JP2004326210A

JP2004326210A - メモリカード及びサーバ

Info

Publication number: JP2004326210A
Application number: JP2003116449A
Authority: JP
Inventors: Kazuyuki Nakagawa; 和志仲川; Takatoshi Kato; 崇利加藤; Takashi Tsunehiro; 隆司常広
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2003-04-22
Filing date: 2003-04-22
Publication date: 2004-11-18

Abstract

【課題】本発明は、暗号コンテンツに対する不正な閲覧を制限することを課題とする。
【解決手段】ライセンスを記憶するＩＣカードチップ０１３と、ライセンスを用いて復号可能な暗号コンテンツを記憶するメモリ０１６と、ユーザ端末００８からの指示に従って、ＩＣカードチップ及びメモリを制御するコントローラ０１０を備え、ライセンスサーバ０１９が、有効なメモリカードのリスト及びライセンスサーバの時計の出力する情報を用いてライセンスを更新する。
【選択図】図１

Description

【０００１】
【発明の属する技術分野】
本発明は、通信回線を利用した保護文書のライセンス更新方法及びライセンスのアクセスログ記録の監視によるライセンス不正使用の防止に関する。
【０００２】
【従来の技術】
近年、インターネット等の情報通信網の進歩により、ＰＣやＰＤＡ等の個人向け端末にオーディオデータやビデオデータなどのコンテンツデータをネットワークを介して配信しようとする試みがなされている。このようなコンテンツデータの配信の際には、配信されたコンテンツをオフラインで利用することもあるため、期限外利用の防止機能を設けるなどしてコンテンツの著作権の保護を図る必要がある。
【０００３】
例えば、特許文献１に示されるように通信媒体を介しての電子システム化されたコンテンツの販売レンタルシステムとして、「利用期限指定型コンテンツレンタル方法及び該コンテンツレンタル方法で用いるコンテンツ提供装置、コンテンツ利用装置」が開示されている。この技術は、コンテンツ提供装置とコンテンツ利用装置、及びコンテンツレンタル方法からなり、コンテンツ利用ライセンスの時限管理を適切に行うことにより、レンタルコンテンツのレンタル期限外利用を防止し、不正利用の可能性のある利用者の管理を可能とするものである。
【０００４】
特許文献２には、現在日時が使用許諾期間内かどうか判断して期限切れのとき認証サーバに認証要求を発行して成功すると使用許諾期間の更新を行うことが開示されている。
【０００５】
【特許文献１】特開２０００ー２４２６９９号公報
【特許文献２】特開２００２−２５９６０６号公報
【０００６】
【発明が解決しようとする課題】
オーディオデータなどの配信システムと同様に、オフィスユースにおける文書コンテンツを管理したい場合、ライセンスの時限管理を適切に行う必要がある。たとえば、人事異動や職位変更などにともなって閲覧権利を失う場合に、ライセンスを失効させなければならない。文書コンテンツを利用する際に、オンラインで逐一ライセンスの利用期限を確認するシステムであれば、時限管理は容易であるが、オフラインでの利用を想定した場合、ユーザ端末側の時刻情報を改竄するなどをして、利用期限外でも不正にライセンスが使用されてしまう可能性が生じる。
【０００７】
本発明は、暗号コンテンツ（例えば、保護文書）に対する不正な閲覧を制限したメモリカードを提供することを目的する。
【０００８】
【課題を解決するための手段】
本発明では、サーバで各ライセンスごとに有効期限を設定しておき、オンライン時に自動的にライセンスの更新を行う。この際に、有効期限が切れている場合には、ライセンスを削除もしくはそのままにしておく。また、ユーザのライセンスへのアクセスログを記録しておくことにより、ログに記載された日時の不整合性を検出し、ユーザの不正閲覧を監視する。
【０００９】
【発明の実施の形態】
本発明の第一の実施例について図面を参照しながら詳細に説明する。
【００１０】
図１、２は、本発明の第一の実施形態が適用された保護文書管理システムの概略構成を説明するための図である。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。
【００１１】
図１のユーザ端末００８は、ＣＰＵ００１とメモリ００２と時計００３と入力装置００４と通信装置００５と表示装置００６とメモリカードインターフェース００７と補助記憶装置０２８を持つ。次に、メモリカード００９は、コントローラ０１０とＩＣカードチップ０１３とフラッシュメモリ０１６を持ち、コントローラ０１０にＣＰＵ０１１とメモリ０１２とメモリカードＩＤ０２９を含み、ＩＣカードチップ０１３にＣＰＵ０１４とメモリ０１５を含み、フラッシュメモリ０１６に耐タンパ性を持つ領域０１７と通常フラッシュ領域０１８を含む。
【００１２】
図２のライセンスサーバ０１９は、ＣＰＵ０２５とメモリ０２４と通信装置０２６と補助記憶装置０２３と時計０２７を持つ。図２は、ライセンスサーバ０１９とユーザ端末００８がネットワーク０２０を介して通信している様子である。
【００１３】
