JP5103407B2 - 暗号化数値二進変換システム、暗号化数値二進変換方法、暗号化数値二進変換プログラム - Google Patents

Description

本発明は、暗号応用技術に関し、特に、ある数値の暗号文を入力として、当該数値を復元する事無く、当該数値を二進数表記した桁ごとに暗号化した暗号文を生成する技術に関する。

非特許文献１では、Ｐａｉｌｌｉｅｒ暗号によって暗号化された数値に対して、当該数値を明かす事無く、当該数値を二進数表記した桁ごとに暗号化した暗号文を生成する方法が開示されている。

また、二進数表記した数値を桁ごとに暗号化することで、当該数値の任意の論理演算を、当該数値を明かすこと無く実行可能とする方法も知られている（例えば、非特許文献２）。このような論理演算は、秘匿回路計算と称されている。

従って、非特許文献１に開示された方法を用いれば、数値の暗号文を入力として秘匿回路計算が実行できるようになる。これにより、秘匿回路計算の入力を提供する装置（入力提供装置）は、数値の暗号文のみを計算、保存すれば良く、当該数値を二進数表記した桁ごとの暗号文を計算、保存する必要が無くなる。

そのため、非特許文献１に開示された方法は、入力提供装置が計算資源やメモリ資源に乏しい場合に特に有効な方法となる。

B. Schoenmakers and P. Tuyls, Efficient binary conversion for Paillier encrypted values, Advances in Cryptology - EUROCRYPT 2006, Lecture Notes in Computer Science 4004, pp. 522-537, Springer-Verlag, 2006. G. Yamamoto, K. Chida, A. Nasciment, K. Suzuki, and S. Uchiyama, Efficient, non-optimistic secure circuit evaluation based on the ElGamal encryption, WISA 2005, Lecture Notes in Computer Science, pp. 328-343, Springer-Verlag, 2005.

非特許文献２に開示された方法は、Ｅｌ Ｇａｍａｌ暗号によって数値を二進数表記の桁ごとに暗号化したものに対して秘匿回路計算を実現している。

一方、非特許文献１に開示された方法は、Ｐａｉｌｌｉｅｒ暗号によって暗号化された暗号文を対象としている。

そのため、非特許文献１に開示された方法を用いることで実現されるのは、Ｐａｉｌｌｉｅｒ暗号によって数値を二進数表記の桁ごとに暗号化したものに対する秘匿回路計算となる。

しかし、Ｐａｉｌｌｉｅｒ暗号は、Ｅｌ Ｇａｍａｌ暗号と比べて、暗号文のサイズや復号処理、ゼロ知識証明等に要する計算量が多いため、秘匿回路計算におけるデータサイズや計算量が増大してしまうという課題がある。

そこで、本発明の目的は、Ｅｌ Ｇａｍａｌ暗号で暗号化された数値に対して、当該数値を明かすこと無く、当該数値の二進数表記の桁ごとに暗号化することができる暗号化数値二進変換システム、暗号化数値二進変換方法、暗号化数値二進変換プログラムを提供することである。

本発明の第１の暗号化数値二進変換システムは、
１または２個の暗号化数値二進変換装置を用いて、Ｅｌ Ｇａｍａｌ暗号の暗号化関数をＥ（・）とし、ａ≦ｚ≦ｂとなる整数ｚの暗号文をＥ（ｚ）としたとき、Ｅ（ｚ）を入力として、ｚをｔ桁の二進数表記とした桁ごとの暗号文を求める暗号化数値二進変換システムであって、
関数Ｆ及び置換関数πを用いて、（π（ｉ）：Ｆ（ｉ））（ｉ＝０，１，・・・，２^t−１）を生成し、
Ｆ（ｚ）とＦ（ｉ）との対応関係を基にπ（ｉ）を求め、
π（ｉ）をｔ桁の二進数表記とした桁ごとに暗号化してＥ（ｗ_j）（ｊ＝０，１，・・・，ｔ−１）を求め、
Ｅ（ｗ_j）に対してπ^-1を作用させてＥ（ｚ_j）を求めることを特徴とする。

