JP3863587B2

JP3863587B2 - 管理メッセージへの不正アクセスを防止する方法およびサーバーおよび防止方法を使用する装置

Info

Publication number: JP3863587B2
Application number: JP00572296A
Authority: JP
Inventors: ドヴィトマリオ
Original assignee: Thomson Multimedia SA
Current assignee: Vantiva SA
Priority date: 1995-01-17
Filing date: 1996-01-17
Publication date: 2006-12-27
Anticipated expiration: 2016-01-17
Also published as: JPH08307850A; EP0723371A1; DE69620660T2; DE69620660D1; FR2729521A1; EP0723371B1; FR2729521B1

Description

【０００１】
【産業上の利用分野】
本発明は、管理メッセージへの不正アクセスを防止する方法およびサーバーおよび防止方法を使用する装置に関する。
【０００２】
【従来の技術】
アクセス制御システムまたは条件付きアクセスシステムは所謂保護されたシステム、殊にペイ・パー・ビュー方式のテレビジョンにおいてよく知られている。この種のシステムは、サービス提供者が放送プログラムまたは提供されるデータが、フィーの支払いのような所定の条件を満足したユーザしか利用可能でないことが保証されていることを要求するとき使用される。この目的のために、サービス提供者は、合法的な加入者のみがサービスを使用することができるようにそのサービスに対するアクセスを制御しなければならない。サービス提供者はそれぞれの加入者に、サービスを受信するための端末装置およびアクセス権利も与える。一般に、アクセス権利は、所定の機能、殊に暗号化機能を実施することができるマイクロプロセッサを内蔵しているスマートカードに記憶されている。
【０００３】
図１に示されているように、アクセス制御の今日のシステムは２つの部分を有している：スクランブル化部および制御部。スクランブル化部は、提供されるサービス、例えばビデオ信号、オーディオ信号またはその他のデータに相応する信号を処理する。一般に、制御部は信号をデスクランブル化するために必要な“キー”信号を含んでいる。
【０００４】
図１には、アクセス制御システムにおけるメインデータ流が略示されている。図の左側は、サーバーにおいて実施される動作を表しておりかつ右側は、ユーザ端末において実施される動作を示している。破線で囲まれたブロック１は、端末装置に挿入されたスマートカードにおいて実施される動作を定めている。
【０００５】
【数１】

【０００６】
【数２】

【０００７】
現在、２群のアクセス制御システムが存在する：
−第１のタイプにおいて、すべての加入者の権利は、制限された時間に対してしか有効でなく、その終了時にそれらはリフレッシュされ、参照時間がＥＣＭメッセージにおいて送出される。
【０００８】
−第２のタイプにおいて、そのアクセス権利を変更した加入者に対する更新のみが伝送される。
【０００９】
第１タイプのシステムは、第２タイプのシステムに比べて比較的大きなデータレートを必要とする。というのは、権利は周期的に期限切れになりかつリフレッシュされなければならないからである。権利の変更のみが管理メッセージを発生する第２の方法では、ＥＭＭメッセージのスループットは低い状態を維持するが、悪質な加入者が当該加入者の権利を低減するために向けられているメッセージを取り除く（フィルタリング・アウト）ことによってそれらを逃れる可能性があるというリスクがある。
