Q日倒计时：Veritasium量子计算神课深度解读——RSA什么时候被攻破，以及我们现在该做什么

概述

量子计算领域的新闻近年密集到令人麻木：谷歌Willow芯片、后量子密码标准、动辄“10的25次方年”的计算对标……大多数报道只在两极摇摆——“量子霸权来了”或“量子泡沫罢了”。而科普频道 Veritasium 的《How Quantum Computers Break the Internet... Starting Now》（量子计算机如何攻破互联网……现在就开始了）罕见地把整条逻辑链讲全了：为什么RSA会被攻破、Shor算法到底强在哪、“Q日”什么时候来、以及为什么最危险的不是未来，而是今天正在被记录的加密流量。这篇文章替你把视频的知识骨架拆开、溯源到原始论文，并补上视频没来得及展开的争议与实操建议。看完这篇，你没看过视频也能懂，看过视频能多懂一层。

一、视频基本信息

数据说明：本轮撰写环境网络抓取受限，以上热度数据未能实时核验，均为“据频道页面”的约数表述；文末参考来源中的链接均为长期稳定的官方页面，建议点击核验。

二、核心主张拆解：视频的叙事主线

这条视频的论证结构非常工整，是一条“密码学基石 → 量子威胁 → 时间不等式 → 立即行动”的完整链条。按叙事顺序拆成五个要点：

要点1：互联网的信任体系，建立在两个“数学上很难”的问题上

视频开篇先讲清一个多数人从未细想的事实：你在浏览器地址栏看到的锁形图标（TLS加密）、你手机上每一个App的登录态、数字签名、比特币的钱包，几乎全部依赖公钥密码学。它的安全性不来自“藏钥匙”，而来自两个数学问题的单向难度：

• 大数分解：把两个几百位的大质数相乘，瞬间完成；把乘积分解回两个质数，经典计算机需要宇宙年龄量级的时间——这就是RSA的基础；
• 椭圆曲线离散对数：在椭圆曲线上“正向乘”容易、“反向求对数”极难——这就是ECC（椭圆曲线密码）的基础，也是比特币和大多数现代系统真正在用的东西。

注意这个体系的本质：它从未被“证明”安全，只是人类用四十多年、无数算力攻击都没能找到高效解法。安全=当前最优算法的难度，这是一个可以被新算法一夜掀翻的假设。

要点2：1994年，Shor算法就已经“纸上攻破”了RSA

视频的核心转折点早在三十年前。1994年，贝尔实验室的 Peter Shor 证明了：量子计算机可以在多项式时间内完成大数分解和离散对数。换句话说，一旦造出足够大的容错量子计算机，RSA和ECC不是“变得难”，而是直接死亡。

这是整条视频最值得咀嚼的认知点：量子威胁不是“某个实验室说要造什么机器”的工程问题，而是一个已经发表了31年的数学定理。威胁的“算法部分”早已完成，剩下的只是工程问题——造出那台机器。Shor算法的精妙之处在于，它不暴力尝试所有因子，而是把分解问题转化为求函数周期的问题，再用量子傅里叶变换一次性“读出”叠加态中所有候选周期的干涉信息。这也是视频用大量篇幅动画演示的部分：量子计算的优势从来不是“同时试所有答案然后挑出对的”（这是最常见的误解），而是设计巧妙的干涉结构，让错误答案相消、正确答案增强。

要点3：工程进展比很多人想象的快——但“快”要量化

视频接着给出了物理层面的进展坐标，这一段的信息密度极高：

• 纠错里程碑：经典物理世界里“纠错”是理所当然的，但量子比特极其脆弱，退相干会让计算崩坏。长期以来，物理量子比特的错误率高于纠错带来的收益，“越纠越错”。2024年12月，谷歌在《Nature》发表论文《Quantum error correction below the surface code threshold》，用105个量子比特的Willow芯片首次系统性展示了低于阈值的纠错：把多个物理量子比特编码成一个逻辑量子比特后，错误率随码距增大而指数级下降。谷歌同时宣称，Willow完成一项随机电路采样基准不到5分钟，而当时最强经典超算需要约10²⁵年（此为谷歌方宣称，属特定基准下的对标，不等价于“通用计算碾压”）。
• 资源估算大幅缩水：2019年，谷歌的 Craig Gidney 与 KTH的 Martin Ekerå 估算，攻破RSA-2048约需2000万个噪声量子比特运行8小时——当时媒体普遍解读为“遥遥无期”。2025年5月，Gidney 单独发文更新估算：用改进的算法和纠错方案，不到100万个噪声量子比特即可。五年时间，门槛降了20倍。而按IBM、谷歌公开的路线图，百万级物理量子比特的机器恰恰指向2030年代初期。

