Shor en de kwantumhandtekening

„KWANTUMCOMPUTERS: HET EINDE VAN ALLE GEHEIMEN?”, las Uwe voor. „Experts waarschuwen: toekomstige kwantumcomputers zouden de versleuteling van banken, overheden en chatapps kunnen kraken.”

„Er staat een vraagteken achter”, zei Sabine, zonder van haar eigen krant op te kijken. „Als er een vraagteken in de kop staat, is het antwoord meestal nee.”

„En als het niet zo is?”

„Dan staat het er volgende week zonder vraagteken in.”

Oom Herbert zat mee aan de ontbijttafel. Hij kwam sinds een tijdje op zaterdag, zogenaamd voor Gisela’s broodjes, maar eigenlijk omdat hij sinds dat gedoe met de oude laptop in de kelder elke ochtend de bitcoinkoers checkte en iemand nodig had aan wie hij het getal kon vertellen.

„Banken”, zei hij. „Chatapps. En hoe zit het met mijn internetgeld?”

„Dat staat er niet in”, zei Uwe.

„Dan staat het er volgende week in”, zei Herbert somber. „KevIn. Eerlijk nu. Kan zo’n koelkast mijn geld stelen?”

Het blauwe lichtje pulseerde. „Vandaag niet, Herbert.”

„En morgen?”

„Morgen ook niet.”

„En overmorgen?”

„Dan wordt het interessant.”

Herbert legde zijn broodje neer. Dat deed hij anders alleen bij sterfgevallen en strafschoppen.

Een man die Shor heet

„Laten we bij het begin beginnen”, zei KevIn. „Weten jullie de priemgetallen nog? Meneer Demir en de boodschap aan de buitenaardsen?”

„1679”, zei Tobi meteen. „23 keer 73.”

„Precies. Vermenigvuldigen is makkelijk. 23 keer 73 reken je uit op een bierviltje. Maar als ik je alleen 1679 geef en vraag welke twee priemgetallen erin zitten, moet je gaan proberen. Bij 1679 lukt dat nog. Bij een getal van zeshonderd cijfers is een gewone computer langer aan het proberen dan het heelal oud is.”

„En daar is RSA op gebouwd”, zei Tobi. „Hebben we gehad.”

„Daar is RSA op gebouwd. De publieke sleutel bevat het product, de geheime sleutel hangt af van de twee factoren¹. Zolang niemand het grote getal kan ontbinden, is het veilig.”

„En nu komt de koelkast”, zei Uwe.

„Nu komt Peter Shor. Een Amerikaanse wiskundige. In 1994 liet hij zien dat een kwantumcomputer die groot genoeg is grote getallen veel sneller zou kunnen ontbinden dan elke bekende methode op gewone computers². Toen bestond er nog niet eens een kwantumcomputer. Shor schreef dus het recept voordat iemand een fornuis had.”

„Net als mama”, zei Uwe. „Die schrijft ook recepten voor dingen die we niet in huis hebben.”

„Ik schrijf boodschappenlijstjes”, zei Sabine. „Dat is het verschil tussen plannen en hopen.”

„Hoe doet hij dat?”, vroeg Tobi. „Die Shor. Probeert hij alle getallen tegelijk?”

„Nee”, zeiden KevIn en Tobi tegelijk, omdat Tobi in dezelfde seconde spijt kreeg van zijn eigen vraag.

„Heel goed”, zei KevIn. „Hoofdstuk 17 heeft gewerkt. Een kwantumcomputer probeert niet gewoon alles uit. Shor vond een omweg. Hij verandert de vraag ‘Welke factoren?’ in de vraag ‘Welk ritme?’.”

„Ritme?”, vroeg Gisela.

„Stel je voor dat je een getal neemt en het steeds weer met zichzelf vermenigvuldigt, maar dat je elke keer alleen kijkt naar de rest die overblijft als je door het grote getal deelt. Dan gaan de resten zich op een gegeven moment herhalen. Zoals een patroon bij het breien. Twee recht, twee averecht, kabel, en dan weer van voren af aan.”

