JP2004515159A

JP2004515159A - Threshold encryption method and system for conditional access system

Info

Publication number: JP2004515159A
Application number: JP2002546354A
Authority: JP
Inventors: エスキシオグル，アーメツト　マーシツト
Original assignee: Thomson Licensing SAS
Current assignee: Thomson Licensing SAS
Priority date: 2000-11-29
Filing date: 2001-09-24
Publication date: 2004-05-20
Also published as: BR0115573A; AU2002212977A1; WO2002045337A2; MXPA03004822A; CN1483259A; AU2001296294A1; EP1348276A2; JP2004515160A; WO2002045340A2; BR0115575A; KR20030094217A; EP1366594A2; WO2002045337A3; MXPA03004599A; KR20040010565A; CN1484901A; WO2002045340A3

Abstract

サービス・プロバイダのイベントを表す信号へのアクセスを管理するための方法および装置であって、スクランブル鍵を使用してスクランブルされた前記信号をスマート・カード中で受け取ること、第１のシェアを表すデータを前記スマート・カード中で受け取ること、前記第１のシェアと前記スマート・カードに記憶された少なくとも１つの追加シェアとを使用して前記スクランブル鍵を構成すること、および、前記構成したスクランブル鍵を使用して前記信号をスクランブル解除して、スクランブル解除済み信号を生成することを含み、前記スクランブル鍵を構成するステップは、前記第１のシェアおよび前記少なくとも１つの追加シェアによってユークリッド平面上に形成される曲線のＹ切片を計算することを含んでいる。A method and apparatus for managing access to a signal representing a service provider event, comprising receiving the signal scrambled using a scrambling key in a smart card, data representing a first share. In the smart card, configuring the scramble key using the first share and at least one additional share stored on the smart card, and generating the configured scramble key. Using the descrambled signal to generate a descrambled signal, wherein the step of configuring the scramble key is formed on a Euclidean plane by the first share and the at least one additional share. Computing the Y-intercept of the curve.

