On the Energy Cost of Post-Quantum Key Establishment in Wireless Low-Power Personal Area Networks

Dit onderzoek toont aan dat bij post-kwantum sleuteluitwisseling in draadloze netwerken met lage energieconsumptie de communicatiekosten vaak de rekenkosten overtreffen, wat gecoördineerde protocollaire en onderliggende optimalisatie vereist voor een energie-efficiënte kwantumbestendige beveiliging.

De kern

De Energieprijs van "Quantum-proof" Wifi: Een Verhaal over Post-Quantum Cryptografie

Stel je voor dat je een slim horloge of een draadloze sensor hebt die op een kleine batterij werkt. Deze apparaten praten met elkaar via een soort "flitsende" wifi (Bluetooth Low Energy). Tot nu toe was de beveiliging van deze gesprekken als een klein, lichtgewicht slotje: makkelijk te openen en te sluiten, en het kostte bijna geen energie.

Maar er komt een nieuw soort computer op de horizon: de Quantum-computer. Deze superkrachtige machines kunnen op een dag al die oude slotjes in een seconde openbreken. Om dit te voorkomen, moeten we overstappen op nieuwe, "quantum-proof" sloten (Post-Quantum Cryptografie of PQC).

Het probleem? Deze nieuwe sloten zijn niet alleen sterker, ze zijn ook enorm zwaar en groot.

Het Probleem: De Lading die te groot is voor de vrachtwagen

In dit onderzoek kijken de auteurs (Tao, Gowri en Raja) naar wat er gebeurt als je die zware, nieuwe sloten probeert te versturen met een kleine, energiezuinige vrachtwagen (je Bluetooth-apparaat).

1. De Verkeersopstopping (Fragmentatie):
   De nieuwe beveiligingsdata is zo groot dat hij niet in één keer past in het kleine berichtje dat je apparaat kan sturen. Het is alsof je probeert een hele kofferbak vol met dozen in een postbus te proppen. Je moet de dozen eerst in stukken hakken (fragmentatie) en ze één voor één versturen.

   • Het gevolg: Je radio moet veel langer aan staan om al die stukjes te sturen en bevestigingen te ontvangen. Dit kost veel meer energie dan het daadwerkelijk "sloten" zelf.

2. De Verkeerslichten (Bevestigingen):
   Bij elke kleine stukjes die je verstuurt, moet je wachten op een "oké"-signaal van de ontvanger. Omdat de data zo groot is, moet je veel vaker wachten en veel vaker "oké" zeggen. Elke keer dat de radio aan- en uitgaat, kost dat batterijkracht.

Wat hebben ze ontdekt?

De onderzoekers hebben echte apparaten (een nRF52840 chip) gebruikt om dit te meten. Ze hebben de energie gesplitst in twee delen:

• De Rekenkracht: Het werk dat de processor doet om het slot te maken.
• De Verzendkracht: Het werk dat de radio doet om de data te sturen.

De grote verrassing:
Velen dachten dat de rekenkracht het grootste probleem zou zijn. Maar hun metingen tonen aan dat het verzenden van de data vaak veel meer energie kost dan het rekenen zelf!

Stel je voor dat je een brief moet schrijven. Je denkt dat het schrijven (rekenen) het meeste energie kost. Maar in werkelijkheid kost het heen-en-weer lopen naar de brievenbus, wachten in de rij, en het postzegeltje plakken (verzendkosten) veel meer energie dan het schrijven zelf.

De Oplossing: Slimmer Laden, niet Harder Rekenen

De paper geeft een paar belangrijke tips voor de toekomst van slimme apparaten:

1. Gebruik de "Express-lijn" (DLE):
   Bluetooth heeft een optie genaamd "Data Length Extension" (DLE). Dit is alsof je van een kleine postbus overschakelt op een grote vrachtwagen. Als je deze optie aanzet, passen er veel grotere stukken data in één keer.

