JP2006085360A - リムーバブルメディアにおけるコンテンツの使用期限管理システム及び方法 - Google Patents

Abstract

【課題】計算機におけるリムーバブルメディア上のコンテンツを対象として使用期限に応じた利用可否を制御しコンテンツの不正アクセスを防止すること。
【解決手段】 計算機１０３はＣＰＵ、プログラムを記憶するメモリ、クロックデバイス、ネットワークＩ／Ｏ、リムーバブルメディアＩ／Ｏ、を有する。リムーバブルメディア１０４は、閲覧期限情報を付与され且つ暗号化されて格納されたコンテンツファイル２３７への最終アクセス時刻情報２３９を記憶するメモリ２３４と、耐タンパモジュールとしてのコントローラ２３１、を有する。クロックデバイス２１０から現在時刻情報を入手し、前記現在時刻とリムーバブルメディアのメモリ上の最終アクセス時刻との比較に基づいて、クロックデバイス２１０をバックデートすることによるコンテンツの不正閲覧を阻止するコンテンツの使用期限管理システムである。
【選択図】図２

Description

リムーバブルメディアに格納されたコンテンツに対する使用期限の管理システム及び方法に係り、特に、時刻情報のバックデートによるコンテンツの不正アクセスを防止する技術に関する。

従来、リムーバブルメディアに格納されたコンテンツに対する使用期限を制御する手段として、例えば、特許文献１に示すような方法がある。この方式は、リムーバブルデバイス内に搭載したアプリケーションを、使用期限に対応して機能を制限・追加できるようにするものである。

また、コンテンツの使用期限が切れていることを確認するには、偽造されていない正しい時刻情報が必要となる。コンテンツを使用する計算機がオフラインの場合に、計算機が提示する時刻情報の詐称を防止する手段として、例えば、特許文献２に示すような方法がある。
特開２００１−２０２４９３号公報 特開２００３−２０８４０６号公報

しかしながら、特許文献１に示された方式では、リムーバブルメディア（ＩＣカード）に格納されたコンテンツを、外部から入手した時刻情報に基づき、使用期限に対応して機能を制限・追加できるようにしている。このため、リムーバブルメディアを使用する計算機は、現在時刻を提供するサーバを備えたネットワークに接続されていることが前提であり、オフラインでの利用については何等配慮されていない。

また、計算機がオフライン時（時刻提供サーバを備えたネットワークに非接続時）に、使用期限に応じた機能の制限・追加を可能にするためには、いかに正確な時刻情報を入手するかということも課題となる。上述の特許文献２で示された方式では、各コンテンツの有効期限を有効期限開始時刻と有効期限終了時刻とで管理し、認証時に参照する時刻を利用するコンテンツの有効期限開始時刻を用いて更新するようにすることにより、時刻をバックデート（時計機能を故意に狂わせて時刻を後戻りさせること）してコンテンツを不正使用しようとすることを防ぐようにしている。しかし、ただひとつのコンテンツのみ使用し続けるような場合には、認証時に参照する時刻が更新されないため、時刻のバックデートによるコンテンツの不正使用を防ぐことはできない。

本発明では、上記の問題を鑑み、ネットワークに接続された状態と、接続されていない状態が存在するモバイル利用の計算機において、リムーバブルメディア上に保管されたコンテンツを対象として、使用期限に応じた利用可否を制御してコンテンツの不正なアクセスを防止することを課題とするものである。

前記課題を解決するために、本発明は主として次のような構成を採用する。
ＣＰＵ、前記ＣＰＵに接続されたバス、前記バスに接続されＯＳを含むプログラムを記憶するメモリと、前記バスに接続されたクロックデバイス、前記バスに接続されたネットワークＩ／Ｏモジュール、前記バスに接続されたリムーバブルメディアＩ／Ｏモジュール、を有する計算機と、
閲覧期限情報を付与され且つ暗号化されて書き込みされるとともに閲覧される１つ又は複数のコンテンツファイル及び前記コンテンツファイルに最終的にアクセスした最終アクセス時刻情報を記憶するメモリ、耐タンパモジュールとしてのコントローラ、を有するリムーバブルメディアと、を備えたコンテンツの使用期限管理システムであって、
前記クロックデバイスから現在時刻情報を入手し、
前記入手した現在時刻情報と前記リムーバブルメディアの前記メモリに記憶された前記最終アクセス時刻情報との比較に基づいて、前記クロックデバイスをバックデートすることによる前記コンテンツの不正な閲覧を阻止する構成とする。

また、ＣＰＵ、前記ＣＰＵに接続されたバス、前記バスに接続されＯＳを含むプログラムを格納するメモリと、前記バスに接続されたクロックデバイス、前記バスに接続されたリムーバブルメディアＩ／Ｏモジュール、を有する計算機と、
１つ又は複数のコンテンツファイル及び前記コンテンツファイルに最終的にアクセスした最終アクセス時刻情報を記憶するメモリ、耐タンパモジュールとしてのコントローラ、を有するリムーバブルメディアと、を備えたコンテンツの使用期限管理システムであって、
前記計算機のメモリに格納された書き込みプログラムがコンテンツを前記リムーバブルメディアに書き込む処理は、前記コンテンツを暗号化し、かつ前記コンテンツに閲覧期限情報を付与して前記リムーバブルメディアのメモリに格納するとともに、前記クロックデバイス又はネットワークを介してＮＴＰサーバから現在時刻を入手して前記リムーバブルメディアのメモリにユーザには参照できない形式で前記最終アクセス時刻情報として書き込みを実施し、
前記計算機のメモリに格納されたビューアプログラムが前記コンテンツを閲覧する処理は、前記クロックデバイス又はネットワークを介してＮＴＰサーバから現在時刻を入手し、前記入手した現在時刻情報と前記コンテンツの閲覧期限情報と前記書き込まれた最終アクセス時刻情報とに基づいて、前記入手した現在時刻が前記最終アクセス時刻との比較で偽造されていないことを確認し、現在時刻が閲覧期限内である場合にコンテンツへのアクセスを許可する構成とする。

