Algoritmo de Shor

En computación cuántica, el algoritmo de Shor es un algoritmo cuántico para descomponer en factores un número N en tiempo O((log N)³) y espacio O(logN), así nombrado por Peter Shor.

El algoritmo de Shor es un procedimiento que permite encontrar factores de un número de una manera eficiente. La implementación de este algoritmo se puede llevar a cabo de manera clásica o utilizando circuitos cuánticos (que no han sido llevados a la práctica todavía). Esta última implementación es (por supuesto) la más conveniente cuando se desea encontrar el orden, un parámetro muy necesario a la hora de encontrar los factores primos de un cierto número.

Muchas criptografías de clave pública, tales como RSA, llegarían a ser obsoletas si el algoritmo de Shor es implementado alguna vez en una computadora cuántica práctica. Un mensaje cifrado con RSA puede ser descifrado descomponiendo en factores la llave pública N, que es el producto de dos números primos. Los algoritmos clásicos conocidos no pueden hacer esto en tiempo O((log N)^k) para ningún k, así que llegan a ser rápidamente poco prácticos a medida que se aumenta N. Por el contrario, el algoritmo de Shor puede romper RSA en tiempo polinómico. También se ha ampliado para atacar muchas otras criptografías públicas.

Como todos los algoritmos de computación cuántica, el algoritmo de Shor es probabilístico: da la respuesta correcta con alta probabilidad, y la probabilidad de fallo puede ser disminuida repitiendo el algoritmo.

El algoritmo de Shor fue aplicado en la práctica en 2001 por un grupo en IBM, que descompuso 15 en sus factores 3 y 5, usando una computadora cuántica con 7 qubits.

El problema que intenta solucionar el algoritmo de Shor es que, dado un número entero N, intentamos encontrar otro número entero p entre 1 y N que divida N.

El algoritmo de Shor consiste en dos partes:

El algoritmo se compone de dos partes. La primera parte del algoritmo convierte el problema de descomponer en factores en el problema de encontrar el período de una función, y se puede implementar clásicamente. La segunda parte encuentra el período usando la transformada de Fourier cuántica, y es responsable de la aceleración cuántica.

Sea ${displaystyle Nin mathbb {N} }$. Entonces, encontrar un factor ${displaystyle xin mathbb {N} }$, es encontrar una solución para la ecuación:

${displaystyle mod{(x^{2},N)}=1}$

Es decir, se necesita encontrar un ${displaystyle x}$ , tal que al dividir su cuadrado entre ${displaystyle N}$ se tenga como resto 1.

A la hora de intentar abordar este problema, existen un par de teoremas que son útiles:

Sea ${displaystyle Nin mathbb {N} }$, y sea ${displaystyle x}$ una solución de la ecuación (*) (solución no trivial) donde es claro ${displaystyle 1<xleqslant N}$. Entonces: Ó ${displaystyle m.c.d.{(x+1,N)}}$ ó ${displaystyle m.c.d.{(x-1,N)}}$ es un factor no trivial del número ${displaystyle N}$.^[1]​

Sea ${displaystyle Nin mathbb {N} }$ impar con descomposición en factores primos ${displaystyle N=p_{1}^{{alpha }_{1}}cdot ...cdot p_{m}^{{alpha }_{m}}}$. Sea además ${displaystyle yin mathbb {N} }$ (aleatorio) que es coprimo con ${displaystyle N}$ (${displaystyle 1<yleqslant N-1}$) y ${displaystyle r}$ el orden de ese número entero, es decir, aquel ${displaystyle r}$ tal que: ${displaystyle mathrm {mod} {(y^{r},N)}=1}$. ( De este último paso, esto es, hallar r, se encarga el circuito cuántico correspondiente). Entonces:

${displaystyle mathrm {Prob} (r,,{ ext{par}}land mathrm {mod} (y^{frac {r}{2}},N) eq -1)geq 1-{iggl (}{frac {1}{2}}{iggr )}^{m}}$

Con estos dos teoremas en mente, ya se puede empezar a plantear la secuencia en la que está basada el algoritmo de factorización de Shor.

Notas:

La notación que se utiliza es, en todo momento coherente, en el sentido de que las variables que aparecen en los teoremas y fuera de ellos o en cualquier otro contexto de a continuación son las mismas.

Por otro lado, la relación que presentan las variables ${displaystyle x}$ e ${displaystyle y}$ es:${displaystyle y=x^{frac {r}{2}}}$. Como se va a poder ver en la siguiente sección.^[1]​

Este algoritmo sirve para factorizar números enteros de gran tamaño. Se exponen y se comentan todas las fases de este algoritmo. En todo momento, el algoritmo va a devolver un factor del número ${displaystyle mathrm {N} }$ que se desea descomponer. Los tres primeros casos corresponden a una implementación clásica, en el sentido de que no es necesaria la presencia de ningún circuito cuántico. Corresponden por tanto a la eliminación de casos de tipo trivial o que una implementación clásica puede realizar con suficientemente buena eficiencia.

En efecto, la primera comprobación que se realiza al número es el caso trivial de que su última cifra sea un número par. En tal caso, el algoritmo devuelve 2, y el programa podrá continuar con ${displaystyle {frac {N}{2}}}$.

