[논문 리뷰] The Structure of Promises in Quantum Speedups

Ben-David, Shalev|arXiv (Cornell University)|2016. 01. 01.

Quantum Computing Algorithms and Architecture참고 문헌 20인용 수 7

한 줄 요약

1995년 페터 쇼어가 작성한 이 논문은 양자 푸리에 변환과 위상 추정을 사용하여 소인수 분해와 이산 로그 문제에 대한 다항시간 양자 알고리즘을 제시하며, 양자 컴퓨터가 고전적으로 해결하기 어려운 문제를 다항시간에 해결할 수 있음을 보여주어 RSA 및 디피-헬먼과 같은 널리 사용되는 공개키 암호 체계의 보안을 뒤흔든다.

ABSTRACT

In 1998, Beals, Buhrman, Cleve, Mosca, and de Wolf showed that no super-polynomial quantum speedup is possible in the query complexity setting unless there is a promise on the input. We examine several types of "unstructured" promises, and show that they also are not compatible with super-polynomial quantum speedups. We conclude that such speedups are only possible when the input is known to have some structure. Specifically, we show that there is a polynomial relationship of degree 18 between D(f) and Q(f) for any Boolean function f defined on permutations (elements of [n]^n in which each alphabet element occurs exactly once). More generally, this holds for all f defined on orbits of the symmetric group action (which acts on an element of [M]^n by permuting its entries). We also show that any Boolean function f defined on a "symmetric" subset of the Boolean hypercube has a polynomial relationship between R(f) and Q(f) - although in that setting, D(f) may be exponentially larger.

연구 동기 및 목표

• 고전적으로 어려운 문제—특히 정수의 소인수 분해와 이산 로그 문제—를 다항시간에 효율적으로 해결할 수 있음을 보여주기 위해.
• 양자역학이 고전적인 튜링 기계를 초월한 계산 능력을 가능하게 할 수 있음을 보여줌으로써 고전적 셰르치의 논제를 도전하기 위해.
• 양자 위상 추정과 푸리에 변환을 사용하여 큰 정수의 소인수 분해 및 이산 로그 계산을 위한 구체적이고 실용적인 양자 알고리즘을 제공하기 위해.
• 소인수 분해 및 이산 로그 문제의 난이도에 기반한 널리 배포된 공개키 암호 체계가 양자 공격에 취약함을 보여줌으로써 양자 암호 분석의 이론적 기초를 마련하기 위해.

제안 방법

• 소인수 분해 및 이산 로그 문제의 핵심이 되는 함수 f(x) = a^x mod N 의 주기를 추정하기 위해 양자 푸리에 변환(QFT)을 활용한다.
• 양자 레지스터에 위상 추정을 적용하여 O(log N) 큐비트를 사용해 함수 f(x) = a^x mod N 의 주기 r 을 높은 확률로 추출한다.
• 주기 r 을 이용해 N 을 분해하며, r 이 짝수이고 a^{r/2} ≠ ±1 mod N 라면 gcd(a^{r/2} - 1, N) 을 계산함으로써 곱셈 순서의 성질을 활용한다.
• 함수를 수정하고 위상 추정을 적용함으로써 주기 찾기 프레임워크를 동일하게 적용하여 이산 로그를 계산한다. 이는 g^x ≡ h mod p 에서 지수 b 를 구하는 문제를 해결한다.
• 유용한 주기 r 을 확보하기 위해 랜덤 기반 a 에 대한 샘플링 전략을 사용하며, 성공 확률은 각 시도에서 1/(40q) 이상으로 하한이 설정된다.
• 소수 거듭제곱 모듈로에서의 해를 조합하고 주기 정보를 활용하여 이산 로그를 재구성하기 위해 중국인의 나머지 정리를 사용한다.

실험 결과

연구 질문

• RQ1 양자 컴퓨터는 정수의 소인수 분해 문제를 다항시간에 해결할 수 있는가?
• RQ2 양자 컴퓨터는 이산 로그 문제를 효율적으로 계산할 수 있으며, 만약 그렇다면 입력 크기와 함께 알고리즘의 스케일링은 어떻게 되는가?
• RQ3 양자역학은 강력한 셰르치의 논제가 제안한 바와 같이, 고전적 튜링 기계를 초월한 계산 능력을 가능하게 하는가?
• RQ4 정밀도와 붕괴가 대규모 양자 계산의 실용적 문제 해결 가능성에 미치는 역할은 무엇인가?
• RQ5 만약 양자 컴퓨터가 소인수 분해와 이산 로그 문제를 효율적으로 해결할 수 있다면, NP-완전 문제에 대한 더 넓은 함의는 무엇인가?

주요 결과

• 정수의 소인수 분해를 위한 양자 알고리즘은 N 이 분해할 숫자일 때 O((log N)^3) 단계의 다항시간에 실행되며, 이는 가장 잘 알려진 고전적 알고리즘보다 지수적으로 빠르다.
• 유한체에서의 이산 로그 문제 역시 동일한 양자 주기 찾기 프레임워크를 사용해 다항시간에 해결 가능하며, 소수 모듈로 p 에 대해 런타임은 O((log p)^3) 이다.
• 유용한 주기 r 을 얻는 성공 확률은 1/(40q) 이상으로 하한이 설정되며, q 는 N 의 서로 다른 소인수의 수이다. 이는 반복 시도를 통해 다항시간 내에 해를 얻을 수 있음을 보장한다.
• 알고리즘은 충분한 정밀도로 양자 위상 추정과 양자 푸리에 변환을 수행할 수 있다는 점에 의존하며, 이는 게이트 오류가 t 계산 단계에 대해 O(1/t) 비율로 증가할 경우 실현 가능하다.
• 이 방법은 군의 순서와 체 연산이 효율적으로 계산 가능한, 예를 들어 Z_p^α 와 같은 순환 곱셈군을 가지는 다른 유한체로 일반화될 수 있다.
• 결과적으로, 소인수 분해와 이산 로그 문제의 난이도에 기반한 공개키 암호 체계—예를 들어 RSA 및 디피-헬먼—은 양자 공격에 취약하다는 것을 시사한다.