Post-kwantum e-mailversleuteling is het proces waarbij klassieke cryptografische algoritmen in e-mailprotocollen, zoals S/MIME en OpenPGP, worden vervangen door of gecombineerd met algoritmen die bestand zijn tegen aanvallen door kwantumcomputers. Voor compliance officers en IT-beslissers in de juridische sector, de gezondheidszorg en de overheid is dit geen toekomstmuziek: de dreiging is nu al relevant door zogenoemde “harvest now, decrypt later”-aanvallen.
Waarom klassieke S/MIME en OpenPGP kwetsbaar zijn voor kwantumcomputers
De kwantumkwetsbaarheid zit in de wiskundige fundamenten van de sleuteluitwisseling en digitale handtekeningen die beide standaarden gebruiken.
S/MIME steunt op RSA en elliptische-curvecryptografie (ECDSA, ECDH) voor respectievelijk handtekeningen en sleuteluitwisseling. OpenPGP, waarvan de actuele specificatie is vastgelegd in IETF RFC 9580 (gepubliceerd in 2024), gebruikt dezelfde families: RSA, DSA en ECDH/EdDSA. Het probleem is dat Shors algoritme, draaiend op een voldoende grote kwantumcomputer, RSA en ECC in polynomiale tijd kan kraken. Dit betekent dat alle versleutelde e-mail die vandaag wordt onderschept en opgeslagen, in de toekomst leesbaar kan worden zodra die kwantumcomputer bestaat.
Voor een advocatenkantoor of een ziekenhuis, waar vertrouwelijkheid decennialang moet standhouden, is dit een concreet compliance-probleem. GDPR-artikel 32 vereist passende technische maatregelen. Als die maatregelen aantoonbaar verouderen, draagt de verwerkingsverantwoordelijke het risico.
De NIST-standaarden en IETF-roadmap voor PQC in e-mail
NIST en de IETF hebben concrete standaarden vastgesteld die de migratie structureren; de tijdlijn is strikt.
In augustus 2024 publiceerde NIST de eerste drie definitieve post-kwantumstandaarden: FIPS 203 (ML-KEM) voor sleuteluitwisseling en FIPS 204 (ML-DSA) voor digitale handtekeningen zijn de twee meest relevante voor e-mailversleuteling. ML-KEM vervangt ECDH in het versleutelingsproces; ML-DSA vervangt RSA en ECDSA in handtekeningen.
Dustin Moody, projectleider post-kwantumcryptografie bij NIST, formuleerde het urgentieprobleem scherp: “The time to act is now. Organizations that wait until cryptographically relevant quantum computers exist will find that their encrypted data, harvested today, has already been compromised.”
De NIST IR 8547 transitietijdlijn is eveneens duidelijk: RSA en ECC moeten uiterlijk in 2030 worden uitgefaseerd uit federale systemen; in 2035 vervalt alle ondersteuning voor deze algoritmen. Hoewel dit federale Amerikaanse richtlijnen zijn, volgen Europese normenkaders doorgaans dezelfde technische logica.
Op IETF-niveau werken de PQUIP-werkgroep en de LAMPS-werkgroep (Limited Additional Mechanisms for PKIX and SMIME) aan drafts voor kwantumveilige S/MIME-profielen en composiete X.509-certificaten. Definitieve RFC’s voor productiegebruik worden verwacht in de periode 2025-2026. RFC 9580, de meest recente OpenPGP-standaard, legt de architectonische basis voor toekomstige PQC-extensies, maar bevat die extensies zelf nog niet als definitieve specificatie.
Hybride en composiete certificaten: de migratiestrategie voor e-mail-PKI
De praktische migratievraag is hoe een organisatie haar bestaande e-mail-PKI kan omzetten zonder externe partijen af te sluiten die nog geen PQC ondersteunen.
Er zijn twee hoofdstrategieën:
| Strategie | Hoe het werkt | Voordeel | Nadeel |
|---|---|---|---|
| Hybride sleutelparen | Klassiek (RSA/ECC) en PQC-sleutelpaar worden naast elkaar aangeboden in de communicatie | Volledige achterwaartse compatibiliteit; geen vereiste aan ontvangerzijde | Grotere berichtomvang; complexere sleutelbeheer |
| Composiete certificaten | Eén X.509-certificaat bevat zowel klassieke als PQC-sleutel; beide zijn vereist voor validatie | Sterkere cryptografische garanties; één certificaatobject | Vereist PQC-ondersteuning aan beide kanten; beperkte huidige toolingondersteuning |
Voor organisaties die nu al willen beginnen, is de hybride aanpak de enige realistische optie. Certificaatautoriteiten zoals die welke de ETSI EN 319 400-serie volgen, beginnen composiete testcertificaten aan te bieden. Intern kan een organisatie haar eigen PKI met tools als EJBCA of OpenSSL 3.x al voorbereiden op PQC-issuance, en tegelijkertijd klassieke certificaten blijven uitgeven voor externe interoperabiliteit.
