WO2009142285A1 - 分散情報生成装置 - Google Patents

分散情報生成装置 Download PDF

Info

Publication number
WO2009142285A1
WO2009142285A1 PCT/JP2009/059407 JP2009059407W WO2009142285A1 WO 2009142285 A1 WO2009142285 A1 WO 2009142285A1 JP 2009059407 W JP2009059407 W JP 2009059407W WO 2009142285 A1 WO2009142285 A1 WO 2009142285A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
secret
random number
secret information
access structure
Prior art date
Application number
PCT/JP2009/059407
Other languages
English (en)
French (fr)
Inventor
賢 尾花
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2010513064A priority Critical patent/JP5381981B2/ja
Publication of WO2009142285A1 publication Critical patent/WO2009142285A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes

Definitions

  • the present invention relates to a distributed information generation device, a restoration device, a verification device, a secret information distribution system, a program, and a recording medium, and in particular, a distributed information generation device, a recovery device, a verification device, and a secret information distribution that distribute and securely store secret information
  • the present invention relates to a system, a program, and a recording medium.
  • Patent Document 1 When storing confidential information (for example, a secret key used for encryption), there are threats of loss or destruction and the threat of theft. It is effective to make a copy of secret information against the former threat, but creating the copy increases the threat against the latter theft.
  • Patent Document 1 and Patent Document 2 As one of information security techniques for solving such a problem, a method of performing encryption using a secret sharing method is known (see Patent Document 1 and Patent Document 2).
  • the secret sharing method distributes secret information to multiple shared information and collects predetermined shared information, so that the secret can be uniquely restored. However, even if other shared information is collected, no secret information is leaked. Has characteristics. In this specification, the number of pieces of shared information is n, and each piece of shared information is identified from 1 to n.
  • a set of shared information that can restore a secret can be defined by a set of shared information ⁇ called an access structure.
  • the access structure ⁇ is a set family having as an element a set of identifiers of the minimum shared information that can restore the secret.
  • the shared information set w can restore the secret.
  • V such that V ⁇ and V ⁇ W exists for the identifier set ⁇ W of the shared information corresponding to w.
  • a set W of shared information identifiers satisfying the above properties is defined as an access set of ⁇ .
  • the (k, n) threshold method is called. (1) Of the n pieces of shared information, less than k pieces of shared information do not provide any information about the secret. (2) From k or more pieces of shared information
  • ⁇ ⁇ V
  • V the number of elements of V is k ⁇
  • the “tampering” referred to here includes not only an intentional change but also an unintended change such as a device failure or a simple mistake.
  • Non-Patent Documents 2 to 3 and Non-Patent Documents 5 to 7 are known.
  • Non-Patent Document 2 no matter what probability distribution is selected for secret information, ⁇ n-1 shared information is referenced, and at most k-1 shared information is tampered with. It describes a (k, n) threshold method that can be detected with a probability of (1- ⁇ ).
  • the secret information is a set of the number of elements s
  • the distributed information is a set of the number of elements ((s-1) (k-1) / ⁇ + k) ⁇ 2. .
  • Non-Patent Document 3 refers to a fraud that refers to k- 1 shared information on condition that secret information is selected according to a uniform probability distribution, and falsifies at most k-1 pieces of shared information. It describes a (k, n) threshold method that can be detected with a probability of (1- ⁇ ). In the method described in Non-Patent Document 3, when the secret information is a set of the number of elements s, the distributed information is a set of the number of elements (1+ (s ⁇ 1) / ⁇ ).
  • Non-Patent Document 4 describes an (n, n) threshold-type secret sharing method.
  • Non-Patent Document 5 regardless of what probability distribution the secret information is selected, ⁇ k-1 pieces of shared information are referenced, and at most k-1 pieces of shared information are tampered with. A secret sharing method that can be detected with a probability of (1- ⁇ ) is described. In the method described in Non-Patent Document 5, when the secret information is a set of the number of elements s, the distributed information is a set of the number of elements s / ( ⁇ ⁇ 2).
  • Non-Patent Document 6 regardless of the probability distribution of the distributed information, n-1 pieces of shared information are referred to and fraudulent in which at most k-1 pieces of shared information are falsified. It describes a (k, n) threshold method that can be detected with a probability of (1- ⁇ ).
  • the secret information is a set of the number of elements s, and when s is s ⁇ 1 / ⁇ , the set is s ⁇ 2 / ⁇ .
  • Non-Patent Document 7 regardless of the probability distribution of the distributed information, n-1 pieces of shared information are referenced, and at most k-1 pieces of shared information are tampered with. It describes a (k, n) threshold method that can be detected with a probability of (1- ⁇ ).
  • the secret information is a set of s elements, and when s is s ⁇ 1 / ⁇ , a set of approximately s * (log s) ⁇ [k + 1] / ⁇ become.
  • Non-Patent Documents 3, 6, and 7 propose a method only for the (k, n) threshold method, and the secret sharing method other than the threshold method is used to store n ⁇ 1 pieces of shared information.
  • a secret sharing method that is safe against fraud that alters one or more of the shared information has not been proposed.
  • Non-Patent Document 7 is a method applicable to an arbitrary secret sharing method.
  • Non-Patent Document 7 is a method for detecting falsification of shared information depending on whether the check data and the value of the function calculated from the restored secret are desired.
  • the security of the method is falsified. This is strongly tied to the structure of the function used for detection, and therefore has the problem that there is only one type of hash function that can be applied.
  • the present invention has been made in view of such a situation, and it is possible to detect fraud regardless of the distribution of secret information, and n-1 distributions with respect to the number n of distributed information
  • the objective is to perform secure secret sharing against fraud that refers to information and falsifies one or more of the shared information.
  • a first shared information generating apparatus includes secret information distributing means for distributedly encoding secret information according to an access structure, random number information distributing means for distributedly encoding random information according to an access structure, and the secret information And a check data generation unit that generates check data corresponding to the random number information, the check data generation unit including secret information s that is an element of the set S, a random number H (e_i, s) for the random number information r that is the source of the information set R, the function h (h: E ⁇ S ⁇ A), and the function f (f: R ⁇ [1, n] ⁇ A)
  • a second shared information generation device stores the distributed encoded secret information, the distributed encoded random number information, and check data in the first distributed information generation device, respectively. It has the memory
  • h ((e_0, e_1), s) e_0 + e_1 * s_1 + e_1 ⁇ 2 * s_2 + ... + e_1 ⁇ N + s_N.
  • the fourth shared information generating apparatus is the shared information generating apparatus according to any one of the first to third aspects, wherein the secret information distributing means has (k, n ) It uses a threshold access structure.
  • the fourth shared information generating apparatus is the shared information generating apparatus according to any one of the first to third aspects, wherein the secret information distributing unit performs secret distribution as the secret sharing method. It is characterized by using the (n, n) threshold method performed by summing information.
  • a first restoration device includes secret information distributedly encoded according to an access structure of a secret sharing method, random number information distributedly encoded according to the access structure of the secret sharing method, and the secret information Storage means for storing check data generated corresponding to the random number information; and secret information distributed and encoded is read from the storage means corresponding to the access structure; and the secret information is read according to the access structure.
  • the random number information restoring means for reading the distributed information from the storage means corresponding to the access structure, restoring the random number information according to the access structure, and the access structure
  • Read check data from all corresponding storage means, and all the read check data are If the secret information restored by the secret information restoration unit and the random number information restored by the random number information restoration unit are supported, the restored secret information is output, and if not, a signal indicating fraud is output.
  • a fraud detection means wherein the fraud detection means includes a secret information s that is an element of a set S, a random information r that is an element of a random information set R, and an access structure of a secret sharing method.
  • F is arbitrarily different k-1 pieces (where k is the maximum number of distributed information necessary to restore the secret) 1 to n Pr [] for an integer i_1, i_2, ..., i_ [k-1] and any different k-1
  • h (e, s) a ⁇
  • the secret information distributing unit uses an access structure of a (k, n) threshold method as an access structure of a secret sharing method. It is characterized by.
  • the secret information sharing unit performs secret restoration by taking the sum of all shared information as the secret sharing method (n , n) is characterized by using a threshold method.
  • a fifth restoration device includes secret information distributedly encoded according to an access structure of a secret sharing method, random number information distributedly encoded according to the access structure of the secret sharing method, and the secret information Storage means for storing the check data data generated corresponding to the random number information, and reading out the secret information distributedly encoded from the storage means corresponding to the access structure, and the secret according to the access structure Secret information restoring means for restoring information, random number information restoring means for reading random-coded random information from the storage means corresponding to the access structure, and restoring the random number information according to the access structure; and the access structure Read all the check data from all the storage means corresponding to the If the secret information restored by the secret information restoration means corresponds to the random information restored by the random information restoration means, the restored secret information and the restored random number are output.
  • a fraud detection unit that outputs a signal indicating the fraud detection unit, the fraud detection unit including the secret information s that is the source of the set S and the random number information r that is the source of the random number information set R And the check data e_ [i_1], e_ [i_2], ..., e_ [i_m] corresponding to the access structure of the secret sharing method as input, and the function h (h: E ⁇ S ⁇ A) and function
  • the restored check data is the secret information restoration It is determined that it corresponds to the secret information restored by the means, and f is an arbitrary different k-1 individual (k is necessary for restoring the secret
  • the maximum number of shared information) 1 to _2n integer i_1, i_2, ..., i_ [k-1] and any different k-1 elements A
  • the first verification device obtains secret information, random number information, and check data, and when the check data corresponds to the secret information and the random number information, the secret information
  • a verification device characterized by outputting a signal indicating that the non-falsification of the verification has been verified, and outputting a signal indicating fraud if it is not compatible with the secret information s that is the source of the set S ,
  • the check data corresponds to the secret information, and ⁇ f is any different k-1 ⁇ ⁇
  • the secret information distribution unit uses an access structure of a (k, n) threshold method as an access structure of the secret distribution method. It is characterized by.
  • the secret information distribution unit performs secret recovery by taking the sum of all distributed information as the secret distribution method (n , n) is characterized by using a threshold method.
  • a first secret information distribution system is a secret information distribution system including the first shared information generation device and the first restoration device.
  • a second secret information distribution system is a secret information distribution system including the third shared information generation device and the second restoration device.
  • a third secret information distribution system is a secret information distribution system including the fourth shared information generation device and the third restoration device.
  • a fourth secret information distribution system is the secret information distribution system including the fifth shared information generation device and the fourth restoration device.
  • a fifth secret information sharing system includes the first shared information generation device, the first restoration device, and the first verification device. It is.
  • a sixth secret information sharing system includes the third shared information generation device, the second restoration device, and the second verification device. It is.
  • a seventh secret information sharing system includes the fourth shared information generation device, the third restoration device, and the third verification device. It is.
  • An eighth secret information sharing system includes the fifth shared information generation device, the fourth restoration device, and the fourth verification device. It is.
  • the distributed information generation program includes a secret information distribution process for distributedly encoding secret information according to an access structure, a random information distribution process for distributedly encoding random information according to an access structure, the secret information, and the random number
  • a check data generation program for causing a computer to execute a check data generation process for generating check data corresponding to information, wherein the check data generation process includes secret information s that is an element of the set S, a random number H (e_i, s) for the random number information r that is the source of the information set R, the function h (h: E ⁇ S ⁇ A), and the function f (f: R ⁇ [1, n] ⁇ A)
  • the restoration program includes secret information distributedly encoded according to an access structure of a secret sharing method, random number information distributedly encoded according to the access structure of the secret sharing method, the secret information, and the random information.
  • the check data is read from the storage means, and all of the read check data is If the secret information restored by the secret information restoration unit and the random number information restored by the random number information restoration unit are supported, the restored secret information is output, and if not, a signal indicating fraud is output.
  • a fraud detection process that causes a computer to execute a fraud detection process, wherein the fraud detection process includes secret information s that is an element of a set S, random information r that is an element of a random information set R, and a secret sharing method.
  • the verification program obtains secret information, random number information, and check data, and when the check data corresponds to the secret information and the random number information, the confidential information is not falsified.
  • a verification program characterized by outputting a signal indicating that the security has been verified, and outputting a signal indicating fraud if it is not supported, and the secret information s that is the source of the set S and the random number information
  • the recording medium according to the present invention is a computer-readable recording medium that records the processing of any one of the distributed information generation program, the restoration program, and the verification program.
  • the present invention regardless of the distribution of the secret information, it is possible to detect fraud that refers to the n-1 pieces of shared information, falsifies one or more of the shared information, and It can be applied to any secret sharing method.
  • fraud can be detected by determining whether or not the restored check data corresponds to the restored secret information. If a data set with a small number of elements is used as the check data, the distributed information Data size can be reduced.
  • check data can be selected uniformly and randomly, even if secret information is selected according to any distribution and n-1 pieces of distributed information are referenced, a high fraud detection rate can be guaranteed. .
  • the check data and non-tampering check are independent of the secret sharing method to be applied, it can be applied to any secret sharing method and tamper detection can be performed from a very wide class of functions. . Furthermore, by setting the result of inputting the check data and the restored secret value to the check formula used for the non-tampering check so as to have a highly random value, there is a problem in Non-Patent Document 7. In addition, the problem that only one type of check expression can be selected can be solved.
  • Access structure An access structure is a set family having as a component the minimum set of shared information that can be restored in the secret sharing method.
  • a set W in which V such that V ⁇ and V ⁇ W exists is defined as an access set of ⁇ .
  • Secret information data set S A set of secret information s to be stored.
  • Random number data set R A set of distributed random numbers r.
  • Distributed secret information data set VS_1, VS_2,..., VS_n A set of data (distributed information) obtained by distributedly encoding the secret information s ⁇ S.
  • VS_i represents the i-th set of distributed information.
  • Random number distributed information data set VR_1, VR_2,..., VR_n points to a set of data (distributed information) obtained by distributedly encoding random numbers r ⁇ R.
  • VR_i represents the i-th set of distributed information.
