[논문 리뷰] Quantum Algorithms for Variants of Average-Case Lattice Problems via Filtering

Poremba, Alexander|arXiv (Cornell University)|2021. 08. 25.

Cryptography and Data Security참고 문헌 33인용 수 5

한 줄 요약

이 논문은 새로운 양자 필터링 기법을 사용하여 특정 변형된 단순 정수 해 문제(SIS), 오차가 있는 학습 문제(LWE), 그리고 확장된 이면 코스비 문제(EDCP)에 대해 다항시간 양자 알고리즘을 제시한다. 이 방법은 비표준 오차 분포를 가진 LWE 유사 양자 상태를 기반으로 LWE를 해결할 수 있게 하며, 다항식 크기의 모듈러스를 갖는 경우에 적용 가능하여 이전 결과를 확장하고 이러한 매개변수 영역에서 이전에 열려 있던 양자 복잡도 질문을 해결한다.

ABSTRACT

Quantum information has the property that measurement is an inherently destructive process. This feature is most apparent in the principle of complementarity, which states that mutually incompatible observables cannot be measured at the same time. Recent work by Broadbent and Islam (TCC 2020) builds on this aspect of quantum mechanics to realize a cryptographic notion called certified deletion. While this remarkable notion enables a classical verifier to be convinced that a (private-key) quantum ciphertext has been deleted by an untrusted party, it offers no additional layer of functionality. In this work, we augment the proof-of-deletion paradigm with fully homomorphic encryption (FHE). We construct the first fully homomorphic encryption scheme with certified deletion - an interactive protocol which enables an untrusted quantum server to compute on encrypted data and, if requested, to simultaneously prove data deletion to a client. Our scheme has the desirable property that verification of a deletion certificate is public; meaning anyone can verify that deletion has taken place. Our main technical ingredient is an interactive protocol by which a quantum prover can convince a classical verifier that a sample from the Learning with Errors (LWE) distribution in the form of a quantum state was deleted. As an application of our protocol, we construct a Dual-Regev public-key encryption scheme with certified deletion, which we then extend towards a (leveled) FHE scheme of the same type. We introduce the notion of Gaussian-collapsing hash functions - a special case of collapsing hash functions defined by Unruh (Eurocrypt 2016) - and we prove the security of our schemes under the assumption that the Ajtai hash function satisfies a certain strong Gaussian-collapsing property in the presence of leakage.

연구 동기 및 목표

• 비표준 매개변수 조건 하에서 이전에 해결되지 않은 SIS 및 LWE 변형 문제를 다항시간 양자 알고리즘으로 해결하여 평균적인 격자 문제에 대한 양자 알고리즘 간 격차를 메운다.
• SIS 및 EDCP에서 LWE로의 양자 감소 프레임워크를 확장하기 위해 LWE 유사 양자 상태가 주어졌을 때 효율적인 양자 알고리즘을 구성한다.
• 구조화된 오차 분포를 가진 노이지 양자 상태에서 유용한 정보를 추출할 수 있는 새로운 양자 필터링 기법을 개발한다.
• 특정 SIS 및 LWE 변형 문제에 대해 다항식 크기의 모듈러스와 유한한 오차 노름을 갖는 경우, 최악의 격자 문제만큼 어렵지 않다는 것이 알려지지 않은 상태에서도 양자적으로 해결 가능함을 보여준다.
• 이전의 EDCP에 대한 양자 알고리즘을 일반화하고 향상시켜 더 넓은 오차 분포 및 매개변수 영역을 다룰 수 있도록 한다.

제안 방법

• 비균일 오차 분포를 가진 LWE 유사 양자 상태에서 정보를 추출하기 위해 양자 필터링 기법을 도입한다.
• 필터링된 양자 상태에서 유도된 LWE 인스턴스를 해결하기 위해 Arora-Ge 알고리즘을 서브루틴으로 사용한다.
• SIS 및 EDCP에서 LWE로의 양자 감소를 활용하여 문제를 특정 양자 상태 입력을 가진 LWE 해결 문제로 환원한다.
• 양자 푸리에 변환(QFT) 및 상태 준비 기법을 적용하여 EDCP 상태를 LWE 유사 상태로 변환한다.
• 순환 행렬에 대한 그람-슈미트 수직분해를 사용하여 필터링된 상태의 노름을 유한하게 제한하고 성공 확률이 부족하지 않도록 보장한다.
• 체르노프 경계를 적용하여 측정 결과의 집중성을 보여주며, 필터링 과정에서 높은 확률로 성공을 보장한다.

실험 결과

연구 질문

• RQ1 모듈러스 q = poly(n), 무한대 노름 기준값 β = q/2 − 1, 그리고 매우 넓은 행렬(m = poly(n)) 조건 하에서 SIS∞ 문제를 다항시간에 해결할 수 있는가?
• RQ2 모듈러스가 다항식 크기이며, 오차 분포가 유한한 균일 분포 또는 라플라스 분포인 LWE 유사 양자 상태가 주어졌을 때 LWE 문제를 효율적으로 해결할 수 있는가?
• RQ3 오차 분포가 비균일하고 모듈러스가 다항식 크기일 경우, EDCP 문제를 양자 알고리즘으로 다항시간 내에 해결할 수 있는가?
• RQ4 제안된 양자 필터링 기법은 라이프스 문제의 성공 확률 및 매개변수 영역 커버리지 측면에서 기존 방법보다 뛰어나게 작용하는가?
• RQ5 SIS 및 EDCP에서 LWE로의 양자 감소는 비표준 매개변수 영역까지 얼마나 넓게 확장될 수 있는가?

주요 결과

• 모듈러스 q = poly(n), 무한대 노름 기준값 β = q/2 − 1, 그리고 매우 넓은 행렬(m = poly(n)) 조건 하에서 SIS∞에 대해 다항시간 양자 알고리즘을 제시하며, 이는 열려 있던 문제를 해결한다.
• 논문은 모듈러스가 다항식 크기이며 오차 분포가 유한한 균일 분포 또는 라플라스 분포인 LWE 유사 양자 상태가 주어졌을 때 LWE 문제를 해결하는 양자 알고리즘을 구성한다.
• EDCP의 경우, 일정한 상수 c에 대해 구간 [0, q−c)에서 균일 오차 분포를 가진 상태를 다루며, m = Ω((q−c)^3 · n^{c+1} · q · log q) 개의 샘플이 주어졌을 때 문제를 해결한다. 이는 이전 작업보다 향상된 결과이다.
• 필터링 과정에서 유용한 결과를 측정할 확률가 Ω(m · q / ((2B+1)^3 · 2^{2c}))로 표현되며, m가 충분히 크면 이 값은 부족하지 않다.
• 필터링된 샘플에 대해 Arora-Ge 알고리즘의 성공 확률이 m이 Ω((2B+1)^3 · n^{c+1} · q · log q)일 때 1−negl(n)으로 매우 높음을 보여준다.
• 필터링 후 그람-슈미트 수직분해된 상태의 노름은 √q / ((2B+1)^{1.5} · 2^{q−2B−1}) 이하로 제한되며, 이는 유용한 측정에 대한 비율이 부족하지 않음을 보장한다.