Mathematik, Kryptographie, Quanten on kenji.blog

[PQC] Das gesamte Bild der Post-Quanten-Kryptographie, der Kryptographie der nächsten Generation im Zeitalter der Quantencomputer

Sat, 05 Sep 2026 22:09:22 +0900

Einführung: Die “Bedrohung” der Kryptographie durch Quantencomputer

Heutzutage wird ein Großteil unserer alltäglichen Kommunikation im Internet – Online-Banking-Zahlungen, das Surfen auf Websites (HTTPS), Nachrichten in Messenger-Apps bis hin zu Blockchain- und Krypto-Asset-Transaktionen – durch eine Technologie namens “Public-Key-Kryptographie” geschützt. Konkret bilden Algorithmen wie die RSA-Kryptographie und die Elliptische-Kurven-Kryptographie (ECC) die Grundlage für die Zuverlässigkeit unserer modernen digitalen Gesellschaft.

Diese Verschlüsselungsmethoden basieren auf der Sicherheit mathematischer Probleme, wie der “Faktorisierung riesiger Zahlen” und dem “diskreten Logarithmusproblem”, für deren Lösung heutige klassische Computer (einschließlich Supercomputer) astronomisch lange brauchen würden. Wenn jedoch der in den letzten Jahren rasant voranschreitende Quantencomputer in die Praxis umgesetzt wird, wird diese Prämisse grundlegend auf den Kopf gestellt.

Der “Shor-Algorithmus”, der 1994 von Peter Shor veröffentlicht wurde, bewies mathematisch, dass ein Quantencomputer mit ausreichender Leistung Probleme wie Faktorisierung und diskrete Logarithmen in extrem kurzer Zeit lösen kann. Das bedeutet das Risiko, dass die kryptographische Kommunikation, die das heutige Internet schützt, in Zukunft vollständig entschlüsselt wird (ein Problem, das als Y2Q: Years to Quantum oder Q-Day bezeichnet wird).

Noch gravierender ist die Existenz einer Angriffsmethode namens “Harvest Now, Decrypt Later” (Jetzt Daten stehlen und speichern, später entschlüsseln, wenn die Kryptographie gebrochen werden kann). Daten, die über Jahrzehnte hinweg vertraulich bleiben müssen, wie nationale Geheimnisse, geistiges Eigentum von Unternehmen und persönliche biometrische Informationen, könnten bereits jetzt gestohlen werden mit der Prämisse einer künftigen Entschlüsselung.

Um auf diese beispiellose Krise zu reagieren, bündeln Kryptographen und Forschungseinrichtungen auf der ganzen Welt ihre Anstrengungen, um eine kryptographische Technologie der nächsten Generation zu entwickeln, die auch gegen Angriffe durch Quantencomputer sicher bleibt: die Post-Quanten-Kryptographie (PQC) . In diesem Artikel erklären wir die Grundlagen der PQC, die Mechanismen wichtiger Algorithmen und die neuesten Trends in der globalen Standardisierung, die vom US-amerikanischen National Institute of Standards and Technology (NIST) vorangetrieben werden.

Was ist Post-Quanten-Kryptographie (PQC)?

Post-Quanten-Kryptographie (Post-Quantum Cryptography, PQC) ist ein Sammelbegriff für kryptographische Algorithmen, die so konzipiert sind, dass sie auf bestehenden klassischen Computern laufen und gleichzeitig resistent gegen Angriffe durch zukünftige große Quantencomputer (wie den Shor-Algorithmus) sind.

Technologien, die oft damit verwechselt werden, sind die “Quantenkryptographie (Quantum Cryptography)” und die “Quantenschlüsselverteilung (QKD)”, aber diese verfolgen völlig andere Ansätze. Die Quantenkryptographie (QKD) ist eine hardwarebasierte Technologie, die physikalische Gesetze der Quantenmechanik (wie die Eigenschaft, dass sich der Zustand bei Beobachtung ändert) nutzt, um Abhören auf dem Kommunikationsweg physikalisch unmöglich zu machen. Sie erfordert dedizierte Glasfasern und spezielle Geräte, was zu Herausforderungen hinsichtlich Einführungskosten und Entfernungsbeschränkungen führt.

Andererseits ist die PQC eine rein “mathematisch” basierte, softwarebasierte kryptographische Technologie . Daher kann sie als Software-Update in bestehende Internet-Infrastrukturen, Server, Smartphones, Browser usw. integriert werden und zeichnet sich durch eine sehr hohe Anwendbarkeit in der realen Welt aus. Für IT-Unternehmen und Regierungsbehörden weltweit ist es eine dringende Aufgabe, die derzeit verwendeten RSA und ECC durch diese PQC zu ersetzen (zu migrieren).

Die 4 wichtigsten mathematischen Ansätze der PQC

Basierend auf mathematischen Problemen (wie NP-schweren Problemen), die selbst mit Quantencomputern nicht effizient gelöst werden können, wurden verschiedene PQC-Algorithmen vorgeschlagen. Hier stellen wir die vier wichtigsten Kategorien vor, die derzeit im Mainstream sind.

Hauptansätze der Post-Quanten-Kryptographie (PQC)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


graph LR
 PQC[Post-Quanten-Kryptographie PQC] --> L[Gitterbasierte Kryptographie Lattice-based]
 PQC --> H[Hash-basierte Kryptographie Hash-based]
 PQC --> M[Multivariate Kryptographie Multivariate]
 PQC --> C[Codebasierte Kryptographie Code-based]

 L --> L1(FIPS 203: ML-KEM)
 L --> L2(FIPS 204: ML-DSA)

 H --> H1(FIPS 205: SLH-DSA)

 style PQC fill:#f9f,stroke:#333,stroke-width:2px

1. Gitterbasierte Kryptographie (Lattice-based Cryptography)

Derzeit gilt die “gitterbasierte Kryptographie” als die vielversprechendste und am weitesten verbreitete Methode im Bereich der PQC. Gitterbasierte Kryptographie stützt ihre Sicherheit auf Probleme im Zusammenhang mit regelmäßig angeordneten Punkten (Gitterpunkten) in vieldimensionalen Räumen. Bekannte Probleme sind das “Kürzeste-Vektor-Problem (SVP: Shortest Vector Problem)” und das “Learning With Errors (LWE)"-Problem.

Überblick über die Funktionsweise: Stellen Sie sich unzählige Punkte vor, die in einem gitterartigen Muster in einem Raum mit extrem hoher Dimension (Hunderte bis Tausende von Dimensionen) angeordnet sind. Einen bestimmten Gitterpunkt in zwei oder drei Dimensionen zu finden, ist einfach, aber in Hunderten von Dimensionen wurde noch kein Algorithmus entdeckt, um ihn effizient zu finden, weder mit einem klassischen noch mit einem Quantencomputer. Insbesondere das LWE-Problem nutzt die Eigenschaft, dass “wenn man absichtlich ein kleines ‘Rauschen (Fehler)’ zu einem System linearer Gleichungen hinzufügt, es drastisch schwieriger wird, die ursprünglichen Variablen zu erraten”.

Vorteile:

Anwendbar sowohl für Schlüsselaustausch (KEM) als auch für digitale Signaturen.
Sehr schnelle Verarbeitungsgeschwindigkeit (in einigen Fällen schneller als RSA und ECC).
Gute Balance mit relativ kleinen Schlüssel- und Chiffretextgrößen.

Viele der derzeit vom NIST standardisierten Algorithmen (wie ML-KEM und ML-DSA) verwenden diese gitterbasierte Kryptographie.

2. Hash-basierte Kryptographie (Hash-based Cryptography)

Die hashbasierte Kryptographie ist ein auf digitale Signaturen spezialisierter PQC-Algorithmus. Die Grundlage ihrer Sicherheit hängt ausschließlich von der Kollisionsresistenz und Einwegfunktion sicherer “kryptographischer Hash-Funktionen” wie SHA-2 und SHA-3 ab.

