WO2020117015A1 - 다변수 패킹을 이용하는 연산 장치 및 방법 - Google Patents

다변수 패킹을 이용하는 연산 장치 및 방법 Download PDF

Info

Publication number
WO2020117015A1
WO2020117015A1 PCT/KR2019/017237 KR2019017237W WO2020117015A1 WO 2020117015 A1 WO2020117015 A1 WO 2020117015A1 KR 2019017237 W KR2019017237 W KR 2019017237W WO 2020117015 A1 WO2020117015 A1 WO 2020117015A1
Authority
WO
WIPO (PCT)
Prior art keywords
matrix
homogeneous
multiplication
ciphertext
messages
Prior art date
Application number
PCT/KR2019/017237
Other languages
English (en)
French (fr)
Inventor
천정희
김안드레이
이동건
Original Assignee
주식회사 크립토랩
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from KR1020190160996A external-priority patent/KR102339833B1/ko
Application filed by 주식회사 크립토랩 filed Critical 주식회사 크립토랩
Priority to US17/311,578 priority Critical patent/US12063290B2/en
Publication of WO2020117015A1 publication Critical patent/WO2020117015A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G06F17/16—Matrix or vector computation, e.g. matrix-matrix or matrix-vector multiplication, matrix factorization
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/008—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving homomorphic encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3093—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving Lattices or polynomial equations, e.g. NTRU scheme
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/34—Encoding or coding, e.g. Huffman coding or error correction