  • Check data set E A set of check data generated corresponding to the secret information s ⁇ S and the random number r ⁇ R.
  • Operator In this specification, the symbols +,-, *, and ⁇ are used as a sum, difference, product, and power operator, respectively.
  • the secret information distribution system generates check data corresponding to the secret information when storing the secret information, and distributes the secret information and the check data according to a predetermined access structure. And store them in a storage device.
  • the secret information and the check data that are distributed and encoded are read from the plurality of storage devices corresponding to any of the access structures, and the secret information and the check data are read out. Restore. Then, it is determined whether the restored check data corresponds to the secret information. If the check data is supported, it is determined that the restored secret information is correct. If the data is not supported, the check data is invalid (tampered). ).
  • the secret information sharing system has a configuration including a shared information generating device 100, a restoring device 200, and a plurality of storage devices 300_1 to 300_n.
  • the storage devices 300_1 to 300_n are distributed secret information storage units 301_1 to 301_n in which elements of the distributed secret information data sets VS_1 to VS_n are stored, and random number distributed information storage units in which elements of the random number distributed information data sets VR_1 to VS_n are stored.
  • FIG. 1 is a configuration block diagram of the shared information generating apparatus 100.
  • the shared information generation device 100 includes a secret information distribution unit 101, a random number information distribution unit 102, and a check data generation device 103.
  • the secret information dispersal unit 101 receives the secret information s (2) as input, and n pieces of data vs_1, vs_2,..., Vs_n obtained by distributing and encoding the secret information s (2) according to a predetermined access structure ⁇ . Output (vs_i ⁇ VS).
  • the random number information distribution unit 102 internally generates a random number r ⁇ R, and the generated random number r and n pieces of data vr_1, vr_2, ..., obtained by distributedly encoding the random number r according to the access structure ⁇ . vr_n is output.
  • the check data generation unit 103 receives the secret information s ⁇ S and the random number r ⁇ R that is the output of the random number information distribution unit 102, and receives n independent check data e_1, e_2, ..., e_n. (However, e_i ⁇ E is output.
  • h (e, s)
  • the shared information generating apparatus 100 receives the secret information s that is the element (element) of the secret information data set S as input, and outputs the VS that is the output of the secret information sharing unit to the distributed secret information storage units 301_1 to 301_n in the storage units 301 to 301.
  • the original check data e_ 1 to e_n are stored.
  • FIG. 2 is a configuration block diagram of the restoration device 200.
  • the restoration device 200 includes a secret information restoration unit 201, a random number information restoration unit 202, and a fraud detection unit 203.
  • the secret information restoration unit 201 reads the data stored in the distributed secret information storage unit 302 included in the plurality of storage units 301 corresponding to the arbitrary access set W of the predetermined access structure ⁇ , and restores the restored secret information data s ⁇ S Is output.
  • the random number information restoration unit 202 reads the data stored in the random number distribution information storage unit 302 included in the plurality of storage units 301 corresponding to W for the access structure ⁇ and the access set W, and uses the restored random number r ⁇ R. Output.
  • the distributed information generation device 100 shown in FIG. 1 and the restoration device 200 shown in FIG. 2 are realized by a semiconductor integrated circuit such as an LSI (Large Scale Integration) or a DSP (Digital Signal Processor) composed of a logic circuit, for example.
  • the distributed information generation apparatus 100 and the restoration apparatus 200 perform a predetermined process according to a program, and an input for inputting a command, information, or the like to the processing apparatus 10.
  • the processing device 10 illustrated in FIG. 3 causes the CPU 11, the main storage unit 12 that temporarily stores information necessary for the processing of the CPU 11, and the CPU 11 to execute processing as the distributed information generation unit 102 or the restoration device 200 described later.
  • Memory control for controlling data transfer between the recording medium 13 in which the program for recording is recorded, the data storage unit 14 in which secret information and access structure data are stored, and the main storage unit 12, the recording medium 13 and the data storage device 14
  • the interface unit 15 includes an I / O interface unit 16 that is an interface unit between the input device 20 and the output device 30, and these are connected via a bus 18.
  • the data storage unit 14 does not need to be in the processing apparatus 10 and may be provided independently from the processing apparatus 10. Further, the data storage unit 14 may be used as the storage unit 300 including the distributed secret information storage unit 301, the random number distributed information storage unit 302, and the distribution check data storage unit 303.
  • the processing device 10 realizes a function as a distributed information generation unit 102 or a restoration device 200 described later according to a program recorded in the recording medium 13.
  • the recording medium 13 may be a magnetic disk, a semiconductor memory, an optical disk, or other recording medium.
  • FIG. 4 is a flowchart showing the operation of the shared information generation apparatus 100
  • FIG. 5 is a flowchart showing the operation of the restoration apparatus 200.
  • the shared information generation unit 102 receives the secret information s (2) that is the source of the secret information data set S (step S1).
  • Step S2 When the secret information s is input to the secret information distribution unit 101, the shared information generation device 100 performs distributed encoding on the secret information s according to a predetermined access structure ⁇ , and the distributed secret information storage unit 301 of the storage device 300. (Step S2).
  • the shared information generating apparatus 100 generates a random number r using the random number information distributing unit 102, distributes and encodes the generated r according to the access structure ⁇ , and stores the generated random number in the random number distributed information storage unit 302 of the storage device 300. (Step S3).
  • the restoration device 200 inputs data read from the distributed secret information storage unit 301 of the plurality of storage devices 300 corresponding to an arbitrary access set W of the access structure ⁇ to the secret information restoration unit 201. Then, the original s of the secret information data set S is restored (step S5).
  • the restoration device 200 inputs the data read from the random number distribution information storage units 302 of the plurality of storage devices 300 corresponding to the access set W to the random number information restoration unit 202, and restores the original r of the random number information set R (Step S6).
  • the restoration device 200 stores the source data s of the secret information data set S restored in step T5, the r restored in step T6, and the check data storage of the plurality of storage devices 300 corresponding to the access set W.
  • H_i h (e_i, s) is calculated for all the data e_i read from the section (step S7).
  • fraud can be detected by determining whether or not the restored check data corresponds to the restored secret information, and a data set with a small number of elements is used as the check data. If used, the data size of the distributed information can be reduced.
  • check data can be selected uniformly and randomly, a high fraud detection rate can be guaranteed regardless of the distribution of secret information.
  • the fraud detection check is performed on the secret information after being restored, it has the feature that fraud can be detected regardless of the secret sharing method used.
  • the secret information sharing system in the present embodiment is configured to include a shared information generation device 100, a restoration device 200, a verification device 400, and a plurality of storage devices 300_1 to 300_n.
  • the storage devices 300_1 to 300_n are distributed secret information storage units 301_1 to 301_n in which the elements of the distributed secret information data sets VS_1 to VS_n are stored, and random number distributed information storage units in which the elements of the random number distributed information data sets VR_1 to VS_n are stored.
  • 302_1 to 302_n and check data storage units 303_1 to 303_n in which the sources of the check data set E are stored.
  • the configuration of the distributed information generation apparatus 100 in this embodiment is as shown in FIG.
  • the configuration of the restoration apparatus 200 according to the present embodiment is as shown in FIG.
  • the restoration device 200 includes a secret information restoration unit 201, a random number information restoration unit 202, and a fraud detection unit 203.
  • the secret information restoration unit 201 and random number information restoration unit 202 according to this embodiment are the same as those in the above embodiment.
  • the fraud detection unit 203 differs in that it outputs not only secret information but also random numbers.
  • the storage device 300_i does not provide data at the time of secret restoration, after the secret is restored, the secret information s and the random number information r output from the restoration device 200 are stored in the storage device 300_i.
  • the verification device 400 By inputting the checked data to the verification device 400, it is possible to verify the non-falsification of the restored s.
  • the secret sharing access structure is a (k, n) threshold type access structure
  • the secret information distributing unit 101 and the random number information distributing unit 102 are described in Non-Patent Document 1 (k , n)
  • the distributed information is encoded using the threshold value method, and the secret information restoration unit 201 and the random number information restoration unit 202 use the restoration method corresponding to the (k, n) threshold method. Can be restored.
  • Secret information s (s_1, s_2,..., S_N) ⁇ GF (p ⁇ N) (each s_i ⁇ GF (p)) is input to the shared information generating apparatus 100 according to the present embodiment.
  • the shared information generating apparatus 100 randomly generates a k ⁇ 1 order polynomial whose constant term on GF (p ⁇ N) is s by the secret information distributing unit 101.
  • This k-1 degree polynomial is denoted as f_s (x).
  • the secret information dispersal unit 101 calculates f_s (1), f_s (2),..., F_s (n) for different 2,1,2, ..., n and stores the calculation result in the storage device 300_1.
  • the distributed secret information storage unit 301_1 Stored in the distributed secret information storage unit 301_1, the distributed secret information storage unit 301_2 of the storage device 300_2, ..., and the distributed secret information storage unit 301_n of the storage device 300_n.
  • the random number information distribution unit 102 generates a random number r that is an element of GF (p ⁇ [k-1]), and a k ⁇ 1 order polynomial whose constant term on GF (p ⁇ [k-1]) is r. Is generated randomly. This k-1 degree polynomial is denoted as f_r (x).
  • the random number information distribution unit 102 calculates f_r (1), f_r (2),..., F_r (n) for i_1, i_2,..., I_n, and stores the calculation result in the storage device 300_1. Stored in the random number distribution information storage unit 302_1 of the storage device 300_2, the random number distribution information storage unit 302_2 of the storage device 300_2.
  • the data is stored in the check data storage unit 303_i of the storage device 300_i.
  • H and F are functions defined as follows.
  • H (e_ [i], s) e_ [i0] + (s_1 * e_ [i1] + s_2 * e_ [i1] ⁇ 2 + ...
  • the restoration device 200 reads data from each of the distributed secret information storage units 301 of the storage units 301_ [i_1], 301_ [i_2], ..., 301_ [i_k]. These data are written as vs_ [i_1], vs_ [i_2],..., vs_ [i_k].
  • the restoration device 200 reads data from each random number distribution information storage unit 302 of the storage devices 300_ [i_1], 300_ [i_2],..., 300_ [i_k]. These data are denoted as vr_ [i_1], vr_ [i_2], ..., vr_ [i_k].
  • the size of the secret information is p ⁇ N
  • the size of the shared information is p ⁇ [N + k + 1]
  • the fraud detection rate is (1-N / p ).
  • the size of the distributed information can be expressed as s * ((log s) / ⁇ ) ⁇ [k + 1].
  • the size of the shared information of the secret sharing method described in Non-Patent Document 2 is ((s-1) (k-1) / ⁇ + k) ⁇ 2, and the size of the shared information of Non-Patent Document 6 is s ⁇ 2 / ⁇ . Therefore, when ⁇ ⁇ ⁇ s is large and k is small, it can be seen that the size of the distributed information in this embodiment is smaller than both types.
  • the secret sharing access structure is a (n, n) threshold type access structure
  • the secret information distributing unit 101 and the random number information distributing unit 102 are described in Non-Patent Document 4 (n , n)
  • the distributed information is encoded using the threshold value method, and the secret information restoration unit 201 and the random number information restoration unit 202 use the restoration method corresponding to the (n, n) threshold method, Can be restored.
  • Secret information s (s_1, s_2,..., S_N) ⁇ GF (p ⁇ N) (each s_i ⁇ GF (p)) is input to the shared information generating apparatus 100 according to the present embodiment.
  • the data is stored in the data storage unit 303_i.
  • H and F are functions defined as follows.
  • H (e_ [i], s) e_ [i0] + (s'_1 * e_ [i1] + s'_2 * e_ [i1] ⁇ 2 + ...
  • the restoration device 200 reads data from each distributed secret information storage unit 301 of the storage units 301_1, 301_2,..., 301_n. These data are written as vs_1, vs_2,..., vs_n.
  • the restoration device 200 reads data from each random number distribution information storage unit 302 of the storage devices 300_1, 300_2,..., 300_n. These data are written as vr_1, vr_2, ..., vr_n.
  • the size of the secret information is p ⁇ N
  • the size of the shared information is p ⁇ [N + n + 1]
  • the fraud detection rate is (1-N / p ).
  • the size of the distributed information can be expressed as s * ((log s) / ⁇ ) ⁇ [k + 1].
  • the size of the shared information of the secret sharing method described in Non-Patent Document 2 is ((s-1) (k-1) / ⁇ + k) ⁇ 2, and the size of the shared information of Non-Patent Document 6 is s ⁇ 2 / ⁇ . Therefore, when ⁇ ⁇ ⁇ s is large and k is small, it can be seen that the size of the distributed information in this embodiment is smaller than both types.
  • the secret sharing access structure is a (k, n) threshold type access structure as in the first embodiment, and the secret information distributing unit 101 and the random number information distributing unit 102 are non-patent documents.
  • the secret information restoration unit 201 and the random number information restoration unit 202 perform a restoration method corresponding to the (k, n) threshold method. It is possible to restore secret information and random number information.
  • Secret information s (s_1, s_2,..., S_N) ⁇ GF (p ⁇ N) (each s_i ⁇ GF (p)) is input to the shared information generating apparatus 100 according to the present embodiment.
  • the shared information generating apparatus 100 randomly generates a k ⁇ 1 order polynomial whose constant term on GF (p ⁇ N) is s by the secret information distributing unit 101.
  • This k-1 degree polynomial is denoted as f_s (x).
  • the secret information dispersal unit 101 calculates f_s (1), f_s (2),..., F_s (n) for different 2,1,2, ..., n and stores the calculation result in the storage device 300_1.
  • the distributed secret information storage unit 301_1 Stored in the distributed secret information storage unit 301_1, the distributed secret information storage unit 301_2 of the storage device 300_2, ..., and the distributed secret information storage unit 301_n of the storage device 300_n.
  • the random number information distribution unit 102 generates a random number r that is an element of GF (p ⁇ [k-1]), and a k ⁇ 1 order polynomial whose constant term on GF (p ⁇ [k-1]) is r. Is generated randomly. This k-1 degree polynomial is denoted as f_r (x).
  • the random number information distribution unit 102 calculates f_r (1), f_r (2),..., F_r (n) for i_1, i_2,..., I_n, and stores the calculation result in the storage device 300_1. Stored in the random number distribution information storage unit 302_1 of the storage device 300_2, the random number distribution information storage unit 302_2 of the storage device 300_2.
  • the data is stored in the check data storage unit 303_i of the storage device 300_i.
  • H and F are functions defined as follows.
  • H (e_ [i], s) e_ [i0] + (s_1 * e_ [i1] + s_2 * e_ [i1] ⁇ 2 + ...
  • the restoration device 200 reads data from each of the distributed secret information storage units 301 of the storage units 301_ [i_1], 301_ [i_2], ..., 301_ [i_k]. These data are written as vs_ [i_1], vs_ [i_2],..., vs_ [i_k].
  • the restoration device 200 reads data from each random number distribution information storage unit 302 of the storage devices 300_ [i_1], 300_ [i_2],..., 300_ [i_k]. These data are denoted as vr_ [i_1], vr_ [i_2], ..., vr_ [i_k].
  • the storage device 300_i that did not input the shared information to the restoration unit at the time of restoring the secret can also be checked with the check data stored in the check data storage device 303_i of the storage device 300_i after the secret restoration. From the restored secret information s ′ and the restored random number information r ′, it becomes possible to verify the non-falsification of the restored secret information s ′.
  • the size of the secret information is p ⁇ N
  • the size of the shared information is p ⁇ [N + k + 1]
  • the fraud detection rate is (1-N / p ).
  • the size of the distributed information can be expressed as s * ((log s) / ⁇ ) ⁇ [k + 1].
  • the size of the shared information of the secret sharing method described in Non-Patent Document 2 is ((s-1) (k-1) / ⁇ + k) ⁇ 2, and the size of the shared information of Non-Patent Document 6 is s ⁇ 2 / ⁇ . Therefore, when ⁇ ⁇ ⁇ s is large and k is small, it can be seen that the size of the distributed information in this embodiment is smaller than both types.
  • the program for the CPU to execute the processing shown in the flowcharts of the drawings constitutes a program according to the present invention.
  • a recording medium for recording the program a semiconductor storage unit, an optical and / or magnetic storage unit, or the like can be used.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

