JP4883015B2 - 情報処理装置、ディスク、および情報処理方法、並びにプログラム - Google Patents

Description

本発明は、情報処理装置、ディスク、および情報処理方法、並びにプログラムに関する。さらに、詳細には情報記録媒体に記録されたコンテンツや識別情報（ＩＤ）の読み取り制御や利用制御を行う情報処理装置、ディスク、および情報処理方法、並びにプログラムに関する。

コンテンツの記録媒体としてＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）、Ｂｌｕ−ｒａｙ Ｄｉｓｃ（登録商標）などのディスクが利用されている。例えば映画コンテンツなどがディスク（例えばＲＯＭディスク）に記録されてユーザに提供されるが、これらのディスク記録コンテンツは、多くの場合、その作成者あるいは販売者に著作権、頒布権等が保有されたコンテンツである。このようなコンテンツについては例えば許可のないコピー（複製）等を防止するための利用制御がなされる。

利用制御の形態としては様々な形態があるが、例えば、著作権保護技術を規定しているＡＡＣＳ（Ａｄｖａｎｃｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｅｎｔ Ｓｙｓｔｅｍ）の規定では、ディスク記録コンテンツの利用に際して、メディアＩＤなどのＩＤ情報をディスクから読み取らせて、読み取りＩＤの確認やＩＤ情報を利用した鍵生成など実行させてコンテンツ利用制御を行なう構成としている。

例えば、ディスクには、以下のような識別情報（ＩＤ）が記録されている。
（ａ）ディスク固有の識別情報であるメディアＩＤ（ＰＭＳＮ（Ｐｒｅ−ｒｅｃｏｒｄｅｄ Ｍｅｄｉａ Ｓｅｒｉａｌ Ｎｕｍｂｅｒと呼ばれる場合もある）、
（ｂ）ディスクのタイトル単位で設定されるボリュームＩＤ、
（ｃ）ディスク記録コンテンツに対応して設定されたコンテンツ証明書の識別情報としてのコンテンツ証明書ＩＤ、
例えばこれらの識別情報（ＩＤ）がディスクに記録されている。

再生装置は、ディスクから例えば上記（ａ）〜（ｃ）の少なくともいずれかの識別情報（ＩＤ）を読み取り、所定のシーケンスに従った処理、例えばＩＤを利用した鍵生成やコンテンツ復号などによりコンテンツ利用を行なう。さらに、上記の各種識別情報（ＩＤ）をサーバに送信し、サーバにおけるＩＤ確認に基づいて、サーバから様々な付加コンテンツやサービスデータなどを受領することが行なわれる場合もある。

なお、ディスクに記録された上記（ａ）〜（ｃ）ではなく、
（ｄ）再生装置対応の識別情報であるデバイスバインディングＩＤ、
が利用される場合もある。デバイスバインディングＩＤは、再生装置固有の識別情報として再生装置内のメモリに記録され、ディスク格納コンテンツの利用、後発データのサーバからの取得、再生装置のハードディスクなどの記憶部に格納された後発データの利用などに際して、例えば再生装置の確認処理としてのＩＤ確認や、鍵生成、コンテンツ復号などの処理に利用される。

上記（ａ）〜（ｄ）の識別情報（ＩＤ）を読み取ってコンテンツの再生やコピー処理、あるいはサーバからのデータ取得処理などを行なうためには、所定のプログラムを再生装置において実行することが必要である。プログラムはディスク格納コンテンツに対応して作成されるプログラムである場合が多く、コンテンツとともにディスクに記録され、再生装置は、プログラムをディスクから読み取って実行する。

このようなプログラムは、例えばＪａｖａ（登録商標）を利用した簡易プログラムとして作成され、例えばコンテンツ所有者や提供者（コンテンツオーナー）において、あるいはその委託によって作成されることが多い、従って、不正なプログラムが混在する可能性もある。

不正なプログラムは、ディスクに記録された識別情報（ＩＤ）を不正に取得してコンテンツを不正に利用し、またサーバからのサービスデータの不正取得を行うといった不正な処理に利用される可能性がある。

図１を参照して現状のＡＡＣＳ規定におけるコンテンツ利用制御構成の概要について説明する。図１には、コンテンツ１２１を格納したディスク（メディア）１２０、ディスク記録コンテンツを提供するコンテンツオーナー１１０、コンテンツ管理処理を行なうライセンス管理部１３０を示している。ライセンス管理部１３０は例えばＡＡＣＳ規定に従ったコンテンツ利用管理を行なうＡＡＣＳ ＬＡ（Ｌｉｃｅｎｓｉｎｇ Ａｄｍｉｎｉｓｔｒａｔｏｒ）によって運営される。

ディスク１２０には、コンテンツ１２１の他、前述した識別情報（ＩＤ）１２２が記録されている。識別情報（ＩＤ）１２２としては、
（ａ）ディスク固有の識別情報であるメディアＩＤ（ＰＭＳＮ）１２６、
（ｂ）ディスクのタイトル単位で設定されるボリュームＩＤ１２７、
（ｃ）ディスク記録コンテンツに対応して設定されたコンテンツ証明書の識別情報としてのコンテンツ証明書ＩＤ１２８、
これらのＩＤ情報が含まれる。

ディスク１２０には、コンテンツ１２１が正当なコンテンツ、すなわちライセンス管理部（ＡＡＣＳ ＬＡ）１３０によって認定された正当コンテンツであることを証明するためのコンテンツ証明書１２３が記録される。コンテンツ証明書１２３はディスク１２０に記録されるコンテンツ１２１に対応してその正当性を証明するデータとしてライセンス管理部１３０の管理下で発行されディスク１２０に記録される。

コンテンツ証明書１２３は、ライセンス管理部１３０内にその詳細を示すように、ルート証明書ハッシュ値を記録し、これらの記録ハッシュ値に対して、ライセンス管理部（ＡＡＣＳ ＬＡ）１３０の秘密鍵による電子署名が付与された構成を持つ。ルート証明書１２４はディスク１２０に記録され、その構成は、図のコンテンツオーナー１１０内に示すように、コンテンツオーナーの公開鍵に対して、コンテンツオーナーの秘密鍵で署名を設定した構成を持つ。

このディスクに記録されたコンテンツ１２１を再生する再生装置は、コンテンツ証明書に設定された署名検証を実行して、コンテンツ証明書の正当性が確認されたことを条件としてコンテンツ１２１の利用が許容される。このように、コンテンツに関しては、厳格に正当性の確認が実行されることになる。

しかし、さらに、ディスク１２０にはディスク記録アプリケーション１２５が記録される場合がある。このディスク記録アプリケーション１２５は、例えばコンテンツ１２１の再生処理、その他の処理に利用されるプログラムである。具体的には、コンテンツ利用ユーザに対して、サービスデータをサーバから提供するためのアプリケーションなどである。ディスク１２０に記録された識別情報（ＩＤ）１２２をサーバに送信することで、サーバからサービスデータを取得するために実行するプログラムなどである。

このディスク記録アプリケーション１２５は、図のコンテンツオーナー１１０内に示すように、コンテンツオーナーが提供するアプリケーションに対して、コンテンツオーナーの秘密鍵で署名を設定した構成を持つ。

ディスク１２０に記録されたディスク記録アプリケーション１２５を利用する再生装置は、コンテンツオーナーの公開鍵を適用して、ディスク記録アプリケーション１２５に設定された署名検証を行なうことで、アプリケーションの正当性を確認してアプリケーションを実行することになる。

しかし、このディスク記録アプリケーション１２５は、コンテンツオーナー１１０が独自に作成可能であり、第三者による監視がなされていない。前述したように、コンテンツについてはコンテンツに対応してライセンス管理部１３０が発行するコンテンツ証明書１２３によって、その正当性を確認できるが、ディスク記録アプリケーション１２５はこのように第三者による正当性の確認ができないデータであり、コンテンツオーナー１１０が不正なアプリケーションを作成してしまう可能性が否定できない。

前述したように不正なアプリケーションを利用することで、ディスク１２０に記録された識別情報（ＩＤ）１２２を不正に取得してコンテンツ１２１を不正に利用し、またサーバからのサービスデータの不正取得を行うといった不正な処理に利用される可能性がある。

本発明は、例えば上記の問題点に鑑みてなされたものであり、ディスクに記録されたコンテンツや識別情報の不正な読み取りや、利用を防止する情報処理装置、ディスク、および情報処理方法、並びにプログラムを提供することを目的とする。

本発明の第１の側面は、
ディスクに記録されたアプリケーションプログラムの利用制御を行なう情報処理装置であり、
前記アプリケーションプログラムを利用した処理を実行するアプリケーション実行部と、
前記アプリケーションプログラムの提供主体であるコンテンツオーナーの無効化情報を記録した証明書リボケーションリスト（ＣＲＬ）を参照して、前記アプリケーションプログラムに対応する証明書としてディスクに記録されるアプリケーション証明書に記録されたコンテンツオーナー識別子が、前記証明書リボケーションリスト（ＣＲＬ）に含まれるか否かを検証し、含まれている場合には、
前記ディスクの記録コンテンツに対応する証明書としてディスクに記録されているコンテンツ証明書に格納されたコンテンツ証明書タイムスタンプと、前記証明書リボケーションリスト（ＣＲＬ）に格納されたＣＲＬタイムスタンプを取得して、両タイムスタンプの比較を実行するデータ検証部と、
前記コンテンツ証明書タイムスタンプが、前記ＣＲＬタイムスタンプ以降の日時データを有する場合、前記アプリケーション実行部におけるアプリケーションプログラムの利用処理を禁止または制限するアプリケーション制御部と、
を有することを特徴とする情報処理装置にある。

