[論文レビュー] Shor's discrete logarithm quantum algorithm for elliptic curves

John Proos, Christof Zalka|ArXiv.org|Jan 25, 2003

Quantum Computing Algorithms and Architecture参考文献 19被引用数 17

ひとこと要約

この論文は、GF(p)におけるモジュラ逆数の拡張ユークリッドアルゴリズムの効率的実装に注力し、Shorのアルゴリズムを用いて楕円曲線離散対数問題（ECDLP）を解く最適化された量子アルゴリズムを提示している。160ビットの楕円曲線暗号システムを破るには約1,000量子ビットで十分であり、1,024ビットのRSAモジュラスを因数分解するのに必要な2,000量子ビットよりもはるかに少ない。これは、整数因数分解よりもECDLPに対する量子計算の優位性が大きいことを示している。

ABSTRACT

We show in some detail how to implement Shor's efficient quantum algorithm for discrete logarithms for the particular case of elliptic curve groups. It turns out that for this problem a smaller quantum computer can solve problems further beyond current computing than for integer factorisation. A 160 bit elliptic curve cryptographic key could be broken on a quantum computer using around 1000 qubits while factoring the security-wise equivalent 1024 bit RSA modulus would require about 2000 qubits. In this paper we only consider elliptic curves over GF($p$) and not yet the equally important ones over GF($2^n$) or other finite fields. The main technical difficulty is to implement Euclid's gcd algorithm to compute multiplicative inverses modulo $p$. As the runtime of Euclid's algorithm depends on the input, one difficulty encountered is the ``quantum halting problem''.

研究の動機と目的

• GF(p)上の楕円曲線群への離散対数問題のShorの量子アルゴリズムの適応を目的とし、この設定に特有の実装上の課題に対処すること。
• モジュラ逆数に不可欠な拡張ユークリッドアルゴリズムの最適化を通じて、特に整数因数分解と比較して、ECDLPを解くための量子ビット数を最小限に抑えること。
• ステップごとの逆転可能性と制限付き除算を可能にすることで、ユークリッドアルゴリズムにおける量子停止問題を解消すること。
• 量子計算機上でより小さな規模で実行可能な楕円曲線暗号への攻撃が、RSAへの攻撃よりも現実的であることを示すこと。これは、量子ビット数とゲート数の要件が低いためである。

提案手法

• アルゴリズムは、GF(p)上でのモジュラ算術と量子フーリエ変換を用いた、楕円曲線群へのShorの位数探索フレームワークに適応したものである。
• 入力レジスタを排除するための群シフト演算の再定式化により、量子ビットのオーバーヘッドを削減している。
• 主な革新点は、拡張ユークリッドアルゴリズムにおける並列計算の非同期化であり、変動する実行時間に対処し、量子停止問題を回避する。
• 制限付き除算とレジスタ共有を用いることで、空間計算量をO(n)量子ビットに抑えつつ、O(n²)の実行時間維持を実現している。
• 拡張ユークリッドアルゴリズムに段階的可逆性を適用し、ゴミ量子ビットを最小限に抑え、効率的な量子回路設計を可能にしている。
• 対数的解析を用いてユークリッドアルゴリズムのステップ数を制限し、すべての入力に対して正しくかつ効率的に動作することを保証している。

実験結果

リサーチクエスチョン

• RQ1 GF(p)上の楕円曲線群に対して、Shorの離散対数アルゴリズムを効率的に実装できるか。主な技術的課題は何か。
• RQ2 モジュラ逆数に不可欠な拡張ユークリッドアルゴリズムを、変動する実行時間と最小限の量子ビットオーバーヘッドで量子環境に実装するにはどうすればよいか。
• RQ3 160ビットの楕円曲線暗号システムを量子コンピュータで破るのに必要な量子ビット数とゲート数は、1,024ビットのRSAモジュラスを因数分解する場合と比べてどの程度か。
• RQ4 量子回路におけるユークリッドアルゴリズムの実装に、量子停止問題がどの程度影響を及ぼすか。また、その対策は何か。
• RQ5 ECDLP用の量子アルゴリズムを、対応する因数分解アルゴリズムよりも少ない量子ビット数で実行できるように最適化できるか。その差はどの程度か。

主な発見

• 160ビットの楕円曲線暗号システムは、約1,000量子ビットで破壊可能であり、1,024ビットのRSAモジュラスを因数分解するのに必要な2,000量子ビットよりもはるかに少ない。
• ECDLP用の量子アルゴリズムはO(n²)の実行時間とO(n)の空間計算量を達成しており、拡張ユークリッドアルゴリズムが主なボトルネックである。
• 変動する長さのユークリッドアルゴリズムステップを管理するため、段階的可逆操作と制限付き除算を用いることで、量子停止問題を回避している。
• アルゴリズムの成功確率は解析され、収束に必要なサイクル数の明確な上限が示されており、高い水準にあることが確認された。
• 入力レジスタを削除し、非同期な並列計算によるレジスタ再利用によって、量子ビット数を削減し、リソース効率を向上させた。
• 解析により、与えられた制約下でアルゴリズムの実行時間と空間使用量が最適であり、ユークリッドアルゴリズムのステップ数にきつい上限が示された。