JP4999533B2 - 分散情報生成装置、秘密情報復元装置、分散情報生成方法、秘密情報復元方法およびプログラム - Google Patents

Description

本発明は、機密情報を保護するための分散情報生成装置、秘密情報復元装置、分散情報生成方法、秘密情報復元方法およびプログラムに関する。

近年、情報セキュリティの重要性が高まるにつれ、情報の盗難対策と紛失対策が重要な課題となっている。このようなことから、非特許文献１に示されるような（ｋ，ｎ）閾値秘密分散法は、情報の秘匿と紛失によるリスクの回避を同時に実現する手法として、注目を浴びている。ここで、（ｋ，ｎ）閾値秘密分散は、機密情報をｎ個の分散情報に分散し、そのうち任意のｋ個の分散情報が集まれば、復元できることを意味する。

しかしながら、非特許文献１に示されている（ｋ，ｎ）閾値秘密分散法は、情報の分散、復元時に、（ｋ−１）次の多項式を処理する必要があり、その計算量が膨大になる。そこで、非特許文献２に示されるように、排他的論理和（ＸＯＲ）を用いて高速に分散、復元可能な（２，ｎ）閾値秘密分散法が提案されている。

一方、閾値２以外のＸＯＲを用いた閾値秘密分散法として、非特許文献３において、（３，ｎ）閾値秘密分散法が提案されている。しかしながら、閾値４以上のＸＯＲを用いた閾値秘密分散法については、未だに提案されていない。また、非特許文献４でもＸＯＲあるいは加法演算を用いて高速に分散、復元可能な（ｋ，ｎ）閾値秘密分散法が提案されているが、秘密情報のデータ長に比べて、分散情報のデータ長が数倍大きくなり、効率が悪い。更に、特許文献１では、（ｋ，ｎ）閾値秘密分散法が提案されているが、ｋより少ない個数の分散情報が手に入ったときでも、秘密情報が復元されてしまうことがあり、閾値秘密分散法としての一般性を満たしていない。
Ａ．Ｓｈａｍｉｒ，"Ｈｏｗ ｔｏ Ｓｈａｒｅ ａ Ｓｅｃｒｅｔ，"Ｃｏｍｍｕｎ．ＡＣＭ， ｖｏｌ．２２ ｎｏ．１１ ｐｐ．６１２−６１３， １９７９． 藤井吉弘，多田美奈子，保坂範和，栃窪孝也，加藤岳久，"高速な（２，ｎ）閾値法の構成法とシステムへの応用，"ＣＳＳ２００５予稿集，２００５． 栗原淳，清本晋作，福島和英，田中俊昭，"ＸＯＲを用いた（３，ｎ）閾値秘密分散法，ＳＣＩＳ２００７予稿集，２００７． 椎名信行，岡本健，岡本栄司，"１−ｏｕｔ−ｏｆ−ｎ証明からｋ−ｏｕｔ−ｏｆ−ｎ証明への引き上げ方法"ＳＣＩＳ２００４予稿集，２００４． 特開２００６−１８８５０号公報

上述のように、非特許文献１に示されている（ｋ，ｎ）閾値秘密分散法は、演算量が膨大になるという問題がある。また、非特許文献４に示されている方式は、分散情報のデータ長が秘密情報の数倍大きくなるという問題がある。そこで、ＸＯＲを用いて高速演算が可能であり、しかも、分散情報のデータ長が秘密情報のデータ長と等しくなるような、効率の良い閾値秘密分散法が要望されるが、ＸＯＲを用いた一般的な（４，ｎ）閾値秘密分散法については、未だに提案されていないのが現状である。

そこで、本発明は、上述の課題を鑑みてなされたものであり、ＸＯＲを用いることで高速演算が可能であり、秘密情報と分散情報のデータ長が等しく、しかも、一般的な（４，ｎ）閾値秘密分散法を構成できる分散情報生成装置、秘密情報復元装置、分散情報生成方法、秘密情報復元方法およびプログラムを提供することを目的とする。

