Кога ще настъпи Q-Day? Какво показват изследванията през 2025 и 2026 г.

Какво се има предвид под Q-Day

„Q-Day“ означава деня, в който квантов компютър ще може да разбие разпространената днес криптография с публичен ключ. Става дума преди всичко за RSA и алгоритмите върху елиптични криви, на които се основават TLS, VPN, подписите на код, PKI и цифровите идентичности. Специалистите говорят за криптографски значим квантов компютър, накратко CRQC.

Че такъв компютър би могъл да разбие тези алгоритми, е известно от 1994 г., когато Питър Шор публикува съответните квантови алгоритми. Открит остава въпросът кога ще може да бъде построена машина, която е достатъчно голяма и с достатъчно малко грешки. По този въпрос изследванията през 2025 и 2026 г. отбелязаха значително развитие. Тази статия обобщава най-важните трудове и пояснява какво доказват и какво не.

Едно понятие предварително: днешните квантови компютри работят с физически кубити, които са податливи на грешки. Чрез квантова корекция на грешки много физически кубити се обединяват в един по-стабилен логически кубит. Затова оценките на ресурсите обикновено посочват и двете числа. За въпроса колко далеч е още хардуерът решаващ е броят на физическите кубити.

Какво очакват експертите: Quantum Threat Timeline Report

Най-известното дългосрочно проучване е Quantum Threat Timeline Report на Global Risk Institute. За него Микеле Моска и Марко Пиани от evolutionQ всяка година анкетират експерти от науката и индустрията. Седмото издание, с дата 9 март 2026 г., се основава на отговорите на 26 експерти. Global Risk Institute

Резултатът: анкетираните смятат криптографски значим квантов компютър в рамките на следващите десет години за „напълно възможен“, с вероятност от 28 до 49 процента. В рамките на 15 години го смятат за „вероятен“, с вероятност от 51 до 70 процента. Поредицата от доклади определя такъв компютър като машина, която може да разбие RSA-2048 в рамките на 24 часа.

Проучване сред 26 души не е измерване. Стойността му е във времевия ред: същият въпрос се задава от години, а оценките от издание на издание се изместват напред.

Какво очаква BSI

Германската Федерална служба за информационна сигурност (BSI) от 2017 г. възлага собствено проучване за оценка на развитието на квантовите компютри, последно актуализирано през 2025 г. Германските национални насоки за постквантовата миграция обобщават резултата така: вероятно е такъв квантов компютър да бъде осъществим най-късно след 15 години, т.е. до 2040 г. или по-рано. Основните допускания на квантовата корекция на грешки са били напълно потвърдени през 2024 г., а по-нататъшен напредък може значително да съкрати този период. Насоки, PDF

За областта на високата сигурност германското федерално правителство е по-предпазливо. Там то работи с хипотезата, че криптографски значими квантови компютри ще бъдат налични в началото на 30-те години. Насоките цитират за това документ на германския Бундестаг (Bundestagsdrucksache) от февруари 2025 г.

Така оценките на BSI и на експертите са близки: никакъв пробив утре, но реална възможност в рамките на експлоатационния срок на системите, които се планират днес.

Оценките за хардуера спадат

Промениха се преди всичко оценките колко голям трябва да е квантовият компютър за атака. В центъра са три труда от 2025 и 2026 г.

RSA-2048 с под един милион кубита. През май 2025 г. Крейг Гидни от Google Quantum AI изчисли, че квантов компютър с по-малко от един милион шумни кубита би могъл да факторизира 2048-битово RSA число за по-малко от седмица. arXiv:2505.15917 През 2019 г. оценката му заедно с Мартин Екеро все още беше 20 милиона кубита. arXiv:1905.09749 При това допусканията за хардуера са останали същите: квадратна решетка с връзки само към съседите, процент на грешки 0,1 процента на гейт и цикъл на корекция на грешки от една микросекунда. Икономията идва от по-добри алгоритми и по-ефективна корекция на грешки, а не от по-добър хардуер. Цената е по-дълго време за изпълнение.

RSA-2048 с около 100 000 кубита. През февруари 2026 г. австралийската компания Iceberg Quantum представи архитектурата „Pinnacle“. Тя заменя досегашната обичайна корекция на грешки с т.нар. qLDPC кодове. При същите допускания за процента на грешки и тактовата честота Iceberg оценява около 98 000 физически кубита при време за изпълнение около един месец или около 471 000 кубита за около един ден. arXiv:2602.11457 Досега архитектурата е проверена само в симулации. Тя изисква връзки между отдалечени кубити и много бързо декодиране на грешките, а нито едно от двете все още не е демонстрирано в такъв мащаб.

