WO2012121152A1 - 代理計算システム、方法、依頼装置及びプログラム - Google Patents

代理計算システム、方法、依頼装置及びプログラム Download PDF

Info

Publication number
WO2012121152A1
WO2012121152A1 PCT/JP2012/055404 JP2012055404W WO2012121152A1 WO 2012121152 A1 WO2012121152 A1 WO 2012121152A1 JP 2012055404 W JP2012055404 W JP 2012055404W WO 2012121152 A1 WO2012121152 A1 WO 2012121152A1
Authority
WO
WIPO (PCT)
Prior art keywords
group
calculation
function
random number
random
Prior art date
Application number
PCT/JP2012/055404
Other languages
English (en)
French (fr)
Inventor
山本　剛
鉄太郎 小林
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to JP2013503508A priority Critical patent/JP5526284B2/ja
Priority to EP12755320.4A priority patent/EP2667371B8/en
Priority to US14/002,481 priority patent/US9542155B2/en
Priority to CN201280010622.1A priority patent/CN103392197B/zh
Publication of WO2012121152A1 publication Critical patent/WO2012121152A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/58—Random or pseudo-random number generators
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/26—Testing cryptographic entity, e.g. testing integrity of encryption key or encryption algorithm

Definitions

  • This invention relates to computer computing technology.
  • the present invention relates to a technique for performing calculations using calculation results obtained by other computers.
  • the inventors have proposed a technique for calculating f (x) for a certain input x using a randomizable sampler and a sampler described below (see, for example, Non-Patent Document 1).
  • R be a random variable whose value is in group G. For w ⁇ G, every time an integer a greater than or equal to 0 is given, it returns w a r 'corresponding to the sample r' according to the random variable R, a randomizable sampler with an error R for w ). In the randomizable sampler, the distribution of the random variable R and the integer a are irrelevant.
  • each time a request is received the one that returns wr ′ corresponding to the sample r ′ according to the random variable R is called a sampler having an error R for w.
  • the randomizable sampler and the sampler calculate w a r ′ and wr ′, respectively, using a function called a black box.
  • the M as an integer of 2 or more, M number of input x 1, x 2, ..., f for x M (x 1), f (x 2), ..., in order to calculate the f (x M), respectively Requires a randomizable sampler and a sampler to calculate at least 2M times using a black box. This is because a randomizable sampler and a sampler must be calculated at least twice using a black box for each of the M inputs x 1 , x 2 ,.
  • An object is to provide a technique for calculating each of f (x M ).
  • G, H are cyclic groups
  • M is an integer greater than or equal to 2
  • i 1,..., M
  • f is a homomorphic function that maps elements x i of group H to group G
  • R i R 0 is a random variable having a value in group G
  • r i is a real value of random variable R i
  • r 0 is a real value of random variable R 0
  • a i is an integer random number greater than or equal to 0, random numbers a 1 , a 2 , ..., a M are generated.
  • the number of calculations using the black box can be made M + 1 minimum.
  • the block diagram for demonstrating the structure of the proxy calculation system of embodiment The block diagram for demonstrating the structure of the request apparatus of embodiment, and a calculation apparatus.
  • a random variable having a value r i is an actual value of the random variable R i
  • r 0 is an actual value of the random variable R 0
  • a i is an integer random number of 0 or more.
  • the random number generator 11 of the requesting device 1 generates integer random numbers a 1 , a 2 ,..., A M that are integers greater than or equal to 0 (step S1). Information about the generated random numbers a 1 , a 2 ,..., A M is sent to the power calculation unit 12 and the calculation device 2.
  • the control unit 13 substitutes 1 for t (step S2).
  • the first request unit 14 of the requesting device 1 sends request information for requesting calculation of f (x 1 ) r 1 , f (x 2 ) r 2 ,..., F (x M ) r M to the calculation device 2.
  • request information x 1, x 2 which is the original group H, ..., including x M.
  • Computing device 2 f (x 1) r 1, f (x 2) r 2, ..., f (x M) r M calculated where possible, always x 1, x 2, ..., x M is request information May not be included.
  • the sampler 21 of the calculation device 2 can calculate f (x 1 ) r 1 , f (x 2 ) r 2 ,..., F (x M ) r M , and the calculation results are respectively z 1 and z 2 ,..., Z M (step S4).
  • the calculation results z 1 , z 2 ,..., Z M are transmitted to the requesting device 1. That is, the calculation result for f (x 1 ) r 1 is z 1 , the calculation result for f (x 2 ) r 2 is z 2 , ..., the calculation result for f (x M ) r M is z M It becomes.
  • “calculatable” means that it can be calculated with a probability that cannot be ignored.
  • the probability that cannot be ignored is a probability of 1 / ⁇ (k) or more, assuming that a polynomial that is a broad monotonically increasing function for the security parameter k is a polynomial ⁇ (k).
