JP2008508763A

JP2008508763A - 鍵暗号化鍵方式を使って暗号化されたネットワークコンテンツを提供および復号するための装置および方法

Info

Publication number: JP2008508763A
Application number: JP2007523180A
Authority: JP
Inventors: ポン，ヤン; ジン，ション; ホ，ダホア
Original assignee: Koninklijke Philips NV; Koninklijke Philips Electronics NV
Current assignee: Koninklijke Philips NV
Priority date: 2004-07-29
Filing date: 2005-07-04
Publication date: 2008-03-21
Also published as: KR20070039157A; CN1728262A; EP1774696A1; CN1989728A; WO2006013477A1; TW200704092A

Abstract

ネットワークを通じて受信した暗号化されたコンテンツを復号する方法および装置であって：前記暗号化されたコンテンツおよびある暗号化された第一の鍵を前記ネットワークを通じて受信し、前記第一の鍵は前記コンテンツの暗号化に関連付けられており、前記第一の鍵の暗号化にはある専用の第二の鍵が関連付けられているようなアプリケーションユニットと、記憶媒体から前記専用の第二の鍵を入手し、該専用の第二の鍵を使って前記暗号化された第一の鍵を復号して、前記アプリケーションユニットが前記暗号化されたコンテンツを復号するための前記第一の鍵を与える鍵管理ユニットとを有するものに関する。

Description

本発明は、ネットワークを通じて受信される暗号化されたコンテンツを復号するための装置に関する。本発明はさらに、ネットワークを通じて暗号化されたコンテンツを提供し、該暗号化されたコンテンツを復号するためのシステムであって、前記暗号化されたコンテンツを提供するサーバー、前記暗号化されたコンテンツを復号する前記装置および復号鍵を提供するための記憶媒体（たとえば記録担体または記録媒体）を含むシステムならびにその対応する方法およびソフトウェアプログラムに関する。

今日、コンテンツ保護は、コンテンツ提供者にとって、たとえば光ディスクまたはインターネットを通じてコンテンツを公開するときの主要な懸案の一つとなっている。サファイア（Sapphire）システムは粒度の細かい保護機構を提供し、CD2規格によって取り込まれている。サファイアシステムでは、ディスク上のコンテンツ（すなわちA/Vストリーム、ファイルなど）は暗号化され、対応する復号鍵がアセット鍵（またはアセットID）としてサファイア鍵ロッカーに保存される。

欧州特許出願03102257.7が記載するディスクプレーヤー、記録担体および方法は、上述したサファイアシステム保護機構を使うことによって、記録担体に保存されているデータに関係するネットワークデータを読み、保護するためのものである。

図１は、前記特許出願03102257.7のディスクプレーヤー、ディスクおよびサーバーを含むシステムを示すブロック概略図である。図１のシステムは、ディスク１２上に保存されている担体データ１２２に関係するネットワークデータを供給するためのディスクプレーヤー１１、ディスク１２およびネットワークユニット１３（たとえばサーバー）を含む。ネットワークユニット１３はインターネットを通じてディスクプレーヤー１１に接続されている。ディスクデータ１２２のほか、鍵ロッカー１２１がディスク１２上に保存される。詳細は図２に示す。図２は、鍵ロッカーの内容を図解する表を示している。サファイアシステムでは、鍵ロッカー１２１は通例、次の４つの列を含む表である：ディスクプレーヤーによって実行されるアプリケーションについての識別情報として、および該鍵ロッカーのサブセットへのアクセスを制限するために使われるアプリケーションID；同じ鍵において暗号化され、同じ使用権をもつファイル（の群）の識別情報として使われるアセットID；一般に対しては秘密に保たれることが要求される復号のための鍵として使われるアセット鍵；および未定義の書式および可変の長さをもつ権利文字列である。図１に示されたシステムでは、権利文字列はネットワークユニット１３のURLのようなネットワーク識別子を含み、アセット鍵はネットワークデータを復号するための復号鍵として使われる。

