JP2007133608A - 情報処理装置、ソフトウェアインストール方法、および光ディスク - Google Patents

Abstract

【課題】光ディスクに記録されたソフトウェアの不正なインストールを防止し、かつ、インストール時のユーザの利便性を向上させる。
【解決手段】光ディスク内の各ソフトウェアの識別情報および利用制御情報を、その光ディスク上のＩＣチップから読み出し、それらのソフトウェア名と利用制御情報とを一覧表示させる（Ｓ２０１）。次に、ユーザにより選択されたソフトウェアのデータを光ディスクから取り込んだ後（Ｓ２０２）、ＩＣチップとの相互認証処理を実行し（Ｓ２０５）、正しく認証された場合に、ソフトウェアのインストールに必要な鍵情報をＩＣチップから読み出し（Ｓ２０６）、その鍵情報を用いてソフトウェアのインストール処理を実行する（Ｓ２０７）。さらに、インストール処理の開始時以後に、ＩＣチップにアクセスして、インストール中のソフトウェアに対応する利用制御情報を更新する（Ｓ２０８）。
【選択図】図８

Description

本発明は、光ディスクドライブを備え、ソフトウェアをインストールして実行可能な情報処理装置、そのソフトウェアをインストールするためのソフトウェアインストール方法、および、そのソフトウェアが記録された光ディスクに関する。

近年、可搬型の記録媒体として光ディスクが広く普及しており、例えば、音楽コンテンツや映像コンテンツ、コンピュータ用のソフトウェアなどが、光ディスクに記録されてユーザに提供されることが多くなっている。光ディスクにより提供された音楽コンテンツや映像コンテンツのデータは、例えば、専用の再生装置により読み込まれ、再生される。あるいは、ＰＣ（パーソナルコンピュータ）内の再生ソフトウェアを実行することで、コンテンツのデータをＰＣ上で再生することもできる。

また、コンピュータ用のソフトウェア（例えばアプリケーションプログラム）の場合には、このソフトウェアを構成する各種プログラムモジュールやライブラリ、データなどがパッケージ化された状態で、光ディスクに記録されてユーザに提供される。また、このようなソフトウェアパッケージは、圧縮された圧縮ファイルとして記録されている場合もある。そして、このようなソフトウェアパッケージは、光ディスクから読み込まれてコンピュータの内部に一旦コピーされた後、解凍や各種設定処理などが実行されてコンピュータに組み込まれる。このインストール処理により、ソフトウェアはコンピュータ内部に記憶され、実行可能な状態となる。

ところで、このようなデジタルコンテンツやソフトウェアが広く流通されるのに伴い、これらの提供者側からは、著作権保護されたデータの不正コピーを確実に防止できることが強く要求されている。このような要求に対して、従来の光ディスクでは、例えば、ディスクやスタンパに固有のＩＤを光ディスクごとに書き換え不可能な状態で記録し、かつ、そのＩＤを用いた鍵でコンテンツのデータを暗号化して記録することが行われていた。

ブルーレイディスク（Blu-ray Disc、ソニー株式会社の登録商標。以下、ＢＤと略称する。）を例に挙げると、書き換え可能な光ディスク（以下、ＲＷ（ReWritable）ディスクと呼称する）の場合、上記のＩＤは、ＢＣＡ（Burst Cutting Area）と言われる領域に記録される。また、読み出し専用の光ディスク（以下、ＲＯ（Read Only）ディスクと呼称する）の場合、上記のＩＤはいわゆるＲＯＭ（Read Only Memory）マークとして記録される。このように、上記のＩＤは、一般のユーザには簡単に読み取りや複製が不可能な状態で光ディスク上に記録されており、これにより、例えば、光ディスクの記録データがビット単位でそのまま別の記録媒体にコピー（ビットバイビット・コピー（bit by bit copy）と呼ばれる）された場合に、コピー先の記録媒体からは復号のための鍵を生成できないので、この記録媒体上のデータを利用不可能にすることができる。

しかし、このような対策が施されていた場合にも、不正コピーを完全に防止できるとは言えない。例えば、上記のＢＣＡやＲＯＭマークを信号レベルで読み取り可能な装置があれば、ＢＣＡやＲＯＭマークを複製するとともに、データ領域内の情報をビットバイビットでコピーすることで新たな光ディスクが作製されてしまい、この光ディスクに記録されたコンテンツのデータは再生可能となってしまう。また、光ディスク自体を複製できる装置があれば、新たな光ディスクが作製されてしまい、そのコンテンツが同様に再生可能となってしまう。

また、ＢＤの場合、データ領域内にＲＫＢ（Renewal Key Block）と呼ばれるデータを記録しておき、このＲＫＢと、レコーダやプレーヤごと、あるいはそのメーカごとに固有なデバイスＩＤとを用いて、プロセスＲＫＢと呼ばれる処理によりメディア鍵を生成し、このメディア鍵とディスクＩＤあるいはスタンパＩＤとを用いてブロック鍵を生成して、このブロック鍵を用いてコンテンツのデータを復号することも行われている。これにより、著作権保護技術のライセンスを正式に受けていない不正なデバイスを排除することが可能となる。しかし、この場合でも、ブロック鍵を用いた暗号化されたコンテンツのデータとＲＫＢとをビットバイビットでコピーし、ＢＣＡやＲＯＭマークを複製することにより新たな光ディスクが作製されると、あるいは光ディスク自体が複製されると、この光ディスク内のコンテンツは再生可能となってしまう。

このように、コンテンツのデータの暗号化に用いる情報を単に光ディスク内に記録した場合には、何らかの方法でこれらの情報が複製されると、不正にコピーされたコンテンツの利用を阻止することができなくなってしまうという問題があった。これに対して、複製が困難であり、かつ、再生機器側との相互認証機能により不正な読み出しが防止された非接触型のＩＣチップを光ディスク上に搭載し、このＩＣチップに復号鍵を記録しておくことで、不正な再生動作を防止することが考えられている（例えば、特許文献１参照）。
特開２００５−１９０５１４号公報（段落番号〔００２４〕〜〔００２８〕、図６）

ところで、光ディスクによりソフトウェアが提供される場合には、その光ディスクの内容が複製されなくても、正規のユーザから他のユーザにその光ディスクが貸借されれば、そのソフトウェアを他のコンピュータに不正にインストールすることが可能となってしまう。また、ＲＷディスクの場合には、ユーザの利用権利を示す利用制御情報をデータ領域に記録し、インストールに応じて利用制御情報を更新するようにできる。しかし、あらかじめ利用（この場合インストール）する前の状態でデータをバックアップしておき、インストール後にバックアップデータを戻すことで、何度でもインストールが可能となってしまう。

さらに、特にコンシューマ用の機器では、不正なインストールを確実に防止でき、かつ、ユーザの利用権利を確実に管理できるとともに、インストール時の操作を簡単でわかりやすくするなど、ユーザの利便性をできるだけ損なわないようにすることが望まれている。しかし、このような条件をすべて満たすシステムやインストール手順は考えられていなかった。

本発明はこのような点に鑑みてなされたものであり、ソフトウェアの不正なインストールが確実に防止され、かつ、インストール時のユーザの利便性が向上された情報処理装置を提供することを目的とする。

また、本発明の他の目的は、ソフトウェアの不正なインストールを確実に防止できる光ディスクを提供することである。
さらに、本発明の他の目的は、ソフトウェアの不正なインストールが確実に防止され、かつ、インストール時のユーザの利便性が向上されたソフトウェアインストール方法を提供することである。

本発明では上記課題を解決するために、光ディスクドライブを備え、ソフトウェアをインストールして実行可能な情報処理装置において、光ディスクに設けられたＩＣチップとの間で非接触で情報の送受信を行う通信手段と、前記通信手段を通じて、前記ＩＣチップの記録情報に対するアクセス許可を得るための前記ＩＣチップとの相互認証処理を実行する認証手段と、前記光ディスクのデータ領域に記録された１つ以上のソフトウェアをそれぞれ識別するための識別情報と、当該ソフトウェアのそれぞれのインストールの可否を示す利用制御情報とを、当該光ディスク上の前記ＩＣチップから前記通信手段を介して読み込み、読み込んだ前記識別情報に対応するソフトウェア名と対応する前記利用制御情報とを一覧表示した一覧表示画面をディスプレイに表示させる一覧表示画面生成手段と、前記一覧表示画面に応じたユーザからの選択入力に応じて、選択されたソフトウェアのデータを、前記光ディスクのデータ領域から前記光ディスクドライブを介して読み込むソフトウェア読み込み手段と、前記認証手段に前記ＩＣチップとの認証処理を実行させ、正しく認証された場合に、前記ソフトウェア読み込み手段により読み込まれたソフトウェアをインストールするために必要な鍵情報を、当該ＩＣチップから前記通信手段を介して読み込み、読み込んだ前記鍵情報を用いて当該ソフトウェアのインストール処理を実行するインストール処理手段と、前記インストール処理の開始時以後に、前記通信手段を介して前記ＩＣチップにアクセスし、インストール中のソフトウェアに対応する前記利用制御情報を更新する利用制御情報更新手段とを有することを特徴とする情報処理装置が提供される。

