JP2008176192A - 暗号変換方法および装置、並びにプログラム - Google Patents

Abstract

【課題】秘匿関数計算の処理高速化。
【解決手段】公開演算装置、暗号化乱数生成装置、復号装置を用い、数値ａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_i∈｛０，１｝）につきａ_iを明かさず、準同型暗号Ｅにより暗号化した暗号文Ｅ（ａ）から、別の準同型暗号Ｅ’により、暗号文Ｅ’（ａ₀）求める。暗号化乱数生成装置は、乱数ビットｒ₀の暗号文Ｅ（ｒ₀），Ｅ’（ｒ₀）、及び、０以上２^m＋k未満の乱数ｓの暗号文Ｅ（ｓ）を生成する。公開演算装置は、Ｅ（ａ），Ｅ（ｒ₀），Ｅ（ｓ）を入力とし、Ｅ（ｙ）＝Ｅ（ａ＋ｒ₀＋２ｓ）を計算する。復号装置は、Ｅ（ｙ）を入力し、ｙ＝ａ＋ｒ₀＋２ｓ＝Σ_i=0 ^m+k２ⁱｙ_iを復号する。公開演算装置は、Ｅ’（ｒ₀）及びｙの最下位ビットｙ₀を入力として、数１

を計算する。
【選択図】図２

Description

本発明は暗号応用技術に関するものであり、特に暗号文を入力として平文を明かすことなく別の暗号化関数を用いた暗号文に変換する技術に関する。

従来技術として、ある暗号化関数（準同型暗号）Ｅによって暗号化された数値に対して、当該数値を明かすことなく、当該数値をビット毎に同じ暗号化関数Ｅを用いて暗号化する方法（以下、方法１）が提案されている（非特許文献１）。

一方、数値をビット毎に暗号化することで、任意の論理演算についてデータを明かすことなく実行可能とする方法（秘匿回路計算）が多数報告されている（例えば、非特許文献２、３）。従って、方法１を用いれば、数値の暗号文を入力として秘匿回路計算が実行できるようになる。これにより、秘匿回路計算の入力を提供する装置（入力提供装置）は、ビット毎の暗号文を計算、保存する必要はなく、数値の暗号文のみ計算、保存すれば良くなるため、入力提供装置が計算資源やメモリ資源に乏しい場合の秘匿回路計算に有効となる。

B.Schoenmakers and P.Tuyls．Effcient binary conversion for Paillier encrypted values，Advances in Cryptology-EUROCRYPT 2006，Lecture Notes in Computer Science 4004，pp.522-537，Springer-Verlag，2006. R.Cramer，I.Damgard，and J.B.Nielsen，Multiparty computation from threshold homomorphic encryption，Advances in Cryptology—EUROCRYPT 2001，Lecture Notes in Computer Science 2045，pp.280-300，Springer-Verlag，2001. G.Yamamoto，K.Chida，A.Nasciment，K.Suzuki，and S.Uchiyama，Effcient non-optimistic secure circuit evaluation based on the ElGamal encryption，WISA 2005，Lecture Notes in Computer Science，pp.328-343，Springer-Verlag，2005.

準同型暗号を用いた、論理演算における秘匿関数計算は、Ｐaillier暗号に基づく方式と加法準同型ＥlＧamal暗号に基づく方式が知られている。また、加法準同型ＥlＧamal暗号はＰaillier暗号に比べ高速であることが知られている。しかし、加法準同型ＥlＧamal暗号に基づく秘匿関数計算は、一般的な算術演算には適していないことも知られている。

方法１は暗号化関数ＥをＰaillier暗号とした方法である。非特許文献２では、Ｐaillier暗号を用いて、数値を明かすことなく算術演算を実行する方法が示されている。また、非特許文献３では、加法準同型ＥlＧamal暗号を用いて、データを明かすことなくＰaillier暗号を用いた場合よりも効率良く論理演算を実行する方法が示されている。

このように、数値等のデータを明かすことなく算術演算と論理演算を効率良く計算するためには、方法１のようにデータ形式を変換するだけでなく、利用している暗号化関数も変換できることが望ましい場合がある。

