JP5342680B2 - 受信装置 - Google Patents

Description

本発明は、限定受信方式において、コンテンツの不正な視聴を防止する受信装置に関する。

現在、デジタル放送における放送番組を放送事業者側（送信側）で暗号化し、限定した視聴者に対してのみ、その放送番組の視聴を可能にした、いわゆる限定受信方式（ＣＡＳ：Conditional Access System）においては、受信装置固有のセキュリティモジュール（ＣＡＳカード）を用いて、スクランブル（暗号化）された放送番組（デジタルコンテンツ、以下コンテンツという）をデスクランブル（復号）する受信装置が一般に使用されている（特許文献１参照、非特許文献１参照）。

このコンテンツは、デジタルデータであり、デジタルコピーがなされた場合、コピー後のコンテンツは、オリジナルのコンテンツと全く同じデータとなり、映像においては同じ画質となる。この場合、コンテンツが高品位な状態で不正コピーされる懸念が生じる。そこで、従来は、電波産業会によって規定されているＤＴＣＰ（Digital Contents Control Protocol）と呼ばれる著作権保護技術によって、放送局側でコンテンツに対して１回のみコピーを許可する「一世代コピー可」、全くコピーを許可しない「コピー不可」等といったコピー制御情報をコンテンツに付加し、受信装置側でＣＡＳカードを用いてコピー制御情報に応じてスクランブルの解除を行うことで、コピー制御を行っている。

また、従来、受信装置が外部にコンテンツを出力（コピー）する場合、コンテンツに対してＤＴＣＰによるコピー制御やスクランブルを行う仕組みとなっており、この仕組みを守っていると認定された機器に対してのみ、ＣＡＳカードが発行されていた。

特開２００７−０３６６２５号公報

「デジタル放送におけるアクセス制御方式（ＡＲＩＢ ＳＴＤ−Ｂ２５）」、４．１版、社団法人電波産業会、平成１５年６月５日改定

従来の限定受信方式において、ＣＡＳカードは、ＤＴＣＰによるコピー制御やスクランブルを行う仕組みを組み込んだ受信装置に対して発行することを前提としている。また、従来の限定受信方式において、ＣＡＳカードは対タンパ性を有するため、受信装置においてコンテンツを復号するための秘匿情報がＣＡＳカードにのみ書き込まれている。このため、他の受信装置に対して発行されたＣＡＳカードであっても、独立して別の受信装置で使用することができる。

このように、他の受信装置に対して発行されたＣＡＳカードを用いてコンテンツを復号することができると、ＤＴＣＰ等の仕組みを持たない受信装置が不正に製造された場合、その受信装置においてもコンテンツを復号することができることになる。このため、従来の限定受信方式では、ＤＴＣＰ等の仕組みを持たない受信装置によって、コピー回数の制限を無効化することが可能になり、コンテンツの著作権の保護を適切に行うことができないという問題がある。

本発明は、以上のような問題点に鑑みてなされたものであり、限定受信方式において、受信装置の正当性を確認することで、コンテンツの著作権の保護を行うことが可能な受信装置を提供することを目的とする。

本発明は、前記目的を達成するために創案されたものであり、まず、請求項１に記載の受信装置は、受信装置の予め定めたグループ単位ごとに固有の識別子を対応付けて、前記受信装置の正当性を認証するための情報であるグループ単位秘密情報を生成する秘密情報生成手段と、限定受信方式による受信制御を行う前記受信装置内のセキュリティモジュールに記憶されている鍵と同一の鍵により前記グループ単位秘密情報を暗号化することで、前記受信装置に登録するための暗号化グループ単位秘密情報を生成する秘密情報暗号化手段と、前記グループ単位秘密情報を更新した際に、前記識別子と前記グループ単位秘密情報と更新されたグループ単位秘密情報とを合成したグループ単位更新情報を生成する更新情報合成手段と、を備えた認証情報生成装置と、前記グループ単位更新情報にスクランブル鍵を付加した鍵情報を生成する鍵合成手段と、限定受信方式におけるワーク鍵により前記鍵情報を暗号化することで暗号化鍵情報を生成する鍵情報暗号化手段と、前記スクランブル鍵によりコンテンツを暗号化することで暗号化コンテンツを生成するコンテンツ暗号化手段と、を備えたコンテンツ配信装置と、前記暗号化コンテンツを受信して再生する受信装置と、を有するコンテンツ配信システムにおける前記受信装置であって、鍵情報送信手段と、秘密情報記憶手段と、秘密情報送信手段と、秘密情報認証応答手段と、鍵受信手段と、コンテンツ復号手段と、を備える構成とした。

かかる構成において、受信装置は、鍵情報送信手段によって、コンテンツ配信装置で生成された暗号化鍵情報をセキュリティモジュールに送信する。なお、この暗号化鍵情報は、セキュリティモジュール内で、当該受信装置の正当性を判定するために使用される。

また、受信装置は、予め秘密情報記憶手段に、認証情報生成装置で生成されたグループ単位秘密情報と暗号化グループ単位秘密情報とを識別子とともに記憶しておく。そして、受信装置は、秘密情報送信手段によって、秘密情報記憶手段に記憶されている更新情報を含んだ暗号化グループ単位秘密情報を識別子とともにセキュリティモジュールに送信する。なお、暗号化グループ単位秘密情報は、セキュリティモジュール内で、当該受信装置の正当性を判定するために使用される。

また、受信装置は、秘密情報認証応答手段によって、セキュリティモジュールから送信される認証用のチャレンジ情報に対して、秘密情報記憶手段に記憶されているグループ単位秘密情報を鍵としてレスポンス情報を生成し、セキュリティモジュールに送信する。これによって、セキュリティモジュールにおいて、グループ単位秘密情報を鍵として、チャレンジ（／レスポンス）認証方式による認証を行うことが可能になる。

そして、受信装置は、鍵受信手段によって、セキュリティモジュールから、暗号化グループ単位秘密情報とレスポンス情報とに基づいて認証された結果として出力されるスクランブル鍵を受信する。そして、受信装置は、コンテンツ復号手段によって、スクランブル鍵を用いて、暗号化コンテンツを復号する。これによって、正当性が認証された受信装置においてのみ、コンテンツを復号することができる。

また、請求項２に記載の受信装置は、受信装置の予め定めたグループ単位ごとに固有の識別子を対応付けて、前記受信装置の正当性を認証するための情報であって、前記受信装置に登録するための秘密情報であるグループ単位秘密情報を生成する秘密情報生成手段と、前記グループ単位秘密情報を更新した際に、前記識別子と前記グループ単位秘密情報と更新されたグループ単位秘密情報とを合成したグループ単位更新情報を生成する更新情報合成手段と、を備えた認証情報生成装置と、前記グループ単位更新情報にスクランブル鍵を付加した鍵情報を生成する鍵合成手段と、限定受信方式におけるワーク鍵により前記鍵情報を暗号化することで暗号化鍵情報を生成する鍵情報暗号化手段と、前記スクランブル鍵によりコンテンツを暗号化することで暗号化コンテンツを生成するコンテンツ暗号化手段と、を備えたコンテンツ配信装置と、前記暗号化コンテンツを受信して再生する受信装置と、を有するコンテンツ配信システムにおける前記受信装置であって、鍵情報送信手段と、秘密情報記憶手段と、秘密情報認証応答手段と、鍵受信手段と、コンテンツ復号手段と、を備える構成とした。

かかる構成において、受信装置は、鍵情報送信手段によって、コンテンツ配信装置で生成された暗号化鍵情報をセキュリティモジュールに送信する。なお、この暗号化鍵情報は、セキュリティモジュール内で、当該受信装置の正当性を判定するために使用される。

また、受信装置は、予め秘密情報記憶手段に、認証情報生成装置で生成されたグループ単位秘密情報を識別子とともに記憶しておく。そして、受信装置は、秘密情報認証応答手段によって、セキュリティモジュールから送信される認証用のチャレンジ情報に対して、秘密情報記憶手段に記憶されているグループ単位秘密情報を鍵としてレスポンス情報を生成し、セキュリティモジュールに送信する。これによって、セキュリティモジュールにおいて、グループ単位秘密情報を鍵として、チャレンジ認証方式による認証を行うことが可能になる。

そして、受信装置は、鍵受信手段によって、セキュリティモジュールから、レスポンス情報に基づいて認証された結果として出力されるスクランブル鍵を受信する。そして、受信装置は、コンテンツ復号手段によって、スクランブル鍵を用いて、暗号化コンテンツを復号する。これによって、正当性が認証された受信装置においてのみ、コンテンツを復号することができる。

本発明は、以下に示す優れた効果を奏するものである。
従来、ＣＡＳカード（セキュリティモジュール）にのみ、コンテンツを復号するための秘匿情報を保持していたものを、本発明では、受信装置とセキュリティモジュールとの両方に秘匿情報となるグループ単位秘密情報を保持している。このため、本発明によれば、セキュリティモジュールが、受信装置との間で、グループ単位秘密情報により認証を行うことができる。これによって、不正に受信装置の秘匿情報（グループ単位秘密情報）が漏洩した場合であっても、どのグループ（例えば、機種、メーカ）の受信装置の情報が漏洩したのかを調査することが可能になる。

さらに、本発明によれば、グループ単位秘密情報が漏洩した場合であっても、当該グループ単位秘密情報を更新することで、漏洩したグループ単位秘密情報を有する受信装置のコンテンツの利用を無効化することができる。これによって、本発明は、グループ単位秘密情報の漏洩による被害を防止することができる。

本発明の第１実施形態に係るコンテンツ配信システムの構成を示すブロック図である。 本発明の第１実施形態に係る認証情報生成サーバの構成を示すブロック図である。 本発明の実施形態に係るコンテンツ配信サーバの構成を示すブロック図である。 本発明の第１実施形態に係る受信装置の構成を示すブロック図である。 本発明の第１実施形態に係るセキュリティモジュールの構成を示すブロック図である。 本発明の第１実施形態に係る認証情報生成サーバにおけるメーカ秘密情報の生成動作を示すフローチャートである。 本発明の第１実施形態に係る利用者端末（受信装置およびセキュリティモジュール）における受信装置のメーカ秘密情報を用いた認証動作を示すフローチャートである。 本発明の第１実施形態に係る利用者端末（受信装置およびセキュリティモジュール）における受信装置のメーカ秘密情報の更新認証動作を示すフローチャートである。 本発明の第１実施形態におけるメーカ秘密情報が漏洩した際の受信装置の利用停止動作を示すフローチャートである。 本発明の第１実施形態におけるリボーク動作後に再度受信装置の利用を再開させる動作を示すフローチャートである。 不正受信装置特定システムの全体構成を示すブロック図である。 不正受信装置特定システムを構成するテストモジュールおよびメーカ特定装置の具体的な構成を示すブロック図である。 本発明の第２実施形態に係るコンテンツ配信システムの構成を示すブロック図である。 本発明の第２実施形態における認証情報生成サーバの構成を示すブロック図である。 本発明の第２実施形態に係る受信装置の構成を示すブロック図である。 本発明の第２実施形態に係るセキュリティモジュールの構成を示すブロック図である。 本発明の第２実施形態の認証情報生成サーバにおけるメーカ秘密情報の生成動作を示すフローチャートである。 本発明の第２実施形態に係る利用者端末（受信装置およびセキュリティモジュール）における受信装置のメーカ秘密情報を用いた認証動作を示すフローチャートである。 本発明の第２実施形態に係る利用者端末（受信装置およびセキュリティモジュール）における受信装置のメーカ秘密情報の更新認証動作を示すフローチャートである。 本発明の第２実施形態におけるメーカ秘密情報が漏洩した際の受信装置の利用停止動作を示すフローチャートである。

以下、本発明の実施の形態について図面を参照して説明する。
≪第１実施形態≫
［コンテンツ配信システムの構成］
まず、図１を参照して、本発明の第１実施形態に係るコンテンツ配信システムの構成について説明する。図１は、本発明の第１実施形態に係るコンテンツ配信システムの構成を示すブロック図である。

このコンテンツ配信システム１は、限定受信方式によりコンテンツの配信を行うシステムであって、受信装置６０の正当性を認証することで、受信装置６０におけるコンテンツの利用（再生、コピー等）を可能とするものである。ここでは、コンテンツ配信システム１は、コンテンツの配信者（以下、プロバイダという）側にイントラネットＮで接続された認証情報生成サーバ１０と、コンテンツ配信サーバ２０と、コンテンツサーバ３０と、送信装置４０とを備え、放送波Ｗを介して、コンテンツの利用者側の端末である利用者端末５０にコンテンツを配信するシステムである。

また、利用者端末５０は、受信装置６０と、受信装置６０に挿入して使用するセキュリティモジュール７０とを備えている。ここでは、利用者端末５０を１つだけ図示しているが、通常、利用者端末５０は、一般家庭に配置されるもので、複数存在するものである。

なお、コンテンツ配信システム１は、これらの構成以外にも、限定受信方式を実現するための構成、例えば、コンテンツの暗号化、復号等を行うための鍵（スクランブル鍵、ワーク鍵等）を生成する鍵生成サーバ、コンテンツの視聴を契約した利用者の契約情報を生成する契約情報生成サーバ等を備えるが、これらの構成は限定受信方式において一般的なものであるため、図示および説明を省略する。

認証情報生成サーバ（認証情報生成装置）１０は、利用者端末５０の受信装置６０を予め定めたグループ単位ごとに認証するための情報として、受信装置６０に対応した秘密情報（グループ単位秘密情報）を生成するものである。また、生成された秘密情報は、受信装置６０の製造者（以下、メーカという）において、予め受信装置６０内部に記憶される。

