量子準同型暗号化に基づく安全なマルチパーティ凸包プロトコル

まとめ
Secure Multiparty Computational Geometry (SMCG) は、Secure Multiparty Computation のブランチです。このプロトコルは、SMCG での安全なマルチパーティ凸包計算用に設計されています。まず、量子準同型暗号化に基づく安全な二者値比較プロトコルを提案します。量子準同型暗号化の性質により、このプロトコルはデータのセキュリティと量子回路の実行中の当事者間の対話を十分に保護できます。結果は半信頼できる第三者機関によって発表されます。上記で設計された値比較プロトコルを利用して、複数のユーザー点セットの共通の凸包問題を安全に解決できる安全なマルチパーティ凸包プロトコルが提案されます。次に、正確性とセキュリティの分析が実行され、プロトコルが安全で信頼できることが証明されます。

背景

情報技術の発展に伴い、セキュリティ問題は常に学界で話題になっています。Secure Multiparty Computation (SMC) は、情報の漏洩を防ぎながら、相互に不信感を抱いている複数の参加者が特定の種類のタスクを共同で計算する問題を解決することを目的としています。SMC は、1982 年に Yao によって提案されたミリオネア問題に由来します。この問題では、2 人のミリオネアが互いの資産を知らずに自分の資産を比較します。これには古典的コンピューティングにおけるさまざまな問題が含まれており、その中には安全なマルチパーティ計算幾何学 (SMCG) も研究に値する方向性があります。2001 年に、Atallah は、点包含問題、交差問題、凸包問題など、数値を安全に計算するための幾何学的問題の最初の定義研究を提供し、これらの問題のいくつかに対する解決策を提案しました。その後の学者たちは、点包含問題、幾何学的交差問題、最近接点または点ペア問題、凸包問題の解決などの SMCG 問題も研究しました。
ただし、上記の問題の解決策は計算の複雑さによって制限されます。ショールのアルゴリズムやグローバーのアルゴリズムなどの量子アルゴリズムの出現により、計算の複雑さに基づくこれらのセキュリティ アルゴリズムは脅威に直面することになります。したがって、量子力学に基づいて安全なマルチパーティ計算の幾何学を研究する必要があります。2016 年に Shi らは、位相エンコードされた量子プライベート クエリに基づいて、任意の領域に対するプライバシー保護ポイント インクルージョン プロトコルを提案しました。2017 年に、Peng らは、位相エンコードされた量子プライバシー クエリを使用して、二者間距離解決問題を解決しました。その後間もなく、Chen らは Peng のソリューションのセキュリティ上の欠点を指摘し、元のソリューションの欠点の理由を分析し、新しいソリューションを提案する論文を発表しました。2018 年に、Peng らは、QKD ベースの量子プライベートクエリを使用して安全な二者間距離計算のための量子プロトコルを提案しました。2019年に発表された論文で、Liuらは、二者間の幾何学的交差問題を処理するためのオラクルと量子計数アルゴリズムに基づくプロトコルを提案したが、この方法は二者の参加に限定されており、ケースに十分に拡張することはできない。複数の当事者の。
この論文では、著者らは、マルチパーティ凸包問題を解決するための量子準同型暗号化の使用を先駆けて開発しました。2 人以上のユーザーが独自の点セットを持っています。作者の同意の目的は、ユーザー自身の情報を明らかにすることなく、すべてのユーザー点セットに共通の凸包を見つける方法であり、凸包点の情報は誰にでも知られています。データ値の安全性を確保するために、量子準同型暗号化に基づく値比較プロトコルが提案されています。次に、プロトコルは凸包計算プロトコルに適用され、最終的にプロトコルの解が得られます。

基本知識

量子準同型暗号

QHE ソリューションによって解決される問題は、データが暗号化された後、準同型評価後の最終的な復号結果が元の平文の同じ計算結果と同じになり、セキュリティ計算の問題を解決できることです。QHE スキームは 4 つのアルゴリズム (鍵生成、暗号化アルゴリズム、評価アルゴリズム、復号化アルゴリズム) で構成されます。

