KR20240000079A

KR20240000079A - 동형 암호문을 처리하는 장치 및 방법

Info

Publication number: KR20240000079A
Application number: KR1020220076578A
Authority: KR
Inventors: 신준범; 이영기
Original assignee: 주식회사 크립토랩
Priority date: 2022-06-23
Filing date: 2022-06-23
Publication date: 2024-01-02
Also published as: US20230421352A1

Abstract

암호문 처리 방법이 개시된다. 본 암호문 처리 방법은 수치형 데이터에 대해서 지수 데이터 및 가수 데이터를 확인하는 단계, 가수 데이터를 동형 암호화하는 단계, 및 암호화된 가수 데이터 및 지수 데이터를 병합하여 동형 암호문을 생성하는 단계를 포함한다.

Description

동형 암호문을 처리하는 장치 및 방법{APPARATUS FOR PROCESSING HOMO ENCRYPTED MESSAGES AND METHOD FOR THEREOF}

본 개시는 동형 암호문에 대한 연산을 수행하는 장치 및 방법에 관한 것으로, 구체적으로, 수치형 데이터를 부동소수점 방식의 동형 암호문으로 저장할 수 있는 장치 및 방법에 대한 것이다.

통신 기술이 발달하고, 전자 장치의 보급이 활발해짐에 따라, 전자 장치 간의 통신 보안을 유지하기 위한 노력이 지속적으로 이루어지고 있다. 이에 따라, 대부분의 통신 환경에서는 암호화/복호화 기술이 사용되고 있다.

암호화 기술에 의해 암호화된 메시지가 상대방에게 전달되면, 상대방은 메시지를 이용하기 위해서는 복호화를 수행하여야 한다. 이 경우, 상대방은 암호화된 데이터를 복호화하는 과정에서 자원 및 시간 낭비가 발생하게 된다. 또한, 상대방이 연산을 위해 일시적으로 메시지를 복호화한 상태에서 제3자의 해킹이 이루어지는 경우, 그 메시지가 제3자에게 손쉽게 유출될 수 있다는 문제점도 있었다.

이러한 문제를 해결하기 위하여 동형 암호화 방법이 연구되고 있다. 동형 암호화(homomorphic encryption)에 따르면, 암호화된 정보를 복호화하지 않고 암호문 자체에서 연산을 하더라도, 평문에 대해 연산한 후 암호화한 값과 동일한 결과를 얻을 수 있다. 따라서, 암호문을 복호화하지 않은 상태에서 각종 연산을 수행할 수 있다.

한편, 기존의 동형 암호문은 수치형 데이터에 대해서 수치값 그대로 암호화하였다. 즉, 기존의 동형 암호문은 고정 소수점 방식으로 데이터를 처리하였다. 그러나 복수의 동형 암호문 간의 데이터 범위가 매우 넓은 경우, 상대적으로 큰 데이터나 작은 데이터를 동시에 관리하기 어려운 문제점이 있었다.

따라서 본 개시는 상술한 바와 같은 문제점을 해결하기 위한 고안된 것으로, 수치형 데이터를 부동소수점 방식의 동형 암호문으로 저장하여 연산을 수행할 수 있는 장치 및 방법을 제공하는 데 있다.

본 개시는 이상과 같은 목적을 달성하기 위한 것으로, 본 개시의 일 실시 예에 따른 암호문 처리방법은 수치형 데이터에 대해서 지수 데이터 및 가수 데이터를 확인하는 단계, 상기 가수 데이터를 동형 암호화하는 단계, 및 상기 암호화된 가수 데이터 및 상기 지수 데이터를 병합하여 동형 암호문을 생성하는 단계를 포함한다.

이 경우, 상기 확인하는 단계는, 기설정된 지수 값을 기준으로 상기 수치형 데이터에 대한 지수 값 및 가수 값을 산출하고, 상기 동형 암호화하는 단계는, 상기 가수 값을 동형 암호화할 수 있다.

이 경우, 본 암호문 처리 방법은 상기 지수 데이터를 동형 암호화하는 단계를 더 포함하고, 상기 동형 암호문을 생성하는 단계는, 상기 암호화된 가수 데이터 및 상기 암호화된 지수 데이터를 병합하여 동형 암호문을 생성할 수 있다.

한편, 상기 동형 암호문을 생성하는 단계는, 동형 암호문의 실수 영역에 상기 암호화된 가수 데이터를 위치시키고, 상기 동형 암호문의 허수 영역에 상기 암호화된 지수 데이터를 위치시켜 동형 암호문을 생성할 수 있다.

한편, 본 암호문 처리 방법은 상기 동형 암호문 내의 암호화된 가수 데이터와 지수 데이터를 이용하여 고정 소수점 데이터 형식의 동형 암호문을 생성하는 단계를 더 포함할 수 있다.

한편, 본 암호문 처리 방법은 상기 동형 암호문과 동일한 평문 수치 값을 가지며, 다른 크기의 지수 값을 갖는 제2 동형 암호문을 생성하는 단계를 더 포함할 수 있다.

한편, 본 암호문 처리 방법은 복수의 동형 암호문 간의 연산을 수행하는 단계를 포함하고, 상기 연산을 수행하는 단계는, 상기 복수의 동형 암호문들이 동일한 지수 값을 갖도록 상기 복수의 동형 암호문 중 적어도 하나에 대해서 지수 값을 스케일링 처리하고, 동일한 지수 값을 갖는 동형 암호문 간에 연산을 수행할 수 있다.

한편, 본 개시의 일 실시 예에 따른 연산 장치는 수치형 데이터를 저장하는 메모리, 및 상기 수치형 데이터에 대한 동형 암호문을 생성하는 프로세서를 포함하며, 상기 프로세서는, 수치형 데이터에 대해서 지수 데이터 및 가수 데이터를 확인하고, 상기 확인된 가수 데이터를 동형 암호화하고, 상기 암호화된 가수 데이터 및 상기 지수 데이터를 병합하여 동형 암호문을 생성할 수 있다.

한편, 상기 프로세서는, 기설정된 지수 값을 기준으로 상기 수치형 데이터에 대한 지수 값 및 가수 값을 산출하고, 상기 가수 값을 동형 암호화할 수 있다.

한편, 상기 프로세서는, 상기 지수 데이터를 동형 암호화하고, 상기 암호화된 가수 데이터 및 상기 암호화된 지수 데이터를 병합하여 동형 암호문을 생성할 수 있다.

이 경우, 상기 프로세서는, 동형 암호문의 실수 영역에 상기 암호화된 가수 데이터를 위치시키고, 상기 동형 암호문의 허수 영역에 상기 암호화된 지수 데이터를 위치시켜 동형 암호문을 생성할 수 있다.

한편, 상기 프로세서는, 상기 동형 암호문 내의 암호화된 가수 데이터와 지수 데이터를 이용하여 고정 소수점 데이터 형식의 동형 암호문을 생성할 수 있다.

한편, 상기 프로세서는, 상기 동형 암호문과 동일한 평문 수치 값을 가지며, 다른 크기의 지수 값을 가질 수 있다.

한편, 상기 프로세서는, 복수의 동형 암호문 간의 연산 명령이 요청되면, 상기 복수의 동형 암호문들이 동일한 지수 값을 갖도록 상기 복수의 동형 암호문 중 적어도 하나에 대해서 지수 값을 스케일링 처리하고, 동일한 지수 값을 갖는 동형 암호문 간에 연산을 수행할 수 있다.

따라서 본 개시는 상술한 바와 같은 문제점을 해결하기 위한 고안된 것으로, 동형 암호문을 부동 소수점 방식으로 저장하는바, 연산 과정에서 정밀도가 가변되는 것을 방지할 수 있다.

도 1은 본 개시의 일 실시 예에 따른 네트워크 시스템의 구조를 설명하기 위한 도면,
도 2는 본 개시의 일 실시 예에 따른 연산 장치의 구성을 나타낸 블럭도,
도 3은 동형 암호문에 대한 연산 동작을 설명하기 위한 도면,
도 4는 본 개시의 제1 실시 예에 따른 실수 데이터에 대한 동형 암호문의 생성 방법을 설명하기 위한 도면,
도 5는 본 개시의 제2 실시 예에 따른 실수 데이터에 대한 동형 암호문의 생성 방법을 설명하기 위한 도면,
도 6은 종래의 방식과 본 실시 예에 따른 동형 암호문의 차이점을 설명하기 위한 도면,
도 7은 본 개시에 따라 생성된 동형 암호문의 제1 연산 동작을 설명하기 위한 도면,
도 8은 본 개시에 따라 생성된 동형 암호문의 제2 연산 동작을 설명하기 위한 도면,
도 9는 본 개시에 따라 생성된 동형 암호문의 제2 연산 동작을 설명하기 위한 도면,
도 10은 본 개시에 따라 생성된 동형 암호문의 제2 연산 동작을 설명하기 위한 도면,
도 11은 본 개시의 일 실시 예에 따른 동형 암호문의 생성 방법을 설명하기 위한 흐름도,
도 12는 본 개시의 일 실시 예에 따른 동형 암호문의 처리 방법을 설명하기 위한 흐름도이다.