なお、このグループ単位秘密情報は、受信装置６０を識別するあるグループ単位で生成される情報である。例えば、このグループ単位秘密情報は、受信装置６０の機種ごとの情報として生成してもよいし、受信装置６０を生成するメーカごとの情報として生成してもよい。本実施の形態においては、グループ単位秘密情報は、受信装置６０のメーカごとに生成される情報（メーカ秘密情報）として説明する。

コンテンツ配信サーバ（コンテンツ配信装置）２０は、コンテンツを暗号化して、利用者端末５０に配信するものである。なお、ここでは、コンテンツ配信サーバ２０は、暗号化したコンテンツを、イントラネットＮを介して送信装置４０に送信することとする。また、ここでは、コンテンツ配信サーバ２０は、配信すべきコンテンツが指示された際に、コンテンツサーバ３０から、指示されたコンテンツを取得することとする。

さらに、コンテンツ配信サーバ２０は、認証情報生成サーバ１０から、受信装置６０の機種固有の秘密情報（メーカ秘密情報）が更新された旨が通知された場合は、その更新された秘密情報を、暗号化されたコンテンツとともに利用者端末５０に配信する。

コンテンツサーバ３０は、複数のコンテンツを蓄積し、要求のあったコンテンツを、イントラネットＮを介して送信するサーバである。このコンテンツサーバ３０は、例えば、放送用ＶＴＲ機器であって、放送番組として配信するコンテンツをコンテンツ配信サーバ２０に送信する。

送信装置４０は、コンテンツ配信サーバ２０から送信されたコンテンツ（更新された秘密情報を含む）を、放送波Ｗを介して送信するものである。ここでは、送信装置４０は、コンテンツ配信サーバ２０から送信されたコンテンツを、放送番組の編成に合わせて順次編成し、デジタル放送の放送波Ｗとして送信する。また、ここでは、送信装置４０を、放送波Ｗによってコンテンツを送信するものとしたが、ＩＰネットワーク等の通信回線を介して、利用者端末５０から要求のあったコンテンツを送信するものとしてもよい。

利用者端末５０は、コンテンツを利用する利用者側の端末であって、受信装置６０と、セキュリティモジュール７０とで構成される。

受信装置６０は、放送波Ｗを介して配信されたコンテンツを受信して、当該コンテンツを利用（再生、コピー等）するものである。この受信装置６０は、受信装置６０に対して発行されたセキュリティモジュール７０を内部に挿入されることで、契約によって視聴等が可能なコンテンツの限定受信を行う。なお、受信装置６０には、機種を識別する秘密情報（メーカ秘密情報）が登録されている。

セキュリティモジュール（ＣＡＳカード）７０は、受信装置６０との間で、受信装置６０に予め登録されているメーカ秘密情報により認証を行い、その認証結果に基づいて、暗号化されたコンテンツを復号するための鍵（スクランブル鍵）を受信装置６０に出力するものである。このセキュリティモジュール７０は、対タンパ性を有するＩＣカードであって、受信装置６０に対して着脱可能なものである。

このように、利用者端末５０は、受信装置６０とセキュリティモジュール７０との間で、認証を行うことで、不正な受信装置でのコンテンツの利用を防止する。
以下、本発明の特徴となる構成であるプロバイダ側の装置である認証情報生成サーバ１０およびコンテンツ配信サーバ２０の各構成、利用者側の装置である利用者端末５０（受信装置６０およびセキュリティモジュール７０）の構成について順次説明を行う。

（認証情報生成サーバの構成）
まず、図２を参照（適宜図１参照）して、認証情報生成サーバの構成について説明する。図２は、本発明の第１実施形態に係る認証情報生成サーバの構成を示すブロック図である。ここでは、認証情報生成サーバ１０は、秘密・更新情報生成手段１１と、デバイス鍵生成手段１２と、認証用情報記憶手段１３と、更新情報合成手段１４と、更新情報送信手段１５と、秘密情報暗号化手段１６と、秘密情報出力手段１７と、デバイス鍵出力手段１８と、を備えている。

秘密・更新情報生成手段１１は、利用者端末５０の受信装置６０の正当性を認証するための情報であるメーカ秘密情報（グループ単位秘密情報）やその更新情報を生成するものである。ここでは、秘密・更新情報生成手段１１は、識別子受信手段１１１と、秘密情報生成手段１１２と、リボークフラグ受信手段１１３と、を備えている。

識別子受信手段１１１は、図示していないキーボード等の入力手段により、受信装置６０のメーカ（グループ）を識別するための識別子であるメーカ識別子（ｍｉｄ）を受信するものである。この受信されたメーカ識別子は、秘密情報生成手段１１２に出力されるとともに、認証用情報記憶手段１３に書き込まれ、記憶される。

秘密情報生成手段１１２は、セキュリティモジュール７０に登録されてメーカを識別するための情報となるメーカ秘密情報（Ｓｍｉｄ；グループ単位秘密情報）を、メーカ識別子に対応付けて生成するものである。なお、ここでは、メーカ秘密情報を生成した順番を特定する場合、メーカ秘密情報Ｓｍｉｄに、順番を示す番号ｉを付加し、Ｓｍｉｄ_ｉと表記することとする。このメーカ秘密情報は、メーカを識別する情報であれば、数値、文字列等、その形態は構わない。例えば、秘密情報生成手段１１２は、乱数によりランダムにメーカ秘密情報を生成する。この生成されたメーカ秘密情報は、認証用情報記憶手段１３に書き込まれ、記憶される。

リボークフラグ受信手段１１３は、図示していないキーボード等の入力手段により、メーカ識別子と、当該メーカ識別子に対応する受信装置６０の動作を停止（失効）させるか否かの指示を示すリボークフラグ（ｒ＿ｍｉｄ）を受信するものである。このリボークフラグは、メーカ秘密情報が漏洩し、不正な受信装置が製造された際に、漏洩したメーカ秘密情報を無効にすることを示すフラグである。例えば、リコール期間として、あるメーカのメーカ秘密情報を失効させたい場合、リボークフラグを値“１”とし、リコール期間が終了し、失効を解除させたい場合、リボークフラグを値“０”とする。このリボークフラグ受信手段１１３で受信されたリボークフラグは、メーカ識別子に対応付けられて認証用情報記憶手段１３に書き込まれ、記憶される。

デバイス鍵生成手段１２は、セキュリティモジュール７０において、暗号化されたメーカ秘密情報を復号するための鍵であるデバイス鍵（Ｋｄ）を生成するものである。このデバイス鍵は、共通暗号化方式の鍵生成アルゴリズムにより生成された鍵であればよく、例えば、デバイス鍵生成手段１２は、ＤＥＳ（Data Encryption Standard）、ＡＥＳ（Advanced Encryption Standard）等のアルゴリズムによりデバイス鍵を生成する。この生成されたデバイス鍵は、認証用情報記憶手段１３に書き込まれ、記憶される。

なお、生成されたデバイス鍵は、すべてのセキュリティモジュール７０に共通に登録されるものであって、セキュリティモジュール７０のメーカにおいて、製造段階に予めセキュリティモジュール７０に書き込まれる。

認証用情報記憶手段１３は、受信装置６０を認証するための認証情報を記憶するものであって、ハードディスク等の一般的な記憶装置である。なお、ここでは、認証用情報記憶手段１３には、認証用情報として、メーカ識別子と、当該メーカ識別子に対応付けられたメーカ秘密情報およびリボークフラグとを記憶し、さらに、デバイス鍵を記憶しておく。

更新情報合成手段１４は、認証用情報記憶手段１３に記憶されている認証用情報を、放送波を介して受信装置６０に配信するための情報（メーカ更新情報；グループ単位更新情報）として合成するものである。ここでは、更新情報合成手段１４は、認証用情報記憶手段１３に記憶されているリボークフラグを参照し、メーカ識別子（ｍｉｄ）およびメーカ秘密情報（Ｓｍｉｄ）を読み出し合成することでメーカ更新情報を生成する。なお、更新情報合成手段１４は、リボークフラグが“０”の場合、メーカ識別子と１つのメーカ秘密情報Ｓｍｉｄ_ｉとを合成することで、メーカ更新情報（Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ））を生成する。また、更新情報合成手段１４は、リボークフラグが“１”の場合、メーカ識別子と、旧メーカ識別情報Ｓｍｉｄ_ｉ−１および新メーカ識別情報Ｓｍｉｄ_ｉとを合成することで、メーカ更新情報（Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））を生成する。なお、メーカ更新情報（Ｍｕｐ）は、更新が必要となったメーカ（機種）ごと、すなわち、メーカ識別子ごとに複数（Ｍｕｐ_０〜Ｍｕｐ_ｎ）生成されることになる。この生成されたメーカ更新情報は、更新情報送信手段１５に出力される。

更新情報送信手段１５は、更新情報合成手段１４で生成されたメーカ更新情報（Ｍｕｐ）を、コンテンツ配信サーバ２０に送信するものである。このコンテンツ配信サーバ２０に送信されたメーカ更新情報は、放送波Ｗを介して受信装置６０に送信されることになる。

秘密情報暗号化手段１６は、認証用情報記憶手段１３に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｉ）を、メーカ識別子（ｍｉｄ）ごとに、デバイス鍵（Ｋｄ）で暗号化するものである。すなわち、秘密情報暗号化手段１６は、メーカ識別子（ｍｉｄ）に対応する暗号化メーカ秘密情報（ＥＳｍｉｄ_ｉ；暗号化グループ単位秘密情報）を、ＥＳｍｉｄ_ｉ＝ＥＮＣ（Ｓｍｉｄ_ｉ，Ｋｄ）（ただし、ＥＮＣ（ａ，ｂ）はデータａを鍵ｂにより暗号化することを示す）により演算し生成する。この生成された暗号化メーカ秘密情報（ＥＳｍｉｄ_ｉ）と、その元となるメーカ秘密情報（Ｓｍｉｄ_ｉ）とは、メーカ識別子（ｍｉｄ）に対応付けられて秘密情報出力手段１７に出力される。なお、ここでは、暗号化メーカ秘密情報を生成した順番を特定する場合、暗号化メーカ秘密情報ＥＳｍｉｄに、メーカ秘密情報Ｓｍｉｄと対応付けた順番を示す番号ｉを付加し、ＥＳｍｉｄ_ｉと表記することとする。

秘密情報出力手段１７は、秘密情報暗号化手段１６で暗号化された暗号化メーカ秘密情報（ＥＳｍｉｄ_ｉ）と、メーカ秘密情報（Ｓｍｉｄ_ｉ）とを、メーカ識別子（ｍｉｄ）ごとに出力するものである。なお、この暗号化メーカ秘密情報（ＥＳｍｉｄ_ｉ）と、メーカ秘密情報（Ｓｍｉｄ_ｉ）とは、メーカ識別子（ｍｉｄ）に対応するメーカごとに、メーカが製造する受信装置６０内部に予め登録される。

デバイス鍵出力手段１８は、認証用情報記憶手段１３に記憶されているデバイス鍵（Ｋｄ）を読み出して出力するものである。なお、このデバイス鍵（Ｋｄ）は、セキュリティモジュール７０のメーカ（配布会社、製造会社）によって、予めセキュリティモジュール７０に登録される。

このように認証情報生成サーバ１０を構成することで、認証情報生成サーバ１０は、メーカ（機種）ごとに異なるメーカ秘密情報を生成することができる。これによって、予め受信装置６０に登録されたメーカ秘密情報と、コンテンツ配信サーバ２０を経由して受信装置６０に配信されたメーカ秘密情報との間で認証を行うことが可能になる。

（コンテンツ配信サーバの構成）
次に、図３を参照（適宜図１参照）して、コンテンツ配信サーバの構成について説明する。図３は、本発明の実施形態に係るコンテンツ配信サーバの構成を示すブロック図である。ここでは、コンテンツ配信サーバ２０は、コンテンツ暗号化手段２１と、更新情報受信手段２２と、鍵合成手段２３と、鍵情報暗号化手段２４と、公開情報合成手段２５と、公開情報送信手段２６と、を備えている。

コンテンツ暗号化手段２１は、コンテンツサーバ（放送用ＶＴＲ機器等）３０からコンテンツを入力し、図示を省略した鍵生成サーバ等で生成されたスクランブル鍵Ｋｓを用いて暗号化するものである。この暗号化されたコンテンツ（暗号化コンテンツ）は、公開情報合成手段２５に出力される。

更新情報受信手段２２は、認証情報生成サーバ１０から送信されたメーカ更新情報（Ｍｕｐ）を受信するものである。この受信されたメーカ更新情報は、鍵合成手段２３に出力される。

鍵合成手段２３は、更新情報受信手段２２で受信されたメーカ更新情報（Ｍｕｐ）に、スクランブル鍵（Ｋｓ）を付加（合成）した鍵情報を生成するものである。例えば、更新情報受信手段２２で受信されたメーカ更新情報Ｍｕｐが、更新が必要な数だけ複数（Ｍｕｐ_０〜Ｍｕｐ_ｎ）存在していた場合、鍵合成手段２３は、スクランブル鍵（Ｋｓ）と、複数のメーカ更新情報（Ｍｕｐ_０〜Ｍｕｐ_ｎ）とを、（Ｋｓ‖Ｍｕｐ_０‖…‖Ｍｕｐ_ｎ）（ただし、“‖”は連結を示す）のように直列につなぎ合わせることで、鍵情報を生成する。この生成された鍵情報は、鍵情報暗号化手段２４に出力される。

