WO2019039381A1 - 秘密計算装置、秘密計算方法、プログラム、および記録媒体 - Google Patents

秘密計算装置、秘密計算方法、プログラム、および記録媒体 Download PDF

Info

Publication number
WO2019039381A1
WO2019039381A1 PCT/JP2018/030440 JP2018030440W WO2019039381A1 WO 2019039381 A1 WO2019039381 A1 WO 2019039381A1 JP 2018030440 W JP2018030440 W JP 2018030440W WO 2019039381 A1 WO2019039381 A1 WO 2019039381A1
Authority
WO
WIPO (PCT)
Prior art keywords
secret
processing
information
matrix
round
Prior art date
Application number
PCT/JP2018/030440
Other languages
English (en)
French (fr)
Inventor
大 五十嵐
亮 菊池
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US16/638,987 priority Critical patent/US11515998B2/en
Priority to EP18847701.2A priority patent/EP3675089B1/en
Priority to AU2018320434A priority patent/AU2018320434B2/en
Priority to CN201880054049.1A priority patent/CN111052206B/zh
Priority to JP2019537589A priority patent/JP6881588B2/ja
Publication of WO2019039381A1 publication Critical patent/WO2019039381A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0637—Modes of operation, e.g. cipher block chaining [CBC], electronic codebook [ECB] or Galois/counter mode [GCM]
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/46—Secure multiparty computation, e.g. millionaire problem

