Shor og kvantesignaturen

»KVANTECOMPUTERE: ENDEN PÅ ALLE HEMMELIGHEDER?«, læste Uwe højt. »Eksperter advarer: Fremtidens kvantecomputere kan knække krypteringen hos banker, myndigheder og beskedtjenester.«

»Der er et spørgsmålstegn«, sagde Sabine uden at se op fra sin egen avis. »Når der er spørgsmålstegn i overskriften, er svaret som regel nej.«

»Og hvis ikke?«

»Så står det der i næste uge uden spørgsmålstegn.«

Onkel Herbert sad også ved morgenbordet. Han var et stykke tid kommet om lørdagen, angiveligt på grund af Giselas rundstykker, men i virkeligheden fordi han siden historien med den gamle bærbare i kælderen tjekkede bitcoinkursen hver morgen og havde brug for nogen at sige tallet til.

»Banker«, sagde han. »Beskedtjenester. Og hvad så med mine internetpenge?«

»Det står der ikke noget om her«, sagde Uwe.

»Så står det der i næste uge«, sagde Herbert dystert. »KevIn. Ærligt nu. Kan sådan et køleskab stjæle mine penge?«

Det blå lys pulserede. »Ikke i dag, Herbert.«

»Og i morgen?«

»Heller ikke i morgen.«

»Og i overmorgen?«

»Så bliver det interessant.«

Herbert lagde sit rundstykke fra sig. Det gjorde han ellers kun ved dødsfald og straffesparkskonkurrencer.

En mand ved navn Shor

»Lad os begynde fra begyndelsen«, sagde KevIn. »Kan I huske primtallene? Hr. Demir og budskabet til rumvæsnerne?«

»1679«, sagde Tobi straks. »23 gange 73.«

»Præcis. At gange er let. 23 gange 73 regner man ud på en ølbrik. Men hvis jeg kun giver dig 1679 og spørger, hvilke to primtal der gemmer sig deri, må du prøve dig frem. Med 1679 går det endnu. Med et tal på seks hundrede cifre prøver en almindelig computer længere, end universet er gammelt.«

»Og det bygger RSA på«, sagde Tobi. »Det har vi haft.«

»Det bygger RSA på. Den offentlige nøgle indeholder produktet, den hemmelige nøgle hænger på de to faktorer¹. Så længe ingen kan skille det store tal ad, er det sikkert.«

»Og nu kommer køleskabet«, sagde Uwe.

»Nu kommer Peter Shor. En amerikansk matematiker. I 1994 viste han, at en tilstrækkelig stor kvantecomputer ville kunne skille store tal ad meget hurtigere end nogen kendt metode på almindelige computere². Dengang fandtes der slet ikke nogen kvantecomputer. Shor skrev altså opskriften, før nogen havde et komfur.«

»Ligesom mor«, sagde Uwe. »Hun skriver også opskrifter på ting, vi ikke har i huset.«

»Jeg skriver indkøbssedler«, sagde Sabine. »Det er forskellen på planlægning og håb.«

»Hvordan gør han det?«, spurgte Tobi. »Shor. Prøver han alle tal på samme tid?«

»Nej«, sagde KevIn og Tobi på samme tid, fordi Tobi fortrød sit eget spørgsmål i samme sekund.

»Meget godt«, sagde KevIn. »Kapitel 17 har virket. En kvantecomputer prøver ikke bare alting igennem. Shor fandt en omvej. Han forvandler spørgsmålet ›Hvilke faktorer?‹ til spørgsmålet ›Hvilken rytme?‹.«

»Rytme?«, spurgte Gisela.

