CN113966511A

CN113966511A - 秘密除法系统、秘密计算装置、秘密除法方法以及程序

Info

Publication number: CN113966511A
Application number: CN201980097230.5A
Authority: CN
Inventors: 滨田浩气
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2019-06-10
Filing date: 2019-06-10
Publication date: 2022-01-21
Also published as: AU2019450855A1; US20220224516A1; EP3982282A4; WO2020250269A1; JP7173328B2; JPWO2020250269A1; EP3982282A1; AU2019450855B2; EP3982282B1

Abstract

以较少的处理级数实现除法。秘密计算装置(1)使用实数N的隐匿值[N]和自然数D的隐匿值[D]，得到表示N除以D的结果的隐匿值。初始化部(12)将部分余数P_L1的隐匿值[P_L1]设定为0。并行比较部(13)计算将部分除数n＝P_j+1R+N_j的隐匿值[n]与对于大于等于1且小于R的各整数g的[D]×g并行地进行了比较后的比较结果E₁,…,E_R‑1的隐匿值[E₁],…,[E_R‑1]。更新部(14)使用比较结果E₁,…,E_R‑1的隐匿值[E₁],…,[E_R‑1]，计算满足n＝DQ_j+P_j的商Q_j的隐匿值[Q_j]和部分余数P_j的隐匿值[P_j]。反复控制部(15)对于从L₁‑1至‑L₀的各整数j，执行并行比较部(13)和更新部(14)。

Description

秘密除法系统、秘密计算装置、秘密除法方法以及程序

技术领域

本发明涉及加密应用技术，特别涉及不公开输入或输出的值地高效进行除法的技术。

背景技术

作为不复原被加密后的数值而得到特定的运算结果的方法，有称为秘密计算的方法(例如，参照非专利文献1)。在非专利文献1中记载的方法中，进行使数值的片断分散在三个秘密计算装置中的加密，通过三个秘密计算装置进行协同计算，可以不复原数值地、将加减运算、常数加法、乘法、常数倍、逻辑运算(“非”、“与”、“或”、“异或”)、数据形式变换(整数、二进数)的结果在被分散在三个秘密计算装置中的状态，即仍被加密的情况下进行保持。

有在不公开输入或输出的值而进行除法的情况下，在秘密计算中实现Goldschmidt除法的方法(例如，参照非专利文献2)。

现有技术文献

非专利文献

非专利文献1:千田浩司、濱田浩気、五十嵐大、高橋克巳、“軽量検証可能3パーティ秘匿関数計算の再考”、CSS、2010年

非专利文献2:Dan Bogdanov,Margus Niitsoo,Tomas Toft,and JanWillemson,"High-performance secure multi-party computation for data miningapplications,"International Journal of Information Security,Vol.11,No.6,pp.403-418,2012.

发明内容

发明要解决的课题

可是，在秘密计算中实现Goldschmidt除法的情况下，需要使用定点数的乘法。在秘密计算中定点数的乘法存在处理级数即通信次数多的问题。

本发明的目的是鉴于上述的技术课题，不使用定点数的乘法，而以较少的处理级数实现除法。

用于解决课题的方案

为了解决上述的课题，本发明的一个方式的秘密除法系统将R设为大于等于3的整数，将L₀、L₁设为非负的整数，将N设为大于等于0且小于R^L1的实数，将D设为自然数，将N_-L0,…,N_L1-1设为N的R进制下的从小数点以下第L₀位至整数部第L₁位的各位的值，将j设为从L₁-1至-L₀的各整数，秘密除法系统是包含多个秘密计算装置，并使用N的隐匿值[N]和D的隐匿值[D]，得到表示N除以D的结果的隐匿值的秘密除法系统，秘密计算装置包括：将部分余数P_L1的隐匿值[P_L1]设定为0的初始化部；计算将部分除数n＝P_j+1R+N_j的隐匿值[n]与对于大于等于1且小于R的各整数g的[D]×g并行地进行了比较后的比较结果E₁,…,E_R-1的隐匿值[E₁],…,[E_R-1]的并行比较部；以及使用比较结果E₁,…,E_R-1的隐匿值[E₁],…,[E_R-1]，计算满足n＝DQ_j+P_j的商Q_j的隐匿值[Q_j]和部分余数P_j的隐匿值[P_j]的更新部。

发明的效果

按照本发明，由于不使用定点数的乘法而实现除法，所以可以以较少的处理级数实现除法。

附图说明

图1是例示秘密除法系统的功能结构的图。

图2是例示秘密计算装置的功能结构的图。

图3是例示秘密除法方法的处理过程的图。

图4是例示计算机的功能结构的图。

具体实施方式

首先，说明本说明书中的记述方法以及用语的定义。

＜记述方法＞

将通过加密或秘密分散等将某个值a隐匿化后的值称为a的隐匿值，记述为[a]。在隐匿化为秘密分散的情况下，通过[a]参照各秘密计算装置持有的秘密分散的片断的集合。

变量的定义域中的[a，b](方括弧)表示闭区间，(a，b)(圆括弧)表示开区间。例如，i∈[a，b]表示i取大于等于a且小于等于b的值。另外，i∈[a，b)表示i取大于等于a且小于b的值。

