Kwantumsleuteldistributie voor tactische militaire communicatie

Post-kwantumcryptografie vervangt klassieke sleuteluitwisselingsalgoritmen door wiskundig moeilijkere problemen. Kwantumsleuteldistributie doet iets categorisch anders: het verwijdert de rekenkundige aanname volledig. QKD distribueert cryptografisch sleutelmateriaal over een kwantumkanaal — doorgaans een glasvezel- of vrije-ruimte-optisch pad dat individuele fotonen draagt — op een manier die aantoonbaar detecteerbaar is als een tegenstander het onderschept. De beveiligingsgarantie komt van de kwantummechanica, niet van de veronderstelde moeilijkheid van een wiskundig probleem. Voor militaire planners en INFOSEC-officieren die geconfronteerd worden met een harvest-now-decrypt-later (HNDL)-dreigingsmodel is dit onderscheid van belang. Post-kwantumalgoritmen bieden rekenkundige beveiliging tegen toekomstige kwantumcomputers; QKD biedt informatietheoretische beveiliging tegen elke tegenstander, ongeacht rekenbronnen.

Dit artikel behandelt de fysica en protocollen achter QKD, hoe het zich verhoudt tot en aanvult met post-kwantumcryptografie voor defensietoepassingen, de specifieke technische uitdagingen van het inzetten van QKD in tactische omgevingen, en een realistische beoordeling van waar QKD vandaag de dag en het komende decennium past in een militaire communicatiearchitectuur.

QKD-grondbeginselen: BB84 en E91

De twee fundamentele QKD-protocollen die ten grondslag liggen aan vrijwel alle geïmplementeerde systemen zijn BB84 en E91. Het begrijpen van hun mechanica is essentieel voor het evalueren van leveranciersclaims en implementatiebeperkingen.

BB84

Het BB84-protocol, gepubliceerd door Charles Bennett en Gilles Brassard in 1984, vormt de basis voor de meeste commerciële QKD-hardware. Alice (de zender) codeert willekeurige klassieke bits op individuele fotonen door één van twee geconjugeerde polarisatiebases te selecteren — rechthoekig ({|0⟩, |1⟩}) en diagonaal ({|+⟩, |-⟩}) — en haar bitwaarde te coderen als de polarisatietoestand binnen de gekozen basis. Bob (de ontvanger) selecteert onafhankelijk en willekeurig een meetbasis voor elk foton. Wanneer Bobs gekozen basis overeenkomt met Alices coderingsbasis, is zijn meetresultaat deterministisch en overeenkomstig met Alices bit. Wanneer de bases verschillen, is Bobs resultaat willekeurig en wordt het bit verworpen. Na transmissie wisselen Alice en Bob hun basisopties uit (maar niet de meetresultaten) via een openbaar geauthentiseerd klassiek kanaal en behouden alleen de bits waarbij hun bases overeenstemden — de gezeefd sleutel. De gezeefd sleutel ondergaat vervolgens foutcorrectie en privacyversterking om een definitief, verifieerbaar gedeeld geheim te produceren.

De beveiliging van BB84 berust op het no-cloning-theorema: een kwantumtoestand kan niet worden gekopieerd zonder hem te verstoren. Elke afluisteraar (Eve) die fotonen op het kwantumkanaal onderschept, moet ze meten, waardoor de kwantumtoestand noodzakelijkerwijs instort voordat ze opnieuw worden verzonden. Deze verstoring introduceert fouten in Bobs metingen die Alice en Bob kunnen detecteren wanneer ze een willekeurig monster van hun gezeefde sleutelbits vergelijken. De kwantumbitfoutsnelheid (QBER) — de fractie gezeefde bits die niet overeenstemmen — is de primaire beveiligingsindicator: een QBER boven circa 11% (de BB84-beveiligingsdrempel) geeft aan dat afluisteren mogelijk heeft plaatsgevonden en de sleutel moet worden verworpen.