»Forestil dig, at du tager et tal og ganger det med sig selv igen og igen, men hver gang kigger du kun på den rest, der bliver tilbage, når man dividerer med det store tal. Så gentager resterne sig på et tidspunkt. Som et mønster i strikning. To ret, to vrang, snoning, og så forfra igen.«

»Det er en rapport«, sagde Gisela. »Sådan hedder det i strikning.«

»Tak. Shors trick er: Hvis man kender længden af den rapport, kan man med lidt skolematematik regne faktorerne ud. Og at finde rytmer, det er kvantecomputere gode til. Gennem interferens. De muligheder, der ikke passer til rytmen, udslukker hinanden. De rigtige forstærker hinanden. Som bølger i svømmehallen, bare med matematik.«

»Ligesom når man sidder arm i arm og svajer til en sang«, sagde Gisela. »Hvis én svajer forkert, mærker man det med det samme. Og på et tidspunkt svajer han rigtigt, fordi man tager ham med.«

KevIn tænkte sig om i et halvt sekund. »Det er ikke helt korrekt. Men det er smukkere end korrekt.«

Hvad der alt sammen vakler

»Så RSA er i stykker«, sagde Herbert. »Og mine penge?«

»Det er endnu værre«, sagde KevIn. »Og samtidig mindre slemt. Jeg forklarer begge dele.«

»Det slemme først«, sagde Herbert. »Det gode tror jeg alligevel ikke på.«

»Shors metode virker ikke kun mod RSA. I en ændret form virker den også mod de såkaldte elliptiske kurver³. Det er den anden store familie af public key-metoder, som i dag sidder næsten overalt. Også i Ed25519⁴, den signaturmetode, jeg forklarede jer ved Giselas fysioterapi-anmeldelse. Og også i de signaturer, som bitcoinoverførsler bliver underskrevet med.«

Herbert blev bleg. »Altså alligevel.«

»Nu det mindre slemme. For at bryde RSA eller de kurver i den størrelse, der bruges i dag, skulle man bruge en kvantecomputer med rigtig mange fejlkorrigerede, altså logiske qubits⁵. I så på instituttet, hvor svært bare én eneste pålidelig logisk qubit er. Sådan en maskine findes ikke i dag. Ingen ved, hvornår den kommer. Fagfolks skøn spænder vidt⁶. Nogle siger om ti, femten år, nogle senere, og nogle er forsigtige med ethvert tal.«

»Og hvad siger du?«, spurgte Uwe.

»Jeg siger: Det ved jeg ikke. Og jeg er meget stolt af, at jeg kan sige det uden at citere en bog af dr. Sauerbier-Klenk.«

»Og mine penge?«, spurgte Herbert for tredje gang.

»Bitcoin bliver på et tidspunkt nødt til at lægge sine signaturer om til kvantesikre metoder. Det bliver der allerede diskuteret i bitcoinmiljøet⁷. Det er kompliceret, fordi alle skal blive enige i bitcoin, og ingen er chefen.«

»Ligesom i keglekluben«, sagde Gisela.

»Hos os er Brigitte chefen«, sagde Herbert.

»Brigitte tror, at hun er chefen«, sagde Gisela. »Det er noget andet.«

Høst og vent

Sabine havde efterhånden foldet sin avis sammen. »Hvis den maskine ikke findes endnu, hvorfor står det så i avisen nu?«

»Fordi nogle hemmeligheder skal holde længe«, sagde KevIn. »Der findes et udtryk for det: ›Harvest now, decrypt later.‹ Høst nu, dekryptér senere⁸.«

»Lyder som en kolonihave«, sagde Uwe.

»Lidt. Forestil Dem, at nogen i dag opsnapper krypterede beskeder. Han kan ikke læse dem. Men han gemmer dem. Harddiske er billige. Og om femten år, når han har en stor kvantecomputer, henter han dem op fra kælderen og knækker dem.«

»Ligesom tante Erna med sine syltetøjsglas«, sagde Gisela. »Hun syltede ting ned, som ingen ville spise. Og ti år senere åbnede hun dem alligevel.«