Елиптични криви за минути. В края на март 2026 г. Google Quantum AI заедно с изследователи от Ethereum Foundation и Станфордския университет публикува оценки на ресурсите за 256-битови криви, които защитават, наред с други, Bitcoin и Ethereum. Две оптимизирани схеми се справят с по-малко от 1200 логически кубита и по-малко от 90 милиона гейта на Тофоли или с по-малко от 1450 логически кубита и по-малко от 70 милиона гейта на Тофоли. При свръхпроводящ хардуер с процент на грешки 0,1 процента това съответства на по-малко от 500 000 физически кубита и време за изпълнение от няколко минути. Google определя това като приблизително 20-кратно намаление спрямо най-добрата досегашна оценка. Google Research, arXiv:2603.28846

Забележителен е и начинът, по който Google публикува резултатите. Самите схеми не бяха публикувани, за да не се дават инструкции на нападателите. Вместо това доказателство с нулево знание (zero-knowledge proof) потвърждава, че оценките са верни. За компаниите това е сигнал: самите изследователи вече третират темата като значима за сигурността.

Какво не казват числата

Колкото и впечатляваща да е кривата, трудовете имат ясни граници.

• Такава машина не съществува. Чипът Willow на Google при представянето си през декември 2024 г. имаше 105 кубита и демонстрира корекция на грешки под критичния праг. Google Хардуерът е далеч от стотици хиляди кубити, които изчисляват с корекция на грешки в продължение на дни или седмици.
• Допусканията са оптимистични, но не и екзотични. Всички посочени оценки предполагат процент на грешки 0,1 процента и тактови времена в микросекунден диапазон. Отделни платформи постигат такива стойности днес, но не в този мащаб и не трайно.
• Повечето трудове са препринти. Те все още не са рецензирани. При Iceberg към това се добавя, че резултатите идват само от симулации.
• Напредъкът идва от алгоритмите. Това е и тревожната страна. Всяко намаление през последните години идва от по-добра математика и по-добра корекция на грешки. Такъв напредък трудно се предвижда и може да дойде внезапно.

Който извежда от това точна дата, вижда в трудовете повече, отколкото те съдържат. Надеждното твърдение е друго: за седем години прагът е спаднал с повече от един порядък, без допусканията за хардуера да са се променили.

Защо несигурността не е причина за изчакване

За планирането помага едно просто разсъждение, което произхожда от Микеле Моска. Трябва да се сравнят три периода:

• колко дълго данните трябва да останат поверителни,
• колко дълго трае преходът към постквантова криптография,
• колко време ще мине до появата на криптографски значим квантов компютър.

Ако сборът от първите два е по-голям от третия период, преходът идва твърде късно. Данните, които се прихващат и съхраняват днес, тогава могат да бъдат дешифрирани по-късно („Store now, decrypt later“).

Пътната карта на ЕС за постквантовата миграция се основава точно на това. Тя класифицира случаите на употреба като високорискови, ако данните трябва да останат поверителни поне десет години, и оценява продължителността на пълния преход на пет до десет години. Пътна карта на ЕС, PDF Дори който очаква Q-Day едва през 2040 г., при десет години поверителност и пет години преход стига до начало най-късно през 2025 г.

При подписите натискът е по-малък, защото подписът трябва да издържи само докато квантовият компютър не съществува. Затова пък там сроковете на прехода са най-дълги: PKI, актуализациите на фърмуер и устройствата с дълъг експлоатационен срок не могат да бъдат преустроени за една година. Ето защо пътната карта на ЕС изисква до 2030 г. актуализациите на софтуер и фърмуер да се подписват по подразбиране квантово устойчиво.

Заключение

Изследванията не дават дата за Q-Day, но дават ясна посока. Експертите смятат криптографски значим квантов компютър в рамките на десет години за напълно възможен, BSI го смята за вероятен до 2040 г., а оценените изисквания към хардуера значително спаднаха през 2025 и 2026 г. За компаниите точната година и без това не е решаващият въпрос. Решаващо е дали собствените им данни трябва да останат поверителни по-дълго, отколкото време оставя преходът. Какви срокове извеждат от това властите и кое от тях е задължително, ще прочетете в Постквантова криптография: сроковете 2026, 2030 и 2035 г. и кое от тях е задължително.

Източници

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9 март 2026 г.)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (общи насоки на BMDS, BMI и BSI, 12 октомври 2026 г.)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21 май 2025 г.)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019 г., публикувано в Quantum 2021 г.)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, февруари 2026 г.)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney и др., arXiv, 30 март 2026 г.)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31 март 2026 г.)
• Meet Willow, our state-of-the-art quantum chip (Google, 9 декември 2024 г.)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream на Групата за сътрудничество по NIS, юни 2025 г.)