Algoritmo De Shor on kenji.blog

Computadores Quânticos Realmente Destruirão a Criptografia RSA? ~O Algoritmo de Shor e o Estado Atual~

Sat, 05 Sep 2026 22:09:21 +0900

Introdução: A Interseção entre Criptografia e Computadores Quânticos

Na sociedade da internet moderna, a base para proteger o segredo das comunicações é a “criptografia de chave pública”. Um dos mais representativos é a “Criptografia RSA”, desenvolvida em 1977 por Ron Rivest, Adi Shamir e Leonard Adleman. Desde pagamentos de compras online que usamos diariamente, navegação em sites (HTTPS), até envio e recebimento de e-mails, a criptografia RSA funciona como o coração da infraestrutura da internet.

No entanto, com o surgimento dos “computadores quânticos”, foi apontado que essa segurança pode ser subvertida desde a base. Na mídia, às vezes vemos manchetes sensacionalistas como “Se um computador quântico for concluído, senhas e criptografias em todo o mundo serão decifradas em segundos”. Mas será que isso é verdade?

Neste artigo, aprofundaremos como funcionam o GNFS (General Number Field Sieve), um método clássico de descriptografia, e a versão definitiva dos algoritmos de descriptografia usando computadores quânticos, o “Algoritmo de Shor (Shor’s Algorithm)”. Explicaremos de forma fácil conceitos avançados, como a transformação quântica de Fourier e a descoberta de períodos, e examinaremos em detalhes o estado atual do hardware quântico na era NISQ (Noisy Intermediate-Scale Quantum) e os obstáculos reais necessários para quebrar a RSA-2048.

O Núcleo da Criptografia RSA: A Dificuldade da Fatoração em Números Primos

A segurança da criptografia RSA depende de uma assimetria extremamente simples na matemática. Trata-se do fato de que “é fácil multiplicar dois números primos gigantes, mas é extremamente difícil encontrar (fatorar em números primos) os dois números primos originais a partir do resultado dessa multiplicação (número composto)”.

Por exemplo, suponha que existam dois números primos, $ p = 61 $ e $ q = 53 $. Calcular esta multiplicação $ N = p \times q = 3233 $ é instantâneo. No entanto, se receber apenas o número “3233” e tiver que resolver “de quais números primos essa é a multiplicação?”, a quantidade de cálculos explode à medida que o número se torna maior.

No RSA-2048, que é a norma atual, o comprimento da chave é de 2048 bits, ou seja, é usado um número composto gigante $ N $ que chega a cerca de 617 dígitos em decimal. Se esse $ N $ puder ser fatorado em números primos, a criptografia será essencialmente decifrada.

O Desafio dos Computadores Clássicos: GNFS (General Number Field Sieve)

Para resolver o problema da fatoração em números primos, matemáticos e criptógrafos desenvolveram vários algoritmos ao longo dos anos. Entre eles, o que atualmente é considerado o mais rápido em computadores clássicos é o GNFS: General Number Field Sieve.

O GNFS é um método que expande e analisa os cálculos no anel de inteiros para um corpo algébrico (Number Field) mais abstrato, a fim de fatorar o número gigante $ N $. O fluxo geral é o seguinte.

Seleção de Polinômio : Encontrar um polinômio $ f(x) $ com grau e coeficientes apropriados, que tenha $ N $ como raiz.
Coleta de Dados (Peneiramento) : No corpo dos números racionais e no corpo algébrico, procuramos em grande quantidade por pares de números que podem ser decompostos em números primos pequenos (números suaves, Smooth numbers). Esse processo é chamado de “peneiramento” e é a parte que leva mais tempo.
Geração e Redução de Matriz : Com base nas relações coletadas, uma enorme matriz esparsa (uma matriz em que a maioria dos componentes é zero) é gerada e resolvida usando métodos de álgebra linear (como o método de Block Lanczos).
Cálculo da Raiz Quadrada : Finalmente, calcula-se a raiz quadrada no corpo algébrico para derivar os fatores (fatores primos) de $ N $.

