JP4694240B2 - Encryption key distribution apparatus and program thereof - Google Patents

Encryption key distribution apparatus and program thereof Download PDF

Info

Publication number
JP4694240B2
JP4694240B2 JP2005110229A JP2005110229A JP4694240B2 JP 4694240 B2 JP4694240 B2 JP 4694240B2 JP 2005110229 A JP2005110229 A JP 2005110229A JP 2005110229 A JP2005110229 A JP 2005110229A JP 4694240 B2 JP4694240 B2 JP 4694240B2
Authority
JP
Japan
Prior art keywords
content
multicast
encryption key
client
address
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2005110229A
Other languages
Japanese (ja)
Other versions
JP2006295341A (en
Inventor
弘 柴田
律人 富水
玲 玉川
将史 新夕
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Communications Corp
Original Assignee
NTT Communications Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NTT Communications Corp filed Critical NTT Communications Corp
Priority to JP2005110229A priority Critical patent/JP4694240B2/en
Publication of JP2006295341A publication Critical patent/JP2006295341A/en
Application granted granted Critical
Publication of JP4694240B2 publication Critical patent/JP4694240B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Description

本発明はマルチキャスト配信技術に関し、特に、認証されたクライアントだけにマルチキャストコンテンツを提供する技術に関する。   The present invention relates to a multicast distribution technique, and more particularly to a technique for providing multicast contents only to authenticated clients.

図1に、従来技術を用いたマルチキャスト配信システムを示す。図1に示すマルチキャスト配信システムは、コンテンツを配信するコンテンツ配信サーバ、マルチキャスト対応ルータ、及びマルチキャスト配信されたコンテンツを受信するクライアントを有している。図1の例では、各クライアントは無線アクセスポイントを介してインターネットと通信可能である。無線アクセスポイントはレイヤ2スイッチを介してマルチキャスト対応ルータ1、3に接続されている。   FIG. 1 shows a multicast distribution system using the prior art. The multicast distribution system shown in FIG. 1 includes a content distribution server that distributes content, a multicast-compatible router, and a client that receives the multicast-distributed content. In the example of FIG. 1, each client can communicate with the Internet via a wireless access point. The wireless access point is connected to the multicast-compatible routers 1 and 3 via the layer 2 switch.

各クライアントはIGMP等のマルチキャストに係る機能を有している。マルチキャスト対応ルータ1、3配下にあるクライアントが特定のマルチキャストアドレスに対応するコンテンツのマルチキャスト配信を受けるには、まず、いずれかのクライアント(例えばクライアント5)がコンテンツ配信サーバに対してマルチキャストアドレスを含む配信要求を送信する。配信要求を受信したコンテンツ配信サーバはコンテンツを送信し、コンテンツはマルチキャスト対応ルータ1に伝送され、マルチキャスト対応ルータ1はクライアント5が存在するネットワークエリアにある全クライアントに対してコンテンツをマルチキャスト配信し、当該コンテンツに対応するマルチキャストグループへの参加をしているクライアントのみがコンテンツを受信する。   Each client has a function related to multicast such as IGMP. In order for clients under the multicast-capable routers 1 and 3 to receive multicast distribution of content corresponding to a specific multicast address, first, one of the clients (for example, the client 5) distributes including the multicast address to the content distribution server. Send a request. The content distribution server that has received the distribution request transmits the content, the content is transmitted to the multicast-compatible router 1, and the multicast-compatible router 1 multicasts the content to all the clients in the network area where the client 5 exists, Only clients participating in the multicast group corresponding to the content receive the content.

なお、マルチキャストに関連する従来技術として、例えば特許文献1に開示された技術がある。また、マルチキャストに関連する参考文献として非特許文献1〜5がある。
特開2002−026903号公報 Internet STD5, RFC1112「Internet Group Management Protocol (IGMP)」IETF Network Working Group, August, 1989 Internet RFC2876「Multicast Listener Discovery (MLD) for IPv6」IETF Network Working Group, October, 1999 Internet Draft「Explicit Multicast (Xcast) Basic Specification」R. Boivie (IBM) et al., January, 2003 Internet RFC3547「The Group Domain of Interpretation」M. Baugher (Cisco) et al., July, 2003 Internet RFC3775「Mobility Support in IPv6」D. Johnson (Rice University)et al., June, 2004
As a conventional technique related to multicast, there is a technique disclosed in Patent Document 1, for example. Further, there are Non-Patent Documents 1 to 5 as references related to multicast.
JP 2002-026903 A Internet STD5, RFC1112 `` Internet Group Management Protocol (IGMP) '' IETF Network Working Group, August, 1989 Internet RFC2876 "Multicast Listener Discovery (MLD) for IPv6" IETF Network Working Group, October, 1999 Internet Draft "Explicit Multicast (Xcast) Basic Specification" R. Boivie (IBM) et al., January, 2003 Internet RFC3547 “The Group Domain of Interpretation” M. Baugher (Cisco) et al., July, 2003 Internet RFC3775 “Mobility Support in IPv6” D. Johnson (Rice University) et al., June, 2004

上記の従来技術では、あるクライアントが要求したコンテンツを、そのクライアントと同じエリアに存在する参加した全てのクライアントが受信可能である。従って、認証されたクライアントのみにマルチキャストコンテンツを視聴させ、未認証クライアントがそのマルチキャストコンテンツを視聴することを防止するといった制御を行うことができないという問題がある。   In the above prior art, the content requested by a certain client can be received by all the participating clients existing in the same area as that client. Therefore, there is a problem that it is impossible to perform control such that only the authenticated client can view the multicast content and the unauthenticated client is prevented from viewing the multicast content.

本発明は上記の点に鑑みてなされたものであり、認証済みのクライアントが受信中のマルチキャストパケットを、他の未認証クライアントが視聴することを防止する技術を提供することを目的とする。   The present invention has been made in view of the above points, and an object of the present invention is to provide a technique for preventing another unauthenticated client from viewing a multicast packet being received by an authenticated client.

上記の課題は、所定のマルチキャストコンテンツを暗号化及び復号化するためのコンテンツ暗号キーをマルチキャスト配信するための暗号キー配信装置であって、認証されたクライアントのアドレスを保持する保持手段と、前記マルチキャストコンテンツを配信するコンテンツ配信装置に対し、前記コンテンツ暗号キーを暗号化及び復号化するためのキー暗号キーを送信する対コンテンツ配信装置暗号キー送信手段と、あるクライアントから、キー要求及び前記マルチキャストコンテンツのマルチキャストアドレスを受信し、当該キー要求の発信元のアドレスが、前記認証されたクライアントのアドレスである場合に、前記クライアントに前記キー暗号キーを送信する対クライアント暗号キー送信手段と、前記コンテンツ配信装置から、前記コンテンツ暗号キーのマルチキャスト配信要求を受信すると、前記コンテンツ暗号キーを前記キー暗号キーで暗号化し、暗号化したコンテンツ暗号キーを、前記コンテンツ配信装置が存在するエリアにマルチキャスト配信し、前記クライアントから、前記コンテンツ暗号キーのマルチキャスト配信要求を受信すると、前記暗号化したコンテンツ暗号キーを、前記クライアントが存在するエリアにマルチキャスト配信するマルチキャスト配信手段とを有することを特徴とする暗号キー配信装置により解決できる。   An object of the present invention is to provide an encryption key distribution apparatus for multicast distribution of a content encryption key for encrypting and decrypting predetermined multicast content, the holding means for storing an address of an authenticated client, and the multicast To a content distribution device that distributes content, a content distribution device encryption key transmission means for transmitting a key encryption key for encrypting and decrypting the content encryption key, a key request and the multicast content A client encryption key transmission means for receiving the multicast address and transmitting the key encryption key to the client when the address of the key request source is the address of the authenticated client; and the content distribution apparatus From the above When receiving the multicast distribution request for the content encryption key, the content encryption key is encrypted with the key encryption key, the encrypted content encryption key is multicast distributed to an area where the content distribution device exists, and the client It can be solved by an encryption key distribution device comprising multicast distribution means for multicast distribution of the encrypted content encryption key to an area where the client is present when a multicast distribution request for the content encryption key is received.

また、前記暗号キー配信装置は、前記コンテンツ暗号キーを更新する手段を更に備え、前記マルチキャスト配信手段は、前記コンテンツ暗号キーのマルチキャスト配信要求を受信した場合に、マルチキャスト配信要求送信元の装置のエリアに対応する送信先の情報と、前記コンテンツ暗号キーをマルチキャスト配信するためのマルチキャストアドレスとを対応付けたセッション情報を保持し、前記コンテンツ暗号キーの更新が行われた場合に、更新後のコンテンツ暗号キーを当該セッション情報に基づきマルチキャスト配信するようにしてもよい。   The encryption key distribution device further includes means for updating the content encryption key, and when the multicast distribution unit receives a multicast distribution request for the content encryption key, the multicast distribution request transmission source device area Session information that associates the destination information corresponding to the content address with the multicast address for multicast distribution of the content encryption key, and the updated content encryption key is updated when the content encryption key is updated. The key may be multicasted based on the session information.

また、前記暗号キー配信装置は、マルチキャストコンテンツ毎に、コンテンツ暗号キーを配布可能なクライアントの属性値のリストを保持し、前記暗号キー配信装置は、クライアントの認証を行う認証装置から、前記認証されたクライアントのアドレスと当該クライアントに対応する属性値とを受信し、前記保持手段は、当該アドレスと属性値とを対応付けて保持し、前記対クライアント暗号キー送信手段は、前記キー要求及び前記マルチキャストコンテンツのマルチキャストアドレスを受信し、当該キー要求の送信元のアドレスが、前記認証されたクライアントのアドレスであり、かつ当該アドレスに対応する属性値が、前記マルチキャストコンテンツに対応する属性値として前記属性値のリストに含まれている場合に、前記クライアントに前記キー暗号キーを送信するようにしてもよい。   The encryption key distribution device holds a list of client attribute values to which a content encryption key can be distributed for each multicast content, and the encryption key distribution device is authenticated by an authentication device that performs client authentication. The client address and the attribute value corresponding to the client are received, the holding unit holds the address and the attribute value in association with each other, and the client encryption key transmission unit is configured to transmit the key request and the multicast The multicast address of the content is received, the source address of the key request is the address of the authenticated client, and the attribute value corresponding to the address is the attribute value corresponding to the multicast content. If the client is included in the list of It may be transmitted to the key encryption key.

本発明によれば、コンテンツ配信装置に対し、所定のマルチキャストコンテンツに対応するコンテンツ暗号キーを暗号化及び復号化するためのキー暗号キーを送信し、認証されたクライアントからの要求に基づき、そのクライアントに前記キー暗号キーを送信し、コンテンツ配信装置とクライアントの各々に、前記コンテンツ暗号キーを前記キー暗号キーで暗号化したコンテンツ暗号キーをマルチキャスト配信することとしたので、所定のマルチキャストコンテンツは、前記キー暗号キーを持つ認証されたクライアントだけが復号して視聴できる。従って、認証済みのクライアントが受信中のマルチキャストパケットを、他の未認証クライアントが視聴することを防止することが可能となる。   According to the present invention, a key encryption key for encrypting and decrypting a content encryption key corresponding to a predetermined multicast content is transmitted to the content distribution apparatus, and the client is based on a request from the authenticated client. The content encryption key obtained by encrypting the content encryption key with the key encryption key is multicast-distributed to each of the content distribution device and the client. Only authenticated clients with a key encryption key can decrypt and view. Therefore, it is possible to prevent other unauthenticated clients from viewing the multicast packet being received by the authenticated client.

以下、図面を参照して本発明の実施の形態を説明する。   Embodiments of the present invention will be described below with reference to the drawings.

本発明の実施の形態におけるマルチキャスト配信システムを図2に示す。図2に示すように、このマルチキャスト配信システムは、モバイルIPv6のノード機能を有するコンテンツ配信サーバ(CDS:Contents Delivery Server)、アドレスマッピングサーバ(AMS:Address Mapping Server)、マルチキャスト制御ゲートウェイ(MCG:Multicast Gateway Server)、スプリッタ(SP: Splitter)、ホームエージェント(HA)、マルチキャスト暗号キーサーバ(KS)がIPネットワークに接続された構成を有している。
また、各マルチキャスト制御ゲートウェイ(MCG)には、レイヤ2スイッチを介して無線アクセスポイント(AP)が接続され、その配下にクライアント、もしくはコンテンツ配信サーバ(CDS)が存在する。
A multicast distribution system according to an embodiment of the present invention is shown in FIG. As shown in FIG. 2, this multicast distribution system includes a content distribution server (CDS) having a mobile IPv6 node function, an address mapping server (AMS), a multicast control gateway (MCG). Server), splitter (SP), home agent (HA), and multicast encryption key server (KS) are connected to the IP network.
Each multicast control gateway (MCG) is connected to a wireless access point (AP) via a layer 2 switch, and there are clients or content distribution servers (CDS) under the control.

コンテンツ配信サーバ(CDS)は、本システムを利用してコンテンツをストリーム配信するサーバであり、各クライアントは、ストリーム配信されたコンテンツを利用するユーザの端末である。クライアントは、無線アクセスポイント(AP)を経由してマルチキャスト制御ゲートウェイ(MCG)に接続し、マルチキャスト制御ゲートウェイ(MCG)からマルチキャストされるコンテンツを受信する。以下、本実施の形態のマルチキャスト配信システムを構成する各装置の機能を説明する。   The content distribution server (CDS) is a server that uses this system to stream content, and each client is a user terminal that uses the stream-distributed content. The client connects to the multicast control gateway (MCG) via the wireless access point (AP) and receives the multicast content from the multicast control gateway (MCG). Hereinafter, the function of each device constituting the multicast distribution system of the present embodiment will be described.

アドレスマッピングサーバ(AMS)は、コンテンツ毎に、コンテンツに対応するマルチキャストアドレス(これを、マルチキャストチャネル、マルチキャストグループと称する場合もある)と、当該コンテンツの属性(コンテンツの配信元サーバのホームアドレス、コンテンツの配信可能エリア、ストリーム帯域、暗号化方法等)を保持している。例えばコンテンツ提供者がこれらの属性の値を設定する。   The address mapping server (AMS), for each content, a multicast address corresponding to the content (which may be referred to as a multicast channel or a multicast group) and attributes of the content (the home address of the content distribution source server, the content) Distribution area, stream bandwidth, encryption method, etc.). For example, the content provider sets the values of these attributes.

なお、本実施の形態における“エリア”は、IPアドレスのネットワーク部で識別されるネットワークエリアであるが、これに限定されるものではなく、種々の定義が可能である。ネットワークエリアを“ホテル”、“飲食店”、“学校”等と対応付けることにより、“エリア”としてこれらを用いることもできる。また、本実施の形態における“マルチキャスト”はIETF RFC1112やRFC2710等にて定義されているIPマルチキャストであるが、本発明が適用されるマルチキャストはこれに限定されるものではない。   The “area” in the present embodiment is a network area identified by the network part of the IP address, but is not limited to this, and various definitions are possible. By associating network areas with “hotels”, “restaurants”, “schools”, etc., these can also be used as “areas”. “Multicast” in the present embodiment is an IP multicast defined in IETF RFC1112, RFC2710, or the like, but the multicast to which the present invention is applied is not limited to this.

マルチキャスト制御ゲートウェイ(MCG)は、クライアントからのコンテンツ配信要求を受信し、アドレスマッピングサーバ(AMS)からコンテンツ属性を取得して、要求されたコンテンツが、コンテンツ要求元クライアントの存在するエリアに対して配信可能であれば、スプリッタ(SP)及びコンテンツ配信サーバ(CDS)に対してコンテンツ配信ツリーの作成とコンテンツ配信を要求する。その後、コンテンツ配信ツリーに沿って配信されたユニキャストカプセル化されたコンテンツをマルチキャストに復元し、コンテンツ要求元クライアントのエリアに対してマルチキャスト配信する。また、MCGは、VLAN単位(VLANのネットワークアドレス単位)でマルチキャスト配信可否を制御することが可能である。また、マルチキャスト制御ゲートウェイ(MCG)は、更に認証ゲートウェイの機能も有している。   The multicast control gateway (MCG) receives the content distribution request from the client, acquires the content attribute from the address mapping server (AMS), and distributes the requested content to the area where the content requesting client exists. If possible, it requests the splitter (SP) and content distribution server (CDS) to create a content distribution tree and distribute the content. Thereafter, the unicast-encapsulated content distributed along the content distribution tree is restored to multicast, and is multicast distributed to the area of the content requesting client. Also, the MCG can control whether multicast distribution is possible in VLAN units (VLAN network address units). The multicast control gateway (MCG) also has an authentication gateway function.