ユーザ端末００８において、ＣＰＵ００１は、ユーザ端末００８の各部を統括的に制御する。メモリ００２は、保護文書の閲覧のためのアプリケーションやユーザ端末００８の各部を制御するためのプログラムを格納している。時計００３は、時刻情報を出力するモジュールである。入力装置００４は、例えばキーボードやマウスで構成され、ユーザからの例えば文書閲覧指示やライセンスの取得指示を受け付ける。通信装置００５は、例えば携帯電話や固定電話機に接続し、オンラインシステムやインターネットなどのネットワーク０２０を介して、保護文書に対するライセンスを配信するライセンスサーバ０１９にアクセスし、ライセンスを入手または更新するのに用いられる。表示装置００６は、例えばディスプレイで構成され、メモリカード００９に格納さている保護文書のリストを表示したり、保護文書を閲覧するのに使用する。メモリカードインターフェース００７は、無線で、あるいは接触させてメモリカード００９に接続し、当該メモリカード００９からライセンスや保護文書やアクセスログを入手したり、当該メモリカード００９へライセンスや保護文書などを送る。メモリカード００９は、コントローラ０１０と、ＩＣカードチップ０１３と、フラッシュメモリ０１６とを備えて構成される。
【００１４】
コントローラ０１０は、ＣＰＵ０１１とメモリ０１２とメモリカードＩＤ０２９から構成され、メモリカードインターフェース００７とのデータのやり取りを行う。ＣＰＵ０１１は、コントローラ０１０に入出力されるデータの制御などを行う。メモリ０１２には、コントローラ０１０に入出力されるデータの制御用プログラムなどが格納される。ＩＣカードチップ０１３は、ＣＰＵ０１４とメモリ０１５から構成され、耐タンパ性を持つライセンスの記憶装置として利用する。ＣＰＵ０１４は、コントローラ０１０とのデータの入出力や当該ＩＣカードチップ０１３の各部の制御などを行う。メモリ０１５は、当該ＩＣカードチップ０１３の制御用プログラムや保護文書に対するライセンスなどを格納する。フラッシュメモリ０１６は、ユーザが通常アクセスができず、耐タンパ性を持つ領域０１７と通常のフラッシュ領域０１８から構成される。ユーザアクセスができず、耐タンパ性を持つ領域０１７には、ライセンスのアクセスログを格納する。通常のフラッシュ領域０１８は、暗号化された保護文書を格納する。ライセンスとは、暗号化された保護文書を復号するものであり、つまり、閲覧制限された保護文書を閲覧可能状態にするものである。ライセンスのアクセスログとは、ライセンスがＩＣカードチップ０１３から読み出されるときのログをいう。
【００１５】
図２のライセンスサーバ０１９において、ＣＰＵ０２５は、ライセンスサーバ０１９の各部を統括的に制御する。補助記憶装置０２３は、ライセンス情報や暗号化された保護文書やメモリカードのリストやライセンス管理アプリケーションが格納されている。メモリ０２４は、ライセンスサーバ０１９の各部を制御するためのプログラムや補助記憶装置０２３からロードしたライセンス管理アプリケーションなどが格納される。通信装置０２６は、ネットワーク０２０を介して、ユーザ端末００８からライセンス更新要求やアクセスログ情報または暗号化された保護文書要求を受信したり、またユーザ端末００８へ更新されたライセンスや暗号化された保護文書を送信する。
【００１６】
次に、本実施形態の保護文書管理システムの動作について説明する。
【００１７】
ライセンスを取得する場合の動作について説明する。
【００１８】
図３は、本実施形態が適用されたライセンス取得の動作を説明するためのフロー図である。このフローは、たとえば、ユーザ端末で動作するライセンス自動更新アプリケーションが定期的なライセンス更新要求をサーバへ送信すると開始される。まず、ユーザ端末のメモリ００２に格納されているライセンス自動更新アプリケーションがＣＰＵ００１上で動作して通信装置００５に問い合わせ、ユーザ端末００８がネットワーク０２０に接続されているかを確認する。ユーザ端末００８がネットワーク０２０に接続されており、定期的な更新の日時であるならば、メモリカード００９のメモリカードＩＤ０２９などを含む認証データと共にライセンス更新要求をライセンスサーバ０１９へ送信する（Ｓ００１）。
【００１９】
ライセンスサーバ０１９では、ライセンス更新要求を受け取ったならば、当該要求に含まれる認証データを用いて検証を行う（Ｓ００２）。たとえば、当該メモリカードがライセンスサーバ０１９の補助記憶装置０２３に登録されているメモリカードのリストにあるか否かを調べる。登録されたメモリカードであるとして認証したならば、メモリカード００９に対してログの送信要求を行う。ログの送信要求を受信したメモリカード００９は、耐タンパ性を持つ領域０１７からログを読み出し、暗号化通信を利用して、ライセンスサーバへログを送信する（Ｓ００４）。
【００２０】
ログの形式は、たとえば図１１のログ５００に示すようにアクセス日時、ライセンスを特定するＩＤ、メモリカードＩＤ、端末を特定するＩＤ、暗号化コンテンツのＩＤ、ステータス情報などから構成される。たとえば保護文書Ｄｎの閲覧のために時刻ＡｎにライセンスＢｎを端末Ｃｎで読み出した場合、ログ５００に行ｎが追加される。ライセンスの読み出しに成功した場合は、ステータス情報にライセンス読み出しの成功を表すという文字列（例えば、ｓｕｃｃｅｓｓ）を書き込む。ライセンスの読み出しに失敗した場合は、ステータス情報にライセンス読み出しの失敗を表す例えばｅｒｒｏｒという文字列を書き込む。ログを受信したライセンスサーバ０１９は、当該ログの不整合性の検証を行い（Ｓ００６）、検証に合格した場合には、ライセンスをメモリカード００９へ送信する。ログの不整合性の検証では、たとえば図１０に示すように、書き込まれた順にログの先頭から一行分を読み出し（Ｓ２０１）、アクセス日時が古い順になっているか（Ｓ２０３）、あるいは正しいライセンスＩＤか（Ｓ２０４）、あるいは正しいメモリカードＩＤか（Ｓ２０５）、あるいは正しい端末ＩＤか（Ｓ２０６）、あるいは正しい暗号化コンテンツＩＤか（Ｓ２０７）、などを調べる。