ディスクプレーヤー１１は二つの部分を含んでいる：記録担体１２からデータを読むためのドライブ１１１およびアプリケーションユニット１１２である。アプリケーションユニット１１２は、検査要素、アクセス要素および復号要素からなる。この欧州特許出願の間、アプリケーションユニット１１２のアクセス要素はまず、ネットワークユニット１３に対する特定のネットワークデータの要求を送る。次いで、ドライブ１１１は、記録担体からそのアプリケーションIDに従って権利文字列を取得し、取得された権利文字列をアプリケーションユニット１１２に送る。アプリケーションユニット１１２の検査要素は、権利文字列に保存されたURLが、前記ネットワークデータを提供している特定のネットワークユニット１３に一致するかどうかを検査する。もし一致すれば、アプリケーション１１２の復号要素は、ネットワークユニット１３によって提供されている暗号化されたネットワークデータを、その権利文字列に保存されている復号鍵で復号する。もし一致しなければ、ドライブ１１１はもう一度権利文字列を取得し、上記したプロセス全体がもう一度実行されることになる。

従来技術からは、アプリケーションユニットが前記ネットワークコンテンツを復号するために使う復号鍵がアセット鍵と同一であることが見て取れる。通例、アプリケーションユニットは、（ソフトウェア）アプリケーションを実行するためのハードウェアである。この（ソフトウェア）アプリケーションは、オペレーティングシステム（OS）またはコンピュータ上で走っているソフトウェアの場合と同様である。この場合、アプリケーションユニットで走っているアプリケーションは、コンピュータ上で走っているソフトウェアに対してハッカーがすることとちょうど同じようにして容易に攻撃／ハッキングされることができる。したがって、アプリケーションユニットによってネットワークコンテンツを復号するために使用され、一般からは秘密に保たれ、鍵公開に対して保護されるべきである前記復号鍵にアクセスすることは、比較的容易である。

したがって、秘密の鍵が攻撃される可能性を減らすのに効果的な、暗号化されたネットワークコンテンツを提供および復号するための新しいシステム、装置および方法を提供することが本発明の目的である。

本発明のある第一の側面によれば、この目的は、ネットワークを通じて受信した暗号化されたコンテンツを復号する装置であって：前記暗号化されたコンテンツおよびある暗号化された第一の鍵をネットワークを通じて受信し、前記第一の鍵は前記コンテンツの暗号化に関連付けられており、前記第一の鍵の暗号化にはある専用の第二の鍵が関連付けられているようなアプリケーションユニットと、記憶媒体から前記専用の第二の鍵を入手し、該専用の第二の鍵を使って前記暗号化された第一の鍵を復号して、前記アプリケーションユニットが前記暗号化されたコンテンツを復号するための前記第一の鍵を与える鍵管理ユニットとを有する装置によって達成される。

本発明のある第二の側面によれば、暗号化されたコンテンツを提供するサーバーと、前記暗号化されたコンテンツを復号する装置と、記憶媒体とを有する、暗号化されたコンテンツを提供および復号するシステムであって、前記サーバーはさらに：前記復号する装置からコンテンツダウンロードの要求を受信する受信器と；該要求に反応して第一の鍵を生成する生成器と；前記第一の鍵を使って前記コンテンツを暗号化し、前記第一の鍵をある専用の第二の鍵を使って暗号化して暗号化された第一の鍵を提供する暗号化器と；前記暗号化されたコンテンツおよび前記暗号化された第一の鍵を送信する送信器とを有するよう構成されており；前記暗号化されたコンテンツを復号する装置はさらに：前記暗号化されたコンテンツおよび暗号化された第一の鍵をネットワークを通じて受信し、前記第一の鍵は前記コンテンツの暗号化に関連付けられており、前記第一の鍵の暗号化にはある専用の第二の鍵が関連付けられているようなアプリケーションユニットと、記憶媒体から前記専用の第二の鍵を入手し、該専用の第二の鍵を使って前記暗号化された第一の鍵を復号して、前記アプリケーションユニットが前記暗号化されたコンテンツを復号するための前記第一の鍵を与える鍵管理ユニットとを有するよう構成されている、システムが提供される。

