JP7327510B2

JP7327510B2 - 秘密乱数生成システム、秘密計算装置、秘密乱数生成方法、およびプログラム

Info

Publication number: JP7327510B2
Application number: JP2021565262A
Authority: JP
Inventors: 敦謙市川
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2019-12-19
Filing date: 2019-12-19
Publication date: 2023-08-16
Anticipated expiration: 2039-12-19
Also published as: EP4080489B1; US20220413807A1; JPWO2021124519A1; CN114830211A; EP4080489A4; WO2021124519A1; EP4080489A1

Description

この発明は、秘密計算技術およびプライバシ保護技術に関する。

昨今、個人情報を始めとするプライバシデータの活用需要が高まる中、情報を秘密にしたままで様々な計算を行える秘密計算技術が注目を集めつつある。秘密計算は、様々な応用例に富む有用な技術である（例えば、非特許文献１参照）。しかしながら、秘密計算は計算結果の正確さ（正当性）が保証されているがゆえ、「出力プライバシ」と呼ばれる計算結果のプライバシをカバーできていない。出力プライバシの保護には、例えばランダムノイズによる計算結果の撹拌などが必要であり、秘密計算においてもこうした撹拌、ひいてはランダムノイズの生成が１つの技術的課題となる。

こうした課題に対し、非特許文献２には、秘密計算を用いて、離散ラプラス分布に従う秘密のランダムノイズを生成する方法が開示されている。離散ラプラス分布に従うノイズは差分プライバシと呼ばれる出力プライバシ保護基準を満たすために用いられることから、非特許文献２は秘密計算において出力プライバシ保護を達成する有用な技術であると言える。

桐淵直人，五十嵐大，濱田浩気，菊池亮，"プログラマブルな秘密計算ライブラリMEVAL3"，暗号と情報セキュリティシンポジウム(SCIS)，2018年 C. Dwork, K, Kenthapadi, F. McSherry, I. Mironov, M. Naor, "Our data, ourselves: privacy via distributed noise generation," Advances in Cryptology, EUROCRYPT, LNCS 4004, pp. 486-503, 2006.

しかしながら、非特許文献２では、離散ラプラス分布を幾何分布によって近似することでノイズ生成を行っており、これによりプライバシ保護強度が本来よりも低下してしまうという課題があった。

この発明の目的は、上記のような技術的課題に鑑みて、近似を行うことなく離散ラプラス分布に従う秘密乱数を生成することである。

上記の課題を解決するために、この発明の一態様の秘密乱数生成システムは、複数の秘密計算装置を含み、パラメータαの離散ラプラス分布に従う乱数rの秘匿値[r]を生成する秘密乱数生成システムであって、αを０より大きく１より小さい数とし、Nを２以上の整数とし、秘密計算装置は、確率(1-α)/(1+α)のベルヌーイ分布に従う乱数ビットb₀の秘匿値[b₀]と、それぞれ確率(1-α)のベルヌーイ分布に従う乱数ビットb₁, …, b_Nの秘匿値[b₁], …, [b_N]と、からなる秘匿値の列[b₀], [b₁], …, [b_N]を生成するビット列生成部と、乱数ビットb₀, b₁, …, b_Nのうち先頭から見て最初に１が設定された位置Lの秘匿値[L]を得る絶対値決定部と、秘匿値[L]にランダムな符号sの秘匿値[s]を乗算した結果[L・s]を乱数rの秘匿値[r]として得る符号決定部と、を含む。

この発明によれば、近似を行うことなく離散ラプラス分布に従う秘密乱数を生成することができる。この秘密乱数を用いて計算結果の撹拌を行うことで、秘密計算における出力プライバシの保護強度を向上することができる。

図１は、秘密乱数生成システムの機能構成を例示する図である。図２は、秘密計算装置の機能構成を例示する図である。図３は、秘密乱数生成方法の処理手順を例示する図である。図４は、コンピュータの機能構成を例示する図である。