スプリッタ(SP)は、コンテンツ配信サーバ(CDS)から各MCGにコンテンツを効率的に配送するための配信ツリーを構成し、コンテンツ配信サーバ(CDS)から各マルチキャスト制御ゲートウェイ(MCG)に向けて、コンテンツストリームを中継して分岐配送する。   The splitter (SP) forms a distribution tree for efficiently distributing content from the content distribution server (CDS) to each MCG, and the content is transmitted from the content distribution server (CDS) to each multicast control gateway (MCG). Branch delivery by relaying the stream.

マルチキャスト暗号キーサーバ(KS)は、マルチキャストチャネル毎のパケットの暗号キーを作成し、コンテンツ配信サーバ及びマルチキャスト受信クライアントに配布する機能を有している。   The multicast encryption key server (KS) has a function of creating an encryption key of a packet for each multicast channel and distributing it to the content distribution server and the multicast reception client.

ホームエージェント(HA)は、モバイルIPv6のホームエージェント機能(draft-ietf-mobileip-ipv6にて定義されている)を有する装置(例えばルータ)であり、ホームアドレスと気付けアドレスとを対にして管理する。また、本実施の形態のホームエージェント(HA)は、バインディングアップデート時等にコンテンツ配信サーバ(CDS)を認証した際に、認証結果を、コンテンツ配信サーバ(CDS)を配下に持つマルチキャスト制御ゲートウェイ(MCG)に通知する機能を有している。   A home agent (HA) is a device (for example, a router) having a mobile IPv6 home agent function (defined in draft-ietf-mobileip-ipv6), and manages a home address and a care-of address in pairs. . In addition, when the home agent (HA) of this embodiment authenticates the content distribution server (CDS) at the time of binding update or the like, the authentication result is sent to the multicast control gateway (MCG) under the content distribution server (CDS). ).

図2に示す例では、各マルチキャスト制御ゲートウェイ(MCG)配下では、レイヤ2スイッチを用いることによりVLAN(バーチャルLAN)が構築され、VLANで形成される1つのエリアが1つの無線アクセスポイント(AP)に対応付けられている。マルチキャスト制御ゲートウェイ(MCG)にはアドレスマッピングサーバ(AMS)の所在(アドレスや通信ポート)が予め設定されており、アドレスマッピングサーバ(AMS)と各マルチキャスト制御ゲートウェイ(MCG)間は直接通信可能である。   In the example shown in FIG. 2, under each multicast control gateway (MCG), a VLAN (virtual LAN) is constructed by using a layer 2 switch, and one area formed by the VLAN is one wireless access point (AP). Is associated with. The location (address and communication port) of the address mapping server (AMS) is preset in the multicast control gateway (MCG), and direct communication is possible between the address mapping server (AMS) and each multicast control gateway (MCG). .

また、マルチキャスト制御ゲートウェイ(MCG)配下は、IPマルチキャストを利用可能であるが、マルチキャスト制御ゲートウェイ(MCG)より上流の広域ネットワークでは、ユニキャスト配信のみ可能であるように構成されている。ただし、コンテンツ配信サーバ(CDS)からのコンテンツ配信は、IPマルチキャストパケットをユニキャストパケットにカプセル化し、ユニキャストとして行う。すなわち、コンテンツ配信サーバ(CDS)から各マルチキャスト制御ゲートウェイ(MCG)までのコンテンツストリーム転送においては、IPマルチキャストパケットをユニキャストパケットにカプセル化して配信する。このように構成されたシステムの動作概要は次の通りである。   The multicast control gateway (MCG) is configured to be able to use IP multicast, but in the wide area network upstream from the multicast control gateway (MCG), only unicast distribution is possible. However, content distribution from the content distribution server (CDS) is performed as unicast by encapsulating IP multicast packets into unicast packets. That is, in content stream transfer from the content distribution server (CDS) to each multicast control gateway (MCG), IP multicast packets are encapsulated into unicast packets and distributed. The outline of the operation of the system configured as described above is as follows.

あるクライアントがコンテンツ配信要求をマルチキャスト制御ゲートウェイ(MCG)に対して送信すると、マルチキャスト制御ゲートウェイ(MCG)は、当該クライアントが属しているエリア識別情報と要求するコンテンツ識別情報(マルチキャストアドレス)とをアドレスマッピングサーバ(AMS)に送信し、AMSは、受信した情報から当該エリアで当該コンテンツを受信可能か否かを判断し、可能であればコンテンツ配信サーバ(CDS)のホームアドレスを含む情報をマルチキャスト制御ゲートウェイ(MCG)に返し、MCGはそのアドレスのコンテンツ配信サーバ(CDS)あてにスプリッタ(SP)を介してコンテンツの配信要求を送信する。配信要求を受信したコンテンツ配信サーバ(CDS)は、要求されたコンテンツを送信する。コンテンツは、配信要求が通過した経路に沿って要求送信元のマルチキャスト制御ゲートウェイ(MCG)まで転送され、MCGから、要求に係るエリアのクライアントにマルチキャスト配信される。   When a client sends a content distribution request to the multicast control gateway (MCG), the multicast control gateway (MCG) performs address mapping between the area identification information to which the client belongs and the requested content identification information (multicast address). The AMS determines whether or not the content can be received in the area from the received information, and if possible, the information including the home address of the content distribution server (CDS) is transmitted to the multicast control gateway. Returning to (MCG), the MCG transmits a content distribution request to the content distribution server (CDS) at the address via the splitter (SP). The content distribution server (CDS) that has received the distribution request transmits the requested content. The content is transferred to a multicast control gateway (MCG) as a request transmission source along a route through which the distribution request has passed, and is multicast distributed from the MCG to clients in the area related to the request.

次に、各装置の構成を説明する。まず、図3にマルチキャスト制御ゲートウェイ(MCG)の機能ブロック図を示す。   Next, the configuration of each device will be described. FIG. 3 is a functional block diagram of the multicast control gateway (MCG).

マルチキャスト制御ゲートウェイ(MCG)は、認証チェック部17、パケットフィルタ部18、ストリーム配信部11、ストリーム受信部12、ストリーム配信要求部14、コンテンツ属性要求部13、コンテンツ受信クライアント検出部16、マルチキャスト復元部19、HA通信部10、KS通信部9、クライアント認証部20、及び制御部15を有している。また、制御部15は、認証状態管理部151、セション管理部152、エリア情報管理部153を有している。   The multicast control gateway (MCG) includes an authentication check unit 17, a packet filter unit 18, a stream distribution unit 11, a stream reception unit 12, a stream distribution request unit 14, a content attribute request unit 13, a content reception client detection unit 16, and a multicast restoration unit. 19, HA communication unit 10, KS communication unit 9, client authentication unit 20, and control unit 15. The control unit 15 includes an authentication state management unit 151, a session management unit 152, and an area information management unit 153.

コンテンツ受信クライアント検出部16は、クライアントから、コンテンツのマルチキャスト配信を要求するためのコンテンツ配信要求メッセージを受信する。このメッセージは、IGMP Report又はMLD Report等である。   The content reception client detection unit 16 receives a content distribution request message for requesting multicast distribution of content from the client. This message is IGMP Report or MLD Report.

ストリーム配信部11は、クライアントに対して、要求されたコンテンツをマルチキャスト配信する。ストリーム配信要求部14は、コンテンツ配信サーバ(CDS)又はスプリッタ(SP)に対して、コンテンツ配信要求メッセージを送信する。ストリーム受信部12は、コンテンツ配信サーバ(CDS)又はスプリッタ(SP)からストリーム配信されるコンテンツを受信する。コンテンツ属性要求部13は、アドレスマッピングサーバ(AMS)に対して、コンテンツの属性を要求するメッセージを送信し、その応答を受信する。   The stream delivery unit 11 multicasts the requested content to the client. The stream distribution request unit 14 transmits a content distribution request message to the content distribution server (CDS) or the splitter (SP). The stream receiving unit 12 receives content stream-distributed from a content distribution server (CDS) or a splitter (SP). The content attribute request unit 13 transmits a message requesting content attributes to the address mapping server (AMS) and receives a response.

HA通信部10は、ホームエージェント(HA)と、モバイルIPクライアント(本実施の形態ではコンテンツ配信サーバ(CDS))のバインディング情報を送受信する等の機能を有している。KS通信部9は、マルチキャスト暗号キーサーバ(KS)に対してクライアントの認証状態を通知する。   The HA communication unit 10 has a function of transmitting and receiving binding information between a home agent (HA) and a mobile IP client (content distribution server (CDS) in the present embodiment). The KS communication unit 9 notifies the authentication status of the client to the multicast encryption key server (KS).

認証チェック部17は、受信したIPパケットのヘッダ情報から、そのパケットが認証済のクライアントから発信された情報であるかどうかチェックする機能を有している。また、パケットフィルタ部18は、クライアントからIPパケットを受信したとき、認証済クライアントから発信されたものであれば、パケットをその宛先へ転送する。それ以外の場合は例外(HAへのバインディング情報通知など)を除いて破棄する。また、クライアント認証部20は、クライアントを認証するための機能を有している。   The authentication check unit 17 has a function of checking whether or not the packet is information transmitted from an authenticated client from the header information of the received IP packet. Further, when receiving an IP packet from the client, the packet filter unit 18 forwards the packet to its destination if it is transmitted from the authenticated client. Otherwise, it is discarded except for exceptions (binding information notification to the HA, etc.). The client authentication unit 20 has a function for authenticating the client.

マルチキャスト復元部19は、クライアント群にコンテンツをマルチキャスト配信するために、CDSもしくはSPから受信したユニキャストストリームをマルチキャストに復元する機能を有している。   The multicast restoring unit 19 has a function of restoring the unicast stream received from the CDS or SP to multicast in order to multicast the content to the client group.

また、制御部15の認証状態管理部151は、認証済クライアントのIPアドレス(グローバルアドレス)及びMACアドレスを記憶装置に保持し管理する。制御部15のセション管理部152は、クライアントとのセション及び、コンテンツ配信サーバ(CDS)又はスプリッタ(SP)とのストリーム送受信セションを管理する。また、制御部15のエリア情報管理部153は、ゲートウェイ配下のVLAN毎のエリア情報を管理する機能を有する。   The authentication state management unit 151 of the control unit 15 holds and manages the IP address (global address) and MAC address of the authenticated client in the storage device. The session management unit 152 of the control unit 15 manages a session with a client and a stream transmission / reception session with a content distribution server (CDS) or a splitter (SP). The area information management unit 153 of the control unit 15 has a function of managing area information for each VLAN under the gateway.

図4にスプリッタ(SP)の機能ブロック図を示す。同図に示すように、スプリッタ(SP)は、コンテンツ要求受信部21、ストリーム配信部22、ストリーム配信要求部23、ストリーム受信部24、及び制御部25を有している。また、制御部25は、セション管理部251を有している。   FIG. 4 shows a functional block diagram of the splitter (SP). As shown in the figure, the splitter (SP) includes a content request receiving unit 21, a stream distribution unit 22, a stream distribution request unit 23, a stream reception unit 24, and a control unit 25. Further, the control unit 25 has a session management unit 251.

コンテンツ要求受信部21は、下流のマルチキャスト制御ゲートウェイ(MCG)やスプリッタ(SP)から、コンテンツ配信要求メッセージを受信し、ストリーム配信部22は、下流のマルチキャスト制御ゲートウェイ(MCG)やスプリッタ(SP)に対して、要求されたコンテンツをストリーム配信する機能を有している。また、ストリーム配信要求部23は、上流のスプリッタ(SP)やコンテンツ配信サーバ(CDS)に対して、コンテンツ配信要求メッセージを送信し、ストリーム受信部24は、上流のスプリッタ(SP)やコンテンツ配信サーバ(CDS)からストリーム配信されるコンテンツを受信する機能を有している。   The content request reception unit 21 receives a content distribution request message from the downstream multicast control gateway (MCG) or splitter (SP), and the stream distribution unit 22 sends the content to the downstream multicast control gateway (MCG) or splitter (SP). On the other hand, it has a function of streaming the requested content. The stream distribution request unit 23 transmits a content distribution request message to the upstream splitter (SP) or content distribution server (CDS), and the stream reception unit 24 transmits the upstream splitter (SP) or content distribution server. (CDS) has a function of receiving content stream-distributed.

制御部25のセション管理部251は、下流のスプリッタ(SP)やマルチキャスト制御ゲートウェイ(MCG)、及び、上流のスプリッタ(SP)やコンテンツ配信サーバ(CDS)とのストリーム送受信セションを管理する。   The session management unit 251 of the control unit 25 manages a stream transmission / reception session with the downstream splitter (SP), the multicast control gateway (MCG), and the upstream splitter (SP) or content distribution server (CDS).

図5にアドレスマッピングサーバ(AMS)の機能ブロック図を示す。同図に示すように、アドレスマッピングサーバ(AMS)は、コンテンツ属性要求受信部31、コンテンツ属性送信部32、コンテンツ属性管理データベース33、属性操作用ユーザインタフェース部34、及び制御部35を有する。また、制御部35は、データベースアクセス部351とコンテンツ配信可否制御部352を有している。   FIG. 5 shows a functional block diagram of the address mapping server (AMS). As shown in the figure, the address mapping server (AMS) includes a content attribute request receiving unit 31, a content attribute transmitting unit 32, a content attribute management database 33, an attribute operation user interface unit 34, and a control unit 35. The control unit 35 includes a database access unit 351 and a content distribution availability control unit 352.

コンテンツ属性要求受信部31は、マルチキャスト制御ゲートウェイ(MCG)から、コンテンツ属性要求メッセージを受信する。コンテンツ属性送信部32は、コンテンツ属性要求元MCGに対して、コンテンツ属性要求に対する応答メッセージを送信する。配信可能なエリアのMCGに対しては、応答メッセージとしてコンテンツ属性を含む情報を送信する。コンテンツ属性管理データベース33は、コンテンツ毎に、マルチキャストアドレス、配信元サーバアドレス、配信可能エリア情報等が対応付けられた属性情報を管理する。属性操作用ユーザインタフェース部34は、コンテンツ属性を操作するための画面を表示し、ユーザからの属性操作入力を受信する。   The content attribute request receiving unit 31 receives a content attribute request message from the multicast control gateway (MCG). The content attribute transmission unit 32 transmits a response message to the content attribute request to the content attribute request source MCG. Information including the content attribute is transmitted as a response message to the MCG in the distributable area. The content attribute management database 33 manages attribute information in which a multicast address, a distribution source server address, distributable area information, and the like are associated with each content. The attribute operation user interface unit 34 displays a screen for operating content attributes, and receives an attribute operation input from the user.

制御部35のデータベースアクセス部351は、マルチキャスト制御ゲートウェイ(MCG)からのコンテンツ属性要求受信時、及び、ユーザからの属性操作時、データベース33にアクセスし、属性値の読み出し/書き込みを行う。コンテンツ配信可否制御部352は、データベース33の情報とコンテンツ属性要求元のエリア情報とを照合し、その照合結果に基づいて、要求に係るコンテンツを当該エリアに配信許可するか否かを決定する。   The database access unit 351 of the control unit 35 accesses the database 33 and reads / writes attribute values when a content attribute request is received from the multicast control gateway (MCG) and when an attribute operation is performed by the user. The content distribution availability control unit 352 collates the information in the database 33 with the area information of the content attribute request source, and determines whether to permit distribution of the requested content to the area based on the collation result.

図6にマルチキャスト暗号キーサーバ(KS)の機能ブロック図を示す。同図に示すように、マルチキャスト暗号キーサーバ(KS)は、認証情報取得部41、制御部42、暗号キー要求受信部43、認証チェック部44、暗号キー作成部45、マルチキャスト暗号キー配布部46、ユニキャストカプセル部47、制御部42は、認証情報管理部421と
キー管理部422を有している。
FIG. 6 shows a functional block diagram of the multicast encryption key server (KS). As shown in the figure, the multicast encryption key server (KS) includes an authentication information acquisition unit 41, a control unit 42, an encryption key request reception unit 43, an authentication check unit 44, an encryption key creation unit 45, and a multicast encryption key distribution unit 46. The unicast capsule unit 47 and the control unit 42 include an authentication information management unit 421 and a key management unit 422.