1. キー生成アルゴリズムは、暗号化キー ek と復号化キー dk をランダムに生成します。指定された ek アルゴリズムに従って dk を計算します
2. 暗号化アルゴリズム ε は、量子状態 σ を暗号化し、暗号化された量子状態$E_{}(え、\_d)$
3. 評価アルゴリズムは、データを暗号化することです$\epsilon (ek,\delta )$は量子計算 U を実行し、実行後に最終的な暗号文E ε ( ek , δ ) E_ε(ek, δ)$が得られます。$$E_{}(ek,\delta )$
4. 解密結果D对$E_e^{}(ek,\delta )$時間解密，流定明文$p^{』}=D(dk,E_e^{}(ek,\sigma ))$ ,$p^{』}=U\sigma U^{†}$
   この論文では、ゲート X とゲート Z を使用して平文量子ビット$\sigma$は暗号化されており、Boykin らによって完全に安全であることが証明されています。
   鍵生成では、元の暗号文に対して量子ゲート操作を実行でき、元の鍵 ek から鍵更新アルゴリズムに従って最終的な復号鍵 dk が生成されます。量子ゲートの各実行は、$G_{}(私は=1、2\dots k、kは実行の総数)$、各量子ゲートは集合$S=$ { X 、 Y 、 Z 、 H 、 S 、 T 、 CNOTX、 Y、 Z、 H、 S、 T、CNOT $\times 、やあ、Z、H、Ｓ、て、CNOT$ }の要素鍵更新アルゴリズムには次の状況があります。 Gi = X または Y または Z の場合、ek の m 番目のビットに作用すると仮定すると、鍵更新アルゴリズムの i 番目のステップの鍵値は変更されません。式 (1) に示すように、
   
   Gi = H の場合、ek の m 番目のビットに作用すると仮定すると、鍵更新アルゴリズムの i 番目のステップの鍵値は式 (2) に従います。
   
   Gi = S の場合、ek の m 番目のビットに作用すると仮定し、鍵更新アルゴリズムの i 番目のステップの鍵値は式 (3) に従います。 Gi = S の場合、m 番目のビットに作用すると仮定します
   
   。 ek の -th ビットと l-th ビットの場合、鍵更新アルゴリズムの i 番目のステップの鍵値は式 (4) に従います。
   
   Gi = T の場合、評価用の T ゲートの実行により s エラーが発生します。その場合、TX x Z z ∣ ψ ⟩ = X x Z x S x T ∣ ψ ⟩ TX^xZ^z|\psi\rangle=X^xZ^xS^xT|\psi\rangle としてエラーが発生します。$TX{\_}^{\times }{Z}^z|\psi ⟩={バツ}^{\times }{Z}^{\times }{S}^{x}T|\psi .$_ s エラーを排除するために、Gao らは、図 1 に示すように、Sx 回転ベル測定に基づいた T ゲート プロセス量子回路を設計しました。この回路を実行すると ra と rb が得られ、$TX{\_}^{x\oplus z}{S}^{\times }{Z}^z|\psi ⟩={バツ}^{x\oplus r_{}}{Z}^{x\oplus z\oplus r_{}}T|\psi .\_\_\_$ _
   
   Gi = T が ek の m 番目のビットに作用すると仮定すると、鍵更新アルゴリズムの i 番目のステップの鍵値は式 (5) に従います。
   

量子論理ゲートと量子減算回路

論理ゲート回路は量子コンピューティングの基礎です。単一量子ビット ゲートには、パウリ演算 X、Y、Z、アダマール ゲート H、および位相ゲート T、S が含まれます。量子減算器は、n 2 つの 2 進数 a と b から減算情報を取得するように設計されています。この記事では、Yuan が設計した量子減算器を使用します。具体的なアイデアは、まず最下位ビットから減算を開始し、次に上位ビットから借用する必要があるかどうかを検討し、次に 2 番目のビットから最後のビットまで減算します。定数入力を再利用するには、リセット操作を使用して定数入力を 0 に設定します。これにより、定数入力の数を大幅に減らすことができます。量子ビット入力減算回路を図に示します。

