秘密計算のシステムとその原理

2018.8⽇本電信電話株式会社

NTTセキュアプラットフォーム研究所

© 2018 NTT corp. 1

秘密計算とは•秘密計算とは•秘密計算の利点•歴史

© 2018 NTT corp. 2

秘密計算とは•データを暗号化したまま計算できる技術

© 2018 NTT corp. 3

データ 計算結果

暗号化 結果だけを復号暗号化

したまま計算

秘密計算システム

暗号化したまま⾏える範囲

⼀般的な暗号 データの通信・保存 −秘密計算 データの通信・保存 データの計算

秘密計算の利点•計算結果以外は誰にも⾒えないデータ運⽤• ⼤切なために流通できなかったデータの新し

い統合分析が可能に

© 2018 NTT corp. 4© 2018 NTT corp. 4

計算結果

暗号化したまま

計算秘密計算システム

Ａ社のデータ

Ｂ社のデータ

Ｃ社のデータ

個⼈情報、営業秘密…

システム側にデータが漏れない

A社B社C社間で互いにデータが開⽰されない

結果だけ⾒ることができる

歴史• 1980年代に計算機科学・暗号理論の分野で“Secure multi-party computation” と呼ばれる理論の⼤枠が確⽴•実⽤上は計算に時間がかかる（遅い）ことが課題とされてきた•近年⾼速化・実⽤化研究が活性化•現在新しいデータ活⽤の仕組みとして産業界でも注⽬されてきている

© 2018 NTT corp. 5

秘密分散ベースの秘密計算•暗号化の仕組みとして秘密分散を採⽤•秘密分散をベースにしたマルチパーティ計算を採⽤•安全の仕組み

u 本資料で秘密計算と書くときは秘密分散ベースの秘密計算を指す

© 2018 NTT corp. 6

秘密分散•暗号化の仕組みとして秘密分散を採⽤

• ISO標準準拠の秘密分散を⽤いる

© 2018 NTT corp. 7

秘密分散：データを複数の「シェア」と呼ばれる断⽚に分割し、機密性を守る技術1. 個々のシェアからは情報が漏れない2. 幾つかのシェアが消失してもデータを復元できる

ISO/IEC 19592-2 :Information technology - Security techniques - Secret sharing - Part 2: Fundamental mechanismsNTTはエディタとして上記標準化に貢献

