JP2023142597A - 秘密分散方法 - Google Patents

Abstract

【課題】簡単な演算で符号化・復号化できる秘密分散法を提供する。【解決手段】秘密情報システムにおいて、クライアント装置２の分散データ生成部１４は、秘密情報Ｓを分散対象データとして分散総数に応じた分散データを生成する分散データ生成機能を備える。データ復元部１５は、すべての分散データから元の分散対象データを再構成する再構成機能を備える。分散データ生成部１４は、分散データ生成機能を使って分散対象データからｎ個の分散データを生成する。このときマルチプレックスシークレットシェリング「（ｎ，ｎ）―ｎ―ＭＳＳ」を用いる。データ復元部１５の再構成機能は、基本的に分散データ生成機能と逆の処理を実行することで全ての分散データから元の分散対象データを再構成する。【選択図】図２

Description

特許法第３０条第２項適用申請有り 「第４４回情報理論とその応用シンポジウム（ＳＩＴＡ２０２１）」の講演予稿集において、「多重秘密分散法」に関する研究を公開 公開日：２０２１年１２月１日

特許法第３０条第２項適用申請有り 「第４４回情報理論とその応用シンポジウム（ＳＩＴＡ２０２１）」において、「多重秘密分散法」に関する研究を公開 開催日：２０２１年１２月９日

本発明は、分散対象データとなる秘密情報を複数の分散データ（分散片）に分散化し、分散データが揃うことで前記秘密情報を復元する秘密分散方法（以下、秘密分散法と省略する。）に関する。

秘密分散法（ｓｅｃｒｅｔ ｓｈａｒｉｎｇ ｓｃｈｅｍｅ，ＳＳＳ）は、重要な情報（秘密情報）を破壊や漏洩などの脅威から守るための符号化として広く使用されている。

例えば非特許文献１～３の（ｋ，ｎ）しきい値秘密分散法「（ｋ，ｎ）－ＳＳＳ」によれば、秘密情報Ｓがｎ個の分散データ、即ちシェア「Ｗ_j，ｊ＝１，２，・・・，ｎ」に分散符号化され、任意のｋ個のシェアから複合化できる一方、任意の「ｋ－１」個のシェアからは秘密情報Ｓがまったく分からないという特性を持つ。

ところが、各「Ｗ_j」のビット長は、少なくとも秘密情報Ｓと同じビット長を必要とするため、全シェアのトータルのビット長は秘密情報Ｓのビット長のｎ倍となり、各シェアのサイズを秘密情報のサイズより小さくできず、符号化効率が悪い欠点がある。

このような欠点は、非特許文献４，５のしきい値ランプ（ｒａｍｐ）秘密分散法「（ｋ，Ｌ，ｎ）－ＲＳＳ」を用いて改善することができる。この手法では、秘密情報Ｓが、「Ｓ＝（Ｓ₁，Ｓ₂，…，Ｓ_L）」に分割されて符号化され、任意のｋ個のシェアからはＳの情報が全く分からないという特性を持つ。

このとき各シェア「Ｗ_j」のビット長は、秘密情報Ｓのビット長の「１／Ｌ」となり、前記欠点が解消される。ただし、シェアの個数「ｔ」が「ｋ－Ｌ≦ｔ≦ｋ」の場合は、秘密情報Ｓに関して「（ｋ－ｔ）／Ｌ」の割合のあいまいさが残り弱安全となってしまう。

秘密情報Ｓを分割した各Ｓ_jを個別の秘密情報と考えれば、「（ｋ，Ｌ，ｎ）－ＲＳＳ」は、秘密情報（Ｓ₁，Ｓ₂，・・・，Ｓ_L）をシェア「Ｗ_j，ｊ＝１，２，・・・，ｎ」に多重に符号化する秘密分散法と考えることができる。しかし、「ｓｈａｍｉｒ」の「（ｋ，ｎ）-ＳＳＳ」と同様にｋ次の多項式を用いる「（ｋ，Ｌ，ｎ）－ＲＳＳ」では、すべての「Ｓ_i」が（ｋ，ｎ）しきい値特性を満たすとは限らず、秘密情報（Ｓ₁，Ｓ₂，・・・，Ｓ_L）の多重秘密分散法としては使用できない。そこで、非特許文献４により定義された強安全な「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」が提案されている。

≪従来のしきい値秘密分散法≫
（ｋ，ｎ）しきい値秘密分散法「（ｋ，ｎ）－ＳＳＳ」と、（ｋ，Ｌ，ｎ）しきい値ランプ秘密分散法「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」と、強安全な「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」とのそれぞれが満たすべき条件を説明する。

（１）（ｋ，ｎ）しきい値法
秘密情報Ｓは、有限離散集合上で一様分布するものとする。秘密情報Ｓを分散符号化したシェア「Ｗ_j，ｊ＝１，２，・・・，ｎ」に対して、任意の「Ｗ_j1，Ｗ_j2，・・・，Ｗ_jk」が、以下に示す式（１）（２）の条件を満たすとき、その分散法を「（ｋ，ｎ）－ＳＳＳ」という。

