[論文レビュー] Improved Classical and Quantum Algorithms for the Shortest Vector Problem via Bounded Distance Decoding

Divesh Aggarwal, Yanlin Chen+2 more|arXiv (Cornell University)|Feb 19, 2020

Cryptography and Data Security被引用数 4

ひとこと要約

本稿では、滑らかな距離デコード（BDD）および滑らかさパラメータより上の離散ガウス分布サンプリングを用いた、時間-記憶量トレードオフの新しい手法を介して、短いベクトル問題（SVP）の古典的および量子的アルゴリズムを改善する。主な貢献は、QRAMを用いる場合に時間 $2^{0.835n+o(n)}$ で実行される量子アルゴリズムであり、以前の $2^{n+o(n)}$ の境界を改善している。また、$2^{0.5n+o(n)}$ の記憶量を用いて時間 $2^{1.669n+o(n)}$ で実行される古典的アルゴリズムも提示されており、両者とも格子の接触数に関連するパrameterの精密な解析に基づいている。

ABSTRACT

The most important computational problem on lattices is the Shortest Vector Problem (SVP). In this paper, we present new algorithms that improve the state-of-the-art for provable classical/quantum algorithms for SVP. We present the following results. $\bullet$ A new algorithm for SVP that provides a smooth tradeoff between time complexity and memory requirement. For any positive integer $4\leq q\leq \sqrt{n}$, our algorithm takes $q^{13n+o(n)}$ time and requires $poly(n)\cdot q^{16n/q^2}$ memory. This tradeoff which ranges from enumeration ($q=\sqrt{n}$) to sieving ($q$ constant), is a consequence of a new time-memory tradeoff for Discrete Gaussian sampling above the smoothing parameter. $\bullet$ A quantum algorithm for SVP that runs in time $2^{0.950n+o(n)}$ and requires $2^{0.5n+o(n)}$ classical memory and poly(n) qubits. In Quantum Random Access Memory (QRAM) model this algorithm takes only $2^{0.835n+o(n)}$ time and requires a QRAM of size $2^{0.293n+o(n)}$, poly(n) qubits and $2^{0.5n}$ classical space. This improves over the previously fastest classical (which is also the fastest quantum) algorithm due to [ADRS15] that has a time and space complexity $2^{n+o(n)}$. $\bullet$ A classical algorithm for SVP that runs in time $2^{1.669n+o(n)}$ time and $2^{0.5n+o(n)}$ space. This improves over an algorithm of [CCL18] that has the same space complexity. The time complexity of our classical and quantum algorithms are obtained using a known upper bound on a quantity related to the lattice kissing number which is $2^{0.402n}$. We conjecture that for most lattices this quantity is a $2^{o(n)}$. Assuming that this is the case, our classical algorithm runs in time $2^{1.292n+o(n)}$, our quantum algorithm runs in time $2^{0.750n+o(n)}$ and our quantum algorithm in QRAM model runs in time $2^{0.667n+o(n)}$.

研究の動機と目的

• 格子における短いベクトル問題（SVP）を証明可能に解くための、現在の最良の時間および記憶量複雑度を改善すること。
• 滑らかさパラメータより上の離散ガウス分布サンプリングを用いて、SVPにおける列挙法とシービング法の間で滑らかな時間-記憶量トレードオフを確立すること。
• 量子的高速化とQRAMを活用することで、時間複雑度において既存の最良の古典的アルゴリズムを上回る量子アルゴリズムを開発すること。
• SVPへの還元を介して、格子同型問題（ZLIP）へと結果を拡張し、ZLIPに対して証明可能な量子アルゴリズムを提供すること。

