JP5872084B1 - 分散値変換システム、分散値変換装置、分散値変換方法、およびプログラム - Google Patents

Abstract

【課題】Shamir秘密分散の分散値を複製型秘密分散の分散値へ変換する。【解決手段】変換部１２は、乱数rの複製型秘密分散値{r}をShamir秘密分散値[r]へ変換する。秘匿化部１３は、情報aのShamir秘密分散値[a]をShamir秘密分散値[r]から減算してShamir秘密分散値[b]を計算する。公開部１４は、Shamir秘密分散値[b]を復元して値bを生成する。再分散部１５は、値bの複製型秘密分散値{b}を生成する。復元部１６は、複製型秘密分散値{r}から複製型秘密分散値{b}を減算して情報aの複製型秘密分散値{a}を生成する。【選択図】図２

Description

この発明は、秘密分散技術に関し、特に、ある秘密分散の分散値を他の秘密分散の分散値へ変換する技術に関する。

秘密分散とは、データを複数に分割した分散値に変換し、一定個数以上のシェアを用いれば元のデータを復元でき、一定個数未満のシェアからは元のデータを一切復元できなくする技術である。なお、秘密分散した複数個の値の組を分散値と呼び、分散値のうちの１個の断片をシェアと呼ぶ。

秘密分散の例としては、Shamir秘密分散（Shamir's Secret Sharing）や複製型秘密分散（Replicated Secret Sharing）が挙げられる。非特許文献１には、複製型秘密分散の分散値をShamir秘密分散の分散値へ変換する技術が記載されている。

R. Cramer, I. Damgard, and Y. Ishai, "Share Conversion, Pseudorandom Secret-Sharing and Applications to Secure Computation", TCC 2005, vol. 3378 of Lecture Notes in Computer Science, pp. 342-362, 2005.

複製型秘密分散の分散値をShamir秘密分散の分散値へ変換する方法は従来から知られていた。逆に、Shamir秘密分散の分散値を複製型秘密分散の分散値へ変換する方法は知られていない。

この発明の目的は、Shamir秘密分散の分散値を複製型秘密分散の分散値へ変換する技術を提供することである。

上記の課題を解決するために、この発明の分散値変換システムは、nを3以上の整数とし、n台の分散値変換装置を含む分散値変換システムであって、分散値変換装置は、乱数rの複製型秘密分散値{r}をShamir秘密分散値[r]へ変換する変換部と、情報aのShamir秘密分散値[a]をShamir秘密分散値[r]から減算してShamir秘密分散値[b]を計算する秘匿化部と、Shamir秘密分散値[b]を復元して値bを生成する公開部と、値bの複製型秘密分散値{b}を生成する再分散部と、複製型秘密分散値{r}から複製型秘密分散値{b}を減算して情報aの複製型秘密分散値{a}を生成する復元部と、を含む。

この発明の分散値変換技術によれば、Shamir秘密分散の分散値を複製型秘密分散の分散値へ変換することができる。また、変換中の改ざんを検知することができる。

図１は、分散値変換システムの機能構成を例示する図である。 図２は、分散値変換装置の機能構成を例示する図である。 図３は、分散値変換方法の処理フローを例示する図である。

実施形態の説明に先立ち、この明細書における表記方法およびこの発明の基本的な考え方について説明する。
［表記方法］
p_iは、i番目のシェアを所持するパーティを表す。
P=(p₀,…,p_n-1)は、シェアを所持するnパーティ全体の集合を表す。
P'⊆Pは、nパーティ集合Pから選択したn-(k-1)パーティの集合を表す。
[・]^x（角括弧）は、平文・のShamir秘密分散による分散値を表す。xは平文空間の要素数を表す。x=pのとき、xは省略して[・]と表す。pは群Z_pの位数である素数である。
[・]_iは、Shamir秘密分散値[・]のうち、パーティp_i∈Pが所持するシェアを表す。
{・}^x（波括弧）は、平文・の複製型秘密分散による分散値を表す。xは平文空間の要素数を表す。x=2のとき、xは省略して{・}と表す。
{・}_iは、複製型秘密分散値{・}のうち、パーティp_i∈Pが所持するシェアを表す。
〔・〕^x（甲括弧）は、平文・の準公開値を表す。xは平文空間の要素数を表す。x=pのとき、xは省略して{・}と表す。pは群Z_pの位数である素数である。