まず、本発明で前提とする既存技術について説明する。

＜秘密計算＞
秘密計算は、数値を暗号化ないし秘匿化したまま計算を行う技術である（例えば非特許文献１）。以下では、ある値・を秘匿化したものを「秘匿値」と呼び、[・]と表す。秘密計算においては、秘匿値[a], [b]の加算[a+b]、減算[a-b]、および乗算[a・b]を計算できる。また、特にa, bが真偽値（１ビットの値）である場合に、排他的論理和[a XOR b]、論理積[a AND b]、および論理和[a OR b]を計算できる。

以上の性質を利用して、より複雑な処理を秘密計算で実現する方法が知られている。そのような処理のうち本発明で用いるものを以下に示す。

≪プレフィックス論理和（Prefix-OR）≫
論理和の計算を用いれば、ビット列(a₁, …, a_n)の秘匿値である([a₁], …, [a_n])に対して、ビット列(b₁, …, b_n)の秘匿値([b₁]=[a₁], [b₂]=[a₁ OR a₂], …, [b_n]=[a₁ OR a₂ OR … OR a_n])を求めることができる。このとき、あるiにおいて初めてa_i=1となり、それ以前のa₁, …, a_i-1はすべて0であるような任意のビット列(a₁, …, a_n)に対して、ビット列(b₁, …, b_n)はb₁, …, b_i-1=0かつb_i, …, b_n=1を満たすものとなる。

≪一様乱数生成≫
参考文献１，２によれば、一様乱数rの秘匿値[r]を、本来の乱数値rを知ることなく生成することができる。

〔参考文献１〕R. Cramer, I. Damgard, and Y. Ishai, "Share conversion, pseudorandom secret-sharing and applications to secure computation," Theory of Cryptography, LNCS 3378, pp. 342-362, 2005.
〔参考文献２〕J. Bar-Ilan and D. Beaver, "Non-cryptographic fault-tolerant computing in constant number of rounds of interaction," Proceedings of the 8th annual ACM Symposium on Principles of Distributed Computing, 1989, pp. 201-209.

≪インターバルテスト（Interval test）≫
参考文献３によれば、ある値aの秘匿値[a]について、値aがある範囲Iに収まっているか否かを判定した秘匿ビットの秘匿値[b]を得ることができる。このとき、a∈Iならばb=1、そうでなければb=0を満たす。

〔参考文献３〕T. Nishide and K. Ohta, "Multiparty computation for interval, equality, and comparison without bit-decomposition protocol," Public Key Cryptography, LNCS 4450, pp. 343-360, 2007.

＜ベルヌーイ分布＞
ベルヌーイ分布Ber(β)はある確率βで1を、確率1-βで0を生じる分布である。

＜離散ラプラス分布＞
独立に試行される確率変数B₀, B₁, …が、それぞれB₀～Ber((1-α)/(1+α)), B_j≧1～Ber(1-α)を満たすとする。ここで、～は分布に従うことを表す。すなわち、確率変数B₀は確率(1-α)/(1+α)のベルヌーイ分布に従い、確率変数B₁, B₂, …は確率(1-α)のベルヌーイ分布に従うものとする。このとき、先頭から見て初めてB_L=1となる位置L（すなわちB₀, …, B_L-1=0かつB_L=1であるL）について、確率1/2で符号を反転させた値~L=L or -Lは、パラメータαの離散ラプラス分布DL(α)に従う。

［実施形態］
以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

実施形態の秘密乱数生成システムは、n（≧2）台の秘密計算装置が協調して、離散ラプラス分布に従うランダムな値の秘匿値を計算する。本実施形態では、位数pの有限体Z_p上での秘密計算を想定するが、本発明はこれに限定されず、他の体上の秘密計算にも同様に適用することができる。

