JP2016146530A - 秘密公開方法、秘密公開システム、秘密公開装置、およびプログラム - Google Patents

Abstract

【課題】通信量を低減する。【解決手段】秘密公開装置pj'（j'=1,…,k-1）がシェア[a→]j'を秘密公開装置p0へ送信する。秘密公開装置pj（j=k,…,n-1）がシェア[a→]jからチェックサムcjを計算し、チェックサムcjを秘密公開装置p0へ送信する。秘密公開装置p0がk個のシェア[a→]0,…,[a→]k-1からn-k個のシェア[a→]k,…,[a→]n-1を復旧する。秘密公開装置p0が、j=k,…,n-1について、シェア[a→]jからチェックサムc'jをそれぞれ計算する。秘密公開装置p0が、j=k,…,n-1について、チェックサムcjとチェックサムc'jとをそれぞれ比較してシェア[a→]1,…,[a→]k-1の改ざんを検知する。秘密公開装置p0がシェア[a→]0,…,[a→]k-1から平文列a→を復元する。【選択図】図３

Description

この発明は、秘密分散技術に関し、特に分散値から平文を公開する際に改ざんを検知する技術に関する。

秘密分散とは、データを複数に分割した分散値に変換し、一定個数以上のシェアを用いれば元のデータを復元でき、一定個数未満のシェアからは元のデータを一切復元できなくする技術である。なお、秘密分散した複数個の値の組を分散値と呼び、分散値のうちの１個の断片をシェアと呼ぶ。

秘密分散の一種である(k,n)-秘密分散は、入力された平文をn個に分割した分散値をn個の計算主体に分散して保持しておき、任意のk個のシェアが揃えば平文を復元でき、k個未満のシェアからは平文に関する一切の情報を得られないような秘密分散である。このとき、n,kは1以上の整数であり、n=2k-1である。

各計算主体が保持するシェアが改ざんされた場合、復元するk個のシェアの選び方に依存して復元される値が異なるという問題が発生する。したがって、分散値から平文を公開する際に各シェアに改ざんがなかったかを確認する必要がある。分散値から平文を公開する際に改ざん検知が可能な従来技術には、非特許文献１に記載の方法がある。

I. Damgard, J. B. Nielsen, "Scalable and Unconditionally Secure Multiparty Computation", CRYPTO 2007, vol. 4622 of Lecture Notes in Computer Science, pp. 572-590, 2007.

しかしながら、非特許文献１に記載の公開方法は通信量が大きいという問題がある。この公開方法では、改ざん検知を行わずに分散値から平文を公開する場合と比較して、数倍の通信量を要する。

この発明の目的は、このような点に鑑みて、改ざん検知可能な秘密公開技術において、通信量を低減することである。

上記の課題を解決するために、この発明の秘密公開方法は、[a^→]₀,…,[a^→]_n-1を平文列a^→から(n,k)-秘密分散により生成したシェアとし、iを0以上n未満の整数とし、jをk以上n未満の整数とし、j'を1以上k未満の整数とし、n台の秘密公開装置p_iの記憶部に、シェア[a^→]_iが記憶されており、k-1台の秘密公開装置p_j'が、シェア[a^→]_j'を秘密公開装置p₀へ送信するシェア送信ステップと、n-k台の秘密公開装置p_jが、シェア[a^→]_jからチェックサムc_jを計算し、チェックサムc_jを秘密公開装置p₀へ送信するチェックサム送信ステップと、秘密公開装置p₀が、k個のシェア[a^→]₀,…,[a^→]_k-1からn-k個のシェア[a^→]_k,…,[a^→]_n-1を復旧するシェア復旧ステップと、秘密公開装置p₀が、j=k,…,n-1について、シェア[a^→]_jからチェックサムc'_jをそれぞれ計算するチェックサム計算ステップと、秘密公開装置p₀が、j=k,…,n-1について、チェックサムc_jとチェックサムc'_jとをそれぞれ比較してシェア[a^→]₁,…,[a^→]_k-1の改ざんを検知する改ざん検知ステップと、秘密公開装置p₀が、シェア[a^→]₀,…,[a^→]_k-1から平文列a^→を復元する公開値復元ステップと、を含む。

