JP2003330365A - コンテンツ配布／受信方法 - Google Patents

コンテンツ配布／受信方法

Info

Publication number
JP2003330365A
JP2003330365A JP2002134507A JP2002134507A JP2003330365A JP 2003330365 A JP2003330365 A JP 2003330365A JP 2002134507 A JP2002134507 A JP 2002134507A JP 2002134507 A JP2002134507 A JP 2002134507A JP 2003330365 A JP2003330365 A JP 2003330365A
Authority
JP
Japan
Prior art keywords
content
program
server
key
reception
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2002134507A
Other languages
English (en)
Inventor
Hiroshi Isozaki
宏 磯崎
Mikio Hashimoto
幹生 橋本
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toshiba Corp
Original Assignee
Toshiba Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toshiba Corp filed Critical Toshiba Corp
Priority to JP2002134507A priority Critical patent/JP2003330365A/ja
Priority to KR1020030028924A priority patent/KR100615021B1/ko
Priority to CNB031491529A priority patent/CN1266875C/zh
Priority to EP03252895A priority patent/EP1361497A3/en
Priority to US10/434,082 priority patent/US20040030911A1/en
Publication of JP2003330365A publication Critical patent/JP2003330365A/ja
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Technology Law (AREA)
  • Multimedia (AREA)
  • Human Resources & Organizations (AREA)
  • Economics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Marketing (AREA)
  • Primary Health Care (AREA)
  • Strategic Management (AREA)
  • Tourism & Hospitality (AREA)
  • General Business, Economics & Management (AREA)
  • Storage Device Security (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

