(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-10-04
(45)【発行日】2024-10-15
(54)【発明の名称】安全性評価装置、安全性評価方法及び安全性評価プログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20241007BHJP
【ＦＩ】
G09C1/00 620Z
【請求項の数】
9
(21)【出願番号】P 2021201850
(22)【出願日】2021-12-13
(65)【公開番号】P2023087456
(43)【公開日】2023-06-23
【審査請求日】2024-02-09
(73)【特許権者】
【識別番号】000208891
【氏名又は名称】ＫＤＤＩ株式会社
(74)【代理人】
【識別番号】100106002
【弁理士】
【氏名又は名称】正林 真之
(74)【代理人】
【識別番号】100120891
【弁理士】
【氏名又は名称】林 一好
(72)【発明者】
【氏名】岡田 大樹
【審査官】塩澤 如正
(56)【参考文献】
【文献】米国特許出願公開第２０２２／００４５８６５（ＵＳ，Ａ１）
【文献】四方 順司，量子コンピュータに耐性のある暗号技術の標準化動向：米国政府標準暗号について，日本銀行 金融研究所ディスカッション・ペーパー・シリーズ，日本銀行金融研究所，2019年03月15日，pp.1-34
【文献】青野 良範 ほか，SIS問題の計算量評価，２０１７年 暗号と情報セキュリティシンポジウム（ＳＣＩＳ２０１７）予稿集，2017年01月24日，pp.1-8
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０９Ｃ１／００－５／００
Ｈ０４Ｌ９／００－９／４０
(57)【特許請求の範囲】
【請求項1】
確率分布χｍを用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）問題の入力を受け付ける入力部と、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得部と、
取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力部と、を備える安全性評価装置。
【請求項2】
無限大ノルムβ∞を用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）問題の入力を受け付ける入力部と、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得部と、
取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力部と、を備える安全性評価装置。
【請求項3】
Ｌ２ノルムβを用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，β）問題の入力を受け付ける入力部と、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，β）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得部と、
取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力部と、を備える安全性評価装置。
【請求項4】
確率分布χｍを用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）問題の入力を受け付ける入力ステップと、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得ステップと、
取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力ステップと、をコンピュータが実行する安全性評価方法。
【請求項5】
無限大ノルムβ∞を用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）問題の入力を受け付ける入力ステップと、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得ステップと、
取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力ステップと、をコンピュータが実行する安全性評価方法。
【請求項6】
Ｌ２ノルムβを用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，β）問題の入力を受け付ける入力ステップと、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，β）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得ステップと、
取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力ステップと、をコンピュータが実行する安全性評価方法。
【請求項7】
請求項１に記載の安全性評価装置としてコンピュータを機能させるための安全性評価プログラム。
【請求項8】
請求項２に記載の安全性評価装置としてコンピュータを機能させるための安全性評価プログラム。
【請求項9】
請求項３に記載の安全性評価装置としてコンピュータを機能させるための安全性評価プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号方式の安全性を評価する装置、方法及びプログラムに関する。
【背景技術】
【0002】
従来、ＳＩＳ（Ｓｈｏｒｔ Ｉｎｔｅｇｅｒ Ｓｏｌｕｔｉｏｎ）問題に基づく暗号方式のパラメータを設計するために、その安全性（計算困難性）を評価する際には、次の定理１が用いられている（例えば、非特許文献１参照）。
【0003】
定理１：
βとＸ⊆Ｚｍは、任意の異なるｘ，ｘ’∈Ｘに対して、ｇｃｄ（ｘ－ｘ’，ｑ）＝１、及び∥ｘ－ｘ’∥∞≦βを満たすとする。このとき、任意の自然数ｃに対して、帰着ｃｏｌｌｉｓｉｏｎ－ｆｉｎｄｉｎｇ ＳＩＳ（ｍｃ，ｎ，ｑｃ，βｃ）→ｃｏｌｌｉｓｉｏｎ－ｆｉｎｄｉｎｇ ＳＩＳ（ｍ，ｎ，ｑ，β）が存在する。
βとＸ⊆Ｚｍは、任意の異なるｘ，ｘ’∈Ｘに対して、ｇｃｄ（ｘ－ｘ’，ｑ）＝１、及び∥ｘ－ｘ’∥∞≦βを満たすとする。このとき、任意の自然数ｃに対して、帰着ｃｏｌｌｉｓｉｏｎ－ｆｉｎｄｉｎｇ ＳＩＳ（ｍｃ，ｎ，ｑｃ，βｃ）→ｃｏｌｌｉｓｉｏｎ－ｆｉｎｄｉｎｇ ＳＩＳ（ｍ，ｎ，ｑ，β）が存在する。
【0004】
ここで、帰着Ａ→Ｂとは、
・「問題Ａを解くことは、問題Ｂを解くことに帰着される」ことを意味し、
・「問題Ａが難しいならば、問題Ｂも難しい」こと、あるいは、
・「問題Ｂが解けるならば、問題Ａも解ける」ことと同義である。
・「問題Ａを解くことは、問題Ｂを解くことに帰着される」ことを意味し、
・「問題Ａが難しいならば、問題Ｂも難しい」こと、あるいは、
・「問題Ｂが解けるならば、問題Ａも解ける」ことと同義である。
【0005】
この定理１を用いた安全性評価方法のアルゴリズム１は、次のように記述される。前提として、あるｃ∈Ｎに対して、ＳＩＳ（ｍ，ｎ，ｑ，β）問題の計算困難性は既知であるとし、ある対応関係ｆｈａｒｄｎｅｓｓ（・）により、ビットセキュリティλ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｍ，ｎ，ｑ，β））が得られる。
【0006】
アルゴリズム１：
Ｉｎｐｕｔ： 計算困難性が未知のＳＩＳ（ｍｃ，ｎ，ｑｃ，βｃ）問題
Ｏｕｔｐｕｔ： ビットセキュリティλ（計算量Ｏ（２λ））
１ λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｍ，ｎ，ｑ，β））
２ ｒｅｔｕｒｎ λ
Ｉｎｐｕｔ： 計算困難性が未知のＳＩＳ（ｍｃ，ｎ，ｑｃ，βｃ）問題
Ｏｕｔｐｕｔ： ビットセキュリティλ（計算量Ｏ（２λ））
１ λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｍ，ｎ，ｑ，β））
２ ｒｅｔｕｒｎ λ
【先行技術文献】
【非特許文献】
【0007】
【文献】Daniele Micciancio and Chris Peikert. "Hardness of SIS and LWE with Small Parameters". In: CRYPTO 2013. Ed. by Ran Canetti and Juan A. Garay. 2013, pp. 21-39.
