JP5161177B2

JP5161177B2 - 代理計算依頼装置、代理計算依頼方法、代理計算依頼プログラム、記録媒体

Info

Publication number: JP5161177B2
Application number: JP2009204705A
Authority: JP
Inventors: 剛山本; 鉄太郎小林
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2009-09-04
Filing date: 2009-09-04
Publication date: 2013-03-13
Anticipated expiration: 2029-09-04
Also published as: JP2011053607A

Description

本発明は、通信手段を用いて他の装置に複雑な演算を行わせる代理計算依頼装置、代理計算依頼方法、代理計算依頼プログラム、および代理計算依頼プログラムを記録した記録媒体に関する。

ＩＤベース暗号などのアルゴリズムの内部では、ペアリングなどの双線形写像の計算を行う必要がある場合がある（非特許文献１、特許文献１参照）。そして、ペアリングなどの双線形写像の計算は比較的複雑なアルゴリズムを必要とする場合がある。また、ＩＤベース暗号などのアルゴリズムを実行するシステムは、信頼できるシステムである必要がある。よって、ＩＤベース暗号などのアルゴリズムを実行させるシステムは、一定以上の性能を備え、信頼できるプロセッサを利用できるように設計されていた。

特開２００９−１４１６７４号公報

D.Boneh, M. Franklin,"Identitybased encryption from the Weil pairing",Crypto2001, Lecture Notes in Computer Science, Vol. 2139, Springer-Verlag, pp.213-229, 2001.

従来技術は、信頼できるプロセッサなどの計算装置を、信頼できる領域内で利用しなければならないという制約がある。また、信頼できる計算装置は高価である。したがって、信頼性が十分でない計算装置を利用することや、信頼できない領域（インターネットなどの通信網）を介して計算装置を利用できないことにより、ＩＤベース暗号システムなどの設備や運用に掛かるコストを低減できないという課題がある。

そこで、本発明は、信頼できるとは限らない計算装置（信頼できるとは限らない領域を介した計算装置を含む）によって双線形写像を計算できる技術を提供することを目的とする。

本発明の代理計算依頼装置は、双線形写像θ：Ｇ×Ｈ→Ｆの計算を行う計算装置に計算を依頼することで、群Ｇの元ｇと群Ｈの元ｈの双線形写像θ（ｇ，ｈ）を求める。ただし、Ｆ、Ｇ、Ｈは巡回群である。また、ｏｒｄ（）は巡回群の位数、μ_ｇ、μ_ｈはそれぞれ群Ｇ、Ｈの生成元を示すものとし、ν＝θ（μ_ｇ，μ_ｈ）とする。本発明の代理計算依頼装置は、乱数生成部、変換部、送受信部、逆変換部を備える。乱数生成部は、０以上ｏｒｄ（Ｇ）未満の乱数ｒと０以上ｏｒｄ（Ｈ）未満の乱数ｓを生成する。変換部は、計算装置に送信する依頼データｇ’、ｈ’を、ｇ’＝ｇ^ｒ、ｈ’＝ｈ^ｓのように求める。送受信部は、依頼データ（ｇ’、ｈ’）を計算装置に送信し、計算装置から結果ｚを受信する。逆変換部は、ｕ・ｒ・ｓ＝１ｍｏｄｏｒｄ（Ｆ）となるｕを求め、θ（ｇ，ｈ）＝ｚ^ｕとする。

