Kedy príde Q-Day? Čo ukazuje výskum v rokoch 2025 a 2026

Čo sa myslí pod Q-Day

„Q-Day“ označuje deň, keď kvantový počítač dokáže prelomiť dnes rozšírenú kryptografiu s verejným kľúčom. Ide predovšetkým o RSA a algoritmy na eliptických krivkách, na ktorých stoja TLS, VPN, podpisy kódu, PKI a digitálne identity. Odborníci hovoria o kryptograficky relevantnom kvantovom počítači, skrátene CRQC.

Že by takýto počítač mohol tieto algoritmy prelomiť, je známe od roku 1994, keď Peter Shor zverejnil príslušné kvantové algoritmy. Otvorené je, kedy bude možné postaviť stroj, ktorý bude dostatočne veľký a bude mať dostatočne málo chýb. V tejto otázke sa výskum v rokoch 2025 a 2026 výrazne posunul. Tento článok zhŕňa najdôležitejšie práce a vysvetľuje, čo dokazujú a čo nie.

Jeden pojem na úvod: dnešné kvantové počítače pracujú s fyzickými qubitmi, ktoré sú náchylné na chyby. Kvantovou korekciou chýb sa mnoho fyzických qubitov spája do jedného stabilnejšieho logického qubitu. Odhady zdrojov preto väčšinou uvádzajú obe čísla. Pre otázku, ako ďaleko je ešte hardvér, je rozhodujúci počet fyzických qubitov.

Čo očakávajú odborníci: Quantum Threat Timeline Report

Najznámejší dlhodobý prieskum je Quantum Threat Timeline Report inštitútu Global Risk Institute. Michele Mosca a Marco Piani zo spoločnosti evolutionQ v ňom každý rok oslovujú odborníkov z výskumu a priemyslu. Siedme vydanie s dátumom 9. marca 2026 vychádza z odpovedí 26 odborníkov. Global Risk Institute

Výsledok: kryptograficky relevantný kvantový počítač považujú respondenti v priebehu nasledujúcich desiatich rokov za „celkom možný“, s pravdepodobnosťou 28 až 49 percent. V priebehu 15 rokov ho považujú za „pravdepodobný“, s pravdepodobnosťou 51 až 70 percent. Séria správ definuje takýto počítač ako stroj, ktorý dokáže prelomiť RSA-2048 do 24 hodín.

Prieskum medzi 26 ľuďmi nie je meranie. Jeho hodnota spočíva v časovom rade: rovnaká otázka sa kladie už roky a odhady sa naprieč vydaniami posúvajú dopredu.

Čo očakáva BSI

Nemecký Spolkový úrad pre informačnú bezpečnosť (BSI) dáva od roku 2017 hodnotiť stav vývoja kvantových počítačov vo vlastnej štúdii, naposledy aktualizovanej v roku 2025. Nemecké národné usmernenie k postkvantovej migrácii zhŕňa výsledok takto: je pravdepodobné, že takýto kvantový počítač bude realizovateľný najneskôr o 15 rokov, teda do roku 2040 alebo skôr. Základné predpoklady kvantovej korekcie chýb boli v roku 2024 úplne overené a ďalší pokrok by mohol toto obdobie výrazne skrátiť. Usmernenie, PDF

Pre oblasť vysokej bezpečnosti je nemecká spolková vláda opatrnejšia. Tam pracuje s hypotézou, že kryptograficky relevantné kvantové počítače budú k dispozícii na začiatku 30. rokov. Usmernenie k tomu cituje tlač Spolkového snemu (Bundestagsdrucksache) z februára 2025.

Odhady BSI a odborníkov sú si tak blízko: žiadny prelom zajtra, ale reálna možnosť počas životnosti systémov, ktoré sa plánujú dnes.

Odhady hardvéru klesajú

Posunuli sa predovšetkým odhady, aký veľký by musel byť kvantový počítač na útok. V centre pozornosti sú tri práce z rokov 2025 a 2026.

RSA-2048 s menej ako miliónom qubitov. V máji 2025 Craig Gidney z Google Quantum AI odhadol, že kvantový počítač s menej ako miliónom zašumených qubitov by dokázal faktorizovať 2048-bitové číslo RSA za menej ako týždeň. arXiv:2505.15917 V roku 2019 bol jeho odhad spolu s Martinom Ekeråom ešte 20 miliónov qubitov. arXiv:1905.09749 Predpoklady o hardvéri pritom zostali rovnaké: štvorcová mriežka so spojeniami len k susedom, chybovosť 0,1 percenta na hradlo a cyklus korekcie chýb jedna mikrosekunda. Úspora pochádza z lepších algoritmov a efektívnejšej korekcie chýb, nie z lepšieho hardvéru. Cenou je dlhší čas behu.

RSA-2048 s približne 100 000 qubitmi. Vo februári 2026 predstavila austrálska spoločnosť Iceberg Quantum architektúru „Pinnacle“. Nahrádza doteraz bežnú korekciu chýb takzvanými kódmi qLDPC. Za rovnakých predpokladov o chybovosti a taktovaní odhaduje Iceberg približne 98 000 fyzických qubitov pri čase behu asi jeden mesiac alebo približne 471 000 qubitov pri čase behu asi jeden deň. arXiv:2602.11457 Architektúra bola doteraz overená len v simuláciách. Vyžaduje spojenia medzi vzdialenými qubitmi a veľmi rýchle dekódovanie chýb, pričom ani jedno zatiaľ nebolo v takomto rozsahu preukázané.