(57)【要約】 【課題】 配布者側が安心してコンテンツを配布でき、
受信者側が信頼できるコンテンツを受信できるようにす
ることである。 【解決手段】 ファイル受信装置は、プロセッサ秘密鍵
を内蔵した耐タンパプロセッサを有している。ファイル
受信装置には、プログラム暗号化鍵で暗号化されたコン
テンツ受信プログラム及び認証秘密鍵が搭載されると共
に、それらを復号化するためのプログラム復号化鍵がプ
ロセッサ秘密鍵に対応するプロセッサ公開鍵で暗号化さ
れて搭載されている。コンテンツ受信要求に係るコンテ
ンツがその著作権者を保護すべきとの属性を有している
場合（Ｓ１１）、ファイル受信装置までの通信暗号化処
理を行い（Ｓ１２）、ファイル受信装置が有する認証秘
密鍵に対応した認証公開鍵に基づいて、受信プログラム
を認証し（Ｓ１３）、認証に成功した場合、受信プログ
ラムを信頼できると判定し（Ｓ１４）、コンテンツ受信
要求に係るコンテンツを送信する（Ｓ１６）。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、コンテンツ配布／
受信方法に関し、特に、プロセッサ秘密鍵を内蔵する耐
タンパプロセッサを採用した装置を利用したコンテンツ
配布／受信方法に関する。
【０００２】
【従来の技術】近年のコンピュータネットワークの普及
によって、提供者側は、ソフトウェアや音楽データなど
のデジタルコンテンツを、インターネットなどのネット
ワークを介して劣化なく安価に配布することが可能にな
ってきた。
【０００３】一方、同様に、利用者側は、それらのデジ
タルコンテンツを簡単にダウンロード等することが可能
になった。
【０００４】
【発明が解決しようとする課題】＜コンテンツ提供者に
よるコンテンツの配布という視点＞上述のようなデジタ
ルコンテンツは品質を劣化させることなく安価に複製す
ることが可能な性質ゆえに、コンテンツがひとたび利用
者の手に渡ってしまえば、著作権者の許可を得ない不正
コピーを防いだり、料金徴収を伴うライセンス制御を課
すことは容易ではない。また、そのコンテンツを入手し
た利用者が、あたかもそのコンテンツの作者であるよう
に振舞って、当該コンテンツを利用した別のコンテンツ
を作成し、不正に２次利用することも防止は難しい。と
りわけ、さまざまなプログラムを利用することができる
パーソナルコンピュータ（ＰＣ）やＰＤＡ(Personal Di
gital Assistant)といったオープンシステムの機器にお
いて、その防止は困難である。現在の技術において、こ
れらの機器でリバースエンジニアリングと呼ばれる利用
者によるプログラムの解析を防ぐことは困難なためであ
る。
【０００５】インターネットによる情報の配布では、Ｗ
ｅｂブラウザを使うことが広く普及している。従来のＷ
ｅｂブラウザでは、ネットワーク経由で配布される情報
の秘密を保護するために ＳＳＬ(Secure Socket Layer)
と呼ばれる暗号機構が広く使われている。ただ、この機
構はサーバ側からの情報の配送を特定の端末にのみに制
限すること、及び端末が閲覧している情報を他の端末か
ら特定されないことで端末側のプライバシを保護するこ
とはできるものの、配送された情報は、平文の形式で端
末に保存されるため、その情報を無制限に複製、２次利
用することができてしまう。仮にブラウザ側に暗号技術
を応用した不正コピー防止の機構を設けたとしても、Ｐ
ＣやＰＤＡのソフトウェアではリバースエンジニアリン
グによりその機構が解析され、解読されてしまうことを
防止しがたい。
【０００６】もちろん、サーバで情報に２次的な暗号化
を施すことにより、配送された情報の複製利用を制限す
ることはできるが、そのようにすると、一方、ブラウザ
において情報の再生利用ができなくなり、利便性が低下
してしまう。
【０００７】コンテンツの不正な２次利用を防ぐため、
コンテンツ作成者がコンテンツ自体に不可分な形で著作
権表示を含む情報を埋め込んでおき、それを不正コピー
の追跡や利用制御に使う手法が電子透かし(Digital Wat
ermark)として知られている。サーバ側で情報に電子透
かしを埋め込むことにより、不正２次利用された情報に
おいて本来の著作権者を特定することは現在の技術で可
能である。
【０００８】だが、情報の不正利用を根本的に防止する
ためには、単に不正２次利用を検出するだけでなく、情
報が不正に２次利用された経路を特定し、適切な対策を
とることが不可欠である。しかしながら、現在の機構で
は経路を特定できるような情報をコンテンツに埋め込む
ことは、次の２つの理由により難しい。
【０００９】１つはクライアント側における信頼できる
経路特定情報埋め込み手段がないことである。現在の情
報配信機構においても、サーバ側が利用者を特定し、利
用者情報を電子透かしなどの手段でコンテンツに埋め込
むことは可能である。しかし、配信数が増えるにつれ、
サーバの負荷は大きくなるため、配信コストが高くなっ
てしまう。キャッシュサーバなどのサーバの負荷軽減手
段も使えなくなる。
【００１０】もう１つは、利用者のプライバシ保護の観
点である。上述の現在の情報配信の機構においては、サ
ーバ側から端末を確実に特定するには、利用者の個人情
報を特定することに頼らざるをえないため、サーバ側が
情報を配信した個人を特定することとなり、利用者側は
プライバシ情報流出の懸念があり、利用の障壁となる。
一方、サーバ側では収集した利用者情報の適切な管理を
怠った場合、利用者情報の流出を招き、利用者との守秘
義務違反の責任を負うリスクがある。
【００１１】一方、マルチベンダのオープンシステムに
おいて、アプリケーションプログラムのプログラムや処
理するデータの秘密を守ることのできるシステムが提案
されている(特開2001-230770(P2001-230770A))。この技
術の適用により、端末側プログラムにおける不正複製を
防止して、配信された情報が正しく取り扱われることを
保証できる可能性がある(このようなソフトウェアを保
護ソフトウェアと呼ぶ)。ただし、仮にこのようなソフ
トウェアが存在したとしても、従来からの端末側プログ
ラム(従来プログラム)がネットワーク上に混在していた
場合、サーバはこれらの端末ソフトウェアを区別して、
著作権保護された情報は保護ソフトウェアにのみ配信
し、従来ソフトウェアには配信しないことが必要であ
る。
【００１２】以上を要約すると、従来においては、サー
バ側が複製不能と指示した情報でも、端末側のソフトウ
ェアの処理過程において、確実に複製を防止できるよう
な機構がなかった。また、仮に複製を確実防止できる端
末ソフトウェア（保護ソフトウェア）があったとして
も、サーバがそれ以外の端末ソフトウェア（従来ソフト
ウェア）と保護ソフトウェアとをネットワーク上の認証
により区別して、著作権保護された情報は保護ソフトウ
ェアにのみ配布するような機構が存在しなかった。
【００１３】また、かかる問題点に加えて、配信したコ
ンテンツに経路特定情報を埋め込むことができる安全か
つ効率的な手段がなかった。更に具体的には、経路特定
情報の埋め込みを端末側において確実に行うことがで
き、かつその埋め込みに際し、利用者のプライバシ情報
をサーバ側に開示する必要のない方法が存在しなかっ
た。
【００１４】ところで、コンテンツ提供者によるコンテ
ンツの配布の形態の変形態様として、キャッシュサーバ
を活用する形態がある。キャッシュサーバを利用するこ
とにより、大量のコンテンツを配布することが可能にな
るだけでなく、キャッシュサーバに負荷を分散させるこ
とで、コンテンツ配布サーバに要求される処理能力を小
さく抑え、結果としてコンテンツ作成者の負担を抑える
ことになり、コンテンツ作成者は安価に配布サーバを構
築できる。
【００１５】従来においては、キャッシュサーバを利用
してコンテンツを配布する際、コンテンツ提供元は、キ
ャッシュサーバがライセンスなどの制限を守る利用者の
みに配布されているか確実に確認することができない。
また、キャッシュサーバが悪意ある管理者によって管理
されていた場合、コンテンツ提供元の希望に反して、コ
ンテンツが不正に２次コピーされて不特定多数の利用者
に配布されることを未然に防ぐことはできなかった。更
に、利用者個別のライセンス管理を行うには、利用者と
コンテンツ配布元の間で認証処理と顧客管理処理が必要
である。この処理をキャッシュサーバに代行させる場合
にも、同様にコンテンツ提供元を倫理的に信頼しなけれ
ばならない。
【００１６】また、キャッシュサーバにウィルスチェッ
クプログラムがインストールされている場合、そのウィ
ルスチェックプログラムはチェックのために一時的にコ
ンテンツを復号化する必要があるが、悪意のある管理者
によりそのウィルスチェックプログラムがコンテンツを
攻撃するように操作された場合、復号化されたコンテン
ツはかかる攻撃に対して無防備である。
【００１７】＜コンテンツ利用者によるコンテンツの取
得という視点＞一方、コンテンツ利用者側からみると、
コンテンツ配布元が正当なサーバであるか、あるいは配
布されたコンテンツは改竄されていないかといった問題
がある。特に、近年Ｎｉｍｄａに代表されるようなコン
ピュータウィルスやトロイの木馬などのコンピュータネ
ットワークを介した攻撃により、サーバ管理者だけでな
く、一般の計算機利用者が被害を受ける場合が多い。ま
た、それらの攻撃により社会的な信頼度が高いサーバ上
の情報の一部が改変され、その情報を閲覧した利用者が
被害をうける、いわば間接的な攻撃を受ける場合も目立
つようになってきている。従って、サーバ管理者だけで
なく、利用者がネットワークを介してサーバの安全性を
確実に評価し、その評価に基づいてサーバの利用を判断
し危険を回避することができれば、利用者にとって有益
である。
【００１８】しかし、従来の技術で利用者側がコンテン
ツの安全性を確認するには以下のような問題がある。
【００１９】コンテンツやアプリケーションの配布サー
ビスを提供するサーバにおいて、設定上のミスやソフト
ウェア上の欠陥が存在する場合、悪意ある利用者がその
サーバの内容を改変し、正当なアプリケーションやコン
テンツに見せかけて、利用者に対し、不当なアプリケー
ションやコンテンツをダウンロードさせることでウィル
スやトロイの木馬を混入させる危険性がある。
【００２０】つまり、現状では、バッファオーバーフロ
ー攻撃などサーバ側のシステムプログラムやアプリケー
ションに内在する不具合により、たとえサーバが倫理的
に信頼できる管理者によって運営されていても、サーバ
が配布する情報が改変されたり、ウィルスが混入される
ことが避けられない。
【００２１】ただし、上記の攻撃によって、ウィルスに
感染したサーバがネットワーク上に多数存在するとき、
サーバ利用者の計算機がウィルスの感染を回避する方法
として、サーバのプログラムが各種攻撃への対策を施さ
れたバージョンのものであることを確認できれば、既知
の手法による攻撃から安全であることが確かめられるは
ずである。
【００２２】しかし、従来の技術では単純にサーバで動
作するプログラムのバージョン番号などを取得する機能
があるだけで、これらバージョン情報はウィルス作成者
がサーバプログラムを改変することにより、偽造するこ
とも容易であるため、信頼するに足る確認手段とはなり
えなかった。
【００２３】以下、利用者側によるコンテンツの安全性
の確認という視点における従来の問題点を具体例で説明
する。図２８から図３１は、サーバプログラムなどの脆
弱性情報を公開及び提供するセキュリティ機関１１０、
サーバプログラムを配布するサーバプログラムベンダ１
２０、悪意ある攻撃者１３０、コンテンツを配布する機
能をもつサーバ１４０、サーバ１５０、及びそれらサー
バ１４０，１５０の利用者１６０のそれぞれの動作を時
系列で示している。
【００２４】図２８は、サーバのバージョンチェックを
行わない従来のコンテンツ取得方法を示す図である。一
般的に、サーバプログラムに対するセキュリティ上の脆
弱性情報、特に問題点は、セキュリティ機関１１０から
勧告という形で広く告知・開示されることが多い。サー
バプログラムベンダ１２０は、それらの脆弱性情報に基
づいて、修正プログラムを作成し、サーバ管理者に対し
て例えばインターネットを利用して公開する。以下この
修正プログラムを修正パッチと呼ぶ。勿論、問題点をセ
キュリティ機関が一般に公開する前に、サーバベンダが
自主的に修正パッチを公開する場合もある。
【００２５】サーバ利用者は、サーバプログラムベンダ
によって公開された修正パッチを自主的に入手し、自分
の管理するサーバに適用する。もちろん修正パッチの適
用は強制されるものではないため、現状では、必ずしも
すべてのサーバ管理者が最新の修正パッチを適用してい
るとは限らない。
【００２６】図２８に示す具体例において、サーバ１４
０は修正パッチを適用し、サーバ１５０は修正パッチを
適用しなかったする。
【００２７】一方で、悪意ある攻撃者は、公開された脆
弱性情報や、修正パッチを解析することで、サーバを攻
撃するための攻撃プログラムを作成し、サーバに対して
攻撃を行う。ここで、悪意ある攻撃者１３０がサーバ１
４０及びサーバ１５０に攻撃を行ったとする。
【００２８】修正パッチを適用したサーバ１４０はこの
攻撃を防ぐことができる。しかしながら、サーバ１５０
は修正パッチを適用していないため、攻撃者１３０によ
って乗っ取られてしまう危険性がある。この具体例で
は、サーバ１５０に対する攻撃は成功し、攻撃後にコン
テンツの内容を改変し、正当なコンテンツをウィルス付
きコンテンツに置き換えたものとする。
【００２９】利用者１６０が、サーバ１４０，１５０の
コンテンツを利用しようとすると、利用者１６０は、サ
ーバ１４０からは正当なコンテンツを利用することがで
きる。しかしながら、サーバ１５０のコンテンツは、既
に攻撃者によってウィルス付きのコンテンツに改変され
ているため、利用者１６０は、ウィルスを含んだコンテ
ンツとは知らずに、サーバ１５０からコンテンツをダウ
ンロードしてしまい、利用者１６０のコンピュータがウ
ィルスに感染してしまう。
【００３０】かかる観点から、図２９に示す具体例にお
いては、利用者がコンテンツのダウンロードを行う前
に、サーバのバージョン番号を確認することでサーバが
改変されていないかを判断し、ウィルスを含んだコンテ
ンツをダウンロードすることを未然に防ぐ方法を示す。
【００３１】セキュリティ上の欠陥があるサーバプログ
ラムのバージョン番号を０とする。ここで、サーバプロ
グラムに修正パッチを適用した場合、サーバのバージョ
ン番号は１になるものとする。
【００３２】図２８の例と異なる点は、サーバ利用者１
６０は、自身のコンピュータにサーバチェックプログラ
ムをインストールし、ダウンロードを行う前にこのサー
バチェックプログラムを動作させ、修正パッチの適用さ