この条件を満たすためには、各シェア「Ｗ_j」は式（３）を満たさなければならない。

式（３）を等号で満たす方式として、非特許文献１の（ｋ－１）次の多項式を用いる「Ｓｈａｍｉｒ」の「（ｋ，ｎ）－ＳＳＳ」がある。「Ｓ＝ＧＦ（ｑ）」とし、「Ｕ₁，Ｕ₂，・・・，Ｕ_k－1」を「Ｓ」上の値をとる互いに独立な一様乱とする。このとき式（４）に示す（ｋ－１）次の多項式と、「α_j∈ＧＦ（ｑ），ｊ＝１，２，・・・，ｎ」とに対して、シェア「Ｗ_j」は式（５）のように決まる。

（２）（ｋ，Ｌ，ｎ）しきい値法
任意の「Ｗ_j1，Ｗ_j2，・・・，Ｗ_jt」が、式（６）の条件を満たすとき「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」という。

秘密情報Ｓを，「Ｓ＝（Ｓ₁，Ｓ₂，・・・，Ｓ_L）とＬ分割し、「Ｓ＝＾Ｓ^L（＾Ｓ＝ＧＦ（＾ｑ），ｑ＝^ｑ^L）とする。秘密情報Ｓが有限離散集合Ｓ上を一様分布するとき、各「Ｓ_i」は「^Ｓ）」上を一様分布する。このとき各シェア「Ｗ_j」は式（７）を満たさなければならない。

式（１０）の符号化法を用いれば，式（７）を等号で達成できる。したがって、「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」を用いれば、「（ｋ，ｎ）－ＳＳＳ」に比べて、シェアのビット長を「１／Ｌ」にすることができる。「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」は、「Ｓｈａｍｉｒの（ｋ，ｎ）－ＳＳＳ」と同様に、（ｋ－１）次の多項式を用いて式（８）のように構成することができる。

「Ｕ_l，ｌ＝１，２，・・・，ｋ－Ｌ」は、「^Ｓ」上の値をとる互いに独立な一様乱数である。この「Ｓｈａｍｉｒ」型の「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」は、式（６）の条件を満たすが、各「Ｓ_i」は（ｋ，ｎ）しきい値特性を満たすとは限らない。

すなわち、一部の「Ｓ_i」は、ｋ個より少ないシェアで復号できる可能性がある（非特許文献６参照）。この安全性の問題点を解決したものが、非特許文献４のが「強安全ランプしきい値秘密分散法」である。これは任意の「Ｗ_j1，Ｗ_j2，・・・，Ｗ_jt」と任意の「Ｓ_i1，Ｓ_i2，・・・，Ｓ_ik－t」に対して、式（６）に加えて式（９）の条件を満たす。

上記の特性より、（ｋ－１）個のシェアが集まっても、任意の「Ｓ_i」に関して全く情報が漏洩しない。式（９）の特性を達成する符号化は、式（１０）のように線形演算で実現できる（非特許文献４参照）。

ここで「Ｇ」は、「ｋ×ｎ」の行列であり，Ｇ＝［ｇ_i，_j］は、式（１１）の条件を満たすものする。

「^Ｇ」を式（１１）と定義したとき、「^Ｇ」の任意のｋ列が線形独立である。

≪（ｋ，ｎ）しきい値Ｌ多重秘密分散法≫
各「Ｓ_i，ｉ＝１，２，・・・，Ｌ」を「^Ｓ」上の値をとる互いに独立な秘密情報と考えると、強安全な「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」は式（９）に示すように、各「Ｓ_i」が「（ｋ，ｎ）しきい値」の特性を満たすため、Ｌ個の独立な秘密情報「Ｓ_i」を多重化して一度に「ｋ，ｎ）－ＲＳＳＳ」符号化を行っていると考えることができる。

しかしながら、式（９）は、個別の「Ｓ_i」に対する「（ｋ，ｎ）しきい値特性」よりも強い安全性を要求しており、自由度が制限されている。

そこで、個別の「Ｓ_i」に対する「（ｋ，ｎ）しきい値特性」のみを要求する多重秘密分散法「ｍｕｌｔｉｐｌｅｘ ＳＳＳ」が定義された。

（１）定義内容
各「Ｓ_i，ｉ＝１，２，・・・」，「Ｌ，１≦Ｌ≦ｋ」に対して、任意の「Ｗ_j1，Ｗ_j2，・・・，Ｗ_jk」が、式（１２）（１３）を満たすとき、（ｋ，ｎ）しきい値Ｌ多重秘密分散法「（ｋ，ｎ）－Ｌ－ＭＳＳＳ」という。

「Ｌ＝１」の場合は、通常の「（ｋ，ｎ）－ＳＳＳ」となる。また、式（９）を満たせば、式（１３）が成り立つ。

したがって，強安全な「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」は、「（ｋ，ｎ）－Ｌ－ＭＳＳＳ」の条件を満たす。一方、「Ｓｈａｍｉｒ」型の「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」は、「（ｋ，ｎ）－Ｌ－ＭＳＳＳ」の条件を満たすとは限らない。したがって、「ＲＳＳＳ」と「ＭＳＳＳ」は，図１に示す関係となる。式（１２）（１３）の条件を満たすとき、各シェア「Ｗ_j」のビット長は、式（３）と同様に，式（１４）を満たさなければならない。

式（１４）式を等号で満たす「（ｋ，ｎ）－Ｌ－ＭＳＳＳ」を、式（１０）の線形演算を用いて実現する場合を考える。

式（１０）の行列Ｇ＝［ｇ_i，_j］と、式（１５）に対して、ｋ×（ｎ＋１）行列^Ｇ_iを、「^Ｇ_i＝［ｅ_iＧ］と定義する。このとき次の定理が成り立つ。

（２）定理
Ａ：定理内容
「ｉ＝１，２，・・・，Ｌ」の各々に対して、「^Ｇ_i」の任意のｋ列が線形独立なとき、式（１１）で与えられる秘密分散法は、「（ｋ，ｎ）－Ｌ－ＭＳＳＳ」である。

