[논문 리뷰] Quantum resource estimates for computing elliptic curve discrete logarithms

Martin Roetteler, Michael Naehrig외 2명|arXiv (Cornell University)|2017. 06. 21.

Quantum Computing Algorithms and Architecture인용 수 4

한 줄 요약

이 논문은 이산 로그 문제를 푸는 데 사용되는 양자 회로를 기반으로, 타원 곡선 이산 로그 문제(ECDLP)를 해결하기 위한 정밀한 양자 자원 추정치를 제공한다. 논문은 LIQUi|⟩에서 제어된 타원 곡선 점 덧셈을 구현하고 시뮬레이션하여, n비트 소수 필드에서 ECDLP를 해결하는 데 최대 9n + 2⌈log₂(n)⌉ + 10 큐비트와 448n³ log₂(n) + 4090n³ Toffoli 게이트가 필요하다고 확인한다. 이는 동일한 고전적 보안 수준에서 RSA보다 ECC가 양자 공격에 더 실현 가능하다는 것을 뒷받침한다.

ABSTRACT

We give precise quantum resource estimates for Shor's algorithm to compute discrete logarithms on elliptic curves over prime fields. The estimates are derived from a simulation of a Toffoli gate network for controlled elliptic curve point addition, implemented within the framework of the quantum computing software tool suite LIQ$Ui|\ angle$. We determine circuit implementations for reversible modular arithmetic, including modular addition, multiplication and inversion, as well as reversible elliptic curve point addition. We conclude that elliptic curve discrete logarithms on an elliptic curve defined over an $n$-bit prime field can be computed on a quantum computer with at most $9n + 2\\lceil\\log_2(n)\ ceil+10$ qubits using a quantum circuit of at most $448 n^3 \\log_2(n) + 4090 n^3$ Toffoli gates. We are able to classically simulate the Toffoli networks corresponding to the controlled elliptic curve point addition as the core piece of Shor's algorithm for the NIST standard curves P-192, P-224, P-256, P-384 and P-521. Our approach allows gate-level comparisons to recent resource estimates for Shor's factoring algorithm. The results also support estimates given earlier by Proos and Zalka and indicate that, for current parameters at comparable classical security levels, the number of qubits required to tackle elliptic curves is less than for attacking RSA, suggesting that indeed ECC is an easier target than RSA.

연구 동기 및 목표

• Shor의 알고리즘을 사용하여 타원 곡선 이산 로그 문제(ECDLP)를 해결하기 위한 정확한 게이트 수준의 양자 자원 추정치를 제공하는 것.
• LIQUi|⟩ 프레임워크 내에서 모듈로 산술 및 타원 곡선 점 덧셈을 위한 가역 양자 회로를 구현하고 시뮬레이션하는 것.
• 동일한 고전적 보안 수준에서 ECDLP의 양자 자원 요구사항을 RSA 인수 분해의 요구사항과 비교하는 것.
• 표준 NIST 곡선에 대해 핵심 구성 요소인 Shor의 알고리즘을 고전적 기계에서 시뮬레이션할 수 있는지 검증하는 것.

제안 방법

• 저자들은 큐비트 사용을 최소화하기 위해 이진 GCD 알고리즘을 사용하여 모듈로 덧셈, 곱셈, 역산을 위한 가역 양자 회로를 개발하였다.
• Toffoli 및 CNOT 게이트를 사용하여 LIQUi|⟩ 양자 소프트웨어 스택 내에서 제어된 타원 곡선 점 덧셈을 구현하여 Shor의 알고리즘의 핵심 구성 요소로 활용하였다.
• 회로는 컴파일되어 고전적으로 시뮬레이션되었으며, 최대 521비트 곡선까지의 정확성 검증과 자원 추정이 가능했다.
• 고전적 가역 회로 시뮬레이션을 활용하여 P-192, P-224, P-256, P-384 및 P-521 곡선에 대한 Toffoli 네트워크의 정확성을 검증하였다.
• 자원 수는 모든 산술 및 점 덧셈 구성 요소의 Toffoli 게이트 수와 큐비트 할당량에서 유도되었다.
• 분석에는 프로오스와 자لك의 이론적 추정치와의 비교가 포함되었으며, 구현 선택 사항과 레지스터 공유 최적화의 부재로 인한 차이점을 강조하였다.

실험 결과

연구 질문

• RQ1 소수 필드 위의 타원 곡선에서 ECDLP를 해결하기 위해 Shor의 알고리즘을 구현하기 위해 필요한 정확한 큐비트 수와 Toffoli 게이트 수는 얼마인가?
• RQ2 동일한 고전적 보안 수준에서 ECDLP의 양자 자원 요구사항은 RSA 인수 분해의 요구사항과 어떻게 비교되는가?
• RQ3 표준 NIST 곡선에 대해 타원 곡선 점 덧셈의 핵심 가역 회로는 고전적으로 시뮬레이션할 수 있는가?
• RQ4 이진 GCD를 유클리드 알고리즘 대신 사용하는 등의 구현 선택 사항이 큐비트 수와 게이트 수에 어떤 영향을 미치는가?
• RQ5 레지스터 공유 최적화는 가역 모듈로 역산에서 큐비트 오버헤드를 줄일 수 있으며, 왜 이 구현에서는 완전히 실현되지 않았는가?

주요 결과

• ECDLP를 위한 양자 회로는 n비트 소수 필드에서 최대 9n + 2⌈log₂(n)⌉ + 10 큐비트와 448n³ log₂(n) + 4090n³ Toffoli 게이트가 필요하다.
• 저자들은 P-521 포함 모든 NIST 표준 곡선에 대해 제어된 타원 곡선 점 덧셈의 Toffoli 네트워크를 고전적으로 시뮬레이션하는 데 성공하였다.
• 자원 추정치는 동일한 고전적 보안 수준에서 RSA보다 ECC를 해킹하는 것이 양자 컴퓨터에서 더 실현 가능하다는 것을 확인한다.
• 모듈로 역산의 구현에서 레지스터 공유 최적화가 없어, 프로오스와 자لك의 이론적 추정치를 초과하는 큐비트 수가 발생한다.
• 확장된 이진 GCD의 각 라운드에서 하나의 가비지 비트가 생성되어 복원(uncomputation)을 위해 추가 큐비트가 필요하며, 이는 큐비트 효율성을 제한한다.
• 결과는 작은 키 크기일지라도 ECC가 RSA보다 양자 암호 분석의 더 실용적인 대상임을 뒷받침한다.