JP3910538B2 - 潜在的に非同期式のネットワーク中でシークレットを検証可能に共有する方法 - Google Patents

Description

本発明は、プロセッサ・ノードが非同期式に情報を交換するネットワークに関し、より詳細には、未検出の悪意のあるノードが存在しても、十分に大きなノードの部分集合は、シークレット値を再構築することができるが、それより小さな集合ではそれを何としても解決できないような方法で、ノード間でシークレット値を共有するための方法に関する。

シークレット共有スキームは、情報をｎ個の異なるロケーションに分散させることによって、情報の機密性と保全性を保護する。この情報はある最小限数のロケーションにアクセスできる場合に限り、回復することができる。具体的に言うと、（ｋ，ｎ）閾値スキームにおいては、ｋ個のロケーションが一緒になってシークレット情報を再構築することができるが、ｋ−１個のロケーションでは、それに関する情報を得ることはできない。

H. Krawczyk et al. 「Proactive secretsharing or: How to cope with perpetual leakage」、In Crypto '95, 339〜352頁、SantaBarbara、1995年に、同期式の予防的なシークレット共有スキームが提示されている。このスキームでは、システムの存続時間を短い時間枠のみに分割し、したがって、敵が１つの時間枠中にｋ−１個を超えるロケーションに侵入できないと想定するのが妥当である。さらに、敵は一時的である、すなわち破壊されたサーバは識別することができ再ブートすることができるので、敵はそれらを制御できなくなると想定されるが、なおサーバの最後の状態を記憶している。各時間枠の最初に、敵が以前の時間枠で集めた情報が時代遅れになるように、システムをリフレッシュする。システムのリフレッシュとは、古いシークレットの共有部を新しく無作為に生成することである。

非同期式の検証可能なシークレット共有システムが、Ran Canettiand TalRabin、「Fast asynchronous Byzantine agreement with optimal resilience」、in STOC93、42〜51頁、NewYork、1993年に提案されたが、これはFeldman and Micali、「An Optimal Probabilistic Protocol forSynchronous Byzantine Agreement」、STOC 88、148〜161頁、New York、1988年のアイデアに基づいている。このスキームは、公開鍵暗号を使用していないが、メッセージは極めて複雑である。
H. Krawczyk et al.、「Proactivesecret sharing or: How to cope with perpetual leakage」、In Crypto '95, 339〜352頁、SantaBarbara、1995年 Ran Canettiand Tal Rabin、「Fastasynchronous Byzantine agreement with optimal resilience」、in STOC93、42〜51頁、NewYork、1993年 Feldman and Micali、「An OptimalProbabilistic Protocol for Synchronous Byzantine Agreement」、STOC 88、148〜161頁、NewYork、1988年 A.Shamir、「How to share a secret」、Communicationsof the ACM 22（1979年）、612〜613頁 Cachin et al.、「Secure and EfficientAsynchronous Broadcast Protocols」、Joe Kilian編、Advance in Cryptology: CRYPTO 2001、LectureNotes in Computer Science、2139巻、524〜541頁、Springer、2001年 Cachin et al.、「Random Oracles inConstantinople: Practical Byzantine Agreement using Cryptography」、in PODC00、Portland、Oregon、2000年 T. Pedersen、「Non-interactive andinformation-theoretic secure verifiable secret sharing」、CRYPTO'91、Lecture Notesin Computer Science 576巻、129〜140頁、Springer-Verlag、1992年

本発明の一目的は、最大ｔ個の障害のある装置、プロセッサ、またはパーティを許容することのできる潜在的に非同期式のネットワーク用の検証可能なシークレット共有スキームを作成することである。この意味での部分的に非同期式のネットワークとは、ネットワークが状況および所与の仮定に応じて同期モードまたは非同期モードのいずれでも動作することができることを意味する。

本発明の他の目的は、ｎ個のプロセッサまたはパーティの間で動作可能であり、多くてもｔ個（ｔ＜ｎ／３）のプロセッサに障害があり、さらに一定時間共有が実現でき、交換されるメッセージ数がｎの２乗程度である方法を提供することである。

用語解説
以下は、説明の理解を助けるための非公式の定義である。

非同期の検証可能なシークレットの共有（ＡＶＳＳ）においては、ｋ個以上のどのような連携パーティでも効率的にｘを構築できるのに、ｋ−１個のパーティが連携してもｘを得ることができないように、シークレット値ｘが、ディーラまたはディストリビュータによりＰ_１、．．．、Ｐ_ｎのｎパーティ間で共有される。このことを（ｋ，ｎ）共有とも呼び、シークレット値ｘを再構築するのにｎパーティ中のｋパーティが必要とされることを示す。

群：暗号法の意味における群は、元または数の集合と、いくつかの指定された属性を備えた群演算（＊）から成る代数系（Ｇ，＊）であり、ここで（＊）は結合法（associative）であり、単位元をもち、Ｇのすべての元が逆元を有している。記号（＊）の選択は任意である。実際には、大部分の群の演算は、＋または・のいずれかで示され、このような群は、それぞれ加法群または乗法群と呼ばれる。

例えば、任意の正整数ｑについて、集合Ｚ_ｑは、整数０、．．．、ｑ−１から成り、それは、ｑを法とする加法演算の群を形成する。さらに、ａに対して互いに素な整数からなるＺｑの部分集合は、ｑを法とする乗法群を形成し、Ｚ_ｑ＊で示される。特に、ｐが素な場合には、Ｚ_ｑ＊は｛１,...,ｐ−１｝からなり、ｐ−１個の元を有する群である。

ハッシュ関数：ハッシュ関数は、任意長の２進ストリングを、ある固定長の２進ストリングに写像する計算効率のよい関数である。

複合障害
ビザンチン合意（Byzantine Agreement）を実現するための方法では、ネットワーク装置に障害の起こる可能性のあるいくつかの異なる方法を区別することができる。この例を以下に示す。

