セキュアネットワーク符号化の最近の動向です

1. セキュアネットワーク符号化の最近の動向
最近の動向よりも歴史の説明のほうが多い
松本 隆太郎
ryutaroh.matsumoto@nagoya-u.jp
2019 年 9 月 13 日
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 1 / 13

2. セキュアネットワーク符号化の背景と目的
情報ネットワークのリンク(やノード)の盗聴を想定
盗聴者にメッセージがわからないようにする
共通鍵暗号でメッセージ秘匿化を実現出来るが、鍵を一切用いない(方式
が多い)。従って一対多通信の場合でも事前の鍵共有が不要
盗聴されるリンクの本数に上限(本講演では 𝜇 本)を仮定する
「情報理論研究会」にたまに参加する程度の関連知識を聴衆に仮定して講演準
備した。引用文献の情報は予稿参照。細かい定義や定理を知りたい方は予稿の
参考文献を精読してください。
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 2 / 13

3. 直観を伝える具体例
送信者から受信者に交差しない 2 本のリンクがあり 𝑋1, 𝑋2 ∈ 𝐅𝑞 を送ると
する
高々 1 本のリンクが盗聴され 𝑋1 または 𝑋2 のどちらかが盗聴される
𝑞 ≥ 3 としてメッセージ 𝑀 と乱数 𝑅 ∈ 𝐅𝑞 を 𝑋1 = 𝑀 + 𝑅, 𝑋2 = 𝑀 − 𝑅 と符号化
して送ると
𝑀 と 𝑋𝑖 は統計的に独立 (𝑖 = 1, 2)
となるためメッセージ秘匿性が実現される
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 3 / 13

4. 情報ネットワーク内の中間ノードが線形符号化すると…
送信者から 2 本の出力リンクがあり 𝑋1, 𝑋2 ∈ 𝐅𝑞 が送られるとする。中間ノード
は入力の任意の線形結合を出力するため、中間ノードの符号化によっては
𝑋1 + 𝑋2 = 2𝑀 がリンクを流れることがあり、これを盗聴されるとメッセージが盗
聴者にわかってしまう。
Cai と Yeung は情報ネットワークを固定したときに中間ノードにおける符号化を
適切に選ぶと送信ノードにおける乱数を 𝜇 シンボル以上用意すれば 𝜇 本までの
盗聴に対してメッセージを秘匿化できることを示した。
原田と山本は与えられた情報ネットワークとその中間ノードの符号化に対して、送
信ノードの送り方を工夫すれば 𝐅𝑞 が十分大きいときにメッセージを秘匿化でき
ることを証明した。
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 4 / 13

5. ランダムネットワーク符号化
ネットワーク符号化を行う際情報ネットワーク内の各中間ノードにおける符号化を
他ノードの符号化と合わせて選択するのは手間がかかる。シングルソースマルチ
キャストの場合各ノードの符号化をランダムに選べば最適なスループットを高い
確率で達成出来ることが Ho らにより示された(ランダムネットワーク符号化)。
ランダムネットワーク符号化で送られるメッセージを秘匿化するためには、
送信ノードの符号化だけを適切に設計してメッセージを盗聴者に秘密にで
きること、
中間ノードにおける符号化が何であってもメッセージが秘密に保たれること
の 2 つの条件が満たされることが望ましい。
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 5 / 13

6. 従来のセキュアネットワーク符号化では無理
メッセージ 𝑀 ∈ 𝐅𝑞 と乱数 𝑅 ∈ 𝐅𝑞 を送信ノードが線形符号化し 𝑋1 = 𝑎𝑀 + 𝑏𝑅
と 𝑋2 = 𝑐𝑀 + 𝑑𝑅 を 2 本のリンクから送るとする。
受信ノードが 𝑀 を復号できるためには 𝑀 = 𝛼𝑋1 + 𝛽𝑋2 となる 𝛼, 𝛽 ∈ 𝐅𝑞 が存
在することが必要である。しかし、そのような 𝛼, 𝛽 の存在は、中間ノードのランダ
ム符号化の選ばれ方によってはあるリンクに 𝑀 がそのまま流される可能性があ
ることを意味するから、ランダム符号化に対してメッセージを秘匿化することがで
きない。
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 6 / 13

7. 拡大体を用いるセキュアネットワーク符号化
メッセージ 𝑀 ∈ 𝐅𝑞 𝑚 と乱数 𝑅 ∈ 𝐅𝑞 𝑚 を送信ノードが線形符号化し
𝑋1 = 𝑎𝑀 + 𝑏𝑅 と 𝑋2 = 𝑐𝑀 + 𝑑𝑅 を 2 本のリンクから送るとする。
ただし 𝑎, 𝑏, 𝑐, 𝑑 ∈ 𝐅𝑞 𝑚
受信ノードが 𝑀 を復号できるためには 𝑀 = 𝛼𝑋1 + 𝛽𝑋2 となる 𝛼, 𝛽 ∈ 𝐅𝑞 𝑚 が存
在することが必要である。
一方、中間ノードのランダム符号化で 𝛼′
, 𝛽′
∈ 𝐅𝑞 でありリンクに流れる
𝛼′
𝑋1 + 𝛽′
𝑋2 から 𝑀 がわからないゆおにできる可能性がある。
拡大体 𝐅𝑞 𝑚 を用いたときは一つのシンボルが 𝑚 log2
𝑞 ビットで表現されて情報
ネットワークを流れる。 𝑚 が大きいと送信に必要な時間が増える (後で使う)。
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 7 / 13

