JP6059159B2

JP6059159B2 - シェア変換システム、シェア変換方法、プログラム

Info

Publication number: JP6059159B2
Application number: JP2014006163A
Authority: JP
Inventors: 亮菊池; 千田　浩司; 浩司千田; 大五十嵐; 浩気濱田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2014-01-16
Filing date: 2014-01-16
Publication date: 2017-01-11
Anticipated expiration: 2034-01-16
Also published as: JP2015135380A

Description

本発明は安全に分散したデータの形式を、元の情報を復元することなく変換する技術に関する。

非特許文献１では、ある特定の計算量的安全な秘密分散方式（これを千田方式と呼ぶ）を線型秘密分散のシェアに変形する方法を提案している。また、非特許文献２では、さらに安全性を高めた方法を提案している。本技術において、登場人物は秘密分散を使って分散されたデータを保持するパーティP_i(0≦i≦n-1)である。データaは秘密分散を用いてn個のシェアと呼ばれる断片([a]₀,…,[a]_n-1)に分割され、パーティP_iがそれぞれ[a]_iを持っている。

秘密分散には多くの実現方法があり、本発明では非特許文献１で提案された計算量型（千田方式）と線型秘密分散と呼ばれるものを扱う（定義は非特許文献１を参照）。これら2つの秘密分散方式は、互いに異なる特徴を持つ。千田方式は分散する総データ量が小さく、線型秘密分散は秘密計算と呼ばれる応用が可能である。そのため、相互に変換できれば、その時々の状況によってどちらを使うか選択できる。この変換を実現するため、非特許文献１では、千田方式から線型秘密分散への変換方法を示した。

Ryo Kikuchi, Koji Chida, Dai Ikarashi, Koki Hamada, and Katsumi Takahashi. Secret sharing schemes with conversion protocol to achieve short share-size and extendibility to multiparty computation. In Colin Boyd and Leonie Simpson, editors, ACISP, Vol. 7959 of Lecture Notes in Computer Science, pp. 419-434. Springer, 2013. 五十嵐大、菊池亮、濱田浩気、千田浩司「マルチパーティ計算可能な秘密分散におけるデータ改ざん検知方法」、2013年暗号と情報セキュリティシンポジウム、プログラム3C3、暗号プロトコル(2)、平成25年1月

既存の方法では、千田方式から線型秘密分散への変換しかできず、線型秘密分散から千田方式への変換は示されていない。そこで本発明では、線型秘密分散から千田方式にシェアを変換することができるシェア変換システムを提供することを目的とする。

本発明のシェア変換システムは、ｎを装置の台数とし、ｋを復元しきい値とし、ｋ台のシェア変換分散装置と、ｎ−ｋ台のシェア変換装置からなる。シェア変換分散装置は、線形秘密分散の平文のシェアを入力とし、変換用シード選択部と、疑似乱数生成部と、シードシェア生成部と、線形秘密分散疑似乱数シェア生成部と、シェアペア送信部と、シードシェア送信部と、被マスク平文線形シェア生成部と、被マスク平文線形シェア送信部と、被マスク平文線形シェア復元部と、被マスク平文分割部と、千田型平文シェア生成部を含む。

変換用シード選択部は、シード空間から変換用シードをランダムに選択する。疑似乱数生成部は、疑似乱数生成器を用いて、変換用シードを疑似乱数に変換する。シードシェア生成部は、変換用シードに、任意の秘密分散のシェアを生成するアルゴリズムを実行して、変換用シードのシェアを生成する。線形秘密分散疑似乱数シェア生成部は、疑似乱数に、線形秘密分散のシェアを生成するアルゴリズムを実行して、線形秘密分散の疑似乱数のシェアを生成する。シェアペア送信部は、変換用シードのシェアと、線形秘密分散の疑似乱数のシェアとを組として、他のシェア変換分散装置に送信する。シードシェア送信部は、変換用シードのシェアを、シェア変換装置に送信する。被マスク平文線形シェア生成部は、線形秘密分散の平文のシェアから線形秘密分散の疑似乱数のシェアを差し引いて、乱数でマスクされた平文の線形秘密分散のシェアを生成する。被マスク平文線形シェア送信部は、乱数でマスクされた平文の線形秘密分散のシェアを他の装置に送信する。被マスク平文線形シェア復元部は、乱数でマスクされた平文の線形秘密分散のシェアを復元するアルゴリズムを実行して乱数でマスクされた平文を取得する。被マスク平文分割部は、乱数でマスクされた平文に情報伝播アルゴリズムを実行して、乱数でマスクされた平文のｎ個の分割値を取得する。千田型平文シェア生成部は、変換用シードのシェアと、自装置に対応する分割値とからなる組を千田型の平文のシェアとして生成して出力する。

