JP2010268465A - アナログ文書を用いたデジタル認証 - Google Patents

Abstract

【課題】デジタル表現のセキュリティ、およびデジタル表現から作成されたアナログフォームのセキュリティを保護する方法を提供する。
【解決手段】方法は、デジタル表現とデジタル表現とから作成されたアナログフォームとの両方を認識できる方法と、透かし自体が読み取られたときに実行できるプログラムコードを含む活性透かしと、透かしを読み取り、透かしを含むデジタル表現に関する情報と共にメッセージを送信する透かしエージェントとを含む。認証方法は、意味情報を使用して認証情報を作成する。意味情報と認証情報は共に、デジタル情報からアナログフォームが作成されるときに存続する。
【選択図】図５

Description

関連特許出願の相互参照
本出願の詳細な説明は、Fraunhofer CRCGに譲渡され本出願と同じ日付に出願されたJian Zhaoの「Active Watermarks and Watermark Agents」と同じ内容である。

発明の背景
発明の分野
本発明は、一般に画像およびその他の情報のデジタル表現に関し、特に、デジタル表現、およびデジタル表現から作成されたアナログフォームのセキュリティを保護する方法に関する。

従来技術の説明
現在、画像または音声を用いて作業する最も簡単な方法は、それらのデジタル表現を作成することである場合が多い。デジタル表現が作成された後、コンピュータを有する人なら誰でも、そのデジタル表現の品質を低下させずにコピーし、処理し、世界中のあらゆる場所にほぼ瞬時に送信することができる。インターネットによって、誰でも世界中のあらゆる場所からあらゆるデジタル表現の配送を可能にする。

デジタル表現の所有者の観点からすると、これには１つの問題がある。すなわち、著作権侵害者もコンピュータを有し、それを使用して、正当な所有者およびユーザと同様に容易にデジタル表現をコピーし、処理し、配送することができる。最初のデジタル表現の所有者がその表現の作成または公開について適切に補償されるべきである場合、そのデジタル表現は著作権侵害者から保護されなければならない。使用できるいくつかの異なる手法がある。
・デジタル表現を、その意図された受信者以外は読めないようにすることができる。このことは暗号化技術を用いて行われる。
・デジタル表現にそれが真正であることを示すマークを付加することができる。これはデジタル署名を用いて行われる。
・デジタル表現は、送信時に改ざんされたかどうかを判定できるようにする情報を含むことができる。この情報はダイジェストと呼ばれ、デジタル署名はしばしばダイジェストを含む。
・デジタル表現は、透かし、すなわち、デジタル表現から除去することができず、場合によっては、デジタル表現から作成されたアナログコピーにおいて検出することのできる不可視表示を含むことができる。
・上記の方法は、デジタル表現を保護するだけでなく、その使用量を測定し、かつ／または不正な使用を検出するシステムで使用することができる。

暗号化を使用してデジタル表現を保護するシステムの例については、1997年７月８日に発行されたSaitoの米国特許第5646999号「Data Copyright Management Method」を参照されたい。デジタル透かし方法の一般的な議論については、Jian Zhao著「Look, It's Not There」（BYTE Magazine、1997年１月）を参照されたい。デジタル透かしの特定の方法についての詳細な議論は、E. KochおよびJ. Zhao著「Towards Robust and Hidden Image Copyright Labelling」（Proc. Of 1995 IEEE Workshop on Nonlinear Signal and Image Processing、1995年６月20日ないし22日）および1998年１月20日に発行されたRhoadsの米国特許第5710834号「Method and Apparatus Responsive to a Code Signal Conveyed through a Graphic Image」に記載されている。Rhoadsの特許で開示されたデジタル透かしを使用する市販の電子透かしシステムの例については、1998年３月にhttp://www.digimarc.comで発表されたDigimarc Watermarking Guide（Digimarc Corporation、1997年）を参照されたい。

図１は、上記の保護方法を使用する従来のシステム101を示す図である。１つのデジタル表現クライアント105(j)のみが示されている、いくつかのデジタル表現クライアント105は、クライアント105からデジタル表現を受信しクライアント105に配送するデジタル表現サーバ129にインターネットなどのネットワーク103を介して接続されている。サーバ129は、配送管理データベース139用のコピーされたデジタル表現135を含むデータ記憶装置133を有する。サーバ129は、デジタル表現135を管理するプログラム、透かしを読み取り及び書き込みを行うプログラム109、デジタル表現を認証し、デジタル表現が真正であることを確認するプログラム111、およびデジタル表現を暗号化及び解読を行うプログラム113をさらに含む。プログラム109、111、および113は共にセキュリティプログラム107を構成する。

クライアント105はセキュリティプログラム107のそれ自体のバージョンを有する。クライアント105は、クライアント105のユーザに、ネットワーク103を介して受信したか、あるいが記憶装置117に記憶されたデジタル表現を編集し、かつ／表示させるエディタ／ビューアプログラム115をさらに有する。図の記憶装置117は、クライアント105のユーザによって作成された最初のデジタル表現119と、DRサーバ129から受信したコピーされたデジタル表現121とを含む。もちろん、ユーザは、コピーされたデジタル表現を修正することによって元の表現119を作成することができる。エディタ／ビューアプログラム115は最終的に、ユーザがデジタル表現をアナログ出力装置123に出力することを可能にする。これらの装置には、デジタル表現から作成されたアナログ画像124を表示することのできるディスプレイ123と、デジタル表現から作成されたアナログ画像126を印刷することのできるプリンタ127が含まれる。アナログ出力装置123にはスピーカーを含めることもできる。アナログ出力装置の出力を本明細書では、デジタル表現のアナログフォームと呼ぶ。たとえば、出力装置がプリンタである場合、アナログフォームは印刷された紙126であり、表示装置である場合は、ディスプレイ124である。

クライアント105(j)は、サーバ129からデジタル表現を受信する必要があるとき、そのデジタル表現を要求するメッセージをサーバ129に送信する。メッセージは、少なくとも所望のデジタル表現の個人認証およびユーザの個人認証を含む。マネージャ131は、CDR 135内のデジタル表現を検出し、管理データベース139に問い合わせ、このデジタル表現を配送できる条件と、クライアント105のユーザの顧客としてのステータスとを判定する。データベース139内の情報が、トランザクションを実行すべきであることをマネージャ131に示している場合、マネージャ131は、選択されたデジタル表現をクライアント105(j)に送信する。コピーを送信する際に、マネージャ131は、透かし読取り／書込みプログラム109を使用してデジタル表現に透かしを付加し、認証／確認プログラム111を使用して認証情報を付加し、暗号化／解読プログラム113を使用して、デジタル表現をDRクライアント105(j)でのみ解読できるように暗号化することができる。

クライアント105(j)は、デジタル表現を受信すると、プログラム113を使用してデジタル表現を解読し、プログラム111を使用して、このデジタル表現が真正であることを確認し、エディタ／ビューア115が、プログラム109を使用して透かしを表示することができる。クライアント105(j)のユーザは暗号化デジタル表現または未暗号化デジタル表現を記憶装置117に保存することができる。クライアント105(j)のユーザは最終的に、エディタ／ビューア115を使用してデジタル表現を解読し、解読の結果をアナログ出力装置123に出力することができる。アナログ出力装置123は、表示装置125またはプリンタ127でよく、オーディオのデジタル表現の場合はスピーカーでよい。

デジタル表現がアナログフォームで表示または印刷されるとき、コピーに対する残された唯一の保護方法は、人間の眼でアナログフォームを認識することはできないが、アナログフォームを走査しコンピュータを使用して透かし128を見つけることによって検出することのできる透かし128だけであることに留意されたい。したがって、透かし128は暗号化のバックアップをなすものである。すなわち、誰かが暗号を解読するか、あるいはより可能性の高い理由として、デジタル表現に対する正当なアクセス権を有する誰かが不正なコピーを作成したために、デジタル表現が侵害された場合、透かしは少なくとも、本来のデジタル表現の所有者を判定し、その証拠が得られた場合、著作権侵害および／または秘密保持契約違反により侵害者を追及することを可能にする。

クライアント105(j)のユーザが、元のデジタル表現119を配送のためにDRサーバ129に送信する必要がある場合、エディタ／ビューア115はデジタル表現119をサーバ129に送信する。このとき、エディタ／ビューア115はセキュリティプログラム107を使用してデジタル表現に透かしを入れ、デジタル表現を認証し、DRサーバ129によってのみ解読できるように暗号化することができる。DRサーバ129内のマネージャ131は、デジタル表現119を受信すると、セキュリティプログラム107を使用してデジタル表現119を解読し、それが真正であることを確認し、デジタル表現に関する情報を管理データベース139に入力し、記憶装置133に記憶する。

上記で引用したDigimarcシステムの場合、マネージャ131はWorld Wide Webスパイダ、すなわち、HTTPリンクやFTPリンクなどのWorld Wide Webリンクを規則正しく辿り、リンクの指し示すデータを取り込むプログラムも含む。

マネージャプログラム131は、透かし読取り／書込みプログラムを使用してあらゆる透かしを読み取り、透かしが管理データベース139に知られているものである場合、必要なあらゆる手段を講じ、たとえば、デジタル表現が得られたサイトがそれを所有する権利を有しているかどうかを判定し、有していない場合、デジタル表現の所有者に通知する。

