💻 computer science

Quantum Cryptanalysis on IBM Quantum Hardware: Extending Even--Mansour Period Recovery from $N=4$ to $N=10$

Dit artikel presenteert een authentieke, ongecompileerde demonstratie op echte IBM quantum hardware van tekstboekgetrouwe quantumcryptanalyse met behulp van Simons algoritme om verborgen perioden te herstellen voor Even-Mansour en Feistel-cijferstructuren tot recordomvang (N=10), terwijl het een uitgebreide benchmark biedt van vijf aanvallen over vier symmetrische cijferparadigma's met expliciete kanttekeningen met betrekking tot hun reikwijdte, de afhankelijkheid van foutenmitigatie en het gebrek aan een bedreiging voor volledige moderne encryptie.

Oorspronkelijke auteurs: Taebong Kim, Youngsik Hong, Minsik Kim, Sunyoung Choi, Jaewon Jang, Junghoon Shin, Minseo Kim

Gepubliceerd 2026-07-22

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Taebong Kim, Youngsik Hong, Minsik Kim, Sunyoung Choi, Jaewon Jang, Junghoon Shin, Minseo Kim

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een wereld voor waarin geheime codes niet alleen in een kluis zijn opgeborgen, maar verborgen liggen in een doolhof waar alleen een spook doorheen kan lopen. Dit is het domein van de kwantumcryptanalyse, een tak van de wetenschap waar onderzoekers de vreemde, spookachtige regels van de kwantumfysica gebruiken om te testen hoe sterk onze digitale sloten werkelijk zijn. Om dit te begrijpen, moet je drie eenvoudige dingen weten. Ten eerste zijn "symmetrische cijfers" als een enkele sleutel die een schatkist vergrendelt en ontgrendelt; als je de sleutel hebt, kun je hem openen, maar als je die niet hebt, zit je vast. Ten tweede zijn "kwantumcomputers" speciale machines die veel paden in een doolhof tegelijkertijd kunnen proberen, in tegen tegenstelling tot normale computers die één pad moet proberen, dan een ander, en dan weer een ander. Ten slotte is er een beroemde truc genaamd "Simon's algoritme", wat een superintelligente detective is die een verborgen patroon in een chaotische bende veel sneller kan vinden dan een gewone detective, maar alleen als de bende een zeer specifieke, herhalende structuur heeft.

Waarom geeft iemand erom? Omdat als een kwantumcomputer deze patronen gemakkelijk kan vinden, de geheime sleutels die onze bankrekeningen, berichten en nationale geheimen beschermen, gekraakt kunnen worden. Maar hier is de crux: het bouwen van een kwantumcomputer die groot en stil genoeg is om dit daadwerkelijk te doen, is ongelooflijk moeilijk. Ze zijn momenteel erg luidruchtig, zoals proberen een fluistering te horen tijdens een rockconcert. Dit artikel gaat over een team van onderzoekers dat probeerde een echte, luidruchtige kwantumcomputer te leren om deze verborgen patronen in geheime codes te vinden, waarbij ze de grenzen opzoeken van wat momenteel mogelijk is in de echte wereld.

Het Papier: Een Kwantumdetective op een Luidruchtig Podium

De onderzoekers, werkend met een echte kwantumcomputer gemaakt door IBM (specifiek de "ibm_kingston" chip), besloten een spelletje "zoek het verborgen patroon" te spelen. Ze concentreerden zich op een specifep type structuur van een geheime code genaamd de Even-Mansour cipher. Stel je deze cipher voor als een machine die een geheim getal (de sleutel) neemt en een bericht door elkaar husselt. Het doel van de aanval is om de "periode" te vinden — een verborgen herhalend ritme in hoe de machine de data door elkaar husselt. Als je het ritme vindt, kun je de geheime sleutel achterhalen.

