Квантовые вычисления существуют в своего рода суперпозиции по отношению к криптографии – это одновременно и надвигающаяся угроза, и технология, не имеющая немедленного значения для дешифрования.
Теперь двое известных криптографов готовятся заключить пари о том, как это состояние неопределенности разрешится в измеримый результат.
В течение последних десяти лет Национальный институт стандартов и технологий США (NIST) активно продвигает разработку постквантовой криптографии (PQC), исходя из убеждения, что в один из дней квантовые компьютеры смогут расшифровывать данные, зашифрованные с помощью устаревших алгоритмов.
Существуют и скептики. В прошлом году Питер Гутманн, профессор информатики в Оклендском университете, Новая Зеландия, отверг PQC в интервью изданию The Register. Он отметил, что квантовые компьютеры до сих пор не смогли факторизовать число 35 (6 бит) из-за неспособности исправлять ошибки. Приватные ключи эллиптической криптографии по умолчанию имеют длину 256 бит, так что квантовым компьютерам еще предстоит долгий путь.
Но неделю назад Google сообщила, что пересмотрела свои оценки требуемых квантовых вычислительных ресурсов для решения задачи дискретного логарифма (ECDLP-256), на которой основана эллиптическая криптография. По утверждению исследователей Google, запуск алгоритма Шора – квантового метода, используемого для решения задач факторизации и дискретного логарифмирования, – потребует примерно в 20 раз меньше физических кубитов, чем предполагалось ранее, утверждают они.
Это не проясняет, когда квантовый компьютер может стать криптографически значимым. NIST хочет, чтобы алгоритмы, уязвимые для квантовых атак, были выведены из употребления к 2035 году. Никто не уверен, является ли это разумной оценкой, хотя поставщики решений по безопасности настаивают, что квантовая угроза близка.
Однако заявленный прорыв Google и периодические сообщения о квантовом прогрессе, подобные тем, что опубликованы в четверг ETH Zurich, предполагают, что возникающие опасения следует решать скорее, а не откладывать – если только вы не отвергли недавние квантовые исследования как несостоятельные.
Филиппо Вальсорда, инженер-криптограф и мейнтейнер проектов с открытым исходным кодом, ранее работавший в Google, на этой неделе сослался на предупреждение Google и смежные исследования в своем блоге, утверждая, что переход к PQC должен ускориться.
Называя контрпозицию Гутманна поверхностной, Вальсорда указал на заявления Скотта Ааронсона, заведующего кафедрой информатики Техасского университета в Остине и одного из ведущих экспертов по квантовым вычислениям, которые подчеркивают срочность серьезного отношения к PQC.
“В итоге, возможно, через 10 лет прогнозы окажутся неверными, но на данный момент они могут оказаться верными в ближайшее время, и этот риск теперь неприемлем”, – написал Вальсорда.
Мэтью Грин, доцент кафедры информатики Университета Джонса Хопкинса, отметил пост Вальсорды и в ответ на ветку в Blueskyзаявил: “Я считаю это хорошим превентивным анализом, но я бы поставил огромные деньги против появления релевантного квантового компьютера к 2029 или даже 2035 году”.
Вальсорда и Грин вежливо обсудили этот вопрос, при этом Грин отметил, что односторонний подход состоял бы просто в покупке биткоина и публикации публичного ключа – подразумевая, что криптографически значимый квантовый компьютер (CRQC) сможет расшифровать алгоритм цифровой подписи эллиптической кривой (ECDSA), защищающий этот приватный ключ, что позволит украсть средства.
Однако, по-видимому, эта пара сошлась на двустороннем соглашении, изложенном в предложении о пари, составленном Грином.
Ставка составляет 5000 долларов. Вальсорда заплатит, если общий секрет из ML-KEM-768 – недавно утвержденного квантово-устойчивого алгоритма – будет извлечен из публичного ключа и шифротекста в результате классической или квантовой атаки. А Грин должен будет заплатить, если общий секрет из X25519 – широко используемого алгоритма эллиптической кривой – будет извлечен из пары публичных точек на кривой, будь то посредством классических или квантовых методов.
Теоретически, CRQC должен легче взломать X25519, чем ML-KEM-768, который разработан для обеспечения более надежной защиты от квантового криптоанализа. Таким образом, Грин, по сути, ставит на то, что достижения в криптоанализе раскроют уязвимости в ML-KEM (Module-Lattice-Based Key-Encapsulation) до того, как вступят в игру квантовые системы.
По состоянию на утро среды по тихоокеанскому времени ставка еще не была официальной. Вальсорда сообщил The Register по электронной почте, что непредвиденные обстоятельства помешали этому, но он ожидает, что пари будет оформлено в ближайшее время.
“Жизнь вмешалась, думаю, мы подпишем его сегодня или завтра”, – сказал он.
Время идет. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Thomas Claburn
