[论文解读] Improved Classical and Quantum Algorithms for the Shortest Vector Problem via Bounded Distance Decoding

Divesh Aggarwal, Yanlin Chen+2 more|arXiv (Cornell University)|Feb 19, 2020

Cryptography and Data Security被引用 4

一句话总结

本文提出了一种基于有界距离解码（BDD）和高于平滑参数的离散高斯采样，通过新颖的时间-空间权衡，改进了最短向量问题（SVP）的经典与量子算法。关键贡献在于：在 QRAM 模型下，量子算法的时间复杂度为 $2^{0.835n+o(n)}$，优于先前的 $2^{n+o(n)}$ 上限；经典算法的时间复杂度为 $2^{1.669n+o(n)}$，空间复杂度为 $2^{0.5n+o(n)}$，两者均基于对与格点亲和数相关的参数的精细化分析。

ABSTRACT

The most important computational problem on lattices is the Shortest Vector Problem (SVP). In this paper, we present new algorithms that improve the state-of-the-art for provable classical/quantum algorithms for SVP. We present the following results. $\bullet$ A new algorithm for SVP that provides a smooth tradeoff between time complexity and memory requirement. For any positive integer $4\leq q\leq \sqrt{n}$, our algorithm takes $q^{13n+o(n)}$ time and requires $poly(n)\cdot q^{16n/q^2}$ memory. This tradeoff which ranges from enumeration ($q=\sqrt{n}$) to sieving ($q$ constant), is a consequence of a new time-memory tradeoff for Discrete Gaussian sampling above the smoothing parameter. $\bullet$ A quantum algorithm for SVP that runs in time $2^{0.950n+o(n)}$ and requires $2^{0.5n+o(n)}$ classical memory and poly(n) qubits. In Quantum Random Access Memory (QRAM) model this algorithm takes only $2^{0.835n+o(n)}$ time and requires a QRAM of size $2^{0.293n+o(n)}$, poly(n) qubits and $2^{0.5n}$ classical space. This improves over the previously fastest classical (which is also the fastest quantum) algorithm due to [ADRS15] that has a time and space complexity $2^{n+o(n)}$. $\bullet$ A classical algorithm for SVP that runs in time $2^{1.669n+o(n)}$ time and $2^{0.5n+o(n)}$ space. This improves over an algorithm of [CCL18] that has the same space complexity. The time complexity of our classical and quantum algorithms are obtained using a known upper bound on a quantity related to the lattice kissing number which is $2^{0.402n}$. We conjecture that for most lattices this quantity is a $2^{o(n)}$. Assuming that this is the case, our classical algorithm runs in time $2^{1.292n+o(n)}$, our quantum algorithm runs in time $2^{0.750n+o(n)}$ and our quantum algorithm in QRAM model runs in time $2^{0.667n+o(n)}$.

研究动机与目标

• 改进在格上可证明求解最短向量问题（SVP）的最先进时间与空间复杂度。
• 通过高于平滑参数的离散高斯采样，建立枚举与筛法之间平滑的时间-空间权衡，用于 SVP。
• 开发一种量子算法，其时间复杂度优于目前已知的最佳经典算法，利用量子加速与 QRAM。
• 通过将 ZLIP 问题归约至维度为 $n/2 + 1$ 的 SVP，将结果扩展至格同构问题（ZLIP），为 ZLIP 提供可证明的量子算法。

提出的方法

• 提出一种基于参数 $q \in [4, \sqrt{n}]$ 的高于平滑参数的离散高斯采样时间-空间权衡，实现从枚举（$q = \sqrt{n}$）到筛法（$q$ 为常数）的连续过渡。
• 使用参数 $\alpha$ 的有界距离解码（BDD）预言机来采样格向量，其中 $\alpha$ 控制解码半径，并在查询成本与查询次数之间实现权衡。
• 对与格点亲和数相关的量 $\beta(L)$ 进行精细化分析，其上界为 $2^{0.402n}$，并推测对于大多数格，$\beta(L) = 2^{o(n)}$，从而导出更优的渐近界。
• 通过幅值放大与 QRAM 存取实现量子加速，将 QRAM 模型下量子预言机的时间复杂度从 $2^{An/2}$ 降低至 $2^{An/4}$。
• 利用从 ZLIP 问题到维度为 $n/2 + 1$ 的 SVP 的归约，使 SVP 算法可直接应用于 ZLIP。
• 通过函数 $c(b, \nu, \xi)$ 推导时间复杂度表达式，该函数最小化两个指数项的最大值，其中 $b = \log_2 \beta(L)$，并通过数值方法优化 $\alpha$。

实验结果

研究问题

• RQ1 能否通过高于平滑参数的离散高斯采样，在 SVP 的枚举与筛法之间实现平滑的时间-空间权衡？
• RQ2 量子与经典 SVP 算法在时间和内存之间的最优权衡是什么？其与格点亲和数的关系如何？
• RQ3 在 QRAM 模型下，SVP 的量子算法能否实现次指数时间复杂度？QRAM 存取如何影响该权衡？
• RQ4 如何将改进后的 SVP 算法应用于求解平凡格 $\mathbb{Z}^n$ 的格同构问题（ZLIP）？
• RQ5 在假设 $\beta(L) = 2^{o(n)}$ 对于大多数格成立的前提下，经典与量子 SVP 算法的渐近时间复杂度是多少？

主要发现

• 所提出的 SVP 经典算法时间复杂度为 $2^{1.669n+o(n)}$，使用 $2^{0.5n+o(n)}$ 的经典内存，优于先前的 $2^{n+o(n)}$ 上限。
• SVP 的量子算法在 $2^{0.5n+o(n)}$ 经典内存与多项式量数下，时间复杂度为 $2^{0.950n+o(n)}$，优于先前的 $2^{n+o(n)}$ 上限。
• 在 QRAM 模型下，量子算法的时间复杂度达到 $2^{0.835n+o(n)}$，需 $2^{0.293n+o(n)}$ 的 QRAM 大小、多项式量数与 $2^{0.5n}$ 的经典空间。
• 在 $\beta(L) = 2^{o(n)}$ 的假设下，经典算法的时间复杂度为 $2^{1.292n+o(n)}$，量子算法为 $2^{0.750n+o(n)}$，QRAM 基于的量子算法为 $2^{0.667n+o(n)}$。
• 该算法被应用于 ZLIP 问题，得到一个可证明的量子算法，其时间复杂度为 $2^{0.417n+o(n)}$，QRAM 大小为 $2^{0.147n+o(n)}$，多项式量数，经典空间为 $2^{0.25n}$。
• 时间复杂度通过在 $\alpha \in [1/3, 1/2)$ 范围内对结合预处理成本与预言机查询成本的函数进行最小化而推导得出，最优 $\alpha$ 通过数值方法确定。