上述の課題を解決するために、本発明は、以下の事項を提案している。
（１）本発明は、秘密情報Ｋを、（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分秘密情報Ｋ_ｑに分割する分割器（例えば、図１の分割器１１に相当）と、ダミー部分秘密情報Ｋ_０を生成するダミー情報生成器（例えば、図１のダミー情報生成器１２に相当）と、互いに独立な乱数Ｒ_ｍを発生する第１の乱数発生器（例えば、図１の乱数生成器１４に相当）と、互いに独立な乱数Ｒ_ｌを発生する第２の乱数発生器（例えば、図１の乱数生成器１５に相当）と、互いに独立な乱数Ｒ_ｒを発生する第３の乱数発生器（例えば、図１の乱数生成器１６に相当）と、ダミー部分秘密情報Ｋ_０及び部分秘密情報Ｋ_ｑと、乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒとを用いて、排他的論理和（ＸＯＲ）演算により、部分分散情報を生成する部分分散情報生成器（例えば、図１の部分分散情報生成器１３に相当）と、前記部分分散情報を連結して分散情報Ｓ_ｉを生成する連結器（例えば、図１の連結器１７に相当）と、を備えたことを特徴とする分散情報生成装置を提案している。

この発明によれば、分割器が、秘密情報Ｋを、（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分秘密情報Ｋ_ｑに分割し、ダミー情報生成器が、ダミー部分秘密情報Ｋ_０を生成する。そして、部分分散情報生成器が、互いに独立な乱数Ｒ_ｍを発生する第１の乱数発生器、互いに独立な乱数Ｒ_ｌを発生する第２の乱数発生器、互いに独立な乱数Ｒ_ｒを発生する第３の乱数発生器により発生した乱数と、ダミー部分秘密情報Ｋ_０及び部分秘密情報Ｋ_ｑとを用いて、排他的論理和（ＸＯＲ）演算により、部分分散情報を生成し、連結器が、部分分散情報を連結して分散情報Ｓ_ｉを生成する。したがって、排他的論理和（ＸＯＲ）を用いて、一般的な（４，ｎ）閾値秘密分散法による分散情報生成装置を構成できる。

（２）本発明は、秘密情報と乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒとからなる分散情報を４（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分分散情報に分割する分散情報分割手段（例えば、図２の分散情報分割部２２に相当）と、該４（ｎ_ｐ−１）個の部分分散情報に排他的論理和（ＸＯＲ）演算を行うことにより前記乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒを消去し、部分秘密情報を取得する排他的論理和演算手段（例えば、図２のＸＯＲ演算部２３に相当）と、該排他的論理和演算手段において取得した部分秘密情報を結合して秘密情報を復元する結合手段（例えば、図２の連結部２４に相当）と、を備えたことを特徴とする秘密情報復元装置を提案している。

この発明によれば、分散情報分割手段が、秘密情報と乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒとからなる分散情報を４（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分分散情報に分割し、排他的論理和演算手段が、４（ｎ_ｐ−１）個の部分分散情報に排他的論理和（ＸＯＲ）演算を行うことにより乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒを消去し、部分秘密情報を取得して、結合手段取得した部分秘密情報を結合して秘密情報を復元する。これにより、排他的論理和（ＸＯＲ）を用いて、一般的な（４，ｎ）閾値秘密分散法による秘密情報復元装置を構成できる。

（３）本発明は、秘密情報Ｋを、（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分秘密情報Ｋ_ｑに分割する第１のステップと、ダミー部分秘密情報Ｋ_０を生成する第２のステップと、互いに独立な乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒを発生する第３のステップと、ダミー部分秘密情報Ｋ_０及び部分秘密情報Ｋ_ｑと、乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒとを用いて、排他的論理和（ＸＯＲ）演算により、部分分散情報を生成する第４のステップと、前記部分分散情報を連結して分散情報Ｓ_ｉを生成する第５のステップと、を備えることを特徴とする分散情報生成方法を提案している。

この発明によれば、秘密情報Ｋを、（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分秘密情報Ｋ_ｑに分割し、さらに、ダミー部分秘密情報Ｋ_０を生成するとともに、互いに独立な乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒを発生する。そして、ダミー部分秘密情報Ｋ_０及び部分秘密情報Ｋ_ｑと、乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒとを用いて、排他的論理和（ＸＯＲ）演算により、部分分散情報を生成し、部分分散情報を連結して分散情報Ｓ_ｉを生成する。したがって、排他的論理和（ＸＯＲ）を用いて、一般的な（４，ｎ）閾値秘密分散法による分散情報生成方法を構成できる。

（４）本発明は、秘密情報と乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒとからなる分散情報を４（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分分散情報に分割する第１のステップと、該４（ｎ_ｐ−１）個の部分分散情報に排他的論理和（ＸＯＲ）演算を行うことにより前記乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒを消去し、部分秘密情報を取得する第２のステップと、該第２のステップにおいて取得した部分秘密情報を結合して秘密情報を復元する第３のステップと、を備えることを特徴とする秘密情報復元方法を提案している。

