JP2009094590A - 耐タンパ機能を有する上映装置 - Google Patents

Abstract

【課題】本発明は、耐タンパ機能を実現すると同時に、運用と保守の利便性を損なわないようにすることを実現する新たな上映装置の提供を目的とする。
【解決手段】外部から送られてくる暗号化されたコンテンツおよびライセンスメッセージを保管する手段と、秘密鍵を保管して、ライセンスメッセージを復号することでコンテンツの暗号鍵を取り出す手段と、取り出された暗号鍵を用いて、コンテンツを復号する手段と、装置に保守端末を接続する機能を提供する手段とを備える。さらに、コンテンツへのアクセスを防止するために、これらの各手段を取り囲む筐体壁を備える。この筐体壁には、コンテンツ管理者がコンテンツの管理行うための鍵付き扉が設けられるとともに、保守作業者が保守端末を接続して保守を行うための鍵付き扉が設けられる。コンテンツ管理者と保守作業者の権限を分離するため、これらの扉には異なった鍵が取り付けられる。
【選択図】図１

Description

本発明は、暗号化されたコンテンツの復号機能と、復号処理に用いる暗号鍵を安全に保管するための機能とを持つ耐タンパ機能を有する上映装置に関する。

本発明は、特に、保守の利便性をはかりながら、暗号化されたコンテンツを安全に保管する必要のある上映装置で利用される。

コンテンツを暗号化することにより、特定の暗号鍵を有する上映装置のみに対してコンテンツの復号と再生を可能とする上映システムが広く用いられている。

このようなシステムの一例として、米国ＤＣＩ(Digital Cinema Initiative) の規定するデジタルシネマ規格がある（例えば、非特許文献１参照）。

ＤＣＩ規格においては、コンテンツの暗号鍵と上映期限情報とが、上映装置内部に保管される秘密鍵に対応した公開鍵によって暗号化され、鍵配信メッセージ（Key Delivery Message ＫＤＭ）として各上映装置に送付される。このため、コンテンツの上映を、指定された秘密鍵を保有する上映装置に限定することが可能である。

コンテンツの復号機能を持つ上映装置においては、装置の秘密鍵およびコンテンツの暗号鍵が安全に保管されること、および、復号された平文コンテンツが外部に取り出せないことが要求される。この条件を満たすため、ＤＣＩ規格においては、上映装置が耐タンパ性を有すること、プロジェクタシステムへの映像出力が暗号化されること、および、映像出力において電子すかしが付加されることを要求している。

耐タンパ性に関しては、米国ＦＩＰＳ１４０−２の規格等で規定されており（例えば、非特許文献２参照）、耐タンパ性を有するセキュリティチップやセキュリティモジュールが数多く市販されている（例えば、非特許文献３参照）。

これらの汎用耐タンパモジュールは、秘密鍵の保管機能と暗号処理回路とを内蔵するが、前記のような上映装置の耐タンパ機能を実現するには、耐タンパモジュールによって提供される基本的な耐タンパ機能に加え、上映装置自体への耐タンパ機能の組み込みが必要である。

一方、耐タンパ機能によりセキュリティ侵害が検出された場合、ＤＣＩ規格に基づく上映装置では、装置の保管する秘密鍵を削除することになるため、新たな秘密鍵に対応した公開鍵を再配布する手続きと、装置に対する鍵配信メッセージの再発行が必要になる。このため、上映装置が長時間使用不能となり、運用に大きな支障をきたす。

劇場における上映装置の運用では、破損ディスクの交換、装置のソフトやファームウェアのアップデート等の保守作業が必要となり、セキュリティが確保されると同時に、前記の耐タンパ機能が、これらの保守作業の障害にならないように配慮する必要があり、さらに、装置への秘密鍵の再設定の手続きが迅速に行われる必要がある。