［Shamir秘密分散］
Shamir秘密分散（Shamir's Secret Sharing）は(k,n)-秘密分散の一つである。(k,n)-秘密分散は、入力された平文をn個に分割した分散値をn個の計算主体に分散して保持しておき、任意のk個のシェアが揃えば平文を復元でき、k個未満のシェアからは平文に関する一切の情報を得られないような秘密分散である。このとき、n, kは1以上の整数であり、n=2k-1である。Shamir秘密分散についての詳細は下記参考文献１を参照されたい。
〔参考文献１〕A. Shamir, “How to share a secret”, Communications of the ACM, vol. 22(11), pp. 612-613, 1979.

Shamir秘密分散では、i番目のパーティp_iに座標x_iを割り当て、乱数r_iを用いて、次式により、平文aを分散する。

Shamir秘密分散のメリットは、データ容量が小さいことである。一方、デメリットは、体の要素数がn+1以上でなければならず、mod 2は使えないことである。

［複製型秘密分散］
複製型秘密分散（Replicated Secret Sharing）は(k,n)-秘密分散の一つである。複製型秘密分散についての詳細は上記非特許文献１を参照されたい。

複製型秘密分散は、例えばn=3, k=2の場合、平文aをa:=a₀+a₁+a₂と変形し、(a₀, a₁), (a₁, a₂), (a₂, a₀)の3つのシェアに分散する。シェアを構成する各要素a₀, a₁, a₂はサブシェアと呼ぶ。

複製型秘密分散のメリットは、体の要素数が制限されず、mod 2が使えることである。また、体でなく群でも利用できる。一方、デメリットは、各シェアのサイズが比較的大きくなることである。

［公開値］
公開値は、nパーティすべてが同じ値を持つ平文である。例えばn=3, k=2の場合、パーティp₀, p₁, p₂が平文aを持つ。

［準公開値］
準公開値はn-(k-1)パーティが同じ値を持つ平文である。このとき、その他のパーティは0を持つ。例えばn=3, k=2の場合、パーティp₀, p₁が平文aを持ち、パーティp₂が0を持つ。準公開値は複製型秘密分散値に通信なしで変換でき、冗長性を持つ。ただし、秘密分散ではなく秘匿性はない。

以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

分散値変換システムは、図１に例示するように、n（≧3）台の分散値変換装置１₁,…,１_nを含む。本形態では、分散値変換装置１₁,…,１_nはそれぞれ通信網２へ接続される。通信網２は、接続される各装置が相互に通信可能なように構成された回線交換方式もしくはパケット交換方式の通信網であり、例えばインターネットやLAN（Local Area Network）、WAN（Wide Area Network）などを用いることができる。なお、各装置は必ずしも通信網２を介してオンラインで通信可能である必要はない。例えば、分散値変換装置１₁,…,１_nへ入力する情報を磁気テープやUSBメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体から秘密計算装置１₁,…,１_nへオフラインで入力するように構成してもよい。

分散値変換装置１_i（i=1,…,n）は、図２に例示するように、入力部１０、乱数生成部１１、変換部１２、秘匿化部１３、公開部１４、再分散部１５、復元部１６、および出力部１７を含む。

分散値変換装置１_iは、例えば、中央演算処理装置（CPU: Central Processing Unit）、主記憶装置（RAM: Random Access Memory）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。分散値変換装置１_iは、例えば、中央演算処理装置の制御のもとで各処理を実行する。分散値変換装置１_iに入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて中央演算処理装置へ読み出されて他の処理に利用される。分散値変換装置１_iの各処理部は、少なくとも一部が集積回路等のハードウェアによって構成されていてもよい。

