JP2004289847A - 更新可能な条件付き受信システム - Google Patents

Abstract

【課題】 安全で、さらに容易に更新することを可能にする混成ハードウェア／ソフトウェアアーキテクチャを利用する条件付き受信システムを提供すること。
【解決手段】 本システムは、ソフトウェア構成要素によってアクセス可能なコンテンツが、セキュリティモジュールに渡されて、モジュール内で保持されるキーを用いて復号化され、復号化されたコンテンツは次いで、さらに処理するために、セキュリティモジュールからプロセッサに転送され、こうした混成アーキテクチャを用いることによって、暗号化キーおよびアルゴリズムの基本要素が、埋込みモジュール内に安全に保持され、他の構成要素には露出されなくすることができる。
【選択図】 図２

Description

本発明は、条件付き受信システム（ｃｏｎｄｉｔｉｏｎａｌ ａｃｃｅｓｓ ｓｙｓｔｅｍｓ）に関する。

今日の娯楽の世界では、マルチメディアコンテンツが、ケーブルネットワーク、衛星、地上波、およびインターネットを介して家庭に配信される。こうしたコンテンツは、無許可アクセスを防止するために、配信される前に暗号化される（または、別のやり方ではスクランブルされる）。条件付き受信システムは、コンテンツが到着したときにそれを復号化するために、利用者のところに常駐する。こうしたシステムは、視聴者の加入者パッケージまたは他の条件に基づいて、いつ、どのようなコンテンツを視聴することが視聴者に許可されるか指定する条件付き受信ポリシーを実装する。このようにして、条件付き受信システムは、許可された利用者だけがコンテンツを視聴することができるようにする。柔軟性のために、このようなシステムは、条件付き受信ポリシーの更新性をサポートすることが望ましい。こうすることにより、コンテンツプロバイダは、どのような理由でも、たとえば視聴者が加入者パッケージを変更したときに、アクセス条件を変えることができるようになる。

条件付き受信システムは通常、次の３つのグループのいずれかである。すなわち、（１）ハードウェアベースのシステム、（２）ソフトウェアベースのシステム、および（３）スマートカードベースのシステムである。第１のグループでは、復号化技術および条件付きポリシーは、ハードウェアで実装される。ハードウェアを中心とした設計は、攻撃するのが難しいので、安全性の観点からは信頼できる。しかし、ハードウェアによる解決法は、条件付き受信ポリシーが容易に更新することができないという点で欠点を有する。

ソフトウェアベースの解決法、たとえばデジタル著作権管理（ＤＲＭ）設計は、復号技術を保護するために不明瞭性に依拠する。ソフトウェアベースの解決法を用いると、ポリシーは容易にかつ安価に更新することができるが、このようなシステムは、ハードウェアベースの設計と比較して危険にさらされやすい場合がある。第３のグループ、すなわちスマートカードベースの装置は、安全なマイクロプロセッサに依拠する。スマートカードは安価に置き換えることができるが、埋込みハードウェアによる解決法よりも攻撃を受けやすいことが証明されている。

Bruce Schneier, "Applied Cryptography: Protocols, Algorithms, and Source Code in C," published by John Wiley & Sons with copyright1994 (with a second edition in 1996) Alfred J. Menezes, Paul C. van Oorschot, and Scott A. Vanstone, "Handbook of Applied Cryptography," published by CRC Press with copyright 1997

したがって、改良された条件付き受信アーキテクチャが継続的に必要とされている。

条件付き受信システムは、安全で、さらに容易に更新することを可能にする混成ハードウェア／ソフトウェアアーキテクチャを利用する。このシステムは、暗号化機能をすべて実施する単一の集積回路チップ上に実装されるセキュリティモジュールを有する。セキュリティモジュールはまた、コンテンツの復号化において使われるすべての暗号化キーを格納する。条件付き受信システムは、条件付き受信ポリシーを確立する１つまたは複数のソフトウェア構成要素をさらに実装する。こうしたソフトウェア構成要素は、セキュリティモジュールの外で実行され、セキュリティモジュールによって信頼される必要はない。

