6、格罗弗算法应用于AES的量子资源估算及常见块加密模式的后量子安全分析

格罗弗算法应用于AES的量子资源估算及常见块加密模式的后量子安全分析

1. AES不同密钥长度的量子资源分析

在AES加密算法中，不同的密钥长度（AES - 128、AES - 192、AES - 256）在计算过程中所需的量子资源有所不同。
- AES - 192和AES - 256的反转过程 ：对于AES - 192和AES - 256，反转过程在第5、9和12轮后进行，仅比AES - 128多需要128个量子比特。
- 计算轮数与量子比特需求 ：计算AES - 128的全部10轮需要536个量子比特，计算AES - 192的12轮和AES - 256的14轮分别需要664个量子比特。
- 轮密钥异或操作 ：每一轮的轮密钥异或操作可直接在输入上进行。若所需轮密钥已构建好，使用128个深度为1的CNOT门即可完成该轮；若轮密钥未构建好，需多次执行此过程。例如，AES - 128在w41的情况下最多需要执行11次，这会使深度和CNOT门数量最多增加11。

下面是不同AES密钥长度的量子资源估算表格：
| 密钥长度 | 阶段 | #T门 | #克利福德门 | T深度 | 总深度 | #量子比特 |
| ---- | ---- | ---- | ---- | ---- | ---- | ---- |
| AES - 128 | 初始 | 0 | 0 | 0 | 0 | 128 |
| | 密钥生成 | 143360 | 185464 | 5760 | 12626 | 320 |
| | 10轮 | 917504