【００１０】
【発明が解決する課題】
本発明の課題は、権利が部分的にリフレッシュされる、アクセス制御システムにおけるユーザアクセス権利を低減する管理メッセージに関連した問題を解決することである。
【００１１】
【課題を解決するための手段】
この課題は、少なくとも、制御語（ＣＷ）を含む制御データを有しているアクセスメッセージ（ＥＣＭ）と、管理メッセージ（ＥＭＭ）とをユーザの端末装置へ送信するサーバーの管理メッセージへの不正アクセスを防止する方法であって、前記サーバーは、前記アクセスメッセージ（ＥＣＭ）を第１のチャネルを通じて第１のレートで前記端末装置へ送信し、前記サーバーは、ユーザの権利を拡大する、肯定的な管理メッセージ（ＥＭＭ−Ｐ）である第１のタイプの管理メッセージ（ＥＭＭ）を前記第１のチャネルとは独立した第２のチャネルを通じて前記第１のレートとは異なる第２のレートで前記端末装置へ送信し、前記サーバーは、ユーザの権利を縮小する、否定的な管理メッセージ（ＥＭＭ−Ｎ）である第２のタイプの管理メッセージ（ＥＭＭ）を前記第１のチャネルおよび前記第２のチャネルとは独立した第３のチャネルを通じて前記第１のレートおよび前記第２のレートとは異なる第３のレートで前記端末装置へ送信し、前記否定的な管理メッセージ（ＥＭＭ−Ｎ）には前記サーバーが有する挿入回路によって現時点の制御語部分（ＣＷ［０］）が挿入され、前記サーバーは、あるアクセスメッセージ（ＥＣＭ ) と所定時間離れた別のアクセスメッセージとの挟まれた時間内の否定的な管理メッセージ（ＥＭＭ−Ｎ）の数を、前記別のアクセスメッセージに挿入して、前記端末装置に送信し、前記２つのアクセスメッセージ（ＥＣＭ）に挟まれた時間内の、前記制御語部分（ＣＷ［０］）を有する否定的な管理メッセージ（ＥＭＭ−Ｎ）の数が前記端末装置によって計数され、当該計数値と前記別のアクセスメッセージ（ＥＣＭ）に挿入された数とを比較することによって、前記否定的な管理メッセージ（ＥＭＭ−Ｎ）の真正性を検査する、ことを特徴とする、管理メッセージへの不正アクセスを防止する方法によって解決される。また上述の課題は、管理メッセージへの不正アクセスを防止するサーバーであって、当該サーバーは、少なくとも、制御語（ＣＷ）を含む制御データを有しているアクセスメッセージ（ＥＣＭ）をユーザの端末装置へ送信する回路と、管理メッセージ（ＥＭＭ）をユーザの端末装置へ送信する回路とを有している形式のものにおいて、前記サーバーは、前記アクセスメッセージ（ＥＣＭ）を第１のチャネルを通じて第１のレートで前記端末装置へ送信し、前記サーバーは、ユーザの権利を拡大する、肯定的な管理メッセージ（ＥＭＭ−Ｐ）である第１のタイプの管理メッセージ（ＥＭＭ）を前記第１のチャネルとは独立した第２のチャネルを通じて前記第１のレートとは異なる第２のレートで前記端末装置へ送信する回路を有しており、前記サーバーは、ユーザの権利を縮小する、否定的な管理メッセージ（ＥＭＭ−Ｎ）である第２のタイプの管理メッセージ（ＥＭＭ）を、前記第１のチャネルおよび前記第２のチャネルとは独立した第３のチャネルを通じて前記第１のレートおよび前記第２のレートとは異なる第３のレートで前記端末装置へ送信する回路を有しており、前記サーバーは前記否定的な管理メッセージ（ＥＭＭ−Ｎ）に現時点の制御語部分（ＣＷ［０］）を挿入する回路を有しており、前記サーバーは、あるアクセスメッセージ（ＥＣＭ ) と所定時間離れた別のアクセスメッセージとの挟まれた時間内の否定的な管理メッセージ（ＥＭＭ−Ｎ）の数を、前記別のアクセスメッセージに挿入して、前記端末装置に送信する回路を有しており、前記２つのアクセスメッセージ（ＥＣＭ）に挟まれた時間内の、前記制御語部分（ＣＷ［０］）を有する否定的な管理メッセージ（ＥＭＭ−Ｎ）の数が前記端末装置によって計数され、当該計数値と前記別のアクセスメッセージ（ＥＣＭ）に挿入された数とが比較されることによって、前記否定的な管理メッセージ（ＥＭＭ−Ｎ）の真正性が検査される、ことを特徴とする、管理メッセージへの不正アクセスを防止するサーバーによって解決される。