JP2004226849A - Enciphering method, device and program for the same, decoding method, device and program for the same, contents distributing server and contents decoding terminal - Google Patents

Abstract

<P>PROBLEM TO BE SOLVED: To provide an enciphering method wherein a license server and a package server are each independently used without sharing secret information and unauthorized use (unauthorized decoding) of enciphered contents is reduced, and provide a device and a program for the same, a decoding method, a device and a program for the same, a contents distributing server and a contents decoding terminal. <P>SOLUTION: The enciphering device 34 is constituted of an exponentiation value generation means 34a, a conversion data generation means 34b, a hash value generation means 34c, a decode authentication data generation means 34d, and a data compounding means 34e. Digital data are enciphered based on public information consisting of a group to be a circulating group by a specific order, a first and a second element in the group, and a generation value generated by the coefficient of a polynomial. <P>COPYRIGHT: (C)2004,JPO&NCIPI

Description

【００２２】
前記（１）式により生成された生成値（ｕ_ｉ，ｊ）とからなる公開情報に基づいて、デジタルデータ（ｍ）を暗号化した、暗号化データ（ｃ）を生成する暗号化方法であって、前記公開情報と、前記デジタルデータ（ｍ）を識別するための識別情報（ｉｄ）と、前記位数（ｑ）以下の予め定めた正整数である指数（ｒ）とから、
【００２３】
【数１６】

【００２４】
前記（２）式（但し、κ：＝Ｈ（ｉｄ，α，β，γ）、Ｈはハッシュ関数）により第一元べき乗値（α）、第二元べき乗値（β）、変換データ（γ）及び復号認証データ（δ）を生成するデータ生成ステップと、このデータ生成ステップで生成された第一元べき乗値（α）、第二元べき乗値（β）、変換データ（γ）及び復号認証データ（δ）を合成し、前記暗号化データ（ｃ）とするデータ合成ステップと、を含んでいることを特徴とする。
【００２５】
この方法によれば、暗号化方法は、データ生成ステップで、公開情報として公開されている特定の位数により巡回群となる群と、その群の要素である第一元及び第二元と、予め定めた多項式の係数から生成される生成値と、デジタルデータを識別するための識別情報と、位数以下の予め定めた正整数である指数とに基づいて、第一元べき乗値、第二元べき乗値、変換データ及び復号認証データを生成する。
【００２６】
ここで、変換データは、デジタルデータそのものを変換したデータであって、暗号化データの実体となるものである。また、第一元べき乗値及び第二元べき乗値は、復号側で、変換データを元のデジタルデータに変換するために用いられるデータである。
【００２７】
また、復号認証データは、暗号化データが正当な手続き（このデータ生成ステップ）によって生成されたものであることを特定するためのデータである。すなわち、この復号認証データによって、復号側で、暗号化データ（ｃ）の正当性を判定することが可能になる。
【００２８】
そして、データ合成ステップで、第一元べき乗値、第二元べき乗値、変換データ及び復号認証データを合成することで、暗号化データを生成する。なお、暗号化データの正当性の判定を必要としない簡易な暗号化の場合では、第一元べき乗値、第二元べき乗値及び変換データのみを合成することで、暗号化データを生成することとしてもよい。
【００２９】
なお、生成値をｆ_１（λ）〜ｆ_６（λ）の６つの多項式から生成するのは、Ｒ．Ｃｒａｍｅｒ ａｎｄ Ｖ．Ｓｈｏｕｐ，”Ａ Ｐｒａｃｔｉｃａｌ ｐｕｂｌｉｃ ｋｅｙ ｃｒｙｐｔｏｓｙｓｔｅｍ ｐｒｏｖａｂｌｙ ｓｅｃｕｒｅ ａｇａｉｎｓｔ ａｄａｐｔｉｖｅ ｃｈｏｓｅｎ ｃｉｐｈｅｒｔｅｘｔ ａｔｔａｃｋ”，ｉｎ ｐｒｏｃ． Ｃｒｙｐｔｏ ’９８，ｐｐ．１３−２５．により、暗号化データの不正解読に対する安全性が証明されていることによる。
【００３０】
さらに、請求項３に記載の復号方法は、請求項２に記載の暗号化方法によってデジタルデータ（ｍ）を暗号化した暗号化データ（ｃ）を、前記デジタルデータ（ｍ）を識別するための識別情報（ｉｄ）に基づいて前記多項式から算出された復号鍵｛ｆ_ｉ（ｉｄ）｝（ｉ＝１，２，３，４，５，６）により復号する復号方法であって、前記識別情報（ｉｄ）と、前記暗号化データ（ｃ）に含まれる第一元べき乗値（α）、第二元べき乗値（β）及び変換データ（γ）とから、
【００３１】
【数１７】

【００３２】
前記（３）式（但し、κ´：＝Ｈ（ｉｄ，α，β，γ）、Ｈはハッシュ関数）により比較認証データ（δ´）を生成する比較認証データ生成ステップと、この比較認証データ生成ステップで生成された比較認証データ（δ´）と、前記暗号化データ（ｃ）に含まれる復号認証データ（δ）とを比較することで、前記暗号化データ（ｃ）が正当な手続きによって生成されたものかどうかを認証する比較認証ステップと、この比較認証ステップで前記暗号化データ（ｃ）が正当な手続きによって生成されたものと判定された場合に、前記第一元べき乗値（α）、前記第二元べき乗値（β）、前記変換データ（γ）及び前記復号鍵｛ｆ_ｉ（ｉｄ）｝から、
【００３３】
【数１８】

【００３４】
前記（４）式により前記デジタルデータ（ｍ）を生成する復号データ生成ステップと、を含んでいることを特徴とする。
【００３５】
この方法によれば、復号方法は、比較認証データ生成ステップで、デジタルデータを識別するための識別情報と、暗号化データに含まれる第一元べき乗値、第二元べき乗値及び変換データとから、暗号化データが正当な手続きによって生成されたものであるかどうかを認証するための比較認証データを生成する。この比較認証データは、暗号化データが正当な手続きによって生成されたものである場合は、暗号化データに含まれる復号認証データと等しくなるため、比較認証ステップで、その比較を行うことで暗号化データの正当性を認証することが可能になる。そして、暗号化データが正当なものである場合にのみ、復号データ生成ステップで、復号鍵により、暗号化データに含まれる変換データからデジタルデータを生成する。
【００３６】
また、請求項４に記載の暗号化装置は、予め公開された、特定の位数（ｑ）より巡回群となる群（Ｇ）と、その群（Ｇ）の要素である第一元（ｇ_１）及び第二元（ｇ_２）と、多項式｛ｆ_ｉ（λ）：＝Σ^ｔ _ｊ＝０ａ_ｉ，ｊλ^ｊ｝（１≦ａ_ｉ，ｊ≦ｑの整数、ｉ＝１，２，３，４，５，６、１≦ｔの整数）から、
【００３７】
【数１９】

【００３８】
前記（１）式により生成された生成値（ｕ_ｉ，ｊ）とからなる公開情報に基づいて、デジタルデータ（ｍ）を暗号化した、暗号化データ（ｃ）を生成する暗号化装置であって、前記位数（ｑ）以下の予め定めた正整数を指数（ｒ）として、前記第一元（ｇ_１）及び前記第二元（ｇ_２）をべき乗し、第一元べき乗値（α）及び第二元べき乗値（β）を生成するべき乗値生成手段と、前記デジタルデータ（ｍ）を識別するための識別情報（ｉｄ）、前記指数（ｒ）及び前記生成値（ｕ_ｉ，ｊ）から、
【００３９】
【数２０】

【００４０】
前記（５）式により前記デジタルデータ（ｍ）を変換した変換データ（γ）を生成する変換データ生成手段と、前記第一元べき乗値（α）、前記第二元べき乗値（β）及び前記変換データ（γ）を合成し、前記暗号化データ（ｃ）とするデータ合成手段と、を備えていることを特徴とする。
【００４１】
かかる構成によれば、暗号化装置は、べき乗値生成手段によって、特定の位数により巡回群となる群の要素である第一元及び第二元を、その位数以下の予め定めた正整数を指数としてべき乗して、第一元べき乗値及び第二元べき乗値を生成する。そして、変換データ生成手段によって、デジタルデータを変換した変換データを生成する。なお、変換データは、デジタルデータを識別するための識別情報と、群の位数以下で選択された指数と、公開情報として公開された生成値とから算出され、暗号化データの実体となるものである。なお、第一元べき乗値及び第二元べき乗値は、復号側で、この変換データを元のデジタルデータに変換するために用いられる。そして、データ合成手段によって、第一元べき乗値、第二元べき乗値及び変換データを合成して暗号化データとする。
【００４２】
このように、暗号化装置は、デジタルデータ固有の識別情報と、暗号化する側で選択した指数と、公開情報とによって暗号化を行うため、ライセンスサーバ等のデジタルデータの権利を管理する装置（サーバ）と秘密情報を通信する必要がなく、独立して暗号化を行うことが可能になる。
【００４３】
さらに、請求項５に記載の暗号化装置は、請求項４に記載の暗号化装置において、前記識別情報（ｉｄ）、前記第一元べき乗値（α）、前記第二元べき乗値（β）及び前記変換データ（γ）から、特定の長さの情報となるハッシュ値（κ）を生成するハッシュ値生成手段と、前記識別情報（ｉｄ）、前記指数（ｒ）、前記ハッシュ値（κ）及び前記生成値（ｕ_ｉ，ｊ）から、
【００４４】
【数２１】

【００４５】
前記（６）式（但し、κ：＝Ｈ（ｉｄ，α，β，γ）、Ｈはハッシュ関数）により復号認証データ（δ）を生成する復号認証データ生成手段とを備え、前記データ合成手段が、前記第一元べき乗値（α）、前記第二元べき乗値（β）、前記変換データ（γ）及び復号認証データ（δ）を合成し、前記暗号化データ（ｃ）とすることを特徴とする。
【００４６】
かかる構成によれば、暗号化装置は、ハッシュ値生成手段によって、識別情報、第一元べき乗値、第二元べき乗値及び変換データから、ＳＨＡ（ＳｅｃｕｒｅＨａｓｈ Ａｌｇｏｒｉｔｈｍ）等のハッシュ関数によって一定長のデータとなるハッシュ値を計算する。そして、復号認証データ生成手段によって、デジタルデータ固有の識別情報と、暗号化する側で選択した指数と、ハッシュ値と、公開情報である生成値とに基づいて、復号認証データを生成する。この復号認証データは、暗号化データが正当な手続きによって生成されたものであることを特定するためのデータとなる。
【００４７】
そして、データ合成手段によって、第一元べき乗値、第二元べき乗値及び変換データに、さらに復号認証データを付加して暗号化データとする。これによって、復号側で、暗号化データの正当性を判定することが可能になる。
【００４８】
また、請求項６に記載の暗号化プログラムは、予め公開された、特定の位数（ｑ）により巡回群となる群（Ｇ）と、その群（Ｇ）の要素である第一元（ｇ_１）及び第二元（ｇ_２）と、多項式｛ｆ_ｉ（λ）：＝Σ^ｔ _ｊ＝０ａ_ｉ，ｊλ^ｊ｝（１≦ａ_ｉ，ｊ≦ｑの整数、ｉ＝１，２，３，４，５，６、１≦ｔの整数）から、
【００４９】
【数２２】

【００５０】
前記（１）式により生成された生成値（ｕ_ｉ，ｊ）とからなる公開情報に基づいて、デジタルデータ（ｍ）を暗号化した、暗号化データ（ｃ）を生成するために、コンピュータを、以下の手段によって機能させる構成とした。
【００５１】
すなわち、前記位数（ｑ）以下の予め定めた正整数を指数（ｒ）として、前記第一元（ｇ_１）及び前記第二元（ｇ_２）をべき乗し、第一元べき乗値（α）及び第二元べき乗値（β）を生成するべき乗値生成手段、前記デジタルデータ（ｍ）を識別するための識別情報（ｉｄ）、前記指数（ｒ）及び前記生成値（ｕ_ｉ，ｊ）から、
【００５２】
【数２３】

【００５３】
前記（５）式により前記デジタルデータ（ｍ）を変換した変換データ（γ）を生成する変換データ生成手段、前記第一元べき乗値（α）、前記第二元べき乗値（β）及び前記変換データ（γ）を合成し、前記暗号化データ（ｃ）とするデータ合成手段、とした。
【００５４】
かかる構成によれば、暗号化プログラムは、べき乗値生成手段によって、特定の位数により巡回群となる群の要素である第一元及び第二元を、その位数以下の予め定めた正整数を指数としてべき乗して、第一元べき乗値及び第二元べき乗値を生成する。そして、変換データ生成手段によって、デジタルデータを変換した変換データを生成する。なお、変換データは、デジタルデータを識別するための識別情報と、群の位数以下で選択された指数と、公開情報として公開された生成値とから算出され、暗号化データの実体となるものである。なお、第一元べき乗値及び第二元べき乗値は、復号側で、この変換データを元のデジタルデータに変換するために用いられる。そして、データ合成手段によって、第一元べき乗値、第二元べき乗値及び変換データを合成して暗号化データとする。
【００５５】
このように、コンピュータを前記した各手段として機能させることで、暗号化プログラムは、一般的なパーソナルコンピュータ、ワークステーション等で動作させることができる。
【００５６】
さらに、請求項７に記載の復号装置は、請求項４に記載の暗号化装置によってデジタルデータ（ｍ）を暗号化した暗号化データ（ｃ）を、前記デジタルデータ（ｍ）を識別するための識別情報（ｉｄ）に基づいて前記多項式から算出された復号鍵｛ｆ_ｉ（ｉｄ）｝（ｉ＝１，２，３，４，５，６）により復号する復号装置であって、前記暗号化データ（ｃ）を、第一元べき乗値（α）、第二元べき乗値（β）及び変換データ（γ）に分割するデータ分割手段と、前記第一元べき乗値（α）、前記第二元べき乗値（β）、前記変換データ（γ）及び前記復号鍵｛ｆ_ｉ（ｉｄ）｝から、
【００５７】
【数２４】

【００５８】
前記（４）式により前記デジタルデータ（ｍ）を生成する復号データ生成手段と、を備えていることを特徴とする。
【００５９】
かかる構成によれば、復号装置は、データ分割手段によって、暗号化データを、第一元べき乗値、第二元べき乗値及び変換データに分割し、復号データ生成手段によって、第一元べき乗値、第二元べき乗値及び復号鍵により変換データを変換（復号）してデジタルデータとする。これによって、請求項４に記載の暗号化装置によって暗号化された暗号化データを、復号することができる。
【００６０】
また、請求項８に記載の復号装置は、請求項５に記載の暗号化装置によってデジタルデータ（ｍ）を暗号化した暗号化データ（ｃ）を、前記デジタルデータ（ｍ）を識別するための識別情報（ｉｄ）に基づいて前記多項式から算出された復号鍵｛ｆ_ｉ（ｉｄ）｝（ｉ＝１，２，３，４，５，６）により復号する復号装置であって、前記暗号化データ（ｃ）を、第一元べき乗値（α）、第二元べき乗値（β）、変換データ（γ）及び復号認証データ（δ）に分割するデータ分割手段と、前記識別情報（ｉｄ）と、前記データ分割手段で分割された第一元べき乗値（α）、第二元べき乗値（β）及び変換データ（γ）とから、特定の長さの情報となる認証用ハッシュ値（κ´）を生成する認証用ハッシュ値生成手段と、前記第一元べき乗値（α）、前記第二元べき乗値（β）、前記認証用ハッシュ値（κ´）及び前記復号鍵｛ｆ_ｉ（ｉｄ）｝から、
【００６１】
【数２５】

【００６２】
前記（３）式（但し、κ´：＝Ｈ（ｉｄ，α，β，γ）、Ｈはハッシュ関数）により比較認証データ（δ´）を生成する比較認証データ生成手段と、この比較認証データ生成手段で生成された比較認証データ（δ´）と、前記復号認証データ（δ）とを比較することで、前記暗号化データ（ｃ）が正当な手続きによって生成されたものかどうかを認証する比較認証手段と、この比較認証手段の判定結果に基づいて、前記第一元べき乗値（α）、前記第二元べき乗値（β）、前記変換データ（γ）及び前記復号鍵｛ｆ_ｉ（ｉｄ）｝から、
【００６３】
【数２６】