【文献】Oded Goldreich. Foundations of Cryptography - I: Basic Tools. Cambridge University Press, 2001.
【文献】Daniele Micciancio and Petros Mol. "Pseudorandom Knapsacks and the Sample Complexity of LWE Search-to-Decision Reductions". In: CRYPTO 2011. Ed. by Phillip Rogaway. 2011, pp. 465-484.
【発明の概要】
【発明が解決しようとする課題】
【0008】
しかしながら、アルゴリズム１による安全性評価方法は、あるｃ∈Ｎに対して、ＳＩＳ（ｍｃ，ｎ，ｑｃ，βｃ）問題の計算困難性を示すことができるが、サンプル数に関するｍｃを大きくできる一方、法ｑｃもｃに依存して大きくなり、暗号方式を構成するための鍵長及び暗号文等が長くなるという、実用上の強い制限があった。
【0009】
本発明は、ＳＩＳ問題に基づく暗号方式に関して、より制限の弱い安全性評価装置、安全性評価方法及び安全性評価プログラムを提供することを目的とする。
【課題を解決するための手段】
【0010】
本発明に係る第１の安全性評価装置は、確率分布χｍを用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）問題の入力を受け付ける入力部と、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得部と、取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力部と、を備える。
【0011】
本発明に係る第２の安全性評価装置は、無限大ノルムβ∞を用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）問題の入力を受け付ける入力部と、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得部と、取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力部と、を備える。
【0012】
本発明に係る第３の安全性評価装置は、Ｌ２ノルムβを用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，β）問題の入力を受け付ける入力部と、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，β）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得部と、取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力部と、を備える。
【0013】
本発明に係る第１の安全性評価方法は、確率分布χｍを用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）問題の入力を受け付ける入力ステップと、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得ステップと、取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力ステップと、をコンピュータが実行する。
【0014】
本発明に係る第２の安全性評価方法は、無限大ノルムβ∞を用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）問題の入力を受け付ける入力ステップと、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得ステップと、取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力ステップと、をコンピュータが実行する。
【0015】
本発明に係る第２の安全性評価方法は、Ｌ２ノルムβを用いて定義された計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，β）問題の入力を受け付ける入力ステップと、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ（ｌ，ｌ－ｎ，ｑ，β）問題を探索し、探索されたＳＩＳ問題のビットセキュリティを取得する取得ステップと、取得した前記ビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する出力ステップと、をコンピュータが実行する。