鍵情報暗号化手段２４は、鍵合成手段２３で生成された鍵情報を、図示を省略した鍵生成サーバ等で生成されたワーク鍵Ｋｗを用いて暗号化するものである。この暗号化された鍵情報（暗号化鍵情報）は、公開情報合成手段２５に出力される。

公開情報合成手段２５は、コンテンツ暗号化手段２１で暗号化されたコンテンツ（暗号化コンテンツ）に、鍵情報暗号化手段２４で暗号化された鍵情報（暗号化鍵情報）を連結、多重化等によって付加（合成）した公開情報を生成するものである。この公開情報合成手段２５で生成された公開情報は、公開情報送信手段２６に出力される。

公開情報送信手段２６は、公開情報合成手段２５で生成された公開情報を利用者端末５０に送信するものである。この公開情報送信手段２６から出力される公開情報は、送信装置４０を介して放送波Ｗにより、利用者端末５０に配信される。
このようにコンテンツ配信サーバ２０を構成することで、コンテンツ配信サーバ２０は、メーカ秘密情報が更新された場合に、その更新情報となるメーカ更新情報（Ｍｕｐ）をコンテンツとともに利用者端末５０に配信することができる。

（利用者端末の構成）
次に、図４および図５を参照して、利用者端末の構成について説明する。なお、以下では、利用者端末を構成する受信装置と、その内部に装着されるセキュリティモジュールとに分けて説明する。

〔利用者端末における受信装置の構成〕
まず、図４を参照（適宜図１参照）して、利用者端末５０における受信装置６０の構成について説明する。図４は、本発明の第１実施形態に係る受信装置の構成を示すブロック図である。ここでは、受信装置６０は、公開情報受信手段６１と、公開情報分離手段６２と、鍵受信手段６３と、コンテンツ復号手段６４と、鍵情報送信手段６５と、メーカ秘密情報記憶手段６６と、メーカ情報送信手段６７と、秘密情報認証応答手段６８と、を備えている。

公開情報受信手段６１は、放送波Ｗを介して配信された公開情報を受信するものである。この受信された公開情報は、公開情報分離手段６２に出力される

公開情報分離手段６２は、公開情報受信手段６１で受信された公開情報から、暗号化コンテンツと、暗号化鍵情報とを分離するものである。この分離された暗号化コンテンツは、コンテンツ復号手段６４に出力され、分離された暗号化鍵情報は、鍵情報送信手段６５に出力される。

鍵受信手段６３は、セキュリティモジュール７０から送信されたスクランブル鍵（Ｋｓ）を受信するものである。この受信されたスクランブル鍵は、コンテンツ復号手段６４に出力される。

コンテンツ復号手段６４は、公開情報分離手段６２で分離された暗号化コンテンツを、鍵受信手段６３で受信されたスクランブル鍵で復号するものである。この復号されたコンテンツは、図示を省略した表示装置等に出力される。なお、セキュリティモジュール７０から、スクランブル鍵が送信されなかった場合、コンテンツ復号手段６４は、暗号化コンテンツの復号が行えず、その旨を表示装置等に出力する。

鍵情報送信手段６５は、公開情報分離手段６２で分離された暗号化鍵情報をセキュリティモジュール７０に送信するものである。

メーカ秘密情報記憶手段（秘密情報記憶手段）６６は、認証情報生成サーバ１０で生成されたメーカ秘密情報（Ｓｍｉｄ；グループ単位秘密情報）および暗号化メーカ秘密情報（ＥＳｍｉｄ；暗号化グループ単位秘密情報）をメーカ識別子（ｍｉｄ）とともに予め記憶したものであって、ハードディスク等の一般的な記憶装置である。なお、このメーカ秘密情報記憶手段６６に記憶されているメーカ秘密情報および暗号化メーカ秘密情報ＥＳｍｉｄは、認証情報生成サーバ１０において、いつ生成されたものであるのかがわからないため、生成された順番を特定する場合、順番を示す番号ｊを付加し、Ｓｍｉｄ_ｊおよびＥＳｍｉｄ_ｊと表記することとする。

メーカ情報送信手段（秘密情報送信手段）６７は、メーカ秘密情報記憶手段６６に記憶されているメーカ識別子と暗号化メーカ秘密情報とを、メーカ情報としてセキュリティモジュール７０に送信するものである。すなわち、メーカ情報送信手段６７は、メーカ秘密情報記憶手段６６に記憶されているメーカ識別子（ｍｉｄ）と、暗号化メーカ秘密情報（ＥＳｍｉｄ_ｊ）とから構成されるメーカ情報（Ｉｍｉｄ＝（ｍｉｄ，ＥＳｍｉｄ_ｊ））をセキュリティモジュール７０に送信する。このメーカ情報をセキュリティモジュール７０に送信することで、セキュリティモジュール７０において、受信装置６０において正しく更新されたメーカ秘密情報が記憶されているかが確認されることになる。

秘密情報認証応答手段６８は、セキュリティモジュール７０との間で認証を行うものであって、セキュリティモジュール７０からの認証の要求に対し応答を行うものである。ここでは、秘密情報認証応答手段６８は、認証チャレンジ受信手段６８１、認証レスポンス生成手段６８２、認証レスポンス送信手段６８３と、を備えている。

認証チャレンジ受信手段６８１は、セキュリティモジュール７０から送信されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）を受信するものである。このメーカ認証チャレンジ情報は、セキュリティモジュール７０内部で生成される情報である。この受信されたメーカ認証チャレンジ情報は、認証レスポンス生成手段６８２に出力される。

認証レスポンス生成手段６８２は、認証チャレンジ受信手段６８１で受信されたメーカ認証チャレンジ情報に対する応答であるメーカ認証レスポンス情報を、メーカ秘密情報記憶手段６６に記憶されているメーカ秘密情報を用いて生成するものである。

なお、メーカ認証レスポンス情報の生成は、セキュリティモジュール７０（認証レスポンス判定手段７５４（図５））と同一の手法であればよい。例えば、認証レスポンス生成手段６８２は、メーカ認証チャレンジ情報（ＣＨｍｉｄ）と、メーカ秘密情報（Ｓｍｉｄ_ｊ）と、セキュリティモジュール７０で使用するものと同一のハッシュ関数Ｈａｓｈ（）とにより、メーカ認証レスポンス情報（ＥＣＨｍｉｄ）を、ＥＣＨｍｉｄ＝Ｈａｓｈ（ＣＨｍｉｄ，Ｓｍｉｄ_ｊ）として生成する。

また、例えば、認証レスポンス生成手段６８２は、共通鍵暗号方式により、メーカ秘密情報（Ｓｍｉｄ_ｊ）を暗号化鍵とし、メーカ認証チャレンジ情報（ＣＨｍｉｄ）を暗号化することで、メーカ認証レスポンス情報（ＥＣＨｍｉｄ）を、ＥＣＨｍｉｄ＝ＥＮＣ（ＣＨｍｉｄ，Ｓｍｉｄ_ｊ）（ただし、ＥＮＣ（ａ，ｂ）はデータａを鍵ｂにより暗号化することを示す）として生成してもよい。
この認証レスポンス生成手段６８２で生成されたメーカ認証レスポンス情報は、認証レスポンス送信手段６８３に出力される。

認証レスポンス送信手段６８３は、認証レスポンス生成手段６８２で生成されたメーカ認証レスポンス情報を、セキュリティモジュール７０に送信するものである。
このように受信装置６０を構成することで、受信装置６０は、メーカ秘密情報を用いて、セキュリティモジュール７０との間で、認証を行うことが可能になる。

〔利用者端末におけるセキュリティモジュールの構成〕
次に、図５を参照（適宜図１参照）して、利用者端末５０におけるセキュリティモジュール７０の構成について説明する。図５は、本発明の第１実施形態に係るセキュリティモジュールの構成を示すブロック図である。ここでは、セキュリティモジュール７０は、鍵・更新情報抽出手段７１と、更新情報確認手段７２と、デバイス鍵記憶手段７３と、メーカ情報記憶手段７４と、秘密情報認証確認手段７５と、鍵送信制御手段７６と、を備えている。

鍵・更新情報抽出手段７１は、受信装置６０から送信された暗号化鍵情報から、暗号化コンテンツを復号するスクランブル鍵（Ｋｓ）と、メーカ更新情報（Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ）、または、Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））とを分離抽出するものである。ここでは、鍵・更新情報抽出手段７１は、鍵情報受信手段７１１と、鍵情報復号手段７１２と、鍵情報分離手段７１３と、を備えている。

鍵情報受信手段７１１は、受信装置６０から送信された暗号化鍵情報を受信するものである。この受信された暗号化鍵情報は、鍵情報復号手段７１２に出力される。なお、この暗号化鍵情報は、放送波Ｗを介して配信されて、受信装置６０が受信した情報である。

鍵情報復号手段７１２は、鍵情報受信手段７１１で受信された暗号化鍵情報を、ワーク鍵（Ｋｗ）で復号するものである。この暗号化鍵情報を復号することで得られた鍵情報は、鍵情報分離手段７１３に出力される。なお、暗号化鍵情報を復号するワーク鍵（Ｋｗ）は、従来の限定受信方式で使用されているワーク鍵と同様のものであって、図示を省略した半導体メモリ等に記憶されているものとする。

鍵情報分離手段７１３は、鍵情報復号手段７１２で復号された鍵情報を個々の情報に分離するものである。ここでは、鍵情報分離手段７１３は、鍵情報を、スクランブル鍵（Ｋｓ）と、メーカ更新情報（Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ）、または、Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））とに分離する。なお、鍵情報分離手段７１３は、メーカ情報記憶手段７４に記憶されているメーカ識別子（ｍｉｄ）と同一のメーカ識別子を有するメーカ更新情報のみを分離抽出するものとする。さらに、鍵情報分離手段７１３は、その分離されたメーカ更新情報Ｍｕｐを、メーカ識別子ｍｉｄと、メーカ秘密情報（Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））とに分離する。分離されたスクランブル鍵（Ｋｓ）は、鍵送信制御手段７６に出力される。また、分離されたメーカ秘密情報（第１グループ単位秘密情報：Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））は、更新情報確認手段７２に出力される。また、分離されたメーカ識別子（ｍｉｄ）およびメーカ秘密情報（Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））は、メーカ情報記憶手段７４に書き込まれ、記憶される。

更新情報確認手段７２は、受信装置６０から送信されたメーカ情報に含まれるメーカ秘密情報と、鍵・更新情報抽出手段７１で分離抽出されたメーカ秘密情報との同一性を確認するものである。ここでは、更新情報確認手段７２は、メーカ情報受信手段７２１と、識別子分離手段７２２と、秘密情報復号手段７２３と、更新情報判定手段７２４と、を備えている。

メーカ情報受信手段（秘密情報受信手段）７２１は、受信装置６０から送信されたメーカ情報（Ｉｍｉｄ＝（ｍｉｄ，ＥＳｍｉｄ_ｊ））を受信するものである。この受信されたメーカ情報は、識別子分離手段７２２に出力される。

識別子分離手段７２２は、メーカ情報受信手段７２１で受信されたメーカ情報（Ｉｍｉｄ＝（ｍｉｄ，ＥＳｍｉｄ_ｊ））からメーカ識別子（ｍｉｄ）と暗号化メーカ秘密情報（ＥＳｍｉｄ_ｊ）とを分離するものである。この分離されたメーカ識別子（ｍｉｄ）は、メーカ情報記憶手段７４に書き込まれ、記憶される。また、分離された暗号化メーカ秘密情報（ＥＳｍｉｄ_ｊ）は、秘密情報復号手段７２３に出力される。

秘密情報復号手段７２３は、識別子分離手段７２２で分離された暗号化メーカ秘密情報（ＥＳｍｉｄ_ｊ）を、デバイス鍵記憶手段７３に記憶されているデバイス鍵（Ｋｄ）で復号するものである。この復号されたメーカ秘密情報（第２グループ単位秘密情報：Ｓｍｉｄ_ｊ）は、メーカ情報記憶手段７４に書き込まれ、記憶される。

更新情報判定手段７２４は、鍵・更新情報抽出手段７１（鍵情報分離手段７１３）で分離抽出されたメーカ秘密情報（Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））と、秘密情報復号手段７２３で復号され、メーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｊ）とが一致するか否かを判定するものである。なお、鍵・更新情報抽出手段７１で分離抽出されたメーカ秘密情報には、（Ｓｍｉｄ_ｉ）と（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）との２つのタイプがある。メーカ秘密情報が前者（Ｓｍｉｄ_ｉ）の場合、更新情報判定手段７２４は、メーカ秘密情報（Ｓｍｉｄ_ｉ）と、秘密情報復号手段７２３で復号され、メーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｊ）とが一致するか否かを判定する。一方、メーカ秘密情報が後者（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）の場合、更新情報判定手段７２４は、メーカ秘密情報（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）のどちらかがメーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｊ）と一致しているか否かを判定する。そして、更新情報判定手段７２４はメーカ秘密情報が一致する場合、スクランブル鍵の送信を許可する旨の指示を鍵送信制御手段７６に出力し、一致しない場合、スクランブル鍵の送信を許可しない旨の指示を鍵送信制御手段７６に出力する。

ここで、鍵・更新情報抽出手段７１の鍵情報分離手段７１３で分離抽出されたメーカ秘密情報（Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））は、放送波Ｗを介して配信される公開情報に含まれている暗号化鍵情報から抽出されたものであり、秘密情報復号手段７２３で復号され、メーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｊ）は、予め受信装置６０に登録されているメーカ情報から抽出されたものである。これによって、同一のメーカ秘密情報を保持していない受信装置６０に対して、スクランブル鍵の送信を停止させることができる。