Überblick über die Funktionsweise: Der Ausgangspunkt ist ein Einweg-Signaturschema (One-Time-Signatur), das nur einmal verwendet werden kann, genannt “Lamport-Signatur”. Durch die Bündelung dieser mit einer baumartigen Datenstruktur, dem sogenannten “Merkle-Baum”, wird es möglich, mehrere Signaturen mit einem einzigen Schlüsselpaar zu erstellen.

Vorteile:

Die Sicherheitsgrundlage ist extrem robust, mit einem starken Beweis, dass sie “sicher ist, solange die Hash-Funktion sicher ist”.
Da es weniger Abhängigkeit von mathematischen Strukturen gibt, ist das Risiko, eine unerwartete Entschlüsselungsmethode zu finden, gering.

Nachteile:

Kann nicht für den Schlüsselaustausch (KEM) verwendet werden, nur für digitale Signaturen.
Die Signaturgrößen neigen dazu, groß zu sein.
Es gibt “Zustandsbehaftete (Stateful)” und “Zustandslose (Stateless)” Versionen, wobei stateful (wie XMSS) bei der Implementierung schwierig sind, da die Anzahl der Schlüsselverwendungen streng verwaltet werden muss.

NIST standardisiert “SLH-DSA (ehemals SPHINCS+)” als zustandslose hashbasierte Signatur.

3. Multivariate Kryptographie (Multivariate Cryptography)

Multivariate Kryptographie basiert auf der Schwierigkeit, Systeme multivariater quadratischer Polynome mit vielen Variablen (MQ-Problem: Multivariate Quadratic problem) zu lösen. Dieses Problem ist bekanntermaßen NP-schwer.

Überblick über die Funktionsweise: Der Sender erstellt einen Chiffretext (Signatur), indem er Klartext (oder einen Hash-Wert) in eine komplexe Gleichung mit vielen Variablen einfügt, die als öffentlicher Schlüssel bereitgestellt wird. Der rechtmäßige Empfänger besitzt “verborgene Informationen (eine Trapdoor), die die Struktur der Gleichung in eine leicht lösbare Form umwandeln” als privaten Schlüssel und verwendet diesen zum Entschlüsseln (oder zur Signaturüberprüfung).

Vorteile:

Sehr kleine Signaturgrößen.
Extrem schnelle Signaturüberprüfung. Geeignet für IoT-Geräte mit begrenzten Ressourcen.

Nachteile:

Die Größe des öffentlichen Schlüssels ist sehr groß (oft von mehreren Dutzend bis Hunderten von Kilobyte).
Es gibt Fälle in der Vergangenheit, in denen vielversprechende Algorithmen (wie Rainbow) durch klassische Angriffe gebrochen wurden, was es schwieriger macht, Vertrauen in ihre Sicherheit aufzubauen als bei anderen Methoden.

4. Codebasierte Kryptographie (Code-based Cryptography)

Die codebasierte Kryptographie wendet die Theorie der “Fehlerkorrekturcodes”, die zur Korrektur von Fehlern auf Kommunikationswegen verwendet werden, auf die Kryptographie an. Das 1978 vorgeschlagene “McEliece-Kryptosystem” ist das bekannteste und eines der ältesten in der PQC.

Überblick über die Funktionsweise: Der Sender codiert den Klartext unter Verwendung des öffentlichen Schlüssels des Empfängers (eine Generatormatrix eines Fehlerkorrekturcodes mit verborgener spezifischer Struktur) und fügt absichtliche Fehler (Rauschen) hinzu, bevor er ihn sendet. Der Empfänger verwendet den privaten Schlüssel, um die Fehler zu entfernen und den Klartext zu extrahieren. Ein Kryptoanalytiker muss die Fehler aus einem bloßen Zufallscode korrigieren, dessen Struktur er nicht kennt; dies wird als “allgemeines Syndrom-Dekodierungsproblem” bezeichnet und es ist bewiesen, dass es NP-schwer ist.

Vorteile:

Da es seit über 40 Jahren intensiv erforscht wird und bisher keine wirksamen Angriffe gefunden wurden, ist die Zuverlässigkeit seiner Sicherheit extrem hoch.
Schnelle Verarbeitungsgeschwindigkeiten für Verschlüsselung und Entschlüsselung.

Nachteile:

Die Größe des öffentlichen Schlüssels ist enorm (kann mehrere Megabyte betragen). Daher ist es schwierig, es in Umgebungen mit begrenzter Kommunikationsbandbreite oder Speicherkapazität (wie bei TLS-Handshakes) zu verwenden.

Neueste Entwicklungen der PQC-Standardisierung durch NIST

Das US-amerikanische National Institute of Standards and Technology (NIST) rief 2016 weltweit zur Einreichung von Vorschlägen für Post-Quanten-Kryptographie-Algorithmen der nächsten Generation auf und hat über mehrere Jahre hinweg strenge Evaluierungen und Runden durchgeführt.

Im Jahr 2024 veröffentlichte NIST schließlich die folgenden drei Algorithmen als offizielle Federal Information Processing Standards (FIPS). Damit wurde ein solides Fundament für Organisationen auf der ganzen Welt geschaffen, um mit der Implementierung in Produktionsumgebungen zu beginnen.

Festgelegte FIPS-Standards (2024)

FIPS 203: ML-KEM (früher: CRYSTALS-Kyber)
- Verwendung: Key Encapsulation Mechanism (KEM) / Verschlüsselung & Schlüsselaustausch
- Basistechnologie: Gitterbasierte Kryptographie (Module-LWE)
- Eigenschaften: Hervorragendes Gleichgewicht zwischen Schlüsselgröße und Geschwindigkeit; dient als Standard-PQC-Schlüsselaustausch für allgemeine Internetanwendungen wie Webkommunikation (TLS) und sichere Messaging-Apps.
FIPS 204: ML-DSA (früher: CRYSTALS-Dilithium)
- Verwendung: Digitale Signatur
- Basistechnologie: Gitterbasierte Kryptographie (Module-LWE)
- Eigenschaften: Der primäre Standard für digitale Signaturen. Es ermöglicht eine effiziente Verarbeitung und wird der neue Standard für alle elektronischen Signaturanwendungen sein, wie z. B. Software-Signaturen und Dokumentenauthentifizierung.
FIPS 205: SLH-DSA (früher: SPHINCS+)
- Verwendung: Digitale Signatur
- Basistechnologie: Hash-basierte Kryptographie (zustandslos)
- Eigenschaften: Spielt eine entscheidende Rolle, da es als Backup fungiert, falls in Zukunft Schwachstellen in der gitterbasierten Kryptographie entdeckt werden sollten. Die Signaturgröße ist größer, aber es eignet sich für Anwendungen, die eine langfristige Zuverlässigkeit erfordern.

Das Streben nach weiterer Diversität

Während das NIST seinen ersten Standardisierungsprozess abgeschlossen hat, setzt es die Suche nach weiteren Algorithmen fort. Insbesondere weil die Standards derzeit auf “Gitterbasierte Kryptographie” ausgerichtet sind, wird der Gewährleistung von kryptographischer Diversität (Crypto Diversity) große Bedeutung beigemessen. Codebasierte Kryptographie und andere werden als Backup-Standards für den Schlüsselaustausch evaluiert, und das Fundament der PQC soll in Zukunft noch robuster werden.

Übergangsszenarien zur PQC und Herausforderungen: Die Bedeutung der “Crypto-Agility”

Mit der Veröffentlichung formeller Standards durch das NIST werden Regierungsbehörden, Finanzinstitute und Technologieunternehmen auf der ganzen Welt den Übergang (Migration) vom bestehenden RSA/ECC zur PQC ernsthaft einleiten. Richtlinien von Organisationen wie der NSA (National Security Agency) empfehlen ebenfalls einen baldigen Abschluss der Migration.

Annahme eines hybriden Ansatzes

Da PQC-Algorithmen neu sind, haben sie im Vergleich zur klassischen Kryptographie nicht den “Test der Zeit” bestanden. Um das Risiko von Fehlern in der Implementierung oder der Entdeckung neuer Angriffsmethoden zu berücksichtigen, wird während der Übergangsphase ein “hybrider Ansatz” empfohlen. Hierbei wird ein bewährtes bestehendes Kryptosystem (z. B. ECDHE) mit einem neuen PQC (z. B. ML-KEM) für den Schlüsselaustausch kombiniert. Derzeit schreitet die probeweise Einführung dieses Ansatzes in großen Browsern und Cloud-Diensten rasant voran.