　秘密情報分散に関する分散情報生成装置、復元装置、検証装置、秘密情報分散システム、プログラム及び記録媒体を提供する。 　集合Sの元である秘密情報sと乱数情報集合Rの元である乱数情報r,関数h,関数f,に対しh(e_i,s)=f(r,i)を満たすn個の集合Eの元e_1,e_2,...,e_nをランダムに選び前記fは任意の相異なるk-1個の1以上n以下の整数i_1,i_2,...,i_[k-1]と、任意の相異なるk-1個のAの元a_1,a_2,...,a_[k-1]に対しPr[f(r,i_1)=a_1,f(r,i_2)=a_2,...,f(r,i_[k-1])]=1/|A|^[k-1]を、前記hは任意の相異なるSの元s,s'と任意のAの元a,a'に対し|{e | h(e,s)=a,h(e,s')=a'}|/|{e | h(e,s)=a}|≦εを満足する分散情報生成装置である。

Description

[規則37.2に基づきISAが決定した発明の名称]　分散情報生成装置
　本発明は分散情報生成装置、復元装置、検証装置、秘密情報分散システム、プログラム及び記録媒体に関し、特に秘密情報を分散して安全に保管する分散情報生成装置、復元装置、検証装置、秘密情報分散システム、プログラム及び記録媒体に関する。
　秘密情報（例えば暗号化に用いる秘密鍵）を保管する場合、紛失や破壊の脅威と盗難の脅威とがある。前者の脅威に対しては秘密情報のコピーを作成すれば有効であるが、コピーを作成することで後者の盗難に対する脅威が増してしまう。このような問題を解決するための情報セキュリティ技術の1つとして秘密分散法を用いて暗号化を行う方法が知られている（特許文献１、特許文献２参照）。
　秘密分散法は、秘密複数の分散情報に分散し、予め定められた分散情報を集めると秘密を一意に復元可能であるが、それ以外の分散情報を集めても秘密に関する情報を全く漏らさないという特徴を持つ。本明細書では、分散情報の数を n とし、各分散情報を 1 からn で識別する。秘密分散法では、秘密を復元できる分散情報の集合をアクセス構造という分散情報の集合族 Γ で定義することが可能である。アクセス構造 Γ は、秘密を復元できる最小の分散情報の識別子の集合を要素として持つ集合族であり、アクセス構造Γを持つ秘密分散法において、分散情報の集合 ｗ が秘密を復元可能であるとは、ｗ に対応する分散情報の識別子集合 Ｗ に対して、V∈Γ かつ V⊆W となるような Ｖ が存在することを意味する。また、前記のような性質を満たす分散情報識別子の集合ＷをΓのアクセス集合と定義する。
　例えば、(k,n)閾値法と呼ばれる、（１）n個の分散情報のうち、k個未満の分散情報では秘密に関する情報は全く得られない、（２）k個以上の分散情報からは秘密は一意に復元されるという特徴を持つ秘密分散法に置けるアクセス構造 Γ は Γ={V | V⊆[1,...,n] かつ V の要素数は k} という集合族によって定義される。以下、秘密分散法において、秘密情報を復元する際の問題点について考える。
　秘密情報を復元する場合、分散情報を保持する他のものから分散情報を集める必要がある。このとき、分散情報の被要求側が配付された値を改竄することなく復元者へ渡すとは限らない。なお、ここで言う「改竄」とは、意図的なものだけでなく、装置故障や単なるミス等の意図しない変更も含むものとする。
　改竄された分散情報を用いて秘密情報を復元すると、その値は秘密情報と異なる値になってしまうことがある。そのため、秘密分散法には復元に用いる分散情報に改竄された値が存在することを高い確率で検知できる手法が望まれる。また、運用形態によって分散情報が選択される手段は様々であり、分散情報がどのような確率分布にしたがって選択されても改竄された値の検知率が高いことが望まれる。これらの問題を解決するための一つの技術として下記の非特許文献２～３、非特許文献５～７の方法が知られている。
　非特許文献２には、秘密情報がどのような確率分布にしたがって選択されても、 n-1個の分散情報を参照し、そのうち高々k-1個の分散情報に対して改竄を行う不正を (1-ε)の確率で検知できる(k,n)しきい値法について記載されている。非特許文献１に記載された方法では、秘密情報を要素数sの集合とするとき、分散情報は要素数 ((s-1)(k-1)/ε+k)^2 の集合となる。
　非特許文献３には、秘密情報が一様な確率分布にしたがって選択されることを条件にk- 1個の分散情報を参照し、そのうち高々k-1個の分散情報の改竄を行う不正を(1- ε)の確率で検知できる(k,n)しきい値法について記載されている。非特許文献３に記載された方法では、秘密情報を要素数sの集合とするとき、分散情報は要素数 (1+(s-1)/ε)の集合になる。非特許文献４には、(n,n)しきい値型の秘密分散法が記載されている。
　非特許文献５には、秘密情報がどのような確率分布にしたがって選択されても、 k-1個の分散情報を参照し、そのうち高々k-1個の分散情報に対して改竄を行う不正を (1-ε)の確率で検知できる秘密分散法について記載されている。非特許文献５に記載された方法では、秘密情報を要素数sの集合とするとき、分散情報は要素数 s/(ε^2) の集合となる。
　非特許文献６には、分散情報がどのような確率分布にしたがって選択されても、 n-1個の分散情報を参照し、そのうち高々k-1個の分散情報に対して改竄を行う不正を (1-ε)の確率で検知できる(k,n)しきい値法について記載されている。非特許文献６に記載された方法では、秘密情報を要素数sの集合とし、s が s≦1/εとなる時、 s^2/εの集合となる。
　非特許文献７には、分散情報がどのような確率分布にしたがって選択されても、 n-1個の分散情報を参照し、そのうち高々k-1個の分散情報に対して改竄を行う不正を (1-ε)の確率で検知できる(k,n)しきい値法について記載されている。非特許文献７に記載された方法では、秘密情報を要素数sの集合とし、s が s≦1/εとなる時、およそ s*(log s)^[k+1]/εの集合となる。
特開２００５－３４６６５９号公報 特開２００６－３１１３８３号公報
Adi Shamir, "How to share a secret", Comm. ACM, 22(11), 612-613(1979) Martin Tompa, Heather Woll, "How to Share a Secret with Cheaters", Journal of Cryptology, vol.1, pages 133-138, 1988 Wakaha Ogata, Kaoru Kurosawa, Douglas R. Stinson, "Optimum Secret Sharing Scheme Secure Against Cheating", SIAM Journal on Discrete Mathematics, vol.20, no1, pages 79-95, 2006 J. Benaloh and J. Leichter, Generalized secret sharing and monotone functions, in "Advances in Cryptology -- CRYPTO '88", S. Goldwasser,ed., Lecture Notes in Computer Science 403, pages 27-35, 1989 Satoshi Obana and Toshinori Araki, "Almost Optimum Secret Sharing Schemes Secure Against Cheating for Arbitrary Secret Distribution",Advances in Cryptology -- Asiacrypt 2006, Lecture Notes in Computer Science 4284, pp. 364--379, 2006 Toshinori Araki, "Efficient (k,n) Threshold Secret Sharing Schemes Secure Against Cheating from n-1 Cheaters", Proceedings of ACISP 2007, Lecture Notes in Computer Science 4586, pp. 133--142, 2007 尾花 賢, "n-1人の不正者に対して安全な秘密分散法の一般的構成法", 2008年暗号と情報セキュリティシンポジウム, SCIS2008概要集, 2008
　上述の技術で、秘密情報がどのような確率で選択されていも、n-1個の分散情報を参照し、そのうち高々k-1個の分散情報を改竄する不正に対して安全な技術は、非特許文献３、６、および７だけである。しかしながら、非特許文献３および非特許文献６は(k,n )しきい値法についてしか方式を提案しておらず、しきい値法以外の秘密分散法で、n-1個の分散情報を参照して、そのうちの一つまたは複数の分散情報を改竄する不正に対して安全な秘密分散法は提案されていない。
　非特許文献７は、任意の秘密分散法に適用可能な方式である。非特許文献７ではチェック用のデータと、復元される秘密から計算される関数の値が所望のものになるかによって、分散情報の改竄検知を行う方式であるが、方式の安全性が、改竄検知に利用する関数の構造に強く結び付いており、そのため適用できるハッシュ関数が一種類しかないという問題を有している。
　本発明はこのような状況に鑑みてなされたものであり、秘密情報がどのような分布に従って選ばれても不正の検知が可能であり、かつ分散情報数nに対し、n-1個の分散情報を参照し、そのうちの一つまたは複数の分散情報を改竄する不正に対して安全な秘密分散を行うことを目的とする。
　本発明に係る第１の分散情報生成装置は、秘密情報をアクセス構造にしたがって分散符号化する秘密情報分散手段と、乱数情報をアクセス構造にしたがって分散符号化する乱数情報分散手段と、前記秘密情報と前記乱数情報に対応するチェック用データを生成するチェック用データ生成手段と、を有する分散情報生成装置であって、前記チェック用データ生成手段は、集合Sの元である秘密情報sと、乱数情報集合Rの元である乱数情報rと、関数 h (h: E×S→A)と、関数 f (f: R×[1,n]→A)に対して、h(e_i,s)=f(r,i)を満たすn個の集合 E の元e_1,e_2,...,e_nをランダムに選ぶことを特徴とし、前記 f は、任意の相異なる k-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1以上 n以下の整数 i_1,i_2,...,i_[k-1] と、任意の相異なる k-1 個の A の元a_1,a_2,...,a_[k-1] に対して、 Pr[f(r,i_1)=a_1, f(r,i_2)=a_2,...,f(r,i_[k-1])]= 1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする分散情報生成装置である。
　本発明に係る第２の分散情報生成装置は、上記第１の分散情報生成装置において、前記分散符号化された秘密情報と、前記分散符号化された乱数情報と、チェック用データとをそれぞれ格納する記憶手段を有することを特徴とする。
　本発明に係る第３の分散情報生成装置は、上記第１又は第２の分散情報生成装置において、前記チェック用データ生成手段は、要素数p^Nの体の元である秘密情報 s=(s_1,s_2,...,s_N)と、要素数p^[k-1]の体の元である乱数情報 r=(r_1,r_2,...,r_[k-1])とに対して、関数 f が、f(r,i) = r_1 + r_2 * i + r_3 * i^2 + ... + r_[k-1] * i^[k-1] であり、関数 h が、 h((e_0,e_1),s) = e_0 + e_1*s_1 + e_1^2*s_2 + ... + e_1^N+s_N で定義されることを特徴とする。
　本発明に係る第４の分散情報生成装置は、上記第１から３のいずれか１項記載の分散情報生成装置において、前記秘密情報分散手段は、秘密分散法のアクセス構造として、(k,n)しきい法のアクセス構造を用いることを特徴とする。
　本発明に係る第４の分散情報生成装置は、上記第１から３のいずれか１項記載の分散情報生成装置において、前記秘密情報分散手段は、前記秘密分散法として、秘密の復元を全分散情報の和を取ることによって行う(n,n)しきい法を用いることを特徴とする。
　本発明に係る第１の復元装置は、秘密分散法のアクセス構造にしたがって分散符号化された秘密情報と、前記秘密分散法のアクセス構造にしたがって分散符号化された乱数情報と、前記秘密情報と前記乱数情報に対応して生成されたチェック用データと、を格納する記憶手段と、前記アクセス構造に対応する前記記憶手段から分散符号化された秘密情報を読み出し、前記アクセス構造にしたがって前記秘密情報を復元する秘密情報復元手段と、前記アクセス構造に対応する前記記憶手段から分散符号化された乱数情報を読み出し、前記アクセス構造にしたがって前記乱数情報を復元する乱数情報復元手段と、前記アクセス構造に対応する全ての前記記憶手段からチェック用データを読み出し、読み出された前記チェック用データ全てが前記秘密情報復元手段で復元された秘密情報と前記乱数情報復元手段で復元された乱数情報に対応している場合は復元した秘密情報を出力し、対応していない場合は不正を示す信号を出力する不正検知手段と、を有する復元装置であって、前記不正検知手段は、集合Sの元である秘密情報sと、乱数情報集合Rの元である乱数情報rと、秘密分散法のアクセス構造に対応するチェック用データe_[i_1],e_[i_2],..., e_[i_m]とを入力とし、関数 h (h: E×S→A)と, 関数 f (f: R×[1,n]→A)に対して、h(e_[i_j],s)=f(r,i_j) を満たすとき、前記復元されたチェック用データが前記秘密情報復元手段で復元された秘密情報に対応していると判定することを特徴とし、前記 f は、任意の相異なるk-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1 以上 n 以下の整数 i_1,i_2,...,i_[k-1] と、任意の相異なる k-1 個の A の元a_1,a_2,...,a_[k-1] に対して、Pr[f(r,i_1)=a_1,f(r,i_2)=a_2,...,f(r,i_[k-1])] =1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする復元装置である。
　本発明に係る第２の復元装置は、上記第１の復元装置において、前記チェック用データ生成手段は、要素数p^Nの体の元である秘密情報 s=(s_1,s_2,...,s_N)と、要素数p^[k-1]の体の元である乱数情報 r=(r_1,r_2,...,r_[k-1])とに対して、関数 f が、f(r,i) = r_1 + r_2 * i + r_3 * i^2 + ... + r_[k-1] * i^[k-1] であり、関数 h が、 h((e_0,e_1),s) = e_0 + e_1*s_1 + e_1^2*s_2 + ... + e_1^N+s_N で定義されることを特徴とする。
　本発明に係る第３の復元装置は、上記第１又は２の復元装置において、前記秘密情報分散手段は、秘密分散法のアクセス構造として、(k,n)しきい法のアクセス構造を用いることを特徴とする。
