[論文レビュー] Quantum resource estimates for computing elliptic curve discrete logarithms

Martin Roetteler, Michael Naehrig+2 more|arXiv (Cornell University)|Jun 21, 2017

Quantum Computing Algorithms and Architecture被引用数 4

ひとこと要約

この論文は、可逆な量子回路を用いたショアのアルゴリズムを用いて、楕円曲線離散対数問題（ECDLP）を解くための正確な量子リソース推定値を提供する。著者らはLIQUi|⟩において制御された楕円曲線点加算を実装・シミュレートし、nビットの素数体上でのECDLPの解法には最大で9n + 2⌈log₂(n)⌉ + 10量子ビットと448n³ log₂(n) + 4090n³ Toffoliゲートが必要であることを示した。これは、同等の古典的セキュリティレベルにおいて、ECCはRSAよりも量子攻撃に対してより現実的であることを確認する。

ABSTRACT

We give precise quantum resource estimates for Shor's algorithm to compute discrete logarithms on elliptic curves over prime fields. The estimates are derived from a simulation of a Toffoli gate network for controlled elliptic curve point addition, implemented within the framework of the quantum computing software tool suite LIQ$Ui|\ angle$. We determine circuit implementations for reversible modular arithmetic, including modular addition, multiplication and inversion, as well as reversible elliptic curve point addition. We conclude that elliptic curve discrete logarithms on an elliptic curve defined over an $n$-bit prime field can be computed on a quantum computer with at most $9n + 2\\lceil\\log_2(n)\ ceil+10$ qubits using a quantum circuit of at most $448 n^3 \\log_2(n) + 4090 n^3$ Toffoli gates. We are able to classically simulate the Toffoli networks corresponding to the controlled elliptic curve point addition as the core piece of Shor's algorithm for the NIST standard curves P-192, P-224, P-256, P-384 and P-521. Our approach allows gate-level comparisons to recent resource estimates for Shor's factoring algorithm. The results also support estimates given earlier by Proos and Zalka and indicate that, for current parameters at comparable classical security levels, the number of qubits required to tackle elliptic curves is less than for attacking RSA, suggesting that indeed ECC is an easier target than RSA.

研究の動機と目的

• 楕円曲線離散対数問題（ECDLP）を解くために、ショアのアルゴリズムを用いた正確でゲートレベルの量子リソース推定値を提供すること。
• LIQUi|⟩フレームワーク内でのモジュラ加算、乗算、および逆数のための可逆量子回路を実装・シミュレートすること。
• 同等の古典的セキュリティレベルにおけるECDLPとRSA因数分解の量子リソース要件を比較すること。
• 標準NIST曲線に対して、ショアのアルゴリズムのコア部品を古典的マシンでシミュレート可能かどうかを検証すること。

提案手法

• 著者らは、qubit使用量を最小限に抑えるために二進GCDアルゴリズムを用いて、モジュラ加算、乗算、逆数のための可逆量子回路を開発した。
• ToffoliゲートとCNOTゲートを用いて、ショアのアルゴリズムのコアコンponentである制御された楕円曲線点加算を実装した。
• 回路はコンパイルされ、古典的シミュレーションが行われ、最大521ビットの曲線まで正しさの検証とリソース推定が可能となった。
• 古典的可逆回路シミュレーションを活用して、P-192、P-224、P-256、P-384、P-521曲線のToffoliネットワークの正しさを検証した。
• リソースカウントは、すべての算術演算および点加算コンponentにおけるToffoliゲート数とqubit割り当てから導出された。
• 理論的推定値（ProosとZalkaのもの）と比較し、実装上の選択やレジスタ共有最適化の欠如による差異を明らかにした。

実験結果

リサーチクエスチョン

• RQ1 素数体上の楕円曲線でECDLPを解くために、ショアのアルゴリズムを実装するのに必要な正確な量子ビット数とToffoliゲート数はどれくらいか？
• RQ2 同等の古典的セキュリティレベルにおいて、ECDLPの量子リソース要件はRSA因数分解のそれと比べてどうか？
• RQ3 標準NIST曲線に対して、楕円曲線点加算のコア可逆回路は古典的マシンでシミュレート可能か？
• RQ4 二進GCDをオイラー法ではなく採用するといった実装上の選択が、量子ビット数およびゲート数にどの程度影響を与えるか？
• RQ5 レジスタ共有最適化は、可逆モジュラ逆数計算における量子ビットのオーバーヘッドを低減できるか？なぜこの実装では完全に実現されていないのか？

主な発見

• ECDLPのための量子回路は、nビットの素数体に対して最大で9n + 2⌈log₂(n)⌉ + 10量子ビットと448n³ log₂(n) + 4090n³ Toffoliゲートを必要とする。
• 著者らは、P-521を含むすべてのNIST標準曲線に対して、制御された楕円曲線点加算のToffoliネットワークを古典的シミュレーションに成功した。
• リソース推定値は、同等の古典的セキュリティレベルにおいて、ECCを破るのはRSAを破るよりも量子コンピュータ上でより現実的であることを確認している。
• モジュラ逆数実装におけるレジスタ共有最適化の欠如により、qubit数がProosとZalkaの理論的推定値を上回っている。
• 拡張二進GCDの各ラウンドで1つのゴミビットが生成され、アンコンピュートに追加のqubitが必要になるため、qubit効率が制限されている。
• 結果は、ECCが比較的小さな鍵サイズに対しても、RSAよりも量子暗号解析の実用的ターゲットであると結論づけるのに支持する。