要点4：Mosca不等式——“Q日”什么时候来，其实是个不等式问题

这是全片最有长期价值的思维工具，来自量子密码学先驱 Michele Mosca。他提出了一个简洁的不等式框架，三个时间量：

• x：你的数据需要保密多久；
• y：你的系统迁移到后量子密码需要多久；
• z：大规模容错量子计算机多少年后出现。

只要 x + y > z，你就已经在危险区了。 注意这个不等式的反直觉之处：它不需要你相信“量子计算机十年内必成”。哪怕z是15年，只要你的医疗记录、基因数据、国家档案需要保密20年（x=20），而机构级密码迁移历来要花十年（y=10），那么今天就晚了。

由此引出全片题眼——"Harvest Now, Decrypt Later"（先存后解）：已经有充分证据表明，部分组织正在大规模记录今天的加密流量，等着将来的量子计算机来解。你的TLS会话今天在数学上是安全的，但如果密文被存了下来，它的“保密期”实际上已经在倒计时。视频标题里的"Starting Now"正是指这个：攻击现在就开始了，只是“完成”在未来。

要点5：出路是后量子密码，而且迁移已经在发生

视频的结尾不是焦虑，而是行动清单。2024年8月13日，美国国家标准与技术研究院（NIST）正式发布了全球首批后量子密码（PQC）标准：

• FIPS 203（ML-KEM）：密钥封装机制，源自 CRYSTALS-Kyber，用于替代RSA/ECC密钥交换，基于格问题（Module-LWE）；
• FIPS 204（ML-DSA）：数字签名，源自 Dilithium；
• FIPS 205（SLH-DSA）：基于哈希的签名，作为保守的备选方案。

更重要的是真实世界的落地进度：Chrome 浏览器自2024年起默认在TLS握手中启用混合密钥交换（X25519+Kyber，后切换为ML-KEM版本）；Signal 在2023年9月升级 PQXDH 协议；苹果 iMessage 在2024年2月上线 PQ3 后量子协议；OpenSSH 自9.0版（2024年）起默认采用混合密钥交换。换句话说——你今天很可能已经在使用抗量子加密上网了，只是没人告诉你。

三、知识与理论溯源

视频中每个关键主张，都能对应到真实的论文与标准文件，这条视频并非观点输出，而是有据可查的文献综述式科普：

四、批判性审查：哪些站得住，哪些需要打折扣

一条好视频也需要被批判性地看。逐条审查：

证据充分的部分：Shor算法的数学地位毫无争议；NIST标准已正式发布并可下载全文；Chrome/Signal/iMessage/OpenSSH的PQC部署是可独立验证的公开事实；Willow论文发表于《Nature》并附全部实验数据。这部分视频没有任何夸大。

需要打折扣的部分：

1. “低于阈值纠错”≠“容错量子计算机近在眼前”。 Willow演示的是纠错的缩放方向正确，但从“逻辑错误率指数下降”到“运行Shor算法所需的数千个高保真逻辑量子比特”，中间还隔着巨大的工程鸿沟——尤其是攻破RSA需要的是能长时间稳定运行的逻辑门，不只是逻辑存储。视频对这点有提示，但观看者容易把两个里程碑混为一谈。
2. 时间线z本质上是不可知的。 Mosca不等式优雅，但z的取值高度依赖路线图兑现情况。物理学界对“何时出现密码学相关量子计算机（CRQC）”分歧极大：有路线图信仰者押2030年代初，也有资深学者（如对规模化持谨慎态度的量子纠错研究者群体）认为工程困难被系统性低估。此外，2023年数学家 Oded Regev 提出了改进的量子分解算法，量子比特需求更低但门操作数更高——说明算法侧仍在演进，估算数字随时可能再变。
3. “先存后解”的证据强度。 “有组织在囤积密文”在安全社区是共识性判断（斯诺登文件曾提及类似项目，安全厂商也有取证分析），但对普通用户的实际风险敞口，视频的呈现更偏向“应该担心”而非“量化你该担心多少”。对绝大多数人而言，PQC迁移的紧迫性属于机构议程，而非个人恐慌的理由。
4. 一个容易被忽略的平衡信息：Grover算法只对对称密码（AES）提供平方级加速，把密钥长度翻倍即可对冲。量子威胁精确打击的是公钥密码这一个层面——视频主线如此，但短视频二创中常被曲解为“量子计算机将破解一切加密”。

