JP5889454B1 - 分散値変換システム、分散値変換装置、分散値変換方法、およびプログラム - Google Patents

Abstract

【課題】Shamir秘密分散の分散値を複製型秘密分散の分散値へ効率的に変換する。【解決手段】分散値変換装置p0の乱数生成部１１が、分散値変換装置p1と乱数r0, r1を共有する。分散値変換装置p0の変換部１２が、Shamir秘密分散値[a]0を加法的秘密分散値<a>0へ変換する。分散値変換装置p0のサブシェア生成部１３が、加法的秘密分散値<a>0から乱数r0を減算した値a0を計算する。分散値変換装置p0のシェア生成部１４が、乱数r0とr1とを加算した値a2を計算し、複製型秘密分散値{a}0=(a0, a2)を生成する。【選択図】図２

Description

この発明は、秘密分散技術に関し、特に、ある秘密分散の分散値を他の秘密分散の分散値へ変換する技術に関する。

秘密分散とは、データを複数に分割した分散値に変換し、一定個数以上のシェアを用いれば元のデータを復元でき、一定個数未満のシェアからは元のデータを一切復元できなくする技術である。なお、秘密分散した複数個の値の組を分散値と呼び、分散値のうちの１個の断片をシェアと呼ぶ。

秘密分散の例としては、Shamir秘密分散（Shamir's Secret Sharing）や複製型秘密分散（Replicated Secret Sharing）が挙げられる。非特許文献１には、複製型秘密分散の分散値をShamir秘密分散の分散値へ変換する技術が記載されている。

R. Cramer, I. Damgard, and Y. Ishai, "Share Conversion, Pseudorandom Secret-Sharing and Applications to Secure Computation", TCC 2005, vol. 3378 of Lecture Notes in Computer Science, pp. 342-362, 2005.

複製型秘密分散の分散値をShamir秘密分散の分散値へ変換する方法は従来から知られていた。逆に、Shamir秘密分散の分散値を複製型秘密分散の分散値へ変換する方法は知られていない。

この発明の目的は、Shamir秘密分散の分散値を複製型秘密分散の分散値へ変換する技術を提供することである。

上記の課題を解決するために、この発明の分散値変換システムは、3台の分散値変換装置p₀, p₁, p₂を含む分散値変換システムであって、i=0, 1とし、i'∈{0, 1}とし、i≠i'とし、j=2とし、分散値変換装置p_iは、分散値変換装置p_i'と乱数r_i, r_i'を共有する乱数生成部と、情報aのShamir秘密分散値[a]_iを加法的秘密分散値<a>_iへ変換する変換部と、加法的秘密分散値<a>_iから乱数r_iを減算した値a_iを計算して分散値変換装置p_jへ送信するサブシェア生成部と、乱数r_iとr_i'とを加算した値a_jを計算し、複製型秘密分散値{a}_i=(a_i, a_j)を生成するシェア生成部と、を含み、分散値変換装置p_jは、値a_i, a_i'を受信するサブシェア生成部と、複製型秘密分散値{a}_j=(a_i, a_i')を生成するシェア生成部と、を含む。

この発明の分散値変換技術によれば、Shamir秘密分散の分散値を複製型秘密分散の分散値へ効率的に変換することができる。

図１は、分散値変換システムの機能構成を例示する図である。 図２は、分散値変換装置の機能構成を例示する図である。 図３は、分散値変換方法の処理フローを例示する図である。

実施形態の説明に先立ち、この明細書における表記方法およびこの発明の基本的な考え方について説明する。

［表記方法］
p_iは、i番目のシェアを所持するパーティを表す。

P=(p₀,…,p_n-1)は、シェアを所持するnパーティ全体の集合を表す。

P'⊆Pは、nパーティ集合Pから選択したn-(k-1)パーティの集合を表す。

[・]^x（角括弧）は、平文・のShamir秘密分散による分散値を表す。xは平文空間の要素数を表す。x=pのとき、xは省略して[・]と表す。pは群Z_pの位数である素数である。

