Когда готовиться к квантовой угрозе?

В гонке за технологическое лидерство в эпоху индустрии 4.0 большое внимание уделяется не только интернету вещей, большим данным и технологиям искусственного интеллекта, но и квантовым информационным технологиям — революционному направлению, возникшему на стыке фундаментальной физики и теории алгоритмов. Несмотря на то, что на текущий момент подобные технологии еще далеки от внедрения в повседневную жизнь людей, они привлекают все больший интерес.

Квантовый компьютер — это устройство, позволяющее оперировать особенностями поведения материи на микроскопическом уровне для решения вычислительных задач. Квантовый компьютер не стоит воспринимать как альтернативу привычных нам компьютеров. Это, скорее, дополнительный модуль, схожий с интегральными схемами специального назначения, ASIC (application-specific integrated circuit), позволяющими производить узконаправленные математические операции гораздо быстрее, чем на любом известном суперкомпьютере. Квантовые компьютеры уже есть, причем как за рубежом, так и в России. Текущие прототипы позволяют производить операции над десятками, в лучшем случае несколькими сотнями кубитов. При этом сами операции подвержены шумам, что ограничивает эффективную «длину» запускаемых квантовых алгоритмов. Есть теоретическое понимание, как можно бороться с подобными шумами, но это требует дополнительного увеличения числа кубитов. Заявлено достижение «квантового преимущества» на модельной задаче, в ближайшее время все ожидают демонстрацию «квантового преимущества» уже для решения практических задач. При этом наблюдается интересная конкуренция с классическими подходами для решения аналогичных задач, развитие которых подстегивается успехами квантовых компьютеров. Вместе с тем уже точно известно, что к моменту появления достаточно мощных квантовых компьютеров, предположительно с миллионами шумных физических кубитов, станут возможными новые разновидности кибератак на существующую IT-инфраструктуру. Этому можно противостоять с помощью квантовой и постквантвой криптографии, но выстраивание такой защиты — это задача именно сегодняшнего дня, из-за опасности атаки «сохрани сейчас, взломай потом». Функционал квантовых компьютеров ни в коем случае не ограничивается областью криптоанализа, предложены алгоритмы в области оптимизации, финансов, машинного обучения, квантовой химии и материаловедения. Идут активные исследования в области алгоритмов для имеющих NISQ машин, в том числе с участием представителей индустрии. В РФ работа над квантовыми вычислениями и коммуникациями ведется в рамках дорожных карт, возглавляемых госкорпорациями Росатом и РЖД.

В гонке за технологическое лидерство в эпоху индустрии 4.0 большое внимание уделяется не только интернету вещей, большим данным и технологиям искусственного интеллекта, но и квантовым информационным технологиям — революционному направлению, возникшему на стыке фундаментальной физики и теории алгоритмов. Несмотря на то, что на текущий момент подобные технологии еще далеки от внедрения в повседневную жизнь людей, они привлекают все больший интерес.

Квантовая физика и теория информации

Андрей Никитин:
Лидеры квантовой гонки: динамика мировых инвестиций

Одним из важнейших достижений физики XX в. стало открытие законов квантовой механики — науки, позволившей прикоснуться к фундаментальным принципам поведения микроскопических частиц. Законы квантовой механики, сформулированные на абстрактном математическом языке, плохо согласуются с опытом нашей повседневной жизни. Так, например, оказывается, что микроскопические объекты могут изменять свое поведение в зависимости от наличия принципиального факта наблюдения за ними. Световые волны в некотором смысле состоят из потока частиц — фотонов, а частицы, например, электроны, являются волнами. Несмотря на кажущуюся парадоксальность, квантовая механика остается одной из самых точных предсказательных наук, позволяя производить расчет свойств элементарных частиц с рекордно малой погрешностью. Кроме того, квантовая механика лежит в основе появления ряда технологий, без которых невозможно себе представить современный мир. Это и ядерная энергетика, и лазерная оптика, и вся современная микроэлектроника, включая устройство, на котором сейчас отображается этот текст. Достижениям квантовой физики посвящено множество Нобелевских премий, включая Нобелевскую премию по физике 2022 года за экспериментальное подтверждение «неклассического» поведения квантовых объектов и первые эксперименты в области квантовой информатики, и Нобелевскую премию по химии 2023 года за создание квантовых точек.