この発明によれば、秘密情報と乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒとからなる分散情報を４（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分分散情報に分割し、４（ｎ_ｐ−１）個の部分分散情報に排他的論理和（ＸＯＲ）演算を行うことにより乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒを消去し、部分秘密情報を取得する。そして、取得した部分秘密情報を結合して秘密情報を復元する。これにより、排他的論理和（ＸＯＲ）を用いて、一般的な（４，ｎ）閾値秘密分散法による秘密情報復元方法を構成できる。

（５）本発明は、コンピュータに、秘密情報Ｋを、（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分秘密情報Ｋ_ｑに分割する第１のステップと、ダミー部分秘密情報Ｋ_０を生成する第２のステップと、互いに独立な乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒを発生する第３のステップと、ダミー部分秘密情報Ｋ_０及び部分秘密情報Ｋ_ｑと、乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒとを用いて、排他的論理和（ＸＯＲ）演算により、部分分散情報を生成する第４のステップと、前記部分分散情報を連結して分散情報Ｓ_ｉを生成する第５のステップと、を実行させるためのプログラムを提案している。

この発明によれば、秘密情報Ｋを、（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分秘密情報Ｋ_ｑに分割し、さらに、ダミー部分秘密情報Ｋ_０を生成するとともに、互いに独立な乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒを発生する。そして、ダミー部分秘密情報Ｋ_０及び部分秘密情報Ｋ_ｑと、乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒとを用いて、排他的論理和（ＸＯＲ）演算により、部分分散情報を生成し、部分分散情報を連結して分散情報Ｓ_ｉを生成する。したがって、排他的論理和（ＸＯＲ）を用いて、一般的な（４，ｎ）閾値秘密分散法による分散情報生成方法を実行するプログラムを構成できる。

（６）本発明は、コンピュータに、
秘密情報と乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒとからなる分散情報を４（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分分散情報に分割する第１のステップと、該４（ｎ_ｐ−１）個の部分分散情報に排他的論理和（ＸＯＲ）演算を行うことにより前記乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒを消去し、部分秘密情報を取得する第２のステップと、該第２のステップにおいて取得した部分秘密情報を結合して秘密情報を復元する第３のステップと、を実行させるためのプログラムを提案している。

この発明によれば、秘密情報と乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒとからなる分散情報を４（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分分散情報に分割し、４（ｎ_ｐ−１）個の部分分散情報に排他的論理和（ＸＯＲ）演算を行うことにより乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒを消去し、部分秘密情報を取得する。そして、取得した部分秘密情報を結合して秘密情報を復元する。これにより、排他的論理和（ＸＯＲ）を用いて、一般的な（４，ｎ）閾値秘密分散法による秘密情報復元方法を実行するプログラムを構成できる。

本発明によれば、排他的論理和（ＸＯＲ）を用いて、一般的な（４，ｎ）閾値秘密分散法を構成できる。このため、分散、復元がＸＯＲ演算で行えることから、高速処理が可能になるという効果がある。

以下、本発明の実施の形態について図面を参照しながら説明する。
本実施形態は、秘密情報を（４，ｎ）閾値法で分散、復元するものである。図１は、本実施形態の分散情報生成装置の概要を示す機能ブロック図である。

＜分散情報生成装置の構成＞
図１において、秘密情報Ｋは分割器１１に送られ、（ｎ_ｐ−１）個の部分秘密情報Ｋ_ｑに分割される。また、ダミー情報生成器１２でダミー部分秘密情報Ｋ_０が生成される。ダミー部分秘密情報Ｋ_０及び部分秘密情報Ｋ_ｑは、部分分散情報生成器１３に送られる。

また、乱数発生器１４は、互いに独立な乱数Ｒｍを発生している。乱数発生器１５は、互いに独立な乱数Ｒ_ｌを発生している。また、乱数発生器１５は、互いに独立な乱数Ｒ_ｒを発生している。そして、乱数発生器１４からの乱数Ｒｍ、乱数発生器１５からの乱数Ｒ_ｌ、乱数発生器１５からの乱数Ｒ_ｒは、部分分散情報生成器１３に送られる。