E91

Het E91-protocol, voorgesteld door Artur Ekert in 1991, gebruikt verstrengelde fotoonparen in plaats van voorbereide toestanden. Een bron zendt paren verstrengelde fotonen uit — één naar Alice, één naar Bob. Alice en Bob meten hun fotonen onafhankelijk in willekeurig gekozen bases. De correlaties tussen hun meetresultaten — getest via Bell-ongelijkheidsschendingen — certificeren zowel de gedeelde sleutel als de afwezigheid van afluisteren. E91 is in principe apparaatonafhankelijk: beveiliging kan worden gecertificeerd zonder de meetapparaten volledig te vertrouwen, een significant voordeel voor hoog-assurance militaire toepassingen waarbij de integriteit van de bevoorradingsketen van QKD-hardware een zorg is. In de praktijk blijft volledig apparaatonafhankelijke QKD experimenteel uitdagend; huidige commerciële E91-familiesystemen zijn semi-apparaatonafhankelijk, en bieden sterkere beveiligingsaannames dan bereid-en-meet BB84 ten koste van lagere sleutelgeneratiesnelheden en veeleisendere optische engineering.

QKD versus post-kwantumcryptografie: waarom beide van belang zijn

Een veelvoorkomend misverstand bij defensieaanbestedingen is dat QKD en post-kwantumcryptografie alternatieven zijn die concurreren om dezelfde rol. Dat zijn ze niet. Ze adresseren de kwantumdreiging op verschillende lagen en met verschillende beveiligingsaannames.

Post-kwantumcryptografie — specifiek de door CNSA 2.0 verplichte algoritmen ML-KEM-1024 voor sleutelinstelling en ML-DSA voor handtekeningen — biedt rekenkundige beveiliging. De beveiliging geldt als het onderliggende wiskundige probleem (Module Learning With Errors voor ML-KEM) moeilijk is voor kwantumcomputers. Deze aanname is goed gefundeerd: het meerjaarlijkse standaardisatieproces van NIST onderwierp deze algoritmen aan uitgebreide cryptanalyse, en er is geen polynomiaal-tijdkwantumalgoritme bekend voor MLWE. Maar rekenkundige beveiliging is een voorwaardelijke garantie: deze geldt tenzij nieuwe cryptanalytische technieken opkomen. De geschiedenis suggereert dat cryptografische algoritmen soms worden gebroken door vooruitgang in de wiskunde; de PQC-algoritmen zijn nieuw genoeg dat dit risico, hoewel beheersbaar, niet nul is.

QKD biedt onvoorwaardelijke beveiliging — beveiliging die geldt zelfs tegen een tegenstander met onbeperkte rekenkracht, inclusief een theoretische kwantumcomputer van willekeurige grootte. Het beveiligingsbewijs vereist slechts dat de kwantummechanica correct is en dat het geauthentiseerde klassieke kanaal dat voor naverwerking wordt gebruikt, niet kan worden vervalst. Voor de hoogste-assurance militaire toepassingen — strategische commandoverbindingen, nucleair commando en controle, bescherming van inlichtingenbronnen — rechtvaardigt dit categorische verschil in beveiligingsniveau de technische kosten en fysieke beperkingen van QKD-implementatie.

De aanbevolen houding is gelaagd: implementeer CNSA 2.0 post-kwantumalgoritmen als de door NSS-beleid vereiste basisvereiste, en voeg QKD toe als aanvullende sleutelmateriaalsbron voor de gevoeligste verbindingen. Zie ons artikel over post-kwantumcryptografie voor defensie: CNSA 2.0-gids voor de implementatiedetails van de algoritmische laag.

Glasvezel versus vrije-ruimte-QKD voor tactisch gebruik

QKD kan worden geleverd via twee fysieke kanaaltypen, elk met verschillende tactische implicaties.