  • calculating f (x) r means calculating the value of an expression defined as f (x) r. If the value of the expression f (x) r can be finally calculated, the calculation method in the middle is not limited. The same applies to the calculation of other equations appearing in this application.
  • the second request unit 15 of the requesting device 1 transmits request information for requesting calculation of f (x 1 a1 ⁇ x 2 a2 ⁇ ... ⁇ x M aM ) r 0 to the calculating device 2 (step S6).
  • request information x 1, x 2 which is the original group H, ..., including x M.
  • the calculation device 2 can calculate f (x 1 ) r 1 , f (x 2 ) r 2 ,..., F (x M ) r M
  • the request information is not necessarily x 1 , x 2 ,. M may not be included.
  • the extended randomizable sampler 22 of the calculation device 2 can calculate f (x 1 a1 ⁇ x 2 a2 ⁇ ... ⁇ x M aM ) r 0 and sets the calculation result to z 0 (step S7).
  • the calculation result z 0 is transmitted to the requesting device 1 and stored in the second storage unit 18 of the requesting device 1.
  • the extended randomizable sampler 22 uses the random numbers a 1 , a 2 ,..., A M to randomize f (x 1 ⁇ x 2 ⁇ ... ⁇ x M ) while randomizing the random numbers a 1 , a 2 ,. Therefore, the error is given based on a random variable R 0 having a distribution independent of a M.
  • the extended randomizable sampler 22 uses, for example, a probability function F that is a black box with x 1 a1 ⁇ x 2 a2 ⁇ ... ⁇ x M aM h s as an argument, f (x 1 a1 ⁇ x 2 a2 ⁇ ... ⁇ x M aM ) r 0 is calculated. That is, extended randomization can sampler 22, for example, calculate the value of F (x 1 a1 ⁇ x 2 a2 ⁇ ... ⁇ x M aM h s) f (h) -s, and z 0.
  • h is a generator of the group H
  • s is an integer random number of 0 or more.
  • (z 1 ) a1 ⁇ (z 2 ) a2 ⁇ ... ⁇ (z M by using exactly the same value as the integer a i used in the third method in exactly the same way as used in the third method. )
  • z i can also be derived for each i from aM .
  • step S12 the requesting apparatus 1 causes the calculation apparatus 2 to calculate all or part of z 1 , z 2 ,..., Z M (step S3, step S4).
  • Power calculation unit 12 the total calculated or partially z 1, z 2, ..., with each z M, corresponding random numbers a 1, a 2, ..., performs exponentiation using a M (step S5 ).
  • (Z 1 ) a 1 , (z 2 ) a 2 ,..., (Z M ) aM are stored in the first storage unit 17.
  • k 0, k 1, ... , a k M as an integer of 1 or more
  • z 0 is k 0 or the first storage unit 17 and the second storage unit 18
  • z 1 is one k
  • ... is z M
  • k M are stored.
  • the sampler 21 uses the black box M times. z 1 , z 2 ,..., z M are calculated, and the extended randomizable sampler 22 calculates z 0 using the black box F once, and the total number of times the black box is referred to is M +1 times. In this way, the number of calculations using the black box can be made M + 1 minimum.
  • the random variables R 0 , R 1 ,..., R M may be the same or different.
  • the random number generation unit 11 generates the uniform random number, so that the security of the proxy calculation system is the highest. However, when the required level of security is not so high, the random number generation unit 11 may generate a random number that is not a uniform random number.
  • requesting apparatus 1 is provided together multiple request information to the computing device 2, corresponding z 0, z 1, z 2, ..., it may be acquired together a plurality of z M. Thereby, the frequency
  • Data exchange between the units of the requesting device 1 and the computing device 2 may be performed directly, or may be performed via a storage unit (not shown).
  • the present invention is not limited to the above-described embodiment.
  • the various processes described above are not only executed in time series according to the description, but may also be executed in parallel or individually as required by the processing capability of the apparatus that executes the processes.
  • the determination unit 16 may perform the process of step S8 between step S5 and step S6.
  • the program describing the processing contents can be recorded on a computer-readable recording medium.
  • the computer-readable recording medium may be any recording medium such as a magnetic recording device, an optical disk, a magneto-optical recording medium, and a semiconductor memory.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Security & Cryptography (AREA)
  • Computational Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Complex Calculations (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

　G,Hを巡回群、Mを2以上の整数、i=1,…,M、fを群Hの元xiを群Gへ写す準同型関数、Ri及びR0を群Gに値を持つ確率変数、riを確率変数Riの実現値、r0を確率変数R0の実現値、aiを0以上の整数の乱数として、乱数生成部１１が、乱数a1,a2,…,aMを生成する。標本器２１が、f(x1)r1,f(x2)r2,…,f(xM)rMを計算可能であり、それらの計算結果をそれぞれz1,z2,…,zMとする。べき乗計算部１２が、(z1)a1,(z2)a2,…,(zM)aMを計算する。拡張乱数化可能標本器２２が、f(x1 a1×x2 a2×…×xM aM)r0を計算可能であり、その計算結果をz0とする。判定部１６が、(z1)a1×(z2)a2×…×(zM)aM=z0であるか判定する。