8. ランク距離を用いた符号設計によるセキュアネットワーク符
号化
𝐶2 ⊂ 𝐶1 ⊂ 𝐅 𝑛
𝑞 𝑚 を 𝐅 𝑛
𝑞 𝑚 線形符号とする。メッセージ 𝑀 と乱数 𝑅 の組 (𝑀, 𝑅) を
メッセージと見なして 𝐶1 に符号化し、 (0, 𝑅) は必ず部分符号 𝐶2 に符号化される
とする。 𝐶1 の符号語の 𝑛 シンボルを送信ノードの 𝑛 本のリンクから、(ランダム)
ネットワーク符号化された情報ネットワークに送り出す。
このとき 𝐶⟂
2 のランク重み未満リンクが盗聴されてもメッセージ 𝑀 はわからず、ま
た 𝐶1 のランク重みの半分までのリンクにおけるエラーを訂正できることが Silva
と Kschischang により明らかにされ、 universal セキュアネットワーク符号化と呼
ばれた (2011)。前述の秘匿性と誤り訂正能力はネットワーク符号化と独立に実
現されるため universal と名付けられている。 𝑚 ≥ 𝑛 の範囲で最適な符号が
Gabidulin 符号として与えられていることも彼らが明らかにした。しかし 𝑚 < 𝑛
のときよいパラメータを持つ符号は存在しない。
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 8 / 13

9. オーバーレイ・ネットワークによる実装とその悪影響
ネットワーク符号化をネットワーク層(レイヤー3、 Internet Protocol)で実装する
にはルーターのファームウェア変更が必要で敷居が高い。一つの実装方としてア
プリケーションレイヤーにおける実装が考えられオーバーレイ・ネットワークと呼ば
れる。
一方、 IPv4 (Internet Protocol version 4) はパケットを分割したり、分割したパ
ケットの断片を異なる経路を通して最終目的地に運ぶことが許容されている。
Silva と Kschischang の構成法やその拡張である栗原らの研究結果などは一
つの符号語 (𝐶1 のベクトル) が送信ノードから受信ノードに届く間に盗聴されるリ
ンクの集合は不変であると仮定して安全性を補償しているが、上記の状況では
その仮定が成立する保証がない。
塩路らは盗聴される本数が想定以下でも盗聴されるリンク集合が 1 符号語伝
達中に変化すると Silva と Kschischang の構成法でも情報が漏れる実例を示
した。また 𝑚 < 𝑛 でよい符号が存在しないから 𝑚 を小さくして 1 符号語伝送時
間を短くすることも難しい。
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 9 / 13

10. multishot ネットワーク符号化
(ようやくここから最近の動向です…)
⃗𝑥 ∈ 𝐅 𝑛
𝑞 𝑚 に対するランク重み rk を ⃗𝑥 を 𝐅𝑞 上の 𝑚 × 𝑛 行列に展開したときのラ
ンクとする
( ⃗𝑐1, …, ⃗𝑐ℓ) ∈ 𝐅 𝑛
𝑞 𝑚 × ⋯ × 𝐅 𝑛
𝑞 𝑚 の multishot ランク重み srk を ∑
ℓ
𝑖=1
rk( ⃗𝑐𝑖) とす
る。 𝐶 ⊂ 𝐅ℓ𝑛
𝑞 𝑚 の multishot ランク重みを非ゼロ符号語の multishot ランク重み
の最小値とする。
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 10 / 13

11. multishot セキュアネットワーク符号化
𝐶2 ⊂ 𝐶1 ⊂ 𝐅ℓ𝑛
𝑞 𝑚 を 𝐅𝑞 𝑚 線形符号とする。メッセージ 𝑀 と乱数 𝑅 の組 (𝑀, 𝑅) を
メッセージと見なして 𝐶1 に符号化し、 (0, 𝑅) は必ず部分符号 𝐶2 に符号化される
とする。 𝐶1 の符号語 ( ⃗𝑐1, …, ⃗𝑐ℓ) の各 ⃗𝑐𝑖 を順番に送信ノードの 𝑛 本のリンクから、
(ランダム)ネットワーク符号化された情報ネットワークに送り出す。
各 ⃗𝑐𝑖 が固定された 𝜇𝑖 本のリンクで盗聴されるとき 𝜇1 + ⋯ + 𝜇 𝑛 ≤ srk(𝐶⟂
2 ) − 1
なら 𝑀 の情報がもれない。この枠組みなら 𝑚 が小さいままよい耐盗聴性能を持
つ符号を作れるかも知れない…
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 11 / 13

12. multishot ランク重みはハミング重みなどを含む
( ⃗𝑐1, …, ⃗𝑐ℓ) ∈ 𝐅 𝑛
𝑞 𝑚 × ⋯ × 𝐅 𝑛
𝑞 𝑚 の multishot ランク重み srk を ∑
ℓ
𝑖=1
rk( ⃗𝑐𝑖) とする。
ℓ = 1 とすると従来のランク重みとなる
𝑚 = 1 とすると従来のハミング重みとなる
multishot ランク重みは従来の符号理論でよく研究されてきた量の一般化で
ある
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 12 / 13

13. まとめ
セキュアネットワークの歴史を俯瞰した
最近出てきた multishot ランク重みのセキュアネットワーク符号化への応用
を紹介した
スライドは https://www.slideshare.net/RyutarohMatsumoto にあり
松本 セキュアネットワーク符号化の最近の動向 2019/09/13 13 / 13