Definitions

  • the present invention relates to a secret computation technique for block ciphers.
  • AES Advanced Encryption Standard
  • CTR mode one of the encryption usage modes for encrypting plaintext every predetermined length block.
  • An object of the present invention is to efficiently perform a round process that repeats element replacement, row cyclic shift, column linear sum, and round key addition by secret calculation.
  • B is an integer of 1 or more
  • R is an integer of 3 or more
  • S is an integer of 2 or more
  • U S 2
  • F is a finite field.
  • b 0, ..., B-1
  • the first round processing includes processing P 1 , 4 and processing P 1 , 4 are S elements of one column of S ⁇ S matrix consisting of elements of the round key k 1 ⁇ F U of the first round S counter values i b, 0 ,..., I b, S ⁇ 1 Are respectively added to obtain a matrix M b, 1,4 .
  • the jth round processing includes processing P j, 1 , processing P j, 2 , processing P j, 3 and processing P j, 4, and processing P j, 1 is a matrix M b, j-1,4
  • the process P j, 2 includes the process of replacing each element to obtain the matrix M b, j, 1 , and the process P j, 2 cyclically shifts each element of the matrix M b, j, 1 row by row to generate the matrix M b, j, 2 includes the obtaining process
  • process P j, 3 is a matrix M b, j, 2 of matrix M b of the linear sum of the S component of each column is S number of elements of the column to obtain a j, 3 treatment hints
  • process P j, 4 is a matrix M b, j, 3 of the matrix M b by adding each element of the round key k j of the j-th round in each element, j, a 4 to obtain treated.
  • Table M (i 0, ..., i S-1) to the counter value i b, 0, ..., i b, M obtained by substituting S-1 (i b, 0 , ..., i b, S-1) Is a matrix M b, ⁇ , ⁇ where M b, 2,1 ,..., M b, 3,2 .
  • a round process that repeats element replacement, row cyclic shift, column linear sum, and round key addition can be efficiently performed by secret calculation.
  • FIG. 1 is a block diagram illustrating a secret calculation system of the embodiment.
  • FIG. 2 is a block diagram illustrating the functional configuration of the secret computing device of the embodiment.
  • FIG. 3A is a block diagram illustrating a functional configuration of a table generation unit of the embodiment.
  • FIG. 3B is a block diagram illustrating the functional configuration of the round processing unit of the embodiment.
  • FIG. 4 is a conceptual diagram for explaining the entire process of the embodiment.
  • FIG. 5 is a conceptual diagram for explaining ordinary block encryption.
  • FIG. 6 is a flowchart for explaining the encryption process of the embodiment.
  • FIG. 7 is a flowchart for explaining the details of the table generation process of the embodiment.
  • FIG. 8 is a flowchart for explaining the details of the round processing of the embodiment.
  • FIG. 9 is a flowchart for explaining the details of the round processing of the embodiment.
  • the secret computing system 1 of this embodiment has N secret computing devices 10-0 to 10- (N-1).
  • N is an integer of 1 or more.
  • N ⁇ 2 when performing a secret calculation using a share obtained by secret sharing, N ⁇ 2, and when performing a secret calculation using a homomorphic ciphertext, N ⁇ 1.
  • N ⁇ 2 when performing a secret calculation using a share obtained by secret sharing, N ⁇ 2, and when performing a secret calculation using a homomorphic ciphertext, N ⁇ 1.
  • the secret computing devices 10-0 to 10- (N-1) are configured to be communicable through the network.
  • the secret computing device 10-n executes each process under the control of the control unit 1051-n. Data obtained by each process is stored in a memory (not shown). The data stored in the memory is read out as needed and used for each process.
  • the table generation unit 1010-n has a secret calculation unit 1011-n and a control unit 1012-n.
  • the round processing unit 1030-n includes a secret calculation unit 1031-n and a control unit 1032-n.
  • plaintext block P 0, ..., confidential information P B-1 ⁇ F U ⁇ P 0 ⁇ , ..., ⁇ P B-1 ⁇ ⁇ ⁇ F U ⁇ and the addition by the secure computing (e.g., exclusive OR) Do.
  • B is an integer of 1 or more
  • R is an integer of 3 or more
  • S is an integer of 2 or more
  • U S 2
  • F is a finite field.
  • An example of a finite field F is a base field based extension field.
  • An example of the basic field is a set of remainders modulo a prime number, and the operation result in the basic field is obtained as a remainder modulo the prime number.
  • F is an extension field GF (2 8 ) which is an eight-order extension of a base field of order 2.
  • 256 values can be represented by the extension field GF (2 8 ).
  • F ⁇ means a set having elements of ⁇ finite fields F as elements. Further, ⁇ means that ⁇ belongs to ⁇ . ⁇ means a set to which secret information ⁇ of ⁇ belongs.
  • the normal block encryption process includes 1 to R + 1 rounds of round processing.
  • a block encryption process in which AES is implemented in CTR mode is a process of 1 to 11 rounds when the key length is 128 bits, and a process of 1 to 13 rounds when the key length is 192 bits.
  • the length is 256 bits, 1 to 15 rounds of processing are included, respectively.
  • the round processing of the first round includes addition processing P 1,4 (processing P 1,4 ).
  • the addition process P 1,4 is performed on S elements of S columns of one column of an S ⁇ S matrix consisting of elements of the round key k 1 1F U of the first round S counter values i b, 0 ,. , S ⁇ 1 are added to obtain a matrix M b, 1,4 .
  • the addition process P 1, 4 corresponds to AddRoundKey of the first round.
  • replacement processing P j, 1 (processing P j, 1 ) that performs element replacement and shift processing P j, which performs row cyclic shift 2 (process P j, 2 ), mixed process P j, 3 (process P j, 3 ) performing linear sum of columns, and addition process P j, 4 (process P j, 4 ) performing addition of round key And.
  • the replacement process P j, 1 corresponds to SubBytes
  • the shift process P j, 2 corresponds to ShiftRows
  • the mixed process P j, 3 corresponds to MixCoumns
  • the addition process P j, 4 corresponds to AddRoundKey Do.
  • the permutation process P j, 1 includes a process of permuting each element of the matrix M b, j-1,4 to obtain the matrix M b, j, 1 .
  • the permutation process P j, 1 is a process for replacing each element of the matrix M b, j -1 , 4 according to a predetermined procedure (for example, S-box) to obtain the matrix M b, j, 1 It is.
  • the multiplicative inverse operation is performed on the extension field GF (2 8 ) by the irreducible polynomial x 8 + x 4 + x 3 + x + 1 for each element of the matrix M b, j-1,4 and further affine transformation
  • Each element is replaced according to the result and the matrix M b, j, 1 is obtained
  • the shift process P j, 2 includes a process of cyclically shifting each element of the matrix M b, j, 1 row by row to obtain the matrix M b, j, 2 .
  • the mixing process P j, 3 includes a process of obtaining a matrix M b, j, 3 in which the linear sum of S elements of each column of the matrix M b, j, 2 is S elements of the column. The coefficients of each term of these linear sums differ from row to row.
  • Addition process P j, 4 comprises a matrix M b, j, 3 of the matrix M b by adding each element of the round key k j of the j-round to each element, the process of obtaining the j, 4.
  • the round process of the R + 1th round includes a replacement process PR + 1 , 1 for replacing elements, a shift process PR + 1 , 2 for cyclic shift of rows, and an addition process PR + 1 , 4 for adding round keys .
  • the second round of permutation processing P 2,1 substitutes each element of the matrix M b, 1,4 according to a predetermined procedure to obtain a matrix M b, j, 1 .
  • This process is performed for each element of the matrix M b, 1,4 . Therefore, the replacement process of each element can be expressed by the function f s : F ⁇ F.
  • the matrix M b, 2,1 is as follows.
  • the second round shift process P2,2 is a process of cyclically shifting the elements of the matrix M b, 2,1 row by row to obtain the matrix M b, 2,2 .
  • the following matrix M b, 2,2 is obtained by cyclically shifting the ⁇ + 1'th row of the matrix M b, 2,1 in equation (3) in the left direction by ⁇ elements.
  • the second round mixed processing P 2,3 is processing for obtaining a matrix M b, 2,3 in which the linear sum of S elements of each column of the matrix M b, 2,2 is S elements of the corresponding column. It is.
  • the mixing process P2,3 is performed on the matrix Mb, 2,2 of the equation (4), for example, the following is obtained.
  • the matrices M b, 2, 4 and the permutation obtained by the addition process P 2 , 4 and obtained by the process P 3, 1 matrix M b, 3, 1 also variable i i 0, ..., a univariate function value for i S-1 can be generalized as a table with the elements.
  • the matrix M b, 3,2 is as follows.
  • Substituting..., I b and S ⁇ 1 gives matrices M (i b, 0 ,..., I b, S ⁇ 1 ) in each block b.
  • the elements of the table M (i 0 ,..., I S-1 ) can be regarded as univariate function values or constants.
  • variable i i 0 a matrix obtained, ..., can not express the univariate function values as a table with the elements for i S-1 (multivariable function value (The table has an element), and the size of the table increases.
  • the secret information ⁇ M (i 0 ,..., I S ⁇ 1 ) ⁇ of the table M (i 0 ,..., I S ⁇ 1 ) having one- variable function values for 1 as elements is obtained.
  • Table M (i 0, ..., i S-1) to the counter value i b, 0, ..., i b, M obtained by substituting S-1 (i b, 0 , ..., i b, S-1) Is the matrix M b, ⁇ , ⁇ .
  • the secret computing device 10-n is configured to receive the secret information ⁇ ib, 0 ⁇ ,..., ⁇ Ib, S-1 ⁇ and the secret information ⁇ of the counter values i b, 0 , ..., i b, S-1.
  • M (i 0, ..., i S-1) using a ⁇ , b 0 by secure computing, ..., obtained matrix M b for B-1, gamma, confidential information mu ⁇ M b, gamma, and mu ⁇ .
  • secure computing apparatus 10-n are either round key k 2, ..., confidential information and confidential information of k R + 1 ⁇ M b, ⁇ , ⁇ used by secure computing, by executing the remaining processing to obtain
  • the secret information may be a share (secret sharing value) according to the secret sharing scheme, or a ciphertext according to the homomorphic cryptography (cipher text such as RSA cryptography or ElGamal cryptography).
  • secret sharing scheme for example, Koji Chida, Hiroki Shibata, Igarashi Univ., Katsuya Takahashi, "Reconsideration of lightweight verifiable three-party secret function calculation", CSS 2010, 2010 (Reference 2), "Michael Ben-Or, Shafi Goldwasser, Avi Wigderson: Completeness Theorems for Non-Cryptographic Fault-Tolerant Distributed Computation (Extended Abstract). STOC 1988: 1-10" (reference 3), etc. ing.
  • the secure computing unit 1011-n table generation unit 1010-n is, the counter value i b, 0, ..., i b, S-1 variable i 0, ..., a i S-1, the control unit 1012-n Using the secret information of the round keys k 1 ,..., K R that are required under the control of, and any processing P ⁇ , ⁇ from addition processing P 1,4 (where P ⁇ , ⁇ is P 2,1 ,..., P 3 , 2 ) is executed by secret calculation (step S1011-n) to obtain confidential information ⁇ M (i 0 ,..., I S ⁇ 1 ) ⁇ .
  • the secret calculation unit 1011-n of the table generation unit 1010-n changes the counter values i b, 0 , ..., i b, S-1 as variables.
  • i 0 ,..., i S ⁇ 1 and secret information ⁇ k 1 ⁇ , ⁇ k 2 ⁇ be used to calculate the addition process P 1 , 4 of the first round and the replacement process P 2 , 1 of the second round , And obtain and output the confidential information of the matrix obtained by the permutation process P 2 , 1 as the confidential information ⁇ M (i 0 ,..., I S -1 ) ⁇ (for example, the confidential information of equation (3)) .
  • the secret calculation unit 1011-n of the table generation unit 1010-n changes the counter values i b, 0 , ..., i b, S-1 as variables.
  • the secret calculation unit 1011-n of the table generation unit 1010-n changes the counter values i b, 0 , ..., i b, S-1 as variables.
  • Counter value i b ', 0, ..., i b', S-1 the counter value i 0,0, ..., i 0, is a value obtained by applying a predetermined rule on the S-1 .
  • the counter value i b'-1,0, ..., i b'-1 the value is represented by S-1 i b'-1,0 ... i b'-1, a predetermined value S-1 (e.g. , 1)
  • S-1 e.g. , 1
  • the round processing unit 1030-n uses the secret information and the secret information ⁇ M b, ⁇ , ⁇ ⁇ of any round key k 2 ,..., K R + 1 to perform the remaining process by the secret calculation (step S1031 b-n).
  • Post-processing is performed to obtain confidential information ⁇ M b, ⁇ , MU ⁇ of the matrix M b, ⁇ , MU obtained by execution.
  • the round processing unit 1030-n is the secret information ⁇ k 3 ⁇ , ...
  • the third round mixed processing P 3,3 to the R round addition processing P R, 4 is executed by secret calculation, and further, the R + 1 round replacement processing P R + 1, 1, shift processing P R + 1, 2, addition processing P R + l, 4 to run resulting matrix M b, confidential information ⁇ M b, R + 1,4 ⁇ of R + l, 4 outputs to obtain.
  • the confidential information ⁇ M (i 0 ,..., I S ⁇ 1 ) ⁇ of the table M (i 0 ,..., I S ⁇ 1 ) is generated, and the confidential information ⁇ M (i 0 ,
  • the size of the table M (i 0 ,..., I S-1 ) can be expressed by a data amount equal to or less than U times F, and each block b using confidential information ⁇ M (i 0 ,..., I S-1 ) ⁇
  • M b, ⁇ , ⁇ is M b, 3,1 or M b, 3,2
  • the communication necessary for the secret calculation of the two permutation processes P 2,1 , P 2,2 It can be reduced.
  • the second embodiment is a modification of the first embodiment, in which a checksum for performing tampering detection is generated to perform tampering detection.
  • the table M (i 0, ..., i S-1) encryption information ⁇ M (i 0, ..., i S-1) ⁇ of the data volume handled by the preprocessing for obtaining a is small.
  • the amount of data processed in the post-stage processing performed after the pre-stage processing becomes significantly large.
  • checksums are generated in different ways according to these differences. This enables safe and efficient encryption.
  • differences from the first embodiment will be mainly described, and the matters already described will be simplified using the same reference numerals.
  • the secret computing system 2 of this embodiment has N secret computing devices 20-0 to 20- (N-1).
  • N is an integer of 1 or more.
  • the secret computing devices 20-0 to 20- (N-1) are configured to be able to communicate through the network.
  • the secret computing device 20-n executes each process under the control of the control unit 1051-n. Data obtained by each process is stored in a memory (not shown). The data stored in the memory is read out as needed and used for each process.
  • the table generation unit 2010-n includes a secret calculation unit 1011-n, a control unit 1012-n, a random number generation unit 2015-n, and a checksum update unit 2016-n.
  • the round processing unit 2030-n includes a secret calculation unit 1031-n, a control unit 1032-n, a dummy block generation unit 2035a-n, a concealment unit 2035b-n, and a combination unit 2035c-n, It has a random substitution unit 2036-n and a checksum updating unit 2037 and 2038.
  • checksums are generated by different methods in the pre-stage processing with a small amount of processing data and the post-stage processing with a very large amount of processing data. That is, the table generation unit 2010 generates a first checksum for detecting tampering in the pre-stage processing according to the first method, and the round processing unit 2030 generates a second checksum for detecting tampering in the post-stage processing. Generate a checksum according to the second method.
  • the first method is a method in which the level of security does not depend on the amount of data of the restoration value of the confidential information that is the target of tampering detection.
  • the second method is a method in which the level of security depends on the data amount of the restoration value of the confidential information that is the target of tampering detection.
  • the second method safety when the data amount of the restored value of the confidential information is a falsification detection target is alpha 1 is the amount of data restored value of confidential information is a falsification detection target is alpha 2
  • This method is higher than the safety of However, ⁇ 1 is larger than ⁇ 2 .
  • the second method is a method in which the security is higher as the data amount of the restoration value of the confidential information to be tampered with is larger.
  • the methods of References 6 and 7 assume that dummy blocks can be calculated without being concealed. However, in the present embodiment, the dummy block is also processed as the secret information. Therefore, in the present embodiment, any one of the dummy blocks is set as the processing requiring dummy block, and the checksum for the processing requiring dummy block is generated by the third method. This will ensure higher security.
  • the third method is a method in which the level of security does not depend on the data amount of the restoration value of the confidential information that is the target of tampering detection. For example, the third method is the same as the first method.
  • the systems of References 4 and 5 are adopted as the first system will be described.
  • step S2010-n The details of step S2010-n are illustrated using FIG.
  • the secret information in this example is a share according to the secret sharing scheme.
  • the pre-processing includes secret calculation using secret information in accordance with T types of secret sharing schemes meth 0 , ..., meth T-1 .
  • the secret calculation is each secret calculation performed in the process of step S1010-n described above.
  • a specific example of a method of generating secret information ⁇ r t ⁇ is disclosed in reference 5. For example, first, each of the random number generation units 2015-n of the secret calculation device 20-n generates a random number r ' n ⁇ F.
  • any of the secure computing apparatuses 20-1 ⁇ 20- (N-1) also without knowing the random number r t, can be a random number generation unit 2015-n to obtain confidential information of the random number r t ⁇ r t ⁇ (Step S2015-n).
  • the checksum updating unit 2016-n initializes C1 , t included in the first checksum to null (empty set).
  • the first checksum may be composed of only C1 , t , or may be composed of C1 , t and other information (step S2016-n).
  • the checksum update unit 2016-n When a plurality of pieces of secret information are used for secret calculation Com ⁇ , the checksum update unit 2016-n generates a randomized dispersion value for each piece of secret information , and updates C 1, t by adding them (step S2016a). -N).
  • Secret calculation unit 1011-n executes secret calculation Com ⁇ (step S 1011-n).
  • the checksum update unit 2016-n obtains the secret information ⁇ h w r t ⁇ by secret calculation using the secret information ⁇ h w ⁇ and the secret information ⁇ r t ⁇ .
  • the secret calculation result includes a plurality of pieces of secret information
  • the checksum updating unit 2016-n generates a randomized dispersion value for each piece of secret information , and updates C 1, t by the addition thereof (step S2016 b-n) ).
  • steps S2016a-n to S2016b-n is performed until ⁇ pieces of secret calculation Com 0 ,..., Com ⁇ 1 are executed and confidential information ⁇ M (i 0 ,..., I S ⁇ 1 ) ⁇ is obtained.
  • Step S1020-n The second embodiment is the same as the first embodiment except that the secret computing device 20-n executes in place of the secret computing device 10-n.
  • the round processing unit 2030-n is any one of a round key k 2, ..., k R + 1 of the confidential information and confidential information ⁇ M b, ⁇ , ⁇ used by secure computing, remaining processing
  • the post- stage processing is performed to obtain the confidential information ⁇ M b, ⁇ , MU ⁇ of the matrix M b, ⁇ , MU obtained by executing the following.
  • the round processing unit 2030-n generates a second checksum for detecting tampering in the post-stage processing according to the second method.
  • the method of changing the method of the reference documents 6 and 7 is adopted as the second method.
  • Step S2030-n A specific example of step S2030-n will be described using FIG. 8 and FIG.
  • the secret information in this example is a share according to the secret sharing scheme.
  • the dummy block generator 2035a-n may, Y-number of dummy blocks D 0, ..., confidential information D Y-1 ⁇ F U ⁇ D 0 ⁇ , ..., and generates and outputs ⁇ D Y-1 ⁇ .
  • Y p-B.
  • p is a prime number larger than B.
  • One of the dummy blocks D 0 ,..., D Y ⁇ 1 is set as the processing-required dummy block DP.
  • the number of processing-required dummy blocks DP may be one, or two or more. Requiring processing dummy block dummy block other than DP D y 'is a public value.
  • the dummy block generation unit 2035 a-n conceals the dummy block D y ′ which is a public value by a method having legitimacy to obtain the confidential information ⁇ D y ′ ⁇ .
  • the process-required dummy block DP may be a public value or may not be a public value. In the former case, the dummy block generation unit 2035a-n conceals the dummy block DP, which is a public value, to obtain concealment information ⁇ DP ⁇ .
  • the round processing unit 2030-n uses the secret information of any necessary round key k 2 ,..., K R + 1 and the secret information ⁇ DP ⁇ of the processing-required dummy block DP to generate a matrix M DP, ⁇ , MU
  • the dummy post-processing to obtain the confidential information ⁇ M DP, ⁇ , MU ⁇ of ⁇ circle over (1) ⁇ is performed.
  • the matrices M DP, ⁇ , and MU are processing results obtained by performing the above-described residual processing on the processing-required dummy block DP.
  • a third checksum for detecting tampering in the dummy post-processing is generated according to the third method.
  • the third method is a method in which the security does not depend on the data amount of the restoration value of the confidential information to be subjected to the dummy post-processing.
  • the third scheme may or may not be the same as the first scheme.
  • an example is shown in which the third method and the first method are identical to each other.
  • the checksum updating unit 2038-n initializes C 3, t included in the third checksum to null (empty set).
  • the third checksum may be composed only of C3 , t , or may be composed of C3 , t and other information (step S2038-n).
  • ⁇ ′ is an integer of 1 or more.
  • the checksum updating unit 2038 -N generates secret information ⁇ d ⁇ r t ⁇ by secret calculation using the secret information ⁇ d ⁇ ⁇ and the secret information ⁇ r t ⁇ .
  • the secret calculation unit 1031-n executes the secret calculation Com3 ′ ′ (step S2031a-n).
  • Secure computing Com3 [psi 'by the execution of, confidential information which is secret calculation results in line with the secret sharing scheme meth t ⁇ h' w ⁇ are obtained.
  • the checksum updating unit 2038-n obtains the secret information ⁇ h ′ w r t ⁇ by secret calculation using the secret information ⁇ h ′ w ⁇ and the secret information ⁇ r t ⁇ .
  • the checksum updating unit 2038-n generates a randomized dispersion value for each of the secret information , and updates C 3, t by adding them (step S 2038 b-n) ).
  • steps S2038a-n to S2038b-n is repeated until ⁇ 'pieces of secret calculations Com3 0 ,..., Com3 -1'-1 are executed and secret information ⁇ M DP, ⁇ , MU ⁇ is obtained.
  • the processing of steps S2038a-n to S2038b-n is repeated until the R + 1 round is completed.
  • ⁇ ′ 0,..., ⁇ ′ ⁇ 1, and ⁇ 3 ⁇ ′ > is a randomized dispersion value.
  • the checksum updating unit 2037-n initializes C 2, A 2, C 2, ⁇ _q , C 2, D contained in the second checksum to null (empty set).
  • the second checksum is C 2, A, C 2, ⁇ _q, may be composed of only C 2, D, C 2, A, C 2, is composed of Pai_q, and C 2, D and other information (Step S2037-n).
  • the random replacement unit 2036-n generates secret information ⁇ q ⁇ of random replacement information ⁇ q representing the content of random replacement.
  • the random permutation information ⁇ q is information representing a random cyclic shift (step S2036-n).
  • the combining unit 2035c-n uses these, and secret information of the non-randomized sequence A ⁇ F UB consisting of elements of the matrices M 0, ⁇ , ⁇ ,..., M B ⁇ 1, ⁇ , ⁇ according to secret calculation ⁇ and Y number of dummy blocks D 0, ..., confidential information ⁇ D 0 of D Y-1 ⁇ F U ⁇ , ..., ⁇ D Y-1 ⁇ and the bound secret information ⁇ a
  • D ⁇ ⁇ a
  • ⁇ represents a bond (linkage) between ⁇ and ⁇ (Step S2035 c-n).
  • the random substitution unit 2036-n uses the secret information ⁇ q ⁇ and the secret information ⁇ A
  • D to obtain a randomized sequence ⁇ q ⁇ q (A
  • Secret information ⁇ q ⁇ ⁇ q (A
  • D) ⁇ of U (B + Y) is obtained by secret calculation and output. This process is executed for each q 0,..., Q-1 (step S2036b-n).
  • Secret calculation unit 1031-n uses secret information ⁇ A ⁇ and sets secret information ⁇ M b, ⁇ , ⁇ ⁇ corresponding to U elements of matrix M b, ⁇ , ⁇ constituting non-randomized sequence A. Perform the secret calculation of each sub-process Sub ⁇ . That is, the secure computing unit 1031-n, each secret information ⁇ M b, ⁇ , ⁇ executes secure computing for each sub-processing Sub theta respect.
  • the secret calculation unit 1031-n applies the remaining process to each of the matrices M b, ⁇ , ⁇ that form the non-randomized sequence A, and obtains secret information ⁇ M b, b of the matrices M b, ⁇ , MU obtained . Obtain ⁇ , MU ⁇ .
  • the secret calculation unit 1031-n obtains secret information ⁇ q, b ′ ′, ⁇ , MU ⁇ ⁇ ⁇ F U ⁇ , which is the secret calculation result of each sub-process Sub ⁇ .
  • dummy block D y e.g., dummy block D y except requiring processing dummy block DP
  • the operation result D y of each sub-process sub theta, gamma obtain MU ⁇ F U (step S2031b-n).
  • the concealing unit 2035b-n conceals the operation results D y, ⁇ , and MU by a method having legitimacy, obtains and outputs concealment information ⁇ D y, ⁇ , MU ⁇ (step S2035 b-n).
  • Checksum update unit 2037-n is confidential information ⁇ M b, ⁇ , MU ⁇ confidential information is a secret calculation results of each sub-processing Sub theta obtained in the process for obtaining a ⁇ M b, ⁇ , ⁇ , MU ⁇ Update C 2, A with ⁇ ⁇ F U ⁇ .
  • A ( C0, 2, A , ..., CB -1, 2, A )
  • the checksum updating unit 2037-n generates ( C0, 2, A
  • ⁇ _q (C 0,2, ⁇ _q ,..., C B + Y ⁇ 1, 2, ⁇ _q )
  • the checksum updating unit 2037-n updates C 2, D with confidential information ⁇ D y, ⁇ , ⁇ , MU ⁇ ⁇ ⁇ F U ⁇ of the calculation result of each sub-process Sub ⁇ .
  • D ( C0,2, D , ..., CY -1,2, D )
  • the checksum updating unit 2037-n calculates ( C0,2, D
  • steps S2031b-n to S2037d-n is executed for all of the sub-processings Sub 0 ,..., Sub 1 . Thereafter, the checksum updating unit 2037-n outputs a second checksum including C 2, A 2, C 2, ⁇ _q , C 2, D.
  • Step S1041-n The second embodiment is the same as the first embodiment except that the secret computing device 20-n executes in place of the secret computing device 10-n.
  • the legitimacy verification unit 2043-n verifies the legitimacy of C 1, t and C 3, t as described in References 4 and 5.
  • Further validity verifying unit 2043-n is, ⁇ 0 r t ⁇ , ..., using ⁇ ⁇ -1 r t ⁇ , the secure computing, ⁇ 0 r t, ..., of the sum of ⁇ ⁇ -1 r t Secret information ⁇ 0 r t +... + ⁇ ⁇ ⁇ 1 r t ⁇ is determined.
  • the legitimacy verification unit 2043-n uses secret information ⁇ r t ( ⁇ 0 +... + ⁇ ⁇ ⁇ 1 ) ⁇ and ⁇ 0 r t +... + ⁇ ⁇ ⁇ 1 r t ⁇ to calculate DC 1 by secret calculation.
  • T r t ( ⁇ 0 +...
  • the secret information ⁇ DC 1, t ⁇ is obtained to restore DC 1, t .
  • ⁇ 3 0 ⁇ , ..., ⁇ 3 ⁇ '-1 ⁇ and ⁇ r t ⁇ of ⁇ 3 ⁇ '-1 ⁇ , ⁇ 3 ⁇ '-1 r t ⁇ > by secret calculation, ⁇ 3 0 , ... obtains the concealment information of the results obtained by multiplying the r t to the sum of ⁇ 3 ⁇ '-1 ⁇ r t ( ⁇ 3 0 + ... + ⁇ 3 ⁇ -1) ⁇ .
  • Further validity verifying unit 2043-n is, ⁇ 3 0 r t ⁇ , ..., using ⁇ 3 ⁇ '-1 r t ⁇ , the secure computing, ⁇ 3 0 r t, ..., of ⁇ 3 ⁇ '-1 r t Secret information ⁇ 3 0 r t +... + ⁇ 3 ⁇ ′ ⁇ 1 r t ⁇ of the sum is obtained.
  • Step S2044-n The second checksum and the secret information ⁇ q ⁇ including C 2, A 2, C 2, ⁇ _ q , C 2, D are input to the validity verification unit 2044-n.
  • the legitimacy verification unit 2044-n verifies the legitimacy of C 2, A 2, C 2, ⁇ _ q , C 2, D as described in References 5 and 6. That is, the legitimacy verification unit 2044-n releases the secret information ⁇ q ⁇ to obtain the random substitution information ⁇ q , and uses ⁇ q , C 2, A 2, C 2, ⁇ _ q , C 2, D, and a secret.
  • the legitimacy verification unit 2044-n calculates secret information ⁇ ran ⁇ of random number ran and ⁇ ' b ", q, 0 ⁇ ,..., ⁇ B ' b", q, M "-1 ⁇ by secret calculation.
  • the product-sum operation is performed, and as a result, ⁇ is disclosed to obtain ⁇ If the ⁇ is 0, the validity verification unit 2044-n determines that there is no falsification in the post-processing, otherwise the post-processing It is determined that the
  • the round processing that repeats element replacement, row cyclic shift, column linear sum, and round key addition can be efficiently performed by secret calculation.
  • a first checksum for detecting tampering in the pre-stage processing is generated according to the first method, and a second checksum for detecting tampering in the post-stage processing according to the second method. Generated.
  • the amount of processing data is much larger in the post-stage processing than in the pre-stage processing.
  • the second method is a method in which the security is higher as the amount of processing data is larger, and is suitable for detection of tampering in the subsequent processing.
  • the amount of processing data is small, so the efficiency is low even if the second method is used.
  • communication with high security can be efficiently realized by changing the checksum generation method between the pre-stage processing and the post-stage processing.
  • Randomized variance values may be generated for up to secret calculations that require communication (eg, secret calculation of Multiplication Inverse of SubBytes), and C 1, t may be updated.
  • a randomized dispersion value may be generated before and after each secret calculation performed in step S1020-n, and C1 , t may be updated. That is, in step S1020-n, the secret used in making the secure computing using confidential information ⁇ a lambda ⁇ conforming to secret sharing scheme meth t, and confidential information ⁇ a lambda ⁇ and confidential information ⁇ r t ⁇
  • One may obtain ⁇ r t ⁇ > and update C 1, t by the addition of the randomized variance value ⁇ a ⁇ > .
  • step S1020-n when secret information ⁇ h w ⁇ , which is the result of secret calculation according to the secret sharing scheme meth t , is obtained in step S1020-n, the secret information ⁇ h w ⁇ and the secret information ⁇ r t ⁇ are used.
  • the first checksum including C 1, t may be updated by obtaining ⁇ h w r t ⁇ > and updating C 1, t by adding a randomized variance value ⁇ h w >.
  • a checksum may be generated and verified to detect tampering in step S1041-n. This checksum is preferably generated in accordance with the second scheme.
  • Each of the above-described devices is, for example, a general-purpose or dedicated computer including a processor (hardware processor) such as a CPU (central processing unit) and a memory such as a RAM (random-access memory) and a ROM (read-only memory). Is configured by executing a predetermined program.
  • the computer may have one processor or memory, or may have a plurality of processors or memory.
  • This program may be installed in a computer or may be stored in advance in a ROM or the like.
  • an electronic circuit circuitry
  • a part or all of the processing units are configured using an electronic circuit that realizes a processing function without using a program. May be
  • the electronic circuit that constitutes one device may include a plurality of CPUs.
  • the processing content of the function that each device should have is described by a program.
  • the above processing functions are realized on a computer by executing this program on a computer.
  • the program describing the processing content can be recorded in a computer readable recording medium.
  • An example of a computer readable recording medium is a non-transitory recording medium. Examples of such recording media are magnetic recording devices, optical disks, magneto-optical recording media, semiconductor memories and the like.
  • This program is distributed, for example, by selling, transferring, lending, etc. a portable recording medium such as a DVD, a CD-ROM or the like recording the program. Furthermore, this program may be stored in a storage device of a server computer, and the program may be distributed by transferring the program from the server computer to another computer via a network.
  • a computer that executes such a program first temporarily stores a program recorded on a portable recording medium or a program transferred from a server computer in its own storage device. At the time of execution of processing, this computer reads a program stored in its own storage device and executes processing in accordance with the read program. As another execution form of this program, the computer may read the program directly from the portable recording medium and execute processing in accordance with the program, and further, each time the program is transferred from the server computer to this computer Alternatively, processing may be performed sequentially according to the received program.
  • the configuration described above is also executed by a so-called ASP (Application Service Provider) type service that realizes processing functions only by executing instructions and acquiring results from the server computer without transferring the program to this computer. Good.
  • ASP Application Service Provider
  • At least a part of these processing functions may be realized by hardware.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Complex Calculations (AREA)
  • Storage Device Security (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

