JP2011013544A

JP2011013544A - 暗号化数値二進変換システム及び方法とプログラム

Info

Publication number: JP2011013544A
Application number: JP2009158792A
Authority: JP
Inventors: Koji Senda; 浩司千田; Masaru Igarashi; 大五十嵐
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2009-07-03
Filing date: 2009-07-03
Publication date: 2011-01-20
Anticipated expiration: 2029-07-03
Also published as: JP5297918B2

Abstract

【課題】第１及び第２の暗号化数値二進変換装置を備える暗号文を生成する暗号化数値二進変換システムで、ある数値の暗号文を二進表記した桁ごとに暗号化する際の計算量を抑える手段を提供する。
【解決手段】本発明は、置換関数π、π′、π′′、π′′′をそれぞれ用いて、ラベルつきハッシュ値を得、各ラベルつきハッシュ値から対応するラベルを求めて、それぞれの各ビットを暗号化し、これらにπ^-1・π′′′^-1，π′^-1、π′′^-1を作用させて、El Gamal暗号で暗号化された数値に対して、当該数値を明かすことなく、当該数値の二進数表記の桁ごとに暗号化を行う。
【選択図】図３

Description

本発明は、暗号応用技術に関し、特に、ある数値の暗号文を入力として、当該数値を復元することなく、当該数値を二進表記した桁ごとに暗号化した暗号文を生成する技術に関する。

非特許文献１では、楕円曲線の有理点群を利用したEl Gamal暗号で暗号化された数値に対して、当該数値を明かすことなく、当該数値の二進数表記の桁ごとに暗号化を行う方法が提案されている。

また、二進数表記した数値を桁ごとに暗号化することで、当該数値の任意の論理演算を当該数値を明かすことなく実行可能とする方法も知られている（例えば、非特許文献２）。このような論理演算は、秘匿回路計算と称されている。

El Gamal暗号は、Paillier暗号と比べて、暗号文のサイズや復号処理、零知識証明などに要する計算量が小さく済むことが期待され、Paillier暗号を用いた従来の方法と比べるとデータサイズ削減や計算量削減が見込めるという効果が得られる。
千田、五十嵐、高橋、"エルガマル暗号に適したバイナリ変換マルチパーティプロトコル"、SCIS2009。 G. Yamamoto, K. Chida, A. Nasciment, K. Suzuki, and S. Uchiyama, ′′Efficient、 non-optimistic secure circuit evaluation based on the El Gamal encryption,′′ WISA2005, LNCS, pp. 328[343, Springer-Verlag, 2005.

非特許文献１の第４．３節の方法によれば、El Gamal暗号で暗号化された数値をｔビットとすると、当該数値を明かすことなく、当該数値の二進数表記の桁ごとに暗号化を行うために2^t回以上の群演算およびハッシュ演算が必要となる。非特許文献１ではその他の方法も記されているが、何れも第４．３節の方法より演算量が大きい。したがって、ｔが小さな場合には利用することができるが、ｔが大きな場合には実際に利用することが困難となるという問題がある。

本発明は、非特許文献１の方法よりも計算量を抑える手段を提供する。

Ｅ（）をEl Gamal暗号の暗号化関数とする。ｚを0以上2^t−1以下の整数とする。ｔを偶数とする。Ｇ，ｑ，ｙをEl Gamal 暗号のパラメータとする。Ｆ（）を群Ｇに写すハッシュ関数とする。

このとき、先ず、暗号化数値二進変換装置Ａは以下を実行する。
S1. Ｅ（ｚ）を受信する。
S2. ０以上ｑ未満の整数ｕ，ｖ_Aを選ぶ。
S3. Ｅ（）の加法準同型性を利用してＥ（ｚ）からＥ（ｚ−ｕ）を計算する。
S4. Ｅ（ｚ−ｕ）の部分復号結果Ｄ_Aを計算する。
S5.