また、劇場においては、暗号鍵の配信メッセージと対応するコンテンツとがインストールされた上映装置は、決められた上映期間で自由にコンテンツを再生することが可能となる。このため、上映装置を外部に持ち出して修理するといった保守作業等の際に、保守者が自由にコンテンツの再生ができてしまうという問題があった。一方、前記の耐タンパ機能により、保守中に上映装置のコンテンツの再生機能を完全に使用不能としてしまった場合には、保守者が上映装置の上映テストを行えなくなるという問題がある。
"Digital Cinema System Specification Version 1.1" Digital Cinema Initiatives, LLC April 12, 2007 （http://www.dcimovies.com/DCI＿DCinema ＿System＿Spec＿v1＿1.pdf, 9.5.2.2. Physical Security of Sensitive Data ） "FIPS PUB 140-2 SECURITY REQUIREMENTS FOR CRYPTOGRAPHIC MODULES" FEDERAL INFORMATION PROCESSING STANDARDS PUBLICATION Issued May 25, 2001 （http://csrc.nist.gov/publications/fips/fips140-2/fips1402.pdf ） 経済産業省委託調査 平成１５年度セキュリティ評価技術等に関する調査研究 「システムＬＳＩチップのセキュリティ評価」に関する調査研究報告書 （http://www.meti.go.jp/policy/netsecurity/downloadfiles/lsi.pdf）

ＤＣＩ規格で要求されるように、暗号化されたコンテンツを復号する機能を有する上映装置に耐タンパ機能を持たせることが要求されている。

一方で、上映装置に耐タンパ機能を持たせるようにすると、この耐タンパ機能が上映装置の保守作業の障害になる可能性がある。

しかるに、従来技術では、上映装置に十分な耐タンパ機能を持たせることを実現できていないばかりか、耐タンパ機能が上映装置の保守作業の障害にならないようにすることを実現できていない。

本発明はかかる事情に鑑みてなされたものであって、暗号化されたコンテンツを復号する機能を有する上映装置において、耐タンパ機能により暗号鍵の安全性を確保すると同時に、上映装置を利用する劇場管理者および上映装置の保守作業者に対して、この耐タンパ機能により運用と保守の利便性を損なわないようにすることを実現する新たな上映装置の提供を目的とする。

この目的を達成するために、本発明の耐タンパ機能を有する上映装置は、（１）外部から送られてくる暗号化されたコンテンツおよびライセンスメッセージを保管するデータ蓄積手段と、（２）装置固有の秘密鍵を保管して、データ蓄積手段の保管するライセンスメッセージをその秘密鍵によって復号することで、コンテンツを復号するためのコンテンツ暗号鍵を取り出す秘密鍵管理手段と、（３）秘密鍵管理手段により取り出されたコンテンツ暗号鍵を用いて、データ蓄積手段の保管するコンテンツの暗号を復号するコンテンツ再生手段と、（４）装置にメインテナンス用の保守端末を接続する機能を提供する保守端末接続手段とを備える。

これに加えて、本発明の耐タンパ機能を有する上映装置は、コンテンツの暗号復号を防止し、さらに、復号されたコンテンツへのアクセスを防止し、さらに、復号されたコンテンツを外部に取り出すことを防止するために、データ蓄積手段、秘密鍵管理手段、コンテンツ再生手段および保守端末接続手段を取り囲む筐体壁を備える。

この筐体壁には、コンテンツ管理者（劇場管理者）がデータ蓄積手段の管理、保守を行うための第一の鍵付き扉が設けられるとともに、保守作業者が保守端末を保守端末接続手段に接続して保守を行うための第二の鍵付き扉が設けられる。ここで、コンテンツ管理者と保守作業者のアクセス権限を分離するため、これらの扉には異なった鍵が取り付けられる。

この構成を採るときに、保守端末からコンテンツ暗号鍵および復号されたコンテンツに対してアクセスが行われることを防止するために、第二の鍵付き扉に、この扉が開いたことを検出する検出手段が設けられることがあり、この検出手段が設けられるときには、コンテンツ再生手段は、コンテンツを再生している途中に第二の鍵付き扉が開けられた場合には、コンテンツの再生を直ちに中止するとともに、再生処理に用いていたコンテンツ暗号鍵を内部から消去するように処理する。

