JP7259876B2 - 情報処理装置、秘密計算方法及びプログラム - Google Patents

Description

本発明は、情報処理装置、秘密計算方法及びプログラムに関する。特に、不正検知可能な４者秘密計算におけるビット埋込に関する情報処理装置、秘密計算方法及びプログラムに関する。

近年、秘密計算に関する研究開発が盛んに行われている。秘密計算では、入力データを秘匿したまま所定の処理を実行し、結果を得ることができる。

秘密計算プロトコルは大きく２つの種類に大別される。第１の方式は、特定の計算に限って実行可能な秘密計算プロトコルである。第２の方式は、任意の計算が実行可能な秘密計算プロトコルである。また、第２の方式には種々の方式が存在し、方式間で通信量（データ量）や通信ラウンド数をはじめとした様々なコストにおけるトレードオフが成立する。たとえば、通信量が少ない代わりに通信回数が多い方式や通信量は多いが通信回数が少ない方式が存在する。

代表的な秘密計算プロトコルとして、マルチパーティ計算（ＭＰＣ；Multi Party Computation）が挙げられる。ＭＰＣとは、各参加者の入力を秘匿しながら、複数の参加者間で任意の関数を計算できる秘密計算プロトコルである。ＭＰＣにも、いくつかの方式があるが、近年注目を集める方式は、秘密分散ベースのＭＰＣである。秘密分散ベースのＭＰＣでは、入力を各参加者に分散する。ここで、分散データのことをシェアと呼称する。各参加者は各自のシェアを用いて、参加者間で協調しながら、目的の関数を計算する。このとき、計算過程の値に関してもシェアの形式を保っているために、元々の入力や計算過程の値が明らかになることはない。最終的な計算結果のシェアだけが、復元され、安全に任意の関数が計算できる。以降、ｎ≧２のときの

の値のシェアを

、ｎ＝１のときの

の値のシェアを

として表記する。

ここで、ＭＰＣが達成する安全性は、大きく２つある。１つは秘匿性（Secrecy）である。もう１つは正当性（Correctness）である。秘匿性は、ＭＰＣを実行するにあたり、想定する攻撃者が存在したとしても、参加者に対し、入力に関する情報が漏れないことを保証する安全性となる。正当性は、秘密計算プロトコルを実行するにあたり、想定する攻撃者が存在したとしても、実行結果が正しいことを保証する安全性となる。

ここで、上記の「想定する攻撃者」には、いくつかの指標がある。代表的な指標として、１つ目は攻撃者の振舞いが挙げられる。２つ目は参加者における攻撃者の割合である。

攻撃者の振舞いに着目した場合、代表的な攻撃者の種類として、セミオネスト攻撃者（Semi-honest Adversary）とマリシャス攻撃者（Malicious Adversary）が挙げられる。セミオネスト攻撃者は、プロトコルに従いつつも、可能な範囲で得られる情報を増やそうと試みる攻撃者である。マリシャス攻撃者は、プロトコルから逸脱した振舞いを取ることで、自身が得られる情報を増やそうと試みる攻撃者である。ここで、プロトコルから逸脱する振舞いとは、たとえば本来送信すべきデータに対し、ビット反転を行うことによって、送信データを改ざんすることが挙げられる。

参加者における攻撃者の割合に着目した場合、大きく２つの種類が挙げられる。１つは、過半数が不正者（Dishonest majority）の場合である。もう１つは、過半数が正直者（Honest majority）の場合である。ここで、全参加者数をｎとし、攻撃者の数をｔとする。過半数が不正者の場合とは、つまり、ｔ＜ｎが成り立つ場合を意味する。過半数が正直者の場合とは、つまり、ｔ＜ｎ／２が成り立つ場合を意味する。過半数が正直者である場合としてｔ＜ｎ／３が成り立つ場合も含まれるが、本書では特に断りが無い限り、ｔ＜ｎ／２が成り立つ場合を過半数が正直者である場合とする。

近年、注目を集めるＭＰＣとして３者間ＭＰＣが挙げられる。非特許文献１は、過半数が正直者で、かつ、攻撃者がセミオネスト攻撃者である場合の３者間ＭＰＣを開示する。非特許文献１に開示されたＭＰＣは、

上での算術演算を実現する。非特許文献１に開示されたＭＰＣは、

上での乗算１回あたり、３ｎビットの通信コストを要する。つまり、参加者あたりｎビットの通信コストで乗算を実現できる。

非特許文献２は、過半数が正直者で、かつ、攻撃者がマリシャス攻撃者である場合の３者間ＭＰＣを開示する。これは、非特許文献１の方式をベースとした方式である。非特許文献２に開示されたＭＰＣは、非特許文献１に開示されたＭＰＣとは異なり、マリシャス攻撃者の存在を許容する。非特許文献２に開示されたＭＰＣではマリシャス攻撃者による不正を、確率的に検知することが可能となる。検知確率を上げるほど、つまり、不正が成功する確率を下げようとするほど、通信コストが増加することとなる。たとえば、不正が成功する確率を２^-４０とした場合、非特許文献２では、

上での乗算１回あたり、２１ｎビットの通信コストを要する。つまり、参加者あたり７ｎビットの通信コストで不正検知機能付きの乗算を実現できる。

非特許文献３では、非特許文献１におけるシェアに対するビット埋込処理の方法が提案されている。ビット埋込とは、たとえば、

から

のシェアを得ることが挙げられる。このような処理は、算術回路や論理回路が混在した混合回路に対し、効率よくＭＰＣを実行したい場合に重要な処理となる。特に、条件判定の結果を用いて、処理を分岐させる場合に、重要な処理となる。たとえば、非特許文献２の方式を用いて非特許文献３で提案されたビット埋込を実行した場合、マリシャス攻撃者の存在を許容できる、通信コストは４２ｎビット・２ラウンドとなる。

多くの場合、ＭＰＣにおいて参加者が少なく、過半数が正直者の場合の方が、通信コストは低くなる。このため、前述のような３者間ＭＰＣが計算効率の良い方式であると考えられてきた。しかし、想定する攻撃者がマリシャス攻撃者の場合、計算効率は４者間ＭＰＣの方が良い場合がある。

たとえば、非特許文献４は、ｔ＜ｎ／３、つまりｔ＝１で、かつ、攻撃者がマリシャス攻撃者である場合の４者間ＭＰＣを開示する。非特許文献４に開示されたＭＰＣは、

上での乗算１回あたり、６ｎビットの通信コストを要する。つまり、参加者あたり１．５ｎビットの通信コストで乗算を実現できる。しかし、非特許文献４では方式固有のビット埋込処理が提案されていない。非特許文献３に記載のあるビット埋込は、シェアの形式が特定の形式であることを要求するため、非特許文献３に記載のビット埋込を非特許文献４の方式に適用することはできない。

T. Araki et al.、"High-Throughput Semi-Honest Secure Three-Party Computation with an Honest Majority."、2016、In Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security (CCS '16). ACM, New York, NY, USA, 805-817. T. Araki et al.、"Optimized Honest-Majority MPC for Malicious Adversaries － Breaking the 1 Billion-Gate Per Second Barrier"、2017、IEEE Symposium on Security and Privacy (SP), San Jose, California, USA, 2017, pp. 843-862. 大原ら.、"異なるサイズの環が混在する不正検知可能なマルチパーティ計算."、In SCIS 2018, 2A1-4. S. Dov Gordon et al.、"Secure Computation with Low Communication from Cross-checking."、Cryptology ePrint Archive, Report 2018/216, 2018, https://eprint.iacr.org/2018/216.

なお、上記先行技術文献の各開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

ＭＰＣを行うにあたり、可能な限り通信コストが軽減された方式が望まれる。通信コストには通信量と通信ラウンド回数とがあるが、単位時間あたりの処理件数の効率を重視する場合、特に通信量が重要となる。

たとえば、ｔ＜ｎ／３、つまりｔ＝１で、かつ、攻撃者がマリシャス攻撃者である場合での４者間ＭＰＣであれば、

上での乗算１回あたり、５ｎビットの通信コストで実現できる。つまり、参加者あたり１．２５ｎビットの通信コストで乗算を実現できる。これは２－ｏｕｔ－ｏｆ－４複製型秘密分散を用いた方法である。

各参加者をＰ_ｉ（ｉ＝１、…、４）としたとき、

のシェアを

として、

をＰ_ｉのシェアとする。また、

のシェアを

として、

をＰ_ｉのシェアとする。このとき、

に対して、

とすると、

とする。また、

に対して、

とすると、

とする。

なお、

とし、疑似ランダム関数

とする。また、

を文字列連結演算子とする。ここで、Ｐ_１は

を、Ｐ_２は

を、Ｐ_３は

を、Ｐ_４は

を、それぞれ有する。

なお、

に関して、参加者の内、ある一人の参加者は

の出力を計算できず、他の三人の参加者は

の出力を計算できるという状況を作ることを意図している。この状況を作り出せるのであれば、

の扱いは特に制限されない。本書での

はあくまでも一例である。

ここで、

を

上のシェアに関する加法演算子、減法演算子、乗法演算子とする。なお、これらの演算子は

上の要素に対する二項演算子としての加法演算子、減法演算子、乗法演算子としても以降用いることに注意されたい。

上のシェアに関する加法演算子、乗法演算子について、

としたとき、以下の４つの式が成り立つ。

また、

を

上のシェアに関する排他的論理和、論理積とする。なお、これらの演算子は

上の要素に対する二項演算子としての排他的論理和、論理積としても以降用いることに注意されたい。

上のシェアに関する排他的論理和、論理積について、

としたとき、以下の４つの式が成り立つ。

たとえば、前述の２－ｏｕｔ－ｏｆ－４複製型秘密分散を用いた４者間ＭＰＣでは、

となり

から

が計算できる。また、

としたとき、

に関しても、以下の手順で

を用いて計算できる。

１．各参加者（Ｐ＿１～Ｐ３）のそれぞれは以下の計算を行う。
Ｐ_１：

Ｐ_２：

Ｐ_３：

２．上記計算が終了すると、各参加者は以下の通信を行う。

・Ｐ_１は

をＰ_３に送信する。
・Ｐ_２は

をＰ_１に送信する。
・Ｐ_３は

をＰ_２に送信する。
・Ｐ_１は

をＰ_４に送信する。
・Ｐ_２は

をＰ_４に送信する。

３．各参加者は、上記通信により得た情報を用いて以下の計算により

を得る。

なお、Ｐ_４のシェアは以下のようにして、計算する。

Ｐ_４：

シェアと定数倍算、および定数加算については当業者にとって自明なので説明を割愛する。また、

上のシェアに関する演算についても、

上のシェアに関する演算と同様に実行できるので説明を割愛する。このとき、参加者中にマリシャス攻撃者が１人存在したとしても、各自のシェアと異なる参加者から受信した値を用いて、値の改ざんがなかったか検証できる。改ざんがあった場合は、プロトコルを中断する。

