KR20230144435A - 동형 암호 연산 장치 및 방법 - Google Patents

동형 암호 연산 장치 및 방법 Download PDF

Info

Publication number
KR20230144435A
KR20230144435A KR1020220073618A KR20220073618A KR20230144435A KR 20230144435 A KR20230144435 A KR 20230144435A KR 1020220073618 A KR1020220073618 A KR 1020220073618A KR 20220073618 A KR20220073618 A KR 20220073618A KR 20230144435 A KR20230144435 A KR 20230144435A
Authority
KR
South Korea
Prior art keywords
polynomial
polynomials
divided
processor
degree
Prior art date
Application number
KR1020220073618A
Other languages
English (en)
Inventor
이용우
칸 메르트 아메트
신하 로이 수조이
아이카타
권순민
Original Assignee
삼성전자주식회사
그라츠 유니버시티 오브 테크놀로지
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 삼성전자주식회사, 그라츠 유니버시티 오브 테크놀로지 filed Critical 삼성전자주식회사
Priority to CN202211385558.7A priority Critical patent/CN116894254A/zh
Priority to US18/070,846 priority patent/US20230327849A1/en
Priority to EP23152899.3A priority patent/EP4258591A1/en
Publication of KR20230144435A publication Critical patent/KR20230144435A/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/008—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving homomorphic encryption
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G06F17/11—Complex mathematical operations for solving equations, e.g. nonlinear equations, general mathematical optimization problems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2207/00—Indexing scheme relating to methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F2207/552—Indexing scheme relating to groups G06F7/552 - G06F7/5525
    • G06F2207/5523—Calculates a power, e.g. the square, of a number or a function, e.g. polynomials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/46—Secure multiparty computation, e.g. millionaire problem

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Mathematical Analysis (AREA)
  • Computational Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Operations Research (AREA)
  • Algebra (AREA)
  • Computer Security & Cryptography (AREA)
  • Databases & Information Systems (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Complex Calculations (AREA)

Abstract

동형 암호 연산 장치 및 방법이 개시된다. 동형 암호(homomorphic encryption) 연산 장치에 있어서, 일 실시예에 따른 동형 암호 연산 장치는, 동형 암호 연산을 수행하기 위한 제1 차수(degree)를 갖는 다항식에 대응하는 암호문(ciphertext)을 수신하는 수신기와, 상기 다항식을 인수분해(factorize)함으로써 상기 제1 차수를 감소시켜 제2 차수를 갖는 복수의 분할된 다항식을 생성하고, 상기 복수의 분할된 다항식을 이용하여 엘리먼트 와이즈 연산(element-wise operation)을 수행함으로써 부분 연산 결과를 생성하고, 상기 부분 연산 결과를 조인(join)함으로써 상기 암호문에 대응하는 동형 암호 연산 결과를 생성하는 프로세서를 포함한다.