を生成する。特にＣ_iはラベルｉと対応付けておく。
S6. 置換関数πを選び、ｉ→π（ｉ）としてラベル付きハッシュ値<π（ｉ）：Ｃ_i>を得る。
S7. Ｄ_A及び<π（ｉ）：Ｃ_i>を暗号化数値二進変換装置Ｂに送信する。

次に、暗号化数値二進変換装置Ｂは以下を実行する。
S8. Ｄ_Aを復号し、Ｄ_B=y^z-uを得る。
S9. Ｃ′_j＝Ｆ（y^u-z+j）^vB（ｊ＝０，・・・，２^t/2−１）を生成する。特に、Ｃ′_jはラベルｊと対応付けておく。
S10. 置換関数π′を選び、ｊ→π′（ｊ）としてラベル付きハッシュ値<π′（ｊ）：Ｃ′_j>を得る。
S11. <π′（ｊ）：Ｃ′_j>を暗号化数値二進変換装置Ａに送信する。

次に、暗号化数値二進変換装置Ａは以下を実行する。
S12. Ｃ′′_j＝Ｃ′_j ^vA（ｊ＝０，・・・，２^t/2−１）を生成する。特に、Ｃ′′_jはラベルπ′（ｊ）と対応付けておく。
S13. 置換関数π′′を選び、π′（ｊ）→π′′（π′（ｊ））としてラベル付きハッシュ値＜π′′（π′（ｊ））：Ｃ′′_j＞を得る。
S14. ＜π′′（π′（ｊ））：Ｃ′′_j＞を暗号化数値二進変換装置Ｂに送信する。

次に、暗号化数値二進変換装置Ｂは以下を実行する。
S15. Ｃ′′′_i＝Ｃ_i ^vB（ｉ＝０，・・・，２^t/2−１）を生成する。特に、Ｃ′′′_iはラベルπ（ｉ）と対応付けておく。
S16. 置換関数π′′′を選び、π（ｉ）→π′′′（π（ｉ））としてラベル付きハッシュ値＜π′′′（π（ｉ））：Ｃ′′′_i＞を得る。
S17. ＜π′′′（π（ｉ））：Ｃ′′′_i＞を暗号化数値二進変換装置Ａに送信する。

最後に、暗号化数値二進変換装置Ａ、Ｂは以下を実行する。
S18. Ｃ′′′_I＝Ｃ′′_JとなるＣ′′′_I，Ｃ′′_Jを探し、対応するラベル

を得る。
S19.

を暗号化する。
S20.

を作用させてＥ（Ｉ_k），Ｅ（Ｊ_k）を得る。

本発明によれば、群演算はおよそ２^(t+4)/2回で済む。全体の計算量を大まかに比較すると、本発明はｔ≧１８であれば非特許文献１の方法よりも計算量が少ない。

本発明の実施例の構成を示すブロック図である。本発明の実施例の動作を示すフローチャートである。本発明の実施例の動作を示すフローチャートである。本発明の実施例の動作を示すフローチャートである。

次に、本発明の実施例について説明する。

図１は本発明による一実施例の構成を示すブロック図である。

図１に示すように、本実施例の暗号化数値二進変換システム２０は、暗号化数値二進変換装置２１Ａ、２１Ｂを有し、ある数値の暗号文を入力として秘匿回路計算を実行するための当該数値の二進数表記の桁ごとの暗号文を生成する。なお、図１において、１以上の入力提供装置１０は、秘匿回路計算装置３０の入力となる、ある数値の暗号文を暗号化数値二進変換システム２０に提供する。

また、１以上の秘匿回路計算装置３０は、暗号化数値二進変換システム２０にて生成された二進数表記の桁ごとの暗号文を基に秘匿回路計算を実行する。

以下、非特許文献１の第４．３節で記されている、暗号化数値二進変換装置２１Ａ、２１Ｂにおいて、El Gamal暗号で暗号化された数値に対して、当該数値を明かすことなく、当該数値を二進数表記の桁ごとに暗号化した暗号文を生成するための処理手順について説明する。

最初に、El Gamal暗号の構成例について説明しておく。

El Gamal暗号の場合、ｇを素数位数ｑの乗法群Ｇの生成元とし、ｇ、ｑ、Ｇを公開情報としたとき、先ず、鍵ペア（ｘ，ｙ＝ｇ^x）を生成する。ここで、ｘは０以上ｑ未満の整数からなる秘密鍵であり、ｙは公開鍵である。ここでは、暗号化数値二進変換装置２１Ｂが当該鍵ペアを生成し、秘密鍵ｘは暗号化数値二進変換装置２１Ｂが所持するものとする。

