Hver gang du logger inn på nettbanken, sender en melding på Signal eller kobler deg til et VPN, jobber to helt ulike krypteringsprinsipper sammen bak kulissene. Det ene er AES-256, en symmetrisk algoritme som krypterer selve dataene dine i et rasende tempo. Det andre er RSA-4096, en eldre asymmetrisk metode som håndterer identitet og nøkkelutveksling, men som nå har fått en utløpsdato fra amerikanske myndigheter. Spørsmålet mange norske utviklere og IT-ansvarlige stiller i 2026, er ikke lenger “hvilken er sikrest”, men “hvor lenge kan vi fortsatt stole på RSA før vi må bytte”.
Denne artikkelen går gjennom AES-256 og RSA-4096 fra bunnen av: hvordan de fungerer, hvor mye raskere AES-256 faktisk er målt i konkrete benchmarker, hva de to koster å drifte i AWS, Google Cloud og Azure, og hvorfor kvantedatamaskiner truer det ene mye mer enn det andre. Du får en fullstendig sammenligningstabell, tre uavhengige ytelsesmålinger, en prisoversikt fra de tre store skyleverandørene, konkrete brukstilfeller og en migreringsguide for de som allerede planlegger overgangen bort fra RSA.
Sammenligningen er verken akademisk eller hypotetisk. Begge algoritmene sitter allerede i produksjonssystemer over hele Norden, fra nettbanker og helseplattformer til enkle IoT-enheter på et industrianlegg. Forskjellen er at det ene alternativet har en klokke som tikker mot en offisiell utfasingsdato, mens det andre kan brukes videre uten den samme hastverkfølelsen. Å forstå hvorfor krever at man ser forbi de enkle “hvem er raskest”-sammenligningene og går inn i hva hver algoritme faktisk er designet for å løse.
Hva er AES-256? Symmetrisk kryptering forklart
AES (Advanced Encryption Standard) er en symmetrisk blokkchiffer som ble standardisert av NIST i 2001 gjennom FIPS 197. Symmetrisk betyr at samme nøkkel brukes både til å kryptere og dekryptere dataene. AES-256 bruker en 256-bit nøkkel og opererer på blokker av 128 bit om gangen, fordelt over 14 krypteringsrunder. Til sammenligning bruker AES-128 bare 10 runder og en 128-bit nøkkel, mens AES-192 ligger i mellom med 12 runder.
Styrken til AES-256 ligger i kombinasjonen av hastighet og matematisk motstandsdyktighet. Fordi krypteringen skjer med enkle bit-operasjoner som XOR og oppslagstabeller (S-bokser), kan moderne prosessorer akselerere jobben i maskinvare. Nesten alle x86- og ARM-prosessorer siden 2010 har innebygde AES-instruksjoner, kjent som AES-NI på Intel og AMD, eller ARMv8 Cryptography Extensions på mobil og servere basert på ARM. Det er grunnen til at AES-256 kan kryptere data i gigabyte per sekund uten å legge merkbar last på prosessoren.
I praksis brukes AES-256 nesten alltid i en modus som legger til autentisering, altså en garanti for at dataene ikke er tuklet med underveis. GCM (Galois/Counter Mode) er den vanligste varianten i TLS 1.3, mens XTS-modus dominerer på diskkryptering som BitLocker, FileVault og LUKS. CBC-modus finnes fortsatt i eldre systemer, men regnes som utdatert til nye implementasjoner siden den mangler innebygd autentisering.
AES stammer opprinnelig fra en åpen konkurranse NIST arrangerte mellom 1997 og 2000, der 15 innsendte algoritmer fra kryptografer over hele verden ble stresstestet mot hverandre. Vinneren, Rijndael, utviklet av de belgiske kryptografene Joan Daemen og Vincent Rijmen, ble valgt blant annet fordi den kombinerte god sikkerhet med et design som lot seg implementere effektivt både i programvare og i dedikert maskinvare. Det er nettopp den designbeslutningen fra slutten av 1990-tallet som gjør at AES-256 fortsatt kan levere flere gigabyte i sekundet på en vanlig bærbar PC i 2026.
Hva er RSA-4096? Asymmetrisk kryptering forklart
RSA, oppkalt etter Rivest, Shamir og Adleman som publiserte algoritmen i 1977, er en asymmetrisk krypteringsmetode. Det betyr at den bruker et nøkkelpar: en offentlig nøkkel som deles fritt, og en privat nøkkel som holdes hemmelig. Det du krypterer med den offentlige nøkkelen, kan bare dekrypteres med den tilhørende private nøkkelen, og omvendt for signering. RSA-4096 bruker en 4096-bit modulus, altså et tall som er produktet av to store primtall, og er den lengste nøkkelstørrelsen som fortsatt brukes i vanlig produksjon.
Sikkerheten i RSA hviler på at det er praktisk umulig å faktorisere store tall med klassiske datamaskiner innen rimelig tid. Jo større modulus, desto tyngre blir faktoriseringsproblemet, men også desto tregere blir selve kryptografien. RSA-2048 er fortsatt den vanligste nøkkelstørrelsen i sertifikater i dag, mens RSA-4096 brukes der man ønsker en ekstra sikkerhetsmargin, typisk for rot-sertifikater (root CA-nøkler), kodesignering og GPG-nøkler for langtidsarkivering.
