JP2008500671A - 複数の装置にまたがるアクセス認可 - Google Patents

Abstract

変換シーケンスのあるレベルの装置（１００）で取得される認証情報（１２５）が変換シーケンスの別のレベルの別の装置（２００）に安全に伝達される。伝達される認証情報（１２５）が以前に伝達された認証情報の単なるコピーではないことを保証するため、各伝達（１４５）は、受信装置（２００）が最近生成されたと検証できる項目（２５５）を含む。

Description

本発明はビデオ処理の分野に、特に保護されたコンテンツ素材の不正な視聴を防ぐための表示装置の制御に関する。

再生保護されたコンテンツ素材の不正なレンダリング（表現）を防ぐため、多様な技術が開発されてきた。準拠再生装置が素材を再生保護されていると識別する情報を検出し、その素材についての好適な認可情報を検出しないとすると、その装置はその保護されたコンテンツ素材のレンダリングを打ち切る。

素材を再生保護されていると識別するために使われる技術のいくつかは、ＭＰＥＧエンコードされたビデオストリームの変更のような、ビデオ情報をエンコードするために使われるフォーマット中の情報を識別することを提供する。他には、ＤＶＤ記録上の「ヘッダ」情報中など、素材とともに提供される補助情報中の情報を識別することを提供する技術もある。だが、そうした技術はどれも、最終的には従来式のビデオ情報を表示装置に提供するので、この「マークされていない」ビデオ情報の傍受を使ってコンテンツ素材の不正コピーを作成することができる。

保護されたビデオコンテンツ素材を識別するためのより堅牢な技術は、保護情報をビデオ画像に直接埋め込む。通常はこの埋め込まれた情報は透かしと称される。伝統的な紙の透かしと同じように、電子透かしは画質に影響せず、それでいて画像に著しい損傷を起こさず取り除くのが実質的に不可能なように設計される。

ビデオ画像中に再生保護識別情報を埋め込むことにより、表示装置によって再生保護が与えられる。それにより、素材がどのように表示装置に届くかに関わりなく、素材の不正な表示が防止される。準拠表示装置は常時画像情報をモニタリングしており、保護情報が検出されたのに、対応する認可情報が検出されない場合には、表示装置はその画像の表示を打ち切る。

保護されたコンテンツ素材の不正な表示を透かしを通じて防止することは、認可されたコンテンツ素材と不正なコンテンツ素材とを区別する能力を必要とする。すなわち、執行システムは、透かしが保護されたコンテンツ素材をレンダリングするための認可に対応していることを検証できなければならない。そうでなければその素材はレンダリングされない。

保護方式のセキュリティは、認可を判別する装置が、透かしを判別するものおよび／または透かしの認可を検証する装置と異なる装置である場合には脆弱である。認可がコンテンツ素材のデジタル形に基づいているのに、透かしの認証はデジタル情報がレンダリングのためにビデオ画像のような別の形に変換されたあとであり、かつデジタル変換がレンダリング装置内で実行されるのでない場合、変換装置とレンダリング装置との境でセキュリティ方式を破ることができる。認可されたレンダリングの間にレンダリング装置に伝達される認可情報のコピーを作り、そのコピーを不正なレンダリングのための偽の認可を提供するために使えばいいのである。

本発明の目的の一つは、装置間での透かしの認証のために好適なセキュリティシステムおよびプロトコルを提供することである。本発明のさらなる目的は、保護された素材の異なる変換レベルにおいてエンコードされているセキュリティ項目の認証を容易にするセキュリティプロトコルを提供することである。

これらの目的その他は、変換シーケンスのあるレベルで装置によって取得される認証情報が変換シーケンスの別のレベルにある別の装置に安全に伝達されるセキュリティプロトコルによって達成される。伝達された認可情報が単に以前伝達された認可情報のコピーではないことを保証するため、各伝達は受信装置が最近生成されたと検証できる項目を含む。

本発明についてさらに詳しく、例として付属の図面を参照しつつ説明する。

図面を通じて、同じ参照符号は同じ要素または実質的に同じ機能を果たす要素を指す。図面は解説の目的で収録されているのであって、本発明の範囲を限定することを意図したものではない。