Description

代理計算システム、方法、依頼装置及びプログラム
　この発明は、コンピュータによる計算技術に関する。特に、他の計算機に行わせた計算結果を用いて計算を行う技術に関する。
　以下に説明する乱数化可能標本器及び標本器を用いて、ある入力ｘに対するf(x)を計算する技術が発明者により提案されている（例えば、非特許文献１参照。）。
　Rを群Gに値を持つ確率変数とする。w∈Gについて、0以上の整数aが与えられるたびに確率変数Rに従った標本r’に対応するwar’を返すものを、wについて誤差Rを持つ乱数化可能標本器(randomizable sampler)と呼ぶ。なお、乱数化可能標本器において、確率変数Rの分布と整数aとは無関係である。
　また、w∈Gについて、要求を受けるたびに確率変数Rに従った標本r’に対応するwr’を返すものを、wについて誤差Rを持つ標本器(sampler)と呼ぶ。
　乱数化可能標本器及び標本器は、ブラックボックスと呼ばれる関数を用いて、それぞれwar’及びwr’を計算する。
　r1及びr2を確率変数Rの実現値として、f(x)について誤差Rを持つ乱数化可能標本器の出力f(x)ar1と、f(x)について誤差Rを持つ標本器の出力f(x)r2のa乗(f(x)r2)aとが等しい場合には、高い確率でr1及びr2が群Gの単位元egである。したがって、この場合、f(x)r2=f(x)eg=f(x)であるため、標本器の出力f(x)r2が求めようとしていたf(x)となる。
Go Yamamoto, Tetsutaro Kobayashi, "Self-Correctors for Cryptographic Modules", The 2011 Symposium on Cryptography and Information Security, 2F1-1, 2001.
　背景技術に記載した技術では、あるxに対するf(x)の値を計算するためには、乱数化可能標本器及び標本器にブラックボックス関数を用いて少なくとも2回計算させる必要がある。このため、Mを2以上の整数として、M個の入力x1,x2,…,xMに対するf(x1),f(x2),…,f(xM)をそれぞれ計算するためには、乱数化可能標本器及び標本器にブラックボックスを用いて少なくとも2M回計算させる必要がある。M個の入力x1,x2,…,xMのそれぞれに対して乱数化可能標本器及び標本器にブラックボックスを用いて少なくとも2回計算させる必要があるためである。
　この発明は、ブラックボックスを用いて計算する回数を2M回よりも少なくしつつ、M個の入力x1,x2,…,xMに対するf(x1),f(x2),…,f(xM)をそれぞれ計算する技術を提供することを目的とする。
　この発明の一態様によれば、G,Hを巡回群、Mを2以上の整数、i=1,…,M、fを群Hの元xiを群Gへ写す準同型関数、Ri及びR0を群Gに値を持つ確率変数、riを確率変数Riの実現値、r0を確率変数R0の実現値、aiを0以上の整数の乱数として、乱数a1,a2,…,aMを生成する。f(x1)r1,f(x2)r2,…,f(xM)rMを計算可能であり、それらの計算結果をそれぞれz1,z2,…,zMとする。(z1)a1,(z2)a2,…,(zM)aMを計算する。f(x1 a1×x2 a2×…×xM aM)r0を計算可能であり、その計算結果をz0とする。(z1)a1×(z2)a2×…×(zM)aM=z0であるか判定する。
　ブラックボックスを用いて計算する回数を最小でM+1回にすることができる。
実施形態の代理計算システムの構成を説明するためのブロック図。 実施形態の依頼装置及び計算装置の構成を説明するためのブロック図。 実施形態の代理計算システムの処理を説明するためのフローチャート。
　以下、図面を参照してこの発明の一実施形態を説明する。
　G,Hを巡回群、Mを2以上の整数、i=1,…,M、として、fを群Hの元xiを群Gへ写す準同型関数、Ri及びR0を群Gに値を持つ確率変数、riを確率変数Riの実現値、r0を確率変数R0の実現値、aiを0以上の整数の乱数とする。
　依頼装置１の乱数生成部１１は、0以上の整数の乱数a1,a2,…,aMを生成する（ステップＳ１）。生成された乱数a1,a2,…,aMについての情報は、べき乗計算部１２及び計算装置２に送られる。
　制御部１３は、tに1を代入する（ステップＳ２）。
　依頼装置１の第一依頼部１４は、f(x1)r1,f(x2)r2,…,f(xM)rMの計算の依頼をする旨の依頼情報を計算装置２に送信する（ステップＳ３）。例えば、依頼情報は、群Hの元であるx1,x2,…,xMを含む。 計算装置２がf(x1)r1,f(x2)r2,…,f(xM)rMを計算可能であれば、必ずしもx1,x2,…,xMが依頼情報に含まれなくてもよい。
　計算装置２の標本器２１は、f(x1)r1,f(x2)r2,…,f(xM)rMを計算可能であり、それらの計算結果をそれぞれz1,z2,…,zMとする（ステップＳ４）。計算結果z1,z2,…,zMは、依頼装置１に送信される。すなわち、f(x1)r1についての計算結果がz1となり、f(x2)r2についての計算結果がz2となり、…、f(xM)rMについての計算結果がzMとなる。
　この出願において、計算可能とは、無視することができない確率以上の確率で計算することができることを意味する。無視することができない確率とは、セキュリティパラメータkについての広義単調増加関数である多項式を多項式Φ(k)として、1/Φ(k)以上の確率である。
 ここで、f(x)rを計算するとは、f(x)rと定義される式の値を計算することである。式f(x)rの値を最終的に計算することができれば、途中の計算方法は問わない。これは、この出願で登場する他の式の計算についても同様である。
