特許 7530337 設計装置、設計方法及び設計プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-30

(45)【発行日】2024-08-07

(54)【発明の名称】設計装置、設計方法及び設計プログラム

(51)【国際特許分類】

   G09C 1/00 20060101AFI20240731BHJP

【ＦＩ】

G09C1/00 620Z

【請求項の数】 4

(21)【出願番号】P 2021106863

(22)【出願日】2021-06-28

(65)【公開番号】P2023005134

(43)【公開日】2023-01-18

【審査請求日】2023-07-20

(73)【特許権者】

【識別番号】000208891

【氏名又は名称】ＫＤＤＩ株式会社

(74)【代理人】

【識別番号】100106002

【弁理士】

【氏名又は名称】正林 真之

(74)【代理人】

【識別番号】100120891

【弁理士】

【氏名又は名称】林 一好

(72)【発明者】

【氏名】岡田 大樹

【審査官】青木 重徳

(56)【参考文献】

【文献】特開２０１９－１１３６９８（ＪＰ，Ａ）

【文献】特開２００９－１９４６０２（ＪＰ，Ａ）

【文献】韓国公開特許第１０－２０１５－００３２９２８（ＫＲ，Ａ）

【文献】Nico Doettling et al.，Lossy Codes and a New Variant of the Learning-With-Errors Problem，LNSC, Advances in Cryptology - EUROCRYPT 2013，2013年，Volume 7881，pp. 18-34

【文献】Katharina Boudgoust et al.，Towards Classical Hardness of Module-LWE: The Linear Rank Case，LNSC, Advances in Cryptology - ASIACRYPT 2020，2020年，volume 12492，pp. 289-317

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０９Ｃ １／００

ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）

ＩＥＥＥ Ｘｐｌｏｒｅ

ＴＨＥ ＡＣＭ ＤＩＧＩＴＡＬ ＬＩＢＲＡＲＹ

(57)【特許請求の範囲】

【請求項1】

第１暗号方式の安全性の帰着元である第２暗号方式において達成したいセキュリティレベルの入力を受け付ける入力部と、
前記安全性の帰着に基づき、前記セキュリティレベル及び攻撃者に許容するサンプル数に依存して設計された前記第１暗号方式の効率性に関わるパラメータの計算式を記憶部から取得する取得部と、
前記計算式に含まれている前記攻撃者に許容するサンプル数を、前記安全性の帰着を証明可能な最小値として、前記パラメータを算出する算出部と、
前記パラメータを出力する出力部と、を備える設計装置。

【請求項2】

前記第１暗号方式は、法ｑに対して、一様ノイズ［－ρｑ，ρｑ］を用いたＬＷＥ型暗号方式であり、
前記第２暗号方式は、エラーレートα、標準偏差σ＝αｑのガウスノイズを用いたＬＷＥ型暗号方式であり、
前記算出部は、前記達成したいセキュリティレベルとしてのα、前記許容するサンプル数ｍ、次数ｎ、及び任意定数ζ∈（０，１）に基づく前記計算式ρ＝α・ｍ・ｎ^ζに対して、ｍ＝３ｎを代入してρを算出する請求項１に記載の設計装置。

【請求項3】

前記第１暗号方式は、法ｑに対して、エラーレートα’、標準偏差σ’＝α’ｑのｂｉｎａｒｙ ｓｅｃｒｅｔ Ｍｏｄｕｌｅ－ＬＷＥ型暗号方式であり、
前記第２暗号方式は、エラーレートα、標準偏差σ＝αｑのガウスノイズを用いたＭｏｄｕｌｅ－ＬＷＥ型暗号方式であり、
前記算出部は、前記達成したいセキュリティレベルとしてのα、前記許容するサンプル数ｍ、次数ｎ、及びランクｄに基づく前記計算式α’＝α・√ｍ・ｎ^２・ｄに対して、ｍ＝ｄを代入してα’を算出する請求項１に記載の設計装置。

【請求項4】

請求項１から請求項３のいずれかに記載の設計装置としてコンピュータを機能させるための設計プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、暗号方式のパラメータを設計するための装置、方法及びプログラムに関する。

【背景技術】

【0002】

例えば、非特許文献１において、一様ノイズを用いたＬＷＥ問題：ＬＷＥ（Ｕ_ρｑ）（Ｕ_ρｑは、［－ρｑ，ρｑ］上の一様乱数）が、ガウスノイズを用いたＬＷＥ問題：ＬＷＥ（ｎ，ｍ，ｑ，Φ_α）以上に難しいことが示されている。

