1978-algoritme wordt wereldwijde standaard: ISO omarmt Classic McEliece als quantumveilige versleuteling

Classic McEliece: Oorsprong, afwegingen en rol in standaardisatie

Oorsprong (1978)

Robert J. McEliece publiceerde het oorspronkelijke cryptosysteem in 1978. Het is gebaseerd op de moeilijkheid van het decoderen van willekeurige binaire Goppa-codes — een probleem dat NP-moeilijk is en waarvan niet bekend is dat het door quantumcomputers kan worden opgelost . Classic McEliece is een directe afstammeling, die de verbeterde, op syndromen gebaseerde variant van Niederreiter gebruikt, maar dezelfde kernbeveiligingsaanname handhaaft . Het wordt beschreven als "het oudste 'public-key'-encryptieschema dat nog steeds als veilig wordt beschouwd" .

De belangrijkste afweging: enorme publieke sleutels

Classic McEliece's bepalende zwakte — en de reden dat het in de jaren '80 niet breed werd toegepast — is de grootte van de publieke sleutel. Deze sleutels variëren van ongeveer 261 kilobyte tot meer dan 1,3 megabyte (bijvoorbeeld 1.047.319 bytes voor één parameterinstelling) . Dit is vele malen groter dan RSA- of ECC-sleutels (die doorgaans enkele honderden bytes groot zijn), waardoor het ongeschikt is voor beperkte omgevingen zoals IoT-apparaten, smartcards of TLS-handshakes over beperkte bandbreedte.

De tegenhanger van deze zwakte is dat de beveiliging ervan buitengewoon goed wordt begrepen. In meer dan 45 jaar onderzoek zijn er geen praktische cryptanalytische verbeteringen gevonden . Het beveiligingsniveau van het McEliece-systeem is opmerkelijk stabiel gebleven, ondanks tientallen aanvalspogingen .

Rol in internationale standaardisatie

Classic McEliece wordt nu erkend door meerdere standaardisatieorganen, elk met een iets andere rol:

Classic McEliece wordt gepositioneerd als een conservatieve back-up of tweede verdedigingslinie: mochten de op roosters gebaseerde schema's die NIST al heeft gestandaardiseerd (ML-KEM / CRYSTALS-Kyber) ooit worden gekraakt, dan biedt code-gebaseerde cryptografie een wiskundig onafhankelijk alternatief .

Waarom NIST het niet als eerste standaardiseerde

Opvallend genoeg stelde NIST de standaardisatie van Classic McEliece in 2025 expliciet uit, met de mededeling dat "gelijktijdige standaardisatie van Classic McEliece door NIST en ISO het risico met zich meebrengt van incompatibele standaarden" en dat het zou overwegen een standaard te ontwikkelen op basis van ISO's werk nadat het ISO-proces was voltooid . NIST koos voor een ander code-gebaseerd algoritme, HQC, voor standaardisatie, maar Classic McEliece blijft in de vierde ronde als kandidaat voor toekomstige overweging .

Recente ontwikkelingen die de urgentie van PQC versnellen

De ISO-standaardisatie alleen zou al belangrijk zijn. Maar ze komt op een moment dat verschillende ontwikkelingen het migratievenster voor PQC hebben versmald van een vaag probleem voor de jaren '30 naar een concrete deadline van ~3 jaar.

Google's migratiedeadline van 2029

Op 25 maart 2026 publiceerde Google een blogpost van Heather Adkins (VP Security Engineering) en Sophie Schmieg (Senior Staff Cryptographer), getiteld "Quantum frontiers may be closer than they appear". Hierin stelde het bedrijf een interne deadline van 2029 voor de voltooiing van de PQC-migratie in al haar systemen . Dit verschoof de zogeheten Q-Day met ongeveer zes jaar naar voren ten opzichte van eerdere industrieverwachtingen, die waren afgestemd op NIST's 2035- of NSA's 2031-tijdlijnen . Google noemde snellere dan verwachte vooruitgang in quantumhardware en foutcorrectie als belangrijke drijfveren .

Lagere qubitschattingen voor het kraken van elliptische-curve-cryptografie

Google's bijgewerkte tijdlijn werd mede ingegeven door drastisch lagere schattingen van benodigde middelen voor Shor's algoritme-aanvallen op ECC. Nieuwe circuitoptimalisatietechnieken hebben het geschatte aantal fysieke qubits dat nodig is om 256-bits elliptische-curve-cryptografie te kraken, teruggebracht van miljoenen tot mogelijk honderdduizenden . Dit maakt een cryptografisch relevante quantumcomputer eerder haalbaar dan eerder werd aangenomen.

Cloudflare's overeenkomende tijdlijn

Cloudflare heeft zich publiekelijk aangesloten bij een vergelijkbare urgentie en plannen aangekondigd om de PQC-migratie te voltooien binnen hetzelfde tijdsbestek als Google's 2029-venster . Cloudflare was een vroege gebruiker van post-quantum TLS, inclusief de X25519Kyber768 hybride sleutelovereenkomst, en versnelt nu de volledige productie-implementatie.

'Harvest-Now-Decrypt-Later' (HNDL)-zorgen

Google noemde expliciet het risico van "store-now, decrypt-later" als een belangrijke drijfveer . Tegenstanders — waaronder statelijke actoren — verzamelen nu al versleuteld verkeer: VPN-verbindingen, financiële gegevens, staatsgeheimen en cryptocurrency-communicatie. De bedoeling is dit te ontsleutelen zodra een quantumcomputer beschikbaar komt. Dit betekent dat gegevens die vandaag met RSA of ECC worden versleuteld, nu al risico lopen, wat de urgentie creëert om vóór een quantuminbraak te migreren, niet erna .

Amerikaans presidentieel decreet van juni 2026

In juni 2026 vaardigde de Amerikaanse regering een presidentieel decreet uit dat alle federale agentschappen verplicht de migratie naar post-quantum cryptografie te versnellen, met bindende deadlines voor inventarisatie, beoordeling en transitieplannen . Dit bouwt voort op de Quantum Computing Cybersecurity Preparedness Act van 2022 en de NIST PQC-standaarden van 2024 (FIPS 203/204/205), en zet vrijwillige richtlijnen om in federale vereisten .

De convergentie: wat het betekent

De combinatie van ISO's officiële standaarden (Classic McEliece, FrodoKEM), NIST's definitieve primaire algoritmen (ML-KEM, ML-DSA, SLH-DSA), Google's 2029-deadline, dalende qubitschattingen, Cloudflare's overeenkomende tijdlijn, HNDL-dreigingen die al in gang zijn gezet en een Amerikaans presidentieel decreet van juni 2026, heeft de urgentieberekening fundamenteel veranderd.

De standaardeninfrastructuur is nu op zijn plaats. Voor de meeste organisaties is de resterende uitdaging uitvoering op schaal: het inventariseren van cryptografische activa, het prioriteren van risicovolle systemen (authenticatie, langlevende gegevens, VPN's) en het beginnen met de migratie naar hybride of post-quantum algoritmen vóór 2029.

Classic McEliece zal niet het algoritme zijn dat de meeste organisaties gebruiken voor dagelijks TLS — de sleutelgrootte maakt dat voor de meeste gebruikssituaties onpraktisch. Maar voor langdurige gegevensbescherming, hoogwaardige overheidscommunicatie en toepassingen waar beveiligingszekerheid belangrijker is dan bandbreedte, is het nieuw gestandaardiseerde algoritme uit 1978 wellicht precies de conservatieve back-up die het internet nodig heeft.