Sebastien Rousseau
Neem contact op ›

Post-quantum betaalinfrastructuur: waarom banken bestaande rails eerder vervangen dan aanpassen

ML-KEM en ML-DSA passen niet zuiver in de rails die SWIFT MT en ISO 20022 dragen. Het eerlijke technische antwoord: aanpassing is een gecontroleerd migratieplan met een korte houdbaarheid, vervanging is de enige stabiele bestemming.

10 min. leestijd

Post-quantum betaalinfrastructuur: waarom banken bestaande rails eerder vervangen dan aanpassen

De cryptografische primitieven die elke wholesale-betaling in productie vandaag authentiseren — RSA, ECDSA, ECDH — hebben een houdbaarheidsdatum. De Amerikaanse Quantum Computing Cybersecurity Preparedness Act ⧉ schreef die datum eind 2022 in de federale aanbestedingswet. Het BIS Working Paper No. 1208 ⧉ plaatste dezelfde vervaldatum in het toezichtskader voor centrale banken. NIST FIPS 203 ⧉ en FIPS 204 ⧉ publiceerden de vervangers in augustus 2024.

De betalingsinfrastructuur heeft nog niet verwerkt wat dat betekent.

Dit artikel is het technische pleidooi voor vervanging boven aanpassing. Het is geschreven voor architecten die de algoritmen al begrijpen en moeten beslissen wat ze doen met SWIFT MT, ISO 20022 pacs- en pain-berichten, RTGS-interfaces, HSM-parken en de certificaathiërarchieën die eronder liggen.

Managementsamenvatting / kernpunten

  • Oogst-nu-ontsleutel-later (HNDL) is de operationele dreiging. Tegenstanders nemen in 2026 versleuteld betaalverkeer op om het te ontsleutelen zodra er een cryptanalytisch relevante quantumcomputer (CRQC) bestaat. Het opgenomen verkeer bevat settlementinstructies, begunstigdengegevens en authenticatiemateriaal met langlopende gevoeligheid.
  • NIST heeft de vervangers gestandaardiseerd. ML-KEM (FIPS 203) voor sleutelinkapseling en ML-DSA (FIPS 204) voor digitale handtekeningen zijn de standaardkeuzes. SLH-DSA (FIPS 205) dekt de stateless hash-gebaseerde terugvaloptie.
  • De groottedelta breekt bestaande aannames. Publieke sleutels en handtekeningen zijn 5–20× groter dan de RSA-2048-equivalenten. Dat botst met de MTU op betaalnetwerken, met aannames over vaste buffers in MT-berichtverwerkers en met de cryptografische doorvoer van geïnstalleerde HSM-vloten.
  • Hybride (klassiek + PQC) is het migratievoertuig, niet de bestemming. Hybride TLS en hybride X.509 kopen twee tot drie jaar interoperabiliteit terwijl productie-rails worden vervangen. Ze lossen het onderliggende capaciteitsprobleem niet op.
  • PKI is de dragende muur. Een certificeringsinstantie waarvan het handtekeningalgoritme vervalst kan worden, ongeldigt elk certificaat eronder. De institutionele blootstelling van de bank is de keten, niet één enkel eindpunt.
  • Crypto-flexibiliteit is de architectonische eigenschap om voor te ontwerpen. Algoritme-identifiers, sleutelformaten, handtekening-enveloppen en HSM-partities moeten allemaal parametriseerbaar zijn. Alles wat bij compile-time aan RSA is vastgepind, is technische schuld die tegelijk opeisbaar wordt.

Oogst nu, ontsleutel later: het dreigingsmodel dat wachten uitsluit #

HNDL keert de gebruikelijke cryptografische tijdlijn om. Conventionele risicobeoordeling vraagt wanneer de dreiging zich materialiseert. HNDL vraagt wanneer de vandaag opgevangen data nuttig wordt voor een tegenstander. Voor betaalberichten — identiteiten van begunstigden, rekeningnummers, gestructureerde remittance-data, payloads voor sanctiescreening, intra-bank settlementinstructies — bedraagt het venster van gevoeligheid jaren tot decennia. Het meeste van dat verkeer wordt op dit moment ergens opgenomen.

De CNSA 2.0-tijdlijn van de NSA ⧉ geeft systemen voor nationale veiligheid tot 2035 om de overgang te voltooien. Financiële toezichthouders werken op snellere schema's — de PRA-verwachtingen over operationele veerkracht ⧉ behandelen crypto-flexibiliteit als een third-party-concentratierisico. De verwachting in 2026 is dat materiële betaalrails hun PQC-migratieplan publiceren in hun zelfattestatie over veerkracht.