ライセンスサーバは正しいライセンスＩＤのリスト、あるいは正しいメモリカードＩＤのリスト、あるいは正しい端末ＩＤのリスト、あるいは正しい暗号化コンテンツのＩＤリストを補助記憶装置に格納しており、それぞれのリスト内にログに書き込まれたＩＤが含まれているかを検証することで、正しいＩＤか否かを判断する。正しいライセンスＩＤのリストと正しい暗号化コンテンツＩＤのリストは、暗号化コンテンツと暗号化コンテンツに対応するライセンスを生成した際に、コンテンツ保持者か、あるいはサーバ管理者が作成し、サーバ上に記録しておく。また、正しいメモリカードＩＤのリストと正しい端末ＩＤのリストは、メモリカードや端末をユーザに配布する際に管理者が作成し、サーバ上に記録しておく。すべてのログを読み出し終われば（Ｓ２０２）検証に合格し（Ｓ２０８）、いずれかの条件に一致しなければエラー処理（Ｓ００７）を行う。なお、サーバがメモリカードを認証する際（Ｓ００２）に認証に失敗したときにも、エラー処理（Ｓ００７）を行う。エラー処理には、例えばライセンス失効リストにユーザＩＤやメモリカードＩＤを登録したり、表示装置００６やライセンスサーバの図示していない表示装置などにエラー発生の旨を表示したり、通信装置００５を用いてシステム管理者に電子メールなどのメッセージを送信する。
【００２１】
メモリカード００９へ送信されたライセンスは、メモリ０１５に格納される。ライセンスは、暗号化された保護文書と一対一に対応づけされており、同一の保護文書に対するライセンスの更新であれば、上書きされてもよいし、新たな領域に書き込まれて格納されてもよい。
【００２２】
図５は、図３に示すフローにおけるメモリカードの検証及びログの取得とライセンスの取得を行う際のやり取りの一例を説明するためのシーケンス図である。ユーザ端末００８上で動作するアプリケーションがメモリカード００９にライセンス取得指示を送信する。当該指示を受信したメモリカード００９は、自身の認証データと、予め保持しているメディアクラス公開鍵Ｋｏｍｃとを含んだライセンス要求をライセンスサーバへ送信する（Ｔ００２）。
【００２３】
なお、メディアクラス公開鍵Ｋｏｍｃは、メモリカードが共通に保持している公開鍵であり、メディアクラス公開鍵Ｋｏｍｃと対のメディアクラス秘密鍵Ｋｐｍｃは、メモリカードが秘密裏に保持している秘密鍵である。
【００２４】
これを受けて、ライセンスサーバ０１９のＣＰＵ０２５は、メモリカード０１９の検証（Ｔ００３）、及び第一セッション鍵Ｋｓ１を生成し（Ｔ００４）、これをメディアクラス公開鍵Ｋｏｍｃで暗号化して、当該指示の送信元であるメモリカード００９に送信する（Ｔ００５）。
【００２５】
これを受けて、メモリカード００９のＣＰＵ０１１は、暗号化された第一セッション鍵Ｋｓ１を予め保持しているメディアクラス秘密鍵Ｋｐｍｃで復号し、第一セッション鍵Ｋｓ１を得る（Ｔ００６）。次に第二セッション鍵Ｋｓ２を生成し（Ｔ００７）、これと、予め保持しているメディア個別公開鍵Ｋｏｍとログを、第一セッション鍵Ｋｓ１で暗号化して、ライセンスサーバ０１９に送信する。
【００２６】
なお、メディア個別公開鍵Ｋｏｍは、メモリカードが個別に保持している公開鍵であり、メディア個別公開鍵Ｋｏｍと対のメディア個別秘密鍵Ｋｐｍは、メモリカードが秘密裏に保持している秘密鍵である。
【００２７】
これを受けて、ライセンスサーバ０１９のＣＰＵ０２５は暗号化された第二セッション鍵Ｋｓ２とメディア個別公開鍵Ｋｏｍとログを第一セッション鍵Ｋｓ１で復号し、第二セッション鍵Ｋｓ２とメディア個別公開鍵Ｋｏｍとログを得る（Ｔ００９）。そして、ログの不整合性を検証（Ｔ００１）し、検証に合格すれば送信要求されているライセンス鍵Ｋｃをメディア個別公開鍵Ｋｏｍで暗号化し、さらにこれを第二セッション鍵Ｋｓ２で暗号化して、ライセンス鍵送信指示の送信元であるメモリカード００９に送信する（Ｔ０１０）。
【００２８】
これを受けて、メモリカード００９は暗号化されたライセンス鍵Ｋｃを第二セッション鍵Ｋｓ２とメディア個別秘密鍵Ｋｐｍを用いて復号し、ライセンスＫｃを得る（Ｔ０１１）。
【００２９】
以上のようにして図５に示すようなシーケンスでライセンスを取得できるが、本発明ではセッション鍵などのやり取りは図５に定める方式に限定しない。
【００３０】
次に保護文書を閲覧する場合の動作について説明する。
【００３１】
図４は、本実施形態が適用された保護文書を閲覧する場合の動作を説明するためのフロー図である。このフローは、たとえば、ユーザ端末で動作する閲覧アプリケーションが起動された場合に開始される。なお、ユーザは予めメモリカード００９内にＰＩＮを格納しておく。格納したＰＩＮは、前記ユーザ以外には知られないように秘匿しておくため、本人の認証に使うことができる。
【００３２】
まず、ユーザ端末のメモリ００２に格納されている閲覧アプリケーションがＣＰＵ００１上で動作してメモリカード００９へユーザ端末００８の認証データをライセンス要求と共に送信する（Ｓ１０１）。メモリカード００９は、コントローラ０１０内のＣＰＵ０１１において当該認証データを検証し（Ｓ１０２）、検証に成功すれば、ユーザ端末００８のＣＰＵ００１に対してＰＩＮ要求を送信する（Ｓ１０３）。ＰＩＮ要求を受信したユーザ端末００８のＣＰＵ００１では、表示装置００６にＰＩＮ入力を求める画面を表示し、ユーザにＰＩＮを入力するよう促す。入力装置００４で入力されたＰＩＮは、時計００３の時刻情報と共にメモリカード００９へ送信され、ＩＣカードチップ０１３のＣＰＵ０１４で照合される（Ｓ１０４）。照合に合格すれば、ＩＣカードチップ０１３のメモリ０１５に格納されているライセンスがメモリ０１２に読み出される。