CN101262339A - 加密装置、解密装置、密钥生成装置、版权保护系统和密码通信装置 - Google Patents

Abstract

一种加密装置、解密装置、密钥生成装置、版权保护系统和密码通信装置包括：存储CRL的CRL存储单元111；在解密装置200a所用的每个IC卡210a中存储特有装置密钥KD_A的装置密钥环存储单元112，存储内容密钥Kc，即用于解密内容的密钥Kc的内容密钥存储单元113；计算存储在CRL存储单元111中的CRL的哈希值的哈希函数处理单元114；对哈希值和存储在装置密钥环存储单元112中的装置密钥KD_A间执行异或运算的异或单元115；和使用异或单元115的输出值来加密存储在内容密钥存储单元113中的内容密钥Kc的加密单元116。

Description

加密装置、解密装置、密钥生成装置、版权保护系统和密码通信装置

本申请是申请日为2002年9月11日、申请号为02823585.1、发明名称为“加密装置、解密装置、密钥生成装置、版权保护系统和密码通信装置”的申请的分案申请。

技术领域

本发明涉及一种当经由记录介质或传输媒介传送数字产品时用于保护版权的加密装置和解密装置。更具体地，本发明涉及一种保护不受通过替换指定已注销公开密钥证书的证书注销列表(CRL)来实施攻击的保护技术。

技术背景

当数字产品从一个(第一)装置传送到另一个(第二)装置时，在传送之前，执行计算机认证以避免经授权而获得的版权受侵犯。第一计算机要认证第二计算机。换言之，第一计算机确定第二计算机是有资格传送的计算机。

例如，第一计算机向第二计算机发送一个随机数，然后第二计算机用自身的密钥(即数字签名)来加密该随机数并回复给第一计算机。最后，第一计算机使用第二计算机的公开密钥来验证回复的密文(或数字签名)。

但是，使用所述公开密钥加密的认证应当是基于该公开密钥自身没被注销的条件。

因此，近年来，一个称作“证书认证中心”(CA)的组织或公司发行“公开密钥证书”，用于证明公开密钥对于每个用户都是合格的密钥。在这些发行的公开密钥证书中，存在有用户的证书，该用户使用过期或偷窃的密钥或作非法事情。为了使这些证书无效(或通知其他的用户这些证书无效)，发行证书注销列表(以下称为“CRL”、“公开密钥证书注销列表”或“注销列表”)，该证书注销列表是用于指定已注销公开密钥证书的信息列表。

因此，当使用伙伴的公开密钥来认证通信伙伴时，从通信伙伴处得到公开密钥证书，在确认得到的公开密钥证书没被列在CRL中后，执行上述认证处理，以避免向未授权的通信伙伴传送有价值的数字产品。

存在有一些设备和系统(参见日本专利号3199119)，其中只参考公开密钥证书进行密钥验证，但是，当用户使用过期密钥或偷窃的密钥，或作非法的事情时，如上所述，该设备和系统不适用(cover)。

但是，对每台计算机来说，获取合格的CRL并且检验通信伙伴的公开密钥证书的有效性是不可能的。结果，会进行未授权的使用。

例如，一种装置，例如播放其上记录了数字作品(即，电影)的DVD(数字视频/通用盘)的DVD驱动装置经由DVD获取合格的CRL，并从DVD中读出最新的CRL，然后参考CRL认证通信伙伴计算机(执行集成播放处理电路或播放软件的计算机)。在读出CRL的过程中，有可能CRL被旧的CRL替换。

结果，尽管计算机在合格(最新)的CRL中被列为已注销的计算机，但是对该已注销计算机来说，有可能使用没被列在替换后的旧CRL中的已注销公开密钥来非法传送数字产品。

另外，当已经持有CRL的计算机获得一个新的CRL时，则必须比较这两个列表以判断哪个是最新的，然后只持有最新的一个，也就是说必须正确地检验应当持有哪些列表。

因此，鉴于上述的问题，本发明的第一个目的在于提供一种加密装置、解密装置、密钥生成装置、版权保护系统和密码通信装置，其可以防护由于替换CRL所实施的攻击，从而安全地传送数字产品。

本发明的第二个目的在于提供一种密码通信装置，其可以在获取新的CRL时正确地指定最新CRL，而且只持有最新CRL，取代旧的CRL。

发明内容

为了实现上述第一个目的，一种根据本发明的加密装置，即加密数字产品和将数字产品输出到记录介质或传输媒介的加密装置，包括一个数字产品存储单元，用于存储数字产品；第一密钥存储单元，用于存储用来加密数字产品的第一密钥；第二密钥存储单元，用于存储对应于解密已加密数字产品的解密装置的第二密钥；一个CRL存储单元，用于存储其为指定已注销公开密钥证书的信息列表的CRL；一个属性值计算单元，用于根据存储在CRL存储单元的CRL计算基于CRL细节的属性值；一个变换单元，用于使用在属性值计算单元中计算出的属性值来变换存储在第二密钥存储单元中的第二密钥；第一加密单元，用于使用由变换单元变换的第二密钥来加密存储在第一密钥存储单元中的第一密钥；第二加密单元，用于使用存储在第一密钥存储单元中的第一密钥来加密存储在数字产品存储单元中的数字产品；和一个输出单元，用于向记录介质或传输媒介输出存储在CRL存储单元中的CRL、第一加密单元加密的第一密钥和第二加密单元加密的数字产品。

结果，已加密数字产品、用于加密该数字产品的已加密第一密钥和CRL从加密装置输出。已加密的第一密钥不仅使用对应于解密装置的第二密钥，还使用其上已经反映CRL细节的第二密钥来加密。因此，当CRL被替换时，解密装置收到的CRL细节不同于解密装置自身持有的第二密钥所反映的列表，也就是说，第二密钥被变换。结果，收到已加密数字产品、已加密第一密钥和CRL的解密装置不能使用如此变换的第二密钥来将已加密第一密钥解密成原始的第一密钥。因此，解密装置不能正确解密已加密数字产品。结果，实现了数字产品的安全传输，具有防备通过替换CRL实施的攻击的功能。

另外，上述的加密装置还可以包括一个确认数据输出单元，用于输出确认数据，该确认数据是用于确认解密装置解密的第一密钥是否是正确密钥的标准。例如，确认数据输出单元将通过使用存储在第一密钥存储单元中的第一密钥加密预定固定格式数据而得到的数据，作为确认数据输出到记录介质或传输媒介，或者确认数据输出单元将通过使用存储在第一密钥存储单元中的第一密钥来加密第一密钥而得到的数据，作为确认数据输出到记录介质或传输媒介。

结果，接收从加密装置输出的已加密数字产品、已加密第一密钥和CRL的解密装置可以验证CRL是否被替换，也就是说，第一密钥是否被正确解密，从而避免进行使用错误的密钥解密数字产品的无用处理。

另外，一种加密装置，即加密数字产品和将数字产品输出到记录介质或传输媒介的加密装置，包括一个数字产品存储单元，用于存储数字产品；第一密钥存储单元，用于存储用来加密数字产品的第一密钥；第二密钥存储单元，用于存储对应于解密已加密数字产品的解密装置的第二密钥；一个CRL存储单元，用于存储其为指定已注销公开密钥证书的信息列表的CRL；第一加密单元，用于使用第二密钥存储单元中存储的第二密钥来加密存储在第一密钥存储单元中的第一密钥；一个属性值计算单元，用于根据存储在CRL存储单元的CRL计算基于CRL细节的属性值；一个变换单元，用于使用在属性值计算单元中计算的属性值来变换存储在第一密钥存储单元中的第一密钥；第二加密单元，用于使用由变换单元变换的第一密钥来加密存储在数字产品存储单元中的数字产品；和一个输出单元，用于向记录介质或传输媒介输出存储在CRL存储单元中的CRL、第一加密单元加密的第一密钥和第二加密单元加密的数字产品。

结果，从加密装置输出已加密数字产品、用于加密该数字产品的已加密第一密钥和CRL。已加密的数字产品不仅使用第一密钥，还使用其上已经反映CRL细节的第一密钥来加密。因此，当CRL被替换时，解密装置收到的CRL细节不同于解密装置自身持有的第一密钥所反映的列表，也就是说，第一密钥被变换。结果，收到已加密数字产品、已加密第一密钥和CRL的解密装置不能使用如此变换的第一密钥正确解密已加密数字产品。结果，实现了数字产品的安全传输，具有防备通过替换CRL实施的攻击的功能。

另外，如上所述，对于收到从加密装置输出的已加密数字产品、已加密第一密钥和CRL的解密装置，有可能通过从加密装置输出附加了其上已经反映第一密钥的CRL的确认数据的第一密钥，可以验证CRL是否被替换，即用于加密数字产品的密钥是否被正确解密，从而避免使用错误的密钥解密数字产品的无用处理。

为了实现上述的第二个目的，根据本发明的密码通信系统，即使用伙伴装置的公开密钥建立与伙伴装置的密码通信的密码通信装置，包括一个存储单元，用于存储其为指定已注销公开密钥证书的信息列表的CRL；一个获取单元，用于获取新的CRL，一个储存单元，用于比较已获得CRL与存储在存储单元中的CRL的长度，当已获得CRL的长度更长时，将已获得CRL存储在存储单元中并更新；一个通信单元，用于参考存储在存储单元中的CRL来判断伙伴装置的密钥有效性，当公开密钥未被注销时，使用该公开密钥建立与伙伴装置的密码通信。