【0003】

具体的には、セキュリティパラメータであるＬＷＥの次元をｎ、法をｑとしたとき、
・ζ∈（０，１）：任意定数
・ｍ＝ｐｏｌｙ（ｎ）：ｍ≧３ｎを満たす整数（サンプル数）
・ρ＝ρ（ｎ）∈（０，１／１０）， ｒ：＝ρｑ≧２ｍｎ^{０．５＋ζ}
・α＝α（ｎ）＝ρ／ｍｎ^ζ
・αｑ＝ρｑ／ｍｎ^ζ＝ｒ／ｍｎ^ζ≧２√ｎ
と設定すると、ＬＷＥ（ｎ，ｍ，ｑ，Ｕ（［－ρｑ，ρｑ］））を、ある無視できない確率で解ける多項式時間のアルゴリズムが存在するならば、ＬＷＥ（ｎ，ｍ，ｑ，Φ_α）を、ある無視できない確率で解ける多項式時間のアルゴリズムも存在する。

【0004】

したがって、達成したいセキュリティレベルとして、ガウスノイズＬＷＥのエラーレートα（ｎ）と、攻撃者に与えることを許すサンプル数ｍ≧３ｎを入力とし、任意定数ζ∈（０，１）を設定すると（例えば、ζ＝１／２）、同等以上の安全性を有するＬＷＥ（Ｕ_ρｑ）のパラメータρ（ｎ）＝α・ｍ・ｎ^ζを決定することができる。

【0005】

このように、従来は、安全性評価の帰着元である（安全性の根拠とする）暗号方式において達成したいセキュリティレベルα（ｎ）、及び攻撃者に許容するサンプル数ｍ＝ｐｏｌｙ（ｎ）を入力として、新たに構成する暗号方式の効率性に関わるパラメータρ（ｎ）＝ｆ（α，ｍ，ｎ）を出力していた。

【先行技術文献】

【非特許文献】

【0006】

【文献】Nico Dottling and Jorn Muller-Quade. Lossy codes and a new variant of the learning-with-errors problem. In EUROCRYPT 2013, pp. 18-34, 2013.

【文献】Oded Goldreich. Foundations of Cryptography, volume I: Basic Tools. Cambridge University Press, 2001.

【文献】O. Goldreich and M. Sudan. Computational indistinguishability: A sample hierarchy. In 2012 IEEE 27th Conference on Computational Complexity, p. 24, Los Alamitos, CA, USA, jun 1998. IEEE Computer Society.

【文献】Oded Goldreich and Bernd Meyer. Computational indistinguishability: Algorithms vs. circuits. Theoretical Computer Science, 191(1):215-218, 1998.

【文献】Katharina Boudgoust, Corentin Jeudy, Adeline Roux-Langlois, and Weiqiang Wen. Towards classical hardness of Module-LWE: The linear rank case. In ASIACRYPT 2020, pp. 289-317, 2020.

【文献】Abhishek Banerjee, Chris Peikert, and Alon Rosen. Pseudorandom functions and lattices. In EUROCRYPT 2012, pp. 719-737, 2012.

【文献】Daniele Micciancio and Chris Peikert. Hardness of SIS and LWE with small parameters. In CRYPTO 2013, pp. 21-39, 2013.

【文献】Joel Alwen, Stephan Krenn, Krzysztof Pietrzak, and Daniel Wichs. Learning with rounding, revisited. In CRYPTO 2013, pp. 57-74, 2013.

【文献】Andrej Bogdanov, Siyao Guo, Daniel Masny, Silas Richelson, and Alon Rosen. On the hardness of learning with rounding over small modulus. In TCC, pp. 209-224, 2016.

【文献】Shi Bai, Adeline Langlois, Tancrede Lepoint, Damien Stehle, and Ron Steinfeld. Improved security proofs in lattice-based cryptography: Using the renyi divergence rather than the statistical distance. In ASIACRYPT 2015, pp. 3-24, 2015.

【文献】Feng-Hao Liu and Zhedong Wang. Rounding in the rings. In CRYPTO 2020, pp. 296-326, 2020.