部分分散情報生成器１３では、ダミー部分秘密情報Ｋ_０及び（ｎ_ｐ−１）個の部分秘密情報Ｋ_ｑと、乱数発生器１４からの乱数Ｒ_ｍ、乱数発生器１５からの乱数Ｒ_ｌ及び乱数発生器１５からの乱数Ｒ_ｌとを用いて、排他的論理和（ＸＯＲ）演算により、部分分散情報が生成される。この部分分散情報が連結器１７により連結されて、分散情報Ｓ_ｉが生成される。この分散情報Ｓ_ｉは、送信装置１８により、管理者Ｐ_ｉにセキュアに送信される。

こうした構成により、本実施形態では、一般的な分散数ｎの（４，ｎ）閾値秘密分散法により、秘密情報Ｋを分散数ｎの分散情報Ｓ_ｉに分散できる。また、分散に必要な演算は、排他的論理和（ＸＯＲ）であるため、高速な演算が行える。

なお、本発明では、秘密情報を（ｎ_ｐ−１）個に等分割する必要がある。但し、ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数である。そのため、希望する分散数ｎが合成数である場合には、ｎ_ｐ＞ｎを満たす素数ｎ_ｐを用いた（４、ｎ_ｐ）閾値法の分散情報を、ｎ個用いることで、（４，ｎ）閾値法を実現する。

＜分散情報の生成処理＞
本実施形態の分散情報生成方法について、更に、詳述する。先ず、本実施形態の分散情報生成方法を説明するに先立ち、本明細書中で使用する演算子及び記号について、以下のように、定義する。

本実施形態の閾値秘密分散法では、以下の手順に従って分散処理を行って、（４，ｎ）閾値秘密分散法が実現される。

なお、前述したように、本発明では、秘密情報Ｋを（ｎ_ｐ−１）個に等分割する必要があり、ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数である。そのため、希望する分散数ｎが合成数である場合には、ｎ_ｐ＞ｎを満たす素数ｎ_ｐを用いた（４、ｎ_ｐ）閾値秘密分散法の分散情報を、ｎ個用いることで、（４，ｎ）閾値法を実現する。

（ステップ１）
秘密情報Ｋを（ｎ_ｐ−１）個の部分秘密情報Ｋ_ｑに分割する。ここで、ｑは、（１≦ｑ≦（ｎ_ｐ−１））の関係を有する。

（ステップ２）
ダミーの部分秘密情報Ｋ_０∈{０}^ｄを生成する。

（ステップ３）
（ｎ_ｐ−１）個の乱数Ｒ_ｍ ^０、ｎ_ｐ個の乱数Ｒ_ｌ ^１及びｎ_ｐ個の乱数Ｒ_ｒ ^２の計３ｎ_ｐ−１個の乱数を全て独立に生成する。

（ステップ４）
ＸＯＲ演算により、以下のように部分分散情報Ｓ_{（ｉ，ｍ）}を生成する。

（ステップ５）
以下のように、Ｓ_{（ｉ，０）}、・・・、Ｓ_{（ｉ，np−２）}を連結して分散情報Ｓ_ｉを生成し、管理者Ｐ_ｉへセキュアに配付する。

以上のステップにより構成される部分分散情報の構成表は、表１のようになる。また、１人の管理者に配布されるビット数は、Ｋのビット数と等しくなる。

具体例として、（４，５）閾値秘密分散法における部分分散情報の構成表は、表２のようになる。

上記において、説明したように、本実施形態に係る分散情報生成装置によれば、排他的論理和（ＸＯＲ）を用いて、一般的な（４，ｎ）閾値秘密分散法による分散情報生成装置および分散情報生成方法を実現できる。

＜秘密情報復元装置の構成＞
次に、秘密情報の復元について説明する。本実施形態に係る秘密情報復元装置は、図２に示すように、分散情報受信部２１と、分散情報分割部２２と、ＸＯＲ演算部２３と、連結部２４とから構成されている。

分散情報受信部２１は、秘密情報と乱数とからなる４つの分散情報Ｓ_ｉ０、Ｓ_ｉ１、Ｓ_ｉ２、Ｓ_ｉ３を受信し、分散情報分割部２２に出力する。分散情報分割部２２は、入力した秘密情報と乱数とからなる４つに分散情報Ｓ_ｉ０、Ｓ_ｉ１、Ｓ_ｉ２、Ｓ_ｉ３をそれぞれ（ｎ_ｐ−１）個の部分分散情報に分割し、４（ｎ_ｐ−１）個の部分分散情報を生成する。

ＸＯＲ演算部２３は、４（ｎ_ｐ−１）個の部分分散情報に排他的論理和（ＸＯＲ）演算を行うことにより乱数Ｒ_ｍ、乱数Ｒ_ｌ及び乱数Ｒ_ｒを消去して、部分秘密情報を取得する。結合部２４は、ＸＯＲ演算部２３において取得された部分秘密情報を結合して秘密情報を復元する。