Definitions

  • the present disclosure relates to a computing device and method using multivariate packing, and to a computing device and method capable of generating a single ciphertext by arranging a plurality of messages into a multidimensional matrix using multivariate.
  • the present disclosure is designed to solve the problems as described above, and provides an arithmetic apparatus and method capable of generating a single ciphertext by arranging a plurality of messages in a multidimensional matrix using multiple variables.
  • the method for calculating the ciphertext is receiving a plurality of messages, encoding the plurality of messages into a polynomial defined by a multivariate, and a polynomial defined by the multivariate And generating a homogeneous ciphertext by encrypting.
  • the encoding step may be arranged in a multidimensional tensor corresponding to the number of the multivariables, and a plurality of messages arranged in the multidimensional tensor may be polynomial encoded.
  • the multi-variable includes a first variable and a second variable
  • the plurality of messages are arranged in a matrix form composed of a plurality of columns and a plurality of rows, and arranged in the matrix form.
  • a plurality of messages may be encoded in a polynomial defined by first and second variables.
  • the encoding step may convert each of the slots of the matrix into coefficients of a polynomial defined by the first variable and the second variable.
  • the encryption method may further include performing arithmetic processing on a plurality of homogeneous ciphertexts.
  • the arithmetic processing is a matrix product
  • the step of performing the arithmetic processing is a step of performing multiplication multiplication on the plurality of homogeneous ciphertexts, and a matrix multiplication result through summing the components of the multiplication multiplication result. It may include the step of calculating a component value of the, and repeating the step of performing the multiplication operation and the calculating step by moving the position of the component in one of the plurality of homogeneous ciphertext.
  • the multiplication operation may be performed only on the components of the plurality of components constituting the plurality of homogeneous ciphertexts, which are reflected in calculating the value of the partial components.
  • the computing device includes at least one instruction and a memory for storing a plurality of predetermined decimal information, and a processor for executing the at least one instruction, wherein the processor comprises: By executing the at least one instruction, it is possible to encode a plurality of messages into a polynomial defined by multivariables, and to encrypt the polynomial defined by multivariables to generate a homogeneous ciphertext.
  • the processor may be arranged in a multidimensional tensor corresponding to the number of multivariables, and may encode a plurality of messages arranged in the multidimensional tensor in a polynomial manner.
  • the multi-variable includes a first variable and a second variable
  • the processor arranges the plurality of messages in a matrix form composed of a plurality of columns and a plurality of rows, and a plurality of arranged in the matrix form.
  • the message can be encoded in a polynomial defined by a first variable and a second variable.
  • the processor may convert each slot of the matrix to a coefficient of a polynomial defined by the first variable and the second variable.
  • the processor may perform arithmetic processing on a plurality of homogeneous ciphertexts.
  • the arithmetic processing is a matrix product
  • the processor performs a multiplication operation on each of the plurality of homogeneous ciphertexts, and calculates a component value of the matrix multiplication result by summing the components of the multiplication operation result. Then, by shifting the position of the component in one of the plurality of homogeneous ciphertexts and repeating the multiplication and calculation operations, the total component value of the matrix multiplication result can be calculated.
  • the processor may perform a multiplication operation for each component of the plurality of components constituting the plurality of homogeneous ciphertexts, which are reflected in calculating the value of the partial component.
  • FIG. 1 is a view for explaining the structure of a network system according to an embodiment of the present disclosure
  • FIG. 2 is a block diagram showing the configuration of a computing device according to an embodiment of the present disclosure
  • FIG. 3 is a flowchart illustrating an encryption method according to an embodiment of the present disclosure
  • FIG. 4 is a view for explaining a row (row) summing method according to an embodiment of the present disclosure
  • FIG. 5 is a view for explaining a diagonal extraction (Diagonal Extraction) method according to an embodiment of the present disclosure
  • FIG. 6 is a view for explaining a vector multiplication (Matrix by Vector Multiplication) method according to an embodiment of the present disclosure
  • FIG. 7 is a view for explaining a matrix multiplication (Matrix Multiplication) method according to an embodiment of the present disclosure
  • FIG. 8 is a view for explaining a matrix product of a permutation matrix according to an embodiment of the present disclosure
  • FIG. 9 is a view for explaining a method of generating a transposition matrix according to an embodiment of the present disclosure.
  • FIG. 11 is a view for explaining a method of linear conversion from a column to a column according to an embodiment of the present disclosure.
  • FIG. 12 is a view for explaining a linear conversion method from a row to a column according to an embodiment of the present disclosure.
  • Encryption/decryption may be applied to the information (data) transmission process performed in the present disclosure as necessary, and the expressions describing the information (data) transmission process in the present disclosure and claims are all encrypted/decrypted, even if not specifically mentioned. It should be interpreted as including the case.
  • expressions such as “transmit (transmit) from A to B” or “A receives from B” include other mediators (transmitted) or received with other media in between, and must necessarily be from A to B. It does not only express what is directly transmitted (delivered) or received.
  • value is defined as a concept that includes not only scalar values, but also vector and polynomial forms.
  • Each of S1 and S2 is an element belonging to the R set.
  • FIG. 1 is a view for explaining the structure of a network system according to an embodiment of the present disclosure.
  • a network system may include a plurality of electronic devices 100-1 to 100-n, a first server device 200, and a second server device 300, each of which includes a network 10 ) Can be connected to each other.
  • the network 10 may be implemented as various types of wired/wireless communication networks, broadcast communication networks, optical communication networks, cloud networks, etc., and each device may be connected in a manner such as Wi-Fi, Bluetooth, Near Field Communication (NFC), etc. without separate media. It might be.
  • the electronic devices 100-1 to 100-n may be implemented as various types of devices such as a smartphone, tablet, game player, PC, laptop PC, home server, kiosk, etc. It can also be implemented in the form of household appliances.
  • the user may input various information through the electronic devices 100-1 to 100-n used by the user.
  • the inputted information may be stored in the electronic devices 100-1 to 100-n itself, but may also be transmitted to and stored in an external device for reasons of storage capacity and security.
  • the first server device 200 serves to store such information
  • the second server device 300 can serve to use some or all of the information stored in the first server device 200. have.
  • Each electronic device 100-1 to 100-n encrypts the inputted information in a homogeneous manner and transmits the homogeneous ciphertext to the first server device 200.
  • Each electronic device 100-1 to 100-n may include encryption noise, that is, an error generated in the process of performing homogeneous encryption, in an encrypted text.
  • the homogeneous ciphertext generated by each electronic device 100-1 to 100-n may be generated in a form in which a result value including a message and an error value is restored when decrypted using a secret key in the future. have.
  • the homogeneous ciphertext generated by the electronic devices 100-1 to 100-n may be generated in a form that satisfies the following properties when decrypted using a secret key.
  • ⁇ and> are the inner inner product
  • ct is the ciphertext
  • sk is the secret key
  • M is the plaintext message
  • e is the encryption error value
  • mod q is the modulus of the ciphertext. q should be selected so that the scaling factor ( ⁇ ) is greater than the resulting value M multiplied by the message. If the absolute value of the error value e is sufficiently small compared to M, the decryption value M+e of the ciphertext is a value that can replace the original message with the same precision in a natural number.
  • an error may be placed on the least significant bit (LSB) side and M may be placed on the lower bit side.
  • LSB least significant bit
  • the size of the message is too small or too large, you can also adjust the size using a scaling factor.
  • a scaling factor is used, not only an integer type message but also a real number type message can be encrypted, so that the usability can be greatly increased.
  • the size of the message using the scaling factor the size of the area where the messages exist in the ciphertext after the calculation is performed, that is, the size of the effective area can also be adjusted.
  • the ciphertext modulus q may be set and used in various forms.
  • q may be expressed as a combination of exponential powers of 2 that satisfy certain conditions, as shown in FIG. 8.
  • the ciphertext modulus may be set to a value multiplied by a plurality of different scaling factors.
  • Each factor may be set to a value within a similar range, that is, a value having a similar size to each other.
  • each electronic device 100-1 to 100-n may generate a plurality of pieces of information in one homogeneous ciphertext.
  • the electronic device 100 may store various information such as GPS information, user ID information, gender information, etc., and the electronic device 100 may pack multiple pieces of information as described above and generate one homogeneous ciphertext. have. The packing operation will be described later.
  • the first server device 200 may store the received homogeneous ciphertext in a ciphertext state without decryption.
  • the second server device 300 may request the result of the specific processing for the same type of ciphertext to the first server device 200.
  • the first server device 200 may perform a specific operation according to the request of the second server device 300, and then transmit the result to the second server device 300.
  • the second server device 300 may include two electronic devices 100-1. , 100-2), the sum of the information provided from the first server device 200 may be requested.
  • the first server device 200 may perform an operation of summing two ciphertexts according to a request, and then transmit the result value ct1 + ct2 to the second server device 300.
  • the first server device 200 may perform an operation without decryption, and the result value may also be in the form of a ciphertext.
  • the first server device 200 may transmit the ciphertext as a result of the operation to the second server device 300.
  • the second server device 300 may decrypt the received operation result ciphertext to obtain an operation result value of data included in each homogeneous ciphertext.
  • the first server device 200 may perform an operation several times according to a user request.
  • the first server device 200 may store a learning model for outputting a preset result, and the first server device 200 may learn the learning model using the same type of ciphertext described above, or the same type of ciphertext in the learning model. You can put the result of the calculation.
  • a learning model may be a deep neural network (DNN) structure.
  • FIG. 1 illustrates a case where encryption is performed by the first electronic device and the second electronic device, and the second server device performs decryption, but is not limited thereto.
  • FIG. 2 is a block diagram showing the configuration of a computing device according to an embodiment of the present disclosure.
  • a device that performs homogeneous encryption such as a first electronic device, a second electronic device, or the like
  • a device that calculates a homogeneous ciphertext such as a first server device, or a second server device decodes the same ciphertext
  • a computing device may be various devices such as a personal computer (PC), a notebook computer, a smart phone, a tablet, and a server.
  • the computing device 400 may include a communication device 410, a memory 420, a display 430, an operation input device 440, and a processor 450.
  • the communication device 410 is formed to connect the computing device 400 with an external device (not shown), and is connected to an external device through a local area network (LAN) and an Internet network, as well as USB ( Universal Serial Bus) port or wireless communication (eg, WiFi 802.11a/b/g/n, NFC, Bluetooth) port is also available.
  • the communication device 410 may also be referred to as a transceiver.
  • the communication device 410 may receive the public key from the external device, and transmit the public key generated by the computing device 400 itself to the external device.
  • the communication device 410 may receive a message from the external device, and transmit the generated homogeneous ciphertext to the external device.
  • the communication device 410 may receive various parameters necessary for generating an encrypted text from an external device. Meanwhile, upon implementation, various parameters may be directly input from the user through the manipulation input device 440 described later.
  • the communication device 410 may be requested to perform an operation on the same type of ciphertext from the external device, and transmit the calculated result to the external device.
  • the requested operation may be an operation such as addition, subtraction, or multiplication (for example, a modular multiplication operation), and may be a matrix sum or a matrix transformation. Various operation operations will be described later with reference to FIGS. 4 to 12.
  • At least one instruction relating to the computing device 400 may be stored in the memory 420.
  • various programs (or software) for operating the computing device 400 may be stored in the memory 420 according to various embodiments of the present disclosure.
  • the memory 420 may be implemented in various forms such as RAM, ROM, flash memory, HDD, external memory, memory card, etc., and is not limited to any one.
  • the memory 420 may store a message to be encrypted.
  • the message may be various credit information, personal information, etc. that the user has cited, and may also be information related to a usage history, such as location information used in the computing device 400, internet usage time information, and the like.
  • the memory 420 may store a public key, and when the computing device 400 directly generates a public key, it may store not only a secret key, but also various parameters necessary for generating the public key and the secret key.
  • the memory 420 may store the same type of encrypted text generated in the process described below. In addition, the memory 420 may store the same type of encrypted text transmitted from an external device. In addition, the memory 420 may store an operation result ciphertext that is a result of an operation process described later.
  • the memory 420 may store a learning model.
  • a learning model may be trained using a homogeneous ciphertext, and a matrix operation may be used in the calculation process of the learning model.
  • the display 430 displays a user interface window for selecting a function supported by the computing device 400.
  • the display 430 may display a user interface window for selecting various functions provided by the computing device 400.
  • the display 430 may be a monitor such as a liquid crystal display (LCD), organic light emitting diodes (OLED), or the like, or may be implemented as a touch screen capable of simultaneously performing the functions of the manipulation input device 440 to be described later. .
  • the display 430 may display a message requesting input of parameters necessary for generating a secret key and a public key.
  • the encryption target may be directly selected by the user, or may be automatically selected. That is, personal information or the like that requires encryption can be automatically set even if the user does not directly select the message.
  • the manipulation input device 440 may receive a function selection of the computing device 400 and a control command for the function from the user. For example, the manipulation input device 440 may receive parameters required for generating a secret key and a public key from a user. Also, the manipulation input device 440 may receive a message to be encrypted from the user.
  • the processor 450 controls the overall operation of the computing device 400.
  • the processor 450 may overall control the operation of the computing device 400 by executing at least one instruction stored in the memory 420.
  • the processor 450 may be configured as a single device such as a central processing unit (CPU), an application-specific integrated circuit (ASIC), or a plurality of devices such as a CPU and a graphics processing unit (GPU).
  • the processor 450 may store it in the memory 420.
  • the processor 450 may homogeneously encrypt a message using various setting values and programs stored in the memory 420.
  • a public key can be used.
  • the processor 450 may generate and use a public key necessary for performing encryption on its own, or may receive and use it from an external device.
  • the second server device 300 that performs decryption may distribute the public key to other devices.
  • the processor 450 can generate a public key using the Ring-LWE technique.
  • the processor 450 may set various parameters and rings first, and store them in the memory 420. Examples of parameters may include the length of a plaintext message bit, the size of a public key and a secret key, and the like.
  • the ring can be expressed by the following equation.
  • R is the ring
  • Zq is the coefficient
  • f(x) is the nth order polynomial.
  • a ring is a set of polynomials with predetermined coefficients, which means that the addition and multiplication between elements are defined and closed for addition and multiplication. Such rings may be referred to as rings.
  • the ring means a set of n-th order polynomials with coefficients Zq.
  • n when n is ⁇ (N), it may mean an N-th cyclotomic polynomial.
  • (f(x)) represents the idea of Zq[x] produced by f(x).
  • Euler totient function ⁇ (N) means the number of natural numbers less than N and less than N. If ⁇ N (x) is defined as an Nth-order cyclomatic polynomial, the ring can also be expressed by Equation 3 below.
  • the ring of Equation 3 described above may have a complex number in the plaintext space.
  • the set in which the plaintext space is a real number among the set of rings described above may be used.
  • the processor 450 can calculate a secret key (sk) from the ring.
  • s(x) means a polynomial generated randomly with a small coefficient.
  • the processor 450 may calculate a first random polynomial (a(x)) from the ring.
  • the first random polynomial can be expressed as follows.
  • the processor 450 may calculate an error.
  • the processor 450 may extract an error from a discrete Gaussian distribution or a distribution having a close statistical distance therefrom. This error can be expressed as follows.
  • the processor 450 may calculate a second random polynomial by modulating the errors in the first random polynomial and the secret key.
  • the second random polynomial can be expressed as follows.
  • the public key pk may be set as follows, including a first random polynomial and a second random polynomial.
  • the present invention is not necessarily limited thereto, and of course, a public key and a secret key may be generated by other methods.
  • the processor 450 may control the communication device 410 to be transmitted to other devices.
  • the processor 450 may generate a homogeneous ciphertext for the message.
  • the processor 450 may generate a homogeneous ciphertext by applying the public key generated above to the message.
  • the message to be decoded may be received from an external source, or may be input from an input device provided or connected directly to the computing device 400.
  • the processor 450 may store data input through the touch screen or key pad in the memory 420 and then encrypt the data. have.
  • the generated homomorphic ciphertext may be in a form that is restored to a result value obtained by adding an error to a value reflecting a scaling factor in a message when decrypted.
  • the processor 450 may control the communication device 410 to store the same type of cipher text in the memory 420 when it is generated, or to transmit the same type cipher text to another device according to a user request or a preset default command.
  • packing may be performed during encryption.
  • the packing is to generate a plurality of messages in one ciphertext.
  • the processor 450 may convert the plurality of message vectors into a polynomial in a form that can be encrypted in parallel.
  • the processor 450 may generate a homogeneous ciphertext by converting a plurality of messages into polynomials defined as multivariables. For example, the processor 450 may place a plurality of messages in a multidimensional tensor corresponding to the number of multivariables, and convert a plurality of messages arranged in a multidimensional tensor into a polynomial.
  • multivariate means that there are multiple independent variables, and a tensor is a geometric amount used when displaying two or more independent directions.
  • a plurality of messages are arranged in a matrix form consisting of a plurality of columns and a plurality of rows, and the matrix form Encoding may be performed by converting a plurality of messages (that is, each slot of the matrix) arranged as coefficients of a polynomial defined by a first variable and a second variable.
  • the specific operation of the multivariate packing operation will be described later. Accordingly, it is possible to generate a ciphertext packed with a plurality of message vectors.
  • the processor 450 may multiply the generated polynomial by a scaling factor and homogeneously encrypt using a public key.
  • the processor 450 may apply a secret key to the homogeneous ciphertext to generate a polynomial form decryption text, and decode the polynomial form decryption text to generate a message.
  • the generated message may include an error as mentioned in Equation 1 described above.
  • the processor 450 may perform an operation on the ciphertext.
  • the processor 450 may perform operations such as addition, subtraction, or multiplication while maintaining the encrypted state for the homogeneous ciphertext.
  • the processor 450 may perform a matrix operation in an encrypted state with respect to the homogeneous ciphertext.
  • the matrix transformation in the message state and the matrix transformation in the encrypted state are the same. Even when a matrix operation for the ciphertext is required, the operation can be performed in the ciphertext state without the need to decrypt the ciphertext into plaintext.
  • the terminal device 100 may detect the data of the effective area from the operation result data. For example, the terminal device 100 may detect the data of the effective area by performing rounding processing on the result data.
  • the rounding process means to perform round-off of the message in an encrypted state, and may be called rescaling.
  • the terminal device 100 may remove the noise region by multiplying each component of the ciphertext by ⁇ -1 , which is an inverse of the scaling factor, and rounding the component.
  • the noise region may be determined to correspond to the size of the scaling factor.
  • the terminal device 100 may expand the plaintext space of the ciphertext as a result of the operation.
  • M+e (mod q) has a different value from M+e, so decoding is impossible. Therefore, the q value should always be kept larger than M.
  • Expansion of the plaintext space means changing the ciphertext ct into a ciphertext with a larger modulus.
  • the operation of expanding the plaintext space can also be called rebooting. As the reboot is performed, the ciphertext can be re-calculated.
  • MHEAAN to be described below is a generalization of HEAAN using a tensor packing method and multi-dimensional rotation.
  • m-RLWE Multivariate RLWE
  • N 0 and N 1 are powers of 2.
  • Equation 9 is It can be expressed as, which is the same as the existing Ring-LWE technique.
  • the MHEAAN technology of the present disclosure is based on m-RLWE with x 1 , x 2 (generally x 1 , .... x s ) satisfying the cyclomatic polynomial.
  • MHEAAN is a generalization of HEAAN in the case of M power.
  • encryption processing in MHEAAN can be represented as follows.
  • Equation 11 a plurality of messages are encoded into a message defined as a multivariate, and the corresponding message is encrypted to generate a homogeneous ciphertext.
  • Key generation is an operation that generates various parameter values required for MHEAAN.
  • a security parameter ( ⁇ ) is given, an integer (M) corresponding to a cyclomatic ring, an integer (L) corresponding to the largest ciphertext modulus level, and distribution Parameters ⁇ , ⁇ , h can be set (or output).
  • the secret key (sk ⁇ (s, 1)), the second random (b ⁇ -a ⁇ s + e + 2 L s(mod R'2 ⁇ L )) using the calculated secret, random, and error, and
  • the public key (pk ⁇ (a, b) ⁇ R' 2 L ) can be calculated.
  • the switching key can be output as shown in Equation 12 below, and the evaluation key is output as shown in Equation 13 below. Can be.
  • a is a value calculated from R'2 ⁇ L
  • b is a value calculated from -a ⁇ s + e + 2 L s(mod R'2 ⁇ L ).
  • Encoding is an operation of arranging a plurality of messages in a multidimensional tensor corresponding to the number of multivariables, and encoding a plurality of messages arranged in a multidimensional tensor into a polynomial, referring to Equation 14 below, and corresponding to a plurality of messages.
  • Tensors can be converted to polynomials.
  • n is equal to or less than N/2
  • p is an integer less than l.
  • the decoding operation is an operation for converting plain text (polynomial) into a tensor using Equation 15 below.
  • the T is a tensor
  • p is a precision bit
  • m is a polynomial form.
  • the encryption operation is an operation of converting a polynomial-type plaintext into a homogeneous ciphertext, that is, encryption processing.
  • ct is a ciphertext
  • v is a value calculated from X enc
  • e 0 and e 1 are errors sampled from X err
  • pk is a public key
  • the constant multiplication operation is an operation of multiplying a constant ciphertext by a constant value, encoding a constant tensor corresponding to the constant value, and using the encoded tensor and ciphertext, the following Equation 17 can be calculated.
  • c is the encoded constant tensor
  • ct is the ciphertext
  • Ct cmult is the constant product of the homogeneous ciphertext, It may be a ciphertext for.
  • the polynomial multiplication operation is an operation of multiplying a homogeneous ciphertext by a polynomial type constant (c), and is the same as the constant multiplication operation described above, except that there is no step of encoding a constant tensor.
  • (d 0 , d 1 , d 2 ) (a 1 a 2 , a 1 b 2 +a 2 b 1 , b 1 b 2 )(mod R'l ).
  • Rescaling is a module operation using an integer (p) in the input ciphertext, and the following Equation 17 can be calculated.
  • ct is an input ciphertext
  • ct is a rescaled ciphertext
  • Equation 20 If the conjugation key (cjk) is set as in Equation 20, a conjugation result as in Equation 21 may be output.
  • (a ', b') is a (k -1 (a), k -1 (b)) (mod R 'l) a
  • ct cj is the cipher text of the result to the conjugated, conjugated plaintext tensor days Can be.
  • (a ', b') is (k gr (a), k gr (b)) (mod R 'l) a
  • ct rt is a rotary result
  • the plaintext is rotated by r i plaintext in the i dimension (rt( ,r)).
  • MHEAAN has all the advantages of HEAAN, such as rescale processing. And this scheme can be a hip solution to the approximation of complex values.
  • a two-dimensional structure supporting matrix operations such as a two-dimensional structure standard HE operation will be described.
  • the matrix size is not a problem because it can be combined with a partitioning and conqurer algorithm. You can perform various matrix operations, such as matrix transformation.
  • the arithmetic apparatus can pack a plurality of messages in multiple dimensions by using multivariables, and thus can operate with low complexity in a matrix multiplication process for ciphertexts packed with multivariables.
  • the computing device also generates a key, performs message encryption, and decrypts a ciphertext, but in implementation, the computing device generates only a key or only an encryption operation. It may also perform some operations, such as performing or performing only operations on the ciphertext.
  • FIG. 3 is a flowchart illustrating an encryption method according to an embodiment of the present disclosure.
  • a plurality of messages are input (S310).
  • the plurality of messages may be received from an external device, or may be generated internally or input by a user.
  • some of the plurality of messages are generated by themselves, and the rest may be received from the outside or input by a user.
  • a plurality of messages are encoded in a polynomial defined by multiple variables (S320).
  • a multi-dimensional tensor corresponding to the number of multi-variables may be arranged, and a plurality of messages arranged in a multi-dimensional tensor may be encoded in polynomial.
  • the multivariate is two variables composed of x and y
  • a plurality of messages are arranged in a matrix form composed of a plurality of columns and a plurality of rows, and a plurality of messages arranged in a matrix form are first. It is possible to encode the polynomial defined by the variable (x) and the second variable (y).
  • Such arithmetic processing may target a single homogeneous ciphertext, and may be operations such as addition, multiplication, subtraction, matrix multiplication, etc. for a plurality of homogeneous ciphertexts.
  • FIGS. 4 to 12 various operation operations according to the present disclosure will be described.
  • a plurality of messages can be packed in multiple dimensions by using multivariables, and therefore, it is possible to operate with low complexity in a matrix multiplication process for ciphertexts packed with multivariables.
  • the encryption method as shown in FIG. 3 may be performed in the computing device of FIG. 2, or may be implemented in the form of program code for performing each step.
  • ct A the ciphertext encoded by encoding the matrix (A) into a polynomial defined as a multivariate using a tensor.
  • row summation (or column summation) may be implemented by repeating the rotation processing of the ciphertext (ct A ) and the result of the rotation processing and the addition operation of the input ciphertext by a predetermined number of times.
  • the result of the calculation may be similar to the ciphertext for the row sum value of the matrix (A).
  • FIG. 5 is a view for explaining a diagonal extraction (Diagonal Extraction) method according to an embodiment of the present disclosure.
  • the diagonal extraction operation may be performed by multiplying the input cipher text with a constant (I k ) and rescaling the multiplied result.
  • I k is rt (I, (k, 0)) may be an identity matrix.
  • FIG. 6 is a view for explaining a vector multiplication (Matrix by Vector Multiplication) method according to an embodiment of the present disclosure.
  • ct v When the ciphertext (ct v ) is a ciphertext of a vector v having an n ⁇ 1 matrix size, ct v can be regarded as a ciphertext having an n matrix size composed of the same column of the vector.
  • the vector product of the ciphertext is also multiplied to the A ct T, such as 6, for rescaling ct (Av) T, less the ring K ct (Av) for the T It can be performed by a heat summing operation.
  • FIG. 7 is a diagram for explaining a matrix multiplication method according to an embodiment of the present disclosure.
  • ⁇ C ⁇ A + ⁇ B + (log n +1) ⁇ * .
  • two matrices (A, B) may be converted into vectors (m 2 ⁇ n at this time).
  • the component a i,j of the m ⁇ m matrix A can be placed in the m(i-1)+j th component of the vector
  • the component b i,j of the m ⁇ m matrix B is the m(k-1) of the vector. )+j.
  • the multiplication of two matrices can be expressed as a Hadamard product.
  • the first n components of the Hadamard product are a 11 b 11 , a 12 b 21 ,... , a 1 m b m1
  • n components are a 21 b 12 , a 22 b 22 ,... ,a 2m b m2 .
  • m components may be added to each vector through slot movement.
  • the resulting vector can be represented by c 11 for the first digit, c 22 for the m+1 digit, and c 33 ,.. for the 2 m+1 digit.
  • the vector obtained in each step uses only m of the total m 2 components, and the remaining components are calculated by algorithm, but it is a result that is not reflected in the result of the actual matrix product.
  • the second component is a 12 b 21 + ... + a 1 m b m1 + a 21 b 12 and this value is related to the component of C. It is a missing operation.
  • the operation speed and resources can be reduced by not performing an operation on a part not reflected in the operation result.
  • the matrix product of HEAAN should use addition and multiplication about O(N2), whereas in MHEAAN, it can be improved by using O(N).
  • Equation (24) the matrix product described above may be performed more efficiently by using B'and C" substitution as shown in Equation (24).
  • C which is a substitution matrix for matrix C, may be output.
  • FIG. 8 is a diagram for describing a matrix product of a permutation matrix according to an embodiment of the present disclosure.
  • matrix multiplication may be performed by repeatedly performing rotation processing of two matrices (ct A , ct B ), multiplication operation, and addition processing of multiplication results.
  • the matrix product may be composed of a multi-product multiplication operation for a plurality of homogeneous ciphertexts, and a partial component value extraction operation of the multiplication product result by summing the components of the multi-product multiplication operation result.
  • an operation of extracting all component values of C may be performed by repeating the above-described operation by performing rotation processing (slot movement) on one of the plurality of homogeneous ciphertexts.
  • the transpose matrix means a matrix (A T ) in which rows and columns are exchanged for an arbitrary matrix A.
  • the operation of finding the transpose matrix for the ciphertext is repeated a predetermined number of times for the ciphertext to extract the diagonal, rotate the extracted diagonal, and sum the rotated values. Can be performed.
  • FIG. 10 is a view for explaining an inverse matrix calculation method according to an embodiment of the present disclosure.
  • the inverse matrix operation can be implemented by applying the Schulze algorithm to the approximate inverse circuit. Specifically, as shown in Figure 10, encoded to an I value, a mode-down processing, the matrix multiplication process for the ct A, rescaling, ct V matrix multiplication process, ct V matrix multiplication process for the ct A matrix multiplication process It can be calculated through the rescaling process for.
  • MHEAAN may be applied to a DNN classification algorithm having an arbitrary number of layers. These algorithms are non-interactive and can keep the model itself encrypted.
  • the DNN classification model may be composed of l+1 layers, and may include ni nodes of each layer.
  • the 0th layer may be an input layer
  • the lth layer may be an output layer
  • the remaining layers may be hidden layers.
  • the algorithm of FIG. 11 or 12 may be used as the linear transform part in the above description.
  • a sigmoid activation function may be used, and a polynomial approximation of the sigmoid function may be used for the activation portion.
  • a 7th-order equation can be used, and an example is given in Equation 25.
  • ct a0 , ct W1 T , and ct b1 T may be input to the corresponding algorithm using the algorithm shown in FIG. 11, and ct z1 T may be obtained.
  • ct a1 T can be evaluated using the polynomial approximation (g(x)) of the sigmoid function.
  • the p coefficient bits are lost for each linear transform unit, and 3p+3 modulus bits are lost in each activation unit. Since the initial coefficient bit L is sufficiently large and boot scraping is used, evaluation of DNN classification having an arbitrary number of layers can be performed.
  • CNN convolutional neural network
  • RNN recurrent neural network
  • FIG. 11 is a diagram for explaining a linear transformation method from a column to a row according to an embodiment of the present disclosure.
  • a vector multiplication operation for ct a , ct W T is performed using a vector multiplication operation as illustrated in FIG. 6, and the operation result (ct (Wa) T ) and ct b T are calculated. By summing, ct z T can be output.
  • FIG. 12 is a view for explaining a linear conversion method from a row to a column according to an embodiment of the present disclosure.
  • a vector multiplication operation for ct a T and ct W is performed using the vector multiplication operation as illustrated in FIG. 6, and the result of the operation (ct Wa ) and ct b are summed, ctz Can output
  • the MHEAAN uses HEAAN that performs an approximate isomorphism, can perform efficient work in a matrix through multidimensional packing, and supports bootstrapping that works well even with many slots.
  • the encryption method according to various embodiments described above may be implemented in the form of program code for performing each step, and may be stored and distributed in a recording medium.
  • the apparatus on which the recording medium is mounted can perform operations such as encryption or encryption text processing described above.
  • Such recording media can be various types of computer readable media such as ROM, RAM, memory chips, memory cards, external hard, hard, CD, DVD, magnetic disks or magnetic tapes.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Theoretical Computer Science (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Algebra (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computational Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Databases & Information Systems (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Arrangements For Transmission Of Measured Signals (AREA)
  • Storage Device Security (AREA)

