JPWO2019176831A1 - 秘密表参照システム、方法、秘密計算装置及びプログラム - Google Patents

Abstract

秘密表参照システムは、d及びvが結合されたv'∈F^m+ntの[v']を生成する第一結合部１１_nと、rのある要素とそのある要素の前の要素との差分をそのある要素に対応する要素として持つr''の[r'']を生成する差分計算部１２_nと、r''及びm次元の零が結合されたr'∈F^m+ntの[r']を生成する第二結合部１３_nと、v'を昇順に安定ソートする置換σの{{σ}}を生成する置換計算部１４_nと、r'に置換σを適用したs:=σ(r')の[s]を生成する置換適用部１５_nと、sのprefix-sum s'の[s']を生成するベクトル生成部１６_nと、s'に置換σの逆置換σ^-1を適用したs''の[s'']を生成する逆置換適用部と、s''のn_t+1番目以降の要素からなるx∈F^mの[x]を生成する出力部１７_nと、を備えている。

Description

この発明は、秘密計算技術に関し、特に、秘匿性を保ったままルックアップテーブルを参照する技術に関する。

秘匿性を保ったままルックアップテーブルを参照する技術として、非特許文献１に記載された技術が知られている。

濱田浩気，五十嵐大，千田浩司，"秘密計算一括写像計算の効率化"，2014年暗号と情報セキュリティシンポジウム

しかしながら、非特許文献１に記載された技術では、通信量が比較的多かった。

この発明は、通信量が従来よりも少ない秘密表参照システム、方法、秘密計算装置及びプログラムを提供することである。

この発明の一態様による秘密表参照システムは、複数の秘密計算装置を含む秘密表参照システムであって、Fは任意の体であり、mは２以上の整数であり、n_tは１以上の整数であり、αを任意のベクトルとして[α]はαが秘密分散されたシェアであり、βを任意の置換として{{β}}はβが秘密分散されたシェアであり、vはm次元ベクトルv∈F^ｍであり、dは所定のルックアップテーブルの入力値の集合の要素からなるベクトルd∈F^ntであり、rはルックアップテーブルの出力値の集合の要素からなるベクトルであり、複数の秘密計算装置は、ベクトルdのシェア[d]及びベクトルvのシェア[v]を用いて、ベクトルd及びベクトルvが結合されたベクトルv'∈F^m+ntのシェア[v']を生成する複数の第一結合部と、ベクトルrのシェア[r]を用いて、ベクトルrのある要素とそのある要素の前の要素との差分をそのある要素に対応する要素として持つベクトルr''のシェア[r'']を生成する複数の差分計算部と、シェア[r'']を用いて、ベクトルr''及びm次元の零ベクトルが結合されたベクトルr'∈F^m+ntのシェア[r']を生成する複数の第二結合部と、シェア[v']を用いて、ベクトルv'を昇順に安定ソートする置換σのシェア{{σ}}を生成する複数の置換計算部と、シェア[r']及びシェア{{σ}}を用いて、ベクトルr'に置換σを適用したベクトルs:=σ(r')のシェア[s]を生成する複数の置換適用部と、シェア[s]を用いて、ベクトルsの最初の要素からある要素までの総和をそのある要素に対応する要素として持つベクトルs'のシェア[s']を生成する複数のベクトル生成部と、シェア[s']及びシェア{{σ}}を用いて、ベクトルs'に置換σの逆置換σ^-1を適用したベクトルs''のシェア[s'']を生成する複数の逆置換適用部と、シェア[s'']を用いて、ベクトルs''のn_t+1番目以降の要素からなるベクトルx∈F^mのシェア[x]を生成する複数の出力部と、を備えている。

この発明によれば、通信量を従来よりも少なくすることができる。

図１は、秘密表参照システムの機能構成を例示する図である。 図２は、秘密計算装置の機能構成を例示する図である。 図３は、秘密表参照方法の処理手続きを例示する図である。