さらに上述の課題は、請求項１に記載された防止方法を使用する装置であって、当該装置は端末装置を含み、該端末装置は少なくとも１つのデマルチプレクサとデスクランブル化回路とフィルタとスマートカードを含み、前記デマルチプレクサの各出力と、前記デスクランブル化回路の入力、前記フィルタの入力、前記スマートカードの入力とがそれぞれ接続されており、さらに、前記フィルタの出力と前記スマートカードの前記入力とは異なる入力とが接続されており、さらに、前記スマートカードの出力と前記デスクランブル化回路の前記入力とは異なる入力とが接続されており、ただし前記デマルチプレクサは前記サーバーから受信した少なくともサービスデータ、アクセスメッセージ（ＥＣＭ）、否定的な管理メッセージ（ＥＭＭ−Ｎ）および肯定的な管理メッセージ（ＥＭＭ−Ｐ）を分離して出力するものであり、前記デスクランブル化回路は、前記スマートカードによって提供される管理信号に従ってデータをデスクランブル化するものであり、前記フィルタは、前記スマートカード上に格納されているアドレスに一致するアドレスを有する肯定的な管理メッセージ（ＥＭＭ−Ｐ）を出力するものであり、前記デマルチプレクサから出力された前記肯定的な管理メッセージ（ＥＭＭ−Ｐ）は前記フィルタを介して前記スマートカードに送出され、前記デマルチプレクサから出力された前記否定的な管理メッセージ（ＥＭＭ−Ｎ）は前記フィルタを介さず直接前記スマートカードに送出される、ことを特徴とする、請求項１に記載された防止方法を使用する装置によって解決される。管理メッセージは公知の方法でアクセス制御メッセージ（ＥＣＭ）と多重化されている。
【００１２】
有利な実施例において、否定的なＥＭＭは、スマートカードの処理能力に整合されている低スループットのバーチャルチャネルを介してユーザのスマートカードに直接送出され、かつ肯定的なＥＭＭは、該スマートカードにアドレス指定されていないメッセージを除去するフィルタを介してスマートカードに送出される。
【００１３】
【実施の形態】
次に本発明を図示の実施例につき図面を用いて詳細に説明する。
【００１４】
図２に示されているように、サービス提供者によって供給されるデータは例えば、デジタルＶＣＲ機ＶＣＲ_Ｎを介して信号ｓの形において供給される映画とすることができる。これらの信号ｓは、公知の方法で、例えばコンピュータまたは擬似ランダム２進周波数発生器のような別の特有の回路を使用して発生することができる制御語ＣＷに制御されて動作するスクランブル化装置Ｓに送出される。スクランブル化装置Ｓの出力側においてコード化された信号は関数ｆ（ｓ，ｃｗ）である。
【００１５】
更に、公知の方法において、スクランブル化された情報に対する条件付きアクセスを保証するために、サービス提供者は幾つかのメッセージも送出する。これらメッセージは主にアクセスメッセージＥＣＭであり、これらメッセージによって、特に、制御語ＣＷまたはスクランブル化されたサービスの単位期間に相応するキーが再形成されることが可能になる。アクセスメッセージＥＣＭはまた、それ自体サービス属性に関するデータを含んでいる。サービス提供者は、ユーザ群の権利が変更されることを可能にする管理メッセージＥＭＭも送出する。
【００１６】