A complexidade computacional do GNFS é avaliada não assintoticamente como $ O(\exp((\sqrt[3]{\frac{64}{9}} + o(1)) (\log N)^{\frac{1}{3}} (\log \log N)^{\frac{2}{3}})) $. Isso é chamado de complexidade de tempo “Sub-exponencial” (Sub-exponential). Embora seja mais rápido que o tempo exponencial, é muito mais lento que o tempo polinomial (Polynomial time).

De fato, em 2020, uma equipe de pesquisa internacional obteve sucesso em fatorar a RSA-250 (829 bits, número composto de 250 dígitos) usando o GNFS. Esse cálculo consumiu um tempo computacional enorme, equivalente a cerca de 2700 CPU-core anos, reunindo recursos de computação de todo o mundo. No entanto, quando isso chega a 2048 bits, é mencionado que a quantidade de cálculo necessária explodiria para trilhões de vezes a idade do universo, tornando impossível descriptografar em um tempo realista com métodos clássicos, não importa quantos supercomputadores atuais funcionem em paralelo.

O Trunfo do Computador Quântico: Algoritmo de Shor

Aqui é onde entra o “Algoritmo de Shor”, publicado por Peter Shor em 1994. Esse algoritmo foi revolucionário por permitir que o problema de fatoração em números primos fosse resolvido no computador quântico em tempo polinomial ( $ O((\log N)^3) $ ). A diferença entre tempo sub-exponencial e polinomial é decisiva e significa, na teoria, que a criptografia RSA será completamente destruída se um computador quântico for usado.

Fluxo Geral do Algoritmo de Shor

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


graph TD
 A[Inserir o número N que se deseja fatorar] --> B[Selecionar um número inteiro aleatório a]
 B --> C{Máximo divisor comum<br>entre a e N}
 C -->|Maior que 1| D[Por sorte, um fator primo foi encontrado!]
 C -->|1 Primos entre si| E[Vez do computador quântico]
 E --> F[Encontrar o período r da<br>função f_x = a^x mod N por Transformação Quântica de Fourier]
 F --> G{O período r é par e<br>a^r/2 ≢ -1 mod N}
 G -->|Sim| H[Calcular o máximo divisor comum gcd_a^r/2 ± 1, N]
 H --> I((Fatoração bem sucedida!))
 G -->|Não| B

O algoritmo de Shor não resolve o problema da fatoração em números primos diretamente, mas usa teoremas da teoria dos números para convertê-lo em outro problema chamado “Problema de Descoberta de Período” (Period Finding Problem) e, em seguida, resolve isso rapidamente aproveitando as características do computador quântico.

Passo 1: Redução da Fatoração ao Problema de Descoberta de Período (Processamento Clássico)

O primeiro passo do algoritmo é feito em um computador clássico. Para o número $ N $ que se deseja fatorar, escolhe-se um número inteiro aleatório $ a $ ( $ 1 < a < N $ ) que seja co-primo (com o máximo divisor comum igual a 1) com $ N $. Se por acaso o máximo divisor comum não for 1, o divisor comum encontrado nesse momento já é um fator de $ N $, e a fatoração está concluída, mas a probabilidade é extremamente baixa.

Em seguida, considere a sequência das seguintes equações modulares: $ f(x) = a^x \pmod N $

Substituindo $ x = 1, 2, 3, \dots $ nesta função $ f(x) $, os valores parecem aleatórios, mas como são calculados em um limite finito, eles sempre voltarão ao valor original em algum ponto, repetindo a mesma sequência de números. Este ciclo de repetição é chamado de período $ r $. Ou seja, O problema de encontrar o menor número inteiro positivo $ r $ tal que $ a^r \equiv 1 \pmod N $, este é o “Problema de Descoberta de Período”.

Se este período $ r $ for encontrado, e $ r $ for um número par, então $ a^r - 1 \equiv 0 \pmod N $, e usando a fórmula de fatoração, pode ser transformado em $ (a^{r/2} - 1)(a^{r/2} + 1) \equiv 0 \pmod N $. A partir daqui, ao calcular o máximo divisor comum entre $ N $ e $ a^{r/2} \pm 1 $ usando o algoritmo de Euclides, um fator de $ N $ pode ser obtido com uma probabilidade extremamente alta.