図３を参照して、実施形態の分散値変換方法の処理手続きを説明する。

以下では、p₀,…,p_n-1をn個のシェアを分散して保有するn台の分散値変換装置とする。p₀,…,p_n-1は論理的に分散値変換装置の役割を指し示す符号であり、どの分散値変換装置１₁,…,１_nがどの分散値変換装置p₀,…,p_n-1に対応するかは実行時に任意に決定される。

ステップＳ１０において、n台の分散値変換装置p_i（i=0,…,n-1）の入力部１０へ変換対象のShamir秘密分散値[a]_iがそれぞれ入力される。Shamir秘密分散値[a]_iは、秘匿化部１３へ送られる。

ステップＳ１１において、n台の分散値変換装置p_iの乱数生成部１１は、乱数rの複製型秘密分散値{r}_iを生成する。複製型秘密分散値{r}_iは、変換部１２へ送られる。複製型秘密分散値{r}_iの生成は、例えばn=3, k=2の場合、以下のように行う。分散値変換装置p₀が乱数r₀を生成し、その乱数r₀を分散値変換装置p₁へ送信する。これにより、分散値変換装置p₀とp₁が乱数r₀を共有する。同様に、分散値変換装置p₁とp₂が乱数r₁を共有し、分散値変換装置p₀とp₂が乱数r₂を共有する。分散値変換装置p₀は、乱数r₀とr₂を組にした複製型秘密分散値{r}₀=(r₀, r₂)を生成し、保持する。同様に、分散値変換装置p₁は複製型秘密分散値{r}₁=(r₀, r₁)を保持し、分散値変換装置p₂は複製型秘密分散値{r}₂=(r₁, r₂)を保持する。乱数生成部１１は、事前に疑似乱数を共有していれば、オフライン処理で製型秘密分散値{r}_iを生成することができる。

ステップＳ１２において、n台の分散値変換装置p_iの変換部１２は、複製型秘密分散値{r}_iをShamir秘密分散値[r]_iへ変換する。Shamir秘密分散値[r]_iは、秘匿化部１３へ送られる。複製型秘密分散値からShamir秘密分散値への変換は、例えばn=3, k=2の場合、以下のように行う。分散値変換装置p₀は、複製型秘密分散値{r}₀=(r₀, r₂)のサブシェアr₀, r₂をそれぞれShamir秘密分散し、Shamir秘密分散値[r₀], [r₂]を生成する。分散値変換装置p₁は、複製型秘密分散値{r}₁=(r₀, r₁)のサブシェアr₀, r₁をそれぞれShamir秘密分散し、Shamir秘密分散値[r₀], [r₁]を生成する。分散値変換装置p₁は、Shamir秘密分散値[r₁]のシェア[r₁]₀を分散値変換装置p₀へ送信する。分散値変換装置p₀は、[r₀]₀, [r₁]₀, [r₂]₀を総和して乱数rのShamir秘密分散値[r]₀=[r₀+r₁+r₂]₀を得る。同様にして、すべての分散値変換装置p_iがShamir秘密分散値[r]_iを得る。変換方法の詳細は、例えば上記非特許文献１を参照されたい。

変換部１２は、複製型秘密分散値{r}の各サブシェアについて、当該サブシェアを平文としてk-1個の0を用いてラグランジュ補間により復元した値を総和することで、オフライン処理によりShamir秘密分散値[r]_iを得ることができる。具体的には、例えばn=3, k=2の場合、分散値変換装置p₀が、複製型秘密分散値{r}₀=(r₀, r₁)について、r₀と0とからラグランジュ補間により求めた値を[r₀]₀とし、r₁と0とからラグランジュ補間により求めた値を[r₁]₀とし、0を[r₂]₀とし、[r₀]₀, [r₁]₀, [r₂]₀を総和して[r]₀=[r₀+r₁+r₂]₀を得る。同様にして、すべての分散値変換装置p₁, p₂がShamir秘密分散値[r]₁, [r]₂を得る。

