Kdaj bo prišel Q-Day? Kaj kažejo raziskave v letih 2025 in 2026

Kaj pomeni Q-Day

„Q-Day“ označuje dan, ko bo kvantni računalnik lahko zlomil danes razširjeno kriptografijo z javnim ključem. Mišljeni so predvsem RSA in algoritmi na eliptičnih krivuljah, na katerih temeljijo TLS, VPN-ji, podpisi kode, PKI-ji in digitalne identitete. Strokovnjaki govorijo o kriptografsko relevantnem kvantnem računalniku, na kratko CRQC.

Da bi tak računalnik te algoritme lahko zlomil, je znano od leta 1994, ko je Peter Shor objavil ustrezne kvantne algoritme. Odprto je, kdaj bo mogoče zgraditi stroj, ki bo dovolj velik in bo imel dovolj malo napak. Pri tem vprašanju so se raziskave v letih 2025 in 2026 občutno premaknile. Ta prispevek povzema najpomembnejša dela in pojasni, kaj dokazujejo in česa ne.

Najprej en pojem: današnji kvantni računalniki delajo s fizičnimi kubiti, ki so nagnjeni k napakam. S kvantnim popravljanjem napak se veliko fizičnih kubitov združi v en stabilnejši logični kubit. Ocene virov zato večinoma navajajo obe številki. Za vprašanje, kako daleč je strojna oprema še od cilja, šteje število fizičnih kubitov.

Kaj pričakujejo strokovnjaki: Quantum Threat Timeline Report

Najbolj znana dolgoročna anketa je Quantum Threat Timeline Report inštituta Global Risk Institute. Michele Mosca in Marco Piani iz podjetja evolutionQ zanjo vsako leto anketirata strokovnjake iz raziskav in industrije. Sedma izdaja z datumom 9. marca 2026 temelji na odgovorih 26 strokovnjakov. Global Risk Institute

Rezultat: kriptografsko relevanten kvantni računalnik se anketirancem v naslednjih desetih letih zdi „povsem mogoč“, z verjetnostjo od 28 do 49 odstotkov. V 15 letih se jim zdi „verjeten“, z verjetnostjo od 51 do 70 odstotkov. Serija poročil tak računalnik opredeljuje kot stroj, ki lahko zlomi RSA-2048 v 24 urah.

Anketa med 26 osebami ni meritev. Njena vrednost je v časovni vrsti: isto vprašanje se postavlja že leta, ocene pa so se iz izdaje v izdajo pomikale naprej.

Kaj pričakuje BSI

Nemški Zvezni urad za informacijsko varnost (BSI) od leta 2017 v lastni študiji ocenjuje stanje razvoja kvantnih računalnikov, nazadnje posodobljeni leta 2025. Nemške nacionalne smernice za postkvantno selitev rezultat povzemajo takole: verjetno je, da bo tak kvantni računalnik izvedljiv v največ 15 letih, torej do leta 2040 ali prej. Temeljne predpostavke kvantnega popravljanja napak so bile leta 2024 v celoti potrjene, nadaljnji napredek pa bi lahko to obdobje občutno skrajšal. Smernice, PDF

Za področje visoke varnosti je nemška zvezna vlada previdnejša. Tam deluje po hipotezi, da bodo kriptografsko relevantni kvantni računalniki na voljo na začetku 2030-ih let. Smernice pri tem navajajo dokument nemškega zveznega parlamenta (Bundestagsdrucksache) iz februarja 2025.

Ocene BSI in strokovnjakov so si tako blizu: nobenega preboja jutri, a realna možnost v življenjski dobi sistemov, ki se načrtujejo danes.

Ocene strojne opreme se znižujejo

Premaknile so se predvsem ocene, kako velik bi moral biti kvantni računalnik za napad. V središču so tri dela iz let 2025 in 2026.

RSA-2048 z manj kot milijonom kubitov. Maja 2025 je Craig Gidney iz Google Quantum AI ocenil, da bi kvantni računalnik z manj kot milijonom šumnih kubitov lahko faktoriziral 2048-bitno število RSA v manj kot enem tednu. arXiv:2505.15917 Leta 2019 je bila njegova ocena skupaj z Martinom Ekeråjem še 20 milijonov kubitov. arXiv:1905.09749 Predpostavke o strojni opremi so pri tem ostale enake: kvadratna mreža s povezavami le do sosedov, stopnja napak 0,1 odstotka na vrata in cikel popravljanja napak ene mikrosekunde. Prihranek izvira iz boljših algoritmov in učinkovitejšega popravljanja napak, ne iz boljše strojne opreme. Cena je daljši čas izvajanja.

RSA-2048 s približno 100.000 kubiti. Februarja 2026 je avstralsko podjetje Iceberg Quantum predstavilo arhitekturo „Pinnacle“. Dosedanje običajno popravljanje napak nadomešča s tako imenovanimi kodami qLDPC. Ob enakih predpostavkah o stopnji napak in taktu Iceberg ocenjuje približno 98.000 fizičnih kubitov pri času izvajanja približno en mesec ali približno 471.000 kubitov za približno en dan. arXiv:2602.11457 Arhitektura je bila doslej preverjena le v simulacijah. Zahteva povezave med oddaljenimi kubiti in zelo hitro dekodiranje napak, kar oboje v tem obsegu še ni bilo prikazano.