本発明のある第三の側面によれば、ネットワークを通じて受信した暗号化されたコンテンツを復号する方法であって：前記暗号化されたコンテンツおよびある暗号化された第一の鍵を前記ネットワークを通じて受信し、ここで、前記第一の鍵は前記コンテンツの暗号化に関連付けられており、前記第一の鍵の暗号化にはある専用の第二の鍵が関連付けられており；記憶媒体から前記専用の第二の鍵を入手し；該専用の第二の鍵を使って前記暗号化された第一の鍵を復号して、前記アプリケーションユニットが前記暗号化されたコンテンツを復号するための前記第一の鍵を与えるステップを有する方法が提供される。

本発明のある第四の側面によれば、ネットワークを通じて受信した暗号化されたコンテンツを復号するためのコンピュータプログラムであって：前記暗号化されたコンテンツおよびある暗号化された第一の鍵をネットワークを通じて受信し、ここで、前記第一の鍵は前記コンテンツの暗号化に関連付けられており、前記第一の鍵の暗号化にはある専用の第二の鍵が関連付けられているようなソフトウェア手段と、記憶媒体から前記専用の第二の鍵を入手し、該専用の第二の鍵を使って前記暗号化された第一の鍵を復号して、前記アプリケーションユニットが前記暗号化されたコンテンツを復号するための前記第一の鍵を与える第二のソフトウェア手段とを有するコンピュータプログラムが提供される。

出願人は、前記鍵管理ユニット（たとえばドライブ）が基本的には前記装置によって使用されるコンポーネントであり、それ自身の準拠規則（たとえばサファイアシステムに準拠する規則）を有しており、それ自身と前記アプリケーションユニットとの間の、サファイアシステムによってあらかじめ定義されている安全認証チャンネル（SAC: secure authentication channel）インターフェースを有しているということを留意する。したがって、一個のコンポーネントとしての前記鍵管理ユニットは、前記アプリケーションユニットに対して起こることのような攻撃が非常に困難である。

本発明の復号のためのシステム、装置および方法によれば、前記第二の鍵（すなわちアセット鍵）は前記アプリケーションユニットからは秘密に保たれる。アプリケーションユニットは、コンテンツダウンロードの要求に反応してランダムに生成される第一の鍵を使い、当該装置中でアセット鍵を知る唯一のユニットは、アプリケーションユニットに比べ比較的より安全でより安定な鍵管理ユニットである。この点で、本発明の装置および方法は、コンテンツ保護鍵（たとえばアセット鍵）が攻撃されるのを防止するのにより効果的である。

本発明の実施形態についてここで例として、付属の図面を参照しつつ論じる。図面において、同様の参照符号は同様の部分を指す。

図３では、本発明の第一の実施形態に従ってネットワークデータを提供および復号するシステムの構造が示されている。本システムは、暗号化されたコンテンツを提供するためのサーバー３１と、前記暗号化されたコンテンツを復号するためのディスクプレーヤー３２と、ディスクデータ１２２のほかに図２に示されたような鍵ロッカー１２１を保存するディスク３３を含んでおり、ディスクプレーヤー３２はネットワークを通じてサーバー３１と接続し、サーバーは前記ディスク上に保存されている鍵ロッカーについての情報を共有している。サーバーはさらに、ディスクプレーヤーからディスクデータに関係するネットワークコンテンツをダウンロードするための要求を受信する受信器（図示せず）を有しており、前記要求は、ディスク上に多様なディスクアプリケーションが保存されている場合に備えて好ましくはアプリケーションID（たとえば図２の鍵ロッカー中のアプリケーションID 2）を含んでいる。サーバーはさらに、前記要求に反応してパスフェーズをランダムに生成する生成器３１１を含んでいる。サーバーはさらに、コンテンツプール３１３に保存されている要求されたネットワークコンテンツを暗号化し、次いで前記ディスクと共有している鍵ロッカーから選択されたアセット鍵、たとえば図２に示されるような鍵ロッカー中のアセット鍵ASDF1234の使用により前記パスフェーズを暗号化する暗号化器３１２を含んでいる（以下、該アセット鍵は、鍵ロッカー中に保存されている他のアセット鍵と区別するために専用のアセット鍵と呼ぶ。専用のアセット鍵は他のランダムに生成されたパスフェーズを暗号化するためにも選択されることができる）。サーバーはさらに、前記暗号化されたコンテンツ、暗号化されたパスフェーズおよび前記専用のアセット鍵に関連付けられたアセットID、たとえば図２のアセットID 80を送る送信器を含んでいる。