储存单元的上述功能也可以改变，即比较列在已获得CRL上的证书号与列在上述存储单元所存储的CRL上的证书号，当列在已获得CRL上的证书号大时，将它存储在存储单元中并更新。

结果，因为列在CRL上的公开密钥证书号随着时间流逝而增加，所以密码通信装置可以总是持有长度长(或注册号大)，即最新列表的CRL。

如上所述，本发明实现了数字产品的安全传输，从而防止了替换CRL的攻击。在经由近年来比较活跃的例如互联网的传输线路或例如DVD的记录介质来递送/发行数字产品方面，本发明的实用价值就非常高。

本发明可以实现作为与上述加密装置或密钥生成装置对应的解密装置；实现作为包括加密装置和解密装置的版权保护系统；实现作为具有加密装置所包括的特征单元步骤的加密方法、解密方法或密码通信方法；或实现作为使计算机执行上述步骤的程序。另外，不用说，根据本发明的程序可以经由例如DVD的记录介质或例如互联网的传输媒介来投入市场。

附图说明

从下面结合附图的描述中本发明的这些和其它目的、优点和特征将变得显而易见，这些附图说明了本发明的具体实施例。在附图中：

图1是表示根据第一实施例的记录版权介质保护系统1a的整体结构的功能方框图；

图2示出了一个CRL构造例子的图；

图3示出了一个版权保护许可方(licenor)的公开密钥证书的构造例子的图；

图4示出了一个播放器制造商的公开密钥证书的构造例子的图；

图5示出了在解密装置200a的IC卡210a和解扰器260之间执行的处理序列的图；

图6示出了根据第二实施例的记录版权介质保护系统1b的整体结构的功能方框图；

图7示出了根据第三实施例的记录版权介质保护系统1c的整体结构的功能方框图；

图8示出了根据第四实施例的记录版权介质保护系统1d的整体结构的功能方框图；

图9示出了根据第五实施例的记录版权介质保护系统1e的整体结构的功能方框图；

图10示出了根据第六实施例的记录版权介质保护系统的整体结构的功能方框图；

图11A示出了图10中最新版检测处理单元2391执行的验证处理的流程图；

图11B示出了最新版列表读出处理的流程图；

图12是HD-DVD播放器的外视图，其中应用了根据本发明第一和第二实施例的记录介质的解密装置200a到200f；

图13示出了根据第七实施例的记录版权介质保护系统1g的整体结构的功能方框图；

图14示出了根据第八实施例的记录版权介质保护系统1h的整体结构的功能方框图；

图15示出了根据第九实施例的记录版权介质保护系统1i的整体结构的功能方框图；

图16示出了一个其中包括LSI的版权保护模块的例子的图；

图17示出了经由小规模家庭LAN建立内容的密码通信的版权保护系统的整体结构方框图；

图18示出了图17的AV服务器100j和等离子TV 200k的结构方框图。

实施例的最佳方式

下面是参照附图对根据本发明实施例的版权保护系统的说明。

(第一实施例)

图1示出了根据本发明第一实施例的记录介质版权保护系统的整体结构的功能方框图。

记录介质版权保护系统1a是在作为记录介质的DVD 2a上记录已加密内容，或从DVD 2a读出已加密内容并解密的系统。该系统包括在DVD 2a上存储已加密内容的加密装置100a；从DVD 2a读出已加密内容并解密的解密装置200a；和发行CRL的证书认证中心(CA)所使用的终端装置300等。

加密装置100a包括两个终端装置，终端装置110a由版权保护许可方使用，终端装置160由内容制造商使用。

解密装置200a例如是能够再现图像级为HD(1125i/750p)的内容的HD-DVD播放器，包括版权保护许可方提供的IC卡210a；播放器制造商使用的解扰器260；和从DVD 2a读出已加密内容的DVD-ROM驱动器(图中未示出)。

版权保护许可方使用的终端装置110a是向解密装置200a提供版权保护信息，即提供CRL、用于解密内容的内容密钥、和已加密内容密钥环的计算机装置。它包括CRL存储单元111、装置密钥环存储单元112、内容密钥存储单元113、哈希函数处理单元114、异或(Ex-OR)单元115和加密单元116。

CRL存储单元111经由通信网，即互联网等定期访问终端装置300，并更新/存储证书认证中心(CA)提供的最新CRL。如图2所示，CRL包括“文件头”字段、“通用”字段和“已注销列表”字段。在“文件头”区内，包括有文件“名”是○△□△.cr1，文件大小79KB，文件“类型”是已注销证书列表和文件“更新”是2001/09/07/12:34。在“通用”字段区内，包括有“版本”V1、“出版商”是○△□△、“有效期开始日”是2001/09/06、“下一次更新到期日”是2001/09/16、和“签名算法”是md5RSA。另外，在“已注销列表”区内，以文本形式描述了已注销证书的“序列号”和“注销日”的记录。因为CRL随时间而单调递增，由于已注销证书序列号单调递增，CRL越新，实体(CRL的登记单位)数越多。它具有文件大小单调递增的特性。

装置密钥环存储单元112预先存储版权保护许可方提供的每个IC卡210a所专用的装置密钥环KD_A(即128比特)。

内容密钥存储单元113存储用于加密预定内容，例如音乐或电影的内容密钥Kc(即128比特)。

哈希函数处理单元114是处理单元，它压缩存储在CRL存储单元111中的可变长度的CRL数据，根据哈希函数将其转换成固定长度(即，128比特)数据(哈希值Hash)。例如它根据SHA-1(安全哈希算法-1)或MD5转换。

在异或单元115中，对哈希函数处理单元114计算出的哈希值Hash和存储在装置密钥环存储单元112中的每个装置密钥KD_A执行异或运算(使用该哈希值变换每个装置密钥KD_A)。

加密单元116向异或单元115输出存储在内容密钥存储单元113中的内容密钥，也就是说，使用哈希值Hash和每个装置密钥KD_A之间的异或值来加密并生成加密内容密钥环。

另外，终端装置110a中的哈希函数处理单元114和异或单元115使用存储在CRL存储单元111中的CRL来变换装置密钥KD_A。这是因为通过使用已变换的装置密钥KD_A加密内容密钥Kc，它能够确定从加密单元116输出的已加密内容密钥和CRL之间的关系。通过这样做，将会破坏在随后描述的解密装置200a解密处理时通过替换CRL实施的攻击。

内容制造商所用的终端装置160是将从终端装置110a传送的CRL或已加密内容密钥环记录到DVD 2a的写入装置。终端装置160包括内容存储单元161和加密单元162。

内容存储单元161存储预定内容，例如音乐或电影内容。

加密单元162使用从终端装置110a传送的内容密钥Kc来加密存储在内容存储单元161中的内容，并生成已加密内容。

如上所述，当在包括两个终端装置110a和160的加密装置100a中制造DVD 2a时，终端装置110a从CRL存储单元111读出CRL。读出的CRL被传送到哈希函数处理单元114和终端装置160。哈希函数处理单元114计算CRL的哈希值Hash，并将它传送到异或单元115。异或单元115从装置密钥环存储单元112逐一读出装置密钥KD_A、内容密钥Kc等，并一个接一个地计算与哈希值Hash的异或，然后将每个异或值输出到加密单元116。终端装置110a从内容密钥存储单元113读出内容密钥Kc，并将它传送到加密单元116和终端装置160。加密单元116使用从异或单元115输出的每个异或值来加密传送的内容密钥Kc。更具体地，加密单元116使用装置密钥KD_A的每个值和哈希值Hash间的异或值来加密内容密钥Kc。结果加密单元116生成多个已加密的内容密钥，并将它们捆绑成一束传送到终端装置160。

终端装置160将终端装置110a传送来的CRL和已加密内容密钥环写入到DVD 2a。然后将加密单元162生成的已加密内容写入DVD2a。如此生成的DVD 2a卖给用户，该DVD 2a具有已加密内容，该加密内容还捆绑有已加密内容密钥和最新CRL。

另一方面，解密这种DVD 2a的解密装置200a的IC卡210a包括一个用于防止计算机程序被蓄意改变和通过排除列在CRL上的非法解扰器来保护版权的模块(TRM：防止篡改模块)。换言之，IC卡210a包括一个内容密钥解密单元220a，用于根据DVD 2a所捆绑的CRL获得用于解密已加密内容的密钥；和一个认证处理单元230a，用于检验通信伙伴(解扰器260)是否已被注销，并且同时，在解扰器260之间设置双向认证形式的SAC(安全认证信道)。

认证处理单元230a包括证书认证中心(CA)公开密钥存储单元231、IC卡密钥存储单元232、IC卡(版权许可方)公开密钥证书存储单元233、随机数生成单元234、CRL检验单元235、椭圆曲线密码编码学(ECC)处理单元236、认证单元237、和缓冲存储器238。