さらに、本発明の情報処理装置の一実施態様において、前記コンテンツ証明書タイムスタンプは、コンテンツ証明書の発行主体による署名生成日時に対応する日時情報であり、前記ＣＲＬタイムスタンプは、前記アプリケーション証明書の失効日時、すなわち前記アプリケーション証明書に記録されたコンテンツオーナーの無効化日時に対応する日時情報であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記アプリケーション制御部は、前記アプリケーション実行部が、ディスクもしくは情報処理装置に記録された識別情報を取得する処理を禁止する処理を実行することを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記識別情報は、
（ａ）ディスク固有の識別情報であるメディアＩＤ（ＰＭＳＮ）、
（ｂ）ディスクのタイトル単位で設定されるボリュームＩＤ、
（ｃ）ディスク記録コンテンツに対応して設定されたコンテンツ証明書の識別情報としてのコンテンツ証明書ＩＤ、
（ｄ）情報処理装置の識別情報であるデバイスバインディングＩＤ、
上記（ａ）〜（ｄ）いずれかの識別情報であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記アプリケーション制御部は、前記アプリケーション実行部が、ディスクに記録されたコンテンツの再生またはコピーまたは外部出力する処理を禁止または制限する処理を実行することを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記アプリケーション制御部は、前記アプリケーション実行部が、ネットワークを介して外部サーバに接続する処理を禁止または制限する処理を実行することを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記アプリケーション制御部は、前記アプリケーション実行部が、ディスク記録データの読み取りまたは利用処理を行なうプログラム実行部に対するＡＰＩ呼び出し処理を禁止または制限する処理を実行することを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記データ検証部は、さらに、前記アプリケーション証明書をディスクから読み出して第１の署名検証を実行し、さらに、前記アプリケーションプログラムに対応する証明書としてディスクに記録されたルート証明書を含むデータに対する署名を有するルート証明書対応データをディスクから読み出して第２の署名検証を実行し、前記アプリケーション制御部は、前記データ検証部における第１および第２の署名検証処理において、検証が失敗した場合に、前記アプリケーション実行部におけるアプリケーションプログラムの利用処理を禁止または制限することを特徴とする。

さらに、本発明の第２の側面は、
コンテンツと、
前記コンテンツに対応する証明データであり、コンテンツ証明書の発行主体による署名生成日時に対応するタイムスタンプを記録したコンテンツ証明書と、
アプリケーションプログラムと、
前記アプリケーションプログラムに対応する証明書であるアプリケーション証明書を記録し、
前記アプリケーションプログラムを実行しようとする再生装置において、
前記アプリケーションプログラムの提供主体であるコンテンツオーナーの無効化情報を記録した証明書リボケーションリスト（ＣＲＬ）に、前記アプリケーション証明書に記録されたコンテンツオーナー識別子が含まれている場合、
前記コンテンツ証明書に格納されたコンテンツ証明書タイムスタンプと、前記証明書リボケーションリスト（ＣＲＬ）に格納されたＣＲＬタイムスタンプとの比較を行い、前記コンテンツ証明書タイムスタンプが、前記ＣＲＬタイムスタンプ以降の日時データを有する場合、アプリケーションプログラムの利用処理を禁止または制限することを可能としたディスクにある。

さらに、本発明の第３の側面は、
情報処理装置において、ディスクに記録されたアプリケーションプログラムの利用制御を行なう情報処理方法であり、
データ検証部が、前記アプリケーションプログラムの提供主体であるコンテンツオーナーの無効化情報を記録した証明書リボケーションリスト（ＣＲＬ）を参照して、前記アプリケーションプログラムに対応する証明書としてディスクに記録されるアプリケーション証明書に記録されたコンテンツオーナー識別子が、前記証明書リボケーションリスト（ＣＲＬ）に含まれるか否かを検証し、含まれている場合には、
前記ディスクの記録コンテンツに対応する証明書としてディスクに記録されているコンテンツ証明書に格納されたコンテンツ証明書タイムスタンプと、前記証明書リボケーションリスト（ＣＲＬ）に格納されたＣＲＬタイムスタンプを取得して、両タイムスタンプの比較を実行するデータ検証ステップと、
アプリケーション制御部が、前記コンテンツ証明書タイムスタンプが、前記ＣＲＬタイムスタンプ以降の日時データを有する場合、前記アプリケーションプログラムの利用処理を禁止または制限するアプリケーション制御ステップと、
を有することを特徴とする情報処理方法にある。

さらに、本発明の情報処理方法の一実施態様において、前記コンテンツ証明書タイムスタンプは、コンテンツ証明書の発行主体による署名生成日時に対応する日時情報であり、前記ＣＲＬタイムスタンプは、前記アプリケーション証明書の失効日時、すなわち前記アプリケーション証明書に記録されたコンテンツオーナーの無効化日時に対応する日時情報であることを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記アプリケーション制御ステップは、アプリケーション実行部が、ディスクもしくは情報処理装置に記録された識別情報を取得する処理を禁止する処理を実行することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、
前記識別情報は、
（ａ）ディスク固有の識別情報であるメディアＩＤ（ＰＭＳＮ）、
（ｂ）ディスクのタイトル単位で設定されるボリュームＩＤ、
（ｃ）ディスク記録コンテンツに対応して設定されたコンテンツ証明書の識別情報としてのコンテンツ証明書ＩＤ、
（ｄ）情報処理装置の識別情報であるデバイスバインディングＩＤ、
上記（ａ）〜（ｄ）いずれかの識別情報であることを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記アプリケーション制御部は、アプリケーション実行部が、ディスクに記録されたコンテンツの再生またはコピーまたは外部出力する処理を禁止または制限する処理を実行することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記アプリケーション制御ステップは、アプリケーション実行部が、ネットワークを介して外部サーバに接続する処理を禁止または制限する処理を実行することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記アプリケーション制御ステップは、アプリケーション実行部が、ディスク記録データの読み取りまたは利用処理を行なうプログラム実行部に対するＡＰＩ呼び出し処理を禁止または制限する処理を実行することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記データ検証ステップは、さらに、前記アプリケーション証明書をディスクから読み出して第１の署名検証を実行し、さらに、前記アプリケーションプログラムに対応する証明書としてディスクに記録されたルート証明書を含むデータに対する署名を有するルート証明書対応データをディスクから読み出して第２の署名検証を実行するステップであり、前記アプリケーション制御ステップは、前記データ検証ステップにおける第１および第２の署名検証処理において、検証が失敗した場合に、前記アプリケーション実行部におけるアプリケーションプログラムの利用処理を禁止または制限するステップであることを特徴とする。

さらに、本発明の第４の側面は、
情報処理装置において、ディスクに記録されたアプリケーションプログラムの利用制御を行なわせるプログラムであり、
データ検証部に、前記アプリケーションプログラムの提供主体であるコンテンツオーナーの無効化情報を記録した証明書リボケーションリスト（ＣＲＬ）を参照して、前記アプリケーションプログラムに対応する証明書としてディスクに記録されるアプリケーション証明書に記録されたコンテンツオーナー識別子が、前記証明書リボケーションリスト（ＣＲＬ）に含まれるか否かを検証させ、含まれている場合には、
前記ディスクの記録コンテンツに対応する証明書としてディスクに記録されているコンテンツ証明書に格納されたコンテンツ証明書タイムスタンプと、前記証明書リボケーションリスト（ＣＲＬ）に格納されたＣＲＬタイムスタンプを取得して、両タイムスタンプの比較を実行させるデータ検証ステップと、
アプリケーション制御部に、前記コンテンツ証明書タイムスタンプが、前記ＣＲＬタイムスタンプ以降の日時データを有する場合、前記アプリケーションプログラムの利用処理を禁止または制限させるアプリケーション制御ステップと、
を有することを特徴とするプログラムにある。

なお、本発明のプログラムは、例えば、様々なプログラム・コードを実行可能な汎用システムに対して、コンピュータ可読な形式で提供する記憶媒体、通信媒体によって提供可能なプログラムである。このようなプログラムをコンピュータ可読な形式で提供することにより、コンピュータ・システム上でプログラムに応じた処理が実現される。

本発明のさらに他の目的、特徴や利点は、後述する本発明の実施例や添付する図面に基づくより詳細な説明によって明らかになるであろう。なお、本明細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限らない。

本発明の一実施例によれば、ディスクに記録されたアプリケーションプログラムの提供主体であるコンテンツオーナーの無効化情報を記録した証明書リボケーションリスト（ＣＲＬ）を参照して、アプリケーション証明書に記録されたコンテンツオーナー識別子が、証明書リボケーションリスト（ＣＲＬ）に含まれるか否かを検証し、含まれている場合に、コンテンツ証明書に格納されたタイムスタンプと、証明書リボケーションリスト（ＣＲＬ）のタイムスタンプの比較を実行して、コンテンツ証明書タイムスタンプが、ＣＲＬタイムスタンプ以降の日時データを有する場合、アプリケーション実行部におけるアプリケーションプログラムの利用処理を禁止または制限する構成とした。本構成により、無効化される前のアプリケーションは利用制限を行なわず、無効化された後のアプリケーションに対してのみ利用制限を行なう構成が実現される。

以下、図面を参照しながら本発明の情報処理装置、ディスク、および情報処理方法、並びにプログラムの詳細について説明する。

図２を参照して、本発明の構成の概要について説明する。図２には、先に図１を参照して説明したと同様、コンテンツ２２１を格納したディスク（メディア）２２０、ディスク記録コンテンツを提供するコンテンツオーナー２１０、コンテンツ管理処理を行なうライセンス管理部２３０を示し、さらに、新たに、認証局（ＢＤＡ−ＣＡ）２４０を示している。ライセンス管理部２３０は例えばＡＡＣＳ規定に従ったコンテンツ利用管理を行なうＡＡＣＳ ＬＡ（Ｌｉｃｅｎｓｉｎｇ Ａｄｍｉｎｉｓｔｒａｔｏｒ）によって運営される。

なお、本実施例ではディスク２２０として、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ（登録商標））、具体的にはＲＯＭ型のＢＤであるＢＤ−ＲＯＭディスクについて説明する。なお、実施例ではＢＤ−ＲＯＭを適用した例を説明するが、ＢＤ−ＲＯＭの適用例は一例であり、その他の種類のメディアであっても本発明の適用は可能である。