本発明の第２の暗号化数値二進変換システムは、
Ｎ（Ｎは３以上の整数）個の暗号化数値二進変換装置を用いて、Ｅｌ Ｇａｍａｌ暗号の暗号化関数をＥ（・）とし、ａ≦ｚ≦ｂとなる整数ｚの暗号文をＥ（ｚ）としたとき、Ｅ（ｚ）を入力として、ｚをｔ桁の二進数表記とした桁ごとの暗号文を求める暗号化数値二進変換システムであって、
関数Ｆ_n及び置換関数π_n（ｎ＝１，・・・，Ｎ）を用いて、（π_N（π_N-1（・・・（π₁（ｉ））））：Ｆ_N（Ｆ_N-1（・・・（Ｆ₁（Ｅ（ｉ））））））（ｉ＝０，１，・・・，２^t−１）を生成し、
Ｆ_N（Ｆ_N-1（・・・（Ｆ₁（Ｅ（ｉ）））））に対応するｉとＥ（ｚ）に対応するｚとの対応関係を基にπ_N（π_N-1（・・・（π₁（ｉ））））を求め、
π_N（π_N-1（・・・（π₁（ｉ））））をｔ桁の二進数表記とした桁ごとに暗号化してＥ（ｗ_j）（ｊ＝０，１，・・・，ｔ−１）を求め、
Ｅ（ｗ_j）に対してπ_n ^-1を作用させてＥ（ｚ_j）を求めることを特徴とする。

本発明は、楕円曲線の有理点群を利用したＥｌ Ｇａｍａｌ暗号で暗号化された数値に対して、当該数値を明かすこと無く、当該数値の二進数表記の桁ごとに暗号化を行う。Ｅｌ Ｇａｍａｌ暗号は、Ｐａｉｌｌｉｅｒ暗号と比べて、暗号文のサイズや復号処理、ゼロ知識証明等に要する計算量が小さくすむことが期待できる。

そのため、本発明は、非特許文献１に開示された方法と比べて、秘匿回路計算におけるデータサイズ削減や計算量削減が見込めるという効果が得られる。

本発明の実施例１，２の暗号化数値二進変換システムの構成を説明する図である。 本発明の実施例１の暗号化数値二進変換システムによる暗号化数値二進変換方法を説明するフローチャートである。 本発明の実施例２の暗号化数値二進変換システムによる暗号化数値二進変換方法を説明するフローチャートである。 本発明の実施例３の暗号化数値二進変換システムの構成を説明する図である。 本発明の実施例３の暗号化数値二進変換システムによる暗号化数値二進変換方法を説明するフローチャートである。

図１に示すように、本実施例の暗号化数値二進変換システム２０は、暗号化数値二進変換装置２１Ａ，２１Ｂを有し、ある数値の暗号文を入力として秘匿回路計算を実行するための当該数値の二進数表記の桁ごとの暗号文を生成する。

なお、図１において、１以上の入力提供装置１０は、秘匿回路計算の入力となる、ある数値の暗号文を暗号化数値二進変換システム２０に提供する。また、１以上の秘匿回路計算装置３０は、暗号化数値二進変換システム２０にて生成された二進数表記の桁ごとの暗号文を基に秘匿回路計算を実行する。

以下、暗号化数値二進変換装置２１Ａ，２１Ｂにおいて、Ｅｌ Ｇａｍａｌ暗号で暗号化された数値に対して、当該数値を明かすこと無く、当該数値を二進数表記の桁ごとに暗号化した暗号文を生成するための処理手順について説明する。

最初に、Ｅｌ Ｇａｍａｌ暗号の構成例について説明しておく。

Ｅｌ Ｇａｍａｌ暗号の場合、ｇを素数位数ｑの乗法群Ｇの生成元とし、ｇ，ｑ，Ｇを公開情報としたとき、先ず、鍵ペア（ｘ，ｙ＝ｇ^x）を生成する。ここで、ｘは０以上ｑ未満の整数からなる秘密鍵であり、ｙは公開鍵である。ここでは、暗号化数値二進変換装置２１Ｂが当該鍵ペアを生成し、秘密鍵ｘは暗号化数値二進変換装置２１Ｂが所持するものとする。