ビザンチン障害ＢＦ（Byzantine Failure）：ビザンチン障害ＢＦが起こる場合には、敵は対応するマシンを完全に制御してしまっている。このマシンが有するすべてのシークレットが敵の手に渡り、敵は今やその動作のすべてを制御する。

クラッシュ障害ＣＦ（Crash Failure）：クラッシュ障害ＣＦは、単に対応するマシンが動作を停止することを意味する。これは、いつでも、すなわち同報通信の最中またはメッセージの送信中でさえ、起こる可能性がある。他のパーティがこのようなクラッシュを確実に検出できるメカニズムはないと考えられている。

リンク障害ＬＦ（Link Failure）：リンク障害ＬＦは、パーティではなくて相互接続リンクに障害が起こるときに起こる。リンクは、認証鍵に対するアクセス権がないので、リンクがメッセージを修正したり、挿入したりするのを防ぐのは容易である。しかしながら、障害のあるリンクはメッセージを除去してしまう可能性があり、それによって２つのパーティ間の接続を完全に切ることもある。

敵構造（Adversary structure）
敵構造Ｔは、その破壊をシステムが許容すべきパーティの集合（連合）の１つの集合である。これによって、閾値スキームが一般化されて、より柔軟になり環境構造に適合できるようになる。

本発明によれば、私用リンクを備えた非同期式ネットワークを介してｎ台の参加ネットワーク装置間でシークレット値ｘを共有する、すなわち正直な参加者間の通信が敵によって読み取ることができないようにするための、マシン実装可能な方法が提供される。ｎ台の参加ネットワーク装置は、ｔ台の障害のある装置、およびシークレット値ｘを再構成することの可能なｋ台の副次装置（sub-device）を含んでおり、ここで、ｔ＜ｎ／３かつｋ＜ｎである。このシークレット値ｘは、ディストリビュータによって提供される。本方法は、そのディストリビュータにより、リニアなシークレット共有スキームを適用することにより、シークレット値ｘの共有値ｓ_ｉおよび副次共有値（subsharevalue）ｓ_ｉｊを導き出し、共有値ｓ_ｉおよび副次共有値ｓ_ｉｊの妥当性を検証するために使用可能な検証値

を導き出すステップと、対応する副次共有値ｓ_Ａｉ、ｓ_ｉＡ、ｓ_Ｂｉ、ｓ_ｉＢ、ｓ_Ｃｉ、ｓ_ｉＣを含む共有メッセージを、各参加ネットワーク装置に送信するステップと、その検証値

を含む検証メッセージを同報通信するステップと、少なくともｌ台（ｎ−ｔ≧ｌ≧２ｔ＋１）の参加ネットワーク装置により、検証値

を含む検証メッセージを受信するステップと、各受信側ネットワーク装置について以下のステップ１）ないし４）、すなわち１）副次共有値ｓ_ｉｊを含む共有メッセージが受信される場合に、検証値

に基づいて副次共有値ｓ_ｉｊの妥当性を判定するステップと、２）判定が肯定的な場合には、合意値Ｙを含む合意メッセージを同報通信するステップと、３）合意値Ｙ_Ａ、Ｙ_Ｂ、Ｙ_Ｃを含むｌ個の合意メッセージを受信するステップと、４）ｌ個の受信済み合意メッセージがある場合に、ディストリビュータＤによって送信された共有メッセージ、または参加ネットワーク装置から受信した副次共有値ｓ_ｉｊのどちらかから共有値ｓ_ｉを得て、検証値

に基づいて副次共有値ｓ_ｉｊの妥当性を判定するステップとを実施するステップを含む。

本発明の第２の態様においては、非同期ネットワークを介してｎ台の参加ネットワーク装置Ａ、Ｂ、Ｃ間でシークレット値ｘを共有するマシン実装可能な方法が提供され、ｎ台の参加ネットワーク装置Ａ、Ｂ、Ｃは、ｔ台の障害のある装置、およびシークレット値ｘを再構築可能なｋ台の副次装置を備えており、ここでｔ＜ｎ／３かつｋ≦ｎ−ｔであり、シークレット値ｘは、ディストリビュータＤによって提供される。この方法は、同報通信することなしに実施される。

本方法は、効率がよく、最大数のパーティの破壊に耐えるという意味で理論的にほぼ最良でもある。さらに、この方法は非同期式の環境に適用可能であり、ビザンチン障害を許容する。

何らかのシークレット値ｘがすでに共有されている場合、この方法を使用して、０であるシークレット値ｙを共有することができる。検証値を使用して、ｙの値が本当に０であることを検証することができる。

ｘの共有値ｘ_ｉに０の共有値ｙ_ｉを加えることにより、新しい共有値ｙ_ｉ＋ｘ_ｉはシークレットｘ＋０すなわちｘを共有する。

このようにすることにより、同じシークレット値の新しい共有値が生成され、この値を使用して敵に漏えいした可能性のある古い共有値が役に立たないようにすることができる。

有利なことには、この方法を修正して、指標ｉの付いたあらゆる参加ネットワーク装置がその副次共有値ｓ_ｉ１〜ｓ_ｉｎ、およびｓ_１ｉ〜ｓ_ｎｉをすべて導き出せるようにすることが可能である。このようにして、既知の副次共有値ｓ_１ｉ〜ｓ_ｎｉから対応する副次共有値Ｓ_{（ｎ＋１）ｉ}を再構築することにより、シークレット値ｘを共有する１群の参加ネットワーク装置に、追加のネットワーク装置を効率的に組み込むことが容易になる。

この副次共有値ｓ_ｉｊおよび追加の検証値を、各参加ネットワーク装置に送信することができ、十分な追加の検証値を受信するとすぐに受信した追加の検証値に基づいて検証値

を変更することができる。これには、検証メッセージを同報通信するために使用される同報通信プリミティブが簡単になり、それによってネットワークの通信が少なくなるという利点がある。

参加ネットワーク装置が受信した副次共有値ｓ_ｉｊから共有値ｓ_ｉを得るステップが、コンプレイン・メッセージを同報通信するステップと、コンプレイン・メッセージに応答して送信された副次共有値ｓ_ｉｊを受信するステップをさらに含む場合には、普通はそうであるがディストリビュータが正直な場合に、ネットワーク・トラフィックを低減することができるという利点がもたらされる。