れたバージョン番号１のサーバに限り、そこからコンテ
ンツをダウンロードするという点である。
【００３３】このように利用者１６０がサーバプログラ
ムをチェックした場合、修正パッチを適用したサーバ１
４０は、バージョン番号が１であるため、利用者１６０
はそのサーバ１４０を正常利用する。この例では利用者
１６０はコンテンツをダウンロードする。一方、修正パ
ッチを適用していないサーバ１５０は、バージョン番号
が０のままであるため、利用者１６０はそこからはコン
テンツをダウンロードしない。このため、ウィルスの感
染を未然に防ぐことができる。
【００３４】しかしながら、この方法でもウィルスの感
染を完全に防ぐことができない例を図３０及び３１に示
す。
【００３５】一般に修正パッチは広く公開されているた
め、悪意ある攻撃者がそれを入手して解析することは比
較的容易である。
【００３６】この例では、悪意のある攻撃者１３０、配
布された修正パッチを解析し、バージョンチェックプロ
グラムに対してバージョン番号を偽るような偽修正パッ
チを作成し、攻撃が成功した際にはこの偽修正パッチを
適用するような攻撃を行ったとする。図３０の例では、
正規の修正パッチを適用したサーバ１４０に対しては、
攻撃は失敗する。一方、修正パッチを適用していないサ
ーバ１５０に対して攻撃は成功し、上記偽修正パッチが
適用される。
【００３７】このような場合、利用者１６０がたとえダ
ウンロード前にチェックプログラムを動作させたとして
も、サーバ１５０が偽修正パッチを適用されて偽ったバ
ージョン番号を受け取ったものであることを知らずに、
そのサーバ１５０からウィルスに感染したコンテンツを
ダウンロードしてしまう。
【００３８】この危険はダウンロードの際にサーバ及び
利用者間で複雑な暗号プロトコルを使ったとしても解決
できない。なぜならば、サーバプログラムや修正パッチ
が解析されてしまえば、暗号プロトコルを再現するよう
な処理を攻撃者が偽修正パッチに組み込むことが可能と
なってしまうからである。従って、利用者はサーバが偽
修正パッチを適用された攻撃済みサーバであることに気
が付かない。
【００３９】要約すると、問題となるのは以下の２点で
ある。
【００４０】サーバの安全性を評価するためにはサーバ
のバージョンチェックだけでは不十分である。また、安
全性を評価する処理は確実に行われる必要がある。
【００４１】サーバプログラムや、修正パッチが解析さ
れてしまうことで、その動作を再現するプログラムを攻
撃者が作成することが可能である。
【００４２】以上、「コンテンツ提供者によるコンテン
ツの配布という視点」及び「コンテンツ利用者によるコ
ンテンツの取得という視点」から説明したが、併せれ
ば、ネットワークを介したコンテンツの配布において、
著作権者が不正コピーを確実に防止することができ、か
つコンテンツ利用者はコンテンツを受信する前に、サー
バの安全性を評価して安全なサーバからのみコンテンツ
を取得できることが、著作権者にとっても、コンテンツ
利用者にとっても重要である。
【００４３】本発明は、上述のような事情を鑑みて為さ
れたものであり、本発明の目的は、配布者側が安心して
コンテンツを配布でき、受信者側が信頼できるコンテン
ツを受信できるコンテンツ配布／受信方法を提供するこ
とにある。
【００４４】具体的には、本発明の目的は、コンテンツ
に係る著作権者の権利と受信者のプライバシーを正当に
保護しつつコンテンツを配布し、また、受信者がコンテ
ンツ配布サーバの安全性を確実に確認しつつコンテンツ
を受信できるコンテンツ配布／受信方法を提供すること
にある。
【００４５】また、本発明の目的は、コンテンツに係る
著作権者の権利と受信者のプライバシーを正当に保護し
つつコンテンツを配布できるコンテンツ配布／受信方法
を提供することにある。
【００４６】更に、本発明の目的は、受信者がコンテン
ツ配布サーバの安全性を確実に確認しつつコンテンツを
受信できるコンテンツ配布／受信方法を提供することに
ある。
【００４７】
【課題を解決するための手段】上記目的を達成するた
め、請求項１に記載のコンテンツ配布／受信方法は、プ
ロセッサ秘密鍵を内蔵するマイクロプロセッサ及び外部
メモリを備えた送信装置及び受信装置において実行され
るコンテンツ配布／受信方法において、前記送信装置及
び受信装置に備えられる前記マイクロプロセッサは、複
数のプログラムに各々対応する複数の配布鍵を前記プロ
セッサ秘密鍵によって各々復号化することにより得られ
る複数のプログラム鍵を取り出し、前記複数のプログラ
ム鍵により各々暗号化された状態で前記外部メモリに配
置された複数のプログラムを、対応するプログラム鍵に
よってそれぞれ復号化して擬似並列的に実行可能なもの
であって、前記受信装置において実行されるコンテンツ
受信閲覧プログラムは、所定の秘密が、対応するプログ
ラム鍵に基づいて暗号化された状態で格納され、前記送
信装置に対して前記秘密の保持を証明する証明ステップ
を備え、前記送信装置において実行されるコンテンツ送
信プログラムは、前記受信装置のコンテンツ受信閲覧プ
ログラムからコンテンツを特定した受信要求を受け取る
要求受信ステップと、前記受信要求の発行元のコンテン
ツ受信閲覧プログラムについて前記所定の秘密を、前記
コンテンツ受信閲覧プログラムの秘密鍵に対応し、コン
テンツ送信プログラムが予め保持する公開鍵に基づい
て、所定の公開鍵アルゴリズムにより認証する機能、又
は、コンテンツ送信プログラムが予め保持する前記コン
テンツ受信閲覧プログラムとの間で共有する秘密鍵に基
づいて秘密鍵アルゴリズムにより認証する機能のいずれ
かを持つ認証ステップと、前記認証ステップにおいてコ
ンテンツ受信閲覧プログラムが前記所定の秘密を保持す
ることが証明された場合のみ、前記コンテンツ受信閲覧
プログラムとコンテンツ送信プログラムとの間で他のプ
ログラムから排他的に共有された秘密に基づいて暗号化
したコンテンツの送信を許可する保護ステップと、を備
えることを要旨とする。
【００４８】本発明によれば、受信装置で実行されるコ
ンテンツ受信閲覧プログラムにおいて、所定の秘密が、
対応するプログラム鍵に基づいて暗号化された状態で格
納されており、送信装置において実行されるコンテンツ
送信プログラムは、コンテンツ受信閲覧プログラムの所
定の秘密を公開鍵アルゴリズム又は秘密鍵アルゴリズム
により認証するようにしているので、コンテンツ送信プ
ログラムは、その認証に成功すれば、受信装置を信頼し
てコンテンツを送信することができる。
【００４９】また、請求項２に記載のコンテンツ配布／
受信方法は、請求項１に記載のコンテンツ配布／受信方
法において、前記送信装置において実行されるコンテン
ツ送信プログラムは、前記要求されたコンテンツに含ま
れる著作権保護指定の有無を判別する判別ステップを更
に持ち、この判別ステップにより保護指定有りと判別さ
れたコンテンツに対して、前記認証ステップを実行する
ことを要旨とする。
【００５０】また、請求項３に記載のコンテンツ配布／
受信方法は、請求項１に記載のコンテンツ配布／受信方
法において、前記受信装置において実行されるコンテン
ツ受信閲覧プログラムは、有効期間に関する情報が含ま
れるコンテンツを受信した場合には、前記有効期間に関
する情報に基づいてコンテンツの閲覧を制御することを
要旨とする。
【００５１】また、請求項４に記載のコンテンツ配布／
受信方法は、請求項１に記載のコンテンツ配布／受信方
法において、前記コンテンツは、該コンテンツを利用す
る際の制限事項、該コンテンツの著作権表示内容、該コ
ンテンツの課金情報のうち少なくとも１つを含むことを
要旨とする。
【００５２】また、請求項５に記載のコンテンツ配布／
受信方法は、請求項１に記載のコンテンツ配布／受信方
法において、前記コンテンツ受信閲覧プログラムは、前
記コンテンツを受信した際に、前記コンテンツを受信し
た受信装置及び前記受信装置の所有者の少なくとも一方
を特定する情報を、受信した該コンテンツに付加するこ
とを要旨とする。
【００５３】また、請求項６に記載のコンテンツ配布／
受信方法は、プロセッサ秘密鍵を内蔵するマイクロプロ
セッサ及び外部メモリを備えた送信装置と、他の受信装
置において実行されるコンテンツ配布／受信方法におい
て、前記送信装置に備えられる前記マイクロプロセッサ
は、複数のプログラムに各々対応する複数の配布鍵を前
記プロセッサ秘密鍵によって各々復号化することにより
得られる複数のプログラム鍵を取り出し、前記複数のプ
ログラム鍵により各々暗号化された状態で前記外部メモ
リに配置された複数のプログラムを、対応するプログラ
ム鍵によってそれぞれ復号化して擬似並列的に実行可能
なものであって、前記送信装置において実行されるコン
テンツ送信プログラムには、該コンテンツ送信プログラ
ムに対応付けられた秘密鍵が前記プログラム鍵に基づい
て暗号化された状態で格納され、前記受信装置のコンテ
ンツ受信閲覧プログラムは、前記コンテンツの送信元の
コンテンツ送信プログラムについて、前記コンテンツ送
信プログラムの秘密鍵に対応し、コンテンツ受信閲覧プ
ログラムが予め保持する公開鍵に基づいて、所定の公開
鍵アルゴリズムにより認証する認証ステップと、前記認
証ステップにおいてコンテンツ送信プログラムが前記所
定の秘密を保持することが証明された場合のみ前記コン
テンツ送信プログラムからコンテンツを受信することを
要旨とする。
【００５４】本発明によれば、送信装置で実行されるコ
ンテンツ送信プログラムにおいて、そのコンテンツ送信
プログラムに対応付けられた秘密鍵がプログラム鍵に基
づいて暗号化された状態で格納されており、受信装置の
コンテンツ受信閲覧プログラムは、コンテンツの送信元
のコンテンツ送信プログラムについて、コンテンツ送信
プログラムの秘密鍵に対応し、コンテンツ受信閲覧プロ
グラムが予め保持する公開鍵に基づいて、所定の公開鍵
アルゴリズムにより認証するようにしているので、コン
テンツ受信閲覧プログラムは、その認証に成功すれば、
配布装置を信頼してコンテンツを受信することができ
る。
【００５５】また、請求項７に記載のコンテンツ配布／
受信方法は、プロセッサ秘密鍵を内蔵するマイクロプロ
セッサ及び外部メモリを備えた送信装置及び受信装置に
おいて実行されるコンテンツ配布／受信方法において、
前記送信装置及び受信装置に備えられる前記マイクロプ
ロセッサは、複数のプログラムに各々対応する複数の配
布鍵を前記プロセッサ秘密鍵によって各々復号化するこ
とにより得られる複数のプログラム鍵を取り出し、前記
複数のプログラム鍵により各々暗号化された状態で前記
外部メモリに配置された複数のプログラムを、対応する
プログラム鍵によってそれぞれ復号化して擬似並列的に
実行可能なものであって、前記受信装置において実行さ
れるコンテンツ受信閲覧プログラム及び前記送信装置に
おいて実行されるコンテンツ送信プログラムは、所定の
秘密が、それぞれ対応するプログラム鍵に基づいて暗号
化された状態で格納され、通信相手に対して前記秘密の
保持を証明する証明ステップを備え、前記証明ステップ
において、前記通信相手の秘密の保持が証明された場合
には、前記送信装置が、前記受信装置から受信した送信
装置チェックプログラムの実行を許可すると共に、前記
受信装置が、前記送信装置チェックプログラムにより前
記送信装置の安全性を検証し、前記受信装置は、前記送
信装置を安全であると判定した場合、前記コンテンツ受
信要求に係るコンテンツを前記送信装置から受信するこ
とを要旨とする。
【００５６】本発明によれば、コンテンツ送信プログラ
ムとコンテンツ受信閲覧プログラムとが相互に認証を行
い、認証に成功した場合、コンテンツ受信閲覧プログラ
ムが、配布装置チェックプログラムによりコンテンツ送
信プログラムの安全性を検証し、コンテンツ送信プログ
ラムを安全であると判定した場合のみ、コンテンツ受信
要求に係るコンテンツをコンテンツ送信プログラムから
受信する。
【００５７】また、請求項８に記載のコンテンツ配布／
受信方法は、請求項７に記載のコンテンツ配布／受信方
法において、前記受信装置は、前記安全性を検証する際
の判断基準が列記され、前記プログラム暗号化鍵で暗号
化されたテーブルを更に有し、そのテーブルに列記され
た判断基準に基づいて前記配布装置の安全性を検証する
ことを要旨とする。
【００５８】
【発明の実施の形態】以下、図面に基づいて、本発明に
おけるコンテンツ配布／受信方法の実施形態について詳
細に説明する。
【００５９】＜コンテンツ受信閲覧プログラムの信頼性
を確認することができるコンテンツ配布／受信方法＞図
１は、本発明のコンテンツ配布／受信方法が適用される
送受信ネットワークシステムの構成を示す図である。
【００６０】この送受信ネットワークシステムは、コン
テンツ作成者３、ファイル送信装置１及び複数のファイ
ル受信装置２で構成される。ファイル送信装置１にはコ
ンテンツ配布サーバ５０が含まれている。各ファイル受
信装置１にはコンテンツ閲覧プログラム６０が含まれて
いる。ここでコンテンツとは、例えば、音楽・動画のデ
ジタルコンテンツであったり、写真や絵などの画像コン
テンツであったりする。もちろんテキストのコンテンツ
であってもよい。以後、これらを単にコンテンツと表記
する。
【００６１】先ず、コンテンツ作成者３は、コンテンツ
を作成し、そのコンテンツをコンテンツ配布サーバ５０
に保存する。このコンテンツ配布サーバ５０は、例えば
インターネットなどのネットワークに接続されたＷｅｂ
サーバなどであり、ファイル送信装置１上で動作し、一
般の利用者の要求に応じてコンテンツを配布する機能を
持つ。コンテンツ作成者３とコンテンツ配布サーバ５０
との間には信頼関係があり、コンテンツ作成者３の意図
に反してコンテンツが扱われることはないものとする。
【００６２】図２に示すように、コンテンツ本体９０１
には、少なくとも１ビットのフィールドからなる著作権
保護属性９０２が設けられる。この属性は少なくとも著
作権保護あり“１”と著作権保護なし“０”の２種類の
値をとる。コンテンツ配布サーバ５０は、著作権保護あ
りのコンテンツについては後述の認証済みクライアント
以外には配信しない。コンテンツ配布サーバ５０におい
て著作権保護属性をもたない従来のコンテンツは著作権
保護なしとして扱われる。
【００６３】ファイル受信装置２は、コンテンツ利用者
の計算機であり、この装置も、他の計算機と通信が可能
なようにインターネットなどのネットワークに接続され
ている。また、ファイル受信装置２は、ファイル送信装
置１からコンテンツをダウンロードして閲覧する機能を
持つ。利用者は、ファイル受信装置２にインストールさ
れたコンテンツ閲覧プログラム６０を利用してコンテン
ツを閲覧する。利用者は、コンテンツ配布サーバ５０か
ら、このコンテンツ閲覧プログラム５０を用いてコンテ
