JP5860420B2 - 安全性評価装置、およびプログラム - Google Patents

Description

本発明は、情報セキュリティ技術に関し、特に、暗号化された情報を復号して利用できる関係者を制限するための、鍵管理技術に関する。

現在一般的な技術で暗号化された情報を復号するためには、暗号を復号するための鍵を用いて、暗号文から平文を直接計算する方法を採る（例えば、非特許文献１参照）。

しかしながら、この方法では一度関係者に鍵を渡したあとで事情が変わり、その関係者についてその鍵による復号を禁止したいときに、暗号の復号禁止を強制することができない。

そこで、鍵を関係者に配る代わりに、信頼できるサーバ装置の内部に保持して、サーバ装置は関係者の要求に対して復号サービスを提供する方法が考えられている。そのような方法をクラウド鍵管理型暗号と呼ぶ。この方法では暗号を復号するための鍵を利用者に直接渡すことがないので、復号サービスを停止することで、利用者が暗号化されたデータを使用することを停止できるのではないかと期待されている。

Taher ElGamal, A Public-Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms, IEEE Transactions on Information Theory, v. IT-31, n. 4, 1985, pp. 469-472 or CRYPTO 84, pp. 10-18, Springer-Verlag.

鍵を内部に保持して復号サービスを提供する場合、暗号方式によっては利用者が復号サービスを繰り返し利用することで、暗号を復号する能力を獲得し、復号サービスを停止しても利用者が暗号化されたデータを利用することを止められない可能性がある。そのようなクラウド鍵管理型暗号は安全性に問題がある。

本発明はこのような点に鑑みてなされたものであり、クラウド鍵管理型暗号の安全性を向上させる技術を提供することを目的とする。

第１の本発明では、群Ｇ上のElGamal暗号方式に則った秘密鍵を保持し、当該ElGamal暗号方式に則った暗号文が入力され、秘密鍵ｓを用い、当該ElGamal暗号方式に則って暗号文を復号して復号結果を得て出力する。ただし、ｔが正整数であり、ｉ＝１，...，ｔについてのｘ_ｉ∈Ｇとｘ_ｉ ^−ｓ∈Ｇとから任意のｘ∈Ｇに対するｘ^ｓ∈Ｇを得ることが困難である。或いは、当該群ＧはDelayed Target One More Diffie-Hellman問題が困難な群である。

第２の本発明では、復号サービス提供装置で使用される群Ｇに対し、ｉ＝１，...，ｔについてのｘ_ｉ∈Ｇとｘ_ｉ ^−ｓ∈Ｇとから任意のｘ∈Ｇに対するｘ^ｓ∈Ｇを得ることの困難性または容易性を判定し、その判定結果に基づいて復号サービス提供装置の安全性を評価する。或いは、復号サービス提供装置で使用される群Ｇに対するDelayed Target One More Diffie-Hellman問題の困難性または容易性を判定し、その判定結果に基づいて復号サービス提供装置の安全性を評価する。

本発明を用いることで、利用者が復号サービスを繰り返し利用することで暗号を復号する能力を獲得することを抑制することができ、クラウド鍵管理型暗号の安全性を向上させることができる。

図１は、第１実施形態のセキュリティシステムの構成を説明するためのブロック図である。 図２は、第１実施形態の復号サービス提供処理を説明するためのブロック図である。 図３は、第２実施形態のセキュリティシステムの構成を説明するためのブロック図である。 図４は、第２実施形態の安全性評価処理を説明するためのブロック図である。

本発明の実施形態を説明する。
＜原理＞
各実施形態に共通する原理を説明する。各実施形態では、信頼できる復号サービス提供装置の内部に鍵を保持し、復号サービス提供装置は関係者の要求に対して復号サービスを提供する（クラウド鍵管理型暗号）。ただし、Delayed Target One More Diffie-Hellman問題が困難と考えられる群（有限可換群）Ｇを用い、暗号方式として群Ｇ上のElGamal暗号を採用した復号サービスを用いる。以下に当該復号サービスが安全である理由を述べる。

[Delayed Target One More Diffie-Hellman問題]
まずDelayed Target One More Diffie-Hellman問題（以下「DTDHP」という）について説明する。DTDHPの定義は、例えば、参考文献１「N. Koblitz and A. Menezes., “Another look at non-standard discrete log and Diffie-Hellman problems,” Journal of Mathematical Cryptology, 2(4):311-326, 2008.」に記載されている。群Ｇに関するDTDHPは次の通りである。

