Что произойдёт, когда квантовые компьютеры смогут наконец взламывать шифры и проникнут в самые сокровенные тайны мира? Случится Q-Day — худший праздник в истории.

Однажды в исследовательской лаборатории в окрестностях Санта-Барбары, Сиэтла или на секретном объекте в горах Китая начнётся внезапное раскрытие мировых секретов. Ваших секретов.

Аналитики по кибербезопасности называют этот день Q-Day — день, когда кто-то создаст квантовый компьютер, способный взломать самые распространённые виды шифрования. Лежащая в их основе математика десятилетиями обеспечивала безопасность интимных данных человечества, но в день «Q» всё может стать уязвимым: электронная почта, текстовые сообщения, анонимные посты, истории местонахождения, биткоин-кошельки, полицейские отчёты, больничные карты, электростанции, вся мировая финансовая система.

«Мы как бы играем в русскую рулетку», — говорит Мишель Моска, соавтор последнего отчёта «Хронология квантовых угроз» Института глобальных рисков, в котором оценивается, сколько времени у нас осталось. «Вы, вероятно, выиграете, если сыграете только один раз, но всё же это не самая лучшая игра». Когда Моска и его коллеги опросили экспертов по кибербезопасности в прошлом году, прогноз был отрезвляющим: вероятность того, что Q-Day наступит до 2035 года, — один к трём. А какова вероятность того, что он уже тайно наступил? Некоторые люди, с которыми я разговаривал, оценили этот шанс в 15% — примерно столько же, сколько можно получить от одного оборота барабана револьвера.

В последние годы за заголовки газет в основном борются корпоративные войны за искусственный интеллект, но гонка квантовых вооружений тоже набирает обороты. Если современный ИИ расширяет границы классических вычислений,– основанных на нулях и единицах, — то квантовые технологии представляют собой совершенно иную форму вычислений. Используя жуткую механику субатомного мира, они могут работать и с 0, и с 1, и с чем-то промежуточным. Это делает квантовые компьютеры плохо подходящими, скажем, для хранения данных, но потенциально очень хорошими, скажем, в поиске рецепта нового футуристического материала (или пароля к вашей электронной почте). Классическая машина обречена на жизнь, состоящую из пошаговых вычислений: попробуйте один набор ингредиентов, потерпите неудачу, отбросьте этот вариант, попробуйте снова. Но квантовые компьютеры могут исследовать множество потенциальных рецептов одновременно.

Поэтому, естественно, такие технологические гиганты, как Google, Huawei, IBM и Microsoft, устремились к бесчисленным подходящим приложениям квантовых технологий — не только для материаловедения, но и для коммуникаций, разработки лекарств и анализа рынка. Китай вкладывает огромные средства в государственные проекты, а США и Евросоюз пообещали выделить миллионы на поддержку отечественных квантовых индустрий. Конечно, кто бы ни победил в этой гонке, он получит не только следующий великий двигатель инноваций, спасающих мир. У них также будет величайшая в истории машина для взлома кодов. Поэтому вполне естественно задаться вопросом: Каким будет Q-Day для человечества и можем ли мы к нему подготовиться?

Если бы у вас была универсальная отмычка, вы могли бы рассказать о ней всем, или же прятать её в кармане так долго, как только сможете. С точки зрения обычного человека, возможно, Q-Day вообще не будет выглядеть как Q-Day. Возможно, он будет выглядеть как серия странных и, казалось бы, не связанных между собой новостей, размазанных по месяцам или годам. В день выборов в Лондоне отключается энергосистема, погружая город во тьму. Американская подводная лодка, выполняющая секретное задание, всплывает на поверхность и обнаруживает, что окружена вражескими кораблями. Материалы интимного свойства начинают появляться в сети во всё больших и больших количествах: секретные разведывательные телеграммы, президентские прикрытия, дик-пики миллиардеров. При таком сценарии могут пройти десятилетия, прежде чем мы сможем точно определить, когда же на самом деле случился Q-Day.