また、本発明の別の代理計算依頼装置では、乱数生成部は、０以上ｏｒｄ（Ｇ）未満の乱数ｒとａ、および０以上ｏｒｄ（Ｈ）未満の乱数ｓとｂを生成する。変換部は、計算装置に送信する依頼データｇ’、ｈ’を、ｇ’＝μ_ｇ ^ｒｇ^ａ、ｈ’＝μ_ｈ ^ｓのように求める第１変換手段と、ｇ’＝μ_ｇ ^ｒ、ｈ’＝μ_ｈ ^ｓｈ^ｂのように求める第２変換手段と、ｇ’＝μ_ｇ ^ｒｇ^ａ、ｈ’＝μ_ｈ ^ｓｈのように求める第３変換手段とを有する。逆変換部は、ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）となるａ’を求め、（ｚν^−ｒｓ）^ａ’を求める第１逆変換手段と、ｓ・ｓ’＝１ｍｏｄｏｒｄ（Ｆ）となるｓ’を求め、α_ｇ＝ｚ_ｇ ^ｓ’を求める第２逆変換手段と、ｂ・ｂ’＝１ｍｏｄｏｒｄ（Ｆ）となるｂ’を求め、（ｚν^−ｒｓ）^ｂ’を求める第３逆変換手段と、ｒ・ｒ’＝１ｍｏｄｏｒｄ（Ｆ）となるｒ’を求め、α_ｈ＝ｚ_ｈ ^ｒ’を求める第４逆変換手段と、ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）となるａ’を求め、（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’を求める第５逆変換手段とを有する。また、制御部が、α_ｇ乱数生成手段、α_ｇ繰り返し手段、α_ｇ算出手段、α_ｈ乱数生成手段、α_ｈ繰り返し手段、α_ｈ算出手段、θ繰り返し手段を有する。α_ｇ乱数生成手段は、乱数生成部に乱数ｓを生成させる。α_ｇ繰り返し手段は、乱数生成部による乱数ｒとａの生成、第１変換手段の処理、送受信部の処理、第１逆変換手段の処理を繰り返して複数の（ｚν^−ｒｓ）^ａ’の値を求め、あらかじめ定めた条件に適合する（ｚν^−ｒｓ）^ａ’の値をｚ_ｇとする。α_ｇ算出手段は、第２逆変換手段の処理を実行させる。α_ｈ乱数生成手段は、乱数生成部に乱数ｒを生成させる。α_ｈ繰り返し手段は、乱数生成部による乱数ｓとｂの生成、第２変換手段の処理、送受信部の処理、第３逆変換手段の処理を繰り返して複数の（ｚν^−ｒｓ）^ｂ’の値を求め、あらかじめ定めた条件に適合する（ｚν^−ｒｓ）^ｂ’の値をｚ_ｈとする。α_ｈ算出手段は、第４逆変換手段の処理を実行させる。θ繰り返し手段は、乱数生成部による乱数ｒとｓとａの生成、第３変換手段の処理、送受信部の処理、第５逆変換手段の処理を繰り返して複数の（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’の値を求め、あらかじめ定めた条件に適合する（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’の値をθ（ｇ，ｈ）とする。

本発明の代理計算依頼装置によれば、信頼できるとは限らない計算装置（信頼できるとは限らない領域を介した計算装置を含む）に双線形写像の計算を依頼する場合に、入出力を乱数によって攪拌する。したがって、代理計算依頼装置と計算装置との間の通信を傍受する攻撃者があるときでも、代理計算依頼装置内部の状態を攻撃者に秘匿できる。

また、本発明の別の代理計算依頼装置によれば、信頼できるとは限らない計算装置（信頼できるとは限らない領域を介した計算装置を含む）への入出力を複数回繰り返す。したがって、計算装置が誤ることがあったとしても代理計算依頼装置は、無視し得る誤り率で双線形写像を出力できる。

本発明の代理計算依頼装置を用いたシステムの構成例を示す図。実施例１の代理計算依頼装置の構成例を示す図。実施例１の代理計算依頼装置を用いたシステムの処理フロー例を示す図。実施例２の代理計算依頼装置の構成例を示す図。実施例２の代理計算依頼装置を用いたシステムの処理フロー例を示す図。図５の続きであって、実施例２の代理計算依頼装置を用いたシステムの処理フロー例を示す図。図６の続きであって、実施例２の代理計算依頼装置を用いたシステムの処理フロー例を示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

図１に本発明の代理計算依頼装置を用いたシステムの構成例を、図２に実施例１の代理計算依頼装置の構成例を示す。また、図３に実施例１の代理計算依頼装置を用いたシステムの処理フロー例を示す。代理計算依頼装置１００は、通信網９００（インターネットなどの公衆網やイントラネットなどのプライベートネットワーク）を介して計算装置５００に接続されている。通信網９００として専用のネットワークを構築すれば信頼性は確保できるがシステム全体のコストが高くなる。一方、通信網９００としてインターネットなどの公衆網を使用すればシステム全体のコストや低減できる。しかし、通信網９００が、信頼できるとは限らない領域に該当することになり、代理計算依頼装置１００と計算装置５００との間の通信を傍受する攻撃者が現れるリスクがある。

代理計算依頼装置１００は、双線形写像θ：Ｇ×Ｈ→Ｆの計算を行う計算装置５００に計算を依頼することで、群Ｇの元ｇと群Ｈの元ｈの双線形写像θ（ｇ，ｈ）を求める。ただし、Ｆ、Ｇ、Ｈは巡回群である。また、ｏｒｄ（）は巡回群の位数とし、ν＝θ（μ_ｇ，μ_ｈ）とする。代理計算依頼装置１００は、乱数生成部１１０、変換部１２０、送受信部１３０、逆変換部１４０、制御部１５０、記録部１９０などを備える。制御部１５０は、代理計算依頼装置１００の処理の順序を制御する。記録部１９０は、ｇ、ｈ、νなどの処理に必要なデータを記録する。

代理計算依頼装置１００が入力ｇ、ｈを受け取ると、乱数生成部１１０は、０以上ｏｒｄ（Ｇ）未満の乱数ｒと０以上ｏｒｄ（Ｈ）未満の乱数ｓを生成する（Ｓ１１０）。変換部１２０は、計算装置５００に送信する依頼データｇ’、ｈ’を、ｇ’＝ｇ^ｒ、ｈ’＝ｈ^ｓのように求める（Ｓ１２０）。このように、送信する依頼データ（ｇ’、ｈ’）は、乱数ｒ、ｓを用いた演算を入力ｇ、ｈに施したデータである。したがって、代理計算依頼装置１００からの出力は、乱数によって攪拌されており、代理計算依頼装置１００内部の状態を攻撃者に秘匿できる。