　本発明に係る第４の復元装置は、上記第１又は２の復元装置において、前記秘密情報分散手段は、前記秘密分散法として、秘密の復元を全分散情報の和を取ることによって行う(n,n)しきい法を用いることを特徴とする。
　本発明に係る第５の復元装置は、秘密分散法のアクセス構造にしたがって分散符号化された秘密情報と、前記秘密分散法のアクセス構造にしたがって分散符号化された乱数情報と、前記秘密情報と前記乱数情報に対応して生成されたチェック用データデータと、を格納する記憶手段と、前記アクセス構造に対応する前記記憶手段から分散符号化された秘密情報を読み出し、前記アクセス構造にしたがって前記秘密情報を復元する秘密情報復元手段と、前記アクセス構造に対応する前記記憶手段から分散符号化された乱数情報を読み出し、前記アクセス構造にしたがって前記乱数情報を復元する乱数情報復元手段と、前記アクセス構造に対応する全ての前記記憶手段からチェック用データを読み出し、読み出された前記チェック用データ全てが前記秘密情報復元手段で復元された秘密情報と前記乱数情報復元手段で復元された乱数情報に対応している場合は復元した秘密情報及び復元した乱数を出力し、対応していない場合は不正を示す信号を出力する不正検知手段と、を有することを特徴とする復元装置であり、前記不正検知手段は、集合Sの元である秘密情報sと、乱数情報集合Rの元である乱数情報rと、秘密分散法のアクセス構造に対応するチェック用データe_[i_1],e_[i_2],..., e_[i_m]を入力とし、関数 h (h: E×S→A)と, 関数 f (f: R×[1,n]→A)に対して、h(e_[i_j],s)=f(r,i_j) を満たすとき、前記復元されたチェック用データが前記秘密情報復元手段で復元された秘密情報に対応していると判定することを特徴とし、前記 f は、任意の相異なるk-1 個 （なお、kは秘密を復元するのに必要な分散情報の最大数）の 1 以上 n 以下の整数 i_1,i_2,...,i_[k-1] と、任意の相異なる k-1 個の A の元a_1,a_2,...,a_[k-1] に対して、 Pr[f(r,i_1)=a_1, f(r,i_2)=a_2,...,f(r,i_[k-1])]= 1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |[e | h(e,s)=a, h(e,s')=a']|/|[e | h(e,s)=a]|≦ε を満足することを特徴とする復元装置である。
　本発明に係る第１の検証装置は、秘密情報と、乱数情報と、チェック用データと、を取得し、前記チェック用データが前記秘密情報と前記乱数情報に対応している場合は、秘密情報の非改竄性が検証されたことを示す信号を出力し、対応していない場合は不正を示す信号を出力することを特徴とする検証装置であって、集合Sの元である秘密情報sと、乱数情報集合Rの元である乱数情報rと、秘密分散法のアクセス構造に対応するチェック用データe_[i_1],e_[i_2],..., e_[i_m]とを入力とし、関数 h (h: E×S→A)と, 関数 f (f: R×[1,n]→A)に対して、h(e_[i_j],s)=f(r,i_j) を満たすとき、チェック用データが前記秘密情報に対応していると判定することを特徴とし、前記 f は、任意の相異なるk-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1 以上 n 以下の整数i_1,i_2, ...,i_[k-1] と、任意の相異なる k-1 個の A の元 a_1,a_2,...,a_[k-1]に対して、 Pr[f(r,i_1)=a_1, f(r,i_2)=a_2,...,f(r,i_[k-1])]=1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、 前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする検証装置である。
　本発明に係る第２の検証装置は、上記第１の検証装置において、前記チェック用データ生成手段は、要素数p^Nの体の元である秘密情報 s=(s_1,s_2,...,s_N)と、要素数p^[k-1]の体の元である乱数情報 r=(r_1,r_2,...,r_[k-1])とに対して、関数 f が、f(r,i) = r_1 + r_2 * i + r_3 * i^2 + ... + r_[k-1] * i^[k-1] であり、関数 h が、 h((e_0,e_1),s) = e_0 + e_1*s_1 + e_1^2*s_2 + ... + e_1^N+s_N で定義されることを特徴とする。
　本発明に係る第３の検証装置は、上記第１又は２の検証装置において、前記秘密情報分散手段は、秘密分散法のアクセス構造として、(k,n)しきい法のアクセス構造を用いることを特徴とする。
　本発明に係る第３の検証装置は、上記第１又は２の検証装置において、前記秘密情報分散手段は、前記秘密分散法として、秘密の復元を全分散情報の和を取ることによって行う(n,n)しきい法を用いることを特徴とする。
　本発明に係る第１の秘密情報分散システムは、上記第１の分散情報生成装置と、上記第１の復元装置と、を有することを特徴とする秘密情報分散システムである。
　本発明に係る第２の秘密情報分散システムは、上記第３の分散情報生成装置と、上記第２の復元装置と、を有することを特徴とする秘密情報分散システムである。
　本発明に係る第３の秘密情報分散システムは、上記第４の分散情報生成装置と、上記第３の復元装置と、を有することを特徴とする秘密情報分散システムである。
　本発明に係る第４の秘密情報分散システムは、上記第５の分散情報生成装置と、上記第４の復元装置と、を有することを特徴とする秘密情報分散システムである。
　本発明に係る第５の秘密情報分散システムは、上記第１の分散情報生成装置と、上記第１の復元装置と、上記第１の検証装置と、を有することを特徴とする秘密情報分散システムである。
　本発明に係る第６の秘密情報分散システムは、上記第３の分散情報生成装置と、上記第２の復元装置と、上記第２の検証装置と、を有することを特徴とする秘密情報分散システムである。
　本発明に係る第７の秘密情報分散システムは、上記第４の分散情報生成装置と、上記第３の復元装置と、上記第３の検証装置と、を有することを特徴とする秘密情報分散システムである。
　本発明に係る第８の秘密情報分散システムは、上記第５の分散情報生成装置と、上記第４の復元装置と、上記第４の検証装置と、を有することを特徴とする秘密情報分散システムである。
　本発明に係る分散情報生成プログラムは、秘密情報をアクセス構造にしたがって分散符号化する秘密情報分散処理と、乱数情報をアクセス構造にしたがって分散符号化する乱数情報分散処理と、前記秘密情報と前記乱数情報に対応するチェック用データを生成するチェック用データ生成処理と、をコンピュータに実行させる分散情報生成プログラムであって、前記チェック用データ生成処理は、集合Sの元である秘密情報sと、乱数情報集合Rの元である乱数情報rと、関数 h (h: E×S→A)と、関数 f (f: R×[1,n]→A)に対して、h(e_i,s)=f(r,i)を満たすn個の集合 E の元e_1,e_2,...,e_nをランダムに選ぶことを特徴とし、前記 f は、任意の相異なる k-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1以上 n以下の整数 i_1,i_2,...,i_[k-1] と、任意の相異なる k-1 個の A の元a_1,a_2,...,a_[k-1] に対して、Pr[f(r,i_1)=a_1,f(r,i_2)=a_2,...,f(r,i_[k-1])]= 1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする分散情報生成プログラムである。
　本発明に係る復元プログラムは、秘密分散法のアクセス構造にしたがって分散符号化された秘密情報と、前記秘密分散法のアクセス構造にしたがって分散符号化された乱数情報と、前記秘密情報と前記乱数情報に対応して生成されたチェック用データと、を格納する記憶処理と、前記アクセス構造に対応する前記記憶手段から分散符号化された秘密情報を読み出し、前記アクセス構造にしたがって前記秘密情報を復元する秘密情報復元処理と、前記アクセス構造に対応する前記記憶手段から分散符号化された乱数情報を読み出し、前記アクセス構造にしたがって前記乱数情報を復元する乱数情報復元処理と、前記アクセス構造に対応する全ての前記記憶手段からチェック用データを読み出し、読み出された前記チェック用データ全てが前記秘密情報復元手段で復元された秘密情報と前記乱数情報復元手段で復元された乱数情報に対応している場合は復元した秘密情報を出力し、対応していない場合は不正を示す信号を出力する不正検知処理と、をコンピュータに実行させる復元プログラムであって、前記不正検知処理は、集合Sの元である秘密情報sと、乱数情報集合Rの元である乱数情報rと、秘密分散法のアクセス構造に対応するチェック用データe_[i_1],e_[i_2],..., e_[i_m]とを入力とし、関数 h (h: E×S→A)と、 関数 f (f: R×[1,n]→A)に対して、 h(e_[i_j],s)=f(r,i_j) を満たすとき、前記復元されたチェック用データが前記秘密情報復元手段で復元された秘密情報に対応していると判定することを特徴とし、前記 f は、任意の相異なるk-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1 以上 n 以下の整数 i_1,i_2,...,i_[k-1] と、任意の相異なる k-1 個の A の元a_1,a_2,...,a_[k-1] に対して、Pr[f(r,i_1)=a_1,f(r,i_2)= a_2,...,f(r,i_[k-1])]=1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする復元プログラムである。
　本発明に係る検証プログラムは、秘密情報と、乱数情報と、チェック用データと、を取得し、前記チェック用データが前記秘密情報と前記乱数情報に対応している場合は、秘密情報の非改竄性が検証されたことを示す信号を出力し、対応していない場合は不正を示す信号を出力することを特徴とする検証プログラムであって、集合Sの元である秘密情報sと、乱数情報集合Rの元である乱数情報rと、秘密分散法のアクセス構造に対応するチェック用データe_[i_1],e_[i_2],..., e_[i_m]とを入力とし、関数 h (h: E×S→A)と, 関数 f (f: R×[1,n]→A)に対して、h(e_[i_j],s)=f(r,i_j) を満たすとき、チェック用データが前記秘密情報に対応していると判定することを特徴とし、前記 f は、任意の相異なるk-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1 以上 n 以下の整数i_1,i_2, ...,i_[k-1] と、任意の相異なる k-1 個の A の元 a_1,a_2,...,a_[k-1]に対して、Pr[f(r,i_1)=a_1, f(r,i_2)=a_2,...,f(r,i_[k-1])]= 1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする検証プログラムである。
　本発明に係る記録媒体は、上記分散情報生成プログラム、復元プログラム及び検証プログラムのいずれかのプログラムの処理を記録したコンピュータ読取り可能な記録媒体である。
　本発明によれば、秘密情報がどのような分布に従って選ばれても、n-1個の分散情報を参照し、そのうちの一つまたは複数の分散情報を改竄する不正を検知可能であり、かつ任意の秘密分散法にも適用することが出来る。
　また、復元されたチェック用データが復元された秘密情報に対応しているか否かを判定することで不正の検知が可能であり、チェック用データとして要素数の少ないデータ集合を用いれば分散情報のデータサイズを小さくできる。
　また、チェック用データを一様にランダムに選ぶことができるため、秘密情報がどのような分布にしたがって選ばれ、n-1個の分散情報が参照された場合でも高い不正の検知率が保証できる。
　また、チェック用データおよび非改竄性のチェックは、適用する秘密分散法に非依存のものであるため、任意の秘密分散法に適用可能であり、非常に広範なクラスの関数から改竄検知を行える。さらに、非改竄性チェックに用いるチェック式に、チェック用データと復元された秘密の値を入力した結果が、ランダム性の高い値になるよう設定することにより、非特許文献７での問題であった、チェック式を一種類しか選択できないという問題を解決することもできる。
本発明の実施形態に係る分散情報生成装置の構成ブロック図である。 本発明の実施形態に係る復元装置の構成ブロック図である。 本発明の実施形態に係る分散情報生成装置及び復元装置が行う処理を実行する処理装置の構成ブロック図である。 本発明の実施形態に係る分散情報生成装置の動作処理を示すフローチャートである。 本発明の実施形態に係る復元装置の動作処理を示すフローチャートである。 本発明の実施形態に係る検証装置の構成ブロック図である。
　以下に、本発明の実施形態について図面を用いて詳細に説明する。なお、以下に述べる実施の形態は、本発明の好適な実施の形態であるから、技術的に好ましい種々の限定が付されているが、本発明の範囲は、以下の説明において特に本発明を限定する旨の記載がない限り、これらの態様に限られるものではない。
　最初に本明細書で使用する用語について簡単に説明する。
　アクセス構造、アクセス集合：アクセス構造とは秘密分散法において秘密情報を復元可能な最小の分散情報の集合を要素としてもつ集合族である。また、アクセス構造 Γに対し、Ｖ∈ΓかつＶ⊆ＷとなるようなＶが存在するような集合ＷをΓのアクセス集合と定義する。アクセス集合 Ｗ に対応する秘密の分散情報を集めると、秘密の復元が可能となる。
　秘密情報データ集合Ｓ：保管対象となる秘密情報ｓの集合を指す。
　乱数データ集合Ｒ：分散される乱数rの集合を指す。
　分散秘密情報データ集合VS_1,VS_2,...,VS_n：秘密情報ｓ∈Ｓを分散符号化したデータ（分散情報）の集合を指す。VS_i は第i番目の分散情報の集合を表している。
　乱数分散情報データ集合VR_1,VR_2,...,VR_n：乱数ｒ∈Ｒを分散符号化したデータ（分散情報）の集合を指す。VR_i は第i番目の分散情報の集合を表している。
　チェック用データ集合Ｅ：秘密情報ｓ∈Ｓと乱数ｒ∈Ｒに対応して生成したチェック用データの集合を指す。
　演算子：本明細書において、+、-、*、^の記号をそれぞれ、和、差、積、冪乗演算子として用いる。
　本発明の実施形態に係る秘密情報分散システムは、秘密情報を保管する場合、秘密情報に対応するチェック用データを生成し、秘密情報及びチェック用データをそれぞれ予め定められたアクセス構造にしたがって分散符号化し、それらを記憶装置に格納する。
　また、秘密情報を復元する場合、アクセス構造のいずれかの元に対応する複数の記憶装置から分散符号化された秘密情報及び分散符号化されたチェック用データを読み出し、秘密情報及びチェック用データを復元する。そして、復元後のチェック用データが秘密情報に対応したものであるかを判定し、対応している場合は復元した秘密情報が正しいと判断し、対応していない場合は不正（改竄されている）と判断する。