また、この構成を採るときに、保守端末から秘密鍵管理手段に対して違法なアクセスが行われることを防止するために、秘密鍵管理手段は、自手段の装置からの脱着を検出した場合や、自手段内部にアクセスするための物理的な操作、あるいは、定義された手続きによらないソフト上のアクセスを検出した場合には、コンテンツ再生手段に対して、コンテンツ再生を直ちに中止することを指示するとともに、再生処理に用いていたコンテンツ暗号鍵を内部から消去することを指示し、さらに自手段の保管する秘密鍵を消去するように処理する。

また、この構成を採るときに、保守作業の間にコンテンツが自由に再生されることを防止するために、第二の秘密鍵を保管して、データ蓄積手段の保管するライセンスメッセージをその第二の秘密鍵により暗号化する機能と、上映の際に、その暗号化されたライセンスメッセージをその第二の秘密鍵により復号する機能とを持つセキュリティタグを、第一の鍵付き扉の内側に脱着可能な形で装着するセキュリティタグ装着手段を備えることがある。

このセキュリティタグ装着手段に装着されるセキュリティタグの持つ機能により、セキュリティタグを装着しない状態では、ライセンスメッセージが復号できないため、対象となるコンテンツが生成不能となり、一方、セキュリティタグを装着した状態では、自動的にライセンスメッセージが復号されるため、ライセンスメッセージの暗号化処理が上映操作に影響を与えることがない。さらに、セキュリティタグは、第一の鍵付き扉を介してのみ脱着可能であるため、第一の鍵付き扉の鍵を有するコンテンツ管理者のみがコンテンツ再生に関する制限の設定を行うことができるようになる。

また、この構成を採るときに、秘密鍵管理手段において秘密鍵が消去された後、秘密鍵の再設定と公開鍵証明書の発行を行うために、秘密鍵管理手段は、秘密鍵を内部でランダムに生成して、その生成した秘密鍵とペアとなる公開鍵に基づいて公開鍵証明書の発行を依頼するメッセージを生成することがある。

このとき、セキュリティタグが装着されている場合には、セキュリティタグは、秘密鍵管理手段の生成した依頼メッセージに対して、第二の秘密鍵によって電子署名を行うように処理することがある。

この秘密鍵管理手段の持つ機能により、誤作動等により秘密鍵が消去された場合に、迅速に公開鍵証明書の発行とライセンスメッセージの発行を行うことが可能となる。

そして、セキュリティタグ内の第二の秘密鍵によって電子署名を行う機能が用意されることで、公開鍵証明書の発行依頼がセキュリティタグを有する責任者によって行われていることを保証することができるようになる。

本発明の上映装置においては、装置が筐体壁によって保護されているため、一般の操作者が装置にロードされたコンテンツや装置の管理システムに直接アクセスすることはできない。

また、筐体壁には、データ蓄積手段へのアクセスを可能とする第一の鍵付き扉と、保守端末接続手段へのアクセスを可能とする第二の鍵付き扉とが別に設けられているため、第一の鍵付き扉の鍵を保有するコンテンツ管理者のみがデータ蓄積手段にアクセスすることが可能であることを保証できるとともに、第二の鍵付き扉の鍵を保有する保守作業者のみが装置管理システムにアクセスすることが可能であることを保証できる。

また、コンテンツを再生している途中に保守作業者が第二の鍵付き扉を開いた場合には、再生中のコンテンツの暗号鍵は消去され、保守作業者が秘密鍵管理手段にアクセスしようと試みた場合には、秘密鍵管理手段の保管する秘密鍵が消去される。したがって、保守操作によってコンテンツやコンテンツ暗号鍵や秘密鍵が危険にさらされることがない。

また、コンテンツ管理者のみが取り外し可能な別の暗号鍵を有するセキュリティタグによってライセンスメッセージを暗号化することにより、保守の際にコンテンツが自由に再生されることを防止することができる。また、セキュリティタグを用いることにより、セキュリティタグを有する責任者によって行われていることを保証する公開鍵証明書の再発行の依頼メッセージを生成することができる。

