Q-day: de dag waarop quantumcomputers onze encryptie kunnen kraken
Stel je een kluis voor met een cijferslot dat miljoenen combinaties heeft. Zelfs de snelste computer ter wereld zou er langer over doen dan het heelal oud is om alle combinaties te proberen. Zo werkt de encryptie die vandaag bijna al het internetverkeer beschermt: online bankieren, WhatsApp-berichten, medische dossiers, overheidsgeheimen. Q-day is de naam die onderzoekers en overheden geven aan een nog niet vastgestelde toekomstige dag waarop iemand een quantumcomputer bouwt die krachtig genoeg is om dat slot in enkele uren te openen in plaats van in miljarden jaren.
Niemand weet wanneer die dag precies komt, of hij ooit komt. Sommige experts denken over tien tot vijftien jaar, anderen twijfelen of het deze eeuw nog lukt. Toch investeren overheden, banken en techbedrijven nu al fors in bescherming tegen Q-day. Dat komt doordat versleutelde gegevens die vandaag worden onderschept, jaren later alsnog ontcijferd kunnen worden zodra een quantumcomputer sterk genoeg is — een dreiging die bekendstaat als "harvest now, decrypt later": nu oogsten, later ontsleutelen.
Wat is het precies?
Vrijwel alle beveiligde verbindingen op internet gebruiken zogeheten publieke-sleutelcryptografie, met bekende methodes als RSA en elliptische-curvecryptografie (ECC). De veiligheid daarvan steunt op wiskundige problemen die voor gewone computers extreem lastig zijn, zoals het ontbinden van een heel groot getal in zijn priemfactoren. Met de snelste supercomputers zou dat voor de sleutellengtes die nu gebruikt worden, langer duren dan de leeftijd van het universum.
In 1994 bewees de wiskundige Peter Shor dat een quantumcomputer dit probleem in theorie veel sneller kan oplossen. Quantumcomputers rekenen met qubits: informatie-eenheden die, dankzij quantumverschijnselen als superpositie en verstrengeling, tegelijk meerdere toestanden kunnen aannemen. Met het algoritme van Shor zou een voldoende krachtige quantumcomputer een RSA-sleutel van 2048 bits kunnen kraken in uren in plaats van in eeuwigheden.
Het probleem is dat qubits extreem gevoelig zijn voor storing: trillingen, temperatuur en elektromagnetische ruis veroorzaken fouten. Om betrouwbaar te rekenen, moeten meerdere "fysieke" qubits worden gebundeld tot één stabielere "logische" qubit, via een techniek die quantum-foutcorrectie heet. Huidige quantumcomputers hebben honderden tot ruim duizend fysieke qubits, maar slechts een handvol echt betrouwbare logische qubits. Om Shors algoritme op een sleutel van praktisch formaat te draaien, schatten onderzoekers dat er wellicht honderdduizenden tot miljoenen stabiele logische qubits nodig zijn — een orde van grootte die nog ver weg is. Q-day is dus, technisch gezien, het moment waarop een quantumcomputer die drempel haalt: een "cryptografisch relevante quantumcomputer" (CRQC).
Wat wil men ermee bereiken?
Het doel van het Q-day-vraagstuk is niet het bouwen van de quantumcomputer zelf — dat is een apart onderzoeksveld gericht op scheikunde, materiaalontwerp en optimalisatie. Het doel hier is precies het omgekeerde: de wereld tijdig "quantumveilig" maken, ruim vóórdat Q-day aanbreekt.
Daarvoor ontwikkelen cryptografen nieuwe versleutelingsmethodes die gebaseerd zijn op wiskundige problemen waarvan wordt aangenomen dat ze ook voor quantumcomputers onhaalbaar blijven, bijvoorbeeld problemen met roosters (lattices) of met foutcorrigerende codes. Dit vakgebied heet post-quantum cryptografie (PQC). Het is iets anders dan "quantumcryptografie" of quantum key distribution, waarbij juist quantumfysica wordt gebruikt om communicatie te beveiligen; PQC draait om gewone computers die nieuwe, quantumbestendige wiskunde gebruiken.
De urgentie zit in het "harvest now, decrypt later"-scenario: inlichtingendiensten en criminelen kunnen nu al versleuteld verkeer opslaan om het pas te ontcijferen zodra een quantumcomputer beschikbaar is. Voor gegevens die lang geheim moeten blijven — staatsgeheimen, medische dossiers, infrastructuurplannen — is dat een reëel risico, ook al ligt Q-day zelf nog in de toekomst. Daarom moet de overstap naar nieuwe versleuteling ruim vóór Q-day zijn afgerond, niet erna beginnen.
