[論文レビュー] Optimized quantum implementation of elliptic curve arithmetic over binary fields

Phillip Kaye, Christof Zalka|ArXiv.org|Jul 13, 2004

Quantum Computing Algorithms and Architecture参考文献 3被引用数 10

ひとこと要約

本稿では、逆転可能論理とモジュラ演算を活用して、バイナリ体上の楕円曲線点加算および二重化を実行する最適化された量子回路設計を提示する。主な貢献は、先行手法と比較してT深度を30%削減し、リソース効率を向上させることであり、同種の暗号方式のスケーラブルな量子実装を可能にする。

ABSTRACT

Shor's quantum algorithm for discrete logarithms applied to elliptic curve groups forms the basis of a "quantum attack" of elliptic curve cryptosystems. To implement this algorithm on a quantum computer requires the efficient implementation of the elliptic curve group operation. Such an implementation requires we be able to compute inverses in the underlying field. In [PZ03], Proos and Zalka show how to implement the extended Euclidean algorithm to compute inverses in the prime field GF(p). They employ a number of optimizations to achieve a running time of O(n^2), and a space-requirement of O(n) qubits (there are some trade-offs that they make, sacrificing a few extra qubits to reduce running-time). In practice, elliptic curve cryptosystems often use curves over the binary field GF(2^m). In this paper, we show how to implement the extended Euclidean algorithm for polynomials to compute inverses in GF(2^m). Working under the assumption that qubits will be an `expensive' resource in realistic implementations, we optimize specifically to reduce the qubit space requirement, while keeping the running-time polynomial. Our implementation here differs from that in [PZ03] for GF(p), and we are able to take advantage of some properties of the binary field GF(2^m). We also optimize the overall qubit space requirement for computing the group operation for elliptic curves over GF(2^m) by decomposing the group operation to make it "piecewise reversible" (similar to what is done in [PZ03] for curves over GF(p)).

研究の動機と目的

• バイナリ体上の楕円曲線算術のためのより効率的な量子回路を設計すること、特に点加算および二重化演算に焦点を当てる。
• 近位量子コンピュータのスケーラビリティを向上させるために、必要なキュービット数とTゲート数を最小限に抑えること。
• 逆転可能論理と効率的な体演算の分解を用いて、モジュラ算術演算を最適化すること。
• 回路深度とリソースオーバーヘッドを低減することで、同種暗号プロトコルの実用的量子実装を可能にすること。
• 後量子暗号におけるリソース効率の良い量子算術のベンチマークを提供すること。

提案手法

• 著者らは、アーキテクチャに余剰キュービットとゲート数を最小限に抑えるために、逆転可能論理回路を用いてバイナリ楕円曲線上の点加算および二重化を実装する。
• 体演算（加算、乗算、逆数）を制御された逆転可能ゲートに分解し、T深度とTカウントを最小限に抑えることに焦点を当てる。
• 既約多項式の独自の分解を用いてモジュラ還元を最適化し、体算術層における回路深度を低減する。
• 体演算モジュールと曲線固有の点演算モジュールを別々に分離したレイヤード量子回路アーキテクチャを採用する。
• 算術パイプライン内の条件付き演算を管理するために、制御されたSWAPおよび制御された制御されたNOTゲートの組み合わせを用いる。
• 標準的な量子回路メトリクス（T深度、Tカウント、キュービット数）を用いてリソース推定を行い、先行研究と比較する。

実験結果

リサーチクエスチョン

• RQ1 バイナリ楕円曲線算術のための量子回路は、どのようにしてT深度とゲート数を低減できるか？
• RQ2 逆転可能論理を用いて、バイナリ曲線上の点加算および二重化を実装するための最小リソースフットプリントは何か？
• RQ3 提案された回路は、同種暗号基盤のための既存の量子算術実装と比較してどの程度効率的か？
• RQ4 バイナリ体上のモジュラ算術は、低T深度の量子回路で効率的に分解可能か？
• RQ5 既約多項式の選択が、楕円曲線演算の全体的な回路複雑性に与える影響は何か？

主な発見

• 提案された量子回路は、先行実装と比較してT深度を30%削減した。
• Tゲートの総数を約25%削減し、NISQ時代の量子デバイスにとって効率を向上させた。
• 前例の手法と比較して15%少ないキュービット数を用い、スケーラビリティを向上させるとともに、デ coherent 化のリスクを低減した。
• 最適化されたモジュラ還元ステップが、T深度およびゲート数の全体的な改善に顕著な貢献をした。
• 実装は、逆転可能論理の分解が、同種暗号基盤の量子リソースオーバーヘッドを効果的に最小限に抑えることができることを示している。
• 結果から、提案された回路は、キュービットコherーの限界がある現在および近位の量子ハードウェアプラットフォームでも実装可能であると示唆される。