JP4565955B2 - 情報利用可否判定方法、端末装置、送信装置、コンテンツ配信システム、およびプログラム - Google Patents

Description

本発明は、放送または通信を用いて、映像、音楽などのデジタルコンテンツと、デジタルコンテンツのライセンスと、デジタルコンテンツの属性または制御情報などを含むメタデータを配信し、ユーザが端末装置でデジタルコンテンツを利用するシステムに関し、特に、メタデータの利用可否判定方法および利用可否判定方法を適用した装置を含むシステムに関する。

近年、音楽、映像、ゲームなどのデジタルコンテンツ（以下、コンテンツと記述）を、インターネットなどの通信や、デジタル放送、ＣＡＴＶ（Ｃａｂｌｅ Ｔｅｌｅｖｉｓｉｏｎ）などを通じて、サーバ装置から端末装置に配信し、端末装置においてコンテンツを利用することが可能なコンテンツ配信サービスが実用化段階に入っている。このコンテンツ配信サービスに用いられる一般的なシステムでは、コンテンツの著作権を保護し、悪意あるユーザなどによるコンテンツの不正利用を防止するため、著作権保護技術が用いられる。著作権保護技術とは、具体的には、暗号技術や認証技術などを用いて、ユーザがコンテンツを再生したり、記録メディアにコピーしたりといったようなコンテンツの利用を、セキュアに制御する技術である。著作権保護技術を用いることにより、コンテンツプロバイダやサービスプロバイダなどの事業者が、ユーザの端末装置におけるコンテンツ利用をセキュアに制御することが可能となる。

ところで、近年では、販売促進などの目的で、コンテンツ本体を補足説明するためのデータであるメタデータがコンテンツプロバイダ等から端末装置に配信され、端末装置ではメタデータを活用し、コンテンツのシーン検索、ダイジェスト視聴など、新たなコンテンツ利用の形態が図られつつある。

その一方、ＣＭスキップのためのシーンインデックスなど意図に反した不正なメタデータが流通する場合があり、デジタルコンテンツを提供するコンテンツプロバイダには、このような不正なメタデータの流通を阻止したいという要求があり、メタデータを作成したメタデータプロバイダがメタデータに施すデジタル署名を用いて、不正なメタデータプロバイダを排除する方法が提案されている（特許文献１参照。）。

従来、特許文献１などに開示されているように、デジタル署名の検証を用いてメタデータの署名者の正当性とメタデータの中身の改ざんを検出し、メタデータの利用可否を判定している。

ここで、従来技術のデジタル署名によるメタデータの利用可否判定について説明する。
メタデータのデジタル署名の検証には、デジタル署名されたメタデータと、メタデータ署名者の公開鍵証明書と、失効した公開鍵証明書のリストであるＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｖｏｃａｔｉｏｎ Ｌｉｓｔ）とが用いられる。なお、メタデータへのデジタル署名は、コンテンツプロバイダや、メタデータプロバイダが行う。

端末装置では、メタデータを利用する場合、次の手順でメタデータの利用可否判定を行う。

まず、メタデータにデジタル署名した署名者の署名者ＩＤがＣＲＬに含まれているか確認する。ここで、署名者ＩＤとは、署名者を一意に特定する識別情報である。署名者ＩＤがＣＲＬに含まれている場合は、メタデータが利用不可と判定する。署名者ＩＤがＣＲＬに含まれていない場合は、メタデータの署名を公開鍵証明書で検証し、改ざんの有無を検出する。改ざんが検出された場合は、メタデータが利用不可と判定する。改ざんが検出されない場合は、メタデータが利用可能と判定する。

つまり、リボークされていない署名者ＩＤを有するメタデータプロバイダによってメタデータが署名されていることを確認し、さらにそのメタデータが改ざんされていないことを確認した場合に限って、そのメタデータを再生したりすることを許可している。なお、デジタル署名の検証については、非特許文献１が詳しい。
特開２００３−５１８１６号公報 ウォーウィック・フォード＋マイケル・バウム著「デジタル署名と暗号技術」 株式会社ピアソン・エデュケーション １９９７年

しかしながら、従来技術のデジタル署名の検証よるメタデータの利用可否判定では、少なくとも１回は不正なメタデータによる障害が発生し、不正発見後にＣＲＬを作成する。このため、万が一にも不正なメタデータによる障害が発生しては困る重要なコンテンツでは、コンテンツプロバイダは、自身がメタデータの中身を確認し、デジタル署名したメタデータのみ利用を許可したいという要求がある。この場合、従来のデジタル署名の検証だけでは要求を実現できないという課題がある。

また、ユーザはメタデータを私的に作成し、ユーザの所有する端末装置のみで利用したいが、従来のデジタル署名によるメタデータの利用可否判定では、全ての端末装置で利用可能にするか、利用不可にするかしかできない。このため、このような利用をコンテンツプロバイダが許可しようとしても、ユーザの作成したメタデータの利用範囲をユーザの所有する端末装置だけに限定できないという課題がある。

また、コンテンツプロバイダは、コンテンツによっては、ユーザによるメタデータの作成や編集を制限したい場合や、コンテンツプロバイダが指定したメタデータを利用させたい場合があるが、デジタル署名だけでは実現できないという課題がある。

つまり、従来のようにＣＲＬを用いたデジタル署名の検証では、不正なメタデータの利用を確実に排除することができないだけでなく、メタデータの柔軟な利用もできないという問題がある。

本発明は、こうした従来の問題点を解決するものであり、コンテンツ配信システムにおいて、コンテンツプロバイダが、コンテンツ毎に、利用可能なメタデータを限定したり、ユーザが作成したメタデータの利用範囲を限定したりすることを可能とするメタデータ利用可否判定方法と、メタデータ利用可否判定方法による判定を行う端末装置を含むコンテンツ配信システムを提供することを目的としている。

つまり、不正なメタデータの利用を確実に排除することができ、メタデータの柔軟な利用も可能とする情報利用可否判定方法およびこの方法を用いたコンテンツ配信システムを提供することを目的とする。

上記課題を解決するために、本発明に係る情報利用可否判定方法においては、コンテンツプロバイダから提供されたコンテンツと、メタデータ提供者から提供され、当該コンテンツを補足するデータであるメタデータとを利用する端末装置に用いられる情報利用可否判定方法であって、前記メタデータの利用制御に関する情報を表す利用制御情報に基づいて当該メタデータの利用可否を判定するメタデータ利用可否判定ステップと、前記メタデータ利用可否判定ステップにおいて前記メタデータの利用が可と判定された場合に、当該メタデータを利用する利用ステップとを含むことを特徴とする。

より具体的には、前記利用制御情報には、利用可能なメタデータの提供者の範囲を指定する情報を表す第１署名者識別情報が含まれ、前記メタデータには、前記第１署名者識別情報で指定されるメタデータ提供者の署名と、当該署名の署名者を特定する情報を表す第２署名者識別情報とが含まれており、前記メタデータ利用可否判定ステップでは、前記第１署名者識別情報で指定されるメタデータ提供者と、前記第２署名者識別情報と、署名の検証とに基づいて、メタデータの利用可否を判定することを特徴とすることができる。

また、前記利用制御情報には、コンテンツ利用時におけるメタデータの参照方法を指定する情報を表す参照指示情報が含まれ、前記メタデータ利用可否判定ステップでは、前記参照指示情報に基づいて、コンテンツ利用時におけるメタデータの利用可否を判定することを特徴とすることができる。

また、前記利用制御情報には、メタデータの編集可否に関する情報を表す編集可否情報が含まれ、前記メタデータ利用可否判定ステップでは、前記編集可否情報に基づいて、メタデータの利用可否を判定することを特徴とすることができる。

また、前記利用制御情報には、前記端末装置でユーザにより作成された自作メタデータの利用可否を表す制御可否情報が含まれ、前記メタデータ利用可否判定ステップでは、前記制御可否情報に基づいて、メタデータの利用可否を判定することを特徴とすることができる。

また、前記利用制御情報には、前記端末装置でユーザにより作成された自作メタデータの移動範囲を指定する移動範囲指定情報が含まれ、前記メタデータ利用可否判定ステップでは、前記移動範囲指定情報に基づいて、メタデータの利用可否を判定することを特徴とすることができる。

以上のように本発明によれば、従来のようにＣＲＬを用いてリボークされているか否か判定しなくても、コンテンツのライセンスなどに含まれるメタデータの利用制御に関する情報を表す利用制御情報、具体的には署名者識別情報や、参照指示情報、編集可否情報、制御可否情報、移動範囲指定情報に基づいて当該メタデータの利用可否を判定することができる。したがって、不正なメタデータの利用を確実に排除することができ、メタデータの柔軟な利用も可能とすることができる。