Erreichen von Crypto-Agility (Kryptographische Agilität)

Was Unternehmen und Systementwickler in Zukunft am meisten im Auge behalten sollten, ist die Gewährleistung der “Crypto-Agility” . Eine flexible Architektur, die es ermöglicht, kryptographische Algorithmen schnell auszutauschen und zu aktualisieren, ohne das System anzuhalten, wenn in Zukunft Schwachstellen in einem Algorithmus entdeckt werden oder neue Standards aufkommen, ist unerlässlich.

Die Erstellung eines Kryptographie-Inventars (CBOM: Cryptography Bill of Materials), um genau zu verstehen, “wo”, “welche Kryptographie” und “zu welchem Zweck” in den eigenen Systemen verwendet wird, ist ein wichtiger erster Schritt in Richtung PQC-Migration.

Fazit: Vorbereitung auf den kommenden “Q-Day”

Während die Entwicklung von Quantencomputern der Menschheit enorme Vorteile bringen wird, stellt sie gleichzeitig die größte Bedrohung für die kryptographische Sicherheit dar, die die Grundlage unserer derzeitigen digitalen Gesellschaft bildet. Die Post-Quanten-Kryptographie (PQC) ist kein “Forschungsthema der fernen Zukunft” mehr. Durch den Meilenstein der Veröffentlichung von FIPS-Standards durch das NIST ist die PQC in eine vollwertige Phase der “Implementierung und Migration” eingetreten.

In Anbetracht der Bedrohung durch “Harvest Now, Decrypt Later” ist der Übergang zur PQC eine oberste Priorität, die für jede Organisation, die mit hochsensiblen Daten umgeht, “jetzt sofort” angegangen werden muss. Lassen Sie uns die Technologie der Kryptographie der nächsten Generation tief verstehen und die Crypto-Agility unserer Systeme erhöhen, um das kommende Quantencomputer-Zeitalter sicher zu meistern.

Wird der Quantencomputer wirklich die RSA-Verschlüsselung knacken? ~ Shors Algorithmus und der aktuelle Stand ~

Sat, 05 Sep 2026 22:09:21 +0900

Einleitung: Die Schnittstelle von Kryptographie und Quantencomputern

In der modernen Internetgesellschaft ist die “Public-Key-Kryptographie” die Grundlage für den Schutz des Kommunikationsgeheimnisses. Ein prominentes Beispiel ist die “RSA-Verschlüsselung”, die 1977 von Ron Rivest, Adi Shamir und Leonard Adleman entwickelt wurde. Von Online-Shopping-Zahlungen, die wir täglich nutzen, über das Surfen auf Websites (HTTPS) bis hin zum Senden und Empfangen von E-Mails fungiert die RSA-Verschlüsselung als Herzstück der Internet-Infrastruktur.

Jedoch wurde darauf hingewiesen, dass die Sicherheit durch das Aufkommen von “Quantencomputern” grundlegend untergraben werden könnte. In den Medien finden sich manchmal aufsehenerregende Schlagzeilen wie “Wenn der Quantencomputer fertiggestellt ist, werden alle Passwörter und Verschlüsselungen der Welt in Sekunden geknackt”. Ist das wirklich wahr?

In diesem Artikel werden wir tief in die Mechanismen der GNFS (General Number Field Sieve), einer klassischen kryptoanalytischen Methode, und des “Shor-Algorithmus (Shor’s Algorithm)”, des ultimativen kryptoanalytischen Algorithmus unter Verwendung eines Quantencomputers, eintauchen. Wir werden fortgeschrittene Konzepte wie die Quanten-Fouriertransformation und das Finden von Perioden leicht verständlich erklären und den aktuellen Stand der Quantenhardware in der derzeitigen NISQ-Ära (Noisy Intermediate-Scale Quantum) sowie die tatsächlichen Hürden zur Knackung von RSA-2048 detailliert untersuchen.

Die Grundlage der RSA-Verschlüsselung: Die Schwierigkeit der Primfaktorzerlegung

Die Sicherheit der RSA-Verschlüsselung beruht auf einer extrem einfachen Asymmetrie in der Mathematik. Es ist die Tatsache, dass “es einfach ist, zwei riesige Primzahlen miteinander zu multiplizieren, aber extrem schwierig ist, die ursprünglichen zwei Primzahlen aus dem Ergebnis dieser Multiplikation (zusammengesetzte Zahl) zu finden (Primfaktorzerlegung)”.

Angenommen, wir haben zwei Primzahlen $ p = 61 $ und $ q = 53 $. Diese Multiplikation $ N = p \times q = 3233 $ ist in einem Augenblick berechnet. Wenn uns jedoch nur die Zahl “3233” gegeben wird und wir lösen sollen: “Welche Primzahlen wurden hier multipliziert?”, explodiert die Rechenkomplexität, je größer die Zahlen werden.

Beim derzeit dominierenden RSA-2048 wird eine riesige zusammengesetzte Zahl $ N $ mit einer Schlüssellänge von 2048 Bits verwendet, was etwa 617 Dezimalstellen entspricht. Wenn dieses $ N $ in Primfaktoren zerlegt werden kann, gilt die Verschlüsselung als geknackt.

Die Herausforderung durch klassische Computer: GNFS (General Number Field Sieve)

Um das Problem der Primfaktorzerlegung zu lösen, haben Mathematiker und Kryptographen über viele Jahre verschiedene Algorithmen entwickelt. Unter ihnen gilt die ** General Number Field Sieve (GNFS) ** als die derzeit schnellste Methode für klassische Computer.

GNFS ist eine Methode zur Primfaktorzerlegung einer riesigen Zahl $ N $, indem die Berechnungen im Ring der ganzen Zahlen auf einen abstrakteren algebraischen Zahlkörper (Number Field) erweitert und analysiert werden. Der grobe Ablauf ist wie folgt:

** Auswahl des Polynoms ** : Finden eines Polynoms $ f(x) $ mit geeignetem Grad und Koeffizienten, das $ N $ als Wurzel hat.
** Datensammlung (Sieben) ** : Suche nach einer großen Anzahl von Zahlenpaaren über den rationalen Zahlen und dem algebraischen Zahlkörper, die sich in kleine Primzahlen (glatte Zahlen, Smooth numbers) zerlegen lassen. Dieser Prozess wird als “Sieben” bezeichnet und ist der zeitaufwändigste Teil.
** Matrixerstellung und -reduktion ** : Erstellung einer riesigen dünnbesetzten Matrix (eine Matrix, deren Elemente meist 0 sind) basierend auf den gesammelten Beziehungen und Lösung unter Verwendung linearer algebraischer Methoden (wie dem Block-Lanczos-Verfahren).
** Berechnung der Quadratwurzel ** : Schließlich Berechnung der Quadratwurzel über dem algebraischen Zahlkörper, um den Faktor (Primfaktor) von $ N $ abzuleiten.

Die Rechenkomplexität von GNFS wird asymptotisch mit $ O(\exp((\sqrt[3]{\frac{64}{9}} + o(1)) (\log N)^{\frac{1}{3}} (\log \log N)^{\frac{2}{3}})) $ bewertet. Dies wird als “subexponentielle” (Sub-exponential) Zeitkomplexität bezeichnet. Sie ist schneller als exponentielle Zeit, aber wesentlich langsamer als polynomiale Zeit (Polynomial time).

Tatsächlich gelang es einem internationalen Forschungsteam im Jahr 2020, RSA-250 (eine zusammengesetzte Zahl mit 829 Bits und 250 Stellen) mithilfe von GNFS erfolgreich zu faktorisieren. Für diese Berechnung wurden weltweit Rechenressourcen gebündelt und eine enorme Rechenzeit von etwa 2700 CPU-Kern-Jahren aufgewendet. Bei 2048 Bits würde die erforderliche Rechenmenge jedoch Billionen Mal länger dauern als das Alter des Universums, und es ist unmöglich, dies mit klassischen Methoden in realistischer Zeit zu knacken, egal wie viele aktuelle Supercomputer parallel betrieben werden.