しかし、上記２－ｏｕｔ－ｏｆ－４複製型秘密分散を用いた方法を用いた４者間ＭＰＣでは、ビット埋込を行うことが難しい。シェアの形式が異なるため、非特許文献３に開示された方法を直接用いることができないためである。よって、混合回路の計算を不正検知可能なＭＰＣで効率よく行いたい場合、非特許文献４に開示された４者間ＭＰＣもしくは上記２－ｏｕｔ－ｏｆ－４複製型秘密分散を用いた４者間ＭＰＣで実行可能な、効率の良いビット埋込処理の提案が求められる。

本発明は、２－ｏｕｔ－ｏｆ－４複製型秘密分散を用いた４者間ＭＰＣにてビット埋込処理を実行することに寄与する、情報処理装置、秘密計算方法及びプログラムを提供することを主たる目的とする。

本発明乃至開示の第１の視点によれば、シェアについての演算を行う際の乱数を生成するためのシードを格納する、基本演算シード記憶部と、前記シードを用いてビット埋込を行う際に用いられるシェアを再構成するためのシェア再構成データを生成する、シェア再構成データ生成部と、少なくとも前記シェア再構成データを用いてビット埋込用のシェアを構成する、シェア構成部と、を備える、情報処理装置が提供される。

本発明乃至開示の第２の視点によれば、シェアについての演算を行う際の乱数を生成するためのシードを格納する、基本演算シード記憶部を備える情報処理装置において、前記シードを用いてビット埋込を行う際に用いられるシェアを再構成するためのシェア再構成データを生成するステップと、少なくとも前記シェア再構成データを用いてビット埋込用のシェアを構成するステップと、を含む、秘密計算方法が提供される。

本発明乃至開示の第３の視点によれば、シェアについての演算を行う際の乱数を生成するためのシードを格納する、基本演算シード記憶部を備える情報処理装置に搭載されたコンピュータに、前記シードを用いてビット埋込を行う際に用いられるシェアを再構成するためのシェア再構成データを生成する処理と、少なくとも前記シェア再構成データを用いてビット埋込用のシェアを構成する処理と、を実行させるプログラムが提供される。
なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

本発明によれば、前記２－ｏｕｔ－ｏｆ－４複製型秘密分散を用いた４者間ＭＰＣにて混合回路を計算する際に、効率よく計算可能なビット埋込を実行する情報処理装置、秘密計算方法及びプログラムが、提供される。

一実施形態の概要を説明するための図である。 第１の実施形態におけるビット埋込システムの機能構成例を示すブロック図である。 第１の実施形態によるサーバ装置の機能構成を示すブロック図である。 第１の実施形態におけるビット埋込についてのビット埋込システムの動作例を示すフローチャートである。 第２の実施形態におけるビット埋込システムの機能構成例を示すブロック図である。 第２の実施形態によるサーバ装置の機能構成を示すブロック図である。 第２の実施形態におけるビット埋込についてのビット埋込システムの動作例を示すフローチャートである。 第３の実施形態におけるビット埋込システムの機能構成例を示すブロック図である。 第３の実施形態によるサーバ装置の機能構成を示すブロック図である。 第３の実施形態におけるビット埋込についてのビット埋込システムの動作例を示すフローチャートである。 第４の実施形態におけるビット埋込システムの機能構成例を示すブロック図である。 第４の実施形態によるサーバ装置の機能構成を示すブロック図である。 第４の実施形態におけるビット埋込についてのビット埋込システムの動作例を示すフローチャートである。 第５の実施形態におけるビット埋込の機能構成例を示すブロック図である。 第５の実施形態によるサーバ装置の機能構成を示すブロック図である。 第５の実施形態におけるビット埋込についてのビット埋込システムの動作例を示すフローチャートである。 秘密計算サーバ装置のハードウェア構成の一例を示す図である。

初めに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。さらに、本願開示に示す回路図、ブロック図、内部構成図、接続図などにおいて、明示は省略するが、入力ポート及び出力ポートが各接続線の入力端及び出力端のそれぞれに存在する。入出力インターフェイスも同様である。

一実施形態に係る情報処理装置１０は、基本演算シード記憶部１１と、シェア再構成データ生成部１２と、シェア構成部１３と、を備える（図１参照）。基本演算シード記憶部１１は、シェアについての演算を行う際の乱数を生成するためのシードを格納する。シェア再構成データ生成部１２は、シードを用いてビット埋込を行う際に用いられるシェアを再構成するためのシェア再構成データを生成する。シェア構成部１３は、少なくともシェア再構成データを用いてビット埋込用のシェアを構成する。

ここで、４者ＭＰＣにおいてもビット埋込は効率よく秘密計算を実行するためには有益な処理であるが、各装置が保有するシェアの形式が不統一であるとその恩恵が得られない。そこで、上記情報処理装置１０は、各装置が保有するシェアの形式を統一しビット埋込が容易となるようにシェアを再構成する。

以下に具体的な実施の形態について、図面を参照してさらに詳しく説明する。なお、各実施形態において同一構成要素には同一の符号を付し、その説明を省略する。

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

図２～図４を参照して、第１の実施形態に係るビット埋込処理システムについて説明する。

図２は、第１の実施形態によるビット埋込処理システムの機能構成例を示すブロック図である。図２を参照すると、第１の実施形態によるビット埋込処理システムは、後述する図３で参照される第ｉ（ｉ＝１、２、３、４）の秘密計算サーバ装置（以下、単にサーバ装置と表記する）から成る。第１の実施形態によるビット埋込処理システムにおいて、サーバ装置１００_１、１００_２、１００_３、１００_４は、自身と異なるサーバ装置とネットワーク経由で通信可能に接続されている。

図３は、第ｉのサーバ装置１００_ｉ（ｉ＝１、２、３、４）の機能構成例を示すブロック図である。図３に示すように、第ｉのサーバ装置１００_ｉは、第ｉのシェア再構成データ生成部１０２_ｉと、第ｉのシェア構成部１０３_ｉと、第ｉの不正検知部１０４_ｉと、第ｉの算術演算部１０５_ｉと、第ｉの基本演算シード記憶部１０６_ｉと、第ｉのデータ記憶部１０７_ｉと、を含む。なお、第ｉのシェア再構成データ生成部１０２_ｉと、第ｉのシェア構成部１０３_ｉと、第ｉの不正検知部１０４_ｉと、第ｉの算術演算部１０５_ｉと、第ｉの基本演算シード記憶部１０６_ｉと、第ｉのデータ記憶部１０７_ｉとは、それぞれ接続されている。

このような構成のビット埋込処理システムにおいては、第１乃至第４のサーバ装置１００_１～１００_４の内のいずれかの装置が入力した値

、あるいは第１乃至第４のデータ記憶部１０７_１～１０７_４に記憶されたシェア

、あるいは第１乃至第４のサーバ装置１００_１～１００_４ではない外部から入力されたシェア

に対し、その入力や計算過程の値から

の値を知られることなく、

を計算し、第１乃至第４のデータ記憶部１０７_１～１０７_４に記憶する。上述の計算結果のシェアは、第１乃至第４のサーバ装置１００_１～１００_４がシェアを送受信し、復元されてもよい。あるいは、第１乃至第４のサーバ装置１００_１～１００_４ではない外部にシェアが送信され、復元されてもよい。

次に、第１の実施形態におけるビット埋込処理システムおよび第１乃至第４のサーバ装置１００_１～１００_４の動作について、詳細に説明する。図４は、第１乃至第４のサーバ装置１００_１～１００_４のビット埋込に関する動作例を示すフローチャートである。

第1の実施形態では、

上の値ｘのシェア

に対してビット埋込を行う場合について説明する。その際、各サーバ装置１００_ｉは、

上の値ｘのシェア

から

上の値ｘ_２のシェア

と

のシェア

を計算（構成）するためのデータを生成する。各サーバ装置１００_ｉは、

上の値ｘのシェア

を保持する。例えば、

とした際、各サーバ装置１００_ｉは、以下の値の組を保持する。
サーバ装置１００_１：

サーバ装置１００_２：

サーバ装置１００_３：

サーバ装置１００_４：

例えば、値ｘ＝１とし、

、

、

であれば、サーバ装置１００_１は（１、０）を保持する。
このような状況下において、ビット埋込を行う場合、

上の値ｘのシェア

から

上の値ｘ_２のシェア

と値

のシェア

を計算する。

（ステップＡ１）
各基本演算シード記憶部１０６_１、１０６_２、１０６_３、１０６_４は、それぞれ

、

、

、

を記憶する。

また、各サーバ装置１００_１～１００_４は疑似ランダム関数

を共有する。なお、

とし、疑似ランダム関数

とする。また、各データ記憶部１０７_１～１０７_４に、それぞれ

を記憶する。ここで、

は各データ記憶部１０７_ｉに記憶された

である。

なお、

に関して、サーバ装置１００_ｉ（ｉ＝１、２、３、４）の内、ある一台の参加者は

の出力を計算できず、他の三台の参加者は

の出力を計算できるという状況を作ることを意図している。この状況を作り出せるのであれば、

の扱いは特に制限されない。本書での

はあくまでも一例である。

（ステップＡ２）
ステップＡ２において、第ｉのシェア再構成データ生成部１０２_ｉは、ビット埋込を行う際に用いられるシェアを再構成するためのデータ（シェア再構成データ）を生成する。具体的には、第ｉのシェア再構成データ生成部１０２_ｉは、

上の値ｘのシェア

から

上の値ｘ_２のシェア

と

のシェア

を計算（構成）するためのデータを生成する。

具体的には、第ｉのシェア再構成データ生成部１０２_ｉは、ある値ｘ（例えば、上記値ｘ_２）のシェアを再構成するためのデータを生成する際、ｘ＝ｘ_１＋ｘ_２＋ｘ_３とした場合（ｘは３つの値の和とした場合）、ｘ_１、ｘ_２、ｘ_３のうち２つの値が等しくなるように乱数を生成する。さらに、第ｉのシェア再構成データ生成部１０２_ｉは、ある値ｘ’（例えば、上記

