CN103392197B - 代理计算系统、方法、委托装置 - Google Patents

Abstract

将G,H设为循环群，将M设为2以上的整数，设i=1,……,M，将f设为向群G写入群H的元x_i的同态函数，将R_i以及R₀设为在群G中具有值的概率变量，将r_i设为概率变量R_i的实现值，将r₀设为概率变量R₀的实现值，将a_i设为0以上的整数的随机数，随机数生成部（11）生成随机数a₁,a₂,……,a_M。标本器（21）能够计算f(x₁)r₁,f(x₂)r₂,……,f(x_M)r_M，将其计算结果分别设为z₁,z₂,……,z_M。幂计算部（12）计算(z₁)^a1,(z₂)^a2,……,(z_M)^aM。可扩展随机化标本器（22）能够计算f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)r₀，将其计算结果设为z₀。判定部（16）判定是否为(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀。

Description

代理计算系统、方法、委托装置

技术领域

本发明涉及计算机的计算技术。特别涉及使用在其他计算机中进行的计算结果进行计算的技术。

背景技术

通过发明人提出了使用以下说明的可随机化标本器以及标本器，计算对于某输入x的f(x)的技术（例如，参照非专利文献1。）。

将R设为在群G中具有值的概率变量。将关于w∈G，在每次提供0以上的整数a时返回与跟随概率变量R的标本r’对应的w^ar’者称为关于w具有误差R的可随机化标本器(randomizablesampler)。另外，在可随机化标本器中，概率变量R的分布与整数a无关系。

此外，将关于w∈G，在每次接受请求时返回与跟随概率变量R的标本r’对应的wr’者称为关于w具有误差R的标本器(sampler)。

可随机化标本器以及标本器使用被称为黑匣（blackbox）的函数，分别计算w^ar’以及wr’。

将r₁以及r₂作为概率变量R的实现值，在关于f(x)具有误差R的可随机化标本器的输出f(x)^ar₁、与关于f(x)具有误差R的标本器的输出f(x)r₂的a次方(f(x)r₂)^a相等的情况下，r₁以及r₂以高概率为群G的单位元e_g。因此，此时，由于f(x)r₂=f(x)e_g=f(x)，所以标本器的输出f(x)r₂成为要求得的f(x)。

现有技术文献

非专利文献

非专利文献1：GoYamamoto,TetsutaroKobayashi,”Self-CorrectorsforCryptographicModules”,The2011SymposiumonCryptographyandInformationSecurity,2F1-1,2001.

发明内容

发明要解决的课题

在背景技术中记载的技术中，为了计算对于某x的f(x)的值，需要在可随机化标本器以及标本器中使用黑匣函数使其计算至少2回。因此，将M设为2以上的整数，为了分别计算对于M个输入x₁,x₂,……,x_M的f(x₁),f(x₂),……,f(x_M)，需要在可随机化标本器以及标本器中使用黑匣使其计算至少2M回。这是因为需要在可随机化标本器以及标本器中分别对M个输入x₁,x₂,……,x_M使用黑匣使其计算至少2回。

本发明的目的在于，提供一种技术，该技术将使用黑匣而计算的次数变得比2M回少的同时分别计算对于M个输入x₁,x₂,……,x_M的f(x₁),f(x₂),……,f(x_M)。

用于解决课题的手段

通过本发明的一个方式，将G,H设为循环群，将M设为2以上的整数，设i=1,……,M，将f设为向群G写入群H的元x_i的同态函数，将R_i以及R₀设为在群G中具有值的概率变量，将r_i设为概率变量R_i的实现值，将r₀设为概率变量R₀的实现值，将a_i设为0以上的整数的随机数，生成随机数a₁,a₂,……,a_M。能够计算f(x₁)r₁,f(x₂)r₂,……,f(x_M)r_M，将其计算结果分别设为z₁,z₂,……,z_M。计算(z₁)^a1,(z₂)^a2,……,(z_M)^aM。能够计算f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)r₀，将其计算结果设为z₀。判定是否为(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀。

