Schrödingers Katze oder warum bedrohen Quantenrechner die IT-Sicherheit?

Die ersten einsatzfähigen Quantenrechner mit mehr als 1.000 Qubits sollen in den kommenden zwei Jahren auf den Markt kommen. Höchste Zeit also, sich mit den bevorstehenden Risiken für die IT-Sicherheit zu befassen. Was wäre, wenn Quantentechnologie in die Hände böswilliger Akteure fällt? Was könnte dies für aktuelle Verschlüsselungssysteme bedeuten?

von Ingolf Rauh, Head of Product and Innovation Management bei Swisscom Trust Services

Quantencomputer sorgen immer wieder für Schlagzeilen. Forscher von IBM wollen einen Weg gefunden haben, die hohe Fehleranfälligkeit der bisherigen Geräte genau zu erfassen und bewusst einzukalkulieren. Somit könnten Quantenrechner eventuell bereits zum Einsatz kommen, bevor das Problem ihrer hohen Fehleranfälligkeit technisch in den Griff zu bekommen ist. Irgendwann wird allerdings auch das passieren und dann kann das neue Rechnerkonzept seine volle Stärke ausspielen. Um zu verstehen, warum dieses Szenario gefährlich werden kann, muss man zunächst das Prinzip des Quanten-Computing und die Funktionsweise aktueller Verschlüsselungen betrachten.

1 und 0 statt 1 oder 0

Ein Bit nimmt entweder den Wert 1 oder den Wert 0 an. Darauf basiert unsere gesamte digitale Technologie. In der mysteriösen Quantenwelt gilt diese Gewissheit nicht mehr. Quantenobjekte können zwei Zustände gleichzeitig beziehungsweise einen undefinierten Zwischenzustand annehmen. Das bekannteste Beispiel dafür ist Schrödingers Katze. Sie hat für die Außenwelt solange den Status tot und lebendig zugleich – bis jemand die Kiste öffnet und nachsieht. Ähnlich verhält es sich mit Quantenbits. Deren Zustand kann nur durch eine Messung bestimmt werden. Bis diese stattfindet, befinden sie sich im undefinierten Zustand, beziehungsweise nehmen die Werte 1 und 0 gleichzeitig an.

Diese in unserer makroskopischen Welt nicht vorstellbare Eigenschaft der Quantenobjekte, die Superposition, könnte dafür sorgen, dass sich sehr komplexe mathematische Probleme wesentlich schneller lösen lassen beziehungsweise Probleme lösbar werden, die es heute nicht in reeller Zeit sind. Darauf deutet zumindest der aktuelle Forschungsstand hin. Probleme schneller lösen – das klingt eigentlich positiv, kann aber auch gefährlich werden.

Kryptografie basiert auf Problemen

Die heute omnipräsente asymmetrische Kryptografie könnte durch überlegene Quantencomputer angegriffen werden. Das System basiert darauf, dass mittels eines Algorithmus aus einem privaten Schlüssel ein öffentlicher Schlüssel erzeugt wird und nur der öffentliche Schlüssel über das Internet übertragen wird. Der Zusammenhang zwischen privatem und öffentlichem Schlüssel wird über komplexe mathematische Operationen hergestellt, die schwer umkehrbar sind. Dies kann beispielsweise die Multiplikation sehr großer Primzahlen sein. Diese Berechnung ist einfach. Die umgekehrte Primfaktorzerlegung des Ergebnisses ist allerdings sehr komplex. Heute eingesetzte Verschlüsselungen basieren darauf, dass die leistungsstärksten konventionellen Computer derartige Berechnungen nicht in einer sinnvollen Zeitspanne durchführen können. Mit dem Quantencomputer könnte sich dies aber ändern, wodurch es plötzlich möglich wäre, private aus öffentlichen Schlüsseln zu errechnen.

In der Theorie existieren bereits spezielle, für Quantenrechner entwickelte Algorithmen. Sobald die entsprechende Hardware verfügbar ist, können damit beispielsweise Suchvorgänge viel schneller durchgeführt werden. Der Grover-Algorithmus beschleunigt diese im Quadrat. Bei linearer Suche würde man 2¹²⁸ Rechenschritte benötigen, um eine AES-128 Verschlüsselung zu knacken – mit dem Grover-Algorithmus dagegen nur noch 2⁶⁴ Schritte. In diesem speziellen Fall könnte man die Schlüssellänge verdoppeln und die Verschlüsselung wäre wieder sicher. Doch das gilt nur für den Grover-Algorithmus. Werden in Zukunft noch leistungsfähigere Verfahren für Quantenrechner gefunden, reichen immer längere Schlüssel nicht mehr aus und es werden gänzlich neue Konzepte benötigt – Probleme, deren Umkehrung auch für Quantenrechner zu komplex ist. An den entsprechenden Algorithmen wird bereits gearbeitet. Dort geht es dann beispielsweise um Problemstellungen innerhalb der algebraischen Geometrie oder in hochdimensionalen Gittern.

Quantenrechner sind eine reale Gefahr

Asymmetrische Kryptografie gehört inzwischen für fast alle Menschen zum Alltag – wenn auch meistens unbewusst. Sichere Verbindungen zwischen Websites und Nutzern (HTTPS) basieren darauf, ebenso wie die Ende-zu-Ende-Verschlüsselung bei Messengern wie WhatsApp. Digitale Dokumente, wie sie etwa in einer ID-Wallet abgelegt werden sollen, die die EU gerade erarbeitet, würden ebenfalls nach dem Muster der asymmetrischen Kryptografie funktionieren. Der Sinn dabei ist, dass jeder sie mit einem öffentlichen Schlüssel prüfen kann, aber nur Berechtigte mit den privaten Schlüsseln zur Ausstellung fähig sind. Bei qualifizierten elektronischen Signaturen wird ebenfalls asymmetrische Kryptografie eingesetzt.

Kriminelle mit Zugang zu einem in der Rechenleistung überlegenen Quantencomputer könnten die konventionellen Algorithmen, die die Basis für all diese Verschlüsselungen bilden, in kurzer Zeit knacken. Damit könnten sie verschlüsselten Datenverkehr und Nachrichten mitlesen, digitale Dokumente und Signaturen fälschen. Auch bestehende digital signierte Verträge wären dadurch auf einen Schlag wertlos.

Diese Gefahr ist zwar noch hypothetisch und nicht akut, man sollte sie aber keinesfalls ignorieren. Die Entwicklung der Quantenrechner schreitet unablässig fort und irgendwann werden sie in den praktischen Einsatz kommen – sei es in 10, 20 oder 30 Jahren. Und dann wird irgendwann Murphys Gesetz zuschlagen und die Geräte werden auch in falsche Hände gelangen. Darauf müssen wir vorbereitet sein. IT-Sicherheitsanbieter aber auch Vertrauensdienste müssen ihre Hard- und Software daher bereits heute so designen, dass sie zukünftig neue, quantensichere Algorithmen integrieren können. Die US-amerikanische Normungsbehörde NIST veröffentlichte bereits die ersten Algorithmen-Kandidaten für eine solche Post-Quanten-Kryptografiewelt, die ihre Festigkeit aber noch beweisen müssen. Das Rennen ist in jedem Fall eröffnet.pp