JP2023156635A - 暗号化装置、復号装置、暗号変換装置、暗号化方法、復号方法及びプログラム - Google Patents

Abstract

【課題】暗号に関する処理を高速化すること。【解決手段】暗号化装置は、整数である平文ｍが取りうる複数の値と、前記複数の値のそれぞれに対応する楕円点ｍＰとを対応付けて記憶する記憶部を参照して、入力された平文に対応する楕円点を特定して当該平文を暗号化するように構成されている暗号化部、を有する。【選択図】図２

Description

本発明は、暗号化装置、復号装置、暗号変換装置、暗号化方法、復号方法及びプログラムに関する。

楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号方式は、楕円ＥｌＧａｍａｌ暗号方式を改良したものである。楕円ＥｌＧａｍａｌ暗号方式が平文を楕円曲線上の点に限定するのに対して、楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号は入力となるメッセージｍとして整数値を取ることができる。また、楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号は、加法準同型性を有する。

光成滋生、"クラウドを支えるこれからの暗号技術"、秀和システム、pp134-136, 2015

楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号において基本となる演算は楕円曲線上で展開されるが、楕円曲線上の演算は整数の計算と比較して遅く、その処理の高速化が課題となってきた。

本発明は、上記の点に鑑みてなされたものであって、暗号に関する処理を高速化することを目的とする。

そこで上記課題を解決するため、暗号化装置は、整数である平文ｍが取りうる複数の値と、前記複数の値のそれぞれに対応する楕円点ｍＰとを対応付けて記憶する記憶部を参照して、入力された平文に対応する楕円点を特定して当該平文を暗号化するように構成されている暗号化部、を有する。

暗号に関する処理を高速化することができる。

本発明の実施の形態における暗号化装置１０Ｅ又は復号装置１０Ｄとして機能するコンピュータのハードウェア構成例を示す図である。 本発明の実施の形態における暗号化装置１０Ｅの機能構成例を示す図である。 ｍ－ｍＰフルテーブルＴ１の構成例を示す図である。 本発明の実施の形態における復号装置１０Ｄの機能構成例を示す図である。 本発明の実施の形態における暗号変換装置１０Ｔの機能構成例を示す図である。 暗号化装置１０Ｅと復号装置１０Ｄとの間に準同型加算装置２０を含むシステム構成例を示す図である。 本実施の形態の暗号化装置１０Ｅ及び復号装置１０Ｄを含むウェブ会議システムの構成例を示す図である。

［楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号］
まず、楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号について説明する。楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号は、鍵生成、暗号化、復号、準同型演算の４つのアルゴリズムで構成される。

セットアップ：素数位数ｐの楕円曲線Ｇ＝＜Ｐ＞
鍵生成：セキュリティパラメータを入力として、ｓ←Ｆ_ｐをランダムに決定する。Ｈ←ｓＰを計算する。ここで、ｓが秘密鍵、Ｈが公開鍵である。

暗号化：公開鍵Ｈと、暗号化乱数生成器から出力される乱数ｒと、使用する楕円曲線によって決定される楕円点Ｐとを用いて、整数入力ｍを暗号化し、暗号文Ｃ＝（Ｓ，Ｔ）を出力する。
（ｉ）Ｍ←ｍＰ
（ｉｉ）Ｓ←Ｍ＋ｒＨ，Ｔ←ｒＰ
復号：秘密鍵ｓと暗号文Ｃ＝（Ｓ，Ｔ）とを入力としてｍを出力する。
（ｉ）Ｍ←Ｓ－ｓＴ
（ｉｉ）ｍ←Ｍ
（ｉｉ）はＰとＭ＝ｍＰからｍを求める「離散対数問題」を解くことにより実現される。