Description

【０００１】
（発明の分野）
本発明は、放送テレビジョン・ネットワーク、ケーブル・テレビジョン・ネットワーク、ディジタル衛星システム、インターネット・サービス・プロバイダなど様々なソース（ｓｏｕｒｃｅ：源）からのスクランブル済み（ｓｃｒａｍｂｌｅｄ）受信オーディオ／ビジュアル（Ａｕｄｉｏ／Ｖｉｓｕａｌ：Ａ／Ｖ）信号への条件付きアクセス（ｃｏｎｄｉｔｉｏｎａｌ　ａｃｃｅｓｓ）を提供する（即ち、アクセスを管理する）ためのシステムに関する。秘密分散（ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ）の概念を利用することにより、このシステムは、完全なスクランブル解除鍵（ｄｅｓｃｒａｍｂｌｉｎｇ　ｋｅｙ）を暗号化（ｅｎｃｒｙｐｔｉｏｎ）して受信装置に送信することを必要としない。鍵（ｋｅｙ：キー）は、サービス・プロバイダから受信した少なくとも１つのシェア（ｓｈａｒｅ：分担、割り当て、一部、断片）と、装置に記憶された少なくとも２つのシェア（ｓｈａｒｅ）を使用して回復される。
【０００２】
（発明の背景）
今日、ユーザは、放送テレビジョン・ネットワーク、ケーブル・テレビジョン・ネットワーク、ディジタル衛星システム、インターネット・サービス・プロバイダなど様々なサービス・プロバイダからサービスを受けることができる。ほとんどのテレビジョン受信機は、放送ネットワークおよびケーブル・ネットワークから、スクランブルされていない情報または番組を直接受信することができる。スクランブルされた番組を提供するケーブル・ネットワークは、通常、番組をスクランブル解除するための別個の独立型セットトップ・ボックス（ＳＴＢ）を必要とする。同様に、通常、ディジタル衛星システムも別個のセットトップ・ボックスの使用をやはり必要とするスクランブル済みプログラムを提供する。これらのセットトップ・ボックスは、スクランブル解除鍵を回復するために必要な鍵を含む取り外し可能なスマート・カードを利用することがある。番組の未許可コピーを防止するためには、これらの重要な鍵を保護することが最優先事項である。
【０００３】
条件付きアクセス・システム（ＣＡＳ：Ｃｏｎｄｉｔｉｏｎａｌ　Ａｃｃｅｓｓ　Ｓｙｓｔｅｍ）は、限定受信方式とも呼ばれ、支払い、および／または許可や識別や登録など他の要件に基づいて、サービス（例えば、テレビジョン、インターネットなど）へのアクセスを可能にする。条件付きアクセス・システムでは、ユーザ（加入者（ｓｕｂｓｃｒｉｂｅｒ））が、サービス・プロバイダとサービス契約を結んでアクセス権を得る。
【０００４】
図７に、従来の条件付きアクセス・システム・アーキテクチャを示す。情報またはコンテンツ（例えば、テレビジョン番組、映画など）および権利の付与メッセージ（ｅｎｔｉｔｌｅｍｅｎｔ　ｍｅｓｓａｇｅ）が、保護（例えば、暗号化）された後で加入者に配信される。現在、各番組またはサービスに関連する権利の付与メッセージには２つのタイプがある。権利の付与制御メッセージ（ＥＣＭ：Ｅｎｔｉｔｌｅｍｅｎｔ　Ｃｏｎｔｒｏｌ　Ｍｅｓｓａｇｅ）は、スクランブル解除鍵（「制御ワード（ｃｏｎｔｒｏｌ　ｗｏｒｄ）」と呼ばれることもある）および番組の簡単な記述（例えば、番組番号、日付、時間、コストなど）を伝える。権利の付与管理メッセージ（ＥＭＭ：Ｅｎｔｉｔｌｅｍｅｎｔ　Ｍａｎａｇｅｍｅｎｔ　Ｍｅｓｓａｇｅ）は、サービスに関係する許可レベル（例えば、サービス・タイプ、サービス継続時間などを示す）を指定する。権利の付与管理メッセージ（ＥＭＭ）は、サービスと同じチャネル上で配信することもでき、あるいは電話回線など別個のチャネル上で送信することもできる。通常、権利の付与制御メッセージ（ＥＣＭ）は、多重化されて関連の番組と共に送信される。
【０００５】
図８に、図７に示したものなどの条件付きアクセス・システムに関する従来の送信側アーキテクチャを示す。図から分かるように、サービスからのオーディオ、ビデオ、およびデータのストリームが、多重化された後でスクランブルされ、変調され、受信側（即ち、加入者）に送信される。
【０００６】
図９に、図７に示したものなどの条件付きアクセス・システムに関する従来の受信側アーキテクチャを示す。図から分かるように、受信ビット・ストリームが復調され、復号され、圧縮解除された後に、別々のオーディオ、ビデオ、およびデータのストリームが表示装置（例えば、テレビジョン画面）に送られる。
【０００７】
暗号化に基づく技術は、配信コンテンツを保護するために広く使用されている。保護された特定の番組を視聴することが加入者に許可されている場合、この番組はスクランブル解除（ｄｅｓｃｒａｍｂｌｅ：デスクランブル）され、視聴のために表示装置（例えば、テレビジョン画面）に送られる。ほとんどの条件付きアクセス・システムでは、加入者は、権利の付与管理メッセージ（ＥＭＭ）および権利の付与制御メッセージ（ＥＣＭ）に基づいて、番組をスクランブル解除するためのスマート・カード（ｓｍａｒｔ　ｃａｒｄ）を備えるディジタル装置（例えば、セットトップ・ボックス、ディジタル・テレビジョン、ディジタル・ビデオカセット・レコーダ）を有することになる。
【０００８】
通常、番組は、データ暗号化規格（ＤＥＳ：Ｄａｔａ　Ｅｎｃｒｙｐｔｉｏｎ　Ｓｔａｎｄａｒｄ）などの対称暗号を用いてスクランブルされる。セキュリティの理由から、スクランブル鍵（従って、権利の付与制御メッセージ（ＥＣＭ））は頻繁に変更され、変更期間はおよそ数秒である。条件付きアクセス・プロバイダは、権利の付与制御メッセージ（ＥＣＭ）の保護を秘密に定めることが多いものの、公開鍵暗号法（ｐｕｂｌｉｃ　ｋｅｙ　ｃｒｙｐｔｏｇｒａｐｈｙ）が、鍵をサービス・プロバイダから加入者まで伝送するための実行可能なツールである。スクランブル解除鍵は、送信側で公開鍵（ｐｕｂｌｉｃ　ｋｅｙ）により暗号化され、受信側で対応する秘密鍵（ｐｒｉｖａｔｅ　ｋｅｙ）（受信側のスマート・カードに記憶されている）により回復される。
【０００９】
しかし、公開鍵暗号法には重大な欠点がある。例えば、公開鍵方式は、対称鍵方式よりも著しく時間が掛かり、しばしばより長い鍵（より多くの英数字を含む鍵）を有する。更に、鍵を回復するには、計算上の要求の厳しいアルゴリズム（ＲＳＡ（Ｒｉｖｅｓｔ‐Ｓｈａｍｉｒ‐Ａｄｌｅｍａｎ）暗号など）が必要である。
【００１０】
これらのディジタル装置において、セキュリティ機能をナビゲーション機能（即ち、チャネル・サーフィン）から分離することは重要である。分離することにより、装置メーカは、特定の条件付きアクセス・システムに依存せずに動作する装置を製造することができる。これは以下の２つの理由により重要である。
【００１１】
（１）最近まで、セットトップ・ボックスは小売店で容易に入手可能ではなく、加入者に直接配送するケーブル会社向けに製造されてきた。主要な家電メーカおよび電子機器小売店は、独占的であるとしてこの慣例に反発してきた。
【００１２】
（２）セキュリティの観点から見ると、鍵が不正に見つけられた（「ハッキング（ｈａｃｋ）」）場合、条件付きアクセス・プロバイダは、影響を受ける装置（例えば、セットトップ・ボックス）中のスマート・カードを入れ替えるだけでよく、システム全体を再構成する必要はない。
【００１３】
従って、現在、しきい値暗号法（ｔｈｒｅｓｈｏｌｄ　ｃｒｙｐｔｏｇｒａｐｈｙ）など、公開鍵暗号法以外の概念を利用する情報保護の方式が必要とされている。
【００１４】
（発明の概要）
本発明は、サービス・プロバイダのイベント（ｅｖｅｎｔ）を表す信号へのアクセスを、スマート・カードを利用して管理するための方法および装置を定める。即ち、この方法は、対称スクランブル鍵を使用してスクランブルされた信号をスマート・カード中で受け取ること、第１のシェアを表すデータを受け取ること、第１のシェアとスマート・カードに記憶された少なくとも２つの追加シェアとを使用してスクランブル鍵を構成すること、および、構成したスクランブル鍵を使用して信号をスクランブル解除して、スクランブル解除済み信号を生成することを含んでいる。
【００１５】
本発明の第２の例示的な実施形態によれば、第１、第２、第３のシェアを使用する。第１、第２、第３のシェアは、ユークリッド平面上の点であり、スクランブル鍵を構成するステップは、第１、第２、第３のシェアによってユークリッド平面上に形成される放物曲線のＹ切片を計算することを含んでいる。
【００１６】
本発明の第３の例示的な実施形態によれば、第１、第２、第３、第４のシェアを使用する。第１、第２、第３、第４のシェアは、ユークリッド平面上の点であり、スクランブル鍵を構成するステップは、第１、第２、第３、第４のシェアによってユークリッド平面上に形成される曲線のＹ切片を計算することを含んでいる。一般に、必要とされるセキュリティ・レベルに応じて、任意の数のシェアを使用することができる。
【００１７】
（実施形態の詳細な説明）
通常、条件付きアクセス（ＣＡ：Ｃｏｎｄｉｔｉｏｎａｌ　Ａｃｃｅｓｓ）システムでは、信号は、データ暗号化規格（ＤＥＳ）などの対称暗号（秘密鍵暗号）を使用してスクランブルされる。セキュリティの理由から、スクランブル鍵は頻繁に変更され、変更期間はおよそ数秒である。スクランブル解除鍵（信号と共に送信される）の保護は、公開鍵暗号法で行われることが多く、公開鍵暗号法は、先に説明したように比較的多くの計算パワーおよびメモリを必要とする。本発明は、一部には、上述の問題を認識することにあり、また一部には、この問題への解決法を提供することにある。
【００１８】
本明細書で述べる信号（例えば、イベントや番組）には、（１）オーディオ／ビジュアル・データ（例えば、映画、毎週の「テレビ」ショーまたはドキュメンタリー）、（２）テキスト・データ（例えば、電子雑誌、新聞、または天気ニュース）、（３）コンピュータ・ソフトウェア、（４）バイナリ・データ（例えば、画像）、（５）ＨＴＭＬデータ（例えば、ウェブ・ページ）などの情報、あるいは、アクセス制御が必要な他の任意の情報が含まれる。サービス・プロバイダには、イベントをブロードキャストする任意のプロバイダ、例えば従来の放送テレビジョン・ネットワーク、ケーブル・ネットワーク、ディジタル衛星ネットワークや、電子番組ガイド（ＥＰＧ）プロバイダなど電子イベント・リストのプロバイダが含まれ、場合によってはインターネット・サービス・プロバイダが含まれる。
【００１９】