总体评价：这是少数“把不确定性如实交给观众”的量子主题科普视频，核心事实链全部可溯源，只需观众自行补上“里程碑≠终点”这一层理解。

五、认知提升与实用启示

三条可操作的建议，分别对应不同角色：

1. 所有人：用Mosca不等式重新审视你的数据。 问自己一个问题：我产生的哪些数据，五年后泄露仍会造成实质伤害（医疗记录、身份信息、长期合同、创意底稿）？只要答案为“是”，就应假设这些数据今天传输时可能被第三方记录。应对方式很朴素：高敏数据的传输渠道优先选择已启用PQC的生态（新版Chrome/Signal/苹果生态），并对“必须保密十年”的东西保持克制的产生欲。
2. 工程师与团队负责人：今年就把“密码清单”放进 backlog。 迁移的第一步不是换算法，而是盘点——你的系统里哪些地方用了RSA/ECC：TLS证书、JWT签名、代码签名、固件更新、备份加密……新系统一律采用混合方案（如X25519+ML-KEM）：即使PQC算法将来被发现弱点，仍有经典算法兜底；并践行“密码敏捷性”（crypto-agility）——把算法选择做成可配置项，因为这不是最后一次迁移。NIST的项目页面提供了完整的测试向量与迁移指南，可直接作为评审材料。
3. 认知层面：区分“物理时间表”与“迁移时间表”。 未来几年你必然看到两类新闻：“量子计算突破”与“量子威胁恐吓”（往往夹带营销）。判断框架就用本条视频的工具：物理侧盯逻辑量子比特数量与逻辑错误率这两个硬指标，而不是物理比特数和营销化对标；威胁侧盯x+y>z是否对你的场景成立。不被“10²⁵年”的爽文和“Q日明天就来”的恐慌文带走，你就已经领先绝大多数信息消费者。

六、视频论证结构图

flowchart TB
    A[经典公钥密码<br>RSA / ECC] -->|安全性=| B[数学难题的难度<br>大数分解·离散对数]
    C[量子力学<br>叠加与纠缠] --> D[量子比特<br>+ 干涉设计]
    B --> E[Shor算法 1994<br>多项式时间分解]
    D --> E
    E --> F[容错量子机建成日<br>RSA/ECC 直接死亡]
    F --> G[Mosca不等式<br>x + y > z = 已在危险区]
    H[数据寿命x / 迁移周期y / 造机时间z] --> G
    G --> I[先存后解 HNDL<br>攻击从现在开始]
    F --> J[解法：后量子密码 PQC<br>格问题/哈希签名]
    K[NIST 2024<br>FIPS 203/204/205] --> J
    J --> L[混合迁移进行中<br>Chrome·Signal·iMessage·OpenSSH]
    E -.工程侧里程碑.- M[Willow 2024<br>低于阈值纠错]
    Gidney[资源估算<br>2000万→<100万量子比特] -.-> M
    M -.≠ 通用容错机.- F

延伸阅读

1. NIST 后量子密码项目官方页面（csrc.nist.gov/projects/post-quantum-cryptography）——三个标准全文、迁移FAQ与测试向量，本文所有标准细节的一手出处。
2. Veritasium 早期量子主题视频《Quantum Computers, explained with MKBHD》（2022，Veritasium频道内）——如果想先补齐“量子比特/叠加/纠缠”的直觉底子，再回看本文解读的这条视频，理解成本更低。

参考来源

1. Veritasium 频道主页 — 视频发布频道（本轮网络受限，具体视频数据请以频道页面实时为准）
2. NIST Post-Quantum Cryptography Project — 首批后量子密码标准 FIPS 203/204/205 官方页面
3. Quantum error correction below the surface code threshold (Nature, 2024) — 谷歌Willow芯片纠错里程碑论文
4. Quantum journal: Gidney & Ekerå (2019) — RSA-2048资源估算原始论文（Quantum 3, 114），2025年Gidney已发布修订估算
5. NIST 新闻发布 — NIST正式发布首批三个后量子密码标准的公告

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。