デバイス鍵記憶手段７３は、認証情報生成サーバ１０のデバイス鍵生成手段１２（図２）で生成されたデバイス鍵を予め記憶しておくものであって、半導体メモリ等の一般的な記憶媒体である。なお、このデバイス鍵は、セキュリティモジュール７０の製造段階に予め書き込まれているものとする。

メーカ情報記憶手段（第２秘密情報記憶手段）７４は、鍵・更新情報抽出手段７１によって分離抽出されたメーカ秘密情報（第１グループ単位秘密情報：Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）；グループ単位秘密情報）および更新情報確認手段７２の秘密情報復号手段７２３で復号されたメーカ秘密情報（第２グループ単位秘密情報：Ｓｍｉｄ_ｊ）を記憶するものであって、半導体メモリ等の一般的な記憶媒体である。すなわち、メーカ情報記憶手段７４には、受信装置６０から出力されたメーカ識別子（ｍｉｄ）に対応付けて、受信装置６０からメーカ情報として出力され、復号されたメーカ秘密情報（Ｓｍｉｄ_ｊ）と、コンテンツ配信サーバ２０から公開情報として配信され、復号されたメーカ秘密情報（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）とが更新に応じて記憶されることになる。

秘密情報認証確認手段７５は、受信装置６０との間で認証を行うものであって、受信装置６０に対して認証の要求を行い、その応答によって認証を行うものである。この秘密情報認証確認手段７５は、チャレンジ／レスポンス認証方式により認証を行う。ここでは、秘密情報認証確認手段７５は、認証チャレンジ生成手段７５１と、認証チャレンジ送信手段７５２と、認証レスポンス受信手段７５３と、認証レスポンス判定手段７５４と、を備えている。

認証チャレンジ生成手段７５１は、受信装置６０に対して送信するチャレンジ／レスポンス認証方式におけるチャレンジ情報であるメーカ認証チャレンジ情報（ＣＨｍｉｄ）を生成するものである。ここでは、認証チャレンジ生成手段７５１は、ランダムに生成した乱数をメーカ認証チャレンジ情報として使用する。この生成されたメーカ認証チャレンジ情報は、認証チャレンジ送信手段７５２と、認証レスポンス判定手段７５４とに出力される。

認証チャレンジ送信手段７５２は、認証チャレンジ生成手段７５１で生成されたメーカ認証チャレンジ情報を、受信装置６０に送信するものである。このメーカ認証チャレンジ情報に対する応答（メーカ認証レスポンス情報）が、受信装置６０において生成されることになる。

認証レスポンス受信手段７５３は、受信装置６０から送信されたメーカ認証レスポンス情報を受信するものである。この受信されたメーカ認証レスポンス情報は、認証レスポンス判定手段７５４に出力される。

認証レスポンス判定手段７５４は、認証レスポンス受信手段７５３で受信されたメーカ認証レスポンス情報が、認証チャレンジ生成手段７５１で生成されたメーカ認証チャレンジ情報により生成されたものと一致するか否かを判定するものである。

例えば、受信装置６０の認証レスポンス生成手段６８２（図４）において、ハッシュ関数によりメーカ認証レスポンス情報（ＥＣＨｍｉｄ）を生成することとした場合、認証レスポンス判定手段７５４は、認証チャレンジ生成手段７５１で生成されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）と、鍵・更新情報抽出手段７１で分離され、メーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））とを、認証レスポンス生成手段６８２と同一のハッシュ関数Ｈａｓｈ（）により演算を行い、メーカ認証レスポンス情報（ＥＣＨｍｉｄ）と比較し、同一の値であるか否かを判定する。

なお、鍵・更新情報抽出手段７１で分離抽出されたメーカ秘密情報には、（Ｓｍｉｄ_ｉ）と（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）との２つのタイプがある。メーカ秘密情報が前者（Ｓｍｉｄ_ｉ）の場合、認証レスポンス判定手段７５４は、認証チャレンジ生成手段７５１で生成されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）とメーカ秘密情報（Ｓｍｉｄ_ｉ）とをハッシュ関数Ｈａｓｈ（）により演算し、メーカ認証レスポンス情報（ＥＣＨｍｉｄ）と同一の値であるか否かを判定する。一方、メーカ秘密情報が後者（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）の場合、認証レスポンス判定手段７５４は、メーカ認証チャレンジ情報（ＣＨｍｉｄ）とメーカ秘密情報（Ｓｍｉｄ_ｉ）とをハッシュ関数Ｈａｓｈ（）により演算した値と、メーカ認証チャレンジ情報（ＣＨｍｉｄ）とメーカ秘密情報（Ｓｍｉｄ_ｉ−１）とをハッシュ関数Ｈａｓｈ（）により演算した値とのいずれか一方が、メーカ認証レスポンス情報（ＥＣＨｍｉｄ）と同一である場合に、同一の値であると判定する。

また、例えば、受信装置６０の認証レスポンス生成手段６８２（図４）において、共通鍵暗号方式によりメーカ認証レスポンス情報（ＥＣＨｍｉｄ）を生成することとした場合、認証レスポンス判定手段７５４は、認証チャレンジ生成手段７５１で生成されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）を、メーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ）により暗号化することで、メーカ認証レスポンス情報（ＥＣＨｍｉｄ′）を生成する。そして、認証レスポンス判定手段７５４は、メーカ認証レスポンス情報（ＥＣＨｍｉｄ′）と、認証レスポンス受信手段７５３で受信されたメーカ認証レスポンス情報（ＥＣＨｍｉｄ）とを比較し、同一の値であるか否かを判定する。

この場合も、メーカ秘密情報がＳｍｉｄ_ｉの場合、認証レスポンス判定手段７５４は、認証チャレンジ生成手段７５１で生成されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）をメーカ秘密情報（Ｓｍｉｄ_ｉ）により暗号化することでメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ）を生成し、メーカ認証レスポンス情報（ＥＣＨｍｉｄ）と同一の値であるか否かを判定する。一方、メーカ秘密情報が（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）の場合、認証レスポンス判定手段７５４は、メーカ認証チャレンジ情報（ＣＨｍｉｄ）をメーカ秘密情報（Ｓｍｉｄ_ｉ−１）により暗号化することで生成したメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ−１）と、メーカ認証チャレンジ情報（ＣＨｍｉｄ）をメーカ秘密情報（Ｓｍｉｄ_ｉ）により暗号化することで生成したメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ）とのいずれか一方が、メーカ認証レスポンス情報（ＥＣＨｍｉｄ）と同一である場合に、同一の値であると判定する。

この認証レスポンス判定手段７５４は、メーカ認証チャレンジ情報とメーカ認証レスポンス情報との同一性（対応したものであること）が確認された場合、スクランブル鍵の送信を許可する旨の指示を鍵送信制御手段７６に出力し、同一性が確認されなかった場合、スクランブル鍵の送信を許可しない旨の指示を鍵送信制御手段７６に出力する。

鍵送信制御手段７６は、鍵・更新情報抽出手段７１で抽出されたスクランブル鍵を、受信装置６０に出力するか否かを制御するものである。ここでは、鍵送信制御手段７６は、更新情報確認手段７２（更新情報判定手段７２４）および秘密情報認証確認手段７５（認証レスポンス判定手段７５４）の両手段から、ともにスクランブル鍵の送信を許可する旨の指示を受信した場合にのみ、スクランブル鍵を受信装置６０に出力する。
このようにセキュリティモジュール７０を構成することで、セキュリティモジュール７０は、メーカ秘密情報を用いて、受信装置６０との間で、認証を行うことが可能になる。

以上説明したように、コンテンツ配信システム１を構成することで、受信装置６０とセキュリティモジュール７０との間で、メーカ秘密情報に基づいて、認証を行うことができ、不正な受信装置におけるコンテンツの不正利用を防止することができる。また、セキュリティモジュール７０において、放送波Ｗを介して配信されるメーカ秘密情報により、メーカ秘密情報を更新することができるため、例え、メーカ秘密情報を不正に入手して受信装置が製造された場合であっても、メーカ秘密情報を更新することで、当該不正な受信装置におけるコンテンツの不正利用を停止させることができる。

［コンテンツ配信システムの動作］
次に、図６〜図１０を参照して、本発明の第１実施形態に係るコンテンツ配信システムの動作について説明する。以下では、認証情報生成サーバのメーカ秘密情報の生成動作、メーカ秘密情報を用いた利用者端末（受信装置およびセキュリティモジュール）の認証動作、メーカ秘密情報の更新認証動作、メーカ秘密情報が漏洩した受信装置の利用停止動作（リボーク動作）について順次説明を行う。

（認証情報生成サーバのメーカ秘密情報の生成動作）
最初に、図６を参照（適宜図２参照）して、認証情報生成サーバにおけるメーカ秘密情報の生成動作について説明する。図６は、本発明の第１実施形態に係る認証情報生成サーバにおけるメーカ秘密情報の生成動作を示すフローチャートである。なお、メーカ秘密情報を暗号化するデバイス鍵（Ｋｄ）は、予めデバイス鍵生成手段１２によって生成されたものが、認証用情報記憶手段１３に書き込まれているものとする。また、そのデバイス鍵は、デバイス鍵出力手段１８によって、認証用情報記憶手段１３から読み出され、出力されているものとする。

まず、認証情報生成サーバ１０は、秘密・更新情報生成手段１１の識別子受信手段１１１によって、外部からキーボード等の入力手段（図示せず）により、受信装置６０のメーカを識別するメーカ識別子（ｍｉｄ）を受信し、認証用情報記憶手段１３に書き込む（ステップＳ１）。

そして、認証情報生成サーバ１０は、秘密・更新情報生成手段１１の秘密情報生成手段１１２によって、ステップＳ１で受信されたメーカ識別子に対応付けて、乱数によりランダムにメーカ秘密情報（Ｓｍｉｄ_ｉ）を生成し、認証用情報記憶手段１３に書き込む（ステップＳ２）。

その後、認証情報生成サーバ１０は、秘密情報暗号化手段１６によって、メーカ秘密情報（Ｓｍｉｄ_ｉ）を、デバイス鍵（Ｋｄ）で暗号化することで、暗号化メーカ秘密情報（ＥＳｍｉｄ_ｉ）を生成する（ステップＳ３）。そして、認証情報生成サーバ１０は、秘密情報出力手段１７によって、ステップＳ３で生成された暗号化メーカ秘密情報（ＥＳｍｉｄ_ｉ）と、その元となるメーカ秘密情報（Ｓｍｉｄ_ｉ）とを出力する（ステップＳ４）。
以上の動作によって、認証情報生成サーバ１０は、メーカ（機種）ごとに異なるメーカ秘密情報（暗号化メーカ秘密情報）を生成することができる。

（メーカ秘密情報を用いた利用者端末の認証動作）
次に、図７を参照（適宜図４および図５参照）して、メーカ秘密情報を用いた利用者端末の認証動作について説明する。図７は、本発明の第１実施形態に係る利用者端末（受信装置およびセキュリティモジュール）における受信装置のメーカ秘密情報を用いた認証動作を示すフローチャートである。なお、本動作は、利用者端末５０の新規購入等によって、受信装置６０にセキュリティモジュール７０を初めて接続した場合等、新規に受信装置６０の認証を行う際に動作するものである。また、この認証を行うために、放送波を介して配信される公開情報には、定期的にメーカ秘密情報が付加されているものとする。

まず、受信装置６０は、メーカ情報送信手段６７によって、メーカ秘密情報記憶手段６６に記憶されているメーカ情報（Ｉｍｉｄ＝（ｍｉｄ，ＥＳｍｉｄ））を、セキュリティモジュール７０に送信する（ステップＳ１０）。

一方、セキュリティモジュール７０は、更新情報確認手段７２のメーカ情報受信手段７２１によって、受信装置６０から送信されたメーカ情報（Ｉｍｉｄ＝（ｍｉｄ，ＥＳｍｉｄ））を受信する（ステップＳ１１）。そして、セキュリティモジュール７０は、識別子分離手段７２２によって、メーカ情報からメーカ識別子（ｍｉｄ）を分離し、メーカ情報記憶手段７４に記憶する（ステップＳ１２）。さらに、セキュリティモジュール７０は、秘密情報復号手段７２３によって、暗号化メーカ秘密情報（ＥＳｍｉｄ：ＥＳｍｉｄ_ｊ）を復号することで、メーカ秘密情報（Ｓｍｉｄ：Ｓｍｉｄ_ｊ）を取得し（ステップＳ１３）、メーカ情報記憶手段７４に記憶する（ステップＳ１４）。

次に、受信装置６０は、公開情報受信手段６１によって、放送波を介して配信された公開情報を受信する（ステップＳ２０）。そして、受信装置６０は、公開情報分離手段６２によって、公開情報に含まれているコンテンツ（暗号化コンテンツ）、暗号化鍵情報を分離する（ステップＳ２１）。そして、受信装置６０は、鍵情報送信手段６５によって、分離された暗号化鍵情報をセキュリティモジュール７０に送信する（ステップＳ２２）。

そして、セキュリティモジュール７０は、鍵・更新情報抽出手段７１の鍵情報受信手段７１１によって、受信装置６０から送信された暗号化鍵情報を受信する（ステップＳ２３）。そして、セキュリティモジュール７０は、鍵情報復号手段７１２によって、受信された暗号化鍵情報をワーク鍵Ｋｗで復号し、鍵情報分離手段７１３によって、その復号された鍵情報を、スクランブル鍵（Ｋｓ）と、メーカ秘密情報（Ｓｍｉｄ′：Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）とに分離する（ステップＳ２４）。

