JP2011055041A - 分散情報生成装置、秘密情報復元装置、分散情報生成方法、秘密情報復元方法およびプログラム - Google Patents

Abstract

【課題】素体や拡大体上ではなく、多項式環上での（ｋ、ｎ）閾値法を実行し、軽量な演算のみで処理を行う。
【解決手段】秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割し、（ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する。そして、ＧＦ（ｑ）上において、部分秘密情報と乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力し、その出力された部分分散情報を連結して分散情報を生成して、各管理者へその生成した分散情報を送付する。
【選択図】図１

Description

本発明は、多項式環の小規模な基礎体（ｂａｓｅ ｆｉｅｌｄ）上で秘密情報の分散あるいは復元を実行する分散情報生成装置、秘密情報復元装置、分散情報生成方法、秘密情報復元方法およびプログラムに関する。

近年、情報セキュリティの重要性が高まるにつれ、情報の盗難対策と紛失対策が重要な課題となっている。このようなことから、非特許文献１に示されるような（ｋ，ｎ）閾値秘密分散法は、情報の秘匿と紛失によるリスクの回避を同時に実現する手法として、注目を浴びている。ここで、（ｋ，ｎ）閾値秘密分散は、機密情報をｎ個の分散情報に分散し、そのうち任意のｋ個の分散情報が集まれば、復元できることを意味する。

ここで、広く用いられている従来手法として、１９７９年に提案されたＳｈａｍｉｒの（ｋ，ｎ）閾値法（例えば、非特許文献１参照。）がある。この方式は、秘密情報を素体ＧＦ（ｐ）上の要素として演算することにより実現される。なお、このとき、ｐは素数である。

また、非特許文献２において、Ｋａｒｎｉｎらは、非特許文献１に示すＳｈａｍｉｒの秘密分散法を、有限体ＧＦ（ｑ）のｍ次拡大体ＧＦ（ｑ^ｍ）上での秘密分散法へと一般化している。このとき、ｑ＝ｐ^ｌであり、ｐは素数、ｌは正の整数である。この手法においては、秘密情報はＧＦ（ｑ^ｍ）上の要素として演算される。

つまり、非特許文献１および２の手法は、それぞれ、ＧＦ（ｐ）、ＧＦ（ｑ^ｍ）上で動作する。また、最大管理者数はそれぞれｐ−１、ｑ^ｍ−１となる。このため、分散する数が大きいほど、あるいは秘密情報の大きさが大きいほど、より大きな素体・拡大体上での演算が必要となるが、一般的に、巨大な素体上・拡大体上での演算はコンピュータ上で低速であるという問題がある。

一方、２００７年に提案された、排他的論理和（Ｅｘｃｌｕｓｉｖｅ−ＯＲ、ＸＯＲ）を用いて、高速に分散情報の生成・秘密情報の復元を可能とする（ｋ、ｎ）閾値法がある （例えば、非特許文献３あるいは４を参照。）。これらの高速（ｋ、ｎ）閾値法は、単純に高速動作するだけではなく、非特許文献１および２と同様に、情報理論的安全性が保証され、分散情報のデータ長が秘密情報のデータ長と等しいという特長を持つ。