リニア・シークレット共有スキームに対応する暗号群Ｇから共通の数ｇを選択すること、および選択した共通の数ｇを、共有値ｓ_ｉの線形関数ｆ乗することによって、検証値

を導き出すことにより、この検証値

を導き出すことができる。そうすることにより、簡単な暗号プリミティブを使用して検証値

を生成することができる。

検証値

は、ハッシュ関数を使用して導き出すことができる。これにより、検証値

は小さくなる。したがって、ネットワークを介して転送しなければならないデータが少なくなる。

いくつかのシークレット値を同時に共有することができる。これは、相乗効果によって効率がより高くなる。

障害のある装置の台数ｔは、異なる参加ネットワーク装置、すなわち異なるオペレーティング・システムを実行し、異なるロケーションにある装置を含む複数の集合の集合Ｔと見ることができる。さらに、参加ネットワーク装置は、集合Ｔの異なる構造または異なる閾値ｔ_ｉ（ｉ＝１、２、．．．）を反映して、例えばビザンチン障害、クラッシュ障害、およびリンク障害などの複合障害を示す可能性がある。このことは、このプロトコルの柔軟性を示している。

本発明の好ましい実施形態を、以下の概略図を参照して、例としてのみ以下に詳細に説明する。

図面は例示の目的で示したものにすぎず、また必ずしも、本発明の実際の例を一定の縮尺で表現してはいない。

図１は、一般的なコンピュータ・システム８の一例を示すものであり、このシステムでシークレット値ｘが共有される。このシステムは、通信回線（１〜５）を介してネットワークに接続されたｎ＝４台の参加ネットワーク装置Ａ、Ｂ、Ｃ、およびＤから構成されている。このシステムはディストリビュータＤを含み、それが「Ｘ」で示される。各参加ネットワーク装置Ａ、Ｂ、Ｃ、Ｄは、チップ上のコンピュータまたはウェアラブル・コンピュータから大型コンピュータ・システムに至る当技術分野で知られるどのようなタイプのコンピュータ装置でもよい。通信回線は、１台の参加ネットワーク装置Ａ、Ｂ、Ｃ、Ｄから別の装置へデータまたはメッセージを伝送するための一般に知られたどんな通信手段でもよい。例えば、通信回線は、各対をなす参加ネットワーク装置Ａ、Ｂ、Ｃ、Ｄ間の１本の双方向通信回線５、または各対をなす参加ネットワーク装置Ａ、Ｂ、Ｃ、Ｄ間の各方向への単方向回線のどちらでもよい。かかるコンピュータ・システム８および通信回線５は、当技術分野において周知である。１台の参加ネットワーク装置Ａ、Ｂ、Ｃが情報をそれ自体に送信する場合には、その参加ネットワーク装置内で単にデータを移動することにより、通信回線上でそれ自体に情報を送信することなく、同等な結果を実現することができる。この一般的なコンピュータ・システム８は、以下の非同期式の検証可能なシークレット共有プロトコルの説明を容易にするために示したものである。同一または同様な部品を示すために同じ参照番号を使用している。

図２は、非同期式ネットワークを介して、ｎ台の参加ネットワーク装置Ａ、Ｂ、Ｃ間でシークレット値ｘを共有するためのプロトコルの全体的な流れを示すものであり、その中で、一連のメッセージが、各参加ネットワーク装置Ａ、Ｂ、Ｃ、Ｄによって送信または受信される。

ディストリビュータＤがシークレット値ｘを共有しようとしていると仮定する。まず、ボックス１０で示すように、ディストリビュータＤは、例えばA.Shamir、「How to share a secret」、Communications of the ACM 22（1979年）、612〜613頁に記載されているような標準のリニア・シークレット共有スキームに従って、シークレット値ｘの共有値ｓ_ｉを導き出す。これに加えて、ディストリビュータＤは、副次共有値ｓ_ｉｊとも呼ばれるいわゆる副次共有値も導き出す。これが意味するのは、共有値ｓ_ｉごとにディストリビュータＤが、それぞれの副次共有値ｓ_ｉｊを作成することである。この副次共有値ｓ_ｉｊは、共有値ｓ_ｉの作成とは独立の別のリニア・シークレット共有スキームによって実現できる。あるいは、２変数の多項式をもつShamirスキームを使用して、シークレット値ｘを共有することもできる。さらに、ディストリビュータＤは、ここで暗号群Ｇ内の簡単なべき乗演算によって検証値

を導き出す。この検証値

は、検証テーブルとして解釈される。この検証値

は、共有値ｓ_ｉおよび副次共有値ｓ_ｉｊの妥当性を検証するために使用可能である。

表１に、各共有値ｓ_ｉについての対応する副次共有値ｓ_ｉｊを示す。特定行のすべての副次共有値ｓ_ｉｊは、その行のいちばん左の値を共有するが、特定列のすべての副次共有値ｓ_ｉｊは、いちばん上の値、共有値ｓ_ｉを共有する。

値ｓ_１１、ｓ_１２．．．、ｓ_１ｎによって共有される値が、値ｓ_１０で示され、値ｓ_１１、ｓ_２１．．．、ｓ_ｎ１によって共有される値が、ｓ_０１で示されることに留意されたい。

このプロトコルの途中で、ディストリビュータＤのクラッシュ動作またはビザンチン動作を許容することができるのは、利点である。ｔ＋１台の正直な参加ネットワーク装置Ａ、Ｂ、Ｃが、シークレット値ｘの妥当な共有値ｓ_ｉを受信したと思う場合、ディストリビュータＤからまったく知らされなかった場合でも、他のすべての正直な参加ネットワーク装置Ａ、Ｂ、Ｃは、そのｔ＋１台の参加ネットワーク装置Ａ、Ｂ、Ｃの助けを得て、シークレット値ｘのそれ自体の共有値ｓ_ｉを再構築することができる。