この発明の秘密公開技術は、改ざん検知のために送受信するデータの一部が情報量の少ないチェックサムであるため、通信量を低減することができる。

図１は、秘密公開システムの機能構成を例示する図である。 図２は、秘密公開装置の機能構成を例示する図である。 図３は、秘密公開方法の処理フローを例示する図である。

実施形態の説明に先立って、以下の説明で用いる表記方法および用語を説明する。
［表記方法］
p_iは、i番目のシェアを所持するパーティを表す。
P=(p₀,…,p_n-1)は、シェアを所持するnパーティ全体の集合を表す。
[x]（角括弧）は、平文xの(k,n)-秘密分散値を表す。(k,n)-秘密分散値は、平文xを(k,n)-秘密分散で分散した値すべてを集めた組である。秘密分散値[x]は、普段はnパーティ集合Pに分散されて所持されているため、一か所ですべてを所持されることはなく、仮想的である。
[x]_iは、(k,n)-秘密分散値[x]のうち、パーティp_i∈Pが所持するシェアを表す。
x^→（上付き右矢印）は、1つまたは複数の値からなるベクトルを表す。
[x^→]は、平文の列がx^→となる(k,n)-秘密分散値の列を表す。

［秘密分散］
この発明で公開の対象とする秘密分散値は任意の(k,n)-秘密分散による分散値である。(k,n)-秘密分散の例としては、下記参考文献１に記載されたShamir秘密分散（Shamir's Secret Sharing）や、下記参考文献２に記載された複製型秘密分散（Replicated Secret Sharing）が挙げられる。
〔参考文献１〕A. Shamir, “How to share a secret”, Communications of the ACM, vol. 22(11), pp. 612-613, 1979.
〔参考文献２〕R. Cramer, I. Damgard, and Y. Ishai, “Share conversion, pseudorandom secret-sharing and applications to secure computation”, TCC, Vol. 3378 of Lecture Notes in Computer Science, pp. 342-362, Springer, 2005.

Shamir秘密分散では、i番目のパーティp_iに座標x_iを割り当て、乱数r_iを用いて、次式により、平文aを分散する。

複製型秘密分散は、例えばn=3, k=2の場合、平文aをa:=a₀+a₁+a₂と変形し、[a₀,a₁]₀、[a₁,a₂]₁、[a₂,a₀]₂の3つのシェアに分散する。シェアを構成する各要素a₀,a₁,a₂はサブシェアと呼ぶ。

［復旧］
復旧とは、シェアを保有する計算主体が利用不能になるなどにより一部のシェアが失われた際に、少なくともk個のシェアが利用可能であることを条件に、利用不能となった一部のシェアを、利用可能なk個のシェアから、秘匿性を失わずに再構築する方法である。Shamir秘密分散では、公知のラグランジュ補間により、k個のシェアから他のn-k個のシェアを復旧することが可能である。複製型秘密分散では、k個のシェアに含まれるサブシェアを組み合わせることで他のn-k個のシェアを復旧することが可能である。

［復元］
復元とは、n個のシェアのうちk個のシェアを収集し、k個のシェアから元の平文を得る方法である。Shamir秘密分散では、公知のラグランジュ補間により、k個のシェアから元の平文を復元することが可能である。複製型秘密分散では、k個のシェアに含まれるサブシェアを加算することで元の平文を復元することが可能である。

以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

［第一実施形態］
図１を参照して、第一実施形態の秘密公開システムの構成例を説明する。秘密公開システムは、n（≧3）台の秘密公開装置１₁,…,１_nを含む。本形態では、秘密公開装置１₁,…,１_nはそれぞれ通信網２へ接続される。通信網２は、接続される各装置が相互に通信可能なように構成された回線交換方式もしくはパケット交換方式の通信網であり、例えばインターネットやLAN（Local Area Network）、WAN（Wide Area Network）などを用いることができる。なお、各装置は必ずしも通信網２を介してオンラインで通信可能である必要はない。例えば、秘密公開装置１₁,…,１_nへ入力する情報を磁気テープやUSBメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体から秘密計算装置１₁,…,１_nへオフラインで入力するように構成してもよい。