Abstract

암호화 방법이 개시된다. 본 암호화 방법은 복수의 메시지를 입력받는 단계, 복수의 메시지를 다변수로 정의되는 다항식으로 인코딩하는 단계, 및 다변수로 정의되는 다항식을 암호화하여 동형 암호문을 생성하는 단계를 포함한다.

Description

다변수 패킹을 이용하는 연산 장치 및 방법
본 개시는 다변수 패킹을 이용하는 연산 장치 및 방법에 관한 것으로, 복수의 메시지를 다변수를 이용한 다차원 행렬로 배치하여 하나의 암호문으로 생성할 수 있는 연산 장치 및 방법에 관한 것이다.
통신 기술이 발달하고, 전자 장치의 보급이 활발해짐에 따라, 전자 장치 간의 통신 보안을 유지하기 위한 노력이 지속적으로 이루어지고 있다. 이에 따라, 대부분의 통신 환경에서는 암호화/복호화 기술이 사용되고 있다.
암호화 기술에 의해 암호화된 메시지가 상대방에게 전달되면, 상대방은 메시지를 이용하기 위해서는 복호화를 수행하여야 한다. 이 경우, 상대방은 암호화된 데이터를 복호화하는 과정에서 자원 및 시간 낭비가 발생하게 된다. 또한, 상대방이 연산을 위해 일시적으로 메시지를 복호화한 상태에서 제3자의 해킹이 이루어지는 경우, 메시지가 제3자에게 손쉽게 유출될 수 있다는 문제점도 있었다.
이러한 문제를 해결하기 위하여 동형 암호화 방법이 연구되고 있다. 동형 암호화에 따르면, 암호화된 정보를 복호화하지 않고 암호문 자체에서 연산을 하더라도, 평문에 대해 연산한 후 암호화한 값과 동일한 결과를 얻을 수 있다. 따라서, 암호문을 복호화하지 않은 상태에서 각종 연산을 수행할 수 있다.
그러나 종래의 동형 암호화 방식은 행렬 곱에서 속도 및 비용에서 비효율이 있었다.
따라서 본 개시는 상술한 바와 같은 문제점을 해결하기 위한 고안된 것으로, 복수의 메시지를 다변수를 이용한 다차원 행렬로 배치하여 하나의 암호문으로 생성할 수 있는 연산 장치 및 방법을 제공하는 데 있다.
본 개시는 이상과 같은 목적을 달성하기 위한 것으로, 본 암호문 연산 방법은 복수의 메시지를 입력받는 단계, 상기 복수의 메시지를 다변수로 정의되는 다항식으로 인코딩하는 단계, 및 상기 다변수로 정의되는 다항식을 암호화하여 동형 암호문을 생성하는 단계를 포함한다.
이 경우, 상기 인코딩하는 단계는, 상기 다변수의 개수에 대응되는 다차원 텐서(tensor)로 배치하고, 상기 다차원 탠서로 배치된 복수의 메시지를 다항식으로 인코딩할 수 있다.
한편, 상기 다변수는 제1 변수 및 제2 변수를 포함하고, 상기 인코딩하는 단계는, 상기 복수의 메시지를 복수의 열 및 복수의 행으로 구성되는 행렬 형태로 배치하고, 상기 행렬 형태로 배치된 복수의 메시지를 제1 변수 및 제2 변수로 정의되는 다항식으로 인코딩할 수 있다.
이 경우, 상기 인코딩하는 단계는, 상기 행렬의 슬롯 각각을 상기 제1 변수 및 상기 제2 변수로 정의되는 다항식의 계수로 변환할 수 있다.
한편, 본 암호화 방법은 복수의 동형 암호문에 대한 연산 처리를 수행하는 단계를 더 포함할 수 있다.
이 경우, 상기 연산 처리는 행렬 곱이며, 상기 연산 처리를 수행하는 단계는, 상기 복수의 동형 암호문에 대한 하다마다 곱 연산을 수행하는 단계, 상기 하다마다 곱 연산 결과의 성분 합산을 통하여 행렬 곱 결과의 일부 성분 값을 산출하는 단계, 및 상기 복수의 동형 암호문 중 하나의 동형 암호문 내의 성분 위치를 이동하여 상기 하다마다 곱 연산을 수행하는 단계 및 상기 산출하는 단계를 반복하는 단계를 포함할 수 있다.
이 경우, 상기 하다마다 곱 연산을 수행하는 단계는, 상기 복수의 동형 암호문을 구성하는 복수의 성분 중 상기 일부 성분 값 산출에 반영되는 성분만 하다마다 곱 연산을 수행할 수 있다.
한편, 본 개시의 일 실시 예에 따른 연산 장치는 적어도 하나의 인스트럭션(instruction) 및 기결정된 복수의 소수 정보를 저장하는 메모리, 및 상기 적어도 하나의 인스트럭션을 실행하는 프로세서를 포함하고, 상기 프로세서는, 상기 적어도 하나의 인스트럭션을 실행함으로써, 복수의 메시지를 다변수로 정의되는 다항식으로 인코딩하고, 상기 다변수로 정의되는 다항식을 암호화하여 동형 암호문을 생성할 수 있다.
이 경우, 상기 프로세서는, 상기 다변수의 개수에 대응되는 다차원 텐서(tensor)로 배치하고, 상기 다차원 탠서로 배치된 복수의 메시지를 다항식으로 인코딩할 수 있다.
한편, 상기 다변수는 제1 변수 및 제2 변수를 포함하고, 상기 프로세서는, 상기 복수의 메시지를 복수의 열 및 복수의 행으로 구성되는 행렬 형태로 배치하고, 상기 행렬 형태로 배치된 복수의 메시지를 제1 변수 및 제2 변수로 정의되는 다항식으로 인코딩할 수 있다.
이 경우, 상기 프로세서는, 상기 행렬의 슬롯 각각을 상기 제1 변수 및 상기 제2 변수로 정의되는 다항식의 계수로 변환할 수 있다.
한편, 상기 프로세서는, 복수의 동형 암호문에 대한 연산 처리를 수행할 수 있다.
이 경우, 상기 연산 처리는 행렬 곱이며, 상기 프로세서는, 상기 복수의 동형 암호문에 대한 하다마다 곱 연산을 수행하고, 상기 하다마다 곱 연산 결과의 성분 합산을 통하여 행렬 곱 결과의 일부 성분 값을 산출하고, 상기 복수의 동형 암호문 중 하나의 동형 암호문 내의 성분 위치를 이동하여 상기 하다마다 곱 연산 및 상기 산출하는 동작을 반복하여 상기 행렬 곱 결과의 전체 성분 값을 산출할 수 있다.
이 경우, 상기 프로세서는, 상기 복수의 동형 암호문을 구성하는 복수의 성분 중 상기 일부 성분 값 산출에 반영되는 성분만 하다마다 곱 연산을 수행할 수 있다.
이상과 같은 본 개시의 다양한 실시 예들에 따르면, 복수의 메시지를 다변수를 활용하여 다차원으로 패킹할 수 있는바, 다변수로 패킹된 암호문에 대한 행렬 곱 과정에서 낮은 복잡도로 연산이 가능하다.
도 1은 본 개시의 일 실시 예에 따른 네트워크 시스템의 구조를 설명하기 위한 도면,
도 2는 본 개시의 일 실시 예에 따른 연산 장치의 구성을 나타낸 블럭도,
도 3은 본 개시의 일 실시 예에 따른 암호화 방법을 설명하기 위한 흐름도,
도 4는 본 개시의 일 실시 예에 따른 행(row) 합산 방법을 설명하기 위한 도면,
도 5는 본 개시의 일 실시 예에 따른 대각 추출(Diagonal Extraction) 방법을 설명하기 위한 도면,
도 6은 본 개시의 일 실시 예에 따른 벡터 곱(Matrix by Vector Multiplication) 방법을 설명하기 위한 도면,
도 7은 본 개시의 일 실시 예에 따른 행렬 곱(Matrix Multiplication) 방법을 설명하기 위한 도면,
도 8은 본 개시의 일 실시 예에 따른 치환 행렬(Permutation Matrix)의 행렬 곱을 설명하기 위한 도면,
도 9는 본 개시의 일 실시 예에 따른 전치(transposition) 행렬 생성방법을 설명하기 위한 도면,
도 10은 본 개시의 일 실시 예에 따른 역행렬 연산 방법을 설명하기 위한 도면,
도 11은 본 개시의 일 실시 예에 따른 열(column)에서 행(row)로 선형 변환 방법을 설명하기 위한 도면, 그리고,
도 12는 본 개시의 일 실시 예에 따른 행(row)에서 열(column)로 선형 변환 방법을 설명하기 위한 도면이다.
-
이하에서는 첨부 도면을 참조하여 본 개시에 대해서 자세하게 설명한다. 본 개시에서 수행되는 정보(데이터) 전송 과정은 필요에 따라서 암호화/복호화가 적용될 수 있으며, 본 개시 및 특허청구범위에서 정보(데이터) 전송 과정을 설명하는 표현은 별도로 언급되지 않더라도 모두 암호화/복호화하는 경우도 포함하는 것으로 해석되어야 한다. 본 개시에서 "A로부터 B로 전송(전달)" 또는 "A가 B로부터 수신"과 같은 형태의 표현은 중간에 다른 매개체가 포함되어 전송(전달) 또는 수신되는 것도 포함하며, 반드시 A로부터 B까지 직접 전송(전달) 또는 수신되는 것만을 표현하는 것은 아니다.
본 개시의 설명에 있어서 각 단계의 순서는 선행 단계가 논리적 및 시간적으로 반드시 후행 단계에 앞서서 수행되어야 하는 경우가 아니라면 각 단계의 순서는 비제한적으로 이해되어야 한다. 즉, 위와 같은 예외적인 경우를 제외하고는 후행 단계로 설명된 과정이 선행단계로 설명된 과정보다 앞서서 수행되더라도 개시의 본질에는 영향이 없으며 권리범위 역시 단계의 순서에 관계없이 정의되어야 한다. 그리고 본 명세서에서 "A 또는 B"라고 기재한 것은 A와 B 중 어느 하나를 선택적으로 가리키는 것뿐만 아니라 A와 B 모두를 포함하는 것도 의미하는 것으로 정의된다. 또한, 본 개시에서 "포함"이라는 용어는 포함하는 것으로 나열된 요소 이외에 추가로 다른 구성요소를 더 포함하는 것도 포괄하는 의미를 가진다.
본 개시에서는 본 개시의 설명에 필요한 필수적인 구성요소만을 설명하며, 본 개시의 본질과 관계가 없는 구성요소는 언급하지 아니한다. 그리고 언급되는 구성요소만을 포함하는 배타적인 의미로 해석되어서는 안 되며 다른 구성요소도 포함할 수 있는 비배타적인 의미로 해석되어야 한다.
그리고 본 개시에서 "값"이라 함은 스칼라값뿐만 아니라 벡터, 다항식 형태도 포함하는 개념으로 정의된다.
후술하는 본 개시의 각 단계의 수학적 연산 및 산출은 해당 연산 또는 산출을 하기 위해 공지되어 있는 코딩 방법 및/또는 본 개시에 적합하게 고안된 코딩에 의해서 컴퓨터 연산으로 구현될 수 있다.
이하에서 설명하는 구체적인 수학식은 가능한 여러 대안 중에서 예시적으로 설명되는 것이며, 본 개시의 권리 범위가 본 개시에 언급된 수학식에 제한되는 것으로 해석되어서는 아니된다.
설명의 편의를 위해서, 본 개시에서는 다음과 같이 표기를 정하기로 한다.
a ← D : 분포(D)에 따라서 원소(a)를 선택함
s1, s2 ∈ R : S1, S2 각각은 R 집합에 속하는 원소이다.
mod(q) : q 원소로 모듈(modular) 연산
「-」 : 내부 값을 반올림함
이하에서는 첨부된 도면을 이용하여 본 개시의 다양한 실시 예들에 대하여 구체적으로 설명한다.
도 1은 본 개시의 일 실시 예에 따른 네트워크 시스템의 구조를 설명하기 위한 도면이다.
도 1을 참조하면, 네트워크 시스템은 복수의 전자 장치(100-1 ~ 100-n), 제1 서버 장치(200), 제2 서버 장치(300)를 포함할 수 있으며, 각 구성들은 네트워크(10)를 통해 서로 연결될 수 있다.
네트워크(10)는 다양한 형태의 유무선 통신 네트워크, 방송 통신 네트워크, 광통신 네트워크, 클라우드 네트워크 등으로 구현될 수 있으며, 각 장치들은 별도의 매개체 없이 와이파이, 블루투스, NFC(Near Field Communication) 등과 같은 방식으로 연결될 수도 있다.
도 1에서는 전자 장치가 복수개(100-1 ~ 100-n)인 것으로 도시하였으나, 반드시 복수개의 전자 장치가 사용되어야 하는 것은 아니며 하나의 장치가 사용될 수도 있다. 일 예로, 전자 장치(100-1 ~ 100-n)는 스마트폰, 태블릿, 게임 플레이어, PC, 랩톱 PC, 홈서버, 키오스크 등과 같은 다양한 형태의 장치로 구현될 수 있으며, 이밖에 IoT 기능이 적용된 가전 제품 형태로도 구현될 수 있다.
사용자는 자신이 사용하는 전자 장치(100-1 ~ 100-n)를 통해서 다양한 정보를 입력할 수 있다. 입력된 정보는 전자 장치(100-1 ~ 100-n) 자체에 저장될 수도 있지만, 저장 용량 및 보안 등을 이유로 외부 장치로 전송되어 저장될 수도 있다. 도 1에서 제1 서버 장치(200)는 이러한 정보들을 저장하는 역할을 수행하고, 제2 서버 장치(300)는 제1 서버 장치(200)에 저장된 정보의 일부 또는 전부를 이용하는 역할을 수행할 수 있다.
각 전자 장치(100-1 ~ 100-n)는 입력된 정보를 동형 암호화하여, 동형 암호문을 제1 서버 장치(200)로 전송할 있다.
각 전자 장치(100-1 ~ 100-n)는 동형 암호화를 수행하는 과정에서 산출되는 암호화 노이즈, 즉, 에러를 암호문에 포함시킬 수 있다. 예를 들어, 각 전자 장치(100-1 ~ 100-n)에서 생성하는 동형 암호문은, 추후에 비밀 키를 이용하여 복호화하였을 때 메시지 및 에러 값을 포함하는 결과 값이 복원되는 형태로 생성될 수 있다.
일 예로, 전자 장치(100-1 ~ 100-n)에서 생성하는 동형 암호문은 비밀 키를 이용하여 복호화 하였을 때 다음과 같은 성질을 만족하는 형태로 생성될 수 있다.
[수학식 1]
Dec(ct, sk) = <ct, sk> = M+e(mod q)
여기서 < , >는 내적 연산(usual inner product), ct는 암호문, sk는 비밀 키, M은 평문 메시지, e는 암호화 에러 값, mod q는 암호문의 모듈러스(Modulus)를 의미한다. q는 스케일링 팩터(scaling factor)(Δ)가 메시지에 곱해진 결과 값 M보다 크게 선택되어야 한다. 에러 값 e의 절대값이 M에 비해서 충분히 작다면, 암호문의 복호화 값 M+e 는 유효숫자연산에서 원래의 메시지를 동일한 정밀도로 대체할 수 있는 값이다. 복호화된 데이터 중에서 에러는 최하위 비트(LSB) 측에 배치되고, M은 차하위 비트 측에 배치될 수 있다.
메시지의 크기가 너무 작거나 너무 큰 경우, 스케일링 팩터를 이용하여 그 크기를 조절할 수도 있다. 스케일링 팩터를 사용하게 되면, 정수 형태의 메시지뿐만 아니라 실수 형태의 메시지까지도 암호화할 수 있게 되므로, 활용성이 크게 증대할 수 있다. 또한, 스케일링 팩터를 이용하여 메시지의 크기를 조절함으로써, 연산이 이루어지고 난 이후의 암호문에서 메시지들이 존재하는 영역, 즉, 유효 영역의 크기도 조절될 수 있다.
실시 예에 따라, 암호문 모듈러스 q는 다양한 형태로 설정되어 사용될 수 있다. 일 예로, 암호문의 모듈러스는 스케일링 팩터 Δ의 지수승 q=ΔL 형태로 설정될 수 있다. Δ가 2라면, q=210 과 같은 값으로 설정될 수 있다. 또는, q는 도 8에 도시된 바와 같이 일정 조건을 만족하는 2의 지수승의 조합으로 표현될 수 있다.
