JP4748663B2 - 秘密計算方法及びシステム、並びにプログラム - Google Patents

Description

本発明は、情報セキュリテイの技術分野に関し、特に暗号技術を応用し、関数への入力値を知ることなく、当該関数の計算および出力結果の取得を可能とする技術に関する。

従来、関数への入力値を知ることなく、当該関数の計算および出力結果の取得を可能とする手段としては、例えば、非特許文献１で提案されている技術（以降これをＳＴ04と略記する）がある。ＳＴO4を用いれば、ある（複数の）数値に対して、ある暗号アルゴリズムを用いて変換することで当該数値を秘匿し、当該変換された数値を入力として、ある複数の装置が計算に協力することで、入力の（元の）数値を漏らすことなく関数の出力結果を得ることができる。更に出力結果の正当性、すなわち各装置が正しい処理を行ったかどうかを検証することもできる。以降、関数への入力値を知ることなく、当該関数の計算および出力結果の取得が可能な方法を便宜上、秘密計算方法と呼ぶことにする。

ＳＴO4では、非特許文献１の中で明記している暗号アルゴリズムＥに対して、ａ，ｂ（ａ，ｂは０または１のどちらかであるとする）の暗号文Ｅ（ａ），Ｅ（ｂ）が与えられれば、ある複数の装置が計算に協力することで、ａ，ｂを知らなくともａ＋ｂの暗号文Ｅ（ａ＋ｂ）、および暗号文Ｅ（ａ＊ｂ）を求めることができる。便宜上、ここで「＊」は排他的論理和を意味するとする。「＋」は論理和である。また、例えば非特許文献２で提案されている分散復号技術を用いることで、一定数以上の装置が復号計算に協力した暗号文（例えばＥ（ａ＋ｂ）やＥ（ａ＊ｂ））に限り復号できる。

Ｂ．Ｓchoenmakers and Ｐ．Ｔuyls，"Ｐractical Ｔwo‐Ｐarty Ｃomputation based on the Ｃonditional Ｇates，"ＡＳＩＡＣＲＹＰＴ ２００４，Ｄec．２００４． Ｔ.Ｒ.Ｐedersen,"Ａ threshold cryptosystem without a trusted party,"Ａdvances in Ｃrytology−ＥＵＲＯＣＲＹＰＴ ’91,ＬＮＣＳ ５４７,pp.５２２−５２６,Ｓpringer−Ｖerlag,１９９１.

０または１からなる入力の数値が暗号化された状態のまま、当該数値の加算および排他的論理和の結果（の暗号文）を求めることができれば、当該数値の論理和（ＯＲ）および論理積（ＡＮＤ）の結果（の暗号文）を求めることができる。すなわち、理論的には、入力の数値が暗号化された状態のまま多くの関数を計算できることになる。この機能を秘密計算と呼ぶことにする。

秘密計算を実現する方式としては、上記のＳＴ０４がある。しかしながら、ＳＴ０４では、暗号文Ｅ（ａ），Ｅ（ｂ）からＥ（ａ＊ｂ）を計算するためには、一旦、Ｅ（ａ）をある変換規則に基づいてＥ（２ａ−１）に変換する必要があった。本発明の一番目の課題は、Ｅ（２ａ−１）への変換を不要とすることで計算時間を削除した秘密計算を実現することである。

また、ＳＴ０４は、処理の正当性をゼロ知識証明技術を用いて証明するために、参加者がある文字列を共有する必要があった。本発明の二番目の課題は、共有の必要性をなくすことで、ゼロ知識証明に要する計算時間、通信時間を削減できる秘密計算を実現することである。

Ｇをある有限体上で定義された楕円曲線の有理点からなる群とし、ＰをＧの元とする。Ｐの位数をｐとする。そして、秘密鍵ｘ∈｛１,…,ｐ｝に対してＱ＝ｘＰとし、（Ｇ,ｐ,Ｐ,Ｑ）を公開鍵とする。

このとき、平文ａ（ａ∈｛０，１｝）を暗号化する暗号関数Ｅを次のように定義する。
Ｅ（ａ,ｒ）＝（Ａ,Ｂ）＝（ｒＰ,（ｒ＋ａ）Ｑ）
ここでｒは１以上ｐ以下の乱数である。

復号処理はｘＡを計算すれば良く、これにより

が成り立つことから、秘密鍵ｘを用いることで容易にＥ（ａ,ｒ）を復号できる。するとａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）,Ｅ（ｂ,ｓ）からａ＋ｂの暗号文を求めることは容易である。すなわち、Ｅ（ａ,ｒ）＋Ｅ（ｂ,ｓ）＝（（ｒ＋ｓ）Ｐ,（ｒ＋ａ＋ｓ＋ｂ）Ｑ）が成り立つことから、この操作によりａ＋ｂの暗号文Ｅ（ａ＋ｂ,ｒ＋ｓ）＝Ｅ（ａ,ｒ）＋Ｅ（ｂ,ｓ）が得られる。

次に、ａ，ｂ∈｛０,１｝としてＥ（ａ,ｒ）,Ｅ（ｂ,ｓ）からａ＊ｂの暗号文を求める方法の概略を説明する。これが本発明の主要部分となる。なお、ａ＊ｂないしｂ＊ａは、ａ＝０のときｂ、ａ＝１のとき１−ｂと定義する。また、ｂ，ｂ∈｛０，１｝の暗号文Ｅ（ａ，ｒ）（＝（Ａ，Ｂ），Ｅ（ｂ，ｓ）（＝（Ｘ，Ｙ）は制御装置へ事前に与えられているとする。
先ず、暗号文変換装置が制御装置より（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ）），Ｅ（ｂ，ｓ）（＝（Ｘ，Ｙ））を入力として以下の処理を行う。
１.ランダムビットｅおよび１以上ｐ以下の乱数ｔ，ｕを生成する。
２．以下に従って（Ａ′,Ｂ′），（Ｘ′，Ｙ′）を求め、（Ａ′,Ｂ′）を複数の復号装置に送信し、（Ｘ′，Ｙ′）を制御装置に送信する。

次に、複数の復号装置が（Ａ′,Ｂ′）を入力として分散復号を行い、その処理結果を制御装置に送信することで、制御装置は（Ａ′,Ｂ′）の復号結果ｃを得る。このときｃ＝ａ＊ｅが成り立つ。一方、（Ｘ′，Ｙ′）は平分ｂ＊ｅに対する暗号文となる。

制御装置は、当該復号結果ｃ∈｛０,１｝について以下の処理を行う。
１.１以上ｐ以下の乱数ｗを生成する。
２.以下に従って（Ｃ,Ｄ）を求める。

このとき（Ｃ，Ｄ）は平文（ａ＊ｅ）＊（ｂ＊ｅ）＝ａ＊ｂに対する暗号文となる。
上記の操作により制御装置はａ＊ｂの暗号文、すなわち（Ｃ,Ｄ）を得ることができる。

本発明の秘密計算によれば、（Ａ，Ｂ），（Ｘ，Ｙ）から（Ａ′,Ｂ′），（Ｘ′，Ｙ′）を計算する処理（これを［処理１］とする）、および（Ｃ，Ｄ）の計算（これを［処理２］とする）において、従来技術ＳＴ０４のように、Ｅ（ａ）をＥ（ａ′）（ａ′＝２ａ−１）とする変換を必要としないため、計算時間の削減が期待できる。また、ＳＴ０４では処理の正当性をゼロ知識証明する際、参加者がコミットメント文字列を共有する必要があったが、本発明においては、後述のようにその必要がない。そのため、ゼロ知識証明を要する計算時間、通信時間ともに削減が期待できる。

以下、本発明の実施の形態について図面を用いて詳細に説明する。

［第１の実施の形態］
第１の実施の形態におけるシステム構成は、図１に示すように、同一のネットワーク１００で結ばれた、１０の暗号文生成装置１,…,Ｎ（Ｎは適当な自然数）、制御装置２０、暗号文変換装置３０、および４０の復号装置１,２からなる。ここで復号装置を複数に設定しているのは、復号装置が単一であれば、当該復号装置は入力の数値の暗号文も復号できる権限を持つことになり、明らかに本発明が取り上げている課題を解決できないが、本実施の形態のように復号装置を複数に設定すれば、分散復号技術を用いて、それら復号装置が結託しない限りは入力の数値を知ることが困難とできるためである。なお、本実施の形態では、簡単に復号装置の数は２としたが、一般に２以上いくつでもよい。