【0016】
本発明に係る安全性評価プログラムは、前記第１から第３のいずれかの安全性評価装置としてコンピュータを機能させるためのものである。
【発明の効果】
【0017】
本発明によれば、ＳＩＳ問題に基づく暗号方式に関して、より制限の弱い安全性評価装置を構成できる。
【図面の簡単な説明】
【0018】
【図1】実施形態における安全性評価装置の機能構成を示す図である。
【発明を実施するための形態】
【0019】
以下、本発明の実施形態の一例について説明する。
本実施形態の安全性評価方法は、ＳＩＳ問題に基づく暗号方式に対してのパラメータ設計の際に安全性を評価するものであり、安全性が既知のパラメータに対して、法ｑを固定したパラメータ調整を可能とした、従来よりも制限の弱い評価装置が構成される。
本実施形態の安全性評価方法は、ＳＩＳ問題に基づく暗号方式に対してのパラメータ設計の際に安全性を評価するものであり、安全性が既知のパラメータに対して、法ｑを固定したパラメータ調整を可能とした、従来よりも制限の弱い評価装置が構成される。
【0020】
まず、計算量的識別不可能性に関する定義１～６及び定理２を次に示す。
なお、
ｐｏｌｙ（ｎ）： 任意の多項式ｎＯ（１）の集合
ｎｅｇｌ（ｎ）： 任意の（１／多項式）より小さい関数ｎ－ω（１）の集合（無視可能関数）
である。
なお、
ｐｏｌｙ（ｎ）： 任意の多項式ｎＯ（１）の集合
ｎｅｇｌ（ｎ）： 任意の（１／多項式）より小さい関数ｎ－ω（１）の集合（無視可能関数）
である。
【0021】
定義１（確率変数族Ｘ）：
長さが高々ｐｏｌｙ（ｎ）の確率変数をＸｎとすると、確率変数族は、Ｘ＝｛Ｘｉ｝ｉ∈Ｎと定義される。
長さが高々ｐｏｌｙ（ｎ）の確率変数をＸｎとすると、確率変数族は、Ｘ＝｛Ｘｉ｝ｉ∈Ｎと定義される。
【0022】
定義２（計算量的識別不可能性）：
二つの確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈ＮとＹ：＝｛Ｙｎ｝ｎ∈Ｎとは、任意の確率的多項式時間（ＰＰＴ）アルゴリズムＤに対して、｜Ｐｒ［Ｄ（Ｘｎ，１ｎ）＝１］－Ｐｒ［Ｄ（Ｙｎ，１ｎ）＝１］｜＝ｎｅｇｌ（ｎ）を満たすときに、計算量的識別不可能であると呼び、
と表記する。
二つの確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈ＮとＹ：＝｛Ｙｎ｝ｎ∈Ｎとは、任意の確率的多項式時間（ＰＰＴ）アルゴリズムＤに対して、｜Ｐｒ［Ｄ（Ｘｎ，１ｎ）＝１］－Ｐｒ［Ｄ（Ｙｎ，１ｎ）＝１］｜＝ｎｅｇｌ（ｎ）を満たすときに、計算量的識別不可能であると呼び、
【数1】
【0023】
定義３（擬似ランダムな確率変数族）：
特に、確率変数族の一つを（長さが高々ｐｏｌｙ（ｎ）の）一様なランダムな確率変数族Ｕ：＝｛Ｕｉ｝ｉ∈Ｎとしたとき、
を満たす確率変数族Ｘを擬似ランダムであるという。
特に、確率変数族の一つを（長さが高々ｐｏｌｙ（ｎ）の）一様なランダムな確率変数族Ｕ：＝｛Ｕｉ｝ｉ∈Ｎとしたとき、
【数2】
【0024】
定義４（Ｐｒｏｄｕｃｔ ｏｆ ｅｎｓｅｍｂｌｅｓ）：
確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈Ｎ及びｍ＝ｐｏｌｙ（ｎ）に対して、Ｘのｍ－ｐｒｏｄｕｃｔを確率変数族Ｘｍ：＝｛（Ｘｎ，１，…，Ｘｎ，ｍ）｝ｎ∈Ｎとする。ここで、Ｘｎ，ｉは、それぞれＸｎのコピー（独立同分布な確率変数）である。
確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈Ｎ及びｍ＝ｐｏｌｙ（ｎ）に対して、Ｘのｍ－ｐｒｏｄｕｃｔを確率変数族Ｘｍ：＝｛（Ｘｎ，１，…，Ｘｎ，ｍ）｝ｎ∈Ｎとする。ここで、Ｘｎ，ｉは、それぞれＸｎのコピー（独立同分布な確率変数）である。
【0025】
定義５（複数標本の計算量的識別不可能性）：
二つの確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈ＮとＹ：＝｛Ｙｎ｝ｎ∈Ｎとは、任意の確率的多項式時間（ＰＰＴ）アルゴリズムＤ、及び任意のｍ＝ｐｏｌｙ（ｎ）に対して、｜Ｐｒ［Ｄ（Ｘｍ）＝１］－Ｐｒ［Ｄ（Ｙｍ）＝１］｜＝ｎｅｇｌ（ｎ）を満たすときに、複数標本で計算量的識別不可能（ｉｎｄｉｓｔｉｎｇｕｉｓｈａｂｌｅ ｂｙ ｐｏｌｙｎｏｍｉａｌ－ｔｉｍｅ ｓａｍｐｌｉｎｇ）と呼び、
と表記する。
二つの確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈ＮとＹ：＝｛Ｙｎ｝ｎ∈Ｎとは、任意の確率的多項式時間（ＰＰＴ）アルゴリズムＤ、及び任意のｍ＝ｐｏｌｙ（ｎ）に対して、｜Ｐｒ［Ｄ（Ｘｍ）＝１］－Ｐｒ［Ｄ（Ｙｍ）＝１］｜＝ｎｅｇｌ（ｎ）を満たすときに、複数標本で計算量的識別不可能（ｉｎｄｉｓｔｉｎｇｕｉｓｈａｂｌｅ ｂｙ ｐｏｌｙｎｏｍｉａｌ－ｔｉｍｅ ｓａｍｐｌｉｎｇ）と呼び、