本発明によれば、管理メッセージＥＭＭは２つのタイプに分割されている：ユーザの権利を低減する“否定的な”メッセージＥＭＭ−Ｎ（例えば、ユーザが自分の勘定を支払わなかったときのユーザ抹消、または一層制限された範囲のサービスに対するアクセス、これには加入タイプの変化が伴う）およびユーザの権利を拡大する“肯定的な”管理メッセージＥＭＭ−Ｐ。この場合、ＥＭＭ−Ｎメッセージを侵害することができないことが重要である。
【００１７】
図２に示されているように、信号ｆ（ｓ，ｃｗ），ＥＣＭ，ＥＭＭ−Ｎ，ＥＭＭ−Ｐによって構成されたデータはマルチプレクサＭ_Ｘに送出され、該マルチプレクサは、ユーザに送出される出力データＤを発生する。
【００１８】
本発明では、否定的な管理メッセージＥＭＭ−Ｎが低スループットのバーチャルチャネルを介して送出されることが重要である。この低スループットのバーチャルチャネルは、機密性、真正性、現時点のサービスシーケンスに対する真正性、および１つの単位期間中に、要求された数の否定的な管理メッセージが出現することを保証する。メッセージの機密性により、海賊が、メッセージの送り先のスマートカードのアドレスを知ることが防止される。この機密性は例えば、ＤＥＳ（ Data Encryption Standard ）アルゴリズムまたは秘密鍵を使用するいずれかの別の暗号化装置のような公知の暗号化装置を使用して、秘密鍵を用いたメッセージの対称的な暗号化操作を実施することによって得られる。真正性により、管理メッセージを変更する、またはそれを別のものと置換することが不可能であることが保証される。否定的な管理メッセージＥＭＭ−Ｎに対するこの真正性は、スマートカードおよび送り手に既知の秘密鍵を用いて暗号関数によってこのメッセージを次のようにハッシングすることによって保証される。すなわち、管理メッセージがどのように変更されても結果が変わり、スマートカードがエラーを検出できるようにすることによって保証される。このハッシュ関数の使用は、暗号化装置が非常に広範な出力能力を提供するときは不要である。なぜなら、この場合暗号化されたメッセージの１ビットにでも変更があれば結果的にデコード化されるメッセージの大きな変化が生じ、ひいては管理メッセージアドレスが変化する確率が高いからである。現時点のサービスシーケンスに対する真正性によって、真正であると認められたＥＭＭメッセージが別のシーケンスの期間に伝送された別のメッセージに置換されることを防止する。このことは、直前のＥＣＭメッセージおよび目下のＥＭＭ−Ｎメッセージをリンクさせることによって保証される。このリンクは、後で説明する図３に示されているように、例えばこのＥＭＭ−Ｎメッセージに、それぞれのシーケンスの特徴でありかつシーケンス毎に変化する、先行のＥＣＭの制御語の、ＣＷ（０）と称されるランク０のバイトを挿入することによって行われる。更に、ＥＭＭ−Ｎメッセージの計数は、送出された最後のＥＣＭアクセスメッセージから送出されるべき次のＥＣＭアクセスメッセージまで実施される。それ故にスマートカードは、所定のアクセスメッセージに続く否定的な管理メッセージを計数し、得られた総数を次のアクセスメッセージに書かれた数と比較することができる。
【００１９】
加入者のカードが真正性または計数を異常と検出するとき、該カードは、次の単位サービス期間のデスクランブル化を可能にする制御語ＣＷを引き渡さない。
【００２０】
実際に、高スループットバーチャルチャネルのみが、肯定的な管理メッセージＥＭＭ−Ｐ、すなわちユーザの権利を拡張するメッセージを担持する。
【００２１】