条件付き受信システムは、ソフトウェア構成要素で実装されるポリシーに基づいて、どのコンテンツがアクセス可能か判定する。アクセス可能と思われるコンテンツは、セキュリティモジュールに渡されて、モジュール内で保持されるキーを用いて復号化される。復号化されたコンテンツは次いで、さらに処理するために、セキュリティモジュールから映像プロセッサに渡される。

こうした混成アーキテクチャを用いることによって、暗号化キーおよびアルゴリズムの基本要素は、埋込みチップモジュール内に安全に保持され、他の構成要素には露出されない。こうすることにより、純粋にハードウェアベースのシステムに類似した信頼できる安全性が提供される。ただし、アクセスポリシーは容易にアップデートすることができるソフトウェア構成要素として実装されるので、こうしたアーキテクチャは容易な更新を可能にする。

開示する対象は、信頼できる安全性および更新可能なアクセスポリシーを有する混成ハードウェア／ソフトウェアアーキテクチャを実装する条件付き受信システムを説明する。以下の説明では、読者が暗号についての知識があると仮定している。暗号の基本的な概論のために、読者は、たとえば非特許文献１や非特許文献２に示す書籍を参照されたい。

例示的な環境
図１は、条件付き受信システム１０２を実装することができる例示的な環境１００を示す。条件付き受信システム１０２は、視聴世帯１０４の中に常駐するものとして示してある。システム１０２は、セットトップボックス（ＳＴＢ）やケーブル受信機、衛星受信機、デジタルビデオレコーダ、またはコンテンツへの条件付き受信を提供する他の装置など、多くの形で実装することができる。コンテンツは、映像、音声、テキスト、画像など多くの形で具体化することができる。図示した実装形態では、条件付き受信システム１０２は、視聴者への表示のために、アクセス可能なコンテンツをテレビ１０６に出力する。

条件付き受信システム１０２は、たとえばデジタル衛星放送局１１０およびケーブルネットワークオペレータ１１２など１つまたは複数の発信源から、アナログまたはデジタル映像コンテンツを受信することができる。衛星放送局１１０は、コンテンツをデジタルパケットに符号化し、アップリンク送信機１２０および軌道衛星１２２を有する衛星ネットワークを介してこのパケットを送信する。衛星受信機またはパラボラアンテナ１２４は、視聴世帯１０４に常駐して衛星放送を受信する。

ケーブルネットワークオペレータ１１２は、デジタルまたはアナログ形式のコンテンツを、ケーブル配信ネットワーク１３０を介して視聴者の住居１０４に送信するように構成される。ケーブルネットワーク１３０は、主に放送ネットワークとして実装することもでき、対話性をサポートするように実装することもできる。図示したものに加えて、たとえば地上波無線ネットワーク（たとえばＲＦ、マイクロ波など）を介して送信を行う地域放送局、およびインターネットを介してコンテンツを流すコンテンツサーバなど他のコンテンツ発信源および配信ネットワークを使うこともできる。

条件付き受信システム１０２は、埋込みチップ技術とソフトウェア技術を組み合わせる混合アーキテクチャを実装する。条件付き受信システム１０２は、暗号化／復号化エンジンおよびキーマネージャなどの汎用暗号構築ブロックから構成される埋込みセキュリティモジュール１４０を含む。また、セキュリティモジュール１４０は、コンテンツを復号化するのに使われるキーを保持するキー記憶装置１４２を含む。セキュリティモジュール１４０は、回路およびキーを単一の集積回路チップに埋め込むなどの耐タンパ技術を使って構成され、こうした埋込みによって、リバースエンジニアリングまたは別のやり方では暗号攻撃を行うのが難しくなる。

条件付き受信システム１０２は、セキュリティモジュール１４０から分離したＣＰＵ（中央処理装置）１４４をさらに含む。１つまたは複数の更新可能なソフトウェア構成要素１４６は、ＣＰＵ１４４上で実行されるように示してある。更新可能なソフトウェア１４６は、容易にまたは直ちにアップデート可能であるという利益のある項目を含む。このような項目には、条件付き受信ポリシー、条件付き受信システム１０２用の演算コード、ならびに利用者が使用可能なコンテンツの内容、そのコンテンツが使用可能な時間の長さ、およびそのコンテンツの価格を説明する利用者のインフラストラクチャがある。ソフトウェア構成要素１４６は、配信ネットワーク（たとえば、衛星ネットワーク、ケーブルネットワーク、インターネット）を介して新しいソフトウェア構成要素（群）をダウンロードすることによって、または新しい構成要素（群）を有する記憶媒体を郵送することによって、集合的にまたは個別にアップデートすることができる。