次に、Ｅ（）をEl Gamal暗号の暗号化関数としたとき、Ｇの元ｚの暗号文をＥ（z）=（Ａ，Ｂ）＝（ｇ^r，ｚ×ｙ^r）とする。ここで、ｒは０以上ｑ未満の乱数である。復号に秘密鍵ｘを用いることで、復号処理の結果ｚ＝Ｂ／Ａ^xを得ることができる。なお、ｚを０以上ｑ未満の整数としたいときは、Ｅ（z）=（Ａ，Ｂ）＝（ｇ^r，ｙ^r+z）としても良い。非特許文献１および２に開示された方法では、この形式のＥ（ｚ）を用いている。ただし、この形式の場合、上記の復号処理の結果はｙ^zとなり、ｙ^zからｚを求める必要がある。ｚの候補数が多くなるとｙ^zからｚを求めることは一般に困難となるため、ｚの候補数はあらかじめ少なく設定することが望ましい。

本発明では、非特許文献１および２に開示された方法とＥ（ｚ）の形式が同様であることを前提とし、以降説明の簡略化のため、入力提供装置１０は単一とし、当該入力提供装置１０がＥ（ｚ）を生成し、暗号化数値二進変換装置２１Ａに送信するものとする。なお、Ｚは０（＝ａ）以上２^t−１（＝ｂ）以下の整数とする（ｔは２^t＜ｑを満たす適当な自然数）。

すなわち、非特許文献１では、ｚを二進数表記したときの下位ｊ＋１桁目をｚ_jと表記したとき、ｚを復元することなく、Ｅ（ｚ）から、Ｅ（ｚ^t-1），・・・，Ｅ（ｚ₀）を生成している。

以下、暗号化数値二進変換装置２１A、２１Ｂの処理手順について、図２を参照して説明する。
先ず、暗号化数値二進変換装置２１Ａは以下を実行する。
S101. Ｅ（ｚ）を受信する。
S102. ０以上ｑ未満の整数ｕ，ｖを選ぶ。
S103. Ｅ（）の加法準同型性を利用してＥ（ｚ）からＥ（ｕｚ＋ｖ）を計算する。
S104. Ｅ（ｕｚ＋ｖ）の部分復号結果Ｄ_Aを計算する。
S105. Ｃ_i=Ｈａｓｈ（ｙ^ui+v）（ｉ＝０，・・・，2^t−１）を生成するＨａｓｈ（）はハッシュ関数）。特にＣ_iはラベルｉと対応付けておく。
S106. 置換関数πを選び、ｉ→π（ｉ）としてラベル付きハッシュ値<π（ｉ）：Ｃ_i>を得る。
S107. Ｄ_A及び<π（ｉ）：Ｃ_i>を暗号化数値二進変換装置２１Ｂに送信する。

次に、暗号化数値二進変換装置Ｂは以下を実行する。
S108. Ｄ_Aを復号し、Ｄ_B=y^uz+vを得る。
S109. Ｃ_i=＝Ｈａｓｈ（Ｄ_B）となるＣ_iを探索し、対応するラベルπ（Ｉ）＝（π（ｚ））を得る。
S110.

を暗号化する。
S111.

を暗号化数値二進変換装置２１Ｂに送信する。

最後に暗号化数値二進変換装置２１Ａは
S112.

にπ^-1を作用させてＥ（ｚ_i）を得る。

上記の手続きは、ｔが小さくない場合、S105の計算量が最も大きくなると考えられる。具体的には、S105では2^t回の乗算およびハッシュ演算を実行する。

次に、本発明の処理手順について、図３を参照して説明する。なお説明の簡略化のため、ｔは偶数とする。

先ず、暗号化数値二進変換装置２１Ａは以下を実行する。
S201. Ｅ（ｚ）を受信する。
S202. ０以上ｑ未満の整数ｕ，ｖ_Aを選ぶ。
S203. Ｅ（）の加法準同型性を利用してＥ（ｚ）からＥ（ｚ−ｕ）を計算する。
S204. Ｅ（ｚ−ｕ）の部分復号結果Ｄ_Aを計算する。
S205.