デコーダに関する図４に示されているように、この場合、当該スマートカードにアドレス指定されていない肯定的な管理メッセージＥＭＭ−Ｐを、当該管理メッセージに関連付けられたアドレスおよび当該スマートカードによって供給されるアドレスを比較することによって取り除くために、スマートカードに保護されていないフィルタが前置接続されている。このために、少なくとも肯定的な管理メッセージのアドレスはフィルタに対して理解できるものでなければならない。海賊による変形を回避するために、ＥＭＭ−Ｐメッセージを担持するチャネルは、その真正性を保証しなければならない。このことは例えば、よく知られているＭＤ５関数（図３）のように、カードおよび送り手にとって既知の秘密鍵を用いて暗号化法関数を使用してＥＭＭ−Ｐメッセージをハッシングことによって実現される。
【００２２】
次に、本発明による、種々の保護されたメッセージの生成の例を図３を参照して説明する。
【００２３】
上述したように、サービス提供者によって送信される信号は、他のものの中に、毎秒１ＳＡの周波数で送信されるサービス属性メッセージＳＡ、毎秒１ＥＭＭ−Ｎの周波数で送信される、アドレス指定データおよび新しい権利を定義するデータを含んでいる否定的な管理メッセージＥＭＭ−Ｎ、および毎秒１０００ＥＭＭ−Ｐの周波数で送信される、アドレス指定データおよび新しい権利を定義するデータを含んでいる肯定的な管理メッセージＥＭＭ−Ｐを含んでいる。図３に示されているように、ＳＡ属性は、制御語ＣＷの挿入を可能にする回路を介して送信される。それから得られたメッセージは、最後のアクセスメッセージＥＣＭを送信してから送信されたＥＭＭ−Ｎの数を挿入する新規な回路２を介して送信される。この情報は、２つのＥＣＭメッセージ間に送信されたＥＭＭ−Ｎの数を記憶する記憶回路３から得られる。記憶回路自体は、後で説明するインクリメント回路６に接続されている。更に、挿入回路２は記憶回路３に動作の都度リセットメッセージを送出する。回路２からのメッセージは、第１の秘密鍵を使用して公知の方法で暗号化しかつ暗号化されたアクセスメッセージＥＣＭを出力する暗号化回路に送出される。
【００２４】
否定的な管理メッセージ源は、メッセージＥＭＭを、記憶回路４に記憶されていた現時点の制御語の部分ＣＷ［０］を挿入する回路５に送出する。この操作の目的は、現時点のサービスシーケンスに関連するメッセージを承認することである。回路５からのメッセージＥＭＭ−１は、その前のアクセス制御メッセージＥＣＭ以来送信されたＥＭＭ−Ｎメッセージの数のインクリメントを行う回路６に送出される。次いで、メッセージＥＭＭ−１は、マニュアル“BSAFE: a cryptographic toolkit”（RSA Data Security Inc., version 2.0）に記載されているＭＤ５関数のような公知のハッシュ関数を使用する第２の秘密鍵を用いてメッセージＥＭＭ−１のバイトをハッシングする回路７に送出される。回路７から出力されるメッセージＥＭＭ−２は、それを第３の秘密鍵を使用して暗号化しかつ暗号化されたＥＭＭ−Ｎメッセージを出力する暗号化回路に送出される。
【００２５】
ＥＭＭ−Ｐメッセージ源はメッセージＥＭＭを、ＥＭＭ−Ｐメッセージを得るために、上述のＭＤ５ハッシュ関数を使用した、第４の秘密鍵を用いてメッセージＥＭＭのバイトをハッシングする。
【００２６】
図４に示されているように、サーバーによって送出される多重化されたデータＤは、デコーダにおけるデマルチプレクサＭ_ｘ ^−１によって受信され、該デマルチプレクサは、要求されたサービスに相応するデータをスクランブル化された形において出力する。これらデータは、デスクランブル化装置Ｓ^−１に送出され、該デスクランブル化装置は、それがスマートカードから制御語ＣＷを受信したとき、ユーザによって要求された映画に相応する信号のような、サービスに相応するデータｓを出力する。デマルチプレクサはまた、毎秒１のレートで受信されるアクセスメッセージＥＣＮ、毎秒１の低データレートで受信された否定的な管理メッセージＥＭＭ−Ｎ、およびフィルタ化可能なアドレスを指示する肯定的な管理メッセージＥＭＭ−Ｐを出力し、その際フィルタ化可能なアドレスは、高レートで受信されかつ、フィルタに送出され、低データレートで、正しいアドレスを有する管理メッセージのみがスマートカードに送出される。“低データレート”は、スマートカードのデータ処理能力に匹敵するレートを意味している。