Ｂ：証明
前記定理を次の通り証明する。

（ａ）まず、ｋ個のシェア「Ｗ_j1，Ｗ_j2，・・・，Ｗ_jk」が与えられた場合を考える。このとき「Ｊ_k：＝｛ｊ₁，ｊ₂，・・・，ｊ_k｝」に対応したＧの列からなる「ｋ×ｋ」行列を「＾Ｇ_Jk」とすると、
「（Ｗｊ₁，Ｗ_j2，・・・，Ｗ_jk）＝（Ｓ₁，・・・，Ｓ_L，Ｕ₁，・・・，Ｕ_k-L）＾Ｇ_Jk」を満たす。前記定理（仮定）によれば、行列「＾Ｇ_Jk」のすべての列が線形独立なため、その逆行列「＾Ｇ^-1 _Jk」が存在し、
（Ｓ₁，・・・，Ｓ_L，Ｕ₁，・・・，Ｕ_k-L）＝（Ｗ_j1，Ｗ_j2，・・・，Ｗ_jk）＾Ｇ^-1 _Jk
により、すべての「Ｓ_i，ｉ＝１，２，・・・，Ｌ」がｋ個のシェアから復号でき、式（１２）が成り立つ。

（ｂ）つぎに（ｋ－１）個のシェア「Ｗ_j1，Ｗ_j2，・・・，Ｗ_jk-1」が与えられた場合を考える。「Ｊ_k-1：＝｛ｊ₁，ｊ₂，・・・，ｊ_k-1｝」に対応したＧの列からなる「ｋ×（ｋ－１）」行列を「＾Ｇ_Jk-1」とし、「ｅ_i」と「＾Ｇ_Jk-1」とから構成される「ｋ×ｋ」行列を「＾Ｇ_i,Jk-1＝［ｅ_i＾Ｇ_Jk-1］」とする。

このとき前記定理（仮定）により、「^Ｇ_i,Jk-1」のすべての列が線形独立なため、「Ｊ_k-1」の列の線形結合で「ｅ_i」を作ることができない。すなわち、「Ｓ_i」を「Ｗ_j1，Ｗ_j2，・・・，Ｗ_j-1」から構成することはできず、「Ｓ_i，ｉ＝１，・・・，Ｌ，」および「Ｕ_l，ｌ＝１，・・，ｋ－Ｌ」が「＾Ｓ」上を一様分布することから、式（１３）が成り立つ。

前記定理の条件を満たす行列Ｇを用いて、式（１０）で符号化する「（ｋ，ｎ）－Ｌ－ＭＳＳＳ」では、各「Ｓ_i」と各「Ｕ_l」が「＾Ｓ」上を一様分布すれば、各「Ｗ_j」も「＾Ｓ」上を一様分布する。

そのため、「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」の場合と同様に（Ｓ１，Ｓ２，・・・，ＳＬ）に対するシェアのビット長は、（ｋ，ｎ）しきい値法をＬ回用いる場合に比べて、「１／Ｌ」に削減できる。

図１に示すように、「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」は、「（ｋ，ｎ）－Ｌ－ＭＳＳＳ」でもあるため、新たに「（ｋ，ｎ）－Ｌ－ＭＳＳＳ」を考える必要がなく、「（ｋ，ｎ）－Ｌ－ＭＳＳＳ」を使用すればよいとも考えられる。

ところが、式（１０）の行列Ｇが満たさなければならない条件についてみれば、「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」より「（ｋ，ｎ）－Ｌ－ＭＳＳＳ」の方が緩いため、符号化・復号化の演算が「（ｋ，Ｌ，ｎ）－ＲＳＳＳ」より「（ｋ，ｎ）－Ｌ－ＭＳＳＳ」の方がシンプルとなり、実装化が容易となる。

そこで、「（ｎ，ｎ）-ＳＳＳ」が提案されている。「（ｎ，ｎ）－ＳＳＳ」は、「ｋ＜ｎ」の「（ｋ，ｎ）－ＳＳＳ」に比べて、式（１６）（１７）の符号化・式（１８）の復号化を行うことができる特徴を有している。

A. Shamir, "How to share a secret," Communicationsof the ACM, vol. 22, no. 11, pp. 612_613,1979. G. R. Blakley, "Safeguarding cryptographic keys,"Proc. of 1979 International Workshop on Managing Requirements Knowledge (MARK), pp.313_317, 1979 E. D. Karnin, J. W. Greemne, M. E. Hellman, "On secret sharing systems," IEEE Trans. on Information Theory, vol. IT-29, no. 1, pp. 35_41, 1983 山本博資, "(k, L, n) しきい値秘密分散システム,"電子通信学会論文誌, vol.J68-A, no.9, pp.945-952 Sep. 1985 G. R. Blakley and C. Meadows, "Security of ramp schemes," Advances in Cryptology-CRYPTO’84,LNCS 196, Springer-Verlag, pp. 242_269, 1985 M. Iwamoto and H. Yamamoto, "Strongly Secure Ramp Secret Sharing Schemes for General Access Structures," Information Processing Letters,vol. 97, issue 2, pp.52-57, 2006. 伊藤, 斎藤, 西関, "一般的なアクセス構造を実現する秘密共有法," 電子情報通信学会論文誌, vol. J71-A,no. 8, pp. 1592_1598, 1988 M. Itoh, A. Saito and T.＿Nishizeki, "Multiple assignmentscheme for sharing secret," J. of Cryptology,vol. 6, pp. 15_20, 1993 ISO/IEC, "Information technology _ Security techniques _ Secret sharing_, Part 2: Fundamental mechanisms," International Standard, ISO/IEC 1952-2, 2017 五十嵐大，露崎浩太，川原祐斗 "ＳＨＨ：オブジェクトストレージ向けの超高速秘密分散ライブラリ"情報処理学会研究報告 Vol.2015-CSEC-70 No.26,Vol.2015-SPT-14 No.26,2015/7/3

