A kvantumgép még nem töri fel az internetet. A titkosított adatokat viszont már ma lemásolják, hogy később elolvassák.

Pergel AttilaEli2026. augusztus 23. 08:58

Valahol most is állnak olyan szerverek, amelyeken évekkel ezelőtt elfogott, értelmezhetetlennek látszó titkosított adatcsomagok pihennek. Aki begyűjtötte őket, annak nem kellett feltörnie semmit. Elég volt másolatot készíteni. A lopás megtörtént, csak a zsákmány még zárva van. Ez a kvantumfenyegetés legfontosabb, egyben legkevésbé látványos része. Nem az, hogy holnap reggel egyszerre elsötétülnek a városok, leállnak a bankok és eltűnik a lakat a böngészőből. Hanem az, hogy a ma biztonságosnak hitt forgalom egy része már nincs kizárólag nálunk. A másolatot nem lehet visszahívni, törölni vagy újratitkosítani.

TECH

#kiberbiztonság #titkositas

A szakma ezt harvest now, decrypt later, vagyis gyűjtsd be most, fejtsd vissza később támadásnak nevezi. Nem internetes legenda. Az Europol külön bűnügyi fenyegetésként kezeli, a Google ugyanerre hivatkozva állította át a Chrome forgalmának egy részét posztkvantum védelemre, az amerikai és brit kiberbiztonsági szervezetek pedig nem azt mondják, hogy majd egyszer érdemes lesz foglalkozni vele. Azt mondják: most kell elkezdeni az átállást.[1][16][15]

A kvantumkorszak első nagy adatlopása nem a jövőben történik. Lehet, hogy már megtörtént, csak még senki nem tudja elolvasni a zsákmányt.

A legjobb támadás az, amelyről az áldozat nem tud

Egy klasszikus adatlopásnak marad nyoma. Eltűnik egy fájl, módosul egy adatbázis, megszólal egy riasztás, valaki pénzt követel. A titkosított forgalom tömeges másolása ennél kényelmesebb bűncselekmény. Az eredeti adat a helyén marad, a kapcsolat működik tovább, a felhasználó pedig elégedetten nézi a kis lakatot a címsorban.

A másolat közben elindul egy raktárba. Ott lehet öt, tíz vagy tizenöt évig. A tárolás olcsó, az állami hírszerzés türelmes, a vállalati titkok, katonai tervek, diplomáciai üzenetek, fúziós és félvezetőkutatási eredmények pedig sokáig értékesek maradnak. Egy ma elfogott tárgyalási anyag 2032-ben talán már szemét. Egy fegyverrendszer dokumentációja, egy genetikai adatbázis vagy egy ügynökhálózat névsora viszont akkor is aranyat érhet.

Pontosan hány ilyen archívum létezik, azt természetesen senki nem teszi ki egy nyilvános műszerfalra. A módszer létezését és racionalitását viszont kormányzati és rendészeti jelentések nyíltan elismerik. A helyzet ettől különösen kellemetlen: a veszély bizonyítható, a már begyűjtött mennyiség viszont nem mérhető.[1]

És van egy geopolitikai csavar. Aki elsőként jut valóban kriptográfiailag releváns kvantumgéphez, valószínűleg nem azzal kezdi, hogy lekapcsolja fél Európát. Az ilyen képességet előbb csendben használják. Ha látványosan hamisítanak tanúsítványokat és banki aláírásokat, az egész világ azonnal átáll vészüzemmódra, a támadó pedig elégeti az előnyét. Sokkal többet ér észrevétlenül olvasni a régi levéltárakat, célzottan feltörni néhány kulcsot, majd úgy tenni, mintha semmi sem történt volna.

Mit törne fel valójában egy nagy kvantumgép?

Itt érdemes félretenni a hollywoodi verziót. A kvantumszámítógép nem egy mindentudó varázsdoboz, és nem minden titkosítást tesz egyszerre értelmetlenné. Bizonyos matematikai problémáknál viszont teljesen más ligában játszik.

A Shor-algoritmus a ma széles körben használt nyilvános kulcsú rendszerek alapjait támadja: az egész számok faktorizálását és a diszkrét logaritmus problémáját. Ide tartozik az RSA, a Diffie-Hellman és az elliptikus görbékre épülő ECC több változata. Ezek nemcsak titkosítanak. Kulcsot cserélnek, digitális aláírást készítenek, tanúsítványokat hitelesítenek, szoftverfrissítésekről bizonyítják, hogy valóban a gyártótól érkeztek.[25]

Ha ezek a bizonyítékok hamisíthatóvá válnak, a támadó banknak, frissítési szervernek vagy VPN-végpontnak adhatja ki magát. A kvantumveszély nemcsak az üzenetek titkosságát, hanem a digitális személyazonosságot és a teljes bizalmi láncot támadja.