本発明によると、リムーバブルメディアに格納したコンテンツを、オンラインおよびオフラインで参照する際に、コンテンツに付与された使用期限を過ぎた場合にはアクセスできなくするように制御することが可能になる。

また、コンテンツに付与された使用期限に応じた利用可否において、時刻のバックデートによるコンテンツの不正使用を困難にすることができる。

本発明の実施形態に係るコンテンツの使用期限管理システムについて、図面を参照しながら以下詳細に説明する。図１は本発明の実施形態に係る、リムーバブルメディアにおけるコンテンツの使用期限管理システムの全体的な関連構成を示す図である。図２は本実施形態に係るコンテンツの使用期限管理システムを構成する計算機とリムーバブルメディアの内部構成を示す図である。図３は本実施形態に係るコンテンツの使用期限管理システムで使用するＮＰＴ（Ｎｅｔｗｏｒｋ Ｔｉｍｅ Ｐｒｏｔｏｃｏｌ）サーバの内部構成を示す図である。図４は本実施形態に係る使用期限管理システムにおける書き込みプログラムによるファイル作成処理を表すフローチャートである。図５は本実施形態に係る使用期限管理システムにおけるビューアプログラムによるファイル閲覧処理を表すフローチャートである。図６は本実施形態に係る、リムーバブルメディアにおけるコンテンツの使用期限管理システムでの時刻詐称を防止する仕組みを説明する図である。図７は本実施形態に関するリムーバブルメディアにおけるコンテンツファイルのフォーマットと最終アクセス時刻情報を示す図である。

図１において、１０１はネットワーク、１０２は正確な時刻情報を提供するＮＴＰ（Ｎｅｔｗｏｒｋ Ｔｉｍｅ Ｐｒｏｔｏｃｏｌ）サーバ、１０３は組織内もしくはモバイルで利用される計算機、１０４は１０３に挿入して使用する耐タンパ機能（非正規な手段により機密データの読み取りを防ぐ機能）により保護された記憶領域を持つリムーバブルメディア、をそれぞれ表す。

本発明の実施形態においては、計算機１０３にリムーバブルメディア１０４を挿入して作成したファイルを前記リムーバブルメディア内に格納して組織外に持ち出し、モバイルで利用する計算機１０３にリムーバブルメディア１０４を挿入して前記リムーバブルメディア内のファイルを閲覧する運用を行うものとする。ここで、モバイルで利用する計算機１０３として、組織が所有するノート計算機を持ち出して使用するケースや、他組織が所有する計算機を使用するケースを想定する。本実施形態と別の利用形態として、マルチメディア等のコンテンツ配信において、リムーバブルメディア１０４を利用する場合も想定できる。

図２では、本実施形態で使用する計算機１０３と、リムーバブルメディア１０４の内部構成を説明する。計算機１０３は、ＣＰＵ２０１と、前記ＣＰＵに接続されたバス２０２を持ち、前記バス２０２にはメモリ２０３と、外部記憶装置２０７と、リムーバブルメディアＩ／Ｏモジュール２０９と、クロックデバイス２１０と、ネットワークＩ／Ｏモジュール２１１が接続されている。前記メモリ２０３では、オペレーティングシステム２０４がロードされ、その上で専用ビューアプログラム２０５と専用書き込みプログラム２０６が稼動する。また、外部記憶装置２０７には、オペレーティングシステムのロードモジュール２０８が格納される。

リムーバブルメディア１０４は、耐タンパモジュールとして実現されたコントローラ２３１とフラッシュメモリ２３４により構成されており、コントローラ２３１には、共有鍵暗号方式で使用する暗号鍵２３２と、公開鍵暗号方式で使用する個人鍵（他人には非公開にする鍵）２３３が格納されている。

フラッシュメモリ２３４には、オペレーティングシステム２０４で動作する専用ビューアプログラム２０５に対応するロードモジュール２３５と、専用書き込みプログラム２０６に対応するロードモジュール２３６と、暗号化したコンテンツファイル群２３７を格納する。さらに、フラッシュメモリ２３４内には保護領域２３８があり、専用ビューアプログラム２０５および専用書き込みプログラム２０６を用いてリムーバブルメディア１０４にアクセスした最後の時刻を最終アクセス時刻情報２３９として格納する。また、保護領域２３８には、専用ビューアプログラム２０５および専用書き込みプログラム２０６を起動できるユーザの認証を行うためのパスワードファイル２４０も格納する。前記コンテンツファイル群２３７には、それぞれ閲覧可能な期限に関する情報を記載しておく。

専用ビューアプログラム２０５はＮＴＰサーバ１０２もしくは計算機１０３内のクロックデバイス２１０より現在時刻を入手し、コンテンツの閲覧可否を判定するが、特にクロックデバイス２１０をバックデートする操作に対しては、後述するフローチャートで前記最終アクセス時刻情報２３９を用いた処理を実施することによりコンテンツの不正利用を困難にする。換言すると、図６の説明で後で詳述するが、元来、閲覧可能期間を過ぎた時点での閲覧に対しては否であり、さらに、コンテンツの不正利用のために閲覧の現在時刻を故意にバックデートさせて閲覧可（閲覧可能期間内に時刻を後戻りさせることで）とするような操作に対しては、ファイルへの最終アクセス時刻情報とバックデートさせた時刻との前後関係をチェックすることでバックデートによるコンテンツの不正利用を防ごうとするものである。

保護領域２３８のアクセスは、リムーバブルメディア１０４を利用するユーザでも内容を参照および変更できないようにコントローラ２３１により制御されており、設定されたＰＩＮ（暗証番号：Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ）を提示できない場合にはアクセスを禁止するようにする。これは、例えばＳＭＭＣ（Ｓｅｃｕｒｅ Ｍｕｌｔｉｍｅｄｉａ Ｃａｒｄ）等の仕組みを用いることにより実現することができる。コントローラ２３１に格納されている共有鍵暗号方式で使用する暗号鍵２３２は、耐タンパ性を持つコントローラ２３１内に保存されているため、すべてのリムーバブルメディア１０４で共通の鍵を使用してもよいが、リムーバブルメディアごとに異なった鍵を使用してもよい。