を生成する（Ｆ（）は群Ｇに写すハッシュ関数）。特にＣ_iはラベルｉと対応付けておく。
S206. 置換関数πを選び、ｉ→π（ｉ）としてラベル付きハッシュ値<π（ｉ）：Ｃ_i>を得る。
S207. Ｄ_A及び<π（ｉ）：Ｃ_i>を暗号化数値二進変換装置２１Ｂに送信する。

次に暗号化数値二進変換装置Ｂは以下を実行する。
S208. Ｄ_Aを復号し、Ｄ_B=y^z-uを得る。
S209. Ｃ′_j＝Ｆ（y^u-z+j）^vB（ｊ＝０，・・・，２^t/2−１）を生成する。特に、Ｃ′_jはラベルｊと対応付けておく。
S210. 置換関数π′を選び、ｊ→π′（ｊ）としてラベル付きハッシュ値<π′（ｊ）：Ｃ′_j>を得る。
S211. <π′（ｊ）：Ｃ′_j>を暗号化数値二進変換装置２１Ａに送信する。

次に、暗号化数値二進変換装置２１Ａは以下を実行する。
S212. Ｃ′′_j＝Ｃ′_j ^vA（ｊ＝０，・・・，２^t/2−１）を生成する。特に、Ｃ′′_jはラベルπ′（ｊ）と対応付けておく。
S213. 置換関数π′′を選び、π′（ｊ）→π′′（π′（ｊ））としてラベル付きハッシュ値＜π′′（π′（ｊ））：Ｃ′′_j＞を得る。
S214. ＜π′′（π′（ｊ））：Ｃ′′_j＞を暗号化数値二進変換装置２１Ｂに送信する。

次に、暗号化数値二進変換装置２１Ｂは以下を実行する。
S215. Ｃ′′′_i＝C_i ^vB（ｉ＝０，・・・，２^t/2−１）を生成する。特に、Ｃ′′′_iはラベルπ（ｉ）と対応付けておく。
S216. 置換関数π′′′を選び、π（ｉ）→π′′′（π（ｉ））としてラベル付きハッシュ値＜π′′′（π（ｉ））：Ｃ′′′_i＞を得る。
S217. ＜π′′′（π（ｉ））：Ｃ′′′_i＞を暗号化数値二進変換装置２１Ａに送信する。

最後に暗号化数値二進変換装置２１Ａ、２１Ｂは以下を実行する。
S218. Ｃ′′′_I＝Ｃ′′_JとなるＣ′′′_I，Ｃ′′_Jを探し、対応するラベル

を得る。
S219.

を暗号化する。
S220.

を作用させてＥ（Ｉ_k），Ｅ（Ｊ_k）を得る。

いまS220が手続き終了、即ち

が成り立つことを示す。S218からＣ′′′_I＝Ｃ′′_Jであることが分かる。また、S215，S205からＣ′′′_I＝Ｃ_I ^vB＝

，S212，S209からＣ′′_J＝Ｃ′_J ^vA＝Ｆ（ｙ^u-z+J）^vBvAであることがわかる。したがって、Ｃ′′′_I＝Ｃ′′_J⇒

＝Ｆ（ｙ^u-z+J）がいえ、Ｆの衝突困難性を仮定すれば、ｕ−Ｉ２^t/2＝ｕ−ｚ＋Ｊ（mod q）
が成り立つ。すなわち、

となり、式（１）が示せた。

最後に、本発明と非特許文献１の第４．３節の方法との大まかな計算量比較を行う。前にも述べたとおり、ｔが小さくない場合、S105の計算量が最も大きくなると考えられ、S105では２^t回の乗算およびハッシュ演算を実行する。

一方、本発明では、S205、S209、S212、S215の計算量が大きく、合わせて、2^(t+4)/2+２回のべき乗演算、２^(t+2)/2−２回の乗算、および、２^(t+2)/2回のハッシュ演算を実行する。

乗算とハッシュ演算の計算量を同程度とみなす。また、べき乗演算の計算量は、Binary Methodの利用を仮定するとして、１．５｜ｑ｜回の乗算と同程度とみなす。ここで｜ｑ｜はｑのビット長を表すものとする。すると、｜ｑ｜＝１６０としたとき、本発明と非特許文献１の第４．３節の方法の計算量の比は大まかに２４０×（２^(t+4)/2＋２）＋２^(t+2)/2−２＋２^(t+2)/2：２^t+1と見積もることができる。すなわち、ｔ≧１８であれば本発明の方が計算量が少なく済む。