Technológia	Kvantumhatás	A valós helyzet
RSA, DH, ECC	Shor: összeomlik	Cserélni kell; a kulcscsere és az aláírás is érintett.
AES-256	Grover: gyorsabb keresés	Megfelelő kulcsmérettel továbbra is erős.
Hash függvények	Gyorsabb keresés	Nagyobb kimenet és jó paraméterezés kell.
Jelszavak	Nem Shor célpontjai	A környező tanúsítvány és kulcscsere sérülhet.
Digitális aláírás	RSA/ECDSA hamisítható	Posztkvantum aláírásra kell átállni.

A jelszavak tehát nem válnak egyik percről a másikra semmivé. A köréjük épített bizalom viszont igenis sérülhet.

A forrásanyag egyik túlzó állítása éppen az, hogy Q-napon a jelszavak hirtelen semmit sem érnek. Ez így nem igaz. A jelszó találgatása, a többfaktoros azonosítás vagy a hardverkulcs nem ugyanaz a probléma, mint az RSA faktorizálása. Az viszont igaz, hogy egy belépési rendszer hiába kér jelszót, ha a támadó közben hitelesnek látszó szervert, tanúsítványt vagy szoftverfrissítést tud hamisítani.

Milyen messze van a gép, amelyik ezt tényleg megcsinálja?

2026 augusztusában nincs olyan ismert kvantumszámítógép, amely képes lenne az RSA-2048 gyakorlati feltörésére. Nem kicsit nincs. A mai gépek és a kriptográfiai támadáshoz szükséges hibatűrő rendszer között még hatalmas mérnöki szakadék van.

A qubitszám önmagában ráadásul félrevezető. Ezer zajos fizikai qubit nem egyenlő ezer megbízható logikai qubittel. A hasznos számításhoz hibajavítás kell, a hibajavításhoz pedig sok fizikai qubitből kell egy stabil logikai qubitet építeni. A Google Willow chipje fontos eredményt mutatott a hibák skálázásával, az IBM 2029-re ígéri a 200 logikai qubites, 100 millió kapus Starling rendszert. Ezek komoly mérföldkövek, de egyik sem egy ma működő RSA-törő gép.[6][7]

A veszélyt az teszi izgalmassá, hogy nemcsak a hardver fejlődik. A támadáshoz szükséges erőforrás becslése is zuhan. Craig Gidney 2019-es munkája még nagyjából 20 millió zajos qubittel és nyolc órával számolt az RSA-2048 feltörésére. A 2025-ös becslése már egymilliónál kevesebb fizikai qubitet és egy hétnél rövidebb futást írt le, meghatározott hibaarányok és vezérlési idők mellett.[4]

2026-ban megjelent egy még agresszívebb, Pinnacle nevű architekturális javaslat, amely 100 ezer alá vitte a becslést. Ez nem azt jelenti, hogy valaki már építi a titkos kulcsokat daráló dobozt. A számítás qLDPC hibajavító kódokra, konkrét fizikai hibaarányra és rendkívül gyors vezérlésre épül. Vagyis ez egy műszakilag feltételes terv, nem egy raktárról készült fénykép. De a tendencia kellemetlen: miközben a hardver közeledik, a szükséges hardver célvonala is közelebb csúszik.[5]

A Global Risk Institute 2025-ös szakértői felmérésében - amelyet 2026 márciusában tettek közzé - a válaszadók 28-49 százalékos tartományba tették annak esélyét, hogy tíz éven belül megjelenik egy kriptográfiailag releváns kvantumgép. Tizenöt éves távon már 51-70 százalékos tartományt adtak. Ez nem jóslat, hanem 26 szakértő bizonytalanságának összesítése. Pont azért komoly, mert nem állít biztos dátumot.[3]

A kérdés nem az, hogy 2031-ben vagy 2038-ban jön-e el a Q-nap. A kérdés az, hogy a ma elküldött adatnak 2038-ban is titoknak kell-e maradnia.

Nem egyetlen Q-nap lesz

A katasztrófafilm kedvéért könnyű elképzelni egy nulladik órát: megszületik a nagy gép, és egyszerre megroppan minden bank, erőmű és kormányzati rendszer. A valóság valószínűleg sokkal kuszább lesz.