シェア変換装置は、被マスク平文線形シェア復元部と、被マスク平文分割部と、千田型平文シェア生成部とを含む。

本発明のシェア変換システムによれば、線型秘密分散から千田方式にシェアを変換することができる。

本発明の実施例１のシェア変換システムの概要を示すブロック図。本発明の実施例１のシェア変換分散装置の構成を示すブロック図。本発明の実施例１のシェア変換分散装置の動作を示すフローチャート。本発明の実施例１のシェア変換装置の構成を示すブロック図。本発明の実施例１のシェア変換装置の動作を示すフローチャート。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
≪アルゴリズム、プロトコル≫
以下、本発明で用いられるアルゴリズム、プロトコルについて説明する。本明細書では、通信手順を含まない一連の動作をアルゴリズム、通信手順を含む一連の動作をプロトコルと呼ぶ。秘密分散のパラメータとしてデータがn個のシェアに分割され、任意のk個のシェアを集めることで復元が可能であり、t台までのパーティの結託に対し安全であるとする。kを復元しきい値、tを安全しきい値とも呼ぶ。この3変数の間にはt<k≦nが成り立つ。特に本発明で扱う秘密分散は全てk=t+1であるため、以後kは適宜省略する。千田方式(t,n)-Compは以下の2つのアルゴリズムの組である。ただしSS=(SS.Share,SS.Rec)は何かしらの秘密分散（(t,n)-SS）、φは疑似乱数生成器、

は疑似乱数生成器のシードの空間、

を任意の群、IDA=(IDA.Split,IDA.Rec)は(t,n)-IDA（詳細は参考非特許文献１参照）とする。
（参考非特許文献１：Michael O. Rabin. Efficient dispersal of information for security, load balancing, and fault tolerance. Journal of the ACM, Vol. 36, No. 2, pp. 335-348, 1989.）

＜Comp.Shareアルゴリズム＞
平文

を入力とし、疑似乱数生成器のシードの空間からｋ個の変換用シード

を選び、0≦i≦k-1について疑似乱数t_i=φ(s_i)を計算し、乱数でマスクされた平文

とし、0≦i≦k-1について変換用シードのシェア

とし、乱数でマスクされた平文の分割値

を計算し（ただしIDA.Splitは情報伝播アルゴリズム）、
0≦i≦n-1について、千田型の平文のシェア

として[a]^Compを出力する。

＜Comp.Recアルゴリズム＞
Comp.Recアルゴリズムでは、n個のインデクス(0,1,…,n-1)のうち任意のk個のインデクスを(i₁,i₂,…,i_k)とし、任意のk個の千田型の平文のシェアである

を入力とし、0≦i≦k-1について、ｋ個の変換用シードを復元して変換用シード

と、疑似乱数t_i=φ(s_i)を計算し、乱数でマスクされた平文の分割値から乱数でマスクされた平文

を計算し（ただしIDA.Recは分割値復元アルゴリズム）、平文

を出力する。(t,n)-Compはt人の結託に対して計算量的安全である。

線型秘密分散は2つのアルゴリズム(Lin.Share,Lin.Rec)の組であり、復元が線形式で記述可能な秘密分散のことである。特に本明細書では閾値を持つような線形秘密分散であり、(t,n)-Linearとかく。線型秘密分散であれば、任意のデータa、任意の