）のシェアを再構成するためのデータを生成する際、ｘ’＝ｘ_１’＋ｘ_２’＋ｘ_３’とした場合、ｒを乱数としてｘ_１’＝ｘ’＋ｒ、ｘ_２’＝０、ｘ_３’＝-ｒとなるように乱数ｒを生成する。

第１のシェア再構成データ生成部１０２_１、第２のシェア再構成データ生成部１０２_２及び第３のシェア再構成データ生成部１０２_３はそれぞれ、第１の基本演算シード記憶部１０６_１、第２の基本演算シード記憶部１０６_２、第３の基本演算シード記憶部１０６_３より、

を取得する。

そして、第１のシェア再構成データ生成部１０２_１、第２のシェア再構成データ生成部１０２_２及び第３のシェア再構成データ生成部１０２_３は

を生成（計算）する。さらに、第１のシェア再構成データ生成部１０２_１は、

を第１のデータ記憶部１０７_１に記憶する。第３のシェア再構成データ生成部１０２_３は、

を、第３のシェア構成部１０３_３に送信する。また、第２のシェア再構成データ生成部１０２_２は、第２のデータ記憶部１０７_２から

を取り出し、

を、第４のシェア構成部１０３_４に送信する。

第２のシェア再構成データ生成部１０２_２は、第２の基本演算シード記憶部１０６_２から

を取得する。第３のシェア再構成データ生成部１０２_３は、第３の基本演算シード記憶部１０６_３から

を取得する。第４のシェア再構成データ生成部１０２_４は、第４の基本演算シード記憶部１０６_４から

を取得する。また、第４のシェア再構成データ生成部１０２_４は、第４のデータ記憶部１０７_４から

を取得する。

ここで、第２のシェア再構成データ生成部１０２_２、第３のシェア再構成データ生成部１０２_３および第４のシェア再構成データ生成部１０２_４は

を計算する。第２のシェア再構成データ生成部１０２_２、第３のシェア再構成データ生成部１０２_３および第４のシェア再構成データ生成部１０２_４は、それぞれ、第２のデータ記憶部１０７_２、第３のデータ記憶部１０７_３および第４のデータ記憶部１０７_４に上記

を送信する。

さらに第４のシェア再構成データ生成部１０２_４は、

を用いて、

を生成し、第１のシェア構成部１０３_１および第４のシェア構成部１０３_４に送信する。同様に第３のシェア再構成データ生成部１０２_３は、

を生成し、第３のシェア構成部１０３_３に

、第３のデータ記憶部１０７_３に

を送信する。

ここで、

である。

は、たとえば、カウンタであり、各サーバ装置１００_１～１００_４の間で共有している。

（ステップＡ３）
各シェア構成部１０３_１、１０３_２、１０３_３、１０３_４は各データ記憶部１０７_１、１０７_２、１０７_３、１０７_４からそれぞれ、

、

、

、

を取り出す。さらに、各シェア構成部１０４_１、１０４_２、１０４_３、１０４_４は上記ステップＡ２で送信された値を用いて、以下の８の式によりシェアを構成する。

、

は各ｉ番目のデータ記憶部１０８_ｉに記憶される。

このように、各シェア構成部１０３_ｉは、各サーバ装置１００_ｉが保持する値

と、シェア再構成データ生成部１０２_ｉが生成したデータ（例えば、乱数ｒ、ｒ’、ｚ等）を用いて

上の値ｘのシェア

から

上の値ｘ_２のシェア

と

のシェア

を再構成する。具体的には、上記８の式のうち上から４番目までの式は、

に関する再構成されたシェアを示す。また、上記８の式のうち上から５番目～８番目までの式は、

に関する再構成されたシェアを示す。

上記８つの式のうち上から４番目までの式を確認すると、値ｘ_２＝ｘ_２_１＋ｘ_２_２＋ｘ_２_３とした場合、
ｘ_２_１＝ｒ
ｘ_２_２＝ｘ_２-２ｒ
ｘ_２_３＝ｒ
となり、第ｉのシェア再構成データ生成部１０２_ｉによる値ｘのシェアを再構成するためのデータ生成時に作られる乱数ｒは正しく生成されていることが分かる。つまり、第ｉのシェア再構成データ生成部１０２_ｉは、ある値ｘのシェアを再構成するためのデータを生成する際、ｘ＝ｘ_１＋ｘ_２＋ｘ_３とした場合、ｘ_１、ｘ_２、ｘ_３のうち２つの値が等しくなるように乱数を生成する。

さらに、上記８つの式のうち上から５番目～８番目までの式を確認すると、

とした場合、

となり、第ｉのシェア再構成データ生成部１０２_ｉによる値

のシェアを再構成するためのデータ生成時に作られる乱数ｒは正しく生成されていることが分かる。
つまり、第ｉのシェア再構成データ生成部１０２_ｉは、ある値ｘ’のシェアを再構成するためのデータを生成する際、ｘ’＝ｘ_１’＋ｘ_２’＋ｘ_３’とした場合、ｒを乱数としてｘ_１’＝ｘ’＋ｒ、ｘ_２’＝０、ｘ_３’＝-ｒとなるように乱数ｒを生成する。

（ステップＡ４）
各ｉ番目の算術演算部１０５_ｉが互いに通信することで、環上での排他的論理和処理

を以下のように計算する。ここで、

とは、

、

を入力とし、

を出力する処理である。例えば、以下の式がなりたつ。

ここで、

である。各ｉ番目の算術演算部１０５_ｉは、

を各データ記憶部１０７_ｉに記憶する。このように、算術演算部１０５_ｉは、ビット埋込用のシェアを用いて環上での排他的論理和を計算する。

（ステップＡ５）
第１のシェア再構成データ生成部１０２_１は、

を第１のデータ記憶部１０７_１から取り出す。次に、第１のシェア再構成データ生成部１０２_１は、

を、第４の不正検知部１０４_４に送信する。

第４の不正検知部１０４_４は、第４のデータ記憶部１０７_４に記憶されている

を取り出し、

、かつ、

が成立するか否かを検証する。

成立した場合、第４の不正検知部１０４_４は、successの文字列を各サーバ装置１００_１、１００_２、１００_３、１００_４にブロードキャストし、次のステップに進む。成立しなかった場合、第４の不正検知部１０４_４は、abortの文字列を各サーバ装置１００_１、１００_２、１００_３、１００_４にブロードキャストし、秘密計算に関するプロトコルを中断する。

さらに第３の不正検知部１０４_３は、

を第３のデータ記憶部１０７_３から取出し、

を第１の不正検知部１０４_１に送信する。

第１の不正検知部１０４_１は、第１のデータ記憶部１０７_１から

を取出し、

が成り立つか否かを検証する。

が成り立つ場合は、第１の不正検知部１０４_１はsuccessの文字列を各サーバ装置１００_２、１００_３、１００_４にブロードキャストし、次のステップに進む。

が成り立たない場合は、第１の不正検知部１０４_１はabortの文字列を各サーバ装置１００_２、１００_３、１００_４にブロードキャストし、プロトコルを中断する。

なお、大量のビット埋込処理を並列に行う場合、

、

に関しては、それぞれの値を連結したものに対するハッシュ値を送信し、ハッシュ値同士の比較によって検証してもよい。このとき、処理全体の計算量に対して、ハッシュ値の送信量は無視できるものと捉えることができる。

（ステップＡ６）
各ｉ番目の不正検知部１０４_ｉは、上記ステップＡ４の

における送受信データを用いて、突き合わせることで不正検知を行う。不正が検知されなかった第１乃至第４のサーバ装置１００_１、１００_２、１００_３、１００_４は、successの文字列を各サーバ装置にブロードキャストする。不正が検知された第１乃至第４のサーバ装置１００_１、１００_２、１００_３、１００_４は、abortの文字列を各サーバ装置にブロードキャストし、秘密計算に関するプロトコルを中断する。これは上述の不正検知可能な４者間秘密計算によって実現される。ステップＡ６は上記ステップＡ５と並列に実行することが可能である。

このように、不正検知部１０４_ｉは、ビット埋込用のシェアや排他的論理和の計算時に送受信されたデータを用いて不正行為者の有無を検知する。

以上、説明した第１の実施形態においては、以下に記載するような効果を奏する。

第１の効果は、不正検知可能な４者間秘密計算を用いて、シェアのビット埋込が実行できる。複雑な混合回路を実行する際に不正検知に関するステップを並列に行った場合、不正検知に関する通信コストを消却できるものとする。このときの通信コストは、７ｎビット・２ラウンドとなる。一方で、非特許文献２と非特許文献３を組み合わせた場合のビット埋込の通信コストは、不正が成功する確率を２^－４０としたとき、４２ｎビット・２ラウンドである。これより、本願開示の方が効率の良い方式となる（通信コストが低減される）。

第２の効果は、不正検知可能な４者間秘密計算を用いて、シェアのビット埋込を行う際に、不正検知確率が常に「１」となることである。非特許文献２と非特許文献３を組み合わせた場合、不正検知確率はパラメタライズであるため、不正検知確率を向上させようとした際に、通信コストも大きくなる。秘密計算を適用できるアプリケーションには様々なものがあり、そのアプリケーションに応じて求められる不正検知確率は異なる。求められる要件の調査と、調査に伴う各パラメータの設定は利用者にとって負担となる。本願開示では、不正検知確率が「１」なので、要件の調査やパラメータ設定の負担が軽減される。

［第２の実施形態］
図５～図７を参照して、第２の実施形態に係るビット埋込処理システムについて説明する。

図５は、第２の実施形態によるビット埋込処理システムの機能構成例を示すブロック図である。第２の実施形態に係るビット埋込処理システムは、上述した第１の実施形態に係るビット埋込処理システムの変形例である。以下、第２の実施形態において、第１の実施形態において既に説明した部分と同等な機能を有する部分には同一符号を付し、説明を省略する。

