KR102167565B1 - 근사 암호화된 암호문에 대한 재부팅 연산을 수행하는 장치 및 방법 - Google Patents

Abstract

암호문 처리 방법이 개시된다. 본 암호문 처리 방법은 에러를 포함하는 근사 메시지에 대한 동형 암호문을 선형 변형하는 단계, 기설정된 범위 내의 입력 값들이 정수점에 근사하도록 설정된 다차 방정식을 이용하여 선형 변형된 동형 암호문을 근사 모듈러스 연산하는 단계, 및 근사 모듈러스 연산된 동형 암호문을 암호문 형태로 선형 변형하는 단계를 포함한다.

Description

근사 암호화된 암호문에 대한 재부팅 연산을 수행하는 장치 및 방법{APPARATUS FOR PROCESSING APPROXIMATE ENCRIPTED MESSAGES AND METHODS THEREOF}

본 개시는 근사 암호화된 암호문에 대한 재부팅 방법을 효율적으로 수행하기 위한 장치 및 방법에 대한 것이다.

통신 기술이 발달하고, 전자 장치의 보급이 활발해짐에 따라, 전자 장치 간의 통신 보안을 유지하기 위한 노력이 지속적으로 이루어지고 있다. 이에 따라, 대부분의 통신 환경에서는 암호화/복호화 기술이 사용되고 있다.

암호화 기술에 의해 암호화된 메시지가 상대방에게 전달되면, 상대방은 메시지를 이용하기 위해서는 복호화를 수행하여야 한다. 이 경우, 상대방은 암호화된 데이터를 복호화하는 과정에서 자원 및 시간 낭비가 발생하게 된다. 또한, 상대방이 연산을 위해 일시적으로 메시지를 복호화한 상태에서 제3자의 해킹이 이루어지는 경우, 그 메시지가 제3자에게 손쉽게 유출될 수 있다는 문제점도 있었다.

이러한 문제를 해결하기 위하여 동형 암호화 방법이 연구되고 있다. 동형 암호화에 따르면, 암호화된 정보를 복호화하지 않고 암호문 자체에서 연산을 하더라도, 평문에 대해 연산한 후 암호화한 값과 동일한 결과를 얻을 수 있다. 따라서, 암호문을 복호화하지 않은 상태에서 각종 연산을 수행할 수 있다.

하지만, 연산이 진행됨에 따라 동형 암호문 내의 q가 감소함에 따라 더 이상 연산이 불가능해진다. 이러한 점을 방지하기 위하여 재부팅 방법이 적용되고 있다.

다만, 기존의 재부팅 방법은 높은 계산량을 갖거나 계산 정확도가 낮았다는 점에서, 계산량을 줄이면서도 계산 정확도가 높은 재부팅 방법이 요구되었다.

따라서 본 개시는 상술한 바와 같은 문제점을 해결하기 위한 고안된 것으로, 근사 암호화된 암호문에 대한 재부팅 연산을 효율적으로 수행하기 위한 장치 및 방법을 제공하는 데 있다.

본 개시는 이상과 같은 목적을 달성하기 위한 것으로, 본 개시의 일 실시 예에 따른 동형 암호문 처리 방법은, 에러를 포함하는 근사 메시지에 대한 동형 암호문을 선형 변형하는 단계. 기설정된 범위 내의 입력 값들이 정수점에 근사하도록 설정된 다차 방정식을 이용하여 상기 선형 변형된 동형 암호문을 근사 모듈러스 연산하는 단계, 및 상기 근사 모듈러스 연산된 동형 암호문을 암호문 형태로 선형 변형하는 단계를 포함한다.

이 경우, 상기 다차 방정식은, 7차 내지 80 차 중 어느 하나의 차수를 갖는 방정식이고, 상기 기설정된 범위는 -12 내지 12일 수 있다.

한편, 상기 근사 모듈러스 연산하는 단계는, 배각 회수 및 상기 배각 회수에 대응되는 다차 방정식을 설정하고, 상기 선형 변형된 동형 암호문을 상기 설정된 다차 방정식을 이용하여 상기 설정된 배각 회수만큼 연산하여 근사 모듈러스 연산을 수행할 수 있다.

한편, 상기 동형 암호문을 선형 변형하는 단계는, 상기 동형 암호문을 다항식 형태로 변환하는 단계, 및 기정의된 행렬에 상기 변환된 동형 암호문을 적용하는 단계를 포함할 수 있다.

이 경우, 상기 적용하는 단계는 상기 기정의된 행렬을 대각 성분에 값이 있고 나머지 값이 0인 복수의 블록 대각 행렬로 분해하고, 상기 복수의 블록 대각 행렬에 순차적으로 상기 동형 암호문을 적용할 수 있다.

이 경우, 상기 적용하는 단계는 상기 복수의 블록 대각 행렬을 연속된 두 개의 행렬 단위로 상기 동형 암호문을 적용할 수 있다.

한편, 본 개시의 일 실시 예에 따른 연산 장치는 에러를 포함하는 근사 메시지에 대한 동형 암호문을 저장하는 메모리, 및 상기 동형 암호문에 대한 연산을 수행하는 프로세서를 포함하며, 상기 프로세서는, 에러를 포함하는 근사 메시지에 대한 동형 암호문을 선형 변형하고, 기설정된 범위 내의 입력 값들이 정수점에 근사하도록 설정된 다차 방정식을 이용하여 상기 선형 변형된 동형 암호문을 근사 모듈러스 연산하고, 상기 근사 모듈러스 연산된 동형 암호문을 암호문 형태로 선형 변형할 수 있다.

이 경우, 상기 다차 방정식은, 7차 내지 80 차 중 어느 하나의 차수를 갖는 방정식이고, 상기 기설정된 범위는 -12 내지 12일 수 있다.

한편, 상기 프로세서는, 배각 회수 및 상기 배각 회수에 대응되는 다차 방정식을 설정하고, 상기 선형 변형된 동형 암호문을 상기 설정된 다차 방정식을 이용하여 상기 설정된 배각 회수만큼 연산하여 근사 모듈러스 연산을 수행할 수 있다.

한편, 상기 프로세서는, 상기 동형 암호문을 다항식 형태로 변환하고, 기정의된 행렬에 상기 변환된 동형 암호문을 적용하여 상기 동형 암호문을 선형 변형할 수 있다.

이 경우, 상기 프로세서는, 상기 기정의된 행렬을 대각 성분에 값이 있고 나머지 값이 0인 복수의 블록 대각 행렬로 분해하고, 상기 복수의 블록 대각 행렬에 순차적으로 상기 동형 암호문을 적용하여 상기 동형 암호문을 선형 변형할 수 있다.

한편, 상기 프로세서는, 상기 복수의 블록 대각 행렬을 연속된 두 개의 행렬 단위로 상기 동형 암호문을 적용하여 상기 동형 암호문을 선형 변형할 수 있다.

이상과 같은 본 개시의 다양한 실시 예들에 따르면, 동형 암호문에 최적화된 근사 다항식을 이용하는바 더욱 빠르고 높은 정확도로 모듈러스 연산이 가능하다. 또한, 선형 변형을 복수의 블록 대각 행렬을 이용하여 수행한바, 낮은 연산 복잡도로 연산하는 것이 가능하며 그에 따라 보다 빠른 연산이 가능하게 된다.

