JP5596612B2 - Decoding control system and decoding control method - Google Patents
Decoding control system and decoding control method Download PDFInfo
- Publication number
- JP5596612B2 JP5596612B2 JP2011087995A JP2011087995A JP5596612B2 JP 5596612 B2 JP5596612 B2 JP 5596612B2 JP 2011087995 A JP2011087995 A JP 2011087995A JP 2011087995 A JP2011087995 A JP 2011087995A JP 5596612 B2 JP5596612 B2 JP 5596612B2
- Authority
- JP
- Japan
- Prior art keywords
- decoding
- input information
- output information
- unit
- calculation unit
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Description
本発明は、暗号文の復号技術に関し、特に、暗号文の復号能力を制御する技術に関する。 The present invention relates to a ciphertext decryption technique, and particularly to a technique for controlling ciphertext decryption ability.
公開鍵暗号方式や共通鍵暗号方式などの暗号方式で暗号化された暗号文を復号するためには、特定の復号鍵が必要である（例えば、非特許文献１参照）。これを利用し、復号装置に復号鍵を与えるか否かによって復号装置による暗号文の復号能力を制御することが可能である。 In order to decrypt a ciphertext encrypted by an encryption method such as a public key encryption method or a common key encryption method, a specific decryption key is required (see, for example, Non-Patent Document 1). Using this, it is possible to control the decryption ability of the ciphertext by the decryption device depending on whether or not a decryption key is given to the decryption device.
しかしながら、復号装置に復号鍵を与えるか否かによって復号装置による暗号文の復号能力を制御する方法では、復号装置に復号鍵を与えることに起因する問題点がある。例えば、この方法では復号装置に復号鍵を与えた後は復号装置の復号能力を再び制限することができず、さらに、復号装置がどのような復号鍵に対応する暗号文を復号しようとしているのかについての情報が復号鍵を提供する側に知られてしまう。 However, in the method of controlling the decryption ability of the ciphertext by the decryption device depending on whether or not the decryption device is given a decryption key, there is a problem caused by giving the decryption device a decryption key. For example, in this method, after giving a decryption key to the decryption device, the decryption capability of the decryption device cannot be restricted again, and what kind of decryption key the decryption device is trying to decrypt? The information about is known to the side providing the decryption key.
本発明はこのような点に鑑みてなされたものであり、復号装置に復号鍵を与えることなく、復号装置による暗号文の復号能力を制御する技術を提供することを目的とする。 The present invention has been made in view of these points, and an object of the present invention is to provide a technique for controlling the decryption capability of a ciphertext by a decryption device without giving a decryption key to the decryption device.
本発明では、Ｇ，Ｈを巡回群、ｆ（ｘ）を群Ｈの元である暗号文ｘを特定の復号鍵で復号して群Ｇの元を得るための復号関数、Ｘ１，Ｘ２を群Ｇに値を持つ確率変数、ｘ１を確率変数Ｘ１の実現値、ｘ２を確率変数Ｘ２の実現値、ａ，ｂを互いに素である自然数として、復号装置が、暗号文ｘに対応する群Ｈの元である第一入力情報τ１及び第二入力情報τ２を出力し、復号能力提供装置が、第一入力情報τ１を用い、或る確率より大きな確率でｆ（τ１）を正しく計算し、演算結果を第一出力情報ｚ１として出力可能であり、第二入力情報τ２を用い、或る確率より大きな確率でｆ（τ２）を正しく計算し、演算結果を第二出力情報ｚ２として出力可能であり、復号装置が、第一出力情報ｚ１から演算結果ｕ＝ｆ（ｘ）ｂｘ１を生成し、第二出力情報ｚ２から演算結果ｖ＝ｆ（ｘ）ａｘ２を生成し、演算結果ｕ及びｖがｕａ＝ｖｂを満たす場合に、ａ’ａ＋ｂ’ｂ＝１を満たす整数ａ’，ｂ’についてのｕｂ’ｖａ’を出力する。復号制御装置は、復号装置の復号処理を制御する復号制御命令を復号能力提供装置に出力し、復号能力提供装置は、復号制御命令に従って第一出力情報ｚ１及び第二出力情報ｚ２の両方の出力の有無を制御する。 In the present invention, decryption functions X 1 , X 2 for obtaining elements of the group G by decrypting the ciphertext x, which is an element of the group H, with G and H being cyclic groups and f (x) being a specific decryption key Is a random variable having a value in the group G, x 1 is a real value of the random variable X 1 , x 2 is a real value of the random variable X 2 , and a and b are natural numbers that are relatively prime, Output the first input information τ 1 and the second input information τ 2 that are elements of the group H corresponding to, and the decoding capability providing apparatus uses the first input information τ 1 and has a probability larger than a certain probability f ( τ 1 ) can be calculated correctly, and the calculation result can be output as the first output information z 1 , and the second input information τ 2 can be used to correctly calculate f (τ 2 ) with a probability greater than a certain probability. result is capable of outputting as second output information z 2, decoding apparatus, the operation result u = f from the first output information z 1 a (x) b x 1 Form, operation results from the second output information z 2 v = generates f (x) a x 2, the operation result u and v is the case that satisfies u a = v b, meet a'a + b'b = 1 Output u b ′ v a ′ for integers a ′ and b ′. The decoding control device outputs a decoding control command for controlling the decoding process of the decoding device to the decoding capability providing device, and the decoding capability providing device outputs both the first output information z 1 and the second output information z 2 according to the decoding control command. Controls the presence or absence of output.
第一出力情報ｚ１及び第二出力情報ｚ２が復号装置に与えられた場合、復号装置はある確率でｕｂ’ｖａ’を出力できる。ｕｂ’ｖａ’は高い確率で暗号文ｘの復号値となる。一方、第一出力情報ｚ１及び第二出力情報ｚ２の両方が復号装置に与えられなかった場合、復号装置は暗号文ｘの復号値を得ることができない。本発明では、復号能力提供装置による第一出力情報ｚ１及び第二出力情報ｚ２の両方の出力の有無を制御することで、復号装置に復号鍵を与えることなく、復号装置による暗号文の復号能力を制御できる。 When the first output information z 1 and the second output information z 2 are given to the decoding device, the decoding device can output u b ′ v a ′ with a certain probability. u b ′ v a ′ becomes a decrypted value of the ciphertext x with high probability. On the other hand, when both the first output information z 1 and the second output information z 2 are not given to the decryption device, the decryption device cannot obtain the decrypted value of the ciphertext x. In the present invention, by controlling whether or not both the first output information z 1 and the second output information z 2 are output by the decryption capability providing device, the decryption device provides the decryption key without giving a decryption key. Decoding ability can be controlled.
以下、図面を参照して本発明の実施形態を説明する。 Hereinafter, embodiments of the present invention will be described with reference to the drawings.
［第一実施形態］
まず、本発明の第一実施形態を説明する。
[First embodiment]
First, a first embodiment of the present invention will be described.
＜構成＞
図１に例示するように、第一実施形態の復号制御システム１は、例えば、復号鍵を保持していない復号装置１１と復号鍵を保持する復号能力提供装置１２と復号装置１１の復号能力を制御する復号制御装置１３とを有する。復号制御装置１３は復号能力提供装置１２から復号装置１１へ提供される復号能力を制御し、復号装置１１は復号能力提供装置１２から提供された復号能力を用いて暗号文を復号する。復号装置１１と復号能力提供装置１２と復号制御装置１３とは情報のやり取りが可能なように構成される。例えば、復号装置１１と復号能力提供装置１２と復号制御装置１３とは、伝送線やネットワークや可搬型記録媒体などを経由した情報のやり取りが可能とされている。
<Configuration>
As illustrated in FIG. 1, the
図２に例示するように、第一実施形態の復号装置１１は、例えば、自然数記憶部１１０１と自然数選択部１１０２と整数計算部１１０３と入力情報提供部１１０４と第一計算部１１０５と第一べき乗計算部１１０６と第一リスト記憶部１１０７と第二計算部１１０８と第二べき乗計算部１１０９と第二リスト記憶部１１１０と判定部１１１１と最終出力部１１１２と制御部１１１３とを有する。復号装置１１の例は、カードリーダライタ装置や携帯電話などの計算機能と記憶機能とを備えた機器や、特別なプログラムが読み込まれたＣＰＵ（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）やＲＡＭ（ｒａｎｄｏｍ−ａｃｃｅｓｓ ｍｅｍｏｒｙ）を備えた公知又は専用のコンピュータなどである。
As illustrated in FIG. 2, the
図３に例示するように、第一実施形態の復号能力提供装置１２は、例えば、第一出力情報計算部１２０１と第二出力情報計算部１２０２と鍵記憶部１２０４と制御部１２０５とを有する。復号能力提供装置１２の例は、ＩＣカードやＩＣチップなどの耐タンパ性モジュールや、携帯電話などの計算機能と記憶機能とを備えた機器や、特別なプログラムが読み込まれたＣＰＵやＲＡＭを備えた公知又は専用のコンピュータなどである。
As illustrated in FIG. 3, the decryption
図４に例示するように、第一実施形態の復号制御装置１３は、例えば、暗号文記憶部１３０１と制御命令部１３０２と出力部１３０３と制御部１３０４とを有する。復号制御装置１３の例は、携帯電話などの計算機能と記憶機能とを備えた機器や、特別なプログラムが読み込まれたＣＰＵやＲＡＭを備えた公知又は専用のコンピュータなどである。
As illustrated in FIG. 4, the
＜復号処理＞
次に本形態の復号処理を説明する。復号処理の前提として、Ｇ，Ｈを巡回群、ｆ（ｘ）を群Ｈの元である暗号文ｘを特定の復号鍵ｓで復号して群Ｇの元を得るための復号関数、群Ｇ，Ｈの生成元をそれぞれμｇ，μｈ、Ｘ１，Ｘ２を群Ｇに値を持つ確率変数、確率変数Ｘ１の実現値をｘ１、確率変数Ｘ２の実現値をｘ２とする。また、復号装置１１の自然数記憶部１１０１には、互いに素である２つの自然数ａ，ｂの組（ａ，ｂ）が複数種類記憶されているものとする。「自然数」とは０以上の整数を意味する。Ｉを群Ｇの位数未満の２つの自然数の組で互いに素なものの集合とすると、自然数記憶部１１０１にはＩの部分集合Ｓに対応する自然数ａ，ｂの組（ａ，ｂ）が記憶されていると考えることができる。また、復号能力提供装置１２の鍵記憶部２１０４には、特定の復号鍵ｓが安全に格納されているものとする。また、復号制御装置１３の暗号文記憶部１３０１には暗号文ｘが格納されているものとする。なお、復号装置１１の各処理は制御部１１１３の制御のもとで実行され、復号能力提供装置１２の各処理は制御部１２０５の制御のもとで実行され、復号制御装置１３の各処理は制御部１３０４の制御のもとで実行される。
<Decryption process>
Next, the decoding process of this embodiment will be described. As a premise of the decryption process, G and H are cyclic groups, f (x) is a decryption function for decrypting a ciphertext x that is an element of the group H with a specific decryption key s, and a group G each mu g the generator of H,
図７に例示するように、まず、復号装置１１（図２）の自然数選択部１１０２が、自然数記憶部１１０１に記憶された複数の自然数の組（ａ，ｂ）から１つの自然数の組（ａ，ｂ）をランダムに読み込む。読み込まれた自然数の組（ａ，ｂ）の少なくとも一部の情報は、整数計算部１１０３、入力情報提供部１１０４、第一べき乗計算部１１０６及び第二べき乗計算部１１０９に送られる（ステップＳ１１００）。
As illustrated in FIG. 7, first, the natural
整数計算部１１０３は、送られた自然数の組（ａ，ｂ）を用いて、ａ’ａ＋ｂ’ｂ＝１の関係を満たす整数ａ’，ｂ’を計算する。自然数ａ，ｂは互いに素であるため、ａ’ａ＋ｂ’ｂ＝１の関係を満たす整数ａ’，ｂ’は必ず存在して、その計算方法もよく知られている。たとえば拡張互除法などのよく知られたアルゴリズムによって整数ａ’，ｂ’が計算され、自然数の組（ａ’，ｂ’）の情報は、最終出力部１１１２に送られる（ステップＳ１１０１）。
The
制御部１１１３は、ｔ＝１とする（ステップＳ１１０２）。
The
復号制御装置１３（図４）の暗号文記憶部１３０１に格納されている暗号文ｘが出力部１３０３から出力され、復号装置１１（図２）に入力される。復号装置１１の入力情報提供部１１０４は、入力された暗号文ｘにそれぞれ対応する群Ｈの元である第一入力情報τ１及び第二入力情報τ２を生成して出力する。好ましくは、第一入力情報τ１及び第二入力情報τ２はそれぞれ暗号文ｘとの関係をかく乱させた情報である。これにより、復号装置１１は、暗号文ｘを復号能力提供装置１２に対して隠蔽できる。また、好ましくは、本形態の第一入力情報τ１は自然数選択部１１０２で選択された自然数ｂにさらに対応し、第二入力情報τ２は自然数選択部１１０２で選択された自然数ａにさらに対応する。これにより、復号能力提供装置１２から提供された復号能力を復号装置１１が高い精度で評価できる（ステップＳ１１０３）。
The ciphertext x stored in the
図８に例示するように、第一入力情報τ１は復号能力提供装置１２（図３）の第一出力情報計算部１２０１に入力され、第二入力情報τ２は第二出力情報計算部１２０２に入力される（ステップＳ１２００）。
As illustrated in FIG. 8, the first input information τ 1 is input to the first output
第一出力情報計算部１２０１は、第一入力情報τ１と鍵記憶部１２０４に格納された復号鍵ｓとを用い、或る確率より大きな確率でｆ（τ１）を正しく計算し、得られた計算結果を第一出力情報ｚ１とする（ステップＳ１２０１）。第二出力情報計算部１２０２は、第二入力情報τ２と鍵記憶部１２０４に格納された復号鍵ｓとを用い、或る確率より大きな確率でｆ（τ２）を正しく計算し、得られた演算結果を第二出力情報ｚ２とする（ステップＳ１２０２）。なお、「或る確率」は１００％未満の確率である。「或る確率」の例は無視することができない確率であり、「無視することができない確率」の例は、セキュリティパラメータｋについての広義単調増加関数である多項式を多項式ψ（ｋ）とした場合の１／ψ（ｋ）以上の確率である。すなわち、第一出力情報計算部１２０１や第二出力情報計算部１２０２は、意図的又は意図的ではない誤差を含んだ計算結果を出力し得る。言い換えると、第一出力情報計算部１２０１での計算結果がｆ（τ１）の場合もあればｆ（τ１）でない場合もあり、第二出力情報計算部１２０２での計算結果がｆ（τ２）の場合もあればｆ（τ２）でない場合もある。
The first output
第一出力情報計算部１２０１は第一出力情報ｚ１を出力し、第二出力情報計算部１２０２は第二出力情報ｚ２を出力する（ステップＳ１２０３）。
The first output
図７に戻り、第一出力情報ｚ１は復号装置１１（図２）の第一計算部１１０５に入力され、第二出力情報ｚ２は第二計算部１１０８に入力される。これらの第一出力情報ｚ１及び第二出力情報ｚ２が、復号能力提供装置１２から復号装置１１に与えられた復号能力に相当する（ステップＳ１１０４）。
Returning to FIG. 7, the first output information z 1 is input to the
第一計算部１１０５は、第一出力情報ｚ１から演算結果ｕ＝ｆ（ｘ）ｂｘ１を生成する。ここで、ｆ（ｘ）ｂｘ１を生成（計算）するとは、ｆ（ｘ）ｂｘ１と定義される式の値を計算することである。式ｆ（ｘ）ｂｘ１の値を最終的に計算することができれば、途中の計算方法は問わない。これは、この出願で登場する他の式の計算についても同様である。演算結果ｕは第一べき乗計算部１１０６に送られる（ステップＳ１１０５）。
The
第一べき乗計算部１１０６はｕ’＝ｕａを計算する。計算結果ｕとその計算結果に基づいて計算されたｕ’との組（ｕ，ｕ’）は、第一リスト記憶部１１０７に記憶される（ステップＳ１１０６）。
The first
判定部１１１１は、第一リスト記憶部１１０７に記憶された組（ｕ，ｕ’）及び第二リスト記憶部１１１０に記憶された組（ｖ，ｖ’）の中で、ｕ’＝ｖ’となるものがあるか判定する（ステップＳ１１０７）。もし、第二リスト記憶部１１１０に組（ｖ，ｖ’）が記憶されていない場合には、このステップＳ１１０７の処理を行わずに、次のステップＳ１１０８の処理を行う。ｕ’＝ｖ’となるものがあった場合には、ステップＳ１１１４に進む。ｕ’＝ｖ’となるものがなかった場合には、ステップＳ１１０８に進む。
The
ステップＳ１１０８では、第二計算部１１０８が、第二出力情報ｚ２から演算結果ｖ＝ｆ（ｘ）ａｘ２を生成する。演算結果ｖは第二べき乗計算部１１０９に送られる（ステップＳ１１０８）。
In step S1108, the
第二べき乗計算部１１０９はｖ’＝ｖｂを計算する。計算結果ｖとその計算結果に基づいて計算されたｖ’との組（ｖ，ｖ’）は、第二リスト記憶部１１１０に記憶される（ステップＳ１１０９）。
The second
判定部１１１１は、第一リスト記憶部１１０７に記憶された組（ｕ，ｕ’）及び第二リスト記憶部１１１０に記憶された組（ｖ，ｖ’）の中で、ｕ’＝ｖ’となるものがあるか判定する（ステップＳ１１１０）。ｕ’＝ｖ’となるものがあった場合には、ステップＳ１１１４に進む。ｕ’＝ｖ’となるものがなかった場合には、ステップＳ１１１１に進む。
The
ステップＳ１１１１では、制御部１１１３がｔ＝Ｔであるか判定する（ステップＳ１１１１）。Ｔは予め定められた１以上の自然数である。ｔ＝Ｔであれば、最終出力部１１１２が、計算をすることができなかった旨の情報、例えば記号「⊥」を出力して（ステップＳ１１１３）、処理を終える。ｔ＝Ｔでない場合には、制御部１１１３は、ｔを１だけインクリメント、すなわちｔ＝ｔ＋１（ｔ＋１を新たなｔ）として（ステップＳ１１１２）、ステップＳ１１０３に戻る。
In step S1111, the
計算をすることができなかった旨の情報（この例では記号「⊥」）は、復号能力提供装置１２が正しく計算を行う信頼性がＴで定められる基準を下回るということを意味する。言い換えれば、Ｔ回の繰り返しで正しい演算を行うことができなかったということを意味する。
Information indicating that the calculation could not be performed (in this example, the symbol “⊥”) means that the reliability with which the decoding
ステップＳ１１１４では、最終出力部１１１２が、ｕ’＝ｖ’であると判定されたｕ’及びｖ’に対応するｕ及びｖを用いてｕｂ’ｖａ’を計算して、出力する（ステップＳ１１１４）。このように計算されたｕｂ’ｖａ’は高い確率で暗号文ｘを特定の復号鍵ｓで復号した復号結果ｆ（ｘ）となる（高い確率でｕｂ’ｖａ’＝ｆ（ｘ）となる理由については後述する）。よって、上述した処理を複数回繰り返し、ステップＳ１１１４で得られた値のうち最も頻度の高い値を復号結果とすればよい。また、後述するように、設定によっては圧倒的な確率でｕｂ’ｖａ’＝ｆ（ｘ）となる。その場合にはステップＳ１１１４で得られた値をそのまま復号結果としてよい。
In step S1114, the
≪高い確率でｕｂ’ｖａ’＝ｆ（ｘ）となる理由について≫
Ｘを群Ｇに値を持つ確率変数とする。ｗ∈Ｇについて、要求を受けるたびに確率変数Ｘに従った標本ｘ’に対応するｗｘ’を返すものを、ｗについて誤差Ｘを持つ標本器（ｓａｍｐｌｅｒ）と呼ぶ。
<< Reason why u b ' v a' = f (x) with high probability >>
Let X be a random variable whose value is in group G. For wεG, the one that returns wx ′ corresponding to the sample x ′ according to the random variable X every time a request is received is called a sampler having an error X for w.