Другим важным достижением науки XX в. стало появление теории информации и теории алгоритмов — направлений в математике, формализовавших само понятие информации и позволивших решить ряд прикладных задач, связанных с передачей сообщений через зашумленные каналы связи, а также позволивших, по сути, создавать программное обеспечение для вычислительных устройств.

На стыке квантовой физики, теории информации и алгоритмов ближе к концу ХХ в. родилась новая наука — квантовая теория информации. Среди ее ключевых направлений, наряду с квантовыми коммуникациями и квантовой сенсорикой, следует отметить квантовые вычисления, посвященные исследованию систем обработки квантовой информации — квантовых компьютеров.

От битов к кубитам

Квантовый компьютер представляет собой устройство, позволяющее оперировать состояниями одиночных квантовых объектов. Аналогично тому, как привычные нам вычислительные устройства обрабатывают информацию, представленную в виде битов — последовательностей из 0 и 1 — квантовые компьютеры оперируют квантовыми битами, называемыми сокращенно кубитами. По своей сути кубит — это состояние некоторой частицы (например, атома), которая может находиться в двух контролируемых состояниях. Также кубитом называют саму частицу, используемую для хранения квантового состояния. В случае одиночного атома таким состояниям могут соответствовать две орбиты электрона. Отличие квантового бита от классического заключается в том, что первый может находиться не только в конкретно одном из двух состояний (0 или 1), но и в так называемой «суперпозиции» — состоянии, когда он в некоторой степени и 0, и 1 одновременно. Такое поведение сложно себе представить в нашей повседневной жизни, однако оно весьма типично для квантового мира микроскопических частиц.

Изначально ученых волновал вопрос, может ли вычислительная машина, оперирующая кубитами, обладать принципиальным преимуществом по сравнению с обычными компьютерами. Ответ был найден в 1990-х гг. В частности, было предложено несколько квантовых алгоритмов, обладающих превосходством над всеми известными классическими алгоритмами. Ярчайшим примером является алгоритм Шора, предложенный в 1994 г., позволяющий эффективно решать задачу разложения составных чисел на простые множители и задачу дискретного логарифмирования. Сложность этих задач очень быстро растет с длиной входных чисел. Так, двухзначное число 15 можно представить как произведение 5 и 3 в уме, а вот за разложение числа из 270 знаков (полученного как произведение двух простых чисел) можно получить приз в 75 тыс. долл. Возможность раскладывать числа из 600 и более знаков позволяет взламывать существующие криптографические алгоритмы, что представляет серьезнейшую угрозу для всей существующей IT-инфраструктуры. Как показал Питер Шор, все, что для этого необходимо — это квантовый компьютер с регистром из десятка тысяч (идеализированных) кубитов. Это около одного «килокубайта».

Отметим, что квантовый компьютер в алгоритме Шора — это не самодостаточное устройство. Он выполняет определённую математическую операцию, выдавая битовые последовательности из особых вероятностных распределений. Полное решение задачи получается с использованием пред- и постобработки на классическом компьютере. Открытия в области алгоритмов с использованием квантовых компьютеров, а также демонстрация фундаментальной возможности исправления ошибок за счет формирования (практически) идеальных кубитов из набора зашумленных кубитов, инициировало начало квантовой гонки по созданию «железа» для запуска «квантового софта».

Современные квантовые компьютеры

Сергей Себекин:
Угрозы международной информационной безопасности в эпоху Индустрии 4.0

В англоязычной литературе квантовые компьютеры на текущем уровне своего развития обозначают аббревиатурой NISQ (noisy intermediate-scale quantum). Это можно перевести как квантовые устройства промежуточного масштаба, подверженные шумам. С одной стороны, квантовые компьютеры уже есть. Продемонстрированы все принципиальные функциональные элементы, необходимые для запуска квантовых алгоритмов, и реализации полных квантовых алгоритмов, например, с помощью алгоритма Шора получено разложение числа 21 на 7 и 3. Одним из рекордсменов по количеству кубитов сейчас является компания IBM, продемонстрировавшая запуск алгоритма на 127-кубитном процессоре а также, заявляющая о наличии 433-кубитного процессора [1]. Также недавно было заявлено о создании квантового компьютера с 1180 кубитами. Однако важно понимать, что демонстрируемые кубиты — это так называемые «физические» кубиты, в значительной степени подверженные влиянию шумов. Для запуска алгоритмов типа алгоритма Шора необходимо снижение уровня ошибок, что потенциально возможно при использовании кодов коррекции ошибок, которые, как отмечалось, позволяют объединять наборы физических кубитов в помехоустойчивые «логические». По текущим оценкам, для взлома криптографического алгоритма RSA2048 необходимо порядка 20 млн шумных физических кубитов.