認証情報取得部41は、マルチキャスト制御ゲートウェイ(MCG)やホームエージェント(HA)等から、マルチキャスト制御ゲートウェイ(MCG)やホームエージェント(HA)が認証したクライアントのIPアドレス(MobileIPクライアントのホームアドレス等)を受信する。また、ログアウトしたクライアントのIPアドレス情報を受信する。   The authentication information acquisition unit 41 obtains the IP address of the client authenticated by the multicast control gateway (MCG) or the home agent (HA) from the multicast control gateway (MCG) or the home agent (HA) (the home address of the MobileIP client). Receive. It also receives the IP address information of the logged out client.

暗号キー要求受信部43は、マルチキャスト視聴クライアントから、マルチキャスト暗号キーの配布要求を受信する。また、認証チェック部44は、暗号キーを要求するクライアントからのパケットのヘッダ情報から、認証済クライアントであるかどうかチェックする。   The encryption key request receiving unit 43 receives a multicast encryption key distribution request from the multicast viewing client. Also, the authentication check unit 44 checks whether the client is an authenticated client from the header information of the packet from the client requesting the encryption key.

暗号キー作成部45は、マルチキャスト暗号キー(TEK:Traffic Encryption Key)、及びKEK(Key Encryption Key)を作成する。また、一定時間おきにTEKを新しく作り直す。マルチキャスト暗号キー配布部46は、マルチキャスト制御ゲートウェイ(MCG)やホームエージェント(HA)において認証済のクライアントに対してのみ、TEKを配布する。また、ユニキャストカプセル部47は、マルチキャストパケットをユニキャストパケットにカプセル化する。   The encryption key creation unit 45 creates a multicast encryption key (TEK: Traffic Encryption Key) and a KEK (Key Encryption Key). In addition, a new TEK is recreated at regular intervals. The multicast encryption key distribution unit 46 distributes the TEK only to clients that have been authenticated by the multicast control gateway (MCG) or the home agent (HA). The unicast capsule unit 47 encapsulates the multicast packet into a unicast packet.

制御部42の認証情報管理部421は、マルチキャスト制御ゲートウェイ(MCG)やホームエージェント(HA)等から取得した認証済クライアントのIPアドレスを管理する。また、キー管理部422は、マルチキャストチャネル毎に、対応するマルチキャスト暗号キー、KEK、及び、これらのキーを配布したクライアントのリストを管理する。   The authentication information management unit 421 of the control unit 42 manages the IP address of the authenticated client acquired from the multicast control gateway (MCG), the home agent (HA), or the like. Further, the key management unit 422 manages, for each multicast channel, a corresponding multicast encryption key, KEK, and a list of clients that have distributed these keys.

上記の各装置における機能部、及び本発明の各手段は、コンピュータに、本実施の形態において説明した処理内容を記述したプログラムを実行させることにより実現されるものである。また、上記の各装置は、通信処理機能を有するコンピュータにより実現できる。また、マルチキャスト制御ゲートウェイ(MCG)及びスプリッタ(SP)はルータにより実現することもできる。   The functional units in each of the above devices and each means of the present invention are realized by causing a computer to execute a program describing the processing contents described in the present embodiment. Each of the above devices can be realized by a computer having a communication processing function. The multicast control gateway (MCG) and the splitter (SP) can also be realized by a router.

次に、図7のシーケンス図を参照して本実施の形態のシステムの基本的な動作を説明する。このシーケンスは、モバイルIPクライアントであるコンテンツ配信サーバ(CDS)を認証し、マルチキャストストリームを要求するクライアント群に向けて、コンテンツマルチキャスト配信ツリーを自動生成し、コンテンツ配信サーバ(CDS)からユニキャストカプセル化されたマルチキャストストリームを受信し、コンテンツをマルチキャスト配信開始するまでのシーケンスの一例である。   Next, the basic operation of the system of the present embodiment will be described with reference to the sequence diagram of FIG. This sequence authenticates a content distribution server (CDS), which is a mobile IP client, automatically generates a content multicast distribution tree for a client group requesting a multicast stream, and performs unicast encapsulation from the content distribution server (CDS). 2 is an example of a sequence from receiving a received multicast stream to starting multicast distribution of content.

本実施の形態におけるマルチキャスト配信システムにおける処理シーケンスは、(1)AMSへのマルチキャストコンテンツ登録、(2)コンテンツ配信サーバの認証、(3)コンテンツ受信要求処理、(4)コンテンツ配信ツリー作成の段階、及び、(5)コンテンツ中継とマルチキャスト配信、の5つの段階に大きく分けることができる。   The processing sequence in the multicast distribution system according to the present embodiment includes (1) Multicast content registration to AMS, (2) Content distribution server authentication, (3) Content reception request processing, (4) Content distribution tree creation stage, And (5) Content relaying and multicast distribution can be roughly divided into five stages.

(1) AMSへのマルチキャストコンテンツ登録
事前にマルチキャストアドレスと、そのコンテンツ配信サーバ(CDS)のユニキャストアドレス(ここではモバイルIPv6のホームアドレス)等のコンテンツ属性情報をアドレスマッピングサーバ(AMS)に登録しておく。
(1) Multicast content registration to AMS Register the content attribute information such as the multicast address and the unicast address of the content distribution server (CDS) (here, the mobile IPv6 home address) in advance in the address mapping server (AMS). Keep it.

(2) コンテンツ配信サーバの認証
マルチキャストコンテンツを発信するコンテンツ配信サーバ(CDS)は、ホームエージェント(HA)に対して認証を要求する(バインディングアップデート時等)(ステップ11)。なお、ホームエージェント(HA)には、コンテンツ配信サーバ(CDS)を認証するための情報が事前に登録されているものとする。ホームエージェント(HA)はこの認証が成功の場合、コンテンツ配信サーバ(CDS)のホームアドレスと気付けアドレスの対応を保持し、気付けアドレスに対応するマルチキャスト制御ゲートウェイ(MCG1とする)に対して、ホームアドレスと気付けアドレス、認証結果を通知する(ステップ12)。マルチキャスト制御ゲートウェイ(MCG1)は、この通知に基づき、コンテンツ配信サーバ(CDS)のホームアドレスと気付けアドレスを、認証されたコンテンツ配信サーバ(CDS)のアドレスとして登録しておく。
(2) Content Distribution Server Authentication The content distribution server (CDS) that transmits the multicast content requests authentication from the home agent (HA) (for example, during a binding update) (step 11). It is assumed that information for authenticating the content distribution server (CDS) is registered in advance in the home agent (HA). If this authentication is successful, the home agent (HA) holds the correspondence between the home address of the content distribution server (CDS) and the care-of address, and sends the home address to the multicast control gateway (referred to as MCG1) corresponding to the care-of address. The care-of address and the authentication result are notified (step 12). Based on this notification, the multicast control gateway (MCG1) registers the home address and care-of address of the content distribution server (CDS) as the address of the authenticated content distribution server (CDS).

そして、コンテンツ配信サーバ(CDS)から発信されるユニキャストパケットや、コンテンツ配信サーバ(CDS)宛に送信されるユニキャストパケットを受信した場合には、上記の登録内容に基づき、認証されたコンテンツ配信サーバ(CDS)から発信されたパケットもしくは認証されたコンテンツ配信サーバ(CDS)宛のパケットであると判断し、転送を行う。
(3)コンテンツ受信要求処理
視聴者側のマルチキャスト制御ゲートウェイ(MCG2とする)は、無線アクセスエリアのゲートウェイであり、配下のLAN(VLAN)に関するエリア情報を管理している。ここではまず、コンテンツを要求するクライアントの認証を行うが、この処理については後に詳述する。
When a unicast packet transmitted from the content distribution server (CDS) or a unicast packet transmitted to the content distribution server (CDS) is received, the authenticated content distribution is performed based on the registered contents. It is determined that the packet originates from the server (CDS) or is addressed to the authenticated content distribution server (CDS), and is transferred.
(3) Content Reception Request Processing The viewer-side multicast control gateway (referred to as MCG2) is a gateway for a radio access area and manages area information related to a subordinate LAN (VLAN). Here, the client requesting the content is authenticated first, and this process will be described in detail later.

また、認証処理を完了したクライアントが、あるマルチキャストコンテンツの配信要求を発信すると(ステップ13)、その配信要求が、認証されたクライアントから発信されたものかどうかをチェックするが、この処理についても後に詳述する。   Further, when a client that has completed the authentication process sends a request for distribution of a certain multicast content (step 13), it is checked whether the distribution request is sent from an authenticated client. Detailed description.

ステップ13においてマルチキャスト配信要求が発信されると、マルチキャスト制御ゲートウェイ(MCG2)のコンテンツ受信クライアント検出部16が前記配信要求を受信する。この配信要求は上記コンテンツの識別情報(マルチキャストアドレス)とエリア情報とを含む。   When a multicast distribution request is issued in step 13, the content reception client detection unit 16 of the multicast control gateway (MCG2) receives the distribution request. This distribution request includes the content identification information (multicast address) and area information.

マルチキャスト制御ゲートウェイ(MCG2)は、次に、コンテンツ配信サーバ(CDS)に対して配信要求されたマルチキャストコンテンツの属性を要求するため、コンテンツ属性要求部13からアドレスマッピングサーバ(AMS)に対して、要求に係るコンテンツに関するコンテンツ属性要求メッセージを発信する(ステップ14)。なお、マルチキャスト制御ゲートウェイ(MCG2)には、アドレスマッピングサーバ(AMS)のアドレス及びポート番号等がコンフィグファイル等に予め設定してあるものとする。前記コンテンツ属性要求メッセージには、配信先(クライアントの存在する場所)のエリア情報(ネットワークプレフィクス、MCG2配下のVLAN ID等を含む)が含まれる。   Next, the multicast control gateway (MCG2) requests the content mapping server (AMS) from the content attribute request unit 13 in order to request the attribute of the multicast content requested to be distributed to the content distribution server (CDS). A content attribute request message related to the content related to is sent (step 14). In the multicast control gateway (MCG2), it is assumed that the address and port number of the address mapping server (AMS) are preset in the configuration file or the like. The content attribute request message includes area information (including a network prefix, a VLAN ID under MCG2, etc.) of a delivery destination (location where the client exists).

アドレスマッピングサーバ(AMS)のコンテンツ属性要求受信部31は、前記コンテンツ属性要求メッセージを受信すると、そのメッセージの内容を制御部35へ通知する。アドレスマッピングサーバ(AMS)の制御部35は、アドレスマッピングサーバ(AMS)のコンテンツ属性データベース33を参照し、要求されたコンテンツに対する配信可能エリア情報と、前記メッセージに含まれる配信先エリア情報とを照合する。この照合の結果、クライアントの存在するエリアに対してコンテンツ配信が可能であるならば、アドレスマッピングサーバ(AMS)は、コンテンツ属性送信部32から、MCG2に対してコンテンツ属性を通知する(ステップ15)。コンテンツ属性は、コンテンツ配信サーバ(CDS)のホームアドレスを含む。   When the content attribute request receiving unit 31 of the address mapping server (AMS) receives the content attribute request message, the content attribute request receiving unit 31 notifies the control unit 35 of the content of the message. The control unit 35 of the address mapping server (AMS) refers to the content attribute database 33 of the address mapping server (AMS), and collates the distributable area information for the requested content with the distribution destination area information included in the message. To do. If the content distribution is possible to the area where the client exists as a result of the collation, the address mapping server (AMS) notifies the content attribute from the content attribute transmission unit 32 to the MCG 2 (step 15). . The content attribute includes the home address of the content distribution server (CDS).

マルチキャスト制御ゲートウェイ(MCG2)のコンテンツ属性要求部13は、前記コンテンツ属性を受信すると、制御部15に通知し、制御部15は、配信先エリアとマルチキャストアドレスのペアをセッション情報として管理する。そして、マルチキャスト制御ゲートウェイ(MCG2)のストリーム配信要求部14から、コンテンツ配信サーバ(CDS)のホームアドレスに向けてコンテンツ配信要求メッセージを発信する(ステップ16)。このコンテンツ配信要求メッセージは、前記ホームアドレス、要求するコンテンツに対応するマルチキャストアドレス、要求元MCG2のアドレスを含む。
(4) コンテンツ配信ツリー作成
マルチキャスト制御ゲートウェイ(MCG2)から前記ホームアドレス宛に発信されるパケットは、ホームエージェント(HA)に送信され、ホームエージェント(HA)から前記ホームアドレスを有するコンテンツ配信サーバ(CDS)の気付けアドレスに転送されることになる。
When the content attribute request unit 13 of the multicast control gateway (MCG2) receives the content attribute, the content attribute request unit 13 notifies the control unit 15 and the control unit 15 manages a pair of a distribution destination area and a multicast address as session information. Then, a content distribution request message is transmitted from the stream distribution request unit 14 of the multicast control gateway (MCG2) to the home address of the content distribution server (CDS) (step 16). This content distribution request message includes the home address, the multicast address corresponding to the requested content, and the address of the request source MCG2.
(4) Content distribution tree creation A packet transmitted to the home address from the multicast control gateway (MCG2) is transmitted to the home agent (HA), and the content distribution server (CDS) having the home address from the home agent (HA). ) Will be forwarded to the care-of address.

本実施の形態では、マルチキャスト制御ゲートウェイ(MCG2)とホームエージェント(HA)間の通信経路途中、又は、ホームエージェント(HA)とコンテンツ配信サーバ(CDS)間の通信経路途中に、いくつかのSPとなるノードが存在する。図6の例では、SP1という1つのスプリッタ(SP)となるノードが存在し、SP1がマルチキャスト制御ゲートウェイ(MCG2)とホームエージェント(HA)間の通信経路途中にあるものとする。このとき、マルチキャスト制御ゲートウェイ(MCG2)からコンテンツ配信サーバ(CDS)のホームアドレスに向けて発信されたコンテンツ配信要求メッセージは、まずスプリッタ(SP1)のコンテンツ要求受信部21により受信される。スプリッタ(SP1)のコンテンツ要求受信部21は、前記コンテンツ配信要求メッセージを受信すると、そのメッセージをセッション管理部251へ通知する。スプリッタ(SP1)のセッション管理部251は、この要求メッセージを以下のように処理する。   In the present embodiment, some SPs are in the middle of the communication path between the multicast control gateway (MCG2) and the home agent (HA), or in the middle of the communication path between the home agent (HA) and the content distribution server (CDS). A node exists. In the example of FIG. 6, it is assumed that there is a node called SP1 which is one splitter (SP), and SP1 is in the middle of the communication path between the multicast control gateway (MCG2) and the home agent (HA). At this time, the content distribution request message transmitted from the multicast control gateway (MCG2) to the home address of the content distribution server (CDS) is first received by the content request receiving unit 21 of the splitter (SP1). When receiving the content distribution request message, the content request receiving unit 21 of the splitter (SP1) notifies the session management unit 251 of the message. The session management unit 251 of the splitter (SP1) processes this request message as follows.

(4.1) 発信元MCG2のアドレスと、要求するコンテンツのチャネル(識別情報(マルチキャストアドレス)とのペアをセッション情報として記憶装置に管理する(ステップ17)。   (4.1) A pair of a source MCG2 address and a requested content channel (identification information (multicast address)) is managed as session information in the storage device (step 17).

(4.2) 前記コンテンツ配信要求メッセージの要求元アドレスを、元のMCG2ではなく、自身(SP1)のアドレスに変更する。それから、書き換えたコンテンツ配信要求メッセージを、前記ホームアドレスに向けて発信する(ステップ18)。   (4.2) The request source address of the content distribution request message is changed to the address of itself (SP1) instead of the original MCG2. Then, the rewritten content delivery request message is sent to the home address (step 18).