Description

동형 암호 연산 장치 및 방법{APPARATUS AND METHOD OF HOMOMORPHIC ENCRYPTION OPEATION}
아래 실시예들은 동형 암호 연산 장치 및 방법에 관한 것이다.
동형 암호(homomorphic encryption)는 암호화된 데이터 사이에서 임의의 연산을 가능하게 하는 유망한 암호화 방법이다. 동형 암호를 활용하면 암호화된 데이터를 복호화하지 않고, 암호화된 상태에서 임의의 연산을 수행할 수 있을 뿐만 아니라, 격자를 기반(lattice-based)으로 하여 양자 알고리즘에 내성(resistant)이 있어 안전하다.
격자 기반 동형 암호의 파라미터는 암호문에 대응하는 다항식 차수(degree of polynomial) N과 계수 모듈러스(coefficient modulus) q를 포함한다. 파라미터는 타겟으로 하는 보안성(bit security)과 곱셈의 깊이(multiplicative depth)에 의해 결정된다. 따라서, 유연한, 다시 말해, 다양한 어플리케이션에 적용 가능한 가속기 설계를 위해서는 다양한 다항식 차수와 모듈러스를 지원해야 한다.
동형 암호의 가장중요한 파라미터 중 하나는 다항식의 차수 N이다. CKKS(Cheon, Kim, Kim and Song), BGV(Brakerski, Gentry, and. Vaikuntanathan 및 BFV(Brakerski, Fan, and Vercauteren)는 N >= 2^14의 큰 파라미터를 사용하고, FHEW(Fastest Homomorphic Encryption in the West) 및 TFHE(Fast Fully Homomorphic Encryption over the Torus)는 N<2^11의 작은 파라미터를 사용한다.
파라미터가 커지면 연산 가능한 곱셈 횟수(Level)이 늘어나는 장점이 있으나, 한 번에 처리해야 하는 데이터의 양이 많아지므로 리소스에 제한이 있는 하드웨어 가속기의 경우 큰 차수의 활용이 어렵다.
동형 암호(homomorphic encryption) 연산 장치에 있어서, 일 실시예에 따른 동형 암호 연산 장치는, 동형 암호 연산을 수행하기 위한 제1 차수(degree)를 갖는 다항식에 대응하는 암호문(ciphertext)을 수신하는 수신기와, 상기 다항식을 인수분해(factorize)함으로써 상기 제1 차수를 감소시켜 제2 차수를 갖는 복수의 분할된 다항식을 생성하고, 상기 복수의 분할된 다항식을 이용하여 엘리먼트 와이즈 연산(element-wise operation)을 수행함으로써 부분 연산 결과를 생성하고, 상기 부분 연산 결과를 조인(join)함으로써 상기 암호문에 대응하는 동형 암호 연산 결과를 생성하는 프로세서를 포함한다.
상기 복수의 분할된 다항식의 계수 모듈러스(coefficient modulus)는 1의 4N차 거듭제곱근을 가지고, N은 상기 제2 차수에 대응할 수 있다.
상기 프로세서는, 상기 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 암호문을 제1 연산기에 할당하고, 상기 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 암호문을 제2 연산기에 할당할 수 있다.
상기 프로세서는, 상기 제1 연산기 및 상기 제2 연산기가 연산 가능한 다항식의 임계 차수에 기초하여 상기 다항식을 재귀적으로 분할함으로써 상기 복수의 분할된 다항식을 생성할 수 있다.
상기 프로세서는, 상기 임계 차수보다 상기 복수의 분할된 다항식의 차수가 작아질 때까지, 상기 다항식을 재귀적으로 분할할 수 있다.
상기 프로세서는, 상기 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 제1 트위들 팩터(twiddle factor)에 기초하여 상기 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 제2 트위들 팩터를 결정할 수 있다.
상기 프로세서는, 상기 제1 트위들 팩터에 상수를 곱함으로써 상기 제2 트위들 팩터를 결정할 수 있다.
상기 프로세서는, 상기 제1 트위들 팩터 및 상기 제2 트위들 팩터에 기초하여 상기 제1 다항식 및 상기 제2 다항식에 대한 NTT(Number-Theoretic Transformation)를 수행할 수 있다.
상기 프로세서는, 상기 복수의 분할된 다항식 중에서 제1 다항식의 계수와 상기 복수의 분할된 다항식 중에서 제2 다항식의 계수를 더하거나 뺌으로써 상기 부분 연산 결과를 조인할 수 있다.
동형 암호(homomorphic encryption) 연산 방법에 있어서, 일 실시예에 따른 동형 암호 연산 방법은, 동형 암호 연산을 수행하기 위한 제1 차수(degree)를 갖는 다항식에 대응하는 암호문(ciphertext)을 수신하는 단계와, 상기 다항식을 인수분해(factorize)함으로써 상기 제1 차수를 감소시켜 제2 차수를 갖는 복수의 분할된 다항식을 생성하는 단계와, 상기 복수의 분할된 다항식을 이용하여 엘리먼트 와이즈 연산(element-wise operation)을 수행함으로써 부분 연산 결과를 생성하는 단계와, 상기 부분 연산 결과를 조인(join)함으로써 상기 암호문에 대응하는 동형 암호 연산 결과를 생성하는 단계를 포함한다.
상기 복수의 분할된 다항식의 계수 모듈러스(coefficient modulus)는 1의 4N차 거듭제곱근을 가지고, N은 상기 제2 차수에 대응할 수 있다.
상기 부분 연산 결과를 생성하는 단계는, 상기 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 암호문을 제1 연산기에 할당하는 단계와, 상기 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 암호문을 제2 연산기에 할당하는 단계를 포함할 수 있다.
상기 복수의 분할된 다항식을 생성하는 단계는, 상기 제1 연산기 및 상기 제2 연산기가 연산 가능한 다항식의 임계 차수에 기초하여 상기 다항식을 재귀적으로 분할함으로써 상기 복수의 분할된 다항식을 생성하는 단계를 포함할 수 있다.
상기 다항식을 재귀적으로 분할함으로써 상기 복수의 분할된 다항식을 생성하는 단계는, 상기 임계 차수보다 상기 복수의 분할된 다항식의 차수가 작아질 때까지, 상기 다항식을 재귀적으로 분할하는 단계를 포함할 수 있다.
상기 동형 암호 연산 방법은, 상기 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 제1 트위들 팩터(twiddle factor)에 기초하여 상기 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 제2 트위들 팩터를 결정하는 단계를 더 포함할 수 있다.
상기 제2 트위들 팩터를 결정하는 단계는, 상기 제1 트위들 팩터에 상수를 곱함으로써 상기 제2 트위들 팩터를 결정하는 단계를 포함할 수 있다.
상기 동형 암호 연산 방법은, 상기 제1 트위들 팩터 및 상기 제2 트위들 팩터에 기초하여 상기 제1 다항식 및 상기 제2 다항식에 대한 NTT(Number-Theoretic Transformation)를 수행하는 단계를 더 포함할 수 있다.
상기 동형 암호 연산 결과를 생성하는 단계는, 상기 복수의 분할된 다항식 중에서 제1 다항식의 계수와 상기 복수의 분할된 다항식 중에서 제2 다항식의 계수를 더하거나 뺌으로써 상기 부분 연산 결과를 조인하는 단계를 포함할 수 있다.
도 1은 일 실시예에 따른 동형 암호 연산 장치의 개략적인 블록도를 나타내다.
도 2는 도 1에 도시된 동형 암호 연산 장치의 동작의 일 예를 설명하기 위한 도면이다.
도 3은 도 1에 도시된 동형 암호 연산 장치의 동작의 다른 예를 설명하기 위한 도면이다.
도 4는 계수 모듈러스를 설명하기 위한 도면이다.
도 5는 트위들 팩터의 결정 과정을 설명하기 위한 도면이다.
도 6은 다항식의 분할 구조의 예를 나타낸다.
도 7은 다항식의 조인 구조의 예를 나타낸다.
도 8은 동형 곱셈 연산의 스케줄링 과정의 예를 나타낸다.
도 9는 키 스위칭 연산의 스케줄링 과정의 예를 나타낸다.
도 10은 분할된 다항식을 복수의 연산기를 이용하여 연산하는 과정을 나타낸다.
도 11은 도 1에 도시된 동형 암호 연산 장치의 동작의 흐름도를 나타낸다.