De HNDL-tegenstander heeft vandaag geen CRQC nodig. De tegenstander heeft nodig:

  1. Netwerkpositie. Aftappen van zeekabels, ISP-niveau-onderschepping en gecompromitteerde middleboxes vallen er allemaal onder. Wholesale-betaalverkeer concentreert zich via een klein aantal netwerkpaden.
  2. Opslag. Een petabyte gestructureerde betaaldata is in 2026 een beheersbaar archief.
  3. Geduld. De opname kost niets per onderschept bericht. De opbrengst komt later.

Het migratie-argument is daarom niet "quantumcomputers komen mogelijk in 2035." Het is "elke TLS-sessie die vannacht voltooit met RSA-2048-sleuteluitwisseling is blootgesteld zolang de data daarbinnen gevoelig blijft."

Het groottevraagstuk is het technische vraagstuk #

Publieke discussie over PQC-migratie richt zich doorgaans op algoritmekeuze. Het lastiger probleem is dimensionaal.

Primitief Publieke sleutel Handtekening / ciphertext
RSA-2048 256 bytes 256 bytes (handtekening)
ECDSA P-256 64 bytes 64 bytes (handtekening)
ML-KEM-768 1.184 bytes 1.088 bytes (ciphertext)
ML-DSA-65 1.952 bytes 3.309 bytes (handtekening)
SLH-DSA-128f 32 bytes 17.088 bytes (handtekening)

Die getallen vertalen rechtstreeks naar faalmodi waarop bestaande betalingsinfrastructuur nooit is ontworpen:

Het aanpassingspad behandelt deze beperkingen één voor één — hier grotere buffers, daar snellere HSM's, fragmentatietolerantie in de middleboxes. Dat is een verdedigbare brug van zes maanden. Het is geen architectuur.

Aanpassen of vervangen: de beslissing die het programma definieert #

De eerlijke formulering is dat aanpassing een gecontroleerd migratieplan met een korte houdbaarheid is, en vervanging de enige stabiele bestemming. De beslissing is welke van beide de bank eerst financiert, en hoe lang het aanpassingsvenster openblijft voordat het een permanente lapmiddel wordt.

Aanpassing betekent:

Dat werk kan worden gedaan. Het lost het onderliggende probleem niet op: SWIFT MT en veel ISO 20022-implementaties coderen de cryptografische envelop binnen een berichtformaat dat het algoritme vastpint. De volgende algoritmeovergang — en die komt er, wanneer ML-KEM uiteindelijk zwakte vertoont of een nieuwe standaard hem opvolgt — draait dezelfde migratie opnieuw op dezelfde rails.

Vervanging betekent aanvaarden dat de cryptografische laag geen eigenschap is van het berichtformaat. Het is een eigenschap van een afzonderlijke envelop-dienst die het berichtformaat aanroept. Concreet:

Het vervangingsontwerp overleeft de volgende algoritmewisseling zonder dat de rail opnieuw moet worden aangeraakt.

De crypto-flexibele architectuur, laag voor laag #

De infrastructuurlagen die ertoe doen voor PQC-migratie zijn niet de bedrijfslagen van "data, control, economics" die bij een generiek bankverhaal passen. De lagen die ertoe doen zijn cryptografisch.