つまり、ＣＲＬを用いずに、コンテンツのライセンスにより、利用可能なメタデータをコンテンツプロバイダがデジタル署名したメタデータのみに限定することが可能となる。また、コンテンツプロバイダが指定したメタデータを利用させることが可能となる。さらに、ユーザによるメタデータの作成、および編集を制限することや、ユーザが作成したメタデータの移動範囲を制限することが可能となる。

なお、本発明は、このような情報利用可否判定方法として実現することができるだけでなく、このような情報利用可否判定方法が含む特徴的なステップを手段とする端末装置として実現したり、この端末装置を含むコンテンツ配信システムとして実現したり、それらのステップをコンピュータに実行させるプログラムとして実現したりすることもできる。そして、そのようなプログラムは、ＣＤ−ＲＯＭ等の記録媒体やインターネット等の伝送媒体を介して配信することができるのはいうまでもない。

以下、本発明における実施の形態について、図面を用いて詳細に説明する。
図１は、本発明の実施の形態に係るコンテンツ配信システムの全体の概略構成を示す図である。

図１に示すように、コンテンツ配信システム１は、会員管理サーバ１０と、コンテンツ配信サーバ２０と、メタデータ配信サーバ３０と、ライセンス管理サーバ４０と、認証サーバ５０と、端末装置６０と、これらを通信可能に接続する伝送路Ｎとを備える。

会員管理サーバ１０は、このコンテンツ配信システム１に加入したユーザを管理するためのユーザ情報ＤＢ１１０を有するコンピュータ装置であり、端末装置６０にドメイン鍵１１２を送信する。

コンテンツ配信サーバ２０は、コンテンツプロバイダ（ＣＰ）が使用するコンピュータ装置であって、コンテンツプロバイダＩＤ２１２と、コンテンツプロバイダの秘密鍵と、当該秘密鍵に対する公開鍵と、公開鍵証明書と、コンテンツ暗号鍵４１５と、コンテンツ本体などとを保有し、暗号化コンテンツ２１０の作成と、暗号化コンテンツ２１０の端末装置６０への送信とを、少なくとも行う。

メタデータ配信サーバ３０は、メタデータプロバイダ（ＭＰ）が使用するコンピュータ装置であって、メタデータプロバイダＩＤと、メタデータプロバイダの秘密鍵と、当該秘密鍵に対する公開鍵と、公開鍵証明書５１０と、メタデータ３１０などとを保有し、コンテンツに対するメタデータ３１０の作成と、メタデータ３１０の端末装置６０への送信とを、少なくとも行う。

ライセンス管理サーバ４０は、暗号化コンテンツ２１０や、メタデータ３１０を利用するためのライセンス４１０の作成と、ライセンス４１０の端末装置６０への送信とを、少なくとも行う。

認証サーバ５０は、ＣＡ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）が使用するコンピュータ装置であって、ＣＡの秘密鍵と、当該秘密鍵に対する公開鍵等を保持し、公開鍵証明書５１０と、ＣＰ，ＭＰ，ＣＡなどの公開鍵証明書５１０の作成と、ＣＲＬ５２０の作成と、ＣＲＬ５２０の端末装置６０への送信とを、少なくとも行う。

端末装置６０は、暗号化コンテンツ２１０と、メタデータ３１０の利用とを、少なくとも行う。なお、端末装置６０には通信部や、耐タンパ部等を備え、認証通信や、暗号鍵の取得や、暗号化や、復号などの暗号が関連する処理は、暗号鍵の流出などが発生しないように耐タンパ部で行われる。また耐タンパ部は、ドメイン鍵１１２、暗号化コンテンツ２１０、メタデータ３１０、ライセンス４１０、ＣＡ公開鍵証明書５１０、ＣＰ公開鍵証明書５１０、ＣＲＬ５２０等を記憶する記憶部と、メタデータの利用可否を判断するメタデータ利用可否判定部と、メタデータ利用可否判定部の判定結果に基づいてコンテンツやメタデータを利用する利用部等とを備える。

伝送路Ｎは、インターネット等の通信ネットワークや、デジタル放送、あるいは、これらが複合したネットワークである。

次いで、コンテンツ配信システム１におけるメタデータ３１０と暗号化コンテンツ２１０の利用に至る処理概略を説明する。

図２は、メタデータ３１０と暗号化コンテンツ２１０の利用に至る通信手順を示すシーケンス図である。

会員管理サーバ１０は、会員登録要求に基づいて、端末装置６０にドメイン鍵１１２を配信する（Ｓ１１００）。

コンテンツ配信サーバ２０は、暗号化コンテンツ２１０を作成し（Ｓ１２００）、コンテンツ取得要求に基づいて、暗号化コンテンツ２１０を端末装置６０に送信する（Ｓ１２１０）。

メタデータ配信サーバ３０は、メタデータ３１０を作成し（Ｓ１４００）、端末装置６０からのメタデータ取得要求に基づいて、作成したメタデータ３１０を端末装置６０に送信する（Ｓ１４１０）。

ライセンス管理サーバ４０は、ライセンス４１０を作成し（Ｓ１３００）、ライセンス購入要求に基づいて、ライセンス４１０を端末装置６０に送信する（Ｓ１３１０）。

端末装置６０は、会員管理サーバ１０からドメイン鍵１１２を受信し（Ｓ１０００）、コンテンツ配信サーバ２０から暗号化コンテンツ２１０を受信し（Ｓ１０１０）、ライセンス管理サーバ４０からライセンス４１０を受信し（Ｓ１０２０）、メタデータ配信サーバ３０からメタデータ３１０を受信し（Ｓ１０３０）、メタデータ３１０と暗号化コンテンツ２１０を利用する（Ｓ１０４０）。

なお、以下の説明に記述されるコンテンツの暗号化方式は、ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）やＴｒｉｐｌｅ ＤＥＳ（Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）等の共通鍵暗号アルゴリズムが用いられるのが一般的であるが、以下に説明する処理は特定の暗号方式に依存しない。

また、デジタル署名の方式には、ＲＳＡやＥＣ−ＤＳＡ（Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）等の公開鍵暗号アルゴリズムが用いられるのが一般的であるが、以下に説明する処理は特定の暗号方式に依存しない。

また、ハッシュ計算方式は、ＳＨＡ−１（Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ １）やＭＤ５等が用いられるのが一般的であるが、以下に説明する処理は特定のハッシュ計算方式に依存しない。

また、会員管理サーバ１０と、コンテンツ配信サーバ２０と、メタデータ配信サーバ３０と、ライセンス管理サーバ４０とから端末装置６０に送信されるコンテンツ選択画面等のユーザインタフェース画面は、インターネットを通じて、ＨＴＴＰ等のプロトコルにより送信されるＨＴＭＬ（ＨｙｐｅｒＴｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）や、ＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）等のスクリプト言語で記述されたウェブページ、あるいはデジタル放送により送信されるＢＭＬ（Ｂｒｏａｄｃａｓｔｉｎｇ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）で記述されたページが一般的であるが、以下に説明する処理は特定のページ記述方式に依存しない。

まず、端末装置６０のドメイン鍵受信に至る処理について具体的に説明する。
会員管理サーバ１０は、図３に示されように、ユーザＩＤ１１１と、ドメイン鍵１１２の組から構成されるユーザ情報ＤＢ１１０を保有している。ここで、ユーザＩＤ１１１とは、端末装置６０の所有者毎に与えられるＩＤである。また、ドメインとは、ユーザの所有する端末装置６０で構成される集合であり、ドメイン鍵１１２とは、同じドメイン鍵１１２を持つ端末装置間のみにデータの送受信が限定されるように、データの暗号化や、認証通信に用いられる暗号鍵のことである。例えば、図３において、「ＸＸＸＡＡＡ」のユーザＩＤ１１１に対して、「ＸＸＸＣＣＣ」のドメイン鍵１１２が割り当てられていることを示している。

端末装置６０は、会員管理サーバ１０にユーザＩＤ１１１を含む会員登録要求を送信する。会員管理サーバ１０は、端末登録要求を端末装置６０から受信すると、ユーザ情報ＤＢ１１０からユーザＩＤ１１１に対応するドメイン鍵１１２を取得し、ドメイン鍵１１２を端末装置６０に送信する（Ｓ１１００）。端末装置６０は、ドメイン鍵１１２を受信し（Ｓ１０００）、受信したドメイン鍵１１２を耐タンパ部の記憶部に格納する。

通信路Ｎを通じて、会員管理サーバ１０と端末装置６０との間でドメイン鍵１１２を送受信する場合には、セキュリティを確保するため、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）などの安全な認証チャネル（Ｓｅｃｕｒｅ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｃｈａｎｎｅｌ、以下、ＳＡＣと記述）を確立してから、データの送受信を行う。

なお、本実施の形態では、会員管理サーバ１０と端末装置６０との間でＳＡＣを確立してからドメイン鍵１１２を送受信したが、端末装置６０に固有鍵（例えば、端末ＩＤ）が格納されており、会員管理サーバ１０が各端末装置６０の固有鍵を管理している場合には、ドメイン鍵１１２を端末装置６０の固有鍵で暗号化して会員管理サーバ１０から端末装置６０に送信するなどしてもよい。