이하에서, 첨부된 도면을 참조하여 실시예들을 상세하게 설명한다. 그러나, 실시예들에는 다양한 변경이 가해질 수 있어서 특허출원의 권리 범위가 이러한 실시예들에 의해 제한되거나 한정되는 것은 아니다. 실시예들에 대한 모든 변경, 균등물 내지 대체물이 권리 범위에 포함되는 것으로 이해되어야 한다.
실시예에서 사용한 용어는 단지 설명을 목적으로 사용된 것으로, 한정하려는 의도로 해석되어서는 안된다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 명세서에서, "포함하다" 또는 "가지다" 등의 용어는 명세서 상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 실시예가 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
또한, 첨부 도면을 참조하여 설명함에 있어, 도면 부호에 관계없이 동일한 구성 요소는 동일한 참조부호를 부여하고 이에 대한 중복되는 설명은 생략하기로 한다. 실시예를 설명함에 있어서 관련된 공지 기술에 대한 구체적인 설명이 실시예의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다.
또한, 실시 예의 구성 요소를 설명하는 데 있어서, 제 1, 제 2, A, B, (a), (b) 등의 용어를 사용할 수 있다. 이러한 용어는 그 구성 요소를 다른 구성 요소와 구별하기 위한 것일 뿐, 그 용어에 의해 해당 구성 요소의 본질이나 차례 또는 순서 등이 한정되지 않는다. 어떤 구성 요소가 다른 구성요소에 "연결", "결합" 또는 "접속"된다고 기재된 경우, 그 구성 요소는 그 다른 구성요소에 직접적으로 연결되거나 접속될 수 있지만, 각 구성 요소 사이에 또 다른 구성 요소가 "연결", "결합" 또는 "접속"될 수도 있다고 이해되어야 할 것이다.
어느 하나의 실시 예에 포함된 구성요소와, 공통적인 기능을 포함하는 구성요소는, 다른 실시 예에서 동일한 명칭을 사용하여 설명하기로 한다. 반대되는 기재가 없는 이상, 어느 하나의 실시 예에 기재한 설명은 다른 실시 예에도 적용될 수 있으며, 중복되는 범위에서 구체적인 설명은 생략하기로 한다.
도 1은 일 실시예에 따른 동형 암호 연산 장치의 개략적인 블록도를 나타낸다.
도 1을 참조하면, 동형 암호 연산 장치(10)는 동형 암호를 이용한 암호화 및 복호화를 수행할 수 있다. 동형 암호 연산 장치(10)는 동형 암호 연산을 수행할 수 있다. 동형 암호 연산은 암호문에 대응하는 다항식 연산을 포함할 수 있다.
동형 암호 연산 장치(10)는 동형 암호 연산을 수행함으로써 동형 암호 연산 결과를 생성할 수 있다.
동형 암호는 데이터를 암호화한 상태에서 다양한 연산을 수행할 수 있도록 구성된 암호화 방식을 의미할 수 있다. 동형 암호에서 암호문(ciphertext)들을 이용한 연산의 결과는 새로운 암호문이 되고, 암호문을 복호화함으로써 획득된 평문(plaintext)은 암호화하기 전의 원래 데이터의 연산 결과와 동일할 수 있다.
이하에서, 암호화된 데이터(encrypted data), 암호문 및 사이퍼텍스트(ciphertext)는 동일한 대상을 지칭하는 것이다. 암호문은 다항식 또는 다항식을 포함하는 벡터의 형태를 가질 수 있다.
동형 암호 연산 장치(10)는 정수(integer)로 이루어진 평문을 암호화한 암호문 연산을 지원하는 RLWE(Ring Learning With Error) 문제 기반 동형 암호 연산을 수행할 수 있다. 동형 암호 연산 장치(10)는 실수(real number) 및/또는 복소수(complex number)로 이루어진 평문을 암호화한 암호문 연산을 지원하는 RLWE 문제 기반 근사 동형 암호 연산을 수행할 수 있다.
동형 암호 연산 장치(10)는 동형 암호를 이용하여 암호화된 상태에서 연산한 결과를 복호화함으로써 평문 상태의 데이터를 연산한 결과와 동일한 결과를 도출할 수 있다.
동형 암호 연산 장치(10)는 칩 (chip) 형태로 구현되어 동형 암호를 활용하는 하드웨어 가속기에 탑재될 수 있다. 동형 암호 연산 장치(10)는 칩 형태 또는 소프트웨어 형태로 구현되어 다양한 연산 장치의 메모리 사용을 감소시킬 수 있다. 동형 암호 연산 장치(10)는 동형 암호 연산의 연산량을 감소시킴으로써, 서버의 전체 연산량을 감소시킬 수 있다.
동형 암호 연산 장치(10)는 PC(personal computer), 데이터 서버, 또는 휴대용 장치 내에 구현될 수 있다.
휴대용 장치는 랩탑(laptop) 컴퓨터, 이동 전화기, 스마트 폰(smart phone), 태블릿(tablet) PC, 모바일 인터넷 디바이스(mobile internet device(MID)), PDA(personal digital assistant), EDA(enterprise digital assistant), 디지털 스틸 카메라(digital still camera), 디지털 비디오 카메라(digital video camera), PMP(portable multimedia player), PND(personal navigation device 또는 portable navigation device), 휴대용 게임 콘솔(handheld game console), e-북(e-book), 또는 스마트 디바이스(smart device)로 구현될 수 있다. 스마트 디바이스는 스마트 와치(smart watch), 스마트 밴드(smart band), 또는 스마트 링(smart ring)으로 구현될 수 있다.
동형 암호 연산 장치(10)는 수신기(100) 및 프로세서(200)를 포함한다. 동형 암호 연산 장치(10)는 메모리(300)를 더 포함할 수 있다.
수신기(100)는 수신 인터페이스를 포함할 수 있다. 수신기(100)는 다항식에 대응하는 암호문을 수신할 수 있다. 수신기(100)는 암호문을 프로세서(200)로 출력할 수 있다. 다항식은 임의의 차수를 가질 수 있다. 예를 들어, 다항식의 차수는 N이고 N은 자연수일 수 있다.
프로세서(200)는 메모리(300)에 저장된 데이터를 처리할 수 있다. 프로세서(200)는 메모리(300)에 저장된 컴퓨터로 읽을 수 있는 코드(예를 들어, 소프트웨어) 및 프로세서(200)에 의해 유발된 인스트럭션(instruction)들을 실행할 수 있다.
"프로세서(200)"는 목적하는 동작들(desired operations)을 실행시키기 위한 물리적인 구조를 갖는 회로를 가지는 하드웨어로 구현된 데이터 처리 장치일 수 있다. 예를 들어, 목적하는 동작들은 프로그램에 포함된 코드(code) 또는 인스트럭션들(instructions)을 포함할 수 있다.
예를 들어, 하드웨어로 구현된 데이터 처리 장치는 마이크로프로세서(microprocessor), 중앙 처리 장치(central processing unit), 프로세서 코어(processor core), 멀티-코어 프로세서(multi-core processor), 멀티프로세서(multiprocessor), ASIC(Application-Specific Integrated Circuit), FPGA(Field Programmable Gate Array)를 포함할 수 있다.
프로세서(200)는 연산기를 포함할 수 있다. 연산기는 제1 연산기 및 제2 연산기를 포함할 수 있다. 연산기는 가속기를 포함할 수 있다. 가속기는 GPU(Graphics Processing Unit), FPGA(Field Programmable Gate Array), ASIC(Application Specific Integrated Circuit) 또는 AP(Application Processor)를 포함할 수 있다. 또한, 가속기는 가상 머신(Virtual Machine)와 같이 소프트웨어 컴퓨팅 환경으로 구현될 수도 있다.
프로세서(200)는 다항식을 인수분해(factorize)함으로써 수신한 다항식의 차수인 제1 차수를 감소시켜 제2 차수를 갖는 복수의 분할된 다항식을 생성할 수 있다.
프로세서(200)는 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 암호문을 제1 연산기에 할당할 수 있다. 프로세서(200)는 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 암호문을 제2 연산기에 할당할 수 있다.