ｗ∈Ｇについて、自然数ａが与えられるたびに確率変数Ｘに従った標本ｘ’に対応するｗａｘ’を返すものを、ｗについて誤差Ｘを持つ乱数化可能標本器（ｒａｎｄｏｍｉｚａｂｌｅ ｓａｍｐｌｅｒ）と呼ぶ。乱数化可能標本器はａ＝１として用いられれば標本器として機能する。 For w∈G, each time a natural number a is given, the one that returns w a x ′ corresponding to the sample x ′ according to the random variable X is called a randomizable sampler having an error X with respect to w. . A randomizable sampler functions as a sampler if a = 1 is used.
本実施形態の入力情報提供部１１０４と第一出力情報計算部１２０１と第一計算部１１０５との組み合わせが、ｆ（ｘ）について誤差Ｘ１を持つ乱数化可能標本器（「第一乱数化可能標本器」と呼ぶ）であり、入力情報提供部１１０４と第二出力情報計算部１２０２と第二計算部１１０８との組み合わせが、ｆ（ｘ）について誤差Ｘ２を持つ乱数化可能標本器（「第二乱数化可能標本器」と呼ぶ）である。
The combination of the input information providing unit 1104 of the present embodiment and the first output
ｕ’＝ｖ’が成立するのは、すなわちｕａ＝ｖｂが成立するのは、第一乱数化可能標本器がｕ＝ｆ（ｘ）ｂを正しく計算しており、第二乱数化可能標本器がｖ＝ｆ（ｘ）ａを正しく計算している（ｘ１及びｘ２が群Ｇの単位元ｅｇである）可能性が高いことを発明者は見出した。説明の簡略化の観点から、この証明は第五実施形態で行う。 u ′ = v ′ is satisfied, that is, u a = v b is satisfied because the first randomizable sampler correctly calculates u = f (x) b and can be converted to a second random number. sampler is v = f (x) is correctly calculate a (x 1 and x 2 are the identity e g in the group G) potential inventor that is high found. From the viewpoint of simplifying the explanation, this proof is performed in the fifth embodiment.
第一乱数化可能標本器がｕ＝ｆ（ｘ）ｂを正しく計算しており、第二乱数化可能標本器がｖ＝ｆ（ｘ）ａを正しく計算しているとき（ｘ１及びｘ２が群Ｇの単位元ｅｇであるとき）、ｕｂ’ｖａ’＝（ｆ（ｘ）ｂｘ１）ｂ’（ｆ（ｘ）ａｘ２）ａ’＝（ｆ（ｘ）ｂｅｇ）ｂ’（ｆ（ｘ）ａｅｇ）ａ’＝ｆ（ｘ）ｂｂ’ｅｇ ｂ’ｆ（ｘ）ａａ’ｅｇ ａ’＝ｆ（ｘ）（ｂｂ’＋ａａ’）＝ｆ（ｘ）となる。 When the first randomizable sampler correctly calculates u = f (x) b and the second randomizable sampler correctly calculates v = f (x) a (x 1 and x 2 Is the unit element e g of the group G), u b ′ v a ′ = (f (x) b x 1 ) b ′ (f (x) a x 2 ) a ′ = (f (x) b e g) b '(f (x ) a e g) a' = f (x) bb 'e g b' f (x) aa 'e g a' = f (x) (bb '+ aa') = f ( x).
また、（ｑ１，ｑ２）∈Ｉについて、ｉ＝１，２の各々について関数πｉをπｉ（ｑ１，ｑ２）＝ｑｉで定義する。さらに、Ｌ＝ｍｉｎ（♯π１（Ｓ），♯π２（Ｓ））とする。♯・は、集合・の位数である。群Ｇが巡回群や位数の計算が困難な群であるときには、復号装置１１が「⊥」以外を出力するときの出力がｆ（ｘ）ではない確率は、無視できる程度の誤差の範囲で高々Ｔ２Ｌ／♯Ｓ程度と期待することができる。もしＬ／♯Ｓが無視できる量でＴが多項式オーダー程度の量であれば、復号装置１１は圧倒的な確率で正しいｆ（ｘ）を出力する。Ｌ／♯Ｓが無視できる量になるようなＳの例には、例えばＳ＝｛（１，ｄ）｜ｄ∈［２，｜Ｇ｜−１］｝がある。
For (q 1 , q 2 ) ∈I, a function π i is defined as π i (q 1 , q 2 ) = q i for each of i = 1 and 2 . Further, L = min (# π 1 (S), # π 2 (S)). # · Is the order of the set. When the group G is a cyclic group or a group whose order is difficult to calculate, the probability that the output when the
＜復号制御処理＞
次に、本形態の復号制御処理を説明する。
<Decryption control processing>
Next, the decoding control process of this embodiment will be described.
復号制御装置１３が復号装置１１の復号処理を制御する場合、復号制御装置１３は、復号装置１１の復号処理を制御する復号制御命令を復号能力提供装置１２に出力する。復号能力提供装置１２は、入力された復号制御命令に従って、第一出力情報ｚ１及び第二出力情報ｚ２の両方の出力の有無を制御する。復号装置１１は、第一出力情報ｚ１及び第二出力情報ｚ２が与えられなければ暗号文ｘを復号することができない。そのため、第一出力情報ｚ１及び第二出力情報ｚ２の両方の出力の有無を制御することで、復号装置１１の復号能力を制御できる。以下に復号処理の制御方法を例示する。
When the
≪復号処理の制御方法の例１≫
復号処理の制御方法の例１では、復号制御命令が復号装置１１の復号能力を制限するための復号制限命令ｃｏｍ−１を含み、復号制限命令ｃｏｍ−１が復号能力提供装置１２の制御部１２０５に入力された場合に制御部１２０５が第一出力情報ｚ１及び第二出力情報ｚ２の両方の出力を禁止する。
<< Example 1 of Decoding Process Control Method >>
In Example 1 of the decoding control method, the decoding control instruction includes a decoding restriction instruction com-1 for limiting the decoding capability of the
復号装置１１の復号能力を制限する場合、復号制御装置１３（図４）の制御命令部１３０２が復号制限命令ｃｏｍ−１を出力する。復号制限命令ｃｏｍ−１は出力部１３０３から復号能力提供装置１２に出力される。
When the decoding capability of the
復号能力提供装置１２（図３）の制御部１２０５は、復号制限命令ｃｏｍ−１が入力されたか否かを判断し、復号制限命令ｃｏｍ−１が制御部１２０５に入力されない場合には復号制御処理を行わない。一方、復号制限命令ｃｏｍ−１が制御部１２０５に入力された場合には、制御部１２０５は第一出力情報ｚ１及び第二出力情報ｚ２の両方の出力を禁止する制御を行う（復号制限モード）。
The
復号制限モードでは、制御部１２０５が第一出力情報計算部１２０１による第一出力情報ｚ１の出力及び第二出力情報計算部１２０１による第二出力情報ｚ２の出力の両方を禁止する。第一出力情報ｚ１及び／又は第二出力情報ｚ２の出力を禁止する制御の一例は、第一出力情報ｚ１及び／又は第二出力情報ｚ２の生成は禁止しないがこれらの出力を禁止する制御である。第一出力情報ｚ１及び／又は第二出力情報ｚ２の出力を禁止する制御の他の例は、第一出力情報ｚ１及び／又は第二出力情報ｚ２の代わりにダミー情報を出力させる制御である。なお、ダミー情報の例は、乱数その他の暗号文ｘに依存しない情報である。第一出力情報ｚ１及び／又は第二出力情報ｚ２の出力を禁止する制御の別の例は、第一出力情報ｚ１及び／又は第二出力情報ｚ２の生成自体を禁止する制御である。第一出力情報ｚ１及び／又は第二出力情報ｚ２の生成自体を禁止する制御を行う場合には、第一出力情報ｚ１及び／又は第二出力情報ｚ２の生成を行うために必要な情報を無効又は削除してもよいし、しなくてもよい。例えば、鍵記憶部１２０４に格納された復号鍵ｓを無効又は削除してもよいし、しなくてもよい。
In the decryption restriction mode, the
第一出力情報ｚ１及び第二出力情報ｚ２の両方の出力が禁止された場合、復号能力提供装置１２はステップＳ１２０３で第一出力情報ｚ１及び第二出力情報ｚ２の両方を出力しない。そのため、復号装置１１はステップＳ１１０４で第一出力情報ｚ１及び第二出力情報ｚ２の両方を取得できず、演算結果ｕ及びｖを計算できないため、正しい復号結果を得ることができない。これにより、復号装置１１の復号能力を制限できる。
When the output of both the first output information z 1 and the second output information z 2 is prohibited, the decoding
≪復号処理の制御方法の例２≫
復号処理の制御方法の例２では、復号制御命令が復号装置１１の復号能力の制限を開放するための復号開放命令ｃｏｍ−２を含み、復号開放命令ｃｏｍ−２が復号能力提供装置１２の制御部１２０５に入力された場合、制御部１２０５は第一出力情報ｚ１及び第二出力情報ｚ２の少なくとも一方の出力を許可する。復号処理の制御方法の例２は、例えば、復号処理の制御方法の例１によって第一出力情報ｚ１及び第二出力情報ｚ２の両方の出力が禁止された後、再び、第一出力情報ｚ１及び第二出力情報ｚ２の出力を許可する場合に行われる。この際、第一出力情報ｚ１及び／又は第二出力情報ｚ２の生成を行うために必要な情報が無効又は削除されていた場合には、復号開放命令ｃｏｍ−２が当該情報を含み、当該情報を復号能力提供装置１２に再設定することにしてもよい。その他、復号処理の制御方法の例２は、例えば、初期状態において第一出力情報ｚ１及び第二出力情報ｚ２の両方の出力が禁止されている場合に、第一出力情報ｚ１及び第二出力情報ｚ２の出力を許可する場合に行われてもよい。
<< Example 2 of control method of decoding process >>
In example 2 of the control method of the decoding process, the decoding control instruction includes a decoding release instruction com-2 for releasing the restriction of the decoding capability of the
復号装置１１の復号能力の制限を開放する場合、復号制御装置１３（図４）の制御命令部１３０２が復号開放命令ｃｏｍ−２を出力する。復号制限命令ｃｏｍ−２は出力部１３０３から復号能力提供装置１２に出力される。
When the restriction on the decoding capability of the
復号能力提供装置１２（図３）の制御部１２０５は、復号開放命令ｃｏｍ−２が入力されたか否かを判断し、復号開放命令ｃｏｍ−２が制御部１２０５に入力されていない場合には復号制御処理を行わない。一方、復号開放命令ｃｏｍ−２が制御部１２０５に入力された場合には、制御部１２０５は第一出力情報ｚ１及び第二出力情報ｚ２の両方の出力を許可する制御を行う（復号許可モード）。
The
第一出力情報ｚ１及び第二出力情報ｚ２の両方の出力が許可された場合、復号能力提供装置１２はステップＳ１２０３で第一出力情報ｚ１又は第二出力情報ｚ２の両方を出力する。そのため、復号装置１１はステップＳ１１０４で第一出力情報ｚ１又は第二出力情報ｚ２の両方を取得でき、演算結果ｕ又はｖを計算できるため、高い確率で復号結果を得ることができる。これにより、復号装置１１の復号能力の制限を開放することができる。
If both outputs of the first output information z 1 and the second output information z 2 is permitted, the decoding
［第二実施形態］
第二実施形態の復号制御システムは、上述した第一乱数化可能標本器及び第二乱数化可能標本器を具体化した例である。以下、第一実施形態と異なる部分を中心に説明し、復号制御処理などの共通する部分については重複説明を省略する。以下の説明において、同一の参照番号が付された部分は同一の機能を持つものとし、同一の参照番号が付されたステップは同一の処理を表すものとする。
[Second Embodiment]
The decoding control system of the second embodiment is an example in which the first randomizable sampler and the second randomizable sampler described above are embodied. Hereinafter, the description will focus on parts that are different from the first embodiment, and redundant description of common parts such as decoding control processing will be omitted. In the following description, parts denoted by the same reference numbers have the same function, and steps denoted by the same reference numbers represent the same processing.
＜構成＞
図１に例示するように、第二実施形態の復号制御システム２は、復号装置１１が復号装置２１に置換され、復号能力提供装置１２が復号能力提供装置２２に置換されたものである。
<Configuration>
As illustrated in FIG. 1, in the
図２に例示するように、第二実施形態の復号装置２１は、例えば、自然数記憶部１１０１と自然数選択部１１０２と整数計算部１１０３と入力情報提供部２１０４と第一計算部２１０５と第一べき乗計算部１１０６と第一リスト記憶部１１０７と第二計算部２１０８と第二べき乗計算部１１０９と第二リスト記憶部１１１０と判定部１１１１と最終出力部１１１２と制御部１１１３とを有する。図５に例示するように、本形態の入力情報提供部２１０４は、例えば、第一乱数生成部２１０４ａと第一入力情報計算部２１０４ｂと第二乱数生成部２１０４ｃと第二入力情報計算部２１０４ｄとを有する。
As illustrated in FIG. 2, the decoding device 21 of the second embodiment includes, for example, a natural
図３に例示するように、第二実施形態の復号能力提供装置２２は、例えば、第一出力情報計算部２２０１と第二出力情報計算部２２０２と鍵記憶部１２０４と制御部１２０５とを有する。
As illustrated in FIG. 3, the decryption capability providing apparatus 22 according to the second embodiment includes, for example, a first output information calculation unit 2201, a second output information calculation unit 2202, a
＜復号処理＞
次に本形態の復号処理を説明する。第二実施形態では、復号関数ｆ（ｘ）を準同型関数とし、群Ｈの生成元をμｈ、群Ｈの位数をＫＨ、ν＝ｆ（μｈ）とする。復号関数ｆ（ｘ）が準同型関数である例はＲＳＡ暗号などである。その他の前提は、復号装置１１が復号装置２１に置換され、復号能力提供装置１２が復号能力提供装置２２に置換されている以外、第一実施形態と同一である。
<Decryption process>
Next, the decoding process of this embodiment will be described. In the second embodiment, the decoding function f (x) is a homomorphic function, the generation source of the group H is μ h , the order of the group H is K H , and ν = f (μ h ). An example in which the decryption function f (x) is a homomorphic function is RSA encryption. Other preconditions are the same as those in the first embodiment except that the
図７及び図８に例示するように、第二実施形態の処理は第一実施形態のステップＳ１１０３〜Ｓ１１０５，Ｓ１１０８，Ｓ１２００〜Ｓ１２０３が、それぞれ、ステップＳ２１０３〜Ｓ２１０５，Ｓ２１０８，Ｓ２２００〜Ｓ２２０３に置換されたものである。以下ではステップＳ２１０３〜Ｓ２１０５，Ｓ２１０８，Ｓ２２００〜Ｓ２２０３の処理のみを説明する。 As illustrated in FIGS. 7 and 8, in the process of the second embodiment, steps S1103 to S1105, S1108, and S1200 to S1203 of the first embodiment are replaced with steps S2103 to S2105, S2108, and S2200 to S2203, respectively. It is a thing. Only the processing of steps S2103 to S2105, S2108, S2200 to S2203 will be described below.