ディスク２２０には、コンテンツ２２１の他、先に図１を参照して説明したと同様、識別情報（ＩＤ）２２２が記録されている。識別情報（ＩＤ）２２２としては、
（ａ）ディスク固有の識別情報であるメディアＩＤ（ＰＭＳＮ）２２６、
（ｂ）ディスクのタイトル単位で設定されるボリュームＩＤ２２７、
（ｃ）ディスク記録コンテンツに対応して設定されたコンテンツ証明書の識別情報としてのコンテンツ証明書ＩＤ２２８、
これらのＩＤ情報が含まれる。

再生装置は、ディスクから例えば上記（ａ）〜（ｃ）の少なくともいずれかの識別情報（ＩＤ）を読み取り、所定のシーケンスに従った処理、例えばＩＤを利用した鍵生成やコンテンツ復号などによりコンテンツ利用を行なう。さらに、上記の各種識別情報（ＩＤ）をサーバに送信し、サーバにおけるＩＤ確認に基づいて、サーバから様々な付加コンテンツやサービスデータなどを受領することが行なわれる場合もある。

なお、ディスクに記録された上記（ａ）〜（ｃ）ではなく、
（ｄ）再生装置対応の識別情報であるデバイスバインディングＩＤ、
が利用される場合もある。デバイスバインディングＩＤは、再生装置固有の識別情報として再生装置内のメモリに記録され、ディスク格納コンテンツの利用、後発データのサーバからの取得、再生装置のハードディスクなどの記憶部に格納された後発データの利用などに際して、例えば再生装置の確認処理としてのＩＤ確認や、鍵生成、コンテンツ復号などの処理に利用される。

ディスク２２０には、コンテンツ２２１が正当なコンテンツ、すなわちライセンス管理部（ＡＡＣＳ ＬＡ）２３０によって管理された正当コンテンツであることを証明するためのコンテンツ証明書（Ｃｏｎｔｅｎｔ Ｃｅｒｔ）２２３が記録される。コンテンツ証明書２２３はディスク２２０に記録されるコンテンツ２２１に対応してその正当性を証明するデータとしてライセンス管理部２３０の管理下で発行されディスク２２０に記録される。

コンテンツ証明書２２３は、図２に示すライセンス管理部２３０内にその詳細を示すように、ルート証明書の構成データによって生成されたハッシュ値であるルート証明書ハッシュを記録し、これらの記録ハッシュ値に対して、ライセンス管理部（ＡＡＣＳ ＬＡ）２３０の秘密鍵による電子署名が付与された構成を持つ。

また、ディスク２２０に記録されるルート証明書（ＢＤ−Ｊ Ｒｏｏｔ Ｃｅｒｔ）２２４は、図２に示すコンテンツオーナー２１０内にその詳細を示すように、コンテンツオーナーの公開鍵と、コンテンツオーナーの公開鍵に対してコンテンツオーナーの秘密鍵で生成した署名を含むデータ構成を持ち、ディスク２２０に記録されるディスク記録アプリケーション２２５に対応する証明書としてディスク２２０に記録される。

ディスク２２０に記録されたコンテンツ２２１を再生する再生装置は、コンテンツ証明書２２３に設定された署名の検証を実行して、コンテンツ証明書２２３の正当性を確認し、この正当性確認を条件としたコンテンツ２２１の利用を行う。このように、コンテンツに関しては、厳格に正当性の確認が実行されることになる。

さらに、ディスク２２０にはディスク記録アプリケーション（ＢＤ−Ｊ ａｐｐｌｉｃａｔｉｏｎ）２２５が記録される。このディスク記録アプリケーション２２５は、例えばコンテンツ２２１の再生処理やコピー処理、その他の処理、例えば、サービスデータを外部のサーバから受領するためのアプリケーションなどである。ディスク記録アプリケーション２２５は、図２に示すコンテンツオーナー２１０内に詳細を示すように、コンテンツオーナーが提供するアプリケーションに対して、コンテンツオーナーの秘密鍵で署名を設定した構成を持つ。

このディスク記録アプリケーション２２５は、ディスク２２０に記録された識別情報２２２の読み取りを直接実行することができないので、別のプログラムに識別情報（ＩＤ）２２２の読み取りを依頼して、別のプログラムによってディスクから読み取られたた識別情報（ＩＤ）２２２を受領する。

図３を参照して、ディスク２２０に記録された識別情報（ＩＤ）２２２の読み取り処理例について説明する。ディスク記録アプリケーション２２５は、再生装置３００のアプリケーション実行部３０１において実行される。ディスク記録アプリケーション２２５は例えばＪａｖａ（登録商標）プログラムであり、この場合、アプリケーション実行部３０１は、例えば、Ｊａｖａ（登録商標）プログラムを実行するバーチャルマシン（ＢＤ−Ｊ Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅと呼ばれる）によって構成される。

アプリケーション実行部３０１において実行するアプリケーションは、ディスク２２０に記録された識別情報２２２の読み取りを直接実行することはできないので、識別情報２２２の読み取りを実行するプログラムにＩＤ読み取りを依頼する。図３に示すＡＡＣＳレイヤ（ＩＤ情報取得プログラム実行部）３０２がディスク２２０に記録された識別情報２２２の読み取りを直接実行する。ＡＡＣＳレイヤ３０２は、ＡＡＣＳ規定に従ったシーケンスに従ってデータ処理を実行するデータ処理部である。

アプリケーション実行部３０１の実行するアプリケーションは、ＡＡＣＳレイヤ（ＩＤ情報取得プログラム実行部）３０２に対してＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）呼び出しを実行する。このＡＰＩは、ディスク２２０に記録された識別情報２２２の読み取りを行なわせる関数からなるＡＰＩである。

ＡＡＣＳレイヤ（ＩＤ情報取得プログラム実行部）３０２は、アプリケーション実行部３０１からのＡＰＩ呼び出しに応じて、ディスク２２０に記録された識別情報２２２の読み取りを実行し、読み取った識別情報２２２をアプリケーション実行部３０１に提供することになる。その後、アプリケーション実行部３０１において実行されているアプリケーションは、取得した識別情報を利用してコンテンツの利用やサービスデータの取得、例えば取得識別情報（ＩＤ）をサーバに送信し、コンテンツのコピー許可情報や、その他のサービス情報などを受領するといった処理を行なう。

なお、本実施例では、ディスクに記録された識別情報２２２を利用する例について説明するが、前述したように、
再生装置対応の識別情報であるデバイスバインディングＩＤ、
が利用される場合もある。デバイスバインディングＩＤは、再生装置固有の識別情報として再生装置内のメモリに記録され、ディスク格納コンテンツの利用、後発データのサーバからの取得、再生装置のハードディスクなどの記憶部に格納された後発データの利用などに際して、例えば再生装置の確認処理としてのＩＤ確認や、鍵生成、コンテンツ復号などの処理に利用される。以下では、ディスクに記録された識別情報２２２を利用する例について説明するが、再生装置対応の識別情報であるデバイスバインディングＩＤを再生装置のメモリから読み取って利用する場合も、以下に説明する識別情報２２２の読み取り処理と同様の処理として実行される。

識別情報の読み取りや利用処理において問題となるのは、前述したように、アプリケーション実行部３０１において実行するアプリケーション、すなわちディスク記録アプリケーション２２５が不正なプログラムである可能性があることである。例えば識別情報２２２を不正に取得しようとして生成された不正プログラムである可能性もあることである。

そこで、本発明の構成では、このような不正処理を防止するため、ディスク２２０に、さらにアプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）２５１と、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）２５２を記録している。

アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）２５１は、認証局（ＢＤＡ−ＣＡ）２４０が発行する証明書であり、コンテンツオーナーの公開鍵に対して、認証局（ＢＤＡ−ＣＡ）２４０の秘密鍵による署名データが設定された構成である。

ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）２５２は、コンテンツオーナー２１０が生成す署名データであり、ルート証明書２２４を含むデータに対して、コンテンツオーナーの秘密鍵を適用して生成される署名データである。

図４を参照して、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）２５１と、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）２５２の各々のデータ構成例について説明する。

アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）２５１は、例えば以下のデータ構成を持つ。
データ長：アプリケーション証明書の全体データのデータ長（４バイト）、
証明書バージョン：アプリケーション証明書のバージョン情報（４バイト）、
コンテンツオーナーＩＤ：ディスク記録アプリケーションを提供したコンテンツオーナーの識別子（４Ｂ）、
コンテンツオーナー公開鍵：ディスク記録アプリケーションを提供したコンテンツオーナーの公開鍵、
署名：認証局（ＢＤＡ−ＣＡ）の秘密鍵を適用して生成されたアプリケーション証明書に対する署名、
これらのデータからなる。

なお、署名は、アプリケーション証明書２５１の構成データ（データ長〜コンテンツオーナー公開鍵）に対して生成される署名であり、認証局（ＢＤＡ−ＣＡ）の公開鍵を適用した署名検証により、アプリケーション証明書２５１が改竄されているか否かを確認することができる。

一方、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）２５２は、図に示すように
データ長：ルート証明書対応署名データの全体データのデータ長（４バイト）、
署名バージョン：ルート証明書対応署名データのバージョン情報（４バイト）、
署名：ディスク記録アプリケーションを提供したコンテンツオーナーの秘密鍵を適用して生成されたルート証明書２２４と、ルート証明書対応署名データ２５２の構成データ（データ長，署名バージョン）に対する署名、

なお、署名は、ルート証明書２２４と、ルート証明書対応署名データ２５２の構成データ（データ長，署名バージョン）に対して生成される署名であり、コンテンツオーナーの公開鍵を適用した署名検証により、ルート証明書２２４と、ルート証明書対応署名データ２５２が改竄されているか否かを確認することができる。