以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

図１を参照して、実施形態の秘密表参照システムの構成例を説明する。秘密表参照システムは、N（≧2）台の秘密計算装置１₁,…,１_Nを含む。本形態では、秘密計算装置１₁, …, １_Nはそれぞれ通信網２へ接続されている。通信網２は、接続される各装置が相互に通信可能なように構成された回線交換方式もしくはパケット交換方式の通信網であり、例えばインターネットやLAN（Local Area Network）、WAN（Wide Area Network）などである。なお、各装置は必ずしも通信網２を介してオンラインで通信可能である必要はない。例えば、秘密計算装置１₁, …, １_Nへ入力する情報を磁気テープやUSBメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体から秘密計算装置１₁, …, １_Nへオフラインで入力するように構成してもよい。

図２を参照して、秘密表参照システムに含まれる秘密計算装置１_n（n=1, …, N）の構成例を説明する。秘密計算装置１_nは、例えば、図２に示すように、第一結合部１１_nと、差分計算部１２_nと、第二結合部１３_nと、置換計算部１４_nと、置換適用部１５_nと、ベクトル生成部１６_nと、逆置換適用部１７_nと、出力部１８_nとを備えている。この秘密計算装置１_n（1≦n≦N）の各構成部が他の秘密計算装置１_n'（n'=1, …, N、ただしn≠n'）の各構成部と協調しながら後述する各ステップの処理を行うことにより実施形態の秘密表参照方法が実現される。

なお、各ステップの処理は、秘密計算により行われる。すなわち、秘密計算装置１_nは、シェアを復元することなく、言い換えればシェアの中身を知ることなく、各ステップの処理を行う。

秘密計算装置１_nは、例えば、中央演算処理装置（CPU: Central Processing Unit）、主記憶装置（RAM: Random Access Memory）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。秘密計算装置１_nは、例えば、中央演算処理装置の制御のもとで各処理を実行する。秘密計算装置１_nに入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて中央演算処理装置へ読み出されて他の処理に利用される。秘密計算装置１_nの各処理部は、少なくとも一部が集積回路等のハードウェアによって構成されていてもよい。

図３を参照して、実施形態の秘密表参照システムが実行する秘密表参照方法の処理手続きを説明する。

＜ステップＳ１＞
第一結合部１１₁,…,１１_Nに、ベクトルdのシェア[d]及びベクトルvのシェア[v]が入力される。

第一結合部１１₁,…,１１_Nは、シェア[d]とシェア[v]を結合してシェア[v']∈[F]^m+ntを生成する。より詳細には、第一結合部１１₁,…,１１_Nは、シェア[d]及びシェア[v]を用いて、ベクトルd及びベクトルvが結合されたベクトルv'∈F^m+ntのシェア[v']を生成する（ステップＳ１）。

生成されたシェア[v']は、置換計算部１４₁,…,１４_Nに出力される。

Fは任意の体であり、mは２以上の整数であり、n_tは１以上の整数である。また、vはm次元ベクトルv∈F^ｍであり、dは所定のルックアップテーブルの入力値の集合の要素からなるベクトルd∈F^ntである。ベクトルvは、例えばある表のある属性の属性値からなるベクトルである。αを任意のベクトルとして、[α]はαが秘密分散されたシェアである。

[F]^m+nt,F^ntの上付き文字の中のntは、「n_t」を意味する。このように、上付き文字の中では、更なる上付き文字及び下付き文字の表現を省略することがある。

例えば、ルックアップテーブルtがt:{0,1,2,3}→{1,5,2,3}である場合には、ベクトルd=(0,1,2,3)^Tとなる。このとき、ベクトルv=(1,3,1)^Tである場合には、ベクトルv'=(0,1,2,3,1,3,1)^Tとなる。

＜ステップＳ２＞
差分計算部１２₁,…,１２_Nに、ベクトルrのシェア[r]が入力される。

差分計算部１２₁,…,１２_Nは、シェア[r]に基づいてシェア[r'']を生成する。より詳細には、差分計算部１２₁,…,１２_Nは、シェア[r]を用いて、ベクトルrのある要素とそのある要素の前の要素との差分をそのある要素に対応する要素として持つベクトルr''のシェア[r'']を生成する（ステップＳ２）。