도 1은 본 개시의 일 실시 예에 따른 네트워크 시스템의 구조를 설명하기 위한 도면,
도 2는 본 개시의 일 실시 예에 따른 연산 장치의 구성을 나타낸 블럭도,
도 3은 본 개시의 연산 장치의 연산 동작을 설명하기 위한 도면,
도 4는 본 개시의 재부팅 방식을 설명하기 위한 도면,
도 5는 본 개시의 재부팅 방식의 구체적인 동작을 설명하기 위한 도면,
도 6은 본 개시에 따른 선형 계산 동작을 설명하기 위한 도면,
도 7 및 도 8은 본 개시에 따른 선형 계산 동작의 효과를 설명하기 위한 도면,
도 9는 본 개시에 따른 근사 방정식의 계수를 산출하는 방법을 설명하기 위한 도면, 그리고,
도 10 및 도 11은 본 개시에 따른 근사 모듈러스 동작의 효과를 설명하기 위한 도면이다.

이하에서는 첨부 도면을 참조하여 본 개시에 대해서 자세하게 설명한다. 본 개시에서 수행되는 정보(데이터) 전송 과정은 필요에 따라서 암호화/복호화가 적용될 수 있으며, 본 개시 및 특허청구범위에서 정보(데이터) 전송 과정을 설명하는 표현은 별도로 언급되지 않더라도 모두 암호화/복호화하는 경우도 포함하는 것으로 해석되어야 한다. 본 개시에서 "A로부터 B로 전송(전달)" 또는 "A가 B로부터 수신"과 같은 형태의 표현은 중간에 다른 매개체가 포함되어 전송(전달) 또는 수신되는 것도 포함하며, 반드시 A로부터 B까지 직접 전송(전달) 또는 수신되는 것만을 표현하는 것은 아니다.

본 개시의 설명에 있어서 각 단계의 순서는 선행 단계가 논리적 및 시간적으로 반드시 후행 단계에 앞서서 수행되어야 하는 경우가 아니라면 각 단계의 순서는 비제한적으로 이해되어야 한다. 즉, 위와 같은 예외적인 경우를 제외하고는 후행 단계로 설명된 과정이 선행단계로 설명된 과정보다 앞서서 수행되더라도 개시의 본질에는 영향이 없으며 권리범위 역시 단계의 순서에 관계없이 정의되어야 한다. 그리고 본 명세서에서 "A 또는 B"라고 기재한 것은 A와 B 중 어느 하나를 선택적으로 가리키는 것뿐만 아니라 A와 B 모두를 포함하는 것도 의미하는 것으로 정의된다. 또한, 본 개시에서 "포함"이라는 용어는 포함하는 것으로 나열된 요소 이외에 추가로 다른 구성요소를 더 포함하는 것도 포괄하는 의미를 가진다.

본 개시에서는 본 개시의 설명에 필요한 필수적인 구성요소만을 설명하며, 본 개시의 본질과 관계가 없는 구성요소는 언급하지 아니한다. 그리고 언급되는 구성요소만을 포함하는 배타적인 의미로 해석되어서는 안 되며 다른 구성요소도 포함할 수 있는 비배타적인 의미로 해석되어야 한다.

그리고 본 개시에서 "값"이라 함은 스칼라값뿐만 아니라 벡터도 포함하는 개념으로 정의된다.

후술하는 본 개시의 각 단계의 수학적 연산 및 산출은 해당 연산 또는 산출을 하기 위해 공지되어 있는 코딩 방법 및/또는 본 개시에 적합하게 고안된 코딩에 의해서 컴퓨터 연산으로 구현될 수 있다.

이하에서 설명하는 구체적인 수학식은 가능한 여러 대안 중에서 예시적으로 설명되는 것이며, 본 개시의 권리 범위가 본 개시에 언급된 수학식에 제한되는 것으로 해석되어서는 아니된다.

설명의 편의를 위해서, 본 개시에서는 다음과 같이 표기를 정하기로 한다.

a ← D : 분포(D)에 따라서 원소(a)를 선택함

: S1, S2 각각은 R 집합에 속하는 원소이다.

mod(q) : q 원소로 모듈(modular) 연산

: 내부 값을 반올림함

이하에서는 첨부된 도면을 이용하여 본 개시의 다양한 실시 예들에 대하여 구체적으로 설명한다.

도 1은 본 개시의 일 실시 예에 따른 네트워크 시스템의 구성을 나타내는 도면이다.

도 1을 참조하면, 네트워크 시스템은 복수의 전자 장치(100-1 ~ 100-n), 제1 서버 장치(200), 제2 서버 장치(300)를 포함할 수 있으며, 각 구성들은 네트워크(10)를 통해 서로 연결될 수 있다.

네트워크(10)는 다양한 형태의 유무선 통신 네트워크, 방송 통신 네트워크, 광통신 네트워크, 클라우드 네트워크 등으로 구현될 수 있으며, 각 장치들은 별도의 매개체 없이 와이파이, 블루투스, NFC(Near Field Communication) 등과 같은 방식으로 연결될 수도 있다.

도 1에서는 전자 장치가 복수 개(100-1 ~ 100-n)인 것으로 도시하였으나, 반드시 복수 개의 전자 장치가 사용되어야 하는 것은 아니며 하나의 장치가 사용될 수도 있다. 일 예로, 전자 장치(100-1 ~ 100-n)는 스마트폰, 태블릿, 게임 플레이어, PC, 랩톱 PC, 홈서버, 키오스크 등과 같은 다양한 형태의 장치로 구현될 수 있으며, 이밖에 IoT 기능이 적용된 가전 제품 형태로도 구현될 수 있다.

사용자는 자신이 사용하는 전자 장치(100-1 ~ 100-n)를 통해서 다양한 정보를 입력할 수 있다. 입력된 정보는 전자 장치(100-1 ~ 100-n) 자체에 저장될 수도 있지만, 저장 용량 및 보안 등을 이유로 외부 장치로 전송되어 저장될 수도 있다. 도 1에서 제1 서버 장치(200)는 이러한 정보들을 저장하는 역할을 수행하고, 제2 서버 장치(300)는 제1 서버 장치(200)에 저장된 정보의 일부 또는 전부를 이용하는 역할을 수행할 수 있다.

각 전자 장치(100-1 ~ 100-n)는 입력된 정보를 동형 암호화하여, 동형 암호문을 제1 서버 장치(200)로 전송할 수 있다.

각 전자 장치(100-1 ~ 100-n)는 동형 암호화를 수행하는 과정에서 산출되는 암호화 노이즈, 즉, 에러를 암호문에 포함시킬 수 있다. 구체적으로는, 각 전자 장치(100-1 ~ 100-n)에서 생성하는 동형 암호문은, 추후에 비밀키를 이용하여 복호화하였을 때 메시지 및 에러 값을 포함하는 결과 값이 복원되는 형태로 생성될 수 있다.

일 예로, 전자 장치(100-1 ~ 100-n)에서 생성하는 동형 암호문은 비밀키를 이용하여 복호화 하였을 때 다음과 같은 성질을 만족하는 형태로 생성될 수 있다.

[수학식 1]

Dec(ct, sk) = <ct, sk> = M+e(mod q)

여기서 < , >는 내적 연산(usual inner product), ct는 암호문, sk는 비밀키, M은 평문 메시지, e는 암호화 에러 값, mod q는 암호문의 모듈러스(Modulus)를 의미한다. q는 스케일링 팩터(scaling factor)(Δ)가 메시지에 곱해진 결과 값 M보다 크게 선택되어야 한다. 에러 값 e의 절대값이 M에 비해서 충분히 작다면, 암호문의 복호화 값 M+e 는 유효숫자연산에서 원래의 메시지를 동일한 정밀도로 대체할 수 있는 값이다. 복호화된 데이터 중에서 에러는 최하위 비트(LSB) 측에 배치되고, M은 차하위 비트 측에 배치될 수 있다.