条件付き受信システム１０２で受信されるコンテンツの一部または全部は、意図しないまたは無許可の視聴を防止するために、暗号化された状態にある。ＣＰＵ１４４は、ソフトウェア構成要素１４６において確立されたポリシーおよびインフラストラクチャに基づいて、どのコンテンツがアクセス可能か判定する。アクセス可能と思われるコンテンツは、セキュリティモジュール１４０に渡され、そこで安全なキー記憶装置１４２内に維持されるキーを用いて復号化される。復号化されたコンテンツは次いで、さらに処理して視聴者に表示するために、映像プロセッサ１４８に転送される。

こうした条件付き受信処理の間、セキュリティモジュール１４０は、キー記憶装置１４２内のキーをＣＰＵ１４４および映像プロセッサ１４８など他の構成要素に露出することなく、コンテンツに対して暗号化関数をすべて実施する。キーおよび暗号化機能はシリコンに埋め込まれてチップを離れることがないので、暗号攻撃を加えて条件付き受信システムの秘密を発見することは難しい。ハードウェア構成要素の間の通信回線を単に傍受するだけでは、条件付き受信システムをうまく攻撃することはできない。また、ソフトウェア構成要素１４６は、キーもキー記憶装置も含まないので、セキュリティモジュール１４０によって信頼される必要はない。したがって、ソフトウェア構成要素１４６は、規定どおりに、または必要に応じてアップデートすることができる。その結果、こうしたアーキテクチャは、埋込みシステムの安全性を提供するが、ポリシーおよび他のインフラストラクチャ要素に対して、更新可能なソフトウェアの柔軟性を可能にする。

条件付き受信システム
図２は、条件付き受信システム１０２の選択された構成要素をより詳細に示す。システム１０２は、埋込みセキュリティモジュール１４０、ＣＰＵ１４４、および映像プロセッサ１４８を含む。条件付き受信システム１０２は、コンテンツを受信するための、配信ネットワーク（たとえば、衛星パラボラアンテナ１２４またはケーブル１３０）への接続を可能にするネットワークＩ／Ｏ２００をさらに含む。１つまたは複数のユーザ入力装置２０２（たとえば、パネルボタン、携帯型のリモコン）は、視聴者の条件付き受信システムとの対話を容易にするために、任意選択で提供される。さらに、構成によっては、１つまたは複数の出力装置２０４（たとえば、ＬＥＤ、スクリーン、スピーカなど）を条件付き受信システムにおいて実装することができる。

１つまたは複数の更新可能なソフトウェア構成要素１４６は、ＣＰＵ１４４上で実行されるものとして示してある。代表的な構成要素には、条件付き受信ポリシー構成要素２１０、演算コード２１２、および加入者パッケージ２１４がある。ポリシー構成要素２１０は、どのコンテンツがアクセスすることができるか指示するアクセスパラメータおよび条件を表す。演算コード２１２は、条件付き受信システム１０２用の演算パラメータを提供する。加入者パッケージ２１４は、どのコンテンツにいつ視聴者がアクセスすることができるか設定する情報を含む。加入者パッケージ２１４は、何に対して視聴者が支払いをしたか、または要求に応じて支払おうとしているかによって、いくつかの異なるアクセスレベルを伴って構成することができる。

ソフトウェア構成要素１４６は、不揮発性メモリに格納され、一群としてまたは個別にアップデートすることができる。新しい構成要素を、条件付き受信システム１０２上でルーチン実施の一部として、または「必要に応じて」ダウンロードしインストールすることができる。新しい構成要素は、たとえばコンテンツにアクセスするためのポリシーを変え、視聴者がアクセスすることができるコンテンツを変更し、条件付き受信システム１０２の動作を修正することなどができる。