【００６４】
前記（４）式により前記デジタルデータ（ｍ）を生成する復号データ生成手段と、を備えていることを特徴とする。
【００６５】
かかる構成によれば、復号装置は、データ分割手段によって、暗号化データを、第一元べき乗値、第二元べき乗値、変換データ及び復号認証データに分割する。そして、認証用ハッシュ値生成手段によって、デジタルデータ固有の識別情報と、第一元べき乗値、第二元べき乗値及び変換データとから、ＳＨＡ（Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ）等のハッシュ関数により一定長のデータである認証用ハッシュ値を生成する。このハッシュ関数は、暗号化装置で復号認証データを生成する際に用いたハッシュ関数と同じ関数とする。
【００６６】
そして、比較認証データ生成手段によって、比較認証データを生成する。この復号装置で生成した比較認証データは、暗号化データが正当な手続きによって生成されたものである場合は、復号認証データと同一の値となるものである。そこで、比較認証手段によって、比較認証データと復号認証データとを比較することで、暗号化データが正当な手続きによって生成されたものである場合にのみ、復号データ生成手段によってデジタルデータを生成（復号）する。これにより、この復号装置は、請求項５に記載の暗号化装置によって暗号化された暗号化データの正当性を認証し、正当なものである場合にのみ復号することができる。
【００６７】
さらに、請求項９に記載の復号プログラムは、請求項６に記載の暗号化プログラムによってデジタルデータ（ｍ）を暗号化した暗号化データ（ｃ）を、前記デジタルデータ（ｍ）を識別するための識別情報（ｉｄ）に基づいて前記多項式から算出された復号鍵｛ｆ_ｉ（ｉｄ）｝（ｉ＝１，２，３，４，５，６）により復号するために、コンピュータを、以下の手段によって機能させる構成とした。
すなわち、前記暗号化データ（ｃ）を、第一元べき乗値（α）、第二元べき乗値（β）及び変換データ（γ）に分割するデータ分割手段、前記第一元べき乗値（α）、前記第二元べき乗値（β）、前記変換データ（γ）及び前記復号鍵｛ｆ_ｉ（ｉｄ）｝から、
【００６８】
【数２７】

【００６９】
前記（４）式により前記デジタルデータ（ｍ）を生成する復号データ生成手段、とした。
【００７０】
かかる構成によれば、復号プログラムは、データ分割手段によって、暗号化データを、第一元べき乗値、第二元べき乗値及び変換データに分割し、復号データ生成手段によって、第一元べき乗値、第二元べき乗値及び復号鍵により変換データを変換（復号）してデジタルデータとする。これによって、請求項６に記載の暗号化プログラムによって暗号化された暗号化データを、復号することができる。
【００７１】
また、請求項１０に記載のコンテンツ配信サーバは、デジタルデータであるコンテンツのライセンス情報を提供するライセンスサーバによって、予め公開された、特定の位数（ｑ）により巡回群となる群（Ｇ）と、前記群（Ｇ）の要素である第一元（ｇ_１）及び第二元（ｇ_２）と、多項式｛ｆ_ｉ（λ）：＝Σ^ｔ _ｊ＝０ａ_ｉ，ｊλ^ｊ｝（１≦ａ_ｉ，ｊ≦ｑの整数、ｉ＝１，２，３，４，５，６、１≦ｔの整数）から、
【００７２】
【数２８】

【００７３】
前記（１）式により生成された生成値（ｕ_ｉ，ｊ）とからなる公開情報に基づいて、前記コンテンツを暗号化した暗号化データである暗号化コンテンツを生成し配信するコンテンツ配信サーバであって、前記公開情報を前記ライセンスサーバから取得する公開情報取得手段と、前記位数以下の正整数を指数として選択する指数選択手段と、前記公開情報と、前記コンテンツを識別する識別情報と、前記指数とに基づいて、前記コンテンツを暗号化して暗号化コンテンツを生成する請求項４又は請求項５に記載の暗号化装置と、この暗号化装置で生成された暗号化データである暗号化コンテンツを蓄積する暗号化コンテンツ蓄積手段と、端末から要求のあった暗号化コンテンツを前記暗号化コンテンツ蓄積手段から読み込んで前記端末へ送信するコンテンツ送信手段と、を備えていることを特徴とする。
【００７４】
かかる構成によれば、コンテンツ配信サーバは、公開情報取得手段によって、公開情報として公開されている特定の位数により巡回群となる群と、その群の要素である第一元及び第二元と、予め定めた多項式の係数から生成される生成値とを取得する。そして、指数選択手段によって、群の位数以下の正整数を指数として選択する。この指数はコンテンツ配信サーバ内で任意に選択したものであればよく、例えば、擬似乱数発生装置によって生成した擬似乱数とすることで、暗号化コンテンツの秘匿性を高めることができる。
【００７５】
そして、コンテンツ配信サーバは、公開情報と群の位数以下の指数とコンテンツを識別する識別情報とに基づいて、暗号化装置によりコンテンツを暗号化し、その暗号化された暗号化コンテンツを暗号化コンテンツ蓄積手段に蓄積する。この暗号化コンテンツ蓄積手段に蓄積された暗号化コンテンツは、コンテンツ送信手段によって要求のあった端末に対して送信される。
【００７６】
このように、コンテンツ配信サーバは、デジタルデータであるコンテンツ固有の識別情報と、暗号化する側で選択した指数と、公開情報とによって暗号化を行うため、コンテンツの権利を管理するライセンスサーバと秘密情報を通信する必要がなく、独立して暗号化を行うことが可能になる。
【００７７】
さらに、請求項１１に記載のコンテンツ復号端末は、請求項１０に記載のコンテンツ配信サーバによって暗号化された暗号化データである暗号化コンテンツを、デジタルデータであるコンテンツを識別するための識別情報と、ライセンスサーバから取得した前記多項式から算出された復号鍵とに基づいて、前記コンテンツに復号するコンテンツ復号端末であって、前記暗号化コンテンツを前記コンテンツ配信サーバから取得する暗号化コンテンツ取得手段と、前記復号鍵を含んだライセンス情報を前記ライセンスサーバから取得するライセンス情報取得手段と、前記暗号化コンテンツを、前記識別情報及び前記復号鍵に基づいて前記コンテンツに復号する請求項７又は請求項８に記載の復号装置と、を備えていることを特徴とする。
【００７８】
かかる構成によれば、コンテンツ復号端末は、暗号化コンテンツ取得手段によって、ユーザが所望する暗号化コンテンツをコンテンツ配信サーバから取得し、ライセンス情報取得手段によって、ライセンスサーバから暗号化コンテンツを復号するための復号鍵を含んだライセンス情報を取得する。このライセンス情報には、コンテンツの利用条件を付加することとしてもよい。
そして、復号装置によって、コンテンツ固有の識別情報と復号鍵とに基づいて、暗号化コンテンツを復号する。
【００７９】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照して説明する。
［コンテンツ配信システムの構成］
まず、図１を参照して、本発明の実施の形態であるコンテンツ配信システム１の構成について説明する。図１は、コンテンツ配信システム１の構成を示すブロック図である。コンテンツ配信システム１は、コンテンツサーバ１０と、ライセンスサーバ２０と、コンテンツ配信サーバ３０と、ユーザ端末（コンテンツ復号端末）４０とを、インターネット３等のネットワークを介して接続し、ユーザが所望するコンテンツをユーザ端末４０に配信するシステムである。
【００８０】
コンテンツサーバ１０は、図示していない記憶手段に複数のコンテンツを保持し、そのコンテンツにコンテンツを識別するための識別情報を割り当てる（対応付ける）ものである。例えば、識別情報として、コンテンツ固有のコンテンツ名やファイル名を割り当てる。また、このコンテンツサーバ１０は、コンテンツ配信サーバ３０からの識別情報を含んだ要求に基づいて、要求されたコンテンツをコンテンツ配信サーバ３０へ送信するものでもある。
【００８１】
ライセンスサーバ２０は、コンテンツサーバ１０に保持されているコンテンツのライセンスを管理するものである。より詳細には、ライセンスサーバ２０は、コンテンツを暗号化するための情報をシステム全体の公開情報ｉｎｆ（記憶手段２１に記憶）として公開するとともに、ユーザ端末４０からの要求に基づいて、ユーザのコンテンツの利用条件や、暗号化されたコンテンツの復号鍵を含んだライセンス情報を発行するものである。なお、この公開情報ｉｎｆについては後記する。
【００８２】
コンテンツ配信サーバ３０は、ユーザ端末４０から要求のあったコンテンツをコンテンツサーバ１０から取得し、ライセンスサーバ２０が公開している公開情報ｉｎｆに基づいて、そのコンテンツを暗号化してユーザ端末４０に配信するものである。このコンテンツ配信サーバ３０は、コンテンツを暗号化する暗号化手段（暗号化装置）３４を含んでいる。
【００８３】
ユーザ端末（コンテンツ復号端末）４０は、ユーザが所望するコンテンツ（暗号化コンテンツ）をコンテンツ配信サーバ３０から取得し、さらに、ライセンスサーバ２０からライセンス情報を取得し、そのライセンス情報に含まれる復号鍵に基づいて、暗号化コンテンツを復号することで、コンテンツをユーザに提示するものである。このユーザ端末４０は、復号手段（復号装置）４４を含んでいる。
【００８４】
（コンテンツの暗号化及び復号の概要）
ここで、コンテンツ配信システム１におけるコンテンツの暗号化及び復号について、その概要を説明する。
【００８５】
＜公開情報の公開＞
ライセンスサーバ２０では、予め特定の位数（ｑとする）により巡回群となる群Ｇと、その群Ｇの任意の二つの要素である第一元ｇ_１及び第二元ｇ_２と、Ｚ_ｑ（１〜ｑの整数）上の多項式（（７）式）とを選択する。
【００８６】
ｆ_ｉ（λ）：＝Σ^ｔ _ｊ＝０ａ_ｉ，ｊλ^ｊ（１≦ａ_ｉ，ｊ≦ｑの整数、ｉ＝１，２，３，４，５，６、１≦ｔの整数） …（７）式
【００８７】
そして、この（７）式の係数であるａ_ｉ，ｊを用いて（１）式により生成値ｕ_ｉ，ｊを算出し、群Ｇ、第一元ｇ_１、第二元ｇ_２及び生成値ｕ_ｉ，ｊを公開情報ｉｎｆとして公開する。
【００８８】
【数２９】

【００８９】
＜復号鍵の生成＞
なお、ライセンスサーバ２０は、前記（７）式そのものは公開せず、ライセンスサーバ２０の秘密情報として記憶手段２１に記憶しておく。そして、ライセンスサーバ２０は、ユーザ端末４０から、あるコンテンツのライセンス要求があった段階で、前記（７）式により復号鍵を生成する。すなわち、コンテンツの識別情報をｉｄ、復号鍵をＤ_ｍとすると、復号鍵は（８）式で算出される。
【００９０】
Ｄ_ｍ＝｛ｆ_ｉ（ｉｄ）｝（ｉ＝１，２，３，４，５，６） …（８）式
【００９１】
＜コンテンツの暗号化＞
コンテンツ配信サーバ３０では、公開情報ｉｎｆに基づいて、コンテンツの暗号化を行う。このときコンテンツ配信サーバ３０は、公開情報ｉｎｆを参照することにより、（２）式の演算を行う。ここで、ｉｄはコンテンツの識別情報、ｍはコンテンツのデータ、ｒはＺ_ｑから選択した擬似乱数（指数）を示す。また、κはＨをハッシュ関数とし、κ：＝Ｈ（ｉｄ，α，β，γ）として得られる値とする。
【００９２】
【数３０】

【００９３】
そして、コンテンツ配信サーバ３０は、この（２）式で生成されたα、β、γ及びδを合成して暗号化コンテンツとする。この暗号化コンテンツは、ユーザ端末４０へ配信される。
【００９４】
＜暗号化コンテンツの復号＞
ユーザ端末４０では、ライセンスサーバ２０から暗号化コンテンツの復号鍵を取得し、コンテンツ配信サーバ３０から配信された暗号化コンテンツの復号を行う。ここで、ユーザ端末４０は、暗号化コンテンツに含まれるα、β及びγと、コンテンツの識別情報ｉｄから、（３）式によって、比較認証データであるδ´を算出する。
【００９５】
【数３１】

【００９６】
なお、κ´はＨをハッシュ関数とし、κ´：＝Ｈ（ｉｄ，α，β，γ）として得られる値とする。また、前記（３）式のκ´を生成するために使用したハッシュ関数Ｈは、前記（２）式のκを生成するために使用したハッシュ関数Ｈと同じハッシュ値を発生させる関数とする。
【００９７】
ユーザ端末４０は、前記（３）式で算出したδ´と、前記（２）式で算出したδとを比較して、同一である場合のみ、（４）式によって、暗号化コンテンツをコンテンツｍに復号し、ユーザに視聴／閲覧可能なデータとして提示する。
【００９８】
【数３２】

