Il ramène la factorisation et les logarithmes discrets à la recherche de la période d’une fonction, ce que la transformée de Fourier quantique fait efficacement. À sécurité classique comparable, les courbes elliptiques demandent moins de qubits logiques que RSA : P-256 devrait donc tomber au plus tard en même temps que RSA-3072.
Les estimations de ressources ne cessent de baisser : en 2019, Gidney et Ekerå estimaient que RSA-2048 pourrait être factorisé en environ 8 heures avec 20 millions de qubits bruités ; en mai 2025, Gidney a estimé qu’il faudrait moins d’une semaine avec moins d’un million de qubits bruités (en supposant un taux d’erreur de porte de 0,1 % et un cycle de code de surface de 1 μs). Les appareils actuels ont bien moins de qubits, et plus bruités, mais cette tendance détermine les échéances de migration de 2030 à 2035.