生成されたシェア[v']は、置換計算部１４₁,…,１４_Nに出力される。

rは、ルックアップテーブルの出力値の集合の要素からなるベクトルである。

ベクトルr''のi番目の要素は、「ベクトルrのi番目の要素」-「ベクトルrのi-1番目の要素」である。ただし、i=1の場合には、ベクトルr''のi番目の要素は、ベクトルrのi番目の要素となる。すなわち、ベクトルr''の１番目の要素は、ベクトルrの１番目の要素となる。

例えば、ルックアップテーブルtがt:{0,1,2,3}→{1,5,2,3}である場合には、ベクトルr=(1,5,2,3)^Tとなる。この場合、ベクトルr''=(1,4,-3,1)^Tとなる。

＜ステップＳ３＞
第二結合部１３₁,…,１３_Nに、シェア[r'']が入力される。

第二結合部１３₁,…,１３_Nは、シェア[r'']と零ベクトルを結合してシェア[r']∈[F]^m+ntを生成する。より詳細には、第二結合部１３₁,…,１３_Nは、シェア[r'']を用いて、ベクトルr''及びm次元の零ベクトルが結合されたベクトルr'∈F^m+ntのシェア[r']を生成する（ステップＳ３）。

生成されたシェア[r']は、置換適用部１５₁,…,１５_Nに出力される。

例えば、ベクトルr''=(1,4,-3,1)^Tであり、m=3である場合には、ベクトルr'=(1,4,-3,1,0,0,0)^Tとなる。

＜ステップＳ４＞
置換計算部１４₁,…,１４_Nに、シェア[v']が入力される。

置換計算部１４₁,…,１４_Nは、シェア[v']の{{σ}}を生成する。より詳細には、置換計算部１４₁,…,１４_Nは、シェア[v']を用いて、ベクトルv'を昇順に安定ソートする置換σのシェア{{σ}}を生成する（ステップＳ４）。

生成されたシェア{{σ}}は、置換適用部１５₁,…,１５_Nに出力される。

安定ソートとは、同等なデータのソート前の順序が、ソート後も保存されるものをいう。βを任意の置換として、{{β}}はβが秘密分散されたシェアである。

ソート{{σ}}の生成は、例えば以下の参考文献１に記載された方法で行うことができる。

〔参考文献１〕五十嵐大，濱田浩気，菊池亮，千田浩司，"インターネット環境レスポンス1秒の統計処理を目指した, 秘密計算基数ソートの改良"，2014年暗号と情報セキュリティシンポジウム
例えば、ベクトルv'=(0,1,2,3,1,3,1)^Tである場合には、置換σは以下の式（１）のようになる。

＜ステップＳ５＞
置換適用部１５₁,…,１５_Nに、シェア[r']及びシェア{{σ}}が入力される。

置換適用部１５₁,…,１５_Nは、シェア[r']に{{σ}}を適用してシェア[s]:=[σ(r')]を生成する。より詳細には、置換適用部１５₁,…,１５_Nは、シェア[r']及びシェア{{σ}}を用いて、ベクトルr'に置換σを適用したベクトルs:=σ(r')のシェア[s]を生成する（ステップＳ５）。

生成されたシェア[s]はベクトル生成部１６₁,…,１６_Nに出力される。

置換{{σ}}の適用は、参考文献１に記載された方法で行うことができる。

例えば、ベクトルr'=(1,4,-3,1,0,0,0)^Tであり、置換σが式（１）で示される置換である場合には、ベクトルs=(1,4,0,0,-3,1,0)^Tとなる。

＜ステップＳ６＞
ベクトル生成部１６₁,…,１６_Nに、シェア[s]が入力される。

ベクトル生成部１６₁,…,１６_Nは、シェア[s]のprefix-sum [s']を生成する。より詳細には、ベクトル生成部１６₁,…,１６_Nは、シェア[s]を用いて、ベクトルsの最初の要素からある要素までの総和をそのある要素に対応する要素として持つベクトルs'のシェア[s']を生成する（ステップＳ６）。