そして、セキュリティモジュール７０は、更新情報確認手段７２の更新情報判定手段７２４によって、秘密情報復号手段７２３で復号されメーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｊ）と、受信されたメーカ秘密情報（Ｓｍｉｄ′：Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））とを比較する（ステップＳ２５）。なお、このステップＳ２５において、メーカ秘密情報Ｓｍｉｄ′が（Ｓｍｉｄ_ｉ）の場合、更新情報判定手段７２４は、メーカ秘密情報（Ｓｍｉｄ_ｉ）と、秘密情報復号手段７２３で復号され、メーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｊ）とが一致するか否かを判定する。一方、メーカ秘密情報Ｓｍｉｄ′が（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）の場合、更新情報判定手段７２４は、メーカ秘密情報（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）のどちらかがメーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｊ）と一致しているか否かを判定する。

ここで、メーカ秘密情報が同一でない場合（ステップＳ２５でＮｏ）、セキュリティモジュール７０は、鍵送信制御手段７６によって、スクランブル鍵の受信装置６０への出力を中止する（ステップＳ３８）。一方、メーカ秘密情報が同一である場合（ステップＳ２５でＹｅｓ）、セキュリティモジュール７０は、ステップＳ３０以降の認証動作を実行する。

すなわち、セキュリティモジュール７０は、秘密情報認証確認手段７５の認証チャレンジ生成手段７５１によって、チャレンジ／レスポンス認証方式におけるチャレンジ情報であるメーカ認証チャレンジ情報（ＣＨｍｉｄ）を生成する（ステップＳ３０）。そして、セキュリティモジュール７０は、認証チャレンジ送信手段７５２によって、ステップＳ３０で生成されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）を受信装置６０に送信する（ステップＳ３１）。

一方、受信装置６０は、秘密情報認証応答手段６８の認証チャレンジ受信手段６８１によって、セキュリティモジュール７０から送信されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）を受信する（ステップＳ３２）。

そして、受信装置６０は、認証レスポンス生成手段６８２によって、受信されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）と、メーカ秘密情報記憶手段６６に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｊ）とから、メーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｊ）を生成する（ステップＳ３３）。そして、受信装置６０は、認証レスポンス送信手段６８３によって、ステップＳ３３で生成されたメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｊ）をセキュリティモジュール７０に送信する（ステップＳ３４）。

そして、セキュリティモジュール７０は、秘密情報認証確認手段７５の認証レスポンス受信手段７５３によって、受信装置６０から送信されたメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｊ）を受信する（ステップＳ３５）。

その後、セキュリティモジュール７０は、認証レスポンス判定手段７５４によって、ステップＳ３０で生成されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）と、秘密情報復号手段７２３で復号され、メーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｊ）とから、受信装置６０と同一のハッシュ関数Ｈａｓｈ（）により演算（Ｈａｓｈ（ＣＨｍｉｄ，Ｓｍｉｄ_ｊ））を行い、正規の受信装置６０で生成されるはずのメーカ認証チャレンジ情報（ＥＣＨｍｉｄ′）を生成する（ステップＳ３６）。

そして、セキュリティモジュール７０は、認証レスポンス判定手段７５４によって、ステップＳ３５で受信されたメーカ認証レスポンス情報（ＥＣＨｍｉｄ：ＥＣＨｍｉｄ_ｊ）と、ステップＳ３６で生成されたメーカ認証チャレンジ情報（ＥＣＨｍｉｄ′）とを比較する（ステップＳ３７）。

ここで、両情報（ＥＣＨｍｉｄ，ＥＣＨｍｉｄ′）が同一でない場合（ステップＳ３７でＮｏ）、セキュリティモジュール７０は、鍵送信制御手段７６によって、スクランブル鍵の受信装置６０への出力を中止する（ステップＳ３８）。一方、両情報が同一である場合（ステップＳ３７でＹｅｓ）、セキュリティモジュール７０は、鍵送信制御手段７６によって、スクランブル鍵を受信装置６０に出力する（ステップＳ３９）。
以上の動作によって、利用者端末５０は、メーカ秘密情報に基づいて、受信装置６０とセキュリティモジュール７０との間で、認証を行うことができる。

（メーカ秘密情報の更新認証動作）
次に、図８を参照（適宜図４および図５参照）して、メーカ秘密情報の更新認証動作について説明する。図８は、本発明の第１実施形態に係る利用者端末（受信装置およびセキュリティモジュール）における受信装置のメーカ秘密情報の更新認証動作を示すフローチャートである。なお、本動作は、放送波を通じて新しいメーカ秘密情報が送信され、メーカ秘密情報が更新される場合に、受信装置６０の認証を行う動作である。また、この認証を行うために、放送波を介して配信される公開情報には、定期的に更新情報が付加されているものとする。

まず、受信装置６０は、公開情報受信手段６１によって、放送波を介して配信された公開情報を受信する（ステップＳ２０）。そして、受信装置６０は、公開情報分離手段６２によって、公開情報に含まれているコンテンツ（暗号化コンテンツ）、暗号化鍵情報を分離する（ステップＳ２１）。そして、受信装置６０は、鍵情報送信手段６５によって、ステップＳ２１で分離された暗号化鍵情報をセキュリティモジュール７０に送信する（ステップＳ２２）。

一方、セキュリティモジュール７０は、鍵・更新情報抽出手段７１の鍵情報受信手段７１１によって、受信装置６０から送信された暗号化鍵情報を受信する（ステップＳ２３）。

そして、セキュリティモジュール７０は、鍵・更新情報抽出手段７１の鍵情報復号手段７１２によって、ステップＳ２３で受信された暗号化鍵情報をワーク鍵Ｋｗで復号し、鍵情報分離手段７１３によって、その復号された鍵情報を、スクランブル鍵（Ｋｓ）と、メーカ更新情報（Ｍｕｐ）とに分離する（ステップＳ２４）。さらに、セキュリティモジュール７０は、鍵情報分離手段７１３によって、メーカ情報記憶手段７４に記憶されているメーカ識別子（ｍｉｄ）を取得し、復号された鍵情報にメーカ識別子（ｍｉｄ）に相当するメーカ更新情報があるか否かを判定する（ステップＳ２５）。

ここで、メーカ識別子（ｍｉｄ）に相当するメーカ更新情報が存在しない場合（ステップＳ２５でＮｏ）、セキュリティモジュール７０は、更新認証動作を終了する。一方、メーカ識別子（ｍｉｄ）に相当するメーカ更新情報がある場合（ステップＳ２５でＹｅｓ）、セキュリティモジュール７０は、鍵情報分離手段７１３によって、そのメーカ更新情報から、メーカ秘密情報（Ｓｍｉｄ：Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））を分離する（ステップＳ２６）。

そして、セキュリティモジュール７０は、更新情報判定手段７２４によって、これ以前に鍵・更新情報抽出手段７１で分離し、メーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ′：Ｓｍｉｄ_ｊ、または、（Ｓｍｉｄ_ｊ−１，Ｓｍｉｄ_ｊ））を取得し、ステップＳ２６において分離されたメーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ）とを比較する（ステップＳ２８）。

ここで、メーカ秘密情報が同一である場合（ステップＳ２８でＮｏ）、セキュリティモジュール７０は、更新認証動作を終了する。一方、メーカ秘密情報が同一でない場合（ステップＳ２８でＹｅｓ）、セキュリティモジュール７０は、更新情報判定手段７２４によって、ステップＳ２６で分離されたメーカ秘密情報（Ｓｍｉｄ）を、メーカ情報記憶手段７４に書き込み、記憶（更新）する（ステップＳ２９）。
そして、セキュリティモジュール７０は、ステップＳ３０Ａ以降の認証動作を、受信装置６０に対して実行する。なお、図８中、ステップＳ３０Ａは、図７のステップＳ３０〜Ｓ３７と同一の動作を示している。

以上の動作によって、利用者端末５０は、メーカ秘密情報の更新情報に基づいて、受信装置６０とセキュリティモジュール７０との間で、認証を行うことができる。また、これによって、正しい更新情報が登録されていない受信装置６０におけるコンテンツの利用を停止させることができる。

なお、図８では、メーカ秘密情報が同一であるか否かの判断により、メーカ情報記憶手段７４に記憶されているメーカ秘密情報を更新するか否かを決定したが、本発明は、他の方法を用いてもよい。例えば、認証情報生成サーバ１０（図２参照）の更新情報合成手段１４において、メーカ更新情報（Ｍｕｐ）を生成する際に、メーカ更新情報（Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ））に、更新フラグ（ｕ＿ｆｌｇ）をさらに付加した更新フラグ付きのメーカ更新情報（Ｍｕｐ＝（ｍｉｄ，ｕ＿ｆｌｇ，Ｓｍｉｄ））として生成してもよい。この場合、例えば、ｕ＿ｆｌｇ＝１の場合、更新情報判定手段７２４は、メーカ情報記憶手段７４の内容を更新し、その後の認証を行う。また、ｕ＿ｆｌｇ＝０の場合、更新情報判定手段７２４は、メーカ情報記憶手段７４の内容の更新およびその後の認証を行わないこととする。これによって、更新情報判定手段７２４は、メーカ情報記憶手段７４から、何回もメーカ秘密情報を取得する必要がなくなる。

（リボーク動作）
次に、図９および図１０を参照して、メーカ秘密情報が漏洩した際の受信装置の利用停止動作（リボーク動作）について説明する。ここでは、リボーク動作を、受信装置の利用停止動作を行う前の準備段階としてのメーカのリコール時の動作（リコール動作）と、リコール期間を終了した際に、リコールが行われていない受信装置の利用を停止させる動作（リコール期間終了時動作）とについて説明する。なお、メーカ秘密情報が漏洩した際の受信装置の特定は、不正受信装置特定システムにおいて行うことができる。この不正受信装置特定システムについては、後で説明を行うこととする。

（リボーク動作１：リコール動作）
最初に、図９を（適宜図２および図３参照）参照して、リコール動作について説明する。図９は、本発明の第１実施形態におけるメーカ秘密情報が漏洩した際の受信装置の利用停止動作を行う前の準備段階としてのメーカのリコール時の動作を示すフローチャートである。

まず、認証情報生成サーバ１０は、秘密・更新情報生成手段１１の識別子受信手段１１１によって、不正な受信装置として特定されている受信装置のメーカ識別子（ｍｉｄ）を受信し、秘密・更新情報生成手段１１のリボークフラグ受信手段１１３によって、当該受信装置の利用を停止させる旨を示すリボークフラグ（ｒ＿ｍｉｄ＝１：リボーク指示）を受信する（ステップＳ５０）。

そして、認証情報生成サーバ１０は、更新情報合成手段１４によって、ステップＳ５０で入力された指示がリボーク指示であるか否かを判定する（ステップＳ５１）。そして、リボーク指示があった場合、すなわち、リボークフラグが“１”に設定されている場合（ステップＳ５１でＹｅｓ）、認証情報生成サーバ１０は、秘密・更新情報生成手段１１の秘密情報生成手段１１２によって、ステップＳ５０で受信されたメーカ識別子に対応付けて、乱数によりランダムに新規にメーカ秘密情報（Ｓｍｉｄ_ｉ）を生成し、メーカ識別子に対応付けて、認証用情報記憶手段１３に書き込む（ステップＳ５２）。

また、認証情報生成サーバ１０は、秘密情報暗号化手段１６によって、認証用情報記憶手段１３に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｉ）を、メーカ識別子（ｍｉｄ）ごとに、デバイス鍵（Ｋｄ）で暗号化することで、暗号化メーカ秘密情報（ＥＳｍｉｄ_ｉ）を生成する（ステップＳ５３）。

そして、認証情報生成サーバ１０は、秘密情報出力手段１７によって、認証用情報記憶手段１３に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｉ）と、ステップＳ５３で生成された暗号化メーカ秘密情報（ＥＳｍｉｄ_ｉ）とを出力する（ステップＳ５４）。このステップＳ５４で出力されるメーカ秘密情報および暗号化メーカ秘密情報は、メーカに渡される情報となる。そして、メーカでは、このメーカ秘密情報および暗号化メーカ秘密情報を、リコール等の手段によって、リボークされた受信装置のメーカ秘密情報記憶手段６６（図４参照）に書き込む。

そして、認証情報生成サーバ１０は、更新情報合成手段１４によって、認証用情報記憶手段１３に記憶されているメーカ識別子（ｍｉｄ）、現在使用されているメーカ秘密情報（Ｓｍｉｄ_ｉ−１）および新たに生成されたメーカ秘密情報（Ｓｍｉｄ_ｉ）を読み出して合成し、メーカ更新情報（Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））を生成する（ステップＳ５５）。そして、認証情報生成サーバ１０は、更新情報送信手段１５によって、ステップＳ５５で生成されたメーカ更新情報をコンテンツ配信サーバ２０に送信する（ステップＳ５６）。

一方、コンテンツ配信サーバ２０は、更新情報受信手段２２によって、認証情報生成サーバ１０から送信されたメーカ更新情報（Ｍｕｐ）を受信する（ステップＳ５７）。そして、コンテンツ配信サーバ２０は、鍵合成手段２３によって、スクランブル鍵（Ｋｓ）と、ステップＳ５７で受信されたメーカ更新情報（Ｍｕｐ）とを合成した鍵情報を生成する（ステップＳ５８）。