本発明は、認証情報が一つの装置において判別され、その認証情報に基づいて、保護されたコンテンツ素材をレンダリングする認可の検証が別の装置で実行されるというビデオ処理システムを背景として紹介される。たとえば、Michael A. EpsteinおよびAntonius Starringのために2000年3月28日に出願された、米国特許出願09/536,944「自己参照セクションを介して完全なデータセットの存在の証明によりコンテンツ素材を不正な複製から保護すること」、代理人整理番号US000040はここに参照によって組み込まれるものであるが、この文献はコンテンツ素材を保護するための自己参照透かしの使用を紹介している。その名が示唆するように、自己参照透かしは、該透かしによって参照される情報に基づいて認証される。たとえば、保護素材のあるセグメントの透かしは、そのセグメント中の、あるいはその保護素材の別のセグメント中のバイトのある組み合わせのハッシュ値を含みうる。受信装置は各受信セグメント中のバイトの組み合わせのハッシュ値を計算し、もし計算されたハッシュ値が合えば対応する透かし、よって素材がオリジナル素材の改変されていないコピーとして検証される。この例では、受信データのハッシュは受信したコンテンツ素材がデジタル形式のときに計算される。上で論じたように、透かしがビデオ画像に埋め込まれる場合、透かし保護の執行のための好ましい位置は、最終的なアナログまたはデジタル形からの情報の視覚的な表示を提供するレンダリング装置のところである。デジタル情報を受け取って認証情報を計算する装置が透かし保護を執行するのに好ましい表示装置とは別だとすると、受信装置は認証情報を検証プロセスのために表示装置に伝達しなければならない。

同様にして、受信装置は認証情報を別のソースから受け取ってもよく、あるいは認証情報を提供するのが受信装置と表示装置のどちらとも異なる装置であってもよい。一つの装置で認証情報を生成し、別の装置で保護された素材がある形式から別の形式に変換される際の著作権保護を執行することにつながるこれらおよびその他の装置構成は、通常の当業者には明らか（evident）であろう。

図１は本発明に基づく例示的なレンダリングシステムを図解している。図のように、処理装置１００は保護されたコンテンツ素材を第一の形１０５で受け取り、その素材を表示に好適な第二の形１１５に処理モジュール１１０を介して変換する。表示装置２００は変換された情報１１５を受け取り、レンダリングモジュール２１０を介して表示画面２９０上に視覚像を与える。たとえば、処理装置１００はＤＶＤのフォーマットされたセグメントからデジタル情報１０５を読み、この情報をＳビデオ、ＮＴＳＣなどのような「ビデオ」フォーマット１１５に変換するＤＶＤプレーヤーであってもよい。「処理」装置および「表示」装置といった用語を使うのは単にコンテンツ素材の典型的なレンダリングの間にコンテンツ素材を逐次処理するのに使われる２つの装置を指定するためだけであることを注意しておく。当業者は本発明の原理は情報を逐次に処理するいかなる二つの装置にも一般に適用可能であることを認識するであろう。

処理装置１００は認証モジュール１２０を含んでいる。認証モジュール１２０は、受け取った素材１０５が認可されたものであるという検証を容易にする認証情報１２５を導出するよう構成されている。自己参照の例示的実施形態では、認証モジュール１２０は受け取った各セグメントのハッシュ値を決定するよう構成されている。認可された素材は、先に論じたようにこうしたハッシュ値に対応する透かしを含んでいるはずという想定である。透かしの検証を容易にする認証情報１２５を決定する他の手段は当技術分野において一般的である。

例示的なシステム１００では、透かしは情報１１５から判別可能である。著作権保護を執行する典型的なシステムでは、処理装置１００は情報１１５から透かしを判別するよう構成されており、判別された認証情報に基づいて保護された素材が認可済みと検証されない場合には表示装置への情報１１５の伝送を止める。しかし、先に注意したように、そのような保護方式は、この検証テストなしで表示装置２００に提供される保護素材の不正な視聴を防ぐことにはならない。