Soevereine e-mailinfrastructuur en PQC-ondersteuning
Open-source e-mailservers bieden de meeste flexibiliteit voor een PQC-migratieroute, mits de configuratie bewust wordt ingericht.
Postfix en Dovecot zijn de meest gebruikte open-source combinaties voor SMTP en IMAP. Ze delegeren cryptografie aan de onderliggende TLS-bibliotheek, doorgaans OpenSSL of GnuTLS. OpenSSL 3.x biedt via de provider-interface experimentele PQC-ondersteuning via OQS-provider (Open Quantum Safe). Dit maakt het mogelijk om TLS 1.3-verbindingen te beveiligen met hybride PQC-sleuteluitwisseling, al gaat het hier om transportbeveiliging en niet om end-to-end S/MIME- of PGP-versleuteling van de berichtinhoud zelf.
Stalwart Mail Server is een nieuwere, volledig in Rust geschreven open-source mailserver die JMAP, IMAP en SMTP combineert in één daemon. De actieve ontwikkeling en moderne codebasis maken het eenvoudiger om PQC-algoritmen te integreren zodra de IETF-standaarden zijn gestabiliseerd. Voor organisaties die nu een nieuwe soevereine e-mailinfrastructuur opzetten, is Stalwart een serieuze kandidaat om toekomstbestendigheid te borgen.
ENISA stelde in zijn rapport over post-kwantumcryptografie dat “migratie naar post-kwantumcryptografie een systematische cryptografische inventarisatie vereist van alle systemen, inclusief e-mailinfrastructuur en langetermijnarchief.” Dit onderstreept dat de mailserver slechts één schakel is: ook de PKI, de archiefoplossing en de clientsoftware moeten in de inventarisatie worden meegenomen.
Het e-mailarchief: hersleutelingsstrategieën voor langlopende reeksen
Langlopende archieven versleuteld met RSA of ECC zijn het meest urgente probleem, omdat de vertrouwelijkheid van historische berichten retroactief kan worden aangetast.
De enige structurele oplossing is hersleuteling: het archief ontsleutelen met de nog beschikbare klassieke privésleutels, en de inhoud herversleutelen met een kwantumveilig algoritme. Dit proces vereist een gecontroleerde omgeving, bij voorkeur volledig on-premise, zodat de ontsleutelde inhoud nooit een onbeveiligde omgeving passeert.
Concreet stappenplan voor archief-hersleuteling:
- Inventariseer welke privésleutels nog beschikbaar zijn en voor welke periodes archiefberichten zijn versleuteld.
- Stel een geïsoleerde, air-gapped of strikt on-premise ontsleutelomgeving in.
- Ontsleutel in batches, verifieer integriteit via hashcontrole, en herversleutel direct met ML-KEM of een goedgekeurde hybride methode.
- Vernietig de tussentijdse onversleutelde kopieën aantoonbaar en leg de procedure vast voor GDPR-artikel 5(1)(f) (integriteit en vertrouwelijkheid).
- Overweeg voor archieven waarbij ontsleuteling niet meer mogelijk is (verloren sleutels) een risicoregistratie en melding conform de AVG-verantwoordingsplicht.
Organisaties die e-mail opslaan in publieke cloudarchiefsystemen van Amerikaanse aanbieders lopen een dubbel risico: zowel de kwantumkwetsbaarheid als de extraterritoriale werking van de US CLOUD Act, die Amerikaanse autoriteiten toegang kan geven tot data ongeacht de fysieke opslaglocatie.
Juridische en medische sector: aanvullende eisen bij beroepsgeheimhouding
Advocaten, notarissen, artsen en accountants zijn gebonden aan wettelijke geheimhoudingsverplichtingen die verder gaan dan de GDPR-basiseisen.