ステップＳ１３において、n台の分散値変換装置p_iの秘匿化部１３は、Shamir秘密分散値[a]_iをShamir秘密分散値[r]_iから減算してShamir秘密分散値[b]_iを計算する。Shamir秘密分散値[b]_iは、公開部１４へ送られる。Shamir秘密分散では、分散値同士の加減算は各パーティが個別にシェア同士を加減算することで実現される。そのため、[b]_i=[r]_i-[a]_iによりShamir秘密分散値[b]_iを計算することができる。

ステップＳ１４において、少なくともn-(k-1)台の分散値変換装置p_i（∈P'）の公開部１４は、他のk-1台の分散値変換装置p_j（j≠i）からk-1個のShamir秘密分散値[b]_jを受信し、k個のShamir秘密分散値[b]を復元して値bを得る。値bは、再分散部１５へ送られる。公開部１４は、公開値を生成しても、準公開値を生成してもよい。n台の分散値変換装置p_iが値bを得ると、公開値bとなる。n-(k-1)台の分散値変換装置p_iが値bを得、他のk-1台の分散値変換装置p_jが0を保持すると、準公開値〔b〕となる。公開部１４は、復元の際に、改ざん検知が可能な秘密公開方法を用いるとよい。改ざん検知が可能な秘密公開方法は、例えば下記参考文献２に記載の方法がある。
〔参考文献２〕I. Damgard, J. B. Nielsen, “Scalable and Unconditionally Secure Multiparty Computation”, CRYPTO 2007, vol. 4622 of Lecture Notes in Computer Science, pp. 572-590, 2007.

また、以下のようにして値bを復元しても改ざん検知が可能である。k-1台の分散値変換装置p₁,…,p_k-1は、Shamir秘密分散値[b]₁,…,[b]_k-1を分散値変換装置p₀へ送信する。n-k台の分散値変換装置p_k,…,p_n-1は、Shamir秘密分散値[b]_k,…,[b]_n-1からチェックサムc_k,…,c_n-1を計算し、そのチェックサムc_k,…,c_n-1を分散値変換装置p₀へ送信する。分散値変換装置p₀は、k個のShamir秘密分散値[b]₀,…,[b]_k-1からn-k個のShamir秘密分散値[b]_k,…,[b]_n-1を復旧し、その秘密分散値[b]_k,…,[b]_n-1からチェックサムc'_k,…,c'_n-1をそれぞれ計算する。分散値変換装置p₀は、チェックサムc_k,…,c_n-1とチェックサムc'_k,…,c'_n-1とがすべて一致する場合に、k個のShamir秘密分散値[b]₀,…,[b]_k-1から値bを復元する。

ステップＳ１５において、n台の分散値変換装置p_iの再分散部１５は、値bを用いて複製型秘密分散値{b}を生成する。複製型秘密分散値{b}は、復元部１６へ送られる。再分散部１５は、以下のようにして、オフライン処理により複製型秘密分散値{b}を生成することができる。n-(k-1)台の分散値変換装置p_i（∈P'）は、値bと0をサブシェアとして複製型秘密分散値{b}_i=(b, 0)を生成する。残りの(k-1)台の分散値変換装置p_j（∈P”≠P'）は、0の組をサブシェアとして複製型秘密分散値{b}_i=(0, 0)を生成する。

ステップＳ１６において、n台の分散値変換装置p_iの復元部１６は、複製型秘密分散値{r}_iから複製型秘密分散値{b}_iを減算して情報aの複製型秘密分散値{a}_iを生成する。複製型秘密分散値{a}_iは、出力部１７へ送られる。複製型秘密分散では、分散値同士の加減算は、各パーティが個別にサブシェア同士を加減算することで実現される。例えば、{r}_i=(r_α, r_β)とし、{b}_i=(b_α, b_β)_iとし、{a}_i={r}_i-{b}_i=(r_α-b_α, r_β-b_β)により、オフライン処理で複製型秘密分散値{a}_iを計算することができる。