Параллельно с развитием «железа» идет развитие квантового ПО. Предложены квантовые алгоритмы для решения различных прикладных задач. На сегодняшний день большую популярность имеют так называемые гибридные подходы, использующие существующие NISQ устройства совместно с алгоритмами оптимизации, запускаемыми на привычных классических компьютерах. В 2019 г. впервые прозвучало заявление о достижении «квантового превосходства» — демонстрации решения задачи, с которой представленный 53-кубитный квантовый компьютер компании Google справляется за несопоставимо меньшее время, чем самый мощный существующий классический суперкомпьютер. Позже это заявление было оспорено пересмотром классического алгоритма, с которым производилось сравнение. Квантовый результат Google удалось повторить за 15 часов с использованием 512 видео карт. Однако в более поздней работе 2023 г. представлены результаты работы уже 73-кубитного процессора, для повторения которых, по уточненным оценкам, классическим компьютерам потребуется более 47 лет. Важно отметить, что рассмотренная задача носит достаточно абстрактный характер. Вместе с тем демонстрация «полезного» квантового преимущества — пока открытая задача, ожидающая своего решения в самое ближайшее время.

Также стоит отметить прогресс в области бозонных самплеров — специализированных квантовых вычислителей, обеспечивающих специализированные вычисления на основе фотонов. Китайская группа продемонстрировала устройство, для классической симуляции которого по текущим оценкам требуется порядка 600 лет.

Вместе с тем наблюдается большой интерес к квантовым вычислениям со стороны индустрии. С практической точки зрения значительным потенциалом обладают квантовые компьютеры специального назначения, также известные как квантовые симуляторы. В частности, продемонстрирован потенциал устройств квантового отжига для решения прикладных задач в области генетики, оптимизации оптических сетей и атомной промышленности.

Разработка квантовых компьютеров в РФ в текущий момент проводится в рамках дорожной карты развития высокотехнологичной области «Квантовые вычисления», которая возглавляется госкорпорацией Росатом. Задача проекта состоит в создании в нашей стране прототипов квантовых компьютеров на всех основных перспективных физических платформах: ионах, нейтральных атомах, сверхпроводящих цепях и фотонах. Одним из достижений является создание 16-кубитного квантового процессора, построенного с использованием технологии кудитов — обобщения концепции кубита на несколько уровней. Также недавно была продемонстрирована возможность симуляции квантовой динамики с использованием трехуровневых кудитов на основе одновременно двух платформ: ионов иттербия и сверхпроводящих цепей. Результаты дорожной карты в 2023 г. были представлены резиденту России В. Путину в рамках Форума будущих технологий.

Квантовая и постквантовая криптография

Анастасия Толстухина:
Российские инициативы в сфере международной информационной безопасности

Как уже было отмечено, один из самых значимых результатов теории квантовых алгоритмов — алгоритм Шора, который позволяет эффективно решать задачи факторизации и дискретного логарифмирования. Автоматически это означает, что обладатель доступа к достаточно мощному квантовому компьютеру сможет осуществлять кибератаки, в частности, подделывать электронные цифровые подписи и получать доступ к зашифрованной информации, передающейся через сеть Интернет. Естественно, встает вопрос, существует ли способ защититься от подобных «квантовых» хакеров. Оказывается, что построить защиту от квантового компьютера будущего гораздо легче, чем создать сам квантовый компьютер.