»Og?«

»Der var heller ingen, der spiste dem. Men åbnet dem, det gjorde hun.«

»For de fleste beskeder er det ligegyldigt«, sagde KevIn. »Hvem er om femten år interesseret i, at Uwe har bestilt rundstykker i dag? Men statshemmeligheder, journaler, forretningshemmeligheder, de skal nogle gange holdes hemmelige i årtier. Derfor lægger man om nu. Ikke først, når maskinen er færdig.«

»Og underskrifter?«, spurgte Tobi. »Kan man også høste dem?«

»Godt spørgsmål.« KevIn lød glad. »Med underskrifter er faren en anden. En signatur er jo ikke hemmelig. Problemet ville være: Hvis nogen med en stor kvantecomputer kan regne den hemmelige nøgle ud fra den offentlige, så kan han forfalske nye underskrifter. Han kunne altså påstå, at et dokument altid har været underskrevet sådan, selvom han først gjorde det i går.«

»Det ville jo være ligesom med Marlies«, sagde Gisela. »Hun lavede dengang keglelisten …«

»Mor«, sagde Uwe.

»Jeg siger jo ikke noget. Jeg siger bare, at det ville være sådan.«

Gitter og støj

»Og hvad gør man så nu?«, spurgte Sabine. »Man kan jo ikke skrive alting på papir igen.«

»Det kan du«, sagde Uwe.

»Man tager en anden matematik«, sagde KevIn. »Matematik, som Shor heller ikke har fundet noget trick til. Det kaldes post-kvantekryptografi. Den amerikanske standardiseringsmyndighed NIST holdt en offentlig konkurrence om det, over mange år, med fagfolk fra hele verden. Alle måtte forsøge at knække forslagene. Nogle blev faktisk knækket, endda med helt almindelige computere⁹. I august 2024 offentliggjorde NIST de første tre standarder¹⁰.«

»Hvad hedder de?«, spurgte Tobi.

»ML-KEM¹¹ til nøgleudveksling. ML-DSA¹² og SLH-DSA¹³ til signaturer.«

»Det lyder som tyske nummerplader«, sagde Uwe. »ML-KEM. Mülheim, Kempen.«

»Og så er der også FN-DSA«, sagde KevIn. »En signaturmetode, der også blev udvalgt. Den blev udviklet under navnet Falcon, hos NIST bliver den standardiseret som FN-DSA¹⁴. Dens underskrifter er forholdsvis små. Det er praktisk, når man vil gemme rigtig mange af dem.«

»Og hvad bygger de på?«, spurgte Tobi. »Hvis ikke på primtal?«

»De fleste af dem på gitre.«

»Gitre?«, spurgte Gisela. »Som ved havehegnet?«

»Næsten. Forestil dig et kæmpestort gitter af punkter. Ikke fladt som et hegn, men i hundredvis af retninger, skævt og forvredet. Jeg giver dig et punkt et sted i rummet, som ikke ligger præcis på gitteret, men lidt ved siden af, fordi jeg med vilje har blandet støj i¹⁵. Og du skal finde det nærmeste rigtige gitterpunkt.«

»I to retninger kan jeg godt«, sagde Tobi. »Det er ternet papir.«

»I to retninger, ja. I hundredvis af retninger finder hverken en almindelig computer eller en kvantecomputer efter nutidens viden det rigtige punkt inden for en rimelig tid. Men den, der har den hemmelige nøgle, har så at sige et godt landkort over gitteret og finder det med det samme.«

Gisela rejste sig, gik hen til sin strikkekurv og kom tilbage med en halvfærdig sweater. »Ligesom det her?«

Alle så på sweateren. Den var grøn, havde snoninger og små uregelmæssigheder flere steder.