RSA var patentbeskyttet i USA fra 1983 til patentet utløp i september 2000, noe som i sin tid bremset gratis, åpen bruk av algoritmen i kommersiell programvare utenfor lisensavtaler. Etter at patentet utløp, spredte RSA seg raskt inn i nesten alle sikkerhetsprotokoller som fantes, fra SSL og senere TLS til SSH, PGP og smartkort. Den brede utbredelsen er selve grunnen til at utfasingen nå tar så lang tid: RSA sitter dypt forankret i biblioteker, maskinvaremoduler og standarder som har blitt bygget over mer enn to tiår, og som ikke lar seg bytte ut over natten uten grundig testing.
I motsetning til AES brukes RSA sjelden til å kryptere store datamengder direkte. Operasjonene er for trege og nyttelasten er begrenset av nøkkelstørrelsen. I stedet fungerer RSA som en nøkkeltransportmekanisme eller en signaturalgoritme: den krypterer en liten, tilfeldig AES-nøkkel som deretter gjør den tunge jobben, eller den signerer et sertifikat slik at mottakeren kan bekrefte hvem som har sendt det. TLS 1.3, standardisert i RFC 8446, fjernet faktisk statisk RSA-nøkkelutveksling helt fra protokollen. RSA lever videre bare gjennom RSA-PSS-signaturer i sertifikatkjeden.
Å generere et RSA-nøkkelpar krever at datamaskinen finner to store, tilfeldige primtall og multipliserer dem sammen til modulusen. For RSA-4096 betyr det to primtall på rundt 2048 bit hver, noe som gjør selve nøkkelgenereringen merkbart tregere enn for RSA-2048. Mange utviklere har opplevd at et skript som genererer flere RSA-4096-nøkler etter hverandre plutselig stopper opp, rett og slett fordi maskinen går tom for entropi mens den leter etter egnede primtall. AES-256 har intet tilsvarende problem, siden en AES-nøkkel bare er 256 tilfeldige bit hentet direkte fra en kryptografisk tilfeldighetsgenerator, uten noen tallteoretisk validering i etterkant.
AES-256 mot RSA-4096: Full spesifikasjonstabell
Tabellen under stiller opp de viktigste tekniske egenskapene til AES-256 og RSA-4096 side om side, fra nøkkelstørrelse til status hos NIST i 2026.
| Egenskap | AES-256 | RSA-4096 |
|---|---|---|
| Krypteringstype | Symmetrisk (én delt nøkkel) | Asymmetrisk (offentlig/privat nøkkelpar) |
| Nøkkellengde | 256 bit | 4096 bit (modulus) |
| Blokkstørrelse | 128 bit | Variabel, avhenger av nøkkelstørrelse minus padding |
| Antall rundenøkler | 14 runder | Ikke rundebasert (modulær eksponentiering) |
| Standard vedtatt | 2001, FIPS 197 | 1977, senere PKCS#1 / RFC 8017 |
| Vanlige moduser | GCM, XTS, CBC, CTR | PKCS#1 v1.5, OAEP (kryptering), PSS (signatur) |
| Primær bruk | Bulkkryptering av data | Nøkkelutveksling og digital signatur |
| Maskinvareakselerasjon | AES-NI (x86), ARMv8 Crypto Extensions | Ingen dedikert CPU-instruksjon, avhenger av HSM/akselerasjonskort |
| Typisk gjennomstrømning | 200–500 MB/s (programvare), 577–2 617 MB/s med AES-NI | Få hundre til noen tusen operasjoner i sekundet, ikke bulk-MB/s |
| Sårbar for Grovers algoritme | Ja, men reduserer effektiv sikkerhet til rundt 128 bit | Ikke relevant, Shor rammer RSA direkte |
| Sårbar for Shors algoritme | Nei | Ja, brytes fullstendig med tilstrekkelig stor kvantedatamaskin |
| NIST-status i 2026 | Godkjent, ingen utfasingsdato | Utfases etter 2030, forbys etter 2035 (NIST IR 8547) |
| Vanlige biblioteker | OpenSSL, BoringSSL, LibreSSL, libsodium | OpenSSL, BoringSSL, LibreSSL, Bouncy Castle |
| Etterfølger i post-kvante-tid | Ingen erstatning nødvendig ennå | ML-KEM (FIPS 203) for nøkkelutveksling, ML-DSA for signatur |
Den mest slående forskjellen i tabellen er ikke nøkkelstørrelsen i seg selv, men hva de to algoritmene faktisk er laget for å gjøre. AES-256 er bygget for volum, RSA-4096 er bygget for tillit. Det er derfor de sjelden konkurrerer direkte, og nesten alltid opptrer sammen i moderne systemer som ECDHE vs RSA allerede har vist for selve nøkkelutvekslingen i TLS.
Ytelse i praksis: Hva sier benchmarkene?
