[논문 리뷰] Improved Classical and Quantum Algorithms for the Shortest Vector Problem via Bounded Distance Decoding

Divesh Aggarwal, Yanlin Chen외 2명|arXiv (Cornell University)|2020. 02. 19.

Cryptography and Data Security인용 수 4

한 줄 요약

이 논문은 짧은 벡터 문제(SVP)에 대한 개선된 고전적 및 양자 알고리즘을 제안하며, 부드러운 거리 복원(BDD)과 스무딩 매개변수 이상의 이산 가우시안 샘플링을 통한 새로운 시간-메모리 트레이드오프를 사용한다. 주요 기여는 QRAM을 사용할 경우 시간 복잡도 $2^{0.835n+o(n)}$에 수행되는 양자 알고리즘으로, 이는 이전의 $2^{n+o(n)}$ bound를 향상시킨다. 또한 고전적 알고리즘은 시간 복잡도 $2^{1.669n+o(n)}$에 $2^{0.5n+o(n)}$의 메모리 공간을 사용하며, 양자 및 고전적 알고리즘 모두 랜드스케이핑 수와 연관된 매개변수에 대한 정교한 분석을 기반으로 한다.

ABSTRACT

The most important computational problem on lattices is the Shortest Vector Problem (SVP). In this paper, we present new algorithms that improve the state-of-the-art for provable classical/quantum algorithms for SVP. We present the following results. $\bullet$ A new algorithm for SVP that provides a smooth tradeoff between time complexity and memory requirement. For any positive integer $4\leq q\leq \sqrt{n}$, our algorithm takes $q^{13n+o(n)}$ time and requires $poly(n)\cdot q^{16n/q^2}$ memory. This tradeoff which ranges from enumeration ($q=\sqrt{n}$) to sieving ($q$ constant), is a consequence of a new time-memory tradeoff for Discrete Gaussian sampling above the smoothing parameter. $\bullet$ A quantum algorithm for SVP that runs in time $2^{0.950n+o(n)}$ and requires $2^{0.5n+o(n)}$ classical memory and poly(n) qubits. In Quantum Random Access Memory (QRAM) model this algorithm takes only $2^{0.835n+o(n)}$ time and requires a QRAM of size $2^{0.293n+o(n)}$, poly(n) qubits and $2^{0.5n}$ classical space. This improves over the previously fastest classical (which is also the fastest quantum) algorithm due to [ADRS15] that has a time and space complexity $2^{n+o(n)}$. $\bullet$ A classical algorithm for SVP that runs in time $2^{1.669n+o(n)}$ time and $2^{0.5n+o(n)}$ space. This improves over an algorithm of [CCL18] that has the same space complexity. The time complexity of our classical and quantum algorithms are obtained using a known upper bound on a quantity related to the lattice kissing number which is $2^{0.402n}$. We conjecture that for most lattices this quantity is a $2^{o(n)}$. Assuming that this is the case, our classical algorithm runs in time $2^{1.292n+o(n)}$, our quantum algorithm runs in time $2^{0.750n+o(n)}$ and our quantum algorithm in QRAM model runs in time $2^{0.667n+o(n)}$.

연구 동기 및 목표

• 격자에서 단일 벡터 문제(SVP)를 증명 가능하게 해결하기 위한 최신의 시간 및 메모리 복잡도를 향상시키는 것.
• 스무딩 매개변수 이상의 이산 가우시안 샘플링을 통해 SVP의 정렬과 시빙 사이에 부드러운 시간-메모리 트레이드오프를 수립하는 것.
• 양자 속도 향상과 QRAM을 활용하여 시간 복잡도 측면에서 기존 최고의 고전적 알고리즘을 능가하는 SVP를 위한 양자 알고리즘을 개발하는 것.
• SVP로의 감소를 통해 격자 이sov머피즘 문제(ZLIP)로 결과를 확장하여 ZLIP에 대한 증명 가능한 양자 알고리즘을 제공하는 것.