実施形態の秘密乱数生成システム１００は、例えば、図１に示すように、n（≧2）台の秘密計算装置１₁, …, １_nを含む。本実施形態では、秘密計算装置１₁, …, １_nはそれぞれ通信網９へ接続される。通信網９は、接続される各装置が相互に通信可能なように構成された回線交換方式もしくはパケット交換方式の通信網であり、例えばインターネットやLAN（Local Area Network）、WAN（Wide Area Network）などを用いることができる。なお、各装置は必ずしも通信網９を介してオンラインで通信可能である必要はない。例えば、秘密計算装置１₁, …, １_nへ入力する情報を磁気テープやUSBメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体から秘密計算装置１₁, …, １_nへオフラインで入力するように構成してもよい。

実施形態の秘密乱数生成システム１００に含まれる秘密計算装置１_i（i=1, …, n）は、例えば、図２に示すように、パラメータ記憶部１０、ビット列生成部１１、絶対値決定部１２、符号決定部１３、および出力部１４を備える。ビット列生成部１１は、区間設定部１１１、乱数生成部１１２、およびインターバルテスト部１１３を備える。絶対値決定部１２は、プレフィックス論理和部１２１およびビット反転総和部１２２を備える。符号決定部１３は、符号生成部１３１および符号乗算部１３２を備える。この秘密計算装置１_i（i=1, …, n）が他の秘密計算装置１_j（j=1, …, n、ただしi≠j）と協調しながら後述する各ステップの処理を行うことにより本実施形態の秘密乱数生成方法が実現される。

秘密計算装置１_iは、例えば、中央演算処理装置（CPU: Central Processing Unit）、主記憶装置（RAM: Random Access Memory）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。秘密計算装置１_iは、例えば、中央演算処理装置の制御のもとで各処理を実行する。秘密計算装置１_iに入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて中央演算処理装置へ読み出されて他の処理に利用される。秘密計算装置１_iの各処理部は、少なくとも一部が集積回路等のハードウェアによって構成されていてもよい。秘密計算装置１_iが備える各記憶部は、例えば、RAM（Random Access Memory）などの主記憶装置、ハードディスクや光ディスクもしくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、またはリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。

以下、図３を参照しながら、実施形態の秘密乱数生成システム１００が実行する秘密乱数生成方法の処理手続きを説明する。

パラメータ記憶部１０には、予め定めた離散ラプラス分布DL(α)のパラメータαと、十分大きな自然数Nが記憶されている。ただし、αは０より大きく１より小さい数である。

ステップＳ１１において、ビット列生成部１１は、ベルヌーイ分布に従う乱数ビットb₀, b₁, …, b_Nの秘匿値の列[b₀], [b₁], …, [b_N]を生成する。このとき、b₀～Ber((1-α)/(1+α)), b₁, …, b_N～Ber(1-α)を満たすとする。すなわち、乱数ビットb₀は確率(1-α)/(1+α)のベルヌーイ分布に従い、乱数ビットb₁, …, b_Nは確率(1-α)のベルヌーイ分布に従うものとする。乱数ビットb_i（i=0, …, N）の秘匿値[b_i]の生成は、各整数iについて、以下のステップＳ１１１～Ｓ１１３を実行することにより行う。

ステップＳ１１１において、区間設定部１１１は、有限体Z_p上の区間I=[γ₁, γ₂]を、β≒|I|/pとなるように選択する。ここで、βはベルヌーイ分布の確率である。すなわち、i=0のとき、β=(1-α)/(1+α)であり、i≧1のとき、β=(1-α)である。区間設定部１１１は、選択した区間Iをインターバルテスト部１１３へ出力する。

ステップＳ１１２において、乱数生成部１１２は、有限体Z_p上の乱数r_iの秘匿値[r_i]を生成する。乱数生成部１１２は、生成した乱数r_iの秘匿値[r_i]をインターバルテスト部１１３へ出力する。

