22.593 Qubits würden reichen, um RSA-Verschlüsselung binnen weniger Tage zu brechen, sofern künftige Geräte anspruchsvolle Hardware-Annahmen erfüllen. Einen solchen funktionsfähigen Quantencomputer gibt es noch nicht. Wie anspruchsvoll diese Ressourcenabschätzung ist, zeigt eine bislang unerfüllte Anforderung an die Stabilität der Bauteile.
Ein Team von Alice & Bob und Inria Rennes berechnet für das Brechen von RSA-2048 einen Bedarf von 22.593 physischen Qubits. Die erwartete Gesamtlaufzeit beträgt unter den Modellannahmen 3,14 Tage und schließt nötige Wiederholungen bis zum Erfolg ein. Ein Bankschlüssel wurde dabei nicht geknackt. Axel Pappalardo, Dahmun Goudarzi und Kollegen legen einen theoretischen, noch nicht fachbegutachteten Preprint über eine bislang nicht existierende Maschine vor.
Mit Bankcodes ist hier ein Verfahren gemeint, das digitale Kommunikation und Signaturen absichert. Beim üblichen RSA-Verfahren veröffentlicht der Betreiber einen Schlüssel, in dem das Produkt zweier großer Primzahlen steckt, während die zugehörigen geheimen Daten geschützt bleiben. Könnte ein Angreifer diese Zahl wieder in ihre Faktoren zerlegen, ließe sich daraus der private Schlüssel berechnen. Ein solcher mathematischer Angriff hätte Folgen für die jeweils damit abgesicherten Daten; die Rechnung gilt für ein einzelnes Ziel und liefert keinen universellen Zugang zu sämtlichen Bankkonten.
Der Shor-Algorithmus liefert den mathematischen Weg, große Zahlen mit einem geeigneten Quantencomputer zu zerlegen. Für ihre Abschätzung übersetzen die Autoren seine Rechenschritte in Schaltungen und ordnen ihnen anschließend Bauteile, Verbindungen und Zeitabläufe zu. Nach der Darstellung von Alice & Bob berücksichtigen sie auch Hilfsressourcen, die den eigentlichen Datenbereich versorgen. So entsteht ein Bau- und Ablaufplan, dessen Platzbedarf sich aus den benötigten Operationen ergibt. Die Arbeit stammt überwiegend vom Entwickler der untersuchten Hardware selbst.
Auf den Chips arbeiten supraleitende Schaltkreise, in denen sich elektromagnetische Zustände gezielt stabilisieren lassen. Cat-Qubits nutzen dafür Überlagerungen zweier Schwingungszustände mit entgegengesetzter Phase; ihr Name verweist auf Schrödingers berühmte Katze. In einem bereits begutachteten Experiment gelang Ulysse Réglade und Adrien Bocquet mit ihren Kollegen ein Schutz gegen das unbeabsichtigte Vertauschen der gespeicherten Zustände. Solche Bit-Flips entsprechen vereinfacht einem Wechsel zwischen Null und Eins. Besonders wichtig war, dass sich der Quantenzustand steuern ließ, ohne diesen eingebauten Schutz aufzugeben.
Zum Stabilisieren lassen die Experimentalphysiker gezielt Photonenpaare aus dem Speicher verschwinden: Ein gekoppelter Puffer nimmt ihre Energie auf und gibt sie weiter. Phasenfehler bleiben dabei bestehen und verändern die für Quantenrechnungen entscheidenden Beziehungen zwischen den überlagerten Zuständen. Ihre charakteristische Zeitskala lag im Experiment bei 490 Nanosekunden. Deshalb werden mehrere physische Einheiten zu besser geschützten logischen Einheiten verbunden, deren Fehlerkorrektur auch während einer laufenden Rechnung zuverlässig arbeiten muss.
Zusätzliche Prüfinformation braucht Platz auf dem Chip, und genau dort setzen die sogenannten LDPC-Codes an. Statt jede logische Einheit mit einer vollständig getrennten Gruppe von Hilfsqubits abzusichern, bündeln solche Codes mehrere Einheiten in gemeinsamen Blöcken. Messungen von Beziehungen zwischen Qubits helfen dabei, Fehler zu erkennen, ohne den gespeicherten Recheninhalt direkt auszulesen. Die begutachtete Architekturarbeit zu LDPC-Cat-Codes untersucht diesen sparsameren Umgang mit Redundanz. Entscheidend für einen späteren Prozessor bleibt, ob sich die nötigen Verbindungen und Operationen auf realen Chips ebenso günstig verwirklichen lassen.
Diese Größenordnung beschreibt den Schutz eines physischen Qubits gegen Bit-Flips; die Idealrechnung vernachlässigt diesen Fehlertyp vollständig. Hinzu kommen Fehlerkorrekturzyklen von einer Mikrosekunde, eine klassische Reaktionszeit von zehn Mikrosekunden und eine schaltungsbezogene Phasenfehlerwahrscheinlichkeit von 0,05 Prozent. Mit einer zusätzlichen Korrekturschicht steigt der geschätzte Bedarf auf rund 45.000 Qubits bei etwa einer Stunde Bit-Flip-Zeit. Dafür liegt bislang nur eine grobe Hochrechnung vor, ohne vollständig ausgearbeiteten logischen Gattersatz.