[・]_iは、Shamir秘密分散値[・]のうち、パーティp_i∈Pが所持するシェアを表す。

{・}^x（波括弧）は、平文・の複製型秘密分散による分散値を表す。xは平文空間の要素数を表す。x=2のとき、xは省略して{・}と表す。

{・}_iは、複製型秘密分散値{・}のうち、パーティp_i∈Pが所持するシェアを表す。

<・>^x（山括弧）は、平文・の加法的秘密分散による分散値を表す。xは平文空間の要素数を表す。x=pのとき、xは省略して<・>と表す。

<・>_iは、加法型秘密分散値<・>のうち、パーティp_i∈Pが所持するシェアを表す。

［Shamir秘密分散］
Shamir秘密分散（Shamir's Secret Sharing）は(k,n)-秘密分散の一つである。(k,n)-秘密分散は、入力された平文をn個に分割した分散値をn個の計算主体に分散して保持しておき、任意のk個のシェアが揃えば平文を復元でき、k個未満のシェアからは平文に関する一切の情報を得られないような秘密分散である。このとき、n, kは1以上の整数であり、n=2k-1である。Shamir秘密分散についての詳細は下記参考文献１を参照されたい。
〔参考文献１〕A. Shamir, “How to share a secret”, Communications of the ACM, vol. 22(11), pp. 612-613, 1979.

Shamir秘密分散では、i番目のパーティp_iに座標x_iを割り当て、乱数r_iを用いて、次式により、平文aを分散する。

Shamir秘密分散のメリットは、データ容量が小さいことである。一方、デメリットは、体の要素数がn+1以上でなければならず、mod 2は使えないことである。

［複製型秘密分散］
複製型秘密分散（Replicated Secret Sharing）は(k,n)-秘密分散の一つである。複製型秘密分散についての詳細は上記非特許文献１を参照されたい。

複製型秘密分散では、例えばn=3, k=2の場合、平文aをa:=a₀+a₁+a₂と変形し、(a₀, a₁), (a₁, a₂), (a₂, a₀)の3つのシェアに分散する。シェアを構成する各要素a₀, a₁, a₂はサブシェアと呼ぶ。

複製型秘密分散のメリットは、体の要素数が制限されず、mod 2が使えることである。また、体でなく群でも利用できる。一方、デメリットは、各シェアのサイズが比較的大きくなることである。

［加法的秘密分散］
加法的秘密分散とは、複製秘密分散による(k,k)-秘密分散である。(k,k)-秘密分散とは、(k,n)-秘密分散において、n=kとした場合である。(k,k)-秘密分散では、全パーティのシェアが集まらない限り平文を復元することはできない。加法的秘密分散は、k個のシェアを加算するだけで平文が復元される最もシンプルな秘密分散である。

加法的秘密分散では、平文aは次式を満たすようにk個の分散値<a>₀,…,<a>_k-1に分散される。

加法的秘密分散のメリットは、体の要素数が制限されず、mod 2が使えることである。また、体でなく群でも利用でき、シェアを合計したデータ量が最も小さく、演算が高速である。一方、デメリットは、冗長性がないことである。

以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

分散値変換システムは、図１に例示するように、3台の分散値変換装置１₁,１₂,１₃を含む。本形態では、分散値変換装置１₁,１₂,１₃はそれぞれ通信網２へ接続される。通信網２は、接続される各装置が相互に通信可能なように構成された回線交換方式もしくはパケット交換方式の通信網であり、例えばインターネットやLAN（Local Area Network）、WAN（Wide Area Network）などを用いることができる。なお、各装置は必ずしも通信網２を介してオンラインで通信可能である必要はない。例えば、分散値変換装置１₁,１₂,１₃へ入力する情報を磁気テープやUSBメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体から秘密計算装置１₁,１₂,１₃へオフラインで入力するように構成してもよい。