Tall på papiret er én ting, men hvordan oppfører algoritmene seg på ekte maskinvare? Vi har samlet resultater fra tre uavhengige kilder for å unngå at ett enkelt testoppsett skal gi et skjevt bilde.
| Kilde | Algoritme | Operasjon | Resultat |
|---|---|---|---|
| OpenSSL Cookbook (Feisty Duck) | RSA-2048 | Signering / verifisering | 1 988 signeringer/sek, 43 838 verifiseringer/sek |
| OpenSSL Cookbook (Feisty Duck) | RSA-4096 | Signering / verifisering | 179 signeringer/sek, 11 881 verifiseringer/sek |
| OpenWrt (innebygd ARM-enhet) | RSA-2048 | Signering / verifisering | 23,6 signeringer/sek, 770,1 verifiseringer/sek |
| Offentlig SSL/TLS-referansetest | RSA-4096 | Signering / verifisering | 213,6 signeringer/sek, 13 157,9 verifiseringer/sek |
| 2025–2026 AES-NI-benchmarker (samlet syntese) | AES-256-GCM | Bulkkryptering | 577–2 617 MB/s med AES-NI, 200–500 MB/s uten |
Legg merke til hvor mye RSA-4096 taper i signeringshastighet sammenlignet med RSA-2048, omtrent 11 ganger tregere ifølge OpenSSL Cookbook-tallene. Det er selve prisen for den doble nøkkelstørrelsen: modulær eksponentiering blir tyngre å regne ut jo større tallet er. AES-256 har ikke det samme problemet. Å gå fra AES-128 til AES-256 legger bare til fire ekstra rundenøkler i krypteringsprosessen, noe som knapt påvirker gjennomstrømningen på moderne maskinvare.
Forskjellen blir enda tydeligere på svakere maskinvare. OpenWrt-testen på en innebygd ARM-enhet uten dedikert kryptoakselerasjon viser RSA-2048 helt nede i 23,6 signeringer i sekundet. Det er greit for et par TLS-håndtrykk i timen på en ruter, men helt uaktuelt for en tjeneste som skal håndtere tusenvis av forespørsler. AES-256 skalerer rett og slett bedre nedover i maskinvareklasse enn RSA gjør, fordi symmetrisk kryptering ikke krever de samme tunge tallteoretiske operasjonene.
openssl speed -seconds 5 rsa2048 rsa4096 aes-256-gcmKommandoen over lar deg reprodusere de samme testene på din egen maskinvare. Resultatene varierer med prosessorgenerasjon og om AES-NI er tilgjengelig, men rangeringen mellom algoritmene pleier å holde seg konsistent.
Tallene får praktisk betydning fort. Tenk deg en autentiseringstjeneste som skal signere JSON Web Tokens for hver innlogging på en travel norsk nettbutikk i høytiden før jul. Med RSA-4096 og et resultat på 179 signeringer i sekundet, slik OpenSSL Cookbook-tallene viser, begynner en enkelt server å bli en flaskehals allerede ved noen tusen samtidige innlogginger. Bytt til RSA-2048, og kapasiteten øker til rundt 1 988 signeringer i sekundet, over ti ganger så mye. Bruk i stedet en elliptisk kurve-algoritme til signering og la AES-256 håndtere selve øktdataene, og flaskehalsen forsvinner nesten helt. Dette er den praktiske konsekvensen av tallene i tabellen, ikke bare en akademisk observasjon.
Hvordan AES-256 og RSA-4096 jobber sammen i TLS 1.3
Den vanligste misforståelsen om AES og RSA er at man skal velge én av dem. I virkeligheten er de bygget for å utfylle hverandre i det som kalles hybridkryptering. Når nettleseren din kobler til en HTTPS-nettside, skjer det et håndtrykk der partene blir enige om en midlertidig, delt nøkkel via nøkkelutveksling (i TLS 1.3 nesten alltid ECDHE eller X25519, ikke RSA). Etter håndtrykket brukes AES-256-GCM eller ChaCha20-Poly1305 til å kryptere selve dataflyten, mens RSA fortsatt kan spille en rolle i sertifikatkjeden for å bevise at serveren faktisk er den den utgir seg for å være.
Denne arbeidsdelingen forklarer hvorfor RSA fortsatt dukker opp i statistikken selv etter at den mistet jobben som nøkkelutveksler. En gjennomgang av TLS-trafikk fra slutten av 2024 viste at chifferpakken ECDHE-RSA-AES128-GCM-SHA256 utgjorde rundt 70 prosent av observert bruk, med ECDHE-RSA-CHACHA20-POLY1305 på om lag 17 prosent. En separat måling fra juni 2025 fant at TLS1.2:ECDHE-RSA-AES256-GCM-SHA384 sto for 68,885 prosent av trafikken i det datasettet. I begge tilfeller er “RSA” i navnet en referanse til sertifikatets signaturalgoritme, ikke til hvordan selve dataene krypteres.
Samme mønster gjentar seg i VPN-protokoller, SSH og signeringsverktøy som GPG. RSA eller en elliptisk kurve-variant håndterer identitet og nøkkeletablering, mens AES-256 gjør den tunge løftejobben. Det er derfor AES-256 vs ChaCha20 er en mer relevant konkurranse for bulkkryptering enn AES mot RSA, siden RSA aldri var ment å konkurrere på det feltet.