프로세서(200)는 제1 연산기 및 제2 연산기가 연산 가능한 다항식의 임계 차수에 기초하여 다항식을 재귀적으로 분할함으로써 복수의 분할된 다항식을 생성할 수 있다. 프로세서(200)는 임계 차수보다 복수의 분할된 다항식의 차수가 작아질 때까지, 다항식을 재귀적으로 분할할 수 있다.
프로세서(200)는 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 제1 트위들 팩터(twiddle factor)에 기초하여 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 제2 트위들 팩터를 결정할 수 있다.
프로세서(200)는 제1 트위들 팩터에 상수를 곱함으로써 제2 트위들 팩터를 결정할 수 있다.
프로세서(200)는 제1 트위들 팩터 및 제2 트위들 팩터에 기초하여 제1 다항식 및 제2 다항식에 대한 NTT(Number-Theoretic Transformation)를 수행할 수 있다.
복수의 분할된 다항식의 계수 모듈러스(coefficient modulus)는 1의 4N차 거듭제곱근(4N-th root of unity)을 가질 수 있다. N은 분할된 다항식의 차수인 제2 차수에 대응할 수 있다.
프로세서(200)는 복수의 분할된 다항식을 이용하여 엘리먼트 와이즈 연산(element-wise operation)을 수행함으로써 부분 연산 결과를 생성할 수 있다. 엘리먼트 와이즈 연산은 동형 곱셈, 동형 덧셈 및 동형 뺄셈 연산을 포함할 수 있다.
프로세서(200)는 부분 연산 결과를 조인(join)함으로써 암호문에 대응하는 동형 암호 연산 결과를 생성할 수 있다. 프로세서(200)는 복수의 분할된 다항식 중에서 제1 다항식의 계수와 복수의 분할된 다항식 중에서 제2 다항식의 계수를 더하거나 뺌으로써 부분 연산 결과를 조인할 수 있다.
메모리(300)는 프로세서(200)에 의해 실행가능한 인스트럭션들(또는 프로그램)을 저장할 수 있다. 예를 들어, 인스트럭션들은 프로세서(200)의 동작 및/또는 프로세서(200)의 각 구성의 동작을 실행하기 위한 인스트럭션들을 포함할 수 있다.
메모리(300)는 휘발성 메모리 장치 또는 비휘발성 메모리 장치로 구현될 수 있다.
휘발성 메모리 장치는 DRAM(dynamic random access memory), SRAM(static random access memory), T-RAM(thyristor RAM), Z-RAM(zero capacitor RAM), 또는 TTRAM(Twin Transistor RAM)으로 구현될 수 있다.
비휘발성 메모리 장치는 EEPROM(Electrically Erasable Programmable Read-Only Memory), 플래시(flash) 메모리, MRAM(Magnetic RAM), 스핀전달토크 MRAM(Spin-Transfer Torque(STT)-MRAM), Conductive Bridging RAM(CBRAM), FeRAM(Ferroelectric RAM), PRAM(Phase change RAM), 저항 메모리(Resistive RAM(RRAM)), 나노 튜브 RRAM(Nanotube RRAM), 폴리머 RAM(Polymer RAM(PoRAM)), 나노 부유 게이트 메모리(Nano Floating Gate Memory(NFGM)), 홀로그래픽 메모리(holographic memory), 분자 전자 메모리 소자(Molecular Eelectronic Memory Device), 또는 절연 저항 변화 메모리(Insulator Resistance Change Memory)로 구현될 수 있다.
도 2는 도 1에 도시된 동형 암호 연산 장치의 동작의 일 예를 설명하기 위한 도면이다.
도 2를 참조하면, 동형 암호 연산을 수행하기 위하여 다항식을 처리할 때 기본적으로 다항식 차수 N 만큼의 저장 공간(또는, 메모리 공간)과 N^2 또는 NlogN 만큼의 연산 및 이를 수행할 수 있는 연산기가 요구될 수 있다.
예를 들어, 동형 암호의 다항식 차수가 N=2^14, N=2^15, N=2^16인 경우, 상당히 큰 메모리 및 연산량이 필요할 수 있다. 따라서, 동형 암호 연산을 수행하기 위한 파라미터가 정해지면, 동형 암호 연산을 처리할 수 있는 연산기 및 가속기가 결정될 수 있다.
프로세서(예: 도 1의 프로세서(200))는 낮은 차수의 다항식만을 처리할 수 있는 연산기를 이용하여 높은 차수의 다항식을 처리할 수 있다. 예를 들어, 프로세서(200)는 N=2^14를 지원하는 연산기를 이용하여 N=2^15의 차수를 갖는 다항식을 처리할 수 있다.
구체적으로, 프로세서(200)는 높은 차수를 갖는 다항식을 분할함으로써 낮은 차수의 다항식을 생성하고, 낮은 차수의 다항식을 처리하도록 설계된 하드웨어를 사용하여 낮을 차수의 다항식을 처리할 수 있다. 예를 들어, 프로세서(200)는 2^15의 차수를 갖는 제1 다항식(210)을 분할함으로써 복수의 제2 다항식(230, 250)을 생성할 수 있다. 프로세서(200)는 복수의 제2 다항식(230, 250)의 결과를 조인함으로써 제1 다항식(210)의 연산 결과를 계산할 수 있다.
프로세서(200)는 낮은 차수의 다항식을 처리할 수 있는 연산기를 이용하여 높은 차수의 다항식을 갖는 암호문에 대한 동형 연산을 효율적으로 수행할 수 있다. 프로세서(200)는 다항식의 분할 및 조인을 통해 메모리 사용 및 연산량을 줄이고, 작은 차수에 대하여 디자인된 하드웨어를 효율적으로 사용할 수 있다.
F(X) = X^2N +1을 리덕션 다항식(reduction polynomial)으로 주어졌을 때, Z가 1의 4N 거듭제곱근(또는, 1의 4N 차 거듭제곱근)(4N-th root of unity)라고 하면, Z^2N = -1일 수 있다.
이 때, F(X) = X^2N + 1 = X^2N - Z^2N이고, 프로세서(200)는 다항식 F(X)를 (X^N - Z^N)과 (X^N + Z^N)의 두 개의 다항식으로 인수분해(factorize)할 수 있다. 다시 말해, 프로세서(200)는 F(X) = X^2N + 1 = X^2N - Z^2N = (X^N - Z^N)*(X^N + Z^N)와 같이 인수분해할 수 있다.
상술한 과정을 통해, 프로세서(200)는 2N의 차수를 갖는 다항식을 N의 차수를 갖는 다항식 두 개로 나눌 수 있다. 프로세서(200)는 상술한 인수분해 과정을 재귀적으로 수행하여 N 보다 더 작은 차수를 갖는 복수의 다항식으로 분할을 수행할 수 있다.
도 3은 도 1에 도시된 동형 암호 연산 장치의 동작의 다른 예를 설명하기 위한 도면이다.
도 3을 참조하면, 프로세서(예: 도 1의 프로세서(200))는 차수가 2N인 다항식에 대응하는 암호문(310)을 수신할 수 있다. 프로세서(200)는 차수가 2N인 다항식을 분할함으로써 차수가 N인 다항식에 대응하는 암호문(330, 350)을 생성할 수 있다.
프로세서(200)는 차수가 N인 다항식에 대응하는 암호문(330, 350)을 조인할 수 있다(370). 프로세서(200)는 조인을 통해 차수가 2N인 다항식에 대응하는 암호문을 복원할 수 있다(390).
F(X) = X^2N +1인 리덕션 다항식이 주어졌을 때, Z를 1의 4N 거듭제곱근(4N-th root of unity)이라고 하면 Z^2N = -1일 수 있다. 이 때, F(X) = X^2N + 1 = X^2N - Z^2N이라 할 수 있고, 프로세서(200)는 F(X)를 (X^N - Z^N)과 (X^N + Z^N)두 개의 다항식으로 인수분해할 수 있다.
프로세서(200)는 F(X) = X^2N + 1 = X^2N - Z^2N=(X^N - Z^N)* (X^N + Z^N)과 같이 인수분해를 수행할 수 있다. 프로세서(200)는 2N의 차수를 갖는 다항식을 N의 차수를 갖는 다항식 두 개로 나눌 수 있다. 프로세서(200)는 다항식을 두 개로 나누는 분할 과정을 재귀적으로 수행하여 더 작은 차수를 갖는 다항식 여러 개로 나눌 수도 있다.
도 4는 계수 모듈러스를 설명하기 위한 도면이다.
도 4를 참조하면, 프로세서(예: 도 1의 프로세서(200))가 다항식을 분할하기 위해서는 다항식의 계수 모듈러스(coefficient modulus)가 특정한 조건을 만족해야 할 수 있다. 예를 들어, 분할의 대상이 되는 다항식의 계수 모듈러스는 1의 4N 거듭제곱근을 가진다는 조건을 만족해야 할 수 있다.
프로세서(200)는 고차 다항식에 대한 연산을 수행하기 위해서, 적절한 계수 모듈러스를 선택할 수 있다. 예를 들어, 프로세서(200)는 도 4의 예시를 만족하는 계수 모듈러스를 선택할 수 있다.