Существует два направления квантово-устойчивой (защищенной от квантового компьютера) криптографии: это квантовая и постквантовая криптография. В первом случае для защиты передаваемых сообщений используется специальное оборудование — системы квантового распределения ключей (КРК) — которое использует принципы квантовой теории информации для создания защищенных ключей шифрования. Далее эти ключи могут быть использованы для «абсолютно» стойкого шифрования так называемыми одноразовыми блокнотами. Принципиальным преимуществом систем КРК является возможность обнаружить потенциального злоумышленника, основываясь на фундаментальных законах квантовой физики: любое внедрение недоброжелателя в канал распределения ключей может быть зафиксировано, а использование специально разработанных математических методов гарантирует невозможность перехватчика получить информацию о ключах. Отметим, что техническое развитие систем КРК значительно опережает развитие квантовых компьютеров. Уже сейчас системы КРК можно приобрести, в том числе и в России. Однако отметим, что их для функционирования необходима специальная инфраструктура, в частности, оптоволоконные сети. Развитию квантовой криптографии посвящена дорожная карта развития высокотехнологичной области «Квантовые коммуникации», возглавляемая госкорпорацией РЖД.

Второе направление, постквантовая криптография, относится к математическим, нежели физическим методам защиты от квантового компьютера. В ее основе лежит тот факт, что квантовый компьютер — это не «волшебная палочка», способная мгновенно решать любую математическую задачу. Аналогично тому, как задача факторизации, по всей видимости, не может быть эффективно решаться на классическом компьютере, существуют задачи, которые не могут эффективно решаться как на классическом, так и на квантовом компьютере. На основе таких задач можно строить квантово-устойчивые алгоритмы криптографии. В частности отметим, что алгоритмы симметричной криптографии, такие как «AES» и «Кузнечик» уже являются квантово-устойчивыми. Важно подчеркнуть, что постквантовая криптография — это, по сути, новый набор алгоритмов для наших привычных устройств. Таким образом, защиту от квантового компьютера можно обеспечить обновлением используемых криптографических библиотек, текущих стандартов и протоколов.

Выбору постквантовых алгоритмов для стандартизации был посвящен недавно завершившийся открытый конкурс, организованный Национальным институтом стандартизации и технологий (National Institute of Standards and Technology, NIST). В РФ разработкой открытых стандартов занимаются профильные подгруппы Технического комитета ТК26 Росстандарта, а научно-исследовательская работа по квантвой и постквантовой криптографии ведется в рамках деятельности Национального технологического центра цифровой криптографии (АНО НТЦ ЦК). Вместе с тем уже существуют компании, такие как QApp, которые не только участвуют в разработке стандартов, но и разрабатывают экспериментальные версии конечных квантово-устойчивых программных решений и пилотируют их в ограниченном периметре с компаниями финансового и других секторов экономики РФ.

Когда готовиться к квантовой угрозе?

Реального квантового компьютера, способного запустить алгоритм Шора для взлома криптографии еще нет (напомним, что по экспертным оценкам для этого требуется квантовый процессор с десятками миллионов кубитов, в то время как текущие машины в лучшем случае имеют несколько сотен кубитов). Так зачем же тогда тратить ресурсы на организацию систем защиты? Тем более, что такой достаточно мощный квантовый процессор может быть никогда и не будет создан — такие мнения также высказываются представителями научного сообщества.

Леонид Ковачич:
Битва за полупроводники: будут ли победители?

При рассмотрении возможного влияния квантовых вычислений на информационную безопасность важно учитывать следующие факторы. Во-первых, конфиденциальная информация имеет свой «срок актуальности». Например, если речь идет о генетических и медицинских данных — этот срок может составлять всю жизнь человека и даже его потомков. Вместе с тем существует атака «сохрани сейчас, взломай потом» суть которой заключается в сохранении злоумышленником зашифрованных данных, и ожидания момента, когда появится доступ к мощному квантовому компьютеру. Если это случится до момента истечения срока актуальности, то атака удалась. Во-вторых, внедрение квантовой защиты (будь то квантовая или постквантовая криптография) — достаточно длительный процесс. Это связано как с технической отладкой и интеграцией самих решений, так обновления всех сопутствующих стандартов и подготовки необходимой документации. Таким образом, атака «сохрани сейчас, взломай потом» может быть успешно реализована в случае, если сумма срока актуальности конфиденциальной информации и времени, необходимого для внедрения квантово-защищенного решения, превысит время до появления мощного квантового компьютера. Когда он появится точно не знает никто: прогнозы варьируются от крайне пессимистичных — этого не будет никогда, до оптимистичных — это может случиться в ближайшие 5–10 лет. Можно даже предложить конспирологическую версию, что мощные квантовые компьютеры уже есть, но их владельцы это скрывают (кстати, если такие и правда есть, то их можно понять). Поэтому решение о том, когда же по-настоящему стоит готовиться к квантовой угрозе, превращается в задачу об оценке рисков, подобную решению о приобретении страховки. С одной стороны необходимо учитывать сроки актуальности той или иной конфиденциальной информации, а также стоимость и длительность внедрения квантово-защищенных решений, а с другой стороны — возможные убытки в случае реализации атаки «сохрани сейчас, взломай потом» и текущую скорость прогресса в области развития «квантового железа». Отметим, что с точки зрения превалирующей части научного сообщества масштабирование квантовых компьютеров — это именно инженерная задача. Есть фундаментальное понимание, как можно исправлять ошибки, остается добиться их достаточного количества и качества контроля над ними.