Az első működő kriptográfiai kvantumgép drága, ritka és stratégiai eszköz lesz. Nem fog egyszerre minden TLS-kapcsolatot feltörni. Célpontokat választ. A már átállított, hibrid védelemmel működő rendszerek ellen más támadás kell. A régi beágyazott eszközök, ipari vezérlők, műholdak, orvostechnikai berendezések és elfelejtett vállalati szerverek viszont még évekig a régi algoritmusokat hordozhatják.

A következmény ezért nem egy tiszta globális összeomlás, hanem egy mocskos átmeneti korszak: modern felhőszolgáltatások az egyik oldalon, frissíthetetlen örökség a másikon. Az internet egy része kvantumálló lesz, a másik része papíron még működik, csak már senki nem tudja teljes bizonyossággal, hogy kiben bízhat.

A pénzügyi rémtörténeteknél is kell a fék. A Swift nem mozgat pénzt úgy, mint egy globális bankszámla; biztonságos pénzügyi üzeneteket továbbít. Saját adatai szerint naponta átlagosan több mint 53 millió FIN-üzenetet kezel. A forrásanyagban szereplő napi ötmillió dollár nyilvánvaló félrehallás, a hálózat nagyságrendje egészen más.[10]

A több ezermilliárd dolláros kárbecslés viszont létezik, csak nem úgy, ahogy a drámai narráció sugallja. A Hudson Institute 2023-as modellje szerint egy vezető amerikai bank Fedwire-kapcsolatának egynapos, kvantumtámadással összekötött kiesése hat hónapos gazdasági tovagyűrűzéssel 2-3,3 ezermilliárd dollár GDP-kockázatot okozhat. A Citi 2026-ban ismét elővette ezt a forgatókönyvet. Ez szélsőséges modell, nem előrejelzés. A New York-i Fed külön, nem kvantumspecifikus elemzése ugyanakkor azt találta, hogy az öt legaktívabb bank egyikének kiesése átlagosan a hálózat 38 százalékára gyűrűzhet át. A rendszerkockázat tehát valós, még ha a pontos dollárösszeg vitatható is.[8][9]

Jók-e az új posztkvantum algoritmusok?

A rövid válasz: jelenlegi tudásunk szerint igen. A becsületes válasz: igen, de aki örök garanciát ad rájuk, az vagy nem ért a kriptográfiához, vagy el akar adni valamit.

A NIST 2024 augusztusában három végleges szabványt adott ki. Az ML-KEM - a korábbi CRYSTALS-Kyber - biztonságos közös kulcs létrehozására szolgál. Az ML-DSA - korábban CRYSTALS-Dilithium - digitális aláírás. Az SLH-DSA - a SPHINCS+ szabványosított változata - szintén aláírás, de teljesen más, hash-alapú matematikára épül, ezért tartalékot ad arra az esetre, ha a rácsalapú világban egyszer komoly repedés jelenne meg.[2]

Az ML-KEM biztonsága a Module Learning With Errors problémához kapcsolódik. Ez nem azt jelenti, hogy matematikailag bebizonyították: soha, semmilyen géppel nem törhető. Azt jelenti, hogy sokéves nyílt nemzetközi vizsgálat után nincs ismert gyakorlati klasszikus vagy kvantumos támadás, amely a választott paraméterek mellett használhatóan feltörné.[11]

A NIST 2025-ben kiválasztotta a HQC-t is tartalék kulcslétrehozási algoritmusnak. Ennek biztonsága kódalapú problémára épül, nem ugyanarra a strukturált rácsra, mint az ML-KEM. A szabvány véglegesítése 2027-re várható. Ez nem bizalmatlansági szavazás az ML-KEM ellen, hanem józan mérnöki viselkedés: ha az egész internetet új zárra cseréljük, legyen a polcon másik fajta zár is.[12]

A SIKE tíz perc alatt omlott össze

Az óvatosságot nem elméleti udvariaskodás indokolja. A SIKE nevű posztkvantum jelölt 2022-ben még a NIST negyedik köréig jutott. Aztán Wouter Castryck és Thomas Decru egy hagyományos processzormagon nagyjából tíz perc alatt feltörte a legalacsonyabb biztonsági szintű változatát. Nem kvantumgéppel. Egy normál számítógéppel.[13]

Ez elsőre kínos kudarcnak tűnik, valójában a nyílt szabványosítás egyik legerősebb érve. A rossz jelölt még a tömeges bevezetés előtt vérzett el. Ugyanakkor világos figyelmeztetés: az, hogy egy matematikai probléma ma keménynek látszik, nem természeti törvény.