であるようなパーティのインデクス集合

について、線形秘密分散の復元係数と任意のデータaの線形秘密分散のシェアの線形結合がaと等しくなる、つまり

であるような公知の線形秘密分散の復元係数

が存在する。特に区別するとき、(k,t,n)-Compおよび(t,n)-Linearのシェアをそれぞれ[a]^Comp,[a]^Linと書く。

＜SeedRandアルゴリズム＞
SeedRandアルゴリズムとは、入力(s₀,…,s_k)のうち一つでもランダムな要素があれば、出力もランダムになるようなものである。例えば、s_iがビット列である場合は、

を排他的論理和とし、

で良いし、s_iが0からn-1までの整数の集合である

の値であったら、Σ_is_i mod nで良い。ただし mod n とはnで割った際の剰余をあらわす。

＜RevealProtocol、Revealプロトコル＞
RevealProtocolは復元できるプロトコルであればよく、単純には全員に全員のシェアを渡し、各人がCheckConsistencyを行ったあと復元するという方法で実現できる。

以下、図１を参照して実施例１のシェア変換システムの概要について説明する。図１は本実施例のシェア変換システム１の概要を示すブロック図である。図１に示すように、本実施例のシェア変換システム１は、ｎを装置の台数とし、ｋを復元しきい値とし、ｋ台のシェア変換分散装置１５−１，１５−２，…，１５−ｋと、ｎ−ｋ台のシェア変換装置１６−１，１６−２，…，１６−（ｎ−ｋ）からなる。ｋ台のシェア変換分散装置１５−１，１５−２，…，１５−ｋと、ｎ−ｋ台のシェア変換装置１６−１，１６−２，…，１６−（ｎ−ｋ）は、ＮＷ９を介して通信可能に接続されている。ｋ台のシェア変換分散装置１５−１，１５−２，…，１５−ｋは全て同じ機能を備えるため、これらの代表として、シェア変換検証装置１５について述べる。同様に、ｎ−ｋ台のシェア変換装置１６−１，１６−２，…，１６−（ｎ−ｋ）は全て同じ機能を備えるため、これらの代表として、シェア変換装置１６について述べる。

以下、図２、図３を参照してシェア変換分散装置について説明する。図２は、本実施例のシェア変換分散装置１５の構成を示すブロック図である。図３は、本実施例のシェア変換分散装置１５の動作を示すフローチャートである。

シェア変換分散装置１５は、線形秘密分散の平文のシェアを入力とする。図２に示すようにシェア変換分散装置１５は、変換用シード選択部１５１と、疑似乱数生成部１５２と、シードシェア生成部１５３と、線形秘密分散疑似乱数シェア生成部１５４と、シェアペア送信部１５５と、シードシェア送信部１５６と、被マスク平文線形シェア生成部１５７と、被マスク平文線形シェア送信部１５８と、被マスク平文線形シェア復元部１５９と、被マスク平文分割部１５Ａと、千田型平文シェア生成部１５Ｂを含む。

変換用シード選択部１５１は、シード空間

から変換用シード

をランダムに選択する（Ｓ１５１）。疑似乱数生成部１５２は、疑似乱数生成器φを用いて、変換用シードを疑似乱数に変換する（Ｓ１５２）。すなわち、

である。シードシェア生成部１５３は、変換用シードに、任意の秘密分散のシェアを生成するSS.Shareアルゴリズムを実行して、変換用シードのシェア

を生成する（Ｓ１５３）。線形秘密分散疑似乱数シェア生成部１５４は、疑似乱数に、線形秘密分散のシェアを生成するLin.Shareアルゴリズムを実行して、線形秘密分散の疑似乱数のシェア

を生成する（Ｓ１５４）。シェアペア送信部１５５は、変換用シードのシェアと、線形秘密分散の疑似乱数のシェアとを組として、他のシェア変換分散装置に送信する（Ｓ１５５）。装置を文字Pで表すこととし、シェア変換分散装置のインデクスj=0,1,2,…,k-1（シェア変換装置のインデクスを含まない）かつj≠i（自装置を除く）とし、P_jをインデクスj番目の装置とすると、ステップＳ１５５は、以下のように表すことができる。