또 다른 예로, 암호문 모듈러스는 복수의 서로 다른 스케일링 팩터들을 곱한 값으로 설정될 수도 있다. 각 팩터들은 유사 범위 이내의 값, 즉, 서로 비슷한 크기의 값으로 설정될 수 있다. 예를 들어, q=q1 q2 q3 ··· qx로 설정될 수 있으며, q1, q2, q3 ,…, qx 각각은 스케일링 인수 Δ와 비슷한 크기이며 서로 소 관계의 값으로 설정될 수 있다.
한편, 각 전자 장치(100-1 ~ 100-n)는 복수의 정보를 하나의 동형 암호문으로 생성할 수 있다. 예를 들어, 전자 장치(100)는 GPS 정보, 사용자 ID 정보, 성별 정보 등 여러 정보를 저장할 수 있으며, 전자 장치(100)는 상술한 바와 같은 여러 정보를 패킹하여 하나의 동형 암호문으로 생성할 수 있다. 패킹 동작에 대해서는 후술한다.
제1 서버 장치(200)는 수신된 동형 암호문을 복호화하지 않고, 암호문 상태로 저장할 수 있다.
제2 서버 장치(300)는 동형 암호문에 대한 특정 처리 결과를 제1 서버 장치(200)로 요청할 수 있다. 제1 서버 장치(200)는 제2 서버 장치(300)의 요청에 따라 특정 연산을 수행한 후, 그 결과를 제2 서버 장치(300)로 전송할 수 있다.
일 예로, 두 개의 전자 장치(100-1, 100-2)가 전송한 암호문 ct1, ct2가 제1 서버 장치(200)에 저장된 경우, 제2 서버 장치(300)는 두 전자 장치(100-1, 100-2)로부터 제공된 정보들을 합산한 값을 제1 서버 장치(200)로 요청할 수 있다. 제1 서버 장치(200)는 요청에 따라 두 암호문을 합산하는 연산을 수행한 후, 그 결과 값(ct1 + ct2)을 제2 서버 장치(300)로 전송할 수 있다.
동형 암호문의 성질상, 제1 서버 장치(200)는 복호화를 하지 않은 상태에서 연산을 수행할 수 있고, 그 결과 값도 암호문 형태가 될 수 있다.
제1 서버 장치(200)는 연산 결과 암호문을 제2 서버 장치(300)로 전송할 수 있다. 제2 서버 장치(300)는 수신된 연산 결과 암호문을 복호화하여, 각 동형 암호문들에 포함된 데이터들의 연산 결과값을 획득할 수 있다. 그리고 제1 서버 장치(200)는 사용자 요청에 따라 연산을 수차례 수행할 수 있다.
한편, 제1 서버 장치(200)는 기설정된 결과를 출력하기 위한 학습 모델을 저장할 수 있으며, 제1 서버 장치(200)는 학습 모델을 상술한 동형 암호문을 이용하여 학습하거나, 학습 모델에 동형 암호문을 넣어 연산 결과를 출력할 수 있다. 이러한 학습 모델은 심층 신경망(DNN, Deep Neural Network) 구조일 수 있다.
한편, 도 1에서는 제1 전자 장치 및 제2 전자 장치에서 암호화를 수행하고, 제2 서버 장치가 복호화를 수행하는 경우를 도시하였으나, 이에 한정되는 것은 아니다.
도 2는 본 개시의 일 실시 예에 따른 연산 장치의 구성을 나타낸 블럭도이다.
예를 들어, 도 1의 시스템에서 제1 전자 장치, 제2 전자 장치 등과 같이 동형 암호화를 수행하는 장치, 제1 서버 장치 등과 같이 동형 암호문을 연산하는 장치, 제2 서버 장치 등과 같이 동형 암호문을 복호하는 장치 등을 연산 장치라고 지칭할 수 있다. 이러한 연산 장치는 PC(Personal computer), 노트북, 스마트폰, 태블릿, 서버 등 다양한 장치일 수 있다.
도 2를 참조하면, 연산 장치(400)는 통신 장치(410), 메모리(420), 디스플레이(430), 조작 입력 장치(440) 및 프로세서(450)를 포함할 수 있다.
통신 장치(410)는 연산 장치(400)를 외부 장치(미도시)와 연결하기 위해 형성되고, 근거리 통신망(LAN: Local Area Network) 및 인터넷망을 통해 외부 장치에 접속되는 형태뿐만 아니라, USB(Universal Serial Bus) 포트 또는 무선 통신(예를 들어, WiFi 802.11a/b/g/n, NFC, Bluetooth) 포트를 통하여 접속되는 형태도 가능하다. 이러한 통신 장치(410)는 송수신부(transceiver)로 지칭될 수도 있다.
통신 장치(410)는 공개 키를 외부 장치로부터 수신할 수 있으며, 연산 장치(400) 자체적으로 생성한 공개 키를 외부 장치로 전송할 수 있다.
그리고 통신 장치(410)는 외부 장치로부터 메시지를 수신할 수 있으며, 생성한 동형 암호문을 외부 장치로 송신할 수 있다.
또한, 통신 장치(410)는 암호문 생성에 필요한 각종 파라미터를 외부 장치로부터 수신할 수 있다. 한편, 구현시에 각종 파라미터는 후술하는 조작 입력 장치(440)를 통하여 사용자로부터 직접 입력받을 수 있다.
또한, 통신 장치(410)는 외부 장치로부터 동형 암호문에 대한 연산을 요청받을 수 있으며, 그에 따라 계산된 결과를 외부 장치에 전송할 수 있다. 여기서 요청받은 연산은 덧셈, 뺄셈, 곱셈(예를 들어, 모듈러 곱셈 연산)과 같은 연산일 수 있으며, 행렬 합, 행렬 변환 등일 수 있다. 각종 연산 동작에 대해서는 도 4 내지 도 12을 참조하여 후술한다.
메모리(420)에는 연산 장치(400)에 관한 적어도 하나의 인스트럭션(instruction)이 저장될 수 있다. 예를 들어, 메모리(420)에는 본 개시의 다양한 실시 예에 따라 연산 장치(400)가 동작하기 위한 각종 프로그램(또는 소프트웨어)이 저장될 수 있다.
이러한 메모리(420)는 RAM이나 ROM, 플래시 메모리, HDD, 외장 메모리, 메모리 카드 등과 같은 다양한 형태로 구현될 수 있으며, 어느 하나로 한정되는 것은 아니다.
메모리(420)는 암호화할 메시지를 저장할 수 있다. 여기서 메시지는 사용자가 각종 인용한 각종 신용 정보, 개인 정보 등일 수 있으며, 연산 장치(400)에서 사용되는 위치 정보, 인터넷 사용 시간 정보 등 사용 이력 등과 관련된 정보일 수도 있다.
그리고 메모리(420)는 공개 키를 저장할 수 있으며, 연산 장치(400)가 직접 공개 키를 생성한 장치인 경우, 비밀 키뿐만 아니라, 공개 키 및 비밀 키 생성에 필요한 각종 파라미터를 저장할 수 있다.
그리고 메모리(420)는 후술한 과정에서 생성된 동형 암호문을 저장할 수 있다. 그리고 메모리(420)는 외부 장치에서 전송한 동형 암호문을 저장할 수도 있다. 또한, 메모리(420)는 후술하는 연산 과정에서의 결과물인 연산 결과 암호문을 저장할 수도 있다.
메모리(420)는 학습 모델을 저장할 수 있다. 이러한 학습 모델은 동형 암호문을 이용하여 학습될 수 있으며, 학습 모델의 연산 과정에서는 행렬 연산이 이용될 수 있다.
디스플레이(430)는 연산 장치(400)가 지원하는 기능을 선택받기 위한 사용자 인터페이스 창을 표시한다. 예를 들어, 디스플레이(430)는 연산 장치(400)가 제공하는 각종 기능을 선택받기 위한 사용자 인터페이스 창을 표시할 수 있다. 이러한 디스플레이(430)는 LCD(liquid crystal display), OLED(Organic Light Emitting Diodes) 등과 같은 모니터일 수 있으며, 후술할 조작 입력 장치(440)의 기능을 동시에 수행할 수 있는 터치 스크린으로 구현될 수도 있다.
디스플레이(430)는 비밀 키 및 공개 키 생성에 필요한 파라미터의 입력을 요청하는 메시지를 표시할 수 있다. 한편, 구현시에 암호화 대상은 사용자가 직접 선택할 수도 있고, 자동으로 선택될 수 있다. 즉, 암호화가 필요한 개인 정보 등은 사용자가 직접 메시지를 선택하지 않더라도 자동으로 설정될 수 있다.
조작 입력 장치(440)는 사용자로부터 연산 장치(400)의 기능 선택 및 해당 기능에 대한 제어 명령을 입력받을 수 있다. 예를 들어, 조작 입력 장치(440)는 사용자로부터 비밀 키 및 공개 키 생성에 필요한 파라미터를 입력받을 수 있다. 또한, 조작 입력 장치(440)는 사용자로부터 암호화될 메시지를 설정받을 수 있다.
프로세서(450)는 연산 장치(400)의 전반적인 동작을 제어한다. 예를 들어, 프로세서(450)는 메모리(420)에 저장된 적어도 하나의 인스트럭션을 실행함으로써 연산 장치(400)의 동작을 전반적으로 제어할 수 있다. 이러한 프로세서(450)는 CPU(central processing unit), ASIC(application-specific integrated circuit)과 같은 단일 장치로 구성될 수 있으며, CPU, GPU(Graphics Processing Unit) 등의 복수의 장치로 구성될 수도 있다.
프로세서(450)는 전송하고자 하는 메시지가 입력되면 메모리(420)에 저장할 수 있다. 그리고 프로세서(450)는 메모리(420)에 저장된 각종 설정 값 및 프로그램을 이용하여, 메시지를 동형 암호화할 수 있다. 이 경우, 공개 키가 사용될 수 있다.
프로세서(450)는 암호화를 수행하는데 필요한 공개 키를 자체적으로 생성하여 사용할 수도 있고, 외부 장치로부터 수신하여 사용할 수도 있다. 일 예로, 복호화를 수행하는 제2 서버 장치(300)가 공개 키를 다른 장치들에게 배포할 수 있다.
자체적으로 키를 생성하는 경우, 프로세서(450)는 Ring-LWE 기법을 이용하여 공개 키를 생성할 수 있다. 예를 들어 설명하면, 프로세서(450)는 먼저 각종 파라미터 및 링을 설정하여, 메모리(420)에 저장할 수 있다. 파라미터의 예로는 평문 메시지 비트의 길이, 공개 키 및 비밀 키의 크기 등이 있을 수 있다.
링은 다음과 같은 수학식으로 표현될 수 있다.
[수학식 2]
Figure PCTKR2019017237-appb-I000001
여기서 R은 링, Zq는 계수, f(x)는 n차 다항식이다.
링(Ring)이란 기설정된 계수를 가지는 다항식의 집합으로, 원소들 사이에 덧셈과 곱셈이 정의되어 있으며 덧셈과 곱셈에 대해서 닫혀 있는 집합을 의미한다. 이러한 링은 환으로 지칭될 수 있다.
일 예로, 링은 계수가 Zq인 n차 다항식의 집합을 의미한다. 예를 들어, n이 Φ(N)일 때, N차 사이클로토믹 다항식 (N-th cyclotomic polynomial)을 의미할 수 있다. (f(x))란 f(x)로 생성되는 Zq[x]의 이데알(ideal)을 나타낸다. Euler totient 함수 Φ(N)이란 N과 서로 소이고 N보다 작은 자연수의 개수를 의미한다. ΦN(x)를 N차 사이클로토믹 다항식으로 정의하면, 링은 다음과 같은 수학식 3으로도 표현될 수 있다.
[수학식 3]
Figure PCTKR2019017237-appb-I000002
한편, 상술한 수학식 3의 링은 평문 공간에서 복소수를 가질 수 있다. 한편, 동형 암호문에 대한 연산 속도를 향상하기 위하여, 상술한 링의 집합 중 평문 공간이 실수인 집합만을 이용할 수도 있다.
이와 같은 링이 설정되면, 프로세서(450)는 링으로부터 비밀 키(sk)를 산출할 수 있다.
[수학식 4]
Figure PCTKR2019017237-appb-I000003
여기서, s(x)는 작은 계수로 랜덤하게 생성한 다항식을 의미한다.
그리고 프로세서(450)는 링으로부터 제1 랜덤 다항식(a(x))을 산출할 수 있다. 제1 랜덤 다항식은 다음과 같이 표현될 수 있다.
[수학식 5]
Figure PCTKR2019017237-appb-I000004
또한, 프로세서(450)는 에러를 산출할 수 있다. 예를 들어, 프로세서(450)는 이산 가우시안 분포 또는 그와 통계적 거리가 가까운 분포로부터 에러를 추출할 수 있다. 이러한 에러는 다음과 같이 표현될 수 있다.
[수학식 6]
Figure PCTKR2019017237-appb-I000005
에러까지 산출되면, 프로세서(450)는 제1 랜덤 다항식 및 비밀 키에 에러를 모듈 연산하여 제2 랜덤 다항식을 산출할 수 있다. 제2 랜덤 다항식은 다음과 같이 표현될 수 있다.
[수학식 7]
Figure PCTKR2019017237-appb-I000006
최종적으로 공개 키(pk)는 제1 랜덤 다항식 및 제2 랜덤 다항식을 포함하는 형태로 다음과 같이 설정될 수 있다.
[수학식 8]
Figure PCTKR2019017237-appb-I000007
상술한 키 생성 방법은 일 예에 불과하므로, 반드시 이에 한정되는 것은 아니며, 이 밖에 다른 방법으로 공개 키 및 비밀 키를 생성할 수도 있음은 물론이다.
한편, 프로세서(450)는 공개 키가 생성되면, 다른 장치들에 전송되도록 통신 장치(410)를 제어할 수 있다.
그리고 프로세서(450)는 메시지에 대한 동형 암호문을 생성할 수 있다. 예를 들어, 프로세서(450)는 메시지에 대해서 앞서 생성된 공개 키를 적용하여 동형 암호문을 생성할 수 있다.
복호화할 메시지는 외부 소스로부터 수신할 수도 있고, 연산 장치(400)에 직접 구비 또는 연결된 입력 장치로부터 입력될 수도 있다. 예를 들어, 연산 장치(400)가 터치 스크린이나 키 패드를 포함하는 경우, 프로세서(450)는 사용자가 터치 스크린이나 키 패드를 통해 입력하는 데이터를 메모리(420)에 저장한 후, 암호화할 수 있다. 생성된 동형 암호문은 복호화하였을 때 메시지에 스케일링 팩터를 반영한 값에 에러를 더한 결과값으로 복원되는 형태가 될 수 있다.
그리고 프로세서(450)는 동형 암호문이 생성되면 메모리(420)에 저장하거나, 사용자 요청 또는 기 설정된 디폴트 명령에 따라 동형 암호문을 다른 장치에 전송하도록 통신 장치(410)를 제어할 수 있다.
한편, 본 개시의 일 실시 예에 따르면, 암호화 시에 패킹(packing)이 수행될 수 있다. 여기서 패킹은 복수의 메시지를 하나의 암호문으로 생성하는 것이다.
이와 같이 동형 암호화에서 패킹을 이용하게 되면, 다수의 메시지를 하나의 암호문으로 암호화하는 것이 가능해진다. 이 경우, 연산 장치(400)에서 각 암호문들 간의 연산을 수행하게 되면, 결과적으로 다수의 메시지에 대한 연산이 병렬적으로 처리되므로 연산 부담이 크게 줄어들게 된다.