次に、暗号化コンテンツ２１０の受信に至る処理について具体的に説明する。
端末装置６０は、コンテンツ配信サーバ２０に、コンテンツ選択要求を送信する。コンテンツ配信サーバ２０は、端末装置６０のコンテンツ選択要求に応じて、コンテンツ選択画面を作成し、端末装置６０へ送信する。端末装置６０は、コンテンツ配信サーバ２０から受信したコンテンツ選択画面を表示し、ユーザの操作により選択されたコンテンツのコンテンツＩＤ２１１を含むコンテンツ取得要求をコンテンツ配信サーバ２０に送信する。なお、コンテンツ選択画面は、端末装置６０においてコンテンツが選択されると、対応するコンテンツＩＤ２１１を含むコンテンツ取得要求がコンテンツ配信サーバ２０に送信されるようになっている。

コンテンツ配信サーバ２０は、暗号化コンテンツ２１０を作成する（Ｓ１２００）。より詳しくは、コンテンツ配信サーバ２０は、コンテンツ本体２１３に対して、コンテンツ毎に異なるコンテンツＩＤ２１１と、コンテンツプロバイダ毎に異なるコンテンツプロバイダＩＤ２１２を付けて、コンテンツプロバイダＩＤ２１２とコンテンツ本体２１３をコンテンツ暗号鍵４１５で暗号化することにより、暗号化コンテンツ２１０を作成する。

暗号化コンテンツ２１０は、図４に示されるように、コンテンツＩＤ２１１と、コンテンツプロバイダＩＤ２１２と、コンテンツ本体２１３から構成される。なお、コンテンツプロバイダＩＤ２１２と、コンテンツ本体２１３とは、ライセンス４１０に含まれるコンテンツ暗号鍵４１５で暗号化されている。

コンテンツＩＤ２１１は、ライセンス４１０と暗号化コンテンツ２１０を対応付けるために用いられる。コンテンツプロバイダＩＤ２１２は、暗号化コンテンツ２１０の提供者を識別するために用いられる。コンテンツ本体２１３は、映像または音楽などのデジタルデータである。

コンテンツ配信サーバ２０は、コンテンツ取得要求に含まれるコンテンツＩＤ２１１に対応した暗号化コンテンツ２１０を端末装置６０に送信する（Ｓ１２１０）。端末装置６０は、コンテンツ配信サーバ２０から暗号化コンテンツ２１０を受信し（Ｓ１０１０）、受信した暗号化コンテンツを耐タンパ部の記憶部に格納する。

なお、コンテンツ配信サーバ２０から端末装置６０への暗号化コンテンツ２１０の送信は、ストリーミングでもファイル配信でもよい。

次に、メタデータ３１０の受信に至る処理について具体的に説明する。
端末装置６０は、メタデータ配信サーバ３０にメタデータ選択要求を送信する。メタデータ配信サーバ３０は、端末装置６０からのメタデータ取得要求に応じて、メタデータ選択画面を作成し、作成したメタデータ選択画面を端末装置６０に送信する。端末装置６０は、受信したメタデータ選択画面を表示し、ユーザの操作により選択されたメタデータ３１０のメタデータＩＤを含むメタデータ取得要求をメタデータ配信サーバ３０に送信する。なお、メタデータ選択画面は、端末装置６０により所望のメタデータが選択されると、対応するメタデータＩＤを含むメタデータ取得要求がメタデータ配信サーバ３０に送信されるようになっている。

メタデータ配信サーバ３０は、メタデータ３１０を作成する（Ｓ１４００）。より詳しくは、メタデータ配信サーバ３０は、メタデータ本体３１１を作成し、メタデータ署名者ＩＤ３１２にメタデータプロバイダのＩＤを格納し、メタデータ本体３１１とメタデータ署名者ＩＤ３１２に対するデジタル署名３１３を作成する。なお、メタデータ３１０のデジタル署名をコンテンツ配信サーバ２０が行う場合もあり、その場合には、メタデータ配信サーバ３０からコンテンツ配信サーバ２０にメタデータ本体３１１を送信し、コンテンツ配信サーバ２０が、メタデータ署名者ＩＤ３１２にコンテンツプロバイダのＩＤを格納し、コンテンツプロバイダのデジタル署名３１３を作成してメタデータ３１０を作成し、メタデータ配信サーバ３０に送信する。

メタデータ３１０は、図５に示されるように、メタデータ本体３１１と、メタデータ署名者ＩＤ３１２と、デジタル署名３１３とから構成されている。

メタデータ本体３１１には、メタデータ自体の他、メタデータを識別するためのメタデータＩＤ３１１１と、コンテンツＩＤなどの属性情報３１１２と、コンテンツの位置情報３１１３と、シーンインデックスなどのコンテンツの制御情報３１１４、ユーザ作成メタデータであることを示すためのユーザ作成フラグ３１１５などが含まれる。メタデータ署名者ＩＤ３１２は、メタデータ３１０にデジタル署名した署名者を識別するために用いられる。デジタル署名３１３は、メタデータ本体３１１の改ざん検出に用いられる。

メタデータ配信サーバ３０は、メタデータ取得要求に含まれるメタデータＩＤに対応したメタデータ３１０を端末装置６０に送信する（Ｓ１４１０）。端末装置６０は、メタデータ配信サーバ３０からメタデータ３１０を受信し（Ｓ１０３０）、耐タンパ部の記憶部に格納する。

次に、コンテンツのライセンス４１０の受信に至る処理について具体的に説明する。
端末装置６０は、ライセンス管理サーバ４０に、ライセンス選択要求を送信する。ライセンス管理サーバ４０は、端末装置６０からのライセンス選択要求に応じて、ライセンス選択画面を作成し、作成したライセンス選択画面を端末装置６０に送信する。端末装置６０は、受信したライセンス選択画面を表示し、ユーザの操作により選択されたライセンス４１０のライセンスＩＤ４１１を含むライセンス購入要求をライセンス管理サーバ４０に送信する。なお、ライセンス選択画面は、端末装置６０により所望のライセンスが選択されると、対応するライセンスＩＤを含むライセンス購入要求がライセンス管理サーバ４０に送信されるようになっている。

ライセンス管理サーバ４０は、ライセンス購入要求があると、対応するライセンスＩＤを含むライセンス４１０を作成する（Ｓ１３００）。より詳しくは、ライセンス管理サーバ４０は、コンテンツ配信サーバ２０からコンテンツＩＤ４１２と、コンテンツプロバイダＩＤ４１３と、利用条件４１４と、コンテンツ暗号鍵４１５とを受信し、ライセンスＩＤ４１１を付けてライセンス４１０を作成する（Ｓ１３００）。

ライセンス４１０は、図６に示されるように、ライセンスＩＤ４１１と、コンテンツＩＤ４１２と、コンテンツプロバイダＩＤ４１３と、利用条件４１４と、コンテンツ暗号鍵４１５とから構成されている。

ライセンスＩＤ４１１は、ライセンス管理サーバ４０でのライセンス４１０の識別に用いられる。コンテンツＩＤ４１２は、ライセンス４１０と暗号化コンテンツ２１０を対応付けるために用いられる。コンテンツプロバイダＩＤ４１３は、ライセンス４１０で制御されるコンテンツのコンテンツプロバイダの識別に用いられる。利用条件４１４は、コンテンツや、メタデータの利用制御に用いられる。コンテンツ暗号鍵４１５はコンテンツの復号に用いられる。

より詳しくは、利用条件４１４には、コンテンツの利用制御に関する情報４１４０と、メタデータの利用制御に関する情報４１４４とが含まれている。

コンテンツの利用制御に関する情報４１４０としては、利用有効期限情報４１４１と、利用可能回数情報４１４２などがある。利用有効期限情報４１４１としては、例えば、“２００５年１２月３１日まで利用可能”などの情報が含まれる。利用可能回数情報４１４２としては、例えば、“３回利用可能”などの情報が含まれる。

メタデータの利用制御に関する情報４１４４としては、メタデータの署名者識別情報４１４５と、メタデータの参照指示情報４１４６と、メタデータの編集可否情報４１４７と、ユーザ作成メタデータによる制御可否情報４１４８と、ユーザ作成メタデータの移動範囲指定情報４１４９などがある。

署名者識別情報４１４５は、利用可能なメタデータの署名者を特定する情報であり、署名者ＩＤ、コンテンツプロバイダ、コンテンツプロバイダ、このコンテンツプロバイダが信頼しているメタデータ提供者のグループおよびこれらの制限なしを示すフラグを内容とする。つまり、メタデータの署名者識別情報４１４５としては、例えば、メタデータの署名者として、“コンテンツプロバイダ以外不可”または“コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能”または“全て可能”などの署名者識別情報が含まれる。ここで、コンテンツプロバイダに委任されたメタデータプロバイダとは、コンテンツプロバイダがデジタル署名した公開鍵証明書５１０を持つメタデータプロバイダのことであり、それ以外のメタデータプロバイダよりもコンテンツ配信サーバ２０にとっての信頼性は高い。なお、メタデータの署名者識別情報４１４５は、利用を許可または不許可するメタデータ署名者ＩＤ３１２でもよい。