暗号化、認証、および電子透かしによってデジタル表現の所有者がその財産を保護するのはずっと容易になったが、依然として問題が残っている。第１の問題は、デジタル文書を認証するために現在使用されている方法がアナログフォームには使用することができないことである。したがって、デジタル表現がアナログフォームで出力されると、認証できない。第２の問題は、デジタル表現を管理する現在のシステムが十分な柔軟性がないことである。第３の問題は、前述の透かしスパイダによって行われているような透かし検査が、インターネット上で利用できるデジタル表現に限られることである。本発明の目的は、上記の問題を解決し、それによって、デジタル表現を配送するための改良された方法を提供することである。

発明の要約
デジタル認証技術がデジタル表現に限られるという問題は、意味情報、すなわち、デジタル表現から作成されたあらゆるアナログフォームに存在しなければならない情報に基づく認証技術によって解消される。意味情報は、ダイジェストなどの個人認証情報を作成するために使用され、ダイジェストは、意味情報に影響を与えないようにデジタル表現に付加される。一実施例では、個人認証情報がデジタル表現に透かしとして埋め込まれ、他の実施例では、ダイジェストがバーコードとして表される。デジタル表現またはアナログフォームは、意味情報に基づく認証情報を含むとき、再びこの意味情報を使用して認証情報を算出し、次いで、新たに算出された認証情報をデジタル表現またはアナログフォーム内の認証情報と比較することによって認証される。この２つが一致した場合、デジタル表現またはアナログフォームは真正である。意味情報および認証の目的に応じて、この一致は厳密なものでも、あるいは曖昧なものでもよい。意味情報に基づく認証の使用法としては、電子文書のデジタルフォームの認証、紙のデジタルキャッシュの認証、紙のデジタル小切手の認証、銀行カードなどのIDカードの認証が挙げられる。

本発明の分野の当業者には、本発明の他の目的および利点が、以下の詳細な説明および図面を読むと明らかになろう。
図面中の参照番号は、少なくとも３桁である。右端から２つの数字は、図中の参照番号であり、これらの数字の左側の数字は、参照番号によって識別される項目が最初に現れる図の番号である。たとえば、参照符号203の項目は図２に最初に表れる。

デジタル表現を安全に配送する従来のシステムのブロック図である。 認証できるアナログフォームの第１の実施例を示す図である。 認証できるアナログフォームの第２の実施例を示す図である。 アナログフォームに認証情報を付加するシステムを示す図である。 アナログフォームを認証するシステムを示す図である。 活性透かしを作成するシステムを示す図である。 活性透かしのコードの一例を示す図である。 活性透かし中のコードを実行するシステムを示す図である。 透かしエージェントを作成するシステムを示す図である。 透かしエージェントを受信するシステムを示す図である。 アクセス情報６０３の詳細を示す図である。 透かしエージェントによって実行されるコードの一例を示す図である。

詳細な説明
以下の詳細な説明ではまず、デジタル表現のアナログフォームの出力でも存続するデジタル表現を認証する方法を開示し、次いで、活性透かし（active watermark）、すなわち、プログラムを含む透かしを開示し、最後に、透かしエージェント、すなわち、システムに記憶されているデジタル表現上のデジタル透かしを調べ、それによって不適切に使用されているデジタル表現を見つけるプログラムを開示する。

アナログフォームに保存される認証：図２ないし図５
デジタル表現は、送信中に改ざんされていないことを確認するために認証される。改ざんは、デジタル表現の送信元から宛先への送信中に起こる送信エラーの結果として起こるか、デジタル表現の転送に使用されている記憶装置の破損のために生じるエラーの結果として起こるか、デジタル表現を記憶装置に書き込む際かあるいは記憶装置から読み取る際に生じるエラーの結果として起こるか、あるいは人間の介入の結果として起こる可能性がある。標準的な認証技術では、デジタル表現のダイジェストが作成され、デジタル表現と共に宛先に送信される。宛先では、受信されたデジタル表現から他のダイジェストが作成され、最初のダイジェストと比較される。これらのダイジェストが同じである場合、デジタル表現は変更されていない。ダイジェストは、デジタル表現よりもデータ長がずっと短いが、デジタル表現に何らかの変更が加えられるとダイジェストも変更される確率が非常に高くなるようにデジタル表現に関係付けられる。

人間の介入が重大な問題となる場合、ダイジェストは、一方向性ハッシュ関数、すなわち、ダイジェストを作成した入力に関する知識を得ることが極めて困難であるか、あるいは不可能なダイジェストを作成する関数を使用して作成される。ダイジェストは、デジタル表現の受信者のみが読めるように暗号化することもできる。一般的な方法では、暗号化されたダイジェストがデジタル表現のデジタル署名として使用され、すなわち、デジタル表現が送信中に改ざんされていないことが示されるだけでなく、送信元であるべき人からのデジタル表現であることが示される。送信者と受信者が公開鍵を交換している場合、送信者は、その公開鍵を用いてダイジェストを暗号化することによってデジタル署名を作成することができる。受信者は送信者の公開鍵を使用してダイジェストを解読することができ、その後で、そのダイジェストを、受信されたデジタル表現から作成されたダイジェストと比較する。これらのダイジェストが同じでない場合、デジタル表現が改竄されているか、あるいはこのデジタル表現は、ダイジェストを解読するために使用された公開鍵の持ち主である人からのデジタル表現ではない。認証の詳細については、Bruce Schneier著「Applied Cryptography」（John Wiley and Sons、1994年）の第3.2節を参照されたい。

認証に関する唯一の問題は、認証が完全にデジタル表現に基づくものであることである。ダイジェストを作成するために使用された情報は、デジタル表現がアナログフォームで出力されるときに失われる。たとえば、デジタル表現が文書である場合、デジタル表現から作成された紙のコピーから、その紙のコピーが作成されたデジタル表現が真正であるかどうか、あるいはその紙のコピー自体が、デジタル表現の真のコピーであるかどうかを判定することはできない。

デジタル透かしは、デジタル表現がアナログフォームで出力されたときでも存続し、かつ検出できるが、ダイジェストまたはデジタル署名を透かしに埋め込むだけでは認証問題を解決することはできない。この理由は２つある。
・透かしはデジタル表現を変更する。したがって、最初のダイジェストを作成した後でデジタル表現に透かしを入れた場合、透かしは最初のダイジェストを無効、すなわち、最初のダイジェストは、受信者が透かしの入った文書から作成する新しいダイジェストと比較できなくなる。
・もっと厄介なことには、デジタル表現をアナログフォームで出力すると、デジタル表現に関する非常に多くの情報が失われ、アナログフォームからデジタル表現を再構成することができなくなる。したがって、元のダイジェストが依然として有効である場合でも、比較可能な新しいダイジェストをアナログフォームから作成することはできない。

これらの問題を解消するのに必要なものは、デジタル表現の特定のフォームとは無関係であり、アナログフォームが出力されるときにアナログフォームに含まれる情報を認証に使用する認証技術である。以下に詳しく説明するように、第１の要件は、デジタル表現から意味情報を選択し、意味情報のみを使用してダイジェストを作成することによって満たされる。第２の要件は、一方ではダイジェストを作成するために使用される意味情報に影響を与えず、他方ではアナログフォームにも存続するように、ダイジェストをデジタル表現に埋め込むことによって満たされる。文書の場合、これらの要件を満たす認証技術を使用して、主にデジタルフォームで存在する文書のアナログフォームを認証するだけでなく、主にアナログフォームで存在するか、あるいはアナログフォームでのみ存在する文書、たとえば、紙の小切手やIDカードを認証することができる。

意味情報(semantic information)
デジタル表現中の意味情報は、デジタル表現から作成されたアナログフォームを認識する人間が、そのアナログフォームをデジタル表現が作成されたオリジナルのコピーとみなす場合に、そのアナログフォームに存在しなければならない、デジタル表現中の情報の部分である。たとえば、文書の画像のデジタル表現中の意味情報は、文書中の英数字による表現であり、その場合、英数字は非ラテン系アルファベット、音節文字体系、および表意文字体系に属する文字または句読点を含め、あらゆる種類の文字または句読点の表現を含むものと理解される。英数字である場合、アナログフォームの受信者は、文字のフォントが異なり、元の文書と異なるようにフォーマットされている場合でも、文書がオリジナルのコピーであるかどうかを判定することができる。画像のディスプレイ表現およびオーディオ情報のデジタル表現にも同様な意味情報がある。画像の場合、これは、アナログフォームを認識する人間が、そのアナログフォームが（不良なコピーであるにもかかわらず）元の画像のコピーであることに合意するのに必要な情報であり、オーディオ情報にも同じことが当てはまる。

英語の文書の場合、文書中の意味情報は文書の文字および句読点である。文書がデジタルフォームである場合は、デジタル画像として表すか、あるいは文書処理または印刷用に使用されている言語などのテキスト表現言語で表すことができる。第１の場合には、光学式文字認識（OCR）技術を画像に適用して文字および句読点を読み取ることができる。第２の場合には、テキスト表現言語で文字および句読点を表すために使用されるコードについてデジタル表現を解析することができる。文書がアナログフォームである場合は、走査してデジタル画像を作成し、走査によって作成されたデジタル画像にOCR技術を適用することができる。

意味情報を使用してアナログフォームを認証する：図２および図３
意味情報は、アナログフォームに存在しなければならないので、アナログフォームから読み取り、この情報を使用して新しいダイジェストを算出することができる。古いダイジェストが、同様にデジタル表現中の意味情報から作成されたダイジェストであり、アナログフォームから読み取れる場合、新しいダイジェストと古いダイジェストを上記の認証の議論で説明したように比較し、アナログフォームが真正であるかどうかを判定することができる。