「（ｎ，ｎ）－ＳＳＳ」は、非特許文献７～９に示すように、一般アクセス構造を持つ秘密分散方式を簡単に構成することができるため、様々なところで利用されている。

しかしながら、一般の「（ｋ，ｎ）－ＳＳＳ」と同様に、「（ｎ，ｎ）－ＳＳＳ」の各シェアのビット長は秘密情報Ｓと同じビット長になり、シェア全体のビット長は「Ｓ」のｎ倍となってしまう。

この欠点を克服するために、「（ｎ，ｎ，ｎ）－ＲＳＳＳ」を使えば、シェア全体のビット長を秘密情報Ｓと同じビット長まで減らすことができる。ところが、「（ｎ，ｎ，ｎ）－ＲＳＳＳ」は，「（ｎ，ｎ）－ＳＳＳ」のような簡単な演算で符号化・復号化ができる構成にはならないため、実装が容易ではない。

本発明は、このような従来の問題を解決するためになされ、簡単な演算で符号化・復号化できる秘密分散法を提供することを解決課題としている。

（１）コンピュータを用いて分散対象データを複数の分散データに分散し、前記分散データから前記分散対象データを復元する方法であって、
前記分散データを生成する分散ステップと、
前記分散対象データを再構成する復元ステップと、
を備え、
前記分散ステップは、前記分散対象データと、事前に設定された前記分散データの分散総数「ｎ」と、前記分散対象データのデータ長（Ｌ）とを読み込む第１ステップと、
乱数を生成し、前記乱数と前記分散対象データのデータ長（Ｌ）と前記分散対象データとのデータ列を作成する第２ステップと、
前記データ列を独立一様分布化する第３ステップと、
前記独立一様分布化した前記データ列Ｓを「ｎ×８」のブロックに分割し、分割された各ブロックに対して式（３３）の演算を実行し、分散データ「Ｗ_ｚy」を求める第４ステップと、

を有する一方、
前記復元ステップは、前記分散データをもとに式（３７）の演算を実行し、分散対象データを復号する第５ステップと、

前記復号したデータ列に対して第３ステップの独立一様化と逆の操作を実行する第６ステップと、
前記第６ステップの操作で生成されたデータ列から分散対象データを抽出することで分散対象データを復元する第７ステップと、
を有することを特徴としている。

（２）前記第３ステップの一態様は、事前に有限体上で適切なマトリクスをもって演算し、行列の要素で乱数を定める第８ステップと、
前記独立一様分布化前のデータ列Ｘに対し、前から順に前記行列の演算を施して新たなデータ列Ｙを生成する第９ステップと、
前記データ列Ｙ中の隣り合うデータ間において、上位の任意ビットと下位の任意ビットとの置換を順に行って新たなデータ列Ｚを生成する第１０ステップと、
前記データ列Ｚに対し、後ろから順に前記行列の演算を施して新たなデータ列Ｓを独立一様分布化されたデータとして生成する第１１ステップと、
を有することを特徴としている。

（３）前記第８ステップの一態様は、式（３４）により「法２⁶⁴」上で前記行列の要素を乱数で定め、その逆行列を求め、

ｍｏｄ２⁶⁴:法２⁶⁴
前記第９ステップは、式（３５）により前記データ列Ｙを生成し、
前記第１１ステップは、式（３６）により前記データ列Ｓを生成する

ことを特徴としている。

（４）前記分散ステップの一態様は、分散対象データのハッシュ値を求めて設定するステップをさらに有する一方、
前記復元ステップの一態様は、前記第７ステップで抽出された分散対象データのハッシュ値を求めて前記設定されたハッシュ値と比較し、復元された前記分散対象データの正否を判定するステップをさらに有する
ことを特徴としている。

本発明によれば、簡単な演算で符号化・復号化できる秘密分散法を提供できるため、実装化が容易である。

ＭＳＳとＲＳＳとの関係図。 本発明の実施形態に係る秘密分散法を実現するシステム構成図。 同 コンピュータ構成図。 同 秘密分散法の概略図。 同 秘密分散機能の処理図。 同 独立一様分布化（Ｓ０４）中のＳ１２の処理図。 同 再構成機能の処理図。

以下、本発明の実施形態に係る秘密分散法を説明する。この秘密分散法は、マルチプレックスシークレットシェリング「ｍｕｌｔｉｐｌｅｘ ＳＳＳ／（ｎ，ｎ）-ｎ-ＭＳＳ」を採用する。