ンツをダウンロードし、閲覧する。以下、コンテンツ閲
覧プログラムをブラウザプログラムとも呼ぶ。
【００６４】図３は、ファイル送信装置１のハードウェ
ア構成を示す図である。ハードウェアとしてのファイル
送信装置１は、汎用プロセッサ１１、メモリ１２、ハー
ドディスク１３及び通信モジュール／ファイル送信モジ
ュール１４で構成される。
【００６５】図４は、ファイル受信装置２のハードウェ
ア構成を示す図である。ハードウェアとしてのファイル
受信装置２は、プロセッサ秘密鍵２１１を内蔵する耐タ
ンパプロセッサ２１、メモリ２２、ハードディスク２３
及び通信モジュール／ファイル受信モジュール２４で構
成される。
【００６６】図５は、コンテンツ配布サーバ５０のソフ
トウェア４の構成を示す図である。コンテンツ配布サー
バ５０のソフトウェア４は、サーバプログラム４１とオ
ペレーティングシステム（ＯＳ）４２で構成される。サ
ーバプログラム４１は、クライアントと認証を行うため
のクライアント認証プログラム４１３、コンテンツを暗
号化するためのコンテンツ暗号化機能４１１及び予め信
頼できているブラウザの公開鍵リスト４１２を含んでい
る。クライアント認証プログラム４１３は、後述するブ
ラウザプログラム内の認証秘密鍵に対応した認証公開鍵
４１４を有している。また、ＯＳ４２はファイル送信機
能４２１を備えている。
【００６７】図６は、ファイル受信装置２のソフトウェ
ア５の構成を示す図である。ファイル受信装置２のソフ
トウェア５は、ブラウザプログラム５１とＯＳ５２で構
成される。ブラウザプログラム５１は、コンテンツ受信
プログラム５３を有しており、コンテンツ受信プログラ
ム５３は、コンテンツ暗号化機能５３３、プログラム復
号化鍵５３１及び認証秘密鍵５３２を含んでいる。ま
た、ＯＳ５２はファイル受信機能５２１を備えている。
【００６８】そこで、ファイル受信装置２は、前述のよ
うに、特開2001-230770(P2001-230770A)に記載されたマ
イクロプロセッサ（耐タンパプロセッサ２１）を備えて
いる。このプロセッサは実行中のプロセスについての保
護機構を有しており、ファイル送信装置１の管理者が不
正にデータを盗み見るとを防ぐことができる。また、ブ
ラウザプログラム５１は、ソフトウェア配布元が管理す
るプログラム暗号化鍵で暗号化されており、プログラム
実行時には、ソフトウェア自身に埋め込まれた前記プロ
グラム暗号化鍵に対応するプログラム復号化鍵５３１で
復号化する。更に、このプログラム復号化鍵５３１は、
コンテンツ受信プログラム５３を実行するファイル受信
装置２の耐タンパプロセッサ２１のプロセッサ秘密鍵２
１１に対応するプロセッサ公開鍵により、ＲＳＡアルゴ
リズムなどの公開鍵アルゴリズムで暗号化されている。
従って、耐タンパプロセッサ２１に内蔵されたプロセッ
サ秘密鍵２１１を知らない限り、プログラムを復号化す
るためのプログラム復号化鍵５３１を得ることはでき
ず、結果として、ソフトウェアを解析したり改変したり
することは不可能である。
【００６９】また、認証秘密鍵５３２は、コンテンツ受
信プログラムベンダのバージョン番号ごとに固有の値が
選択され、コンテンツ受信プログラム５３に埋め込まれ
る。認証秘密鍵５３２の値はベンダ以外には秘密とさ
れ、対応する認証公開鍵４１４のみが利用者に公開され
る。この認証秘密鍵５３２もコンテンツ受信プログラム
５３のデータの一部として暗号化されている。従って、
ファイル送信装置１の管理者や不正アクセスによって当
該サーバの管理者特権を手に入れた攻撃者でも、この認
証秘密鍵５３２を望んだように書き換えることはできな
い。
【００７０】尚、コンテンツ受信プログラム５３は、単
体のプログラムでもよいし、ブラウザプログラム５１の
一部として組み込まれていてもよい。以下では、ブラウ
ザプログラム５１の機能の一部としてコンテンツ受信プ
ログラム５３が含まれていることとする。
【００７１】以下、コンテンツ配布サーバ５０が、利用
者の要求に応じてコンテンツを配布し、コンテンツ閲覧
プログラム６０がその配布されたコンテンツを受信し
て、利用者が閲覧する場合の手順を説明する。
【００７２】図７は、コンテンツ配布プログラム（サー
バ）とコンテンツ受信プログラムのやり取りを示す図で
ある。図８は、コンテンツ受信プログラムの処理手順を
示すフローチャートである。図９は、コンテンツ配布プ
ログラムの処理手順を示すフローチャートである。
【００７３】コンテンツ受信プログラムは、利用者から
コンテンツダウンロードの指示を受けると、コンテンツ
配布プログラムにコンテンツの受信要求を発行する（図
７）。コンテンツ配布プログラムは、要求されたコンテ
ンツの属性が著作権保護ありの場合（図９（図８）のス
テップ１１（ステップ１）において、肯定判定の場
合）、通信暗号化処理（ステップ１２（ステップ２））
とブラウザの安全性認証処理（ステップ１３（ステップ
３））を行う。
【００７４】そこで、先ず、コンテンツ配布サーバとブ
ラウザとの間の通信路は、第３者の傍受を防ぐため、何
らかの暗号化が施される（ステップ１２（ステップ
２））。ここではよく知られたＳＳＬを用いることと
し、サーバとブラウザの間でＳＳＬセッションが設定さ
れる。ただし、ＳＳＬにはサーバの認証処理が含まれる
が、これは利用者によるサーバが信頼できるか否かの判
定のために行われるものであり、ここでの目的である、
サーバが配布するコンテンツの著作権保護にとって必ず
しも必須ではない。
【００７５】続いて、コンテンツ配布プログラムは、安
全なブラウザの公開鍵リスト４１２に基づき、ブラウザ
プログラムの認証を行う（ステップ１３（ステップ
３））。クライアントとの認証は、よく知られた方法、
例えばISO/IEC 9798-3において定められた方式を用いれ
ばよい。このステップにより、サーバはブラウザが正当
な認証秘密鍵５３２を持っていることが確認できる。
【００７６】認証に失敗した場合、クライアントプログ
ラムは信頼できないと判断され（ステップ１７）、著作
権保護ありの情報の配信は中止され（ステップ１８）、
エラーとしてブラウザに通知される（ステップ１９）。
正当な認証秘密鍵５３２を持たない安全ではないブラウ
ザの場合、エラーとなり、著作権保護ありのコンテンツ
をダウンロード、利用することはできない（ステップ
７）。勿論、著作権保護なしのコンテンツの場合には、
安全でないブラウザからでも閲覧が可能であり、互換性
が保たれる（ステップ８、ステップ２０、ステップ
９）。
【００７７】コンテンツ配布プログラムは、ブラウザが
安全なものであると認証すると（ステップ１４）、配布
すべきコンテンツを暗号化し（ステップ１５）、上記Ｓ
ＳＬセッションを通じてブラウザに配送する（ステップ
１６、ステップ４）。ブラウザはＳＳＬセッション鍵を
使ってコンテンツを復号化し（ステップ５）、ブラウザ
のユーザインタフェースを通じて利用者に情報を提供す
る（ステップ６）。ただし、復号したコンテンツのう
ち、著作権保護ありのものについては、ブラウザプログ
ラムのみが鍵を保持する暗号化データ領域にその情報を
保持し、セッションの終了とともに鍵とその情報を廃棄
する。また、安全なブラウザは、著作権情報ありのコン
テンツについては決して平文ファイルで保存したり平文
デジタル出力しない。暗号化属性の設定によっては印刷
などの行為も禁止される。暗号化属性については後述す
る。
【００７８】上述のように、ブラウザソフトウェアの保
持する認証秘密鍵５３２の安全性は耐タンパプロセッサ
２１のハードウェアとして保持されたプロセッサ秘密鍵
２１１の安全性によって保証されており、サーバはネッ
トワークを通じて、セッションの相手が認証秘密鍵５３
２を持つことを確認することにより、配送した著作権保
護ありの情報が安全に扱われることを確認できる。
【００７９】ここで、認証秘密鍵５３２は、コンテンツ
受信プログラムのベンダ及びバージョンごとに設定され
る。従って、この鍵に基づく認証のみでは、サーバが利
用者あるいは端末を特定することはできず、利用者のプ
ライバシ情報の流出は一切生じていない。
【００８０】［暗号化属性］上述のようにコンテンツを
暗号化して送信する際、図１０に示すような暗号化属性
９０３を付けて送信を行う。暗号化属性９０３とは、コ
ンテンツを利用する際の制限事項や、有効期限などのコ
ンテンツの制御情報のほか、著作者の名前及び連絡先、
課金情報、配布サーバが配布する際に一意につけるＩＤ
などのテーブルを指す。以下に、その利用例を示す。
【００８１】コンテンツ配布元が百科事典などのデータ
ベースを所有しており、ＣＤ−ＲＯＭやＤＶＤで利用者
に配布し、一定期間は試用期間として無料で利用可能と
するが、有効期限後もデータベースの利用を希望する利
用者に限っては課金をするようなサービスの提供をした
とする。ここで、コンテンツに暗号化属性として使用期
限をつけ、閲覧プログラムが起動時にこの有効期限をチ
ェックすることでコンテンツ利用の制御を行ったとす
る。
【００８２】従来の方法では、データベースの閲覧プロ
グラムを解析することにより、有効制限を回避するよう
な改変をブラウザプログラムに行うことが原理的に可能
であるため、そのような悪意ある利用者からコンテンツ
を確実に保護することができなかった。しかしながら、
これまで述べたようにブラウザプログラムが暗号化され
ており、耐タンパプロセッサ上で動作することを前提と
すれば、プログラム配布元以外の第三者が暗号化属性を
不正に解析したり、改変したりすることを防ぐことがで
きる。
【００８３】従って、コンテンツの有効期限を改竄され
たり、有効期限を回避するようにブラウザプログラムを
改変したりすることはできず、コンテンツが確実に有効
期限を守って閲覧されることが保証される。
【００８４】［経路特定情報の埋め込み］上記実施形態
では、ブラウザが著作権保護された情報を平文出力しな
いことで、不正コピーを防止していた。しかし、画像、
音声などのコンテンツについて、画面の複製やアナログ
録音などの行為により、複製２次利用が可能である。こ
れらのコンテンツをより厳密に著作権保護する目的で、
配信データの経路特定情報を電子透かしとして埋め込む
方法を併用することにより、万一コンテンツが不正２次
利用された場合にも情報の流出経路を特定する手段を提
供できる。
【００８５】図１１は、経路特定情報の埋め込みの処理
手順を示す図である。
【００８６】先ず、コンテンツ作成者３が経路情報埋め
込みの有無を著作権保護属性の一部として指定する。サ
ーバからブラウザまでの配信は前述の実施形態と同様の
処理が行われる。最後にブラウザにおいて、画像や音
声、あるいはテキストのコンテンツに経路特定情報が埋
め込まれ、埋め込みが行われた画像や音声がブラウザを
通じて利用者に提供される。尚、文字情報についても文
字間隔をわずかに変更するなどの電子透かし埋め込みの
技術が知られており、このような埋め込みを行った文字
情報を画像の形式でブラウザに表示してもよい。
【００８７】経路特定情報としては様々なものが利用可
能である。例えば、インターネット接続端末であればＩ
Ｐアドレス、プロバイダ名、接続先のセッション情報を
記録することにより、サーバとプロバイダの情報を突き
合わせることで利用者の個人情報ができる。また、端末
に接続されたＩＣカードなの身分証明書情報、あるいは
指紋などの身体情報を記録してもよい。
【００８８】注記すべき点は、この埋め込みは全て利用
者の端末において行われるため、通常の利用者のプライ
バシ情報の流出は一切生じないことである。
【００８９】前述のように、従来においては、このよう
な管理は、コンテンツ配布サーバの側で利用者を識別
し、適切な情報を識別情報として埋め込むことで実現さ
れてきた。しかし、このような管理方法は著作権者にと
っては利用者情報の管理の手間がかかり、利用者にとっ
ては著作権者が信用できない場合のプライバシ情報流出
のリスクがある。
【００９０】本発明に係る手法では、識別情報が確実に
付加されることの確認を、耐タンパプロセッサの使用を
前提として配布先の閲覧プログラムの正当性確認に依存
することにより、利用者の個人情報をコンテンツ配布サ
ーバへ送付することなく識別情報の確実な付加を実現す
る。個人情報の送付がないので、プライバシ情報のリス
クはありえず、著作権者のユーザ情報管理負荷も当然な
い。本発明のコンテンツ配布方法は、この点で、サーバ
に個人特定情報を開示する従来の手法と異なり、一般の
利用者にとってより安全な物となっている。
【００９１】一方、著作権者の観点から見たとき、ブラ
ウザが正しく経路特定情報を埋め込むことは、耐タンパ
プロセッサのハードウェアによって守られていることで
暗号学的に保証されており、ブラウザの認証によってそ
れが確認されている。この点で、ブラウザソフトウェア
はいわば著作権者の出張所として機能するとも言える。
【００９２】ブラウザ利用者はブラウザソフトウェアを
インストールするときに、それが信頼できるベンダから
供給されたものであることをファイルのハッシュ値を検
証することで確認することができる。信頼できるベンダ
は、上述のようなコンテンツへの経路特定情報埋め込み
を正しく行い、ブラウザを通じた個人情報の流出が起こ
らないことを保証している。このような前提が成り立つ
とき、本発明に係るブラウザは、コンテンツ著作権者と
利用者との間でいわば信頼できる第３者として機能する
と言え、コンテンツ著作権者の権利の保護と利用者の安
全性及び利便性を両立させている。
【００９３】この手法は、キャッシュサーバを介して情
報を配布するときにとりわけ有効である。コンテンツ配
布サーバがコンテンツをキャッシュサーバに配布する段
階では、最終的な利用者は未定である。従って、従来手
法では、コンテンツ配布サーバは、コンテンツ利用者の
身元を表すような付加情報を付けることはできない。一
方、キャッシュサーバに識別情報の付加を委ねる方法
は、利用者のプライバシ保護と識別情報の付加の確実性
は一般には保証できない。しかしながら、本発明に係る
手法を使えば、個別の利用者対応の配布をキャッシュサ
ーバに代行させながら、安全な識別情報付加が可能とな
る。
【００９４】＜サーバの安全性を保証することができる
コンテンツ配布／受信方法＞次に、サーバの安全性を保
証することができる本発明のコンテンツ配布／受信方法
の実施形態を説明する。
【００９５】［クライアントプログラムからコンテンツ
配布サーバへの片方向認証］先ず、クライアントプログ
ラムからコンテンツ配布サーバへの片方向への認証のみ
が行われる場合を説明する。
【００９６】図１２は、かかる場合のコンテンツ配布サ
ーバを含むファイル送信装置６のハードウェア構成を示
す図である。ファイル送信装置６は、プロセッサ秘密鍵
６１１を内蔵する耐タンパプロセッサ６１、メモリ６
２、ハードディスク６３及び通信モジュール／ファイル