이하에서는 첨부 도면을 참조하여 본 개시에 대해서 자세하게 설명한다. 본 개시에서 수행되는 정보(데이터) 전송 과정은 필요에 따라서 암호화/복호화가 적용될 수 있으며, 본 개시 및 특허청구범위에서 정보(데이터) 전송 과정을 설명하는 표현은 별도로 언급되지 않더라도 모두 암호화/복호화하는 경우도 포함하는 것으로 해석되어야 한다. 본 개시에서 "A로부터 B로 전송(전달)" 또는 "A가 B로부터 수신"과 같은 형태의 표현은 중간에 다른 매개체가 포함되어 전송(전달) 또는 수신되는 것도 포함하며, 반드시 A로부터 B까지 직접 전송(전달) 또는 수신되는 것만을 표현하는 것은 아니다.

본 개시의 설명에 있어서 각 단계의 순서는 선행 단계가 논리적 및 시간적으로 반드시 후행 단계에 앞서서 수행되어야 하는 경우가 아니라면 각 단계의 순서는 비제한적으로 이해되어야 한다. 즉, 위와 같은 예외적인 경우를 제외하고는 후행 단계로 설명된 과정이 선행단계로 설명된 과정보다 앞서서 수행되더라도 개시의 본질에는 영향이 없으며 권리범위 역시 단계의 순서에 관계없이 정의되어야 한다. 그리고 본 명세서에서 "A 또는 B"라고 기재한 것은 A와 B 중 어느 하나를 선택적으로 가리키는 것뿐만 아니라 A와 B 모두를 포함하는 것도 의미하는 것으로 정의된다. 또한, 본 개시에서 "포함"이라는 용어는 포함하는 것으로 나열된 요소 이외에 추가로 다른 구성요소를 더 포함하는 것도 포괄하는 의미를 가진다.

본 개시에서는 본 개시의 설명에 필요한 필수적인 구성요소만을 설명하며, 본 개시의 본질과 관계가 없는 구성요소는 언급하지 아니한다. 그리고 언급되는 구성요소만을 포함하는 배타적인 의미로 해석되어서는 안 되며 다른 구성요소도 포함할 수 있는 비배타적인 의미로 해석되어야 한다.

그리고 본 개시에서 "값"이라 함은 스칼라값뿐만 아니라 벡터도 포함하는 개념으로 정의된다. 그리고 본 개시에서 '산출한다', '계산한다' 등의 표현은 해당 산출 또는 계산의 결과물을 생성한다는 표현으로 대체될 수 있다. 또한, 동형 암호문에 처리를 수행하여, 동형 암호문을 '처리한다', '변경한다', 등의 표현은 해당 처리 결과에 대응되는 동형 암호문을 생성한다라는 표현으로 대체될 수 있다.

또한, 별도의 언급이 없다면, 후술하는 암호문에 대한 연산은 동형 연산을 의미한다. 예를 들어, 동형 암호문에 대한 덧셈은 두 동형 암호문에 대한 동형 덧셈을 의미한다.

후술하는 본 개시의 각 단계의 수학적 연산 및 산출은 해당 연산 또는 산출을 하기 위해 공지되어 있는 코딩 방법 및/또는 본 개시에 적합하게 고안된 코딩에 의해서 컴퓨터 연산으로 구현될 수 있다.

이하에서 설명하는 구체적인 수학식은 가능한 여러 대안 중에서 예시적으로 설명되는 것이며, 본 개시의 권리 범위가 본 개시에 언급된 수학식에 제한되는 것으로 해석되어서는 아니된다.

설명의 편의를 위해서, 본 개시에서는 다음과 같이 표기를 정하기로 한다.

a ← D : 분포(D)에 따라서 원소(a)를 선택함

s1, s2 ∈ R : S1, S2 : S1, S2 각각은 R 집합에 속하는 원소이다.

mod(q) : q 원소로 모듈(modular) 연산

: 내부 값을 반올림함

이하에서는 첨부된 도면을 이용하여 본 개시의 다양한 실시 예들에 대하여 구체적으로 설명한다.

도 1은 본 개시의 일 실시 예에 따른 네트워크 시스템의 구조를 설명하기 위한 도면이다.

도 1을 참조하면, 네트워크 시스템은 복수의 전자 장치(100-1 ~ 100-n), 제1 서버 장치(200), 제2 서버 장치(300)를 포함할 수 있으며, 각 구성들은 네트워크(10)를 통해 서로 연결될 수 있다.

네트워크(10)는 다양한 형태의 유무선 통신 네트워크, 방송 통신 네트워크, 광통신 네트워크, 클라우드 네트워크 등으로 구현될 수 있으며, 각 장치들은 별도의 매개체 없이 와이파이, 블루투스, NFC(Near Field Communication) 등과 같은 방식으로 연결될 수도 있다.

도 1에서는 전자 장치가 복수 개(100-1 ~ 100-n)인 것으로 도시하였으나, 반드시 복수 개의 전자 장치가 사용되어야 하는 것은 아니며 하나의 장치가 사용될 수도 있다. 일 예로, 전자 장치(100-1 ~ 100-n)는 스마트폰, 태블릿, 게임 플레이어, PC, 랩톱 PC, 홈서버, 키오스크 등과 같은 다양한 형태의 장치로 구현될 수 있으며, 이밖에 IoT 기능이 적용된 가전 제품 형태로도 구현될 수 있다.

사용자는 자신이 사용하는 전자 장치(100-1 ~ 100-n)를 통해서 다양한 정보를 입력할 수 있다. 입력된 정보는 전자 장치(100-1 ~ 100-n) 자체에 저장될 수도 있지만, 저장 용량 및 보안 등을 이유로 외부 장치로 전송되어 저장될 수도 있다. 도 1에서 제1 서버 장치(200)는 이러한 정보들을 저장하는 역할을 수행하고, 제2 서버 장치(300)는 제1 서버 장치(200)에 저장된 정보의 일부 또는 전부를 이용하는 역할을 수행할 수 있다.

각 전자 장치(100-1 ~ 100-n)는 입력된 정보를 동형 암호화하여, 동형 암호문을 제1 서버 장치(200)로 전송할 수 있다.

각 전자 장치(100-1 ~ 100-n)는 동형 암호화를 수행하는 과정에서 산출되는 암호화 노이즈, 즉, 에러를 암호문에 포함시킬 수 있다. 구체적으로는, 각 전자 장치(100-1 ~ 100-n)에서 생성하는 동형 암호문은, 추후에 비밀 키를 이용하여 복호화하였을 때 메시지 및 에러 값을 포함하는 결과 값이 복원되는 형태로 생성될 수 있다.

일 예로, 전자 장치(100-1 ~ 100-n)에서 생성하는 동형 암호문은 비밀 키를 이용하여 복호화 하였을 때 다음과 같은 성질을 만족하는 형태로 생성될 수 있다.

[수학식 1]

Dec(ct, sk) = <ct, sk> = M+e(mod q)

여기서 < , >는 내적 연산(usual inner product), ct는 암호문, sk는 비밀 키, M은 평문 메시지, e는 암호화 에러 값, mod q는 암호문의 모듈러스(Modulus)를 의미한다. q는 스케일링 팩터(scaling factor)(Δ)가 메시지에 곱해진 결과 값 M보다 크게 선택되어야 한다. 에러 값 e의 절대값이 M에 비해서 충분히 작다면, 암호문의 복호화 값 M+e 는 유효숫자연산에서 원래의 메시지를 동일한 정밀도로 대체할 수 있는 값이다. 복호화된 데이터 중에서 에러는 최하위 비트(LSB) 측에 배치되고, M은 차하위 비트 측에 배치될 수 있다.

메시지의 크기가 너무 작거나 너무 큰 경우, 스케일링 팩터를 이용하여 그 크기를 조절할 수도 있다. 스케일링 팩터를 사용하게 되면, 정수 형태의 메시지뿐만 아니라 실수 형태의 메시지까지도 암호화할 수 있게 되므로, 활용성이 크게 증대할 수 있다. 또한, 스케일링 팩터를 이용하여 메시지의 크기를 조절함으로써, 연산이 이루어지고 난 이후의 암호문에서 메시지들이 존재하는 영역, 즉, 유효 영역의 크기도 조절될 수 있다.

실시 예에 따라, 암호문 모듈러스 q는 다양한 형태로 설정되어 사용될 수 있다. 일 예로, 암호문의 모듈러스는 스케일링 팩터 Δ의 지수승 q=Δ^L 형태로 설정될 수 있다. Δ가 2라면, q=2¹⁰ 과 같은 값으로 설정될 수 있다.

그리고 본 개시에 따른 동형 암호문은 수치형 데이터에 대해서 부동 소수점 방식으로 데이터를 저장하는 것을 가정하나, 고정 소수점을 사용하는 경우에도 적용될 수 있다.

제1 서버 장치(200)는 수신된 동형 암호문을 복호화하지 않고, 암호문 상태로 저장할 수 있다.