ディスクプレーヤー３２は、前記暗号化されたコンテンツ、暗号化されたパスフェーズおよび関連付けられたアセットIDをサーバー３１から受信し、前記パスフェーズで前記暗号化されたコンテンツを復号するアプリケーションユニット３２１と、前記関連付けられたアセットIDに従ってディスク３３に保存されている鍵ロッカー１２１から前記専用のアセット鍵を取得し、該専用のアセット鍵で前記暗号化されたパスフェーズを復号してアプリケーションユニットのために前記パスフェーズを提供するドライブ３２２とを有している。

前記アプリケーションユニット３２１はさらに、前記暗号化されたコンテンツ、暗号化されたパスフェーズおよびアセットIDをサーバーから受信し、暗号化されたパスフェーズをドライブに送り、ドライブから復号されたパスフェーズを受信するためのアクセス要素と；該復号されたパスフェーズの使用によって前記暗号化されたコンテンツを復号するための復号要素とを含んでいる。ドライブ３２２はさらに、アセットIDに従って前記専用のアセット鍵をディスク上に保存されている鍵ロッカーから取得し、復号されたパスフェーズを安全認証チャネル（SAC）を介してアプリケーションユニットに渡すためのアクセス要素と、取得された専用のアセット鍵を使ってアプリケーションユニットから受信した暗号化されたパスフェーズを復号するための復号要素とを含んでいる。

本発明の第一の実施形態のシステムによってネットワークデータを提供および復号するプロセスについて以下に述べる。

まず、アプリケーションユニットのアクセス要素がコンテンツダウンロードの要求をサーバーに送る。次いで、サーバーは、該要求に反応してパスフェーズをランダムに生成する。ここで、コンテンツダウンロードの要求は、ランダムなパスフェーズの生成手順にとっては任意的であり、サーバーは時間に基づいてパスフェーズを生成することもできる。次いで、サーバーは該パスフェーズを用いて要求されたネットワークコンテンツを暗号化し、そのパスフェーズを専用のアセット鍵で暗号化する。

アセットID、暗号化されたパスフェーズおよび暗号化されたコンテンツを含むデータがアプリケーションユニットに送られ、そこで、アセットIDおよび暗号化されたパスフェーズがドライブに送られる。ドライブは暗号化されたパスフェーズとアセットIDをアプリケーションユニットから受け取り、次いでアセットIDに従ってアセット鍵を、ディスク上の鍵ロッカーから取得する。次いで、ドライブは取得されたアセット鍵を用いてパスフェーズを復号し、復号されたパスフェーズをアプリケーションユニットにSACを介して送る。最後に、アプリケーションユニットがドライブによって送られた復号されたパスフェーズを使うことによって暗号化されたコンテンツを復号する。

上の記述から、ネットワークを通じて受信されたコンテンツを復号するプロセス全体において、アプリケーションユニットは厳密には直接的にアセット鍵を保持し、扱うことはしていない。そうではなく、アプリケーションユニットが使用するのは、ネットワークコンテンツを復号するための、ランダムに生成されたパスフェーズである。したがって、アセット鍵がアプリケーションユニットから取得される可能性は実質的に0である。しかも、本発明の上記の実施形態はディスク上に保存されている鍵ロッカー中の権利文字列フィールドを使用しないので、権利文字列の列は空白のままとされている。権利文字列フィールドを使用するかどうかは用途による。

本発明の第二の実施形態に従ってネットワークデータを提供および復号するシステムの構造が図４に示されている。図３と図４のシステム間の相違は、図４のアプリケーションユニット４２１の生成器３１１がさらに、列の長さ、あるビットの定義といった所定のデータ構造に従う試験列（すなわちビット列）を生成し、アプリケーションユニット４２１はさらに、復号要素がネットワークコンテンツを復号するためのパスフェーズを取得する取得要素を有していることである。

