JP2013513268A5 - - Google Patents

Description

本発明の実施形態によれば、コンテンツ管理サーバが遠隔コンテンツサーバに対するセキュアなトンネルを確立することを可能にして、特定の資格情報、一般的には、ユーザＩＤとパスワードとを提供することによって自らを許可し、そのトンネルに関して新しいセッション鍵を確立して、一般には、ユーザ装置内に存在するクライアントが、コンテンツ管理サーバであるかのように、そのクライアントがそのコンテンツサーバとの会話を継続することを可能にするために、新しく確立されたセッション鍵を用いて、そのクライアントに信号伝達するための改善された方法およびシステムが提供される。

本発明の本方法のこの実施形態は、そのクライアントがコンテンツ管理サーバであるかのように、そのクライアントが問い合わされたプライベートデジタルコンテンツをコンテンツサーバから取得することを可能にすることになる。

本方法は、そのクライアントがコンテンツ管理サーバであるかのように、クライアントがプライベートデジタルコンテンツを取得することを可能にする。

第５段階（図３のステップ３０９−３１２）において、第４段階で確立されたＣ（ｓ）とＣ（ｂ）との間のＴＣＰ通信チャネルと第１の段階でＣ（ｂ）とＣ（ａ）との間に確立されたＴＣＰ通信チャネルとを通じて、ウェブサーバＣ（ｓ）とＰｅＣＭａｎサーバＣ（ａ）との間にＳＳＬセッション／ＴＬＳセッション２２（図２を参照されたい）が確立される。交換されるメッセージに関する詳細は、ＲＦＣ５２４６に見出すことができる。矢印３１０、３１１、および３１２は、１つの単一のメッセージを送ることを表さず、ＲＦＣ５２４６で詳述される、いくつかのメッセージの交換を表す。すなわち、鍵交換は、Ｃ（ｂ）のＴＣＰ終点を通じて、２つの連結されたＴＣＰセッションを使用して、セキュアな終端間チャネルを介してＣ（ｓ）とＣ（ａ）との間で発生し、Ｃ（ｂ）がウェブサーバの資格情報を捕捉することが不可能にされる。これは、Ｃ（ａ）がそのトンネルに関して確立された新しいセッション鍵を使用しているかのように、ＰｅＣＭａｎクライアントＣ（ｂ）がＣ（ｓ）との会話を継続することを可能にすることになる、本発明のこの実施形態の主要な段階である。

第７段階は、Ｃ（ａ）からＣ（ｂ）にＳＳＬトンネル／ＴＬＳトンネルをデリゲートすることにある。第１のＰｅＣＭａｎＣ（ａ）およびウェブサーバＣ（ｓ）は、新しいセッション鍵（図３に図示せず）を確立し、次いで、ＰｅＣＭａｎサーバＣ（ａ）は、ＰｅＣＭａｎクライアントＣ（ｂ）がセキュアなトンネルを維持するために必要とされるすべてのパラメータを送信し、その新しく確立されたセッション鍵は、一般に、重要なパラメータである。ウェブサーバの資格情報がＣ（ｂ）に漏れることを回避するために、新しい鍵を計算することが重要な点に留意されたい。ＰｅＣＭａｎクライアントＣ（ｂ）がセキュアなトンネルを維持するために必要とされるパラメータは、ＳＳＬセッション／ＴＬＳセッションを暗号化／解読するためのパラメータを含む。データはクライアントがデータを要求するときだけ期待されるため、ウェブサーバはこのデリゲーションの間、ＳＳＬセッション／ＴＬＳセッション上でデータを送信しないことが仮定される。送信された暗号化材料は、一般に、平文で送信されてはならないため、デリゲーションに関して必要とされる通信チャネルは、上記の第２段階で確立されたセキュアな通信チャネルである。ＰｅＣＭａｎクライアントが解読材料を有すると、要求がＰｅＣＭａｎサーバＣ（ａ）から送信されたかのように、ＰｅＣＭａｎクライアントは、プライベート共有データをウェブサーバＣ（ｓ）から直接的に取得することが可能である。

Claims (15)