제2 서버 장치(300)는 동형 암호문에 대한 특정 처리 결과를 제1 서버 장치(200)로 요청할 수 있다. 제1 서버 장치(200)는 제2 서버 장치(300)의 요청에 따라 특정 연산을 수행한 후, 그 결과를 제2 서버 장치(300)로 전송할 수 있다.

일 예로, 두 개의 전자 장치(100-1, 100-2)가 전송한 암호문 ct1, ct2가 제1 서버 장치(200)에 저장된 경우, 제2 서버 장치(300)는 두 전자 장치(100-1, 100-2)로부터 제공된 정보들을 합산한 값을 제1 서버 장치(200)로 요청할 수 있다. 제1 서버 장치(200)는 요청에 따라 두 암호문을 합산하는 연산을 수행한 후, 그 결과 값(ct1 + ct2)을 제2 서버 장치(300)로 전송할 수 있다. 이때, 서버 장치(200)는 덧셈/뺄셈 등과 같은 기본적인 사칙 연산뿐만 아니라, 통계 연산 등을 수행할 수 있다. 또한, 이하에서는 설명을 용이하게 하기 위하여, 각 동형 암호문이 후술하는 부동 소수점 방식으로 저장된 것을 가정하나, 고정 소수점 방식으로 저장된 동형 암호문과 부동 소수점 방식으로 저장된 동형 암호문 간에 연산을 수행하는 것도 가능하다. 다양한 연산 형태에 대해서는 도 4 이하에서 후술한다.

동형 암호문의 성질상, 제1 서버 장치(200)는 복호화를 하지 않은 상태에서 연산을 수행할 수 있고, 그 결과 값도 암호문 형태가 된다. 본 개시에서는 연산에 의해 획득된 결과값을 연산 결과 암호문이라 한다.

제1 서버 장치(200)는 연산 결과 암호문을 제2 서버 장치(300)로 전송할 수 있다. 제2 서버 장치(300)는 수신된 연산 결과 암호문을 복호화하여, 각 동형 암호문들에 포함된 데이터들의 연산 결과값을 획득할 수 있다.

제1 서버 장치(200)는 사용자 요청에 따라 연산을 수차례 수행할 수 있다. 이 경우, 매번 연산마다 획득되는 연산 결과 암호문 내의 근사 메시지 비중이 달라진다. 제1 서버 장치(200)는 근사 메시지 비중이 임계치를 초과하면, 재부팅(Bootstrapping) 동작을 수행할 수 있다. 이와 같이 제1 서버 장치(200)는 연산 동작을 수행할 수 있다는 점에서, 연산 장치라 지칭될 수도 있다.

한편, 도 1에서는 제1 전자 장치 및 제2 전자 장치에서 암호화를 수행하고, 제2 서버 장치가 복호화를 수행하는 경우를 도시하였으나, 반드시 이에 한정되는 것은 아니다.

도 2는 본 개시의 일 실시 예에 따른 연산 장치의 구성을 나타낸 블럭도이다.

구체적으로, 도 1의 시스템에서 제1 전자 장치, 제2 전자 장치 등과 같이 동형 암호화를 수행하는 장치, 제1 서버 장치 등과 같이 동형 암호문을 연산하는 장치, 제2 서버 장치 등과 같이 동형 암호문을 복호하는 장치 등을 연산 장치라고 지칭할 수 있다. 이러한 연산 장치는 PC(Personal computer), 노트북, 스마트폰, 태블릿, 서버 등 다양한 장치일 수 있다.

도 2를 참조하면, 연산 장치(400)는 통신 장치(410), 메모리(420), 디스플레이(430), 조작 입력 장치(440) 및 프로세서(450)를 포함할 수 있다.

통신 장치(410)는 연산 장치(400)를 외부 장치(미도시)와 연결하기 위해 형성되고, 근거리 통신망(LAN: Local Area Network) 및 인터넷망을 통해 외부 장치에 접속되는 형태뿐만 아니라, USB(Universal Serial Bus) 포트 또는 무선 통신(예를 들어, WiFi 802.11a/b/g/n, NFC, Bluetooth) 포트를 통하여 접속되는 형태도 가능하다. 이러한 통신 장치(410)는 송수신부(transceiver)로 지칭될 수도 있다.

통신 장치(410)는 공개 키를 외부 장치로부터 수신할 수 있으며, 연산 장치(400) 자체적으로 생성한 공개 키를 외부 장치로 전송할 수 있다.

그리고 통신 장치(410)는 외부 장치로부터 메시지를 수신할 수 있으며, 생성한 동형 암호문을 외부 장치로 송신할 수 있다.

또한, 통신 장치(410)는 암호문 생성에 필요한 각종 파라미터를 외부 장치로부터 수신할 수 있다. 한편, 구현시에 각종 파라미터는 후술하는 조작 입력 장치(440)를 통하여 사용자로부터 직접 입력받을 수 있다.

또한, 통신 장치(410)는 외부 장치로부터 동형 암호문에 대한 연산을 요청받을 수 있으며, 그에 따라 계산된 결과를 외부 장치에 전송할 수 있다.

메모리(420)는 연산 장치(400)를 구동하기 위한 O/S나 각종 소프트웨어, 데이터 등을 저장하기 위한 구성요소이다. 메모리(420)는 RAM이나 ROM, 플래시 메모리, HDD, 외장 메모리, 메모리 카드 등과 같은 다양한 형태로 구현될 수 있으며, 어느 하나로 한정되는 것은 아니다.

메모리(420)는 암호화할 메시지를 저장한다. 여기서 메시지는 사용자가 각종 인용한 각종 신용 정보, 개인 정보, 수치형 데이터 등일 수 있으며, 연산 장치(400)에서 사용되는 위치 정보, 인터넷 사용 시간 정보 등 사용 이력 등과 관련된 정보일 수도 있다.

그리고 메모리(420)는 공개 키를 저장할 수 있으며, 연산 장치(400)가 직접 공개 키를 생성한 장치인 경우, 비밀 키뿐만 아니라, 공개 키 및 비밀 키 생성에 필요한 각종 파라미터를 저장할 수 있다.

그리고 메모리(420)는 후술한 과정에서 생성된 동형 암호문을 저장할 수 있다. 그리고 메모리(420)는 외부 장치에서 전송한 동형 암호문을 저장할 수도 있다. 또한, 메모리(420)는 후술하는 연산 과정에서의 결과물인 연산 결과 암호문을 저장할 수도 있다.

디스플레이(430)는 연산 장치(400)가 지원하는 기능을 선택받기 위한 사용자 인터페이스 창을 표시한다. 구체적으로, 디스플레이(430)는 연산 장치(400)가 제공하는 각종 기능을 선택받기 위한 사용자 인터페이스 창을 표시할 수 있다. 이러한 디스플레이(430)는 LCD(liquid crystal display), OLED(Organic Light Emitting Diodes) 등과 같은 모니터일 수 있으며, 후술할 조작 입력 장치(440)의 기능을 동시에 수행할 수 있는 터치 스크린으로 구현될 수도 있다.

디스플레이(430)는 비밀 키 및 공개 키 생성에 필요한 파라미터의 입력을 요청하는 메시지를 표시할 수 있다. 그리고 디스플레이(430)는 암호화 대상이 메시지를 선택하는 메시지를 표시할 수 있다. 한편, 구현시에 암호화 대상은 사용자가 직접 선택할 수도 있고, 자동으로 선택될 수 있다. 즉, 암호화가 필요한 개인 정보 등은 사용자가 직접 메시지를 선택하지 않더라도 자동으로 설정될 수 있다.

조작 입력 장치(440)는 사용자로부터 연산 장치(400)의 기능 선택 및 해당 기능에 대한 제어 명령을 입력받을 수 있다. 구체적으로, 조작 입력 장치(440)는 사용자로부터 비밀 키 및 공개 키 생성에 필요한 파라미터를 입력받을 수 있다. 또한, 조작 입력 장치(440)는 사용자로부터 암호화될 메시지를 설정받을 수 있다.

프로세서(450)는 연산 장치(400) 내의 각 구성을 제어한다. 이러한 프로세서(450)는 CPU(central processing unit), ASIC(application-specific integrated circuit)과 같은 단일 장치로 구성될 수 있으며, CPU, GPU(Graphics Processing Unit) 등의 복수의 장치로 구성될 수도 있다.

프로세서(450)는 전송하고자 하는 메시지가 입력되면 메모리(420)에 저장한다. 프로세서(450)는 메모리(420)에 저장된 각종 설정 값 및 프로그램을 이용하여, 메시지를 동형 암호화한다. 이 경우, 공개 키가 사용될 수 있다.

프로세서(450)는 암호화를 수행하는데 필요한 공개 키를 자체적으로 생성하여 사용할 수도 있고, 외부 장치로부터 수신하여 사용할 수도 있다. 일 예로, 복호화를 수행하는 제2 서버 장치(300)가 공개 키를 다른 장치들에게 배포할 수 있다.