【００９９】
以上、コンテンツ配信システム１におけるコンテンツの暗号化及び復号の概要について説明した。以下、コンテンツ配信システム１においてコンテンツの暗号化を行うコンテンツ配信サーバ３０、及び、復号を行うユーザ端末４０について詳細に説明する。
【０１００】
（コンテンツ配信サーバの構成）
まず、図２を参照（適宜図１参照）して、コンテンツ配信サーバ３０の構成について説明する。図２は、コンテンツ配信サーバ３０の構成を示したブロック図である。図２に示すように、コンテンツ配信サーバ３０は、公開情報ｉｎｆに基づいて、コンテンツｍを暗号化し、暗号化したコンテンツ（暗号化コンテンツｃ）を、要求のあったユーザ端末４０へ配信するものである。なお、コンテンツｍは、群Ｇに属したデータ（ｍ∈Ｇ）であるものとする。
【０１０１】
ここでは、コンテンツ配信サーバ３０を、コンテンツ受信手段３１と、公開情報取得手段３２と、指数選択手段３３と、暗号化手段（暗号化装置）３４と、暗号化コンテンツ蓄積手段３５と、コンテンツ配信受付手段３６と、コンテンツ送信手段３７とを備えて構成した。
【０１０２】
コンテンツ受信手段３１は、コンテンツサーバ１０から、コンテンツｍとそのコンテンツｍを識別する識別情報ｉｄとをネットワーク（インターネット３）を介して受信するものである。ここで受信したコンテンツｍ及び識別情報ｉｄは暗号化手段３４に通知される。
【０１０３】
公開情報取得手段３２は、ライセンスサーバ２０が公開している公開情報ｉｎｆをネットワーク（インターネット３）を介して取得するものである。この公開情報取得手段３２は、公開情報ｉｎｆとして公開されている群Ｇ、第一元ｇ_１、第二元ｇ_２及び生成値ｕ_ｉ，ｊを取得し、群Ｇを指数選択手段３３へ、第一元ｇ_１、第二元ｇ_２及び生成値ｕ_ｉ，ｊを暗号化手段３４へそれぞれ通知するものとする。
【０１０４】
指数選択手段３３は、公開情報取得手段３２から通知される群Ｇの位数ｑにより、１からｑの範囲の整数で、暗号化手段３４で使用する指数（べき指数）ｒを選択するものである。ここでは、指数選択手段３３を、１からｑの範囲の整数で擬似乱数を発生させる擬似乱数発生装置とする。なお、この指数ｒは暗号化手段３４に通知される。
【０１０５】
暗号化手段（暗号化装置）３４は、コンテンツ受信手段３１で受信した識別情報ｉｄと、公開情報取得手段３２で取得した公開情報である第一元ｇ_１、第二元ｇ_２及び生成値ｕ_ｉ，ｊと、指数選択手段３３で選択された指数ｒとに基づいて、コンテンツｍを暗号化した暗号化コンテンツｃを生成するものである。ここで生成された暗号化コンテンツｃは、識別情報ｉｄに対応付けられて暗号化コンテンツ蓄積手段３５に蓄積される。この暗号化手段（暗号化装置）３４については、後でさらに詳細に説明する。
【０１０６】
暗号化コンテンツ蓄積手段３５は、暗号化手段３４で暗号化された暗号化コンテンツｃを蓄積するもので、一般的なハードディスク等で構成されている。
コンテンツ配信受付手段３６は、ユーザ端末４０から送信されるコンテンツの配信要求ｒｅｑを受け付けるものである。ここで受け付けた配信要求ｒｅｑは、コンテンツ送信手段３７に通知される。なお、この配信要求ｒｅｑには、コンテンツを識別するための識別情報ｉｄを含んでいるものとする。
【０１０７】
コンテンツ送信手段３７は、コンテンツ配信受付手段３６から通知された配信要求ｒｅｑに基づいて、その配信要求ｒｅｑに含まれる識別情報ｉｄによって指定されたコンテンツ（暗号化コンテンツｃ）を、暗号化コンテンツ蓄積手段３５から読み込んで、ユーザ端末４０へ送信するものである。
【０１０８】
以上、説明したようにコンテンツ配信サーバ３０を構成することで、コンテンツ配信サーバ３０は、ライセンスサーバ２０の公開情報によってコンテンツｍを暗号化するため、ライセンスサーバ２０との間で暗号化鍵等の秘密情報を送受信する必要がなく、ライセンスサーバ２０とは機能を独立させて実現することができる。
【０１０９】
また、ここではコンテンツｍを群Ｇに属するデータに制限したが、コンテンツｍを一般的な暗号化方式によるセッション鍵Ｋｓ（図示せず）を用いて暗号化する場合は、そのセッション鍵Ｋｓを群Ｇに属したデータ（Ｋｓ∈Ｇ）とし、セッション鍵Ｋｓでコンテンツｍを暗号化し、コンテンツ配信サーバ３０において、セッション鍵Ｋｓをコンテンツｍの代わりに暗号化することとしてもよい。この場合、コンテンツｍは群Ｇに属したデータ（ｍ∈Ｇ）である必要はない。
【０１１０】
なお、コンテンツ配信サーバ３０は、コンピュータにおいて各手段を各機能プログラムとして実現することも可能であり、各機能プログラムを結合してコンテンツ配信プログラムとして動作させることも可能である。
【０１１１】
＜暗号化装置の構成＞
ここで、図３を参照して、コンテンツ配信サーバ３０（図２）内の暗号化装置３４の構成について、さらに詳細に説明する。図３は、暗号化装置３４の構成を示したブロック図である。図３に示すように、暗号化装置３４は、予め公開された公開情報ｉｎｆと、任意の数（擬似乱数；指数ｒ）と、識別情報ｉｄとに基づいて、コンテンツ（デジタルデータ）ｍを暗号化した暗号化コンテンツ（暗号化データ）ｃを生成するものである。
ここでは、暗号化装置３４を、べき乗値生成手段３４ａと、変換データ生成手段３４ｂと、ハッシュ値生成手段３４ｃと、復号認証データ生成手段３４ｄと、データ合成手段３４ｅとを備えて構成した。
【０１１２】
べき乗値生成手段３４ａは、指数ｒと、公開情報で公開されている第一元ｇ_１及び第二元ｇ_２とを入力し、第一元ｇ_１及び第二元ｇ_２をそれぞれ指数ｒによりべき乗演算（ｇ_１ ^ｒ、ｇ_２ ^ｒ）し、第一元べき乗値α（＝ｇ_１ ^ｒ）及び第二元べき乗値β（＝ｇ_２ ^ｒ）を生成するものである。ここで生成された第一元べき乗値α及び第二元べき乗値βは、ハッシュ値生成手段３４ｃ及びデータ合成手段３４ｅに通知される。
【０１１３】
変換データ生成手段３４ｂは、コンテンツｍと、そのコンテンツｍの識別情報ｉｄと、指数ｒと、公開情報で公開されている生成値ｕ_ｉ，ｊとを入力し、コンテンツｍを（５）式によって変換した変換データγを生成するものである。なお、（５）式におけるΠは総積記号を示すものとする。
【０１１４】
【数３３】

【０１１５】
ここで生成された変換データγは、ハッシュ値生成手段３４ｃ、復号認証データ生成手段３４ｄ及びデータ合成手段３４ｅに通知される。
【０１１６】
ハッシュ値生成手段３４ｃは、ＳＨＡ（Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ）等のハッシュ関数によってハッシュ値を計算するものである。ここでは、ハッシュ値生成手段３４ｃは、コンテンツｍの識別情報ｉｄと、べき乗値生成手段３４ａで生成された第一元べき乗値α及び第二元べき乗値βと、変換データ生成手段３４ｂで生成された変換データγとを入力し、ハッシュ値κを生成する。このハッシュ値κは復号認証データ生成手段３４ｄに通知される。
【０１１７】
復号認証データ生成手段３４ｄは、復号時に暗号化コンテンツｃが正当な手続きによって暗号化されたものであるかどうかを認証するためのデータ（復号認証データδ）を生成するものである。ここでは、復号認証データ生成手段３４ｄは、コンテンツｍの識別情報ｉｄと、指数ｒと、公開情報で公開されている生成値ｕ_ｉ，ｊと、変換データ生成手段３４ｂで生成された変換データγと、ハッシュ値生成手段３４ｃで生成されたハッシュ値κとを入力し、復号認証データδを生成する。この復号認証データδは、（６）式により算出され、データ合成手段３４ｅに通知される。
【０１１８】
【数３４】