群Ｇのある基点（生成元等）をｇ∈Ｇとし、ｓ∈Ｚ_ｑを秘密鍵とし、ｇ^−ｓを公開鍵とし、入力Ｘ∈Ｇを受けてＸ^−ｓ∈Ｇを出力するオラクルをＯとする。ただし、Ｚ_ｑはｑによる剰余群であり、ｑは群Ｇの位数（正整数、例えば素数）であり、β∈Ｇはβが群Ｇの元であることを表す。攻撃者である任意の多項式時間確率的アルゴリズムＡを想定し、次の実験を行う。
１）Ａはｉ＝１，２，３，...，ｔ（ただしｔは正整数）について任意のｘ_ｉ∈Ｇを生成し、オラクルＯにｘ_ｉを入力し、オラクルＯからの出力ｚ_ｉ＝ｘ_ｉ ^−ｓ∈Ｇを得る。
２）Ａはランダムに与えられたｘ∈Ｇについて、ｘ_ｉおよびｚ_ｉの情報を用いて計算を行い、ｘ^−ｓ∈Ｇを出力する。

この実験に成功する確率が十分に大きいＡを構成することがDTDHPを解くことである。すなわち、DTDHPが困難であるとは、この実験に成功する確率が十分に大きいＡを構成することが困難であることである。言い換えると、DTDHPが困難であるとは、ｉ＝１，...，ｔについてのｘ_ｉ∈Ｇとｘ_ｉ ^−ｓ∈Ｇとから任意のｘ∈Ｇに対するｘ^ｓ∈Ｇを得ることが困難であることである。ある問題が「困難」であるとは、多項式時間内にその解を得ることができないことを意味する。「多項式時間」とは、例えば、秘密鍵ｓのサイズ（長さ）の多項式で表現可能な時間を意味する。「容易」とは困難でないことを意味する。DTDHPが困難な群Ｇの具体例としては、有限体の乗法群、楕円曲線、超楕円曲線などがある。

[ElGamal暗号方式]
次に群Ｇ上のElGamal暗号について説明する。ElGamal暗号は、ランダムに選ばれた秘密鍵ｓ∈Ｚ_ｑについて、公開鍵をｙ＝ｇ^−ｓ∈Ｇとする暗号方式であり、平文ｍ∈ｇの暗号文は（ｃ_１，ｃ_２）＝（ｍ・ｙ^ｒ，ｇ^ｒ）∈Ｇ^２で与えられる。ここで、ｒ∈Ｚ_ｑは暗号化の過程で決められる乱数であり、「・」は群Ｇで定義された演算を表す。暗号文（ｃ_１，ｃ_２）を復号するためには、秘密鍵ｓを用いてｍ’＝ｃ_１・ｃ_２ ^ｓ∈Ｇを計算すればよい。

ElGamal暗号を用いた復号サービス装置は、秘密鍵ｓを安全に保持し、利用者が暗号文（ｃ_１，ｃ_２）を入力するたびに、その暗号文（ｃ_１，ｃ_２）を復号して復号結果ｍ’を出力する。このとき、復号サービス装置は、認証手段で利用者を特定し、復号サービスを正当に受けることができる利用者を記憶した認証データベースを用いて、利用者に復号サービスを行うかどうかを判定してから復号結果を出力しても良い。

[ElGamal暗号を用いた復号サービス装置に対する攻撃]
ElGamal暗号を用いた復号サービス装置を利用して秘密鍵ｓを抽出しようとする攻撃者である多項式時間確率的アルゴリズムＢを定式化する。与えられた公開鍵ｙ＝ｇ^−ｓについて、Ｂは次の通り攻撃を行う。
１．Ｂはｉ＝１，２，３，...，ｕ（ただしｕは正整数）について暗号文ｃ（ｉ）＝（ｃ_１（ｉ），ｃ_２（ｉ））を生成し、それぞれを復号サービス装置に入力し、復号結果ｗ（ｉ）＝ｃ_１（ｉ）・ｃ_２（ｉ）^ｓを得る。
２．Ｂはｃ（ｉ）およびｗ（ｉ）の情報を用いながら計算し、ｙ＝ｇ^−αとなるα∈Ｚ_ｑを出力する。

