Από 20 εκατομμύρια σε 23.000 qubits: πόσο κοντά έρχεται ο κβαντικός υπολογιστής που σπάει το RSA

Μέσα σε δέκα ημέρες, δύο ανακοινώσεις άλλαξαν τη συζήτηση για το πότε ένας κβαντικός υπολογιστής θα μπορεί να σπάσει την κρυπτογράφηση που προστατεύει τράπεζες, email και ψηφιακές υπογραφές. Στις 28 Οκτωβρίου, ερευνητές της γαλλικής Alice & Bob δημοσίευσαν προδημοσίευση σύμφωνα με την οποία ο αλγόριθμος του Shor θα μπορούσε να παραγοντοποιήσει έναν αριθμό RSA-2048 σε 3,14 ημέρες με περίπου 23.000 qubits. Στις 19 Οκτωβρίου, η Quantinuum ανακοίνωσε ρεκόρ στη διόρθωση κβαντικών σφαλμάτων.

Κανένα από τα δύο δεν σημαίνει ότι το RSA έσπασε. Δείχνουν όμως ότι η απόσταση ανάμεσα στο θεωρητικό σενάριο και σε ένα μηχάνημα που μπορεί να κατασκευαστεί μικραίνει από δύο πλευρές ταυτόχρονα: οι αλγόριθμοι γίνονται φθηνότεροι και το υλικό πιο αξιόπιστο. Γι' αυτό και η Ευρώπη έχει ήδη βάλει ημερομηνίες για τη μετάβαση σε νέα κρυπτογραφία.

Με μια ματιά

• Νέα εκτίμηση της Alice & Bob ρίχνει στα περίπου 23.000 qubits το κόστος για το σπάσιμο του RSA-2048, με αισιόδοξες όμως παραδοχές για το υλικό.
• Η Quantinuum αναφέρει πιστότητα λογικών πράξεων 99,9995%, δηλαδή περίπου πέντε σφάλματα ανά εκατομμύριο πράξεις.
• Ο οδικός χάρτης της ΕΕ ζητά ασφαλή αναβάθμιση για τις κρίσιμες χρήσεις έως το τέλος του 2030.

Η κατρακύλα των εκτιμήσεων

Το RSA στηρίζεται σε ένα απλό γεγονός: είναι εύκολο να πολλαπλασιάσεις δύο τεράστιους πρώτους αριθμούς, αλλά σχεδόν αδύνατο για έναν κλασικό υπολογιστή να βρει ξανά τους παράγοντες από το γινόμενο. Ο αλγόριθμος του Shor, από το 1994, δείχνει ότι ένας αρκετά μεγάλος κβαντικός υπολογιστής θα το έκανε. Το ερώτημα ήταν πάντα πόσο μεγάλος.

Η απάντηση αλλάζει γρήγορα. Το 2019 οι Craig Gidney και Martin Ekerå εκτιμούσαν ότι χρειάζονταν 20 εκατομμύρια «θορυβώδη» φυσικά qubits και οκτώ ώρες. Τον Μάιο του 2025 ο Gidney, ερευνητής της Google Quantum AI, κατέβασε τον πήχη σε λιγότερα από ένα εκατομμύριο qubits και λιγότερο από μία εβδομάδα, με παραδοχή ποσοστού σφάλματος 0,1% ανά πύλη.

Η νέα εργασία της Alice & Bob, αναρτημένη στο αρχείο προδημοσιεύσεων της IACR, πάει ένα βήμα πιο κάτω: περίπου 23.000 qubits (ο τίτλος αναφέρει ακριβώς 22.593) και 3,14 ημέρες. Αν δοθούν περισσότερα qubits, ο χρόνος πέφτει: περίπου 611.000 qubits θα αρκούσαν για 1,25 ώρες. Για το ελλειπτικό σύστημα secp256k1, που χρησιμοποιεί το Bitcoin, οι συγγραφείς εκτιμούν έως 30.000 qubits και μία ώρα.

Τα «ψιλά γράμματα» των γατών του Schrödinger

Η σύγκριση δεν είναι ένα προς ένα. Η Alice & Bob χρησιμοποιεί τα λεγόμενα cat qubits, μια αρχιτεκτονική που καταστέλλει εγγενώς έναν από τους δύο βασικούς τύπους σφάλματος, την αναστροφή bit, ώστε η διόρθωση να χρειάζεται να αντιμετωπίσει κυρίως τον άλλον, την αναστροφή φάσης. Γι' αυτό απαιτούνται πολύ λιγότερα φυσικά στοιχεία ανά αξιόπιστο, «λογικό» qubit.

Οι παραδοχές, όμως, είναι απαιτητικές. Η εργασία υποθέτει κύκλο διόρθωσης σφαλμάτων 1 μικροδευτερολέπτου, χρόνο αντίδρασης 10 μικροδευτερολέπτων, πιθανότητα σφάλματος φάσης 5 × 10⁻⁴ και καθόλου αναστροφές bit, κάτι που, κατά τους ίδιους, αντιστοιχεί σε χρόνο περίπου 100 ετών μέχρι να συμβεί μία. Αν η απαίτηση χαλαρώσει σε περίπου μία ώρα, το RSA-2048 χρειάζεται περίπου 45.000 cat qubits. Πρόκειται επίσης για προδημοσίευση, που δεν έχει ακόμη περάσει από κρίση ομοτίμων.