秘密計算装置は、一変数関数値を要素に持つ表Ｍ（ｉ０，…，ｉＳ－１）の秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を得る。ただし、表Ｍ（ｉ０，…，ｉＳ－１）にカウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１を代入したＭ（ｉｂ，０，…，ｉｂ，Ｓ－１）がＭｂ，２，１，…，Ｍｂ，３，２の何れかである行列Ｍｂ，γ，μである。秘密計算装置は、秘匿情報｛ｉｂ，０｝，…，｛ｉｂ，Ｓ－１｝および秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を用い、秘密計算によって、秘匿情報｛Ｍｂ，γ，μ｝を得、処理Ｐｊ，１、処理Ｐｊ，２、処理Ｐｊ，３、および処理Ｐｊ，４のうち、処理Ｐγ，μよりも後に行われる各処理を含む残存処理を実行して得られる行列Ｍｂ，Γ，ＭＵの秘匿情報｛Ｍｂ，Γ，ＭＵ｝を得る。

Description

秘密計算装置、秘密計算方法、プログラム、および記録媒体
　本発明はブロック暗号の秘密計算技術に関する。
　共通鍵暗号方式の一つにＡＥＳ（Advanced Encryption Standard）がある（例えば、非特許文献１等参照）。ＡＥＳでは、要素の置換と行の巡回シフトと列の線形和とラウンド鍵の加算とを繰り返すラウンド処理によって暗号化を行う。また、平文を所定長のブロックごとに暗号化する暗号利用モードの一つにＣＴＲモードがある。ＡＥＳがＣＴＲモードで実装された場合、各ブロックでラウンド処理が行われ、それによって得られた各ブロックの鍵の暗号文が各ブロックの平文に加算される。
Daniel J. Bernstein, Peter Schwabe, "New AES software speed records," INDOCRYPT 2008, Progress in Cryptology - INDOCRYPT 2008 pp. 322 - 336.
　本発明の目的は、要素の置換と行の巡回シフトと列の線形和とラウンド鍵の加算とを繰り返すラウンド処理を秘密計算によって効率的に実行することである。
　Ｂが１以上の整数であり、Ｒが３以上の整数であり、Ｓが２以上の整数であり、Ｕ＝Ｓ２であり、Ｆが有限体である。ｂ＝０，…，Ｂ－１であり、ｒ＝１，…，Ｒであり、ｊ＝２，…，Ｒであり、１ラウンド目のラウンド処理が処理Ｐ１，４を含み、処理Ｐ１，４が１ラウンド目のラウンド鍵ｋ１∈ＦＵの要素からなるＳ×Ｓ行列の１つの列のＳ個の要素にＳ個のカウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１をそれぞれ加算して行列Ｍｂ，１，４を得る処理を含む。ｊラウンド目のラウンド処理が処理Ｐｊ，１と処理Ｐｊ，２と処理Ｐｊ，３と処理Ｐｊ，４とを含み、処理Ｐｊ，１が行列Ｍｂ，ｊ－１，４の各要素を置換して行列Ｍｂ，ｊ，１を得る処理を含み、処理Ｐｊ，２が行列Ｍｂ，ｊ，１の各要素を行ごとに巡回シフトして行列Ｍｂ，ｊ，２を得る処理を含み、処理Ｐｊ，３が行列Ｍｂ，ｊ，２の各列のＳ個の要素の線形和を当該列のＳ個の要素とした行列Ｍｂ，ｊ，３を得る処理を含み、処理Ｐｊ，４が行列Ｍｂ，ｊ，３の各要素にｊラウンド目のラウンド鍵ｋｊの各要素を加算して行列Ｍｂ，ｊ，４を得る処理を含む。
　秘密計算装置は、何れかのラウンド鍵ｋ１，…，ｋ３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表Ｍ（ｉ０，…，ｉＳ－１）の秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を得る前段処理を行う。ただし、表Ｍ（ｉ０，…，ｉＳ－１）にカウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１を代入したＭ（ｉｂ，０，…，ｉｂ，Ｓ－１）がＭｂ，２，１，…，Ｍｂ，３，２の何れかである行列Ｍｂ，γ，μである。秘密計算装置は、カウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１の秘匿情報｛ｉｂ，０｝，…，｛ｉｂ，Ｓ－１｝および秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を用い、秘密計算によってｂ＝０，…，Ｂ－１についての行列Ｍｂ，γ，μの秘匿情報｛Ｍｂ，γ，μ｝を得、何れかのラウンド鍵ｋ２，…，ｋＲ＋１の秘匿情報および秘匿情報｛Ｍｂ，γ，μ｝を用い、秘密計算により、ｊ＝２，…，Ｒについての処理Ｐｊ，１、処理Ｐｊ，２、処理Ｐｊ，３、および処理Ｐｊ，４のうち、処理Ｐγ，μよりも後に行われる各処理を含む残存処理を実行して得られる行列Ｍｂ，Γ，ＭＵの秘匿情報｛Ｍｂ，Γ，ＭＵ｝を得る後段処理を行う。
　本発明では、要素の置換と行の巡回シフトと列の線形和とラウンド鍵の加算とを繰り返すラウンド処理を秘密計算によって効率的に実行できる。
図１は実施形態の秘密計算システムを例示したブロック図である。 図２は実施形態の秘密計算装置の機能構成を例示したブロック図である。 図３Ａは実施形態の表生成部の機能構成を例示したブロック図である。図３Ｂは実施形態のラウンド処理部の機能構成を例示したブロック図である。 図４は実施形態の処理全体を説明するための概念図である。 図５は通常のブロック暗号化を説明するための概念図である。 図６は実施形態の暗号化処理を説明するためのフロー図である。 図７は実施形態の表生成処理の詳細を説明するためのフロー図である。 図８は実施形態のラウンド処理の詳細を説明するためのフロー図である。 図９は実施形態のラウンド処理の詳細を説明するためのフロー図である。
　以下、図面を参照して本発明の実施形態を説明する。
　［第１実施形態］
　まず、第１実施形態を説明する。
　＜構成＞
　図１に例示するように、本形態の秘密計算システム１はＮ個の秘密計算装置１０－０～１０－（Ｎ－１）を有する。Ｎは１以上の整数である。例えば、秘密分散によって得られたシェアを用いて秘密計算を行う場合にはＮ≧２であり、準同型暗号文を用いて秘密計算を行う場合にはＮ≧１である。Ｎ≧２の場合、秘密計算装置１０－０～１０－（Ｎ－１）はネットワークを通じて通信可能に構成される。
　図２に例示するように、本形態の秘密計算装置１０－ｎ（ただし、ｎ＝０，…，Ｎ－１）は、初期記憶部１００１－ｎ、表記憶部１００２－ｎ、カウンタ更新部１００３－ｎ、表生成部１０１０－ｎ、表計算部１０２０－ｎ、ラウンド処理部１０３０－ｎ、加算部１０４１－ｎ、および制御部１０５１－ｎを有する。秘密計算装置１０－ｎは制御部１０５１－ｎの制御の下で各処理を実行する。各処理で得られたデータは図示していないメモリに記憶される。メモリに格納されたデータは必要に応じて読み出され、各処理に利用される。
　図３Ａに例示するように、表生成部１０１０－ｎは、秘密計算部１０１１－ｎおよび制御部１０１２－ｎを有する。図３Ｂに例示するように、ラウンド処理部１０３０－ｎは、秘密計算部１０３１－ｎおよび制御部１０３２－ｎを有する。
　＜処理の概要＞
　図４および図５に例示するように、本形態の秘密計算装置１０－ｎは、１，…，Ｒ＋１ラウンド目のラウンド鍵ｋ１，…，ｋＲ＋１∈ＦＵの秘匿情報｛ｋ１｝，…，｛ｋＲ＋１｝∈｛ＦＵ｝、および各ブロックｂ＝０，…，Ｂ－１のカウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１∈Ｆの秘匿情報｛ｉｂ，０｝，…，｛ｉｂ，Ｓ－１｝∈｛Ｆ｝を用い、秘密計算により、各ブロックｂ＝０，…，Ｂ－１でブロック暗号化を行う。次に秘密計算装置１０－ｎは、各ブロックｂ＝０，…，Ｂ－１のブロック暗号化で得られた秘匿情報と、暗号化対象の平文ＰをＢ個のブロックに分割して得られた平文ブロックＰ０，…，ＰＢ－１∈ＦＵの秘匿情報｛Ｐ０｝，…，｛ＰＢ－１｝∈｛ＦＵ｝とを秘密計算によって加算（例えば、排他的論理和）する。ただし、Ｂは１以上の整数であり、Ｒは３以上の整数であり、Ｓは２以上の整数であり、Ｕ＝Ｓ２であり、Ｆは有限体である。有限体Ｆの例は基礎体に基づく拡大体である。基礎体の例は素数を法とした剰余からなる集合であり、当該基礎体での演算結果は当該素数を法とした剰余として得られる。例えば、Ｆは位数２の基礎体を８次拡大した拡大体ＧＦ（２８）である。例えば、基礎体の元が２バイトのデータである場合、拡大体ＧＦ（２８）の元は１バイト（＝８ビット）のデータとなる。この場合、拡大体ＧＦ（２８）によって２５６通りの値を表現できる。Ｆαはα個の有限体Ｆの元を要素とする集合を意味する。また、α∈βはαがβに属することを意味する。｛β｝はα∈βの秘匿情報｛α｝が属する集合を意味する。
　≪ブロック暗号化≫
　本形態のブロック暗号化では、表を用い、通常のブロック暗号化処理を効率化する。図５に例示するように、通常のブロック暗号化処理は、１～Ｒ＋１ラウンドのラウンド処理を含む。例えば、ＡＥＳをＣＴＲモードで実装したブロック暗号化処理は、鍵長が１２８ビットの場合には１～１１ラウンドの処理を、鍵長が１９２ビットの場合には１～１３ラウンドの処理を、鍵長が２５６ビットの場合には１～１５ラウンドの処理をそれぞれ含む。
　１ラウンド目のラウンド処理は加算処理Ｐ１，４（処理Ｐ１，４）を含む。加算処理Ｐ１，４は１ラウンド目のラウンド鍵ｋ１∈ＦＵの要素からなるＳ×Ｓ行列の１つの列のＳ個の要素にＳ個のカウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１をそれぞれ加算して行列Ｍｂ，１，４を得る処理を含む。ＡＥＳの場合、加算処理Ｐ１，４は１ラウンド目のＡｄｄＲｏｕｎｄＫｅｙに相当する。
　ｊラウンド目（ただし、ｊ＝２，…，Ｒ）のラウンド処理は、要素の置換を行う置換処理Ｐｊ，１（処理Ｐｊ，１）と、行の巡回シフトを行うシフト処理Ｐｊ，２（処理Ｐｊ，２）と、列の線形和を行う混合処理Ｐｊ，３（処理Ｐｊ，３）と、ラウンド鍵の加算を行う加算処理Ｐｊ，４（処理Ｐｊ，４）とを含む。ＡＥＳの場合、置換処理Ｐｊ，１はＳｕｂＢｙｔｅｓに相当し、シフト処理Ｐｊ，２はＳｈｉｆｔＲｏｗｓに相当し、混合処理Ｐｊ，３はＭｉｘＣｏｕｍｎｓに相当し、加算処理Ｐｊ，４はＡｄｄＲｏｕｎｄＫｅｙに相当する。置換処理Ｐｊ，１は、行列Ｍｂ，ｊ－１，４の各要素を置換して行列Ｍｂ，ｊ，１を得る処理を含む。例えば、置換処理Ｐｊ，１は行列Ｍｂ，ｊ－１，４の各要素を予め定められた手順（例えば、Ｓ－ｂｏｘ）に則って置換して行列Ｍｂ，ｊ，１を得る処理である。ＡＥＳの場合、行列Ｍｂ，ｊ－１，４の各要素に対し、既約多項式ｘ８＋ｘ４＋ｘ３＋ｘ＋１による拡大体ＧＦ（２８）上の乗法逆元演算を行い、さらにアフィン変換を行った結果によって各要素を置換して行列Ｍｂ，ｊ，１を得る（参考文献１：情報セキュリティ対策基盤整備事業「電子政府推奨暗号の実装」，独立行政法人情報処理推進機構）。シフト処理Ｐｊ，２は、行列Ｍｂ，ｊ，１の各要素を行ごとに巡回シフトして行列Ｍｂ，ｊ，２を得る処理を含む。例えば、シフト処理Ｐｊ，２は、行列Ｍｂ，ｊ，１のι＋１（ただし、ι＝０，…，Ｐ－１）行目の行を所定の方向（例えば、左方向）にι要素分だけ巡回シフトする処理である。混合処理Ｐｊ，３は、行列Ｍｂ，ｊ，２の各列のＳ個の要素の線形和を当該列のＳ個の要素とした行列Ｍｂ，ｊ，３を得る処理を含む。これらの線形和の各項の係数は行ごとに相違する。加算処理Ｐｊ，４は、行列Ｍｂ，ｊ，３の各要素にｊラウンド目のラウンド鍵ｋｊの各要素を加算して行列Ｍｂ，ｊ，４を得る処理を含む。
　Ｒ＋１ラウンド目のラウンド処理は、要素の置換を行う置換処理ＰＲ＋１，１と、行の巡回シフトを行うシフト処理ＰＲ＋１，２と、ラウンド鍵の加算を行う加算処理ＰＲ＋１，４とを含む。
　≪本形態のブロック暗号化≫
　本形態のブロック暗号化の特徴を説明する。前述のように、１ラウンド目の加算処理Ｐ１，４では、ラウンド鍵ｋ１の要素からなるＳ×Ｓ行列の１つの列のＳ個の要素にＳ個のカウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１をそれぞれ加算して行列Ｍｂ，１，４を得る。Ｓ＝４、Ｕ＝１６、ラウンド鍵ｋ１＝（ｋ１，０，…，ｋ１，１５）の場合、行列Ｍｂ，１，４は例えば以下のようになる。
Figure JPOXMLDOC01-appb-M000001
ただし、ｎ０，…，ｎ１１∈Ｆは任意値である。ｎ０＝…＝ｎ１１＝０であってもよい。ＡＥＳではｎ０，…，ｎ１１はｎｏｎｃｅに相当する。
　２ラウンド目の置換処理Ｐ２，１は、行列Ｍｂ，１，４の各要素を予め定められた手順に則って置換して行列Ｍｂ，ｊ，１を得る。この処理は行列Ｍｂ，１，４の要素ごとに行われる。そのため、各要素の置換処理を関数ｆｓ：Ｆ→Ｆで表現できる。Ｓ＝４、Ｕ＝１６、ラウンド鍵ｋ１＝（ｋ１，０，…，ｋ１，１５）の場合、行列Ｍｂ，２，１は以下のようになる。
Figure JPOXMLDOC01-appb-M000002
　ラウンド鍵ｋ１および任意値ｎ０，…，ｎ１２は全ブロックｂ＝０，…，Ｂ－１で共通であり、定数とみなせる。ブロックｂ＝０，…，Ｂ－１ごとに異なるのはカウンタ値ｉｂ，０，…，ｉｂ，３である。カウンタ値ｉｂ，０，…，ｉｂ，３をカウンタ値の変数ｉ０，…，ｉ３とすると、式（２）は以下のように変形できる。
Figure JPOXMLDOC01-appb-M000003
ここで、ｆ１，０，…，ｆ１，１１は全ブロックｂ＝０，…，Ｂ－１に共通であるため定数とみなせ、ｆ１，１２（ｉ３），…，ｆ１，１５（ｉ０）は変数ｉ＝ｉ０，…，ｉ３に対する一変数関数値である。つまり、各ブロックｂ＝０，…，Ｂ－１の行列Ｍｂ，２，１は、変数ｉ＝ｉ０，…，ｉ３に対する一変数関数値を要素に持つ表Ｍ（ｉ０，…，ｉ３）として一般化できる。このことはＳ＝４の場合のみならず、その他のＳの場合も同様である。すなわち、各ブロックｂ＝０，…，Ｂ－１の行列Ｍｂ，２，１は、変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表として一般化できる。
　２ラウンド目のシフト処理Ｐ２，２は、行列Ｍｂ，２，１の各要素を行ごとに巡回シフトして行列Ｍｂ，２，２を得る処理である。式（３）の行列Ｍｂ，２，１のι＋１行目の行を左方向にι要素分だけ巡回シフトすると以下の行列Ｍｂ，２，２が得られる。
Figure JPOXMLDOC01-appb-M000004
このように、各ブロックｂ＝０，…，Ｂ－１の行列Ｍｂ，２，２も、変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表として一般化できる。
　２ラウンド目の混合処理Ｐ２，３は、行列Ｍｂ，２，２の各列のＳ個の要素の線形和を当該列のＳ個の要素とした行列Ｍｂ，２，３を得る処理である。式（４）の行列Ｍｂ，２，２に対して混合処理Ｐ２，３を行うと例えば以下のようになる。