次にＣＰＵ０１１が現在の時刻がライセンスに記述されている有効期限内であるかを検証し（Ｓ１０８）、検証に合格すれば、当該ライセンスがユーザ端末００８へ暗号化通信を利用して送信される（Ｓ１０５）。この時、時計００３の時刻情報を含むログが暗号化されるか、あるいは平文でフラッシュメモリ０１６の耐タンパ性を持つ領域０１７へ格納される（Ｓ１０７）。ユーザ端末００８のＣＰＵ００１上で動作する閲覧アプリケーションは、メモリカード００９の通常フラッシュ領域０１８に格納されている暗号化された保護文書をユーザ端末００８のメモリ００２に格納し、前記ライセンスを用いて暗号化された保護文書を復号し、表示装置００６に保護文書を表示する（Ｓ１０６）。なお、メモリカードがユーザ端末００８を認証する際（Ｓ１０２）に認証に失敗したり、ＰＩＮの照合をする際（Ｓ１０４）にＰＩＮが正しくない場合や、現在の時刻がライセンスに記述されている有効期限内であるかの検証（Ｓ１０８）に失敗した際にエラー処理（Ｓ１０９）を行う。エラー処理には、例えばエラーをログに記録したり、表示装置００６にエラーが発生した旨を表示したり、ネットワークに接続時に通信装置００５を用いてライセンスサーバ０１９の図示していない表示装置にエラーが発生した旨を表示したり、ネットワークに接続時に通信装置００５を用いてシステム管理者に電子メールなどのメッセージを送信したりする。
【００３３】
以上に説明したように、ライセンスサーバにおいて各ライセンスごとに有効期限を設定しておき、オンライン時に自動的にライセンスの更新を行い、また、ユーザのライセンスへのアクセスログを記録しておくことにより、ログに記載された日時の不整合性をライセンスの更新時にライセンスサーバが監視することが可能となる。
【００３４】
次に、本発明の第二の実施例について図面を参照しながら詳細に説明する。
【００３５】
図６は、本発明の第二の実施形態が適用された保護文書管理システムの概略構成を説明するための図である。なお、第一の実施例で説明した同一または相当部分には同一符号を付してその説明は繰り返さない。
【００３６】
メモリカード１００は、コントローラ１１０とフラッシュメモリ０１６とを備えて構成される。コントローラ１１０は、ＣＰＵ０１１とメモリ０１２とメモリカードＩＤ０２９から構成され、メモリカードインターフェース００７とのデータのやり取りを行う。ＣＰＵ０１１は、コントローラ１１０に入出力されるデータの制御を行ったり、ＰＩＮの検証を行う。メモリ０１２には、コントローラ１１０に入出力されるデータの制御用プログラムなどが格納される。フラッシュメモリ０１６は、ユーザが通常アクセスができず、耐タンパ性を持つ領域０１７と通常のフラッシュ領域０１８から構成される。ユーザアクセスができず、耐タンパ性を持つ領域０１７には、ライセンス、ログ、ＰＩＮ情報を格納する。通常のフラッシュ領域０１８は、暗号化された保護文書を格納する。
【００３７】
次にライセンスを取得する場合の動作について説明する。
【００３８】
図３のフローは第一の実施例と同じであるが、メモリカードの構成が変わるため説明する。
【００３９】
このフローは、たとえば、ユーザ端末で動作するライセンス自動更新アプリケーションが定期的なライセンス更新要求をサーバへ送信すると開始される。まず、ユーザ端末のメモリ００２に格納されているライセンス自動更新アプリケーションがＣＰＵ００１上で動作して通信装置００５に問い合わせ、ユーザ端末００８がネットワーク０２０に接続されているかを確認する。ユーザ端末００８がネットワーク０２０に接続されており、定期的な更新の日時であるならば、メモリカード１００のメモリカードＩＤ０２９などを含む認証データと共にライセンス更新要求をライセンスサーバ０１９へ送信する（Ｓ００１）。ライセンスサーバ０１９では、ライセンス更新要求を受け取ったならば、当該要求に含まれる認証データを用いて検証を行う（Ｓ００２）。たとえば、当該メモリカードがライセンスサーバ０１９の補助記憶装置０２３に登録されているメモリカードのリストにあるか否かを調べる。登録されたメモリカードであるとして認証したならば、メモリカード１００に対してログの送信要求を行う。ログの送信要求を受信したメモリカード１００は、耐タンパ性を持つ領域０１７からログを読み出し、暗号化通信を利用して、ライセンスサーバへログを送信する（Ｓ００４）。
【００４０】
ログの形式は、たとえばアクセス日時、ライセンスを特定するＩＤ、メモリカードＩＤ、端末を特定するＩＤ、暗号化コンテンツのＩＤなどから構成される。ログを受信したライセンスサーバ０１９は、当該ログの不整合性の検証を行い（Ｓ００６）、検証に合格した場合には、ライセンスをメモリカード１００へ送信する。なお、サーバがメモリカードを認証する際（Ｓ００２）に認証に失敗したり、サーバでログの検証をする際（Ｓ００６）にログに不整合性が見つかった場合には、エラー処理（Ｓ００７）を行う。
【００４１】
エラー処理には、例えばライセンス失効リストにユーザＩＤやメモリーカードＩＤを登録したり、表示装置００６やライセンスサーバの図示していない表示装置などにエラー発生の旨を表示したり、通信装置００５を用いてシステム管理者に電子メールなどのメッセージを送信する。
【００４２】
メモリカード１００へ送信されたライセンスは、耐タンパ性を持つ領域０１７に格納される。ライセンスは、暗号化された保護文書と一対一に対応づけされており、同一の保護文書に対するライセンスの更新であれば、上書きされてもよいし、新たな領域に書き込まれて格納されてもよい。
【００４３】
次に第二の実施例において保護文書を閲覧する場合の動作について図４を用いて説明する。図４のフローは第一の実施例と同じであるが、メモリカードの構成が変わるため説明する。