С другой стороны, возможно, обладатель универсальной отмычки предпочтёт вариант, напоминающий фильм-катастрофу: всё, везде и сразу. Разрушить сеть. Вывести из строя ракетные шахты. Разрушить банковскую систему. Открыть все двери и выпустить секреты наружу.

Предположим, вы попросите классический компьютер решить простую математическую задачу: разбить число 15 на наименьшие простые множители. Компьютер переберёт все варианты по очереди и почти мгновенно выдаст ответ: 3 и 5. Если вы попросите компьютер разложить на множители число из 1000 цифр, он решит задачу тем же способом, но эти вычисления займут тысячелетия. Это ключ ко многим современным криптографиям.

Возьмём, к примеру, шифрование RSA, разработанное в конце 1970-х годов и до сих пор используемое для защиты электронной почты, веб-сайтов и многого другого. В RSA вы (или выбранное вами приложение для обмена зашифрованными сообщениями) создаёте закрытый ключ, который состоит из двух или более больших простых чисел. Эти числа, перемноженные вместе, составляют часть вашего открытого ключа. Когда кто-то хочет отправить вам сообщение, он использует ваш открытый ключ для его шифрования. Вы единственный человек, который знает исходные простые числа, поэтому вы единственный человек, который может расшифровать сообщение. Но только до тех пор, пока кто-то другой не создаст квантовый компьютер, который сможет использовать свои жуткие возможности параллельных вычислений для получения закрытого ключа из открытого — не за тысячелетия, а за минуты. Тогда вся система рухнет.

Алгоритм для этого уже существует. В 1994 году, за десятилетия до того, как кто-то построил настоящий квантовый компьютер, исследователь из AT&T Bell Labs по имени Питер Шор разработал «killer app» для Q-Day. Алгоритм Шора использует тот факт, что квантовые компьютеры работают не на битах, а на кубитах. Вместо того чтобы быть ограничиваться состояниями 0 или 1, они могут существовать в обеих состояниях одновременно — в суперпозиции. Когда вы выполняете операцию над несколькими кубитами в определённом квантовом состоянии, вы фактически выполняете ту же операцию над теми же самыми кубитами во всех их потенциальных квантовых состояниях. С кубитами вы не ограничены методом проб и ошибок. Квантовый компьютер может исследовать все потенциальные решения одновременно. Вы вычисляете распределения вероятностей, волны квантовой обратной связи, которые нагромождаются друг на друга и достигают пика в правильном ответе. С алгоритмом Шора, тщательно разработанным для усиления определённых математических закономерностей, именно это и происходит: Большие числа входят в один конец «чёрного ящика», множители выходят из другого.

По крайней мере, в теории. Кубиты невероятно сложно создать в реальной жизни, потому что малейшее вмешательство окружающей среды может вывести их из хрупкого состояния суперпозиции, в котором они балансируют наподобие вращающейся монеты. Но алгоритм Шора подогрел интерес к этой области, и к 2010-м годам ряд проектов начал делать успехи в создании первых кубитов. В 2016 году, возможно, почувствовав зарождающуюся угрозу Q-Day, Национальный институт стандартов и технологий США (NIST) объявил конкурс на разработку квантово-безопасных алгоритмов шифрования. В основном они работают, представляя квантовым компьютерам сложные многомерные лабиринты, называемые структурированными решётками, в которых даже они не могут ориентироваться без подсказок.

В 2019 году квантовая лаборатория Google в Санта-Барбаре заявила, что достигла «квантового превосходства». Её 53-кубитный чип всего за 200 секунд мог выполнить задачу, на которую у 100 000 обычных компьютеров ушло бы около 10 000 лет. Последний квантовый процессор Google, Willow, имеет 105 кубитов. Но чтобы взломать шифрование по алгоритму Шора, квантовому компьютеру понадобятся тысячи или даже миллионы кубитов.

В настоящее время сотни компаний пытаются создать квантовые компьютеры, используя самые разные методы, направленные на то, чтобы изолировать кубиты от окружающей среды и держать их под контролем: сверхпроводящие цепи, ионы в ловушках, молекулярные магниты, углеродные наносферы. В то время как прогресс в области аппаратного обеспечения движется вперёд, учёные-компьютерщики совершенствуют квантовые алгоритмы, пытаясь уменьшить количество кубитов, необходимых для их выполнения. Каждый такой шаг приближает Q-Day.