메시지의 크기가 너무 작거나 너무 큰 경우, 스케일링 팩터를 이용하여 그 크기를 조절할 수도 있다. 스케일링 팩터를 사용하게 되면, 정수 형태의 메시지뿐만 아니라 실수 형태의 메시지까지도 암호화할 수 있게 되므로, 활용성이 크게 증대할 수 있다. 또한, 스케일링 팩터를 이용하여 메시지의 크기를 조절함으로써, 연산이 이루어지고 난 이후의 암호문에서 메시지들이 존재하는 영역, 즉, 유효 영역의 크기도 조절될 수 있다.

실시 예에 따라, 암호문 모듈러스 q는 다양한 형태로 설정되어 사용될 수 있다. 일 예로, 암호문의 모듈러스는 스케일링 팩터 Δ의 지수승 q=Δ^L 형태로 설정될 수 있다. Δ가 2라면, q=2¹⁰ 과 같은 값으로 설정될 수 있다.

제1 서버 장치(200)는 수신된 동형 암호문을 복호화하지 않고, 암호문 상태로 저장할 수 있다.

제2 서버 장치(300)는 동형 암호문에 대한 특정 처리 결과를 제1 서버 장치(200)로 요청할 수 있다. 제1 서버 장치(200)는 제2 서버 장치(300)의 요청에 따라 특정 연산을 수행한 후, 그 결과를 제2 서버 장치(300)로 전송할 수 있다.

일 예로, 두 개의 전자 장치(100-1, 100-2)가 전송한 암호문 ct1, ct2가 제1 서버 장치(200)에 저장된 경우, 제2 서버 장치(300)는 두 전자 장치(100-1, 100-2)로부터 제공된 정보들을 합산한 값을 제1 서버 장치(200)로 요청할 수 있다. 제1 서버 장치(200)는 요청에 따라 두 암호문을 합산하는 연산을 수행한 후, 그 결과 값(ct1 + ct2)을 제2 서버 장치(300)로 전송할 수 있다.

동형 암호문의 성질상, 제1 서버 장치(200)는 복호화를 하지 않은 상태에서 연산을 수행할 수 있고, 그 결과 값도 암호문 형태가 된다. 본 개시에서는 연산에 의해 획득된 결과값을 연산 결과 암호문이라 한다.

제1 서버 장치(200)는 연산 결과 암호문을 제2 서버 장치(300)로 전송할 수 있다. 제2 서버 장치(300)는 수신된 연산 결과 암호문을 복호화하여, 각 동형 암호문들에 포함된 데이터들의 연산 결과값을 획득할 수 있다.

제1 서버 장치(200)는 사용자 요청에 따라 연산을 수차례 수행할 수 있다. 이 경우, 매번 연산마다 획득되는 연산 결과 암호문 내의 근사 메시지 비중이 달라진다. 제1 서버 장치(200)는 근사 메시지 비중이 임계치를 초과하면, 재부팅(Bootstrapping) 동작을 수행할 수 있다. 이와 같이 제1 서버 장치(200)는 연산 동작을 수행할 수 있다는 점에서, 연산 장치라 지칭될 수도 있다.

구체적으로는, 상술한 수학식 1에서 q가 M보다 작다면 M+e(mod q)는 M+e와 다른 값을 가지므로 복호화가 불가능해진다. 따라서, q 값은 항상 M보다 크게 유지되어야 한다. 하지만, 연산이 진행됨에 따라 q 값은 점차 감소하게 된다. 따라서, q 값이 항상 M보다 크도록 변화시키는 동작이 필요하며, 이러한 동작을 재부팅 동작이라 한다. 이와 같은 재부팅 동작이 수행됨에 따라 암호문은 다시 연산할 수 있는 상태가 될 수 있다. 재부팅과 관련된 구체적인 동작은 도 3 내지 6을 참조하여 후술한다.

한편, 도 1에서는 제1 전자 장치 및 제2 전자 장치에서 암호화를 수행하고, 제2 서버 장치가 복호화를 수행하는 경우를 도시하였으나, 반드시 이에 한정되는 것은 아니다.

도 2는 본 개시의 일 실시 예에 따른 연산 장치의 구성을 나타낸 블럭도이다.

구체적으로, 도 1의 시스템에서 제1 전자 장치, 제2 전자 장치 등과 같이 동형 암호화를 수행하는 장치, 제1 서버 장치 등과 같이 동형 암호문을 연산하는 장치, 제2 서버 장치 등과 같이 동형 암호문을 복호하는 장치 등을 연산 장치라고 지칭할 수 있다. 이러한 연산 장치는 PC(Personal computer), 노트북, 스마트폰, 태블릿, 서버 등 다양한 장치일 수 있다.

도 2를 참조하면, 연산 장치(400)는 통신 장치(410), 메모리(420), 디스플레이(430), 조작 입력 장치(440) 및 프로세서(450)를 포함할 수 있다.

통신 장치(410)는 연산 장치(400)를 외부 장치(미도시)와 연결하기 위해 형성되고, 근거리 통신망(LAN: Local Area Network) 및 인터넷망을 통해 외부 장치에 접속되는 형태뿐만 아니라, USB(Universal Serial Bus) 포트 또는 무선 통신(예를 들어, WiFi 802.11a/b/g/n, NFC, Bluetooth) 포트를 통하여 접속되는 형태도 가능하다. 이러한 통신 장치(410)는 송수신부(transceiver)로 지칭될 수도 있다.

통신 장치(410)는 공개키를 외부 장치로부터 수신할 수 있으며, 연산 장치(400) 자체적으로 생성한 공개키를 외부 장치로 전송할 수 있다.

그리고 통신 장치(410)는 외부 장치로부터 메시지를 수신할 수 있으며, 생성한 동형 암호문을 외부 장치로 송신할 수 있다.

또한, 통신 장치(410)는 암호문 생성에 필요한 각종 파라미터를 외부 장치로부터 수신할 수 있다. 한편, 구현시에 각종 파라미터는 후술하는 조작 입력 장치(440)를 통하여 사용자로부터 직접 입력받을 수 있다.

또한, 통신 장치(410)는 외부 장치로부터 동형 암호문에 대한 연산을 요청받을 수 있으며, 그에 따라 계산된 결과를 외부 장치에 전송할 수 있다.

메모리(420)는 연산 장치(400)를 구동하기 위한 O/S나 각종 소프트웨어, 데이터 등을 저장하기 위한 구성요소이다. 메모리(420)는 RAM이나 ROM, 플래시 메모리, HDD, 외장 메모리, 메모리 카드 등과 같은 다양한 형태로 구현될 수 있으며, 어느 하나로 한정되는 것은 아니다.

메모리(420)는 암호화할 메시지를 저장한다. 여기서 메시지는 사용자가 각종 인용한 각종 신용 정보, 개인 정보 등일 수 있으며, 연산 장치(400)에서 사용되는 위치 정보, 인터넷 사용 시간 정보 등 사용 이력 등과 관련된 정보일 수도 있다.

그리고 메모리(420)는 공개키를 저장할 수 있으며, 연산 장치(400)가 직접 공개키를 생성한 장치인 경우, 비밀키뿐만 아니라, 공개키 및 비밀키 생성에 필요한 각종 파라미터를 저장할 수 있다.

그리고 메모리(420)는 후술한 과정에서 생성된 동형 암호문을 저장할 수 있다. 그리고 메모리(420)는 외부 장치에서 전송한 동형 암호문을 저장할 수도 있다. 또한, 메모리(420)는 후술하는 연산 과정에서의 결과물인 연산 결과 암호문을 저장할 수도 있다.

디스플레이(430)는 연산 장치(400)가 지원하는 기능을 선택받기 위한 사용자 인터페이스 창을 표시한다. 구체적으로, 디스플레이(430)는 연산 장치(400)가 제공하는 각종 기능을 선택받기 위한 사용자 인터페이스 창을 표시할 수 있다. 이러한 디스플레이(430)는 LCD(liquid crystal display), OLED(Organic Light Emitting Diodes) 등과 같은 모니터일 수 있으며, 후술할 조작 입력 장치(440)의 기능을 동시에 수행할 수 있는 터치 스크린으로 구현될 수도 있다.