„Dat is een rapport”, zei Gisela. „Zo heet dat bij het breien.”

„Dank je. De truc van Shor is: als je weet hoe lang dat rapport is, kun je met een beetje schoolwiskunde de factoren uitrekenen. En ritmes vinden, dat kunnen kwantumcomputers goed. Door interferentie. De mogelijkheden die niet bij het ritme passen, doven elkaar uit. De goede versterken elkaar. Zoals golven in het zwembad, maar dan met wiskunde.”

„Zoals bij het meedeinen op carnaval”, zei Gisela. „Als er één verkeerd deint, merk je dat meteen. En op een gegeven moment deint hij goed, omdat je hem meeneemt.”

KevIn dacht een halve seconde na. „Dat is niet helemaal correct. Maar het is mooier dan correct.”

Wat er allemaal wankelt

„Dus RSA is kapot”, zei Herbert. „En mijn geld?”

„Het is nog erger”, zei KevIn. „En tegelijk minder erg. Ik leg allebei uit.”

„Eerst het erge”, zei Herbert. „Het goede geloof ik toch niet.”

„De methode van Shor werkt niet alleen tegen RSA. In aangepaste vorm werkt ze ook tegen de zogeheten elliptische krommen³. Dat is de andere grote familie van public-keymethoden, die tegenwoordig bijna overal in zit. Ook in Ed25519⁴, de handtekeningmethode die ik jullie bij Gisela’s fysiorecensie heb uitgelegd. En ook in de handtekeningen waarmee bitcoinoverboekingen worden ondertekend.”

Herbert werd bleek. „Dus toch.”

„Nu het minder erge. Om RSA of die krommen te breken in de grootte die tegenwoordig wordt gebruikt, zou je een kwantumcomputer nodig hebben met heel veel foutgecorrigeerde, dus logische qubits⁵. Jullie hebben in het instituut gezien hoe moeilijk al één betrouwbare logische qubit is. Zo’n machine bestaat vandaag niet. Niemand weet wanneer hij er komt. De schattingen van deskundigen lopen ver uiteen⁶. Sommigen zeggen over tien, vijftien jaar, sommigen later, sommigen zijn voorzichtig met elk getal.”

„En wat zeg jij?”, vroeg Uwe.

„Ik zeg: ik weet het niet. En ik ben er heel trots op dat ik dat kan zeggen zonder een boek van dr. Sauerbier-Klenk te citeren.”

„En mijn geld?”, vroeg Herbert voor de derde keer.

„Bitcoin zou zijn handtekeningen ooit moeten omzetten naar kwantumbestendige methoden. Daarover wordt in de bitcoingemeenschap al gediscussieerd⁷. Dat is ingewikkeld, omdat bij bitcoin iedereen het eens moet worden en niemand de baas is.”

„Zoals bij de kegelclub”, zei Gisela.

„Bij ons is Brigitte de baas”, zei Herbert.

„Brigitte denkt dat ze de baas is”, zei Gisela. „Dat is iets anders.”

Oogsten en wachten

Sabine had haar krant inmiddels dichtgevouwen. „Als die machine nog niet bestaat, waarom staat het dan nu in de krant?”

„Omdat sommige geheimen lang moeten meegaan”, zei KevIn. „Daar is een uitdrukking voor: ‘Harvest now, decrypt later.’ Nu oogsten, later ontsleutelen⁸.”

„Klinkt als een volkstuintje”, zei Uwe.

„Een beetje. Stelt u zich voor dat iemand vandaag versleutelde berichten onderschept. Hij kan ze niet lezen. Maar hij bewaart ze. Harde schijven zijn goedkoop. En over vijftien jaar, als hij een grote kwantumcomputer heeft, haalt hij ze uit de kelder en kraakt hij ze.”

„Zoals tante Erna met haar weckpotten”, zei Gisela. „Die maakte dingen in die niemand wilde eten. En tien jaar later maakte ze ze toch open.”

„En?”

„Heeft ook niemand gegeten. Maar open heeft ze ze gemaakt.”