자체적으로 키를 생성하는 경우, 프로세서(450)는 Ring-LWE 기법을 이용하여 공개 키를 생성할 수 있다. 구체적으로 설명하면, 프로세서(450)는 먼저 각종 파라미터 및 링을 설정하여, 메모리(420)에 저장할 수 있다. 파라미터의 예로는 평문 메시지 비트의 길이, 공개 키 및 비밀 키의 크기 등이 있을 수 있다.

링은 다음과 같은 수학식으로 표현될 수 있다.

[수학식 2]

여기서 R은 링, Zq는 계수, f(x)는 n차 다항식이다.

링(Ring)이란 기 설정된 계수를 가지는 다항식의 집합으로, 원소들 사이에 덧셈과 곱셈이 정의되어 있으며 덧셈과 곱셈에 대해서 닫혀 있는 집합을 의미한다. 이러한 링은 환으로 지칭될 수 있다.

일 예로, 링은 계수가 Zq인 n차 다항식의 집합을 의미한다. 구체적으로는, n이 Φ(N)일 때, N차 사이클로토믹 다항식 (N-th cyclotomic polynomial)을 의미한다. (f(x))란 f(x)로 생성되는 Zq[x]의 이데알(ideal)을 나타낸다. Euler totient 함수 Φ(N)이란 N과 서로소이고 N보다 작은 자연수의 개수를 의미한다. Φ_N(x)를 N차 사이클로토믹 다항식으로 정의하면, 링은 다음과 같은 수학식 3으로도 표현될 수 있다.

[수학식 3]

비밀 키(sk)는 다음과 같이 표현될 수 있다.

한편, 상술한 수학식 3의 링은 평문 공간에서 복소수를 갖는다. 한편, 동형 암호문에 대한 연산 속도를 향상하기 위하여, 상술한 링의 집합 중 평문 공간이 실수인 집합만을 이용할 수도 있다. 또는 후술하는 바와 같이 수치형 데이터의 경우, 가수 영역에 대응되는 가수 데이터에 대해서는 실수에 그 값을 갖고, 지수 영역에 대응되는 지수 데이터에 대해서는 허수에 그 값을 갖도록 하는 것도 가능하다.

이와 같은 링이 설정되면, 프로세서(450)는 링으로부터 비밀 키(sk)를 산출할 수 있다.

[수학식 4]

sk ← (1, s(x)), s(x) ∈ R

여기서, s(x)는 작은 계수로 랜덤하게 생성한 다항식을 의미한다.

그리고 프로세서(450)는 링으로부터 제1 랜덤 다항식(a(x))을 산출한다. 제1 랜덤 다항식은 다음과 같이 표현될 수 있다.

[수학식 5]

a(x) ← R

또한, 프로세서(450)는 에러를 산출할 수 있다. 구체적으로, 프로세서(450)는 이산 가우시안 분포 또는 그와 통계적 거리가 가까운 분포로부터 에러를 추출할 수 있다. 이러한 에러는 다음과 같이 표현될 수 있다.

[수학식 6]

e(x) ←Dⁿ _αq

에러까지 산출되면, 프로세서(450)는 제1 랜덤 다항식 및 비밀 키에 에러를 모듈러 연산하여 제2 랜덤 다항식을 산출할 수 있다. 제2 랜덤 다항식은 다음과 같이 표현될 수 있다.

[수학식 7]

b(x) = -a(x)s(x) + e(x)(mod q)

최종적으로 공개 키(pk)는 제1 랜덤 다항식 및 제2 랜덤 다항식을 포함하는 형태로 다음과 같이 설정된다.

[수학식 8]

pk = (b(x), a(x))

상술한 키 생성 방법은 일 예에 불과하므로, 반드시 이에 한정되는 것은 아니며, 이 밖에 다른 방법으로 공개 키 및 비밀 키를 생성할 수도 있음은 물론이다.

하편, 프로세서(450)는 공개 키가 생성되면, 다른 장치들에 전송되도록 통신 장치(410)를 제어할 수 있다.

그리고 프로세서(450)는 메시지에 대한 동형 암호문을 생성할 수 있다. 구체적으로, 프로세서(450)는 메시지에 대해서 앞서 생성된 공개 키를 적용하여 동형 암호문을 생성할 수 있다. 이때, 프로세서(450)는 암호문의 길이를 스케일링 팩터의 크기에 대응되도록 생성할 수 있다.

그리고 프로세서(450)는 수치형 데이터에 대한 암호화 시에 해당 수치형 데이터를 부동 소수점 데이터 방식으로 암호화할 것인지, 고정 소수점 데이터 방식으로 암호화할 것인지를 결정할 수 있다. 예를 들어, 프로세서(450)는 정밀도 높게 요구되는 데이터 또는 암호문에 대해서 곱셈 등의 연산이 많이 요구되는 경우라면, 부동 소수점 데이터 방식으로 암호화하는 것으로 결정할 수 있다. 반대로, 비교적 낮은 정밀도가 요구되거나, 암호문에 대해서 덧셈 연산이 많이 요구되는 경우라면, 프로세서(450)는 고정 소수점 데이터 방식으로 암호화하는 것으로 결정할 수 있다. 상술한 경우 이외에 다양한 방식으로 수치 데이터의 저장 방식은 결정될 수 있으며, 사용자의 선택에 의하여 결정될 수도 있다.

고정 소수점 데이터 방식으로 처리하는 것으로 결정되면, 프로세서(450)는 수치형 데이터에 공개 키를 적용하여 동형 암호문을 생성할 수 있다. 이때, 프로세서(450)는 저장된 데이터가 고정 소수점 방식의 수치형 데이터라는 정보를 포함시켜 암호문을 생성할 수 있다.

한편, 부동 소수점 방식으로 수치형 데이터를 암호화하는 것으로 결정한 경우, 프로세서(450)는 우선 해당 수치형 데이터에 대한 지수(고정 소수점 부분을 나타내는 부분)와 가수(고정 소수점 위치를 나타내는 부분)를 확인할 수 있다. 예를들어, 프로세서(450)는 527.3 이라는 수치 데이터가 있는 경우, 가수 값은 5.273, 지수 값은 2인 것으로 확인할 수 있다.

이때, 프로세서(450)는 상술한 바와 같이 가수 값의 첫 자리가 1~9의 값을 갖도록 가수 값과 지수 값을 생성하지 않고, 기설정된 지수를 고려하여 지수 값과 가수 값을 생성할 수도 있다.

예를 들어, 기설정된 지수 값이 1(즉, 10)으로 설정되어 있는 경우, 프로세서(450)는 527.3이라는 수치 값에서 가수 값을 52.7로 하고, 지수 값은 1인 것으로 할 수도 있다. 이와 같이 기설정된 지수 값을 반영하여 지수 영역과 가수 영역을 구분한다면, 지수 영역에 대응되는 지수 값을 암호화하지 않더라도, 해당 값의 노출을 통하여 직접적으로 해당 값의 크기가 노출되는 것을 방지할 수 있다. 그리고 여기서 기설정된 지수 값은 복수의 데이터가 존재하는 경우에 중간 크기를 갖는 데이터의 지수 값이 이용될 수 있다. 한편, 이러한 기설정된 값은 중간 크기뿐만 아니라, 가장 많은 지수 값 또는 사용자가 설정한 특정 값, 랜덤 값 등 다양한 값들이 이용될 수 있다.

지수 값과 가수 값이 결정되면, 프로세서(450)는 가수 값을 동형 암호화하고, 암호화된 가수 데이터와 지수 데이터를 병합하여 동형 암호문을 생성할 수 있다. 이때, 프로세서(450)는 해당 데이터가 부동 소수점 형태의 수치형 데이터임을 알리는 정보를 포함시켜 동형 암호문을 생성할 수 있다.

한편, 이상에서는 가수 데이터에 대해서만 암호화하는 것으로 설명하였지만, 구현시에는 지수 데이터에 대해서도 암호화하는 것도 가능하다. 또한, 동형 암호문은 복소수 형태를 갖는다는 점에서, 동형 암호문 내의 복소수 영역 중 실수 영역에 암호화된 가수 데이터를 위치시키고, 허수 영역에 암호화되지 않은 지수 데이터를 위치시키도록 하여 동형 암호문을 생성할 수 있다.

또한, 지수 데이터에 대해서도 암호화를 적용한 경우, 동형 암호문 내의 실수 영역에 암호화된 가수 데이터를 위치시키고, 허수 영역에 암호화된 지수 데이터를 위치시켜 동형 암호문을 생성할 수도 있다. 이상에서는 실수 영역에 가수 데이터를 위치시키고, 허수 영역에 지수 데이터를 위치시키는 것으로 설명하였지만, 구현시에 두 데이터의 위치를 반대일 수 있다. 즉, 허수 영역에 가수 데이터가 위치하고, 실수 영역에 지수 데이터가 위치할 수도 있다.

그리고 프로세서(450)는 동형 암호문이 생성되면 메모리(420)에 저장하거나, 사용자 요청 또는 기 설정된 디폴트 명령에 따라 동형 암호문을 다른 장치에 전송하도록 통신 장치(410)를 제어할 수 있다.