【０１１９】
データ合成手段３４ｅは、べき乗値生成手段３４ａで生成された第一元べき乗値α及び第二元べき乗値βと、変換データ生成手段３４ｂで生成された変換データγと、復号認証データ生成手段３４ｄで生成された復号認証データδとを合成して、暗号化コンテンツｃを生成するものである。例えば、第一元べき乗値αと、第二元べき乗値βと、変換データγと、復号認証データδとを順番に連結して１つのデータとする。
【０１２０】
以上、一実施形態に基づいて本発明に係る暗号化装置３４の構成について説明したが、本発明はこれに限定されるものではない。例えば、復号時に暗号化コンテンツｃが正当な手続きによって暗号化されたものであるかどうかを認証する必要がない場合は、暗号化装置３４の構成からハッシュ値生成手段３４ｃ及び復号認証データ生成手段３４ｄを削除し、データ合成手段３４ｅが、第一元べき乗値αと、第二元べき乗値βと、変換データγとを合成することで暗号化コンテンツｃを生成することとしてもよい。
【０１２１】
また、この暗号化装置３４の暗号化対象は、コンテンツに限られず、一般的なデジタルデータであればよい。すなわち、暗号化装置３４は、デジタルデータを暗号化した暗号化データを生成するものであるということができる。
また、暗号化装置３４は、コンピュータにおいて各手段を各機能プログラムとして実現することも可能であり、各機能プログラムを結合して暗号化プログラムとして動作させることも可能である。
【０１２２】
（ユーザ端末の構成）
次に、図４を参照（適宜図１参照）して、ユーザ端末（コンテンツ復号端末）４０の構成について説明する。図４は、ユーザ端末４０の構成を示したブロック図である。図４に示すように、ユーザ端末４０は、コンテンツ配信サーバ３０から配信される暗号化コンテンツｃを、ライセンスサーバ２０から取得したライセンス情報Ｌ（復号鍵を含む）に基づいて復号し、視聴データＤとしてユーザに提示するものである。
【０１２３】
ここでは、ユーザ端末４０を、暗号化コンテンツ取得手段４１と、ライセンス情報取得手段４２と、利用者認証手段４３と、復号手段（復号装置）４４と、コンテンツ提示手段４５とを備えて構成した。
【０１２４】
暗号化コンテンツ取得手段４１は、コンテンツの識別情報ｉｄを図示していない入力手段から入力されることで、コンテンツの識別情報ｉｄを含んだコンテンツの配信要求ｒｅｑをコンテンツ配信サーバ３０へ送信し、コンテンツ配信サーバ３０から、そのコンテンツを暗号化した暗号化コンテンツｃを受信（取得）するものである。ここで受信した暗号化コンテンツｃは復号手段４４に通知される。
【０１２５】
ライセンス情報取得手段４２は、コンテンツの識別情報ｉｄを含んだライセンス発行要求Ｌ_ｒｅｑをライセンスサーバ２０へ送信し、ライセンスサーバ２０から、暗号化コンテンツｃを復号するための復号鍵Ｄｍ｛＝ｆ_ｉ（ｉｄ），（ｉ＝１，２，３，４，５，６）｝を含んだライセンス情報Ｌを受信（取得）するものである。なお、ライセンス情報取得手段４２は、ライセンス情報Ｌに含まれる復号鍵Ｄｍを抽出し、復号手段４４に通知するとともに、ライセンス情報Ｌを利用者認証手段４３に通知する。
【０１２６】
利用者認証手段４３は、ライセンス情報取得手段４２で取得したライセンス情報Ｌに記載されている利用条件を判定し、正規の利用条件に則した利用である場合にのみ、復号手段４４に対して復号の開始を指示する信号（復号指示）を通知するものである。例えば、利用者認証手段４３は、ライセンス情報Ｌにコンテンツの利用期限が記載されている場合は、その期限が切れていないかどうかを判定する。
【０１２７】
復号手段（復号装置）４４は、コンテンツの識別情報ｉｄとライセンス情報取得手段４２で取得し抽出された復号鍵Ｄｍとに基づいて、暗号化コンテンツ取得手段４１で取得した暗号化コンテンツｃを、コンテンツｍに復号するものである。ここで復号されたコンテンツｍは、コンテンツ提示手段４５に通知される。また、この復号手段４４は、利用者認証手段４３から復号の開始を指示する信号（復号指示）を通知された場合にのみ起動するものとする。この復号手段（復号装置）４４については、後でさらに詳細に説明する。
【０１２８】
コンテンツ提示手段４５は、復号手段４４で復号されたコンテンツｍをユーザが視聴可能なデータ（視聴データＤ）へ変換してユーザへ提示するものである。例えば、コンテンツ提示手段４５は、コンテンツｍがＭＰＥＧ２ Ｖｉｄｅｏで符号化されたデータである場合は、コンテンツｍを動画像に復号するデコーダとして機能するものである。
【０１２９】
以上、ユーザ端末（コンテンツ復号端末）４０の構成について説明したが、ユーザ端末（コンテンツ復号端末）４０は、コンピュータにおいて各手段を各機能プログラムとして実現することも可能であり、各機能プログラムを結合してコンテンツ復号プログラムとして動作させることも可能である。
【０１３０】
＜復号装置の構成＞
ここで、図５を参照して、ユーザ端末４０（図４）内の復号装置４４の構成について、さらに詳細に説明する。図５は、復号装置４４の構成を示したブロック図である。図５に示すように、復号装置４４は、コンテンツを識別する識別情報ｉｄと、復号鍵Ｄｍ｛＝ｆ_ｉ（ｉｄ）｝とに基づいて、暗号化コンテンツｃを復号してコンテンツｍを再生するものである。
【０１３１】
ここでは、復号装置４４を、データ分割手段４４ａと、認証用ハッシュ値生成手段４４ｂと、比較認証データ生成手段４４ｃと、比較認証手段４４ｄと、復号データ生成手段４４ｅとを備えて構成した。
【０１３２】
データ分割手段４４ａは、入力された暗号化コンテンツｃを、第一元べき乗値αと、第二元べき乗値βと、変換データγと、復号認証データδとに分割するものである。ここで分割された第一元べき乗値α及び第二元べき乗値βは認証用ハッシュ値生成手段４４ｂ、比較認証データ生成手段４４ｃ、並びに、復号データ生成手段４４ｅに通知される。また、変換データγは、認証用ハッシュ値生成手段４４ｂと復号データ生成手段４４ｅとに通知され、復号認証データδは、比較認証手段４４ｄに通知される。
【０１３３】
認証用ハッシュ値生成手段４４ｂは、ＳＨＡ等のハッシュ関数によってハッシュ値を計算するものである。ここでは、認証用ハッシュ値生成手段４４ｂは、コンテンツの識別情報ｉｄと、データ分割手段４４ａから通知された第一元べき乗値α、第二元べき乗値β及び変換データγとを入力し、認証用ハッシュ値κ´を生成する。この認証用ハッシュ値κ´は比較認証データ生成手段４４ｃに通知される。なお、この認証用ハッシュ値生成手段４４ｂのハッシュ関数は、暗号化装置３４（図３）のハッシュ値生成手段３４ｃと同一のハッシュ関数を用いることとする。
【０１３４】
比較認証データ生成手段４４ｃは、データ分割手段４４ａで分割された第一元べき乗値α及び第二元べき乗値βと、認証用ハッシュ値生成手段４４ｂで生成された認証用ハッシュ値κ´と、入力された復号鍵Ｄｍ｛＝ｆ_ｉ（ｉｄ）｝とに基づいて、暗号化コンテンツｃが正当な手続きで生成されたものであるかどうかを判定するための比較認証データδ´を生成するものである。ここでは、比較認証データδ´を前記（３）式により算出し生成する。
【０１３５】
この比較認証データδ´は、暗号化コンテンツｃが正当な手続きで生成されたものである場合は、復号認証データδと同一の値となる。
比較認証手段４４ｄは、データ分割手段４４ａから通知された復号認証データδと、比較認証データ生成手段４４ｃから通知された比較認証データδ´とを比較し、その判定結果ｃｍｐを復号データ生成手段４４ｅに通知するものである。例えば、復号認証データδと比較認証データδ´とが等しい場合は、判定結果ｃｍｐとして数値「１」を、等しくない場合は、判定結果ｃｍｐとして数値「０」を、復号データ生成手段４４ｅに通知する。
【０１３６】
復号データ生成手段４４ｅは、データ分割手段４４ａから通知された第一元べき乗値α、第二元べき乗値β及び変換データγと、入力された復号鍵Ｄｍ｛＝ｆ_ｉ（ｉｄ）｝とに基づいて、暗号化コンテンツｃを復号したコンテンツｍを生成するものである。ここでは、コンテンツｍを前記（４）式により算出し生成する。
【０１３７】
なお、この復号データ生成手段４４ｅは、比較認証手段４４ｄから通知される判定結果ｃｍｐにおいて、復号認証データδと比較認証データδ´とが等しいと判定された場合にのみ、復号動作を行う。
【０１３８】
以上、一実施形態に基づいて本発明に係る復号装置４４の構成について説明したが、本発明はこれに限定されるものではない。例えば、復号時に暗号化コンテンツｃが正当な手続きによって暗号化されたものであるかどうかを認証する必要がない場合は、復号装置４４の構成から認証用ハッシュ値生成手段４４ｂ、比較認証データ生成手段４４ｃ及び比較認証手段４４ｄを削除し、復号データ生成手段４４ｅが、認証を行うことなく第一元べき乗値α、第二元べき乗値β、変換データγ及び復号鍵Ｄｍに基づいて、暗号化コンテンツｃを復号したコンテンツｍを生成することとしてもよい。
【０１３９】
また、この復号装置４４の復号対象は、コンテンツに限られず、一般的なデジタルデータを暗号化したものであればよい。すなわち、復号装置４４は、デジタルデータを暗号化した暗号化データを、デジタルデータに復号するものであるということができる。
【０１４０】
なお、復号装置４４は、コンピュータにおいて各手段を各機能プログラムとして実現することも可能であり、各機能プログラムを結合して復号プログラムとして動作させることも可能である。
【０１４１】
［コンテンツ配信システムの動作］
次に、図６乃至図１１を参照して、本発明の実施の形態であるコンテンツ配信システム１の動作について説明する。
（ライセンスサーバによる公開情報の公開）
まず、図６を参照（適宜図１参照）して、ライセンスサーバ２０が、公開情報を公開する動作について説明する。図６は、ライセンスサーバ２０が、公開情報を公開する動作を示すフローチャートである。
【０１４２】
ライセンスサーバ２０は、まず、特定の位数（ｑとする）により巡回群となる群Ｇと、その群Ｇの任意の二つの要素である第一元ｇ_１及び第二元ｇ_２と、Ｚ_ｑ（１〜ｑの整数）上の多項式｛ｆ_ｉ（λ）｝（ｉ＝１，２，３，４，５，６）（前記（７）式）とを選択し（ステップＳ１０）、群Ｇ、第一元ｇ_１、第二元ｇ_２及び多項式｛ｆ_ｉ（λ）｝をライセンスサーバ２０の記憶手段２１に記憶する（ステップＳ１１）。
【０１４３】
そして、ライセンスサーバ２０は、多項式｛ｆ_ｉ（λ）｝の係数であるａ_ｉ，ｊを用いて、前記（１）式により生成値｛ｕ_ｉ，ｊ｝（ｉ＝１，３，５，１≦ｊ≦ｔ）を算出し（ステップＳ１２）、ステップＳ１０で選択した群Ｇ、第一元ｇ_１及び第二元ｇ_２と、ステップＳ１２で算出した生成値｛ｕ_ｉ，ｊ｝とを公開する（ステップＳ１３）。
【０１４４】
（コンテンツ配信サーバによるコンテンツの暗号化）
次に、図７を参照（適宜図１及び図２参照）して、コンテンツ配信サーバ３０が、コンテンツを暗号化する動作について説明する。図７は、コンテンツ配信サーバ３０が、コンテンツｍを暗号化する動作を示すフローチャートである。
【０１４５】
コンテンツ配信サーバ３０は、コンテンツ受信手段３１によって、コンテンツサーバ１０から、コンテンツｍとそのコンテンツｍを識別する識別情報ｉｄとを受信する（ステップＳ２０）。
【０１４６】
また、コンテンツ配信サーバ３０は、公開情報取得手段３２によって、ライセンスサーバ２０が公開した公開情報ｉｎｆを取得し（ステップＳ２１）、指数選択手段３３によって、公開情報ｉｎｆで公開されている群Ｇの位数ｑを超えない範囲の整数（１以上ｑ以下の整数）で擬似乱数を発生させることで、指数ｒを選択する（ステップＳ２２）。
【０１４７】
そして、コンテンツ配信サーバ３０は、識別情報ｉｄ、公開情報ｉｎｆ及び指数ｒに基づいて、コンテンツｍを暗号化し（ステップＳ２３）、暗号化された暗号化コンテンツｃを暗号化コンテンツ蓄積手段３５に蓄積する（ステップＳ２４）。
【０１４８】
以上の各ステップによって、コンテンツ配信サーバ３０は、コンテンツｍを暗号化した暗号化コンテンツｃを暗号化コンテンツ蓄積手段３５に蓄積し、要求のあった暗号化コンテンツを配信する準備ができたことになる。
【０１４９】
＜コンテンツ暗号化の詳細動作＞
ここで、図８を参照（適宜図１及び図３参照）して、ステップＳ２３のコンテンツｍの暗号化について、詳細に説明する。図８は、コンテンツ配信サーバ３０内の暗号化手段（暗号化装置）３４の動作を示すフローチャートである。
【０１５０】
〔データ生成ステップ〕
暗号化手段３４は、べき乗値生成手段３４ａによって、指数ｒと、公開情報で公開されている第一元ｇ_１及び第二元ｇ_２とを入力し、第一元べき乗値α（＝ｇ_１ ^ｒ）及び第二元べき乗値β（＝ｇ_２ ^ｒ）を生成する（ステップＳ３０）。
また、暗号化手段３４は、変換データ生成手段３４ｂによって、前記（５）式により、変換データγを生成する（ステップＳ３１）。
【０１５１】
さらに、暗号化手段３４は、ハッシュ値生成手段３４ｃのハッシュ関数によって、識別情報ｉｄ、第一元べき乗値α、第二元べき乗値β及び変換データγから、ハッシュ値κを生成し（ステップＳ３２）、復号認証データ生成手段３４ｄによって、前記（６）式により、復号認証データδを生成する（ステップＳ３３）。
【０１５２】
〔データ合成ステップ〕
そして、暗号化手段３４は、データ合成手段３４ｅによって、ステップＳ３０で生成した第一元べき乗値α及び第二元べき乗値βと、ステップＳ３１で生成した変換データγと、ステップＳ３３で生成した復号認証データδとを合成することで、暗号化コンテンツｃを生成する（ステップＳ３４）。
【０１５３】
（ユーザ端末によるコンテンツの復号／視聴）
次に、図９を参照（適宜図１及び図４参照）して、ユーザ端末（コンテンツ復号端末）４０が、暗号化コンテンツを復号し、ユーザに対してコンテンツを提示する動作について説明する。図９は、ユーザ端末４０の動作を示すフローチャートである。
【０１５４】
ユーザ端末４０が、ユーザの所望するコンテンツをコンテンツ配信サーバ３０に要求することで（ステップとして図示せず）、コンテンツ配信サーバ３０が、暗号化コンテンツ蓄積手段３５（図２）から対応する暗号コンテンツｃを読み出して、ユーザ端末４０へ配信する（ステップＳ４０）。
【０１５５】
そして、ユーザ端末４０が、暗号化コンテンツ取得手段４１によって、暗号コンテンツｃを取得し（ステップＳ４１）、ライセンス情報取得手段４２によって、ライセンスサーバ２０に対して、暗号コンテンツｃのライセンス情報Ｌの発行を要求する（ステップＳ４２）。
【０１５６】
このライセンス情報Ｌの発行を要求されたライセンスサーバ２０は、この発行要求が、コンテンツを視聴する正当なユーザからの要求であるかどうかを判定し（ステップＳ４３）、正当なユーザからの要求である場合（Ｙｅｓ）は、暗号化コンテンツｃを復号するための復号鍵Ｄｍ｛＝ｆ_ｉ（ｉｄ）｝を含み、コンテンツの利用条件を記載したライセンス情報Ｌをユーザ端末４０に対して発行（送信）する（ステップＳ４４）。一方、正当なユーザからの要求でない場合（ステップＳ４３でＮｏ）の場合は、ライセンス情報Ｌを発行せずに動作を終了する。
【０１５７】
そして、ユーザ端末４０が、ライセンス取得手段４２によって、ライセンスサーバ２０からライセンス情報Ｌを取得し（ステップＳ４５）、ライセンス情報Ｌに含まれる復号鍵Ｄｍを抽出する（ステップＳ４６）。
そして、ユーザ端末４０が、利用者認証手段４３によって、ライセンス情報Ｌに記載されている利用条件を判定し（ステップＳ４７）、利用条件が適正でない場合（Ｎｏ）、例えば、コンテンツの視聴期限が切れている等の場合は、暗号化コンテンツｃの復号を行わずに動作を終了する。
【０１５８】
一方、ステップＳ４７で利用条件が適正である場合（Ｙｅｓ）は、復号手段４４によって、ステップＳ４６で抽出した復号鍵Ｄｍを用いて、暗号化コンテンツｃの復号を行う（ステップＳ４８）。そして、コンテンツ提示手段４５によって、復号されたコンテンツｃをデコードすることで、コンテンツｃは、ユーザが視聴可能な視聴データＤとなる（ステップＳ４９）。
【０１５９】
以上の各ステップによって、ユーザ端末４０は、ユーザが所望するコンテンツ（暗号化コンテンツｃ）をコンテンツサーバ３０から取得し、ライセンスサーバ２０から、そのコンテンツに対するライセンス情報Ｌを取得し、そのライセンス情報Ｌに含まれる復号鍵によって、暗号化コンテンツｃを復号し、視聴データＤとすることができる。
【０１６０】
＜ライセンス情報発行の詳細動作＞
ここで、ステップＳ４４のライセンス情報Ｌの発行について、図１０を参照（適宜図１参照）して、詳細に説明する。図１０は、ライセンスサーバ２０がライセンス情報Ｌを発行する動作を示すフローチャートである。
【０１６１】
ライセンスサーバ２０は、ユーザ端末４０からコンテンツの識別情報ｉｄを含んだライセンス発行要求を受信すると（ステップＳ５０）、記憶手段２１に記憶している群Ｇ、第一元ｇ_１、第二元ｇ_２及び多項式｛ｆ_ｉ（λ）｝（ｉ＝１，２，３，４，５，６）を読み込む（ステップＳ５１）。
そして、コンテンツの識別情報ｉｄに基づいて、多項式｛ｆ_ｉ（λ）｝（前記（７）式参照）から、復号鍵Ｄｍ｛＝ｆ_ｉ（ｉｄ）｝（ｉ＝１，２，３，４，５，６）を生成する（ステップＳ５２）。
【０１６２】
そして、ライセンスサーバ２０は、コンテンツの利用条件と、復号鍵Ｄｍ｛＝ｆ_ｉ（ｉｄ）｝（ｉ＝１，２，３，４，５，６）とを合成したライセンス情報Ｌを作成し（ステップＳ５３）、ユーザ端末４０へ発行（送信）する。なお、コンテンツの利用条件は、ライセンス発行要求を受信したときに、要求時刻等によって逐次作成することとしてもよいし、コンテンツ毎に予め設定した条件を使用することとしてもよい。
【０１６３】
＜コンテンツ復号の詳細動作＞
次に、図１１を参照（適宜図５参照）して、図９におけるステップＳ４８の暗号化コンテンツｃの復号動作について、詳細に説明する。図１１は、ユーザ端末４０内の復号手段（復号装置）４４の動作を示すフローチャートである。
【０１６４】
〔データ分割ステップ〕
復号手段４４は、データ分割手段４４ａによって、暗号化コンテンツｃを第一元べき乗値αと、第二元べき乗値βと、変換データγと、復号認証データδとに分割する（ステップＳ６０）。
【０１６５】
〔比較認証データ生成ステップ〕
そして、復号手段４４は、認証用ハッシュ値生成手段４４ｂによって、コンテンツの識別情報ｉｄ、第一元べき乗値α、第二元べき乗値β及び変換データγから、認証用ハッシュ値κ´を生成し（ステップＳ６１）、比較認証データ生成手段４４ｃによって、前記（３）式により、比較認証データδ´を生成する（ステップＳ６２）。
【０１６６】
〔比較認証ステップ、復号データ生成ステップ〕
そして、この比較認証データδ´と、データ分割手段４４ａで分割した復号認証データδとを比較し（ステップＳ６３）、比較認証データδ´及び復号認証データδの値が等しい場合（Ｙｅｓ）は、変換データγ、第一元べき乗値α、第二元べき乗値β及び復号鍵Ｄｍ｛＝ｆ_ｉ（ｉｄ）｝（ｉ＝１，２，３，４，５，６）から、前記（４）式によって、コンテンツｍを復号する（ステップＳ６４）。一方、ステップＳ６３において、比較認証データδ´及び復号認証データδの値が等しくない場合（Ｎｏ）は、コンテンツｍの復号は行わず動作を終了する。
【０１６７】
以上説明したように、コンテンツ配信システム１（図１）では、ライセンスサーバ２０と、コンテンツ配信サーバ３０との間で、公開情報以外の情報交換がないため、秘匿通信等の必要がなく、各サーバの管理コストを低減させることができる。また、ライセンスサーバ２０では、公開された情報から復号鍵を生成するため、復号鍵を保管（管理）する必要がない。さらに、コンテンツ配信サーバ３０では、ライセンスサーバ２０により復号鍵が生成されたかどうかに依存せず、コンテンツの暗号化を行うことができるので、ライセンスサーバ２０と、コンテンツ配信サーバ３０とを独立して動作させることが可能になる。
【０１６８】
また、コンテンツ配信システム１におけるコンテンツの暗号化及び復号は、従来のような、存在し得ない理想的な関数（ハッシュ関数）の存在や、数論的問題を解く困難性を前提としたものではないため、暗号化されたコンテンツを不正に解読する危険性を低減させることができる。
【０１６９】
【発明の効果】
以上説明したとおり、本発明に係る暗号化方法、その装置及びそのプログラム、並びに、復号方法、その装置及びそのプログラム、並びに、コンテンツ配信サーバ及びコンテンツ復号端末では、以下に示す優れた効果を奏する。
【０１７０】
請求項１、請求項２、請求項４又は請求項６に記載の発明によれば、デジタルデータ固有の識別情報と、暗号化する側で選択した指数と、予め公開された公開情報とによって暗号化を行うため、ライセンスサーバ等のデジタルデータの権利を管理する装置（サーバ）と暗号鍵等の秘密情報を通信する必要がなく、独立して暗号化を行うことが可能になる。
【０１７１】
請求項５に記載の発明によれば、復号認証データを付加して暗号化データとするため、復号側で、暗号化データの正当性を判定することが可能になる。これによって、暗号化データの改竄に対する安全性を強固にすることができる。
【０１７２】
請求項３、請求項７又は請求項９に記載の発明によれば、デジタルデータ固有の識別情報と、暗号化する側で選択した指数と、予め公開された公開情報とによって暗号化された暗号化データを、識別情報と復号鍵とを用いて復号することができる。また、この復号鍵は、公開情報を生成するときに用いた秘密情報である多項式によって生成されたものでるため、暗号化データを不正に解読することは困難である。これによって、安全性の高い暗号化／復号システムを構築することが可能になる。
【０１７３】
請求項８に記載の発明によれば、暗号化データに含まれる復号認証データと、復号側で生成する比較認証データとを比較することで、暗号化データが正当な手順で生成されたものかどうかを認証することができるので、暗号化データの改竄に対する安全性を強固にすることができる。
【０１７４】
請求項１０に記載の発明によれば、デジタルデータであるコンテンツ固有の識別情報と、暗号化する側で選択した指数と、公開情報とによって暗号化を行うため、コンテンツの権利を管理するライセンスサーバと秘密情報を通信する必要がなく、独立して暗号化を行うことが可能になる。これによって、暗号化コンテンツの不正解読や改竄に対する安全性を強固にすることができる。
【０１７５】
請求項１１に記載の発明によれば、コンテンツ固有の識別情報と、暗号化する側で選択した指数と、予め公開された公開情報とによって暗号化された暗号化コンテンツを、識別情報と復号鍵とを用いて復号することができる。また、この復号鍵は、公開情報を生成するときに用いた秘密情報である多項式によって生成されたものでるため、暗号化コンテンツを不正に解読することは困難である。これによって、安全性の高いコンテンツ配信システムを構築することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態に係るコンテンツ配信システムの構成を示すブロック図である。
【図２】本発明の実施の形態に係るコンテンツ配信サーバの構成を示すブロック図である。
【図３】本発明の実施の形態に係る暗号化装置の構成を示すブロック図である。
【図４】本発明の実施の形態に係るユーザ端末（コンテンツ復号端末）の構成を示すブロック図である。
【図５】本発明の実施の形態に係る復号装置の構成を示すブロック図である。
【図６】本発明の実施の形態に係るライセンスサーバによる公開情報を公開する動作を示すフローチャートである。
【図７】本発明の実施の形態に係るコンテンツ配信サーバの動作を示すフローチャートである。
【図８】本発明の実施の形態に係る暗号化装置の動作を示すフローチャートである。
【図９】本発明の実施の形態に係るユーザ端末（コンテンツ復号端末）の動作を示すフローチャートである。
【図１０】本発明の実施の形態に係るライセンスサーバによるライセンス情報を発行する動作を示すフローチャートである。
【図１１】本発明の実施の形態に係る復号装置の動作を示すフローチャートである。
【図１２】従来のコンテンツ配信システムの構成を示すブロック図である。
【符号の説明】
１、１Ｂ ……コンテンツ配信システム
３ ……インターネット
１０ ……コンテンツサーバ
２０、２０Ｂ……ライセンスサーバ
３０、３０Ｂ……コンテンツ配信サーバ
３１ ……コンテンツ受信手段
３２ ……公開情報取得手段
３３ ……指数選択手段
３４ ……暗号化手段（暗号化装置）
３４ａ ……べき乗値生成手段
３４ｂ ……変換データ生成手段
３４ｃ ……ハッシュ値生成手段
３４ｄ ……復号認証データ生成手段
３４ｅ ……データ合成手段
３５ ……暗号化コンテンツ蓄積手段
３６ ……コンテンツ配信受付手段
３７ ……コンテンツ送信手段
４０、４０Ｂ……ユーザ端末（コンテンツ復号端末）
４１ ……暗号化コンテンツ取得手段
４２ ……ライセンス情報取得手段
４３ ……利用者認証手段
４４ ……復号手段（復号装置）
４４ａ ……データ分割手段
４４ｂ ……認証用ハッシュ値生成手段
４４ｃ ……比較認証データ生成手段
４４ｄ ……比較認証手段
４４ｅ ……復号データ生成手段
４５ ……コンテンツ提示手段[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to an encryption technology for encrypting digital data and a decryption technology for decrypting the encrypted digital data, and further relates to a content distribution server and a content decryption terminal using the encryption technology and the decryption technology.
[0002]
[Prior art]
2. Description of the Related Art In recent years, multimedia contents such as video and audio (hereinafter, referred to as contents) have been distributed on networks (such as the Internet). In such an environment, conventionally, in order to protect the copyright of the content, a method of encrypting the content by a common key cryptosystem in which an encryption key is generated by a pseudorandom number is generally used (for example, see Non-Patent Documents). 1).
[0003]
In the method of encrypting content by using the common key encryption method, a part of information of a key used for encryption and information related to the content such as content usage conditions are added to the encrypted content and distributed. A license server for generating an encryption key using a secure communication means in advance by a package server that performs encryption and a license server that issues decryption key information for decrypting the encrypted content to an authorized user of the content. You have to share the seed. In addition, since all information related to encryption is concentrated on the package server, confidential information such as license seeds can be abused without receiving license from the license server, and the content encryption / decryption key can be used by unauthorized users. There was a risk of illegally flowing out.
[0004]
In response to such a problem, the applicant of the present application has proposed (filed) a method of independently operating a package server and a license server using a technique called ID-Based encryption (“content distribution system”). Application 2002-268285).
[0005]
Here, a method of distributing content using the ID-Based encryption scheme will be described with reference to FIG. FIG. 12 is a block diagram illustrating a configuration of a content distribution system 1B that distributes content using the ID-Based encryption method.
[0006]
As shown in FIG. 12, the content distribution system 1B includes a content server 10 that allocates an identifier to the content to be distributed and information such as decryption key information for decrypting the encrypted content and usage conditions of the content. A license server 20B issued to the user and the content to be distributed are encrypted, and information related to the content such as partial information of the key used for encryption and content usage conditions is added to the encrypted content. A package server (content distribution server) 30B for distributing the contents and a user terminal 40B for viewing / browsing the contents are connected to a network (for example, the Internet 3).
[0007]
In the content distribution system 1B, the content server 10 assigns an identifier (identification information) to the content to be distributed, and transmits the identifier to the license server 20B and the package server 30B.
The license server 20B creates license server public information using the secret information of the license server 20B, publishes the license server public information, and transmits the public information to the package server 30B.
[0008]
The package server (content distribution server) 30B creates package server public information by using the pseudo-random numbers and publishes it as public information. Further, the package server 30B encrypts the content to be distributed by using an ID-based encryption method (for example, Boneh, Franklin method) using the license server disclosure information and the pseudo-random number disclosed by the license server 20B. Create encrypted content. Then, the package server 30B creates a package in which the encrypted content, the content identifier, and the package server public information are combined, and transmits the package to the user terminal 40B that has requested the content.
[0009]
Upon receiving this package (including the encrypted content), the user terminal 40B separates the package, obtains the encrypted content, the content identifier, and the package server public information, and transmits the obtained content identifier to the license server 20B. And requests information for decrypting the encrypted content.
[0010]
Upon receiving the content identifier from the user terminal 40B, the license server 20B requests the user terminal 40B for user authentication.
The user terminal 40B requested to perform the user authentication causes the user to input authentication information such as a password and a credit card number, and transmits the input authentication information to the license server 20B.
[0011]
The license server 20B performs user authentication based on the authentication information transmitted from the user terminal 40B, and uses the secret information and the content identifier only when it is confirmed that the user is a valid user. (Decryption key) is created and transmitted to the user terminal 40B.
[0012]
The user terminal 40B that has received the secret key uses the secret key and the package server public information to decrypt the encrypted content and obtain the content.
As described above, when the content is distributed using the ID-based encryption method, there is no need to exchange information other than public information between the license server and the package server, and each server can be operated independently. Will be possible.
[0013]
[Non-patent document 1]
Warwick Ford, Michael Baum, Translated by Shinichiro Yamada
"Digital Signature and Cryptography", 2nd edition, Pearson Education Inc., October 10, 2001, p. 75-117
[0014]
[Problems to be solved by the invention]
However, in the conventional method of distributing content using the ID-Based encryption method, since there is no need to exchange information other than public information between the license server and the package server, there is no need to exchange information between the license server and the package server. Although it is excellent in that costs related to communication and confidential information management can be reduced, it has the following problems.
[0015]
That is, the currently known ID-based cryptosystem presupposes the existence of an ideal function that cannot originally exist and the difficulty of solving a special number-theoretic problem called the Bilinear Defie-Hellman problem. Therefore, its security is not always reliable. For this reason, the content encrypted by the ID-based encryption scheme includes a risk of being illegally decrypted.
[0016]
The present invention has been made in view of the above problems, and does not share confidential information between a license server and a package server, operates them independently, and illegally uses encrypted content ( It is an object of the present invention to provide an encryption method, an apparatus and a program thereof, and a decryption method, an apparatus and a program thereof, and a content distribution server and a content decryption terminal for reducing (illegal decryption).
[0017]
[Means for Solving the Problems]
SUMMARY OF THE INVENTION The present invention has been made to achieve the above object. First, an encryption method according to claim 1 is an encryption method for encrypting digital data based on public information published in advance. In the public information, a group that becomes a cyclic group according to a specific order, a first element and a second element that are elements of the group, and the first element and the second element are predetermined. And a generated value generated by exponentiation by a coefficient of a polynomial, and the disclosed group, the first element, the second element and the generated value, and identification information for identifying the digital data. And calculating the digital data based on the digital data to generate encrypted data.
[0018]
According to this method, a generated value generated by raising a first element and a second element, which are elements of a group that forms a cyclic group by a specific order, to a power of a predetermined polynomial coefficient as an exponent (power exponent) is generated. , As well as the group, the first element and the second element as public information. Then, an operation is performed based on the public information and the identification information for identifying the digital data, thereby generating encrypted data obtained by encrypting the digital data. As the identification information, information unique to digital data, such as a file name and a content name, can be used. Thus, the encrypting side does not need to acquire information other than the public information from another device (server) or the like.
[0019]
Here, the polynomial itself for generating a generated value that is public information is not disclosed. For this reason, for example, the side that distributes digital data can use the result of calculating a polynomial based on the identification information of the digital data to be distributed as a decryption key for encrypted data. In addition, by using the cyclic group, the encryption side and the decryption side can use the same method as the known ElGamal encryption method or the Diffie-Hellman key distribution, and the decryption side uses the cyclic method. The encrypted data can be decrypted using the first element and the second element, which are the elements of the group, and the decryption key. Note that the cyclic group is a set {c, c², ..., c^n-1, Cⁿ= E｝, which becomes the unit element (e) when raised to the nth power. This n is particularly called an order.
[0020]
Further, the encryption method according to the second aspect of the present invention provides a group (G) that is published in advance and forms a cyclic group with a specific order (q), and a first element (g) that is an element of the group (G).₁) And the second element (g₂) And the polynomial ｛f_i(Λ): = Σ^t _{j = 0}a_{i, j}λ^j｝ (1 ≦ a_{i, j}≤q, i = 1,2,3,4,5,6,1≤t))
[0021]
[Equation 15]