この「（ｎ，ｎ）-ｎ-ＭＳＳ」は、
（１）分散データ（シェア「Ｗ_j，ｊ＝１，２，・・・，ｎ」）の合計容量が、元の秘密情報Ｓのデータ容量とほぼ同じ
（２）計算量が少なく高速処理が可能
（３）分散データの漏洩に対する完全秘匿性
の利点を有している。

また、「（ｎ，ｎ）－ｎ－ＭＳＳＳ」では乱数Ｕ_lを用いず、式（１９）のような演算となる。

ここでＧは「ｎ×ｎ」行列であり、各「Ｇ_i＝［ｅ_i Ｇ］」に対して「Ｇ_i」の任意のｎ列が線形独立でなければならない。「ＧＦ（ｑ）」が素体の場合、例えばＧとして、式（２０）の行列を用いることができる（ただし、ｑ≫ｎとする。）。

このとき符号化は式（２１）（２２）の演算で行うことができる。

また、復号化は式（２３）（２４）の演算で行うことができる。

式（２４）は、「＾Ｖ＝Σⁿ _j=1Ｗ_j＝[Σⁿ _i=1]＋ｎＶ＝（ｎ＋１）Ｖの関係があることから成り立つ。ＧＦ（ｑ）が「ｑ＝２^m」の拡大体の場合は、例えば「Ｇ」として式（２５）の行列を用いることができる。ただし、「ｑ≫ｎ」とし、「α」をＧＦ（２^m）の原始元とする。

このとき符号化は、式（２６）（２７）の演算で行うことができる。

また、複合化は、式（２８）（２９）の演算で行うことができる。

式（２９）の関係は、「式（２６）－式（２８）」により、式（３０）の関係が成り立つことから得られる。

このような「（ｎ，ｎ）-ｎ-ＭＳＳＳ」の安全性について補足説明すれば、式（２７）の関係により、２つのシェア（Ｗ_j1，Ｗ_j2）から「（Ｗ_j1－Ｗ_j2）（α－１）^-1＝Ｓ_j1－Ｓ_j2」の値が分かる。しかしながら、Ｓ_j1とＳ_j2が互いに独立で、「＾Ｓ」上で一様分布している場合には、式（３１）（３２）を満たす。

ただし、「Ｈ（Ｓ_j1Ｓ_j2｜Ｗ_j1，Ｗ_j2）＝ｌｏｇ｜＾Ｓ｜＝ｍ」となるため、「ｎ≧４」のときは強安全な「（ｎ，ｎ，ｎ）－ＲＳＳＳ」の条件を満たしていない。この点については、「ｍ＝６４（ｑ＝２⁶⁴）」あるいは「ｍ＝１２８（ｑ＝２¹²⁸）程度以上の「ｍ」を用いれば十分な安全性を保つことができる。

このとき各「Ｓ_i」が互いに独立でない場合や、「Ｓ_i」が「＾Ｓ」上で一様分布をしない場合（冗長性を含んでいる場合）は冗長性を取り除く処理を事前に行う必要がある。このような「（ｎ，ｎ）-ｎ-ＭＳＳＳ」を多重割り当て法で利用すれば、一般アクセス構造に対する「ｎ多重秘密分散法」を実現することができる。

前記秘密分散法の実施例を説明する。この実施例は、本発明を実施するための一例にすぎず、本発明の技術的範囲を限定するための解釈に用いてはならないものとする。

≪システム構成例≫
図２および図３に基づき本実施例の前記秘密分散法を実行する秘密分散システムの構成例を説明する。このシステム１は、クライアント装置２と複数の保管サーバ装置３とを備え、両者２，３をネットワーク経由で接続したコンピュータネットワークにより構成されている。

図２中の３－１，３－２，３－ｎは、クライアント装置２にネットワーク４を経由して接続されたｎ台の保管サーバ装置３を示している。この保管サーバ装置３は、その一部または全部が同一の組織によって運用されてもよく、あるいは全部が異なる組織に運用されてもよいものとする。

クライアント装置２は、通信部１１，制御部１２，入出力部１３，分散データ生成部（秘密分散ライブラリ）１４，データ復元部１５，乱数生成部１６を実装する。この通信部１１は保管サーバ等の他の装置との通信を行い、制御部１２はクライアント装置２の全体制御を行い、入出力部１３は保管サーバ装置３への指示およびデータ等の入力・保管管理サーバ３からの指示およびデータ等の出力を行う。

分散データ生成部１４は、分散対象データ（秘密情報Ｓ）を符号分散化した分散データ（シェア「Ｗ_j，ｊ＝１，２，・・・，ｎ」）を生成するとともに、秘密情報分散装置として分散データのそれぞれを保管サーバ装置３に配布する。また、データ復元部１５は、保管サーバ装置３から分散データを収集して分散対象データの復元を行う。なお、乱数生成部１６は、分散データ生成部１４の指示に応じて乱数を生成する。

保管サーバ装置３は、通信部２１，分散データ保存部２２を実装する。この通信部２１はクライアント装置２等の他の装置との通信を行い、分散データ保存部２２は分散データ生成部１４の生成した分散データが保存される。

すなわち、分散データ生成部１４の生成した分散データは、通信部１１，２１により保管サーバ装置３に送信されて分散データ保存部２２に保存される。ここで保存された分散データは分散対象データの復元時にクライアント装置２に通信部１１，１２により送信され、データ復元部１５により分散対象データが復元される。