Wie weit die Messwerte reichen, zeigt ein separater Laborbericht des Physikers Sébastien Jezouin: Für ein einzelnes Bauteil nennt er eine charakteristische Bit-Flip-Zeit von 44 Minuten. Das statistische Unsicherheitsintervall reicht von 33 bis 60 Minuten. Die vorläufigen Ergebnisse des Unternehmens stammen aus Messungen im Ruhezustand; während gekoppelter Rechenoperationen muss sich dieser Schutz erst entsprechend bewähren. Superpositionen zerfielen in dem Versuch auf einer wesentlich kürzeren Zeitskala, weshalb der Messwert allein keine lange fehlerfreie Quantenrechnung verspricht.
Bei der tatsächlich aufgebauten Hardware berichtet Alice & Bob im französischen Programm PROQCIMA über drei Versuchsgeräte, darunter zwei kleinere Chips mit jeweils sechs Einheiten. Die Entwickler erprobten gekoppelte Gatter, das Auslesen und Zurücksetzen von Hilfsqubits sowie mehrere Runden eines einfachen Korrekturcodes. Ihr Bericht über die Demonstratoren nennt zugleich eine zentrale offene Hürde: Die logische Fehlerrate liegt noch nicht unterhalb der Fehlerkorrekturschwelle. Aus den gemessenen Eigenschaften entstand ein digitales Modell, mit dem das Team notwendige Verbesserungen untersucht. Dazu gehört, die Kohärenz über den gesamten Chip hinweg zu verlängern und gleichmäßiger zu machen.
Auch die klassische Elektronik neben dem Quantenchip muss rechtzeitig reagieren, damit aus Messwerten brauchbare Korrekturentscheidungen werden. In jeder Runde müssen die Zustände der zuständigen Hilfsqubits präzise ausgelesen und anschließend ausgewertet werden. Verzögerungen in dieser Kette würden den Zeitplan einer langen Quantenrechnung verschieben, auch wenn die Bauteile selbst schnell genug schalten.
Alice & Bob hat dafür das Decodieren von LDPC-Cat-Codes auf Grafikprozessoren mit der Verbindungstechnik NVQLink erprobt. Für die in einem Entwicklungsbericht beschriebene Erprobung liefen synthetische Messdaten zwischen Steuerungselektronik und Auswertung. Eine Echtzeit-Decodierung erreichte der Versuch noch nicht. Als nächsten Schritt will das Unternehmen den gesamten Datenweg beschleunigen, damit die Auswertung mit dem Quantenprozessor Schritt halten kann.
Für das diskrete Logarithmusproblem auf der auch bei Bitcoin verwendeten Kurve secp256k1 nennt der Preprint knapp 30.000 Cat-Qubits und ungefähr eine Stunde. Diese ECDLP-Schätzung ist gröber als die RSA-Rechnung und übernimmt zunächst deren Rechenbausteine. Für diese Kurve wollen die Entwickler die Routinen noch gezielt überarbeiten, um die angestrebte kürzere Laufzeit zu erreichen.
Bei Bitcoin autorisiert der Besitzer eine Zahlung mit einer digitalen Signatur, die andere Teilnehmer anhand eines öffentlichen Schlüssels prüfen können. Würde ein Angreifer den zugehörigen privaten Schlüssel berechnen, könnte er für diesen Schlüssel selbst Signaturen erzeugen. Welche Zeit ihm dafür bliebe, hängt unter anderem davon ab, wann der öffentliche Schlüssel bekannt wird. Die Bitcoin-Entwicklerdokumentation beschreibt beispielsweise Ausgabetypen, die ihn bis zum Ausgeben zunächst hinter einem Hash verbergen. Bei bereits offengelegten Schlüsseln entsteht eine andere Ausgangslage. Eine einzelne Modelllaufzeit beschreibt daher weder pauschal die Sicherheit sämtlicher Guthaben noch einen erfolgreichen Angriff auf das Netzwerk.
Für Betreiber vertraulicher Kommunikationssysteme entsteht der Handlungsbedarf schon vor einem praktisch einsetzbaren Quantenangriff: Abgefangene verschlüsselte Daten können aufbewahrt und später erneut untersucht werden. Besonders relevant ist das für Informationen, die über lange Zeit geheim bleiben müssen. Das US-Institut NIST beschreibt dieses Szenario als wichtigen Grund für den Übergang zur Post-Quanten-Kryptografie. Dabei wechseln Systeme zu mathematischen Verfahren, die gegen die bekannten Angriffe leistungsfähiger Quantencomputer ausgelegt sind. In einer Übergangsphase lassen sich klassische und neue Verfahren auch kombinieren, wobei der zusätzliche Schutz mehr Rechenaufwand erfordert.
Bei besonders wichtigen US-Bundessystemen und solchen mit hohen Schadensfolgen im Störungsfall sieht der NIST-Fahrplan konkrete Fristen vor: Der Schlüsselaustausch soll bis 2030 umgestellt werden, digitale Signaturen bis 2031. Die technische Arbeit reicht dabei über einzelne Programme hinaus, weil auch Zulieferer und miteinander kommunizierende Geräte passende Verfahren unterstützen müssen. Welche Komponenten zuerst wechseln, hängt unter anderem davon ab, wie lange die verarbeiteten Informationen vertraulich bleiben sollen.
Alice & Bob, Inria Rennes und weitere Beteiligte, Shor's algorithm compiled on cat qubits: 22 593 qubits for RSA-2048 in 3.14 days; doi:10.48550/arXiv.2610.37839
Nature, Quantum control of a cat-qubit with bit-flip times exceeding ten seconds; doi:10.1038/s41586-024-07294-3
National Institute of Standards and Technology, Transition to Post-Quantum Cryptography Standards; doi:10.6028/NIST.IR.8547
Mit KI-Unterstützung erstellt
Wählen Sie Forschung und Wissen bei Google als bevorzugte Quelle oder folgen Sie uns per RSS-Feed.