Eliptične krivulje v minutah. Konec marca 2026 je Google Quantum AI skupaj z raziskovalci fundacije Ethereum Foundation in univerze Stanford objavil ocene virov za 256-bitne krivulje, ki med drugim varujejo Bitcoin in Ethereum. Dve optimizirani vezji potrebujeta manj kot 1.200 logičnih kubitov in manj kot 90 milijonov Toffolijevih vrat ali manj kot 1.450 logičnih kubitov in manj kot 70 milijonov Toffolijevih vrat. Na superprevodni strojni opremi s stopnjo napak 0,1 odstotka to ustreza manj kot 500.000 fizičnim kubitom in času izvajanja nekaj minut. Google to ocenjuje kot približno 20-kratno zmanjšanje glede na doslej najboljšo oceno. Google Research, arXiv:2603.28846

Omembe vreden je tudi način, kako je Google objavil rezultate. Samih vezij ni objavil, da napadalcem ne bi dal navodil. Namesto tega pravilnost ocen dokazuje dokaz brez razkritja znanja (zero-knowledge proof). Za podjetja je to signal: raziskave same to temo zdaj obravnavajo kot varnostno pomembno.

Česa številke ne povedo

Kakor koli impresivna je krivulja, imajo dela jasne meje.

• Takšnega stroja ni. Googlov čip Willow je imel ob predstavitvi decembra 2024 105 kubitov in je pokazal popravljanje napak pod kritičnim pragom. Google Od več sto tisoč kubitov, ki dneve ali tedne računajo s popravljanjem napak, je strojna oprema še daleč.
• Predpostavke so optimistične, a ne eksotične. Vse navedene ocene predpostavljajo stopnjo napak 0,1 odstotka in čase takta v območju mikrosekund. Posamezne platforme takšne vrednosti danes dosegajo, vendar ne v tej velikosti in ne trajno.
• Večina del so prednatisi. Še niso recenzirana. Pri Iceberg je poleg tega treba upoštevati, da rezultati izvirajo le iz simulacij.
• Napredek prihaja iz algoritmov. To je hkrati zaskrbljujoča plat. Vsako zmanjšanje zadnjih let je prišlo iz boljše matematike in boljšega popravljanja napak. Takšen napredek je težko napovedati in lahko pride nenadoma.

Kdor iz tega izpelje natančen datum, v dela vnaša več, kot ponujajo. Zanesljiva ugotovitev je druga: ovira se je v sedmih letih znižala za več kot en velikostni red, ne da bi se spremenile predpostavke o strojni opremi.

Zakaj negotovost ni razlog za čakanje

Pri načrtovanju pomaga preprost premislek, ki izhaja od Michele Mosce. Primerjati je treba tri obdobja:

• kako dolgo morajo podatki ostati zaupni,
• kako dolgo traja prehod na postkvantno kriptografijo,
• kako dolgo bo trajalo do kriptografsko relevantnega kvantnega računalnika.

Če je vsota prvih dveh večja od tretjega obdobja, prehod pride prepozno. Podatke, ki so danes prestreženi in shranjeni, je takrat mogoče pozneje dešifrirati („Store now, decrypt later“).

Načrt EU za postkvantno selitev gradi prav na tem. Primere uporabe razvrsti kot visoko tvegane, če morajo podatki ostati zaupni vsaj deset let, trajanje popolnega prehoda pa ocenjuje na pet do deset let. Načrt EU, PDF Tudi kdor Q-Day pričakuje šele leta 2040, pri desetih letih zaupnosti in petih letih prehoda pride do začetka najpozneje leta 2025.

Pri podpisih je pritisk manjši, saj mora podpis zdržati le, dokler kvantni računalnik ne obstaja. Zato pa so tam časi prehoda najdaljši: PKI-jev, posodobitev strojne programske opreme in naprav z dolgo življenjsko dobo ni mogoče predelati v enem letu. Zato načrt EU zahteva, da se posodobitve programske in strojne programske opreme do leta 2030 privzeto podpisujejo kvantno varno.

Sklep

Raziskave ne dajejo datuma za Q-Day, dajejo pa jasno smer. Strokovnjaki imajo kriptografsko relevanten kvantni računalnik v desetih letih za povsem mogoč, BSI ga do leta 2040 šteje za verjetnega, ocenjene zahteve glede strojne opreme pa so se v letih 2025 in 2026 močno znižale. Za podjetja natančna letnica tako ali tako ni odločilno vprašanje. Odločilno je, ali morajo lastni podatki ostati zaupni dlje, kot dopušča čas za prehod. Katere roke iz tega izpeljujejo oblasti in kaj od tega je zavezujoče, preberite v prispevku Postkvantna kriptografija: roki 2026, 2030 in 2035 ter kaj od tega je zavezujoče.

Viri

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9. marec 2026)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (skupne smernice BMDS, BMI in BSI, 12. oktober 2026)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21. maj 2025)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, objavljeno v Quantum 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, februar 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney idr., arXiv, 30. marec 2026)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31. marec 2026)
• Meet Willow, our state-of-the-art quantum chip (Google, 9. december 2024)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream skupine za sodelovanje NIS, junij 2025)