　本発明の実施形態に係る秘密情報分散システムは、図１に示すように、分散情報生成装置１００、復元装置２００及び複数の記憶装置３００＿１～３００＿ｎを有する構成である。記憶装置３００＿１～３００＿ｎは、分散秘密情報データ集合VS_1～VS_nの元が格納される分散秘密情報記憶部３０１＿１～３０１＿ｎと、乱数分散情報データ集合 VR_1～VS_n の元が格納される乱数分散情報記憶部３０２＿１～３０２＿ｎと、チェック用データ集合Ｅの元が格納されるチェック用データ記憶部３０３＿１～３０３＿ｎとを備えている。
　まず、分散情報生成装置１００の構成について図１を用いて説明する。図１は分散情報生成装置１００の構成ブロック図である。図１に示すように、分散情報生成装置１００は、秘密情報分散部１０１、乱数情報分散部１０２、チェック用データ生成装置１０３を備えている。
　秘密情報分散部１０１は、秘密情報ｓ（２）を入力とし、秘密情報ｓ（２）を予め定められたアクセス構造Γにしたがって分散符号化したn個のデータ vs_1,vs_2,...,vs_n (vs_i∈VS)を出力する。
　乱数情報分散部１０２は、内部で乱数r∈Rを生成し、生成した前記乱数rと、前記乱数r を前記アクセス構造Γにしたがって分散符号化したn個のデータ vr_1,vr_2,...,vr_n とを出力する。
　チェック用データ生成部１０３は、秘密情報s∈Sと、乱数情報分散部１０２の出力である乱数r∈Rとを入力とし、n個の独立なチェック用データe_1,e_2,...,e_n (ただし e_i∈E を出力する。
　本実施形態では、各チェック用データ e_i∈Eは、 h(e_i,s)=f(r,i) を満足するデータとする。ただし、上記 f は、kを秘密を復元するのに必要な分散情報の最大数とした時、任意の相異なる k-1 個の 1 以上 n 以下の整数i_1,i_2,... ,i_[k-1] と、任意の相異なる k-1 個の A の元 a_1,a_2,...,a_[k-1] に対して、Pr[f(r,i_1)=a_1,f(r,i_2)= a_2,...,f(r,i_[k-1])]=1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、h は、任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足する関数である。
　分散情報生成装置１００は秘密情報データ集合Ｓの元(要素)である秘密情報ｓを入力とし、記憶部３０１～３０１内の分散秘密情報記憶部３０１＿１～３０１＿ｎに秘密情報分散部の出力であるＶＳの元vs_1～vs_nを、乱数分散情報記憶部３０２＿１～３０２＿ｎに乱数分散装置１０２の出力である乱数分散情報ＶＲの元vr_1～vr_nを、チェック用データ記憶部３０３＿１～３０３＿ｎにチェック用データ集合Ｅの元であるチェック用データe_ 1～e_nをそれぞれ格納する。
　次に復元装置２００の構成について図２を用いて説明する。図２は復元装置２００の構成ブロック図である。図２に示すように、復元装置２００は、秘密情報復元部２０１、乱数情報復元部２０２及び不正検出部２０３を備えている。
　秘密情報復元部２０１は予め定められたアクセス構造Γの任意のアクセス集合Ｗ対応する複数の記憶部３０１が備える分散秘密情報記憶部３０２に格納されたデータを読み出し、復元した秘密情報データs∈Sを出力する。
　乱数情報復元部２０２は前記アクセス構造Γと前記アクセス集合Ｗに対し、Ｗに対応する複数の記憶部３０１が備える乱数分散情報記憶部３０２に格納されたデータを読み出し、復元した乱数r∈Rを出力する。
　不正検出部２０３は、秘密情報復元部２０１で復元された秘密情報データ s∈Sと乱数情報復元部２０２で復元された乱数r=(r_1,r_2,...,r_[k-1])∈Rと前記Ｗに対応する複数の記憶部３０１が備えるチェック用データ記憶部３０３に格納されたチェック用データを読み出し、読み出された全てのチェック用データ e_i∈Eに対して、h(e_i,s)=f(r,i) が成立するかどうかを判定し、成立する時は復元した秘密情報s∈Sを出力し、成立しない時は不正を検知したことを示す記号を出力する。
　図１に示した分散情報生成装置１００及び図２に示した復元装置２００は、例えば論理回路等から構成されるＬＳＩ（Large Scale Integration）やＤＳＰ（Digital Signal Processor）等の半導体集積回路によって実現される。また、分散情報生成装置１００及び復元装置２００は、図３に示すように、プログラムにしたがって所定の処理を実行する処理装置１０と、処理装置１０に対してコマンドや情報等を入力するための入力装置２０と、処理装置１０の処理結果をモニタするための出力装置３０とを備えたコンピュータによって実現してもよい。
　図３に示す処理装置１０は、ＣＰＵ１１と、ＣＰＵ１１の処理に必要な情報を一時的に記憶する主記憶部１２と、ＣＰＵ１１に後述する分散情報生成部１０２または復元装置２００としての処理を実行させるためのプログラムが記録された記録媒体１３と、秘密情報やアクセス構造データが格納されるデータ蓄積部１４と、主記憶部１２、記録媒体１３及びデータ蓄積装置１４とのデータ転送を制御するメモリ制御インタフェース部１５と、入力装置２０及び出力装置３０とのインタフェース部であるＩ／Ｏインタフェース部１６とを有し、それらがバス１８を介して接続された構成である。なお、データ蓄積部１４は、処理装置１０内にある必要はなく、処理装置１０から独立して備えていてもよい。また、データ蓄積部１４は、分散秘密情報記憶部３０１及び乱数分散情報記憶部３０２及び分散チェック用データ記憶部３０３を備える記憶部３００として用いてもよい。
　処理装置１０は、記録媒体１３に記録されたプログラムにしたがって後述する分散情報生成部１０２または復元装置２００としての機能を実現する。記録媒体１３は、磁気ディスク、半導体メモリ、光ディスクあるいはその他の記録媒体であってもよい。
　次に本実施形態の秘密情報分散システムの動作について図４及び図５を用いて説明する。図４は分散情報生成装置１００の動作を示すフローチャートであり、図５は復元装置２００の動作を示すフローチャートである。
　図４に示すように、分散情報生成部１０２には、秘密情報データ集合Ｓの元である秘密情報ｓ（２）が入力される（ステップＳ１）。
　分散情報生成装置１００は、秘密情報分散部１０１に秘密情報ｓが入力されると、秘密情報ｓを予め定められたアクセス構造Γに応じて分散符号化し、記憶装置３００の分散秘密情報記憶部３０１に格納する（ステップＳ２）。
　また、分散情報生成装置１００は、乱数情報分散部１０２により、乱数rを生成し、生成したrを前記アクセス構造Γに応じて分散符号化し、記憶装置３００の乱数分散情報記憶部３０２に格納する（ステップＳ３）。
　分散情報生成装置１００は、チェック用データ生成部１０３により、秘密情報ｓ、ステップＳ３で生成した乱数rに対して、 h(e_i,s)=f(r,i) を満足する n 個のe_i (i=1,2,...,n)をランダムに生成し、記憶装置３００のチェック用データ記憶部３０３に格納する（ステップＳ４）。
　図５に示すように、復元装置２００は、前記アクセス構造Γの任意のアクセス集合Ｗに対応する複数の記憶装置３００の分散秘密情報記憶部３０１から読み出したデータを秘密情報復元部２０１に入力し、秘密情報データ集合Ｓの元ｓを復元する（ステップＳ５）。
　また、復元装置２００は、前記アクセス集合Ｗに対応する複数の前記記憶装置３００の乱数分散情報記憶部３０２から読み出したデータを乱数情報復元部２０２に入力し、乱数情報集合Ｒの元ｒを復元する（ステップＳ６）。
　次に、復元装置２００は、ステップＴ５で復元された秘密情報データ集合Ｓの元ｓとステップＴ６で復元されたｒと、前記アクセス集合Ｗに対応する複数の前記記憶装置３００のチェック用データ記憶部から読み出した全てのデータ e_i に対して、h_i=h(e_i,s) を計算する（ステップＳ７）。
　ステップＳ７で計算された全ての h_i に対してh_i=f(r,i) が成立する場合（ステップＳ８／Ｙｅｓ）、復元装置２００はｓを出力して終了する（ステップＳ１０）。いずれかの h_i に対して h_i=f(r,i) が成立しない場合（ステップＳ８／Ｎｏ）、復元装置２００は、不正検出を表す記号を出力して終了する（ステップＳ９）。
　上記実施形態によれば、復元されたチェック用データが復元された秘密情報に対応しているか否かを判定することで不正の検知が可能であり、チェック用データとして要素数の少ないデータ集合を用いれば分散情報のデータサイズを小さくできる。
　また、チェック用データを一様にランダムに選ぶことができるため、秘密情報がどのような分布にしたがって選ばれても高い不正の検知率が保証できる。
　また、不正検知のチェックを復元された後の秘密情報で行っていることにより、利用する秘密分散の方式に関わらず不正の検知が可能であるという特徴を有している。
　次に本発明の他の実施形態について説明する。本実施形態における秘密情報分散システムは、分散情報生成装置１００、復元装置２００、検証装置４００、及び複数の記憶装置３００＿１～３００＿ｎを有する構成である。記憶装置３００＿１～３００＿ｎは、分散秘密情報データ集合VS_1～VS_nの元が格納される分散秘密情報記憶部３０１＿１～３０１＿ｎと、乱数分散情報データ集合VR_1～VS_nの元が格納される乱数分散情報記憶部３０２＿１～３０２＿ｎと、チェック用データ集合Ｅの元が格納されるチェック用データ記憶部３０３＿１～３０３＿ｎとを備えている。
　本実施形態における、分散情報生成装置１００の構成は、図１に示す通りである。次に本実施形態に係る復元装置２００の構成は、図２に示す通りである。復元装置２００は、秘密情報復元部２０１、乱数情報復元部２０２及び不正検出部２０３を備えている。本実施形態に係る秘密情報復元部２０１及び乱数情報復元部２０２は上記実施形態と同様である。
　不正検出部２０３は、秘密情報復元部２０１で復元された秘密情報データ s∈Sと乱数情報復元部２０２で復元された乱数r∈Rと前記Ｗ に対応する複数の記憶部３０１が備えるチェック用データ記憶部３０３に格納されたチェック用データを読み出し、読み出された全てのチェック用データ e_i∈Eに対して、h(e_i,s)=f(r,i) が成立するかどうかを判定し、成立する時は復元した秘密情報ｓ∈Ｓおよび復元した乱数ｒ∈Ｒを出力し、成立しない時は不正を検知したことを示す記号を出力する。
　上記実施形態と比較すると、本実施形態に係る不正検出部２０３は、秘密情報だけでなく乱数も出力する点で異なる。
　次に、本実施形態に係る検証装置４００について図６を用いて説明する。検証装置４００は、秘密情報復元部２０１で復元された秘密情報データs∈Sと乱数情報復元部２０２で復元された乱数r∈Rと記憶装置３００＿ｉが備えるチェック用データ記憶部３０２＿ｉに格納されたチェック用データを読み出し、読み出されたチェック用データ e_i∈Eに対して、h(e_i,s)=f(r,i) が成立するかどうかを判定し、成立する時は復元した秘密情報が正しいことを表す記号を出力し、成立しない時は不正を検知したことを示す記号を出力する。
　本実施形態では、記憶装置３００＿ｉが秘密復元時にデータを提供しなかった場合でも、秘密が復元された後に、復元装置２００から出力された秘密情報ｓおよび乱数情報ｒと、前記記憶装置３００＿ｉに格納されているチェック用データを検証装置４００に入力することにより、復元されたｓの非改竄性を検証することが可能であるという特徴を有している。
　次に、本発明の実施例について説明する。
［第１実施例］
　本実施例におけるに秘密情報分散システムは、秘密情報 s=(s_1,s_2,...,s_N) のデータ集合にGF(p^N)(p: 素数, GF:ガロア体)を、乱数データ r=(r_0,r_1,...,r_[k-2])として、GF(p^[k-1]) の元を、チェック用データ e=(e_0,e_1) として GF(p)^2 として用いる。
　また、本実施例では、秘密分散のアクセス構造を (k,n)しきい値型のアクセス構造とし、秘密情報分散部１０１及び乱数情報分散部１０２は、非特許文献１に記載された(k,n) しきい値法を用いて分散符号化し、秘密情報復元部２０１及び乱数情報復元部２０２は、その(k,n)しきい値法に対応する復元方法を用いて秘密情報及び乱数情報を復元することが可能である。
　次に本実施例に係る分散情報生成装置１００及び復元装置２００について説明する。本実施例に係る分散情報生成装置１００には、秘密情報s=(s_1,s_2,...,s_N)∈ GF(p^N) (各s_i∈GF(p))が入力される。
　分散情報生成装置１００は、秘密情報ｓが入力されると、秘密情報分散部１０１によりGF(p^N)上の定数項がｓであるk-1次多項式をランダムに生成する。このk-1次多項式をf_s (x)と記す。
　秘密情報分散部１０１は、相異なる 1,2,...,n に対して、 f_s(1),f_s(2), …,f_s(n)を計算し、その計算結果を記憶装置３００＿１の分散秘密情報記憶部３０１＿１、記憶装置３００＿２の分散秘密情報記憶部３０１＿２,…,記憶装置３００＿ｎの分散秘密情報記憶部３０１＿ｎにそれぞれ格納する。
　乱数情報分散部１０２は、GF(p^[k-1])の元である乱数r を生成し、GF(p^[k-1]) 上の定数項がrであるk-1次多項式をランダムに生成する。このk-1次多項式をf_r(x) と記す。
　次に、乱数情報分散部１０２は、前記 i_1,i_2,...,i_n に対して f_r(1),f_r(2), …,f_r(n)を計算し、その計算結果を記憶装置３００＿１の乱数分散情報記憶部３０２＿１、記憶装置３００＿２の乱数分散情報記憶部３０２＿２,…, 記憶装置３００＿ｎの乱数分散情報記憶部３０２＿ｎにそれぞれ格納する。
　チェック用データ生成部１０３は、i=1,2,...,n に対して, 式 H(e_[i_j],s)=F(r,i) が成立するような(e_[i0],e_[i1]) を GF(p) 上からランダムに選び、得られた e_[i]=(e_[i0],e_[i1])(i=1,2,...,n) を記憶装置３００＿ｉのチェック用データ記憶部３０３＿ｉに格納する。ただし、上記で H, F はそれぞれ次のように定義される関数である。H(e_[i],s)=e_[i0]+(s_1*e_[i1]+s_2*e_[i1]^2+...+s_N*e_[i1]^N,F(r,i)=r_0+r_1*i+r_2*i^2+...+r_[k-2]*i^[k-2]
　一方、本実施例に係る復元装置２００は、記憶部301_[i_1],301_[i_2], …, 301_[i_k] の各分散秘密情報記憶部３０１からデータを読み出す。これらのデータを vs_[i_1], vs_[ i_2], …,vs_[i_k]と記す。
　秘密情報復元部201は、(i_1,vs_[i_1]),(i_2,vs_[i_2]),…,(i_k,vs_[i_k])を入力とし、座標(i_1,vs_[j_1]),(i_2,vs_[i_2]),…,(i_k,vs_[i_k])を通る GF(p^N) 上の k-1次多項式g_s(x)のg_s(0)生成する。具体的には、連立方程式を解く方法やラグランジュ補間を用いる方法などによりs'=g_s(0)を計算する。
　また、復元装置２００は、記憶装置３００_[i_1],300_[i_2],…,300_[i_k]の各乱数分散情報記憶部302からデータを読み出す。これらのデータをvr_[i_1],vr_[i_2],..., vr_[i_k]と記す。
