特開 2024-48516 暗号化装置、暗号化方法及び暗号化プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024048516

(43)【公開日】2024-04-09

(54)【発明の名称】暗号化装置、暗号化方法及び暗号化プログラム

(51)【国際特許分類】

   G09C 1/00 20060101AFI20240402BHJP

【ＦＩ】

G09C1/00 620Z

【審査請求】未請求

【請求項の数】4

【出願形態】ＯＬ

(21)【出願番号】P 2022154468

(22)【出願日】2022-09-28

(71)【出願人】

【識別番号】000208891

【氏名又は名称】ＫＤＤＩ株式会社

(74)【代理人】

【識別番号】100106002

【弁理士】

【氏名又は名称】正林 真之

(74)【代理人】

【識別番号】100120891

【弁理士】

【氏名又は名称】林 一好

(72)【発明者】

【氏名】岡田 大樹

(57)【要約】

【課題】複数の分散鍵を用いた格子暗号による完全準同型演算システムにおいて、暗号文のサイズを減少させることができる暗号化装置、暗号化方法及び暗号化プログラムを提供すること。
【解決手段】暗号化装置１は、複数の分散秘密鍵に対応する格子暗号におけるマスタ公開鍵から、自装置が保持する分散秘密鍵に対応するランダム成分及びノイズ成分を除外した、暗号化用の鍵を生成する鍵生成部１１と、暗号化用の鍵に基づく公開鍵暗号型の暗号文に対して、自装置が保持する分散秘密鍵に基づく共通鍵暗号型のランダム成分及びノイズ成分を加算した暗号文を生成する暗号文生成部１２と、を備える。
【選択図】図１

【特許請求の範囲】

【請求項1】

複数の分散秘密鍵に対応する格子暗号におけるマスタ公開鍵から、自装置が保持する分散秘密鍵に対応するランダム成分及びノイズ成分を除外した、暗号化用の鍵を生成する鍵生成部と、
前記暗号化用の鍵に基づく公開鍵暗号型の暗号文に対して、前記自装置が保持する分散秘密鍵に基づく共通鍵暗号型のランダム成分及びノイズ成分を加算した暗号文を生成する暗号文生成部と、を備える暗号化装置。

【請求項2】

前記格子暗号は、しきい値完全準同型暗号方式である請求項１に記載の暗号化装置。

【請求項3】

暗号化装置が、
複数の分散秘密鍵に対応する格子暗号におけるマスタ公開鍵から、自装置が保持する分散秘密鍵に対応するランダム成分及びノイズ成分を除外した、暗号化用の鍵を生成する鍵生成ステップと、
前記暗号化用の鍵に基づく公開鍵暗号型の暗号文に対して、前記自装置が保持する分散秘密鍵に基づく共通鍵暗号型のランダム成分及びノイズ成分を加算した暗号文を生成する暗号文生成ステップと、を実行する暗号化方法。

【請求項4】

請求項１又は請求項２に記載の暗号化装置としてコンピュータを機能させるための暗号化プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、複数の分散鍵を用いた格子暗号による完全準同型演算システムに関する。

【背景技術】

【0002】

しきい値型完全準同型暗号方式（ＴｈＦＨＥ： Ｔｈｒｅｓｈｏｌｄ Ｆｕｌｌｙ Ｈｏｍｏｍｏｒｐｈｉｃ Ｅｎｃｒｙｐｔｉｏｎ）は、複数ユーザで利用することを目的に拡張された完全準同型暗号方式（ＦＨＥ）である。ＴｈＦＨＥは、非特許文献１及び２などにおいて構成が示されている。
ここで、ＬＷＥ暗号は、ＴｈＦＨＥを構成するための基となる暗号方式であり、共通鍵暗号、及び公開鍵暗号の両方の構成が可能である。

【先行技術文献】

【非特許文献】

【0003】

【非特許文献1】Gilad Asharov, Abhishek Jain, Adriana Lopez-Alt, Eran Tromer, Vinod Vaikuntanathan, and Daniel Wichs. "Multiparty Computation with Low Communication, Computation and Interaction via Threshold FHE". In: EUROCRYPT 2012. Springer, 2012, pp. 483-501.