Eliptické krivky za minúty. Koncom marca 2026 zverejnil Google Quantum AI spolu s výskumníkmi z Ethereum Foundation a Stanfordovej univerzity odhady zdrojov pre 256-bitové krivky, ktoré okrem iného zabezpečujú Bitcoin a Ethereum. Dva optimalizované obvody si vystačia s menej ako 1 200 logickými qubitmi a menej ako 90 miliónmi Toffoliho hradiel alebo s menej ako 1 450 logickými qubitmi a menej ako 70 miliónmi Toffoliho hradiel. Na supravodivom hardvéri s chybovosťou 0,1 percenta to zodpovedá menej ako 500 000 fyzickým qubitom a času behu niekoľko minút. Google to vyčísľuje ako približne 20-násobné zníženie oproti doteraz najlepšiemu odhadu. Google Research, arXiv:2603.28846

Pozoruhodné je aj to, ako Google publikoval. Samotné obvody neboli zverejnené, aby útočníci nedostali návod. Namiesto toho správnosť odhadov dokladá dôkaz s nulovou znalosťou (zero-knowledge proof). Pre firmy je to signál: výskum už sám považuje túto tému za bezpečnostne relevantnú.

Čo čísla nehovoria

Akokoľvek pôsobivá je táto krivka, práce majú jasné hranice.

• Taký stroj neexistuje. Čip Willow od Google mal pri predstavení v decembri 2024 105 qubitov a preukázal korekciu chýb pod kritickým prahom. Google Od stoviek tisíc qubitov, ktoré počítajú s korekciou chýb celé dni alebo týždne, je hardvér ďaleko.
• Predpoklady sú optimistické, ale nie exotické. Všetky uvedené odhady predpokladajú chybovosť 0,1 percenta a časy taktu v rozsahu mikrosekúnd. Jednotlivé platformy takéto hodnoty dnes dosahujú, ale nie v tejto veľkosti a nie trvalo.
• Väčšina prác sú preprinty. Zatiaľ neprešli recenziou. Pri Iceberg k tomu pristupuje, že výsledky pochádzajú len zo simulácií.
• Pokrok prichádza z algoritmov. To je zároveň znepokojujúca stránka. Každé zníženie posledných rokov prišlo z lepšej matematiky a lepšej korekcie chýb. Takýto pokrok sa ťažko predpovedá a môže prísť náhle.

Kto z toho odvodzuje presný dátum, vyčítava z prác viac, než obsahujú. Spoľahlivé tvrdenie je iné: prekážka za sedem rokov klesla o viac ako jeden rád bez toho, aby sa zmenili predpoklady o hardvéri.

Prečo neistota nie je dôvod čakať

Pri plánovaní pomáha jednoduchá úvaha, ktorá pochádza od Michele Moscu. Treba porovnať tri časové obdobia:

• ako dlho musia dáta zostať dôverné,
• ako dlho trvá prechod na postkvantovú kryptografiu,
• ako dlho potrvá, kým bude existovať kryptograficky relevantný kvantový počítač.

Ak je súčet prvých dvoch väčší ako tretie obdobie, prechod príde neskoro. Dáta, ktoré sa dnes zachytia a uložia, sa potom dajú neskôr dešifrovať („Store now, decrypt later“).

Roadmapa EÚ pre postkvantovú migráciu stavia presne na tom. Prípady použitia zaraďuje ako vysokorizikové, ak musia dáta zostať dôverné aspoň desať rokov, a dĺžku úplného prechodu odhaduje na päť až desať rokov. Roadmapa EÚ, PDF Aj ten, kto očakáva Q-Day až v roku 2040, dospeje pri desiatich rokoch dôvernosti a piatich rokoch prechodu k začiatku najneskôr v roku 2025.

Pri podpisoch je tlak menší, pretože podpis musí vydržať len dovtedy, kým kvantový počítač nebude existovať. Zato sú tam časy prechodu najdlhšie: PKI, aktualizácie firmvéru a zariadenia s dlhou životnosťou sa nedajú prestavať za rok. Preto roadmapa EÚ požaduje, aby sa aktualizácie softvéru a firmvéru do roku 2030 štandardne podpisovali kvantovo bezpečne.

Záver

Výskum neposkytuje dátum Q-Day, ale jasný smer. Odborníci považujú kryptograficky relevantný kvantový počítač do desiatich rokov za celkom možný, BSI ho považuje za pravdepodobný do roku 2040 a odhadované požiadavky na hardvér v rokoch 2025 a 2026 výrazne klesli. Pre firmy presný rok aj tak nie je rozhodujúcou otázkou. Rozhodujúce je, či vlastné dáta musia zostať dôverné dlhšie, než koľko času prechod dovoľuje. Aké termíny z toho odvodzujú úrady a čo z nich je záväzné, si prečítate v článku Postkvantová kryptografia: termíny 2026, 2030 a 2035 a čo z nich je záväzné.

Zdroje

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9. marca 2026)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (spoločné usmernenie BMDS, BMI a BSI, 12. októbra 2026)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21. mája 2025)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, publikované v Quantum 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, február 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney a kol., arXiv, 30. marca 2026)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31. marca 2026)
• Meet Willow, our state-of-the-art quantum chip (Google, 9. decembra 2024)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream skupiny pre spoluprácu NIS, jún 2025)