[論文レビュー] Breaking RSA Security With A Low Noise D-Wave 2000Q Quantum Annealer: Computational Times, Limitations And Prospects

Riccardo Mengoni, Daniele Ottaviani+1 more|arXiv (Cornell University)|May 5, 2020

Quantum Computing Algorithms and Architecture参考文献 16被引用数 8

ひとこと要約

この論文は、整数の素因数分解を二次無制約バイナリ最適化（QUBO）問題にマッピングすることで、D-Wave 2000Qの量子アニーリング装置を用いたRSA暗号の破壊可能性を評価している。ブロック乗算表法と高度なアニーリング設定を用いて、17ビット（N=103459）までの整数を100ミリ秒未満のTime To Solution（TTS）で正しく因数分解に成功した。これは前進を示しているが、より大きな鍵に対するハードウェアの限界も浮き彫りにしている。

ABSTRACT

The RSA cryptosystem could be easily broken with large scale general purpose quantum computers running Shor's factorization algorithm. Being such devices still in their infancy, a quantum annealing approach to integer factorization has recently gained attention. In this work, we analyzed the most promising strategies for RSA hacking via quantum annealing with an extensive study of the low noise D-Wave 2000Q computational times, current hardware limitations and challenges for future developments.

研究の動機と目的

• 近い将来のハードウェアにおける量子アニーリングを用いたRSA暗号の破壊可能性の実用的妥当性を評価すること。
• 低ノイズなD-Wave 2000Qの整数因数分解における計算性能とハードウェア的限界を調査すること。
• 素因数分解問題の異なるQUBO定式化を比較し、最も効果的な手法を同定すること。
• 延長J範囲やアニーリングオフセットといった高度なアニーリング技術が、解の成功率とTTSに与える影響を評価すること。
• 将来の量子アニーリングベース因数分解の開発のためのベンチマークを提供し、D-Wave Advantageのような次世代デバイスの今後の研究を導くこと。

提案手法

• N = p × q を満たすpとqを回復するために、2つの2進数の乗算を符号化するブロック乗算表法を用いて、素因数分解問題をQUBO形式にマッピングした。
• 最大のインスタンスでは、42個の物理キュービットと93本の結合を用い、論理変数を物理キュービットへのチェーンマッピングにより埋め込み、D-Wave 2000QのQPUでQUBOを解いた。
• Time To Solution（TTS）を、総QPUアクセス時間÷正しく因数分解された回数として定義した。1回のアニーリングあたり10,000回のリードと1μsのアニーリング時間を使用した。
• 高度な設定として、論理変数のチェーンを強化するための拡張J範囲（J_chain = -2）と、キュービットのアニーリングを遅らせるアニーリングオフセットを適用し、解の忠実度を向上させた。
• 8から19までのビット長L_Nについて実験を行い、デフォルト設定と高度な設定の両方を用いて、スケーラビリティと性能を評価した。
• 埋め込み済み問題のグラフ構造を分析した。その結果、Nが大きくなるにつれて、特にキュービット数と結合密度の両方が増加する複雑さが顕在した。

実験結果

リサーチクエスチョン

• RQ1 D-Wave 2000Q量子アニーリング装置は、素因数分解問題のQUBO定式化を用いて、RSA関連の整数（最大17ビット）を因数分解できるか？
• RQ2 特に拡張J範囲とアニーリングオフセットといった高度なアニーリング技術は、因数分解のTime To Solution（TTS）と成功率にどのように影響するか？
• RQ3 現在の量子アニーリングデバイスが整数因数分解を解く際の計算時間とハードウェア的限界は、古典的手法と比較していかなるものか？
• RQ4 Nのビット長が増加するに従い、埋め込み済みQUBO問題の複雑さはどのようにスケーリングするか？また、より大きな因数分解を実現するにはどのようなハードウェア向上が必要か？
• RQ5 量子アニーリングは、ショア型因数分解をどの程度模倣できるか？今後の量子アニーリングベース暗号解読における実用的展望は何か？

主な発見

• D-Wave 2000Qは、17ビット（L_N=17）までのすべての整数N、特にN=103459を、高度なアニーリング設定を用いてTime To Solution（TTS）91.12μsで正しく因数分解に成功した。
• 高度な設定により、最大インスタンスのTTSが約10倍短縮された（728.96μsから91.12μsに）。これは顕著な性能向上を示している。
• ブロック乗算表法により、L_N=18までの因数分解問題の埋め込みに成功したが、ハードウェア制限のため、最大でL_N=17までしかテストできなかった。
• N=143の埋め込みイジング問題では、42個の物理キュービットと93本の結合を要した。これは、Nが大きくなるにつれて複雑性が増加することを示している。
• QUBO定式化に必要な論理変数の数は、Nのビット長に比例して増加する。これは、将来のより大きなRSA鍵の因数分解には、キュービット数と接続性の増加が必要であることを示唆している。
• 有望な結果が得られたが、依然として完全なRSA-2048鍵の因数分解にはハードウェアが不十分であり、キュービット数、接続性、誤り耐性のさらなる向上が不可欠である。