実施例１では、暗号化数値二進変換装置２１Ａ、２１Ｂのどちらか一方が誤った処理を実行しても、その事実を判別することが難しい場合がある。これは暗号文のランダム性により、出力された暗号文が正しい暗号文なのか誤った暗号文なのか判別することが一般に困難であるためである。本実施例では、非特許文献１の第４．４節の方法に倣い、実施例１における本発明を拡張し、当該判別を可能とする方法について図４を参照して説明する。

先ず、暗号化数値二進変換装置２１Ａは以下を実行する。
S301. Ｅ（ｚ）を受信する。
S302. ０以上ｑ未満の整数ｕ，ｖ_Aを選ぶ。
S303. Ｅ（）の加法準同型性を利用してＥ（ｚ）からＥ（ｚ−ｕ）を計算する。
S304. Ｅ（ｚ−ｕ）の部分復号結果Ｄ_Aを計算する。
S305.

を生成する。（Ｆ（）は群Ｇに写すハッシュ関数）。特にＣ_iはラベルｉと対応付けておく。
S306. 置換関数πを選び、ｉ→π（ｉ）としてラベル付きハッシュ値<π（ｉ）：Ｃ_i>を得る。
S307. Ｄ_A及び<π（ｉ）：Ｃ_i>を暗号化数値二進変換装置２１Ｂに送信する。

次に、暗号化数値二進変換装置２１Ｂは以下を実行する。
S308. Ｄ_Aを復号し、Ｄ_B=y^z-uを得る。
S309. Ｃ′_j＝Ｆ（y^u-z+j）^vB（ｊ＝０，・・・，２^t/2−１）を生成する。特に、Ｃ′_jはラベルｊと対応付けておく。
S310. 置換関数π′を選び、ｊ→π′（ｊ）としてラベル付きハッシュ値<π′（ｊ）：Ｃ′_j>を得る。
S311. <π′（ｊ）：Ｃ′_j>を暗号化数値二進変換装置２１Ａに送信する。

次に、暗号化数値二進変換装置２１Ａは以下を実行する。
S312. Ｃ′′_j＝Ｃ′_j ^vA（ｊ＝０，・・・，２^t/2−１）を生成する。特に、Ｃ′′_jはラベルπ′（ｊ）と対応付けておく。
S313. 置換関数π′′を選び、π′（ｊ）→π′′（π′（ｊ））としてラベル付きハッシュ値＜π′′（π′（ｊ））：Ｃ′′_j＞を得る。
S314. ＜π′′（π′（ｊ））：Ｃ′′_j＞を暗号化数値二進変換装置２１Ｂに送信する。

次に、暗号化数値二進変換装置２１Ｂは以下を実行する。
S315. Ｃ′′′_i＝Ｃ_i ^vB（ｉ＝０，・・・，２^t/2−１）を生成する。特に、Ｃ′′′_iはラベルπ（ｉ）と対応付けておく。
S316. 置換関数π′′′を選び、π（ｉ）→π′′′（π（ｉ））としてラベル付きハッシュ値＜π′′′（π（ｉ））：Ｃ′′′_i＞を得る。
S317. ＜π′′′（π（ｉ））：Ｃ′′′_i＞を暗号化数値二進変換装置２１Ａに送信する。

最後に、暗号化数値二進変換装置２１Ａ、２１Ｂは以下を実行する。
S318. Ｃ′′′_I＝Ｃ′′_JとなるＣ′′′_I，Ｃ′′_Jを探し、対応するラベル

を得る。
S319.

を暗号化する。
S320.

を作用させてＥ（Ｉ_k），Ｅ（Ｊ_k）を得る。
S321. 零知識証明を用いて、Ｅ（Ｉ_k），Ｅ（Ｊ_k）がそれぞれ正しくπ^-1・π′′′^-1，π′^-1・π′′^-1を作用させた結果であることを確認する。
S322. Ｅ（ｚ）の復号結果と

の復号結果が等しいことを確認する。

上記手続は、S301からS320は実施例１で説明したS201からS220の手続きと同一である。したがって、以降ではS321およびS322について詳しく説明する。

例えば置換関数πとして

を考える。ここで，ｗはｔビットの乱数とする。π′，π′′，π′′′も同様に、それぞれ

とする。すると例えば

が成り立つ。ここでｗ′_k，ｗ′′_kはそれぞれ暗号化数値二進変換装置B、A が生成した乱数ビットであり、他の装置には知られない値である。即ち、例えばS320の処理は以下とみなすことができる。