Der Trumpf des Quantencomputers: Shors Algorithmus

Hier kommt der 1994 von Peter Shor vorgestellte “Shor-Algorithmus” ins Spiel. Dieser Algorithmus war bahnbrechend, da er das Problem der Primfaktorzerlegung auf einem Quantencomputer in ** polynomialer Zeit ** ( $ O((\log N)^3) $ ) lösen kann. Der Unterschied zwischen subexponentieller Zeit und polynomialer Zeit ist entscheidend, und theoretisch bedeutet dies, dass die RSA-Verschlüsselung mit einem Quantencomputer vollständig gebrochen wird.

Gesamtablauf von Shors Algorithmus

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


graph TD
 A[Eingabe der zu faktorisierenden Zahl N] --> B[Zufällige ganze Zahl a wählen]
 B --> C{Größter gemeinsamer Teiler<br>von a und N}
 C -->|Größer als 1| D[Glücklicherweise Primfaktor gefunden!]
 C -->|1 teilerfremd| E[Einsatz des Quantencomputers]
 E --> F[Finde die Periode r der Funktion f_x = a^x mod N<br>mit der Quanten-Fouriertransformation]
 F --> G{Ist die Periode r gerade und<br>a^r/2 ≢ -1 mod N}
 G -->|Ja| H[Berechne gcd_a^r/2 ± 1, N]
 H --> I((Primfaktorzerlegung erfolgreich!))
 G -->|Nein| B

Shors Algorithmus löst das Problem der Primfaktorzerlegung nicht direkt, sondern verwendet zahlentheoretische Theoreme, um es in ein anderes Problem namens “Period Finding Problem” umzuwandeln, und löst es durch Ausnutzung der Eigenschaften von Quantencomputern mit hoher Geschwindigkeit.

Schritt 1: Reduktion der Primfaktorzerlegung auf das Periodenfindungsproblem (Klassische Verarbeitung)

Der erste Schritt des Algorithmus wird auf einem klassischen Computer durchgeführt. Für die zu faktorisierende Zahl $ N $ wählen wir eine zufällige ganze Zahl $ a $ ( $ 1 < a < N $ ), die teilerfremd zu $ N $ ist (der größte gemeinsame Teiler ist 1). Wenn durch Zufall der größte gemeinsame Teiler nicht 1 ist, ist der gefundene gemeinsame Teiler ein Primfaktor von $ N $ und die Entschlüsselung ist abgeschlossen, aber die Wahrscheinlichkeit ist extrem gering.

Als nächstes betrachten wir die Folge der folgenden modularen Gleichungen: $ f(x) = a^x \pmod N $

Wenn wir $ x = 1, 2, 3, \dots $ in diese Funktion $ f(x) $ einsetzen, scheinen die Werte zufällig zu sein, aber da wir innerhalb eines endlichen Bereichs rechnen, kehrt sie an einem bestimmten Punkt immer zum ursprünglichen Wert zurück und wiederholt dieselbe Zahlenfolge. Wir nennen diese Wiederholungsperiode $ r $. Das bedeutet, wir suchen die kleinste positive ganze Zahl $ r $, sodass $ a^r \equiv 1 \pmod N $ gilt. Das ist das “Periodenfindungsproblem”.

Wenn diese Periode $ r $ gefunden wird und $ r $ eine gerade Zahl ist, haben wir $ a^r - 1 \equiv 0 \pmod N $ und wir können die Faktorisierungsformel verwenden, um es wie folgt umzuwandeln: $ (a^{r/2} - 1)(a^{r/2} + 1) \equiv 0 \pmod N $ Von hier aus können wir den euklidischen Algorithmus verwenden, um den größten gemeinsamen Teiler von $ N $ und $ a^{r/2} \pm 1 $ zu berechnen, was uns mit extrem hoher Wahrscheinlichkeit die Primfaktoren von $ N $ liefert.

Um die Periode $ r $ auf einem klassischen Computer zu finden, sind letztlich exponentiell viele Schritte erforderlich und können nicht beschleunigt werden. Ein Quantencomputer kann diese Periode $ r $ jedoch im Bruchteil einer Sekunde (in polynomialer Zeit) finden.

Schritt 2: Vorbereitung des Quantenzustands und Superposition

Ab hier kommt der Quantencomputer ins Spiel. Quantencomputer verwenden “Qubits”, die die Zustände “0” und “1” gleichzeitig annehmen können. Bei Shors Algorithmus bereiten wir zwei Register vor: ein Register zum Speichern der Eingabe (das erste Register) und ein Register zum Speichern des Berechnungsergebnisses (das zweite Register).

Zuerst wird eine Quantengatteroperation, das sogenannte Hadamard-Gatter (Hadamard gate), auf alle Qubits im ersten Register angewendet. Dadurch gelangt das erste Register in einen ** gleichmäßigen Überlagerungszustand ** (Superposition) aller möglichen $ x $-Werte (von $ 0 $ bis $ 2^n-1 $ , wobei $ n $ eine ausreichend große Anzahl von Bits ist).

Das bedeutet, dass im Quantencomputer unzählige Eingabewerte $ x=0, 1, 2, 3, \dots $ gleichzeitig und parallel existieren.

Schritt 3: Modulare Exponentiation auf dem Quantencomputer (Quantum Modular Exponentiation)

Als Nächstes berechnen wir $ f(x) = a^x \pmod N $, wobei der Überlagerungszustand des ersten Registers als Eingabe dient, und speichern das Ergebnis im zweiten Register. Da diese Berechnung als unitäre Transformation in einem Quantenschaltkreis ausgeführt wird, wird die Berechnung von $ f(x) $ für alle $ x $ “simultan und parallel” (Quantenparallelität) ausgeführt, während die Überlagerung beibehalten wird.

Zu diesem Zeitpunkt ist der Raum des gesamten Quantensystems eine gewaltige Superposition der Zustände: $ |x, a^x \bmod N\rangle $

Wenn wir jedoch einfach das zweite Register messen (beobachten), wird nur ein zufälliger Wert von $ a^x \bmod N $ probabilistisch ausgewählt, und in Verbindung damit ist auch der Wert $ x $ im ersten Register auf einen festgelegt. Das ist dasselbe wie eine einmalige Berechnung auf einem klassischen Computer, und wir können die Periode $ r $ nicht finden.

Nach den Regeln der Quantenmechanik können wir nicht direkt in den Überlagerungszustand schauen. Wie können wir also die globale Information extrahieren, die die “Periode” des Ganzen ist?

Schritt 4: Quanten-Fouriertransformation (QFT: Quantum Fourier Transform)

Der geniale Durchbruch des Shor-Algorithmus zur Überwindung dieser Barriere ist die Anwendung der ** Quanten-Fouriertransformation (QFT) ** auf das erste Register.

Bevor wir eine Messung vornehmen, analysieren wir die Welleneigenschaften der Funktion $ f(x) $. Angenommen, wir beobachten das zweite Register. Angenommen, wir erhalten einen Wert $ y $. Dann kollabiert der Zustand des ersten Registers in “die Superposition aller $ x $, für die $ a^x \pmod N = y $ gilt”. Diese Werte von $ x $ werden ein diskret angeordneter Zustand (eine Art kammartige Wahrscheinlichkeitsamplitudenverteilung) in Intervallen der Periode $ r $ sein, wie $ x_0, x_0 + r, x_0 + 2r, x_0 + 3r, \dots $.

Wir wenden die Quanten-Fouriertransformation (QFT) auf diesen Zustand an. So wie die klassische diskrete Fouriertransformation ein Signal im Zeitbereich in den Frequenzbereich umwandelt, bewirkt die QFT eine Interferenz der Wahrscheinlichkeitsamplituden von Quantenzuständen.

