[논문 리뷰] On the success probability of the quantum algorithm for the short DLP

Martin Ekerå|arXiv (Cornell University)|2023. 09. 04.

Quantum Computing Algorithms and ArchitectureComputer Science인용 수 3

한 줄 요약

이 논문은 순서가 알려지지 않은 군에서 짧은 이산 로그 문제(DLP)를 해결하기 위한 Ekerå–Håstad의 양자 알고리즘의 성공 확률에 대해 날카로운 하한을 증명한다. 만남의 중간 기법을 사용한 고전적 후처리 최적화를 통해, 성공 확률이 $1 - 10^{-10}$를 초과하는 것은 단지 $3m$개의 양자 군 연산으로도 달성 가능하며, 이는 안전 소수 군에서의 디피-헬먼 및 RSA의 암호 분석에 대해 실용적인 알고리즘이 되게 한다.

ABSTRACT

Ekerå and Håstad have introduced a variation of Shor's algorithm for the discrete logarithm problem (DLP). Unlike Shor's original algorithm, Ekerå-Håstad's algorithm solves the short DLP in groups of unknown order. In this work, we prove a lower bound on the probability of Ekerå-Håstad's algorithm recovering the short logarithm $d$ in a single run. By our bound, the success probability can easily be pushed as high as $1 - 10^{-10}$ for any short $d$. A key to achieving such a high success probability is to efficiently perform a limited search in the classical post-processing by leveraging meet-in-the-middle techniques. Asymptotically, in the limit as the bit length $m$ of $d$ tends to infinity, the success probability tends to one if the limits on the search space are parameterized in $m$. Our results are directly applicable to Diffie-Hellman in safe-prime groups with short exponents, and to RSA via a reduction from the RSA integer factoring problem (IFP) to the short DLP.

연구 동기 및 목표

• Ekerå–Håstad의 짧은 DLP에 대한 양자 알고리즘의 단일 실행에서 성공 확률에 대한 엄밀한 하한을 설정하기 위해.
• 만남의 중간 기법을 사용하여 고전적 후처리를 효율적이고 실용적으로 만들 수 있음을 보여주기 위해.
• 이산 로그의 비트 길이 $m$에 대해 양자 연산 수를 $3m$로 제한하면서도 성공 확률을 $1 - 10^{-10}$으로 끌어올릴 수 있음을 보여주기 위해.
• 기존의 환원을 통해 실제 암호 시스템인 RSA 및 안전 소수 군에서의 디피-헬먼에 대한 알고리즘의 적용 범위를 확장하기 위해.
• 후처리 복잡도가 $m$에 대해 다항식적으로 증가할 경우 성공 확률이 $m \to \infty$일 때 1으로 수렴함을 보장하는 渐近적 보장을 제공하기 위해.

제안 방법

• 양자 측정 결과의 확률 분포를 분석하여 Ekerå–Håstad 알고리즘의 성공 확률에 하한을 유도한다.
• 제한된 매개변수 범위 내에서 후보 해를 효율적으로 탐색하기 위해 고전적 후처리에 만남의 중간 전략을 도입한다.
• 격자 기반 분석과 유효한 $(j,k)$ 쌍의 수에 대한 경계를 사용하여 유용한 측정 결과를 관측할 확률을 추정한다.
• 레마 1과 2의 조합을 적용하여 성공 확률에 대한 복합 하한을 유도하며, 두 개의 유도된 하한 중 최댓값을 취함으로써 강건성을 확보한다.
• 성공 확률와 고전적 후처리 복잡도 간의 균형을 맞추기 위해 검색 공간을 $\Delta$, $t$, $\tau$로 매개변수화한다.
• 적절한 매개변수 선택이 가능할 경우 후처리 복잡도가 $O(\text{poly}(m))$로 유지되어 일반 컴퓨터에서의 실용적 가능성을 보여준다.

실험 결과

연구 질문

• RQ1 Ekerå–Håstad의 양자 알고리즘이 짧은 DLP를 단일 실행에서 해결할 때의 최소 성공 확률은 얼마인가?
• RQ2 고전적 후처리를 최적화하여 실세계의 매개변수 크기에서 알고리즘이 실용적이게 만들 수 있는가?
• RQ3 성공 확률을 $1 - 10^{-10}$으로 끌어올리면서도 양자 연산 수를 $3m$로 유지하기 위해 어떤 매개변수 조합이 필요한가?
• RQ4 이산 로그의 비트 길이 $m$이 무한대에 접근함에 따라 성공 확률은 어떻게 행동하는가?
• RQ5 분석에 손상을 주지 않으면서 $r \geq 2^{m+\ell} + (2^\ell - 1)d$라는 가정을 얼마나 완화할 수 있는가?

주요 결과

• 최적의 매개변수 선택을 통해, Ekerå–Håstad 알고리즘의 단일 실행에서의 성공 확률은 $1 - 10^{-10}$으로 낮추어질 수 있다.
• 만남의 중간 기법을 고전적 후처리에 적용함으로써, $m$이 크더라도 알고리즘이 실용적으로 유지되며, 후처리 복잡도는 $O(\text{poly}(m))$로 제한된다.
• 모든 짧은 $d$에 대해, 최대 $3m$개의 양자 군 연산을 수행할 경우 성공 확률이 99%를 초과한다. 이는 [5]에서의 이전 시뮬레이션 기반 분석의 성능과 일치한다.
• $\Delta = 0$일 경우, 표준 하드웨어에서 실현 가능한 고전적 후처리를 통해 성공 확률을 $1 - 10^{-10}$으로 끌어올릴 수 있다.
• 점점 무한대에 가까워질 때, $\Delta$, $t$, $\tau$를 $m$에 대해 다항식적으로 증가시키는 방식으로 선택할 경우 성공 확률은 1로 수렴한다.
• RSA 정수 분해에서 짧은 DLP로의 환원은 그대로 유지되며, 새로운 경계는 RSA 암호 분석에서 성공 확률에 대한 개선된 추정치를 가능하게 한다.