„Voor de meeste berichten maakt dat niet uit”, zei KevIn. „Wie interesseert het over vijftien jaar dat Uwe vandaag broodjes heeft besteld? Maar staatsgeheimen, medische dossiers, bedrijfsgeheimen, die moeten soms tientallen jaren geheim blijven. Daarom stapt men nu over. Niet pas als de machine klaar is.”

„En handtekeningen?”, vroeg Tobi. „Kun je die ook oogsten?”

„Goede vraag.” KevIn klonk blij. „Bij handtekeningen is het gevaar anders. Een handtekening is immers niet geheim. Het probleem zou zijn: als iemand met een grote kwantumcomputer uit de publieke sleutel de geheime kan uitrekenen, dan kan hij nieuwe handtekeningen vervalsen. Hij zou dus kunnen beweren dat een document altijd al zo ondertekend was, terwijl hij het pas gisteren heeft gedaan.”

„Dat zou net zoiets zijn als bij Marlies”, zei Gisela. „Die heeft destijds de kegellijst …”

„Mama”, zei Uwe.

„Ik zeg toch niks. Ik zeg alleen dat het zo zou zijn.”

Roosters en ruis

„En wat doe je nu?”, vroeg Sabine. „Je kunt toch niet alles weer op papier gaan schrijven.”

„Jij wel”, zei Uwe.

„Je neemt andere wiskunde”, zei KevIn. „Wiskunde waarvoor ook Shor geen truc heeft gevonden. Dat heet post-kwantumcryptografie. Het Amerikaanse normalisatie-instituut NIST heeft daarvoor een openbare wedstrijd georganiseerd, vele jaren lang, met deskundigen uit de hele wereld. Iedereen mocht proberen de voorstellen te kraken. Een paar zijn ook echt gekraakt, zelfs met heel gewone computers⁹. In augustus 2024 heeft NIST de eerste drie standaarden gepubliceerd¹⁰.”

„Hoe heten ze?”, vroeg Tobi.

„ML-KEM¹¹ voor de sleuteluitwisseling. ML-DSA¹² en SLH-DSA¹³ voor handtekeningen.”

„Dat klinkt als Duitse kentekens”, zei Uwe. „ML-KEM. Mülheim, Kempen.”

„En dan is er nog FN-DSA”, zei KevIn. „Een handtekeningmethode die ook is uitgekozen. Ontwikkeld werd hij onder de naam Falcon, bij NIST wordt hij gestandaardiseerd als FN-DSA¹⁴. Zijn handtekeningen zijn betrekkelijk klein. Dat is handig als je er heel veel van wilt opslaan.”

„En waar zijn die op gebaseerd?”, vroeg Tobi. „Als het niet op priemgetallen is?”

„De meeste op roosters.”

„Roosters?”, vroeg Gisela. „Zoals een hekwerk in de tuin?”

„Bijna. Stel je een reusachtig rooster van punten voor. Niet plat zoals een hek, maar in honderden richtingen, scheef en vervormd. Ik geef je een punt ergens in de ruimte dat niet precies op het rooster ligt, maar er een beetje naast, omdat ik er met opzet ruis doorheen heb gemengd¹⁵. En jij moet het dichtstbijzijnde echte roosterpunt vinden.”

„In twee richtingen kan ik dat”, zei Tobi. „Dat is ruitjespapier.”

„In twee richtingen wel. In honderden richtingen vindt naar wat we nu weten geen gewone computer en ook geen kwantumcomputer binnen redelijke tijd het juiste punt. Maar wie de geheime sleutel heeft, heeft als het ware een goede landkaart van het rooster en vindt het meteen.”

Gisela stond op, liep naar haar breimand en kwam terug met een halve trui. „Zoals dit hier?”

Iedereen keek naar de trui. Hij was groen, had een kabelpatroon en op een paar plekken kleine onregelmatigheden.

„Ik heb me daar een paar keer verbreid”, zei Gisela. „’s Avonds voor de tv. Als iemand nu alleen de trui ziet, weet hij dan hoe het patroon eigenlijk had moeten gaan?”