Ａ．Ｓｈａｍｉｒ，‘‘Ｈｏｗ ｔｏ ｓｈａｒｅ ａ ｓｅｃｒｅｔ，’’ Ｃｏｍｍｕｎｉｃａｔｉｏｎ ｏｆ ｔｈｅ ＡＣＭ， ｖｏｌ．２２，ｎｏ．１１，ｐｐ．６１２−６１３，１９７９． Ｅ．Ｄ．Ｋａｒｎｉｎ，Ｊ．Ｗ． Ｇｒｅｅｎｅ， Ｍ． Ｅ． Ｈｅｌｌｍａｎ， ｀｀Ｏｎ Ｓｅｃｒｅｔ Ｓｈａｒｉｎｇ Ｓｙｓｔｅｍｓ，’’ ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｈｅｏｒｙ，ｖｏｌ．２９，ｎｏ．１，ｐｐ．３５−４９ Ｊ．Ｋｕｒｉｈａｒａ，Ｓ．Ｋｉｙｏｍｏｔｏ，Ｋ．Ｆｕｋｕｓｈｉｍａ，Ｔ．Ｔａｎａｋａ，｀｀Ａ ｎｅｗ （ｋ，ｎ）−ｔｈｒｅｓｈｏｌｄ ｓｅｃｒｅｔ ｓｈａｒｉｎｇ ｓｃｈｅｍｅ ａｎｄ ｉｔｓ ｅｘｔｅｎｓｉｏｎ，’’ Ｐｒｏｃｅｅｄｉｎｇ ｏｆ ＩＳＣ‘０８，Ｌｅｃｔｕｒｅ Ｎｏｔｅ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，ｖｏｌ．５２２２，ｐｐ．４５５−４７０，２００８，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ． 藤井吉弘， 栃窪孝也， 保坂範和， 多田美奈子， 加藤岳久， ｀｀排他的論理和を用いた（ｋ、ｎ）しきい値法の構成法，’’ 電子情報通信学会技術研究報告， ｖｏｌ．１０７，ｎｏ．４４， 情報セキュリティ、ＩＳＳＮ０９１３−５６８５、ＩＳＥＣ２００７−５． Ｐ．Ｆｅｌｄｍａｎ，‘‘Ａ ｐｒａｃｔｉｃａｌ ｓｃｈｅｍｅ ｆｏｒ ｎｏｎ−ｉｎｔｅｒａｃｔｉｖｅ ｖｅｒｉｆｉａｂｌｅ ｓｅｃｒｅｔ ｓｈａｒｉｎｇ，’‘ Ｐｒｏｃｅｅｄｉｎｇ ｏｆ ＩＥＥＥ ＦＯＣＳ， ｐｐ．４２７−４３７，１９８７． Ｔ．Ｐ．Ｐｅｄｅｒｓｅｎ，‘‘Ｎｏｎ−ｉｎｔｅｒａｃｔｉｖｅ ａｎｄ ｉｎｆｏｒｍａｔｉｏｎ−ｔｈｅｏｒｅｔｉｃ ｓｅｃｕｒｅ ｖｅｒｉｆｉａｂｌｅ ｓｅｃｒｅｔ ｓｈａｒｉｎｇ，’‘ Ｐｒｏｃｅｅｄｉｎｇ ｏｆ ＣＲＹＰＴＯ ’９１， Ｌｅｃｔｕｒｅ Ｎｏｔｅ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ， ｖｏｌ．５７６， ｐｐ．１２９−１４０，１９９１．Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ．

しかしながら、非特許文献３あるいは４の手法は、位数２の素体ＧＦ（２）上で実行されるため、非特許文献１あるいは２をベースとした閾値暗号などの「加算と離散対数の準同型性」を利用するアプリケーションに適用することが難しいという問題があった（例えば、非特許文献５または６参照。）。

本発明は、上述の課題に鑑みてなされたものであり、素体や拡大体上ではなく、多項式環上での（ｋ、ｎ）閾値法を実行し、軽量な演算のみで処理を行う分散情報生成装置、秘密情報復元装置、分散情報生成方法、秘密情報復元方法およびプログラムを提供することを目的とする。

本発明は、上記の課題を解決するために以下の事項を提案している。

（１）本発明は、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の秘密情報を複数の秘密情報に分割し、有限体ＧＦ（ｑ）上のみの演算を行い、分散情報を生成することを特徴とする分散情報生成装置を提案している。

この発明によれば、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の秘密情報を複数の秘密情報に分割し、有限体ＧＦ（ｑ）上のみの演算を行い、分散情報を生成する。したがって、多項式環の小規模な基礎体上で分散処理を実行できるため、演算処理の負荷を軽減することができる。なお、ここで、環とは抽象代数学において、体とは異なる特定の演算規則を満たす集合のことを示す。

（２）本発明は、（１）の分散情報生成装置について、出力されるそれぞれの分散情報のサイズが、入力される秘密情報と等しいサイズであることを特徴とする分散情報生成装置を提案している。

この発明によれば、出力されるそれぞれの分散情報のサイズが、入力される秘密情報と等しいサイズである。さらに、情報理論的安全性が保証される。

（３）本発明は、秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割する分割手段と、（ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する乱数生成手段と、前記ＧＦ（ｑ）上において、前記部分秘密情報と前記乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力するＧＦ（ｑ）演算手段と、該出力された部分分散情報を連結して分散情報を生成する連結手段と、各管理者へ該生成した分散情報を送付する送信手段と、を備えたことを特徴とする分散情報生成装置を提案している。