한편, 본 개시의 일 실시 예에 따르면, 패킹(packing)이 이루어질 수도 있다. 동형 암호화에서 패킹을 이용하게 되면, 다수의 메시지를 하나의 암호문으로 암호화하는 것이 가능해진다. 이때, 하나의 암호문은 복수의 슬롯을 갖는다고 표현할 수 있으며, 상술한 각 슬롯에 하나의 수치형 데이터에 대한 암호문이 저장될 수 있다. 이 경우, 연산 장치(400)에서 각 암호문들 간의 연산을 수행하게 되면, 결과적으로 다수의 메시지에 대한 연산이 병렬적으로 처리되므로 연산 부담이 많이 줄어들게 된다.

구체적으로는, 프로세서(450)는 메시지가 복수의 메시지 벡터로 이루어지는 경우, 복수의 메시지 벡터를 병렬적으로 암호화할 수 있는 형태의 다항식으로 변환한 후, 그 다항식에 스케일링 팩터를 승산하고 공개 키를 이용하여 동형 암호화할 수도 있다. 이에 따라, 복수의 메시지 벡터를 패킹한 암호문을 생성할 수 있다.

그리고 프로세서(450)는 동형 암호문에 대한 복호가 필요한 경우, 동형 암호문에 비밀 키를 적용하여 다항식 형태의 복호문을 생성하고, 다항식 형태의 복호문을 디코딩하여 메시지를 생성할 수 있다. 이때 생성한 메시지는 앞서 설명한 수학식 1에서 언급한 바와 같이 에러를 포함할 수 있다.

그리고 프로세서(450)는 암호문에 대한 연산을 수행할 수 있다. 구체적으로, 프로세서(450)는 동형 암호문에 대해서 암호화된 상태를 유지한 상태에서 덧셈 또는 곱셈 등의 연산을 수행할 수 있다. 또한, 프로세서(450)는 상술한 바와 같은 사칙 연산 뿐만 아니라 다양한 통계 연산도 수행할 수 있다.

그리고 프로세서(450)는 부동 소수점 방식으로 저장된 동형 암호문에 대해서 고정 소수점 형태의 동형 암호문을 생성할 수 있다. 또한, 프로세서(450)는 부동 소수점의 위치가 가변된 동형 암호문을 생성하는 것도 가능하다. 즉, 프로세서(450)는 기존 동형 암호문과 동일한 수치값을 가지며, 다른 크기의 지수 데이터 및 다른 크기의 가수 데이터를 갖는 동형 암호문을 생성할 수 있다. 예를 들어, 가수 값이 1.13이고, 지수 값이 2인 동형 암호문을 이용하여 가수 값이 11.3이고, 지수 값이 1인 동형암호문을 생성할 수 있다.

한편, 부동 소수점에서 곱셈 및 나눗셈은 지수 간의 연산, 가수 간의 연산으로 손쉽게 처리 가능하며, 부동 소수점 방식의 동형 암호문의 경우에도 동일한 방식으로 지수 암호문 간의 연산 및 가수 암호문 간의 연산을 통하여 손쉽게 산출하는 것이 가능하다.

그러나 부동 소수점에서 덧셈 및 뺄셈의 경우, 평문 상태에서도 지수를 일치시키는 선행 작업이 필요하다는 점에서, 부동 소수점 방식의 동형 암호문에서도 상술한 바와 같은 지수를 일치 시키는 작업이 선행적으로 요구된다.

따라서, 프로세서(450)는 덧셈 및 뺄셈 등의 동형 연산이 필요한 경우, 두 동형 암호문의 부동 소수점의 위치를 통일시키는 처리를 우선적으로 수행할 수 있다. 예를 들어, 지수 값이 암호화되지 않은 경우라면, 프로세서(450)는 지수 값의 차이에 대응되는 값을 특정 동형 암호문에 적용하여 두 동형 암호문의 지수 값을 일치시킬 수 있다.

한편, 지수 값이 암호화되어 있으며, 두 동형 암호문에 대해서 덧셈 및 뺄셈 연산을 수행하는 경우라면, 프로세서(450)는 두 동형 암호문을 고정 소수점 방식의 데이터로 변환하고, 즉, 암호화된 가수 데이터에 10^지수 데이터를 곱하는 동형 연산을 수행하여, 복수의 데이터 간의 동형 연산을 수행할 수 있다.

또는, 프로세서(450)는 각 동형 암호문에 적용될 지수 보정 데이터를 산출하고, 산출된 지수 보정 데이터를 각 동형 암호문에 적용하는 선행적인 작업을 수행한 이후에 동형 덧셈 또는 동형 뺄셈을 수행할 수도 있다. 이러한 동작에 대해서는 도 7 내지 도 10을 참조하여 후술한다.

한편, 연산 장치(400)는 연산이 완료되면, 연산 결과 데이터로부터 유효 영역의 데이터를 검출할 수 있다. 구체적으로, 연산 장치(400)는 연산 결과 데이터를 라운딩 처리를 수행하여 유효 영역의 데이터를 검출할 수 있다. 라운딩 처리란 암호화된 상태에서 메시지의 반올림(round-off)을 진행하는 것을 의미하며, 다르게는 리스케일링(rescaling)이라고 할 수도 있다. 구체적으로는, 연산 장치(400)는 암호문 각각의 성분에 스케일링 인수의 역수인 Δ^-1을 곱하고 반올림하여, 노이즈 영역을 제거한다. 노이즈 영역은 스케일링 팩터의 크기에 대응되도록 결정될 수 있다. 결과적으로 노이즈 영역이 제외된 유효 영역의 메시지를 검출할 수 있다. 암호화 상태에서 진행되므로 추가적인 에러가 발생하지만 크기는 충분히 작으므로 무시할 수 있다.

이상과 같이 본 개시의 일 실시 예에 따른 연산 장치(400)는 수치형 데이터에 대해서 부동 소수점 형태로 지수 및 가수를 구분하여 암호화하는바, 연산 과정 또는 상술한 재부팅 과정에서, 상대적으로 작은 값을 갖는 데이터의 정밀도가 변경되는 것을 방지할 수 있다.

도 3은 동형 암호문에 대한 연산 동작을 설명하기 위한 도면이다. 구체적으로, 도 3에서는 두 개의 동형 암호문(10, 20)에 대한 연산을 나타낸다.

각 동형 암호문(10, 20)은 근사 메시지 영역(11, 21)을 각각 포함할 수 있다. 근사 메시지 영역(11, 21)에는 메시지 및 에러(m1+e1, m2+e2)가 함께 들어가 있다.

먼저, 두 동형 암호문이 고정 소수점 방식으로 데이터를 저장하는 경우를 가정하여 설명한다.

두 동형 암호문 모두 고정 소수점 방식이기 때문에, 연산 장치(400)는 두 암호문을 동형 덧셈하는 것만으로 덧셈 연산을 수행할 수 있다. 또한, 곱셈 연산에 대해서도 동형 암호문에 대한 동형 곱셈을 수행하는 것만으로 곱셈 연산을 수행할 수 있다.

이와 같이 고정 소수점 방식은 연산에 있어서 그 처리가 간단한 장점이 있다. 그러나 사용하는 값의 범위가 넓은 경우, 다음과 같은 문제점이 있다. 이하에서는 설명을 용이하게 하기 위하여, 동형 암호문에 대해서 30-bit의 정밀도를 지원하고, 두 개의 슬롯(slot[0], slot[1]) 각각에 2²⁰, 1의 값이 들어가 있다고 가정한다.

만약, 부동 소수점 방식(또는 이상적인 방식)에서 정밀도 30을 만족하는 경우라면, 슬롯[0](1010)은 소수점 위 20자리, 소수점 아래 10자리를 합쳐서 30자리를 보장하는 것이고), 슬롯[1](1020)은 소수점 아래 30자리를 보장하는 것이다.

그러나 고정 소수점 방식에서 30-bit 정밀도란, 가장 높은 자릿수로부터 30자리를 세어서, 그것이 일괄적으로 보존되는 것이다. 따라서, 슬롯[0]은 앞선 부동 소수점 방식과 동일한 소수점 위 20자리, 소수점 아래 10자리를 합친 30자리가 보장이 된다. 그러나 슬롯[1] 은 슬롯[0]과 동일한 자리 수를 가져야 하는바, 소수점 위 20자리, 소수점 아래 10자리를 갖는다. 이와 같이 슬롯[1]에 대해서, 고정 소수점 방식에서는 소수점 아래 10자리만 보장이 되는바, 해당 슬롯에 대한 실질적인 정밀도는 10bit가 된다.

특히나, 본 개시에 따른 동형 암호문의 경우 암호화 과정에서 상술한 정밀도 이하의 에러가 암호문에 추가되는데, 정밀도가 작아 지는 경우, 동형 암호문에 대한 연산 회수가 제한 될 수밖에 없었다.

