BlockBeats News, 21 апреля: криптографический инженер Филиппо Вальсорда опубликовал статью, в которой утверждает, что даже при самых оптимистичных темпах развития реальные квантовые компьютеры не смогут взломать 128-битное симметричное шифрование в обозримом будущем, и текущее «постквантовое криптография» подвергается неправильному толкованию. В статье «Квантовые компьютеры не представляют угрозы для 128-битных симметричных ключей» он заявляет, что квантовые компьютеры не представляют реальной угрозы для 128-битных симметричных ключей (например, AES-128), и отрасли не нужно повышать длину ключей в связи с этим.
Филиппо Вальсорда отмечает, что многие опасаются, что квантовые компьютеры с помощью алгоритма Гровера «сократят» эффективную безопасную силу симметричных ключей вдвое, что приведет к тому, что 128-битный ключ обеспечит только 64-битную безопасность — это ошибочное представление, возникшее из-за игнорирования ключевых ограничений алгоритма Гровера при практических атаках. Основная проблема алгоритма Гровера заключается в его неспособности эффективно параллелизоваться: его шаги должны выполняться последовательно, а принудительная параллелизация резко увеличивает общую вычислительную стоимость. Даже при использовании идеализированного квантового компьютера общее количество вычислений, необходимых для взлома ключа AES-128, является астрономическим — примерно 2¹⁰⁴·⁵ операций, что на миллиарды раз превышает стоимость взлома современных асимметричных криптосистем и совершенно нереалистично. В настоящее время стандартные организации, такие как NIST США и BSI Германии, а также эксперты в области квантовой криптографии однозначно заявляют, что такие алгоритмы, как AES-128, достаточно устойчивы к известным квантовым атакам и используются в качестве эталона постквантовой безопасности. NIST в официальных ответах на вопросы прямо рекомендует: «Не следует удваивать длину ключа AES для защиты от квантовой угрозы».
Филиппо Вальсорда в конечном итоге рекомендует, что единственная срочная задача при переходе к постквантовой криптографии — заменить уязвимые асимметричные шифры, такие как RSA и ECDSA. Использование ограниченных ресурсов для обновления симметричных ключей (например, с 128 до 256 бит) является излишним, отвлекает внимание и увеличивает сложность системы и координационные расходы; следует сосредоточить все усилия на тех компонентах, которые действительно требуют замены.