そして、コンテンツ配信サーバ２０は、鍵情報暗号化手段２４によって、ステップＳ５８で生成された鍵情報をワーク鍵（Ｋｗ）で暗号化する（ステップＳ５９）。さらに、コンテンツ配信サーバ２０は、公開情報合成手段２５によって、ステップＳ５８で暗号化された鍵情報を暗号化コンテンツと合成することで公開情報を生成する（ステップＳ６０）。その後、コンテンツ配信サーバ２０は、公開情報送信手段２６によって、ステップＳ６０で生成された公開情報を、放送波を介して利用者端末５０に配信する（ステップＳ６１）。

この後、図８のステップＳ２０〜Ｓ２９の動作によって、セキュリティモジュール７０のメーカ秘密情報が更新されることになる。これによって、セキュリティモジュール７０は受信装置６０との間で、図７で説明した認証を行い、受信装置６０が古いメーカ秘密情報（Ｓｍｉｄ_ｉ−１）を記憶している場合、もしくは、リコールにより新しいメーカ秘密情報（Ｓｍｉｄ_ｉ）を記憶している場合でも、認証が成功することになる。すなわち、この段階では、古いメーカ秘密情報（Ｓｍｉｄ_ｉ−１）しか持っていない受信装置６０であっても、認証に成功する。

（リボーク動作２：リコール期間終了時動作）
次に、図１０を参照（適宜図２および図３参照）して、リコール期間終了により、リコールが行われていない受信装置の利用停止動作（リボーク動作）について説明する。図１０は、本発明の第１実施形態におけるリコール期間終了により、リコールが行われていない受信装置の利用を停止させる動作を示すフローチャートである。

まず、認証情報生成サーバ１０は、秘密・更新情報生成手段１１の識別子受信手段１１１によって、コンテンツの利用を再開させる受信装置のメーカ識別子（ｍｉｄ）を受信し、秘密・更新情報生成手段１１のリボークフラグ受信手段１１３によって、当該受信装置のリコール期間の終了、および、リコールが行われていない受信装置の利用を停止させる旨を示すリボークフラグ（ｒ＿ｍｉｄ＝０：リボーク解除指示）を受信する（ステップＳ７０）。

そして、認証情報生成サーバ１０は、更新情報合成手段１４によって、ステップＳ７０で入力された指示がリボーク解除指示であるか否かを判定する（ステップＳ７１）。そして、リボーク解除指示があった場合、すなわち、リボークフラグが“０”に設定されている場合（ステップＳ７１でＹｅｓ）、認証情報生成サーバ１０は、更新情報合成手段１４によって、認証用情報記憶手段１３に記憶されているメーカ識別子（ｍｉｄ）および最新のメーカ秘密情報（Ｓｍｉｄ_ｉ）を読み出して合成し、メーカ更新情報Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ）を生成する（ステップＳ７２）。そして、認証情報生成サーバ１０は、更新情報送信手段１５によって、ステップＳ７２で生成されたメーカ更新情報をコンテンツ配信サーバ２０に送信する（ステップＳ７３）。

一方、コンテンツ配信サーバ２０は、ステップＳ７４〜Ｓ７８の動作によって、放送波を介して、メーカ更新情報を含んだ公開情報を受信装置６０に配信する。これによって、セキュリティモジュール７０のメーカ秘密情報が更新されることになる。なお、このステップＳ７４〜Ｓ７８の動作は、図９で説明したステップＳ５７〜Ｓ６１の動作と同一であるため、説明を省略する。

この後、図８のステップＳ２０〜Ｓ２９の動作によって、セキュリティモジュール７０のメーカ秘密情報が更新されることになる。一方、受信装置６０においては、同一のメーカ秘密情報で更新されているため、図７の動作において認証が成功し、セキュリティモジュール７０から受信装置６０へのスクランブル鍵の出力が行われ、リコールが行われた受信装置に関しては、認証に成功し、通常の動作となる。一方、リコールが行われていない受信装置に関しては、受信装置が古いメーカ秘密情報しか持ち得ないため、メーカ秘密情報の相違によって認証が失敗することで、セキュリティモジュール７０から受信装置６０へのスクランブル鍵の出力が中止され、不正な受信装置においてコンテンツの利用が停止されることになる。

［不正受信装置特定システム］
次に、図１１を参照して、コンテンツ配信システム１（図１参照）において、不正に製造された受信装置のメーカ（機種）を特定する不正受信装置特定システムの構成について説明する。図１１は、不正受信装置特定システムの全体構成を示すブロック図である。

図１１に示すように、不正受信装置特定システム２は、受信装置６０と接続することで不正に製造された受信装置を特定するシステムである。ここでは、不正受信装置特定システム２は、テストモジュール８０と、メーカ特定装置９０とを備えている。

テストモジュール８０は、セキュリティモジュール７０（図１参照）の代わりに受信装置６０に挿入され、受信装置６０が生成するメーカ認証レスポンス情報を取得するものである。

メーカ特定装置（グループ特定装置）９０は、テストモジュール８０によって取得されたメーカ認証レスポンス情報に基づいて、受信装置６０のメーカ（機種）を特定するものである。

以下、図１２を参照して、テストモジュール８０およびメーカ特定装置９０の構成について説明する。図１２は、不正受信装置特定システムを構成するテストモジュールおよびメーカ特定装置の具体的な構成を示すブロック図である。

（テストモジュールの構成）
まず、図１２を参照して、テストモジュール８０の構成について説明する。ここでは、テストモジュール８０は、認証チャレンジ入力手段８１と、認証チャレンジ送信手段８２と、認証レスポンス受信手段８３と、認証レスポンス出力手段８４と、を備えている。

認証チャレンジ入力手段８１は、メーカ特定装置９０から出力されるメーカ認証チャレンジ情報を入力するものである。この入力されたメーカ認証チャレンジ情報は、認証チャレンジ送信手段８２に出力される。

認証チャレンジ送信手段８２は、認証チャレンジ入力手段８１で入力されたメーカ認証チャレンジ情報を受信装置６０に送信するものである。これによって、受信装置６０では、秘密情報認証応答手段６８（図４参照）によって、メーカ認証レスポンス情報が生成されることになる。

認証レスポンス受信手段８３は、受信装置６０から、メーカ認証レスポンス情報を受信するものである。この受信されたメーカ認証レスポンス情報は、認証レスポンス出力手段８４に出力される。

認証レスポンス出力手段８４は、認証レスポンス受信手段８３で受信されたメーカ認証レスポンス情報を、メーカ特定装置９０に出力するものである。

このように、テストモジュール８０は、セキュリティモジュール７０の秘密情報認証確認手段７５（図５参照）において行われるメーカ認証チャレンジ情報の受信装置６０への出力と、受信装置６０からのメーカ認証レスポンス情報の入力とを疑似的に再現する。これによって、受信装置６０において生成されるメーカ認証レスポンス情報をメーカ特定装置９０において収集することができる。

（メーカ特定装置の構成）
次に、図１２を参照して、メーカ特定装置９０の構成について説明する。ここでは、メーカ特定装置９０は、レスポンス情報収集手段９１と、レスポンス情報取得手段９２と、レスポンス情報記憶手段９３と、メーカ探索手段９４と、を備えている。

レスポンス情報収集手段９１は、外部からメーカ識別子と、メーカ認証チャレンジ情報とを入力し、メーカ（機種）ごとに、メーカ認証チャレンジ情報に対応するメーカ認証レスポンス情報を収集するものである。なお、メーカ認証チャレンジ情報は、図５で説明したセキュリティモジュール７０の認証チャレンジ生成手段７５１で生成するものと同様のものであるが、ここでは、メーカ（機種）固有に予め定めた値を用いることとする。これによって、固有のメーカ認証チャレンジ情報に対して、固有のメーカ認証レスポンス情報を収集することができる。また、ここでは、レスポンス情報収集手段９１は、モード切り替え手段９１１を備えている。

モード切り替え手段９１１は、外部から入力される指示（モード）に基づいて、レスポンス情報収集手段９１の動作を切り替えるものである。ここで、動作モードとしては、「レスポンス収集モード」と、「メーカ探索モード」とがある。

この「レスポンス収集モード」は、正規の受信装置６０が生成するメーカ認証レスポンス情報を収集するモードである。また、「メーカ探索モード」は、不正な受信装置６０が生成するメーカ認証レスポンス情報と、すでに収集してある正規の受信装置６０が生成するメーカ認証レスポンス情報とを比較することで、どのメーカ（機種）の情報をもとに不正な受信装置６０が製造されたのかを探索するモードである。

ここで、モードとして「レスポンス収集モード」が設定された場合、レスポンス情報収集手段９１は、入力されたメーカ認証チャレンジ情報をレスポンス情報取得手段９２に出力する。そして、レスポンス情報収集手段９１は、レスポンス情報取得手段９２から入力されるメーカ認証レスポンス情報をメーカ識別子に対応付けてレスポンス情報記憶手段９３に書き込む。これによって、正規の受信装置６０が生成するメーカ認証レスポンス情報が収集されることになる。

また、モードとして「メーカ探索モード」が設定された場合、レスポンス情報収集手段９１は、入力されたメーカ認証チャレンジ情報をレスポンス情報取得手段９２に出力する。そして、レスポンス情報収集手段９１は、レスポンス情報取得手段９２から入力されるメーカ認証レスポンス情報を、メーカ探索手段９４に出力する。これによって、メーカ探索手段９４により、不正な受信装置６０のメーカ（メーカ識別子）が特定されることになるが、この説明は後記する。

レスポンス情報取得手段９２は、レスポンス情報収集手段９１と、テストモジュール８０とのインタフェースを行うものである。ここでは、レスポンス情報取得手段９２は、認証チャレンジ出力手段９２１と、認証レスポンス入力手段９２２と、を備えている。

認証チャレンジ出力手段９２１は、レスポンス情報収集手段９１から入力されたメーカ認証チャレンジ情報を、テストモジュール８０に出力するものである。

認証レスポンス入力手段９２２は、テストモジュール８０から、メーカ認証レスポンス情報を入力するものである。この入力されたメーカ認証レスポンス情報は、レスポンス情報収集手段９１に出力される。

レスポンス情報記憶手段９３は、レスポンス情報収集手段９１によって収集されたメーカ認証レスポンス情報をメーカ識別子に対応付けて記憶するものであって、ハードディスク等の一般的な記憶装置である。

メーカ探索手段９４は、レスポンス情報収集手段９１から入力されるメーカ認証レスポンス情報と、レスポンス情報記憶手段９３に記憶されているメーカ認証レスポンス情報とを比較し、同一のメーカ認証レスポンス情報に対応するメーカ識別子を、不正な受信装置として利用されたメーカ（機種）として探索するものである。この探索結果（メーカ識別子）に対応したメーカ更新情報を、認証情報生成サーバ１０（図２参照）で生成することで、不正な受信装置に対してリボークを行うことが可能になる。

なお、ここでは、メーカ特定装置９０は、正規の受信装置から、メーカ認証レスポンス情報を収集する機能を有することとしたが、予めメーカ（機種）ごとに、メーカ認証チャレンジ情報に対してメーカ認証レスポンスが既知である場合は、その情報をレスポンス情報記憶手段９３に予め記憶して、「レスポンス収集モード」の動作を省略することも可能である。

≪第２実施形態≫
［コンテンツ配信システムの構成］
次に、図１３を参照して、本発明の第２実施形態に係るコンテンツ配信システムの構成について説明する。図１３は、本発明の第２実施形態に係るコンテンツ配信システムの構成を示すブロック図である。

コンテンツ配信システム１Ｂの構成は、基本的に図１で説明したコンテンツ配信システム１と同様に、限定受信方式によりコンテンツの配信を行うシステムであって、受信装置６０Ｂの正当性を認証することで、受信装置６０Ｂにおけるコンテンツの利用（再生、コピー等）を可能とするものである。なお、コンテンツ配信システム１と、コンテンツ配信システム１Ｂとでは、認証情報生成サーバ１０と、利用者側の端末（利用者端末５０）の機能が異なっている。

なお、コンテンツ配信システム１Ｂは、図４で説明した受信装置６０においては、受信装置６０がどのメーカのものであるか否かを、メーカ情報（メーカ識別子、暗号化メーカ秘密情報）によりセキュリティモジュール７０に通知していたが、この受信装置６０Ｂでは、その通知を行わないこととしている。その代わり、セキュリティモジュール７０Ｂでは、すべてのメーカのメーカ情報を保持している。

以下、コンテンツ配信システム１と異なる認証情報生成サーバ１０Ｂと、利用者端末５０Ｂを構成する受信装置６０Ｂおよびセキュリティモジュール７０Ｂとについて説明を行う。

（認証情報生成サーバの構成）
まず、図１４を参照（適宜図１３参照）して、認証情報生成サーバの構成について説明する。図１４は、本発明の第２実施形態における認証情報生成サーバの構成を示すブロック図である。ここでは、認証情報生成サーバ１０Ｂは、秘密・更新情報生成手段１１と、認証用情報記憶手段１３と、更新情報合成手段１４と、更新情報送信手段１５と、秘密情報出力手段１７Ｂと、を備えている。秘密情報出力手段１７Ｂ以外の構成については、図２で説明した認証情報生成サーバ１０と同一のものであるため、同一の符号を付して説明を省略する。

秘密情報出力手段１７Ｂは、認証用情報記憶手段１３に記憶されているメーカ秘密情報（Ｓｍｉｄ_ｉ）を、メーカ識別子（ｍｉｄ）ごとに出力するものである。なお、このメーカ秘密情報（Ｓｍｉｄ_ｉ）は、メーカ識別子（ｍｉｄ）に対応するメーカごとに、メーカが製造する受信装置６０Ｂ内部に予め登録される。