ステップＳ１１３において、インターバルテスト部１１３は、Interval testによって、r_i∈Iを判定する。すなわち、乱数r_iの秘匿値[r_i]を用いて、乱数r_iが区間Iに含まれるか否かを判定した結果bの秘匿値[b]を生成する。この判定結果bは、確率βのベルヌーイ分布Ber(β)に従う。すなわち、b～Ber(β)を満たす。インターバルテスト部１１３は、判定結果bの秘匿値[b]を、乱数ビットb_iの秘匿値[b_i]として出力する。

ステップＳ１２において、絶対値決定部１２は、乱数ビットb₀, b₁, …, b_Nのうち先頭から見て最初に１が設定された位置Lの秘匿値[L]を得る。位置Lの秘匿値[L]は、以下のステップＳ１２１～Ｓ１２２を実行することにより得ることができる。

ステップＳ１２１において、プレフィックス論理和部１２１は、秘匿値の列[b₀], [b₁], …, [b_N]にPrefix-ORを実行した結果を秘匿値の列[c₀], [c₁], …, [c_N]として得る。具体的には、各整数iについて、[b₀] OR … OR [b_i]を計算した結果を秘匿値[c_i]として、[c₀]= [b₀], [c₁]=[b₀] OR [b₁], …, [c_N]=[b₀] OR … OR [b_N]を得る。プレフィックス論理和部１２１は、秘匿値の列[c₀], [c₁], …, [c_N]をビット反転総和部１２２へ出力する。

ステップＳ１２２において、ビット反転総和部１２２は、[L]=Σ_i(1-[c_i])を計算する。Lは、乱数ビットb₀, b₁, …, b_Nのうち先頭から見て初めてb_L=1となる位置Lとなる。ビット反転総和部１２２は、計算した位置Lの秘匿値[L]を出力する。

ステップＳ１３において、符号決定部１３は、位置Lの秘匿値[L]にランダムな符号sの秘匿値[s]を乗算した結果[L・s]を得る。乗算結果[L・s]は、以下のステップＳ１３１～Ｓ１３２を実行することにより得ることができる。

ステップＳ１３１において、符号生成部１３１は、[s]←_R{-1, 1}を計算することで、ランダムな符号sの秘匿値[s]を生成する。ここで、←_Rは集合の要素をランダムに選択する演算を表す。符号生成部１３１は、生成した符号sの秘匿値[s]を符号乗算部１３２へ出力する。

ステップＳ１３２において、符号乗算部１３２は、位置Lの秘匿値[L]に符号sの秘匿値[s]を乗算する。この乗算結果の秘匿値[L・s]は、離散ラプラス分布DL(α)に従う乱数の秘匿値となる。符号乗算部１３２は、乗算結果の秘匿値[L・s]を出力する。

ステップＳ１４において、出力部１４は、乗算結果の秘匿値[L・s]を、パラメータαの離散ラプラス分布DL(α)に従う乱数rの秘匿値[r]として出力する。

本発明では、ベルヌーイ分布に従う乱数ビットを秘密計算することにより、離散ラプラス分布に従う乱数の秘密計算を実現した。このとき、幾何分布による近似を行わず、直接離散ラプラス分布に従う乱数を生成することで、近似により生じるプライバシ保護強度の低下を回避した。このように、本発明によれば、秘密計算結果の出力プライバシ保護などに用いることのできる離散ラプラス分布に従う秘密乱数を、近似を行うことなく生成することができる。従来の方法では、幾何分布による近似を必要としていた。

以上、この発明の実施の形態について説明したが、具体的な構成は、これらの実施の形態に限られるものではなく、この発明の趣旨を逸脱しない範囲で適宜設計の変更等があっても、この発明に含まれることはいうまでもない。実施の形態において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

［プログラム、記録媒体］
上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムを図４に示すコンピュータの記憶部１０２０に読み込ませ、制御部１０１０、入力部１０３０、出力部１０４０などに動作させることにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したDVD、CD-ROM等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるASP（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims

複数の秘密計算装置を含み、パラメータαの離散ラプラス分布に従う乱数rの秘匿値[r]を生成する秘密乱数生成システムであって、
αを０より大きく１より小さい数とし、Nを２以上の整数とし、
前記秘密計算装置は、
確率(1-α)/(1+α)のベルヌーイ分布に従う乱数ビットb₀の秘匿値[b₀]と、それぞれ確率(1-α)のベルヌーイ分布に従う乱数ビットb₁, …, b_Nの秘匿値[b₁], …, [b_N]と、からなる秘匿値の列[b₀], [b₁], …, [b_N]を生成するビット列生成部と、
前記乱数ビットb₀, b₁, …, b_Nのうち先頭から見て最初に１が設定された位置Lの秘匿値[L]を得る絶対値決定部と、
前記秘匿値[L]にランダムな符号sの秘匿値[s]を乗算した結果[L・s]を前記乱数rの秘匿値[r]として得る符号決定部と、
を含む秘密乱数生成システム。
請求項１に記載の秘密乱数生成システムであって、
Z_pを位数pの有限体とし、iを0以上N以下の各整数とし、
前記ビット列生成部は、
|I|/pがベルヌーイ分布の確率近傍となる区間Iを設定する区間設定部と、
各整数iについて、前記有限体Z_p上の乱数r_iの秘匿値[r_i]を生成する乱数生成部と、
各整数iについて、前記秘匿値[r_i]を用いて前記乱数r_iが前記区間Iに含まれるか否かを判定した結果を前記秘匿値[b_i]として生成するインターバルテスト部と、
を含む秘密乱数生成システム。
請求項２に記載の秘密乱数生成システムであって、
前記絶対値決定部は、
各整数iについて、[b₀] OR … OR [b_i]を計算した結果を秘匿値[c_i]として、秘匿値の列[c₀], [c₁], …, [c_N]を生成するプレフィックス論理和部と、
Σ_i(1-[c_i])を計算した結果を前記秘匿値[L]として生成するビット反転総和部と、
を含む秘密乱数生成システム。
パラメータαの離散ラプラス分布に従う乱数rの秘匿値[r]を生成する秘密乱数生成システムで用いられる秘密計算装置であって、
αを０より大きく１より小さい数とし、Nを２以上の整数とし、
確率(1-α)/(1+α)のベルヌーイ分布に従う乱数ビットb₀の秘匿値[b₀]と、それぞれ確率(1-α)のベルヌーイ分布に従う乱数ビットb₁, …, b_Nの秘匿値[b₁], …, [b_N]と、からなる秘匿値の列[b₀], [b₁], …, [b_N]を生成するビット列生成部と、
前記乱数ビットb₀, b₁, …, b_Nのうち先頭から見て最初に１が設定された位置Lの秘匿値[L]を得る絶対値決定部と、
前記秘匿値[L]にランダムな符号sの秘匿値[s]を乗算した結果[L・s]を前記乱数rの秘匿値[r]として得る符号決定部と、
を含む秘密計算装置。
パラメータαの離散ラプラス分布に従う乱数rの秘匿値[r]を生成する秘密乱数生成システムが実行する秘密乱数生成方法であって、
αを０より大きく１より小さい数とし、Nを２以上の整数とし、
ビット列生成部が、確率(1-α)/(1+α)のベルヌーイ分布に従う乱数ビットb₀の秘匿値[b₀]と、それぞれ確率(1-α)のベルヌーイ分布に従う乱数ビットb₁, …, b_Nの秘匿値[b₁], …, [b_N]と、からなる秘匿値の列[b₀], [b₁], …, [b_N]を生成し、
絶対値決定部が、前記乱数ビットb₀, b₁, …, b_Nのうち先頭から見て最初に１が設定された位置Lの秘匿値[L]を得、
符号決定部が、前記秘匿値[L]にランダムな符号sの秘匿値[s]を乗算した結果[L・s]を前記乱数rの秘匿値[r]として得る、
秘密乱数生成方法。
請求項４に記載の秘密計算装置としてコンピュータを機能させるためのプログラム。