次に、Ｅ（・）をＥｌ Ｇａｍａｌ暗号の暗号化関数としたとき、Ｇの元ｚの暗号文をＥ（ｚ）＝（Ａ，Ｂ）＝（ｇ^r，ｚ×ｙ^r）とする。ここで、ｒは０以上ｑ未満の乱数である。復号に秘密鍵ｘを用いることで、復号処理の結果ｚ＝Ｂ／Ａ^xを得ることができる。なお、ｚを０以上ｑ未満の整数としたいときは、Ｅ（ｚ）＝（ｇ^r，ｙ^r+z）としても良い。非特許文献２に開示された方法では、この形式のＥ（ｚ）を用いている。ただし、この形式の場合、上記の復号処理の結果はｙ^zとなり、ｙ^zからｚを求める必要がある。ｚの候補数が多くなるとｙ^zからｚを求めることは一般に困難となるため、ｚの候補数は予め少なく設定することが望ましい。

本発明では、非特許文献２に開示された方法とＥ（ｚ）の形式が同様であることを前提とし、以降説明の簡略化のため、入力提供装置１０は単一とし、当該入力提供装置１０がＥ（ｚ）を生成し、暗号化数値二進変換装置２１Ａに送信するものとする。なお、ｚは０（＝ａ）以上２^t−１（＝ｂ）以下の整数とする（ｔは適当な自然数）。

すなわち、本発明が解決しようとする課題は、ｚを二進数表記したときの下位ｊ＋１桁目をｚ_jと表記したとき、ｚを復元すること無く、Ｅ（ｚ）から、Ｅ（ｚ_t-1），・・・，Ｅ（ｚ₀）を生成することである。

以下、暗号化数値二進変換装置２１Ａ，２１Ｂの処理手順の概略を、図２を用いて説明する。

先ず、暗号化数値二進変換装置２１Ａは、ステップＡ１において、Ｅ（ｚ）を受信すると、ステップＡ２において、ある関数Ｆによって０から２^t−１までの各整数ｉに対応するデータＦ（ｉ）、及び、Ｅ（Ｆ（ｚ））を生成し、ｉに対してある置換関数πを作用させることで得られる２^t個のデータ（π（ｉ）：Ｆ（ｉ））（ｉ＝０，１，・・・，２^t−１）を、Ｅ（Ｆ（ｚ））とともに暗号化数値二進変換装置２１Ｂに送信する。

次に、（π（ｉ）：Ｆ（ｉ））及びＥ（Ｆ（ｚ））を受信した暗号化数値二進変換装置２１Ｂは、ステップＡ３において、Ｅ（Ｆ（ｚ））を復号してＦ（ｚ）を取得し、（π（ｉ）：Ｆ（ｉ））からＦ（ｚ）と一致するＦ（ｉ）を探索し、対応するπ（ｉ）を取得し、ステップＡ４において、π（ｉ）をｔ桁の二進数表記としたときの下位ｊ＋１桁目をｗ_jと表記したとき、ｊ＝０，１，・・・，ｔ−１についてＥ（ｗ_j）を生成し、Ｅ（ｗ_j）を暗号化数値二進変換装置２１Ａに送信する。

最後に、Ｅ（ｗ_j）（ｊ＝０，１，・・・，ｔ−１）を受信した暗号化数値二進変換装置２１Ａは、ステップＡ５において、Ｅ（ｗ_j）に対してπ^-1を作用させ、Ｅ（ｚ_j）（ｊ＝０，１，・・・，ｔ−１）を得る。

上記の各処理について具体例を与える。

先ず、Ｆとして、例えば、０以上ｑ未満の整数ｕを用いて、Ｆ（ｉ）＝ｙ^(i+1)uとする。この場合、暗号化数値二進変換装置２１Ａは、Ｅ（ｚ）＝（ｇ ^r ，ｙ ^r+z ）から、Ｅ（Ｆ（ｚ））＝（（ｇ^r）^u，（ｙ^r+z）^u×ｙ^u）＝（ｇ ^ru ，ｙ ^(z+1)u ×ｙ ^ru ）が計算可能となる。また、Ｆは、暗号化数値二進変換装置２１Ａ以外はＦ（ｉ）からｉを求めることが困難となるようにする必要がある。そして、πとして、例えば、二進数表記でｔ桁の数値ｖを用いて