以下、実施の形態に従って本発明を詳細に説明する。

図１に、本発明により構成される耐タンパ機能を有する上映装置１の一実施形態例を図示する。

この図に示すように、本発明の上映装置１は、外部から送られてくる暗号化されたコンテンツおよびライセンスメッセージを保管するデータ蓄積手段１０と、装置固有の秘密鍵を保管して、データ蓄積手段１０の保管するライセンスメッセージをその秘密鍵によって復号することで、コンテンツを復号するためのコンテンツ暗号鍵を取り出す秘密鍵管理手段１１と、秘密鍵管理手段１１により取り出されたコンテンツ暗号鍵を用いて、データ蓄積手段１０の保管するコンテンツの暗号を復号するコンテンツ再生手段１２と、装置のメインテナンス時に、装置にメインテナンス用の保守端末を接続する機能を提供する保守端末接続手段１３と、装置の動作を制御する装置管理システム１４と、上映時に、上映操作装置を接続する上映操作インタフェース１５とを備えるともに、それらを取り囲む筐体壁２０によって構成される。

そして、この筐体壁２０には、コンテンツ管理者がデータ蓄積手段１０の管理、保守を行うための第一の鍵付き扉２１が設けられるとともに、保守作業者が保守端末を保守端末接続手段１３に接続して保守を行うための第二の鍵付き扉２３が設けられる。ここで、コンテンツ管理者と保守作業者のアクセス権限を分離するため、これらの扉には異なった鍵が取り付けられ、さらに、第一の鍵付き扉２１には、その扉の開閉を検出する第一の扉用開閉検出センサ２２が設けられ、第二の鍵付き扉２３には、その扉の開閉を検出する第二の扉用開閉検出センサ２４が設けられる。

図２に、本発明の上映装置１において、上映を行うときの動作を図示する。

ここで、上映時には、第一の鍵付き扉２１および第二の鍵付き扉２３の扉は閉じられて、鍵がかけられている状態にある。

この図に示すように、上映時には、上映操作インタフェース１５は、たとえばＬＡＮやシリアル端子を介して上映操作端末１００に接続され、上映オペレータは、この上映操作端末１００の操作パネルから上映操作を行う。ここで、上映操作端末１００からは、上映にかかわる限られた操作のみが行えるように制限されている。

本発明の上映装置１では、上映操作端末１００から上映が指示されると、まず、秘密鍵管理手段１１は、データ蓄積手段１０からライセンスメッセージ（公開鍵で暗号化されている）を読み出し、その読み出したライセンスメッセージから、自手段内に保管している秘密鍵によってコンテンツを復号するための暗号鍵（コンテンツ暗号鍵）を取り出して、コンテンツ再生手段１２にロードする。

このコンテンツ暗号鍵のロードを受けて、続いて、コンテンツ再生手段１２は、データ蓄積手段１０からコンテンツを読み出し、その読み出したコンテンツをロードされたコンテンツ暗号鍵で復号することで、コンテンツのデータを再生する。

このようにして、本発明の上映装置１は、上映動作に入ると、ライセンスメッセージの復号処理をリアルタイムに実行するとともに、その実行により取り出したコンテンツ暗号鍵を用いて、コンテンツの復号処理をリアルタイムに実行するのである。

この上映動作時に、本発明の上映装置１は筐体壁２０により外部から保護されていることから、コンテンツ暗号鍵および復号されたコンテンツを外部から取り出すことはできない。

図３に、本発明の上映装置１において、データ蓄積手段１０の管理を行うときの動作を図示する。

ここで、データ蓄積手段１０の管理を行うときには、第二の鍵付き扉２３の扉は閉じられて、鍵がかけられている状態にある。

コンテンツ管理者（データ蓄積手段１０にアクセスする権限を有する者）は、筐体壁２０に設けられた第一の鍵付き扉２１の鍵を保有し、この扉を介して、データ蓄積手段１０へのコンテンツやライセンスメッセージのロード等の操作を行うことができる。

さらに、本発明の上映装置１において、データ蓄積手段１０は通常冗長構成をとるディスクシステムによって構成されるが、コンテンツ管理者は、第一の鍵付き扉２１を介して、破損したディスクの交換、あるいは、冗長ディスクシステムの再構築などのメインテナンス作業を行うことができる。