Hva koster AES-256 og RSA-4096 i skyen?
Selv om selve algoritmene er gratis og åpne standarder, koster det penger å drifte nøklene i en administrert nøkkeltjeneste. Alle de tre store skyleverandørene prissetter symmetriske og asymmetriske nøkler ulikt, og forskjellen blir tydelig når du sammenligner AES-256 mot RSA-4096 direkte.
| Leverandør | AES-256 (symmetrisk) | RSA-2048 | RSA-4096 / avansert asymmetrisk |
|---|---|---|---|
| AWS KMS | 0,03 USD per 10 000 forespørsler + 1 USD/nøkkel/måned | 0,03 USD per 10 000 forespørsler + 1 USD/nøkkel/måned | 0,15 USD per 10 000 forespørsler + 1 USD/nøkkel/måned |
| Google Cloud KMS (programvare) | 0,06 USD per aktiv nøkkelversjon/måned | 0,06 USD per aktiv nøkkelversjon/måned | 0,06 USD per aktiv nøkkelversjon/måned |
| Google Cloud KMS (HSM) | 1,00 USD per aktiv nøkkelversjon/måned | Opptil 2,50 USD per aktiv nøkkelversjon/måned | Opptil 2,50 USD per aktiv nøkkelversjon/måned |
| Azure Key Vault (programvare) | Under offentlig forhåndsvisning i Premium | 0,03 USD per 10 000 transaksjoner, ingen månedspris | Ikke tilgjengelig som programvarenøkkel |
| Azure Key Vault (HSM/Premium) | Under offentlig forhåndsvisning i Premium | 1,00 USD/nøkkel/måned + 0,03 USD per 10 000 transaksjoner | 5,00 USD/nøkkel/måned (første 250 nøkler, trappes ned til 0,40 USD) + 0,15 USD per 10 000 transaksjoner |
Mønsteret er tydelig hos alle tre: RSA-4096 og andre “avanserte” asymmetriske nøkler koster mer per operasjon enn både AES-256 og RSA-2048. Hos AWS er forskjellen fem ganger så høy transaksjonspris, 0,15 dollar mot 0,03 dollar per 10 000 forespørsler. Hos Azure kan den månedlige nøkkelprisen bli hele 5 dollar per nøkkel for RSA-4096 i Premium-tier, sammenlignet med ingen månedspris i det hele tatt for en programvarebasert RSA-2048-nøkkel i Standard-tier. Google Cloud legger seg midt imellom med en flat sats for programvarenøkler, men doblet og noe mer for asymmetriske HSM-nøkler sammenlignet med symmetriske.
Et interessant apropos er at Azure Key Vault historisk kun har støttet RSA og elliptiske kurver som nøkkeltyper. Symmetrisk AES-støtte (såkalte oct-HSM-nøkler) i Key Vault Premium er fortsatt i offentlig forhåndsvisning ifølge Microsofts egen dokumentasjon i 2026, noe som illustrerer hvor RSA-tungt hele nøkkelforvaltningsøkosystemet fortsatt er bygget, selv om selve dataene som regel ender opp kryptert med AES et annet sted i arkitekturen.
Sett i et konkret regnestykke blir forskjellen tydelig. En tjeneste som gjør 10 millioner krypteringsoperasjoner i måneden med AES-256 via AWS KMS, betaler rundt 30 dollar i måneden i ren transaksjonskostnad. Samme volum med RSA-4096-operasjoner koster fem ganger så mye, rundt 150 dollar i måneden, før man i det hele tatt regner med at RSA-operasjoner tar lengre tid å prosessere og dermed krever mer beregningskraft på klientsiden også. For en liten oppstartsbedrift er ikke dette dramatisk, men for en virksomhet som skalerer til hundrevis av millioner operasjoner i måneden, blir valget mellom AES-256 og RSA-4096 fort et reelt budsjettspørsmål og ikke bare et sikkerhetsspørsmål.
Kvantetrusselen: Shors algoritme mot Grovers algoritme
Den viktigste, langsiktige forskjellen mellom AES-256 og RSA-4096 handler ikke om hastighet i dag, men om hva som skjer den dagen en tilstrekkelig stor, feiltolerant kvantedatamaskin blir virkelighet. De to algoritmene rammes av to helt ulike kvantealgoritmer, og konsekvensene er dramatisk forskjellige.
RSA er sårbar for Shors algoritme, som løser faktoriseringsproblemet i polynomisk tid på en kvantedatamaskin. Det betyr ikke en gradvis svekkelse, men et fullstendig brudd. Gitt nok stabile qubits vil en kvantedatamaskin kunne beregne den private nøkkelen fra den offentlige nøkkelen, uansett om modulusen er 2048 eller 4096 bit. Å doble nøkkelstørrelsen forsinker ikke et kvanteangrep nevneverdig, siden Shors algoritme skalerer mye bedre med økende nøkkelstørrelse enn klassiske faktoriseringsmetoder gjør.
