Шифрование, которое сегодня защищает банковские операции, личную переписку и множество интернет-сервисов, в будущем может оказаться уязвимым перед квантовыми компьютерами. Исследователи рассчитали, что для взлома одного из распространённых криптографических стандартов может хватить всего 23 тысяч кубитов — основных вычислительных элементов квантового компьютера. При этом сама операция займёт чуть больше трёх суток.
Речь идёт о стандарте RSA-2048, безопасность которого основана на математической задаче, чрезвычайно сложной для обычных компьютеров. Для создания ключа перемножают два больших простых числа. Получить произведение относительно легко, но восстановить по нему исходные множители гораздо труднее. Число, лежащее в основе такого ключа, может содержать до 617 десятичных цифр.
Именно эта сложность делает шифрование надёжным. Однако ещё в 1994 году математик Питер Шор разработал алгоритм, позволяющий квантовому компьютеру решать подобные задачи значительно быстрее. Главная проблема заключалась в том, что для его практического применения требовались огромные вычислительные ресурсы.
Теперь специалисты французской компании Alice & Bob представили новые расчёты, согласно которым необходимое оборудование может оказаться значительно компактнее, чем предполагалось ранее. Их исследование опубликовано в виде предварительной научной работы и пока не прошло независимое рецензирование.
По оценке исследователей, квантовый компьютер с 22 593 кубитами особого типа сможет разложить ключ RSA-2048 на исходные множители за 3,14 суток. Если же объединить десять квантовых машин в систему общей мощностью 610 530 кубитов, время сократится до 1,25 часа.
Такие результаты особенно интересны на фоне того, как быстро меняются оценки необходимых ресурсов. В 2019 году для взлома RSA-2048 предполагалось использовать около 20 миллионов кубитов. К 2025 году расчётное количество сократилось до менее чем миллиона. А собственные оценки Alice & Bob с 2023 года уменьшились с 350 тысяч до менее чем 23 тысяч.
Столь существенное сокращение связано с использованием так называемых кошачьих кубитов, названных в честь знаменитого мысленного эксперимента с котом Шрёдингера.
В отличие от многих других квантовых вычислительных элементов, они используют фотоны, удерживаемые внутри небольшого металлического резонатора. Особенности такой системы позволяют значительно подавлять один из основных типов ошибок — случайное переключение кубита между состояниями, соответствующими нулю и единице.
Ошибки представляют собой одну из главных проблем квантовых вычислений. Квантовые состояния чрезвычайно чувствительны к внешним воздействиям, поэтому при выполнении продолжительных расчётов информация может искажаться. Чем больше ошибок возникает, тем больше дополнительных ресурсов требуется для их исправления.
Кошачьи кубиты позволяют особенно эффективно бороться с ошибками переключения, хотя другой тип нарушений, связанный с изменением фазы квантового состояния, по-прежнему остаётся проблемой. Благодаря этому исследователи рассчитывают существенно уменьшить размеры будущих компьютеров.
Размер имеет принципиальное значение. Квантовые процессоры необходимо охлаждать до температур, составляющих лишь доли градуса выше абсолютного нуля. Чем больше кубитов требуется, тем сложнее и дороже становится оборудование. При этом слишком сильное сокращение их количества может увеличить продолжительность вычислений до практически бесполезных значений. Поэтому разработчикам приходится искать компромисс между размерами машины и скоростью её работы.
Исследователи рассмотрели и другую потенциальную цель квантовых атак — криптографическую защиту биткоина. По их расчётам, система с 29 588 кошачьими кубитами могла бы выполнить необходимые вычисления примерно за 61,8 минуты.
Однако здесь существует важное ограничение. Для определённого сценария кражи криптовалюты злоумышленникам пришлось бы уложиться в промежуток между отправкой транзакции и её подтверждением. В сети биткоина среднее время создания блока составляет около десяти минут. Поэтому рассчитанной часовой скорости для такой атаки пока недостаточно.
Впрочем, все эти оценки относятся к квантовым компьютерам, которых ещё не существует.
Один из крупнейших экспериментальных массивов, созданный инженерами Калифорнийского технологического института, содержит 6100 кубитов, удерживаемых с помощью лазеров. Но это именно массив квантовых элементов, а не полноценный компьютер, способный выполнять подобные криптографические вычисления.
Кроме того, расчёты Alice & Bob основаны на весьма оптимистичных предположениях о надёжности оборудования. В базовом варианте предполагается, что среднее время между ошибками переключения состояния кубита достигает 100 лет.
Для сравнения, недавно специалисты компании смогли добиться среднего времени между такими ошибками в 44 минуты, используя 11 фотонов в одном кошачьем кубите. Это улучшение в миллионы раз по сравнению с обычными показателями, но до заложенных в расчёты характеристик ещё далеко.
При этом исследователи проверили и менее оптимистичный сценарий. Если среднее время между ошибками переключения составляет около часа, для взлома RSA-2048 за сопоставимое время потребуется примерно вдвое больше кубитов — около 45 тысяч.
Остаются и другие серьёзные технические препятствия: обеспечение стабильной работы, поддержание экстремально низких температур, объединение множества квантовых процессоров и взаимодействие между удалёнными кубитами.
Авторы исследования предполагают, что в начале 2030-х годов совершенствование оборудования может совпасть с дальнейшим сокращением требований к вычислительным ресурсам. Это потенциально позволит создать первые машины, способные угрожать современным криптографическим стандартам.
Однако точные сроки появления таких компьютеров неизвестны. Новая работа не означает, что банковское шифрование уже можно взломать за три дня. Она показывает другое: теоретические требования к оборудованию становятся всё ниже, а значит, момент, когда квантовые компьютеры смогут представлять реальную угрозу цифровой безопасности, может наступить раньше, чем ожидалось.
