[논문 리뷰] Shor's discrete logarithm quantum algorithm for elliptic curves

John Proos, Christof Zalka|ArXiv.org|2003. 01. 25.

Quantum Computing Algorithms and Architecture참고 문헌 19인용 수 17

한 줄 요약

이 논문은 GF(p)에서의 타원곡선 이산 로그 문제(ECDLP)를 해결하기 위한 최적화된 양자 알고리즘을 제시한다. Shor의 알고리즘을 활용하여 GF(p)에서의 모듈로 역수 계산을 위한 확장 유클리드 알고리즘을 효율적으로 구현한다. 160비트 타원곡선 암호 체계를 해독하는 데 약 1,000 큒빗만 필요하며, 이는 1,024비트 RSA 모듈러스를 인수분해하는 데 필요한 2,000 큓빗보다 훨씬 적다. 이는 ECDLP에 대한 양자 공격이 정수 인수분해보다 더 큰 양자 우월성을 보임을 시사한다.

ABSTRACT

We show in some detail how to implement Shor's efficient quantum algorithm for discrete logarithms for the particular case of elliptic curve groups. It turns out that for this problem a smaller quantum computer can solve problems further beyond current computing than for integer factorisation. A 160 bit elliptic curve cryptographic key could be broken on a quantum computer using around 1000 qubits while factoring the security-wise equivalent 1024 bit RSA modulus would require about 2000 qubits. In this paper we only consider elliptic curves over GF($p$) and not yet the equally important ones over GF($2^n$) or other finite fields. The main technical difficulty is to implement Euclid's gcd algorithm to compute multiplicative inverses modulo $p$. As the runtime of Euclid's algorithm depends on the input, one difficulty encountered is the ``quantum halting problem''.

연구 동기 및 목표

• GF(p)에서의 타원곡선 군에 대해 Shor의 이산 로그 양자 알고리즘을 적용하고, 이 설정에서 특수한 구현 과제를 해결한다.
• 모듈로 역수 계산을 위한 확장 유클리드 알고리즘의 최적화를 통해, 정수 인수분해와 비교해도 큓릿 요구량을 최소화한다.
• 유한한 나눗셈과 단계별 가역성을 통해 유클리드 알고리즘의 양자 정지 문제를 해결한다.
• 양자 공격이 RSA보다 더 작은 양자 컴퓨터로도 타당하게 구현 가능함을 보여주며, 이는 큓릿 및 게이트 수요의 감소 덕분이다.

제안 방법

• 알고리즘은 타원곡선 군에 적응된 Shor의 순서 찾기 프레임워크를 활용하며, GF(p)에서의 양자 푸리에 변환과 모듈로 산술을 사용한다.
• 입력 레지스터를 제거하기 위해 군 이동 연산을 재구성함으로써 큓릿 오버헤드를 줄인다.
• 주요 기여 중 하나는 확장 유클리드 알고리즘의 병렬 계산을 비동기화하여 변동하는 실행 시간을 관리하고 양자 정지 문제를 방지하는 것이다.
• 유한한 나눗셈과 레지스터 공유를 통해 공간 복잡도를 O(n) 큓릿으로 유지하면서도 O(n²) 실행 시간을 확보한다.
• 확장 유클리드 알고리즘에 조각별 가역성을 적용하여 불필요한 큓릿을 최소화하고 효율적인 양자 회로 설계를 가능하게 한다.
• 로그 기반 분석을 통해 유클리드 알고리즘의 단계 수를 제한함으로써 모든 입력에 대해 정확성과 효율성을 보장한다.

실험 결과

연구 질문

• RQ1 Shor의 이산 로그 알고리즘이 GF(p)에서의 타원곡선 군에 대해 효율적으로 구현 가능한가? 주요 기술적 과제는 무엇인가?
• RQ2 모듈로 역수 계산에 핵심적인 확장 유클리드 알고리즘은 실행 시간이 변동하는 양자 환경에서 어떻게 최소 큓릿 오버헤드로 구현할 수 있는가?
• RQ3 160비트 타원곡선 암호 체계를 양자 컴퓨터로 해독하는 데 필요한 큓릿 및 게이트 수는 1,024비트 RSA 모듈러스를 인수분해하는 데 필요한 수와 비교해 어떻게 되는가?
• RQ4 양자 정지 문제가 양자 회로에서 유클리드 알고리즘의 구현에 미치는 영향은 어느 정도이며, 이를 어떻게 완화할 수 있는가?
• RQ5 ECDLP를 위한 양자 알고리즘은 해당 인수분해 알고리즘보다 더 적은 큓릿을 요구하도록 최적화할 수 있으며, 그 정도는 어느 정도인가?

주요 결과

• 160비트 타원곡선 암호 체계는 약 1,000 큓릿으로 해독 가능하며, 이는 1,024비트 RSA 모듈러스를 인수분해하는 데 필요한 2,000 큓릿보다 훨씬 적다.
• ECDLP를 위한 양자 알고리즘은 O(n²) 실행 시간과 O(n) 공간 복잡도를 달성하며, 확장 유클리드 알고리즘이 주요 성능 저하 요인이다.
• 변동 길이의 유클리드 알고리즘 단계를 관리하기 위해 조각별 가역 연산과 유한한 나눗셈을 사용함으로써 양자 정지 문제를 피한다.
• 알고리즘의 성공 확률은 분석되었으며, 수렴에 필요한 사이클 수에 대한 엄밀한 하한이 제시되었다.
• 입력 레지스터를 제거하고 비동기화된 병렬 계산을 통해 레지스터 재사용을 통해 큓릿 수를 감소시켜 자원 효율성을 향상시켰다.
• 분석을 통해 알고리즘의 실행 시간과 공간 사용이 주어진 제약 조건 하에서 최적임을 증명하였으며, 유클리드 알고리즘의 단계 수에 대한 날카로운 하한이 확보되었다.