しかしながら、不正直なディストリビュータＤが、不正な共有値ｓ_ｉ、すなわち、組み合わせても固有のシークレット値ｘをもたらさない共有値ｓ_ｉを配布することがそれでも可能である。この問題に対応するために、ディストリビュータＤは、すべての参加ネットワーク装置Ａ、Ｂ、Ｃが、シークレット値ｘについて何も知らなくても、受信した共有値ｓ_ｉの妥当性をテストするのを可能にする検証情報を追加する。

ディストリビュータＤは、各参加ネットワーク装置Ａ、Ｂ、Ｃに、ボックス２０で示すような対応する副次共有値ｓ_Ａｉ、ｓ_ｉＡ、ｓ_Ｂｉ、ｓ_ｉＢ、ｓ_Ｃｉ、ｓ_ｉＣを含む共有メッセージｓｍを送信し、ボックス３０で示すような検証値

を含む検証メッセージｖｍを同報通信する。この同報通信は、Cachin et al.、「Secureand Efficient Asynchronous Broadcast Protocols」、Joe Kilian編、Advance inCryptology: CRYPTO 2001、Lecture Notes in Computer Science、2139巻、524〜541頁、Springer、2001年に記載されているように、信頼性のある同報通信とすることができる。指標ｉをもつ参加ネットワーク装置Ａ、Ｂ、Ｃにとって、ディストリビュータＤが、この参加ネットワーク装置Ａ、Ｂ、Ｃに送信する副次共有値ｓ_ｉｊは、表１の行ｉ、列ｉに相当する。ボックス１０、２０、および３０によって示されるステップは、Ｄのラベル付きのボックスで示すように、ディストリビュータＤによって実施される。

検証メッセージｖｍは、受信ネットワーク装置Ａ、Ｂ、Ｃがプロトコルの実行中に受信する共有値ｓ_ｉおよび副次共有値ｓ_ｉｊをすべて検証するのに十分な、より多くの情報を含んでいる。

検証メッセージｖｍは、ボックス４０で示すように、参加ネットワーク装置Ａ、Ｂ、Ｃによって受信される。次の諸ステップは、各受信ネットワーク装置Ａ、Ｂ、Ｃによって実施される。

副次共有値ｓ_ｉｊを含む共有メッセージｓｍが以前のステップで受信された場合、ボックス５０で示すように、検証値

に基づいて、副次共有値ｓ_ｉｊの妥当性を判定する。判定結果が肯定的な場合には、ボックス６０に示すように、合意値Ｙを含む合意メッセージを同報通信する。次いで、合意値Ｙ_Ａ、Ｙ_Ｂ、Ｙ_Ｃを含むｌ個（ｎ−ｔ≧ｌ≧２ｔ＋１）の合意メッセージが、ボックス７０に示されるように、それぞれのネットワーク装置Ａ、Ｂ、Ｃによって受信される。ボックス７０およびボックス８０のステップもまた、９０のラベル付きの矢印で示すように、ボックス４０、５０、６０によって示したステップを実施していない１つの参加ネットワーク装置Ａ、Ｂ、Ｃによって実行することができる。

ｌ個の合意メッセージを受信した場合、各参加ネットワーク装置Ａ、Ｂ、Ｃは、ディストリビュータＤによって送信された共有メッセージｓｍ、または他の参加ネットワーク装置Ａ、Ｂ、Ｃから受信した副次共有値ｓ_ｉｊのどちらかから、共有値ｓ_ｉを得る。次いで検証値

に基づいて、副次共有値ｓ_ｉｊの妥当性を判定する。これがボックス８０に示されている。

コミットメントの使用
各共有値ｓ_ｉおよび副次共有値ｓ_ｉｊに対して、ディストリビュータＤは、コミットメント関数Ｃ（ｓ_ｉ）またはＣ（ｓ_ｉｊ）をそれぞれ計算する。それらのコミットメントには、共有値ｓ_ｉおよび副次共有値ｓ_ｉｊを組み合わせると１つのシークレット値ｘおよび共有値ｓ_ｉが得られる場合には、Ｃ（ｓ_ｉ）（またはＣ（ｓ_ｉｊ））を組み合わせると１つのシークレットＣ（ｘ）（またはＣ（ｓ_ｉ））が得られるという特徴がある。

１つの例は、Cachin et al.、「Random Oracles inConstantinople: Practical Byzantine Agreement using Cryptography」、in PODC00、Portland、Oregon、2000年で示されたように、素数オーダの有限群の中で指数を使用する、すなわちＣ（ｓ_ｉ）＝

とするものである。

しかし、もっと高度なコミットメント、例えばT. Pedersen、「Non-interactiveand information-theoretic secure verifiable secret sharing」、CRYPTO'91、LectureNotes in Computer Science 576巻、129〜140頁、Springer-Verlag、1992年に記載されているようなPedersenコミットメントを使用することも可能である。

それらのコミットメントは、Cachin et al.、「Secure anEfficient Asynchronous Broadcast Protocols」、Joe Kilian編、Advances in Cryptology:CRYPTO 2001、Lecture Notes in Computer Science 2139巻、524〜541頁、Springer、2001年に記載されているように、一貫した同報通信を使用して、すべての参加ネットワーク装置Ａ、Ｂ、Ｃに配布される。すなわち、すべての参加ネットワーク装置ＡＢＣは同じコミットメントを受信する。以下で通信の複雑さの最適化について説明するときに示すように、プロトコルに新しいステップを追加して、この同報通信を簡単にすることができる。

プロトコルは、次いで以下のように進む。
１．ディストリビュータＤが、指標ｉをもつ参加ネットワーク装置Ａ、Ｂ、Ｃに、共有値ｓ_ｉおよび副次共有値ｓ_ｉｊをすべて配布し、それぞれのメッセージ中で検証テーブルを同報通信する。