（利用者端末の構成）
次に、図１５および図１６を参照して、利用者端末５０Ｂの構成について説明する。
〔利用者端末における受信装置の構成〕
まず、図１５を参照して、利用者端末５０Ｂにおける受信装置６０Ｂの構成について説明する。図１５は、本発明の第２実施形態に係る受信装置の構成を示すブロック図である。ここでは、受信装置６０Ｂは、公開情報受信手段６１と、公開情報分離手段６２と、鍵受信手段６３と、コンテンツ復号手段６４と、鍵情報送信手段６５と、メーカ秘密情報記憶手段６６と、秘密情報認証応答手段６８Ｂと、を備えている。この受信装置６０Ｂは、受信装置６０（図４）の構成から、メーカ情報送信手段６７を省き、秘密情報認証応答手段６８を、その機能を変更した秘密情報認証応答手段６８Ｂに替えて構成している。他の構成については、図４で説明した受信装置６０と同一であるため説明を省略する。

秘密情報認証応答手段６８Ｂは、セキュリティモジュール７０Ｂとの間で認証を行うものであって、セキュリティモジュール７０Ｂからの認証の要求に対し応答を行うものである。ここでは、秘密情報認証応答手段６８Ｂは、認証チャレンジ受信手段６８１、認証レスポンス生成手段６８２Ｂ、認証レスポンス送信手段６８３と、を備えている。認証レスポンス生成手段６８２Ｂ以外の構成については、図４で説明した秘密情報認証応答手段６８の構成と同一であるため説明を省略する。

認証レスポンス生成手段６８２Ｂは、認証チャレンジ受信手段６８１で受信されたメーカ認証チャレンジ情報に対する応答であるメーカ認証レスポンス情報を、メーカ秘密情報記憶手段６６に記憶されているメーカ秘密情報を用いて生成するものである。また、この認証レスポンス生成手段６８２Ｂで生成するメーカ認証レスポンス情報には、メーカ識別子を付加することとする。以下、メーカ識別子が付加されたメーカ認証レスポンス情報を、識別子付メーカ認証レスポンス情報と呼ぶこととする。

このメーカ認証レスポンスの生成は、図４で説明した秘密情報認証応答手段６８と同一であり、例えば、認証レスポンス生成手段６８２Ｂは、メーカ認証チャレンジ情報（ＣＨｍｉｄ）と、メーカ秘密情報（Ｓｍｉｄ）と、セキュリティモジュール７０Ｂで使用する同一のハッシュ関数Ｈａｓｈ（）とにより、メーカ認証レスポンス情報（ＥＣＨｍｉｄ）を、ＥＣＨｍｉｄ＝Ｈａｓｈ（ＣＨｍｉｄ，Ｓｍｉｄ）として生成する。

また、例えば、認証レスポンス生成手段６８２Ｂは、共通鍵暗号方式により、メーカ秘密情報（Ｓｍｉｄ）を暗号化鍵とし、メーカ認証チャレンジ情報（ＣＨｍｉｄ）を暗号化することで、メーカ認証レスポンス情報（ＥＣＨｍｉｄ）を、ＥＣＨｍｉｄ＝ＥＮＣ（ＣＨｍｉｄ，Ｓｍｉｄ）（ただし、ＥＮＣ（ａ，ｂ）はデータａを鍵ｂにより暗号化することを示す）として生成してもよい。

そして、認証レスポンス生成手段６８２Ｂは、このメーカ認証レスポンス情報（ＥＣＨｍｉｄ）にメーカ秘密情報記憶手段６６に記憶されているメーカ識別子（ｍｉｄ）を付加し、識別子付メーカ認証レスポンス情報（ＲＥＳｍｉｄ）を、ＲＥＳｍｉｄ＝（ｍｉｄ，ＥＣＨｍｉｄ）として生成する。

この認証レスポンス生成手段６８２Ｂで生成された識別子付メーカ認証レスポンス情報は、認証レスポンス送信手段６８３に出力される。
これによって、受信装置６０Ｂから、セキュリティモジュール７０Ｂに送信されるメーカ認証レスポンス情報は、メーカ識別子が付加された情報となる。

〔利用者端末におけるセキュリティモジュールの構成〕
次に、図１６を参照して、利用者端末５０Ｂにおけるセキュリティモジュール７０Ｂの構成について説明する。図１６は、本発明の第２実施形態に係るセキュリティモジュールの構成を示すブロック図である。ここでは、セキュリティモジュール７０Ｂは、鍵・更新情報抽出手段７１Ｂと、メーカ情報記憶手段７４と、秘密情報認証確認手段７５Ｂと、鍵送信制御手段７６Ｂと、を備えている。このセキュリティモジュール７０Ｂは、セキュリティモジュール７０（図５）の構成から、更新情報確認手段７２およびデバイス鍵記憶手段７３を省き、鍵・更新情報抽出手段７１、秘密情報認証確認手段７５および鍵送信制御手段７６を、その機能を変更した鍵・更新情報抽出手段７１Ｂ、秘密情報認証確認手段７５Ｂおよび鍵送信制御手段７６Ｂに替えて構成している。

鍵・更新情報抽出手段７１Ｂは、受信装置６０Ｂから送信された暗号化鍵情報から、暗号化コンテンツを復号するスクランブル鍵（Ｋｓ）と、メーカ更新情報（Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ）、または、Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））とを分離抽出するものである。ここでは、鍵・更新情報抽出手段７１は、鍵情報受信手段７１１と、鍵情報復号手段７１２と、鍵情報分離手段７１３Ｂと、を備えている。なお、鍵・更新情報抽出手段７１Ｂは、鍵情報分離手段７１３Ｂが、図５で説明した鍵情報分離手段７１３と機能が異なっているだけであるため、他の構成については説明を省略する。

鍵情報分離手段７１３Ｂは、鍵情報復号手段７１２で復号された鍵情報を個々の情報に分離するものである。ここでは、鍵情報分離手段７１３Ｂは、鍵情報を、スクランブル鍵（Ｋｓ）と、メーカ更新情報（Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ）、または、Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））とに分離する。分離されたスクランブル鍵Ｋｓは、鍵送信制御手段７６Ｂに出力される。

また、鍵情報分離手段７１３Ｂは、分離されたメーカ更新情報（Ｍｕｐ）に含まれているメーカ識別子ｍｉｄと同一のメーカ識別子が、メーカ情報記憶手段７４に存在する場合には、メーカ更新情報Ｍｕｐをメーカ情報記憶手段７４に上書き保存する。また、同一のメーカ識別子が、メーカ情報記憶手段７４に存在していない場合には、メーカ更新情報Ｍｕｐをメーカ情報記憶手段７４に追記保存する。

秘密情報認証確認手段７５Ｂは、受信装置６０Ｂとの間で認証を行うものであって、受信装置６０Ｂに対して認証の要求を行い、その応答によって認証を行うものである。この秘密情報認証確認手段７５Ｂは、チャレンジ／レスポンス認証方式により認証を行う。ここでは、秘密情報認証確認手段７５Ｂは、認証チャレンジ生成手段７５１と、認証チャレンジ送信手段７５２と、認証レスポンス受信手段７５３と、認証レスポンス判定手段７５４Ｂと、を備えている。なお、秘密情報認証確認手段７５Ｂは、認証レスポンス判定手段７５４Ｂが、図５で説明した認証レスポンス判定手段７５４と機能が異なっているだけであるため、他の構成については説明を省略する。

認証レスポンス判定手段７５４Ｂは、認証レスポンス受信手段７５３で受信されたメーカ認証レスポンス情報（識別子付メーカ認証レスポンス情報）が、認証チャレンジ生成手段７５１で生成されたメーカ認証チャレンジ情報により生成されたものであるか否かを判定するものである。

例えば、受信装置６０Ｂの認証レスポンス生成手段６８２Ｂ（図１５）において、ハッシュは関数により識別子付メーカ認証レスポンス情報（ＲＥＳｍｉｄ）を生成することとした場合、以下の手順により判定を行う。

まず、認証レスポンス判定手段７５４Ｂは、識別子付メーカ認証レスポンス情報（ＲＥＳｍｉｄ＝（ｍｉｄ，ＥＣＨｍｉｄ））に含まれているメーカ識別子（ｍｉｄ）に対応するメーカ秘密情報（Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ））をメーカ情報記憶手段７４から読み出して、認証チャレンジ生成手段７５１で生成されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）を用いて、認証レスポンス生成手段６８２Ｂと同一のハッシュ関数Ｈａｓｈ（）により、メーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ、または、（ＥＣＨｍｉｄ_ｉ−１，ＥＣＨｍｉｄ_ｉ））をＥＣＨｍｉｄ＝Ｈａｓｈ（ＣＨｍｉｄ，Ｓｍｉｄ_ｉ）、および、ＥＣＨｍｉｄ_ｉ−１＝Ｈａｓｈ（ＣＨｍｉｄ，Ｓｍｉｄ_ｉ−１）として生成する。

そして、認証レスポンス判定手段７５４Ｂは、この生成されたメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ、または、（ＥＣＨｍｉｄ_ｉ−１，ＥＣＨｍｉｄ_ｉ））と、認証レスポンス受信手段７５３で受信された識別子付メーカ認証レスポンス情報（ＲＥＳｍｉｄ＝（ｍｉｄ，ＥＣＨｍｉｄ））に含まれているメーカ認証レスポンス情報（ＥＣＨｍｉｄ）とを比較し、同一の値であるか否かを判定する。

この場合、生成されたメーカ認証レスポンス情報には、（ＥＣＨｍｉｄ_ｉ）と、（ＥＣＨｍｉｄ_ｉ−１、ＥＣＨｍｉｄ_ｉ）との２つのタイプがある。メーカ認証レスポンス情報が前者（ＥＣＨｍｉｄ_ｉ）の場合、認証レスポンス判定手段７５４Ｂは、生成されたメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ）と受信したメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ）とを比較し、同一の値であるか否かを判定する。一方、メーカ認証レスポンス情報が後者（ＥＣＨｍｉｄ_ｉ−１，ＥＣＨｍｉｄ_ｉ）の場合、認証レスポンス判定手段７５４Ｂは、生成された２つのメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ−１、ＥＣＨｍｉｄ_ｉ）と、それぞれに対し、受信したメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ−１、ＥＣＨｍｉｄ_ｉ）とを比較し、同一の値であるか否かを判定し、どちらか一方でも同一である場合は、同一の値であると判定する。

また、例えば、受信装置６０Ｂの認証レスポンス生成手段６８２Ｂ（図１５）において、共通鍵暗号方式によりメーカ認証レスポンス情報（ＥＣＨｍｉｄ）を生成することとした場合、以下の手順により判定を行う。

まず、認証レスポンス判定手段７５４Ｂは、認証チャレンジ生成手段７５１で生成されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）を、識別子付メーカ認証レスポンス情報（ＲＥＳｍｉｄ＝（ｍｉｄ，ＥＣＨｍｉｄ））に含まれているメーカ識別子（ｍｉｄ）に対応してメーカ情報記憶手段７４に記憶されているメーカ秘密情報（Ｓｍｉｄ）により暗号化することで、メーカ認証レスポンス情報（ＥＣＨｍｉｄ）を生成する。

そして、認証レスポンス判定手段７５４Ｂは、この生成されたメーカ認証レスポンス情報（ＥＣＨｍｉｄ）と、識別子付メーカ認証レスポンス情報（ＲＥＳｍｉｄ＝（ｍｉｄ，ＥＣＨｍｉｄ））に含まれているメーカ認証レスポンス情報（ＥＣＨｍｉｄ）とを比較し、同一の値であるか否かを判定する。

この場合も、メーカ認証レスポンス情報がＥＣＨｍｉｄ_ｉの場合、認証レスポンス判定手段７５４Ｂは、生成されたメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ）と受信したメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ）とを比較し、同一の値であるか否かを判定する。一方、メーカ認証レスポンス情報が（ＥＣＨｍｉｄ_ｉ−１，ＥＣＨｍｉｄ_ｉ）の場合、認証レスポンス判定手段７５４Ｂは、生成された２つのメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ−１、ＥＣＨｍｉｄ_ｉ）と、それぞれに対し、受信したメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ−１、ＥＣＨｍｉｄ_ｉ）とを比較し、同一の値であるか否かを判定し、どちらか一方でも同一である場合は、同一の値であると判定する。

この認証レスポンス判定手段７５４Ｂは、メーカ認証チャレンジ情報とメーカ認証レスポンス情報との同一性が確認された場合、スクランブル鍵の送信を許可する旨の指示を鍵送信制御手段７６Ｂに出力し、同一性が確認されなかった場合、スクランブル鍵の送信を許可しない旨の指示を鍵送信制御手段７６Ｂに出力する。

鍵送信制御手段７６Ｂは、鍵・更新情報抽出手段７１Ｂで抽出されたスクランブル鍵を、受信装置６０Ｂに出力するか否かを制御するものである。ここでは、鍵送信制御手段７６Ｂは、秘密情報認証確認手段７５Ｂ（認証レスポンス判定手段７５４Ｂ）から、スクランブル鍵の送信を許可する旨の指示を受信した場合にのみ、スクランブル鍵を受信装置６０Ｂに出力する。

［コンテンツ配信システムの動作］
次に、図１７〜図２０を参照して、本発明の第２実施形態に係るコンテンツ配信システムの動作について説明する。以下では、認証情報生成サーバのメーカ秘密情報の生成動作、メーカ秘密情報を用いた利用者端末（受信装置およびセキュリティモジュール）の認証動作、メーカ秘密情報の更新認証動作、メーカ秘密情報が漏洩した受信装置の利用停止動作（リボーク動作）について順次説明を行う。