このコンテンツ配信要求メッセージは、次にホームエージェント(HA)に配信され、ホームエージェント(HA)から、この要求メッセージがコンテンツ配信サーバ(CDS)へ転送される(ステップ19)。この要求メッセージはMCG1を経由するが、MCG1は、当該コンテンツ配信サーバ(CDS)が認証済であると判断し、転送を許可する。コンテンツ配信サーバ(CDS)は、この配信要求メッセージを受信すると、ホームエージェント(HA)ではなく、ホームエージェント(HA)の直前の発信元装置(ここではSP1)のアドレスと、要求されたコンテンツのマルチキャストアドレスとのペアをセッション情報(配信先テーブル)として管理する。なお、“ツリーが作成された”とは、上記の各ノードにおいて特定のコンテンツに対応したセッション情報が保持されたことをいう。   The content distribution request message is then distributed to the home agent (HA), and the request message is transferred from the home agent (HA) to the content distribution server (CDS) (step 19). This request message passes through MCG1, but MCG1 determines that the content distribution server (CDS) has been authenticated, and permits transfer. When receiving the distribution request message, the content distribution server (CDS), not the home agent (HA), multicasts the requested content and the address of the source device (here SP1) immediately before the home agent (HA). A pair with an address is managed as session information (distribution destination table). Note that “a tree has been created” means that session information corresponding to specific content is held in each of the above nodes.

(5)コンテンツ中継とマルチキャスト配信の段階
モバイルIPクライアントであるコンテンツ配信サーバ(CDS)は、保持しているセッション情報を元に、要求されたコンテンツを配信する。上記過程では、要求されたコンテンツ配信先としてSP1が登録されているため、当該コンテンツをユニキャストでSP1宛にユニキャストカプセル化してストリーム配信する(ステップ20、21)。マルチキャスト制御ゲートウェイ(MCG1)は、コンテンツ配信サーバ(CDS)が認証済であると判断し、ユニキャストリームの転送を行う。また、このストリームは、ホームエージェント(HA)を経由してスプリッタ(SP1)へ転送される(ステップ22)。
(5) Stage of Content Relay and Multicast Distribution The content distribution server (CDS), which is a mobile IP client, distributes requested content based on the held session information. In the above process, since SP1 is registered as the requested content distribution destination, the content is unicast-encapsulated to SP1 by unicast and stream-distributed (steps 20 and 21). The multicast control gateway (MCG1) determines that the content distribution server (CDS) has been authenticated, and transfers the unicast stream. This stream is transferred to the splitter (SP1) via the home agent (HA) (step 22).

スプリッタ(SP1)のストリーム受信部24は、ユニキャストカプセル化されたコンテンツストリームを受信すると、セッション管理部25において管理しているセッション情報に基づき転送を行う。ここではマルチキャスト制御ゲートウェイ(MCG2)に対するセッションが管理されているため、ストリーム配信部22から、マルチキャスト制御ゲートウェイ(MCG2)に対してコンテンツをストリーム配信する(ステップ23)。   When receiving the unicast-encapsulated content stream, the stream receiving unit 24 of the splitter (SP1) performs transfer based on the session information managed by the session management unit 25. Here, since a session for the multicast control gateway (MCG2) is managed, the stream is delivered from the stream delivery unit 22 to the multicast control gateway (MCG2) (step 23).

マルチキャスト制御ゲートウェイ(MCG2)のストリーム受信部12は、スプリッタ(SP1)からコンテンツを受信する。そして、マルチキャスト復元部19は、コンテンツストリームをマルチキャストに復元し(ステップ24)、ストリーム配信部11はセッション管理部152において管理しているセッション情報に基づきコンテンツを配信する(ステップ25)。ここでは、クライアントが存在するエリアに対するセッションが管理されているため、ストリーム配信部11から、当該エリアに対して、コンテンツストリームをマルチキャストチャネルで配信する。   The stream receiver 12 of the multicast control gateway (MCG2) receives content from the splitter (SP1). Then, the multicast restoration unit 19 restores the content stream to multicast (step 24), and the stream delivery unit 11 delivers the content based on the session information managed by the session management unit 152 (step 25). Here, since the session for the area where the client exists is managed, the content stream is distributed from the stream distribution unit 11 to the area using a multicast channel.

以上のシーケンス例では、SPが1台であったが、SPは無くても良く、また2台以上存在していても良い。   In the above sequence example, there is one SP, but there may be no SP, or two or more SPs may exist.

また、コンテンツ配信サーバ(CDS)がモバイルIP機能を持たない構成としてもよい。この場合、AMSにはコンテンツ配信サーバ(CDS)のIPアドレスが登録され、コンテンツ配信サーバ(CDS)から送信されるパケット、コンテンツ配信サーバ(CDS)宛のパケットはHAを経由しない。それ以外の処理はモバイルIP機能を持つ場合と同じである。   Further, the content distribution server (CDS) may not have a mobile IP function. In this case, the IP address of the content distribution server (CDS) is registered in the AMS, and packets transmitted from the content distribution server (CDS) and packets addressed to the content distribution server (CDS) do not pass through the HA. The other processes are the same as when the mobile IP function is provided.

(クライアントの認証)
以下、(3)コンテンツ受信要求処理におけるコンテンツ受信クライアントの認証チェック処理について図8のシーケンスチャートを参照して詳細に説明する。ここでの処理により、認証されたクライアントのみがマルチキャストを配信要求できるようになる。
(Client authentication)
Hereinafter, the authentication check process of the content reception client in the (3) content reception request process will be described in detail with reference to the sequence chart of FIG. By this processing, only authenticated clients can request distribution of multicast.

(3.1) コンテンツ受信クライアントのログイン
まず、コンテンツの配信要求を行おうとするクライアントの認証を行う。認証方法は特定の方法に限定されない。例えば、クライアントがモバイルIPv6機能を持つ場合には、ホームエージェント(HA)がモバイルIPの機能によってクライアントを認証し、認証OKであればホームエージェント(HA)がクライアントのグローバルなIPアドレス(ホームアドレス)をマルチキャスト制御ゲートウェイ(MCG2)のHA通信部10に通知し、HA通信部10はそれを認証状態管理部151に通知し、認証状態管理部151はそのアドレスを認証されたクライアントのアドレスとして記憶装置に格納し、管理する。また、クライアントがモバイルIPの機能を持たない場合でも、ホームエージェント(HA)にモバイルIPの機能を持たないクライアントの認証を行う機能を備えることにより、クライアントがホームエージェント(HA)にアクセスして、ホームエージェント(HA)が認証を行うことができる。
(3.1) Log-in of Content Receiving Client First, a client who is going to make a content distribution request is authenticated. The authentication method is not limited to a specific method. For example, if the client has a mobile IPv6 function, the home agent (HA) authenticates the client by the mobile IP function, and if the authentication is OK, the home agent (HA) uses the client's global IP address (home address). Is notified to the HA communication unit 10 of the multicast control gateway (MCG2), and the HA communication unit 10 notifies the HA to the authentication state management unit 151. The authentication state management unit 151 stores the address as the address of the authenticated client. Store and manage. In addition, even when the client does not have the mobile IP function, the client can access the home agent (HA) by providing the home agent (HA) with the function of authenticating the client without the mobile IP function. A home agent (HA) can perform authentication.

また、クライアントとマルチキャスト制御ゲートウェイ(MCG2)間でIPsecネゴシエーションを行うことにより認証を行い、マルチキャスト制御ゲートウェイ(MCG2)が認証済みクライアントのアドレスを取得してもよい。また、マルチキャスト制御ゲートウェイ(MCG2)が認証用WWWページをクライアントに提供し、クライアントからIDとパスワードの入力を受けて、予め登録したID、パスワードと比較することによりクライアントを認証してもよい。   Further, authentication may be performed by performing IPsec negotiation between the client and the multicast control gateway (MCG2), and the multicast control gateway (MCG2) may acquire the address of the authenticated client. Alternatively, the multicast control gateway (MCG2) may provide an authentication WWW page to the client, receive the input of the ID and password from the client, and authenticate the client by comparing with an ID and password registered in advance.

図8に示す例では、ホームエージェント(HA)がクライアントの認証を行い(ステップ31)、認証に成功したクライアントのグローバルなIPアドレスをマルチキャスト制御ゲートウェイ(MCG2)に通知し(ステップ32)、それを認証状態管理部151に通知している(ステップ33)。   In the example shown in FIG. 8, the home agent (HA) authenticates the client (step 31), and notifies the multicast control gateway (MCG2) of the global IP address of the client that has been successfully authenticated (step 32). The authentication status management unit 151 is notified (step 33).

そして、マルチキャスト制御ゲートウェイ(MCG2)は、取得したIPアドレスを用いてクライアントにアクセスすることにより(ステップ34)、クライアントのMACアドレスを取得し、認証状態管理部151は取得したMACアドレスをIPアドレスに対応付けて管理する(ステップ35、36)。
(3.2) コンテンツ受信要求(マルチキャストJoin)
マルチキャストの配信要求するため、クライアントはJoin(IPv4マルチキャストであればIGMP Report、IPv6マルチキャストであればMLD Report)を発信するが、図8はIPv6マルチキャストの場合を示している。
Then, the multicast control gateway (MCG2) accesses the client using the acquired IP address (step 34), thereby acquiring the client MAC address, and the authentication state management unit 151 sets the acquired MAC address as the IP address. It manages in association (steps 35 and 36).
(3.2) Content reception request (multicast join)
In order to request multicast distribution, the client sends Join (IGMP Report for IPv4 multicast, MLD Report for IPv6 multicast). FIG. 8 shows the case of IPv6 multicast.

IPv4マルチキャストの場合であれば、マルチキャスト制御ゲートウェイ(MCG2)の認証チェック部17は、IGMP Reportの発信元IPアドレスとMACアドレスの組が、前記(3.1)の処理により保持されているIPアドレスとMACアドレスの組のいずれかと一致しているかどうかチェックする。一致しているものが無ければ当該Joinを破棄する。一致している場合、図7におけるステップ16からの処理を行ってマルチキャスト配信を行う。なお、コンテンツ属性要求をし、要求エリアに配信可能である場合の応答を受けた場合に、パケットフィルタ部18は、そのコンテンツの当該エリアに対する配信のフィルタをオープンしておく。   In the case of IPv4 multicast, the authentication check unit 17 of the multicast control gateway (MCG2) uses the IP address in which the combination of the source IP address and the MAC address of the IGMP Report is held by the process (3.1). And whether it matches one of the MAC address pairs. If there is no match, the join is discarded. If they match, multicast distribution is performed by performing the processing from step 16 in FIG. When a content attribute request is made and a response indicating that the content can be distributed to the requested area is received, the packet filter unit 18 opens a distribution filter for the area of the content.

一方、IPv6マルチキャストの場合は、MLD Reportの発信元IPアドレスがリンクローカルアドレスであるため、IPv4マルチキャストの場合にようにグローバルIPアドレスとの一致をチェックすることができない。そこで、本実施の形態では以下のようにしてMLD Reportが認証されたクライアントからのパケットであるかどうかをチェックする。   On the other hand, in the case of IPv6 multicast, since the source IP address of the MLD Report is a link local address, it is not possible to check the match with the global IP address as in the case of IPv4 multicast. Therefore, in this embodiment, it is checked whether the MLD Report is a packet from an authenticated client as follows.

図8に示すように、まず、マルチキャスト制御ゲートウェイ(MCG2)の認証チェック部17は、クライアントから受信したMLD Reportパケットからの発信元MACアドレス(MAC1とする)を取得し(ステップ37、38)、MAC1が、前記(3.1)のステップ36により取得し、管理していた情報のどれかと一致しているかチェックする。一致しているものが無ければ当該配信要求を破棄する。   As shown in FIG. 8, first, the authentication check unit 17 of the multicast control gateway (MCG2) acquires a source MAC address (referred to as MAC1) from the MLD Report packet received from the client (steps 37 and 38), It is checked whether the MAC1 matches any of the information acquired and managed in the step (3.1). If there is no match, the distribution request is discarded.

MAC1と一致するMACアドレスが存在する場合、認証チェック部17は、MAC1に対応するグローバルなIPアドレスを認証状態管理部151から取得する(ステップ39、40)。そして、IPv6のNeighbor Solicitation(近隣要請)パケットに目的アドレスとして認証状態管理部151から取得したIPアドレスを設定し、そのNeighbor Solicitationパケットをクライアント側のエリアに発信する(ステップ41)。
このパケットを受信した上記IPアドレスを持つクライアントから応答パケット(Neighbor Advertisement(近隣広告))が通知されると(ステップ42)、そのパケットのMACアドレス(MAC2とする)をチェックし、MAC2がMAC1と一致するかどうかチェックする(ステップ43)。MAC2がMAC1と一致する場合は、応答パケットを送信したクライアントは、MAC1に対応付けて保持されるIPアドレスを有するクライアント、すなわち認証されたクライアントであると判定できる。従って、MAC2がMAC1と一致する場合は、ステップ37でMLD Reportを送信したクライアントは認証済みのクライアントであると判定する(ステップ44)。
(3.3)コンテンツ配信エリアチェック
(3.2)における認証チェックで受理されたマルチキャスト配信要求に対して、マルチキャスト制御ゲートウェイ(MCG2)は、図7のステップ14、15と同じ処理を行って、コンテンツ配信エリアチェックを行う(ステップ45〜49)。ここで、配信可の応答を受けた場合は、パケットフィルタ部18のフィルタをオープンしておく(図8のステップ50)。その後、図6に示したステップ16からの処理を行って、コンテンツ配信サーバ(CDS)にコンテンツを要求し、MCG2はユニキャストで受信したストリームを要求エリアに対してマルチキャスト配信する(ステップ51)。
If there is a MAC address that matches MAC1, the authentication check unit 17 acquires a global IP address corresponding to MAC1 from the authentication state management unit 151 (steps 39 and 40). Then, the IP address acquired from the authentication state management unit 151 is set as the target address in the IPv6 Neighbor Solicitation packet, and the Neighbor Solicitation packet is transmitted to the client side area (step 41).
When a response packet (Neighbor Advertisement (neighbor advertisement)) is notified from the client having the IP address that has received this packet (step 42), the MAC address of the packet (referred to as MAC2) is checked. It is checked whether they match (step 43). When MAC2 matches MAC1, it can be determined that the client that transmitted the response packet is a client having an IP address held in association with MAC1, that is, an authenticated client. Accordingly, if MAC2 matches MAC1, it is determined that the client that has transmitted the MLD Report in step 37 is an authenticated client (step 44).
(3.3) Content distribution area check In response to the multicast distribution request accepted by the authentication check in (3.2), the multicast control gateway (MCG2) performs the same processing as steps 14 and 15 in FIG. A content distribution area check is performed (steps 45 to 49). If a response indicating that the distribution is possible is received, the filter of the packet filter unit 18 is opened (step 50 in FIG. 8). Thereafter, the processing from step 16 shown in FIG. 6 is performed to request content from the content distribution server (CDS), and the MCG 2 performs multicast distribution of the stream received by unicast to the request area (step 51).

(認証済クライアントのみがマルチキャストコンテンツを受信する機構)
次に、認証済クライアントのみがマルチキャストコンテンツを受信するためのしくみについて説明する。ここでは、認証済みのクライアント及びマルチキャスト配信サーバ(CDS)に対してコンテンツを暗号化及び復号化するための暗号キー(TEK)を配信することにより、コンテンツストリームを暗号化し、認証済クライアントのみがマルチキャストコンテンツを受信できるようにしている。また、TEKを安全に配布するための暗号キー(KEK)を配布する。以下、図9のシーケンスチャートを参照して暗号キー配布の処理について説明する。
(Mechanism for only authenticated clients to receive multicast content)
Next, a mechanism for allowing only authenticated clients to receive multicast content will be described. Here, the content stream is encrypted by distributing the encryption key (TEK) for encrypting and decrypting the content to the authenticated client and the multicast distribution server (CDS), and only the authenticated client is multicast. The content can be received. Also, an encryption key (KEK) for safely distributing TEK is distributed. The encryption key distribution process will be described below with reference to the sequence chart of FIG.

図9に示す例では、コンテンツを配信するマルチキャストアドレスをM1とし、TEKをマルチキャスト配信するマルチキャストアドレスをM2とする。マルチキャストM1の暗号キーサーバ(KS)は、認証済クライアントに対してIPsecネゴシエーションにより安全にKEKをユニキャストで配布しておく。次にマルチキャストM1に対する暗号キー(TEK)をKEKで暗号化してユニキャストで配布する。以後、一定時間おきに、TEKを更新し、それをKEKで暗号化してマルチキャストM2で視聴中クライアント全員とマルチキャストM1の配信元(マルチキャストM1配信コンテンツ配信サーバ)に配布する。また暗号キーサーバ(KS)は、暗号キー(TEK)のマルチキャストパケットをユニキャストカプセル化してクライアント群へ配布する。   In the example shown in FIG. 9, the multicast address for delivering content is M1, and the multicast address for multicast delivery of TEK is M2. The multicast key server (KS) of the multicast M1 securely distributes KEK to the authenticated clients by unicast by IPsec negotiation. Next, the encryption key (TEK) for the multicast M1 is encrypted with KEK and distributed by unicast. Thereafter, the TEK is updated at regular intervals, encrypted with KEK, and distributed to all the clients viewing and the distribution source (multicast M1 distribution content distribution server) of the multicast M1 using the multicast M2. The encryption key server (KS) unicast-encapsulates the multicast packet of the encryption key (TEK) and distributes it to the client group.