図２は、古いダイジェストをアナログフォーム203に埋め込む１方法201を示す。アナログフォーム203はもちろん、意味情報205を含み、この場合、アナログフォーム203は印刷またはファックスされた文書であり、意味情報205はアナログフォーム203上の英数字の一部またはすべてである。アナログフォーム203を作成する前のある時点で、アナログフォーム203が作成されたデジタル情報中の意味情報205を使用して意味ダイジェスト207を作成し、この意味ダイジェスト207を、アナログフォーム203を印刷する際に意味情報205を含まない、アナログフォーム203の位置に埋め込んだ。いくつかの実施例では、最初のデジタル表現に意味ダイジェスト207を付加することができ、他の実施形態では、アナログフォーム203を作成する直前に意味ダイジェスト207を付加することができる。アナログフォーム203から検出できる意味ダイジェスト207のあらゆる表現を使用することができる。方法201では、意味ダイジェスト207は可視バーコードである。もちろん、意味ダイジェスト207は追加の情報を含むことができる。たとえば、意味ダイジェスト207は、前述のように暗号化することができ、意味ダイジェスト207を解読するときに公開鍵を必要とするユーザ用の識別子を含むことができる。このような場合、意味ダイジェスト207は、アナログフォームに存続するデジタル署名である。

透かしを用いた場合、意味ダイジェストは不可視の状態でアナログフォームに付加することができる。これを図３に示す。方法301において、アナログフォーム303はこの場合も意味情報305を含む。アナログフォーム303を作成する前に、アナログフォーム303が作成されるデジタル情報中の意味情報を前述のように使用して意味ダイジェスト207が作成される。しかし、この場合、意味ダイジェスト207は透かし307に埋め込まれ、透かし307は、デジタル表現からアナログフォームが作成される前にデジタル表現に付加され、図２のバーコードと同様に、アナログフォームが作成された後も存続する。透かし読取り装置は、アナログフォーム303を走査することによって作成されたデジタル画像から透かし307を読み取ることができ、それによって、透かし307から意味ダイジェスト207を回復することができる。可視意味ダイジェストの場合と同様に、透かし307中の意味ダイジェストは、暗号化することができ、デジタル署名として機能することもできる。

アナログフォームへの意味ダイジェストの付加：図４
図４は、アナログフォーム203に意味ダイジェストを付加するシステム401を示す。この処理は、内容に意味情報205が含まれるデジタル表現403から始まる。デジタル表現403は、デジタル表現403から意味情報205を読み取る意味読取り装置405から受信される。意味読取り装置405の動作は、意味情報のフォームに依存する。たとえば、デジタル表現403が文書である場合、意味情報のフォームは、文書がどのように表されているかに依存する。文書がビットマップ画像として表されている場合、意味情報は、ビットマップ内の英数字の画像である。英数字をコードとして表す文書の多くの表現のうちの１つを使用して文書が表されている場合、意味情報は英数字のコードである。第１の場合、意味読取り装置405は光学式文字読取り（OCR）装置であり、第２の場合、意味読取り装置405は、文書表現を解析し文字コードだけを探索する。

いずれの場合も、処理の終了時には、意味読取り装置405は、あるフォームの意味情報、たとえば、英数字に対応するASCIIコードを表現403から抽出している。次いで、このデジタル情報はダイジェスト作成装置409に入力され、ダイジェスト作成装置409はこの情報を使用して、多くの既知の方法のうちのどれかで意味ダイジェスト411を作成する。意味ダイジェストが作成される文書の種類とその意図する用途とに応じて、意味ダイジェストは、新しいダイジェストとの厳密な一致を必要とするフォームを有するか、あるいは「曖昧」な一致を許容するフォームのいずれかをとることができる。次いで、デジタル表現403および意味ダイジェスト411はダイジェスト埋込み装置413に入力され、ダイジェスト埋込み装置413は、アナログフォーム203を作成するために使用されるデジタル表現にダイジェスト411の表現207を埋め込む。上記で指摘したように、この表現は、意味情報205に影響を与えないように埋め込まなければならない。埋込み装置413は次いで、作成した表現をアナログフォーム作成装置415に出力し、アナログフォーム作成装置415は通常の方法でアナログフォーム203を作成する。アナログフォーム203はもちろん、意味情報205および意味ダイジェスト411の表現207を含む。この場合、バーコードが使用されるが、表現207は、アナログフォーム303の場合と同様に、透かしの一部であってよい。構成要素405、409、および413は、デジタルコンピュータシステム上で実行されるプログラムとして実現することができる。アナログフォーム作成装置415は、アナログフォームを出力できる任意の装置でよい。

意味ダイジェストを有するアナログフォームの認証
図５は、意味ダイジェスト207を有するアナログフォーム503を認証するシステム501を示す。まず、アナログフォーム503が意味ダイジェスト読取り装置505および意味読取り装置505（507？）に入力する。意味ダイジェスト読取り装置505は意味ダイジェスト207を読み取る。意味ダイジェスト207がバーコードである場合、意味ダイジェスト読取り装置505はバーコード読取り装置である。意味ダイジェスト207がデジタル透かしに含められている場合、意味ダイジェスト読取り装置505は入力をスキャナから受信するデジタル透かし読取り装置である。意味ダイジェスト505を解読しなければならない場合、意味ダイジェスト読取り装置505はこの解読も行う。場合によっては、解読を行うために、暗号化された意味ダイジェストを、適切な鍵を有する遠隔地に送信しなければならないことがある。

意味読取り装置507は意味情報305を読み取る。アナログフォーム503が文書である場合、意味読取り装置507は、出力をOCRソフトウェアに供給するスキャナである。他の画像を用いる場合、スキャナは、意味情報305を構成する画像の特徴を分析するのに必要なあらゆる画像分析ソフトウェアに出力を供給する。アナログフォーム503が音声である場合、その音声は音声分析ソフトウェアに入力される。意味情報は、意味データ509に変換された後、意味ダイジェスト作成装置511に入力され、意味ダイジェスト作成装置511はこの情報から新しい意味ダイジェスト513を作成する。意味ダイジェスト作成装置511は、そうするために、古い意味ダイジェスト515を作成するために使用されたのと同じ方法を使用する。次いで、比較器517は古い意味ダイジェスト515を新しい意味ダイジェスト513と比較する。これらのダイジェストが一致した場合、比較結果519は、アナログフォーム203が真正であることを示す。一致しない場合、結果519は、アナログフォーム203が真正ではないことを示す。この場合に「一致」が意味することについて以下に詳しく説明する。

意味ダイジェストの「一致」
デジタル表現を認証するために通常使用されるダイジェストを用いる場合、古いダイジェストと新しいダイジェストが厳密に一致する必要がある。１つの理由は、デジタル表現では多くの場合、「ほぼ正しい」データが役に立たないためである。他の理由は、ダイジェストに通常使用される一方向性ハッシュが「暗号」であり、すなわち、ダイジェストの値では、ハッシュ関数によってダイジェストを作成するために使用された値に関して何もわからず、あるいはより実際的には、デジタル表現中の１ビットが変化した場合でも、ハッシュ関数によって作成される値が大きく変化する可能性があることである。このため、ダイジェスト同士を比較した際に許容されるのはダイジェスト同士が等しい場合だけである。

アナログフォームを認証する場合、ダイジェスト同士が等しいことを求める要件には難点がある。この理由は、アナログフォームから意味情報を読み取る動作にエラーが多いことである。たとえば、長年にわたる努力の結果、OCR技術は、フォーマットが単純で適切なタイプフォントを使用する文書の鮮明なコピーから始めたとき、一般に98%の精度で文字を認識できる段階に到達した。このような誤差率は多くの目的に対して完全に妥当であるが、あらゆるサイズの意味情報について、新しいダイジェストが、古い意味ダイジェストを作成するために使用された意味データと98%同じ意味データから作成されたときに、新しいダイジェストが古いダイジェストと等しくなることはほとんどない。一方、アナログフォームから得られた意味データが、デジタル表現から得られた意味データと98%同じである場合、アナログフォームが実際に、デジタル表現の真正なコピーである確率は非常に高い。

厳密な一致
もちろん、意味情報のサイズが限られており、厳しく制約されている場合、ダイジェスト同士が厳密に等しいことを要求することが可能である。たとえば、読み取られているものが小切手またはIDカードの特定の部分であり、OCR装置がその部分の内容の性質を考慮に入れるようにプログラムされている場合、多くのエラーをなくすことができる。たとえば、その部分に数字しか含まれていない場合、OCR装置は、文字ｏおよびＯを数０と認識し、文字ｌ、ｉ、またはＩを数１と認識するようにプログラムすることができる。さらに、一致が失敗し、意味情報が、OCR装置が混同しやすい文字を含んでいる場合、この文字をそれと混同される文字のうちの１つで置き換えることができ、ダイジェストを再計算することができ、算出されたダイジェストを用いて再び一致を試みることができる。

