JP2006229672A - コンテンツ再生装置、セキュア処理プログラム、セキュア処理プログラムが記録された記録媒体、権利管理プログラム、及び権利管理プログラムが記録された記録媒体 - Google Patents

Abstract

【課題】プログラムの保護機能を提供するセキュア処理部とセキュア処理部によって保護されている保護対象プログラムを備える装置において、セキュア処理部の更新を行うとき、復号鍵が同時に更新されても、更新前のセキュア処理部によって動作していた保護対象プログラムを、実行できる装置を提供する。
【解決手段】暗号化されたプログラムを保持する第一のプログラムと、暗号化されたプログラムを復号化し実行する第二のプログラムを有し、第一のプログラムは暗号化されたプログラムの復号に必要な情報を有し、第二のプログラムは暗号化されたプログラムを復号する鍵を有する。第二のプログラムは復号に必要な情報を第一のプログラムから読み出し、復号に必要な情報に対応した復号する鍵を使用することにより、暗号化されたプログラムを復号化し実行することができる。
【選択図】図４

Description

本発明は耐タンパソフトウェア技術に関し、耐タンパソフトウェア技術で提供されるセキュアな処理を行うプログラムの更新に関するものである。

近年、ＡｐｐｌｅのｉＴｕｎｅｓ Ｍｕｓｉｃ Ｓｔｏｒｅによる電子音楽配信のように、ディジタルコンテンツ配信ビジネスが軌道に乗りつつある。こういったインターネットを介して行われるディジタルコンテンツ配信ビジネスでは、そのディジタルコンテンツの著作権を保護する仕組みが備わっている。そのため、サーバから配信されるディジタルコンテンツは暗号化され、その暗号化されたコンテンツを復号する鍵と、再生やコピーに関する権利を格納する権利情報が付随している。その権利情報には例えば再生できる時間の制限や、コピーできる回数の制限が情報として格納されている。このような権利情報が付随している暗号化されたコンテンツを受信して再生する端末では、受信した権利情報を処理する権利管理プログラムがあり、このプログラムの中で再生やコピーが可能かどうかの判断をする。この判断結果により再生やコピーが可能であれば、暗号化されたコンテンツは復号化され再生される。しかしながら、権利管理プログラムが悪意のあるユーザによって不正に解析され改竄されると、権利がないにもかかわらずディジタルコンテンツを不正に再生されたりコピーされたりする。このため、このような不正な解析や改竄から権利管理プログラムを保護する必要がある。

プログラムを不正な解析や改竄から保護する技術として耐タンパソフトウェア技術がある。耐タンパソフトウェア技術が提供するプログラムを保護する方法には、解析に用いられるデバッガを無効化する方法や、保護対象プログラムをあらかじめ暗号化しておき、そのプログラムを復号して実行するなどの方法がある。このような耐タンパソフトウェアの機能を提供するセキュア処理部と、それによって保護される保護対象プログラムによって構成される装置において、セキュア処理部は、脆弱性の発見や解析技術の向上により保護機能が無効化される可能性があるため、状況に対応できるよう更新する仕組みを備えておく必要がある。

従来のプログラム更新方法としては、携帯端末の暗号鍵を含む暗号・復号処理を定期的に更新することで、暗号鍵の解析を困難にしてセキュリティ強度を保つためのプログラム更新方法があった（例えば、特許文献１参照）。図８は、前記特許文献１に記載された従来のプログラム更新方法のシステム構成図である。

図８において、プログラム変更処理演算モジュール２０１は、プログラム変更のリクエスト信号を受信すると、プログラム変更処理演算を行い、プログラム変更処理演算の結果を暗号モジュール１０１に送信する。暗号モジュール１０１は、プログラム変更処理されたプログラムを新たなプログラムとして、暗号・復号処理を行っていた。暗号処理結果が変わるようなプログラム変更を行った場合には、暗号通信を始める前に、通信相手との間で暗号処理を一致させる手続きを行い暗号通信を行っていた。
特開２０００−７８６６６号公報

しかしながら、プログラムの保護機能を持つセキュア処理部によって保護されている保護対象プログラムが、セキュア処理部の保護機能が持つ復号鍵により復号されながら実行される場合、前記従来の構成では、そのセキュア処理部の更新において、復号鍵も同時に更新されてしまうため、更新前のセキュア処理部によって動作していた保護対象プログラムは、復号して実行しようとしても鍵が異なるために正しく動作しないという課題を有していた。