２．ディストリビュータＤから上記メッセージを受信した各参加ネットワーク装置Ａ、Ｂ、Ｃが、以下についてテストする。
・その共有値ｓ_ｉおよび副次共有値ｓ_ｊｉは検証テーブル中のＣ（ｓ_ｉ）およびＣ（ｓ_ｊｉ）に対応するか
・検証テーブル中のＣ（ｓ_ｉｊ）を組み合わせて１つの固有なＣ（ｓ_ｉ）が得られるか
・検証テーブル中のＣ（ｓ_ｊｉ）を組み合わせてなにか固有な値が得られるか

３．指標ｉをもつ１つの参加ネットワーク装置Ａ、Ｂ、Ｃが、共有値ｓ_ｉおよび副次共有値ｓ_ｊｉをすべて受信し、すべてのテストがＯＫである場合、この装置は１つの「ＯＫメッセージ」を同報通信する。

４．十分に多くの、すなわち少なくとも２ｔ＋１個のＯＫメッセージを受信したとき、指標ｉをもつそれぞれの参加ネットワーク装置Ａ、Ｂ、Ｃが、ディストリビュータＤおよびその共有値ｓ_ｉを受け入れる。

５．１つの指標ｉをもつ参加ネットワーク装置Ａ、Ｂ、Ｃが妥当な共有値ｓ_ｉをまだ受信していない場合、その装置はコンプレイン・メッセージをすべての参加ネットワーク装置Ａ、Ｂ、Ｃに送信する。そのようなコンプレイン・メッセージを受信するとすぐ、指標ｊをもつ受信参加ネットワーク装置Ａ、Ｂ、Ｃは、コンプレインしている指標ｉをもつ参加ネットワーク装置Ａ、Ｂ、Ｃにその副次共有値ｓ_ｉｊを送信する。次いでこの参加ネットワーク装置Ａ、Ｂ、Ｃは、検証テーブルを使用して副次共有値ｓ_ｉｊを検証し、妥当な共有値を組み合わせてｓ_ｉを得る。

通信の複雑さの最適化
ディストリビュータＤによって同報通信された検証テーブルを含む検証メッセージｖｍは、比較的大きいものであり、いくつかの方法で最適化することができる。以下に、より廉価な同報通信プリミティブ、ならびにより小さな検証値を使用するために、どのようにプロトコルが修正できるかを説明する。

・指標ｉをもつ各参加ネットワーク装置Ａ、Ｂ、Ｃは、表１の行ｉおよび列ｉだけ、すなわちすべてのｊに対するｓ_ｉｊおよびｓ_ｊｉと、対応する検証値Ｃ（ｓ_ｉｊ）およびＣ（ｓ_ｊｉ）を受け取る。さらに、各参加ネットワーク装置ＡＢＣは、各行および各列上のハッシュ値、ならびにＣ（ｓ_ｊ０）およびＣ（ｓ_０ｊ）（ｓ_ｊ０は、ｓ_ｊ１,...,ｓ_ｊｎによって共有される値）を受け取る。これらの値は、一貫した形で同報通信されないこともある。すなわち、ディストリビュータＤが不正直な場合、すべての参加ネットワーク装置Ａ、Ｂ、Ｃは、異なる値を取得する可能性がある。

・共有メッセージｓｍおよび検証メッセージｖｍを受信するとすぐに、各参加ネットワーク装置Ａ、Ｂ、Ｃは、受信したハッシュ値および検証値を検証し、必要なら、すなわちそれらの値が共有値ｓ_ｊ０およびｓ_０ｊ、ならびに副次共有値ｓ_ｉｊおよびｓ_ｊｉに対応しない場合には、検証値Ｃ（ｓ_ｊ０）、Ｃ（ｓ_０ｊ）、Ｃ（ｓ_ｉｊ）およびＣ（ｓ_ｊｉ）を再計算する。

・それぞれの参加ネットワーク装置Ａ、Ｂ、Ｃは、指標ｊをもつ参加ネットワーク装置Ａ、Ｂ、Ｃに対して、副次共有値ｓ_ｉｊおよびｓ_ｊｉをすべてのハッシュ値および（たぶん再計算済みの）検証値と一緒に送信する。

・それぞれの参加ネットワーク装置Ａ、Ｂ、Ｃは、十分に多くの、すなわち少なくとも２ｔ＋１個の、ハッシュ値に一致し前記ハッシュ値に対応する妥当な副次共有値ｓ_ｉｊおよびｓ_ｊｉを含む上記メッセージを受信するまで待つ。次いで、その装置は、各参加ネットワーク装置Ａ、Ｂ、ＣにＯＫメッセージを送信する。

・十分に多くの、すなわち少なくとも２ｔ＋１個のＯＫメッセージを受信するとすぐに、各参加ネットワーク装置Ａ、Ｂ、Ｃは、ディストリビュータＤを受け入れる。必要なら副次共有値ｓ_ｉｊから共有値ｓｉを計算する。

通信の複雑さを最適化する上記方法は、ディストリビュータＤが受け入れられたかどうかの合意を保証するものでないことに留意されたい。参加ネットワーク装置Ａ、Ｂ、Ｃのあるものは、プロトコルを終了していないが、あるものは終了している可能性がある。しかしながら、現在のプロトコルの終わりにビザンチン合意プロトコルを追加し、１つの参加ネットワーク装置Ａ、Ｂ、ＣがディストリビュータＤおよびその共有値ｓ_ｉを受け入れる場合、指標ｊをもつすべての正直な参加ネットワーク装置Ａ、Ｂ、Ｃが、ディストリビュータＤを受け入れその共有値ｓ_ｊを受信するようにするのが直截的である。

同報通信のない場合
同報通信なしでプロトコルを実施し、検証可能なシークレット共有のためのプロトコルを信頼性のある同報通信と統合することが可能である。この方法は、一貫した同報通信が使用されないので、通信負荷および計算負荷がさらに低減するという利点がある。一貫した同報通信には複雑なディジタル署名計算が必要となるが、それが回避される。

図３に、同報通信のない、かかる非同期式の検証可能なシークレット共有スキームの概略図を示す。同じ部品記号または参照番号を、同一または同様な部品を示すのに使用している。