送受信部１３０は、依頼データ（ｇ’、ｈ’）を計算装置に送信する（Ｓ１３０）。計算装置５００は、依頼データ（ｇ’、ｈ’）を受信し（Ｓ５１０）、演算を行って双線形写像ｚ＝θ（ｇ’、ｈ’）を求め（Ｓ５２０）、結果ｚを代理計算依頼装置１００に送信する（Ｓ５３０）。送受信部１３０は、計算装置から結果ｚを受信する（Ｓ１３５）。ここで、代理計算依頼装置１００が受信するデータは、乱数ｒ、ｓを用いた演算を入力ｇ、ｈに施したデータに対する双線形写像である。したがって、代理計算依頼装置１００への入力は、乱数によって攪拌されており、代理計算依頼装置１００内部の状態を攻撃者に秘匿できる。また、以下では、ステップＳ１３０からステップＳ１３５をまとめてステップＳ５００としている。

逆変換部１４０は、ｕ・ｒ・ｓ＝１ｍｏｄｏｒｄ（Ｆ）となるｕを求め、ｚ^ｕを計算する（Ｓ１４０）。なお、ｚ^ｕは、
ｚ^ｕ＝θ（ｇ’、ｈ’）^ｕ
＝θ（ｇ^ｒ、ｈ^ｓ）^ｕ
＝θ（ｇ、ｈ）^ｒｓｕ
となる。ここで、ｕ・ｒ・ｓ＝１ｍｏｄｏｒｄ（Ｆ）なので、ｚ^ｕ＝θ（ｇ、ｈ）となる。このように、ｚ^ｕは、求めたい双線形写像θ（ｇ，ｈ）となっている。逆変換部１４０は、計算結果ｚ^ｕをθ（ｇ，ｈ）として出力する（Ｓ１６０）。

代理計算依頼装置１００によれば、このように入出力を乱数によって攪拌しながら、双線形写像θ（ｇ，ｈ）を求める。したがって、代理計算依頼装置１００と計算装置５００との間の通信を傍受する攻撃者があるときでも、代理計算依頼装置１００内部の状態を攻撃者に秘匿できる。

また、計算装置５００が偶然の事故などにより双線形写像θ（ｇ’、ｈ’）とは異なる結果を返信する可能性が懸念される場合、上述の処理を複数回繰り返し、そのすべてが同一となることを確認すればよい。

実施例２の代理計算依頼装置を用いたシステムの構成例も図１と同じである。図４に実施例２の代理計算依頼装置の構成例を示す。また、図５から７に実施例２の代理計算依頼装置を用いたシステムの処理フロー例を示す。代理計算依頼装置１００は、通信網９００（インターネットなどの公衆網やイントラネットなどのプライベートネットワーク）を介して計算装置５００に接続されている。本実施例では、通信網９００を介した計算装置５００からの返信データである結果ｚが信頼できないときであって、正しい計算結果を返信する確率がｐであることが分かっている場合について説明する。

代理計算依頼装置２００も、双線形写像θ：Ｇ×Ｈ→Ｆの計算を行う計算装置５００に計算を依頼することで、群Ｇの元ｇと群Ｈの元ｈの双線形写像θ（ｇ，ｈ）を求める。ただし、Ｆ、Ｇ、Ｈは巡回群である。また、ｏｒｄ（）は巡回群の位数、μ_ｇ、μ_ｈはそれぞれ群Ｇ、Ｈの生成元を示すものとし、ν＝θ（μ_ｇ，μ_ｈ）とする。代理計算依頼装置２００は、乱数生成部２１０、変換部２２０、送受信部１３０、逆変換部２４０、制御部２５０、記録部２９０などを備える。制御部２５０は、代理計算依頼装置２００の処理の順序を制御する。記録部２９０は、ｇ、ｈ、μ_ｇ、μ_ｈ、νなどの処理に必要なデータを記録する。