Laag Wat ze doet De PQC-vraag Architectonische richtlijn
HSM / sleutelbeheer Genereert, bewaart en bewerkt sleutelmateriaal onder hardware-isolatie Ondersteunt de geïnstalleerde HSM-firmware ML-KEM, ML-DSA en een hybride sleutelinkapselings-API? Wat is de delta in ondertekenings-doorvoer ten opzichte van ECDSA op dezelfde hardware? Inventariseer elke HSM-partitie naar algoritme-ondersteuning en capaciteit per seconde. Ontmantel alles dat aan RSA is vastgepind zonder firmware-pad. Stel toegewijde PQC-partities op vóór productie-cutover.
PKI / certificeringsinstantie Geeft uit, trekt in en ketent vertrouwen via X.509-certificaten Kan de CA vandaag met ML-DSA ondertekenen? Bestaat een geteste procedure om de root te roteren en de keten opnieuw uit te geven? Zijn CRL- en OCSP-responders gedimensioneerd op het handtekeningsgewicht van ML-DSA? Behandel de CA-stack als de dragende muur. Zet nu een PQC-capabele subordinair op. Plan de root-rotatie op de langstlopende certificaatafhankelijkheid, niet op gemak.
Transport / netwerk Sluit TLS, IPsec en MACsec af tussen betaaleindpunten Verdragen de load balancer, WAF en middlebox-pad hybride handshakes die de bestaande MTU overschrijden? Zijn sessie-hervattingstickets gedimensioneerd op PQC-sleutels? Verplaats TLS-terminatie naar een crypto-flexibele grens (sidecar of mesh). Verhoog het MTU-beleid op betalings-VPN's. Test het volledige pad met opzettelijk geforceerde fragmentatie.
Applicatie / berichtpayload Draagt SWIFT MT-, ISO 20022-pacs-/pain-/camt-berichten en hun cryptografische enveloppen Verdraagt de berichtverwerker van de rail ondertekende enveloppen ter grootte van ML-DSA? Zijn tussenliggende parsers algoritme-bewust of truncatieren ze op lengte? Scheid envelop van payload. Onderteken op een servicegrens, niet binnen de verwerker van het berichtformaat. Behandel algoritme-identifiers als data, niet als schema.
Audit / bewijs Levert de cryptografische bewijsketen waar toezichthouders en klanten op steunen Zijn historische ondertekende records nog verifieerbaar zodra het ondertekenalgoritme is uitgefaseerd? Bestaat een langlopend archief-handtekeningplan? Onderteken archieven tegen met een hash-gebaseerd primitief (SLH-DSA) voor zekerheid die elk afzonderlijk algoritme-falen overleeft. Behandel de auditketen als een gereguleerd artefact, niet als bijproduct van de build.

De discipline is om elke algoritmekeuze op elke laag een configuratiewaarde te maken. De instelling die op een van die lagen RSA-2048 hardcodeert, erft een gecoördineerde end-of-life-gebeurtenis wanneer dat algoritme valt.

Wat dit betekent per banktype #

Het blootstellingsprofiel verschilt per instelling. De richtlijnen verschillen overeenkomstig.

Mondiale banken #

Mondiale banken exploiteren de grootste geïnstalleerde HSM-vloten, de langste certificaatketens en de meest complexe netwerkpaden tussen tegenpartijen. Het dominante risico is niet de algoritmekeuze — het is de coördinatiekost van het tegelijk wijzigen van algoritmen over honderden interne diensten en tientallen externe tegenpartijen.

De richtlijn: financier de PQC-capabele CA, de crypto-flexibele transportgrens en de algoritme-parametriseerbare ondertekenservice als 2026-werk, voordat ook maar één rail wordt aangepast. De aanpassing wordt dan een routinematige productiewijziging binnen een bekend kader. Zonder dat kader heropent elke railaanpassing dezelfde architectonische beslissingen.

Regionale banken #

Regionale banken hebben minder algoritmisch oppervlak maar verhoudingsgewijs minder specialistisch personeel. Het dominante risico is HSM-leveranciersbinding aan algoritmen die de leverancier niet heeft toegezegd te ondersteunen.

De richtlijn: schrijf PQC-ondersteuning — concreet ML-KEM en ML-DSA, met een geteste firmware-upgradepad — vanaf 2026 in elke verlenging van een HSM-contract. Banken zonder die clausule erven een gedwongen hardware-vervanging op het schema van de leverancier, niet op hun eigen schema.

Fintechs en PSP's #

Betaaldienstverleners en fintechs zitten doorgaans tussen een bancaire tegenpartij en een handelaars- of eindgebruikerssysteem. Hun cryptografische blootstelling zit aan beide zijden op de API-grens.

De richtlijn: publiceer in 2026 een hybride TLS-interface — klassiek plus ML-KEM — aan de bankzijde als basisvereiste in commerciële gesprekken. De fintech die met aantoonbaar werkende PQC-interoperabiliteit binnenkomt, wint integratiecycli van de fintech die er nog niet aan begonnen is.

Corporate treasurers #

Treasurers exploiteren geen cryptografische infrastructuur. Ze consumeren ze wel — elke bank-API, elke beveiligde bestandsoverdracht, elke ondertekende bevestiging steunt op de PKI van de bank.

De richtlijn: voeg in 2026 drie vragen toe aan elke bank-RFP: welke PQC-algoritmen gebruikt de bank vandaag in klantgerichte TLS, wat is het plan van de bank voor met ML-DSA ondertekende betalingsbevestigingen, en hoe denkt de bank de verifieerbaarheid van historische ondertekende records te bewaren zodra RSA wordt uitgefaseerd. Banken die deze vragen niet kunnen beantwoorden, geven een signaal af over hun onderliggende technische gereedheid.