送信モジュール６４で構成される。
【００９７】図１３は、かかる場合のクライアントプロ
グラムを有するファイル受信装置７のハードウェア構成
を示す図である。ファイル受信装置７は、汎用プロセッ
サ７１、メモリ７２、ハードディスク７３及び通信モジ
ュール／ファイル受信モジュール７４で構成される。
【００９８】図１４は、コンテンツ配布サーバのソフト
ウェア８の構成を示す図である。コンテンツ配布サーバ
のソフトウェア８は、コンテンツ配布サーバプログラム
８１とオペレーティングシステム（ＯＳ）８２で構成さ
れる。コンテンツ配布サーバプログラム８１は、コンテ
ンツを暗号化するためのコンテンツ暗号化機能８１３、
コンテンツ配布機能８１４、プログラム復号化鍵８１１
及び認証秘密鍵８１２を含んでいる。また、ＯＳ８２は
ファイル送信機能８２１を備えている。
【００９９】図１５は、ファイル受信装置７のソフトウ
ェア９の構成を示す図である。ファイル受信装置７のソ
フトウェア９は、クライアントプログラム９１とＯＳ９
２で構成される。クライアントプログラム９１は、サー
バチェックプログラム９３を有しており、サーバチェッ
クプログラム９３は、サーバチェック機能９３１及び認
証公開鍵９３２を含んでいる。また、ＯＳ９２はファイ
ル受信機能９２１を備えている。尚、サーバチェックプ
ログラム９３は、クライアントプログラム９１と対等独
立であってもよい。
【０１００】コンテンツ配布サーバプログラム８１は、
プログラム復号化鍵８１１に対応したプログラム暗号化
鍵で暗号化されている。更に、このプログラム復号化鍵
８１１は、ファイル送信装置６に備えられた耐タンパプ
ロセッサ６１のプロセッサ秘密鍵６１１に対応する公開
鍵で暗号化されている。従って、プロセッサ秘密鍵６１
１を知らない限り、ソフトウェアを解析したり改変した
りすることは不可能である。
【０１０１】コンテンツ配布サーバプログラム８１は、
上述のように認証秘密鍵８１２を持ち、それは後述する
クライアントによる認証ステップにおいて用いられる。
この認証秘密鍵８１２は、サーバプログラムベンダのバ
ージョン番号ごとに固有の値が選択され、プログラムに
埋め込まれる。
【０１０２】認証秘密鍵８１２の値はベンダ以外には秘
密とされ、対応する認証公開鍵９３２のみが利用者に公
開される。尚、この認証秘密鍵８１２もサーバプログラ
ムのデータの一部としてサーバプログラムとともに暗号
化されている。従って、ファイル送信装置の管理者や不
正アクセスによって当該サーバの管理者特権を手に入れ
た攻撃者でも、この認証秘密鍵を望んだように書き換え
ることはできない。
【０１０３】一方、前述のように、サーバチェックプロ
グラム９３１は、サーバが正当なバージョンのサーバプ
ログラムであるか認証を行うサーバチェック機能９３１
を実行するものであり、内部に、コンテンツ配布サーバ
プログラム８１が持つ認証秘密鍵８１２に対応する認証
公開鍵９３２を持つ。
【０１０４】コンテンツ利用者のファイル受信装置７
は、利用者からサーバに対するファイル受信要求を受け
ると、当該サーバに対するサーバチェックプログラム９
３を起動させる。サーバチェックプログラム９３は、ネ
ットワーク経由で接続先のサーバの認証を行う。サーバ
との認証は、よく知られた方法、例えばISO/IEC 9798-3
において定められた方式を用いればよい。この方式によ
り通信相手、この場合はサーバがクライアントの調査す
るバージョン番号に対応する正当な認証秘密鍵８１２を
持っていることが確認できる。
【０１０５】上述のように、ベンダによりコンテンツ配
布サーバプログラム８１の認証鍵８１２は秘密とされ、
かつサーバシステムの耐タンパプロセッサ６１の機能に
よりコンテンツ配布サーバプログラム８１に埋め込まれ
た認証秘密鍵８１２の値を改変することができないた
め、公開鍵による認証に成功すれば、コンテンツ配布サ
ーバプログラム８１が期待のバージョンであることが確
実になる。
【０１０６】よって、クライアントシステムは、サーバ
プログラムが修正パッチを適用していないことによって
生じるコンピュータウィルス感染の危険を未然に回避す
ることができる。
【０１０７】［クライアントプログラムとコンテンツ配
布サーバとの間の相互認証］上述においては、クライア
ントプログラムがコンテンツ配布サーバを片方向で認証
する場合を説明したが、クライアントプログラムとコン
テンツ配布サーバとが相互認証をすることで、コンテン
ツ利用者の要求に応じた柔軟なサーバプログラムの安全
性評価を行う例を以下に示す。
【０１０８】クライアントプログラムとコンテンツ配布
サーバとの間の相互認証を実現するためには、コンテン
ツ配布サーバ側のハードウェア構成及びソフトウェア構
成は上述の片方向での認証の場合と同じである。即ち、
図１２に構成が示されるファイル送信装置６及び図１４
に構成が示されるソフトウェア８が採用される。
【０１０９】しかし、クライアントプログラム側のハー
ドウェア構成及びソフトウェア構成は片方向での認証の
場合とが異なる。
【０１１０】図１６は、ファイル受信装置のハードウェ
ア構成を示す図である。このファイル受信装置は図４に
示すものと同じである。即ち、ファイル受信装置２は、
プロセッサ秘密鍵２１１を内蔵する耐タンパプロセッサ
２１、メモリ２２、ハードディスク２３及び通信モジュ
ール／ファイル受信モジュール２４で構成される。
【０１１１】図１７は、ファイル受信装置２のソフトウ
ェア１０の構成を示す図である。ファイル受信装置２の
ソフトウェア１０は、クライアントプログラム１０１と
ＯＳ１０２で構成される。クライアントプログラム１０
１は、サーバチェックプログラム１０３を有しており、
サーバチェックプログラム１０３は、サーバチェック実
行プログラム１０３３、プロセッサ公開鍵によって暗号
化されたプログラム復号化鍵１０３１、認証鍵１０３２
及びポリシーテーブル１０３４を含んでいる。また、Ｏ
Ｓ１０２はファイル受信機能１０２１を備えている。
尚、サーバチェックプログラム１０３は、クライアント
プログラム１０１と対等独立であってもよい。
【０１１２】サーバチェックプログラム１０３は、プロ
グラム復号化鍵１０３１に対応するプログラム暗号化鍵
で暗号化されている。更に、このプログラム復号化鍵１
０３１は、ファイル受信装置２に備えられた耐タンパプ
ロセッサ２１のプロセッサ秘密鍵２１１に対応する公開
鍵で暗号化されている。従って、プロセッサ秘密鍵２１
１を知らない限り、ソフトウェアを解析したり改変した
りすることは不可能である。
【０１１３】サーバチェック実行プログラム１０３３
は、サーバのバージョンなどをチェックする実行ファイ
ルであり、例えば、サーバのバージョンを調査したり、
サーバに最新のパッチがあたっているか確認する機能な
どを有する。認証秘密鍵１０３２は、サーバと相互認証
を行うために用いる。ポリシーテーブル１０３４は、サ
ーバの安全性を評価する際に用いる。ポリシーテーブル
については後述する。
【０１１４】以下、コンテンツ利用者がサーバからコン
テンツをダウンロードする場合の手順を説明する。図１
８は、クライアントプログラム１０１の処理手順を示す
フローチャートである。
【０１１５】コンテンツ利用者のファイル受信装置２
は、利用者からサーバに対し、ファイル受信要求を受け
ると、サーバチェックプログラム１０３を起動する。サ
ーバチェックプログラム１０３は接続先のサーバプログ
ラムとネットワーク経由で相互認証を行う（ステップ２
１）。ここではサーバの認証鍵８１２とクライアントの
認証鍵１０３２は同一の値を使い、共通鍵認証による認
証、たとえばISO/IEC 9798-2において定められた方式を
使う。この方式により、通信相手が認証鍵を持っている
ことが確認できる。
【０１１６】ここで重要なことは、認証鍵８１２及び１
０３２がサーバ及びクライアントプログラム以外の第三
者、例えばウィルス作成者に漏れないようにすることで
ある。コンテンツ配布サーバプログラム８１は暗号化さ
れている。従って、ウィルス作成者がコンテンツ配布サ
ーバプログラム８１を解析して偽の修正パッチを作成し
たり、サーバチェックプログラム１０３との認証に用い
る認証鍵が盗まれることはない。クライアントチェック
プログラムも同様の方式で暗号化されているため、認証
鍵が盗まれることはない。
【０１１７】認証が成功した場合、サーバチェック実行
プログラム１０３３はサーバの安全性評価を行う（ステ
ップ２２）。認証が失敗すると（ステップ２３において
否定判定）、サーバプログラム８１はサーバチェックプ
ログラム１０３の要求を受け付けず、ファイルのダウン
ロードは中止される（ステップ２５）。これは悪意のあ
るサーバチェックプログラムが、不正にサーバを調査す
ることにより、攻撃者に攻撃のための有用な情報を提供
してしまうことを防ぐためである。例えば、特定のバー
ジョンのプログラムにセキュリティ上の欠陥が発見され
ている場合、攻撃者にとってプログラムのバージョン情
報は調査のための有益な情報となりうる。従って、コン
テンツ配布サーバプログラム８１は、正当な認証鍵をも
つサーバチェックプログラム１０３のみにバージョン番
号を提供する。
【０１１８】サーバチェックプログラム１０３によりサ
ーバの安全性の評価が利用者の希望する基準を満たして
いれば（ステップ２３において肯定判定）、クライアン
トプログラム１０１は所望のファイルをダウンロードす
る（ステップ２４）。
【０１１９】一方、ステップ２１において認証が失敗す
ると、クライアントプログラム１０１は、所定のエラー
処理を行い、コンテンツのダウンロード処理を中止する
（ステップ２５）。
【０１２０】サーバの安全性を評価するための評価項目
は、図２０にその例を示すポリシーテーブル９０４に記
述する。コンテンツ利用者は、例えばサーバのバージョ
ンが１．２以上であれば利用する、といったように、ポ
リシーとなるチェック項目とその判断基準を予めこのテ
ーブル９０４に定義しておく。判断基準をこのようなテ
ーブル形式としておけば、その判断基準を容易に変更で
きるという利点がある。
【０１２１】このポリシーテーブル９０４は必ずしもコ
ンテンツ利用者本人が記述する必要はなく、例えばクラ
イアントプログラム配布元がテンプレートを作成しても
よい。ポリシーを複数指定し、その組み合わせで評価し
てもよい。アプリケーションがチェックの結果とポリシ
ーを比較し、コンテンツやソフトウェアをダウンロード
すべきかどうかを判断する。従って、アプリケーション
がチェックの結果を、利用者のホストに返す必要はな
い。勿論、サーバのバージョンを調べ、その都度利用者
に結果を返してダウンロードの可否を問い合わせてもよ
い。
【０１２２】図１９は、コンテンツ配布サーバプログラ
ム８１の処理手順を示すフローチャートである。コンテ
ンツ配布サーバプログラム８１は、サーバのファイル送
信装置６上で実行され、クライアントのサーバチェック
プログラム１０３からの相互認証処理の要求を受け付け
るため待機している。
【０１２３】コンテンツ利用者からコンテンツ受信要求
を受け、相互認証処理が成功すると（ステップ３１）、
サーバチェック実行プログラム１０３３の実行を許可
し、必要な情報をサーバチェックプログラム１０３に提
供する（ステップ３２）。サーバの安全性の評価が利用
者の希望する基準を満たしており、所望のファイルの受
信要求を受けると（ステップ３３において肯定判定）、
サーバプログラム８１はファイルを送信する（ステップ
３４）。
【０１２４】一方、ステップ３１において認証が失敗し
た場合や、サーバチェックプログラム１０３が安全性を
満たしていないと判断し、ファイルのダウンロード中止
要求を受けた場合（ステップ３３において否定判定）
は、ファイルの送信を中止する（ステップ３５）。
【０１２５】以上で説明したコンテンツ配布サーバから
のコンテンツ受信方法によれば、以下の二つの事項にお
いて、サーバ管理者のセキュリティ意識を向上させるこ
とが期待できる。
【０１２６】１つめは、バージョンが低いサーバでコン
テンツを提供した場合、利用者はそのサーバの利用を避
けることが予想されるため、サーバ利用者が減る。従っ
て、利用者を確保するために、サーバ管理者は常にサー
バを安全なバージョンにする必要がある。
【０１２７】２つめは、ＨＴＴＰなど一般に公開するサ
ービスであれば、どの利用者からでもサーバをチェック
することが可能である。これは、もしもそのサーバにセ
キュリティ上の欠陥があった場合、その欠陥を公表する
ことを意味する。従って、サーバ管理者はサービスを公
開すると同時に、セキュリティ上の管理責任を負うとい
う意味でセキュリティ意識を高めることにつながること
が期待できる。
【０１２８】＜キャッシュサーバを介したコンテンツ配
布／受信方法＞次に、コンテンツ配布サーバが一旦キャ
ッシュサーバにコンテンツを配布し、利用者閲覧プログ
ラムがキャッシュサーバから希望のコンテンツを受信す
る場合について説明する。
【０１２９】図２１は、キャッシュサーバを含む送受信
ネットワークシステムの構成を示す図である。この送受
信ネットワークシステムは、コンテンツ作成者３、コン
テンツ配布サーバ５０、キャッシュサーバ７０及び複数
の利用者閲覧プログラム８０で構成される。
【０１３０】図２２は、キャッシュサーバ７０のハード
ウェア構成、即ちキャッシュサーバ７０としてのファイ
ル送受信装置２０の構成を示す図である。ファイル送受
信装置２０は、プロセッサ秘密鍵２０１１を内蔵する耐
タンパプロセッサ２０１、ハードディスク２０２、メモ
リ２０３、通信モジュール／ファイル送信モジュール２
０４及び通信モジュール／ファイル受信モジュール２０
５で構成される。
【０１３１】図２３は、キャッシュサーバ７０のソフト
ウェア３０の構成を示す図である。
【０１３２】キャッシュサーバ７０のソフトウェア３０
は、キャッシュサーバプログラム３０１と、ＯＳ３０２
をと含んでいる。キャッシュサーバプログラム３０１
は、コンテンツ配布サーバ用認証鍵３０１４を有するコ
ンテンツ受信プログラム３０１１と、コンテンツ受信プ
ログラム用認証鍵３０１５を有するコンテンツ配布機能
３０１２とを含んでいる。また、キャッシュサーバプロ
グラム３０１は、プログラム復号化鍵３０１３を有して
いる。更に、ＯＳ３０２は、ファイル送信機能３０２１
及びファイル受信機能３０２１を備えている。
【０１３３】キャッシュサーバプログラム３０１は、プ
ログラム復号化鍵３０１３に対応するプログラム暗号化
鍵で暗号化されている。更に、このプログラム復号化鍵
３０１３は、ファイル送受信装置２０に備えられた耐タ
ンパプロセッサ２０１のプロセッサ秘密鍵２０１１に対
応する公開鍵で暗号化されている。従って、プロセッサ
秘密鍵２０１１を知らない限り、ソフトウェアを解析し
たり改変したりすることは不可能である。
【０１３４】尚、コンテンツ配布サーバ５０に係るハー