この場合、プロトコルは、３回のメッセージ交換を使用している。
ボックス１０に示すように、ディストリビュータＤは、リニア・シークレット共有スキームを適用することにより、シークレット値ｘの共有値ｓ_ｉおよび副次共有値ｓ_ｉｊを導き出す。さらに、ディストリビュータＤは、共有値ｓ_ｉおよび副次共有値ｓ_ｉｊの妥当性の検証に使用可能な検証値

を導き出す。次のステップ、ボックス２２で、対応する副次共有値ｓ_Ａｉ、ｓ_ｉＡ、ｓ_Ｂｉ、ｓ_ｉＢ、ｓ_Ｃｉ、ｓ_ｉＣと検証値

とを含む第１のメッセージ（１ｓｔ）が、各参加ネットワーク装置Ａ、Ｂ、Ｃに送信される。

少なくとも２ｔ＋１台の参加ネットワーク装置Ａ、Ｂ、Ｃについて、指標ｉをもつ各参加ネットワーク装置Ａ、Ｂ、Ｃごとに以下のステップｉ）ないしｖｉｉ）が実施される。

ｉ）ディストリビュータＤから第１のメッセージ（１ｓｔ：）を受信した、指標ｉをもつ各参加ネットワーク装置Ａ、Ｂ、Ｃは、ボックス３２に示すように、検証値

に基づいて、ｉ＝１,...,ｎおよびｊ＝１,...,ｎに対する副次共有値ｓ_ｉｊ、ｓ_ｊｉすべての妥当性を判定する。

ｉｉ）判定結果が肯定的な場合、指標ｉをもつ参加ネットワーク装置は、受信した副次共有値ｓ_ｉｊ、ｓ_ｊｉから、指標ｍをもつ他の参加ネットワーク装置Ａ、Ｂ、Ｃと共通の関連した副次共有値ｓ_ｉｍ、ｓ_ｍｉを導き出す。次いで、ボックス３４に示すように、指標ｉをもつ参加ネットワーク装置は、指標ｍをもつ各参加ネットワーク装置Ａ、Ｂ、Ｃに、ｒ＝１,...,ｎおよびｊ＝１,...,ｎに対する検証値

および関連した副次共有値ｓ_ｉｍ、ｓ_ｍｉを含む第２のメッセージ（２ｎｄ）を送信する。

ｉｉｉ）指標ｊをもつ１つの参加ネットワーク装置Ａ、Ｂ、Ｃから第２のメッセージ（２ｎｄ：）を受信した場合、ボックス４２で示すように、指標ｉをもつ参加ネットワーク装置Ａ、Ｂ、Ｃは、検証値

に基づいて、受信した副次共有値ｓ_ｉｊ、ｓ_ｊｉの妥当性を判定する。

ｉｖ）ボックス４４に示すように、２ｔ＋１個の受信した第２のメッセージ（２ｎｄ：）に対する判定結果が肯定的な場合には、ボックス４６に示すように、検証値

および関連した副次共有値ｓ_ｉｍ、ｓ_ｍｉを含む第３のメッセージ（３ｒｄ）が、指標ｍをもつ各参加ネットワーク装置Ａ、Ｂ、Ｃに送信される。第１のメッセージ（１ｓｔ：）が受信されない場合には、９２のラベル付きの矢印で示すように、関連した副次共有値ｓ_ｉｍ、ｓ_ｍｉは、受信した第２のメッセージ（２ｎｄ：）から導き出される。

ｖ）第３のメッセージ（３ｒｄ：）を、指標ｊをもつ１つの参加ネットワーク装置Ａ、Ｂ、Ｃから受信した場合、ボックス５２に示すように、検証値

に基づいて受信した副次共有値ｓ_ｉｊ、ｓ_ｊｉの妥当性を判定する。

ｖｉ）ボックス５４に示すように、ｔ＋１個の受信した第３のメッセージ（３ｒｄ：）について判定結果が肯定的で、第３のメッセージ（３ｒｄ）をまだ送信していない場合には、ボックス５６に示すように、検証値

および関連した副次共有値ｓ_ｉｍ、ｓ_ｍｉを含む１つの第３のメッセージ（３ｒｄ）が指標ｍをもつ各参加ネットワーク装置Ａ、Ｂ、Ｃに送信される。第１のメッセージ（１ｓｔ：）をまだ受信していない場合には、受信した第３のメッセージ（３ｒｄ：）について９４のラベル付きの矢印で示すように、関連した副次共有値ｓ_ｉｍ、ｓ_ｍｉが、受信した第２または第３のメッセージ（２ｎｄ：、３ｒｄ：）から導き出される。

ｖｉｉ）ボックス５８に示すように、２ｔ＋１個の受信した第３のメッセージについて判定結果が肯定的な場合には、ボックス８０に示すように、共有値ｓ_ｉが、受信した第１、第２、または第３のメッセージ（１ｓｔ：、２ｎｄ：、３ｒｄ：）から導き出される。これは、ディストリビュータＤからの共有値ｓ_ｉが受け入れられたことを意味する。

このより効率の良いプロトコルを、コミットメントを使用する方法、および通信の複雑さを最適化する方法と組み合わせることができる。その結果もたらされるプロトコルには、通信および計算の複雑さがさらに低減するという利点がある。それにはまた、ディストリビュータＤが受け入れられたかどうかの合意を確実にし、その結果、他のすべての参加ネットワーク装置Ａ、Ｂ、Ｃが終了する場合に限って、各参加ネットワーク装置Ａ、Ｂ、Ｃが、終了するという利点がある。

複合的な敵構造
破壊されたｎのうちのｔを固定閾値にする代わりに、現実の世界の構造を反映させることにより柔軟性をより高めることが可能である。

例えば、敵がある種のオペレーティング・システムをもつすべての参加ネットワーク装置を制御できる場合もあり、あるいは敵がシステム管理者を買収して特定のサイトのすべての参加ネットワーク装置に対するアクセス権を取得する場合もある。敵構造は、かかる攻撃スキームに対処している。