　依頼装置１のべき乗計算部１２は、計算結果z1,z2,…,zMをそれぞれa1,a2,…,aM乗する（ステップＳ５）。すなわち、(z1)a1,(z2)a2,…,(zM)aMを計算する。(z1)a1,(z2)a2,…,(zM)aMは、第一記憶部１７に記憶される。
　ここで、i=1,2,…,Mとして、(zi)の右肩のaiは、aiのことである。このように、この出願において、αを第一の文字、βを第二の文字、γを数字として、αβγと表記した場合には、そのβγはβγ、すなわちβの下付きγを意味する。
　依頼装置１の第二依頼部１５は、f(x1 a1×x2 a2×…×xM aM)r0の計算の依頼をする旨の依頼情報を計算装置２に送信する（ステップＳ６）。例えば、依頼情報は、群Hの元であるx1,x2,…,xMを含む。依頼情報は、計算装置２がｆ(x1)r1,f(x2)r2,…,f(xM)rMを計算可能であれば、必ずしもx1,x2,…,xMを含まなくてもよい。
　計算装置２の拡張乱数化可能標本器２２は、f(x1 a1×x2 a2×…×xM aM)r0を計算可能であり、その計算結果をz0とする（ステップＳ７）。計算結果z0は、依頼装置１に送信され、依頼装置１の第二記憶部１８に記憶される。
　拡張乱数化可能標本器２２は、乱数a1,a2,…,aMを用いて、f(x1×x2×…×xM)を乱数化しつつ、乱数a1,a2,…,aMに依存しない分布を有する確率変数R0に基づいて誤差を与えるものである。
　拡張乱数化可能標本器２２は、例えば、x1 a1×x2 a2×…×xM aMhsを引数とするブラックボックスである確率的関数Fを用いてf(x1 a1×x2 a2×…×xM aM)r0の値を計算する。すなわち、拡張乱数化可能標本器２２は、例えばF(x1 a1×x2 a2×…×xM aMhs)f(h)-sの値を計算して、z0とする。ここで、hは群Hの生成元であり、sは0以上の整数の乱数である。ここで、確率的関数Fは所定の確率以上の確率で関数fと同じ値を出力する確率的関数である。すなわち、任意の入力xc∈Hに対して所定の確率以上の確率でF(xc)=f(xc)となる。
　Uを群Hの一様分布として、確率変数R0=F(U)f(U)-1とすると、F(x1 a1×x2 a2×…×xM aMhs)f(h)-sの分布は、f(x1 a1×x2 a2×…×xM aM)R0の分布と等しくなる。F(x1 a1×x2 a2×…×xM aMhs)f(h)-s=f(x1 a1×x2 a2×…×xM aMhs)R0f(h)-s=f(x1 a1×x2 a2×…×xM aM)f(h)sR0f(h)-s=f(x1 a1×x2 a2×…×xM aM)R0であるからである。上記式展開において、fの準同型関数であるという性質、及び、R0=F(U)f(U)-1=F(x1 a1×x2 a2×…×xM aMhs)f(x1 a1×x2 a2×…×xM aMhs)-1のため、F(x1 a1×x2 a2×…×xM aMhs)=f(x1 a1×x2 a2×…×xM aMhs)R0という性質を用いている。
　依頼装置１の判定部１６は、第一記憶部１７から読み込んだ(z1)a1,(z2)a2,…,(zM)aM及び第二記憶部１８から読み込んだz0を用いて、(z1)a1×(z2)a2×…×(zM)aM=z0であるか判定する（ステップＳ８）。
　(z1)a1×(z2)a2×…×(zM)aM=z0である場合には、後述するように、その場合のz1,z2,…,zMがそれぞれf(x1),f(x2),…,f(xM)となる。このため、出力部１９は、その場合のz1,z2,…,zMをそれぞれf(x1),f(x2),…,f(xM)として出力する（ステップＳ９）。
　(z1)a1×(z2)a2×…×(zM)aM=z0である場合には、(f(x1)r1)a1×(f(x2)r2)a2×…×(f(xM)rM)aM=f(x1 a1×x2 a2×…×xM aM)r0であり、関数fが準同型関数であることを考慮すると、r1 a1×r2 a2×…×rM aM=r0である。この場合、r1,r2,…,rMが群Gの単位元egである可能性が非常に高いことを発明者は見出した。
　なぜなら、第一に、非特許文献１に示された代理計算の原理によって、(z1)a1×(z2)a2×…×(zM)aM=z0であることを判定することで、z0=f(x1 a1×x2 a2×…×xM aM)であることを非常に高い確率で判定することができる。第二に、f(x1 a1×x2 a2×…×xM aM)=f(x1)a1×f(x2)a2×…×f(xM)aMであるから、z0=f(x1 a1×x2 a2×…×xM aM)が成立するということは、z0=f(x1)a1×f(x2)a2×…×f(xM)aMが成立する。第三に、aiを0以上の整数の乱数としてz0=f(x1 a1×x2 a2×…×xM aM)を計算する任意の方法について、それを繰り返し実行すれば、参考文献１及び参考文献２で示された方法を用いて、z0=f(x1)a1×f(x2)a2×…×f(xM)aMから各iについてf(xi)を導出することができる。第四に、第三で用いた方法と全く同じ方法で、第三で用いた整数aiと全く同じ値を用いることで、(z1)a1×(z2)a2×…×(zM)aMから各iについてziを導出することもできる。以上によって、(z1)a1×(z2)a2×…×(zM)aM=z0=f(x1 a1×x2 a2×…×xM aM)=f(x1)a1×f(x2)a2×…×f(xM)aMであるならば、各iについてzi=f(xi)である可能性が非常に高い。したがって、(z1)a1×(z2)a2×…×(zM)aM=z0であるならば、r1,r2,…,rMが群Gの単位元egである可能性が非常に高い。