準同型演算：異なる整数値ｍ１、ｍ２の暗号文Ｃ１、Ｃ２を入力とし、Ｃａｄｄ←Ｃ１＋Ｃ２を出力する。

従来、これらのアルゴリズムのうち、暗号化及び復号では以下の２つの事前演算及びそれによって作られる事前演算テーブルが使用される（非特許文献１）。

＜暗号化で用いるテーブル＞
公開鍵Ｈを元に、ｎＨを事前に計算したテーブルである。任意の整数値ｒを入力したときに、それに対応したｒＨの値を高速に導くために用いられる。以下、当該テーブルを「公開鍵テーブル」という。

＜復号で用いるテーブル＞
楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号の復号では最終的にｍＰとＰを元にｍを求める必要がある。これは離散対数問題（Discrete Logarithm Problem；ＤＬＰ）と呼ばれる非常に難しい問題である。この問題を高速に解くため、楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号ではｍＰのとりうる値を事前に演算し、ハッシュテーブルとして復号時に使用する。以下、当該ハッシュテーブルを「ＤＬＰ用ハッシュテーブル」という。

［本発明の実施の形態の概要］
本実施の形態は、新しい事前演算テーブルを用いることで暗号化及び復号を高速化する。当該事前演算テーブルは、メッセージとそれに対応する楕円点のペアを全パターン記載したものである。当該事前演算テーブルは、複数の整数値ｍと各ｍに対応するｍＰの値を事前に計算してｍとｍＰの対応関係をテーブルとしたものである。なお、後述されるように、事前演算テーブルは、ｍ、ｍＰ、ｍＰのハッシュ値の対応関係をテーブルとしたものでもよい。斯かるテーブルを用いることで、従来技術で発生していたｍ→Ｍ＝ｍＰの演算コストを１度のテーブル検索に置き換えることができ、楕円スカラー倍算の回数を減らすことができる。また、このテーブルは、Ｍ→ｍのＤＬＰを解く処理で使用するハッシュテーブル（ＤＬＰ用ハッシュテーブルＴ３）の一部として使用することもでき、出力値がｍと同じ空間にある場合は処理時間を少なくすることできる。

なお、本実施の形態において、暗号化及び復号の演算に関して用いられる各記号の意味は、上記した楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号の説明に従う。

［本発明の実施の形態における暗号化装置１０Ｅ及び復号装置１０Ｄ］
以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態における暗号化装置１０Ｅ又は復号装置１０Ｄとして機能するコンピュータのハードウェア構成例を示す図である。図１のコンピュータは、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、プロセッサ１０４、及びインタフェース装置１０５等を有する。

コンピュータでの処理を実現するプログラムは、ＣＤ－ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記憶した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。プロセッサ１０４は、ＣＰＵ若しくはＧＰＵ（Graphics Processing Unit）、又はＣＰＵ及びＧＰＵであり、メモリ装置１０３に格納されたプログラムに従ってコンピュータに係る機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。

［暗号化装置１０Ｅ］
図２は、本発明の実施の形態における暗号化装置１０Ｅの機能構成例を示す図である。図２において、暗号化装置１０Ｅは、暗号化乱数生成部１１１、暗号化部１１２及び事前演算テーブル記憶部１３０Ｅを有する。暗号化乱数生成部１１１及び暗号化部１１２は、暗号化装置１０Ｅとして機能するコンピュータにインストールされた１以上のプログラムが、プロセッサ１０４に実行させる処理により実現される。但し、これら各部は回路によって実現されてもよい。また、事前演算テーブル記憶部１３０Ｅは、例えば、補助記憶装置１０２等を用いて実現可能である。

暗号化乱数生成部１１１は、乱数ｒを生成する。

暗号化部１１２は、乱数ｒ、及び使用する楕円曲線によって決定される楕円点Ｐを用いて、以下の演算を行うことで整数である入力平文ｍを暗号化し、暗号文Ｅ（ｍ）＝（Ｓ，Ｔ）を出力する。なお、入力平文ｍの一例として、音声データ、画像データ、映像データ等が挙げられる。
（ｉ）Ｍ←ｍＰ
（ｉｉ）Ｓ←Ｍ＋ｒＨ，Ｔ←ｒＰ
暗号化部１１２は、（ｉ）において、事前演算テーブル記憶部１３０Ｅに予め記憶されているｍ－ｍＰフルテーブルＴ１を参照して、（ｉ）の演算を高速に実行する。