アプリケーション証明書２５１と、ルート証明書対応署名データ２５２の発行構成について図５を参照して説明する。

図５には、
（ａ）本発明に従った追加構成、
（ｂ）既存構成、
これら（ａ），（ｂ）の構成を示している。
（ｂ）既存構成は、従来の構成として説明した図１と、本発明の構成として説明した図２に示す構成のいずれにも共通に存在する構成である。すなわち、ディスクに記録されたディスク記録アプリケーション２２５と、ルート証明書２２４の構成である。

ディスク記録アプリケーション２２５は、ディスク記録アプリケーション２２５を提供しているコンテンツオーナーの秘密鍵を適用した署名が設定されている。

ルート証明書２２４は、図２を参照して説明したように、ディスク記録アプリケーション２２５を提供しているコンテンツオーナーの公開鍵に対して、コンテンツコンテンツオーナーの秘密鍵で署名を設定した構成を持つ。
この構成は、従来の構成として説明した図１と、本発明の構成として説明した図２に示す構成のいずれにも共通に存在する構成である。

一方、図５の上段に示す（ａ）本発明に従った追加構成は、従来の構成として説明した図１には存在せず、本発明の構成として説明した図２に示す構成にのみ存在する追加構成である。

まず、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）２５２は、コンテンツオーナー２１０が生成する署名データであり、ルート証明書２２４を含むデータに対して、コンテンツオーナーの秘密鍵を適用して生成される署名データである。このルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）２５２に設定された署名検証を実行することで、ルート証明書２２４とルート証明書対応署名データ２５２との改竄検証が可能となる。

アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）２５１は、認証局（ＢＤＡ−ＣＡ）２４０が発行する証明書であり、コンテンツオーナーの公開鍵に対して、認証局（ＢＤＡ−ＣＡ）２４０の秘密鍵による署名データが設定された構成である。この署名検証により、アプリケーション証明書２５１の改竄検証が可能であり、アプリケーション証明書２５１に格納されたコンテンツオーナー公開鍵は正当な鍵データであることが確認可能となる。

改竄検証によってアプリケーション証明書２５１が改竄のない正当なデータであることが確認された場合に、アプリケーション証明書２５１に格納されたコンテンツオーナー公開鍵を取得して、取得したコンテンツオーナー公開鍵を適用して、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）２５２に設定された署名の検証を行なう。この署名検証により、ルート証明書２２４とルート証明書対応署名データ２５２とが改竄のない正当なテータであることを確認する。

さらに、コンテンツオーナー公開鍵により、ディスク記録アプリケーション２２５に設定された署名検証も行ない、ディスク記録アプリケーション２２５の改竄検証を行う。

このようなシーケンスとすることで、図５に示すように、
［認証局２４０］、
［アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）２５１］、
［ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）２５２］
［ディスク記録アプリケーション（ＢＤ−Ｊ ａｐｐｌｉｃａｔｉｏｎ２２５］
これらの構成およびデータが、一連の関係を有することになる。

コンテンツオーナーの提供するディスク記録アプリケーション２２５を実行しようとする再生装置は、上述のデータ、すなわち、
［アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）２５１］、
［ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）２５２］
これらのデータに設定された署名検証を実行する。

この署名検証によって、アプリケーション証明書２５１、ルート証明書対応署名データ２５２、ルート証明書２２４に改竄のないことが確認された場合には、ディスク記録アプリケーション２２５の実行を許容し、例えば、図３を参照して説明したシーケンスに従ったディスクに記録された識別情報２２２の取得を許容する。しかし、署名検証によって、アプリケーション証明書２５１、ルート証明書対応署名データ２５２、ルート証明書２２４に改竄のないことが確認されなかった場合には、ディスク記録アプリケーション２２５の実行を許可しない設定とする。

あるいは、ディスク記録アプリケーション２２５の実行機能の一部を停止させるといった処理を行なう。具体的には、識別情報２２２の取得および識別情報２２２を利用した処理を不可とする制御や、ネット接続を不可とする制御や、コンテンツのコピーを不可とする制御などを行なう。なお、識別情報２２２の取得を許容しない設定とする場合には、先に図３を参照して説明したＡＰＩの使用を禁止する処理によって実現される。

図６に示すフローチャートを参照して再生装置のデータ処理部において実行する処理シーケンスについて説明する。

まず、ステップＳ１０１においてアプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）をディスクから読み取り、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）に設定された署名の検証を行なう。ステップＳ１０２において、アプリケーション証明書の署名検証が成功したか否か、すなわち、署名検証によりアプリケーション証明書が改竄のない正当な証明書であることが確認されたか否かを判定する。

先に図４等を参照して説明したようにアプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）は、認証局（ＢＤＡ−ＣＡ）が発行する証明書であり、コンテンツオーナーの公開鍵に対して、認証局（ＢＤＡ−ＣＡ）の秘密鍵による署名データが設定された構成である。この署名検証により、アプリケーション証明書の改竄の有無についての検証が可能であり、例えば、アプリケーション証明書に格納されたコンテンツオーナー公開鍵が正当な鍵データであるか否かを確認することが可能となる。

ステップＳ１０２において、アプリケーション証明書の署名検証が失敗、すなわち、アプリケーション証明書が改竄のない正当な証明書であることが確認されなかったと判定した場合は、ステップＳ１１２に進む。ステップＳ１１２では、ディスクに記録されたディスク記録アプリケーションの使用の禁止または制限を行なう。具体的には、例えば、
（１）ディスク記録アプリケーションの利用可能なＡＰＩを限定する。
（２）ネットワーク接続の禁止、
（３）ディスク記録コンテンツの再生禁止、
（４）ディスク記録コンテンツのコピー禁止、
（５）ディスク記録アプリケーションの利用禁止、
例えば上記（１）〜（５）のいずれかまたは組み合わせによるアプリケーションの利用制限処理を行なう。その後、ステップＳ１１３において、許容された範囲でのアプリケーションの利用処理を行なう。

一方、ステップＳ１０２において、アプリケーション証明書の署名検証が成功、すなわち、アプリケーション証明書が改竄のない正当な証明書であることが確認された場合は、ステップＳ１０３に進む。

ステップＳ１０３では、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）をディスクから読み取り、ステップＳ１０４において、アプリケーション証明書に格納されたコンテンツオーナー公開鍵を適用して、ルート証明書対応署名データの署名検証を行う。この署名検証に適用する鍵は、ステップＳ１０２において正当性の確認されたアプリケーション証明書に格納されたコンテンツオーナー公開鍵である。

先に図４等を参照して説明したようにルート証明書対応署名データは、コンテンツオーナーが生成する署名データであり、ディスクに記録されたルート証明書を含むデータに対して、コンテンツオーナーの秘密鍵を適用して生成される署名データである。このルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）に設定された署名検証を実行することで、ルート証明書とルート証明書対応署名データとの改竄検証が可能となる。

ステップＳ１０５において、ルート証明書対応署名データの署名検証が成功したか否か、すなわち、署名検証によりルート証明書とルート証明書対応署名データが改竄のない正当なデータであることが確認されたか否かを判定する。ステップＳ１０５において、ルート証明書とルート証明書対応署名データが改竄のない正当なデータであることが確認されなかった場合は、ステップＳ１１２に進む。ステップＳ１１２では、ディスクに記録されたディスク記録アプリケーションの使用の禁止または制限を行なう。具体的には、前述したように、例えば、
（１）ディスク記録アプリケーションの利用可能なＡＰＩを限定する。
（２）ネットワーク接続の禁止、
（３）ディスク記録コンテンツの再生禁止、
（４）ディスク記録コンテンツのコピー禁止、
（５）ディスク記録アプリケーションの利用禁止、
例えば上記（１）〜（５）のいずれかまたは組み合わせによるアプリケーションの利用制限処理を行なう。その後、ステップＳ１１３において、許容された範囲でのアプリケーションの利用処理を行なう。

一方、ステップＳ１０５において、ルート証明書とルート証明書対応署名データが改竄のない正当なデータであることが確認された場合は、ステップＳ１０６に進む。ステップＳ１０６では、サーバまたはディスクから証明書リボケーションリスト（ＣＲＬ：Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｖｏｃａｔｉｏｎ Ｌｉｓｔ）を取得して取得した証明書リボケーションリスト（ＣＲＬ）の署名検証処理を行なう。

証明書リボケーションリスト（ＣＲＬ）は、発行済みの証明書中、既に無効化された証明書についての情報を格納したリストである。例えばアプリケーション証明書などの公開鍵を格納した公開鍵証明書に格納された公開鍵が無効なものであることを示すリストであり、無効化された証明書の証明書識別子や証明書の発行先の識別情報などを登録したリストである。この証明書リボケーションリスト（ＣＲＬ）は、逐次、更新され、最新のリストが証明書発行主体の管理サーバから取得可能であり、またディスクに記録されてユーザに提供される。なお、証明書リボケーションリスト（ＣＲＬ）にはバージョン情報が設定され、新旧の判別が可能な構成となっている。

証明書リボケーションリスト（ＣＲＬ）には、証明書発行主体の秘密鍵による署名が設定されており、証明書発行主体の公開鍵による署名検証により改竄検証が可能なデータ構成となっている。ステップＳ１０６では、証明書リボケーションリスト（ＣＲＬ）の署名検証を行なう。ステップＳ１０７において、証明書リボケーションリスト（ＣＲＬ）の署名に失敗した場合は、不正なＣＲＬである可能性があり、ステップＳ１０６に戻り、新たな証明書リボケーションリスト（ＣＲＬ）をサーバから取得して、取得した証明書リボケーションリスト（ＣＲＬ）について署名検証を行なう。

テップＳ１０７において、証明書リボケーションリスト（ＣＲＬ）の署名に成功し、証明書リボケーションリスト（ＣＲＬ）の正当性が確認された場合、ステップＳ１０８に進む。