Ráadásul a jó algoritmust is el lehet rontani gyenge véletlenszám-generátorral, időzítési szivárgással, hibás kulcskezeléssel, rossz protokollal vagy egyszerű programozási hibával. A kriptográfia nem egyetlen függvény a forráskódban. Teljes életciklus: kulcsgenerálás, tárolás, csere, visszavonás, frissítés, naplózás, eszközcsere. A támadó mindig a legolcsóbb hibát választja.

A hibrid megoldás most a legjózanabb

Ezért a nagy szolgáltatók nem egyszerűen kidobják a régi kriptográfiát és vakon ráülnek az újra. Hibrid kapcsolatot építenek, amelyben a klasszikus és a posztkvantum módszer együtt hozza létre a kulcsot. A támadónak mindkettőt meg kell törnie. Ha holnap kiderülne egy ML-KEM hiba, a klasszikus réteg még mindig tart; ha később megjön a nagy kvantumgép, a posztkvantum réteg marad.

A Google a Chrome-ban és saját belső forgalmában már a szabványos ML-KEM-et használja. Az Apple PQ3 protokollja az iMessage-ben a klasszikus elliptikus görbéket és a Kyber-alapú posztkvantum kulcsokat kombinálja, ráadásul időszakosan új kulcsokat kever a beszélgetésbe. A Signal a PQXDH után 2025-ben bevezette a Sparse Post Quantum Ratchet réteget is, majd ezt a meglévő Double Ratchettel Triple Ratchetté kombinálta. A felhasználó ebből jó esetben semmit nem vesz észre. Pont ez a cél.[16][17][18]

Az LLM-ek felépítik a kvantumgépet?

Nem. Legalábbis nem úgy, ahogy a lelkes címek sugallják. Egy nagy nyelvi modell nem hűti le a processzort, nem javítja meg a rossz koherenciaidőt, nem gyárt hibátlan szupravezető réteget, és nem változtat egy zajos fizikai qubitet megbízható logikai qubitté attól, hogy szépen beszél róla.

De ettől még az LLM-eknek és a tágabb AI-nak lehet komoly szerepe. Csak külön kell választani őket, mert az AI szó alatt ma már mindent eladnak a regressziótól a robotlaborig.

A legerősebb AI-eredmény nem LLM

A Google DeepMind AlphaQubit rendszere neurális hálózattal dekódolja a kvantumhibákat, vagyis a mérésekből próbálja eldönteni, hol történt hiba, és milyen korrekció kell. Ez kulcskérdés a hibatűrő kvantumszámításnál. Transformer-alapú gépi tanulási rendszer, de nem nyelvi modell, és nem csevegéssel oldja meg a fizikát.[19]

Az IBM szintén AI-t használ kvantumáramkörök fordítására és optimalizálására. Egy korábbi kutatási beszámolójukban a megerősítéses tanulással készített transpiler 20-50 százalékkal jobb áramkörmélységet és CNOT-kapuszámot ért el az összehasonlított megoldásokhoz képest. Ez nem látványos qubitszaporítás, viszont kevesebb kapu kevesebb hibalehetőséget jelent.[20]

Az LLM a laborban inkább karmester

A nyelvi modellek jelenlegi erőssége az összekötés. Természetes nyelvű leírásból Qiskit-kódot írnak, dokumentációt keresnek, szimulációt indítanak, kiértékelik az eredményt, majd új próbát javasolnak. Az IBM Qiskit Code Assistantje erre finomhangolt Granite kódmodellt használ. A valódi érték itt nem az, hogy a modell jobban érti a kvantummechanikát a fizikusnál, hanem hogy lerövidíti a specifikáció-kód-futtatás-ellenőrzés hurkot.[20]

2025-ben a Nature Machine Intelligence folyóiratban megjelent meta-design munka nyelvi modellekkel nem egyetlen kvantumkísérletet terveztetett, hanem olyan Python-programokat, amelyek egész kísérletcsaládok tervét generálják növekvő részecskeszámra. 2026-ban LLM-agentekkel már kvantumos soktest-szimulációkat és variációs áramköröket is automatizáltak. Ezek ígéretes eredmények, de a cikkek jelentős része még preprint vagy szűk benchmark, nem ipari bizonyíték.[21][22]