1. コンテンツサーバＣ（ｓ）上にインストールされたプライベートデジタルコンテンツに対するアクセスを提供するための方法であって、コンテンツ管理サーバＣ（ａ）がプライベートデジタルコンテンツに潜在的に関心を持ついくつかのクライアントを有し、方法が、コンテンツ管理サーバＣ（ａ）で実行される、
   − いくつかのクライアントの１つのクライアントＣ（ｂ）との第１の通信チャネルを確立するステップと、
   − プライベートデジタルコンテンツに関する問合せをクライアントＣ（ｂ）から受信して、適切な応答を送り、クライアントにコンテンツサーバとの第２の通信チャネルを確立させるステップと、
   − 第１の通信チャネルと第２の通信チャネルとを介してコンテンツサーバＣ（ｓ）とセキュアなセッションを確立して、セキュアなセッションを介してプライベートデジタルコンテンツに対するアクセスを可能にするステップと、
   − クライアントがコンテンツ管理サーバであるかのように、クライアントが問い合わされたプライベートデジタルコンテンツをコンテンツサーバから取得することができるように、セキュアなセッションに関する新しいセッション鍵を確立して、前記新しいセッション鍵をクライアントＣ（ｂ）に送信するステップとを含む、方法。
2. 第１の通信チャネルと第２の通信チャネルとを介して確立されたセキュアなセッションを通じてデータ要求をコンテンツサーバに送るステップをさらに含む、請求項１に記載の方法。
3. セキュアなセッションを確立するステップが、以下のセキュアなトンネル、すなわち、ＳＳＬトンネル／ＴＬＳトンネル、ＥＳＰトンネルのうちのいずれか１つを確立するステップにある、請求項１または２に記載の方法。
4. 第１の通信チャネルおよび／または第２の通信チャネルを確立するステップが、第１のＴＣＰセッション／ＩＰセッションおよび／または第２のＴＣＰセッション／ＩＰセッションを確立するステップにある、請求項１から３のいずれかに記載の方法。
5. ウェブサーバＣ（ｓ）がＳＳＬ／ＴＬＳに関して可能にされたクライアント認証機構を維持し、コンテンツサーバＣ（ｓ）とセキュアなセッションを確立するステップが、クライアントノードＣ（ｂ）を認証するステップを含む、請求項１から４のいずれかに記載の方法。
6. クライアントノードＣ（ｂ）を認証するステップが、最終的なＳＳＬ／ＴＬＳのプロトコルメッセージに前記メッセージをコンテンツサーバに送信する前に署名することをクライアントに要求することによって、コンテンツサーバによって要求されたときにクライアントの証明書を再使用することによって可能にされる、請求項５に記載の方法。
7. コンテンツサーバＣ（ｓ）が新しい証明書の真正性を検証することができるように、クライアントノードＣ（ｂ）を認証するステップが、クライアントＣ（ｂ）によって署名されコンテンツ管理サーバＣ（ａ）によって保持される新しい証明書を使用することによって可能にされる、請求項５に記載の方法。
8. コンテンツ管理サーバＣ（ａ）のクライアントＣ（ｂ）によってプライベートデジタルコンテンツを取得するための方法であって、そのプライベートデジタルコンテンツがコンテンツサーバ上にインストールされ、方法が、クライアントによって実行される、
   − コンテンツ管理サーバＣ（ａ）との第１の通信チャネルを確立するステップと、
   − プライベートデジタルコンテンツに関する問合せをコンテンツ管理サーバに送るステップと、
   − コンテンツサーバＣ（ｓ）との第２の通信チャネルを確立するステップであって、前記問合せがコンテンツ管理サーバに第１の通信チャネルと第２の通信チャネルとを介してコンテンツサーバとセキュアなセッションをセットアップさせて、セキュアなセッションを介してプライベートデジタルコンテンツに対するアクセスを可能にさせる、確立するステップと、
   − 第２のセキュアなセッションに関して確立された新しいセッション鍵を受信するステップと、
   − クライアントがコンテンツ管理サーバであるかのように、新しいセッション鍵を使用して、問い合わされたプライベートデジタルコンテンツをコンテンツサーバから取得するステップとを含む、方法。
9. 前記問合せが、さらに、コンテンツ管理サーバに前記セキュアなセッションを通じてデータ要求をコンテンツサーバへ送らせる、請求項８に記載の方法。
10. クライアントＣ（ｂ）とコンテンツ管理サーバＣ（ａ）との間に第１のセキュアなセッションが確立され前記第１のセキュアなセッションを通じて新しいセッション鍵が受信される、請求項８または９に記載の方法。
11. 第１の通信チャネルと第２の通信チャネルとを介したセキュアなセッションが、第１のセキュアなセッションを使用する、請求項８から１０のいずれかに記載の方法。
12. 複数のクライアントのプライベートデジタルコンテンツを編成するためのコンテンツ管理サーバであって、
    プライベートデジタルコンテンツに関する問合せをクライアントから受信した後で、コンテンツサーバとセキュアなセッションを確立して、セキュアなセッションを介してプライベートデジタルコンテンツに対するアクセスを可能にし、
    クライアントがコンテンツ管理サーバであるかのように、クライアントが問い合わされたプライベートデジタルコンテンツをコンテンツサーバから取得することができるように、セキュアなセッションに関する新しいセッション鍵を確立して、前記新しいセッション鍵をクライアントＣ（ｂ）に送信するように構成された、コンテンツ管理サーバ。
13. コンテンツ管理サーバが、ＰｅＣＭａｎサーバなどのコンテンツアグリゲータである、請求項１２のコンテンツ管理サーバ。
14. プライベートデジタルコンテンツにアクセスするためのシステムであって
    − 請求項１２または１３に記載のコンテンツ管理サーバと、
    − プライベートデジタルコンテンツを備えたコンテンツサーバと、
    − いくつかのクライアントとを備え、
    クライアントが、前記新しいセッション鍵を受信して、プライベートデジタルコンテンツをコンテンツサーバから取得するために前記新しいセッション鍵を使用するように構成された、システム。
15. プログラムがコンピュータ上で実行されるとき、請求項１から１１のいずれかに記載の方法を実行するためのコンピュータ実行可能命令を備えたコンピュータプログラム。