以下、図9のシーケンスに沿って処理を詳細に説明する。本実施の形態におけるコンテンツ暗号キー配信シナリオは、(1)コンテンツ属性の登録、(2)コンテンツ配信元へのTEK配布、(3)コンテンツ受信クライアント認証、(4)クライアント認証情報通知、(5)クライアントからのマルチキャストM1の暗号キー要求、(6)TEK配信経路作成、(7)TEKマルチキャスト配信、(8)TEK更新、の8つの段階に大きく分けることが出来る。以下、各段階について説明する。
(1) コンテンツ属性の登録
まず、アドレスマッピングサーバ(AMS)にマルチキャストコンテンツの配信元IPアドレスと、マルチキャストアドレスM1を登録する。また、当該マルチキャストコンテンツのTEK及びKEKを配布するマルチキャスト暗号キーサーバ(KS)に関する情報も登録する。すなわち、アドレスマッピングサーバ(AMS)に、マルチキャスト暗号キーサーバ(KS)のIPアドレスと、マルチキャスト暗号キーサーバ(KS)が、更新したTEKを配信するためのマルチキャストアドレスM2を登録する。(M2の配信元はKSである。)
マルチキャスト暗号キーサーバ(KS)には、マルチキャストアドレスM1のコンテンツ配信元となるコンテンツ配信サーバ(CDS)のIPアドレスを登録しておく。すなわち、AMSに登録した配信元IPアドレスと同じ配信元IPアドレスを登録する。
Hereinafter, the processing will be described in detail along the sequence of FIG. The content encryption key distribution scenario in the present embodiment includes (1) content attribute registration, (2) TEK distribution to a content distribution source, (3) content reception client authentication, (4) client authentication information notification, (5) It can be broadly divided into eight steps: a multicast M1 encryption key request from a client, (6) TEK distribution route creation, (7) TEK multicast distribution, and (8) TEK update. Hereinafter, each step will be described.
(1) Registration of content attributes First, a multicast content distribution source IP address and a multicast address M1 are registered in an address mapping server (AMS). In addition, information regarding the multicast encryption key server (KS) that distributes the TEK and KEK of the multicast content is also registered. That is, the IP address of the multicast encryption key server (KS) and the multicast address M2 for distributing the updated TEK are registered in the address mapping server (AMS). (The distribution source of M2 is KS.)
In the multicast encryption key server (KS), the IP address of the content distribution server (CDS) that is the content distribution source of the multicast address M1 is registered. That is, the same source IP address as the source IP address registered in AMS is registered.

また、コンテンツ配信サーバ(CDS)はMCG1に対して認証済であり、このMCG1を経由して他のNW装置と通信可能であるものとする。
(2)コンテンツ配信元へのTEK配布
コンテンツ配信サーバ(CDS)は、マルチキャスト暗号キーサーバ(KS)に対してマルチキャストM1用の暗号キー(TEK)を要求する(ステップ61)。マルチキャスト暗号キーサーバ(KS)はTEKを安全に配布するため、コンテンツ配信サーバ(CDS)とIPSECネゴシエーションを行う。このとき、コンテンツ配信サーバ(CDS)のIPアドレスをチェックし、マルチキャストM1配信元のIPアドレスであればISAKMP SAを確立する。コンテンツ配信サーバ(CDS)は更に要求するコンテンツのマルチキャストアドレスM1をマルチキャスト暗号キーサーバ(KS)に通知する。マルチキャスト暗号キーサーバ(KS)は、当該マルチキャストアドレスM1に対応するKEK及びTEKをISAKMP SAを用いて配布する(ステップ62)。
(3) コンテンツ受信クライアント認証
図8を用いて説明した通りの方法を用いて、コンテンツを受信するクライアントの認証を行う(ステップ63)。認証処理の結果、マルチキャスト制御ゲートウェイ(MCG2)は、認証済クライアントのIPアドレスとMACアドレスを取得し、認証状態管理部151においてIPアドレスとMACアドレスをペアにして管理する(ステップ64)。
(4) クライアント認証情報通知
マルチキャスト制御ゲートウェイ(MCG2)のKS通信部9から、マルチキャスト暗号キーサーバ(KS)の認証情報取得部41に対して認証済クライアントのIPアドレスを通知する(ステップ65)。マルチキャスト暗号キーサーバ(KS)の認証情報管理部421はこれを管理する。
(5) クライアントからのマルチキャストM1の暗号キー要求
認証済クライアントは、マルチキャスト暗号キーサーバ(KS)に対してマルチキャストM1の暗号キー(TEK)を要求する(ステップ66)。マルチキャスト暗号キーサーバ(KS)はTEKを安全に配布するため、認証済クライアントとIPSECネゴシエーションを行う。このとき、当該クライアントのIPアドレスをチェックし、MCG2において認証済クライアントであればISAKMP SAを確立する(ステップ67)。前記クライアントは更に要求するコンテンツのマルチキャストアドレスM1をマルチキャスト暗号キーサーバ(KS)に通知する。マルチキャスト暗号キーサーバ(KS)は、当該マルチキャストアドレスM1に対応するTEK及びKEKをISAKMP SAを用いてクライアントに配布する(ステップ68)。
(6) TEK配信経路作成
認証済みのクライアントはマルチキャストM1に対するTEKとKEKを受信すると、マルチキャストアドレスM2に対してもJoinする(ステップ69)。一方マルチキャストM1配信元の配信サーバ(CDS)もマルチキャストM2に対してJoinしておく(ステップ72)。これらのJoinに対して、図7、図8を用いて説明した手順に従って、KSにおけるセッション情報(配信先情報)が更新され、M2の配信元であるマルチキャスト暗号キーサーバ(KS)からの、ユニキャストカプセル化ストリーム配信経路が作成される(ステップ70、71、73、74、75)。
Further, it is assumed that the content distribution server (CDS) is authenticated with respect to the MCG 1 and can communicate with other NW devices via the MCG 1.
(2) TEK Distribution to Content Distribution Source The content distribution server (CDS) requests an encryption key (TEK) for multicast M1 from the multicast encryption key server (KS) (step 61). The multicast encryption key server (KS) performs IPSEC negotiation with the content distribution server (CDS) in order to safely distribute TEK. At this time, the IP address of the content distribution server (CDS) is checked, and if it is the IP address of the multicast M1 distribution source, the ISAKMP SA is established. The content distribution server (CDS) further notifies the multicast encryption key server (KS) of the multicast address M1 of the requested content. The multicast encryption key server (KS) distributes KEK and TEK corresponding to the multicast address M1 using ISAKMP SA (step 62).
(3) Content Receiving Client Authentication Using the method described with reference to FIG. 8, the client that receives the content is authenticated (step 63). As a result of the authentication process, the multicast control gateway (MCG2) acquires the IP address and MAC address of the authenticated client and manages the IP address and MAC address as a pair in the authentication state management unit 151 (step 64).
(4) Client authentication information notification The IP address of the authenticated client is notified from the KS communication unit 9 of the multicast control gateway (MCG2) to the authentication information acquisition unit 41 of the multicast encryption key server (KS) (step 65). The authentication information management unit 421 of the multicast encryption key server (KS) manages this.
(5) Multicast M1 Encryption Key Request from Client The authenticated client requests the multicast key key (TEK) of the multicast M1 from the multicast encryption key server (KS) (step 66). The multicast encryption key server (KS) performs IPSEC negotiation with the authenticated client in order to securely distribute the TEK. At this time, the IP address of the client is checked, and if it is an authenticated client in the MCG 2, an ISAKMP SA is established (step 67). The client further notifies the multicast encryption key server (KS) of the multicast address M1 of the requested content. The multicast encryption key server (KS) distributes the TEK and KEK corresponding to the multicast address M1 to the client using ISAKMP SA (step 68).
(6) Creation of TEK Distribution Route When the authenticated client receives TEK and KEK for the multicast M1, it joins the multicast address M2 (step 69). On the other hand, the multicast M1 distribution source distribution server (CDS) also joins the multicast M2 (step 72). For these joins, the session information (distribution destination information) in KS is updated according to the procedure described with reference to FIGS. 7 and 8, and the unicode from the multicast encryption key server (KS) that is the distribution source of M2 is updated. A cast encapsulated stream delivery path is created (steps 70, 71, 73, 74, 75).

その後、クライアントはMCG2に対してコンテンツ配信要求メッセージを送信し(ステップ76)、図7、図8を用いて説明した手順に従って、コンテンツ配信サーバ(CDS)からコンテンツが送信される(ステップ77〜84)。ここでは、コンテンツはTEKにより暗号化され、クライアントはTEKを用いて復号化する(ステップ85)。これにより、TEKを保持している認証済みクライアントのみがマルチキャストコンテンツを受信することが可能となる。なお、ステップ69〜ステップ75は、ステップ76〜ステップ85の後でもよい。
(7) TEKマルチキャスト配信
マルチキャスト暗号キーサーバ(KS)の暗号キー作成部45は一定時間おきにTEKを更新する(ステップ86)。マルチキャスト暗号キーサーバ(KS)のマルチキャスト暗号キー配信部46は、更新したTEKを、KEKを用い、3DES等のアルゴリズムにより暗号化し、この暗号化したデータをマルチキャストアドレスM2で発信するためのマルチキャストパケットを作成する。マルチキャスト暗号キーサーバ(KS)のユニキャストカプセル部47は、前記マルチキャストパケットをユニキャストカプセル化し、前記TEK配信経路でユニキャスト配信する(ステップ87、88,91)。
(8) TEK更新
前記ユニキャストパケットは、マルチキャスト制御ゲートウェイ(MCG2)によりマルチキャストM2に復元され(ステップ89)、前記クライアントに配布されるとともに(ステップ90)、マルチキャスト制御ゲートウェイ(MCG1)によりマルチキャストM2に復元され、コンテンツ配信サーバ(CDS)に配布される(ステップ92、93)。以後、M1配信元のコンテンツ配信サーバ(CDS)は、前記の新TEKを用いてコンテンツをマルチキャストM1で配布することが可能となる(ステップ94〜99)。もし、旧TEKが、悪意あるクライアントにより解読されていたとしても、新TEKを用いてコンテンツを配信することにより、前記認証済クライアントのみが復号し、視聴可能である。また、マルチキャスト暗号キーサーバ(KS)は、マルチキャストコンテンツを視聴している全認証済クライアント、及び配信サーバに対して、一回の送信でTEKを配布することが可能であり、TEK管理の負荷が軽減される。
Thereafter, the client transmits a content distribution request message to the MCG 2 (step 76), and the content is transmitted from the content distribution server (CDS) according to the procedure described with reference to FIGS. 7 and 8 (steps 77 to 84). ). Here, the content is encrypted by TEK, and the client decrypts it using TEK (step 85). As a result, only the authenticated client holding the TEK can receive the multicast content. Step 69 to step 75 may be after step 76 to step 85.
(7) TEK multicast distribution The encryption key creation unit 45 of the multicast encryption key server (KS) updates the TEK at regular intervals (step 86). The multicast encryption key distribution unit 46 of the multicast encryption key server (KS) encrypts the updated TEK by using an algorithm such as 3DES using KEK, and sends a multicast packet for transmitting the encrypted data at the multicast address M2. create. The unicast capsule unit 47 of the multicast encryption key server (KS) unicast-encapsulates the multicast packet and unicasts it through the TEK delivery route (steps 87, 88, 91).
(8) TEK update The unicast packet is restored to the multicast M2 by the multicast control gateway (MCG2) (step 89), distributed to the client (step 90), and sent to the multicast M2 by the multicast control gateway (MCG1). It is restored and distributed to the content distribution server (CDS) (steps 92 and 93). Thereafter, the content distribution server (CDS) of the M1 distribution source can distribute the content by multicast M1 using the new TEK (steps 94 to 99). Even if the old TEK has been decrypted by a malicious client, only the authenticated client can decrypt and view the content by distributing the content using the new TEK. In addition, the multicast encryption key server (KS) can distribute the TEK to all authenticated clients viewing the multicast content and the distribution server by one transmission, and the load of TEK management is reduced. It is reduced.

上記の処理において、認証済クライアントに対して属性を付与し、マルチキャスト暗号キーサーバ(KS)が、マルチキャストチャネル毎に当該属性値に応じて、マルチキャストストリームを暗号化及び復号化するための暗号キーを配布するかどうか判断することも可能である。   In the above process, an attribute is assigned to the authenticated client, and the multicast encryption key server (KS) uses an encryption key for encrypting and decrypting the multicast stream according to the attribute value for each multicast channel. It is also possible to determine whether to distribute.

この場合、マルチキャスト制御ゲートウェイ(MCG)のクライアント認証部20は、クライアントIDに対応する属性値をデータベースとして有する。例えば認証時のクライアントIDが“User1”のクライアントは、クライアント属性値が“1”であるとする。一方、マルチキャスト暗号キーサーバ(KS)の認証チェック部44は、マルチキャストチャネル毎に、暗号キー配布を許可するクライアント属性値リストを有する。   In this case, the client authentication unit 20 of the multicast control gateway (MCG) has an attribute value corresponding to the client ID as a database. For example, a client with a client ID “User1” at the time of authentication is assumed to have a client attribute value “1”. On the other hand, the authentication check unit 44 of the multicast encryption key server (KS) has a client attribute value list that permits encryption key distribution for each multicast channel.

上記の(3)コンテンツ受信クライアント認証の段階において、マルチキャスト制御ゲートウェイ(MCG2)は、クライアントを認証すると、当該クライアントのIPアドレスとMACアドレスに加えて、クライアント属性をまとめて管理する。そして、(4)の段階において、MCG2からKSへのクライアント認証情報通知時に、IPアドレスとそのクライアント属性値を通知し、(5)の段階において、クライアントがマルチキャスト暗号キーサーバ(KS)に対して、要求するコンテンツのマルチキャストアドレスM1を通知したとき、マルチキャスト暗号キーサーバ(KS)の認証チェック部44は、当該クライアントの属性値が、M1に対する暗号キー配布を許可するクライアント属性値リストに含まれるかどうかをチェックし、リストに含まれていればM1のTEKとKEKを配布する。そうでなければ、当該クライアントからの要求を棄却する。   In the above-described (3) content reception client authentication stage, when the client is authenticated, the multicast control gateway (MCG2) collectively manages client attributes in addition to the IP address and MAC address of the client. At the stage of (4), when the client authentication information is notified from the MCG 2 to the KS, the IP address and its client attribute value are notified. When the multicast address M1 of the requested content is notified, the authentication check unit 44 of the multicast encryption key server (KS) includes the attribute value of the client in the client attribute value list that permits distribution of the encryption key for M1. If it is included in the list, the M1 TEK and KEK are distributed. Otherwise, the request from the client is rejected.

(具体例)
次に、図10に示すネットワーク構成を用いて、基本的な処理内容をより具体的に説明する。図10に示すネットワークにおいて、各ネットワーク装置(ネットワークにおいてパケットを中継する装置)はIPv6を用いて通信するものとし、図10に示す通りのIPv6アドレスが付与されているものとする。
(Concrete example)
Next, the basic processing contents will be described more specifically using the network configuration shown in FIG. In the network shown in FIG. 10, it is assumed that each network device (device that relays a packet in the network) communicates using IPv6 and is assigned an IPv6 address as shown in FIG.

すなわち、クライアントの無線アクセス可能なエリアとして、プレフィクス2001:0:1:1::/64に対応するエリア1と、2001:0:1:2::/64に対応するエリア2、及び2001:2:1:1::/64に対応するエリア3が存在する。2001:0:1:1::/64及び2001:0:1:2::/64はマルチキャスト制御ゲートウェイ(MCG1)の配下であり、2001:2:1:1::/64はマルチキャスト制御ゲートウェイ(MCG2)の配下にある。   That is, areas 1 that correspond to prefixes 2001: 0: 1: 1 :: / 64, areas 2 that correspond to 2001: 0: 1: 2 :: / 64, and 2001, as areas that can be wirelessly accessed by clients. There is an area 3 corresponding to: 2: 1: 1 :: / 64. 2001: 0: 1: 1 :: / 64 and 2001: 0: 1: 2 :: / 64 are subordinate to the multicast control gateway (MCG1), and 2001: 2: 1: 1 :: / 64 is the multicast control gateway. It is under (MCG2).