ステップＳ１０８では、再生装置のメモリに格納されている証明書リボケーションリスト（ＣＲＬ）のバージョンと、サーバまたはディスクから取得した署名検証を実行した証明書リボケーションリスト（ＣＲＬ）のバージョンを比較し、サーバまたはディスクから取得した署名検証を実行した証明書リボケーションリスト（ＣＲＬ）が、再生装置に格納されている証明書リボケーションリスト（ＣＲＬ）より新しいと判断された場合は、ステップＳ１０９において、サーバまたはディスクから取得し署名検証を実行した証明書リボケーションリスト（ＣＲＬ）を再生装置のメモリに格納する。

ステップＳ１１０では、アプリケーション証明書からコンテンツオーナーＩＤ読み取り、署名検証を実行した証明書リボケーションリスト（ＣＲＬ）の記録データと照合する。

ステップＳ１１１において、アプリケーション証明書に記録されたコンテンツオーナーＩＤがＣＲＬリストに記録されていないと判断された場合は、ステップＳ１１３に進み、許容された範囲でのアプリケーションの利用処理を行なう。この場合、基本的に制限のないアプリケーション利用処理が可能となる。すなわち、先に図３を参照して説明した識別情報の取得および利用処理などが制限無く実行することが可能となる。

一方、ステップＳ１１１において、アプリケーション証明書に記録されたコンテンツオーナーＩＤがＣＲＬリストに記録されていると判断された場合は、ステップＳ１１２に進み、ディスクに記録されたディスク記録アプリケーションの使用の禁止または制限を行なう。具体的には、前述したように、例えば、
（１）ディスク記録アプリケーションの利用可能なＡＰＩを限定する。
（２）ネットワーク接続の禁止、
（３）ディスク記録コンテンツの再生禁止、
（４）ディスク記録コンテンツのコピー禁止、
（５）ディスク記録アプリケーションの利用禁止、
例えば上記（１）〜（５）のいずれかまたは組み合わせによるアプリケーションの利用制限処理を行なう。その後、ステップＳ１１３において、許容された範囲でのアプリケーションの利用処理を行なう。

なお、アプリケーションの利用に際しては、先に図２を参照して説明したように、ディスク記録アプリケーション２２５には、コンテンツオーナーの署名が設定されており、コンテンツオーナーの公開鍵を適用した署名検証を行なって署名検証に成功、すなわち、ディスク記録アプリケーション２２５が改竄のない正当なアプリケーションデータであることを確認し、この確認がなされたことを条件としてアプリケーション利用を行なう。

このように、本発明の構成では、先に図５を参照して説明したように、
［認証局２４０］、
［アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）２５１］、
［ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）２５２］
［ディスク記録アプリケーション（ＢＤ−Ｊ ａｐｐｌｉｃａｔｉｏｎ２２５］
これらの構成およびデータを関連付け、コンテンツオーナーの提供するディスク記録アプリケーションを、第三者、すなわち認証局の管理下に設定することを可能とし、ディスク記録アプリケーションを利用しようとする再生装置に、図６に示すフローに従った処理を実行させて、ディスク記録アプリケーション２２５の厳格な正当性確認を可能とし、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）や、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）の署名検証に失敗した場合は、ディスク記録アプリケーション２２５の実行機能の少なくとも一部を停止させるアプリケーション実行機能の制限処理を行なう構成とした。

具体的には、メディアＩＤ（ＰＭＳＮ）などのディスクに記録された識別情報の取得や利用処理を不可とする制御や、ネット接続を不可とする制御、コンテンツのコピーを不可とする制御などを行なう。

先に、図３を参照して説明したように、ディスク２２０に記録された識別情報２２２の読み取りなどの処理を行なうのは、ディスク記録アプリケーション自体ではなく、図３に示すＡＡＣＳレイヤ（ＩＤ情報取得プログラム実行部）３０２である。先に説明したようにＡＡＣＳレイヤはＡＡＣＳ規定に従ったシーケンスに従ってデータ処理を実行する。

アプリケーションは、このＡＡＣＳレイヤに対して様々な処理の依頼が可能であり、様々な処理に対応して設定されたＡＰＩの呼び出しを実行する。ＡＡＣＳレイヤはＡＰＩ呼び出しに応じたデータ処理、例えば前述した識別情報の読み取り処理などを実行し、処理結果をアプリケーション実行部に提供する。

図６を参照して説明したように、本発明の再生装置では、ディスクに記録されたデータであるアプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）や、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）などの署名検証に失敗した場合、アプリケーションの処理を制限する構成としている。アプリケーションの処理を制御する構成例について図７を参照して説明する。図７には、ディスク２２０と、再生装置３００を示している。

再生装置３００は、アプリケーション実行部３０１、ＡＡＣＳレイヤ３０２、さらに、データ検証部３５１、アプリケーション制御部３５２を有する。アプリケーション実行部３０１と、ＡＡＣＳレイヤ３０２は図３を参照して説明したアプリケーション実行部３０１と、ＡＡＣＳレイヤ３０２に対応する。

データ検証部３５１は、図６に示すフローにおけるステップＳ１０１〜Ｓ１１０の処理を実行する。すなわち、ディスクに記録されたデータであるアプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）２５１や、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）２５２などの署名検証、ＣＲＬの記録データの検証処理などを実行し、その検証結果をアプリケーション制御部３５２に通知する。

アプリケーション制御部３５２は、データ検証部３５１におけるデータ検証の結果に応じて、アプリケーションの制御を行なう。すなわち、具体的には、前述したように、例えば、
（１）ディスク記録アプリケーションの利用可能なＡＰＩを限定する。
（２）ネットワーク接続の禁止、
（３）ディスク記録コンテンツの再生禁止、
（４）ディスク記録コンテンツのコピー禁止、
（５）ディスク記録アプリケーションの利用禁止、
例えば上記（１）〜（５）のいずれかまたは組み合わせによるアプリケーションの利用制限処理を行なう。

アプリケーション実行部３０１は、ディスク２２０に記録されたディスク記録アプリケーション（ＢＤ−Ｊ ａｐｐｌｉｃａｔｉｏｎ）２２５を読み出して実行する。アプリケーションは、ＡＡＣＳレイヤ３０２に対して様々な処理を実行させる関数からなるＡＰＩの呼び出しを行なう。しかし、このＡＰＩ処理に対して、アプリケーション制御部３５２は、データ検証部３５１におけるデータ検証の結果に応じて、制御を行い、ＡＰＩ呼び出しをＡＡＣＳレイヤ３０２に入力する処理を禁止する。

このアプリケーション制御部３５２によるＡＰＩ制御により、アプリケーションの様々な処理の実行が禁止される。具体的には前述の（１）〜（５）のいずれかの処理または複数の処理が禁止される。なお、アプリケーションにおける禁止処理や許容処理は様々な設定が可能である。

アプリケーション実行部３０１は、処理に応じたＡＰＩ呼び出しをＡＡＣＳレイヤ３０２に対して実行する。具体的には、
メディアＩＤ（ＰＭＳＮ）２２６の読み出し処理をＡＡＣＳレイヤに対して実行させるＡＰＩ、
ボリュームＩＤ２２７の読み出し処理をＡＡＣＳレイヤに対して実行させるＡＰＩ、
コンテンツ証明書ＩＤ２２８の読み出し処理をＡＡＣＳレイヤに対して実行させるＡＰＩ、
さらに、
ディスク記録コンテンツの再生、コピー、外部出力処理のための許容情報の提供をＡＡＣＳレイヤに対して実行させるＡＰＩ、
ネット接続や、ディスク記録コンテンツと再生装置の記憶部（ハードデイスクやフラッシュメモリなど）に格納されたコンテンツとのバインド処理による再生などの様々な処理、あるいは処理許可情報の出力をＡＡＣＳレイヤに対して実行させるＡＰＩ、
このような各種の処理に応じて設定されるＡＰＩを利用した処理依頼をＡＡＣＳレイヤ３０２に対して実行するが、アプリケーション制御部３５２によるＡＰＩ制御により、アプリケーションの様々な処理の実行を選択的に禁止することが可能となる。

なお、前述したように、ディスクに記録された識別子ではなく、再生装置のメモリに記録された再生装置対応の識別情報であるデバイスバインディングＩＤが利用される場合もあり、この場合もディスクに記録された識別子の利用と同様の処理態様として実行可能である。デバイスバインディングＩＤは、再生装置固有の識別情報として再生装置内のメモリに記録され、ディスク格納コンテンツの利用、後発データのサーバからの取得、再生装置のハードディスクなどの記憶部に格納された後発データの利用などに際して、例えば再生装置の確認処理としてのＩＤ確認や、鍵生成、コンテンツ復号などの処理に利用される。

このように、本発明の構成によれば、
ディスクに記録されるアプリケーションを提供するコンテンツオーナーの公開鍵を格納し、認証局の署名を設定したアプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）と、
ルート証明書を含むデータに対してコンテンツオーナーの署名を設定したルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）、
これらのデータをディスクに記録する構成とし、
アプリケーションを実行しようとする再生装置に、図６に示すフローに従ってアプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）の署名検証を行い、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）の正当性を確認させ、正当性の確認されたアプリケーション証明書からコンテンツオーナー公開鍵を取得して、取得したコンテンツオーナー公開鍵を適用して、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）の署名検証を行い、ルート証明書の正当性確認を行なわせる構成とし、これらの署名検証に失敗した場合は、アプリケーションの利用の禁止または制限を行なう構成とした。

この構成によりコンテンツオーナーの提供するアプリケーションが、第三者機関としての認証局の管理下に置かれることになり、不正なアプリケーションの蔓延、不正アプリケーションの使用による識別情報の不正取得や利用、あるいはコンテンツの不正利用を防止することが可能となる。

［証明書リボケーションリスト（ＣＲＬ）のタイムスタンプを適用した処理例］
次に、ディスクに記録されるアプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）の無効化情報を格納した証明書リボケーションリスト（ＣＲＬ）に、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）の失効日時、すなわち、ディスクに記録されるアプリケーションの提供主体であるコンテンツオーナーの無効化日時に対応する日時情報を記録し、さらに、図２に示すライセンス管理部（ＡＡＣＳ−ＬＡ）２３０の発行するコンテンツ証明書（Ｃｏｎｔｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅ）にもライセンス管理部（ＡＡＣＳ−ＬＡ）が署名を生成した日時情報を示すタイムスタンプを設定する構成とした例について説明する。

