[论文解读] Applying Grover's algorithm to AES: quantum resource estimates

Markus Grassl, Brandon Langenberg+2 more|arXiv (Cornell University)|Dec 15, 2015

Quantum Computing Algorithms and Architecture参考文献 23被引用 4

一句话总结

本文针对使用容错 Clifford+T 量子门的 Grover 算法破解高级加密标准（AES）提供了详细的量子资源估算。文中提出了适用于 AES-128、AES-192 和 AES-256 的可逆量子电路，估算显示破解 AES-128 大约需要 2.95k 个逻辑量子比特和 1.19×2⁸⁶ 个 T 门，且随着密钥长度增加，成本呈指数级增长，凸显了即使在量子比特需求适中情况下，电路深度带来的挑战。

ABSTRACT

We present quantum circuits to implement an exhaustive key search for the Advanced Encryption Standard (AES) and analyze the quantum resources required to carry out such an attack. We consider the overall circuit size, the number of qubits, and the circuit depth as measures for the cost of the presented quantum algorithms. Throughout, we focus on Clifford$+T$ gates as the underlying fault-tolerant logical quantum gate set. In particular, for all three variants of AES (key size 128, 192, and 256 bit) that are standardized in FIPS-PUB 197, we establish precise bounds for the number of qubits and the number of elementary logical quantum gates that are needed to implement Grover's quantum algorithm to extract the key from a small number of AES plaintext-ciphertext pairs.

研究动机与目标

• 为使用 Grover 算法破解 AES 提供精确的容错量子资源估算。
• 为所有三种 AES 密钥长度（128、192、256 位）设计支持容错实现的可逆量子电路。
• 将这些电路分解为 Clifford+T 门集合，并最小化 T 门数和 T 门深度，以实现面向实际容错量子计算的优化。
• 分析 Grover 搜索在 AES 密钥恢复中空间（量子比特）与时间（电路深度）之间的权衡。
• 确立 AES-256 因资源成本过高而具备抗量子安全性，即使存在量子加速。

提出的方法

• 构建 AES 加密的可逆经典电路，确保所有操作在量子实现中均为幺正和可逆。
• 将可逆电路分解为 Clifford+T 门集合，其中 Toffoli 门通过 7 个 T 门和辅助量子比特实现。
• 通过利用已知的 Toffoli 分解方法，优化 T 门数，尤其在 SubBytes 和密钥扩展组件中最小化 T 门使用。
• 估算 Grover 算法中 oracle 函数 U_f 的成本，包括用于比较密文的多控制 NOT 门。
• 根据公式 ⌊π/4 × 2^(k/2)⌋ 计算总 Grover 迭代次数，其中 k 为密钥长度，并据此缩放 T 门数和深度成本。
• 以电路深度和量子比特数为主要指标，对每种 AES 变体提供详细分解。

实验结果

研究问题

• RQ1 使用容错 Clifford+T 门实现 Grover 算法破解 AES-128、AES-192 和 AES-256 所需的精确逻辑量子比特数量是多少？
• RQ2 每种密钥长度下，实现 AES 加密函数和完整 Grover oracle 所需的 T 门和 Clifford 门数量分别是多少？
• RQ3 完整 Grover 迭代的电路深度是多少？其随密钥长度如何变化？
• RQ4 密钥扩展过程能否被优化以减少整体量子电路中的 T 门数？
• RQ5 T 门数的指数级增长在多大程度上使 AES-256 在量子密钥搜索下具有实际安全性？

主要发现

• 使用 Grover 算法破解 AES-128 需要约 2,953 个逻辑量子比特和 1.19×2⁸⁶ 个 T 门，总电路深度约为 1.16×2⁸¹ 次 T 门操作。
• 对于 AES-192，资源成本增加至 4,449 个逻辑量子比特和 1.81×2¹¹⁸ 个 T 门，反映出 Grover 搜索的指数级扩展。
• AES-256 需要 6,681 个逻辑量子比特和约 1.41×2¹⁵¹ 个 T 门，使得其在当前或近期未来量子硬件上不可行。
• 绝大多数 T 门成本来自密钥扩展过程，其调用次数依密钥长度而定，为 296 至 420 次不等。
• 尽管量子比特需求适中，但极高的电路深度使得在物理量子计算机上实现不切实际，即使不考虑错误纠正。
• 结果表明，由于 T 门和深度要求过高，AES-256 在 Grover 算法下仍具备抗量子安全性。