曖昧な一致
意味情報に厳しく制約されていない場合、ダイジェストは、非常に類似した意味情報によって非常に類似したダイジェストが作成されるように作らなければならない。そのとき、一致の判定は、ダイジェスト同士の差がしきい値以内であるかどうかを判定することであり、ダイジェスト同士が等しいかどうかを判定することではない。Marc SchneiderおよびShin-Fu Changによる論文「A Robust Content Based Digital Signature for Image Authentication」（Proceedings of the 1996 International Conference on Image Processing）は、デジタルイメージングの分野での関連する問題に対処するいくつかの方法を提示している。この場合、問題は、アナログフォームを作成するためにデジタル表現が使用されるときの情報の損失と、アナログフォームを読み取る際の間違いとによって起こるのではなく、「損失の生じる」画像圧縮、すなわち、情報の損失を伴う方法を使用する圧縮によって起こる。失われた情報は圧縮デジタル表現からなくなるので、圧縮表現と未圧縮表現が同じ意味情報を含む場合でも、圧縮デジタル表現から暗号化技術を使用して作成されたダイジェストは、圧縮前のデジタル表現から作成されたダイジェストと同じにならない。一般的に言えば、Schneiderの論文で提示された方法は、画像の特徴の空間位置など、圧縮の影響を受けない画像の特性からダイジェスト値を算出することによってこの問題に対処している。連続的な画像である場合、ダイジェスト値は、連続的な画像の順序を使用して算出される。

アナログフォームを認証するために使用される意味ダイジェストを、同様な方法を使用して算出することができる。たとえば、文書の意味ダイジェストは以下のように算出することができる。
１．意味ダイジェストを保持するダイジェスト文字列の現在の長さを「０」に設定する。
２．文書内の第１の英数字から、文書内にもはや文字がなくなるまで以下のステップを実行する。
ａ．次の文字群を選択する。
ｂ．選択された群について、
ｉ．多数のOCRエラーを生じさせるＯ、０、ｏ、Ｉ、ｉ、ｌ、１、またはｃ、ｅなどの群内の文字を、「don't care」文字で置きかえる。
ｉｉ．群内の文字からハッシュ値を生成する。
ｉｉｉ．ハッシュ値を意味ダイジェスト文字列に付加する。
ｃ．ステップ（ａ）に戻る。
３．文書内にもはや文字がなくなった時点で、ダイジェスト文字列から意味ダイジェストを作成する。

意味ダイジェスト文字列内の連続した値は、このように算出されると、ダイジェストを算出するために使用される連続した文字の順序を反映する。アナログフォームから算出された新しい意味ダイジェスト内の連続した値が、古い意味ダイジェスト内の連続した値と高い割合で一致する場合、各文書が同じ意味情報を含む確率が高い。

アナログフォームを用いた認証の適用
１つの適用分野は、書かれた文書を全体的に認証することである。文書が任意の長さであり、ダイジェストがかなりの量の内容から算出される範囲で、ダイジェストは、曖昧な一致を可能にするように算出する必要がある。ダイジェストを文書の厳しく制約された部分から算出する場合、厳密な一致を使用することができる。

他の適用分野は、電子キャッシュ、電子小切手、銀行カードなどの金融関連文書を認証することである。この場合、ダイジェストが算出される部分は厳しく制約され、セキュリティのために厳密な一致が必要になることがある。すべてのこれらの適用分野では、前述のようにダイジェスト、または場合によっては意味情報自体を暗号化してデジタル署名が作成される。

汎用の紙のキャッシュおよびデジタルキャッシュ
デジタルキャッシュは現在、純粋に電子的な支払い媒体である。デジタルキャッシュの所与の項目は、固有の通し番号およびデジタル署名から成る。意味情報を使用した認証によって、デジタルキャッシュを紙のデジタルキャッシュとして印刷することができる。この紙のキャッシュは、背景画像、通し番号、および金額を有する電子画像から印刷される。通し番号および金額は意味情報である。通し番号および金額はデジタル署名を作成するために使用され、デジタル署名は背景画像内に電子透かしとして埋め込まれる。紙のキャッシュは、金の支払いを行うあるあらゆる機械によって印刷することができる。したがって、ＡＴＭは紙幣の代わりに紙のデジタルキャッシュで支払をすることができる。同様に、自動販売機は紙のデジタルキャッシュで釣りを支払うことができ、商人も同様にすることができる。紙のデジタルキャッシュは、紙幣と同様に使用することができる。商人（または自動販売機）が紙のデジタルキャッシュで支払いを受けたときは、（OCR技術および透かし読取り装置を含む）特殊なスキャナを使用して、印刷された画素から透かし（すなわち、通し番号および金額）を検出し、銀行へ送信し、現在クレジットカードに対して行われているのと同様に検証することができる。

デジタル小切手
デジタル小切手は、紙のデジタルキャッシュに使用されるのと同じ方法を使用して作成することができる。デジタル小切手は、背景画像、銀行口座の識別子、支払い金額、および支払い者の名前を含む。支払い者の専用鍵〔秘密鍵〕を使用して、少なくとも銀行の個人認証および支払い金額からデジタル署名が作成され、このデジタル署名が背景画像に電子透かしとして埋め込まれる。デジタル小切手の書込みは、金額を入力すること、支払い者の専用鍵を使用して銀行口座番号および金額からデジタル署名を作成すること、デジタル署名を背景画像に埋め込むことの３ステップ処理から成る。銀行は、デジタル小切手から透かしを検出し、支払い者の公開鍵を用いてデジタル署名を解読し、画像の銀行口座番号および金額を小切手の表面上の銀行口座番号および金額と比較することによって、小切手を検証する。デジタル小切手は、電子形式で使用することも、あるいは紙形式で使用することもできる。後者の場合、紙の小切手から透かしを読み取るのに（OCR技術および透かし読取り装置を含む）スキャナが必要である。

ID〔身元証明〕カードの認証
紙のデジタルキャッシュまたはデジタル小切手を認証するための前述の方法は、バンクカードを含むIDカードと共に使用することができる。カード番号またはその他の個人識別情報は、カードの表面に記載され、デジタル署名として暗号化され、バンクカードの背景画像にデジタル透かしとして埋め込まれる。この暗号化は、カードを発行する機関の専用鍵を用いて行うことができる。商人は、スキャナを使用してカードからデジタル署名（すなわち、カード番号またはその他のID）を検出し、この署名を、カード内部に記憶されている認証と比較する。この方法はもちろん、ホログラフィックロゴなど従来の認証技術と組み合わせることができる。

活性透かし：図６ないし図８
従来、デジタル透かしはラベルに過ぎなかった。デジタル透かしは通常、デジタル表現の所有者および作成者の識別子などの情報と、アクセス制御情報、たとえば、デジタル表現をコピーまたは変更できるかどうかを含んでいる。しかし、デジタル透かしにはあらゆる情報を含ませることができる。透かし内の情報が、講じるべき処置を記述している場合、透かしは活性になり、活性透かしを含むデジタル表現も活性化される。これは、たとえばMicrosoft Active Documentsで行われているように、デジタル表現をプログラム内にカプセル化する通常の方法と逆である。デジタル透かしはデジタルシステムで使用されるので、透かしを活性化する最も簡単な方法は、デジタル表現が現在存在しているコンピュータシステムによって実行できるプログラムコードを透かしに含めることである。機能の観点からすると、このコードは、コンピュータシステムがコードを実行できるあらゆる言語でよい。しかし、実際には、最も新しいコンピュータシステムがインタプリタを有するJava（登録商標）TMやPerlなどの言語でこのコードを書くのが最良である。

図６は、活性透かし619を作成するシステム601の概略図である。透かしは、前述のように所有者情報605、アクセス情報607、および所有者定義情報609を含み、さらにコード611を含む透かし情報603から作成される。コード611は、所与のクラスのデジタル表現用の標準的なコードでよく、あるいは特に所与のデジタル表現用に定義することができる。コード611はもちろん、透かし情報603中の他の情報をデータとして使用することもできる。透かし情報603およびデジタル表現613は透かしマーカ615に入力され、透かしマーカ615は、デジタル表現617、すなわち透かし情報603から作成された透かし619を含むように修正されたデジタル表現613を出力する。透かし情報603がコード611を含むので、透かし619は活性透かしである。

図11は、アクセス情報607の好適な実施例を示す。この情報は、以下のようにフィールドを含む。
・ユーザに許可されるアクセスの種類を示す８ビットの許可（Ｐ）フィールド。このようなアクセスの種類には、表示を許可するアクセス、部分的なコピーを記憶することを許可するアクセス、および印刷を許可するアクセスがある。
・値がデジタル表現の内容の感度を示す４ビットの感度フィールド。
・デジタル表現を配置することが許可されているIPアドレスを含む32ビットの配置許可フィールド。
・デジタル表現の使用が許可されている期間を含む32ビットの許可期間フィールド。

図７は、コード611に存在する可能性のあるプログラムの例を示す。プログラム701はJava（登録商標）プログラミング言語で書かれる。プログラム701は、Java（登録商標）インタプリタによって解釈されるJava（登録商標）バイトコードにコンパイルされる。このようなバイトコードはデジタル透かしに埋め込まれる。プログラム701が実行されると、活性透かしを含むデジタル表現617が表示されたことを示すメッセージが、おそらく手数料を計算することを目的としてデジタル表現617の表示を監視するために設定されているシステムにインターネットを介して送信される。コードの703行は、監視システムにデータグラムを送信するためのソケットｓを設定する。コードの709行は、705に名前*syscop.crg.edu*という名前で指定された監視システムの現在のインターネットアドレスを取得する。1715行は、メッセージの新しいデータグラムパケットを作成する。このパケットは、メッセージ内容*XXYZ Displayed*およびインターネットアドレスａを含む。最後に、1719行は、ソケットｓに関連付けされたsend動作によりメッセージを送信し、インターネットがこのメッセージを、ａで指定された宛先に送信する。