In het verleden waren wetenschappers er alleen in geslaagd om dit op echte hardware te doen voor zeer kleine, eenvoudige versies van de code (waarbij het geheime getal slechts 4 bits lang was). Dit team wilde zien hoe ver ze de echte machine konden pushen. Ze slaagden erin om het verborgen ritme te vinden voor een versie waarbij het geheime getal 10 bits lang was. Dat klinkt misschien niet veel voor jou, maar in de wereld van kwantumhardware is de sprong van 4 naar 10 een enorme uitstap. Het is alsof je van op één voet balanceren overgaat naar het rennen van een marathon op een koorddanserslijn.

Ze stopten daar niet. Ze testten ook hun detectivevaardigheden op andere soorten codestructuren:

De 3-Round Feistel: Een structuur die wordt gebruikt in oudere codes (zo zoals de beroemde DES). Ze vonden succesvol het verborgen ritme voor blokgroottes van 6 en 8.
Bernstein-Vazirani: Een eenvoudiger lineair puzzeltje. Ze vonden een 16-bit geheim in slechts één enkele vraag (query), precies wat de wiskunde beloofde.
Grover's Search: Ze testten een methode voor het doorzoeken van ongestructureerde sleutels, waarmee ze lieten zien dat de kwantumcomputer een sleutel kon vinden in ongeveer 13 stappen, terwijl een normale computer 256 stappen nodig zou hebben.

De Realiteitscheck: Hoe goed was het?

Dit is het belangrijkste deel van het verhaal, en het deel waar de auteurs zeer, zeer eerlijk zijn. Hoewel ze de patronen vonden, hebben ze de code niet op een manier gekraakt waarmee ze vandaag de dag je bankrekening zouden kunnen plunderen.

Voor de grotere puzzels (waar het geheim 6 bits of meer was) werd de kwantumcomputer een beetje "luidruchtig" en verward. Het wees niet direct naar het ene juiste antwoord. In plaats daarvan gaf het een lijst met de topkandidaten. De onderzoekers gebruikten vervolgens een gewone computer om de top 16, 32, 64 of 128 kandidaten van de kwantumlijst te controleren. De ware geheime sleutel werd meestal heel hoog op die lijst gevonden (vaak binnen de top 63 kandidaten), wat veel beter is dan willekeurig gokken.

De auteurs zijn heel duidelijk: dit is nog geen "kwantumvoordeel" (quantum advantage).

Geen wondermiddel: Ze hebben de volledige, echte versies van beroemde codes zoals AES of RSA niet gekraakt. Ze hebben alleen vereenvoudigde, gereduceerde versies van de structuren gekraakt.
Geen super snelheid: Voor de grotere puzzels loste de kwantumcomputer het niet alleen op. Het verkleinde de lijst met verdachten, maar een gewone computer moest nog steeds het laatste werk doen. De snelheidswinst die ze zagen, zat in het aantal gestelde vragen, niet in de totale tijd die het kostte om de code te kraken.
Ruis vs. Perfectie: Ze gebruikten "error mitigation" (een chique manier om te zeggen dat ze de luidruchtige data opschoonde) in plaats van "error correction" (wat de fouten perfect zou herstellen). Dit betekent dat hun resultaten indrukwekkend zijn voor de huidige technologie, maar dat ze niet de definitieve, perfecte oplossing zijn.

Het Grote Plaatje

Het team heeft ook een enorme simulatie op een supercomputer gedraaid om te zien hoe ver dit zou gaan als ze perfecte, ruisvrije machines hadden. Ze ontdekten dat hoewel een kwantumcomputer deze puzzels theoretisch gemakkelijk zou kunnen afhandelen, een normale computer zonder geheugen zou raken bij het simuleren van een kwantumcomputer met slechts 25 qubits (de basisunits van kwantuminformatie). Een iets grotere puzzel zou 4,5 petabyte aan geheugen vereisen — meer dan de meeste datacenters hebben!