例示的なシステム１００では、表示装置２００は、透かし入れされた素材１１５が表示のために与えられるときには常に、検証モジュール２２０を介してコピー保護を施行する。このようにして、透かしが素材１１５または素材１１５のコピーに残っている限り保護が与えられることができる。

表示装置２００が透かしによって提供される保護を施行するため、透かし入れされた素材が認可されたものかどうかを判定するために、検証モジュールに認証素材１２５が与えられる必要がある。この例示的な自己参照の実施形態では、検証モジュールは、透かしと比較するために受け取ったセグメントのハッシュ値を必要とする。

処理装置１００から表示装置２００への認証情報１２５の安全な伝達を実施するためにはさまざまな方式が利用可能である。しかし、情報１２５は装置間で伝達されなければならないので、傍受されるおそれがある。情報１２５が傍受されてコピーされれば、このコピーされた認証情報を使ってその後の不正に素材１１５をレンダリングしたり素材１０５または１１５をコピーしたりすることが可能となる。

たとえば、前述した米国特許出願09/536,944の例示的な自己参照保護方式は保護された素材の広範な配布の可能性を減らすことを意図しており、そのためにインターネット上での通信のためには不十分な形でエンコードする。素材１０５が効率的なインターネット配布のために好適な圧縮形式に変換されているとすると、圧縮されたセグメントまたは再構築された非圧縮セグメントのハッシュは、一般的な圧縮フォーマットに内在するデータ損失のため、透かしに一致しなくなる。しかし、誰かがオリジナル素材１０５からの適正なハッシュ１２５のコピーを利用可能にすれば、圧縮素材から処理装置が生成する不適正なハッシュの代わりに適正なハッシュ１２５のコピーを表示装置に提供することで不正な圧縮コピーを表示装置でレンダリングできる。適正なハッシュが表示装置への伝送に先立って暗号化されるとしても、この暗号化された情報１４５のコピーをその後、素材１０５の圧縮コピーからの誤ったハッシュを暗号化したものの代わりに表示装置に提供できる。

本発明によれば、表示装置２００および処理装置１００は、表示装置２００に伝送１４５される情報が素材１１５の各表示と同時期に生成されていることを保証するよう構成される。図１の例示的な実施形態では、表示装置２００は、素材１１５の表示装置２００への提出のたびにトランザクション識別子２５５を生成するよう構成された、トランザクション識別情報発生器２５０を含んでいる。このトランザクション識別子２５５は認証情報１２５の提供者１００に伝達される。

本発明によれば、識別子２５５は認証情報１２５の各伝送に束縛される。図１の実施例では、その束縛は、識別子２５５を認証情報１２５に暗号化に先立って組み合わせる１３０ことによって達成される。暗号化は暗号化器１４０によるもので、処理装置１００に関連付けられている公開鍵‐秘密鍵のペア１５０の秘密鍵１５１を使う。暗号化された複合体１４５は表示装置に伝送され、復号器２４０によって復号される。復号された複合体２４５が検証モジュール２２０に与えられる。検証モジュール２２０は、受け取った各複合体２４５がトランザクション識別子２５５を含んでいることを検証するよう構成されている。トランザクション識別子２５５が各複合体２４５内に含まれていることを検証することによって、暗号化された素材１４５が現在のトランザクション識別子２５５の受領後に作成されたことが保証される。

検証モジュール２２０はまた、複合体２４５中の認証情報が素材１１５の認可に対応することを、素材１１５内に含まれる透かしに基づいて検証するようにも構成されている。その際使われる技法は当技術分野において一般的なものである。たとえば、認証情報が素材１０５のセグメントのハッシュ値を含む前述した自己参照の透かし入れシステムにおいては、検証モジュール２２０は素材１１５内にある透かしを対応する受け取ったハッシュ値と比較するよう構成されている。透かしがハッシュ値に一致すれば、素材はレンダリングが認可され、そうでなければ検証モジュールは素材１１５の画面２９０でのさらなるレンダリングを防止する。