   • Resultaat: Je hoeft minder vaak te wachten en minder vaak te bevestigen. Dit bespaart tot wel 34% energie!

2. Kies je slot slim:
   Niet elke quantum-sensor heeft evenveel batterij. Als je apparaat een heel kleine batterij heeft, kun je misschien kiezen voor een iets minder zware (maar nog steeds veilige) versie van het slot. Als je apparaat meer energie heeft, kun je het zwaarste slot gebruiken. Het is een afweging tussen veiligheid en batterijduur.

3. Het is een teamwerk:
   Je kunt niet alleen de programmeur vragen om het slot te verbeteren. Je moet ook de "verkeersregelaar" (de radio-instellingen) slim instellen. Het is een samenwerking tussen de software en de hardware.

Conclusie in het Kort

De boodschap van dit onderzoek is hoopvol maar realistisch:
Ja, quantum-proof beveiliging kost meer energie dan de oude beveiliging. Maar als we slimme trucs gebruiken om de "verkeersopstoppingen" op te lossen (door grotere pakketten te sturen), is het absoluut haalbaar om onze slimme horloges, sensoren en medische apparaten veilig te houden tegen toekomstige quantum-computers, zonder dat ze direct leeglopen.

Het gaat er niet om hoe hard je kunt rekenen, maar hoe slim je je data kunt verpakken en versturen.

Technische samenvatting

Probleemstelling

De opkomst van kwantumcomputers vormt een existentiële bedreiging voor huidige publieke-sleutelcryptografie (zoals RSA en ECC), wat de noodzaak creëert voor Post-Quantum Cryptografie (PQC). Hoewel PQC-algoritmen (zoals ML-KEM en ML-DSA) kwantumveilig zijn, genereren ze aanzienlijk grotere sleutels en ciphertexts dan traditionele methoden.

Voor Wireless Low-Power Personal Area Networks (PANs), zoals Bluetooth Low Energy (BLE), is dit problematisch omdat deze netwerken zijn ontworpen met strikte energiebegrotingen. De integratie van PQC leidt tot:

1. Verhoogde communicatie- overhead: Grote payloads vereisen meer pakketfragmentatie.
2. Verlengde radio-activiteit: Meer tijd nodig voor verzending en ontvangst.
3. Hoge transmissiekosten: De energie die nodig is om deze grote datablokken te verzenden, dreigt de totale energiebudgetten van batterijgedreven apparaten te overschrijden.

Bestaand onderzoek focust zich voornamelijk op het optimaliseren van de rekenkracht (computation) van PQC, maar negeert vaak de communicatiekosten, die in draadloze netwerken de dominante factor kunnen zijn.

Methodologie

De auteurs evalueren de energiekosten van Post-Quantum Key Exchange (PQKE) op een representatief platform: Bluetooth Low Energy (BLE).

• Experimentele Opstelling:
  • Hardware: nRF52840 ontwikkelkit (een veelgebruikte BLE-chip).
  • Meetinstrument: Nordic Power Profiler Kit II (PPK2) met een sample rate van 100 kHz.
  • Software: Implementatie van ML-KEM (NIST-standaard) via PQClean, geïntegreerd in een Zephyr RTOS.
  • Protocol: Een aangepaste GATT-service voor sleuteluitwisseling, waarbij de onderliggende BLE-stack (ATT, L2CAP, Link Layer) intact blijft.
• Modelvorming:
  De totale energie ($E_{pqke}$) wordt opgesplitst in twee componenten:
  1. Berekening ($E_{comp}$): Gebaseerd op cycteltellingen (uit het pqm4-project) omgezet naar energie, gecorrigeerd met een empirische factor ($\gamma_{comp}$) voor besturingssysteem- en hardware-overhead.
  2. Communicatie ($E_{comm}$): Gebaseerd op het aantal verzonden/ontvangen PHY-bits, inclusief headers, bevestigingen (ACKs) en inter-frame spacing (IFS). Ook hier wordt een empirische correctiefactor ($\gamma_{comm}$) toegepast.
• Variabelen: De auteurs testen verschillende NIST-beveiligingsniveaus (ML-KEM-512, -768, -1024) en variëren de BLE-configuratie (ATT MTU grootte en Link Layer PDU grootte), met en zonder Data Length Extension (DLE) om fragmentatie te minimaliseren.