도 5는 트위들 팩터의 결정 과정을 설명하기 위한 도면이다.
도 5를 참조하면, 프로세서(예: 도 1의 프로세서(200))는 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 제1 트위들 팩터(twiddle factor)에 기초하여 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 제2 트위들 팩터를 결정할 수 있다.
프로세서(200)는 제1 트위들 팩터에 상수를 곱함으로써 제2 트위들 팩터를 결정할 수 있다.
프로세서(200)는 제1 트위들 팩터 및 제2 트위들 팩터에 기초하여 제1 다항식 및 제2 다항식에 대한 NTT를 수행할 수 있다.
이하에서, 다항식을 두 개로 분할한 경우를 예로 트위들 팩터를 결정하는 과정을 설명하지만, 실시예에 따라, 분할된 다항식의 개수는 2 보다 많을 수 있다. 이 경우, 프로세서(200)는 하나의 트위들 팩터를 이용하여 나머지 다항식에 대응하는 트위들 팩터를 결정할 수 있다.
X^2N-1을 분할한 두 다항식 (X^N-Z^N, X^N+Z^N)에 대한 트위들 팩터는 상이할 수 있다. 따라서, 두 다항식 모두에 대한 연산을 지원하는 하드웨어 설계를 위해서는 서로 다른 트위들 팩터를 지원하는 하드웨어 구조가 요구될 수 있다.
도 5의 예시에서, W1은 제1 트위들 팩터를 의미하고, W2는 제2 트위들 팩터를 의미할 수 있다.
프로세서(200)는 두 가지 방식으로 트위들 팩터를 결정할 수 있다. 첫 번째로, 프로세서(200)는 하나의 다항식 X^N-Z^N의 트위들 팩터로부터 다른 다항식 X^N+Z^N의 트위들 팩터 유도하여 사용할 수 있다(510). 프로세서(200)는 하나의 다항식 X^N-Z^N과 다른 다항식 X^N+Z^N의 트위들 팩터 간에 상수 곱의 관계가 있음을 이용하여 연산 속도를 향상시킬 수 있다.
두 번째로, 프로세서(200)는 두 다항식 X^N-Z^N 및 X^N+Z^N에 대한 각각의 트위들 팩터를 메모리(예: 도 1의 메모리(300))에 저장하여 연산시에 이용할 수 있다(530).
상술한 방식으로, 복수의 트위들 팩터를 결정함으로써, 프로세서(200)는 두 개 이상의 다항식에 대한 NTT연산을 지원할 수 있다.
도 6은 다항식의 분할 구조의 예를 나타내고, 도 7은 다항식의 조인 구조의 예를 나타낸다.
도 6 및 도 7을 참조하면, 프로세서(예: 도 1의 프로세서(200))는 차수가 큰 다항식을 차수가 작은 다항식으로 분할할 수 있다. 프로세서(200)는 분할된 차수가 작은 다항식을 다시 하나의 큰 차수를 갖는 다항식으로 조인할 수 있다.
프로세서(200)는 수학식 1, 2를 이용하여 차수가 큰 다항식을 차수가 작은 다항식으로 분할할 수 있다.
여기서, a(X)가 2N차 다항식일 경우, ap(X)와 am(X)는 분할된 N차 다항식을 의미할 수 있다. ap(X)와 am(X)는 각각 양의 계수 및 음의 계수로 지칭될 수 있다. ai는 a(X)의 i번째 계수를 의미할 수 있다. 프로세서(200)는 수학식 1, 2를 이용하여 a(X)로부터 ap(X) 및am(X)를 생성할 수 있다.
프로세서(200)는 수학식 3을 이용하여, 분할된 다항식으로부터 높은 차수의 다항식을 복원할 수 있다.
프로세서(200)는 수학식 3을 이용하여 am(X) 및 ap(X)로부터 a(X)를 복원할 수 있다.
프로세서(200)는 쿨리-튜키(Cooley-Tukey) 및 젠틀맨-샌데 버터플라이(Gentleman-Sande butterfly) 구조를 이용하여 분할 및 조인 연산을 수행ㄹ 수 있다.
예를 들어, 프로세서(200)는 쿨리-튜키 방식을 응용하여 수학식 1, 2와 같이 주어진 a, b, w에 대해 a+b*w와 a-b*w를 계산할 수 있다. 프로세서(200)는 젠틀맨-샌데 방식을 응용하여 수학식 3과 같이 주어진 a, b, w에 대해 (a+b)*(1/2) (mod q)와 (a-b)*(w/2) (mod q)를 계산할 수 있다.
도 6의 예시에서, 프로세서(200)는 메모리(예: 도 1의 메모리(300))에 저장된 다항식의 계수들(610, 630)을 분할기(650)에 입력함으로써 덧셈, 뺄셈 또는 곱셈을 수행하여 분할된 다항식의 계수들(670, 690)을 계산할 수 있다.
도 7의 예시에서, 프로세서(200)는 메모리(예: 도 1의 메모리(300))에 저장된 분할된 다항식의 계수들(710, 730)를 조인기(joiner)(750)에 입력함으로써 덧셈, 뺄셈 또는 곱셈을 수행하여 높은 차수의 다항식의 계수들(770, 790)을 복원할 수 있다.
도 8은 동형 곱셈 연산의 스케줄링 과정의 예를 나타낸다.
도 8을 참조하면, 프로세서(예: 도 1의 프로세서(200))는 다항식의 분할 및 조인을 이용하여 동형 암호 연산 중에서 동형 곱셈 연산을 수행할 수 있다.
프로세서(200)는 2N차 다항식의 암호문의 동형 덧셈과 동형 곱셈 연산은 상술한 것과 같은 방식으로 분할된 두 개의 N차 다항식에 대한 연산으로 대체될 수 있다. 분할된 두 개의 다항식은 순서대로, 양의 성분 및 음의 성분으로 지칭될 수 있다.
프로세서(200)는 모든 양의 성분 및 음의 성분을 온 칩 메모리에 저장하고, 모든 마이너스 성분에 대한 동형 연산을 수행할 수 있다. 프로세서(200)는 양의 성분을 적절한 메모리 상의 위치로 이동시킨 뒤 양의 성분에 대한 연산을 수행할 수 있다.
프로세서(200)는 양의 성분 및 음의 성분 각각에 대한 곱셈 연산을 수행함으로써 N=2^14에 대한 동형 곱셈에 비하여 두 배의 연산을 수행할 수 있다. 이 때, 온칩 데이터의 전송은 매우 빠르게 처리될 수 있다.
양의 성분은 양의 계수를 포함하고, 음의 성분은 음의 계수르 포함할 수 있다. 프로세서(200)는 분할된 다항식 중에서 음의 계수에 대한 연산(810 내지 830)을 수행하고, 양의 계수에 대한 연산을 수행할 수 있다. 음의 계수와 양의 계수는 수학식 1, 2를 참조하여 설명한 것과 동일할 수 있다.
프로세서(200)는 d0, i 및 d2, i를 생성할 수 있다(810). 프로세서(200)는 d2, i에 대하여 INTT(Inverse Number-Theoretic Transformation)를 수행할 수 있다(820). 프로세서(200)는 d1, i를 생성할 수 있다(830).
프로세서(200)는 양의 성분(plus component)을 이동할 수 있다(840). 프로세서(200)는 양의 계수에 대하여 d0, i 및 d2, i를 생성할 수 있다(850). 프로세서(200)는 프로세서(200)는 d2, i에 대하여 INTT를 수행할 수 있다(860). 프로세서(200)는 d1, i를 생성할 수 있다(870).
도 9는 키 스위칭 연산의 스케줄링 과정의 예를 나타낸다.
도 9를 참조하면, 프로세서(예: 도 1의 프로세서(200))는 다항식의 분할 및 조인을 이용하여 동형 암호 연산 중에서 키 스위칭(key switching) 연산을 수행할 수 있다.
프로세서(200)는 재선형화(relinearization) 연산을 곱셈 연산 이후에 수행할 수 있다. 프로세서(200)는 모듈러스에 대한 변환(예: 모듈러 리덕션(modular reduction))을 수행할 수 있고, 이 연산은 브로드캐스팅(broadcasting)으로 지칭될 수 있다. 프로세서(200)는 브로드캐스팅을 위해 분할 및 조인 연산을 수행할 수 있다.
브로드캐스팅 연산은 양의 성분 및 음의 성분이 모두 필요할 수 있다. 또한, 재선형화는 키 스위칭 값을 저장하기 위해 상대적으로 많은 메모리 공간을 필요로 할 수 있다.
프로세서(200)는 재선형화를 위한 메모리 공간을 확보할 수 있다. 프로세서(200)는 곱셈 이후 일부 데이터를 온-칩 메모리로 이동시킬 수 있다. 프로세서(200)는 키 스위칭 및 모듈러 리덕션에는 필요하지 않고, 이들 연산이 끝난 이후에 필요한 값들을 온-칩 메모리로 이동시킬 수 있다.
프로세서(200)는 양의 성분을 이동시킬 수 있다(911). 프로세서(200)는 NTT 결과에 대한 조인을 수행할 수 있다(913). 프로세서(200)는 양의 성분에 대하여 브로드캐스팅을 수행할 수 있다(915). 프로세서(200)는 스왑(SWAP)을 수행할 수 있다(917).