【発明の概要】

【発明が解決しようとする課題】

【0007】

しかしながら、従来の手法の場合、達成したいセキュリティレベルとしてエラーレートαを固定したとき、多くのサンプル数ｍを得られる攻撃者に耐性を持つように設計するためには、ｍに依存したより大きなρ（ｎ）＝α・ｍ・ｎ^ζが出力される。このとき、攻撃者に許すサンプル数ｍが大き過ぎると、大きなρ（ｎ）＞１が出力されるが、このような値の場合、一様ランダムな大き過ぎるノイズのＬＷＥとなるため、実用可能な暗号を構成するパラメータとはならなかった。
つまり、パラメータρ（ｎ）を出力する関数ｆ（α，ｍ，ｎ）がｍに関して単調増加のとき、許容するサンプル数の増大に伴って、新たに構成する暗号方式の効率性が低下し、実用可能な暗号を構成できなかった。

【0008】

本発明は、許容するサンプル数によらず安全性が保証され、かつ、効率的な暗号方式を構成可能なパラメータを出力できる設計装置、設計方法及び設計プログラムを提供することを目的とする。

【課題を解決するための手段】

【0009】

本発明に係る設計装置は、第１暗号方式の効率性に関わるパラメータを出力する設計装置であって、前記第１暗号方式の安全性の帰着元である第２暗号方式において達成したいセキュリティレベルの入力を受け付ける入力部と、前記安全性の帰着に基づき、前記セキュリティレベル及び攻撃者に許容するサンプル数に対する前記パラメータの計算式を取得する取得部と、前記計算式における前記攻撃者に許容するサンプル数を、前記安全性の帰着を証明可能な最小値として、前記パラメータを算出する算出部と、を備える。

【0010】

前記第１暗号方式は、法ｑに対して、一様ノイズ［－ρｑ，ρｑ］を用いたＬＷＥ型暗号方式であり、前記第２暗号方式は、エラーレートα、標準偏差σ＝αｑのガウスノイズを用いたＬＷＥ型暗号方式であり、前記算出部は、前記達成したいセキュリティレベルとしてのα、前記許容するサンプル数ｍ、次数ｎ、及び任意定数ζ∈（０，１）に基づく前記計算式ρ＝α・ｍ・ｎ^ζに対して、ｍ＝３ｎを代入してρを算出してもよい。

【0011】

前記第１暗号方式は、法ｑに対して、エラーレートα’、標準偏差σ’＝α’ｑのｂｉｎａｒｙ ｓｅｃｒｅｔ Ｍｏｄｕｌｅ－ＬＷＥ型暗号方式であり、前記第２暗号方式は、エラーレートα、標準偏差σ＝αｑのガウスノイズを用いたＭｏｄｕｌｅ－ＬＷＥ型暗号方式であり、前記算出部は、前記達成したいセキュリティレベルとしてのα、前記許容するサンプル数ｍ、次数ｎ、及びランクｄに基づく前記計算式α’＝α・√ｍ・ｎ^２・ｄに対して、ｍ＝ｄを代入してα’を算出してもよい。

【0012】

本発明に係る設計方法は、第１暗号方式の効率性に関わるパラメータを出力する設計方法であって、前記第１暗号方式の安全性の帰着元である第２暗号方式において達成したいセキュリティレベルの入力を受け付ける入力ステップと、前記安全性の帰着に基づき、前記セキュリティレベル及び攻撃者に許容するサンプル数に対する前記パラメータの計算式を取得する取得ステップと、前記計算式における前記攻撃者に許容するサンプル数を、前記安全性の帰着を証明可能な最小値として、前記パラメータを算出する算出ステップと、をコンピュータが実行する。

【0013】

本発明に係る設計プログラムは、前記設計装置としてコンピュータを機能させるためのものである。

【発明の効果】

【0014】

本発明によれば、許容するサンプル数によらず安全性が保証され、かつ、効率的な暗号方式を構成可能なパラメータを出力できる。

【図面の簡単な説明】

【0015】

【図1】実施形態における設計装置の機能構成を示す図である。

【図2】実施形態における安全性の帰着の一例を示す図である。

【発明を実施するための形態】

【0016】

以下、本発明の実施形態の一例について説明する。
まず、従来のサンプル数ｍに依存するパラメータ設計では、達成したいセキュリティレベル値α（ｎ）と、攻撃者に許容するサンプル数ｍ＝ｐｏｌｙ（ｎ）≧ｍ_ｍｉｎとを入力として、暗号方式設計用のパラメータρ（ｎ）＝ｆ（α，ｍ，ｎ）を出力する。
なお、ρ（ｎ）は小さいほど暗号方式が効率化され望ましく、ｆ（α，ｍ，ｎ）はｍに関して単調増加するものとする。

