[论文解读] Quantum resource estimates for computing elliptic curve discrete logarithms

Martin Roetteler, Michael Naehrig+2 more|arXiv (Cornell University)|Jun 21, 2017

Quantum Computing Algorithms and Architecture被引用 4

一句话总结

本文针对使用可逆量子电路计算椭圆曲线离散对数的秀尔算法，提供了精确的量子资源估算。作者在LIQUi|⟩中实现了并模拟了受控椭圆曲线点加法，表明在n比特素数域上求解ECDLP最多需要9n + 2⌈log₂(n)⌉ + 10量子比特和448n³ log₂(n) + 4090n³ Toffoli门，证实了在同等经典安全级别下，ECC比RSA更易于受到量子攻击。

ABSTRACT

We give precise quantum resource estimates for Shor's algorithm to compute discrete logarithms on elliptic curves over prime fields. The estimates are derived from a simulation of a Toffoli gate network for controlled elliptic curve point addition, implemented within the framework of the quantum computing software tool suite LIQ$Ui|\ angle$. We determine circuit implementations for reversible modular arithmetic, including modular addition, multiplication and inversion, as well as reversible elliptic curve point addition. We conclude that elliptic curve discrete logarithms on an elliptic curve defined over an $n$-bit prime field can be computed on a quantum computer with at most $9n + 2\\lceil\\log_2(n)\ ceil+10$ qubits using a quantum circuit of at most $448 n^3 \\log_2(n) + 4090 n^3$ Toffoli gates. We are able to classically simulate the Toffoli networks corresponding to the controlled elliptic curve point addition as the core piece of Shor's algorithm for the NIST standard curves P-192, P-224, P-256, P-384 and P-521. Our approach allows gate-level comparisons to recent resource estimates for Shor's factoring algorithm. The results also support estimates given earlier by Proos and Zalka and indicate that, for current parameters at comparable classical security levels, the number of qubits required to tackle elliptic curves is less than for attacking RSA, suggesting that indeed ECC is an easier target than RSA.

研究动机与目标

• 为使用秀尔算法求解椭圆曲线离散对数问题（ECDLP）提供准确的、门级的量子资源估算。
• 在LIQUi|⟩框架内，实现并模拟模块化算术与椭圆曲线点加法的可逆量子电路。
• 在同等经典安全级别下，比较ECDLP与RSA分解的量子资源需求。
• 验证在标准NIST曲线下，对秀尔算法核心组件进行经典机器模拟的可行性。

提出的方法

• 作者使用二进制GCD算法开发了用于模块加法、乘法和求逆的可逆量子电路，以最小化量子比特使用量。
• 在LIQUi|⟩量子软件栈中，使用Toffoli门和CNOT门实现了受控椭圆曲线点加法，作为秀尔算法的核心组件。
• 电路经过编译并在经典机器上进行模拟，从而验证正确性并估算高达521比特曲线的资源消耗。
• 模拟利用经典可逆电路模拟技术，验证了P-192、P-224、P-256、P-384和P-521曲线的Toffoli网络正确性。
• 资源计数基于所有算术与点加法组件中Toffoli门数量和量子比特分配得出。
• 分析对比了Proos与Zalka的理论估算，突出了因实现选择和缺乏寄存器共享优化而产生的差异。

实验结果

研究问题

• RQ1 在素数域上的椭圆曲线ECDLP中，实现秀尔算法所需的精确量子比特数和Toffoli门数是多少？
• RQ2 在同等经典安全级别下，ECDLP的量子资源需求与RSA分解相比如何？
• RQ3 标准NIST曲线的核心可逆电路（如椭圆曲线点加法）能否在经典机器上进行模拟？
• RQ4 实现选择（如使用二进制GCD而非欧几里得算法）对量子比特和门数的影响有多大？
• RQ5 寄存器共享优化能否减少可逆模块求逆中的量子比特开销？为何本实现未完全实现该优化？

主要发现

• ECDLP的量子电路在n比特素数域上最多需要9n + 2⌈log₂(n)⌉ + 10量子比特和448n³ log₂(n) + 4090n³ Toffoli门。
• 作者成功在经典机器上模拟了所有NIST标准曲线（包括P-521）的受控椭圆曲线点加法的Toffoli网络。
• 资源估算结果证实，在同等经典安全级别下，使用量子计算机破解ECC比破解RSA更具可行性。
• 由于模块求逆实现中缺乏寄存器共享优化，量子比特数量超过Proos与Zalka的理论估算。
• 在扩展二进制GCD的每轮中，实现产生一个垃圾位，需要额外量子比特进行解计算，从而限制了量子比特效率。
• 结果支持结论：即使对于相对较小的密钥尺寸，ECC也是比RSA更实际的量子密码分析目标。