　〔参考文献１〕M. Bellare, J. Garay, and T. Rabin, “Fast Batch Verification for Modular Exponentiation and Digital Signatures,” Advances in Cryptology-EUROCRYPT '98, LNCS 1403, pp. 236-250, Springer-Verlag, 1998.
　〔参考文献２〕K. Chida and G. Yamamoto, “Batch Processing of Interactive Proofs,” Topics in Cryptology-CT-RSA2007, LNCS 4377, pp. 196-207, Springer, 2007.
　このため、(z1)a1×(z2)a2×…×(zM)aM=z0である場合、z1=f(x1)r1=f(x1)eg=f(x1),z2=f(x2)r2=f(x2)eg=f(x2),…,zM=f(xM)rM=f(x1)eg=f(xM)となるのである。
　制御部１３は、t=Tであるか判定する（ステップＳ１０）。Tは予め定められた1以上の整数である。t=Tであれば、出力部１９は、計算をすることができなかった旨の情報、例えば記号「⊥」を出力して（ステップＳ１１）、処理を終える。t=Tでない場合には、制御部１３は、tを1だけインクリメント、すなわちtにt+1を代入して（ステップＳ１２）、ステップＳ３に戻る。
　計算をすることができなかった旨の情報（この例では記号「⊥」）は、計算装置２が正しく計算を行う信頼性がTで定められる基準を下回るということを意味する。言い換えれば、T回の繰り返しで正しい演算を行うことができなかったということを意味する。
　ステップＳ１２の後に、上記と同様にして、依頼装置１は計算装置２に、z1,z2,…,zMの全部又は一部の計算をさせる（ステップＳ３、ステップＳ４）。べき乗計算部１２は、計算された全部又は一部のz1,z2,…,zMのそれぞれついて、対応する乱数a1,a2,…,aMを用いてべき乗を行う（ステップＳ５）。べき乗された(z1)a1,(z2)a2,…,(zM)aMは、第一記憶部１７に記憶される。
　ステップＳ８の処理において、第一記憶部１７及び第二記憶部１８にz0,(z1)a1,(z2)a2,…,(zM)aMの少なくとも１つが複数記憶されている場合には、第一記憶部１７及び第二記憶部１８に記憶されたｚ0,(z1)a1,(z2)a2,…,(zM)aMのそれぞれから1つずつ選択することにより構成されるz0,(z1)a1,(z2)a2,…,(zM)aMの全ての組(z0,(z1)a1,(z2)a2,…,(zM)aM)のそれぞれについて、判定部１６は(z1)a1×(z2)a2×…×(zM)aM=z0の関係を満たすか判定する（ステップＳ８）。
　例えば、k0,k1,…,kMを１以上の整数として、第一記憶部１７及び第二記憶部１８にｚ0がk0個、z1がk1個、…、zMがkM個記憶されているとする。この場合、第一記憶部１７及び第二記憶部１８に記憶されたz0,(z1)a1,(z2)a2,…,(zM)aMのそれぞれから1つずつ選択することにより構成されるz0,(z1)a1,(z2)a2,…,(zM)aMの組(z0,(z1)a1,(z2)a2,…,(zM)aM)は、k0×k1×k2×…×kM個存在する。したがって、判定部１６は、k0×k1×k2×…×kM個の組(z0,(z1)a1,(z2)a2,…,(zM)aM)のそれぞれについて、(z1)a1×(z2)a2×…×(zM)aM=z0の関係を満たすか判定する。
　第一回目のステップＳ８の処理で(z1)a1×(z2)a2×…×(zM)aM=z0の関係を満たす場合には、標本器２１はブラックボックスをM回用いてz1,z2,…,zMの計算を行い、拡張乱数化可能標本器２２はブラックボックスFを1回用いてz0の計算を行っており、ブラックボックスを参照する回数は合計でM+1回である。このように、ブラックボックスを用いて計算する回数を最小でM+1回にすることができる。
　［変形例等］
　確率変数R0,R1,…,RMは、同じでも異なっていてもよい。
　乱数生成部１１は、一様乱数を生成することにより、代理計算システムの安全性が最も高くなる。しかし、求める安全性のレベルがそれほど高くない場合には、乱数生成部１１は、一様乱数ではない乱数を生成してもよい。
　また、依頼装置１が複数の依頼情報を計算装置２にまとめて提供し、対応するz0,z1,z2,…,zMを複数個まとめて取得してもよい。これにより、依頼装置１と計算装置２との間のやり取り回数を減らすことができる。
　依頼装置１及び計算装置２の各部間のデータのやり取りは直接行われてもよいし、図示していない記憶部を介して行われてもよい。
　その他、この発明は上述の実施形態に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。
　例えば、第一記憶部１７及び第二記憶部１８にz0,(z1)a1,(z2)a2,…,(zM)aMの少なくとも１つが複数記憶されている場合には、図３に破線で示すように、判定部１６はステップＳ５とステップＳ６の間にステップＳ８の処理を行ってもよい。
　また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。
　この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。
　その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