《ステップＳ２１０３の処理》
復号装置２１（図２）の入力情報提供部２１０４は、入力された暗号文ｘにそれぞれ対応する第一入力情報τ１及び第二入力情報τ２を生成して出力する（図７／ステップＳ２１０３）。以下、図９を用いて本形態のステップＳ２１０３の処理を説明する。
<< Processing in Step S2103 >>
The input
第一乱数生成部２１０４ａ（図５）は、０以上ＫＨ未満の自然数の一様乱数ｒ１を生成する。生成された乱数ｒ１は、第一入力情報計算部２１０４ｂ及び第一計算部２１０５に送られる（ステップＳ２１０３ａ）。第一入力情報計算部２１０４ｂは、入力された乱数ｒ１と暗号文ｘと自然数ｂとを用いて第一入力情報τ１＝μｈ ｒ１ｘｂを計算する（ステップＳ２１０３ｂ）。ここで、μｈの右肩のｒ１は、ｒ１のことである。このように、この出願において、αを第一の文字、βを第二の文字、γを数字として、αβγと表記した場合には、そのβγはβγ、すなわちβの下付きγを意味する。
The first random
第二乱数生成部２１０４ｃは、０以上ＫＨ未満の自然数の一様乱数ｒ２を生成する。生成された乱数ｒ２は、第二入力情報計算部２１０４ｄ及び第二計算部２１０８に送られる（ステップＳ２１０３ｃ）。第二入力情報計算部２１０４ｄは、入力された乱数ｒ２と暗号文ｘと自然数ａとを用いて第二入力情報τ２＝μｈ ｒ２ｘａを計算する（ステップＳ２１０３ｄ）。
Second random
第一入力情報計算部２１０４ｂ及び第二入力情報計算部２１０４ｄは、以上のように生成した第一入力情報τ１及び第二入力情報τ２を出力する（ステップＳ２１０３ｅ）。なお、本形態の第一入力情報τ１及び第二入力情報τ２は、それぞれ、乱数ｒ１，ｒ２によって暗号文ｘとの関係をかく乱させた情報である。これにより、復号装置２２は、暗号文ｘを復号能力提供装置２２に対して隠蔽できる。また、本形態の第一入力情報τ１は自然数選択部１１０２で選択された自然数ｂにさらに対応し、第二入力情報τ２は自然数選択部１１０２で選択された自然数ａにさらに対応する。これにより、復号能力提供装置２２から提供された復号能力を復号装置２１が高い精度で評価できる。
The first input
《ステップＳ２２００〜Ｓ２２０３の処理》
図８に例示するように、まず、第一入力情報τ１＝μｈ ｒ１ｘｂが復号能力提供装置２２（図３）の第一出力情報計算部２２０１に入力され、第二入力情報τ２＝μｈ ｒ２ｘａが第二出力情報計算部２２０２に入力される（ステップＳ２２００）。
<< Processes in Steps S2200 to S2203 >>
As illustrated in FIG. 8, first input information τ 1 = μ h r1 x b is first input to the first output information calculation unit 2201 of the decoding capability providing device 22 (FIG. 3), and the second input information τ 2. = Μ h r2 x a is input to the second output information calculation unit 2202 (step S2200).
第一出力情報計算部２２０１は、第一入力情報τ１＝μｈ ｒ１ｘｂと鍵記憶部１２０４に格納された復号鍵ｓとを用い、或る確率より大きな確率でｆ（μｈ ｒ１ｘｂ）を正しく計算し、得られた計算結果を第一出力情報ｚ１とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第一出力情報計算部２２０１での計算結果がｆ（μｈ ｒ１ｘｂ）となる場合もあれば、ｆ（μｈ ｒ１ｘｂ）とならない場合もある（ステップＳ２２０１）。
The first output information calculation unit 2201 uses the first input information τ 1 = μ h r1 x b and the decryption key s stored in the
第二出力情報計算部２２０２は、第二入力情報τ２＝μｈ ｒ２ｘａと鍵記憶部１２０４に格納された復号鍵ｓとを用い、或る確率より大きな確率でｆ（μｈ ｒ２ｘａ）を正しく計算し、得られた計算結果を第二出力情報ｚ２とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第二出力情報計算部２２０２での計算結果がｆ（μｈ ｒ２ｘａ）となる場合もあれば、ｆ（μｈ ｒ２ｘａ）とならない場合もある（ステップＳ２２０２）。
The second output information calculation unit 2202 uses the second input information τ 2 = μ h r2 x a and the decryption key s stored in the
第一出力情報計算部２２０１は第一出力情報ｚ１を出力し、第二出力情報計算部２２０２は第二出力情報ｚ２を出力する（ステップＳ２２０３）。 The first output information calculation unit 2201 outputs the first output information z 1, the second output information calculation unit 2202 outputs the second output information z 2 (step S2203).
《ステップＳ２１０４及びＳ２１０５の処理》
図７に戻り、第一出力情報ｚ１は復号装置２１（図２）の第一計算部２１０５に入力され、第二出力情報ｚ２は第二計算部２１０８に入力される。これらの第一出力情報ｚ１及び第二出力情報ｚ２が、復号能力提供装置２２から復号装置２１に与えられた復号能力に相当する（ステップＳ２１０４）。
<< Processing in Steps S2104 and S2105 >>
Returning to FIG. 7, the first output information z 1 is input to the
第一計算部２１０５は、入力された乱数ｒ１及び第一出力情報ｚ１を用いてｚ１ν−ｒ１を計算してその計算結果をｕとする。計算結果ｕは、第一べき乗計算部１１０６に送られる。ここで、ｕ＝ｚ１ν−ｒ１＝ｆ（ｘ）ｂｘ１となる。すなわち、ｚ１ν−ｒ１は、ｆ（ｘ）について誤差Ｘ１を持つ乱数化可能標本器の出力となる。その理由については後述する（ステップＳ２１０５）。
The
《ステップＳ２１０８の処理》
第二計算部２１０８は、入力された乱数ｒ２及び第二出力情報ｚ２を用いてｚ２ν−ｒ２を計算してその計算結果をｖとする。計算結果ｖは、第二べき乗計算部１１０９に送られる。ここで、ｖ＝ｚ２ν−ｒ２＝ｆ（ｘ）ａｘ２となる。すなわち、ｚ２ν−ｒ２は、ｆ（ｘ）について誤差Ｘ２を持つ乱数化可能標本器の出力となる。その理由については後述する（ステップＳ２１０８）。
<< Processing in Step S2108 >>
The second calculation unit 2108 calculates z 2 v −r2 using the input random number r 2 and the second output information z 2 and sets the calculation result to v. The calculation result v is sent to the second
≪ｚ１ν−ｒ１，ｚ２ν−ｒ２がｆ（ｘ）についてそれぞれ誤差Ｘ１，Ｘ２を持つ乱数化可能標本器の出力となる理由について≫
ｃを自然数、Ｒ及びＲ’を乱数として、復号能力提供装置２２がμｈ Ｒｘｃを用いて行う計算の計算結果をＢ（μｈ Ｒｘｃ）とする。すなわち、第一出力情報計算部２２０１や第二出力情報計算部２２０２が復号装置２１に返す計算結果をｚ＝Ｂ（μｈ Ｒｘｃ）とする。さらに、群Ｇに値を持つ確率変数ＸをＸ＝Ｂ（μｈ Ｒ’）ｆ（μｈ Ｒ’）−１と定義する。
<< Reason why z 1 ν -r 1 and z 2 ν -r 2 are output from a randomizable sampler having errors X 1 and X 2 with respect to f (x), respectively >>
The c is a natural number, as a random number R and R ', the calculation result of the calculation is decoding capability providing apparatus 22 performed using the mu h R x c and B (μ h R x c) . That is, the calculation result returned from the first output information calculation unit 2201 and the second output information calculation unit 2202 to the decoding device 21 is z = B (μ h R x c ). Further, a random variable X having a value in the group G is defined as X = B (μ h R ′ ) f (μ h R ′ ) −1 .
このとき、ｚν−Ｒ＝Ｂ（μｈ Ｒｘｃ）ｆ（μｈ）−Ｒ＝Ｘｆ（μｈ Ｒｘｃ）ｆ（μｈ）−Ｒ＝Ｘｆ（μｈ）Ｒｆ（ｘ）ｃｆ（μｈ）−Ｒ＝ｆ（ｘ）ｃＸとなる。すなわち、ｚν−Ｒは、ｆ（ｘ）について誤差Ｘを持つ乱数化可能標本器の出力となる。 At this time, zν -R = B (μ h R x c) f (μ h) -R = Xf (μ h R x c) f (μ h) -R = Xf (μ h) R f (x) c f ([mu] h ) -R = f (x) cX . That is, zν− R is an output of a randomizable sampler having an error X with respect to f (x).
上記式展開において、Ｘ＝Ｂ（μｈ Ｒ’）ｆ（μｈ Ｒ’）−１＝Ｂ（μｈ Ｒｘｃ）ｆ（μｈ Ｒｘｃ）−１であり、Ｂ（μｈ Ｒｘｃ）＝Ｘｆ（μｈ Ｒｘｃ）であるという性質を用いている。この性質は、関数ｆ（ｘ）が準同型関数であり、Ｒ及びＲ’が乱数であることに基づく。 In the above formula deployment, X = B (μ h R ') f (μ h R') -1 = B (μ h R x c) f (μ h R x c) is -1, B (μ h R x c ) = Xf (μ h R x c ). This property is based on the fact that the function f (x) is a homomorphic function and R and R ′ are random numbers.
したがって、ａ，ｂが自然数、ｒ１，ｒ２が乱数であることを考慮すると、同様に、ｚ１ν−ｒ１，ｚ２ν−ｒ２がｆ（ｘ）についてそれぞれ誤差Ｘ１，Ｘ２を持つ乱数化可能標本器の出力となるのである。 Accordingly, considering that a and b are natural numbers and r 1 and r 2 are random numbers, similarly, z 1 ν −r1 and z 2 ν −r2 respectively give errors X 1 and X 2 with respect to f (x). This is the output of a randomizable sampler.
［第三実施形態］
第三実施形態は第二実施形態の変形例であり、ａ＝１やｂ＝１のときに前述した標本器によってｕ又はｖの値を計算する。一般に乱数化可能標本器よりも標本器の計算量は小さい。ａ＝１やｂ＝１のときに乱数化可能標本器に代わり、標本器が計算を行うことで、復号制御システムの計算量を小さくすることができる。以下、第一実施形態及び第二実施形態と異なる部分を中心に説明し、復号制御処理などの共通する部分については重複説明を省略する。
[Third embodiment]
The third embodiment is a modification of the second embodiment, and the value of u or v is calculated by the above-described sampler when a = 1 or b = 1. In general, the amount of calculation of a sampler is smaller than that of a randomizable sampler. When a = 1 or b = 1, the sampler performs the calculation instead of the randomizable sampler, so that the calculation amount of the decoding control system can be reduced. Hereinafter, the description will focus on parts different from those of the first embodiment and the second embodiment, and redundant description of common parts such as decoding control processing will be omitted.
＜構成＞
図１に例示するように、第三実施形態の復号制御システム３は、復号装置２１が復号装置３１に置換され、復号能力提供装置２２が復号能力提供装置３２に置換されたものである。
<Configuration>
As illustrated in FIG. 1, in the decoding control system 3 of the third embodiment, the decoding device 21 is replaced with a decoding device 31, and the decoding capability providing device 22 is replaced with a decoding capability providing device 32.
図２に例示するように、第三実施形態の復号装置３１は、例えば、自然数記憶部１１０１と自然数選択部１１０２と整数計算部１１０３と入力情報提供部２１０４と第一計算部２１０５と第一べき乗計算部１１０６と第一リスト記憶部１１０７と第二計算部２１０８と第二べき乗計算部１１０９と第二リスト記憶部１１１０と判定部１１１１と最終出力部１１１２と制御部１１１３と第三計算部３１０９とを有する。
As illustrated in FIG. 2, the decoding device 31 of the third embodiment includes, for example, a natural
図３に例示するように、第三実施形態の復号能力提供装置３２は、例えば、第一出力情報計算部２２０１と第二出力情報計算部２２０２と鍵記憶部１２０４と制御部１２０５と第三出力情報計算部３２０３とを有する。
As illustrated in FIG. 3, the decryption capability providing apparatus 32 according to the third embodiment includes, for example, a first output information calculation unit 2201, a second output information calculation unit 2202, a
＜復号処理＞
次に本形態の復号処理を説明する。第二実施形態との相違点を説明する。
<Decryption process>
Next, the decoding process of this embodiment will be described. Differences from the second embodiment will be described.
図７及び図８に例示するように、第三実施形態の処理は第二実施形態のステップＳ２１０３〜Ｓ２１０５，Ｓ２１０８，Ｓ２２００〜Ｓ２２０３が、それぞれ、ステップＳ３１０３〜Ｓ３１０５，Ｓ３１０８，Ｓ２２００〜Ｓ２２０３及びＳ３２０５〜Ｓ３２０９に置換されたものである。以下ではステップＳ３１０３〜Ｓ３１０５，Ｓ３１０８，Ｓ２２００〜Ｓ２２０３及びＳ３２０５〜Ｓ３２０９の処理を中心に説明する。 As illustrated in FIGS. 7 and 8, the processing of the third embodiment includes steps S2103 to S2105, S2108, S2200 to S2203 of the second embodiment, steps S3103 to S3105, S3108, S2200 to S2203, and S3205, respectively. It has been replaced with S3209. Below, it demonstrates centering on the process of step S3103-S3105, S3108, S2200-S2203, and S3205-S3209.
《ステップＳ３１０３の処理》
復号装置３１（図２）の入力情報提供部３１０４は、入力された暗号文ｘにそれぞれ対応する第一入力情報τ１及び第二入力情報τ２を生成して出力する（図７／ステップＳ３１０３）。
<< Processing in Step S3103 >>
The input
以下、図９を用いて本形態のステップＳ３１０３の処理を説明する。 Hereinafter, the processing in step S3103 of this embodiment will be described with reference to FIG.
制御部１１１３（図２）は、自然数選択部１１０２で選択された自然数（ａ，ｂ）に応じて入力情報提供部３１０４を制御する。
The control unit 1113 (FIG. 2) controls the input
制御部１１１３でｂが１であるかが判定され（ステップＳ３１０３ａ）、ｂ≠１であると判定された場合、前述のステップＳ２１０３ａ及びＳ２１０３ｂの処理が実行され、ステップＳ３１０３ｇに進む。 Whether or not b is 1 is determined by the control unit 1113 (step S3103a). If it is determined that b ≠ 1, the processes of steps S2103a and S2103b described above are executed, and the process proceeds to step S3103g.
一方、ステップＳ３１０３ａでｂ＝１であると判定された場合、第三乱数生成部３１０４ｅが、０以上ＫＨ未満の自然数の乱数ｒ３を生成する。生成された乱数ｒ３は第三入力情報計算部３１０４ｆ及び第三計算部３１０９に送られる（ステップＳ３１０３ｂ）。第三入力情報計算部３１０４ｆは、入力された乱数ｒ３と暗号文ｘとを用いてｘｒ３を計算し、これを第一入力情報τ１とする（ステップＳ３１０３ｃ）。その後、ステップＳ３１０３ｇに進む。
On the other hand, if it is determined that b = 1 in step S3103a, the third random
ステップＳ３１０３ｇでは、制御部１１１３でａが１であるかが判定され（ステップＳ３１０３ｇ）、ａ≠１であると判定された場合、前述のステップＳ２１０３ｃ及びステップＳ２１０３ｄの処理が実行される。 In step S3103g, whether or not a is 1 is determined by the control unit 1113 (step S3103g). If it is determined that a ≠ 1, the processes in steps S2103c and S2103d described above are executed.
一方、ステップＳ３１０３ｇでａ＝１であると判定された場合、第三乱数生成部３１０４ｅが、０以上ＫＨ未満の自然数の乱数ｒ３を生成する。生成された乱数ｒ３は第三入力情報計算部３１０４ｆに送られる（ステップＳ３１０３ｈ）。第三入力情報計算部３１０４ｆは、入力された乱数ｒ３と暗号文ｘとを用いてｘｒ３を計算し、これを第二入力情報τ２とする（ステップＳ３１０３ｉ）。
On the other hand, if it is determined that a = 1 at step S3103g, third random
第一入力情報計算部２１０４ｂ、第二入力情報計算部２１０４ｄ、第三入力情報計算部３１０４ｆは、以上のように生成した第一入力情報τ１及び第二入力情報τ２を対応する自然数（ａ，ｂ）の情報とともに出力する（ステップＳ３１０３ｅ）。なお、本形態の第一入力情報τ１及び第二入力情報τ２は、それぞれ、乱数ｒ１，ｒ２，ｒ３によって暗号文ｘとの関係をかく乱させた情報である。これにより、復号装置３１は、暗号文ｘを復号能力提供装置３２に対して隠蔽できる。
The first input
《Ｓ２２００〜Ｓ２２０３及びＳ３２０５〜Ｓ３２０９の処理》
以下、図８を用いて本形態のＳ２２００〜Ｓ２２０３及びＳ３２０５〜Ｓ３２０９の処理を説明する。
<< Processing of S2200 to S2203 and S3205 to S3209 >>
Hereinafter, the processing of S2200 to S2203 and S3205 to S3209 of this embodiment will be described with reference to FIG.