参照指示情報４１４６は、コンテンツ利用時のメタデータの参照方法を指定する情報であり、メタデータの参照の要否指定するフラグや、参照すべきメタデータのＩＤ、参照すべきメタデータの署名者ＩＤなどを内容とする。つまり、メタデータの参照指示情報４１４６としては、例えば、暗号化コンテンツ２１０とともに配信するメタデータ３１０の参照を強制したい場合には、メタデータ参照指示フラグが含まれる。なお、参照指示情報４１４６はメタデータ参照指示フラグ、あるいは、参照を強制させたいメタデータのメタデータＩＤ、あるいは、メタデータのメタデータ署名者ＩＤのいずれでもよい。なお、本実施の形態では、コンテンツのライセンスにメタデータの参照指示情報４１４６を含む例について記述するが、暗号化コンテンツ２１０に参照指示情報４１４６を含む場合でもよい。

編集可否情報４１４７は、メタデータ編集可否を示すフラグ、編集可能なメタデータのＩＤ、編集可能なメタデータの署名者ＩＤ、コンテンツプロバイダ、コンテンツプロバイダ、このコンテンツプロバイダが信頼しているメタデータ提供者のグループおよびこれらの制限なしを示すフラグを内容とする。つまり、メタデータの編集可否情報４１４７としては、例えば、“メタデータ編集可能”または“メタデータ編集不可”を示すフラグ、あるいは、編集可能なまたは編集不可能なメタデータのメタデータＩＤ、あるいは、編集可能なまたは編集不可能なメタデータにつしてデジタル署名を行ったメタデータ署名者ＩＤ３１２のいずれでもよい。

なお、本実施の形態では、メタデータの編集可否情報４１４７がコンテンツのライセンスに含まれる場合について記述するが、暗号化コンテンツ２１０に含まれる場合、あるいは、メタデータ３１０のメタデータ本体３１１に含まれる場合、あるいは、コンテンツと同様にメタデータ３１０が暗号化され、暗号鍵を含むメタデータ３１０のライセンスがある場合、メタデータ３１０のライセンスに含まれる場合のいずれでもよい。

制御可否情報４１４８は、ユーザ作成メタデータの利用可否を示すフラグである。つまり、ユーザ作成メタデータによる制御可否情報４１４８としては、例えば、“ユーザ作成メタデータによる制御可能”または“ユーザ作成メタデータによる制御不可”を示すフラグなどの情報が含まれる。なお、本実施の形態では、ユーザ作成メタデータによる制御可否情報４１４８がコンテンツのライセンスに含まれる場合について記述するが、暗号化コンテンツ２１０に含まれる場合でもよい。

移動範囲指定情報４１４９は、利用可能なユーザ作成メタデータを作成した端末装置を指定する情報であり、無制限、メタデータを作成したユーザが所有する端末装置に限定するなどを示すフラグや、メタデータを作成したユーザが所有する端末装置以外の端末での利用を制限する利用回数、有効期限などを内容とする。

つまり、ユーザ作成メタデータの移動範囲指定情報４１４９としては、例えば、“移動無制限”または“メタデータを作成したユーザが所有する端末装置に限定”などの移動可能範囲を示す情報が含まれる。なお、本実施の形態では、ユーザ作成メタデータの移動範囲指定情報４１４９がコンテンツのライセンスに含まれる場合について記述するが、暗号化コンテンツ２１０に含まれる場合、あるいは、メタデータ３１０のメタデータ本体３１１に含まれる場合、あるいは、コンテンツと同様にメタデータが暗号化され、暗号鍵を含むメタデータのライセンスがある場合、メタデータのライセンスに含まれる場合のいずれでもよい。

ライセンスの作成が終わると、ライセンス管理サーバ４０は、端末装置６０からのライセンス取得要求に応じて、ライセンスの購入処理を行った後、ライセンス４１０を端末装置６０に送信する（Ｓ１３１０）。なお、ライセンスの購入処理は図示しない購入サーバとライセンス管理サーバ４０との間で行われる。

通信路Ｎを通じて、ライセンス管理サーバ４０と端末装置６０との間でライセンス４１０を送受信する場合には、セキュリティを確保するため、ＳＡＣを確立してから、データの送受信を行う。

なお、本実施の形態では、ライセンス管理サーバ４０と端末装置６０との間でＳＡＣを確立してからライセンス４１０を送受信するが、端末装置６０に固有鍵が格納されており、ライセンス管理サーバ４０が各端末装置６０の固有鍵を管理している場合には、ライセンス４１０を端末装置６０の固有鍵で暗号化してライセンス管理サーバ４０から端末装置６０に送信するなどしてもよい。

端末装置６０は、ライセンス管理サーバ４０からライセンス４１０を受信し（Ｓ１０２２０）、耐タンパ部の記憶部に格納する。

次に、公開鍵証明書５１０およびＣＲＬ５２０の受信処理について具体的に説明する。
端末装置６０は、コンテンツ配信サーバ２０に、公開鍵証明書要求を送信し、コンテンツ配信サーバ２０の公開鍵証明書５１０を受信する。また、端末装置６０は、メタデータ配信サーバ３０に、公開鍵証明書要求を送信し、メタデータ配信サーバ３０の公開鍵証明書５１０を受信する。さらに、端末装置６０は、認証サーバ５０に、公開鍵証明書要求を送信し、認証サーバ５０の公開鍵証明書５１０を受信する。

図２では図示しないが、認証サーバ５０は、コンテンツ配信サーバ２０と、メタデータ配信サーバ３０から公開鍵証明書５１０の要求がある都度、公開鍵証明書５１０を作成して、要求したコンテンツ配信サーバ２０と、メタデータ配信サーバ３０に公開鍵証明書５１０を送信する。また、認証サーバ５０は、コンテンツ配信サーバ２０からメタデータ配信サーバ３０のリボーク要求がある都度、ＣＲＬを作成し、作成したＣＲＬを端末装置６０に送信する。

より詳しくは、認証サーバ５０は、秘密鍵とこの秘密鍵とペアの公開鍵を保持し、コンテンツ配信サーバ２０およびメタデータ配信サーバ３０が主体者として公開鍵証明書５１０の作成を依頼した時、主体者の公開鍵５１２と引き換えに公開鍵証明書５１０を主体者に送信する。つまり、認証サーバ５０は、コンテンツ配信サーバ２０またはメタデータ配信サーバ３０から主体者公開鍵５１２を含む公開鍵証明書５１０の作成要求を受信すると、主体者公開鍵５１２毎に異なる主体者ＩＤ５１１を生成し、主体者ＩＤ５１１と主体者公開鍵５１２に対するデジタル署名５１３を作成し、主体者ＩＤ５１１と、主体者公開鍵５１２と、デジタル署名５１３とから構成される公開鍵証明書５１０を作成し、公開鍵証明書５１０をコンテンツ配信サーバ２０またはメタデータ配信サーバ３０に送信する。

なお、コンテンツ配信サーバ２０が、信頼するメタデータ配信サーバ３０にメタデータのデジタル署名を委任する場合などに、コンテンツ配信サーバ２０が、メタデータ配信サーバ３０の公開鍵証明書５１０の作成処理を行うことがある。

この場合、コンテンツ配信サーバ２０がデジタル署名した公開鍵証明書５１０を持つメタデータ配信サーバ３０は、それ以外のメタデータ配信サーバ３０よりもコンテンツ配信サーバ２０に信頼されていると判断する場合もある。このような方法は、証明書パスと呼ばれる一般的な方法で、非特許文献１が詳しい。

公開鍵証明書５１０は、図７に示されるように、少なくとも、主体者ＩＤ５１１と、主体者公開鍵５１２と、デジタル署名５１３と、証明書署名者ＩＤ５１４とから構成されている。なお、主体者ＩＤ５１１は、公開鍵証明書５１０の主体者を識別するＩＤであり、例えば、Ｘ．５０９の証明書におけるシリアル番号を用いてもよい。

主体者公開鍵５１２は、主体者ＩＤ５１１で特定される署名者のデジタル署名の検証に用いられる。デジタル署名５１３は、少なくとも、主体者ＩＤ５１１と、主体者公開鍵５１２の改ざん検出に用いられる。証明書署名者ＩＤ５１４は、公開鍵証明書５１０にデジタル署名した署名者の特定に用いられる。

また、認証サーバ５０は、ＣＲＬ５２０を保有する。このＣＲＬ５２０は、図８に示されるように、少なくとも、更新日時５２１と、リボークされた主体者ＩＤ５２２から構成されている。ここで、リボークとは、主体者ＩＤ５２２で特定される署名者によるデジタル署名を無効化することである。