　乱数情報復元部２０２は、(i_1,vr_[j_1]),(i_2,vr_[i_2]),…,(i_k,vr_[i_k])を入力とし、座標(i_1,vr_[i_1]),(i_2,vr_[i_2]),…,(i_k,vr_[i_k])を通る GF(p^[k-1])のk-1 次多項式g_r(x)のg_r(0)を生成する。具体的には、連立方程式を解く方法やラグランジュ補間を用いる方法などによりr'=g_r(0)を計算する。
　次に、復元装置２００は、記憶装置３００_[i_1],300_[i_2],…,300_[i_k]の各分散チェック用データ記憶部303からデータを読み出す。これらのデータを e_[i_1],e_[i_2],... , e_[i_k]と記す（各e_[i_j]=(e_[i_j0],e_[i_j1])）。
　不正検知装置203は、s'=(s'_1,s'_2,...,s'_N), r'=(r'_0,r'_1,...,r'_[k-2]), e_[i_1]=(e_[i_10],e_[i_11]),e_[i_2]=(e_[i_20],e_[i_21]),..., e_[i_k]=(e_[i_k0],e_[i_k1])を入力とし、j=1,2,...,k について H(e_[i_j],s')=F(r',i_j) が成立するか否かをチェックし、全てのe_[i_j] (j=1,...,k)について成立する場合は、s' を秘密情報として出力し、成立していない場合は不正を検知したことを示す記号として、例えば⊥を出力する。
　本実施例に係る秘密情報分散システムでは、秘密情報のサイズはp^Nであり、分散情報のサイズはp^[N+k+1]であり、不正の検出率は(1-N/p)である。
　ここで、秘密情報のサイズをs、不正の検出率を(1-ε)と記すと、分散情報のサイズはほぼs*((log s)/ε)^[k+1]で表せる。
　上述した非特許文献２に記載された秘密分散法の分散情報のサイズは ((s-1)(k-1) / ε+k)^2、非特許文献６の分散情報のサイズは s^2/ε である。そのため s が大きく k が小さい場合は、本実施例の分散情報のサイズの方が両方式より小さくなることが分かる。
［第２実施例］
　本実施例におけるに秘密情報分散システムは、秘密情報 s=(s_1,s_2,...,s_N) のデータ集合にGF(p^N)(p: 素数, GF:ガロア体)を、乱数データ r=(r_0,r_1,...,r_[n-2])として、GF(p^[n-1]) の元を、チェック用データ e=(e_0,e_1) として GF(p)^2 として用いる。
　また、本実施例では、秘密分散のアクセス構造を (n,n)しきい値型のアクセス構造とし、秘密情報分散部１０１及び乱数情報分散部１０２は、非特許文献４に記載された(n,n) しきい値法を用いて分散符号化し、秘密情報復元部２０１及び乱数情報復元部２０２は、その(n,n)しきい値法に対応する復元方法を用いて秘密情報及び乱数情報を復元することが可能である。
　次に本実施例に係る分散情報生成装置１００及び復元装置２００について説明する。本実施例に係る分散情報生成装置１００には、秘密情報s=(s_1,s_2,...,s_N)∈ GF(p^N) (各s_i∈GF(p))が入力される。
　分散情報生成装置１００は、秘密情報ｓが入力されると、秘密情報分散部１０１によりvs_1+vs_2+...+vs_n=s となるGF(p^N)上の元 vs_1,vs_2,...,vs_nをランダムに選び、各 vs_i (i=1,2,...,n)を記憶装置３００＿ｉの分散秘密情報記憶部３０１＿ｉに格納する。
　乱数情報分散部１０２は、GF(p^[n-1])の元である乱数r を生成し、 vr_1+vr_2+...+vr_n=r となるGF(p^[n-1])上の元 vr_1,vr_2,...,vr_nをランダムに選び、各 vr_i (i=1,2,...,n)を記憶装置３００＿ｉの分散秘密情報記憶部３０２＿ｉに格納する。
　チェック用データ生成部１０３は、i=1,2,...,n に対して, 式 H(e_[i],s)=F(r,i) が成立するような(e_[i0],e_[i1]) を GF(p) 上からランダムに選び、得られた (e_[i0],e_[i1])(i=1,2,...,n)を記憶装置３００＿ｉのチェック用データ記憶部３０３＿ｉに格納する。ただし、上記で H, F はそれぞれ次のように定義される関数である。H(e_[i],s)=e_[i0]+(s'_1*e_[i1]+s'_2*e_[i1]^2+...+s'_N*e_[i1]^N,F(r,i)=r_0+r'_1*i+r'_2*i^2+...+r'_[n-2]*i^[n-2] 
　一方、本実施例に係る復元装置２００は、記憶部301_1,301_2, …,301_n の各分散秘密情報記憶部３０１からデータを読み出す。これらのデータをvs_1, vs_2, …,vs_nと記す。
　秘密情報復元部201は、vs_1,vs_2,...,vs_n を入力とし、s'=vs_1+vs_2+...+vs_n により s' を計算する。
　また、復元装置２００は、記憶装置３００_1,300_2,…,300_n の各乱数分散情報記憶部302からデータを読み出す。これらのデータを vr_1,vr_2,...,vr_nと記す。
　乱数情報復元部２０２は、vr_1,vr_2,…,vr_nを入力とし、座標 r'=vr_1+vr_2+...+vr_n により r' を計算する。
　次に、復元装置２００は、記憶装置３００_1,300_2,…,300_nの各分散チェック用データ記憶部303からデータを読み出す。これらのデータを e_1,e_2,... ,e_nと記す（各 e_i=(e_[i0],e_[i1])）。
　不正検知装置203は、s'=(s'_1,s'_2,...,s'_N), r'=(r'_0,r'_1,...,r'_[n-2]), e_1=(e_[10],e_[11]),e_2=(e_[20],e_[21]),..., e_n=(e_[n0],e_[n1])を入力とし、j=1,2,...,n について H(e_[j],s)=F(r,j) が成立するか否かをチェックし、全ての e_j (j=1,...,n)について成立する場合は、s' を秘密情報として出力し、成立していない場合は不正を検知したことを示す記号として、例えば⊥を出力する。
　本実施例に係る秘密情報分散システムでは、秘密情報のサイズはp^Nであり、分散情報のサイズはp^[N+n+1]であり、不正の検出率は(1-N/p)である。
　ここで、秘密情報のサイズをs、不正の検出率を(1-ε)と記すと、分散情報のサイズはほぼs*((log s)/ε)^[k+1]で表せる。
　上述した非特許文献２に記載された秘密分散法の分散情報のサイズは ((s-1)(k-1) / ε+k)^2、非特許文献６の分散情報のサイズは s^2/ε である。そのため s が大きく k が小さい場合は、本実施例の分散情報のサイズの方が両方式より小さくなることが分かる。
［第３実施例］
　本実施例におけるに秘密情報分散システムは、秘密情報 s=(s_1,s_2,...,s_N) のデータ集合にGF(p^N)(p: 素数, GF:ガロア体)を、乱数データ r=(r_0,r_1,...,r_[k-2])として、GF(p^[k-1]) の元を、チェック用データ e=(e_0,e_1) として GF(p)^2 として用いる。
　また、本実施例では、第1実施例と同様に秘密分散のアクセス構造を(k,n)しきい値型のアクセス構造とし、秘密情報分散部１０１及び乱数情報分散部１０２は、非特許文献１に記載された(k,n) しきい値法を用いて分散符号化し、秘密情報復元部２０１及び乱数情報復元部２０２は、その(k,n)しきい値法に対応する復元方法を用いて秘密情報及び乱数情報を復元することが可能である。
　次に本実施例に係る分散情報生成装置１００及び復元装置２００について説明する。本実施例に係る分散情報生成装置１００には、秘密情報s=(s_1,s_2,...,s_N)∈ GF(p^N) (各s_i∈GF(p))が入力される。
　分散情報生成装置１００は、秘密情報ｓが入力されると、秘密情報分散部１０１によりGF(p^N)上の定数項がｓであるk-1次多項式をランダムに生成する。このk-1次多項式をf_s (x)と記す。
　秘密情報分散部１０１は、相異なる 1,2,...,n に対して、 f_s(1),f_s(2), …,f_s(n)を計算し、その計算結果を記憶装置３００＿１の分散秘密情報記憶部３０１＿１、記憶装置３００＿２の分散秘密情報記憶部３０１＿２,…,記憶装置３００＿ｎの分散秘密情報記憶部３０１＿ｎにそれぞれ格納する。
　乱数情報分散部１０２は、GF(p^[k-1])の元である乱数r を生成し、GF(p^[k-1]) 上の定数項がrであるk-1次多項式をランダムに生成する。このk-1次多項式をf_r(x) と記す。
　次に、乱数情報分散部１０２は、前記 i_1,i_2,...,i_n に対して f_r(1),f_r(2), …,f_r(n)を計算し、その計算結果を記憶装置３００＿１の乱数分散情報記憶部３０２＿１、記憶装置３００＿２の乱数分散情報記憶部３０２＿２,…, 記憶装置３００＿ｎの乱数分散情報記憶部３０２＿ｎにそれぞれ格納する。
　チェック用データ生成部１０３は、i=1,2,...,n に対して, 式 H(e_[i_j],s)=F(r,i) が成立するような(e_[i0],e_[i1]) を GF(p) 上からランダムに選び、得られた e_[i]=(e_[i0],e_[i1])(i=1,2,...,n)を記憶装置３００＿ｉのチェック用データ記憶部３０３＿ｉに格納する。ただし、上記で H, F はそれぞれ次のように定義される関数である。H(e_[i],s)=e_[i0]+(s_1*e_[i1]+s_2*e_[i1]^2+...+s_N*e_[i1]^N, F(r,i)=r_0+r_1*i+r_2*i^2+...+r_[k-2]*i^[k-2]
　一方、本実施例に係る復元装置２００は、記憶部301_[i_1],301_[i_2], …, 301_[i_k] の各分散秘密情報記憶部３０１からデータを読み出す。これらのデータを vs_[i_1], vs_[ i_2], …,vs_[i_k]と記す。
　秘密情報復元部201は、(i_1,vs_[i_1]),(i_2,vs_[i_2]),…,(i_k,vs_[i_k])を入力とし、座標(i_1,vs_[j_1]),(i_2,vs_[i_2]),…,(i_k,vs_[i_k])を通る GF(p^N) 上の k-1次多項式g_s(x)のg_s(0)生成する。具体的には、連立方程式を解く方法やラグランジュ補間を用いる方法などによりs'=g_s(0)を計算する。
　また、復元装置２００は、記憶装置３００_[i_1],300_[i_2],…,300_[i_k]の各乱数分散情報記憶部302からデータを読み出す。これらのデータを vr_[i_1],vr_[i_2],...,vr_[i_k]と記す。
　乱数情報復元部２０２は、(i_1,vr_[j_1]),(i_2,vr_[i_2]),…,(i_k,vr_[i_k])を入力とし、座標(i_1,vr_[i_1]),(i_2,vr_[i_2]),…,(i_k,vr_[i_k])を通る GF(p^[k-1])のk-1次多項式g_r(x)のg_r(0)を生成する。具体的には、連立方程式を解く方法やラグランジュ補間を用いる方法などによりr'=g_r(0)を計算する。
　次に、復元装置２００は、記憶装置３００_[i_1],300_[i_2],…,300_[i_k]の各分散チェック用データ記憶部303からデータを読み出す。これらのデータを e_[i_1],e_[i_2],..., e_[i_k]と記す（各e_[i_j]=(e_[i_j0],e_[i_j1])）。
　不正検知装置203は、s'=(s'_1,s'_2,...,s'_N), r'=(r'_0,r'_1,...,r'_[k-2]), e_[i_1]=(e_[i_10],e_[i_11]),e_[i_2]=(e_[i_20],e_[i_21]),..., e_[i_k]=(e_[i_k0],e_[i_k1])を入力とし、j=1,2,...,k について H(e_[i_j],s')=F(r',i_j) が成立するか否かをチェックし、全てのe_[i_j] (j=1,...,k)について成立する場合は、s' を秘密情報、r' を乱数情報として出力し、成立していない場合は不正を検知したことを示す記号として、例えば⊥を出力する。
　本実施例に係る検証装置４００は、記憶装置300_iの各分散秘密情報記憶部303_i から読み出したチェック用データ e_i=(e_[i0],e_[i1])と、秘密情報 s'=(s'_1,s'_2,...,s'_N)とr'=(r'_1,r'_2,...,r'_[k-1])を入力とし、H(e_[i_j],s')=F(r',i_j) が成立するか否かをチェックし、成立する時は復号した秘密情報が正しいことを表す記号を出力し、成立しない時は不正を検知したことを示す記号を出力する。
　検証装置４００を用いることにより、秘密の復元時に分散情報を復元部に入力しなかった記憶装置300_iも、秘密復元後に、記憶装置300_iのチェック用データ記憶装置 303_iに格納されているチェック用データと、復元された秘密情報s'と、復元された乱数情報r'とから、復元された秘密情報s'の非改竄性を検証することが可能となる。
　本実施例に係る秘密情報分散システムでは、秘密情報のサイズはp^Nであり、分散情報のサイズはp^[N+k+1]であり、不正の検出率は(1-N/p)である。
　ここで、秘密情報のサイズをs、不正の検出率を(1-ε)と記すと、分散情報のサイズはほぼs*((log s)/ε)^[k+1]で表せる。
　上述した非特許文献２に記載された秘密分散法の分散情報のサイズは ((s-1)(k-1) / ε+k)^2、非特許文献６の分散情報のサイズは s^2/ε である。そのため s が大きく k が小さい場合は、本実施例の分散情報のサイズの方が両方式より小さくなることが分かる。
　なお、各図のフローチャートに示す処理を、ＣＰＵが実行するためのプログラムは本発明によるプログラムを構成する。このプログラムを記録する記録媒体としては、半導体記憶部や光学的及び／又は磁気的な記憶部等を用いることができる。このようなプログラム及び記録媒体を、前述した各実施形態とは異なる構成のシステム等で用い、そこのＣＰＵで上記プログラムを実行させることにより、本発明と実質的に同じ効果を得ることができる。
　以上、本発明を好適な実施形態、実施例に基づき具体的に説明したが、本発明は上記のものに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることは言うまでもない。
　この出願は、２００８年５月２３日に出願された日本出願特願２００８－１３５６１９を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　１００　　分散情報生成装置
　１０１　　秘密情報分散部
　１０２　　乱数情報分散部
　１０３　　チェック用データ生成部
　２００　　復元装置
　２０１　　秘密情報復元部
　２０２　　乱数情報復元部
　２０３　　不正検知部
　３００＿１～３００＿ｎ　　記憶装置
　３０１＿１～３０１＿ｎ　　分散秘密情報記憶部
　３０２＿１～３０２＿ｎ　　乱数分散情報記憶部
　３０３＿１～３０３＿ｎ　　チェック用データ記憶部
　４００　　検証装置