埋込みセキュリティモジュール１４０は、条件付き受信システム１０２用のセキュリティ機能を実施する。コンテンツへの無許可アクセスを防止するために、埋込みセキュリティモジュール１４０は、ＣＰＵ１４４および映像プロセッサ１４８から分離した単一の集積回路チップとして構成される。セキュリティモジュールは、コンテンツの復号化において使われる暗号化機能を提供する。暗号化機能、暗号基本要素、およびキーは、１つのシリコン上に維持され、不正オペレータがチップ間通信を傍受することによって秘密を知ることを防止するように、他の構成要素には露出されない。更新可能なソフトウェア１４６は、セキュリティモジュール１４０の暗号化関数を使用するが、キーまたは他の復号化基本要素に直接アクセスすることはない。

図示した実装形態では、セキュリティモジュール１４０は、キー記憶装置１４２、データコンテンツ暗号化／復号化エンジン２２０、キーマネージャ２２２、およびプライベートキー２２４を含む。データ暗号化復号化エンジン２２０は、条件付き受信ポリシー２１０、加入者パッケージ２１４、および／または他のソフトウェアベースのモジュール１４６に基づいて、利用者がそれに対するアクセス権を持つと思われるコンテンツを復号化するのに使われる。一実装形態では、データ暗号化／復号化エンジン２２０は、大容量データの暗号化を実施するために、対象暗号または「秘密キー」暗号を実装する。秘密キー暗号は、暗号化および復号化の両方に対して単一の秘密キーを利用する。秘密キーは、両当事者（たとえば、コンテンツプロバイダおよび条件付き受信システム）に知られるが、その他に対しては秘密にしなければならない。秘密キーが露出されると、誰もがコンテンツを復号化できる。

２つの公知の秘密キー暗号が、ＤＥＳ（データ暗号化規格）およびＡＥＳ（次世代標準暗号化方式）である。ＤＥＳは、キーの長さによって様々な強度を有する、ＮＩＳＴ標準の秘密キー暗号技術による暗号である。標準ＤＥＳは、５６ビットのキーを用いるが、トリプルＤＥＳは、キーを１１２ビットまたは１６８ビットに拡張することによって安全性を増す。ＤＥＳは、暗号化する前にテキストを６４ビットのブロックに分割するブロック暗号方法を用いる。いくつかのＤＥＳ暗号モードが存在するが、普及している１つのモードは、各平文ブロックを直前の暗号化ブロックを用いてＸＯＲする論理的「排他ＯＲ」機能を使うものである。ＡＥＳは、１２８ビット、１９２ビットおよび２５６ビットのキーを使用する別のＮＩＳＴ標準の秘密キー暗号技術方法である。ＡＥＳは、トリプルＤＥＳで用いられる３つのパスではなく１つのパスにおける暗号化を可能にするラインダール（Ｒｉｊｎｄａｅｌ）アルゴリズム（開発者のＶｉｎｃｅｎｔ ＲｉｊｍｅｎおよびＪｏａｎ Ｄａｅｍｅｎの名前から名付けられた）を使用し、現在、そのより大きなキーサイズのためにより安全となっている。

秘密キー暗号は高速であり、大量のデータを非常に効率的に暗号化するのに使うことができる。したがって、条件付き受信システム１０２に送信されるコンテンツは、秘密キー暗号および秘密コンテンツキーを用いて暗号化される。特定のプロバイダからのすべてのコンテンツ用の１つの秘密コンテンツキーがあってもよく、各番組に関連づけられた１つの秘密コンテンツキーがあってもよく、単一のコンテンツ用のいくつかの秘密コンテンツキーがあってもよい。秘密コンテンツキーは、キー２３０（１）、２３０（２）、．．．、２３０（Ｋ）で表されるように、キー記憶装置１４２に格納される。

コンテンツキーは、秘密にしておくために、暗号化された状態で条件付き受信システム１０２に転送される。より具体的には、秘密コンテンツキーは、非対称暗号または「公開キー」暗号を用いてそれ自体が暗号化される。公開キー暗号は、１対の公開キーおよびプライベートキーを利用して情報を暗号化し復号化する。プライベートキーは秘密にされるが、公開キーは、公開してもよく、別のやり方では一般人に対して使用可能にしてもよい。公開キーアルゴリズムを用いると、公開キーによって暗号化されたコンテンツは、プライベートキーによってのみ復号化することができ、その逆も同様である。１つの公知の公開キー暗号はＲＳＡアルゴリズムであり、これはその作成者であるＲｉｖｅｓｔ、Ｓｈａｍｉｒ、およびＡｄｌｅｍａｎの名前から名付けられた。公開キーアルゴリズム、たとえばＲＳＡは、計算集約型である。したがって、こうしたアルゴリズムは、コンテンツの大容量の暗号化には使われない。そうではなく、公開キー暗号は、秘密コンテンツキーを安全に転送するのに使われる。