发明效果

能够将使用黑匣计算的次数最小变为M+1回。

附图说明

图1是用于说明实施方式的代理计算系统的结构的模块图。

图2是用于说明实施方式的委托装置以及计算装置的结构的模块图。

图3是用于说明实施方式的代理计算系统的处理的流程图。

具体实施方式

以下，参照附图说明本发明的一个实施方式。

将G,H设为循环群，将M设为2以上的整数，设i=1,……,M，将f设为向群G写入群H的元x_i的同态函数，将R_i以及R₀设为在群G中具有值的概率变量，将r_i设为概率变量R_i的实现值，将r₀设为概率变量R₀的实现值，将a_i设为0以上的整数的随机数。

委托装置1的随机数生成部11生成0以上的整数的随机数a₁,a₂,……,a_M（步骤S1）。关于生成的随机数a₁,a₂,……,a_M的信息被发送至幂计算部12以及计算装置2。

控制部13将1代入t（步骤S2）。

委托装置1的第一委托部14将委托f(x₁)r₁,f(x₂)r₂,……,f(x_M)r_M的计算的委托信息发送至计算装置2（步骤S3）。例如，委托信息包含作为群H的元的x₁,x₂,……,x_M。若计算装置2能够计算f(x₁)r₁,f(x₂)r₂,……,f(x_M)r_M，则在委托信息中也可以不包含x₁,x₂,……,x_M。

计算装置2的标本器21能够计算f(x₁)r₁,f(x₂)r₂,……,f(x_M)r_M，将其计算结果分别设为z₁,z₂,……,z_M（步骤S4）。计算结果z₁,z₂,……,z_M被发送至委托装置1。即，关于f(x₁)r₁的计算结果变为z₁，关于f(x₂)r₂的计算结果变为z₂，……，关于f(x_M)r_M的计算结果变为z_M。

在本申请中，能够计算表示能够以不能忽略的概率以上的概率计算。不能忽略的概率是将作为关于安全参数k的广义单调增加函数的多项式设为多项式Φ(k)，1/Φ(k)以上的概率。

在此，计算f(x)r是计算被定义为f(x)r的式的值。若能够最终地计算式f(x)r的值，则不问途中的计算方法。这与在本申请中出现的其他式的计算也同样。

委托装置1的幂计算部12将计算结果z₁,z₂,……,z_M分别进行a₁,a₂,……,a_M次幂运算（步骤S5）。即，计算(z₁)^a1,(z₂)^a2,……,(z_M)^aM。(z₁)^a1,(z₂)^a2,……,(z_M)^aM被存储至第一存储部17。

在此，设i=1,2,……,M，(z_i)的右上角的ai是a_i。像这样，在本申请中，将α设为第一字符，将β设为第二字符，将γ设为数字而记载α^βγ的情况下，其βγ表示β_γ，即β的下标γ。

委托装置1的第二委托部15将委托f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)r₀的计算的委托信息发送至计算装置2（步骤S6）。例如，委托信息包含作为群H的元的x₁,x₂,……,x_M。若计算装置2能够计算f(x₁)r₁,f(x₂)r₂,……,f(x_M)r_M，则委托信息也可以不包含x₁,x₂,……,x_M。

计算装置2的可扩展随机化标本器22能够计算f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)r₀，将其计算结果设为z₀（步骤S7）。计算结果z₀被发送至委托装置1，被存储至委托装置1的第二存储部18。

可扩展随机化标本器22使用随机数a₁,a₂,……,a_M，对f(x₁×x₂×……×x_M)进行随机化，基于具有不依赖于随机数a₁,a₂,……,a_M的分布的概率变量R₀提供误差。

例如，可扩展随机化标本器22使用作为将x₁ ^a1×x2^a2×……×x_M ^aMh^s设为自变量的黑匣的概率的函数F计算f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)r₀的值。即，可扩展随机化标本器22例如计算F(x₁ ^a1×x₂ ^a2×……×x_M ^aMh^s)f(h)^-s的值，设为z₀。在此，h是群H的生成元，s是0以上的整数的随机数。在此，概率的函数F是以规定的概率以上的概率输出与函数f相同值的概率的函数。即，对任意的输入x_c∈H以规定的概率以上的概率成为F(x_c)=f(x_c)。