本発明が解決しようとする課題は、数値等のデータを明かすことなく、データ形式だけでなくや暗号化関数も変換可能とすることである。

ある準同型暗号Ｅで暗号化された数値に対し、別の準同型暗号Ｅ’で暗号化されたビット毎の値を計算する。即ち、数値をａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_i∈｛０，１｝）としたとき、Ｅ（ａ）を入力として（Ｅ’（ａ_m-1），・・・，Ｅ’（ａ₀））を計算する。例えば、ＥをＰaillier暗号、Ｅ’を加法準同型ＥlＧamal暗号としたとき、非特許文献１の方法でＥ（ａ）からＡ＝（Ｅ（ａ_m-1），・・・，Ｅ（ａ₀））を計算し（ステップ１）、乱数ビットｒ_m-1，・・・，ｒ₀を用いてＡからＢ＝（Ｅ（ａ_m-1＋ｒ_m-1），・・・，Ｅ（ａ₀＋ｒ₀））を計算し（ステップ２）、Ｂを復号してＣ＝（ａ_m-1＋ｒ_m-1，・・・，ａ₀＋ｒ₀）を求め（ステップ３）、ＣをＥ’で暗号化してＤ＝（Ｅ’（ａ_m-1＋ｒ_m-1），・・・，Ｅ’（ａ₀＋ｒ₀））を求め（ステップ４）、Ｄから乱数ビットを除去し（Ｅ’（ａ_m-1），・・・，Ｅ’（ａ₀））を得る。なお、ここで「＋」は排他的論理和を意味する。
これは本発明の一例にすぎず、様々な変形、拡張が考えられる。それらについては実施の形態で説明する。

本発明によれば、方法１を用いた場合と比べ、データを明かすことなく算術演算や論理演算の組合せからなる処理を高速に実行することが可能になる。

以下、本発明の様々な実施の形態を説明する。

本実施例では、ある準同型暗号Ｅ（例えば、Ｐaillier暗号）を用いて数値ａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_i∈｛０，１｝）を暗号化した暗号文Ｅ（ａ）から、別の準同型暗号Ｅ’（例えば、加法準同型ＥlＧamal暗号）を用いて数値ａの最下位ビットａ₀を暗号化した暗号文Ｅ’（ａ₀）を計算する簡単な例について説明する。

図１は本実施例の構成図であり、暗号変換装置１００は公開演算装置１１０、暗号化乱数生成装置１２０、復号装置１３０からなる。各装置１１０、１２０、１３０はネットワークを介して接続されることでもよい。公開演算装置１１０は秘密鍵や乱数を一切必要せずに与えられた処理を実行する。そのため他の装置が同一処理を再現し、公開演算装置１１０の処理正当性を検証できる。暗号化乱数生成装置１２０は、指定された領域の乱数を生成して暗号化して出力する。装置から不正に乱数を取り出す攻撃に対して耐性を高めるために、非特許文献１で述べられた方法により、複数の装置が協力して単一の暗号化乱数を生成しても良い。これにより一部の装置の乱数を取り出しても数値ａに関する情報を得にくくできる。復号装置１３０は内部に復号鍵を保持し、暗号文を入力として復号結果を出力する。これも装置から不正に復号鍵を取り出す攻撃に対して耐性を高めるために、複数の装置の鍵を用いて処理した場合に限り復号できるようにしても良い。