예를 들어, 프로세서(450)는 메시지가 복수의 메시지 벡터로 이루어지는 경우, 복수의 메시지 벡터를 병렬적으로 암호화할 수 있는 형태의 다항식으로 변환할 수 있다.
이때, 프로세서(450)는 복수의 메시지를 다변수로 정의되는 다항식으로 변환하여 동형 암호문을 생성할 수 있다. 예를 들어, 프로세서(450)는 복수의 메시지를 다변수 개수에 대응되는 다차원 덴서로 배치하고, 다차원 탠서로 배치되는 복수의 메시지를 다항식으로 변환할 수 있다. 여기서, 다변수(multivariate)는 독립 변수가 복수개인 것을 의미하며, 텐서(tensor)는 두개 이상의 독립적인 방향을 표시할 때 사용되는 기하학적인 양이다.
즉, 다변수가 제1 변수(x), 제2 변수(y)로 구성되는 2개 변수를 갖는 경우, 복수의 메시지를 복수의 열 및 복수의 행으로 구성되는 행렬 형태로 배치하고, 행렬 형태로 배치된 복수의 메시지(즉, 행렬의 슬롯 각각)를 제1 변수 및 제2 변수로 정의되는 다항식의 계수로 변환하여 인코딩을 수행할 수 있다. 이와 같은 다변수 패킹 동작의 구체적인 동작은 후술한다. 이에 따라, 복수의 메시지 벡터를 패킹한 암호문을 생성할 수 있다.
그리고 프로세서(450)는 생성된 다항식에 스케일링 팩터를 승산하고 공개 키를 이용하여 동형 암호화할 수도 있다.
그리고 프로세서(450)는 동형 암호문에 대한 복호가 필요한 경우, 동형 암호문에 비밀 키를 적용하여 다항식 형태의 복호문을 생성하고, 다항식 형태의 복호문을 디코딩하여 메시지를 생성할 수 있다. 이때 생성한 메시지는 앞서 설명한 수학식 1에서 언급한 바와 같이 에러를 포함할 수 있다.
그리고 프로세서(450)는 암호문에 대한 연산을 수행할 수 있다. 예를 들어, 프로세서(450)는 동형 암호문에 대해서 암호화된 상태를 유지한 상태에서 덧셈, 뺄셈, 또는 곱셈 등의 연산을 수행할 수 있다. 또한, 프로세서(450)는 동형 암호문에 대해서 암호된 상태에서 행렬 연산을 수행할 수 있다.
구체적으로, 복수의 메시지를 다차원 텐서로 배치하는 경우, 메시지 상태에서의 행렬 변환과 암호화된 상태(즉, 동형 암호문 상태)에서의 행렬 변환은 동일하다. 암호문에 대한 행렬 연산이 필요한 경우에도, 암호문을 평문으로 복호할 필요 없이 암호문 상태에서 연산을 수행할 수 있다.
한편, 단말 장치(100)는 연산이 완료되면, 연산 결과 데이터로부터 유효 영역의 데이터를 검출할 수 있다. 예를 들어, 단말 장치(100)는 연산 결과 데이터를 라운딩 처리를 수행하여 유효 영역의 데이터를 검출할 수 있다.
여기서, 라운딩 처리란 암호화된 상태에서 메시지의 반올림(round-off)을 진행하는 것을 의미하며, 다르게는 리스케일링(rescaling)이라고 할 수도 있다. 예를 들어, 단말 장치(100)는 암호문 각각의 성분에 스케일링 인수의 역수인 Δ-1을 곱하고 반올림하여, 노이즈 영역을 제거할 수 있다. 노이즈 영역은 스케일링 팩터의 크기에 대응되도록 결정될 수 있다. 결과적으로 노이즈 영역이 제외된 유효 영역의 메시지를 검출할 수 있다. 암호화 상태에서 진행되므로 추가적인 에러가 발생하지만 크기는 충분히 작으므로 무시할 수 있다.
또한, 단말 장치(100)는 연산 결과 암호문 내의 근사 메시지 비중이 임계치를 초과하면, 연산 결과 암호문의 평문 공간을 확장할 수 있다. 예를 들어, 상술한 수학식 1에서 q가 M보다 작다면 M+e(mod q)는 M+e와 다른 값을 가지므로 복호화가 불가능해진다. 따라서, q 값은 항상 M보다 크게 유지되어야 한다. 하지만, 연산이 진행됨에 따라 q 값은 점차 감소하게 된다. 평문 공간의 확장이란 암호문 ct를 더 큰 모듈러스(modulus)를 가지는 암호문으로 변화시키는 것을 의미한다. 평문 공간을 확장하는 동작은 다르게는 재부팅(rebooting)이라 할 수도 있다. 재부팅을 수행함에 따라, 암호문은 다시 연산이 가능한 상태가 될 수 있다.
한편, 이하에서는 본 개시에 따른 패킹 동작을 설명한다.
이하에서 설명할 MHEAAN은 탠서(tensor) 패킹 방법과 다차원의 회전을 이용하여 HEAAN을 일반화한 것이다.
먼저, m-RLWE(Multivariate RLWE)는 기존의 Ring-LWE 기법을 다음의 수학식 9와 같이 다변수로 적용한 것이다.
[수학식 9]
Figure PCTKR2019017237-appb-I000008
여기서, N0 및 N1은 2의 거듭제곱이다.
한편,
Figure PCTKR2019017237-appb-I000009
을 가정하면, 수학식 9는
Figure PCTKR2019017237-appb-I000010
로 표현할 수 있으며, 이는 기존의 Ring-LWE 기법과 같게 된다.
이와 같이 본 개시의 MHEAAN 기술은 사이클로토믹 다항식을 만족하는 x1, x2(일반적으로는 x1, …. xs)갖는 m-RLWE에 기초한다.
상술한 바와 같이 MHEAAN은 HEAAN을 M 거듭제곱의 경우로 일반화한 것이다. 예를 들어, MHEAAN에서의 암호화 처리는 다음과 같이 나타낼 수 있다.
먼저, 1)
Figure PCTKR2019017237-appb-I000011
크기의 복소수 값의 텐서를
Figure PCTKR2019017237-appb-I000012
을 이용하여 인코딩하여 링에 속하는 m(x)을 생성할 수 있다. 그리고 2) 링(R'l)에 대응하는 m-RLWE 인스턴스(a(x), b(x))의 결과로 마스크 처리하고, 3) 텐서(
Figure PCTKR2019017237-appb-I000013
)가 인코딩된 메시지(m(x))를 암호화 처리하여 동형 암호문(ct)을 생성하는 것이다. 이러한 과정을 통하여 생성된 암호문은 텐서를 암호화하였다고 지칭될 수 있다.
상술한 바와 같은 HEAAN은 아래의 수학식 10과 같이 MHEAAN에서 s=0인 특별한 경우로 나타낼 수 있다.
[수학식 10]
Figure PCTKR2019017237-appb-I000014
한편, s=1인 경우, 즉 2차원 패킹은 다음과 같은 수학식 11로 나타낼 수 있다.
[수학식 11]
Figure PCTKR2019017237-appb-I000015
구체적으로, 수학식 11을 참조하면, 복수의 메시지는 다변수로 정의되는 메시지로 인코딩되고, 해당 메시지는 암호화되어 동형 암호문을 생성할 수 있다.
이하에서는 MHEAAN에서의 각종 연산 동작을 설명한다.
- 키 생성(MHEAAN.KeyGEN(1λ))
키 생성은 MHEAAN에 필요한 각종 파라미터 값을 생성하는 연산으로, 보안 매개변수(λ)가 주어지는 경우, 사이클로토믹 링에 대응되는 정수(M), 가장 큰 암호문 모듈러스 레벨에 대응되는 정수(L), 분산 파라미터(ρ, σ, h)가 설정(또는 출력)될 수 있다.
그리고 비밀, 에러, 암호 각각의 과정에서 사용될 분포(Xenc=ZO(ρ), Xerr=DG(σ), Xkey=HWT(h))가 설정될 수 있으며, 상기 설정된 분포로부터 비밀(s ←Xkey), 랜덤(a←R'L), 에러(e←Xerr) 등이 산출될 수 있다.
또한, 산출된 비밀, 랜덤, 에러를 이용하여 비밀 키(sk←(s, 1)), 제2 랜덤(b←-a·s + e + 2Ls(mod R'2·L)) 및 공개 키(pk←(a, b)∈R'2 L )를 산출할 수 있다. 그리고,
- 키 생성(MHEAAN.KeyGENsk(s))
암호문 연산과정에서 사용될 스위칭 키(Switching key) 및 평가 키(evaluation key)를 생성하는 연산으로, 스위칭 키는 다음의 수학식 12과 같이 출력될 수 있으며, 평가 키는 다음의 수학식 13과 같이 출력될 수 있다.
[수학식 12]
Figure PCTKR2019017237-appb-I000016
여기서, a는 R'2·L에서 산출되는 값, b는 -a·s + e + 2Ls(mod R'2·L)에서 산출되는 값이다.
[수학식 13]
Figure PCTKR2019017237-appb-I000017
- 인코딩(MHEAAN.Encode(
Figure PCTKR2019017237-appb-I000018
, p))
인코딩은 복수의 메시지를 다변수의 개수에 대응되는 다차원 텐서로 배치하고, 다차원 탠서로 배치된 복수의 메시지를 다항식으로 인코딩하는 연산으로, 아래의 수학식 14를 참조하여, 복수의 메시지에 대응되는 텐서를 다항식으로 변환할 수 있다.
[수학식 14]
Figure PCTKR2019017237-appb-I000019
여기서 m 은 다변수를 갖는 다항식,
Figure PCTKR2019017237-appb-I000020
텐서로
Figure PCTKR2019017237-appb-I000021
을 만족하고, n는 N/2와 같거나 작고, p는 l보다 작은 정수이다.
-디코딩(MHEAAN.Decode(m, p))
디코딩 연산은 평문(다항식)을 다음과 같은 수학식 15를 이용하여 탠서로 변환하는 연산이다.
[수학식 15]
Figure PCTKR2019017237-appb-I000022
여기서,
Figure PCTKR2019017237-appb-I000023
는
Figure PCTKR2019017237-appb-I000024
을 만족하는 텐서, p는 정밀 비트(precision bit), m은 다항식 형태의 평문이다.
- 암호화(MHEAAN.Encpk(m))
암호화 연산은 다항식 형태의 평문을 동형 암호문으로 변환하는, 즉 암호화 처리하는 연산이다.
[수학식 16]
Figure PCTKR2019017237-appb-I000025
여기서 ct는 암호문, v는 Xenc에서 산출된 값, e0, e1 각각은 Xerr에서 샘플링된 에러이고, pk는 공개 키이다.
- 복호화(MHEAAN.Decsk(ct))
복호화는 암호문을 평문으로 변환하는 연산이다. 이러한 복호화 연산 과정에서는 다변수로 정의되는 암호문(ct = (co, c1) ∈ R'2 l))에 대해서 co·s + c1(mod R'l)을 출력할 수 있다.
- 덧셈연산(MHEAAN.Add(ct1, ct2))
입력된 두 동형 암호문(ct1, ct2)의 합산 값(ctadd ←ct1 + ct2)을 출력하는 연산으로, 합산 값(ctadd)은 텐서
Figure PCTKR2019017237-appb-I000026
에 대한 암호문일 수 있다.
- 상수 곱셈 연산(MHEAAN.CMulteevk(ct,C,p))
상수 곱셈 연산은 동형 암호문에 상수 값을 곱셈하는 연산으로, 상수 값에 대응되는 상수 텐서를 인코딩하고, 인코딩된 텐서와 암호문을 이용하여 다음과 같은 수학식 17을 연산할 수 있다.
[수학식 17]
Figure PCTKR2019017237-appb-I000027
여기서, c는 인코딩된 상수 텐서이고, ct는 암호문이고, Ctcmult는 동형 암호문에 대한 상수곱 값으로,
Figure PCTKR2019017237-appb-I000028
에 대한 암호문일 수 있다.
- 다항식 곱셈 연산(MHEAAN.PolyMultevk(ct, g, p))
다항식 곱셈 연산은 동형 암호문에 다항식 형태의 상수(c)를 곱하는 연산으로, 상수 텐서를 인코딩하는 단계가 없다는 점을 빼고는 앞서 설명한 상수 곱셈 연산과 동일하다.
- 곱셈 연산(MHEAAN.Multevk(ct1, ct2))
입력된 두 동형 암호문(ct1 = (a1, b1), ct2 = (a2, b2))의 곱셈 값(ctmult ← (d1, d2) + 「2-L·d0·evk」(mod R'l)을 출력하는 연산으로, 곱셈 값(ctmult)은 텐서
Figure PCTKR2019017237-appb-I000029
에 대한 암호문일 수 있다. 여기서, (d0, d1, d2) = (a1a2, a1b2+a2b1, b1b2)(mod R'l)이다.
- 리스케일링(MHEAAN.Decsk(ct,p))
리스케일링은 입력된 암호문에 정수(p)를 이용하여 모듈 연산하는 것으로, 다음과 같은 수학식 17을 연산할 수 있다.
[수학식 18]
Figure PCTKR2019017237-appb-I000030
여기서, ct는 입력된 암호문, ct는 리스케일링된 암호문이다.
한편, 정수 벡터(k=(k0,...,ks))에 대해서 다음의 수학식 19를 만족하는 경우, 수학식 19와 같은 변환 동작은 컨쥬게이터 또는 회전 연산에 이용될 수 있다.
[수학식 19]
Figure PCTKR2019017237-appb-I000031
- 컨쥬게이트(MHEAAN.Conjugatecjk(ct))
컨쥬게이트 키(conjugation key, cjk)를 수학식 20과 같이 설정한다면, 수학식 21과 같은 컨쥬게이션 결과를 출력할 수 있다.
[수학식 20]
Figure PCTKR2019017237-appb-I000032
[수학식 21]
Figure PCTKR2019017237-appb-I000033
여기서, (a', b')는 (k-1(a), k-1(b))(mod R'l)이고, ctcj는 컨쥬게이션 결과로, 컨쥬게이션된 평문 텐서에 대한 암호문일 수 있다.
- 행렬 회전(MHEAAN.Rotaterrtk(ct;r))
회전 키(rotation key, rtk)를 수학식 22와 같이 설정한다면, 수학식 23과 같은 회전 결과를 출력할 수 있다.
[수학식 22]
Figure PCTKR2019017237-appb-I000034
[수학식 23]
Figure PCTKR2019017237-appb-I000035
여기서, (a', b')는 (kgr(a), kgr(b))(mod R'l)이고, ctrt는 회전 결과로, i차원에서 평문이 ri에 의해 회전된 평문(rt(
Figure PCTKR2019017237-appb-I000036
,r))에 대한 암호문일 수 있다.
이와 같이, 링(ring)에 대한 m-RLWE 문제의 경도는 RLWE 문제로부터 감소한 것으로 나타난다. 그리고 MHEAAN은 리스케일 처리와 같은 HEAAN의 모든 이점을 갖는다. 그리고 이 스킴은 복소수 값의 근사계산에 대한 힙리적인 솔루션이 될 수 있다. 이하에서는 2차원 구조 표준 HE 연산과 같은 행렬 연산을 지원하는 2차원 구조를 설명한다.
