(a + b)(a b) 0 mod N.

Transkript

1 Sho v faktoia ní algoitmus Sho v faktoia ní algoitmus je nejvýnamn j²í aplikací kvantové Fouieovy tansfomace a jeden hlavních d vod ájmu o kvantové po íta e, kteé by umoºnily pavd podobnostní polynomiální faktoiaci velkých ísel. Z íseln teoetického hlediska se p itom nejedná o ºádnou novinku: ákladem Shoova algoitmu je Femat v faktoia ní algoitmus, ve kteém se e nalosti dvou ísel a, b, spl ujících a b mod N íská faktoiace N díky vtahu (a + b)(a b) 0 mod N. Femat v postup le pouºít mimo jiné tehdy, pokud náme n jaký pvek a a jeho sudý ád v multiplikativní gup Z N. Pak platí (a + )(a ) 0 mod N, coº poskytuje faktoiaci N páv kdyº a není ovno mod N. Sho v faktoia ní algoitmus po sloºené liché N tedy vypadá náslovn : vol náhodn a Z N (volba neinveibilního pvku vede k faktoiaci okamºit ) najdi ád pvku a v Z N je-li liché nebo je-li a mod N, skon i selháním jinak va fakto NSD(N, ) Z teoie ísel víme, ºe po et pvk a, kteá nevedou k selhání, je dostate ný (nejmén jedna polovina). Nepakti nost tohoto algoitmu ale plyne toho, ºe je obtíºné jistit ád pvku v gup Z N. Kvantovou podstatou Shoova algoitmu je tedy hledání ádu pvku, k emuº je vhodná Fouieova tansfomace, a ta je na kvantovém po íta i polynomiální. Hledání ádu pvku. Umoc ování pvku a modulo N, tedy k a k mod N, je obaení f : N Z N s peiodou. To dává ákladní p edstavu, po m ºe být Fouieova tansfomace po hledání ádu uºite ná. Kvantová ealiace umoc ování se musí odehávat na kone ných bináních egistech. Nech tedy n log N je po et bit v ápisu ísla N, volme n jaké m dostate n velké (velikost m bude mít vliv na pavd podobnost úsp chu algoitmu). Umoc ování nyní apoximuje opeáto W : H m H n H m H n k y k ya k mod N p i emº po N y n denujemew k y : k y. Potoºe a je nesoud lné s N, pemutuje W báové pvky, a je tedy unitání. Realiace opeátou W je moºná pomocí moduláního umoc ování. Je-li U n jaký opeáto, po kteý máme k dispoici kontolované mocniny U j, vypadá obvod umoc ující U, tedy ealiující obaení k y k U k y,

2 takto: k k k m k m k m y U U U 4 U m U m V p ípad opeátou W odpovídá U násobení pvkem a v gup Z N, tedy tansfomaci U : H n H n y ay mod N, kde op t U y : y po y N. Základní my²lenka algoitmu odhalujícího ád je standadní: vyhodnotit W na v²ech hodnotách k sou asn. Potoºe funkce umoc ování je peiodická, aplikujeme na ní Fouieovu tansfomaci a m li bychom ískat infomaci o peiod. Celý algoitmus vypadá takto: 0 m H m FT n W s s s 3 s 4 Stavem míníme báový pvek n-kubitového egistu s íslem, tedy 0 (n ). Pvní t i fáe dávají s : 0 m s : k s 3 : k0 k a k, ímº je p ipavena kýºená ovnom ná supepoice hodnot funkce k a k. Aplikací Fouieovy tansfomace na pvní egist dostaneme s 4 : k exp[πi k ] ak k0