図３は本実施形態で使用するＮＴＰサーバ１０２の構成を説明する図である。ＮＴＰサーバ１０２は、ＣＰＵ３０１と、前記ＣＰＵに接続されたバス３０２を持ち、前記バス３０２にはメモリ３０３と、ネットワークＩ／Ｏモジュール３０６と、外部記憶装置３０７が接続されている。前記メモリ３０３では、オペレーティングシステム３０４がロードされ、その上でＮＴＰサーバプログラム３０５が稼動する。ここで、ＮＴＰサーバプログラムが正しい時刻情報を入手するには、ネットワーク経由でより上位のＮＴＰサーバに時刻を問い合わせる方法もあるが、より安全に正しい時刻情報を入手するには、ＮＴＰサーバ１０２のシリアルＩ／Ｏモジュール３１０に接続したＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）の受信機を利用することもできる。

また、外部記憶装置３０７には、オペレーティングシステムのロードモジュール３０８が格納される。ＮＴＰサーバ１０２がなりすまされていない正当なサーバであることを保障するために、認証機能を追加する。これは例えばＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）機能を組み込んだオペレーティングシステムを利用すればよい。このとき、外部記憶装置２０８には、ＩＰｓｅｃによる認証を実施するための認証情報３０９を格納する。もしくは、ＮＴＰサーバ１０２上にＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）サーバを稼動させ、ＳＳＬサーバ経由でＮＴＰサーバ１０２に時刻の問い合わせをする。

図４は、計算機１０３上で稼動する専用書き込みプログラム２０６を用いて、リムーバブルメディア１０４内に格納されたコンテンツファイル群２３７を作成する処理を示す図である。ステップ４００は、リムーバブルメディア１０４内のパスワードファイル２４０を用いて専用書き込みプログラム２０６を使用するユーザを認証するステップ、ステップ４０１は、計算機１０３に挿入されたリムーバブルメディア１０４内に格納された既存のコンテンツファイル２３７を専用書き込みプログラム２０６に読み込むか、もしくは新規コンテンツファイルをオープンし、コンテンツ編集の準備をするステップ、ステップ４０２からステップ４１６は、本プログラムのメインループで、ステップ４０２はユーザが入力する各種のイベントを受け付けるステップ、ステップ４０３は受け付けたユーザ入力イベントが終了コマンドかどうか判断するステップで、終了コマンドであった場合にはプログラムを終了する。

ステップ４０４は受け付けたユーザ入力イベントがファイル保存コマンドかどうか判断するステップで、ファイル保存コマンドであった場合にはステップ４０５からステップ４１５までを、それ以外のコマンドであった場合にはステップ４１６を実施する。ステップ４０５は、保存するコンテンツのファイル名称と閲覧期限の入力をユーザに要求するステップ、ステップ４０６は、専用書き込みプログラム２０６にあらかじめ登録しておいたＮＴＰプログラム３０５の識別子（例えばＩＰアドレスとポート番号）を基に、ＮＴＰサーバ１０２と接続するステップ、ステップ４０７は偽のＮＴＰプログラムがなりすましていないかどうか認証を実施するステップである。

ステップ４０８は、正しいＮＴＰサーバと接続できた場合に実施するステップで、ＮＴＰプログラム３０５に問い合わせることにより現在の正しい時刻を取得するステップである。ステップ４０９からステップ４１３は、ＮＴＰサーバ１０２との接続に失敗した、もしくは、ＮＴＰサーバ１０２の認証に失敗した場合に実施される処理で、ステップ４０９は、計算機１０３に内蔵されたクロックデバイス２１０を参照することにより現在の時刻を取得するステップ、ステップ４１０は、リムーバブルメディア１０４の保護領域２３８（ユーザが読み出せない保護されたデータ領域）に格納された最終アクセス時刻情報２３９を取得するステップ、ステップ４１１は、ステップ４０９でローカルのクロックデバイスから取得した現在時刻情報と、ステップ４１０で取得した最終アクセス時刻情報を比較して、ローカルのクロックデバイスから取得した現在時刻情報がバックデートされていないことを確認するステップである。

ステップ４１２とステップ４１３は、現在時刻情報がバックデートされていた場合に実施される処理で、ステップ４１２は専用書き込みプログラム２０６の使用ユーザに計算機１０３のクロックの修正を要求するステップ（クロックデバイスが不正にバックデートされる他に、クロックデバイスの時刻が故障で狂うことがあるのでその修正要求）、ステップ４１３はクロックが修正されているか確認するステップで、修正されていない場合にはプログラムを終了する。

ステップ４１４以降は、ＮＴＰサーバ１０２もしくはローカルのクロックデバイス２１０から正しい現在時刻情報が得られた場合に実施する処理で、ステップ４１４はリムーバブルメディア１０４の保護領域２３８内の最終アクセス時刻情報２３９を、入手した現在時刻情報で上書きするステップ（いずれかのファイルに最終的にアクセスした時刻が更新されて格納される、すなわち当該リムーバブルメディアにアクセスした最後の時刻が格納される）、ステップ４１５は、コンテンツの内容を、暗号鍵２３２を用いて暗号化し、ステップ４０５で取得した閲覧期限情報を付加した後、前記の閲覧期限情報を第三者に改ざんされないように個人鍵２３３を用いて電子署名を付与してコンテンツファイル２３７としてリムーバブルメディア１０４に書き込むステップである。

専用書き込みプログラム２０６は、リムーバブルメディア１０４の保護領域内の最終アクセス時刻情報２３９（現在時刻情報で更新）をいかに正しい時刻に保つかが重要である。そこで、ステップ４０６において偽のＮＴＰプログラムが不正な時刻情報を返答することを防止するためには、ＮＴＰサーバ１０２の認証情報３０９を用いてサーバ認証を行う。

さらに、専用書き込みプログラム２０６以外のプログラムが現在時刻情報２３９を任意に書き換えたり、暗号鍵２３２および個人鍵２３３を不正に使用したりすることを防止するために、専用書き込みプログラム２０６はリムーバブルメディア１０４の保護領域２３８内の現在時刻情報２３９にアクセスする際に、ＰＩＮをコントローラ２３１に提示する（コントローラ２３１は専用書き込みプログラム２０６が正しいことを認証できる）。これは、専用書き込みプログラム２０６とリムーバブルメディア１０４のコントローラ２３１の間で相互認証させるようにしてもよい。さらに、ステップ４１３のクロックが修正されているか確認するステップは省略し、クロックが正しくない場合は無条件に専用書き込みプログラム２０６を終了させてもよい。