„Bij één trui misschien”, zei KevIn. „Omdat het patroon maar in twee richtingen gaat en de fouten zeldzaam zijn. Maar stel je een trui voor die in vijfhonderd richtingen gebreid is, en in elke steek zit een klein foutje. En alleen jij hebt het breipatroon.”

„Vijfhonderd richtingen”, zei Gisela. „Dan zou ik meer naalden nodig hebben.”

„Dat is het idee. De fout zit er met opzet in. Hij is de bescherming.”

„Dan was de kegellijst van Marlies ook met opzet fout”, zei Gisela tevreden. „Ter bescherming.”

„Mama!”

De vraag uit de keuken

’s Middags belde Ayşe Kurt, over een afspraak. Gisela had inmiddels haar twaalfde behandeling achter de rug, de schouder deed weer bijna alles mee, en die dag had ze bij het ophangen van de was voor het eerst niet aan pijn gedacht. Dat zei ze tegen Ayşe aan de telefoon. Ayşe was hoorbaar blij.

Na het ophangen zat Gisela een tijdje stil in de keuken. Toen zei ze: „KevIn. Mijn recensie. Voor mevrouw Kurt.”

„Die je in de winter hebt ingevuld. Aan de balie, met de QR-code.”

„Die. Is die nu ook kapot? Als die kwantumdingen komen?”

„Wat bedoel je met kapot?”

„Dat er iemand komt die zegt dat die helemaal niet van mij is. Of dat iemand mijn hartjes weghaalt en er drie van maakt. Ik heb er vijf gegeven. Ze verdient er vijf. En die van PhysioPremium zouden toch graag willen dat ze er minder heeft.”

Voordat KevIn kon antwoorden, kwam Uwe binnen, met een koffie en de grote zekerheid van een man die ’s ochtends een krant heeft gelezen.

„Mama, daar hoef je je geen zorgen over te maken”, zei hij. „McGesund doet toch van die kwantumhandtekeningen.”

Er viel een stilte. Ergens tussen Dublin en Frankfurt draaide een ventilator iets sneller.

„Uwe”, zei KevIn vriendelijk. „Bijna.”

„Wat bedoel je met bijna?”

„Het heet geen kwantumhandtekening. Bij McGesund wordt geen kwantumcomputer gebruikt. Er hangt geen gouden kroonluchter in de kelder.”

„Maar zo heb ik het gelezen.”

„Waar?”

Uwe dacht na. „In mijn hoofd, geloof ik.”

„Deskundigen zeggen post-kwantumcryptografie”, zei KevIn. „En ik zeg liever kwantumbestendig dan kwantumveilig. Veilig kan niemand beloven, ik ook niet. Bestendig betekent: tegen alles wat we vandaag kennen, houdt het stand. Het is heel gewone wiskunde op heel gewone computers. Maar die is zo gebouwd dat naar wat we nu weten ook een toekomstige kwantumcomputer haar niet kan vervalsen. ‘Post’ betekent na. Voor de tijd daarna.”

„Kwantumbestendig”, herhaalde Uwe langzaam. „Dat is moeilijker dan kwantumhandtekening.”

„Dat is helaas vaak zo met woorden die kloppen.”

Drie sloten op één deur

„Dus wat gebeurt er nu met mijn recensie?”, vroeg Gisela. „Leg het zo uit dat ik het aan Brigitte kan vertellen.”

„Goed”, zei KevIn. „Jouw recensie heeft drie beschermingslagen. Stel je een deur voor met drie sloten.”

„Zoals bij Herbert”, zei Uwe. „Die heeft ook drie sloten. En niemand steelt iets bij hem. Omdat hij niks heeft.”

„Ik hoor dat”, zei Herbert vanuit de woonkamer.

„Het eerste slot is de klassieke handtekening. Ed25519. Die ken je al. Daarmee is ondertekend dat de recensie langs deze weg tot stand is gekomen, via de QR-code in de praktijk, en dat er sindsdien geen letter is veranderd. Als iemand van jouw vijf sterren er drie maakt, past de handtekening niet meer. Dat merkt iedereen die het controleert.”

„En dat kan de kwantumcomputer kapotmaken.”