敵構造Ｔを定義するには、システムがその破壊を許容すべきあらゆるパーティの連携、例えば同じオペレーティング・システムをもつすべての参加ネットワーク装置の連携を定義しなければならない。そうした場合、これらの集合すべての集合が敵構造Ｔになる。

図４は、構造化された形で分布する１９サイトの参加ネットワーク装置Ｐ_１〜Ｐ_１９のシナリオ、すなわち各参加ネットワーク装置Ｐ_１〜Ｐ_１９が、オペレーティング・システムＯＳ−１〜ＯＳ−４を有し、国Ｃ１〜Ｃ４内にロケーションを有することを示すものである。従来のｎのうちのｔという構造によって、６台の（ビザンチン）障害をもつ参加ネットワーク装置からなるどんな集合も、許容することができる。対応する敵構造を使用して、１つのオペレーティング・システムおよび１つのロケーションの同時障害を許容することができる。この例では、これは最高１０台までの参加ネットワーク装置（例えば、第４の国Ｃ４内の、または第１のオペレーティング・システムＯＳ−１をもつ参加ネットワーク装置すべての障害）となることがあり、あるいは破壊の分布が良い場合、すなわち４台の参加ネットワーク装置がすべての国とすべてのオペレーティング・システムをカバーする場合には、４台未満となることもある。

シークレットｘを共有するためのプロトコルでは、いくつかの種類の障害が同時に起こる可能性がある。例えば、クラッシュ障害ＣＦ、ビザンチン障害ＢＦ、およびリンク障害ＬＦの間では違いがある。これにより、より大きい障害の全体数が許容される。

本発明は、ハードウェア、ソフトウェア、またはハードウェアとソフトウェアの組合せの形で実現することができる。どのようなコンピュータ・システム（または本明細書に記載の方法を実施するようになされた他の機器）にも適用可能である。典型的なハードウェアとソフトウェアの組合せは、ロードされ実行されると、本明細書に記載の方法を実行するようにコンピュータ・システムを制御するコンピュータ・プログラムを備える汎用コンピュータ・システムであろう。本発明はまた、本明細書に記載の方法の実施を可能にするすべての特徴を備え、（コンピュータ・システムにロードされたとき）これらの方法を実行することのできるコンピュータ・プログラム製品に埋め込むこともできる。

コンピュータ・プログラム手段あるいは本発明の文脈中のコンピュータ・プログラムは、情報処理能力を有するシステムに、そのまま、あるいはａ）他の言語、コードまたは表記法への変換、ｂ）異なる材料形態への複製のいずれかまたは両方の後で、特定の機能を実施させるように意図した命令セットの任意の言語、コード、または表記法による任意の表現を意味する。

複数の参加ネットワーク装置およびディストリビュータを含む典型的な非同期式ネットワークを示す図である。 非同期式の検証可能なシークレット共有スキームの概略図である。 同報通信なしの非同期式の検証可能なシークレット共有スキームの概略図である。 参加ネットワーク装置が構造化された形で分布するシナリオを示す図である。

Claims (9)

1. 非同期式ネットワークを介してｎ台の参加ネットワーク装置（Ａ、Ｂ、Ｃ）間でシークレット値（ｘ）を共有する方法であって、前記ｎ台の参加ネットワーク装置（Ａ、Ｂ、Ｃ）が、ｔ台の障害のある装置と、前記シークレット値（ｘ）を再構築することが可能なｋ台の副次装置とを備え、ｔ＜ｎ／３かつｋ＜ｎであり、前記シークレット値（ｘ）がディストリビュータ（Ｄ）によって提供され、
   前記ディストリビュータ（Ｄ）が、リニア・シークレット共有スキームを適用することにより前記シークレット値（ｘ）の共有値（ｓ_ｉ）および副次共有値（ｓ_ｉｊ）を導き出し、前記共有値（ｓ_ｉ）および前記副次共有値（ｓ_ｉｊ）の妥当性の検証のために使用可能な検証値
   

   

   を導き出すステップと、
   各参加ネットワーク装置（Ａ、Ｂ、Ｃ）に対して前記対応する副次共有値（ｓ_Ａｉ、ｓ_ｉＡ、ｓ_Ｂｉ、ｓ_ｉＢ、ｓ_Ｃｉ、ｓ_ｉＣ）を含む共有メッセージを送信するステップと、
   前記検証値
   

   

   を含む検証メッセージを同報通信するステップと、
   少なくともｌ台（ｎ−ｔ≧ｌ≧２ｔ＋１）の参加ネットワーク装置（Ａ、Ｂ、Ｃ）が前記検証値
   

   

   を含む前記検証メッセージを受信し、各参加ネットワーク装置（Ａ、Ｂ、Ｃ）について、以下のステップ１）ないし４）、すなわち
   １）副次共有値（ｓ_ｉｊ）を含む前記共有メッセージを受信した場合に、前記検証値
   

   

   に基づいて前記副次共有値（ｓ_ｉｊ）の妥当性を判定するステップと、
   ２）判定結果が肯定的な場合に、合意値（Ｙ）を含む合意メッセージを同報通信するステップと、
   ３）前記合意値（Ｙ_Ａ、Ｙ_Ｂ、Ｙ_Ｃ）を含むｌ個の合意メッセージを受信するステップと、
   ４）ｌ個の合意メッセージを受信した場合に、前記ディストリビュータ（Ｄ）によって送信された前記共有メッセージ、または参加ネットワーク装置（Ａ、Ｂ、Ｃ）から受信した副次共有値（ｓ_ｉｊ）のいずれかから前記共有値（ｓ_ｉ）を得て、前記検証値
   

   

