Blog

Quantum computing vs. AI: Kun den ene kan bryde din kryptering

Kvantecomputere og AI udgør vidt forskellige trusler mod kryptering. Mens kvantecomputere på sigt kan bryde den matematik, der beskytter dagens nøgleudveksling, er AI allerede i stand til at finde fejl i den kode, der implementerer krypteringen. Derfor er den største sikkerhedsrisiko ikke nødvendigvis algoritmerne – men måden, vi bygger og vedligeholder dem på

Spring til:

• Kvantecomputeren kommer efter matematikken
• Hvorfor AES er sikker mod alt
• Hvorfor så ikke bare bruge AES? (symmetrisk kryptografi)
• Det matematiske problem, RSA og ECC bygger på (asymmetrisk kryptografi) 
• Her opstår kvantetruslen
• En reel trussel, men ingen overraskelser
• Hvor AI ændrer billedet
• Hvor det i virkeligheden går galt
• Hvor AI gør en forskel
• Hvad skal du bekymre dig om først?
• Hvad bør du faktisk gøre?

Kvantecomputeren kommer efter matematikken  

Lad os begynde med hovedpointen, før vi går ned i detaljerne. Kvantecomputere bryder krypteringen, der hviler på et svært matematisk problem med en bestemt skjult struktur. 

Asymmetric encryption: RSA og Elliptic Curve Cryptography (ECC), som er teknologierne bag sikker webtrafik, VPN-forbindelser og digitalt signeret software, bygger netop på denne type matematiske problemer. 

Symmetric encryption: AES, algoritmen der beskytter selve dataene, er bygget med en anden type sikkerhed, og kvantecomputeren kan ikke bryde den. 

Den ene halvdel af din stack er på lånt tid, mens den anden halvdel har det fint. Nedenfor beskriver jeg hvorfor, og det kræver ikke kompliceret matematik.

Hvorfor AES er sikker mod alt 

AES-256 er arbejdshesten, der beskytter dine data i hvile og i transit, og den er sikker på den kedelige måde: ved ren umulighed. At bryde den med “brute force” betyder at prøve alle mulige nøgler, indtil én virker, og der er 2²⁵⁶ af dem. Forestil dig en milliard computere, der hver tester en billion nøgler i sekundet, uden pause. De ville stadig være i gang, længe efter universet levetid, og de ville ikke være i nærheden. Der findes ingen smart genvej, for søgningen er hele opgaven. Du kan ikke tænke dig uden om den. 

Det ændrer kvanteteknologien ikke ved, og årsagen er hovedpointen i denne fortælling. AES er ikke bygget på et matematisk problem, man kan reducere til et kendt ligningsproblem, som man bare kan løse. Der er intet at løse, intet at vende om. Den blander dataene så grundigt, gennem så mange lag af gennemløb, at ingen struktur overlever, som en angriber kan gribe fat i. Den ligner mere et spil kort blandet ti tusind gange end et puslespil med en løsning. Kvantecomputerens trick er at spotte skjult struktur, og AES efterlader ingen. Det bedste kvantecomputere kan stille op mod dette, er Grovers algoritme, som gør det hurtigere at gætte sig frem til nøglen, men dette er kun nok til at halvere styrken af nøglen. 

Halvdelen af AES-256 efterlader stadig 128 bits sikkerhed, langt ud over hvad nogen maskine, kvantecomputere inklusive, kunne brute-force. Kvante udfordrer AES, men knækker den ikke. 

Hvorfor så ikke bare bruge AES? (symmetrisk kryptografi)

Hvis AES er så stærk, og kvante ikke kan røre den, er det oplagte spørgsmål, hvorfor man ikke bare bruger den til alt og springer det sårbare over? Grunden er at AES har en hage. For at bruge den skal begge parter allerede dele den samme hemmelige nøgle. Det er fint, hvis du kan aflevere en nøgle personligt. Det bryder sammen på det åbne internet, hvor du taler med en server, du aldrig har mødt, alt imens en ”bad guy” aflytter forbindelsen. Du kan ikke sende nøglen over forbindelsen, for enhver der lytter, ville simpelthen tage den. Det er den opgave, RSA og elliptisk kurve-krypto (begge asymmetric encryption) findes for at løse: at gøre det muligt for to parter, som ikke kender hinanden på forhånd, at etablere en fælles nøgle uden nogensinde at sende den over forbindelsen. Når en fælles nøgle er etableret, beskytter AES selve samtalen. Det er netop den matematik, der bruges til at dele nøgler mellem parter, som er sårbar over for kvantecomputere, og her kan du ikke bare bruge AES i stedet. 