ここで、第一の鍵付き扉２１からは、データ蓄積手段１０にアクセスすることのみが可能で、システム内部の装置管理システム１４、コンテンツ再生手段１２、秘密鍵管理手段１１等にアクセスすることができないようになっている。

このようにして、本発明の上映装置１では、第一の鍵付き扉２１の鍵を保有するコンテンツ管理者のみが、データ蓄積手段１０の管理を行うことができる。

図４に、本発明の上映装置１において、装置の保守を行うときの動作を図示する。

ここで、装置の保守を行うときには、第一の鍵付き扉２１の扉は閉じられて、鍵がかけられている状態にある。

保守作業者（保守端末接続手段１３に保守端末２００を接続できる権限を有する者）は、筐体壁２０に設けられた第二の鍵付き扉２３の鍵を保有し、装置が故障した場合、この扉を介して、保守端末接続手段１３に保守端末２００を接続して、この保守端末２００を介して、装置の障害発生時の対応やメインテナンス作業を行うことができる。

ここで、保守端末２００からは、データ蓄積手段１０にはアクセスすることができないようになっている。

このようにして、本発明の上映装置１では、第二の鍵付き扉２３の鍵を保有する保守作業者のみが、装置の保守を行うことができる。

上述したように、第一の鍵付き扉２１の鍵と第二の鍵付き扉２３の鍵とは異なっており、これから、保守作業者は、第一の鍵付き扉２１の扉を開くことができないことで、データ蓄積手段１０にアクセスすることはできない。また、コンテンツ管理者は、第二の鍵付き扉２３の扉を開くことができないことで、装置管理システム１４にアクセスすることはできない。そして、一般の上映オペレータは、両方の鍵を持たないため、限られた上映操作インターフェース１５のみにアクセスが可能である。

図５に、本発明の上映装置１において、上映中に第二の鍵付き扉２３が開けられたときの動作を図示する。

第二の鍵付き扉２３の鍵を保有するのは保守作業者であり、保守作業者が上映中に第二の鍵付き扉２３を開くことは許されない。

これから、第二の扉用開閉検出センサ２４が上映中に第二の鍵付き扉２３が開いたことを検出すると、コンテンツ再生手段１２は、コンテンツの再生を中止し、ロードされたコンテンツ暗号鍵を消去する。それと同時に、秘密鍵管理手段１１は、ライセンスメッセージよりコンテンツ暗号鍵を取り出す操作を中止する。

このため、保守作業者は、コンテンツ暗号鍵および復号されたコンテンツのデータにアクセスすることができない。

図６に、本発明の上映装置１において、保守作業者が保守端末２００を介して秘密鍵管理手段１１にアクセスを試みたときの動作を図示する。

保守作業者が秘密鍵管理手段１１にアクセスすることは許されない。保守端末２００を介した違法なアクセスも許されないし、物理的にアクセスすることも許されない。

これから、保守作業者が、秘密鍵管理手段１１に対して、秘密鍵管理手段１１を構成するセキュリティモジュールの取り外しや、物理的なアクセスや、装置管理システム１４との間に設けられたインターフェースを介して許可された形式以外のアクセスを行ったことが検出されると、秘密鍵管理手段１１は、保管する秘密鍵および秘密情報を消去（削除）する。さらに、秘密鍵管理手段１１は、コンテンツ再生手段１２に対して、コンテンツ再生を直ちに中止することを指示するとともに、再生処理に用いていたコンテンツ暗号鍵を内部から消去することを指示する。

このため、保守作業者は、秘密鍵を取り出すことができないとともに、コンテンツ暗号鍵および復号されたコンテンツのデータにアクセスすることができない。

図７および図８に、第二の秘密鍵を保管するセキュリティタグ３００を用いるときの動作を図示する。

図５で説明したように、本発明の上映装置１は、上映中に第二の鍵付き扉２３が開けられた場合には、その上映を中止する機能を有する。しかしながら、第二の鍵付き扉２３が開けられている状態においてコンテンツの再生を禁止した場合、秘密鍵管理手段１１、コンンテンツ再生手段１２を含めた装置の機能テストを行うことができないため、メインテナンス作業に支障をきたす。一方、ライセンスメッセージを自由に使ってコンテンツの再生をできるようにした場合、保守作業者が任意のコンテンツにアクセスすることが可能になるという不都合が生ずる。