ステップＳ１７において、n台の分散値変換装置p_iの出力部１７から変換後の複製型秘密分散値{a}_iが出力される。

本形態の分散値変換システムおよび方法は、すべての処理ステップが、改ざんのおそれがないオフライン処理、もしくは改ざん検知が可能な処理手続きにより実行することができる。具体的には、乱数生成部１１、変換部１２、秘匿化部１３、再分散部１５、および復元部１６は、オフライン処理とすることができる。また、公開部１４は、改ざん検知が可能な秘密公開方法を用いることができる。そのため、本形態の分散値変換方法は全体として改ざん検知が可能なように構成することができる。

この発明は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。上記実施形態において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

［プログラム、記録媒体］
上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したDVD、CD-ROM等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるASP（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１ 分散値変換装置
２ 通信網
１０ 入力部
１１ 乱数生成部
１２ 変換部
１３ 秘匿化部
１４ 公開部
１５ 再分散部
１６ 復元部
１７ 出力部

Claims (5)

1. nを3以上の整数とし、n台の分散値変換装置を含む分散値変換システムであって、
   上記分散値変換装置は、
   乱数rの複製型秘密分散値{r}をShamir秘密分散値[r]へ変換する変換部と、
   情報aのShamir秘密分散値[a]を上記Shamir秘密分散値[r]から減算してShamir秘密分散値[b]を計算する秘匿化部と、
   上記Shamir秘密分散値[b]を復元して値bを生成する公開部と、
   上記値bの複製型秘密分散値{b}を生成する再分散部と、
   上記複製型秘密分散値{r}から上記複製型秘密分散値{b}を減算して上記情報aの複製型秘密分散値{a}を生成する復元部と、
   を含む分散値変換システム。
2. 請求項１に記載の分散値変換システムであって、
   上記変換部は、n=2k-1とし、複製型秘密分散値{r}の各サブシェアについて当該サブシェアを平文としてk-1個の0を用いてラグランジュ補間により復元した値を総和することで上記Shamir秘密分散値[r]へ変換するものであり、
   上記公開部は、改ざん検知が可能な秘密公開方法により、上記Shamir秘密分散値[b]を復元して上記値bを生成するものであり、
   上記再分散部は、上記値bと0をサブシェアとして上記複製型秘密分散値{b}を生成するものである
   分散値変換システム。
3. 乱数rの複製型秘密分散値{r}をShamir秘密分散値[r]へ変換する変換部と、
   情報aのShamir秘密分散値[a]を上記Shamir秘密分散値[r]から減算してShamir秘密分散値[b]を計算する秘匿化部と、
   上記Shamir秘密分散値[b]を復元して値bを生成する公開部と、
   上記値bの複製型秘密分散値{b}を生成する再分散部と、
   上記複製型秘密分散値{r}から上記複製型秘密分散値{b}を減算して上記情報aの複製型秘密分散値{a}を生成する復元部と、
   を含む分散値変換装置。
4. nを3以上の整数とし、
   n台の分散値変換装置が、乱数rの複製型秘密分散値{r}をShamir秘密分散値[r]へ変換する変換ステップと、
   上記n台の分散値変換装置が、情報aのShamir秘密分散値[a]を上記Shamir秘密分散値[r]から減算してShamir秘密分散値[b]を計算する秘匿化ステップと、
   少なくともn-(k-1)台の分散値変換装置が、上記Shamir秘密分散値[b]を復元して値bを生成する公開ステップと、
   上記n台の分散値変換装置が、上記値bの複製型秘密分散値{b}を生成する再分散ステップと、
   上記n台の分散値変換装置が、上記複製型秘密分散値{r}から上記複製型秘密分散値{b}を減算して上記情報aの複製型秘密分散値{a}を生成する復元ステップと、
   を含む分散値変換方法。
5. 請求項３に記載の分散値変換装置としてコンピュータを機能させるためのプログラム。

Images