Glasvezel-QKD

Glasvezel-QKD verstuurt fotonen over standaard enkelmodus glasvezel, doorgaans op telecom-golflengten (1310 nm of 1550 nm) waar glasvezeldempering het laagst is. Geïmplementeerde systemen bereiken veilige sleutelgeneratie op afstanden tot circa 100–150 km met behulp van huidige enkelfotoonbronnen en supergeleidende nanodraad-enkelfotoonsdetectoren (SNSPD's) bij de ontvanger. Buiten dit bereik verlaagt fotonenuitstoot de signaal-ruisverhouding onder de drempel voor veilige sleutelextractie. Glasvezel-QKD-sleutelgeneratiesnelheden op korte afstanden (onder 20 km) kunnen op huidige commerciële hardware enkele megabits per seconde bereiken. Op 100 km dalen de snelheden tot kilobits per seconde.

Voor tactisch militair gebruik is glasvezel-QKD haalbaar op vaste of semi-vaste verbindingen: hoofdkwartier-naar-hoofdkwartierverbindingen, verbindingen tussen een commandopost en een statisch vooruitgeschoven element, of datacentrum-interconnecties binnen een beveiligd complex. Het is niet haalbaar voor verbindingen waarbij één eindpunt fysiek moet worden verplaatst — de glasvezel moet meeverplaatsen. De vereiste voor een speciale donkere glasvezelstreng (of minimaal een golflengtedivisie-gemultiplexeerd kanaal op bestaande glasvezel, met zorgvuldige klassiek-kwantum kanaalisolatie om te voorkomen dat Raman-ruis het kwantumkanaal degradeert) beperkt de implementatie tot omgevingen met bestaande glasvezelinfrastructuur of de technische middelen om die te installeren.

Vrije-ruimte-QKD

Vrije-ruimte-QKD verstuurt fotonen door de atmosfeer via gecollimeerde optische bundels, waarbij zichtlijn tussen Alice- en Bob-terminals vereist is. Compacte terminals geschikt voor voertuig- of statief-montage zijn gedemonstreerd in operationeel-aangrenzende omgevingen. Vrije-ruimteverbindingen op grondniveau worden beperkt door verschillende factoren: atmosferische turbulentie veroorzaakt bundelwandeling en vermindert de signaal-ruisverhouding; achtergrondfotonruis (daglicht) vereist strakke spectrale en temporele filtering om individuele fotonen te isoleren van omgevingslicht; weer — regen, mist, stof en rook — dempt het fotonpad aanzienlijk, waardoor de sleutelgeneratiesnelheid afneemt of de verbinding volledig wordt onderbroken. Maximale praktische vrije-ruimte-QKD-afstanden op grondniveau zijn doorgaans onder 1 km bij daglicht met huidige hardware, uitbreidend tot enkele kilometers 's nachts of onder omstandigheden met weinig turbulentie.

Luchtgebonden en satellietgebaseerde vrije-ruimte-QKD breidt het bereik aanzienlijk uit. China's Micius-satelliet demonstreerde QKD over intercontinentale afstanden via de ruimte. Militair relevante scenario's omvatten aan drones gemonteerde QKD-relaisterminals die vertrouwde-knooppuntuitbreiding bieden op hoogte, waar turbulentie lager is en de zichtlijnafstand veel groter is. Een UAV op 500 m hoogte kan vrije-ruimte-optische verbindingen onderhouden met grondterminals op afstanden van 5–15 km, afhankelijk van atmosferische omstandigheden — een significante verbetering ten opzichte van grondniveaugeometrie en operationeel bruikbaar voor het uitbreiden van QKD-bereik tussen een commandopost en een vooruitgeschoven element.

QRNG: kwantum-willekeurige-getalgeneratoren voor sleutelzaad

Kwantum-willekeurige-getalgeneratoren bieden een toegangspunt met lagere drempel voor op kwantumfysica gebaseerde cryptografische verbetering dat geen vrije-ruimteoptiek of glasvezelinfrastructuur vereist. Een QRNG genereert echte willekeurige getallen uit een intrinsiek kwantumproces — jitter in fotonaankomsttijd, bemonstering van vacuümfluctuaties of soortgelijke processen — in plaats van uit een deterministisch wiskundig algoritme gevoed door omgevingsentropie (wat de architectuur is van de meeste PRNG- en DRBG-constructies in ingezet materieel).