证书认证中心(CA)公开密钥存储单元231预先存储用于解密证书认证中心(CA)的数字签名的认证中心(CA)公开密钥PK_CA。

IC卡密钥存储单元232预先存储IC卡所专用的IC卡密钥，该密钥用于解密版权保护许可方预先提供的IC卡210a的数字签名。

IC卡公开密钥证书存储单元233存储IC卡公开密钥证书Cert_A，其是证书认证中心(CA)证明公开密钥PK_A确实属于IC卡210a的文件。如图3所示，IC卡公开密钥证书Cert_A包括它的IC卡210a(版权保护许可方)ID、用于IC卡密钥的IC卡公开密钥SK_A、用于IC卡公开密钥的CA签名PK_A、(证书)到期日。

随机数生成单元234生成一个随机数(即，128比特)作为时间调制值。

CRL检验单元235检验CRL是否包括伙伴(解扰器260)的ID。

椭圆曲线密码编码学(ECC)处理单元236在建立SAC认证时根据椭圆曲线执行加密处理(即，256比特处理单元)。

认证单元237是经由SAC与解扰器260通信的通信接口。

缓冲存储器238持有临时数据，例如随机数生成单元234产生的随机数或椭圆曲线密码编码学(ECC)处理单元236生成的数据。

内容密钥解密单元220包括装置密钥存储单元221、哈希函数处理单元222、异或单元223、和解密处理单元224。

装置密钥存储单元221将特有的装置密钥KD_A(其为密钥，即AES128比特密钥)存入IC卡210a。

哈希函数处理单元222与终端装置110a的哈希函数处理单元114的结构相同，并计算捆绑到DVD 2a的CRL的哈希值Hash(即，128比特)。

异或单元223计算在哈希函数处理单元222计算出的哈希值Hash和存储在装置密钥存储单元221中的每个装置密钥KD_A间的异或(使用哈希值来变换每个装置密钥KD_A)。

解密处理单元224通过使用装置密钥KD_A和哈希值Hash间的异或值来解密存储在捆绑到DVD 2a的已加密内容密钥环中的预定位置中的自身已加密内容密钥，从而生成内容密钥Kc。

解扰器260与IC卡210a的结构相同，配置有用于防止计算机程序非法篡改的模块，它包括认证处理单元270，用于使用CRL来检验通信伙伴(IC卡210a)是否已被注销，和用于在IC卡210a之间设置双向认证形式的SAC；和解密处理单元280，用于使用从IC卡210a传送的内容密钥来解密从DVD 2a读出的已加密内容，和用于获取内容。

认证处理单元270包括证书认证中心(CA)公开密钥存储单元271、解扰器密钥存储单元272、解扰器(播放器制造商)公开密钥证书存储单元273、随机数生成单元274、CRL检验单元275、椭圆曲线密码编码学(ECC)处理单元276和缓冲存储器278。

证书认证中心(CA)公开密钥存储单元271预先存储用于解密证书认证中心(CA)的数字签名的认证中心公开密钥PK_CA。

解扰器密钥的存储单元272由HD-DVD播放器200的制造商提供，并存储解扰器所特有的密钥SK_i，该密钥用于解扰器260a的自身签名。

解扰器公开密钥证书存储单元273存储解扰器公开密钥证书Cert_i，它是证书认证中心(CA)证明公开密钥PK_i确实属于播放器制造商的文件。如图4所示，解扰器证书Cert_i包括解扰器260(播放器制造商)ID(证书序列号)、用于解扰器密钥SK_i的解扰器公开密钥PK_i、用于解扰器密钥PK_i的证书认证中心(CA)数字签名和(证书)到期日。

随机数生成单元274生成一个随机数(即，128比特)作为时间调制。

CRL检验单元275检验伙伴(IC卡210a)的ID号是否包括在CRL中。

椭圆曲线密码编码学(ECC)处理单元276在建立SAC认证时根据椭圆曲线执行加密处理(即，256比特处理单元)。

认证单元277是经由SAC与IC卡210a通信的通信接口。

缓冲存储器278持有临时数据，例如随机数生成单元234生成的随机数或椭圆曲线密码编码学(ECC)处理单元276生成的数据。

现在参见图5，它说明了IC卡210a和解扰器260之间的SAC设置，和记录在DVD 2a上的已加密内容的解密序列。图5示出了在解密装置200a中的IC卡210a和解扰器260之间执行的处理序列图。

当用户指示播放DVD 2a的内容时，解扰器260的随机数生成单元274生成第一随机数y(即，128比特)，并将它存入缓冲存储器278(S1)。解扰器260的认证单元277读出存储在缓冲存储器278中的第一随机数y和存储在解扰器公开密钥证书存储单元273中的解扰器公开密钥证书Cert_i，然后将它们发送到IC卡210a(S2)。

IC卡210a中的认证单元237将从解扰器260收到的第一随机数y和解扰器公开密钥证书Cert_i存入缓冲存储器238。CRL检验单元235根据从HD-DVD播放器200a传送的CRL检验解扰器260是否已被注销(S3)。更具体地，根据这样一种事实来执行检验，即解扰器260的ID是否列在CRL上。当解扰器260没被注销时，认证单元237使用证书认证中心(CA)公开密钥PK_CA来验证公开密钥证书Cert_i(S4)。更具体地，使用证书认证中心(CA)公开密钥PK_CA来解密包含在解扰器公开密钥证书Cert_i中的公开密钥认证中心数字签名，并验证解扰器公开密钥证书Cert_i是否确实属于解扰器260。在验证以后，随机数生成单元234生成第一随机数x(即，128比特)，并将它存入缓冲存储器238(S5)。认证单元237读出存储在缓冲存储器238中的第一随机数x，和存储在IC卡公开密钥证书的存储单元233中的IC卡公开密钥证书Cert_A，并将它们发送到解扰器260(S6)。

在解扰器260中，在将从IC卡210a接收的第一随机数x和IC卡公开密钥证书Cert_A存入缓冲存储器278以后，CRL检验单元275根据从HD-DVD播放器200a传送的CRL检验IC卡210a是否已被注销(S7)。换言之，通过判断IC卡210a的ID是否列在CRL来进行检验。当没被注销时，认证单元277使用证书认证中心(CA)公开密钥PK_CA来验证IC卡公开密钥证书Cert_A(S8)。换言之，认证单元277解密包含在IC卡公开密钥证书Cert_A中的公开密钥认证中心数字签名，和验证IC卡公开密钥证书Cert_A是否确实属于IC卡210a。在验证以后，随机数生成单元274生成第二随机数y’(即，128比特)，并将它存入缓冲存储器278(S9)。椭圆曲线密码编码学(ECC)处理单元276将第二个随机数y’乘以椭圆曲线上的基点G(常数)，因此，生成y’G。然后将y’G存入缓冲存储器278(S10)。接下来，认证单元277生成对应于乘积y’G的数字签名S1:＝Sig(SK_i，y’G||x)，并将该数字签名S1存入缓冲存储器278(S11)。该数字签名是通过将密钥SK_i签进乘积y’G和第一随机数x的比特连接中生成，符号“||”代表比特连接，即，表示y’G和第一随机数x在数字方面(digit direction)连接，以得到256比特(即，y’G是高128比特，而随机数x是低128比特)。在完成数字签名S1的存储以后，认证单元277向IC卡210a发送乘积y’G和对应于乘积y’G的数字签名S1(S12)。

IC卡210a中的认证单元237将y’G和对应于y’G的数字签名S1存入缓冲存储器238，之后，使用从解扰器公开密钥证书Cert_i获得的解扰器公开密钥PK_i来验证数字签名S1是否是对应于y’G||x的解扰器260的数字签名(S13)。换言之，通过使用解扰器公开密钥PK_i来解密数字签名S1来进行验证，并且分开y’G和随机数x的比特连接。这能够确认通信伙伴(解扰器260)不是非法伙伴。

在上述的验证以后，IC卡210a中的随机数生成单元234生成第二随机数x’，并将它存入缓冲存储器238(S14)。椭圆曲线密码编码学(ECC)处理单元236将第二随机数x’乘以椭圆曲线上的基点G(常数)，由此生成x’G。然后，将x’G存入缓冲存储器238(S15)。接下来，认证单元237生成对应于乘积x’G的数字签名S0:＝Sig(SK_A，x’G||y)，并将该数字签名S0存入缓冲存储器238(S16)。该数字签名是通过将密钥SK_A签进乘积x’G和第一随机数y的比特连接中来生成的，在存储数字签名以后，认证单元237向解扰器260发送乘积x’G和数字签名S0(S17)。

解扰器260中的认证单元277将从IC卡210a收到的乘积x’G和数字签名S0存入缓冲存储器缓冲存储器278。之后，认证单元277使用从解扰器公开密钥证书Cert_A获得的解扰器公开密钥PK_A来验证数字签名S0是否是对应于x’G||y的解扰器260的数字签名(S18)。换言之，通过使用解扰器公开密钥PK_i解密数字签名S1来进行验证，并且分开y’G和随机数x的比特连接。这能够确认通信伙伴(解扰器260)不是非法伙伴。