Wenn die QFT angewendet wird, heben sich aufgrund des Quanteninterferenzeffekts die Wahrscheinlichkeiten falscher Antworten, die nicht mit der Periode $ r $ in Resonanz stehen (phasenverschoben sind), gegenseitig auf und nähern sich null (destruktive Interferenz), und nur die Wahrscheinlichkeit der richtigen Antwort, die Informationen über die Periode $ r $ enthält, wird verstärkt (konstruktive Interferenz).

Schritt 5: Messung und Kettenbruchentwicklung (Klassische Nachbearbeitung)

Wenn wir das erste Register nach Anwendung der QFT messen, erhalten wir mit sehr hoher Wahrscheinlichkeit eine ganze Zahl $ c $, die nahe der Form $ c \approx \frac{j \cdot 2^n}{r} $ liegt (wobei $ j $ eine unbekannte ganze Zahl und $ 2^n $ die Größe des Registers ist).

Wir geben dieses Messergebnis $ c $ an den klassischen Computer zurück und bilden einen Bruch $ \frac{c}{2^n} \approx \frac{j}{r} $. Und durch die Berechnung von Näherungswerten mit einer mathematischen Methode namens “Kettenbruchentwicklung (Continued fraction expansion)” können wir die Periode $ r $, die im Nenner steht, wunderbar aufdecken.

Wenn $ r $ bekannt ist, können die Primfaktoren von $ N $ mithilfe der Formel aus Schritt 1 berechnet werden, und die RSA-Verschlüsselung wird vollständig geknackt.

Das Potenzial und die Herausforderungen aktueller Quantencomputer (NISQ)

Obwohl der Shor-Algorithmus theoretisch perfekt ist, lautet die Antwort auf die Frage “Wird die RSA-Verschlüsselung morgen gebrochen sein?” eindeutig “Nein”. Der Grund dafür liegt in den Grenzen der aktuellen Hardware-Technologie von Quantencomputern.

Die Ära des NISQ (Noisy Intermediate-Scale Quantum)

Wir befinden uns derzeit in der Ära, die als “NISQ” bezeichnet wird. NISQ-Geräte haben Dutzende bis Hunderte von physikalischen Qubits, sind aber extrem anfällig für Rauschen.

Qubits werden leicht durch die äußere Umgebung, wie z.B. Wärme und elektromagnetische Wellen, beeinflusst, was häufig zu “Dekohärenz” (Verlust der Quantenverschränkung), bei der der Quantenzustand zerstört wird, und zu “Gatterfehlern” während der Gatteroperationen führt. Wenn man versucht, sehr tiefe Quantenschaltungen (mit einer riesigen Anzahl von Rechenschritten) wie Shors Algorithmus auszuführen, summieren sich Fehler während der Berechnung und die endgültige Ausgabe wird zu reinem Rauschen ohne Bedeutung.

Physikalische Qubits und logische Qubits

Die “Quantenfehlerkorrektur (Quantum Error Correction)” ist unerlässlich, um dieses Fehlerproblem zu lösen. Fehlerkorrekturcodes werden auch in klassischen Computern verwendet, aber Quantenfehlerkorrektur ist sehr komplex aufgrund des “No-Cloning-Theorems”, das das Kopieren von Quantenzuständen verbietet.

Bei der Quantenfehlerkorrektur wird eine ideale “logische Qubit” ohne Fehler durch die Kombination vieler verrauschter “physikalischer Qubits” unter Verwendung von Technologien wie dem “Oberflächencode (Surface Code)” erzeugt.

Unter der Annahme der aktuellen Fehlerraten wird geschätzt, dass etwa 1.000 bis 10.000 physikalische Qubits erforderlich sind, um ein einziges logisches Qubit zu erzeugen. Dies wird als “Fehlerkorrektur-Overhead” bezeichnet.

Welche Ressourcen werden benötigt, um RSA-2048 zu brechen?

Wie viele Ressourcen werden also tatsächlich benötigt, um den Shor-Algorithmus zur Knackung von RSA-2048 auszuführen?

Laut bahnbrechenden Ressourcenschätzungen aus einem Papier von Craig Gidney (Google) und Martin Ekerå aus dem Jahr 2021 werden die folgenden Ressourcen benötigt, wenn man einen optimierten Shor-Algorithmus verwendet und eine Fehlerkorrektur mit Oberflächencodes durchführt:

** Anzahl der logischen Qubits ** : Etwa 4.096
** Anzahl der physikalischen Qubits ** : ** Etwa 20 Millionen ** (unter Annahme einer Fehlerrate von etwa $10^{-3}$)
** Rechenzeit ** : Etwa 8 Stunden (erfordert Millionen bis Milliarden von physikalischen Gatteroperationen)

Wie weit ist im Vergleich dazu der aktuelle Stand der Quantenhardware? Der Ende 2023 von IBM angekündigte supraleitende Quantenprozessor “Condor” hat 1.121 Qubits. Darüber hinaus haben bahnbrechende Forschungen zur Erzeugung logischer Qubits (wie die Erzeugung von 48 logischen Qubits unter Verwendung neutraler Atome durch die Harvard University und QuEra) das Licht der Welt erblickt, aber wir sind noch nicht an dem Punkt angelangt, an dem “rauschfreie, perfekte Berechnungen” kontinuierlich für lange Zeiträume ausgeführt werden können.

Die Skalierung von Tausenden physikalischen Qubits auf ** 20 Millionen ** praktikable physikalische Qubits (in einem System, das miteinander verbunden ist, bei kryogenen Temperaturen stabil arbeitet und Steuersignale bei ultrahohen Geschwindigkeiten verarbeitet) stellt eine gewaltige ingenieurtechnische Barriere dar (Verkabelungsprobleme, Grenzen der Kühlleistung und Aufblähen der Steuerelektronik). Viele Experten prognostizieren, dass es mindestens 10 bis 30 Jahre oder länger dauern wird, bis “fehlertolerante Quantencomputer (FTQC)” realisiert werden, die RSA-2048 knacken können.

Die schleichende Bedrohung durch “Store Now, Decrypt Later” und die Morgendämmerung der PQC

Es ist jedoch voreilig zu denken, dass “wir sicher sind, wenn es noch mehr als 10 Jahre dauert”. Derzeit gibt es Daten wie nationale Geheimnisse, medizinische Daten und langfristige Infrastrukturdesigns, deren Geheimhaltung für Jahrzehnte garantiert werden muss.

Die Besorgnis betrifft die Angriffsmethode ** “Store Now, Decrypt Later” ** . Böswillige Staaten oder Organisationen fangen alle mit aktueller RSA oder ECC (Elliptic Curve Cryptography) verschlüsselten Kommunikationsdaten ab und speichern sie. Wenn dann in 10 oder 20 Jahren leistungsstarke Quantencomputer fertiggestellt sind, nutzen sie den Shor-Algorithmus, um alle vergangenen Daten zu entschlüsseln und Geheimnisse zu lüften.

Um der Bedrohung durch diese zeitliche Verzögerung entgegenzuwirken, hat das NIST (National Institute of Standards and Technology) in den USA den Standardisierungsprozess für ** “Post-Quanten-Kryptographie (PQC)” ** rasch vorangetrieben.

PQC sind neue kryptographische Algorithmen, die auf mathematischen Problemen basieren, deren Entschlüsselung auch mit einem Quantencomputer schwierig ist (d. h. Shors Algorithmus kann nicht angewendet werden). Die Hauptansätze sind wie folgt:

** Gitterbasierte Kryptographie ** : Basiert auf dem LWE-Problem (Learning with Errors) usw. Der Mainstream in der NIST-Standardisierung (Kyber, Dilithium usw.).
** Codebasierte Kryptographie ** : Beruht auf der Schwierigkeit, Fehlerkorrekturcodes zu decodieren.
** Multivariate Kryptographie ** : Beruht auf der Schwierigkeit, Systeme von quadratischen Gleichungen mit mehreren Variablen zu lösen.
** Hash-basierte Signaturen ** : Digitale Signaturen, deren Sicherheit ausschließlich von Hash-Funktionen abhängt.

Bereits in großen Softwares und Plattformen wie Google Chrome und Apples iMessage haben PQC-Implementierungstests und Hybrid-Implementierungen begonnen.