生成されたシェア[s']は、逆置換適用部１７₁,…,１７_Nに出力される。

例えば、ベクトルs=(1,4,0,0,-3,1,0)^Tである場合には、ベクトルs'=(1,5,5,5,2,3,3)^Tとなる。

＜ステップＳ７＞
逆置換適用部１７₁,…,１７_Nに、シェア[s']及びシェア{{σ}}が入力される。

逆置換適用部１７₁,…,１７_Nは、シェア[s']に{{σ}}を逆適用してシェア[s'']を生成する。より詳細には、逆置換適用部１７₁,…,１７_Nは、シェア[s']及びシェア{{σ}}を用いて、ベクトルs'に置換σの逆置換σ^-1を適用したベクトルs''のシェア[s'']を生成する（ステップＳ７）。

生成されたシェア[s'']は、出力部１８₁,…,１８_Nに出力される。

逆置換{{σ^-1}}の適用は、例えば以下の参考文献２に記載された方法で行うことができる。

〔参考文献２〕桐淵直人，五十嵐大，諸橋玄武，濱田浩気，"属性情報と履歴情報の秘匿統合分析に向けた秘密計算による高速な等結合アルゴリズムとその実装"，2016年コンピュータセキュリティシンポジウム
例えば、ベクトルs'=(1,5,5,5,2,3,3)^Tであり、置換σが式（１）で示される置換である場合には、ベクトルs''=(1,5,2,3,5,3,5)^Tとなる。

なお、逆置換σ^-1を適用とは、置換σを逆適用するということである。

＜ステップＳ８＞
出力部１８₁,…,１８_Nに、シェア[s'']が入力される。

出力部１８₁,…,１８_Nは、シェア[s'']のn_t+1番目以降の要素列を出力する。より詳細には、出力部１８₁,…,１８_Nは、シェア[s'']を用いて、ベクトルs''のn_t+1番目以降の要素からなるベクトルx∈F^mのシェア[x]を生成する（ステップＳ８）。

生成されたシェア[x]が、秘密表参照システムによる最終的な計算結果として出力される。

例えば、ベクトルs''=(1,5,2,3,5,3,5)^Tであり、n_t=4である場合には、ベクトルx=(5,3,5)^Tとなる。

ルックアップテーブルtがt:{0,1,2,3}→{1,5,2,3}であり、ベクトルv=(1,3,1)^Tである場合には、ベクトルx=(5,3,5)^Tは、ベクトルv=(1,3,1)^Tに対するルックアップテーブルtの参照結果となっている。

このように、逆置換σ^-1を用いることで、従来よりも通信量を少なくすることができる。

以上、この発明の実施の形態について説明したが、具体的な構成は、これらの実施の形態に限られるものではなく、この発明の趣旨を逸脱しない範囲で適宜設計の変更等があっても、この発明に含まれることはいうまでもない。実施の形態において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

［プログラム、記録媒体］
上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したDVD、CD-ROM等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるASP（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１₁,…,１_N 秘密計算装置
１１₁,…,１１_N 第一結合部
１２₁,…,１２_N 差分計算部
１３₁,…,１３_N 第二結合部
１４₁,…,１４_N 置換計算部
１５₁,…,１５_N 置換適用部
１６₁,…,１６_N ベクトル生成部
１７₁,…,１７_N 逆置換適用部
１８₁,…,１８_N 出力部
２ 通信網

生成されたシェア[ｒ'']は、第二結合部１３ ₁ ,…,１３ _N に出力される。

Claims (4)

