Заметил интересную дискуссию в криптосообществе - оказывается, квантовые компьютеры представляют совсем разные уровни опасности для разных типов шифрования. И это важнее, чем кажется на первый взгляд.

Вот в чем суть: асимметричное шифрование вроде ECDSA и RSA находится под реальной угрозой. Квантовые вычисления могут принципиально подорвать эти алгоритмы, потому что они основаны на математических задачах, которые квантовые компьютеры решают намного быстрее. Это серьезная проблема, и индустрия это понимает.

А вот с симметричным шифрованием ситуация иная. Возьмите AES - здесь квантовые угрозы намного менее критичны. Да, есть алгоритм Гровера, который теоретически может ускорить атаки перебором, но на практике это не работает так страшно, как звучит. Проблема в том, что Гровер сложно распараллелить, поэтому реальные атаки на 128-битные ключи становятся невероятно дорогими и просто неэффективными.

Криптограф Филиппо Вальсорде неплохо это разобрал - AES-128 остается вполне безопасным даже с учетом постквантовых стандартов. NIST и другие авторитеты в области криптографии согласны, что переходить на 256-битные ключи не обязательно. Текущего уровня защиты достаточно.

Поэтому консенсус простой: нужно срочно переходить на постквантовое шифрование для асимметричных алгоритмов, но паниковать по поводу AES не стоит. Это классический случай, когда разные части криптографии требуют разного подхода к защите.