[0022]
The generated value (u) generated by the above equation (1)_{i, j}An encryption method for generating encrypted data (c) by encrypting digital data (m) based on public information consisting of: (i) identifying the public information and the digital data (m) Information (id) and an exponent (r) that is a predetermined positive integer equal to or less than the order (q),
[0023]
(Equation 16)

[0024]
The first elementary power value (α), the second elementary power value (β), and the converted data (γ) are obtained by the above equation (2) (where κ: = H (id, α, β, γ), and H is a hash function). ) And decryption authentication data (δ), the first elementary power value (α), the second elementary power value (β), the conversion data (γ), and the decryption authentication generated in the data generation step. Combining the data (δ) to obtain the encrypted data (c).
[0025]
According to this method, the encryption method includes, in the data generation step, a group that becomes a cyclic group with a specific order published as public information, and a first element and a second element that are elements of the group, Based on a generated value generated from a coefficient of a predetermined polynomial, identification information for identifying digital data, and an exponent that is a predetermined positive integer equal to or less than the order, a first elementary power value, a second An original power value, conversion data, and decryption authentication data are generated.
[0026]
Here, the conversion data is data obtained by converting the digital data itself, and is the substance of the encrypted data. The first elementary power value and the second elementary power value are data used on the decoding side to convert the converted data into the original digital data.
[0027]
The decryption authentication data is data for specifying that the encrypted data has been generated by a valid procedure (this data generation step). That is, the decryption authentication data allows the decryption side to determine the validity of the encrypted data (c).
[0028]
Then, in the data combining step, the encrypted data is generated by combining the first power value, the second power value, the converted data, and the decryption authentication data. In the case of simple encryption that does not require the determination of the validity of the encrypted data, the encrypted data may be generated by combining only the first power value, the second power value, and the converted data. It may be.
[0029]
Note that the generated value is f₁(Λ)-f₆Generated from the six polynomials of (λ) is R. Cramer and V.S. Shop, “A Practical public key cryptosystem secure secure against adaptive chosen ciphertext attack”, in proc. Crypto '98, pp. 13-25. Thus, security against unauthorized decryption of encrypted data has been proven.
[0030]
Further, a decryption method according to a third aspect of the present invention uses encrypted data (c) obtained by encrypting the digital data (m) by the encryption method according to the second aspect to identify the digital data (m). A decryption key ｛f calculated from the polynomial based on the identification information (id)_i(Id) A decryption method for decrypting according to｝ (i = 1, 2, 3, 4, 5, 6), wherein the identification information (id) and the first elementary power contained in the encrypted data (c) are obtained. From the value (α), the second power value (β), and the conversion data (γ),
[0031]
[Equation 17]

[0032]
A comparative authentication data generating step of generating comparative authentication data (δ ′) by the above equation (3), where κ ′: = H (id, α, β, γ) and H is a hash function; By comparing the comparison authentication data (δ ′) generated in the generation step with the decryption authentication data (δ) included in the encrypted data (c), the encrypted data (c) can be obtained by a valid procedure. A comparative authentication step of authenticating whether the encrypted data (c) has been generated, and, if it is determined in the comparative authentication step that the encrypted data (c) has been generated by a valid procedure, the first elementary power value (α ), The second power value (β), the converted data (γ), and the decryption key ｛f_iFrom (id)｝
[0033]
(Equation 18)

[0034]
A decoded data generating step of generating the digital data (m) according to the equation (4).
[0035]
According to this method, the decryption method includes, in the comparison authentication data generation step, the identification information for identifying the digital data, and the first power value, the second power value, and the conversion data included in the encrypted data. , And generates comparative authentication data for authenticating whether or not the encrypted data is generated by a valid procedure. When the encrypted data is generated by a valid procedure, the comparison authentication data is equal to the decryption authentication data included in the encrypted data. It is possible to authenticate the validity of the data. Then, only when the encrypted data is valid, in the decryption data generation step, digital data is generated from the conversion data included in the encrypted data using the decryption key.
[0036]
In addition, the encryption device according to claim 4 includes a group (G) that is disclosed in advance and is a cyclic group from a specific order (q), and a first element (g) that is an element of the group (G).₁) And the second element (g₂) And the polynomial ｛f_i(Λ): = Σ^t _{j = 0}a_{i, j}λ^j｝ (1 ≦ a_{i, j}≤q, i = 1,2,3,4,5,6,1≤t))
[0037]
[Equation 19]

[0038]
The generated value (u) generated by the above equation (1)_{i, j}A) encrypting the digital data (m) on the basis of the public information consisting of: (c) and generating encrypted data (c). As the index (r), the first element (g)₁) And the second element (g₂) To generate a first elementary power value (α) and a second elementary power value (β), identification information (id) for identifying the digital data (m), and the exponent (R) and the generated value (u_{i, j}),
[0039]
(Equation 20)

[0040]
A conversion data generation unit that generates conversion data (γ) obtained by converting the digital data (m) according to the expression (5), the first element power value (α), the second element power value (β), and A data synthesizing means for synthesizing the converted data (γ) to generate the encrypted data (c).
[0041]
According to this configuration, the encryption device uses the exponent value generation unit to convert the first element and the second element, which are the elements of the group that forms a cyclic group by a specific order, into a predetermined positive integer equal to or less than the order. Is used as an exponent to generate a first elementary power value and a second elementary power value. Then, the conversion data generation means generates conversion data obtained by converting the digital data. The conversion data is calculated from identification information for identifying digital data, an index selected below the order of the group, and a generated value published as public information, and becomes the substance of the encrypted data. It is. The first elementary power value and the second elementary power value are used on the decoding side to convert the converted data into the original digital data. The data combining means combines the first power value, the second power value, and the converted data into encrypted data.
[0042]
As described above, the encryption device performs the encryption using the identification information unique to the digital data, the exponent selected on the encrypting side, and the public information. It is not necessary to communicate secret information with the server), and encryption can be performed independently.
[0043]
Further, the encryption device according to claim 5 is the encryption device according to claim 4, wherein the identification information (id), the first power value (α), and the second power value (β). And a hash value generation unit that generates a hash value (κ) serving as information of a specific length from the conversion data (γ), the identification information (id), the exponent (r), and the hash value (κ). And the generated value (u_{i, j}),
[0044]
(Equation 21)

[0045]
Decryption authentication data generation means for generating decryption authentication data (δ) by the above equation (where κ: = H (id, α, β, γ), H is a hash function); Synthesizes the first elementary power value (α), the second elementary power value (β), the converted data (γ), and the decryption authentication data (δ) to obtain the encrypted data (c). Features.
[0046]
According to this configuration, the encryption device uses the hash value generation unit to convert the identification information, the first elementary power value, the second elementary power value, and the converted data into a fixed-length data using a hash function such as SHA (Secure Hash Algorithm). Calculate the hash value that becomes Then, the decryption authentication data generating means generates the decryption authentication data based on the identification information unique to the digital data, the exponent selected on the encrypting side, the hash value, and the generated value which is the public information. The decryption authentication data is data for specifying that the encrypted data has been generated by a valid procedure.
[0047]
Then, the data combining means adds decryption authentication data to the first elementary power value, the second elementary power value, and the converted data to obtain encrypted data. This makes it possible for the decryption side to determine the validity of the encrypted data.
[0048]
Further, the encryption program according to claim 6 includes a group (G) that is published in advance and is a cyclic group with a specific order (q), and a first element (g) that is an element of the group (G).₁) And the second element (g₂) And the polynomial ｛f_i(Λ): = Σ^t _{j = 0}a_{i, j}λ^j｝ (1 ≦ a_{i, j}≤q, i = 1,2,3,4,5,6,1≤t))
[0049]
(Equation 22)

[0050]
The generated value (u) generated by the above equation (1)_{i, j}In order to generate the encrypted data (c) obtained by encrypting the digital data (m) based on the public information consisting of the following, the computer is operated by the following means.
[0051]
That is, a predetermined positive integer less than or equal to the order (q) is defined as an index (r) and the first element (g₁) And the second element (g₂) To generate a first elementary power value (α) and a second elementary power value (β), identification information (id) for identifying the digital data (m), and the exponent ( r) and the generated value (u_{i, j}),
[0052]
(Equation 23)