Para encontrar o período $ r $ em um computador clássico, no final, etapas exponenciais são necessárias e isso não pode ser acelerado. No entanto, com um computador quântico, este período $ r $ pode ser encontrado em um instante (tempo polinomial).

Passo 2: Preparação e Superposição do Estado Quântico

A partir daqui é a vez do computador quântico. Os computadores quânticos usam “qubits”, que podem ter o estado “0” e “1” simultaneamente. No algoritmo de Shor, são preparados dois registradores: o primeiro para armazenar a entrada e o segundo para os resultados do cálculo.

Primeiro, uma operação de porta quântica chamada porta de Hadamard (Hadamard gate) é aplicada a todos os qubits do primeiro registrador. Isso coloca o primeiro registrador em um estado de superposição uniforme de todos os valores concebíveis de $ x $ (de $ 0 $ a $ 2^n-1 $. $ n $ é um número de bits suficientemente grande).

Em outras palavras, dentro do computador quântico, é criado um estado em que incontáveis valores de entrada como $ x=0, 1, 2, 3, \dots $ existem em paralelo ao mesmo tempo.

Passo 3: Exponenciação Modular Quântica (Quantum Modular Exponentiation)

Em seguida, o estado de superposição do primeiro registrador é usado como entrada para calcular $ f(x) = a^x \pmod N $, e o resultado é armazenado no segundo registrador. Como este cálculo é executado como uma transformação unitária no circuito quântico, o cálculo de $ f(x) $ para todos os $ x $ é feito de forma “paralela (paralelismo quântico)” enquanto a superposição é mantida.

O espaço do sistema quântico inteiro neste ponto, torna-se uma enorme superposição de estados $ |x, a^x \bmod N\rangle $.

No entanto, se você simplesmente medir (observar) o segundo registrador aqui, um valor aleatório de $ a^x \bmod N $ será probabilisticamente selecionado, e em conjunto com isso, o $ x $ do primeiro registrador também será determinado. Isso não é diferente de calcular uma vez em um computador clássico, e você não conseguirá encontrar o período $ r $.

Nas regras da mecânica quântica, você não pode observar o conteúdo de um estado de superposição diretamente. Então, como extrair a informação global chamada “período”?

Passo 4: Transformada Quântica de Fourier (QFT: Quantum Fourier Transform)

O verdadeiro valor do algoritmo de Shor, que supera esse obstáculo, é a aplicação da Transformada Quântica de Fourier (QFT) ao primeiro registrador.

Antes de medir, analisamos a natureza da onda da função $ f(x) $. Vamos supor que o segundo registrador foi observado. Suponha que um valor $ y $ foi obtido. Então, o estado do primeiro registrador encolhe para “a superposição de todos os $ x $ tais que $ a^x \pmod N = y $”. O valor deste $ x $ estará em um estado discreto com intervalos do período $ r $ (uma espécie de distribuição de amplitude de probabilidade em forma de pente), como $ x_0, x_0 + r, x_0 + 2r, x_0 + 3r, \dots $.

Aplicamos a Transformada Quântica de Fourier (QFT) a este estado. Assim como a Transformada Discreta de Fourier clássica converte sinais no domínio do tempo para o domínio da frequência, a QFT faz com que as amplitudes de probabilidade do estado quântico interfiram.

Quando a QFT é aplicada, devido ao efeito de interferência quântica, as probabilidades de respostas incorretas que não ressoam com o período $ r $ (fases não alinhadas) se cancelam mutuamente chegando perto de zero (interferência destrutiva), e apenas as probabilidades da resposta correta contendo a informação do período $ r $ são amplificadas (interferência construtiva).

Passo 5: Medição e Fração Contínua (Pós-processamento Clássico)

Após aplicar a QFT, se você medir o primeiro registrador, com uma probabilidade muito alta, um número inteiro $ c $ próximo à forma $ c \approx \frac{j \cdot 2^n}{r} $ será obtido ( $ j $ é um inteiro desconhecido, e $ 2^n $ é o tamanho do registrador).