【数3】
【0026】
定義６（効率的に生成可能な確率変数族）：
確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈Ｎは、あるＰＰＴアルゴリズムＳがあって、確率変数Ｓ（１ｎ）とＸｎとが同分布であるとき、多項式時間で生成可能（ｐｏｌｙｎｏｍｉａｌ－ｔｉｍｅ－ｃｏｎｓｔｒｕｃｔｉｂｌｅ）であるという。
確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈Ｎは、あるＰＰＴアルゴリズムＳがあって、確率変数Ｓ（１ｎ）とＸｎとが同分布であるとき、多項式時間で生成可能（ｐｏｌｙｎｏｍｉａｌ－ｔｉｍｅ－ｃｏｎｓｔｒｕｃｔｉｂｌｅ）であるという。
【0027】
定理２（非特許文献２）：
多項式時間で生成可能な二つの確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈Ｎ及びＹ：＝｛Ｙｎ｝ｎ∈Ｎが計算量的識別不可能であるならば、複数標本で計算量的識別不可能である。つまり、
が成り立つとき、任意のｍ＝ｐｏｌｙ（ｎ）に対して、
が成立する。
多項式時間で生成可能な二つの確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈Ｎ及びＹ：＝｛Ｙｎ｝ｎ∈Ｎが計算量的識別不可能であるならば、複数標本で計算量的識別不可能である。つまり、
【数4】
【数5】
【0028】
次に、ＬＷＥ問題、及びその双対問題として知られるＳＩＳ問題に関する定義７～１１、補題、定理３～４及び系を次に示す。
【0029】
定義７（Ｄｅｃｉｓｉｏｎ－ＬＷＥ問題 ｄ－ＬＷＥ（ｍ，ｎ，ｑ，χｍ））：
ｑを整数とする。
一様ランダムに選ばれたａ←Ｕ（Ｚｎ ｑ），ｓ←Ｕ（Ｚｎ ｑ）と、あるＺｑ上の確率分布χから標本抽出するノイズｅ←χとを用いて計算されたＬＷＥサンプル
ＬＷＥ（１，ｎ，ｑ，χ）：
（ａ←Ｕ（Ｚｎ ｑ），ｂ：＝＜ａ，ｓ＞＋ｅ ｍｏｄ ｑ）∈Ｚｎ ｑ×Ｚｑ
と、一様ランダムに生成されたサンプル
（ａ←Ｕ（Ｚｎ ｑ），ｂ←Ｕ（Ｚｑ））∈Ｚｎ ｑ×Ｚｑ
とを識別する問題であり、任意のｍ＝ｐｏｌｙ（ｎ）本のサンプルが得られる。
ｑを整数とする。
一様ランダムに選ばれたａ←Ｕ（Ｚｎ ｑ），ｓ←Ｕ（Ｚｎ ｑ）と、あるＺｑ上の確率分布χから標本抽出するノイズｅ←χとを用いて計算されたＬＷＥサンプル
ＬＷＥ（１，ｎ，ｑ，χ）：
（ａ←Ｕ（Ｚｎ ｑ），ｂ：＝＜ａ，ｓ＞＋ｅ ｍｏｄ ｑ）∈Ｚｎ ｑ×Ｚｑ
と、一様ランダムに生成されたサンプル
（ａ←Ｕ（Ｚｎ ｑ），ｂ←Ｕ（Ｚｑ））∈Ｚｎ ｑ×Ｚｑ
とを識別する問題であり、任意のｍ＝ｐｏｌｙ（ｎ）本のサンプルが得られる。
【0030】
また、ｄ－ＬＷＥ問題は、次のように、行列を用いて書き換えることもできる。すなわち、ｄ－ＬＷＥ問題は、任意のｍ＝ｐｏｌｙ（ｎ）に対して、一様ランダムに選ばれたＡ←Ｕ（Ｚｍ×ｎ
ｑ），ｓ←Ｕ（Ｚｎ
ｑ）と、あるＺｑ上の確率分布χから標本抽出するｍ個のノイズｅ←χｍとを用いて計算されたＬＷＥサンプル
ＬＷＥ（ｍ，ｎ，ｑ，χｍ）：
（Ａ←Ｕ（Ｚｍ×ｎ ｑ），ｂ：＝＜Ａ，ｓ＞＋ｅ ｍｏｄ ｑ）∈Ｚｍ×ｎ ｑ×Ｚｍ ｑ
と、一様ランダムに生成されたサンプル
（Ａ←Ｕ（Ｚｍ×ｎ ｑ），ｂ←Ｕ（Ｚｍ ｑ））∈Ｚｍ×ｎ ｑ×Ｚｍ ｑ
とを識別する問題である。
ＬＷＥ（ｍ，ｎ，ｑ，χｍ）：
（Ａ←Ｕ（Ｚｍ×ｎ ｑ），ｂ：＝＜Ａ，ｓ＞＋ｅ ｍｏｄ ｑ）∈Ｚｍ×ｎ ｑ×Ｚｍ ｑ
と、一様ランダムに生成されたサンプル
（Ａ←Ｕ（Ｚｍ×ｎ ｑ），ｂ←Ｕ（Ｚｍ ｑ））∈Ｚｍ×ｎ ｑ×Ｚｍ ｑ
とを識別する問題である。
【0031】
このように、ｄ－ＬＷＥ（ｍ，ｎ，ｑ，χ）とは、ＬＷＥサンプルを一様ランダムなサンプルと識別する問題であるから、「ｄ－ＬＷＥ（ｍ，ｎ，ｑ，χ）の計算困難性」と「ＬＷＥ（ｍ，ｎ，ｑ，χ）の擬似ランダム性」（定義３）とは同義である。
【0032】
定義８（ＳＩＳサンプル）：
Ｓｈｏｒｔ Ｉｎｔｅｇｅｒ Ｓｏｌｕｔｉｏｎ（ＳＩＳ）サンプルは、次のように定義される。
ＳＩＳ（ｍ，ｎ，ｑ，χｍ）：
（Ａ←Ｕ（Ｚｍ×ｎ ｑ），ｂ：＝ＡＴｘ ｍｏｄ ｑ）∈Ｚｍ×ｎ ｑ×Ｚｎ ｑ，
ｗｈｅｒｅ ｘ←χｍ
Ｓｈｏｒｔ Ｉｎｔｅｇｅｒ Ｓｏｌｕｔｉｏｎ（ＳＩＳ）サンプルは、次のように定義される。
ＳＩＳ（ｍ，ｎ，ｑ，χｍ）：
（Ａ←Ｕ（Ｚｍ×ｎ ｑ），ｂ：＝ＡＴｘ ｍｏｄ ｑ）∈Ｚｍ×ｎ ｑ×Ｚｎ ｑ，
ｗｈｅｒｅ ｘ←χｍ
【0033】