在解扰器中的认证单元277验证为IC卡210a未被注销也没有被窃听以后，将在自己这端生成的、存储在缓冲存储器278中的第二随机数y’(即，128比特)乘以从通信伙伴获得的乘积x’G来计算K’＝y’(x’G)，并将结果K’作为会话密钥(session key)存入缓冲存储器278(S19)。

另一方面，在IC卡210a中的认证单元237验证为解扰器260未被注销也没有被窃听以后，将在自己这端生成的、存储在缓冲存储器238中的第二随机数x’(即，128比特)乘以从通信伙伴获得的乘积y’G来计算K’＝x’(y’G)，并将结果K作为会话密钥存入缓冲存储器238(S20)。

结果，IC卡210a和解扰器260可以持有相同值的密钥K(＝K’)，随后，它们可以将K(＝K’)作为会话密钥使用来建立密码通信(S21)。

在生成会话密钥K以后，IC卡210a中的内容密钥解密单元220a执行内容密钥解密处理。在这个处理中，哈希函数处理单元222首先计算从HD-DVD播放器200a传送来的CRL的哈希值Hash(S22)。接下来，异或单元223执行存储在证书认证中心(CA)公开密钥存储单元231中的IC卡210a自身的装置密钥KD_A与哈希值Hash间的异或(S23)。解密处理单元224利用得到的异或值解密已加密内容密钥，获得内容密钥Kc(S24)，并将内容密钥Kc传送到认证单元237，然后结束内容密钥解密处理。在给出内容密钥Kc以后，认证单元237使用会话密钥K将其加密(S25)，并将它经由SAC发送到解扰器260(S26)。这能够防止内容密钥Kc被窃听。

解扰器260中的认证单元277使用会话密钥K’来解密从IC卡210a收到的已加密内容密钥，获得内容密钥Kc(S27)，并将内容密钥Kc传送到解密处理单元280。解扰器260使用从认证单元277收到的内容密钥Kc来解密已加密内容，并获得内容(S28)。这使能内容能够在版权保护的情况下被解密。

另外，可以用HD-DVD播放器200a替换IC卡210a和解扰器260，以及用密钥没被注销的CRL替换捆绑到DVD 2a的CRL。在这种情况下，与上述情况相同地设置SAC，并使用会话密钥来继续密码通信步骤(S21)。

在第一个实施例中，CRL和使用与CRL的哈希值Hash有关的信息加密的已加密内容密钥环被捆绑到DVD 2a。为此，当CRL被替换时，已替换CRL的哈希值Hash与捆绑到DVD 2a的CRL的哈希值Hash不匹配。结果，利用已替换CRL的哈希值Hash解密已加密内容不可能得到合格的内容密钥Kc。为了获得解密已加密内容的合格的内容密钥Kc，必须传送捆绑到DVD 2a的CRL作为回复。

因此，通过排除解密装置200a执行非法操作，例如替换CRL，可以加强版权保护。

(第二实施例)

图6是根据第二实施例的记录介质版权保护系统1b的结构外视图。因为与第一个实施例的记录介质版权保护系统1a的组成部件对应的记录介质版权保护系统1b的组成部件的附图标记相同，所以除了与记录介质版权保护系统1a不同的部分外，省略其说明。

在根据第一实施例的加密装置100a的终端装置110a中，异或单元115执行从哈希函数处理单元114输出的CRL哈希值Hash和每个装置密钥间的异或运算。加密单元116使用该异或值来加密内容密钥Kc，并生成已加密内容密钥环。另一方面，根据本发明第二实施例的加密装置100b中的终端装置110b，加密单元117只使用存储在装置密钥环存储单元112中的每个装置密钥来加密内容密钥Kc，并生成一个只使用每个装置密钥来加密的已加密内容密钥环。

根据第一实施例的加密装置100a中的终端装置110a将内容密钥Kc没有任何改变地传送到终端装置160。因此，终端装置160使用内容密钥Kc来加密内容，并生成已加密内容。另一方面，根据本发明第二实施例的加密装置100b中的终端装置110b，在异或单元118中执行从哈希函数处理单元114输出的CRL哈希值Hash和内容密钥Kc间的异或运算，并将它传送到终端装置160。结果，终端装置160接收该异或值、使用该异或值来加密内容，并在加密单元162生成已加密内容。

因此，没有与捆绑到DVD 2b的每个已加密内容密钥有关的哈希值Hash，但是已加密内容与哈希值Hash有关。这与DVD 2a的情况相反。

根据第一实施例的解密装置200a的内容密钥解密单元220a在异或单元223中计算存储在装置密钥存储单元221中的自身装置密钥KD_A和CRL的哈希值Hash间的异或。解密处理单元224使用该异或值来解密与哈希值Hash有关的已加密内容，并得到内容密钥Kc。

另一方面，因为哈希值Hash与捆绑到DVD 2b的已加密内容密钥无关，根据第二实施例的解密装置200b的内容密钥解密单元220b在解密处理单元225中只使用存储在装置密钥存储单元221中的自身装置密钥来解密已加密内容密钥，并获得内容密钥Kc。自捆绑到DVD2b的已加密内容与哈希值Hash有关后，异或单元226执行从解密处理单元225得到的内容密钥Kc和在哈希函数处理单元222计算出的CRL哈希值Hash间的异或运算，并将得到的异或值传送到认证处理单元230a中的认证单元237。

内容密钥Kc和哈希值Hash间的异或值经由SAC和解扰器260中的认证单元277从认证单元237传送到解密处理单元280。解密处理单元280通过使用内容密钥和哈希值Hash间的异或值来解密与记录在DVD 2b的哈希值Hash有关的已加密内容，从而获得内容。

因此，在根据第二实施例的记录介质版权保护系统1b中，必须传送捆绑到DVD 2a的CRL，以获得用于解密内容的密钥。结果，通过排除解密装置200b执行非法操作，例如替换CRL，可以加强版权保护。

(第三实施例)

图7是根据第三实施例的记录介质版权保护系统1c的整体结构的功能方框图。在本图中，对应于第一个实施例的记录介质版权保护系统1a的功能部分没有示出，只示出了记录介质版权保护系统1c所特有的部分。

根据第一实施例的解密装置200c的IC卡210a只是简单地向解扰器260b传送得到的内容密钥Kc。这样，IC卡210a自己不可能知道得到的密钥是否是可以解密已加密内容的合格密钥。因此，希望在将得到的内容密钥Kc传送到解扰器260b之前就预先检验解扰器260是否具有正确值。

因此，根据第三实施例的记录介质版权保护系统1c是具有密钥检验功能的系统。加密装置100c的版权保护许可方所用的终端装置110c除了终端装置110a的组成部件以外还具有固定格式存储单元119。固定格式存储单元119预先存储使用内容密钥Kc加密的预定固定格式明文(即，用十六进制表示的固定格式明文“0123456789ABCDEF”)。存储在固定格式存储单元119中的该固定格式经由终端装置160捆绑到DVD 2c。

在解密装置200c的IC卡210c中设置的内容密钥解密单元220c除了内容密钥解密单元220a的组成部件以外，还包括解密处理单元227和内容解密密钥检验单元228。解密处理单元227使用解密处理单元224解密的内容密钥Kc来解密捆绑到DVD 2a的固定格式明文的加密数据。内容解密密钥检验单元228预先持有上述的固定格式明文“0123456789ABCDEF”，并通过检验预先持有的固定格式明文和解密处理单元227所解密的固定格式明文是否相同来检验解密密钥Kc是否具有正确值。

根据记录介质版权保护系统1c，可以预先检验IC卡210c中的内容密钥Kc是否具有正确值。并可以避免在解扰器260中使用错误的内容密钥Kc来执行解密处理。

在根据第三实施例的记录介质版权保护系统1c中，尽管已经对根据第一实施例的记录介质版权保护系统1a应用了密钥检验功能，但是密钥检验功能也可以应用于根据第二实施例的记录介质版权保护系统1b。

在这种情况下，因为要使用内容密钥Kc和CRL的哈希值Hash间的异或值来加密内容，所以固定格式存储单元119预先将使用内容密钥Kc和CRL的哈希值Hash间的异或值加密的固定格式明文“0123456789ABCDEF”，作为固定格式存储，并记录到DVD 2c上。

内容密钥解密单元220c中的解密处理单元227输出解密处理单元224即输出异或单元226(参见图6)来替代内容密钥Kc，即使用内容密钥Kc和CRL的哈希值Hash间的异或值来解密DVD 2a所捆绑的规定格式明文的加密数据。通过检验预先持有的固定格式明文“0123456789ABCDEF”和解密处理单元227解密的固定格式明文是否相同，内容解密密钥检验单元228能够检验用于解密已加密内容的密钥是否是合格密钥，换言之，内容密钥Kc和CRL的哈希值Hash间的异或值是否具有正确值。

(第四实施例)

图8是根据第四实施例的记录介质版权保护系统1d的整体结构的功能方框图。在本图中，对应于第一实施例的记录介质版权保护系统1a的功能部分也没有示出，只示出了记录介质版权保护系统1d所特有的部分。

根据第四实施例的记录介质版权保护系统1d是具有与记录介质版权保护系统1c相同密钥检验功能的系统。加密装置100d的终端装置110d除了终端装置110a的组成部件以外，还包括加密单元131。加密单元131生成使用从内容密钥存储单元113读出的内容密钥Kc加密的内容密钥参考数据。该内容密钥参考数据捆绑到DVD 2d。