[0053]
A conversion data generation unit that generates conversion data (γ) obtained by converting the digital data (m) according to the equation (5), the first elementary power value (α), the second elementary power value (β), and the conversion Data combining means for combining the data (γ) and obtaining the encrypted data (c).
[0054]
According to this configuration, the encryption program uses the exponent value generating means to convert the first element and the second element, which are elements of the group that forms a cyclic group by a specific order, into a predetermined positive integer equal to or less than the order. Is used as an exponent to generate a first elementary power value and a second elementary power value. Then, the conversion data generation means generates conversion data obtained by converting the digital data. The conversion data is calculated from identification information for identifying digital data, an index selected below the order of the group, and a generated value published as public information, and becomes the substance of the encrypted data. It is. The first elementary power value and the second elementary power value are used on the decoding side to convert the converted data into the original digital data. The data combining means combines the first power value, the second power value, and the converted data into encrypted data.
[0055]
By causing a computer to function as each of the above-described units, the encryption program can be operated on a general personal computer, a workstation, or the like.
[0056]
Further, a decryption device according to a seventh aspect of the present invention uses encrypted data (c) obtained by encrypting digital data (m) by the encryption device according to the fourth aspect to identify the digital data (m). A decryption key ｛f calculated from the polynomial based on the identification information (id)_i(Id) A decryption device for decrypting according to｝ (i = 1, 2, 3, 4, 5, 6), wherein the encrypted data (c) is converted into a first elementary power value (α) and a second elementary power Data dividing means for dividing the data into a value (β) and converted data (γ), the first elementary power value (α), the second elementary power value (β), the converted data (γ), and the decryption key ｛f_iFrom (id)｝
[0057]
[Equation 24]

[0058]
A decoded data generating means for generating the digital data (m) according to the equation (4).
[0059]
According to such a configuration, the decryption device divides the encrypted data into the first elementary power value, the second elementary power value, and the converted data by the data dividing means, and the first elementary power value, The converted data is converted (decrypted) using the second elementary power value and the decryption key to obtain digital data. Thus, the encrypted data encrypted by the encryption device according to the fourth aspect can be decrypted.
[0060]
Further, a decryption device according to an eighth aspect of the present invention uses encrypted data (c) obtained by encrypting digital data (m) by the encryption device according to the fifth aspect to identify the digital data (m). A decryption key ｛f calculated from the polynomial based on the identification information (id)_i(Id) A decryption device for decrypting according to｝ (i = 1, 2, 3, 4, 5, 6), wherein the encrypted data (c) is converted into a first elementary power value (α) and a second elementary power A data dividing unit for dividing the data into a value (β), converted data (γ), and decryption authentication data (δ); the identification information (id); a first elementary power value (α) divided by the data dividing unit; An authentication hash value generation unit for generating an authentication hash value (κ ′) serving as information of a specific length from the second elementary power value (β) and the conversion data (γ), and the first elementary power value (Α), the second power value (β), the hash value for authentication (κ ′), and the decryption key ｛f_iFrom (id)｝
[0061]
(Equation 25)

[0062]
A comparative authentication data generating means for generating comparative authentication data (δ ') by the above equation (where κ': = H (id, α, β, γ), H is a hash function); By comparing the comparison authentication data (δ ′) generated by the generation means with the decryption authentication data (δ), it is authenticated whether or not the encrypted data (c) is generated by a valid procedure. A first authenticating power value (α), a second exponential value (β), the converted data (γ), and the decryption key {f_iFrom (id)｝
[0063]
(Equation 26)

[0064]
A decoded data generating means for generating the digital data (m) according to the equation (4).
[0065]
According to this configuration, the decryption device divides the encrypted data into the first elementary power value, the second elementary power value, the converted data, and the decryption authentication data by the data dividing unit. Then, the hash value generating means for authentication uses the hash information such as SHA (Secure Hash Algorithm) to convert the identification information unique to the digital data, the first elementary power value, the second elementary power value, and the converted data into a hash value such as SHA (Secure Hash Algorithm). Generate an authentication hash value of This hash function is the same as the hash function used when the decryption authentication data is generated by the encryption device.
[0066]
Then, the comparative authentication data generating means generates comparative authentication data. The comparison authentication data generated by the decryption device has the same value as the decryption authentication data when the encrypted data is generated by a valid procedure. Therefore, by comparing the comparative authentication data with the decrypted authentication data by the comparative authentication means, the digital data is generated (decrypted) by the decrypted data generating means only when the encrypted data is generated by a valid procedure. ). Thus, the decryption device authenticates the validity of the encrypted data encrypted by the encryption device according to claim 5, and can decrypt the encrypted data only when the data is valid.
[0067]
Further, a decryption program according to a ninth aspect of the present invention provides an encrypted data (c) obtained by encrypting digital data (m) by the encryption program according to the sixth aspect, for identifying the digital data (m). A decryption key ｛f calculated from the polynomial based on the identification information (id)_i(Id) In order to perform decoding according to｝ (i = 1, 2, 3, 4, 5, 6), the computer is configured to function by the following means.
That is, data dividing means for dividing the encrypted data (c) into a first elementary power value (α), a second elementary power value (β), and converted data (γ), and the first elementary power value (α) , The second element power value (β), the converted data (γ), and the decryption key ｛f_iFrom (id)｝
[0068]
[Equation 27]

[0069]
A decoded data generating means for generating the digital data (m) according to the above equation (4).
[0070]
According to such a configuration, the decryption program divides the encrypted data into the first elementary power value, the second elementary power value, and the converted data by the data dividing means, and the first elementary power value, The converted data is converted (decrypted) using the second elementary power value and the decryption key to obtain digital data. Thus, the encrypted data encrypted by the encryption program according to claim 6 can be decrypted.
[0071]
Further, the content distribution server according to claim 10 is a group (G) that is previously set in a cyclic group by a specific order (q) and is published by a license server that provides license information of content that is digital data. , The first element (g) which is an element of the group (G)₁) And the second element (g₂) And the polynomial ｛f_i(Λ): = Σ^t _{j = 0}a_{i, j}λ^j｝ (1 ≦ a_{i, j}≤q, i = 1,2,3,4,5,6,1≤t))
[0072]
[Equation 28]

[0073]
The generated value (u) generated by the above equation (1)_{i, j}A content distribution server for generating and distributing encrypted content, which is encrypted data obtained by encrypting the content, based on the public information comprising: public information obtaining means for obtaining the public information from the license server And exponent selecting means for selecting a positive integer less than or equal to the order as an exponent; encrypting the content based on the public information, identification information for identifying the content, and the exponent; 6. The encryption device according to claim 4 or claim 5, wherein the encryption device stores encrypted content which is encrypted data generated by the encryption device, and encryption requested by the terminal. Content transmission means for reading encrypted content from the encrypted content storage means and transmitting the encrypted content to the terminal. To.
[0074]
According to this configuration, the content distribution server, by the public information acquisition means, a group that becomes a cyclic group with a specific order published as public information, and the first element and the second element that are elements of the group , And a generated value generated from a coefficient of a predetermined polynomial. Then, a positive integer less than or equal to the order of the group is selected as an exponent by the exponent selecting means. The exponent may be any index that is arbitrarily selected in the content distribution server. For example, by using a pseudorandom number generated by a pseudorandom number generator, the secrecy of the encrypted content can be enhanced.
[0075]
Then, the content distribution server encrypts the content with the encryption device based on the public information, an index equal to or less than the order of the group, and the identification information for identifying the content, and encrypts the encrypted content. Store in the storage means. The encrypted content stored in the encrypted content storage means is transmitted by the content transmission means to the requesting terminal.
[0076]
As described above, the content distribution server performs encryption using the identification information unique to the content, which is digital data, the index selected on the encrypting side, and the public information. There is no need to communicate information, and encryption can be performed independently.
[0077]
Further, the content decrypting terminal according to claim 11 is a device for converting encrypted content, which is encrypted data encrypted by the content distribution server according to claim 10, with identification information for identifying content that is digital data. A content decryption terminal that decrypts the content based on the decryption key calculated from the polynomial obtained from the license server, and an encrypted content obtaining unit that obtains the encrypted content from the content distribution server; 9. The license information acquiring means for acquiring license information including the decryption key from the license server, and decrypting the encrypted content into the content based on the identification information and the decryption key. And the decoding device described above.
[0078]
According to this configuration, the content decryption terminal acquires the encrypted content desired by the user from the content distribution server by the encrypted content acquisition unit, and decrypts the encrypted content from the license server by the license information acquisition unit. Obtain license information including the decryption key. Content usage conditions may be added to this license information.
Then, the encrypted content is decrypted by the decryption device based on the identification information unique to the content and the decryption key.
[0079]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[Content distribution system configuration]
First, a configuration of a content distribution system 1 according to an embodiment of the present invention will be described with reference to FIG. FIG. 1 is a block diagram illustrating a configuration of the content distribution system 1. The content distribution system 1 connects a content server 10, a license server 20, a content distribution server 30, and a user terminal (content decryption terminal) 40 via a network such as the Internet 3, and allows a user to select desired content. This is a system for delivering to the user terminal 40.
[0080]
The content server 10 stores a plurality of contents in a storage unit (not shown), and assigns (associates) identification information for identifying the contents to the contents. For example, a unique content name or file name is assigned as the identification information. Further, the content server 10 transmits the requested content to the content distribution server 30 based on a request including the identification information from the content distribution server 30.
[0081]
The license server 20 manages the license of the content held in the content server 10. More specifically, the license server 20 publishes information for encrypting the content as public information inf (stored in the storage unit 21) of the entire system and, based on a request from the user terminal 40, the content of the user. Is issued, and license information including a decryption key of the encrypted content is issued. The public information inf will be described later.
[0082]
The content distribution server 30 acquires the content requested from the user terminal 40 from the content server 10, encrypts the content based on the public information inf published by the license server 20, and distributes the content to the user terminal 40. Things. The content distribution server 30 includes an encryption unit (encryption device) 34 for encrypting the content.
[0083]
The user terminal (content decrypting terminal) 40 acquires the content (encrypted content) desired by the user from the content distribution server 30, further acquires license information from the license server 20, and obtains a decryption key included in the license information. The content is presented to the user by decrypting the encrypted content based on the content. The user terminal 40 includes a decoding unit (decoding device) 44.
[0084]
(Overview of content encryption and decryption)
Here, an outline of encryption and decryption of content in the content distribution system 1 will be described.
[0085]
<Public information disclosure>
In the license server 20, a group G to be a cyclic group in advance by a specific order (q) and a first element g that is an arbitrary two element of the group G₁And the second element g₂And Z_qAnd a polynomial (equation (7)) above (an integer of 1 to q).
[0086]
f_i(Λ): = Σ^t _{j = 0}a_{i, j}λ^j(1 ≦ a_{i, j}≤q integer, i = 1,2,3,4,5,6,1≤t integer) Expression (7)
[0087]
Then, the coefficient a of the equation (7)_{i, j}And the generated value u by equation (1)_{i, j}, The group G, the first element g₁, The second element g₂And the generated value u_{i, j}Is made public as public information inf.
[0088]
(Equation 29)

[0089]
<Generation of decryption key>
The license server 20 does not disclose the equation (7) itself, but stores it in the storage unit 21 as secret information of the license server 20. Then, the license server 20 generates a decryption key by the above equation (7) when a license request for a certain content is received from the user terminal 40. That is, the identification information of the content is id, and the decryption key is D_mThen, the decryption key is calculated by equation (8).
[0090]
D_m= ｛F_i(Id)｝ (i = 1, 2, 3, 4, 5, 6) (8)
[0091]
<Content encryption>
The content distribution server 30 encrypts the content based on the public information inf. At this time, the content distribution server 30 performs the calculation of Expression (2) by referring to the public information inf. Here, id is content identification information, m is content data, and r is Z_qShows a pseudo random number (exponent) selected from. Κ is a value obtained as κ: = H (id, α, β, γ) using H as a hash function.
[0092]
[Equation 30]

[0093]
Then, the content distribution server 30 combines the α, β, γ, and δ generated by the equation (2) into an encrypted content. This encrypted content is distributed to the user terminal 40.
[0094]
<Decryption of encrypted content>
The user terminal 40 acquires the decryption key of the encrypted content from the license server 20 and decrypts the encrypted content distributed from the content distribution server 30. Here, the user terminal 40 calculates δ ′, which is the comparative authentication data, from the α, β, and γ included in the encrypted content and the identification information id of the content, using Expression (3).
[0095]
[Equation 31]

[0096]
Note that κ ′ is a value obtained as κ ′: = H (id, α, β, γ) using H as a hash function. The hash function H used to generate κ ′ in the above equation (3) is a function that generates the same hash value as the hash function H used to generate κ in the above equation (2).
[0097]
The user terminal 40 compares δ ′ calculated by the above equation (3) with δ calculated by the above equation (2), and if the values are the same, converts the encrypted content to the content m according to the equation (4). And present it to the user as viewable / browsable data.
[0098]
(Equation 32)

[0099]
The outline of encryption and decryption of content in the content distribution system 1 has been described above. Hereinafter, the content distribution server 30 that performs content encryption in the content distribution system 1 and the user terminal 40 that performs decryption will be described in detail.
[0100]
(Configuration of content distribution server)
First, the configuration of the content distribution server 30 will be described with reference to FIG. 2 (see FIG. 1 as appropriate). FIG. 2 is a block diagram showing a configuration of the content distribution server 30. As shown in FIG. 2, the content distribution server 30 encrypts the content m based on the public information inf, and distributes the encrypted content (encrypted content c) to the user terminal 40 that has made the request. is there. Note that the content m is data belonging to the group G (m （G).
[0101]
Here, the content distribution server 30 includes a content reception unit 31, a public information acquisition unit 32, an index selection unit 33, an encryption unit (encryption device) 34, an encrypted content storage unit 35, and a content distribution reception unit. Means 36 and a content transmitting means 37.
[0102]
The content receiving means 31 receives the content m and the identification information id for identifying the content m from the content server 10 via the network (Internet 3). The content m and the identification information id received here are notified to the encryption means 34.
[0103]
The public information acquisition means 32 acquires the public information inf published by the license server 20 via a network (Internet 3). This public information acquisition means 32 includes a group G and a first element g which are disclosed as public information inf.₁, The second element g₂And the generated value u_{i, j}And the group G is sent to the index selecting means 33, and the first element g₁, The second element g₂And the generated value u_{i, j}To the encryption means 34.
[0104]
The exponent selecting means 33 selects an exponent (exponent exponent) r used by the encrypting means 34 with an integer in the range of 1 to q according to the order q of the group G notified from the public information acquiring means 32. is there. Here, the exponent selection means 33 is a pseudo-random number generator that generates a pseudo-random number with an integer in the range of 1 to q. The exponent r is notified to the encryption means 34.
[0105]
The encryption unit (encryption device) 34 includes the identification information id received by the content reception unit 31 and the first element g that is the public information acquired by the public information acquisition unit 32.₁, The second element g₂And the generated value u_{i, j}Based on the exponent r selected by the exponent selecting means 33, an encrypted content c obtained by encrypting the content m is generated. The encrypted content c generated here is stored in the encrypted content storage unit 35 in association with the identification information id. The encryption means (encryption device) 34 will be described later in more detail.
[0106]
The encrypted content storage means 35 stores the encrypted content c encrypted by the encryption means 34, and is composed of a general hard disk or the like.
The content distribution receiving means 36 receives a content distribution request req transmitted from the user terminal 40. The distribution request req accepted here is notified to the content transmission unit 37. It is assumed that the distribution request req includes identification information id for identifying the content.
[0107]
The content transmitting unit 37 stores the content (encrypted content c) specified by the identification information id included in the distribution request req based on the distribution request req notified from the content distribution receiving unit 36, to the encrypted content storage unit 35, and is transmitted to the user terminal 40.
[0108]
By configuring the content distribution server 30 as described above, the content distribution server 30 encrypts the content m based on the public information of the license server 20. There is no need to transmit and receive information, and the function can be realized independently of the license server 20.
[0109]
Further, here, the content m is limited to data belonging to the group G. However, when the content m is encrypted using a session key Ks (not shown) by a general encryption method, the session key Ks is The content m may be encrypted using the session key Ks as data belonging to G (Ks∈G), and the content distribution server 30 may encrypt the session key Ks instead of the content m. In this case, the content m does not need to be data belonging to the group G (m∈G).
[0110]
In the content distribution server 30, each means in the computer can be realized as each function program, and each function program can be combined and operated as a content distribution program.
[0111]
<Configuration of encryption device>
Here, the configuration of the encryption device 34 in the content distribution server 30 (FIG. 2) will be described in more detail with reference to FIG. FIG. 3 is a block diagram showing the configuration of the encryption device 34. As shown in FIG. 3, the encryption device 34 encrypts the content (digital data) m based on public information inf published in advance, an arbitrary number (pseudo random number; exponent r), and identification information id. The encrypted content (encrypted data) c is generated.
Here, the encryption device 34 is configured to include a power value generation unit 34a, a conversion data generation unit 34b, a hash value generation unit 34c, a decryption authentication data generation unit 34d, and a data synthesis unit 34e.
[0112]
The exponent value generating means 34a calculates the exponent r and the first element g disclosed in the public information.₁And the second element g₂And the first element g₁And the second element g₂To the exponent r (g₁ ^r, G₂ ^r) And the first elementary power value α (= g₁ ^r) And the second elementary power value β (= g₂ ^r). The first elementary power value α and the second elementary power value β generated here are notified to the hash value generation means 34c and the data synthesis means 34e.
[0113]
The conversion data generating means 34b calculates the content m, the identification information id of the content m, the index r, and the generated value u disclosed in the public information._{i, j}Is input to generate converted data γ obtained by converting the content m according to equation (5). In the expression (5), Π indicates a total product symbol.
[0114]
[Equation 33]