図５を参照すると、第１の実施形態によるビット埋込処理システムは、後述する図６で参照される第ｉ（ｉ＝１、２、３、４）のサーバ装置から成る。第２の実施形態によるビット埋込処理システムにおいて、サーバ装置２００_１、２００_２、２００_３、２００_４は、自身と異なるサーバ装置とネットワーク経由で通信可能に接続されている。図６は、第ｉのサーバ装置２００_ｉ（ｉ＝１、２、３、４）の機能構成例を示すブロック図である。

図６に示すように、第ｉのサーバ装置２００_ｉは、第ｉのシェア再構成データ生成部２０２_ｉと、第ｉのシェア構成部２０３_ｉと、第ｉの不正検知部２０４_ｉと、第ｉの算術演算部２０５_ｉと、第ｉの基本演算シード記憶部２０６_ｉと、第ｉのデータ記憶部２０７_ｉと、を含む。なお、第ｉのシェア再構成データ生成部２０２_ｉ第ｉのシェア構成部２０３_ｉと、第ｉの不正検知部２０４_ｉと、第ｉの算術演算部２０５_ｉと、第ｉの基本演算シード記憶部２０６_ｉと、第ｉのデータ記憶部２０７_ｉとは、それぞれ接続されている。

このような構成のビット埋込処理システムにおいては、第１乃至第４のサーバ装置２００_１～２００_４の内のいずれかの装置が入力した値

、あるいは第１乃至第４のデータ記憶部２０７_１～２０７_４に記憶されたシェア

、あるいは第１乃至第４のサーバ装置２００_１～２００_４ではない外部から入力されたシェア

に対し、その入力や計算過程の値から

の値を知られることなく、

を計算し、第１乃至第４のデータ記憶部２０７_１～２０７_４に記憶する。上述の計算結果のシェアは、第１乃至第４のサーバ装置２００_１～２００_４がシェアを送受信し、復元されてもよい。あるいは、第１乃至第４のサーバ装置２００_１～２００_４ではない外部にシェアが送信され、復元してもよい。

次に、第２の実施形態におけるビット埋込処理システムおよび第１乃至第４のサーバ装置２００_１～２００_４の動作について、詳細に説明する。図７は、第１乃至第４のサーバ装置２００_１～２００_４のビット埋込に関する動作例を示すフローチャートである。

（ステップＢ１）
各基本演算シード記憶部２０６_１～２０６_４は、それぞれ

、

、

、

を記憶する。

また、各サーバ装置２００_１～２００_４は疑似ランダム関数

を共有する。なお、

とし、疑似ランダム関数

とする。

また、各データ記憶部２０７_１～２０７_４は、それぞれ

を記憶する。ここで、

は各データ記憶部１０８_ｉに記憶された

である。

なお、

に関して、サーバ装置２００_ｉ（ｉ＝１、２、３、）の内、ある一台の参加者は

の出力を計算できず、他の三台の参加者は

の出力を計算できるという状況を作ることを意図している。また、

は、サーバ装置２００_１、２００_２、２００_３の内、ある一台の参加者は

の出力を計算できず、他の二台の参加者は

の出力を計算できるという状況を作ることを意図している。この状況を作り出せるのであれば、

の扱いは特に制限されない。本書での

はあくまでも一例である。

（ステップＢ２）
第１のシェア再構成データ生成部２０２_１と第２のシェア再構成データ生成部２０２_２はそれぞれ、第１の基本演算シード記憶部２０７_１、第２の基本演算シード記憶部２０６_２より、

を取得する。

次に、第１のシェア再構成データ生成部２０２_１と第２のシェア再構成データ生成部２０２_２は

を生成する。そして、第１のシェア再構成データ生成部２０２_１は、

を第１のデータ記憶部２０７_１に記憶する。第２のシェア再構成データ生成部２０２_２は、

を、第３のシェア構成部２０３_３に送信する。また、第２のシェア再構成データ生成部２０２_２は

を、第４のシェア構成部２０３_４に送信する。

同様に、第２のシェア再構成データ生成部２０２_２と第３のシェア再構成データ生成部２０２_３は

を生成する。第２のシェア再構成データ生成部２０２_２は、

を第２のデータ記憶部２０７_２に記憶する。第３のシェア再構成データ生成部２０２_３は、

を、第１のシェア構成部２０３_１に送信する。また、第３のシェア再構成データ生成部２０２_３は

を、第４のシェア構成部２０３_４に送信する。

さらに同様に、第３のシェア再構成データ生成部２０２_３と第１のシェア再構成データ生成部２０２_１は

を生成する。第３のシェア再構成データ生成部２０２_３は、

を第３のデータ記憶部２０７_３に記憶する。第１のシェア再構成データ生成部２０２_１は、

を、第２のシェア構成部２０３_２に送信する。また、第１のシェア再構成データ生成部２０２_１は

を、第４のシェア構成部２０３_４に送信する。

ここで、

である。

は、たとえば、カウンタであり、各サーバ装置２００_１～２００_４の間で共有している。

（ステップＢ３）
各シェア構成部２０４_１、２０４_２、２０４_３、２０４_４は上記ステップＢ２で送信された値を用いて、以下の１２の式によりシェアを構成する。

、

、

は各ｉ番目のデータ記憶部２０７_ｉに記憶される。

（ステップＢ４）
各ｉ番目の算術演算部２０５_ｉは互いに通信することで、環上での排他的論理和処理

を以下のように計算する。ここで、

とは、

、

を入力とし、

を出力する処理である。例えば、以下の式が成り立つ。

ここで、

である。各ｉ番目の算術演算部２０５_ｉは、

を各データ記憶部２０７_ｉに記憶する。

（ステップＢ５）
第１のシェア再構成データ生成部２０２_１は、第１のデータ記憶部２０７_１から

を取り出す。次に、第１のシェア再構成データ生成部２０２_１は、

を、第３の不正検知部２０４_３に送信する。また、第１のシェア再構成データ生成部２０２_１は、

を、第４の不正検知部２０４_４に送信する。

第３の不正検知部２０４_３および第４の不正検知部２０４_４は、それぞれ、第３のデータ記憶部２０８_３に記憶されている

、第４のデータ記憶部２０７_４に記憶されている

を取出し、値が一致するか否かを検証する。

一致した場合、第３の不正検知部２０４_３又は第４の不正検知部２０４_４は、successの文字列を各サーバ装置２００_１、２００_２、２００_３、２００_４にブロードキャストし、次のステップに進む。一致しなかった場合、第３の不正検知部２０４_３又は第４の不正検知部２０４_４は、abortの文字列を各サーバ装置２００_１、２００_２、２００_３、２００_４にブロードキャストし、秘密計算に関するプロトコルを中断する。

なお、大量のビット埋込処理を並列して行う場合、上記検証は、

それぞれとを連結した値に対するハッシュ値と、

に関する値それぞれとを連結した値に対するハッシュ値とで、一致するか否かを検証することにしてもよい。この場合、処理全体の通信量に対して、それぞれ

を連結した値に対するハッシュ値は無視できるものと捉えることができる。

に関しても同様である。

同様に、第２のシェア再構成データ生成部２０２_２は、

を第２のデータ記憶部２０７_２から取り出す。次に、第２のシェア再構成データ生成部２０２_２は、

を、第１の不正検知部２０４_１に送信する。また、第２のシェア再構成データ生成部２０２_２は、

を、第４の不正検知部２０４_４に送信する。

第１の不正検知部２０４_１および第４の不正検知部２０４_４は、それぞれ、第１のデータ記憶部２０７_１に記憶されている

、第４のデータ記憶部２０７_４に記憶されている

を取出し、値が一致するか否かを検証する。

一致した場合、第１の不正検知部２０４_１又は第４の不正検知部２０４_４は、successの文字列を各サーバ装置２００_１、２００_２、２００_３、２００_４にブロードキャストし、次のステップに進む。一致しなかった場合、第１の不正検知部２０４_１又は第４の不正検知部２０４_４は、abortの文字列を各サーバ装置２００_１、２００_２、２００_３、２００_４にブロードキャストし、秘密計算に関するプロトコルを中断する。

なお、大量のビット埋込処理を並列して行う場合、上記検証は、

それぞれとを連結した値に対するハッシュ値と、

に関する値それぞれとを連結した値に対するハッシュ値とで、一致するか否かを検証することにしてもよい。この場合、処理全体の通信量に対して、それぞれ

を連結した値に対するハッシュ値は無視できるものと捉えることができる。

に関しても同様である。

さらに同様に、第３のシェア再構成データ生成部２０２_３は、

を第３のデータ記憶部２０８_３から取り出す。次に、第３のシェア再構成データ生成部２０２_３は、

を、第２の不正検知部２０４_２に送信する。また、第３のシェア再構成データ生成部２０２_３は、

を、第４の不正検知部２０４_４に送信する。

第２の不正検知部２０４_２および第４の不正検知部２０４_４は、それぞれ、第２のデータ記憶部２０７_２に記憶されている

、第４のデータ記憶部２０７_４に記憶されている

を取り出し、値が一致するか否かを検証する。

一致した場合、第２の不正検知部２０４_２又は第４の不正検知部２０４_４は、successの文字列を各サーバ装置２００_１、２００_２、２００_３、２００_４にブロードキャストし、次のステップに進む。一致しなかった場合、第２の不正検知部２０４_１又は第４の不正検知部２０４_４は、abortの文字列を各サーバ装置２００_１、２００_２、２００_３、２００_４にブロードキャストし、秘密計算に関するプロトコルを中断する。

なお、大量のビット埋込処理を並列して行う場合、上記検証は、

それぞれとを連結した値に対するハッシュ値と、

に関する値それぞれとを連結した値に対するハッシュ値とで、一致するか否かを検証することにしてもよい。この場合、処理全体の通信量に対して、それぞれ

を連結した値に対するハッシュ値は無視できるものと捉えることができる。

に関しても同様である。

（ステップＢ６）
各ｉ番目の不正検知部２０４_ｉは、上記ステップＢ４の

における送受信データを用いて、突き合わせることで不正検知を行う。不正が検知されなかった第１乃至第４のサーバ装置２００_１、２００_２、２００_３、２００_４は、successの文字列を各サーバ装置にブロードキャストする。不正が検知された第１乃至第４のサーバ装置２００_１、２００_２、２００_３、２００_４は、abortの文字列を各サーバ装置にブロードキャストし、秘密計算に関するプロトコルを中断する。これは上記の不正検知可能な４者間秘密計算によって実現される。ステップＢ６は上記ステップＢ５と並列に実行することが可能である。