はじめに本発明で用いる暗号方式について、図２の処理シーケンス図を参照して説明する。
制御装置２０は、有限体および楕円曲線を生成するためのパラメータを与えることで有限体および楕円曲線をそれぞれ一つずつ決定し（Ｓ１０１）、更に当該有限体上で定義された当該楕円曲線の有理点からなる群Ｇを決定する（Ｓ１０２）。また、Ｇの元を一つ選び、これをＰとする（Ｓ１０３）。次に、Ｐの位数ｐを計算する（Ｓ１０４）。そして、（Ｇ,ｐ,Ｐ）の組を復号装置４０（ｉ）（ｉ＝１,２）に送信する。

復号装置４０（ｉ）は、（Ｇ,ｐ,Ｐ）を入力として、１以上ｐ以下の乱数ｘ_iを生成後、Ｑ_i＝ｘ_iＰを計算し、Ｑ_iを制御装置２０に送信する（Ｓ１０５〜Ｓ１０８）。ここでは、復号装置４０（１）は乱数ｘ₁を生成し（Ｓ１０５）、Ｑ₁＝ｘ₁Ｐを計算して（Ｓ１０６）、当該Ｑ₁を制御装置２０に送信し、また、復号装置４０（２）は乱数ｘ₂を生成し（Ｓ１０７）、Ｑ₂＝ｘ₂Ｐを計算して（Ｓ１０８）、Ｑ_２を制御装置２０に送信する。

制御装置２０は、Ｑ＝Ｑ₁＋Ｑ₂を計算し（Ｓ１０９）、（Ｇ,ｐ,Ｐ,Ｑ）を公開する（Ｓ１１０）。

以上の準備の下、先ず本発明で用いる暗号化処理について説明する。
平文ａ∈｛０,１｝を暗号化する暗号関数Ｅを
Ｅ（ａ,ｒ）＝（Ａ,Ｂ）＝（ｒＰ,（ｒ＋ａ）Ｑ）
と定義する。ここでｒは１以上ｐ以下の乱数である。

次に復号処理について説明する。
いま、ｘ＝ｘ₁＋ｘ₂とおくと、ｘＡを計算すればＥ（ａ,ｒ）を復号できる。すなわち、

が成り立つことから、ｘＡ＝Ｂであれば復号結果を“０”とし、ｘＡ＝Ｂ−Ｑであれば“１”とする。なお当該計算に関わる装置が全て正しい処理を行えばｘＡ＝ＢまたはｘＡ＝Ｂ−Ｑの何れかが成り立つことは明らかである。したがって秘密鍵ｘを用いることで容易にＥ（ａ,ｒ）を復号できる。ただし実際の復号手順としては、復号装置ｉ（ｉ＝１,２）がｘ_iＡを計算、公開し、その後、制御装置２０がｘＡ＝ｘ₁Ａ＋ｘ₂Ａを求め、復号結果を得ることになる。

次に具体的な秘密計算方法として、基本論理ゲート（ＮＯＴ,ＡＮＤ,ＯＲ,ＮＡＮＤ,ＮＯＲ）に対する秘密計算方法の手順について説明する。ここで基本論理ゲートヘの入力となるａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）,Ｅ（ｂ,ｓ）は、上記の暗号化処理方法を用いて暗号文生成装置１０（１）,…,（Ｎ）の何れかによって生成されたものであり、当該暗号文は制御装置２０へ事前に与えられていると仮定する。なおここではどの暗号文生成装置１０がＥ（ａ,ｒ）,Ｅ（ｂ,ｓ）を生成したかについては言及しないが、実際、当該二つの暗号文は同一の装置によって生成される必要はなく、一般に用途によって異なると考えられる。

基本論理ゲート（ＮＯＴ、ＡＮＤ,ＯＲ、ＮＡＮＤ,ＮＯＲ）を表す論理関数は、排他的論理和（＊）、加減算、および定数倍を用いてそれぞれ以下とできる。

先ずＮＯＴの処理について説明する。この処理は単純で、制御装置２０は,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を入力とし、１−ａの暗号文（Ａ′,Ｂ′）＝（−Ａ,−Ｂ＋Ｑ）を計算し、当該暗号文を取得すれば良い。ここで、

であるから、（Ａ′,Ｂ′）＝Ｅ（１−ａ，−ｒ）が成り立ち、（Ａ′,Ｂ′）は１−ａの暗号文、すなわちＦ_NOT（ａ）の暗号文となることが分かる。したがって制御装置２０は、ａの暗号文Ｅ（ａ,ｒ）から、ａを知ることなくＦ_NOT（ａ）の暗号文を計算することができ、更には当該暗号文を取得することができる。

次に定数倍について説明する。この処理も単純で、制御装置２０は、定数ｋおよびＥ（ａ，ｒ）（＝（Ａ，Ｂ））を入力とし、ｋａの暗号文（Ａ′，Ｂ′）＝（ｋＡ，ｋＢ）を計算し、当該暗号文を取得すれば良い。ここで、

であるから、（Ａ′，Ｂ′）＝Ｅ（ｋａ，ｋｒ）が成り立ち、（Ａ′，Ｂ′）はｋａの暗号文となることが分かる。したがって制御装置２０は、定数ｋ、およびａの暗号文Ｅ（ａ，ｒ）から、ａを知ることなくｋａの暗号文を計算することができ、更には当該暗号文を取得することができる。

次に排他的論理和の処理について、図３の処理シーケンス図を参照して説明する。これが本実施の形態の主要部分となる。
各装置は（Ｇ，ｐ，Ｐ，Ｑ）を保持しているとする。また、ａ，ｂ∈｛０，１｝の暗号文Ｅ（ａ，ｒ）（＝Ａ，Ｂ），Ｅ（ｂ，ｓ）（＝Ｘ，Ｙ））は、暗号文生成装置１０（ｉ），（ｊ）から制御装置２０へ事前にあたえられているとする。
先ず、制御装置２０は、Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））とＥ（ｂ，ｓ）（＝（Ｘ，Ｙ））を暗号文変換装置３０に送信する。

暗号文変換装置３０は（Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））とＥ（ｂ，ｓ）（＝（Ｘ，Ｙ））を入力とし、以下の処理を行う。
１．ランダムビットｅおよび１以上ｐ以下の乱数ｔ，ｕを生成する（Ｓ１１１）。
２．以下に従って暗号文（Ａ′,Ｂ′），（Ｘ′,Ｙ′）を計算する（Ｓ１１２）。

暗号文変換装置３０は、暗号文（Ａ′,Ｂ′）を復号装置４０（１）、復号装置４０（２）に送信する。また、暗号文（Ｘ′,Ｙ′）を制御装置２０に送信する。

復号装置４０（１）は（Ａ′,Ｂ′）を入力とし、ｘ₁Ａ′を計算し、それを制御装置２０に送信する（Ｓ１１３）。同様に、復号装置４０（２）は（Ａ′,Ｂ′）を入力とし、ｘ₂Ａ′を計算し、それを制御装置２０に送信する（Ｓ１１４）。

制御装置２０はｘＡ′＝ｘ₁Ａ′＋ｘ₂Ａ′を計算する（Ｓ１１５）。そして、ｘＡ′＝Ｂ′であれば（Ａ′,Ｂ′）の復号結果ｃを“０”、それ以外（ｘＡ′＝Ｂ′−Ｑ）であれば“１”とする（Ｓ１１６〜Ｓ１１８）。その後、当該復号結果ｃ∈｛０,１｝について以下の処理を行う。
１．１以上ｐ以下の乱数ｗを生成する（Ｓ１１９）。
２．以下に従って暗号文（Ｃ,Ｄ）を計算する（Ｓ１２０）。