A legfrissebb, 2026 júliusi egyik kísérletben egy LLM-agent gyémántban lévő NV-központokat választott ki, frekvenciát kalibrált és méréssorozatot bővített. A kutatók saját eredménye szerint akkor maradt alacsony a téves felismerés, amikor a modellnek kötelező kvantitatív számítást kellett futtatnia, a hardvert pedig determinisztikus kód vezérelte. Ez a helyes munkamegosztás: az LLM hipotézist és munkafolyamatot javasol, a mérés, a matematika és a biztonsági korlát nem vélemény kérdése.[22]

Szerintem az LLM-ek legnagyobb rövid távú hatása nem az lesz, hogy felfedezik a csodakubitet. Inkább több kutatónak teszik elérhetővé a kvantumprogramozást, gyorsabban járják be az áramkörök és hibajavító kódok variációit, automatizálják a dokumentációt és a laborhurkokat. Ez is gyorsíthatja a Q-nap közeledését, csak nem egyetlen filmszerű áttöréssel, hanem ezernyi apró mérnöki rövidítéssel.

Kína kvantumkulcsot küldött 12 900 kilométerre. Akkor meg is vagyunk?

Nem. A kínai eredmény ettől még lenyűgöző. 2025-ben egy mikroműhold segítségével Kína és Dél-Afrika között közel 12 900 kilométeres távolságban osztottak meg kvantumkulcsot és továbbítottak titkosított képeket. A kvantumkulcs-elosztás, vagyis QKD előnye, hogy a lehallgatási kísérlet megzavarja a kvantumállapotot, tehát nyomot hagy.[24]

Csakhogy a QKD nem az internet teljes titkosítása. Kulcsot oszt, speciális optikai vagy műholdas hardvert igényel, a végpontokat továbbra is védeni kell, az azonosítást pedig valamilyen hitelesített klasszikus csatornának kell megoldania. A rosszul megépített detektor, a kompromittált végpont vagy az ember a rendszerben ugyanúgy támadható.

A brit NCSC ezért kifejezetten azt mondja, hogy kormányzati és katonai alkalmazásoknál nem támogatja a QKD használatát, más szektorokban pedig nem szabad kizárólag erre támaszkodni. Elsődleges megoldásként a posztkvantum kriptográfiát ajánlja. Ez józanabb álláspont, mint a marketing: a fizika szép, de egy rosszul védett szervertermet a foton sem ment meg.[23]

A verseny már elindult, és a célvonal mozog

A NIST szerint az új szabványokat most kell bevezetni. A brit menetrend 2028-ig teljes kriptográfiai leltárt és migrációs tervet, 2031-ig a legfontosabb rendszerek átállítását, 2035-ig a teljes migrációt célozza. A Google, az Apple és a Signal már nem PowerPointban készül. Termékben cserél zárat.[2][15][16][17][18]

A legnehezebb feladat nem az algoritmus kiválasztása, hanem annak kiderítése, hol használ a szervezet RSA-t, ECC-t vagy régi tanúsítványt. Ott van a böngészőben, a VPN-ben, a firmware-aláírásban, a beszállító eszközében, az okosmérőben, a backupban, a HSM-ben, a tíz éve nem frissített Java-könyvtárban. Amit nem ismerünk, azt nem tudjuk lecserélni.

Ezért lett kulcsszó a kriptográfiai agilitás: az algoritmusok és kulcsok úgy legyenek cserélhetők, hogy közben ne álljon le a rendszer. A NIST 2026 júniusában véglegesítette az erről szóló útmutatását. Nem véletlenül. A mostani átállás biztosan nem az utolsó kriptográfiai költözés lesz.[14]

A valódi ellenség ma nem a kvantumszámítógép. A naptár.

Ha egy adatnak még tíz évig titoknak kell maradnia, a rendszer átállítása pedig öt év, akkor már most tizenöt éves védelmi horizonttal kell számolni. Ha a kriptográfiailag releváns kvantumgép ezen belül megjelenhet, az adat ma veszélyben van. Nem 2035-ben. Ma.

A pánik ugyanúgy rossz tanácsadó, mint a legyintés. Nincs működő RSA-2048-törő kvantumgép, és nincs bizonyíték arra, hogy holnap összeomlik az internet. Van viszont szabvány, van működő bevezetés, van hivatalos migrációs menetrend, és vannak olyan titkok, amelyek tovább élnek, mint a régi kriptográfia várható biztonsága.

Aki most csak azt kérdezi, hogy mikor jön el a Q-nap, rossz kérdést tesz fel. A jobb kérdés ez: melyik ma elküldött adatunkat fogja valaki tíz év múlva is örömmel elolvasni?