量子芯片，距离破解公钥密码学还有多远？

1. 引言

2024年12月12日新闻 Google says its breakthrough quantum chip can’t break modern cryptography 中，Google量子总监指出：

• 量子计算机终将彻底取代当今的加密系统。
• 美国白宫在 2022 年警告称：密码分析相关量子计算机（cryptanalytically relevant quantum computer，CRQC）能“危及民用和军事通信，破坏关键基础设施的监督和控制系统，并破坏大多数基于互联网的金融交易的安全协议”，并下令美国各机构必须在 2035 年前过渡到新系统，以降低这种风险。
• 目前Google的Willow芯片还不能破解现代密码学。
  • Willow 具有相当于 105 个物理量子比特的计算能力

IBM也曾于 2022年11月18日，发布了一款具有 433 个量子比特的处理器QPU。

目前最大的问题在于：

• 破解公钥加密到底需要多少个量子比特？
• 什么时候才有可能建造一台支持这些量子比特的量子计算机？

Craig Gidney 和 Martin Eker˚a 2021年论文《How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits》中指出：

• 对于 RSA-2048 需要 2000 万个量子比特，
• RSA-4096 需要 5500 万个量子比特，
• RSA-8192 需要大约 1.4 亿个量子比特。
  

目前，许多公司正在考虑增加 RSA 密钥大小，以便至少可以多阻止几年量子破解。

2. 迁移

NIST 已确定迁移时间为 2030 年，此后 ECC 和 RSA 将被弃用并最终于 2035 年移除。

• 当前的迁移方向是 ML-KEM (FIPS 203)，以替代密钥交换 (ECDH) 和公钥加密 (RSA 和 ECIES)。
• 目前正在评估经典 McEliece、HQC 和 BIKE 作为 ML-KEM 的替代方案。
• 对于数字签名，迁移方向是 ML-DSA (FIPS 204) 或 SLH-DSA (FIPS 205)，FN-DSA (FIPS 206) 正在开发中。

NIST 目前正在评估一系列其他 PQC 签名。

3. 结论

到 2035 年，ECC 和 RSA 很有可能会被量子计算机破解，尤其是随着量子处理器能力的提升。因此，行业需要为此做好规划。

参考资料

[1] Prof Bill Buchanan OBE FRSE 2024年12月15日博客 Does Willow Cause a Major Risk to Public Key Methods?