図３は、ｍ－ｍＰフルテーブルＴ１の構成例を示す図である。図３には、（ａ）及び（ｂ）の２通りの例が示されている。以下、入力平文を

使用する楕円曲線の生成元をＰ、ハッシュ関数をＨ（ｘ）とする。

（ａ）のｍ－ｍＰフルテーブルＴ１は、ｍの取りうる複数の（全ての）値と、それに対応する事前に計算されたｍＰを対応付けて記憶するテーブルである。

（ｂ）のｍ－ｍＰフルテーブルＴ１は、ｍの取りうる複数の（全ての）値に対して事前に計算されたｍＰの値及び、Ｈ（ｍＰ）の値を対応付けて記憶するテーブルである。ここでＨ（ｍＰ）はｍＰを入力値としてハッシュ関数に通した結果である。

暗号化部１１２は、（ａ）及び（ｂ）のいずれのテーブルを用いてもよい。いずれのテーブルを用いる場合も、暗号化部１１２は、ｍ－ｍＰフルテーブルＴ１を参照して、入力された平文ｍの値に対応するｍＰの値を特定することで、（ｉ）の演算を実行する。

また、暗号化部１１２は、（ｉｉ）の演算について、従来技術と同様に、公開鍵テーブルＴ２を参照して、乱数ｒに対応するｒＨの値を高速に導出する。

図４は、本発明の実施の形態における復号装置１０Ｄの機能構成例を示す図である。図４において復号装置１０Ｄは、復号部１２１及び事前演算テーブル記憶部１３０Ｄを有する。復号部１２１は、暗号化装置１０Ｅとして機能するコンピュータにインストールされた１以上のプログラムが、プロセッサ１０４に実行させる処理により実現される。但し、復号部１２１は回路によって実現されてもよい。また、事前演算テーブル記憶部１３０Ｄは、例えば、補助記憶装置１０２等を用いて実現可能である。

復号部１２１は、秘密鍵ｓと暗号文Ｅ（ｍ）＝（Ｓ，Ｔ）を入力とし、以下の演算を実行してｍを出力する。
（ｉ）Ｍ←Ｓ－ｓＴ
（ｉｉ）ｍ←Ｍ
復号部１２１は、（ｉｉ）において、事前演算テーブル記憶部１３０Ｄに予め記憶されているｍ－ｍＰフルテーブルＴ１（図３）を参照して、（ｉｉ）の演算を高速に実行する。この際、復号部１２１は、図３（ａ）及び（ｂ）のいずれを用いてもよい。なお、本実施の形態では、基本的に、ＤＬＰ用ハッシュテーブルＴ３の代わりにｍ－ｍＰフルテーブルＴ１を使用することで復号が行われる。但し、復号後の値がｍを超える場合の演算処理の効率化のためにＤＬＰ用ハッシュテーブルＴ３が利用されてもよい。

（ａ）のテーブルを用いる場合、復号部１２１は、当該テーブルを参照して、入力された暗号文についての（ｉ）の計算結果であるＭ（＝ｍＰ）に対応するｍを特定する。なお、斯かる検索を更に高速化するために、復号装置１０Ｄにおける（ａ）のテーブルは、ｍＰの値でソートされてもよい。但し、Ｍは群上の点であり、大きな値になる。例えば楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号方式を２５６ｂｉｔ楕円曲線で用いた場合のＭは２５６ｂｉｔの４つの整数値で構成されるため、そのまま用いるには値が大きい。そこで、（ａ）の代わりに（ｂ）のテーブルを用いることで、更なる高速化を期待することができる。

（ｂ）のテーブルを用いる場合、復号部１２１は、入力されたＭに対してハッシュ関数Ｈ（ｘ）を適用することで、小さなハッシュ値（Ｈ（Ｍ））を得る。復号部１２１は、このハッシュ値に対応するｍを（ｂ）のテーブルを参照して特定する。