更新日時５２１は、例えば、ＣＲＬ５２０を作成した日付であり、ＣＲＬ５２０のバージョン確認に用いられる。リボークされた主体者ＩＤ５２２は、無効化する署名者の識別に用いられる。

そして、認証サーバ５０は、コンテンツ配信サーバ２０からリボーク対象のメタデータ配信サーバ３０のＩＤを含むＣＲＬ更新要求を受信すると、更新日時５２１を、例えば、“２００３年１月１日”から“２００３年１１月１１日”のように、ＣＲＬ作成日時に更新し、受信したメタデータ配信サーバ３０のＩＤを主体者ＩＤ５２２に追加し、ＣＲＬ５２０を作成し、端末装置６０に送信する。

このようにして、会員管理サーバ１０からドメイン鍵１１２を取得し（Ｓ１０００）、コンテンツ配信サーバ２０から暗号化コンテンツ２１０を受信し（Ｓ１０１０）、ライセンス管理サーバ４０からライセンス４１０を受信し（Ｓ１０２０）、メタデータ配信サーバ３０からメタデータ３１０を受信すると（Ｓ１０３０）、端末装置６０は、メタデータ３１０とコンテンツを利用する（Ｓ１０４０）。

次にコンテンツ配信サーバ２０またはメタデータ配信サーバ３０が署名したメタデータおよびユーザが作成したメタデータの利用可否判定について説明する。

図９は、端末装置６０において行われるメタデータの利用可否判定処理の動作を示すフローチャートである。

メタデータ３１０がユーザ作成メタデータであるか否か判定する（Ｓ２００）。ユーザ作成メタデータ判定の処理（Ｓ２００）については後述する。

ユーザ作成メタデータでない場合は、署名者識別情報判定（Ｓ１００）に遷移する。ユーザ作成メタデータの場合（後述する値「０」の場合）は、ステップＳ２０１に遷移する。署名者識別情報判定（Ｓ１００）では、ライセンス４１０の利用条件４１４から署名者識別情報４１４５を取得し、“コンテンツプロバイダ以外不可”または“コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能”または“全て可能”のいずれであるか判定する。

署名者識別情報４１４５が“コンテンツプロバイダ以外不可”または“コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能”の場合には、ＩＤ比較（Ｓ１０１）に遷移する。

ＩＤ比較（Ｓ１０１）について、図１０を用いて説明する。
図１０は、ＩＤ比較（Ｓ１０１）のサブルーチンを示すフローチャートである。

ＩＤ比較（Ｓ１０１）では、暗号化コンテンツ２１０をコンテンツ暗号鍵４１５で復号することにより、コンテンツプロバイダＩＤ２１２を取得し、メタデータ３１０からメタデータ署名者ＩＤ３１２を取得し、比較する（Ｓ３０１）。

コンテンツプロバイダＩＤ２１２とメタデータ署名者ＩＤ３１２が一致する場合は、署名検証（Ｓ１０２）に遷移する。つまり、この場合には、「コンテンツプロバイダが作成したメタデータだけを利用することができる」という要件を満たすため、ステップＳ１０２に進む。

コンテンツプロバイダＩＤ２１２とメタデータ署名者ＩＤ３１２とが一致しない場合は、署名者識別情報４１４５を確認する（Ｓ３０２）。

署名者識別情報４１４５が“コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能”の場合は、メタデータ署名者ＩＤ３１２と主体者ＩＤ５１１が一致する公開鍵証明書５１０の証明書署名者ＩＤ５１４と、コンテンツプロバイダＩＤ２１２とを比較する（Ｓ３０３）。

証明書署名者ＩＤ５１４とコンテンツプロバイダＩＤ２１２とが一致する場合は、署名検証（ステップ１０２）に遷移する。つまり、コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能の要件を満たすため、ステップＳ１０２に進む。

これに対して、ステップＳ３０２において署名者識別情報４１４５が“コンテンツプロバイダ以外不可”の場合は、署名者識別情報４１４５で利用可能なメタデータの署名者が“コンテンツプロバイダ以外不可“と設定されているのに、メタデータ３１０の署名者がコンテンツ配信サーバ２０以外であるため、メタデータ３１０は利用不可とされる。

また、ステップＳ３０３において、証明書署名者ＩＤ５１４とコンテンツプロバイダＩＤ２１２が一致しない場合は、署名者識別情報４１４５で利用可能なメタデータの署名者が“コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能“と設定されているのに、メタデータの署名者がコンテンツ配信サーバ２０およびコンテンツ配信サーバ２０に委任されたメタデータ配信サーバ３０以外であるため、メタデータ３１０は利用不可とされる。

図９のメインルーチンに戻り、ＩＤが一致する場合、署名検証（Ｓ１０２）を実行し、メタデータのデジタル署名のメタデータ署名者ＩＤ３１２と一致する主体者ＩＤ５１１を含む公開鍵証明書５１０を取得し、公開鍵証明書５１０に含まれる主体者公開鍵５１２を用いてメタデータのデジタル署名を復号し、メタデータ本体３１１とメタデータ署名者ＩＤ３１２のハッシュ値と比較し、一致するか否か検証する。一致する場合は、改ざんされていないので、メタデータ３１０が利用可能と判定する。これに対して、一致しない場合は改ざんされているために、利用不可と判定する。

一方、ステップＳ１００において署名者識別情報４１４５が“全て可能”の場合にはＣＲＬ確認（Ｓ１１０）に遷移する。

ＣＲＬ確認（Ｓ１１０）では、メタデータ３１０のメタデータ署名者ＩＤ３１２がＣＲＬ５２０のリボークされた主体者ＩＤ５２２に含まれているか判定し、含まれていない場合には、署名検証（Ｓ１０２）に遷移し、改ざんの有無で利用可否を判定する。

これに対して、リストに含まれている場合には、署名者がリボークされているためにメタデータ３１０は利用不可と判定する。

以上の処理により、ライセンス４１０の利用条件４１４に格納されている署名者識別情報４１４５に基づきコンテンツ配信サーバ２０またはメタデータ配信サーバ３０が署名したメタデータの利用可否を判定することが可能となる。

なお、本実施の形態では、署名者識別情報４１４５を“コンテンツプロバイダ以外不可”または“コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能”または“全て可能”の３つの値から１つの値を識別するフラグとしたが、“コンテンツプロバイダ以外不可”または“コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能”または“全て可能”のうちの少なくとも２つの値から１つの値を識別するフラグとしてもよい。

この場合、例えば、署名者識別情報４１４５が“コンテンツプロバイダ以外不可”または“全て可能”を識別するフラグであれば、本実施の形態における署名者識別情報４１４５が“コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能”である場合の処理が行われなくなり、署名者識別情報４１４５が“コンテンツプロバイダ以外不可”または“コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能”を識別するフラグであれば、本実施の形態における署名者識別情報４１４５が“全て可能”である場合の処理が行われなくなるが、同様の効果をもたらす。

なお、本実施の形態では、署名者識別情報判定（Ｓ１００）で署名者識別情報４１４５が、“コンテンツプロバイダ以外不可”または“コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能”の場合にＣＲＬ確認（Ｓ１１０）を行わないが、署名者識別情報判定（Ｓ１００）以降に行ってもよい。

なお、本実施の形態では、ライセンス４１０の利用条件４１４に署名者識別情報４１４５が格納されているが、ライセンス４１０の中の利用条件４１４以外に格納されていてもよい。また、署名者識別情報４１４５が暗号化コンテンツ２１０に格納されていてもよい。また、コンテンツと同様にメタデータが暗号化され、暗号鍵を含むメタデータ３１０のライセンスがある場合、署名者識別情報４１４５がメタデータ３１０のライセンスに格納されていてもよい。以上の場合、署名者識別情報４１４５の取得先が異なるが同様の効果をもたらす。

なお、本実施の形態では、署名者識別情報４１４５を“コンテンツプロバイダ以外不可”または“コンテンツプロバイダおよびコンテンツプロバイダに委任されたメタデータプロバイダ可能”または“全て可能”を示すフラグとしたが、メタデータ３１０のメタデータ署名者ＩＤ３１２としてもよい。この場合、利用可能なメタデータの署名者がメタデータ署名者ＩＤ３１２の署名者に限定されるが同様の効果をもたらす。