디스플레이(430)는 비밀키 및 공개키 생성에 필요한 파라미터의 입력을 요청하는 메시지를 표시할 수 있다. 그리고 디스플레이(430)는 암호화 대상이 메시지를 선택하는 메시지를 표시할 수 있다. 한편, 구현시에 암호화 대상은 사용자가 직접 선택할 수도 있고, 자동으로 선택될 수 있다. 즉, 암호화가 필요한 개인 정보 등은 사용자가 직접 메시지를 선택하지 않더라도 자동으로 설정될 수 있다.

조작 입력 장치(440)는 사용자로부터 연산 장치(400)의 기능 선택 및 해당 기능에 대한 제어 명령을 입력받을 수 있다. 구체적으로, 조작 입력 장치(440)는 사용자로부터 비밀키 및 공개키 생성에 필요한 파라미터를 입력받을 수 있다. 또한, 조작 입력 장치(440)는 사용자로부터 암호화될 메시지를 설정받을 수 있다.

프로세서(450)는 연산 장치(400) 내의 각 구성을 제어한다. 이러한 프로세서(450)는 CPU(central processing unit), ASIC(application-specific integrated circuit)과 같은 단일 장치로 구성될 수 있으며, CPU, GPU(Graphics Processing Unit) 등의 복수의 장치로 구성될 수도 있다.

프로세서(450)는 전송하고자 하는 메시지가 입력되면 메모리(420)에 저장한다. 프로세서(450)는 메모리(420)에 저장된 각종 설정 값 및 프로그램을 이용하여, 메시지를 동형 암호화한다. 이 경우, 공개키가 사용될 수 있다.

프로세서(450)는 암호화를 수행하는데 필요한 공개키를 자체적으로 생성하여 사용할 수도 있고, 외부 장치로부터 수신하여 사용할 수도 있다. 일 예로, 복호화를 수행하는 제2 서버 장치(300)가 공개키를 다른 장치들에게 배포할 수 있다.

자체적으로 키를 생성하는 경우, 프로세서(450)는 Ring-LWE 기법을 이용하여 공개키를 생성할 수 있다. 구체적으로 설명하면, 프로세서(450)는 먼저 각종 파라미터 및 링을 설정하여, 메모리(420)에 저장할 수 있다. 파라미터의 예로는 평문 메시지 비트의 길이, 공개키 및 비밀키의 크기 등이 있을 수 있다.

링은 다음과 같은 수학식으로 표현될 수 있다.

[수학식 2]

여기서 R은 링, Zq는 계수, f(x)는 n차 다항식이다.

링(Ring)이란 기 설정된 계수를 가지는 다항식의 집합으로, 원소들 사이에 덧셈과 곱셈이 정의되어 있으며 덧셈과 곱셈에 대해서 닫혀 있는 집합을 의미한다. 이러한 링은 환으로 지칭될 수 있다.

일 예로, 링은 계수가 Zq인 n차 다항식의 집합을 의미한다. 구체적으로는, n이 Φ(N)일 때, N차 사이클로토믹 다항식 (N-th cyclotomic polynomial)을 의미한다. (f(x))란 f(x)로 생성되는 Zq[x]의 이데알(ideal)을 나타낸다. Euler totient 함수 Φ(N)이란 N과 서로소이고 N보다 작은 자연수의 개수를 의미한다. Φ_N(x)를 N차 사이클로토믹 다항식으로 정의하면, 링은 다음과 같은 수학식 3으로도 표현될 수 있다.

[수학식 3]

비밀키(sk)는 다음과 같이 표현될 수 있다.

한편, 상술한 수학식 3의 링은 평문 공간에서 복소수를 갖는다. 한편, 동형 암호문에 대한 연산 속도를 향상하기 위하여, 상술한 링의 집합 중 평문 공간이 실수인 집합만을 이용할 수도 있다.

이와 같은 링이 설정되면, 프로세서(450)는 링으로부터 비밀키(sk)를 산출할 수 있다.

[수학식 4]

여기서, s(x)는 작은 계수로 랜덤하게 생성한 다항식을 의미한다.

그리고 프로세서(450)는 링으로부터 제1 랜덤 다항식(a(x))을 산출한다. 제1 랜덤 다항식은 다음과 같이 표현될 수 있다.

[수학식 5]

또한, 프로세서(450)는 에러를 산출할 수 있다. 구체적으로, 프로세서(450)는 이산 가우시안 분포 또는 그와 통계적 거리가 가까운 분포로부터 에러를 추출할 수 있다. 이러한 에러는 다음과 같이 표현될 수 있다.

[수학식 6]

에러까지 산출되면, 프로세서(450)는 제1 랜덤 다항식 및 비밀키에 에러를 모듈러 연산하여 제2 랜덤 다항식을 산출할 수 있다. 제2 랜덤 다항식은 다음과 같이 표현될 수 있다.

[수학식 7]

최종적으로 공개키(pk)는 제1 랜덤 다항식 및 제2 랜덤 다항식을 포함하는 형태로 다음과 같이 설정된다.

[수학식 8]

상술한 키 생성 방법은 일 예에 불과하므로, 반드시 이에 한정되는 것은 아니며, 이 밖에 다른 방법으로 공개키 및 비밀키를 생성할 수도 있음은 물론이다.

하편, 프로세서(450)는 공개키가 생성되면, 다른 장치들에 전송되도록 통신 장치(410)를 제어할 수 있다.

그리고 프로세서(450)는 메시지에 대한 동형 암호문을 생성할 수 있다. 구체적으로, 프로세서(450)는 메시지에 대해서 앞서 생성된 공개키를 적용하여 동형 암호문을 생성할 수 있다. 이때, 프로세서(450)는 암호문의 길이를 스케일링 팩터의 크기에 대응되도록 생성할 수 있다.

그리고 프로세서(450)는 동형 암호문이 생성되면 메모리(420)에 저장하거나, 사용자 요청 또는 기 설정된 디폴트 명령에 따라 동형 암호문을 다른 장치에 전송하도록 통신 장치(410)를 제어할 수 있다.

한편, 본 개시의 일 실시 예에 따르면, 패킹(packing)이 이루어질 수도 있다. 동형 암호화에서 패킹을 이용하게 되면, 다수의 메시지를 하나의 암호문으로 암호화하는 것이 가능해진다. 이 경우, 연산 장치(400)에서 각 암호문들 간의 연산을 수행하게 되면, 결과적으로 다수의 메시지에 대한 연산이 병렬적으로 처리되므로 연산 부담이 크게 줄어들게 된다.

구체적으로는, 프로세서(450)는 메시지가 복수의 메시지 벡터로 이루어지는 경우, 복수의 메시지 벡터를 병렬적으로 암호화할 수 있는 형태의 다항식으로 변환한 후, 그 다항식에 스케일링 팩터를 승산하고 공개키를 이용하여 동형 암호화할 수도 있다. 이에 따라, 복수의 메시지 벡터를 패킹한 암호문을 생성할 수 있다.

그리고 프로세서(450)는 동형 암호문에 대한 복호가 필요한 경우, 동형 암호문에 비밀키를 적용하여 다항식 형태의 복호문을 생성하고, 다항식 형태의 복호문을 디코딩하여 메시지를 생성할 수 있다. 이때 생성한 메시지는 앞서 설명한 수학식 1에서 언급한 바와 같이 에러를 포함할 수 있다.