図８は、活性透かし619内のコードを実行するシステム801を示す。活性透かし619を含むデジタル表現617が透かし読取り装置803に入力され、透かし読取り装置803が活性透かし619から透かし情報603を抽出する。情報603は、透かし読取り装置803がコードインタプリタ805に供給するコード611を含む。コードインタプリタ805はコード611を解釈し、コードインタプリタ805が実行されているコンピュータシステムによって実行できる命令を供給する。実施例によっては、コードインタプリタは、Java（登録商標）など標準的な言語用のコンピュータシステムが搭載しているインタプリタであり、他の実施例では、インタプリタ805を透かし読取り装置803の構成要素として設けることができる。このような実施例では、コード611は、特に活性透かし用に設計された言語で記述することができる。

活性透かし619によって、活性透かしが読み取られるコンピュータシステムは、活性透かしに含まれるコードによって記述できるあらゆる動作を実行することができる。唯一の制限は、コードが透かしの一部であることによって課される。このような制限の１つはコードサイズであり、透かしに含まれるコードは必然的にかなり短くなければならない。この制限は「損失なし」圧縮方法、すなわち、情報の損失を伴わない圧縮方法を使用してコードを圧縮することによって軽減することができる。他の制限は、透かしが損傷するとコードも損傷する恐れがあることである。したがって、活性透かしは、デジタル表現617が「損失のある」処理、すなわち、デジタル表現617の情報の損失を招く処理に関与する状況ではうまく機能しない可能性がある。このような損失のある処理の例としては、デジタル表現の編集、１つのフォーマットから別のフォーマットへのデジタル表現の損失のある変換、デジタル表現の損失のある圧縮、古いデジタル表現から作成されたアナログフォームから新しいデジタル表現を作成すること（たとえバーコードが、透かしを文書の紙のコピーから読み取ることによって得られた場合）が挙げられる。

もちろん、ダイジェストの厳密な一致に関連して上記で論じたような方法を適用して、破損した透かしまたはアナログフォームからコードを回復することができ、このような方法が首尾良く行われる範囲で、損失のある処理が実行された場合でも活性透かしを使用することができる。たとえば、コピー機が透かし読取り装置と、活性透かしで使用されるコード用のインタプリタとを含む場合、活性透かしを使用して、たとえば、コピー機がアナログフォームをコピーするのを防止することができる。

活性透かしを用いて実行できることとして以下のことが挙げられる。
・透かしを含むデジタル表現を処理する方法をカスタム化すること。コード611は、各デジタル表現クラスごとに異なるものでよく、あるいは単一のデジタル表現に特定のものであってもよい。
・デジタル表現が表示、コピー、印刷、または編集されるときはいつでもそのデジタル表現にメッセージを送信させること。たとえば、活性透かしがWebサーバ上に記憶されている文書がサーバからダウンロードされたときはいつでも、活性透かしは、課金情報を含むメッセージを課金サーバへ送信させることができる。
・デジタル表現の動作および使用法を支配する部分的に得られる情報をデジタル表現に含めること。
・ユーザが、アクセス情報603では許可されていない何かをデジタル表現を用いて行おうとしたときに、デジタル表現に保護動作を取らせること。この保護動作は、メッセージを送信することによる警告、または意図された処置をブロックすることから、透かしを含むデジタル表現を破棄するなどにわたってよい。

透かしエージェント
デジタル表現は、デジタルデータと同様に、容易にコピーしネットワークを介して配送することができるので、所有者に対する特殊な問題を課す。しかし、デジタルデータのこのような特性のために、透かしの入ったデジタル表現の配送および使用の監視を自動化することも可能になる。これを行うための１つの方法は透かしスパイダである。「従来技術の説明」で述べたように、透かしスパイダは、スパイダが検索し、透かしがあるかどうか検査するWebページのURLアドレスを辿る。スパイダは、該当する透かしを見つけた場合、その結果を監視プログラムに報告する。透かしスパイダには２つの問題がある。第１の問題は、大衆が利用できるURLによってアクセスできるデジタル表現に制限されることである。したがって、透かしスパイダは、デジタル表現のコピーをWWWサーバ上では見つけることができるが、WWWクライアント上では見つけることができない。他の問題は、スパイダが、調べるべき各デジタル表現をネットワークを介して取り込まなければならないことである。デジタル表現は容量が大きい場合が多いので、この取込みを行う必要がある場合、ネットワークトラフィックの量が大幅に増加する。

これらの問題は共に、ネットワーク透かしエージェント、すなわち、ネットワークを使用してあるシステムから、当該のデジタル表現が記憶されている可能性のあるシステムに移動する透かしモニタによって解決することができる。透かしエージェントは、各システムごとに、そのシステムのファイルシステムに該当する透かしを有するデジタル表現があるかどうかを調べる。透かしエージェントは、このような透かしを見つけた場合、その結果と共にメッセージをネットワークを介して監視プログラムに送信することができる。したがって、透かしエージェントは、公開URLを介して利用することのできないデジタル表現を監視することができ、ネットワーク帯域幅の使用が比較的少なく、かつデジタル表現よりも小さなメッセージを送信するためにのみ使用する。以下に、透かしエージェントの作成と、システム内での透かしエージェントの動作の両方について詳しく説明する。

透かしエージェントの作成：図９
図９は、透かしエージェント925を作成しネットワーク103を介して配送し、透かしエージェントからのメッセージに応答する透かし監視システム901を示す。透かしエージェント925は、それ自体をネットワーク103内のあるノードから別のノードに送信できるプログラムである。透かしエージェント925は、各ノードで、透かしの入った文書を探索し、その結果を含むメッセージ935を監視システム901に送信し、監視システム901において、メッセージハンドラ920は、多くの場合管理データベース903に情報を追加することによってメッセージに対処する。

さらに詳しく説明すると、エージェント925は２つの主要部分、すなわち、エージェント925がノードに到達したときに実行されるエージェントコード927と、コードを実行する際と次のノードに移動する際にエージェント925によって使用される情報を含むエージェントコード929とを有する。エージェントコード927は最小限で、ノードで、透かしを入れることのできるファイルを探索するコードと、必要なメッセージを作成し監視システム901に送信するコードと、エージェント925の複製を作成するコードと、この複製を次のノードに送信するコードとを含む。活性透かし中のコードと同様に、コード927はノードで実行できるあらゆる言語で書くことができる。すなわち、Java（登録商標）など標準的な言語または専用透かしエージェント言語を使用することができる。

図12は、透かしエージェント925が実行できるコードの、Java（登録商標）言語で書かれた例を示す。コード1201は、エージェント925が現在位置しているネットワークノードのファイルシステムで画像ファイルを探索し、各画像ファイルに透かしがあるかどうかを検査し、透かしが見つかった場合、その透かしおよびノードによって必要とされる動作を実行し、実行した動作のリストを含むメッセージを作成する。

さらに詳しく説明すると、コード1201は初期設定1203および検査ループ1213の２つの主要部分を含む。初期設定1203において、第１のステップでは、ファイルフィルタがインスタンス化されノードのファイルシステム内のファイルがフィルタリングされる（1205）。次いで、画像ファイルを見つけるフィルタの機能を使用して、ファイルシステム内の画像ファイルの名前のリストfilenamesが作成される（1207）。その後、エージェントが透かしを検査するために必要とするノードの環境に関する情報が検索され、変数envにセットされる（1209）。最後に、透かし検査の結果を保持するためにresultsと呼ばれるデータ構造が作成される。

ループ1213では、filenames内の各ファイルが順次、透かしがあるかどうか調べられる（1215）。透かしが見つかった場合、1217に示されている動作が実行される。まず、透かしの内容が環境情報と比較され、matchと呼ばれる結果が得られる（1219）。次いで、matchは、その値によって決定される動作をし、動作の結果を表す値resultを返す関数に渡される（1221）。最後に、resultはデータ構造resultsに付加され（1223）、次いで1225で、resultsが返される。透かしエージェントがどのように使用されているかに応じて、resultsをメッセージに含めて監視システム901に送信することができる。

エージェントデータ929についてさらに詳しく説明すると、エージェントデータ929は、マップ931、デジタル表現記述933、鍵934、およびパラメータ921を含む。マップ931はネットワーク103内のアドレスのリストである。各アドレスは、エージェント925が動作できる環境を生成できるネットワーク103内のエンティティを指定する。アドレスはたとえば、ＥメールアドレスまたはIPアドレスでよい。デジタル表現記述933は、エージェントが探しているデジタル表現を記述した任意の情報でよい。ファイル名に関するフィルタがあってよく、透かしから得られる個人認証情報があってもよい。たとえば、調べるべきファイルが.bmpファイルである場合、フィルタは、.bmpサフィックスが付いたすべてのファイルを調べる必要があることを示す*.bmpを指定することができる。透かしを読み取るために透かし鍵が必要である場合、鍵934は、メッセージを暗号化する際に使用すべき鍵を含む。鍵の安全を維持するために利用可能なあらゆる方法を使用することができる。好適な実施例では、パラメータには以下のものが含まれる。
・エージェントによって送信されるメッセージのＥメールアドレス。
・エージェント925がアクセスできなかったファイルについて報告するかどうか。
・最後の監視の日付と、この日付の後で更新されたファイルのみを検査するかどうか。
・活性透かし619でコード611を実行すべきかどうか。
・エージェント925の終了条件。