Это плохая новость не только для RSA, но и для головокружительного множества других систем, которые будут уязвимы в день «Q». Консультант по безопасности Роджер А. Граймс перечисляет некоторые из них в своей книге «Криптографический апокалипсис»: шифрование DSA, которое до недавнего времени использовали многие правительственные учреждения США, эллиптическая криптография, используемая для защиты таких криптовалют, как Bitcoin и Ethereum, VPN, позволяющие политическим активистам и любителям порнографии скрытно просматривать веб-страницы, генераторы случайных чисел, на которых работают онлайн-казино, смарт-карты, позволяющие вам проходить через запертые двери на работе, защита вашей домашней сети Wi-Fi, двухфакторная аутентификация, используемая для входа в свой почтовый ящик.

Эксперты одного из агентств национальной безопасности рассказали мне, что они разделяют возникающие угрозы на две большие области: конфиденциальность и аутентификация. Другими словами, сохранение секретов и контроль доступа к критическим системам. Крис Демчак, бывший офицер армии США, профессор кибербезопасности в Военно-морском колледже США, который беседовал со мной как физическое лицо, говорит, что компьютер дня «Q» может позволить противнику подслушивать секретные военные данные в режиме реального времени. «Было бы очень плохо, если бы они точно знали, где находятся все наши подводные лодки», — говорит Демчак. «Было бы очень плохо, если бы они точно знали, на что смотрят наши спутники. И было бы очень плохо, если бы они точно знали, сколько у нас ракет и какова их дальность». Баланс геополитических сил, скажем, в Тайваньском проливе может быстро измениться.

Помимо угрозы конфиденциальности существует также перспектива атак по принципу «собери сейчас, расшифруй потом». Сообщается, что хакеры, связанные с китайским государством, годами собирают зашифрованные данные в надежде однажды получить квантовый компьютер, который сможет их взломать. Они «воруют все подряд», — сказал мне Демчак. (США почти наверняка тоже этим занимаются.) Тогда возникает вопрос: как долго ваши конфиденциальные данные будут оставаться ценными? «Возможно, в этом стоге сена есть несколько иголок», — говорит Брайан Маллинз, генеральный директор компании Mind Foundry, которая помогает компаниям внедрять квантовые технологии. «Возможно, через 10 лет данные вашей кредитной карты устареют, но отпечатки пальцев – нет». Список агентов, составленный по окончании войны в Ираке, может показаться бесполезным, пока один из них не станет видным политиком.

Угроза аутентификации может быть ещё страшнее. «Практически всё, что подтверждает, что человек является тем, за кого себя выдаёт, основано на шифровании», — говорит Дебора Фринке, компьютерный учёный и эксперт по национальной безопасности из Национальной лаборатории Сандия. «Некоторые из наиболее чувствительных и ценных объектов инфраструктуры, которые у нас есть, окажутся уязвимыми для того, чтобы кто-то вошёл, выдал себя за законного владельца и отдал какую-то команду: отключить сеть, повлиять на энергосистему, создать финансовые проблемы, остановить фондовый рынок».

Точный уровень хаоса Q-Day будет зависеть от того, кто получит доступ к первым криптографически значимым квантовым компьютерам. Если это будут Соединённые Штаты, то на высших правительственных уровнях начнутся «ожесточённые дебаты», считает Демчак, по поводу того, стоит ли выпускать его в научных целях или держать в секрете и использовать для разведки. «Если частная компания доберётся до него первой, США купят его, а китайцы попытаются взломать, — утверждает она. Если это будет одна из американских технологических компаний, правительство может поставить её под строгий экспортный контроль, который сейчас применяется к чипам ИИ».