그리고 프로세서(450)는 암호문에 대한 연산을 수행할 수 있다. 구체적으로, 프로세서(450)는 동형 암호문에 대해서 암호화된 상태를 유지한 상태에서 덧셈 또는 곱셈 등의 연산을 수행할 수 있다. 구체적으로, 프로세서(450)는 연산에 사용될 동형 암호문 각각을 제1 함수 처리하고, 제1함수 처리된 동형 암호문 간에 덧셈 또는 곱셈 등의 연산을 수행하고, 연산 수행된 동형 암호문을 제1 함수에 역함수인 제2 함수 처리할 수 있다. 이러한 제1 함수 처리 및 제2 함수 처리는 후술한 재부팅 과정에서의 선형 변환 기술이 이용될 수 있다.

한편, 연산 장치(400)는 연산이 완료되면, 연산 결과 데이터로부터 유효 영역의 데이터를 검출할 수 있다. 구체적으로, 연산 장치(400)는 연산 결과 데이터를 라운딩 처리를 수행하여 유효 영역의 데이터를 검출할 수 있다. 라운딩 처리란 암호화된 상태에서 메시지의 반올림(round-off)을 진행하는 것을 의미하며, 다르게는 리스케일링(rescaling)이라고 할 수도 있다. 구체적으로는, 연산 장치(400)는 암호문 각각의 성분에 스케일링 인수의 역수인 Δ^-1을 곱하고 반올림하여, 노이즈 영역을 제거한다. 노이즈 영역은 스케일링 팩터의 크기에 대응되도록 결정될 수 있다. 결과적으로 노이즈 영역이 제외된 유효 영역의 메시지를 검출할 수 있다. 암호화 상태에서 진행되므로 추가적인 에러가 발생하지만 크기는 충분히 작으므로 무시할 수 있다.

또한, 연산 장치(400)는 연산 결과 암호문 내의 근사 메시지 비중이 임계치를 초과하면, 암호문에 대한 재부팅 동작을 수행할 수 있다. 재부팅 동작에 대해서는 도 3 내지 도 5를 참조하여 이하에서 설명한다.

도 3은 본 개시의 연산 장치의 연산 동작을 설명하기 위한 도면이다. 구체적으로, 도 3에서는 두 개의 동형 암호문(10, 20)에 대한 연산 및 재부팅 과정을 나타낸다.

각 동형 암호문(10, 20)은 근사 메시지 영역(11, 21)을 각각 포함할 수 있다. 근사 메시지 영역(11, 21)에는 메시지 및 에러(m1+e1, m2+e2)가 함께 들어가 있다.

연산 장치(400)는 두 동형 암호문(10, 20)을 입력 값으로 하여, 특정 연산을 수행할 수 있다.

연산 결과 암호문(30)은 각 근사 메시지 간의 연산 결과(m3+e3)가 담긴 근사 메시지 영역(31)을 포함할 수 있다. 연산 결과가 입력 값보다 커짐에 따라 근사 메시지 영역도 커지고 따라서 남은 평문 공간(32)이 줄어들게 된다. 이러한 연산이 수차례 수행되면, 결국 남은 평문 공간(32)이 없어지거나 한계치보다 작아지게 되어, 연산할 수 없어진다. 이러한 상태로 판단되면, 연산 장치(400)는 재부팅 동작을 수행할 수 있다. 구체적인 재부팅 동작에 대해서는 도 5를 참조하여 후술한다.

재부팅이 이루어진 암호문(40)은 근사 메시지 영역(41)이 줄어든 대신, 평문 공간(42)이 확장됨을 알 수 있다. 재부팅 이전의 암호문 내의 근사 메시지(m3+e3)와 재부팅 이후의 암호문 내의 근사 메시지(m3'+e3')는 약간의 차이가 있지만, 에러의 크기 차이가 작기 때문에 원 메시지와 비교하였을 때 큰 차이가 없게 된다.

종래의 암호화/복호화 메커니즘은, 복호화 이후의 데이터가 원래의 평문과 같아지도록 설계하지만, 본 실시 예에 따르면 정확하게 같은 평문 대신에 근사 메시지가 출력된다. 결과적으로, 안전성을 위해서 필요로 하는 에러와 유효숫자 연산을 통해서 발생하는 에러를 포함하여 하나의 노이즈로 취급하므로, 암호화된 상태에서 실수 연산이 가능해지고, 암/복호화의 효율성을 증대시킬 수 있다.

도 4는 본 개시의 재부팅 방식을 설명하기 위한 도면이다.

도 4를 참조하면, 제1 연산 장치(400-1) 및 제2 연산 장치(400-2)는 각각 메시지 m1, m2를 동형 암호화하여 동형 암호문 E_L(m1'), E_L(m2')를 출력할 수 있다.

제3 연산 장치(400-3)는 동형 암호문 E_L(m1'), E_L(m2')에 대한 연산을 수행하여, 연산 결과 암호문 E_L-i(m3')을 출력할 수 있다. 여기서 L은 암호문의 모듈러스 레벨을 의미한다. 연산이 반복됨에 따라 모듈러스 레벨은 지속적으로 감소하게 된다. 예를 들어, 제3 연산 장치(400-3)가 암호화된 상태로 수행하고 싶은 연산의 깊이가 i라면, 모듈러스 레벨은 i만큼 감소하게 된다. 이에 따라, 모듈러스 레벨이 임계치 미만으로 떨어지게 되면 동형 암호문들에 대한 더 이상의 연산은 불가능해진다.

도 4에서는 임계치를 1레벨로 설정하였다. 이에 따라, 1 레벨 동형 암호문 E₁(m4'), E₁(m5')는 연산 불가능한 상태임을 알 수 있다.

모듈러스 레벨이 임계치 미만인 경우, 제3 연산 장치(400-3)는 E₁(m4'), E₁(m5')를 각각 재부팅하여, E_L'(m4"), E_L'(m5")를 생성할 수 있다. 재부팅에 의해 모듈러스 레벨은 L과 거의 유사한 L' 레벨이 되었고, 근사 메시지 또한 m4', m5'에서 거의 유사한 m4", m5"와 같이 변하게 된다.

제3 연산 장치(400-3)는 재부팅한 암호문들을 연산하여, 연산 결과 암호문 E_L'-i(m6")를 제4 연산 장치(400-3)로 제공할 수 있다. 최종 연산된 연산 결과 암호문은 다음 수학식과 같이 표현될 수 있다.

[수학식 9]

제4 연산 장치(400-4)는 연산 결과 암호문을 복호화하여 근사 메시지 m6"를 획득할 수 있다.

복호화를 위해서 제4 연산 장치(400-4)는 부가 정보를 이용할 수 있다. 상술한 바와 같이, 부가 정보는, 연산 과정에서 변경된 스케일링 팩터 및 평문 공간 확장에 사용된 모듈러스 값 등이 될 수 있다. 변경된 스케일링 팩터가 Δ'라면, 복호화된 근사 메시지는 m6"/Δ'가 될 수 있다. 이에 따라, 실수 평문이 암호화 과정에서 정수화되었더라도, 복호화에서 다시 실수로 복구될 수 있다. 또한, 부가 정보 내의 모듈러스 값은 수학식 9에서 링(R)의 모듈러스로써 사용될 수 있다.

제4 연산 장치(400-4)는 복호화를 통해 최종적으로 m6"를 획득할 수 있게 된다.

한편, 도 4를 도시하고 설명함에 있어서, 두 암호문의 연산 전에 입력된 동형 암호문에 대한 재부팅 동작을 수행하는 것으로 설명하였지만, 구현시에는 도 3과 같이 연산 결과에 대한 재부팅 동작을 수행할 수도 있다.

이하에서는 도 5를 참조하여, 구체적인 재부팅 동작을 설명한다.