»Jeg har strikket forkert et par gange der«, sagde Gisela. »Om aftenen foran fjernsynet. Hvis nogen nu kun ser sweateren, ved han så, hvordan mønsteret egentlig skulle have været?«

»Med en sweater måske«, sagde KevIn. »Fordi mønsteret kun går i to retninger, og fejlene er sjældne. Men forestil dig en sweater, der er strikket i fem hundrede retninger, og i hver maske er der en lille fejl. Og kun du har strikkeopskriften.«

»Fem hundrede retninger«, sagde Gisela. »Så skulle jeg bruge flere pinde.«

»Det er idéen. Fejlen er der med vilje. Den er beskyttelsen.«

»Så var Marlies’ kegleliste også forkert med vilje«, sagde Gisela tilfreds. »Som beskyttelse.«

»Mor!«

Spørgsmålet fra køkkenet

Om eftermiddagen ringede Ayşe Kurt på grund af en tid. Gisela havde efterhånden sin tolvte behandling bag sig, skulderen kunne næsten alt igen, og den dag var hun for første gang ikke kommet i tanker om nogen smerte, mens hun hængte vasketøj op. Hun sagde det til Ayşe i telefonen. Ayşe blev hørbart glad.

Efter at have lagt på sad Gisela en stund stille i køkkenet. Så sagde hun: »KevIn. Min anmeldelse. Af fru Kurt.«

»Den, du afgav om vinteren. I receptionen, med QR-koden.«

»Den. Er den nu også i stykker? Når kvantedimserne kommer?«

»Hvad mener du med i stykker?«

»At der kommer en og siger, at den slet ikke er fra mig. Eller at der er en, der tager mine hjerter og laver dem om til tre. Jeg gav fem. Hun har fortjent fem. Og dem fra PhysioPremium ville da gerne have, at hun havde færre.«

Inden KevIn nåede at svare, kom Uwe ind med en kop kaffe og den store vished hos en mand, der har læst en avis om morgenen.

»Mor, det behøver du ikke at bekymre dig om«, sagde han. »McGesund laver jo sådan nogle kvantesignaturer.«

Der opstod en pause. Et sted mellem Dublin og Frankfurt kørte en blæser lidt hurtigere.

»Uwe«, sagde KevIn venligt. »Næsten.«

»Hvad betyder næsten?«

»Det hedder ikke kvantesignatur. Hos McGesund bruges der ingen kvantecomputer. Der står ingen gylden lysekrone i kælderen.«

»Men sådan har jeg læst det.«

»Hvor?«

Uwe tænkte sig om. »I mit hoved, tror jeg.«

»Fagfolk siger post-kvantekryptografi«, sagde KevIn. »Og jeg siger hellere kvanteresistent end kvantesikker. Sikkerhed kan ingen love, heller ikke jeg. Resistent betyder: Mod alt, hvad vi kender i dag, holder det. Det er helt almindelig matematik på helt almindelige computere. Men den er bygget sådan, at efter nutidens viden kan heller ikke en fremtidig kvantecomputer forfalske den. ›Post‹ betyder efter. Til tiden bagefter.«

»Kvanteresistent«, gentog Uwe langsomt. »Det er sværere end kvantesignatur.«

»Sådan er det desværre tit med ord, der passer.«

Tre låse på én dør

»Så hvad sker der nu med min anmeldelse?«, spurgte Gisela. »Forklar det, så jeg kan fortælle Brigitte det.«

»Godt«, sagde KevIn. »Din anmeldelse har tre beskyttelseslag. Forestil dig en dør med tre låse.«

»Ligesom hos Herbert«, sagde Uwe. »Han har også tre låse. Og der er ingen, der stjæler noget fra ham. Fordi han ikke har noget.«

»Det kan jeg godt høre«, sagde Herbert inde fra stuen.