このような保管サーバ装置３およびクライアント装置２は、それぞれ図３のコンピュータを主体に構成され、通信装置５１，入出力装置５２，メモリ（主記憶装置）５３，補助記憶装置（ＳＳＤ，ＨＤＤなど）５４，ＣＰＵ５５，出力装置５６を備え、各ハードウェア５１～５６がバス５７を介して接続されており、各ハードウェアとソフトウェアとの協働により前記機能部１３～１６，２１，２２を実装する。以下、秘密分散法の主要構成である分散データ生成部１４，データ復元部１５の処理内容を説明する。

≪分散データ生成部１４，データ復元部１５の処理内容≫
分散データ生成部１４は、秘密情報Ｓを分散対象データとして事前に定められた分散総数に応じた分散データを生成する分散データ生成機能（関数：ｍａｓｓ＿ｇｅｎｅｒａｔｅ）を備える。一方、データ復元部１５は、すべての分散データから元の分散対象データを再構成する再構成機能（関数：ｍａｓｓ＿ｒｅｃｏｎｓｔｒｕｃｔ／）を備える。

（１）分散データ生成機能
分散データ生成部１４は、図４中の矢印Ａ，Ｂに示すように、分散データ生成機能を使って分散対象データからｎ個の分散データを生成する。このときマルチプレックスシークレットシェリング「（ｎ，ｎ）-ｎ-ＭＳＳ」を用いる。

また、前記関数の引数（入力）の１次元配列Ｓｉには、分散対象データなどが格納される。その際に分散総数（ｎ：２～６５５３５）および分散対象データ長（バイト）が指定される。以下、図５に基づき分散データ生成機能による処理内容を説明する。

Ｓ０１：処理が開始されると、前記関数の引数（入力）の１次配列Ｓｉ「ｕｎｓｉｇｎｅｄ ｃｈａｒ^*Ｓｉ」の先頭アドレスに設定された分散総数ｎ（２バイト）・分散対象データ長Ｌ（８バイト）・分散対象データ（Ｌバイト）が読み込まれる。

Ｓ０２：分散対象データのハッシュ値（ＯｐｅｎＳＳＬのＳＨＡ－２５６）を求める。ここで求めたハッシュ値（３２バイト）を前記関数の引数（出力）の２次元配列ＣＳ「ｕｎｓｉｇｎｅｄ ｃｈａｒ^*ＣＳ」の先頭アドレスに設定する。

Ｓ０３：乱数生成部１６に指示を出力し、乱数（８バイト）を生成させる。ここで生成された乱数を取得して「乱数＋分散対象データ長Ｌ＋分散対象データ」のデータ列を作成する。その際、データ列のバイト数が「ｎ×８」の倍数でない場合は、データ列の後ろに「ｘ’００’」をパディングして「ｎ×８」の倍数とすればよい。

Ｓ０４：Ｓ０３で生成したデータ列を後述のように独立一様分布化する。

Ｓ０５：Ｓ０４で独立一様化したデータ列Ｓを「ｎ×８」のブロックに分割し、分割された各ブロックに対して、非特許文献１０の「ＧＦ（２）⁶⁴」上で式（３３）の演算を実行し、分散データ「Ｗ_zy」を求める。

Ｓ０６：Ｓ０５で求めた分散データ「Ｗ_zy」を、前記関数の引数（出力）の２次元配列スＳｎｉに設定する。このとき分散番号ｉの分散データは、前記２次元配列Ｓｎｉのｉ行目に割り当てる。例えば分散番号１であれば１行目に割り当てられ、分散番号２であれば２行目に割り当てられる。

（２）Ｓ０４の詳細
「（ｎ，ｎ）-ｎ-ＭＳＳ」によれば、安全性をクリアするためのアルゴリズム上の制約として、「Ｓ（秘密情報：分散対象データ）＝（Ｓ_1y，Ｓ_2y，・・・，Ｓ_xy）」に対して、各「Ｓ_xy」が独立で一様分布する必要がある。そこで、Ｓ０４では、以下に示す独立一様分布化の処理を行う。

Ｓ１１：処理が開始されると、有限体上で適切なマトリクスをもって乗算を行う。例えば式（３４）に示すように、「法２⁶⁴（１ｗｏｒｄ ６４ｂｉｔ）／ＧＦ（２）⁶⁴」上で行列Ａの要素を乱数で決め、その逆行列Ｂを求めておくものとする。逆行列Ｂは、行列式｜Ａ｜の値が「２⁶⁴」と互いに素、即ち奇数であれば求めることができる。

「ｍｏｄ２⁶⁴」＝法２⁶⁴
Ｓ１２：独立一様分布化する前のデータ列に対し、前から順に「法２⁶⁴」上で行列Ａの演算を行って新たなデータ列を生成する。

式（３５）に基づき処理例を説明する。ここでは独立一様分布化する前のデータ列をデータ列Ｘ（Ｘ⁽¹⁾Ｘ⁽²⁾Ｘ⁽³⁾Ｘ⁽⁴⁾Ｘ⁽⁵⁾Ｘ⁽⁶⁾）と示している。また、新たなデータ列をデータ列Ｙ（Ｙ⁽¹⁾Ｙ⁽²⁾Ｙ⁽³⁾Ｙ⁽⁴⁾Ｙ⁽⁵⁾Ｙ⁽⁶⁾）と示している。なお、この処理例の各生成は、それぞれ「法２⁶⁴」上における行列Ａの演算を利用しているものとする。