マルチパーティ計算•秘密分散をベースにしたマルチパーティ計算を採⽤

8

マルチパーティ計算：1. 複数のサーバが予め定められた⼿順に従って

データの演算と交換を⾏う2. データは常に秘密分散のシェアの状態で扱われる

マルチパーティ計算 シェア

安全の仕組み• 1つのシェアからは何もわからない

• 2つのシェアがあるとデータが復元できる

© 2018 NTT corp. 9

サーバ単体では元データや計算結果を復元できない → ？

→＋データが復元される条件

⼀般的な暗号の場合 暗号⽂と鍵

秘密計算の場合 2つのシェア

＋＋

2台のサーバからシェアを不正に取得されるとデータが復元される• 各サーバを正しく管理すること

が安全条件• ⼀般的な暗号と同等（右図）

秘密計算のシステムモデル•クライアント-マルチサーバモデル•データの登録•データの計算（データ分析）

© 2018 NTT corp. 10

クライアント-マルチサーバモデル

•秘密計算では複数のサーバが⼀体となって計算を⾏う

© 2018 NTT corp. 11

クライアント

クライアント

マルチサーバ

秘密計算：データの登録

© 2018 NTT corp. 12

•クライアントはデータを秘密分散のシェアに分割して各サーバに登録する

クライアント

マルチサーバ

秘密計算：データの計算

© 2018 NTT corp. 13

•クライアントは各サーバに計算（データ分析）を要求し、計算結果を得る

クライアント

マルチサーバ

年収の平均値を計算してください

◯◯万円です•◯◯の値が秘密分散のシェアとして応答•クライアントはシェアを復元して結果を得る

マルチパーティー計算

①

②③

①

②

③

秘密分散の原理•秘密分散•秘密分散上の加算

•秘密分散上の乗算

•秘密計算ソート

© 2018 NTT corp. 14

ADVANCED: もっと知りたいあなたへ

ADVANCED: もっと知りたいあなたへ

秘密分散

© 2018 NTT corp. 15

2 サイコロの出⽬分逆回し

サイコロを振る復元するとき

2

７から５回す

シェア（サイコロの⽬、ルーレットの回転先）１個では復元できない

秘密分散するとき サイコロの⽬と回転先をシェアとする

「2」を２つのシェアに秘密分散する

秘密分散上の加算

© 2018 NTT corp. 16

Ｂさんのシェア１

Ａさんのシェア１

結果を復元するとき

2

Ａさん

3

Ｂさん

＋ ＝

シェア１同⼠を⾜す

５

８から７回す

Ｂさんのシェア２

Ａさんのシェア２

＋ ＝

2と3を２シェアに秘密分散し、シェア1同⼠、2同⼠となるよう送る

「2＋3＝５」を計算する

シェア２同⼠を⾜す

秘密分散 （乗算の準備）

© 2018 NTT corp. 17

2

サイコロの⽬の合計を逆回し

復元するとき

2

サイコロを２個振る

3シェアからシェアのペア３種を作る※

シェアのペア２つを集めて３個の数を得る

秘密分散するとき

ADVANCED: もっと知りたいあなたへ

「2」を3シェアに秘密分散する

※ シェアのペア３種：サイコロの⽬２つと回転先の合計３シェアから、２個ずつ選んで３つのペアを作る

4から(5+3)回す

秘密分散上の乗算

© 2018 NTT corp. 18

2

Ａさん

= + +

a=a0 +a1 +a2a0b0 +a0b1 +a1b0 =

a0 a1 b0 b1a0 a1 a2

ＢさんのシェアＡさんのシェア

3

Ｂさん

= + +b2b0 b1

a2b2 +a2b0 +a0b2 =a0 b0

ＢさんのシェアＡさんのシェア

a1b1 +a1b2 +a2b1 =a1 b1

ＢさんのシェアＡさんのシェア

a2 b2

a2 b2b=b0 +b1 +b2 ３個の計算結果で復元

(10の位は無視して回す)

6ab=(a0+a1+a2)(b0+b1+b2)=

ab=(a0 +a1 +a2)(b0 +b1 +b2) = a0b0 +a0b1 +a1b0+a1b1 +a1b2 +a2b1+a2b2 +a2b0 +a0b2

（10の位は無視）

（10の位は無視）

ADVANCED: もっと知りたいあなたへ

「2×3＝6」を計算する2と3を3シェアに秘密分散しシェアのペア３種を作る

シェアのペアで掛け算⾜し算を⾏う（下式を使う）

結果を復元するとき

秘密計算ソート

© 2018 NTT corp. 19

101

010

011

223

+×否定入力

累計１

累計２

①データの否定を計算

②否定と入力を並べて累計を計算

③同じく否定・入力と累計の積を計算

101

入力

010

否定

101

入力

010

203

積１

積２

010

否定

011

223

累計１

累計２

×

NOT

010

203

積１ 積２

213

④積1と積2の和を計算

和=順位

基数ソートを使う（1ビットデータのソートができれば良い）→ 1ビットデータの秘密計算順位付け

101

入力

213

順位

ADVANCED: もっと知りたいあなたへ

1ビットデータの秘密計算順位付け

⼊⼒に対する順位の組みを作る（データを⼀度も⾒ずに）

順位だけ復元してそれを⾒て⼊⼒の並び替え

101

枠囲いデータは全て暗号状態

概要 詳細

秘密分散のパフォーマンス•使い物になるの？•代表的な機能の実⾏時間•パフォーマンスの理由

© 2018 NTT corp. 20

使い物になるの？Q: 秘密計算は遅くて使い物にならないと聞いたの

ですが？A: いいえ、ついに実⽤レベルの秘密計算システム

の開発に成功することができました

© 2018 NTT corp. 21

実験環境は次ページ参照

機能 秘密計算での実⾏時間加算 0.014 秒 1000万回実⾏乗算 0.473 秒 1000万回実⾏

ソート 12.2 秒 1000万レコード

12秒：1000万レコードのソート約1秒：同ソートの平⽂処理 (シングルスレッドで)

私たちの秘密計算と通常のコンピュータ処理の性能⽐はおよそ「⼀桁レベル」に迫る

代表的な機能の実⾏時間

© 2018 NTT corp. 22

機能 実⾏時間[ミリ秒]データ件数 103 104 105 106 107

加算 1 1 1 2 14乗算 1 1 5 39 473ソート 10 23 133 1,274 12,255総和 1 1 1 1 9積和 1 1 1 2 15数量表作成 22 46 255 2,252 22,676シャッフル 1 1 8 60 731テーブル結合 19 65 518 4,965 53,205条件によるフィルタ（⽂字列前⽅⼀致） 6 6 14 91 813条件によるフィルタ（数値⼀致） 5 5 10 35 413