このような情報処理装置では、非接触で情報の読み出しおよび書き込みが可能なＩＣチップが搭載された光ディスクから、ソフトウェアがインストールされる。ＩＣチップには、少なくとも、光ディスクのデータ領域に記録された１つ以上のソフトウェアをそれぞれ識別するための識別情報と、それらの各ソフトウェアのインストールの可否を示す利用制御情報と、各ソフトウェアをインストールするために必要な鍵情報とが記録されている。

一覧表示画面生成手段は、光ディスクのデータ領域に記録された各ソフトウェアの識別情報および利用制御情報を、この光ディスク上のＩＣチップから通信手段を介して読み込み、読み込んだ識別情報に対応するソフトウェア名と対応する利用制御情報とを一覧表示した一覧表示画面をディスプレイに表示させる。ソフトウェア読み込み手段は、表示された一覧表示画面に応じたユーザからの選択入力に応じて、選択されたソフトウェアのデータを、光ディスクのデータ領域から光ディスクドライブを介して読み込む。インストール処理手段は、ＩＣチップに対するアクセス許可を得るための相互認証処理を認証手段に実行させ、正しく認証された場合に、ソフトウェア読み込み手段により読み込まれたソフトウェアをインストールするために必要な鍵情報をＩＣチップから通信手段を介して読み込み、読み込んだ鍵情報を用いてそのソフトウェアのインストール処理を実行する。利用制御情報更新手段は、インストール処理の開始時以後に、通信手段を介してＩＣチップにアクセスし、インストール中のソフトウェアに対応する利用制御情報を更新する。

また、本発明では、記録面にレーザビームを照射して得られる戻り光に応じて記録信号が再生される光ディスクにおいて、情報を記録する記録手段と、外部機器との間で非接触で情報を送受信する通信手段と、前記外部機器との間で前記通信手段を介して通信し、前記記録手段の記録情報に対するアクセスを許可するための相互認証処理を実行する認証手段とを備えたＩＣチップが設けられ、前記記録面には、１つ以上のソフトウェアのデータが記録され、前記ＩＣチップの前記記録手段には、前記記録面に記録された各ソフトウェアの識別情報と、当該ソフトウェアのそれぞれのインストールに必要な鍵情報と、当該ソフトウェアのそれぞれのインストールの可否を示す利用制御情報とが少なくとも記録され、前記認証手段により前記外部機器との間で正しく相互認証された場合にのみ、当該外部機器に対する前記鍵情報の読み出しが可能とされ、前記認証手段により前記外部機器との間で正しく相互認証された場合にのみ、当該外部機器からの前記利用制御情報の書き換えが可能とされたことを特徴とする光ディスクが提供される。

このような光ディスクでは、そのデータ領域に、インストールするために鍵情報が必要とされた１つ以上のソフトウェアが記録され、その鍵情報と、各ソフトウェアの識別情報と、各ソフトウェアのインストールの可否を示す利用制御情報とが、光ディスク上に設けられたＩＣチップに記録される。ＩＣチップは、通信手段により、外部機器との間で非接触で情報を送受信でき、認証手段により、その外部機器との間で記録情報へのアクセスを許可するための相互認証を行うことができる。そして、鍵情報は、外部機器との間で正しく相互認証された場合にのみ、その外部機器への読み出しが可能とされ、利用制御情報は、その外部機器との間で正しく相互認証された場合にのみ、書き換えが可能とされる。

本発明の情報処理装置によれば、光ディスクのデータ領域に記録されたソフトウェアをインストールするために必要な鍵情報を、光ディスクに設けたＩＣチップに記録しておき、ＩＣチップとの間で正しく相互認証された場合にのみ、鍵情報を読み出してソフトウェアのインストール処理に利用できるようにしたことで、そのソフトウェアの不正なインストールを確実に防止できる。また、インストール処理の開始時以後の、相互認証された状態において、インストールしたソフトウェアに対応するＩＣチップ内の利用制御情報を更新するようにしたことで、そのソフトウェアのユーザによるインストール権利を安全に管理することができる。

さらに、インストール処理の前に、ＩＣチップからソフトウェアの識別情報と利用制御情報とを読み込み、それらの情報に基づいてソフトウェア名と利用制御情報とを一覧表示し、インストールするソフトウェアを一覧表示に基づいてユーザが選択できるようにしたことで、光ディスクのデータ領域からの情報の読み込みを行うことなく、インストール可能なソフトウェアをユーザが確認して、所望のソフトウェアを確実に選択できる。従って、ユーザが余計な操作を行うことなく、所望のソフトウェアを確実にインストールできるようになり、ユーザの利便性が向上する。

また、本発明の光ディスクによれば、そのデータ領域に記録されたソフトウェアをインストールするために必要な鍵情報を、光ディスクに設けたＩＣチップに記録しておき、外部機器との間で正しく相互認証された場合にのみ、外部機器がその鍵情報を読み出してソフトウェアのインストール処理に利用できるようにしたことで、そのソフトウェアの不正なインストールを確実に防止できる。また、ＩＣチップに記録した利用制御情報を、外部機器との間で正しく相互認証された場合にのみ書き換え可能としたことで、対応するソフトウェアのユーザによるインストール権利を安全に管理することができる。

以下、本発明の実施の形態を図面を参照して詳細に説明する。
《第１の実施の形態》
図１は、本発明の第１の実施の形態に係る情報処理装置および光ディスクの構成を概略的に示す図である。

図１に示す情報処理装置１は、例えばＰＣなどのコンピュータ装置であり、内部にＣＰＵ（Central Processing Unit）や各種記憶装置を備え、ディスプレイ２、キーボード３、光ディスクドライブ４などが接続されて利用される。なお、光ディスクドライブ４は、情報処理装置１に内蔵されていても、あるいは通信Ｉ／Ｆ（インタフェース）を介して外部に接続されていてもよい。

さらに、この情報処理装置１には、ＩＣチップＲ／Ｗ（リーダ／ライタ）５が接続されている。本実施の形態では、例として、ＩＣチップＲ／Ｗ５は通信Ｉ／Ｆを介して外部に設けられている。このＩＣチップＲ／Ｗ５は、アンテナ６を備えて、光ディスク１０に搭載されたＩＣチップ１１との間でデータを非接触で送受信する。なお、ＩＣチップＲ／Ｗ５は、このような形態の他に、例えば光ディスクドライブ４のディスクトレイの前面に設けるなど、情報処理装置１の外面にＲ／Ｗ部が露出する状態で、情報処理装置１と一体に設けられてもよい。あるいは、光ディスク１０を内部に装填したまま通信できるように、光ディスクドライブ４の内部やディスクトレイ上に設けられてもよい。

一方、光ディスク１０は、情報処理装置１で実行されるアプリケーションプログラムやデバイスドライバなどのソフトウェアをユーザに提供するための記録媒体である。この光ディスク１０上のデータ領域（すなわち、レーザ光により読み取り・書き込みが行われる領域）には、上記のソフトウェアが、このソフトウェアを構成する各種プログラムモジュールやライブラリ、データなどがパッケージ化された状態のファイルとして記録されている。以下、このファイルを“ソフトウェアファイル”と呼ぶ。光ディスク１０のデータ領域には、このようなソフトウェアファイルを複数格納することができる。

このソフトウェアファイルは、例えば上記のパッケージ化したファイルを圧縮した圧縮データとその展開プログラムとを含む、いわゆる自己解凍ファイルと呼ばれる状態や、あるいは、上記のパッケージ化したファイルを暗号化した状態など、情報処理装置１の内部に展開される前の状態のファイルである。そして、このソフトウェアファイルを展開するためには、解凍や展開などの実装（インストール）処理を開始するための実装鍵や、暗号化ファイルを復号するための復号鍵などの鍵情報が必要とされる。

また、光ディスク１０には、さらに、ＩＣチップ１１およびアンテナ１２からなる、いわゆるＲＦＩＤ（Radio Frequency Identification）タグが搭載されている。これらのＩＣチップ１１およびアンテナ１２は、例えば光ディスク１０のデータ領域の内周側に設けられる。ＩＣチップ１１は、各種データを記憶するメモリや、その読み書き処理機能や外部との相互認証機能を担う処理回路などを備えている。また、このＩＣチップ１１は、内蔵電池を持たず、Ｒ／Ｗからの電波あるいは磁界をアンテナ１２で受信して起電力に変換し、アンテナ１２を通じてＲ／Ｗとのデータの受け渡しを非接触で行うことが可能となっている。

ＩＣチップ１１には、後述するように、データ領域に記録されたソフトウェアファイルの識別情報、それらのソフトウェアをインストールするための鍵情報（実装鍵または復号鍵）、インストールの可否あるいはインストール可能な回数などを示す利用制御情報などが記憶される。また、外部との相互認証処理に必要な認証鍵なども記憶される。

このＩＣチップ１１は、複製が極めて困難であり、また相互認証機能により不正なデバイスによる記録情報の読み取りや書き換えを防止できるようになっている。本実施の形態では、このようなＩＣチップ１１に対して上記のような情報を記録し、それらの情報を正規のデバイスから利用しないとインストールできないようにしておくことで、データ領域内のソフトウェアの不正なインストールを防止し、そのインストール権利を安全に管理できるようにする。