【００４４】
このフローは、たとえば、ユーザ端末で動作する閲覧アプリケーションが起動された場合に開始される。なお、ユーザは予めメモリカード１００内にＰＩＮを格納しておく。格納したＰＩＮは、前記ユーザ以外には知られないように秘匿しておくため、本人の認証に使うことができる。
【００４５】
まず、ユーザ端末のメモリ００２に格納されている閲覧アプリケーションがＣＰＵ００１上で動作してメモリカード１００へユーザ端末００８の認証データをライセンス要求と共に送信する（Ｓ１０１）。メモリカード１００は、コントローラ１１０内のＣＰＵ０１１において当該認証データを検証し（Ｓ１０２）、検証に成功すれば、ユーザ端末００８のＣＰＵ００１に対してＰＩＮ要求を送信する（Ｓ１０３）。ＰＩＮ要求を受信したユーザ端末００８のＣＰＵ００１では、表示装置００６にＰＩＮ入力を求める画面を表示し、ユーザにＰＩＮを入力するよう促す。入力装置００４で入力されたＰＩＮは、時計００３の時刻情報と共にメモリカード１００へ送信され、ＣＰＵ０１１で照合される（Ｓ１０４）。照合に合格すれば、耐タンパ性を持つ領域０１７に格納されているライセンスがメモリ０１２に読み出される。次にＣＰＵ０１１が現在の時刻がライセンスに記述されている有効期限内であるかを検証し（Ｓ１０８）、検証に合格すれば、当該ライセンスがユーザ端末００８へ暗号化通信を利用して送信される（Ｓ１０５）。この時、時計００３の時刻情報を含むログが暗号化されるか、あるいは平文でフラッシュメモリ０１６の耐タンパ性を持つ領域０１７へ格納される（Ｓ１０７）。ユーザ端末００８のＣＰＵ００１上で動作する閲覧アプリケーションは、メモリカード１００の通常フラッシュ領域０１８に格納されている暗号化された保護文書をユーザ端末００８のメモリ００２に格納し、前記ライセンスを用いて暗号化された保護文書を復号し、表示装置００６に保護文書を表示する（Ｓ１０６）。なお、メモリカードがユーザ端末００８を認証する際（Ｓ１０２）に認証に失敗したり、ＰＩＮの検証をする際（Ｓ１０４）にＰＩＮが正しくない場合や、現在の時刻がライセンスに記述されている有効期限内であるかの検証（Ｓ１０８）に失敗した際にエラー処理（Ｓ１０９）を行う。エラー処理には、例えばエラーをログに記録したり、表示装置００６にエラーが発生した旨を表示したり、ネットワークに接続時に通信装置００５を用いてライセンスサーバ０１９の図示していない表示装置にエラーが発生した旨を表示したり、ネットワークに接続時に通信装置００５を用いてシステム管理者に電子メールなどのメッセージを送信したりする。
【００４６】
以上のように、第二の実施例は、第一の実施例と比較してコントローラ１１０内でＰＩＮ照合とライセンス管理するという点は異なるが、保護文書管理システムと同様の効果をもつ。
【００４７】
次に、本発明の第三の実施例について図面を参照しながら詳細に説明する。
【００４８】
図７は、本発明の第三の実施形態が適用された保護文書管理システムの概略構成を説明するための図である。なお、第一の実施例で説明した同一または相当部分には同一符号を付してその説明は繰り返さない。
【００４９】
メモリカード２００は、コントローラ２１０と、ＩＣカードチップ０１３と、時計２０１と、フラッシュメモリ０１６とを備えて構成される。時計２０１は、時刻情報を出力するものであり、電池を内蔵している。
【００５０】
次にライセンスを取得する場合の動作について説明する。
【００５１】
図９は、本実施形態が適用されたライセンス取得の動作を説明するためのフロー図である。このフローは、たとえば、ユーザ端末で動作するライセンス自動更新アプリケーションが定期的なライセンス更新要求をサーバへ送信すると開始される。まず、ユーザ端末のメモリ００２に格納されているライセンス自動更新アプリケーションがＣＰＵ００１上で動作して通信装置００５に問い合わせ、ユーザ端末００８がネットワーク０２０に接続されているかを確認する。ユーザ端末００８がネットワーク０２０に接続されており、定期的な更新の日時であるならば、メモリカード２００のメモリカードＩＤ０２９などを含む認証データと共にライセンス更新要求をライセンスサーバ０１９へ送信する（Ｓ００１）。ライセンスサーバ０１９では、ライセンス更新要求を受け取ったならば、当該要求に含まれる認証データを用いて検証を行う（Ｓ００２）。たとえば、当該メモリカードがライセンスサーバ０１９の補助記憶装置０２３に登録されているメモリカードのリストにあるか否かを調べる。登録されたメモリカードであるとして認証したならば、ライセンスサーバから送られてきた時刻情報により時計２０１を正しい時刻に補正する（Ｓ００３）。次にメモリカード２００に対してログの送信要求を行う。ログの送信要求を受信したメモリカード２００は、耐タンパ性を持つ領域０１７からログを読み出し、暗号化通信を利用して、ライセンスサーバへログを送信する（Ｓ００４）。
【００５２】
ログの形式は、たとえばアクセス日時、ライセンスを特定するＩＤ、メモリカードＩＤ、端末を特定するＩＤ、暗号化コンテンツのＩＤなどから構成される。ログを受信したライセンスサーバ０１９は、当該ログの不整合性の検証を行い（Ｓ００６）、検証に合格した場合には、ライセンスをメモリカード２００へ送信する。なお、サーバがメモリカードを認証する際（Ｓ００２）に認証に失敗したり、サーバでログの検証をする際（Ｓ００６）にログに不整合性が見つかった場合には、エラー処理（Ｓ００７）を行う。
【００５３】
エラー処理には、例えばライセンス失効リストにユーザＩＤやメモリーカードＩＤを登録したり、表示装置００６やライセンスサーバの図示していない表示装置などにエラー発生の旨を表示したり、通信装置００５を用いてシステム管理者に電子メールなどのメッセージを送信する。