本発明の第二の実施形態に従って図４のシステムによってネットワークデータを提供および復号するプロセスについて以下に述べる。

図４では、アプリケーションユニット４２１のアクセス要素がコンテンツダウンロードの要求をサーバー３１に送る。次いで、サーバーの生成器３１１は、該要求に反応してパスフェーズおよび試験列をランダムに生成する。上述したように、前記要求は、パスフェーズの生成にとっては任意的であり、生成器は時間に基づいて前記のデータを生成することもできる。サーバーの暗号化要素３１２が該生成されたパスフェーズを用いてコンテンツプール内に保存されているコンテンツを暗号化し、そのパスフェーズおよび試験列を専用のアセット鍵で暗号化する。この専用のアセット鍵は、ディスク３３と共有されている鍵ロッカーの情報から選択される。サーバーの送信器（図４には示さず）は暗号化されたコンテンツ、暗号化されたパスフェーズおよび試験列をディスクプレーヤー３２に送る。

ディスクプレーヤーのアプリケーションユニット４２１のアクセス要素が暗号化されたパスフェーズおよび試験列をドライブ３２２に転送する。ドライブ３２２のアクセス要素は、ディスク３３上に保存されている鍵ロッカー１２１から、そのアプリケーションIDに関連付けられている項目中のアセット鍵のすべてを読む。読まれたアセット鍵のうちには、パスフェーズおよび試験列を暗号化するためにサーバーが選択した専用のアセット鍵が含まれている。次いで、ドライブの復号要素は、読まれたアセット鍵の一つ一つを用いてパスフェーズおよび試験列を復号して、アプリケーションユニット４２１に、一つ一つのアセット鍵に関して復号されたパスフェーズおよび試験列の対を提供する。アプリケーションユニット４２１のアクセス要素がそれらの対をドライブから受け取ったのち、アプリケーションユニット４２１の取得要素は、復号された試験列が所定のデータ構造に従うような、復号されたパスフェーズおよび試験列のある対を取得する。次いで、アプリケーションユニットの復号要素は、取得されたパスフェーズを使うことによって、サーバーから受信した暗号化されたコンテンツを復号するのである。

まとめると、ネットワークデータを提供および復号するためのシステム、装置および方法が開示された。当業者は本発明に対して、付属の請求項に記載される保護範囲にはいるいかなる修正、追加および挿入をもなしうるものであることは理解できるものである。

たとえば、第二の実施形態によれば、サーバー３１の暗号化要素は専用のアセット鍵を用いて試験列を暗号化する。しかし、当業者は該暗号化要素がパスフェーズを用いて試験列を暗号化することもできることを考えられる。この場合、ドライブ３２２の復号要素は、暗号化されたパスフェーズだけを読まれたアセット鍵の一つ一つを用いて復号し、複数の復号されたパスフェーズをアプリケーションユニット４２１のアクセス要素に与える。次いで、アプリケーションユニットの復号要素は復号されたパスフェーズの一つ一つを用いて暗号化された試験列を復号し、復号された試験列およびパスフェーズの対を取得要素に提供して、復号された試験列およびパスフェーズの対で試験列が所定のデータ構造に従うものを取得するようにする。次いで、アプリケーションユニットの復号要素は、取得されたパスフェーズを用いて、サーバーからの暗号化されたコンテンツダウンロードを復号する。

さらに、本発明のすべての実施形態において、ネットワークコンテンツはパスフェーズによって暗号化され、パスフェーズは専用のアセット鍵によって暗号化される。当業者は、ネットワークコンテンツおよびパスフェーズの暗号化に関していかなる代替を行ってもよいことを理解できる。たとえば、ネットワークコンテンツはコンテンツ保護鍵（たとえば専用のアセット鍵）によって完全には暗号化されず、単に部分的に暗号化されるだけである。たとえばファイルヘッダ／重要なパラメータ／または特定の部分だけが暗号化される。一方、パスフェーズは、暗号化されたコンテンツ保護鍵のみならず、コンテンツのどの部分が暗号化されているかを示す何らかのデータをも含むことになる。

さらに、諸実施形態において、ネットワークデータを復号する装置はディスクプレーヤーであるが、当業者は、記憶媒体上に保存されたデータを読むドライブをもつコンピュータのようなその他の装置を予期できる。ディスクプレーヤーのドライブの機能は、コンパクトなフラッシュカード（たとえばICカードまたはUSBメモリスティック）中の鍵管理ユニットにより、あるいは記録担体に固定されたチップ（いわゆるチップ・イン・ディスク技術）により満たされることもできる。