しかし、このようなＩＣチップ１１を備えた光ディスク１０を利用した場合、上記効果が得られる反面、ユーザの利便性を損なう可能性が考えられた。例えば、光ディスクドライブ４の内部にＩＣチップＲ／Ｗ５が設けられた場合、ユーザは、光ディスク１０を光ディスクドライブ４に装填した後、ＩＣチップ１１の読み取りが開始されるまで、その光ディスク１０内のソフトウェアのインストールが許可されているか否かを知ることができない。

また、光ディスクドライブ４の内部には、例えば光ディスク１０のチャッキング用のマグネットなど、ＩＣチップ１１との通信状態を悪化させる要因が多い。このため、図１のようにＩＣチップＲ／Ｗ５を光ディスクドライブ４の外部に接続して利用する場合も想定しておく必要がある。しかし、この場合には当然、ＩＣチップ１１の記録情報の読み取りや書き換えのためには、光ディスク１０を光ディスクドライブ４から取り出す必要があるので、インストールの操作に混乱をきたす可能性がある。

そこで、本実施の形態では、このようなＩＣチップＲ／Ｗ５を光ディスクドライブ４の外部に設けた場合を含む、様々なシステム構成において、ユーザの利便性をできるだけ損なうことなく、不正インストールを確実に防止し、かつ、そのインストール権利を安全に管理できるようなインストール手順を提供する。

図２は、情報処理装置のハードウェア構成を示すブロック図である。
図２に示すように、情報処理装置１は、ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ（Random Access Memory）１０３、ＨＤＤ（Hard Disk Drive）１０４、光ディスクドライブ４、入力Ｉ／Ｆ１０５、通信Ｉ／Ｆ１０６、およびグラフィックＩ／Ｆ１０７を備え、これらは内部バス１０８を介して相互に接続されている。

ＣＰＵ１０１は、情報処理装置１全体に対する制御をつかさどる。ＲＯＭ１０２は、情報処理装置１の起動プログラムなどの各種プログラム、およびデータを記憶している。ＲＡＭ１０３は、ＣＰＵ１０１に実行させるプログラムの少なくとも一部や、このプログラムによる処理に必要な各種データを一時的に記憶する。ＨＤＤ１０４には、ＯＳ（Operating System）やアプリケーションプログラム、各種データが格納される。本実施の形態では、ソフトウェアをインストールするためのインストールプログラムがＨＤＤ１０４に格納されている。光ディスクドライブ４は、光ディスク１０へのデータの書き込み、および光ディスク１０からのデータの読み取りを行う。

入力Ｉ／Ｆ１０５には、キーボード３やマウス（図示せず）などの入力デバイスが接続されている。この入力Ｉ／Ｆ１０５は、入力デバイスからの信号を、内部バス１０８を介してＣＰＵ１０１に送信する。通信Ｉ／Ｆ１０６は、例えばＵＳＢ（Universal Serial Bus）規格などに準じた、周辺機器とのデータ伝送を行うためのＩ／Ｆ回路であり、本実施の形態では、ＩＣチップＲ／Ｗ５がケーブルを介して接続されている。グラフィックＩ／Ｆ１０７には、ディスプレイ２が接続されている。このグラフィックＩ／Ｆ１０７は、ＣＰＵ１０１からの命令に従って、ディスプレイ２の画面上に画像を表示させる。

図３は、情報処理装置の備えるソフトウェアインストールのための機能を示すブロック図である。この図３に示す機能は、ＨＤＤ１０４に記憶されたインストールプログラムをＣＰＵ１０１に実行させることで実現される。

図３において、インストール処理部１１１は、光ディスクドライブ４により光ディスク１０から読み出され、暗号処理部１１２を通じて供給されたソフトウェアファイルの展開・各種設定など、一連のインストール処理を実行する。このインストール処理部１１１は、後述するソフトウェアの一覧表示画面や案内画面などのＵ／Ｉ（ユーザインタフェース）画像の信号を生成してグラフィックＩ／Ｆ１０７に供給し、Ｕ／Ｉ画像をディスプレイ２に表示させる。そして、その表示画像に応じて入力Ｉ／Ｆ１０５を通じて入力された操作入力信号に応じて、インストール処理を実行する。

暗号処理部１１２は、光ディスク１０から読み取られたソフトウェアのファイルが暗号化されていた場合（すなわち、ソフトウェア暗号ファイルが読み出された場合）に、そのファイルを復号して、インストール処理部１１１に供給する。

認証処理部１１３は、インストール処理部１１１の要求により、光ディスク１０に搭載されたＩＣチップ１１との間でＩＣチップＲ／Ｗ５を介して通信を行う場合に、ＩＣチップ１１との間の相互認証処理を実行し、通信相手として正当なものであるか否かを判定する。そして、正当なものであると判定した場合に、ＩＣチップＲ／Ｗ５を通じたＩＣチップ１１へのアクセス（データの読み出しおよび書き込み）を許可する。

なお、これらの機能の一部またはすべては、内部バス１０８に接続されたハードウェアとして実現されてもよい。また、これらの機能を実現するインストールプログラムは、例えば読み出し専用の記録領域に記録されるなど、外部からの改変が防止された状態で記録されていることが望ましい。

次に、ＩＣチップ１１と情報処理装置１との間の相互認証機能の例について説明する。図４は、相互認証機能を備えたＩＣチップの構成例を示すブロック図である。
図４に示すように、ＩＣチップ１１は、通信回路１３、不揮発性メモリ１４、暗号コア１５、シーケンサ１６、およびレジスタ・Ｉ／Ｆ１７を具備している。また、通信回路１３にはアンテナ１２が接続されている。

通信回路１３は、アンテナ１２を介してＩＣチップＲ／Ｗ５との間でデータを非接触で送受信するための回路であり、送受信データの変復調や通信プロトコルに従ったデータ処理などを行う。また、ＩＣチップＲ／Ｗ５からの電波を受けてアンテナ１２に発生する電力を回路内部に伝送する機能を具備してもよい。不揮発性メモリ１４には、認証用の鍵情報（認証鍵）や、後述するソフトウェアファイルの識別情報、インストールのための鍵情報、利用制御情報などが格納される。また、暗号コア１５による暗号化のための共通鍵や初期値、乱数発生のための一時的な値なども記憶される。なお、これらの情報のうち必要なものは、書き換えが不可能な状態で記憶されていてもよい。

暗号コア１５は、例えばＤＥＳ（Data Encryption Standard）、ＡＥＳ（Advanced Encryption Standard）といった暗号方式を用いた共通鍵による暗号処理を実行する。暗号コア１５は、不揮発性メモリ１４に記憶されたデータを用いて、トークン（token）と呼ばれる送信権を示すデータや乱数の生成、通信回路１３を介して外部と送受信するデータの暗号化・復号などを行う。シーケンサ１６は、ＩＣチップ１１内の各ブロックを統括的に制御する。また、認証処理時の乱数の一致判定なども行う。レジスタ・Ｉ／Ｆ１７は、暗号コア１５や通信回路１３で処理されるデータを一時的に保持する。

図５は、ＩＣチップと情報処理装置との間の相互認証処理シーケンスの例を示す図である。
〔ステップＳ１０１〕情報処理装置１において、インストール処理部１１１などから相互認証処理が要求されると、認証処理部１１３は、ＩＣチップ１１に対して、相互認証処理を開始するためのコマンド“Ｇｅｔ＿ｃｈａｌｌｅｎｇｅ”を送信する。

〔ステップＳ１０２〕コマンドを受信したＩＣチップ１１は、乱数（ここではＲａとする）を生成して、認証処理部１１３に送信する。
〔ステップＳ１０３〕乱数Ｒａを受け取った認証処理部１１３は、乱数（Ｒｂとする）を生成する。また、このとき一時的な数値として“ｔｅｘｔ１”も生成する。

〔ステップＳ１０４〕認証処理部１１３は、生成した乱数Ｒｂおよび“ｔｅｘｔ１”と、ＩＣチップ１１からの乱数Ｒａを結合した値（Ｒｂ｜｜Ｒａ｜｜ｔｅｘｔ１とする）を生成し、この値を共通鍵である認証鍵Ｋｃで暗号化した値をトークン（ｔｏｋｅｎ１とする）として、ＩＣチップ１１に送信する。なお、認証鍵Ｋｃは、情報処理装置１内の例えばＨＤＤ１０４あるいはＲＯＭ１０２などに、あらかじめ格納されている。

〔ステップＳ１０５〕ＩＣチップ１１は、認証処理部１１３からの“ｔｏｋｅｎ１”を受け取り、認証鍵Ｋｃで復号して乱数Ｒａを取り出す。
〔ステップＳ１０６〕ＩＣチップ１１は、取り出した乱数と、ステップＳ１０２で生成した乱数とを比較する。

〔ステップＳ１０７〕ステップＳ１０６で、乱数が一致しなかった場合には、認証に失敗したものと判定して、処理を終了する。
〔ステップＳ１０８〕ステップＳ１０６で、乱数が一致した場合には、ＩＣチップ１１側が、認証処理部１１３を正しく認証したと判定する。