マルチキャスト制御ゲートウェイ(MCG1)のユニキャスト網側(インターネット側)のアドレスは2001:1:1:1::2である。一方、マルチキャスト制御ゲートウェイ(MCG2)のユニキャスト網側(インターネット側)のアドレスは2001:2:2:1::2である。   The address on the unicast network side (Internet side) of the multicast control gateway (MCG1) is 2001: 1: 1: 1 :: 2. On the other hand, the unicast network side (Internet side) address of the multicast control gateway (MCG2) is 2001: 2: 2: 1 :: 2.

ホームエージェント(HA)のアドレスは2001:9:9:9::2である。コンテンツ配信サーバ1(CDS1)はモバイルIPv6クライアントであり、そのホームアドレスは2001:9:9:9::10である。また、図10に示す状態においてコンテンツ配信サーバ1(CDS1)は2001:0:1:1::/64に対応するエリア1に存在するため、その気付けアドレスは2001:0:1:1::abcdであるものとし、この気付けアドレスをモバイルIPv6の仕組みを用いてホームエージェント(HA)に通知している。   The address of the home agent (HA) is 2001: 9: 9: 9 :: 2. The content distribution server 1 (CDS1) is a mobile IPv6 client, and its home address is 2001: 9: 9: 9 :: 10. Further, since the content distribution server 1 (CDS1) exists in the area 1 corresponding to 2001: 0: 1: 1 :: / 64 in the state shown in FIG. 10, its care-of address is 2001: 0: 1: 1 ::. This care-of address is notified to the home agent (HA) using the mechanism of Mobile IPv6.

また、アドレスマッピングサーバ(AMS)のアドレスは2001:8:8:8::2であり、図11に示すコンテンツ属性情報を保持している。このコンテンツ属性情報は、コンテンツ配信サーバ1(CDS1)が、マルチキャストアドレスff08::1:1に対してコンテンツを配信し、マルチキャストアドレスff08::1:1に対応するコンテンツは、マルチキャスト制御ゲートウェイ(MCG2)配下であるプレフィクス2001:2:1:1::/64のネットワークを含むいくつかのエリアへの配信が許可されていることを示している。また、コンテンツ配信を要求するクライアントが認証されていることを要するか否か設定されている。「要」の場合、コンテンツ属性要求メッセージに、コンテンツ配信要求をしたクライアントが認証されている旨の情報が含まれている場合に、コンテンツ属性を提供する。   The address mapping server (AMS) has an address of 2001: 8: 8: 8 :: 2, and holds the content attribute information shown in FIG. In the content attribute information, the content distribution server 1 (CDS1) distributes content to the multicast address ff08 :: 1: 1, and the content corresponding to the multicast address ff08 :: 1: 1 is the multicast control gateway (MCG2). ) Distribution to several areas including the subordinate prefix 2001: 2: 1: 1 :: / 64 network is permitted. In addition, it is set whether or not a client requesting content distribution needs to be authenticated. In the case of “necessary”, the content attribute is provided when the content attribute request message includes information indicating that the client who has requested the content distribution is authenticated.

マルチキャスト制御ゲートウェイ(MCG1及びMCG2)は、このようなマルチキャストコンテンツ属性を管理するアドレスマッピングサーバ(AMS)が2001:8:8:8::2に存在することを、コンフィグファイルより読み取り、認知しているとする。   The multicast control gateways (MCG1 and MCG2) read and recognize from the configuration file that an address mapping server (AMS) that manages such multicast content attributes exists in 2001: 8: 8: 8 :: 2. Suppose that

次に図10の構成におけるコンテンツ要求開始からマルチキャスト配信開始までの動作について説明する。   Next, operations from the start of content request to the start of multicast distribution in the configuration of FIG. 10 will be described.

ここで、マルチキャスト配信サーバ1(CDS1とする)は、マルチキャスト制御ゲートウェイ(MCG1)配下の2001:0:1:1::/64に存在し、認証済であるものとする。また、コンテンツを要求するクライアント1も認証済みであるものとする。まず、クライアント1が、マルチキャストアドレスff08::1:1に対応するコンテンツを要求すると、マルチキャスト制御ゲートウェイ(MCG2)のコンテンツ受信クライアント検出部16がこのクライアントからの要求メッセージ(MLD Report)を受信する。そして、図8を用いて説明した手順で、要求メッセージが認証されたクライアントから送られたものであることをチェックすると、マルチキャスト制御ゲートウェイ(MCG2)は、要求されたマルチキャストコンテンツの属性を取得するため、コンテンツ属性要求部13からアドレスマッピングサーバ(AMS)に対してコンテンツ属性要求メッセージを発信する。   Here, it is assumed that the multicast distribution server 1 (CDS1) exists in 2001: 0: 1: 1 :: / 64 under the multicast control gateway (MCG1) and has been authenticated. In addition, it is assumed that the client 1 requesting the content has already been authenticated. First, when the client 1 requests content corresponding to the multicast address ff08 :: 1: 1, the content reception client detection unit 16 of the multicast control gateway (MCG2) receives a request message (MLD Report) from this client. Then, when it is checked in the procedure described with reference to FIG. 8 that the request message is sent from an authenticated client, the multicast control gateway (MCG2) acquires the attribute of the requested multicast content. The content attribute request message is transmitted from the content attribute request unit 13 to the address mapping server (AMS).

図12にコンテンツ属性要求メッセージの内容の一例を示す。図12に示すように、コンテンツ属性要求メッセージは、配信を要求するコンテンツのマルチキャストアドレスと配信先のネットワークプレフィクス(この場合は、2001:2:1:1::/64)に加えて、配信を要求するクライアントの認証チェック結果を含む。   FIG. 12 shows an example of the content attribute request message. As shown in FIG. 12, the content attribute request message is distributed in addition to the multicast address of the content requesting distribution and the network prefix of the distribution destination (in this case, 2001: 2: 1: 1 :: / 64). The result of the authentication check of the client requesting

これを受信したアドレスマッピングサーバ(AMS)のコンテンツ属性要求受信部31は、これをAMSの制御部35へ通知する。制御部35はデータベース(図11に示すコンテンツ属性)を参照し、要求されたマルチキャストアドレスに対応するコンテンツが、要求元のエリア3に配信可能であり、なおかつ、配信要求を行ったクライアントが認証済みであることを判定する。この結果、アドレスマッピングサーバ(AMS)のコンテンツ属性送信部32は、図13に示す内容のコンテンツ属性をマルチキャスト制御ゲートウェイ(MCG2)へ通知する。   The content attribute request receiving unit 31 of the address mapping server (AMS) that has received this notifies the AMS control unit 35 of this. The control unit 35 refers to the database (content attribute shown in FIG. 11), and the content corresponding to the requested multicast address can be distributed to the request source area 3, and the client who has made the distribution request has been authenticated. Is determined. As a result, the content attribute transmission unit 32 of the address mapping server (AMS) notifies the multicast control gateway (MCG2) of the content attributes shown in FIG.

マルチキャスト制御ゲートウェイ(MCG2)のストリーム配信要求部14は、前記コンテンツ属性を用いて、コンテンツ配信サーバ1(CDS1)(2001:9:9:9::10)に向けて、図14に示す、マルチキャストアドレス(ff08::1:1)のコンテンツを要求するメッセージを発信する。   The stream distribution request unit 14 of the multicast control gateway (MCG2) uses the content attribute to send to the content distribution server 1 (CDS1) (2001: 9: 9: 9 :: 10) as shown in FIG. A message requesting the content of the address (ff08 :: 1: 1) is transmitted.

コンテンツ配信サーバ1(CDS1)はモバイルIPv6クライアントであるため、前記要求メッセージは、ホームエージェント(HA)が受信する。ホームエージェント(HA)はこのメッセージをコンテンツ配信サーバ1(CDS1)(気付けアドレスである2001:0:1:1::abcd)に転送する。   Since the content distribution server 1 (CDS1) is a mobile IPv6 client, the request message is received by the home agent (HA). The home agent (HA) transfers this message to the content distribution server 1 (CDS1) (care-of address 2001: 0: 1: 1 :: abcd).

図15に、コンテンツ配信要求メッセージの転送経路を示す。コンテンツ配信サーバ1(CDS1)は、ホームエージェント(HA)から転送されたマルチキャスト制御ゲートウェイ(MCG2)からのコンテンツ配信要求メッセージを受信すると、マルチキャスト制御ゲートウェイ(MCG2)に対するコンテンツ配信セッションを作成する。   FIG. 15 shows the transfer route of the content distribution request message. Upon receiving the content distribution request message from the multicast control gateway (MCG2) transferred from the home agent (HA), the content distribution server 1 (CDS1) creates a content distribution session for the multicast control gateway (MCG2).

そして、コンテンツ配信サーバ1(CDS1)はマルチキャスト制御ゲートウェイ(MCG2)へ配信するff08::1:1に対応するマルチキャストコンテンツをユニキャストカプセル化し、これをマルチキャスト制御ゲートウェイ(MCG2)に向けて送信する。コンテンツ配信サーバ1(CDS1)は、モバイルIPv6クライアントであるため、コンテンツ配信サーバ1(CDS1)からマルチキャスト制御ゲートウェイ(MCG2)へのストリームはホームエージェント(HA)を経由して転送される。図16に、ストリーム配信経路を示す。   Then, the content distribution server 1 (CDS1) unicasts the multicast content corresponding to ff08 :: 1: 1 distributed to the multicast control gateway (MCG2), and transmits this to the multicast control gateway (MCG2). Since the content distribution server 1 (CDS1) is a mobile IPv6 client, the stream from the content distribution server 1 (CDS1) to the multicast control gateway (MCG2) is transferred via the home agent (HA). FIG. 16 shows a stream distribution route.

マルチキャスト制御ゲートウェイ(MCG2)のストリーム受信部12は、当該コンテンツを受信すると、MCG2のマルチキャスト復元部19が、ff08::1:1に対応するコンテンツをユニキャストパケットからマルチキャストパケットに復元し、MCG2のストリーム配信部11が、セッション情報に基づき、当該コンテンツをクライアント1の存在するエリア3に向けてマルチキャスト配信する。   When the stream receiving unit 12 of the multicast control gateway (MCG2) receives the content, the multicast restoring unit 19 of the MCG2 restores the content corresponding to ff08 :: 1: 1 from the unicast packet to the multicast packet. Based on the session information, the stream distribution unit 11 performs multicast distribution of the content toward the area 3 where the client 1 exists.

ここで、コンテンツ配信サーバ1(CDS1)が、2001:0:1:1::/64に対応するネットワークエリア1から、2001:0:1:2::/64に対応するネットワークエリアに移動したとする。コンテンツ配信サーバ1(CDS1)はモバイルIPv6クライアントであり、ホームアドレスは2001:9:9:9::10のまま変わらないが、2001:0:1:2::/64に対応するエリア2に存在するため、気付けアドレスは例えば2001:0:1:2::abcdに変化する。このとき、コンテンツ配信サーバ1(CDS1)は、この気付けアドレスをモバイルIPv6の仕組みを用いてホームエージェント(HA)に通知する。また、ホームエージェント(HA)によりコンテンツ配信サーバ1(CDS1)の認証がなされる。なお、AMSは、コンテンツ配信サーバ1(CDS1)のホームアドレスを管理しているので、AMSが管理するコンテンツ配信サーバ1(CDS1)のアドレスは全く変更を要しない。   Here, the content distribution server 1 (CDS1) has moved from the network area 1 corresponding to 2001: 0: 1: 1 :: / 64 to the network area corresponding to 2001: 0: 1: 2 :: / 64. And The content distribution server 1 (CDS1) is a mobile IPv6 client and the home address remains unchanged at 2001: 9: 9: 9 :: 10, but in the area 2 corresponding to 2001: 0: 1: 2 :: / 64 Since it exists, the care-of address changes to, for example, 2001: 0: 1: 2 :: abcd. At this time, the content distribution server 1 (CDS1) notifies the home agent (HA) of this care-of address using the mechanism of Mobile IPv6. In addition, the content distribution server 1 (CDS1) is authenticated by the home agent (HA). Since AMS manages the home address of content distribution server 1 (CDS1), the address of content distribution server 1 (CDS1) managed by AMS does not require any change.

このとき、クライアント1からのマルチキャストff08::1:1の要求に対して、MCG2が発信するストリーム要求メッセージは、図17に示すように、正しいコンテンツ配信サーバ1(CDS1)の所在地に、ホームエージェント(HA)により転送される。また、コンテンツ配信サーバ1(CDS1)からのストリーム配信経路は、図18に示す経路になる。これにより、マルチキャスト制御ゲートウェイ(MCG2)及びその配下のマルチキャストクライアントは、コンテンツ配信サーバ1(CDS1)の移動を意識せず、マルチキャストコンテンツ(ff08::1:1)を受信し続けることができる。   At this time, in response to the multicast ff08 :: 1: 1 request from the client 1, the stream request message transmitted by the MCG 2 is sent to the home agent at the correct location of the content distribution server 1 (CDS1) as shown in FIG. (HA). Further, the stream distribution route from the content distribution server 1 (CDS1) is the route shown in FIG. Thereby, the multicast control gateway (MCG2) and the multicast clients under its control can continue to receive the multicast content (ff08 :: 1: 1) without being aware of the movement of the content distribution server 1 (CDS1).

(マルチキャストストリームを暗号化する場合)
次に、図19に示すネットワーク構成を用いて、図9で説明した暗号キーの配布処理の具体例を説明する。
(When encrypting a multicast stream)
Next, a specific example of the encryption key distribution process described in FIG. 9 will be described using the network configuration shown in FIG.

本ネットワークでは、上記の具体例と同様、各ネットワーク装置がIPv6を用いて通信するとし、図10の場合と同様のネットワーク構成であり、図19に示す通りのIPv6アドレスが付与されているものとする。ただし、図19の構成では、図10の構成に加えて、マルチキャスト暗号キーを作成し、配布する暗号キーサーバ(KS)が存在し、そのアドレスは2001:8:8:8::3であるとする。   In this network, as in the above specific example, each network device communicates using IPv6, and has the same network configuration as in FIG. 10, and is assigned an IPv6 address as shown in FIG. To do. However, in the configuration of FIG. 19, in addition to the configuration of FIG. 10, there is an encryption key server (KS) that creates and distributes a multicast encryption key, and its address is 2001: 8: 8: 8 :: 3. And

コンテンツ配信サーバ(CDS1)は、ff08::1:1(図9でのM1に対応)のマルチキャストコンテンツを配信するものとし、マルチキャスト暗号キーサーバ(KS)は、このマルチキャスト暗号キー(TEK及びKEK)を管理し、配布する。また、このTEKを更新した際にコンテンツ配信サーバ(CDS1)及び全受信クライアントにマルチキャスト配布するためのマルチキャストアドレスをff08::3:1:1(図9でのM2に対応)とする。この場合、アドレスマッピングサーバには、図20に示すように、各マルチキャストチャネルの配信元サーバを登録しておく。以下、コンテンツ配信サーバ(CDS1)とクライアント1はそれぞれマルチキャスト制御ゲートウェイ(MCG1)及びマルチキャスト制御ゲートウェイ(MCG2)に対して認証済であり、マルチキャスト制御ゲートウェイ(MCG1)及びマルチキャスト制御ゲートウェイ(MCG2)のKS通信部9からKSの認証情報取得部41に対して認証済であり、そのIPアドレスを通知しているとする。また、コンテンツ配信サーバ(CDS1)がff08::1:1の配信元サーバであることもKSの認証情報管理部421に登録してあるとする。   The content distribution server (CDS1) distributes multicast content of ff08 :: 1: 1 (corresponding to M1 in FIG. 9), and the multicast encryption key server (KS) uses the multicast encryption keys (TEK and KEK). Manage and distribute Further, when this TEK is updated, the multicast address for multicast distribution to the content distribution server (CDS1) and all receiving clients is assumed to be ff08 :: 3: 1: 1 (corresponding to M2 in FIG. 9). In this case, as shown in FIG. 20, a distribution source server for each multicast channel is registered in the address mapping server. Hereinafter, the content distribution server (CDS1) and the client 1 have been authenticated with respect to the multicast control gateway (MCG1) and the multicast control gateway (MCG2), respectively, and the KS communication of the multicast control gateway (MCG1) and the multicast control gateway (MCG2). Assume that the authentication information acquisition unit 41 of the KS has been authenticated from the unit 9 and the IP address has been notified. It is also assumed that the content distribution server (CDS1) is registered in the KS authentication information management unit 421 that it is a distribution source server of ff08 :: 1: 1.