이러한 점을 해결하기 위하여, 본 개시에서는 수치 데이터에 대해서 부동 소수점 방식으로 암호문을 생성한다. 한편, 부동 소수점의 경우, 상술한 바와 같이 데이터의 범위와 무관하게 모두 동일한 정밀도를 가질 수 있다.

그러나 부동 소수점 방식으로 데이터를 저장하는 경우, 덧셈 및 뺄셈의 연산에 어려움이 있다. 구체적으로, 부동 소수점 방식으로 덧셈 및 뺄셈을 수행하기 위해서는, 두 값의 지수 값을 확인하여, 두 데이터의 지수 크기를 일치시키는 작업이 선행되어야 한다. 예를 들어, 11과 1.3에 대한 덧셈 연산을 수행하는 경우, 두 값은 부동 소수점 방식으로 1.1*10^1(가수 값 1.1, 지수 값 1), 1.3*10^0(가수 값 1.3, 지수 값 0)으로 표현될 수 있는데, 1.1*10^1 + 0.13*10^1과 같이 지수 값을 1로 통일시키거나, 11*10^0 + 1.3*10^0과 같이 가수 값을 0으로 통일시켜야만 가수 값 간에 연산이 가능하다.

평문 상태에서는 상술한 바와 같이 두 데이터 간의 지수 차이를 손쉽게 확인할 수 있어서, 상술한 연산을 손쉽게 수행할 수 있지만, 만약, 지수 데이터가 암호화되어 있는 경우라면, 덧셈 및 뺄셈 등의 연산에 어려움이 발생할 수 있다.

따라서, 지수 차이를 손쉽게 확인하기 위하여, 가수 데이터에 대해서만 암호화를 수행하고, 지수 값에 대해서는 암호화를 하지 않는 방식도 가능하다. 이러한 방식에 대해서는 도 4를 참조하여 후술한다. 한편, 지수 값을 그대로 이용하는 경우에, 값의 크기가 유출될 수 있다는 점을 방지하기 위하여, 가수의 범위를 일반적인 부동 소수점의 범위와 다른 범위를 갖도록 랜덤화하여 암호화하는 것도 가능하다. 이에 대해서는 도 5를 참조하여 후술한다.

한편, 동형 암호문은 암호문 상태에서 사칙 연산을 지원하기 때문에, 지수 데이터가 암호화되어 있더라도, 지수 값들의 연산을 통하여, 지수 크기를 어떻게 일치시켜야 하는지를 산출하는 것이 가능하다. 이러한 방식에 대해서는 도 7 내지 도 10을 참조하여 후술한다.

다만, 고정 소수점 방식에서의 덧셈 및 뺄셈 동작과 비교하였을 때, 부동 소수점 방식에서의 덧셈 및 뺄셈 동작은 연산 과정에 더욱 많은 리소스가 요구된다는 점에서, 연산 장치는 연산 과정에서의 덧셈 및 뺄셈 연산의 비중, 수치 데이터에 대한 요구되는 정밀도, 요구되는 보안 정도 등을 고려하여, 지수 값 및 가수 값 모두 암호화하거나, 가수 값만을 암호화하거나, 고정 소수점 방식으로 암호화하는 동작을 선택적으로 수행할 수 있다.

도 4는 본 개시의 제1 실시 예에 따른 실수 데이터에 대한 동형 암호문의 생성 방법을 설명하기 위한 도면이다.

동형 암호문은 복수의 슬롯을 가질 수 있으며, 각 슬롯에 서로 다른 데이터를 저장하는 것이 가능하다. 이러한 점에서, 도 4에서는 하나의 동형 암호문이 8개의 수치 데이터를 동형 암호화하는 경우를 가정하여 설명한다. 한편, 구현시에는 8개의 수치형 데이터를 개별적인 동형 암호문으로 생성하는 것도 가능하다. 이하에서는 설명을 용이하게 하기 위하여, 암호문 상태의 가수 및 지수도 평문 값으로 표현하나, 평문이라고 표현된 항목 이외에 데이터 값들은 이해를 위하여 평문 값을 표시한 것일뿐, 실제 데이터는 암호화된 데이터를 갖는다.

도 4를 참조하며, 8개의 수치형 데이터(410)는 고정 소수점 방식으로 표현되어 있는데, 먼저, 이를 부동 소수점 방식으로 수치 표현 방식(420)을 변경할 수 있다. 이에 따라 527.3이라는 값은 가수 5.273, 지수 2로 표현됨을 확인할 수 잇다.

이와 같이 각 수치 데이터의 지수 값 및 가수 값이 확인되면, 가수 값에 대해서는 동형 암호화를 수행하고, 암호화된 가수 값과 지수 값을 하나의 동형 암호문(430)의 슬롯에 저장할 수 있다. 한편, 동형 암호문은 복소수 형태로 표현될 수 있는데, 복소수의 실수 영역에 상술한 암호화된 가수 값을 넣고, 복소수의 허수 영역에 상술한 지수 값을 넣어 하나의 복소수 형태로 가수 값과 지수 값을 구분하여 저장할 수 있다. 만약, 지수 값과 가수 값을 개별적으로 저장하는 경우, 기존 대비 암호문의 크기가 2배로 증가하나, 동형 암호문에서의 복소수 연산의 지원 방식을 고려하여 가수 부분을 복소수의 실수 부분에 지수 부분을 암호문의 허수 부부에 넣는 경우, 기존과 동일한 크기의 암호문을 생성할 수 있다.

한편, 구현시에 지수 값에 대해서도 암호화를 수행하고, 암호화된 가수 값과 암호화된 지수 값을 하나의 동형 암호문의 슬롯에 저장하는 것도 가능하다.

한편, 도 4에서는 가수 값이 음의 값을 갖는 것으로 도시하였지만, 구현시에는 수치 데이터를 가수 값, 지수 값, 부호 3개로 구분하는 것도 가능하며, 그 경우, 부호를 별도의 정보로 저장하는 것도 가능하다.

한편, 이상에서는 가수 값을 일반적인 부동 소수점 방식과 동일하게 [0, A] 또는 [-A/2, A/2] 처럼 A 길이의 구간 안으로 고정하고, 유일한 지수 z를 갖는 형태로 각 수치 데이터에 대한 지수 값과 가수 값을 이용하는 것으로 설명하였다. 그러나 동형 암호문에서 데이터가 매우 크거나, 매우 작은 경우만 아니면 되기 때문에 가수의 범위를 제한하고, 유일한 지수 z를 찾을 필요가 없다. 이러한 예를 반영한 경우를 도 5를 참조하여 설명한다.

도 5는 본 개시의 제2 실시 예에 따른 실수 데이터에 대한 동형 암호문의 생성 방법을 설명하기 위한 도면이다.

도 5를 참조하면, 지수 크기를 랜덤화하여 이용하는 방식을 도시한다. 일반적인 부동 소수점 방식으로 수치 데이터(510)를 표현하면, 평문(520)과 같다. 그러나 앞서 설명한 바와 같이 동형 암호문에 대해서 부동 소수점 방식으로 사용하는 이유는 정밀도가 크게 제한되는 것을 방지하는 것이라는 점에서, 가수의 범위가 [-A/2, A/2]처럼 제한될 필요가 없다.

따라서, 지수 값에 대한 랜덤화를 적용하여, 예를 들어, -3~3의 범위에서 지수 값을 변화를 주고, 그에 대응되는 가수 값을 이용할 수 있다. 이때, 랜덤화되는 범위에 대해서는 실험에 따라 최적화된 범위가 이용될 수 있다. 이와 같은 지수 값이 랜덤화된 이후에 암호화 동작은 도 4에서 설명한 동작과 동일한바 중복 설명은 생략한다.

도 6은 종래의 방식과 본 실시 예에 따른 동형 암호문의 차이점을 설명하기 위한 도면이다.

동형 암호문은 다항식 연산을 지원하나, 비다항식 연산(예를 들어, 비교 연산)에 대해서도 근사 다항식을 이용하면, 비다항식 연산을 수행하는 것이 가능하다.

이러한 근사 다항식 이용을 위해서는 사용되는 값의 범위를 알고 있어야 하기 때문에, 동형 암호문에서는 사용되는 값의 가장 큰 값과 큰 값의 역수를 함께 저장한다. 구체적으로, 일반적인 근사 다항식은 [-1, 1]의 범위에서 동작을 하기 때문에, 해당 근사 다항식을 이용하기 위하여, 상술한 큰 값의 역수를 암호문에 곱하는 동작을 통하여, 동형 암호문의 값들이 상술한 [-1, 1] 범위 내에 있도록 할 수 있다. 그리고 해당 연산의 종료 이후에 원래 값의 범위로 복원시에 연산 결과에 가장 큰 값을 곱하면 되기 때문에, 큰 값과 그의 역수를 함께 저장한다.

이와 같이 근사 다항식의 이용을 위해서, 수치 범위를 변경하는 과정이 필요한데, 수치 범위의 변경 과정에서 가장 큰 값의 이용된다는 점에서, 큰 값과 작은 값의 차이가 큰 경우, 작은 값은 에러에 의하여 값이 보장되지 않게 된다.