【００５４】
メモリカード００９へ送信されたライセンスは、メモリ０１５に格納される。ライセンスは、暗号化された保護文書と一対一に対応づけされており、同一の保護文書に対するライセンスの更新であれば、上書きされてもよいし、新たな領域に書き込まれて格納されてもよい。
【００５５】
次に第三の実施例において保護文書を閲覧する場合の動作について図４を用いて説明する。図４のフローは第一の実施例と同じであるが、メモリカードの構成が変わるため説明する。
【００５６】
このフローは、たとえば、ユーザ端末で動作する閲覧アプリケーションが起動された場合に開始される。なお、ユーザは予めメモリカード２００内にＰＩＮを格納しておく。格納したＰＩＮは、前記ユーザ以外には知られないように秘匿しておくため、本人の認証に使うことができる。
【００５７】
まず、ユーザ端末のメモリ００２に格納されている閲覧アプリケーションがＣＰＵ００１上で動作してメモリカード２００へユーザ端末００８の認証データをライセンス要求と共に送信する（Ｓ１０１）。メモリカード２００は、コントローラ２１０内のＣＰＵ０１１において当該認証データを検証し（Ｓ１０２）、検証に成功すれば、ユーザ端末００８のＣＰＵ００１に対してＰＩＮ要求を送信する（Ｓ１０３）。ＰＩＮ要求を受信したユーザ端末００８のＣＰＵ００１では、表示装置００６にＰＩＮ入力を求める画面を表示し、ユーザにＰＩＮを入力するよう促す。入力装置００４で入力されたＰＩＮは、メモリカード２００へ送信され、ＩＣカードチップ０１３のＣＰＵ０１４で照合される（Ｓ１０４）。照合に合格すれば、ＩＣカードチップ０１３のメモリ０１５に格納されているライセンスがメモリ０１２に読み出される。次にＣＰＵ０１１が現在の時刻がライセンスに記述されている有効期限内であるかを検証し（Ｓ１０８）、検証に合格すれば、当該ライセンスがユーザ端末００８へ暗号化通信を利用して送信される（Ｓ１０５）。この時、時計２０１の時刻情報を含むログが暗号化されるか、あるいは平文でフラッシュメモリ０１６の耐タンパ性を持つ領域０１７へ格納される（Ｓ１０７）。ユーザ端末００８のＣＰＵ００１上で動作する閲覧アプリケーションは、メモリカード２００の通常フラッシュ領域０１８に格納されている暗号化された保護文書をユーザ端末００８のメモリ００２に格納し、前記ライセンスを用いて暗号化された保護文書を復号し、表示装置００６に保護文書を表示する（Ｓ１０６）。なお、メモリカードがユーザ端末００８を認証する際（Ｓ１０２）に認証に失敗したり、ＰＩＮの検証をする際（Ｓ１０４）にＰＩＮが正しくない場合や、現在の時刻がライセンスに記述されている有効期限内であるかの検証（Ｓ１０８）に失敗した際にエラー処理（Ｓ１０９）を行う。
【００５８】
エラー処理には、例えばエラーをログに記録したり、表示装置００６にエラーが発生した旨を表示したり、ネットワークに接続時に通信装置００５を用いてライセンスサーバ０１９の図示していない表示装置にエラーが発生した旨を表示したり、ネットワークに接続時に通信装置００５を用いてシステム管理者に電子メールなどのメッセージを送信したりする。
【００５９】
以上の第三の実施例のように、メモリカード２００に内蔵された時計２０１から時刻情報を得てログを作成してもよいことを示した。
【００６０】
次に、本発明の第四の実施例について図面を参照しながら詳細に説明する。
【００６１】
図８は、本発明の第四の実施形態が適用された保護文書管理システムの概略構成を説明するための図である。なお、第一の実施例で説明した同一または相当部分には同一符号を付してその説明は繰り返さない。
【００６２】
メモリカード３００は、コントローラ３１０とフラッシュメモリ０１６と時計３０１を備えて構成される。コントローラ３１０は、ＣＰＵ０１１とメモリ０１２から構成され、メモリカードインターフェース００７とのデータのやり取りを行ったりする。ＣＰＵ０１１は、インターフェース３１０に入出力されるデータの制御を行ったり、ＰＩＮの検証を行ったりする。メモリ０１２には、インターフェース３１０に入出力されるデータの制御用プログラムなどが格納される。時計３０１は、時刻情報を出力するものであり、電池を内蔵している。フラッシュメモリ０１６は、ユーザが通常アクセスができず、耐タンパ性を持つ領域０１７と通常のフラッシュ領域０１８から構成される。ユーザアクセスができず、耐タンパ性を持つ領域０１７には、ライセンス、ログ、ＰＩＮ情報を格納する。通常のフラッシュ領域０１８は、暗号化された保護文書を格納する。
【００６３】
次にライセンスを取得する場合の動作について説明する。
【００６４】
図９のフローは第三の実施例と同じであるが、メモリカードの構成が変わるため説明する。
【００６５】
このフローは、たとえば、ユーザ端末で動作するライセンス自動更新アプリケーションが定期的なライセンス更新要求をサーバへ送信すると開始される。まず、ユーザ端末のメモリ００２に格納されているライセンス自動更新アプリケーションがＣＰＵ００１上で動作して通信装置００５に問い合わせ、ユーザ端末００８がネットワーク０２０に接続されているかを確認する。ユーザ端末００８がネットワーク０２０に接続されており、定期的な更新の日時であるならば、メモリカード３００のメモリカードＩＤ０２９などを含む認証データと共にライセンス更新要求をライセンスサーバ０１９へ送信する（Ｓ００１）。ライセンスサーバ０１９では、ライセンス更新要求を受け取ったならば、当該要求に含まれる認証データを用いて検証を行う（Ｓ００２）。たとえば、当該メモリカードがライセンスサーバ０１９の補助記憶装置０２３に登録されているメモリカードのリストにあるか否かを調べる。登録されたメモリカードであるとして認証したならば、ライセンスサーバから送られてきた時刻情報により時計３０１を正しい時刻に補正する（Ｓ００３）。次にメモリカード３００に対してログの送信要求を行う。ログの送信要求を受信したメモリカード３００は、耐タンパ性を持つ領域０１７からログを読み出し、暗号化通信を利用して、ライセンスサーバへログを送信する（Ｓ００４）。