乱数生成部２１０は、０以上ｏｒｄ（Ｇ）未満の乱数ｒとａ、および０以上ｏｒｄ（Ｈ）未満の乱数ｓとｂを生成する機能を有する。変換部２２０は、計算装置５００に送信する依頼データｇ’、ｈ’を、ｇ’＝μ_ｇ ^ｒｇ^ａ、ｈ’＝μ_ｈ ^ｓのように求める第１変換手段２２１と、ｇ’＝μ_ｇ ^ｒ、ｈ’＝μ_ｈ ^ｓｈ^ｂのように求める第２変換手段２２２と、ｇ’＝μ_ｇ ^ｒｇ^ａ、ｈ’＝μ_ｈ ^ｓｈのように求める第３変換手段２２３とを有する。送受信部１３０は、依頼データ（ｇ’、ｈ’）を計算装置に送信し、計算装置から結果ｚを受信する。逆変換部２４０は、ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）となるａ’を求め、（ｚν^−ｒｓ）^ａ’を求める第１逆変換手段２４１と、ｓ・ｓ’＝１ｍｏｄｏｒｄ（Ｆ）となるｓ’を求め、α_ｇ＝ｚ_ｇ ^ｓ’を求める第２逆変換手段２４２と、ｂ・ｂ’＝１ｍｏｄｏｒｄ（Ｆ）となるｂ’を求め、（ｚν^−ｒｓ）^ｂ’を求める第３逆変換手段２４３と、ｒ・ｒ’＝１ｍｏｄｏｒｄ（Ｆ）となるｒ’を求め、α_ｈ＝ｚ_ｈ ^ｒ’を求める第４逆変換手段２４４と、ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）となるａ’を求め、（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’を求める第５逆変換手段２４５とを有する。また、制御部２５０は、α_ｇ乱数生成手段２５１、α_ｇ繰り返し手段２５２、α_ｇ算出手段２５３、α_ｈ乱数生成手段２５４、α_ｈ繰り返し手段２５５、α_ｈ算出手段２５６、θ繰り返し手段２５７などを有する。

以下に、図５〜７を参照しながら処理フローを説明する。代理計算依頼装置１００が入力ｇ、ｈを受け取ると、α_ｇ乱数生成手段２５１は、乱数生成部２１０に、０以上ｏｒｄ（Ｈ）未満の乱数ｓを生成させる（Ｓ２１１）。α_ｇ繰り返し手段２５２は、乱数生成部２１０による乱数ｒとａの生成（Ｓ２１２）、計算装置５００に送信する依頼データｇ’、ｈ’を、ｇ’＝μ_ｇ ^ｒｇ^ａ、ｈ’＝μ_ｈ ^ｓのように求める第１変換手段２２１の処理（Ｓ２２１）、送受信部１３０と計算装置５００との処理（Ｓ５００）、ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）となるａ’を求め、（ｚν^−ｒｓ）^ａ’を求める第１逆変換手段２４１の処理（Ｓ２４１）を、例えば繰り返し回数が２／ｐ回となるまで繰り返して複数の（ｚν^−ｒｓ）^ａ’の値を求める（Ｓ２５１）。そして、α_ｇ繰り返し手段２５２は、（ｚν^−ｒｓ）^ａ’の最頻値が唯一に定まるかを確認し、Ｙｅｓの場合には、（ｚν^−ｒｓ）^ａ’の最頻値ををｚ_ｇとする（Ｓ２５２）。また、Ｎｏの場合には、ステップＳ２１１に戻る（Ｓ２５２）。なお、ステップＳ２５１の繰り返し回数は２／ｐ回とすれば、誤りの確率を無視できるレベルにできるので最適である。しかし、システムとして要求される信頼度が決まっている場合は、要求される信頼度に合わせて繰り返し回数を調整してもよい。α_ｇ算出手段２５３は、第２逆変換手段２４２に、ｓ・ｓ’＝１ｍｏｄｏｒｄ（Ｆ）となるｓ’を求めさせ、α_ｇ＝ｚ_ｇ ^ｓ’を求めさせる（Ｓ２４２）。

α_ｈ乱数生成手段２５４は、乱数生成部２１０に乱数ｒを生成させる（Ｓ２１３）。α_ｈ繰り返し手段２５５は、乱数生成部２１０による乱数ｓとｂの生成（Ｓ２１４）、ｇ’＝μ_ｇ ^ｒ、ｈ’＝μ_ｈ ^ｓｈ^ｂのように求める第２変換手段２２２の処理（Ｓ２２２）、送受信部１３０と計算装置５００の処理（Ｓ５００）、ｂ・ｂ’＝１ｍｏｄｏｒｄ（Ｆ）となるｂ’を求め、（ｚν^−ｒｓ）^ｂ’を求める第３逆変換手段２４３の処理（Ｓ２４３）を、例えば繰り返し回数が２／ｐ回となるまで繰り返して複数の（ｚν^−ｒｓ）^ｂ’の値を求める（Ｓ２５３）。そして、α_ｈ繰り返し手段２５５は、（ｚν^−ｒｓ）^ｂ’の最頻値が唯一に定まるかを確認し、Ｙｅｓの場合には、（ｚν^−ｒｓ）^ｂ’の最頻値をｚ_ｈとする（Ｓ２５４）。また、Ｎｏの場合には、ステップＳ２１３に戻る（Ｓ２５２）。なお、ステップＳ２５３の繰り返し回数は２／ｐ回とすれば、誤りの確率を無視できるレベルにできるので最適である。しかし、システムとして要求される信頼度が決まっている場合は、要求される信頼度に合わせて繰り返し回数を調整してもよい。α_ｈ算出手段２５６は、第４逆変換手段２４４に、ｒ・ｒ’＝１ｍｏｄｏｒｄ（Ｆ）となるｒ’を求めさせ、α_ｈ＝ｚ_ｈ ^ｒ’を求めさせる（Ｓ２４４）。