制御部１２０５（図３）は、入力された自然数（ａ，ｂ）に応じ、第一出力情報計算部２２０１、第二出力情報計算部２２０２、及び第三出力情報計算部３２０３を制御する。
The control unit 1205 (FIG. 3) controls the first output information calculation unit 2201, the second output information calculation unit 2202, and the third output
制御部１２０５の制御に基づき、ｂ≠１の場合の第一入力情報τ１＝μｈ ｒ１ｘｂは復号能力提供装置３２（図３）の第一出力情報計算部２２０１に入力され、ａ≠１の場合の第二入力情報τ２＝μｈ ｒ２ｘａは第二出力情報計算部２２０２に入力される。また、ｂ＝１の場合の第一入力情報τ１＝ｘｒ３やａ＝１の場合の第二入力情報τ２＝ｘｒ３は第三出力情報計算部３２０３に入力される（ステップＳ３２００）。
Based on the control of the
制御部１１１３でｂが１であるかが判定され（ステップＳ３２０５）、ｂ≠１であると判定された場合、前述のステップＳ２２０１の処理が実行される。その後、制御部１１１３でａが１であるかが判定され（ステップＳ３２０８）、ａ≠１であると判定された場合、前述したステップＳ２２０２の処理が実行されてステップＳ３２０３に進む。
The
一方、ステップＳ３２０８でａ＝１であると判定された場合、第三出力情報計算部３２０３は、第二入力情報τ２＝ｘｒ３を用い、或る確率より大きな確率でｆ（ｘｒ３）を正しく計算し、得られた計算結果を第三出力情報ｚ３とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第三出力情報計算部３２０３での計算結果がｆ（ｘｒ３）となる場合もあれば、ｆ（ｘｒ３）とならない場合もある（ステップＳ３２０９）。その後、ステップＳ３２０３に進む。
On the other hand, if it is determined in step S3208 that a = 1, the third output
また、ステップＳ３２０５でｂ＝１であると判定された場合、第三出力情報計算部３２０３は、第二入力情報τ１＝ｘｒ３を用い、或る確率より大きな確率でｆ（ｘｒ３）を正しく計算し、得られた計算結果を第三出力情報ｚ３とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第三出力情報計算部３２０３での計算結果がｆ（ｘｒ３）となる場合もあれば、ｆ（ｘｒ３）とならない場合もある（ステップＳ３２０６）。
If it is determined in step S3205 that b = 1, the third output
その後、制御部１１１３でａが１であるかが判定され（ステップＳ３２０７）、ａ＝１であると判定された場合にはステップＳ３２０３に進み、ａ≠１であると判定された場合にはステップＳ２２０２に進む。
Thereafter, the
ステップＳ３２０３では、第一出力情報ｚ１を生成した第一出力情報計算部２２０１は第一出力情報ｚ１を出力し、第二出力情報ｚ２を生成した第二出力情報計算部２２０２は第二出力情報ｚ２を出力し、第三出力情報ｚ３を生成した第三出力情報計算部２２０２は第三出力情報ｚ３を出力する（ステップＳ３２０３）。 In step S3203, the first output information calculation unit 2201 generates the first output information z 1 outputs the first output information z 1, the second output information calculation unit 2202 to generate a second output information z 2 second outputs the output information z 2, the third output information calculation unit 2202 to generate a third output information z 3 outputs a third output information z 3 (step S3203).
《ステップＳ３１０４及びＳ３１０５の処理》
図７に戻り、制御部１１１３の制御のもと、第一出力情報ｚ１は復号装置３１（図２）の第一計算部２１０５に入力され、第二出力情報ｚ２は第二計算部２１０８に入力され、第三出力情報ｚ３は第三計算部３１０９に入力される（ステップＳ３１０４）。
<< Processing in Steps S3104 and S3105 >>
Returning to FIG. 7, under the control of the
ｂ≠１であれば、第一計算部２１０５が、前述のステップＳ２１０５の処理によってｕを生成し、ｂ＝１であれば、第三計算部３１０９が、ｚ３ １／ｒ３を計算してその計算結果をｕとする。計算結果ｕは第一べき乗計算部１１０６に送られる。ここで、ｂ＝１の場合、ｕ＝ｚ３ １／ｒ３＝ｆ（ｘ）ｘ３となる。すなわち、ｚ３ １／ｒ３は、ｆ（ｘ）について誤差Ｘ３を持つ標本器となる。その理由については後述する（ステップＳ３１０５）。
If b ≠ 1, the
《ステップＳ３１０８の処理》
ａ≠１であれば、第二計算部２１０８が、前述のステップＳ２１０８の処理によってｖを生成し、ａ＝１であれば、第三計算部３１０９が、ｚ３ １／ｒ３を計算してその計算結果をｖとする。計算結果ｖは第二べき乗計算部１１０９に送られる。ここで、ａ＝１の場合、ｖ＝ｚ３ １／ｒ３＝ｆ（ｘ）ｘ３となる。すなわち、ｚ３ １／ｒ３は、ｆ（ｘ）について誤差Ｘ３を持つ標本器となる。その理由については後述する（ステップＳ３１０８）。
<< Process of Step S3108 >>
If a ≠ 1, the second calculation unit 2108 generates v by the process of step S2108 described above. If a = 1, the
なお、ｚ３ １／ｒ３の計算、すなわちｚ３のべき乗根の計算が困難な場合には、次のようにしてｕ及び／又はｖを計算してもよい。第三計算部３１０９は、乱数ｒ３とその乱数ｒ３に基づいて計算されたｚ３の組を順次（α１，β１），（α２，β２），…，（αｍ，βｍ），…として図示していない記憶部に記憶する。ｍは１以上の自然数である。第三計算部３１０９は、α１，α２，…，αｍの最小公倍数が１になれば、γ１，γ２，…，γｍを整数としてγ１α１＋γ２α２＋…＋γｍαｍ＝１となるγ１，γ２，…，γｍを計算して、そのγ，γ２，…，γｍを用いてΠｉ＝１ ｍβｉ γｉ＝β１ γ１β２ γ２…βｍ γｍを計算して、その計算結果をｕ及び／又はｖとしてもよい。
If calculation of z 3 1 / r 3 , that is, calculation of the power root of z 3 is difficult, u and / or v may be calculated as follows. The
≪ｚ３ １／ｒ３がｆ（ｘ）について誤差Ｘ３を持つ標本器となる理由について≫
Ｒを乱数として、復号能力提供装置３２がｘＲを用いて行う計算の計算結果をＢ（ｘＲ）とする。すなわち、第一出力情報計算部２２０１や第二出力情報計算部２２０２や第三出力情報計算部３２０３が復号装置３１に返す計算結果をｚ＝Ｂ（xＲ）とする。さらに、群Ｇに値を持つ確率変数ＸをＸ＝Ｂ（ｘＲ）１／Ｒｆ（ｘ）−１と定義する。
<< Reason why z 3 1 / r3 is a sampler having an error X 3 with respect to f (x) >>
The R as a random number, the decoding capability providing device 32 the calculation result of the calculation and B (x R) performed using x R. That is, the calculation result returned from the first output information calculation unit 2201, the second output information calculation unit 2202, and the third output
このとき、ｚ１／Ｒ＝Ｂ（ｘＲ）１／Ｒ＝Ｘｆ（ｘ）＝ｆ（ｘ）Ｘとなる。すなわち、ｚ１／Ｒは、ｆ（ｘ）について誤差Ｘを持つ標本器となる。 In this case, the z 1 / R = B (x R) 1 / R = Xf (x) = f (x) X. That is, z 1 / R becomes a sampler having an error X with respect to f (x).
上記式展開において、Ｘ＝Ｂ（ｘＲ）１／Ｒｆ（ｘＲ）−１であり、Ｂ（ｘＲ）１／Ｒ＝Ｘｆ（ｘＲ）であるという性質を用いている。この性質は、Ｒが乱数であることに基づく。 In the above formula deployment, an X = B (x R) 1 / R f (x R) -1, is used a property that is B (x R) 1 / R = Xf (x R). This property is based on the fact that R is a random number.
したがって、ｒ３が乱数であることを考慮すると、同様に、ｚ３ １／ｒ３がｆ（ｘ）について誤差Ｘ３を持つ標本器となるのである。 Therefore, considering that r 3 is a random number, similarly, z 3 1 / r 3 becomes a sampler having an error X 3 with respect to f (x).
［第四実施形態］
第四実施形態の復号制御システムは、上述した第一乱数化可能標本器及び第二乱数化可能標本器を具体化した他の例である。具体的には、Ｈ＝Ｇ×Ｇ、復号関数ｆ（ｘ）がＥｌＧａｍａｌ暗号の復号関数、すなわち復号鍵ｓ及び暗号文ｘ＝（ｃ１，ｃ２）に対してｆ（ｃ１，ｃ２）＝ｃ１ｃ２ −ｓである場合の第一乱数化可能標本器及び第二乱数化可能標本器の例を具体化したものである。以下、第一実施形態と異なる部分を中心に説明し、復号制御処理などの共通する部分については重複説明を省略する。
[Fourth embodiment]
The decoding control system of the fourth embodiment is another example in which the first randomizable sampler and the second randomizable sampler described above are embodied. Specifically, H = G × G and the decryption function f (x) is a decryption function of ElGamal encryption, that is, f (c 1 , c 2 ) with respect to the decryption key s and ciphertext x = (c 1 , c 2 ). ) = C 1 c 2 −s is an example of the first randomizable sampler and the second randomizable sampler. Hereinafter, the description will focus on parts that are different from the first embodiment, and redundant description of common parts such as decoding control processing will be omitted.
図１に例示するように、第四実施形態の復号制御システム４は、復号装置１１が復号装置４１に置換され、復号能力提供装置１２が復号能力提供装置４２に置換されたものである。
As illustrated in FIG. 1, in the decoding control system 4 of the fourth embodiment, the
図２に例示するように、第四実施形態の復号装置４１は、例えば、自然数記憶部１１０１と自然数選択部１１０２と整数計算部１１０３と入力情報提供部４１０４と第一計算部４１０５と第一べき乗計算部１１０６と第一リスト記憶部１１０７と第二計算部４１０８と第二べき乗計算部１１０９と第二リスト記憶部１１１０と判定部１１１１と最終出力部１１１２と制御部１１１３とを有する。図６に例示するように、本形態の入力情報提供部４１０４は、例えば、第四乱数生成部４１０４ａと第五乱数生成部４１０４ｂと第一入力情報計算部４１０４ｃと第六乱数生成部４１０４ｄと第七乱数生成部４１０４ｅと第二入力情報計算部４１０４ｆとを有する。第一入力情報計算部４１０４ｃは、例えば、第四入力情報計算部４１０４ｃａと第五入力情報計算部４１０４ｃｂとを有し、第二入力情報計算部４１０４ｆは、第六入力情報計算部４１０４ｆａと第七入力情報計算部４１０４ｆｂとを有する。
As illustrated in FIG. 2, the decoding device 41 according to the fourth embodiment includes, for example, a natural
図３に例示するように、第四実施形態の復号能力提供装置４２は、例えば、第一出力情報計算部４２０１と第二出力情報計算部４２０２と鍵記憶部１２０４と制御部１２０５とを有する。
As illustrated in FIG. 3, the decryption capability providing apparatus 42 according to the fourth embodiment includes, for example, a first output information calculation unit 4201, a second output information calculation unit 4202, a
＜復号処理＞
次に本形態の復号処理を説明する。第四実施形態では、群Ｈ＝Ｇ×Ｇ、暗号文ｘ＝（ｃ１，ｃ２）∈Ｈであり、ｆ（ｃ１，ｃ２）が準同型関数であり、群Ｇの生成元をμｇとし、群Ｇの位数をＫＧとし、同じ復号鍵ｓに対する暗号文（Ｖ，Ｗ）∈Ｈとその暗号文を復号した復号文ｆ（Ｖ，Ｗ）＝Ｙ∈Ｇとの組が復号装置４１及び復号能力提供装置４２に事前設定され、復号装置４１及び復号能力提供装置４２がこの組を利用可能とされているものとする。
<Decryption process>
Next, the decoding process of this embodiment will be described. In the fourth embodiment, the group H = G × G, the ciphertext x = (c 1 , c 2 ) ∈H, f (c 1 , c 2 ) is a homomorphic function, and the generator of the group G is and mu g, the order of the group G and K G, the ciphertext for the same decryption key s (V, W) ∈H and deciphertext f (V, W) obtained by decoding the ciphertext = set of the Y∈G Are preset in the decoding device 41 and the decoding capability providing device 42, and the decoding device 41 and the decoding capability providing device 42 are allowed to use this set.
図７及び図８に例示するように、第四実施形態の処理は第一実施形態のステップＳ１１０３〜Ｓ１１０５，Ｓ１１０８，Ｓ１２００〜Ｓ１２０３が、それぞれ、ステップＳ４１０３〜Ｓ４１０５，Ｓ４１０８，Ｓ４２００〜Ｓ４２０３に置換されたものである。以下ではステップＳ４１０３〜Ｓ４１０５，Ｓ４１０８，Ｓ４２００〜Ｓ４２０３の処理のみを説明する。 As illustrated in FIGS. 7 and 8, in the process of the fourth embodiment, steps S1103 to S1105, S1108, and S1200 to S1203 of the first embodiment are replaced with steps S4103 to S4105, S4108, and S4200 to S4203, respectively. It is a thing. Hereinafter, only the processes of steps S4103 to S4105, S4108, and S4200 to S4203 will be described.
《ステップＳ４１０３の処理》
復号装置４１（図２）の入力情報提供部４１０４は、入力された暗号文ｘ＝（ｃ１，ｃ２）に対応する第一入力情報τ１及び暗号文ｘ＝（ｃ１，ｃ２）に対応する第二入力情報τ２を生成して出力する（図７／ステップＳ４１０３）。以下、図１０を用いて本形態のステップＳ４１０３の処理を説明する。
<< Process of Step S4103 >>
Decoder 41 input information providing unit 4104 (FIG. 2) is, ciphertext is input x = (c 1, c 2) a first input information corresponding to tau 1 and the ciphertext x = (c 1, c 2) The second input information τ 2 corresponding to is generated and output (FIG. 7 / step S4103). Hereinafter, the processing in step S4103 of this embodiment will be described with reference to FIG.
第四乱数生成部４１０４ａ（図６）は、０以上ＫＧ未満の自然数の一様乱数ｒ４を生成する。生成された乱数ｒ４は、第四入力情報計算部４１０４ｃａ、第五入力情報計算部４１０４ｃｂ、及び第一計算部４１０５に送られる（ステップＳ４１０３ａ）。第五乱数生成部４１０４ｂは、０以上ＫＧ未満の自然数の一様乱数ｒ５を生成する。生成された乱数ｒ５は、第五入力情報計算部４１０４ｃｂ、及び第一計算部４１０５に送られる（ステップＳ４１０３ｂ）。
Fourth random number generating unit 4104A (FIG. 6) generates a uniform random number r 4 natural numbers from 0 to less than K G. Random number r 4 generated is sent fourth input information calculating unit 4104Ca, fifth input information calculating unit 4104Cb, and the first calculation unit 4105 (Step S4103a). Fifth random
第四入力情報計算部４１０４ｃａは、自然数選択部１１０２で選択された自然数ｂ、暗号文ｘが含むｃ２、及び乱数ｒ４を用い、第四入力情報ｃ２ ｂＷｒ４を計算する（ステップＳ４１０３ｃ）。第五入力情報計算部４１０４ｃｂは、自然数選択部１１０２で選択された自然数ｂ、暗号文ｘが含むｃ１、及び乱数ｒ４，ｒ５を用い、第五入力情報ｃ１ ｂＶｒ４μｇ ｒ５を計算する（ステップＳ４１０３ｄ）。
The fourth input information calculation unit 4104ca calculates the fourth input information c 2 b W r4 using the natural number b selected by the natural
第六乱数生成部４１０４ｄは、０以上ＫＧ未満の自然数の一様乱数ｒ６を生成する。生成された乱数ｒ６は、第六入力情報計算部４１０４ｆａ、第七入力情報計算部４１０４ｆｂ、及び第二計算部４１０８に送られる（ステップＳ４１０３ｅ）。第七乱数生成部４１０４ｅは、０以上ＫＧ未満の自然数の一様乱数ｒ７を生成する。生成された乱数ｒ７は、第七入力情報計算部４１０４ｆｂ、及び第二計算部４１０８に送られる（ステップＳ４１０３ｆ）。
Sixth random
第六入力情報計算部４１０４ｆａは、自然数選択部１１０２で選択された自然数ａ、暗号文ｘが含むｃ２、及び乱数ｒ６を用い、第六入力情報ｃ２ ａＷｒ６を計算する（ステップＳ４１０３ｇ）。第七入力情報計算部４１０４ｆｂは、自然数選択部１１０２で選択された自然数ａ、暗号文ｘが含むｃ１、及び乱数ｒ６，ｒ７を用い、第七入力情報ｃ１ ａＶｒ６μｇ ｒ７を計算する（ステップＳ４１０３ｈ）。
The sixth input information calculation unit 4104fa calculates the sixth input information c 2 a W r6 using the natural number a selected by the natural
第一入力情報計算部４１０４ｃは、以上のように生成した第四入力情報ｃ２ ｂＷｒ４及び第五入力情報ｃ１ ｂＶｒ４μｇ ｒ５を第一入力情報τ１＝（ｃ２ ｂＷｒ４，ｃ１ ｂＶｒ４μｇ ｒ５）として出力する。第二入力情報計算部４１０４ｆは、以上のように生成した第六入力情報ｃ２ ａＷｒ６及び第七入力情報ｃ１ ａＶｒ６μｇ ｒ７を第二入力情報τ２＝（ｃ２ ａＷｒ６，ｃ１ ａＶｒ６μｇ ｒ７）として出力する（ステップＳ４１０３ｉ）。
The first input
《ステップＳ４２００〜Ｓ４２０３の処理》
図８に例示するように、まず、第一入力情報τ１＝（ｃ２ ｂＷｒ４，ｃ１ ｂＶｒ４μｇ ｒ５）が復号能力提供装置４２（図３）の第一出力情報計算部４２０１に入力され、第二入力情報τ２＝（ｃ２ ａＷｒ６，ｃ１ ａＶｒ６μｇ ｒ７）が第二出力情報計算部４２０２に入力される（ステップＳ４２００）。
<< Steps S4200 to S4203 >>
As illustrated in FIG. 8, first, the first output information calculating unit of the first input information τ 1 = (c 2 b W r4, c 1 b V r4 μ g r5) is decoding capability providing apparatus 42 (FIG. 3) are input to the 4201, the second input information τ 2 = (c 2 a W r6, c 1 a V r6 μ g r7) is input to the second output information calculation unit 4202 (step S4200).