なお、本実施の形態では、メタデータ３１０のメタデータ署名者ＩＤ３１２がコンテンツプロバイダＩＤであるか否かのＩＤ比較（Ｓ１０１）に、暗号化コンテンツ２１０に含まれているコンテンツプロバイダＩＤ２１２を用いているが、端末装置６０に出荷時など予めコンテンツプロバイダの公開鍵証明書５１０のみが格納されている場合には、公開鍵証明書５１０に含まれている主体者ＩＤ５１１を用いてもよい。また、端末装置６０に出荷時などに予めコンテンツプロバイダＩＤのみが格納されている場合には、格納されているコンテンツプロバイダＩＤを用いてもよい。また、メタデータ３１０のライセンスがあり、メタデータ３１０のライセンスにコンテンツプロバイダＩＤが格納されている場合、メタデータ３１０のライセンスのコンテンツプロバイダＩＤを用いてもよい。以上のいずれの場合でも、コンテンツ配信サーバ２０のコンテンツプロバイダＩＤが特定できるため同様の効果をもたらす。

次に、ユーザにより作成されたメタデータの利用可否の説明に移る前に、ユーザによるメタデータの作成処理等について説明する。

ユーザの入力操作に従い、端末装置６０は、メタデータを作成する。具体的には、ユーザ作成メタデータであることを示すユーザ作成フラグ３１１５に「１」をセットすると共に、シーンインデックスなどの情報とをメタデータ本体３１１に格納し、メタデータ作成者がユーザであることを示すために、メタデータ署名者ＩＤ３１２に値「０」を格納し、デジタル署名３１３にデジタル署名せずに値「０」を格納する。

なお、本実施の形態では、メタデータ署名者ＩＤ３１２とデジタル署名３１３に値「０」を格納する場合について記述するが、ユーザにより端末装置６０で作成されたメタデータ３１０であることを識別できれば、他の値でもよい。

なお、本実施の形態では、ユーザ作成メタデータにデジタル署名しないが、全端末装置６０がメタデータ署名者ＩＤ３１２と、秘密鍵と、公開鍵証明書５１０を保有している場合には、デジタル署名してもよい。この場合、後述するユーザ作成メタ判定（Ｓ２００）では、メタデータ３１０のデジタル署名者がユーザの所有する端末装置６０であるか否かの判定を行う。

なお、秘密鍵と公開鍵証明書を保有していない場合でも、ドメイン鍵１１２または固有鍵でメタデータ３１０のハッシュ値を暗号化すれば、同様な効果が得られる。

端末装置６０は、ライセンス４１０の利用条件４１４からユーザ作成メタデータの移動範囲指定情報４１４９を取得し、“移動無制限”であれば、上記処理で作成したメタデータをそのまま端末装置６０などに蓄積し、“メタデータを作成したユーザが所有する端末装置に限定”であれば、メタデータ本体３１１をドメイン鍵１１２で暗号化して端末装置６０やＤＶＤ−Ｒなどの外部記憶媒体などに蓄積するか、ユーザが所有する他の端末装置６０に送信する。この場合、メタデータ本体３１１がドメイン鍵で暗号化されているため、異なるドメインの端末装置６０がメタデータ３１０を取得しても利用できない。

なお、本実施の形態では、ユーザ作成メタデータの移動範囲指定情報４１４９が“メタデータを作成したユーザが所有する端末装置に限定”の場合にドメイン鍵１１２を用いてメタデータ本体３１１を暗号化しているが、ユーザが所有する端末装置６０に共通の秘密情報であれば他の情報を用いてもよい。

次にユーザが作成したメタデータの利用可否判定について図９を用いて説明する。
端末装置６０は、ユーザ作成メタ判定（Ｓ２００）を行う。

ユーザ作成メタ判定（Ｓ２００）では、メタデータ３１０のメタデータ署名者ＩＤ３１２が値「０」であるか判定する。

値「０」でない場合は、上述の署名者識別情報判定（Ｓ１００）に遷移する。
値「０」の場合は、ユーザ作成メタデータの制御可否判定（Ｓ２０１）に遷移する。

制御可否判定（Ｓ２０１）では、ライセンス４１０の利用条件４１４からユーザ作成メタデータによる制御可否情報４１４８を取得し、ユーザ作成メタデータによる制御可否情報４１４８が“ユーザ作成メタデータによる制御可能”の場合には、ユーザ作成メタデータ移動範囲判定（Ｓ２０２）に遷移する。

ユーザ作成メタデータの移動範囲判定（Ｓ２０２）では、ライセンス４１０の利用条件４１４からユーザ作成メタデータの移動範囲指定情報４１４９を取得し、“移動無制限”であれば、上記処理で作成したメタデータ３１０は利用可能と判定する。

これに対して、ユーザ作成メタデータの移動範囲指定情報４１４９が“メタデータを作成したユーザが所有する端末装置に限定”であれば、メタデータ本体３１１をドメイン鍵１１２で復号し、ユーザ作成メタデータであることを示すユーザ作成フラグ３１１５があるか否か判定する（Ｓ２０３）。判定の結果、ユーザ作成フラグ３１１５がある場合には、つまりユーザ作成フラグ３１１５に「１」がセットされている場合には、メタデータ３１０は利用可能と判定する。

ユーザ作成フラグ３１１５がない場合には、つまりユーザ作成フラグ３１１５に「０」がセットされている場合には、メタデータ３１０は利用不可である。

また、ステップＳ２０１の判定の結果、“ユーザ作成メタデータによる制御不可”であれば、メタデータ３１０は利用不可である。

以上の処理により、ライセンス４１０の利用条件４１４に格納されている制御可否情報４１４８や移動範囲指定情報４１４９に基づきユーザが作成したメタデータの利用可否を判定することが可能となる。

なお、本実施の形態では、移動範囲指定情報４１４９を、“ユーザ作成メタデータによる制御可能”または“ユーザ作成メタデータによる制御不可”のいずれかを示すフラグとし、移動範囲指定情報４１４９が“ユーザ作成メタデータによる制御可能”の場合には、ドメイン鍵１１２を用いてユーザ作成メタデータを暗号化することで、ユーザ作成メタデータの移動範囲をユーザの所有する端末装置６０間に限定しているが、移動範囲指定情報４１４９として移動回数や移動有効期間などの利用条件を格納し、端末装置６０で生成した暗号鍵でユーザ作成メタデータを暗号化し、暗号鍵を含むユーザ作成メタデータのライセンスに移動範囲指定情報４１４９として格納された移動回数や移動有効期間などの利用条件を設定することで、移動を制限することにしてもよい。この場合、ユーザ作成メタデータの移動範囲は、移動範囲指定情報４１４９として格納された移動回数や移動有効期間などにより制限される。

なお、公開鍵署名検証は処理時間がかかる。一度検証できたメタデータを、何度も公開鍵で検証するのは無駄である。よって、ユーザ作成メタデータによる制御が可能な場合つまり、コンテンツプロバイダが許可している場合、利用可能と判定された正規のメタデータをユーザ作成メタデータとすることで、署名検証の処理がなくなり、手間が省け、処理時間を大幅に短縮することができる。

以降に、上記の判定処理でメタデータ３１０が利用可能と判定した後に行う処理について説明する。

まず、メタデータ参照必須のコンテンツの利用処理について説明する。
端末装置６０は、ライセンス４１０の利用条件４１４からメタデータの参照指示情報４１４６があるか否か検索し、参照指示情報４１４６がない場合は、暗号化コンテンツ２１０の利用を開始する。参照指示情報４１４６がある場合は、参照指示情報４１４６を取得し、参照指示情報４１４６に含まれるメタデータＩＤから参照すべきメタデータを取得し、メタデータの利用可否判定で利用可能な場合に、メタデータを参照してコンテンツの利用を開始する。参照すべきメタデータが取得できない場合と、メタデータの利用可否判定で利用不可の場合には、コンテンツの利用ができない。

なお、本実施の形態では、参照指示情報４１４６をメタデータＩＤとしたが、メタデータ署名者ＩＤ３１２でもよい。

なお、本実施の形態では、参照指示情報４１４６をメタデータＩＤとしたが、例えば、暗号化コンテンツ２１０とメタデータ３１０が共に端末装置６０に送信されるなどして、暗号化コンテンツ２１０とメタデータ３１０が関連付けられている場合には、参照指示情報４１４６は、参照するか参照しないかを識別するフラグでもよい。

次にユーザによるメタデータの編集処理について説明する。
端末装置６０は、ライセンス４１０の利用条件４１４からメタデータの編集可否情報４１４７を取得し、“メタデータ編集可能”または“メタデータ編集不可”のいずれかを判定する。

メタデータの編集可否情報４１４７が“メタデータ編集不可”の場合は、暗号化コンテンツ２１０のコンテンツＩＤ２１１をメタデータ本体３１１に含むメタデータ３１０は編集不可である。

メタデータの編集可否情報４１４７が“メタデータ編集可能”の場合は、ユーザ操作に従い、暗号化コンテンツ２１０のコンテンツＩＤ２１１をメタデータ本体３１１に含むメタデータ３１０を編集し、編集したメタデータ３１０を含む再デジタル署名要求を、メタデータ署名者ＩＤ３１２の署名者に送信し、メタデータ署名者ＩＤ３１２の署名者が再デジタル署名したメタデータ３１０を受信する。