〔ステップＳ１０９〕ＩＣチップ１１は、一時的な数値として“ｔｅｘｔ２”を生成し、この“ｔｅｘｔ２”と、“ｔｏｋｅｎ１”から取り出した乱数Ｒｂと、乱数Ｒａとを結合した値（Ｒａ｜｜Ｒｂ｜｜ｔｅｘｔ２）を生成し、この値を認証鍵Ｋｃで暗号化し、トークン（ｔｏｋｅｎ２とする）として認証処理部１１３に送信する。なお、認証鍵Ｋｃは、ＩＣチップ１１内の不揮発性メモリ１４にあらかじめ格納されている。

〔ステップＳ１１０〕認証処理部１１３は、ＩＣチップ１１からの“ｔｏｋｅｎ２”を受け取り、認証鍵Ｋｃで復号して乱数Ｒｂを取り出す。
〔ステップＳ１１１〕取り出した乱数と、ステップＳ１０３で生成した乱数とを比較する。

〔ステップＳ１１２〕ステップＳ１１１で、乱数が一致しなかった場合には、認証に失敗したものと判定して、処理を終了する。
〔ステップＳ１１３〕ステップＳ１１１で、乱数が一致した場合には、認証処理部１１３側が、ＩＣチップ１１を正しく認証したと判定する。これにより、相互認証が正しく終了する。

なお、上記のステップＳ１０４では、ＩＣチップ１１に記録された情報を取得する際に、一時的な数値である上記の“ｔｅｘｔ１”“ｔｅｘｔ２”から一時的な共通鍵を生成し、この共通鍵を用いて情報を暗号化して転送してもよい。これにより、ＩＣチップ１１の記録情報をより安全に転送することができる。また、上記では共通鍵方式の認証処理を適用したが、これに限らず、例えば、ＩＣチップ１１内に認証局の公開鍵などを格納しておき、情報処理装置１の認証処理部１１３との間で公開鍵方式により相互認証を行うようにしてもよい。

次に、ソフトウェアインストールの手順について、具体的に説明する。図６は、ＲＯディスクおよびそのＩＣチップに記録される情報を示す図である。
光ディスク１０としてＲＯディスクを用いてソフトウェアが提供される場合、光ディスク１０のデータ領域には、１つまたは複数のソフトウェアファイルが書き換え不可能の状態で記録される。また、この光ディスク１０のＩＣチップ１１には、データ領域に記録された各プログラムファイルに対応する識別情報（例えばファイル名）と、それぞれに対応する鍵情報（実装鍵または復号鍵）および利用制御情報が記録される。さらに、相互認証処理に必要な情報として、認証鍵Ｋｃも記録される。

ＲＯディスクの場合にはデータ領域上のソフトウェアファイルが書き換え不可能であるので、対応するソフトウェアファイルの識別情報も、ＩＣチップ１１内に書き換え不可能な状態で記録される。また、これらの識別情報は、ユーザが容易にその内容を確認できるように、特に相互認証処理なしで外部からの読み出しが可能になっている。

ＩＣチップ１１内の鍵情報は、不正なツールによりこの鍵情報が読み取られて対応するソフトウェアが不正にインストールされることを防止するために、相互認証処理が正しく実行された場合にのみ、外部からの読み出しが可能となっている。また、データ領域内のソフトウェアファイルとの対応づけが維持されている必要があるため、鍵情報の書き換えは不可能になっている。

利用制御情報は、対応するソフトウェアファイルが今後何回インストール可能であるかを示す情報であり、ユーザが容易にその内容を確認できるように、相互認証処理なしで外部からの読み出しが可能となっている。また、不正なツールにより利用情報が改ざんされ、対応するソフトウェアが不正に何度もインストールされることを防止するため、利用制御情報は、相互認証処理が正しく実行された場合にのみ、書き換え可能になっている。なお、利用制御情報としては、このようなインストール可能な回数を示す情報のみならず、例えば単にインストールの可否を示す情報であってもよい。

認証鍵Ｋｃは、相互認証処理時においてＩＣチップ１１内でのみ利用されるので、外部からの読み出しも書き換えも不可能になっている。なお、識別情報および利用制御情報についても、読み出し時に相互認証処理が必要であってもよい。

図７は、ＲＷディスクおよびそのＩＣチップに記録される情報を示す図である。
光ディスク１０としてＲＷディスクを用いてソフトウェアが提供される場合でも、ＩＣチップ１１に記録される情報はＲＯディスクと同様である。ただし、光ディスク１０のデータ領域には、１つまたは複数のソフトウェアファイルが書き換え可能の状態で記録されるので、これらのソフトウェアファイルに対応するＩＣチップ１１内のすべての情報も、外部からの書き換えが可能になっている。そして、それらの情報の改ざんを防止するために、それらの書き換えには相互認証処理が必要となっている。なお、ソフトウェアファイルの識別情報および利用制御情報は、相互認証処理なしで外部からの読み出しが可能であり、鍵情報（実装鍵または復号鍵）は、相互認証処理が正しく実行された場合のみ、外部からの読み出しが可能となっている。また、ＲＯディスクの場合と同様、識別情報および利用制御情報についても、読み出し時に相互認証処理が必要であってもよい。

図８は、ソフトウェアインストール時における情報処理装置の処理手順を示すフローチャートである。なお、このフローチャートでは、参考のために、ユーザの操作手順についても並記している。

〔ステップＳ２０１〕まず、ユーザは、インストールしたいソフトウェアが記録された光ディスク１０を、情報処理装置１に接続されたＩＣチップＲ／Ｗ５にかざす。インストールプログラムがＣＰＵ１０１により実行された情報処理装置１では、インストール処理部１１１の要求により、ＩＣチップ１１に記録されたソフトウェアファイルの識別情報と、対応する利用制御情報とが、ＩＣチップＲ／Ｗ５により読み出される。インストール処理部１１１は、読み出された情報を認証処理部１１３を介して受け取り、識別情報に基づき、光ディスク１０に記録されたソフトウェアファイルのファイル名の一覧と、各ファイルに対応する利用制御情報の内容とを示す一覧表示画面を、ディスプレイ２に表示させる。

〔ステップＳ２０２〕ユーザは、表示された一覧表示画面を参照して、所望のソフトウェアがインストール可能であるか否かを確認することができる。そして、所望のソフトウェアのインストール可能回数が１以上である場合に、それに対応するソフトウェアファイルを選択する入力操作を行う。情報処理装置１のインストール処理部１１１は、選択入力を受け付けて、選択されたソフトウェアファイルを認識し、次に光ディスク１０をセットするようにユーザを案内するための案内画面を、ディスプレイ２に表示させる。

〔ステップＳ２０３〕ユーザは、案内画面に従って、光ディスク１０を情報処理装置１のディスクトレイにセットし、ローディングさせる。インストール処理部１１１は、光ディスクドライブ４に対して、光ディスク１０のデータ領域から、ステップＳ２０２で選択されたソフトウェアファイルの読み取りを実行させ、読み取られたソフトウェアファイルを取り込み、例えばＨＤＤ１０４などに記憶させる。

〔ステップＳ２０４〕インストール処理部１１１は、光ディスクドライブ４に対して光ディスク１０を排出させ、再び光ディスク１０をＩＣチップＲ／Ｗ５にかざすように案内する案内画面をディスプレイ２に表示させる。

〔ステップＳ２０５〕ユーザは、光ディスクドライブ４から光ディスク１０を取り出した後、その光ディスク１０をＩＣチップＲ／Ｗ５にかざす。認証処理部１１３は、インストール処理部１１１からの要求に応じて、ＩＣチップ１１との相互認証処理を実行する。なお、この処理の手順は図５で説明した通りである。

〔ステップＳ２０６〕認証処理部１１３は、ＩＣチップ１１との相互認証処理が正しく実行された場合に、ＩＣチップ１１から、ステップＳ２０２で選択されたソフトウェアファイルに対応する鍵情報を、ＩＣチップＲ／Ｗ５を介して読み出し、インストール処理部１１１に供給する。

〔ステップＳ２０７〕インストール処理部１１１は、供給された鍵情報を用いて、ステップＳ２０３で取り込んだソフトウェアファイルのインストール処理を実行する。例えば、ソフトウェアファイルが自己解凍ファイルである場合、鍵情報（実装鍵）を適用して自己解凍処理を実行させた後、解凍後の各種プログラムモジュールなどを情報処理装置１へ組み込み、必要な設定などを行う。また、ソフトウェアファイルが暗号化されている場合には、暗号処理部１１２に対して鍵情報（復号鍵）を供給してソフトウェアファイルの復号処理を実行させ、復号された各種プログラムモジュールなどの同様の組み込み、設定などの処理を実行する。なお、復号鍵は、ステップＳ２０６で認証処理部１１３からインストール処理部１１１に供給されずに、暗号処理部１１２に対して直接供給されてもよい。

〔ステップＳ２０８〕インストール処理部１１１は、認証処理部１１３およびＩＣチップＲ／Ｗ５を介してＩＣチップ１１にアクセスし、対応する利用制御情報を、そのインストール可能回数を１回減算するように書き換える。なお、この情報書き換えは、ステップＳ２０５での相互認証が確立した状態で行われるものであり、実際には例えば、ステップＳ２０６での鍵情報の読み出しに続いて、ステップＳ２０７のインストール処理の開始とともに実行される。