Voor advocatenkantoren geldt de geheimhoudingsplicht uit artikel 11a van de Advocatenwet; voor medische professionals de geheimhoudingsplicht uit artikel 7:457 BW (WGBO). Het Europees Hof van Justitie bevestigde in het Schrems II-arrest (C-311/18, 2020) dat doorgifte van persoonsgegevens naar de VS zonder aanvullende waarborgen onrechtmatig is. E-mail die via Amerikaanse cloudproviders wordt verwerkt of gearchiveerd, valt potentieel onder deze jurisprudentie.
Aanvullende maatregelen voor deze sectoren zijn:
- E-mailinfrastructuur volledig on-premise of bij een Zwitserse of EU-gevestigde aanbieder zonder Amerikaanse moedermaatschappij plaatsen, zodat de CLOUD Act geen jurisdictie heeft.
- End-to-end S/MIME- of PGP-versleuteling toepassen op alle berichten die vertrouwelijke cliënt- of patiëntinformatie bevatten, ook intern.
- NIS-2-verplichtingen (Richtlijn 2022/0383, geïmplementeerd via de Nederlandse Cyberbeveiligingswet) naleven: dit omvat risicobeheer, incidentrapportage en beveiligingsmaatregelen voor essentiële en belangrijke entiteiten, waartoe veel juridische en medische organisaties behoren.
- Een cryptografische inventarisatie uitvoeren en documenteren als onderdeel van de verwerkingsregister-verplichting onder GDPR-artikel 30.
- Externe partijen (zoals rechtbanken, zorgverzekeraars) actief informeren over de migratie naar nieuwe certificaatstandaarden, zodat certificaatvalidatie aan ontvangerzijde niet mislukt.
ENISA benadrukt dat organisaties minimaal vijf tot tien jaar rekening moeten houden met een transitieperiode voor post-kwantumcryptografie. Voor gereguleerde sectoren betekent dit dat de planning nu moet beginnen om de deadline van 2030 (NIST IR 8547) te halen voor systemen die aan federale of equivalente Europese normen moeten voldoen.
FAQ: Post-kwantum e-mailmigratie
Zijn huidige S/MIME-certificaten direct onveilig?
Nee. RSA- en ECC-gebaseerde S/MIME is met klassieke computers niet praktisch te breken. Het risico zit in “harvest now, decrypt later”-aanvallen: tegenstanders slaan nu versleutelde e-mail op om die te ontsleutelen zodra een kwantumcomputer beschikbaar is. Voor langlopende vertrouwelijkheid in de medische of juridische sector is dat al een reëel risico.
Wanneer zijn kwantumveilige S/MIME-profielen via de IETF beschikbaar?
De IETF PQUIP-werkgroep en de LAMPS-werkgroep werken actief aan drafts voor hybride en composiete certificaten voor S/MIME. Definitieve RFC’s worden verwacht rond 2025-2026, maar experimentele implementaties zijn al beschikbaar voor testomgevingen.
Wat is het verschil tussen een hybride en een composiet PQC-certificaat?
Een hybride aanpak plaatst een klassiek en een PQC-sleutelpaar naast elkaar in de communicatie, zodat beide afzonderlijk werken en interoperabiliteit behouden blijft. Een composiet certificaat combineert beide sleutels in één X.509-object, waardoor beide algoritmen tegelijkertijd vereist zijn voor validatie. Composiete certificaten bieden sterkere garanties maar vereisen ondersteuning aan beide kanten.
Hoe ga je om met een e-mailarchief dat al versleuteld is met RSA-sleutels?
Ontsleutel het archief met de nog beschikbare klassieke privésleutels in een gecontroleerde, on-premise omgeving, verifieer de integriteit en herversleutel met een post-kwantumveilig algoritme. Documenteer de procedure voor aantoonbare naleving van GDPR-artikel 32 en vernietig tussentijdse onversleutelde kopieën aantoonbaar.
Welke open-source e-mailservers ondersteunen al PQC?
Postfix en Dovecot kunnen via OpenSSL 3.x met de OQS-provider al PQC-gebaseerde TLS-verbindingen opzetten voor transportbeveiliging. Stalwart Mail Server biedt een moderne Rust-gebaseerde architectuur die eenvoudiger PQC-integratie op berichtniveau mogelijk maakt zodra de IETF-standaarden zijn vastgesteld. Volledige end-to-end PQC voor S/MIME en PGP wacht op stabiele RFC’s en clientondersteuning.