【００６６】
ログの形式は、たとえばアクセス日時、ライセンスを特定するＩＤ、メモリカードＩＤ、端末を特定するＩＤ、暗号化コンテンツのＩＤなどから構成される。ログを受信したライセンスサーバ０１９は、当該ログの不整合性の検証を行い（Ｓ００６）、検証に合格した場合には、ライセンスをメモリカード３００へ送信する。なお、サーバがメモリカードを認証する際（Ｓ００２）に認証に失敗したり、サーバでログの検証をする際（Ｓ００６）にログに不整合性が見つかった場合には、エラー処理（Ｓ００７）を行う。
【００６７】
エラー処理には、例えばライセンス失効リストにユーザＩＤやメモリーカードＩＤを登録したり、表示装置００６やライセンスサーバの図示していない表示装置などにエラー発生の旨を表示したり、通信装置００５を用いてシステム管理者に電子メールなどのメッセージを送信する。
【００６８】
メモリカード３００へ送信されたライセンスは、耐タンパ性を持つ領域０１７に格納される。ライセンスは、暗号化された保護文書と一対一に対応づけされており、同一の保護文書に対するライセンスの更新であれば、上書きされてもよいし、新たな領域に書き込まれて格納されてもよい。
【００６９】
次に第四の実施例において保護文書を閲覧する場合の動作について図４を用いて説明する。図４のフローは第一の実施例と同じであるが、メモリカードの構成が変わるため説明する。
【００７０】
このフローは、たとえば、ユーザ端末で動作する閲覧アプリケーションが起動された場合に開始される。なお、ユーザは予めメモリカード３００内にＰＩＮを格納しておく。格納したＰＩＮは、前記ユーザ以外には知られないように秘匿しておくため、本人の認証に使うことができる。
【００７１】
まず、ユーザ端末のメモリ００２に格納されている閲覧アプリケーションがＣＰＵ００１上で動作してメモリカード３００へユーザ端末００８の認証データをライセンス要求と共に送信する（Ｓ１０１）。メモリカード３００は、コントローラ３１０内のＣＰＵ０１１において当該認証データを検証し（Ｓ１０２）、検証に成功すれば、ユーザ端末００８のＣＰＵ００１に対してＰＩＮ要求を送信する（Ｓ１０３）。ＰＩＮ要求を受信したユーザ端末００８のＣＰＵ００１では、表示装置００６にＰＩＮ入力を求める画面を表示し、ユーザにＰＩＮを入力するよう促す。入力装置００４で入力されたＰＩＮは、メモリカード３００へ送信され、コントローラ３１０のＣＰＵ０１１で照合される（Ｓ１０４）。照合に合格すれば、耐タンパ性を持つ領域０１７に格納されているライセンスがメモリ０１２に読み出される。次にＣＰＵ０１１が現在の時刻がライセンスに記述されている有効期限内であるかを検証し（Ｓ１０８）、検証に合格すれば、当該ライセンスがユーザ端末００８へ暗号化通信を利用して送信される（Ｓ１０５）。この時、時計３０１の時刻情報を含むログが暗号化されるか、あるいは平文でフラッシュメモリ０１６の耐タンパ性を持つ領域０１７へ格納される（Ｓ１０７）。ユーザ端末００８のＣＰＵ００１上で動作する閲覧アプリケーションは、メモリカード３００の通常フラッシュ領域０１８に格納されている暗号化された保護文書をユーザ端末００８のメモリ００２に格納し、前記ライセンスを用いて暗号化された保護文書を復号し、表示装置００６に保護文書を表示する（Ｓ１０６）。なお、メモリカードがユーザ端末００８を認証する際（Ｓ１０２）に認証に失敗したり、ＰＩＮの検証をする際（Ｓ１０４）にＰＩＮが正しくない場合や、現在の時刻がライセンスに記述されている有効期限内であるかの検証（Ｓ１０８）に失敗した際にエラー処理（Ｓ１０９）を行う。
【００７２】
エラー処理には、例えばエラーをログに記録したり、表示装置００６にエラーが発生した旨を表示したり、ネットワークに接続時に通信装置００５を用いてライセンスサーバ０１９の図示していない表示装置にエラーが発生した旨を表示したり、ネットワークに接続時に通信装置００５を用いてシステム管理者に電子メールなどのメッセージを送信したりする。
【００７３】
以上のように、第四の実施例では、第三の実施例と比較してコントローラ３１０内でＰＩＮ照合とライセンス管理するという点は異なるが、保護文書管理システムが同様な効果をもつ。
【００７４】
なお、以上の説明では保護文書のみに絞って説明したが、その他のコンテンツであってもよい。
【００７５】
【発明の効果】
本発明によれば、暗号コンテンツ（例えば、保護文書）に対する不正な閲覧を制限するという効果を奏する。
【図面の簡単な説明】
【図１】本発明の第一の実施形態が適用された保護文書管理システムの概略構成を示す図である。
【図２】本発明の保護文書管理システムにおいて、ライセンスサーバとユーザ端末が通信している様子を示した図である。
【図３】本発明の第一及び第二の実施形態が適用された保護文書管理システムのライセンス取得のフローを示した図である。
【図４】本発明の保護文書管理システムの保護文書を閲覧する場合のフローを示した図である。
【図５】メモリカードの検証及びログの取得とライセンスの取得を行う際のやり取りの一例を説明するためのシーケンス図である。
【図６】本発明の第二の実施形態が適用された保護文書管理システムの概略構成を示す図である。
【図７】本発明の第三の実施形態が適用された保護文書管理システムの概略構成を示す図である。