なお、上記の（Ａ′,Ｂ′）から復号結果ｃを求める処理は分散復号とよばれる処理であるが、先の［非特許文献２］によれば、ｋ（＞２）台の復号装置が復号処理に協力した場合に限り復号が可能であり、また、より一般的にｎ台中、任意のｋ台の復号装置が復号処理に協力した場合に限り復号が可能とすることもできる（ここでｎ,ｋは任意数の設定が可能な値）。しかしここでは、その処理手順については［非特許文献２］からも明らかであるため説明を省略する。

ここで当該復号結果ｃについて、ｃ＝ａ＊ｅ（排他的論理和）が成り立つことを確認しておく。ｅ＝０であれば、（Ａ′,Ｂ′）＝（（ｒ＋ｔ）Ｐ,（ｒ＋ａ＋ｔ）Ｑ）であるから、（Ａ′,Ｂ′）＝Ｅ（ａ,ｒ＋ｔ）が成り立つ。すなわちｃ＝ａ＝ａ＊０が成り立つ。一方ｅ＝１であれば、（Ａ′,Ｂ′）＝（（−ｒ＋ｔ）Ｐ,（−ｒ−ａ＋ｔ＋１）Ｑ）＝（（ｔ−ｒ）Ｐ,（（ｔ−ｒ）＋（１−ａ））Ｑ）であるから、（Ａ′,Ｂ′）＝Ｅ（１−ａ,ｔ−ｒ）が成り立つ。すなわちｃ＝１−ａ＝ａ＊１が成り立つ。したがって、ｃ＝ａ＊ｅが成り立つことが分かる。

そして同様の説明により、（Ｘ′,Ｙ′）がｂ′＝ｂ＊ｅの暗号文であることが分かる。したがって、（Ｃ,Ｄ）はｂ＊ｅ＊ｃ＝ａ＊ｂの暗号文である。
上記の処理により、制御装置２０はａ,ｂを知ることなく、ａ＊ｂの暗号文、すなわち（Ｃ,Ｄ）を得ることができる。制御装置２０は、必要に応じ（Ｃ,Ｄ）を出力する（Ｓ１２１）。

以上より、制御装置２０は、暗号文変換装置３０および復号装置４０（１）,（２）の協力により、ａの暗号文Ｅ（ａ,ｒ）およびｂの暗号文Ｅ（ｂ,ｓ）から、ａ,ｂを知ることなくａ＊ｂの暗号文を計算することができ、更には当該暗号文を取得することができる。

最後にＡＮＤ，ＯＲ，ＮＡＮＤ，ＮＯＲの処理についてまとめて説明する。これらの処理は排他的論理和の処理を用いれば後は単純で、制御装置２０はＥ（ａ,ｒ）（＝（Ａ,Ｂ））,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））,（Ｃ′,Ｄ′）を入力とし（ここで（Ｃ′,Ｄ′）はａｂの暗号文）、それぞれ

を計算し、当該暗号文を取得すれば良い。ここで今までの説明からＥ_AND,Ｅ_OR,Ｅ_NAND,Ｅ_NORはそれぞれＦ_AND（ａ,ｂ）,Ｆ_OR（ａ,ｂ）,Ｆ_NAND（ａ,ｂ）,Ｆ_NOR（ａ,ｂ）の暗号文となることは明らかである。したがって制御装置２０は、暗号文変換装置３０および復号装置４０（１）,（２）の協力により、ａの暗号文Ｅ（ａ,ｒ）およびｂの暗号文Ｅ（ｂ,ｓ）から、ａ,ｂを知ることなく、Ｆ_AND（ａ,ｂ）,Ｆ_OR（ａ,ｂ）,Ｆ_NAND（ａ,ｂ）,Ｆ_NOR（ａ,ｂ）の暗号文を計算することができ、更には当該暗号文を取得することができる。

以上、基本論理ゲートに対する秘密計算方法の手順について説明したが、各装置が、Ｅ（ａ,ｒ）,Ｅ（ｂ,ｓ）からａ,ｂを求めることが困難であれば、いずれかの装置の結託が無い限りは、基本論理ゲートに対する秘密計算方法を実行した場合においてもａ,ｂは保護できる。

［第２の実施の形態］
第１の実施の形態では、暗号文変換装置または復号装置が不正な処理を行うことで容易に結果を改ざんすることができてしまう。また、制御装置と暗号文変換装置が不正結託すれば、当該装置はａ,ｂを知り得てしまう（例えばｃ＝ａ＊ｅを知る制御装置とｅを知る暗号文変換装置が結託すれば、容易にａが求まることが分かる）。第２の実施の形態は、上記の問題点を解決する方法の一例を提案するものである。

第２の実施の形態におけるシステム構成は、図４に示すように、同一のネットワーク１００で結ばれた、１０の暗号文生成装置（１）,…,（Ｎ）、制御装置２０、３０の暗号文変換装置（１）,（２）、４０の復号装置（１）,（２）、および検証装置５０からなる。このように、第２の実施形態では不正結託による耐性を高めるために暗号文変換装置３０を複数に設定しており、更に暗号文変換装置３０および復号装置４０が不正処理をした場合にそれが検出できるように検証装置５０を必要とする。なお、暗号文変換装置は、その数を増加すればするほど、不正結託による耐性を高めることができるが、ここでは説明の簡単化のために２とする。

第１の実施の形態における基本論理ゲートに対する秘密計算方法では、排他的論理和を計算する処理以外、すなわちａ,ｂの暗号文Ｅ（ａ,ｒ）、Ｅ（ｂ,ｓ）からａ＊ｂの暗号文（Ｃ′,Ｄ′）を求める処理以外は、秘密鍵や乱数などの秘密情報を必要とせず一意に結果が求まる。言い換えれば、排他的論理和を計算する処理以外は任意の装置が同じ処理を再現することが可能であり、これにより特別な検証処理は不要となる。したがって、ここでは、第１の実施の形態で示した、排他的論理和を計算する処理における、暗号文変換装置および復号装置の処理正当性を検証することが可能な秘密計算方法を説明する。

図５（Ａ）〜（Ｃ）に第２の実施の形態における処理シーケンス図を示す。ここでも、各装置は（Ｇ,ｐ,Ｐ,Ｑ）を保持しているとする。また、ａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））は、暗号文生成装置１０（ｉ）,（ｊ）から制御装置２０へ事前に与えられているとする。

先ず、制御装置２０は、Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））とＥ（ｂ，ｓ）（＝（Ｘ，Ｙ））を暗号文変換装置３０（１）へ送信する。以下ではａ∈｛０，１｝と仮定し、ａ＊ｂ乃至ｂ＊ａは、ａ＝０のときｂ，ａ＝１のとき１−ｂと定義する。

暗号文変換装置３０（１）はＥ（ａ,ｒ）（＝（Ａ,Ｂ））とＥ（ｂ，ｓ）（＝（Ｘ，Ｙ））を入力とし、以下の処理を行う。
１．ランダムビットｅ₁および１以上ｐ以下の乱数ｔ₁，ｕ₁を生成する（Ｓ２０１）。
２．以下の［数１１］に従って暗号文（Ａ′,Ｂ′），（Ｘ′,Ｙ′）を求め（Ｓ２０２）、当該暗号文（Ａ′,Ｂ′），（Ｘ′,Ｙ′）を暗号文変換装置３０（２）および検証装置５０に送信する。

３．（Ａ′,Ｂ′），（Ｘ′,Ｙ′）が［数１１］の関係を満たしていることを検証装置５０にゼロ知識証明する（Ｓ２０３，Ｓ２０４）。

ゼロ知識証明は、文献「Ｒ.Ｃramer,Ｉ.Ｄamgard and Ｂ.Ｓchoenmakers,“Ｐroofs of partialknowledge and Ｓimplified design of withss hiding protocols,”Ａcvances in Ｃryptology−ＣＲＹＰＴＯ ′９４」ＬＮＣＳ ８３９,pp．１７４−１８７,Ｓpringer−Ｖerlag,１９９４．」（以下、非特許文献３と称す）および文献「Ｄ.Ｌ.Ｃhaum and Ｔ.Ｐ.Ｐedersen“Ｗallet databases with observers,”Ａcvances in Ｃryptology−ＣＲＹＰＴＯ ’92,ＬＮＣＳ ７４０,pp.８０−１０５,Ｓpringer−Ｖerlag,１９９３」（以下、非特許文献４と称す）の方法を組み合わせて行うとする。