図２を参照して、秘密公開システムに含まれる秘密公開装置１_i（i=1,…,n）の構成例を説明する。秘密公開装置１_iは、例えば、記憶部１０、シェア送信部１１、チェックサム送信部１２、シェア復旧部１３、チェックサム計算部１４、改ざん検知部１５、および公開値復元部１６を含む。

秘密公開装置１_iは、例えば、中央演算処理装置（CPU: Central Processing Unit）、主記憶装置（RAM: Random Access Memory）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。秘密公開装置１_iは、例えば、中央演算処理装置の制御のもとで各処理を実行する。秘密公開装置１_iに入力されたデータや各処理で得られたデータは、例えば、メモリに格納され、メモリに格納されたデータは必要に応じて中央演算処理装置へ読み出されて他の処理に利用される。秘密公開装置１_iの各処理部は、少なくとも一部が集積回路等のハードウェアによって構成されていてもよい。

図３を参照して、実施形態の秘密公開方法の処理手続きを説明する。

以下では、p₀,…,p_n-1をn個のシェアを分散して保有するn台の秘密公開装置とし、p₀,…,p_k-1は復元に用いるk個のシェアを分散して保有するk台の秘密公開装置とし、p₀をk個のシェアから平文を復元して公開する秘密公開装置とする。p₀,…,p_n-1は論理的に秘密公開装置の役割を指し示す符号であり、どの秘密公開装置１₁,…,１_nがどの秘密公開装置p₀,…,p_n-1に対応するかは実行時に任意に決定される。以降の説明では、1台の秘密公開装置p₀が平文を公開する処理手続きを説明するが、n台の秘密公開装置p₀,…,p_n-1がそれぞれの役割を入れ替えながら並行して同様の処理を行い、任意の複数台の秘密公開装置がそれぞれ平文を公開するように構成することも可能である。

n台の秘密公開装置p_i（i=0,…,n-1）の記憶部１０には、シェア[a^→]_iが記憶されている。シェア[a^→]_iは平文列a^→を(k,n)-秘密分散により分散したシェアである。平文列a^→はm（m≧1）個の値a₀,…,a_m-1からなる列である。したがって、シェア[a^→]_iは平文列a^→:=a₀,…,a_m-1の各値をそれぞれ秘密分散したシェアからなるシェア列[a^→]_i:=([a₀]_i,…,[a_m-1]_i)である。本形態の(k,n)-秘密分散は、k個のシェアから線形結合で復旧および復元が可能な種類の秘密分散であれば、任意のものを利用することができる。

ステップＳ１１において、k-1台の秘密公開装置p_j'（j'=1,…,k-1）のシェア送信部１１は、記憶部１０に記憶されたシェア[a^→]_j'を秘密公開装置p₀へ送信する。

ステップＳ１２において、n-k台の秘密公開装置p_j（j=k,…,n-1）のチェックサム送信部１２は、記憶部１０に記憶されたシェア[a^→]_jからチェックサムc_jを計算し、そのチェックサムc_jを秘密公開装置p₀へ送信する。チェックサムは、例えば、入力された情報を規則性のない短い固定長の値に変換したハッシュ値である。もしくは、シェア[a^→]_jを[a^→]_j:=([a₀]_j,…,[a_m-1]_j)とし、rを乱数として、次式で表される情報理論的なチェックサムを計算してもよい。

ステップＳ１３において、秘密公開装置p₀のシェア復旧部１３は、k-1台の秘密公開装置p₁,…,p_k-1からそれぞれ受信したk-1個のシェア[a^→]₁,…,[a^→]_k-1に自身の記憶部１０に記憶されたシェア[a^→]₀を加えたk個のシェア[a^→]₀,…,[a^→]_k-1から、n-k個のシェア[a^→]_k,…,[a^→]_n-1を復旧する。復旧の方法は、利用する(k,n)-秘密分散で定められた手順に従って行えばよい。