若将U设为群H的一致分布，设概率变量R₀=F(U)f(U)^-1，则F(x₁ ^a1×x₂ ^a2×……×x_M ^aMh^s)f(h)^-s的分布变得与f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)R₀的分布相等。这是因为F(x₁ ^a1×x₂ ^a2×……×x_M ^aMh^s)f(h)^-s=f(x₁ ^a1×x₂ ^a2×……×x_M ^aMh^s)R₀f(h)^-s=f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)f(h)^sR₀f(h)^-s=f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)R₀。在上述式展开中，由于f的同态函数的性质以及R₀=F(U)f(U)^-1=F(x₁ ^a1×x₂ ^a2×……×x_M ^aMh^s)f(x₁ ^a1×x₂ ^a2×……×x_M ^aMh^s)^-1，使用F(x₁ ^a1×x₂ ^a2×……×x_M ^aMh^s)=f(x₁ ^a1×x₂ ^a2×……×x_M ^aMh^s)R₀的性质

委托装置1的判定部16使用从第一存储部17读入的(z₁)^a1,(z₂)^a2,……,(z_M)^aM以及从第二存储部18读入的z₀，判定是否为(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀（步骤S8）。

在(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀的情况下，如后述那样，该情况下的z₁,z₂,……,z_M分别成为f(x₁),f(x₂),……,f(x_M)。因此，输出部19将该情况下的z₁,z₂,……,z_M分别作为f(x₁),f(x₂),……,f(x_M)而输出（步骤S9）。

在(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀的情况下，为(f(x₁)r₁)^a1×(f(x₂)r₂)^a2×……×(f(x_M)r_M)^aM=f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)r₀，若考虑函数f是同态函数，则为r₁ ^a1×r₂ ^a2×……×r_M ^aM=r₀。此时，发明人看出r₁,r₂,……,r_M是群G的单位元e_g的可能性非常高。

原因是，第一，通过如非专利文献1所示的代理计算的原理，判定为(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀，能够以非常高的概率判定为z₀=f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)。第二，由于f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)=f(x₁)^a1×f(x₂)^a2×……×f(x_M)^aM，所以z₀=f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)成立，则z₀=f(x₁)^a1×f(x₂)^a2×……×f(x_M)^aM成立。第三，关于将a_i设为0以上的整数的随机数而计算z₀=f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)的任意的方法，若重复此方法，则使用如参考文献1以及参考文献2所示的方法，能够从z₀=f(x₁)^a1×f(x₂)^a2×……×f(x_M)^aM导出关于各i的f(x_i)。第四，通过与在第三中使用的方法完全相同的方法、使用与在第三中使用的整数a_i完全相同的值，也能够从(z₁)^a1×(z₂)^a2×……×(z_M)^aM导出关于各i的z_i。由以上，若(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀=f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)=f(x₁)^a1×f(x₂)^a2×……×f(x_M)^aM，则关于各i，z_i=f(x_i)的可能性非常高。因此，若(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀，则r₁,r₂,……,r_M是群G的单位元e_g的可能性非常高。

〔参考文献1〕M.Bellare,J.Garay,andT.Rabin,“FastBatchVerificationforModularExponentiationandDigitalSignatures,”AdvancesinCryptology-EUROCRYPT'98,LNCS1403,pp.236-250,Springer-Verlag,1998.

〔参考文献2〕K.ChidaandG.Yamamoto,“BatchProcessingofInteractiveProofs,”TopicsinCryptology-CT-RSA2007,LNCS4377,pp.196-207,Springer,2007.

因此，在(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀的情况下，成为z₁=f(x₁)r₁=f(x₁)e_g=f(x₁),z₂=f(x₂)r₂=f(x₂)e_g=f(x₂),……,z_M=f(x_M)r_M=f(x₁)e_g=f(x_M)。

控制部13判定是否为t=T（步骤S10）。T是预先决定的1以上的整数。若t=T，则输出部19输出不能计算的信息，例如记号“⊥”（步骤S11），并结束处理。在非t=T的情况下，控制部13仅将t增量1，即将t+1代入t（步骤S12），并返回步骤S3。