この発明によれば、分割手段は、秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割する。乱数生成手段は、（ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する。ＧＦ（ｑ）演算手段は、ＧＦ（ｑ）上において、部分秘密情報と乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力する。連結手段は、その出力された部分分散情報を連結して分散情報を生成する。送信手段は、各管理者へその生成した分散情報を送付する。したがって、秘密情報からＧＦ（ｑ）上の演算のみを用いて、個々の分散情報が生成される。また、秘密情報を多項式環ＧＦ（ｑ）［ｘ］／（Ｍｐ（ｘ））上の要素とした場合、個々の分散情報は多項式環上で定義される演算を用いて生成される多項式環上の要素に等しくなる。なお、このとき、Ｍｐ（ｘ）はある特定の形で構成されるｐ−１次の多項式である。つまり、多項式環上の演算を、小規模な基礎体であるＧＦ（ｑ）上の演算のみで実現しているため、高速かつ分散処理の負荷を軽減した処理が可能となる。

（４）本発明は、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の分散情報を分割し、有限体ＧＦ（ｑ）上のみの演算を行い、秘密情報を復元することを特徴とする秘密情報復元装置を提案している。

この発明によれば、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の分散情報を分割し、有限体ＧＦ（ｑ）上のみの演算を行い、秘密情報を復元する。したがって、多項式環の小規模な基礎体上で復元処理を実行できるため、演算処理の負荷を軽減することができる。

（５）本発明は、ｋ個（ｋは、ｎ以下の正の整数）の分散情報を受信する受信手段と、ｋ個の分散情報を分割してｋ（ｐ−１）個の部分分散情報（ｐはｎ以上の素数）を出力する分割手段と、ｋ個の分散情報のインデックス番号に基づいて、多項式環の性質を利用して組み合わせて演算し、ＧＦ（ｑ）上の生成行列を生成する生成行列生成手段と、生成行列の逆行列を導出する行列演算手段と、該導出した逆行列の構成に応じて、部分分散情報をＧＦ（ｑ）上にて演算し、（ｐ−１）個の部分秘密情報を出力するＧＦ（ｑ）演算手段と、部分秘密情報を連結して秘密情報を出力する連結手段と、を備えることを特徴とする秘密情報復元装置を提案している。

この発明によれば、受信手段は、ｋ個（ｋは、ｎ以下の正の整数）の分散情報を受信する。分割手段は、ｋ個の分散情報を分割してｋ（ｐ−１）個の部分分散情報（ｐはｎ以上の素数）を出力する。生成行列生成手段は、ｋ個の分散情報のインデックス番号に基づいて、多項式環の性質を利用して組み合わせて演算し、ＧＦ（ｑ）上の生成行列を生成する。行列演算手段は、生成行列の逆行列を導出する。ＧＦ（ｑ）演算手段は、その導出した逆行列の構成に応じて、部分分散情報をＧＦ（ｑ）上にて演算し、（ｐ−１）個の部分秘密情報を出力する。連結手段は、部分秘密情報を連結して秘密情報を出力する。したがって、秘密情報はＧＦ（ｑ）上の演算のみを用いて復元される。なお、分散処理と同様に、復元処理においても実際は多項式環上の演算を、小規模な基礎体であるＧＦ（ｑ）上の演算のみで実現しているため、高速かつ復元処理の負荷を軽減した処理が可能となる。

（６）本発明は、秘密情報から管理者がそれぞれ管理する分散情報を生成する分散情報生成方法であって、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の秘密情報を複数の秘密情報に分割し、有限体ＧＦ（ｑ）上のみの演算を行い、分散情報を生成することを特徴とする分散情報生成方法を提案している。

この発明によれば、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の秘密情報を複数の秘密情報に分割し、有限体ＧＦ（ｑ）上のみの演算を行い、分散情報を生成する。したがって、多項式環の小規模な基礎体上で分散処理を実行できるため、演算処理の負荷を軽減することができる。

（７）本発明は、秘密情報から管理者がそれぞれ管理する分散情報を生成する分散情報生成方法であって、秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割する第１のステップと、（ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する第２のステップと、前記ＧＦ（ｑ）上において、前記部分秘密情報と前記乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力する第３のステップと、該出力された部分分散情報を連結して分散情報を生成する第４のステップと、各管理者へ該生成した分散情報を送付する第５のステップと、を備えたことを特徴とする分散情報生成方法を提案している。

この発明によれば、秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割し、（ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する。そして、ＧＦ（ｑ）上において、部分秘密情報と乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力し、その出力された部分分散情報を連結して分散情報を生成して、各管理者へその生成した分散情報を送付する。したがって、秘密情報からＧＦ（ｑ）上の演算のみを用いて、個々の分散情報が生成される。また、秘密情報を多項式環ＧＦ（ｑ）［ｘ］／（Ｍｐ（ｘ））上の要素とした場合、個々の分散情報は多項式環上で定義される演算を用いて生成される多項式環上の要素に等しくなる。なお、このとき、Ｍｐ（ｘ）はある特定の形で構成されるｐ−１次の多項式である。つまり、多項式環上の演算を、小規模な基礎体であるＧＦ（ｑ）上の演算のみで実現しているため、高速かつ分散処理の負荷を軽減した処理が可能となる。