多くの場合、確率分布χｍは、パラメータβ∈Ｒ、任意のｘ，ｘ’←χｍに対して∥ｘ－ｘ’∥≦βを満たすものと定義され、この場合、ＳＩＳサンプルは、ＳＩＳ（ｍ，ｎ，ｑ，β）と表記される。
また、無限大ノルムβ∞：∥ｘ－ｘ’∥∞≦β∞（ｘ－ｘ’の係数の絶対値の最大値）を定義すると、∥ｘ－ｘ’∥≦√ｍβ∞が成立するため、ＳＩＳ（ｍ，ｎ，ｑ，√ｍβ∞）と定義されることもある。
また、無限大ノルムβ∞：∥ｘ－ｘ’∥∞≦β∞（ｘ－ｘ’の係数の絶対値の最大値）を定義すると、∥ｘ－ｘ’∥≦√ｍβ∞が成立するため、ＳＩＳ（ｍ，ｎ，ｑ，√ｍβ∞）と定義されることもある。
【0034】
定義９（Ｄｅｃｉｓｉｏｎ－ＳＩＳ問題）：
ＳＩＳ（ｍ，ｎ，ｑ，χｍ）：（Ａ，ｂ）∈Ｚｍ×ｎ ｑ×Ｚｎ ｑ
と、一様ランダムに生成されたサンプル
（Ａ←Ｕ（Ｚｍ×ｎ ｑ），ｂ←Ｕ（Ｚｎ ｑ））∈Ｚｍ×ｎ ｑ×Ｚｎ ｑ
とを識別する問題である。
ＳＩＳ（ｍ，ｎ，ｑ，χｍ）：（Ａ，ｂ）∈Ｚｍ×ｎ ｑ×Ｚｎ ｑ
と、一様ランダムに生成されたサンプル
（Ａ←Ｕ（Ｚｍ×ｎ ｑ），ｂ←Ｕ（Ｚｎ ｑ））∈Ｚｍ×ｎ ｑ×Ｚｎ ｑ
とを識別する問題である。
【0035】
定義１０（ｉｎｖｅｒｔｉｎｇ ＳＩＳ問題）：
ＳＩＳ（ｍ，ｎ，ｑ，χｍ）（又はＳＩＳ（ｍ，ｎ，ｑ，β））に対して、一つの現像ｘ（ｂ＝ＡＴｘ）を求める問題である。
ＳＩＳ（ｍ，ｎ，ｑ，χｍ）（又はＳＩＳ（ｍ，ｎ，ｑ，β））に対して、一つの現像ｘ（ｂ＝ＡＴｘ）を求める問題である。
【0036】
定義１１（ｃｏｌｌｉｓｏｎ－ｆｉｎｄｉｎｇ ＳＩＳ問題）：
ＳＩＳ（ｍ，ｎ，ｑ，χｍ）（又はＳＩＳ（ｍ，ｎ，ｑ，β））に対して、二つの現像ｘ，ｘ’（ｂ＝ＡＴｘ，ｂ＝ＡＴｘ’）を求める問題である。
ＳＩＳ（ｍ，ｎ，ｑ，χｍ）（又はＳＩＳ（ｍ，ｎ，ｑ，β））に対して、二つの現像ｘ，ｘ’（ｂ＝ＡＴｘ，ｂ＝ＡＴｘ’）を求める問題である。
【0037】
ここで、帰着ｉｎｖｅｒｔｉｎｇ ＳＩＳ→ｄｅｃｉｓｉｏｎ ＳＩＳが非特許文献３で示されている。逆も真なので、ｉｎｖｅｒｔｉｎｇ ＳＩＳ＝ｄｅｃｉｓｉｏｎ ＳＩＳである。また、ｃｏｌｌｉｓｉｏｎ－ｆｉｎｄｉｎｇ ＳＩＳ→ｉｎｖｅｒｔｉｎｇ ＳＩＳは明らかである。
さらに、非特許文献３において、ＳＩＳ問題とＬＷＥ問題との等価性（双方向の帰着）も示されている。
したがって、非特許文献３から次の補題１が得られる。
さらに、非特許文献３において、ＳＩＳ問題とＬＷＥ問題との等価性（双方向の帰着）も示されている。
したがって、非特許文献３から次の補題１が得られる。
【0038】
補題１（ｄ－ＳＩＳ＝ｄ－ＬＷＥ）：
任意のｎ，ｍ≧ｎ＋ω（ｌｏｇ ｎ），ｑと、任意のＺ上の分布χに対して、ｄ－ＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）が計算困難であるとき、かつ、そのときに限り、ＬＷＥ（ｍ，ｎ，ｑ，χｍ）は計算困難である。
任意のｎ，ｍ≧ｎ＋ω（ｌｏｇ ｎ），ｑと、任意のＺ上の分布χに対して、ｄ－ＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）が計算困難であるとき、かつ、そのときに限り、ＬＷＥ（ｍ，ｎ，ｑ，χｍ）は計算困難である。
【0039】
また、前述の定理２は、次のように拡張できる。
定理３：
多項式時間で生成可能な二つの確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈Ｎ及びＹ：＝｛Ｙｎ｝ｎ∈Ｎがある（適当な）ｍ＝ｐｏｌｙ（ｎ）標本で計算量的識別不可能であるならば、任意のｌ＝ｐｏｌｙ（ｎ）標本で計算量的識別不可能である。つまり、ある（適当な）ｍ＝ｐｏｌｙ（ｎ）で
が成立するとき、任意のｌ＝ｐｏｌｙ（ｎ）に対しても、
が成立する。
定理３：
多項式時間で生成可能な二つの確率変数族Ｘ：＝｛Ｘｎ｝ｎ∈Ｎ及びＹ：＝｛Ｙｎ｝ｎ∈Ｎがある（適当な）ｍ＝ｐｏｌｙ（ｎ）標本で計算量的識別不可能であるならば、任意のｌ＝ｐｏｌｙ（ｎ）標本で計算量的識別不可能である。つまり、ある（適当な）ｍ＝ｐｏｌｙ（ｎ）で
【数6】
【数7】
【0040】
この定理３は、次の二つの事実の組み合わせにより証明可能である。
・Ｘ’：＝Ｘｍ，Ｙ’：＝Ｙｍと定義し直すと、定理２より、任意のｋ＝ｐｏｌｙ（ｎ）に対して、
が成立し、つまり、
が成立する。
・定理２の逆は明らかである。すなわち、
が成立するとき、任意の１≦ｍ＜ｌに対して、
が成立するのは明らかである。
・Ｘ’：＝Ｘｍ，Ｙ’：＝Ｙｍと定義し直すと、定理２より、任意のｋ＝ｐｏｌｙ（ｎ）に対して、
【数8】
【数9】
・定理２の逆は明らかである。すなわち、
【数10】
【数11】
【0041】
この定理３をｄ－ＬＷＥ問題に適用することで、次の補題２が得られる。