도 5는 본 개시의 재부팅 방식의 구체적인 동작을 설명하기 위한 도면이다.

도 5를 참조하면, 에러를 포함하는 근사 메시지에 대한 동형 암호문을 선형 변형한다(S510). 구체적으로, 동형 암호문은 앞서 상술한 바와 같이 다수의 암호문이 패킹되어 있을 수 있는바, 다수의 암호문 계산을 위하여 동형 암호문을 다항식 형태로 변환할 수 있다.

그 다음, 기정의된 행렬(구체적으로, 아래의 수학식 10)에 다항식 형태로 변환된 동형 암호문을 적용할 수 있다. 구체적으로, 앞서 설명한 바와 같이 동형 암호문의 다항식은 복소수로 구성되는바, 다항식의 각 계수를 슬롯에 들어가 있는 형태로 변환하기 위하여 기정의된 행렬을 이용하여 선형 변환을 수행할 수 있다. 여기서 기정의된 행렬은 DFT(discrete Fourier Transform) 행렬일 수 있다.

한편, 구현시에는 선형 변환을 보다 빠르게 수행하기 위하여, 복수의 블록 대각 행렬을 이용하여 선형 변환할 수 있다. 여기서 블록 대각 행렬은 대각 성분에 값이 있고 나머지 값이 0인 행렬이다. 복수의 블록 대각 행렬을 이용할 수 있는 이유 및 그 효과에 대해서는 도 5의 하단에서 자세히 설명한다.

선형 변환이 완료되면, 근사 모듈러스 연산을 수행할 수 있다(S520). 구체적으로, 기설정된 범위 내의 입력 값들이 정수점에 근사하도록 설정된 다차 방정식을 이용하여 선형 변형된 동형 암호문을 근사 모듈러스 연산할 수 있다. 본 개시에 따른 근사 모듈러스 연산 동작에 대해서 도 9를 참조하여 후술한다.

근사 모듈러스 연산이 완료되면, 근사 모듈러스 연산된 동형 암호문을 암호문 형태로 선형 변형한다(S530). 구체적으로, 앞선 동형 암호문의 선형 변형시에 이용한 행렬에 대응되는 역행렬을 이용하여 근사 모듈러스 연산된 동형 암호문을 다항식 형태로 변환하고, 변환된 다항식을 암호문 형태로 변환할 수 있다.

이상과 같이 본 실시 예에 따른 재부팅 동작은 동형 암호문 특성에 의해 산출된 다차 방정식을 통하여 근사 모듈러스 연산되는바, 보다 빠른 재부팅 동작을 수행할 수 있다. 또한, 선형 변형시에도 기설정된 행렬을 복수의 블록 대각 행렬로 분해하여 연산처리하는 바, 낮은 연산 복잡도로 연산하는 것이 가능하다.

이하에서는 상술한 선형 변형 동작을 보다 구체적으로 설명한다.

동형 암호문은 패킹이 적용될 수 있다. 즉, 여러 메시지를 하나로 암호화하는 것이다. 이러한 점에서, 패킹된 동형 암호문을 선형 변형하는 작업은 동형 암호화에서의 중요한 작업이다.

이러한 선형 변형은 다항식으로 표현되는 동형 암호문의 계수(coefficient)들을 슬롯(slot)으로 변형하는 것이다. 이러한 동작을 위하여, DFT(discrete Fourier Transform) 행렬이 이용될 수 있다. 상술한 DFT 행렬은 아래의 수학식 10과 같이 표시될 수 있다.

[수학식 10]

여기서, U는 DFT 행렬,

이고,

이다. 그리고 ,N은 다항식 링 차원(polynomial ring dimension)이다.

그러나 이러한 DFT 행렬에 동형 암호문을 그대로 적용하는 경우 계산 복잡도는 O(n)을 갖게 된다. 이와 같이 DFT 행렬을 그대로 적용하는 경우 계산 복잡도가 높다.

한편, 행렬 내에 작은 수만을 갖는 경우, 행렬과 벡터 간의 곱셈 연산은 빨라질 수 있다. 이를 위하여, 상술한 수학식 10과 같은 행렬을 인수 분해하여 복수의 희소 행렬(sparse matrices)로 분해할 수 있다. 구체적으로, 행렬의 분해는 recursive FFT Cooley-Tukey 알고리즘이 이용될 수 있으며, 그 방식은 수학식 11과 같다.

[수학식 11]

여기서,

이고,

이다.

이러한 방식을 반복 적용하면, DFT 행렬을

수로 분해할 수 있으며, 다음의 수학식 12는 재귀 수학식(recursive matrice)의 형태를 나타낸다.

[수학식 12]

여기서, k/2는 대각(diagonal) 블럭이고, DFT 행렬은 다음과 같은 수학식 13과 같이 표현될 수 있다.

[수학식 13]

이와 같이 DFT 행렬을 희소 대각 행렬(sparse diagonal matrices)로 분해하고, 본 개시에서는 분해된 희소 대각 행렬(또는 블록 대각 행렬)을 이용하여 선형 변환을 수행할 수 있다. 이하에서는 복수의 희소 대각 행렬을 이용한 연산이 하나의 DFT 행렬을 이용하는 것보다 왜 효율적인지에 대해서 설명한다.

행렬과 벡터의 곱을 하다마드(Hadamard)곱셈과 벡터 이동으로 표현하면 다음과 같은 수학식 14와 같다.

[수학식 14]

이러한 행렬-벡터 곱셈 알고리즘은 0이 아닌 적은 수의 대각 벡터인 행렬(M)에 효과적이다. 즉,

는 작은 수(i)에 대한 비제로(non-zero) 벡터다. 이러한 행렬을 희소 대각 행렬이라 지칭한다. 희소 대각 행렬(M)은 i에 대해서

을 만족하는 경우,

을 계산할 필요가 없다. 즉, 이 과정에서의 이동 수는 대각선 수가 된다.

이에 따라, 분해된 행렬에 대한 동형 암호문에 대한 계산은 계산 복잡도를 O(log n)으로 줄일 수 있다. 분해된 행렬을 이용한 계산 과정은 도 6과 같이 수행될 수 있다. 분해된 행렬을 이용한 계산 방식에 대해서는 도 6을 참조하여 이하에서 설명한다.

도 6은 본 개시에 따른 선형 계산 동작을 설명하기 위한 도면이다.

도 6을 참조하면, 각 루프에는 두 개의 동형 회전과 3개의 상수 벡터 곱셈을 포함한다. 구체적으로, n/2에 대한 좌측 방향 회전(left rotation) 연산은 n/2에 대한 우측 방향 회전(right rotation) 연산과 동일하다. 이러한 이유로 i=1인 경우 좌측 방향 회전과 우측 방향 회전을 계산할 필요가 없다. 이에 따라, 동형 회전을 줄일 수 있으며, 그에 따라 도 6의 연산은

만큼의 동형 회전과

만큼의 상수 계산만을 포함한다.

한편, 상술한 방법으로 동형 암호문을 선형 변환하는 경우에는 복잡도가 낮아지지만, 대신에 깊이(depth)가 증가하게 된다. 따라서, 복잡도와 깊이를 적정하게 조정하기 위하여, 아래의 수학식 15와 같이 두 개의 블록 대각 행렬들을 하나로 묶을 수가 있다.

[수학식 15]

이러한 수학식 15는 기존 행렬을 아래의 수학식 16과 같이

개수만큼 분해하게 된다.

[수학식 16]

여기서 수학식 16을

을 이용하여 다시 표현하면 다음과 같다.

[수학식 17]

이와 같은 내용을 수학식 14에 반영하는 경우, 선형 변환은 다음과 같은 수학식 18과 같이 표현될 수 있다.