θ繰り返し手段２５７は、乱数生成部２１０による乱数ｒとｓとａの生成（Ｓ２１５）、ｇ’＝μ_ｇ ^ｒｇ^ａ、ｈ’＝μ_ｈ ^ｓｈのように求める第３変換手段２２３の処理（Ｓ２２３）、送受信部１３０と計算装置５００との処理（Ｓ５００）、ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）となるａ’を求め、（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’を求める第５逆変換手段２４５の処理（Ｓ２４５）を、例えば繰り返し回数が１／ｐ回となるまで繰り返して複数の（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’の値を求める（Ｓ２５５）。そして、θ繰り返し手段２５７は、（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’の最頻値が唯一に定まるかを確認し、Ｙｅｓの場合には、（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’の最頻値をθ（ｇ，ｈ）とする（Ｓ２５６）。また、Ｎｏの場合には、ステップＳ２１１に戻る（Ｓ２５６）。代理計算依頼装置２００は、ステップＳ２５６でθ（ｇ，ｈ）が得られた場合には、計算結果を出力する（Ｓ２６０）。なお、ステップＳ２５５の繰り返し回数は１／ｐ回とすれば、誤りの確率を無視できるレベルにできるので最適である。しかし、システムとして要求される信頼度が決まっている場合は、要求される信頼度に合わせて繰り返し回数を調整してもよい。

また、ν＝θ（μ_ｇ，μ_ｈ）なので、
α_ｇ＝ｚ_ｇ ^ｓ’＝（ｚν^−ｒｓ）^ａ’ｓ’
＝（θ（μ_ｇ ^ｒｇ^ａ、μ_ｈ ^ｓ）θ（μ_ｇ，μ_ｈ）^−ｒｓ）^ａ’ｓ’
＝（θ（ｇ、μ_ｈ）^ａｓθ（μ_ｇ，μ_ｈ）^{ｒｓ−ｒｓ}）^ａ’ｓ’
＝（θ（ｇ、μ_ｈ）^ａｓ）^ａ’ｓ’
＝θ（ｇ、μ_ｈ）^{ａｓａ’ｓ’}
となる。ここで、ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）、ｓ・ｓ’＝１ｍｏｄｏｒｄ（Ｆ）なので、α_ｇ＝θ（ｇ、μ_ｈ）となる。また、
α_ｈ＝ｚ_ｈ ^ｒ’＝（ｚν^−ｒｓ）^ｂ’ｒ’
＝（θ（μ_ｇ ^ｒ、μ_ｈ ^ｓｈ^ｂ）θ（μ_ｇ，μ_ｈ）^−ｒｓ）^ｂ’ｒ’
＝（θ（μ_ｇ、ｈ）^ｒｂθ（μ_ｇ，μ_ｈ）^{ｒｓ−ｒｓ}）^ｂ’ｒ’
＝（θ（μ_ｇ、ｈ）^ｒｂ）^ｂ’ｒ’
＝θ（μ_ｇ、ｈ）^{ｒｂｂ’ｒ’}
となる。ここで、ｂ・ｂ’＝１ｍｏｄｏｒｄ（Ｆ）、ｒ・ｒ’＝１ｍｏｄｏｒｄ（Ｆ）なので、α_ｈ＝θ（μ_ｇ、ｈ）となる。
なお、ｚの値は計算装置５００に送信する依頼データがそれぞれ異なっているので、α_ｇの場合とα_ｈの場合と次式の場合では、ｚの値はそれぞれ異なることに注意されたい。
したがって、（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’は、
（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’
＝（θ（μ_ｇ ^ｒｇ^ａ、μ_ｈ ^ｓｈ）θ（μ_ｇ，μ_ｈ）^−ｒｓθ（ｇ、μ_ｈ）^−ａｓθ（μ_ｇ、ｈ）^−ｒ）^ａ’
＝（θ（μ_ｇ、μ_ｈ）^{ｒｓ−ｒｓ}θ（ｇ、ｈ）^ａθ（ｇ、μ_ｈ）^{ａｓ−ａｓ}θ（μ_ｇ、ｈ）^ｒ−ｒ）^ａ’
＝θ（ｇ、ｈ）^ａａ’
となる。ここで、ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）なので、
（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’＝θ（ｇ、ｈ）
となる。このように（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’は、求めたい双線形写像θ（ｇ，ｈ）となっている。

