Криптографически значимый квантовый компьютер (CRQC)

Квантовый компьютер, достаточно мощный для взлома реальной криптографии с открытым ключом - в частности, для выполнения алгоритма Шора против ключей RSA и эллиптических кривых тех размеров, которые используются в продакшене (2048-битный RSA, 256-битный ECC).

Этот термин разделяет существующие сегодня квантовые компьютеры (неспособные взломать продакшен-криптографию) и пороговую машину, которая сможет это сделать. Современные квантовые компьютеры насчитывают от сотен до пары тысяч шумных физических кубитов. Взлом продакшен-криптографии требует либо миллионов шумных физических кубитов с масштабной коррекцией ошибок, либо - согласно исследованиям 2026 года - потенциально всего около 10 000 физических кубитов при более удачных архитектурах (нейтральные атомы с нелокальной связностью).

Сроки по состоянию на апрель 2026 года

Две опубликованные в апреле 2026 года работы резко сократили прогнозируемые сроки:

• Google: пересмотрела в меньшую сторону число логических кубитов, необходимых для взлома P-256/secp256k1, сделав возможными атаки минутного масштаба на сверхпроводниковых архитектурах
• Oratomic: показала, что для платформ на нейтральных атомах достаточно 10 000 физических кубитов

Команда криптографии Google установила 2029 год как крайний срок миграции. Filippo Valsorda называет это "моментом 1939-1940 годов" - открытые исследования могут отставать от засекреченных разработок. Полный анализ см. в crqc-timeline.

Кроме того, в ETH Zurich продемонстрировали (Nature, 8 апреля 2026 года) нейтрально-атомные swap-вентили на основе геометрических фаз с точностью (fidelity) 99.91% одновременно на 17 000 парах кубитов. Это преодолевает порог коррекции ошибок поверхностного кода (~99%) и демонстрирует масштабный параллелизм на платформе нейтральных атомов, на которую опирается статья Oratomic. Сами по себе swap-вентили не угрожают криптографии, однако достигнутая точность и масштаб - необходимые условия для реализации CRQC на нейтральных атомах.

Почему этот порог важен

Ниже порога CRQC квантовые компьютеры представляют научный интерес, но не угрожают используемой криптографии. Выше этого порога каждый существующий ключ RSA, подпись ECDSA и обмен ключами ECDH становятся уязвимыми для взлома. Никакой постепенной деградации здесь нет - классическая криптография с открытым ключом либо держится, либо нет.

Угроза store-now-decrypt-later означает, что практические последствия начинаются ещё до появления CRQC: злоумышленники могут сохранять зашифрованный трафик уже сейчас, чтобы расшифровать его, как только получат CRQC.