【非特許文献2】Dan Boneh, Rosario Gennaro, Steven Goldfeder, Aayush Jain, Sam Kim, Peter M. R. Rasmussen, and Amit Sahai. "Threshold Cryptosystems from Threshold Fully Homomorphic Encryption". In: CRYPTO 2018. Springer, 2018, pp. 565-596.

【発明の概要】

【発明が解決しようとする課題】

【0004】

ＬＷＥ暗号は、共通鍵暗号又は公開鍵暗号のいずれの構成も可能であるが、共通鍵暗号に比べて公開鍵暗号の方が暗号文のノイズが大きくなるため、暗号文サイズ（法ｑ）を比較的大きく設定する必要があった。このため、ＦＨＥにおいては、データ送信側であるユーザが秘密鍵を持つことから、より軽量な共通鍵暗号型の暗号化アルゴリズムを利用するのが一般的である。
一方、ＴｈＦＨＥでは、その構成上、公開鍵暗号型の暗号化アルゴリズムしか利用できないため、共通鍵暗号型の暗号化アルゴリズムと比べて暗号文サイズが大きくなるという課題があった。

【0005】

本発明は、複数の分散鍵を用いた格子暗号による完全準同型演算システムにおいて、暗号文のサイズを減少させることができる暗号化装置、暗号化方法及び暗号化プログラムを提供することを目的とする。

【課題を解決するための手段】

【0006】

本発明に係る暗号化装置は、複数の分散秘密鍵に対応する格子暗号におけるマスタ公開鍵から、自装置が保持する分散秘密鍵に対応するランダム成分及びノイズ成分を除外した、暗号化用の鍵を生成する鍵生成部と、前記暗号化用の鍵に基づく公開鍵暗号型の暗号文に対して、前記自装置が保持する分散秘密鍵に基づく共通鍵暗号型のランダム成分及びノイズ成分を加算した暗号文を生成する暗号文生成部と、を備える。

【0007】

前記格子暗号は、しきい値完全準同型暗号方式であってもよい。

【0008】

本発明に係る暗号化方法は、暗号化装置が、複数の分散秘密鍵に対応する格子暗号におけるマスタ公開鍵から、自装置が保持する分散秘密鍵に対応するランダム成分及びノイズ成分を除外した、暗号化用の鍵を生成する鍵生成ステップと、前記暗号化用の鍵に基づく公開鍵暗号型の暗号文に対して、前記自装置が保持する分散秘密鍵に基づく共通鍵暗号型のランダム成分及びノイズ成分を加算した暗号文を生成する暗号文生成ステップと、を実行する。

【0009】

本発明に係る暗号化プログラムは、前記暗号化装置としてコンピュータを機能させるためのものである。

【発明の効果】

【0010】

本発明によれば、複数の分散鍵を用いた格子暗号による完全準同型演算システムにおいて、暗号文のサイズを減少させることができる。

【図面の簡単な説明】

【0011】

【図1】実施形態における暗号化装置の機能構成を示す図である。

【図2】実施形態における暗号文上のノイズの大きさを、従来手法と比較して示す図である。

【図3】従来のＴｈＦＨＥを用いた、複数ユーザが参加する秘密計算システムの構成を示す図である。

【発明を実施するための形態】

【0012】

以下、本発明の実施形態の一例について説明する。
本実施形態の暗号化方法では、完全準同型暗号方式の一例として、ＴｈＦＨＥを改良することとするが、これには限られず、完全準同型演算システムを構成する格子暗号を用いた他の暗号化アルゴリズムに対しても適用可能である。

【0013】

［ＴｈＦＨＥのアルゴリズム］
まず、本実施形態との比較のため、ＴｈＦＨＥによる秘密計算システムの構成について説明する。

【0014】

図３は、従来のＴｈＦＨＥを用いた、複数ユーザが参加する秘密計算システムの構成を示す図である。
ＴｈＦＨＥでは、多様な復号方法を設定することが可能であり、例えば、Ｎ人中ｔ人（しきい値）の分散秘密鍵だけで復号を可能にする設定もできる（ｔ－ｏｕｔ－ｏｆ－Ｎ）。ここでは，Ｎ－ｏｕｔ－ｏｆ－Ｎでの構成を例示する。

【0015】

各ユーザ（ｐａｒｔｙ １～Ｎ）は、それぞれ固有の秘密鍵（分散秘密鍵）ｓｋ_ｉを持ち、（機微情報を含む）データｍ_ｉを、全ユーザの秘密鍵ｓｋ_ｉに対応する公開鍵ｐｋ_ｉから計算されるマスタ公開鍵ｊｐｋ：＝（ｐｋ_１＋…＋ｐｋ_Ｎ）で暗号化する（１）。