Voorbeelden uit de praktijk
De strijd tegen Q-day is inmiddels zichtbaar in concrete producten en standaarden.
Het Amerikaanse standaardisatie-instituut NIST organiseerde vanaf 2016 een wereldwijde competitie tussen cryptografen om nieuwe, quantumbestendige algoritmes te vinden. In augustus 2024 maakte NIST de eerste definitieve standaarden bekend: FIPS 203 (ML-KEM, gebaseerd op het algoritme Kyber) voor sleuteluitwisseling, en FIPS 204 (ML-DSA, gebaseerd op Dilithium) en FIPS 205 (SLH-DSA, gebaseerd op SPHINCS+) voor digitale handtekeningen.
Techbedrijven lopen inmiddels vooruit op die standaarden. Google Chrome gebruikt sinds 2023-2024 een "hybride" sleuteluitwisseling die klassieke en post-quantum-cryptografie combineert, om webverkeer nu al te beschermen tegen harvest-now-decrypt-later. Berichtenapp Signal voegde in 2023 het PQXDH-protocol toe aan zijn versleuteling, en Apple introduceerde in 2024 een vergelijkbaar protocol, PQ3, voor iMessage.
Op het hardwarefront kondigde Google in december 2024 zijn chip Willow aan: een quantumprocessor van 105 qubits waarmee voor het eerst overtuigend werd aangetoond dat foutcorrectie daadwerkelijk verbetert naarmate je meer qubits toevoegt ("below threshold"). Dat is een belangrijke wetenschappelijke mijlpaal op weg naar stabiele logische qubits, al staat het nog ver af van een cryptografisch relevante quantumcomputer.
Hoe ver is de techniek?
De huidige generatie quantumcomputers bevindt zich in wat onderzoekers de NISQ-periode noemen: "noisy intermediate-scale quantum" — ruisige machines van beperkte schaal. Bedrijven als IBM en Google bouwen chips met honderden tot iets meer dan duizend fysieke qubits, maar de foutpercentages zijn nog te hoog om er grote, betrouwbare berekeningen mee te doen. Echte, foutgecorrigeerde logische qubits bestaan vooralsnog slechts in kleine aantallen in laboratoriumdemonstraties.
Schattingen over wanneer een CRQC er zou kunnen zijn, lopen sterk uiteen. Jaarlijkse enquêtes onder honderden quantumexperts, zoals het Quantum Threat Timeline Report van het Global Risk Institute, laten een brede spreiding zien: een deel van de ondervraagden acht een cryptografisch relevante quantumcomputer over tien tot vijftien jaar mogelijk, een ander deel houdt het op twintig jaar of langer, en sommigen betwijfelen of het ooit met de huidige technische aanpak lukt. Er is geen consensus, en dat is precies waarom overheden liever te vroeg dan te laat beginnen met de overstap.
De belangrijkste horde is niet het bedenken van slimmere algoritmes, maar pure engineering: opschalen van honderden ruisige qubits naar mogelijk miljoenen stabiele, foutgecorrigeerde qubits, met bijbehorende koeling, besturingselektronica en materiaalkwaliteit. Die sprong wordt weleens vergeleken met de weg van de eerste, kamervullende computers met vacuümbuizen naar de moderne microchip — een proces dat destijds decennia kostte.
Wie werken eraan?
Er zijn in feite twee kampen actief: bouwers van quantumcomputers, en bouwers van de verdediging daartegen.
Aan de hardwarekant werken onder meer IBM, Google, IonQ en Quantinuum aan steeds grotere en betere quantumchips, naast gespecialiseerde spelers zoals PsiQuantum en Rigetti. Ook China investeert zwaar via instituten als USTC. Landen en regio's voeren daarnaast nationale quantumprogramma's: de Verenigde Staten, China, de Europese Unie (met het Quantum Flagship-programma) en Nederland, waar onderzoeksinstituut QuTech in Delft een vooraanstaande rol speelt.
Aan de verdedigingskant leidt het Amerikaanse NIST de internationale standaardisatie van post-quantum cryptografie. De Amerikaanse inlichtingendienst NSA heeft met zijn CNSA 2.0-richtlijn deadlines gesteld voor Amerikaanse nationale-veiligheidssystemen om uiterlijk in het midden van de jaren 2030 volledig op quantumbestendige encryptie te zijn overgestapt. In Europa publiceert ENISA aanbevelingen voor lidstaten, en in Nederland brengen de AIVD en het NCSC adviezen uit waarin organisaties worden aangespoord nu al te beginnen met het inventariseren van kwetsbare systemen en het plannen van de overstap naar post-quantum cryptografie.