1. 複数の秘密計算装置を含む秘密表参照システムであって、
   Fは任意の体であり、mは２以上の整数であり、n_tは１以上の整数であり、αを任意のベクトルとして[α]はαが秘密分散されたシェアであり、βを任意の置換として{{β}}はβが秘密分散されたシェアであり、vはm次元ベクトルv∈F^ｍであり、dは所定のルックアップテーブルの入力値の集合の要素からなるベクトルd∈F^ntであり、rは上記ルックアップテーブルの出力値の集合の要素からなるベクトルであり、
   上記複数の秘密計算装置は、
   上記ベクトルdのシェア[d]及び上記ベクトルvのシェア[v]を用いて、上記ベクトルd及び上記ベクトルvが結合されたベクトルv'∈F^m+ntのシェア[v']を生成する複数の第一結合部と、
   上記ベクトルrのシェア[r]を用いて、上記ベクトルrのある要素とそのある要素の前の要素との差分をそのある要素に対応する要素として持つベクトルr''のシェア[r'']を生成する複数の差分計算部と、
   上記シェア[r'']を用いて、上記ベクトルr''及びm次元の零ベクトルが結合されたベクトルr'∈F^m+ntのシェア[r']を生成する複数の第二結合部と、
   上記シェア[v']を用いて、上記ベクトルv'を昇順に安定ソートする置換σのシェア{{σ}}を生成する複数の置換計算部と、
   上記シェア[r']及び上記シェア{{σ}}を用いて、上記ベクトルr'に上記置換σを適用したベクトルs:=σ(r')のシェア[s]を生成する複数の置換適用部と、
   上記シェア[s]を用いて、上記ベクトルsの最初の要素からある要素までの総和をそのある要素に対応する要素として持つベクトルs'のシェア[s']を生成する複数のベクトル生成部と、
   上記シェア[s']及び上記シェア{{σ}}を用いて、上記ベクトルs'に上記置換σの逆置換σ^-1を適用したベクトルs''のシェア[s'']を生成する複数の逆置換適用部と、
   上記シェア[s'']を用いて、上記ベクトルs''のn_t+1番目以降の要素からなるベクトルx∈F^mのシェア[x]を生成する複数の出力部と、
   を含む、
   秘密表参照システム。
2. 請求項１の秘密表参照システムの秘密計算装置。
3. Fは任意の体であり、mは２以上の整数であり、n_tは１以上の整数であり、αを任意のベクトルとして[α]はαが秘密分散されたシェアであり、βを任意の置換として{{β}}はβが秘密分散されたシェアであり、vはm次元ベクトルv∈F^ｍであり、dは所定のルックアップテーブルの入力値の集合の要素からなるベクトルd∈F^ntであり、rは上記ルックアップテーブルの出力値の集合の要素からなるベクトルであり、
   第一結合部が、上記ベクトルdのシェア[d]及び上記ベクトルvのシェア[v]を用いて、上記ベクトルd及び上記ベクトルvが結合されたベクトルv'∈F^m+ntのシェア[v']を生成する第一結合ステップと、
   差分計算部が、上記ベクトルrのシェア[r]を用いて、上記ベクトルrのある要素とそのある要素の前の要素との差分をそのある要素に対応する要素として持つベクトルr''のシェア[r'']を生成する差分計算ステップと、
   第二結合部が、上記シェア[r'']を用いて、上記ベクトルr''及びm次元の零ベクトルが結合されたベクトルr'∈F^m+ntのシェア[r']を生成する第二結合ステップと、
   置換計算部が、上記シェア[v']を用いて、上記ベクトルv'を昇順に安定ソートする置換σのシェア{{σ}}を生成する置換計算ステップと、
   置換適用部が、上記シェア[r']及び上記シェア{{σ}}を用いて、上記ベクトルr'に上記置換σを適用したベクトルs:=σ(r')のシェア[s]を生成する置換適用ステップと、
   ベクトル生成部が、上記シェア[s]を用いて、上記ベクトルsの最初の要素からある要素までの総和をそのある要素に対応する要素として持つベクトルs'のシェア[s']を生成するベクトル生成ステップと、
   逆置換適用部が、上記シェア[s']及び上記シェア{{σ}}を用いて、上記ベクトルs'に上記置換σの逆置換σ^-1を適用したベクトルs''のシェア[s'']を生成する逆置換適用ステップと、
   出力部が、上記シェア[s'']を用いて、上記ベクトルs''のn_t+1番目以降の要素からなるベクトルx∈F^mのシェア[x]を生成する出力ステップと、
   を含む秘密表参照方法。
4. 請求項３の秘密計算装置の各部としてコンピュータを機能させるためのプログラム。

Images