補題２：
任意のｌ，ｍ＝ｐｏｌｙ（ｎ）に対して、帰着ｄ－ＬＷＥ（ｍ，ｎ，ｑ，χ）→ｄ－ＬＷＥ（ｌ，ｎ，ｑ，χ）が存在する。
補題２：
任意のｌ，ｍ＝ｐｏｌｙ（ｎ）に対して、帰着ｄ－ＬＷＥ（ｍ，ｎ，ｑ，χ）→ｄ－ＬＷＥ（ｌ，ｎ，ｑ，χ）が存在する。
【0042】
ここで、補題１（ＳＩＳとＬＷＥの等価性）より、任意のｍ≧ｎ＋ω（ｌｏｇ ｎ）に対して、ｄ－ＳＩＳ（ｍ，ｍ－ｎ，ｑ，χ）＝ｄ－ＬＷＥ（ｍ，ｎ，ｑ，χ）が成立する。さらに、補題２は、任意のｌ，ｍ＝ｐｏｌｙ（ｎ）に対して適用可能なので、双方向の帰着（等価性）ｄ－ＬＷＥ（ｍ，ｎ，ｑ，χ）＝ｄ－ＬＷＥ（ｌ，ｎ，ｑ，χ）を示している。
そして、再度補題１より、ｄ－ＬＷＥ（ｌ，ｎ，ｑ，χ）＝ｄ－ＳＩＳ（ｌ，ｌ－ｎ，ｑ，χ）が成立する。したがって、次の定理４が導かれる。
そして、再度補題１より、ｄ－ＬＷＥ（ｌ，ｎ，ｑ，χ）＝ｄ－ＳＩＳ（ｌ，ｌ－ｎ，ｑ，χ）が成立する。したがって、次の定理４が導かれる。
【0043】
定理４（主定理）：
任意のｌ，ｍ＝ｐｏｌｙ（ｎ）≧ｎ＋ω（ｌｏｇ ｎ），ｑ＝ｐｏｌｙ（ｎ），Ｚｍ上の確率分布χに対して、帰着ｄ－ＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ）→ｄ－ＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）が存在する。
任意のｌ，ｍ＝ｐｏｌｙ（ｎ）≧ｎ＋ω（ｌｏｇ ｎ），ｑ＝ｐｏｌｙ（ｎ），Ｚｍ上の確率分布χに対して、帰着ｄ－ＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ）→ｄ－ＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）が存在する。
【0044】
また、主定理４は、電子署名方式の構成等に多く用いられるＬ２ノルム又は無限大ノルムにより定義されたＳＩＳ問題に対する帰着にも、次のように適用可能である。
【0045】
系１：
任意のｌ，ｍ＝ｐｏｌｙ（ｎ）≧ｎ＋ω（ｌｏｇ ｎ），ｑ＝ｐｏｌｙ（ｎ），Ｚｍ上の確率分布χに対して、帰着ｄ－ＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞）→ｄ－ＳＩＳ（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）が存在する。
任意のｌ，ｍ＝ｐｏｌｙ（ｎ）≧ｎ＋ω（ｌｏｇ ｎ），ｑ＝ｐｏｌｙ（ｎ），Ｚｍ上の確率分布χに対して、帰着ｄ－ＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞）→ｄ－ＳＩＳ（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）が存在する。
【0046】
系２：
任意のｌ，ｍ＝ｐｏｌｙ（ｎ）≧ｎ＋ω（ｌｏｇ ｎ），ｑ＝ｐｏｌｙ（ｎ），Ｚｍ上の確率分布χに対して、帰着ｄ－ＳＩＳ（ｌ，ｌ－ｎ，ｑ，β）→ｄ－ＳＩＳ（ｍ，ｍ－ｎ，ｑ，β）が存在する。
任意のｌ，ｍ＝ｐｏｌｙ（ｎ）≧ｎ＋ω（ｌｏｇ ｎ），ｑ＝ｐｏｌｙ（ｎ），Ｚｍ上の確率分布χに対して、帰着ｄ－ＳＩＳ（ｌ，ｌ－ｎ，ｑ，β）→ｄ－ＳＩＳ（ｍ，ｍ－ｎ，ｑ，β）が存在する。
【0047】
これらの主定理４、系１又は系２により、本実施形態の安全性評価装置が構成される。
図１は、本実施形態における安全性評価装置１の機能構成を示す図である。
安全性評価装置１は、制御部１０及び記憶部２０の他、各種の入出力インタフェース等を備えた情報処理装置（コンピュータ）である。
図１は、本実施形態における安全性評価装置１の機能構成を示す図である。
安全性評価装置１は、制御部１０及び記憶部２０の他、各種の入出力インタフェース等を備えた情報処理装置（コンピュータ）である。
【0048】
制御部１０は、安全性評価装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。
【0049】
記憶部２０は、ハードウェア群を安全性評価装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。
具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるためのプログラム（安全性評価プログラム）の他、既知のパラメータと安全性（計算困難性）との対応関係ｆｈａｒｄｎｅｓｓ（・）を示す関係式又はデータベース等を記憶する。
具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるためのプログラム（安全性評価プログラム）の他、既知のパラメータと安全性（計算困難性）との対応関係ｆｈａｒｄｎｅｓｓ（・）を示す関係式又はデータベース等を記憶する。