另一方面，在解密装置200d中的IC卡210d的内容密钥解密单元220d除了内容密钥解密单元220a的组成部件以外，还包括加密单元241和内容密钥检验单元242。加密单元241与终端装置110d的加密单元131的结构相同，使用内容密钥Kc来加密解密处理单元224解密的内容密钥，并生成内容密钥参考数据。内容密钥检验单元242将加密单元241中生成的内容密钥参考数据与DVD 2d所捆绑的内容密钥参考数据匹配，通过检验解密处理单元224所解密的内容密钥Kc是否是合格密钥，即该密钥可否用于解密已加密内容，来检验这两个数据是否相同。

如上所述，根据记录介质版权保护系统1d，与记录介质版权保护系统1c相同，可以检验IC卡210d中的内容密钥Kc是否具有正确值。可以避免在解扰器260中使用错误的内容密钥Kc来执行解密处理。

在根据第四实施例的记录介质版权保护系统1d中，尽管密钥检验功能应用于根据第一实施例的记录介质版权保护系统1a，但密钥检验功能还可应用于根据第二实施例的记录介质版权保护系统1b。

在这种情况下，因为要使用内容密钥Kc和CRL的哈希值Hash之间的异或值来加密内容，加密单元131输出内容密钥存储单元113，即输出异或单元118来替代内容密钥Kc，即使用内容密钥Kc和CRL的哈希值Hash间的异或值来解密捆绑到DVD 2a的固定格式明文的加密数据，并将它作为内容密钥参考数据记录到DVD 2c。

另一方面，内容密钥解密单元220c中的加密单元241输出解密处理单元224即输出异或单元226(参见图6)来替代内容密钥Kc，即使用异或值来加密内容密钥Kc和哈希值Hash之间的异或值。通过比较加密单元241生成的内容密钥参考数据和捆绑到DVD 2d的内容密钥参考数据，内容密钥检验单元242检验异或单元226所生成的密钥是否是用于解密已加密内容的合格密钥。

(第五实施例)

图9是根据第五实施例的记录介质版权保护系统1e的整体结构的功能方框图。在本图中，对应于第一个实施例的记录介质版权保护系统1a的功能部分也没有示出，只示出了记录介质版权保护系统1e所特有的部分。

根据第五实施例的记录介质版权保护系统1e是具有与记录介质版权保护系统1c和1d相同密钥检验功能的系统，它的组成部件与根据第四实施例的加密装置100d相同。加密单元131生成的内容密钥参考数据被捆绑到DVD 2d。

在解密装置200e中IC卡210e中设置的内容密钥解密单元220e除了内容密钥解密单元220a的组成部件以外，还包括解密处理单元243和内容密钥检验单元244。解密处理单元243在上述的加密单元131中加密，并使用解密处理单元224解密的内容密钥Kc解密捆绑到DVD 2d的内容密钥参考数据。内容密钥检验单元244将在解密处理单元224解密的内容密钥Kc与在解密处理单元243解密的内容密钥Kc匹配，并通过检验解密处理单元224所解密的内容密钥Kc是否是合格密钥，即该密钥可否用于解密已加密内容，来检验这两个数据是否相同。

如上所述，根据记录介质版权保护系统1e，与记录介质版权保护系统1c和1d相同，可以检验IC卡210d中的内容密钥Kc是否具有正确值。可以避免在解扰器260中使用错误的内容密钥Kc来执行解密处理。

在根据第五实施例的记录介质版权保护系统1e中，尽管密钥检验功能应用于根据第一实施例的记录介质版权保护系统1a，密钥检验功能还可应用于根据第二实施例的记录介质版权保护系统1b。

在这种情况下，因为要使用内容密钥Kc和CRL的哈希值Hash间的异或值来加密内容，这与第四实施例相同，加密单元131输出内容密钥存储单元113，即输出异或单元118来替代内容密钥Kc，即使用内容密钥Kc和哈希值Hash的异或值来解密捆绑到DVD 2a的固定格式明文的加密数据，并将它作为内容密钥参考数据记录到DVD 2c。

另一方面，内容密钥解密单元220e中的解密处理单元243输出解密处理单元224即输出异或单元226(参见图6)来替代内容密钥Kc，即使用内容密钥Kc和哈希值Hash间的异或值来解密。内容密钥检验单元244检验异或单元226所生成的密钥是否是用于解密已加密内容的合格密钥，即比较内容密钥Kc和哈希值Hash间的异或值与解密处理单元243所解密的密钥，并检验这两个值是否匹配。

(第六实施例)

图10是根据第六实施例的记录介质版权保护系统的整体结构的功能方框图。如上所述，在记录介质版权保护系统1a到1e中，CRL检验单元235检验DVD所捆绑的CRL并判断通信伙伴(解扰器260)是否被注销。但是，根据这种检验，如果制造DVD的时间在前，即捆绑到DVD的CRL是旧的，那么当在更新CRL后注销通信伙伴(解扰器260)的公开密钥证书时，就不可能注销解扰器260。为此，必须使用最新CRL来判断通信伙伴(解扰器260)是否被注销。

因此，根据第六实施例的记录介质版权保护系统1f除了在解密装置200f中IC卡210f中的认证处理单元230b中的认证处理单元230a的组件以外，还具有最新版CRL存储处理单元239。

最新版CRL存储处理单元239是一个用于存储从其接收的CRL中提取的最新版CRL，并将其保持在解密装置200f中的处理单元。该处理单元包括最新版检测处理单元2391、最新版检测信息存储单元2392和存储单元2393。

最新版检测处理单元2391每收到DVD 2a所捆绑的CRL都验证该CRL是否最新。

最新版检测信息存储单元2392存储解密装置200f所持有的CRL的最新版检测信息(即，列表的文件大小)。

存储单元2393存储解密装置200f所持有的CRL的哈希值Hash(即，128比特)。其原因在于，当更大的CRL存入IC卡210f内时，IC卡210f的成本效率会变高。也就是说，在本实施例中，最新版CRL存储单元250安装在IC卡210f外(和解密装置200f内)，并存储最新版CRL，从而只将列表中的哈希值Hash存入IC卡210f内的存储单元2393。当CRL检验单元235检验通信伙伴是否是已注销装置时，从IC卡210f读出最新版CRL，并使用哈希值Hash来检验它。

更具体地，当收到DVD 2a所捆绑的新的CRL时，最新版检测处理单元2391执行CRL是否是最新版的验证，即图11A的流程图所示的持有(或不持有)CRL的中间处理。

也就是说，最新版检测处理单元2391比较记录在DVD 2a所捆绑的CRL头的文件大小与存储在最新版检测信息存储单元2392中的大小(S101)。这种比较是基于已注销计算机单调递增和文件大小随时间而变大的CRL特性。

结果，当DVD 2a所捆绑的CRL文件大小大于(S101“是”)先前的CRL时，即当此时从DVD 2a读出的CRL最新时，通过将最新版列表存入(重写)到最新版检测信息存储单元2392来更新最新版的文件大小(S102)。最新版检测处理单元2391计算最新版列表的哈希值Hash，将哈希值Hash存入存储单元2393(S103)，将最新版列表存入最新版CRL存储单元250(S104)，并将最新版列表转发到CRL检验单元235(S105)。因此，确认验证处理结束。

另一方面，当DVD 2a所捆绑的CRL文件大小不大于(S101“否”)先前的CRL时，即当此时从DVD 2a读出的CRL不是最新时，则最新版检测处理单元2391立即结束确认验证处理。如图11B所示，当必须有最新CRL时，才执行读出最新CRL的处理。

在读出处理中，最新版检测处理单元2391从存储单元，即最新版CRL存储单元250的外部读出最新版列表(S111)，计算最新版列表的哈希值Hash(S112)，并验证计算的哈希值Hash是否与存储在存储单元2393中的哈希值Hash匹配(S113)。执行此验证，用于检测是否进行了替换。当没有进行替换时，这两个哈希值Hash匹配。

当哈希值Hash匹配(在S113中为“是”)时，最新版检测处理单元2391将从最新版CRL存储单元250读出的最新版列表转发到CRL检验单元235(S114)，并结束最新版列表读出处理。另一方面，当哈希值Hash不匹配(在S113中为“否”)时，最新版检测处理单元2391停止处理(S115)，并结束读出处理。当由于两个哈希值Hash失配而没有读出最新CRL时，最新版检测处理单元2391假设执行了一些未授权的使用，并在使用CRL的处理以后结束所有的处理(拒绝伙伴计算机认证)。

结果，根据第六实施例的记录介质版权保护系统1f，将从DVD 2a读出的CRL中的最新列表保持在最新版CRL存储单元250中并使用。因此，可以避免使用旧的CRL来认证伙伴装置。