以上、説明した第２の実施形態においては、第１の実施形態における効果と同じ効果を奏する。ただし、第１の実施形態における第１の効果に関して、第２の実施形態では環上での排他的論理和計算に相当する

の計算回数が増加していることに注意する。第１の実施形態では、ビット埋込に関して

の計算を１回で実行できる。一方で第２の実施形態では、ビット埋込に関して

の計算を２回で実行できる。通信コストとしては、１６ｎビット・３ラウンドとなる。

上述のように、理論的な通信コストとしては、第２の実施形態の方が第１の実施形態よりも劣っているが、通信の形態が変化していることに注意されたい。たとえば、第１の実施形態における図４のステップＡ２では、第４のサーバ装置２００_４から、第１のサーバ装置２００_１への通信が発生している。一方で、第２の実施形態では、ビット埋込の実行にあたり、第４のサーバ装置２００_４から、第１のサーバ装置２００_１への通信が発生していない。このように通信の形態が変わるため、通信環境によっては第２の実施形態の方が、効率が良い場合がある。

［第３の実施形態］
図８～図１０を参照して、第３の実施形態に係るビット埋込処理システムについて説明する。

図８は、第３の実施形態によるビット埋込処理システムの機能構成例を示すブロック図である。第３の実施形態に係るビット埋込処理システムは、上述した第１の実施形態および第２の実施形態に係るビット埋込処理システムの変形例である。以下、第３の実施形態において、第１の実施形態および第２の実施形態において既に説明した部分と同等な機能を有する部分には同一符号を付し、説明を省略する。

図８を参照すると、第３の実施形態によるビット埋込処理システムは、後述する図９で参照される第ｉ（ｉ＝１、２、３、４）のサーバ装置から成る。第３の実施形態によるビット埋込処理システムにおいて、サーバ装置３００_１、３００_２、３００_３、３００_４は、自身と異なるサーバ装置とネットワーク経由で通信可能に接続されている。図９は、第ｉのサーバ装置３００_ｉ（ｉ＝１、２、３、４）の機能構成例を示すブロック図である。

図９に示すように、第ｉのサーバ装置３００_ｉは、第ｉのシェア再構成データ生成部３０２_ｉと、第ｉのシェア構成部３０３_ｉと、第ｉの不正検知部３０４_ｉと、第ｉの算術演算部２０５_ｉと、第ｉの基本演算シード記憶部１０６_ｉと、第ｉのデータ記憶部３０７_ｉと、を含む。なお、第ｉのシェア再構成データ生成部３０２_ｉと、第ｉのシェア構成部３０３_ｉと、第ｉの不正検知部３０４_ｉと、第ｉの算術演算部２０５_ｉと、第ｉの基本演算シード記憶部１０６_ｉと、第ｉのデータ記憶部３０７_ｉとは、それぞれ接続されている。

このような構成のビット埋込処理システムにおいては、第１乃至第４のサーバ装置３００_１～３００_４の内のいずれかの装置が入力した値

、あるいは第１乃至第４のデータ記憶部３０７_１～３０７_４に記憶されたシェア

、あるいは第１乃至第４のサーバ装置３００_１～３００_４ではない外部から入力されたシェア

に対し、その入力や計算過程の値から

の値を知られることなく、

を計算し、第１乃至第４のデータ記憶部３０７_１～３０７_４に記憶する。上述の計算結果のシェアは、第１乃至第４のサーバ装置３００_１～３００_４がシェアを送受信し、復元されてもよい。あるいは、第１乃至第４のサーバ装置３００_１～３００_４ではない外部にシェアが送信され、復元されてもよい。

次に、第３の実施形態におけるビット埋込処理システムおよび第１乃至第４のサーバ装置３００_１～３００_４の動作について、詳細に説明する。図１０は、第１乃至第４のサーバ装置３００_１～３００_４のビット埋込に関する動作例を示すフローチャートである。

（ステップＣ１）
各基本演算シード記憶部１０６_１、１０６_２、１０６_３、１０６_４は、それぞれ

、

、

、

を記憶する。

また、各サーバ装置３００_１～３００_４は疑似ランダム関数

を共有する。なお、

とし、疑似ランダム関数

とする。また、各データ記憶部３０７_１～３０７_４に、それぞれ

を記憶する。ここで、

は各データ記憶部３０７_ｉに記憶された

である。

なお、

に関して、サーバ装置３００_ｉ（ｉ＝１、２、３、４）の内、ある一台の参加者は

の出力を計算できず、他の三台の参加者は

の出力を計算できるという状況を作ることを意図している。この状況を作り出せるのであれば、

の扱いは特に制限されない。本書での

はあくまでも一例である。

（ステップＣ２）
第１のシェア再構成データ生成部３０２_１、第２のシェア再構成データ生成部３０２_２及び第３のシェア再構成データ生成部３０２_３はそれぞれ、第１の基本演算シード記憶部１０６_１、第２の基本演算シード記憶部１０６_２、第３の基本演算シード記憶部１０６_３より、

を取得する。

次に、第１のシェア再構成データ生成部３０２_１、第２のシェア再構成データ生成部３０２_２及び第３のシェア再構成データ生成部３０２_３は

を生成する。そして、第１のシェア再構成データ生成部３０２_１は、

を第１のシェア構成部３０３_１に送信する。第３のシェア再構成データ生成部３０２_２は

を、第３のシェア構成部３０３_４に送信する。

第２のシェア再構成データ生成部３０２_２は、第２のデータ記憶部３０７_２から

を取出し、

を、第４のシェア構成部３０３_４に送信する。

同様に、第１のシェア再構成データ生成部３０２_１、第２のシェア再構成データ生成部３０２_２及び第３のシェア再構成データ生成部３０２_３は

を生成する。第２のシェア再構成データ生成部３０２_２は、

を第２のシェア構成部３０３_２に送信する。第１のシェア再構成データ生成部３０２_３は、

を第１のシェア構成部３０３_１に送信する。

また、第３のシェア再構成データ生成部３０２_３は、第３のデータ記憶部３０７_２から

を取出し、

を、第４のシェア構成部３０３_４に送信する。

さらに同様に、第１のシェア再構成データ生成部３０２_１、第２のシェア再構成データ生成部３０２_２及び第３のシェア再構成データ生成部３０２_３は

を生成する。第３のシェア再構成データ生成部３０２_３は、

を第３のシェア構成部３０３_３に送信する。第２のシェア再構成データ生成部３０２_２は、

を第２のシェア構成部３０３_２に送信する。

また、第１のシェア再構成データ生成部３０２_１は、第１のデータ記憶部３０７_１から

を取出し、

を第４のシェア構成部３０３_４に送信する。

ここで、

である。

は、たとえば、カウンタであり、各サーバ装置３００_１～３００_４の間で共有している。

（ステップＣ３）
各シェア構成部３０４_１、３０４_２、３０４_３、３０４_４は上記ステップＣ２で送信された値と、各ｉ番目のデータ記憶部３０８_ｉに記憶された

を用いて、以下の１２の式によりシェアを構成する。

、

、

は各ｉ番目のデータ記憶部３０７_ｉに記憶される。

このように、各シェア再構成データ生成部３０２_ｉは、シェアの再構成に使用される乱数を生成する。その際、各シェア再構成データ生成部３０２_ｉは、値

に関するシェア再構成データを生成する際、値

とした場合に、

、

及び

のうち２つの値が等しくなるように、乱数を生成する。上記ステップＣ３の例では、例えば、

のとき、

となるように乱数が生成されている。

（ステップＣ４）
各ｉ番目の算術演算部２０５_ｉは相互に通信することで、環上での排他的論理和処理

を以下のように計算する。ここで、

とは、

、

を入力とし、

を出力する処理である。例えば、以下の式が成り立つ。

ここで、

である。各ｉ番目の算術演算部２０５_ｉは、

を各データ記憶部３０７_ｉに記憶する。

（ステップＣ５）
第１のシェア再構成データ生成部３０２_１は、第１のデータ記憶部３０７_１から

を取り出す。次に、第１のシェア再構成データ生成部３０２_１は、

を、第４の不正検知部３０４_４に送信する。第４の不正検知部３０４_４は、第４のデータ記憶部３０７_４に記憶されている

を取出し、

、かつ、

が成り立つかを検証する。

成り立つ場合、第４の不正検知部３０４_４は、successの文字列を各サーバ装置３００_１、３００_２、３００_３、３００_４にブロードキャストし、次のステップに進む。成立しなかった場合、第４の不正検知部３０４_４は、abortの文字列を各サーバ装置３００_１、３００_２、３００_３、３００_４にブロードキャストし、秘密計算に関するプロトコルを中断する。

同様に、第２のシェア再構成データ生成部３０２_２は、第２のデータ記憶部３０７_２から

を取り出す。次に、第２のシェア再構成データ生成部３０２_２は、

を、第４の不正検知部３０４_４に送信する。第４の不正検知部３０４_４は、第４のデータ記憶部３０７_４に記憶されている

を取出し、

が成立するか否かを検証する。

成立した場合、第４の不正検知部３０４_４は、successの文字列を各サーバ装置３００_１、３００_２、３００_３、３００_４にブロードキャストし、次のステップに進む。成立しなかった場合、第４の不正検知部３０４_４は、abortの文字列を各サーバ装置３００_１、３００_２、３００_３、３００_４にブロードキャストし、秘密計算に関するプロトコルを中断する。

さらに同様に、第３のシェア再構成データ生成部３０２_３は、第３のデータ記憶部３０７_３から

を取り出す。次に、第３のシェア再構成データ生成部３０２_３は、

を、第４の不正検知部３０４_４に送信する。第４の不正検知部３０４_４は、第４のデータ記憶部３０７_４に記憶されている

を取出し、

が成立するか否かを検証する。

成立した場合、第４の不正検知部３０４_４は、successの文字列を各サーバ装置３００_１、３００_２、３００_３、３００_４にブロードキャストし、次のステップに進む。一致しなかった場合、第４の不正検知部３０４_４は、abortの文字列を各サーバ装置３００_１、３００_２、３００_３、３００_４にブロードキャストし、プロトコルを中断する。

なお、大量のビット埋込処理を並列して行う場合、

については、それぞれの値を連結したものに対するハッシュ値を送信し、ハッシュ値同士の比較によって検証してもよい。このとき、処理全体の計算量に対して、ハッシュ値の送信量は無視できるものと捉えることができる。