<加法、减法、乘法＞

对于隐匿文的加法、减法、乘法的各运算将两个值a、b的隐匿值[a]、[b]设为输入，分别计算a+b、a-b、ab的计算结果c₁、c₂、c₃的隐匿值[c₁]、[c₂]、[c₃]。将这些运算的执行分别如下式那样记述。

[数学式1]

[c₁]←Add([a]，[b])，

[c₂]←Sub([a]，[b])，

[c₃]←Mul([a]，[b])

在没有带来误解的顾虑的情况下，将Add([a]，[b])、Sub([a]，[b])、Mul([a]，[b])分别略记为[a]+[b]、[a]-[b]、[a]×[b]。

<比较>

比较的运算将两个值a、b的隐匿值[a]、[b]设为输入，计算a≤b的真假值c∈{0，1}的隐匿值[c]。在真假值为真时设为1，假时设为0。如下式那样记述该运算的执行。

[数学式2]

以下，详细地说明本发明的实施方式。另外，在附图中对具有相同的功能的结构部附加相同的标号，省略重复说明。

[实施方式]

实施方式的秘密除法系统将被除数N的隐匿值[N]和除数D的隐匿值[D]设为输入，计算并输出N/D的R进制下的小数点以下的第L₀位至整数部第L₁位为止的各位的值Q_-L0，...，Q_L1-1的隐匿值[Q_-L0]，...，[Q_L1-1]。这里，设R为大于等于3的整数，L₀、L₁为非负的整数，N为大于等于0且小于R^L1L1的实数，D为自然数。另外，在实施方式中使用的[N_-L0]，[N_-L0+1]，...，[N_L1-2]，[N_L1-1]是如下式那样表示N的R进制分解的N_-L0，N_-L0+1，...，N_L1-2，N_L1-1的隐匿值。

[数学式3]

参照图1，说明实施方式的秘密除法系统的结构例。秘密除法系统100例如如图1所示，包含K(≧2)台秘密计算装置1₁,…,1_K。在本实施方式中，秘密计算装置1₁,…,1_K分别被连接至通信网9。通信网9是被连接的各装置相互可通信地构成的线路交换方式或者分组交换方式的通信网，例如能够使用因特网或者LAN(Local Area Network，局域网)、WAN(WideArea Network，广域网)等。另外，各装置不一定需要能够经由通信网9以在线方式进行通信。例如，也可以构成为将输入至秘密计算装置1₁,…,1_K的信息存储在磁带或USB存储器等可拆装型记录介质中，从该可拆装型记录介质以离线方式输入至秘密计算装置1₁,…,1_K。

参照图2，说明实施方式的秘密除法系统100中包含的秘密计算装置1_k(k＝1,…,K)的结构例。秘密计算装置1_k例如如图2所示，包含：输入部11、初始化部12、并行比较部13、更新部14、反复控制部15、以及输出部16。该秘密计算装置1_k(k＝1,…,K)通过一边与其它秘密计算装置1_k'(k'＝1,…,K，其中k≠k')协同，一边进行在后叙述的各步骤的处理来实现本方式的秘密除法方法。

秘密计算装置1_k例如是在具有中央运算处理装置(CPU:Central ProcessingUnit)、主存储装置(RAM:Random Access Memory)等的公知或者专用的计算机中读入特别的程序而构成的特别的装置。秘密计算装置1_k例如在中央运算处理装置的控制下执行各处理。输入到秘密计算装置1_k的数据或在各处理中得到的数据例如被存储在主存储装置中，主存储装置中存储的数据根据需要被读出至中央运算处理装置而被利用于其它的处理。秘密计算装置1_k的各处理部的至少一部分也可以通过集成电路等硬件构成。

参照图3，说明实施方式的秘密除法系统100执行的秘密除法方法的处理过程。

在步骤S11中，向各秘密计算装置1_k的输入部11输入被除数N的隐匿值[N]和除数D的隐匿值[D]。也可以取代被除数N的隐匿值[N]，向输入部11输入表示被除数N的R进制分解的N_-L0,N_-L0+1,…,N_L1-2,N_L1-1的隐匿值[N_-L0],…,[N_L1-1]。在向输入部11输入了被除数N的隐匿值[N]的情况下，输入部11从被除数N的隐匿值[N]生成表示被除数N的R进制分解的N_-L0,N_-L0+1,…,N_L1-2,N_L1-1的隐匿值[N_-L0],…,[N_L1-1]。输入部11将表示被除数N的R进制分解的N_-L0，N_-L0+1，...，N_L1-2，N_L1-1的隐匿值[N_-L0]，...，[N_L1-1]和除数D的隐匿值[D]输出到并行比较部13。