Dus, wat is de kern van het verhaal? Dit papier is een "wereldrecord" voor hoe groot een geheime codestructuur een echte, luidruchtige kwantumcomputer succesvol heeft geanalyseerd. Het bewijst dat de wiskunde werkt op echte hardware, zelfs als de hardware nog een beetje wankel is. Het is een bewijs van concept dat zegt: "We kunnen dit, maar we hebben betere, stillere machines nodig voordat we de geheimen van de echte wereld daadwerkelijk kunnen kraken." De auteurs hebben hun code en data publiek gemaakt zodat iedereen hun werk kan controleren, om er zeker van te zijn dat dit niet slechts een bewering is, maar een reproduceerbare stap voorwaarts in de race tussen kwantumcomputers en geheime codes.

Technische Samenvatting: Kwantumcryptanalyse op IBM Kwantumhardware

Probleemstelling

Theoretisch onderzoek heeft lang vastgesteld dat specifieke structuren van symmetrische cijfers, zoals het Even–Mansour-cijfer en 3-ronde Feistel-netwerken, kunnen worden gereduceerd tot verborgen-periodeproblemen die oplosbaar zijn met Simons algoritme. Echter, er bestaat een aanzienlijke kloof tussen deze theoretische reducties en de praktische uitvoering op ruisige, intermediaire schaal kwantumapparaten (NISQ). Voorafgaand aan dit werk waren de demonstraties van dergelijke sleutelherstel op echte hardware beperkt tot zeer kleine beveiligingsparameters (specifiek $N=4$ ) vanwege apparaatruis en het gebrek aan fouttolerante foutcorrectie. De uitdaging ligt in het uitbreiden van deze aanvallen naar grotere structuurafmetingen ( $N > 4$ ) op echte hardware, terwijl de "echte" algoritmische integriteit behouden blijft—wat betekent dat de circuits de werkelijke sleutelgestuurde kaarten moeten implementeren zonder transpilatie-shortcuts die de zoekopdracht triviaal zouden maken.

Methodologie

De auteurs voerden "echte, niet-gecompileerde, tekstboekgetrouwe" kwantumcryptanalyse uit op de IBM ibm_kingston processor (Heron-generatie) met behulp van het Qiskit-framework. De methodologie wordt gekenmerkt door de volgende componenten:

Algoritmische reikwijdte: De studie richt zich op vier paradigma's van symmetrische cijferontwerpen:
1. Lineaire structuur: Bernstein–Vazirani algoritme (enkele query).
2. Ongestructureerde zoekopdracht: Grover's algoritme toegepast op een gereduceerde SPN (Substitution-Permutation Network) sleutelzoekopdracht.
3. Verborgen-periodeproblemen: Simons algoritme toegepast op:
  - Even–Mansour cijfer.
  - CBC-MAC vervalsing.
  - 3-ronde Feistel (DES-familie) constructie.
Executiestrategie:
- Echte hardware: Experimenten maakten gebruik van een uitgebreide readout error-mitigatie stack (inclusief kalibratie, dynamical decoupling en twirling) in plaats van fouttolerante foutcorrectie.
- Hybride benadering voor $N > 5$ : Voor Even–Mansour instanties waar de ruis een schone "rank-1" herstel verhinderde, gebruikten de auteurs een kwantum-vernauwing + klassieke-verificatie hybride. Het kwantumcircuit genereerde een shortlist van top-gerangschikte kandidaten (bijv. top-16 of top-128), die vervolgens klassiek werden geverifieerd.
- Validatie: Alle hardwareresultaten werden gecross-gevalideerd tegen onafhankelijke controle-sleutels om te garanderen dat de herstelde perioden geen artefacten waren van specifieke sleutelselecties.
- Simulatie: Een breadth-first benchmark werd uitgevoerd met behulp van genuine statevector simulatie (op NVIDIA B200 hardware) tot aan de klassieke geheugengrens van 25 qubits om de ongecompileerde circuits te valideren.