代理計算依頼装置２００によれば、このように入出力を乱数によって攪拌しながら、双線形写像θ（ｇ，ｈ）を求める。したがって、代理計算依頼装置２００と計算装置５００との間の通信を傍受する攻撃者があるときでも、代理計算依頼装置２００内部の状態を攻撃者に秘匿できる。さらに、代理計算依頼装置２００によれば、信頼できるとは限らない計算装置５００（または信頼できるとは限らない通信網９００を介した計算装置５００）への入出力を複数回繰り返す。したがって、計算装置５００が誤ること（または通信網９００での改ざん）があったとしても代理計算依頼装置２００は、無視し得る誤り率で双線形写像を出力できる。

［変形例１］
実施例２では、通信網９００を介した計算装置５００からの返信データである結果ｚが信頼できないときであって、正しい計算結果を返信する確率がｐであることが分かっている場合について説明した。本変形例は、通信網９００を介した計算装置５００からの返信データである結果ｚが信頼できないときであって、正しい計算結果を返信する確率が特定できない場合について説明する。本変形例の代理計算依頼装置を用いたシステムの構成例も図１と同じである。本変形例の代理計算依頼装置の構成例は図４に示されており、本変形例の代理計算依頼装置を用いたシステムの処理フロー例は図５から７に示されている。

本変形例の代理計算依頼装置３００と実施例２の代理計算依頼装置２００との相違点は、制御部３５０のα_ｇ繰り返し手段３５２、α_ｈ繰り返し手段３５５、θ繰り返し手段３５７である。そして、代理計算依頼装置３００は、計算装置５００が正しい計算結果を返信する確率が不明なので、あらかじめ時間切れを規定する定数として整数ｔを定めておく。ｔを大きく取れば信頼度を高くすることができるが計算量が増加してしまう。したがって、整数ｔはシステム全体に要求される信頼度や要求される処理時間などから定めればよい。

α_ｇ繰り返し手段３５２とα_ｇ繰り返し手段２５２との相違点は、繰り返しの処理（Ｓ３５１、Ｓ３５２）の条件である。ステップＳ３５１では、α_ｇ繰り返し手段３５２は、繰り返し回数が２ｔ回を越えるか、求めた（ｚν^−ｒｓ）^ａ’の値に重複する値が含まれるようになるまでステップＳ２１２からステップＳ２４１を繰り返す。ステップＳ３５２では、α_ｇ繰り返し手段３５２は、（ｚν^−ｒｓ）^ａ’の値に重複する値が含まれるかを確認し、Ｙｅｓの場合には、重複する（ｚν^−ｒｓ）^ａ’の値をｚ_ｇとする。また、Ｎｏの場合には、ステップＳ２１１に戻る。

α_ｈ繰り返し手段３５５とα_ｈ繰り返し手段２５５との相違点も、繰り返し処理（Ｓ３５３、Ｓ３５４）の条件である。ステップＳ３５３では、α_ｈ繰り返し手段３５５は、繰り返し回数が２ｔ回を越えるか、求めた（ｚν^−ｒｓ）^ｂ’の値に重複する値が含まれるようになるまでステップＳ２１４からステップＳ２４３を繰り返す。ステップＳ３５４では、α_ｈ繰り返し手段３５５は、（ｚν^−ｒｓ）^ｂ’の値に重複する値が含まれるかを確認し、Ｙｅｓの場合には、重複する（ｚν^−ｒｓ）^ｂ’の値をｚ_ｈとする。また、Ｎｏの場合には、ステップＳ２１３に戻る。

θ繰り返し手段３５７とθ繰り返し手段２５７との相違点も、繰り返し処理（Ｓ３５５、Ｓ３５６）の条件である。ステップＳ３５５では、θ繰り返し手段３５７は、繰り返し回数がｔ回を越えるか、求めた（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’の値に重複する値が含まれるようになるまでステップＳ２１５からステップＳ２４５を繰り返す。ステップＳ３５６では、θ繰り返し手段３５７は、（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’の値に重複する値が含まれるかを確認し、Ｙｅｓの場合には、重複する（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’の値をθ（ｇ，ｈ）とする。また、Ｎｏの場合には、ステップＳ２１１に戻る。

代理計算依頼装置２００によれば、このように入出力を乱数によって攪拌しながら、双線形写像θ（ｇ，ｈ）を求める。したがって、代理計算依頼装置２００と計算装置５００との間の通信を傍受する攻撃者があるときでも、代理計算依頼装置２００内部の状態を攻撃者に秘匿できる。さらに、代理計算依頼装置２００によれば、信頼できるとは限らない計算装置５００（または信頼できるとは限らない通信網９００を介した計算装置５００）への入出力を複数回繰り返す。したがって、計算装置５００が誤ること（または通信網９００での改ざん）があったとしても代理計算依頼装置２００は、低い誤り率で双線形写像を出力できる。

実施例１、実施例２、実施例２変形例１で説明した各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１００、２００、３００代理計算依頼装置
１１０、２１０乱数生成部
１２０、２２０変換部
１３０送受信部
１４０、２４０逆変換部
１５０、２５０、３５０制御部
１９０、２９０記録部
５００計算装置
９００通信網