第一出力情報計算部４２０１は、第一入力情報τ１＝（ｃ２ ｂＷｒ４，ｃ１ ｂＶｒ４μｇ ｒ５）と鍵記憶部１２０４に格納された復号鍵ｓとを用い、或る確率より大きな確率でｆ（ｃ１ ｂＶｒ４μｇ ｒ５，ｃ２ ｂＷｒ４）を正しく計算し、計算結果を第一出力情報ｚ１とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第一出力情報計算部４２０１での計算結果がｆ（ｃ１ ｂＶｒ４μｇ ｒ５，ｃ２ ｂＷｒ４）となる場合もあれば、ｆ（ｃ１ ｂＶｒ４μｇ ｒ５，ｃ２ ｂＷｒ４）とならない場合もある（ステップＳ４２０１）。
First output information calculating unit 4201, using the first input information τ 1 = (c 2 b W r4, c 1 b V r4 μ g r5) and the decryption key s stored in the
第二出力情報計算部４２０２は、第二入力情報τ２＝（ｃ２ ａＷｒ６，ｃ１ ａＶｒ６μｇ ｒ７）と鍵記憶部１２０４に格納された復号鍵ｓとを用い、或る確率より大きな確率でｆ（ｃ１ ａＶｒ６μｇ ｒ７，ｃ２ ａＷｒ６）を正しく計算可能であり、得られた計算結果を第二出力情報ｚ２とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第二出力情報計算部４２０２での計算結果がｆ（ｃ１ ａＶｒ６μｇ ｒ７，ｃ２ ａＷｒ６）となる場合もあれば、ｆ（ｃ１ ａＶｒ６μｇ ｒ７，ｃ２ ａＷｒ６）とならない場合もある（ステップＳ４２０２）。
The second output information calculating unit 4202, using the second input information τ 2 = (c 2 a W r6, c 1 a V r6 μ g r7) and the decryption key s stored in the
第一出力情報計算部４２０１は第一出力情報ｚ１を出力し、第二出力情報計算部４２０２は第二出力情報ｚ２を出力する（ステップＳ４２０３）。 The first output information calculation unit 4201 outputs the first output information z 1, the second output information calculation unit 4202 outputs the second output information z 2 (step S4203).
《ステップＳ４１０４及びＳ４１０５の処理》
図７に戻り、第一出力情報ｚ１は復号装置４１（図２）の第一計算部４１０５に入力され、第二出力情報ｚ２は第二計算部４１０８に入力される（ステップＳ４１０４）。
<< Processing in Steps S4104 and S4105 >>
Returning to FIG. 7, the first output information z 1 is input to the
第一計算部４１０５は、入力された第一出力情報ｚ１及び乱数ｒ４，ｒ５を用い、ｚ１Ｙ−ｒ４μｇ −ｒ５を計算してその計算結果をｕとする（ステップＳ４１０５）。計算結果ｕは、第一べき乗計算部１１０６に送られる。ここで、ｕ＝ｚ１Ｙ−ｒ４μｇ −ｒ５＝ｆ（ｃ１，ｃ２）ｂｘ１となる。すなわち、ｚ１Ｙ−ｒ４μｇ −ｒ５は、ｆ（ｃ１，ｃ２）について誤差Ｘ１を持つ乱数化可能標本器の出力となる。その理由については後述する。
《ステップＳ４１０８の処理》
第二計算部４１０８は、入力された第二出力情報ｚ２及び乱数ｒ６，ｒ７を用い、ｚ２Ｙ−ｒ６μｇ −ｒ７を計算してその計算結果をｖとする。計算結果ｖは、第二べき乗計算部１１０９に送られる。ここで、ｖ＝ｚ２Ｙ−ｒ６μｇ −ｒ７＝ｆ（ｃ１，ｃ２）ａｘ２となる。すなわち、ｚ２Ｙ−ｒ６μｇ −ｒ７は、ｆ（ｃ１，ｃ２）について誤差Ｘ２を持つ乱数化可能標本器の出力となる。その理由については後述する。
<< Process of Step S4108 >>
The second calculation unit 4108, using the second output information z 2 and the random number r 6, r 7 inputted, calculates the z 2 Y -r6 μ g -r7 to the calculation result v. The calculation result v is sent to the second
≪ｚ１Ｙ−ｒ４μｇ −ｒ５，ｚ２Ｙ−ｒ６μｇ −ｒ７がｆ（ｃ１，ｃ２）についてそれぞれ誤差Ｘ１，Ｘ２を持つ乱数化可能標本器の出力となる理由について≫
ｃを自然数、Ｒ１、Ｒ２、Ｒ１’及びＲ２’を乱数として、復号能力提供装置４２がｃ１ ｃＶＲ１μｇ Ｒ２及びｃ２ ｃＷＲ１を用いて行う計算の計算結果をＢ（ｃ１ ｃＶＲ１μｇ Ｒ２，ｃ２ ｃＷＲ１）とする。すなわち、第一出力情報計算部４２０１や第二出力情報計算部４２０２が復号装置４１に返す計算結果をｚ＝Ｂ（ｃ１ ｃＶＲ１μｇ Ｒ２，ｃ２ ｃＷＲ１）とする。さらに、群Ｇに値を持つ確率変数ＸをＸ＝Ｂ（ＶＲ１’μｇ Ｒ２’，ＷＲ１’）ｆ（ＶＲ１’μｇ Ｒ２’，ＷＲ１’）−１と定義する。
«Z 1 Y -r4 μ g -r5, the reason why the z 2 Y -r6 μ g -r7 is the output of the random number of possible sampler with each
The c natural numbers, as R 1, R 2, a random number R 1 'and R 2', the calculation result of the calculation performed decoding capability provides device 42 with c 1 c V R1 μ g R2 and c 2 c W R1 and B (c 1 c V R1 μ g R2, c 2 c W R1). That is, the calculation results of the first output information calculation unit 4201 and the second output information calculation unit 4202 returns to the decoding apparatus 41 z = B (c 1 c V R1 μ g R2, c 2 c W R1). Further, define the random variable X with the value in the group G X = B (V R1 ' μ g R2', W R1 ') f (V R1' μ g R2 ', W R1') -1 and.
このとき、ｚＹ−Ｒ１μｇ −Ｒ２＝Ｂ（ｃ１ ｃＶＲ１μｇ Ｒ２，ｃ２ ｃＷＲ１）Ｙ−Ｒ１μｇ −Ｒ２＝Ｘｆ（ｃ１ ｃＶＲ１μｇ Ｒ２，ｃ２ ｃＷＲ１）Ｙ−Ｒ１μｇ −Ｒ２＝Ｘｆ（ｃ１，ｃ２）ｃｆ（Ｖ，Ｗ）Ｒ１ｆ（μｇ，ｅｇ）Ｒ２Ｙ−Ｒ１μｇ −Ｒ２＝Ｘｆ（ｃ１，ｃ２）ｃＹＲ１μｇ Ｒ２Ｙ−Ｒ１μｇ −Ｒ２＝ｆ（ｃ１，ｃ２）ｃＸとなる。すなわち、ｚＹ−Ｒ１μｇ −Ｒ２は、ｆ（ｘ）について誤差Ｘを持つ乱数化可能標本器の出力となる。なお、ｅｇは、群Ｇの単位元である。
At this time, zY -R1 μ g -R2 = B (c 1 c V R1 μ g R2, c 2 c W R1) Y -R1 μ g -R2 = Xf (c 1 c V R1 μ g R2, c 2 c W R1) Y -R1 μ g -R2 = Xf (
上記式展開において、Ｘ＝Ｂ（ＶＲ１’μｇ Ｒ２’，ＷＲ１’）ｆ（ＶＲ１’μｇ Ｒ２’，ＷＲ１’）−１＝Ｂ（ｃ１ ｃＶＲ１μｇ Ｒ２，ｃ２ ｃＷＲ１）ｆ（ｃ１ ｃＶＲ１μｇ Ｒ２，ｃ２ ｃＷＲ１）であり、Ｂ（ｃ１ ｃＶＲ１μｇ Ｒ２，ｃ２ ｃＷＲ１）＝Ｘｆ（ｃ１ ｃＶＲ１μｇ Ｒ２，ｃ２ ｃＷＲ１）であるという性質を用いている。この性質は、Ｒ１、Ｒ２、Ｒ１’及びＲ２’が乱数であることに基づく。 In the above formula deployment, X = B (V R1 ' μ g R2', W R1 ') f (V R1' μ g R2 ', W R1') -1 = B (c 1 c V R1 μ g R2, c 2 c W R1) is f (c 1 c V R1 μ g R2, c 2 c W R1), B (c 1 c V R1 μ g R2, c 2 c W R1) = Xf (c 1 c V R1 μ g R2 , c 2 c W R1 ). This property is based on the fact that R 1 , R 2 , R 1 ′ and R 2 ′ are random numbers.
したがって、ａ，ｂが自然数、ｒ４，ｒ５，ｒ６及びｒ７が乱数であることを考慮すると、同様に、ｚ１Ｙ−ｒ４μｇ −ｒ５，ｚ２Ｙ−ｒ６μｇ −ｒ７がｆ（ｃ１，ｃ２）についてそれぞれ誤差Ｘ１，Ｘ２を持つ乱数化可能標本器の出力となるのである。 Therefore, a, b are natural numbers and r 4, r 5, r 6 and r 7 is considered to be a random number, similarly, z 1 Y -r4 μ g -r5 , z 2 Y -r6 μ g -r7 Is the output of a randomizable sampler with errors X 1 and X 2 for f (c 1 , c 2 ), respectively.
［第五実施形態］
上述の各実施形態では、復号装置の自然数記憶部１１０１に、互いに素である２つの自然数ａ，ｂの組（ａ，ｂ）が複数種類記憶され、これらの組（ａ，ｂ）を用いて各処理が実行されることとした。しかしながら、ａ，ｂの一方が定数であってもよい。例えば、ａが１に固定されていてもよいし、ｂが１に固定されていてもよい。言い換えると、第一乱数化可能標本器又は第二乱数化可能標本器の一方が標本器に置換されていてもよい。ａ，ｂの一方が定数である場合、定数とされたａ又はｂを選択する処理が不要となり、各処理部は定数とされたａ又はｂが入力されることなく、それを定数として扱って計算を行うことができる。また、定数とされたａ又はｂが１である場合には、ａ’やｂ’を用いることなく、ｆ（ｘ）＝ｕｂ’ｖａ’をｆ（ｘ）＝ｖ又はｆ（ｘ）＝ｕとして得ることができる。
[Fifth embodiment]
In each of the above-described embodiments, the natural
第五実施形態は、そのような変形の一例であり、ｂが１に固定され、第二乱数化可能標本器が標本器に置換された形態である。以下では、第一実施形態との相違点を中心に説明し、復号制御処理などの第一実施形態と共通する事項については説明を省略する。また、第一乱数化可能標本器や標本器の具体例も、第二実施形態から第四実施形態で説明したのと同様であるため、説明を省略する。 The fifth embodiment is an example of such a modification, in which b is fixed to 1 and the second randomizable sampler is replaced with a sampler. Below, it demonstrates centering around difference with 1st embodiment, and abbreviate | omits description about matters common to 1st embodiment, such as a decoding control process. Specific examples of the first randomizable sampler and the sampler are the same as those described in the second to fourth embodiments, and thus the description thereof is omitted.
＜構成＞
図１に例示するように、第五実施形態の復号制御システム５は、第一実施形態の復号装置１１が復号装置５１に置換され、復号能力提供装置１２が復号能力提供装置５２に置換されたものである。
<Configuration>
As illustrated in FIG. 1, in the decoding control system 5 of the fifth embodiment, the
図１１に例示するように、第五実施形態の復号装置５１は、例えば、自然数記憶部５１０１と自然数選択部５１０２と入力情報提供部５１０４と第一計算部５１０５と第一べき乗計算部１１０６と第一リスト記憶部１１０７と第二計算部５１０８と第二リスト記憶部５１１０と判定部５１１１と最終出力部１１１２と制御部１１１３とを有する。
As illustrated in FIG. 11, the
図３に例示するように、第五実施形態の復号能力提供装置５２は、例えば、第一出力情報計算部５２０１と第二出力情報計算部５２０２と鍵記憶部１２０４と制御部１２０５とを有する。
As illustrated in FIG. 3, the decryption capability providing apparatus 52 of the fifth embodiment includes, for example, a first output information calculation unit 5201, a second output information calculation unit 5202, a
＜復号処理＞
次に本形態の復号処理を説明する。復号処理の前提として、Ｇ，Ｈを巡回群、ｆ（ｘ）を群Ｈの元である暗号文ｘを特定の復号鍵ｓで復号して群Ｇの元を得るための復号関数、群Ｇ，Ｈの生成元をそれぞれμｇ，μｈ、Ｘ１，Ｘ２を群Ｇに値を持つ確率変数、確率変数Ｘ１の実現値をｘ１、確率変数Ｘ２の実現値をｘ２とする。また、復号装置５１の自然数記憶部５１０１には、自然数ａが複数種類記憶されているものとする。
<Decryption process>
Next, the decoding process of this embodiment will be described. As a premise of the decryption process, G and H are cyclic groups, f (x) is a decryption function for decrypting a ciphertext x that is an element of the group H with a specific decryption key s, and a group G each mu g the generator of H,
図１２に例示するように、まず、復号装置５１（図１１）の自然数選択部５１０２が、自然数記憶部５１０１に記憶された複数の自然数ａから１つの自然数ａをランダムに読み込む。読み込まれた自然数ａの情報は、入力情報提供部５１０４及び第一べき乗計算部１１０６に送られる（ステップＳ５１００）。
As illustrated in FIG. 12, first, the natural
制御部１１１３は、ｔ＝１とする（ステップＳ１１０２）。
The
入力情報提供部５１０４は、入力された暗号文ｘにそれぞれ対応する第一入力情報τ１及び第二入力情報τ２を生成して出力する。好ましくは、第一入力情報τ１及び第二入力情報τ２はそれぞれ暗号文ｘとの関係をかく乱させた情報である。これにより、復号装置５１は、暗号文ｘを復号能力提供装置５２に対して隠蔽できる。また、好ましくは、本形態の第二入力情報τ２は自然数選択部５１０２で選択された自然数ａにさらに対応する。これにより、復号能力提供装置５２から提供された復号能力を復号装置５１が高い精度で評価できる（ステップＳ５１０３）。第一入力情報τ１及び第二入力情報τ２の組みの具体例は、第二実施形態から第四実施形態の何れかのｂ＝１とした第一入力情報τ１及び第二入力情報τ２の組みである。
The input
図８に例示するように、第一入力情報τ１は復号能力提供装置５２（図３）の第一出力情報計算部５２０１に入力され、第二入力情報τ２は第二出力情報計算部５２０２に入力される（ステップＳ５２００）。 As illustrated in FIG. 8, the first input information τ 1 is input to the first output information calculation unit 5201 of the decoding capability providing apparatus 52 (FIG. 3), and the second input information τ 2 is input to the second output information calculation unit 5202. (Step S5200).
第一出力情報計算部５２０１は、第一入力情報τ１と鍵記憶部１２０４に格納された復号鍵ｓとを用い、或る確率より大きな確率でｆ（τ１）を正しく計算し、得られた計算結果を第一出力情報ｚ１とする（ステップＳ５２０１）。第二出力情報計算部５２０２は、第二入力情報τ２と鍵記憶部１２０４に格納された復号鍵ｓとを用い、或る確率より大きな確率でｆ（τ２）を正しく計算し、得られた演算結果を第二出力情報ｚ２とする（ステップＳ５２０２）。すなわち、第一出力情報計算部５２０１や第二出力情報計算部５２０２は、意図的又は意図的ではない誤差を含んだ計算結果を出力する。言い換えると、第一出力情報計算部５２０１での計算結果がｆ（τ１）の場合もあればｆ（τ１）でない場合もあり、第二出力情報計算部５２０２での計算結果がｆ（τ２）の場合もあればｆ（τ２）でない場合もある。第一出力情報ｚ１及び第二出力情報ｚ２の組の具体例は、第二実施形態から第四実施形態の何れかのｂ＝１とした第一出力情報ｚ１及び第二出力情報ｚ２の組である。
The first output information calculation unit 5201 uses the first input information τ 1 and the decryption key s stored in the
第一出力情報計算部５２０１は第一出力情報ｚ１を出力し、第二出力情報計算部５２０２は第二出力情報ｚ２を出力する（ステップＳ５２０３）。 The first output information calculation unit 5201 outputs the first output information z 1, the second output information calculation unit 5202 outputs the second output information z 2 (step S5203).