エージェント925は、デジタル表現マネージャ131の構成要素として実現することのできるエージェントジェネレータ923によって作成される。エージェントジェネレータ923は、管理データベース903内の情報と、この場合は監視システム901のユーザから対話によって供給されるように示されているが、管理データベース903に記憶することもできるエージェントパラメータ921とからエージェント925を作成する。管理データベース903内の情報は、エージェントテンプレート905(i)、すなわち、様々な種類のエージェント925用のエージェントコードを生成するためにパラメータ921および管理データベース903内のその他の情報と共に使用されるいくつかのテンプレートのうちの１つを含む。疑わしいサイト907は、調べる価値がある可能性のあるネットワーク位置のリストである。疑わしいサイト907のリストに載せるべきサイトに関する１つの情報源はもちろん、すでに配送されたエージェントから受信されたメッセージである。ネットワーク情報909はネットワークに関する情報である。疑わしいサイト907とネットワーク情報909は共に、エージェント925内のマップ931を生成するために使用される。デジタル表現情報911は最終的に、エージェントが探すデジタル表現に関する情報を含む。この情報は、DR記述933を作成するために使用される。所与のデジタル表現または一群のデジタル表現に関する情報911(i)は、デジタル表現の透かし用の透かし鍵913と、所有者ID 915、ユーザID 917、および使用許可情報919を含め、透かしから得られる情報とを含むことができる。ユーザID 917は、デジタル表現がダウンロードされたユーザの個人認証である。このように監視システム901によってエージェント905が作成された後、エージェント925はそれ自体を複製し、マップ931に指定されている第１のエンティティに必要な種類のメッセージにこの複製を埋め込み、そのメッセージを第１のエンティティに送信する。その後、エージェント925は終了する。

ネットワークノード内の透かしエージェント：図10
図10は、透かしエージェント925によるノードの監視に関与するネットワークノード1001の構成要素を示す。この構成要素には以下のものが含まれる。
・エージェント925がそのコードを実行する環境を生成するエージェントエンジン1003、すなわち、エージェント925を含むメッセージがアドレス指定されるエンティティ。
・エージェント925に関係するデジタル表現1023を含む第１の記憶装置1031。
・デジタル表現1023をファイルとしてアクセスできるようにするファイルシステム1029。
・透かしを読み取る透かし読取り装置1019。
・エージェント925内のコードを解釈し、活性透かし内のコードが、エージェント925で使用されているコードと同じ言語で記述されている場合、活性透かし内のコードを解釈することもできるコードインタプリタ1011。

SC 1035は任意選択の保護コプロセッサであり、その機能についてはセキュリティの議論において詳しく説明する。

構成要素1001の動作を以下に示す。エージェント925を含むメッセージがネットワーク103からエージェントエンジン1003に到着すると、エージェントエンジン1003はメッセージからエージェント925を抽出し、都合の良いときにコードインタプリタ1011を使用してそのコードの実行を開始する。コードが実行することはもちろん任意である。通常、コードは以下のことを実行する。
１．コードがノードに到着したことを示すメッセージをシステム901に送信する。
２．DRDESC 993からファイルフィルタを得て、スパイダ1009に与え、フィルタに一致するファイルのリストを作成する。
３．リスト上の各ファイルについて、以下のことを行う。
ａ．スパイダ1009を使用してファイルのファイルIDを得る。
ｂ．ファイルID 1021を透かし読取り装置1019に与え、透かし読取り装置1019が、鍵934から得た透かし鍵を使用して、透かしがあればそれを読み取る。
ｃ．透かしの内容1017を受信する。
ｄ．コード927の指定に応じて透かしの内容1017を処理する。この処置には、システム901にメッセージを送信すること、または活性透かしのコードおよびデータ1015をコードインタプリタ1011に渡して実行し、代わりにデータ1013を受信することを含むことができる。
４．すべてのファイルが処理されると、以下の処理が行われる。
ａ．アクセスの結果および次にアクセスすべきノードに関する要約情報と共にメッセージをモニタシステムに送信する。
ｂ．エージェント925の複製を作成し、マップ931内に指定された次のアドレスに送信する。
ｃ．エージェント925を終了させる。

上記で指摘したように、透かしエージェントが行うことはほぼ任意である。透かしエージェントによって処理されている文書が活性透かしを有する場合、該当する文書を処理する作業を透かしエージェント内のコードと活性透かし内のコードとの間で分割する任意の数の方法がある。たとえば、上記の例では、上記のステップ3(d)を文書の活性透かし内のコードを実行することのみで構成することができる。

ステップ3(d)で実行される処置は通常、透かし内の情報が、エージェント925がファイルを見つけた時間にも場所にも一致しないか、あるいは時間および／または場所がファイルのアクセス特権に不適切なものでであるときに実行される。処置は、パラメータ921内のパラメータによって指定される定義済みの１組の処置のうちの１つでも、エージェント925のコード927によって定義される処置でも、あるいは活性透かしによって定義される処置でもよい。定義済みの処置には以下のことが含まれる。
１．ファイルの感度レベルが非常に高い場合にファイルを破棄する。
２．感度レベルが中程度である場合にファイルを安全な場所に移す。
３．感度レベルが低い場合には以下のことを行う。
ａ．感度が低い場合にローカル管理者またはwebマスタに侵害があることを警告する。
ｂ．感度が低い場合に受信者に侵害があることを警告する。
ｃ．感度が低い場合に侵害を報告するメッセージをファイルの所有者に送信する。
４．感度レベルが非常に低い場合、ローカルホストおよびローカル管理者の動作を妨げることなくモニタ901にメッセージを送信する。

次の宛先に進む前に、透かしエージェント925は、次の宛先に関する情報を含むモニタ901からのメッセージを待つことができる。この情報は以下のものを含むことができる。
・エージェントがこの宛先に最後にアクセスした時間。
・宛先に関する情報、たとえば、宛先で調べるべきデジタル表現に関する詳細情報。

非配送透かしエージェント
透かしエージェントと透かしスパイダの重要な違いは、透かしエージェントが、文書が記憶または処理されているシステム内の文書と対話し、したがって、透かしスパイダよりもずっと多くの機能を実行できることである。この違いの他の結果として、透かしエージェントは移動する必要がなく、単にシステムの永久構成要素として埋め込むことができる。たとえば、複写機は、コピー中の紙の文書の透かしを読み取り、文書をコピーすべきでないことを文書の透かしが示しているときに複写機が文書をコピーすることを妨げる透かしエージェントを含むことができる。このような非配送透かしエージェントの重要な応用例は、紙のデジタルキャッシュのコピーの防止である。

もちろん、複写機がネットワークにアクセスできる場合、場合によっては「非配送」透かしエージェントは少なくとも、ネットワークを介して複写機に移動することができ、ネットワークは複写機の透かしエージェントを更新する好都合な方法を実現する。「非配送」透かしエージェントはもちろん、ネットワークを介してアクセスできるあらゆるシステムと同様に配送することができる。

セキュリティの問題
いくつかの場合、たとえば、民間の軍用または商用のネットワークまたはシステムでは、エージェント925は敵国または競合会社では動作せず、モニタ901およびエージェントエンジン1003は場合によってはオペレーティングシステムの一体部分として実現される。しかし、たいていの場合、エージェント925は、少なくとも４つの点で敵国または競合会社で動作する。
・エージェント925がそれ自体を送信するノードは、そのノード上で実行すべきコードを含む外部からのメッセージに適切な疑いをかける。
・ノード上のユーザは、デジタル表現を受信したときの条件に違反した範囲で、自分の動作を隠し、かつ／またはエージェント925をディスエーブルする必要がある。
・ネットワーク103の他のユーザは、エージェント925とモニタ901の間で交換されるメッセージの内容に関心を抱く可能性がある。

これらの問題のうちの第１の問題は、「悪意あるエージェントの問題」である。これは、コードをダウンロードし実行するシステムに一般的なことであり、このような場合に使用されるのと同じソリューションをエンジン1003およびエージェント925に適用することができる。たとえば、透かしエージェントのコードがJava（登録商標）で記述されている場合、透かしエージェントが実行されるシステムは、Java（登録商標）インタプリタから与えられるあらゆる保護の恩恵に浴することができる。ノードのマネージャは、エージェントエンジン1003およびエージェント925がノードを破損しないことをかなり確信している場合、単にデジタル表現をダウンロードする条件としてエンジン1003およびエージェント925を受け入れることができる。たとえば、デジタル表現マネージャがデジタル表現をノードにダウンロードするためのトランザクションは、エージェントエンジン1003の存在および操作性を確認するエージェントエンジン1003へのメッセージを含むことができる。メッセージが適切に応答しなかった場合、デジタル表現マネージャは、ノードがトランザクションをさらに実行する前にエージェントエンジン1003をダウンロードでしインストールしておくことを要求することができる。