Figure JPOXMLDOC01-appb-M000005
ただし、
Figure JPOXMLDOC01-appb-M000006
である。ｘ０，…，ｘ１１は全ブロックｂ＝０，…，Ｂ－１で共通であるため定数とみなせ、ｘ１２，…，ｘ１５は変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値である。そのため、式（５）は以下のように変形できる。
Figure JPOXMLDOC01-appb-M000007
ただし、ｆ２，ｓ（ｉ）（ただし、ｓ＝０，…，Ｓ－１、ｉ＝ｉ０，…，ｉＳ－１）は一変数関数値である。つまり、行列Ｍｂ，２，３も、変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表として一般化できる。
　その後の２ラウンド目の加算処理Ｐ２，４および３ラウンド目の置換処理Ｐ３，１は要素ごとの処理であるため、加算処理Ｐ２，４によって得られる行列Ｍｂ，２，４および置換処理Ｐ３，１によって得られる行列Ｍｂ，３，１も変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表として一般化できる。さらに、３ラウンド目のシフト処理Ｐ３，２は要素を巡回シフトするだけであるため、それによって得られる行列Ｍｂ，３，２も変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表として一般化できる。例えば、行列Ｍｂ，３，２は以下のようになる。
Figure JPOXMLDOC01-appb-M000008
すなわち、行列Ｍｂ，２，１，…，Ｍｂ，３，２は変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表として一般化できる。ここで、変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表Ｍ（ｉ０，…，ｉＳ－１）に、各ブロックｂのカウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１を代入すると、各ブロックｂでの行列Ｍ（ｉｂ，０，…，ｉｂ，Ｓ－１）が得られる。表Ｍ（ｉ０，…，ｉＳ－１）の要素は一変数関数値または定数とみなせる。そのため、表Ｍ（ｉ０，…，ｉＳ－１）の各要素は有限体Ｆの元のデータ量以下で表現でき、表Ｍ（ｉ０，…，ｉＳ－１）全体はそのＵ倍のデータ量以下で表現できる。例えば、Ｓ＝４であり、有限体ＦがＧＦ（２８）であってその元のとり得る値の数が２５６通りである場合、表Ｍ（ｉ０，…，ｉＳ－１）の各要素のとり得る値の数は２５６通り以下となり、表全体では１バイト×２５６通り×１６個＝４０９６バイト以下のデータ量となる。一方、３ラウンド目の混合処理Ｐ３，３以降では、得られる行列を変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表として表現できず（多変数関数値を要素に持つ表となってしまい）、表のサイズが大きくなってしまう。
　以上の特徴を利用し、秘密計算装置１０－ｎは、まず、何れかのラウンド鍵ｋ１，…，ｋ３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表Ｍ（ｉ０，…，ｉＳ－１）の秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を得る。ただし、表Ｍ（ｉ０，…，ｉＳ－１）にカウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１を代入したＭ（ｉｂ，０，…，ｉｂ，Ｓ－１）が行列Ｍｂ，γ，μである。行列Ｍｂ，γ，μはＭｂ，２，１，…，Ｍｂ，３，２の何れかである（γ＝２，３、μ＝１，…，４）。次に、秘密計算装置１０－ｎは、カウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１の秘匿情報｛ｉｂ，０｝，…，｛ｉｂ，Ｓ－１｝および秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を用い、秘密計算によってｂ＝０，…，Ｂ－１についての行列Ｍｂ，γ，μの秘匿情報｛Ｍｂ，γ，μ｝を得る。これにより、少ない演算量で行列Ｍｂ，γ，μの秘匿情報｛Ｍｂ，γ，μ｝を得ることができる。特に、秘密計算で置換処理を行う場合には、秘密計算装置１０－０～１０－（Ｎ－１）間で通信を行う必要がある。秘匿情報｛Ｍ（ｉ０，…，ｉＳ－）｝を用いればこの通信を削減できる。特にＭｂ，γ，μがＭｂ，３，１またはＭｂ，３，２である場合、２回の置換処理Ｐ２，１，Ｐ２，２に必要な通信を削減できる。鍵長を１２８ビットとすると、この削減は２０％の通信量の削減となり、２５％の高速化を実現できる。
　その後、秘密計算装置１０－ｎは、何れかのラウンド鍵ｋ２，…，ｋＲ＋１の秘匿情報および秘匿情報｛Ｍｂ，γ，μ｝を用い、秘密計算により、残存処理を実行して得られる行列Ｍｂ，Γ，ＭＵの秘匿情報｛Ｍｂ，Γ，ＭＵ｝を得る後段処理を行う。後段処理は、ｊ＝２，…，Ｒについての置換処理Ｐｊ，１、シフト処理Ｐｊ，２、混合処理Ｐｊ，３、および加算処理Ｐｊ，４のうち、処理Ｐγ，μよりも後に行われる各処理を含む。例えば、Γ＝Ｒ＋１，ＭＵ＝４である場合、秘密計算装置１０－ｎは、後段処理によって秘匿情報｛Ｍｂ，Ｒ＋１，４｝を得て出力する。
　＜処理の詳細＞
　図６から図１１を用い、処理の詳細を説明する。
　≪前提≫
　前提として、初期記憶部１００１－ｎにラウンド鍵ｋ１，…，ｋＲ＋１の秘匿情報｛ｋ１｝，…，｛ｋＲ＋１｝、カウンタ値ｉ０，０，…，ｉ０，Ｓ－１の秘匿情報｛ｉ０，０｝，…，｛ｉ０，Ｓ－１｝、平文ブロックＰ０，…，ＰＢ－１の秘匿情報｛Ｐ０｝，…，｛ＰＢ－１｝が格納されているものとする。秘匿情報は、秘密分散方式に則ったシェア（秘密分散値）であってもよいし、準同型暗号方式に則った暗号文（RSA暗号方式やElGamal暗号方式などの暗号文）であってもよい。なお、秘密分散方式に則った秘匿情報を用いた秘密計算の方法は、例えば、千田浩司、濱田浩気、五十嵐大、高橋克巳、“軽量検証可能３パーティ秘匿関数計算の再考”，ＣＳＳ２０１０，２０１０年（参考文献２）、「Michael Ben-Or, Shafi Goldwasser, Avi Wigderson: Completeness Theorems for Non-Cryptographic Fault-Tolerant Distributed Computation (Extended Abstract). STOC 1988: 1-10」（参考文献３）等に記載されている。
　≪ステップＳ１０１０－ｎ≫
　表生成部１０１０－ｎは、何れかのラウンド鍵ｋ１，…，ｋ３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表Ｍ（ｉ０，…，ｉＳ－１）の秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を得る前段処理を行う。ただし、表Ｍ（ｉ０，…，ｉＳ－１）にカウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１を代入したＭ（ｉｂ，０，…，ｉｂ，Ｓ－１）が何れかの行列Ｍｂ，γ，μ＝Ｍｂ，２，１，…，Ｍｂ，３，２となる。すなわち、表生成部１０１０－ｎの秘密計算部１０１１－ｎが、カウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１を変数ｉ０，…，ｉＳ－１とし、制御部１０１２－ｎの制御の下、必要となるラウンド鍵ｋ１，…，ｋＲの秘匿情報を用い、加算処理Ｐ１，４から何れかの処理Ｐγ，μ（ただし、Ｐγ，μはＰ２，１，…，Ｐ３，２の何れか）までを秘密計算によって実行して（ステップＳ１０１１－ｎ）、秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を得る。例えば、Ｍｂ，γ，μ＝Ｍｂ，２，１の場合、表生成部１０１０－ｎの秘密計算部１０１１－ｎは、カウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１を変数ｉ０，…，ｉＳ－１とし、秘匿情報｛ｋ１｝，｛ｋ２｝を用い、１ラウンド目の加算処理Ｐ１，４と２ラウンド目の置換処理Ｐ２，１とを秘密計算によって実行し、置換処理Ｐ２，１によって得られる行列の秘匿情報を秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝として得て出力する（例えば、式（３）の秘匿情報）。例えば、Ｍｂ，γ，μ＝Ｍｂ，３，１の場合、表生成部１０１０－ｎの秘密計算部１０１１－ｎは、カウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１を変数ｉ０，…，ｉＳ－１とし、秘匿情報｛ｋ１｝，｛ｋ２｝，｛ｋ３｝を用い、１ラウンド目の加算処理Ｐ１，４、２ラウンド目の置換処理Ｐ２，１、シフト処理Ｐ２，２、混合処理Ｐ２，３、加算処理Ｐ２，４、３ラウンド目の置換処理Ｐ３，１を秘密計算によって実行し、置換処理Ｐ３，１によって得られる行列の秘匿情報を秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝として得て出力する。例えば、Ｍｂ，γ，μ＝Ｍｂ，３，２の場合、表生成部１０１０－ｎの秘密計算部１０１１－ｎは、カウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１を変数ｉ０，…，ｉＳ－１とし、秘匿情報｛ｋ１｝，｛ｋ２｝，｛ｋ３｝を用い、１ラウンド目の加算処理Ｐ１，４、２ラウンド目の置換処理Ｐ２，１、シフト処理Ｐ２，２、混合処理Ｐ２，３、加算処理Ｐ２，４、３ラウンド目の置換処理Ｐ３，１、シフト処理Ｐ３，２を秘密計算によって実行し、シフト処理Ｐ３，２によって得られる行列の秘匿情報を秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝として得て出力する（例えば、式（８）の秘匿情報）。秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝は表記憶部１００２－ｎに格納される。
　≪ステップＳ１０２０－ｎ≫
　カウンタ更新部１００３－ｎは、初期記憶部１００１－ｎに格納されたカウンタ値ｉ０，０，…，ｉ０，Ｓ－１の秘匿情報｛ｉ０，０｝，…，｛ｉ０，Ｓ－１｝を用い、秘密計算によって、ブロックｂ’＝２，…，Ｂ－１のカウンタ値ｉｂ’，０，…，ｉｂ’，Ｓ－１の秘匿情報｛ｉｂ’，０｝，…，｛ｉｂ’，Ｓ－１｝を得て出力する。カウンタ値ｉｂ’，０，…，ｉｂ’，Ｓ－１は、カウンタ値ｉ０，０，…，ｉ０，Ｓ－１に予め定められた規則を適用することで得られる値である。例えば、カウンタ値ｉｂ’－１，０，…，ｉｂ’－１，Ｓ－１によって表現される値ｉｂ’－１，０…ｉｂ’－１，Ｓ－１を所定値（例えば、１）だけ増加させた値ｉｂ’－１，０…ｉｂ’－１，Ｓ－１＋１を表現する値をカウンタ値ｉｂ’，０，…，ｉｂ’，Ｓ－１とする。表計算部１０２０－ｎは、初期記憶部１００１－ｎから読み出したか、または、カウンタ更新部１００３－ｎから出力された秘匿情報｛ｉｂ，０｝，…，｛ｉｂ，Ｓ－１｝、および表記憶部１００２－ｎから読み出した秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を用い、秘密計算によって、ｂ＝０，…，Ｂ－１について、行列Ｍｂ，γ，μの秘匿情報｛Ｍｂ，γ，μ｝＝｛Ｍ（ｉｂ，０，…，ｉｂ，Ｓ－１）｝を得て出力する。
　≪ステップＳ１０３０－ｎ≫
　ラウンド処理部１０３０－ｎは、何れかのラウンド鍵ｋ２，…，ｋＲ＋１の秘匿情報および秘匿情報｛Ｍｂ，γ，μ｝を用い、秘密計算（ステップＳ１０３１ｂ－ｎ）により、残存処理を実行して得られる行列Ｍｂ，Γ，ＭＵの秘匿情報｛Ｍｂ，Γ，ＭＵ｝を得る後段処理を行う。残存処理は、ｊ＝２，…，Ｒについての置換処理Ｐｊ，１、シフト処理Ｐｊ，２、混合処理Ｐｊ，３、および加算処理Ｐｊ，４のうち、処理Ｐγ，μよりも後に行われる各処理を含む処理である。処理Ｐγ，μは、表計算部１０２０－ｎで得られた秘匿情報｛Ｍｂ，γ，μ｝＝｛Ｍ（ｉｂ，０，…，ｉｂ，Ｓ－１）｝に対応する。例えば、Ｍｂ，γ，μ＝Ｍｂ，３，２かつΓ＝Ｒ＋１，ＭＵ＝４の場合、ラウンド処理部１０３０－ｎは、秘匿情報｛ｋ３｝，…｛ｋＲ＋１｝および秘匿情報｛Ｍｂ，３，２｝を用い、秘密計算により、３ラウンド目の混合処理Ｐ３，３からＲラウンド目の加算処理ＰＲ，４までを実行し、さらにＲ＋１ラウンド目の置換処理ＰＲ＋１，１、シフト処理ＰＲ＋１，２、加算処理ＰＲ＋１，４を実行して得られる行列Ｍｂ，Ｒ＋１，４の秘匿情報｛Ｍｂ，Ｒ＋１，４｝を得て出力する。
　≪ステップＳ１０４１－ｎ≫
　加算部１０４１－ｎは、各ブロックｂ＝０，…，Ｂ－１について、秘匿情報｛Ｍｂ，Ｒ＋１，４｝および秘匿情報｛Ｐｂ｝を入力とし、秘密計算によってＣｂ＝Ｍｂ，Ｒ＋１，４＋Ｐｂ∈ＦＵの秘匿情報｛Ｃｂ｝を得て出力する。
　＜本形態の特徴＞
　以上のように、本形態では表Ｍ（ｉ０，…，ｉＳ－１）の秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を生成し、秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を用いて秘密計算によって各ブロックｂ＝０，…，Ｂ－１の秘匿情報｛Ｍｂ，γ，μ｝を得る。表Ｍ（ｉ０，…，ｉＳ－１）のサイズはＦのＵ倍のデータ量以下で表現でき、秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を用いて各ブロックｂ＝０，…，Ｂ－１の処理を行うことで演算量を削減できる。さらに、Ｍｂ，γ，μがＭｂ，３，１またはＭｂ，３，２である場合には、２回の置換処理Ｐ２，１，Ｐ２，２の秘密計算に必要な通信を削減できる。このように、本形態では、要素の置換と行の巡回シフトと列の線形和とラウンド鍵の加算とを繰り返すラウンド処理を秘密計算によって効率的に実行できる。
　［第２実施形態］
　第２実施形態は第１実施形態の変形例であり、改ざん検知を行うためのチェックサムを生成し、改ざん検知を行う。ただし、前述のように、表Ｍ（ｉ０，…，ｉＳ－１）の秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を得るまでの前段処理で処理されるデータ量は小さい。一方、前段処理の後に行われる後段処理で処理されるデータ量は格段に大きくなる。本形態では、これらの違いに応じ、異なる方式でチェックサムを生成する。これにより、安全に効率的な暗号化を行うことができる。以下では第１実施形態との相違点を中心に説明し、既に説明した事項については、同じ参照番号を用いて説明を簡略化する。