（８）本発明は、それぞれの管理者が管理する分散情報を所定数集めて、秘密情報を復元する秘密情報復元方法であって、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の分散情報を分割し、有限体ＧＦ（ｑ）上のみの演算を行い、秘密情報を復元することを特徴とする秘密情報復元方法を提案している。

この発明によれば、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の分散情報を分割し、有限体ＧＦ（ｑ）上のみの演算を行い、秘密情報を復元する。したがって、多項式環の小規模な基礎体上で復元処理を実行できるため、演算処理の負荷を軽減することができる。

（９）本発明は、それぞれの管理者が管理する分散情報を所定数集めて、秘密情報を復元する秘密情報復元方法であって、ｋ個（ｋは、ｎ以下の正の整数）の分散情報を受信する第１のステップと、ｋ個の分散情報を分割してｋ（ｐ−１）個の部分分散情報（ｐはｎ以上の素数）を出力する第２のステップと、ｋ個の分散情報のインデックス番号に基づいて、多項式環の性質を利用して組み合わせて演算し、ＧＦ（ｑ）上の生成行列を生成する第３のステップと、生成行列の逆行列を導出する第４のステップと、該導出した逆行列の構成に応じて、部分分散情報をＧＦ（ｑ）上にて演算し、（ｐ−１）個の部分秘密情報を出力する第５のステップと、部分秘密情報を連結して秘密情報を出力する第６のステップと、を備えることを特徴とする秘密情報復元方法を提案している。

この発明によれば、ｋ個（ｋは、ｎ以下の正の整数）の分散情報を受信し、ｋ個の分散情報を分割してｋ（ｐ−１）個の部分分散情報（ｐはｎ以上の素数）を出力する。そして、ｋ個の分散情報のインデックス番号に基づいて、多項式環の性質を利用して組み合わせて演算し、ＧＦ（ｑ）上の生成行列を生成し、生成行列の逆行列を導出するとともに、その導出した逆行列の構成に応じて、部分分散情報をＧＦ（ｑ）上にて演算し、（ｐ−１）個の部分秘密情報を出力して、部分秘密情報を連結して秘密情報を出力する。したがって、秘密情報はＧＦ（ｑ）上の演算のみを用いて復元される。なお、分散処理と同様に、復元処理においても実際は多項式環上の演算を、小規模な基礎体であるＧＦ（ｑ）上の演算のみで実現しているため、高速かつ復元処理の負荷を軽減した処理が可能となる。

（１０）本発明は、秘密情報から管理者がそれぞれ管理する分散情報を生成する分散情報生成方法をコンピュータに実行させるためのプログラムであって、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の秘密情報を複数の秘密情報に分割し、有限体ＧＦ（ｑ）上のみの演算を行い、分散情報を生成することを特徴とするプログラムを提案している。

この発明によれば、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の秘密情報を複数の秘密情報に分割し、有限体ＧＦ（ｑ）上のみの演算を行い、分散情報を生成する。したがって、多項式環の小規模な基礎体上で分散処理を実行できるため、演算処理の負荷を軽減することができる。

（１１）本発明は、秘密情報から管理者がそれぞれ管理する分散情報を生成する分散情報生成方法をコンピュータに実行させるためのプログラムであって、秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割する第１のステップと、（ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する第２のステップと、前記ＧＦ（ｑ）上において、前記部分秘密情報と前記乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力する第３のステップと、該出力された部分分散情報を連結して分散情報を生成する第４のステップと、各管理者へ該生成した分散情報を送付する第５のステップと、を実行するためのプログラムを提案している。

この発明によれば、秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割し、（ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する。そして、ＧＦ（ｑ）上において、部分秘密情報と乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力し、その出力された部分分散情報を連結して分散情報を生成して、各管理者へその生成した分散情報を送付する。したがって、秘密情報からＧＦ（ｑ）上の演算のみを用いて、個々の分散情報が生成される。また、秘密情報を多項式環ＧＦ（ｑ）［ｘ］／（Ｍｐ（ｘ））上の要素とした場合、個々の分散情報は多項式環上で定義される演算を用いて生成される多項式環上の要素に等しくなる。なお、このとき、Ｍｐ（ｘ）はある特定の形で構成されるｐ−１次の多項式である。つまり、多項式環上の演算を、小規模な基礎体であるＧＦ（ｑ）上の演算のみで実現しているため、高速かつ分散処理の負荷を軽減した処理が可能となる。