프로세서(200)는 음의 성분에 대한 브로드캐스팅을 수행할 수 있다(919). 프로세서(200)는 분할을 수행할 수 있다(921). 프로세서(200)는 음의 성분에 대하여 NTT 연산을 수행할 수 있다(923). 프로세서(200)는 양의 성분에 대하여 NTT 연산을 수행할 수 있다(925). 프로세서(200)는 NTT 연산의 결과에 기초하여 음의 성분에 대한 키 스위칭을 수행할 수 있다(927).
프로세서(200)는 음의 성분에 대하여 브로드캐스팅을 수행할 수 있다(929). 프로세서(200)는 스왑을 수행할 수 있다(931). 프로세서(200)는 양의 성분에 대하여 브로드캐스팅을 수행할 수 있다(933). 프로세서(200)는 분할을 수행할 수 있다(935).
프로세서(200)는 음의 성분에 대하여 NTT 연산을 수행할 수 있다(937). 프로세서(200)는 양의 성분에 대한 키 스위칭을 수행할 수 있다(939). 프로세서(200)는 양의 성분에 대한 NTT 연산을 수행할 수 있다(941). 프로세서(200)는 음의 성분에 대한 키 스위칭을 수행할 수 있다(943).
프로세서(200)는 양의 성분에 대한 브로드캐스팅을 수행할 수 있다(945). 프로세서(200)는 스왑을 수행할 수 있다(947). 프로세서(200)는 음의 성분에 대한 브로드캐스팅을 수행할 수 있다(949). 프로세서(200)는 분할을 수행할 수 있다(951). 프로세서(200)는 양의 성분에 대한 키 스위칭을 수행할 수 있다(953).
프로세서(200)는 상술한 과정을 계속해서 수행함으로써 키 스위칭을 수행할 수 있다. 메모리의 일부 영역에 있는 데이터만 다른 유닛에 브로드캐스트 할 수 있는 경우가 있기 때문에 스케줄링의 수행은 중요할 수 있다. 예를 들어, 특정 하드웨어를 사용하면 메모리 위치 4(Memory Location 4)에 있는 데이터만 다른 RPAU (Residue Polynomial Arithmetic Unit)으로 브로드캐스트할 수 있는 경우가 있을 수 있다.
프로세서(200)는 양의 성분과 음의 성분을 조인한뒤, 2^15 차수의 다항식을 다른 RPAU로 브로드캐스트 할 수 있다. 프로세서(200)는 첫 번째 성분(예: 음의 성분)을 브로드캐스트 한뒤 양의 성분과 음의 성분을 스왑할 수 있다.
도 10은 분할된 다항식을 복수의 연산기를 이용하여 연산하는 과정을 나타낸다.
프로세서(예: 도 1의 프로세서(200))는 다항식을 인수분해(factorize)함으로써 수신한 다항식의 차수인 제1 차수를 감소시켜 제2 차수를 갖는 복수의 분할된 다항식을 생성할 수 있다.
프로세서(200)는 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 암호문을 제1 연산기에 할당할 수 있다. 프로세서(200)는 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 암호문을 제2 연산기에 할당할 수 있다. 제1 연산기 및 제2 연산기는 가속기로 구현될 수 있다.
프로세서(200)는 제1 연산기 및 제2 연산기가 연산 가능한 다항식의 임계 차수에 기초하여 다항식을 재귀적으로 분할함으로써 복수의 분할된 다항식을 생성할 수 있다. 프로세서(200)는 임계 차수보다 복수의 분할된 다항식의 차수가 작아질 때까지, 다항식을 재귀적으로 분할할 수 있다.
도 10의 예시에 따르면, 프로세서(200)는 차수가 2N인 다항식에 대응하는 암호문을 수신하여, 다항식을 분할할 수 있다(1010). 프로세서(200)는 차수가 N인 다항식에 대응하는 하나의 암호문을 생성하여 제1 연산기에 할당할 수 있다(1030). 프로세서(200)는 차수가 N인 다항식에 대응하는 다른 암호문을 생성하여 제2 연산기에 할당할 수 있다(1050).
응용(application)이 요구하는 다항식 차수가 N 일 때, 다항식 차수 N(또는, 그 이하)을 지원하는 동형 암호 연산기를 병렬로 가지고 있는 장치에서, 프로세서(200)는 N차 다항식을 그 이하의 다항식으로 분할하고, 분할된 다항식을 병렬로 처리할 수 있다.
프로세서(200)는 분할된 다항식을 병렬로 처리한 후, 조인하여 전체 N차 다항식을 처리할 수 있다. 이를 통해, 프로세서(200)는 동형 암호 연산의 성능은 병렬 연산기의 개수(예를 들어, 2의 배수) 만큼 증가시킬 수 있다.
도 11은 도 1에 도시된 동형 암호 연산 장치의 동작의 흐름도를 나타낸다.
수신기(예: 도 1의 수신기(100))는 다항식에 대응하는 암호문을 수신할 수 있다. 수신기(100)는 동형 암호 연산을 수행하기 위한 제1 차수를 갖는 다항식에 대응하는 암호문을 수신할 수 있다(1110).
프로세서(예: 도 1의 프로세서(200))는 다항식을 인수분해함으로써 수신한 다항식의 차수인 제1 차수를 감소시켜 제2 차수를 갖는 복수의 분할된 다항식을 생성할 수 있다(1130).
프로세서(200)는 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 암호문을 제1 연산기에 할당할 수 있다. 프로세서(200)는 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 암호문을 제2 연산기에 할당할 수 있다.
프로세서(200)는 제1 연산기 및 제2 연산기가 연산 가능한 다항식의 임계 차수에 기초하여 다항식을 재귀적으로 분할함으로써 복수의 분할된 다항식을 생성할 수 있다. 프로세서(200)는 임계 차수보다 복수의 분할된 다항식의 차수가 작아질 때까지, 다항식을 재귀적으로 분할할 수 있다.
프로세서(200)는 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 제1 트위들 팩터에 기초하여 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 제2 트위들 팩터를 결정할 수 있다.
프로세서(200)는 제1 트위들 팩터에 상수를 곱함으로써 제2 트위들 팩터를 결정할 수 있다.
프로세서(200)는 제1 트위들 팩터 및 제2 트위들 팩터에 기초하여 제1 다항식 및 제2 다항식에 대한 NTT를 수행할 수 있다.
복수의 분할된 다항식의 계수 모듈러스는 1의 4N차 거듭제곱근을 가질 수 있다. N은 분할된 다항식의 차수인 제2 차수에 대응할 수 있다.
프로세서(200)는 복수의 분할된 다항식을 이용하여 엘리먼트 와이즈 연산을 수행함으로써 부분 연산 결과를 생성할 수 있다(1150).
프로세서(200)는 부분 연산 결과를 조인(join)함으로써 암호문에 대응하는 동형 암호 연산 결과를 생성할 수 있다(1170). 프로세서(200)는 복수의 분할된 다항식 중에서 제1 다항식의 계수와 복수의 분할된 다항식 중에서 제2 다항식의 계수를 더하거나 뺌으로써 부분 연산 결과를 조인할 수 있다.
실시예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 실시예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 실시예의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
소프트웨어는 컴퓨터 프로그램(computer program), 코드(code), 명령(instruction), 또는 이들 중 하나 이상의 조합을 포함할 수 있으며, 원하는 대로 동작하도록 처리 장치를 구성하거나 독립적으로 또는 결합적으로(collectively) 처리 장치를 명령할 수 있다. 소프트웨어 및/또는 데이터는, 처리 장치에 의하여 해석되거나 처리 장치에 명령 또는 데이터를 제공하기 위하여, 어떤 유형의 기계, 구성요소(component), 물리적 장치, 가상 장치(virtual equipment), 컴퓨터 저장 매체 또는 장치, 또는 전송되는 신호 파(signal wave)에 영구적으로, 또는 일시적으로 구체화(embody)될 수 있다. 소프트웨어는 네트워크로 연결된 컴퓨터 시스템 상에 분산되어서, 분산된 방법으로 저장되거나 실행될 수도 있다. 소프트웨어 및 데이터는 하나 이상의 컴퓨터 판독 가능 기록 매체에 저장될 수 있다.
이상과 같이 실시예들이 비록 한정된 도면에 의해 설명되었으나, 해당 기술분야에서 통상의 지식을 가진 자라면 상기를 기초로 다양한 기술적 수정 및 변형을 적용할 수 있다. 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다.
그러므로, 다른 구현들, 다른 실시예들 및 특허청구범위와 균등한 것들도 후술하는 청구범위의 범위에 속한다.

