Новая статья снижает требование к атаке на ECC до 1 098 логических кубитов (EUROCRYPT 2026)

Статья Chevignard, Fouque и Schrottenloher, принятая на EUROCRYPT 2026 (ePrint 2026/280), демонстрирует оптимизированный по памяти алгоритм Шора, требующий всего 1 098 логических кубитов для вычисления дискретного логарифма на 256-битных эллиптических кривых против прежнего минимума в 2 124. Метод использует систему остаточных чисел и сжатие символа Лежандра, достигая 3,12n + o(n) кубитов для n-битной кривой.

Важный компромисс: данный результат с минимизацией кубитов требует 22 независимых запуска и примерно 2^38,10 вентилей Тоффоли на каждый из них. Для раннего отказоустойчивого оборудования, где узким местом являются логические кубиты, это открывает путь к атаке на ECC на меньших системах. Там, где узким местом служит количество вентилей, подход Google с ~1 200-1 450 кубитами за 18-23 минуты остаётся более практичным.