AES-256 møter en helt annen trussel: Grovers algoritme, som gir en kvadratisk hastighetsøkning for usorterte søk. I praksis betyr det at Grovers algoritme kan halvere den effektive nøkkellengden til en symmetrisk chiffer. AES-256 sin effektive sikkerhet mot en kvanteangriper faller dermed til omtrent 128 bit, ikke null. 128 bit regnes fortsatt som solid sikkerhetsmargin i overskuelig fremtid, og er faktisk høyere enn dagens klassiske sikkerhetsnivå for RSA-2048. Det er hovedgrunnen til at NISTs post-kvante-prosjekt ikke krever noen erstatning for AES-256, mens hele nøkkelutvekslings- og signaturlaget rundt RSA må byttes ut.
Denne asymmetrien i trusselbildet er selve grunnen til at post-kvante-migrasjon i praksis handler om å erstatte RSA og elliptisk kurve-kryptografi, ikke AES. Artikkelen om ML-KEM vs RSA går grundigere inn på hvordan nøkkelutvekslingen konkret erstattes, mens denne artikkelen fokuserer på hva det betyr for den daglige driften av AES og RSA side om side.
Hvor langt unna er et reelt kvanteangrep på RSA?
Ingen dagens kvantedatamaskin er i nærheten av å true RSA-4096 i praksis. Å kjøre Shors algoritme mot et 4096-bit RSA-nøkkelpar krever tusenvis av stabile, feilkorrigerte logiske qubits, mens dagens største offentlig kjente kvantesystemer fortsatt jobber med langt færre og langt mer feilutsatte fysiske qubits. Det er nettopp denne usikkerheten rundt tidspunktet, kombinert med sikkerheten om at dagen til slutt kommer, som har fått NIST til å sette faste utfasingsdatoer i stedet for å vente på et konkret gjennombrudd. Strategien kalles gjerne “hør nå, dekrypter senere”: en angriper som lagrer kryptert RSA-beskyttet trafikk i dag, kan dekryptere den om ti eller femten år når kvanteteknologien har tatt igjen. Data som må forbli hemmelig i flere tiår, som helsejournaler eller nasjonale sikkerhetsdokumenter, er derfor allerede i faresonen selv om selve angrepet ligger langt frem i tid.
NIST og NSA sine tidsfrister for å fase ut RSA
Utfasingen av RSA er ikke lenger en teoretisk diskusjon, den har konkrete datoer festet til seg. NIST IR 8547 setter en klar tidslinje: RSA i alle nøkkelstørrelser, sammen med ECDH, ECDSA, DSA og FFDH, blir utfaset for nye systemer etter 2030 og forbudt helt etter 2035. Det gjelder alle nøkkelstørrelser, inkludert RSA-4096, selv om enkelte tredjepartsanalyser antyder at RSA-4096 kan få noe lengre praktisk levetid enn RSA-2048 i visse sektorer på grunn av sin større sikkerhetsmargin i dag.
NSA sin egen standard, CNSA 2.0, går enda strengere til verks for amerikanske nasjonale sikkerhetssystemer. Kunngjort i september 2022 og presisert i oktober 2023, krever CNSA 2.0 at slike systemer utelukkende skal bruke kvanteresistente algoritmer innen 2033, noe som i praksis pensjonerer RSA og ECDH/ECDSA fra sensitive amerikanske myndighetssystemer tre år før NISTs generelle forbudsfrist slår inn for resten av verden.
For norske og nordiske virksomheter som ikke er direkte underlagt amerikansk regelverk, er signalet like fullt tydelig. Leverandører av sertifikater, nettlesere og skytjenester følger som regel NIST sine tidslinjer tett, og migrasjonen skjer gradvis gjennom hybride løsninger lenge før 2030-fristen. Erstatningen er allerede standardisert: ML-KEM, beskrevet i FIPS 203, tar over nøkkelutvekslingsrollen som RSA og ECDH tidligere hadde, mens ML-DSA overtar signaturrollen.
Virkelige eksempler: Hvor brukes AES-256 og RSA-4096 i dag?
Teori blir konkret når man ser hvor de to algoritmene faktisk havner i produkter folk bruker daglig. Under følger seks eksempler som til sammen dekker lagring, kommunikasjon, identitet og infrastruktur, de fire områdene der kryptografiske valg får mest å si for både sikkerhet og ytelse.
- Diskkryptering: BitLocker på Windows, FileVault på macOS og LUKS på Linux bruker alle AES-256 i XTS-modus for å kryptere hele disken. RSA er fraværende her, siden diskkryptering ikke krever et nøkkelpar mellom to parter.
- Meldingsapper: Signal-protokollen, som også ligger til grunn for WhatsApp sin kryptering, bruker AES-256 til selve meldingsinnholdet og Curve25519 (ikke RSA) til nøkkelutveksling mellom enheter.
- Sertifikatkjeder på nett: Root- og intermediate-sertifikater fra store sertifikatutstedere bruker ofte RSA-4096 eller RSA-2048 for signering, mens selve TLS-øktene krypteres med AES-256-GCM etter håndtrykket.