Με άλλα λόγια, ο αριθμός 23.000 είναι εκτίμηση για ένα μηχάνημα που δεν υπάρχει. Αυτό που μετρά είναι η τάση: σε επτά χρόνια, το εκτιμώμενο κόστος μιας επίθεσης έχει πέσει κατά τάξεις μεγέθους, κυρίως χάρη σε καλύτερους αλγορίθμους και κώδικες, όχι σε θαυματουργό υλικό.

Από την άλλη πλευρά, το υλικό

Η πρόοδος στο υλικό έρχεται από τη διόρθωση σφαλμάτων. Στις 19 Οκτωβρίου η Quantinuum ανακοίνωσε πιστότητα λογικών πράξεων 99,9995% στον εμπορικό υπολογιστή παγιδευμένων ιόντων Helios, χρησιμοποιώντας τον λεγόμενο color code με έως 37 φυσικά qubits ανά λογικό. Σύμφωνα με την εταιρεία, το ποσοστό σφάλματος είναι δέκα φορές χαμηλότερο από το δικό της ρεκόρ του Σεπτεμβρίου και εκατό φορές χαμηλότερο από το καλύτερο δημοσιευμένο αποτέλεσμα σε άλλες τεχνολογίες. Κάθε αύξηση της απόστασης του κώδικα μείωνε τα εναπομείναντα σφάλματα κατά παράγοντα 12.

Η ανακοίνωση δεν αναφέρει πόσα λογικά qubits λειτούργησαν συνολικά, και οι συγκρίσεις προέρχονται από την ίδια την εταιρεία. Ο Robin Blume-Kohout των Sandia National Laboratories, που σχολιάζει στην ανακοίνωση, σημειώνει ότι μια μεγαλύτερη εκδοχή θα μπορούσε να φτάσει την αξιοπιστία που απαιτείται για χρήσιμους υπολογισμούς «σε εφικτό μέγεθος, κάτω από ένα εκατομμύριο φυσικά qubits». Η Quantinuum στοχεύει σε πλήρως ανεκτικό σε σφάλματα υπολογιστή, το Apollo, έως το 2029. Πρόκειται για εταιρικό στόχο, όχι για βεβαιότητα.

Μια πιο νηφάλια εικόνα δίνει το Κοινό Κέντρο Ερευνών της Κομισιόν. Σε έκθεση που ανακοινώθηκε στις 30 Οκτωβρίου, ανέλυσε 195 «σήματα» κβαντικής τεχνολογίας από την επιστημονική βιβλιογραφία: σχεδόν τα μισά βρίσκονται σε στάδιο απόδειξης ιδέας, σχεδόν ένα τρίτο σε επίδειξη συστήματος και μόνο το 12,9% είναι ήδη λειτουργικό, όπως οι κβαντικές γεννήτριες τυχαίων αριθμών.

Γιατί η απειλή αφορά ήδη το σήμερα

Αν ο κβαντικός υπολογιστής που σπάει το RSA απέχει ακόμη χρόνια, γιατί η βιασύνη; Επειδή ένας αντίπαλος μπορεί να υποκλέπτει και να αποθηκεύει κρυπτογραφημένα δεδομένα σήμερα και να τα αποκρυπτογραφήσει όταν αποκτήσει το μηχάνημα. Για ιατρικά αρχεία, διπλωματικές επικοινωνίες ή βιομηχανικά μυστικά που πρέπει να μείνουν ιδιωτικά για δεκαετίες, ο κίνδυνος υπάρχει ήδη.

Η λύση υπάρχει επίσης. Τον Αύγουστο του 2024 το NIST των ΗΠΑ ενέκρινε τρία πρότυπα μετακβαντικής κρυπτογραφίας (FIPS 203, 204 και 205), βασισμένα σε μαθηματικά προβλήματα που δεν λύνονται αποδοτικά ούτε από κβαντικούς υπολογιστές. Το δύσκολο είναι η μετάβαση: κάθε τράπεζα, δημόσια υπηρεσία και κατασκευαστής πρέπει πρώτα να βρει πού ακριβώς χρησιμοποιεί ευάλωτη κρυπτογραφία.

Ο συντονισμένος οδικός χάρτης της ΕΕ, που εκπόνησε η Ομάδα Συνεργασίας NIS, βάζει τρία ορόσημα: έως τις 31 Δεκεμβρίου 2026 τα κράτη-μέλη πρέπει να έχουν θέσει τις βάσεις, με απογραφές κρυπτογραφικών στοιχείων και χάρτες εξαρτήσεων· έως το τέλος του 2030 να υπάρχει ασφαλής διαδρομή αναβάθμισης για όλες τις χρήσεις υψηλού κινδύνου· και έως το 2035 να ολοκληρωθεί η μετάβαση για τις χρήσεις μεσαίου κινδύνου και για όσο το δυνατόν περισσότερα συστήματα.

Η πρώτη προθεσμία λήγει σε δύο μήνες. Οι νέες εκτιμήσεις δεν αποδεικνύουν ότι το 2030 είναι αργά. Δείχνουν όμως γιατί οι οργανισμοί που ακόμη δεν ξέρουν πού χρησιμοποιούν RSA έχουν λιγότερο περιθώριο απ' όσο νόμιζαν.