＜秘密情報の復元処理＞
秘密情報の復元は、図２に示す秘密情報復元装置を使って行われる。これは、４入力１出力の装置であり、５人以上の管理者が集まったときは、そのうちの任意の４人の管理者から分散情報を得て、その装置に入力することになる。

以下では、前提として、管理者Ｐ_ｉ０、Ｐ_ｉ１、Ｐ_ｉ２、Ｐ_ｉ３（０≦ｉ_０＜ｉ_１＜ｉ_２＜ｉ_３≦ｎ−１）の４人が集まっているとし、４つの分散情報Ｓ_ｉ０、Ｓ_ｉ１、Ｓ_ｉ２、Ｓ_ｉ３が秘密情報復元装置に入力される。

また、ｘ、ｙ、ｚを以下のように定義しておく。

（ステップ１）
４つの分散情報Ｓ_ｉ０、Ｓ_ｉ１、Ｓ_ｉ２、Ｓ_ｉ３それぞれを部分分散情報に分割する。すなわち、以下の４（ｎ_ｐ−１）個の部分分散情報が得られる。

（ステップ２）
全てのｍ（０≦ｍ≦ｎ−２）で以下に定義するＵ_{（ｉ０，ｉ２，ｍ）}、Ｕ_{（ｉ１，ｉ２，ｍ）}、Ｕ_{（ｉ０，ｉ３，ｍ）}、Ｕ_{（ｉ１，ｉ３，ｍ）}を求める。

