法国量子公司Alice & Bob称2.3万量子比特可在3天内破解RSA-2048

2 2 1 分享 又一家量子计算公司抛出“用N个量子比特在时间T内攻破X”的说法：法国量子计算公司Alice & Bob声称（在一篇发布在密码学家ePrint上的论文中），他们未来可能造出的量子计算机，只需22,593个量子比特，就能在约𝝅 ≈ 3.14天内攻破（分解）RSA-2048。做个橙子对菠萝的类比，Google在3月那份“OMG”新闻稿里说的是一个拥有50万量子比特的系统，用来攻破256位ECDLP。

和往常一样，有几个人问我这有多可怕——也和往常一样，其中一些人已经认定它确实可怕，期待我予以确认；而当我说并不可怕时，他们又要我给出理由。所以这篇文章某种程度上就是为此而写。

简短回答：这是一项有趣的研究，但我们（好吧，是A&B）离拥有这样一台机器还差得远——而且其中涉及一大堆“如果”。

先快速交代背景：量子计算机用量子比特而非普通比特；问题在于量子比特极其脆弱，错误频繁发生，必须纠正，而纠正它们需要……更多量子比特，运行量子纠错。这是建造量子计算机的主要障碍之一。

A&B正在开发一种特殊类型的量子比特，属于猫量子比特的一种（“猫”是薛定谔的猫，指的是猫量子比特编码信息的方式）。猫量子比特的设计目标是让某些错误变得罕见。A&B已建成拥有多达18个猫量子比特的系统。

这篇论文本质上是一个思想实验，前提是“想象我们能用量子比特的改进版本造出一台大型量子计算机，那么它攻破RSA-2048的效率会有多高？”它也有点像一句不言自明的老话：“如果我们能造出攻破RSA-2048所需的东西，那么你猜怎么着……”

A&B的论文把对未来硬件的假设、纠错技术以及Shor算法的优化实现结合起来。他们的计算表明，大约23,000个量子比特就足够了。

他们的主要计算假设某类特定错误（比特翻转）平均每个量子比特每100年才发生一次。对一个量子比特来说，这是相当低的错误率，即使是猫量子比特：

作为对比，A&B已发表的实验证明，这类错误平均每几分钟就会发生一次（在某些条件下；而在某些量子操作期间，发生频率还要高得多）。

论文承认，假设的可靠性与它用来对比的实验结果之间，存在超过1亿倍的差距。

还有规模上的细节：A&B已开发出多达18个量子比特的实验系统；他们还需要另外22,575个量子比特。

论文提到了一种替代设计，采用更现实的错误率假设，需要大约45,000个量子比特。但这同样依赖于尚未得到验证的纠错技术。

我觉得量子计算公司之间的竞争越来越像是注意力之争；这促使它们基于或多或少合理的假设，发布看上去吓人的数字。公平地说，A&B的论文对其假设是透明的，也是扎实的量子工程工作。问题与其说在于研究本身，不如说在于其结果如何被呈现和宣传。

所以这项研究并非毫无价值：估算攻破密码所需的资源很重要，量子算法和架构的改进也值得关注。但计算一台假想机器能做到什么，与证明我们知道如何建造那台机器，是两回事。

读那些“OMG量子”标题时，你必须记住这一区别。

哦，还有一个结果（据称是在类似假设下得出的）：一种能在约一小时内用约30,000个量子比特求解ECDLP的架构：