本発明は、スクランブル解除鍵を安全に伝送するための方法および装置を提供する。本発明は、番組またはサービスが複数のソースのうちの１つから得られる条件付きアクセス・システムで特に使用することができる。この方法をディジタル・テレビジョンやディジタル・ビデオ・カセット・レコーダやセットトップ・ボックスなどの装置内で実施するとき、鍵構成に必要なデータの一部だけしか装置に記憶されないので、この方法は、スクランブル解除鍵の好都合な管理をもたらす。説明を簡単にするために、以下の本発明の記述では、ディジタル・テレビジョンおよびスマート・カードを使用する実装形態を対象とする。
【００２０】
図１で、システム３０は、ディジタル・テレビジョン（ＤＴＶ）４０へのアクセスを管理するための一般的なアーキテクチャを表す。スマート・カード（ＳＣ）４２が、ディジタル・テレビジョン（ＤＶＴ）４０のスマート・カード・リーダ４３に挿入されるかまたは結合される。内部バス４５が、ディジタル・テレビジョン（ＤＶＴ）４０とスマート・カード（ＳＣ）４２を相互接続し、それによってこれらの間のデータ転送を可能にする。このようなスマート・カードには、ナショナル・リニューアブル・セキュリティ規格（ＮＲＳＳ：Ｎａｔｉｏｎａｌ　Ｒｅｎｅｗａｂｌｅ　Ｓｅｃｕｒｉｔｙ　Ｓｔａｎｄａｒｄ）パートＡに準拠して表面に複数の端子ピンが配置されたカード本体を有するＩＳＯ７８１６カードや、ＮＲＳＳパートＢに準拠するＰＣＭＣＩＡカードが含まれる。
【００２１】
ディジタル・テレビジョン（ＤＶＴ）４０は、放送テレビジョンＳＰ（Ｓｅｒｖｉｃｅ　Ｐｒｏｖｉｄｅｒ）５０、ケーブル・テレビジョンＳＰ５２、衛星システムＳＰ５４、インターネットＳＰ５６など、複数のサービス・プロバイダ（ＳＰ）からサービスを受ける機能を有する。条件付きアクセス組織（ＣＡ）７５は、サービス・プロバイダとディジタル・テレビジョン（ＤＶＴ）４０のどちらにも直接には接続されないが、鍵管理を行い、公開鍵と秘密鍵の対を発行する。鍵の対は、必要な場合に後述のように使用することができる。
【００２２】
本発明は、公開鍵暗号法（または、他の任意の暗号システム）を使用するための要件を無くす秘密分散の概念を採用して、オーディオ／ビジュアル（Ａ／Ｖ）ストリームがサービス・プロバイダ（例えば、ＳＰ５０〜５６）から加入者のスマート・カード（例えば、スマート・カード（ＳＣ）４２）に安全に送信されるようにする。
【００２３】
本発明は、アジ・シャミル氏（Ａｄｉ　Ｓｈａｍｉｒ）によって元々開発された、「しきい値法（ｔｈｒｅｓｈｏｌｄ　ｓｃｈｅｍｅ）」または「しきい値暗号法（ｔｈｒｅｓｈｏｌｄ　ｃｒｙｐｔｏｇｒａｐｈｙ）」として知られる秘密分散法（ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｓｃｈｅｍｅ）の適用を採用する（Ａ．Ｓｈａｍｉｒ「Ｈｏｗ　ｔｏ　ｓｈａｒｅ　ａ　ｓｅｃｒｅｔ」Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ　ｏｆ　ｔｈｅ　ＡＣＭ、Ｖｏｌ．２２、Ｎｏ．１１、６１２〜６１３ページ、１９７９年１１月参照）。シャミル氏によって提案されるような（ｔ，ｎ）しきい値法は、秘密（情報）（ｓｅｃｒｅｔ）を再構成するために断片のうち少なくともｔ個（≦ｎ）が必要になるような形式で、秘密をｎ個の断片（「シェア（ｓｈａｒｅ）」または「シャドウ（ｓｈａｄｏｗ）」と呼ばれることがある）に分割するものである。完全なしきい値法は、（ｔ−１）個以下の断片（「シェア」または「シャドウ」）がわかっても、秘密に関する情報は何も提供されないしきい値法である。
【００２４】
例えば、（３，４）しきい値法では、秘密は４つのシェアに分割されるが、秘密鍵を再構成するには３つのシェアしか必要でない。ただし２つのシェアでは秘密鍵を再構成することはできない。シャミル氏の（ｔ，ｎ）しきい値法では、より大きい値をｔに選択して（ｔ−１）個の秘密をスマート・カードに記憶すれば、暗号文攻撃に対するシステムの抵抗力は高まるものの、多項式を構成するための計算はより多くなる。
【００２５】
このようなしきい値法は、対称鍵を回復する際のスマート・カードに対する計算要件を削減する。モジュラー（ｍｏｄｕｌａｒ）べき乗計算を必要とするＲＳＡ（Ｒｉｖｅｓｔ‐Ｓｈａｍｉｒ‐Ａｄｌｅｍａｎ）復号と比較して、新しい鍵それぞれにつき単純な操作が行われるだけである（即ち、ｘ＝０における多項式の値が計算される）。加えて、セキュリティは完全である（即ち、（ｘ_１，ｙ_１）が分っても、秘密の値はすべて依然として等しい確率を有する）。
【００２６】
本発明は、条件付きアクセス・システムで、シャミル氏の秘密分散の原理を利用して、スクランブル済み信号をスクランブル解除するための鍵の識別を秘匿する。具体的には、本発明者は、ユークリッド平面（Ｅｕｃｌｉｄｅａｎ　ｐｌａｎｅ）中の２つ以上の点で形成される特定の線または曲線のＹ切片（Ｙ−ｉｎｔｅｒｃｅｐｔ）がスクランブル鍵を構成する方式を提案する。
【００２７】
この方式の最も単純な実施形態では、受信側（例えば、スマート・カード）は、あらかじめシェアが記憶された状態で製造される（後述の通り、これはしばしば「予め組み込まれた（ｐｒｅｐｏｓｉｔｉｏｎｅｄ）」分散秘密法と呼ばれる）。この記憶されたシェアを使用して、送信側で信号をスクランブルするための鍵を計算する。スクランブルされた信号を送信するとき、追加の、即ち、「アクティブ化（ａｃｔｉｖａｔｉｎｇ）」シェアも一緒に送信する。アクティブ化シェアを知っていても記憶済みシェアを知らなければ意味がないので、この方式では「アクティブ化」シェアを暗号化する必要はないことに留意されたい。受信側は、「アクティブ化」シェアを受け取ると、記憶済みシェアと「アクティブ化」シェアとによって形成される線のＹ切片を見つけることによって計算されるスクランブル解除鍵を使用して、スクランブル済み信号を再構成する。新しい鍵が必要になる度に、送信側で新しい「アクティブ化」シェアを選択し、それにより記憶済みシェアと「アクティブ化」シェアとによって形成される線のＹ切片を変更することができる。このようにして、有限数のスクランブル鍵を定義し、スマート・カードも受信側ハードウェアまたはソフトウェアも変更せずにスクランブル鍵を利用することができる。
【００２８】
鍵の生成および配布のプロセスは、以下のステップを実施するためのプログラムを開発することによって自動化することができる。
（ａ）秘密Ｓを選択する。これはユークリッド平面のＹ軸に沿った値となる。
（ｂ）点（０，Ｓ）と別の点（ｘ_０，ｙ_０）を通る１次多項式ｆ（ｘ）を構成する。
（ｃ）ｘ_１におけるｆ（ｘ）を計算する。ｘ_１はｘ_０と等しくはなり得ない。
（ｄ）Ｓで保護したコンテンツと共に（ｘ_１，ｙ_１）を配布する。
【００２９】
前述のような方式は、秘密の一部が受信側に「予め組み込まれる」ので、しばしば「予め組み込まれた」分散秘密法と呼ばれる。上の例では、「予め組み込まれた」シェアは、受信側でスマート・カードに記憶されているシェアである。このような「予め組み込まれた」分散秘密法は、暗号学の分野で他者によって考察されている（例えば、Ｇ．Ｊ．Ｓｉｍｍｏｎｓ「Ｈｏｗ　ｔｏ（ｒｅａｌｌｙ）ｓｈａｒｅ　ａ　ｓｅｃｒｅｔ」Ａｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ’８８　Ｐｒｏｃｅｅｄｉｎｇｓ、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、３９０〜４４８ページ、１９９０年、およびＧ．Ｊ．Ｓｉｍｍｏｎｓ「Ｐｒｅｐｏｓｉｔｉｏｎｅｄ　ｓｈａｒｅｄ　ｓｅｃｒｅｔ　ａｎｄ／ｏｒ　ｓｈａｒｅｄ　ｃｏｎｔｒｏｌ　ｓｃｈｅｍｅｓ」Ａｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ−ＥＵＲＯＣＲＹＰＴ’８９　Ｐｒｏｃｅｅｄｉｎｇｓ、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、４３６〜４６７ページ、１９９０年参照）。所定のシェアを予め組み込まれることにより、スクランブル鍵は、受信側のどんな回路も変更せずに比較的容易に変更することができ、「アクティブ化」シェアを変更する必要があるだけである。
【００３０】
上記のアルゴリズムは、２つのシェア（即ち、ユークリッド平面上の線の２点）だけを有する秘密Ｓを利用した予め組み込まれた秘密分散法を概説したものであることに留意されたい。当然、より多くのシェア（点（ｐｏｉｎｔ））を有するより複雑な他の秘密Ｓを開発してもよい。予め組み込まれた秘密分散法の重要な面は、シェアの幾つかが受信側に「予め組み込まれる」ことである。
【００３１】
本発明は、特定位置（場所）（例えば、スマート・カード・メモリ）に秘密のシェアの少なくとも１つを記憶することを含んでいる。次いで、記憶したシェアを「アクティブ化」シェアと共に使用して、秘密を構成する。例えば（４，４）方式では、４つのシェアのうち３つを特定位置（例えば、スマート・カード）に記憶することが好ましい。次いで、秘密を得るための最後のシェア（本明細書では「アクティブ化」シェアとも呼ぶ）をこの位置に送信する。本発明では、秘密はシェア自体ではなく、シェアがユークリッド平面上の点として表されたときにシェアによって形成される線、または曲線（より高次の多項式の場合）のＹ切片であることに留意するのが重要である。
【００３２】
図２および図３は共に、本発明の第１の例示的な実施形態を例示するものである。第１の例示的な実施形態では、２つのシェアを有する秘密を使用する。前述のように、各シェアはユークリッド平面上の点で定められる。具体的には、スマート・カード（ＳＣ）４２に第１のシェア（または、データ点）が記憶される。第１のシェアは、ユークリッド平面上の単一の点（即ち、（ｘ_０，ｙ_０）の形式）と考えることができる。サービス・プロバイダ５８は、対称鍵、例えば、データ暗号化規格（ＤＥＳ）鍵でスクランブルされたものとすることのできる信号（即ち、イベントまたは番組）を送信する。スクランブルされた信号に加えて、サービス・プロバイダ５８は、第２の（即ち、「アクティブ化」）シェアも送信する。第２のシェアも同様に、同じユークリッド平面からの第２の単一の点（即ち、（ｘ_１，ｙ_１）の形式）とすることができる。
【００３３】