Большинство атак национальных государств направлены на частные компании — например, кто-то пытается проникнуть в систему оборонного подрядчика, такого, как Lockheed Martin, и украсть планы истребителя следующего поколения. Но со временем, когда квантовые компьютеры станут более доступными, направленность атак может расшириться. Такие компании, как Microsoft и Amazon, уже предлагают исследователям доступ к своим примитивным квантовым устройствам в облаке, а крупные технологические компании не всегда следят за тем, кто использует их платформы. (Солдат, взорвавший кибергрузовик у отеля Trump International в Лас-Вегасе в начале этого года, воспользовался советом ChatGPT, чтобы помочь спланировать атаку). Возможен лихой сценарий, в котором киберпреступник использует облачную платформу квантовых вычислений Amazon для взлома Amazon Web Services.

Киберпреступники, получившие доступ к квантовому компьютеру, могут использовать его для более эффективных атак на те же самые цели или для более масштабных действий: взлома системы международных платежей SWIFT для перенаправления денежных переводов или корпоративного шпионажа с целью сбора компромата. Самые ранние квантовые компьютеры, вероятно, не смогут выполнять алгоритм Шора так быстро — они смогут получать лишь один или два ключа в день. Но если объединить квантовый компьютер с искусственным интеллектом, который сможет определить слабые места организации и выделить ключи, которые нужно расшифровать, чтобы нанести наибольший ущерб, это может привести к катастрофическим результатам.

А ещё есть биткойн. Эта криптовалюта очень уязвима для Q-Day. Поскольку каждый блок в блокчейне биткоина фиксирует данные предыдущего блока, биткоин невозможно перевести на постквантовую криптографию, считает Капил Дхиман, генеральный директор Quranium, компании, занимающейся безопасностью постквантового блокчейна. «Единственным решением в этой ситуации кажется жёсткий форк — рождение новой цепочки, а старая цепочка умирает».

Но это потребует масштабных организационных усилий. Сначала 51% операторов узлов биткойна должны будут прийти к соглашению. Затем все, кто владеет биткоином, должны будут вручную перевести свои средства из старой цепочки в новую (включая неуловимого Сатоши Накамото, разработчика биткоина, который контролирует кошельки, содержащие около 100 миллиардов долларов криптовалюты). Если Q-Day произойдёт до хард форка, ничто не помешает биткоину обнулиться. «Это как бомба замедленного действия», — говорит Дхиман.

И взрыв этой бомбы — это только начало. Когда Q-Day станет достоянием общественности, либо через мрачное правительственное обращение, либо через радостный пресс-релиз крупного технологического концерна, мир вступит в постквантовую эпоху. Это будет эпоха, определяемая недоверием и паникой — конец цифровой безопасности, какой мы её знаем. «И тогда начнётся смятение», — говорит Демчак.

Вся уверенность в конфиденциальности наших коммуникаций рухнет. Конечно, маловероятно, что сообщения каждого человека будут действительно прослушиваться, но ощущение того, что за вами могут шпионить в любой момент, изменит наш образ жизни. И если к тому времени алгоритмы квантовой защиты NIST ещё не распространятся на ваши устройства, вы столкнётесь с серьёзной проблемой — ведь любые попытки установить обновления через облако также будут вызывать подозрения. Что, если загрузка из Apple на самом деле идёт не из Apple? Можете ли вы доверять инструкциям, в которых говорится о переводе ваших криптовалют в новый кошелёк с квантовой защитой?

Граймс, автор книги «Криптографический апокалипсис», предсказывает огромные разрушения. Возможно, нам придётся вернуться к методам передачи конфиденциальных данных времён холодной войны. (Ходят слухи, что после крупного взлома в 2011 году один подрядчик якобы попросил своих сотрудников на шесть недель отказаться от использования электронной почты). Заполните жёсткий диск, спрячьте его в портфель, посадите кого-то, кому вы доверяете, в самолёт, и пристегните эту полезную информацию наручниками к его запястью. Или используйте одноразовые блокноты — книги с заранее согласованными кодами для шифрования и дешифрования сообщений.