不能计算的信息（在此例中是记号“⊥”）表示计算装置2进行正确计算的可靠性低于由T决定的基准。换言之，表示通过T回的重复未能进行正确的运算。

在步骤S12之后，与上述相同，委托装置1使在计算装置2中计算z₁,z₂,……,z_M的全部或一部分（步骤S3，步骤S4）。幂计算部12分别关于计算出的全部或一部分z₁,z₂,……,z_M，使用对应的随机数a₁,a₂,……,a_M进行求幂（步骤S5）。求幂后的(z₁)^a1,(z₂)^a2,……,(z_M)^aM被存储至第一存储部17。

在步骤S8的处理中，z₀,(z₁)^a1,(z₂)^a2,……,(z_M)^aM的至少一个被多个存储至第一存储部17以及第二存储部18的情况下，分别针对通过分别从在第一存储部17以及第二存储部18中存储的z₀,(z₁)^a1,(z₂)^a2,……,(z_M)^aM中逐个地选择而构成的z₀,(z₁)^a1,(z₂)^a2,……,(z_M)^aM的全部的组(z₀,(z₁)^a1,(z₂)^a2,……,(z_M)^aM)，判定部16判定是否满足(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀的关系（步骤S8）。

例如，将k₀,k₁,……,k_M设为1以上的整数，设为k₀个z₀、k₁个z₁、……、k_M个z_M被存储至第一存储部17以及第二存储部18。此时，通过分别从在第一存储部17以及第二存储部18中存储的z₀,(z₁)^a1,(z₂)^a2,……,(z_M)^aM中逐个地选择而构成的z₀,(z₁)^a1,(z₂)^a2,……,(z_M)^aM的组(z₀,(z₁)^a1,(z₂)^a2,……,(z_M)^aM)存在k₀×k₁×k₂×……×k_M个。因此，判定部16分别针对k₀×k₁×k₂×……×k_M个组(z₀,(z₁)^a1,(z₂)^a2,……,(z_M)^aM)，判定是否满足(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀的关系。

在第一次的步骤S8的处理中满足(z₁)^a1×(z₂)^a2×……×(z_M)^aM=z₀的关系的情况下，标本器21使用M回黑匣进行z₁,z₂,……,z_M的计算，可扩展随机化标本器22使用1回黑匣F进行z₀的计算，参照黑匣的次数为总计M+1回。像这样，能够将使用黑匣而计算的次数最小变为M+1回。

［变形例等］

概率变量R₀,R₁,……,R_M可以相同也可以不同。

随机数生成部11通过生成一致随机数，代理计算系统的安全性变得最高。但是，在求得的安全性的级别不那么高的情况下，随机数生成部11也可以生成不是一致随机数的随机数。

此外，委托装置1也可以将多个委托信息汇总并提供至计算装置2，将对应的z₀,z₁,z₂,……,z_M多个汇总并取得。由此，能够减少委托装置1与计算装置2之间的交换次数。

委托装置1以及计算装置2的各部之间的数据的交换可以直接进行，也可以通过未图示的存储部进行。

其他，本发明不限定于上述的实施方式。例如，上述的各种处理不仅根据记载在时域中执行，也可以根据执行处理的装置的处理能力或需要而并行或单独执行。

例如，在z₀,(z₁)^a1,(z₂)^a2,……,(z_M)^aM的至少一个被多个存储至第一存储部17以及第二存储部18的情况下，如图3中虚线所示那样，判定部16也可以在步骤S5与步骤S6之间进行步骤S8的处理。

此外，在通过计算机实现上述的结构的情况下，通过程序记述各装置应有的功能的处理内容。然后，通过将该程序通过计算机执行，在计算机上实现上述处理功能。

记述该处理内容的程序能够记录在计算机可读取的记录介质中。作为计算机可读取的记录介质，也可以是例如磁记录装置、光盘、光磁记录介质、半导体存储器等的任一种。

其他，不用说在不脱离本发明的主旨的范围中能够适当变更。

Claims (6)

1.一种涉及使用在其他计算机中进行的计算结果进行计算的技术的代理计算系统，其能够将使用黑匣计算的次数最小变为M+1回，其中，将G,H设为循环群，将M设为2以上的整数，设i＝1,……,M，将f设为向群G写入群H的元x_i的同态函数，将R_i以及R₀设为在群G中具有值的概率变量，将r_i设为概率变量R_i的实现值，将r₀设为概率变量R₀的实现值，将a_i设为0以上的整数的随机数，所述代理计算系统包含：