本実施形態と異なる別の実施形態として、専用書き込みプログラム２０６のロードモジュール２３６を計算機の外部記憶装置２０７内に保管するようにしてもよい。この実施形態においては専用書き込みプログラムを起動する際の認証処理を実施するには、リムーバブルメディア１０４内に格納されたパスワードファイル２４０を用いてもよいし、外部記憶装置２０７内に別のパスワードファイルを設けてもよい。

また、リムーバブルメディア１０４内に格納した専用書き込みプログラム２０６のロードモジュール２３６を用いる場合でも、外部記憶装置２０７内に設けられたパスワードファイルを使用してもよい。

また、ステップ４１１のローカルのクロックデバイスから取得した現在時刻情報がバックデートされていないことを確認する処理は、計算機１０３の外部記憶装置２０７に格納されている各種のファイルの日付を確認し（外部記憶装置に通常動作で格納されるファイル（例えば、文書ファイル）には、通常、日付が付与されるので、その付与された日付を参照することで）、取得した現在時刻以後に保存されたファイルが存在しないこと（現在時刻よりも未来の日付を付与されたファイルが存しないこと）を確認するようにしてもよい。

また、ステップ４１２のクロックの修正要求には、回数制限を設けてもよい。これには保護領域２３８内にクロックの修正回数や修正された時刻を記録しておくようにすればよい。

図５は計算機１０４上で稼動する専用ビューアプログラム２０５を用いて、リムーバブルメディア１０４内に格納されたコンテンツファイル群２３７を表示する処理を示す図である。ステップ５００は、リムーバブルメディア１０４内のパスワードファイル２４０を用いて専用ビューアプログラム２０５を使用するユーザを認証するステップ、ステップ５０１は、専用ビューアプログラム２０５にあらかじめ登録しておいたＮＴＰプログラム３０５の識別子（例えばＩＰアドレスとポート番号）を基に、ＮＴＰサーバ１０２と接続するステップ、ステップ５０２は、偽のＮＴＰプログラムがなりすましていないかどうかの認証を実施するステップである。

ステップ５０３は、正しいＮＴＰサーバと接続できた場合に実施するステップで、ＮＴＰプログラム３０５に問い合わせることにより現在時刻情報を取得するステップである。ステップ５０４からステップ５０７は、ＮＴＰサーバ１０２との接続に失敗した、もしくは、ＮＴＰサーバ１０２の認証に失敗した場合に実施される処理で、ステップ５０４は、計算機１０４に内蔵されたクロックデバイス２１０を参照することにより現在時刻情報を取得するステップ、ステップ５０５は、リムーバブルメディア１０４の保護領域２３８に格納された最終アクセス時刻情報２３９を取得するステップ、ステップ５０６は、ステップ５０４で取得した現在時刻情報と、ステップ５０５で取得した最終アクセス時刻情報を比較して、現在時刻情報がバックデートされていないことを確認するステップである。すなわち、クロックデバイス２１０から得た現在時刻情報が最終アクセス時刻情報２３９よりも以前の時刻である場合には、クロックデバイスの時刻がバックデートされたと考えられる。

ステップ５０７は、現在時刻情報がバックデートされていた場合に実施される処理で、本プログラムの使用ユーザに計算機１０３のクロックの修正を要求した後に終了する。ステップ５０８以降は、ＮＴＰサーバ１０２もしくはローカルのクロックデバイス２１０から正しい現在時刻情報が得られた場合に実施する処理で、ステップ５０８はリムーバブルメディア１０４の保護領域２３８内の最終アクセス時刻情報２３９を、入手した現在時刻情報で上書きすると共に、プログラム中の時刻記録用メモリを準備し、かつ記録するステップ、ステップ５０９からステップ５１５までは本プログラムのメインループで、ステップ５０９はユーザ入力イベントを受け付けると共に、ステップ５０８を実行してからの経過時間を、リムーバブルメディア１０４の保護領域２３８内の最終アクセス時刻情報２３９に加算し、前記最終アクセス時刻情報２３９およびプログラム中の時刻記録用メモリを書き換えるステップ、ステップ５１０は受け付けたユーザ入力イベントが終了コマンドかどうか判断するステップで、終了コマンドであった場合にはプログラムを終了する。

ステップ５１１は受け付けたユーザ入力イベントがファイル閲覧コマンドかどうか判断するステップで、ファイル閲覧コマンドであった場合にはステップ５１２からステップ５１４までを、それ以外のコマンドであった場合にはステップ５１５を実施する。ステップ５１２は、ファイル閲覧コマンドで指定されたコンテンツファイル２３７をオープンし、閲覧期限を確認するステップ、ステップ５１３は、ステップ５１２で取得した閲覧期限と、現時点での最終アクセス時刻情報２３９を比較し、閲覧期限内かどうか判定するステップ、現時点が閲覧期限内であった場合には、ステップ５１４で暗号鍵２３２を用いてコンテンツを復号化した後にファイル表示を、閲覧期限外の場合にはステップ５１６の閲覧期限外であることをユーザに通知する処理を実施する。

コンテンツファイル２３７につけられた期限情報が改ざんされていないことを保証するために、ステップ５１２においてコンテンツファイル２３７に付与された電子署名を確認する（後述する図７の下図を参照）。

また、専用ビューアプログラム２０５以外のプログラムが現在時刻情報２３５を任意に書き換えることを防止するためには、リムーバブルメディア１０４の保護領域２３８内の現在時刻情報にアクセスする際に、専用ビューアプログラム２０５とリムーバブルメディアのコントローラ２３１の間で相互認証させる。もしくは、専用ビューアプログラム２０５が同じリムーバブルメディア上に格納されているものであった場合のみアクセスできるように制御しても良い。

また、専用ビューアプログラム２０５による最終アクセス時刻情報の更新は、割り込みタイマ等を利用して、ユーザの入力コマンド処理とは独立して更新させるようにしても良い。