Wat hierna gebeurt #

De eerste golf PQC-uitrol in betalingen is voor eindgebruikers onzichtbaar. Hybride TLS verschijnt in de handshake, certificaatketens worden zwaarder, de latentie van HSM-ondertekening kruipt enkele milliseconden omhoog en de rails blijven draaien. Dat is het succesvolle pad.

De zichtbare storingen zullen aanpassingsgedreven zijn: een rail die een ML-DSA-ondertekende envelop niet kan aannemen zonder te truncatieren, een CA waarvan het CRL-distributiepunt vastloopt op het nieuwe handtekeningsgewicht, een middlebox die hybride handshakes in herordende ClientHellos fragmenteert. Die storingen zullen in 2027 in productie landen.

De architectonische beslissing in 2026 is of de bank de vervangingsinfrastructuur financiert die de aanpassing overbodig maakt, of een reeks rail-specifieke fixes financiert die elk afzonderlijk goedkoper lijken en samen tot een langere, duurdere migratie optellen. De bank die het eerste pad kiest, draait stillere operaties door de overgang heen. De bank die het tweede kiest, brengt de rest van het decennium door met het uitleggen van incidentevaluaties aan toezichthouders.

PQC is geen cryptografisch probleem in de jas van een infrastructuurprobleem. Het is een infrastructuurprobleem dat de cryptografie toevallig op gang heeft gebracht.

Veelgestelde vragen #

Bestaat er een deadline die dit werk afdwingt?

De harde regulatoire deadlines zijn jurisdictiegebonden. De Amerikaanse Quantum Computing Cybersecurity Preparedness Act ⧉ bindt federale systemen. De CNSA 2.0-tijdlijn van de NSA ⧉ mikt op 2035 voor systemen van nationale veiligheid. De publicatie BIS Project Leap ⧉ en het werkprogramma van de FSB trekken die horizon naar voren voor systemische betalingsinfrastructuur. HNDL betekent dat de operationele klok ruim vóór elk van die nominale data is gaan lopen.

Waarom is ML-KEM de aanbevolen sleutelinkapseling en niet iets snellers?

ML-KEM (de gestandaardiseerde versie van CRYSTALS-Kyber) bood de sterkste combinatie van kleine ciphertext- en sleutelformaten onder de lattice-kandidaten, met rijpe implementaties en harding tegen side-channel-aanvallen. NIST publiceerde het als FIPS 203 ⧉. Snellere kandidaten bestaan, maar dragen grotere afmetingen of zwakkere betrouwbaarheidsintervallen op veiligheidsparameters.

Waarom dan niet overal SLH-DSA gebruiken in plaats van ML-DSA?

SLH-DSA (de gestandaardiseerde versie van SPHINCS+) is hash-gebaseerd en steunt daarom alleen op de veiligheid van de hashfunctie, de meest conservatieve beschikbare aanname. De handtekeningen zijn 5–20× groter dan die van ML-DSA. Dat is aanvaardbaar voor archief-tegenondertekening, maar onwerkbaar voor transactionele ondertekening waar grootte per bericht telt. Het standaardpatroon is ML-DSA voor productie-ondertekening en SLH-DSA voor archiefzekerheid.

Kan een bank niet gewoon wachten tot de rails PQC-profielen publiceren?

Een bank die wacht, erft het migratievenster dat de rail publiceert, en dat is korter dan haar eigen interne wijzigingscyclus. Tegen de tijd dat SWIFT, de lokale RTGS-exploitant en de relevante CCP's elk hun PQC-profiel publiceren, zal het migratievenster twaalf tot vierentwintig maanden bedragen. Banken die hun CA-, transport- en HSM-capaciteit niet vooraf hebben opgebouwd, halen dat niet zonder operationele kortsluitingen.

Wat heeft de grootste hefboom om eerst te financieren?

Een PQC-capabele subordinaire certificeringsinstantie, geïntegreerd in de bestaande PKI, die dubbel-algoritmische certificaten (RSA plus ML-DSA) kan uitgeven zonder het productievertrouwen te verstoren. Dat vestigt de rotatieprimitieve. Alles anders — transport-upgrades, HSM-partitieplanning, wijzigingen aan berichtenveloppen — kan daaromheen worden ingepland.

Referenties #

Laatst beoordeeld .

Laatst herzien .