１．暗号化数値二進変換装置２１Ｂは

を受信する。

２．暗号化数値二進変換装置２１Ｂはｗ′ｋを用いて

を計算し、暗号化数値二進変換装置２１Ａに送信する。

３．暗号化数値二進変換装置２１Ａはｗ′′ｋを用いてＥ（ｚ_k）を計算し、暗号化数値二進変換装置２１Ｂに送信する。

上記の2、３の計算方法は、例えば非特許文献２に詳しく説明されている。また上記処理に応じて、例えばS321の処理は以下とみなすことができる。

１．暗号化数値二進変換装置２１ＢはS320の入出力

について、S310で生成したｗ′ｋを作用させた関係であることを零知識証明する。
２．暗号化数値二進変換装置２１Ａは当該暗号化数値二進変換装置２１Ｂの零知識証明が正しいことを確認する。
３．暗号化数値二進変換装置２１ＡはS320の入出力

について、S313で生成したｗ′′ｋを作用させた関係であることを零知識証明する。
４．暗号化数値二進変換装置２１Ｂは当該暗号化数値二進変換装置２１Ａの零知識証明が正しいことを確認する。

上記零知識証明もまた、例えば非特許文献２に詳しく説明されている。

最後にS322の具体例を説明する。

S322では、ｚ＝ｚ′であることを確認できれば良い。しかし本来の目的である、ｚを明かすことなく、Ｅ（ｚ）からｚの二進数表記の桁ごとの暗号文を生成するためには、Ｅ（ｚ）やＥ（ｚ′）を単純に復号することはできない。そこで、Ｅ（）の加法準同型性を利用して、Ｅ（ｚ）、Ｅ（ｚ′）から、Ｅ（ｚ−ｚ′）を計算し、この復号結果が０であるかどうか確認することを考える。例えば、本技術分野で良く知られるテクニックとして以下の手続きが考えられる。

１．暗号化数値二進変換装置２１Aは０以上ｑ未満の乱数ｓを生成し、Ｅ（）の加法準同型性を利用して、Ｅ（ｚ−ｚ′）からＥ（ｓ′（ｚ−ｚ′））を計算し、これを暗号化数値二進変換装置２１Ｂに送信する。

２．暗号化数値二進変換装置２１Ｂは同様に０以上ｑ未満の乱数ｓ′を生成し、Ｅ（）の加法準同型性を利用して、Ｅ（ｚ−ｚ′）からＥ（ｓ′（ｚ−ｚ′））を計算し、これを暗号化数値二進変換装置２１Ａに送信する。

３．暗号化数値二進変換装置２１Ａ、２１ＢはＥ（）の加法準同型性を利用して、Ｅ（ｓ（ｚ−ｚ′）），Ｅ（ｓ′（ｚ−ｚ′））からＥ（（ｓ＋ｓ′）（ｚ−ｚ′））を計算し、これを復号して(ｓ＋ｓ′）（ｚ−ｚ′）を得、当該復号結果が０であればｚ−ｚ′と判断し、そうでなければｚ−ｚ′≠０と判断する。

上記手続において、実際(ｓ＋ｓ′）（ｚ−ｚ′）ｍｏｄｑ＝０であれば、ｓ＋ｓ′ｍｏｄｑ＝０となる場合を除いてｚ−ｚ′ｍｏｄｑ＝０が成り立つ。いま、０≦ｚ，ｚ′＜２^t＜ｑであるから、ｚ−ｚ′＝０がいえる。ｑはEl Gamal暗号の安全性の理由から一般に十分大きくとり、ｓ，ｓ′は乱数であることから、ｓ＋ｓ′ｍｏｄｑ＝０となる可能性は無視できる。また同様の議論により、(ｓ＋ｓ′）（ｚ−ｚ′）ｍｏｄｑ＝０であればｚ−ｚ′≠０がいえる。

なお、暗号化数値二進変換システム２０を構成する暗号化数値二進変換装置２１Ａ、２１Ｂは、キーボード、マウス、受信装置等の入力装置、CPUなどの制御装置、ROM、RAM、HDDなどの記憶装置、ディスプレイ、プリンタ、送信装置などの出力装置からなる一般的なコンピュータシステムにより構成されるものである。

入力提供装置１０からの入力、秘匿回路計算装置３０への出力、暗号化数値二進変換装置２１Ａ、２１Ｂ間でのデータの送受信は入力装置、出力装置により行われる。また、各ステップを実行することは、ROM、RAM、HDDに格納されているプログラムに則って行われるものである。