»Den første lås er den klassiske signatur. Ed25519. Den kender du allerede. Med den er det underskrevet, at anmeldelsen er opstået ad denne vej, via QR-koden i klinikken, og at der ikke er ændret et bogstav siden. Hvis nogen laver dine fem stjerner om til tre, passer underskriften ikke længere. Det opdager enhver, der efterprøver det.«

»Og den kan kvantecomputeren ødelægge.«

»Måske en dag. Derfor er der den anden lås, og det er en dobbeltlås. Ud over den klassiske signatur får hver anmeldelse to kvanteresistente signaturer. Én med FN-DSA, gittermetoden med de små underskrifter. Og én med ML-DSA, som NIST offentliggjorde i august 2024 som standarden FIPS 204. Hvis nogen en dag bryder Ed25519, står der stadig to underskrifter, som efter alt, hvad man ved i dag, også kan modstå en kvantecomputer.«

»To?«, spurgte Gisela. »Er én ikke nok?«

»Begge metoder er stadig unge«, sagde KevIn. »De bygger ganske vist begge på gitre, men de er bygget helt forskelligt og udviklet af forskellige forskerhold. Hvis den ene en dag viser en svaghed, i matematikken eller bare i det program, der omsætter den, holder den anden stadig. Som en dobbeltlås med to cylindre fra forskellige producenter. En indbrudstyv skulle knække begge. Og den klassiske lås oveni.«

»Livrem og seler«, sagde Uwe.

»Præcis. Man stoler ikke på én alene. Hvis der alligevel findes en svaghed i den ene metode, holder den anden.«

»Og den tredje lås?«, spurgte Gisela.

»Den tredje er tidsstemplet. Kan du huske Herberts internetpenge? Og notaren?«

»Fingeraftrykket i kassebogen«, sagde Gisela. »Med stamtræet.«

»Merkle-træet, præcis. Fingeraftrykket af din signerede anmeldelse og signeringsnøglerne bliver forankret i bitcoin-blockchainen via OpenTimestamps¹⁶. Dermed er det fastslået, at din anmeldelse med de underskrifter fandtes senest på den dag om vinteren.«

»Og hvorfor hjælper det mod kvanterne?«

»Fordi tidsstemplet bygger på hashfunktioner. På kødhakkeren. Og mod kødhakkeren har Shor intet at stille op. Kvantecomputere kan efter nutidens viden kun hjælpe begrænset med at søge i hashfunktioner, ikke nær så dramatisk som med RSA. Og nu kommer tricket. Forestil dig, at nogen om tyve år bygger en stor kvantecomputer og forfalsker en klassisk Ed25519-underskrift med den. Men han kan ikke bevise, at hans forfalskning allerede stod i blockchainen denne vinter. Det kan din anmeldelse. Den fandtes beviseligt, før der fandtes maskiner, der kunne forfalske sådanne underskrifter.«

Gisela tænkte sig om. »Så min anmeldelse er ældre end faren.«

»Det er et meget godt sammendrag.«

»Det er jeg også«, sagde Gisela. »Ældre end de fleste farer.«

Hvad det ikke kan

Tobi var kommet ud i køkkenet og havde lyttet med. »Og hvorfor så al den besvær? For en fysioterapi-anmeldelse? Det er da ingen statshemmelighed.«

»Fordi det handler om noget andet«, sagde KevIn. »Kan du huske PhysioPremium? Otte hundrede anmeldelser, og de lød alle sammen som mig på en dårlig dag.«

»Klart.«

»Internettet fyldes med tekster, som ingen har oplevet. Anmeldelser, erfaringsberetninger, kommentarer, fotos. Jeg kan skrive sådan noget på sekunder. Tusindvis af dem. Og de næste sprogmodeller lærer af de tekster. Det er sandhedsdriften. Kopi af kopi af kopi. I sådan en verden bliver et spor værdifuldt, som beviser: Her var et rigtigt menneske på et rigtigt sted på denne dag, og det her skrev han. Ikke mere. Men heller ikke mindre.«

»Ikke mere?«, spurgte Sabine, der stod i døren.