図２は、処理装置１００から表示装置２００への認証情報の同時期の伝達を保証するためのセキュリティプロトコルの流れ図を示している。

３１０では、処理装置１００は公開鍵１５５を表示装置２００に伝達する。これは表示装置２００に新たなトランザクションの開始を予告するはたらきをする。あるいはまた、表示装置２００は、素材１１５に透かしが最初に検出されたときには常に公開鍵１５５を要求するよう構成されていてもよい。

３２０では、表示装置２００は公開鍵１５５を受け取り、トランザクション識別子２５５を生成する。トランザクション識別子２５５は処理装置１００に送られる。好ましくは、トランザクション識別子２５５はかなり一意的であり、たとえば新たなトランザクションのたびごとに生成される乱数、トランザクションごとにインクリメントされる通し番号、タイムスタンプなどである。表示装置２００はまた、不正トランザクションをさらにくじくため、公開鍵１５５が準拠処理装置１００に関連付けられていることを検証するように構成されていてもよい。

３３０では、処理装置１００は識別子２５５を受け取る。この識別子２５５はその後、この処理装置からの認証情報の各伝送に結び付けられる。これにより各伝送が表示装置２００がこのトランザクション識別子２５５を作成した時刻と同時期に生成されていることを検証するのである。

実施例では、処理装置１００は、識別子２５５と認証情報１２５両者の組み合わせを暗号化して暗号化情報１４５を形成することによって、識別子２５５を認証情報１２５に束縛する。この暗号化情報１４５が３４０で表示装置に伝達される。

３５０では、表示装置２００は識別子２５５と認証情報１２５の組み合わせを暗号化したものを、公開鍵１５５を使って復号する。３６０において、受け取られて復号された識別子ＩＤ′が送ったセッション識別子ＩＤ２５５と一致すれば、表示装置２００は処理装置１００から同時期の伝達を受け取っているが保証され、処理は続く。そうでなければ処理は３９５で打ち切られる。

３７０では保護素材から透かしＷＭが抽出される。

３８０では復号された情報Ｉｎｆｏ′が、透かし入れされた素材が認可されたものかどうかを判定するために使われる。例示的な自己参照透かし入れ処理では、復号された認証情報Ｉｎｆｏ′は受信セグメントのハッシュ値である。透かしＷＭが受信セグメントのハッシュ値に一致する場合、素材は認可されていると見なされ、３９０でレンダリングが続けられる。そうでなければ、３９５で処理は打ち切られる。工程３４０〜３９０はこのトランザクションが（典型的には受信素材全体がレンダリングされたあとに）打ち切られるまで続く。

受信機１００からの各送信は認証情報に束縛されたトランザクション識別子２５５を含んでいるため、表示装置２００に送信される暗号化情報１４５の同時期の生成が保証される。このようにして、他の何らかのトランザクションの間に生成された認証情報のコピーを代用して不正素材へのアクセスを認めることはできなくなる。

以上は本発明の原理を解説しているに過ぎない。よって、ここに明示的に記載または図示されてはいなくても本発明の原理を具現し、よって本発明の精神と範囲に含まれるさまざまな構成を当業者が考案できるであろうことは理解されるであろう。たとえば、識別子２５５は好ましくは処理装置からの各送信に束縛されるが、識別子２５５を処理装置１００からの送信全体よりも少ない一部に束縛することによって処理および送信時間が短縮されうる。同様にして、識別子２５５を送信に束縛するために使われる個別の方法は例示的な図で示したものとは異なっていてもよい。同様に、本発明の原理は、コンテンツ素材のソースが認証情報と同じソースであることを検証するために、ソースの秘密鍵を使ってコンテンツ素材の一部または全部を暗号化することを含め、追加的なセキュリティ管理施策の使用を排除するものではない。これらのことを含むさまざまなシステム構成および最適化特徴は、本開示を参照すれば通常の技量を有する当業者には明らかであろう。それらは付属の請求項の範囲に含まれる。
これらのものを含むさまざまなシステム構成および最適化特徴は本開示に鑑みれば当業者には明らかであろうものであり、付属の請求項の範囲に含まれる。