とする。ここで、

はｉを二進数表記し、ｉとｖを各桁ごとにＸＯＲ演算した結果を並べたものとする。

すると、暗号化数値二進変換装置２１Ｂは、Ｅ（Ｆ（ｚ））を復号してＦ（ｚ）＝ｙ^(z+1)uを得ることができ、（π（ｉ）：Ｆ（ｉ））のＦ（ｉ）の中からＦ（ｚ）と一致するものを探索し、対応する

を得ることができる。したがって、

となり（ｖ_jはｖの二進数表記の下位ｊ＋１桁目）、ｖ_jを所持している暗号化数値二進変換装置２１Ａは、Ｅ（ｗ_j）に対してπ^-1を作用させた結果となる、

（ｊ＝０，１，・・・，ｔ−１）を得ることができる。ここで、Ｅ（１−ｗ_j）は、Ｅ（ｗ_j）から生成できることが知られており、例えば、非特許文献２にも開示されていることから、ここでは生成方法は省略する。

以上により、暗号化数値二進変換装置２１Ａは、Ｅ（ｚ_j）を得ることができ、得られたＥ（ｚ_j）を秘匿回路計算装置３０に送信する。１以上からなる秘匿回路計算装置３０は、例えば、非特許文献２に開示された方法により秘匿回路計算を実行する。なお、非特許文献２に開示された方法によれば秘匿回路計算装置３０は２以上を必要とする。

以上、本実施例では、Ｆやπについて具体例を与えたが、勿論これに限るものではない。例えば、本実施例では、（π（ｉ）：Ｆ（ｉ））を（π（ｉ）：Ｈａｓｈ（Ｆ（ｉ）））とし（Ｈａｓｈ（・）は適当なハッシュ関数）、暗号化数値二進変換装置２１Ｂは、Ｆ（ｚ）をＨａｓｈ（Ｆ（ｚ））に変換してからＨａｓｈ（Ｆ（ｉ））との一致探索を行うとしても良い。また、πとしてπ（ｉ）＝ｚ＋ｖ等としても良い。この場合、Ｅ（ｗ_j）からＥ（ｚ_j）を求めるためには、非特許文献１にしたがえば、暗号化数値二進変換装置２１Ａ，２１Ｂが協力する必要がある。

また、本実施例では、秘密鍵ｘは暗号化数値二進変換装置２１Ｂが所持するものとしたが、非特許文献２に開示された方法のように、ｘを暗号化数値二進変換装置２１Ａ，２１Ｂが分散所持するものとしても良い。この場合、いま、暗号化数値二進変換装置２１Ａ，２１Ｂがそれぞれ分散された秘密鍵ｘ_A，ｘ_Bを所持するものとすると、暗号化数値二進変換装置２１ＡはＥ（Ｆ（ｚ））に対してｘ_Aを用いて部分的に復号したものを暗号化数値二進変換装置２１Ｂに送信し、それを受信した暗号化数値二進変換装置２１Ｂは、ｘ_Bを用いてＥ（Ｆ（ｚ））を完全に復号することができる。

また、本実施例では、秘匿回路計算装置３０を２つとし、それぞれ暗号化数値二進変換装置２１Ａ，２１Ｂと同一の装置として構成しても良い。この場合、上述の秘密鍵の分散所持は、非特許文献２の秘匿回路計算で必要となるため、このようにすることが望ましい。

更に、本実施例では、暗号化数値二進変換システム２０を２つの暗号化数値二進変換装置２１Ａ，２１Ｂで構成したが、１つの暗号化数値二進変換装置で構成しても良い。

本実施例の暗号化数値二進変換システム２０は、実施例１と比べて、構成自体は同様であるが、暗号化数値二進変換装置２１Ａ，２１Ｂにおいて、Ｅ（ｚ_j）が正しくｚの二進数表記における桁ごとの暗号文となっているかどうか検証を行う点が異なる。