한편, 부동 소수점 방식으로 값을 저장하는 경우, 도시된 바와 같이, 각 값의 정밀도는 동일하다는 점에서, 값의 변화 과정에서도 각 데이터들은 정밀도가 유지됨을 확인할 수 있다.

이하에서는 상술한 방식으로 부동 소수점 방식으로 암호문을 생성한 경우에, 해당 암호문에 대한 연산 방식에 대해서 설명한다.

동형 암호문에 대한 사칙 연산에 대해서는 부동 소수점의 형태를 유지한 상태에서 수행하는 것이 가능하다.

한편, 필요한 경우에서는, 부동 소수점 방식의 데이터를 고정 소수점 방식으로 변경한 이후에 수행하는 것도 가능하다. 즉, 가수 값, A, 지수 값 B를 갖는 데이터에 대해서 A*10^B와 같은 형태로 동형 연산을 수행하여 손쉽게 부동 소수점 방식의 데이터를 고정 소수점 방식으로 변경할 수 있다.

그리고 곱셈 연산은, 복수의 동형 암호문들 간에 가수끼리는 곱하고, 지수끼리는 더하여, 연산을 수행할 수 있다. 예를 들어, 암호문1(가수 값A, 지수 값 B), 암호문 2(가수 값 C, 지수 값 D)에 대한 곱셈 연산을 수행하는 경우, 암호문 3(가수 값 A*B, 지수값 C+D)으로 연산을 수행할 수 있다.

한편, 상술한 연산에 의하여 가수 값이 일정 값 이상이 되는 경우, 예를 들어, 10 이상이 되는 경우, 상술한 암호문 3에 대해서 가수 값에 10을 나누고, 지수 값에 대해서는 1을 더하는 동작을 수행하는 추가 연산을 수행할 수 있다. 다만, 이와 같은 동작은 정밀도가 크게 요구되는 경우에만 수행되고, 일반적인 경우에는 생략될 수도 있다.

여러 데이터에 대한 통계 연산을 수행하는 경우, 각 수치 데이터의 지수가 동일하여야 통계 연산이 가능하다. 이러한 경우, 가장 큰 지수에 맞춰 데이터를 수정한 이후에, 연산을 수행할 수 있다.

구체적으로, 앞서 설명한 바와 같이 동형 암호문에서는 정규화를 위한 데이터로 가장 큰 값과 그에 대한 역수를 저장하는바, 해당 정규화를 위한 데이터에 대한 지수 값을 기준으로, 각 값들이 해당 지수 값을 갖도록 수정을 한 이후에, 통계 연산을 수행할 수 있다. 예를 들어, 도 6의 경우라면, 정규화 데이터의 지수가 9인바, 모든 데이터들이 지수 값 9를 갖도록 수정한 이후에 상술한 바와 같은 통계 연산을 수행할 수 있다. 한편, 지수 값이 암호화되어 있는 경우, 정규화 데이터의 암호화된 지수 값과 각 값들의 지수 값들의 차이 값을 산출하고, 산출된 값을 이용하여, 지수 값을 일치시킬 수 있다. 예를 들어, 도 6의 암호문의 첫번째 수치형 데이터(640, 가수 0.01(A), 지수 -4(B)), 정규화 데이터의 지수 값(C)의 경우, (A*10^(C-B), C)와 같은 연산을 통하여 각 데이터 간의 지수를 일치 시킬 수 있다.

이하에서는 부동 소수점 방식으로 두 동형 암호문에 대한 덧셈 및 뺄셈 연산의 방식에 대해서 설명한다.

도 7은 본 개시에 따라 생성된 동형 암호문의 제1 연산 동작을 설명하기 위한 도면이다.

먼저, 부동 소수점 방식의 데이터에 대한 덧셈 및 뺄셈 연산을 수행하기 위해서는, 두 데이터의 지수 값이 일치되어야 한다. 그리고 이러한 지수 값의 일치를 위해서는 두 데이터의 지수 값의 차이를 알아야 한다는 점에서, 도 7에서는 두 데이터의 지수 차이를 산출한다.

구체적으로, 도 7을 참조하면, 두 동형 암호문(710, 720)에 대한 동형 덧셈 또는 뺄셈을 수행하는 경우, 두 암호문 간의 지수 값의 동형 뺄셈을 수행한다. 이 결과 두 데이터의 지수 차이 값(730)이 산출된다.

이와 같은 값이 산출되면, 0과 비교 연산을 통하여, 산출된 값이 양의 값인지, 음의 값인지, 동일한지를 확인할 수 있다(740). 여기서 이용된 비교 연산기는 0을 초과하면 1의 값을 산출하고, 0 미만이면 0의 값을 산출하고, 0이면, 0.5 값을 산출하는 동형 비교기를 이용하였다. 한편, 구현시에는 상술한 비교기 이외에 다른 값을 산출하는 비교기를 이용하는 것도 가능하다.

이와 같은 비교기의 산출 결과(740)를 이용하여, 각 암호문에 적용할 지수 값을 산출한다(750, 760). 구체적으로, 도시된 지수 1(750)은 암호문 1에 적용될 지수 값이고, 지수 2(760)는 암호문 2에 적용될 지수 값이다. 예를 들어, 첫번째 슬롯의 경우, 암호문1의 지수 값이 더 크기 때문에, 비교 결과는 1이 산출되었고, 지수 1(750)의 첫번째 슬롯은 0이 산출되었다. 즉, 첫번째 암호문에 대해서는 별도의 지수 변환을 수행하지 않는 것이다. 반면에 지수 2(760)의 첫번째 슬롯은 -1의 값을 갖게 되는데, 이는 암호문 2에 대해서는 암호문 1에 대응되게 지수 변환이 필요하다는 것을 의미한다.

이와 같이 지수 1, 지수 2가 산출된 이후의 동작에 대해서는 도 8을 참조하여 이하에서 설명한다.

도 8은 본 개시에 따라 생성된 동형 암호문의 제2 연산 동작을 설명하기 위한 도면이다. 구체적으로, 도 8은 동형 덧셈 또는 동형 뺄셈 결과의 최종 연산 결과의 지수 값을 산출하는 동작이다.

도 8을 참조하면, 앞서 상술한 비교 결과(810)와 해당 비교 결과에 대한 역수 값(820)을 산출하고, 비교 결과(810)와 지수 1(830)의 곱셈 결과와 비교 결과(820)와 지수 2(840)의 곱셈 결과를 더하여, 최종 지수 값(850)을 산출할 수 있다.

도시된 예에서는 암호문의 각 값들을 평문 상태로 표현하고 있지만, 실질적으로 암호문 상태에서 가수 및 지수 값들은 어떠한 값인지 알 수 없다. 또한, 중간에 산출되는 지수 차이, 비교 결과, 지수 1, 지수 2등의 연산 결과들도 이해하기 쉽도록, 평문 상태의 값을 표시하였지만, 실질적으로 암호화된 값이 산출된다.

이하에서는 도 9를 참조하여, 최종 가수 값을 산출하는 동작을 설명한다.

도 9는 본 개시에 따라 생성된 동형 암호문의 제2 연산 동작을 설명하기 위한 도면이다.

도 9를 참조하면, 앞서 산출된 보정을 위한 도 7의 지수 1(750)(910), 지수 2(760)(920)를 지수 함수를 이용하여 지수 값(930, 940)으로 산출한다.

그리고 산출된 지수 값(930, 940)들과 암호문 내의 가수 값(950, 960)들을 대응되는 값들끼리 곱하고, 해당 연산 결과를 덧셈 또는 뺄셈하여, 최종 가수 값을 산출할 수 있다. 즉, 지수1*가수1 + 지수2*가수2 = 가수 계산.

도 10은 본 개시에 따라 생성된 동형 암호문의 제3 연산 동작을 설명하기 위한 도면이다.

도 8에서 연산 결과의 지수 값이 산출되고, 도 9에서 연산 결과의 가수 값이 산출되면, 동형 암호문의 생성 과정과 같이 두 값을 이용하여, 최종 연산 결과 암호문을 생성할 수 있다.

이때, 산출된 가수 값 각각을 10과의 비교를 통하여, 즉, 지수 값의 자릿수 변경이 필요한지를 확인하고, 지수 값의 자릿수 변경이 필요한 경우라면, 이를 반영하여 최종 결과 암호문(1030)을 생성할 수도 있다.

도 11은 본 개시의 일 실시 예에 따른 동형 암호문의 생성 방법을 설명하기 위한 흐름도이다.

도 11을 참조하면, 먼저, 수치형 데이터에 대해서 지수 데이터 및 가수 데이터를 확인한다(S1110). 구체적으로, 수치형 데이터의 지수 값과 가수 값을 확인할 수 있다. 이때, 일반적인 방식으로 수치형 데이터의 지수 값과 가수 값을 산출할 수도 있으며, 필요한 경우, 기설정된 지수 값을 기준으로, 수치형 데이터에 대한 지수 값 및 가수 값을 산출할 수도 있다. 예를 들어, 가수 값이[0.1~9] 범위를 벗어나는 값을 갖도록 지수 값 및 가수 값을 산출하는 것도 가능하다.