これらの問題のうちの残りを「悪意のあるノードの問題」と呼ぶ。これらの問題は、Schneier（前出）に記載された標準暗号化技術によって解決することができる。たとえば、デジタル表現マネージャおよび各エージェントエンジン1003は公開鍵と専用鍵の対を有することができる。この場合、ネットワーク情報909は、所与のノードにあるエージェントエンジン1003の公開鍵を含み、アクセスすべきノード内のエージェントエンジン1003の公開鍵はマップ931に含められる。デジタル表現によって送信されるあらゆるメッセージ、またはエージェント925によってエージェントエンジン1003に送信されるあらゆるメッセージは、エージェントエンジン1003の公開鍵を使用して暗号化することができ、エージェントエンジン1003またはエージェント925によってデジタル表現マネージャに送信されるあらゆるメッセージは、デジタル表現マネージャの公開鍵を使用して暗号化することができる。デジタル表現マネージャの公開鍵はもちろん、エージェント925の鍵934に含めることができる。メッセージの認証は標準デジタル署名技術を使用して行うことができる。たとえば、エージェントデータ929は、エージェント925のデジタル表現マネージャからのデジタル署名を含むことができ、デジタル表現マネージャからエージェントエンジン1003へのメッセージは、デジタル表現マネージャのデジタル署名を含むことができ、エージェントエンジン1003からのメッセージはエージェントエンジン1003のデジタル署名を含むことができる。

E.KochおよびJ. Zhao著「Towards Robust and Hidden Image Copyright Labeling」（前出）に記載されたように暗号化技術を使用して透かしが作成される場合、エージェントは透かしを解読する方法を有さなければならない。状況に応じて、透かしは、エージェントエンジンへの他のメッセージと同様に透かしエージェントの公開鍵を用いて暗号化し、デジタル署名を用いて認証することができ、あるいは透かしがそれ自体の鍵913を有することができる。前者の場合、透かしエージェントの公開鍵を保護しなければならず、後者の場合は、透かし鍵913を保護しなければならない。というのは、この鍵へのアクセスにより、デジタル表現を盗もうとする者がデジタル表現の透かしを除去または改ざんすることができるからである。エージェント925を送信している間、透かし鍵913はエージェント925内の情報の残りの部分と同様に暗号化によって保護することができる。エージェント925が解読された後、透かし鍵913およびエージェントエンジン1003の専用鍵を、エージェント925から現在アクセスされているノードで保護しなければならない。エージェントエンジン1003の専用鍵は、エージェント925から現在アクセスされているノードのユーザが、専用鍵を使用して、エージェントエンジン1003エンジンにアドレス指定されているメッセージを解読するか、あるいはエージェント1003のデジタル署名を付加することを防止するようにさらに保護されなければならない。

これらの鍵保護問題を解決する１つの方法は、J.D. TygerおよびBennet Lee著「Secure Coprocessors in Electronic Commerce Applications」（FIRST USENIX WORKSHOP ON ELECTRONIC COMMERCE、1995年７月）に記載された保護コプロセッサである。1033に示すように、保護コプロセッサは保護記憶装置1035および保護プロセッサ1045を含む。保護記憶装置1035は保護プロセッサ1045を介さないかぎりアクセスできず、保護コプロセッサ1033は、保護プロセッサ1045を介さずに保護コプロセッサ1033内の情報にアクセスすることを試みると情報が破棄されるように内蔵されている。保護コプロセッサ1033は、保護記憶装置1035に情報を書き込み保護記憶装置1035から情報を読み取ることができ、暗号化および解読も行い、デジタル署名を作成し検証する。これらの動作は、保護記憶装置1035に記憶されているコードを実行することによって完全に実行することも、あるいはコードと1047および1049に示す専用ハードウェア装置との組合せによって完全に実行することもできる。暗号化時および解読時に使用され、かつデジタル署名を作成し検証する際に使用される鍵は保護記憶装置1035に記憶される。図10には、透かし用のWM鍵913、モニタ公開鍵1039、エージェントエンジン公開鍵1041、およびエージェントエンジン専用鍵1043が示されている。公開鍵の場合、保護記憶装置1035に記憶されるのは単に都合上の問題であり、保護プロセッサ1045は、ノード1001の構成要素からの要求に応答して公開鍵にアクセスすることができる。WM鍵913およびエージェントエンジン1003の専用鍵1043の場合、解読された鍵913および1043は保護プロセッサ1033内でのみ使用される。

システム1001では、エージェントエンジン1003の公開鍵を用いて暗号化されたメッセージがエージェントエンジン1003に到着すると、エージェントエンジン1003は保護プロセッサ1033を使用してこのメッセージを解読する。メッセージがエージェント925を含む場合、エージェントエンジン1003はやはり保護プロセッサ1033を使用して、エージェント925のデジタル署名がデジタル表現マネージャからのものであることを検証し、WM鍵913を解読する。解読された鍵は、エージェントエンジン1003には返されず、保護記憶装置1035に記憶される。次いで、SWM読取り装置1019は保護コプロセッサ1033を使用して、エージェント925によって現在検査されているデジタル表現中の透かしを解読する。

透かしエージェントを使用する応用例
透かしエージェントは、プログラムされるのでほぼあらゆることを行うことができる。透かしエージェントの柔軟性は、その使用が活性透かしの使用と組み合わされたときに拡大する。透かしエージェントの１組の応用例では、著作権を有するデジタル表現の使用状況が著作権所有者または許可機関のために監視される。著作権所有者または許可機関はたとえば、透かしエージェントを使用して、デジタル表現の未許可コピーを見つけるか、あるいは許可済みコピーの使用状況を定期的に監視することができる。活性透かしを有する文書は、印刷されるたびに、ノードのエージェントエンジン1003に保持されている使用量カウンタをインクリメントさせることができ、エージェント925は、このノードにアクセスしたときにカウント値を読み取り、現在のカウント値を管理データベース903に報告し、カウンタをリセットすることができる。

他の１組の応用例では、侵害に関する債務を回避するためにデジタル表現の使用状況が監視される。たとえば、企業では、未許可のデジタル表現をネットワーク内に有しておらず、かつ許可済みのデジタル表現がそのライセンス条件に従って使用されていることを確認する必要が生じる場合がある。エージェントは、企業のネットワーク内のデジタル表現の使用状況を許可機関の場合と同様に監視することができる。この例では、監視には場合によっては不正なコピーを破棄することも含まれる。

他の１組の応用例では、未許可のコピー、走査、または印刷が防止される。これは、ネットワーク内のサーバおよびクライアント上の「非移動」透かしエージェントによって行うことができ、あるいは複写機、スキャナ、プリンタなどの装置に内蔵された「非移動」透かしエージェントによって行うこともできる。たとえば、通貨に「No copy」透かしが埋め込まれ、写真複写機が、そのような透かしを探し、見つけたときにコピーを禁止するエージェントを有する場合、写真複写機は通貨のコピーを作成しない。

軍用または商用の文書セキュリティ規則を強化するために透かしエージェントを使用することもできる。このような応用例では、文書のセキュリティ分類が透かしとして文書に埋め込まれ、透かしエージェントが、軍用または商用のファイルシステムおよびネットワークで、セキュリティ分類の必要に応じた対処がなされていない文書を探索する。この例として、誤った場所にある文書、または所定の期間よりも長く保持されている文書が挙げられる。エージェントがとる動作は、報告および警告から、文書に対するアクセス権の変更または文書の安全な位置への移動、さらには誤った場所にある文書の即時破棄にわたってよい。この場合も、このことを行うエージェントは、配送する必要がなく、ファイルシステムの単なる永続的な構成要素であってよい。

最後に、軍用または商用のファイルシステムまたはネットワークで失われた文書を見つけるために透かしエージェントを使用することができる。各文書に固有の識別子が関連付けされており、この識別子が一方ではデータベース内に保持され、他方では文書の透かしに埋め込まれている場合、透かしエージェントに単に汎用識別子を与え、透かしエージェントを送信し、ファイルシステムまたはネットワークで文書を探索することができる。エージェントは、文書を見つけた後、エージェントを送出した人に文書の位置を報告することができる。

結論
上記の詳細な説明では、文書のアナログフォームとデジタル表現との間の変換の影響を受けない認証を含む文書を作成し使用する方法、活性透かしを有するデジタル表現を作成し使用する方法、配送透かしエージェントを含む透かしエージェントを作成し使用する方法を当業者に開示し、さらにこのような認証を作成し、活性透かしを作成し、透かしエージェントを作成するための、発明者に知られている最良の態様を開示した。開示された方法は、きわめて一般的なものであり、多数の異なる目的のために多数の異なる方法で実現することができる。たとえば、認証技術は任意の種類の意味情報に基づく方法でよく、意味情報から認証情報を得、認証情報をデジタル表現またはアナログフォームに含め、認証情報を比較する方法として多くの方法がある。同様に、活性透かし用のプログラムコードはあらゆるプログラミング言語で記述することができ、ソース形式でも、あるいはオブジェクト形式でもよく、実行されたときに任意の動作を行うことができる。透かしエージェントも、任意の処置を実行することができ、メッセージを送信しネットワーク内のノード間を移動するための様々な方法を使用することができる。透かしエージェントはもちろん、認証情報を実行することができ、かつ活性透かしのコードを実行することができる。

方法が非常に一般的なものであり、任意の多くの方法で実現できるので、詳細な説明は、すべての点で例示的なものとみなすべきであり制限的なものとみなすべきではなく、本明細書で開示された発明の範囲は、詳細な説明からではなく、特許法によって許可される全範囲によって解釈される特許請求の範囲から決定すべきである。

