[논문 리뷰] How to compute a 256-bit elliptic curve private key with only 50 million Toffoli gates

Daniel Litinski|arXiv (Cornell University)|2023. 06. 14.

Neural Networks and Reservoir Computing인용 수 6

한 줄 요약

이 논문은 비선형 연결을 가진 활성체적 아키텍처를 갖춘 고장내성 표면코드 양자컴퓨터에서, Shor의 알고리즘을 사용하여 256비트 타원곡선 암호화(ECC) 키를 인수분해하기 위한 최적화된 자원 추정치를 제시한다. 비국소적 연결을 통한 병렬처리와 병렬 모듈러 역산, 공유 상태 재사용 등의 알고리즘 최적화를 통해 저자들은 키당 Toffoli 게이트 수를 5,000만 개로 줄였고, 2D-국소 아키텍처에서의 38시간이던 키 생성 시간을 6,000개 모듈(각각 1,152개의 물리적 큐비트)을 사용해 단 10분으로 단축시켰다. 물리적 오차율 임계치는 10%이다.

ABSTRACT

We use Shor's algorithm for the computation of elliptic curve private keys as a case study for resource estimates in the silicon-photonics-inspired active-volume architecture. Here, a fault-tolerant surface-code quantum computer consists of modules with a logarithmic number of non-local inter-module connections, modifying the algorithmic cost function compared to 2D-local architectures. We find that the non-local connections reduce the cost per key by a factor of 300-700 depending on the operating regime. At 10% threshold, assuming a 10-$μ$s code cycle and non-local connections, one key can be generated every 10 minutes using 6000 modules with 1152 physical qubits each. By contrast, a device with strict 2D-local connectivity requires more qubits and produces one key every 38 hours. We also find simple architecture-independent algorithmic modifications that reduce the Toffoli count per key by up to a factor of 5. These modifications involve reusing the stored state for multiple keys and spreading the cost of the modular division operation over multiple parallel instances of the algorithm.

연구 동기 및 목표

• 고장내성 양자계산 환경에서 Shor의 알고리즘을 사용하여 256비트 타원곡선 암호화 개인키를 인수분해하기 위한 자원 비용을 추정하는 것.
• 활성체적 아키텍처에서 비국소적 모듈 간 연결이 키당 계산 비용과 시간을 줄이는 데 미치는 영향을 평가하는 것.
• Toffoli 게이트 수를 줄이고 병렬 처리 효율을 향상시키기 위한 알고리즘 최적화를 식별하고 구현하는 것.
• 기존의 2D-국소 표면코드 아키텍처와 비교하여 활성체적 아키텍처의 성능 및 자원 요구사항을 평가하는 것.
• 양자 암호 해독 및 알고리즘 설계에 적용 가능한 활성체적 자원 추정 프레임워크를 제공하는 것.

제안 방법

• 모듈로 산술과 양자 위상 추정을 사용하여 타원곡선 이산 로그 문제(ECDLP)에 대해 Shor의 알고리즘을 적응시킴.
• 비국소적 연결을 통해 복수의 모듈 간 논리 연산을 병렬 실행할 수 있도록 하는 활성체적 아키텍처를 활용함.
• 메모리 또는 워크스페이스로 모듈를 동적 할당하여 메모리 용량과 계산 속도의 균형을 맞춤.
• 다중 키 인스턴스 간에 저장된 상태를 재사용하여 병렬 모듈러 역산을 구현함으로써 키당 Toffoli 게이트 수를 감소.
• 광학 융합 기반 양자컴퓨터에서 지연선을 적용하여 효과적 메모리 용량을 늘리고 코드 사이클당 수행 가능한 연산 수를 증가.
• 계산을 '블록' 단위로 측정함으로써 서브루틴 비용을 최적화하고, 활성 체적을 핵심 지표로 삼음.

실험 결과

연구 질문

• RQ1 비국소적 연결을 갖춘 활성체적 아키텍처는 2D-국소 아키텍처에 비해 256비트 ECC 키 인수분해의 자원 비용을 얼마나 줄이는가?
• RQ2 최적화된 Shor의 알고리즘을 사용할 때, 단일 256비트 ECC 개인키를 계산하기 위해 필요한 최소 Toffoli 게이트 수는 얼마인가?
• RQ3 병렬 모듈러 역산 및 상태 재사용과 같은 알고리즘 수정이 키당 효과적 비용을 얼마나 줄이는가?
• RQ4 코드 사이클 길이와 지연선이 광학 융합 기반 양자컴퓨터의 성능 및 자원 효율성에 어떤 영향을 미치는가?
• RQ5 활성체적 모델은 서브루틴의 병렬 실행을 통해 양자 알고리즘 설계에서 상당한 규모의 경제성을 달성할 수 있는가?

주요 결과

• 활성체적 아키텍처는 운영 방식에 따라 2D-국소 아키텍처 대비 256비트 ECC 키당 비용을 300~700배까지 줄임.
• 물리적 오차율이 10%일 경우, 6,000개의 모듈(각각 1,152개의 물리적 큐비트)을 사용해 매 10분마다 키를 생성할 수 있으며, Toffoli 게이트는 총 5,000만 개만 필요.
• 2D-국소 아키텍처는 유사한 논리 큐비트 수를 유지하나, 키당 38시간이 소요되고 더 큰 면적을 차지함.
• 병렬 모듈러 역산과 같은 알고리즘 최적화로 키당 Toffoli 게이트 수가 최대 5배까지 감소함.
• 광학 융합 기반 양자컴퓨터는 긴 지연선 덕분에 메모리 용량과 코드 사이클 길이가 두 배로 늘어나며, 더 많은 병렬 연산이 가능해짐.
• 2048비트 RSA 키 대비 활성체적 키당 자원 비용이 100~300배 낮아, ECC가 자원 비용 측면에서 양자 공격에 훨씬 더 취약함을 시사함.