図１２に戻り、第一出力情報ｚ１は復号装置５１（図１１）の第一計算部５１０５に入力され、第二出力情報ｚ２は第二計算部５１０８に入力される。これらの第一出力情報ｚ１及び第二出力情報ｚ２が、復号能力提供装置５２から復号装置５１に与えられた復号能力に相当する（ステップＳ５１０４）。
Returning to FIG. 12, the first output information z 1 is input to the
第一計算部５１０５は、第一出力情報ｚ１から演算結果ｕ＝ｆ（ｘ）ｘ１を生成する。演算結果ｕの具体例は、第二実施形態から第四実施形態の何れかのｂ＝１とした演算結果ｕである。演算結果ｕは第一べき乗計算部１１０６に送られる（ステップＳ５１０５）。
The
第一べき乗計算部１１０６はｕ’＝ｕａを計算する。計算結果ｕとその計算結果に基づいて計算されたｕ’との組（ｕ，ｕ’）は、第一リスト記憶部１１０７に記憶される（ステップＳ１１０６）。
The first
第二計算部５１０８は、第二出力情報ｚ２から演算結果ｖ＝ｆ（ｘ）ａｘ２を生成する。演算結果ｖの具体例は、第二実施形態から第四実施形態の何れかの演算結果ｖである。演算結果ｖは第二リスト記憶部５１１０に記憶される（ステップＳ５１０８）。
The
判定部５１１１は、第一リスト記憶部１１０７に記憶された組（ｕ，ｕ’）及び第二リスト記憶部５１１０に記憶されたｖの中で、ｕ’＝ｖとなるものがあるか判定する（ステップＳ５１１０）。ｕ’＝ｖとなるものがあった場合には、ステップＳ５１１４に進む。ｕ’＝ｖとなるものがなかった場合には、ステップＳ１１１１に進む。
The
ステップＳ１１１１では、制御部１１１３がｔ＝Ｔであるか判定する（ステップＳ１１１１）。Ｔは予め定められた１以上の自然数である。ｔ＝Ｔであれば、最終出力部１１１２が、計算をすることができなかった旨の情報、例えば記号「⊥」を出力して（ステップＳ１１１３）、処理を終える。ｔ＝Ｔでない場合には、制御部１１１３は、ｔを１だけインクリメント、すなわちｔ＝ｔ＋１として（ステップＳ１１１２）、ステップＳ５１０３に戻る。
In step S1111, the
ステップＳ５１１４では、最終出力部１１１２が、ｕ’＝ｖであると判定されたｕ’に対応するｕを出力する（ステップＳ５１１４）。このように得られたｕは、第一実施形態から第四実施形態でｂ＝１とした場合のｕｂ’ｖａ’に相当する。すなわち、このように得られたｕは高い確率で暗号文ｘを特定の復号鍵ｓで復号した復号結果ｆ（ｘ）となる。よって、上述した処理を複数回繰り返し、ステップＳ５１１４で得られた値のうち最も頻度の高い値を復号結果とすればよい。また、後述するように、設定によっては圧倒的な確率でｕ＝ｆ（ｘ）となる。その場合にはステップＳ５１１４で得られた値をそのまま復号結果としてよい。
In step S5114, the
≪復号結果ｆ（ｘ）が得られる理由について≫
次に、本形態の復号装置５１で復号結果ｆ（ｘ）が得られる理由を説明する。まず、説明に必要な事項を定義する。
<< Reason for Decoding Result f (x) >>
Next, the reason why the decoding result f (x) is obtained by the
ブラックボックス（ｂｌａｃｋ−ｂｏｘ）：
ｆ（τ）のブラックボックスＦ（τ）とは、τ∈Ｈを入力としてｚ∈Ｇを出力する処理部を意味する。本形態では、第一出力情報計算部５２０１及び第二出力情報計算部５２０２が、それぞれ復号関数ｆ（τ）のブラックボックスＦ（τ）に相当する。群Ｈから任意に選択された元τ∈ＵＨ及びｚ＝Ｆ（τ）に対してｚ＝ｆ（τ）を満たす確率がδ（０＜δ≦１）よりも大きい場合、すなわち、
Ｐｒ［ｚ＝ｆ（τ）｜τ∈ＵＨ，ｚ＝Ｆ（τ）］＞δ …（１）
を満たすｆ（τ）のブラックボックスＦ（τ）のことを、信頼性δ（δ−ｒｅｌｉａｂｌｅ）のｆ（τ）のブラックボックスＦ（τ）という。なお、δは正の値であり、前述した「或る確率」に相当する。
Black-box:
The black box F (τ) of f (τ) means a processing unit that inputs τεH and outputs zεG. In this embodiment, the first output information calculation unit 5201 and the second output information calculation unit 5202 correspond to the black box F (τ) of the decoding function f (τ), respectively. If the probability of satisfying z = f (τ) for an element τε U H and z = F (τ) arbitrarily selected from group H is greater than δ (0 <δ ≦ 1),
Pr [z = f (τ) | τ∈ U H, z = F (τ)]> δ ... (1)
A black box F (τ) of f (τ) that satisfies the above is called a black box F (τ) of f (τ) with reliability δ (δ-reliable). Δ is a positive value and corresponds to the “certain probability” described above.
自己訂正器（ｓｅｌｆ−ｃｏｒｒｅｃｔｏｒ）：
自己訂正器ＣＦ（ｘ）とは、ｘ∈Ｈを入力とし、ｆ（τ）のブラックボックスＦ（τ）を用いて計算を行い、ｊ∈Ｇ∪⊥を出力する処理部を意味する。本形態では、復号装置５１が自己訂正器ＣＦ（ｘ）に相当する。
Self-corrector:
The self-corrector C F (x) means a processing unit that receives x∈H, performs calculation using the black box F (τ) of f (τ), and outputs j∈G∪⊥. In this embodiment, the
オールモスト自己訂正器（ａｌｍｏｓｔ ｓｅｌｆ−ｃｏｒｒｅｃｔｏｒ）：
自己訂正器ＣＦ（ｘ）が、ｘ∈Ｈを入力とし、δ−ｒｅｌｉａｂｌｅのｆ（τ）のブラックボックスＦ（τ）を用い、正しい値ｊ＝ｆ（ｘ）を出力する確率が、誤った値ｊ≠ｆ（ｘ）を出力する確率よりも十分大きい場合を想定する。すなわち、
Ｐｒ［ｊ＝ｆ（ｘ）｜ｊ＝ＣＦ（ｘ），ｊ≠⊥］
＞Ｐｒ［ｊ≠ｆ（ｘ）｜ｊ＝ＣＦ（ｘ），ｊ≠⊥］＋Δ …（２）
を満たす場合を想定する。なお、Δは或る正の値（０＜Δ＜１）である。このような場合、自己訂正器ＣＦ（ｘ）はオールモスト自己訂正器であるという。例えば、或る正の値Δ’（０＜Δ’＜１）に対して
Ｐｒ［ｊ＝ｆ（ｘ）｜ｊ＝ＣＦ（ｘ）］＞（１／３）＋Δ’
Ｐｒ［ｊ＝⊥｜ｊ＝ＣＦ（ｘ）］＜１／３
Ｐｒ［ｊ≠ｆ（ｘ）かつｊ≠⊥｜ｊ＝ＣＦ（ｘ）］＜１／３
を満たす場合、自己訂正器ＣＦ（ｘ）はオールモスト自己訂正器である。Δ’の例はΔ’＝１／１２や１／３である。
Almost self-corrector:
If the self-corrector C F (x) receives x∈H and uses the black box F (τ) of f (τ) of δ-reliable, the probability that the correct value j = f (x) is output is incorrect. Assume that the value j ≠ f (x) is sufficiently larger than the probability of outputting. That is,
Pr [j = f (x) | j = C F (x), j ≠ ⊥]
> Pr [j ≠ f (x) | j = C F (x), j ≠ ⊥] + Δ (2)
Assuming that Δ is a certain positive value (0 <Δ <1). In such a case, the self-corrector C F (x) is said to be an all-most self-corrector. For example, Pr [j = f (x) | j = C F (x)]> (1/3) + Δ ′ for a certain positive value Δ ′ (0 <Δ ′ <1)
Pr [j = ⊥ | j = C F (x)] <1/3
Pr [j ≠ f (x) and j ≠ ⊥ | j = C F (x)] <1/3
If the condition is satisfied, the self-corrector C F (x) is an all-most self-corrector. Examples of Δ ′ are Δ ′ = 1/12 and 1/3.
ローバスト自己訂正器（ｒｏｂｕｓｔ ｓｅｌｆ−ｃｏｒｒｅｃｔｏｒ）：
自己訂正器ＣＦ（ｘ）が、ｘ∈Ｈを入力とし、δ−ｒｅｌｉａｂｌｅのｆ（τ）のブラックボックスＦ（τ）を用い、正しい値ｊ＝ｆ（ｘ）又はｊ＝⊥を出力する確率が圧倒的である場合を想定する。すなわち、無視することができる誤差ξ（０≦ξ＜１）に対して
Ｐｒ［ｊ＝ｆ（ｘ）またはｊ＝⊥｜ｊ＝ＣＦ（ｘ）］＞１−ξ …（３）
を満たす場合を想定する。このような場合、自己訂正器ＣＦ（ｘ）はローバスト自己訂正器であるという。なお、無視することができる誤差ξの例は、セキュリティパラメータｋの関数値ξ（ｋ）である。関数値ξ（ｋ）の例は、任意の多項式ｐ（ｋ）について、十分大きいｋに対して｛ξ（ｋ）ｐ（ｋ）｝が０に収束するものである。関数値ξ（ｋ）の具体例は、ξ（ｋ）＝２−ｋやξ（ｋ）＝２−√ｋなどである。
Robust self-corrector:
The self-corrector C F (x) takes x∈H as an input and outputs a correct value j = f (x) or j = ⊥ using a black box F (τ) of f (τ) of δ-reliable. Assume that the probability is overwhelming. That is, Pr [j = f (x) or j = ⊥ | j = C F (x)]> 1-ξ (3) with respect to an error ξ (0 ≦ ξ <1) that can be ignored.
Assuming that In such a case, the self-corrector C F (x) is said to be a robust self-corrector. An example of the error ξ that can be ignored is the function value ξ (k) of the security parameter k. An example of the function value ξ (k) is such that {ξ (k) p (k)} converges to 0 for a sufficiently large k for an arbitrary polynomial p (k). Specific examples of the function value ξ (k) are ξ (k) = 2− k and ξ (k) = 2− √k .
また、オールモスト自己訂正器からローバスト自己訂正器を構成することができる。すなわち、同一のｘに対してオールモスト自己訂正器を複数回実行させ、⊥を除いて最も頻度が高い出力値をｊとすることで、ローバスト自己訂正器を構成できる。例えば、同一のｘに対してオールモスト自己訂正器をＯ（ｌｏｇ（１／ξ））回実行させ、最も頻度が高い出力値をｊとすることで、ローバスト自己訂正器を構成できる。なお、Ｏ（・）はオー記法を表す。 In addition, a robust self-corrector can be constructed from an all-most self-corrector. That is, a robust self-corrector can be configured by executing the all-most self-corrector a plurality of times for the same x and setting j as the most frequent output value excluding wrinkles. For example, a robust self-corrector can be constructed by executing an all-most self-corrector O (log (1 / ξ)) times for the same x and setting j as the most frequent output value. O (•) represents the O-notation.
擬似自由（ｐｓｅｕｄｏ−ｆｒｅｅ）な作用：
群Ｇ、自然数の集合Ω＝｛０，．．．，Ｍ｝（Ｍは１以上の自然数）、群Ｇに値を持つ確率変数Ｘ１，Ｘ２の各実現値α∈Ｘ１（α≠ｅｇ），β∈Ｘ２、及びａ∈Ωについて、αａ＝βとなる確率
Ｐｒ［αａ＝βかつα≠ｅｇ｜ａ∈ＵΩ，α∈Ｘ１，β∈Ｘ２］ …（４）
について、あらゆる可能なＸ１，Ｘ２に関する上限値を、組（Ｇ，Ω）の疑似自由指標とよび、これをＰ（Ｇ，Ω）と表すことにする。ある無視することができる関数ζ（ｋ）が存在して、
Ｐ（Ｇ，Ω）＜ζ（ｋ） …（５）
である場合、組（Ｇ，Ω）によって定義される演算は擬似自由な作用であるという。なお、「αａ」は、群Ｇで定義された演算をαに対してａ回作用させることを意味する。また、無視することができる関数ζ（ｋ）の例は、任意の多項式ｐ（ｋ）について、十分大きいｋに対して｛ζ（ｋ）ｐ（ｋ）｝が０に収束するものである。関数ζ（ｋ）の具体例は、ζ（ｋ）＝２−ｋやζ（ｋ）＝２−√ｋなどである。例えば、セキュリティパラメータｋとに対し、式（４）の確率がＯ（２−k）未満である場合、組（Ｇ，Ω）によって定義される演算は擬似自由な作用である。また、例えば、任意の∀α∈Ｇでα≠ｅｇであるものについて、集合Ω・α＝｛ａ（α）｜ａ∈Ω｝の要素数｜Ω・α｜が２ｋを超える場合、組（Ｇ，Ω）によって定義される演算は擬似自由な作用といえる。なお、ａ（α）は、ａとαに所定の演算を作用させた結果を表す。このような具体例は数多く存在する。例えば、群Ｇが素数ｐを法とする剰余群Ｚ／ｐＺであり、素数ｐが２ｋのオーダーであり、集合Ω＝｛０，．．．，ｐ−２｝であり、ａ（α）がαａ∈Ｚ／ｐＺであり、α≠ｅｇである場合、Ω・α＝｛αａ｜ａ＝０，．．．，ｐ−２｝＝｛ｅｇ，α１，．．．，αｐ−２｝となり、｜Ω・α｜＝ｐ−１である。素数ｐが２ｋのオーダーであるため、ある定数Ｃが存在して、ｋが十分大きければ｜Ω・α｜＞Ｃ２ｋを満たす。ここで式（４）の確率はＣ−１２−ｋ未満であり、このような組（Ｇ，Ω）によって定義される演算は擬似自由な作用である。
Pseudo-free action:
Group G, set of natural numbers Ω = {0,. . . , M} (M is a natural number greater than or equal to 1 ), realization values α∈X 1 (α ≠ e g ), β∈X 2 , and a∈Ω of random variables X 1 and X 2 having values in group G , the probability becomes α a = β Pr [α a = β cutlet α ≠ e g | a∈ U Ω , α∈
For the upper limit value regarding every possible X 1, X 2, referred to as pseudo-free indicator of the set (G, Omega), which will be expressed as P (G, Ω). There is a function ζ (k) that can be ignored,
P (G, Ω) <ζ (k) (5)
The operation defined by the pair (G, Ω) is a pseudo-free action. “Α a ” means that the operation defined in the group G is applied to α a times. An example of the function ζ (k) that can be ignored is that {ζ (k) p (k)} converges to 0 for a sufficiently large k for an arbitrary polynomial p (k). Specific examples of the function ζ (k) include ζ (k) = 2 −k and ζ (k) = 2 −√k . For example, when the probability of Expression (4) is less than O (2- k ) with respect to the security parameter k, the operation defined by the set (G, Ω) is a pseudo-free action. Further, for example, for those that are alpha ≠ e g in any ∀ Arufa∈G, set Ω · α = {a (α ) | a∈Ω} If exceeding 2 k, | number of elements | Omega · alpha The operation defined by the pair (G, Ω) can be said to be a pseudo-free action. Note that a (α) represents the result of applying a predetermined calculation to a and α. There are many such examples. For example, the group G is a residue group Z / pZ modulo a prime number p, the prime number p is on the order of 2 k , and the set Ω = {0,. . . A p-2}, a a (alpha) is alpha a ∈ Z / pZ, if it is α ≠ e g, Ω · α = {α a | a = 0 ,. . . , P-2} = {eg, α 1 ,. . . , Α p−2 }, and | Ω · α | = p−1. Since prime p is of the order of 2 k, then there exists a constant C, if k is sufficiently large | Ω · α |> meet C2 k. Here, the probability of the equation (4) is less than C - 12- k , and the operation defined by such a set (G, [Omega]) is a pseudo-free action.
信頼性δγ（δγ−ｒｅｌｉａｂｌｅ）の乱数化可能標本器：
自然数ａが与えられるたびに、δ−ｒｅｌｉａｂｌｅのｆ（τ）のブラックボックスＦ（τ）を用い、ｗ∈Ｇについて、確率変数Ｘに従った標本ｘ’に対応するｗａｘ’を返す乱数化可能標本器であって、ｗａｘ’＝ｗａである確率がδγよりも大きい（γは正定数）、すなわち、
Ｐｒ［ｗａｘ’＝ｗａ］＞δγ …（６）
を満たすものを、信頼性δγな乱数化可能標本器という。本形態の入力情報提供部５１０４と第二出力情報計算部５２０２と第二計算部５１０８との組は、ｗ＝ｆ（ｘ）について、信頼性δγな乱数化可能標本器である。
A randomizable sampler with reliability δ γ (δ γ -reliable):
Each time a natural number a is given, a random number that uses a black box F (τ) of f (τ) of δ-reliable and returns w a x ′ corresponding to a sample x ′ according to a random variable X for w∈G a reduction can sampler, w a x '= w a is greater than [delta] gamma probability is (gamma positive constant), i.e.,
Pr [w a x ′ = w a ]> δ γ (6)
A sampler satisfying the condition is called a randomizable sampler with reliability δγ. Set of input
次に、これらの定義を用い、本形態の復号装置５１で復号結果ｆ（ｘ）が得られる理由を説明する。
Next, the reason why a decoding result f (x) is obtained by the
本形態のステップＳ５１１０ではｕ’＝ｖであるか、すなわち、ｕａ＝ｖであるかを判定している。本形態の入力情報提供部５１０４と第二出力情報計算部５２０２と第二計算部５１０８との組は信頼性δγな乱数化可能標本器であるため（式（６））、Ｔをｋ，δ，γから定まる一定値よりも大きい値とすれば、漸近的に大きい確率でｕａ＝ｖが成立する（ステップＳ５１１０でｙｅｓとなる）場合が生じる。たとえば、Ｔ≧４／δγとすれば、ｕａ＝ｖが成立する（ステップＳ５１１０でｙｅｓとなる）確率は１／２よりも大きいことがＭａｒｋｏｖの不等式によってわかる。
In step S5110 of this embodiment, it is determined whether u ′ = v, that is, whether u a = v. For set of input
また、本形態ではｕ＝ｆ（ｘ）ｘ１及びｖ＝ｆ（ｘ）ａｘ２なのであるから、ｕａ＝ｖが成立する場合にはｘ１ ａ＝ｘ２が成立する。ｘ１ ａ＝ｘ２が成立する場合には、ｘ１＝ｘ２＝ｅｇである場合とｘ１≠ｅｇである場合とがある。ｘ１＝ｘ２＝ｅｇである場合には、ｕ＝ｆ（ｘ）となるのであるから、ステップＳ５１１４で出力されるｕは正しい復号結果ｆ（ｘ）となる。一方、ｘ１≠ｅｇである場合には、ｕ≠ｆ（ｘ）となるのであるから、ステップＳ５１１４で出力されるｕは正しい復号結果ｆ（ｘ）ではない。 In this embodiment, since u = f (x) x 1 and v = f (x) a x 2 , when u a = v holds, x 1 a = x 2 holds. if x 1 a = x 2 is established, and a case is x 1 = x 2 = e If a g and x 1 ≠ e g. If it is x 1 = x 2 = e g, since it is of a u = f (x), u is output in step S5114 is correct decoding result f (x). On the other hand, in the case of x 1 ≠ e g, since it is of a u ≠ f (x), u is output in step S5114 is not the correct decoding result f (x).