（ステップＣ６）
各ｉ番目の不正検知部３０４_ｉは、上記ステップＣ４の

における送受信データを用いて、突き合わせることで不正検知を行う。不正が検知されなかった第１乃至第４のサーバ装置３００_１、３００_２、３００_３、３００_４は、successの文字列を各サーバ装置にブロードキャストする。不正が検知された第１乃至第４のサーバ装置３００_１、３００_２、３００_３、３００_４は、abortの文字列を各サーバ装置にブロードキャストし、プロトコルを中断する。これは上述の不正検知可能な４者間秘密計算によって実現される。ステップＣ６は上記ステップＣ５と並列に実行することが可能である。つまり、ビット埋込用のシェアを用いた不正行為者の有無を検知することと、排他的論理和の計算時に送受信されたデータを用いて不正行為者の有無を検知することは並列に実行することができる。

以上、説明した第３の実施形態においては、第１の実施形態および第２の実施形態における効果と同じ効果を奏する。ただし、第２の実施形態における第１の効果に関して、第３の実施形態の方が通信コストの点で効率が良いことに注意する。第３の実施形態では、第２の実施形態と同様、環上での排他的論理和計算に相当する

の計算を２回行うことで実行できる。第３の実施形態と第２の実施形態とで異なる点は、環上での排他的論理和計算前の再分散が効率よく行われている点である。不正検知に関する処理を並列に行った場合、第３の実施形態では、ビット埋込の通信コストとして、１３ｎビット・３ラウンドを要する。これより、第３の実施形態の方が第１又は第２の実施形態よりも通信コストの点で効率が良い。

［第４の実施形態］
図１１～図１３を参照して、第４の実施形態に係るビット埋込システムについて説明する。

図１１は、第４の実施形態によるビット埋込システムの機能構成例を示すブロック図である。図１１を参照すると、第４の実施形態によるビット埋込処理システムは、後述する図１２で参照される第ｉ（ｉ＝１、２、３、４）のサーバ装置から成る。第４の実施形態によるビット埋込処理システムにおいて、サーバ装置４００_１、４００_２、４００_３、４００_４は、自身と異なるサーバ装置とネットワーク経由で通信可能に接続されている。図１２は、第ｉのサーバ装置４００_ｉ（ｉ＝１、２、３、４）の機能構成例を示すブロック図である。

図１２に示すように、第ｉのサーバ装置４００_ｉは、第ｉのマスク値計算部４０１_ｉと、第ｉのシェア構成部４０３_ｉと、第ｉの不正検知部４０４_ｉと、第ｉの算術演算部４０５_ｉと、第ｉの基本演算シード記憶部１０６_ｉと、第ｉのデータ記憶部４０７_ｉと、を含む。なお、第ｉのマスク値計算部４０１_ｉと、第ｉのシェア構成部４０３_ｉと、第ｉの不正検知部４０４_ｉと、第ｉの算術演算部４０５_ｉと、第ｉの基本演算シード記憶部１０６_ｉと、第ｉのデータ記憶部４０７_ｉとは、それぞれ接続されている。

このような構成のビット埋込処理システムにおいては、第１乃至第４のサーバ装置４００_１～４００_４の内のいずれかの装置が入力した値

、あるいは第１乃至第４のデータ記憶部４０７_１～４０７_４に記憶されたシェア

、あるいは第１乃至第４のサーバ装置４００_１～４００_４ではない外部から入力されたシェア

に対し、その入力や計算過程の値から

の値を知られることなく、

を計算し、第１乃至第４のデータ記憶部４０７_１～４０７_４に記憶する。上述の計算結果のシェアは、第１乃至第４のサーバ装置４００_１～４００_４がシェアを送受信し、復元されてもよい。あるいは、第１乃至第４のサーバ装置４００_１～４００_４ではない外部にシェアが送信され、復元されてもよい。

次に、第４の実施形態におけるビット埋込処理システムおよび第１乃至第４のサーバ装置４００_１～４００_４の動作について、詳細に説明する。図１３は、第１乃至第４のサーバ装置４００_１～４００_４のビット埋込に関する動作例を示すフローチャートである。

（ステップＤ１）
各基本演算シード記憶部１０６_１、１０６_２、１０６_３、１０６_４は、それぞれ

、

、

、

を記憶する。

また、各サーバ装置４００_１～４００_４は疑似ランダム関数

を共有する。なお、

とし、疑似ランダム関数

とする。また、各データ記憶部４０７_１～４０７_４に、それぞれ

を記憶する。

ここで、

は各データ記憶部４０７_ｉに記憶された

である。なお、

に関して、サーバ装置４００_ｉ（ｉ＝１、２、３、４）の内、ある一台の参加者は

の出力を計算できず、他の三台の参加者は

の出力を計算できるという状況を作ることを意図している。この状況を作り出せるのであれば、

の扱いは特に制限されない。本書での

はあくまでも一例である。

（ステップＤ２）
第１、第２、第３のマスク値計算部４０１_１、４０１_２、４０１_３は

を計算し、第１、第２、第３のデータ記憶部４０７_１、４０７_２、４０７_３に

を記憶する。第２のマスク値計算部４０１_２は、データ記憶部４０７_２からシェア

を取り出す。

第２のマスク値計算部４０１_２は、

を生成し、

を第４のサーバ装置４００_４に送信する。第４のサーバ装置４００_４は、第４のデータ記憶部４０７_４に

を記憶する。

ここで、

である。

は、たとえば、カウンタであり、各サーバ装置４００_１～４００_４の間で共有している。

（ステップＤ３）
各シェア構成部４０３_１、４０３_２、４０３_３、４０３_４は各データ記憶部４０７_１、４０７_２、４０７_３、４０７_４からそれぞれ、

、

、

、

を取り出し、以下の１６の式によりシェアを構成する。

、

、

、

は各ｉ番目のデータ記憶部４０７_ｉに記憶される。なお、３^-１は

上での3の乗法逆元を意味する。ここで、３と２^ｎは互いに素なので、任意のｎ（≧２）に対して、

上で３^－１は存在する。

（ステップＤ４）
各ｉ番目の算術演算部４０５ｉは互いに通信することで、環上での排他的論理和処理

を以下のように計算する。ここで、

とは、

、

を入力とし、

を出力する処理である。例えば、以下の式が成り立つ。

ここで、

である。各ｉ番目の算術演算部４０５_ｉは、

を各データ記憶部４０７_ｉに記憶する。

（ステップＤ５）
第１のサーバ装置４００_１は、上記ステップＤ３における第２のサーバ装置４００_２と同様、第１のマスク値計算部４０１_１は、

を生成し、

を第４のサーバ装置４００_４に送信する。第４のサーバ装置４００_４は、第４のデータ記憶部４０７_４に

を記憶する。第４の不正検知部４０４_４は、第４のデータ記憶部４０７_４から

を取り出し、

が成り立つか否かを検証する。

が成り立つ場合は、第４の不正検知部４０４_４はsuccessの文字列を各サーバ装置４００_１、４００_２、４００_３にブロードキャストし、次のステップに進む。

が成り立たない場合は、第４の不正検知部４０４_４はabortの文字列を各サーバ装置４００_１、４００_２、４００_３にブロードキャストし、プロトコルを中断する。

なお、大量のビット埋込処理を並列に行う際に、各ステップＤ５において

を連結してハッシュ値

を計算し、

に対しても連結した値に対するハッシュ値

を計算することで、

が成り立つか否かの検証を

が成り立つか否かの検証と捉えてもよい。このとき、

に関する通信量は処理全体の計算量に対し、無視できるものと捉えることができる。

（ステップＤ６）
各ｉ番目の不正検知部４０４_ｉは、上記ステップＤ４の

における送受信データを用いて、突き合わせることで不正検知を行う。不正が検知されなかった第１乃至第４のサーバ装置４００_１、４００_２、４００_３、４００_４は、successの文字列を各サーバ装置にブロードキャストする。不正が検知された第１乃至第４のサーバ装置４００_１、４００_２、４００_３、４００_４は、abortの文字列を各サーバ装置にブロードキャストし、プロトコルを中断する。これは上述の不正検知可能な４者間秘密計算によって実現される。ステップＤ６は上記ステップＤ５と並列に実行することが可能である。

以上、第４の実施形態においては、第１乃至第３の実施形態における効果と同じ効果を奏する。ただし、第１乃至第３の実施形態それぞれにおける第１の効果に関して、通信の形態が異なる点に注意する。たとえば、第４の実施形態では、図１３のステップＤ２にて第２のサーバ装置４００_２から第４のサーバ装置４００_４に対する通信と、その検証のためのステップＤ５にて第１のサーバ装置４００_１から第４のサーバ装置４００_４に対する通信が発生している。これは上記

の環上で実行される２－ｏｕｔ－ｏｆ－４複製型秘密分散を用いた不正検知可能な４者間ＭＰＣによる乗算に要する通信路の一部である。つまり、第４の実施形態ではビット埋込を行うにあたり、上記ＭＰＣによる乗算に要する通信路以外は必要としない。第１乃至第３の実施形態では、上記ＭＰＣによる乗算に要する通信路以外に、追加の通信が必要である。このため、通信環境によっては、第４の実施形態の方が効率の面で良い場合がある。なお、第４の実施形態によるビット埋込のコストは、大量の処理を並列に行う場合は、１６ｎビット・３ラウンドとなる。

［第５の実施形態］
図１４～図１６を参照して、第５の実施形態に係るビット埋込処理システムについて説明する。

図１４は、第５の実施形態によるビット埋込処理システムの機能構成例を示すブロック図である。第５の実施形態に係るビット埋込処理システムは、上述した第１乃至第４の実施形態に係るビット埋込処理システムの変形例である。以下、第５の実施形態において、第１乃至第４の実施形態において既に説明した部分と同等な機能を有する部分には同一符号を付し、説明を省略する。

図１４を参照すると、第５の実施形態によるビット埋込処理システムは、後述する図１５で参照される第ｉ（ｉ＝１、２、３、４）のサーバ装置から成る。第５の実施形態によるビット埋込処理システムにおいて、サーバ装置５００_１、５００_２、５００_３、５００_４は、自身と異なるサーバ装置とネットワーク経由で通信可能に接続されている。図１５は、第ｉのサーバ装置５００_ｉ（ｉ＝１、２、３、４）の機能構成例を示すブロック図である。