準同型暗号化に基づく値比較プロトコル (VCP_QHE)

このセクションでは、2 者間の値の比較を安全に保護する、量子準同型暗号化に基づくプライベート比較プロトコルを紹介します。参加者には、アリス、ボブ (2 人の情報所有者)、および半信頼された第三者が含まれます。半信頼されたサードパーティをコンピューティング センターとキー配布センターに分けることができ、コンピューティング センターはメッセージの計算のみを担当し、半信頼されたキー センターはキーの配布を担当します。私たちのプロトコルでは、水平偏光と垂直偏光を使用して点情報を表し、水平偏光フォトン |1> はバイナリ メッセージ 1 を表し、垂直偏光フォトン |0> はバイナリ メッセージ 0 を表します。アリスとボブはそれぞれ、計算のために暗号化された情報をコンピューティング センターの量子回路 U に送信します。量子回路 U には、集合 S = {X, Y, Z, H, S, T, CNOT} に属する複数の論理ゲートが含まれています。プロトコルのフローチャートを図 4 に示します。具体的な手順は次のとおりです。

1. キー センターは、長さ 2n のキー ek = (x0,z0) をランダムに生成します。ここで、x0,z0 は {0,1} ⁿに属します。次に、ek は BB84 量子鍵配布プロトコルを介してアリスとボブに送信されます。
2. アリスとボブはそれぞれ情報をエンコードします アリスとボブは ek を使用して光子列$|{\psi }_{}⟩=|{\psi }_{あ}^{}{p}_{あ}^{}{p}_{あ}^{}\cdot \cdot \cdot p_{あ}^{}⟩$ ,$|{\psi }_{}⟩=|{\psi }_B^{}{p}_B^{}{p}_B^{}\cdot \cdot \cdot p_B^{}⟩$最新作アニメーション、交实密文工作$|{\psi }_{あ}^{}⟩={バツ}^{{バツ}_{}}{Z}^{z_{}}|{\psi }_{あ}^{}⟩\otimes {バツ}^{{バツ}_{}}{Z}^{z_{}}|{\psi }_{あ}^{}⟩\cdot \cdot \cdot \otimes {\times }^{{バツ}_{}}{Z}^{z_{}}|{\psi }_{あ}^{}⟩$ ,$|{\psi }_B^{}⟩={バツ}^{{バツ}_{}}{Z}^{z_{}}|{\psi }_B^{}⟩\otimes {バツ}^{{バツ}_{}}{Z}^{z_{}}|{\psi }_B^{}⟩\cdot \cdot \cdot \otimes {\times }^{{バツ}_{}}{Z}^{z_{}}|{\psi }_B^{}.\_$ _ これらの暗号文シーケンスは、実行のためにコンピューティング センターに送信され、事前に準備される必要があります。第三者による盗聴を防ぐために、アリスとボブはいくつかのおとりフォトンを用意しました。各フォトンは$|10⟩|11⟩|+⟩|-⟩$から選択します。これらのおとりフォトンはランダムに挿入されます。この操作が完了すると、新しいシーケンスがコンピューティング センターに送信されます。
3. 計算センターがアリスとボブによって送信された暗号化シーケンスを受信した後、アリスとボブはデコイ光子の挿入位置と対応する測定塩基を発表します。挿入されたデコイが |0> または |1> の場合、測定塩基は |0 です。 > または | 1>, [1}}; 挿入されたベイトが |+> または |-> の場合、測定ベースは |+> または |-> です。計算センターは提供された情報に基づいて分類を実行します。測定結果がアリスとボブによって設定されたしきい値に達しない場合、プロトコルは終了します。それ以外の場合、計算センターはデコイ光子を破棄し、元の暗号化されたシーケンス$|{\psi }_{あ}^{}⟩$和$|{\psi }_B^{}.\_$ _ 入力された計算のビット長を一致させるために、計算センターは、計算前に系列長の短い暗号化系列の前に I0> を追加し、2 つの系列の長さが一致するようにします。
4. コンピューティング センターは量子減算回路を構築し、2 つの暗号化されたシーケンスを回路入力として受け取ります。同時に、キー センターは、コンピューティング センターによって実行された量子論理ゲートに基づいて元のキー サイクルを更新します。回路内の量子論理ゲートの各実行を Gi に設定し、合計 K 回実行すると、最終的な暗号文の結果は$G_{}\left(G_{k-}\right(\cdot \cdot \cdot \left(G2\right(G1(|{\psi }_{あ}^{}⟩、|{\psi }_B^{}⟩)))\cdot \cdot \cdot ））$。復号化キーは$デク\_=(xk,zk)$、鍵更新ルールについては後述します。最後に、計算センターは計算結果をキーセンターに送信します。
5. その結果を受け取った鍵センターは、復号鍵dkを用いて復号・測定し、最終的にアリスとボブが差し引いた情報（計算結果）を得る。
6. キーセンターは最終結果をアリスとボブに発表し、契約は終了します。