【0017】

これに対して、本実施形態の設計装置は、同様の入力に対して、サンプル数ｍの大きさによらず、パラメータρ（ｎ）＝ｆ（α，ｍ_ｍｉｎ，ｎ）を出力する。

【0018】

図１は、本実施形態における設計装置１の機能構成を示す図である。
設計装置１は、制御部１０及び記憶部２０の他、各種の入出力インタフェース等を備えた情報処理装置（コンピュータ）である。

【0019】

制御部１０は、設計装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

【0020】

記憶部２０は、ハードウェア群を設計装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。
具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるためのプログラム（設計プログラム）の他、暗号方式に応じたパラメータの計算式等を記憶する。

【0021】

制御部１０は、入力部１１と、取得部１２と、算出部１３とを備え、これらの機能部により、設計対象である暗号方式において、達成したいセキュリティレベルに応じた効率性に関わるパラメータを出力する。

【0022】

入力部１１は、設計対象である第１暗号方式の安全性の帰着元である、すなわち安全性の根拠とする第２暗号方式において達成したいセキュリティレベルの入力を受け付ける。

【0023】

取得部１２は、安全性の帰着に基づいて設定された、セキュリティレベル及び攻撃者に許容するサンプル数に対するパラメータの計算式を取得する。この計算式は、従来のサンプル数に依存したものである。

【0024】

算出部１３は、計算式における攻撃者に許容するサンプル数を、安全性の帰着を証明可能な最小値として、パラメータを算出する。

【0025】

ここで、非特許文献２には、単一サンプルが計算量的識別不可ならば、そのｍ個の複数サンプルも、高々ｍのａｄｖａｎｔａｇｅのｌｏｓｓで、計算量的識別不可であるといいう、次の定理（１）が示されている。
定理（１）：

【数1】

【0026】

この定理に反する例、つまりｋ個のサンプルでは計算量的識別不可であるのにｋ＋１個のサンプルでは識別可能であるような、多項式時間で生成可能なサンプルは存在しないことが知られている（例えば、非特許文献３，４）。

【0027】

本実施形態では、この定理を次の系（定理２）に拡張して用いる。
定理（２）：
ある数ｍ＝ｐｏｌｙ（ｎ）で固定したサンプルが、真に一様ランダムなサンプルと計算量的に識別不可であるならば、その任意のｌ＝ｐｏｌｙ（ｎ）倍の数ｌ・ｍの独立同分布のサンプルも、高々ｌ倍のａｄｖａｎｔａｇｅのｌｏｓｓで、真に一様ランダムなサンプルと計算量的に識別不可である。

【0028】

仮に、この定理（２）に反する多項式時間で生成可能なサンプルがあるとすると、ＰＰＴ攻撃者に対して、ｍ個のサンプルまでは計算量的に識別不可だが、ｍ＋１個のサンプルでは識別可能な多項式時間で生成可能なサンプルが存在することになり、非特許文献３，４の証明に矛盾する。

【0029】

したがって、算出部１３により算出されるパラメータρ（ｎ）＝ｆ（α，ｍ_ｍｉｎ，ｎ）により構成された暗号方式は、許容するサンプル数ｍ＝ｌ・ｍ_ｍｉｎに対しても、セキュリティレベルα（ｎ）を満たす。
次に、具体的な暗号方式におけるパラメータの算出手順を例示する。

【0030】

［ＬＷＥ（Ｕ_ρｑ）暗号方式のパラメータ設計］
一様ノイズを用いるＬＷＥ（Ｕ_ρｑ）においては、前述のように、効率性に関するパラメータρ（ｎ）＝α・ｍ・ｎ^ζとすることで、ガウスノイズを用いるＬＷＥ（ｎ，ｍ，ｑ，Φ_α）でのエラーレートα（ｎ）と同等以上の安全性を、サンプル数ｍ≧３ｎで達成することができる。