そこで、この問題を解決するために、本発明の上映装置１は、コンテンツ管理者のみがアクセス可能な第一の鍵付き扉２１の内部に、第二の秘密鍵を保管するセキュリティタグ３００（第二の秘密鍵を用いた暗号化機能や復号機能を持つモジュール）を着脱自在に装着するインターフェースを設ける。

このセキュリティタグ３００が装着された状態では、図７に示すように、装置にロードされるライセンスメッセージはセキュリティタグ３００に保管される第二の秘密鍵によって暗号化されて、データ蓄積手段１０に保管されることになる。

そして、セキュリティタグ３００を装着した状態において再生を実行した場合には、図８に示すように、セキュリティタグ３００の第二の秘密鍵によって暗号化されたライセンスメッセージがその第二の秘密鍵を使って自動的に復号され（まだ公開鍵によって暗号化された状態にある）、これが秘密鍵管理手段１１で復号されることによりコンテンツ暗号鍵が取り出される。このため、通常の上映操作とまったく変わらない操作でコンテンツの上映が可能である。

一方、セキュリティタグ３００を外した場合には、暗号化されたライセンスメッセージは復号できなくなるため、そのコンテンツの上映を行うことができなくなる。

この仕組みにより、コンテンツ管理者は、第一の鍵付き扉２１を開いた状態で、コンテンツを再生することができるようになる。そして、保守作業者は、コンテンツ管理者の了解の下、メインテナンス作業のために、コンテンツを再生することができるようになる。そして、第一の鍵付き扉２１のアクセス権限を有するコンテンツ管理者が再生可能なコンテンツについて制限を加えることが可能となる。

図６で説明したように、保守作業者が保守端末２００を介して秘密鍵管理手段１１にアクセスを試みた場合には、秘密鍵管理手段１１は秘密鍵を消去する。

公開鍵によってコンテンツ暗号鍵を暗号化したライセンスメッセージを利用する本発明の上映装置１のような上映装置では、秘密鍵を消去した場合には、公開鍵証明書を再発行して、ライセンスメッセージの発行元に通知する必要がある。

一般的には、この操作は、上映装置をメーカに返送して秘密鍵の再設定を行う手続きを含むため、誤操作や誤動作によって秘密鍵が消去されてしまった場合には、長時間、上映が不可能となる可能性がある。

そこで、本発明の上映装置１は、これを解決する手段として、装置内部で信頼できる公開鍵証明書の発行依頼メッセージを生成する手段を設けるようにしている。

すなわち、図９に示すように、秘密鍵管理手段１１は、乱数生成手段１１０、鍵ペア生成手段１１１、秘密鍵保管手段１１２、公開鍵保管手段１１３、装置ＩＤ保管手段１１４および公開鍵証明書発行要求メッセージ生成手段１５５を備え、セキュリティタグ３００は、タグ秘密鍵保管手段３０００、メッセージ電子署名生成手段３００１およびタグ公開鍵証明書生成手段３００２を備える。

この構成に従って、まず、秘密鍵管理手段１１の内部で鍵ペアを生成し、それに基づいて公開鍵証明書発行要求メッセージを生成する。本発明の上映装置１においては、この発行要求メッセージに対して、さらにセキュリティタグ３００のタグ秘密鍵（第二の秘密鍵）により電子署名を行うことができる。

公開鍵証明書の発行機関では、メッセージに含まれる装置ＩＤ情報およびセキュリティタグ３００の電子署名により、発行依頼が正当な装置およびその所有者によって行われたものであることを確認することが可能である。さらに、メッセージの生成操作を上述した保守端末２００からの操作に限定することにより、保守作業者とコンテンツ管理者の両者の同意があってはじめて公開鍵証明書発行要求メッセージが生成できるように制限を加えることも可能である。

