BlockBeats, 21 квітня: інженер-криптограф Філіппо Вальсорда написав статтю, в якій стверджує, що навіть за найбільш оптимістичними сценаріями розвитку реальні квантові комп’ютери не зможуть розшифрувати 128-бітне симетричне шифрування у передбачуваному майбутньому, а поточні «постквантові криптографічні» заходи є результатом хибного панічного налаштування. У статті «Квантові комп’ютери не становлять загрози для 128-бітних симетричних ключів» він зазначає, що квантові комп’ютери не становлять реальної загрози для 128-бітних симетричних ключів (наприклад, AES-128), і галузі не потрібно підвищувати довжину ключів.
Філіппо Вальсорда зазначає, що багато хто стурбований тим, що квантові комп’ютери за допомогою алгоритму Ґровера зможуть «зменшити наполовину» ефективну безпечну міцність симетричних ключів, що призведе до того, що ключ з 128 бітами забезпечить лише 64-бітну безпеку — це помилкове уявлення, що виникло через ігнорування ключових обмежень алгоритму Ґровера при практичних атаках. Основна проблема алгоритму Ґровера полягає в тому, що його неможливо ефективно паралелізувати. Його кроки повинні виконуватися послідовно, а насильне паралелізування різко збільшує загальні обчислювальні витрати. Навіть за ідеалізованої квантової обчислювальної системи загальний обсяг обчислень, необхідний для розшифрування ключа AES-128, є астрономічним — близько 2¹⁰⁴·⁵ операцій, що на мільярди разів перевищує витрати на розшифрування сучасних асиметричних криптосистем і повністю нереалістичний. Наразі стандартні органи, такі як NIST США та BSI Німеччини, а також експерти з квантової криптографії однозначно підтверджують, що такі алгоритми, як AES-128, достатньо стійкі проти відомих квантових атак і використовуються як еталон постквантової безпеки. NIST у своїх офіційних відповідях прямо рекомендує: «Не слід подвоювати довжину ключа AES для захисту від квантових загроз».
Філіппо Вальсорда зазначає, що єдиною терміновою задачею на поточному етапі переходу до післяквантової криптографії є заміна вразливих асиметричних криптосистем, таких як RSA та ECDSA. Витрачати обмежені ресурси на оновлення симетричних ключів (наприклад, з 128 до 256 біт) необхідно — це відволікає увагу, збільшує складність системи та витрати на координацію. Всі зусилля слід зосередити саме на тих компонентах, які справді потребують заміни.