【図８】本発明の第四の実施形態が適用された保護文書管理システムの概略構成を示す図である。
【図９】本発明の第三及び第四の実施形態が適用された保護文書管理システムのライセンス取得のフローを示した図である。
【図１０】本発明のログの検証のフローの一例を説明するための図である。
【図１１】本発明のログの形式の一例を説明するための図である。
【符号の説明】
００１、０１１、０１４、０２５…ＣＰＵ、００２、０１２、０１５、０２４…メモリ、００３、０２７、２０１、３０１…時計、００４…入力装置、００５、０２６…通信装置、００６…表示装置、００７…メモリインターフェース、００８…ユーザ端末、００９、１００、２００、３００…メモリカード、０１０、１１０、２１０、３１０…コントローラ、０１３…ＩＣカードチップ、０１６…フラッシュメモリ、０１７…耐タンパ性を持つ領域、０１８…通常フラッシュ領域、０１９…ライセンスサーバ、０２０…ネットワーク、０２３、０２８…補助記憶装置。

Claims

ネットワークを介してサーバからライセンスを取得するホスト機器と接続可能なメモリカードにおいて、
前記ライセンスを記憶するＩＣカードチップと、
前記ライセンスを用いて復号可能な暗号コンテンツを記憶するメモリと、
前記ホスト機器からの指示に従って、前記ＩＣカードチップ及び前記メモリを制御するコントローラを備え、
前記ＩＣカードチップは、前記ホスト機器を介して前記サーバと通信可能で、
前記サーバは、有効なメモリカードのリスト及び前記サーバ内の時計の出力する情報を用いて前記ＩＣカードチップ内の前記ライセンスを更新することを特徴とするメモリカード。
ネットワークを介してサーバからライセンスを取得するホスト機器と接続可能なメモリカードにおいて、
前記ライセンスを記憶するＩＣカードチップと、
前記ライセンスを用いて復号可能な暗号コンテンツを記憶するメモリと、
前記ホスト機器からの指示に従って、前記ＩＣカードチップ及び前記メモリを制御するコントローラを備え、
前記コントローラは、前記ホスト機器を介して前記サーバと通信可能で、
前記サーバは、有効なメモリカードのリスト及び前記サーバの時計の出力する情報を用いて前記ＩＣカードチップ内の前記ライセンスを更新することを特徴とするメモリカード。
ネットワークを介してサーバからライセンスを取得するホスト機器と接続可能なメモリカードにおいて、
前記ライセンスを記憶するＩＣカードチップと、
前記ライセンスを用いて復号可能な暗号コンテンツを記憶するメモリと、
前記ホスト機器からの指示に従って、前記ＩＣカードチップ及び前記メモリを制御するコントローラと
時計を備え、
前記ＩＣカードチップは、前記ホスト機器を介して前記サーバと通信可能で、
前記サーバは、有効なメモリカードのリスト及び前記時計の出力する情報を用いて前記ＩＣカードチップ内の前記ライセンスを更新することを特徴とするメモリカード。
前記ＩＣカードチップは、前記ホスト機器及び前記サーバと通信可能で、有効なメモリカードのリスト及び前記時計の出力する情報を用いて前記ライセンスを更新することを特徴とするメモリカード。
ネットワークを介してサーバからライセンスを取得するホスト機器と接続可能なメモリカードにおいて、
前記ライセンスを記憶するＩＣカードチップと、
前記ライセンスを用いて復号可能な暗号コンテンツを記憶するメモリと、
前記ホスト機器からの指示に従って、前記ＩＣカードチップ及び前記メモリを制御するコントローラと
時計を備え、
前記コントローラは、前記ホスト機器を介して前記サーバと通信可能で、
前記サーバは、有効なメモリカードのリスト及び前記サーバ内の時計の出力する情報を用いて前記ＩＣカードチップ内の前記ライセンスを更新することを特徴とするメモリカード。
ネットワークを介してサーバからライセンスを取得するホスト機器と接続可能なメモリカードにおいて、
前記ライセンスを記憶するＩＣカードチップと、
前記ライセンスを用いて復号可能な暗号コンテンツを記憶するメモリと、
前記ホスト機器が前記暗号コンテンツを使用する場合に、前記ライセンスを前記ＩＣカードチップから取得すると共に、前記暗号コンテンツを前記メモリから読み出し、前記ライセンス及び前記暗号コンテンツを前記ホスト機器へ送信するコントローラとを備え、
前記コントローラは、前記ライセンスを前記ＩＣカードチップから取得する際のログを前記メモリに格納し、前記ライセンスの有効期限を更新する場合に、前記メモリから前記ログを読み出し、前記ホスト機器へ送信することを特徴とするメモリカード。
請求項５に記載のメモリカードにおいて、
前記メモリは、耐タンパ性が異なる複数の記憶領域を有し、
前記コントローラは、前記複数の記憶領域のうち相対的に耐タンパ性が高い記憶領域に前記ログを格納することを特徴とするメモリカード。
ネットワークを介して、暗号コンテンツを利用するユーザ端末へ前記暗号コンテンツを復号するライセンスを配信するサーバにおいて、
有効なメモリカードのリストを記憶する記憶部と、
前記ユーザ端末から前記ライセンスの有効期限の更新要求を受けた場合に、前記ユーザ端末に接続されたメモリカードのＩＤを前記ユーザ端末を介して前記メモリカードから取得し、前記ＩＤが前記リストに存在するか否かを判定する判定手段と、
前記ユーザ端末から前記ライセンスの有効期限の更新要求を受けた場合に、前記ユーザ端末が前記メモリカードから前記ライセンスを読み出した際のログを前記ユーザ端末を介して前記メモリカードから取得し、前記ログが時系列順であるか否か検証する検証手段と、
前記メモリカードのＩＤが前記リストに存在すると判定し且つ前記ログが時系列順であることを検証した場合に、有効期限が更新された新たなライセンスを前記ユーザ端末へ送信する送信手段とを備えたことを特徴とするサーバ。