另外，根据第六实施例，文件大小可以以一种方式用来确认最新版列表，而且CRL中登记的证书号(序列流水号)也可用于确认处理。

将参照附图说明施加到HD-DVD播放器上的根据本发明实施例的记录介质版权保护系统的解密装置200a到200f。

现在参见图12，其示出了HD-DVD播放器排列的外视图，该HD-DVD播放器包括根据本发明实施例的记录介质的解密装置200a到200f。

HD-DVD播放器200是使用IC卡210a到210f播放记录在DVD2a到2d中的内容(即，电影)的系统。它包括插入IC卡210a到210f的插卡器2100、播放DVD 2a到2d的DVD-ROM驱动器2200，和在HD-DVD播放器200内实现的解扰器260。

另外，IC卡210a到210f是塑料卡，它嵌入了包括CPU的IC端，该卡能够验证在读出数据时的访问是不是合格的访问。结果，外来者非常难以进行未授权的使用或篡改，因此保证了较高的安全性。

由于根据本发明的加密装置应用在图像播放系统，所以记录在DVD 2a到2d中的数字产品可以受到保护而不被非法复制，可以预期本发明在多媒体相关产品流通市场中的开发。

(第七实施例)

现在参见图13，图13是根据第七实施例的记录介质版权保护系统1g的整体结构的功能方框图。因为与第一实施例的记录介质版权保护系统1a的组成部件对应的记录介质版权保护系统1g的组成部件的附图标记相同，所以除了与记录介质版权保护系统1a不同的部分外，省略其说明。

在根据第一实施例的加密装置100a将两个密钥，装置密钥环KD_A和内容密钥Kc分别存储到装置密钥环存储单元112和内容密钥存储单元113。然后使用装置密钥环KD_A加密内容密钥Kc并生成已加密内容密钥，该装置密钥环KD_A与CRL的哈希值Hash有关。也就是说，加密装置是带有装置密钥KD_A和内容密钥Kc的双层结构。这种结构通常使加密增强对攻击的防护。

但是，还存在有想进一步增强加密的许可方。因此，根据第七实施例的加密装置100e的终端装置110e通过采用三层结构，即上述的装置密钥环KD_A、内容密钥Kc以及光盘密钥Kd来增强加密。

换言之，除了CRL存储单元111、装置密钥环存储单元112、内容密钥存储单元113、哈希函数处理单元114、异或单元115以外，加密装置100e的终端装置110e还包括存储光盘密钥Kd的哈希函数处理单元114、加密单元142、143。另外，考虑到DVD记录了多个内容(接近为7)，光盘密钥Kd位于DVD的上层。

加密单元142使用哈希值Hash与每个装置密钥KD_A间的异或值来加密存储在光盘密钥存储单元141中的光盘密钥Kd，并生成已加密光盘密钥环。

加密单元143使用光盘密钥Kd来加密存储在内容密钥存储单元113中的内容密钥Kc，并生成已加密内容密钥。

结果，终端装置160将已加密内容、CRL、通过加密单元142、143生成的已加密光盘密钥环和已加密内容密钥捆绑到DVD 2e。

作为对上述的响应，解密装置220f中的IC卡210g中的内容密钥解密单元220f只存储装置密钥KD_A，并通过使用装置密钥KD_A和CRL的哈希值Hash解密DVD 2e所捆绑的已加密光盘密钥环来解密光盘密钥Kd。此外，它通过使用光盘密钥Kd解密DVD 2e所捆绑的已加密内容密钥来解密内容密钥Kc。

换言之，内容密钥解密单元220f除了装置密钥存储单元221、哈希函数处理单元222和异或单元223以外，还包括解密处理单元245和246。

解密处理单元245通过使用装置密钥KD_A的哈希值Hash和CRL的哈希值Hash来解密解扰器260所传送的已加密光盘密钥环，从而来解密光盘密钥Kd。

解密处理单元246通过使用光盘密钥Kd解密解扰器260所传送的已加密内容密钥，来解密内容密钥Kc。

因此，根据第七实施例的记录介质版权保护系统1g，与第一个实施例相同，应当给出DVD 2e所捆绑的CRL，以获得用于解密返回内容的密钥。因为密钥为三层，这不仅能够排除替换CRL的非法解扰器260，还能够进一步加强版权保护。结果，增加了防止攻击的加密强度。

另外，尽管在本实施例中密钥为三层，但也可以是多层。在这种情况下，防止攻击的加密强度会更强。

而且，终端装置110e还可以进一步包括向DVD 2e输出确认数据的确认数据输出单元，该确认数据是用于验证已解密内容密钥是不是解密装置200k中的合格密钥的标准。该确认数据输出单元还将使用内容密钥存储单元113所存储的内容密钥加密预定的固定格式数据而得到的数据作为确认数据，输出到DVD 2e。另外，对应于终端装置110e，内容密钥解密单元220f还包括内容解密密钥检验单元228、内容密钥检验单元242、和内容密钥解密检验单元244，以验证已解密内容密钥是不是合格密钥。

(第八实施例)

现在参见图14，图14是根据第八实施例的记录介质版权保护系统1h的整体结构的功能方框图。因为与第一个实施例的记录介质版权保护系统1g的组成部件对应的记录介质版权保护系统1h的组成部件的附图标记相同，所以除了与记录介质版权保护系统1g不同的部分之外，省略其说明。

根据第七实施例的加密装置100e中的终端装置110e使用哈希值Hash与每个装置密钥KD_A间的异或值来加密存储在光盘密钥存储单元141中的光盘密钥Kd，并生成已加密光盘密钥环，之后使用光盘密钥Kd加密存储在内容密钥存储单元113中的内容密钥，并且生成已加密内容密钥。结果终端装置110e加强了防止攻击的加密强度，但是两次解密处理的负荷变高。在内容密钥解密单元220f中，两次解密处理的负荷也变高。

因此，根据记录介质版权保护系统1h的加密装置100f的终端装置110f，通过去除内容密钥Kc的加密处理来降低负荷，即使用介质ID存储单元144来存储每个DVD所特有的介质ID和MID，从而取代内容密钥存储单元113，以及使用生成基于介质ID和MID的内容密钥Kc的单向函数单元145，从而取代加密单元143。

换言之，除了CRL存储单元111、装置密钥环存储单元112、哈希函数处理单元114、异或单元115、光盘密钥存储单元141和加密单元142以外，加密装置100f中的终端装置110f还包括介质ID存储单元144和单向函数单元145。

单向函数单元145(即，异或)通过将存储在介质ID存储单元144中的介质ID、MID和光盘密钥Kd输入单向函数而生成内容密钥Kc。生成内容密钥Kc的负荷比图13所示的加密单元143生成已加密内容密钥的处理负荷高得多。

除了CRL和已加密内容以外，终端装置160还将加密单元142生成的已加密光盘密钥环、介质ID存储单元144输出的介质ID和MID捆绑到DVD 2f。

另一方面，解密装置200h的IC卡210h中的内容密钥解密单元220g只存储装置密钥KD_A，通过解密DVD 2e所捆绑的已加密光盘密钥环和CRL的哈希值Hash来解密光盘密钥Kd，并根据捆绑到DVD2e的介质ID、MID和光盘密钥Kd来生成内容密钥Kc。

换言之，内容密钥解密单元220g除了装置密钥存储单元221、哈希函数处理单元222、异或单元223和解密处理单元245以外，还包括与单元145结构相同的单向函数单元247。

单向函数单元247使用光盘密钥Kd，通过处理放入单向函数单元247中的介质ID和MID来生成内容密钥Kc。该内容密钥Kc生成处理的负荷要小于图13的解密处理单元246中的内容密钥解密处理的负荷。

因为它们捆绑到DVD 2f，所以很容易获知介质ID和MID。但是，很难得知单向函数单元145和247的结构，这与密钥的情形相同。

因此，因为根据第八实施例的记录介质版权保护系统1h应当传送DVD 2a所捆绑的CRL，以得到用于解密返回内容的密钥，与第一实施例相同，这能够排除执行未授权使用(例如替换CRL)的解扰器260并提高防止攻击的加密强度。因此，版权保护的加密强度得以进一步提高，并将低了终端装置110f和内容密钥解密单元220g的负荷。

另外，终端装置110f还进一步包括向DVD 2f输出确认数据的确认数据输出单元。该确认数据是确认解密装置200f所解密的内容密钥是不是合格密钥的标准。确认数据输出单元还可以使用存储在内容密钥存储单元113中的内容密钥来加密预定固定格式数据，并作为确认数据输出。另外，确认数据输出单元可以向DVD 2f输出通过使用内容密钥加密内容密钥而得到的数据作为确认数据。响应于终端装置110f，内容密钥解密单元220a可以包括内容解密密钥检验单元228、内容密钥检验单元242和内容解密密钥检验单元244。

(第九实施例)

现在参见图15，图15是根据第九实施例的记录介质版权保护系统1i的整体结构的功能方框图。因为与第一个实施例的记录介质版权保护系统1a的组成部件对应的记录介质版权保护系统1i的组成部件的附图标记相同，所以除了与记录介质版权保护系统1a不同的部分外，省略其说明。

顺便提一下，DVD介质有版权保护也是必要的，这与HD-DVD的情况相同，因为DVD与个人计算机(PC)的关系非常密切。因此，DVD可以从个人计算机(PC)中读出，当DVD驱动器安装到PC时，同时，PC将播放软件安装到硬盘，以便利用作为解密装置的PC观看内容，这与DVD-HD的情况相同。