ディスク記録アプリケーションを実行しようとする再生装置は、
（ａ）コンテンツ証明書のタイムスタンプ、
（ｂ）証明書リボケーションリスト（ＣＲＬ）のタイムスタンプ、
これらの２つのタイムスタンプの比較を実行し、
コンテンツ証明書のタイムスタンプが、証明書リボケーションリスト（ＣＲＬ）のタイムスタンプ以降の日時データである場合に、ディスク記録アプリケーションの使用の禁止または制限を行なう。

コンテンツ証明書のタイムスタンプが、証明書リボケーションリスト（ＣＲＬ）のタイムスタンプより前の日時データである場合には、ディスク記録アプリケーションの使用の禁止または制限を行なわない。ただし、前述の署名検証、すなわち、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）と、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）の署名検証に失敗した場合は、ディスク記録アプリケーションの使用の禁止または制限を行なう。

本実施例において利用される証明書リボケーションリスト（ＣＲＬ）、コンテンツ証明書のデータ構成および再生装置における処理の概要について図８を参照して説明する。

図８にはディスク４００、再生装置３００を示している。ディスク４００には、コンテンツ証明書（Ｃｏｎｔｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅ）４０１と、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）４０２のみを示しているが、その他、図２を参照して説明したと同様のコンテンツや識別情報（ＩＤ）などのデータが記録されている。

コンテンツ証明書（Ｃｏｎｔｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅ）４０１は、先に図２を参照して説明したように、ディスクに記録されるコンテンツが正当なコンテンツ、すなわちライセンス管理部（ＡＡＣＳ ＬＡ）によって管理された正当コンテンツであることを証明するためのデータである。コンテンツ証明書４０１はディスク４００に記録されるコンテンツに対応してその正当性を証明するデータとしてライセンス管理部の管理下で発行されディスク４００に記録される。

先に図２を参照して説明した例では、コンテンツ証明書（Ｃｏｎｔｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅ）は、ルート証明書の構成データによって生成されたハッシュ値であるルート証明書ハッシュを記録し、記録ハッシュ値に対してライセンス管理部（ＡＡＣＳ ＬＡ）の秘密鍵による電子署名が付与された構成であったが、本実施例において利用するコンテンツ証明書４０１は、図８に示すように、さらにタイムスタンプを記録データとした構成を持つ。

このタイムスタンプは、ライセンス管理部（ＡＡＣＳ−ＬＡ）がコンテンツ証明書（Ｃｏｎｔｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅ）４０１に対する署名を生成した日時情報を示す。すなわち、コンテンツ証明書（Ｃｏｎｔｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅ）４０１の発行日時に相当する。署名は、コンテンツ証明書に含まれるルート証明書ハッシュとタイムスタンプを含むデータに対して実行される。従って、タイムスタンプの改竄を行なえば署名検証に失敗し、改竄がなされたことが発覚することになる。

一方、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）４０２は、図８には省略して示してあるが、先に、図４を参照して説明したと同様の構成であり、以下のデータ構成を持つ。
データ長：アプリケーション証明書の全体データのデータ長（４バイト）、
証明書バージョン：アプリケーション証明書のバージョン情報（４バイト）、
コンテンツオーナーＩＤ：ディスク記録アプリケーションを提供したコンテンツオーナーの識別子（４Ｂ）、
コンテンツオーナー公開鍵：ディスク記録アプリケーションを提供したコンテンツオーナーの公開鍵、
署名：認証局（ＢＤＡ−ＣＡ）の秘密鍵を適用して生成されたアプリケーション証明書に対する署名、
これらのデータを記録した証明書である。

再生装置３００は、ディスク記録アプリケーションを実行する前に、先に図６のフローを参照して説明したように、サーバまたはディスクから証明書リボケーションリスト（ＣＲＬ）３９１を取得して、証明書リボケーションリスト（ＣＲＬ）に、アプリケーション証明書に記録されたコンテンツオーナーＩＤが含まれるか否かを検証して、含まれている場合は、ディスク記録アプリケーションの使用の禁止または制限を行なう。

本実施例では、ディスクに記録されるアプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）４０２の無効化情報を格納した証明書リボケーションリスト（ＣＲＬ）３９１に、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）４０２の失効日時であり、アプリケーション証明書に記録されたコンテンツオーナーの無効化日時を示すタイムスタンプを設定した構成としている。すなわち証明書リボケーションリスト（ＣＲＬ）３９１は、ディスクに記録されるアプリケーションの提供主体であるコンテンツオーナーの無効化日時に対応する日時情報を示すタイムスタンプを設定した構成としている。

なお、証明書リボケーションリスト（ＣＲＬ）３９１は、逐次更新されるデータであり、先に図６のフローを参照して説明したように、再生装置は、ディスクまたはサーバからより新しい、証明書リボケーションリスト（ＣＲＬ）３９１を取得して、取得した証明書リボケーションリスト（ＣＲＬ）３９１を再生装置３００のメモリ（ＮＶＲＡＭ）３７１に格納して利用する。

再生装置３００のデータ検証部３５１は、図８に示すステップＳ２０１において、
（ａ）コンテンツ証明書のタイムスタンプ、
（ｂ）証明書リボケーションリスト（ＣＲＬ）のタイムスタンプ、
これらの２つのタイムスタンプの比較を実行する。
このタイムスタンプ比較処理において、
コンテンツ証明書のタイムスタンプが、証明書リボケーションリスト（ＣＲＬ）のタイムスタンプ以降の日時データである場合には、再生装置のアプリケーション制御部が、ディスク記録アプリケーションの使用の禁止または制限を行なう。

コンテンツ証明書のタイムスタンプが、証明書リボケーションリスト（ＣＲＬ）のタイムスタンプより前の日時データである場合には、ディスク記録アプリケーションの使用の禁止または制限を行なわない。ただし、前述の署名検証、すなわち、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）や、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）の署名検証に失敗した場合は、ディスク記録アプリケーションの使用の禁止または制限を行なう。

本実施例では、逐次更新される証明書リボケーションリスト（ＣＲＬ）のタイムスタンプによって、コンテンツオーナーの無効化、すなわちコンテンツオーナーの提供するディスク記録アプリケーションの無効化日時を確認し、この無効化日時以降のタイムスタンプを持つコンテンツ証明書が記録されたディスクのアプリケーションについては利用の禁止または制限を行ない、無効化日時以前のタイムスタンプを持つコンテンツ証明書が記録されたディスクのアプリケーションについては、アプリケーション証明書や、ルート証明書対応署名データの署名検証に成功した場合は、使用の禁止や制限を行なわない設定とした処理例である。

本実施例に対応する再生装置の処理シーケンスについて図９に示すフローチャートを参照して説明する。図９に示すフローチャートにおいて、ステップＳ１０１〜Ｓ１１３の処理は、図６を参照して説明した処理と同様のステップであり、本実施例では、ステップＳ３０１、ステップＳ３０２の処理が新たに追加される。

以下、各ステップの処理について説明する。なお、ステップＳ１０１〜Ｓ１１３の処理については図６を参照して説明した処理と同様のステップであり、簡略化して説明する。

ステップＳ１０１においてアプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）をディスクから読み取り、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）に設定された署名の検証を行なう。
ステップＳ１０２において、アプリケーション証明書の署名検証が成功したか否か、すなわち、署名検証によりアプリケーション証明書が改竄のない正当な証明書であることが確認されたか否かを判定する。

ステップＳ１０２において、アプリケーション証明書の署名検証が失敗、すなわち、アプリケーション証明書が改竄のない正当な証明書であることが確認されなかったと判定した場合は、ステップＳ１１２に進む。ステップＳ１１２では、ディスクに記録されたディスク記録アプリケーションの使用の禁止または制限を行なう。具体的には、例えば、
（１）ディスク記録アプリケーションの利用可能なＡＰＩを限定する。
（２）ネットワーク接続の禁止、
（３）ディスク記録コンテンツの再生禁止、
（４）ディスク記録コンテンツのコピー禁止、
（５）ディスク記録アプリケーションの利用禁止、
例えば上記（１）〜（５）のいずれかまたは組み合わせによるアプリケーションの利用制限処理を行なう。その後、ステップＳ１１３において、許容された範囲でのアプリケーションの利用処理を行なう。

一方、ステップＳ１０２において、アプリケーション証明書の署名検証が成功、すなわち、アプリケーション証明書が改竄のない正当な証明書であることが確認された場合は、ステップＳ１０３に進む。

ステップＳ１０３では、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）をディスクから読み取り、ステップＳ１０４において、アプリケーション証明書に格納されたコンテンツオーナー公開鍵を適用して、ルート証明書対応署名データの署名検証を行う。この署名検証に適用する鍵は、ステップＳ１０２において正当性の確認されたアプリケーション証明書に格納されたコンテンツオーナー公開鍵である。

ステップＳ１０５において、ルート証明書対応署名データの署名検証が成功せず、ルート証明書とルート証明書対応署名データが改竄のない正当なデータであることが確認されなかった場合は、ステップＳ１１２に進む。ステップＳ１１２では、ディスクに記録されたディスク記録アプリケーションの使用の禁止または制限を行なう。具体的には、前述したように、例えば、
（１）ディスク記録アプリケーションの利用可能なＡＰＩを限定する。
（２）ネットワーク接続の禁止、
（３）ディスク記録コンテンツの再生禁止、
（４）ディスク記録コンテンツのコピー禁止、
（５）ディスク記録アプリケーションの利用禁止、
例えば上記（１）〜（５）のいずれかまたは組み合わせによるアプリケーションの利用制限処理を行なう。その後、ステップＳ１１３において、許容された範囲でのアプリケーションの利用処理を行なう。

