot het nemen van passende technische maatregelen op het gebied van cryptografie en sleutelbeheer. Artikel 21 van NIS-2 noemt expliciet encryptie als te implementeren maatregel. Een gedocumenteerde PQC-migratieroadmap draagt bij aan aantoonbare naleving.
Onder de AVG (GDPR, Verordening (EU) 2016/679) geldt het principe van “state of the art” bij technische beveiligingsmaatregelen (artikel 32). Nu NIST FIPS 203 en 204 zijn vastgesteld, kan worden betoogd dat het nalaten van een PQC-transitieplan op termijn niet meer als “state of the art” kwalificeert, zeker voor organisaties die bijzondere categorieën persoonsgegevens verwerken.
FAQ: TLS 1.3 PKI post-kwantumcertificaten migratie
Wat is het verschil tussen een composiet-, dual- en pure PQC-certificaat?
Een composiet certificaat bevat één publieke sleutel opgebouwd uit een klassiek en een PQC-algoritme, gecombineerd in één object. Een dual-certificaat is een apart PQC-certificaat dat naast het klassieke certificaat bestaat en via een TLS-extensie wordt aangeboden. Een pure PQC-certificaat bevat uitsluitend een post-kwantumsleutel en is bedoeld voor omgevingen waar alle systemen al PQC-gereed zijn.
Hoe kunnen organisaties downgrade-aanvallen op PQC-verbindingen voorkomen?
Downgrade-aanvallen worden voorkomen door TLS-beleid af te dwingen via HSTS, DANE of certificaat-pinning, door legacy-TLS-versies (1.0 en 1.1) volledig te blokkeren en door in de TLS 1.3-handshake geen fallback toe te staan naar zwakkere cipher suites. Monitoring van handshake-parameters via netwerkdetectietools helpt afwijkingen tijdig te signaleren.
Hoe lang duurt een root CA-rotatie bij invoering van PQC?
Een volledige root CA-rotatie, inclusief de uitgifte van nieuwe intermediate CA’s, het vernieuwen van alle leaf-certificaten en het intrekken van verouderde roots, neemt bij grotere organisaties doorgaans drie tot vijf jaar in beslag. Dit komt door afhankelijkheden in applicaties, vereiste HSM-upgrades en de noodzaak om vertrouwensketens stapsgewijs te migreren zonder dienstuitval.
Welke HSM-eigenschappen zijn vereist voor PQC-algoritmen zoals ML-DSA en ML-KEM?
ML-DSA genereert handtekeningen van 2 tot 4 kilobyte; ML-KEM vereist ciphertexts van ruim 1 kilobyte. HSM’s moeten deze formaten kunnen opslaan, verwerken en doorvoeren. Niet alle huidige FIPS 140-gecertificeerde HSM’s ondersteunen dit zonder firmware-upgrade of hardwarevervanging. Fabrikanten werken aan PQC-firmware, maar FIPS-certificering voor die modi is bij veel modellen nog in behandeling.
Hoe prioriteren overheidsorganisaties hun PQC-certificaatmigratie?
De hoogste prioriteit ligt bij extern gerichte verbindingen die gevoelige gegevens transporteren, zoals burgerportalen en API-koppelingen met ketenpartners. Het “harvest now, decrypt later”-risico maakt ook langlopende interne verbindingen urgent, zoals VPN-tunnels en replicatieverkeer tussen datacenters. Interne systemen zonder externe blootstelling kunnen in een latere fase worden gemigreerd.