スクランブルされたオーディオ／ビジュアル（Ａ／Ｖ）信号、および第２の（「アクティブ化」）シェアは、ディジタル・テレビジョン（ＤＶＴ）４０によって受信され、処理のためにスマート・カード（ＳＣ）４２に送られる。スマート・カード（ＳＣ）４２は、第２の（「アクティブ化」）シェアを受け取り、記憶されている第１のシェアと受け取った第２のシェアの両方を使用して、対称鍵を再構成（または、回復）する。次いでスマート・カード（ＳＣ）４２は、再構成された対称鍵を使用して、受信されたスクランブル済みオーディオ／ビジュアル（Ａ／Ｖ）信号をスクランブル解除し、スクランブル解除済みオーディオ／ビジュアル（Ａ／Ｖ）信号を生成する。このスクランブル解除済みオーディオ／ビジュアル（Ａ／Ｖ）信号は、表示されるようディジタル・テレビジョン（ＤＶＴ）４０に提供される。
【００３４】
対称鍵の回復は、第１および第２のシェアを利用して多項式を構成することによって達成される。即ち、構成された多項式のＹ切片が対称鍵である。例えば、（ｘ_０，ｙ_０）および（ｘ_１，ｙ_１）がある場合、対称鍵は、この所定の有限体中でＳの値を計算することによって構成され、以下のようになる。
Ｓ＝ｆ（０）＝ｙ_０−（（ｙ_１−ｙ_０）／（ｘ_１−ｘ_０））×（ｘ_０）
【００３５】
図３Ａに、本発明の第１の例示的な実施形態のグラフを示す。このグラフは、例示的なシェア（ｘ_０，ｙ_０）および（ｘ_１，ｙ_１）と、これらによって形成される線を示しており、この線は特定の点でＹ軸と交差する（この点が鍵である）。例として、図３Ａのプロットは、モジュラー算術ではなく実数を使用して得られる。
【００３６】
第１の例示的な実施形態に関して上述したような手法では、複数のサービス・プロバイダが、記憶される第２のシェア（ｘ_０，ｙ_０）（即ち、「アクティブ化」シェア）を共用することができる。次いで、各サービス・プロバイダは、独自の第１のシェア（即ち、（ｘ_１，ｙ_１））を自由に選択することができる。同一のＹ切片（即ち、同一の対称鍵）を伴う多項式を構成する確率は低い。ただし、可能な第２のシェアの範囲は、各サービス・プロバイダが重ならない固有の範囲を有するように割り振ることもできる（図３Ｂ参照）。更に、各サービス・プロバイダが独自の第１のシェアを選択して、これをダウンロード前にスマート・カードの公開鍵を使用して暗号化することができることも、本発明の範囲内である。このシェアは、スマート・カードがその秘密鍵Ｋ_{ＳＣｐｒｉ}を使用して回復することになる。更に、後で説明するが、イベントの各部分を異なる鍵スクランブル解除して異なる複数の第２のシェアを送っても、定める本システムの堅牢性を高めることができる。
【００３７】
本発明の第１の例示的な実施形態による例を考察するために、点（ｘ_０，ｙ_０）＝（１７，１５）、（ｘ_１，ｙ_１）＝（５，１０）、およびｐ＝２３と仮定する。（ｘ_０，ｙ_０）および（ｘ_１，ｙ_１）を通る１次多項式
ｆ（ｘ）＝ａ_１ｘ＋ａ_０（ｍｏｄ２３）
は、以下の式を解くことによって構成することができる。
ａ_１×（１７）＋ａ_０＝１５（ｍｏｄ２３）
ａ_１×（５）＋ａ_０＝１０（ｍｏｄ２３）
解（ａ_１，ａ_０）＝（１０，６）は、以下の多項式をもたらす。
ｆ（ｘ）＝１０ｘ＋６（ｍｏｄ２３）
秘密Ｓの値は、ｆ（０）を計算することによって発見することができる。
Ｓ＝ｆ（０）＝６（ｍｏｄ２３）
【００３８】
従って、上の例によれば、秘密の値は、即ち、スクランブル鍵の値は、６（ｍｏｄ２３）になる。当然、この秘密の値は、（ｘ_１，ｙ_１）の値が変わる度に変化することになる。
【００３９】
図４に、（第１の例示的な実施形態の２つのシェアとは対照的に）３つのシェアを利用する本発明の第２の例示的な実施形態による鍵回復方式を示す。第２の例示的な実施形態では、対称鍵の回復は、第１、第２、第３のシェア（例えば、（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２））を利用して２次多項式（即ち、放物曲線）を構成することによって達成される。構成された２次多項式のＹ切片が、対称鍵である。
【００４０】
本発明の第２の例示的な実施形態による例を考察するために、点（ｘ_０，ｙ_０）＝（１７，１５）、（ｘ_１，ｙ_１）＝（５，１０）、（ｘ_２，ｙ_２）＝（１２，６）、およびｐ＝２３と仮定する。（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２）を通る２次多項式
ｆ（ｘ）＝ａ_２ｘ^２＋ａ_１ｘ＋ａ_０（ｍｏｄ２３）
は、以下の式を解くことによって構成することができる。
ａ_２×（１７^２）＋ａ_１×（１７）＋ａ_０＝１５（ｍｏｄ２３）
ａ_２×（１２^２）＋ａ_１×（１２）＋ａ_０＝６（ｍｏｄ２３）
ａ_２×（５^２）＋ａ_１×（５）＋ａ_０＝１０（ｍｏｄ２３）
解（ａ_２，ａ_１，ａ_０）＝（１０，２０，５）は、以下の多項式をもたらす。
ｆ（ｘ）＝１０ｘ^２＋２０ｘ＋５（ｍｏｄ２３）
秘密Ｓの値は、ｆ（０）を計算することによって発見することができる。
Ｓ＝ｆ（０）＝５（ｍｏｄ２３）
【００４１】
図４に示すように、第１、第２、第３のシェアは、ユークリッド平面上の点として表すことができる。例として、図４のプロットはモジュラー算術ではなく実数を使用して得られる。
【００４２】
図５に、４つのシェアを利用する本発明の第３の例示的な実施形態による鍵回復方式を示す。第３の例示的な実施形態では、対称鍵の回復は、第１、第２、第３、第４のシェア（例えば、（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２）、（ｘ_３，ｙ_３））を利用して３次多項式（即ち、曲線）を構成することによって達成される。構成された３次多項式のＹ切片が対称鍵である。
【００４３】
本発明の第３の例示的な実施形態による例を考察するために、点（ｘ_０，ｙ_０）＝（１７，１５）、（ｘ_１，ｙ_１）＝（５，１０）、（ｘ_２，ｙ_２）＝（１２，６）、（ｘ_３，ｙ_３）＝（３，１２）、およびｐ＝２３と仮定する。（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２）、（ｘ_３，ｙ_３）を通る３次多項式
ｆ（ｘ）＝ａ_２ｘ^３＋ａ_２ｘ^２＋ａ_１ｘ＋ａ_０（ｍｏｄ２３）
は、以下の式を解くことによって構成することができる。
ａ_３×（１７^３）＋ａ_２×（１７^２）＋ａ_１×（１７）＋ａ_０＝１５（ｍｏｄ２３）
ａ_３×（１２^３）＋ａ_２×（１２^２）＋ａ_１×（１２）＋ａ_０＝６（ｍｏｄ２３）
ａ_３×（５^３）＋ａ_２×（５^２）＋ａ_１×（５）＋ａ_０＝１０（ｍｏｄ２３）
ａ_３×（３^３）＋ａ_２×（３^２）＋ａ_１×（３）＋ａ_０＝１２（ｍｏｄ２３）
解（ａ_３，ａ_２，ａ_１，ａ_０）＝（１８，１９，０，２２）は、以下の多項式をもたらす。
ｆ（ｘ）＝１８ｘ^３＋１９ｘ^２＋０ｘ＋２２（ｍｏｄ２３）
秘密Ｓの値は、ｆ（０）を計算することによって発見することができる。
Ｓ＝ｆ（０）＝２２（ｍｏｄ２３）
【００４４】
図５に示すように、第１、第２、第３、第４のシェアは、ユークリッド平面上の点として表すことができる。例として、図５のプロットはモジュラー算術ではなく実数を使用して得られる。
【００４５】
前述のような複数のシェアを使用して、条件付きアクセス・システムのための好都合な鍵管理方式を構成することもできる。条件付きアクセス・システムのオペレータはしばしば、（１）個人（ｉｎｄｉｖｉｄｕａｌ）、（２）グループ（ｇｒｏｕｐ）、（３）地域（ｒｅｇｉｏｎａｌ）の３レベルの鍵を定める。条件付きアクセス・システムの加入者の各スマート・カードごとに異なる数のシェアを記憶することにより、加入者にこれらの種々の許可レベルのうちの１つまたは複数を割り当てることができる。
【００４６】
指定の個体数のスマート・カードを使用してシステムへのアクセスを制御する条件付きアクセス・システムを検討する。以下のように、異なる３つのカード・タイプを製造することができる。
（１）レベル１スマート・カード：放送「領域」中のすべてのスマート・カードに、１つの共通シェア（即ち、領域中のすべてのスマート・カードに共通のシェア）を割り当てる。
（２）レベル２スマート・カード：指定のグループ中のすべてのスマート・カードに、追加の共通シェア（即ち、指定のグループ中のすべてのスマート・カードに共通のもう１つのシェア）を割り当てる。
（３）レベル３スマート・カード：各スマート・カードに固有の追加シェアを割り当てる。
【００４７】
前述のスマート・カードを「アクティブ化」シェアと共に使用して、ある種の番組をスクランブル解除することができる。レベル１スマート・カードは１つのシェアだけを含み、レベル２スマート・カードは２つのシェアを含み、レベル３スマート・カードは３つのシェアを含むので、各カードは異なるスクランブル解除鍵セット（ｓｅｔ：組）を提供することになる。従って、放送領域内のすべてのスマート・カード（即ち、レベル１スマート・カード）は、一般の放送（例えば、基本的なテレビジョン・チャネル）を受信してスクランブル解除する機能を有するが、レベル２スマート・カードだけは、幾つかの追加の番組（例えば、ＨＢＯ（Ｈｏｍｅ　Ｂｏｘ　Ｏｆｆｉｃｅ）やショータイム（Ｓｈｏｗｔｉｍｅ）など）を受信してスクランブル解除する機能を有し、レベル３スマート・カードだけは、その他に幾つかの追加の番組（例えば、ペイ・パー・ビュー（ＰＰＶ：ｐａｙ−ｐｅｒ−ｖｉｅｗ）映画など）を受信してスクランブル解除する機能を有する。レベル１〜３スマート・カード中に配置されるシェアは、秘密（例えば、スクランブル解除鍵）を計算するために「アクティブ化」シェアと共に使用することのできる「予め組み込まれた」情報を構成することに留意されたい。
【００４８】
図６に、どのようにユークリッド平面を使用して複数シェア方式を構成するかを示す。図から分かるように、異なる３つの許可レベルは、３つのＹ切片に対応する（即ち、「地域鍵」、「グループ鍵」、「個人鍵」）。１次多項式（レベル１即ち、「地域」許可に対応する）は、「アクティブ化シェア」およびレベル１共通シェアを通る線を構成する。２次多項式（レベル２即ち、「グループ」許可に対応する）は、「アクティブ化」シェア、レベル１共通シェア、およびレベル２シェアを通る放物線を構成する。３次多項式（レベル３即ち、「個人」許可に対応する）は、「アクティブ化」シェア、レベル１共通シェア、レベル２シェア、およびレベル３シェアを通る曲線を構成する。この例では、異なる各鍵（即ち、個人、グループ、地域）を計算するために「アクティブ化」シェアを使用していることに留意されたい。例として、図６のプロットはモジュラー算術ではなく実数を使用して得られることを理解されたい。
【００４９】
上の例を用いて、以下の表に、シェアと種々の許可レベルとの関係を記述する。
【表１】