VCP_QHE に基づく安全なマルチパーティ凸包プロトコル

複数のユーザー Ui (i>1) がおり、各ユーザーは自分の点集合 set _{iを持ち、点集合の公開凸包 Σset i}を解きたいとします。しかし、相手には自分の情報を知られたくない、凸包上の情報しか知り得ない。古典派によって提案されている現在のセキュリティ プロトコルは計算の複雑さに基づいており、そのようなプロトコルの問題は量子コンピューティングによって脅かされています。このプロセスをより明確に説明するために、この文書では、ツーパーティ セキュア凸包プロトコルについて説明し、最後にそれをマルチパーティ セキュア凸包プロトコルに拡張します。二者間プロトコルでは、参加者がアリスとボブ、および半信頼された第三者であると仮定します。アリスはプライベート点セット S _A = (p1, p2, p3..., pm) を持ち、ボブはプライベート点セット S _B = (q1, q2, q3 ... qn) を持ちます。アリスとボブは、自分自身の点セットに関する情報を公開せずに、m + n 点の凸包を計算する必要があります。具体的な手順は次のとおりです。

ステップ 1アリスとボブはそれぞれ、y 軸座標の最小点 pA min∈S _Aと qB min∈S _Bを計算します(y 軸の最大値、または座標軸の最小値と最大値を選択することもできることに注意してください) x 軸 (必要な点が現在のセットの極値点である限り)。
ステップ 2アリスとボブは、VCP_QHE を使用して、極値 pA min と qB min の値を比較します。
pA min > qB min の場合、qB min は m + n セットの極値点であり、凸包上の点です。qB min → v0v1 (v0 はベクトル上の点、v1 = qB min) を通じて x 軸方向の水平単位ベクトルを生成します。
pA min < pbmin の場合、pA min は m + n セットの極点であり、凸包上の点でもあります。pA min→v0v1 (v0 はベクトル上の点、v1 = pA min) を通じて x 軸方向の水平単位ベクトルを生成します。
pA min = qB min の場合、pA min と qB min はどちらも m + n セットの極値点であり、凸包上の 2 点です。pA min と qB min → v0v1、v0 = pA min、v1 = qB min からベクトルを生成します。
ステップ 3アリスはコサイン値$コス{\_}_{}(l=1、2、\dots 、m)$の$\overrightarrow{v_{}{p}_{}}$和$\overrightarrow{v_{i-}{v}_{}}$(i は i 番目の凸包点を表し、l=1,2,3...m)、その最大コサイン値 cos A を選択します。同時に、ボブはコサイン値 cos _{t (t =1,2,...),} viqt of n) → \overrightarrow {v_iq_t} を計算します。$\overrightarrow{v_{}{q}_{}}$和$\overrightarrow{v_{i-}{v}_{}}$、次にその最大のコサイン値 cos B を選択します。
ステップ 4アリスとボブは、$ボディA（ボディ<\overrightarrow{v_{}{p}_{マックス}}、\overrightarrow{v_{i-}{v}_{}}>)$と$cosB(cos<\overrightarrow{v_{}{p}_{マックス}}、\overrightarrow{v_{i-}{v}_{}}>）$サイズ。p max と q max は、それぞれアリスとボブの点セットで最大のコサイン値を持つ点です。比較結果は 3 つの状況になります。cos_i+1
と仮定すると、pmax は凸包点になります。v_i+1≡v₁、最後のバンプが最初のバンプになり、プロトコルが終了します。cos A<cos B の場合、q max は凸包点であり、q max→vi+1 とします。vi+1≡v1 になるまでステップ 3 と 4 をループし、最後のバンプが最初のバンプになり、その後プロトコルが終了します。cos A=cos B の場合。ステップ 5アリスとボブは、凸包点 vi から p max と q max までの距離 disA と disB をそれぞれ計算し、VCP_QHE を通じてこれら 2 つの距離を比較します。そうでなければ。disB の場合は p max→vi+1 を設定し、それ以外の場合は q max→vi+1 を設定します。vi+1≡v1 になるまでステップ 3 と 4 をループし、最後のバンプが最初のバンプになり、その後プロトコルが終了します。