なお、ここでは、実施例１の処理手順に基づき、

とし（ｕ，ｕ′は適当な乱数）、入力提供装置１０の処理は同様とし、秘匿回路計算装置３０は非特許文献２に開示された方法により秘匿回路計算を実行するものとする。

以下、暗号化数値二進変換装置２１Ａ，２１Ｂの処理手順を、図３を用いて説明する。
説明する。

先ず、暗号化数値二進変換装置２１Ａは、ステップＢ１において、Ｅ（ｚ）を受信すると、ステップＢ２において、０から２^t−１までの各整数ｉに対応するデータＦ（ｉ）＝ｙ^iu+u′、及びＥ（Ｆ（ｚ））を生成し、２^t個のデータ

（ｉ＝０，１，・・・，２^t−１）を、Ｅ（Ｆ（ｚ））とともに暗号化数値二進変換装置Ｂに送信する。

次に、

及びＥ（Ｆ（ｚ））を受信した暗号化数値二進変換装置２１Ｂは、ステップＢ３において、Ｅ（Ｆ（ｚ））を復号してＦ（ｚ）を取得し、

からＦ（ｚ）と一致するＦ（ｉ）を探索し、対応する

を取得し、ステップＢ４において、

をｔ桁の二進数表記としたときの下位ｊ＋１桁目をｗ_jと表記したとき、ｊ＝０，１，・・・，ｔ−１についてＥ（ｗ_j）を生成する。また、ステップＢ４においては、更に、暗号化数値二進変換装置２１Ｂは、Ｅ（ｗ_j）の復号結果ｗ_jが０または１のどちらかであることを示すためにゼロ知識証明による証明情報を生成し、Ｅ（ｗ_j）及び当該証明情報を暗号化数値二進変換装置２１Ａに送信する。

次に、Ｅ（ｗ_j）（ｊ＝０，１，・・・，ｔ−１）及び当該証明情報を受信した暗号化数値二進変換装置２１Ａは、ステップＢ５において、当該証明情報を検証し、正しいと判断した場合は、Ｅ（ｗ_j）からＥ（ｚ_j）（ｊ＝０，１，・・・，ｔ−１）を得る。一方、当該証明情報が不正と判断した場合は、暗号化数値二進変換装置２１Ａは、以降の処理を行わない等、例外的措置をとる。なお、暗号化数値二進変換装置２１Ａは、Ｅ（ｚ_j）を正しく生成したとは限らないため、Ｅ（ｚ_j）をＥ（ｚ′_j）と表記する。

最後に、暗号化数値二進変換装置２１Ａ，２１Ｂは、ステップＢ６において、Ｅ（ｚ′_j）から

を計算し、

の復号結果とＥ（ｚ）の復号結果とが等しいかどうか、それぞれの暗号文を復号すること無く検証する。等しければＥ（ｚ′_j）は正しく生成されていることになる。

当該検証方法として、例えば、暗号化数値二進変換装置２１Ａは、１以上ｑ未満の乱数ａを生成し、

から

を計算し、同様に暗号化数値二進変換装置２１Ｂは、１以上ｑ未満の乱数ｂを生成し、

から

を計算する。

次に、暗号化数値二進変換装置２１Ａ，２１Ｂは、

から

を計算し、

を復号し、復号結果が０であれば

の復号結果とＥ（ｚ）の復号結果が等しいと判断する。その理由は、ｚと

が等しければ、

の復号結果はａ，ｂにかかわらず０となり、異なれば当該復号結果が０になることは、ａ，ｂが乱数であることからその確率が低くなるためである。なお、例えば、

から

を計算することはＥ（・）の準同型性により可能であることが非特許文献２等で開示されている。具体的には、Ｅ（ｚ）＝（Ａ，Ｂ），Ｅ（ｚ′）＝（Ａ′，Ｂ′）としたとき、（ＡＡ′，ＢＢ′）＝Ｅ（ｚ＋ｚ′）となり、また、整数ｃに対して（Ａ^c，Ｂ^c）＝Ｅ（ｃｚ）となることが知られているため、このような処理を実行すれば良い。