図１５に示すように、第ｉのサーバ装置５００_ｉは、第ｉのマスク値計算部４０１_ｉと、第ｉのシェア再構成データ生成部５０２_ｉと、第ｉのシェア構成部５０３_ｉと、第ｉの不正検知部５０４_ｉと、第ｉの算術演算部５０５_ｉと、第ｉの基本演算シード記憶部１０６_ｉと、第ｉのデータ記憶部５０７_ｉと、を含む。なお、第ｉのマスク値計算部４０１_ｉと、第ｉのシェア再構成データ生成部５０２_ｉと、第ｉのシェア構成部５０３_ｉと、第ｉの不正検知部５０４_ｉと、第ｉの算術演算部５０５_ｉと、第ｉの基本演算シード記憶部１０６_ｉと、第ｉのデータ記憶部５０７_ｉとは、それぞれ接続されている。

このような構成のビット埋込処理システムにおいては、第１乃至第４のサーバ装置５００_１～５００_４の内のいずれかの装置が入力した値

、あるいは第１乃至第４のデータ記憶部５０７_１～５０７_４に記憶されたシェア

、あるいは第１乃至第４のサーバ装置５００_１～５００_４ではない外部から入力されたシェア

に対し、その入力や計算過程の値から

の値を知られることなく、

を計算し、第１乃至第４のデータ記憶部５０７_１～５０７_４に記憶する。上述の計算結果のシェアは、第１乃至第４のサーバ装置５００_１～５００_４がシェアを送受信し、復元されてよい。あるいは、第１乃至第４のサーバ装置５００_１～５００_４ではない外部にシェアが送信され、復元されてもよい。

次に、第５の実施形態におけるビット埋込処理システムおよび第１乃至第４のサーバ装置５００_１～５００_４の動作について、詳細に説明する。図１５は、第１乃至第４のサーバ装置５００_１～５００_４のビット埋込に関する動作例を示すフローチャートである。

（ステップＥ１）
各基本演算シード記憶部１０６_１、１０６_２、１０６_３、１０６_４は、それぞれ

、

、

、

を記憶する。

また、各サーバ装置５００_１～５００_４は疑似ランダム関数

を共有する。なお、

とし、疑似ランダム関数

とする。また、各データ記憶部５０７_１～５０７_４に、それぞれ

を記憶する。ここで、

は各データ記憶部５０７_ｉに記憶された

である。

なお、

に関して、サーバ装置５００_ｉ（ｉ＝１、２、３、４）の内、ある一台の参加者は

の出力を計算できず、他の三台の参加者は

の出力を計算できるという状況を作ることを意図している。この状況を作り出せるのであれば、

の扱いは特に制限されない。本書での

はあくまでも一例である。

（ステップＥ２）
第１、第２、第３のマスク値計算部４０１_１、４０１_２、４０１_３は

を計算し、第１、第２、第３のデータ記憶部５０７_１、５０７_２、５０７_３に

を記憶する。第２のマスク値計算部４０１_２は、データ記憶部５０７_２からシェア

を取り出す。第２のマスク値計算部４０１_２は、

を生成し、

を第４のサーバ装置５００_４に送信する。第４のサーバ装置５００_４は、第４のデータ記憶部５０７_４に

を記憶する。

ここで、

である。

は、たとえば、カウンタであり、各サーバ装置５００_１～５００_４の間で共有している。

第１のシェア再構成データ生成部５０２_１、第２のシェア再構成データ生成部５０２_２及び第３のシェア再構成データ生成部５０２_３はそれぞれ、第１の基本演算シード記憶部３０７_１、第２の基本演算シード記憶部３０７_２、第３の基本演算シード記憶部３０７_３より、

を取得する。そして、

を生成する。

第２のシェア再構成データ生成部５０２_２は、

を第２のシェア構成部５０３_２に送信する。第１のシェア再構成データ生成部５０２_１は、

を第１のシェア構成部５０３_１に送信する。

また、第３のシェア再構成データ生成部５０２_３は、第３のデータ記憶部５０７_２から

を取出し、

を、第４のシェア構成部５０３_４に送信する。

ここで、

である。

は、たとえば、カウンタであり、各サーバ装置５００_１～５００_４の間で共有している。

（ステップＥ３）
各シェア構成部５０３_１、５０３_２、５０３_３、５０３_４は各データ記憶部５０７_１、５０７_２、５０７_３、５０７_４からそれぞれ、

、

、

、

を取り出す。さらに、各シェア構成部５０３_１、５０３_２、５０３_３、５０３_４は上記ステップＥ２で送信された値を用いて、以下の１２の式によりシェアを構成する。

、

、

は各ｉ番目のデータ記憶部５０７_ｉに記憶される。

このように、各シェア再構成データ生成部５０２_ｉは、シェアの再構成に使用される乱数を生成する。その際、各シェア再構成データ生成部５０２_ｉは、値

に関するシェア再構成データを生成する際、値

とした場合に、

、

及び

のうち２つがゼロとなるように乱数を生成する。上記ステップＥ３の例では、例えば、

のとき、

となるように乱数が生成されている。

（ステップＥ４）
各ｉ番目の算術演算部５０５_ｉは互いに通信することで、環上での排他的論理和処理

を以下のように計算する。ここで、

とは、

、

を入力とし、

を出力する処理である。例えば、下記の式が成り立つ。

ここで、

である。各ｉ番目の算術演算部５０５_ｉは、

を各データ記憶部５０７_ｉに記憶する。

（ステップＥ５）
第１のサーバ装置５００_１は、上記ステップＥ３における第２のサーバ装置５００_２と同様、第１のマスク値計算部４０１_１は、

を生成し、

を第４のサーバ装置５００_４に送信する。第４のサーバ装置５００_４は、第４のデータ記憶部５０７_４に

を記憶する。第４の不正検知部５０４_４は、第４のデータ記憶部５０７_４から

を取り出し、

が成り立つか否かを検証する。

が成り立つ場合は、第４の不正検知部５０４_４はsuccessの文字列を各サーバ装置５００_１、５００_２、５００_３にブロードキャストし、次のステップに進む。

が成り立たない場合は、第４の不正検知部５０４_４はabortの文字列を各サーバ装置５００_１、５００_２、５００_３にブロードキャストし、プロトコルを中断する。

次に、第２のシェア再構成データ生成部５０２_２は、第２のデータ記憶部５０７_２から

を取り出す。次に、第２のシェア再構成データ生成部５０２_２は、

を、第４の不正検知部５０４_４に送信する。第４の不正検知部５０４_４は、第４のデータ記憶部５０７_４に記憶されている

を取出し、

が成立するか否かを検証する。

成立した場合、第４の不正検知部５０４_４は、successの文字列を各サーバ装置５００_１、５００_２、５００_３、５００_４にブロードキャストし、次のステップに進む。成立しなかった場合、第４の不正検知部５０４_４は、abortの文字列を各サーバ装置５００_１、５００_２、５００_３、５００_４にブロードキャストし、プロトコルを中断する。

なお、大量のビット埋込処理を並列して実行する場合、

に関しては、それぞれの値を連結したものに対するハッシュ値を送信し、ハッシュ値同士の比較によって検証してもよい。このとき、処理全体の計算量に対して、ハッシュ値の送信量は無視できるものと捉えることができる。

（ステップＥ６）
各ｉ番目の不正検知部５０４_ｉは、上記ステップＥ４の

における送受信データを用いて、突き合わせることで不正検知を行う。不正が検知されなかった第１乃至第４のサーバ装置５００_１、５００_２、５００_３、５００_４は、successの文字列を各サーバ装置にブロードキャストする。不正が検知された第１乃至第４のサーバ装置５００_１、５００_２、５００_３、５００_４は、abortの文字列を各サーバ装置にブロードキャストし、プロトコルを中断する。これは上述の不正検知可能な４者間秘密計算によって実現される。ステップＥ６は上記ステップＥ５と並列に実行することが可能である。

以上、説明した第５の実施形態においては、第１乃至第４の実施形態における効果と同じ効果を奏する。ただし、第１乃至第４の実施形態における第１の効果に関して、第５の実施形態は、通信の形態が異なる。このため、通信環境によっては、第５の実施形態の方が効率良く実行できる場合がある。なお、不正検知に関する処理を並列に行った場合、第５の実施形態では、ビット埋込の通信コストとして、１２ｎビット・３ラウンドを要する。

［ハードウェア構成］
続いて、秘密計算システムをなす秘密計算サーバのハードウェア構成について説明する。

図１７は、第ｉの秘密計算サーバ装置１００_ｉのハードウェア構成の一例を示す図である。第ｉの秘密計算サーバ装置１００_ｉは、所謂、情報処理装置（コンピュータ）により実現され、図１７に例示する構成を備える。例えば、第ｉの秘密計算サーバ装置１００_ｉは、内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）２１、メモリ２２、入出力インターフェイス２３、通信手段であるＮＩＣ（Network Interface Card）２４等を備える。

但し、図１７に示す構成は、第ｉの秘密計算サーバ装置１００_ｉのハードウェア構成を限定する趣旨ではない。第ｉの秘密計算サーバ装置１００_ｉは、図示しないハードウェアを含んでもよい。第ｉの秘密計算サーバ装置１００_ｉに含まれるＣＰＵ等の数も図１７の例示に限定する趣旨ではなく、例えば、複数のＣＰＵ２１が第ｉの秘密計算サーバ装置１００_ｉに含まれていてもよい。

メモリ２２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、補助記憶装置（ハードディスク等）等である。

入出力インターフェイス２３は、図示しない入出力装置のインターフェイスである。入出力装置には、例えば、表示装置、操作デバイス等が含まれる。表示装置は、例えば、液晶ディスプレイ等である。操作デバイスは、例えば、キーボードやマウス等である。

第ｉの秘密計算サーバ装置１００_ｉの機能は、上述の処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ２２に格納されたプログラムをＣＰＵ２１が実行することで実現される。また、そのプログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。即ち、上記処理モジュールが行う機能は、何らかのハードウェア、或いはハードウェアを利用して実行されるソフトウェアにより実現できればよい。