図９は、インストールするソフトウェアを選択するための一覧表示画面の表示例を示す図である。
図８のステップＳ２０１でディスプレイ２に表示される一覧表示画面は、例えば図９のように、光ディスク１０内に記録されたソフトウェアファイルに対応するソフトウェア名を示すアイコン２１〜２３の一覧と、各ソフトウェアに対応する利用制御に基づくインストール可能回数とが表示される。そして、ユーザの操作入力によりカーソル２４を移動させることで、インストールしたいソフトウェアを選択することができる。また、インストール可能回数の表示に基づき、インストールしたいソフトウェアがそれ以上インストールできなくなっている場合には、終了アイコン２５を選択してインストール処理を開始させないようにすることもできる。

従って、ユーザは、例えば所望のソフトウェアのインストールが不可能であるにもかかわらず、そのソフトウェアのファイルが記録された光ディスク１０を情報処理装置１に装填するといった無駄な操作を行うことがなくなる。また、データ領域の記録情報を読み取る前の時点で、単に光ディスク１０の内容を確認できるだけでなく、インストールするソフトウェアを選択できるので、操作の混乱をきたすことなく所望のソフトウェアを確実にインストールできるようになり、ユーザの利便性が向上する。

図１０は、インストール処理中における各種案内画面の表示例を示す図である。
図１０（Ａ）は、図８のステップＳ２０２において、光ディスク１０を光ディスクドライブ４にセットするようにユーザに案内するための画面である。また、図１０（Ｂ）は、図８のステップＳ２０４において、排出された光ディスク１０をＩＣチップＲ／Ｗ５に対してかざすようにユーザに案内するための画面である。このような案内画面を表示することにより、ＩＣチップＲ／Ｗ５が光ディスクドライブ４の外部に設けられた場合でも、ユーザが混乱なく操作し、インストールを正しく完了させることができるようになる。

図１１は、光ディスクに記録されたソフトウェアをインストールした場合のデータ領域およびＩＣチップの記録情報の変化の例を示す図である。
図１１（Ａ）に示した記録情報のうち、例えば“ソフトウェアファイルＡ”を、上記手順により情報処理装置１にインストールした場合には、図１１（Ｂ）に示すように、ソフトウェアファイルＡに対応する利用制御情報においては、インストール可能な回数が“３回”から“２回”に減算されることになる。

図１２は、ＲＷディスクに記録されたソフトウェアファイルを書き換える場合のデータ領域およびＩＣチップの記録情報の変化の例を示す図である。
ＲＷディスクの場合には、データ領域のソフトウェアファイルを書き換えることも可能である。図１２の例では、図１２（Ａ）のようにデータ領域に記録された３つのソフトウェアファイルＡ，Ｂ，Ｃをすべて消去し、図１２（Ｂ）のように他の３つのソフトウェアファイルＤ，Ｅ，Ｆを新たに書き込んでいる。この場合、ＩＣチップ１１内の識別情報、鍵情報、および利用制御情報は、例えば正当に購入したことを示すＩＤなどの入力により、所定の回数だけインストール可能な権利を情報処理装置１が正当に取得し、かつ、ＩＣチップ１１との相互認証処理が正しく実行された場合にのみ、新たなソフトウェアファイルに対応する情報に書き換えることができる。なお、ソフトウェアファイルを１つずつ消去や書き込みできるようにしてもよい。

このように、ソフトウェアファイルおよびそれに関連するＩＣチップ１１の情報を書き換え可能にしておくことにより、例えば、データ領域内のソフトウェアがインストール不可能になってしまった場合に、そのＲＷディスクの記憶容量を無駄にせず、新たなソフトウェアを著作権が保護された状態で記録することが可能となる。なお、ＲＷディスクへの書き込みの際に暗号化が必要な場合には、インストールプログラムの暗号処理機能（すなわち暗号処理部１１２）によりソフトウェアファイルを暗号化した後、光ディスク１０データ領域に記録するようにすればよい。

以上説明したように、光ディスク１０内のソフトウェアのインストール時において、上記のインストールプログラムを情報処理装置１で実行させることにより、それらのソフトウェアが不正にインストールされることを確実に防止し、かつ、ユーザが混乱を招くことなく、簡単な操作で正しくインストールを完了させることができるようになる。

すなわち、複製が非常に困難なＩＣチップ１１を光ディスク１０に搭載し、そのＩＣチップ１１に記録された鍵情報を相互認証後にのみ読み出し可能として、その鍵情報を利用しないと光ディスク１０のデータ領域内の対応するソフトウェアファイルをインストールできないようにしておくことで、データ領域のデータをビットバイビットで他の記録媒体にコピーされた場合に、そのデータを不正に利用（すなわちインストール）することができなくなる。また、相互認証後にのみ書き換え可能な利用制御情報をＩＣチップ１１に記録しておき、インストール時に利用可能回数を減じるようにすることで、ソフトウェアのインストール回数を安全に管理することができる。従って、ソフトウェアの著作権を確実に保護し、またその利用状態を確実に管理することが可能になる。

また、ユーザによる光ディスク１０の情報処理装置１への装填操作を１回、ＩＣチップＲ／Ｗ５に光ディスク１０をかざす回数を２回までとし、光ディスク１０の装填前にインストール可能なソフトウェアをユーザが選択可能とし、その後の操作を案内する各種の画面を順次表示することにより、上記構成のようにＩＣチップＲ／Ｗ５が光ディスクドライブ４の外部に設けられた場合を含めた様々な構成のシステムにおいて、ユーザが混乱なく操作し、インストールを正しく完了させることができるようになる。

また、光ディスク１０内のデータ領域には、単にソフトウェアファイルが記録されるだけで、上記のインストール手順を実現するためのプログラムなどは特に記録されず、情報処理装置１側の機能だけで上記のようなユーザの利便性を高めたシステムを提供できる。このため、ソフトウェア提供者側の開発費や製造コストなどの負担を小さくでき、またデータ領域への記録フォーマットなどを特に変えることなく、さらにデータ領域内の余分な記憶領域を使用することなく、上記のようにソフトウェアの著作権保護とユーザの利便性向上とを両立することができる。

《第２の実施の形態》
図１３は、本発明の第２の実施の形態に用いられる光ディスクおよびそのＩＣチップに記録される情報の例を示す図である。なお、ここでは例として、ＲＯディスクの場合について示しているが、記録される情報はＲＷディスクでも同じである。

本実施の形態では、第１の実施の形態で記録されていた情報に加えて、対応するソフトウェアファイルをインストール可能なデバイスあるいはソフトウェアの環境を示すインストール環境情報を、ＩＣチップ１１に記録する。このような情報としては、例えば、インストール可能なＣＰＵの種類やコンピュータの種類、メーカ名、ＯＳの種類、バージョンなどが適用できる。図１３では例として、インストール可能なＯＳの種類について記録している。

このようなインストール環境情報は、ソフトウェアファイルの識別情報や利用制御情報などと同様に、相互認証なしで外部からの読み出しが可能なようにしておく。また、このインストール環境情報は、ＲＯディスクでは書き換え不可とし、ＲＷディスクでは、ファイル名や識別情報などと同様に、相互認証処理が正しく実行された場合のみ書き換え可能としておく。

そして、例えば、上記の図８のステップＳ２０１において、識別情報および利用制御情報とともにインストール環境情報を読み込み、この情報処理装置１のデバイスやソフトウェアの状態に応じて、インストール可能なソフトウェアファイルのみを選択して、一覧表示画面に表示させる。図１３では、例えば情報処理装置１にＯＳとして“Ｗ−ＯＳ”がインストールされていた場合、情報処理装置１はステップＳ２０１において、ソフトウェアファイルＡおよびＢのみを選択して、それらのファイル名を一覧表示画面に表示させ、ユーザに選択させるようにする。これにより、ユーザに意識させることなく、インストールが可能なソフトウェアの情報のみをユーザに示し、インストールさせることが可能となる。例えば、対応ＯＳの異なる同じソフトウェアを同じ光ディスク１０で提供した場合に、対応するソフトウェアのみを確実にインストールさせることができる。また、ユーザがインストールが不可能なソフトウェアを選択して、無駄な処理が実行される事態を防止できる。

《第３の実施の形態》
図１４は、本発明の第３の実施の形態に用いられる光ディスクおよびそのＩＣチップに記録される情報の例を示す図である。なお、ここでは例として、ＲＯディスクの場合について示しているが、記録される情報はＲＷディスクでも同じである。

本実施の形態では、光ディスク１０のデータ領域に、ソフトウェアファイルとともに、このソフトウェアファイルをインストールするのに必要な実装鍵を、ディスクに固有なディスク鍵Ｋｍにより暗号化した状態で記録しておく。また、ディスク鍵ＫｍをＩＣチップ１１内に記録しておき、ソフトウェアファイルのインストール時に、実装鍵を復号するために読み出して用いるようにする。ディスク鍵Ｋｍは、相互認証処理が正しく実行された場合にのみ読み出し可能で、書き換えは不可とされる。