[0115]
The conversion data γ generated here is notified to the hash value generation unit 34c, the decryption authentication data generation unit 34d, and the data synthesis unit 34e.
[0116]
The hash value generation unit 34c calculates a hash value using a hash function such as SHA (Secure Hash Algorithm). Here, the hash value generation unit 34c generates the identification information id of the content m, the first elementary power value α and the second elementary power value β generated by the power value generation unit 34a, and the conversion data generation unit 34b. The converted data γ is input to generate a hash value κ. This hash value κ is notified to the decryption authentication data generation means 34d.
[0117]
The decryption authentication data generation means 34d generates data (decryption authentication data δ) for authenticating whether or not the encrypted content c has been encrypted by a valid procedure at the time of decryption. Here, the decryption authentication data generating means 34d outputs the identification information id of the content m, the index r, and the generated value u disclosed in the public information._{i, j}And the converted data γ generated by the converted data generating means 34b and the hash value κ generated by the hash value generating means 34c, and the decrypted authentication data δ is generated. The decryption authentication data δ is calculated by the equation (6), and is notified to the data combining unit 34e.
[0118]
[Equation 34]

[0119]
The data synthesizing unit 34e includes a first elementary power value α and a second elementary power value β generated by the power value generation unit 34a, the conversion data γ generated by the conversion data generation unit 34b, and a decryption authentication data generation unit 34d. The encrypted content c is generated by synthesizing the decrypted authentication data δ generated in step (1) and (2). For example, the first elementary power value α, the second elementary power value β, the converted data γ, and the decryption authentication data δ are sequentially connected to form one data.
[0120]
The configuration of the encryption device 34 according to the present invention has been described based on one embodiment, but the present invention is not limited to this. For example, when it is not necessary to authenticate whether or not the encrypted content c has been encrypted by a valid procedure at the time of decryption, the hash value generation unit 34c and the decryption authentication data generation unit 34d May be deleted, and the data combining means 34e may generate the encrypted content c by combining the first elementary power value α, the second elementary power value β, and the converted data γ.
[0121]
The object to be encrypted by the encryption device 34 is not limited to contents, but may be general digital data. That is, it can be said that the encryption device 34 generates encrypted data obtained by encrypting digital data.
In the encryption device 34, each means in the computer can be realized as each function program, and each function program can be combined and operated as an encryption program.
[0122]
(Configuration of user terminal)
Next, the configuration of the user terminal (content decoding terminal) 40 will be described with reference to FIG. 4 (refer to FIG. 1 as appropriate). FIG. 4 is a block diagram showing the configuration of the user terminal 40. As shown in FIG. 4, the user terminal 40 decrypts the encrypted content c distributed from the content distribution server 30 based on the license information L (including the decryption key) acquired from the license server 20, and obtains the viewing data D Is presented to the user.
[0123]
Here, the user terminal 40 includes an encrypted content acquisition unit 41, a license information acquisition unit 42, a user authentication unit 43, a decryption unit (decryption device) 44, and a content presentation unit 45.
[0124]
The encrypted content acquisition unit 41 receives a content identification information id from an input unit (not shown), and transmits a content distribution request req including the content identification information id to the content distribution server 30. It receives (acquires) an encrypted content c obtained by encrypting the content from the distribution server 30. The encrypted content c received here is notified to the decryption means 44.
[0125]
The license information acquisition unit 42 generates a license issuance request L including the content identification information id._reqIs transmitted to the license server 20, and a decryption key Dm ｛= f for decrypting the encrypted content c is transmitted from the license server 20._i(Id), (i = 1, 2, 3, 4, 5, 6)}. The license information acquisition unit 42 extracts the decryption key Dm included in the license information L, notifies the decryption key 44 to the decryption unit 44, and notifies the user authentication unit 43 of the license information L.
[0126]
The user authentication unit 43 determines the use condition described in the license information L acquired by the license information acquisition unit 42, and decrypts the decryption unit 44 only when the use is in accordance with the regular use condition. (A decoding instruction). For example, when the license information L describes the expiration date of the content, the user authentication unit 43 determines whether the expiration date has expired.
[0127]
The decryption unit (decryption device) 44 converts the encrypted content c acquired by the encrypted content acquisition unit 41 based on the identification information id of the content and the decryption key Dm acquired and extracted by the license information acquisition unit 42 into the content. m. Here, the decrypted content m is notified to the content presentation means 45. The decryption unit 44 is activated only when a signal (decryption instruction) for instructing the start of decryption is received from the user authentication unit 43. The decoding means (decoding device) 44 will be described later in more detail.
[0128]
The content presentation unit 45 converts the content m decrypted by the decryption unit 44 into data (viewing data D) that can be viewed by the user, and presents the data to the user. For example, when the content m is data encoded by MPEG2 Video, the content presentation unit 45 functions as a decoder that decodes the content m into a moving image.
[0129]
The configuration of the user terminal (content decoding terminal) 40 has been described above. However, in the user terminal (content decoding terminal) 40, each unit can be realized as a function program in a computer, and the function programs are combined. To operate as a content decryption program.
[0130]
<Configuration of decoding device>
Here, with reference to FIG. 5, the configuration of the decoding device 44 in the user terminal 40 (FIG. 4) will be described in more detail. FIG. 5 is a block diagram showing a configuration of the decoding device 44. As shown in FIG. 5, the decryption device 44 includes the identification information id for identifying the content and the decryption key Dm ｛= f_i(Id) decrypts the encrypted content c and reproduces the content m based on {}.
[0131]
Here, the decryption device 44 includes a data dividing unit 44a, an authentication hash value generating unit 44b, a comparative authentication data generating unit 44c, a comparative authentication unit 44d, and a decrypted data generating unit 44e.
[0132]
The data dividing means 44a divides the input encrypted content c into a first elementary power value α, a second elementary power value β, conversion data γ, and decryption authentication data δ. The first elementary power value α and the second elementary power value β divided here are notified to the authentication hash value generation means 44b, the comparative authentication data generation means 44c, and the decryption data generation means 44e. Also, the converted data γ is notified to the authentication hash value generation unit 44b and the decryption data generation unit 44e, and the decryption authentication data δ is notified to the comparison authentication unit 44d.
[0133]
The authentication hash value generation means 44b calculates a hash value using a hash function such as SHA. Here, the authentication hash value generation unit 44b receives the identification information id of the content, the first elementary power value α, the second elementary power value β, and the conversion data γ notified from the data division unit 44a, and performs authentication. Generate a hash value κ ′ for use. This authentication hash value κ ′ is notified to the comparative authentication data generation unit 44c. The hash function of the authentication hash value generation unit 44b uses the same hash function as the hash value generation unit 34c of the encryption device 34 (FIG. 3).
[0134]
The comparison authentication data generation unit 44c includes a first element power value α and a second element power value β divided by the data division unit 44a, an authentication hash value κ ′ generated by the authentication hash value generation unit 44b, Input decryption key Dm ｛= f_i(Id) 比較, to generate comparative authentication data δ ′ for determining whether or not the encrypted content c has been generated by a valid procedure. Here, the comparative authentication data δ ′ is calculated and generated by the above equation (3).
[0135]
This comparison authentication data δ ′ has the same value as the decryption authentication data δ when the encrypted content c is generated by a valid procedure.
The comparison authentication unit 44d compares the decrypted authentication data δ notified from the data division unit 44a with the comparison authentication data δ ′ notified from the comparison authentication data generation unit 44c, and compares the determination result cmp with the decrypted data generation unit 44e. Is to be notified. For example, when the decryption authentication data δ and the comparison authentication data δ ′ are equal, the numerical value “1” is notified as the determination result cmp. I do.
[0136]
The decrypted data generation unit 44e calculates the first elementary power value α, the second elementary power value β and the converted data γ notified from the data division unit 44a, and the input decryption key Dm ｛= f_i(Id) Generates a content m obtained by decrypting the encrypted content c based on｝. Here, the content m is calculated and generated by the above equation (4).
[0137]
Note that the decrypted data generation unit 44e performs the decryption operation only when it is determined in the determination result cmp notified from the comparative authentication unit 44d that the decrypted authentication data δ is equal to the comparative authentication data δ ′.
[0138]
As described above, the configuration of the decoding device 44 according to the present invention has been described based on one embodiment, but the present invention is not limited to this. For example, when it is not necessary to authenticate whether or not the encrypted content c has been encrypted by a valid procedure at the time of decryption, the authentication hash value generation means 44b, the comparative authentication data generation means 44c and the comparative authentication means 44d are deleted, and the decrypted data generation means 44e performs the encryption based on the first elementary power value α, the second elementary power value β, the converted data γ, and the decryption key Dm without performing authentication. Content m obtained by decrypting c may be generated.
[0139]
Further, the decryption target of the decryption device 44 is not limited to the content, but may be anything that encrypts general digital data. That is, it can be said that the decryption device 44 decrypts the encrypted data obtained by encrypting the digital data into digital data.
[0140]
The decoding device 44 can also realize each unit in the computer as each function program, and can also combine each function program to operate as a decoding program.
[0141]
[Operation of content distribution system]
Next, an operation of the content distribution system 1 according to the embodiment of the present invention will be described with reference to FIGS.
(Public disclosure of information by license server)
First, with reference to FIG. 6 (see FIG. 1 as appropriate), an operation in which the license server 20 publishes public information will be described. FIG. 6 is a flowchart showing an operation in which the license server 20 publishes public information.
[0142]
The license server 20 first determines a group G to be a cyclic group by a specific order (q) and a first element g that is an arbitrary two element of the group G.₁And the second element g₂And Z_q(Integer of 1 to q) polynomial ｛f_i(Λ)｝ (i = 1, 2, 3, 4, 5, 6) (Equation (7)) is selected (step S10), and the group G and the first element g₁, The second element g₂And the polynomial ｛f_i(Λ)｝ is stored in the storage unit 21 of the license server 20 (step S11).
[0143]
Then, the license server 20 calculates the polynomial ｛f_iA that is the coefficient of (λ)｝_{i, j}And the generated value ｛u by the above equation (1)._{i, j}｝ (I = 1, 3, 5, 1 ≦ j ≦ t) is calculated (step S12), and the group G and the first element g selected in step S10 are calculated.₁And the second element g₂And the generated value ｛u calculated in step S12_{i, j}Are disclosed (step S13).
[0144]
(Content encryption by the content distribution server)
Next, with reference to FIG. 7 (see FIGS. 1 and 2 as appropriate), an operation in which the content distribution server 30 encrypts content will be described. FIG. 7 is a flowchart illustrating an operation in which the content distribution server 30 encrypts the content m.
[0145]
The content distribution server 30 receives the content m and the identification information id for identifying the content m from the content server 10 by the content receiving means 31 (step S20).
[0146]
Further, the content distribution server 30 acquires the public information inf released by the license server 20 by the public information acquiring means 32 (step S21), and the index selecting means 33 ranks the group G published in the public information inf. An exponent r is selected by generating a pseudorandom number in an integer not exceeding the number q (an integer of 1 or more and q or less) (step S22).
[0147]
Then, the content distribution server 30 encrypts the content m based on the identification information id, the public information inf, and the index r (step S23), and stores the encrypted content c in the encrypted content storage unit 35. (Step S24).
[0148]
Through the above steps, the content distribution server 30 stores the encrypted content c obtained by encrypting the content m in the encrypted content storage means 35, and is ready to distribute the requested encrypted content. .
[0149]
<Detailed operation of content encryption>
Here, the encryption of the content m in step S23 will be described in detail with reference to FIG. 8 (see FIGS. 1 and 3 as appropriate). FIG. 8 is a flowchart showing the operation of the encryption means (encryption device) 34 in the content distribution server 30.
[0150]
[Data generation step]
The encryption unit 34 uses the exponent value generation unit 34a to generate the exponent r and the first element g disclosed in the public information.₁And the second element g₂And the first elementary power value α (= g₁ ^r) And the second elementary power value β (= g₂ ^r) Is generated (step S30).
Further, the encryption unit 34 generates the conversion data γ by the conversion data generation unit 34b according to the equation (5) (step S31).
[0151]
Further, the encryption unit 34 generates a hash value κ from the identification information id, the first elementary power value α, the second elementary power value β, and the converted data γ by the hash function of the hash value generation unit 34c (step S32). ), The decryption authentication data generating means 34d generates the decryption authentication data δ according to the equation (6) (step S33).
[0152]
[Data synthesis step]
Then, the encrypting unit 34 uses the data combining unit 34e to perform the first elementary power value α and the second elementary power value β generated in step S30, the converted data γ generated in step S31, and the decryption generated in step S33. The encrypted content c is generated by combining the authentication data δ with the authentication data δ (step S34).
[0153]
(Decryption / viewing of content by user terminal)
Next, an operation in which the user terminal (content decrypting terminal) 40 decrypts the encrypted content and presents the content to the user will be described with reference to FIG. 9 (see FIGS. 1 and 4 as appropriate). FIG. 9 is a flowchart showing the operation of the user terminal 40.
[0154]
When the user terminal 40 requests the content distribution server 30 for the content desired by the user (not shown as a step), the content distribution server 30 transmits the corresponding encrypted content c from the encrypted content storage unit 35 (FIG. 2). Is read out and distributed to the user terminal 40 (step S40).
[0155]
Then, the user terminal 40 obtains the encrypted content c by the encrypted content obtaining unit 41 (step S41), and issues the license information L of the encrypted content c to the license server 20 by the license information obtaining unit 42. Request (step S42).
[0156]
The license server 20 requested to issue the license information L determines whether the issuance request is a request from a legitimate user who views the content (step S43), and is a request from the legitimate user. In the case (Yes), the decryption key Dm ｛= f for decrypting the encrypted content c_i(Id) The license information L containing the usage conditions of the content, including $, is issued (transmitted) to the user terminal 40 (step S44). On the other hand, if the request is not a request from a valid user (No in step S43), the operation ends without issuing the license information L.
[0157]
Then, the user terminal 40 obtains the license information L from the license server 20 by the license obtaining means 42 (step S45), and extracts the decryption key Dm included in the license information L (step S46).
Then, the user terminal 40 determines the use condition described in the license information L by the user authentication unit 43 (step S47), and if the use condition is not appropriate (No), for example, the content expiration date has expired. In such a case, the operation ends without decrypting the encrypted content c.
[0158]
On the other hand, if the use conditions are appropriate in step S47 (Yes), the decryption unit 44 decrypts the encrypted content c using the decryption key Dm extracted in step S46 (step S48). Then, by decoding the decrypted content c by the content presentation means 45, the content c becomes viewing data D that can be viewed by the user (step S49).
[0159]
Through the above steps, the user terminal 40 obtains the content (encrypted content c) desired by the user from the content server 30, obtains the license information L for the content from the license server 20, and stores the license information L in the license information L. With the included decryption key, the encrypted content c can be decrypted and used as the viewing data D.
[0160]
<Detailed operation of license information issuance>
Here, the issuance of the license information L in step S44 will be described in detail with reference to FIG. 10 (see FIG. 1 as appropriate). FIG. 10 is a flowchart showing an operation in which the license server 20 issues the license information L.
[0161]
When the license server 20 receives a license issuance request including the content identification information id from the user terminal 40 (step S50), the group G and the first element g stored in the storage unit 21 are received.₁, The second element g₂And the polynomial ｛f_i(Λ)｝ (i = 1, 2, 3, 4, 5, 6) is read (step S51).
Then, based on the identification information id of the content, the polynomial ｛f_iFrom (λ)｝ (see equation (7)), the decryption key Dm ｛= f_i(Id)｝ (i = 1, 2, 3, 4, 5, 6) is generated (step S52).
[0162]
Then, the license server 20 checks the use condition of the content and the decryption key Dm ｛= f_i(Id) Creates license information L obtained by combining ｉ (i = 1, 2, 3, 4, 5, 6) (step S53) and issues (transmits) it to the user terminal 40. It should be noted that the content usage conditions may be created one by one according to the request time or the like when a license issuance request is received, or conditions set in advance for each content may be used.
[0163]
<Detailed operation of content decryption>
Next, the operation of decrypting the encrypted content c in step S48 in FIG. 9 will be described in detail with reference to FIG. FIG. 11 is a flowchart showing the operation of the decoding means (decoding device) 44 in the user terminal 40.
[0164]
[Data division step]
The decrypting means 44 divides the encrypted content c into a first elementary power value α, a second elementary power value β, converted data γ, and decrypted authentication data δ by the data dividing means 44a (step S60).
[0165]
[Comparative authentication data generation step]
Then, the decryption means 44 generates the authentication hash value κ 'from the identification information id of the content, the first elementary power value α, the second elementary power value β, and the conversion data γ by the authentication hash value generation means 44b. (Step S61) The comparative authentication data generating means 44c generates the comparative authentication data δ 'according to the above equation (3) (Step S62).
[0166]
[Comparative authentication step, decryption data generation step]
Then, the comparison authentication data δ ′ is compared with the decryption authentication data δ divided by the data dividing unit 44a (step S63). If the values of the comparison authentication data δ ′ and the decryption authentication data δ are equal (Yes), Conversion data γ, first power value α, second power value β, and decryption key Dm 鍵 = f_i(Id) From (｝ = 1, 2, 3, 4, 5, 6), the content m is decrypted by the above equation (4) (step S64). On the other hand, in step S63, when the values of the comparative authentication data δ ′ and the decrypted authentication data δ are not equal (No), the operation ends without decrypting the content m.
[0167]
As described above, in the content distribution system 1 (FIG. 1), since there is no information exchange other than the public information between the license server 20 and the content distribution server 30, there is no need for confidential communication or the like. Management cost can be reduced. Further, since the license server 20 generates the decryption key from the published information, there is no need to store (manage) the decryption key. Furthermore, since the content distribution server 30 can encrypt the content without depending on whether the decryption key is generated by the license server 20, the license server 20 and the content distribution server 30 operate independently. It becomes possible to do.
[0168]
Further, the encryption and decryption of content in the content distribution system 1 does not assume the existence of an ideal function (hash function) that cannot exist or the difficulty of solving a number theory problem as in the related art. Therefore, the risk of illegally decrypting the encrypted content can be reduced.
[0169]
【The invention's effect】
As described above, the encryption method, the device, the program, and the decryption method, the device, the program, the content distribution server, and the content decryption terminal according to the present invention have the following excellent effects.
[0170]
According to the first, second, fourth, or sixth aspect of the present invention, encryption is performed using identification information unique to digital data, an exponent selected on the encrypting side, and public information previously published. Therefore, there is no need to communicate secret information such as an encryption key with a device (server) that manages the right of digital data, such as a license server, and encryption can be performed independently.
[0171]
According to the fifth aspect of the present invention, since the decryption authentication data is added to the encrypted data, the decryption side can determine the validity of the encrypted data. As a result, security against tampering of the encrypted data can be enhanced.
[0172]
According to the third, seventh, or ninth aspect of the present invention, the encryption encrypted by the identification information unique to the digital data, the exponent selected on the encrypting side, and the public information published in advance. The decrypted data can be decrypted using the identification information and the decryption key. Further, since this decryption key is generated by a polynomial which is secret information used when generating public information, it is difficult to illegally decrypt the encrypted data. This makes it possible to construct a highly secure encryption / decryption system.
[0173]
According to the invention described in claim 8, by comparing the decryption authentication data included in the encrypted data with the comparative authentication data generated on the decryption side, whether the encrypted data is generated in a legitimate procedure Since it can be authenticated, security against tampering with the encrypted data can be enhanced.
[0174]
According to the tenth aspect of the present invention, the license server manages the right of the content because the encryption is performed using the identification information unique to the content, which is digital data, the index selected on the encrypting side, and the public information. There is no need to communicate secret information with the user, and encryption can be performed independently. As a result, security against unauthorized decryption and tampering of the encrypted content can be enhanced.
[0175]
According to the eleventh aspect of the present invention, the encrypted content encrypted by the identification information unique to the content, the exponent selected on the encrypting side, and the public information published in advance is converted into the identification information and the decryption key. And can be decoded using Further, since this decryption key is generated by a polynomial which is secret information used when generating public information, it is difficult to illegally decrypt the encrypted content. This makes it possible to construct a highly secure content distribution system.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a content distribution system according to an embodiment of the present invention.
FIG. 2 is a block diagram showing a configuration of a content distribution server according to the embodiment of the present invention.
FIG. 3 is a block diagram showing a configuration of an encryption device according to the embodiment of the present invention.
FIG. 4 is a block diagram showing a configuration of a user terminal (content decoding terminal) according to the embodiment of the present invention.
FIG. 5 is a block diagram showing a configuration of a decoding device according to the embodiment of the present invention.
FIG. 6 is a flowchart showing an operation of publishing public information by the license server according to the embodiment of the present invention.
FIG. 7 is a flowchart showing an operation of the content distribution server according to the embodiment of the present invention.
FIG. 8 is a flowchart showing an operation of the encryption device according to the embodiment of the present invention.
FIG. 9 is a flowchart showing an operation of the user terminal (content decoding terminal) according to the embodiment of the present invention.
FIG. 10 is a flowchart showing an operation of issuing license information by the license server according to the embodiment of the present invention.
FIG. 11 is a flowchart showing an operation of the decoding device according to the embodiment of the present invention.
FIG. 12 is a block diagram illustrating a configuration of a conventional content distribution system.
[Explanation of symbols]
1, 1B ... Content distribution system
3 ... Internet
10 Content server
20, 20B ... License server
30, 30B ... Content distribution server
31 Content receiving means
32 ...... Public information acquisition means
33: Index selection means
34 ... Encryption means (encryption device)
34a... Exponent value generation means
34b conversion data generating means
34c hash value generating means
34d: decryption authentication data generation means
34e Data combining means
35 ...... Encrypted content storage means
36 Content Delivery Acceptance Means
37 ...... Content transmission means
40, 40B... User terminal (content decoding terminal)
41 ...... Encrypted content acquisition means
42 License information acquisition means
43… User authentication means
44... Decoding means (decoding device)
44a Data dividing means
44b... Authentication hash value generating means
44c ...... Comparative authentication data generation means
44d: Comparison authentication means
44e... Decrypted data generation means
45 ... Content presentation means