従来技術に従ってネットワークデータを提供および復号する、ディスクプレーヤー、サーバーおよび記録担体を含むシステムの構造を示すブロック概略図である。図１の記録担体上に保存されている鍵ロッカーの表である。本発明の第一の実施形態に従ってネットワークデータを提供および復号する、ディスクプレーヤー、サーバーおよび記録担体を含むシステムの構造を示すブロック概略図である。本発明の第二の実施形態に従ってネットワークデータを提供および復号する、ディスクプレーヤー、サーバーおよび記録担体を含むシステムの構造を示すブロック概略図である。

Claims

ネットワークを通じて受信した暗号化されたコンテンツを復号する装置であって：
前記暗号化されたコンテンツおよびある暗号化された第一の鍵をネットワークを通じて受信し、前記第一の鍵は前記コンテンツの暗号化に関連付けられており、前記第一の鍵の暗号化にはある専用の第二の鍵が関連付けられているようなアプリケーションユニットと、
記憶媒体から前記専用の第二の鍵を入手し、該専用の第二の鍵を使って前記暗号化された第一の鍵を復号して、前記アプリケーションユニットが前記暗号化されたコンテンツを復号するための前記第一の鍵を与える鍵管理ユニット、
とを有することを特徴とする装置。
前記アプリケーションユニットがさらに、ネットワークを通じてある指数を取得するよう構成されていることを特徴とする、請求項１記載の装置。
前記指数が前記専用の第二の鍵に対応するデータであることを特徴とする、請求項２記載の装置。
前記鍵管理ユニットがさらに、前記指数に従って前記記憶媒体から前記専用の第二の鍵を取得するよう構成されていることを特徴とする、請求項３記載の装置。
前記アプリケーションユニットが：
前記暗号化されたコンテンツ、前記暗号化された第一の鍵および前記指数をネットワークを通じて受信し、前記暗号化された第一の鍵および指数を前記鍵管理ユニットに転送するためのアクセス要素と；
前記鍵管理ユニットからの前記第一の鍵を使うことによって前記暗号化されたコンテンツを復号するための第一の復号要素、
とを有することを特徴とする、請求項４記載の装置。
前記鍵管理ユニットが：
前記指数に従って前記記憶媒体から前記専用の鍵を取得するための第二のアクセス要素と、
該第二のアクセス要素からの前記専用の第二の鍵を使うことによって前記暗号化された第一の鍵を復号して、前記第二のアクセス要素が前記アプリケーションユニットに転送するための前記第一の鍵を提供するための第二の復号要素、
とを有することを特徴とする、請求項５記載の装置。
前記指数が、所定のデータ構造に従うデータを暗号化したものであることを特徴とする、請求項２記載の装置。
前記鍵管理ユニットがさらに、前記記憶媒体から前記専用の第二の鍵を含む複数の第二の鍵を読み、その第二の鍵のそれぞれを使うことによって前記暗号化された第一の鍵および前記指数を復号して復号された第一の鍵および復号された指数の複数の対を与えるよう構成されていることを特徴とする、請求項７記載の装置。
前記アプリケーションユニットが、前記鍵管理ユニットからの、前記所定のデータ構造に従った復号された指数と復号された第一の鍵のある対を取得し、その取得された第一の鍵を使うことによって前記暗号化されたコンテンツを復号するようさらに構成されていることを特徴とする、請求項８記載の装置。
前記アプリケーションユニットが：
前記暗号化されたコンテンツ、前記暗号化された第一の鍵および前記指数をネットワークを通じて受信し、前記暗号化された第一の鍵および前記指数を前記鍵管理ユニットに転送し、前記鍵管理ユニットから復号された指数と復号された第一の鍵の前記複数の対を受け取るためのアクセス要素と；
前記所定のデータ構造に従った復号された指数と復号された第一の鍵のある対を取得するための第一の取得要素と、
その取得された第一の鍵を使うことによって前記暗号化されたコンテンツを復号するための第一の復号要素、
とを有することを特徴とする、請求項９記載の装置。
前記鍵管理ユニットが：
前記記憶媒体から複数の第二の鍵を読むための第二のアクセス要素と、