- VPN-tunneler: WireGuard bruker ChaCha20 som standard, mens eldre IPsec- og OpenVPN-oppsett fortsatt lener seg tungt på AES-256-GCM for tunnelkryptering, ofte kombinert med RSA-sertifikater for autentisering av endepunktene.
- Kodesignering og GPG: Utviklere som signerer programvarepakker eller e-post med GPG kan fortsatt velge RSA-4096 for den ekstra sikkerhetsmarginen, spesielt for nøkler som skal vare i mange år uten fornyelse.
- SSH-tilgang til servere: Selv om Ed25519 har blitt anbefalt standard de siste årene, tilbyr de fleste SSH-servere fortsatt RSA-4096 som alternativ for autentisering, mens selve datatrafikken i SSH-sesjonen krypteres med AES-256 eller ChaCha20.
Det gjennomgående mønsteret i alle seks eksemplene er det samme som artikkelen om Ed25519 vs RSA også dokumenterer for signering: RSA holder seg i live lengst der identitet og kompatibilitet med eldre systemer betyr mer enn ren ytelse, mens AES-256 dominerer overalt der man faktisk skal flytte eller lagre store mengder data.
Når bør du velge AES-256, og når trenger du RSA?
Valget mellom AES-256 og RSA-4096 er sjelden et enten-eller i praksis, men her er seks konkrete situasjoner der ett av dem klart er riktig verktøy. Bruk denne listen som en sjekkliste neste gang et prosjekt skal velge kryptografisk løsning, i stedet for å kopiere valget fra forrige prosjekt uten å vurdere om forutsetningene fortsatt stemmer.
- Du skal kryptere lagrede filer eller en hel disk: Bruk AES-256. RSA er verken designet for eller effektivt til å kryptere store filer direkte.
- Du trenger et sertifikat med lang levetid, som en root CA: RSA-4096, eventuelt en tilsvarende ECC-nøkkel, gir en høyere sikkerhetsmargin enn RSA-2048 for nøkler som skal stå urørt i flere tiår.
- Du bygger en ny tjeneste fra bunnen i 2026: Prioriter ECDHE eller X25519 for nøkkelutveksling og AES-256-GCM eller ChaCha20-Poly1305 for datakryptering. Unngå å innføre ny RSA-basert nøkkelutveksling i nye systemer.
- Du signerer programvare som skal verifiseres i mange år fremover: RSA-4096 eller ML-DSA (der støtte finnes) gir bedre langsiktig sikkerhet enn RSA-2048, selv om signeringen blir tregere.
- Du krypterer store datamengder i en database eller et objektlager: AES-256, gjerne administrert via en nøkkeltjeneste som AWS KMS eller Google Cloud KMS, er standardvalget og det klart billigste alternativet ifølge prisoversikten over.
- Du drifter et system underlagt strenge myndighetskrav med kort tidshorisont: Begynn planleggingen mot ML-KEM og ML-DSA allerede nå, ettersom NIST sin 2030-frist nærmer seg raskere enn mange prosjektplaner tar høyde for.
Migreringsguide: Fra RSA til post-kvante-sikker kryptografi
Overgangen bort fra RSA skjer sjelden som et stort, risikabelt hopp. De fleste organisasjoner beveger seg gjennom en gradvis, hybrid tilnærming som lar gamle og nye systemer snakke sammen underveis. Under følger seks steg som går fra kartlegging til en realistisk tidsplan, bygget på hvordan denne typen migrering allerede gjennomføres hos store skyleverandører og sertifikatutstedere.
Steg 1: Kartlegg hvor RSA faktisk brukes. De fleste organisasjoner er overrasket over hvor mange steder RSA-nøkler dukker opp, fra interne API-sertifikater til gamle VPN-oppsett og signerte firmware-oppdateringer. En fullstendig oversikt er forutsetningen for alt videre arbeid.
Steg 2: Bytt nøkkelutveksling til hybridmodeller først. I stedet for å hoppe rett til rene post-kvante-algoritmer, kombinerer mange systemer i dag ECDHE eller X25519 med ML-KEM i én og samme håndtrykk. Dette gir kvantesikkerhet uten å kaste bort den modne, velkjente sikkerheten til de klassiske algoritmene hvis noe uventet skulle vise seg svakt i de nyere standardene.
Steg 3: Behold AES-256 uendret. Fordi AES-256 ikke trues på samme måte av kvantedatamaskiner, er det ingen grunn til å bytte selve bulkkrypteringen. Ressursene bør heller gå til å bytte ut nøkkelutveksling og signatur, som er de faktiske svake punktene.
Steg 4: Planlegg signaturovergangen separat fra kryptering. ML-DSA erstatter RSA og ECDSA for signaturer, men krever egne biblioteker og ofte egen sertifikatinfrastruktur. Dette bør behandles som et eget prosjektspor med sin egen tidslinje.
Steg 5: Test ytelsen på egen maskinvare før produksjon. Post-kvante-algoritmer har ofte andre ytelseskarakteristikker enn RSA, med større nøkler og signaturer selv om selve regnetiden kan være rimelig. Kjør egne benchmarker, ikke bare stol på generelle tall, siden nettverksforhold og maskinvare varierer mye mellom miljøer.
