[論文レビュー] Quantum Algorithms for Variants of Average-Case Lattice Problems via Filtering

Poremba, Alexander|arXiv (Cornell University)|Aug 25, 2021

Cryptography and Data Security参考文献 33被引用数 5

ひとこと要約

本稿では、新しい量子フィルタリング技術を用いて、特定の変種の短い整数解問題（SIS）、学習誤差問題（LWE）、拡張ダイヘドラルコセット問題（EDCP）に対する多項式時間の量子アルゴリズムを提示する。この手法により、非自明な誤差分布（例えば、有界一様分布やラプラス分布）を伴うLWEに類似した量子状態が与えられた場合に、多項式的に大きな法のもとでLWEを解くことが可能となり、従来の結果を拡張し、これらのパrameter領域における以前に未解決だった量子計算複雑性の問題を解消する。

ABSTRACT

Quantum information has the property that measurement is an inherently destructive process. This feature is most apparent in the principle of complementarity, which states that mutually incompatible observables cannot be measured at the same time. Recent work by Broadbent and Islam (TCC 2020) builds on this aspect of quantum mechanics to realize a cryptographic notion called certified deletion. While this remarkable notion enables a classical verifier to be convinced that a (private-key) quantum ciphertext has been deleted by an untrusted party, it offers no additional layer of functionality. In this work, we augment the proof-of-deletion paradigm with fully homomorphic encryption (FHE). We construct the first fully homomorphic encryption scheme with certified deletion - an interactive protocol which enables an untrusted quantum server to compute on encrypted data and, if requested, to simultaneously prove data deletion to a client. Our scheme has the desirable property that verification of a deletion certificate is public; meaning anyone can verify that deletion has taken place. Our main technical ingredient is an interactive protocol by which a quantum prover can convince a classical verifier that a sample from the Learning with Errors (LWE) distribution in the form of a quantum state was deleted. As an application of our protocol, we construct a Dual-Regev public-key encryption scheme with certified deletion, which we then extend towards a (leveled) FHE scheme of the same type. We introduce the notion of Gaussian-collapsing hash functions - a special case of collapsing hash functions defined by Unruh (Eurocrypt 2016) - and we prove the security of our schemes under the assumption that the Ajtai hash function satisfies a certain strong Gaussian-collapsing property in the presence of leakage.

研究の動機と目的

• 非標準的なパrameterを伴うSISおよびLWEの未解決な変種を解くことで、平均ケースの格子問題における量子アルゴリズムのギャップを埋めること。
• SISおよびEDCPからLWEへの量子還元フレームワークを拡張し、LWEに類似した量子状態が与えられた場合に効率的な量子アルゴリズムを構築すること。
• 構造的誤差分布を伴うノイズの多い量子状態から有用な情報を抽出できる新しい量子フィルタリング技術を開発すること。
• 多項式的に大きな法と有界な誤差ノルムを伴う特定のSISおよびLWEの変種が、最悪ケースの格子問題ほど難しいとは知られていないものの、量子的に解けることを示すこと。
• 従来のEDCPの量子アルゴリズムを一般化・改善し、より広範な誤差分布およびパrameter領域をカバーすること。

提案手法

• 非一様誤差分布を伴うLWEに類似した量子状態から情報を抽出するための量子フィルタリング技術を導入する。
• フィルタリングされた量子状態から得られるLWEインスタンスを解くために、Arora-Geアルゴリズムをサブルーチンとして用いる。
• SISおよびEDCPからLWEへの量子還元を活用し、特定の量子状態入力を伴うLWEの解法に問題を還元する。
• 量子フーリエ変換（QFT）および状態準備技術を用いて、EDCP状態をLWEに類似した状態に変換する。
• 循環行列に対するグラム・シュミット直交化を用いて、フィルタリング後の状態のノルムを抑え、非無視可能な成功確率を保証する。
• チェルノフの不等式を適用して測定結果の集中を示し、フィルタリングにおける高い成功確率を保証する。

実験結果

リサーチクエスチョン

• RQ1 法 q = poly(n) で、無限大ノルムの上限 β = q/2 − 1 とされる SIS∞ は、多項式的に大きな法と、多項式的に大きな行列（m = poly(n)）を伴う場合に、量子的に解けるか？
• RQ2 有界一様分布またはラプラス誤差分布を伴い、多項式的に大きな法を伴うLWEに類似した量子状態が与えられた場合、LWEは効率的に解けるか？
• RQ3 誤差分布が非一様で、法が多項式的に大きな場合に、EDCPは量子アルゴリズムによって多項式時間で解けるか？
• RQ4 提案された量子フィルタリング技術は、格子問題における成功確率およびパrameter領域カバレッジの面で、従来の手法を上回るか？
• RQ5 SISおよびEDCPからLWEへの量子還元は、非標準的なパrameter領域にまでどの程度拡張可能か？

主な発見

• 法 q = poly(n)、無限大ノルムの上限 β = q/2 − 1、非常に広い行列（m = poly(n)）を伴う SIS∞ に対して、多項式時間の量子アルゴリズムを提示し、未解決の問題を解消した。
• 有界一様分布およびラプラス誤差分布を伴うLWEに類似した量子状態が与えられた場合に、多項式的に大きな法のもとでLWEを解く量子アルゴリズムを構築した。
• EDCPに対しては、定数 c に対して区間 [0, q−c) 上で一様誤差分布を伴い、m = Ω((q−c)^3 · n^{c+1} · q · log q) 個のサンプルが必要な場合に、問題を解くアルゴリズムを提示し、先行研究を改善した。
• フィルタリングの過程で、有用な測定結果が得られる確率が Ω(m · q / ((2B+1)^3 · 2^{2c})) であることが保証され、m が十分に大きい場合には非無視可能な値をとる。
• フィルタリング後のサンプルに対して Arora-Ge アルゴリズムの成功確率が、サンプル数 m が Ω((2B+1)^3 · n^{c+1} · q · log q) の範囲にある場合に、1−negl(n)（非常に高い確率）であることが示された。
• フィルタリング後のグラム・シュミット直交化された状態のノルムが、√q / ((2B+1)^{1.5} · 2^{q−2B−1}) 以上であることが保証され、有用な測定のための非無視可能な振幅が得られる。