[논문 리뷰] Quantum Algorithm for Optimization and Polynomial System Solving over Finite Field and Application to Cryptanalysis

Yu-Ao Chen, Xiao-Shan Gao외 1명|arXiv (Cornell University)|2018. 02. 12.

Coding theory and cryptography참고 문헌 25인용 수 4

한 줄 요약

이 논문은 유한체 위의 다항식 체계와 변수가 유계인 정수 최적화 문제를 해결하기 위한 다항시간 양자 알고리즘을 제시하며, 문제의 조건수(condition number)가 작을 경우 지수적 속도 향상을 달성한다. 핵심 기여는 NTRU 및 SIS와 같은 래티스 기반 양자 이후 암호시스템이 그 관련 방정식 체계의 조건수가 크기만 하다면 안전하다는 것을 보여주며, 이 매개변수를 새로운 보안 기준으로 삼을 수 있음을 시사한다.

ABSTRACT

In this paper, we give quantum algorithms for two fundamental computation problems: solving polynomial systems over finite fields and optimization where the arguments of the objective function and constraints take values from a finite field or a bounded interval of integers. The quantum algorithms can solve these problems with any given success probability and have polynomial runtime complexities in the size of the input, the degree of the inequality constraints, and the condition number of certain matrices derived from the problem. So, we achieved exponential speedup for these problems when their condition numbers are small. As applications, quantum algorithms are given to three basic computational problems in cryptography: the polynomial system with noise problem, the short integer solution problem, the shortest vector problem, as well as the cryptanalysis for the lattice based NTRU cryptosystem. It is shown that these problems and NTRU can against quantum computer attacks only if their condition numbers are large, so the condition number could be used as a new criterion for the lattice based post-quantum cryptosystems.

연구 동기 및 목표

• 유한체 위의 다항식 체계와 유계 정수 최적화 문제를 효율적으로 해결하기 위한 양자 알고리즘 개발.
• 이러한 문제들에 대한 양자 속도 향상의 결정적 요인인 조건수의 역할 분석.
• PSWN, SIS, SVP 및 NTRU 암호 분석과 같은 암호학적 기초 문제들에 알고리즘 적용.
• 래티스 기반 양자 이후 암호시스템의 보안을 위한 조건수의 새로운 기준으로서의 정립.
• NTRU에 대한 양자 공격이 조건수가 작을 경우에만 가능함을 입증하며, 이는 큰 조건수가 보안에 필수적임을 시사한다.

제안 방법

• 최적화 문제의 등식 및 부등식 제약 조건을 복소수 위의 부울 다항식 체계로 환원하여 B-POSSO(ℂ 위의 부울 다항식 체계 해법) 문제로 변환.
• 이전 연구에서 제안된 양자 알고리즘 [12]을 사용하여 최종 B-POSSO 문제를 해결하며, 확률 증폭 및 양자 상태 준비 기법을 활용.
• 변수를 이진 문자열로 표현하고, 부울 변수를 사용한 다항식 방정식으로 제약 조건을 인코딩하여 복소수 위에서의 양자 계산 가능하게 구현.
• 시스템에서 유도된 행렬의 스펙트럼 성질에 기반하여 문제의 조건수 κ를 정의하며, 이는 런타임 복잡도를 결정한다.
• 유한체 또는 정수 위에서 최적화 또는 체계 해법 문제로 재구성함으로써 특정 암호 문제에 알고리즘 적용.
• NTRU에서 비밀 키의 차수를 최소화하기 위해 목적 함수를 활용하여 문제를 조건수 κ가 유계인 B-POSSO 인스턴스로 환원.

실험 결과

연구 질문

• RQ1 양자 알고리즘이 다항식 체계를 유한체 위에서 다항시간 내에 해결할 수 있는가?
• RQ2 제안된 양자 알고리즘이 고전적 방법에 비해 언제 지수적 속도 향상을 달성하는가?
• RQ3 체계의 조건수가 다항식 체계 및 최적화 문제의 양자 복잡도에 어떤 영향을 미치는가?
• RQ4 제안된 양자 알고리즘이 널리 쓰이는 래티스 기반 암호시스템인 NTRU를 해독할 수 있으며, 그 조건은 무엇인가?
• RQ5 조건수는 래티스 문제에 기반한 양자 이후 암호시스템의 신뢰할 수 있는 새로운 보안 기준이 될 수 있는가?

주요 결과

• 양자 알고리즘은 성공 확률 최소 1−ε로 시간 Õ(T_F^{3.5} D^{3.5} m^{5.5} log^{4.5}p κ² log(1/ε)) 내에 다항식 체계를 해결하며, 여기서 T_F는 총 흐문성(sparseness), D는 차수 관련 매개변수, κ는 조건수이다.
• 유한체 및 유계 정수 위의 최적화 문제에 대해 알고리즘은 입력 크기, 제약 조건 차수, 조건수 κ에 대해 다항식 런타임 복잡도를 달성하며, κ가 작을 경우 지수적 속도 향상 가능.
• 노이즈가 있는 다항식 체계(PSWN) 문제에 대한 양자 알고리즘 복잡도는 Õ(n^{3.5} T_F^{3.5} log^8 p κ²)이며, 조건수가 작을 경우 실현 가능함을 보여준다.
• NTRU에 대한 양자 공격 복잡도는 Õ(N^{4.5} log^{4.5}q κ² log(1/ε))이며, 구체적 추정치로는 (N,p,q)=(107,3,64)일 때 2^{45}κ²로 나타나 조건수가 크기만 하다면 실현 가능함을 시사한다.
• 논문은 NTRU 및 SIS를 포함한 래티스 기반 양자 이후 암호시스템이 그 관련 방정식 체계의 조건수가 크기만 하다면 양자 공격에 대해 안전하다고 규명한다.
• 조건수는 기존의 최악의 경우 난이도 가정 등을 대체하거나 보완하는 새로운 보안 기준으로 제안된다.