Claims

Ｆ、Ｇ、Ｈを巡回群とし、双線形写像θ：Ｇ×Ｈ→Ｆの計算を行う計算装置に計算を依頼することで、群Ｇの元ｇと群Ｈの元ｈの双線形写像θ（ｇ，ｈ）を求める代理計算依頼装置であって、
ｏｒｄ（）は巡回群の位数、μ_ｇ、μ_ｈはそれぞれ群Ｇ、Ｈの生成元を示すものとし、
μ_ｇ、μ_ｈ、ν＝θ（μ_ｇ，μ_ｈ）をあらかじめ記録しており、
０以上ｏｒｄ（Ｇ）未満の乱数ｒとａ、および０以上ｏｒｄ（Ｈ）未満の乱数ｓとｂを生成する乱数生成部と、
前記計算装置に送信する依頼データｇ’、ｈ’を、ｇ’＝μ_ｇ ^ｒｇ^ａ、ｈ’＝μ_ｈ ^ｓのように求める第１変換手段と、ｇ’＝μ_ｇ ^ｒ、ｈ’＝μ_ｈ ^ｓｈ^ｂのように求める第２変換手段と、ｇ’＝μ_ｇ ^ｒｇ^ａ、ｈ’＝μ_ｈ ^ｓｈのように求める第３変換手段とを有する変換部と、
前記依頼データ（ｇ’、ｈ’）を前記計算装置に送信し、前記計算装置から結果ｚを受信する送受信部と、
ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）となるａ’を求め、（ｚν^−ｒｓ）^ａ’を求める第１逆変換手段と、ｓ・ｓ’＝１ｍｏｄｏｒｄ（Ｆ）となるｓ’を求め、α_ｇ＝ｚ_ｇ ^ｓ’を求める第２逆変換手段と、ｂ・ｂ’＝１ｍｏｄｏｒｄ（Ｆ）となるｂ’を求め、（ｚν^−ｒｓ）^ｂ’を求める第３逆変換手段と、ｒ・ｒ’＝１ｍｏｄｏｒｄ（Ｆ）となるｒ’を求め、α_ｈ＝ｚ_ｈ ^ｒ’を求める第４逆変換手段と、ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）となるａ’を求め、（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’を求める第５逆変換手段とを有する逆変換部と、
処理の順序を制御する制御部と
を備え、
前記制御部は、
前記乱数生成部に前記乱数ｓを生成させるα_ｇ乱数生成手段と、
前記乱数生成部による乱数ｒとａの生成、前記第１変換手段の処理、前記送受信部の処理、前記第１逆変換手段の処理を繰り返して複数の（ｚν^−ｒｓ）^ａ’の値を求め、あらかじめ定めた条件に適合する（ｚν^−ｒｓ）^ａ’の値を前記ｚ_ｇとするα_ｇ繰り返し手段と、
前記第２逆変換手段の処理を実行させるα_ｇ算出手段と、
前記乱数生成部に前記乱数ｒを生成させるα_ｈ乱数生成手段と、
前記乱数生成部による乱数ｓとｂの生成、前記第２変換手段の処理、前記送受信部の処理、前記第３逆変換手段の処理を繰り返して複数の（ｚν^−ｒｓ）^ｂ’の値を求め、あらかじめ定めた条件に適合する（ｚν^−ｒｓ）^ｂ’の値を前記ｚ_ｈとするα_ｈ繰り返し手段と、
前記第４逆変換手段の処理を実行させるα_ｈ算出手段と、
前記乱数生成部による乱数ｒとｓとａの生成、前記第３変換手段の処理、前記送受信部の処理、前記第５逆変換手段の処理を繰り返して複数の（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’の値を求め、あらかじめ定めた条件に適合する（ｚν^−ｒｓα_ｇ ^−aｓα_ｈ ^−ｒ）^ａ’の値をθ（ｇ，ｈ）とするθ繰り返し手段と
を有することを特徴とする代理計算依頼装置。
請求項１記載の代理計算依頼装置であって、
前記制御部のあらかじめ定めた条件とは、最も頻度の高い値であり、
前記α_ｇ繰り返し手段、前記α_ｈ繰り返し手段、前記θ繰り返し手段は、手段ごとに定めた回数繰り返すこと
を特徴とする代理計算依頼装置。
請求項１記載の代理計算依頼装置であって、
前記制御部のあらかじめ定めた条件とは、重複した値が存在することであり、
前記α_ｇ繰り返し手段、前記α_ｈ繰り返し手段、前記θ繰り返し手段は、手段ごとに定めた回数以内で重複した値が生じるまで繰り返すこと
を特徴とする代理計算依頼装置。
Ｆ、Ｇ、Ｈを巡回群とし、双線形写像θ：Ｇ×Ｈ→Ｆの計算を行う計算装置に計算を依頼することで、群Ｇの元ｇと群Ｈの元ｈの双線形写像θ（ｇ，ｈ）を求める代理計算依頼方法であって、