【0031】

このとき、算出部１３は、定理（２）に基づいて、安全性の帰着を証明可能なサンプル数ｍの最小値ｍ_ｍｉｎ＝３ｎを用いて、ρ（ｎ）＝α・ｍ_ｍｉｎ・ｎ^ζ＝３α・ｎ^１＋ζを算出する。

【0032】

図２は、本実施形態における安全性の帰着の一例を示す図である。
この例では、ガウスノイズＤ_αを用いるＬＷＥ（ｍ，Ｄ_α）問題から一様ノイズＵ_ρｑを用いるＬＷＥ（ｍ，Ｕ_ρｑ）問題への帰着があることを示している。

【0033】

すなわち、許容するサンプル数ｍの場合に、ＬＷＥ（ｍ，Ｕ_ρｑ）問題は、エラーレートα＝ρ／（ｍｎ^ζ）のＬＷＥ（ｍ，Ｄ_α）問題と同等以上の困難性が保証される。
同様に、許容するサンプル数ｌ・ｍの場合に、ＬＷＥ（ｌ・ｍ，Ｕ_ρｑ）問題は、エラーレートα＝ρ／（ｌ・ｍｎ^ζ）のＬＷＥ（ｌ・ｍ，Ｄ_α）問題と同等以上の困難性が保証される。

【0034】

ここで、エラーレートは、許容するサンプル数がｍの場合よりｌ・ｍの場合の方が小さくなるため、許容するサンプル数が増大することで保証されるセキュリティレベルが低下するように見える。しかし、前述のように、ＬＷＥ（ｌ・ｍ，Ｕ_ρｑ）問題は、高々１／ｌ倍のａｄｖａｎｔａｇｅ ｌｏｓｓの代償でＬＷＥ（ｍ，Ｕ_ρｑ）問題と同等の困難性が保証される。したがって、ＬＷＥ（ｌ・ｍ，Ｕ_ρｑ）暗号方式は、ＬＷＥ（ｍ，Ｄ_α）の場合と同等以上の安全性を有する。

【0035】

［ｂｉｎａｒｙ ｓｅｃｒｅｔ Ｍｏｄｕｌｅ－ＬＷＥ暗号方式のパラメータ設計］
非特許文献５において、ガウスノイズのＭｏｄｕｌｅ－ＬＷＥ問題の困難性を根拠に、ｂｉｎａｒｙ ｓｅｃｒｅｔ Ｍｏｄｕｌｅ－ＬＷＥ暗号方式が設計されている。
具体的には、許容するサンプル数ｍ＝ｐｏｌｙ（ｎ）の場合に、達成したいセキュリティレベルとして、ガウスノイズのＭｏｄｕｌｅ－ＬＷＥにおけるエラーレートαを入力として、ｂｉｎａｒｙ ｓｅｃｒｅｔ Ｍｏｄｕｌｅ－ＬＷＥ暗号方式のエラーレートα’（ｎ）＝α・√ｍ・ｎ^２・ｄが出力される。

【0036】

これに対して、算出部１３は、定理（２）に基づいて、安全性の帰着を証明可能なサンプル数ｍの最小値ｍ_ｍｉｎ＝ｄを用いて、α’（ｎ）＝α・√ｍ_ｍｉｎ・ｎ^２・ｄ＝α・ｎ^２・ｄ^１．５を算出する。
これにより、ｂｉｎａｒｙ ｓｅｃｒｅｔ Ｍｏｄｕｌｅ－ＬＷＥ暗号方式は、許容するサンプル数ｍによらず、エラーレートαのガウスノイズのＭｏｄｕｌｅ－ＬＷＥの場合と同等以上の安全性を有する。

【0037】

さらに、設計装置１は、サンプル数に依存する既存の様々な安全性評価手法（困難性の帰着）に基づいて、前述の例と同様に、サンプル数に依存しないパラメータ設計を可能とする。

【0038】

例えば、非特許文献１、６～１０に示されたＬＷＥ≦ｕＬＷＥ，ＬＷＲの困難性の帰着に基づいて、ｕＬＷＥ（一様ノイズのＬＷＥ）型及びＬＷＲ型暗号方式のパラメータ設計が可能となる。
また、非特許文献１１に示されたＲＬＷＥ≦ＲＬＷＲ≦ＭＬＷＲの困難性の帰着に基づいて、ＲＬＷＲ（Ｒｉｎｇ－ＬＷＲ）型及びＭＬＷＲ（Ｍｏｄｕｌｅ－ＬＷＲ）型暗号方式のパラメータ設計が可能となる。