条件付き受信システム１０２は、製造中にプライベートキー２２４を割り当てられる。プライベートキーは、単一チップモジュール１４０に埋め込まれ、チップの外に露出されることはない。対応する公開キーが、一般社会に対して使用可能とされる。各条件付き受信システムごとに１つの公開キー／プライベートキーの対があってもよく、複数のシステムからなる組に割り当てられる１つのキーの対があってもよい。

コンテンツキー２３０は、プライベートキー２２４に関連づけられた公開キーを用いて暗号化される。キーマネージャ２２２は、公開キー暗号（たとえば、ＲＳＡアルゴリズム）を実装し、プライベートキー２２４を用いてコンテンツキー２３０を復号化する。復号化されると、秘密コンテンツキーは、キー記憶装置１４２に格納される。キーマネージャ２２２は、キー記憶装置１４２の管理にも責任がある。

図示したアーキテクチャによって、条件付き受信システム１０２は、セキュリティ機能に影響を与えることなく、ソフトウェア構成要素１４６をアップデートすることができる。また、ソフトウェア構成要素１４６は、所望されたときに更新することができる。というのは、キーまたは他の暗号基本要素の交換がないので、ハードウェアセキュリティモジュール１４０はソフトウェア構成要素を信頼する必要がないからである。

条件付き受信プロトコル
図３は、条件付き受信システム１０２によって実装される条件付き受信プロトコル３００を示す。処理３００は、システム１０２のソフトウェアおよびハードウェア構成要素の混成によって実施される。その動作は、どの構成要素が動作を実施するか表すために、見出しに基づいて視覚的に整列される。

ブロック３０２で、条件付き受信システム１０２は、様々なコンテンツプロバイダからコンテンツを受信する。コンテンツの一部または全部は、無許可の視聴を防止するために暗号化された状態で届く。コンテンツは、秘密キー暗号（たとえばＤＥＳまたはＡＥＳ）および１つまたは複数の秘密コンテンツキーを用いて、コンテンツプロバイダ（たとえばデジタル放送局１１０、ケーブルヘッドエンド１１２）で暗号化される。秘密コンテンツキーは条件付き受信システム１０２のプライベートキー２２４に対応する公開キー暗号および公開キーを用いて暗号化される。暗号化された秘密コンテンツキーは、暗号化されたコンテンツと共に、またはそれとは別個に、条件付き受信システム１０２に転送される。

ブロック３０４で、ＣＰＵ１４４は、ポリシー構成要素２１０、加入者パッケージ２１４、または他のパラメータによって課せられるアクセス条件に基づいて、コンテンツにアクセスする許可が視聴者に与えられるか判定する。既存の制限によって、視聴者は、特定のタイプのコンテンツにアクセスする許可を与えられる場合も、与えられない場合もあり得る。たとえば、ある利用者は加入プロバイダ（たとえば、ＨＢＯ（登録商標）またはＳｈｏｗｔｉｍｅ（登録商標））からの番組を視聴する許可を与えられることができ、別の利用者は許可を与えられず、第３の利用者はペイパービュー方式の番組を見る許可が一時的に与えられる。こうした様々な条件は、ＣＰＵ１４４で実行されるソフトウェアベースのモジュール１４６において実装される。

アクセスが許可されない場合（すなわち、ブロック３０６からの「Ｎｏ」分岐）、条件付き受信システムは、ソフトウェア構成要素１４６が更新されるべきかどうか判定する（ブロック３０８）。更新の評価は、条件付き受信システムによって主体的に（たとえば規定の時間に、または特別な番組に対する視聴者の要求に応答して）実施されるイベントでもよく、かつ／または、１つないしは複数のモジュールがアップデートされるべきであるという指示を条件付き受信システムが受動的に待つ受動的なイベントでもよい。更新が保証される場合（すなわち、ブロック３０８からの「Ｙｅｓ」分岐）、新しいモジュールがダウンロードされ、または別のやり方では条件付き受信システム１０２上に提供されインストールされる（ブロック３１０）。更新が計画されない場合（すなわち、ブロック３０８からの「Ｎｏ」分岐）、視聴者がアクセスを認められないまま処理は終わる。