［変形例］
なお、第１乃至第５の実施形態にて説明した秘密計算検証システムの構成及び動作は例示であって、種々の変形が可能である。例えば、上記実施形態では、４つの秘密計算サーバ装置１００_１～１００_４が対等である場合を説明したが、１つのサーバ装置を代表サーバとして定めてもよい。この場合、代表サーバが秘密計算に用いるデータの入出力（入力データの分散及び配布、計算結果の復号）を制御してもよい。

上述の説明で用いたフローチャートでは、複数の工程（処理）が順番に記載されているが、各実施形態で実行される工程の実行順序は、その記載の順番に制限されない。各実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。また、上述の各実施形態は、内容が相反しない範囲で組み合わせることができる。即ち、上記各実施形態の任意の組み合わせが更なる実施形態として含まれる。

上述の説明で用いたフローチャートでは、複数の工程（処理）が順番に記載されているが、各実施形態で実行される工程の実行順序は、その記載の順番に制限されない。各実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。また、上述の各実施形態は、内容が相反しない範囲で組み合わせることができる。即ち、上記各実施形態の任意の組み合わせが更なる実施形態として含まれる。

上記の説明により、本発明の産業上の利用可能性は明らかであるが、本発明は、たとえば、

の環上で実行される２－ｏｕｔ－ｏｆ－４複製型秘密分散を用いた不正検知可能な４者間ＭＰＣにて、生体テンプレート照合や統計演算などの混合回路の計算を効率よく実現する場合に好適である。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
上述の第１の視点に係る情報処理装置のとおりである。
［付記２］
前記シェア再構成データ生成部は、前記シェアの再構成に使用される乱数を生成する、好ましくは付記１に記載の情報処理装置。
［付記３］
前記シェア再構成データ生成部は、値ｘ’に関する前記シェア再構成データを生成する際、値ｘ’＝ｘ_１’＋ｘ_２’＋ｘ_３’とした場合に、ｘ_１’、ｘ_２’及びｘ_３’のうち２つの値が等しくなるように、乱数を生成する、好ましくは付記２に記載の情報処理装置。
［付記４］
前記シェア再構成データ生成部は、値ｘ’に関する前記シェア再構成データを生成する際、値ｘ’＝ｘ_１’＋ｘ_２’＋ｘ_３’とした場合に、ｘ_１’、ｘ_２’及びｘ_３’のうち２つがゼロとなるように乱数を生成する、好ましくは付記２に記載の情報処理装置。
［付記５］
前記シェア再構成データ生成部は、値ｘに関する前記シェア再構成データを生成する際、値ｘ＝ｘ１＋ｘ２＋ｘ３とした場合に、ｘ１、ｘ２及びｘ３のうち２つの値が等しくなるように、乱数を生成すると共に、
値ｘ’に関する前記シェア再構成データを生成する際、ｘ’＝ｘ１’＋ｘ２’＋ｘ３’とした場合、ｘ１’＝ｘ’＋ｒ、ｘ２’＝０、ｘ３’＝-ｒとなるように乱数ｒを生成する、好ましくは付記２に記載の情報処理装置。
［付記６］
前記ビット埋込用のシェアを用いて不正行為者の有無を検知する、不正検知部をさらに備える、好ましくは付記１乃至５のいずれか一に記載の情報処理装置。
［付記７］
前記ビット埋込用のシェアを用いて環上での排他的論理和を計算する、算術演算部をさらに備え、
前記不正検知部は、前記排他的論理和の計算時に送受信されたデータを用いて不正行為者の有無を検知する、好ましくは付記６に記載の情報処理装置。
［付記８］
前記ビット埋込用のシェアを用いた不正行為者の有無を検知することと、前記排他的論理和の計算時に送受信されたデータを用いて不正行為者の有無を検知すること、が並列に実行される、好ましくは付記７に記載の情報処理装置。
［付記９］
シェアをマスクするためのマスク値を計算すると共に、前記計算されたマスク値によりマスクされたシェアを他の装置に送信する、マスク値計算部をさらに備え、
前記シェア構成部は、前記送信されたマスク値を用いて前記ビット埋込用のシェアを構成する、好ましくは付記１乃至８のいずれか一に記載の情報処理装置。
［付記１０］
前記不正検知部は、前記マスク値を用いて不正行為者の有無を検知する、好ましくは付記６乃至８のいずれか一項を引用する好ましくは付記６に記載の情報処理装置。
［付記１１］
前記不正検知部は、前記不正行為者を検知した場合には、秘密計算に関するプロトコルを中断する、好ましくは付記６乃至１０のいずれか一に記載の情報処理装置。
［付記１２］
上述の第２の視点に係る秘密計算方法のとおりである。
［付記１３］
上述の第３の視点に係るプログラムのとおりである。
なお、付記１２の形態及び付記１３の形態は、付記１の形態と同様に、付記２の形態～付記１１の形態に展開することが可能である。

なお、引用した上記の特許文献等の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

１０ 情報処理装置
１１、１０６_１、２０６_１、１０６_ｉ、２０６_ｉ 基本演算シード記憶部
１２、１０２_１、２０２_１、３０２_１、４０２_１、５０２_１、１０２_ｉ～５０２_ｉ シェア再構成データ生成部
１３、１０３_１、２０３_１、３０３_１、４０３_１、５０３_１、１０３_ｉ～５０３_ｉ シェア構成部
２１ ＣＰＵ（Central Processing Unit）
２２ メモリ
２３ 入出力インターフェイス
２４ ＮＩＣ（Network Interface Card）
１００_１～１００_４、２００_１～２００_４、３００_１～３００_４、４００_１～４００_４、５００_１～５００_４、１００_ｉ～５００_ｉ 秘密計算サーバ装置
４０１_１、４０１_ｉ マスク値計算部
１０４_１、２０４_１、３０４_１、４０４_１、５０４_１、１０４_ｉ～５０４_ｉ 不正検知部
１０５_１、２０５_１、３０５_１、４０５_１、５０５_１、１０５_ｉ～５０５_ｉ 算術演算部
１０７_１、２０７_１、３０７_１、４０７_１、５０７_１、１０７_ｉ～５０７_ｉ データ記憶部

Claims (11)

1. ４者の装置間で値を秘密分散したシェアを記憶するデータ記憶部と、
   前記シェアについての演算を行う際に用いられる乱数を生成するためのシードを格納する、基本演算シード記憶部と、
   ビット埋込を行う際に用いられるシェアを再構成するためのシェア再構成データを前記シードを用いて生成する、シェア再構成データ生成部と、
   少なくとも前記シェア再構成データを用いて前記４者の装置が保有するシェアの数学的表現形式を統一したビット埋込用のシェアに前記シェアを変換する、シェア構成部と、
   を備える、情報処理装置。
2. 前記シェア再構成データ生成部は、前記シェアの再構成に使用される乱数を生成する、請求項１に記載の情報処理装置。
3. 前記シェア再構成データ生成部は、値ｘ’に関する前記シェア再構成データを生成する際、値ｘ’＝ｘ_１’＋ｘ_２’＋ｘ_３’とした場合に、ｘ_１’、ｘ_２’及びｘ_３’のうち２つの値が等しくなるように、前記生成された乱数を割り当てる、請求項２に記載の情報処理装置。
4. 前記シェア再構成データ生成部は、値ｘ’に関する前記シェア再構成データを生成する際、値ｘ’＝ｘ_１’＋ｘ_２’＋ｘ_３’とした場合に、ｘ_１’、ｘ_２’及びｘ_３’のうち２つがゼロとなるように前記生成された乱数を割り当てる、請求項２に記載の情報処理装置。
5. 前記シェア再構成データ生成部は、値ｘに関する前記シェア再構成データを生成する際、値ｘ＝ｘ_１＋ｘ_２＋ｘ_３とした場合に、ｘ_１、ｘ_２及びｘ_３のうち２つの値が等しくなるように、前記生成された乱数を割り当てると共に、
   値ｘ’に関する前記シェア再構成データを生成する際、ｘ’＝ｘ_１’＋ｘ_２’＋ｘ_３’とした場合、ｘ_１’＝ｘ’＋ｒ、ｘ_２’＝０、ｘ_３’＝-ｒとなるように前記生成された乱数ｒを割り当てる、請求項２に記載の情報処理装置。
6. 前記ビット埋込用のシェアを用いて不正行為者の有無を検知する、不正検知部をさらに備える、請求項１乃至５のいずれか一項に記載の情報処理装置。
7. 前記ビット埋込用のシェアを用いて環上での排他的論理和を計算する、算術演算部をさらに備え、
   前記不正検知部は、前記排他的論理和を行うのに不足している情報を補うために計算時に送受信された秘密分散データを用いて不正行為者の有無を検知する、請求項６に記載の情報処理装置。
8. 前記ビット埋込用のシェアを用いた不正行為者の有無を検知することと、前記排他的論理和を行うのに不足している情報を補うために計算時に送受信された秘密分散データを用いて不正行為者の有無を検知すること、が並列に実行される、請求項７に記載の情報処理装置。
9. シェアについての演算を行う際の乱数を生成するためのシードを格納する、基本演算シード記憶部を備える情報処理装置において、
   ４者の装置間で値を秘密分散したシェアを取得するステップと、
   ビット埋込を行う際に用いられる前記シェアを再構成するためのシェア再構成データを前記シードを用いて生成するステップと、
   少なくとも前記シェア再構成データを用いて前記４者の装置が保有するシェアの数学的表現形式を統一したビット埋込用のシェアに前記シェアを変換するステップと、
   を含む、秘密計算方法。
10. シェアについての演算を行う際の乱数を生成するためのシードを格納する、基本演算シード記憶部を備える情報処理装置に搭載されたコンピュータに、
    ４者の装置間で値を秘密分散したシェアを取得する処理と、
    ビット埋込を行う際に用いられる前記シェアを再構成するためのシェア再構成データを前記シードを用いて生成する処理と、
    少なくとも前記シェア再構成データを用いて前記４者の装置が保有するシェアの数学的表現形式を統一したビット埋込用のシェアに前記シェアを変換する処理と、
    を実行させるプログラム。
11. 前記情報処理装置は、ネットワークを介して第２乃至第４の前記情報処理装置と通信接続し、前記情報処理装置と第２乃至第４の前記情報処理装置は、２－ｏｕｔ－ｏｆ－４複製型秘密分散を用いた４者間ＭＰＣのサーバを構成する請求項１乃至８のいずれか一項に記載の情報処理装置。

Images