（１２）本発明は、それぞれの管理者が管理する分散情報を所定数集めて、秘密情報を復元する秘密情報復元方法をコンピュータに実行させるためのプログラムであって、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の分散情報を分割し、有限体ＧＦ（ｑ）上のみの演算を行い、秘密情報を復元することを特徴とするプログラムを提案している。

この発明によれば、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の分散情報を分割し、有限体ＧＦ（ｑ）上のみの演算を行い、秘密情報を復元する。したがって、多項式環の小規模な基礎体上で復元処理を実行できるため、演算処理の負荷を軽減することができる。

（１３）本発明は、それぞれの管理者が管理する分散情報を所定数集めて、秘密情報を復元する秘密情報復元方法をコンピュータに実行させるためのプログラムであって、秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割する第１のステップと、（ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する第２のステップと、前記ＧＦ（ｑ）上において、前記部分秘密情報と前記乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力する第４のステップと、該出力された部分分散情報を連結して分散情報を生成する第５のステップと、各管理者へ該生成した分散情報を送付する第６のステップと、を実行するためのプログラムを提案している。

この発明によれば、ｋ個（ｋは、ｎ以下の正の整数）の分散情報を受信し、ｋ個の分散情報を分割してｋ（ｐ−１）個の部分分散情報（ｐはｎ以上の素数）を出力する。そして、ｋ個の分散情報のインデックス番号に基づいて、多項式環の性質を利用して組み合わせて演算し、ＧＦ（ｑ）上の生成行列を生成し、生成行列の逆行列を導出するとともに、その導出した逆行列の構成に応じて、部分分散情報をＧＦ（ｑ）上にて演算し、（ｐ−１）個の部分秘密情報を出力して、部分秘密情報を連結して秘密情報を出力する。したがって、秘密情報はＧＦ（ｑ）上の演算のみを用いて復元される。なお、分散処理と同様に、復元処理においても実際は多項式環上の演算を、小規模な基礎体であるＧＦ（ｑ）上の演算のみで実現しているため、高速かつ復元処理の負荷を軽減した処理が可能となる。

本発明によれば、素体や拡大体上ではなく、多項式環上での（ｋ、ｎ）閾値法を実行し、秘密情報の分散あるいは復元を行う。つまり、多項式環上の演算を、小規模な基礎体であるＧＦ（ｑ）上の演算のみで実現しているため、高速かつ分散／復元処理の負荷を軽減した処理が可能となるという効果がある。また、ＧＦ（２） （すなわちＸＯＲ演算）に限らない有限体ＧＦ（ｑ）上で動作することが可能であるため、加算と離散対数の準同型性を利用したアプリケーションへ容易に適用することが可能となるという効果がある。

本発明の実施形態に係る分散情報生成装置の構成を示す図である。 本発明の実施形態に係る分散情報生成装置の処理フローを示す図である。 本発明の実施形態に係る秘密情報復元装置の構成を示す図である。 本発明の実施形態に係る秘密情報復元装置の処理フローを示す図である。

以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

＜分散情報生成装置の構成＞
図１を用いて、本実施形態に係る分散情報生成装置の構成について説明する。

本実施形態に係る分散情報生成装置は、図１に示すように、分割器１と、乱数生成器２と、ＧＦ（ｑ）演算器３と、連結器４ａ〜４ｎと、送信器５とから構成されている。

分割器１は、秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割し、分割した部分秘密情報をＧＦ（ｑ）演算器３に出力する。乱数生成器２は、（ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成すし、生成した乱数をＧＦ（ｑ）演算器３に出力する。

ＧＦ（ｑ）演算器３は、ＧＦ（ｑ）上において、部分秘密情報と乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報をｎ個の連結器４ａ〜４ｎに出力する。

連結器４ａ〜４ｎは、それぞれ、ＧＦ（ｑ）演算器３から入力されたｎ（ｐ−１）個の部分分散情報を連結して分散情報を生成し、送信器５に出力する。送信器５は、入力した分散情報を分散情報の各管理者に送信して、配布する。