Claims (29)

  1. 　秘密情報をアクセス構造にしたがって分散符号化する秘密情報分散手段と、
    　乱数情報をアクセス構造にしたがって分散符号化する乱数情報分散手段と、
    　前記秘密情報と前記乱数情報に対応するチェック用データを生成するチェック用データ生成手段と、を有する分散情報生成装置であって、
    　前記チェック用データ生成手段は、集合Sの元である秘密情報sと、乱数情報集合Rの元である乱数情報rと、関数 h (h: E×S→A)と、関数 f (f: R×[1,n]→A)に対して、h(e_i,s)=f(r,i)を満たすn個の集合 E の元e_1,e_2,...,e_nをランダムに選ぶことを特徴とし、
    　前記 f は、任意の相異なる k-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1以上 n以下の整数 i_1,i_2,...,i_[k-1] と、任意の相異なる k-1 個の A の元a_1,a_2,...,a_[k-1] に対して、Pr[f(r,i_1)=a_1,f(r,i_2)=a_2,...,f(r,i_[k-1])]= 1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする分散情報生成装置。
  2. 　前記分散符号化された秘密情報と、前記分散符号化された乱数情報と、チェック用データとをそれぞれ格納する記憶手段を有することを特徴とする請求項１記載の分散情報生成装置。
  3. 　前記チェック用データ生成手段は、要素数p^Nの体の元である秘密情報 s=(s_1,s_2,...,s_N)と、要素数p^[k-1]の体の元である乱数情報 r=(r_1,r_2,...,r_[k-1])とに対して、関数 f が、f(r,i) = r_1 + r_2 * i + r_3 * i^2 + ... + r_[k-1] * i^[k-1] であり、関数 h が、 h((e_0,e_1),s) = e_0 + e_1*s_1 + e_1^2*s_2 + ... + e_1^N+s_N で定義されることを特徴とする請求項１又は２記載の分散情報生成装置。
  4. 　前記秘密情報分散手段は、秘密分散法のアクセス構造として、(k,n)しきい法のアクセス構造を用いることを特徴とする請求項１から３いずれか１項記載の分散情報生成装置。
  5. 　前記秘密情報分散手段は、前記秘密分散法として、秘密の復元を全分散情報の和を取ることによって行う(n,n)しきい法を用いることを特徴とする請求項１から３のいずれか１項記載の分散情報生成装置。
  6. 　秘密分散法のアクセス構造にしたがって分散符号化された秘密情報と、前記秘密分散法のアクセス構造にしたがって分散符号化された乱数情報と、前記秘密情報と前記乱数情報に対応して生成されたチェック用データと、を格納する記憶手段と、
    　前記アクセス構造に対応する前記記憶手段から分散符号化された秘密情報を読み出し、前記アクセス構造にしたがって前記秘密情報を復元する秘密情報復元手段と、
    　前記アクセス構造に対応する前記記憶手段から分散符号化された乱数情報を読み出し、前記アクセス構造にしたがって前記乱数情報を復元する乱数情報復元手段と、
    　前記アクセス構造に対応する全ての前記記憶手段からチェック用データを読み出し、読み出された前記チェック用データ全てが前記秘密情報復元手段で復元された秘密情報と前記乱数情報復元手段で復元された乱数情報に対応している場合は復元した秘密情報を出力し、対応していない場合は不正を示す信号を出力する不正検知手段と、を有する復元装置であって、
    　前記不正検知手段は、
    　集合Sの元である秘密情報sと、
    　乱数情報集合Rの元である乱数情報rと、
    　秘密分散法のアクセス構造に対応するチェック用データe_[i_1],e_[i_2],..., e_[i_m]とを入力とし、
    　関数 h (h: E×S→A)と, 関数 f (f: R×[1,n]→A)に対して、h(e_[i_j],s)=f(r,i_j) を満たすとき、前記復元されたチェック用データが前記秘密情報復元手段で復元された秘密情報に対応していると判定することを特徴とし、前記 f は、任意の相異なるk-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1 以上 n 以下の整数 i_1,i_2,...,i_[k-1] と、任意の相異なる k-1 個の A の元a_1,a_2,...,a_[k-1] に対して、Pr[f(r,i_1)=a_1,f(r,i_2)=a_2,...,f(r,i_[k-1])]=1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする復元装置。
  7. 　前記チェック用データ生成手段は、要素数p^Nの体の元である秘密情報 s=(s_1,s_2,...,s_N)と、要素数p^[k-1]の体の元である乱数情報 r=(r_1,r_2,...,r_[k-1])とに対して、関数 f が、f(r,i) = r_1 + r_2 * i + r_3 * i^2 + ... + r_[k-1] * i^[k-1] であり、関数 h が、 h((e_0,e_1),s) = e_0 + e_1*s_1 + e_1^2*s_2 + ... + e_1^N+s_N で定義されることを特徴とする請求項６記載の復元装置。
  8. 　前記秘密情報分散手段は、秘密分散法のアクセス構造として、(k,n)しきい法のアクセス構造を用いることを特徴とする請求項６又は７記載の復元装置。
  9. 　前記秘密情報分散手段は、前記秘密分散法として、秘密の復元を全分散情報の和を取ることによって行う(n,n)しきい法を用いることを特徴とする請求項６又は７記載の復元装置。
  10. 　秘密分散法のアクセス構造にしたがって分散符号化された秘密情報と、前記秘密分散法のアクセス構造にしたがって分散符号化された乱数情報と、前記秘密情報と前記乱数情報に対応して生成されたチェック用データデータと、を格納する記憶手段と、
    　前記アクセス構造に対応する前記記憶手段から分散符号化された秘密情報を読み出し、前記アクセス構造にしたがって前記秘密情報を復元する秘密情報復元手段と、
    　前記アクセス構造に対応する前記記憶手段から分散符号化された乱数情報を読み出し、前記アクセス構造にしたがって前記乱数情報を復元する乱数情報復元手段と、
    　前記アクセス構造に対応する全ての前記記憶手段からチェック用データを読み出し、読み出された前記チェック用データ全てが前記秘密情報復元手段で復元された秘密情報と前記乱数情報復元手段で復元された乱数情報に対応している場合は復元した秘密情報及び復元した乱数を出力し、対応していない場合は不正を示す信号を出力する不正検知手段と、を有することを特徴とする復元装置であり、
    　前記不正検知手段は、
    　集合Sの元である秘密情報sと、
    　乱数情報集合Rの元である乱数情報rと、
    　秘密分散法のアクセス構造に対応するチェック用データe_[i_1],e_[i_2],..., e_[i_m]を入力とし、
    　関数 h (h: E×S→A)と, 関数 f (f: R×[1,n]→A)に対して、h(e_[i_j],s)=f(r,i_j) を満たすとき、前記復元されたチェック用データが前記秘密情報復元手段で復元された秘密情報に対応していると判定することを特徴とし、前記 f は、任意の相異なるk-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1 以上 n 以下の整数 i_1,i_2,...,i_[k-1] と、任意の相異なる k-1 個の A の元a_1,a_2,...,a_[k-1] に対して、 Pr[f(r,i_1)=a_1, f(r,i_2)=a_2,...,f(r,i_[k-1])]=1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、 前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする復元装置。
  11. 　前記チェック用データ生成手段は、要素数p^Nの体の元である秘密情報 s=(s_1,s_2,...,s_N)と、要素数p^[k-1]の体の元である乱数情報 r=(r_1,r_2,...,r_[k-1])とに対して、関数 f が、 f(r,i) = r_1 + r_2 * i + r_3 * i^2 + ... + r_[k-1] * i^[k-1] であり、関数 h が、 h((e_0,e_1),s) = e_0 + e_1*s_1 + e_1^2*s_2 + ... + e_1^N+s_N で定義されることを特徴とする請求項１０記載の復元装置。
  12. 　前記秘密情報分散手段は、秘密分散法のアクセス構造として、(k,n)しきい法のアクセス構造を用いることを特徴とする請求項１０又は１１記載の復元装置。
  13. 　前記秘密情報分散手段は、前記秘密分散法として、秘密の復元を全分散情報の和を取ることによって行う(n,n)しきい法を用いることを特徴とした請求項１０又は１１記載の復元装置。
  14. 　秘密情報と、乱数情報と、チェック用データと、を取得し、前記チェック用データが前記秘密情報と前記乱数情報に対応している場合は、秘密情報の非改竄性が検証されたことを示す信号を出力し、対応していない場合は不正を示す信号を出力することを特徴とする検証装置であって、
    　集合Sの元である秘密情報sと、
    　乱数情報集合Rの元である乱数情報rと、
    　秘密分散法のアクセス構造に対応するチェック用データe_[i_1],e_[i_2],..., e_[i_m]とを入力とし、
    　関数 h (h: E×S→A)と, 関数 f (f: R×[1,n]→A)に対して、h(e_[i_j],s)=f(r,i_j) を満たすとき、チェック用データが前記秘密情報に対応していると判定することを特徴とし、前記 f は、任意の相異なるk-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1 以上 n 以下の整数i_1,i_2, ...,i_[k-1] と、任意の相異なる k-1 個の A の元 a_1,a_2,...,a_[k-1]に対して、Pr[f(r,i_1)=a_1, f(r,i_2)=a_2,...,f(r,i_[k-1])]= 1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする検証装置。
  15. 　前記チェック用データ生成手段は、要素数p^Nの体の元である秘密情報 s=(s_1,s_2,...,s_N)と、要素数p^[k-1]の体の元である乱数情報 r=(r_1,r_2,...,r_[k-1])とに対して、関数 f が、f(r,i) = r_1 + r_2 * i + r_3 * i^2 + ... + r_[k-1] * i^[k-1] であり、関数 h が、 h((e_0,e_1),s) = e_0 + e_1*s_1 + e_1^2*s_2 + ... + e_1^N+s_N で定義されることを特徴とする請求項１４記載の検証装置。
  16. 　前記秘密情報分散手段は、秘密分散法のアクセス構造として、(k,n)しきい法のアクセス構造を用いることを特徴とする請求項１４又は１５記載の検証装置。
  17. 　前記秘密情報分散手段は、前記秘密分散法として、秘密の復元を全分散情報の和を取ることによって行う(n,n)しきい法を用いることを特徴とする請求項１４又は１５記載の検証装置。
  18. 　請求項１記載の分散情報生成装置と、
    　請求項６記載の復元装置と、
    　を有することを特徴とする秘密情報分散システム。
  19. 　請求項３記載の分散情報生成装置と、
    　請求項７記載の復元装置と、
    　を有することを特徴とする秘密情報分散システム。
  20. 　請求項４記載の分散情報生成装置と、
    　請求項８記載の復元装置と、
    　を有することを特徴とする秘密情報分散システム。
  21. 　請求項５記載の分散情報生成装置と、
    　請求項９記載の復元装置と、
    　を有することを特徴とする秘密情報分散システム。
  22. 　請求項１記載の分散情報生成装置と、
    　請求項６記載の復元装置と、
    　請求項１４記載の検証装置と、
    　を有することを特徴とする秘密情報分散システム。
  23. 　請求項３記載の分散情報生成装置と、
    　請求項７記載の復元装置と、
    　請求項１５記載の検証装置と、
    　を有することを特徴とする秘密情報分散システム。
  24. 　請求項４記載の分散情報生成装置と、
    　請求項８記載の復元装置と、
    　請求項１６記載の検証装置と、
    　を有することを特徴とする秘密情報分散システム。
  25. 　請求項５記載の分散情報生成装置と、
    　請求項９記載の復元装置と、
    　請求項１７記載の検証装置と、
    　を有することを特徴とする秘密情報分散システム。
  26. 　秘密情報をアクセス構造にしたがって分散符号化する秘密情報分散処理と、
    　乱数情報をアクセス構造にしたがって分散符号化する乱数情報分散処理と、
    　前記秘密情報と前記乱数情報に対応するチェック用データを生成するチェック用データ生成処理と、をコンピュータに実行させる分散情報生成プログラムであって、
    　前記チェック用データ生成処理は、集合Sの元である秘密情報sと、乱数情報集合Rの元である乱数情報rと、関数 h (h: E×S→A)と、関数 f (f: R×[1,n]→A)に対して、h(e_i,s)=f(r,i)を満たすn個の集合 E の元e_1,e_2,...,e_nをランダムに選ぶことを特徴とし、
    　前記 f は、任意の相異なる k-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1以上 n以下の整数 i_1,i_2,...,i_[k-1] と、任意の相異なる k-1 個の A の元a_1,a_2,...,a_[k-1] に対して、Pr[f(r,i_1)=a_1,f(r,i_2)=a_2,...,f(r,i_[k-1])]= 1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする分散情報生成プログラム。
  27. 　秘密分散法のアクセス構造にしたがって分散符号化された秘密情報と、前記秘密分散法のアクセス構造にしたがって分散符号化された乱数情報と、前記秘密情報と前記乱数情報に対応して生成されたチェック用データと、を格納する記憶処理と、
    　前記アクセス構造に対応する前記記憶手段から分散符号化された秘密情報を読み出し、前記アクセス構造にしたがって前記秘密情報を復元する秘密情報復元処理と、
    　前記アクセス構造に対応する前記記憶手段から分散符号化された乱数情報を読み出し、前記アクセス構造にしたがって前記乱数情報を復元する乱数情報復元処理と、
    　前記アクセス構造に対応する全ての前記記憶手段からチェック用データを読み出し、読み出された前記チェック用データ全てが前記秘密情報復元手段で復元された秘密情報と前記乱数情報復元手段で復元された乱数情報に対応している場合は復元した秘密情報を出力し、対応していない場合は不正を示す信号を出力する不正検知処理と、をコンピュータに実行させる復元プログラムであって、
    　前記不正検知処理は、
    　集合Sの元である秘密情報sと、
    　乱数情報集合Rの元である乱数情報rと、
    　秘密分散法のアクセス構造に対応するチェック用データe_[i_1],e_[i_2],..., e_[i_m]とを入力とし、
    　関数 h (h: E×S→A)と、 関数 f (f: R×[1,n]→A)に対して、 h(e_[i_j],s)=f(r,i_j) を満たすとき、前記復元されたチェック用データが前記秘密情報復元手段で復元された秘密情報に対応していると判定することを特徴とし、前記 f は、任意の相異なるk-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1 以上 n 以下の整数 i_1,i_2,...,i_[k-1] と、任意の相異なる k-1 個の A の元a_1,a_2,...,a_[k-1] に対して、Pr[f(r,i_1)=a_1,f(r,i_2)=a_2,..., f(r,i_[k-1])]=1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする復元プログラム。
  28. 　秘密情報と、乱数情報と、チェック用データと、を取得し、前記チェック用データが前記秘密情報と前記乱数情報に対応している場合は、秘密情報の非改竄性が検証されたことを示す信号を出力し、対応していない場合は不正を示す信号を出力することを特徴とする検証プログラムであって、
    　集合Sの元である秘密情報sと、
    　乱数情報集合Rの元である乱数情報rと、
    　秘密分散法のアクセス構造に対応するチェック用データe_[i_1],e_[i_2],..., e_[i_m]とを入力とし、
    　関数 h (h: E×S→A)と, 関数 f (f: R×[1,n]→A)に対して、h(e_[i_j],s)=f(r,i_j) を満たすとき、チェック用データが前記秘密情報に対応していると判定することを特徴とし、前記 f は、任意の相異なるk-1 個（なお、kは秘密を復元するのに必要な分散情報の最大数）の 1 以上 n 以下の整数i_1,i_2, ...,i_[k-1] と、任意の相異なる k-1 個の A の元 a_1,a_2,...,a_[k-1]に対して、Pr[f(r,i_1)=a_1, f(r,i_2)=a_2,...,f(r,i_[k-1])]= 1/|A|^[k-1] (ただし、前記確率は、r を振ることで計算)を満足する関数であり、前記 h は、 任意の相異なる S の元 s, s' と任意の A の元 a, a' に対して |{e | h(e,s)=a, h(e,s')=a'}|/|{e | h(e,s)=a}|≦ε を満足することを特徴とする検証プログラム。
  29. 　請求項２６から２８のいずれか１項記載のプログラムの処理を記録したコンピュータ読取り可能な記録媒体。
PCT/JP2009/059407 2008-05-23 2009-05-22 分散情報生成装置 WO2009142285A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2010513064A JP5381981B2 (ja) 2008-05-23 2009-05-22 分散情報生成装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2008135619 2008-05-23
JP2008-135619 2008-05-23