さらに、その他のイベント処理として、リムーバブルメディア１０４が計算機１０３から取り外されたイベントを検知した場合、専用ビューアプログラム２０５が計算機１０３上のメモリ２０３上に読み込んだコンテンツファイル２３７を消去するようにしてもよい。さらに、ステップ５００のユーザ認証は行わないようにしてもよい。さらに、ステップ５０９ではステップ５１３と同様に現在閲覧中のコンテンツが閲覧期限内か判定し、期限を過ぎていたら閲覧を中止するようにしてもよい。また、ステップ５０７のクロックの修正要求にも回数制限を設けてもよい。

本実施形態とは異なる別の実施形態として、専用ビューアプログラム２０５のロードモジュール２３５もまた計算機の外部記憶装置２０７内に保管するようにしてもよい。また、暗号鍵２３２を用いて最終アクセス時刻情報２３９を暗号化するようにしても良く、さらに、最終アクセス時刻情報２３９が存在しない場合（消去される等して存在しない場合）は表示を中止するように実現することも可能である。

閲覧期限が切れそうなコンテンツは、専用書き込みプログラム２０６を起動し、改めてコンテンツを保存しなおすことにより、期限を延長することができる。専用ビューアプログラム２０５を用いてコンテンツ２３７を閲覧する際に期限が切れていた場合には、専用書き込みプログラム２０６を起動し、正当なユーザであることを認証した後に期限を延長することができるようにしてもよい。

図６は本発明における時刻詐称を阻止するしくみを説明する図である。横軸は時刻ｔを表している。まず、ファイル作成者が専用書き込みプログラム２０６を用いて、ファイルＡをリムーバブルメディア１０４に保存する時、最終アクセス時刻情報２３９は、ａ１に更新される。次に、ファイル作成者が専用ビューアプログラム２０５を用いてファイルＡの閲覧を開始すると、最終アクセス時刻情報２３９にはＮＴＰサーバ１０２もしくは計算機１０３のクロックデバイス２１０より取得した現在時刻ａ２を基準に、閲覧時間Δｔを加算した値（ａ３）が書き込まれる。

ここで、専用ビューアプログラム２０５起動時にＮＴＰサーバ１０２との接続ができなかった場合、ａ２の値は計算機１０３のクロックデバイスから入手するため、正確な時刻でない可能性があるが、最終アクセス時刻情報２３９は少なくともａ１よりΔｔだけは時刻更新されることになる。

次に、閲覧期限ａ４を過ぎた時刻ａ５においてファイルＡを不正に閲覧しようとする場合、時刻ａ５のままでビューアプログラムを用いて閲覧しても閲覧可能期間を過ぎているので（図６の上図を参照）閲覧拒否されるので（通常動作）、計算機のクロックデバイス２１０をバックデートして専用ビューアプログラム２０５を欺く必要がある。

しかし、最終アクセス時刻情報２３９の内容は、専用書き込みプログラム２０６および専用ビューアプログラム２０５のみが参照することができるものであり、前回参照を開始した時刻（ａ２）と閲覧時間（Δｔ）を記録して最終アクセス時刻（ａ３）を認識し得ない限り、現在時刻ａ５がａ３以前にならないように調整してバックデートさせることは困難である。すなわち、クロックデバイス２１０をバックデートしようとする操作者は、ａ３の時刻を知り得ない立場であるので、現在時刻ａ５をａ３とａ４の間にバックデートすることは殆ど不可能である。この殆ど不可能なことを可能としない限り、ファイルＡを閲覧することはできないのである。

特に、リムーバブルメディア１０４に複数のファイルが格納され、閲覧されている場合には、保護領域２３８に格納されている最終アクセス時刻情報２３９（最終アクセス時刻は複数ファイルを格納したメディアに最終的にアクセスした時刻であり、複数ファイルのいずれか１つに最終的にアクセスした時刻である）の把握が困難になり、ローカルのクロックデバイスを適宜にバックデートすること（図６の上図の例示で云えば、ａ５をａ３とａ４の間にバックデートすること）はできなくなる。

例えば、図６の下図を参照すると、（１）ファイルＡを作成（時刻ａ１）、（２）ファイルＢを作成（時刻ｂ１）、（３）ファイルＡの参照を開始（時刻ａ２）、（４）ファイルＡの参照を終了（時刻ａ３）、の時間順に処理を実施している場合、最後にアクセスされたファイルのアクセス開始時間と閲覧時間を知らないと、上述したように、適宜にバックデートすること（最終アクセス時刻よりも後であって閲覧可能期間中である時間）は殆ど不可能である。

図７は本実施形態における最終アクセス時刻情報２３９及びコンテンツファイル２３７のフォーマットを説明する図である。最終アクセス時刻情報２３９には、専用ビューアプログラム２０５および専用書き込みプログラム２０６が値を更新する最新時刻格納フィールド７０１がある。時刻の記述には、年、日時、分秒以外にタイムゾーンに関する情報を追加してもよい。

最終アクセス時刻情報２３９は保護領域２３８に格納されているため、特に暗号化や改ざん防止を施す必要はないが、フラッシュメモリの通常の領域に保管するのであれば、コントローラ２３１に格納された共有鍵暗号方式で使用する暗号鍵２３２と、公開鍵暗号方式で使用する個人鍵（他人には非公開にする鍵）２３３を用いて最新時刻格納フィールドの暗号化と改ざん防止を実現してもよい。また、後述するコンテンツファイルにおける電子署名と同様に、不図示であるが、電子署名フィールドを設けてもよい。

また、コンテンツファイル２３７には、ファイルが更新された最終更新日時を格納する最終更新日付フィールド７０２（図６の上図の例で云えば、時刻ａ１に相当する）と、専用書き込みプログラム２０６が設定した閲覧期限を記載する閲覧期限フィールド７０３と、共有鍵暗号方式で使用する暗号鍵２３２で暗号化されたコンテンツを格納するコンテンツフィールド７０４と、前記のフィールドの改ざんを防止するために、公開鍵暗号方式で使用する個人鍵（他人には非公開にする鍵）２３８を用いて作成した電子署名を格納する電子署名フィールド７０５により構成される。