   に基づいて前記副次共有値（ｓ_ｉｊ）の妥当性を判定するステップと
   を実施するステップとを含む方法。
2. 非同期式ネットワークを介してｎ台の参加ネットワーク装置（Ａ、Ｂ、Ｃ）間でシークレット値（ｘ）を共有する方法であって、前記ｎ台の参加ネットワーク装置（Ａ、Ｂ、Ｃ）が、ｔ台の障害のある装置と、前記シークレット値（ｘ）を再構築することが可能なｋ台の副次装置とを備え、ｔ＜ｎ／３かつｋ≦ｎ−ｔであり、前記シークレット値（ｘ）がディストリビュータ（Ｄ）によって提供され、
   前記ディストリビュータ（Ｄ）が、リニア・シークレット共有スキームを適用することにより前記シークレット値（ｘ）の共有値（ｓ_ｉ）および副次共有値（ｓ_ｉｊ）を導き出し、前記共有値（ｓ_ｉ）および前記副次共有値（ｓ_ｉｊ）の妥当性の検証のために使用可能な検証値
   

   

   を導き出すステップと、
   各参加ネットワーク装置（Ａ、Ｂ、Ｃ）に対して前記対応する副次共有値（ｓ_Ａｉ、ｓ_ｉＡ、ｓ_Ｂｉ、ｓ_ｉＢ、ｓ_Ｃｉ、ｓ_ｉＣ）と前記検証値
   

   

   とを含む第１のメッセージを送信するステップと、
   少なくとも２ｔ＋１台の参加ネットワーク装置（Ａ、Ｂ、Ｃ）について、各参加ネットワーク装置（Ａ、Ｂ、Ｃ、指標ｉ付き）ごとに以下のステップ、すなわち
   ｉ）副次共有値（ｓ_ｉｊ、ｓ_ｊｉ）を含む前記第１のメッセージを受信した場合に、前記検証値
   

   

   に基づいて前記副次共有値（ｓ_ｉｊ、ｓ_ｊｉ）の妥当性を判定するステップと、
   ｉｉ）判定結果が肯定的な場合に、前記受信した副次共有値（ｓ_ｉｊ、ｓ_ｊｉ）から、他の参加ネットワーク装置（Ａ、Ｂ、Ｃ、指標ｍ付き）と共通の関連した副次共有値（ｓ_ｉm、ｓ_mｉ）を導き出し、各参加ネットワーク装置（Ａ、Ｂ、Ｃ、指標ｍ付き）に対して前記検証値
   

   

   および前記関連した副次共有値（ｓ_ｉm、ｓ_mｉ）を含む第２のメッセージを送信するステップと、
   ｉｉｉ）１台の参加ネットワーク装置（Ａ、Ｂ、Ｃ、指標ｊ付き）から前記第２のメッセージを受信した場合に、前記検証値
   

   

   に基づいて前記受信した副次共有値（ｓ_ｉｊ、ｓ_ｊｉ）の妥当性を判定するステップと、
   ｉｖ）２ｔ＋１個の受信した第２のメッセージについて判定結果が肯定的な場合に、各参加ネットワーク装置（Ａ、Ｂ、Ｃ、指標ｍ付き）に対して前記検証値
   

   

   および前記関連した副次共有値（ｓ_ｉm、ｓ_mｉ）を含む第３のメッセージを送信し、第１のメッセージを受信していない場合には、前記受信した第２のメッセージから前記関連した副次共有値（ｓ_ｉm、ｓ_mｉ）を導き出すステップと、
   ｖ）１台の参加ネットワーク装置（Ａ、Ｂ、Ｃ、指標ｊ付き）から前記第３のメッセージを受信した場合に、前記検証値
   

   

   に基づいて前記受信した副次共有値（ｓ_ｉｊ、ｓ_ｊｉ）の妥当性を判定するステップと、
   ｖｉ）ｔ＋１個の受信した第３のメッセージについて判定結果が肯定的で、かつ第３のメッセージをまだ送信していない場合に、各参加ネットワーク装置（Ａ、Ｂ、Ｃ、指標ｍ付き）に対して前記検証値
   

   

   および前記関連した副次共有値（ｓ_ｉm、ｓ_mｉ）を含む１つの第３のメッセージを送信し、第１のメッセージをまだ受信していない場合には、前記受信した第２または第３のメッセージから前記関連した副次共有値（ｓ_ｉm、ｓ_mｉ）を導き出すステップと、
   ｖｉｉ）２ｔ＋１個の受信した第３のメッセージについて判定結果が肯定的な場合に、前記受信した第１、第２、または第３のメッセージから前記共有値（ｓ_ｉ）を導き出すステップと
   を実施するステップとを含む方法。
3. ステップ１）が、各参加ネットワーク装置（Ａ、Ｂ、Ｃ）に対してその副次共有値（ｓ_ｉｊ）および追加の検証値を送信するステップと、ｌ個の追加の検証値を受信するとすぐ、前記受信した追加の検証値に基づいて前記検証値
   

   

   を変更するステップとをさらに含む、請求項１に記載の方法。
4. 参加ネットワーク装置（Ａ、Ｂ、Ｃ）から受信した副次共有値（ｓ_ｉｊ）から前記共有値（ｓ_ｉ）を得るステップが、コンプレイン・メッセージをすべての参加ネットワーク装置に同報通信するステップと、前記コンプレイン・メッセージに応答して送信された前記副次共有値（ｓ_ｉｊ）を受信するステップとをさらに含む、請求項１に記載の方法。
5. 前記検証値
   

   

   が、前記リニア・シークレット共有スキームに対応する暗号群Ｇから共通数（ｇ）を選択すること、および前記選択された共通数（ｇ）を、前記副次共有値（Ｓ _ｉｊ ）のべき乗によって、前記検証値
   

   

   を導き出すことにより導き出される、請求項１ないし４のいずれか一項に記載の方法。
6. 前記検証値
   

   

   がハッシュ関数を使用して導き出されるハッシュ値が一致することにより取得される、請求項１ないし５のいずれか一項に記載の方法。
7. いくつかのシークレット値が共有値（ｓ _ｉ ）および副次共有値（ｓ _ｉｊ ）として同時に共有される、請求項１ないし６のいずれか一項に記載の方法。
8. 請求項１ないし７のいずれか一項に記載の方法をコンピュータに実行させるプログラム。
9. 請求項１ないし７のいずれか一項に記載の方法をコンピュータに実行させるプログラムを記録した、コンピュータ可読記録媒体。

Images