Encryptie

Wat is encryptie?

Encryptie (versleuteling) is het met een cryptografisch algoritme en een geheime sleutel omzetten van leesbare gegevens in onleesbare cijfertekst, zodat alleen partijen met de juiste sleutel de oorspronkelijke informatie kunnen terugkrijgen. Encryptie beschermt de vertrouwelijkheid van data tegen afluisteren en spionage, en wordt in moderne protocollen vrijwel altijd gecombineerd met cryptografische integriteitscontrole tegen manipulatie. In IT is versleuteling allang standaard; in OT-netwerken helpt encryptie bij het beveiligen van procescommunicatie, configuraties, Remote Access en Firmware-updates, maar daar botst ze vaker met legacy apparatuur en realtime eisen.

🧠 Hoe werkt encryptie?

Er zijn twee families van versleuteling, die in de praktijk samenwerken:

1. Symmetrische encryptie

• Eén gedeelde geheime sleutel voor versleutelen én ontsleutelen
• Snel en geschikt voor grote hoeveelheden data, ook op apparaten met beperkte rekenkracht
• Standaard is AES (Advanced Encryption Standard): in 2001 door NIST vastgelegd in FIPS 197, ontworpen door de Belgen Joan Daemen en Vincent Rijmen, met blokken van 128 bits en sleutels van 128, 192 of 256 bits
• Nadeel: de sleutel moet veilig bij beide partijen terechtkomen

2. Asymmetrische encryptie

• Een sleutelpaar: een publieke sleutel die iedereen mag kennen en een privésleutel die geheim blijft
• Gebruikt voor sleuteluitwisseling, digitale handtekeningen, certificaten en authenticatie
• Voorbeelden: RSA en ECC (elliptische-curvecryptografie, zoals ECDH en ECDSA)
• Veel trager dan symmetrische encryptie

Protocollen als TLS, HTTPS, SSH en VPN werken daarom hybride: asymmetrische cryptografie stelt de verbinding op en wisselt veilig een sessiesleutel uit, waarna AES (of ChaCha20) de eigenlijke data versleutelt.

🔄 Wat is het verschil tussen encryptie, hashing en obfuscatie?

Een veelgemaakte fout is denken dat versleutelen ook bewijst dat data niet is gewijzigd. Integriteit en herkomst komen van hashes, MAC’s en digitale handtekeningen, zoals bij code signing en firmware signing. Wachtwoorden slaat u op met een gezouten, bewust trage hashfunctie, nooit versleuteld en nooit met een kale snelle hash.

🔧 Wat zijn data in transit en data at rest?

• Data in transit - netwerkverkeer, versleuteld met TLS (bij voorkeur TLS 1.3), IPsec of VPN, SSH/SFTP en op wifi met WPA2 of het in 2018 geïntroduceerde WPA3. Dit beschermt tegen afluisteren en man-in-the-middle-aanvallen.
• Data at rest - opgeslagen gegevens: schijven van engineeringstations en servers, backups, PLC-projectbestanden, recepten en historian-exports. Bescherming via volledige schijfversleuteling, vaak met sleutels in een TPM.
• Data in use - gegevens die worden verwerkt; hier is encryptie nog beperkt toepasbaar en zijn toegangsbeheer en hardening belangrijker.

🏭 Hoe wordt encryptie in industriële protocollen toegepast?

Veel klassieke industriële protocollen zijn ontworpen voor gesloten netwerken en kennen geen enkele versleuteling. Inmiddels hebben de meeste een beveiligde variant:

Daarnaast versleutelen organisaties remote toegang via VPN of een jump server, beveiligen ze webinterfaces van apparatuur met HTTPS en ondertekenen ze firmware zodat een PLC met secure boot alleen vertrouwde code laadt. Sommige fabrikanten versleutelen firmware-images bovendien om hun know-how te beschermen; dat geeft vertrouwelijkheid, terwijl de handtekening de integriteit borgt. Ook e-mail met onderhoudslogboeken of exportdata kan met S/MIME of een versleutelde bijlage worden beschermd.

🔐 Waar moet u op letten bij encryptie in OT?

• Legacy apparatuur - oudere PLC’s, RTU’s en veldapparaten ondersteunen vaak geen encryptie en worden pas na vijftien tot twintig jaar vervangen; compenseer dan met netwerksegmentatie en versleutelde tunnels tussen zones
• Latency en rekenkracht - handshakes en certificaatcontroles kosten tijd en CPU; let op latency en jitter bij cyclisch realtime verkeer en test vooraf
• Zichtbaarheid - versleuteld verkeer is lastiger te inspecteren voor IDS en DPI; plan monitoring op de eindpunten of bij zonegrenzen
• Sleutelbeheer - de sterkte van encryptie staat of valt met het beheer van sleutels en certificaten: PKI, HSM of centrale vaults, plus certificaatbeheer met tijdige verlenging; een verlopen certificaat kan een productielijn stilleggen
• Beschikbaarheid eerst - in OT gaat beschikbaarheid boven vertrouwelijkheid; vaak is integriteit (signing) belangrijker dan versleuteling van procesdata

Combineer encryptie altijd met Access Control en authenticatie: encryptie is een kerncomponent binnen Defense in Depth en Zero Trust, maar geen vervanging voor andere maatregelen.