3 3 Nyní m íme pvní egist. Pavd podobnost, ºe výsledek m ení bude odpovídat n jakému volenému, je dán sou tem duhých mocnin velikosti amplitud pavd podobnosti po v²echny leny, ve kteých se vyskytuje. T chto len je páv, totiº a 0, a,..., a, p i emº koecient u a t je sou tem koecient u v²ech a k, kde k je tvau s + t mod N. V²echny leny obsahující n jaké pevné tedy jsou ( lt ) (s + t) exp[πi ] a t a p íslu²ná pavd podobnost je ovna P () l t (s + t) exp[πi ] exp[πi t ] l t exp[πi s ] l t exp[πi s]. ƒíslo l t je nejv t²í takové, ºe l t + t je men²í neº, tedy l t t. Hodnoty l t se mohou po ná t li²it o jedna. Komplikace plyne toho, ºe obecn ned lí ; kdyby ho d lilo, bylo by l jednodu²e ovno /. Tato nepavidelnost má hlub²í d leºitost. Uv domme si, ºe povádíme Fouieovu tansfomaci na gup Z, nikoli Z N! Výsledek bude mít u itou nep esnost, potoºe funkce k a k mod N není na Z cela peiodická: v okolí nuly je peiodicita pou²ena (pokud ned lí ). Po velká ale bude tato nep esnost anedbatelná. Tyto obecné úvahy se konketiují ve výpo tu hodnoty P (). Ukáºeme, ºe platí l t exp[πi s] pokud p po n jaké p ioené p, ( ) 0 jinak. Ve vý²e mín ném ideálním p ípad, kdy d lí, pobíhá uvaºovaná suma hodnoty chaakteu gupy Z, a vtah ( ) tedy platí s ovnostmi na míst. S jistotou tedy nam íme, kteé je tvau p, kde p {0,,,..., }. Po kaºdé takové je pavd podobnost P () ovna, jak se snadno dopo te. Ze ískáme lomek p, jehoº jmenovatel je, pokud je p s nesoud lné. To po > 9 nastává s pavd podobností alespo 4 log log. Pokud má p s n jaký spole ný fakto, dostáváme alespo n jakou ást. Opakováním postupu n kolikát se s velkou pavd podobností dopacujeme k. V obecném p ípad, tedy pokud ned lí, platí, ºe nam ené je s velkou pavd podobností n jakému násobku blíko, tedy ºe p.

4 4 Vyvstává ajímavá otáka, jak najít v²echny lomky s omeeným itatelem, kteé jsou blíko dané hodnot α. Odpov dí je ovoj do et ového lomku. Platí, ºe pokud je vdálenost mei α a lomkem p men²í neº, pak je tento lomek p ítomen v et ovém ovoji ísla α (vi p edná²ku o et ových lomcích v ámci Teoie ísel a RSA, holub/souboy/rete.pdf, ejména aplikaci na Sho v algoitmus na st. 8). Pokud budeme p edpokládat, ºe je aokouhlená hodnota p, tedy ºe p, pak p, coº vede k volb p ibliºn N aji² ující odhalení p íslu²ného p pomocí et ových lomk. Zbývá ukáat, s jakou p esností a t chto okolností platí odhad ( ). Ona me ϕ p apoxima ní chybu, kteá podle na²eho p edpokladu spl uje ϕ. Apoximujeme sou et geometické ady: l exp[πi s] l exp[πiϕ(l + )] exp[πiϕs] exp[πiϕ] sin πϕ(l + ) sin, πϕ kde poslední ovnost plyne e vtahu e ix (e ix )(e ix ) ( + cos x) 4 sin x. Není t ºké ov it, ºe hodnota klesá s ostoucím ϕ, coº je v souladu s tím, ºe ϕ je mía nep esnosti: maximum / je dosaºeno v na²em ideálním p ípad, kteý odpovídá ϕ 0. Potoºe je navíc sin sudá funkce, dostáváme sin πϕ(l + ) sin πϕ (l+) sin π sin π Z denice l plyne, ºe < (l + ) < +. ƒitatel lomku je tedy velmi blíko jedné (po / < /00 se li²í od jedné o mén neº tisícínu) a jmenovatel, kteý je naopak velmi malý, m ºeme hoa dosti p esn odhadnout vtahem sin x < x. Celkem dostáváme l exp[πi s] 4 > π > 5 a P () > 5. ºeme uav ít, ºe s pavd podobností alespo 5 nam íme, po kteé je p p ítomno v et ovém ovoji. Celkovou úsp ²nost algoitmu shnuje následující tabulka:.

5 5 podmínka úsp chu pavd podobnost volba vhodného a je blíko p 5 p je nesoud lné s 4 log log n Celková úsp ²nost je tedy nejmén 0 log log n. Nap. po RSA modul délky 4096 je úsp ²nost jednoho kola algoitmu nejmén 0.6%, takºe ty ista kol dává více neº 90% pavd podobnost úsp chu. Tento odhad je navíc byte n pesimistický ejména v poºadavku na nesoud lnost a p; i pokud jsou a p soud lná, ískáme ást a po n kolika pokusech je moºné ekonstuovat jako nejmen²í spole ný násobek naleených fakto.