Steg 6: Sett en intern frist godt før 2030. Gitt at NIST sin offisielle utfasingsdato er 2030, bør interne migreringsprosjekter sikte på å være ferdige innen 2028 eller 2029 for å ha slakk til uforutsette forsinkelser, sertifikatfornyelser og leverandøravhengigheter.
Ingen av disse stegene krever at man kaster ut AES-256 noe sted i prosessen. Hele poenget med migreringen er å bytte ut det svakeste leddet, nøkkelutveksling og signatur, mens det sterkeste leddet, selve bulkkrypteringen, får stå urørt. Organisasjoner som prøver å gjøre alt på én gang, inkludert å bytte krypteringsalgoritme for lagrede data uten grunn, bruker ofte unødvendig tid og ressurser på et problem som allerede er løst.
AES-256 og RSA-4096 i norsk og nordisk sammenheng
Norske og nordiske virksomheter møter begge algoritmene daglig uten nødvendigvis å tenke over det. Nettbank- og BankID-infrastruktur bygger på den samme grunnleggende arbeidsdelingen som resten av web-verdenen: sertifikater basert på RSA eller elliptisk kurve-kryptografi bekrefter identiteten til banken og deg som bruker, mens selve øktene krypteres med AES-256 etter at identiteten er bekreftet. Offentlige tjenester som Altinn og Digipost følger samme mønster, ettersom begge er bygget på standard TLS-infrastruktur der RSA og AES fyller sine respektive roller.
Det som gjør situasjonen litt mer presserende for nordiske organisasjoner, er hvor mye eldre RSA-basert infrastruktur som fortsatt kjører i produksjon. Mange virksomheter i offentlig sektor og finans har sertifikatkjeder, integrasjonspartnere og legacy-systemer som ble bygget lenge før post-kvante-kryptografi var en del av samtalen. Når NIST sin 2030-frist for RSA nærmer seg, er det ikke bare de nyeste systemene som må oppdateres, men også integrasjoner mot eldre EDI-løsninger, gamle SOAP-baserte API-er og interne sertifikatutstedere som kanskje ikke har blitt rørt på flere år. En grundig kartlegging, som beskrevet i migreringsguiden lenger ned i denne artikkelen, er derfor like relevant for en kommune i Trøndelag som for en global skyleverandør.
AES-256 har på sin side ingen tilsvarende hastesak i nordisk sammenheng. Siden algoritmen ikke er direkte truet av kvantedatamaskiner på samme måte som RSA, kan norske virksomheter fortsette å stole på AES-256 som ryggraden i datakryptering, enten det er snakk om diskkryptering på en bærbar PC i en kommune, kryptering av pasientdata i en helseplattform, eller sikring av data i ro i en skyløsning driftet fra et europeisk datasenter. Den eneste praktiske endringen som anbefales, er at nye systemer bør bruke AES-256 fremfor AES-128 der ytelsen tillater det, nettopp fordi den ekstra sikkerhetsmarginen mot Grovers algoritme kommer nesten gratis på moderne maskinvare med AES-NI.
Fordeler og ulemper med AES-256
Før du lener deg på AES-256 som løsningen på alt, er det verdt å se på hele bildet. Her er styrkene og svakhetene samlet.
- Fordel: Ekstremt rask, spesielt med maskinvareakselerasjon som AES-NI.
- Fordel: Ikke reell trussel fra kvantedatamaskiner, kun en halvering av effektiv sikkerhet til fortsatt solide 128 bit.
- Fordel: Lav og forutsigbar kostnad i alle store skytjenester.
- Ulempe: Krever en sikker måte å dele nøkkelen på, siden begge parter må ha samme hemmelige nøkkel.
- Ulempe: Kan ikke brukes alene til å bevise identitet slik et sertifikat gjør.
Fordeler og ulemper med RSA-4096
RSA-4096 løser fortsatt et reelt problem bedre enn de fleste alternativene i eldre systemer, men prisen den betaler for det er tydelig når man legger den ved siden av AES-256.
- Fordel: Løser nøkkeldelingsproblemet uten at partene må møtes på forhånd.
- Fordel: Bred kompatibilitet, støttet i praktisk talt alle sikkerhetsbiblioteker og eldre systemer.
- Fordel: Høyere sikkerhetsmargin enn RSA-2048 for nøkler med lang levetid, frem til post-kvante-overgangen er fullført.
- Ulempe: Betydelig tregere enn både AES-256 og RSA-2048, spesielt for signeringsoperasjoner.
- Ulempe: Dyrere å drifte i skybaserte nøkkeltjenester enn både AES-256 og RSA-2048.
- Ulempe: Fullstendig sårbar for Shors algoritme og allerede satt på en offisiell utfasingsplan hos NIST.
Dommen: Hva sier tallene om AES-256 mot RSA-4096?
AES-256 og RSA-4096 er ikke egentlig konkurrenter, men tallene peker likevel i en klar retning for fremtiden. AES-256 vinner ubetinget på ytelse, kvantemotstand og kostnad, med benchmarker som viser 577 til 2 617 MB/s gjennomstrømning mot RSA sine noen hundre til noen tusen operasjoner i sekundet. RSA-4096 vinner ingen av disse kategoriene, men beholder en midlertidig rolle der identitet og bakoverkompatibilitet er viktigere enn rå hastighet.