Claims (8)

  1. 　G,Hを巡回群、Mを2以上の整数、i=1,…,M、fを群Hの元xiを群Gへ写す準同型関数、Ri及びR0を群Gに値を持つ確率変数、riを確率変数Riの実現値、r0を確率変数R0の実現値、aiを0以上の整数の乱数として、
     乱数a1,a2,…,aMを生成する乱数生成部と、
     f(x1)r1,f(x2)r2,…,f(xM)rMを計算可能であり、それらの計算結果をそれぞれz1,z2,…,zMとする標本器と、
     (z1)a1,(z2)a2,…,(zM)aMを計算するべき乗計算部と、
     f(x1 a1×x2 a2×…×xM aM)r0を計算可能であり、その計算結果をz0とする拡張乱数化可能標本器と、
     (z1)a1×(z2)a2×…×(zM)aM=z0であるか判定する判定部と、
     を含む代理計算システム。
  2. 　請求項１の代理計算システムにおいて、
    　所定の確率以上の確率で関数fと同じ値を出力する確率的関数をFとし、群Hの生成元をhとし、0以上の整数の乱数をsとして、
    　上記拡張乱数化可能標本器は、F(x1 a1×x2 a2×…×xM aMhs)f(h)-sの値を計算して、その計算結果をz0とする、
    　代理計算システム。
  3.  G,Hを巡回群、Mを2以上の整数、i=1,…,M、fを群Hの元xiを群Gへ写す準同型関数、Ri及びR0を群Gに値を持つ確率変数、riを確率変数Riの実現値、r0を確率変数R0の実現値、aiを0以上の整数の乱数として、
    　乱数生成部が、乱数a1,a2,…,aMを生成する乱数生成ステップと、
    　標本器が、f(x1)r1,f(x2)r2,…,f(xM)rMを計算可能であり、それらの計算結果をそれぞれz1,z2,…,zMとする標本抽出ステップと、
     べき乗計算部が、(z1)a1,(z2)a2,…,(zM)aMを計算するべき乗計算ステップと、
     拡張乱数化可能標本器が、f(x1 a1×x2 a2×…×xM aM)r0を計算可能であり、その計算結果をz0とする拡張乱数化可能標本抽出ステップと、
     判定部が、(z1)a1×(z2)a2×…×(zM)aM=z0であるか判定する判定ステップと、
    　を含む代理計算方法。
  4. 　請求項３の代理計算方法において、
    　所定の確率以上の確率で関数fと同じ値を出力する確率的関数をFとし、群Hの生成元をhとし、0以上の整数の乱数をsとして、
     上記拡張乱数化可能標本ステップは、F(x1 a1×x2 a2×…×xM aMhs)f(h)-sの値を計算して、その計算結果をz0とする、
    　代理計算方法。
  5. 　G,Hを巡回群、Mを2以上の整数、i=1,…,M、fを群Hの元xiを群Gへ写す準同型関数、Ri及びR0を群Gに値を持つ確率変数、riを確率変数Riの実現値、r0を確率変数R0の実現値、aiを0以上の整数の乱数として、
    　乱数a1,a2,…,aMを生成する乱数生成部と、
    　f(x1)r1,f(x2)r2,…,f(xM)rMを計算可能な標本器による計算結果z1,z2,…,zMを用いて、(z1)a1,(z2)a2,…,(zM)aMを計算するべき乗計算部と、
     上記べき乗計算部の計算結果、及び、f(x1 a1×x2 a2×…×xM aM)r0を計算可能な拡張乱数化可能標本器による計算結果z0を用いて、(z1)a1×(z2)a2×…×(zM)aM=z0であるか判定する判定部と、
     を含む依頼装置。
  6. 　請求項５の依頼装置において、
    　所定の確率以上の確率で関数ｆと同じ値を出力する確率的関数をFとし、群Hの生成元をhとし、0以上の整数の乱数をsとして、
      上記拡張乱数化可能標本器は、F(x1 a1×x2 a2×…×xM aMhs)f(h)-sの値を計算して、その計算結果をz0とする、
    　依頼装置。
  7. 　請求項５又は６の依頼装置の各部としてコンピュータを機能させるためのプログラム。
  8. 　請求項５又は６の依頼装置の各部としてコンピュータを機能させるためのプログラムを格納したコンピュータ読み取り可能な記録媒体。
PCT/JP2012/055404 2011-03-04 2012-03-02 代理計算システム、方法、依頼装置及びプログラム WO2012121152A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2013503508A JP5526284B2 (ja) 2011-03-04 2012-03-02 代理計算システム、方法、依頼装置及びプログラム
EP12755320.4A EP2667371B8 (en) 2011-03-04 2012-03-02 Proxy calculation system, method, request device, and program
US14/002,481 US9542155B2 (en) 2011-03-04 2012-03-02 Proxy calculation system, method, request device and program thereof
CN201280010622.1A CN103392197B (zh) 2011-03-04 2012-03-02 代理计算***、方法、委托装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011047840 2011-03-04
JP2011-047840 2011-03-04