그리고 가수 데이터를 동형 암호화한다(S1120). 구체적으로, 앞서 확인된 가수 값에 공개 키를 반영하여 가수 값에 대한 암호화를 수행할 수 있다. 구현시에는 지수 데이터에 대해서도 동형 암호화를 수행할 수도 있다.

그리고 암호화된 가수 데이터 및 지수 데이터를 병합하여 동형 암호문을 생성한다(S1130). 만약, 지수 데이터에 대해서도 동형 암호화가 되어 있는 경우, 복소수의 실수 영역에 암호화된 가수 데이터를 배치하고, 허수 영역에 암호화된 지수 데이터를 배치함으로써 동형 암호문을 생성할 수도 있다.

도 12는 본 개시의 일 실시 예에 따른 동형 암호문의 처리 방법을 설명하기 위한 흐름도이다.

도 12를 참조하면, 복수의 동형 암호문에 대한 연산 명령을 입력되면(S1210), 입력된 연산 명령을 분석하여 선 처리가 필요한 지를 확인할 수 있다. 예를 들어, 통계 연산이나, 동형 덧셈 또는 동형 뺄셈의 연산이 포함되어 있는 경우라면, 각 암호문 간의 지수를 일치시키는 선 처리 또는 각 암호문을 고정 소수점 방식으로 변환하는 처리를 수행할 수 있다.

그리고 동형 암호문 간의 연산을 수행한다(S1230). 구체적인 동형 암호문에 대한 사칙 연산 방식에 대해서는 앞서 설명하였는바, 중복 설명은 생략한다.

그리고 연산 결과에 대한 후처리를 수행한다(S1240). 구체적으로, 연산 결과의 가수 값이 기설정된 값(예를 들어, 10)을 초과하는 경우, 해당 가수 값이 기설정된 값 이내가 되도록 조정하고, 반대로, 지수 값은 그에 대응한 값을 더하거나 빼는 동작을 수행할 수 있다.

한편, 앞선 선 처리 동작으로 데이터 값이 고정 소수점 방식으로 변경된 경우, 연산 결과를 다시 부동 소수점 방식으로 변환하는 작업을 수행할 수 있다. 예를 들어, 정규화 데이터에 사용되는 최대 값에 대한 지수 값을 이용하여, 해당 지수 값이 해당 연산 결과의 지수 값으로 보고, 가수 값을 산출하여 부동 소수점 방식으로 변환하는 것이 가능하다. 또는 앞서 도 7 및 도 8에서 설명한 바와 같은 연산 결과의 지수 값을 산출하는 방식만을 이용하여, 즉, 지수 연산은 도 7 및 도 8과 같은 방식으로 산출하되, 가수 연산은 고정 소수점 방식으로 변환하여 수행한 이후에, 앞서 계산된 지수 값과 고정 소수점 방식의 값을 이용하여 가수 값을 산출하는 방식이 이용될 수 있다.

이와 같이 본 개시에 따른 본 개시에 따른 암호문 처리 방법은 동형 암호문을 부동 소수점 방식으로 저장하는바, 연산 과정에서 정밀도가 가변되는 것을 방지할 수 있다. 또한, 부동 소수점 방식을 이용하는 경우에도 기존과 동일하게 사칙 연산을 사용하는 것이 가능하다.

한편, 상술한 다양한 실시 예에 따른 암호문 처리 방법은 각 단계들을 수행하기 위한 프로그램 코드 형태로 구현되어, 기록 매체에 저장되고 배포될 수도 있다. 이 경우, 기록 매체가 탑재된 장치는 상술한 암호화 또는 암호문 처리 등의 동작들을 수행할 수 있다.

이러한 기록 매체는, ROM, RAM, 메모리 칩, 메모리 카드, 외장형 하드, 하드, CD, DVD, 자기 디스크 또는 자기 테이프 등과 같은 다양한 유형의 컴퓨터 판독 가능 매체가 될 수 있다.

이상 첨부 도면을 참고하여 본 개시에 대해서 설명하였지만 본 개시의 권리범위는 후술하는 특허청구범위에 의해 결정되며 전술한 실시 예 및/또는 도면에 제한되는 것으로 해석되어서는 안 된다. 그리고 특허청구범위에 기재된 개시의, 당업자에게 자명한 개량, 변경 및 수정도 본 개시의 권리범위에 포함된다는 점이 명백하게 이해되어야 한다.

100: 전자 장치 200: 제1 서버 장치
300: 제2 서버 장치 400: 연산 장치
410: 통신 장치 420: 메모리
430: 디스플레이 440: 조작 입력 장치
450: 프로세서

Claims

연산 장치에서의 암호문 처리 방법에 있어서,
수치형 데이터에 대해서 지수 데이터 및 가수 데이터를 확인하는 단계;
상기 가수 데이터를 동형 암호화하는 단계; 및
상기 암호화된 가수 데이터 및 상기 지수 데이터를 병합하여 동형 암호문을 생성하는 단계;를 포함하는 암호문 처리 방법.
제1항에 있어서,
상기 확인하는 단계는,
기설정된 지수 값을 기준으로 상기 수치형 데이터에 대한 지수 값 및 가수 값을 산출하고,
상기 동형 암호화하는 단계는,
상기 가수 값을 동형 암호화하는 암호문 처리 방법.
제1항에 있어서,
상기 지수 데이터를 동형 암호화하는 단계;를 더 포함하고,
상기 동형 암호문을 생성하는 단계는,
상기 암호화된 가수 데이터 및 상기 암호화된 지수 데이터를 병합하여 동형 암호문을 생성하는 암호문 처리 방법.
제3항에 있어서,
상기 동형 암호문을 생성하는 단계는,
동형 암호문의 실수 영역에 상기 암호화된 가수 데이터를 위치시키고, 상기 동형 암호문의 허수 영역에 상기 암호화된 지수 데이터를 위치시켜 동형 암호문을 생성하는 암호문 처리 방법.
제1항에 있어서,
상기 동형 암호문 내의 암호화된 가수 데이터와 지수 데이터를 이용하여 고정 소수점 데이터 형식의 동형 암호문을 생성하는 단계;를 더 포함하는 암호문 처리 방법.
제1항에 있어서,
상기 동형 암호문과 동일한 평문 수치 값을 가지며, 다른 크기의 지수 값을 갖는 제2 동형 암호문을 생성하는 단계;를 더 포함하는 암호문 처리 방법.
제1항에 있어서,
복수의 동형 암호문 간의 연산을 수행하는 단계;를 포함하고,
상기 연산을 수행하는 단계는,
상기 복수의 동형 암호문들이 동일한 지수 값을 갖도록 상기 복수의 동형 암호문 중 적어도 하나에 대해서 지수 값을 스케일링 처리하고, 동일한 지수 값을 갖는 동형 암호문 간에 연산을 수행하는 암호문 처리 방법.
수치형 데이터를 저장하는 메모리;
상기 수치형 데이터에 대한 동형 암호문을 생성하는 프로세서;를 포함하며,
상기 프로세서는,
수치형 데이터에 대해서 지수 데이터 및 가수 데이터를 확인하고, 상기 확인된 가수 데이터를 동형 암호화하고, 상기 암호화된 가수 데이터 및 상기 지수 데이터를 병합하여 동형 암호문을 생성하는 연산 장치.
제8항에 있어서,
상기 프로세서는,
기설정된 지수 값을 기준으로 상기 수치형 데이터에 대한 지수 값 및 가수 값을 산출하고, 상기 가수 값을 동형 암호화하는 연산 장치.
제8항에 있어서,
상기 프로세서는,
상기 지수 데이터를 동형 암호화하고, 상기 암호화된 가수 데이터 및 상기 암호화된 지수 데이터를 병합하여 동형 암호문을 생성하는 연산 장치.
제10항에 있어서,
상기 프로세서는,
동형 암호문의 실수 영역에 상기 암호화된 가수 데이터를 위치시키고, 상기 동형 암호문의 허수 영역에 상기 암호화된 지수 데이터를 위치시켜 동형 암호문을 생성하는 연산 장치.
제8항에 있어서,
상기 프로세서는,
상기 동형 암호문 내의 암호화된 가수 데이터와 지수 데이터를 이용하여 고정 소수점 데이터 형식의 동형 암호문을 생성하는 연산 장치.
제8항에 있어서,
상기 프로세서는,
상기 동형 암호문과 동일한 평문 수치 값을 가지며, 다른 크기의 지수 값을 갖는 제2 동형 암호문을 생성하는 연산 장치.
제8항에 있어서,
상기 프로세서는,
복수의 동형 암호문 간의 연산 명령이 요청되면, 상기 복수의 동형 암호문들이 동일한 지수 값을 갖도록 상기 복수의 동형 암호문 중 적어도 하나에 대해서 지수 값을 스케일링 처리하고, 동일한 지수 값을 갖는 동형 암호문 간에 연산을 수행하는 연산 장치.