一方、ステップＳ１０５において、ルート証明書とルート証明書対応署名データが改竄のない正当なデータであることが確認された場合は、ステップＳ１０６に進む。ステップＳ１０６では、サーバまたはディスクから証明書リボケーションリスト（ＣＲＬ：Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｖｏｃａｔｉｏｎ Ｌｉｓｔ）を取得して取得した証明書リボケーションリスト（ＣＲＬ）の署名検証処理を行なう。

証明書リボケーションリスト（ＣＲＬ）は、発行済みの証明書中、既に無効化された証明書についての情報を格納したリストであり、本実施例では、ディスク記録アプリケーションを提供している無効化されたコンテンツオーナーＩＤと、コンテンツオーナーの無効化日時、すなわちコンテンツオーナーの提供するディスク記録アプリケーションの無効化日時を示すタイムスタンプが記録された構成を持つ。なお証明書リボケーションリスト（ＣＲＬ）にはバージョン情報が設定され、新旧の判別が可能な構成となっている。

証明書リボケーションリスト（ＣＲＬ）には、証明書発行主体の秘密鍵による署名が設定されており、証明書発行主体の公開鍵による署名検証により改竄検証が可能なデータ構成となっている。ステップＳ１０６では、証明書リボケーションリスト（ＣＲＬ）の署名検証を行なう。ステップＳ１０７において、証明書リボケーションリスト（ＣＲＬ）の署名に失敗した場合は、不正なＣＲＬである可能性があり、ステップＳ１０６に戻り、新たな証明書リボケーションリスト（ＣＲＬ）をサーバから取得して、取得した証明書リボケーションリスト（ＣＲＬ）について署名検証を行なう。

ステップＳ１０７において、証明書リボケーションリスト（ＣＲＬ）の署名に成功し、証明書リボケーションリスト（ＣＲＬ）の正当性が確認された場合、ステップＳ１０８に進む。

ステップＳ１０８では、再生装置のメモリに格納されている証明書リボケーションリスト（ＣＲＬ）のバージョンと、サーバまたはディスクから取得した署名検証を実行した証明書リボケーションリスト（ＣＲＬ）のバージョンを比較し、サーバまたはディスクから取得した署名検証を実行した証明書リボケーションリスト（ＣＲＬ）が、再生装置に格納されている証明書リボケーションリスト（ＣＲＬ）より新しいと判断された場合は、ステップＳ１０９において、サーバまたはディスクから取得し署名検証を実行した証明書リボケーションリスト（ＣＲＬ）を再生装置のメモリに格納する。

ステップＳ１１０では、アプリケーション証明書からコンテンツオーナーＩＤ読み取り、署名検証を実行した証明書リボケーションリスト（ＣＲＬ）の記録データと照合する。

ステップＳ１１１において、アプリケーション証明書に記録されたコンテンツオーナーＩＤがＣＲＬリストに記録されていないと判断された場合は、ステップＳ１１３に進み、許容された範囲でのアプリケーションの利用処理を行なう。この場合、基本的に制限のないアプリケーション利用処理が可能となる。すなわち、先に図３を参照して説明した識別情報の取得および利用処理などが制限無く実行することが可能となる。

一方、ステップＳ１１１において、アプリケーション証明書に記録されたコンテンツオーナーＩＤがＣＲＬリストに記録されていると判断された場合は、ステップＳ３０１に進む。

ステップＳ３０１では、先に図８を参照して説明したタイムスタンプ比較処理を実行する。すなわち、
（ａ）コンテンツ証明書のタイムスタンプ、
（ｂ）証明書リボケーションリスト（ＣＲＬ）のタイムスタンプ、
これらの２つのタイムスタンプの比較を実行する。

ステップＳ３０２で、コンテンツ証明書のタイムスタンプが、証明書リボケーションリスト（ＣＲＬ）のタイムスタンプ以降の日時データであることが確認された場合は、ディスクまたはディスクに記録されたアプリケーションは、コンテンツオーナーが無効化された後に製造されたディスクまたは記録されたアプリケーションであると判断し、ステップＳ１１２に進み、ディスクに記録されたディスク記録アプリケーションの使用の禁止または制限を行なう。具体的には、前述したように、例えば、
（１）ディスク記録アプリケーションの利用可能なＡＰＩを限定する。
（２）ネットワーク接続の禁止、
（３）ディスク記録コンテンツの再生禁止、
（４）ディスク記録コンテンツのコピー禁止、
（５）ディスク記録アプリケーションの利用禁止、
例えば上記（１）〜（５）のいずれかまたは組み合わせによるアプリケーションの利用制限処理を行なう。その後、ステップＳ１１３において、許容された範囲でのアプリケーションの利用処理を行なう。

一方、ステップＳ３０２において、コンテンツ証明書のタイムスタンプが、証明書リボケーションリスト（ＣＲＬ）のタイムスタンプより前の日時データであることが確認された場合は、ディスクまたはディスクに記録されたアプリケーションは、コンテンツオーナーが無効化される前に製造されたディスクまたはディスクに記録されたアプリケーションであると判断し、ディスク記録アプリケーションの使用の禁止または制限を行なうことなくステップＳ１１３に進み、アプリケーション利用を可能とする。

なお、先に図２を参照して説明したように、ディスク記録アプリケーション２２５には、コンテンツオーナーの署名が設定されており、コンテンツオーナーの公開鍵を適用した署名検証を行なって署名検証に成功、すなわち、ディスク記録アプリケーション２２５が改竄のない正当なアプリケーションデータであることを確認し、この確認がなされたことを条件としてアプリケーション利用を行なう。

このように、本実施例の構成では、再生装置３００のデータ検証部において、
（ａ）コンテンツ証明書のタイムスタンプ、
（ｂ）証明書リボケーションリスト（ＣＲＬ）のタイムスタンプ、
これらの２つのタイムスタンプの比較を実行し、コンテンツ証明書のタイムスタンプが、証明書リボケーションリスト（ＣＲＬ）のタイムスタンプ以降の日時データである場合には、再生装置のアプリケーション制御部が、ディスク記録アプリケーションの使用の禁止または制限を行ない、コンテンツ証明書のタイムスタンプが、証明書リボケーションリスト（ＣＲＬ）のタイムスタンプより前の日時データである場合には、前述の署名検証、すなわち、アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）や、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）の署名検証に成功している場合はディスク記録アプリケーションの使用の禁止または制限を行なわない構成とした。

この構成により、コンテンツオーナーが無効化される前のアプリケーションについてまで利用制限が行なわれてしまう弊害を排除することが可能となる。

以上、特定の実施例を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が実施例の修正や代用を成し得ることは自明である。すなわち、例示という形態で本発明を開示してきたのであり、限定的に解釈されるべきではない。本発明の要旨を判断するためには、特許請求の範囲の欄を参酌すべきである。

また、明細書中において説明した一連の処理はハードウェア、またはソフトウェア、あるいは両者の複合構成によって実行することが可能である。ソフトウェアによる処理を実行する場合は、処理シーケンスを記録したプログラムを、専用のハードウェアに組み込まれたコンピュータ内のメモリにインストールして実行させるか、あるいは、各種処理が実行可能な汎用コンピュータにプログラムをインストールして実行させることが可能である。例えば、プログラムは記録媒体に予め記録しておくことができる。記録媒体からコンピュータにインストールする他、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットといったネットワークを介してプログラムを受信し、内蔵するハードディスク等の記録媒体にインストールすることができる。

なお、明細書に記載された各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。また、本明細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限らない。

以上、説明したように、本発明の一実施例によれば、ディスクに記録されたアプリケーションプログラムの提供主体であるコンテンツオーナーの無効化情報を記録した証明書リボケーションリスト（ＣＲＬ）を参照して、アプリケーション証明書に記録されたコンテンツオーナー識別子が、証明書リボケーションリスト（ＣＲＬ）に含まれるか否かを検証し、含まれている場合に、コンテンツ証明書に格納されたタイムスタンプと、証明書リボケーションリスト（ＣＲＬ）のタイムスタンプの比較を実行して、コンテンツ証明書タイムスタンプが、ＣＲＬタイムスタンプ以降の日時データを有する場合、アプリケーション実行部におけるアプリケーションプログラムの利用処理を禁止または制限する構成とした。本構成により、無効化される前のアプリケーションは利用制限を行なわず、無効化された後のアプリケーションに対してのみ利用制限を行なう構成が実現される。

現状のＡＡＣＳ規定におけるコンテンツ利用制御構成の概要について説明する図である。 本発明の一実施例に係るアプリケーション利用制御を実現するための構成について説明する図である。 ディスクに記録された識別情報（ＩＤ）の読み取り処理例について説明する図である。 アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）と、ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）各々のデータ構成例について説明する図である。 アプリケーション証明書と、ルート証明書対応署名データの発行構成について説明する図である。 再生装置のデータ処理部において実行する処理シーケンスについて説明するフローチャートを示す図である。 アプリケーションの処理を制御する構成例について説明する図である。 タイムスタンプを持つコンテンツ証明書と証明書リボケーションリスト（ＣＲＬ）を利用した処理例について説明する図である。 再生装置のデータ処理部において実行する処理シーケンスについて説明するフローチャートを示す図である。