なお、上記では、暗号化部１１２及び復号部１２１が異なる装置において実現される例を示したが、図５に示されるように、暗号化部１１２及び復号部１２１の双方が同一の装置に含まれてもよい。図５中、図２又は図４と同一部分には同一符号を付している。図５に示される暗号変換装置１０Ｔでは、暗号化部１１２及び復号部１２１によってｍ－ｍＰフルテーブルＴ１が共用される。

また、暗号化装置１０Ｅと復号装置１０Ｄとの間には、準同型演算を実行する装置が介在してもよい。

図６は、暗号化装置１０Ｅと復号装置１０Ｄとの間に準同型加算装置２０を含むシステム構成例を示す図である。図６中、図２又は図４と同一部分には同一符号を付している。図６において準同型加算装置２０は、暗号化装置１０Ｅ－１が平文ｍ１を暗号化することで出力する暗号文Ｅ（ｍ１）と、暗号化装置１０Ｅ－２が平文ｍ２を暗号化することで出力する暗号文Ｅ（ｍ２）とを入力し、Ｅ（ｍ１）及びＥ（ｍ２）について準同型加算を実行し、Ｅ（ｍ１＋ｍ２）を出力する。復号装置１０Ｄは、Ｅ（ｍ１＋ｍ２）を入力し、復号することで、（ｍ１＋ｍ２）を出力する。

なお、暗号化装置１０Ｅ及び復号装置１０Ｄは、様々な用途に利用可能であるが、ここでは、ウェブ会議システムに利用される例について説明する。

図７は、本実施の形態の暗号化装置１０Ｅ及び復号装置１０Ｄを含むウェブ会議システムの構成例を示す図である。

図７において、ユーザ端末３０－１及びユーザ端末３０－２（以下、それぞれを区別しない場合「ユーザ端末３０」という。）は、インターネット等のネットワークを介して中間サーバ４０に接続する。

ユーザ端末３０は、ウェブ会議の参加者が利用するＰＣ（Personal Computer）等の端末である。図７では、２人でのウェブ会議が想定されているが、３人以上のウェブ会議の場合、ユーザ端末３０は、３台以上存在する。

図７において、各ユーザ端末３０は、暗号化装置１０Ｅ、通信部３１及び復号装置１０Ｄを有する。

暗号化装置１０Ｅは、平文となる音声データ、画像データ、映像データ等である入力ｍｎを暗号化し、暗号文Ｅ（ｍｎ）を出力する（ｍｎ＝ｍ１～ｍ２）。

通信部３１は、暗号文Ｅ（ｍｎ）を中間サーバ４０へ送信するとともに、中間サーバ４０から送信される、各ユーザ端末３０からの暗号文Ｅ（ｍｎ）に対する準同型演算（例えば、重ね合わせ処理等）の結果であるＥ（ｍＭｉｘ）を中間サーバ４０から受信する。

復号装置１０Ｄは、Ｅ（ｍＭｉｘ）を復号し、ｍＭｉｘを出力する。

中間サーバ４０は、ユーザ端末３０間の通信の仲介（中継）を行う１以上のコンピュータである。図７において、中間サーバ４０は、通信部４１及び処理部４２を有する。

通信部４１は、各ユーザ端末３０から送信される、暗号化された複数の入力Ｅ（ｍ１）～Ｅ（ｍ２）を受信し、Ｅ（ｍ１）～Ｅ（ｍ２）を処理部４２に入力する。通信部４１は、また、処理部４２から出力されるＥ（ｍＭｉｘ）を各ユーザ端末３０へ送信する。

処理部４２は、通信部４１から入力される複数の暗号入力Ｅ（ｍ１）～Ｅ（ｍ２）について、暗号化したまま重ね合わせ処理等を行い、Ｅ（ｍＭｉｘ）を出力する。

ウェブ会議システム等のようなリアルタイム性が要求されるシステムであっても、本実施の形態における暗号化装置１０Ｅ及び復号装置１０Ｄであれば、暗号化及び復号を高速に実行することができる。なお、各ユーザ端末３０における暗号化装置１０Ｅ及び復号装置１０Ｄとの間では、同一のｍ－ｍＰフルテーブルＴ１が共用されてよい。