次に、本発明の特徴についてまとめる。

本発明の第一の特徴は、耐タンパ機能を有する上映装置１において、コンテンツの再生を制限する第一のアクセス制限手段と、コンテンツを格納したディスクへのアクセスを制限する第二のアクセス制限手段と、装置の保守端末２００を接続するための接続端子へのアクセスを制限する第三のアクセス制限手段と、装置に内蔵された秘密情報に対してアクセスすることを制限する第四のアクセス制限手段という４つのアクセス制限手段を設けることである。

本発明の第二の特徴は、コンテンツの再生を制限する第一のアクセス制限手段として、上映装置１に装着可能なセキュリティタグ３００と、上映装置１にロードされたライセンスメッセージをセキュリティタグ３００内に保管される暗号鍵（第二の秘密鍵）によって暗号化する手段を設けることである。

本発明の第三の特徴は、コンテンツを格納したディスクへのアクセスを制限する第二のアクセス制限手段として、コンテンツを格納したディスクへのアクセス、および、セキュリティタグ３００を装置に装着するインターフェース部に対するアクセスを制限する鍵付き扉（第一の鍵付き扉２１）を設けることである。

本発明の第四の特徴は、装置の保守端末２００を接続するための接続端子へのアクセスを制限する第三のアクセス制限手段として、装置の保守端末２００を接続するための接続端子へのアクセスを制限する鍵付き扉（第二の鍵付き扉２３）を設けることと、この扉が開いたときにコンテンツの再生が行われていた場合に、コンテンツの再生を中止し、コンテンツ暗号鍵情報を破棄することである。

本発明の第五の特徴は、装置に内蔵された秘密情報に対してアクセスすることを制限する第四のアクセス制限手段として、耐タンパ検出機能を有するモジュール（秘密鍵管理手段１１）内に秘密情報を保管し、モジュールへのアクセスが検出された場合に、内部の秘密情報を消去することである。

これらの本発明の特徴により、本発明によれば、次のような効果を得ることができるようになる。

すなわち、本発明では、第一の特徴により、コンテンツの再生、コンテンツディスクへのアクセス、保守端末２００による装置へのアクセス、装置の内部鍵（秘密鍵やコンテンツ暗号鍵）を取り出そうとする攻撃という４種類のレベルについて情報が保護される。

また、本発明では、第二の特徴により、装置にセキュリティタグ３００が装着されていない状態では、ライセンスメッセージを解読することができないため、コンテンツの上映に制限を加えることができる。そして、セキュリティタグ３００を劇場管理者（コンテンツ管理者）が管理することにより、保守作業者が自由に上映装置１内のコンテンツを再生することを阻止することが可能である。なお、ライセンスメッセージ自体は、装置の秘密鍵が無いと復号できないため、本特徴によりライセンス管理の仕組み自体が影響を受けることはない。

また、本発明では、第三の特徴により、コンテンツディスクおよびセキュリティタグ３００の接続端子にアクセスできるのを劇場管理者（コンテンツ管理者）に制限することが可能であり、保守作業者は、コンテンツへのアクセスおよび再生を自由に行うことはできない。

また、本発明では、第四の特徴により、装置に保守端末２００を接続できるのを保守作業者に制限することが可能であり、劇場管理者（コンテンツ管理者）は、装置内部の保守機能にアクセスすることができない。さらに、上映中に保守端末２００を保護する扉を開けた場合には、上映が停止し、使用中のコンテンツ暗号鍵は上映装置１から消去されるため、保守作業者が内部にアクセスしてコンテンツ暗号鍵を取り出すことはできない。

また、本発明では、第五の特徴により、装置の秘密鍵情報に対してアクセスしようとした場合には、秘密鍵情報自体が消去されるため、装置にロードされたライセンスメッセージを利用してコンテンツの再生を行うことはできない。

本発明の上映装置の一実施形態例である。 上映を行うときの動作を示す図である。 データ蓄積手段の管理を行うときの動作を示す図である。 装置の保守を行うときの動作を示す図である。 上映中に第二の鍵付き扉が開けられたときの動作を示す図である。 保守作業者が秘密鍵管理手段にアクセスを試みたときの動作を示す図である。 セキュリティタグを用いるときの動作を示す図である。 セキュリティタグを用いるときの動作を示す図である。 公開鍵証明書の発行依頼メッセージの生成処理の説明図である。