　＜構成＞
　図１に例示するように、本形態の秘密計算システム２はＮ個の秘密計算装置２０－０～２０－（Ｎ－１）を有する。Ｎは１以上の整数である。Ｎ≧２の場合、秘密計算装置２０－０～２０－（Ｎ－１）はネットワークを通じて通信可能に構成される。
　図２に例示するように、本形態の秘密計算装置２０－ｎ（ただし、ｎ＝０，…，Ｎ－１）は、初期記憶部１００１－ｎ、表記憶部１００２－ｎ、カウンタ更新部１００３－ｎ、表生成部２０１０－ｎ、表計算部１０２０－ｎ、ラウンド処理部２０３０－ｎ、加算部１０４１－ｎ、同期部２０４２－ｎ、正当性検証部２０４３－ｎ，２０４４－ｎ、および制御部１０５１－ｎを有する。秘密計算装置２０－ｎは制御部１０５１－ｎの制御の下で各処理を実行する。各処理で得られたデータは図示していないメモリに記憶される。メモリに格納されたデータは必要に応じて読み出され、各処理に利用される。
　図３Ａに例示するように、表生成部２０１０－ｎは、秘密計算部１０１１－ｎ、制御部１０１２－ｎ、乱数生成部２０１５－ｎ、およびチェックサム更新部２０１６－ｎを有する。図３Ｂに例示するように、ラウンド処理部２０３０－ｎは、秘密計算部１０３１－ｎ、制御部１０３２－ｎ、ダミーブロック生成部２０３５ａ－ｎ、秘匿化部２０３５ｂ－ｎ、結合部２０３５ｃ－ｎ、ランダム置換部２０３６－ｎ、およびチェックサム更新部２０３７，２０３８を有する。
　＜処理の概要＞
　本形態では、処理データ量が小さい前段処理と処理データ量が格段に大きくなる後段処理とで互いに異なる方式によってチェックサムを生成する。すなわち、表生成部２０１０が、前段処理での改ざんを検知するための第１チェックサムを第１方式に則って生成し、ラウンド処理部２０３０が、後段処理での改ざんを検知するための第２チェックサムを第２方式に則って生成する。ここで、第１方式は、改ざん検知対象である秘匿情報の復元値のデータ量に、安全性の高さが依存しない方式である。第１方式の例としては、「Dai Ikarashi, Ryo Kikuchi, Koki Hamada, and Koji Chida, “Actively Private and Correct MPC Scheme in t < n/2 from Passively Secure Schemes with Small Overhead,” Cryptology ePrint Archive, Report 2014/304, 2014.（参考文献４）」および国際公開第WO/2016/104476号（参考文献５）に記載された方式を例示できる。一方、第２方式は、改ざん検知対象である秘匿情報の復元値のデータ量に、安全性の高さが依存する方式である。すなわち、第２方式は、改ざん検知対象である秘匿情報の復元値のデータ量がα１であるときの安全性が、改ざん検知対象である秘匿情報の復元値のデータ量がα２であるときの安全性よりも高い方式である。ただし、α１がα２よりも大きい。例えば、第２方式は、改ざん検知対象である秘匿情報の復元値のデータ量が多いほど安全性が高い方式である。第２方式の例としては、「五十嵐大，菊池亮，濱田浩気，千田浩司，“少パーティ数の秘密分散ベース秘密計算における効率的なmaliciousモデル上SIMD計算の構成法，”コンピュータセキュリティシンポジウム2013論文集 2013(4), 793-800, 2013-10-14（参考文献６）」および国際公開第WO/2015/053184号（参考文献７）に記載された方式を例示できる。ただし、参考文献６，７には明記されていないが、さらなる高速化のためにはランダム置換としてランダム巡回シフト（ランダムローテーション）が用いられることが望ましい。同様に、参考文献６，７には明記されていないが、さらなる高速化のためには、生成されるダミーブロックの個数Ｙとブロック数Ｂとの合計がブロック数Ｂよりも大きな素数ｐであることが望ましい。すなわち、Ｙ＝ｐ－Ｂであることが望ましい。より好ましくは、ｐがブロック数Ｂよりも大きな最小の素数であることが望ましい。また、参考文献６，７の方式は、ダミーブロックが秘匿化されずに計算可能であることを前提としている。しかし、本形態ではダミーブロックも秘匿情報として処理される。そのため、本形態ではダミーブロックの何れかを要処理ダミーブロックとし、要処理ダミーブロックに対するチェックサムを第３方式によって生成する。これによってより高い安全性を担保する。なお、第３方式は、改ざん検知対象である秘匿情報の復元値のデータ量に、安全性の高さが依存しない方式である。例えば、第３方式は第１方式と同じ方式である。
　＜処理の詳細＞
　図６から図１１を用い、処理の詳細を説明する。
　≪前提≫
　第１実施形態と同じである。
　≪ステップＳ２０１０－ｎ≫
　第１実施形態と同様、表生成部２０１０－ｎは、何れかのラウンド鍵ｋ１，…，ｋ３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表Ｍ（ｉ０，…，ｉＳ－１）の秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を得る前段処理を行う。さらに本形態では、表生成部２０１０－ｎが当該前段処理での改ざんを検知するための第１チェックサムを第１方式に則って生成する。以下に、第１方式として参考文献４，５の方式を採用した例を示す。
　ステップＳ２０１０－ｎの詳細：
　図７を用いてステップＳ２０１０－ｎの詳細を例示する。この例の秘匿情報は秘密分散方式に則ったシェアである。前段処理はＴ種類の秘密分散方式ｍｅｔｈ０，…，ｍｅｔｈＴ－１に則った秘匿情報を用いた秘密計算を含む。当該秘密計算は前述のステップＳ１０１０－ｎの過程で実行される各秘密計算である。
　表生成部２０１０－ｎの乱数生成部２０１５－ｎ（図２Ａ）は、ｔ＝０，…，Ｔ－１について乱数ｒｔ∈Ｆを秘密分散した秘匿情報｛ｒｔ｝を得て出力する。ただし、Ｔは１以上の整数であり、ｔ＝０，…，Ｔ－１である。秘匿情報｛ｒｔ｝の生成方法の具体例は参考文献５に開示されている。例えば、まず、秘密計算装置２０－ｎの乱数生成部２０１５－ｎそれぞれが乱数ｒ’ｎ∈Ｆを生成する。次に、各乱数生成部２０１５－ｎは、上記の参考文献２に記載された秘匿方法により乱数ｒ’ｎのシェア｛ｒ’ｎ｝を生成して他の乱数生成部２０１５－ｎ’（ただし、ｎ’＝０，…，Ｎ－１）に送る。そして、乱数生成部２０１５－ｎはそれぞれ｛ｒｔ｝＝Σｎ＜Ｎ｛ｒ’ｎ｝を計算し、乱数ｒｔの秘匿情報｛ｒｔ｝を得る。これにより、いずれの秘密計算装置２０－１～２０－（Ｎ－１）も乱数ｒｔを知ることなく、乱数生成部２０１５－ｎが乱数ｒｔの秘匿情報｛ｒｔ｝を得ることができる（ステップＳ２０１５－ｎ）。
　次に、チェックサム更新部２０１６－ｎは、第１チェックサムに含まれるＣ１，ｔをヌル（空集合）に初期化する。第１チェックサムはＣ１，ｔのみから構成されてもよいし、Ｃ１，ｔとその他の情報とから構成されてもよい（ステップＳ２０１６－ｎ）。
　前述の前段処理で秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を得るためにΨ個の秘密計算Ｃｏｍ０，…，ＣｏｍΨ－１が行われるとする。ただし、Ψは１以上の整数である。秘密分散方式ｍｅｔｈｔに則った秘匿情報｛ａλ｝∈｛Ｆ｝を用いる秘密計算Ｃｏｍψ（ただし、ψ＝０，…，Ψ－１）が行われる際、チェックサム更新部２０１６－ｎは、秘匿情報｛ａλ｝と秘匿情報｛ｒｔ｝とを用いた秘密計算によって秘匿情報｛ａλｒｔ｝を生成する。ただし、Λは１以上の整数であり、λ＝０，…，Λ－１である。さらにチェックサム更新部２０１６－ｎは、秘匿情報｛ａλ｝と秘匿情報｛ａλｒｔ｝との組であるランダム化分散値＜ａλ＞＝＜｛ａλ｝，｛ａλｒｔ｝＞を得、ランダム化分散値＜ａλ＞の追加によってＣ１，ｔを更新する。秘密計算Ｃｏｍψに複数の秘匿情報が用いられる場合、チェックサム更新部２０１６－ｎは、それぞれの秘匿情報についてランダム化分散値を生成し、それらの追加によってＣ１，ｔを更新する（ステップＳ２０１６ａ－ｎ）。
　秘密計算部１０１１－ｎは秘密計算Ｃｏｍψを実行する（ステップＳ１０１１－ｎ）。
　秘密計算Ｃｏｍψの実行により、秘密分散方式ｍｅｔｈｔに則った秘密計算結果である秘匿情報｛ｈｗ｝が得られる。この際、チェックサム更新部２０１６－ｎは、秘匿情報｛ｈｗ｝と秘匿情報｛ｒｔ｝とを用いた秘密計算によって秘匿情報｛ｈｗｒｔ｝を得る。ただし、Ｗは１以上の整数であり、ｗ＝０，…，Ｗ－１である。さらに、チェックサム更新部２０１６－ｎは、秘匿情報｛ｈｗ｝と秘匿情報｛ｈｗｒｔ｝との組であるランダム化分散値＜ｈｗ＞＝＜｛ｈｗ｝，｛ｈｗｒｔ｝＞を得、ランダム化分散値＜ｈｗ＞の追加によってＣ１，ｔを更新する。秘密計算結果が複数の秘匿情報を含む場合、チェックサム更新部２０１６－ｎは、それぞれの秘匿情報についてランダム化分散値を生成し、それらの追加によってＣ１，ｔを更新する（ステップＳ２０１６ｂ－ｎ）。
　ステップＳ２０１６ａ－ｎ～Ｓ２０１６ｂ－ｎの処理は、Ψ個の秘密計算Ｃｏｍ０，…，ＣｏｍΨ－１が実行され、秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝が得られるまで繰り返される。秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝が得られると、チェックサム更新部２０１６－ｎは、Ｃ１，ｔ＝＜φ０＞，…，＜φΔ－１＞を含む第１チェックサムを出力する。ただし、δ＝０，…，Δ－１であり、＜φδ＞はランダム化分散値である。
　≪ステップＳ１０２０－ｎ≫
　秘密計算装置１０－ｎに代えて秘密計算装置２０－ｎが実行する以外、第１実施形態と同じである。
　≪ステップＳ２０３０－ｎ≫
　第１実施形態と同様、ラウンド処理部２０３０－ｎは、何れかのラウンド鍵ｋ２，…，ｋＲ＋１の秘匿情報および秘匿情報｛Ｍｂ，γ，μ｝を用い、秘密計算により、残存処理を実行して得られる行列Ｍｂ，Γ，ＭＵの秘匿情報｛Ｍｂ，Γ，ＭＵ｝を得る後段処理を行う。さらに本形態では、ラウンド処理部２０３０－ｎが当該後段処理での改ざんを検知するための第２チェックサムを第２方式に則って生成する。以下に、第２方式として参考文献６，７の方式の変更方式を採用した例を示す。
　ステップＳ２０３０－ｎの具体例：
　図８および図９を用いてステップＳ２０３０－ｎの具体例を説明する。この例の秘匿情報は秘密分散方式に則ったシェアである。
　まず、ダミーブロック生成部２０３５ａ－ｎは、Ｙ個のダミーブロックＤ０，…，ＤＹ－１∈ＦＵの秘匿情報｛Ｄ０｝，…，｛ＤＹ－１｝を生成して出力する。ただし、Ｙは１以上の整数であり、ｙ＝０，…，Ｙ－１である。前述のように、好ましくはＹ＝ｐ－Ｂである。ただし、ｐはＢより大きな素数である。ダミーブロックＤ０，…，ＤＹ－１のうち何れかが要処理ダミーブロックＤＰとされる。要処理ダミーブロックＤＰは１個であってもよいし、２個以上であってもよい。要処理ダミーブロックＤＰ以外のダミーブロックＤｙ’は公開値である。ダミーブロック生成部２０３５ａ－ｎは、公開値であるダミーブロックＤｙ’を、正当性を持つ方法で秘匿して秘匿情報｛Ｄｙ’｝を得る。要処理ダミーブロックＤＰは公開値であってもよいし、公開値でなくてもよい。前者の場合、ダミーブロック生成部２０３５ａ－ｎが、公開値であるダミーブロックＤＰを秘匿して秘匿情報｛ＤＰ｝を得る。後者の場合、ダミーブロック生成部２０３５ａ－ｎは、例えば、前述の秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝と任意のカウンタ値ｉｄｐ，０，…，ｉｄｐ，Ｓ－１の秘匿情報｛ｉｄｐ，０｝，…，｛ｉｄｐ，Ｓ－１｝とを用い、秘密計算によって秘匿情報｛Ｍ（ｉｄｐ，０，…，ｉｄｐ，Ｓ－１）｝を得、秘匿情報｛ＤＰ｝＝｛Ｍ（ｉｄｐ，０，…，ｉｄｐ，Ｓ－１）｝を得る（ステップＳ２０３５－ｎ）。
　次に、ラウンド処理部２０３０－ｎは、必要な何れかのラウンド鍵ｋ２，…，ｋＲ＋１の秘匿情報および要処理ダミーブロックＤＰの秘匿情報｛ＤＰ｝を用い、行列ＭＤＰ，Γ，ＭＵの秘匿情報｛ＭＤＰ，Γ，ＭＵ｝を得るダミー後段処理を行う。ただし、行列ＭＤＰ，Γ，ＭＵは要処理ダミーブロックＤＰに前述の残存処理を行って得られる処理結果である。ここではΓ＝Ｒ＋１かつＭＵ＝４の例を説明する。この際、ダミー後段処理での改ざんを検知するための第３チェックサムを第３方式に則って生成する。第３方式は、安全性がダミー後段処理の対象となる秘匿情報の復元値のデータ量に依存しない方式である。第３方式は、第１方式と同一であってもなくてもよい。ここでは第３方式と第１方式とが互いに同一である例を示す。
　まず、チェックサム更新部２０３８－ｎは、第３チェックサムに含まれるＣ３，ｔをヌル（空集合）に初期化する。第３チェックサムはＣ３，ｔのみから構成されてもよいし、Ｃ３，ｔとその他の情報とから構成されてもよい（ステップＳ２０３８－ｎ）。
　前述の残存処理でΨ’個の秘密計算Ｃｏｍ３０，…，Ｃｏｍ３Ψ’－１が行われるとする。ただし、Ψ’は１以上の整数である。秘密分散方式ｍｅｔｈｔに則った秘匿情報｛ｄλ｝∈｛Ｆ｝を用いる秘密計算Ｃｏｍ３ψ’（ただし、ψ’＝０，…，Ψ’－１）が行われる際、チェックサム更新部２０３８－ｎは、秘匿情報｛ｄλ｝と秘匿情報｛ｒｔ｝とを用いた秘密計算によって秘匿情報｛ｄλｒｔ｝を生成する。ただし、Λは１以上の整数であり、λ＝０，…，Λ－１である。さらにチェックサム更新部２０３８－ｎは、秘匿情報｛ｄλ｝と秘匿情報｛ｄλｒｔ｝との組であるランダム化分散値＜ｄλ＞＝＜｛ｄλ｝，｛ｄλｒｔ｝＞を得、ランダム化分散値＜ｄλ＞の追加によってＣ３，ｔを更新する（ステップＳ２０３８ａ－ｎ）。
　秘密計算部１０３１－ｎは秘密計算Ｃｏｍ３ψ’を実行する（ステップＳ２０３１ａ－ｎ）。
　秘密計算Ｃｏｍ３ψ’の実行により、秘密分散方式ｍｅｔｈｔに則った秘密計算結果である秘匿情報｛ｈ’ｗ｝が得られる。この際、チェックサム更新部２０３８－ｎは、秘匿情報｛ｈ’ｗ｝と秘匿情報｛ｒｔ｝とを用いた秘密計算によって秘匿情報｛ｈ’ｗｒｔ｝を得る。ただし、Ｗは１以上の整数であり、ｗ＝０，…，Ｗ－１である。さらに、チェックサム更新部２０３８－ｎは、秘匿情報｛ｈ’ｗ｝と秘匿情報｛ｈ’ｗｒｔ｝との組であるランダム化分散値＜ｈ’ｗ＞＝＜｛ｈ’ｗ｝，｛ｈ’ｗｒｔ｝＞を得、ランダム化分散値＜ｈ’ｗ＞の追加によってＣ３，ｔを更新する。秘密計算結果が複数の秘匿情報を含む場合、チェックサム更新部２０３８－ｎは、それぞれの秘匿情報についてランダム化分散値を生成し、それらの追加によってＣ３，ｔを更新する（ステップＳ２０３８ｂ－ｎ）。