解密装置200a包括根据第一实施例的IC卡210a和解扰器260，但是PC的解密装置通常包括DVD驱动器和播放软件。

因此，解密装置200i包括DVD驱动器400和DVD播放PC软件500，DVD驱动器400包括解扰器260和认证处理单元270，DVD播放PC软件500包括IC卡210a和解扰器260中的解密处理单元280。进一步的信息，DVD驱动器400的制造商不同于DVD播放PC软件500。

DVD驱动器400与认证处理单元270的结构相同。DVD驱动器400包括总线认证公开密钥证书存储单元410、总线认证密钥存储单元420、公开密钥解密单元430、密钥计算单元440和总线加密单元450。

DVD驱动器400中的总线认证公开密钥证书存储单元410预先存储总线认证公开密钥证书，例如IDE总线和SCSI总线，以及当DVD 2a播放内容时，将总线认证公开密钥证书410传送到DVD播放PC软件500。

总线认证密钥存储单元420、公开密钥解密单元430、密钥计算单元440和总线加密单元450产生会话密钥K并形成DVD播放PC软件500之间的SAC。

DVD播放PC软件500包括证书合格检验单元510、公开密钥有效性检验单元520、公开密钥加密单元530、验证单元540、密钥计算单元550、总线解密单元560、哈希函数处理单元570、装置密钥存储单元580、解密处理单元解密处理单元590、595。上述的每个单元在软件、PC中的CPU和存储器等中实现。

证书合格检验单元510通过使用公开密钥解密从总线认证公开密钥证书存储单元410发送的证书来检验证书是否合格。

在从证书合格检验单元510收到证书合格的通知以后，公开密钥有效性检验单元520参考经由DVD驱动器400收到的用于总线认证的CRL和从最新版CRL存储单元250读出的用于总线认证的CRL来检验该DVD驱动器是否已被注销。

当公开密钥加密单元530、验证单元540、密钥计算单元550和总线解密单元560从公开密钥有效性检验单元520收到DVD驱动器400未被注销的通知时，即DVD驱动器400合格时，生成会话密钥K’，并在DVD驱动器400之间形成SAC。

公开密钥加密单元530计算CRL的哈希值Hash。

装置密钥存储单元580预先存储装置密钥KD_A。

解密处理单元590根据从总线解密单元560输出的已加密内容密钥、从哈希函数处理单元570输出的哈希值Hash和装置密钥KD_A来产生内容密钥Kc。

解密处理单元590通过使用内容密钥Kc解密DVD 2a所捆绑的已加密内容来生成内容。

这里说明DVD驱动器400和DVD播放PC软件500之间执行的认证处理。

在收到DVD驱动器合格的通知以后，公开密钥加密单元530产生随机数cha，使用用于总线认证的伙伴公开密钥来加密生成的随机数cha、和将已加密随机数cha传送到公开密钥解密单元430。

公开密钥解密单元430通过使用存储在总线认证密钥存储单元420中的密钥存储单元中的总线认证密钥来解密已加密随机数cha，从而获得随机数cha。公开密钥解密单元430使用用于总线认证的伙伴公开密钥来加密生成的随机数cha和自身密钥，将加密结果传送到验证单元验证单元540和将随机数cha和密钥传送到密钥计算单元440。密钥计算单元440根据随机数cha和密钥来计算会话密钥K，并将它传送到总线加密单元450。总线加密单元450加密已加密内容密钥环和将双重加密的内容密钥环发送到DVD播放PC软件500。

一方面，DVD播放PC软件500中的验证单元540验证通过使用自身密钥解密而得到的随机数cha是否与原始随机数cha匹配，当它们彼此匹配时，将随机数cha和伙伴密钥传送到密钥计算单元550。密钥计算单元550利用随机数cha和伙伴密钥来计算会话密钥K’并传送到总线解密单元560。总线解密单元560使用会话密钥K’解密双重加密的内容密钥环，生成已加密内容密钥环和向解密处理单元590输出已加密内容密钥环。

另一方面，哈希函数处理单元570计算从DVD驱动器输出的CRL的哈希值Hash，并将哈希值Hash输出到解密处理单元590。解密处理单元590使用装置密钥KD_A，通过计算已加密内容密钥环和哈希值Hash间的异或值，来将内容密钥解密到已加密值，并且通过解密装置密钥KD_A来解密内容密钥Kc，并将它传送到解密处理单元595。解密处理单元595使用内容密钥Kc解密DVD 2a所捆绑的已加密内容，并播放内容。

因此，根据第九实施例的记录介质版权保护系统1i的解密装置200i，即包括DVD驱动器400和DVD播放PC软件500的PC应传送DVD 2a所捆绑的CRL，以得到用于解密返回内容的密钥，与HD-DVD的情况相同。结果这使计算机能够排除未授权使用(例如替换CRL)的非法解扰器260，由此保护版权。

另外，解密装置200i在DVD 2e播放时访问终端装置300，即当PC连接到互联网时，解密装置200i从终端装置300下载最新CRL，并利用已下载的最新CRL在公开密钥有效性检验单元520中检验DVD驱动器400是否已被注销。

根据第九实施例的解密装置200i包括DVD驱动器400和DVD播放PC软件500，但是DVD播放PC软件只具有我们所称的“解扰”功能。因此在这种情况下，假设解密装置200i应当结合许可方提供保护模块A使用。换言之，PC应当对IC卡210a和解密装置200i采用灵活的方式，DVD驱动器400可以包含在IC卡210a中，DVD播放PC软件可以部分地处于该PC的解密处理单元中。

在这种情况下，在DVD播放PC软件中设置DVD驱动器400和IC卡210a之间、IC卡210a和解密处理单元595之间的SAC后，通过解密从DVD驱动器400读出的已加密内容，来播放内容。

另外，加密装置100a还可以包括向DVD 2a输出确认数据的确认数据输出单元，该确认数据是确认解密装置200i所解密的内容密钥是不是合格密钥的标准。当在确认数据输出单元可以将使用存储在内容密钥存储单元113的内容密钥来加密预定的固定格式数据而得到的数据作为确认数据向DVD 2f输出时，或在确认数据输出单元可以将使用内容密钥加密内容密钥而得到的数据作为确认数据向DVD2f输出时。内容密钥解密单元220i可以包括检验内容密钥是不是合格密钥的内容解密密钥检验单元228、内容密钥检验单元242和内容解密密钥检验单元244。

上面解释了根据本发明实施例的版权保护系统。但是，本发明并不局限于上述实施例。

例如，在上述版权保护系统的实施例中，数字产品经由DVD介质传送，但是经由例如互联网的传输媒介传送数字产品的系统也可应用到本发明。换言之，通过替换“记录到记录介质”为“发送到传输线路”和替换“从记录介质读出”为“从传输线路接收”方式的系统也可应用到本发明。

另外，本发明可应用于通过组合记录介质和传输媒介来传送数字产品的系统。也就是说，已加密内容可以由例如DVD的记录介质提供，用于解密已加密内容的密钥和CRL通过传输媒介、网络递送提供。也可以应用相反的情况，密钥由记录介质提供，已加密内容由传输媒介、网络递送提供。在通过组合记录介质和传输媒介传送数字产品的系统中，可以在已加密内容和密钥中选择由记录介质提供，或者由传输媒介、网络递送提供。

在上述的实施例中，版权保护模块(防止篡改模块)用于IC卡210a到210f，但是，可以应用将IC卡210a到210f的每个结构集成到一个芯片的LSI 210i，而且LSI 210i可以安装在插座(socket)210j或通过焊接安装在电路板上。另外，在上述的实施例中，IC卡210a到210f由版权保护许可方提供，但是也可以使用由解密装置200a到200f的制造商制造的IC卡210a到210f或LSI 210i，以取代IC卡210a到210f。

另外，在上述的实施例中，根据本发明的版权保护系统可广泛地应用于版权保护许可方或内容制造商的加密装置100a到100f和用户所用的解密装置200a到200f，但是，当执行密码通信处理时，本系统还可应用于小范围，例如家庭范围或企业内联网。

(第十实施例)

图17是表示经家庭LAN与内容建立密码通信的版权保护系统整体结构的方框图，图18是表示图17和图18中的AV服务器100j、每个等离子TV 200k、VTR 200m和DVD记录器200n的结构方框图。在图18中，因为等离子TV 200k、VTR 200m和DVD记录器200n的结构与版权保护系统的结构相同，所以只将等离子TV 200k作为例子示出。

版权保护系统1j包括作为传输媒介的家庭LAN 30、连接到家庭LAN 30的AV服务器100j、作为客户的等离子TV 200k、VTR 200m和DVD记录器200n。

尽管AV服务器100j具有几乎与图1所示的加密装置100a相同的组成部件，但是AV服务器100j将从屋外接收的内容存入包括HDD的内容存储单元161，并经由家庭LAN 30通过已存储内容传送的请求来传送内容。这是不同点。

更具体地，AV服务器100j从广播站100g经由广播(BS、CS)或陆地广播的广播网3a、从内容提供商的服务器100h经由互联网3b、或从CATV广播100i经由CATV网3c接收内容，并将内容存入内容存储单元161。