【図面の簡単な説明】
【図１】アクセス制御システムにおけるデータの公知の流れの略図である。
【図２】本発明の方法を適用するために必要なサーバーにおける主要部の概略図である。
【図３】本発明の保護されたメッセージの生成の例を詳細に示すブロック線図である。
【図４】本発明の方法の適用下で使用されるデコーダの略図である。
【符号の説明】
１スマートカード、Ｓスクランブル化装置、Ｓ^−１デスクランブル化装置、ＥＭＣアクセスメッセージ、ＥＭＭ−Ｐ肯定的な管理メッセージ、ＥＭＭ−Ｎ否定的な管理メッセージ

Claims

少なくとも、制御語（ＣＷ）を含む制御データを有しているアクセスメッセージ（ＥＣＭ）と、管理メッセージ（ＥＭＭ）とをユーザの端末装置へ送信するサーバーの管理メッセージへの不正アクセスを防止する方法であって、
前記サーバーは、前記アクセスメッセージ（ＥＣＭ）を第１のチャネルを通じて第１のレートで前記端末装置へ送信し、
前記サーバーは、ユーザの権利を拡大する、肯定的な管理メッセージ（ＥＭＭ−Ｐ）である第１のタイプの管理メッセージ（ＥＭＭ）を前記第１のチャネルとは独立した第２のチャネルを通じて前記第１のレートとは異なる第２のレートで前記端末装置へ送信し、
前記サーバーは、ユーザの権利を縮小する、否定的な管理メッセージ（ＥＭＭ−Ｎ）である第２のタイプの管理メッセージ（ＥＭＭ）を前記第１のチャネルおよび前記第２のチャネルとは独立した第３のチャネルを通じて前記第１のレートおよび前記第２のレートとは異なる第３のレートで前記端末装置へ送信し、
前記否定的な管理メッセージ（ＥＭＭ−Ｎ）には前記サーバーが有する挿入回路によって現時点の制御語部分（ＣＷ［０］）が挿入され、
前記サーバーは、あるアクセスメッセージ（ＥＣＭ ) と所定時間離れた別のアクセスメッセージとの挟まれた時間内の否定的な管理メッセージ（ＥＭＭ−Ｎ）の数を、前記別のアクセスメッセージに挿入して、前記端末装置に送信し、
前記２つのアクセスメッセージ（ＥＣＭ）に挟まれた時間内の、前記制御語部分（ＣＷ［０］）を有する否定的な管理メッセージ（ＥＭＭ−Ｎ）の数が前記端末装置によって計数され、当該計数値と前記別のアクセスメッセージ（ＥＣＭ）に挿入された数とを比較することによって、前記否定的な管理メッセージ（ＥＭＭ−Ｎ）の真正性を検査する、
ことを特徴とする、管理メッセージへの不正アクセスを防止する方法。
前記端末装置はフィルタとスマートカードを有しており、
前記フィルタの出力と前記スマートカードの入力とが接続されており、
前記端末装置に入力された前記肯定的な管理メッセージ（ＥＭＭ−Ｐ）は、前記フィルタを介して前記スマートカードへ送出され、
ただし前記フィルタは、スマートカード上に格納されているアドレスに一致するアドレスを有する肯定的な管理メッセージ（ＥＭＭ−Ｐ）を出力するものであり、
前記端末装置に入力された前記否定的な管理メッセージ（ＥＭＭ−Ｎ）は前記フィルタを介さず直接前記スマートカードに送出される、請求項１記載の方法。
メッセージの送り先のスマートカードのアドレスが不正使用者に知られてしまうことを防止するために、前記否定的な管理メッセージ（ＥＭＭ−Ｎ）を送出前に暗号化する、請求項１記載の方法。
前記暗号化を、秘密鍵を使用する対称的な暗号化装置によって実施する、請求項３記載の方法。
前記肯定的な管理メッセージ（ＥＭＭ−Ｐ）の第２のレートである伝送周波数は、前記否定的な管理メッセージ（ＥＭＭ−Ｎ）の第３のレートである伝送周波数よりも高い、請求項１記載の方法。