Trazendo o resultado desta medição $ c $ de volta para um computador clássico, criamos uma fração $ \frac{c}{2^n} \approx \frac{j}{r} $. Em seguida, usando o método matemático da “Expansão de Fração Contínua” (Continued fraction expansion) para calcular valores aproximados, podemos descobrir o período $ r $, que é o denominador.

Uma vez conhecido o $ r $, o resto é calcular os fatores de $ N $ usando a fórmula do Passo 1, e a criptografia RSA é completamente quebrada.

A Força e os Desafios do Computador Quântico Atual (NISQ)

Embora teoricamente o algoritmo de Shor seja perfeito, se perguntado “A criptografia RSA será quebrada amanhã?”, a resposta é claramente “Não”. O motivo está nas limitações da tecnologia de hardware dos computadores quânticos atuais.

A Era NISQ (Noisy Intermediate-Scale Quantum)

A era em que nos encontramos atualmente é chamada de “NISQ”. Dispositivos NISQ possuem dezenas a centenas de qubits físicos, mas são extremamente vulneráveis ao ruído.

Os qubits são facilmente afetados pelo ambiente externo, como calor e ondas eletromagnéticas, e ocorrem frequentemente “decoerência” (perda de emaranhamento quântico), onde o estado quântico se quebra, e “erros de porta” durante as operações. Quando se tenta executar um circuito quântico muito profundo (com um número enorme de passos operacionais) como o algoritmo de Shor, os erros se acumulam durante o cálculo e a saída final torna-se puro ruído sem significado.

Qubit Físico e Qubit Lógico

O que é essencial para resolver este problema de erros é a “Correção de Erros Quânticos” (Quantum Error Correction). Embora códigos de correção de erros também sejam usados em computadores clássicos, devido ao “teorema da não-clonagem”, que proíbe a cópia de estados quânticos, a correção de erros quânticos é extremamente complexa.

Na correção de erros quânticos, utilizando tecnologias como “Código de Superfície” (Surface Code), muitos “qubits físicos” ruidosos são combinados para criar um “qubit lógico” ideal e livre de erros.

Assumindo a taxa de erro atual, estima-se que cerca de 1.000 a 10.000 qubits físicos seriam necessários para criar um único qubit lógico. Isso é chamado de “overhead da correção de erros”.

Que Recursos são Necessários para Quebrar a RSA-2048?

Então, para realmente descriptografar a RSA-2048, quantos recursos seriam necessários para rodar o algoritmo de Shor?

Em uma estimativa inovadora de recursos em um artigo de 2021 de Craig Gidney (Google) e Martin Ekerå, foi afirmado que se um algoritmo de Shor otimizado fosse usado, e correção de erros com código de superfície fosse realizada, os seguintes recursos seriam necessários:

Número de qubits lógicos : Aproximadamente 4.096
Número de qubits físicos : Aproximadamente 20 milhões (assumindo uma taxa de erro de $10^{-3}$)
Tempo de cálculo : Aproximadamente 8 horas (milhões a bilhões de operações físicas de porta necessárias)

Em contraste com isso, qual é o nível que o hardware quântico atual alcançou? O processador quântico supercondutor “Condor”, anunciado pela IBM no final de 2023, possui 1.121 qubits. Além disso, pesquisas inovadoras sobre a geração de qubits lógicos têm aparecido (como a geração de 48 qubits lógicos usando computadores quânticos de átomos neutros pela Universidade de Harvard, QuEra, etc.), mas ainda não chegamos no estágio de conseguir executar “cálculos perfeitos e sem ruído” continuamente por longos períodos.

Passar de alguns milhares de qubits físicos para 20 milhões de qubits físicos práticos (que estão interconectados, operam de forma estável em temperaturas ultrabaixas e podem processar sinais de controle em velocidades ultrarrápidas) apresenta uma enorme barreira na engenharia (problemas de fiação, limites da capacidade de refrigeração e inchaço da eletrônica de controle). Muitos especialistas preveem que levará pelo menos 10 a 30 anos, ou mais, até que um “Computador Quântico Tolerante a Falhas” (FTQC - Fault-Tolerant Quantum Computer), capaz de quebrar a RSA-2048, se torne uma realidade.