（Ａ′,Ｂ′），（Ｘ′,Ｙ′）が［数１１］の関係を満たすことを示すためには、（Ａ，Ｂ）に対する計算と（Ｘ，Ｙ）に対する計算では共通のｅ_１が用いられていることから、（Ａ′,Ｂ′）＝（Ａ＋ｔ_１Ｐ，Ｂ＋ｔ_１Ｑ）または（Ａ′,Ｂ′）＝（−Ａ＋ｔ_１Ｐ，−Ｂ＋（ｔ_１＋１）Ｑ）が成り立つことと（Ｘ′,Ｙ′）＝（Ｘ＋ｕ_１Ｐ，Ｙ＋ｕ_１Ｑ）または（Ｘ′,Ｙ′）＝（−Ｘ＋ｕ_１Ｐ，−Ｙ＋（ｕ_１＋１）Ｑ）が成り立つことを示すだけでは不十分であり、
［命題１］
「(Ａ′,Ｂ′)＝(Ａ＋ｔ_１Ｐ,Ｂ＋ｔ_１Ｑ)かつ(Ｘ′,Ｙ′)＝(Ｘ＋ｕ_１Ｐ,Ｙ＋ｕ_１Ｑ)」
または、
「（Ａ′,Ｂ′）＝（−Ａ＋ｔ_１Ｐ，−Ｂ＋（ｔ_１＋１）Ｑ）かつ
（Ｘ′,Ｙ′）＝（−Ｘ＋ｕ_１Ｐ，−Ｙ＋（ｕ_１＋１）Ｑ）」
であることを示さなければならない。

［命題１］は次の［命題１′］と同値である。
［命題１′］
「（Ａ′,Ｂ′）＝（Ａ＋ｔ_１Ｐ，Ｂ＋ｔ_１Ｑ）または
（Ａ′,Ｂ′）＝（−Ａ＋ｔ_１Ｐ，−Ｂ＋（ｔ_１＋１）Ｑ）」
かつ
「（Ａ′,Ｂ′）＝（Ａ＋ｔ_１Ｐ，Ｂ＋ｔ_１Ｑ）または
（Ｘ′,Ｙ′）＝（−Ｘ＋ｕ_１Ｐ，−Ｙ＋（ｕ_１＋１）Ｑ）」
かつ
「（Ｘ′,Ｙ′）＝（Ｘ＋ｕ_１Ｐ，Ｙ＋ｕ_１Ｑ）または
（Ａ′,Ｂ′）＝（−Ａ＋ｔ_１Ｐ，−Ｂ＋（ｔ_１＋１）Ｑ）」
かつ
「（Ｘ′,Ｙ′）＝（Ｘ＋ｕ_１Ｐ，Ｙ＋ｕ_１Ｑ）または
（Ｘ′,Ｙ′）＝（−Ｘ＋ｕ_１Ｐ，−Ｙ＋（ｕ_１＋１）Ｑ）」

［命題１′］のゼロ知識証明を与えるために、まず、以下で与える［プトロコル１］を定義する。これは［非特許文献３］および［非特許文献４］の方法を組み合わせたゼロ知識証明である。

［プロトコル１］は、Ｐを底としたＰ₀の離散対数とＱを底としたＱ₀の離散対数が等しい、あるいは、Ｐを底としたＰ₁の離散対数とＱを底としたＱ₁の離散対数が等しいことを、ゼロ知識証明技術を用いて証明するプロトコルである。

［プロトコル１］
入力：（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀）,（Ｐ₁,Ｑ₁））
証明者の秘密情報：（ｅ,ｔ）
１．証明者は以下に従って（ｚ₀,ｚ₁,ｃ₀,ｃ₁）を求め、それを検証者に送信する。
（ａ）１以上ｐ以下の乱数ｒ,ｒ′,ｃ_1-eを生成する。
（ｂ）Ｒ_P,e＝ｒＰ,Ｒ_Q,e＝ｒＱ,Ｒ_P,1-e＝ｒ′Ｐ−ｃ_1-eＰ_1-e,Ｒ_Q,1-e＝ｒ′Ｑ−ｃ_1-eＱ_1-e,ｃ_e＝Ｈ（Ｒ_P,0‖Ｒ_Q,0‖Ｒ_P,1‖Ｒ_Q,1）−ｃ_1-e,ｚ_e＝ｒ＋ｃ_eｔ,ｚ_1-e＝ｒ′を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
２．検証者はｃ₀＋ｃ₁＝Ｈ（ｚ₀Ｐ−ｃ₀Ｐ₀‖ｚ₀Ｑ−ｃ₀Ｑ₀‖ｚ₁Ｐ−ｃ₁Ｐ₁‖ｚ₁Ｑ−ｃ₁Ｑ₁）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。

暗号文変換装置３０（１）は、［命題１′］のゼロ知識証明を、下記の手続きにより上記［プトロコル１］を４回実行して得て、証明を暗号文の出力とともに検証装置５０に送信する。
［証明１］
「（Ａ′,Ｂ′）＝（Ａ＋ｔ_１Ｐ，Ｂ＋ｔ_１Ｑ）または
（Ａ′,Ｂ′）＝（−Ａ＋ｔ_１Ｐ，−Ｂ＋（ｔ_１＋１）Ｑ）」
を［プロトコル１］を用いて証明。すなわち、［プロトコル１］において、
（（Ｇ，ｐ，Ｐ，Ｑ），（Ｐ_０，Ｑ_０），（Ｐ_１，Ｑ_１））←（（Ｇ，ｐ，Ｐ，Ｑ），（Ａ′−Ａ，Ｂ′−Ｂ），（Ａ＋Ａ′,Ｂ＋Ｂ′−Ｑ））と代入すればよい。
［証明２］
「（Ａ′,Ｂ′）＝（Ａ＋ｔ_１Ｐ，Ｂ＋ｔ_１Ｑ）または
（Ｘ′,Ｙ′）＝（−Ｘ＋ｕ_１Ｐ，−Ｙ＋（ｕ_１＋１）Ｑ）」
を［プロトコル１］を用いて証明。すなわち、［プロトコル１］において、
（（Ｇ，ｐ，Ｐ，Ｑ），（Ｐ_０，Ｑ_０），（Ｐ_１，Ｑ_１））←（（Ｇ，ｐ，Ｐ，Ｑ），（Ａ′−Ａ，Ｂ′−Ｂ），（Ｘ＋Ｘ′,Ｙ＋Ｙ′−Ｑ））と代入すればよい。
［証明３］
「（Ｘ′,Ｙ′）＝（Ｘ＋ｕ_１Ｐ，Ｙ＋ｕ_１Ｑ）または
（Ａ′,Ｂ′）＝（−Ａ＋ｔ_１Ｐ，−Ｂ＋（ｔ_１＋１）Ｑ）」
を［プロトコル１］を用いて証明。すなわち、［プロトコル１］において、
（（Ｇ，ｐ，Ｐ，Ｑ），（Ｐ_０，Ｑ_０），（Ｐ_１，Ｑ_１））←（（Ｇ，ｐ，Ｐ，Ｑ），（Ｘ′−Ｘ，Ｙ′−Ｙ），（Ａ＋Ａ′,Ｂ＋Ｂ′−Ｑ））と代入すればよい。
［証明４］
「（Ｘ′,Ｙ′）＝（Ｘ＋ｕ_１Ｐ，Ｙ＋ｕ_１Ｑ）または
（Ｘ′,Ｙ′）＝（−Ｘ＋ｕ_１Ｐ，−Ｙ＋（ｕ_１＋１）Ｑ）」
を［プロトコル１］を用いて証明。すなわち、［プロトコル１］において、
（（Ｇ，ｐ，Ｐ，Ｑ），（Ｐ_０，Ｑ_０），（Ｐ_１，Ｑ_１））←（（Ｇ，ｐ，Ｐ，Ｑ），（Ｘ′−Ｘ，Ｙ′−Ｙ），（Ｘ＋Ｘ′,Ｙ＋Ｙ′−Ｑ））と代入すればよい。
証明を受信した検証装置は、４回の証明すべてについてそれぞれ検証して、すべてが［プロトコル１］の証明として受理される場合に限って、証明を受理する。