Det matematiske problem, RSA og ECC bygger på (asymmetrisk kryptografi) 

Lad os se på, hvordan offentlig kryptering fungerer, for her findes der faktisk en genvej. AES er som en umulig kortblanding, men offentlig kryptering fungerer mere som en ‘envejs-maskine’. Det er let at sætte data ind og blande det sammen, men det er ekstremt svært at regne sig tilbage til det oprindelige resultat uden den rette nøgle. Tricket ved asymmetrisk kryptografi er et matematisk problem, der er let at regne forlæns, men ekstremt svært at regne baglæns. 

For RSA er problemet faktorisering af store tal. Tag to enorme primtal og gang dem sammen: Det er let, en computer gør det på et øjeblik. Giv nu nogen kun resultatet (produktet) og bed dem finde de to oprindelige primtal: Det er praktisk talt umuligt, da der ingen kendt genvej findes, kun en ekstremt tidskrævende søgning. Den offentlige nøgle, alle kan se, er dette produkt. Den private nøgle, som kun du har, er beregnet ud fra de to hemmelige primtal. Hele RSA’s sikkerhed hviler på, at denne ‘matematiske envejsgade’ forbliver ensrettet. 

Elliptisk kurve-krypto bruger et andet problem med samme form, kaldet ”the discrete logarithm”. Mekanikken er geometrisk, men idéen er den samme faldlem: en operation, der er triviel at udføre i én retning og håbløs at vende om. ECC’s store fordel er effektiviteten: den leverer samme sikkerhed med langt mindre nøgler. Og derfor bruges den overalt: i telefoner og de fleste moderne systemer. 
Men den hviler på det samme type problem som RSA: et problem, hvor det er let at gå forlæns og umuligt at gå baglæns. 

Her opstår kvantetruslen

Det matematiske problem, som beskytter RSA og ECC i dag, er netop det problem, en kvantecomputer kan angribe ved hjælp af Shor’s algoritme. Det, der gør den farlig, er ikke hastighed. En blot hurtigere computer ville stadig sidde fast. Shor’s algoritme vinder, fordi begge disse problemer, faktorisering og den diskrete logaritme, i hemmelighed indeholder et gentagende mønster begravet i tallene. Almindelige computere kan ikke se det. En kvantecomputer er bygget præcis til at opdage gentagelse. Lidt ligesom den rigtige stemmegaffel kan plukke én tone ud af støj. Find mønstret, og den ensrettede gade kører pludselig begge veje, og problemet, der burde tage menneskealdre, vil kunne trevles op på timer. Det er ikke en teori. Shor beviste det i 1994. [1] Det eneste, der står mellem os og et brudt RSA, er hardware: beregningen kræver i omegnen af en million kvantebits, alle holdt stabile på samme tid. Dette antal kvantebits er dog fremtidens kvantecomputer. De bedste kvantecomputere i dag er ikke i nærheden. [2]

En reel trussel, men ingen overraskelser

Skillelinjen står derfor stadig klart: Kvantecomputere kan bryde kryptering, der bygger på matematiske problemer med en struktur, som kan udnyttes (RSA og ECC), mens AES fortsat står stærkt. Det gør kvantecomputeren til en alvorlig trussel mod den kryptografi, vi bruger i dag, men også til en trussel, der er bemærkelsesværdigt håndterbar. 
Hele kryptografimiljøet har set den komme i årevis. Erstatningerne findes allerede og er standardiseret: ML-KEM til nøgleudveksling og ML-DSA til digitale signaturer. Overgangen til disse teknologier er et ingeniørprojekt med en klar plan og en deadline, ikke et mysterium [3]. 

Den presserende del er mere stille, og den har et navn: harvest-now-decrypt-later. En angriber behøver ikke en kvantecomputer i dag. En angriber skal blot optage din krypterede trafik nu og gemme den, og så dekryptere den, den dag hardwaren endelig ankommer. Alt, der skal forblive hemmeligt i ti år eller mere, er derfor allerede eksponeret i dag. Hvis det gælder dine data, er tiden til at starte migreringen nu. Hvis ikke, er det en dato i kalenderen, ikke en brand. 

Hvor AI ændrer billedet

Nu kommer vi til den nye frontlinje: AI-modellerne. Og her vender intuitionen på hovedet. AI kan nemlig ikke røre ved matematikken. 

Uanset hvor avanceret en model bliver, gør den ikke antallet af mulige 256-bit nøgler mindre, og den finder ikke en genvej gennem faktorisering. Hvis én nogensinde gjorde, ville overskriften ikke være “AI bryder RSA”. Den ville være “AI har netop løst et problem, matematikere har angrebet i halvtreds år”, og vi ville have langt mere interessante ting at bekymre os om end dine TLS-sessioner. Mod selve algoritmen giver AI ingen fordel. 

Men kryptografi er sjældent blevet kompromitteret på grund af selve algoritmerne. 