群Ｇと自然数ａが属する集合Ωとの組（Ｇ，Ω）によって定義される演算が擬似自由な作用であるか、疑似自由指標Ｐ（Ｇ，Ω）についてＴ２Ｐ（Ｇ，Ω）が漸近的に小さい場合、ｕａ＝ｖの場合にｘ１≠ｅｇである確率（式（４））は漸近的に小さい。したがって、ｕａ＝ｖの場合にｘ１＝ｅｇである確率は漸近的に大きい。よって、組（Ｇ，Ω）によって定義される演算が擬似自由な作用であるか、Ｔ２Ｐ（Ｇ，Ω）が漸近的に小さい場合、ｕａ＝ｖの場合に誤った復号結果ｆ（ｘ）が出力される確率は、ｕａ＝ｖの場合に正しい復号結果ｆ（ｘ）が出力される確率よりも十分小さい。この場合の復号装置５１はオールモスト自己訂正器であるといえる（式（２）参照）。そのため、前述のように、復号装置５１からローバスト自己訂正器を構成することが可能であり、圧倒的な確率で正しい復号結果ｆ（ｘ）を得ることができる。（Ｇ，Ω）で定義される演算が疑似自由な作用である場合には、ｕａ＝ｖの場合に誤った復号結果ｆ（ｘ）が出力される確率も無視できる。この場合の復号装置５１は、圧倒的な確率で正しい復号結果ｆ（ｘ）または⊥を出力する。
Whether the operation defined by the group (G, Ω) of the group G and the set Ω to which the natural number a belongs is a pseudo-free action, or T 2 P (G, Ω) is about the pseudo-free index P (G, Ω) If asymptotically small probability of x 1 ≠ e g in the case of u a = v (equation (4)) is asymptotically small. Thus, the probability that x 1 = e g in the case of u a = v is asymptotically large. Therefore, if the operation defined by the pair (G, Ω) is a pseudo-free action, or T 2 P (G, Ω) is asymptotically small, an erroneous decoding result f (when u a = v The probability that x) is output is sufficiently smaller than the probability that a correct decoding result f (x) is output when u a = v. It can be said that the
なお、任意の定数ρに対してｋ０が定まり、このｋ０に対してｋ０＜ｋ’を満たす任意のｋ’に対する関数値η（ｋ’）がρ未満となる場合「η（ｋ’）が漸近的に小さい」という。ｋ’の例はセキュリティパラメータｋである。 If k 0 is determined for an arbitrary constant ρ, and the function value η (k ′) for an arbitrary k ′ that satisfies k 0 <k ′ for this k 0 is less than ρ, “η (k ′ ) Is asymptotically small. " An example of k ′ is a security parameter k.
また、任意の定数ρに対してｋ０が定まり、このｋ０に対してｋ０＜ｋ’を満たす任意のｋ’に対する関数値１−η（ｋ’）がρ未満となる場合「η（ｋ’）が漸近的に大きい」という。 Further, Sadamari is k 0 for any constant [rho, for this k 0 k 0 <If function value for 'any k satisfying' k 1-eta of (k ') is less than [rho "eta ( k ′) is asymptotically large ”.
なお、ａをａ／ｂに置換すれば分かるように、上述の証明は第一実施形態で述べた「ｕ’＝ｖ’が成立するのは、第一乱数化可能標本器がｕ＝ｆ（φ）ｂを正しく計算しており、第二乱数化可能標本器がｖ＝ｆ（φ）ａを正しく計算している（ｘ１及びｘ２が群Ｇの単位元ｅｇである）可能性が高い」ことの証明ともなる。 As can be seen by replacing a with a / b, the above proof is that “u ′ = v ′” described in the first embodiment is established because the first randomizable sampler is u = f ( has correctly calculate phi) b, the second random number of possible sampler is v = f (φ) is correctly calculate a (x 1 and x 2 are the identity e g in the group G) potential It is also a proof that
《信頼性δγな乱数化可能標本器と安全性について》
以下のような攻撃を想定する。
《Reliable δ γ randomizable sampler and safety》
Assume the following attacks.
・ブラックボックスＦ（τ）又はその部分が意図的に不正なｚを出力する、又は、ブラックボックスＦ（τ）から出力された値が不正なｚに改ざんされる。
・不正なｚに対応するｗａｘ’が乱数化可能標本器から出力される。
・不正なｚに対応するｗａｘ’は、自己訂正器ＣＦ（ｘ）でｕａ＝ｖが成立する（ステップＳ５１１０でｙｅｓなる）にもかかわらず、自己訂正器ＣＦ（ｘ）が誤った値を出力する確率を増加させる。
The black box F (τ) or its part intentionally outputs an incorrect z, or the value output from the black box F (τ) is altered to an incorrect z.
-W a x 'corresponding to an illegal z is output from a randomizable sampler.
The w a x ′ corresponding to the illegal z is determined by the self corrector C F (x) even though u a = v is satisfied in the self corrector C F (x) (yes in step S5110). Increase the probability of outputting an incorrect value.
このような攻撃は、与えられた自然数ａに対して乱数化可能標本器から出力されたｗａｘ’の誤差の確率分布Ｄａ＝ｗａｘ’ｗ−ａが自然数ａに依存する場合に可能となる。例えば、第二計算部５１０８から出力されるｖがｆ（ｘ）ａｘ１ ａとなるような不正が行われた場合、ｘ１の値にかかわらず、必ずｕａ＝ｖが成立することになる。よって、与えられた自然数ａに対して乱数化可能標本器から出力されたｗａｘ’の誤差の確率分布Ｄａ＝ｗａｘ’ｗ−ａが当該自然数ａに依存しないことが望ましい。
Such attacks, if the probability distribution of the error of the output from the random number of possible sampler against natural number a given w a x 'D a = w a x'w -a depends on the natural number a It becomes possible. For example, if a fraud is performed such that v output from the
あるいは、、集合Ωのいかなる元ａ∈∀Ωについても、ｗａｘ’の誤差の確率分布Ｄａ＝ｗａｘ’ｗ−ａと区別することができない群Ｇに値を持つ確率分布Ｄが存在する（確率分布Ｄａと確率分布Ｄとが統計的に近似する（ｓｔａｔｉｓｔｉｃａｌｌｙ−ｃｌｏｓｅ））乱数化可能標本器であることが望ましい。なお、確率分布Ｄは自然数ａに依存しない。また、確率分布Ｄａと確率分布Ｄとを区別することができないとは、多項式時間アルゴリズムによって確率分布Ｄａと確率分布Ｄとを区別することができないことを意味し、例えば、無視することができるζ（０≦ζ＜１）に対して
Σｇ∈Ｇ｜Ｐｒ［ｇ∈Ｄ］−Ｐｒ［ｇ∈Ｄａ］｜＜ζ …（７）
を満たすならば、多項式時間アルゴリズムによって確率分布Ｄａと確率分布Ｄとを区別することができない。無視することができるζの例は、セキュリティパラメータｋの関数値ζ（ｋ）である。関数値ζ（ｋ）の例は、任意の多項式ｐ（ｋ）について、十分大きいｋに対して｛ζ（ｋ）ｐ（ｋ）｝が０に収束するものである。関数値ζ（ｋ）の具体例は、ζ（ｋ）＝２−ｋやζ（ｋ）＝２−√ｋなどである。また、これらの点は自然数ａ及びｂを使用する第一実施形態から第四実施形態についても同様である。
Or for any original a∈ ∀ Ω of ,, set Omega, is w a x error probability distribution D a = w a x'w -a probability distribution D having a value in the group G can not be distinguished in the ' It is desirable that the sampler be a randomizable sampler that exists (statistically-close between the probability distribution Da and the probability distribution D). The probability distribution D does not depend on the natural number a. Further, the inability to distinguish between probability distributions D a probability distribution D, which means that it is impossible to distinguish between the probability distribution D a probability distribution D by a polynomial time algorithm, for example, be ignored For possible ζ (0 ≦ ζ <1), ΣgεG | Pr [gεD] −Pr [gεD a ] | <ζ (7)
If it satisfies, the probability distribution D a and the probability distribution D cannot be distinguished by the polynomial time algorithm. An example of ζ that can be ignored is the function value ζ (k) of the security parameter k. An example of the function value ζ (k) is such that {ζ (k) p (k)} converges to 0 for a sufficiently large k for an arbitrary polynomial p (k). Specific examples of the function value ζ (k) include ζ (k) = 2 −k and ζ (k) = 2 −√k . These points are the same in the first to fourth embodiments using the natural numbers a and b.
［変形例等］
確率変数Ｘ１、Ｘ２及びＸ３は、同じでも異なっていてもよい。
[Modifications, etc.]
The random variables X 1 , X 2 and X 3 may be the same or different.
第一乱数生成部、第二乱数生成部、第三乱数生成部、第四乱数生成部、第五乱数生成部、第六乱数生成部及び第七乱数生成部のそれぞれが一様乱数を生成することにより、復号制御システムの安全性を高くできる。しかし、求める安全性のレベルがそれほど高くない場合には、第一乱数生成部、第二乱数生成部、第三乱数生成部、第四乱数生成部、第五乱数生成部、第六乱数生成部及び第七乱数生成部の少なくとも一部が、一様乱数ではない乱数を生成してもよい。また、演算効率上からは、上述の各実施形態のように０以上ＫＨ未満の自然数である乱数や０以上ＫＧ未満の自然数である乱数が選択されることが望ましいが、それらの代わりにＫＨ以上やＫＧ以上の自然数の乱数が選択されてもよい。 Each of the first random number generator, the second random number generator, the third random number generator, the fourth random number generator, the fifth random number generator, the sixth random number generator, and the seventh random number generator generates a uniform random number. As a result, the security of the decoding control system can be increased. However, if the required level of security is not so high, the first random number generator, the second random number generator, the third random number generator, the fourth random number generator, the fifth random number generator, the sixth random number generator And at least a part of the seventh random number generator may generate a random number that is not a uniform random number. Also, from the computational efficiency, it is desirable that a natural number less than the random number and 0 or K G is a natural number from 0 to less than K H as the embodiments described above random number is selected, on their behalf K H above and K G or more natural number of the random number may be selected.
復号装置が同一のａ，ｂに対応する第一入力情報τ１及び第二入力情報τ２を復号能力提供装置に提供するたびに、復号能力提供装置の処理が複数回実行させてもよい。これにより、復号装置が第一入力情報τ１及び第二入力情報τ２を復号能力提供装置に一回提供するたびに、復号装置は第一出力情報ｚ１や第二出力情報ｚ２や第三出力情報ｚ３を複数個得ることができる。これにより、復号装置と復号能力提供装置との間のやり取り回数や通信量を減らすことができる。 Each time the decoding device provides the first input information τ 1 and the second input information τ 2 corresponding to the same a and b to the decoding capability providing device, the processing of the decoding capability providing device may be executed a plurality of times. Thus, each time the decoding device provides the first input information τ 1 and the second input information τ 2 to the decoding capability providing device once, the decoding device can output the first output information z 1 , the second output information z 2 , A plurality of three output information z 3 can be obtained. Thereby, the frequency | count and communication amount of communication between a decoding apparatus and a decoding capability provision apparatus can be reduced.
また、復号装置が複数種類の第一入力情報τ１及び第二入力情報τ２を復号能力提供装置にまとめて提供し、対応する第一出力情報ｚ１や第二出力情報ｚ２や第三出力情報ｚ３を複数個まとめて取得してもよい。これにより、復号装置と復号能力提供装置との間のやり取り回数を減らすことができる。 Also, the decoding device collectively provides a plurality of types of first input information τ 1 and second input information τ 2 to the decoding capability providing device, and the corresponding first output information z 1 , second output information z 2 , third it may acquire the output information z 3 plurality together. Thereby, the frequency | count of the exchange between a decoding apparatus and a decoding capability provision apparatus can be reduced.
復号装置の各部間のデータのやり取りは直接行われてもよいし、図示していない記憶部を介して行われてもよい。同様に、復号能力提供装置の各部間のデータのやり取りは直接行われてもよいし、図示していない記憶部を介して行われてもよい。 Data exchange between each unit of the decoding device may be performed directly or may be performed via a storage unit (not shown). Similarly, data exchange between the respective units of the decoding capability providing apparatus may be performed directly or may be performed via a storage unit (not shown).
また、各実施形態の第一計算部や第二計算部において得られたｕやｖが群Ｇの元であるかを確認し、群Ｇの元であった場合には上述した処理を続行し、ｕ又はｖが群Ｇの元でなかった場合には、計算をすることができなかった旨の情報、例えば記号「⊥」が出力されてもよい。 In addition, it is confirmed whether u and v obtained in the first calculation unit and the second calculation unit of each embodiment are elements of the group G. If they are elements of the group G, the above-described processing is continued. If u, v or v is not an element of the group G, information indicating that the calculation could not be performed, for example, the symbol “⊥” may be output.
その他、本発明は上述の実施形態に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。 In addition, the present invention is not limited to the above-described embodiment. For example, the various processes described above are not only executed in time series according to the description, but may also be executed in parallel or individually as required by the processing capability of the apparatus that executes the processes. Needless to say, other modifications are possible without departing from the spirit of the present invention.
また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。 Further, when the above-described configuration is realized by a computer, processing contents of functions that each device should have are described by a program. The processing functions are realized on the computer by executing the program on the computer.
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。 The program describing the processing contents can be recorded on a computer-readable recording medium. As the computer-readable recording medium, for example, any recording medium such as a magnetic recording device, an optical disk, a magneto-optical recording medium, and a semiconductor memory may be used.
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。 The program is distributed by selling, transferring, or lending a portable recording medium such as a DVD or CD-ROM in which the program is recorded. Furthermore, the program may be distributed by storing the program in a storage device of the server computer and transferring the program from the server computer to another computer via a network.
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。 A computer that executes such a program first stores, for example, a program recorded on a portable recording medium or a program transferred from a server computer in its own storage device. When executing the process, this computer reads the program stored in its own recording device and executes the process according to the read program. As another execution form of the program, the computer may directly read the program from a portable recording medium and execute processing according to the program, and the program is transferred from the server computer to the computer. Each time, the processing according to the received program may be executed sequentially. Also, the program is not transferred from the server computer to the computer, and the above-described processing is executed by a so-called ASP (Application Service Provider) type service that realizes the processing function only by the execution instruction and result acquisition. It is good. Note that the program in this embodiment includes information that is used for processing by an electronic computer and that conforms to the program (data that is not a direct command to the computer but has a property that defines the processing of the computer).
１〜５ 復号制御システム
１１〜５１ 復号装置
１２〜５２ 復号能力提供装置
１３ 復号制御装置
DESCRIPTION OF SYMBOLS 1-5 Decoding control system 11-51 Decoding apparatus 12-52 Decoding
Claims (9)
Ｇ，Ｈが巡回群、ｆ（ｘ）が群Ｈの元である暗号文ｘを特定の復号鍵で復号して群Ｇの元を得るための復号関数、Ｘ１，Ｘ２が群Ｇに値を持つ確率変数、ｘ１が確率変数Ｘ１の実現値、ｘ２が確率変数Ｘ２の実現値、ａ，ｂが互いに素である自然数であり、
前記復号装置が、
前記暗号文ｘに対応する群Ｈの元である第一入力情報τ１及び第二入力情報τ２を出力する入力情報提供部を含み、
前記復号能力提供装置が、
前記第一入力情報τ１を用い、或る確率より大きな確率でｆ（τ１）を正しく計算し、得られた演算結果を第一出力情報ｚ１として出力可能な第一出力情報計算部と、
前記第二入力情報τ２を用い、或る確率より大きな確率でｆ（τ２）を正しく計算し、得られた演算結果を第二出力情報ｚ２として出力可能な第二出力情報計算部と、を含み、
前記復号装置が、さらに
前記第一出力情報ｚ１から演算結果ｕ＝ｆ（ｘ）ｂｘ１を生成する第一計算部と、
前記第二出力情報ｚ２から演算結果ｖ＝ｆ（ｘ）ａｘ２を生成する第二計算部と、
前記演算結果ｕ及びｖがｕａ＝ｖｂを満たす場合に、ａ’ａ＋ｂ’ｂ＝１を満たす整数ａ’，ｂ’についてのｕｂ’ｖａ’を出力する最終出力部と、を含み、
前記復号制御装置が、前記復号装置の復号処理を制御する復号制御命令を前記復号能力提供装置に出力する出力部を含み、
前記復号能力提供装置が、さらに、
前記復号制御命令に従って、前記第一出力情報ｚ１及び前記第二出力情報ｚ２の両方の出力の有無を制御する制御部を含む、
復号制御システム。 A decoding device, a decoding capability providing device, and a decoding control device;
G and H are cyclic groups, and f (x) is a decryption function for decrypting a ciphertext x that is an element of the group H with a specific decryption key to obtain an element of the group G, and X 1 and X 2 are group G A random variable having a value, x 1 is an actual value of the random variable X 1 , x 2 is an actual value of the random variable X 2 , and a and b are natural numbers that are relatively prime,
The decoding device is
An input information providing unit that outputs first input information τ 1 and second input information τ 2 that are elements of the group H corresponding to the ciphertext x,
The decryption capability providing device comprises:
A first output information calculation unit capable of correctly calculating f (τ 1 ) with a probability larger than a certain probability using the first input information τ 1 and outputting the obtained operation result as the first output information z 1 ; ,
A second output information calculation unit capable of correctly calculating f (τ 2 ) with a probability larger than a certain probability using the second input information τ 2 and outputting the obtained calculation result as second output information z 2 ; Including,
The decoding device further generates a calculation result u = f (x) b x 1 from the first output information z 1 ;
A second calculation unit that generates a calculation result v = f (x) a x 2 from the second output information z 2 ;
A final output unit that outputs u b ′ v a ′ for integers a ′ and b ′ satisfying a′a + b′b = 1 when the calculation results u and v satisfy u a = v b ,
The decoding control device includes an output unit that outputs a decoding control instruction for controlling a decoding process of the decoding device to the decoding capability providing device,
The decoding capability providing device further includes:
In accordance with the decoding control instruction, a control unit that controls whether or not both the first output information z 1 and the second output information z 2 are output,
Decryption control system.
前記復号装置が、前記自然数ａ，ｂの少なくとも一方を選択する自然数選択部を含み、
前記第一入力情報τ１が前記自然数ｂにさらに対応し、前記第二入力情報τ２が前記自然数ａにさらに対応する、
復号制御システム。 The decoding control system according to claim 1, wherein
The decoding device includes a natural number selection unit that selects at least one of the natural numbers a and b,
The first input information τ 1 further corresponds to the natural number b, and the second input information τ 2 further corresponds to the natural number a.