（ステップ３）
以下の式を満たす最小の自然数ｒを求める。

（ステップ４）
以下のサブステップを全てのｍ（０≦ｍ≦ｎ_ｐ−２）について行う。

（サブステップ４−ｉ）
整数の変数ｓの（０≦ｓ≦ｒ−１）の範囲で、以下の式を満たすｓが存在するか否かを検証する。

上式を満たすｓが存在しない場合には、サブステップ（４−ｉｉ−ａ）の処理を行う。存在する場合には、サブステップ（４−ｉｉ−ｂ）の処理を行う。

（サブステップ４−ｉｉ−ａ）
次に定義するＡ_{（ｉ０，ｉ２，ｍ）}を求める。

（サブステップ４−ｉｉ−ｂ）
次に定義するＡ_{（ｉ０，ｉ２，ｍ）}を求める。

（ステップ５）
以下の式を満たす最小の自然数ｖを求める。

（ステップ６）
以下のサブステップを全てのｍ（０≦ｍ≦ｎ_ｐ−２）について行う。

（サブステップ６−ｉ）
整数の変数ｔの（０≦ｔ≦ｖ−１）の範囲で、以下の式を満たすｔが存在するか否かを検証する。

上式を満たすｔが存在しない場合は、サブステップ６−ｉｉ−ａの処理を行う。存在する場合は、サブステップ６−ｉｉ−ｂの処理を行う。

（サブステップ６−ｉｉ−ａ）
次に定義するＡ_{（ｉ１，ｉ２，ｍ）}を求める。

（サブステップ６−ｉｉ−ｂ）
次に定義するＡ_{（ｉ１，ｉ２，ｍ）}を求める。

（ステップ７）
以下の式を満たす最小の自然数ｒ´を求める。

（ステップ８）
以下のサブステップを全てのｍ（０≦ｍ≦ｎ_ｐ−２）について行う。

（サブステップ８−ｉ）
整数の変数ｓ´の（０≦ｓ´≦ｒ´−１）の範囲で、以下の式を満たすｓ´が存在するか否かを検証する。

上式を満たすｓ´が存在しない場合は、サブステップ８−ｉｉ−ａの処理を行う。存在する場合は、サブステップ８−ｉｉ−ｂの処理を行う。

（サブステップ８−ｉｉ−ａ）
次に定義するＡ_{（ｉ０，ｉ３，ｍ）}を求める。

（サブステップ８−ｉｉ−ｂ）
次に定義するＡ_{（ｉ０，ｉ３，ｍ）}を求める。

（ステップ９）
以下の式を満たす最小の自然数ｖ´を求める。

（ステップ１０）
以下のサブステップを全てのｍ（０≦ｍ≦ｎ_ｐ−２）について行う。

（サブステップ１０−ｉ）
整数の変数ｔ´の（０≦ｔ´≦ｖ´−１）の範囲で、以下の式を満たすｔ´が存在するか否かを検証する。

上式を満たすｔ´が存在しない場合は、サブステップ１０−ｉｉ−ａの処理を行う。存在する場合は、サブステップ１０−ｉｉ−ｂの処理を行う。

（サブステップ１０−ｉｉ−ａ）
次に定義するＡ_{（ｉ１，ｉ３，ｍ）}を求める。

（サブステップ１０−ｉｉ−ｂ）
次に定義するＡ_{（ｉ１，ｉ３，ｍ）}を求める。

（ステップ１１）
全てのｍ（０≦ｍ≦ｎ_ｐ−２）について、以下に定義するＢ_ｍを求める。

（ステップ１２）
２ｘ＝ｚが成立するときは、サブステップ１２−ｉの処理を、２ｘ＝−ｚが成立するときは、サブステップ１２−ｉｉの処理を実行する。それ以外の場合には、サブステップ１２−ｉｉｉの処理を実行する。

（サブステップ１２−ｉ）
場合に分けて、以下のサブステップ１２−ｉ−ａ、１２−ｉ−ｂにしたがって、全ての部分秘密情報Ｋ_ｑ（１≦ｑ≦ｎ_ｐ−１）を復元する。

（サブステップ１２−ｉ−ａ）
ｉ_０＋ｙ≠ｎ_ｐ−１が成立するとき、終了条件を満たすまで、以下のｗをカウンタとした逐次処理を行う（０≦ｗ≦ｎ_ｐ−２）。そして、ｉ_０＋ｙ−４ｗｘ＝ｎ_ｐ−１が成立した場合に、サブステップ１２−ｉ−ｂに移行する。

（サブステップ１２−ｉ−ｂ）
ｉ_０＋４ｘ＋ｙ≠ｎ_ｐ−１が成立するとき、終了条件を満たすまで、以下のｗをカウンタとした逐次処理を行う（０≦ｗ≦ｎ_ｐ−２）。そして、（ｉ_０＋４ｘ＋ｙ）＋４ｗｘ＝ｎ_ｐ−１が成立した場合に、処理を打ち切って終了する。

（サブステップ１２−ｉｉ）
場合に分けて、以下のサブステップ１２−ｉｉ−ａ、１２−ｉｉ−ｂにしたがって、全ての部分秘密情報Ｋ_ｑ（１≦ｑ≦ｎ_ｐ−１）を復元する。

（サブステップ１２−ｉｉ−ａ）
ｉ_０−２ｘ＋ｙ≠ｎ_ｐ−１が成立するとき、終了条件を満たすまで、以下のｗをカウンタとした逐次処理を行う（０≦ｗ≦ｎ_ｐ−２）。そして、（ｉ_０−２ｘ＋ｙ）−４ｗｘ＝ｎ_ｐ−１が成立した場合に、サブステップ１２−ｉｉ−ｂに移行する。

（サブステップ１２−ｉｉ−ｂ）
ｉ_０＋２ｘ＋ｙ≠ｎ_ｐ−１が成立するとき、終了条件を満たすまで、以下のｗをカウンタとした逐次処理を行う（０≦ｗ≦ｎ_ｐ−２）。そして、（ｉ_０＋２ｘ＋ｙ）＋４ｗｘ＝ｎ_ｐ−１が成立した場合に、処理を打ち切って終了する。

（サブステップ１２−ｉｉｉ）
場合に分けて、以下のサブステップ１２−ｉｉｉ−ａ１、１２−ｉｉｉ−ａ２にしたがって、Ｘ_１、・・・、Ｘ_ｎｐ−１を生成する。

（サブステップ１２−ｉｉｉ−ａ１）
ｉ_０＋ｙ≠ｎ_ｐ−１が成立するとき、終了条件を満たすまで、以下のｗをカウンタとした逐次処理を行う（０≦ｗ≦ｎ_ｐ−２）。そして、ｉ_０＋ｙ−２ｗｘ＝ｎ_ｐ−１が成立した場合に、サブステップ１２−ｉｉｉ−ａ２に移行する。

（サブステップ１２−ｉｉｉ−ａ２）
ｉ_０＋２ｘ＋ｙ≠ｎ_ｐ−１が成立するとき、終了条件を満たすまで、以下のｗをカウンタとした逐次処理を行う（０≦ｗ≦ｎ_ｐ−２）。そして、（ｉ_０＋２ｘ＋ｙ）＋２ｗｘ＝ｎ_ｐ−１が成立した場合に、処理を打ち切って終了する。