本願の親出願（特願２０００−５４７７６６）の国際出願時の特許請求の範囲を下記に記載しておく。
〔請求項１〕
デジタル表現に認証情報を付加する装置であって、
デジタル表現から作成されるアナログフォームに保存される認証情報を、デジタル表現中の意味情報を使用して作成する認証装置と、
意味情報の意味が変更されないように認証情報をデジタル表現に埋め込む埋込み装置とを備える装置。
〔請求項２〕
前記埋込み装置が、認証情報を、アナログフォームを介助なしで読み取った場合に知覚できない形で埋め込む、請求項１に記載の装置。
〔請求項３〕
前記知覚できない形がデジタル透かしである、請求項２に記載の装置。
〔請求項４〕
前記埋込む装置が、認証情報を、アナログフォームを介助なしで読み取った場合に知覚できる形でデジタル表現に埋め込む、請求項１に記載の装置。
〔請求項５〕
前記知覚できる形がバーコードである、請求項１に記載の装置。
〔請求項６〕
前記認証情報が、意味情報から作成されたダイジェストである、請求項１から４のいずれか１項に記載の装置。
〔請求項７〕
前記認証情報が、アナログフォームから意味情報を読み取る際の些細なエラーに関して堅牢である、請求項１から４のいずれか１項に記載の装置。
〔請求項８〕
前記認証情報が、意味情報の順序を少なくとも部分的に反映する、請求項７に記載の装置。
〔請求項９〕
前記デジタル表現が文書のデジタル表現であり、
意味情報が文書内の英数字を含む、請求項１から５のいずれか１項に記載の装置。
〔請求項１０〕
前記デジタル表現が文書のデジタル画像であり、
前記装置が、英数字を認識する光学式文字読取り装置を含む、請求項９に記載の装置。
〔請求項１１〕
前記デジタル画像が、文書のアナログフォームを走査することによって作成され、
走査されたアナログフォームから作成されたコピーに認証情報を付加する、請求項１０に記載の装置。
〔請求項１２〕
前記デジタル表現が、英数字を表すデジタルコードを含み、
前記装置が、英数字を表すデジタルコードを認識するパーサを含む、請求項９に記載の装置。
〔請求項１３〕
前記デジタル表現から作成されたアナログフォームが紙のデジタルキャッシュである、請求項９に記載の装置。
〔請求項１４〕
前記デジタル表現から作成されたアナログフォームが紙のデジタル小切手である、請求項９に記載の装置。
〔請求項１５〕
前記デジタル表現から作成されたアナログフォームがIDカードである、請求項９に記載の装置。
〔請求項１６〕
請求項９に記載の装置を使用して、プリンタから印刷されたアナログフォームに認証情報を追加するプリンタ。
〔請求項１７〕
アナログフォーム中の意味情報を使用して作成され、意味情報の意味が変更されないようにアナログフォームに埋め込まれた第１の認証情報を含むアナログフォームが真正であるかどうかを判定する装置であって、
アナログフォーム中の意味情報を認識する意味情報認識装置と、
アナログフォームから第１の認証情報を読み取る認証情報読取り装置と、
認識された意味情報から第２の認証情報を算出し、第１の認証情報と第２の認証情報を比較することによってアナログフォームが真正であるかどうかを判定する認証装置とを備える装置。
〔請求項１８〕
前記認証情報が、アナログフォームを介助なしで読み取った場合にに知覚できない形で埋め込まれる、請求項１７に記載の装置。
〔請求項１９〕
前記形がデジタル透かしであり、
前記認証情報読取り装置がデジタル透かし読取り装置である、請求項１８に記載の装置。
〔請求項２０〕
前記認証情報が、アナログフォームを介助なしで読み取った場合に知覚できる形で埋め込まれる、請求項１７に記載の装置。
〔請求項２１〕
前記形がバーコードであり、
前記認証情報読取り装置がバーコード読取り装置である、請求項２０に記載の装置。
〔請求項２２〕
前記認証情報が、意味情報から作成されたダイジェストである、請求項１７から２１のいずれか１項に記載の装置。
〔請求項２３〕
前記認証装置が、意味情報認識装置が認識情報を認識する際の些細なエラーに関して堅牢であるように第２の認証情報を算出する、請求項１７から２１のいずれか１項に記載の装置。
〔請求項２４〕
前記認証装置が、しきい値範囲内の部分的な一致によって、アナログフォームが真正であることが示されるように、前記第１の認証情報と第２の認証情報とを比較する、請求項２３に記載の装置。
〔請求項２５〕
前記認証情報が、意味情報の順序を少なくとも部分的に反映する、請求項２３に記載の装置。
〔請求項２６〕
前記認証装置が、意味情報認識装置が意味情報を読み取る際の些細なエラーに関して堅牢であるように第２の認証情報を算出する、請求項１７から２１のいずれか１項に記載の装置。
〔請求項２７〕
前記意味情報が制約を受け、
前記認証装置が、前記第１の認証情報と第２の認証情報が厳密に一致しないときに、前記制約を使用して、認識された意味情報のエラーを補正し、補正された意味情報を使用して第２の認証情報を再計算するエラー補正装置を含む、請求項２６に記載の装置。
〔請求項２８〕
前記アナログフォームが、前記第１の認証情報を含むデジタル表現から作成される、請求項１７から２１のいずれか１項に記載の装置。
〔請求項２９〕
前記アナログフォームが文書であり、
前記意味情報が文書内に英数字を含み、
前記意味情報認識装置が光学式文字読取り装置である、請求項１７から２１のいずれか１項に記載の装置。
〔請求項３０〕
前記文書が紙のデジタルキャッシュである、請求項２９に記載の装置。
〔請求項３１〕
前記文書が紙のデジタル小切手である、請求項２９に記載の装置。
〔請求項３２〕
前記文書がIDカードである、請求項２９に記載の装置。
〔請求項３３〕
請求項２９に記載の装置を使用して、スキャナによって走査されたアナログフォームが真正であるかどうかを判定するスキャナ。
〔請求項３４〕
デジタル表現に認証情報を付加する方法であって、
デジタル表現から作成されたアナログフォームに保存される著作権を有する認証情報を、デジタル表現中の意味情報から作成するステップと、
意味情報の意味が変更されないようにデジタル表現に認証情報を埋め込むステップとを含む方法。
〔請求項３５〕
アナログフォーム中の意味情報を使用して作成され、意味情報の意味が変更されないようにアナログフォームに埋め込まれた第１の認証情報を含むアナログフォームが真正であるかどうかを判定する方法であって、
アナログフォーム中の意味情報を認識するステップと、
前記第１の認証情報を読み取るステップと、
認識された意味情報から第２の認証情報を算出するステップと、
前記第１の認証情報と第２の認証情報とを比較することによってアナログフォームが真正であるかどうかを判定するステップとを含む方法。
〔請求項３６〕
意味情報と、
アナログフォームの一部であるが、意味情報の意味にほとんど影響を与えず、意味情報を使用して作成される認証情報とを備える認証されたアナログフォーム。
〔請求項３７〕
意味情報のデジタル表現と、
デジタル表現の一部であるが、意味情報の意味を変更せず、意味情報のデジタル表現を使用して作成され、デジタル表現から作成されたアナログフォームに存続する認証情報とを備える認証されたデジタル表現。

Claims (9)

1. アナログフォームを作成するもとになりうるデジタル表現を認証する装置であって、
   前記デジタル表現中の、前記アナログフォーム中に存在することになる意味情報を使って第１の認証情報を生成する認証装置と、
   前記第１の認証情報を前記デジタル表現中に埋め込むことを、前記第１の認証情報が前記アナログフォームにおいて保存され、前記意味情報が、前記アナログフォームにおいて、前記第１の認証情報と比較可能である第２の認証情報を生成するために有用なままであるように行う埋込み装置と、を備え、
   前記アナログフォームの真正性を判定するよう、前記第１の認証情報が前記アナログフォームから取得され、前記アナログフォーム中の意味情報から生成された第２の認証情報と比較されることができる、
   装置。
2. 前記埋込み装置が、認証情報を、アナログフォームを介助なしで観察した場合に知覚できない形で埋め込む、請求項１に記載の装置。
3. 前記知覚できない形がデジタル透かしである、請求項２に記載の装置。
4. 前記埋込み装置が、前記第１の認証情報を、アナログフォームを介助なしで観察した場合に知覚できる形でデジタル表現中に埋め込む、請求項１に記載の装置。
5. 前記知覚できる形がバーコードである、請求項４に記載の装置。
6. 前記第１の認証情報が、意味情報から作成されたダイジェストである、請求項１から４のいずれか１項に記載の装置。
7. 前記第１の認証情報が、アナログフォームから意味情報を読み取る際の些細なエラーに関して堅牢である、請求項１から４のいずれか１項に記載の装置。
8. 前記第１の認証情報が、意味情報の順序を少なくとも部分的に反映する、請求項７に記載の装置。
9. アナログフォームを作成するもとになりうるデジタル表現を認証する方法であって、
   前記デジタル表現中の、前記アナログフォーム中に存在することになる意味情報から第１の認証情報を生成する段階と、
   前記第１の認証情報を前記デジタル表現中に埋め込むことを、前記第１の認証情報が前記アナログフォームにおいて保存され、前記意味情報が、前記アナログフォームにおいて、前記第１の認証情報と比較可能である第２の認証情報を生成するために有用なままであるように行う段階と、を含み、
   前記アナログフォームの真正性を判定するよう、前記第１の認証情報が前記アナログフォームから取得され、前記アナログフォーム中の意味情報から生成された第２の認証情報と比較されることができる、
   方法。

Images