Claims (11)

An encryption method for encrypting digital data based on public information published in advance,
The public information is a group that becomes a cyclic group by a specific order, the first element and the second element that are the elements of the group, and the first element and the second element, respectively, are coefficients of a predetermined polynomial. And a generated value generated by exponentiation by
Based on the published group, the first element, the second element, and the generated value, and identification information for identifying the digital data, calculate the digital data to generate encrypted data. An encryption method, characterized in that: A group (G) that is a cyclic group based on a specific order (q) and elements ₁ (g ₁ ) and 2 (g ₂ ) of the group (G) and a polynomial {F _i (λ): = { ^t _{j = 0} a _{i, j} λ ^j } (1 ≦ a _{i, j} ≦ q, i = 1, 2, 3, 4, 5, 6, 1 ≦ t Integer)

An encryption method for generating encrypted data (c) by encrypting digital data (m) based on public information consisting of a generated value (u _{i, j} ) generated by the above equation (1). hand,
From the public information, identification information (id) for identifying the digital data (m), and an exponent (r) that is a predetermined positive integer equal to or less than the order (q),

The first elementary power value (α), the second elementary power value (β), and the conversion data (γ ) And decryption authentication data (δ).
The first elementary power value (α), the second elementary power value (β), the converted data (γ), and the decryption authentication data (δ) generated in the data generation step are synthesized, and the encrypted data (c) and Data synthesizing step,
An encryption method comprising: An encrypted data (c) obtained by encrypting digital data (m) by the encryption method according to claim 2 is calculated from the polynomial based on identification information (id) for identifying the digital data (m). A decryption key {f _i (id)} (i = 1, 2, 3, 4, 5, 6)
From the identification information (id) and the first elementary power value (α), the second elementary power value (β) and the conversion data (γ) included in the encrypted data (c),

A comparison authentication data generation step of generating comparison authentication data (δ ′) by the above equation (3), where κ ′: = H (id, α, β, γ), and H is a hash function;
By comparing the comparison authentication data (δ ′) generated in the comparison authentication data generation step with the decryption authentication data (δ) included in the encrypted data (c), the encrypted data (c) is obtained. A comparative authentication step for authenticating whether or not it was generated by a legitimate procedure;
If it is determined in the comparison authentication step that the encrypted data (c) is generated by a valid procedure, the first elementary power value (α), the second elementary power value (β), and the conversion From the data (γ) and the decryption key {f _i (id)},

A decoded data generating step of generating the digital data (m) according to the equation (4);
A decoding method comprising: A group (G) that is a cyclic group based on a specific order (q) and elements ₁ (g ₁ ) and 2 (g ₂ ) of the group (G) and a polynomial {F _i (λ): = { ^t _{j = 0} a _{i, j} λ ^j } (1 ≦ a _{i, j} ≦ q, i = 1, 2, 3, 4, 5, 6, 1 ≦ t Integer)

An encryption device that generates encrypted data (c) by encrypting digital data (m) based on public information including a generated value (u _{i, j} ) generated according to the above equation (1). hand,
The first element (g ₁ ) and the second element (g ₂ ) are raised to a power by taking a predetermined positive integer less than or equal to the order (q) as an exponent (r). Power value generating means for generating a second element power value (β);
From identification information (id) for identifying the digital data (m), the index (r), and the generated value (u _{i, j} ),

Conversion data generation means for generating conversion data (γ) obtained by converting the digital data (m) according to the equation (5);
Data synthesizing means for synthesizing the first elementary power value (α), the second elementary power value (β), and the converted data (γ) to obtain the encrypted data (c);
An encryption device comprising: A hash value (κ) serving as information of a specific length is generated from the identification information (id), the first elementary power value (α), the second elementary power value (β), and the converted data (γ). Hash value generating means for performing
From the identification information (id), the exponent (r), the hash value (κ), and the generated value (u _{i, j} ),

Decryption authentication data generating means for generating decryption authentication data (δ) by the above equation (where κ: = H (id, α, β, γ), H is a hash function),
The data combining means combines the first elementary power value (α), the second elementary power value (β), the converted data (γ), and the decryption authentication data (δ) to obtain the encrypted data (c). The encryption device according to claim 4, wherein: A group (G) that is a cyclic group based on a specific order (q) and elements ₁ (g ₁ ) and 2 (g ₂ ) of the group (G) and a polynomial {F _i (λ): = { ^t _{j = 0} a _{i, j} λ ^j } (1 ≦ a _{i, j} ≦ q, i = 1, 2, 3, 4, 5, 6, 1 ≦ t Integer)

In order to generate encrypted data (c) obtained by encrypting digital data (m) based on public information including a generated value (u _{i, j} ) generated by the above equation (1), ,
The first element (g ₁ ) and the second element (g ₂ ) are raised to a power by taking a predetermined positive integer less than or equal to the order (q) as an exponent (r). Power value generating means for generating a second element power value (β);
From identification information (id) for identifying the digital data (m), the index (r), and the generated value (u _{i, j} ),

Conversion data generation means for generating conversion data (γ) obtained by converting the digital data (m) according to the expression (5);
Data synthesizing means for synthesizing the first elementary power value (α), the second elementary power value (β), and the converted data (γ) to obtain the encrypted data (c);
An encryption program characterized by functioning as: An encrypted data (c) obtained by encrypting digital data (m) by the encryption device according to claim 4 is calculated from the polynomial based on identification information (id) for identifying the digital data (m). And a decryption device that decrypts the decryption key {f _i (id)} (i = 1, 2, 3, 4, 5, 6, 6)
Data dividing means for dividing the encrypted data (c) into a first elementary power value (α), a second elementary power value (β), and converted data (γ);
The first way exponential value (alpha), from the second original exponential value (beta), the converted data (gamma) and the decryption key {f i _(id)},

Decoding data generation means for generating the digital data (m) according to the expression (4);
A decoding device comprising: An encrypted data (c) obtained by encrypting digital data (m) by the encryption device according to claim 5 is calculated from the polynomial based on identification information (id) for identifying the digital data (m). A decryption device that decrypts the decryption key {f _i (id)} (i = 1, 2, 3, 4, 5, 6, 6)
Data dividing means for dividing the encrypted data (c) into a first elementary power value (α), a second elementary power value (β), conversion data (γ), and decryption authentication data (δ);
Information of a specific length is obtained from the identification information (id), the first elementary power value (α), the second elementary power value (β), and the converted data (γ) divided by the data dividing means. An authentication hash value generating means for generating an authentication hash value (κ ′);
The first way exponential value (alpha), from the second original exponential value (beta), the authentication hash value (κ') and the decryption key {f i _(id)},

A comparative authentication data generating means for generating comparative authentication data (δ ') by the above equation (where κ': = H (id, α, β, γ), H is a hash function)
By comparing the comparison authentication data (δ ′) generated by the comparison authentication data generation means with the decryption authentication data (δ), it is determined whether the encrypted data (c) is generated by a valid procedure. A comparative authentication means for authenticating whether
Based on the determination result of the comparison the authentication means, from the first original exponential value (alpha), the second way exponential value (beta), the converted data (gamma) and the decryption key {f i _(id)},

Decoding data generation means for generating the digital data (m) according to the expression (4);
A decoding device comprising: An encrypted data (c) obtained by encrypting digital data (m) by the encryption program according to claim 6 is calculated from the polynomial based on identification information (id) for identifying the digital data (m). In order to decrypt with the decryption key {f _i (id)} (i = 1, 2, 3, 4, 5, 6)
Data dividing means for dividing the encrypted data (c) into a first elementary power value (α), a second elementary power value (β), and converted data (γ);
The first way exponential value (alpha), from the second original exponential value (beta), the converted data (gamma) and the decryption key {f i _(id)},

Decoding data generating means for generating the digital data (m) according to the expression (4);
A decryption program characterized by functioning as: A group (G) to be a cyclic group with a specific order (q) previously published by a license server that provides license information of content as digital data, and a first element which is an element of the group (G) (G ₁ ) and the second element (g ₂ ), and a polynomial {f _i (λ): = { ^t _{j = 0} a _{i, j} λ ^j } (1 ≦ a _i, an integer of _j ≦ q, i = 1 , 2, 3, 4, 5, 6, 1 ≦ t))

A content distribution server that generates and distributes an encrypted content, which is encrypted data obtained by encrypting the content, based on public information including a generated value (u _{i, j} ) generated by the expression (1). hand,
Public information acquisition means for acquiring the public information from the license server;
Exponent selecting means for selecting a positive integer less than or equal to the order as an exponent,
The encryption device according to claim 4 or 5, wherein the encryption device generates the encrypted content by encrypting the content based on the public information, the identification information for identifying the content, and the index.
Encrypted content storage means for storing encrypted content that is encrypted data generated by the encryption device;
Content transmitting means for reading the encrypted content requested from the terminal from the encrypted content storage means and transmitting the encrypted content to the terminal;
A content distribution server comprising: An encrypted content, wherein the content being digital data is encrypted data encrypted by the content distribution server according to claim 10, including identification information for identifying the content, and a decryption key obtained from a license server. A content decryption terminal that decrypts the content based on the license information,
Encrypted content acquisition means for acquiring the encrypted content from the content distribution server,
License information obtaining means for obtaining the license information from the license server;
The decryption device according to claim 7, wherein the encrypted content is decrypted into the content based on a decryption key included in the identification information and the license information.
A content decryption terminal comprising:

Images