図４に示すように、本実施例の暗号化数値二進変換システム２０は、実施例１，２と比べて、３つの暗号化数値二進変換装置２１Ａ，２１Ｂ，２１Ｃを有する点が異なる。

なお、図３では、暗号化数値二進変換装置の数を３と固定しているが、本実施例は、４つ以上であっても同様の処理が可能である。

ここでは、入力提供装置１０の処理は実施例１と同様とし、秘匿回路計算装置３０は非特許文献２に開示された方法により秘匿回路計算を実行するものとする。

以下、暗号化数値二進変換装置２１Ａ，２１Ｂ，２１Ｃの処理手順の概略を、図５を用いて説明する。

ここでは、暗号化数値二進変換装置２１Ａ，２１Ｂ，２１Ｃは、秘密鍵ｘを分散所持し、暗号化数値二進変換装置２１Ａ，２１Ｂ，２１Ｃの全装置が処理した場合に限り、Ｅ（・）によって暗号化された暗号文を復号できるものとし、また、０から２^t−１までの各整数ｉの暗号文Ｅ（ｉ）を生成する。

先ず、暗号化数値二進変換装置２１Ａは、ステップＣ１において、Ｅ（ｚ）を受信する。

すると、暗号化数値二進変換装置２１Ａは、ステップＣ２において、ある関数Ｆ_AによってＥ（ｉ）を変換したＦ_A（Ｅ（ｉ））を生成し、ｉにある置換関数π_Aを作用させることで得られる２^t個のデータ（π_A（ｉ）：Ｆ_A（Ｅ（ｉ）））（ｉ＝０，１，・・・，２^t−１）を暗号化数値二進変換装置２１Ｂに送信する。

次に、（π_A（ｉ）：Ｆ_A（Ｅ（ｉ）））（ｉ＝０，１，・・・，２^t−１）を受信した暗号化数値二進変換装置２１Ｂは、ある関数Ｆ_BによってＦ_A（Ｅ（ｉ））を変換したＦ_B（Ｆ_A（Ｅ（ｉ）））を生成し、π_A（ｉ）にある置換関数π_Bを作用させることで得られる２^t個のデータ（π_B（π_A（ｉ））：Ｆ_B（Ｆ_A（Ｅ（ｉ））））（ｉ＝０，１，・・・，２^t−１）を暗号化数値二進変換装置２１Ｃに送信する。

次に、（π_B（π_A（ｉ））：Ｆ_B（Ｆ_A（Ｅ（ｉ））））（ｉ＝０，１，・・・，２^t−１）を受信した暗号化数値二進変換装置２１Ｃは、ある関数Ｆ_CによってＦ_B（Ｆ_A（Ｅ（ｉ）））を変換したＦ_C（Ｆ_B（Ｆ_A（Ｅ（ｉ））））を生成し、π_B（π_A（ｉ））にある置換関数π_Cを作用させることで得られる２^t個のデータ（π_C（π_B（π_A（ｉ）））：Ｆ_C（Ｆ_B（Ｆ_A（Ｅ（ｉ）））））（ｉ＝０，１，・・・，２^t−１）を暗号化数値二進変換装置２１Ａ，２１Ｂに送信する。

次に、暗号化数値二進変換装置２１Ａ，２１Ｂ，２１Ｃは、ステップＣ３において、当該Ｆ_C（Ｆ_B（Ｆ_A（Ｅ（ｉ））））に対応するｉとＥ（ｚ）に対応するｚとの一致探索を行い、対応するπ_C（π_B（π_A（ｉ）））を得る。そして、暗号化数値二進変換装置２１Ａ，２１Ｂ，２１Ｃは、ステップＣ４において、π_C（π_B（π_A（ｉ）））をｔ桁の二進数表記としたときの下位ｊ＋１桁目をｗ_jと表記したとき、ｊ＝０，１，・・・，ｔ−１についてＥ（ｗ_j）を生成する。