Belangrijkste Bijdragen

1. Empirische Karakterisering: De eerste gedetailleerde studie die PQKE-energie op echt hardware meet, waarbij zowel reken- als communicatiekosten worden gekwantificeerd.
2. Identificatie van Dominante Kosten: Het aantonen dat in veel scenario's de communicatie-energie de reken-energie overtreft, een inzicht dat in eerdere analyses vaak ontbrak.
3. Ontwerprichtlijnen: Het bieden van een praktisch model voor ontwikkelaars om de energie-trade-offs van PQC te begrijpen en richtlijnen voor het optimaliseren van link-layer parameters voor kwantumveilige netwerken.

Resultaten

De metingen leveren de volgende cruciale inzichten op:

• Communicatie domineert: In niet-geoptimaliseerde configuraties (kleine packetgroottes) is de communicatie-energie verantwoordelijk voor 57% tot 63% van de totale PQKE-energie. De grote payloads veroorzaken veel fragmentatie, wat leidt tot extra headers en bevestigingen.
• Invloed van DLE: Het inschakelen van Data Length Extension (DLE) om de packetgrootte te vergroten en fragmentatie te verminderen, verlaagt de totale energie met 25% tot 34% over alle beveiligingsniveaus.
• Vergelijking met Klassieke Methode: PQKE kost ongeveer 2,5 tot 8,5 keer meer energie dan de standaard BLE-pairing (gebaseerd op ECDH P-256).
• Verschuiving van Dominantie:
  • Bij kleine packetgroottes is de communicatie de grootste kostenpost.
  • Bij geoptimaliseerde configuraties (grote packets, weinig fragmentatie) verschuift de dominantie naar de rekenkracht (computation), vooral bij hogere beveiligingsniveaus (ML-KEM-1024).
• Correctiefactoren: De auteurs vinden dat theoretische modellen de werkelijke energie onderschatten. Er zijn correctiefactoren nodig: $\gamma_{comp} \approx 1,12 - 1,62$ (afhankelijk van de operatie) en $\gamma_{comm} \approx 1,10 - 1,20$ om rekening te houden met OS-scheduling en hardware-overhead.

Betekenis en Conclusie

De studie concludeert dat de haalbaarheid van post-quantum beveiliging op energiebeperkte apparaten minder afhangt van de efficiëntie van de cryptografische algoritmen zelf, maar vooral van hoe efficiënt de grote cryptografische objecten over de draadloze link worden vervoerd.

Kernboodschappen voor de toekomst:

1. Cross-layer optimalisatie: PQC-implementaties mogen niet alleen op het cryptografische niveau worden geoptimaliseerd. Er is een gecoördineerde aanpak nodig tussen cryptografie, protocolconfiguratie en de fysieke laag (radio).
2. Tijdelijke optimalisatie: Tijdens de sleuteluitwisselingsfase (die kort is) moeten link-layer parameters tijdelijk worden geoptimaliseerd (bijv. maximale packetgrootte) om fragmentatie te minimaliseren, zonder de energie-efficiëntie van de daaropvolgende rustfase te beïnvloeden.
3. Brede toepasbaarheid: Hoewel de studie op BLE is gebaseerd, zijn de bevindingen relevant voor alle lage-energie PANs (zoals IEEE 802.15.4 en Mesh-netwerken). In netwerken met willekeurige toegang (contention-based) zal het communicatie-energieprobleem waarschijnlijk nog ernstiger zijn door herhalingen en retransmissies.

Kortom, kwantumresiliente netwerken zijn haalbaar op beperkte apparaten, mits ontworpen als een cross-layer probleem waarbij communicatie-efficiëntie centraal staat.