Claims (19)

  1. 동형 암호(homomorphic encryption) 연산 장치에 있어서,
    동형 암호 연산을 수행하기 위한 제1 차수(degree)를 갖는 다항식에 대응하는 암호문(ciphertext)을 수신하는 수신기; 및
    상기 다항식을 인수분해(factorize)함으로써 상기 제1 차수를 감소시켜 제2 차수를 갖는 복수의 분할된 다항식을 생성하고,
    상기 복수의 분할된 다항식을 이용하여 엘리먼트 와이즈 연산(element-wise operation)을 수행함으로써 부분 연산 결과를 생성하고,
    상기 부분 연산 결과를 조인(join)함으로써 상기 암호문에 대응하는 동형 암호 연산 결과를 생성하는 프로세서
    를 포함하는 동형 암호 연산 장치.
  2. 제1항에 있어서,
    상기 복수의 분할된 다항식의 계수 모듈러스(coefficient modulus)는 1의 4N차 거듭제곱근을 가지고,
    N은 상기 제2 차수에 대응하는,
    동형 암호 연산 장치.
  3. 제1항에 있어서,
    상기 프로세서는,
    상기 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 암호문을 제1 연산기에 할당하고,
    상기 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 암호문을 제2 연산기에 할당하는,
    동형 암호 연산 장치.
  4. 제3항에 있어서,
    상기 프로세서는,
    상기 제1 연산기 및 상기 제2 연산기가 연산 가능한 다항식의 임계 차수에 기초하여 상기 다항식을 재귀적으로 분할함으로써 상기 복수의 분할된 다항식을 생성하는,
    동형 암호 연산 장치.
  5. 제4항에 있어서,
    상기 프로세서는,
    상기 임계 차수보다 상기 복수의 분할된 다항식의 차수가 작아질 때까지, 상기 다항식을 재귀적으로 분할하는,
    동형 암호 연산 장치.
  6. 제1항에 있어서,
    상기 프로세서는,
    상기 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 제1 트위들 팩터(twiddle factor)에 기초하여 상기 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 제2 트위들 팩터를 결정하는,
    동형 암호 연산 장치.
  7. 제6항에 있어서,
    상기 프로세서는,
    상기 제1 트위들 팩터에 상수를 곱함으로써 상기 제2 트위들 팩터를 결정하는,
    동형 암호 연산 장치.
  8. 제6항에 있어서,
    상기 프로세서는,
    상기 제1 트위들 팩터 및 상기 제2 트위들 팩터에 기초하여 상기 제1 다항식 및 상기 제2 다항식에 대한 NTT(Number-Theoretic Transformation)를 수행하는,
    동형 암호 연산 장치.
  9. 제1항에 있어서,
    상기 프로세서는,
    상기 복수의 분할된 다항식 중에서 제1 다항식의 계수와 상기 복수의 분할된 다항식 중에서 제2 다항식의 계수를 더하거나 뺌으로써 상기 부분 연산 결과를 조인하는,
    동형 암호 연산 장치.
  10. 동형 암호(homomorphic encryption) 연산 방법에 있어서,
    동형 암호 연산을 수행하기 위한 제1 차수(degree)를 갖는 다항식에 대응하는 암호문(ciphertext)을 수신하는 단계;
    상기 다항식을 인수분해(factorize)함으로써 상기 제1 차수를 감소시켜 제2 차수를 갖는 복수의 분할된 다항식을 생성하는 단계;
    상기 복수의 분할된 다항식을 이용하여 엘리먼트 와이즈 연산(element-wise operation)을 수행함으로써 부분 연산 결과를 생성하는 단계; 및
    상기 부분 연산 결과를 조인(join)함으로써 상기 암호문에 대응하는 동형 암호 연산 결과를 생성하는 단계
    를 포함하는 동형 암호 연산 방법.
  11. 제10항에 있어서,
    상기 복수의 분할된 다항식의 계수 모듈러스(coefficient modulus)는 1의 4N차 거듭제곱근을 가지고,
    N은 상기 제2 차수에 대응하는,
    동형 암호 연산 방법.
  12. 제10항에 있어서,
    상기 부분 연산 결과를 생성하는 단계는,
    상기 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 암호문을 제1 연산기에 할당하는 단계; 및
    상기 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 암호문을 제2 연산기에 할당하는 단계
    를 포함하는 동형 암호 연산 방법.
  13. 제12항에 있어서,
    상기 복수의 분할된 다항식을 생성하는 단계는,
    상기 제1 연산기 및 상기 제2 연산기가 연산 가능한 다항식의 임계 차수에 기초하여 상기 다항식을 재귀적으로 분할함으로써 상기 복수의 분할된 다항식을 생성하는 단계
    를 포함하는 동형 암호 연산 방법.
  14. 제13항에 있어서,
    상기 다항식을 재귀적으로 분할함으로써 상기 복수의 분할된 다항식을 생성하는 단계는,
    상기 임계 차수보다 상기 복수의 분할된 다항식의 차수가 작아질 때까지, 상기 다항식을 재귀적으로 분할하는 단계
    를 포함하는 동형 암호 연산 방법.
  15. 제10항에 있어서,
    상기 복수의 분할된 다항식 중에서 제1 다항식에 대응하는 제1 트위들 팩터(twiddle factor)에 기초하여 상기 복수의 분할된 다항식 중에서 제2 다항식에 대응하는 제2 트위들 팩터를 결정하는 단계
    를 더 포함하는 동형 암호 연산 방법.
  16. 제15항에 있어서,
    상기 제2 트위들 팩터를 결정하는 단계는,
    상기 제1 트위들 팩터에 상수를 곱함으로써 상기 제2 트위들 팩터를 결정하는 단계
    를 포함하는 동형 암호 연산 방법.
  17. 제15항에 있어서,
    상기 제1 트위들 팩터 및 상기 제2 트위들 팩터에 기초하여 상기 제1 다항식 및 상기 제2 다항식에 대한 NTT(Number-Theoretic Transformation)를 수행하는 단계
    를 더 포함하는 동형 암호 연산 방법.
  18. 제10항에 있어서,
    상기 동형 암호 연산 결과를 생성하는 단계는,
    상기 복수의 분할된 다항식 중에서 제1 다항식의 계수와 상기 복수의 분할된 다항식 중에서 제2 다항식의 계수를 더하거나 뺌으로써 상기 부분 연산 결과를 조인하는 단계
    를 포함하는 동형 암호 연산 방법.
  19. 하드웨어와 결합되어 제11항 내지 제18항 중에서 어느 한 항의 방법을 실행시키기 위하여 컴퓨터 판독 가능한 기록매체에 저장된 컴퓨터 프로그램.
KR1020220073618A 2022-04-07 2022-06-16 동형 암호 연산 장치 및 방법 KR20230144435A (ko)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN202211385558.7A CN116894254A (zh) 2022-04-07 2022-11-07 使用同态加密运算的装置和方法
US18/070,846 US20230327849A1 (en) 2022-04-07 2022-11-29 Apparatus and method with homomorphic encryption operation
EP23152899.3A EP4258591A1 (en) 2022-04-07 2023-01-23 Apparatus and method with homomorphic encryption operation