最後に、ステップＣ５において、Ｅ（ｗ_j）に対して暗号化数値二進変換装置２１Ｃ，２１Ｂ，２１Ａの順に、それぞれが

を作用させ、Ｅ（ｚ_j）（ｊ＝０，１，・・・，ｔ−１）を得る。

上記の各処理について具体例を与える。

先ず、Ｆ_A，Ｆ_B，Ｆ_Cとして、例えば、非特許文献２に開示されたような再暗号化手法がある。すなわち、ある数値ｚの暗号文Ｅ（ｚ）＝（ｇ^r，ｙ^r+z）に対し、０以上ｑ未満の乱数ｓを用いて、（ｇ^r+s，ｙ^r+s+z）＝（ｇ^rｇ^s，ｙ^r+zｙ^s）を計算し、これをＥ（ｚ）に置き換える。数値ｚを変えること無く暗号文が変化するため、置換関数を作用させることで（ｇ^r，ｙ^r+z）と（ｇ^r+s，ｙ^r+s+z）との対応関係を秘匿することが可能となる。Ｆ_C（Ｆ_B（Ｆ_A（Ｅ（ｉ））））に対応するｉと、Ｅ（ｚ）に対応するｚとの一致探索は、Ｆ_A，Ｆ_B，Ｆ_Cを上述の再暗号化手法とすることで、Ｅ（π_C（π_B（π_A（ｉ））））とＥ（ｚ）の復号結果との一致探索となるため、実施例２で示したような方法を用いれば良い。なお、π_A，π_B，π_Cや

の作用は実施例１と同様で良く、その説明は省略する。

以上により、暗号化数値二進変換システム２０を３つ以上の暗号化数値二進変換装置で構成した場合でも、Ｅｌ Ｇａｍａｌ暗号で暗号化された数値に対して、当該数値を明かすこと無く、当該数値を二進数表記の桁ごとに暗号化した暗号文を生成することが可能となる。

以上、本発明を実施例を参照して説明したが、本発明は上記実施例に限定されものではない。本発明の構成や詳細には、本発明の範囲内で当業者が理解し得る様々な変更をすることができる。

例えば、実施例３に、実施例２で示されたＥ（ｚ_j）の検証方法を適用しても良い。

また、実施例１，２，３では、暗号化数値二進変換システム２０を複数の暗号化数値二進変換装置で構成したが、１つの暗号化数値二進変換装置で構成しても良い。更に、この場合、その暗号化数値二進変換装置にて行われる暗号化数値二進変換方法を、コンピュータに実行させるためのプログラムに適用しても良い。また、そのプログラムを記憶媒体に格納することも可能であり、ネットワークを介して外部に提供することも可能である。

１０ 入力提供装置
２０ 暗号化数値二進変換システム
２１Ａ，２１Ｂ，２１Ｃ 暗号化数値二進変換装置
３０ 秘匿回路計算装置

Claims (7)

1. １または２個の暗号化数値二進変換装置を用いて、Ｅｌ Ｇａｍａｌ暗号の暗号化関数をＥ（・）とし、ａ≦ｚ≦ｂとなる整数ｚの暗号文をＥ（ｚ）としたとき、Ｅ（ｚ）を入力として、ｚをｔ桁の二進数表記とした桁ごとの暗号文を求める暗号化数値二進変換システムであって、
   関数Ｆ及び置換関数πを用いて、（π（ｉ）：Ｆ（ｉ））（ｉ＝０，１，・・・，２^t−１）を生成し、
   Ｆ（ｚ）とＦ（ｉ）との対応関係を基にπ（ｉ）を求め、
   π（ｉ）をｔ桁の二進数表記とした桁ごとに暗号化してＥ（ｗ_j）（ｊ＝０，１，・・・，ｔ−１）を求め、
   Ｅ（ｗ_j）に対してπ^-1を作用させてＥ（ｚ_j）を求める、暗号化数値二進変換システム。
2. Ｎ（Ｎは３以上の整数）個の暗号化数値二進変換装置を用いて、Ｅｌ Ｇａｍａｌ暗号の暗号化関数をＥ（・）とし、ａ≦ｚ≦ｂとなる整数ｚの暗号文をＥ（ｚ）としたとき、Ｅ（ｚ）を入力として、ｚをｔ桁の二進数表記とした桁ごとの暗号文を求める暗号化数値二進変換システムであって、
   関数Ｆ_n及び置換関数π_n（ｎ＝１，・・・，Ｎ）を用いて、（π_N（π_N-1（・・・（π₁（ｉ））））：Ｆ_N（Ｆ_N-1（・・・（Ｆ₁（Ｅ（ｉ））））））（ｉ＝０，１，・・・，２^t−１）を生成し、
   Ｆ_N（Ｆ_N-1（・・・（Ｆ₁（Ｅ（ｉ）））））に対応するｉとＥ（ｚ）に対応するｚとの対応関係を基にπ_N（π_N-1（・・・（π₁（ｉ））））を求め、
   π_N（π_N-1（・・・（π₁（ｉ））））をｔ桁の二進数表記とした桁ごとに暗号化してＥ（ｗ_j）（ｊ＝０，１，・・・，ｔ−１）を求め、
   Ｅ（ｗ_j）に対してπ_n ^-1を作用させてＥ（ｚ_j）を求める、暗号化数値二進変換システム。
3. Ｅ（ｗ_j）の復号結果ｗ_jについてのゼロ知識証明による証明情報を生成し、
   証明情報が正しい場合にＥ（ｚ_j）を求め、更に、Ｅ（ｚ_j）から
   