　ステップＳ２０３８ａ－ｎ～Ｓ２０３８ｂ－ｎの処理は、Ψ’個の秘密計算Ｃｏｍ３０，…，Ｃｏｍ３Ψ’－１が実行され、秘匿情報｛ＭＤＰ，Γ，ＭＵ｝が得られるまで繰り返される。Γ＝Ｒ＋１かつＭＵ＝４の場合、Ｒ＋１ラウンドが終了するまで、ステップＳ２０３８ａ－ｎ～Ｓ２０３８ｂ－ｎの処理が繰り返される。秘匿情報｛ＭＤＰ，Γ，ＭＵ｝が得られると、チェックサム更新部２０３８－ｎは、Ｃ３，ｔ＝＜φ３０＞，…，＜φ３Δ’－１＞を含む第３チェックサムを出力する。ただし、δ’＝０，…，Δ’－１であり、＜φ３δ’＞はランダム化分散値である。
　次に、チェックサム更新部２０３７－ｎが、第２チェックサムに含まれるＣ２，Ａ，Ｃ２，Π＿ｑ，Ｃ２，Ｄをヌル（空集合）に初期化する。第２チェックサムはＣ２，Ａ，Ｃ２，Π＿ｑ，Ｃ２，Ｄのみから構成されてもよいし、Ｃ２，Ａ，Ｃ２，Π＿ｑ，Ｃ２，Ｄとその他の情報とから構成されてもよい（ステップＳ２０３７－ｎ）。
　ランダム置換部２０３６－ｎが、ランダム置換の内容を表すランダム置換情報πｑの秘匿情報｛πｑ｝を生成する。ただし、Ｑは１以上の整数であり、ｑ＝０，…，Ｑ－１である。好ましくは、ランダム置換情報πｑはランダム巡回シフトを表す情報である（ステップＳ２０３６－ｎ）。
　結合部２０３５ｃ－ｎには、ステップＳ１０２０－ｎで得られたｂ＝０，…，Ｂ－１についての秘匿情報｛Ｍｂ，γ，μ｝、および、ステップＳ２０３５－ｎで得られた秘匿情報｛Ｄ０｝，…，｛ＤＹ－１｝が入力される。結合部２０３５ｃ－ｎは、これらを用い、秘密計算により、行列Ｍ０，γ，μ，…，ＭＢ－１，γ，μの要素からなる非ランダム化列Ａ∈ＦＵＢの秘匿情報｛Ａ｝とＹ個のダミーブロックＤ０，…，ＤＹ－１∈ＦＵの秘匿情報｛Ｄ０｝，…，｛ＤＹ－１｝とを結合した秘匿情報｛Ａ｜Ｄ｝＝｛Ａ｜Ｄ０｜…｜ＤＹ－１｝を得る。ただし、α｜βはαとβとの結合（連結）を表す（ステップＳ２０３５ｃ－ｎ）。
　ランダム置換部２０３６－ｎは、秘匿情報｛πｑ｝および秘匿情報｛Ａ｜Ｄ｝を用い、Ａ｜Ｄをランダム置換して得られるランダム化列Πｑ＝πｑ（Ａ｜Ｄ）∈ＦＵ（Ｂ＋Ｙ）の秘匿情報｛Πｑ｝＝｛πｑ（Ａ｜Ｄ）｝を秘密計算によって得て出力する。この処理は各ｑ＝０，…，Ｑ－１について実行される（ステップＳ２０３６ｂ－ｎ）。
　前述の残存処理でΘ個のサブ処理Ｓｕｂ０，…，ＳｕｂΘ－１の秘密計算が行われるとする。ただし、Θが１以上の整数であり、θ＝０，…，Θ－１である。秘密計算部１０３１－ｎは、秘匿情報｛Ａ｝を用い、非ランダム化列Ａを構成する行列Ｍｂ，γ，μのＵ個の要素に対応する秘匿情報｛Ｍｂ，γ，μ｝ごとに各サブ処理ＳｕｂΘの秘密計算を実行する。すなわち、秘密計算部１０３１－ｎは、各秘匿情報｛Ｍｂ，γ，μ｝に対して各サブ処理ＳｕｂΘの秘密計算を実行する。これにより、秘密計算部１０３１－ｎは、非ランダム化列Ａを構成する各行列Ｍｂ，γ，μに残存処理を適用して得られる行列Ｍｂ，Γ，ＭＵの秘匿情報｛Ｍｂ，Γ，ＭＵ｝を得る。また秘密計算部１０３１－ｎは、ｑ＝０，…，Ｑ－１について、秘匿情報｛Πｑ｝を用い、ランダム化列Πｑ∈ＦＵ（Ｂ＋Ｙ）を構成するＵ個の要素Πｑ，ｂ”，γ，μ∈ＦＵに対応する秘匿情報｛Πｑ，ｂ”，γ，μ｝∈｛ＦＵ｝ごとに、各サブ処理ＳｕｂΘの秘密計算を実行する。すなわち、秘密計算部１０３１－ｎは、各秘匿情報｛Πｑ，ｂ”，γ，μ｝に対して各サブ処理ＳｕｂΘの秘密計算を実行する。ただし、ｂ”＝０，…，Ｂ－１，…，Ｂ＋Ｙ－１であり、Πｑ＝Πｑ，０，γ，μ｜…｜Πｑ，Ｂ＋Ｙ－１，γ，μである。これにより、秘密計算部１０３１－ｎは、各サブ処理Ｓｕｂθの秘密計算結果である秘密情報｛Πｑ，ｂ”，Γ，ＭＵ｝∈｛ＦＵ｝を得る。さらに秘密計算部１０３１－ｎは、少なくとも一部のダミーブロックＤｙ（例えば、要処理ダミーブロックＤＰを除くダミーブロックＤｙ）に対して各サブ処理ＳｕｂΘを実行することで、各サブ処理Ｓｕｂθの演算結果Ｄｙ，Γ，ＭＵ∈ＦＵを得る（ステップＳ２０３１ｂ－ｎ）。
　秘匿化部２０３５ｂ－ｎは、演算結果Ｄｙ，Γ，ＭＵを正当性を持つ方法で秘匿し、秘匿情報｛Ｄｙ，Γ，ＭＵ｝を得て出力する（ステップＳ２０３５ｂ－ｎ）。
　チェックサム更新部２０３７－ｎは、秘匿情報｛Ｍｂ，Γ，ＭＵ｝を得るまでの過程で得られる各サブ処理Ｓｕｂθの秘密計算結果である秘匿情報｛Ｍｂ，θ，Γ，ＭＵ｝∈｛ＦＵ｝でＣ２，Ａを更新する。例えば、Ｃ２，Ａ＝（Ｃ０，２，Ａ，…，ＣＢ－１，２，Ａ）の場合、チェックサム更新部２０３７－ｎは（Ｃ０，２，Ａ｜｛Ｍ０，θ，Γ，ＭＵ｝，…，ＣＢ－１，２，Ａ｜｛ＭＢ－１，θ，Γ，ＭＵ｝）を新たなＣ２，Ａとする（ステップＳ２０３７ｂ－ｎ）。
　また、チェックサム更新部２０３７－ｎは、ｑ＝０，…，Ｑ－１について、各サブ処理Ｓｕｂθの秘密計算結果である秘密情報｛Πｑ，ｂ”，θ，Γ，ＭＵ｝∈｛ＦＵ｝でＣ２，Π＿ｑを更新する。例えば、Ｃ２，Π＿ｑ＝（Ｃ０，２，Π＿ｑ，…，ＣＢ＋Ｙ－１，２，Π＿ｑ）の場合、チェックサム更新部２０３７－ｎは（Ｃ０，２，Π＿ｑ｜｛Πｑ，０，θ，Γ，ＭＵ｝，…，ＣＢ＋Ｙ－１，２，Π＿ｑ｜｛Πｑ，Ｂ＋Ｙ－１，θ，Γ，ＭＵ｝）を新たなＣ２，Π＿ｑとする（ステップＳ２０３７ｃ－ｎ）。
　さらに、チェックサム更新部２０３７－ｎは、各サブ処理Ｓｕｂθの演算結果の秘匿情報｛Ｄｙ，θ，Γ，ＭＵ｝∈｛ＦＵ｝でＣ２，Ｄを更新する。例えば、Ｃ２，Ｄ＝（Ｃ０，２，Ｄ，…，ＣＹ－１，２，Ｄ）の場合、チェックサム更新部２０３７－ｎは（Ｃ０，２，Ｄ｜｛Ｄ０，θ，Γ，ＭＵ｝，…，ＣＹ－１，２，Ｄ｜｛ＤＹ－１，θ，Γ，ＭＵ｝）を新たなＣ２，Ｄとする（ステップＳ２０３７ｄ－ｎ）。
　ステップＳ２０３１ｂ－ｎ～Ｓ２０３７ｄ－ｎの処理は、Θ個のサブ処理Ｓｕｂ０，…，ＳｕｂΘ－１のすべてについて実行される。その後、チェックサム更新部２０３７－ｎは、Ｃ２，Ａ，Ｃ２，Π＿ｑ，Ｃ２，Ｄを含む第２チェックサムを出力する。
　≪ステップＳ１０４１－ｎ≫
　秘密計算装置１０－ｎに代えて秘密計算装置２０－ｎが実行する以外、第１実施形態と同じである。
　≪ステップＳ２０４２－ｎ≫
　同期部２０４２－ｎは、すべての秘密計算装置２０－１～２０－（Ｎ－１）でのすべての秘密計算が終了するまで待機する同期処理を実行する。Ｎ＝１の場合には同期処理は実行されない。
　≪ステップＳ２０４３－ｎ≫
　正当性検証部２０４３－ｎには、Ｃ１，ｔ＝＜φ０＞，…，＜φΔ－１＞を含む第１チェックサムおよびＣ３，ｔ＝＜φ３０＞，…，＜φ３Δ’－１＞を含む第３チェックサムが入力される。正当性検証部２０４３－ｎは、参考文献４，５に記載されているように、Ｃ１，ｔおよびＣ３，ｔの正当性を検証する。
　Ｃ１，ｔの正当性を検証する場合、正当性検証部２０４３－ｎは、＜φ０＞＝＜｛φ０｝，｛φ０ｒｔ｝＞，…，＜φΔ―１＞＝＜｛φΔ―１｝，｛φΔ―１ｒｔ｝＞の｛φ０｝，…，｛φΔ―１｝および｛ｒｔ｝を用い、秘密計算によって、φ０，…，φΔ―１の総和にｒｔを乗じて得られる結果の秘匿情報｛ｒｔ（φ０＋…＋φΔ―１）｝を求める。さらに正当性検証部２０４３－ｎは、｛φ０ｒｔ｝，…，｛φΔ―１ｒｔ｝を用い、秘密計算によって、φ０ｒｔ，…，φΔ―１ｒｔの総和の秘匿情報｛φ０ｒｔ＋…＋φΔ―１ｒｔ｝を求める。正当性検証部２０４３－ｎは、秘匿情報｛ｒｔ（φ０＋…＋φΔ―１）｝および｛φ０ｒｔ＋…＋φΔ―１ｒｔ｝を用いて、秘密計算によって、ＤＣ１，ｔ＝ｒｔ（φ０＋…＋φΔ―１）－（φ０ｒｔ＋…＋φΔ―１ｒｔ）の秘匿情報｛ＤＣ１，ｔ｝を得てＤＣ１，ｔを復元する。正当性検証部２０４３－ｎは、すべてのｔ＝０，…，Ｔ－１についてＤＣ１，ｔ＝０であれば前段処理に改ざんが無かったと判定し、そうでなければ前段処理に改ざんがあったと判定する。
　Ｃ３，ｔの正当性を検証する場合、正当性検証部２０４３－ｎは、＜φ３０＞＝＜｛φ３０｝，｛φ３０ｒｔ｝＞，…，＜φ３Δ’―１＞＝＜｛φ３Δ’―１｝，｛φ３Δ’―１ｒｔ｝＞の｛φ３０｝，…，｛φ３Δ’―１｝および｛ｒｔ｝を用い、秘密計算によって、φ３０，…，φ３Δ’―１の総和にｒｔを乗じて得られる結果の秘匿情報｛ｒｔ（φ３０＋…＋φ３Δ―１）｝を求める。さらに正当性検証部２０４３－ｎは、｛φ３０ｒｔ｝，…，｛φ３Δ’―１ｒｔ｝を用い、秘密計算によって、φ３０ｒｔ，…，φ３Δ’―１ｒｔの総和の秘匿情報｛φ３０ｒｔ＋…＋φ３Δ’―１ｒｔ｝を求める。正当性検証部２０４３－ｎは、秘匿情報｛ｒｔ（φ３０＋…＋φ３Δ’―１）｝および｛φ３０ｒｔ＋…＋φ３Δ’―１ｒｔ｝を用いて、秘密計算によって、ＤＣ３，ｔ＝ｒｔ（φ３０＋…＋φ３Δ’―１）－（φ３０ｒｔ＋…＋φ３Δ’―１ｒｔ）の秘匿情報｛ＤＣ３，ｔ｝を得てＤＣ３，ｔを復元する。正当性検証部２０４３－ｎは、すべてのｔ＝０，…，Ｔ－１についてＤＣ３，ｔ＝０であれば後段処理に改ざんが無かったと判定し、そうでなければ後段処理に改ざんがあったと判定する。
　≪ステップＳ２０４４－ｎ≫
　正当性検証部２０４４－ｎには、Ｃ２，Ａ，Ｃ２，Π＿ｑ，Ｃ２，Ｄを含む第２チェックサムおよび秘匿情報｛πｑ｝が入力される。正当性検証部２０４４－ｎは、参考文献５，６に記載されているように、Ｃ２，Ａ，Ｃ２，Π＿ｑ，Ｃ２，Ｄの正当性を検証する。すなわち、正当性検証部２０４４－ｎは、秘匿情報｛πｑ｝を公開してランダム置換情報πｑを得、πｑ，Ｃ２，Ａ，Ｃ２，Π＿ｑ，Ｃ２，Ｄを用い、秘密計算によって、Ｃ２，Π＿ｑの復元値から、πｑに従ってＣ２，Ａ｜Ｃ２，Ｄをランダム置換した列の復元値を減じた列の秘匿情報｛ζｑ｝＝｛ζ０，ｑ｝，…，｛ζＢ＋Ｙ－１，ｑ｝を得る。正当性検証部２０４４－ｎは、秘匿情報｛ζｑ｝＝｛ζ０，ｑ｝，…，｛ζＢ＋Ｙ－１，ｑ｝の各要素｛ζｂ”，ｑ｝（ただし、ｂ”＝０，…，Ｂ＋Ｙ－１）を｛ＦＵ｝の元ごとに分割し、｛ζ’ｂ”，ｑ，０｝，…，｛ζ’ｂ”，ｑ，Ｍ”－１｝∈｛ＦＵ｝の列を得る。ただし、Ｍ”は正の整数である。｛ＦＵ｝に満たない要素には｛０｝がパディングされる。正当性検証部２０４４－ｎは、秘密計算によって、乱数ｒａｎの秘匿情報｛ｒａｎ｝と｛ζ’ｂ”，ｑ，０｝，…，｛ζ’ｂ”，ｑ，Ｍ”－１｝との積和演算を行い、その結果｛ζ｝を公開してζを得る。正当性検証部２０４４－ｎは、ζが０であれば後段処理に改ざんが無かったと判定し、そうでなければ後段処理に改ざんがあったと判定する。
　＜本形態の特徴＞
　第１実施形態と同様、本形態でも要素の置換と行の巡回シフトと列の線形和とラウンド鍵の加算とを繰り返すラウンド処理を秘密計算によって効率的に実行できる。特に本形態では、前段処理での改ざんを検知するための第１チェックサムを第１方式に則って生成し、後段処理での改ざんを検知するための第２チェックサムを第２方式に則って生成した。前段処理に比べて後段処理では処理データ量が格段に多い。第２方式は処理データ量が多いほど安全性が高い方式であり、後段処理での改ざんを検知に適している。一方、前段処理では処理データ量が少ないため、第２方式を用いても効率が悪い。本形態では、前段処理と後段処理とでチェックサムの生成方式を変更することで、安全性の高い通信を効率よく実現できる。なお、前段処理で改ざんが検知された場合にはすべての処理が破棄される。一方、後段処理で改ざんが検知された場合にはすべての処理が破棄されてもよいし、後段処理のみが破棄されてもよい。
　［第２実施形態の変形例］
　第２実施形態では、Ψ個の秘密計算Ｃｏｍ０，…，ＣｏｍΨ－１のすべてについてランダム化分散値が生成され、Ｃ１，ｔが更新される例を説明した（図７）。しかしながら、Ψ個の秘密計算Ｃｏｍ０，…，ＣｏｍΨ－１の一部のみについてランダム化分散値が生成され、Ｃ１，ｔが更新されてもよい。例えば、Ψ個の秘密計算Ｃｏｍ０，…，ＣｏｍΨ－１のうち、通信を必要とする最後の秘密計算までについてランダム化分散値が生成され、Ｃ１，ｔが更新されてもよい。例えば、秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝が秘匿情報｛Ｍｂ，３，１｝または｛Ｍｂ，３，２｝である場合に、置換処理Ｐ３，１の通信を必要とする秘密計算（例えば、ＳｕｂＢｙｔｅｓの乗法逆元演算の秘密計算）までについてランダム化分散値が生成され、Ｃ１，ｔが更新されてもよい。
　また、ステップＳ１０２０－ｎで行われる各秘密計算の前後においてランダム化分散値が生成され、Ｃ１，ｔが更新されてもよい。すなわち、ステップＳ１０２０－ｎにおいて、秘密分散方式ｍｅｔｈｔに則った秘匿情報｛ａλ｝を用いた秘密計算を行う際に、秘匿情報｛ａλ｝と秘匿情報｛ｒｔ｝とを用いた秘密計算によって秘匿情報｛ａλｒｔ｝を得、秘匿情報｛ａλ｝と秘匿情報｛ａλｒｔ｝との組であるランダム化分散値＜ａλ＞＝＜｛ａλ｝，｛ａλｒｔ｝＞を得、ランダム化分散値＜ａλ＞の追加によってＣ１，ｔを更新してもよい。さらに、ステップＳ１０２０－ｎにおいて、秘密分散方式ｍｅｔｈｔに則った秘密計算結果である秘匿情報｛ｈｗ｝が得られた際に、秘匿情報｛ｈｗ｝と秘匿情報｛ｒｔ｝とを用いた秘密計算によって秘匿情報｛ｈｗｒｔ｝を得、秘匿情報｛ｈｗ｝と秘匿情報｛ｈｗｒｔ｝との組であるランダム化分散値＜ｈｗ＞＝＜｛ｈｗ｝，｛ｈｗｒｔ｝＞を得、ランダム化分散値＜ｈｗ＞の追加によってＣ１，ｔを更新することで、Ｃ１，ｔを含む第１チェックサムを更新してもよい。
　また、ステップＳ１０４１－ｎでの改ざんを検知するためのチェックサムが生成され、検証されてもよい。このチェックサムは、第２方式に則って生成されることが望ましい。
　［その他の変形例等］
　なお、本発明は上述の実施形態に限定されるものではない。上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
　上記の各装置は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）およびＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。
　上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。
　このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
　このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。
　コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されるのではなく、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。
１，２　秘密計算システム
１０－ｎ，２０－ｎ　秘密計算装置

