Het crypto-agilitymonster op een bierviltje

Cryptografie is niet meer weg te denken uit onze moderne informatiebeveiliging. We vertrouwen voor heel veel toepassingen op de beveiligingswaarde die cryptografie levert. Zo worden standaardprotocollen en primitieven zoals TLS, RSA en AES gebruikt om belangrijke processen en informatie te beschermen. Dankzij cryptografie kunnen we veilig betalen met onze bankpas, verkeerslichten aansturen en vertrouwelijke informatie versleutelen. 

De geschiedenis laat zien dat cryptosystemen ‘gebroken’ kunnen worden, bijvoorbeeld door zwaktes in de algoritmes zelf, implementatiefouten, of de komst van nieuwe, krachtigere computers die de cryptografische beveiligingswaarde substantieel verlagen. De aanleiding voor het schrijven van deze blog is een van deze cryptobrekers: de komst van een krachtige quantumcomputer die het mogelijk maakt om veelgebruikte (asymmetrische) cryptografische algoritmes effectief te ‘breken’.

We moeten hierdoor rekening houden met nieuwe kwetsbaarheden en dreigingen. Een manier om dit te doen is door cryptografie wendbaar (agile) te maken. Als onderdeel van de werkgroep ‘crypto-agility’ van het programma Quantumveilige Cryptografie Rijk (QvC Rijk) doken we dieper in op dit begrip. We kwamen hierbij tot de realisatie dat er achter de ogenschijnlijk simpele definitie van crypto-agility een complex monster – het crypto-agility monster – verstopt zit.

Wat is het moraal van dit monsterverhaal?

Het crypto-agility monster biedt een eerste basis om de verschillende aspecten van het concept crypto-agility binnen jouw organisatie bespreekbaar te maken. Wat kan je van dit verhaal leren?

• Crypto-agility is een manier om (toekomstige) kwetsbaarheden in cryptografische protocollen, primitieven en systemen te mitigeren.
• Houd in je risicomanagementproces niet alleen rekening met de positieve effecten van wendbaarheid, maar ook de risico’s die agility kan introduceren.
• Kies agility-doelen en de mate van wendbaarheid die passen bij de risico’s van jouw organisatie en bepaal hoe je die doelen kan realiseren.
• Probeer zo goed mogelijk in kaart te brengen welke mogelijkheden voor agility je hebt of wil hebben in het cryptosysteem en wat de afhankelijkheden daartussen zijn.

Lees hier de volledige blog over crypto-agilit

Source: NCSC

Photo: Istock.com/10255185_880