前記課題に対して、保護対象プログラムとセキュア処理部を一体化しそのプログラムを更新することで、セキュア処理部を更新した場合も保護対象プログラムが動作できるようにする方法がある。しかし、保護対象プログラムが多数になった場合には、メモリの使用効率やプログラムの保守の容易さという観点から、保護対象プログラムとセキュア処理部を一体化することは難しい。また、セキュア処理部にソフトウェアとハードウェアを併用するような仕組みを取り入れセキュリティ強度を高めようとした場合には、保護対象プログラムとセキュア処理部を一体化することは困難であり、一つのセキュア処理部で複数の保護対象プログラムを動作させる必要がある。

保護対象プログラムとセキュア処理部を一体化しない場合の更新方法としては、セキュア処理部の更新と同時に保護対象プログラムも更新されるようにする方法も考えられるが、保護対象プログラムを複数のメーカーが作成している場合には、セキュア処理部の更新と同時にすべての保護対象プログラムを更新することは、個々の保護対象プログラムの開発速度に差がある問題や保護対象プログラムの更新自体をサポートしていない場合などがあり、すべての保護対象プログラムを同時に更新することは困難である。しかしながら、保護対象プログラムがセキュア処理部の更新により使用できなくなることは、ユーザにとっては不便である。

本発明は、前記従来の課題を解決するもので、一つのセキュア処理部で複数の保護対象プログラムを動作させる場合に、セキュア処理部を更新しても、更新前のセキュア処理部で動作していた保護対象プログラムを動作させるようにしたセキュア処理の更新方法を提供することを目的とする。

前記従来の課題を解決するために、本発明のコンテンツ再生装置は、コンテンツを再生する装置であって、暗号化されたコンテンツと前記コンテンツを復号するコンテンツ復号鍵と前記コンテンツ復号鍵で前記コンテンツを復号する権利を記録した権利情報とを受信する受信部と、前記権利情報を確認し暗号化されたコンテンツを前記コンテンツ復号鍵を用いて復号する保護対象プログラムと、暗号化されたプログラムを復号するプログラム復号鍵を複数持ち、前記保護対象プログラムが保持するバージョン情報を読み出し、前記プログラム復号鍵の中から前記バージョン情報に対応した前記プログラム復号鍵を選択し、選択された前記プログラム復号鍵を用いて前記保護対象プログラムを復号し実行するセキュア処理部と、前記セキュア処理部を更新する更新部とを有し、暗号化されたコンテンツを前記保護対象プログラムを用いて復号する。

本構成によって、前記セキュア処理部が更新されても、暗号化されている保護対象プログラムを復号し実行することができ、更新前から保持していたコンテンツを再生することができる。

本発明のプログラム更新方法によれば、セキュア処理部の更新により保護対象プログラムが使用不可となることがないため、保護対象プログラムが使用していたデータが使用不可となることがなく、ユーザの利便性を向上することができる。