De beveiligingsrelevantie is subtiel maar reëel. Post-kwantumalgoritmen zoals ML-KEM vertrouwen op hoogwaardige willekeurigheid voor sleutelgeneratie: ML-KEM-sleutelpaarontwikkeling gebruikt een willekeurig zaad, en de inkapseling genereert een willekeurig bericht. Als de willekeurigegetalgenerator een verborgen structuur heeft — een zwakte in de DRBG-constructie, een implementatiefout of bewuste achterdeur — wordt de beveiliging van het post-kwantumalgoritme gedegradeerd, ongeacht de wiskundige moeilijkheid van het onderliggende probleem. QRNG-uitvoer heeft geen wiskundige structuur die kan worden geëxploiteerd; de willekeurigheid wordt gecertificeerd door de kwantumfysica in plaats van door de implementatiekwaliteit van een software-algoritme.

Verschillende leveranciers bieden PCIe- en USB-QRNG-modules aan die gecertificeerd zijn volgens FIPS 140-3 niveau 2 en AIS 31 klasse P2. Deze apparaten geven willekeurige bitstromen af met snelheden van 1–4 Gbps, ruimschoots de verbruikssnelheid van elk sleutelgeneratieproces overschrijdend. Het vervangen van de DRBG-zaadenbron in uw sleutelbeheerinfrastructuur door een QRNG-module is operationeel eenvoudig, heeft geen bereik- of zichtlijnbeperkingen en levert een kwantificeerbare verbetering in de entropiekwaliteit van elke stroomafwaarts gegenereerde cryptografische sleutel.

Vertrouwd-knooppuntarchitectuur voor uitgebreid bereik

De bereiklimieten van zowel glasvezel- als vrije-ruimte-QKD vereisen een vertrouwd-knooppuntarchitectuur voor elk netwerk dat verder reikt dan één enkele QKD-verbinding. Een vertrouwd knooppunt beëindigt het inkomende kwantumkanaal, slaat het sleutelmateriaal op in klassieke vorm, en initieert een nieuw kwantumkanaal op het uitgaande segment. End-to-end sleuteldistributie over meerdere hops vereist dat elk vertrouwd knooppunt het sleutelmateriaal opnieuw versleutelt en doorstuurt, waarbij de klassieke versleuteling de doorvoersleutels tussen knooppunten beschermt.

De beveiligingsimplicatie is kritiek: een vertrouwd knooppunt bevat sleutelmateriaal in platte tekst voor alle QKD-sessies die erdoorheen lopen. Een gecompromitteerd vertrouwd knooppunt verbreekt de informatietheoretische beveiligingsgarantie voor elke sessie die het doorstuurt. Vertrouwde knooppunten moeten daarom fysiek worden beveiligd volgens sleutelbeheer-hardwarestandaarden — manipulatiebestendige behuizingen, inbraakdetectie, scheiding van verantwoordelijkheden voor toegangscontroles en een geverifieerde vernietigingscapaciteit als het knooppunt het risico loopt te worden veroverd. In een tactische context vereist een vertrouwd knooppunt bij een commandopost die kan worden overgenomen dezelfde vernietigingsplanning als een NSA-goedgekeurd vul-apparaat.

Het ontwerp van de netwerktopologie moet het aantal vertrouwde-knooppunthops tussen de meest gevoelige eindpuntparen minimaliseren. Een directe QKD-verbinding tussen twee kritieke knooppunten — nul vertrouwde knooppunten — biedt volledige informatietheoretische beveiliging. Één vertrouwd knooppunt introduceert een enkel compromispunt. Elke extra hop vergroot het aanvalsoppervlak. Het ontwerpen van het netwerk om de verbindingen met hoogste prioriteit de minste vertrouwde-knooppunthops te geven, is de primaire QKD-topologieontwerperaanvullende beslissing.