ドウェア構成及びソフトウェア構成は、それぞれ図１２
及び図１４に示したものと同じである。また、利用者閲
覧プログラム８０に係るハードウェア構成及びソフトウ
ェア構成は、それぞれ図１６及び図１７に示したものと
同じである。
【０１３５】以下、キャッシュサーバ７０を介してコン
テンツ配布サーバ５０から利用者１６０へコンテンツを
配布する手順を説明する。図２４は、コンテンツ配布サ
ーバ５０とキャッシュサーバ７０やり取りと、キャッシ
ュサーバ７０と利用者１６０とのやり取りを示す図であ
る。図２５は、キャッシュサーバ７０がコンテンツ配布
サーバ５０からコンテンツを受信するまでの処理手順を
示すフローチャートである。図２６は、キャッシュサー
バ７０が利用者１６０にコンテンツを送信するまでの処
理手順を示すフローチャートである。
【０１３６】先ず、コンテンツ配布サーバ５０とキャッ
シュサーバ７０が相互認証処理を行う（ステップ４
１）。コンテンツ配布サーバ５０及びキャッシュサーバ
７０は、それぞれ相互認証のための認証鍵８１２及び認
証鍵３０１４を持つ。認証には、たとえばコンテンツ配
布サーバ５０の認証鍵８１２とキャッシュサーバ７０の
認証鍵３０１４は同一の値を使い、ISO/IEC 9798-2にお
いて定められたような共通鍵認証方式を使えばよい。こ
の方式により、通信相手が認証鍵を持っていることが確
認できる。
【０１３７】認証が成功すると、キャッシュサーバ７０
は、コンテンツ配布サーバ５０によって暗号化されたコ
ンテンツとコンテンツを復号化するための鍵を受信する
（ステップ４２）。このコンテンツを復号化するための
鍵は、暗号化などの手段によりコンテンツ配布サーバ５
０とキャッシュサーバ７０以外には漏れないようにして
キャッシュサーバ７０のメモリ又はハードディスクの記
憶域に保存される。尚、認証が失敗に終わった場合に
は、コンテンツの送信は中止されて、キャッシュザーバ
７０はコンテンツを受信することはない（ステップ４
３）。
【０１３８】次に、図２６を参照して、利用者１６０が
キャッシュサーバ７０からコンテンツをダウンロードす
る手順について説明する。キャッシュサーバ７０は、利
用者１６０からの配布要求に基づき、利用者１６０のコ
ンテンツ受信プログラムと相互認証処理を行う（ステッ
プ５１）。この認証処理は、コンテンツ配布サーバ５０
とキャッシュサーバ７０の認証処理と同様の方式を用い
る。認証が成功すると、キャッシュサーバ７０は、利用
者１６０のコンテンツ受信プログラムに対して、コンテ
ンツとコンテンツを復号化するための鍵を送信する（ス
テップ５２）。鍵の送信にはデフィーフェルマン(Diffi
e-Hellman)のようなよく知られた方法を用いて通信系路
上を暗号化しておく。尚、認証が失敗に終わった場合に
は、コンテンツの送信を中止する（ステップ５３）。
【０１３９】ここで重要なことは、コンテンツを復号化
する鍵がキャッシュサーバの管理者やコンテンツ利用者
にも不明である点である。前述のように、キャッシュサ
ーバプログラムやコンテンツ受信プログラムはプログラ
ム復号化鍵に対応するプログラム暗号化鍵によって、コ
ンテンツを復号化する鍵とともに暗号化されており、解
析や改変をすることができない。
【０１４０】従って、たとえ悪意ある管理者がキャッシ
ュサーバ７０の管理を行っていたとしても、コンテンツ
を復号化することはできないため、キャッシュサーバ７
０がどのような人物によって管理されているかに関わら
ず、コンテンツは、正当な認証鍵をもつファイル受信プ
ログラムによって閲覧されることが確実となる。
【０１４１】更に、コンテンツ複製の可否などライセン
ス制御は暗号化属性に応じて利用者の受信プログラムで
実行されるため、コンテンツ配布元はキャッシュサーバ
７０を用いたとしても、最終的な利用者がライセンスを
遵守していることが保証される。
【０１４２】従って、コンテンツ配布元は、従来のよう
にＩＤとパスワードを用いて利用者を個別に管理する必
要がなくなる。一方、利用者側は、コンテンツ配布元に
対してプライバシーを必要以上に開示する必要がなくな
る。
【０１４３】［キャッシュサーバとキャッシュサーバ上
のアプリケーションとの間の認証］キャッシュサーバ５
０で受信蓄積されるコンテンツは、キャッシュサーバ５
０の管理者を信頼していないというのが前提である。こ
こで、キャッシュサーバ５０は、コンテンツ配布サーバ
とコンテンツ利用プログラムとの間の認証処理を行うだ
けで、キャッシュサーバ５０においてコンテンツが復号
されてその内容が変更することはないのが通常であるの
で問題はない。
【０１４４】しかしながら、キャッシュサーバ５０上で
コンテンツが一時的にせよ復号されなければならない場
合がある。キャッシュサーバ５０上でウィルスチェック
ソフトが動作する場合である。
【０１４５】ウィルスチェックプログラムは、一般的に
コンテンツの内容とウィルスに見られる特徴的な情報と
を比較し、合致したものをウィルスとして検出する。こ
のとき、ウィルス検査対象となるコンテンツが暗号化さ
れていると、正しく比較することができない。従って、
ウィルスチェックプログラムは、コンテンツを検査する
際には、コンテンツを一時的に復号化する必要がある。
【０１４６】そこで、キャッシュサーバ７０はウィルス
チェックプログラムが正当であるか認証処理を行う。図
２７は、ウィルスチェックプログラムの構成を示す図で
ある。
【０１４７】ウィルスチェックプログラム４０は、プロ
グラム復号化鍵４０１に対応するプログラム暗号化鍵で
暗号化されている。更に、このプログラム復号化鍵は、
図２２に示したプロセッサ秘密鍵２０１１に対応するプ
ロセッサ公開鍵で暗号化されている。ウィルスチェック
プログラム４０は、キャッシュサーバと認証を行うため
の認証秘密鍵４０３を持つ。この認証秘密鍵４０３もプ
ログラムと同様暗号化されている。ウィルスチェック機
能を含めたウィルスチェックプログラム４０全体を暗号
化しておく必要は必ずしもないが、安全性を向上させる
には暗号化させておいた方が望ましい。
【０１４８】認証が成功すると、キャッシュサーバプロ
グラム３０１は、コンテンツを復号化するための鍵をウ
ィルスチェックプログラム４０に提供する。このとき、
コンテンツを復号化する鍵をそのまま提供してもよい
が、キャッシュサーバプログラム３０１内で一旦コンテ
ンツを復号化し、一時的な鍵でコンテンツ暗号化した
後、その鍵をウィルスチェックプログラム４０に渡すよ
うにしてもよい。更にこのとき、図１０に示した暗号化
属性の中の有効期限を短時間に設定することで更に安全
性が向上する。
【０１４９】以上の処理により、ウィルスチェックプロ
グラム４０は、キャッシュサーバ７０から提供された鍵
を用いてコンテンツを復号化し、ウィルスチェックを行
うことができる。
【０１５０】以上のキャッシュサーバを介したコンテン
ツ配布／受信方法で説明したように、コンテンツ配布サ
ーバ、キャッシュサーバ及びコンテンツ受信プログラム
が耐タンパプロセッサ上で実行されることを前提とする
ことで、コンテンツの不正な流出と改変の防止と、キャ
ッシュサーバを利用することによる配布サーバの処理負
荷の分散とを両立させることができる。更に、万が一配
布サーバがウィルスを含むコンテンツを配布してしまっ
たとしても、キャッシュサーバがウィルスチェックを行
うことで、利用者に配布する前に未然にウィルスを検出
することができ、配布サーバの管理上の負荷も軽減させ
ることができる。
【０１５１】
【発明の効果】以上説明したように、本発明によれば、
受信装置で実行されるコンテンツ受信閲覧プログラムに
おいて、所定の秘密が、対応するプログラム鍵に基づい
て暗号化された状態で格納されており、その所定の秘密
は悪意のある者に改変されることはなく、また送信装置
において実行されるコンテンツ送信プログラムは、コン
テンツ受信閲覧プログラムの所定の秘密を公開鍵アルゴ
リズム又は秘密鍵アルゴリズムにより認証し、その認証
に成功した場合にのみ、受信装置を信頼してコンテンツ
を送信するので、コンテンツの無制限な２次利用を防止
して著作権者を保護できると共に、受信者のプライバシ
ーを保護することができる。
【０１５２】また、本発明によれば、送信装置で実行さ
れるコンテンツ送信プログラムにおいて、そのコンテン
ツ送信プログラムに対応付けられた秘密鍵がプログラム
鍵に基づいて暗号化された状態で格納されており、悪意
のある者に改変されることはなく、受信装置のコンテン
ツ受信閲覧プログラムは、コンテンツの送信元のコンテ
ンツ送信プログラムについて、コンテンツ送信プログラ
ムの秘密鍵に対応し、コンテンツ受信閲覧プログラムが
予め保持する公開鍵に基づいて、所定の公開鍵アルゴリ
ズムにより認証し、その認証に成功した場合にのみ、コ
ンテンツ送信プログラムを信頼してコンテンツを受信す
るので、悪意のある攻撃者が介在したセキュリティ上問
題のあるコンテンツ送信プログラムを選別してそのよう
なコンテンツ送信プログラムからはコンテンツを受信し
ないようにすることができる。
【０１５３】また、本発明によれば、コンテンツ送信プ
ログラムとコンテンツ受信閲覧プログラムとが相互に認
証を行い、認証に成功した場合、コンテンツ受信閲覧プ
ログラムが、配布装置チェックプログラムによりコンテ
ンツ送信プログラムの安全性を検証し、コンテンツ送信
プログラムを安全であると判定した場合のみ、コンテン
ツ受信要求に係るコンテンツをコンテンツ送信プログラ
ムから受信するので、悪意のある攻撃者が介在したセキ
ュリティ上問題のあるコンテンツ送信プログラムを選別
してそのようなコンテンツ送信プログラムからはコンテ
ンツを受信しないようにすることができる。
【図面の簡単な説明】
【図１】本発明のコンテンツ配布／受信方法が適用され
る送受信ネットワークシステムの構成を示す図である。
【図２】コンテンツの構成を示す図である。
【図３】ファイル送信装置のハードウェア構成を示す図
である。
【図４】ファイル受信装置のハードウェア構成を示す図
である。
【図５】コンテンツ配布サーバのソフトウェアの構成を
示す図である。
【図６】ファイル受信装置のソフトウェアの構成を示す
図である。
【図７】コンテンツ配布プログラム（サーバ）とコンテ
ンツ受信プログラムのやり取りを示す図である。
【図８】コンテンツ受信プログラムの処理手順を示すフ
ローチャートである。
【図９】コンテンツ配布プログラムの処理手順を示すフ
ローチャートである。
【図１０】コンテンツに付される暗号化属性を説明する
ための図である。
【図１１】経路特定情報の埋め込みの処理手順を示す図
である。
【図１２】クライアントプログラムがコンテンツ配布サ
ーバを認証する場合のファイル送信装置のハードウェア
構成を示す図である。
【図１３】クライアントプログラムがコンテンツ配布サ
ーバを認証する場合のファイル受信装置のハードウェア
構成を示す図である。
【図１４】クライアントプログラムがコンテンツ配布サ
ーバを認証する場合のコンテンツ配布サーバのソフトウ
ェアの構成を示す図である。
【図１５】クライアントプログラムがコンテンツ配布サ
ーバを認証する場合のファイル受信装置のソフトウェア
の構成を示す図である。
【図１６】相互認証する場合のファイル受信装置のハー
ドウェア構成を示す図である。
【図１７】相互認証する場合のファイル受信装置のソフ
トウェアの構成を示す図である。
【図１８】相互認証する場合のクライアントプログラム
の処理手順を示すフローチャートである。
【図１９】相互認証する場合のコンテンツ配布サーバプ
ログラムの処理手順を示すフローチャートである。
【図２０】ポリシーテーブルの例を示す図である。
【図２１】キャッシュサーバを含む送受信ネットワーク
システムの構成を示す図である。
【図２２】キャッシュサーバのハードウェア構成、即ち
キャッシュサーバとしてのファイル送受信装置の構成を
示す図である。
【図２３】キャッシュサーバのソフトウェアの構成を示
す図である。
【図２４】コンテンツ配布サーバとキャッシュサーバや
り取りと、キャッシュサーバと利用者とのやり取りを示
す図である。
【図２５】キャッシュサーバがコンテンツ配布サーバか
らコンテンツを受信するまでの処理手順を示すフローチ
ャートである。
【図２６】キャッシュサーバが利用者にコンテンツを送
信するまでの処理手順を示すフローチャートである。
【図２７】ウィルスチェックプログラムの構成を示す図
である。
【図２８】サーバのバージョンチェックを行わない従来
のコンテンツ取得方法を示す図である。
【図２９】サーバのバージョンチェックを行う従来のコ
ンテンツ取得方法を示す図である。
【図３０】サーバのバージョンチェックを行ってもウィ
ルスに感染してしまう従来のコンテンツ取得方法を示す
図である。
【図３１】サーバのバージョンチェックを行ってもウィ
ルスに感染してしまう従来のコンテンツ取得方法を示す
図である。
【符号の説明】
１ ファイル送信装置 １１ 汎用プロセッサ ２ ファイル受信装置 ２１ 耐タンパプロセッサ ２１１ プロセッサ秘密鍵 ３ コンテンツ作成者 ４１ サーバプログラム ４１１ コンテンツ暗号化機能 ４１２ ブラウザ公開鍵リスト ４１３ クライアント認証プログラム ４１４ 認証公開鍵 ５１ ブラウザプログラム ５３ コンテンツ受信プログラム ５３１ プログラム復号化鍵 ５３２ 認証秘密鍵 ５３３ コンテンツ復号化機能 ６ ファイル送信装置 ６１ 耐タンパプロセッサ ７ ファイル受信装置 ７１ 汎用プロセッサ ８１ コンテンツ配布サーバプログラム ８１１ プログラム復号化鍵 ８１２ 認証秘密鍵 ８１３ コンテンツ暗号化機能 ８１４ コンテンツ配布機能 ９１ クライアントプログラム ９３ サーバチェックプログラム ９３１ サーバチェック機能 ９３２ 認証公開鍵 １０１ クライアントプログラム １０３ サーバチェックプログラム １０３１ プログラム復号化鍵 １０３２ 認証秘密鍵 １０３３ サーバチェック実行プログラム １０３４ ポリシーテーブル ２０ ファイル送受信装置 ２０１ 耐タンパプロセッサ ２０１１ プロセッサ秘密鍵 ３０１ キャッシュサーバプログラム ３０１１ コンテンツ受信プログラム ３０１２ コンテンツ配布機能 ３０１３ プログラム復号化鍵 ３０１４ コンテンツ配布サーバ用認証鍵 ３０１５ コンテンツ受信プログラム用認証鍵 ４０ ウィルスチェックプログラム ４０１ プログラム復号化鍵 ４０２ ウィルスチェック機能 ４０３ 認証鍵 ５０ コンテンツ配布サーバ ６０ コンテンツ閲覧プログラム ７０ キャッシュサーバ ８０ 利用者閲覧プログラム １１０ セキュリティ機関 １２０ サーバプログラムベンダ １３０ 攻撃者 １４０，１５０ サーバ １６０ 利用者 ９０１ コンテンツ本体 ９０２ 著作権保護属性 ９０３ 暗号化属性 ９０４ ポリシーテーブル