まず、コンテンツ配信サーバ(CDS1)は、ff08::1:1のTEKを受信するため、マルチキャスト暗号キーサーバ(KS)にff08::1:1のTEKとKEKを要求する。マルチキャスト暗号キーサーバ(KS)は、この要求メッセージの発信元IPアドレスが、既にマルチキャスト暗号キーサーバ(KS)の認証情報管理部421において管理されているため、TEKとKEKを配布する。   First, the content distribution server (CDS1) requests TEk and KEK of ff08 :: 1: 1 from the multicast encryption key server (KS) in order to receive TEK of ff08 :: 1: 1. The multicast encryption key server (KS) distributes TEK and KEK because the source IP address of this request message is already managed in the authentication information management unit 421 of the multicast encryption key server (KS).

更に、コンテンツ配信サーバ(CDS1)は以後更新されるTEKを受信するためのマルチキャストチャネルff08::3:1:1へのJoinを行うと、マルチキャスト制御ゲートウェイ(MCG1)のコンテンツ受信クライアント検出部16がこのクライアントからのJoinメッセージ(MLD Report)を受信する。マルチキャスト制御ゲートウェイ(MCG1)は、要求されたマルチキャストチャネルの属性を取得するため、コンテンツ属性要求部13からAMSに対してコンテンツ属性要求メッセージを発信する。コンテンツ属性要求メッセージは図21のように配信先のネットワークプレフィクス(この場合は、2001:0:1:1::/64)を含む。これを受信したアドレスマッピングサーバ(AMS)のコンテンツ属性要求受信部31は、これをAMSの制御部35へ通知する。制御部はデータベース(図20に示すコンテンツ属性)を参照し、要求されたマルチキャストチャネルが、要求元のエリアに配信可能であることを判定する。この結果、AMSのコンテンツ属性送信部32は、図22に示す内容のコンテンツ属性をマルチキャスト制御ゲートウェイ(MCG1)へ通知する。MCG1のストリーム配信要求部14は、前記コンテンツ属性を用いて、マルチキャスト暗号キーサーバKS(2001:8:8:8::3)に向けて、図23のようなマルチキャストアドレス(ff08::3:1:1)のストリームを要求するメッセージを発信する。マルチキャスト暗号キーサーバ(KS)は、マルチキャスト制御ゲートウェイ(MCG1)からのストリーム配信要求メッセージを受信すると、マルチキャスト制御ゲートウェイ(MCG1)に対するストリーム配信セションを作成する。   Further, when the content distribution server (CDS1) joins the multicast channel ff08 :: 3: 1: 1 for receiving the updated TEK, the content reception client detection unit 16 of the multicast control gateway (MCG1) A Join message (MLD Report) is received from this client. The multicast control gateway (MCG1) transmits a content attribute request message from the content attribute request unit 13 to the AMS in order to acquire the attribute of the requested multicast channel. The content attribute request message includes a distribution destination network prefix (in this case, 2001: 0: 1: 1 :: / 64) as shown in FIG. The content attribute request receiving unit 31 of the address mapping server (AMS) that has received this notifies the AMS control unit 35 of this. The control unit refers to the database (content attribute shown in FIG. 20) and determines that the requested multicast channel can be distributed to the request source area. As a result, the content attribute transmission unit 32 of AMS notifies the multicast control gateway (MCG1) of the content attributes shown in FIG. The stream distribution request unit 14 of the MCG 1 uses the content attribute to point to the multicast encryption key server KS (2001: 8: 8: 8 :: 3), and the multicast address (ff08 :: 3: Send a message requesting the 1: 1) stream. When receiving the stream delivery request message from the multicast control gateway (MCG1), the multicast encryption key server (KS) creates a stream delivery session for the multicast control gateway (MCG1).

同様に、クライアント1は、ff08::1:1のTEKを受信するため、マルチキャスト暗号キーサーバ(KS)にff08::1:1のTEKとKEKを要求する。マルチキャスト暗号キーサーバ(KS)は、この要求メッセージの発信元IPアドレスが、既にマルチキャスト暗号キーサーバ(KS)の認証情報管理部421において管理されているため、TEKとKEKを配布する。更に、クライアント1は以後更新されるTEKを受信するためのマルチキャストチャネルff08::3:1:1へのJoinを行うと、マルチキャスト制御ゲートウェイ(MCG2)のコンテンツ受信クライアント検出部16がこのクライアントからのJoinメッセージ(MLD Report)を受信する。マルチキャスト制御ゲートウェイ(MCG2)は、要求されたマルチキャストチャネルの属性を取得するため、コンテンツ要求部13からAMSに対してコンテンツ属性要求メッセージを発信する。コンテンツ属性要求メッセージは図24のように配信先のネットワークプレフィクス(この場合は、2001:2:1:1::/64)を含む。   Similarly, the client 1 requests TEk and KEK of ff08 :: 1: 1 from the multicast encryption key server (KS) in order to receive the TEK of ff08 :: 1: 1. The multicast encryption key server (KS) distributes TEK and KEK because the source IP address of this request message is already managed in the authentication information management unit 421 of the multicast encryption key server (KS). Further, when the client 1 joins the multicast channel ff08 :: 3: 1: 1 for receiving the updated TEK, the content reception client detection unit 16 of the multicast control gateway (MCG2) A Join message (MLD Report) is received. The multicast control gateway (MCG2) transmits a content attribute request message from the content request unit 13 to the AMS in order to acquire the attribute of the requested multicast channel. The content attribute request message includes a distribution destination network prefix (in this case, 2001: 2: 1: 1 :: / 64) as shown in FIG.

これを受信したAMSのコンテンツ属性要求受信部31は、これをAMSの制御部35へ通知する。制御部35はデータベース(図20のコンテンツ属性)を参照し、要求されたマルチキャストチャネルが、要求元のエリアに配信可能であることを判定する。この結果、AMSのコンテンツ属性送信部32は、図25に示す内容のコンテンツ属性をマルチキャスト制御ゲートウェイ(MCG2)へ通知する。マルチキャスト制御ゲートウェイ(MCG2)のストリーム配信要求部14は、前記コンテンツ属性を用いて、KS(2001:8:8:8::3)に向けて、図26に示すマルチキャストアドレス(ff08::3:1:1)のストリームを要求するメッセージを発信する。マルチキャスト暗号キーサーバ(KS)は、マルチキャスト制御ゲートウェイ(MCG2)からのストリーム配信要求メッセージを受信すると、マルチキャスト制御ゲートウェイ(MCG2)に対するストリーム配信セションを作成する。図27に以上説明したストリーム配信要求メッセージの転送経路を示す。また、配信要求の結果、図28に示すような経路でTEKが配布される。   Upon receiving this, the AMS content attribute request receiving unit 31 notifies the AMS control unit 35 of this. The control unit 35 refers to the database (content attribute in FIG. 20) and determines that the requested multicast channel can be distributed to the request source area. As a result, the AMS content attribute transmission unit 32 notifies the multicast control gateway (MCG2) of the content attributes shown in FIG. The stream delivery requesting unit 14 of the multicast control gateway (MCG2) uses the content attribute to send KS (2001: 8: 8: 8 :: 3) to the multicast address (ff08 :: 3: shown in FIG. 26). Send a message requesting the 1: 1) stream. When receiving the stream delivery request message from the multicast control gateway (MCG2), the multicast encryption key server (KS) creates a stream delivery session for the multicast control gateway (MCG2). FIG. 27 shows the transfer route of the stream delivery request message described above. Further, as a result of the distribution request, TEK is distributed through a route as shown in FIG.

クライアント1がマルチキャストアドレスff08::1:1のコンテンツを要求し、コンテンツ配信サーバ(CDS1)からそれを配信する手順は既に図10の構成を用いて説明した手順と同様であるが、TEKを取得したコンテンツ配信サーバ(CDS1)は、このTEKを用いて当該コンテンツを暗号化し、ff08::1:1のマルチキャストアドレスでマルチキャスト配信する。一方TEKを取得したクライアントは、TEKで暗号化されたマルチキャストコンテンツを受信すると、同じTEKで復号化できる。   The procedure in which the client 1 requests the content of the multicast address ff08 :: 1: 1 and distributes it from the content distribution server (CDS1) is the same as the procedure already described with reference to the configuration of FIG. The content distribution server (CDS1) encrypts the content using this TEK, and performs multicast distribution with a multicast address of ff08 :: 1: 1. On the other hand, when the client that has acquired the TEK receives multicast content encrypted with the TEK, the client can decrypt with the same TEK.

次に、認証済クライアントに対して属性を付与する場合の例について説明する。この場合、マルチキャスト制御ゲートウェイ(MCG2)のクライアント認証部20が、図29に示すようなクライアントIDに対応する属性値をデータベースとして有しているとする。また、図29に示す通り、クライアント1は、認証時のクライアントIDが“User1”であるものとし、クライアント1のクライアント属性値は“1”であるとする。   Next, an example in which attributes are assigned to an authenticated client will be described. In this case, it is assumed that the client authentication unit 20 of the multicast control gateway (MCG2) has an attribute value corresponding to the client ID as shown in FIG. 29 as a database. Further, as shown in FIG. 29, the client 1 is assumed that the client ID at the time of authentication is “User1”, and the client attribute value of the client 1 is “1”.

一方、マルチキャスト暗号キーサーバ(KS)の認証チェック部17は、マルチキャストアドレス毎に、暗号キー配布を許可するクライアント属性値リストとして、図30に示すリストを有しているとする。   On the other hand, it is assumed that the authentication check unit 17 of the multicast encryption key server (KS) has a list shown in FIG. 30 as a client attribute value list that permits encryption key distribution for each multicast address.

このとき、クライアント1がマルチキャスト暗号キーサーバ(KS)に対して、マルチキャストアドレスff08::1:1の暗号キーを要求する。マルチキャスト暗号キーサーバ(KS)は、クライアント1の属性値が“1”であり、ff08::1:1の暗号キー配布許可リストに“1”が含まれているため、TEK及びKEKを配布可能と判断する。同様に、クライアント2がクライアントIDとして“User4”で認証したとすると、属性値が“2”であり、これは前記リストに含まれていないため、認証済クライアント2がff08::1:1の暗号キーを要求しても、マルチキャスト暗号キーサーバ(KS)はこれを棄却する。   At this time, the client 1 requests the multicast key of the multicast address ff08 :: 1: 1 from the multicast encryption key server (KS). The multicast encryption key server (KS) can distribute TEK and KEK because the attribute value of the client 1 is “1” and “1” is included in the encryption key distribution permission list of ff08 :: 1: 1. Judge. Similarly, if the client 2 authenticates with “User4” as the client ID, the attribute value is “2”, which is not included in the list, so that the authenticated client 2 is ff08 :: 1: 1. Even if an encryption key is requested, the multicast encryption key server (KS) rejects it.

上記のように本実施の形態で説明したマルチキャスト配信システムによれば、アドレスマッピングサーバにおけるデータベースを設定することにより、コンテンツ毎にコンテンツ配信サーバとコンテンツ配信先エリアを指定することができ、指定したエリアにおけるクライアントに対してのみ、コンテンツをマルチキャスト配信されるといったポリシをネットワークに反映でき、このポリシに従って動的にコンテンツ配信ツリーを構築することが可能となる。   As described above, according to the multicast distribution system described in the present embodiment, by setting the database in the address mapping server, the content distribution server and the content distribution destination area can be specified for each content. It is possible to reflect a policy that contents are multicast-distributed only to clients in the network, and it is possible to dynamically construct a content distribution tree according to this policy.

また、TEKとKEKを認証済クライアントと、コンテンツ配信サーバ(CDS)に配布することにより、認証済クライアントのみが特定のコンテンツを受信することが可能となる。   Further, by distributing TEK and KEK to the authenticated client and the content distribution server (CDS), only the authenticated client can receive specific content.

本発明は、上記の実施例に限定されることなく、特許請求の範囲内で種々変更・応用が可能である。   The present invention is not limited to the above-described embodiments, and various modifications and applications can be made within the scope of the claims.

従来技術におけるマルチキャスト配信システムの一例を示す図である。It is a figure which shows an example of the multicast delivery system in a prior art. 本発明の実施の形態におけるマルチキャスト配信システムを示す図である。It is a figure which shows the multicast delivery system in embodiment of this invention. 本発明の実施の形態におけるマルチキャスト制御ゲートウェイの機能ブロック図である。It is a functional block diagram of the multicast control gateway in the embodiment of the present invention. 本発明の実施の形態におけるスプリッタの機能ブロック図である。It is a functional block diagram of the splitter in the embodiment of the present invention. 本発明の実施の形態におけるアドレスマッピングサーバの機能ブロック図である。It is a functional block diagram of the address mapping server in the embodiment of the present invention. 本発明の実施の形態におけるマルチキャスト暗号キーサーバの機能ブロック図である。It is a functional block diagram of the multicast encryption key server in the embodiment of the present invention. 本発明の実施の形態における、クライアント及びコンテンツ配信サーバの認証から、コンテンツのマルチキャスト配信開始までのシーケンスを示す図である。It is a figure which shows the sequence from the authentication of a client and a content delivery server in the embodiment of this invention to the multicast delivery start of a content. コンテンツ受信クライアントの認証チェック処理を説明するためのシーケンスチャートである。It is a sequence chart for demonstrating the authentication check process of a content reception client. 暗号キー配布の処理を示すシーケンスチャートである。It is a sequence chart which shows the process of encryption key distribution. 本発明の実施の形態におけるマルチキャスト配信システムを詳細に示す図である。It is a figure which shows in detail the multicast delivery system in embodiment of this invention. 本発明の実施の形態におけるアドレスマッピングサーバが保持するコンテンツ属性情報の例である。It is an example of the content attribute information which the address mapping server in embodiment of this invention hold | maintains. 本発明の実施の形態におけるコンテンツ属性要求メッセージの内容の一例を示す図である。It is a figure which shows an example of the content of the content attribute request message in embodiment of this invention. 本発明の実施の形態におけるアドレスマッピングサーバから送信されるコンテンツ属性メッセージの内容の一例を示す図である。It is a figure which shows an example of the content of the content attribute message transmitted from the address mapping server in embodiment of this invention. 本発明の実施の形態におけるストリーム配信要求メッセージの内容の一例を示す図である。It is a figure which shows an example of the content of the stream delivery request message in embodiment of this invention. マルチキャストアドレス(ff08::1:1)に対応するストリーム配信要求メッセージの転送経路を示す図である。It is a figure which shows the transfer path | route of the stream delivery request message corresponding to a multicast address (ff08 :: 1: 1). マルチキャストアドレス(ff08::1:1)に対応するストリーム配信経路を示す図である。It is a figure which shows the stream delivery path | route corresponding to a multicast address (ff08 :: 1: 1). コンテンツ配信サーバが移動した後のストリーム配信要求メッセージの転送経路を示す図である。It is a figure which shows the transfer path | route of the stream delivery request message after a content delivery server moves. コンテンツ配信サーバが移動した後のストリーム配信経路を示す図である。It is a figure which shows the stream delivery path | route after a content delivery server moved. 暗号キーの配布処理を説明するためのマルチキャスト配信システムを詳細に示す図である。It is a figure which shows in detail the multicast delivery system for demonstrating the distribution process of an encryption key. 本発明の実施の形態におけるアドレスマッピングサーバが保持するコンテンツ属性情報の例である。It is an example of the content attribute information which the address mapping server in embodiment of this invention hold | maintains. 本発明の実施の形態におけるコンテンツ属性要求メッセージの内容の一例を示す図である。It is a figure which shows an example of the content of the content attribute request message in embodiment of this invention. 本発明の実施の形態におけるアドレスマッピングサーバから送信されるコンテンツ属性メッセージの内容の一例を示す図である。It is a figure which shows an example of the content of the content attribute message transmitted from the address mapping server in embodiment of this invention. 本発明の実施の形態におけるTEKマルチキャスト配信要求メッセージの内容の一例を示す図である。It is a figure which shows an example of the content of the TEK multicast delivery request message in embodiment of this invention. 本発明の実施の形態におけるコンテンツ属性要求メッセージの内容の一例を示す図である。It is a figure which shows an example of the content of the content attribute request message in embodiment of this invention. 本発明の実施の形態におけるアドレスマッピングサーバから送信されるコンテンツ属性メッセージの内容の一例を示す図である。It is a figure which shows an example of the content of the content attribute message transmitted from the address mapping server in embodiment of this invention. 本発明の実施の形態におけるTEKマルチキャスト配信要求メッセージの内容の一例を示す図である。It is a figure which shows an example of the content of the TEK multicast delivery request message in embodiment of this invention. マルチキャストアドレス(ff08::3:1:1)に対応するTEKマルチキャスト配信要求メッセージの転送経路を示す図である。It is a figure which shows the transfer path | route of the TEK multicast delivery request message corresponding to a multicast address (ff08 :: 3: 1: 1). マルチキャストアドレス(ff08::3:1:1)に対応するTEKマルチキャスト配信経路を示す図である。It is a figure which shows the TEK multicast delivery path | route corresponding to a multicast address (ff08 :: 3: 1: 1). マルチキャスト制御ゲートウェイ(MCG2)が管理するクライアント属性値の例である。It is an example of the client attribute value which a multicast control gateway (MCG2) manages. マルチキャスト暗号キーサーバ(KS)が管理する暗号キー配布許可リストの例である。It is an example of an encryption key distribution permission list managed by a multicast encryption key server (KS).

