Neues Papier reduziert ECC-Angriff auf 1.098 logische Qubits (EUROCRYPT 2026)

Ein Papier von Chevignard, Fouque und Schrottenloher, angenommen bei EUROCRYPT 2026 (ePrint 2026/280), demonstriert einen platzoptimierten Shor-Algorithmus, der für den diskreten Logarithmus auf 256-Bit-Ellipsen-Kurven nur 1.098 logische Qubits benötigt, gegenüber dem bisherigen Minimum von 2.124. Die Methode nutzt ein Restklassen-Zahlensystem und Legendre-Symbol-Kompression und erreicht 3,12n + o(n) Gesamt-Qubits für eine n-Bit-Kurve.

Wichtiger Kompromiss: Das qubit-minimierte Ergebnis erfordert 22 unabhängige Durchläufe mit jeweils etwa 2^38,10 Toffoli-Gattern, also eine erheblich höhere Gate-Anzahl als tiefenoptimierte Ansätze. Für frühe fehlertolerante Hardware, bei der logische Qubits den Engpass bilden, eröffnet das einen Angriffspfad auf ECC mit kleineren Systemen. Für Hardware, bei der die Gate-Anzahl der Flaschenhals ist, bleibt Googles Ansatz mit rund 1.200 bis 1.450 Qubits und 18 bis 23 Minuten der praktischere.