ステップＳ１４において、秘密公開装置p₀のチェックサム計算部１４は、j=k,…,n-1について、復旧したシェア[a^→]_jからチェックサムc'_jをそれぞれ計算する。チェックサムの計算方法は、チェックサム送信部１２と同様である。

ステップＳ１５ａにおいて、秘密公開装置p₀の改ざん検知部１５は、j=k,…,n-1について、n-k台の秘密公開装置p_k,…,p_n-1からそれぞれ受信したチェックサムc_jと、復旧したシェア[a^→]_jから計算したチェックサムc'_jとをそれぞれ比較する。チェックサムc_jとチェックサムc'_jがすべて一致した場合には、k個のシェア[a^→]₀,…,[a^→]_k-1に改ざんはなかったと判定する。チェックサムc_jとチェックサムc'_jのいずれかが一致しなかった場合には、k個のシェア[a^→]₀,…,[a^→]_k-1のいずれかに改ざんがあったものと判定する。ステップＳ１５ｂにおいて、改ざんがなかったと判定した場合には、ステップＳ１６へ処理を進める。改ざんがあったと判定した場合には、その旨を示す情報（例えば、「⊥」など）を出力する。

ステップＳ１６において、秘密公開装置p₀の公開値復元部１６は、k個のシェア[a^→]₀,…,[a^→]_k-1から平文列a^→を復元し、その平文列a^→を公開する。

本形態の秘密公開システムおよび方法は、このように構成することにより、秘密公開装置間で送受信するデータの一部が短い固定長のチェックサムとなるため、通信量を低減することができる。特に、チェックサムは固定長であるため、シェア列に含まれるシェアの個数が多いときに、元のデータ量から削減できる容量が大きくなるため、効率的である。

なお、秘密計算では一般的に代数構造を保存するためにハッシュなどのチェックサムを用いることができない。復元結果については代数構造の制約を受けないため、ハッシュなどを用いることができる点に留意されたい。

［第二実施形態］
この発明の第二実施形態は、公開の対象とする分散値を生成する(k,n)-秘密分散をShamir秘密分散とした秘密公開システムおよび方法の具体例である。
以下、第二実施形態の秘密公開方法の処理手続きを、第一実施形態との差分を中心に説明する。
n台の秘密公開装置p_i（i=0,…,n-1）の記憶部１０には、平文列a^→をShamir秘密分散により分散したシェア[a^→]_iが記憶されている。Shamir秘密分散の分散方法については、上記参考文献１を参照されたい。

ステップＳ１３において、秘密公開装置p₀のシェア復旧部１３は、k個のシェア[a^→]₀,…,[a^→]_k-1から、ラグランジュ補間により、n-k個のシェア[a^→]_k,…,[a^→]_n-1を復旧する。
ステップＳ１６において、秘密公開装置p₀の公開値復元部１６は、k個のシェア[a^→]₀,…,[a^→]_k-1から、ラグランジュ補間により、平文列a^→を復元し、その平文列a^→を公開する。

本形態は、特に秘密公開装置の台数が小さいときに効率的である。例えば、秘密公開装置が3台（すなわちn=3, k=2）のとき、総通信量はmをシェア列の要素数として、約3mである。これは、非特許文献１の従来技術で改ざん検知なしの場合の公開方法と同程度であり、従来技術よりも効率が良い。

［第三実施形態］
この発明の第三実施形態は、公開の対象とする分散値を生成する(k,n)-秘密分散を複製型秘密分散とした秘密公開システムおよび方法の具体例である。
以下、第三実施形態の秘密公開方法の処理手続きを、第一実施形態との差分を中心に説明する。

n台の秘密公開装置p_i（i=0,…,n-1）の記憶部１０には、平文列a^→を複製型秘密分散により分散したシェア[a^→]_iが記憶されている。[a^→]_iはa^→=a^→ ₀+…+a^→ _n-1となるサブシェアa^→ ₀,…,a^→ _n-1のうちk個を組み合わせたシェア列である。複製型秘密分散の分散方法については、上記参考文献２を参照されたい。