随机数生成部，生成随机数a₁,a₂,……,a_M；

标本器，能够计算f(x₁)r₁,f(x₂)r₂,……,f(x_M)r_M，将其计算结果分别设为z₁,z₂,……,z_M；

幂计算部，计算(z₁)^a1,(z₂)^a2,……,(z_M)^aM；

可扩展随机化标本器，能够计算f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)r₀，将其计算结果设为z₀；

判定部，判定是否为(z₁)^a1×(z₂)^a2×……×(z_M)^aM＝z₀。

2.在权利要求1的代理计算系统中，

将以规定的概率以上的概率输出与函数f相同值的概率的函数设为F，将群H的生成元设为h，将0以上的整数的随机数设为s，

上述可扩展随机化标本器计算F(x₁ ^a1×x₂ ^a2×……×x_M ^aMh^s)f(h)^-s的值，将其计算结果设为z₀。

3.一种涉及使用在其他计算机中进行的计算结果进行计算的技术的代理计算方法，其能够将使用黑匣计算的次数最小变为M+1回，其中，将G,H设为循环群，将M设为2以上的整数，设i＝1,……,M，将f设为向群G写入群H的元x_i的同态函数，将R_i以及R₀设为在群G中具有值的概率变量，将r_i设为概率变量R_i的实现值，将r₀设为概率变量R₀的实现值，将a_i设为0以上的整数的随机数，所述代理计算方法包含：

随机数生成步骤，随机数生成部生成随机数a₁,a₂,……,a_M；

标本提取步骤，标本器能够计算f(x₁)r₁,f(x₂)r₂,……,f(x_M)r_M，将其计算结果分别设为z₁,z₂,……,z_M；

幂计算步骤，幂计算部计算(z₁)^a1,(z₂)^a2,……,(z_M)^aM；

可扩展随机化标本提取步骤，可扩展随机化标本器能够计算f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)r₀，将其计算结果设为z₀，

判定步骤，判定部判定是否为(z₁)^a1×(z₂)^a2×……×(z_M)^aM＝z₀。

4.在权利要求3的代理计算方法中，

将以规定的概率以上的概率输出与函数f相同值的概率的函数设为F，将群H的生成元设为h，将0以上的整数的随机数设为s，

上述可扩展随机化标本提取步骤计算F(x₁ ^a1×x₂ ^a2×……×x_M ^aMh^s)f(h)^-s的值，将其计算结果设为z₀。

5.一种涉及使用在其他计算机中进行的计算结果进行计算的技术的委托装置，其能够将使用黑匣计算的次数最小变为M+1回，其中，将G,H设为循环群，将M设为2以上的整数，设i＝1,……,M，将f设为向群G写入群H的元x_i的同态函数，将R_i以及R₀设为在群G中具有值的概率变量，将r_i设为概率变量R_i的实现值，将r₀设为概率变量R₀的实现值，将a_i设为0以上的整数的随机数，所述委托装置包含：

随机数生成部，生成随机数a₁,a₂,……,a_M；

幂计算部，使用能够计算f(x₁)r₁,f(x₂)r₂,……,f(x_M)r_M的标本器的计算结果z₁,z₂,……,z_M，计算(z₁)^a1,(z₂)^a2,……,(z_M)^aM；

判定部，使用上述幂计算部的计算结果以及能够计算f(x₁ ^a1×x₂ ^a2×……×x_M ^aM)r₀的可扩展随机化标本器的计算结果z₀，判定是否为(z₁)^a1×(z₂)^a2×……×(z_M)^aM＝z₀。

6.在权利要求5的委托装置中，

将以规定的概率以上的概率输出与函数f相同值的概率的函数设为F，将群H的生成元设为h，将0以上的整数的随机数设为s，

上述可扩展随机化标本器计算F(x₁ ^a1×x₂ ^a2×……×x_M ^aMh^s)f(h)^-s的值，将其计算结果设为z₀。