A Ameaça Silenciosa de “Store Now, Decrypt Later” e o Amanhecer da PQC

Concluir que “estamos seguros porque ainda levará mais de 10 anos” é precipitado. Atualmente, existem dados que devem ser mantidos em segredo por décadas no futuro, como segredos de estado, dados médicos e projetos de infraestrutura de longo prazo.

A preocupação aqui é o método de ataque chamado “Store Now, Decrypt Later” (Armazene Agora, Descriptografe Depois). Nações ou organizações mal-intencionadas interceptam todos os dados de comunicação atualmente criptografados usando RSA ou ECC (Criptografia de Curva Elíptica) e os guardam no armazenamento. E então, no momento em que um poderoso computador quântico for concluído em 10 ou 20 anos, eles usarão o algoritmo de Shor para descriptografar todos os dados do passado e expor os segredos.

Para combater essa ameaça de tempo, liderado pelo NIST (Instituto Nacional de Padrões e Tecnologia dos EUA), o processo de padronização da “Criptografia Pós-Quântica” (PQC: Post-Quantum Cryptography) tem sido acelerado em ritmo acelerado.

A PQC é um novo algoritmo de criptografia baseado em problemas matemáticos que são difíceis de descriptografar mesmo usando um computador quântico (ou seja, o algoritmo de Shor não pode ser aplicado). Como principais abordagens, temos:

Criptografia baseada em reticulados (Lattice-based cryptography) : Baseado em problemas como LWE (Learning with Errors). O método dominante na padronização do NIST (Kyber, Dilithium, etc.).
Criptografia baseada em códigos (Code-based cryptography) : Depende da dificuldade do problema de decodificação de códigos corretores de erro.
Criptografia polinomial multivariável (Multivariate cryptography) : Depende da dificuldade de resolver equações quadráticas simultâneas multivariáveis.
Assinaturas baseadas em hash (Hash-based signatures) : Assinaturas digitais que dependem exclusivamente da segurança das funções de hash.

Testes de implementação e implementações híbridas da PQC já foram iniciados nos principais softwares e plataformas, como o Google Chrome e o iMessage da Apple.

Conclusão

Os computadores quânticos estão passando de histórias de ficção científica para desafios reais de engenharia. O algoritmo de Shor é uma grande conquista intelectual da humanidade que mescla a matemática e a mecânica quântica, mas, ao mesmo tempo, guarda um “poder destrutivo” para sacudir as bases da nossa sociedade digital.

Isso não significa que a criptografia RSA se tornará inutilizável a partir de amanhã. No entanto, considerando a evolução da tecnologia quântica e o risco do “Store Now, Decrypt Later”, a grande migração que ficará na história da criptografia - a transição para a PQC - já começou. Agora estamos testemunhando a linha de frente de uma mudança de paradigma na segurança da informação.

【Compreensão Completa com Fórmulas】Por que o 'GNFS', o mais forte algoritmo clássico, é derrotado pelos algoritmos quânticos? A mudança de paradigma da fatoração

Mon, 01 Jan 0001 00:00:00 +0000

A segurança da informação na sociedade da internet moderna é protegida por sistemas de criptografia de chave pública, como a criptografia RSA. A base para a segurança da criptografia RSA depende do fato de que “a fatoração de números compostos gigantescos é computacionalmente extremamente difícil” .

Neste artigo, desvendaremos o mecanismo matemático do “Crivo do Corpo de Números Generalizado” (General Number Field Sieve, GNFS), que é o algoritmo de fatoração mais poderoso em computadores clássicos, e aprofundaremos minuciosamente, usando fórmulas matemáticas e diagramas conceituais, a mudança de paradigma de por que ele é completamente superado pelo “Algoritmo de Shor” , descoberto por Peter Shor.

1. A abordagem da fatoração na computação clássica: Evolução do método de fatoração de Fermat

O problema da fatoração de inteiros é o problema de encontrar os números primos $p, q$ tais que $N = p \times q$ , para um dado número composto $N$ .