仮に上記攻撃に成功するＢが存在するとする。するとＡは、次の方法によってＢを用いてDTDHPを解くことができる。
１．ＡはＢを用いてｉ＝１，２，３，...，ｕについて暗号文ｃ（ｉ）＝（ｃ_１（ｉ），ｃ_２（ｉ））を生成する。
２．Ａはｃ（ｉ）を復号サービス装置に問い合わせる代わりに、ｘ_ｉ＝ｃ_２（ｉ）^−１としてｘ_ｉをオラクルＯに入力して出力ｚ_ｉ＝ｘ_ｉ ^−ｓ∈Ｇを得る。
３．Ａはｗ（ｉ）＝ｃ_１（ｉ）・ｚ_ｉとし、ｃ（ｉ）およびｗ（ｉ）の情報を用いながらＢによる計算を行い、ｙ＝ｇ^−αとなるα∈Ｚ_ｑを得る。
４．Ａはランダムに与えられたｘ∈Ｇについて、ｘ^−αを出力する。
このように、Ｂが存在するならば、DTDHPを解くＡが存在する。よって、この対偶も真であり、DTDHPを解くことが困難なのであれば、ElGamal暗号を用いた復号サービス装置に対する上記の攻撃を行うことも困難である。

＜第１実施形態＞
次に第１実施形態を説明する。本形態では、DTDHPが困難と考えられる群（有限可換群）Ｇを用い、暗号方式として群Ｇ上のElGamal暗号を採用した復号サービスを提供する。

[構成]
図１に例示するように、本形態のセキュリティシステム１は、暗号化装置１１と処理装置１２と復号サービス提供装置１３とを有する。暗号化装置１１は処理装置１２に対し、ネットワークや可搬型記録媒体等を介した情報の提供が可能なように構成されている。また処理装置１２と復号サービス提供装置１３とは、ネットワークや可搬型記録媒体等を介して互いに情報のやり取りが可能なように構成されている。

暗号化装置１１は、記憶部１１１と入力部１１２と暗号化部１１３と出力部１１４とを有する。処理装置１２は、入力部１２１と処理部１２２と出力部１２３と入力部１２４とを有する。復号サービス提供装置１３は、記憶部１３１と入力部１３２と復号部１３３と出力部１３４とを有する。暗号化装置１１と処理装置１２と復号サービス提供装置１３とは、それぞれ、ＣＰＵ（central processing unit）、ＲＡＭ（random-access memory）等を含む汎用または専用のコンピュータに所定のプログラムが読み込まれて構成された特別な装置である。暗号化装置１１と処理装置１２と復号サービス提供装置１３とは、それぞれの制御部（図示せず）の制御のもとで各処理を実行する。各部で得られたデータはそれぞれの一時メモリ（図示せず）に格納され、必要に応じて各部に読み込まれる。

[パラメータ設定処理]
本形態のパラメータ設定処理では、DTDHPが困難な有限可換群Ｇを含むシステムパラメータが暗号化装置１１および復号サービス装置１３に設定される。当該群Ｇ上のElGamal暗号方式に則った秘密鍵ｓ∈Ｚ_ｑがランダムに選択され、復号サービス提供装置１３の記憶部１３１に安全に格納される。当該群Ｇ上のElGamal暗号方式に則った公開鍵ｙ＝ｇ^ｓ∈Ｇが生成され、暗号化装置１１の記憶部１１１に格納される。

[暗号化・復号サービス提供処理]
図２に例示するように、まず、暗号化装置１１の入力部１１２に平文ｍ∈Ｇが入力され、暗号化部１１３に送られる（ステップＳ１０１）。暗号化部１１３は、記憶部１１１に格納されている公開鍵ｙを用い、平文ｍを群Ｇ上のElGamal暗号方式に則って暗号化し、暗号文（ｃ_１，ｃ_２）＝（ｍ・ｙ^ｒ，ｇ^ｒ）∈Ｇ^２を得て出力する（ステップＳ１０２）。出力部１１４は暗号文（ｃ_１，ｃ_２）を出力する。

暗号文（ｃ_１，ｃ_２）は処理装置１２に入力部１２１に入力され、処理部１２２に送られる。（ステップＳ１０４）。処理部１２２は、暗号文（ｃ_１，ｃ_２）を含む復号依頼情報を生成して出力部１２３から出力する（ステップＳ１０５）。

暗号文（ｃ_１，ｃ_２）を含む復号依頼情報は、復号サービス提供装置１３の入力部１３２に入力され、暗号文（ｃ_１，ｃ_２）が復号部１３３に送られる（ステップＳ１０６）。復号部１３３は記憶部１３１に格納されている秘密鍵ｓを用い、群Ｇ上のElGamal暗号方式に則って暗号文（ｃ_１，ｃ_２）を復号して復号結果ｍ’＝ｃ_１・ｃ_２ ^ｓ∈Ｇを得て出力する（ステップＳ１０７）。出力部１３４は、復号結果ｍ’を含む応答情報を出力する（ステップＳ１０９）。応答情報は処理装置１２に入力され、処理部１２２に送られる。