Fazit

Quantencomputer wandeln sich von Träumereien der Science-Fiction zu echten ingenieurtechnischen Herausforderungen. Shors Algorithmus ist eine großartige intellektuelle Errungenschaft der Menschheit, die Mathematik und Quantenmechanik vereint, aber er birgt auch die “zerstörerische Kraft”, die Grundlagen unserer digitalen Gesellschaft zu erschüttern.

Die RSA-Verschlüsselung wird nicht schon morgen unbrauchbar sein. Angesichts der Entwicklung der Quantentechnologie und des Risikos von “Store Now, Decrypt Later” hat die gigantische Migration in der Geschichte der Kryptographie, der Übergang zu PQC, jedoch bereits begonnen. Wir sind heute Zeugen der vordersten Front eines Paradigmenwechsels in der Informationssicherheit.

Was ist das Geburtstagsparadoxon?

Tue, 02 Apr 2024 01:20:50 +0900

Kennen Sie das Geburtstagsparadoxon?

Ich werde Ihnen eine etwas seltsame Geschichte erzählen. Wie viele Personen müssen Ihrer Meinung nach zusammenkommen, damit “die Wahrscheinlichkeit, dass Personen am selben Tag Geburtstag haben”, hoch ist?

Ein Jahr hat zum Beispiel 365 Tage. Wenn man Ihnen also sagt: “Wenn 23 Personen zusammenkommen, liegt die Wahrscheinlichkeit, dass jemand denselben Geburtstag hat, bei über 50 %”… dann scheint das irgendwie gegen die Intuition zu verstoßen.

Aber es sind tatsächlich über 50 %.

Warum passiert das?

Dieses Phänomen wird als “Geburtstagsparadoxon” bezeichnet. Der Name lautet “Paradoxon”, aber es gibt einen fundierten mathematischen Grund.

Wenn die Anzahl der Personen “n” ist, wird die Wahrscheinlichkeit, dass niemand denselben Geburtstag hat , durch die folgende Formel berechnet:

1

P(niemand hat am selben Tag Geburtstag) = 365/365 × 364/365 × 363/365 × ... × (365 - n + 1)/365

Indem man dies von 1 abzieht, erhält man “die Wahrscheinlichkeit, denselben Geburtstag wie jemand anderes zu haben”.

Wenn wir uns die Ergebnisse ansehen…

Anzahl der Personen	Wahrscheinlichkeit, denselben Geburtstag zu haben
10 Personen	Etwa 11.7%
20 Personen	Etwa 41.1%
23 Personen	Etwa 50.7% (Hierauf achten!)
30 Personen	Etwa 70.6%
70 Personen	Erstaunliche 99.9%!

Das heißt, bei nur 23 Personen besteht eine Wahrscheinlichkeit von mehr als der Hälfte, dass jemand denselben Geburtstag hat. Dies lässt sich durchaus auch auf Schulklassen oder Besprechungen am Arbeitsplatz übertragen.

Zusammenfassung: Die Diskrepanz zwischen Intuition und Mathematik ist faszinierend

Das “Geburtstagsparadoxon” ist ein interessantes Beispiel dafür, wie unsere Intuition und die tatsächliche mathematische Wahrscheinlichkeit voneinander abweichen. Solche Dinge zu wissen, kann eine nette Unterhaltung oder ein Quiz auflockern!

Referenz-Links

Geburtstagsparadoxon (Wikipedia)

Lösung des Problems des Handlungsreisenden mit Mathematica

Wed, 12 Oct 2022 19:05:58 +0900

Lösung des Problems des Handlungsreisenden mit Mathematica

Problem

電車でこんな広告を見かけました😁📸 pic.twitter.com/iXEgvtXrpL
— 早稲田大学早水桃子研究室 (@hayamizu_lab) October 11, 2022

Lösung

1

d=SparseArray[{{1,2}->10,{2,1}->10,{1,5}->15,{5,1}->15,{1,4}->12,{4,1}->12,{1,3}->20,{3,1}->20,{2,5}->10,{5,2}->10,{3,4}->10,{4,3}->10,{3,8}->30,{8,3}->30,{3,7}->20,{7,3}->20,{3,6}->25,{6,3}->25,{4,5}->15,{5,4}->15,{4,8}->20,{8,4}->20,{5,9}->18,{9,5}->18,{5,8}->15,{8,5}->15,{6,7}->5,{7,6}->5,{7,8}->35,{8,7}->35,{8,9}->12,{9,8}->12},{9,9},Infinity];

Erstellen Sie eine Matrix mit der Funktion SparseArray. Jedes Element repräsentiert die Entfernung zwischen den Städten in seiner Zeile und Spalte. Das erste Element {1,2}->10 bedeutet beispielsweise, dass die Entfernung zwischen 1 und 2 gleich 10 ist. Das vorletzte Element {9,9} gibt die Größe der Matrix an, und das letzte Element Infinity bedeutet, dass die Weglänge zwischen nicht angegebenen Städten unendlich ist, das heißt, es gibt keinen Weg.

1

{len,tour}=FindShortestTour[{1,2,3,4,5,6,7,8,9},DistanceFunction->(d[[#1,#2]]&)]

Mit der Funktion FindShortestTour können Sie das Problem des Handlungsreisenden ganz einfach lösen. {1,2,3,4,5,6,7,8,9} repräsentiert die Stadtnummern. DistanceFunction->(d[[#1,#2]]&) übergibt die Matrix d, die die Entfernung zwischen den Städten darstellt.

Ausgabe

1

{137, {1, 2, 5, 9, 8, 7, 6, 3, 4}}

Die Ausgabe ist die kürzeste Entfernung und die Tourroute zu diesem Zeitpunkt. Die kürzeste Entfernung ist 137, und die Tourroute ist 1→2→5→9→8→7→6→3→4→1. Bei der Konvertierung in die alphabetische ABC-Reihenfolge wird es zu A, B, E, I, H, G, F, C, D.

Lieblings-Mathematikformeln

Wed, 05 Oct 2022 13:24:50 +0900

Satz von Wilson

Wenn $p$ eine Primzahl ist, gilt $(p−1)!≡−1 \pmod p$.

Eulersche Formel

$e^{iπ}+1=0$

Großer Fermatscher Satz

Für jede ganze Zahl $n≥3$ existieren keine positiven ganzen Zahlen $x,y,z$, die $x^n+y^n=z^n$ erfüllen.

Basler Problem

$1/1^2+1/2^2+1/3^2+1/4^2+...=π^2/6$

Eulersches primzahlerzeugendes Polynom

$n^2+n+41$ ergibt immer eine Primzahl, wenn $n$ eine ganze Zahl zwischen $0$ und $39$ ist.

Filme mit Mathematikern

Mon, 05 Sep 2022 10:41:00 +0900

Hier sind meine 3 besten Filmempfehlungen mit Mathematikern als Hauptfiguren.

A Beautiful Mind

Ein Film, der das Leben eines echten amerikanischen Mathematikgenies schildert. Das Ende hält eine überraschende Wendung bereit. Russell Crowe spielt die Hauptrolle hervorragend.

Enigma

Ein Film aus dem Jahr 2001, basierend auf dem Roman “Enigma” von Robert Harris. aus Wikipedia

Die Geschichte der Entschlüsselung der Enigma-Chiffriermaschine, die von Deutschland entwickelt wurde.

The Imitation Game

Dies ist ebenfalls eine Entschlüsselungsgeschichte rund um die Enigma. Ich liebe die Atmosphäre der damaligen Zeit.

Die Poesie des Unendlichen

Ein Werk, das die Interaktion zwischen dem Mathematiker Hardy von der Universität Cambridge und dem indischen Mathematiker Ramanujan darstellt. Man kann die Schönheit der Mathematik spüren.

Die Entdeckung der Unendlichkeit

Ein Film, der das Leben von Dr. Hawking schildert.