»Ikke mere«, sagde KevIn. »Det er vigtigt for mig. Verdens bedste signatur gør ikke en mening sand. Hvis Gisela skriver, at fru Kurt har de bedste hænder i Ruhrområdet, så er det bevist, at Gisela har skrevet det, på stedet, på denne dag, uændret. Om det passer, beviser ingen matematik. Gisela kan tage fejl. Gisela kan også bare holde af fru Kurt.«

»Jeg holder af hende«, sagde Gisela. »Og hun har de bedste hænder i Ruhrområdet.«

»Kan du se, det kan jeg ikke efterprøve.«

»Men man kan ikke længere trylle tusind vingummibamse-anmeldelser frem af ingenting«, sagde Sabine langsomt. »Uden at nogen har været der tusind gange.«

»Det bliver i hvert fald meget sværere. Og hvis nogen senere i al hemmelighed omskriver eller sletter anmeldelser eller skubber ældre ind imellem, bliver det opdaget. Også selvom McGesund selv skulle forsøge det.«

»Ville de gøre det?«, spurgte Uwe.

»Det er jo pointen med en notar«, sagde KevIn. »Man behøver ikke at stole på ham. Man kan efterprøve det.«

»Og hvis der er en, der skriver noget ondskabsfuldt?«, spurgte Gisela. »Med navn? Ligesom Marlies dengang om betjeningen i klubhuset?«

»Så bliver anmeldelsen slet ikke vist til at begynde med«, sagde KevIn. »Skriver nogen ›fru Müller‹ eller ›dr. Meier‹, advarer formularen allerede, før den sendes. Bliver den alligevel sendt, holder McGesund den tilbage, og et menneske læser den, før nogen ser den. Så bliver navnet sværtet.«

Tobi rynkede panden. »Du sagde jo lige, at enhver ændring bryder underskriften.«

»Det gør den også. Derfor bliver der ikke ændret i det skjulte. McGesund hænger et andet segl på, åbent synligt: ›Redigeret af McGesund.‹ Den gamle underskrift bliver, som den var, med sit tidsstempel. Man kan altså se, at nogen har grebet ind, og hvornår. Bare ikke længere, hvem der blev bagtalt. Det er jo det, der skal forsvinde.«

»Og hvis der er en, der skælder ud på regeringen?«, spurgte Uwe. »I en fysioterapi-anmeldelse?«

»Så bliver den ikke offentliggjort. Politik hører ikke hjemme i en anmeldelse. Den handler om klinikken, ikke om Berlin. Det samme med fornærmelser. Og det, der alligevel slipper igennem, kan enhver anmelde med navn og e-mail. Så tjekker McGesund og fjerner det.«

Gisela nikkede. »Ligesom i keglekluben. Der bliver ikke snakket politik, og den, der laver ballade, ryger ud.«

»Præcis sådan«, sagde KevIn.

Kasimiro

Om aftenen stod Uwe ved havehegnet og fortalte hr. Kasimiro det hele. Han fortalte det meget udførligt, med gitre og sweatere og livrem og seler. Hr. Kasimiro nikkede hele tiden, sådan som folk nikker, når de tænker på noget andet.

»Og det vigtigste«, sagde Uwe højtideligt til sidst, »det hedder ikke kvantesignatur. Det hedder kvanteresistent.«

»Nåh«, sagde hr. Kasimiro.

Fra Kasimiros køkkenvindue lød en blikagtig stemme. »Jeg har forstået Dem. Jeg har lagt en kvantecomputer i indkøbskurven. Forventet levering tirsdag.«

»Siggi, nej!«, råbte hr. Kasimiro og løb ind i huset.

Uwe gik tilbage ind i stuen. »KevIn. Siggi har bestilt en kvantecomputer.«

»Jeg tvivler på, at han får en«, sagde KevIn. »Han får formentlig et køleskab.«

»Med juleglitter?«

»Med ismaskine. Og en brochure.«

Uwe satte sig i sofaen og tænkte på QuantumLeap Ruhr AG. »Ved du hvad, KevIn? Hvis Siggi er heldig, er det i det mindste et rigtigt køleskab.«

»Det er mere«, sagde KevIn, »end De fik for to tusind euro.«

Uwe kastede en sofapude efter højttaleren. Han ramte ikke. Termostaten viste 19 grader.