Заметив цікаву дискусію в криптосообществі — виявляється, квантові комп’ютери представляють зовсім різні рівні небезпеки для різних типів шифрування. І це важливіше, ніж здається на перший погляд.

Ось у чому суть: асиметричне шифрування на кшталт ECDSA і RSA перебуває під реальною загрозою. Квантові обчислення можуть принципово підірвати ці алгоритми, оскільки вони базуються на математичних задачах, які квантові комп’ютери розв’язують набагато швидше. Це серйозна проблема, і індустрія це розуміє.

А ось із симетричним шифруванням ситуація інша. Візьмемо AES — тут квантові загрози набагато менш критичні. Так, існує алгоритм Гровера, який теоретично може прискорити атаки перебором, але на практиці це не працює так страшно, як звучить. Проблема у тому, що Гровер важко розпаралелити, тому реальні атаки на 128-бітні ключі стають неймовірно дорогими і просто неефективними.

Криптограф Філіппо Вальсорде добре це пояснив — AES-128 залишається цілком безпечним навіть з урахуванням постквантових стандартів. NIST і інші авторитети у галузі криптографії погоджуються, що перехід на 256-бітні ключі не обов’язковий. Поточного рівня захисту достатньо.

Тому консенсус простий: потрібно терміново переходити на постквантове шифрування для асиметричних алгоритмів, але панікувати щодо AES не варто. Це класичний випадок, коли різні частини криптографії вимагають різного підходу до захисту.