제안 방법

• 스무딩 매개변수 이상의 이산 가우시안 샘플링을 위한 새로운 시간-메모리 트레이드오프를 도입하며, $q \in [4, \sqrt{n}]$로 매개변수화되어 정렬($q = \sqrt{n}$)과 시빙($q$가 상수) 사이의 연속적인 스케일링을 가능하게 한다.
• 매개변수 $\alpha$를 가진 경계 거리 복원(BDD) 오라클을 사용하여 격자 벡터를 샘플링하며, $\alpha$는 복원 반경과 오라클 쿼리 비용 및 쿼리 수 사이의 트레이드오프를 제어한다.
• 랜드스케이핑 수와 관련된 양적 수량 $\beta(L)$에 대한 정교한 분석을 적용하며, 이는 $2^{0.402n}$ 이하로 제한되며, 대부분의 격자에 대해 $\beta(L) = 2^{o(n)}$라는 가설을 제기하여 개선된 渐近적 bound를 도출한다.
• 양자 속도 향상과 QRAM 액세스를 통해 QRAM 모델에서 오라클의 시간 복잡도를 $2^{An/2}$에서 $2^{An/4}$로 감소시킨다.
• 차원 $n/2 + 1$에서 ZLIP 문제를 SVP로 감소시켜 SVP 알고리즘을 ZLIP에 직접 적용할 수 있도록 한다.
• 두 개의 지수적 항의 최대값을 최소화하는 함수 $c(b, \nu, \xi)$를 사용하여 시간 복잡도 표현식을 유도하며, $b = \log_2 \beta(L)$이며 $\alpha$는 수치적으로 최적화된다.

실험 결과

연구 질문

• RQ1 스무딩 매개변수 이상의 이산 가우시안 샘플링을 통해 SVP의 정렬과 시빙 사이에 부드러운 시간-메모리 트레이드오프를 달성할 수 있는가?
• RQ2 양자 및 고전적 SVP 알고리즘에서 시간과 메모리 사이의 최적 트레이드오프는 무엇이며, 이는 랜드스케이핑 수에 어떻게 의존하는가?
• RQ3 QRAM 모델에서 SVP를 위한 양자 알고리즘이 지수적 시간 복잡도 이하로 수행될 수 있으며, QRAM 액세스는 트레이드오프에 어떤 영향을 미치는가?
• RQ4 향상된 SVP 알고리즘은 어떻게 임의의 격자 $\mathbb{Z}^n$에 대해 격자 이sov머피즘 문제(ZLIP)를 해결하는 데 적용될 수 있는가?
• RQ5 대부분의 격자에 대해 $\beta(L) = 2^{o(n)}$라는 가설 하에, 고전적 및 양자 SVP 알고리즘의 渐近적 시간 복잡도는 무엇인가?

주요 결과

• 제안된 고전적 SVP 알고리즘은 시간 복잡도 $2^{1.669n+o(n)}$에 $2^{0.5n+o(n)}$의 고전적 메모리 공간을 사용하며, 이는 이전의 $2^{n+o(n)}$ bound를 향상시킨다.
• SVP를 위한 양자 알고리즘은 $2^{0.5n+o(n)}$의 고전적 메모리 공간과 다항식 수준의 큐비트를 사용하여 시간 복잡도 $2^{0.950n+o(n)}$에 수행되며, 이는 이전의 $2^{n+o(n)}$ bound를 향상시킨다.
• QRAM 모델에서는 양자 알고리즘이 $2^{0.835n+o(n)}$의 시간 복잡도를 달성하며, QRAM 크기 $2^{0.293n+o(n)}$, 다항식 수준의 큐비트, $2^{0.5n}$의 고전적 공간을 필요로 한다.
• 가설 $\beta(L) = 2^{o(n)}$ 하에, 고전적 알고리즘은 $2^{1.292n+o(n)}$의 시간 복잡도로 수행되며, 양자 알고리즘은 $2^{0.750n+o(n)}$의 시간 복잡도로 수행되며, QRAM 기반 양자 알고리즘은 $2^{0.667n+o(n)}$의 시간 복잡도로 수행된다.
• 이 알고리즘은 ZLIP 문제에 적용되어, QRAM 크기 $2^{0.147n+o(n)}$, 다항식 수준의 큐비트, $2^{0.25n}$의 고전적 공간을 사용하여 시간 복잡도 $2^{0.417n+o(n)}$에 ZLIP를 해결하는 증명 가능한 양자 알고리즘을 도출한다.
• 시간 복잡도는 $\alpha \in [1/3, 1/2)$ 범위에서의 함수 최적화를 통해 유도되며, 이는 사전 처리 비용과 오라클 쿼리 비용을 조합한 함수의 최소화를 포함하며, 최적의 $\alpha$는 수치적으로 구해진다.