PC 3台 (CPU: Intel Core i7 6900K, MEM: 32GB, SSD: 525GB, OS: CentOS 7.2) を10Gbpsネットワークで接続した環境で測定

パフォーマンスの理由•秘密分散ベースの特徴を最⼤限活かす

•実装上の特徴

© 2018 NTT corp. 23

•データ処理の基本となるデータサイズが⼩さい•基本的な計算である加算・乗算に専⽤の⾼速な処

理が存在する

•秘密分散データ処理の⾼速化•マルチパーティ計算特有の処理の最適化•⾼速な秘密計算ソートアルゴリズムを考案

秘密計算システム 算師®•秘密計算システム 算師とは•秘密計算システム 算師ができること•代表的な機能

© 2018 NTT corp. 24

算師®は⽇本電信電話株式会社の登録商標です

•NTTが開発した秘密計算システム• サーバ・クライアントソフトウェアから構成• 秘密分散ベースのマルチパーティ計算が

３〜４台のコンピュータによって⾏われる

秘密計算システム 算師とは

© 2018 NTT corp. 25

サーバソフトウエア• 秘密分散ベースのマルチ

パーティ計算

クライアントソフトウェア• データの⼊出⼒（秘密分散）• 分析リクエストの処理

算師ができること

© 2018 NTT corp. 26

秘密分散上での安全にデータ管理できる•スキーマ定義•テーブル作成•データ登録

秘密分散されたまま豊富な統計機能が使える•総和、平均、分散•最⼤値、最⼩値、中央値•クロス集計

データを⾒せないで持ち寄る分析ができる•持ち寄ったデータの統合•同、横断分析

1000万件×100属性規模のデータを実⽤速度で処理できる

代表的な機能

© 2018 NTT corp. 27

統計機能総和平均分散積和最⼤値最⼩値中央値分位数基本統計に対する数量表度数表（クロス集計・ヒストグラム）度数表出⼒の閾値ルール・占有ルールt検定Kaplan-Meier法グラフ作成

管理機能テーブル登録・更新・削除スキーマ登録・更新・削除トランザクション（テーブル単位）ロールバック（テーブル単位）ユーザ管理・テナント管理

データ操作機能データ登録・更新・削除テーブル結合Nullフィルタ重複フィルタ条件によるフィルタ（等号・⼤⼩・⽂字列⽐較等）

数値のカテゴリ化（数量表・度数表で使⽤）

シャッフル

関連論⽂•技術を理解していただくため•査読付論⽂・国際会議•受賞記録

© 2018 NTT corp. 28

技術を理解していただくため1. 桐淵 直⼈, 五⼗嵐 ⼤, 濱⽥ 浩気, 菊池 亮: "プログラマブルな秘密計算ライブラリ

MEVAL3," 暗号と情報セキュリティシンポジウム(SCIS), 2018. 2. Koki Hamada, Satoshi Hasegawa, Kazuharu Misawa, Koji Chida, Soichi Ogishima,

and Masao Nagasaki: "Privacy-Preserving Fisher's Exact Test for Genome-Wide Association Study," International Workshop on Genome Privacy and Security (GenoPri), 2017.

3. Eizen Kimura, Koki Hamada, Ryo Kikuchi, Koji Chida, Kazuya Okamoto, ShirouManabe, Tomohiro Kuroda, Yasushi Matsumura, Toshihiro Takeda, and Naoki Mihara: "Evaluation of Secure Computation in a Distributed Healthcare Setting," Medical Informatics Europe (MIE) 2016: 152-156.

4. Koji Chida, Gembu Morohashi, Hitoshi Fuji, Fumihiko Magata, Akiko Fujimura, Koki Hamada, Dai Ikarashi, Ryuichi Yamamoto: "Implementation and evaluation of an efficient secure computation system using 'R' for healthcare statistics," J Am Med Inform Assoc. 21, pp.326-331, 2014.

5. Satoshi Tanaka, Yutaka Abe, Satoshi Takahashi, Ryo Kikuchi, Atsushi Doi, Koji Chida, and Kiyomi Shirakawa: "Secure statistical computation system on encrypted data: An empirical study of secure regression analysis for official statistics," UNECE Work session on Statistical Data Confidentiality, 2017.

6. Koji Chida, Daniel Genkin, Koki Hamada, Dai Ikarashi, Ryo Kikuchi, Yehuda Lindell, Ariel Nof: "Fast Large-Scale Honest-Majority MPC for Malicious Adversaries," the 38th International Cryptology Conference (CRYPTO), 2018.