AV服务器100j包括会话密钥存储单元112a。当从例如等离子TV 200k的客户传送存储在内容存储单元161的内容的请求后，根据传送请求在等离子TV 200k之间形成SAC。将在形成SAC时得到的会话密钥Kses存入会话密钥存储单元112a，并使用会话密钥Kses代替在加密装置100a中使用的装置密钥来加密内容密钥Kc。加密装置100a使用装置密钥，即会话密钥Kses加密内容密钥Kc。这是与加密装置100a的不同点。

另一方面，等离子TV 200k、VTR 200m和DVD记录器200n具有与图1所示的解密装置200a几乎相同的组成部件，但是等离子TV200k、VTR 200m和DVD记录器200n中的每个都包括会话密钥存储单元221a，用于存储在AV服务器100j之间形成SAC时得到的会话密钥，并使用存储在会话密钥存储单元221a中的会话密钥Kses解密内容密钥Kc。这是与使用装置密钥KD_A解密内容密钥Kc的解密装置200a的不同点。

下面描述根据版权保护系统1j的AV服务器100j和等离子TV200k之间的处理，集中在与版权保护系统1a的不同点上。

AV服务器100j利用来自客户、DVD记录器200n的传送请求使用椭圆曲线密码编码学(ECC)来执行等离子TV 200k之间的SAC处理。AV服务器100j和等离子TV 200k持有彼此相同的会话密钥Kses值。AV服务器100j将会话密钥Kses存入会话密钥存储单元112a，等离子TV 200k的版权保护模块210k中的内容密钥解密单元220h将会话密钥Kses存入会话密钥存储单元221a。AV服务器100j中的异或单元115执行等离子TV 200k之间共享的会话密钥Kses与CRL的哈希值Hash间的异或运算。加密单元116使用异或单元获得值作为密钥来加密内容密钥Kc。加密单元162使用内容密钥加密内容，该内容是已请求AV数据。在完成内容密钥和内容的加密以后，AV服务器100j经由家庭LAN 30向等离子TV 200k发送已加密内容密钥、已加密内容和CRL。

等离子TV 200k中的版权保护模块210k接收经由家庭LAN 30发送的CRL和已加密内容。解扰器260接收CRL和已加密内容。在等离子TV 200k的版权保护模块210k中的内容密钥解密单元220h中的异或单元223执行存储在会话密钥存储单元221a中的会话密钥Kses和哈希函数处理单元222获得的CRL哈希值之间的异或运算。解密处理单元224使用异或单元223获得的值作为密钥来解密内容密钥。

在等离子TV 200k中的版权保护模块210k和解扰器260之间基于CRL来执行SAC处理，并且会话密钥KK是共享的。

版权保护模块210k中的认证单元237使用共享会话密钥KK加密内容密钥Kc，将内容密钥Kc发送到解扰器260。解扰器260中的认证单元277解密内容密钥Kc。解密处理单元280使用得到的内容密钥Kc来解密已加密内容。

因此，对使用连接到相对小规模网络，例如家庭网或内联网的客户来说，使用该内容是容易的。此外，对终端用户严格控制版权保护。

另外，在第十实施例中，使用会话密钥Kses来取代装置密钥，但是密钥Ks可以预先在AV服务器100j和等离子TV 200k之间共享，并使用来取代会话密钥。为了检验已解密内容密钥是不是合格密钥，则上述预定的固定格式数据可以与CRL一起发送，并在版权保护模块210k中确定。

另外，通过组合上述实施例的处理可以实现各种加密装置或解密装置。也就是说，在加密的情况下，(1)当我们称每个处理；

i.密钥的加密

ii.单向函数的变换

至于层，系统可以选择是两层或三层，(2)对于用于加密内容的密钥，可以选择这个密钥是内容密钥或是通过单向函数中的变换介质ID得到的函数值，(3)对于CRL哈希值的关联对象，可以选择对象是装置密钥、光盘密钥、内容密钥、介质ID、会话密钥或是通过单向函数中的变换介质ID得到的函数值。因此，通过任意组合上述独立的三个参数(1)、(2)和(3)可以实现各种形式的加密装置、解密装置和IC卡。

另外，上述密钥加密(或解密)的层数并不局限于1到3。层数可以超过3。考虑到这些变化，下面将描述加密装置、解密装置和IC模块(密钥生成装置)。

也就是说，有关使用内容密钥的加密方法；

一种加密装置中的加密方法，该加密装置用于加密数字产品和将数字产品输出到记录介质或传输媒介，该加密方法包括：

(1)加密步骤，用于对第一密钥到第(n-1)密钥，重复使用n(≥2)个密钥中的第一密钥来加密数字产品和使用第i(2≤i≤n)密钥加密第(i-1)密钥的链式加密处理；和

(2)输出步骤，用于向记录介质和传输媒介输出已加密的第一密钥到第(n-1)密钥，

其中使用第一密钥到第n密钥中至少一个的链式加密处理包括第一步骤，用于在加密之前使用基于CRL细节的属性值变换密钥，该CRL是指定已注销公开密钥证书的信息列表。

有关使用介质ID的加密方法；

一种加密装置中的加密方法，该加密装置用于加密数字产品和将数字产品输出到记录介质或传输媒介，该加密方法包括：

(1)加密步骤，用于对第一密钥到第(n-1)密钥，重复使用n(≥1)个密钥中的第一密钥利用单向函数来变换介质标识信息、使用已变换的介质标识信息加密数字产品、和在n≥2的情况下，利用第i(2≤i≤n)密钥加密第(i-1)密钥的链式加密和变换处理；和

(2)输出步骤，用于向记录介质和传输媒介输出已加密的第一密钥到第(n-1)密钥，

其中使用第一密钥到第n密钥中至少一个的链式加密或变换处理包括第二步骤，用于(1)在加密之前使用基于CRL细节的属性值变换密钥，该CRL是指定已注销公开密钥证书的信息列表，或(2)使用属性值变换通过变换得到的介质标识信息。

有关使用内容的解密方法；

一种解密装置中的解密方法，该解密装置用于解密已加密的数字产品，该解密方法包括：

(1)第一解密步骤，用于对n(≥2)个已加密密钥重复经由记录介质或传输媒介获得已加密数字产品、n个已加密密钥和其为指定已注销公开密钥证书的信息列表的CRL，和使用预先持有的密钥来解密n个已加密密钥中的第一已加密密钥，和使用得到的第一密钥解密已加密第二密钥的链式解密处理；和

(2)第二解密步骤，使用最后解密得到的第n密钥解密数字产品，

其中使用第一密钥到第n密钥中的至少一个的解密处理包括第三步骤，用于在解密前，使用基于CRL细节的属性值变换用于解密的密钥。

有关使用媒介ID的解密方法。

一种解密装置中的解密方法，该解密装置用于解密已加密的数字产品，该解密方法包括：

(1)第一解密步骤，用于对n(≥1)个已加密密钥重复经由记录介质或传输媒介获得已加密数字产品、介质标识信息、n(≥1)个已加密密钥和其为指定已注销公开密钥证书的信息列表的CRL，和使用预先持有的密钥来解密第一密钥，和在n(≥2)的情况下，使用得到的第一密钥解密已加密第二密钥的链式解密处理；和

(2)第二解密步骤，使用最后解密使用的第n密钥利用单向函数来变换介质标识信息，和使用变换后的介质标识信息解密数字产品，

其中使用第一密钥到第n密钥的至少一个的解密处理和介质标识信息的变换包括第四步骤，用于(1)在解密或变换前，使用基于CRL细节的属性值变换用于解密或变换的密钥，或(2)使用属性值变换通过变换得到的介质标识信息。

工业实用性

如上所述，版权保护系统的加密装置，AV服务器、解密装置和客户可以作为一个计算机装置来使用服务器、机顶盒、个人计算机、数字电视、VTR、DVD记录器、打印机、蜂窝电话机和个人数字助理，经由记录介质或传输媒介来递送和接收内容。

Claims (2)

1、一种使用伙伴装置的公开密钥与伙伴装置建立密码通信的密码通信装置，包括：

一个存储单元，用于存储CRL，该CRL是指定已注销公开密钥证书的信息列表；

一个获取单元，用于获取新的CRL；

一个储存单元，用于比较已获取的CRL与存储在存储单元中的CRL的长度，当已获取的CRL的长度更长时，将已获取CRL存储在存储单元中并更新CRL；和

一个通信单元，用于参考存储在存储单元中的CRL来判断伙伴装置的密钥有效性，当公开密钥未被注销时，利用该公开密钥建立与伙伴装置的密码通信。

2、一种使用伙伴装置的公开密钥与伙伴装置建立密码通信的密码通信装置，包括：

一个存储单元，用于存储CRL，该CRL是用于指定已注销公开密钥证书的信息列表；

一个获取单元，用于获取新的CRL；

一个储存单元，用于比较已获取CRL中指示的证书号与上述存储单元所存储的CRL中指示的证书号，当已获得CRL中指示的证书号大时，将它存储在存储单元中并更新CRL；和

一个通信单元，用于参考存储在存储单元中的CRL来判断伙伴装置的密钥有效性，当公开密钥未被注销时，利用该公开密钥建立与伙伴装置的密码通信。

Images