視聴者がコンテンツへのアクセスを許可される場合（すなわち、ブロック３０６からの「Ｙｅｓ」分岐）、ＣＰＵ１４４は、特定のコンテンツに関連づけられた（またはコンテンツを提供するプロバイダに関連づけられた）１つまたは複数の秘密コンテンツキーをセキュリティモジュール１４０に渡す（ブロック３１２）。秘密コンテンツキー（群）は、暗号化された状態でセキュリティモジュールに渡される。ブロック３１４で、キーマネージャ２２２は、公開キー暗号（たとえば、ＲＳＡ）およびシステムのプライベートキー２２４を用いて秘密コンテンツキー（群）を復号化する。復号化されると、秘密コンテンツキーは、キー記憶装置１４２に格納される（ブロック３１６）。

ブロック３１８で、ＣＰＵ１４４は、暗号化されたコンテンツをセキュリティモジュール１４０に渡し始める。ブロック３２０で、データコンテンツ暗号化／復号化エンジン２２０は、秘密キー暗号（たとえば、ＤＥＳ、ＡＥＳ）および秘密コンテンツキー（群）２３０を用いてコンテンツを復号化する。データコンテンツ暗号化／復号化エンジン２２０は、復号化されたコンテンツをセキュリティモジュール１４０から映像プロセッサ１４８に渡す（ブロック３２２）。ブロック３２４で、映像プロセッサ１４８は、視聴者への表示のために復号化されたコンテンツを処理する。

結論
以上、本発明を構造的特徴および／または方法論的動作に特有の言葉で説明したが、添付の特許請求の範囲で定義される本発明は、説明した特定の特徴にも動作にも必ずしも条件付きにされないことを理解されたい。そうではなく、こうした特定の特徴および動作は、特許請求の範囲に記載されている本発明を実装するための例示的な形として開示した。

条件付き受信システムが実装されるコンテンツ配信環境を示す図である。 条件付き受信システムを示すブロック図である。 図２の条件付き受信システムによって実装される条件付き受信プロトコルを示すフロー図である。

符号の説明

１００ 例示的な環境
１０２ 条件付き受信システム、システム
１０４ 視聴世帯、視聴者の住居
１０６ テレビ
１１０ デジタル衛星放送局、衛星放送局、デジタル放送局
１１２ ケーブルネットワークオペレータ、ケーブルヘッドエンド
１２０ アップリンク送信機
１２２ 軌道衛星
１２４ 衛星受信機、パラボラアンテナ、衛星パラボラアンテナ
１３０ ケーブル配信ネットワーク、ケーブルネットワーク、ケーブル
１４０ 埋込みセキュリティモジュール、セキュリティモジュール、単一チップモジュール
１４２ キー記憶装置
１４４ 中央処理装置（ＣＰＵ）
１４６ 更新可能なソフトウェア、ソフトウェア構成要素、更新可能なソフトウェア構成要素、ソフトウェアベースのモジュール
１４８ 映像プロセッサ
２００ ネットワークＩ／Ｏ
２０２ ユーザ入力装置
２０４ 出力装置
２１０ 条件付き受信ポリシー構成要素、ポリシー構成要素、条件付き受信ポリシー
２１２ 演算コード
２１４ 加入者パッケージ
２２０ データコンテンツ暗号化／復号化エンジン、データ暗号化／復号化エンジン
２２２ キーマネージャ
２２４ プライベートキー
２３０ キー、コンテンツキー

Claims (12)