【0039】

ここで、ノイズ分布が一般のＬＷＥ問題は、ｑを整数とし、一様ランダムに選ばれた秘密ベクトルａ，ｓ←Ｕ（Ｚ^ｎ _ｑ）と、あるＺ_ｑ上の確率分布χから標本抽出するノイズｅ←χから計算されたサンプル
（ａ←Ｕ（Ｚ^ｎ _ｑ），ｂ：＝＜ａ，ｓ＞＋ｅ）∈Ｚ^ｎ _ｑ×Ｚ_ｑ
と、ランダムに生成されたサンプル
（ａ←Ｕ（Ｚ^ｎ _ｑ），ｂ←Ｕ（Ｚ_ｑ））∈Ｚ^ｎ _ｑ×Ｚ_ｑ
とを識別する問題である。

【0040】

なお、ＬＷＥのノイズ分布χには、エラーレートα：＝σ／ｑの、つまり標準偏差σ＝ｑαの離散ガウス分布Φ_α：＝Ｎ（０，σ^２）が用いられることが標準的であり、この場合の計算困難性が良く知られている。

【0041】

また、ＬＷＲ問題は、ｑ，ｐを整数とし、一様ランダムに選ばれた秘密ベクトルａ，ｓ←Ｕ（Ｚ^ｎ _ｑ）から計算されたサンプル
（ａ←Ｕ（Ｚ^ｎ _ｑ），ｂ：＝「ｐ／ｑ＜ａ，ｓ＞」）∈Ｚ^ｎ _ｑ×Ｚ_ｑ
と、ランダムに生成されたサンプル
（ａ←Ｕ（Ｚ^ｎ _ｑ），ｂ←Ｕ（Ｚ_ｑ））∈Ｚ^ｎ _ｑ×Ｚ_ｑ
とを識別する問題である。

【0042】

このＬＷＲサンプルの丸め誤差を、
ξ：＝「（ｐ／ｑ）＜ａ，ｓ＞」－（ｐ／ｑ）＜ａ，ｓ＞
と定義すると、丸め誤差ξは、［－１／２，１／２）の一様分布に従う。よって、
（ｑ／ｐ）「（ｐ／ｑ）＜ａ，ｓ＞」
＝（ｑ／ｐ）（（ｐ／ｑ）＜ａ，ｓ＞＋ξ）＝＜ａ，ｓ＞＋（ｑ／ｐ）ξ
と式変形できることから、ＬＷＲ問題は、ノイズが（ｑ／ｐ）ξのＬＷＥ問題に変形可能であり、（ｑ／ｐ）ξは、［－ｑ／（２ｐ），ｑ／（２ｐ））の一様乱数となる。

【0043】

このことから、設計装置１は、例えば、ガウスノイズのＬＷＥ問題から帰着したｕＬＷＥ問題を安全性の根拠として、さらにＬＷＲ型暗号方式を設計することも可能である。

【0044】

本実施形態によれば、設計装置１は、第１暗号方式の安全性の帰着元である第２暗号方式において達成したいセキュリティレベルの入力を受け付け、この安全性の帰着に基づいて、攻撃者に許容するサンプル数に依存して設計された第１暗号方式のパラメータの計算式のうち、攻撃者に許容するサンプル数を、安全性の帰着を証明可能な最小値として、パラメータを算出する。

【0045】

これにより、設計装置１は、攻撃者に許容するサンプル数に依存して設計された従来のパラメータ計算式を用いて、サンプル数によらず安全性が保証され、かつ、効率的な暗号方式を構成可能なパラメータを出力できる。したがって、サンプル数に依存してセキュリティパラメータ値が変動する任意のパラメータ設計装置を、サンプル数に依存しないパラメータ設計装置へ改良することが可能である。

【0046】

なお、前述の実施形態により、例えば、安全な暗号方式の設計が容易にできることから、国連が主導する持続可能な開発目標（ＳＤＧｓ）の目標９「レジリエントなインフラを整備し、持続可能な産業化を推進するとともに、イノベーションの拡大を図る」に貢献することが可能となる。

【0047】

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

【0048】

設計装置１による設計方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

【符号の説明】

【0049】

１ 設計装置
１０ 制御部
１１ 入力部
１２ 取得部
１３ 算出部
２０ 記憶部

【図1】

【図2】