以下本発明の実施の形態について、図面を参照しながら説明する。

（実施の形態１）
図１は、本発明の実施の形態１におけるセキュア処理の更新が可能なコンテンツ再生装置の全体構成図である。

図１において、コンテンツ再生装置３０１は暗号化された音楽データや映像データなどのディジタルコンテンツ（以下、暗号コンテンツ）、及びそれを復号する鍵（以下、暗号コンテンツ復号鍵）と再生に関する権利を示す再生権利情報を受信し、再生権利情報に従って暗号コンテンツを復号し再生する装置である。保護対象プログラム３０２は平文のヘッダ（識別子、バージョン番号などを含む）と暗号化されたプログラムなどから構成され、暗号化されたプログラムは、暗号化された状態で受信した再生権利情報と暗号コンテンツ復号鍵を自身が保持するマスター鍵を用いて復号化し、再生権利情報から再生可能か否かを判断し、再生可能の場合は暗号コンテンツ復号鍵を用いて暗号コンテンツを復号するプログラムである。また保護対象プログラム３０２はコンテンツ再生装置３０１内部に保存される。セキュア処理部３０３は保護対象プログラム３０２をデバッガによる解析や改竄から保護する装置であり、かつ保護対象プログラム３０２の暗号化されたプログラムを復号化して実行する。セキュア処理バージョン判定部３０４は保護対象プログラム３０２が動作する場合に必要となるセキュア処理部３０３のバージョンを判定し、セキュア処理部３０３に対して判定したバージョンを通知する装置である。バージョンの判定は、保護対象プログラム３０２が保持しているバージョンを識別する情報を用いる。受信部３０６は暗号コンテンツと暗号コンテンツ復号鍵、再生権利情報、セキュア処理部３０３更新用の更新プログラムを受信する装置である。セキュア処理更新部３０５は受信部３０６により受信された暗号化された更新プログラムを復号する手段を持ち、暗号化された更新プログラムを自身が保持するマスター鍵を用いて復号手段で復号し、その更新プログラムを用いセキュア処理部３０３を更新する装置である。再生部３０７は復号化されたコンテンツを必要に応じて伸張処理、ディジタル・アナログ変換処理等を行い、再生する装置である。出力部３０８は再生されたコンテンツを機器外部に出力する装置である。デバッガＩ／Ｆ部３０９はデバッガを接続する装置である。ＨＤＤ３１０は暗号化された保護対象プログラム３０２を格納する記録媒体である。

図２は、本発明の実施の形態１における保護対象プログラム３０２の構成図である。

図２において、保護対象プログラム３０２は権利管理部４０１、復号部４０２、バージョン保持部４０３からなるプログラムである。権利管理部４０１は受信部３０６により受信された再生権利情報と暗号コンテンツ復号鍵を受け取り、再生権利情報からコンテンツが再生可能かどうか判断し、再生可能の場合は復号部４０２に暗号コンテンツ復号鍵を渡し、コンテンツが復号可能であることを復号部４０２に通知するモジュールである。復号部４０２は受信部３０６により受信された暗号コンテンツを受け取り、権利管理部４０１から暗号コンテンツ復号鍵とコンテンツが復号可能であるという通知を受け、暗号コンテンツ復号鍵を用いて暗号コンテンツを復号するモジュールである。バージョン保持部４０３は保護対象プログラム３０２が動作できるセキュア処理部３０３のバージョンを識別する情報を保持するモジュールである。バージョンを識別する情報は例えば１バイトで表される番号や、特定のバイト列を暗号したデータであるものとする。

図９は、本発明の実施の形態１における保護対象プログラム３０２のプログラム構造図である。

図９において、保護対象プログラム３０２はヘッダ部６０１、平文プログラム６０２、暗号化されたプログラム６０３からなるプログラムである。ヘッダ部６０１は保護対象プログラム３０２を識別するための識別子と暗号化されたプログラム６０３の復号時に使用するバージョン保持部４０３からなる。平文プログラム６０２は暗号化されずに平文のまま保護対象プログラム３０２内部に保持され、暗号化されたプログラム６０３の復号と実行をセキュア処理部３０３に依頼するなどの暗号コンテンツを適切に処理するための制御を行うプログラムである。暗号化されたプログラム６０３は再生権利情報の処理や暗号コンテンツの復号処理などを行うプログラムである。

図３は、本発明の実施の形態１におけるセキュア処理部３０３の構成図である。

図３において、セキュア処理部３０３はセキュア処理情報管理部５０１、動作制御部５０２、アクセス制御部５０３、復号鍵保持部５０４からなる装置である。セキュア処理情報管理部５０１は保護対象プログラム３０２からの動作依頼を受けて暗号化された保護対象プログラムを復号する鍵（以下、復号鍵）を動作制御部５０２に通知し、動作制御部５０２とアクセス制御部５０３に動作制御・アクセス制御を行うように通知するモジュールである。動作制御部５０２は受け取った復号鍵を用い暗号化された保護対象プログラムを復号化しメモリに展開し保護対象プログラム３０２を動作させるモジュールである。アクセス制御部５０３はセキュア処理情報管理部５０１からのアクセス制御開始の通知を受けてデバッガＩ／Ｆ部３０９からのデバッガのアクセスを遮断するモジュールである。復号鍵保持部５０４は暗号化された保護対象プログラムを復号するために必要な複数の復号鍵（鍵１、鍵２）を保持している。

