A kvantumszámítógépek és a mai titkosítás kapcsolatáról szóló hírek gyakran két szélsőség között mozognak: vagy azt sugallják, hogy holnap összeomlik az internet biztonsága, vagy azt, hogy a téma még évtizedekig nem releváns. A valóság ennél árnyaltabb. Ez a cikk technikai idővonal mentén mutatja be, mi a valódi fenyegetés, hol tartunk ma, és mit érdemes egy vállalkozásnak már most átgondolnia.
Miért jelentenek elvi fenyegetést a kvantumszámítógépek a mai titkosításra?
A ma használt nyilvános kulcsú titkosítási eljárások (mint az RSA vagy az elliptikus görbén alapuló titkosítás) biztonsága olyan matematikai problémákon alapul, amiket klasszikus számítógéppel gyakorlatilag lehetetlen ésszerű időn belül megoldani, például nagyon nagy számok prímtényezőkre bontásán. Shor algoritmusa, amit kifejezetten kvantumszámítógépre terveztek, elméletileg hatékonyan meg tudja oldani ezeket a problémákat, ami azt jelentené, hogy egy elég nagy és megbízható kvantumszámítógép feltörhetné a ma használt nyilvános kulcsú titkosítás nagy részét. Fontos ugyanakkor a megkülönböztetés: a szimmetrikus titkosítás (mint az AES) ellenállóbb, mert az ismert kvantumalgoritmusok (Grover algoritmusa) itt csak négyzetgyökös, nem exponenciális gyorsítást adnak, ezért a szimmetrikus titkosítás a kulcsméret növelésével viszonylag egyszerűen védhető marad.
Mennyire állunk közel egy ilyen kvantumszámítógéphez ma?
Itt érdemes élesen elválasztani a fizikai és a logikai kvantumbitek (qubitek) fogalmát. A ma épülő kvantumszámítógépek fizikai qubitjei rendkívül érzékenyek a zajra és a hibákra, ezért egyetlen, megbízható, hibatűrő "logikai" qubit létrehozásához sok, egymást hibajavítással támogató fizikai qubitre van szükség. Egy, a mai RSA-titkosítást ténylegesen feltörni képes kvantumszámítógéphez becslések szerint több ezer stabil logikai qubit kellene, ami sok nagyságrenddel több fizikai qubitet igényelne, mint amivel a ma elérhető rendszerek rendelkeznek. A pontos időpontra vonatkozó szakértői becslések jelentősen eltérnek egymástól, van, aki évtizeden belülire, van, aki ennél jóval későbbre teszi ezt a küszöböt, és a bizonytalanság maga is a téma része, nem elhallgatandó részlet.
Mi az a "harvest now, decrypt later" kockázat?
Ez a kockázat nem attól függ, mikor épül meg a feltöréshez elég nagy kvantumszámítógép, hanem attól, hogy egy támadó ma is eltárolhat titkosított adatforgalmat, azzal a szándékkal, hogy azt majd egy jövőbeli, elég erős kvantumszámítógéppel visszamenőlegesen visszafejtse. Ez különösen azoknál az adatoknál jelent valós kockázatot, amiknek a bizalmassága hosszú évekig fontos marad, például egészségügyi adatoknál, állami titkoknál, vagy hosszú távú szellemi tulajdont érintő dokumentumoknál. Egy rövid élettartamú, néhány napig releváns adatnál ez a kockázat lényegesen kisebb súlyú.
Mi a válasz erre: a poszt-kvantum kriptográfia
Az Egyesült Államok szabványügyi hivatala (NIST) 2024-ben adta ki az első hivatalos poszt-kvantum kriptográfiai szabványokat: az ML-KEM-et (a CRYSTALS-Kyber algoritmusra épülő kulcscsere-eljárás), valamint az ML-DSA-t és az SLH-DSA-t (digitális aláírási eljárások). Ezek olyan matematikai problémákra épülnek (rácsalapú és hash-alapú struktúrákra), amikről a jelenlegi tudás szerint sem a klasszikus, sem az ismert kvantumalgoritmusok nem tudnak hatékony megoldást adni. A szabványosítás fontos lépés, mert lehetővé teszi, hogy a szoftverek és protokollok fokozatosan, egységes alapon térjenek át ezekre az eljárásokra.
Mit jelent ez gyakorlati szinten egy vállalkozás számára ma?
Az első lépés a kriptográfiai leltár elkészítése: átlátni, mely rendszerek, protokollok és adatok támaszkodnak ma nyilvános kulcsú titkosításra, és ezek közül melyiknél releváns a hosszú távú bizalmasság kérdése. Ezután érdemes priorizálni: a hosszú élettartamú, érzékeny adatot érintő rendszereknél korábban indokolt a poszt-kvantum átállás megtervezése, mint a rövid élettartamú, kevésbé érzékeny adatoknál. Az átmeneti időszakban jellemzően hibrid megoldások terjednek el, ahol a klasszikus és a poszt-kvantum algoritmus egyszerre védi az adatot, hogy egyik módszer gyengesége se jelentsen önmagában kockázatot. Nincs szükség pánikszerű, azonnali, mindenre kiterjedő átállásra, de a kockázatfelmérést és a migrációs terv előkészítését érdemes már most elkezdeni, különösen hosszú élettartamú, érzékeny adatoknál.
| Titkosítás típusa | Kvantumfenyegetettség | Jellemző válasz |
|---|---|---|
| Nyilvános kulcsú (RSA, elliptikus görbe) | Magas, elméletileg feltörhető Shor algoritmusával | Átállás poszt-kvantum eljárásra (ML-KEM, ML-DSA) |
| Szimmetrikus (AES) | Alacsonyabb, csak négyzetgyökös gyorsítás érinti | Nagyobb kulcsméret alkalmazása |
Gyakran ismételt kérdések
Mikor fogják a kvantumszámítógépek feltörni a mai titkosítást?
Erre nincs pontos, egyöntetűen elfogadott válasz. A szakértői becslések jelentősen eltérnek egymástól, és a mai kvantumszámítógépek fizikai qubitjei még sok nagyságrenddel elmaradnak attól a stabil, hibatűrő logikai qubit-mennyiségtől, ami a mai nyilvános kulcsú titkosítás feltöréséhez szükséges lenne.
Mi a különbség a fizikai és a logikai qubit között?
A fizikai qubit a kvantumszámítógép fizikai építőeleme, amely érzékeny a zajra és hibázik. A logikai qubit sok fizikai qubit hibajavítással kombinált csoportja, amely stabilan, megbízhatóan viselkedik. Egy nagy, gyakorlati kvantumalgoritmus futtatásához sok logikai qubit kell, ami jelenleg sok fizikai qubitet igényel.
Veszélyben van-e ma az AES titkosítás a kvantumszámítógépek miatt?
Kevésbé, mint a nyilvános kulcsú titkosítás. Az ismert kvantumalgoritmusok az AES-t csak négyzetgyökös mértékben gyorsítanák fel a feltörésben, ez a kockázat a kulcsméret növelésével kezelhető, nem igényel alapvetően más matematikai megközelítést.
Mit kell tennie egy vállalkozásnak ma a kvantumfenyegetéssel kapcsolatban?
Érdemes elkészíteni egy kriptográfiai leltárt, azonosítani a hosszú élettartamú, érzékeny adatot érintő rendszereket, és ezeknél megkezdeni a poszt-kvantum átállás tervezését, jellemzően hibrid, klasszikus és poszt-kvantum algoritmust egyszerre alkalmazó megoldással az átmeneti időszakban.