[本形態の特徴]
本形態では、DTDHPが困難と考えられる群Ｇ上のElGamal暗号を採用した復号サービス提供装置１３を用い、復号サービスを提供する。この構成では、利用者がたとえ復号演算サービスを繰り返し用いたとしても秘密鍵を得ることが困難であることを証明でき、原理的に秘密鍵が漏洩しないことが保証される。一般に安全とされる暗号方式では、秘密鍵を得ることなく復号能力を獲得することはできないと考えられている。したがって、復号演算サービスを利用者に許可した後で許可を取り消す制御を行うとき、どのような挙動を取る利用者を想定したとしても、サービスの利用を取り消された以降は利用者が暗号化された文書を復号することができないといえる。

＜第２実施形態＞
次に第２実施形態を説明する。本形態では、復号サービスに用いられる群のDTDHPの困難性または容易性を判定することで、復号サービスの安全性を評価する。これにより、復号サービスの安全性を評価することができる。このような復号サービスの安全性を評価は、システムパラメータの設定時に行われてもよいし、既に提供されている復号サービスに対して行われてもよい。以下では、一例としてシステムパラメータの設定時に復号サービスの安全性の評価を行い、安全性が低いと判断された場合にシステムパラメータを再設定する形態を説明する。本形態では、第１実施形態と共通する事項については、第１実施形態と同じ参照番号を用いて説明を省略する。

[構成]
図３に例示するように、本形態のセキュリティシステム２は、暗号化装置１１と処理装置１２と復号サービス提供装置１３と設定装置２４と安全性評価装置２５とを有する。設定装置２４とは暗号化装置１１および復号サービス提供装置１３に対し、ネットワークや可搬型記録媒体等を介した情報の提供が可能なように構成されている。設定装置２４と安全性評価装置２５とは、ネットワークや可搬型記録媒体等を介して互いに情報のやり取りが可能なように構成されている。設定装置２４および安全性評価装置２５は、汎用または専用のコンピュータに所定のプログラムが読み込まれて構成された特別な装置である。

安全性評価装置２５は、記憶部２５１と入力部２５２と判定部２５３と評価部２５４と出力部２５５とを有する。安全性評価装置２５は、制御部（図示せず）の制御のもとで各処理を実行する。各部で得られたデータはそれぞれの一時メモリ（図示せず）に格納され、必要に応じて各部に読み込まれる。

[パラメータ設定処理]
本形態のパラメータ設定処理の前処理として、安全性評価装置２５の記憶部２５２に、群Ｇに対するDTDHPの困難性または容易性を判定するために必要な情報を格納する。このような情報の例は、DTDHPが困難と考えられている群のリスト、この問題が容易と考えられている群のリスト、またはこの困難性もしくは容易性を判定するアルゴリズムなどである。

図４に例示するように、パラメータ設定処理では、設定装置２４が群（有限可換群）Ｇを含むシステムパラメータを生成し（ステップＳ２０１）、生成した群Ｇを特定する情報出力する（ステップＳ２０２）。

群Ｇを特定する情報は安全性評価装置２５の入力部２５２に入力され、判定部２５３に送られる（ステップＳ２０３）。判定部２５３は、記憶部２５１に格納されたDTDHPの困難性を判定するための情報を用い、当該群Ｇに対するDTDHPの困難性または容易性を判定する。言い換えると、判定部２５３は、当該群Ｇに対し、ｉ＝１，...，ｔについてのｘ_ｉ∈Ｇとｘ_ｉ ^−ｓ∈Ｇとから任意のｘ∈Ｇに対するｘ^ｓ∈Ｇを得ることの困難性または容易性を判定し、その判定結果を出力する。例えば、DTDHPが困難と考えられている群のリストが記憶部２５１に格納されている場合、判定部２５３は、判定対象の群Ｇが当該リストに含まれるかを判定し、含まれれば当該群Ｇに対するDTDHPが困難であると判定する。或いは、DTDHPが容易と考えられている群のリストが記憶部２５１に格納されている場合、判定部２５３は、判定対象の群Ｇが当該リストに含まれるかを判定し、含まれれば当該群Ｇに対するDTDHPが容易であると判定する。或いは、DTDHPの困難性または容易性を判定するアルゴリズムが記憶部２５１に格納されている場合、判定部２５３は、このアルゴリズムを用い、判定対象の群Ｇに対するDTDHPが困難であるかを判定するか、または判定対象の群Ｇに対するDTDHPが容易であるかを判定する。例えば、数体ふるい法や関数体ふるい法などを用いて所定処理時間内に当該群Ｇでの離散対数問題が解ければ、その群Ｇに対するDTDHPも容易であると判定する（ステップＳ２０４）。