Kwantumherhalers — apparaten die het QKD-bereik verlengen zonder de beveiligingscompromis van vertrouwde knooppunten, met behulp van kwantumgeheugen en verstrengeling-swapping — zijn een actief onderzoeksgebied en zijn nog niet beschikbaar als uitrolbare producten. Conservatieve planning moet uitgaan van vertrouwde-knooppuntarchitecturen tot tenminste 2030.

Integratie met CNSA 2.0 en NSA-vereisten

NSA's CNSA 2.0-advies (september 2022) verplicht QKD niet voor nationale veiligheidssystemen. NSA heeft in zijn advies over QKD (CSA-U-OO-800069-21) expliciet verklaard dat QKD alleen onvoldoende is om NSS-verkeer te beschermen en dat post-kwantumcryptografische algoritmen de vereiste primaire maatregel zijn. NSA's bezwaren tegen QKD omvatten: de vereiste voor geauthentiseerde klassieke kanalen (die nog steeds post-kwantumauthenticatie vereisen om weerstand te bieden aan kwantumvervalsingsaanvallen); kwetsbaarheden van vertrouwde knooppunten; de onvolwassenheid van QKD-hardware ten opzichte van software-cryptografische implementaties; en de moeilijkheid van het valideren van QKD-beveiligingsimplementaties naar NSA Type 1-normen.

Het praktische integratiemodel is daarom: CNSA 2.0-algoritmen (ML-KEM-1024 voor sleutelinstelling, ML-DSA voor handtekeningen, AES-256 voor symmetrische versleuteling) als de vereiste beleidsbasislijn voor alle NSS-verbindingen; QKD als aanvullende sleutelmateriaalsbron voor de hoogst-geclassificeerde verbindingen waarbij de onvoorwaardelijke beveiligingsgarantie operationeel gerechtvaardigd is en de fysieke beperkingen beheersbaar zijn. QKD-afgeleid sleutelmateriaal kan direct worden ingevoerd in AES-256-versleuteling als een one-time pad-bron voor zeer hoog-assurance verbindingen, of als periodieke sleutelverversing ter aanvulling op de ML-KEM sleuteluitwisseling voor verbindingen waarbij de sleutelrotatiesnelheid van belang is.

Voor aanbestedingsofficieren betekent dit dat QKD moet worden geëvalueerd als een hoog-assurance aanvulling, niet als vervanging voor CNSA 2.0-conforme cryptografie. Elk QKD-product dat wordt aangeschaft voor NSS-aangrenzend gebruik, moet worden geëvalueerd aan de hand van ETSI GS QKD 011 (beveiligingsvereisten voor componenten) en ETSI GS QKD 016 (beveiligingsvereisten voor implementatie), wat de dichtstbijzijnde beschikbare normen zijn voor een formeel QKD-beveiligingsevaluatiekader in afwachting van NSA-specifieke richtlijnen. Lees ons begeleidend artikel over kwantumveerkrachtige communicatie voor slagveldnetwerken voor de bredere post-kwantummigraticontext waarin QKD zich bevindt.

Implementatiebeperkingen en operationele realiteit

Een realistische beoordeling van huidige QKD voor militair gebruik vereist het erkennen van beperkingen die leveranciersmarketingmateriaal vaak minimaliseert.

Bereik. Glasvezel-QKD is praktisch tot circa 100–150 km per hop zonder vertrouwde knooppunten. Vrije-ruimte-QKD op grondniveau is praktisch tot onder 1 km bij daglicht. Deze beperkingen zijn fundamentele fysica, geen technische beperkingen die kunnen worden opgelost door betere hardware — fotonenuitstoot in glasvezel volgt de Beer-Lambert-wet; atmosferische turbulentie en achtergrondgeluid zijn omgevingseigenschappen. Vertrouwde knooppunten verlengen het bereik maar introduceren beveiligingscompromissen zoals hierboven beschreven.