ｏｒｄ（）は巡回群の位数、μ_ｇ、μ_ｈはそれぞれ群Ｇ、Ｈの生成元を示すものとし、μ_ｇ、μ_ｈ、ν＝θ（μ_ｇ，μ_ｈ）をあらかじめ記録しており、
α_ｇ乱数生成ステップ、α_ｇ繰り返しステップ、α_ｇ算出ステップ、α_ｈ乱数生成ステップ、α_ｈ繰り返しステップ、α_ｈ算出ステップ、θ繰り返しステップを有し、
前記α_ｇ乱数生成ステップは、乱数生成部が、０以上ｏｒｄ（Ｈ）未満の乱数ｓを生成し、
前記α_ｇ繰り返しステップは、
前記乱数生成部が、０以上ｏｒｄ（Ｇ）未満の乱数ｒとａを生成するサブステップと、
変換部が、前記計算装置に送信する依頼データｇ’、ｈ’を、ｇ’＝μ_ｇ ^ｒｇ^ａ、ｈ’＝μ_ｈ ^ｓのように求める第１変換サブステップと、
送受信部が、前記依頼データ（ｇ’、ｈ’）を前記計算装置に送信し、前記計算装置から結果ｚを受信する送受信サブステップと、
逆変換部が、ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）となるａ’を求め、（ｚν^−ｒｓ）^ａ’を求める第１逆変換サブステップとを
繰り返して複数の（ｚν^−ｒｓ）^ａ’の値を求め、あらかじめ定めた条件に適合する（ｚν^−ｒｓ）^ａ’の値をｚ_ｇとするステップであり、
前記α_ｇ算出ステップは、前記逆変換部が、ｓ・ｓ’＝１ｍｏｄｏｒｄ（Ｆ）となるｓ’を求め、α_ｇ＝ｚ_ｇ ^ｓ’を求め、
前記α_ｈ乱数生成ステップは、前記乱数生成部が０以上ｏｒｄ（Ｇ）未満の乱数ｒを生成し、
前記α_ｈ繰り返しステップは、
前記乱数生成部が０以上ｏｒｄ（Ｈ）未満の乱数ｓとｂを生成するサブステップと、
前記変換部が、ｇ’＝μ_ｇ ^ｒ、ｈ’＝μ_ｈ ^ｓｈ^ｂのように求める第２変換サブステップと、
前記送受信サブステップと、
前記逆変換部が、ｂ・ｂ’＝１ｍｏｄｏｒｄ（Ｆ）となるｂ’を求め、（ｚν^−ｒｓ）^ｂ’を求める第３逆変換サブステップとを
繰り返して複数の（ｚν^−ｒｓ）^ｂ’の値を求め、あらかじめ定めた条件に適合する（ｚν^−ｒｓ）^ｂ’の値をｚ_ｈとするステップであり、
前記α_ｈ算出ステップは、前記逆変換部が、ｒ・ｒ’＝１ｍｏｄｏｒｄ（Ｆ）となるｒ’を求め、α_ｈ＝ｚ_ｈ ^ｒ’を求め、
前記θ繰り返しステップは、
前記乱数生成部が、０以上ｏｒｄ（Ｇ）未満の乱数ｒとａと０以上ｏｒｄ（Ｈ）未満の乱数ｓを生成するサブステップと、
前記変換部が、ｇ’＝μ_ｇ ^ｒｇ^ａ、ｈ’＝μ_ｈ ^ｓｈのように求める第３変換サブステップと、
前記送受信サブステップと、
前記逆変換部が、ａ・ａ’＝１ｍｏｄｏｒｄ（Ｆ）となるａ’を求め、（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’を求める第５逆変換サブステップとを
繰り返して複数の（ｚν^−ｒｓα_ｇ ^−ａｓα_ｈ ^−ｒ）^ａ’の値を求め、あらかじめ定めた条件に適合する（ｚν^−ｒｓα_ｇ ^−aｓα_ｈ ^−ｒ）^ａ’の値をθ（ｇ，ｈ）とするステップである
ことを特徴とする代理計算依頼方法。
請求項４記載の代理計算依頼方法であって、
前記あらかじめ定めた条件とは、最も頻度の高い値であり、
前記α_ｇ繰り返しステップ、前記α_ｈ繰り返しステップ、前記θ繰り返しステップは、それぞれに定められた回数繰り返すこと
を特徴とする代理計算依頼方法。
請求項４記載の代理計算依頼方法であって、
前記あらかじめ定めた条件とは、重複した値が存在することであり、
前記α_ｇ繰り返しステップ、前記α_ｈ繰り返しステップ、前記θ繰り返しステップは、それぞれに定められた回数以内で重複した値が生じるまで繰り返すこと
を特徴とする代理計算依頼方法。
請求項１から３のいずれかに記載された代理計算依頼装置としてコンピュータを動作させる代理計算依頼プログラム。
請求項７記載の代理計算依頼プログラムを記録したコンピュータ読み取り可能な記録媒体。