シードシェア送信部１５６は、変換用シードのシェアを、シェア変換装置に送信する（Ｓ１５６）。シェア変換装置１６のインデクスはj=k,…,n-1であるから、ステップＳ１５６は、

と表すことができる。被マスク平文線形シェア生成部１５７は、線形秘密分散の平文のシェアから線形秘密分散の疑似乱数のシェアを差し引いて、乱数でマスクされた平文の線形秘密分散のシェアを生成する（Ｓ１５７）。ステップＳ１５７は、

と表される。被マスク平文線形シェア送信部１５８は、乱数でマスクされた平文の線形秘密分散のシェアを他の装置に送信する（Ｓ１５８）。全ての装置のインデクスj=0,1,2,…,n-1かつj≠i（自装置を除く）とし、P_jをインデクスj番目の装置とすると、ステップＳ１５８は、

と表すことができる。被マスク平文線形シェア復元部１５９は、乱数でマスクされた平文の線形秘密分散のシェアを復元するLin.Recアルゴリズムを実行して乱数でマスクされた平文

を取得する（Ｓ１５９）。被マスク平文分割部１５Ａは、乱数でマスクされた平文に情報伝播アルゴリズム（IDA.Split）を実行して、乱数でマスクされた平文のｎ個の分割値

を取得する（１５Ａ）。千田型平文シェア生成部１５Ｂは、変換用シードのシェア

と、自装置に対応する分割値

とからなる組を千田型の平文のシェア

として生成して出力する（１５Ｂ）。シェア変換分散装置は、千田型の平文のシェア

を出力する。

以下、図４、図５を参照してシェア変換装置について説明する。図４は、本実施例のシェア変換装置１６の構成を示すブロック図である。図５は、本実施例のシェア変換装置１６の動作を示すフローチャートである。

シェア変換装置１６は、被マスク平文線形シェア復元部１５９と、被マスク平文分割部１５Ａと、千田型平文シェア生成部１５Ｂとを含む。シェア変換装置１６が備える各構成要件は、シェア変換分散装置１５において同一番号を付した各構成要件と同じ動作をするため、これらの説明は略する。

本実施例のシェア変換システム１によれば、線型秘密分散から千田方式にシェアを変換することができる。これにより、従来技術の千田方式から線型秘密分散への変換方法と組み合わせることで、互いに利点・欠点がある2つの秘密分散を相互に変換することが可能となり、場合によって使い分けることができるようになる。例えば、秘密計算において、分散時は総データ量が小さい千田型を用いストレージコストを抑えておきながら、秘密計算を行う際にのみ秘密計算に拡張可能な線型秘密分散に変更することや、秘密計算に用いたデータをバックアップする際に、総データ量の大きい線型秘密分散から、総データ量の小さい千田型秘密分散に変換することができる。すなわち、秘密計算への拡張性を持たせつつ保持するデータ量を削減することが可能となる。本実施例で開示した線型秘密分散から千田方式への変換方法はpassive安全である。千田方式は秘密分散に比べて最もデータ量が小さい方式であるため、このメリットを活かすために本実施例のシェア変換システム１を不正チェックを入れずに構成したためである。このため、本実施例のシェア変換システム１は、データ量を増やすことなく変換できる点において非常に効果的である。