이와 같이 본 개시에 따른 MHEAAN 기술이 적용되는 경우, 평문 슬롯의 행렬에 대응하는 2차원 경우에, 행렬 곱은 Fox 행렬 곱 알고리즘을 이용하여 손쉽게 수행될 수 있다. 그리고 링의 급수적으로 클 것을 요구하지 않으며, 복소수 알고리즘의 일부분으로 행렬 곱을 수행할 수 있다.
또한, 분할 및 정복(conqurer) 알고리즘과의 결합도 가능하기 때문에 행렬 크기도 문제되지 않는다. 행렬 전환과 같은 다양한 행렬 연산을 수행할 수 있다.
이상과 같이 본 개시에 따른 연산 장치는 복수의 메시지를 다변수를 활용하여 다차원으로 패킹할 수 있는바, 다변수로 패킹된 암호문에 대한 행렬 곱 과정에서 낮은 복잡도로 연산이 가능하다.
한편, 도 2를 도시하고 설명함에 있어, 연산 장치가 키도 생성하고, 메시지 암호화를 수행하고, 암호문에 대한 복호화도 수행하는 것으로 설명하였지만, 구현시에 연산 장치는 키만을 생성하거나, 암호화 동작만을 수행하거나, 암호문에 대한 연산만을 수행하는 등 일부 동작만을 수행할 수도 있다.
도 3은 본 개시의 일 실시 예에 따른 암호화 방법을 설명하기 위한 흐름도이다.
도 3을 참조하면, 먼저 복수의 메시지를 입력받는다(S310). 예를 들어, 복수의 메시지는 외부 장치로부터 수신된 것일 수 있으며, 장치 내부적으로 생성하거나 사용자가 입력한 것일 수 있다. 또한, 복수의 메시지 중 일부는 자체적으로 생성한 것이고, 나머지는 외부에서 수신되거나 사용자가 입력한 것일 수 있다.
복수의 메시지를 다변수로 정의되는 다항식으로 인코딩한다(S320). 구체적으로, 다변수의 개수에 대응되는 다차원 텐서(tensor)로 배치하고, 다차원 탠서로 배치된 복수의 메시지를 다항식으로 인코딩할 수 있다. 예를 들어, 다변수가 x, y로 구성되는 2개의 변수인 경우, 복수의 메시지를 복수의 열 및 복수의 행으로 구성되는 행렬 형태로 배치하고, 행렬 형태로 배치된 복수의 메시지를 제1 변수(x) 및 제2 변수(y)로 정의되는 다항식으로 인코딩할 수 있다.
그리고 다변수로 정의되는 다항식을 암호화하여 동형 암호문을 생성할 수 있다.
한편, 상술한 바와 같은 동형 암호문이 생성되면, 생성된 동형 암호문에 대한 연산 처리를 수행할 수 있다. 이러한 연산 처리는 하나의 동형 암호문을 대상으로 할 수 있으며, 복수의 동형 암호문에 대한 덧셈, 곱셈, 뺄셈, 행렬 곱 등의 연산일 수 있다. 이하에서는 도 4 내지 도 12를 참조하면, 본 개시에 따른 다양한 연산 동작을 설명한다.
상술한 바와 같이 본 개시의 암호화 방법은 복수의 메시지를 다변수를 활용하여 다차원으로 패킹할 수 있는바, 다변수로 패킹된 암호문에 대한 행렬 곱 과정에서 낮은 복잡도로 연산이 가능하다. 도 3과 같은 암호화 방법은 도 2의 연산 장치에서 수행될 수 있으며, 각 단계들을 수행하기 위한 프로그램 코드 형태로 구현될 수도 있다.
도 4는 본 개시의 일 실시 예에 따른 행(row) 합산 방법을 설명하기 위한 도면이다. 이하에서는 설명을 용이하게 하기 위하여, 행렬(A)을 텐서를 이용하여 다변수로 정의된 다항식으로 인코딩하여 암호화한 암호문을 ctA라고 지칭한다.
도 4를 참조하면, 행 합산(또는 열 합산)은 암호문(ctA)의 회전 처리와 회전 처리 결과와 입력된 암호문의 덧셈 동작을 기설정된 횟수만큼 반복하는 것으로 구현할 수 있다.
계산 결과는 행렬(A)의 행 합산 값에 대한 암호문과 유사할 수 있다.
도 5는 본 개시의 일 실시 예에 따른 대각 추출(Diagonal Extraction) 방법을 설명하기 위한 도면이다.
도 5를 참조하면, 대각 추출 동작은 입력된 암호문을 상수(Ik)와의 곱셈 처리하는 동작과 곱셈 처리된 결과를 리스케일링하는 동작으로 수행될 수 있다. 여기서, Ik는 rt(I, (k,0))로 단위 행렬(identity matrix)일 수 있다.
도 6은 본 개시의 일 실시 예에 따른 벡터 곱(Matrix by Vector Multiplication) 방법을 설명하기 위한 도면이다.
암호문(ctv)이 n×1 행렬 크기를 갖는 벡터 v의 암호문인 경우, ctv는 벡터의 같은 열로 구성되는 n 행렬 크기를 갖는 암호문으로 볼 수 있다.
만약, ctA T에 ctv을 곱하고 열 합산(col Sum) 알고리즘을 적용한다면, 1×n 크기를 갖는 wT=(Av)T가 암호화된 암호문을 얻을 수 있다.
이러한 벡터 곱은 도 6과 같이 ctA T에 대한 암호문 곱셈, ct(Av) T에 대한 리스케일링, 리스케이링된 ct(Av) T에 대한 열 합산 동작으로 수행될 수 있다.
도 7은 본 개시의 일 실시 예에 따른 행렬 곱(Matrix Multiplication) 방법을 설명하기 위한 도면이다.
암호화된 행렬 곱셈에 대해서 폭스 행렬 곱셈 알고리즘을 이용할 수 있다. 예를 들어, (ctA, βA·2p, 2p, l), (ctB, βB·2p, 2p, l) 각각을 A, B에 대한 암호문인 경우, 행렬 곱은 C=AB에 대한 암호문인 (ctC, βC·2p, 2p, l)를 출력할 수 있다. 여기서, βC = βA+ βB+ (log n +1)·β* 이다.
도 7을 참조하면, C을 구성하는 복수의 성분 중 일부 성분 값을 산출하기 위하여, ctB에 대한 대각 추출, ctBk에 대한 회전 처리, 회전 처리 결과와 대각 추출결과를 합산하는 단계, ctA에 대한 회전 처리, 회전 처리 결과에 대한 모드 다운 처리, ctAk와 ctBk의 행렬 곱 연산과 ctC와 ctCk 덧셈 연산을 반복적으로 수행하여 C의 모든 성분 값을 산출할 수 있다.
예를 들어, C=A×B 행렬 곱을 수행하는 경우, 먼저, 두 행렬(A, B)을 벡터로 변환할 수 있다(이때, m2≤n).
그리고 m×m 행렬 A의 성분 ai,j 를 벡터의 m(i-1)+j 번째 성분에 배치할 수 있으며, m×m 행렬 B의 성분 bi,j 를 벡터의 m(k-1)+j 번째 성분에 배치할 수 있다.
한편, 두 행렬의 곱셈은 하다마드 곱으로 표현할 수 있다. 예를 들어, 하다마드 곱의 처음 n개의 성분은 a11b11, a12b21, …, a1mbm1, 그 다음 n개의 성분은 a21b12, a22b22, …,a2mbm2, 순으로 나열될 수 있다.
그리고 슬롯 이동을 통해 벡터의 성분들을 m개씩 더할 수 있다. 그 결과로 얻는 벡터는 첫 자리가 c11, m+1번째 자리가 c22, 2m+1번째 자리가 c33,.. 로 나타날 수 있다.
이와 같은 과정을 통하여 C의 일부 성분 값이 추출되며, A의 성분 배치를 m 자리 이동하고 상술한 곱셈 등의 동작을 반복하여 C의 나머지 성분 값도 추출할 수 있다.
위 과정에서 각 단계별로 얻는 벡터는 전체 m2개의 성분 중 m 개만을 사용하며, 남은 성분들은 알고리즘 상 연산하게 되지만 실제 행렬 곱의 결과에는 반영되지 않는 결과이므로 연산에 낭비가 일어난다. 예를 들어, 하다마드 곱으로 얻은 벡터를 슬롯 이동하여 더했을 경우, 두 번째 성분은 a12b21 + ...+ a1mbm1 + a21b12가 나오고 이 값은 C의 성분에 관계가 없는 연산이다.
따라서, 구현시에는 연산 결과에 반영되지 않은 부분에 대해서는 연산을 수행하지 않음으로써 연산 속도 및 리소스를 줄일 수 있다.
기저 링의 차원이 N일 때, HEAAN의 행렬 곱은 덧셈, 곱셈을 O(N2) 정도 사용해야 되는데 반해, MHEAAN에서는 O(N)정도 사용하는 것으로 개선될 수 있다.
한편, 상술한 행렬 곱은 수학식 24와 같이 B', C" 치환을 이용하여, 보다 효율적으로 수행될 수도 있다.
[수학식 24]
Figure PCTKR2019017237-appb-I000037
A 및 B'에 대한 암호화를 수행하는 경우, 도 8의 알고리즘에 따르면 행렬 C에 대한 치환 행렬인 C"을 출력할 수 있다.
도 8은 본 개시의 일 실시 예에 따른 치환 행렬(Permutation Matrix)의 행렬 곱을 설명하기 위한 도면이다.
도 8을 참조하면, 두 행렬(ctA, ctB)의 회전 처리, 곱셈 연산, 곱셈 결과의 덧셈 처리를 반복적으로 수행하는 동작을 통하여 행렬 곱 연산을 수행할 수 있다.
예를 들어, 행렬 곱은 복수의 동형 암호문에 대한 하다마다 곱 연산, 그리고, 하다마다 곱 연산 결과의 성분 합산을 통하여 행렬 곱 결과의 일부 성분 값 추출 동작으로 구성될 수 있다. 그리고 복수의 동형 암호문 중 하나에 대해서 회전 처리(슬롯 이동)를 하여 상술한 동작을 반복함으로써 C의 모든 성분 값을 추출하는 동작을 수행할 수 있다.
도 9는 본 개시의 일 실시 예에 따른 전치(transposition) 행렬 생성방법을 설명하기 위한 도면이다. 여기서 전치 행렬이란 임의의 행렬 A에 대해서 행과 열을 바꾼 행렬(AT)을 의미한다.
한편, 대각 추출 알고리즘을 이용하여 행렬 A의 이동된 대각들 모두를 추출할 수 있다. 이는 전치 행렬(AT)은 행렬 A의 이동된 대각(Ak)들로 구성됨을 확인할 수 있다.
이러한 점에서, 도 9를 참조하면, 암호문에 대한 전치 행렬을 찾는 동작은, 해당 암호문에 대한 대각 추출 동작, 추출된 대각을 회전하는 동작, 회전된 값을 합산하는 동작을 기설정된 회수를 반복하여 수행될 수 있다.
도 10은 본 개시의 일 실시 예에 따른 역행렬 연산 방법을 설명하기 위한 도면이다.
역행렬 연산은 Schulze 알고리즘을 근사 인버스 회로에 적용하여 구현할 수 있다. 구체적으로, 도 10에 도시된 바와 같이, I 값에 대한 인코딩, 모드 다운 처리, ctA에 대한 행렬 곱 처리, ctA 행렬 곱 처리에 대한 리스케일링, ctV 행렬 곱 처리, ctV 행렬 곱 처리에 대한 리스케일링 과정을 통하여 산출될 수 있다.
한편, MHEAAN은 임의의 수의 레이어를 가진 DNN 분류 알고리즘에 적용될 수 있다. 이러한 알고리즘은 비대화식이며, 모델 자체를 암호화된 상태로 유지할 수 있다.
이러한 DNN 분류 모델은 l+1개의 레이어로 구성될 수 있으며, 각 레이어 ni개의 노드를 포함할 수 있다. 여기서 0번째 레이어는 입력 레이어이고, l번째 레이어는 출력 레이어이고, 나머지 레이어는 히든 레이어일 수 있다.
각 히든 레이어와 출력 레이어는 대응되는 가중 매트릭스(Wi), 바이어스 벡터(bi)를 가지며, 입력 벡터(a0)에 대해서 각 히든 레이어에서 선형 변환 부분(zi = W iai-1 +bi) 및 활성화 부분(a i = gi(z i))을 연속적으로 계산할 수 있다.
그리고 출력 레이어에서, 선형 변환 부분(zl = W lal-1 +bl) 및 zl에서 가장 큰 값의 인덱스를 계산할 수 있다.
상술한 설명에서의 선형 변환 부분은 도 11 또는 도 12의 알고리즘이 이용될 수 있다. 예를 들어, 모든 히든 레이어 대해서, 시그모이드(sigmoid)를 활성화 함수를 이용할 수 있으며, 활성화 부분에 대해서는 시그모이드 함수의 다항식 근사를 이용할 수 있다. 특히, 7차 방정식을 이용할 수 있으며, 그 예는 수학식 25와 같다.
[수학식 25]
g(x) = 0.5 - 1.73496·
Figure PCTKR2019017237-appb-I000038
+ 4.19407·(
Figure PCTKR2019017237-appb-I000039
)3 - 5.43402·(
Figure PCTKR2019017237-appb-I000040
)5 + 2.50739·(
Figure PCTKR2019017237-appb-I000041
)7
한편, 도 11과 같은 알고리즘을 이용하여, 해당 알고리즘에 cta0, ctW1 T, ctb1 T를 입력하고, ctz1 T를 얻을 수 있다.
그러면, 시그모이드 함수의 다항식 근사(g(x))를 이용하여 cta1 T를 평가할 수 있다.
이후에 도 12와 같은 알고리즘을 이용하여, 각 선형 변환부에 대해서 p 계수 비트를 잃고, 각 활성화 부에서 3p+3 모듈러스 비트를 잃게 된다. 초기 계수 비트 L이 충분히 크고, 부트 스크래핑을 이용하기 때문에 임의의 레이어 수를 갖는 DNN 분류에 대한 평가를 수행할 수 있게 된다.
한편, 이상에서는 심층 신경망에 대해서만 언급하였지만, 구현시에는 CNN(Convolutional Neural Network) 또는 RNN(Recurrent Neural Network)에서도 적용될 수 있다.
도 11은 본 개시의 일 실시 예에 따른 열(column)에서 행(row)로 선형 변환 방법을 설명하기 위한 도면이다.
도 11을 참조하면, 도 6에 도시된 바와 같은 벡터 곱 연산을 이용하여, cta, ctW T에 대한 벡터 곱 연산을 수행하고, 그 연산 결과(ct(Wa) T)와 ctb T를 합산하여, ctz T을 출력할 수 있다.
도 12는 본 개시의 일 실시 예에 따른 행(row)에서 열(column)로 선형 변환 방법을 설명하기 위한 도면이다.
도 12를 참조하면, 도 6에 도시된 바와 같은 벡터 곱 연산을 이용하여, cta T, ctW에 대한 벡터 곱 연산을 수행하고, 그 연산 결과(ctWa)와 ctb를 합산하여, ctz을 출력할 수 있다.
이와 같이 본 개시에 따른 MHEAAN은 근사 동형을 수행하는 HEAAN을 이용하며, 다차원 패킹을 통하여 행렬에서 효율적인 작업을 수행할 수 있으며, 많은 슬롯을 갖는 경우에도 잘 동작하는 부트스트랩핑을 지원한다.
한편, 상술한 다양한 실시 예에 따른 암호화 방법은 각 단계들을 수행하기 위한 프로그램 코드 형태로 구현되어, 기록 매체에 저장되고 배포될 수도 있다. 이 경우, 기록 매체가 탑재된 장치는 상술한 암호화 또는 암호문 처리 등의 동작들을 수행할 수 있다.
이러한 기록 매체는, ROM, RAM, 메모리 칩, 메모리 카드, 외장형 하드, 하드, CD, DVD, 자기 디스크 또는 자기 테이프 등과 같은 다양한 유형의 컴퓨터 판독 가능 매체가 될 수 있다.
이상 첨부 도면을 참고하여 본 개시에 대해서 설명하였지만 본 개시의 권리범위는 후술하는 특허청구범위에 의해 결정되며 전술한 실시 예 및/또는 도면에 제한되는 것으로 해석되어서는 안 된다. 그리고 특허청구범위에 기재된 개시의, 당업자에게 자명한 개량, 변경 및 수정도 본 개시의 권리범위에 포함된다는 점이 명백하게 이해되어야 한다.