在步骤S12中，各秘密计算装置1_k的初始化部12将部分余数P_L1的隐匿值[P_L1]初始化为[P_L1]＝0。另外，将反复处理的索引j初始化为j＝L₁-1。初始化部12将部分余数P_L1的隐匿值[P_L1]输出至并行比较部13。另外，将索引j输出至反复控制部15。

在步骤S13中，各秘密计算装置1_k的并行比较部13计算将作为n＝P_j+1R+N_j的部分除数n的隐匿值[n]与作为g∈[1，R)的各[D]×g分别并行地进行了比较后的结果E_g的隐匿值[E_g](g∈[1，R))。具体地说，并行比较部13通过下式，对大于等于1且小于R的各整数g计算比较结果E_g的隐匿值[E_g]。并行比较部13将比较结果E₁，...，E_R-1的隐匿值[E₁]，...，[E_R-1]输出至更新部14。

[数学式4]

在步骤S14中，各秘密计算装置1_k的更新部14使用比较结果E₁，...，E_R-1的隐匿值[E₁]，...，[E_R-1]，计算商Q_j的隐匿值[Q_j]和部分余数P_j的隐匿值[P_j]。另外，Qj和Pj满足n＝DQ_j+P_j，Q_j∈[0，R)，P_j∈[0，R)。具体地说，更新部14通过下式计算商Q_j的隐匿值[Q_j]和部分余数P_j的隐匿值[P_j]。更新部14将商Q_j的隐匿值[Q_j]和部分余数P_j的隐匿值[P_j]输出至输出部16。

[数学式5]

[Q_j]：＝[E₁]+...+[E_R-1]，

[P_j]：＝[n]-[D]×[Q_j]

在步骤S15-1中，各秘密计算装置1_k的反复控制部15判定j是否为小于等于-L₀，即判定j≤-L₀的真假。若j≤-L₀为假，即j＞-L₀，则将处理进至步骤S15-2。若j≤-L₀为真，则将处理进至步骤S16。在步骤S15-2中，各秘密计算装置1_k的反复控制部15将j递减，即计算j＝j-1，将处理返回至步骤S13。换言之，反复控制部15对j＝L₁-1，...，-L₀的各j，进行反复执行并行比较部13和更新部14的控制。

在步骤S16中，各秘密计算装置1_k的输出部16输出商Q_-L0，...，Q_L1-1的隐匿值[Q_-L0]，...，[Q_L1-1]。

以下表示在上述的实施方式中执行的算法。

[数学式6]

1.

2.for j＝L_1-1 to-L₀do

(a)[n]：＝[P_j+1]×R+[N_j]

(b)

(c)[Q_j]：＝[E₁]+...+[E_R-1]，[P_j]：＝[n]-[D]×[Q_j]

在上述实施方式的结构中，能够通过L₀+L₁级的比较实现除法。1次除法所需要的级数小，所以特别是在串行地反复执行除法时执行时间变短。

在上述实施方式中设为R＝2的情况下，相当于以比特为单位计算除法。以比特为单位计算的除法比较的级数大。在上述实施方式中，虽然比较的次数与以比特为单位计算的除法比较增大为约(R-1)/(log₂R)倍，但是可以将级数缩小为约1/(log₂R)倍。

以上，说明了发明的实施方式，但是具体的结构不限于这些实施方式，不言而喻，即使在不脱离发明的宗旨的范围内有适当设计的变更等，也包含在发明中。实施方式中说明的各种的处理不仅按照记载的顺序时间序列地被执行，也可以根据执行处理的装置的处理能力或者需要并行或者单独地被执行。

[程序、记录介质]

在通过计算机实现上述实施方式中说明的各装置中的各种处理功能的情况下，通过程序记述各装置应有的功能的处理内容。然后，使该程序读入图4所示的计算机的存储部1020中，通过使控制部1010、输入部1030、输出部1040等动作，在计算机上实现上述各装置中的各种处理功能。

记述了该处理内容的程序能够记录在计算机可读取的记录介质中。作为计算机可读取的记录介质，例如可以是磁记录装置、光盘、光磁记录介质、半导体存储器等任何介质。

而且，该程序的流通例如通过销售、转让、租借等记录了该程序的DVD、CD-ROM等可拆装型记录介质来进行。进而，也可以设为将该程序存储在服务器计算机的存储装置中，经由网络，通过将该程序从服务器计算机转发到其它计算机，使该程序流通的结构。