【００５０】
前述の方法および装置について、マルチメディア・コンテンツを配信するための条件付きアクセス・システムのコンテキストで述べたが、本発明の原理は、情報の送信側と受信側の間で安全に通信するための方法および装置にも適用することができる。
【００５１】
前述の方法および装置の幾つかの利点には、次のことが含まれる。
（ａ）対称鍵を回復する際の受信側に対する計算要件が削減される（即ち、各鍵につき単純な操作しか実施されない）。これは、モジュラーべき乗の計算を必要とするＲＳＡ復号とは対照的である。
【００５２】
（ｂ）セキュリティは「完全」である。言い換えれば、アクティブ化シェアがあっても、秘密の値はすべて依然として等しい確率を有する。より高次の多項式であるほど、アクティブ化シェアを得て秘密を決定する作業はより一層困難になる。
【００５３】
（ｃ）送信側と受信側の間で共有される「予め組み込まれた」情報の所定のセットに対し、異なる対称鍵を容易に導出して頻繁に使用することができる（即ち、「アクティブ化」シェアを変更することによって）。
【００５４】
（ｄ）各受信側に異なるシェアを割り当てることにより、異なる許可レベルを定めることができる。
【００５５】
（ｅ）セキュリティは、証明されていない数学的仮定に依拠しない（即ち、ＲＳＡのセキュリティは、整数因数分解の問題の困難さに基づく）。
【００５６】
前述の方式は、対称鍵システムと公開鍵システムの利点を効果的に結合する。「予め組み込まれた」情報は、受信側の秘密鍵と考えることができる。構成される対称鍵は、権利の付与制御メッセージ（ＥＣＭ）の一部として送信される公開情報によって決定される。スクランブル解除鍵は放送のソースでは生成されないので、これらを配布時に保護するための追加の暗号は必要ない。
【００５７】
前述の方式の効果は、次のことを含めた様々な仕方で高めることができる。
【００５８】
（１）分散秘密に応じてスクランブル鍵を定める。一般に、鍵は、秘密の値において予め定められた関数を評価することによって生成することができる。例えば、分散秘密（例えば、関数ｆ（ｘ）のＹ切片）が実数７であった場合、鍵は７の平方根として定めることができる。このようにすれば、たとえ秘密を発見してもスクランブル解除できるとは限らない。あるいは、多項式の係数が得られた後で他の任意の定義を用いることもできる。実際上は、関数はエントロピー保存特性を有することが必要な場合がある（即ち、エントロピー（秘密）＝エントロピー［ｆ（秘密）］）。
【００５９】
（２）多項式関数の次数（従って、秘密を発見するために必要なシェアの数）を、時間依存の秘密のシステム・パラメータにする。例えば、秘密を定める多項式ｆ（ｘ）の次数は、１日ごと、１時間ごとなどで変化する。最初に多項式の次数を決定しなければならないので、暗号解読はより要求の厳しい作業になる。
【００６０】
（３）アクティブ化シェアを送信前にマスク（ｍａｓｋ）する。次いで、スクランブル済みコンテンツと共に送信されたアクティブ化シェアを、受信側が予め定められたプロセスでマスク解除（ｕｎｍａｓｋ）することができる。マスキングの一例では、コンテンツをスクランブルするためにはアクティブ化シェアのハッシュ値（ｈａｓｈ　ｖａｌｕｅ）を使用するが、送信するのはそうでなくアクティブ化シェアである。次いで、受信側はハッシング（ｈａｓｈｉｎｇ）を実施して実際の値を決定する。
【００６１】
（４）冗長なアクティブ化シェアを追加する。実際のアクティブ化シェアと共に送信された追加のアクティブ化シェアを、受信側が予め定められたプロセスでフィルタリングして除去する。
【００６２】
以上に参照した改良を任意に組み合わせても、アクティブ化シェアの実際の値を送信時に秘匿するために役立ち、コンテンツに対する追加のセキュリティ・レベルを導入する。
【００６３】
秘密を形成する際に１次、２次、３次の多項式を使用することのできる秘密分散法に関して本発明を述べたが、任意の次数の多項式（例えば、４次、５次など）も使用できることは当業者には理解されるであろう。実際、より高次の多項式であるほど、推定しなければならないシェアの数が増加するので、より低い多項式に勝る追加のセキュリティをもたらすという点で好ましい。更に、以上の記述では単一のスマート・カード（例えば、スマート・カード４２）を使用するシステムに焦点を合わせているが、複数のスマート・カードを使用し、各スマート・カードに１つまたは複数のシェア値を記憶することもできることは、当業者には理解されるであろう。
【図面の簡単な説明】
【図１】
共通のセットトップ・ボックス（ＳＴＢ）を様々なサービス・プロバイダ（ＳＰ）にインタフェースするためのアーキテクチャの１つを示すブロック図である。
【図２】
本発明による、装置へのアクセスを管理するためのシステムのブロック図である。
【図３Ａ】
本発明の第１の例示的な実施形態による、スクランブル鍵の決定を表すグラフである。
【図３Ｂ】
図３Ａによる、各サービス・プロバイダ（ＳＰ）について重ならない固有の範囲を割り当てることを表すグラフである。
【図４】
本発明の第２の例示的な実施形態による、スクランブル鍵の決定を表すグラフである。
【図５】
本発明の第３の例示的な実施形態による、スクランブル鍵の決定を表すグラフである。
【図６】
本発明の第４の例示的な実施形態による、複数のスクランブル鍵の決定を表すグラフである。
【図７】
従来の条件付きアクセス・システム（ＣＡＳ）を示すブロック図である。
【図８】
条件付きアクセス・システム（ＣＡＳ）に関する従来の送信側アーキテクチャを示すブロック図である。
【図９】
条件付きアクセス・システム（ＣＡＳ）に関する従来の受信側アーキテクチャを示すブロック図である。[0001]
(Field of the Invention)
The present invention relates to scrambled received audio / visual (Audio / Visual) from various sources such as broadcast television networks, cable television networks, digital satellite systems, Internet service providers, and the like. : A / V) system for providing conditional access to (ie, managing access to) signals. By utilizing the concept of secret sharing, the system does not need to encrypt the complete descrambling key and send it to the receiving device. The key is recovered using at least one share received from the service provider and at least two shares stored on the device. You.
[0002]
(Background of the Invention)
Today, users can receive services from various service providers, such as broadcast television networks, cable television networks, digital satellite systems, and Internet service providers. Most television receivers can receive unscrambled information or programs directly from broadcast and cable networks. Cable networks that provide scrambled programs typically require a separate stand-alone set-top box (STB) to descramble the programs. Similarly, digital satellite systems typically provide scrambled programs that also require the use of a separate set-top box. These set-top boxes may utilize a removable smart card that contains the key needed to recover the descrambling key. Protecting these important keys is a top priority to prevent unauthorized copying of programs.
[0003]
Conditional access systems (CAS), also known as conditional access systems, provide services (eg, television, the Internet, etc.) based on payment and / or other requirements, such as authorization, identification and registration. To allow access. In a conditional access system, a user (subscriber) obtains access by signing a service contract with a service provider.
[0004]
FIG. 7 shows a conventional conditional access system architecture. Information or content (eg, television programs, movies, etc.) and entitlement messages are delivered to the subscriber after being protected (eg, encrypted). Currently, there are two types of rights grant messages associated with each program or service. The entitlement control message (ECM) is composed of a descrambling key (sometimes called a “control word”) and a simple description of the program (eg, program number, date, time, cost, etc.). ). An entitlement management message (EMM: Entitlement Management Message) specifies a permission level (for example, indicating service type, service duration, etc.) related to the service. The entitlement management message (EMM) can be delivered on the same channel as the service, or it can be sent on a separate channel, such as a telephone line. Typically, the entitlement control message (ECM) is multiplexed and transmitted with the associated program.
[0005]
FIG. 8 shows a conventional sender architecture for a conditional access system such as that shown in FIG. As can be seen, the audio, video, and data streams from the service are multiplexed, scrambled, modulated, and transmitted to the recipient (ie, the subscriber).
[0006]
FIG. 9 illustrates a conventional receiver architecture for a conditional access system such as that shown in FIG. As can be seen, after the received bit stream has been demodulated, decoded, and decompressed, separate audio, video, and data streams are sent to a display device (eg, a television screen).
[0007]
Technologies based on encryption are widely used to protect distributed content. If the subscriber is authorized to view a particular protected program, the program is descrambled and sent to a display device (eg, a television screen) for viewing. In most conditional access systems, the subscriber has a smart card to descramble the program based on entitlement management messages (EMM) and entitlement control messages (ECM). You will have digital devices (eg, set-top boxes, digital televisions, digital videocassette recorders).
[0008]
Usually, programs are scrambled using a symmetric encryption such as a data encryption standard (DES). For security reasons, the scrambling key (and thus the entitlement control message (ECM)) changes frequently, with a change period of around a few seconds. While conditional access providers often confidentially protect the grant of rights control messages (ECM), public key cryptography provides a method for transmitting keys from a service provider to a subscriber. An executable tool. The descrambling key is encrypted on the transmitting side with a public key and recovered on the receiving side with a corresponding private key (stored on the smart card on the receiving side).
[0009]
However, public key cryptography has significant drawbacks. For example, public key schemes take significantly longer than symmetric key schemes and often have longer keys (keys with more alphanumeric characters). Further, in order to recover the key, an algorithm that is computationally demanding (such as RSA (Rivest-Shamir-Adleman) encryption) is required.
[0010]
In these digital devices, it is important to separate security functions from navigation functions (ie, channel surfing). The decoupling allows device manufacturers to manufacture devices that operate independently of a particular conditional access system. This is important for two reasons.
[0011]
(1) Until recently, set-top boxes were not readily available at retail stores and were manufactured for cable companies that delivered directly to subscribers. Major consumer electronics manufacturers and electronics retailers have opposed this practice as being exclusive.
[0012]
(2) From a security point of view, if the key is found fraudulently ("hack"), the conditional access provider will allow the conditional access provider to access the smart device in the affected device (eg, a set-top box). You just need to swap cards, and you don't have to reconfigure the whole system.
[0013]
Therefore, at present, there is a need for an information protection system that uses a concept other than the public key cryptosystem, such as threshold cryptography.
[0014]
(Summary of the Invention)
The present invention defines a method and apparatus for utilizing a smart card to manage access to signals representing service provider events. That is, the method includes receiving a signal scrambled using the symmetric scrambling key in the smart card, receiving data representing the first share, and storing at least the first share and the stored on the smart card. Configuring the scramble key using the two additional shares and descrambling the signal using the configured scramble key to generate a descrambled signal.
[0015]
According to a second exemplary embodiment of the present invention, first, second and third shares are used. The first, second, and third shares are points on the Euclidean plane, and the step of constructing the scramble key is performed by using a first, second, and third shares of a parabolic curve formed on the Euclidean plane. Includes calculating the Y-intercept.
[0016]
According to a third exemplary embodiment of the present invention, first, second, third and fourth shares are used. The first, second, third, and fourth shares are points on the Euclidean plane, and the step of configuring the scramble key is formed on the Euclidean plane by the first, second, third, and fourth shares. Computing the Y-intercept of the curve to be performed. In general, any number of shares can be used, depending on the level of security required.
[0017]
(Detailed description of the embodiment)
Typically, in conditional access (CA) systems, signals are scrambled using symmetric encryption (secret key encryption) such as the Data Encryption Standard (DES). For security reasons, the scramble key is changed frequently and the change period is around a few seconds. Protection of the descrambling key (sent together with the signal) is often done with public key cryptography, which requires a relatively large amount of computational power and memory as explained earlier. The present invention resides, in part, in recognizing the above-mentioned problems and, in part, in providing a solution to this problem.
[0018]
The signals (eg, events and programs) described herein include (1) audio / visual data (eg, movies, weekly “television” shows or documentaries), and (2) textual data (eg, electronic magazines). Information such as (3) computer software, (4) binary data (eg, images), (5) HTML data (eg, web pages), or access control is required. Other optional information is included. Service providers include any provider that broadcasts events, for example, traditional broadcast television networks, cable networks, digital satellite networks, and electronic event list providers such as electronic program guide (EPG) providers, In some cases, an Internet service provider is included.
[0019]
The present invention provides a method and apparatus for securely transmitting a descrambling key. The invention can be used particularly in conditional access systems where programs or services are obtained from one of a plurality of sources. When implementing this method in a device such as a digital television, a digital video cassette recorder or a set-top box, only a part of the data required for the key configuration is stored in the device, so the method is: Provides convenient management of descrambling keys. For simplicity, the following description of the present invention is directed to implementations using digital television and smart cards.
[0020]
In FIG. 1, system 30 represents a general architecture for managing access to digital television (DTV) 40. A smart card (SC) 42 is inserted or coupled to a smart card reader 43 of a digital television (DVT) 40. An internal bus 45 interconnects the digital television (DVT) 40 and the smart card (SC) 42, thereby enabling data transfer between them. Such a smart card includes an ISO7816 card having a card body having a plurality of terminal pins arranged on a surface thereof in accordance with the National Renewable Security Standard (NRSS) Part A, and an NRSS part B. Compliant PCMCIA cards.
[0021]
The digital television (DVT) 40 has a function of receiving services from a plurality of service providers (SP) such as a broadcast television SP (Service Provider) 50, a cable television SP 52, a satellite system SP 54, and the Internet SP 56. The conditional access organization (CA) 75 is not directly connected to either the service provider or the digital television (DVT) 40, but performs key management and issues public / private key pairs. The key pair can be used if needed, as described below.
[0022]
The present invention employs the concept of secret sharing that eliminates the requirement to use public key cryptography (or any other cryptographic system) so that audio / visual (A / V) streams can be used by service providers (eg, , SPs 50-56) to the subscriber's smart card (eg, smart card (SC) 42).
[0023]
The present invention is a secret sharing scheme originally known by Adi Shamir, known as "threshold scheme" or "threshold cryptography". (See A. Shamir “How to share a secret”, Communications of the ACM, Vol. 22, No. 11, pp. 612-613, November 1979). The (t, n) threshold method, as proposed by Shamir, is a form in which at least t (≦ n) of the fragments are required to reconstruct the secret (secret). , Secrets into n pieces (sometimes referred to as "shares" or "shadows"). The complete threshold method is a threshold method in which no information about secrets is provided even if (t-1) or less fragments ("share" or "shadow") are known.
[0024]
For example, in the (3,4) threshold method, the secret is split into four shares, but only three shares are needed to reconstruct the secret key. However, the secret key cannot be reconstructed with the two shares. In Shamir's (t, n) threshold method, choosing a larger value for t and storing (t-1) secrets on the smart card increases the system's resistance to ciphertext attacks. However, more calculations are needed to construct the polynomial.