また、ROM、RAM、HDD内に格納されるプログラムは、CD-ROM、DVD-ROM、フロッピーディスク、USBメモリなどの読み取り可能な記録媒体からこれらの入力装置を介して移入される形態やインターネットなどのネットワークを介して受信装置より移入される形態がある。本発明によるシステムはこれらのプログラムにより一般的なコンピュータシステム上に構築されるものであり、本発明にはこれらのプログラムや該プログラムを格納した記録媒体が含まれる。

１０入力提供装置
２０暗号化数値二進変換システム
２１Ａ、２１Ｂ暗号化数値二進変換装置
３０秘匿回路計算装置

Claims

第１及び第２の暗号化数値二進変換装置を備え、Ｅ（）をEl Gamal暗号の暗号化関数とし、ｚを0以上2^t−1以下の整数とし、ｔを偶数とし、Ｇ，ｑ，ｙをEl Gamal暗号のパラメータとし、Ｆ（）を群Ｇに写すハッシュ関数として、ある数値の暗号文を二進表記した桁ごとに暗号化した暗号文を生成する暗号化数値二進変換システムであって、
前記第１の暗号化数値二進変換装置は、
Ｅ（ｚ）を受信し、
０以上ｑ未満の整数ｕ，ｖ_Aを選び、
Ｅ（）の加法準同型性を利用してＥ（ｚ）からＥ（ｚ−ｕ）を計算し、
Ｅ（ｚ−ｕ）の部分復号結果Ｄ_Aを計算し、

を生成し、特にＣ_iはラベルｉと対応付けておき、
置換関数πを選び、ｉ→π（ｉ）としてラベル付きハッシュ値<π（ｉ）：Ｃ_i>を得、
Ｄ_A及び<π（ｉ）：Ｃ_i>を前記第２の暗号化数値二進変換装置Ｂに送信し、
前記第２の暗号化数値二進変換装置は、
Ｄ_Aを復号し、Ｄ_B=y^z-uを得、
Ｃ′_j＝Ｆ（y^u-z+j）^vB（ｊ＝０，・・・，２^t/2−１）を生成し、特に、Ｃ′_jはラベルｊと対応付けておき、
置換関数π′を選び、ｊ→π′（ｊ）としてラベル付きハッシュ値<π′（ｊ）：Ｃ′_j>を得、
<π′（ｊ）：Ｃ′_j>を前記第１の暗号化数値二進変換装置Ａに送信し、
前記第１の暗号化数値二進変換装置は、
Ｃ′′_j＝Ｃ′_j ^vA（ｊ＝０，・・・，２^t/2−１）を生成し、特に、Ｃ′′_jはラベルπ′（ｊ）と対応付けておき、
置換関数π′′を選び、π′（ｊ）→π′′（π′（ｊ））としてラベル付きハッシュ値＜π′′（π′（ｊ））：Ｃ′′_j＞を得、
＜π′′（π′（ｊ））：Ｃ′′_j＞を前記第２の暗号化数値二進変換装置に送信し、
前記第２の暗号化数値二進変換装置は、
Ｃ′′′_i＝Ｃ_i ^vB（ｉ＝０，・・・，２^t/2−１）を生成し、特に、Ｃ′′′_iはラベルπ（ｉ）と対応付けておき、
置換関数π′′′を選び、π（ｉ）→π′′′（π（ｉ））としてラベル付きハッシュ値＜π′′′（π（ｉ））：Ｃ′′′_i＞を得、
＜π′′′（π（ｉ））：Ｃ′′′_i＞を前記第１の暗号化数値二進変換装置に送信し、
前記第１及び第２の暗号化数値二進変換装置は、
Ｃ′′′_I＝Ｃ′′_JとなるＣ′′′_I，Ｃ′′_Jを探し、対応するラベル

を得、

を暗号化し、

を作用させてＥ（Ｉ_k），Ｅ（Ｊ_k）を得ることを特徴とする暗号化数値二進変換システム。
請求項１記載の暗号化数値二進変換システムにおいて、
前記第１及び第２の暗号化数値二進変換装置は、さらに、零知識証明を用いて、Ｅ（Ｉ_k），Ｅ（Ｊ_k）がそれぞれ正しくπ^-1・π′′′^-1，π′^-1・π′′^-1を作用させた結果であることを確認し、
Ｅ（ｚ）の復号結果と