図１０は、本発明の実施の形態１における復号鍵保持部５０４が保持する情報の一例を示す図である。

図１０において、復号鍵保持部５０４はセキュア処理部３０３のバージョンと、そのバージョンに対応した鍵を１つの組とし、複数のバージョンと鍵の組をバージョン・鍵対応表７０１として保持している。保護対象プログラム３０２を動作させる場合には、保護対象プログラム３０２が保持しているバージョンと復号鍵保持部５０４が保持しているバージョン・鍵対応表７０１のバージョンとを比較し、一致したバージョンと組になっている鍵を復号鍵として使用する。

なお、図１０に示す例では、セキュア処理部３０３のバージョンと、そのバージョンに対応した鍵とを１対１に対応させて保持する例を示したが、これはあくまでも一例であって、例えば、保護対象プログラム３０２と、そのバージョンに対応した鍵とを１対１に対応させて保持する、としてもよい。この場合、保護対象プログラムのバージョン保持部４０３におけるバージョンは、保護プログラム３０２自身のバージョンを示し、セキュア処理部３０３の復号鍵保持部５０４におけるバージョン・鍵対応表は、特定の保護対象プログラム３０２の特定のバージョンに対応する鍵を管理することになる。

図４は、本発明の実施の形態１におけるセキュア処理部更新後のコンテンツ再生装置３０１の構成図である。

図４において、第二のセキュア処理部３１１は、保護対象プログラム３０２をデバッガによる解析や改竄から保護する装置であり、かつ暗号化された保護対象プログラム３０２を復号化して実行する。構成はセキュア処理部３０３と同様であるが、復号鍵保持部５０４が保持している鍵は、セキュア処理部３０３の復号鍵保持部５０４が保持している復号鍵（鍵１、鍵２）以外の復号鍵（鍵３）が復号鍵保持部５０４に追加された状態で更新される。保護対象プログラム３０２は、セキュア処理部３０３が保持する復号鍵（鍵１または鍵２）により復号できるプログラムと第２のセキュア処理部３１１で追加された復号鍵（鍵３）により復号できるプログラムが含まれる。他の構成は図１と同様である。

次にこのコンテンツ再生装置３０１を用いてコンテンツを再生する処理手順を図５のフローチャートを用いて説明する。まず受信部３０６は、暗号コンテンツ、および暗号コンテンツ復号鍵と再生権利情報を受信する（Ｓ１０１）。受信部３０６は暗号化して送られてくる暗号コンテンツ復号鍵と再生権利情報を権利管理部４０１へ渡す（Ｓ１０２）。さらに暗号コンテンツを復号部４０２へ渡す（Ｓ１０３）。権利管理部４０１は、受け取った暗号化されている再生権利情報と暗号コンテンツ復号鍵を権利管理部４０１が保持するマスター鍵を用いて復号部４０２により復号化する（Ｓ１０４）。権利管理部４０１は、復号した再生権利情報から再生可能か判断する（Ｓ１０５）。再生不可能な場合には、処理を停止する（Ｓ１０６）。再生可能な場合には、復号部４０２に暗号コンテンツ復号鍵を渡す（Ｓ１０７）。復号部４０２は、権利管理部４０１から受け取った暗号コンテンツ復号鍵を用いて、暗号コンテンツを復号する（Ｓ１０８）。復号部４０２は再生部３０７に復号したコンテンツ（平文コンテンツ）を渡す（Ｓ１０９）。再生部３０７は、受け取った平文コンテンツを再生し、出力部３０８へ再生したデータ（再生データ）を渡す（Ｓ１１０）。出力部３０８は、受け取った再生データを機器外部へ出力する（Ｓ１１１）。

セキュア処理部３０３を更新する処理手順を図６のフローチャートを用いて説明する。まず受信部３０６は更新プログラムを受信する（Ｓ２０１）。受信部３０６は暗号化して送られてくる更新プログラムをセキュア処理更新部３０５へ渡す（Ｓ２０２）。セキュア処理更新部３０５は、受け取った暗号化されている更新プログラムをセキュア処理更新部３０５が保持するマスター鍵を用いて復号手段により復号化する（Ｓ２０３）。セキュア処理更新部３０５は、復号した更新プログラムを第二のセキュア処理部３１１としてセキュア処理部３０３と置き換える（Ｓ２０４）。これにより今後保護対象プログラム３０２が動作を行うときには、更新された第二のセキュア処理部３１１が使用される。