© 2018 NTT corp. 29

技術を理解していただくため7. Dai Ikarashi, Ryo Kikuchi, Koki Hamada, and Koji Chida: "Actively Private and

Correct MPC Scheme in t<n/2 from Passively Secure Schemes with Small Overhead, ePrint archive 2014.

8. Ryo Kikuchi, Dai Ikarashi, Takahiro Matsuda, Koki Hamada, Koji Chida: "Efficient Bit-Decomposition and Modulus-Conversion Protocols with an Honest Majority," The 23rd Australasian Conference on Information Security and Privacy (ACISP), 2018.

9. 五⼗嵐 ⼤, 濱⽥ 浩気, 菊池 亮, 千⽥ 浩司: "超⾼速秘密計算ソートの設計と実装：秘密計算がスクリプト⾔語に並んだ⽇," コンピュータセキュリティシンポジウム(CSS), 2017 (CSS論⽂賞).

10.桐淵 直⼈, 五⼗嵐 ⼤, 諸橋 ⽞武, 濱⽥ 浩気: "属性情報と履歴情報の秘匿統合分析に向けた秘密計算による⾼速な等結合アルゴリズムとその実装," コンピュータセキュリティシンポジウム(CSS), 2016 (CSS論⽂賞).

11.五⼗嵐 ⼤, 菊池 亮, ⾼橋 克⺒: "MEVAL2 vs. CCS Best paper on MPC-AES,"暗号と情報セキュリティシンポジウム(SCIS), 2017 (SCISイノベーション論⽂賞).

12.Ryo Kikuchi, Koji Chida, Dai Ikarashi, Wakaha Ogata, Koki Hamada, Katsumi Takahashi: "Secret sharing with share-conversion: Achieving small share-size and extendibility to multiparty computation," IEICE Transactions, 98-A(1):213-222, 2015.

© 2018 NTT corp. 30

査読付論⽂・国際会議1. Koji Chida, Daniel Genkin, Koki Hamada, Dai Ikarashi, Ryo Kikuchi, Yehuda Lindell,

Ariel Nof: “Fast Large-Scale Honest-Majority MPC for Malicious Adversaries,” the 38th International Cryptology Conference (CRYPTO), 2018.

2. Ryo Kikuchi, Dai Ikarashi, Takahiro Matsuda, Koki Hamada, Koji Chida: “Efficient Bit-Decomposition and Modulus-Conversion Protocols with an Honest Majority,” The 23rd Australasian Conference on Information Security and Privacy (ACISP), 2018.

3. Ryo Kikuchi, Koji Chida, Dai Ikarashi, Koki Hamada: “Password-Based Authentication Protocol for Secret-Sharing-Based Multiparty Computation,” IEICE Transactions 101-A(1): 51-63, 2018.

4. Ryo Kikuchi, Dai Ikarashi, Koji Chida, Koki Hamada, Wakaha Ogata: “Computational SS and conversion protocols in both active and passive settings,” IET Information Security 11(5): 287-293, 2017.

5. Koki Hamada, Satoshi Hasegawa, Kazuharu Misawa, Koji Chida, Soichi Ogishima, Masao Nagasaki: “Privacy-Preserving Fisher's Exact Test for Genome-Wide Association Study,” 4th International Workshop on Genome Privacy and Security (GenoPri'17), 2017.

6. Koki Hamada, Satoshi Hasegawa, Dai Ikarashi, Koji Chida: “Presentations from invited participants: Track 1,” iDASH Privacy & Security Workshop (invited), 2017.

© 2018 NTT corp. 31

査読付論⽂・国際会議7. Toru Mano, Takeru Inoue, Dai Ikarashi, Koki Hamada, Kimihiro Mizutani, Osamu Akashi:

“Efficient Virtual Network Optimization Across Multiple Domains Without Revealing Private Information,” IEEE Trans. Network and Service Management 13(3): 477-488, 2016.

8. Eizen Kimura, Koki Hamada, Ryo Kikuchi, Koji Chida, Kazuya Okamoto, Shirou Manabe, Tomohiro Kuroda, Yasushi Matsumura, Toshihiro Takeda, Naoki Mihara: “Evaluation of Secure Computation in a Distributed Healthcare Setting,” MIE 2016: 152-156, 2016.

9. Ryo Kikuchi, Koji Chida, Dai Ikarashi, Wakaha Ogata, Koki Hamada, Katsumi Takahashi: “Secret Sharing with Share-Conversion: Achieving Small Share-Size and Extendibility to Multiparty Computation,” IEICE Transactions 98-A(1): 213-222, 2015.

