[論文レビュー] Deutsch-Jozsa Algorithm Revisited in the Domain of Cryptographically Significant Boolean Functions

Subhamoy Maitra, Partha Mukhopadhyay|ArXiv.org|Oct 6, 2004

Coding theory and cryptography参考文献 10被引用数 4

ひとこと要約

この論文は、暗号的に重要なブール関数の非ゼロウォルシュスペクトル点を特定する問題が、関数がオракルとして与えられた場合、デュイッチ＝ジョーズァ量子アルゴリズムによって定数時間で解けることを示している。一方、最良の古典的手法では指数的時間が必要となる。主な貢献は、非線形性が高く、相関免疫を持つなど暗号分野で関連性の高い多数のブール関数クラスに対しても、この量子的優位性が成り立つことを示したことである。

ABSTRACT

Boolean functions are important building blocks in cryptography for their wide application in both stream and block cipher systems. For cryptanalysis of such systems one tries to find out linear functions that are correlated to the Boolean functions used in the crypto system. Let $f$ be an $n$-variable Boolean function and its Walsh spectra is denoted by $W_f(ω)$ at the point $ω\in \{0, 1\}^n$. The Boolean function is available in the form of an oracle. We like to find an $ω$ such that $W_f(ω) eq 0$ as this will provide one of the linear functions which are correlated to $f$. We show that the quantum algorithm proposed by Deutsch and Jozsa (1992) solves the above mentioned problem in constant time. However, the best known classical algorithm to solve this problem requires exponential time in $n$. We also analyse certain classes of cryptographically significant Boolean functions and highlight how the basic Deutsch-Jozsa algorithm performs on them.

研究の動機と目的

• 暗号システムにおける与えられたブール関数と相関する線形関数を特定する計算課題に対処すること。
• 量子モデルにおいて、デュイッチ＝ジョーズァアルゴリズムがこの問題に対して定数時間で解を提供することを示すこと。これは古典的手法が指数的時間が必要であるのとは対照的である。
• 非線形性や相関免疫が高く、特定のクラスの暗号的に重要なブール関数に対して、デュイッチ＝ジョーズァアルゴリズムの性能を分析すること。
• この結果が、特にBPPとBQPまたはEQPの相対的分離に関する量子計算複雑性理論に与える影響を検討すること。
• 古典的と量子的複雑性クラスの間のより強い分離を確立するのに役立つ、BQPに属する新たな問題クラスを同定すること。

提案手法

• 関数 $f$ が任意の入力 $x \in \{0,1\}^n$ に対して返す値を提供するオラクルを用いて、デュイッチ＝ジョーズァアルゴリズムを適用する。
• 関数が定数かバランス型かを特定することで、非ゼロウォルシュ係数 $W_f(\omega)$ の存在を推論する。
• この手法は、$W_f(\omega) \neq 0$ であれば、線形関数 $\omega \cdot x$ が $f$ と相関しているという事実に依存しており、これは線形暗号解析において不可欠である。
• 解析は、ある線形関数とのハミング距離が $1.17 \cdot 2^{n-3}$ 以下である関数クラス $\mathcal{L}_{n,\epsilon}$ に拡張される。これにより高い成功確率が保証される。
• 成功確率は関係式 $|W_f(\hat{\omega})| \geq 2^n - 2d(f, \hat{\omega} \cdot x)$ を用いて上限付けられ、少なくとも $\left(\frac{1}{\sqrt{2}} + \epsilon\right)^2 > \frac{1}{2} + \epsilon$ の成功確率が得られる。
• 関数 $\mathcal{L}_{n,\epsilon}$ に対して、$|W_f(\omega)|$ を最大化する $\omega$ を特定するようにアルゴリズムを変更し、この問題がBQPに属することを示した。

実験結果

リサーチクエスチョン

• RQ1 関数がオラクルとして与えられた場合、デュイッチ＝ジョーズァアルゴリズムを用いてブール関数の非ゼロウォルシュ係数を効率的に特定できるか。
• RQ2 非線形性や相関免疫が高いクラスのブール関数に対して、デュイッチ＝ジョーズァアルゴリズムの性能はいかが。
• RQ3 この設定で観察される量子的高速化は、BPPとBQPまたはEQPといった古典的複雑性クラスの相対的分離を示唆するか。
• RQ4 デュイッチ＝ジョーズァアルゴリズムが高確率で成功するブール関数クラスのサイズはどの程度か。
• RQ5 この手法は、量子クエリ複雑性を用いて、暗号解析に関連するブール関数の構造的性質を同定するために一般化可能か。

主な発見

• 量子オラクルモデル下で、デュイッチ＝ジョーズァアルゴリズムは、非ゼロウォルシュ係数を特定する問題を定数時間で解ける。一方、古典的手法では $O(2^n)$ 回のクエリが必要となる。
• ハミング距離が $2^{n-3}$ 以内の線形関数に近い関数からなるクラス $\mathcal{L}_n$ に対して、アルゴリズムの成功確率は $\frac{9}{16}$ 以上である。
• 距離上限が $1.17 \cdot 2^{n-3}$ の拡張クラス $\mathcal{L}_{n,\epsilon}$ に対しては、成功確率が $\frac{1}{2} + \epsilon$ を上回り、$\epsilon > 0$ である。
• $\mathcal{L}_{n,\epsilon}$ のサイズは $\mathcal{L}_n$ よりも厳密に大きいことから、アルゴリズムが有効に働く広範な関数クラスであることが示された。
• クラス $\mathcal{L}_{n,\epsilon}$ に属する関数について、$|W_f(\omega)|$ の最大値を求める問題が、オラクル $f$ に関してBQPに属することが示された。
• これらの結果から、この問題がBPPやPHといった古典的複雑性クラスの外にある可能性があり、BQPと古典的クラスの相対的分離を示す証明の候補となる。