判定部２５３から出力された判定結果は評価部２５４に入力され、評価部２５４はこの判定結果に基づいて復号サービス提供装置１３の安全性を評価する。すなわち、判定部２５３でDTDHPが困難であると判定されるか、DTDHPが容易であると判定されなかった場合、評価部２５４は復号サービス提供装置１３の安全性が高い旨の評価結果（ａｃｃ）を出力する（ステップＳ２０５）。一方、判定部２５３でDTDHPが困難であると判定されなかったか、DTDHPが容易であると判定された場合、評価部２５４は復号サービス提供装置１３の安全性が低い旨の評価結果（ｒｅｊ）を出力する（ステップＳ２０６）。

評価部２５４から出力された評価結果は、設定装置２４に入力される。設定装置２４はこの評価結果が安全性が高い旨を示すかを判定する（ステップＳ２０８）。当該評価結果が安全性が低い（ｒｅｊ）ことを示す場合、ステップＳ２０１に戻る。当該評価結果が安全性が高い（ａｃｃ）ことを示す場合、設定装置２４は群Ｇを含むシステムパラメータを出力し、暗号化装置１１および復号サービス提供装置１３に設定する（ステップＳ２０９）。

＜その他の変形例等＞
なお、本発明は上述の実施の形態に限定されるものではない。例えば、代表復号システムが、さらに、復号サービス提供装置１３で復号サービスの提供を受けた利用者のリストおよび復号結果を含むログを保存する履歴保存装置を有してもよい。各実施形態の構成では、利用者がたとえ復号演算サービスを繰り返し用いたとしても秘密鍵を得ることは困難である。そのため、当該秘密鍵を用いて得られる復号結果はすべて復号サービス提供装置１３から出力されたものである。よって、例えば復号結果が漏洩した場合に、当該履歴保存装置に保存された利用者のリストやログを検証することで、その漏洩経路を追跡するための情報を得ることができる。また、上記の各実施形態では群Ｇの位数がＺ_ｑの位数と同じｑであった。しかしながら、群Ｇの位数がｑよりも大きくてもよいし、小さくてもよい。また暗号方式によっては群Ｇが可換群でなくてもよい。

上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

１，２ セキュリティシステム
１１ 暗号化装置
１２ 処理装置
１３ 復号サービス提供装置
２４ 設定装置
２５ 安全性評価装置

Claims (4)

1. ｔが正整数であり、群Ｇ上のElGamal暗号方式に則った秘密鍵ｓを保持し、前記ElGamal暗号方式に則った暗号文が入力され、前記秘密鍵ｓを用いて前記ElGamal暗号方式に則って前記暗号文を復号して得られる復号結果を出力する復号サービス提供装置、で使用される前記群Ｇに対し、ｉ＝１，...，ｔについてのｘ_ｉ∈Ｇとｘ_ｉ ^−ｓ∈Ｇとから任意のｘ∈Ｇに対するｘ^ｓ∈Ｇを得ることの困難性または容易性を判定する判定部と、
   前記判定部での判定結果に基づいて前記復号サービス提供装置の安全性を評価する評価部と、
   を有する安全性評価装置。
2. 群Ｇ上のElGamal暗号方式に則った秘密鍵を保持し、前記ElGamal暗号方式に則った暗号文が入力され、前記秘密鍵を用いて前記ElGamal暗号方式に則って前記暗号文を復号して得られる復号結果を出力する復号サービス提供装置、で使用される前記群Ｇに対するDelayed Target One More Diffie-Hellman問題の困難性または容易性を判定する判定部と、
   前記判定部での判定結果に基づいて前記復号サービス提供装置の安全性を評価する評価部と、
   を有する安全性評価装置。
3. 請求項１または２の安全性評価装置あって、
   前記秘密鍵がｓであり、前記暗号文が前記群Ｇの元ｃ_１，ｃ_２∈Ｇを含み、前記復号結果がｃ_１・ｃ_２ ^ｓ∈Ｇである、
   ことを特徴とする安全性評価装置。
4. 請求項１から３の何れかの安全性評価装置としてコンピュータを機能させるためのプログラム。

Images