[論文レビュー] Quantum Algorithm for Optimization and Polynomial System Solving over Finite Field and Application to Cryptanalysis

Yu-Ao Chen, Xiao-Shan Gao+1 more|arXiv (Cornell University)|Feb 12, 2018

Coding theory and cryptography参考文献 25被引用数 4

ひとこと要約

本稿では、有限体上の多項式系および変数が有界な整数最適化問題を解く多項式時間の量子アルゴリズムを提示し、問題の条件数が小さい場合には指数的高速化を達成する。主な貢献は、NTRU や SIS のような格子ベースの後量産暗号方式が、その関連する方程式系の条件数が大きい場合にのみ安全であることを示したことであり、このパラメータが新たなセキュリティ基準であることを示している。

ABSTRACT

In this paper, we give quantum algorithms for two fundamental computation problems: solving polynomial systems over finite fields and optimization where the arguments of the objective function and constraints take values from a finite field or a bounded interval of integers. The quantum algorithms can solve these problems with any given success probability and have polynomial runtime complexities in the size of the input, the degree of the inequality constraints, and the condition number of certain matrices derived from the problem. So, we achieved exponential speedup for these problems when their condition numbers are small. As applications, quantum algorithms are given to three basic computational problems in cryptography: the polynomial system with noise problem, the short integer solution problem, the shortest vector problem, as well as the cryptanalysis for the lattice based NTRU cryptosystem. It is shown that these problems and NTRU can against quantum computer attacks only if their condition numbers are large, so the condition number could be used as a new criterion for the lattice based post-quantum cryptosystems.

研究の動機と目的

• 有限体上の多項式系および変数が有界な整数最適化問題を解く効率的な量子アルゴリズムの開発。
• この問題における量子高速化の程度を決定づける条件数の役割の分析。
• PSWN、SIS、SVP、NTRU暗号の解析を含む暗号の基盤的問題へのアルゴリズムの適用。
• 格子ベースの後量産暗号方式のセキュリティにおける条件数を新たな基準とする。
• NTRUに対する量子攻撃が、条件数が小さい場合にのみ実行可能であり、したがって大きな条件数がセキュリティに不可欠であることを示す。

提案手法

• 最適化問題における等式および不等式制約を、複素数体上でのブール多項式系に還元し、それらを B-POSSO（ℂ上でのブール多項式系の解法）問題に変換する。
• 先行研究[12]の量子アルゴリズムを用いて、得られた B-POSSO 問題を解き、アモニチュード増幅と量子状態準備を活用する。
• 変数を2進文字列として表現し、ブール変数における多項式方程式を用いて制約を符号化することで、複素数上での量子計算を可能にする。
• システムから導かれる行列の固有値特性に基づいて、問題の条件数 κ を定義し、これが実行時間の複雑さを支配する。
• 特定の暗号問題を、有限体または整数上での最適化または方程式系の解法タスクに再定式化することで、アルゴリズムを応用する。
• NTRUにおける秘密鍵の次数を最小化する目的関数を用い、問題を目的関数が有界な B-POSSO インスタンスに還元する。

実験結果

リサーチクエスチョン

• RQ1 量子アルゴリズムは、有限体上での多項式系および変数が有界な整数最適化問題を多項式時間で解けるか？
• RQ2 提案された量子アルゴリズムは、どのような条件下で古典的手法よりも指数的高速化を達成するか？
• RQ3 システムの条件数が、多項式系および最適化問題の量子複雑度にどのように影響するか？
• RQ4 提案された量子アルゴリズムは、NTRU などの広く使われている格子ベースの暗号方式を破壊可能か？どのような条件下で？
• RQ5 条件数は、格子問題に基づく後量産暗号方式の新たなセキュリティ基準として実用的か？

主な発見

• 量子アルゴリズムは、成功確率が 1−ε 以上である時間 Õ(T_F^{3.5} D^{3.5} m^{5.5} log^{4.5}p κ² log(1/ε)) で有限体上の多項式系を解く。ここで T_F は全スパarsity、D は次数関連パラメータ、κ は条件数である。
• 有限体および有界整数上の最適化問題に対して、アルゴリズムは入力サイズ、制約の次数、条件数 κ に関して多項式時間の実行時間複雑度を達成し、κ が小さい場合には指数的高速化を実現する。
• ノイズ付き多項式系（PSWN）問題に対する量子アルゴリズムの複雑度は Õ(n^{3.5} T_F^{3.5} log^8 p κ²) であり、条件数が小さい場合には実行可能であることを示している。
• NTRUに対する量子攻撃の複雑度は Õ(N^{4.5} log^{4.5}q κ² log(1/ε)) であり、具体的な推定では (N,p,q)=(107,3,64) の場合に 2^{45}κ² となる。これは、κ が大きい場合にのみ実行可能であることを示している。
• 本稿では、NTRU や SIS を含む格子ベースの後量産暗号方式が、関連する方程式系の条件数が大きい場合にのみ量子攻撃に対して安全であることを確立している。
• 条件数は、最悪ケースの難易度といった従来の仮定に代わるか、それを補完する新たなセキュリティ基準として提案されている。