[수학식 18]

여기서,

이고,

이다.

이러한 연산은

만큼의 동형 회전과

은 상수 벡터 곱셈 계산이 필요하다. 이와 같은 동작을 통하여 복잡도는 앞선 방식보다 조금 증가하지만, 앞선 방식보다 낮은 깊이를 갖게 된다. 여기서 복잡도가 조금 증가한다는 것은 수학식 13과 같은 방식으로 DFT 행렬을 복수의 블록 대각 행렬로 변환하여 이용하는 방식보다 증가하다는 것이지, DFT 행렬을 그대로 이용하는 것보다는 낮은 복잡도를 갖는다.

이와 같은 선형 변환 동작은 재부팅 과정에서의 선형 변환시뿐만 아니라, 동형 암호문의 생성 과정의 인코딩 과정 등 다항식의 계수를 슬롯으로 변환할 필요가 있는 다양한 과정에 이용될 수 있다.

한편, 근사 모듈러스 연산 이후의 선형 변환은 앞서 설명한 행렬의 역행렬을 이용할 수 있으며, 역행렬 역시 아래와 같이 블록 대각 행렬로 분해하고, 분해된 복수의 블록 대각 행렬로 연산 처리 될 수 있다.

[수학식 19]

수학식 19는 아래의 수학식 20과 같은 유용한 속성을 가진 특정 형태의 행렬로 분해될 수 있다.

[수학식 20]

다르게 표현하면, n의 제수 2ⁱ에 대해서 다음과 같은 수학식으로 표현할 수 있다.

[수학식 21]

즉,

행렬 역시

와 같이 희소 대각 행렬로 분해될 수 있으며, 이는 빠른 연산을 갖게 된다.

도 7 및 도 8은 본 개시에 따른 선형 계산 동작의 효과를 설명하기 위한 도면이다. 구체적으로, 도 7은 n=2¹² 차원(dimension)에 대해서 다양한 기수(radix) 설정의 타이밍 결과이고, 도 8은 기수 4를 갖는 다양한 차수의 타이밍 결과를 나타내는 도면이다.

도 7을 참조하면, 기수(radix)가 증가하더라도 타이밍이 크게 증가하지 않음을 확인할 수 있다.

그리고 도 8을 참조하면, 차원(n)의 로그적으로 타이밍이 증가함을 확인할 수 있다. 즉, 상당히 빠르면서도 유사한 깊이(depth)로 계산을 수행함을 확인할 수 있다.

이와 같은 선형 변형을 동형 암호 연산의 각 단계에 적용한 경우의 실험 결과는 아래의 표 1과 같다.

[표 1]

표 1을 참조하면, 선형 변형 과정은 기존 방식보다 700배 정보 빠르며, 선형 변환뿐만 아니라 키 생성 과정에서도 비약적인 시간 절감이 발생함을 확인할 수 있다.

이하에서는 상술한 근사 모듈러스 연산 동작을 자세히 설명한다.

사전에 계산해야 할 타깃이 정해져 있으면 재부팅 방식의 필요성이 적을 수 있지만, 최근에 이슈가 있는 기계학습 과정에서는 학습의 과정이 언제 끝날지 모르는 상황이 많다. 따라서, 암호화된 데이터에 대한 기계 학습을 수행하는 경우에는 재부팅 방식의 성능이 매우 중요하다.

재부팅 방식을 위해서는 암호화된 상태에서 복호화 함수를 계산해야 한다. 복호화 함수는 상술한 수학식 7과 같이 표현된다. 여기서 핵심은 모듈러스 연산인 mod q를 암호화된 상태로 계산하는 것이다.

수학식 7에서 각 계수는 q라는 암호문 모듈러스 값에 비하여 매우 작다는 성질이 있음으로 이를 이용하면 모듈러스 연산은 사인 함수로 근사된다. 이러한 사인 함수는 다음과 같은 수학식 22과 같이 표현될 수 있다.

[수학식 22]

근사 모듈러스 연산을 위해서는 사인 함수를 동형암호된 상태에서 연산하기 위해서 주어진 범위 [-K, K]에서 해당 함수를 덧셈과 곱셈으로 표현하는 것이 중요하다. 즉, 동형 암호문에 대한 연산은 덧셈, 뺄셈, 곱셈만 가능해서, 사인 연산을 동형 암호문이 가능한 덧셈, 뺄샘, 곱셈으로 대체할 필요가 있다. 여기서 주어진 범위는 [-12, 12] 일 수 있으나, 환경이 변화되는 경우 다른 범위가 사용될 수도 있다.

종래에는 taylor 방식, chebyshev 방식 등을 이용하여 사인 함수에 대한 근사 방정식을 산출하여 이용하였지만, 이들 방식은 사인 함수의 입력 값이 정수점에 매우 가깝다는 특징을 이용하지 못하여 계산의 정확도가 낮거나 연산 깊이가 높다는 문제점이 있었다.

이에 따라, 본 개시에서는 상술한 특징을 고려한 근사 모듈러스 연산 방식을 이용한다.

f를

내에서 함수라 하고,

를 n+1개의 구분되는 포인트(

)에서

(또는

)를 보간하는

를 만족하는 다항식이라 하면, 에러 값은 아래의 수학식 24로 계산될 수 있다. 한편, 수학식 22는 사인 함수로 표현되었지만, 사인함수와 코사인 함수는

쉬프팅 연산만으로 변환이 가능하다. 그리고, 배각 공식(double angel formula)을 이용하여 이하에서는 아래의 수학식 23과 같은 코사인 함수에 대한 근사 방정식을 산출하는 것으로 이하에서 설명한다.

[수학식 23]

[수학식 24]

수학식 24에서

항을 정확히 추정하기 어렵지만, 함수 f가

(또는

)일 때, 상수(constant)에 의해 제한된다. 따라서, 다항식의 에러 경계는 다른 항목 즉, 아래와 같은 수학식 25에 의존하게 된다.

[수학식 25]

여기서,

는 미리 결정되며, 노드라 지칭한다. 따라서, x에 대한 특정 도메인 내의

의 최대값을 최소화하도록

를 선택할 필요가 있다.

본 개시에서는 모든 입력 값(i)

범위 내에서 각 인터벌(

)로 노드를 선택한다. 보다 정확하게 인터벌(

) 내에서

에서

를 만족하는 노드(

)를 선택한다.

이고,

함수를 n+1개의 포인트에서 근사화하는 n차수의 다항식(

)을 가정하면,

은 다음을 만족한다.

[수학식 26]

이러한 수학식 26을 아래의 수학식 27에 반영하면, 상위 경계(

)는 수학식 28와 같다.

[수학식 27]

여기서, f(x)는 특정 함수(즉, 사인 함수 또는 코사인 함수), Pn(x)는 근사 다항식이다.

[수학식 28]

여기서, 수학식 27은

의 조건을 갖는다.

수학식 28을 참조하면, 에러 경계가

인자로 감소함을 확인할 수 있으며,

표시하면, 다음과 같은 수학식 29를 얻을 수 있다.

[수학식 29]

각 정수(i)에 대해서, 각 계수(

)를 결정할 필요가 있는데, 설계된 근사 방정식의 계수를 결정하는 방식에 대해서는 도 9를 참조하여 이하에서 설명한다.

도 9는 본 개시에 따른 근사 방정식의 계수를 산출하는 방법을 설명하기 위한 도면이다.

도 9를 참조하면, 초기에 모든 I에 대해서

로 초기화된다.

그리고 각

를 찾고, 최대

를 갖는 인덱스를 찾는다. 이후에

이면,

를 1 증가시키고, 총 등급(

)이 목표 등급이 될 때까지 이러한 동작을 반복한다.