以上の実施形態は、計算機と着脱可能なリムーバブルメディアについて記載したものであるが、計算機の代わりに携帯端末を、リムーバブルメディアの代わりに携帯端末内のユーザデータを対象として本発明を適用することも可能である。この場合、携帯端末が受信圏内にある場合は携帯の無線網を利用して正確な時刻情報を入手し、受信圏外にある場合には、端末に内蔵された時計を利用することになる。

また、前述した実施形態では、コンテンツ２３７をリムーバブルメディア１０４内に格納しているが、計算機１０３の外部記憶装置２０７に格納したコンテンツを対象として、特定のリムーバブルメディア１０４を計算機１０３に挿入したときのみ書き込みもしくは閲覧が可能で、有効期限が過ぎたコンテンツは閲覧できないように制御してもよい。

以上説明したように、本発明の実施形態に係るコンテンツ使用期限管理システムは、次のような特徴を備えた構成例を含むものである。まず、コンテンツを作成するための専用書き込みプログラム２０６と、コンテンツを閲覧するための専用ビューアプログラム２０５とを計算機１０３のメモリ２０３に格納する。なお、これのプログラムは書き込み及びビューア専用のプログラムとして記載しているが、これに限らず、これらのプログラムは一体のプログラムで両機能を果たすものであっても良い。

専用書き込みプログラム２０６を用いたコンテンツの編集では、コンテンツをリムーバブルメディア１０４に格納する時点で、コンテンツを暗号化し、かつ偽造されない形で前記コンテンツ閲覧期限情報を付与した上でリムーバブルメディアに格納するとともに、計算機のクロックデバイス又はネットワークを介したＮＴＰサーバから現在時刻情報を入手し、リムーバブルメディア内に偽造不可能かつ、ユーザには参照できない形で最終アクセス時刻情報を書き込む。

専用ビューアプログラムを用いたコンテンツの閲覧では、コンテンツをリムーバブルメディアから読み出す時点で、現在時刻情報を入手するとともに、閲覧期限情報を確認し、入手した現在時刻が前記閲覧期限を過ぎている、もしくは前記閲覧期限情報が存在しない（意図的に消去することで閲覧期限が存在しないように改ざんする）、もしくは前記閲覧期限情報が偽造された形跡がある（図７の下図に示すように閲覧期限についての電子署名の確認で偽造形跡をみる）、もしくは入手した現在時刻がバックデートされている形跡がある（図６においてａ５がａ３よりも以前の時刻である）場合、もしくは最終アクセス時刻情報が偽造もしくは消失した形跡がある（図７の上図に示すように電子署名を確認することで偽造、消失の形跡をみる）場合にはにはユーザの閲覧を拒否し、それ以外の場合にはコンテンツを復号化してユーザの閲覧を許可する。

本発明の実施形態に係る、リムーバブルメディアにおけるコンテンツの使用期限管理システムの全体的な関連構成を示す図である。 本実施形態に係るコンテンツの使用期限管理システムを構成する計算機とリムーバブルメディアの内部構成を示す図である。 本実施形態に係るコンテンツの使用期限管理システムで使用するＮＰＴ（Ｎｅｔｗｏｒｋ Ｔｉｍｅ Ｐｒｏｔｏｃｏｌ）サーバの内部構成を示す図である。 本実施形態に係る使用期限管理システムにおける書き込みプログラムによるファイル作成処理を表すフローチャートである。 本実施形態に係る使用期限管理システムにおけるビューアプログラムによるファイル閲覧処理を表すフローチャートである。 本実施形態に係る、リムーバブルメディアにおけるコンテンツの使用期限管理システムでの時刻詐称を防止する仕組みを説明する図である。 本実施形態に関するリムーバブルメディアにおけるコンテンツファイルのフォーマットと最終アクセス時刻情報を示す図である。

符号の説明

１０１…ネットワーク、１０２…ＮＴＰ（Ｎｅｔｗｏｒｋ Ｔｉｍｅ Ｐｒｏｔｏｃｏｌ）サーバ、１０３…組織内又はモバイルで利用される計算機、１０４…リムーバブルメディア、２０１…ＣＰＵ、２０２…バス、２０３…メモリ、２０４…オペレーティングシステム、２０５…専用ビューアプログラム、２０６…専用書き込みプログラム、２０７…外部記憶装置、２０８…オペレーティングシステムのロードモジュール、２０９…リムーバブルメディアＩ／Ｏモジュール、２１０…クロックデバイス、２１１…ネットワークＩ／Ｏモジュール、２３１…コントローラ、２３４…フラッシュメモリ、２３２…共有鍵暗号方式で使用する暗号鍵、２３３…公開鍵暗号方式で使用する個人鍵（他人には非公開にする鍵）、２３５…専用ビューアプログラム２０５に対応するロードモジュール、２３６…専用書き込みプログラム２０６に対応するロードモジュール、２３７…コンテンツファイル群、２３８…フラッシュメモリ内の保護領域、２３９…最終アクセス時刻情報、２４０…パスワードファイル、３０１…ＣＰＵ、３０２…バス、３０３…メモリ、３０４…オペレーティングシステム、３０５…ＮＴＰサーバプログラム、３０６…ネットワークＩ／Ｏモジュール、３０７…外部記憶装置、３０８…オペレーティングシステムのロードモジュール、３０９…認証情報、３１０…シリアルＩ／Ｏモジュール、７０１…最新時刻格納フィールド、７０２…最終更新日付フィールド、７０３…閲覧期限フィールド、７０４…コンテンツフィールド、７０５…電子署名フィールド

Claims (13)