権利管理部４０１と復号部４０２からなる保護対象プログラム３０２が第二のセキュア処理部３１１によって動作を行う手順を図７のフローチャートを用いて説明する。まず保護対象プログラム３０２は動作を開始する（Ｓ３０１）。その後、保護対象プログラム３０２は第二のセキュア処理部３１１に保護対象プログラム３０２が保持する暗号化されたプログラムの動作を依頼する（Ｓ３０２）。第二のセキュア処理部３１１は保護対象プログラム３０２からの動作依頼を受けてセキュア処理バージョン判定部３０４に動作依頼を受けた保護対象プログラム３０２のバージョン判定を依頼する（Ｓ３０３）。依頼を受けたセキュア処理バージョン判定部３０４は保護対象プログラム３０２のバージョン保持部４０３を読み取る（Ｓ３０４）。セキュア処理バージョン判定部３０４は読み取ったバージョンをセキュア処理情報管理部５０１に判定結果として通知する（Ｓ３０５）。セキュア処理情報管理部５０１はセキュア処理バージョン判定部３０４から通知されたバージョンに対応した暗号化された保護対象プログラムを復号する鍵（復号鍵）を復号鍵保持部５０４から取得する（Ｓ３０６）。取得した復号鍵を動作制御部５０２に通知する（Ｓ３０７）。動作制御部５０２はセキュア処理情報管理部５０１から通知された復号鍵を用いて暗号化された保護対象プログラムを復号化しメモリに展開する（Ｓ３０８）。メモリに展開した保護対象プログラム３０２を実行する（Ｓ３０９）。

かかる構成によれば復号鍵保持部５０４に複数の復号鍵を持たせ、セキュア処理バージョン判定部３０４により判定されるバージョンに応じた復号鍵を使用することにより、第二のセキュア処理部３１１に更新されたあともセキュア処理部３０３で動作していた保護対象プログラム３０２を動作させることができる。これにより、保護対象プログラム３０２によって復号される暗号コンテンツを復号することができ、音楽を再生することができるため、ユーザの利便性が向上する。また、セキュア処理部３０３を第二のセキュア処理部３１１に更新する処理も、保護対象プログラム３０２を使用するユーザに意識させる事なく処理を行うことができる。

本発明にかかるセキュア処理の更新方法は、セキュア処理部の脆弱性の発見や解析技術の向上による保護機能の無効化に対して、セキュア処理部を更新することによりこれを防止できる。

また、セキュア処理部の更新により保護対象プログラムが使用不能となることがないため、保護対象プログラムを使用するユーザに意識させることなくセキュア処理部を更新することができ、さらに保護対象プログラムが使用していたデータが使用不可となることがないため、ユーザの利便性が向上する。

本発明の実施の形態１におけるコンテンツ再生装置の構成図 本発明の実施の形態１における保護対象プログラムの構成図 本発明の実施の形態１におけるセキュア処理部の構成図 本発明の実施の形態１におけるセキュア処理部更新後のコンテンツ再生装置の構成図 本発明の実施の形態１におけるコンテンツ再生のフローチャート 本発明の実施の形態１におけるセキュア処理部更新のフローチャート 本発明の実施の形態１におけるセキュア処理部の動作のフローチャート 従来のプログラム変更方法の原理を示す図 本発明の実施の形態１における保護対象プログラムのプログラム構造図 本発明の実施の形態１における復号鍵保持部の構成図

符号の説明

１００ 移動端末
１０１ 暗号モジュール
２００ 充電器
２０１ プログラム変更処理演算モジュール
３０１ コンテンツ再生装置
３０２ 保護対象プログラム
３０３ セキュア処理部
３０４ セキュア処理バージョン判定部
３０５ セキュア処理更新部
３０６ 受信部
３０７ 再生部
３０８ 出力部
３０９ デバッガＩ／Ｆ部
３１０ ＨＤＤ
３１１ 第二のセキュア処理部
４０１ 権利管理部
４０２ 復号部
４０３ バージョン保持部
５０１ セキュア処理情報管理部
５０２ 動作制御部
５０３ アクセス制御部
５０４ 復号鍵保持部
６０１ ヘッダ部
６０２ 平文プログラム
６０３ 暗号化されたプログラム
７０１ バージョン・鍵対応表