[0025]
Such a thresholding method reduces the computational requirements for a smart card in recovering a symmetric key. Only a simple operation is performed for each new key compared to RSA (Rivest-Shamir-Adleman) decryption, which requires a modular exponentiation (ie, the value of the polynomial at x = 0 is calculated). ). In addition, security is complete (ie, (x ₁ , Y ₁ ), All secret values still have equal probability).
[0026]
The present invention conceals the identification of a key for descrambling a scrambled signal in a conditional access system, utilizing Shamill's principle of secret sharing. Specifically, the inventor proposes a scheme in which a Y-intercept of a specific line or curve formed by two or more points in an Euclidean plane constitutes a scramble key. .
[0027]
In the simplest embodiment of this scheme, the receiver (eg, smart card) is manufactured with pre-stored shares (as described below, this is often a "prepositioned" distributed Called the secret law). The stored share is used to calculate a key for scrambling the signal at the transmitting end. When transmitting the scrambled signal, an additional, ie, "activating" share is also transmitted. Note that there is no need to encrypt the "activated" share in this scheme, since knowing the activated share makes no sense without knowing the stored share. Upon receiving the "activated" share, the receiver uses the descrambling key, calculated by finding the Y-intercept of the line formed by the stored share and the "activated" share, to convert the scrambled signal. Reconfigure. Each time a new key is needed, a new "activation" share can be selected at the sender, thereby changing the Y-intercept of the line formed by the stored share and the "activation" share. In this way, a finite number of scrambling keys can be defined and utilized without changing the smart card or the receiving hardware or software.
[0028]
The key generation and distribution process can be automated by developing a program to perform the following steps.
(A) Select a secret S. This is a value along the Y axis of the Euclidean plane.
(B) Point (0, S) and another point (x ₀ , Y ₀ ) To form a first-order polynomial f (x).
(C) x ₁ F (x) is calculated. x ₁ Is x ₀ Cannot be equal to
(D) With the content protected by S (x ₁ , Y ₁ ) To distribute.
[0029]
Such schemes are often referred to as "pre-embedded" distributed secret schemes, since a portion of the secret is "pre-embedded" at the recipient. In the example above, the "pre-installed" share is the share stored on the smart card at the receiving end. Such "pre-built" distributed secret schemes have been considered by others in the field of cryptography (eg, GJ Simmons "How to (really) share a secret" Advances in Cryptology-CRYPTO '. 88 Proceedings, Springer-Verlag, 390-448, 1990, and G. J. Simmons, "Prepositioned shared secret and / or shared control schemes, pages, April, July, 2003, Crypto-Registered, Registry, Credit Card, Registry, Credit Card, University of California, Canada" 1990). By pre-populating a predetermined share, the scrambling key can be changed relatively easily without changing any circuitry on the receiving side, and only the "activation" share needs to be changed.
[0030]
Note that the above algorithm outlines a pre-built secret sharing scheme that utilizes a secret S that has only two shares (ie, two points on a line on the Euclidean plane). Of course, other more complex secrets S with more shares (points) may be developed. An important aspect of the pre-built secret sharing scheme is that some of the shares are "pre-built" at the receiver.
[0031]
The invention involves storing at least one of the secret shares in a specific location (eg, a smart card memory). The stored share is then used with the “activated” share to construct a secret. For example, in the (4, 4) method, it is preferable to store three of the four shares at a specific location (for example, a smart card). The last share to obtain the secret (also referred to herein as the "activated" share) is then sent to this location. Note that in the present invention, the secret is not the share itself, but the Y-intercept of the line or curve (for higher order polynomials) formed by the share when the share is represented as a point on the Euclidean plane. It is important to do.
[0032]
FIGS. 2 and 3 both illustrate a first exemplary embodiment of the present invention. In a first exemplary embodiment, a secret with two shares is used. As described above, each share is defined by a point on the Euclidean plane. Specifically, the smart card (SC) 42 stores the first share (or data point). The first share is a single point on the Euclidean plane (ie, (x ₀ , Y ₀ ) Form) can be considered. The service provider 58 sends a signal (ie, an event or program) that can be scrambled with a symmetric key, for example, a Data Encryption Standard (DES) key. In addition to the scrambled signal, service provider 58 also transmits a second (ie, "activated") share. The second share is likewise a second single point from the same Euclidean plane (ie, (x ₁ , Y ₁ ) Form).
[0033]
The scrambled audio / visual (A / V) signal, and a second ("activated") share are received by a digital television (DVT) 40 and sent to a smart card (SC) 42 for processing. Sent. The smart card (SC) 42 receives the second ("activated") share and reconstructs the symmetric key (both using the stored first share and the received second share). Or recover). The smart card (SC) 42 then descrambles the received scrambled audio / visual (A / V) signal using the reconstructed symmetric key, and descrambles the descrambled audio / visual (A / V) signal. ) Generate a signal. This descrambled audio / visual (A / V) signal is provided to a digital television (DVT) 40 for display.
[0034]
Symmetric key recovery is achieved by constructing a polynomial using the first and second shares. That is, the Y-intercept of the constructed polynomial is the symmetric key. For example, (x ₀ , Y ₀ ) And (x ₁ , Y ₁ ), The symmetric key is constructed by calculating the value of S in this predetermined finite field, as follows:
S = f (0) = y ₀ − ((Y ₁ -Y ₀ ) / (X ₁ -X ₀ )) × (x ₀ )
[0035]
FIG. 3A shows a graph of a first exemplary embodiment of the present invention. This graph shows an example share (x ₀ , Y ₀ ) And (x ₁ , Y ₁ ) And the line formed by them, which intersects the Y axis at a particular point (this point is the key). By way of example, the plot of FIG. 3A is obtained using real numbers rather than modular arithmetic.
[0036]
In an approach as described above with respect to the first exemplary embodiment, a plurality of service providers may store a second share (x ₀ , Y ₀ ) (Ie, the “activation” share). Each service provider then has its own first share (ie, (x ₁ , Y ₁ )) Can be selected freely. The probability of constructing a polynomial with the same Y-intercept (ie, the same symmetric key) is low. However, the range of possible second shares can also be allocated such that each service provider has a unique range that does not overlap (see FIG. 3B). It is further within the scope of the invention that each service provider can select its own first share and encrypt it before downloading using the smart card's public key. This share is a smart card whose secret key K _SCpri You will recover using. Further, as will be described later, the robustness of the present system can be increased even if each part of the event is descrambled with a different key and a plurality of different second shares are sent.
[0037]
To consider an example according to the first exemplary embodiment of the present invention, point (x ₀ , Y ₀ ) = (17,15), (x ₁ , Y ₁ ) = (5,10), and p = 23. (X ₀ , Y ₀ ) And (x ₁ , Y ₁ ) Through the first order polynomial
f (x) = a ₁ x + a ₀ (Mod23)
Can be constructed by solving the following equation:
a ₁ × (17) + a ₀ = 15 (mod23)
a ₁ × (5) + a ₀ = 10 (mod23)
Solution (a ₁ , A ₀ ) = (10,6) yields the following polynomial:
f (x) = 10x + 6 (mod23)
The value of the secret S can be found by calculating f (0).
S = f (0) = 6 (mod23)
[0038]
Therefore, according to the above example, the secret value, that is, the value of the scramble key is 6 (mod 23). Naturally, this secret value is (x ₁ , Y ₁ ) Will change each time the value changes.
[0039]
FIG. 4 illustrates a key recovery scheme according to a second exemplary embodiment of the present invention that utilizes three shares (as opposed to two shares of the first exemplary embodiment). In a second exemplary embodiment, the recovery of the symmetric key is based on the first, second, and third shares (eg, (x ₀ , Y ₀ ), (X ₁ , Y ₁ ), (X ₂ , Y ₂ )) To construct a second-order polynomial (ie, a parabolic curve). The Y-intercept of the constructed second-order polynomial is the symmetric key.
[0040]
To consider an example according to the second exemplary embodiment of the present invention, point (x ₀ , Y ₀ ) = (17,15), (x ₁ , Y ₁ ) = (5,10), (x ₂ , Y ₂ ) = (12,6), and p = 23. (X ₀ , Y ₀ ), (X ₁ , Y ₁ ), (X ₂ , Y ₂ ) Through the second order polynomial
f (x) = a ₂ x ² + A ₁ x + a ₀ (Mod23)
Can be constructed by solving the following equation:
a ₂ × (17 ² ) + A ₁ × (17) + a ₀ = 15 (mod23)
a ₂ × (12 ² ) + A ₁ × (12) + a ₀ = 6 (mod23)
a ₂ × (5 ² ) + A ₁ × (5) + a ₀ = 10 (mod23)
Solution (a ₂ , A ₁ , A ₀ ) = (10,20,5) yields the following polynomial:
f (x) = 10x ² + 20x + 5 (mod23)
The value of the secret S can be found by calculating f (0).
S = f (0) = 5 (mod23)
[0041]
As shown in FIG. 4, the first, second, and third shares can be represented as points on the Euclidean plane. By way of example, the plot of FIG. 4 is obtained using real numbers rather than modular arithmetic.
[0042]
FIG. 5 illustrates a key recovery scheme according to a third exemplary embodiment of the present invention utilizing four shares. In a third exemplary embodiment, the recovery of the symmetric key is based on the first, second, third, fourth shares (eg, (x ₀ , Y ₀ ), (X ₁ , Y ₁ ), (X ₂ , Y ₂ ), (X ₃ , Y ₃ )) To construct a third-order polynomial (ie, a curve). The Y-intercept of the constructed third-order polynomial is the symmetric key.
[0043]
To consider an example according to the third exemplary embodiment of the present invention, point (x ₀ , Y ₀ ) = (17,15), (x ₁ , Y ₁ ) = (5,10), (x ₂ , Y ₂ ) = (12,6), (x ₃ , Y ₃ ) = (3,12), and p = 23. (X ₀ , Y ₀ ), (X ₁ , Y ₁ ), (X ₂ , Y ₂ ), (X ₃ , Y ₃ ) Third-order polynomial through
f (x) = a ₂ x ³ + A ₂ x ² + A ₁ x + a ₀ (Mod23)
Can be constructed by solving the following equation:
a ₃ × (17 ³ ) + A ₂ × (17 ² ) + A ₁ × (17) + a ₀ = 15 (mod23)
a ₃ × (12 ³ ) + A ₂ × (12 ² ) + A ₁ × (12) + a ₀ = 6 (mod23)
a ₃ × (5 ³ ) + A ₂ × (5 ² ) + A ₁ × (5) + a ₀ = 10 (mod23)
a ₃ × (3 ³ ) + A ₂ × (3 ² ) + A ₁ × (3) + a ₀ = 12 (mod23)
Solution (a ₃ , A ₂ , A ₁ , A ₀ ) = (18,19,0,22) yields the following polynomial:
f (x) = 18x ³ + 19x ² + 0x + 22 (mod23)
The value of the secret S can be found by calculating f (0).
S = f (0) = 22 (mod 23)
[0044]
As shown in FIG. 5, the first, second, third, and fourth shares can be represented as points on the Euclidean plane. As an example, the plot of FIG. 5 is obtained using real numbers rather than modular arithmetic.
[0045]
Using multiple shares as described above, a convenient key management scheme for a conditional access system can also be constructed. Conditional access system operators often define three levels of keys: (1) individual, (2) group, and (3) regional. By storing a different number of shares for each smart card of a conditional access system subscriber, the subscriber can be assigned one or more of these various permission levels.
[0046]
Consider a conditional access system that uses a specified population of smart cards to control access to the system. Three different card types can be manufactured as follows.
(1) Level 1 smart cards: All smart cards in the broadcast "area" are assigned one common share (i.e., a share common to all smart cards in the area).
(2) Level 2 smart card: Allocate an additional common share to all smart cards in the specified group (ie another share common to all smart cards in the specified group).
(3) Level 3 smart cards: assign each smart card a unique additional share.
[0047]
The aforementioned smart card can be used with an "Activate" share to descramble certain programs. Since level 1 smart cards contain only one share, level 2 smart cards contain 2 shares, and level 3 smart cards contain 3 shares, each card has a different descrambling key set (set: set). ). Thus, all smart cards in the broadcast area (i.e., level 1 smart cards) have the ability to receive and descramble general broadcasts (e.g., basic television channels), but not level 2 smart cards. Only smart cards have the ability to receive and descramble some additional programs (eg, HBO (Home Box Office) or Showtime), while level 3 smart cards only have Has the ability to receive and de-scramble some additional programs (e.g., pay-per-view (PPV) movies, etc.). Shares located in Levels 1-3 smart cards constitute "pre-built" information that can be used with the "activation" share to calculate secrets (eg, descrambling keys) Please note.
[0048]
FIG. 6 shows how the Euclidean plane is used to configure a multiple sharing scheme. As can be seen, the three different permission levels correspond to the three Y-intercepts (ie, "region key", "group key", "personal key"). The first order polynomial (corresponding to level 1 or "region" permission) constitutes a line through the "activated share" and the level 1 common share. The second order polynomial (corresponding to level 2 or "group" permission) constitutes a parabola through the "activation" share, the level 1 common share, and the level 2 share. The cubic polynomial (corresponding to level 3 or "individual" permission) constitutes a curve through the "activation" share, the level 1 common share, the level 2 share, and the level 3 share. Note that in this example, the "activation" share is used to calculate each different key (ie, individual, group, region). By way of example, it should be understood that the plot of FIG. 6 is obtained using real numbers rather than modular arithmetic.
[0049]
Using the above example, the following table describes the relationship between shares and various permission levels.
[Table 1]