🧭 Hoe pakt u encryptie in een OT-omgeving stap voor stap aan?

1. Inventariseer - breng per asset en verbinding in kaart welke protocollen, algoritmen, sleutellengtes en certificaten in gebruik zijn (een cryptografische inventaris)
2. Classificeer - bepaal welke datastromen vertrouwelijkheid nodig hebben en welke vooral integriteit, op basis van de zones en conduits uit IEC 62443
3. Kies beveiligde protocollen - OPC UA met SignAndEncrypt, Modbus/TCP Security, TLS 1.3 waar mogelijk en TLS 1.2 als minimum
4. Richt sleutelbeheer in - een PKI voor OT, vaste levensduur en vernieuwingsproces voor certificaten, sleutels in HSM of TPM
5. Compenseer bij legacy - versleutel conduits tussen zones met VPN-gateways of een industriële firewall wanneer apparaten het zelf niet kunnen
6. Test en monitor - meet de invloed op cyclustijden vóór ingebruikname en bewaak certificaatverloop en mislukte handshakes

IEC 62443-3-3 vraagt in SR 3.1 om bescherming van communicatie-integriteit, in SR 4.1 om vertrouwelijkheid van informatie en in SR 4.3 om het gebruik van erkende cryptografie. De NIS2-richtlijn verplicht in artikel 21 beleid voor cryptografie en, waar passend, encryptie; in Nederland geldt deze verplichting sinds 15 augustus 2026 via de Cyberbeveiligingswet. Encryptie ondersteunt daarnaast compliance met ISO 27001. Het NCSC classificeert in zijn TLS-richtlijnen TLS 1.3 als “goed” en TLS 1.2 als “voldoende”.

⚛️ Wat betekent post-quantumcryptografie voor OT?

Een voldoende krachtige quantumcomputer kan RSA en ECC breken. Aanvallers kunnen versleuteld verkeer nu al onderscheppen en later ontsleutelen (harvest now, decrypt later). Symmetrische encryptie blijft met langere sleutels, zoals AES-256, wel veilig. Een migratieaanpak voor industriële systemen staat in Post-quantumcryptografie.

Voor OT is dit urgent omdat installaties twintig jaar of langer meegaan: een PLC of gateway die u vandaag koopt, moet zijn firmware-handtekeningen en sleuteluitwisseling later kunnen bijwerken (crypto-agility).

❓ Veelgestelde vragen

Wat is het verschil tussen symmetrische en asymmetrische encryptie?

Symmetrische encryptie gebruikt één gedeelde sleutel voor versleutelen en ontsleutelen en is snel, zoals AES. Asymmetrische encryptie werkt met een publieke en een privésleutel, zoals RSA en ECC, en wordt vooral gebruikt voor sleuteluitwisseling en digitale handtekeningen. Protocollen als TLS combineren beide.

Is AES-256 veilig tegen quantumcomputers?

AES-256 wordt beschouwd als bestand tegen quantumcomputers, omdat bekende quantumalgoritmen de effectieve sterkte van symmetrische encryptie hooguit ongeveer halveren. RSA en ECC zijn wél kwetsbaar en moeten worden vervangen door post-quantumalgoritmen zoals ML-KEM en ML-DSA uit FIPS 203 en 204.

Waarom wordt encryptie in OT minder toegepast dan in IT?

Encryptie wordt in OT minder toegepast doordat veel industriële protocollen en legacy apparatuur er niet op zijn ontworpen. Daarnaast vrezen beheerders extra latency, rekenlast en storingen door verlopen certificaten. Moderne protocollen als OPC UA, Modbus/TCP Security en PROFINET Security Class 3 maken encryptie in OT wel haalbaar.

Versleutelt OPC UA altijd de communicatie?

OPC UA versleutelt alleen als de security mode SignAndEncrypt is ingesteld. In de modus Sign worden berichten alleen ondertekend en bij None is er geen enkele beveiliging. Controleer daarom per endpoint de security mode en gebruik geen verouderde policies zoals Basic128Rsa15.

Wat is het verschil tussen encryptie en hashing?

Encryptie is omkeerbaar met de juiste sleutel en beschermt de vertrouwelijkheid van gegevens. Hashing is een eenrichtingsfunctie die een vaste vingerafdruk van data maakt en dient voor integriteitscontrole en wachtwoordverificatie. Een hash kan niet worden ontsleuteld.

Verplicht NIS2 het gebruik van encryptie?

NIS2 verplicht in artikel 21 dat essentiële en belangrijke entiteiten beleid en procedures hebben voor het gebruik van cryptografie en, waar passend, encryptie. De richtlijn schrijft geen specifieke algoritmen voor, maar verwacht een risicogebaseerde keuze. In Nederland is dit sinds 15 augustus 2026 wettelijk verankerd in de Cyberbeveiligingswet.

📌 Samengevat

Encryptie maakt gegevens onleesbaar voor onbevoegden en vormt een fundamentele laag in elk OT-beveiligingsmodel, maar is alleen effectief als sleutel- en certificaatbeheer goed geregeld is. In industriële omgevingen vraagt encryptie om beveiligde protocolvarianten, compenserende maatregelen voor legacy apparatuur, aandacht voor latency en een tijdige voorbereiding op post-quantumcryptografie.