【0050】
制御部１０は、入力部１１と、取得部１２と、出力部１３とを備え、これらの機能部により、設計対象である暗号方式の安全性の根拠となるＳＩＳ問題の計算困難性を示す評価値を出力する。
【0051】
入力部１１は、計算困難性が未知のＳＩＳ問題の入力を受け付ける。
ここで、入力されるＳＩＳ問題のパラメータは、前述の確率分布χを用いた（ｍ，ｍ－ｎ，ｑ，χｍ）、無限大ノルムβ∞を用いた（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）、又はＬ２ノルムβを用いた（ｍ，ｍ－ｎ，ｑ，β）である。
ここで、入力されるＳＩＳ問題のパラメータは、前述の確率分布χを用いた（ｍ，ｍ－ｎ，ｑ，χｍ）、無限大ノルムβ∞を用いた（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）、又はＬ２ノルムβを用いた（ｍ，ｍ－ｎ，ｑ，β）である。
【0052】
取得部１２は、入力されたＳＩＳ問題と法ｑが共通し、かつ、計算困難性が既知のＳＩＳ問題を探索し、探索されたＳＩＳ問題のビットセキュリティλを取得する。
このとき、取得部１２は、ＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）問題に対しては、ＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ）問題を探索し、ＳＩＳ（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）問題に対しては、ＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞）問題を探索し、ＳＩＳ（ｍ，ｍ－ｎ，ｑ，β）問題に対しては、ＳＩＳ（ｌ，ｌ－ｎ，ｑ，β）問題を探索する。
このとき、取得部１２は、ＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）問題に対しては、ＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ）問題を探索し、ＳＩＳ（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）問題に対しては、ＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞）問題を探索し、ＳＩＳ（ｍ，ｍ－ｎ，ｑ，β）問題に対しては、ＳＩＳ（ｌ，ｌ－ｎ，ｑ，β）問題を探索する。
【0053】
出力部１３は、取得したビットセキュリティを、入力されたＳＩＳ問題を安全性の根拠とする暗号方式の評価値として出力する。
【0054】
安全性評価装置１による処理手順は、次のアルゴリズム２～４のいずれかで表される。
なお、前提として、あるｌ＝ｐｏｌｙ（ｎ）に対して、λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ））、λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞））、又はλ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，β））が既知であるとする。
なお、前提として、あるｌ＝ｐｏｌｙ（ｎ）に対して、λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ））、λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞））、又はλ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，β））が既知であるとする。
【0055】
アルゴリズム２：
Ｉｎｐｕｔ： 計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）問題
Ｏｕｔｐｕｔ： ビットセキュリティλ（計算量Ｏ（２λ））
１ あるｌ＝ｐｏｌｙ（ｎ）に対して、λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ））を得る。
２ ｒｅｔｕｒｎ λ
Ｉｎｐｕｔ： 計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，χｍ）問題
Ｏｕｔｐｕｔ： ビットセキュリティλ（計算量Ｏ（２λ））
１ あるｌ＝ｐｏｌｙ（ｎ）に対して、λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，χｌ））を得る。