図２は本実施例の処理フロー図である。以下、図１、図２により本実施例の処理手続きを説明する。
１．公開演算装置１１０は、ある準同型暗号Ｅを用いて数値ａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_i∈｛０，１｝）を暗号化した暗号文Ｅ（ａ）を入力する（ステップ１００１）。
２．暗号化乱数生成装置１２０は、乱数ビットｒ₀を生成し、準同型暗号Ｅ，Ｅ’により、該乱数ビットｒ₀の暗号文Ｅ（ｒ₀），Ｅ’（ｒ₀）を生成する（ステップ１００２）。また、暗号化乱数生成装置１２０は、０以上２^m+k未満の乱数ｓを生成し、準同型暗号Ｅにより、該乱数ｓの暗号文Ｅ（ｓ）を生成する（ステップ１００３）。ここで、ｋは適当な自然数で、セキュリティパラメータを示す。暗号化乱数生成装置１２０は、生成したＥ（ｒ₀），Ｅ’（ｒ₀），Ｅ（ｓ）を公開演算装置１１０に送る。
３．公開演算装置１１０は、Ｅ（ａ），Ｅ（ｒ₀），Ｅ（ｓ）を入力として、Ｅの準同型性を利用してＥ（ｙ）＝Ｅ（ａ＋ｒ₀＋２ｓ）を計算し、復号装置１３０に送る（ステップ１００４）。
４．復号装置１３０は、Ｅ（ｙ）を復号し、復号結果ｙ＝ａ＋ｒ₀＋２ｓ＝Σ_i=0 ^m+k２ⁱｙ_i（ｙ_i∈｛０，１｝）を公開演算装置１１０に送る（ステップ１００５）。なお、復号装置１３０は、復号結果ｙの最下位ビットｙ₀のみを公開演算装置１１０へ送ることでもよい。
５．公開演算装置１１０は、Ｅ’（ｒ₀）及び復号結果ｙの最下位ビットｙ₀を入力として、

を計算し、出力する（ステップ１００６、１００７）。
結果の正当性については、

が成り立つことから明らかである。

本実施例では、実施例１を発展させて、ある準同型暗号Ｅ（例えば、Ｐaillier暗号）を用いて数値ａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_i∈｛０，１｝）を暗号化した暗号文Ｅ（ａ）から、別の準同型暗号Ｅ’（例えば、加法準同型ＥlＧamal暗号）を用いて数値ａをビット毎に暗号化した暗号文（Ｅ’（ａ_m-1），・・・，Ｅ’（ａ₀））を計算する例について説明する。

図３は本実施例の構成図であり、暗号変換装置２００は公開演算装置２１０、暗号化乱数生成装置２２０、復号装置２３０及び秘匿論理演算装置２４０からなる。公開演算装置２１０、暗号化乱数生成装置２２０、復号装置２３０の機能は実施例１と基本的に同様である。秘匿論理演算装置２４０は、複数のビットの暗号文を入力として論理演算結果の暗号文を出力する。装置から不正に乱数や復号鍵といった秘密情報を取り出す攻撃に対して耐性を高めるために、例えば非特許文献２や３で述べられた方法により，複数の装置が協力して、閾値未満の装置の秘密情報を取り出しても数値ａに関する情報を得にくくするように論理演算を計算するようにしても良い。

図４は本実施例の処理フロー図である。以下、図３、図４により本実施例の処理手続きを説明する。
１．公開演算装置２１０は、ある準同型暗号Ｅを用いて数値ａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_i∈｛０，１｝）を暗号化した暗号文Ｅ（ａ）を入力する（ステップ２００１）。
２．暗号化乱数生成装置２２０は、乱数ビット（ｒ_m-1，・・・，ｒ₀）を生成し、準同型暗号Ｅ，Ｅ’により、該乱数ビットの暗号文Ｂ＝（Ｅ（ｒ_m-1），・・・，Ｅ（ｒ₀）），Ｃ＝（Ｅ’（ｒ_m-1），・・・，Ｅ’（ｒ₀））を生成する（ステップ２００２）。また、暗号化乱数生成装置２２０は、０以上２^m+k未満の乱数ｓを生成し、準同型暗号Ｅにより、該乱数ｓの暗号文Ｅ（ｓ）を生成する（ステップ２００３）。ここで、ｋはセキュリティパラメータを示す。暗号化乱数生成装置２２０は、Ｂ，Ｅ（ｓ）及びＣのＥ’（ｒ₀）を公開演算装置２１０に送り、Ｅ’（ｒ₀）以外のＣを秘匿論理演算装置２４０に送る。
３．公開演算装置２１０は、Ｅ（ａ），Ｂ，Ｅ（ｓ）を入力として、Ｅの準同型性を利用して、Ｅ（ｙ）＝Ｅ（ａ−Σ_i=0 ^m-1２ⁱｒ_i−２^mｓ）を計算し、復号装置２３０に送る（ステップ２００４）。
４．復号装置２３０は、Ｅ（ｙ）を復号し、復号結果ｙ＝ａ−Σ_i=0 ^m-1２ⁱｒ_i−２^mｓ＝（−１）^cΣ_i=0 ^m+k２ⁱｙ_i（ｃ，ｙ_i∈｛０，１｝）を得る（ステップ２００５）。復号装置２３０は、復号結果ｙの最下位ビットｙ₀を公開演算装置２１０に送り、残りのビットは秘匿論理演算装置２４０に送る。
５．公開演算装置２１０は、Ｅ’（ｒ₀）及びｙ₀を入力として、Ｅ’の準同型性を利用して、