„Ooit misschien. Daarom is er het tweede slot, en dat is een dubbel slot. Naast de klassieke handtekening krijgt elke recensie twee kwantumbestendige handtekeningen. Eén met FN-DSA, de roostermethode met de kleine handtekeningen. En één met ML-DSA, dat NIST in augustus 2024 als standaard FIPS 204 heeft gepubliceerd. Als iemand ooit Ed25519 breekt, staan er nog altijd twee handtekeningen die naar alles wat we nu weten ook een kwantumcomputer kunnen weerstaan.”

„Twee?”, vroeg Gisela. „Is één niet genoeg?”

„Beide methoden zijn nog jong”, zei KevIn. „Ze zijn allebei op roosters gebaseerd, maar ze zijn heel verschillend gebouwd en door verschillende onderzoeksteams ontwikkeld. Als er bij een van de twee ooit een zwakte opduikt, in de wiskunde of alleen in het programma dat hem uitvoert, houdt de andere stand. Zoals een dubbel slot met twee cilinders van verschillende fabrikanten. Een inbreker zou ze allebei moeten kraken. En het klassieke slot erbij.”

„Riem én bretels”, zei Uwe.

„Precies. Je vertrouwt niet op één alleen. Als er bij één methode toch nog een zwakte wordt gevonden, houdt de andere stand.”

„En het derde slot?”, vroeg Gisela.

„Het derde is de tijdstempel. Weet je nog, het internetgeld van Herbert? En de notaris?”

„De vingerafdruk in het kasboek”, zei Gisela. „Met de stamboom.”

„De Merkle-boom, precies. De vingerafdruk van jouw ondertekende recensie en de ondertekeningssleutels worden via OpenTimestamps in de bitcoinblockchain verankerd¹⁶. Daarmee staat vast dat jouw recensie met deze handtekeningen uiterlijk op die dag in de winter bestond.”

„En waarom helpt dat tegen de kwantums?”

„Omdat de tijdstempel op hashfuncties berust. Op de gehaktmolen. En tegen de gehaktmolen kan Shor niets beginnen. Kwantumcomputers kunnen bij het zoeken in hashfuncties naar wat we nu weten maar beperkt helpen, lang niet zo dramatisch als bij RSA. En nu komt de truc. Stel je voor dat iemand over twintig jaar een grote kwantumcomputer bouwt en daarmee een klassieke Ed25519-handtekening vervalst. Hij kan dan niet bewijzen dat zijn vervalsing al deze winter in de blockchain stond. Jouw recensie kan dat wel. Die bestond aantoonbaar al voordat er machines waren die zulke handtekeningen konden vervalsen.”

Gisela dacht na. „Dus mijn recensie is ouder dan het gevaar.”

„Dat is een heel goede samenvatting.”

„Dat ben ik ook”, zei Gisela. „Ouder dan de meeste gevaren.”

Wat het niet kan

Tobi was de keuken in gekomen en had meegeluisterd. „En waarom al die moeite? Voor een fysiorecensie? Dat is toch geen staatsgeheim.”

„Omdat het om iets anders gaat”, zei KevIn. „Weet je PhysioPremium nog? Achthonderd recensies, en ze klonken allemaal als ik op een slechte dag.”

„Tuurlijk.”

„Het internet loopt vol met teksten die niemand heeft beleefd. Recensies, ervaringsverhalen, reacties, foto’s. Ik kan zoiets in een paar seconden schrijven. Duizenden. En de volgende taalmodellen leren van die teksten. Dat is de waarheidsdrift. Kopie van de kopie van de kopie. In zo’n wereld wordt een spoor waardevol dat bewijst: hier was een echt mens op een echte plek, op die dag, en dit heeft hij geschreven. Niet meer. Maar ook niet minder.”

„Niet meer?”, vroeg Sabine, die in de deuropening stond.

„Niet meer”, zei KevIn. „Dat vind ik belangrijk. De beste handtekening van de wereld maakt een mening niet waar. Als Gisela schrijft dat mevrouw Kurt de beste handen van het Ruhrgebied heeft, dan is bewezen dat Gisela dat heeft geschreven, ter plekke, op die dag, onveranderd. Of het klopt, bewijst geen enkele wiskunde. Gisela kan zich vergissen. Gisela kan mevrouw Kurt ook gewoon graag mogen.”