   

   を計算し復号した復号結果とＥ（ｚ）の復号結果とが等しいかどうかを検証する、請求項１または２に記載の暗号化数値二進変換システム。
4. １または２個の暗号化数値二進変換手段を用いて、Ｅｌ Ｇａｍａｌ暗号の暗号化関数をＥ（・）とし、ａ≦ｚ≦ｂとなる整数ｚの暗号文をＥ（ｚ）としたとき、Ｅ（ｚ）を入力として、ｚをｔ桁の二進数表記とした桁ごとの暗号文を求める暗号化数値二進変換システムによる暗号化数値二進変換方法であって、
   関数Ｆ及び置換関数πを用いて、（π（ｉ）：Ｆ（ｉ））（ｉ＝０，１，・・・，２^t−１）を生成する第１ステップと、
   Ｆ（ｚ）とＦ（ｉ）との対応関係を基にπ（ｉ）を求める第２ステップと、
   π（ｉ）をｔ桁の二進数表記とした桁ごとに暗号化してＥ（ｗ_j）（ｊ＝０，１，・・・，ｔ−１）を求める第３ステップと、
   Ｅ（ｗ_j）に対してπ^-1を作用させてＥ（ｚ_j）を求める第４ステップと、を有する暗号化数値二進変換方法。
5. Ｎ（Ｎは３以上の整数）個の暗号化数値二進変換手段を用いて、Ｅｌ Ｇａｍａｌ暗号の暗号化関数をＥ（・）とし、ａ≦ｚ≦ｂとなる整数ｚの暗号文をＥ（ｚ）としたとき、Ｅ（ｚ）を入力として、ｚをｔ桁の二進数表記とした桁ごとの暗号文を求める暗号化数値二進変換システムによる暗号化数値二進変換方法であって、
   関数Ｆ_n及び置換関数π_n（ｎ＝１，・・・，Ｎ）を用いて、（π_N（π_N-1（・・・（π₁（ｉ））））：Ｆ_N（Ｆ_N-1（・・・（Ｆ₁（Ｅ（ｉ））））））（ｉ＝０，１，・・・，２^t−１）を生成する第１ステップと、
   Ｆ_N（Ｆ_N-1（・・・（Ｆ₁（Ｅ（ｉ）））））に対応するｉとＥ（ｚ）に対応するｚとの対応関係を基にπ_N（π_N-1（・・・（π₁（ｉ））））を求める第２ステップと、
   π_N（π_N-1（・・・（π₁（ｉ））））をｔ桁の二進数表記とした桁ごとに暗号化してＥ（ｗ_j）（ｊ＝０，１，・・・，ｔ−１）を求める第３ステップと、
   Ｅ（ｗ_j）に対してπ_n ^-1を作用させてＥ（ｚ_j）を求める第４ステップと、を有する暗号化数値二進変換方法。
6. 前記第３ステップでは、更に、Ｅ（ｗ_j）の復号結果ｗ_jについてのゼロ知識証明による証明情報を生成し、
   前記第４ステップでは、証明情報が正しい場合にＥ（ｚ_j）を求め、
   更に、Ｅ（ｚ_j）から
   

   

   を計算し復号した復号結果とＥ（ｚ）の復号結果とが等しいかどうかを検証する第５ステップを有する、請求項４または５に記載の暗号化数値二進変換方法。
7. 請求項４から６のいずれか１項に記載の暗号化数値二進変換方法をコンピュータに実行させるための暗号化数値二進変換プログラム。

Images