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020220043521 2022-04-07
KR20220043521 2022-04-07

Publications (1)

Publication Number Publication Date
KR20230144435A true KR20230144435A (ko) 2023-10-16

Family

ID=88506367

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020220073618A KR20230144435A (ko) 2022-04-07 2022-06-16 동형 암호 연산 장치 및 방법

Country Status (1)

Country Link
KR (1) KR20230144435A (ko)

Similar Documents

Publication Publication Date Title
Roy et al. Compact ring-LWE cryptoprocessor
US9450603B2 (en) Compression of integer data using a common divisor
Cao et al. High-speed fully homomorphic encryption over the integers
Doröz et al. Accelerating LTV based homomorphic encryption in reconfigurable hardware
Savvides et al. Efficient confidentiality-preserving data analytics over symmetrically encrypted datasets
Ye et al. Low-complexity VLSI design of large integer multipliers for fully homomorphic encryption
US20220027432A1 (en) System, method and computer program product for dense/sparse linear system solver accelerator
Akleylek et al. On the efficiency of polynomial multiplication for lattice-based cryptography on GPUs using CUDA
Alkım et al. Compact and simple RLWE based key encapsulation mechanism
Lee et al. Parallel implementation of Nussbaumer algorithm and number theoretic transform on a GPU platform: application to qTESLA
US10521359B2 (en) Secure distance computations
Takeshita et al. Algorithmic acceleration of b/fv-like somewhat homomorphic encryption for compute-enabled ram
Sasdrich et al. Exploring RFC 7748 for hardware implementation: Curve25519 and Curve448 with side-channel protection
Tan et al. An ultra-highly parallel polynomial multiplier for the bootstrapping algorithm in a fully homomorphic encryption scheme
Wan et al. TESLAC: accelerating lattice-based cryptography with AI accelerator
Sze Schönhage-strassen algorithm with mapreduce for multiplying terabit integers
Roy et al. Compact ring-lwe based cryptoprocessor
US20230246807A1 (en) Apparatus and method with homomorphic encryption using automorphism
KR20230144435A (ko) 동형 암호 연산 장치 및 방법
KR20230078510A (ko) 동형 암호 연산 장치 및 방법
Łaba Recent progress on Favard length estimates for planar Cantor sets
JP7133728B2 (ja) プライベートグループにおけるべき乗演算のアウトソーシング
KR20230078131A (ko) 반복 배열 ntt를 이용한 동형 암호 연산 장치 및 방법
US20230327849A1 (en) Apparatus and method with homomorphic encryption operation
Li et al. An area-efficient large integer NTT-multiplier using discrete twiddle factor approach