Für die symmetrische Verschlüsselung mit n Bit Schlüssellänge gilt: Sucht man den Schlüssel mit dem Grover-Algorithmus auf einem Quantencomputer, sind etwa 2^(n/2) Rechenschritte nötig. Welcher Wert liegt nach diesem einfachen Richtwert der Sicherheit von AES-128 gegenüber Quantencomputern am nächsten?

Antwort: A. Entspricht etwa 64 Bit

Der Grover-Algorithmus verringert die Zahl der Versuche einer Brute-Force-Suche von 2ⁿ auf etwa 2^(n/2), also auf die Quadratwurzel. Bei AES-128 sind das 2^(128/2) = 2⁶⁴ Versuche, die Sicherheit entspricht also etwa 64 Bit. Anders als beim Shor-Algorithmus, der Public-Key-Kryptografie in Polynomialzeit bricht, lässt sich mit längeren Schlüsseln gegensteuern; bei AES-256 bleiben etwa 128 Bit. Der Grover-Algorithmus lässt sich allerdings schlecht parallelisieren und erfordert lange fehlerfreie Rechnungen; dies ist daher nur ein einfacher Richtwert, und auch in der NIST-Bewertung der Post-Quanten-Kryptografie dient „so schwer wie die Schlüsselsuche bei AES-128“ als Kriterium für die niedrigste Sicherheitskategorie.