Sleutelgeneratiesnelheid. Huidige commerciële systemen genereren sleutelmateriaal met snelheden variërend van kilobits per seconde (op lange afstanden of onder ongunstige omstandigheden) tot lage megabits per seconde (op korte afstanden onder goede omstandigheden). Dit is voldoende voor sleutelzaad en one-time pad-communicatie op laagbreedbandverbindingen, maar onvoldoende om directe bescherming te bieden aan hoge-bandbreedte ISR-videostromen met snelheden van 1–100 Mbps. Het praktische model voor hoge-bandbreedteverbindingen is om QKD te gebruiken voor het distribueren van symmetrische hoofdsleutels, die vervolgens AES-256-versleuteling voor het gegevenskanaal voeden — niet om QKD-sleutelmateriaal direct als de gegevensversleutelingssleutelstroom te gebruiken.

Zichtlijnafhankelijkheid. Vrije-ruimte-QKD vereist onbelemmerde zichtlijn. Terrein, gebouwen, voertuigen en begroeiing verbreken de verbinding. Zelfs tijdelijke belemmering — een voertuig dat het bundelpad kruist — veroorzaakt een QKD-sessieonderbreking die herbevestiging en herinstelling vereist. Voor mobiele tactische eenheden is deze beperking ernstig.

Weersensitiviteit. Regen, mist, rook en stof dempen allemaal vrije-ruimte-optische paden. Militaire operaties vinden vaak plaats bij slecht weer en in rook van branden of verduisteringsmiddelen. Een QKD-verbinding die 1 Mbps sleutelmateriaal genereert bij heldere omstandigheden, kan bijna nul sleutelmateriaal genereren bij zware regen of rook. Systeemontwerpen moeten rekening houden met sleutelbufferbeheer tijdens verbindingsuitval.

Hardwarevolwassenheid en bevoorradingsketen. Enkelfotoonbronnen, SPAD- en SNSPD-detectoren en precisie-polarisatie-optica zijn gespecialiseerde componenten die momenteel niet in grote volumes worden geproduceerd voor defensiegebruik. Zekerheid over de bevoorradingsketen — verifiëren dat componenten niet zijn gemanipuleerd om zijkanaallekkage of achterdeuren te introduceren — is moeilijker voor fotonische hardware dan voor software-cryptografische implementaties. NSA's bezwaren over de bevoorradingsketen van QKD-hardware zijn goed gefundeerd en worden nog niet volledig aangepakt door het beschikbare leveranciersecosysteem.

Realistische tijdlijn voor militaire adoptie

Korte termijn (2026–2029): QKD is haalbaar en de moeite waard om te evalueren voor vaste of semi-vaste strategische verbindingen tussen hoofdkwartieren waar donkere glasvezel beschikbaar is of kan worden geïnstalleerd, het bereik binnen één hop valt en de classificatie van het verkeer de hardwarekosten rechtvaardigt. QRNG-adoptie voor sleutelgeneratie-infrastructuur is onmiddellijk haalbaar in de hele strijdmacht en moet worden behandeld als een standaard infrastructuurupgrade samen met CNSA 2.0-algoritme-implementatie.

Middellange termijn (2030–2034): Verbeteringen in miniaturisering van vrije-ruimte-QKD-terminals en in drone-relaisarchitecturen kunnen QKD haalbaar maken voor semi-mobiele vooruitgeschoven commandopostverbindingen. Beveiligingspraktijken voor vertrouwde knooppunten zullen rijpen met operationele ervaring. Kwantumherhaler-onderzoek kan vroege niet-uitrolbare prototypen opleveren. De ETSI- en uiteindelijk NSA-QKD-beveiligingsevaluatiekaders zouden voldoende moeten rijpen om formele evaluatie van leveranciersh hardware te ondersteunen.

Lange termijn (2035+): Als kwantumherhaler-technologie rijpt tot een uitrolbaar product, ontspannen de bereik- en topologiebeperkingen van QKD aanzienlijk, en wordt bredere tactische implementatie geloofwaardig. Tot die tijd blijft QKD-implementatie in tactische netwerken beperkt tot de vaste en semi-vaste strategische verbindingslaag, waarbij post-kwantumcryptografie de HNDL-beschermingslast draagt voor alle mobiele en uitgebreid-bereikverbindingen.