提案手法

• 滑らかさパラメータより上の離散ガウス分布サンプリングのための新しい時間-記憶量トレードオフを導入し、$q \in [4, \sqrt{n}]$ をパラメータとして用いることで、列挙法（$q = \sqrt{n}$）とシービング法（$q$ が定数）の間の連続的トレードオフを実現する。
• パラメータ $\alpha$ を持つ境界距離デコード（BDD）オракルを用いて格子ベクトルをサンプリングし、$\alpha$ がデコード半径とクエリコストおよびクエリ回数のトレードオフを制御することを可能にする。
• 格子の接触数に関連する量 $\beta(L)$ の精密な解析を適用し、$2^{0.402n}$ で有界であることを示し、多数の格子に対して $\beta(L) = 2^{o(n)}$ であると仮定することで、改善された漸近的境界を導出する。
• QRAMへのアクセスと振幅増幅による量子的高速化を用いて、QRAMモデル内でのオラクルの時間複雑度を $2^{An/2}$ から $2^{An/4}$ に低下させる。
• 次元 $n/2 + 1$ におけるZLIP問題をSVPに還元することで、SVPアルゴリズムを直接ZLIPに適用可能にする。
• 時間複雑度の式を、$b = \log_2 \beta(L)$ であり、$c(b, \nu, \xi)$ を用いて2つの指数関数的項の最大値を最小化する関数として導出し、$\alpha$ を数値的に最適化する。

実験結果

リサーチクエスチョン

• RQ1 滑らかさパラメータより上の離散ガウス分布サンプリングを用いて、SVPにおける列挙法とシービング法の間で滑らかな時間-記憶量トレードオフを達成できるか？
• RQ2 量子的および古典的SVPアルゴリズムにおける最適な時間-記憶量トレードオフは何か？ また、これは格子の接触数にどのように依存するか？
• RQ3 QRAMモデルにおいて、SVPのための量子アルゴリズムが指数的時間複雑度未満で実行可能か？ また、QRAMへのアクセスはトレードオフにどのように影響するか？
• RQ4 改善されたSVPアルゴリズムは、自明な格子 $\mathbb{Z}^n$ における格子同型問題（ZLIP）を解くためにどのように応用可能か？
• RQ5 多数の格子に対して $\beta(L) = 2^{o(n)}$ であると仮定した場合、古典的および量子的SVPアルゴリズムの漸近的時間複雑度は何か？

主な発見

• 提示されたSVPの古典的アルゴリズムは、時間 $2^{1.669n+o(n)}$ で実行され、$2^{0.5n+o(n)}$ の古典的記憶量を用いる。これは以前の $2^{n+o(n)}$ の境界を改善している。
• SVPの量子アルゴリズムは、$2^{0.5n+o(n)}$ の古典的記憶量と多項式時間の量子ビット数を用いて、時間 $2^{0.950n+o(n)}$ で実行され、以前の $2^{n+o(n)}$ の境界を改善している。
• QRAMモデルでは、量子アルゴリズムの時間複雑度は $2^{0.835n+o(n)}$ に低下し、$2^{0.293n+o(n)}$ のQRAMサイズ、多項式時間の量子ビット数、$2^{0.5n}$ の古典的記憶量を必要とする。
• 仮定 $\beta(L) = 2^{o(n)}$ が成り立つ場合、古典的アルゴリズムは $2^{1.292n+o(n)}$ 時間、量子アルゴリズムは $2^{0.750n+o(n)}$ 時間、QRAMベースの量子アルゴリズムは $2^{0.667n+o(n)}$ 時間で実行される。
• アルゴリズムはZLIP問題に応用され、証明可能な量子アルゴリズムとして、$2^{0.417n+o(n)}$ 時間でZLIPを解くことが可能になった。QRAMサイズは $2^{0.147n+o(n)}$、多項式時間の量子ビット数、$2^{0.25n}$ の古典的記憶量を要する。
• 時間複雑度は、$\alpha \in [1/3, 1/2)$ の範囲で、前処理コストとオラクルクエリコストを組み合わせた関数の最小化により導出され、最適な $\alpha$ は数値的に特定された。