（サブステップ１２−ｉｉｉ−ｂ）
ｗをカウンタとした、以下の逐次処理を行う（０≦ｗ≦ｎ_ｐ−２）。

（サブステップ１２−ｉｉｉ−ｃ）
以下のｗ（１≦ｗ≦ｎ_ｐ−１）をカウンタとした逐次処理を行い、全ての部分秘密情報Ｋ_ｑ（１≦ｑ≦ｎ_ｐ−１）を復元する。

（サブステップ１３）
全ての部分秘密情報を連結して、元の秘密情報を復元する。

上記において、説明したように、本実施形態に係る秘密情報復元装置によれば、排他的論理和（ＸＯＲ）を用いて、一般的な（４，ｎ）閾値秘密分散法による秘密情報復元装置および秘密情報復元方法を実現できる。

＜秘密情報の復元処理に関する実施例＞
具体例として、（４，５）閾値秘密分散法を構成したときの復元例について説明する。（４，５）閾値秘密分散法における部分分散情報の構成は、前述の表２に示したようになる。

この復元例では、管理者Ｐ_０、Ｐ_１、Ｐ_２、Ｐ_３より４個の分散情報Ｓ_０、Ｓ_１、Ｓ_２、Ｓ_３を収集して、秘密情報の復元を行うものとする。

（ステップ１）
４つの分散情報を分割して、４×４個の部分分散情報とする。

（ステップ２）
各部分分散情報により、Ｕ_{（０，２，ｍ）}、Ｕ_{（１，２，ｍ）}、Ｕ_{（０，３，ｍ）}、Ｕ_{（１，３，ｍ）}を求める。

（ステップ３）
数８を満たす最小の自然数ｒを求め、数１０および数１１の定義にしたがって、Ａ_{（０，２，０）}、Ａ_{（０，２，１）}、Ａ_{（０，２，２）}、Ａ_{（０，２，３）}を求める。

（ステップ４）
数１２を満たす最小の自然数ｖを求め、数１４および数１５の定義にしたがって、Ａ_{（１，２，０）}、Ａ_{（１，２，１）}、Ａ_{（１，２，２）}、Ａ_{（１，２，３）}を求める。

（ステップ５）
数１６を満たす最小の自然数ｒ´を求め、数１８および数１９の定義にしたがって、Ａ_{（０，３，０）}、Ａ_{（０，３，１）}、Ａ_{（０，３，２）}、Ａ_{（０，３，３）}を求める。

（ステップ６）
数２０を満たす最小の自然数ｖ´を求め、数２２および数２３の定義にしたがって、Ａ_{（１，３，０）}、Ａ_{（１，３，１）}、Ａ_{（１，３，２）}、Ａ_{（１，３，３）}を求める。

（ステップ７）
数２４に定義するＢ_０、Ｂ_１、Ｂ_２、Ｂ_３を求める。

（ステップ８）
本例では、２ｘ≠ｚかつ２ｘ≠−ｚであるため、上述したステップ１２−ｉｉｉを実行して、Ｘ_１、Ｘ_２、Ｘ_３、Ｘ_４、Ｙ_１、Ｙ_２、Ｙ_３、Ｙ_４およびＫ_１、Ｋ_２、Ｋ_３、Ｋ_４を生成する。

（ステップ９）
全ての部分秘密情報を連結すると、以下のように秘密情報が求まる。

以上で、４個の分散情報Ｓ_１、Ｓ_２、Ｓ_３、Ｓ_４から、秘密情報が復元できたことが分かる。

以上説明したように、本実施形態では、高速に分散情報の生成、秘密情報の復元が可能なＸＯＲを用いた（４，ｎ）閾値秘密分散法を基本とする分散情報生成装置、秘密情報復元装置等を実現できる。

なお、上述の分散情報の生成処理及び秘密情報の復元処理は、コンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを記録装置に読み込ませ、実行することによって本発明の制御を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。更に、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

なお、本発明は、企業内等で扱われる機密データをセキュアに処理するのに用いることができる。

本実施形態に係る分散情報生成装置の機能ブロック図である。 本実施形態に係る秘密情報復元装置の機能ブロック図である。

符号の説明

１１・・・分割器、１２・・・ダミー秘密情報生成器、１３・・・部分分散情報生成器、１４、１５、１６・・・乱数発生器、１７・・・連結器、１８・・・送信装置、２１・・・分割情報受信部、２２・・・分散情報分割部、２３・・・ＸＯＲ演算部、２４・・・連結部、