＜分散情報生成装置の処理＞
図２を用いて、本実施形態に係る分散情報生成装置の処理について説明する。
なお、説明にあたって用いる記号を数１のように、定義する。

まず、Ｒｐ（ｑ）上の秘密情報ｓ∈Ｒｐ（ｑ）は通常ＧＦ（ｑ）上のｐ−１次元のベクトルとしてあらわされるため、まず、分割器１において、ｓをｓ_０、ｓ_１、・・・・、ｓ_ｐ−２∈ＧＦ（ｑ）のｐ−１個の部分秘密情報に分割する（ステップＳ１０１）。

次に、乱数生成器２を用いて、（ｋ−１）（ｐ−１）個の乱数ｒ^０ _０、・・・・、ｒ^０ _ｍ−１、・・・・、ｒ^ｋ−２ _０、・・・・、ｒ^ｋ−２ _ｍ−１∈ＧＦ（ｑ）を生成する（ステップＳ１０２）。

ＧＦ（ｑ）演算器４において、部分分散情報を、以下の数２を用いて生成する（ステップＳ１０３）。

ここで、ｉは、０≦ｉ≦ｎ−１である。また、数２において、すべての演算は、有限体ＧＦ（ｑ）上で実行される。また、数２では、式を簡単に表現するために、以下、数３に示すようなダミーの部分分散情報および乱数を便宜的に使用している。

次に、それぞれの連結器４ａ〜４ｎにおいて、ｗ_ｉの要素（部分分散情報）を数４のように連結して分散情報ｗ_ｉを生成し（ステップＳ１０４）、送信器６がセキュアな伝送路を介して、管理者Ｐ_ｉに分散情報ｗ_ｉを送信する（ステップＳ１０５）。

したがって、本実施形態に係る分散情報生成装置によれば、秘密情報からＧＦ（ｑ）上の演算のみを用いて、個々の分散情報が生成される。また、秘密情報を多項式環ＧＦ（ｑ）［ｘ］／（Ｍｐ（ｘ））上の要素とした場合、個々の分散情報は多項式環上で定義される演算を用いて生成される多項式環上の要素に等しくなる。なお、このとき、Ｍｐ（ｘ）はある特定の形で構成されるｐ−１次の多項式である。つまり、多項式環上の演算を、小規模な基礎体であるＧＦ（ｑ）上の演算のみで実現しているため、高速かつ分散処理の負荷を軽減した処理が可能となる。大規模な拡大体上の秘密情報を任意の有限体上に分割して、演算を行うため、加算と離散対数の準同型性を利用したアプリケーションにも容易に適用することができる。

＜秘密情報復元装置の構成＞
図３を用いて、本実施形態に係る秘密情報復元装置の構成について説明する。

本実施形態に係る秘密情報復元装置は、図３に示すように、受信器１１と、行列生成器１２と、分割器１３ａ〜１３ｎと、行列演算器１４と、ＧＦ（ｑ）演算器１５と、連結器１６とから構成されている。

受信器１１は、ｋ人の管理人からｋ個の分散情報を受信し、受信したｋ個の分散情報をそれぞれの分割器１３ａ〜１３ｎに出力する。それぞれの分割器１３ａ〜１３ｎは、入力したｋ個の分散情報を分割して、ｋ（ｐ−１）個の部分分散情報（ｐはｎ以上の素数）をＧＦ（ｑ）演算器１５に出力する。

行列生成器１２は、ｋ個の分散情報のインデックス番号に基づいて、多項式環の性質を利用して組み合わせて演算し、ＧＦ（ｑ）上の生成行列を生成し、行列演算器１４に出力する。

行列演算器１４は、入力した生成行列の逆行列を導出し、ＧＦ（ｑ）演算器１５に出力する。ＧＦ（ｑ）演算器１５は、入力された逆行列の構成に基づいて定まる組み合わせに応じて、部分分散情報を有限体ＧＦ（ｑ）上において演算し、（ｐ−１）個の部分秘密情報を連結器１６に出力する。連結器１６は、入力された部分秘密情報を連結して秘密情報を出力する。

＜秘密情報復元装置の処理＞
図４を用いて、本実施形態に係る秘密情報復元装置の処理について説明する。
なお、説明にあたって用いる記号を分散情報生成装置での説明と同様に定義する。