Decryption control system.
前記入力情報提供部が、前記暗号文ｘとの関係をかく乱させた情報を前記第一入力情報τ１及び前記第二入力情報τ２とする、
復号制御システム。 In the decoding control system according to claim 1 or 2,
The input information providing unit sets the information that disturbs the relationship with the ciphertext x as the first input information τ 1 and the second input information τ 2 .
Decryption control system.
前記復号関数ｆ（ｘ）が準同型関数、群Ｈの生成元がμｈ、群Ｈの位数がＫＨ、ν＝ｆ（μｈ）であり、
前記入力情報提供部が、
０以上の自然数の乱数ｒ１を生成する第一乱数生成部と、
前記第一入力情報τ１としてμｈ ｒ１ｘｂを計算する第一入力情報計算部と、
０以上の自然数の乱数ｒ２を生成する第二乱数生成部と、
前記第二入力情報τ２としてμｈ ｒ２ｘａを計算する第二入力情報計算部と、を含み、
前記第一出力情報計算部は、前記第一入力情報μｈ ｒ１ｘｂを用い、或る確率より大きな確率でｆ（μｈ ｒ１ｘｂ）を正しく計算し、得られた計算結果を前記第一出力情報ｚ１とし、
前記第二出力情報計算部は、前記第二入力情報μｈ ｒ２ｘａを用い、或る確率より大きな確率でｆ（μｈ ｒ２ｘａ）を正しく計算し、得られた計算結果を第二出力情報ｚ２とし、
前記第一計算部は、ｚ１ν−ｒ１を計算してその計算結果を前記ｕとし、
前記第二計算部は、ｚ２ν−ｒ２を計算してその計算結果を前記ｖとする、
復号制御システム。 In the decoding control system according to any one of claims 1 to 3,
The decoding function f (x) is a homomorphic function, the group H generator is μ h , the group H order is K H , and ν = f (μ h ),
The input information providing unit
A first random number generator that generates a random number r 1 of a natural number greater than or equal to 0;
A first input information calculation unit for calculating μ h r1 x b as the first input information τ 1 ;
A second random number generator that generates a random number r 2 of a natural number greater than or equal to 0;
A second input information calculation unit for calculating μ h r2 x a as the second input information τ 2 ,
The first output information calculation unit uses the first input information μ h r1 x b to correctly calculate f (μ h r1 x b ) with a probability larger than a certain probability, and obtains the obtained calculation result as the first output information. One output information z 1
The second output information calculation unit uses the second input information μ h r2 x a to correctly calculate f (μ h r2 x a ) with a probability larger than a certain probability, and obtains the obtained calculation result as a second Output information z 2
The first calculation unit calculates z 1 v −r1 and sets the calculation result as u,
The second calculation unit calculates z 2 v −r2 and sets the calculation result as v.
Decryption control system.
前記第一乱数生成部が、ｂ≠１のときに前記乱数ｒ１を生成し、
前記第一入力情報計算部が、ｂ≠１のときに前記第一入力情報τ１として前記μｈ ｒ１ｘｂを計算し、
前記第一出力情報計算部が、ｂ≠１のときに前記第一入力情報μｈ ｒ１ｘｂを用いて得られた前記計算結果を前記第一出力情報ｚ１とし、
前記第一計算部が、ｂ≠１のときにｚ１ν−ｒ１を計算してその計算結果を前記ｕとし、
前記第二乱数生成部が、ａ≠１のときに前記乱数ｒ２を生成し、
前記第二入力情報計算部が、ａ≠１のときに前記第二入力情報τ２としてμｈ ｒ２ｘａを計算し、
前記第二出力情報計算部が、ａ≠１のときに前記第二入力情報μｈ ｒ２ｘａを用いて得られた前記計算結果を第二出力情報ｚ２とし、
前記第二計算部が、ａ≠１のときにｚ２ν−ｒ２を計算してその計算結果を前記ｖとし、
前記入力情報提供部が、
０以上の自然数の乱数ｒ３を生成する第三乱数生成部と、
ｂ＝１のときにｘｒ３を前記第一入力情報τ１とし、ａ＝１のときにｘｒ３を前記第二入力情報τ２とする第三入力情報計算部と、を含み、
前記復号能力提供装置が、
前記ｘｒ３を用い、或る確率より大きな確率でｆ（ｘｒ３）を正しく計算し、得られた計算結果を第三出力情報ｚ３とする第三出力情報計算部を含み、
前記復号装置が、
ｂ＝１のときにｚ３ １／ｒ３を前記ｕとし、ａ＝１のときにｚ３ １／ｒ３を前記ｖとする第三計算部を含む、
復号制御システム。 The decoding control system according to claim 4,
The first random number generator generates the random number r 1 when b ≠ 1;
The first input information calculation unit calculates the μ h r1 x b as the first input information τ 1 when b ≠ 1;
The first output information calculation unit sets the first output information z 1 as the calculation result obtained using the first input information μ h r1 x b when b ≠ 1.
The first calculation unit calculates z 1 ν −r1 when b ≠ 1, and sets the calculation result as u,
The second random number generator generates the random number r 2 when a ≠ 1,
The second input information calculation unit calculates μ h r2 x a as the second input information τ 2 when a ≠ 1;
The second output information calculation unit sets the calculation result obtained by using the second input information μ h r2 x a when a ≠ 1 as second output information z 2 ,
The second calculation unit calculates z 2 ν −r2 when a ≠ 1, and sets the calculation result as v,
The input information providing unit
A third random number generator that generates a random number r 3 of a natural number greater than or equal to 0;
b = 1 when the x r3 and the first input information tau 1 to include a third input information calculating section to the second input information tau 2 the x r3 to when a = 1,
The decryption capability providing device comprises:
A third output information calculation unit that correctly calculates f (x r3 ) with a probability larger than a certain probability using x r3 and sets the obtained calculation result as third output information z 3 ;
The decoding device is
a third calculation unit including z 3 1 / r3 as u when b = 1 and z 3 1 / r3 as v when a = 1,
Decryption control system.
群Ｈ＝Ｇ×Ｇ、前記復号関数ｆ（ｘ）が準同型関数、群Ｇの生成元がμｇ、群Ｇの位数がＫＧ、ｘ＝（ｃ１，ｃ２），（Ｖ，Ｗ）が群Ｈの元、ｆ（Ｖ，Ｗ）＝Ｙであり、
前記入力情報提供部が、
０以上の自然数の乱数ｒ４を生成する第四乱数生成部と、
０以上の自然数の乱数ｒ５を生成する第五乱数生成部と、
前記第一入力情報τ１としてｃ２ ｂＷｒ４及びｃ１ ｂＶｒ４μｇ ｒ５を計算する第一入力情報計算部と、
０以上の自然数の乱数ｒ６を生成する第六乱数生成部と、
０以上の自然数の乱数ｒ７を生成する第七乱数生成部と、
前記第二入力情報τ２としてｃ２ ａＷｒ６及びｃ１ ａＶｒ６μｇ ｒ７を計算する第二入力情報計算部と、を含み、
前記第一出力情報計算部が、前記第一入力情報ｃ１ ｂＶｒ４μｇ ｒ５及びｃ２ ｂＷｒ４を用い、或る確率より大きな確率でｆ（ｃ１ ｂＶｒ４μｇ ｒ５，ｃ２ ｂＷｒ４）を正しく計算し、得られた計算結果を前記第一出力情報ｚ１とし、
前記第二出力情報計算部が、前記第二入力情報ｃ１ ａＶｒ６μｇ ｒ７及びｃ２ ａＷｒ６を用い、或る確率より大きな確率でｆ（ｃ１ ａＶｒ６μｇ ｒ７，ｃ２ ａＷｒ６）を正しく計算し、得られた計算結果を前記第二出力情報ｚ２とし、
前記第一計算部が、ｚ１Ｙ−ｒ４μｇ −ｒ５を計算してその計算結果を前記ｕとし、
前記第二計算部が、ｚ２Ｙ−ｒ６μｇ −ｒ７を計算してその計算結果を前記ｖとする、
復号制御システム。 In the decoding control system according to any one of claims 1 to 3,
Group H = G × G, the decoding function f (x) is a homomorphic function, the group G generator is μ g , the group G order is K G , x = (c 1 , c 2 ), (V, W) is an element of group H, f (V, W) = Y,
The input information providing unit
A fourth random number generator that generates a random number r 4 of a natural number greater than or equal to 0;
A fifth random number generator for generating a random number r 5 having a natural number of 0 or more;
A first input information calculation unit for calculating a c 2 b W r4 and c 1 b V r4 μ g r5 as the first input information tau 1,
A sixth random number generator for generating a random number r 6 having a natural number of 0 or more;
A seventh random number generator for generating a random number r 7 having a natural number of 0 or more;
Anda second input information calculation unit for calculating a c 2 a W r6 and c 1 a V r6 μ g r7 as the second input information tau 2,
Said first output information calculating unit, the first input information c 1 b V r4 μ g r5 and c 2 b W using r4, with greater probability than a certain probability f (c 1 b V r4 μ g r5, c 2 b W r4 ) is correctly calculated, and the obtained calculation result is the first output information z 1 .
The second output information calculating unit, the second input information c 1 a V r6 μ g using r7 and c 2 a W r6, with greater probability than a certain probability f (c 1 a V r6 μ g r7, c 2 a W r6 ) is correctly calculated, and the obtained calculation result is the second output information z 2 ,
Wherein the first calculation unit, and the calculation result and the u by calculating the z 1 Y -r4 μ g -r5,
The second calculation unit, and the calculation result and the v by calculating a z 2 Y -r6 μ g -r7,
Decryption control system.
前記演算結果ｕのｆ（ｘ）ｂに対する誤差の確率分布が前記自然数ｂに依存しない、並びに／若しくは、前記演算結果ｖのｆ（ｘ）ａに対する誤差の確率分布が前記自然数ａに依存しない、又は、前記演算結果ｕのｆ（ｘ）ｂに対する誤差の確率分布と区別することができない前記自然数ｂに依存しない確率分布が存在する、並びに／若しくは、前記演算結果ｖのｆ（ｘ）ａに対する誤差の確率分布と区別することができない前記自然数ａに依存しない確率分布が存在する、
復号制御システム。 In the decoding control system according to any one of claims 1 to 6,
The probability distribution of errors of the calculation result u with respect to f (x) b does not depend on the natural number b, and / or the probability distribution of errors of the calculation result v with respect to f (x) a does not depend on the natural number a. Or, there is a probability distribution that does not depend on the natural number b, which cannot be distinguished from the error probability distribution of the calculation result u with respect to f (x) b , and / or the calculation result v of f (x) a with respect to f (x) a There is a probability distribution that does not depend on the natural number a and cannot be distinguished from the probability distribution of errors.
Decryption control system.
前記自然数ａ又は前記自然数ｂが定数である、
復号制御システム。 In the decoding control system according to any one of claims 1 to 7,
The natural number a or the natural number b is a constant;
Decryption control system.
Ｇ，Ｈが巡回群、ｆ（ｘ）が群Ｈの元である暗号文ｘを特定の復号鍵で復号して群Ｇの元を得るための復号関数、Ｘ１，Ｘ２が群Ｇに値を持つ確率変数、ｘ１が確率変数Ｘ１の実現値、ｘ２が確率変数Ｘ２の実現値、ａ，ｂが互いに素である自然数であり、
（Ａ）前記復号装置で、前記暗号文ｘに対応する群Ｈの元である第一入力情報τ１及び第二入力情報τ２を出力するステップと、
（Ｂ）前記復号制御装置から出力された前記復号装置の復号処理を制御する復号制御命令に従って、前記復号能力提供装置で、前記第一入力情報τ１を用い、或る確率より大きな確率でｆ（τ１）を正しく計算し、得られた演算結果を第一出力情報ｚ１として出力する処理と、前記第二入力情報τ２を用い、或る確率より大きな確率でｆ（τ２）を正しく計算し、得られた演算結果を第二出力情報ｚ２として出力する処理と、の両方の実行の有無を制御するステップと、
（Ｄ）前記復号装置で、前記第一出力情報ｚ１から演算結果ｕ＝ｆ（ｘ）ｂｘ１を生成するステップと、
（Ｅ）前記復号装置で、前記第二出力情報ｚ２から演算結果ｖ＝ｆ（ｘ）ａｘ２を生成するステップと、
（Ｆ）前記復号装置で、前記演算結果ｕ及びｖがｕａ＝ｖｂを満たす場合に、ａ’ａ＋ｂ’ｂ＝１を満たす整数ａ’，ｂ’についてのｕｂ’ｖａ’を出力するステップと、を有する復号制御方法。 A decoding control method executed by a decoding device, a decoding capability providing device, and a decoding control device,
G and H are cyclic groups, and f (x) is a decryption function for decrypting a ciphertext x that is an element of the group H with a specific decryption key to obtain an element of the group G, and X 1 and X 2 are group G A random variable having a value, x 1 is an actual value of the random variable X 1 , x 2 is an actual value of the random variable X 2 , and a and b are natural numbers that are relatively prime,
(A) In the decryption device, outputting first input information τ 1 and second input information τ 2 that are elements of the group H corresponding to the ciphertext x;
(B) In accordance with a decoding control instruction for controlling the decoding process of the decoding device output from the decoding control device, the decoding capability providing device uses the first input information τ 1 and has a probability greater than a certain probability f Using the process of correctly calculating (τ 1 ) and outputting the obtained calculation result as the first output information z 1 and the second input information τ 2 , f (τ 2 ) is calculated with a probability greater than a certain probability. A process of correctly calculating and outputting the obtained calculation result as the second output information z 2 , and a step of controlling whether or not both are executed ,
(D) generating a calculation result u = f (x) b x 1 from the first output information z 1 in the decoding device;
(E) generating a calculation result v = f (x) a x 2 from the second output information z 2 in the decoding device;
(F) In the decoding device, when the calculation results u and v satisfy u a = v b , u b ′ v a ′ is output for integers a ′ and b ′ satisfying a′a + b′b = 1. decoding control method for chromatic comprising the steps of, a.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2011087995A JP5596612B2 (en) | 2011-04-12 | 2011-04-12 | Decoding control system and decoding control method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2011087995A JP5596612B2 (en) | 2011-04-12 | 2011-04-12 | Decoding control system and decoding control method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2012220814A JP2012220814A (en) | 2012-11-12 |
| JP5596612B2 true JP5596612B2 (en) | 2014-09-24 |
Family
ID=47272362
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2011087995A Active JP5596612B2 (en) | 2011-04-12 | 2011-04-12 | Decoding control system and decoding control method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5596612B2 (en) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP5562284B2 (en) * | 2011-04-12 | 2014-07-30 | 日本電信電話株式会社 | Re-encryption system, re-encryption device, capability providing device, re-encryption method, capability provision method, and program |
| JP6006809B2 (en) | 2013-01-16 | 2016-10-12 | 日本電信電話株式会社 | Decoding service providing apparatus, processing apparatus, safety evaluation apparatus, program, and recording medium |
| EP3010178B1 (en) * | 2013-07-18 | 2018-05-09 | Nippon Telegraph And Telephone Corporation | Calculation device, calculation method, and program for self-correction |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4254386B2 (en) * | 2003-07-08 | 2009-04-15 | トヨタ自動車株式会社 | Mobile terminal and remote control device |
-
2011
- 2011-04-12 JP JP2011087995A patent/JP5596612B2/en active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2012220814A (en) | 2012-11-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5491638B2 (en) | Proxy calculation system, calculation device, capability providing device, proxy calculation method, capability providing method, program, and recording medium | |
| CN107465505B (en) | Key data processing method and device and server | |
| CN112016120B (en) | Event prediction method and device based on user privacy protection | |
| CN108063756B (en) | Key management method, device and equipment | |
| JP5562284B2 (en) | Re-encryption system, re-encryption device, capability providing device, re-encryption method, capability provision method, and program | |
| EP3454236B1 (en) | Authenticator, authenticatee and authentication method | |
| JP5957095B2 (en) | Tamper detection device, tamper detection method, and program | |
| CN110061840A (en) | Data ciphering method, device, computer equipment and storage medium | |
| KR101305627B1 (en) | Cryptographic apparatus and memory system | |
| CN111159723A (en) | Cryptographic data sharing control for blockchains | |
| JP5596612B2 (en) | Decoding control system and decoding control method | |
| US9054877B2 (en) | Data expansion using an approximate method | |
| JP5972181B2 (en) | Tamper detection device, tamper detection method, and program | |
| EP3633656B1 (en) | Secret tampering detection system, secret tampering detection apparatus, secret tampering detection method, and program | |
| EP2947813A1 (en) | Decryption-service provision device, processing device, safety evaluation device, program, and recording medium | |
| CN101539890B (en) | Data processing system, cryptogram management method and data reading and writing method | |
| JP5596616B2 (en) | Information providing system, mediating apparatus, mediating method, information providing method, and program | |
| KR102132685B1 (en) | Apparatus and method for order-revealing encryption | |
| CN114419719B (en) | Biological characteristic processing method and device | |
| CN115550071B (en) | Data processing method, device, storage medium and equipment | |
| CN115982742A (en) | Service execution method, device, storage medium and electronic equipment | |
| CN117375850A (en) | Password integrated application method, system and medium | |
| CN116455657A (en) | Service providing method, device, equipment and system | |
| CN117218699A (en) | Face information processing method and system | |
| JP5559018B2 (en) | Information processing apparatus, pseudorandom number generation apparatus, and program |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20130718 |
|
| A977 | Report on retrieval |
Effective date: 20140416 Free format text: JAPANESE INTERMEDIATE CODE: A971007 |
|
| A131 | Notification of reasons for refusal |
Effective date: 20140422 Free format text: JAPANESE INTERMEDIATE CODE: A131 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20140618 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20140805 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20140807 |
|
| R150 | Certificate of patent (=grant) or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 Ref document number: 5596612 Country of ref document: JP |