請求項を解釈する際には以下のことが理解されるべきである。
ａ）「有する」の語は所与の請求項に挙げられている以外の要素または動作の存在を排除しない。
ｂ）要素の単数形の表現はそのような要素の複数の存在を排除しない。
ｃ）請求項に参照符号があったとしてもそれは特許請求の範囲を限定するものではない。
ｄ）いくつかの「手段」は同一の項目、すなわちハードウェアまたはソフトウェアで実装される構造または機能によって表現されていてもよい。
ｅ）開示される要素のそれぞれは、ハードウェア部分（たとえば別個の電子回路および集積電子回路を含む）、ソフトウェア部分（たとえばコンピュータプログラミング）およびその任意の組み合わせから構成されうる。
ｆ）ハードウェア部分はアナログ部分およびデジタル部分の一方または両方から構成されうる。
ｇ）特別に断りのない限り、開示される装置またはその部分のいずれも、一緒に組み合わせたり、あるいはさらなる部分に分割したりされてもよい。
ｈ）特に示さない限り、動作のいかなる特定の序列も必要であるとは意図されていない。

本発明に基づくレンダリングシステムの例示的なブロック図である。 本発明に基づくセキュリティプロトコルの例示的な流れ図である。

Claims (26)

1. 第一の形のコンテンツ素材を受け取り、
   前記コンテンツ素材を第二の形に変換し、
   前記コンテンツ素材に対応する認証情報を決定する、
   よう構成された第一の装置と、
   前記第二の形のコンテンツ素材を受け取り、
   前記認証情報を受け取り、
   前記認証情報に基づいて前記コンテンツ素材を処理するかどうかを決定する、
   よう構成された第二の装置、
   とを有するレンダリングシステムであって、
   前記第二の装置が、前記第一の装置にトランザクション識別子を提供するようさらに構成されており、
   前記第一の装置が前記トランザクション識別子を前記第二の装置によって受け取られる前記認証情報に束縛するようさらに構成されており、
   前記第二の装置が前記コンテンツ素材を処理するかどうかを決定することを、前記認証情報に束縛された前記トランザクション識別子にも基づいて行うことを特徴とするシステム。
2. 前記第一の装置がメディアから前記コンテンツ素材を受け取るよう構成された受信器を含み、
   前記第二の装置がレンダリング装置を含む、
   ことを特徴とする、請求項１記載のレンダリングシステム。
3. 前記第一の装置がＤＶＤプレーヤーを含み、
   前記第二の装置がディスプレイを含む、
   ことを特徴とする、請求項１記載のレンダリングシステム。
4. 前記認証情報が前記第一の形のコンテンツ素材の少なくとも一部分と関連するハッシュ値を含んでおり、
   前記第二の装置が前記第二の形のコンテンツ素材から透かしを判別するよう構成されており、
   前記第二の装置が前記コンテンツ素材を処理するかどうかを決定することを、少なくとも部分的には前記ハッシュ値と前記透かしとの比較に基づいて行う、
   ことを特徴とする、請求項３記載のレンダリングシステム。
5. 前記トランザクション識別子がランダムな数に対応することを特徴とする、請求項４記載のレンダリングシステム。
6. 前記トランザクション識別子がランダムな数に対応することを特徴とする、請求項１記載のレンダリングシステム。
7. 前記第一の装置が前記トランザクション識別子を前記認証情報に束縛することを、前記トランザクション識別子と前記認証情報の組み合わせを暗号化することによって行う、
   ことを特徴とする、請求項１記載のレンダリングシステム。
8. 前記第一の装置が前記第二の装置に、前記トランザクション識別子および前記認証情報の組み合わせを復号することを可能にする公開鍵を提供する、
   ことを特徴とする、請求項７記載のレンダリングシステム。
9. 別の装置からのコンテンツ素材および認証情報を、該別の装置とのトランザクションの間に受け取るよう構成されているインターフェースと、
   前記コンテンツ素材のレンダリングを提供するよう構成されているレンダラーと、
   前記トランザクションの識別子を前記別の装置に提供するよう構成されているトランザクション識別モジュールと、
   前記識別子が、当該トランザクションの間の前記別の装置からの前記認証情報に束縛されていることを検証するよう構成されている検証モジュール、