Den langsiktige konklusjonen er likevel tydelig: RSA-4096 er ikke løsningen på RSA sitt kvanteproblem, bare en midlertidig utsettelse. NIST sin frist i 2030, med full utfasing i 2035, betyr at enhver organisasjon som fortsatt planlegger RSA-infrastruktur for de neste ti årene, bør bygge inn en migreringsplan fra første dag. AES-256, derimot, kan roligere planlegges videre uten den samme klokken tikkende i bakgrunnen, siden Grovers algoritme kun halverer sikkerhetsmarginen i stedet for å fjerne den.
For de fleste norske og nordiske virksomheter betyr dette i praksis: behold AES-256 som den ubestridte standarden for datakryptering, men begynn å behandle RSA, i alle nøkkelstørrelser inkludert 4096-bit varianten, som en teknologi på overtid. Prosessen med å erstatte den, som også berører tilstøtende kryptografiske valg beskrevet i Argon2 vs bcrypt vs PBKDF2, bør være i gang lenge før 2030-fristen faktisk inntreffer.
Ofte stilte spørsmål om AES-256 og RSA-4096
Er RSA-4096 sikrere enn AES-256?
Nei, ikke direkte sammenlignbart. AES-256 har 256 bits nøkkellengde og faller til rundt 128 bit effektiv sikkerhet mot en kvanteangriper. RSA-4096 har en helt annen matematisk struktur, og selv om den er sterkere enn RSA-2048, brytes den fullstendig av Shors algoritme på en tilstrekkelig stor kvantedatamaskin, mens AES-256 bare svekkes.
Hvorfor bruker TLS 1.3 både AES og RSA samtidig?
De løser to ulike problemer. RSA, når det brukes i TLS 1.3, signerer sertifikatet som beviser serverens identitet, mens AES-256-GCM krypterer selve dataene som sendes etter at håndtrykket er fullført. Nøkkelutvekslingen i seg selv gjøres nesten alltid med ECDHE eller X25519, ikke RSA.
Når blir RSA offisielt utfaset?
Ifølge NIST IR 8547 skal RSA i alle nøkkelstørrelser utfases for nye systemer etter 2030 og forbys helt etter 2035. NSA sin CNSA 2.0-standard setter en enda strengere frist på 2033 for amerikanske nasjonale sikkerhetssystemer.
Kan AES-256 knekkes av en kvantedatamaskin?
Ikke i praksis med dagens kjente algoritmer. Grovers algoritme gir bare en kvadratisk hastighetsøkning for kvanteangriperen, noe som reduserer AES-256 sin effektive sikkerhet til omtrent 128 bit. Det regnes fortsatt som sterkt nok til å stå imot angrep i overskuelig fremtid.
Bør jeg bruke RSA-2048 eller RSA-4096 i nye systemer?
For helt nye systemer i 2026 er svaret egentlig verken/eller: prioriter i stedet elliptisk kurve-kryptografi eller hybridløsninger med post-kvante-algoritmer der det er mulig. Hvis RSA må brukes, gir RSA-4096 en bedre sikkerhetsmargin enn RSA-2048, mot en betydelig ytelseskostnad, spesielt ved signering.
Er ChaCha20 et bedre alternativ enn AES-256?
De to er begge symmetriske chiffer, ikke direkte erstatninger for RSA. ChaCha20-Poly1305 kan prestere bedre enn AES-256-GCM på maskinvare uten AES-NI, som eldre mobiltelefoner, mens AES-256 vanligvis vinner på servere med dedikert AES-akselerasjon.
Hva erstatter RSA etter 2030?
ML-KEM, standardisert i FIPS 203, overtar rollen som nøkkelutvekslingsmekanisme, mens ML-DSA overtar rollen som digital signaturalgoritme. Mange systemer kjører allerede i dag hybridmodeller som kombinerer disse med klassiske algoritmer som ekstra sikkerhetsnett.
Koster RSA-4096 mer enn AES-256 å drifte i skyen?
Ja, konsekvent hos alle de tre store skyleverandørene. AWS KMS tar fem ganger så høy pris per operasjon for RSA-4096 sammenlignet med AES-256 og RSA-2048. Azure Key Vault tar opptil 5 dollar per nøkkel i måneden for RSA-4096 i Premium-tier, mot ingen månedlig nøkkelkostnad for en programvarebasert RSA-2048-nøkkel i Standard-tier.
Må jeg bytte ut AES-256 når post-kvante-kryptografi blir standard?
Nei. AES-256 er allerede regnet som tilstrekkelig motstandsdyktig mot kjente kvantealgoritmer, siden Grovers algoritme kun halverer den effektive sikkerheten til rundt 128 bit. Post-kvante-migrasjonen som pågår nå, dreier seg om å erstatte nøkkelutveksling og digitale signaturer, altså jobben RSA og elliptisk kurve-kryptografi gjør i dag, ikke selve datakrypteringslaget der AES-256 opererer.