Claims (14)

  1. 복수의 메시지를 입력받는 단계;
    상기 복수의 메시지를 다변수로 정의되는 다항식으로 인코딩하는 단계; 및
    상기 다변수로 정의되는 다항식을 암호화하여 동형 암호문을 생성하는 단계;를 포함하는 암호화 방법.
  2. 제1항에 있어서,
    상기 인코딩하는 단계는,
    상기 다변수의 개수에 대응되는 다차원 텐서(tensor)로 배치하고, 상기 다차원 탠서로 배치된 복수의 메시지를 다항식으로 인코딩하는 암호화 방법.
  3. 제1항에 있어서,
    상기 다변수는 제1 변수 및 제2 변수를 포함하고,
    상기 인코딩하는 단계는,
    상기 복수의 메시지를 복수의 열 및 복수의 행으로 구성되는 행렬 형태로 배치하고, 상기 행렬 형태로 배치된 복수의 메시지를 제1 변수 및 제2 변수로 정의되는 다항식으로 인코딩하는 암호화 방법.
  4. 제3항에 있어서,
    상기 인코딩하는 단계는,
    상기 행렬의 슬롯 각각을 상기 제1 변수 및 상기 제2 변수로 정의되는 다항식의 계수로 변환하는 암호화 방법.
  5. 제1항에 있어서,
    복수의 동형 암호문에 대한 연산 처리를 수행하는 단계;를 더 포함하는 암호화 방법.
  6. 제5항에 있어서,
    상기 연산 처리는 행렬 곱이며,
    상기 연산 처리를 수행하는 단계는,
    상기 복수의 동형 암호문에 대한 하다마다 곱 연산을 수행하는 단계;
    상기 하다마다 곱 연산 결과의 성분 합산을 통하여 행렬 곱 결과의 일부 성분 값을 산출하는 단계; 및
    상기 복수의 동형 암호문 중 하나의 동형 암호문 내의 성분 위치를 이동하여 상기 하다마다 곱 연산을 수행하는 단계 및 상기 산출하는 단계를 반복하는 단계;를 포함하는 암호화 방법.
  7. 제6항에 있어서,
    상기 하다마다 곱 연산을 수행하는 단계는,
    상기 복수의 동형 암호문을 구성하는 복수의 성분 중 상기 일부 성분 값 산출에 반영되는 성분만 하다마다 곱 연산을 수행하는 암호화 방법.
  8. 연산 장치에 있어서,
    적어도 하나의 인스트럭션(instruction) 및 기결정된 복수의 소수 정보를 저장하는 메모리; 및
    상기 적어도 하나의 인스트럭션을 실행하는 프로세서;를 포함하고,
    상기 프로세서는,
    상기 적어도 하나의 인스트럭션을 실행함으로써,
    복수의 메시지를 다변수로 정의되는 다항식으로 인코딩하고,
    상기 다변수로 정의되는 다항식을 암호화하여 동형 암호문을 생성하는 연산 장치.
  9. 제8항에 있어서,
    상기 프로세서는,
    상기 다변수의 개수에 대응되는 다차원 텐서(tensor)로 배치하고, 상기 다차원 탠서로 배치된 복수의 메시지를 다항식으로 인코딩하는 연산 장치.
  10. 제8항에 있어서,
    상기 다변수는 제1 변수 및 제2 변수를 포함하고,
    상기 프로세서는,
    상기 복수의 메시지를 복수의 열 및 복수의 행으로 구성되는 행렬 형태로 배치하고, 상기 행렬 형태로 배치된 복수의 메시지를 제1 변수 및 제2 변수로 정의되는 다항식으로 인코딩하는 연산 장치.
  11. 제10항에 있어서,
    상기 프로세서는,
    상기 행렬의 슬롯 각각을 상기 제1 변수 및 상기 제2 변수로 정의되는 다항식의 계수로 변환하는 연산 장치.
  12. 제8항에 있어서,
    상기 프로세서는,
    복수의 동형 암호문에 대한 연산 처리를 수행하는 연산 장치.
  13. 제12항에 있어서,
    상기 연산 처리는 행렬 곱이며,
    상기 프로세서는,
    상기 복수의 동형 암호문에 대한 하다마다 곱 연산을 수행하고,
    상기 하다마다 곱 연산 결과의 성분 합산을 통하여 행렬 곱 결과의 일부 성분 값을 산출하고,
    상기 복수의 동형 암호문 중 하나의 동형 암호문 내의 성분 위치를 이동하여 상기 하다마다 곱 연산 및 상기 산출하는 동작을 반복하여 상기 행렬 곱 결과의 전체 성분 값을 산출하는 연산 장치.
  14. 제13항에 있어서,
    상기 프로세서는,
    상기 복수의 동형 암호문을 구성하는 복수의 성분 중 상기 일부 성분 값 산출에 반영되는 성분만 하다마다 곱 연산을 수행하는 연산 장치.
PCT/KR2019/017237 2018-12-07 2019-12-06 다변수 패킹을 이용하는 연산 장치 및 방법 WO2020117015A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/311,578 US12063290B2 (en) 2018-12-07 2019-12-06 Operating device and method using multivariate packing