２ ｒｅｔｕｒｎ λ
【0056】
アルゴリズム３：
Ｉｎｐｕｔ： 計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）問題
Ｏｕｔｐｕｔ： ビットセキュリティλ（計算量Ｏ（２λ））
１ あるｌ＝ｐｏｌｙ（ｎ）に対して、λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞））を得る。
２ ｒｅｔｕｒｎ λ
Ｉｎｐｕｔ： 計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，√ｍ・β∞）問題
Ｏｕｔｐｕｔ： ビットセキュリティλ（計算量Ｏ（２λ））
１ あるｌ＝ｐｏｌｙ（ｎ）に対して、λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，√ｌ・β∞））を得る。
２ ｒｅｔｕｒｎ λ
【0057】
アルゴリズム４：
Ｉｎｐｕｔ： 計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，β）問題
Ｏｕｔｐｕｔ： ビットセキュリティλ（計算量Ｏ（２λ））
１ あるｌ＝ｐｏｌｙ（ｎ）に対して、λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，β））を得る。
２ ｒｅｔｕｒｎ λ
Ｉｎｐｕｔ： 計算困難性が未知のＳＩＳ（ｍ，ｍ－ｎ，ｑ，β）問題
Ｏｕｔｐｕｔ： ビットセキュリティλ（計算量Ｏ（２λ））
１ あるｌ＝ｐｏｌｙ（ｎ）に対して、λ＝ｆｈａｒｄｎｅｓｓ（ＳＩＳ（ｌ，ｌ－ｎ，ｑ，β））を得る。
２ ｒｅｔｕｒｎ λ
【0058】
本実施形態によれば、安全性評価装置１は、ＳＩＳ問題の計算困難性を安全性の根拠とする暗号方式について、処理効率に関わるパラメータである法ｑを固定した計算困難性の帰着に基づいて安全性を評価する。
したがって、安全性評価装置１は、例えば、ＳＩＳサンプル数に関わるパラメータｍを大きく設定した場合にも、法ｑの大きさが同一の既知の暗号方式と同等の安全性を評価できる。すなわち、安全性評価装置１は、従来に比べて、より制限の弱いパラメータ設計方法を提供でき、この結果、暗号文長及び鍵長等を抑え、かつ、安全性が保証された効率的な暗号方式の設計が可能となる。
したがって、安全性評価装置１は、例えば、ＳＩＳサンプル数に関わるパラメータｍを大きく設定した場合にも、法ｑの大きさが同一の既知の暗号方式と同等の安全性を評価できる。すなわち、安全性評価装置１は、従来に比べて、より制限の弱いパラメータ設計方法を提供でき、この結果、暗号文長及び鍵長等を抑え、かつ、安全性が保証された効率的な暗号方式の設計が可能となる。
【0059】
また、本実施形態において、対象となるＳＩＳ問題の分布χは任意であるため、従来よりも一般性が高く汎用性があるため、より広範なパラメータ設計が可能となる。
なお、評価対象の暗号方式は、ＳＩＳ問題を安全性の根拠とする任意の暗号学的なアルゴリズムであり、本実施形態は、共通鍵暗号方式、公開鍵暗号方式、電子署名方式、その他高機能暗号、準同型暗号等、様々な暗号方式に適用可能である。
なお、評価対象の暗号方式は、ＳＩＳ問題を安全性の根拠とする任意の暗号学的なアルゴリズムであり、本実施形態は、共通鍵暗号方式、公開鍵暗号方式、電子署名方式、その他高機能暗号、準同型暗号等、様々な暗号方式に適用可能である。
【0060】
さらに、本実施形態の安全性評価方法を用いると、希望の安全性（ビットセキュリティλ）を満たすパラメータを探索することもできる。例えば、安全性評価装置１は、ユーザが指定する各パラメータの範囲の中から、希望のビットセキュリティλを満たすパラメータの組み合わせ候補を提示する設計装置として構成されてもよい。
【0061】
なお、前述の実施形態により、例えば、安全で効率的な暗号方式を設計できることから、国連が主導する持続可能な開発目標（ＳＤＧｓ）の目標９「レジリエントなインフラを整備し、持続可能な産業化を推進するとともに、イノベーションの拡大を図る」に貢献することが可能となる。
【0062】
以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。
【0063】
安全性評価装置１による安全性評価方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。
【符号の説明】
【0064】
１ 安全性評価装置
１０ 制御部
１１ 入力部
１２ 取得部
１３ 出力部
２０ 記憶部
１０ 制御部
１１ 入力部
１２ 取得部
１３ 出力部
２０ 記憶部
【図1】