上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims

ｎを装置の台数とし、ｋを復元しきい値とし、ｋ台のシェア変換分散装置と、ｎ−ｋ台のシェア変換装置からなるシェア変換システムであって、
前記シェア変換分散装置は、
線形秘密分散の平文のシェアを入力とし、
シード空間から変換用シードをランダムに選択する変換用シード選択部と、
疑似乱数生成器を用いて、前記変換用シードを疑似乱数に変換する疑似乱数生成部と、
前記変換用シードに、任意の秘密分散のシェアを生成するアルゴリズムを実行して、前記変換用シードのシェアを生成するシードシェア生成部と、
前記疑似乱数に、線形秘密分散のシェアを生成するアルゴリズムを実行して、線形秘密分散の疑似乱数のシェアを生成する線形秘密分散疑似乱数シェア生成部と、
前記変換用シードのシェアと、前記線形秘密分散の疑似乱数のシェアとを組として、他のシェア変換分散装置に送信するシェアペア送信部と、
前記変換用シードのシェアを、シェア変換装置に送信するシードシェア送信部と、
前記線形秘密分散の平文のシェアから前記線形秘密分散の疑似乱数のシェアを差し引いて、乱数でマスクされた平文の線形秘密分散のシェアを生成する被マスク平文線形シェア生成部と、
前記乱数でマスクされた平文の線形秘密分散のシェアを他の装置に送信する被マスク平文線形シェア送信部と、
前記乱数でマスクされた平文の線形秘密分散のシェアを復元するアルゴリズムを実行して乱数でマスクされた平文を取得する被マスク平文線形シェア復元部と、
前記乱数でマスクされた平文に情報伝播アルゴリズムを実行して、前記乱数でマスクされた平文のｎ個の分割値を取得する被マスク平文分割部と、
前記変換用シードのシェアと、自装置に対応する前記分割値とからなる組を千田型の平文のシェアとして生成して出力する千田型平文シェア生成部とを含み、
前記シェア変換装置は、
前記被マスク平文線形シェア復元部と、前記被マスク平文分割部と、前記千田型平文シェア生成部とを含む
シェア変換システム。
ｎを装置の台数とし、ｋを復元しきい値とし、ｋ台のシェア変換分散装置と、ｎ−ｋ台のシェア変換装置が実行するシェア変換方法であって、
前記シェア変換分散装置は、
線形秘密分散の平文のシェアを入力とし、
シード空間から変換用シードをランダムに選択する変換用シード選択ステップと、
疑似乱数生成器を用いて、前記変換用シードを疑似乱数に変換する疑似乱数生成ステップと、
前記変換用シードに、任意の秘密分散のシェアを生成するアルゴリズムを実行して、前記変換用シードのシェアを生成するシードシェア生成ステップと、
前記疑似乱数に、線形秘密分散のシェアを生成するアルゴリズムを実行して、線形秘密分散の疑似乱数のシェアを生成する線形秘密分散疑似乱数シェア生成ステップと、
前記変換用シードのシェアと、前記線形秘密分散の疑似乱数のシェアとを組として、他のシェア変換分散装置に送信するシェアペア送信ステップと、
前記変換用シードのシェアを、シェア変換装置に送信するシードシェア送信ステップと、
前記線形秘密分散の平文のシェアから前記線形秘密分散の疑似乱数のシェアを差し引いて、乱数でマスクされた平文の線形秘密分散のシェアを生成する被マスク平文線形シェア生成ステップと、
前記乱数でマスクされた平文の線形秘密分散のシェアを他の装置に送信する被マスク平文線形シェア送信ステップと、
前記乱数でマスクされた平文の線形秘密分散のシェアを復元するアルゴリズムを実行して乱数でマスクされた平文を取得する被マスク平文線形シェア復元ステップと、
前記乱数でマスクされた平文に情報伝播アルゴリズムを実行して、前記乱数でマスクされた平文のｎ個の分割値を取得する被マスク平文分割ステップと、
前記変換用シードのシェアと、自装置に対応する前記分割値とからなる組を千田型の平文のシェアとして生成して出力する千田型平文シェア生成ステップとを実行し、
前記シェア変換装置は、
前記被マスク平文線形シェア復元ステップと、前記被マスク平文分割ステップと、前記千田型平文シェア生成ステップとを実行する
シェア変換方法。
コンピュータを、請求項１に記載のシェア変換システムに含まれるシェア変換分散装置として機能させるためのプログラム。
コンピュータを、請求項１に記載のシェア変換システムに含まれるシェア変換装置として機能させるためのプログラム。