及び、ｒ₀，ｙ₀のキャリーＥ’（ｃ₁）＝Ｅ’（ｒ₀∧ｙ₀）を計算する（ステップ２００６）。
公開演算装置２１０は、Ｅ’（ａ₀）はそのまま出力し（ステップ２００８）、Ｅ’（ｃ₁）は秘匿論理演算装置２４０に送る。
６．ｉ＝１，・・・，ｍ−１について、秘匿論理演算装置２４０は、Ｅ’（ｒ_i），ｙ_i、及びキャリーＥ’（ｃ_i）を入力として、

及び、ｒ_i，ｙ_iのキャリー

を生成する処理を繰り返す（ステップ２００７）。なお、ｉ＝ｍ−１であれば、キャリーの生成は不要である。
７．秘匿論理演算装置２４０は、Ｅ’（ａ_i）（ｉ＝１，・・・，ｍ−１）を出力する（ステップ２００８）。

本実施例の拡張として、暗号化乱数生成装置２２０はｔ台とし、０以上２^m+k未満の乱数の暗号文Ｅ（ｓ_j）（ｊ＝１，・・・，ｔ）を生成するようにしてもよい。この場合、公開演算装置２１０はＥ（ａ），Ｂ，Ｅ（ｓ_j）からＥ（ｙ）＝Ｅ（ａ−Σ_i=0 ^m-1２ⁱｒ_i−２^mΣ_i=1 ^tｓ_j）を計算する。復号装置２３０は、復号結果ｙ＝ａ−Σ_i=0 ^m-1２ⁱｒ_i−２^mΣ_i=1 ^tｓ_jを得る。

本実施例では、ある準同型暗号Ｅ（例えば、Ｐaillier暗号）を用いて数値ａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_i∈｛０，１｝）を暗号化した暗号文Ｅ（ａ）に対して、ビットごとに暗号化した暗号文（Ｅ（ａ_m-1），・・・，Ｅ（ａ₀））から、別の準同型暗号Ｅ’（例えば、加法準同型ＥlＧamal暗号）を用いて同じくビット毎に暗号化した暗号文（Ｅ’（ａ_m-1），・・・，Ｅ’（ａ₀））を計算する例について説明する。Ｅ（ａ）から（Ｅ（ａ_m-1），・・・，Ｅ（ａ₀））を計算する方法は非特許文献１に述べられている（方法１）。即ち、本実施例では、Ｅ（ａ）から（Ｅ（ａ_m-1），・・・，Ｅ（ａ₀））は秘匿計算装置を用いて計算済みであるとする。

図５は本実施例の構成図であり、暗号変換装置３００は公開演算装置３１０、置換装置３２０、復号装置３３０からなる。公開演算装置３１０、復号装置３３０の機能は実施例１と基本的に同様である。置換装置３２０は、ビットの暗号文Ｅ（ａ_i）を入力として当該ビットを確率的に反転し、反転情報の暗号文と共に出力する。装置から不正に反転情報を取り出す攻撃に対して耐性を高めるために、複数の装置が多重に処理を行うようにしても良い。

図６は本実施例の処理フロー図である。以下、図５、図６により本実施例の処理手続を説明する。
１．置換装置３２０は、Ａ＝（Ｅ(ａ_m-1),・・・,Ｅ(ａ₀)）を入力する（ステップ３００１）。
２．置換装置３２０は、乱数ビット（ｒ_m-1，・・・，ｒ₀）を生成して、該乱数ビットに基づき、Ａの置換結果、

及び、準同型暗号Ｅ’により乱数ビットの暗号文Ｒ＝（Ｅ’（ｒ_m-1），・・・，Ｅ’（ｒ₀））を計算する（ステップ３００２）。置換装置３２０は、Ｒを公開演算装置３１０に送り、Ｂを復号装置３３０に送る。
３．復号装置３３０は、Ｂを復号し、復号結果、

を公開演算装置３１０に送る（ステップ３００３）。
４．公開演算装置３１０は、Ｃ及びＲを入力として、Ｅ’の準同型性を利用し、

を計算し、出力する（ステップ３００４，３００５）。

今までの実施例では、公開演算装置以外の装置については不正処理を検出できない場合がある。そのため、不正処理を通じて数値ａに関する情報を不当に引き出される恐れがある。そこで本実施例では、不正処理を検出した時点で処理を直ちに中止、中断することで、数値ａに関する情報の不当な引き出しを防ぐことを目的として、装置の不正処理を検出する方法について説明する。システム構成は、図１乃至図３の構成に検証装置が追加されるだけであるため省略する。

復号結果については処理正当性をゼロ知識証明する方法が幾つか知られており、非特許文献２や３でも述べられているため、復号装置の不正処理検出方法は説明を省略する。また論理演算結果についても同様に、処理正当性をゼロ知識証明する方法が非特許文献２や３で述べられているため、秘匿論理演算装置の不正処理検出方法も説明を省略する。

以下では、暗号乱数ビットＥ（ｒ_i），Ｅ’（ｒ_i）など、実施例１〜３で必要となる、異なる暗号化関数Ｅ，Ｅ’を用いて同一のビットを暗号化したことを、当該ビットを明かすことなく示す方法について説明する。即ち、ビットｂに対して、Ｅ（ｂ），Ｅ’（ｂ）の復号結果が等しいビットである事をゼロ知識証明する。

二通りのアプローチが考えられ、一つは非特許文献４で提案されている“Ｐartial Ｐroof”を用いて、
（（Ｅ（ｂ）＝Ｅ（０））∧（Ｅ’（ｂ）＝Ｅ’（０）））∨（（Ｅ（ｂ）＝Ｅ（１））∧（Ｅ’（ｂ）＝Ｅ’（１）））
であることをｂを明かさずに証明する．

R．Cramer，I．Damgard，and B．Schoenmakers，Proofs of partial knowledge and simplified design of witness hiding protocols，Advances in Cryptology−CRYPTO ’94，Lecture Notes in Computer Science 839，pp．171−181，Springer−Verlag，1994．

もう一つは、ビットコミットメントと呼ばれる技術を用いてｂのコミットメントＣｏｍｍ（ｂ）を生成し、ｂがビットである事をゼロ知識証明すると同時に、コミットメントしているｂがＥ（ｂ），Ｅ’（ｂ）の復号結果と等しい事をｂを明かさずに証明する。
何れも既存技術の組合せで実現可能であるが、本実施例では前者のアプローチについて、ＥをＰaillier暗号、Ｅ’を加法準同型ＥlＧamal暗号とした場合の具体的な手続きを示す。
［記号の意味］

検証装置は以下が成り立つか検証する。

ここで、

また、実施例１、３で必要となる、データｓが一定の範囲の値である事を証明する方法は、非特許文献１で述べられているため説明を省略する。
以上により、暗号化乱数生成装置及び置換装置が不正処理を行った場合にそれを検出できるようになる。

本実施例では、前に述べた実施例の方法を用いて、データを明かすことなく算術演算と論理演算が混在する計算を行う例について説明する。このような例として統計処理が挙げられる。

ここでは、ある設問にｄ個の選択肢があるとし，選択肢毎にＹｅｓ→１，Ｎｏ→０とする。そしてＹｅｓを選択した回答者が最も多かった選択肢を求める事を考える。
回答者（回答者装置）Ｒ_iはｄ個の暗号文（Ｅ（ｂ_i,1），・・・，Ｅ（ｂ_i,d））（ｂ_i,j∈｛０，１｝）を回答として集計者（集計者装置）に送信する。
集計者は、Ｅの準同型性を利用して
（Ｅ（Ａ₁），・・・，Ｅ（Ａ_d）＝（Ｅ（Σ_iｂ_i,1），・・・，Ｅ（Σ_iｂ_i,d））
を計算する。
次に、Ｅ（Ａ_j）（ｊ＝１，・・・，ｄ）について、実施例２や３等で示した方法を用いて
Ｘ_j＝（Ｅ’（ａ_j,m-1），・・・，Ｅ’（ａ_j,0））
を得る。但し、Ａ_j＝Σ_i=0 ^m-1２ⁱａ_j,i（ａ_j,i∈｛０，１｝）。
最終的に，Ｘ_j（ｊ＝１，・・・，ｄ）を入力とした、大小比較回路の秘匿回路計算を実行し、Ｘ_jが最大となるｊを得る。
ここで、例えば選択肢を選挙立候補者とすれば、最多票を獲得した立候補者のみ知る事のできる投票システムが実現される。

次に、Ｘ²の検定について説明する。
観測度数ｆ_iの期待値をｅ_iで表すとき、暗号化された観測度数Ｅ（ｆ_i）とｅ_iを用いて、データを明かすことなく算術演算を行い、

をΠ_i=0 ^lｅ_i倍した値の暗号文Ｅ（Ａ）＝Ｅ（Ｘ²Π_i=0 ^lｅ_i）を生成する。

次に、Ｅ（Ａ）について、実施例２や３等で示した方法を用いて
Ｘ＝（Ｅ（ａ_m-1，・・・，Ｅ（ａ₀））
を得る。但し、Ａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_j∈｛０，１｝）。

最終的に、Ｅ（Ａ），Π_i=0 ^lｅ_i、及び棄却限界値Ｌを入力とした、大小比較回路の秘匿回路計算を実行し、Ｘ²が棄却域にあるかどうか判定する。

なお、図１、図３、図５等で示した装置における各部の一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、図２、図４、図６等で示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。

本発明の実施例１の構成図。 本発明の実施例１の処理フロー図。 本発明の実施例２の構成図。 本発明の実施例２の処理フロー図。 本発明の実施例３の構成図。 本発明の実施例３の処理フロー図。

符号の説明

１１０、２１０、３１０ 公開演算装置
１２０、２２０ 暗号化乱数生成装置
１３０、２３０、３３０ 復号装置
２４０ 秘匿論理演算装置
３２０ 置換装置

Claims (8)

1. 公開演算装置、暗号化乱数生成装置及び復号装置を用いて、数値ａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_i∈｛０，１｝）についてａ_iを明かすことなく、ある準同型暗号Ｅにより暗号化した暗号文Ｅ（ａ）から、別の準同型暗号Ｅ’により暗号化した暗号文Ｅ’（ａ₀）求める暗号変換方法であって、
   暗号化乱数生成装置は、乱数ビットｒ₀の暗号文Ｅ（ｒ₀），Ｅ’（ｒ₀）、及び、０以上２^m＋k未満（ｋは適当な自然数）の乱数ｓの暗号文Ｅ（ｓ）を生成し、
   公開演算装置は、Ｅ（ａ），Ｅ（ｒ₀），Ｅ（ｓ）を入力として、Ｅ（ｙ）＝Ｅ（ａ＋ｒ₀＋２ｓ）を計算し、
   復号装置は、Ｅ（ｙ）を入力して、ｙ＝ａ＋ｒ₀＋２ｓ＝Σ_i=0 ^m+k２ⁱｙ_i（ｙ_i∈｛０，１｝）を復号し、
   公開演算装置は、Ｅ’（ｒ₀）及びｙの最下位ビットｙ₀を入力として、
   

   

   を計算する、
   ことを特徴とする暗号変換方法。
2. 公開演算装置、暗号化乱数生成装置、復号装置及び秘匿論理演算装置を用いて、数値ａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_i∈｛０，１｝）についてａ_iを明かすことなく、ある準同型暗号Ｅにより暗号化した暗号文Ｅ（ａ）から、別の準同型暗号Ｅ’によりビットごとに暗号化した暗号文（Ｅ’（ａ_m-1），・・・，Ｅ’（ａ₀））を求める暗号変換方法であって、
   暗号化乱数生成装置は、乱数ビット（ｒ_m-1，・・・，ｒ₀）の暗号文Ｂ＝（Ｅ（ｒ_m-1），・・・，Ｅ（ｒ₀）），Ｃ＝（Ｅ’（ｒ_m-1），・・・，Ｅ’（ｒ₀））、及び０以上２^m+k未満の乱数ｓの暗号文Ｅ（ｓ）を生成し、
   公開演算装置は、Ｅ（ａ），Ｂ，Ｅ（ｓ）を入力として、Ｅ（ｙ）＝Ｅ（ａ−Σ_i=0 ^m-1２ⁱｒ_i−２^mｓ）を計算し、
   復号装置は、Ｅ（ｙ）を入力して、ｙ＝ａ−Σ_i=0 ^m-1２ⁱｒ_i−２^mｓ＝（−１）^cΣ_i=0 ^m+k２ⁱｙ_i（ｃ，ｙ_i∈｛０，１｝）を復号し、
   公開演算装置は、Ｃ中のＥ’（ｒ₀）及びｙの最下位ビットｙ₀を入力として、
   

   

   及びｒ₀，ｙ₀のキャリーＥ’（ｃ₁）＝Ｅ’（ｒ₀∧ｙ₀）を計算し、
   秘匿論理演算装置は、ｉ＝１，・・・，ｍ−１について、Ｅ’（ｒ_i），ｙ_i、及びキャリーＥ’（ｃ_i）を入力として、
   

   

   及び、ｒ_i，ｙ_iのキャリー
   

   

   の計算を繰り返す、
   ことを特徴とする暗号変換方法。
3. 公開演算装置、暗号化乱数生成装置及び復号装置を用いて、数値ａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_i∈｛０，１｝）についてａ_iを明かすことなく、ある準同型暗号Ｅによりビットごとに暗号化した暗号文Ａ＝（Ｅ（ａ_m-1），・・・，（ａ₀））から、別の準同型暗号Ｅ’によりビットごとに暗号化した暗号文Ｄ＝（Ｅ’（ａ_m-1），・・・，Ｅ’（ａ₀））を求める暗号変換方法であって、
   置換装置は、Ａを入力して、乱数ビット（ｒ_m-1，・・・，ｒ₀）に基づき、
   

   

   及び、乱数ビットの暗号文Ｒ＝（Ｅ’（ｒ_m-1），・・・，Ｅ’（ｒ₀））を生成し、
   復号装置は、Ｂを入力して、復号処理を行い、
   

   

   を取得し、
   公開演算装置は、Ｃ及びＲを入力として、
   

   

   を計算する、
   ことを特徴とする暗号変換方法。
4. 請求項３記載の暗号変換方法において、秘匿計算装置により、数値ａ＝Σ_i=0 ^m-1２ⁱａ_i（ａ_i∈｛０，１｝）について、準同型暗号Ｅで暗号化した暗号文Ｅ（ａ）に対して、ビットごとに暗号化した暗号文Ａ＝（Ｅ（ａ_m-1），・・・，（ａ₀））を生成することを特徴とする暗号変換方法。
5. 実施例１乃至４の何れか１項に記載の暗号変換方法において、
   検証装置により、準同型暗号Ｅ，Ｅ’で同一のビットｂを暗号化したＥ（ｂ），Ｅ’（ｂ）の復号結果が等しいビットであることをゼロ知識証明することを特徴とする暗号変換方法。
6. 実施例１乃至５の何れか１項に記載の暗号変換方法において、
   準同型暗号ＥはＰaillier暗号、準同型暗号Ｅ’は加法準同型ＥlＧamal暗号であることとを特徴とする暗号変換方法。
7. 実施例１乃至６のいずれか１項に記載の暗号変換方法を適用してなる暗号変換装置。
8. 実施例１乃至６のいずれか１項に記載の暗号変換方法を実行するためのプログラム。

Images