符号の説明Explanation of symbols

1、3 マルチキャスト対応ルータ
5 クライアント
AMS アドレスマッピングサーバ
HA ホームエージェント
CDS コンテンツ配信サーバ
SP スプリッタ
MCG マルチキャスト制御ゲートウェイ
KS マルチキャスト暗号キーサーバ
9 KS通信部
10 HA通信部
11 ストリーム配信部
12 ストリーム受信部
13 ストリーム配信要求部
14 コンテンツ属性要求部
15 制御部
16 コンテンツ受信クライアント検出部
17 認証チェック部
18 パケットフィルタ部
19 マルチキャスト復元部
20 クライアント認証部
21 コンテンツ要求受信部
22 ストリーム配信部
23 ストリーム配信要求部
24 ストリーム受信部
25 制御部
31 コンテンツ属性要求受信部
32 コンテンツ属性送信部
33 コンテンツ属性管理データベース
34 属性操作用ユーザインタフェース部
35 制御部
41 認証情報取得部
42 制御部
43 暗号キー要求受信部
44 認証チェック部
45 暗号キー作成部
46 マルチキャスト暗号キー配布部
47 ユニキャストカプセル部
1, 3 Multicast router 5 Client AMS address mapping server HA Home agent CDS Content distribution server SP Splitter MCG Multicast control gateway KS Multicast encryption key server 9 KS communication unit 10 HA communication unit 11 Stream distribution unit 12 Stream reception unit 13 Stream distribution request Unit 14 content attribute request unit 15 control unit 16 content reception client detection unit 17 authentication check unit 18 packet filter unit 19 multicast restoration unit 20 client authentication unit 21 content request reception unit 22 stream distribution unit 23 stream distribution request unit 24 stream reception unit 25 Control unit 31 Content attribute request reception unit 32 Content attribute transmission unit 33 Content attribute management database 34 Attribute operation The user interface unit 35 control unit 41 the authentication information acquisition unit 42 control unit 43 encryption key request receiving unit 44 authentication check unit 45 encryption key creation portion 46 multicast encryption key distribution unit 47 unicast capsule part

Claims (4)

所定のマルチキャストコンテンツを暗号化及び復号化するためのコンテンツ暗号キーをマルチキャスト配信するための暗号キー配信装置であって、
認証されたクライアントのアドレスを保持する保持手段と、
前記マルチキャストコンテンツを配信するコンテンツ配信装置に対し、前記コンテンツ暗号キーと、当該コンテンツ暗号キーを暗号化及び復号化するためのキー暗号キーとを送信する対コンテンツ配信装置暗号キー送信手段と、
あるクライアントから、キー要求及び前記マルチキャストコンテンツのマルチキャストアドレスを受信し、当該キー要求の発信元のアドレスが、前記認証されたクライアントのアドレスである場合に、前記クライアントに、前記コンテンツ暗号キーと、前記キー暗号キーとを暗号化通信路を介して送信する対クライアント暗号キー送信手段と、
前記コンテンツ配信装置から、前記コンテンツ暗号キーのマルチキャスト配信要求を受信し、更に、前記クライアントから、前記コンテンツ暗号キーのマルチキャスト配信要求を受信した後、一定時間おきに、前記コンテンツ暗号キーの更新を行い、更新したコンテンツ暗号キーを前記キー暗号キーで暗号化し、暗号化した当該コンテンツ暗号キーを、前記コンテンツ配信装置が存在するエリアにマルチキャスト配信するとともに、前記クライアントが存在するエリアにマルチキャスト配信するマルチキャスト配信手段と
を有することを特徴とする暗号キー配信装置。
An encryption key distribution device for multicast distribution of a content encryption key for encrypting and decrypting predetermined multicast content,
Holding means for holding the address of the authenticated client;
A content distribution device encryption key transmission means for transmitting the content encryption key and a key encryption key for encrypting and decrypting the content encryption key to a content distribution device for distributing the multicast content;
When a key request and a multicast address of the multicast content are received from a client, and the address of the source of the key request is the address of the authenticated client, the content encryption key and the client A client encryption key transmission means for transmitting a key encryption key via an encrypted communication path ;
After receiving a multicast distribution request for the content encryption key from the content distribution device, and further receiving a multicast distribution request for the content encryption key from the client, the content encryption key is updated at regular intervals. Multicast distribution in which the updated content encryption key is encrypted with the key encryption key, and the encrypted content encryption key is multicast distributed to the area where the content distribution apparatus exists and multicast distribution to the area where the client exists And an encryption key distribution device.
前記マルチキャスト配信手段は、
前記コンテンツ暗号キーのマルチキャスト配信要求を受信した場合に、マルチキャスト配信要求送信元の装置のエリアに対応する、更新したコンテンツ暗号キーの送信先の情報と、前記コンテンツ暗号キーをマルチキャスト配信するためのマルチキャストアドレスとを対応付けたセッション情報を保持し、
前記コンテンツ暗号キーの更新が行われた場合に、更新後のコンテンツ暗号キーを当該セッション情報に基づきマルチキャスト配信する請求項1に記載の暗号キー配信装置。
The multicast distribution means includes
When receiving the multicast delivery request for the content encryption key, multicast information for multicast delivery of the content encryption key and the information on the destination of the updated content encryption key corresponding to the area of the multicast delivery request transmission source device Holds session information associated with addresses,
The encryption key distribution device according to claim 1, wherein when the content encryption key is updated, the updated content encryption key is multicast-distributed based on the session information.
前記暗号キー配信装置は、マルチキャストコンテンツ毎に、コンテンツ暗号キーを配布可能なクライアントの属性値のリストを保持し、
前記暗号キー配信装置は、クライアントの認証を行う認証装置から、前記認証されたクライアントのアドレスと当該クライアントに対応する属性値とを受信し、前記保持手段は、当該アドレスと属性値とを対応付けて保持し、
前記対クライアント暗号キー送信手段は、前記キー要求及び前記マルチキャストコンテンツのマルチキャストアドレスを受信し、当該キー要求の送信元のアドレスが、前記認証されたクライアントのアドレスであり、かつ当該アドレスに対応する属性値が、前記マルチキャストコンテンツに対応する属性値として前記属性値のリストに含まれている場合に、前記クライアントに前記コンテンツ暗号キーと、前記キー暗号キーとを送信する請求項1に記載の暗号キー配信装置。
The encryption key distribution device holds, for each multicast content, a list of client attribute values that can distribute the content encryption key,
The encryption key distribution device receives an address of the authenticated client and an attribute value corresponding to the client from an authentication device that authenticates the client, and the holding unit associates the address with the attribute value. Hold
The client encryption key transmission means receives the key request and the multicast address of the multicast content, the address of the key request source is the address of the authenticated client, and an attribute corresponding to the address The encryption key according to claim 1, wherein when the value is included in the attribute value list as an attribute value corresponding to the multicast content, the content encryption key and the key encryption key are transmitted to the client. Distribution device.
所定のマルチキャストコンテンツを暗号化及び復号化するためのコンテンツ暗号キーをマルチキャスト配信するための暗号キー配信装置の機能をコンピュータに実現させるプログラムであって、コンピュータを、
認証されたクライアントのアドレスを保持する記憶装置にアクセスする手段、
前記マルチキャストコンテンツを配信するコンテンツ配信装置に対し、前記コンテンツ暗号キーと、当該コンテンツ暗号キーを暗号化及び復号化するためのキー暗号キーとを送信する対コンテンツ配信装置暗号キー送信手段、
あるクライアントから、キー要求及び前記マルチキャストコンテンツのマルチキャストアドレスを受信し、当該キー要求の発信元のアドレスが、前記認証されたクライアントのアドレスである場合に、前記クライアントに、前記コンテンツ暗号キーと、前記キー暗号キーとを暗号化通信路を介して送信する対クライアント暗号キー送信手段、
前記コンテンツ配信装置から、前記コンテンツ暗号キーのマルチキャスト配信要求を受信し、更に、前記クライアントから、前記コンテンツ暗号キーのマルチキャスト配信要求を受信した後、一定時間おきに、前記コンテンツ暗号キーの更新を行い、更新したコンテンツ暗号キーを前記キー暗号キーで暗号化し、暗号化した当該コンテンツ暗号キーを、前記コンテンツ配信装置が存在するエリアにマルチキャスト配信するとともに、前記クライアントが存在するエリアにマルチキャスト配信するマルチキャスト配信手段、
として機能させるプログラム。
A program for causing a computer to realize the function of an encryption key distribution device for multicast distribution of a content encryption key for encrypting and decrypting predetermined multicast content, the computer comprising:
Means for accessing a storage device holding the address of the authenticated client;
A content distribution device encryption key transmission means for transmitting the content encryption key and a key encryption key for encrypting and decrypting the content encryption key to the content distribution device for distributing the multicast content;
When a key request and a multicast address of the multicast content are received from a client, and the address of the source of the key request is the address of the authenticated client, the content encryption key and the client Client encryption key transmission means for transmitting a key encryption key and an encrypted communication path ,
After receiving a multicast distribution request for the content encryption key from the content distribution device, and further receiving a multicast distribution request for the content encryption key from the client, the content encryption key is updated at regular intervals. Multicast distribution in which the updated content encryption key is encrypted with the key encryption key, and the encrypted content encryption key is multicast distributed to the area where the content distribution apparatus exists and multicast distribution to the area where the client exists means,
Program to function as.
JP2005110229A 2005-04-06 2005-04-06 Encryption key distribution apparatus and program thereof Active JP4694240B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2005110229A JP4694240B2 (en) 2005-04-06 2005-04-06 Encryption key distribution apparatus and program thereof

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2005110229A JP4694240B2 (en) 2005-04-06 2005-04-06 Encryption key distribution apparatus and program thereof

Publications (2)

Publication Number Publication Date
JP2006295341A JP2006295341A (en) 2006-10-26
JP4694240B2 true JP4694240B2 (en) 2011-06-08

Family

ID=37415455

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2005110229A Active JP4694240B2 (en) 2005-04-06 2005-04-06 Encryption key distribution apparatus and program thereof

Country Status (1)

Country Link
JP (1) JP4694240B2 (en)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100581169C (en) * 2008-08-21 2010-01-13 西安西电捷通无线网络通信有限公司 Multicast cryptographic key distribution method and updating method based on unicast conversation cryptographic key
JP5221440B2 (en) * 2009-04-24 2013-06-26 日本電信電話株式会社 IP multicast distribution control system, IP multicast distribution control method, and program therefor
CN101635710B (en) 2009-08-25 2011-08-17 西安西电捷通无线网络通信股份有限公司 Pre-shared-key-based method for controlling secure access to networks and system thereof

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001265729A (en) * 2000-03-15 2001-09-28 Nec Corp Multicast system, authentication server terminal, multicast recipient terminal managing method and recording medium
JP2002247022A (en) * 2001-02-22 2002-08-30 Nippon Telegr & Teleph Corp <Ntt> Method for delivering information, method for utilizing information, their execution device and processing program, and recording medium
JP2002252607A (en) * 2000-12-22 2002-09-06 Nippon Telegr & Teleph Corp <Ntt> Information delivery method, its implementing system, its processing program, and its recording medium
JP2002259807A (en) * 2001-02-28 2002-09-13 Ntt Docomo Inc Information providing method and providing device
JP2003174440A (en) * 2001-12-05 2003-06-20 Nippon Telegr & Teleph Corp <Ntt> Method and system for distributing contents, routing device with authenticating function, and client device
WO2004040860A1 (en) * 2002-10-31 2004-05-13 Fujitsu Limited Ip multi-cast communication system
JP2006245778A (en) * 2005-03-01 2006-09-14 Mitsubishi Electric Corp Communication apparatus, communication method, and program

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001265729A (en) * 2000-03-15 2001-09-28 Nec Corp Multicast system, authentication server terminal, multicast recipient terminal managing method and recording medium
JP2002252607A (en) * 2000-12-22 2002-09-06 Nippon Telegr & Teleph Corp <Ntt> Information delivery method, its implementing system, its processing program, and its recording medium
JP2002247022A (en) * 2001-02-22 2002-08-30 Nippon Telegr & Teleph Corp <Ntt> Method for delivering information, method for utilizing information, their execution device and processing program, and recording medium
JP2002259807A (en) * 2001-02-28 2002-09-13 Ntt Docomo Inc Information providing method and providing device
JP2003174440A (en) * 2001-12-05 2003-06-20 Nippon Telegr & Teleph Corp <Ntt> Method and system for distributing contents, routing device with authenticating function, and client device
WO2004040860A1 (en) * 2002-10-31 2004-05-13 Fujitsu Limited Ip multi-cast communication system
JP2006245778A (en) * 2005-03-01 2006-09-14 Mitsubishi Electric Corp Communication apparatus, communication method, and program

Also Published As

Publication number Publication date
JP2006295341A (en) 2006-10-26

Similar Documents

Publication Publication Date Title
JP4407452B2 (en) Server, VPN client, VPN system, and software
US7509491B1 (en) System and method for dynamic secured group communication
JP4579934B2 (en) Addressing method and apparatus for establishing a Host Identity Protocol (HIP) connection between a legacy node and a HIP node
JP4081724B1 (en) Client terminal, relay server, communication system, and communication method
US7389412B2 (en) System and method for secure network roaming
US7792527B2 (en) Wireless network handoff key
JP3831364B2 (en) Communication system and security policy distribution method in the communication system
US20020138635A1 (en) Multi-ISP controlled access to IP networks, based on third-party operated untrusted access stations
US8104082B2 (en) Virtual security interface
JPH07107083A (en) Cipher communication system
CN101114900A (en) Multicast service authentication method and device, system
JP5144685B2 (en) Signaling delegation in mobile networks
WO2011041962A1 (en) Method and system for end-to-end session key negotiation which support lawful interception
JP5044690B2 (en) Dynamic Foreign Agent-Home Agent Security Association Assignment for IP Mobility System
JP4494279B2 (en) Multicast control method, multicast control device, content attribute information management device, and program
Liyanage et al. Securing virtual private LAN service by efficient key management
Liyanage et al. A scalable and secure VPLS architecture for provider provisioned networks
JP4694240B2 (en) Encryption key distribution apparatus and program thereof
WO2001042912A2 (en) Method and system for facilitating relocation of devices on a network
JP4498968B2 (en) Authentication gateway device and program thereof
CN107135226B (en) Transport layer proxy communication method based on socks5
WO2008029853A1 (en) Encryption key delivery device and encryption key delivery method
JP4554420B2 (en) Gateway device and program thereof
Mondal Mobile IP: Present state and future
JP2006019824A (en) Secure communication system, management apparatus, and communication terminal

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20071128

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20090623

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20090707

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20090907

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20100713

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20100913

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20110222

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20110223

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140304

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Ref document number: 4694240

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

S531 Written request for registration of change of domicile

Free format text: JAPANESE INTERMEDIATE CODE: R313531

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250