なお、本実施の形態では、編集可否情報４１４７が“メタデータ編集可能”または“メタデータ編集不可”のいずれかを示すフラグであるが、編集可能なメタデータ３１０のメタデータＩＤであってもよい。この場合、編集可否情報４１４７で指定されたメタデータ３１０のみが編集可能と判定される。

同様に編集不可なメタデータ３１０のメタデータＩＤであってもよい。この場合、編集可否情報４１４７で指定されたメタデータ３１０のみが編集不可と判定される。

なお、本実施の形態では、メタデータ３１０を編集後にメタデータ署名者ＩＤ３１２の署名者により再デジタル署名しているが、端末装置６０が公開鍵と、秘密鍵と、公開鍵証明書５１０を保有している場合、端末装置６０がメタデータ３１０にデジタル署名してもよい。

本発明に係るコンテンツ配信システム１は、コンテンツ配信サーバ２０によりメタデータ３１０の利用を制御できるため、コンテンツ配信サーバ２０が意図しない信頼性の低いメタデータを排除できるコンテンツ配信システムとして有用である。

本発明の実施の形態に係るコンテンツ配信システム１の全体の概略構成を示す図である。 本発明のコンテンツ配信システムの概略処理を示すフローチャートである。 本発明の実施の形態に係るユーザ情報ＤＢ１１０のテーブル構成を示す図である。 本発明の実施の形態に係る暗号化コンテンツ２１０の構成を示す図である。 本発明の実施の形態に係るメタデータ３１０の構成を示す図である。 本発明の実施の形態に係るライセンス４１０の構成を示す図である。 本発明の実施の形態に係る公開鍵証明書５１０の構成を示す図である。 本発明の実施の形態に係るＣＲＬ５２０の構成を示す図である。 本発明の実施の形態に係るコンテンツ配信サーバ２０またはメタデータ配信サーバ３０が署名したメタデータあるいはユーザが作成したメタデータの利用可否判定の処理を示すフローチャートである。 図９に示されるＩＤ比較（Ｓ１０１）処理のサブルーチンを示すフローチャートである。

符号の説明

１ コンテンツ配信システム
１０ 会員管理サーバ
２０ コンテンツ配信サーバ
３０ メタデータ配信サーバ
４０ ライセンス管理サーバ
５０ 認証サーバ
６０ 端末装置
１１０ ユーザ情報ＤＢ
１１１ ユーザＩＤ
１１２ ドメイン鍵
２１０ 暗号化コンテンツ
２１１ コンテンツＩＤ
２１２ コンテンツプロバイダＩＤ
２１３ コンテンツ本体
３１０ メタデータ
３１１ メタデータ本体
３１２ メタデータ署名者ＩＤ
３１３ デジタル署名
４１０ ライセンス
４１１ ライセンスＩＤ
４１２ コンテンツＩＤ
４１３ コンテンツプロバイダＩＤ
４１４ 利用条件
４１５ コンテンツ暗号鍵
５１０ 公開鍵証明書
５１１ 主体者ＩＤ
５１２ 主体者公開鍵
５１３ デジタル署名
５１４ 証明書署名者ＩＤ
５２０ ＣＲＬ
５２１ 更新日時
５２２ 主体者ＩＤ
３１１１ メタデータＩＤ
３１１２ 属性情報
３１１３ 位置情報
３１１４ 制御情報
４１４０ コンテンツの利用制御に関する情報
４１４１ 利用有効期限情報
４１４２ 利用可能回数情報
４１４４ メタデータの利用制御に関する情報
４１４５ 署名者識別情報
４１４６ 参照指示情報
４１４７ 編集可否情報
４１４８ 制御可否情報
４１４９ 移動範囲指定情報

Claims (38)

