617 cyfr. Tyle liczy dziesiętny zapis liczby, której rozłożenie na dwa czynniki pierwsze stanowi fundament bezpieczeństwa RSA-2048. Pomnożenie takich liczb jest proste, ale odwrócenie tego procesu bez znajomości czynników pozostaje dla klasycznych komputerów praktycznie niewykonalne w rozsądnym czasie.
Nie potrzeba tu więc żadnego tajnego przepisu. Wystarczy odpowiednio trudny problem matematyczny, na którym opiera się część mechanizmów podpisu cyfrowego i uwierzytelniania. W takim modelu bezpieczeństwa jest jednak pewna słabość: zakładamy, że przeciwnik dysponuje komputerem, dla którego wspomniane obliczenia pozostają skrajnie trudne.
Od 20 milionów do 23 tysięcy kubitów. Co właściwie się zmieniło?
Algorytm Shora, pozwalający odpowiednio dużemu komputerowi kwantowemu rozkładać wielkie liczby na czynniki pierwsze, znamy już od 1994 roku. Od tego czasu nie pytamy już wyłącznie, czy RSA-2048 da się w ten sposób złamać, ale jak duża i niezawodna musi być maszyna zdolna przeprowadzić taki atak. W 2019 roku szacunki mówiły o około 20 milionach fizycznych kubitów, a w 2025 roku Craig Gidney z Google obniżył wymagania poniżej miliona. Teraz Alice & Bob wspomina o zaledwie 22593 fizyczne kubity i 3,14 dnia obliczeń.
Nie oznacza to, że w ciągu kilku lat sprzęt stał się niemal tysiąc razy wydajniejszy. Porównujemy tutaj bowiem modele o różnych założeniach i architekturach, a nie kolejne generacje jednego procesora. Sam kierunek jest jednak fascynujący, bo maleje przewidywana skala infrastruktury potrzebnej do rozwiązania konkretnego problemu.
Czytaj też: Fizycy złamali jedną z podstawowych zasad. Dwa elektrony dokonały czegoś, co miało być niemożliwe
Największą rolę odgrywają tutaj tak zwane kubity kota Schrödingera (cat qubits), które wykorzystują superpozycję stanów kwantowych pola elektromagnetycznego w nadprzewodzących rezonatorach. Ich konstrukcja pozwala znacząco ograniczyć jeden z rodzajów błędów, z którymi zmagają się komputery kwantowe, a to z kolei zmniejsza liczbę dodatkowych kubitów potrzebnych do korekcji błędów. W połączeniu z wydajniejszymi kodami LDPC-cat i ulepszeniami algorytmu Shora przekłada się to na znacznie niższe wymagania sprzętowe.
W mojej rozmowie z szefem polskiego laboratorium IBM wracał właśnie ten wątek – sama liczba kubitów mówi niewiele, jeśli nie wiemy, jak stabilnie potrafią wykonywać użyteczne operacje.
75 minut wystarczy?
Najbardziej intrygujący scenariusz zakłada użycie 610 530 fizycznych kubitów rozdzielonych między dziesięć maszyn. Według Alice & Bob pozwoliłoby to rozłożyć liczbę RSA-2048 na czynniki pierwsze w około 75 minut. Sęk w tym, że tak większa liczba kubitów skraca czas obliczeń, ale stawia przed inżynierami znacznie trudniejsze zadanie sprzętowe. Zresztą nawet wariant z 23 tysiącami kubitów pozostaje planem, a nie osiągnięciem współczesnego sprzętu.
Czytaj też: Strzelili w diament materiałem rozpędzonym do prędkości ponad Mach 8. Nie uwierzysz, co się stało
Autorzy zakładają zresztą wyjątkowo niski poziom określonego rodzaju błędów, odpowiadający średniemu odstępowi między nimi rzędu stu lat dla pojedynczego kubitu. Jeśli taki błąd zdarzałby się średnio raz na godzinę, to oszacowane zapotrzebowanie rośnie do około 45 tysięcy kubitów. Dochodzą do tego wymagania dotyczące szybkości operacji, sterowania, chłodzenia i infrastruktury. Badanie pozostaje na dodatek nierecenzowaną analizą teoretyczną, a Alice & Bob ma oczywisty interes w przekonywaniu rynku, że jej podejście ma przyszłość.
Czy banki naprawdę mają się czego obawiać?
Dziś trudno utożsamiać RSA-2048 z całym szyfrowaniem bankowym. Nowoczesne połączenia internetowe wykorzystują również szyfrowanie symetryczne, bo na przykład AES, a do tego mechanizmy wymiany kluczy oparte na krzywych eliptycznych. Złamanie RSA nie daje automatycznie dostępu do czyjegoś konta ani nie unieważnia wszystkich zabezpieczeń. Jednocześnie algorytm Shora zagraża również popularnym rozwiązaniom kryptografii krzywych eliptycznych, więc problem wykracza daleko poza samo RSA.
Co ciekawe, obrona przed takim scenariuszem już istnieje. W 2024 roku amerykański NIST zatwierdził standardy kryptografii postkwantowej, między innymi ML-KEM do bezpiecznego uzgadniania sekretów i ML-DSA do podpisów cyfrowych. Nie wymagają one komputera kwantowego. Wymagają za to wdrożenia, aktualizacji systemów i rezygnacji ze starszych rozwiązań, co w rozbudowanej infrastrukturze finansowej może trwać latami.
Źródła: Alice & Bob, NIST