Particle Fever

【Vollständiges Verständnis durch Formeln】 Warum das stärkste klassische Verfahren GNFS von Quantenalgorithmen besiegt wird: Der Paradigmenwechsel der Primfaktorzerlegung

Mon, 01 Jan 0001 00:00:00 +0000

In der heutigen Internetgesellschaft wird die Informationssicherheit durch Public-Key-Kryptographie wie das RSA-Kryptosystem geschützt. Die Grundlage der Sicherheit des RSA-Kryptosystems beruht auf der Tatsache, dass „die Primfaktorzerlegung riesiger zusammengesetzter Zahlen rechnerisch extrem schwierig ist“ .

In diesem Artikel entschlüsseln wir den mathematischen Mechanismus des „Zahlkörpersiebs“ (General Number Field Sieve, GNFS), dem stärksten Algorithmus zur Primfaktorzerlegung für klassische Computer. Zugleich werden wir durch Formeln und Konzeptdiagramme detailliert ergründen, warum er durch den von Peter Shor entdeckten „Shor-Algorithmus“ vollständig besiegt wird und welchen Paradigmenwechsel dies darstellt.

1. Der Ansatz zur Primfaktorzerlegung in der klassischen Berechnung: Eine Entwicklung aus Fermats Faktorisierungsmethode

Das Problem der Primfaktorzerlegung besteht darin, für eine gegebene zusammengesetzte Zahl $N$ die Primzahlen $p, q$ zu finden, sodass $N = p \times q$ gilt.

Die grundlegende Idee läuft darauf hinaus, nicht-triviale Werte $x, y$ zu finden, die die folgende Kongruenz erfüllen:

$$ x^2 \equiv y^2 \pmod N $$

Durch Umformen erhalten wir:

$$ x^2 - y^2 \equiv 0 \pmod N $$ $$ (x - y)(x + y) \equiv 0 \pmod N $$

Wenn hier $x \not\equiv \pm y \pmod N$ gilt, können wir durch die Berechnung von $\gcd(x-y, N)$ oder $\gcd(x+y, N)$ einen nicht-trivialen Faktor von $N$ erhalten. Diese Tatsache bildet die Grundlage moderner Primfaktorzerlegungsalgorithmen wie dem GNFS.

2. Der stärkste klassische Algorithmus: Die Tiefen des „Zahlkörpersiebs“ (GNFS)

Das „GNFS“ ist der derzeit schnellste bekannte Algorithmus zur Primfaktorzerlegung für klassische Computer. Seine Zeitkomplexität erfordert eine subexponentielle (Sub-exponential) Zeit.

Die Zeitkomplexität von GNFS

Wenn die Anzahl der Ziffern der Zahl $N$ als $b = \log_2 N$ definiert ist, wird die Zeitkomplexität von GNFS wie folgt ausgedrückt:

$$ O\left( \exp \left( \left(\frac{64}{9} b\right)^{1/3} (\log b)^{2/3} \right) \right) $$

Wie aus dieser Formel ersichtlich ist, handelt es sich bei der Komplexität nicht um polynomielle Zeit, sondern um eine „subexponentielle Zeit“ , die nur geringfügig langsamer als exponentiell ist. Dennoch steigt die Berechnungszeit mit zunehmender Ziffernzahl astronomisch an.

Der mathematische Mechanismus von GNFS

GNFS besteht im Wesentlichen aus vier Schritten:

Polynomauswahl (Polynomial Selection)
Sieben (Sieving)
Matrixreduktion (Matrix Reduction)
Quadratwurzelberechnung (Square Root)

2.1. Polynomauswahl und algebraische Zahlkörper

Zunächst werden irreduzible Polynome $f(x)$ und $g(x)$ mit ganzzahligen Koeffizienten ausgewählt. Diese werden so festgelegt, dass sie modulo $N$ eine gemeinsame Wurzel $m$ haben. Das heißt:

$$ f(m) \equiv 0 \pmod N $$ $$ g(m) \equiv 0 \pmod N $$

Normalerweise wird $g(x)$ als lineares Polynom $g(x) = x - m$ gewählt. Setzt man die Wurzel von $f(x)$ als $\alpha$, so wird ein „algebraischer Zahlkörper“ (Number Field) namens $\mathbb{Q}(\alpha)$ konstruiert. Die Operationen im Ring von $\mathbb{Q}(\alpha)$ und die Operationen im normalen Ring der ganzen Zahlen $\mathbb{Z}$ werden über den Homomorphismus $\phi: \alpha \mapsto m$ verglichen.

2.2. Sieben (Sieving)

Als Nächstes wird massenhaft nach Paaren teilerfremder ganzer Zahlen $(a, b)$ gesucht. Das Ziel ist es, Paare zu finden, bei denen die folgenden zwei Werte jeweils „B-smooth“ sind (d. h. sie bestehen nur aus relativ kleinen Primfaktoren):

$a - bm$ (Wert über dem Ring der ganzen Zahlen)
$b^d f(a/b)$ (Entspricht der Norm $N(a - b\alpha)$ über dem algebraischen Zahlkörper)

Hierbei wird eine schnelle Suchmethode namens „Sieb“ (Sieve) angewendet. Dadurch werden $(a, b)$-Paare, die die Bedingungen erfüllen, effizient aus einer riesigen Menge von Kandidaten extrahiert.

2.3. Matrixreduktion (Linear Algebra over GF(2))

Aus den gesammelten $(a, b)$-Paaren werden Exponentenvektoren konstruiert, und der linke Nullraum einer riesigen, spärlich besetzten Matrix über $\mathbb{F}_2$ (einem Körper, der nur aus den Elementen 0 und 1 besteht) wird berechnet.

Man sucht als Lösung einen Vektor $v$, sodass die Relationen $ \prod (a_i - b_i m) $ und $ \prod (a_i - b_i \alpha) $ jeweils ein Quadrat werden. Dies ist nichts anderes als das Lösen eines linearen Gleichungssystems der Form:

$$ M \mathbf{x} \equiv \mathbf{0} \pmod 2 $$

Hierbei werden fortgeschrittene numerische Algorithmen wie das Block-Lanczos-Verfahren (Block Lanczos Algorithm) oder das Block-Wiedemann-Verfahren (Block Wiedemann Algorithm) eingesetzt.

2.4. Quadratwurzelberechnung

Schließlich wird sowohl im algebraischen Zahlkörper als auch im Ring der ganzen Zahlen die Quadratwurzel gezogen, um die Beziehung $x^2 \equiv y^2 \pmod N$ abzuleiten. Dann berechnet man $\gcd(x-y, N)$, um den Faktor zu erhalten.

3. Der Durchbruch durch Quantencomputing: Der „Shor-Algorithmus“

Während GNFS subexponentielle Zeit benötigt, kann der 1994 von Peter Shor veröffentlichte „Shor-Algorithmus“ dieses Problem mithilfe eines Quantencomputers in „polynomieller Zeit“ lösen.

Die Zeitkomplexität des Shor-Algorithmus

Wenn die Anzahl der Qubits $O(\log N)$ ist, ergibt sich die Zeitkomplexität wie folgt:

$$ O((\log N)^3) $$

Das bedeutet, dass es keine exponentielle Explosion relativ zur Anzahl der Bits gibt. Selbst bei gigantischen zusammengesetzten Zahlen, deren Berechnungszeit in der „klassischen Berechnung“ das Alter des Universums übersteigen würde, liefert die „Quantenberechnung“ das erstaunliche Ergebnis, dass sie in wenigen Stunden bis Tagen entschlüsselt werden können.

Das Gesamtbild des Shor-Algorithmus: Reduktion auf das Problem der Periodenfindung

Der Shor-Algorithmus reduziert das Problem der Primfaktorzerlegung geschickt auf das „Problem der Periodenfindung“ .

Wähle eine zufällige ganze Zahl $a$, die teilerfremd zu $N$ ist ($1 < a < N$).
Definiere die Funktion $f(x) = a^x \bmod N$.
Finde die Periode $r$ von $f(x)$, d. h. die kleinste positive ganze Zahl $r$, sodass $a^r \equiv 1 \pmod N$ gilt.
Wenn $r$ gerade ist, überprüfe, ob $a^{r/2} \not\equiv -1 \pmod N$ gilt, und berechne $\gcd(a^{r/2} \pm 1, N)$, um einen Primfaktor zu erhalten.