Claims (11)

  1. 　Ｂが１以上の整数であり、Ｒが３以上の整数であり、Ｓが２以上の整数であり、Ｕ＝Ｓ２であり、Ｆが有限体であり、ｂ＝０，…，Ｂ－１であり、ｒ＝１，…，Ｒであり、ｊ＝２，…，Ｒであり、
    　１ラウンド目のラウンド処理が処理Ｐ１，４を含み、前記処理Ｐ１，４が１ラウンド目のラウンド鍵ｋ１∈ＦＵの要素からなるＳ×Ｓ行列の１つの列のＳ個の要素にＳ個のカウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１をそれぞれ加算して行列Ｍｂ，１，４を得る処理を含み、
    　ｊラウンド目のラウンド処理が処理Ｐｊ，１と処理Ｐｊ，２と処理Ｐｊ，３と処理Ｐｊ，４とを含み、前記処理Ｐｊ，１が前記行列Ｍｂ，ｊ－１，４の各要素を置換して行列Ｍｂ，ｊ，１を得る処理を含み、前記処理Ｐｊ，２が前記行列Ｍｂ，ｊ，１の各要素を行ごとに巡回シフトして行列Ｍｂ，ｊ，２を得る処理を含み、前記処理Ｐｊ，３が前記行列Ｍｂ，ｊ，２の各列のＳ個の要素の線形和を当該列のＳ個の要素とした行列Ｍｂ，ｊ，３を得る処理を含み、前記処理Ｐｊ，４が前記行列Ｍｂ，ｊ，３の各要素にｊラウンド目のラウンド鍵ｋｊの各要素を加算して行列Ｍｂ，ｊ，４を得る処理を含み、
    　何れかのラウンド鍵ｋ１，…，ｋ３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表Ｍ（ｉ０，…，ｉＳ－１）の秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を得る前段処理を行う表生成部と、
    　前記表Ｍ（ｉ０，…，ｉＳ－１）に前記カウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１を代入したＭ（ｉｂ，０，…，ｉｂ，Ｓ－１）がＭｂ，２，１，…，Ｍｂ，３，２の何れかである行列Ｍｂ，γ，μであり、前記カウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１の秘匿情報｛ｉｂ，０｝，…，｛ｉｂ，Ｓ－１｝および前記秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を用い、秘密計算によってｂ＝０，…，Ｂ－１についての前記行列Ｍｂ，γ，μの秘匿情報｛Ｍｂ，γ，μ｝を得る表計算部と、
    　何れかのラウンド鍵ｋ２，…，ｋＲ＋１の秘匿情報および前記秘匿情報｛Ｍｂ，γ，μ｝を用い、秘密計算により、ｊ＝２，…，Ｒについての前記処理Ｐｊ，１、前記処理Ｐｊ，２、前記処理Ｐｊ，３、および前記処理Ｐｊ，４のうち、処理Ｐγ，μよりも後に行われる各処理を含む残存処理を実行して得られる行列Ｍｂ，Γ，ＭＵの秘匿情報｛Ｍｂ，Γ，ＭＵ｝を得る後段処理を行うラウンド処理部と、
    を有する秘密計算装置。
  2. 　請求項１の秘密計算装置であって、
    　前記表生成部は、前記前段処理での改ざんを検知するための第１チェックサムを第１方式に則って生成し、
    　前記ラウンド処理部は、前記後段処理での改ざんを検知するための第２チェックサムを第２方式に則って生成し、
    　前記第１方式は、改ざん検知対象である秘匿情報の復元値のデータ量に、安全性の高さが依存しない方式であり、
    　前記第２方式は、改ざん検知対象である秘匿情報の復元値のデータ量がα１であるときの安全性が、改ざん検知対象である秘匿情報の復元値のデータ量がα２であるときの安全性よりも高い方式であり、α１がα２よりも大きい、秘密計算装置。
  3. 　請求項２の秘密計算装置であって、
    　Ｔ，Λ，Ｗ，Ｙ，Ｑ，Θが１以上の整数であり、ｔ＝０，…，Ｔ－１であり、λ＝０，…，Λ－１であり、ｗ＝０，…，Ｗ－１であり、ｙ＝０，…，Ｙ－１であり、ｑ＝０，…，Ｑ－１であり、θ＝０，…，Θ－１であり、前記前段処理はＴ種類の秘密分散方式ｍｅｔｈ０，…，ｍｅｔｈＴ－１に則った秘匿情報を用いた秘密計算を含み、
    　（１）前記第１チェックサムを前記第１方式に則って生成する処理は、
    　（１－１）乱数ｒｔを秘密分散した秘匿情報｛ｒｔ｝を得る処理と、
    　（１－２）前記秘密分散方式ｍｅｔｈｔに則った秘匿情報｛ａλ｝を用いた秘密計算を行う際に、前記秘匿情報｛ａλ｝と前記秘匿情報｛ｒｔ｝とを用いた秘密計算によって秘匿情報｛ａλｒｔ｝を得、前記秘匿情報｛ａλ｝と前記秘匿情報｛ａλｒｔ｝との組であるランダム化分散値＜ａλ＞＝＜｛ａλ｝，｛ａλｒｔ｝＞を得、前記ランダム化分散値＜ａλ＞の追加によってＣ１，ｔを更新し、
    前記秘密分散方式ｍｅｔｈｔに則った秘密計算結果である秘匿情報｛ｈｗ｝が得られた際に、前記秘匿情報｛ｈｗ｝と前記秘匿情報｛ｒｔ｝とを用いた秘密計算によって秘匿情報｛ｈｗｒｔ｝を得、前記秘匿情報｛ｈｗ｝と前記秘匿情報｛ｈｗｒｔ｝との組であるランダム化分散値＜ｈｗ＞＝＜｛ｈｗ｝，｛ｈｗｒｔ｝＞を得、前記ランダム化分散値＜ｈｗ＞の追加によってＣ１，ｔを更新することで、
    Ｃ１，ｔを含む前記第１チェックサムを更新する処理と、を含み、
    　（２）前記第２チェックサムを前記第２方式に則って生成する処理は、
    　（２－１）行列Ｍ０，γ，μ，…，ＭＢ－１，γ，μの要素からなる非ランダム化列Ａ∈ＦＵＢの秘匿情報｛Ａ｝とＹ個のダミーブロックＤ０，…，ＤＹ－１∈ＦＵの秘匿情報｛Ｄ０｝，…，｛ＤＹ－１｝とを結合した秘匿情報｛Ａ｜Ｄ｝＝｛Ａ｜Ｄ０｜…｜ＤＹ－１｝を得る処理と、
    　（２－２）前記秘匿情報｛Ａ｜Ｄ｝を用い、Ａ｜Ｄをランダム置換して得られるランダム化列Πｑ＝πｑ（Ａ｜Ｄ）∈ＦＵ（Ｂ＋Ｙ）の秘匿情報｛Πｑ｝＝｛πｑ（Ａ｜Ｄ）｝を秘密計算によって得る処理と、
    　（２－３）前記秘匿情報｛Ａ｝を用い、前記非ランダム化列Ａを構成する前記行列Ｍｂ，γ，μのＵ個の要素に対応する秘匿情報｛Ｍｂ，γ，μ｝ごとにサブ処理Ｓｕｂ０，…，ＳｕｂΘ－１の秘密計算を実行して、前記非ランダム化列Ａを構成する前記行列Ｍｂ，γ，μの要素に前記残存処理を適用して得られる前記行列Ｍｂ，Γ，ＭＵの前記秘匿情報｛Ｍｂ，Γ，ＭＵ｝を得、前記秘匿情報｛Ｍｂ，Γ，ＭＵ｝を得るまでの過程で得られるサブ処理Ｓｕｂθの秘密計算結果でＣ２，Ａを更新し、
    　前記秘匿情報｛Πｑ｝を用い、前記ランダム化列Πｑを構成するＵ個の要素に対応する秘匿情報ごとに前記サブ処理Ｓｕｂ０，…，ＳｕｂΘ－１の秘密計算を実行することで得られる各サブ処理Ｓｕｂθの秘密計算結果でＣ２，Π＿ｑを更新し、
    　少なくとも一部の前記ダミーブロックＤｙに対して前記サブ処理Ｓｕｂ０，…，ＳｕｂΘ－１を実行することで得られる各サブ処理Ｓｕｂθの演算結果の秘匿情報でＣ２，Ｄを更新することで、
    　Ｃ２，Ａ，Ｃ２，Π＿ｑ，Ｃ２，Ｄを含む前記第２チェックサムを更新する処理と、を含む秘密計算装置。
  4. 　請求項３の秘密計算装置であって、
    　前記ラウンド処理部は、何れかのラウンド鍵ｋ２，…，ｋＲ＋１の秘匿情報および前記ダミーブロックＤ０，…，ＤＹ－１の何れかである要処理ダミーブロックＤＰの秘匿情報｛ＤＰ｝を用い、前記要処理ダミーブロックＤＰに前記残存処理を行って得られる処理結果の秘匿情報を得るダミー後段処理をさらに行い、前記ダミー後段処理での改ざんを検知するための第３チェックサムを第３方式に則って生成し、
    　前記第３方式は、改ざん検知対象である秘匿情報の復元値のデータ量に、安全性の高さが依存しない方式である、秘密計算装置。
  5. 　請求項４の秘密計算装置であって、
    　（３）前記第３チェックサムを前記第３方式に則って生成する処理は、
    　前記秘密分散方式ｍｅｔｈｔに則った秘匿情報｛ｄλ｝を用いた秘密計算を行う際に、前記秘匿情報｛ｄλ｝と前記秘匿情報｛ｒｔ｝とを用いた秘密計算によって秘匿情報｛ｄλｒｔ｝を得、前記秘匿情報｛ｄλ｝と前記秘匿情報｛ｄλｒｔ｝との組であるランダム化分散値＜ｄλ＞＝＜｛ｄλ｝，｛ｄλｒｔ｝＞を得、前記ランダム化分散値＜ｄλ＞の追加によってＣ３，ｔを更新し、
    前記秘密分散方式ｍｅｔｈｔに則った秘密計算結果である秘匿情報｛ｈ’ｗ｝が得られた際に、前記秘匿情報｛ｈ’ｗ｝と前記秘匿情報｛ｒｔ｝とを用いた秘密計算によって秘匿情報｛ｈ’ｗｒｔ｝を得、前記秘匿情報｛ｈ’ｗ｝と前記秘匿情報｛ｈ’ｗｒｔ｝との組であるランダム化分散値＜ｈ’ｗ＞＝＜｛ｈ’ｗ｝，｛ｈ’ｗｒｔ｝＞を得、前記ランダム化分散値＜ｈ’ｗ＞の追加によってＣ３，ｔを更新することで、
    Ｃ３，ｔを含む前記第３チェックサムを更新する処理を含む、秘密計算装置。
  6. 　請求項３から５の何れかの秘密計算装置であって、
    　ｐがＢより大きな素数であり、Ｙ＝ｐ－Ｂである、秘密計算装置。
  7. 　請求項３から６の何れかの秘密計算装置であって、
    　前記ランダム置換はランダム巡回シフトである、秘密計算装置。
  8. 　請求項１から７の何れかの秘密計算装置であって、
    　前記行列Ｍｂ，γ，μはＭｂ，３，１またはＭｂ，３，２である、秘密計算装置。
  9. 　Ｂが１以上の整数であり、Ｒが３以上の整数であり、Ｓが２以上の整数であり、Ｕ＝Ｓ２であり、Ｆが体であり、ｂ＝０，…，Ｂ－１であり、ｒ＝１，…，Ｒであり、ｊ＝２，…，Ｒであり、
    　１ラウンド目のラウンド処理が処理Ｐ１，４を含み、前記処理Ｐ１，４が１ラウンド目のラウンド鍵ｋ１∈ＦＵの要素からなるＳ×Ｓ行列の１つの列のＳ個の要素にＳ個のカウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１をそれぞれ加算して行列Ｍｂ，１，４を得る処理を含み、
    　ｊラウンド目のラウンド処理が処理Ｐｊ，１と処理Ｐｊ，２と処理Ｐｊ，３と処理Ｐｊ，４とを含み、前記処理Ｐｊ，１が前記行列Ｍｂ，ｊ－１，４の各要素を置換して行列Ｍｂ，ｊ，１を得る処理を含み、前記処理Ｐｊ，２が前記行列Ｍｂ，ｊ，１の各要素を行ごとに巡回シフトして行列Ｍｂ，ｊ，２を得る処理を含み、前記処理Ｐｊ，３が前記行列Ｍｂ，ｊ，２の各列のＳ個の要素の線形和を当該列のＳ個の要素とした行列Ｍｂ，ｊ，３を得る処理を含み、前記処理Ｐｊ，４が前記行列Ｍｂ，ｊ，３の各要素にｊラウンド目のラウンド鍵ｋｊの各要素を加算して行列Ｍｂ，ｊ，４を得る処理を含み、
    　表生成部が、何れかのラウンド鍵ｋ１，…，ｋ３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ０，…，ｉＳ－１に対する一変数関数値を要素に持つ表Ｍ（ｉ０，…，ｉＳ－１）の秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を得る前段処理を行う表生成ステップと、
    　前記表Ｍ（ｉ０，…，ｉＳ－１）に前記カウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１を代入したＭ（ｉｂ，０，…，ｉｂ，Ｓ－１）がＭｂ，２，１，…，Ｍｂ，３，２の何れかである行列Ｍｂ，γ，μであり、表計算部が、前記カウンタ値ｉｂ，０，…，ｉｂ，Ｓ－１の秘匿情報｛ｉｂ，０｝，…，｛ｉｂ，Ｓ－１｝および前記秘匿情報｛Ｍ（ｉ０，…，ｉＳ－１）｝を用い、秘密計算によってｂ＝０，…，Ｂ－１についての前記行列Ｍｂ，γ，μの秘匿情報｛Ｍｂ，γ，μ｝を得る表計算ステップと、
    　ラウンド処理部が、何れかのラウンド鍵ｋ２，…，ｋＲ＋１の秘匿情報および前記秘匿情報｛Ｍｂ，γ，μ｝を用い、秘密計算により、ｊ＝２，…，Ｒについての前記処理Ｐｊ，１、前記処理Ｐｊ，２、前記処理Ｐｊ，３、および前記処理Ｐｊ，４のうち、処理Ｐγ，μよりも後に行われる各処理を含む残存処理を実行して得られる行列Ｍｂ，Γ，ＭＵの秘匿情報｛Ｍｂ，Γ，ＭＵ｝を得る後段処理を行うラウンド処理ステップと、
    を有する秘密計算方法。
  10. 　請求項１から８の何れかの秘密計算装置としてコンピュータを機能させるためのプログラム。
  11. 　請求項１から８の何れかの秘密計算装置としてコンピュータを機能させるためのプログラムを格納したコンピュータ読み取り可能な記録媒体。
PCT/JP2018/030440 2017-08-22 2018-08-16 秘密計算装置、秘密計算方法、プログラム、および記録媒体 WO2019039381A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
US16/638,987 US11515998B2 (en) 2017-08-22 2018-08-16 Secure computation device, secure computation method, program, and recording medium
EP18847701.2A EP3675089B1 (en) 2017-08-22 2018-08-16 Secure computation device, secure computation method, program, and recording medium
AU2018320434A AU2018320434B2 (en) 2017-08-22 2018-08-16 Secure computation device, secure computation method, program, and recording medium
CN201880054049.1A CN111052206B (zh) 2017-08-22 2018-08-16 秘密计算装置、秘密计算方法以及记录介质
JP2019537589A JP6881588B2 (ja) 2017-08-22 2018-08-16 秘密計算装置、秘密計算方法、プログラム、および記録媒体

