Анализ: квантовые вычисления не представляют угрозы для симметричного шифрования с 128-битным ключом, и существует недопонимание относительно "постквантовой криптографии".

BlockBeats News, 21 апреля — Криптограф-инженер Filippo Valsorda заявил, что даже в самом оптимистичном сценарии реальные квантовые компьютеры не смогут взломать симметричное шифрование с ключом в 128 бит в обозримом будущем. Текущая "паника" вокруг "постквантовой криптографии" основана на недопонимании. В своей статье «Квантовые компьютеры не представляют угрозы для 128-битных симметричных ключей» он отметил, что квантовые компьютеры не представляют практической угрозы для 128-битных симметричных ключей (например, AES-128), и индустрии нет необходимости увеличивать длину ключей.

Filippo Valsorda подчеркнул, что многие опасаются, что квантовые компьютеры с использованием алгоритма Гровера «снизят вдвое» эффективную криптостойкость симметричных ключей, и 128-битный ключ будет обеспечивать лишь 64 бита безопасности. Это заблуждение, вызванное пренебрежением важным ограничением алгоритма Гровера в реальных атаках. Главная проблема алгоритма Гровера в том, что его невозможно эффективно параллелить: шаги должны выполняться последовательно, а при попытке распараллеливания итоговые вычислительные затраты резко возрастают. Даже при идеализированном квантовом компьютере общий объём вычислений для взлома ключа AES-128 составляет порядка 2^104.5 операций, что во много раз превышает стоимость взлома современных асимметричных алгоритмов и делает атаку совершенно непрактичной. Стандартизирующие организации, такие как NIST (США), BSI (Германия), и эксперты по квантовой криптографии однозначно заявили, что такие алгоритмы, как AES-128, достаточны для защиты от известных квантовых атак и используются как эталон для постквантовой безопасности. NIST прямо указывает в своих официальных FAQ, что «удваивать длину ключа AES не рекомендуется для защиты от квантовых угроз».

В заключение Filippo Valsorda предложил считать единственной действительно неотложной задачей в процессе перехода к постквантовым решениям замену уязвимых асимметричных методов шифрования (например, RSA, ECDSA). Использовать ограниченные ресурсы на повышение длины симметричных ключей (например, с 128 до 256 бит) нецелесообразно — это только рассредоточит усилия, усложнит систему и увеличит затраты на координацию. Основное внимание должно быть уделено только тем областям, которые действительно требуют замены.