ここでは、検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したとして話を進める。
検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したことを暗号文変換装置３０（２）に伝える。これを受けて暗号文変換装置３０（２）は（Ａ′,Ｂ′），（Ｘ′,Ｙ′）を入力とし、以下の処理を行う。
１．ランダムビットｅ₂および１以上ｐ以下の乱数ｕ₂，ｔ₂を生成する（Ｓ２０５）。
２．以下の［数１２］に従って暗号文を求め（Ｓ２０６）、復号装置４０（１）,（２）にｆ（Ａ″,Ｂ″）を送信し、検証装置５０には（Ａ″,Ｂ″），（Ｘ″,Ｙ″）送信する。また、（Ｘ″,Ｙ″）を制御装置２０に送信する。

３．（Ａ″,Ｂ″），（Ｘ″,Ｙ″）が［数１２］の関係を満たしていることを検証装置５０にゼロ知識証明する（Ｓ２０７，Ｓ２０８）。
ここで、当該ゼロ知識証明は、先の［数１１］に対する場合と同様であるので省略する。

ここでは、検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したとして話を進める。

検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したことを復号装置４０（１）,（２）に伝える。これを受けて、復号装置４０（１）は（Ａ″,Ｂ″）を入力とし、ｘ₁Ａ″を計算し、それを制御装置２０に送信する（Ｓ２０９）。同様に、復号装置４０（２）は（Ａ″,Ｂ″）を入力とし、ｘ₂Ａ″を計算し、それを制御装置２０に送信する（Ｓ２１０）。

その後、復号装置４０（１）,（２）を証明者、検証装置５０を検証者として、当該送信情報ｘ₁Ａ″,ｘ₂Ａ″が正しい計算結果であることをゼロ知識非対話証明技術を用いて証明する（Ｓ２１１〜Ｓ２１４）。

当該証明方法は、具体的にはＰを底としたｘ_iＰの離散対数、およびＡ″を底としたｘ_iＡ″の離散対数が等しい（すなわち、ともにｘ_iとなる）ことを非対話で証明する方法であり、先のゼロ知識証明の基本的な技術により実現可能である。以下にプロトコル例（プトロコル２とする）を示す。

［プロトコル２］
入力：（ｐ,（Ｕ₀,Ｖ₀）＝（Ｐ,ｘ_iＰ），（Ｕ₁,Ｖ₁）＝（Ａ″,ｘ_iＡ″））
証明者の秘密情報：ｘ_i
１．証明者は以下に従ってｓ，ｚを計算し、それを検証者に送信する。
（ａ）１以上ｐ以下の乱数ｒを生成する。
（ｂ）Ｒ₀＝ｒＵ₀,Ｒ₁＝ｒＵ₁を計算する。
（ｃ）ｓ＝Ｈ（Ｕ₀‖Ｖ₀‖Ｕ₁‖Ｖ₁‖Ｒ₀‖Ｒ₁）を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
（ｄ）ｚ＝ｒ−ｓｘ_iを計算する。
２．検証者はＲ₀′＝ｚＵ₀＋ｓＶ_0，Ｒ₁′＝ｚＵ₁＋ｓＶ₁を計算後、ｓ＝Ｈ（Ｕ₀‖Ｖ₀‖Ｕ₁‖Ｖ₁‖Ｒ₀′‖Ｒ₁′）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。

復号装置４０（１）および復号装置４０（２）は上記１の（ａ）〜（ｄ）の処理により（ｓ,ｚ）を求め、これを検証装置５０に送信し、検証装置５０が上記２の処理により検証する。

ここでは、検証装置５０は復号装置４０（１）,（２）の当該証明事項を受理したとして話を進める。検証装置５０は、送信情報ｘ₁Ａ″,ｘ₂Ａ″が正しいことを制御装置２０に伝える。

制御装置２０は、ｘ₁Ａ″,ｘ₂Ａ″が共に正しい計算結果である場合、ｘＡ″＝ｘ₁Ａ″＋ｘ₂Ａ″を計算し（Ｓ２１５）、ｘＡ″＝Ｂ″であれば（Ａ″,Ｂ″）の復号結果ｃを“０”、それ以外（ｘＡ″＝Ｂ″−Ｑ）であれば“１”とする（Ｓ２１６〜Ｓ２１８）。その後、当該復号結果ｃ∈｛０,１｝について、［数１３］に従って暗号文（Ｃ,Ｄ）を求める（Ｓ２１９）。

ここで当該復号結果ｃについて、ｃ＝ａ＊ｅ₁＊ｅ₂（排他的論理和）が成り立つ。このことは第１の実施の形態から明らかであり、ここではその説明を省略する。なお、処理が冗長になるが、第１の実施の形態と同様に、1以上ｐ以下の乱数ｗを生成し、

となるように（Ｃ，Ｄ）を計算してもよい。
すると（Ｃ，Ｄ）の復号結果ｃ″＝ａ＊ｂが成り立つ。このことは第１の実施の形態から明らかであり、ここではその説明を省略する。
制御装置２０は、（Ｃ，Ｄ）をａ＊ｂの暗号文として認め、必要に応じて出力する（Ｓ２２０）。

以上より、制御装置２０は、暗号文変換装置３０（１）,（２）、復号装置４０（１）,（２）、および検証装置５０の協力により、ａの暗号文Ｅ（ａ,ｒ）およびｂの暗号文Ｅ（ｂ,ｓ）から、ａ,ｂを知ることなくａ＊ｂの暗号文を計算することができ、更には当該暗号文を取得することができる。ここでａ,ｂの秘匿性は、暗号文変換装置３０（１）,（２）の生成したランダムビットｅ₁,ｅ₂の秘匿性に依存する。すなわち本実施の形態で示したプロトコルからｅ₁およびｅ₂を知ることが困難であれば、少なくとも暗号文変換装置３０（１）,（２）の不正結託がない限りはａ,ｂを知ることが困難となる。

なお、図１に示した第１の実施の形態のシステム構成に検証装置５０を追加すれば、本第２の実施の形態同様に、暗号文変換装置３０や復号装置４０（１）,（２）の処理正当性を検出することが可能である。

また、本実施の形態では暗号文変換装置が２台の例を挙げたが、本プロトコルでは暗号文変換装置を３台以上に拡張することも容易である（ただしその方法は明らかであるため省略する）。そして当該拡張により暗号文変換装置の結託に対する耐性が高まる。これは言い換えればａ,ｂの秘匿性を効果的に高めることができる。

［第３の実施の形態］
これは、第１の実施の形態における課題について、第２の実施の形態とは別の方法（プロトコル）で解決するものである。

第３の実施の形態におけるシステム構成は、第２の実施の形態と同様となる。すなわち、図４に示すように同一のネットワーク１００で結ばれた、暗号文生成装置１０（１）,…,（Ｎ）、制御装置２０、暗号文変換装置３０（１）,（２）、復号装置４０（１）,（２）、および検証装置５０からなる。

ここでは第２の実施の形態同様、排他的論理和を計算する処理における、暗号文変換装置および復号装置の処理正当性を検証することが可能な方法を説明する。

第３の実施の形態の処理は第２の実施の形態とほぼ同様であるが、第２の実施の形態における［命題１］のゼロ知識証明の方式が異なる。
［命題１］をゼロ知識証明するために、次の［プロトコル３］を導入する。
［プロトコル３］は、
１．Ｐを底としたＰ₀の離散対数とＱを底としたＱ₀の離散対数が等しい、かつ、Ｐを底としたＱ₀′の離散対数とＱを底としたＱ₀′の離散対数が等しい、
または、
２．Ｐを底としたＰ₁の離散対数とＱを底としたＱ₁の離散対数が等しい、かつ、Ｐを底としたＰ₁′の離散対数とＱを底としたＱ₁′の離散対数が等しい、
ことをゼロ知識証明技術を用いて証明するプロトコルである。