Hvor det i virkeligheden går galt

Krypteringsalgoritmen og den software, der implementerer den, er to forskellige angrebsflader. AES-256 som algoritme er solid. AES-koden i dit TLS-bibliotek er software. Handshaket er software. JWT-parseren, der validerer dine tokens, er software. Og software har fejl, subtile, tilbagevendende, dybt menneskelige fejl. Det er netop her, kryptografiske løsninger er blevet kompromitteret gennem de sidste årtier, mens matematikken stod urørt bagved. 

Gå en tur gennem kirkegården og læg mærke til, hvad hver gravsten har til fælles. 

Koden lækker spor om hemmeligheden. I teorien burde det tage lige lang tid at tjekke et password eller en nøgle. Men i praksis er computere ofte en anelse hurtigere, hvis det første tegn er rigtigt, end hvis det er forkert. En angriber kan måle disse bittesmå tidsforskelle tusindvis af gange og på den måde gætte hemmeligheden, bid for bid – uden nogensinde at bryde selve matematikken. Et berømt eksempel er ‘Lucky Thirteen’-angrebet fra 2013. Her opdagede forskere fra University of London, at man kunne udnytte disse forsinkelser i webtrafik. Ved blot at måle forskelle på millisekunder, kunne angribere reelt stjæle data, der ellers var beskyttet [4]. Samme klasse af fejl ramte Intel- og AMD-processorer direkte i 2018, i form af Meltdown og Spectre. Ingeniører kalder det et side-channel-angreb: hemmeligheden lækker ikke gennem låsen, men gennem lyden, den laver, når den drejer. 

Den samme hemmelige værdi genbruges. Mange krypteringsskemaer afhænger af et friskt, tilfældigt engangstal for hver besked. Genbrug det, og garantierne kollapser, nogle gange med hovednøglen udleveret på et fad. Sony begik denne fejl i PlayStation 3, og i 2010 brugte en hackergruppe ved navn fail0verflow den til at udtrække den hemmelige nøgle, der signerede al PS3-software, og brød dermed konsollens sikkerhed fuldstændigt og permanent: en værdi, der skulle være unik, var blevet efterladt statisk i stedet for tilfældig. [5] Algoritmen var fejlfri. Måden, den blev brugt på, var ikke. (Det tekniske navn for den engangsværdi er en nonce.) 

Tilfældigheden er ikke tilfældig. Krypteringsnøgler er kun så svære at gætte som den tilfældighed, der bruges til at skabe dem. I 2006 lammede en velment oprydning i Debian Linux’ kryptosoftware ved et uheld dens kilde til tilfældighed, og fejlen gik ubemærket hen indtil 2008. I næsten to år blev hver nøgle, systemet genererede, trukket fra en lille, forudsigelig pulje: kun 32.767 mulige nøgler for en given type og størrelse. [6] Hundredtusindvis af rigtige SSH- og SSL-nøgler, den slags der beskytter servere og websites, viste sig at kunne gættes og måtte kasseres. Matematikken var urørt og fuldstændig irrelevant. Problemet lå i råmaterialet: Den tilfældighed, som kryptografien byggede på, var defekt. 

Systemet fortæller angriberen, når de er ved at være varme. Hvis en server reagerer anderledes på et næsten-forkert gæt end på et helt-forkert et, er den forskel et signal. En angriber kan sende store mængder bevidst fejlformaterede beskeder og analysere svarene. Over tid lækkes små bidder af information, indtil hemmeligheden kan rekonstrueres. Daniel Bleichenbacher fandt denne fejl i RSA i 1998. Den døde aldrig helt: den vendte tilbage i 2017 som et angreb kaldet ROBOT, hvor forskerne viste at den stadig virkede mod blandt andre Facebook og PayPal, fordi udviklere igen og igen kom til at genindføre den samme fejl i ny software. [7] (Blandt ingeniører er denne type sårbarhed kendt som en padding oracle.) 

Ikke én af disse var et matematisk brud. Hver eneste var en implementering, der læste specifikationen korrekt, men læste verdenen forkert. Låsen var fin. Døren stod åben. 

Hvor AI gør en forskel

Se igen på de fire fejl. Hver eneste var en lille, menneskelig fejltagelse siddende i kode: et tjek, der sluttede en brøkdel for tidligt, en værdi genbrugt hvor den skulle være frisk, en svag kilde til tilfældighed, en server der svarede for hjælpsomt. De gik ubemærket hen i årevis, ikke fordi de var kløgtige, men fordi det kræver at man læser enorme mængder kode, linje for linje, med ubarmhjertig opmærksomhed at finde dem. Mennesker har ikke den slags opmærksomhed. Der er aldrig tid nok, og revieweren en tirsdag eftermiddag kommer ikke til at spore hver eneste sti gennem et kryptobibliotek. 