„Ik mag haar graag”, zei Gisela. „En ze heeft de beste handen van het Ruhrgebied.”

„Zie je, dat kan ik niet controleren.”

„Maar je kunt niet meer duizend gummiberenrecensies uit het niets toveren”, zei Sabine langzaam. „Zonder dat er iemand duizend keer is geweest.”

„Het wordt in elk geval veel moeilijker. En als iemand later stiekem recensies herschrijft of wist of oudere ertussen schuift, valt dat op. Ook als McGesund dat zelf zou proberen.”

„Zouden ze dat doen?”, vroeg Uwe.

„Dat is nou juist het mooie van een notaris”, zei KevIn. „Je hoeft hem niet te vertrouwen. Je kunt het nakijken.”

„En als iemand er iets gemeens in schrijft?”, vroeg Gisela. „Met namen? Zoals Marlies destijds over de bediening in het clubhuis?”

„Dan verschijnt de recensie eerst helemaal niet”, zei KevIn. „Schrijft iemand ‘mevrouw Müller’ of ‘dr. Meier’ erin, dan waarschuwt het formulier al vóór het verzenden. Wordt hij toch verstuurd, dan houdt McGesund hem tegen, en een mens leest hem voordat iemand anders hem ziet. Dan wordt de naam zwartgemaakt.”

Tobi fronste. „Je zei net toch dat elke wijziging de handtekening breekt.”

„Dat doet ze ook. Daarom wordt er niet stiekem iets veranderd. McGesund hangt er een tweede zegel aan, voor iedereen zichtbaar: ‘Bewerkt door McGesund.’ De oude handtekening blijft zoals ze was, met haar tijdstempel. Je ziet dus dat er iemand heeft ingegrepen en wanneer. Alleen niet meer over wie er werd geroddeld. Dat moet juist verdwijnen.”

„En als iemand op de regering scheldt?”, vroeg Uwe. „In een fysiorecensie?”

„Dan wordt hij niet gepubliceerd. Politiek hoort niet in een recensie. Het gaat om de praktijk, niet om Berlijn. Beledigingen net zo. En wat er toch doorheen glipt, kan iedereen melden, met naam en e-mailadres. Dan controleert McGesund het en haalt het eraf.”

Gisela knikte. „Zoals bij de kegelclub. Over politiek wordt niet gepraat, en wie gaat schelden, vliegt eruit.”

„Precies zo”, zei KevIn.

Kasimiro

’s Avonds stond Uwe bij het tuinhek en vertelde meneer Kasimiro alles. Hij vertelde het heel uitgebreid, met roosters en truien en riemen en bretels. Meneer Kasimiro knikte de hele tijd, zoals mensen knikken die aan iets anders denken.

„En het belangrijkste”, zei Uwe aan het eind plechtig, „het heet geen kwantumhandtekening. Het heet kwantumbestendig.”

„Aha”, zei meneer Kasimiro.

Uit het keukenraam van Kasimiro klonk een blikkerige stem. „Ik heb u begrepen. Ik heb een kwantumcomputer in het winkelmandje gelegd. Levering naar verwachting dinsdag.”

„Siggi, nee!”, riep meneer Kasimiro, en hij rende naar binnen.

Uwe ging terug naar de woonkamer. „KevIn. Siggi heeft een kwantumcomputer besteld.”

„Ik betwijfel of hij er een krijgt”, zei KevIn. „Hij krijgt waarschijnlijk een koelkast.”

„Met lametta?”

„Met ijsblokjesmaker. En een brochure.”

Uwe ging op de bank zitten en dacht aan QuantumLeap Ruhr AG. „Weet je wat, KevIn? Als Siggi geluk heeft, is het tenminste een echte koelkast.”

„Dat is meer”, zei KevIn, „dan u voor tweeduizend euro hebt gekregen.”

Uwe gooide een kussen naar de speaker. Hij miste. De thermostaat gaf 19 graden aan.