この実施の形態では、上記の第１および第２の実施の形態と比較すると、データ領域に複数のソフトウェアファイルを記録した場合に、ファイルごとの実装鍵をＩＣチップ１１に記録しておく必要がなく、鍵情報としてディスク鍵Ｋｍのみ記録しておけばよくなる。このため、ＩＣチップ１１に必要な記憶容量を小さくし、その製造コストを低減することができる。あるいは、ＩＣチップ１１内に、ソフトウェアのメタデータなど、ソフトウェアに関する他の情報をさらに記録することが可能となり、ソフトウェアのインストール開始時にそれらの情報を表示することなどができるようになる。

図１５は、第３の実施の形態に係る情報処理装置におけるソフトウェアインストール時の処理手順を示すフローチャートである。なお、このフローチャートでは、参考のために、ユーザの操作手順についても並記している。

〔ステップＳ３０１〜Ｓ３０２〕これらのステップでは、図８のステップＳ２０１〜Ｓ２０２と同様の処理が行われる。すなわち、情報処理装置１は、ＩＣチップ１１からソフトウェアファイルの識別情報と利用制御情報を読み出し、光ディスク１０に記録されたソフトウェアファイルのファイル名の一覧と、対応する利用制御情報の内容とを示す一覧表示画面を、ディスプレイ２に表示する。ユーザはその一覧表示画面から所望のソフトウェアを選択し、情報処理装置１は、ユーザからの選択入力を受け付けて、光ディスク１０をセットさせる案内画面を表示する。

〔ステップＳ３０３〕ユーザにより光ディスク１０が光ディスクドライブ４にセットされると、情報処理装置１のインストール処理部１１１は、光ディスク１０のデータ領域から、ステップＳ３０２で選択されたソフトウェアファイルと、それに対応する暗号化された実装鍵とを、光ディスクドライブ４を介して取り込み、ＨＤＤ１０４などに記憶させる。

〔ステップＳ３０４〕インストール処理部１１１は、光ディスクドライブ４に対して光ディスク１０を排出させ、再び光ディスク１０をＩＣチップＲ／Ｗ５にかざすように案内する案内画面をディスプレイ２に表示させる。

〔ステップＳ３０５〕ユーザは、光ディスクドライブ４から光ディスク１０を取り出して、ＩＣチップＲ／Ｗ５にかざす。認証処理部１１３は、インストール処理部１１１からの要求に応じて、ＩＣチップ１１との相互認証処理を実行する。

〔ステップＳ３０６〕認証処理部１１３は、ＩＣチップ１１との相互認証処理が正しく実行された場合に、ＩＣチップ１１からディスク鍵ＫｍをＩＣチップＲ／Ｗ５を介して読み出す。

〔ステップＳ３０７〕暗号処理部１１２は、読み出されたディスク鍵Ｋｍを用いて、ステップＳ３０３で読み出された実装鍵を復号する。インストール処理部１１１は、復号された実装鍵を用いて、ステップＳ３０３で読み込んだソフトウェアファイルのインストール処理を実行する。

〔ステップＳ３０８〕インストール処理部１１１は、認証処理部１１３およびＩＣチップＲ／Ｗ５を介してＩＣチップ１１にアクセスし、対応する利用制御情報を、そのインストール可能回数を１回減算するように書き換える。なお、図８の場合と同様、この情報書き換えは、ステップＳ３０５での相互認証が確立した状態で行われるものであり、実際には例えば、ステップＳ３０６での鍵情報の読み出しに続いて、ステップＳ３０７のインストール処理の開始とともに実行される。

以上の処理手順により、ソフトウェアの不正インストールが防止されるとともに、ユーザが混乱を招くことなく、簡単な操作で正しくインストールを完了させることができるようになる。すなわち、光ディスク１０内のソフトウェアファイルは、データ領域内の実装鍵を復号して用いないとインストールできないので、データ領域のデータをビットバイビットでコピーしても、コピー先の記録媒体からはソフトウェアファイルをインストールできない。また、実装鍵を復号するためのディスク鍵ＫｍはＩＣチップ１１に記録され、相互認証機能により不正なデバイスからの読み出しができないので、ディスク鍵Ｋｍを安全に管理できる。そして、上記の手順によりインストールを行うことで、インストールが完了するまでの間、ユーザが混乱することなく正確に操作することができるようになる。

なお、図１４では、ＲＯディスクにおける情報について示したが、ＲＷディスクの場合にも同じ情報が記録されればよい。この場合、データ領域内のソフトウェアファイルおよび暗号化された実装鍵、ＩＣチップ１１内の識別情報は、相互認証なしに読み出しが可能とされ、相互認証処理が正しく実行された場合のみ書き換えが可能な状態とされる。また、ソフトウェアファイルをデータ領域に追加する場合には、例えば情報処理装置１において、ＩＣチップ１１との相互認証処理を経た後、そのファイルに対応する識別情報および利用制御情報をＩＣチップ１１に書き込み、さらにＩＣチップ１１内のディスク鍵Ｋｍを読み出して、暗号処理部１１２により実装鍵を暗号化し、データ領域に書き込む。

また、上記の図１４および図１５では、データ領域に暗号化した実装鍵を記録する場合について説明したが、データ領域にソフトウェアファイルを暗号化して記録する場合には、このファイルを復号するための復号鍵を、ディスク鍵Ｋｍで暗号化して、データ領域に記録しておくことで、上記と同様の効果が得られる。この場合、インストール時には、上記図１５のステップＳ３０６で読み出したディスク鍵Ｋｍを用いて、データ領域の復号鍵を復号した後、さらにその復号鍵でソフトアウェアファイルを復号し、インストール処理を実行する。

《第４の実施の形態》
図１６は、本発明の第４の実施の形態に係る情報処理装置のハードウェア構成を示すブロック図である。なお、この図１６では、図２に対応する機能については同じ符号を付して示し、その説明を省略する。

上述した各実施の形態では、インストールプログラムを実行するＣＰＵと光ディスク１０上のＩＣチップ１１とが、互いに正当なデバイスとして認証された場合に、光ディスク１０内のソフトウェアの不正インストールを防止できるようになっている。しかし、一般にコンピュータ装置はオープンな仕様であり、上記手順がオープンな仕様上でのソフトウェアの実行により実現されるため、例えば解析ソフトウェアを用いることなどにより、鍵情報などの秘匿情報の出力が可能になるなど、完全な安全性を確保することは困難であると言える。

図１６に示す情報処理装置１ａは、このような不正なソフトウェアの実行などによる攻撃に対する防御機能が強化された構成を有しており、ＴＣＰ（Trusted Computing Platform）準拠のＣＰＵ（ＴＣＰ−ＣＰＵ）１０１ａ（またはＴＣＰ準拠のＣＰＵチップセット）を用いたことを主な特徴としている。このＴＣＰ−ＣＰＵ１０１ａを用いた構成では、汎用の内部バス１０８から隔離された領域にＲＯＭ１０２、ＲＡＭ１０３、ＨＤＤ１０４などを設けて、上述したＩＣチップ１１との相互認証などを含むインストール手順を実現するインストールプログラムをこれらの領域に記憶し、このプログラムをＴＣＰ−ＣＰＵ１０１ａが実行することにより、プログラムが安全に実行されるようになっている。また、これらの領域に記憶されるデータは、ＴＣＰ−ＣＰＵ１０１ａの相互認証・鍵交換（暗号化・復号）機能（図中“ＡＫＥ”と表記）により暗号化されるようになっており、これにより認証のための鍵情報などが漏洩した場合にも、情報の安全性を確保できるようになっている。

さらに、内部バス１０８には、この内部バス１０８との入出力段に相互認証・鍵交換機能（ＡＫＥ）を備えたデバイス（グラフィックＩ／Ｆ１０７ａ）が接続され、ＴＣＰ−ＣＰＵ１０１ａとの間でデバイスの相互認証を行い、暗号化したデータを送受信するようになっている。また、光ディスク１０内のソフトウェアのインストール処理では、このような相互認証・鍵交換機能（ＡＫＥ）をＩＣチップ１１が担っており、上述した相互認証処理と、暗号化したデータの送受信により、ＩＣチップ１１とＴＣＰ−ＣＰＵ１０１ａとの間で安全な情報交換を行うことが可能となる。

なお、上述した各実施の形態で説明した処理機能は、コンピュータによって実現することができる。その場合、上記の情報処理装置が有すべき機能（インストール処理部、暗号処理部、認証処理部など）の処理内容を記述したプログラムが提供される。そして、そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気ディスク、半導体メモリなどがある。

プログラムを流通させる場合には、例えば、そのプログラムが記録された光ディスクや半導体メモリなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムまたはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。

本発明の第１の実施の形態に係る情報処理装置および光ディスクの構成を概略的に示す図である。 第１の実施の形態に係る情報処理装置のハードウェア構成を示すブロック図である。 第１の実施の形態に係る情報処理装置の備えるソフトウェアインストールのための機能を示すブロック図である。 相互認証機能を備えたＩＣチップの構成例を示すブロック図である。 ＩＣチップと情報処理装置との間の相互認証処理シーケンスの例を示す図である。 第１の実施の形態に用いられるＲＯディスクおよびそのＩＣチップに記録される情報を示す図である。 第１の実施の形態に用いられるＲＷディスクおよびそのＩＣチップに記録される情報を示す図である。 第１の実施の形態に係る情報処理装置におけるソフトウェアインストール時の処理手順を示すフローチャートである。 インストールするソフトウェアを選択するための一覧表示画面の表示例を示す図である。 インストール処理中における各種案内画面の表示例を示す図である。 光ディスクに記録されたソフトウェアをインストールした場合のデータ領域およびＩＣチップの記録情報の変化の例を示す図である。 ＲＷディスクに記録されたソフトウェアファイルを書き換える場合のデータ領域およびＩＣチップの記録情報の変化の例を示す図である。 本発明の第２の実施の形態に用いられる光ディスクおよびそのＩＣチップに記録される情報の例を示す図である。 本発明の第３の実施の形態に用いられる光ディスクおよびそのＩＣチップに記録される情報の例を示す図である。 第３の実施の形態に係る情報処理装置におけるソフトウェアインストール時の処理手順を示すフローチャートである。 本発明の第４の実施の形態に係る情報処理装置のハードウェア構成を示すブロック図である。