Claims (8)

    【特許請求の範囲】
  1. 【請求項１】 プロセッサ秘密鍵を内蔵するマイクロプ
    ロセッサ及び外部メモリを備えた送信装置及び受信装置
    において実行されるコンテンツ配布／受信方法におい
    て、 前記送信装置及び受信装置に備えられる前記マイクロプ
    ロセッサは、複数のプログラムに各々対応する複数の配
    布鍵を前記プロセッサ秘密鍵によって各々復号化するこ
    とにより得られる複数のプログラム鍵を取り出し、 前記複数のプログラム鍵により各々暗号化された状態で
    前記外部メモリに配置された複数のプログラムを、対応
    するプログラム鍵によってそれぞれ復号化して擬似並列
    的に実行可能なものであって、 前記受信装置において実行されるコンテンツ受信閲覧プ
    ログラムは、 所定の秘密が、対応するプログラム鍵に基づいて暗号化
    された状態で格納され、前記送信装置に対して前記秘密
    の保持を証明する証明ステップを備え、 前記送信装置において実行されるコンテンツ送信プログ
    ラムは、 前記受信装置のコンテンツ受信閲覧プログラムからコン
    テンツを特定した受信要求を受け取る要求受信ステップ
    と、 前記受信要求の発行元のコンテンツ受信閲覧プログラム
    について前記所定の秘密を、前記コンテンツ受信閲覧プ
    ログラムの秘密鍵に対応し、コンテンツ送信プログラム
    が予め保持する公開鍵に基づいて、所定の公開鍵アルゴ
    リズムにより認証する機能、又は、コンテンツ送信プロ
    グラムが予め保持する前記コンテンツ受信閲覧プログラ
    ムとの間で共有する秘密鍵に基づいて秘密鍵アルゴリズ
    ムにより認証する機能のいずれかを持つ認証ステップ
    と、 前記認証ステップにおいてコンテンツ受信閲覧プログラ
    ムが前記所定の秘密を保持することが証明された場合の
    み、前記コンテンツ受信閲覧プログラムとコンテンツ送
    信プログラムとの間で他のプログラムから排他的に共有
    された秘密に基づいて暗号化したコンテンツの送信を許
    可する保護ステップと、 を備えることを特徴とするコンテンツ配布／受信方法。
  2. 【請求項２】 前記送信装置において実行されるコンテ
    ンツ送信プログラムは、前記要求されたコンテンツに含
    まれる著作権保護指定の有無を判別する判別ステップを
    更に持ち、この判別ステップにより保護指定有りと判別
    されたコンテンツに対して、前記認証ステップを実行す
    ることを特徴とする請求項１に記載のコンテンツ配布／
    受信方法。
  3. 【請求項３】 前記受信装置において実行されるコンテ
    ンツ受信閲覧プログラムは、有効期間に関する情報が含
    まれるコンテンツを受信した場合には、前記有効期間に
    関する情報に基づいてコンテンツの閲覧を制御すること
    を特徴とする請求項１に記載のコンテンツ配布／受信方
    法。
  4. 【請求項４】 前記コンテンツは、該コンテンツを利用
    する際の制限事項、該コンテンツの著作権表示内容、該
    コンテンツの課金情報のうち少なくとも１つを含むこと
    を特徴とする請求項１に記載のコンテンツ配布／受信方
    法。
  5. 【請求項５】 前記コンテンツ受信閲覧プログラムは、
    前記コンテンツを受信した際に、前記コンテンツを受信
    した受信装置及び前記受信装置の所有者の少なくとも一
    方を特定する情報を、受信した該コンテンツに付加する
    ことを特徴とする請求項１に記載のコンテンツ配布／受
    信方法。
  6. 【請求項６】 プロセッサ秘密鍵を内蔵するマイクロプ
    ロセッサ及び外部メモリを備えた送信装置と、他の受信
    装置において実行されるコンテンツ配布／受信方法にお
    いて、 前記送信装置に備えられる前記マイクロプロセッサは、
    複数のプログラムに各々対応する複数の配布鍵を前記プ
    ロセッサ秘密鍵によって各々復号化することにより得ら
    れる複数のプログラム鍵を取り出し、 前記複数のプログラム鍵により各々暗号化された状態で
    前記外部メモリに配置された複数のプログラムを、対応
    するプログラム鍵によってそれぞれ復号化して擬似並列
    的に実行可能なものであって、 前記送信装置において実行されるコンテンツ送信プログ
    ラムには、該コンテンツ送信プログラムに対応付けられ
    た秘密鍵が前記プログラム鍵に基づいて暗号化された状
    態で格納され、 前記受信装置のコンテンツ受信閲覧プログラムは、 前記コンテンツの送信元のコンテンツ送信プログラムに
    ついて、前記コンテンツ送信プログラムの秘密鍵に対応
    し、コンテンツ受信閲覧プログラムが予め保持する公開
    鍵に基づいて、所定の公開鍵アルゴリズムにより認証す
    る認証ステップと、 前記認証ステップにおいてコンテンツ送信プログラムが
    前記所定の秘密を保持することが証明された場合のみ前
    記コンテンツ送信プログラムからコンテンツを受信する
    ことを特徴とするコンテンツ配布／受信方法。
  7. 【請求項７】 プロセッサ秘密鍵を内蔵するマイクロプ
    ロセッサ及び外部メモリを備えた送信装置及び受信装置
    において実行されるコンテンツ配布／受信方法におい
    て、 前記送信装置及び受信装置に備えられる前記マイクロプ
    ロセッサは、複数のプログラムに各々対応する複数の配
    布鍵を前記プロセッサ秘密鍵によって各々復号化するこ
    とにより得られる複数のプログラム鍵を取り出し、 前記複数のプログラム鍵により各々暗号化された状態で
    前記外部メモリに配置された複数のプログラムを、対応
    するプログラム鍵によってそれぞれ復号化して擬似並列
    的に実行可能なものであって、 前記受信装置において実行されるコンテンツ受信閲覧プ
    ログラム及び前記送信装置において実行されるコンテン
    ツ送信プログラムは、 所定の秘密が、それぞれ対応するプログラム鍵に基づい
    て暗号化された状態で格納され、通信相手に対して前記
    秘密の保持を証明する証明ステップを備え、 前記証明ステップにおいて、前記通信相手の秘密の保持
    が証明された場合には、 前記送信装置が、前記受信装置から受信した送信装置チ
    ェックプログラムの実行を許可すると共に、前記受信装
    置が、前記送信装置チェックプログラムにより前記送信
    装置の安全性を検証し、 前記受信装置は、前記送信装置を安全であると判定した
    場合、前記コンテンツ受信要求に係るコンテンツを前記
    送信装置から受信することを特徴とするコンテンツ配布
    ／受信方法。
  8. 【請求項８】 前記受信装置は、前記安全性を検証する
    際の判断基準が列記され、前記プログラム暗号化鍵で暗
    号化されたテーブルを更に有し、そのテーブルに列記さ
    れた判断基準に基づいて前記配布装置の安全性を検証す
    ることを特徴とする請求項７に記載のコンテンツ配布／
    受信方法。
JP2002134507A 2002-05-09 2002-05-09 コンテンツ配布／受信方法 Pending JP2003330365A (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2002134507A JP2003330365A (ja) 2002-05-09 2002-05-09 コンテンツ配布／受信方法
KR1020030028924A KR100615021B1 (ko) 2002-05-09 2003-05-07 콘텐츠 배포/수신 방법
CNB031491529A CN1266875C (zh) 2002-05-09 2003-05-09 内容发布/接收方法
EP03252895A EP1361497A3 (en) 2002-05-09 2003-05-09 Contents distribution scheme using tamper-resistant processor
US10/434,082 US20040030911A1 (en) 2002-05-09 2003-05-09 Contents distribution scheme using tamper-resistant processor