A ideia básica se resume a encontrar valores não triviais $x, y$ que satisfaçam a seguinte congruência.

$$ x^2 \equiv y^2 \pmod N $$

Rearranjando isto, temos:

$$ x^2 - y^2 \equiv 0 \pmod N $$ $$ (x - y)(x + y) \equiv 0 \pmod N $$

Aqui, se $x \not\equiv \pm y \pmod N$ , podemos calcular o $\gcd(x-y, N)$ ou $\gcd(x+y, N)$ para obter um fator não trivial de $N$ . Este fato forma a base dos algoritmos de fatoração modernos, como o GNFS.

2. O algoritmo clássico mais forte: O abismo do “Crivo do Corpo de Números Generalizado” (GNFS)

O GNFS é o algoritmo de fatoração mais rápido conhecido hoje para computadores clássicos. Sua complexidade de tempo requer um tempo subexponencial (Sub-exponential).

Complexidade de tempo do GNFS

Quando o número de dígitos de $N$ é $b = \log_2 N$ , a complexidade de tempo do GNFS é expressa da seguinte forma:

$$ O\left( \exp \left( \left(\frac{64}{9} b\right)^{1/3} (\log b)^{2/3} \right) \right) $$

Como pode ser visto nesta fórmula, a complexidade não é tempo polinomial, mas sim um “tempo subexponencial” que é ligeiramente mais lento que uma função exponencial. Ainda assim, à medida que o número de dígitos aumenta, o tempo de computação cresce astronomicamente.

Mecanismo matemático do GNFS

O GNFS consiste principalmente em 4 etapas.

Seleção de Polinômios (Polynomial Selection)
Crivagem (Sieving)
Redução de Matriz (Matrix Reduction)
Cálculo da Raiz Quadrada (Square Root)

2.1. Seleção de Polinômios e Corpo Algébrico

Primeiro, escolhemos polinômios irredutíveis $f(x)$ e $g(x)$ com coeficientes inteiros. Eles são configurados para ter uma raiz comum $m$ módulo $N$ . Ou seja,

$$ f(m) \equiv 0 \pmod N $$ $$ g(m) \equiv 0 \pmod N $$

Geralmente, $g(x)$ é escolhido como um polinômio de primeiro grau $g(x) = x - m$ . Se a raiz de $f(x)$ for $\alpha$ , construímos um “corpo de números” (Number Field) chamado $\mathbb{Q}(\alpha)$ . As operações no anel de $\mathbb{Q}(\alpha)$ e as operações no anel comum de inteiros $\mathbb{Z}$ são comparadas através do homomorfismo $\phi: \alpha \mapsto m$ .

2.2. Crivagem (Sieving)

Em seguida, procuramos por uma grande quantidade de pares de inteiros coprimos $(a, b)$ . O objetivo é encontrar pares em que os dois valores a seguir sejam “B-smooth” (compostos apenas por fatores primos relativamente pequenos).

$a - bm$ (valor sobre o anel de inteiros)
$b^d f(a/b)$ (correspondente à norma $N(a - b\alpha)$ sobre o corpo algébrico)

Aqui é usado um método de busca rápido chamado “crivo” (Sieve). Isso extrai eficientemente pares $(a, b)$ que satisfazem as condições de um enorme número de candidatos.

2.3. Redução de Matriz (Linear Algebra over GF(2))

A partir dos pares coletados $(a, b)$ , construímos vetores de expoentes e encontramos o espaço nulo à esquerda de uma enorme matriz esparsa sobre $\mathbb{F}_2$ (um corpo cujos elementos são apenas 0 e 1).

Encontramos o vetor $v$ como uma solução tal que as relações $ \prod (a_i - b_i m) $ e $ \prod (a_i - b_i \alpha) $ se tornem quadrados perfeitos. Isto não é nada mais do que resolver o seguinte sistema de equações lineares:

$$ M \mathbf{x} \equiv \mathbf{0} \pmod 2 $$

Aqui, algoritmos avançados de cálculo numérico, como o Algoritmo de Block Lanczos ou o Algoritmo de Block Wiedemann, são utilizados.

2.4. Cálculo da Raiz Quadrada

Por fim, extraímos a raiz quadrada tanto no corpo algébrico quanto no anel de inteiros para derivar a relação $x^2 \equiv y^2 \pmod N$ . Em seguida, calculamos $\gcd(x-y, N)$ para obter os fatores.