En frontier AI-model har den slags opmærksomhed. Faren var aldrig en model, der opfinder et matematisk gennembrud, som knækker RSA. Det er en model, der læser din kode i en skala og med en tålmodighed, intet menneske kan matche, og stille finder den fejl, du shippede for tre år siden, som ingen nogensinde havde tid til at finde. Den opfinder ikke en ny slags svaghed. Den opdager bare de gamle. 

Men. Den samme evne kan bruges af begge sider. Præcis den kapabilitet, der lader en angriber finde fejlen, lader dig finde den først. Kør modellen over din egen kode, og den markerer den for hurtige sammenligning, den genbrugte værdi, den svage tilfældighed, den overhjælpsomme fejlbesked, før noget af det shipper. Arbejdet, der før krævede en specialist og et ledigt kvartal, passer nu ind i et review. Din modstander har allerede dette værktøj. Det har du også. Det eneste spørgsmål tilbage er, hvem der læser koden først.

Hvad skal du bekymre dig om først?

Målt på kapabilitet er  der kun én reel kandidat: kvantecomputeren. Men den ligger stadig år ude i fremtiden. 

Ser vi derimod på tidshorisonten, er AI foran med flere længder. Den læser din kode her til morgen, mens maskinen, der bryder dine nøgler, stadig befinder sig på forskningsstadiet. 

Kvante er den største trussel og den mindste bekymring. Truslen er reel, forventet og forstået, og der findes allerede en plan for at håndtere den. 

AI er den mindste trussel og den største bekymring. Den er her allerede, den retter sig direkte mod den svage halvdel af din stack, og er fuldstændig ligeglad med hvor stærk din kryptering er. 

Hvad bør du faktisk gøre?

Ingen af modforholdsreglerne er særligt eksotiske. For de flestes vedkommende handler de mere om disciplin end om teknisk snilde. 

Hold op med at skrive din egen krypteringskode. Hver fejl beskrevet ovenfor blev skrevet af eksperter, der havde en værre dag, end du sandsynligvis har, og hele pointen er, at denne kode er langt sværere at få rigtig, end den ser ud. Brug de gennemprøvede, veldokumenterede biblioteker som er designet specifikt til at være svære at misbruge. Biblioteker der nægter at lade dig genbruge en værdi, du ikke burde, eller springe et trin over, du ikke burde. Det ene valg fjerner de fleste af fejlene på kirkegården ovenfor. 

Vid dernæst præcis, hvad det er du kører. Krypteringsbibliotekerne under dine systemer er noget af den mest sikkerhedskritiske kode, du er afhængig af, og det meste er skrevet af andre. Hvis ét af dem kompromitteres, er alt bygget ovenpå kompromitteret med. Så hold en præcis oversigt over de komponenter, verificér at de er den ægte vare og ikke en manipuleret kopi, og lås dem til kendte, gode versioner i stedet for at hente hvad end der tilfældigvis er nyest. Det er præcis den slags supply chain-hygiejne, der fanger et forgiftet bibliotek, før det nogensinde når produktion. 

Brug de nye værktøjer til din egen fordel. Ret det nye værktøj mod din egen kode først. Den samme model, som en angriber kan bruge til at finde fejlen i din kode, kan hjælpe dig med at finde den, i review, før den shipper. Test din egen kode, før andre gør det for dig. 

Til sidst: begynd at flytte de langtidsfølsomme data til de kvantesikre standarder nu. Det gælder især data, som stadig skal være fortrolige om ti år eller mere. Ikke nødvendigvis fordi truslen er her i dag, men fordi optagelsen er. Alt andet kan flytte efter den offentliggjorte tidsplan. 

Krypteringen var aldrig det svage led. Det er AI-modellen heller ikke, og heller ikke kvantecomputeren, der ikke findes endnu. Svagheden har hele tiden ligget i den kode, mennesker selv har skrevet og sendt i produktion uden at gennemgå den grundigt nok. Forskellen er, at de fejl, der før lå ubemærket i årevis, nu bliver fundet på dage med AI. 

Kryptering bryder sjældent sammen der, hvor de matematiske beviser findes. Den bryder sammen der, hvor menneskene var. Det var sandt længe før alt dette, og det eneste, der har ændret sig, er hastigheden på gennemgangen.

AI

Blog

14. jul 2026

Q-Day kan være tættere på, end du tror

Hvornår Q-Day indtræffer, ved ingen. Men det er ikke datoen, der er afgørende – det er, om din organisation er klar. Læs, hvorfor forberedelse til post-quantum cryptography bør begynde nu, og hvilke s…

Kristian von Staffeldt

Chief Security Architect, Conscia Danmark

Læs

Om forfatteren