[논문 리뷰] Factoring Safe Semiprimes with a Single Quantum Query

Frédéric Grosshans, Thomas Lawson외 2명|arXiv (Cornell University)|2015. 11. 13.

Quantum Computing Algorithms and Architecture참고 문헌 19인용 수 11

한 줄 요약

이 논문은 안전한 합성수(semiprimes)—두 개의 안전 소수의 곱인 수—를 한 번의 양자 순서 찾기 알고리즘(QOFA) 호출만으로 약 1−4/N의 성공 확률로 인수분해하는 수정된 양자 인수분해 알고리즘을 제시한다. 이는 기존 쇼어의 알고리즘과 비교해 각 쿼리당 최대 50%의 실패 확률을 가지는 것보다 뚜렷이 뛰어나다. 이 개선은 안전한 합성수의 수론적 성질을 활용하여 순서 출력에서 직접 인수를 추출함으로써, 랜덤 입력 선택이 필요 없게 되어 동일한 양자 회로를 반복적으로 재사용할 수 있도록 한다.

ABSTRACT

Shor's factoring algorithm (SFA), by its ability to efficiently factor large numbers, has the potential to undermine contemporary encryption. At its heart is a process called order finding, which quantum mechanics lets us perform efficiently. SFA thus consists of a \emph{quantum order finding algorithm} (QOFA), bookended by classical routines which, given the order, return the factors. But, with probability up to $1/2$, these classical routines fail, and QOFA must be rerun. We modify these routines using elementary results in number theory, improving the likelihood that they return the factors. The resulting quantum factoring algorithm is better than SFA at factoring safe semiprimes, an important class of numbers used in cryptography. With just one call to QOFA, our algorithm almost always factors safe semiprimes. As well as a speed-up, improving efficiency gives our algorithm other, practical advantages: unlike SFA, it does not need a randomly picked input, making it simpler to construct in the lab; and in the (unlikely) case of failure, the same circuit can be rerun, without modification. We consider generalizing this result to other cases, although we do not find a simple extension, and conclude that SFA is still the best algorithm for general numbers (non safe semiprimes, in other words). Even so, we present some simple number theoretic tricks for improving SFA in this case.

연구 동기 및 목표

• 안전한 합성수를 인수분해할 때 쇼어의 알고리즘(SFA)의 실패 확률을 낮추기 위해 고전적 후처리 단계를 재고하는 것.
• 실험적 구현을 위해 랜덤 입력 선택이 필요 없도록 SFA에서 이를 제거하는 것.
• 실패 시 동일한 양자 회로를 수정 없이 다시 실행할 수 있도록 하여 실용적 효율성을 높이는 것.
• 수론적 통찰을 활용해 안전한 합성수 외의 경우에도 양자 인수분해를 향상시킬 수 있는지 탐색하는 것.

제안 방법

• 안전한 합성수 N = p₁p₂에서 pᵢ = 2qᵢ + 1이면, N과 서로소인 임의의 a에 대해 순서 r는 2q₁q₂의 약수이며, 1과 2를 제외한 모든 약수는 인수를 제공한다.
• 표준 SFA 단계에서 r이 짝수인지 확인하고 gcd(a^{r/2}±1, N)를 계산하는 것에 의존하는 대신, 새로운 방법은 2q₁q₂의 비자명한 약수를 직접 테스트하여 p₁과 p₂를 복구한다.
• 랜덤으로 선택하는 대신 기저 a를 고정함(예: a=2)으로써 실험적 구현을 단순화한다.
• QOFA가 1 또는 2가 아닌 2q₁q₂의 약수 d를 반환할 가능성이 높다는 점을 활용하여, 직접적으로 인수 추출이 가능하다.
• 실패 시에도 동일한 양자 회로를 반복적으로 재사용할 수 있도록 하여 반복적인 양자 호출을 피한다.
• 일반 정수의 경우, QOFA 재실행을 피하기 위해 두 가지 경량 고전적 검사—r과 N의 최대공약수를 계산하고, r이 작은 소수 ℓ로 나누어지는지 확인하는 것—을 제안한다.

실험 결과

연구 질문

• RQ1 쇼어의 알고리즘의 고전적 후처리를 재구성하여 안전한 합성수의 경우 실패 확률을 낮출 수 있는가?
• RQ2 양자 순서 찾기 단계에서 기저 a를 고정하는 것이 실험 가능성과 자원 부담을 줄이는 데 기여하는가?
• RQ3 QOFA의 순서 출력을 SFA보다 더 효과적으로 활용하여 추가 양자 쿼리 없이도 인수를 추출할 수 있는가?
• RQ4 λ(N)의 수론적 성질을 얼마나 활용해 안전한 합성수 외의 경우에도 양자 인수분해를 향상시킬 수 있는가?
• RQ5 일반 정수의 경우, 양자 서브루틴을 변경하지 않고도 단순한 고전적 검사를 통해 QOFA 호출의 기대 횟수를 줄일 수 있는가?

주요 결과

• 제안된 알고리즘은 QOFA를 한 번만 호출하여 안전한 합성수를 약 1−4/N의 성공 확률로 인수분해하며, 쇼어의 알고리즘보다 뚜렷이 뛰어나다. 쇼어의 알고리즘은 각 쿼리당 최대 50%의 실패 확률을 가진다.
• QOFA가 반환한 순서 r이 2q₁q₂의 비자명한 약수이면 알고리즘이 성공하며, 이는 N 모듈로 곱셈군의 구조 덕분에 높은 확률로 발생한다.
• 랜덤 입력 선택이 필요 없어지므로 고정된 기저 a(예: a=2)를 사용할 수 있게 되어 실험적 구현이 단순화되고 회로 재사용이 가능해진다.
• 희귀한 실패의 경우에도 동일한 양자 회로를 수정 없이 다시 실행할 수 있어 실험적 부담이 감소한다.
• 일반 정수의 경우, 두 가지 간단한 고전적 검사—r과 N의 최대공약수 계산 및 r이 작은 소수로 나누어지는지의 여부 확인—을 통해 한 번의 정확한 QOFA 호출 후의 실패율을 4배 감소시켜 6%에서 1.5%로 낮춘다.
• 나머지 실패의 약 60%의 경우 순서 r는 2⁻ᵏλ(N) 형태를 띠며, λ(N)를 복구하고 밀러 알고리즘을 통해 인수분해가 가능하므로, 표준 SFA 대비 약 10배의 효율 향상을 얻을 수 있다.