Das Finden der Periode $r$ in Schritt 3 ist genau der Flaschenhals, der in klassischen Computern exponentielle Zeit erfordert. Ein Quantencomputer löst dies jedoch durch die Anwendung von „Quantensuperposition“ und der „Quanten-Fourier-Transformation“ (QFT) in einem Augenblick.

4. Quanten-Fourier-Transformation (QFT) und Periodenextraktion

Betrachten wir den Kern des Shor-Algorithmus, die Manipulation von Quantenzuständen, anhand von Formeln genauer.

4.1. Erzeugung der Quantensuperposition

Zunächst werden zwei Quantenregister vorbereitet. Register 1 hält den Überlagerungszustand der Eingabe $x$, und Register 2 hält das Berechnungsergebnis der Funktion $f(x)$. Auf den Anfangszustand $|0\rangle |0\rangle$ wird die Hadamard-Transformation (Hadamard Transform) angewendet, um eine Superposition aller möglichen Werte für $x$ zu erzeugen.

$$ |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |0\rangle $$

(Hier ist $Q$ eine Zweierpotenz, die $N^2 \le Q < 2N^2$ erfüllt)

Als Nächstes wird mithilfe eines Quantenorakels $U_f$ der Wert $f(x) = a^x \bmod N$ berechnet und in Register 2 gespeichert.

$$ |\psi_2\rangle = U_f |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |a^x \bmod N\rangle $$

Nehmen wir an, wir würden hier Register 2 messen (die mathematische Struktur bleibt gleich, auch wenn wir nicht tatsächlich messen). Wenn ein bestimmter Wert $y = a^{x_0} \bmod N$ beobachtet wird, kollabiert der Zustand von Register 1 in eine Überlagerung aller $x$, für die $f(x) = y$ gilt. Wenn die Periode $r$ ist, sind solche Werte für $x$ gegeben durch $x_0, x_0 + r, x_0 + 2r, \dots$.

$$ |\psi_3\rangle = \frac{1}{\sqrt{M}} \sum_{k=0}^{M-1} |x_0 + kr\rangle $$

(Hierbei ist $M \approx Q/r$ die Anzahl der Terme)

Dieser Zustand beinhaltet die Information über die Periode $r$, aber eine direkte Messung würde nur ein zufälliges $x_0 + kr$ liefern, und die Periode $r$ bliebe unbekannt. Hier kommt die QFT ins Spiel.

4.2. Anwendung der Quanten-Fourier-Transformation (Quantum Fourier Transform)

Die QFT ist eine Operation, die eine diskrete Fourier-Transformation auf die Amplituden von Quantenzuständen durchführt. Die Wirkung der QFT auf den Zustand $|x\rangle$ ist wie folgt definiert:

$$ \text{QFT} |x\rangle = \frac{1}{\sqrt{Q}} \sum_{y=0}^{Q-1} e^{2\pi i \frac{xy}{Q}} |y\rangle $$

Wenn man dies auf $|\psi_3\rangle$ anwendet, tritt Phaseninterferenz (Quanteninterferenz) auf.

$$ |\psi_4\rangle = \text{QFT} |\psi_3\rangle = \frac{1}{\sqrt{MQ}} \sum_{y=0}^{Q-1} \sum_{k=0}^{M-1} e^{2\pi i \frac{(x_0 + kr)y}{Q}} |y\rangle $$

Wenn man die Summe in dieser Formel erweitert,

$$ \sum_{k=0}^{M-1} e^{2\pi i \frac{kry}{Q}} $$

erscheint dieser Teil. Diese Summe einer geometrischen Reihe verstärkt sich nur dann gegenseitig (Constructive Interference), wenn $ry/Q$ nahe an einer ganzen Zahl liegt; andernfalls hebt sie sich auf (Destructive Interference).

Folglich ist der Zustand $|y\rangle$, der mit hoher Wahrscheinlichkeit gemessen wird, eine ganze Zahl $y$, die folgende Bedingung erfüllt:

$$ \frac{y}{Q} \approx \frac{c}{r} $$

($c$ ist hierbei irgendeine ganze Zahl).

4.3. Bestimmung der Periode durch Kettenbruchentwicklung

Nachdem man durch Messung $y$ erhalten hat, führt man mithilfe eines klassischen Computers eine „Kettenbruchentwicklung“ (Continued Fraction Expansion) von $y/Q$ durch. Dadurch kann man den Näherungsbruch $c/r$ von $y/Q$ berechnen und aus dem Nenner die Kandidaten für die Periode $r$ hocheffizient extrahieren.

5. Vergleich konzeptioneller Modelle und der Paradigmenwechsel

Um den Unterschied zwischen GNFS und dem Shor-Algorithmus intuitiv zu verstehen, zeigen wir im Folgenden ein Konzeptdiagramm in der Mermaid-Syntax.

Konzeptdiagramm des Shor-Algorithmus durch Quantenschaltkreise

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


graph TD
 A[Anfangszustand: 0...0] --> B[Superposition aller Zustände durch Hadamard-Transformation]
 B --> C[Modulare Exponentiation a^x mod N]
 C -->|Quantenverschränkung| D[Kollaps in einen Zustand mit Periodizität]
 D --> E[Quanten-Fourier-Transformation QFT]
 E -->|Wahrscheinlichkeitsverstärkung durch Interferenz| F[Messung: y erhalten]
 F --> G[Klassische Verarbeitung: Kettenbruchentwicklung]
 G --> H[Entdeckung der Periode r]
 H --> I[Berechnung der Primfaktoren von N]

 style A fill:#f9f,stroke:#333,stroke-width:2px
 style E fill:#bbf,stroke:#333,stroke-width:2px
 style I fill:#bfb,stroke:#333,stroke-width:2px

Das Wesen des Paradigmenwechsels

GNFS verfolgt den Ansatz, „in einem mathematischen Raum (algebraischen Zahlkörper) nach Relationen zu suchen“ . Da dieser Suchraum jedoch exponentiell mit der Anzahl der Ziffern wächst, wird die Entschlüsselung mit der Rechenleistung klassischer Computer (selbst bei Parallelisierung) faktisch unmöglich, wenn die Schlüssellänge 2048 Bit überschreitet.

Auf der anderen Seite nutzt der Shor-Algorithmus die „Welleneigenschaften durch Quanteninterferenz“ . Alle Berechnungswege in der Superposition werden gleichzeitig ausgewertet. Durch die QFT werden unnötige Antworten aufgehoben (destruktive Interferenz), und nur die Wahrscheinlichkeitsamplitude der korrekten Periode wird verstärkt (konstruktive Interferenz). Anstatt den Raum zu durchsuchen, wird so der völlig andere Ansatz realisiert, „die richtige Antwort selbst hervortreten zu lassen“ .

6. Zusammenfassung

In diesem Artikel haben wir das „GNFS“ , den Höhepunkt der klassischen Grenzen, und den „Shor-Algorithmus“ , der die Kraft des Quantencomputings demonstriert, hinsichtlich ihrer mathematischen Hintergründe und algorithmischen Strukturen tiefgehend verglichen.

Während GNFS durch mathematische Tricks wie die Polynomauswahl und riesige Matrixberechnungen die Zeitkomplexität auf subexponentielle Zeit reduzierte, gelang dem Shor-Algorithmus ein sofortiger Durchbruch in die polynomielle Zeit. Er verschmolz die Grundprinzipien der Quantenmechanik – Superposition und Interferenz – mit mathematischen Werkzeugen (QFT).

Derzeit gibt es keine fehlertoleranten Quantencomputer (FTQC), die den Shor-Algorithmus in einem praktischen Maßstab (Tausende von Qubits) ausführen können. Das bloße Vorhandensein dieses mathematischen und theoretischen Paradigmenwechsels ist jedoch der Hauptgrund, warum der Übergang zur Post-Quanten-Kryptographie (PQC: Post-Quantum Cryptography) derzeit weltweit dringend vorangetrieben wird.