［プロトコル３］
入力：（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ_0,Ｑ₀）,（Ｐ_1,Ｑ₁）,（Ｐ₀′_,Ｑ₀′）,（Ｐ₁′_,Ｑ₁′）
証明者の秘密情報：（ｅ,ｔ,ｔ′）
１．証明者は以下に従って（ｚ₀,ｚ₁,ｚ₀′,ｚ₁′,ｃ₀,ｃ₁）を求め、それを検証者に送信する。
（ａ）１以上ｐ以下の乱数ｒ,ｒ′,ｒ″,ｒ″′,ｃ_1-eを生成する。
（ｂ）Ｒ_p,e＝ｒＰ,Ｒ_Q,e＝ｒＱ,Ｒ_p,1-e＝ｒ′Ｐ−ｃ_1-eＰ_1-e,Ｒ_Q,1-e＝ｒ′Ｑ−ｃ_1-eＱ_1-e,Ｒ′_P,e＝ｒ″Ｐ,Ｒ′_Q,e＝ｒ″Ｑ,Ｒ′_P,1-e＝ｒ″′Ｐ−ｃ_1-eＰ_1-e,Ｒ′_Q,1-e＝ｒ″′Ｑ−ｃ_1-eＱ′_1-e,
ｃ_e＝Ｈ（Ｒ_P,0‖Ｒ_Q,0‖Ｒ_P,1‖Ｒ_Q,1‖Ｒ′_P,0‖Ｒ′_Q,0‖Ｒ′_P,1‖Ｒ′_Q,1）−ｃ_1-e,ｚ_e＝ｒ＋ｃ_eｔ,ｚ_1-e＝ｒ′,ｚ′_e＝ｒ″＋ｃ_eｔ′,ｚ′_1-e＝ｒ″′
を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
２．検証者はｃ₀＋ｃ₁＝Ｈ（ｚ₀Ｐ−ｃ₀Ｐ₀‖ｚ₀Ｑ−ｃ₀Ｑ₀‖ｚ₁Ｐ−ｃ₁Ｐ₁‖ｚ₁Ｑ−ｃ₁Ｑ₁‖ｚ₀′Ｐ−ｃ₀Ｐ₀′‖ｚ₀′Ｑ−ｃ₀Ｑ₀′‖ｚ₁′Ｐ−ｃ₁Ｐ₁′‖ｚ₁′Ｑ−ｃ₁Ｑ′₁）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。

暗号文変換装置３０（２）は、［数１１］の入出力が［命題１］を満たすことを、［プロトコル３］を用いて検証装置５０に対して証明することができる。すなわち、［プトロコル３］において、
（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ_0,Ｑ₀）,（Ｐ_1,Ｑ₁）,（Ｐ₀′_,Ｑ₀′）,（Ｐ₁′_,Ｑ₁′），（ｅ，ｔ，ｔ′））←（（Ｇ,ｐ,Ｐ,Ｑ）,（Ａ′−Ａ_，Ｂ′−Ｂ）,（Ａ＋Ａ′_，Ｂ＋Ｂ′−Ｑ）,（Ｘ′−Ｘ_，Ｙ′−Ｙ）,（Ｘ＋Ｘ′_，Ｙ＋Ｙ′−Ｑ）,（ｅ₁，ｔ₁，ｕ₁））
と代入すればよい。

検証装置５０（検証者）は暗号分変換装置３０（２）（証明者）の当該証明事項を受理したとして話を進める。
以降の手続きは第２の実施の形態と同様である。ただし、［数１２］のゼロ知識証明には［プロトコル３］を用いる。すなわち、［プトロコル３］において、
（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ_0,Ｑ₀）,（Ｐ_1,Ｑ₁）,（Ｐ₀′_,Ｑ₀′）,（Ｐ₁′_,Ｑ₁′），（ｅ，ｔ，ｔ′））←（（Ｇ,ｐ,Ｐ,Ｑ）,（Ａ″−Ａ′_，Ｂ″−Ｂ′）,（Ａ′＋Ａ″_，Ｂ′＋Ｂ″−Ｑ）,（Ｘ″−Ｘ′_，Ｙ″−Ｙ′）,（Ｘ′＋Ｘ″_，Ｙ′＋Ｙ″−Ｑ）,（ｅ₂，ｔ₂，ｕ₂））
と代入すればよい。
以降は［実施の形態２］と同様であるために省略する。

以上より、実施の形態２と同様に、制御装置２０は、暗号文変換装置３０（１）,（２）、復号装置４０（１）,（２）、および検証装置５０の協力により、ａの暗号文Ｅ（ａ．ｒ）およびｂの暗号文Ｅ（ｂ,ｓ）から、ａ,ｂを知ることなくａ＊ｂの暗号文を計算することができ、更には当該暗号文を取得することができた。ここでａ,ｂの秘匿性は、暗号文変換装置３０（１）,（２）の生成したランダムビットｅ_1，ｅ₂の秘匿性に依存する。すなわち本実施の形態で示したプロトコルからｅ₁およびｅ₂を知ることが困難であれば、少なくとも暗号文変換装置３０（１）,（２）の不正結託がない限りはａ,ｂを知ることが困難となる。また、本実施の形態では暗号文変換装置が２台の例を挙げたが、本プロトコルでは暗号文変換装置を３台以上に拡張することも容易である（ただしその方法は明らかであるため省略する）。そして当該拡張により暗号文変換装置の結託に対する耐性が高まる。これは言い換えればａ,ｂの秘匿性を効果的に高めることができる。

なお、図１に示した第１の実施の形態のシステム構成に検証装置５０を追加すれば、本第３の実施の形態同様に、暗号文変換装置３０や復号装置４０（１）,（２）の処理正当性を検出することが可能である。

また、第１、第２あるいは第３の実施の形態において、ａ_i，ｂ_i∈｛０,１｝（ｉ＝１，２，…，ｎ）の暗号文（Ａ_i，Ｂ_i），（Ｘ_i，Ｙ_i）を時間をずらして順次入力し、順次、各装置で所定の処理を実行することで、複数組のａ_i＊ｂ_iの暗号文をパイプライン形式に計算することが可能である。

また、第２あるいは第３の実施の形態では、検証装置は、検証結果を次の処理装置に送信するとしたが、検証結果をすべて制御装置に送信し、制御装置が該検証結果に基づいて次の処理装置の動作を制御することでもよい（集中制御）。また、システムの信頼性は若干低下するが、復号装置の処理正当性の検証は省略することでよい。

［応用例］
本発明は、種々の応用例が考えられるが、ここでは、第１の実施の形態を利用した応用例をいくつか示しておく。
［数６］によるＦ_NOT（ａ）の暗号文の計算や［数１０］によるＦ_AND（ａ，ｂ），Ｆ_OR（ａ，ｂ），Ｆ_NAND（ａ，ｂ），Ｆ_NOR（ａ，ｂ），の暗号文の計算を適宜組み合わせる事で、任意の論理関数ｙ＝ｆ（ｘ₁，ｘ₂，…，ｘ_n）に対して（ｎはある自然数）、入力ｘ₁，ｘ₂，…，ｘ_nや途中データを秘匿したままｙを求める事ができる。更に、文献（Ｇ．Ｙamamoto，et al．，“Ｅfficient，non-optimistic secure circuit evaluation based on the ElGamal encryption，”Ｉn Ｐroc．of Ｗorkshop on Ｉnformation Ｓecurity Ａpplications（WISA2005），2005．）（以下、非特許文献５と称す）によれば、論理式ｆや途中データを秘匿したままｙを求める事もできる。これにより、例えば以下のような応用例が考えられる。

例１：個別の回答内容を保護したアンケート
ｘ₁，ｘ₂，…，ｘ_nをアンケート回答者個別の回答、ｆをアンケート集計関数とし、ｘ₁，ｘ₂，…，ｘ_nを秘匿したままアンケート集計結果ｙを求める。