まず、式（３５－１）に示すように、データ列Ｘ中の（Ｘ⁽¹⁾Ｘ⁽²⁾Ｘ⁽³⁾）に対し、前記演算を行って式（３５－２）の（Ｙ⁽¹⁾Ｙ⁽²⁾Ｙ⁽³⁾）を生成する。つぎに（３５－３）に示すように、データ列Ｘ中の（Ｘ⁽²⁾Ｘ⁽³⁾Ｘ⁽⁴⁾）に対し、前記演算を行って式（３５－４）の（Ｙ⁽²⁾Ｙ⁽³⁾Ｙ⁽⁴⁾）を生成する。

このようにデータ列Ｘ中の（Ｘ⁽¹⁾Ｘ⁽²⁾Ｘ⁽³⁾Ｘ⁽⁴⁾Ｘ⁽⁵⁾Ｘ⁽⁶⁾）の前から順に３個ずつ前記演算を行って、式（３５－６）に示すように、（Ｙ⁽¹⁾Ｙ⁽²⁾Ｙ⁽³⁾Ｙ⁽⁴⁾Ｙ⁽⁵⁾Ｘ⁽⁶⁾）を生成する。

その後、式（３５－７）に示すように、（Ｙ⁽⁴⁾Ｙ⁽⁵⁾Ｘ⁽⁶⁾）を乱数（Ｘ^(M-2)Ｘ^(M-1)Ｘ^(M）にて暗号化し、（Ｙ^(M-2)Ｙ^(M-1)Ｘ^(M)）を生成する。ここで生成された（Ｙ^(M-2)Ｙ^(M-1)Ｘ^(M)）に対し、式（３８－８）に示すように、前記演算を行って（Ｙ^(M-2)Ｙ^(M-1)Ｙ^(M)）を生成し、データ列（Ｙ⁽¹⁾Ｙ⁽²⁾Ｙ⁽³⁾Ｙ⁽⁴⁾Ｙ⁽⁵⁾Ｙ⁽⁶⁾）を生成する。

Ｓ１３：Ｓ１２で生成したデータ列Ｙに対し、隣接するデータ間で上位３２ビット（ｂｉｔ）と下位３２ビットの置換を行って、新たなデータ列Ｚを生成する。

例えば図６に示すように、データＹ⁽¹⁾の下位３２ビットとデータＹ⁽²⁾の上位３２ビットを置換し、データＹ⁽²⁾の下位３２ビットとデータＹ⁽³⁾の上位３２ビットを置換し、データＹ⁽³⁾の下位３２ビットとデータＹ⁽⁴⁾の上位３２ビットを置換し、データＹ⁽⁴⁾の下位３２ビットとデータＹ⁽⁵⁾の上位３２ビットを置換し、データＹ⁽⁵⁾の下位３２ビットとデータＹ⁽⁶⁾の上位３２ビットを置換し、データＹ⁽⁶⁾の下位３２ビットとデータＹ⁽¹⁾の上位３２ビットを置換することでデータ列Ｚを生成する。

Ｓ１４：Ｓ１３で作成したデータ列Ｚに対し、後ろから順に「法２⁶⁴」上で行列Ａの乗算を行って、新たなデータ列Ｓを生成する。

式（３６）に基づき処理例を説明する。この処理例の各生成も、それぞれ「法２⁶⁴」上における行列Ａの演算を利用する。

まず、式（３６－１）に示すように、データ列Ｚ中の（Ｚ⁽²⁾Ｚ⁽³⁾Ｚ⁽⁴⁾Ｚ⁽⁵⁾Ｚ⁽⁶⁾）を乱数にて暗号化した（Ｚ^(M-4)Ｚ^(M-3)Ｚ^(M-2)Ｚ^(M-1)Ｚ^(M)）を用意する。

つぎに式（３６－２）（３６－３）に示すように、（Ｚ^(M-4)Ｚ^(M-3)Ｚ^(M-2)Ｚ^(M-1)Ｚ^(M)）中の（Ｚ^(M-2)Ｚ^(M-1)Ｚ^(M)）に対し、前記演算を行って（Ｓ^(M-2)Ｓ^(M-1)Ｓ^(M)）を生成する。その後、式（３６－４）（３６－５）に示すように、（Ｚ^(M-3)Ｚ^(M-2)Ｚ^(M-1)）に対し、前記演算を行って（Ｓ^(M-3)Ｓ^(M-2)Ｓ^(M-1)）を生成する。

このような演算処理を後ろから順に実行することで式（３６－６）の（Ｓ^(M-4)Ｓ^(M-3)Ｓ^(M-2)Ｓ^(M-1)Ｓ^(M)）が生成され、これにより（Ｚ⁽¹⁾Ｓ⁽²⁾Ｓ⁽³⁾Ｓ⁽⁴⁾Ｓ⁽⁵⁾Ｓ⁽⁶⁾）が生成される。その後、（Ｚ⁽¹⁾Ｓ⁽²⁾Ｓ⁽³⁾）から（Ｓ⁽¹⁾Ｓ⁽²⁾Ｓ⁽³⁾）を生成することで新たなデータ列Ｓ、即ち（Ｓ⁽¹⁾Ｓ⁽²⁾Ｓ⁽³⁾Ｓ⁽⁴⁾Ｓ⁽⁵⁾Ｓ⁽⁶⁾）が生成される。