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
US201862776883P 2018-12-07 2018-12-07
US62/776,883 2018-12-07
KR1020190160996A KR102339833B1 (ko) 2018-12-07 2019-12-05 다변수 패킹을 이용하는 연산 장치 및 방법
KR10-2019-0160996 2019-12-05

Publications (1)

Publication Number Publication Date
WO2020117015A1 true WO2020117015A1 (ko) 2020-06-11

Family

ID=70973721

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2019/017237 WO2020117015A1 (ko) 2018-12-07 2019-12-06 다변수 패킹을 이용하는 연산 장치 및 방법

Country Status (2)

Country Link
US (1) US12063290B2 (ko)
WO (1) WO2020117015A1 (ko)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE112020007024T5 (de) * 2020-06-05 2023-02-23 Mitsubishi Electric Corporation Vertrauliche-information-verarbeitungssystem, verschlüsselungsvorrichtung, verschlüsselungsverfahren und verschlüsselungsprogramm
EP3993308A1 (en) * 2020-10-29 2022-05-04 Zama SAS Fully homomorphic cryptography with improved data item representation
US11515996B2 (en) * 2021-02-01 2022-11-29 Seagate Technology Llc Enforcing access structures in fully homomorphic encryption
US11522672B2 (en) 2021-02-01 2022-12-06 Seagate Technology Llc Fully homomorphic encryption from error canceling set systems
US11882206B2 (en) * 2021-08-15 2024-01-23 International Business Machines Corporation Efficient convolution in an environment that enforces tiles
CN115276950B (zh) * 2022-07-25 2023-03-28 支付宝(杭州)信息技术有限公司 隐私数据的处理方法、装置和计算设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20170147835A1 (en) * 2015-11-25 2017-05-25 International Business Machines Corporation Efficient two party oblivious transfer using a leveled fully homomorphic encryption
KR20170142419A (ko) * 2016-06-17 2017-12-28 서울대학교산학협력단 유효 숫자 연산을 지원하는 동형 암호문의 생성 방법 및 그러한 방법에 의해서 생성된 동형 암호문에 대한 유효 숫자 연산 방법
KR101861089B1 (ko) * 2016-07-28 2018-05-25 서울대학교산학협력단 근사 복소수 연산을 지원하는 복수 개의 메시지의 동형 암호화 방법

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8861716B2 (en) * 2010-03-30 2014-10-14 International Business Machines Corporation Efficient homomorphic encryption scheme for bilinear forms
US10075288B1 (en) * 2014-02-28 2018-09-11 The Governing Council Of The University Of Toronto Systems, devices, and processes for homomorphic encryption
US20200151356A1 (en) * 2017-08-11 2020-05-14 Duality Technologies, Inc. System and method for fast and efficient searching of encrypted ciphertexts

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20170147835A1 (en) * 2015-11-25 2017-05-25 International Business Machines Corporation Efficient two party oblivious transfer using a leveled fully homomorphic encryption
KR20170142419A (ko) * 2016-06-17 2017-12-28 서울대학교산학협력단 유효 숫자 연산을 지원하는 동형 암호문의 생성 방법 및 그러한 방법에 의해서 생성된 동형 암호문에 대한 유효 숫자 연산 방법
KR101861089B1 (ko) * 2016-07-28 2018-05-25 서울대학교산학협력단 근사 복소수 연산을 지원하는 복수 개의 메시지의 동형 암호화 방법

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
CHEON, JUNG HEE ET AL.: "International Conference on Pervasive Computing; Lecture Notes in Computer Science. Advances in Cryptology – ASIACRYPT 2017", vol. 10624, part Chap.15 30 November 2017, article "Homomorphic Encryption for Arithmetic of Approximate Numbers. In: International Conference on the Theory and Application of Cryptology and Information Security", pages: 409 - 437, XP047455825, DOI: 10.1007/978-3-319-70694-8_15 *
FRANKLIN, MATTHEW ET AL.: "RoboCup 2008: RoboCup 2008: Robot Soccer World Cup XII; [Lecture Notes in Computer Science; Lect.Notes Computer],", vol. 6123, part 15 June 2010, article "Efficient and Secure Evaluation of Multivariate Polynomials and Applications", pages: 236 - 254, XP047503574, DOI: 10.1007/978-3-642-13708-2_15 *

Also Published As

Publication number Publication date
US12063290B2 (en) 2024-08-13
US20220029783A1 (en) 2022-01-27

Similar Documents

Publication Publication Date Title
WO2020117015A1 (ko) 다변수 패킹을 이용하는 연산 장치 및 방법
WO2019117694A1 (ko) 동형 암호화를 수행하는 단말 장치와 그 암호문을 처리하는 서버 장치 및 그 방법들
WO2020145503A1 (en) Apparatus for processing approximately encrypted messages and methods thereof
WO2020235797A1 (en) Apparatus for processing modular multiply operation and methods thereof
EP3909193A1 (en) Apparatus for processing approximately encrypted messages and methods thereof
WO2021025482A1 (en) Electronic device and method for generating attestation certificate based on fused key
WO2020022598A1 (ko) 암호문에 대한 근사 연산을 수행하는 장치 및 방법
WO2020166879A1 (en) Apparatus for performing threshold design on secret key and method thereof
WO2020145759A1 (ko) 근사 계산에 대한 계산 검증
WO2014035146A2 (ko) 환 동형 사상을 이용한 동형 암호화 방법과 복호화 방법 및 이를 이용한 장치
WO2016186241A1 (ko) 데이터 암호화 장치 및 방법과 및 데이터 복호화 장치 및 방법
WO2020101325A1 (ko) 순열그룹 기반의 암호화 기술을 적용한 암호화시스템 및 방법
WO2020116807A1 (ko) 암호문에 대한 비다항식 연산을 수행하는 장치 및 방법
WO2016036048A1 (en) Method and device for data encrypting
WO2018199443A1 (en) Apparatus and method for performing operation being secure against side channel attack
WO2018093203A1 (ko) 공개키를 이용하여 암호화하는 연산 장치 및 그 암호화 방법
WO2019083258A1 (en) DATA ENCRYPTION METHOD AND ELECTRONIC APPARATUS EXECUTING A DATA ENCRYPTION METHOD
WO2020246848A1 (ko) 근사 암호화된 암호문에 대한 정렬 장치 및 방법
WO2022158686A1 (ko) 암호화된 정보에 기초하여, 인공지능 모델을 이용한 추론을 수행하는 전자 장치 및 그 동작 방법
WO2021107515A1 (en) Identity-based encryption method based on lattices
WO2016048054A2 (ko) 데이터 통신 보안을 위한 방법, 장치 및 시스템
WO2017188497A1 (ko) 무결성 및 보안성이 강화된 사용자 인증방법
WO2023282359A1 (ko) 공간 복잡도를 고려한 동형 암호화 또는 복호화 방법
WO2021256843A1 (ko) 동형 암호문에 대한 통계 연산 수행하는 장치 및 방법
WO2018110775A1 (ko) 전자 기기 인증 매니저 장치

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19894165

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19894165

Country of ref document: EP

Kind code of ref document: A1