符号の説明

１……情報処理装置、２……ディスプレイ、３……キーボード、４……光ディスクドライブ、５……ＩＣチップＲ／Ｗ、６……アンテナ、１０……光ディスク、１１……ＩＣチップ、１２……アンテナ、１３……通信回路、１４……不揮発性メモリ、１５……暗号コア、１６……シーケンサ、１７……レジスタ・Ｉ／Ｆ、１０１……ＣＰＵ、１０２……ＲＯＭ、１０３……ＲＡＭ、１０４……ＨＤＤ、１０５……入力Ｉ／Ｆ、１０６……通信Ｉ／Ｆ、１０７……グラフィックＩ／Ｆ、１０８……内部バス、１１１……インストール処理部、１１２……暗号処理部、１１３……認証処理部

Claims (18)

1. 光ディスクドライブを備え、ソフトウェアをインストールして実行可能な情報処理装置において、
   光ディスクに設けられたＩＣチップとの間で非接触で情報の送受信を行う通信手段と、
   前記通信手段を通じて、前記ＩＣチップの記録情報に対するアクセス許可を得るための前記ＩＣチップとの相互認証処理を実行する認証手段と、
   前記光ディスクのデータ領域に記録された１つ以上のソフトウェアをそれぞれ識別するための識別情報と、当該ソフトウェアのそれぞれのインストールの可否を示す利用制御情報とを、当該光ディスク上の前記ＩＣチップから前記通信手段を介して読み込み、読み込んだ前記識別情報に対応するソフトウェア名と対応する前記利用制御情報とを一覧表示した一覧表示画面をディスプレイに表示させる一覧表示画面生成手段と、
   前記一覧表示画面に応じたユーザからの選択入力に応じて、選択されたソフトウェアのデータを、前記光ディスクのデータ領域から前記光ディスクドライブを介して読み込むソフトウェア読み込み手段と、
   前記認証手段に前記ＩＣチップとの認証処理を実行させ、正しく認証された場合に、前記ソフトウェア読み込み手段により読み込まれたソフトウェアをインストールするために必要な鍵情報を、当該ＩＣチップから前記通信手段を介して読み込み、読み込んだ前記鍵情報を用いて当該ソフトウェアのインストール処理を実行するインストール処理手段と、
   前記インストール処理の開始時以後に、前記通信手段を介して前記ＩＣチップにアクセスし、インストール中のソフトウェアに対応する前記利用制御情報を更新する利用制御情報更新手段と、
   を有することを特徴とする情報処理装置。
2. 前記通信手段は、前記光ディスクドライブの外部に設けられていることを特徴とする請求項１記載の情報処理装置。
3. 前記ソフトウェア読み込み手段が、ユーザからの前記選択入力を受け付けたとき、前記光ディスクを前記光ディスクドライブにセットするようにユーザに案内するための案内画面を前記ディスプレイに表示させる案内画面生成手段をさらに有することを特徴とする請求項２記載の情報処理装置。
4. 前記ソフトウェア読み込み手段によるソフトウェアの読み込みが終了したとき、前記光ディスクドライブから前記光ディスクを取り出して、前記通信手段の近傍にかざすようにユーザに案内するための案内画面を前記ディスプレイに表示させる案内画面生成手段をさらに有することを特徴とする請求項２記載の情報処理装置。
5. 前記光ディスクのデータ領域に記録されたソフトウェアが自己解凍型の圧縮データである場合に、前記インストール処理手段は、前記鍵情報を適用して、対応する前記圧縮データの解凍処理を開始させることを特徴とする請求項１記載の情報処理装置。
6. 前記光ディスクのデータ領域に記録されたソフトウェアが暗号化データである場合に、前記インストール処理手段は、前記鍵情報を復号鍵として適用して、対応する前記暗号化データを復号することを特徴とする請求項１記載の情報処理装置。
7. 前記光ディスクに記録された各ソフトウェアをインストール可能なデバイスまたはソフトウェアの環境を示すインストール環境情報が、当該光ディスクの前記ＩＣチップに記録されていた場合、
   前記一覧表示画面生成手段は、前記識別情報および前記利用制御情報とともに前記インストール環境情報を前記ＩＣチップから読み込み、当該インストール環境情報に基づいて、前記情報処理装置内のデバイスまたはソフトウェアの環境に合致するソフトウェアに対応する前記ソフトウェア名および前記利用制御情報だけを、前記一覧表示画面に表示させる、
   ことを特徴とする請求項１記載の情報処理装置。
8. 光ディスクドライブを備え、ソフトウェアをインストールして実行可能な情報処理装置において、
   光ディスクに設けられたＩＣチップとの間で非接触で情報の送受信を行う通信手段と、
   前記通信手段を通じて、前記ＩＣチップの記録情報に対するアクセス許可を得るための前記ＩＣチップとの相互認証処理を実行する認証手段と、
   前記光ディスクのデータ領域に記録された１つ以上のソフトウェアをそれぞれ識別するための識別情報と、当該ソフトウェアのそれぞれのインストールの可否を示す利用制御情報とを、当該光ディスク上の前記ＩＣチップから前記通信手段を介して読み込み、読み込んだ前記識別情報に対応するソフトウェア名と対応する前記利用制御情報とを一覧表示した一覧表示画面をディスプレイに表示させる一覧表示画面生成手段と、
   前記一覧表示画面に応じたユーザからの選択入力に応じて、選択されたソフトウェアのデータと、当該ソフトウェアをインストールするために必要な鍵情報を暗号化した暗号化鍵情報とを、前記光ディスクのデータ領域から前記光ディスクドライブを介して読み込むソフトウェア読み込み手段と、
   前記認証手段に前記ＩＣチップとの認証処理を実行させ、正しく認証された場合に、前記ソフトウェア読み込み手段により読み込まれた前記暗号化鍵情報を復号するための、前記光ディスクに固有な情報からなるディスク鍵を、当該ＩＣチップから前記通信手段を介して読み込み、読み込んだ前記ディスク鍵を用いて当該暗号化鍵情報を復号した後、復号された情報を用いて、前記ソフトウェア読み込み手段により読み込まれたソフトウェアのインストール処理を実行するインストール処理手段と、
   前記インストール処理の開始時以後に、前記通信手段を介して前記ＩＣチップにアクセスし、インストール中のソフトウェアに対応する前記利用制御情報を更新する利用制御情報更新手段と、
   を有することを特徴とする情報処理装置。
9. 記録面にレーザビームを照射して得られる戻り光に応じて記録信号が再生される光ディスクにおいて、
   情報を記録する記録手段と、
   外部機器との間で非接触で情報を送受信する通信手段と、
   前記外部機器との間で前記通信手段を介して通信し、前記記録手段の記録情報に対するアクセスを許可するための相互認証処理を実行する認証手段と、
   を備えたＩＣチップが設けられ、
   前記記録面には、１つ以上のソフトウェアのデータが記録され、
   前記ＩＣチップの前記記録手段には、前記記録面に記録された各ソフトウェアの識別情報と、当該ソフトウェアのそれぞれのインストールに必要な鍵情報と、当該ソフトウェアのそれぞれのインストールの可否を示す利用制御情報とが少なくとも記録され、
   前記認証手段により前記外部機器との間で正しく相互認証された場合にのみ、当該外部機器に対する前記鍵情報の読み出しが可能とされ、
   前記認証手段により前記外部機器との間で正しく相互認証された場合にのみ、当該外部機器からの前記利用制御情報の書き換えが可能とされた、
   ことを特徴とする光ディスク。
10. 前記記録面に記録された情報が書き換え可能であるとき、
    前記認証手段により前記外部機器との間で正しく相互認証された場合にのみ、当該外部機器からの前記識別情報、前記鍵情報および前記利用制御情報の書き換えが可能とされたことを特徴とする請求項９記載の光ディスク。
11. 前記記録面には各ソフトウェアのデータが圧縮データとして記録され、
    前記記録手段に記録された前記鍵情報は、対応する前記圧縮データの解凍処理を開始させるための情報であることを特徴とする請求項９記載の光ディスク。
12. 前記記録面には各ソフトウェアのデータが暗号化データとして記録され、
    前記記録手段に記録された前記鍵情報は、対応する前記暗号化データを復号するための復号鍵であることを特徴とする請求項９記載の光ディスク。
13. 前記記録手段には、前記記録面に記録された各ソフトウェアをインストール可能なデバイスまたはソフトウェアの環境を示すインストール環境情報がさらに記録されていることを特徴とする請求項９記載の光ディスク。
14. 記録面にレーザビームを照射して得られる戻り光に応じて記録信号が再生される光ディスクにおいて、
    情報を記録する記録手段と、
    外部機器との間で非接触で情報を送受信する通信手段と、
    前記外部機器との間で前記通信手段を介して通信し、前記記録手段の記録情報に対するアクセスを許可するための相互認証処理を実行する認証手段と、
    を備えたＩＣチップが設けられ、