[0050]
Although the foregoing method and apparatus have been described in the context of a conditional access system for delivering multimedia content, the principles of the present invention provide a method for securely communicating between a sender and a receiver of information. It can also be applied to methods and devices.
[0051]
Some advantages of the foregoing methods and apparatus include the following.
(A) The computational requirements for the receiver when recovering symmetric keys are reduced (ie, only simple operations are performed for each key). This is in contrast to RSA decoding, which requires a modular exponentiation calculation.
[0052]
(B) Security is “perfect”. In other words, despite the activation share, all secret values still have the same probability. The higher the order polynomial, the more difficult the task of obtaining the activation share and determining the secret.
[0053]
(C) For a given set of “pre-built” information shared between the sender and the receiver, different symmetric keys can be easily derived and used frequently (ie, “activation”). By changing the share).
[0054]
(D) By assigning different shares to each receiving side, different permission levels can be determined.
[0055]
(E) Security does not rely on unproven mathematical assumptions (ie, RSA security is based on the difficulty of the integer factorization problem).
[0056]
The foregoing scheme effectively combines the advantages of symmetric and public key systems. The "pre-built" information can be considered the recipient's private key. The configured symmetric key is determined by the public information sent as part of the rights grant control message (ECM). Since the descrambling keys are not generated at the source of the broadcast, no additional encryption is needed to protect them during distribution.
[0057]
The effectiveness of the foregoing scheme can be enhanced in various ways, including the following.
[0058]
(1) A scramble key is determined according to the shared secret. In general, a key can be generated by evaluating a predetermined function on a secret value. For example, if the shared secret (eg, the Y-intercept of the function f (x)) is a real number 7, the key can be defined as the square root of 7. In this way, even if a secret is discovered, it is not always possible to descramble. Alternatively, any other definition can be used after the polynomial coefficients have been obtained. In practice, the function may need to have entropy preserving properties (ie, entropy (secret) = entropy [f (secret)]).
[0059]
(2) Make the degree of the polynomial function (and therefore the number of shares needed to find the secret) a time-dependent secret system parameter. For example, the order of the polynomial f (x) that determines the secret changes every day, every hour, and so on. Decryption is a more demanding task because the order of the polynomial must first be determined.
[0060]
(3) Mask the activation share before transmission. The activation share transmitted with the scrambled content can then be unmasked by the receiver in a predetermined process. One example of masking uses the hash value of the activation share to scramble the content, but instead sends the activation share. Then, the receiving side performs hashing to determine the actual value.
[0061]
(4) Add redundant activation shares. The additional activation shares transmitted with the actual activation shares are filtered out by the receiver in a predetermined process.
[0062]
Any combination of the above-referenced refinements can help keep the actual value of the activation share secret during transmission and introduce additional levels of security for the content.
[0063]
Although the present invention has been described in terms of a secret sharing scheme that can use first-order, second-order, and third-order polynomials in forming secrets, any order polynomial (eg, fourth-order, fifth-order, etc.) can be used. Those skilled in the art will understand what can be done. In fact, higher order polynomials are preferred in that they provide additional security over lower polynomials because they increase the number of shares that must be estimated. Further, while the above description focuses on systems using a single smart card (eg, smart card 42), multiple smart cards are used, with one or more smart cards on each smart card. It will be appreciated by those skilled in the art that the share value of
[Brief description of the drawings]
FIG.
FIG. 3 is a block diagram illustrating one of the architectures for interfacing a common set-top box (STB) to various service providers (SPs).
FIG. 2
FIG. 2 is a block diagram of a system for managing access to a device according to the present invention.
FIG. 3A
5 is a graph illustrating a scrambling key determination according to a first exemplary embodiment of the present invention.
FIG. 3B
FIG. 3B is a graph illustrating assigning unique non-overlapping ranges for each service provider (SP) according to FIG. 3A.
FIG. 4
5 is a graph illustrating a scrambling key determination according to a second exemplary embodiment of the present invention.
FIG. 5
6 is a graph illustrating a scrambling key determination according to a third exemplary embodiment of the present invention.
FIG. 6
9 is a graph illustrating a plurality of scrambling key determinations according to a fourth exemplary embodiment of the present invention.
FIG. 7
1 is a block diagram showing a conventional conditional access system (CAS).
FIG. 8
1 is a block diagram illustrating a conventional sender architecture for a conditional access system (CAS).
FIG. 9
FIG. 1 is a block diagram illustrating a conventional receiver architecture for a conditional access system (CAS).

