電子割符

ウィキペディア

電子割符

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2024/12/25 02:52 UTC 版)

電子割符(でんしわりふ)とは、秘密分散法を応用した暗号技術の一種、およびそれにより生成される分割された情報のことである。用いられた秘密分散法の特徴がそのままその電子割符の特徴となる。1979年にShamirとBlakleyによってそれぞれ独立に異なる秘密分散法が提案されて以来、多くの秘密分散法が提案され、その数だけの種類の電子割符がある。

新たな情報運用管理手法を産み出す基礎技術として、また機密情報保護の観点から注目を集めている。

概要

現実の割符と同様に一つの元の情報を二つ以上に分割し、またそれらを集めることで元の情報を復元する。現実の割符では主に、元の情報自体は既知で集めた時に既知の情報が得られたことを確認する相互認証に用いられるが、電子割符では、複数人の協力によってのみ得られる秘密情報の隠蔽に用いられる。また現実の割符では不可能な、十に分けた電子割符の内のどれでも三つ以上が集まれば秘密情報を得られる等の閾値（この例では三つ）を指定するなどの高い可用性を持つ。

暗号技術の一種ではあるが、一般の暗号（秘匿通信）とは異なった利用法を前提としていることから暗号として単純に評価することができず、用いられた秘密分散法を評価しなければならない。表面的には「暗号文と暗号鍵に分ける」と認識しても大きな間違いではない（→#バーナム暗号との関係）が、それでは多くの電子割符が具備する高い可用性も広い応用範囲も説明できないことは留意しておくべきである。

応用

PCの盗難対策

• 機密ファイル等の秘密情報から割符が三つ以上必要なように電子割符を生成する。
• そのうちの一つをサーバーに保存して外部からアクセス出来るようにする。公開サーバーに公開情報として置いても良い。
• 機密ファイルの閲覧許可を持つ者に他の一つの割符を持たせる。
• またそのPCにもう一つの割符を記録しておく。

こうすることで割符を持った人が割符を記録したPCで接続した場合にのみ閲覧可能となり、万一PCが盗難されても情報は漏洩しない。

この例では原始的な秘密分散法ではPCを二つ以上盗まれると情報も漏洩することになるが、各割符に特権を持たせることで特権の無い割符が入ったPCをいくつ盗まれても情報が漏洩しない秘密分散法もある。

分散バックアップ

バックアップを割符にして地理的に離れた複数個所に分散して保存しておくことで盗難や事故、災害、テロ等により一部が失われても復元出来るようにすることができる。

これだけなら単に暗号化した複製を分散して保存すれば済むが、電子割符を利用すると、本社機能が麻痺した時でも支社が割符を持ち寄って全社情報を復元し、本社機能を代行する（例えば顧客の資産保全）などの緊急措置を執ることが可能になる。単に暗号化した複製を分散して保存している場合には、暗号鍵の管理方法によっては本社機能と共に暗号鍵も失われたり、支社各々が独断で全社情報を復元できたりしてしまう。

バーナム暗号との関係

割符を暗号として見た場合、用いられる秘密分散法によってはバーナム暗号と原理的に同一、即ち情報理論的安全性を持つ完全暗号にすることが可能である。

秘匿通信としてバーナム暗号を利用する場合には鍵配送問題と呼ばれる、暗号鍵をどうやって盗聴されることなく通信相手に届けるか（そんな方法があるなら暗号化などせずにその方法で平文を届ければ良いはずだ）という問題が存在する。しかし電子割符は運用目的が秘匿通信ではないため、単に暗号鍵を割符の一つにすることで鍵配送問題が解決する。言い換えるとバーナム暗号は、分割数2閾値2の電子割符であると言える。

逆にバーナム暗号を電子割符として見た場合、分割数nに対して必ずn個の割符が無ければ秘密情報を得ることが出来ない。即ち、閾値は必ず分割数と同一でなければならず、また全ての割符は等価であり、そして全ての割符は秘密情報と同じ長さを持つ。

これに対して電子割符は用いられる秘密分散法によって、分割数とは異なる閾値を指定できたり、一部の割符に特権を持たせ（特権の無い割符がいくつあっても復元出来ないようにし）たり、割符の長さを秘密情報の数分の一にしたりできるなど、高い可用性がある。

割符を完全暗号にする秘密分散法としては、n次多項式はそれが通るn+1個の点を指定すると一つに定まることを利用したShamirの秘密分散法が代表例として挙げられる。

真の乱数列から生成した数列もまた真の乱数列となることから、各々の割符の暗号鍵を、同じ真の乱数から（各々の割符を識別する情報と共に）生成した数学的な関連性がある値とすることで、一つの割符の暗号鍵を調べれば互いに関連性の無い真の乱数（即ちバーナム暗号）でありながらも各々の割符の暗号鍵を必要なだけ並べれば、その数学的な関連性（Shamirの秘密分散法の場合はラグランジュ補間の変形）から暗号鍵を算出し暗号を解くことが出来るようになる。

Shamirの秘密分散法は単体の割符に関して完全暗号なだけではなく、閾値未満の数の割符に対しても完全暗号である特徴を持つ。が、割符の長さが必ず秘密情報の長さを超える、全ての割符が等価である、計算量が多く複雑で時間が掛かるなどの理由で可用性が低く実用には向かない。

バーナム暗号が完全暗号でありながら可用性の低さから商用の暗号には用いられず他の完全暗号ではない計算量的安全性を持つ暗号が用いられているように、Shamirの秘密分散法も商用の電子割符には用いられず他の完全暗号ではない（が充分な暗号強度を持ち高速な）秘密分散法が用いられている。

電子割符の説明として、動作原理の理解が容易なShamirの秘密分散法の説明がされることがあるが、Shamirの秘密分散法を用いた電子割符と同等の完全性や不可用性を全ての電子割符が具備しているわけではないことには注意を要する。

なお、内閣サイバーセキュリティセンター（NISC）等の公開資料に記載される秘密分散技術の発端となった電子割符技術で、処理対象となる原本電子情報ファイル等を集合論における母集合と捉えその母集合を構成する各要素を各ビットとして扱い、実際にビット分散処理をランダムに行い分割片割符（シェア）を生成する技術も存在する。その場合生成された分割片である割符（シェア）自体は部分集合と見做されるもので、少なくとも日本国内企業が1999年から市場に技術供給しており、複数回の外部評価を受けつつ官民で多くの実績を有している。その技術実装の場合完全秘密分散型の処理を行なえばAONTの特性もほぼ満たすものとなり、閾値設定した割符化（ビット分散）処理を行なえば秘密分散法の特長でもある閾値型の機能実装も可能となる。また、ビット分散処理の工夫によって分割ファイル（シェア）割符のサイズ調整の自由度も高まるうえに、生成される割符（シェア）は生成の都度ユニークなビット列で構成されるファイルとなる。。

関連項目

• 秘密分散
• 割符
• 暗号理論
• バーナム暗号
• 情報理論的安全性
• 計算量的安全性を持つ暗号
• Shamir → アディ・シャミア
• シャミアの秘密分散法
• 集合論