分散値変換装置１_i（i=1,2,3）は、図２に例示するように、入力部１０、乱数生成部１１、変換部１２、サブシェア生成部１３、シェア生成部１４、および出力部１７を含む。

分散値変換装置１_iは、例えば、中央演算処理装置（CPU: Central Processing Unit）、主記憶装置（RAM: Random Access Memory）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。分散値変換装置１_iは、例えば、中央演算処理装置の制御のもとで各処理を実行する。分散値変換装置１_iに入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて中央演算処理装置へ読み出されて他の処理に利用される。分散値変換装置１_iの各処理部は、少なくとも一部が集積回路等のハードウェアによって構成されていてもよい。

図３を参照して、実施形態の秘密改ざん検知方法の処理手続きを説明する。

以下では、p₀, p₁, p₂を3個のシェアを分散して保有する3台の分散値変換装置とする。p₀, p₁, p₂は論理的に分散値変換装置の役割を指し示す符号であり、どの分散値変換装置１₁,１₂,１₃がどの分散値変換装置p₀, p₁, p₂に対応するかは実行時に任意に決定される。

ステップＳ１０において、3台の分散値変換装置p_i（i=0, 1, 2）の入力部１０へ変換対象のShamir秘密分散値[a]_iがそれぞれ入力される。Shamir秘密分散値[a]_iは、変換部１２へ送られる。

ステップＳ１１において、2台の分散値変換装置p₀, p₁の乱数生成部１１は、2個の乱数r₀, r₁を共有する。乱数の共有は、一方の分散値変換装置p_i（i∈{0, 1}）が乱数r_iを生成し、その乱数r_iを他方の分散値変換装置p_i'（i'∈{0, 1}、i≠i'）へ送信すればよい。

ステップＳ１２₀において、分散値変換装置p₀の変換部１２は、Shamir秘密分散値[a]₀を加法的秘密分散値<a>₀へ変換する。同様に、ステップＳ１２₁において、分散値変換装置p₁の変換部１２は、Shamir秘密分散値[a]₁を加法的秘密分散値<a>₁へ変換する。加法的秘密分散値<a>_i（i∈{0, 1}）は、サブシェア生成部１３へ送られる。

Shamir秘密分散の分散値から加法的秘密分散の分散値への変換は、例えば、以下のように行うことができる。分散値変換装置p_i（i∈{0, 1}）が、Shamir秘密分散により2パーティで復元する場合の係数λ_iを計算し、その係数λ_iをShamir秘密分散値[a]_iへ乗じた値λ_i[a]_iを加法的秘密分散値<a>_iとする。

ステップＳ１３₀において、分散値変換装置p₀のサブシェア生成部１３は、加法的秘密分散値<a>₀から乱数r₀を減算した値a₀を計算して、その値a₀を分散値変換装置p₂へ送信する。同様に、ステップＳ１３₁において、分散値変換装置p₁のサブシェア生成部１３は、加法的秘密分散値<a>₁から乱数r₁を減算した値a₁を計算して、その値a₁を分散値変換装置p₂へ送信する。ステップＳ１３₂において、分散値変換装置p₂のサブシェア生成部１３は、値a₀, a₁を受信する。

ステップＳ１４ａにおいて、2台の分散値変換装置p₀, p₁のシェア生成部１４は、乱数r₀とr₁とを加算して値a₂を計算する。ステップＳ１４ｂ₀において、分散値変換装置p₀は、値a₀とa₂とを組にして複製型秘密分散値{a}₀=(a₀, a₂)を生成する。同様に、ステップＳ１４ｂ₁において、分散値変換装置p₁は、値a₁とa₂とを組にして複製型秘密分散値{a}₁=(a₁, a₂)を生成する。さらに、ステップＳ１４ｂ₂において、分散値変換装置p₂は、値a₀とa₁とを組にして複製型秘密分散値{a}₂=(a₀, a₁)を生成する。複製型秘密分散値{a}_i（i∈{0, 1, 2}）は、出力部１５へ送られる。