В этом контексте примечательна ситуация с блокчейн-системами, в частности блокчейном Bitcoin. Подобные системы по своей архитектуре представляют распределенные открытые базы данных без возможности удаления записей. Для совершения транзакции в системе Bitcoin, необходимо представить цифровую подпись, связанную с именем кошелька. Легитимному владельцу для этого нужно воспользоваться только ему известным секретным ключом, однако как мы уже знаем такую подпись сможет подделать и обладатель квантового компьютера с помощью алгоритма Шора. Отметим, что первые «кошельки», в том числе принадлежащие создателю этой системы — загадочному Сатоши Накамото, по своей сути представляют именно открытые ключи электронных подписей, записанные в блокчейн (позже в качестве имен кошельков стали использовать хеши от открытых ключей, что затрудняет квантовую атаку, но не позволяет полностью от нее защититься). Важно отметить, что в распределенных системах типа Bitcoin крайне сложно внести изменения в базовые принципы функционирования — это своеобразная плата за открытость и децентрализацию. Таким образом, конкретно данная блокчейн-система — крайне уязвимая цель для квантовой атаки, и с этим уже слишком поздно что-то делать. Принципиальная ошибка была допущена на этапе проектирования всей системы, но подобных ошибок можно избежать за счет закладывания квантово-устойчивой криптографии в саму архитектуру подобных систем.

Резюме

Квантовый компьютер — это устройство, позволяющее оперировать особенностями поведения материи на микроскопическом уровне, для решения вычислительных задач. Квантовый компьютер не стоит воспринимать как альтернативу привычным нам компьютеров. Это, скорее, дополнительный модуль, схожий с интегральными схемами специального назначения, ASIC (application-specific integrated circuit), позволяющими производить узконаправленные математические операции гораздо быстрее, чем на любом известном суперкомпьютере. Квантовые компьютеры уже есть, причем как за рубежом, так и в России. Текущие прототипы позволяют производить операции над десятками, в лучшем случае несколькими сотнями кубитов. При этом сами операции подвержены шумам, что ограничивает эффективную «длину» запускаемых квантовых алгоритмов. Есть теоретическое понимание, как можно бороться с подобными шумами, но это требует дополнительного увеличения числа кубитов. Заявлено достижение «квантового преимущества» на модельной задаче, в ближайшее время все ожидают демонстрацию «квантового преимущества» уже для решения практических задач. При этом наблюдается интересная конкуренция с классическими подходами для решения аналогичных задач, развитие которых подстегивается успехами квантовых компьютеров. Вместе с тем уже точно известно, что к моменту появления достаточно мощных квантовых компьютеров, предположительно с миллионами шумных физических кубитов, станут возможными новые разновидности кибератак на существующую IT-инфраструктуру. Этому можно противостоять с помощью квантовой и постквантвой криптографии, но выстраивание такой защиты — это задача именно сегодняшнего дня, из-за опасности атаки «сохрани сейчас, взломай потом». Функционал квантовых компьютеров ни в коем случае не ограничивается областью криптоанализа, предложены алгоритмы в области оптимизации, финансов, машинного обучения, квантовой химии и материаловедения. Идут активные исследования в области алгоритмов для имеющихся NISQ машин, в том числе с участием представителей индустрии. В РФ работа над квантовыми вычислениями и коммуникациями ведется в рамках дорожных карт, возглавляемых госкорпорациями Росатом и РЖД.

1. 6 декабря 2023 г. IBM заявила о выпуске первого в мире 1000-кубитного квантового компьютера.