例２：暗号化されたデータを復元することなくキーワード検索
ｘ₁，ｘ₂，…，ｘ_kを暗号化されたデータ（ｋはｎ未満のある自然数）、ｘ_k+1，…，ｘ_mを検索キーワード（ｍはｋ＋１以上ｎ未満のある自然数）、ｘ_m+1，…，ｘ_nを秘密鍵、ｆを復号関数と検索関数の機能を併せ持つ関数とし、ｘ_m+1，…，ｘ_nを秘匿したまま検索結果ｙを求める。またこの機能を応用し、暗号化されたデータに対して復元することなくフィルタリングを行うこともできる。

例３：入力を秘匿したままのデータマイニング処理
ｘ₁，ｘ₂，…，ｘ_nをデータマイニングに必要な入力、ｆをデータマイニング関数とし、ｘ_m+1，…，ｘ_nを秘匿したままデータマイニング結果ｙを求める。

例４：値を秘匿したままの帳簿更新
ｘ₁，ｘ₂，…，ｘ_kを現在の帳簿に記載されている値の情報（ｋはｎ未満のある自然数）、ｘ_k+1，…，ｘ_nを変更値情報（＋1,000、−30％など）、ｆを帳簿計算関数とし、ｘ₁，…，ｘ_kを秘匿したまま帳簿計算結果ｙを求める。

例５：ソフトウェア認証トークン
ｘ₁，ｘ₂，…，ｘ_nを秘密鍵、ｆを認証関数とし、ｘ₁，…，ｘ_nおよびｆを秘匿したまま認証結果ｙを求める。これによりｆの不正な解析を防止できる。更にｆに機器識別モジュール関数を組み込む事で、特定の機器以外では実行できないようにすることもでき、不正コピー防止の効果が期待できる。この不正コピー防止は、認証トークンに限らず一般的なＤＲＭ（Ｄigital Ｒight Ｍanagement）技術として用いることもできる。

例６：電子透かしにおける透かし埋め込み／検出アルゴリズム保護
ｘ₁，ｘ₂，…，ｘ_nを原画像および透かし情報、ｆを透かし埋め込み関数とし、ｆを秘匿したまま透かし入り画像ｙを求める。同様にｆを透かし検出関数とし、それを保護することもできる。

なお、図１、図４などで示したシステムにおける各部の一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、図２、図３、図５などで示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。

本発明の第１の実施の形態のシステム構成例を示す図。 第１の実施の形態において公開鍵（Ｇ,ｐ,Ｐ,Ｑ）を生成する処理シーケンス例を示す図。 第１の実施の形態においてａ,ｂの暗号文からａ＊ｂの暗号文を求める処理シーケンス例を示す図。 本発明の第２の実施の形態、第３の実施の形態および第４の実施の形態のシステム構成例を示す図。 第２の実施の形態においてａ,ｂの暗号文からａ＊ｂの暗号文を求める処理シーケンス例を示す図。 同じく第２の実施の形態においてａ,ｂの暗号文からａ＊ｂの暗号文を求める処理シーケンス例を示す図。 同じく第２の実施の形態においてａ,ｂの暗号文からａ＊ｂの暗号文を求める処理シーケンス例を示す図。

符号の説明

１０ 暗号文生成装置
２０ 制御装置
３０ 暗号文変換装置
４０ 復号装置
５０ 検証装置
１００ ネットワーク

Claims (7)

1. ある有限体上で定義された楕円曲線の有理点からなる群をＧとし、ＰをＧの元とし、Ｐの位数をｐとし、秘密鍵ｘ∈｛１,…,ｐ｝に対してＱ＝ｘＰとし、（Ｇ,ｐ,Ｐ,Ｑ）を公開鍵とし、
   平文ａ∈｛０,１｝を暗号化する暗号関数Ｅが
   Ｅ（ａ,ｒ）＝（Ａ,Ｂ）＝（ｒＰ,（ｒ＋ａ）Ｑ）
   と定義され（ｒは１以上ｐ以下の乱数）、
   ａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））
   から、ａ,ｂを知ることなく、ａ＊ｂ（＊は排他的論理和を意味する）の暗号文を計算する秘密計算方法であって、
   ネットワークで結ばれた、一つあるいは複数の暗号文生成装置、制御装置、複数の暗号文変換装置、複数の復号装置および検証装置を備え、
   制御装置は、ａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））を暗号文生成装置から入力して、これらＥ（ａ,ｒ）（＝（Ａ,Ｂ））、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））を第１の暗号文変換装置に送信し、
   第１の暗号文変換装置は、Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））とＥ（ｂ,ｓ）（＝（Ｘ,Ｙ））を入力として、ランダムビットｅ ₁ および１以上ｐ以下の乱数ｔ ₁ ,ｕ ₁ を生成し、暗号文（Ａ′,Ｂ′），（Ｘ′,Ｙ′）を
   

   

   により計算して、該暗号文（Ａ′,Ｂ′），（Ｘ′,Ｙ′）を第２の暗号文変換装置および検証装置に送信し、且つ、該暗号文（Ａ′,Ｂ′），（Ｘ′,Ｙ′）が［数１］の関係を満たしていることを検証装置に証明し、
   検証装置は、第１の暗号文変換装置の処理正当性を検証して、その結果を第２の暗号文変換装置に通知し、
   第２の暗号文変換装置は、検証装置から第１の暗号文変換装置の処理正当の通知を受けると、暗号文（Ａ′,Ｂ′），（Ｘ′,Ｙ′）を入力として、ランダムビットｅ ₂ および１以上ｐ以下の乱数ｔ ₂ ,ｕ ₂ を生成し、暗号文（Ａ″,Ｂ″），（Ｘ″,Ｙ″）を、
   

   

   により計算して、（Ａ″,Ｂ″）を各復号装置ｉ（ｉ＝１,２,…）に送信し、（Ｘ″,Ｙ″）を制御装置に送信し、（Ａ″,Ｂ″）および（Ｘ″,Ｙ″）を検証装置に送信し、且つ、該暗号文（Ａ″,Ｂ″），（Ｘ″,Ｙ″）が［数２］の関係を満たしていることを検証装置に証明し、
   検証装置は、第２の暗号文変換装置の処理正当性を検証して、その結果を各復号装置に通知し、
   各復号装置ｉ（ｉ＝１,２,…）は、検証装置から第２の暗号文変換装置の処理正当の通知を受けると、（Ａ″,Ｂ″）を入力とし、ｘ _i Ａ″（ｘ _i は乱数）を計算して、それを制御装置に送信し、且つ、ｘ ₁ Ａ″が正しい計算結果であることを検証装置に証明し、
   検証装置は、各復号装置の処理正当性を検証して、その結果を制御装置に通知し、
   制御装置は、検証装置から全ての復号装置の処理正当の通知を受けると、ｘＡ″＝ｘ ₁ Ａ″＋ｘ ₂ Ａ″＋…を計算し、ｘＡ″＝Ｂ″であれば（Ａ″,Ｂ″）の復号結果ｃを“０”、それ以外（ｘＡ″＝Ｂ″−Ｑ）であれば“１”として、該復号結果ｃ∈｛０,１｝について、暗号文（Ｃ,Ｄ）を、
   

   