符号の説明

１ 上映装置
１０ データ蓄積手段
１１ 秘密鍵管理手段
１２ コンテンツ再生手段
１３ 保守端末接続手段
１４ 装置管理システム
１５ 上映操作インタフェース
２０ 筐体壁
２１ 第一の鍵付き扉
２２ 第一の扉用開閉検出センサ
２３ 第二の鍵付き扉
２４ 第二の扉用開閉検出センサ

Claims (6)

1. 外部から送られてくる暗号化されたコンテンツおよびライセンスメッセージを保管するデータ蓄積手段と、
   装置固有の秘密鍵を保管して、前記データ蓄積手段の保管するライセンスメッセージを該秘密鍵によって復号することで、コンテンツを復号するためのコンテンツ暗号鍵を取り出す秘密鍵管理手段と、
   前記秘密鍵管理手段により取り出されたコンテンツ暗号鍵を用いて、前記データ蓄積手段の保管するコンテンツの暗号を復号するコンテンツ再生手段と、
   装置にメインテナンス用の保守端末を接続する機能を提供する保守端末接続手段と、
   前記データ蓄積手段、前記秘密鍵管理手段、前記コンテンツ再生手段および前記保守端末接続手段を取り囲む壁で構成されて、装置外部からそれらの各手段にアクセスすることを防止する機能と、前記データ蓄積手段にアクセスすることを許可する第一の鍵付き扉と、前記保守端末接続手段にアクセスすることを許可する該第一の鍵付き扉の鍵とは異なる鍵を持つ第二の鍵付き扉とを有する筐体壁とを備えることを、
   特徴とする耐タンパ機能を有する上映装置。
2. 請求項１に記載の耐タンパ機能を有する上映装置において、
   前記コンテンツ再生手段は、コンテンツを再生している途中に前記第二の鍵付き扉が開けられた場合には、コンテンツの再生を直ちに中止するとともに、再生処理に用いていたコンテンツ暗号鍵を内部から消去することを、
   特徴とする耐タンパ機能を有する上映装置。
3. 請求項１に記載の耐タンパ機能を有する上映装置において、
   前記秘密鍵管理手段は、自手段の装置からの脱着を検出した場合や、自手段内部にアクセスするための物理的な操作、あるいは、定義された手続きによらないソフト上のアクセスを検出した場合には、前記コンテンツ再生手段に対して、コンテンツ再生を直ちに中止することを指示するとともに、再生処理に用いていたコンテンツ暗号鍵を内部から消去することを指示し、さらに自手段の保管する秘密鍵を消去することを、
   特徴とする耐タンパ機能を有する上映装置。
4. 請求項１ないし３のいずれか１項に記載の耐タンパ機能を有する上映装置において、
   第二の秘密鍵を保管して、前記ライセンスメッセージを該第二の秘密鍵により暗号化する機能と、上映の際に、その暗号化されたライセンスメッセージを該第二の秘密鍵により復号する機能とを持つセキュリティタグを、前記第一の鍵付き扉の内側に脱着可能な形で装着するセキュリティタグ装着手段を備えることを、
   特徴とする耐タンパ機能を有する上映装置。
5. 請求項１に記載の耐タンパ機能を有する上映装置において、
   前記秘密鍵管理手段は、秘密鍵を内部でランダムに生成して、その生成した秘密鍵とペアとなる公開鍵に基づいて公開鍵証明書の発行を依頼するメッセージを生成することを、
   特徴とする耐タンパ機能を有する上映装置。
6. 請求項４に記載の耐タンパ機能を有する上映装置において、
   前記秘密鍵管理手段は、秘密鍵を内部でランダムに生成して、その生成した秘密鍵とペアとなる公開鍵に基づいて公開鍵証明書の発行を依頼するメッセージを生成し、
   前記セキュリティタグは、前記依頼メッセージに対して、前記第二の秘密鍵によって電子署名を行うことを、
   特徴とする耐タンパ機能を有する上映装置。

Images