の復号結果が等しいことを確認する暗号化数値二進変換システム。
第１及び第２の暗号化数値二進変換装置を備える暗号文を生成する暗号化数値二進変換システムで、ある数値の暗号文を二進表記した桁ごとに暗号化する暗号化数値二進変換方法であって、
Ｅ（）をEl Gamal暗号の暗号化関数とし、ｚを0以上2^t−1以下の整数とし、ｔを偶数とし、Ｇ，ｑ，ｙをEl Gamal暗号のパラメータとし、Ｆ（）を群Ｇに写すハッシュ関数として、
前記第１の暗号化数値二進変換装置が行う、
Ｅ（ｚ）を受信するステップと、
０以上ｑ未満の整数ｕ，ｖ_Aを選ぶステップと、
Ｅ（）の加法準同型性を利用してＥ（ｚ）からＥ（ｚ−ｕ）を計算するステップと、
Ｅ（ｚ−ｕ）の部分復号結果Ｄ_Aを計算するステップと、

を生成し、特にＣ_iはラベルｉと対応付けておくステップと、
置換関数πを選び、ｉ→π（ｉ）としてラベル付きハッシュ値<π（ｉ）：Ｃ_i>を得るステップと、
Ｄ_A及び<π（ｉ）：Ｃ_i>を前記第２の暗号化数値二進変換装置に送信するステップと、
前記第２の暗号化数値二進変換装置Ｂが行う、
Ｄ_Aを復号し、Ｄ_B=y^z-uを得るステップと、
Ｃ′_j＝Ｆ（y^u-z+j）^vB（ｊ＝０，・・・，２^t/2−１）を生成し、特に、Ｃ′_jはラベルｊと対応付けておくステップと、
置換関数π′を選び、ｊ→π′（ｊ）としてラベル付きハッシュ値<π′（ｊ）：Ｃ′_j>を得るステップと、
<π′（ｊ）：Ｃ′_j>を前記第１の暗号化数値二進変換装置に送信するステップと、
前記第１の暗号化数値二進変換装置が行う、
Ｃ′′_j＝Ｃ′_j ^vA（ｊ＝０，・・・，２^t/2−１）を生成し、特に、Ｃ′′_jはラベルπ′（ｊ）と対応付けておくステップと、
置換関数π′′を選び、π′（ｊ）→π′′（π′（ｊ））としてラベル付きハッシュ値＜π′′（π′（ｊ））：Ｃ′′_j＞を得るステップと、
＜π′′（π′（ｊ））：Ｃ′′_j＞を前記第２の暗号化数値二進変換装置に送信するステップと、
前記第２の暗号化数値二進変換装置が行う、
Ｃ′′′_i＝Ｃ_i ^vB（ｉ＝０，・・・，２^t/2−１）を生成し、特に、Ｃ′′′_iはラベルπ（ｉ）と対応付けておくステップと、
置換関数π′′′を選び、π（ｉ）→π′′′（π（ｉ））としてラベル付きハッシュ値＜π′′′（π（ｉ））：Ｃ′′′_i＞を得るステップと、
＜π′′′（π（ｉ））：Ｃ′′′_i＞を前記第１の暗号化数値二進変換装置に送信するステップと、
前記第１及び第２の暗号化数値二進変換装置が行う、
Ｃ′′′_I＝Ｃ′′_JとなるＣ′′′_I，Ｃ′′_Jを探し、対応するラベル

を得るステップと、

を暗号化するステップと、

を作用させてＥ（Ｉ_k），Ｅ（Ｊ_k）を得るステップと、を有する暗号化数値二進変換方法。
請求項３記載の暗号化数値二進変換方法において、前記第１及び第２の暗号化数値二進変換装置が行う、
零知識証明を用いて、Ｅ（Ｉ_k），Ｅ（Ｊ_k）がそれぞれ正しくπ^-1・π′′′^-1，π′^-1・π′′^-1を作用させた結果であることを確認するステップと、
Ｅ（ｚ）の復号結果と

の復号結果が等しいことを確認するステップと、をさらに有する暗号化数値二進変換方法。
請求項３または請求項４記載の暗号化数値二進変換方法をコンピュータに実行させるプログラム。