   により計算して、該暗号文（Ｃ,Ｄ）をａ＊ｂの暗号文として認識することを特徴とする秘密計算方法。
2. 請求項１記載の秘密計算方法において、
   第１あるいは第２の暗号文変換装置を証明者、検証装置を検証者として、下記プロトコル１を用いて、（Ａ′,Ｂ′），（Ｘ′,Ｙ′）あるいは（Ａ″,Ｂ″），（Ｘ″,Ｙ″）が［数１］あるいは［数２］の関係を満たしていることをゼロ知識証明する、
   ［プロトコル１］
   Ｐを底としたＰ ₀ の離散対数とＱを底としたＱ ₀ の離散対数が等しい、あるいは、Ｐを底としたＰ ₁ の離散対数とＱを底としたＱ ₁ の離散対数が等しいことを、ゼロ知識証明技術を用いて証明するプロトコル、
   入力：（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ ₀ ,Ｑ ₀ ）,（Ｐ ₁ ,Ｑ ₁ ））
   証明者の秘密情報：（ｅ,ｔ）
   １．証明者は以下に従って（ｚ ₀ ,ｚ ₁ ,ｃ ₀ ,ｃ ₁ ）を求め、それを検証者に送信する。
   （ａ）１以上ｐ以下の乱数ｒ,ｒ′,ｃ_1-eを生成する。
   （ｂ）Ｒ _P,e ＝ｒＰ,Ｒ _Q,e ＝ｒＱ,Ｒ _P,1-e ＝ｒ′Ｐ-ｃ _1-e Ｐ _1-e ,Ｒ _Q,1-e ＝ｒ′Ｑ-ｃ _1-e Ｑ _1-e ,ｃ _e ＝Ｈ（Ｒ _P,0 ‖Ｒ _Q,0 ‖Ｒ _P,1 ‖Ｒ _Q,1 ）−ｃ _1-e ,ｚ _e ＝ｒ＋ｃe _ｔ ,ｚ1-e＝ｒ′を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
   ２．検証者はｃ ₀ ＋ｃ ₁ ＝Ｈ（ｚ ₀ Ｐ−ｃ ₀ Ｐ ₀ ‖ｚ ₀ Ｑ−ｃ ₀ Ｑ ₀ ‖ｚ ₁ Ｐ−ｃ ₁ Ｐ ₁ ‖ｚ ₁ Ｑ−ｃ ₁ Ｑ ₁ ）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。
   ことを特徴とする秘密計算方法。
3. 請求項１記載の秘密計算方法において、
   復号装置を証明者、検証装置を検証者として、下記プロトコル２を用いて、ｘ _i Ａ″が正しい計算結果であることをゼロ知識証明する、
   ［プロトコル２］
   Ｐを底としたｘ _i Ｐの離散対数、およびＡ″を底としたｘ _i Ａ″の離散対数が等しい（すなわち、ともにｘ _i となる）ことを非対話で証明するプロトコル、
   入力：（ｐ,（Ｕ ₀ ,Ｖ ₀ ）＝（Ｐ,ｘ _i Ｐ）,（Ｕ ₁ ,Ｖ ₁ ）＝（Ａ″,ｘ _i Ａ″））
   証明者の秘密情報：ｘ _i
   １．証明者は以下に従ってｓ，ｚを計算し、それを検証者に送信する。
   （ａ）１以上ｐ以下の乱数ｒを生成する。
   （ｂ）Ｒ ₀ ＝ｒＵ ₀ ,Ｒ ₁ ＝ｒＵ ₁ を計算する。
   （ｃ）ｓ＝Ｈ（Ｕ ₀ ‖Ｖ ₀ ‖Ｕ ₁ ‖Ｖ ₁ ‖Ｒ ₀ ‖Ｒ ₁ ）を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
   （ｄ）ｚ＝ｒ＋ｓｘ _i を計算する。
   ２．検証者はＲ ₀ ′＝ｚＵ ₀ ＋ｓＶ ₀ ，Ｒ ₁ ′＝ｚＵ ₁ ＋ｓＶ ₁ を計算後、ｓ＝Ｈ（Ｕ ₀ ‖Ｖ ₀ ‖Ｕ ₁ ‖Ｖ ₁ ‖Ｒ ₀ ′‖Ｒ ₁ ′）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。
   ことを特徴とする秘密計算方法。
4. 請求項１記載の秘密計算方法において、
   第１あるいは第２の暗号文変換装置を証明者、検証装置を検証者として、下記プロトコル３を用いて、（Ａ′,Ｂ′），（Ｘ′,Ｙ′）あるいは（Ａ″,Ｂ″），（Ｘ″,Ｙ″）が［数１］あるいは［数２］の関係を満たしていることをゼロ知識証明する、
   ［プロトコル３］
   １．Ｐを底としたＰ ₀ の離散対数とＱを底としたＱ ₀ の離散対数が等しい、かつ、Ｐを底としたＰ ₀ ′の離散対数とＱを底としたＱ ₀ ′の離散対数が等しい、
   または、
   ２．Ｐを底としたＰ ₁ の離散対数とＱを底としたＱ ₁ の離散対数が等しい、かつ、Ｐを底としたＰ ₁ ′の離散対数とＱを底としたＱ ₁ ′の離散対数が等しい、
   ことを、ゼロ知識証明技術を用いて証明するプロトコル、
   入力：（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ ₀ ,Ｑ ₀ ）,（Ｐ ₁ ,Ｑ ₁ ）,（Ｐ ₀ ′,Ｑ ₀ ′）,（Ｐ ₁ ′,Ｑ ₁ ′）
   証明者の秘密情報：（ｅ,ｔ,ｔ′）
   １．証明者は以下に従って（ｚ ₀ ,ｚ ₁ ,ｚ ₀ ′,ｚ ₁ ′,ｃ ₀ ,ｃ ₁ ）を求め、それを検証者に送信する。
   （ａ）１以上ｐ以下の乱数ｒ,ｒ′,ｒ″,ｒ″′,ｃ _1-e を生成する。
   （ｂ）Ｒ _p,e ＝ｒＰ,Ｒ _Q,e ＝ｒＱ,Ｒ _p,1-e ＝ｒ′Ｐ−ｃ _1-e Ｐ _1-e ,Ｒ _Q,1-e ＝ｒ′Ｑ−ｃ _1-e Ｑ _1-e ,Ｒ′ _P,e ＝ｒ″Ｐ,Ｒ′ _Q,e ＝ｒ″Ｑ,Ｒ′ _P,1-e ＝ｒ″′Ｐ−ｃ _1-e Ｐ _1-e ,Ｒ′ _Q,1-e ＝ｒ″′Ｑ−ｃ _1-e Ｑ _1-e ,
   ｃ _e ＝Ｈ（Ｒ _P,0 ‖Ｒ _Q,0 ‖Ｒ _P,1 ‖Ｒ _Q,1 ‖Ｒ′ _P,0 ‖Ｒ′ _Q,0 ‖Ｒ′ _P,1 ‖Ｒ′ _Q,1 ）−ｃ _1-e ,
   ｚ _e ＝ｒ＋ｃ _e ｔ,ｚ _1-e ＝ｒ′,ｚ′ _e ＝ｒ″＋ｃ _e ｔ′,ｚ′ _1-e ＝ｒ″′
   を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
   ２．検証者はｃ ₀ ＋ｃ ₁ ＝Ｈ（ｚ ₀ Ｐ−ｃ ₀ Ｐ ₀ ‖ｚ ₀ Ｑ−ｃ ₀ Ｑ ₀ ‖ｚ ₁ Ｐ−ｃ ₁ Ｐ ₁ ‖ｚ ₁ Ｑ−ｃ ₁ Ｑ ₁ ‖ｚ ₀ ′Ｐ−ｃ ₀ Ｐ ₀ ′‖ｚ ₀ ′Ｑ−ｃ ₀ Ｑ ₀ ′‖ｚ ₁ ′Ｐ−ｃ ₁ Ｐ ₁ ′‖ｚ ₁ ′Ｑ−ｃ ₁ Ｑ ₁ ′）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。
   ことを特徴とする秘密計算方法。
5. 請求項１乃至４のいずれか１項に記載の秘密計算方法において、複数組の（Ａ _i ,Ｂ _i ）,（Ｘ _i ,Ｙ _i ）（ｉ＝１,２,…,ｎ）を順次入力して、複数組のａ _i ＊ｂ _i の暗号文をパイプライン形式に順次計算することを特徴とする秘密計算方法。
6. ネットワークで結ばれた、一つあるいは複数の暗号文生成装置、制御装置、複数の暗号文変換装置、複数の復号装置および検証装置を具備し、請求項１乃至５のいずれか１項に記載の秘密計算方法を実施することを特徴とする秘密計算システム。
7. 請求項１乃至５に記載の秘密計算方法をコンピュータに実行させるためのプログラム。
   

Images