プロトコル ソリューションのプロセス全体は、前の凸包点に基づいて次の凸包点を取得することであるため、2 つの凸包点が凸包の側面を形成できることがわかり、取得された 2 つの凸包点ごとに形成されます。凸包: すべてのエッジのセットが完全な凸包です。結果として得られる点のセットは、点のセット全体の凸包を表します (つまり、取得された点の順序に従って直線によって形成される閉ループが凸包です)。
上で説明した安全な 2 パーティ凸包プロトコルに基づいて、それを安全なマルチパーティ凸包計算に拡張することもできます。マルチユーザー U _i (i = 1, 2, 3..., n) プロトコルのプロセスは、ツーパーティ凸包プロトコルのプロセスとほぼ同じです。ステップ 1 で、U _{i は}それぞれ独自の極値点を取得し、次に VCP_QHE プロトコルを使用して最終的に極値点 Σ Si (すべての点のセット) を取得します。VCP_QHE は、ステップ 3 で最大コサイン値を解くためにも使用され、ステップ 5 の最大コサイン値。最大距離。私たちが設計した VCP_QHE は双方で解決するため、複数のユーザーの入力に対して 2 対 2 の判断を行う必要があります。最後に、巡回判定の後、各ユーザ Ui はすべての点の凸包を取得できます。

精度解析

このセクションでは、VCP_QHE と安全なマルチパーティ凸包プロトコルのユースケース分析を実行します。_{まず、アリスがデータ I A} = 58、ボブがデータ I _B = 30 を持っていると仮定して、VCP_QHE プロトコルを分析し、それぞれをバイナリにエンコードして、I _A = (1,1,1,0,1,0)を取得します。 I _B =(1,1,1,1,0)。_{I A}と I _Bの長さが一致しないため、小さい方の I の前に |0> を追加して、同じ長さのI' _{B = (0,1,1,1,1,0) を取得します。}計算中心 (I _A −I _B ) の計算と鍵中心の復号(I _{res = (1,1,1,0,0) > 0) を通じて、I A} >I _B

であることがわかります。 VCP_QHE プロトコル経由 cos A と cos B を判定した後、cos A<cos B であると結論付けられるため、新しい凸包点は q3 になります。その後、q3 を基点として使用して、次の凸包点を取得します。プロセスは次のとおりです。上の図に示すように、q1→q3→q2→p2→p1→q1
安全なマルチパーティ凸包の正当性分析では、アリスとボブの点集合 S _A = {(0,1), (1,6), (2,4)}, S _B図に示すように ={(3,0),(4,8),(6,1)}。アリスとボブは、それぞれ p1 と q1 というラベルが付いた点のセット内の最小の y 座標を計算します。VCP_QHE プロトコルを p1 と q1 に適用すると、q1 がセット全体の y 軸方向に沿った最小の点であり、最初の凸包点でもあることがわかります。q1 によれば、アリスとボブの最大コサイン値はそれぞれ式 6 と式 7 のように得られます。