ステップＳ１２において、n-k台の秘密公開装置p_j（j=k,…,n-1）のチェックサム送信部１２は、記憶部１０に記憶されたシェア[a^→]_jからチェックサムc_jを計算する。チェックサムはシェア単位で計算してもよいし、シェアに含まれるサブシェア単位で計算してもよい。

ステップＳ１３において、秘密公開装置p₀のシェア復旧部１３は、k個のシェア[a^→]₀,…,[a^→]_k-1に含まれるサブシェアから相異なるk個の組み合わせを生成することで、n-k個のシェア[a^→]_k,…,[a^→]_n-1を復旧する。例えば、パーティp₀がシェア[a^→ ₀,a^→ ₁]₀を、パーティp₁がシェア[a^→ ₁,a^→ ₂]₁を、パーティp₂がシェア[a^→ ₂,a^→ ₀]₂をそれぞれ保持しているとして、パーティp₂（すなわちシェア[a^→ ₂,a^→ ₀]₂）が利用不能となった場合、パーティp₀が保持するサブシェアa₀とパーティp₁が保持するサブシェアa₂を組み合わせることで、失われたシェア[a^→ ₂,a^→ ₀]₂を復旧することができる。

ステップＳ１４において、秘密公開装置p₀のチェックサム計算部１４は、j=k,…,n-1について、復旧したシェア[a^→]_jからチェックサムc'_jをそれぞれ計算する。チェックサムはチェックサム送信部１２と同様に、シェア単位もしくはサブシェア単位で計算する。

ステップＳ１６において、秘密公開装置p₀の公開値復元部１６は、k個のシェア[a^→]₀,…,[a^→]_k-1に含まれる相異なるn個のサブシェアa^→ ₀,…,a^→ _n-1を総和して、平文列a^→=a^→ ₀+…+a^→ _n-1を復元する。

上述のように、本形態のチェックサムは、シェア単位でもサブシェア単位でも計算することができる。秘密計算装置の台数が多い場合にはサブシェアの数が多くなるため、シェア単位でチェックサムを計算した方が通信量を削減することができる。サブシェア単位でチェックサムを計算すると計算対象のデータ量が少ないため計算量を削減することができる。したがって、秘密計算装置の台数と平文のサイズを鑑みて、いずれの単位でチェックサムを計算するかを決定すればよい。

本形態の秘密公開システムおよび方法も、特に秘密公開装置の台数が小さいときに効率的である。総通信量は第二実施形態と同等であり、従来技術よりも効率が良い。

この発明は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。上記実施形態において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

［プログラム、記録媒体］
上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したDVD、CD-ROM等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるASP（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１ 秘密公開装置
２ 通信網
１０ 記憶部
１１ シェア送信部
１２ チェックサム送信部
１３ シェア復旧部
１４ チェックサム計算部
１５ 改ざん検知部
１６ 公開値復元部

Claims (6)

