5、应用Grover算法破解AES：量子资源估算

应用Grover算法破解AES：量子资源估算

1. 引言

在量子计算领域，将Grover算法应用于高级加密标准（AES）的破解是一个备受关注的研究方向。研究发现，实施针对AES的Grover攻击所需的逻辑量子比特数量相对较少，大约在3000到7000个之间。然而，由于展开整个Grover迭代的电路深度较大，即使不进行错误校正，在实际的物理量子计算机上实现该算法也具有挑战性。而且，Grover迭代中的大部分电路成本源于密钥扩展，即推导轮密钥，整体深度是Grover算法串行性质的直接结果。

2. Grover算法基础

在探讨如何将AES实现为量子电路之前，先简要回顾实现密钥搜索所需的Grover算法。Grover算法的输入是一个实现布尔函数 $f: {0, 1}^k \to {0, 1}$ 的量子电路 $U_f$，它将 $|x\rangle|y\rangle$ 映射为 $|x\rangle|y \oplus f(x)\rangle$，其中 $x \in {0, 1}^n$，$y \in {0, 1}$。基本的Grover算法旨在找到一个元素 $x_0$，使得 $f(x_0) = 1$。

Grover算法通过对初始状态 $|\psi\rangle\otimes|\phi\rangle$ 重复应用操作 $G$ 来实现，其中 $|\psi\rangle = \frac{1}{\sqrt{2^k}}\sum_{x\in{0,1}^k} |x\rangle$，$|\phi\rangle = \frac{1}{\sqrt{2}}(|0\rangle - |1\rangle)$，$G$ 的定义为：
$G = U_f[(H^{\otimes k}(2|0\rangl