まず、受信器１１は、ｗ_ｔ０、ｗ_ｔ１、・・・・、ｗ_ｔｋ−１のｋ個の分散情報を管理者Ｐ_ｉから受信し、分割器１３ａ〜１３ｎに出力する（ステップＳ２０１）。次に、それぞれの分割器１３ａ〜１３ｎにおいて、入力したＲｐ（ｑ）上の分散情報ｗ_ｉを（ｐ−１）個の部分分散情報ｗ_{（ｉ、０）}、・・・・、ｗ_{（ｉ、ｐ−２）}∈ＧＦ（ｑ）へと分割し、（ｐ−１）個の部分分散情報をＧＦ（ｑ）演算器１５に出力する（ステップＳ２０２）。なお、ｉ＝ｔ_０、・・・・、ｔ_ｋ−１である。

次に、数５に示すｋ（ｐ−１）×２ｋ（ｐ−１）行列（Ｇ｜Ｉ_{ｋ（ｐ−１）}）を分散情報のインデックスから導出する（ステップＳ２０３）。

数５において、Ｉ_ａは、ａ行ａ列の単位行列を示し、Ｋｉは、以下、数６に示す（ｐ−１）×（ｐ−１）行列（ｉ＝０、・・・・、ｐ−１）である。ただし、Ｋ_０＝Ｉｐ−１であり、Ｇを生成行列と呼ぶ。ここで、ガウスの消去法を（Ｇ｜Ｉ_{ｋ（ｐ−１）}）上において実行することにより、数７に示す行列を得る（ステップＳ２０４）。

数７において、Ｇａｕｓｓ（）は、有限体ＧＦ（ｑ）上のガウスの消去法を実行する関数とする。この際、Ｍは、Ｇに対する逆行列となる。なお、ステップＳ２０３およびステップＳ２０４においては、上記のように、ガウスの消去法を利用する例について説明したが、ＬＵ分解などの他のアルゴリズムを用いることもできる。

次に、Ｍを用いて、以下、数８に示す演算を有限体ＧＦ（ｑ）上において実行し、すべての部分秘密情報、乱数を復元する（ステップＳ２０５）。ここで、ｕおよびｖはそれぞれ乱数、部分秘密情報のベクトルおよび部分分散情報のベクトルであり、以下、数９のように定義される。

そして、出力された部分秘密情報を連結して、数１０に示すような秘密情報ｓを出力する（ステップＳ２０６）。

したがって、本実施形態に係る秘密情報復元装置によれば、秘密情報はＧＦ（ｑ）上の演算のみを用いて復元される。なお、分散処理と同様に、復元処理においても実際は多項式環上の演算を、小規模な基礎体であるＧＦ（ｑ）上の演算のみで実現しているため、高速かつ復元処理の負荷を軽減した処理が可能となる。

なお、分散情報生成装置および秘密情報復元装置の処理をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを分散情報生成装置および秘密情報復元装置に読み込ませ、実行することによって本発明の分散情報生成装置および秘密情報復元装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。更に、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１・・・分割器
２・・・乱数生成器
３・・・ＧＦ（ｑ）演算器
４ａ〜４ｎ・・・連結器
５・・・送信器
１１・・・受信器
１２・・・行列生成器
１３ａ〜１３ｎ・・・分割器
１４・・・行列演算器
１５・・・ＧＦ（ｑ）演算器
１６・・・連結器

Claims (13)