1. [a^→]₀,…,[a^→]_n-1を平文列a^→から(n,k)-秘密分散により生成したシェアとし、iを0以上n未満の整数とし、jをk以上n未満の整数とし、j'を1以上k未満の整数とし、
   n台の秘密公開装置p_iの記憶部に、上記シェア[a^→]_iが記憶されており、
   k-1台の秘密公開装置p_j'が、上記シェア[a^→]_j'を秘密公開装置p₀へ送信するシェア送信ステップと、
   n-k台の秘密公開装置p_jが、上記シェア[a^→]_jからチェックサムc_jを計算し、上記チェックサムc_jを上記秘密公開装置p₀へ送信するチェックサム送信ステップと、
   上記秘密公開装置p₀が、k個の上記シェア[a^→]₀,…,[a^→]_k-1からn-k個のシェア[a^→]_k,…,[a^→]_n-1を復旧するシェア復旧ステップと、
   上記秘密公開装置p₀が、j=k,…,n-1について、上記シェア[a^→]_jからチェックサムc'_jをそれぞれ計算するチェックサム計算ステップと、
   上記秘密公開装置p₀が、j=k,…,n-1について、上記チェックサムc_jと上記チェックサムc'_jとをそれぞれ比較して上記シェア[a^→]₁,…,[a^→]_k-1の改ざんを検知する改ざん検知ステップと、
   上記秘密公開装置p₀が、上記シェア[a^→]₀,…,[a^→]_k-1から上記平文列a^→を復元する公開値復元ステップと、
   を含む秘密公開方法。
2. 請求項１に記載の秘密公開方法であって、
   上記(n,k)-秘密分散は、Shamir秘密分散であり、
   上記シェア復旧ステップは、ラグランジュ補間により、上記シェア[a^→]₀,…,[a^→]_k-1から上記シェア[a^→]_k,…,[a^→]_n-1を復旧するものであり、
   上記公開値復元ステップは、ラグランジュ補間により、上記シェア[a^→]₀,…,[a^→]_k-1から上記平文列a^→を復元するものである
   秘密公開方法。
3. 請求項１に記載の秘密公開方法であって、
   上記(n,k)-秘密分散は、複製型秘密分散であり、
   上記シェア復旧ステップは、上記シェア[a^→]₀,…,[a^→]_k-1に含まれるサブシェアから相異なるk個の組み合わせを生成することで上記シェア[a^→]_k,…,[a^→]_n-1を復旧するものであり、
   上記公開値復元ステップは、上記シェア[a^→]₀,…,[a^→]_k-1に含まれる相異なるn個のサブシェアを総和することで上記平文列a^→を復元するものである
   秘密公開方法。
4. n台の秘密公開装置p₀,…,p_n-1を含む秘密公開システムであって、
   [a^→]₀,…,[a^→]_n-1を平文列a^→から(n,k)-秘密分散により生成したシェアとし、iを0以上n未満の整数とし、
   上記秘密公開装置p_iは、
   上記シェア[a^→]_iを記憶する記憶部と、
   上記シェア[a^→]_iを他の秘密公開装置へ送信するシェア送信部と、
   上記シェア[a^→]_iからチェックサムc_iを計算し、上記チェックサムc_iを上記他の秘密公開装置へ送信するチェックサム送信部と、
   k個の上記シェア[a^→]₀,…,[a^→]_k-1からn-k個のシェア[a^→]_k,…,[a^→]_n-1を復旧するシェア復旧部と、
   j=k,…,n-1について、上記シェア[a^→]_jからチェックサムc'_jをそれぞれ計算するチェックサム計算部と、
   j=k,…,n-1について、上記チェックサムc_jと上記チェックサムc'_jとをそれぞれ比較して上記シェア[a^→]₁,…,[a^→]_k-1の改ざんを検知する改ざん検知部と、
   上記シェア[a^→]₁,…,[a^→]_k-1から上記平文列a^→を復元する公開値復元部と、
   を含む秘密公開システム。
5. [a^→]₀,…,[a^→]_n-1を平文列a^→から(n,k)-秘密分散により生成したシェアとし、iを0以上n未満の整数とし、
   上記シェア[a^→]_iを記憶する記憶部と、
   上記シェア[a^→]_iを他の秘密公開装置へ送信するシェア送信部と、
   上記シェア[a^→]_iからチェックサムc_iを計算し、上記チェックサムc_iを上記他の秘密公開装置へ送信するチェックサム送信部と、
   k個の上記シェア[a^→]₀,…,[a^→]_k-1からn-k個のシェア[a^→]_k,…,[a^→]_n-1を復旧するシェア復旧部と、
   j=k,…,n-1について、上記シェア[a^→]_jからチェックサムc'_jをそれぞれ計算するチェックサム計算部と、
   j=k,…,n-1について、上記チェックサムc_jと上記チェックサムc'_jとをそれぞれ比較して上記シェア[a^→]₁,…,[a^→]_k-1の改ざんを検知する改ざん検知部と、
   上記シェア[a^→]₁,…,[a^→]_k-1から上記平文列a^→を復元する公開値復元部と、
   を含む秘密公開装置。
6. 請求項５に記載の秘密公開装置としてコンピュータを機能させるためのプログラム。

Images