3. Um avanço revolucionário pela computação quântica: “Algoritmo de Shor”

Enquanto o GNFS requer tempo subexponencial, o “Algoritmo de Shor” , publicado por Peter Shor em 1994, pode resolver esse problema em “tempo polinomial” usando um computador quântico.

Complexidade do Algoritmo de Shor

Assumindo que o número de qubits seja $O(\log N)$ , a complexidade de tempo é a seguinte:

$$ O((\log N)^3) $$

Isso significa que não há explosão exponencial em relação ao número de bits. É um resultado surpreendente: mesmo para números compostos gigantescos onde o tempo para a “computação clássica” excederia a idade do universo, a “computação quântica” pode descriptografá-los em questão de horas ou dias.

Visão geral do Algoritmo de Shor: Redução ao problema da descoberta de período

O Algoritmo de Shor reduz inteligentemente o problema de fatoração em primos a um “problema de descoberta de período” .

Escolha um inteiro aleatório $a$ que seja coprimo com $N$ ( $1 < a < N$ ).
Defina a função $f(x) = a^x \bmod N$ .
Encontre o período $r$ de $f(x)$ , ou seja, o menor inteiro positivo $r$ tal que $a^r \equiv 1 \pmod N$ .
Se $r$ for par, verifique se $a^{r/2} \not\equiv -1 \pmod N$ , calcule $\gcd(a^{r/2} \pm 1, N)$ e obtenha o fator primo.

Esta “descoberta do período $r$ “ na etapa 3 é o gargalo que leva tempo exponencial em computadores clássicos, mas os computadores quânticos resolvem isso instantaneamente usando a “sobreposição quântica” e a “Transformada de Fourier Quântica” (QFT).

4. Transformada de Fourier Quântica (QFT) e Extração de Período

Vejamos mais de perto as fórmulas matemáticas sobre a manipulação de estados quânticos, que é o núcleo do Algoritmo de Shor.

4.1. Geração de Sobreposição Quântica

Primeiro, preparamos dois registradores quânticos. O Registrador 1 mantém o estado de sobreposição das entradas $x$ , e o Registrador 2 mantém os resultados calculados da função $f(x)$ . Aplicamos a Transformada de Hadamard (Hadamard Transform) ao estado inicial $|0\rangle |0\rangle$ para criar uma sobreposição de todos os possíveis $x$ .

$$ |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |0\rangle $$

(onde $Q$ é uma potência de 2 satisfazendo $N^2 \le Q < 2N^2$ )

Em seguida, usamos o oráculo quântico $U_f$ para calcular $f(x) = a^x \bmod N$ e armazená-lo no Registrador 2.

$$ |\psi_2\rangle = U_f |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |a^x \bmod N\rangle $$

Suponhamos agora que medimos o Registrador 2 (embora na realidade a estrutura matemática seja a mesma mesmo sem medição). Se observarmos um determinado valor $y = a^{x_0} \bmod N$ , o estado do Registrador 1 colapsa para uma sobreposição de todos os $x$ onde $f(x) = y$ . Se o período for $r$ , esses $x$ serão $x_0, x_0 + r, x_0 + 2r, \dots$

$$ |\psi_3\rangle = \frac{1}{\sqrt{M}} \sum_{k=0}^{M-1} |x_0 + kr\rangle $$

(onde $M \approx Q/r$ é o número de termos)

Este estado contém inerentemente a informação sobre o período $r$ , mas medir isso diretamente apenas nos dá um $x_0 + kr$ aleatório, não revelando $r$ . É aqui que entra a QFT.

4.2. Aplicação da Transformada de Fourier Quântica (Quantum Fourier Transform)

A QFT é uma operação que aplica uma transformada discreta de Fourier às amplitudes do estado quântico. A ação da QFT no estado $|x\rangle$ é definida como segue:

$$ \text{QFT} |x\rangle = \frac{1}{\sqrt{Q}} \sum_{y=0}^{Q-1} e^{2\pi i \frac{xy}{Q}} |y\rangle $$

A aplicação disto a $|\psi_3\rangle$ induz interferência de fase (interferência quântica).

$$ |\psi_4\rangle = \text{QFT} |\psi_3\rangle = \frac{1}{\sqrt{MQ}} \sum_{y=0}^{Q-1} \sum_{k=0}^{M-1} e^{2\pi i \frac{(x_0 + kr)y}{Q}} |y\rangle $$

Ao expandir o somatório desta equação, surge a parte:

$$ \sum_{k=0}^{M-1} e^{2\pi i \frac{kry}{Q}} $$

Esta soma da série geométrica reforça-se mutuamente (Interferência Construtiva) apenas quando $ry/Q$ é próximo a um número inteiro e se cancela em outros momentos (Interferência Destrutiva).