1. 位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の秘密情報を複数の秘密情報に分割し、有限体ＧＦ（ｑ）上のみの演算を行い、分散情報を生成することを特徴とする分散情報生成装置。
2. 出力されるそれぞれの分散情報のサイズが、入力される秘密情報と等しいサイズであることを特徴とする請求項１に記載の分散情報生成装置。
3. 秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割する分割手段と、
   （ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する乱数生成手段と、
   前記ＧＦ（ｑ）上において、前記部分秘密情報と前記乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力するＧＦ（ｑ）演算手段と、
   該出力された部分分散情報を連結して分散情報を生成する連結手段と、
   各管理者へ該生成した分散情報を送付する送信手段と、
   を備えたことを特徴とする分散情報生成装置。
4. 位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の分散情報を分割し、有限体ＧＦ（ｑ）上のみの演算を行い、秘密情報を復元することを特徴とする秘密情報復元装置。
5. ｋ個（ｋは、ｎ以下の正の整数）の分散情報を受信する受信手段と、
   ｋ個の分散情報を分割してｋ（ｐ−１）個の部分分散情報（ｐはｎ以上の素数）を出力する分割手段と、
   ｋ個の分散情報のインデックス番号に基づいて、多項式環の性質を利用して組み合わせて演算し、ＧＦ（ｑ）上の生成行列を生成する生成行列生成手段と、
   生成行列の逆行列を導出する行列演算手段と、
   該導出した逆行列の構成に応じて、部分分散情報をＧＦ（ｑ）上にて演算し、（ｐ−１）個の部分秘密情報を出力するＧＦ（ｑ）演算手段と、
   部分秘密情報を連結して秘密情報を出力する連結手段と、
   を備えることを特徴とする秘密情報復元装置。
6. 秘密情報から管理者がそれぞれ管理する分散情報を生成する分散情報生成方法であって、
   位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の秘密情報を複数の秘密情報に分割し、有限体ＧＦ（ｑ）上のみの演算を行い、分散情報を生成することを特徴とする分散情報生成方法。
7. 秘密情報から管理者がそれぞれ管理する分散情報を生成する分散情報生成方法であって、
   秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割する第１のステップと、
   （ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する第２のステップと、
   前記ＧＦ（ｑ）上において、前記部分秘密情報と前記乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力する第３のステップと、
   該出力された部分分散情報を連結して分散情報を生成する第４のステップと、
   各管理者へ該生成した分散情報を送付する第５のステップと、
   を備えたことを特徴とする分散情報生成方法。
8. それぞれの管理者が管理する分散情報を所定数集めて、秘密情報を復元する秘密情報復元方法であって、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の分散情報を分割し、有限体ＧＦ（ｑ）上のみの演算を行い、秘密情報を復元することを特徴とする秘密情報復元方法。
9. それぞれの管理者が管理する分散情報を所定数集めて、秘密情報を復元する秘密情報復元方法であって、
   ｋ個（ｋは、ｎ以下の正の整数）の分散情報を受信する第１のステップと、
   ｋ個の分散情報を分割してｋ（ｐ−１）個の部分分散情報（ｐはｎ以上の素数）を出力する第２のステップと、
   ｋ個の分散情報のインデックス番号に基づいて、多項式環の性質を利用して組み合わせて演算し、ＧＦ（ｑ）上の生成行列を生成する第３のステップと、
   生成行列の逆行列を導出する第４のステップと、
   該導出した逆行列の構成に応じて、部分分散情報をＧＦ（ｑ）上にて演算し、（ｐ−１）個の部分秘密情報を出力する第５のステップと、
   部分秘密情報を連結して秘密情報を出力する第６のステップと、
   を備えることを特徴とする秘密情報復元方法。
10. 秘密情報から管理者がそれぞれ管理する分散情報を生成する分散情報生成方法をコンピュータに実行させるためのプログラムであって、
    位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の秘密情報を複数の秘密情報に分割し、有限体ＧＦ（ｑ）上のみの演算を行い、分散情報を生成することを特徴とするプログラム。
11. 秘密情報から管理者がそれぞれ管理する分散情報を生成する分散情報生成方法をコンピュータに実行させるためのプログラムであって、
    秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割する第１のステップと、
    （ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する第２のステップと、
    前記ＧＦ（ｑ）上において、前記部分秘密情報と前記乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力する第３のステップと、
    該出力された部分分散情報を連結して分散情報を生成する第４のステップと、
    各管理者へ該生成した分散情報を送付する第５のステップと、
    を実行するためのプログラム。
12. それぞれの管理者が管理する分散情報を所定数集めて、秘密情報を復元する秘密情報復元方法をコンピュータに実行させるためのプログラムであって、位数ｑの有限体ＧＦ（ｑ）［ｘ］の特定の構成を有するｐ−１次多項式Ｍ_ｐ（ｘ）（ｐはｎ以上の素数）を用いて、多項式環ＧＦ（ｑ）［ｘ］／（Ｍ_ｐ（ｘ））上の分散情報を分割し、有限体ＧＦ（ｑ）上のみの演算を行い、秘密情報を復元することを特徴とするプログラム。
13. それぞれの管理者が管理する分散情報を所定数集めて、秘密情報を復元する秘密情報復元方法をコンピュータに実行させるためのプログラムであって、
    秘密情報を（ｐ−１）個の部分秘密情報（ｐはｎ以上の素数）に分割する第１のステップと、
    （ｐ−１）（ｋ−１）個（ｋは、ｎ以下の正の整数）の位数ｑの有限体ＧＦ（ｑ）上の乱数を生成する第２のステップと、
    前記ＧＦ（ｑ）上において、前記部分秘密情報と前記乱数とを多項式環の性質を利用して組み合わせて演算し、ｎ（ｐ−１）個の部分分散情報を出力する第４のステップと、
    該出力された部分分散情報を連結して分散情報を生成する第５のステップと、
    各管理者へ該生成した分散情報を送付する第６のステップと、
    を実行するためのプログラム。

Images