Этот подход будет квантово-безопасным, но не очень масштабируемым. Можно ожидать, что основные отрасли промышленности — энергетика, финансы, здравоохранение, производство, транспорт – кардинально замедлят свою работу, поскольку компании с конфиденциальными данными перейдут на бумажные методы ведения бизнеса и начнут нанимать дорогостоящих консультантов по криптографии. Произойдёт всплеск инфляции. Большинство людей, возможно, просто смирится с неизбежным: общество постприватности, в котором любые ожидания секретности испаряются, если только вы не разговариваете с кем-то лично в уединённом месте с выключенными телефонами. Старший Квант будет следить за вами.

Наименее плохой сценарий будет похож на Y2K, когда у нас начинается коллективная паника, мы проводим необходимые обновления шифрования, и к тому времени, когда наступает Q-Day, это будет уже такая разрядка напряжения, что всё превратится в шутку. Такой исход всё ещё возможен. Прошлым летом NIST выпустил свой первый набор стандартов постквантового шифрования. Одним из последних действий Джо Байдена на посту президента стало подписание указа, изменяющего срок внедрения алгоритмов NIST правительственными агентствами с 2035 года на «как можно скорее».

Постквантовая криптография NIST уже внедрена в такие платформы обмена сообщениями, как Signal и iMessage. Источники сообщили мне, что конфиденциальные данные, касающиеся национальной безопасности, вероятно, хранятся под квантово-безопасным замком. Но если ваш почтовый ящик можно легко защитить через интернет (при условии, что обновление не придёт от квантового мошенника!), то другие вещи — нет. Государственные организации, такие как Национальная служба здравоохранения Великобритании, до сих пор используют оборудование и программное обеспечение 1990-х годов. «Microsoft не собирается обновлять некоторые из своих старейших операционных систем, чтобы обеспечить постквантовую безопасность», — говорит Али Эль Каафарани, генеральный директор PQShield, компании, которая производит квантовоустойчивое оборудование. Обновление физической инфраструктуры может занять десятилетия, а некоторые из этих инфраструктур имеют уязвимую криптографию в местах, где её нельзя изменить: энергетическая сеть, военная техника и спутники могут оказаться под угрозой.

И здесь необходимо соблюдать баланс. Торопливый переход чреват появлением уязвимостей, которых раньше не было. «Как сделать переход достаточно медленным, чтобы можно было быть уверенным, и достаточно быстрым, чтобы не замешкаться?» — спрашивает Крис Балланс, генеральный директор Oxford Ionics, компании, занимающейся квантовыми вычислениями. Некоторые из этих уязвимостей, возможно, даже заложены специально: записки Эдварда Сноудена свидетельствуют о том, что АНБ могло вставить бэкдор в генератор псевдослучайных чисел, который был принят NIST в 2006 году. «Если кто-то агитирует за конкретный алгоритм, за которым стоит какое-то государство, стоит задуматься, нет ли здесь корыстного интереса», — говорит Роб Янг, директор Центра квантовых технологий при Ланкастерском университете.

С другой стороны, несколько человек, с которыми я разговаривал, отметили, что любое государство, обладающее финансовыми возможностями и техническими знаниями для создания квантового устройства, способного выполнять алгоритм Шора, может с такой же лёгкостью взломать финансовую систему, энергосистему или систему безопасности противника с помощью обычных методов. Зачем изобретать новую вычислительную парадигму, если можно просто подкупить уборщика?

Задолго до того, как квантовые технологии станут достаточно хороши для взлома шифров, они будут достаточно полезны с коммерческой и научной точек зрения, чтобы изменить глобальный баланс. По мере того как исследователи будут решать инженерную задачу изоляции кубитов от окружающей среды, они будут разрабатывать изысканно чувствительные квантовые датчики, которые смогут разоблачать корабли-невидимки и составлять карты скрытых бункеров, а также позволят нам по-новому взглянуть на человеческое тело. Точно так же фармацевтические компании будущего смогут использовать квантовые технологии, чтобы украсть изобретения конкурентов — или использовать их, чтобы придумать ещё более совершённые. Так что в конечном итоге лучшим способом предотвратить Q-Day может стать совместное использование этих преимуществ: возьмите лучшие батареи, чудодейственные лекарства, дальновидные прогнозы климата и используйте их для создания квантовой утопии, состоящей из новых материалов и лучшей жизни для всех. Другой вариант — да начнётся махач.