Portanto, o estado $|y\rangle$ medido com alta probabilidade será um número inteiro $y$ que satisfaz a condição:

$$ \frac{y}{Q} \approx \frac{c}{r} $$

(onde $c$ é algum inteiro).

4.3. Identificação do Período por Expansão em Frações Contínuas

Após obter $y$ pela medição, utilizamos um computador clássico para realizar a “expansão em frações contínuas” (Continued Fraction Expansion) de $y/Q$ . Isso nos permite calcular a fração aproximada $c/r$ de $y/Q$ e extrair de forma altamente eficiente os candidatos ao período $r$ a partir do denominador.

5. Comparação de Modelos Conceituais e Mudança de Paradigma

Para entender intuitivamente a diferença entre o GNFS e o Algoritmo de Shor, mostramos um diagrama conceitual usando a notação Mermaid.

Diagrama conceitual do Algoritmo de Shor via circuito quântico

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


graph TD
 A[Estado inicial: 0...0] --> B[Sobreposição de todos os estados por Transformada de Hadamard]
 B --> C[Exponenciação modular a^x mod N]
 C -->|Emaranhamento quântico| D[Colapso para um estado com periodicidade]
 D --> E[Transformada de Fourier Quântica QFT]
 E -->|Amplificação de probabilidade por interferência| F[Medição: obter y]
 F --> G[Processamento clássico: expansão em frações contínuas]
 G --> H[Descoberta do período r]
 H --> I[Cálculo dos fatores primos de N]

 style A fill:#f9f,stroke:#333,stroke-width:2px
 style E fill:#bbf,stroke:#333,stroke-width:2px
 style I fill:#bfb,stroke:#333,stroke-width:2px

A essência da mudança de paradigma

O GNFS adota uma abordagem que consiste em “buscar relações dentro de um espaço matemático (corpo algébrico)” . No entanto, como o espaço de busca se expande exponencialmente em relação ao número de dígitos, com as capacidades computacionais clássicas (incluindo paralelização), a decodificação se torna quase impossível quando o tamanho da chave excede os 2048 bits.

Por outro lado, o Algoritmo de Shor utiliza a “natureza de onda devido à interferência quântica” . Ele avalia simultaneamente todos os caminhos computacionais na sobreposição de estados e usa a QFT para cancelar respostas desnecessárias (interferência destrutiva) enquanto amplifica apenas a amplitude de probabilidade do período correto (interferência construtiva). Com isso, ao invés de buscar no espaço, atinge uma abordagem de dimensão completamente diferente onde “surge a própria resposta correta” .

6. Conclusão

Neste artigo, aprofundamo-nos nos contextos matemáticos e nas estruturas de algoritmos, comparando o “GNFS” , o pico absoluto do limite clássico, com o “Algoritmo de Shor” , que demonstra o poder da computação quântica.

Enquanto o GNFS usa técnicas matemáticas sofisticadas, como a escolha de polinômios e cálculos matemáticos com grandes matrizes, para reduzir o tempo computacional a um tempo subexponencial, o Algoritmo de Shor combina os princípios fundamentais da mecânica quântica, sobreposição e interferência, com ferramentas matemáticas (QFT) para produzir um avanço instantâneo ao tempo polinomial.

No momento, não existe nenhum computador quântico tolerante a falhas (FTQC) capaz de executar o Algoritmo de Shor em escala prática (milhares de qubits). No entanto, a própria existência dessa mudança de paradigma matemático e teórico é a principal razão pela qual há atualmente uma rápida e urgente transição para a Criptografia Pós-Quântica (PQC: Post-Quantum Cryptography) no mundo todo.