上述したように、本実施の形態によれば、楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号に関する処理（暗号化、復号）を高速化することができる。

なお、本実施の形態は、楕円Ｌｉｆｔｅｄ－ＥｌＧａｍａｌ暗号に限らず、Ｋｅｙｅｄ Ｈｏｍｏｍｏｒｐｈｉｃ Ｐｕｂｌｉｃ Ｋｅｙ Ｅｎｃｒｙｐｔｉｏｎなどに代表される巡回群Ｇ上で定義される暗号方式についても適用可能である。

以上、本発明の実施の形態について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１０Ｄ 復号装置
１０Ｅ 暗号化装置
１０Ｔ 暗号変換装置
２０ 準同型加算装置
３０ ユーザ端末
３１ 通信部
４０ 中間サーバ
４１ 通信部
４２ 処理部
１００ ドライブ装置
１０１ 記録媒体
１０２ 補助記憶装置
１０３ メモリ装置
１０４ プロセッサ
１０５ インタフェース装置
１１１ 暗号化乱数生成部
１１２ 暗号化部
１２１ 復号部
１３０Ｄ 事前演算テーブル記憶部
１３０Ｅ 事前演算テーブル記憶部
Ｂ バス

Claims (8)

1. 整数である平文ｍが取りうる複数の値と、前記複数の値のそれぞれに対応する楕円点ｍＰとを対応付けて記憶する記憶部を参照して、入力された平文に対応する楕円点を特定して当該平文を暗号化するように構成されている暗号化部、
   を有することを特徴とする暗号化装置。
2. 整数である平文ｍが取りうる複数の値と、前記複数の値のそれぞれに対応する楕円点ｍＰとを対応付けて記憶する記憶部を参照して、入力された暗号文に係る楕円点に対応する平文を特定することで、前記暗号文を復号するように構成されている復号部、
   を有することを特徴とする復号装置。
3. 前記記憶部は、更に、前記楕円点ｍＰのハッシュ値を前記複数の値のそれぞれに対応付けて記憶し、
   前記復号部は、入力された暗号文に係る楕円点のハッシュ値に対応する平文を特定するように構成されている、
   ことを特徴とする請求項２記載の復号装置。
4. 整数である平文ｍが取りうる複数の値と、前記複数の値のそれぞれに対応する楕円点ｍＰとを対応付けて記憶する記憶部を参照して、入力された平文に対応する楕円点を特定して当該平文を暗号化するように構成されている暗号化部と、
   前記記憶部を参照して、入力された暗号文に係る楕円点に対応する平文を特定することで、前記暗号文を復号するように構成されている復号部と、
   を有することを特徴とする暗号変換装置。
5. 整数である平文ｍが取りうる複数の値と、前記複数の値のそれぞれに対応する楕円点ｍＰとを対応付けて記憶する記憶部を参照して、入力された平文に対応する楕円点を特定して当該平文を暗号化する暗号化手順、
   をコンピュータが実行することを特徴とする暗号化方法。
6. 整数である平文ｍが取りうる複数の値と、前記複数の値のそれぞれに対応する楕円点ｍＰとを対応付けて記憶する記憶部を参照して、入力された暗号文に係る楕円点に対応する平文を特定することで、前記暗号文を復号する復号手順、
   をコンピュータが実行することを特徴とする復号方法。
7. 前記記憶部は、更に、前記楕円点ｍＰのハッシュ値を前記複数の値のそれぞれに対応付けて記憶し、
   前記復号手順は、入力された暗号文に係る楕円点のハッシュ値に対応する平文を特定する、
   ことを特徴とする請求項６記載の復号方法。
8. 請求項５記載の暗号化方法、又は請求項６若しくは７記載の復号方法をコンピュータに実行させることを特徴とするプログラム。

Images