符号の説明

１１０ コンテンツオーナー
１２０ ディスク
１２１ コンテンツ
１２２ 識別情報（ＩＤ）
１２３ コンテンツ証明書
１２４ ルート証明書
１２５ ディスク記録アプリケーション
１２６ メディアＩＤ（ＰＭＳＮ）
１２７ ボリュームＩＤ
１２８ コンテンツ証明書ＩＤ
１３０ ライセンス管理部
２１０ コンテンツオーナー
２２０ ディスク
２２１ コンテンツ
２２２ 識別情報（ＩＤ）
２２３ コンテンツ証明書（Ｃｏｎｔｅｎｔ Ｃｅｒｔ）
２２４ ルート証明書（ＢＤ−Ｊ Ｒｏｏｔ Ｃｅｒｔ）
２２５ ディスク記録アプリケーション（ＢＤ−Ｊ ａｐｐｌｉｃａｔｉｏｎ）
２２６ メディアＩＤ（ＰＭＳＮ）
２２７ ボリュームＩＤ
２２８ コンテンツ証明書ＩＤ
２３０ ライセンス管理部
２４０ 認証局（ＢＤＡ−ＣＡ）
２５１ アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）
２５２ ルート証明書対応署名データ（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｓｉｇ）
３００ 再生装置
３０１ アプリケーション実行部（ＢＤ−Ｊ ＶＭ）
３０２ ＡＡＣＳレイヤ
３５１ データ検証部
３５２ アプリケーション制御部
３７１ メモリ
３９１ 証明書リボケーションリスト（ＣＲＬ）
４００ ディスク
４０１ コンテンツ証明書（Ｃｏｎｔｅｎｔ Ｃｅｒｔ）
４０２ アプリケーション証明書（ＡＡＣＳ Ｏｎ−ｌｉｎｅ Ｃｅｒｔ）

Claims (17)

1. ディスクに記録されたアプリケーションプログラムの利用制御を行なう情報処理装置であり、
   前記アプリケーションプログラムを利用した処理を実行するアプリケーション実行部と、
   前記アプリケーションプログラムの提供主体であるコンテンツオーナーの無効化情報を記録した証明書リボケーションリスト（ＣＲＬ）を参照して、前記アプリケーションプログラムの正当性を示す証明書としてディスクに記録されるアプリケーション証明書に記録されたコンテンツオーナー識別子が、前記証明書リボケーションリスト（ＣＲＬ）に含まれるか否かを検証し、含まれている場合には、
   前記ディスクの記録コンテンツの正当性を示す証明書としてディスクに記録されているコンテンツ証明書に格納されたコンテンツ証明書タイムスタンプと、前記証明書リボケーションリスト（ＣＲＬ）に格納されたＣＲＬタイムスタンプを取得して、両タイムスタンプの比較を行い、前記コンテンツ証明書タイムスタンプとＣＲＬタイムスタンプとの時間的な前後関係を検証するデータ検証部と、
   前記コンテンツ証明書タイムスタンプが、前記ＣＲＬタイムスタンプ以降の日時データを有する場合、前記アプリケーション実行部におけるアプリケーションプログラムの利用処理を禁止または制限するアプリケーション制御部と、
   を有することを特徴とする情報処理装置。
2. 前記コンテンツ証明書タイムスタンプは、コンテンツ証明書の発行主体による署名生成日時を示す日時情報であり、
   前記ＣＲＬタイムスタンプは、前記アプリケーション証明書の失効日時、すなわち前記アプリケーション証明書に記録されたコンテンツオーナーの無効化日時を示す日時情報であることを特徴とする請求項１に記載の情報処理装置。
3. 前記アプリケーション制御部は、
   前記アプリケーション実行部が、ディスクもしくは情報処理装置に記録された識別情報を取得する処理を禁止する処理を実行することを特徴とする請求項１に記載の情報処理装置。
4. 前記識別情報は、
   （ａ）ディスク固有の識別情報であるメディアＩＤ（ＰＭＳＮ）、
   （ｂ）ディスクのタイトル単位で設定されるボリュームＩＤ、
   （ｃ）ディスク記録コンテンツの正当性を示すコンテンツ証明書の識別情報としてのコンテンツ証明書ＩＤ、
   （ｄ）情報処理装置の識別情報であるデバイスバインディングＩＤ、
   上記（ａ）〜（ｄ）いずれかの識別情報であることを特徴とする請求項３に記載の情報処理装置。
5. 前記アプリケーション制御部は、
   前記アプリケーション実行部が、ディスクに記録されたコンテンツの再生またはコピーまたは外部出力する処理を禁止または制限する処理を実行することを特徴とする請求項１に記載の情報処理装置。
6. 前記アプリケーション制御部は、
   前記アプリケーション実行部が、ネットワークを介して外部サーバに接続する処理を禁止または制限する処理を実行することを特徴とする請求項１に記載の情報処理装置。
7. 前記アプリケーション制御部は、
   前記アプリケーション実行部が、ディスク記録データの読み取りまたは利用処理を行なうプログラム実行部に対するＡＰＩ呼び出し処理を禁止または制限する処理を実行することを特徴とする請求項１に記載の情報処理装置。
8. 前記データ検証部は、さらに、
   前記アプリケーション証明書をディスクから読み出して第１の署名検証を実行し、
   さらに、前記アプリケーションプログラムの正当性を示す証明書としてディスクに記録されたルート証明書を含むデータに対する署名を有するデータをディスクから読み出して第２の署名検証を実行し、
   前記アプリケーション制御部は、
   前記データ検証部における第１および第２の署名検証処理において、検証が失敗した場合に、前記アプリケーション実行部におけるアプリケーションプログラムの利用処理を禁止または制限することを特徴とする請求項１に記載の情報処理装置。
9. 情報処理装置において、ディスクに記録されたアプリケーションプログラムの利用制御を行なう情報処理方法であり、
   前記情報処理装置のデータ検証部が、前記アプリケーションプログラムの提供主体であるコンテンツオーナーの無効化情報を記録した証明書リボケーションリスト（ＣＲＬ）を参照して、前記アプリケーションプログラムの正当性を示す証明書としてディスクに記録されるアプリケーション証明書に記録されたコンテンツオーナー識別子が、前記証明書リボケーションリスト（ＣＲＬ）に含まれるか否かを検証し、含まれている場合には、
   前記ディスクの記録コンテンツの正当性を示す証明書としてディスクに記録されているコンテンツ証明書に格納されたコンテンツ証明書タイムスタンプと、前記証明書リボケーションリスト（ＣＲＬ）に格納されたＣＲＬタイムスタンプを取得して、両タイムスタンプの比較を行い、前記コンテンツ証明書タイムスタンプとＣＲＬタイムスタンプとの時間的な前後関係を検証するデータ検証ステップと、
   前記情報処理装置のアプリケーション制御部が、前記コンテンツ証明書タイムスタンプが、前記ＣＲＬタイムスタンプ以降の日時データを有する場合、前記アプリケーションプログラムの利用処理を禁止または制限するアプリケーション制御ステップと、
   を実行することを特徴とする情報処理方法。
10. 前記コンテンツ証明書タイムスタンプは、コンテンツ証明書の発行主体による署名生成日時を示す日時情報であり、
    前記ＣＲＬタイムスタンプは、前記アプリケーション証明書の失効日時、すなわち前記アプリケーション証明書に記録されたコンテンツオーナーの無効化日時を示す日時情報であることを特徴とする請求項９に記載の情報処理方法。
11. 前記アプリケーション制御ステップは、
    アプリケーション実行部が、ディスクもしくは情報処理装置に記録された識別情報を取得する処理を禁止する処理を実行することを特徴とする請求項９に記載の情報処理方法。
12. 前記識別情報は、
    （ａ）ディスク固有の識別情報であるメディアＩＤ（ＰＭＳＮ）、
    （ｂ）ディスクのタイトル単位で設定されるボリュームＩＤ、
    （ｃ）ディスク記録コンテンツの正当性を示すコンテンツ証明書の識別情報としてのコンテンツ証明書ＩＤ、
    （ｄ）情報処理装置の識別情報であるデバイスバインディングＩＤ、
    上記（ａ）〜（ｄ）いずれかの識別情報であることを特徴とする請求項１１に記載の情報処理方法。
13. 前記アプリケーション制御部は、
    アプリケーション実行部が、ディスクに記録されたコンテンツの再生またはコピーまたは外部出力する処理を禁止または制限する処理を実行することを特徴とする請求項９に記載の情報処理方法。
14. 前記アプリケーション制御ステップは、
    アプリケーション実行部が、ネットワークを介して外部サーバに接続する処理を禁止または制限する処理を実行することを特徴とする請求項９に記載の情報処理方法。
15. 前記アプリケーション制御ステップは、
    アプリケーション実行部が、ディスク記録データの読み取りまたは利用処理を行なうプログラム実行部に対するＡＰＩ呼び出し処理を禁止または制限する処理を実行することを特徴とする請求項９に記載の情報処理方法。
16. 前記データ検証ステップは、さらに、
    前記アプリケーション証明書をディスクから読み出して第１の署名検証を実行し、
    さらに、前記アプリケーションプログラムの正当性を示す証明書としてディスクに記録されたルート証明書を含むデータに対する署名を有するデータをディスクから読み出して第２の署名検証を実行するステップであり、
    前記アプリケーション制御ステップは、
    前記データ検証ステップにおける第１および第２の署名検証処理において、検証が失敗した場合に、前記アプリケーション実行部におけるアプリケーションプログラムの利用処理を禁止または制限するステップであることを特徴とする請求項９に記載の情報処理方法。
17. 情報処理装置において、ディスクに記録されたアプリケーションプログラムの利用制御を行なわせるプログラムであり、
    前記情報処理装置のデータ検証部に、前記アプリケーションプログラムの提供主体であるコンテンツオーナーの無効化情報を記録した証明書リボケーションリスト（ＣＲＬ）を参照して、前記アプリケーションプログラムの正当性を示す証明書としてディスクに記録されるアプリケーション証明書に記録されたコンテンツオーナー識別子が、前記証明書リボケーションリスト（ＣＲＬ）に含まれるか否かを検証させ、含まれている場合には、
    前記ディスクの記録コンテンツの正当性を示す証明書としてディスクに記録されているコンテンツ証明書に格納されたコンテンツ証明書タイムスタンプと、前記証明書リボケーションリスト（ＣＲＬ）に格納されたＣＲＬタイムスタンプを取得して、両タイムスタンプの比較を実行させるデータ検証ステップと、
    前記情報処理装置のアプリケーション制御部に、前記コンテンツ証明書タイムスタンプが、前記ＣＲＬタイムスタンプ以降の日時データを有する場合、前記アプリケーションプログラムの利用処理を禁止または制限させるアプリケーション制御ステップと、
    を実行させることを特徴とするプログラム。