1. ＣＰＵ、前記ＣＰＵに接続されたバス、前記バスに接続されＯＳを含むプログラムを記憶するメモリと、前記バスに接続されたクロックデバイス、前記バスに接続されたネットワークＩ／Ｏモジュール、前記バスに接続されたリムーバブルメディアＩ／Ｏモジュール、を有する計算機と、
   閲覧期限情報を付与され且つ暗号化されて書き込みされるとともに閲覧される１つ又は複数のコンテンツファイル及び前記コンテンツファイルに最終的にアクセスした最終アクセス時刻情報を記憶するメモリ、耐タンパモジュールとしてのコントローラ、を有するリムーバブルメディアと、を備えたコンテンツの使用期限管理システムであって、
   前記クロックデバイスから現在時刻情報を入手し、
   前記入手した現在時刻情報と前記リムーバブルメディアの前記メモリに記憶された前記最終アクセス時刻情報との比較に基づいて、前記クロックデバイスをバックデートすることによる前記コンテンツの不正な閲覧を阻止する
   ことを特徴とするコンテンツの使用期限管理システム。
2. 請求項１において、
   前記現在時刻情報は、前記クロックデバイスから入手することの他に、前記ネットワークＩ／Ｏモジュールを介してＮＴＰサーバから入手し、
   前記ＮＴＰサーバから入手した現在時刻情報と前記閲覧期限情報に基づいて、前記コンテンツファイルを閲覧する
   ことを特徴とするコンテンツの使用期限管理システム。
3. ＣＰＵ、前記ＣＰＵに接続されたバス、前記バスに接続されＯＳを含むプログラムを格納するメモリと、前記バスに接続されたクロックデバイス、前記バスに接続されたリムーバブルメディアＩ／Ｏモジュール、を有する計算機と、
   １つ又は複数のコンテンツファイル及び前記コンテンツファイルに最終的にアクセスした最終アクセス時刻情報を記憶するメモリ、耐タンパモジュールとしてのコントローラ、を有するリムーバブルメディアと、を備えたコンテンツの使用期限管理システムであって、
   前記計算機のメモリに格納された書き込みプログラムがコンテンツを前記リムーバブルメディアに書き込む処理は、前記コンテンツを暗号化し、かつ前記コンテンツに閲覧期限情報を付与して前記リムーバブルメディアのメモリに格納するとともに、前記クロックデバイス又はネットワークを介してＮＴＰサーバから現在時刻を入手して前記リムーバブルメディアのメモリにユーザには参照できない形式で前記最終アクセス時刻情報として書き込みを実施し、
   前記計算機のメモリに格納されたビューアプログラムが前記コンテンツを閲覧する処理は、前記クロックデバイス又はネットワークを介してＮＴＰサーバから現在時刻を入手し、前記入手した現在時刻情報と前記コンテンツの閲覧期限情報と前記書き込まれた最終アクセス時刻情報とに基づいて、前記入手した現在時刻が前記最終アクセス時刻との比較で偽造されていないことを確認し、現在時刻が閲覧期限内である場合にコンテンツへのアクセスを許可する
   ことを特徴とするコンテンツの使用期限管理システム。
4. 請求項１又は２において、
   前記計算機は前記バスに接続された外部記憶装置を有し、
   前記外部記憶装置に書き込みプログラム及びビューアプログラムを格納し、これらのプログラムを前記計算機のメモリにロードして、前記コンテンツ、前記閲覧期限情報及び最終アクセス時刻情報の書き込み及び閲覧を行う
   ことを特徴とするコンテンツの使用期限管理システム。
5. 請求項１又は２において、
   前記計算機のメモリには、前記ＯＳに加えて書き込みプログラムとビューアプログラムを記憶し、
   前記ビューアプログラムは、前記リムーバブルメディアを前記計算機から取り外した場合、前記計算機のメモリに展開されたコンテンツを消去する
   ことを特徴とするコンテンツの使用期限管理システム。
6. 請求項１において、
   前記計算機は前記バスに接続された外部記憶装置を有し、
   前記入手した現在時刻情報と前記リムーバブルメディアの前記メモリに記憶された前記最終アクセス時刻情報との比較に代えて、前記外部記憶装置に格納されたファイルの最新の日付情報と前記入手した現在時刻情報とを比較する
   ことを特徴とするコンテンツの使用期限管理システム。
7. 請求項１又は２において、
   前記リムーバブルメディアの前記コントローラに暗号鍵を設け、
   前記暗号鍵によって前記コンテンツを暗号化するとともに前記閲覧期限情報の改ざん防止を行う
   ことを特徴とするコンテンツの使用期限管理システム。
8. コンテンツを作成するための書き込みプログラム及び前記コンテンツを閲覧するためのビューアプログラムとを格納したメモリ、ＣＰＵ、クロックデバイスを少なくとも有する計算機と、
   閲覧期限情報を付与され且つ暗号化されて書き込みされるとともに閲覧される１つ又は複数のコンテンツファイル及び前記コンテンツファイルに最終的にアクセスした最終アクセス時刻情報を記憶するメモリを少なくとも有するリムーバブルメディアと、を備えたコンテンツの使用期限管理システムであって、
   前記書き込みプログラムによって前記コンテンツを前記リムーバブルメディアに格納する際に、前記コンテンツを暗号化し且つ前記閲覧期限情報を付与して前記リムーバブルメディアに格納するとともに、現在時刻情報を入手して前記リムーバブルメディアのメモリに最終アクセス時刻情報を書き込む処理を実施し、
   前記ビューアプログラムによってコンテンツを前記リムーバブルメディアから読み出す際に、前記クロックデバイスから現在時刻情報を入手するとともに前記閲覧期限情報を確認して、入手した現在時刻が前記閲覧期限を過ぎている、又は前記閲覧期限情報が存在しない、又は前記閲覧期限情報が偽造された形跡がある、又は入手した現在時刻がバックデートされている形跡がある、又は最終アクセス時刻情報が偽造もしくは消失した形跡がある、場合にはユーザによる閲覧を拒否し、それ以外の場合にはコンテンツを復号化してユーザの閲覧を許可する
   ことを特徴とするコンテンツの使用期限管理システム。
9. ＣＰＵ、前記ＣＰＵに接続されたバス、前記バスに接続されプログラムを記憶するメモリと、前記バスに接続されたクロックデバイス、前記バスに接続されたネットワークＩ／Ｏモジュール、前記バスに接続されたリムーバブルメディアＩ／Ｏモジュール、を有する計算機と、