一般性を失わずに、ｎ人のユーザＵ１、Ｕ２、…が存在し、各ユーザが独自のポイント情報を持っていると仮定する。各ユーザーは、自分の点セットの極値点を計算し、Ei を VCP_QHE プロトコルを通じて比較し、最初の凸包点 C1 を取得します。Ui は最小コサイン値を計算します$コス<C_{}、C_{}{P}_{}{>}_{}$点 C1 の水平ベクトル$C_{}{P}_{}$構成。次に、VCP_QHE を通じて最小コサイン値$コス<C_{}、C_{}{P}_{}{>}_{}$点集合全体の$コス<C_{}、C_{}{P}_{}{>}_{}$。すなわち、第２凸包点Ｃ２を求めることができる。したがって、各ユーザーはまず自分の点と凸包エッジ C _i-2 C _i-1によって形成される最小コサイン値を見つけ、次に安全な VCP_QHE プロトコルを通じてコサイン値を比較します。次の凸包点Ｃｉの値を求める際にも、最初の凸包点の情報は同じである。次に、すべての凸包点、すべての凸包点 C1C2...Cm を解きます。解決プロセス全体は完全に正しく、準同型暗号化の保証によりセキュリティも向上します。

セキュリティ分析

私たちは凸包問題を解決するために量子準同型暗号を初めて使用したため、他に比較できるプロトコルはありません。提案されたプロトコルの安全性は、次の観点からのみ分析できます。

データと鍵のセキュリティ

初期暗号鍵ekは、鍵センターがセキュア鍵生成アルゴリズムQOTPを用いてランダムに生成するため、生成された初期鍵の安全性が保証される。鍵更新アルゴリズムでは、鍵センターがコンピューティング センターと対話する場合、コンピューティング センターは各ステップで実行される量子論理ゲートのみを提供するため、(x, z) 中間鍵と最終 dk は鍵更新プロセス中安全です。データセキュリティの観点からは、初期鍵と復号鍵はキーセンターが所有しているため、キーセンターがデータを盗聴する可能性が高くなります。ただし、私たちのプロトコルでは、これは実現不可能です。ユーザーは、鍵センターによって配布された初期鍵 ek を介してデータを暗号化し、安全な量子チャネルを介してコンピューティング センターに直接送信し、コンピューティング センターは暗号化された後でのみデータを送信できるからです。ゲート回路が完成すると、取得したデータが鍵センターに送られ、復号化されます。したがって、鍵センターは改ざんされたデータ情報のみを取得することができ、元の平文情報を取得することはできない。したがって、データは安全です。

外部からの攻撃

外部の攻撃者は、キーの配布、暗号文の送信、および準同型評価中に攻撃する可能性があります。キー配布プロセスでは、BB84 プロトコルを使用してキーが配布されるため、外部の攻撃者はキーを取得できません。暗号文の送信中に、外部の攻撃者が量子チャネルを攻撃してデータを取得する可能性があります。ただし、データ送信前に、ユーザーは暗号化されたフォトン シーケンスにデコイ フォトンをランダムに追加します。したがって、攻撃者が暗号文メッセージを傍受したとしても、元のメッセージが何であったかを知る方法はありません。準同型評価プロセス中、計算機とキーセンター間の通信は量子チャネルを通じて実行され、盗聴を防ぐために情報にデコイフォトンが挿入されるため、安全です。

内部攻撃

この場合、N 人の不正な参加者が他の人の情報を盗もうとした場合でも、私たちのプロトコルは完全に安全です。半信頼されたキーセンターとコンピューティングセンターは実装プロセスに忠実である必要があり、他の参加者や第三者と協力することができないため、取得した情報から他人の情報を推測することしかできません。前のセクションでユーザー データのセキュリティについて説明しました。したがって、キーセンタやコンピューティングセンタは、他の利用者のリアルな情報を取得することができない。一方で、キーセンターが発表する最終結果は具体的な差異を公表していないため、利用者は差分データを通じて他者から情報を得ることができず、他の参加者と協力して利用者の実データを取得することもできない。したがって、私たちのプロトコルは参加者による攻撃に耐性があります。