その複数の第二の鍵のそれぞれを使うことによって前記暗号化された第一の鍵および前記指数を復号して、前記第二のアクセス要素が前記アプリケーションユニットに転送するための、復号された第一の鍵および復号された指数の複数の対を与えるための第二の復号要素、
とを有することを特徴とする、請求項１０記載の装置。
前記アプリケーションユニットがさらに、前記鍵管理ユニットからの複数の復号された第一の鍵を使うことによって前記指数を復号して復号された指数と復号された第一の鍵の複数の対を与え、前記所定のデータ構造に従った復号された指数と復号された第一の鍵のある対を取得し、その取得された第一の鍵を使うことによって前記暗号化されたコンテンツを復号するよう構成されていることを特徴とする、請求項７記載の装置。
前記アプリケーションユニットが：
前記暗号化されたコンテンツ、前記暗号化された第一の鍵および前記指数をネットワークを通じて受信し、前記暗号化された第一の鍵を前記鍵管理ユニットに転送し、前記鍵管理ユニットから複数の復号された第一の鍵の対を受け取るためのアクセス要素と；
前記鍵管理ユニットからの前記複数の復号された第一の鍵を使うことによって前記指数を復号して復号された指数と復号された第一の鍵の複数の対を与えるための第一の復号要素と、
前記所定のデータ構造に従った復号された指数および復号された第一の鍵のある対を取得し、その取得された第一の鍵により前記第一の復号要素が前記暗号化されたコンテンツを復号するようにする第一の取得要素、
とを有することを特徴とする、請求項１２記載の装置。
前記鍵管理ユニットが：
前記記憶媒体から前記複数の第二の鍵を読むための第二のアクセス要素と、
前記複数の第二の鍵のそれぞれを使うことによって前記暗号化された第一の鍵を復号して、前記第二のアクセス要素が前記アプリケーションユニットに転送するための前記複数の復号された第一の鍵を提供するための第二の復号要素、
とを有することを特徴とする、請求項１３記載の装置。
ネットワークを通じて受信した暗号化されたコンテンツを復号するためのコンピュータプログラムであって：
前記暗号化されたコンテンツおよびある暗号化された第一の鍵をネットワークを通じて受信し、ここで、前記第一の鍵は前記コンテンツの暗号化に関連付けられており、前記第一の鍵の暗号化にはある専用の第二の鍵が関連付けられているようなソフトウェア手段と、
記憶媒体から前記専用の第二の鍵を入手し、該専用の第二の鍵を使って前記暗号化された第一の鍵を復号して、前記アプリケーションユニットが前記暗号化されたコンテンツを復号するための前記第一の鍵を与える第二のソフトウェア手段、
とを有することを特徴とするコンピュータプログラム。
請求項１５記載のコンピュータプログラムを含むことを特徴とする記録担体。
暗号化されたコンテンツを提供するサーバーと、前記暗号化されたコンテンツを復号する装置と、記憶媒体とを有する、暗号化されたコンテンツを提供および復号するシステムであって、
前記サーバーはさらに：
前記復号する装置からコンテンツダウンロードの要求を受信する受信器と；
該要求に反応して第一の鍵を生成する生成器と；
前記第一の鍵を使って前記コンテンツを暗号化し、前記第一の鍵をある専用の第二の鍵を使って暗号化して暗号化された第一の鍵を提供する暗号化器と；
前記暗号化されたコンテンツおよび前記暗号化された第一の鍵を送信する送信器、
とを有するよう構成されており、
前記装置が請求項１ないし１４のうちいずれか一項記載のようであることを特徴とするシステム。
ネットワークを通じて受信された暗号化されたコンテンツを復号する方法であって：
前記暗号化されたコンテンツおよびある暗号化された第一の鍵をネットワークを通じて受信し、ここで、前記第一の鍵は前記コンテンツの暗号化に関連付けられており、前記第一の鍵の暗号化にはある専用の第二の鍵が関連付けられており；
記憶媒体から前記専用の第二の鍵を入手し；
該専用の第二の鍵を使って前記暗号化された第一の鍵を復号して、前記アプリケーションユニットが前記暗号化されたコンテンツを復号するための前記第一の鍵を与える、
ステップを有することを特徴とする方法。