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017159344 2017-08-22
JP2017-159344 2017-08-22

Publications (1)

Publication Number Publication Date
WO2019039381A1 true WO2019039381A1 (ja) 2019-02-28

Family

ID=65439815

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/030440 WO2019039381A1 (ja) 2017-08-22 2018-08-16 秘密計算装置、秘密計算方法、プログラム、および記録媒体

Country Status (6)

Country Link
US (1) US11515998B2 (ja)
EP (1) EP3675089B1 (ja)
JP (1) JP6881588B2 (ja)
CN (1) CN111052206B (ja)
AU (1) AU2018320434B2 (ja)
WO (1) WO2019039381A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US12099997B1 (en) 2020-01-31 2024-09-24 Steven Mark Hoffberg Tokenized fungible liabilities

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015053184A1 (ja) 2013-10-10 2015-04-16 日本電信電話株式会社 秘密並列処理装置、秘密並列処理方法、プログラム
WO2016104476A1 (ja) 2014-12-26 2016-06-30 日本電信電話株式会社 秘密改ざん検知システム、秘密計算装置、秘密改ざん検知方法、およびプログラム

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4875448B2 (ja) * 2006-10-11 2012-02-15 日本電信電話株式会社 鍵生成装置、匿名署名システム、管理装置、匿名署名方法及びプログラム
US8942724B2 (en) * 2010-10-27 2015-01-27 Ntt Docomo, Inc. Number of terminal estimation device and number of terminal estimation method
US9276734B2 (en) * 2011-09-27 2016-03-01 Hitachi, Ltd. Confidential computation system, confidential computation method, and confidential computation program
JP5972181B2 (ja) * 2013-01-17 2016-08-17 日本電信電話株式会社 改ざん検知装置、改ざん検知方法、およびプログラム
CN105027180B (zh) * 2013-01-17 2017-03-29 日本电信电话株式会社 保密计算系统、运算装置、以及保密计算方法
WO2015082212A1 (en) * 2013-12-05 2015-06-11 Koninklijke Philips N.V. A computing device for iterative application of table networks
JP5860557B1 (ja) * 2015-02-06 2016-02-16 日本電信電話株式会社 秘密公開方法、秘密公開システム、秘密公開装置、およびプログラム
US20160269175A1 (en) * 2015-03-09 2016-09-15 Qualcomm Incorporated Cryptographic cipher with finite subfield lookup tables for use in masked operations
US10089508B2 (en) * 2015-05-28 2018-10-02 Graphiclead LLC System and method of embedding a two dimensional code with concealed secure message
JP6578814B2 (ja) * 2015-08-20 2019-09-25 株式会社ソシオネクスト プロセッサ及びプロセッサシステム
NL2015745B1 (en) * 2015-11-09 2017-05-26 Koninklijke Philips Nv A cryptographic device arranged to compute a target block cipher.
JP6053238B2 (ja) * 2016-01-13 2016-12-27 日本電信電話株式会社 秘密改ざん検知システム、秘密計算装置、秘密改ざん検知方法、およびプログラム
GB2557577A (en) * 2016-10-21 2018-06-27 Cygnetise Ltd Methods and apparatus for recording a change of authorisation state of one or more authorisation agents

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015053184A1 (ja) 2013-10-10 2015-04-16 日本電信電話株式会社 秘密並列処理装置、秘密並列処理方法、プログラム
WO2016104476A1 (ja) 2014-12-26 2016-06-30 日本電信電話株式会社 秘密改ざん検知システム、秘密計算装置、秘密改ざん検知方法、およびプログラム

Non-Patent Citations (9)

* Cited by examiner, † Cited by third party
Title
ARAKI, TOSHINORI ET AL.: "High-Throughput Semi- Honest Secure Three-Party Computation with an Honest Majority, Cryptology ePrint Archive", COMPUTER AND COMMUNICATIONS SECURITY, 24 October 2016 (2016-10-24), pages 805 - 817, XP058298940, Retrieved from the Internet <URL:https://eprint.iacr.org/2016/768/20161110:181046> [retrieved on 20181107] *
DAI IKARASHIRYO KIKUCHIKOKI HAMADAKOJI CHIDA: "Actively Private and Correct MPC Scheme in t < n/2 from Passively Secure Schemes with Small Overhead", CRYPTOLOGY EPRINT ARCHIVE, REPORT 2014/304, 2014
DAI IKARASHIRYO KIKUCHIKOKI HAMADAKOJI CHIDA: "An Efficient SIMD Protocol against Malicious Adversaries for Secure Computation Schemes Based on Secret Sharing Schemes with Small Party Sets", PROCEEDINGS OF COMPUTER SECURITY SYMPOSIUM 2013, vol. 2013, no. 4, 14 October 2013 (2013-10-14), pages 793 - 800
DANIEL J. BERNSTEINPETER SCHWABE: "New AES software speed records", INDOCRYPT 2008, PROGRESS IN CRYPTOLOGY - INDOCRYPT, 2008, pages 322 - 336, XP047403219, DOI: 10.1007/978-3-540-89754-5_25
IGARASHI, DAI ET AL.: "2D3-6 MEVAL2 vs. CCS Best paper on MPC-AES", SCIS 2017 (2017 SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY); 24-27/01/2017, vol. 2017, 24 January 2017 (2017-01-24), pages 1 - 8, XP009519163 *
KELLER, MARCEL ET AL.: "Faster Secure Multi-Party Computation of AES and DES Using Lookup Tables", REPORT 2017/378, May 2017 (2017-05-01), pages 1 - 26, XP061023154, Retrieved from the Internet <URL:https://eprint.iacr.org/2017/378/20170501:134527> [retrieved on 20181107], DOI: 10.1007/978-3-319-61204-1_12 *
KOJI CHIDAKOKI HAMADADAI IKARASHIKATSUMI TAKAHASHI: "A Three-party Secure Function Evaluation with Lightweight Verifiability Revisited", CSS2010, 2010
MICHAEL BEN-ORSHAFI GOLDWASSERAVI WIGDERSON: "Completeness Theorems for Non-Cryptographic Fault-Tolerant Distributed Computation (Extended Abstract", STOC, 1988, pages 1 - 10
See also references of EP3675089A4

Also Published As

Publication number Publication date
AU2018320434A1 (en) 2020-02-27
EP3675089A1 (en) 2020-07-01
JPWO2019039381A1 (ja) 2020-09-03
CN111052206A (zh) 2020-04-21
EP3675089B1 (en) 2023-05-03
CN111052206B (zh) 2023-06-06
JP6881588B2 (ja) 2021-06-02
AU2018320434B2 (en) 2020-12-17
EP3675089A4 (en) 2021-05-05
US20200228314A1 (en) 2020-07-16
US11515998B2 (en) 2022-11-29

Similar Documents

Publication Publication Date Title
RU2376651C2 (ru) Использование изогений для разработки криптосистем
JP4575283B2 (ja) 暗号装置、復号装置、プログラム及び方法
JP6009697B2 (ja) 秘密計算方法、秘密計算システム、ソート装置及びプログラム
Fu et al. DIPOR: An IDA-based dynamic proof of retrievability scheme for cloud storage systems
Ambrose et al. Differential attacks on deterministic signatures
CN110663215A (zh) 在白盒场景中的椭圆曲线点乘设备和方法
CN108985102A (zh) 数据完整性验证方法、装置、系统及存储介质
CN112436938B (zh) 数字签名的生成方法、装置和服务器
JPWO2020165932A1 (ja) 情報処理装置、秘密計算方法及びプログラム
TW202318833A (zh) 臨界簽章方案
KR100699836B1 (ko) 스칼라 곱에서 ｄｆａ 대책을 위한 장치 및 방법
WO2018216512A1 (ja) 秘密改ざん検知システム、秘密改ざん検知装置、秘密改ざん検知方法、およびプログラム
CN112487464A (zh) 一种基于区块链的加密数据分享方法及装置
JP6881588B2 (ja) 秘密計算装置、秘密計算方法、プログラム、および記録媒体
Takagi Recent developments in post-quantum cryptography
Brunetta et al. Code-based zero knowledge PRF arguments
CN118160273A (zh) 生成共享密钥
CN112541197B (zh) 一种结果验证方法及装置
Shim et al. Lite-Rainbow: lightweight signature schemes based on multivariate quadratic equations and their secure implementations
Tang et al. Fragile watermarking based proofs of retrievability for archival cloud data
Kaur et al. Data deduplication methods: a review
CN114520728B (zh) 一种分布式匿名阅卷评分方法与系统
Mao et al. Parallel checking of content integrity in multi‐cloud storage of heterogeneous sensor systems
Corena et al. Proofs of data possession and pollution checking for Regenerating Codes
Sivasubramanian A comparative analysis of Post-Quantum Hash-based Signature Algorithm

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18847701

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019537589

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018320434

Country of ref document: AU

Date of ref document: 20180816

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 2018847701

Country of ref document: EP

Effective date: 20200323