【0016】

演算者（Ｅｖａｌｕａｔｏｒ）は、全ユーザが生成した演算鍵ｅｖｋ、及びマスタ公開鍵ｊｐｋを用いて、全ユーザから受け取った暗号文を入力とした準同型演算ｆ（ｍ_１＋…＋ｍ_Ｎ）を行う（２）。
演算者は、演算後の暗号文ｃｔを全ユーザに送信する（３）。

【0017】

各ユーザは、自身の秘密鍵ｓｋ_ｉを用いて部分復号（ＰａｒｔＤｅｃ）を行い、部分復号文を全ユーザに送信する（４）。
各ユーザは、得られた全ユーザの部分復号文を統合し、演算結果の平文を得る（ＦｉｎＤｅｃ）（５）。

【0018】

ここで、ＴｈＦＨＥの基となる暗号方式ＬＷＥは、次のように定義される。
・ｐａｒａｍｓ＝（１^λ，ｑ，ｍ，ｎ，χ_ＬＷＥ，χ_ｒａｎｄ）：
ｐａｒａｍｓは、以下の全ての暗号アルゴリズムに非明示的に利用されるパラメータ群である。１^λはセキュリティパラメータ、ｑ＝ｑ（λ）は法、ｍ＝ｍ（λ），ｎ＝ｎ（λ）は次元、χ_ＬＷＥ＝χ_ＬＷＥ（λ），χ_ｒａｎｄ＝χ_ｒａｎｄ（λ）はＺ_ｑ上の確率分布である。
なお、χ_ＬＷＥにはガウシアンノイズが用いられることが多く、また、公開鍵暗号型の暗号化用ノイズχ_ｒａｎｄにはＵ（｛０，１｝）又はχ_ＬＷＥと同じガウシアンノイズなどが用いられる。

【0019】

・Ａ←Ｕ（Ｚ_ｑ ^ｍ×ｎ）：
方式に固定のランダムな公開行列であり、鍵生成以前に生成し固定される。

【0020】

・ｓｋ←ＬＷＥ．ＳｙｍＫｅｙＧｅｎ（１^λ）：
一様ランダムな秘密鍵ｓｋ：＝ｓ←Ｕ（Ｚ_ｑ ^ｎ）を生成する。

【0021】

・ｐｋ←ＬＷＥ．ＰｕｂＫｅｙＧｅｎ（ｓｋ）：
ノイズｅ←χ_ＬＷＥ ^ｍをサンプルしてｔ＝Ａｓ＋ｅを計算し、公開鍵ｐｋ：＝（Ａ，ｔ）を出力する。

【0022】

・ｃｔ←ＬＷＥ．ＳｙｍＥｎｃ（ｓｋ，ｍ∈｛０，１｝）：
ａ←Ｕ（Ｚ_ｑ ^ｎ），ｅ←χ_ＬＷＥをサンプルし、次の共通鍵暗号型の暗号文を出力する。

【数1】

【0023】

・ｃｔ←ＬＷＥ．ＰｕｂＥｎｃ（ｐｋ，ｍ∈｛０，１｝）：
ｒ←χ_ｒａｎｄ ^ｍをサンプルし、次の公開鍵暗号型の暗号文を出力する。

【数2】

【0024】

・ｍ←ＬＷＥ．Ｄｅｃ（ｓｋ，ｃｔ）：
次の平文を出力する。

【数3】

【0025】

このようなＬＷＥ暗号に基づいて、ＴｈＦＨＥの鍵生成、暗号化、復号アルゴリズムは、次のように記述できる。
ここで、ユーザ数はＮ人とし、各ユーザを（Ｐ_１，…，Ｐ_Ｎ）と表記する。