   閲覧期限情報を付与され且つ暗号化されて書き込みされるとともに閲覧される１つ又は複数のコンテンツファイル及び前記コンテンツファイルに最終的にアクセスした最終アクセス時刻情報を記憶するメモリ、耐タンパモジュールとしてのコントローラ、を有するリムーバブルメディアと、を備えたコンテンツの使用期限管理方法であって、
   前記クロックデバイスから現在時刻情報を入手ステップと、
   前記入手した現在時刻情報と前記リムーバブルメディアの前記メモリに記憶された前記最終アクセス時刻情報とを比較するステップと、
   前記比較の結果に基づいて、前記クロックデバイスをバックデートすることによる前記コンテンツの不正な閲覧を阻止するステップと、からなる
   ことを特徴とするコンテンツの使用期限管理方法。
10. ＣＰＵ、前記ＣＰＵに接続されたバス、前記バスに接続されプログラムを格納するメモリと、前記バスに接続されたクロックデバイス、前記バスに接続されたリムーバブルメディアＩ／Ｏモジュール、を有する計算機と、
    １つ又は複数のコンテンツファイル及び前記コンテンツファイルに最終的にアクセスした最終アクセス時刻情報を記憶するメモリ、耐タンパモジュールとしてのコントローラ、を有するリムーバブルメディアと、を備えたコンテンツの使用期限管理方法であって、
    前記計算機のメモリに格納された書き込みプログラムがコンテンツを前記リムーバブルメディアに書き込む処理手順は、前記コンテンツを暗号化し、かつ前記コンテンツに閲覧期限情報を付与して前記リムーバブルメディアのメモリに格納するステップと、前記クロックデバイス又はネットワークを介してＮＴＰサーバから現在時刻を入手して前記リムーバブルメディアのメモリにユーザには参照できない形式で前記最終アクセス時刻情報として書き込むステップと、からなり、
    前記計算機のメモリに格納されたビューアプログラムが前記コンテンツを閲覧する処理手順は、前記クロックデバイス又はネットワークを介してＮＴＰサーバから現在時刻を入手するステップと、前記入手した現在時刻情報と前記コンテンツの閲覧期限情報と前記書き込まれた最終アクセス時刻情報とに基づいて、前記入手した現在時刻が前記最終アクセス時刻との比較で偽造されていないことを確認するステップと、現在時刻が閲覧期限内である場合にコンテンツへのアクセスを許可するステップと、からなる
    ことを特徴とするコンテンツの使用期限管理方法。
11. コンテンツを作成するための書き込みプログラム及び前記コンテンツを閲覧するためのビューアプログラムとを格納したメモリ、ＣＰＵ、クロックデバイスを少なくとも有する計算機と、
    閲覧期限情報を付与され且つ暗号化されて書き込みされるとともに閲覧される１つ又は複数のコンテンツファイル及び前記コンテンツファイルに最終的にアクセスした最終アクセス時刻情報を記憶するメモリを少なくとも有するリムーバブルメディアと、を備えたコンテンツの使用期限管理方法であって、
    前記書き込みプログラムによって前記コンテンツを前記リムーバブルメディアに格納する手順は、前記コンテンツを暗号化し且つ前記閲覧期限情報を付与して前記リムーバブルメディアに格納するステップと、現在時刻情報を入手して前記リムーバブルメディアのメモリに最終アクセス時刻情報を書き込むステップと、からなり、
    前記ビューアプログラムによってコンテンツを前記リムーバブルメディアから読み出す手順は、前記クロックデバイスから現在時刻情報を入手するステップと、前記閲覧期限情報を確認するステップと、入手した現在時刻が前記閲覧期限を過ぎている、又は前記閲覧期限情報が存在しない、又は前記閲覧期限情報が偽造された形跡がある、又は入手した現在時刻がバックデートされている形跡がある、又は最終アクセス時刻情報が偽造もしくは消失した形跡がある、場合にはユーザによる閲覧を拒否するステップと、それ以外の場合にはコンテンツを復号化してユーザの閲覧を許可するステップと、からなる
    ことを特徴とするコンテンツの使用期限管理方法。
12. コンテンツを作成する書き込みプログラムと前記コンテンツを閲覧するビューアプログラムによって、書き込みされるとともに閲覧される１つ又は複数のコンテンツファイル、前記コンテンツファイルに最終的にアクセスした最終アクセス時刻情報を記憶するメモリと、
    耐タンパモジュールとしてのコントローラと、を備え、前記コンテンツの使用期限管理に供するリムーバブルメディアであって、
    前記コンテンツファイルは、コンテンツが暗号化され、且つ偽造されない形で前記コンテンツに閲覧期限情報が付与されて前記メモリに格納され、
    前記リムーバブルメディアを挿脱自在とする計算機から入手した現在時刻情報に基づいて、偽造不可能で且つユーザに参照できない形で前記コンテンツファイルへの最終アクセス時刻情報が前記メモリに格納され、
    前記入手した現在時刻情報が前記最終アクセス時刻との比較で偽造されていないことを確認し前記コンテンツへのアクセスが許可される処理において、前記現在時刻情報の比較対象として、前記メモリに格納された前記最終アクセス時刻情報と前記閲覧期限情報とが用いられる
    ことを特徴とするリムーバブルメディア。
13. コンテンツを作成する書き込みプログラムと、前記コンテンツを閲覧するビューアプログラムと、からなるプログラムであって、
    前記書き込みプログラムは、前記コンテンツをリムーバブルメディアに格納する処理において、コンテンツを暗号化し、且つ偽造されない形で前記コンテンツに閲覧期限情報を付与して前記リムーバブルメディアに格納するとともに、現在時刻情報を入手して前記リムーバブルメディア内に偽造不可能で、且つユーザには参照できない形で最終アクセス時刻情報として書き込む機能を有し、
    前記ビューアプログラムは、前記コンテンツを閲覧する処理において、入手した現在時刻情報と、前記コンテンツの閲覧期限情報および前記リムーバブルメディアに格納された前記最終アクセス時刻情報とを比較し、前記入手した現在時刻情報が前記最終アクセス時刻情報との比較で偽造されていないことを確認した上で、現在時刻が閲覧期限内である場合に前記コンテンツへのアクセスを許可する機能を有する
    ことを特徴とする書き込みプログラムとビューアプログラムとからなるプログラム。

Images