La siguiente fase, es implementar una comprobación para los números enteros ${displaystyle a}$ mayores o iguales a 1 y números ${displaystyle b}$ mayores o iguales a 2. Se ha de tener en cuenta este tipo de números para que (como se verá en el paso 4) al utilizar el teorema 2 la probabilidad de obtener un buen candidato a factor sea más alta del 75%. En este caso, el algoritmo, devuelve el factor a.

Se toma un número ${displaystyle y}$ tal que ${displaystyle 1<yleqslant N-1}$. Si ${displaystyle m.c.d.(y,N)>1}$, entonces el programa devuelve precisamente este número. Esto se hace solo para comprobar si el número elegido comparte factores con ${displaystyle N}$. En caso de que los dos números sean coprimos se sigue con el siguiente paso de la serie.

En este punto, dado el número natural ${displaystyle y}$ anterior, se utilizan los algoritmos de estimación de fase y en concreto de orden, para hallar precisamente ${displaystyle r}$ (el orden). Estos algoritmos como se puede ver en los enlaces, dependen de la implementación del circuito cuántico en cuestión.

Como ya se dijo antes, partimos de que se conoce el orden. Ahora, se aplican los teoremas anteriores para intentar hallar este factor.

La primera parte de este último paso, consiste en la comprobación de si se cumplen los requisitos que el teorema 2 impone para asegurar una alta probabilidad. Esto ya se hizo en los procedimientos anteriores, pues se sabe que; ${displaystyle N}$ es impar, tiene al menos dos factores primos distintos y es coprimo con ${displaystyle N}$. Bajo estas condiciones, es posible asegurar que existe una alta probabilidad de que el número x sea no trivial, esto es: ${displaystyle mod(y^{frac {r}{2}},N) eq -1}$

y que por supuesto ${displaystyle r}$ es par.

Y habiendo comprobado esto, se está en disposición de aplicar el teorema 1 pues se cumplen a su vez todas las condiciones necesarias para poder aplicarlo y de esta forma obtener con alta probabilidad un factor de ${displaystyle N}$. Bien ${displaystyle m.c.d.{(x+1,N)}}$ ó ${displaystyle m.c.d.{(x-1,N)}}$.

Como se ve todo este proceso depende de una cierta probabilidad de éxito. Si en algún punto el algoritmo falla, comienza de nuevo.^[2]​^[3]​^[4]​

Los números enteros menores que N y coprimos con N forman un grupo finito bajo multiplicación módulo N, que se denota típicamente ${displaystyle mathbb {Z} _{N}^{*}}$. Para el final del paso 3, tenemos un número entero a en este grupo. Puesto que el grupo es finito, a debe tener un orden finito r, el número entero positivo más pequeño tal que

Por lo tanto, N |(a^r - 1). Suponga que podemos obtener r, y es par. Entonces

r es el número entero positivo más pequeño tal que a ^r ≡ 1, así que N no puede dividir a (a ^r/2 - 1). Si N tampoco divide (a^r/2 + 1), entonces N debe tener un factor común no trivial con (a^r/2 - 1) y (a ^r/2 + 1).

Prueba: Por simplicidad, denote (a^r/2 - 1) y (a^r/2 + 1) u y v respectivamente. N | uv, luego kN = uv para un cierto número entero k. Suponga que el mcd(u, N) = 1; entonces mu + nN = 1 para ciertos números enteros m y n (ésta es una propiedad del máximo común divisor). Multiplicando ambos lados por v, encontramos que mkN + nvN = v, luego N |v. Por contradicción, mcd(u, N) ≠ 1. Por un argumento similar, mcd(v, N) ≠ 1.

Esto nos provee de una factorización de N. Si N es el producto de dos primos, esta es la única factorización posible.

El algoritmo, para encontrar el período de Shor, se basa radicalmente en la capacidad de una computadora cuántica de estar en muchos estados simultáneamente. Los físicos llaman a este comportamiento superposición cuántica. Para computar el período de una función f, evaluamos la función en todos los puntos simultáneamente.

Sin embargo, la física cuántica no permite que tengamos acceso a toda esta información directamente. Una medición cuántica dará solamente uno de todos los valores posibles, destruyendo todos los otros. Por lo tanto tenemos que transformar cuidadosamente la superposición a otro estado que devuelva la respuesta correcta con alta probabilidad. Esto es alcanzado usando la transformada de Fourier cuántica.

Shor tuvo que solucionar así tres "problemas de implementación". Todos tuvieron que ser implementados "rápidos", que significa ejecutar con un número de puertas cuánticas que es polinómico en logN.

Después de todas estas transformaciones una medición dará una aproximación al período r. Por simplicidad asuma que hay una y tal que yr/N es un número entero. Entonces la probabilidad de medir y es 1. Para ver esto notemos que

para todos los números enteros b. Por lo tanto la suma que nos da la probabilidad de la medición y será N/r puesto que b toma aproximadamente N/r valores y así la probabilidad es 1/r. Hay r, y tales que yr/N es un número entero, luego la suma de las probabilidades es 1. Nota: otra manera de explicar el algoritmo de Shor es observando que es precisamente el algoritmo cuántico de estimación de fase disfrazado.

---