Belangrijkste Resultaten

1. Uitbreiding van de real-hardware frontier

Het artikel rapporteert het herstel van de Even–Mansour verborgen periode tot een beveiligingsparameter $N = 10$ op echte hardware.

$N = 5$ : Bereikte een schone, rank-1 herstel (differentieel Simon) waarbij de ware sleutel de topkandidaat was.
$N = 6$ tot $N = 10$ : Bereikt via de hybride benadering. Hoewel de ware sleutel door ruis niet altijd de enkele top-output was, volgde de rangorde de birthday bound ( $2^{n/2}$ ), wat orders van grootte lager bleef dan de willekeurige verwachting ( $2^{n-1}$ ).
Vergelijking: Dit overtreft de grootste eerder gerapporteerde real-hardware grootte van $N = 4$ .

2. Feistel en Lineaire Structuur Herstel

3-ronde Feistel: Herstelde de periode voor blokgroottes 6 en 8 (rank-1, exact) op echte hardware. Een 21-qubit blok-10 instantie werd gevalideerd in simulatie en ingediend bij de hardware.
Bernstein–Vazirani: Extraheerde succesvol een 16-bit lineair geheim in een enkele query op echte hardware.

3. Complexiteitsseparatie

De studie demonstreert de theoretische query-complexiteit separatie:

Simon-gebaseerde aanvallen: Exponentiële klassieke query-complexiteit ( $2^{n/2}$ ) versus polynomiale kwantum queries ( $\Theta(n)$ ).
Grover-gebaseerde aanvallen: Kwadratische versnelling (bijv. het herstellen van een 8-bit sleutel in $\approx 13$ iteraties versus 256 klassieke evaluaties).

Betekenis en Claims

De auteurs kaderen hun bijdragen expliciet met een focus op eerlijkheid en reproduceerbaarheid, waarbij zeoverdeclaraties van "kwantumvoordeel" vermijden.

Real-Hardware Demonstratie: De primaire bijdrage is de demonstratie van genuante kwantumcryptanalyse op echte hardware bij record structurele groottes ( $N=10$ voor Even–Mansour), waarmee de kloof tussen theoretische reducties en fysieke uitvoering wordt overbrugd.
Breedte van Dekking: Het werk biedt een uitgebreide benchmark over vier verschillende cryptografische paradigma's (Lineair, Ongestructureerd, Verborgen-Periode) en vijf specifieke aanvallen, die allemaal gevalideerd zijn tot de klassieke simulatiegrens.
Geen End-to-End Kwantumvoordeel: Het artikel stelt expliciet dat deze aanvallen geen kwantumvoordeel vormen ten opzichte van klassieke methoden in termen van end-to-end kosten. De aanvallen volgen asymptotisch de birthday bound, wat betekent dat klassieke collision-finding een vergelijkbare schaling bereikt. De separatie betreft strikt de query-complexiteit voor de distinguisher, niet de totale computationele kosten.
Scope Beperkingen:
- De aanvallen richten zich op gereduceerde of gestructureerde constructies (Even–Mansour, 3-ronde Feistel, gereduceerde SPN), niet op volledige AES, RSA of 16-ronde DES.
- De resultaten vertrouwen op error mitigation, niet op fouttolerante foutcorrectie.
- Het Q2 (quantum-query) oracle model wordt verondersteld, hoewel de auteurs de praktische beperkingen hiervan erkennen en opmerken dat offline-Simon reducties sommige assumpties kunnen versoepelen naar Q1.

Samenvattend dient dit artikel als een rigoureuze, reproduceerbare benchmark van echte kwantumalgoritmen op NISQ-hardware, waarbij wordt aangetoond dat hoewel huidige apparaten geen moderne volledige ciphers kunnen breken, ze wel complexe kwantumcryptanalytische reducties op gestructureerde primitieven kunnen uitvoeren op groottes die voorheen onbereikbaar waren op echte hardware.