前記第２のレートの伝送周波数は毎秒１０００個のＥＭＭ−Ｐを伝送する周波数であり、前記第３のレートの伝送周波数は毎秒１個のＥＭＭ−Ｎを伝送する周波数である、請求項１から５までのいずれか１項記載の方法。
管理メッセージへの不正アクセスを防止するサーバーであって、
当該サーバーは、少なくとも、制御語（ＣＷ）を含む制御データを有しているアクセスメッセージ（ＥＣＭ）をユーザの端末装置へ送信する回路と、管理メッセージ（ＥＭＭ）をユーザの端末装置へ送信する回路とを有している形式のものにおいて、
前記サーバーは、前記アクセスメッセージ（ＥＣＭ）を第１のチャネルを通じて第１のレートで前記端末装置へ送信し、
前記サーバーは、ユーザの権利を拡大する、肯定的な管理メッセージ（ＥＭＭ−Ｐ）である第１のタイプの管理メッセージ（ＥＭＭ）を前記第１のチャネルとは独立した第２のチャネルを通じて前記第１のレートとは異なる第２のレートで前記端末装置へ送信する回路を有しており、
前記サーバーは、ユーザの権利を縮小する、否定的な管理メッセージ（ＥＭＭ−Ｎ）である第２のタイプの管理メッセージ（ＥＭＭ）を、前記第１のチャネルおよび前記第２のチャネルとは独立した第３のチャネルを通じて前記第１のレートおよび前記第２のレートとは異なる第３のレートで前記端末装置へ送信する回路を有しており、
前記サーバーは前記否定的な管理メッセージ（ＥＭＭ−Ｎ）に現時点の制御語部分（ＣＷ［０］）を挿入する回路を有しており、
前記サーバーは、あるアクセスメッセージ（ＥＣＭ ) と所定時間離れた別のアクセスメッセージとの挟まれた時間内の否定的な管理メッセージ（ＥＭＭ−Ｎ）の数を、前記別のアクセスメッセージに挿入して、前記端末装置に送信する回路を有しており、
前記２つのアクセスメッセージ（ＥＣＭ）に挟まれた時間内の、前記制御語部分（ＣＷ［０］）を有する否定的な管理メッセージ（ＥＭＭ−Ｎ）の数が前記端末装置によって計数され、当該計数値と前記別のアクセスメッセージ（ＥＣＭ）に挿入された数とが比較されることによって、前記否定的な管理メッセージ（ＥＭＭ−Ｎ）の真正性が検査される、
ことを特徴とする、管理メッセージへの不正アクセスを防止するサーバー。
請求項１に記載された防止方法を使用する装置であって、
当該装置は端末装置を含み、該端末装置は少なくとも１つのデマルチプレクサとデスクランブル化回路とフィルタとスマートカードを含み、
前記デマルチプレクサの各出力と、前記デスクランブル化回路の入力、前記フィルタの入力、前記スマートカードの入力とがそれぞれ接続されており、さらに、前記フィルタの出力と前記スマートカードの前記入力とは異なる入力とが接続されており、さらに、前記スマートカードの出力と前記デスクランブル化回路の前記入力とは異なる入力とが接続されており、
ただし前記デマルチプレクサは前記サーバーから受信した少なくともサービスデータ、アクセスメッセージ（ＥＣＭ）、否定的な管理メッセージ（ＥＭＭ−Ｎ）および肯定的な管理メッセージ（ＥＭＭ−Ｐ）を分離して出力するものであり、
前記デスクランブル化回路は、前記スマートカードによって提供される管理信号に従ってデータをデスクランブル化するものであり、
前記フィルタは、前記スマートカード上に格納されているアドレスに一致するアドレスを有する肯定的な管理メッセージ（ＥＭＭ−Ｐ）を出力するものであり、
前記デマルチプレクサから出力された前記肯定的な管理メッセージ（ＥＭＭ−Ｐ）は前記フィルタを介して前記スマートカードに送出され、
前記デマルチプレクサから出力された前記否定的な管理メッセージ（ＥＭＭ−Ｎ）は前記フィルタを介さず直接前記スマートカードに送出される、
ことを特徴とする、請求項１に記載された防止方法を使用する装置。