   とを有することを特徴とするレンダリング装置。
10. 前記インターフェースが前記別の装置から公開鍵を受け取るようにも構成されており、
    当該レンダリング装置がさらに、
    前記別の装置からの送信を前記公開鍵を使って復号して前記認証情報および該認証情報に束縛された前記識別子を決定するよう構成されている復号モジュール
    を含む、
    ことを特徴とする、請求項９記載のレンダリング装置。
11. 前記検証モジュールが、前記識別子が前記認証情報に束縛されていないときにレンダリングを防止する、
    ことを特徴とする、請求項９記載のレンダリング装置。
12. 当該レンダリング装置が少なくとも一つの透かしを含んだ視覚像をレンダリングするためのディスプレイを含んでおり、
    前記検証モジュールが、前記透かしと前記認証情報に基づいて前記視覚像のレンダリングを防止するようさらに構成されている、
    ことを特徴とする、請求項９記載のレンダリング装置。
13. 前記検証モジュールが、前記透かしが前記認証情報に対応しないときにレンダリングを防止する、
    ことを特徴とする、請求項１２記載のレンダリング装置。
14. 前記識別子がランダムな数を含む、
    ことを特徴とする、請求項９記載のレンダリング装置。
15. コンテンツ情報が第一の形で受け取られ、
    前記認証情報が前記第一の形とは異なる第二の形の前記コンテンツ素材に対応するハッシュ値を含む、
    ことを特徴とする、請求項９記載のレンダリング装置。
16. 第一の形のコンテンツ素材を処理して第二の形の素材を形成するよう構成されたプロセッサと、
    前記第一の形のコンテンツ素材から認証情報を決定するよう構成された認証モジュールと、
    インターフェースであって：
    別の装置からトランザクション識別子を受け取り、
    前記トランザクション識別子を前記認証情報に束縛し、
    前記認証情報を前記束縛されたトランザクション識別子とともに前記別の装置に送信するよう構成されたインターフェース、
    とを有することを特徴とする処理装置。
17. 前記インターフェースが、
    前記トランザクション識別子と前記認証情報との組み合わせを暗号化し、それにより前記トランザクション識別子を前記認証情報に束縛するよう構成されている暗号化器を含む、
    ことを特徴とする、請求項１６記載の処理装置。
18. 前記暗号化器が前記組み合わせを暗号化するのを、当該処理装置の秘密鍵に基づいて行い、
    前記インターフェースが前記秘密鍵に対応する公開鍵を前記別の装置に送信するようさらに構成されている、
    ことを特徴とする、請求項１７記載の処理装置。
19. 前記認証モジュールが、前記第一の形のコンテンツ素材の一つまたは複数のセグメントに対応する一つまたは複数のハッシュ値を計算することによって前記認証情報を決定するよう構成されている、
    ことを特徴とする、請求項１６記載の処理装置。
20. 前記処理装置がＤＶＤプレーヤーを含み、
    前記別の装置が表示装置を含む、
    ことを特徴とする、請求項１６記載の処理装置。
21. コンテンツ素材を保護する方法であって；
    トランザクション識別子を送信し、
    コンテンツ素材および認証情報を受信し、
    前記トランザクション識別子が前記認証情報に束縛されているかどうかを判別し、
    前記トランザクション識別子が前記認証情報に束縛されているかどうかに基づいて前記コンテンツ素材の処理を管理する、
    ことを含むことを特徴とする方法。
22. 公開鍵を受け取り、
    前記公開鍵に基づいて前記認証情報を復号する、
    ことをさらに含むことを特徴とする請求項２１記載の方法。
23. 前記コンテンツ素材の処理を、前記コンテンツ素材中のセキュリティ項目および前記認証情報に基づいて管理することをさらに含むことを特徴とする、請求項２１記載の方法。
24. 前記セキュリティ項目が透かしであることを特徴とする、請求項２３記載の方法。
25. 前記認証情報が少なくとも前記コンテンツ素材の一部分に対応するハッシュ値を含むことを特徴とする、請求項２４記載の方法。
26. 前記トランザクション識別子がランダムな数を含むことを特徴とする、請求項２１記載の方法。
    

Images