    前記記録面には、１つ以上のソフトウェアのデータと、当該ソフトウェアのそれぞれのインストールに必要な鍵情報を暗号化した暗号化鍵情報とが記録され、
    前記ＩＣチップの前記記録手段には、前記記録面に記録された各ソフトウェアの識別情報と、前記記録面に記録された前記暗号化鍵情報を復号するための、前記光ディスクに固有な情報からなるディスク鍵と、当該ソフトウェアのそれぞれのインストールの可否を示す利用制御情報とが少なくとも記録され、
    前記認証手段により前記外部機器との間で正しく相互認証された場合にのみ、当該外部機器に対する前記ディスク鍵の読み出しが可能とされ、
    前記認証手段により前記外部機器との間で正しく相互認証された場合にのみ、当該外部機器からの前記利用制御情報の書き換えが可能とされた、
    ことを特徴とする光ディスク。
15. 光ディスクドライブを備えた情報処理装置にソフトウェアをインストールするためのソフトウェアインストール方法において、
    情報読み込み手段が、光ディスクのデータ領域に記録された１つ以上のソフトウェアをそれぞれ識別するための識別情報と、当該ソフトウェアのそれぞれのインストールの可否を示す利用制御情報とを、当該光ディスク上に設けられたＩＣチップから非接触通信手段を介して読み込む情報読み込みステップと、
    一覧表示画面生成手段が、前記情報読み込みステップで読み込まれた前記識別情報に対応するソフトウェア名と対応する前記利用制御情報とを一覧表示した一覧表示画面をディスプレイに表示させる一覧表示画面生成ステップと、
    ソフトウェア読み込み手段が、前記一覧表示画面に応じたユーザからの選択入力に応じて、選択されたソフトウェアのデータを、前記光ディスクのデータ領域から前記光ディスクドライブを介して読み込むソフトウェア読み込みステップと、
    認証手段が、前記非接触通信手段を通じて、前記ＩＣチップの記録情報に対するアクセス許可を得るための当該ＩＣチップとの相互認証処理を実行する認証ステップと、
    前記認証ステップで正しく認証された場合に、インストール処理手段が、前記ソフトウェア読み込み手段により読み込まれたソフトウェアをインストールするために必要な鍵情報を、前記ＩＣチップから前記非接触通信手段を介して読み込み、読み込んだ前記鍵情報を用いて当該ソフトウェアのインストール処理を実行するインストール処理ステップと、
    利用制御情報更新手段が、前記インストール処理の開始時以後に、前記非接触通信手段を介して前記ＩＣチップにアクセスし、インストール中のソフトウェアに対応する前記利用制御情報を更新する利用制御情報更新ステップと、
    を含むことを特徴とするソフトウェアインストール方法。
16. 光ディスクドライブを備えた情報処理装置にソフトウェアをインストールするためのソフトウェアインストール方法において、
    情報読み込み手段が、光ディスクのデータ領域に記録された１つ以上のソフトウェアをそれぞれ識別するための識別情報と、当該ソフトウェアのそれぞれのインストールの可否を示す利用制御情報とを、当該光ディスク上に設けられたＩＣチップから非接触通信手段を介して読み込む情報読み込みステップと、
    一覧表示画面生成手段が、前記情報読み込みステップで読み込まれた前記識別情報に対応するソフトウェア名と対応する前記利用制御情報とを一覧表示した一覧表示画面をディスプレイに表示させる一覧表示画面生成ステップと、
    ソフトウェア読み込み手段が、前記一覧表示画面に応じたユーザからの選択入力に応じて、選択されたソフトウェアのデータと、当該ソフトウェアをインストールするために必要な鍵情報を暗号化した暗号化鍵情報とを、前記光ディスクのデータ領域から前記光ディスクドライブを介して読み込むソフトウェア読み込みステップと、
    認証手段が、前記非接触通信手段を通じて、前記ＩＣチップの記録情報に対するアクセス許可を得るための当該ＩＣチップとの相互認証処理を実行する認証ステップと、
    前記認証ステップで正しく認証された場合に、インストール処理手段が、前記ソフトウェア読み込み手段により読み込まれた前記暗号化鍵情報を復号するための、前記光ディスクに固有な情報からなるディスク鍵を、当該ＩＣチップから前記非接触通信手段を介して読み込み、読み込んだ前記ディスク鍵を用いて当該暗号化鍵情報を復号した後、復号された情報を用いて、前記ソフトウェア読み込み手段により読み込まれたソフトウェアのインストール処理を実行するインストール処理ステップと、
    利用制御情報更新手段が、前記インストール処理の開始時以後に、前記非接触通信手段を介して前記ＩＣチップにアクセスし、インストール中のソフトウェアに対応する前記利用制御情報を更新する利用制御情報更新ステップと、
    を含むことを特徴とするソフトウェアインストール方法。
17. ソフトウェアをインストールする処理をコンピュータに実行させるソフトウェアインストールプログラムにおいて、
    情報読み込み手段が、光ディスクのデータ領域に記録された１つ以上のソフトウェアをそれぞれ識別するための識別情報と、当該ソフトウェアのそれぞれのインストールの可否を示す利用制御情報とを、当該光ディスク上に設けられたＩＣチップから非接触通信手段を介して読み込む情報読み込みステップと、
    一覧表示画面生成手段が、前記情報読み込みステップで読み込まれた前記識別情報に対応するソフトウェア名と対応する前記利用制御情報とを一覧表示した一覧表示画面をディスプレイに表示させる一覧表示画面生成ステップと、
    ソフトウェア読み込み手段が、前記一覧表示画面に応じたユーザからの選択入力に応じて、選択されたソフトウェアのデータを、前記光ディスクのデータ領域から光ディスクドライブを介して読み込むソフトウェア読み込みステップと、
    認証手段が、前記非接触通信手段を通じて、前記ＩＣチップの記録情報に対するアクセス許可を得るための当該ＩＣチップとの相互認証処理を実行する認証ステップと、
    前記認証ステップで正しく認証された場合に、インストール処理手段が、前記ソフトウェア読み込み手段により読み込まれたソフトウェアをインストールするために必要な鍵情報を、前記ＩＣチップから前記非接触通信手段を介して読み込み、読み込んだ前記鍵情報を用いて当該ソフトウェアのインストール処理を実行するインストール処理ステップと、
    利用制御情報更新手段が、前記インストール処理の開始時以後に、前記非接触通信手段を介して前記ＩＣチップにアクセスし、インストール中のソフトウェアに対応する前記利用制御情報を更新する利用制御情報更新ステップと、
    を含む処理を前記コンピュータに実行させることを特徴とするソフトウェアインストールプログラム。
18. ソフトウェアをインストールする処理をコンピュータに実行させるソフトウェアインストールプログラムにおいて、
    情報読み込み手段が、光ディスクのデータ領域に記録された１つ以上のソフトウェアをそれぞれ識別するための識別情報と、当該ソフトウェアのそれぞれのインストールの可否を示す利用制御情報とを、当該光ディスク上に設けられたＩＣチップから非接触通信手段を介して読み込む情報読み込みステップと、
    一覧表示画面生成手段が、前記情報読み込みステップで読み込まれた前記識別情報に対応するソフトウェア名と対応する前記利用制御情報とを一覧表示した一覧表示画面をディスプレイに表示させる一覧表示画面生成ステップと、
    ソフトウェア読み込み手段が、前記一覧表示画面に応じたユーザからの選択入力に応じて、選択されたソフトウェアのデータと、当該ソフトウェアをインストールするために必要な鍵情報を暗号化した暗号化鍵情報とを、前記光ディスクのデータ領域から光ディスクドライブを介して読み込むソフトウェア読み込みステップと、
    認証手段が、前記非接触通信手段を通じて、前記ＩＣチップの記録情報に対するアクセス許可を得るための当該ＩＣチップとの相互認証処理を実行する認証ステップと、
    前記認証ステップで正しく認証された場合に、インストール処理手段が、前記ソフトウェア読み込み手段により読み込まれた前記暗号化鍵情報を復号するための、前記光ディスクに固有な情報からなるディスク鍵を、当該ＩＣチップから前記非接触通信手段を介して読み込み、読み込んだ前記ディスク鍵を用いて当該暗号化鍵情報を復号した後、復号された情報を用いて、前記ソフトウェア読み込み手段により読み込まれたソフトウェアのインストール処理を実行するインストール処理ステップと、
    利用制御情報更新手段が、前記インストール処理の開始時以後に、前記非接触通信手段を介して前記ＩＣチップにアクセスし、インストール中のソフトウェアに対応する前記利用制御情報を更新する利用制御情報更新ステップと、
    を含む処理を前記コンピュータに実行させることを特徴とするソフトウェアインストールプログラム。

Images