ステップＳ１５において、3台の分散値変換装置p_i（i=0, 1, 2）の出力部１５から変換後の複製型秘密分散値{a}_iが出力される。

上述のように構成することにより、本形態の分散値変換システムおよび方法は、Shamir秘密分散の分散値を複製型秘密分散の分散値に変換することができる。本形態の分散値変換技術は、n=3, k=2に限定されるが、軽量な演算のみにより構成されているため非常に効率がよい。

この発明は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。上記実施形態において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

［プログラム、記録媒体］
上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したDVD、CD-ROM等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるASP（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１ 分散値変換装置
２ 通信網
１０ 入力部
１１ 乱数生成部
１２ 変換部
１３ サブシェア生成部
１４ シェア生成部
１５ 出力部

Claims (4)

1. 3台の分散値変換装置p₀, p₁, p₂を含む分散値変換システムであって、
   i=0, 1とし、i'∈{0, 1}とし、i≠i'とし、j=2とし、
   上記分散値変換装置p_iは、
   上記分散値変換装置p_i'と乱数r_i, r_i'を共有する乱数生成部と、
   情報aのShamir秘密分散値[a]_iを加法的秘密分散値<a>_iへ変換する変換部と、
   上記加法的秘密分散値<a>_iから上記乱数r_iを減算した値a_iを計算して分散値変換装置p_jへ送信するサブシェア生成部と、
   上記乱数r_iとr_i'とを加算した値a_jを計算し、複製型秘密分散値{a}_i=(a_i, a_j)を生成するシェア生成部と、
   を含み、
   上記分散値変換装置p_jは、
   上記値a_i, a_i'を受信するサブシェア生成部と、
   複製型秘密分散値{a}_j=(a_i, a_i')を生成するシェア生成部と、
   を含む分散値変換システム。
2. i=0, 1とし、i'∈{0, 1}とし、i≠i'とし、j=2とし、
   他の分散値変換装置p_i'と乱数r_i, r_i'を共有する乱数生成部と、
   情報aのShamir秘密分散値[a]_iを加法的秘密分散値<a>_iへ変換する変換部と、
   上記加法的秘密分散値<a>_iから上記乱数r_iを減算した値a_iを計算して他の分散値変換装置p₂へ送信するサブシェア生成部と、
   上記乱数r_iとr_i'とを加算した値a_jを計算し、複製型秘密分散値{a}_i=(a_i, a_j)を生成するシェア生成部と、
   を含む分散値変換装置。
3. i=0, 1とし、i'∈{0, 1}とし、i≠i'とし、j=2とし、
   分散値変換装置p_iが、他の分散値変換装置p_i'と乱数r_i, r_i'を共有する乱数生成ステップと、
   上記分散値変換装置p_iが、情報aのShamir秘密分散値[a]_iを加法的秘密分散値<a>_iへ変換する変換ステップと、
   上記分散値変換装置p_iが、上記加法的秘密分散値<a>_iから上記乱数r_iを減算した値a_iを計算して分散値変換装置p_jへ送信する第一サブシェア生成ステップと、
   上記分散値変換装置p_jが、上記値a_i, a_i'を受信する第二サブシェア生成ステップと、
   上記分散値変換装置p_iが、上記乱数r_iとr_i'とを加算した値a₂を計算し、複製型秘密分散値{a}_i=(a_i, a_j)を生成する第一シェア生成ステップと、
   上記分散値変換装置p_jが、複製型秘密分散値{a}_j=(a_i, a_i')を生成する第二シェア生成ステップと、
   を含む分散値変換方法。
4. 請求項２に記載の分散値変換装置としてコンピュータを機能させるためのプログラム。

Images