Publications (1)

Publication Number Publication Date
WO2012121152A1 true WO2012121152A1 (ja) 2012-09-13

Family

ID=46798116

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/055404 WO2012121152A1 (ja) 2011-03-04 2012-03-02 代理計算システム、方法、依頼装置及びプログラム

Country Status (5)

Country Link
US (1) US9542155B2 (ja)
EP (1) EP2667371B8 (ja)
JP (1) JP5526284B2 (ja)
CN (1) CN103392197B (ja)
WO (1) WO2012121152A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015008607A1 (ja) 2013-07-18 2015-01-22 日本電信電話株式会社 復号装置、復号能力提供装置、それらの方法、およびプログラム
WO2015008769A1 (ja) 2013-07-18 2015-01-22 日本電信電話株式会社 ディレクトリサービス装置、クライアント装置、鍵クラウドシステム、それらの方法、およびプログラム
WO2015008605A1 (ja) * 2013-07-18 2015-01-22 日本電信電話株式会社 計算装置、計算方法、およびプログラム
WO2015056601A1 (ja) 2013-10-16 2015-04-23 日本電信電話株式会社 鍵装置、鍵クラウドシステム、復号方法、およびプログラム
US10275960B2 (en) 2014-05-13 2019-04-30 Nippon Telegraph And Telephone Corporation Security system, management apparatus, permission apparatus, terminal apparatus, security method and program

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011053607A (ja) * 2009-09-04 2011-03-17 Nippon Telegr & Teleph Corp <Ntt> 代理計算依頼装置、代理計算依頼方法、代理計算依頼プログラム、記録媒体

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5046094A (en) * 1989-02-02 1991-09-03 Kabushiki Kaisha Toshiba Server-aided computation method and distributed information processing unit
US7426749B2 (en) * 2004-01-20 2008-09-16 International Business Machines Corporation Distributed computation in untrusted computing environments using distractive computational units
FR2877453A1 (fr) * 2004-11-04 2006-05-05 France Telecom Procede de delegation securisee de calcul d'une application bilineaire
EP2242032B1 (en) * 2008-01-21 2013-10-02 Nippon Telegraph and Telephone Corporation Secure computing system, secure computing method, secure computing apparatus and program therefor
WO2011086992A1 (ja) * 2010-01-12 2011-07-21 日本電信電話株式会社 代理計算システム、方法、依頼装置、プログラム及びその記録媒体
EP2634760A4 (en) * 2010-10-26 2017-01-11 Nippon Telegraph And Telephone Corporation Substitution calculation system, calculation apparatus, capability providing apparatus, substitution calculation method, capability providing method, program, and recording medium
JP5412414B2 (ja) * 2010-12-08 2014-02-12 株式会社日立製作所 検索可能暗号処理システム

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011053607A (ja) * 2009-09-04 2011-03-17 Nippon Telegr & Teleph Corp <Ntt> 代理計算依頼装置、代理計算依頼方法、代理計算依頼プログラム、記録媒体

Non-Patent Citations (7)

* Cited by examiner, † Cited by third party
Title
GO YAMAMOTO ET AL.: "Ango Module ni Taisuru Jiko Teiseiki", 2011 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY, 25 January 2011 (2011-01-25), pages 1 - 8, XP008172389 *
GO YAMAMOTO; TETSUTARO KOBAYASHI: "Self-Correctors for Cryptographic Modules", THE 2011 SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY, vol. 2F1-1, 2001
K. CHIDA; G. YAMAMOTO: "Topics in Cryptology-CT-RSA2007, LNCS", vol. 4377, 2007, SPRINGER, article "Batch Processing of Interactive Proofs", pages: 196 - 207
KOJI CHIDA ET AL.: "Batch Processing for Proofs of Partial Knowledge and Its Applications", IEICE TRANSACTIONS ON FUNDAMENTALS OF ELECTRONICS, COMMUNICATIONS AND COMPUTER SCIENCES, vol. E91-A, no. 1, 1 January 2008 (2008-01-01), pages 150 - 159, XP001509989 *
M. BELLARE; J. GARAY; T. RABIN: "Advances in Cryptology-EUROCRYPT '98, LNCS", vol. 1403, 1998, SPRINGER-VERLAG, article "Fast Batch Verification for Modular Exponentiation and Digital Signatures", pages: 236 - 250
See also references of EP2667371A4
YUTO KAWAHARA ET AL.: "Pairing Ango System ni Okeru Jiko Teisei o Mochiita Fukugo Module no Kosei Oyobi Jisso", 2011 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY, 25 January 2011 (2011-01-25), pages 1 - 8, XP008172390 *