【0026】

・（鍵生成）
（ｓｋ_１，…，ｓｋ_Ｎ，ｊｐｋ）←ＴｈＦＨＥ．ＫｅｙＧｅｎ（１^λ）：
各ユーザＰ_ｉは、それぞれに固有の秘密鍵ｓｋ_ｉを生成する。
ｓｋ_ｉ←ＬＷＥ．ＳｙｍＫｅｙＧｅｎ（１^λ）
次に、各ユーザＰ_ｉは、ｅ_ｉ←χ_ＬＷＥ ^ｍをサンプルし、ｓｋ_ｉを用いて“部分的な”公開鍵ｐｋ_ｉを次のように生成する。
ｐｋ_ｉ：＝（Ａ，ｔ_ｉ：＝Ａｓ_ｉ＋ｅ_ｉ）←ＬＷＥ．ＰｕｂＫｅｙＧｅｎ（ｓｋ_ｉ）
そして、マスタ公開鍵ｊｐｋ（ｊｏｉｎｔ ｐｕｂｌｉｃ ｋｅｙ）は、次のように生成される。

【数4】

【0027】

・（暗号化）
ｃｔ：＝（ａ，ｂ）←ＴｈＦＨＥ．Ｅｎｃ（ｊｐｋ：＝（Ａ，ｔ^＊），ｍ∈｛０，１｝）：
本アルゴリズムは、前述のＬＷＥ．ＰｕｂＥｎｃ（ｊｐｋ，ｍ∈｛０，１｝）と同一である。すなわち、ｒ←χ_ｒａｎｄ ^ｍをサンプルし、次のように公開鍵暗号型の暗号文を出力する。

【数5】

なお、

【数6】

が成り立つ。

【0028】

・（復号）
ｍ←ＴｈＦＨＥ．Ｄｅｃ（ｃｔ：＝（ａ，ｂ），ｓｋ_１，…，ｓｋ_Ｎ）：
（ＰａｒｔＤｅｃ）： 各ユーザＰ_ｉは、部分復号文ｐ_ｉ＝ａ^Ｔｓ_ｉ＋ｅ_ｉ’を全ユーザにブロードキャストする。ここで、ｅ_ｉ’←χ_ＬＷＥである。
（ＦｉｎＤｅｃ）： 得られた全ユーザの部分復号文ｐ_１，…，ｐ_Ｎから、

【数7】

を計算し出力する。なお、

【数8】

が成り立つ。

【0029】

［改良した暗号化アルゴリズム］
本実施形態では、従来のＴｈＦＨＥにおける暗号化アルゴリズムＴｈＦＨＥ．Ｅｎｃを、次のＴｈＦＨＥ．ＨｙｂｒｉｄＥｎｃに置き換えることで、暗号文のノイズの大きさを従来よりも小さくし、その結果、暗号文のサイズも減少させる。

【0030】

なお、添え字ｊ∈［Ｎ］の秘密鍵ｓｋ_ｊを持つユーザをＰ_ｊと表記する。
また、Ｐ_ｊは、ＴｈＦＨＥ．ＫｅｙＧｅｎの中間生成物である“部分的な”公開鍵ｐｋ_ｊを保持しているとする。

【0031】

・ｃｔ←ＴｈＦＨＥ．ＨｙｂｒｉｄＥｎｃ（ｊｐｋ：＝（Ａ，ｔ^＊），ｐｋ_ｊ：＝（Ａ，ｔ_ｊ），ｓｋ_ｊ：＝ｓ_ｊ，ｍ∈｛０，１｝）：
準備：
ユーザＰ_ｊは、マスタ公開鍵に代わる自身の暗号化用の鍵として、

【数9】

を生成する。
なお、鍵生成の際などにＰ_ｊがこの暗号化用の鍵を生成し保持しておくことで、暗号化処理の際は、このステップは省略可能である。

【0032】

暗号化：
ユーザＰ_ｊは、ｒ←χ_ＬＷＥ ^ｍ，ｅ^￣←χ_ＬＷＥをサンプルし、暗号文として、

【数10】

を出力する。ここで、

【数11】

が成り立つ。
なお、復号のアルゴリズムに変更は必要なく、ＴｈＦＨＥ．Ｄｅｃにより実行可能である。

【0033】

図１は、本実施形態における暗号化装置１の機能構成を示す図である。
暗号化装置１は、秘密計算システムにおいて、機微情報を含むデータを暗号化して提供し、準同型演算を演算者に委託する複数のユーザそれぞれが使用する端末であり、制御部１０及び記憶部２０の他、各種の入出力及び通信インタフェースなどを備えた情報処理装置（コンピュータ）である。