Claims (3)

1. 秘密情報Ｋを、（ｎ_ｐ−１）個（ｎ_ｐは分散数ｎについてｎ_ｐ≧ｎを満たす素数）の部分秘密情報Ｋ_ｑ （１≦ｑ≦ｎ _ｐ −１）に分割する分割器と、
   ダミー部分秘密情報Ｋ_０を生成するダミー情報生成器と、
   互いに独立な乱数Ｒ_ｍ ^０ を発生する第１の乱数発生器と、
   互いに独立な乱数Ｒ_ｌ ^１ を発生する第２の乱数発生器と、
   互いに独立な乱数Ｒ_ｒ ^２ を発生する第３の乱数発生器と、
   ダミー部分秘密情報Ｋ_０及び部分秘密情報Ｋ_ｑと、乱数Ｒ_ｍ ^０ 、乱数Ｒ_ｌ ^１ 及び乱数Ｒ_ｒ ^２ とを用いて、演算式Ａにより、部分分散情報Ｓ _{（ｉ，ｍ）} を生成する部分分散情報生成器と、
   部分分散情報Ｓ _{（ｉ，ｍ）} を連結してｎ個の分散情報Ｓ_ｉを生成する連結器と、を備え、（ｋ，ｎ）閾値秘密分散法において閾値ｋが４である場合の分散情報Ｓ _ｉ を生成する分散情報生成装置によって生成された分散情報Ｓ _ｉ から秘密情報Ｋを復元する秘密情報復元装置であって、
   前記分散情報生成装置によって生成された分散情報Ｓ _ｉ のうち任意の４個の分散情報Ｓ _{ｉ０、ｉ１、ｉ２、ｉ３} を受信する分散情報受信手段と、
   前記分散情報受信手段によって受信された４個の分散情報Ｓ _{ｉ０、ｉ１、ｉ２、ｉ３} を４（ｎ _ｐ −１）個の分割部分分散情報に分割する分散情報分割手段と、
   前記分散情報分割手段により分割された該４（ｎ _ｐ −１）個の分割部分分散情報を、４個の分散情報Ｓ _{ｉ０、ｉ１、ｉ２、ｉ３} がｎ個の分散情報Ｓ _ｉ のうちのどの分散情報であるかを示す情報に基づいて、それぞれ互いに排他的論理和（ＸＯＲ）演算することにより、各分割部分分散情報より乱数Ｒ _ｍ ^０ 、乱数Ｒ _ｌ ^１ 及び乱数Ｒ _ｒ ^２ を消去して、部分秘密情報Ｋ _ｑ を復元する排他的論理和演算手段と、
   該排他的論理和演算手段により復元された部分秘密情報Ｋ _ｑ を連結して秘密情報Ｋを復元する結合手段と、
   を備えたことを特徴とする秘密情報復元装置。
   

   
2. 請求項１に記載の秘密情報復元装置が実行する秘密情報復元方法であって、
   前記分散情報受信手段が、請求項１に記載された分散情報生成装置によって生成された分散情報Ｓ _ｉ のうち任意の４個の分散情報Ｓ _{ｉ０、ｉ１、ｉ２、ｉ３} を受信する分散情報受信ステップと、
   前記分散情報分割手段が、前記分散情報受信ステップによって受信された４個の分散情報Ｓ _{ｉ０、ｉ１、ｉ２、ｉ３} を４（ｎ _ｐ −１）個の分割部分分散情報に分割する分散情報分割ステップと、
   前記排他的論理和演算手段が、前記分散情報分割ステップにより分割された該４（ｎ _ｐ −１）個の分割部分分散情報を、４個の分散情報Ｓ _{ｉ０、ｉ１、ｉ２、ｉ３} がｎ個の分散情報Ｓ _ｉ のうちのどの分散情報であるかを示す情報に基づいて、それぞれ互いに排他的論理和（ＸＯＲ）演算することにより、各分割部分分散情報より乱数Ｒ _ｍ ^０ 、乱数Ｒ _ｌ ^１ 及び乱数Ｒ _ｒ ^２ を消去して、部分秘密情報Ｋ _ｑ を復元する排他的論理和演算ステップと、
   前記結合手段が、該排他的論理和演算ステップにより復元された部分秘密情報Ｋ _ｑ を連結して秘密情報Ｋを復元する結合ステップと、
   を備えたことを特徴とする秘密情報復元方法。
   

   
3. コンピュータを、請求項１に記載の秘密情報復元装置として機能させるためのプログラム。
   

Images