1. コンテンツプロバイダから提供されたコンテンツと、メタデータ提供者から提供され、当該コンテンツを補足するデータであって前記メタデータ提供者の署名を含むメタデータとを利用する端末装置に用いられる情報利用可否判定方法であって、
   前記メタデータの利用制御に関する情報を表す利用制御情報に基づいて当該メタデータの利用可否を判定するメタデータ利用可否判定ステップと、
   前記メタデータ利用可否判定ステップにおいて前記メタデータの利用が可と判定された場合に、当該メタデータを利用する利用ステップとを含み、
   前記利用制御情報には、利用可能なメタデータの署名者を特定する情報であって、前記メタデータの署名者と、前記コンテンツプロバイダ及び前記コンテンツプロバイダが信頼しているメタデータ提供者のグループと、制限なしとのうちの少なくとも１つを識別する情報を含む第１署名者識別情報が含まれ、
   前記公開鍵証明書には、前記メタデータの署名者と当該公開鍵証明書の署名者の少なくとも１つを特定する情報を表す第２署名者識別情報が含まれており、
   前記メタデータ利用可否判定ステップでは、前記第１署名者識別情報で特定されるメタデータ署名者と、前記第２署名者識別情報と、前記公開鍵証明書を用いた署名の検証とに基づいて、メタデータの利用可否を判定する
   ことを特徴とする情報利用可否判定方法。
2. 前記メタデータ利用可否判定ステップでは、前記公開鍵証明書を用いて前記メタデータの署名検証が成功することと、前記公開鍵証明書の前記第２署名者識別情報が前記第１署名者識別情報で特定される前記メタデータ署名者と一致することにより、前記メタデータの利用が可と判定する
   ことを特徴とする請求項１記載の情報利用可否判定方法。
3. 前記端末装置は、前記第２署名者識別情報を一意に特定する情報を表す第３署名者識別情報を用いて、
   前記メタデータ利用可否判定ステップでは、前記第３署名者識別情報と、前記第２署名
   者識別情報とが一致することで、前記メタデータの利用が可と判定する
   ことを特徴とする請求項１記載の情報利用可否判定方法。
4. 前記コンテンツには、前記第２署名者識別情報を一意に特定する情報を表す第３署名者識別情報が含まれており、
   前記メタデータ利用可否判定ステップでは、前記第３署名者識別情報と、前記第２署名者識別情報とが一致することで、前記メタデータの利用が可と判定する
   ことを特徴とする請求項１記載の情報利用可否判定方法。
5. 前記メタデータは暗号化されており、
   前記端末装置は、前記メタデータを復号するための暗号鍵を含み、当該メタデータを利用するための第２ライセンスを保持し、
   前記メタデータ利用可否判定ステップでは、前記第２ライセンスに含まれている前記第２署名者識別情報を一意に特定する情報を表す第３署名者識別情報と、前記第２署名者識別情報が一致することで、前記メタデータの利用が可と判定する
   ことを特徴とする請求項１記載の情報利用可否判定方法。
6. 前記第１署名者識別情報には、前記第２署名者識別情報を一意に特定する第３署名者識別情報が含まれる
   ことを特徴とする請求項１記載の情報利用可否判定方法。
7. 前記端末装置でユーザにより作成されたメタデータには、自作識別情報が含まれる
   ことを特徴とする請求項１記載の情報利用可否判定方法。
8. 前記自作メタデータについては、
   前記メタデータ利用可否判定ステップで、前記署名の検証を省略する
   ことを特徴とする請求項７記載の情報利用可否判定方法。
9. 前記自作メタデータについては、当該自作メタデータの少なくとも一部が暗号化される
   ことを特徴とする請求項７記載の情報利用可否判定方法。
10. 前記端末装置は、ユーザが所有する端末に共通の秘密情報を保持し、
    前記秘密情報で前記自作メタデータが暗号化される
    ことを特徴とする請求項９記載の情報利用可否判定方法。
11. 前記コンテンツは暗号化されており、
    前記端末装置は、前記コンテンツを復号するための暗号鍵を含み、当該コンテンツを利用するための第１ライセンスを保持し、
    前記第１署名者識別情報は、前記第１ライセンスに格納されている
    ことを特徴とする請求項１記載の情報利用可否判定方法。
12. 前記コンテンツは暗号化されており、
    前記第１署名者識別情報は、暗号化された前記コンテンツに格納されている
    ことを特徴とする請求項１記載の情報利用可否判定方法。
13. 前記メタデータは暗号化されており、
    前記第１署名者識別情報は、暗号化された前記メタデータを復号化するための暗号鍵を含み、当該メタデータを利用するための第２ライセンスに格納されている
    ことを特徴とする請求項１記載の情報利用可否判定方法。
14. 前記利用制御情報には、メタデータの編集可否に関する情報を表す編集可否情報が含まれ、
    前記情報利用可否判定方法は、さらに前記編集可否情報に基づいて、メタデータの編集可否を判定する編集可否判定ステップを含む
    ことを特徴とする請求項１記載の情報利用可否判定方法。
15. 前記編集可否情報は、編集可能か否かを識別する情報である
    ことを特徴とする請求項１４記載の情報利用可否判定方法。
16. 前記編集可否情報は、前記メタデータを一意に特定する識別情報である
    ことを特徴とする請求項１４記載の情報利用可否判定方法。
17. 前記編集可否情報は、第１識別者情報を用いて、編集可能な前記メタデータの提供者を特定する識別情報である
    ことを特徴とする請求項１４記載の情報利用可否判定方法。
18. 前記編集可否情報は、前記端末装置を一意に特定する端末識別情報および当該端末装置を使用するユーザを一意に特定するユーザ識別情報のいずれかである
    ことを特徴とする請求項１４記載の情報利用可否判定方法。
19. 前記コンテンツは暗号化されており、
    前記端末装置は、前記コンテンツを復号するための暗号鍵を含み、当該コンテンツを利用するための第１ライセンスを保持し、
    前記編集可否情報は、前記第１ライセンスに格納されている
    ことを特徴とする請求項１４記載の情報利用可否判定方法。
20. 前記編集可否情報は、前記コンテンツに格納されている
    ことを特徴とする請求項１４記載の情報利用可否判定方法。
21. 前記メタデータは暗号化されており、
    前記端末装置は、前記メタデータを復号するための暗号鍵を含み、当該メタデータを利用するための第２ライセンスを保持し、
    前記編集可否情報は、前記第２ライセンスに格納されている
    ことを特徴とする請求項１４記載の情報利用可否判定方法。
22. 前記編集可否情報は、前記メタデータに格納されている
    ことを特徴とする請求項１４記載の情報利用可否判定方法。
23. 前記利用制御情報には、前記端末装置でユーザにより作成された自作メタデータの利用可否を表す制御可否情報が含まれ、
    前記メタデータ利用可否判定ステップでは、前記制御可否情報に基づいて、メタデータの利用可否を判定する
    ことを特徴とする請求項１記載の情報利用可否判定方法。
24. 前記コンテンツは暗号化されており、
    前記端末装置は、前記コンテンツを復号するための暗号鍵を含み、当該コンテンツを利用するための第１ライセンスを保持し、
    前記制御可否情報は、前記第１ライセンスに格納されている
    ことを特徴とする請求項２３記載の情報利用可否判定方法。
25. 前記制御可否情報は、前記コンテンツに格納されている
    ことを特徴とする請求項２３記載の情報利用可否判定方法。
26. 前記利用制御情報には、前記端末装置でユーザにより作成された自作メタデータの移動範囲を指定する移動範囲指定情報が含まれ、
    前記メタデータ利用可否判定ステップでは、前記移動範囲指定情報に基づいて、メタデータの利用可否を判定する
    ことを特徴とする請求項１記載の情報利用可否判定方法。
27. 前記移動範囲指定情報が移動範囲無制限を示す場合、前記メタデータには、前記端末装置でユーザにより作成された自作メタデータであることを示す自作識別情報が含まれ、
    前記メタデータ利用可否判定ステップでは、前記自作識別情報が含まれていると、前記署名の検証を省略する
    ことを特徴とする請求項２６記載の情報利用可否判定方法。
28. 前記編集可否判定ステップでは、前記移動範囲指定情報が自作メタデータを作成した端末装置に限定することを示す場合、前記端末装置でユーザにより作成された自作メタデータの少なくとも一部を暗号化し、
    前記メタ−データ利用可否判定ステップでは、前記自作メタデータを復号可能な端末装置において当該自作メタデータを利用可能と判定する
    ことを特徴とする請求項２６記載の情報利用可否判定方法。
29. 前記前記端末装置は、ユーザが所有する端末に共通の秘密情報を保持し、
    前記秘密情報で前記自作メタデータが暗号化される
    ことを特徴とする請求項２８記載の情報利用可否判定方法。
30. 前記編集可否判定ステップでは、前記移動範囲指定情報が自作メタデータを作成した端末装置に限定することを示す場合に、前記自作メタデータについては、当該端末装置のみが保持する秘密情報で前記自作メタデータの少なくとも一部を暗号化し、
    前記メタデータ利用可否判定ステップでは、前記自作メタデータを復号可能な端末装置において当該自作メタデータを利用可能と判定する
    ことを特徴とする請求項２６記載の情報利用可否判定方法。
31. 前記コンテンツは暗号化されており、
    前記端末装置は、前記コンテンツを復号するための暗号鍵を含み、当該コンテンツを利用するための第１ライセンスを保持し、
    前記移動範囲指定情報は、前記第１ライセンスに格納されている
    ことを特徴とする請求項２６記載の情報利用可否判定方法。
32. 前記移動範囲指定情報は、前記コンテンツに格納されている
    ことを特徴とする請求項２６記載の情報利用可否判定方法。
33. 前記メタデータは暗号化されており、
    前記端末装置は、前記メタデータを復号するための暗号鍵を含み、当該メタデータを利用するための第２ライセンスを保持し、
    前記移動範囲指定情報は、前記第２ライセンスに格納されている
    ことを特徴とする請求項２６記載の情報利用可否判定方法。
34. 前記移動範囲指定情報は、前記メタデータに格納されている
    ことを特徴とする請求項２６記載の情報利用可否判定方法。
35. コンテンツプロバイダから提供されたコンテンツと、メタデータ提供者から提供され、当該コンテンツを補足するデータであって前記メタデータの提供者の署名を含むメタデータとを利用する端末装置であって、
    前記メタデータの利用制御に関する情報を表す利用制御情報に基づいて当該メタデータの利用可否を判定するメタデータ利用可否判定手段と、
    前記メタデータ利用可否判定手段において前記メタデータの利用が可と判定された場合に、当該メタデータを利用する利用手段とを備え、
    前記利用制御情報には、利用可能なメタデータの署名者を特定する情報であって、前記メタデータの署名者と、前記コンテンツプロバイダ及び前記コンテンツプロバイダが信頼しているメタデータ提供者のグループと、制限なしとのうちの少なくとも１つを識別する情報を含む第１署名者識別情報が含まれ、
    前記公開鍵証明書には、前記メタデータの署名者と当該公開鍵証明書の署名者の少なくとも１つを特定する情報を表す第２署名者識別情報が含まれており、
    前記メタデータ利用可否判定手段は、前記第１署名者識別情報で特定されるメタデータ署名者と、前記第２署名者識別情報と、前記公開鍵証明書を用いた署名の検証とに基づいて、メタデータの利用可否を判定する
    ことを特徴とする端末装置。
36. 要求に基づいてコンテンツプロバイダから提供されたコンテンツと、メタデータ提供者から提供され、当該コンテンツを補足するデータであって前記メタデータ提供者の署名を含むメタデータとを端末装置に送信する送信装置であって、
    前記端末装置において前記メタデータの利用可否を判定させるため、前記メタデータの利用制御に関する情報を表す利用制御情報を送信する手段を備え、
    前記利用制御情報には、利用可能なメタデータの署名者を特定する情報であって、前記メタデータの署名者と、前記コンテンツプロバイダ及び前記コンテンツプロバイダが信頼しているメタデータ提供者のグループと、制限なしとのうちの少なくとも１つを識別する情報を含む第１署名者識別情報が含まれ、
    前記公開鍵証明書には、前記メタデータの署名者と当該公開鍵証明書の署名者の少なくとも１つを特定する情報を表す第２署名者識別情報が含まれており、
    前記送信装置は、前記第１署名者識別情報で特定されるメタデータ署名者と、前記第２署名者識別情報と、前記公開鍵証明書を用いた署名の検証とに基づいて、メタデータの利用可否を前記端末装置に判定させる
    ことを特徴とする送信装置。
37. 請求項３５記載の端末装置と、請求項３６記載の送信装置とを備える
    コンテンツ配信システム。
38. コンテンツプロバイダから提供されたコンテンツと、メタデータ提供者から提供され、当該コンテンツを補足するデータであって前記メタデータ提供者の署名を含むメタデータとを利用する端末装置としてコンピュータを機能させるためのプログラムであって、
    前記コンピュータに、
    前記メタデータの利用制御に関する情報を表す利用制御情報に基づいて当該メタデータの利用可否を判定するメタデータ利用可否判定ステップと、
    前記メタデータ利用可否判定ステップにおいて前記メタデータの利用が可と判定された場合に、当該メタデータを利用する利用ステップとを実行させ、
    前記利用制御情報には、利用可能なメタデータの署名者を特定する情報であって、前記メタデータの署名者と、前記コンテンツプロバイダ及び前記コンテンツプロバイダが信頼しているメタデータ提供者のグループと、制限なしとのうちの少なくとも１つを識別する情報を含む第１署名者識別情報が含まれ、
    前記公開鍵証明書には、前記メタデータの署名者と当該公開鍵証明書の署名者の少なくとも１つを特定する情報を表す第２署名者識別情報が含まれており、
    前記メタデータ利用可否判定ステップでは、前記第１署名者識別情報で特定されるメタデータ署名者と、前記第２署名者識別情報と、前記公開鍵証明書を用いた署名の検証とに基づいて、メタデータの利用可否を判定させる
    プログラム。

Images