Как мы можем доверять алгоритмам, которые еще не тестировались на реальном квантовом компьютере? Инженеры не ждут землетрясения, чтобы проверить, выдержит ли мост нагрузку. Они рассчитывают нагрузку, которую он должен выдерживать, еще до того, как мост будет построен. Криптографы поступают точно так же. Они подсчитывают, сколько шагов потребует наилучшая известная атака. Алгоритм Шора — это доказательство, что это работает. Он показал, что криптография на эллиптических кривых становится уязвимой за полиномиальное время на достаточном квантовом компьютере. Это было в 1994 году, за три десятилетия до появления машины, способной его запустить. Математика опередила аппаратное обеспечение, которое все еще наверстывает упущенное. На сегодняшний день неизвестно ни одного эффективного классического или квантового нападения на решетчатые подписи, такие как ML-DSA — стандарт, окончательно утвержденный NIST в 2024 году. Основанные на нем решетчатые задачи изучаются уже десятилетиями. Это результат лет открытого анализа криптографами, которые активно пытались его взломать.