[论文解读] Breaking RSA Security With A Low Noise D-Wave 2000Q Quantum Annealer: Computational Times, Limitations And Prospects

Riccardo Mengoni, Daniele Ottaviani+1 more|arXiv (Cornell University)|May 5, 2020

Quantum Computing Algorithms and Architecture参考文献 16被引用 8

一句话总结

本论文通过将整数分解映射为无约束二次二值优化（QUBO）问题，评估了使用D-Wave 2000Q量子退火器破解RSA加密的可行性。采用块乘法表方法和高级退火设置，该设备在100毫秒内成功分解了最高达17位的整数（N=103459），展示了进展，但也凸显了在处理更大密钥时的硬件局限性。

ABSTRACT

The RSA cryptosystem could be easily broken with large scale general purpose quantum computers running Shor's factorization algorithm. Being such devices still in their infancy, a quantum annealing approach to integer factorization has recently gained attention. In this work, we analyzed the most promising strategies for RSA hacking via quantum annealing with an extensive study of the low noise D-Wave 2000Q computational times, current hardware limitations and challenges for future developments.

研究动机与目标

• 评估在近期硬件上使用量子退火破解RSA加密的实际可行性。
• 研究低噪声D-Wave 2000Q在整数分解中的计算性能与硬件局限性。
• 比较整数分解问题的不同QUBO公式化方法，识别最有效的方案。
• 评估先进退火技术（如扩展J范围和退火偏移）对解成功概率和TTS的影响。
• 为基于量子退火的分解技术未来发展提供基准，并指导下一代设备（如D-Wave Advantage）的研究工作。

提出的方法

• 使用块乘法表方法将整数分解问题映射为QUBO公式，该方法通过编码两个二进制数的乘法以恢复满足N = p × q的p和q。
• 利用D-Wave 2000Q的QPU通过链式映射将逻辑变量嵌入物理量子比特，最大实例使用42个物理量子比特和93个耦合。
• 采用时间到解（TTS）指标，定义为总QPU访问时间除以正确分解的数量，每次退火进行10,000次读取，退火时间为1μs。
• 应用高级设置：扩展J范围（J_chain = -2）以增强逻辑变量链的强度，以及退火偏移以延迟量子比特退火，提升解的保真度。
• 在L_N从8到19的位长范围内进行实验，测试默认和高级退火配置，以评估可扩展性和性能。
• 分析嵌入问题的图结构，显示随着N增大，复杂性显著增加，尤其体现在量子比特数量和耦合密度方面。

实验结果

研究问题

• RQ1 D-Wave 2000Q量子退火器能否使用整数分解的QUBO公式对RSA相关整数（最高17位）进行分解？
• RQ2 先进退火技术（特别是扩展J范围和退火偏移）如何影响分解的时间到解（TTS）和成功率？
• RQ3 当前量子退火设备在求解整数分解时的计算时间和硬件限制如何，与经典方法相比如何？
• RQ4 随着N的位长增加，嵌入的QUBO问题复杂性如何变化？为实现更大规模分解，需要哪些硬件改进？
• RQ5 量子退火在多大程度上能模拟Shor类分解？未来基于量子退火的密码分析具有怎样的实际前景？

主要发现

• D-Wave 2000Q在使用高级退火设置时，成功分解了所有最高达17位的整数N（L_N=17），包括N=103459，时间到解（TTS）为91.12μs。
• 高级设置使最大实例的TTS降低了近一个数量级（从728.96μs降至91.12μs），显著提升了性能。
• 块乘法表方法使最高L_N=18的分解问题得以成功嵌入，但因硬件限制，最大测试实例为L_N=17。
• 对于N=143，嵌入的伊辛问题图结构需要42个物理量子比特和93个耦合，表明随着N增大，复杂性显著上升。
• QUBO公式所需的逻辑变量数量随N的位长增加而增长，表明未来分解更大的RSA密钥需要更高的量子比特数量和更强的连通性。
• 尽管结果令人鼓舞，但硬件仍不足以分解完整的RSA-2048密钥，未来需在量子比特数量、连通性及错误容错能力方面取得进一步进展。