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2002134507A JP2003330365A (ja) 2002-05-09 2002-05-09 コンテンツ配布／受信方法

Publications (1)

Publication Number Publication Date
JP2003330365A true JP2003330365A (ja) 2003-11-19

Family

ID=29244185

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2002134507A Pending JP2003330365A (ja) 2002-05-09 2002-05-09 コンテンツ配布／受信方法

Country Status (5)

Country Link
US (1) US20040030911A1 (ja)
EP (1) EP1361497A3 (ja)
JP (1) JP2003330365A (ja)
KR (1) KR100615021B1 (ja)
CN (1) CN1266875C (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007128313A (ja) * 2005-11-04 2007-05-24 Nec Corp コンテンツ提供システム、コンテンツ提供装置、端末装置、コンテンツ提供方法およびコンテンツ取得方法
JP2009055086A (ja) * 2007-08-23 2009-03-12 Ricoh Co Ltd 画像処理装置及び画像処理方法
US7971239B2 (en) 2005-07-07 2011-06-28 Sony Computer Entertainment Inc. Device control apparatus

Families Citing this family (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4282472B2 (ja) * 2003-12-26 2009-06-24 株式会社東芝 マイクロプロセッサ
EP1594083A1 (de) * 2004-05-07 2005-11-09 Alcatel Verfahren zum Zusenden von digitalen Kopien geschützter Medien sowie Netzzugangseinrichtung
JP4559794B2 (ja) * 2004-06-24 2010-10-13 株式会社東芝 マイクロプロセッサ
JP4612461B2 (ja) * 2004-06-24 2011-01-12 株式会社東芝 マイクロプロセッサ
JP4204522B2 (ja) * 2004-07-07 2009-01-07 株式会社東芝 マイクロプロセッサ
KR20060004490A (ko) * 2004-07-09 2006-01-12 백원장 배포가능한 유료 디지털 컨텐츠에 관한 권리를 관리하는시스템 및 방법
US8839450B2 (en) * 2007-08-02 2014-09-16 Intel Corporation Secure vault service for software components within an execution environment
US7669242B2 (en) * 2005-06-30 2010-02-23 Intel Corporation Agent presence monitor configured to execute in a secure environment
US7953980B2 (en) 2005-06-30 2011-05-31 Intel Corporation Signed manifest for run-time verification of software program identity and integrity
US7571298B2 (en) * 2005-06-30 2009-08-04 Intel Corporation Systems and methods for host virtual memory reconstitution
US20070006307A1 (en) * 2005-06-30 2007-01-04 Hahn Scott D Systems, apparatuses and methods for a host software presence check from an isolated partition
US20070067590A1 (en) * 2005-09-22 2007-03-22 Uday Savagaonkar Providing protected access to critical memory regions
US8168487B2 (en) 2006-09-28 2012-05-01 Hrl Laboratories, Llc Programmable connection and isolation of active regions in an integrated circuit using ambiguous features to confuse a reverse engineer
US7802050B2 (en) * 2006-09-29 2010-09-21 Intel Corporation Monitoring a target agent execution pattern on a VT-enabled system
US7882318B2 (en) * 2006-09-29 2011-02-01 Intel Corporation Tamper protection of software agents operating in a vitual technology environment methods and apparatuses
US8495383B2 (en) * 2006-12-14 2013-07-23 Nokia Corporation Method for the secure storing of program state data in an electronic device
KR100924314B1 (ko) * 2007-07-09 2009-11-02 주식회사 태그스토리 멀티미디어 데이터 소스 보호 시스템 및 그 방법
US8099718B2 (en) 2007-11-13 2012-01-17 Intel Corporation Method and system for whitelisting software components
JP4976991B2 (ja) * 2007-11-22 2012-07-18 株式会社東芝 情報処理装置、プログラム検証方法及びプログラム
US7979909B2 (en) * 2007-12-03 2011-07-12 Wells Fargo Bank Application controlled encryption of web browser data
JP5322620B2 (ja) 2008-12-18 2013-10-23 株式会社東芝 情報処理装置、プログラム開発システム、プログラム検証方法及びプログラム
US8364601B2 (en) * 2008-12-31 2013-01-29 Intel Corporation Methods and systems to directly render an image and correlate corresponding user input in a secure memory domain
JP5171907B2 (ja) * 2010-09-13 2013-03-27 株式会社東芝 情報処理装置、情報処理プログラム
KR101255137B1 (ko) * 2011-05-17 2013-04-22 인크로스 주식회사 콘텐츠 검증 정책 배포 관리 방법
CN103140856B (zh) 2011-09-13 2016-02-17 松下电器产业株式会社 内容再生系统、信息处理终端、媒体服务器、安全器件以及服务器安全器件
US20140059708A1 (en) * 2012-08-23 2014-02-27 Condel International Technologies Inc. Apparatuses and methods for protecting program file content using digital rights management (drm)
GB2531770A (en) * 2014-10-30 2016-05-04 Ibm Confidential Extracting System Internal Data
CN106713253B (zh) * 2015-11-18 2020-10-13 中兴通讯股份有限公司 周边感知联网中发送、接收信息的方法和装置
US11032320B1 (en) * 2016-09-19 2021-06-08 Jpmorgan Chase Bank, N.A. Systems and methods for dynamic application level encryption
EP3890382B1 (en) 2017-07-25 2022-09-07 Telefonaktiebolaget LM Ericsson (publ) Subscription concealed identifier
CN111026986B (zh) * 2018-10-10 2023-07-04 阿里巴巴集团控股有限公司 一种网页水印渲染方法及装置
US12088694B2 (en) 2020-12-24 2024-09-10 Samsung Electronics Co., Ltd. Method for providing encrypted object and electronic device for supporting the same
CN115243112A (zh) * 2022-06-07 2022-10-25 苏州思萃工业互联网技术研究所有限公司 一种监控视频溯源的装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4558176A (en) * 1982-09-20 1985-12-10 Arnold Mark G Computer systems to inhibit unauthorized copying, unauthorized usage, and automated cracking of protected software
US5666411A (en) * 1994-01-13 1997-09-09 Mccarty; Johnnie C. System for computer software protection
US6542610B2 (en) * 1997-01-30 2003-04-01 Intel Corporation Content protection for digital transmission systems
US6611812B2 (en) * 1998-08-13 2003-08-26 International Business Machines Corporation Secure electronic content distribution on CDS and DVDs
US6330670B1 (en) * 1998-10-26 2001-12-11 Microsoft Corporation Digital rights management operating system
US7270193B2 (en) * 2000-02-14 2007-09-18 Kabushiki Kaisha Toshiba Method and system for distributing programs using tamper resistant processor

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7971239B2 (en) 2005-07-07 2011-06-28 Sony Computer Entertainment Inc. Device control apparatus
JP2007128313A (ja) * 2005-11-04 2007-05-24 Nec Corp コンテンツ提供システム、コンテンツ提供装置、端末装置、コンテンツ提供方法およびコンテンツ取得方法
JP2009055086A (ja) * 2007-08-23 2009-03-12 Ricoh Co Ltd 画像処理装置及び画像処理方法

Also Published As

Publication number Publication date
KR100615021B1 (ko) 2006-08-25
CN1457169A (zh) 2003-11-19
KR20030087951A (ko) 2003-11-15
EP1361497A2 (en) 2003-11-12
US20040030911A1 (en) 2004-02-12
EP1361497A3 (en) 2004-11-17
CN1266875C (zh) 2006-07-26

Similar Documents

Publication Publication Date Title
KR100615021B1 (ko) 콘텐츠 배포/수신 방법
KR100362219B1 (ko) 변조방지 프로세서를 이용하여 프로그램을 분배하기 위한방법 및 시스템
US8136166B2 (en) Installation of black box for trusted component for digital rights management (DRM) on computing device
US7797544B2 (en) Attesting to establish trust between computer entities
JP4278327B2 (ja) コンピュータ・プラットフォームおよびその運用方法
US8204233B2 (en) Administration of data encryption in enterprise computer systems
US7685425B1 (en) Server computer for guaranteeing files integrity
US20050060568A1 (en) Controlling access to data
CN109923548A (zh) 通过监管进程访问加密数据实现数据保护的方法、系统及计算机程序产品
US20020032873A1 (en) Method and system for protecting objects distributed over a network
KR20030036787A (ko) 네트워크를 통하여 분배되는 객체를 보안화하기 위한 감사추적 구축용 시스템
KR20070046982A (ko) 하드웨어 식별에 기초한 디지털권 관리 시스템
JPH1185622A (ja) コア・データ機密事項の保護記憶
KR100561497B1 (ko) 소프트웨어 보안 인증 경로
CN113614720A (zh) 一种动态配置可信应用程序访问控制的装置和方法
CN100591006C (zh) 安全读取下载数据的方法和系统
JP2005197912A (ja) 情報開示制御方法、情報開示制御プログラム、ならびに、耐タンパ装置
EP1662693B1 (en) Digital literary work protection system and digital literary work protection method
JPH10260939A (ja) コンピュータネットワークのクライアントマシン認証方法，クライアントマシン，ホストマシン及びコンピュータシステム
JP2008021021A (ja) ソフトウエアのライセンス認証方法
KR20050026131A (ko) 개인 휴대 단말기의 데이터 동기화 방법 및 그 시스템
KR100523843B1 (ko) 디지털 저작권 관리 클라이언트에서의 접근권한 제어를위한 접근 제어 목록 기반의 제어 장치
WO2019235450A1 (ja) 情報処理装置、情報処理方法、情報処理プログラム、及び情報処理システム
WO2003067850A1 (en) Verifying digital content integrity
CN117294448A (zh) 一种增强互联网服务端安全性能的方法

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20060606

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20060807

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20060829