Claims (8)

1. コンテンツを再生するコンテンツ再生装置であって、
   暗号化されたコンテンツと前記暗号化されたコンテンツを復号するコンテンツ復号鍵と前記コンテンツ復号鍵で前記暗号化されたコンテンツを復号する権利を記録した権利情報とを受信する受信部と、
   前記権利情報を確認し暗号化されたコンテンツを前記コンテンツ復号鍵を用いて復号する権利管理プログラムと、
   前記権利管理プログラムが復号したコンテンツを再生する再生部と、
   前記再生部が再生したコンテンツデータを外部に出力する出力部と、
   暗号化されたプログラムを復号するプログラム復号鍵を複数持ち、前記権利管理プログラムが保持するバージョン情報を読み出し、前記プログラム復号鍵の中から前記バージョン情報に対応した前記プログラム復号鍵を選択し、選択された前記プログラム復号鍵を用いて前記権利管理プログラムが保持する暗号化されたプログラムを復号し実行するセキュア処理プログラムと、
   前記セキュア処理プログラムを更新する更新部とを備えることを特徴とするコンテンツ再生装置。
2. 前記権利情報は暗号化されており、
   前記権利管理プログラムは、暗号化された前記権利情報を復号する権利情報復号鍵を保持しており、
   前記権利管理プログラムは、さらに、前記権利情報復号鍵を用いて、前記受信部で受信した前記権利管理情報を復号化することを特徴とする請求項１に記載のコンテンツ再生装置。
3. 前記コンテンツ復号鍵は暗号化されており、
   前記権利管理プログラムは、暗号化された前記コンテンツ復号鍵を復号するマスター鍵を保持しており、
   前記権利管理プログラムは、さらに、前記マスター鍵を用いて、前記受信部で受信した前記コンテンツ復号鍵を復号化することを特徴とする請求項１または請求項２に記載のコンテンツ再生装置。
4. 前記セキュア処理プログラムは前記更新部により更新され、
   前記セキュア処理プログラムは、さらに、
   更新前から動作していた前記権利管理プログラムが保持する暗号化されたプログラムを復号するためのプログラム復号鍵Ａと、
   更新後に追加される前記権利管理プログラムが保持する暗号化されたプログラムを復号するためのプログラム復号鍵Ｂとを保持することを特徴とする請求項１から請求項３のいずれか１項に記載のコンテンツ再生装置。
5. 更新されたセキュア処理プログラムであって、
   更新前のセキュア処理プログラムＡが保持していたプログラム復号鍵Ａによって暗号化された権利管理プログラムＡが保持する暗号化されたプログラムを復号するためのプログラム復号鍵Ａと、
   新たな権利管理プログラムＢが保持する暗号化されたプログラムを復号するための、プログラム復号鍵Ｂとを保持することを特徴とするセキュア処理プログラム。
6. 更新されたセキュア処理プログラムが記録された記録媒体であって、
   更新前のセキュア処理プログラムＡが保持していたプログラム復号鍵Ａによって暗号化された権利管理プログラムＡが保持する暗号化されたプログラムを復号するためのプログラム復号鍵Ａと、
   新たな権利管理プログラムＢが保持する暗号化されたプログラムを復号するための、プログラム復号鍵Ｂとを保持することを特徴とするセキュア処理プログラムが記録された記録媒体。
7. 暗号化されたプログラムを保持する権利管理プログラムであって、
   前記権利管理プログラムは暗号化されたプログラムを復号するプログラム復号鍵を識別するためのバージョン情報を持ち、
   前記バージョン情報は前記暗号化されたプログラムを復号するプログラム復号鍵を選択するためにセキュア処理プログラムによって使用されることを特徴とする権利管理プログラム。
8. 暗号化されたプログラムを保持する権利管理プログラムが記録された記録媒体であって、
   前記権利管理プログラムは暗号化されたプログラムを復号するプログラム復号鍵を識別するためのバージョン情報を持ち、
   前記バージョン情報は前記暗号化されたプログラムを復号するプログラム復号鍵を選択するためにセキュア処理プログラムによって使用されることを特徴とする権利管理プログラムが記録された記録媒体。

Images