이와 같은 방식에 의하여 근사 방정식의 계수가 산출되면, 산출된 계수가 반영된 근사 방정식을 이용하여 앞서 선형 변환된 동형 암호문에 대한 근사 모듈러스 연산이 수행될 수 있다.

한편, 상술한 근사 방정식의 계수의 수, 즉 근사 방정식의 차수는 사용자의 선택에 따라 가변될 수 있는데, 바람직하게는 7차 내지 80차 중 하나의 차수가 이용되는 것이 바람직하다. 이러한 차수는 다양한 시뮬레이션 결과에 의하여 결정될 수 있는데, 상술한 차수 이외에 범위가 사용될 수도 있다.

또한, 상술한 과정에 의하여 산출된 근사 방정식은 배각 연산을 적용하여 산출되었는바, 산출된 근사 방정식에 동형 암호문을 배각 회수만큼 반복하는 연산하는 동작을 통하여 근사 모듈러스 연산을 수행할 수 있다. 여기서 배각 연산은 sin(2x)=2sin(x)cos(x)라는 성질을 이용하는 것이다.

예를 들어, 수학식 22의 q 값이 32(2^5)인 경우, y=x/32라 가정하고, Cos(2πy)에 대한 앞선 과정에서 산출된 근사 방정식을 이용한 연산을 5회 반복하면, cos(2πx/32)의 값을 얻을 수 있으며, 이를 회전 연산을 통하여 sin(2πx/32) 값을 산출할 수 있다.

이하에서는 상술한 근사 방정식을 이용한 근사 모듈러스 연산 방식의 효과를 설명한다.

도 10 및 도 11은 본 개시에 따른 근사 모듈러스 동작의 효과를 설명하기 위한 도면이다. 구체적으로, 도 10 및 도 11은 본 개시와 종래 방식 각각에 대한 코사인 함수에 대한 이론적 오차를 나타내는 그래프로, 도 10은 n=86로 고정하고,

를 변화시킨 경우의 실험 결과이고, 도 11은

를 고정하고,

를 변화시킨 경우의 실험 결과이다.

도 10 및 도 11을 참조하면, 본 개시에 따른 방식은 기존의 Chebyshev 방식보다 크게 작음을 확인할 수 있다. 또한, 기존의 우수한 성능을 갖는 Hermite 방식보다도 작음을 확인할 수 있다.

한편, 상술한 다양한 실시 예에 따른 암호문 처리 방법은 각 단계들을 수행하기 위한 프로그램 코드 형태로 구현되어, 기록 매체에 저장되고 배포될 수도 있다. 이 경우, 기록 매체가 탑재된 장치는 상술한 암호화 또는 암호문 처리 등의 동작들을 수행할 수 있다.

이러한 기록 매체는, ROM, RAM, 메모리 칩, 메모리 카드, 외장형 하드, 하드, CD, DVD, 자기 디스크 또는 자기 테이프 등과 같은 다양한 유형의 컴퓨터 판독 가능 매체가 될 수 있다.

이상 첨부 도면을 참고하여 본 개시에 대해서 설명하였지만 본 개시의 권리범위는 후술하는 특허청구범위에 의해 결정되며 전술한 실시 예 및/또는 도면에 제한되는 것으로 해석되어서는 안 된다. 그리고 특허청구범위에 기재된 개시의, 당업자에게 자명한 개량, 변경 및 수정도 본 개시의 권리범위에 포함된다는 점이 명백하게 이해되어야 한다.

100: 전자 장치 200: 제1 서버 장치
300: 제2 서버 장치 400: 연산 장치
410: 통신 장치 420: 메모리
430: 디스플레이 440: 조작 입력 장치
450: 프로세서

Claims (12)

1. 에러를 포함하는 근사 메시지에 대한 동형 암호문을 선형 변형하는 단계;
   기설정된 범위 내의 입력 값들이 정수점에 근사하도록 설정된 다차 방정식을 이용하여 상기 선형 변형된 동형 암호문을 근사 모듈러스 연산하는 단계; 및
   상기 근사 모듈러스 연산된 동형 암호문을 암호문 형태로 선형 변형하는 단계;를 포함하고,
   상기 근사 모듈러스 연산하는 단계는,
   상기 설정된 다차 방정식에 기초한 배각 회수를 설정하고, 상기 선형 변형된 동형 암호문을 상기 설정된 다차 방정식을 이용하여 상기 설정된 배각 회수만큼 연산하여 근사 모듈러스 연산을 수행하며,
   상기 동형 암호문을 선형 변형하는 단계는,
   상기 동형 암호문을 다항식 형태로 변환하는 단계;
   기정의된 행렬에 상기 변환된 동형 암호문을 적용하는 단계;를 포함하고,
   상기 기정의된 행렬은 차원이 n×n인 DFT(Discrete Fourier Transform) 행렬이며,
   상기 적용하는 단계는,
   상기 기정의된 행렬을 대각 성분에 값이 있고 나머지 값이 0인 재귀 행렬을 구성 요소로 하는 log₂n개 블록 대각 행렬로 분해하고, 상기 블록 대각 행렬에 순차적으로 상기 동형 암호문을 적용하는 동형 암호문 처리 방법.
2. 제1항에 있어서,
   상기 다차 방정식은,
   7차 내지 80 차 중 어느 하나의 차수를 갖는 방정식이고, 상기 기설정된 범위는 -12 내지 12인 동형 암호문 처리 방법.
3. 삭제
4. 삭제
5. 삭제
6. 제1항에 있어서,
   상기 적용하는 단계는,
   상기 복수의 블록 대각 행렬을 연속된 두개의 행렬 단위로 상기 동형 암호문을 적용하는 동형 암호문 처리 방법.
7. 에러를 포함하는 근사 메시지에 대한 동형 암호문을 저장하는 메모리; 및
   상기 동형 암호문에 대한 연산을 수행하는 프로세서;를 포함하며,
   상기 프로세서는,
   에러를 포함하는 근사 메시지에 대한 동형 암호문을 선형 변형하고, 기설정된 범위 내의 입력 값들이 정수점에 근사하도록 설정된 다차 방정식을 이용하여 상기 선형 변형된 동형 암호문을 근사 모듈러스 연산하고, 상기 근사 모듈러스 연산된 동형 암호문을 암호문 형태로 선형 변형하며, 상기 설정된 다차 방정식에 기초한 배각 회수를 설정하고, 상기 선형 변형된 동형 암호문을 상기 설정된 다차 방정식을 이용하여 상기 설정된 배각 회수만큼 연산하여 근사 모듈러스 연산을 수행하며,
   상기 동형 암호문을 다항식 형태로 변환하고, 기정의된 행렬에 상기 변환된 동형 암호문을 적용하여 상기 동형 암호문을 선형 변형하고, 상기 기정의된 행렬은 차원이 n×n인 DFT(Discrete Fourier Transform) 행렬이며, 상기 기정의된 행렬을 대각 성분에 값이 있고 나머지 값이 0인 재귀 행렬을 구성 요소로 하는 log₂n개 블록 대각 행렬로 분해하고, 상기 블록 대각 행렬에 순차적으로 상기 동형 암호문을 적용하여 상기 동형 암호문을 선형 변형하는 연산 장치.
8. 제7항에 있어서,
   상기 다차 방정식은,
   7차 내지 80 차 중 어느 하나의 차수를 갖는 방정식이고, 상기 기설정된 범위는 -12 내지 12인 연산 장치.
9. 삭제
10. 삭제
11. 삭제
12. 제7항에 있어서,
    상기 프로세서는,
    상기 복수의 블록 대각 행렬을 연속된 두개의 행렬 단위로 상기 동형 암호문을 적용하여 상기 동형 암호문을 선형 변형하는 연산 장치.
    

Images