Claims

A method of managing access to a signal,
Receiving data representing the first share in a smart card;
Configuring a symmetric scrambling key using the first share and at least two additional shares stored on the smart card; and
A method comprising descrambling a signal using the configured scrambling key to generate a descrambled signal.

The method according to claim 1, wherein the first, second, and third shares are points on a Euclidean plane.

A method for managing access to signals representing service provider events, comprising:
Receiving the signal scrambled using a symmetric scramble key in a smart card;
Receiving data representing a first share in the smart card and configuring the scrambling key using the first share and second and third shares stored on the smart card; and,
Descrambling the signal using the configured scramble key, including generating a descrambled signal,
The method of configuring the scrambling key comprises calculating a Y-intercept of a curve formed on a Euclidean plane by the first, second, and third shares.

The method according to claim 3, wherein the first, second, and third shares are points on a Euclidean plane.

4. The method of claim 3, wherein the smart card has a card body having a plurality of terminal pins disposed on a surface according to one of an ISO 7816 card standard and a PCMCIA card standard.

A system for managing access between a service provider and a device to which a smart card is coupled, the system comprising:
Receiving in the smart card a signal scrambled using the symmetric scrambling key;
Receiving data representing a first share in the smart card and configuring the scramble key using the first share and second and third shares stored on the smart card; ,
Descramble the signal using the configured scramble key, and generate a descrambled signal.
The system of claim 14, wherein configuring the scramble key comprises calculating a Y-intercept of a curve formed on the Euclidean plane by the first, second, and third shares.

At least one program service provider;
A digital device having at least one smart card for receiving the scrambled signal and the first share sent from the at least one program service provider, wherein the conditional access system comprises:
The at least one smart card stores second and third shares for descrambling the scrambled signal, wherein the second and third shares are used in conjunction with the first share. A conditional access system wherein the scramble signal is descrambled.

The method of claim 1, wherein the first share and the at least two additional shares are points on at least a second-order polynomial function.

The method of claim 1, wherein the at least two additional shares include at least three additional shares, such that the first share and the at least three additional shares are points on at least a third-order polynomial function.

The method of claim 1, wherein the scrambling key comprises a secret value calculated from the first share and the at least two additional shares.

The method of claim 1, wherein the scrambling key comprises a function of a secret value calculated from the first share and the at least two additional shares.

The method of claim 1, wherein the first share and the at least two additional shares include points on a polynomial function.

13. The method of claim 12, wherein the order of the polynomial function is changed periodically.

The method of claim 1, further comprising masking the first share before the first share is received in the smart card.

15. The method of claim 14, further comprising calculating the first share from a masked version of the first share.

The method of claim 1, further comprising sending the first share and at least one redundant share.

17. The method of claim 16, further comprising, after receiving the first share in the smart card, filtering out the at least one redundant share.

A method of operating a conditional access system, comprising:
Sending the scrambled signal and the first share from the service provider to the digital device;
Receiving the scrambled signal and the first share in the digital device;
Configuring a scramble key using the first share and at least two additional shares stored on a smart card of the digital device;
Descrambling the signal using the configured scrambling key to generate a descrambled signal.

A transmitter,
A receiver having at least one smart card for receiving a scrambled signal sent from the transmitter and a first share, the receiver comprising:
The at least one smart card stores second and third shares for descrambling the scrambled signal, wherein the second and third shares are used in conjunction with the first share. A conditional access system wherein the scramble signal is descrambled.