【0034】

制御部１０は、暗号化装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

【0035】

記憶部２０は、ハードウェア群を暗号化装置１として機能させるための各種プログラム、及び各種データなどの記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）などであってよい。
具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるためのプログラム（暗号化プログラム）の他、暗号化対象のユーザデータ、暗号化及び復号のための各種鍵データなどを記憶する。

【0036】

制御部１０は、鍵生成部１１と、暗号文生成部１２とを備える。
鍵生成部１１は、複数の分散秘密鍵に対応する格子暗号（例えば、ＴｈＦＨＥ）におけるマスタ公開鍵ｊｐｋから、自端末が保持する分散秘密鍵ｓｋ_ｊに対応するランダム成分（Ａｓ_ｊ）及びノイズ成分（ｅ_ｊ）を除外した、暗号化用の鍵ｊｐｋ^￣ _ｊを生成する。

【0037】

暗号文生成部１２は、ＴｈＦＨＥ．ＨｙｂｒｉｄＥｎｃにより、暗号化用の鍵に基づく公開鍵暗号型の暗号文

【数12】

に対して、自端末が保持する分散秘密鍵ｓｋ_ｊに基づく共通鍵暗号型のランダム成分（ａ^Ｔｓ_ｊ）及びノイズ成分（ｅ^￣）を加算した暗号文

【0038】

【数13】

を生成する。

【0039】

この結果、

【数14】

は、従来のＴｈＦＨＥの暗号文における

【数15】

と比べて、公開鍵暗号型のノイズ成分の一部が共通鍵暗号型のノイズに変更される。

【0040】

図２は、本実施形態における暗号文上のノイズの大きさを、従来手法と比較して示す図である。
ここでは、一般的な設定として、Ｖａｒ（χ_ＬＷＥ）：＝σ^２，Ｖａｒ（χ_ｒａｎｄ）＝Ｏ（１）とした場合に、従来のＴｈＦＨＥ．Ｅｎｃと本実施形態のＴｈＦＨＥ．ＨｙｂｒｉｄＥｎｃとで、暗号文上のノイズの大きさを比較した結果を例示する。

ｍが十分大きいとき、得られるノイズの削減効果比率は、

【数16】

であり、ユーザ数Ｎが小さいほど大きな削減効果が得られる。例えば、Ｎ＝２のとき、暗号文上のノイズの大きさは、従来と比較して約５０％に減少させることができる。

【0041】

本実施形態によれば、暗号化装置１は、複数の分散秘密鍵に対応する格子暗号におけるマスタ公開鍵から、自端末が保持する分散秘密鍵に対応するランダム成分及びノイズ成分を除外した、暗号化用の鍵を生成し、この暗号化用の鍵に基づく公開鍵型の暗号文に対して、自身の分散秘密鍵に基づく共通鍵型のランダム成分及びノイズ成分を加算した暗号文を生成する。
したがって、暗号化装置１は、公開鍵暗号型の暗号化アルゴリズムにおけるｍ次元のノイズがユーザ数に応じてさらに累積されることで大きくなるところ、自身の秘密鍵に対応したノイズ成分を、共通鍵暗号型の暗号化アルゴリズムにおけるスカラのノイズ成分に置換することにより、全体としてノイズの大きさを減少させた。
この結果、暗号化装置１は、複数の分散鍵を用いた格子暗号による完全準同型演算システムにおいて、暗号文のサイズを減少させることができる。

【0042】

例えば、ＴｈＦＨＥなどの複数鍵を用いた完全準同型暗号方式による秘密計算システムにおいて、共通鍵暗号型の暗号化アルゴリズムと公開鍵暗号型の暗号化アルゴリズムとを融合させた本実施形態の暗号化アルゴリズムを適用することで、特にユーザ数が少なくなるほど、暗号文のサイズを減少させることができる。

【0043】

なお、これにより、例えばデータ送信側であるユーザが従来よりも軽量な暗号化アルゴリズムを利用できることから、国連が主導する持続可能な開発目標（ＳＤＧｓ）の目標９「レジリエントなインフラを整備し、持続可能な産業化を推進すると共に、イノベーションの拡大を図る」に貢献することが可能となる。

【0044】

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

【0045】

暗号化装置１による暗号化方法は、ソフトウェア又はハードウェア回路により実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

【符号の説明】

【0046】

１ 暗号化装置
１０ 制御部
１１ 鍵生成部
１２ 暗号文生成部
２０ 記憶部

【図1】

【図2】

【図3】