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015008607A1 (ja) 2013-07-18 2015-01-22 日本電信電話株式会社 復号装置、復号能力提供装置、それらの方法、およびプログラム
WO2015008769A1 (ja) 2013-07-18 2015-01-22 日本電信電話株式会社 ディレクトリサービス装置、クライアント装置、鍵クラウドシステム、それらの方法、およびプログラム
WO2015008605A1 (ja) * 2013-07-18 2015-01-22 日本電信電話株式会社 計算装置、計算方法、およびプログラム
JP6067856B2 (ja) * 2013-07-18 2017-01-25 日本電信電話株式会社 計算装置、計算方法、およびプログラム
EP3001401A4 (en) * 2013-07-18 2017-03-22 Nippon Telegraph And Telephone Corporation Decoding device, decoding ability providing device, method thereof, and program
US10033711B2 (en) 2013-07-18 2018-07-24 Nippon Telegraph And Telephone Corporation Directory service device, client device, key cloud system, method thereof, and program
US10163370B2 (en) 2013-07-18 2018-12-25 Nippon Telegraph And Telephone Corporation Decoding apparatus, decoding capability providing apparatus, method thereof and program
WO2015056601A1 (ja) 2013-10-16 2015-04-23 日本電信電話株式会社 鍵装置、鍵クラウドシステム、復号方法、およびプログラム
US10686604B2 (en) 2013-10-16 2020-06-16 Nippon Telegraph And Telephone Corporation Key device, key cloud system, decryption method, and program
US10275960B2 (en) 2014-05-13 2019-04-30 Nippon Telegraph And Telephone Corporation Security system, management apparatus, permission apparatus, terminal apparatus, security method and program

Also Published As

Publication number Publication date
US20130339413A1 (en) 2013-12-19
JPWO2012121152A1 (ja) 2014-07-17
EP2667371B1 (en) 2017-11-22
EP2667371A4 (en) 2015-03-25
US9542155B2 (en) 2017-01-10
EP2667371A1 (en) 2013-11-27
CN103392197A (zh) 2013-11-13
CN103392197B (zh) 2016-04-13
JP5526284B2 (ja) 2014-06-18
EP2667371B8 (en) 2018-03-07

Similar Documents

Publication Publication Date Title
EP3096309B1 (en) Secret calculation method, secret calculation system, sorting device, and program
EP2947642B1 (en) Secret computation system, arithmetic unit, secret computation method and program
JP5526284B2 (ja) 代理計算システム、方法、依頼装置及びプログラム
JP5099003B2 (ja) グループ署名システムおよび情報処理方法
Kliuchnikov et al. A framework for approximating qubit unitaries
US20220166614A1 (en) System and method to optimize generation of coprime numbers in cryptographic applications
Keuffer et al. Efficient proof composition for verifiable computation
JP6777816B2 (ja) 秘密改ざん検知システム、秘密改ざん検知装置、秘密改ざん検知方法、およびプログラム
JP2020091656A (ja) 学習装置、学習システム、学習方法及び学習プログラム
Dumas Proof-of-work certificates that can be efficiently computed in the cloud (invited talk)
JP2010186003A (ja) 電子署名検証システム、電子署名装置、検証装置、電子署名検証方法、電子署名方法、検証方法、電子署名プログラム、検証プログラム
JP5427195B2 (ja) 代理計算システム、方法、依頼装置、計算装置、プログラム
JP6087849B2 (ja) 代理署名装置、署名検証装置、鍵生成装置、代理署名システム、およびプログラム
Yu Coded computing: A transformative framework for resilient, secure, private, and communication efficient large scale distributed computing
JP2010134048A (ja) 電子署名検証システム、電子署名装置、検証装置、電子署名検証方法、電子署名方法、検証方法、電子署名プログラム、検証プログラム
Vostrov et al. Analysis and development of existing algorithms for solving the discrete logarithm problem
WO2023163654A2 (en) Computer-implemented method, computer program and computer-readable medium using a chameleon hash function
Jaffe Prio+: Privacy Preserving Aggregate Statistics via Boolean Shares
Wen et al. Post-quantum Sigma Protocols and Signatures from Low-Rank Matrix Completions
Hu et al. Zero-knowledge protocols for code-based public-key encryption
Caulfield et al. X-Cipher: Achieving Data Resiliency in Homomorphic Ciphertexts
Gustafsson et al. Concrete implementation of t-out-of-n threshold lattice signatures
JP6392191B2 (ja) 証明装置、証明システム、証明方法、およびプログラム
de Hoogh et al. Universally verifiable outsourcing and application to linear programming
Krzywiecki et al. Probabilistic Admissible Encoding on Elliptic Curves-Towards PACE with Generalized Integrated Mapping

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12755320

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2013503508

Country of ref document: JP

Kind code of ref document: A

REEP Request for entry into the european phase

Ref document number: 2012755320

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2012755320

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 14002481

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE