[논문 리뷰] Improved quantum circuits for elliptic curve discrete logarithms

Thomas Häner, Samuel Jaques외 3명|arXiv (Cornell University)|2020. 01. 27.

Cryptography and Residue Arithmetic인용 수 1

한 줄 요약

이 논문은 셔의 알고리즘에서 타원 곡선 스칼라 곱셈을 위한 최적화된 양자 회로를 제시한다. 윈도잉 기법, 적응형 재계산 방지, 이진 유클리드 알고리즘을 활용한 재구성된 모듈로 역행렬 계산을 사용한다. 이로 인해 T-게이트 수는 최대 119배, T-depth는 최대 54배 감소하였으며, 256비트 곡선에서 논리적 큐비트 수는 2338에서 2124로 감소하였다. Q#로 완전히 구현된 구현을 통해 자동 자원 추정과 단위 테스트가 가능해졌다.

ABSTRACT

We present improved quantum circuits for elliptic curve scalar multiplication, the most costly component in Shor's algorithm to compute discrete logarithms in elliptic curve groups. We optimize low-level components such as reversible integer and modular arithmetic through windowing techniques and more adaptive placement of uncomputing steps, and improve over previous quantum circuits for modular inversion by reformulating the binary Euclidean algorithm. Overall, we obtain an affine Weierstrass point addition circuit that has lower depth and uses fewer $T$ gates than previous circuits. While previous work mostly focuses on minimizing the total number of qubits, we present various trade-offs between different cost metrics including the number of qubits, circuit depth and $T$-gate count. Finally, we provide a full implementation of point addition in the Q# quantum programming language that allows unit tests and automatic quantum resource estimation for all components.

연구 동기 및 목표

• 셔의 알고리즘을 사용한 타원 곡선 이산 로그 계산의 양자 자원 비용을 줄이기 위해.
• 큐비트 수, T-게이트 수, 회로 깊이 등의 주요 지표를 최소화하는 데 있어 이전 연구(Roetteler 등, RNSL)를 초월하기 위해.
• 타원 곡선 산술을 위한 양자 회로 설계에서 다양한 비용 지표 간의 트레이드오프를 탐색하기 위해.
• Q# 양자 프로그래밍 언어를 사용해 모듈식이며, 테스트 가능하고 자동 자원 추정이 가능한 구현를 제공하기 위해.

제안 방법

• Gidney와 Ekerå의 영감을 얻어 윈도잉 기법을 적용하여 스칼라 곱셈에서의 점 덧셈 횟수를 줄였다.
• 이진 확장 유클리드 알고리즘을 재구성하여 모듈로 역행렬 회로를 최적화하고, T-게이트 수와 깊이 비용을 감소시켰다.
• 재계산을 방지하고 메모리 효율성을 향상시키기 위해 적응형 재계산 및 페블링 전략을 사용하였다.
• 모든 구성 요소를 Q#로 구현하여 단위 테스트와 Q# 툴체인을 통한 자동 양자 자원 추정이 가능하게 하였다.
• 자동 컴파일 기법을 적용하여 T-depth와 T-게이트 수를 추가로 최적화하고, 큐비트 사용량 증가를 감수하면서도 저비용 회로를 달성하였다.
• 다양한 NIST 곡선(P256, P384, P521)에 대해 작은 윈도우 크기에서의 추정 데이터를 외삽하여 광범위한 자원 추정을 수행하였다.

실험 결과

연구 질문

• RQ1 윈도잉 기법은 셔의 알고리즘에서 타원 곡선 점 덧셈의 T-게이트 수와 T-depth 비용을 상당히 줄일 수 있는가?
• RQ2 적응형 재계산 및 페블링 전략은 표준 벤넷 스타일 재계산에 비해 양자 회로 효율성을 얼마나 향상시키는가?
• RQ3 자동 컴파일 도구는 큐비트 폭 증가를 감수하면서 T-depth와 T-게이트 수를 얼마나 줄일 수 있는가?
• RQ4 최적화된 양자 회로에서 T-게이트 수, T-depth, 큐비트 폭의 渐近적 스케일링 행동은 어떠한가?
• RQ5 다양한 타원 곡선 파rameter에 대해 새로운 회로는 RNSL 대비 모든 주요 자원 지표에서 어떻게 비교되는가?

주요 결과

• 256비트 타원 곡선에 대해 새로운 회로는 논리적 큐비트 수를 2338에서 2124로 줄였고, RNSL 대비 T-게이트 수는 119배 감소하였으며, T-depth는 54배 감소하였다.
• 낮은 T-게이트 수를 달성하기 위한 최적화된 회로는 점차적 T-게이트 수로 1115n³/lg n + o(n³/lg n)개, 점차적 T-depth로 389n³/lg n − 1.70×2²²를 기록하였다.
• 낮은 깊이 회로는 오직 저폭 변형 대비 22% 증가한 큐비트 폭으로 285n² − 1.54×2¹⁷ T-depth를 달성하였다.
• 521비트 모듈러스에 대해 깊이 최적화된 회로는 RNSL 대비 깊이를 13,792배 감소시키고 T-게이트 수를 463배 감소시켰다.
• Q#로 완전히 구현된 구현은 단위 테스트와 자동 자원 추정을 지원하여 재현 가능성과 구성 요소 수준의 검증을 가능하게 하였다.
• 외삽 분석 결과, RSA-3072를 해독하기 위해 234개의 T-게이트와 9287개의 논리적 큐비트가 필요할 것으로 예상되며, 이는 유사한 고전적 보안 수준에서 양자 공격에 대해 ECC가 RSA보다 덜 안전하다는 것을 시사한다.