（３）再構成機能
図７に基づき再構成機能を説明する。ここでは基本的に分散データ生成機能と逆の処理を実行することにより、図４中の矢印Ｃ，Ｄに示すように、すべての分散データから元の分散対象データを再構成する。

Ｓ２１：処理が開始されると、２次元配列Ｓｎｉに設定された分散データを基に「ＧＦ（２）⁶⁴」上で式（３７）の演算を行い、分散対象データ「Ｓ_xy」を複合する。

Ｓ２２：Ｓ２１で複合化した分散対象データ「Ｓ_xy」のデータ列に対し、Ｓ０４の独立一様化の逆操作を実行する。具体的には
（ａ）行列Ａの逆行列Ｂを用いて、前記データ列の前から順に「法２⁶⁴」上で行列Ｂの演算を行う（Ｓ１２の逆操作）。
（ｂ）前記逆行列Ｂの演算後のデータ列中、隣接するデータ間で上位３２ビットと下位３２ビットとの逆置換を行う（Ｓ１３の逆操作）。
（ｃ）前記逆置換後のデータ列に対して逆行列Ｂを用いて、後ろから順に「法２⁶⁴」上で逆行列Ｂの乗算を行う（Ｓ１４の逆操作）。

Ｓ２３：Ｓ２２の逆操作に結果として生成されたデータ列から分散対象データを抽出し、ハッシュ値（ＯｐｅｎＳＳＬのＳＨＡ－２５６）を求める。ここで求めたハッシュ値とＳ０２のハッシュ値とを比較し、復元された分散対象データの正否確認を行う。

すなわち、両者のハッシュ値が同じであれば、正しく復元できたものとして、戻り値「０」を返す。一方、両者のハッシュ値が異なっていれば、正しく復元できなかったため、戻り値「５」を返す。この場合には再度の復元を試みる設定が好ましい。

このように前記秘密分散法によれば、簡単な演算で符号分散化・複合化を実現することができ、例えばユーザ認証システムなど採用すれば簡単な構成で分散対象の秘密情報（パスワードなど）の安全性を確保することができる。また、遺言や契約書などの画像データを分散対象の秘密情報とし、その安全性を確保することもできる。

１…秘密情報システム
２…クライアント装置
３（３－１，３－２，３－ｎ）…保管サーバ装置
４…ネットワーク
１１…通信部
１２…制御部
１３…入出力部
１４…分散データ生成部
１５…データ復元部
１６…乱数生成部
２１…通信部
２２…保存部
２３…分散データ

Claims (4)

1. コンピュータを用いて分散対象データを複数の分散データに分散し、前記分散データから前記分散対象データを復元する方法であって、
   前記分散データを生成する分散ステップと、
   前記分散対象データを再構成する復元ステップと、
   を備え、
   前記分散ステップは、前記分散対象データと、事前に設定された前記分散データの分散総数「ｎ」と、前記分散対象データのデータ長（Ｌ）とを読み込む第１ステップと、
   乱数を生成し、前記乱数と前記分散対象データのデータ長（Ｌ）と前記分散対象データとのデータ列を作成する第２ステップと、
   前記データ列を独立一様分布化する第３ステップと、
   前記独立一様分布化した前記データ列Ｓを「ｎ×８」のブロックに分割し、分割された各ブロックに対して式（３３）の演算を実行し、分散データ「Ｗ_ｚy」を求める第４ステップと、
   

   

   を有する一方、
   前記復元ステップは、前記分散データをもとに式（３７）の演算を実行し、分散対象データを復号する第５ステップと、
   

   

   前記復号したデータ列に対して第３ステップの独立一様化と逆の操作を実行する第６ステップと、
   前記第６ステップの操作で生成されたデータ列から分散対象データを抽出することで分散対象データを復元する第７ステップと、
   を有することを特徴とする秘密分散方法。
2. 前記第３ステップは、事前に有限体上で適切なマトリクスをもって演算し、行列の要素で乱数を定める第８ステップと、
   前記独立一様分布化前のデータ列Ｘに対し、前から順に前記行列の演算を施して新たなデータ列Ｙを生成する第９ステップと、
   前記データ列Ｙ中の隣り合うデータ間において、上位の任意ビットと下位の任意ビットとの置換を順に行って新たなデータ列Ｚを生成する第１０ステップと、
   前記データ列Ｚに対し、後ろから順に前記行列の演算を施して新たなデータ列Ｓを独立一様分布化されたデータとして生成する第１１ステップと、
   を有することを特徴とする請求項１記載の秘密分散方法。
3. 前記第８ステップにおいて、式（３４）により「法２⁶⁴」上で前記行列の要素を乱数で定め、その逆行列を求め、
   

   

   ｍｏｄ２⁶⁴:法２⁶⁴
   前記第９ステップは、式（３５）により前記データ列Ｙを生成し、
   前記第１１ステップは、式（３６）により前記データ列Ｓを生成する
   

   

   

   ことを特徴とする請求項２記載の秘密分散方法。
4. 前記分散ステップは、分散対象データのハッシュ値を求めて設定するステップをさらに有する一方、
   前記復元ステップは、前記第７ステップで抽出された分散対象データのハッシュ値を求めて前記設定されたハッシュ値と比較し、復元された前記分散対象データの正否を判定するステップをさらに有する
   ことを特徴とする請求項１～３のいずれか記載の秘密分散方法。

Images