执行这样的程序的计算机例如首先将可拆装型记录介质中记录的程序或者从服务器计算机转发的程序暂时存储在自己的存储装置中。然后，在执行处理时，该计算机读取自己的存储装置中存储的程序，执行按照读取的程序的处理。而且，作为该程序其它执行方式，计算机也可以从可拆装型记录介质直接读取程序，执行按照该程序的处理，进而，也可以在每次从服务器计算机对该计算机转发程序时，逐次执行按照接受的程序的处理。而且，也可以设为通过不进行从服务器计算机向该计算机的程序的转发，仅通过该执行指示和结果取得来实现处理功能的、所谓ASP(Application Service Provider，应用服务提供商)型的服务，执行上述的处理的结构。而且，本方式中的程序中，包含供电子计算机的处理用的信息即基于程序的信息(虽然不是对于计算机的直接的指令，但是具有规定计算机的处理的性质的数据等)。

另外，在本方式中，设为通过在计算机上执行规定的程序来构成本装置，但是也可以硬件性地实现这些处理内容的至少一部分。

Claims

1.一种秘密除法系统，将R设为大于等于3的整数，将L₀、L₁设为非负的整数，将N设为大于等于0且小于R^L1的实数，将D设为自然数，将N_-L0,…,N_L1-1设为N的R进制下的从小数点以下第L₀位至整数部第L₁位的各位的值，将j设为从L₁-1至-L₀的各整数，

上述秘密除法系统包含多个秘密计算装置，并使用N的隐匿值[N]和D的隐匿值[D]，得到表示N除以D的结果的隐匿值，

上述秘密计算装置包括：

初始化部，将部分余数P_L1的隐匿值[P_L1]设定为0；

并行比较部，计算将部分除数n＝P_j+1R+N_j的隐匿值[n]与对于大于等于1且小于R的各整数g的[D]×g并行地进行了比较后的比较结果E₁,…,E_R-1的隐匿值[E₁],…,[E_R-1]；以及

更新部，使用上述比较结果E₁,…,E_R-1的隐匿值[E₁],…,[E_R-1]，计算满足n＝DQ_j+P_j的商Q_j的隐匿值[Q_j]和部分余数P_j的隐匿值[P_j]。

2.如权利要求1所述的秘密除法系统，其中，

上述并行比较部通过下式计算对于g的比较结果E_g的隐匿值[E_g]，

[数学式7]

3.如权利要求1或者2所述的秘密除法系统，其中，

上述更新部通过下式计算商Q_j的隐匿值[Q_j]，

[数学式8]

[Q_j]：＝[E₁]+...+[E_R-1]

通过下式计算部分余数P_j的隐匿值[P_j]，

[数学式9]

[P_j]：＝[n]-[D]×[Q_j]。

4.一种秘密计算装置，将R设为大于等于3的整数，将L₀、L₁设为非负的整数，将N设为大于等于0且小于R^L1的实数，将D设为自然数，将N_-L0,…,N_L1-1设为N的R进制下的从小数点以下第L₀位至整数部第L₁位的各位的值，将j设为从L₁-1至-L₀的各整数，

上述秘密计算装置被用于秘密除法系统，该秘密除法系统使用N的隐匿值[N]和D的隐匿值[D]，得到表示N除以D的结果的隐匿值，

上述秘密计算装置包括：

初始化部，将部分余数P_L1的隐匿值[P_L1]设定为0；

5.一种秘密除法方法，将R设为大于等于3的整数，将L₀、L₁设为非负的整数，将N设为大于等于0且小于R^L1的实数，将D设为自然数，将N_-L0,…,N_L1-1设为N的R进制下的从小数点以下第L₀位至整数部第L₁位的各位的值，将j设为从L₁-1至-L₀的各整数，

上述秘密除法方法由秘密除法系统执行，该秘密除法系统包含多个秘密计算装置，并使用N的隐匿值[N]和D的隐匿值[D]，得到表示N除以D的结果的隐匿值，

上述秘密除法方法中，

各秘密计算装置的初始化部将部分余数P_L1的隐匿值[P_L1]设定为0，

各秘密计算装置的并行比较部计算部分除数n＝P_j+1R+N_j的隐匿值[n]与对于大于等于1且小于R的各整数g的[D]×g并行地进行了比较后的比较结果E₁,…,E_R-1的隐匿值[E₁],…,[E_R-1]，

各秘密计算装置的更新部使用上述比较结果E₁,…,E_R-1的隐匿值[E₁],…,[E_R-1]，计算满足n＝DQ_j+P_j的商Q_j的隐匿值[Q_j]和部分余数P_j的隐匿值[P_j]。

6.一种程序，用于使计算机具有作为权利要求4所述的秘密计算装置的功能。