10.Ryo Kikuchi, Dai Ikarashi, Koki Hamada, Koji Chida: “Adaptively and Unconditionally Secure Conversion Protocols between Ramp and Linear Secret Sharing,” IEICE Transactions 98-A(1): 223-231, 2015.

11.Koji Chida, Gembu Morohashi, Hitoshi Fuji, Fumihiko Magata, Akiko Fujimura, Koki Hamada, Dai Ikarashi, Ryuichi Yamamoto: “Implementation and evaluation of an efficient secure computation system using ʻRʼ for healthcare statistics,” Journal of the American Medical Informatics Association, Volume 21, Issue e2, 1 October 2014, Pages 326-331, 2014.

12.濱⽥ 浩気, 五⼗嵐 ⼤, 千⽥ 浩司: “秘匿計算上の⼀括写像アルゴリズム,” 電⼦情報通信学会論⽂誌A, Vol.J96-A, No.4, pp.157-165, 2013.

13.Koki Hamada: “An Algorithm for Computing Aggregate Median on Secure Function Evaluation,” IWSEC 2013 (invited), 2013.

© 2018 NTT corp. 32

受賞記録1. [HLI and Baidu Award for 2017 iDASH Genome Privacy & Security Computation] Koki Hamada,

Dai Ikarashi, Satoshi Hasegawa, Koji Chida2. [SCIS2017イノベーション論⽂賞] 五⼗嵐 ⼤，菊池 亮，⾼橋 克⺒: “MEVAL2 vs. CCS Best paper

on MPC-AES,” SCIS2017.3. [CSS2017論⽂賞] 五⼗嵐 ⼤, 濱⽥ 浩気, 菊池 亮, 千⽥ 浩司: “超⾼速秘密計算ソートの設計と実

装： 秘密計算がスクリプト⾔語に並ぶ⽇,” CSS2017.4. [DICOMO2017最優秀論⽂賞], [DICOMO2017ヤングリサ−チャ賞] ⻑⾕川 聡, 濱⽥ 浩気, 三澤 計治,

千⽥ 浩司, 荻島 創⼀, ⻑崎 正朗: “プライ バシ保護ゲノム解析のための秘密計算フィッシャー正確検定の実装評価,” DICOMO2017.

5. [CSS2016優秀論⽂賞] 桐淵 直⼈, 五⼗嵐 ⼤, 諸橋 ⽞武, 濱⽥ 浩気: “属性情報と履歴情報の秘匿統合分析に向けた秘密計算による⾼速な等結合アルゴリズムとその実装,” CSS2016.

6. [CSS2014優秀論⽂賞] 濱⽥ 浩気, 桐淵 直⼈, 五⼗嵐 ⼤: “ラウンド効率のよい秘密計算パターンマッチング,” CSS2014.

7. [CSS2013優秀論⽂賞] 五⼗嵐 ⼤, 濱⽥ 浩気, 菊池 亮, 千⽥ 浩司: “少パーティの秘密分散ベース秘密計算のためのO(l)ビット通信ビット分解およびO(|p'|)ビット通信Modulus変換法,” CSS2013.

8. [2012年度⼭下記念研究賞], [CSS2012優秀論⽂賞] 濱⽥ 浩気, 五⼗嵐 ⼤, 千⽥ 浩司: “秘匿計算上の集約関数中央値計算アルゴリズム,” CSS2012.

9. [情報処理学会平成23年度論⽂賞] 千⽥ 浩司, 五⼗嵐 ⼤, 濱⽥ 浩気, ⾼橋 克⺒: “軽量検証可能3パーティ秘匿関 数計算の提案と実装評価,” 情報処理学会論⽂誌, 2011.

10. [SCIS2011論⽂賞] 濱⽥ 浩気, 五⼗嵐 ⼤, 千⽥ 浩司, ⾼橋 克⺒: “秘匿関数計算上の線形時間ソート,” SCIS2011.

11. [SCIS2011論⽂賞] 五⼗嵐 ⼤, 千⽥ 浩司, 濱⽥ 浩気, ⾼橋 克⺒: “軽量検証可能3 パーティ秘匿関 数計算の効率化及びこれを⽤いたセキュアなデータベース処理,” SCIS2011.

© 2018 NTT corp. 33

ありがとうございました•本資料は2018年8⽉時点での情報に基づき作成されています

© 2018 NTT corp. 34