JP2010164899A

JP2010164899A - 秘密計算システム、秘密計算方法、秘密計算プログラム

Info

Publication number: JP2010164899A
Application number: JP2009008998A
Authority: JP
Inventors: Koji Senda; 浩司千田; Masaru Igarashi; 大五十嵐
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2009-01-19
Filing date: 2009-01-19
Publication date: 2010-07-29
Anticipated expiration: 2029-01-19
Also published as: JP5103408B2

Abstract

【課題】従来の秘匿回路計算の実行回数を削減すること。
【解決手段】本発明は、ビットｂ_i（ｉ＝１，２，・・・，ｎ）を秘匿化したデータ［ｂ_i］を入力として、ｂ_iを復元することなくｂ_iの論理演算を行い、論理演算結果を出力する秘密計算システムに適用される。本発明の秘密計算システムは、ＡＮＤ演算を行う場合、まず、［ｂ_i］及びｎを基に、［ｎ−Σｂ_i］を計算する。次に、当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求め、［ｗ_j］が全て０であれば［１］を、そうでなければ［０］を論理演算結果として出力する。
【選択図】図１

Description

本発明は、暗号応用技術に関し、特に、入出力を明かすことなく論理演算を行う技術に関する。

非特許文献１では、任意の論理演算において、ビット毎に秘匿化（暗号化）された入力を復元することなく論理演算を行って、論理演算結果の暗号文を出力する方法が提案されている。このように入出力を秘密にした論理演算は、秘匿回路計算と称されている。

なお、秘匿回路計算の入力としては、例えば、Ｐａｉｌｌｉｅｒ暗号によって秘匿化された数値に対して、当該数値を明かすことなく、当該数値を二進数表記とした桁ごとに暗号化した暗号文（非特許文献２）が挙げられる。

G. Yamamoto, K. Chida, A. Nasciment, K. Suzuki, and S. Uchiyama, Efficient, non-optimistic secure circuit evaluation based on the ElGamal encryption, WISA 2005, Lecture Notes in Computer Science, pp. 328-343, Springer-Verlag, 2005. B. Schoenmakers and P. Tuyls, Efficient binary conversion for Paillier encrypted values, Advances in Cryptology − EUROCRYPT 2006, Lecture Notes in Computer Science 4004, pp. 522-537, Springer-Verlag, 2006.

しかし、非特許文献１に開示された方法では、ビットｂ_i（ｉ＝１，２，・・・，ｎ）を秘匿化したデータ［ｂ_i］が与えられた場合に、データ［ｂ_i］を復号化することなく、例えば、

を求めるためには、ｎ−１回のＡＮＤ演算に対する秘匿回路計算が必要になる。

そこで、本発明の目的は、従来の秘匿回路計算の実行回数を削減することができる秘密計算システム、秘密計算方法、秘密計算プログラムを提供することである。

本発明の秘密計算システムは、
ビットｂ_i（ｉ＝１，２，・・・，ｎ）を秘匿化したデータ［ｂ_i］を入力として、ｂ_iを復元することなくｂ_iの論理演算を行い、論理演算結果を出力する秘密計算システムであって、
ＡＮＤ演算を行う場合、
［ｂ_i］及びｎを基に、

を計算し、
当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求め、
［ｗ_j］が全て０であれば、

を、そうでなければ、

を論理演算結果として出力する。

秘匿回路計算において、ビットｂ_i（ｉ＝１，２，・・・，ｎ）のＡＮＤ演算を行う場合、従来では、ｎ−１回のＡＮＤ演算に対する秘匿回路計算の実行を必要としていた。

これに対し、本発明では、［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１）が全て０であるか否かを判断するために、ｔ−１回のＯＲ演算及び１回のＮＯＴ演算に対する秘匿回路計算を実行するだけで済む。いま、

であるから、本発明は、従来に比べ秘匿回路計算の実行回数を削減することができるという効果が得られる。

本発明の実施例１，２の秘密計算システムの構成を示す図である。本発明の実施例１の秘密計算システムによる秘密計算方法を説明するフローチャートである。本発明の実施例２の秘密計算システムによる秘密計算方法を説明するフローチャートである。

本実施例では、ビットｂ_i（ｉ＝１，２，・・・，ｎ）を秘匿化したデータ［ｂ_i］が与えられ、

を求めるＡＮＤ演算を例に挙げて説明する。

先ず、本実施例では、上述の非特許文献２で提案されている技術またはそれに類する技術を利用することを前提とする。

非特許文献２では、Ｐａｉｌｌｉｅｒ暗号によって暗号化された数値に対して、当該数値を明かすことなく、当該数値を二進数表記とした桁ごとに暗号化した暗号文を生成する方法が提案されている。

このように、数値ｚを秘匿化（暗号化）したデータ［ｚ］を入力とし、ｚを二進数表記したときの各桁ｚ_i（ｚの下位ｉ桁目のビット）を秘匿化したデータ［ｚ_i］を出力する装置を秘匿化数値二進変換装置と呼ぶことにする。

また、ビットｂ_i（ｉ＝１，２，・・・，ｍ）を秘匿化したデータ［ｂ_i］及びある論理関数ｆを入力として、［ｆ（ｂ₁，・・・，ｂ_m）］を出力するような、非特許文献１に開示された方法またはそれに類する方法を実装した装置を秘匿回路計算装置と呼ぶことにする。

本発明では、数値を秘匿化したデータ［ｚ］，［ｚ′］及び秘匿化していない数値ｃについて、［ｚ＋ｚ′］，［ｚ−ｚ′］，［ｃｚ］を計算する機能が必要となるが、非特許文献２の方法では当該機能を満たしている。

以上の準備の下、本実施例の秘密計算システム１０は、図１に示すように、上述の秘匿化数値二進変換装置１２及び秘匿回路計算装置１３を有する他、ビット毎に秘匿化されたデータ［ｂ_i］（ｉ＝１，２，・・・，ｎ）及び論理関数ｆを入力として、［ｆ（ｂ₁，・・・，ｂ_n）］を出力する秘密計算装置１１を有している。

なお、図１においては、説明の簡略化のため、秘匿化数値二進変換装置１２及び秘匿回路計算装置１３をそれぞれ単一の装置としているが、それぞれ複数台の装置で構成しても良い。

秘密計算装置１１は、秘匿化数値二進変換装置１２及び秘匿回路計算装置１３とネットワークで接続されていて、秘匿化数値二進変換装置１２及び秘匿回路計算装置１３とネットワークを介してデータの送受信が可能であるものとする。

なお、秘密計算装置１１において、［ｂ_i］（ｉ＝１，２，・・・，ｎ）及び論理関数ｆを入力として、［ｆ（ｂ₁，・・・，ｂ_n）］を出力することは、秘匿回路計算装置１３の機能そのものであるが、本実施例では、秘密計算装置１１の機能を用いることにより、単純に秘匿回路計算装置１３の機能のみを用いるよりも高速に論理演算を可能とすることが目的である。

次に、本実施例の秘密計算システム１０の動作について図２を用いて説明する。

秘密計算装置１１は、ステップＡ１において、ビットｂ_i（ｉ＝１，２，・・・，ｎ）を秘匿化したデータ［ｂ_i］が入力されると、

を出力するために、先ず、ステップＡ２において、［ｂ_i］及びｎから

を計算し、計算結果を秘匿化数値二進変換装置１２に送信する。

その応答として、秘匿化数値二進変換装置１２は、ステップＡ３において、［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１）を求め、［ｗ_j］を秘密計算装置１１に送信する。

ここで、ｗ_jは、

を二進数表記したときの下位ｊ桁目のビットを表し、ｔはｎのビット長を表すものとする。すると、

であり、

が成り立つことから、

となり、秘密計算装置１１は、［ｗ_j］を秘匿回路計算装置１３に送信する。

その応答として、秘匿回路計算装置１３は、ステップＡ４において、

を計算し、計算結果を秘密計算装置１１に送信する。その計算結果は、論理演算結果の暗号文として秘密計算装置１１から出力される。

以上、ＡＮＤ演算を例に説明したが、ＸＯＲ演算やＯＲ演算であっても同様に処理可能である。

例えば、ＸＯＲ演算であれば、

とすれば良く、秘匿回路計算装置１３は不要である。

また、ＯＲ演算であれば、

の代わりに、

とし、

と置き換えて考えれば良い。

本実施例の期待する効果は、秘匿回路計算装置１３の負荷軽減である。

従来のように、単純に秘匿回路計算装置１３の機能のみを用いて実行する場合は、ｎ−１回のＡＮＤ演算に対する秘匿回路計算が必要となる。

これに対して、本実施例では、［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１）が全て０であるか否かを判断するために、ｔ−１回のＯＲ演算及び１回のＮＯＴ演算に対する秘匿回路計算を実行するだけで済むため、従来の秘匿回路計算の実行回数を削減することができ、秘匿回路計算装置１３の負荷軽減を図ることができる。

いま、

であるから、ｎが大きくなるにつれて秘匿回路計算装置１３の負荷軽減の効果がより大きくなる。

本実施例の秘密計算システム１０は、実施例１と比べて、構成自体は同様であるが、秘匿化数値二進変換装置１２を繰り返し利用することで、秘匿回路計算装置１３の負荷を更に軽減する点が異なる。

次に、本実施例の秘密計算システム１０の動作について図３を用いて説明する。ここでは、ビットｂ_i（ｉ＝１，２，・・・，ｎ）を秘匿化したデータ［ｂ_i］が与えられ、

を求めるＯＲ演算を例に挙げて説明する。

秘密計算装置１１は、ステップＢ１において、ビットｂ_i（ｉ＝１，２，・・・，ｎ）を秘匿化したデータ［ｂ_i］が入力されると、

を出力するために、先ず、ステップＢ２において、［ｂ_i］及びｎから

その応答として、秘匿化数値二進変換装置１２は、ステップＢ３において、［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１）を求め、［ｗ_j］を秘密計算装置１１に送信する。

ここで、ｗ_jは、

を二進数表記したときの下位ｊ桁目のビットを表し、ｔはｎのビット長を表すものとする。このとき、

であるから、

が成り立つ。

これを踏まえ、秘密計算装置１１は、ステップＢ４において、［ｗ_j］及びｔから

その応答として、秘匿化数値二進変換装置１２は、ステップＢ５において、［ｅ_k］（ｋ＝ｐ，ｐ−１，・・・，１）を求め、［ｅ_k］を秘密計算装置１１に送信する。

ここで、ｅ_kは、

を二進数表記したときの下位ｋ桁目のビットを表し、ｐはｔのビット長を表すものとする。このとき、

となり、

が成り立つことから、

となり、秘密計算装置１１は、［ｅ_k］を秘匿回路計算装置１３に送信する。

その応答として、秘匿回路計算装置１３は、ステップＢ６において、

本実施例では、［ｅ_k］（ｋ＝ｐ，ｐ−１，・・・，１）が全て０であるか否かを判断するために、

回の秘匿回路計算を実行するだけで済むため、実施例１よりも更に秘匿回路計算装置１３の負荷軽減が見込める。

以上、ＯＲ演算を例に説明したが、ＡＮＤ演算やＸＯＲ演算であっても同様に処理可能である。

例えば、ＡＮＤ演算であれば、

の代わりに、

とし、

と置き換えて考えれば良い。

以上、本発明を実施例を参照して説明したが、本発明は上記実施例に限定されものではない。本発明の構成や詳細には、本発明の範囲内で当業者が理解し得る様々な変更をすることができる。

例えば、実施例２では、秘匿化数値二進変換装置１２を二度利用したが、三度以上利用する方法やその効果は明らかである。

また、実施例１，２では、秘密計算装置１１と秘匿化数値二進変換装置１２及び秘匿回路計算装置１３とを分離して構成したが、秘密計算装置１１の内部に秘匿化数値二進変換装置１２及び秘匿回路計算装置１３の機能を設けた構成としても良い。更に、この場合、その秘密計算装置１１にて行われる秘密計算方法を、コンピュータに実行させるためのプログラムに適用しても良い。また、そのプログラムを記憶媒体に格納することも可能であり、ネットワークを介して外部に提供することも可能である。

１０秘密計算システム
１１秘密計算装置
１２秘匿化数値二進変換装置
１３秘匿回路計算装置

Claims

ビットｂ_i（ｉ＝１，２，・・・，ｎ）を秘匿化したデータ［ｂ_i］を入力として、ｂ_iを復元することなくｂ_iの論理演算を行い、論理演算結果を出力する秘密計算システムであって、
ＡＮＤ演算を行う場合、
［ｂ_i］及びｎを基に、

を計算し、
当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求め、
［ｗ_j］が全て０であれば、

を、そうでなければ、

を論理演算結果として出力する、秘密計算システム。
ＸＯＲ演算を行う場合、
［ｂ_i］及びｎを基に、

を計算し、
当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求め、
ｗ₁を論理演算結果として出力する、請求項１に記載の秘密計算システム。
ＯＲ演算を行う場合、
［ｂ_i］及びｎを基に、

を計算し、
当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求め、
［ｗ_j］が全て０であれば、

を、そうでなければ、

を論理演算結果として出力する、請求項１または２に秘密計算システム。
ビットｂ_i（ｉ＝１，２，・・・，ｎ）を秘匿化したデータ［ｂ_i］を入力として、ｂ_iを復元することなくｂ_iの論理演算を行い、論理演算結果を出力する秘密計算システムであって、
ＡＮＤ演算を行う場合、
［ｂ_i］及びｎを基に、

を計算し、
当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求め、
［ｗ_j］及びｔを基に、

を計算し、
当該計算結果を二進数表記した［ｅ_k］（ｋ＝ｐ，ｐ−１，・・・，１、ｐはｔのビット長）を求め、
［ｅ_k］が全て０であれば、

を、そうでなければ、

を論理演算結果として出力する、秘密計算システム。
ＯＲ演算を行う場合、
［ｂ_i］及びｎを基に、

を計算し、
当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求め、
［ｗ_j］及びｔを基に、

を計算し、
当該計算結果を二進数表記した［ｅ_k］（ｋ＝ｐ，ｐ−１，・・・，１、ｐはｔのビット長）を求め、
［ｅ_k］が全て０であれば、

を、そうでなければ、

を論理演算結果として出力する、請求項４に記載の秘密計算システム。
ビットｂ_i（ｉ＝１，２，・・・，ｎ）を秘匿化したデータ［ｂ_i］を入力として、ｂ_iを復元することなくｂ_iの論理演算を行い、論理演算結果を出力する秘密計算装置による秘密計算方法であって、
ＡＮＤ演算を行う場合、
［ｂ_i］及びｎを基に、

を計算するステップと、
当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求めるステップと、
［ｗ_j］が全て０であれば、

を、そうでなければ、

を論理演算結果として出力するステップと、を有する秘密計算方法。
ＸＯＲ演算を行う場合、
［ｂ_i］及びｎを基に、

を計算するステップと、
当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求めるステップと、
ｗ₁を論理演算結果として出力するステップと、を有する請求項６に記載の秘密計算方法。
ＯＲ演算を行う場合、
［ｂ_i］及びｎを基に、

を計算するステップと、
当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求めるステップと、
［ｗ_j］が全て０であれば、

を、そうでなければ、

を論理演算結果として出力するステップと、を有する請求項６または７に秘密計算方法。
ビットｂ_i（ｉ＝１，２，・・・，ｎ）を秘匿化したデータ［ｂ_i］を入力として、ｂ_iを復元することなくｂ_iの論理演算を行い、論理演算結果を出力する秘密計算装置による秘密計算方法であって、
ＡＮＤ演算を行う場合、
［ｂ_i］及びｎを基に、

を計算するステップと、
当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求めるステップと、
［ｗ_j］及びｔを基に、

を計算するステップと、
当該計算結果を二進数表記した［ｅ_k］（ｋ＝ｐ，ｐ−１，・・・，１、ｐはｔのビット長）を求めるステップと、
［ｅ_k］が全て０であれば、

を、そうでなければ、

を論理演算結果として出力するステップと、を有する秘密計算方法。
ＯＲ演算を行う場合、
［ｂ_i］及びｎを基に、

を計算するステップと、
当該計算結果を二進数表記した［ｗ_j］（ｊ＝ｔ，ｔ−１，・・・，１、ｔはｎのビット長）を求めるステップと、
［ｗ_j］及びｔを基に、

を計算するステップと、
当該計算結果を二進数表記した［ｅ_k］（ｋ＝ｐ，ｐ−１，・・・，１、ｐはｔのビット長）を求めるステップと、
［ｅ_k］が全て０であれば、

を、そうでなければ、

を論理演算結果として出力するステップと、を有する請求項９に秘密計算方法。
請求項６から１０のいずれか１項に記載の秘密計算方法をコンピュータに実行させるための秘密計算プログラム。