Publications (1)

Publication Number Publication Date
WO2009142285A1 true WO2009142285A1 (ja) 2009-11-26

Family

ID=41340212

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/059407 WO2009142285A1 (ja) 2008-05-23 2009-05-22 分散情報生成装置

Country Status (2)

Country Link
JP (1) JP5381981B2 (ja)
WO (1) WO2009142285A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012078446A (ja) * 2010-09-30 2012-04-19 Nippon Telegr & Teleph Corp <Ntt> 不正検知方法、秘密計算システム、計算装置、計算プログラム
JP2012194489A (ja) * 2011-03-17 2012-10-11 Nec Soft Ltd 分散情報管理システム、分散情報管理方法、および分散情報管理プログラム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
ARAKI, TOSHINORI ET AL.: "Flaws in Some Secret Sharing Schemes Against Cheating", LNCS, vol. 4586, 6 September 2007 (2007-09-06), pages 122 - 132 *
CARLO BLUNDO ET AL.: "On secret sharing schemes", INFORMATION PROCESSING LETTERS, vol. 65, no. 1, 15 January 1998 (1998-01-15), pages 25 - 32 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012078446A (ja) * 2010-09-30 2012-04-19 Nippon Telegr & Teleph Corp <Ntt> 不正検知方法、秘密計算システム、計算装置、計算プログラム
JP2012194489A (ja) * 2011-03-17 2012-10-11 Nec Soft Ltd 分散情報管理システム、分散情報管理方法、および分散情報管理プログラム

Also Published As

Publication number Publication date
JPWO2009142285A1 (ja) 2011-09-29
JP5381981B2 (ja) 2014-01-08

Similar Documents

Publication Publication Date Title
JP5299286B2 (ja) 分散情報生成装置、復元装置、検証装置及び秘密情報分散システム
JP5420114B2 (ja) 鍵情報生成装置及び鍵情報生成方法
JP5582143B2 (ja) 秘密情報分散システム，秘密情報分散方法及びプログラム
US20080172562A1 (en) Encryption and authentication of data and for decryption and verification of authenticity of data
JP5957095B2 (ja) 改ざん検知装置、改ざん検知方法、およびプログラム
JP5609892B2 (ja) 検証装置、秘密情報復元装置、検証方法、プログラム、及び秘密分散システム
JP5136412B2 (ja) 分散情報生成装置及び復元装置
JP5732429B2 (ja) 秘密分散システム、データ分散装置、データ復元装置、秘密分散方法、およびプログラム
JP6229715B2 (ja) 暗号文照合システムと方法とプログラム
JP5381981B2 (ja) 分散情報生成装置
JP2013009245A (ja) 秘密情報分散システム及び秘密情報分散方法並びに秘密情報生成プログラム及び秘密情報復元プログラム
JP6229713B2 (ja) 暗号文照合システムと方法とプログラム
JP5489115B2 (ja) 原本性保証装置、原本性保証プログラム、及びこのプログラムを記録する記録媒体
JP6203387B2 (ja) 暗号装置及び記憶システム及び復号装置及び暗号方法及び復号方法及び暗号プログラム及び復号プログラム
JP5573041B2 (ja) 情報処理装置、コード生成方法、コード検証方法およびプログラム
JP2011013428A (ja) 情報処理装置、コード生成方法、コード検証方法およびプログラム
JP6797337B2 (ja) メッセージ認証装置、メッセージ認証方法及びメッセージ認証プログラム
JPWO2020095382A1 (ja) 認証暗号化装置、認証復号装置、認証暗号化方法、認証復号方法、認証暗号化プログラムおよび認証復号プログラム
JP7466791B2 (ja) 暗号化装置、復号装置、復号可能検証装置、暗号システム、暗号化方法、及び暗号化プログラム
WO2023095249A1 (ja) 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体
JP7317261B2 (ja) 暗号化装置、復号装置、暗号化方法、暗号化プログラム、復号方法及び復号プログラム
WO2023243141A1 (ja) 連合学習システム及び連合学習方法
JP5640624B2 (ja) 分散情報生成装置、復元装置、秘密分散システム、情報処理方法およびプログラム
JP2001222218A (ja) 暗号化装置、方法、復号装置、方法、暗号システム及びプログラムを記憶した記憶媒体

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09750647

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2010513064

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09750647

Country of ref document: EP

Kind code of ref document: A1