1. プロセッサと、
   どのコンテンツにアクセスすることができるか判定する条件付き受信ポリシーを管理する、前記プロセッサ上で実行可能な１つまたは複数のソフトウェア構成要素と、
   暗号化機能およびキー記憶装置を有する、前記プロセッサから独立したセキュリティモジュールと、
   前記ソフトウェア構成要素によってアクセス可能と判断された前記コンテンツは、前記セキュリティモジュールで復号化され、前記復号化で使われるキーおよび暗号基本要素は露出されないことを特徴とする条件付き受信システム。
2. 前記セキュリティモジュールは、公開キー／プライベートキーの対のプライベートキーを含み、前記セキュリティモジュールは、前記プライベートキーを使って秘密コンテンツキーを復号化して前記キー記憶装置に格納し、その後の前記コンテンツの復号化に使用することを特徴とする請求項１に記載の条件付き受信システム。
3. 前記１つまたは複数のソフトウェア構成要素を１つまたは複数の新しいソフトウェア構成要素で置き換えることによって、前記条件付き受信ポリシーが更新されることを特徴とする請求項１に記載の条件付き受信システム。
4. 前記コンテンツは映像コンテンツを含み、前記セキュリティモジュールによって復号化された前記コンテンツを処理する映像プロセッサをさらに含むことを特徴とする請求項１に記載の条件付き受信システム。
5. コンテンツプロバイダからコンテンツを受信し、前記コンテンツは秘密キー暗号および秘密コンテンツキーを使って暗号化され、前記秘密コンテンツキーは公開キー暗号、およびプライベートキー／公開キーの対の公開キーを使って暗号化される条件付き受信システムであって、
   プロセッサと、
   前記コンテンツにアクセスすることができるか判定する条件付き受信ポリシーを示す、前記プロセッサ上で実行可能な１つまたは複数のソフトウェアベースのポリシー構成要素と、
   前記プロセッサから独立し、単一集積回路チップとして実装されるセキュリティモジュールとを備え、前記セキュリティモジュールは、
   前記プライベートキーおよび公開キーの対のプライベートキーと、
   前記公開キー暗号を実装し、前記プライベートキーを使って、前記ポリシー構成要素によってアクセス可能と思われる前記コンテンツ用の前記秘密コンテンツキーを復号化するキーマネージャと、
   前記秘密コンテンツキーを格納するキー記憶装置と、
   前記秘密キー暗号を実装し、前記秘密コンテンツキーを使って前記コンテンツを復号化するコンテンツ暗号化／復号化エンジンとを備えることを特徴とする条件付き受信システム。
6. 前記秘密キー暗号は、ＤＥＳ暗号およびＡＥＳ暗号を含む一群の暗号から選択されることを特徴とする請求項５に記載の条件付き受信システム。
7. 前記公開キー暗号はＲＳＡ暗号を含むことを特徴とする請求項５に記載の条件付き受信システム。
8. 前記コンテンツ暗号化／復号化エンジンによって復号化された前記コンテンツを処理するコンテンツプロセッサをさらに備えることを特徴とする請求項５に記載の条件付き受信システム。
9. 前記１つまたは複数のソフトウェア構成要素を１つまたは複数の新しいソフトウェア構成要素で置き換えることによって、前記条件付き受信ポリシーが更新されることを特徴とする請求項５に記載の条件付き受信システム。
10. 秘密キー暗号および秘密コンテンツキーを使って暗号化されたコンテンツを受信し、前記秘密コンテンツキーは公開キー暗号、およびプライベートキー／公開キーの対の公開キーを使って暗号化されるステップと、
    前記コンテンツがアクセス可能か判定するステップと、
    前記コンテンツがアクセス可能な場合に、前記秘密コンテンツキーを暗号化された形で埋込みセキュリティモジュールに渡し、前記公開キー暗号、および前記プライベートキー／公開キーの対の前記プライベートキーを使って前記秘密コンテンツキーを復号化するステップと、
    前記コンテンツを前記埋込みセキュリティモジュールに渡すステップと、
    前記秘密キー暗号および前記秘密コンテンツキーを用いて前記コンテンツを復号化するステップと、
    前記復号化されたコンテンツを、さらに処理するために前記埋込みセキュリティモジュールからプロセッサに転送するステップとを含むことを特徴とする条件付き受信システムで実装される方法。
11. 前記判定するステップは、前記埋込みセキュリティモジュールから分離したソフトウェアで実装される条件付き受信ポリシーを評価するステップを含むことを特徴とする請求項１０に記載の方法。
12. 前記ソフトウェアを新しいソフトウェアで置き換えることによって前記条件付き受信ポリシーを更新するステップをさらに含むことを特徴とする請求項１１に記載の方法。
    

Images