（認証情報生成サーバのメーカ秘密情報の生成動作）
最初に、図１７を参照（適宜図１４参照）して、認証情報生成サーバにおけるメーカ秘密情報の生成動作について説明する。図１７は、本発明の第２実施形態の認証情報生成サーバにおけるメーカ秘密情報の生成動作を示すフローチャートである。

まず、認証情報生成サーバ１０Ｂは、秘密・更新情報生成手段１１Ｂの識別子受信手段１１１によって、外部からキーボード等の入力手段（図示せず）により、受信装置６０Ｂのメーカを識別するメーカ識別子（ｍｉｄ）を受信し、認証用情報記憶手段１３に書き込む（ステップＳ１）。

そして、認証情報生成サーバ１０Ｂは、秘密・更新情報生成手段１１Ｂの秘密情報生成手段１１２によって、ステップＳ１で受信されたメーカ識別子に対応付けて、乱数によりランダムにメーカ秘密情報（Ｓｍｉｄ_ｉ）を生成し、認証用情報記憶手段１３に書き込む（ステップＳ２）。

そして、認証情報生成サーバ１０Ｂは、秘密情報出力手段１７Ｂによって、ステップＳ２で生成されたメーカ秘密情報（Ｓｍｉｄ_ｉ）を出力する（ステップＳ４Ｂ）。
以上の動作によって、認証情報生成サーバ１０Ｂは、メーカ（機種）ごとに異なるメーカ秘密情報（暗号化メーカ秘密情報）を生成することができる。

（メーカ秘密情報を用いた利用者端末の認証動作）
次に、図１８を参照（適宜図１５および図１６参照）して、メーカ秘密情報を用いた利用者端末の認証動作について説明する。図１８は、本発明の第２実施形態に係る利用者端末（受信装置およびセキュリティモジュール）における受信装置のメーカ秘密情報を用いた認証動作を示すフローチャートである。なお、本動作は、図７で説明した第１実施形態における認証動作において、メーカ秘密情報を受信装置からセキュリティモジュールに送信し、復号するステップがなくなったことと、メーカ認証レスポンスのデータの生成方法が異なるだけである。ここでは、図７で説明した動作と同一の動作については、同一のステップ番号を付し、説明を省略する。

ステップＳ２０〜Ｓ２４、および、ステップＳ３０〜Ｓ３２の動作の後、受信装置６０Ｂは、認証レスポンス生成手段６８２Ｂによって、メーカ認証チャレンジ情報（ＣＨｍｉｄ）と、メーカ秘密情報記憶手段６６に記憶されているメーカ秘密情報（Ｓｍｉｄ）およびメーカ識別子（ｍｉｄ）とから、メーカ識別子付きのメーカ認証レスポンス情報（識別子付認証レスポンス情報：ＲＥＳｍｉｄ）を，ＲＥＳｍｉｄ＝（ｍｉｄ，ＥＣＨｍｉｄ（＝Ｈａｓｈ（ＣＨｍｉｄ，Ｓｍｉｄ）））として生成する（ステップＳ３３Ｂ）。

そして、受信装置６０Ｂは、認証レスポンス送信手段６８３によって、ステップＳ３３Ｂで生成されたメーカ識別子付きのメーカ認証レスポンス情報（識別子付メーカ認証レスポンス情報：ＲＥＳｍｉｄ）をセキュリティモジュール７０Ｂに送信する（ステップＳ３４Ｂ）。

そして、セキュリティモジュール７０Ｂは、認証レスポンス受信手段７５３によって、受信装置６０Ｂから送信された識別子付メーカ認証レスポンス情報（ＲＥＳｍｉｄ）を受信する（ステップＳ３５Ｂ）。

その後、セキュリティモジュール７０Ｂは、認証レスポンス判定手段７５４Ｂによって、識別子付メーカ認証レスポンス情報（ＲＥＳｍｉｄ＝（ｍｉｄ，ＥＣＨｍｉｄ））に含まれているメーカ識別子（ｍｉｄ）に対応するメーカ秘密情報（Ｓｍｉｄ：Ｓｍｉｄ_ｉ、または、（Ｓｍｉｄ_ｉ−１，Ｓｍｉｄ_ｉ）をメーカ情報記憶手段７４から読み出し、ステップＳ３０で生成されたメーカ認証チャレンジ情報（ＣＨｍｉｄ）と、読み出したメーカ秘密情報（Ｓｍｉｄ）とから、受信装置６０Ｂと同一のハッシュ関数Ｈａｓｈ（）により演算（Ｈａｓｈ（ＣＨｍｉｄ，Ｓｍｉｄ_ｉ）、および、Ｈａｓｈ（ＣＨｍｉｄ，Ｓｍｉｄ_ｉ−１））を行い、正規の受信装置６０Ｂで生成されるはずのメーカ認証チャレンジ情報（ＥＣＨｍｉｄ′）を生成する（ステップＳ３６Ｂ）。

そして、セキュリティモジュール７０Ｂは、認証レスポンス判定手段７５４Ｂによって、ステップＳ３５Ｂで受信された識別子付メーカ認証レスポンス情報（ＲＥＳｍｉｄ）に含まれているメーカ認証レスポンス情報（ＥＣＨｍｉｄ）と、ステップＳ３６Ｂで生成されたメーカ認証レスポンス情報（ＥＣＨｍｉｄ′）とを比較する（ステップＳ３７Ｂ）。なお、このステップＳ３７Ｂにおいて、メーカ認証レスポンス情報が（ＥＣＨｍｉｄ_ｉ）の場合、認証レスポンス判定手段７５４Ｂは、生成されたメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ）と受信したメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ）とを比較し、同一の値であるか否かを判定する。一方、メーカ認証レスポンス情報が（ＥＣＨｍｉｄ_ｉ−１，ＥＣＨｍｉｄ_ｉ）の場合、認証レスポンス判定手段７５４Ｂは、生成された２つのメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ−１、ＥＣＨｍｉｄ_ｉ）と、それぞれに対し、受信したメーカ認証レスポンス情報（ＥＣＨｍｉｄ_ｉ−１、ＥＣＨｍｉｄ_ｉ）とを比較し、同一の値であるか否かを判定し、どちらか一方でも同一である場合は、同一の値であると判定する。ステップＳ３８以降の動作については、図７で説明した動作と同一である。
以上の動作によって、利用者端末５０Ｂは、メーカ秘密情報に基づいて、受信装置６０Ｂとセキュリティモジュール７０Ｂとの間で、認証を行うことができる。

（メーカ秘密情報の更新認証動作）
次に、図１９を参照（適宜図１５および図１６参照）して、メーカ秘密情報の更新認証動作について説明する。図１９は、本発明の第２実施形態に係る利用者端末（受信装置およびセキュリティモジュール）における受信装置のメーカ秘密情報の更新認証動作を示すフローチャートである。なお、本動作は、図８で説明した第１実施形態における更新認証動作の一部と同一であるため、同一の動作については、同一のステップ番号を付し、説明を省略する。

受信装置６０Ｂは、図８で説明した動作と同様に、ステップＳ２０〜Ｓ２２によって、放送波を介して配信された公開情報から、暗号鍵情報を分離し、セキュリティモジュール７０Ｂに送信する。

そして、セキュリティモジュール７０Ｂは、鍵・更新情報抽出手段７１Ｂの鍵情報受信手段７１１によって、受信装置６０Ｂから送信された暗号化鍵情報を受信する（ステップＳ２３）。そして、セキュリティモジュール７０Ｂは、鍵・更新情報抽出手段７１Ｂの鍵情報復号手段７１２によって、ステップＳ２３で受信された暗号化鍵情報をワーク鍵Ｋｗで復号し、鍵情報分離手段７１３Ｂによって、その復号された鍵情報から、スクランブル鍵（Ｋｓ）、メーカ更新情報（Ｍｕｐ）を分離し（ステップＳ２４）、さらに、メーカ更新情報を、メーカ識別子（ｍｉｄ）と、メーカ秘密情報（Ｓｍｉｄ）とに分離する（ステップＳ２５）。さらに、セキュリティモジュール７０Ｂは、鍵情報復号手段７１２によって、ステップＳ２５で分離されたメーカ秘密情報（Ｓｍｉｄ）をメーカ識別子（ｍｉｄ）と関連付けてメーカ情報記憶手段７４に書き込み、記憶（更新）する（ステップＳ２６）。その後、セキュリティモジュール７０Ｂ、ステップＳ３０Ｂ以降の認証動作を、受信装置６０Ｂに対して実行する。なお、図１９中、ステップＳ３０Ｂは、図１８のステップＳ３０〜Ｓ３７Ｂと同一の動作を示している。

以上の動作によって、利用者端末５０Ｂは、メーカ秘密情報に基づいて、受信装置６０Ｂとセキュリティモジュール７０Ｂとの間で、認証を行うことができる。また、これによって、メーカ秘密情報が更新されていない受信装置６０Ｂにおけるコンテンツの利用を停止させることができる。

（リボーク動作）
次に、図２０および図１０を参照して、メーカ秘密情報が漏洩した際の受信装置の利用停止動作（リボーク動作）について説明する。なお、メーカ秘密情報が漏洩した際の受信装置の特定は、図１１で説明した不正受信装置特定システムにおいて行うことができる。

（リボーク動作１：リコール動作）
最初に、図２０を（適宜図１４）参照して、受信装置の利用停止動作を行う前の準備段階としてのメーカのリコール時の動作（リコール動作）について説明する。図２０は、本発明の第２実施形態におけるメーカ秘密情報が漏洩した際の受信装置の利用停止動作を行う前の準備段階としてのメーカのリコール時の動作を示すフローチャートである。

この図２０に示したリボーク動作は、図９に示した第１実施形態のコンテンツ配信システム１（図１）のリボーク動作に対して、ステップＳ５３を省き、ステップＳ５４を、ステップＳ５４Ｂに替えている点が異なっている。

すなわち、このステップＳ５４Ｂにおいて、認証情報生成サーバ１０Ｂは、秘密情報出力手段１７Ｂによって、認証用情報記憶手段１３に記憶されているメーカ識別子（ｍｉｄ）およびメーカ秘密情報（Ｓｍｉｄ_ｉ）を読み出して合成し、メーカ更新情報（Ｍｕｐ＝（ｍｉｄ，Ｓｍｉｄ_ｉ））を生成している。

この後、ステップＳ５７〜Ｓ６１までの動作によって、メーカ秘密情報（Ｓｍｉｄ）を含んだメーカ更新情報（Ｍｕｐ）が公開情報として、放送波を介して、利用者端末５０Ｂに配信されることになる。

そして、図１９のステップＳ２０〜Ｓ２６の動作によって、セキュリティモジュール７０Ｂのメーカ秘密情報が更新されることになる。そして、さらに、セキュリティモジュール７０Ｂが、図１９のステップＳ３０Ｂ以降の認証動作を、受信装置６０Ｂに対して実行する。これによって、セキュリティモジュール７０Ｂは受信装置６０Ｂとの間で、図１８で説明した認証を行い、受信装置が古いメーカ秘密情報（Ｓｍｉｄ_ｉ−１）を記憶している場合、もしくは、リコールにより新しいメーカ秘密情報（Ｓｍｉｄ_ｉ）を記憶している場合でも、認証が成功することになる。すなわち、この段階では、古いメーカ秘密情報（Ｓｍｉｄ_ｉ−１）しか持っていない受信装置６０Ｂであっても、認証に成功する。

（リボーク動作２：リコール期間終了時動作）
リコール期間を終了した際に、リコールが行われていない受信装置の利用を停止させる動作（リコール期間終了時動作）については、図１０で説明した本発明の第１実施形態の動作と同一であるため説明を省略する。

以上説明したように、本発明によって、受信装置６０，６０Ｂと、セキュリティモジュール７０，７０Ｂとで、メーカ秘密情報により認証を行うことができるため、不正に製造された受信装置を特定することができるとともに、不正のあった受信装置のコンテンツの利用を停止させることができる。これによって、本発明は、コンテンツの著作権の保護を適切に行うことができる。

１ コンテンツ配信システム
１０ 認証情報生成サーバ（認証情報生成装置）
１１ 秘密・更新情報生成手段
１２ デバイス鍵生成手段
１３ 認証用情報記憶手段
１４ 更新情報合成手段
１５ 更新情報送信手段
１６ 秘密情報暗号化手段
１７ 秘密情報出力手段
１８ デバイス鍵出力手段
２０ コンテンツ配信サーバ（コンテンツ配信装置）
２１ コンテンツ暗号化手段
２２ 更新情報受信手段
２３ 鍵合成手段
２４ 鍵情報暗号化手段
２５ 公開情報合成手段
２６ 公開情報送信手段
３０ コンテンツサーバ
４０ 送信装置
５０ 利用者端末
６０ 受信装置
６１ 公開情報受信手段
６２ 公開情報分離手段
６３ 鍵受信手段
６４ コンテンツ復号手段
６５ 鍵情報送信手段
６６ メーカ秘密情報記憶手段（秘密情報記憶手段）
６７ メーカ情報送信手段（秘密情報送信手段）
６８ 秘密情報認証応答手段
６８１ 認証チャレンジ受信手段
６８２ 認証レスポンス生成手段
６８３ 認証レスポンス送信手段
７０ セキュリティモジュール
７１ 鍵・更新情報抽出手段
７１１ 鍵情報受信手段
７１２ 鍵情報復号手段
７１３ 鍵情報分離手段
７２ 更新情報確認手段
７２１ メーカ情報受信手段（秘密情報受信手段）
７２２ 秘密情報復号手段
７２３ 更新情報分離手段
７２４ 更新情報判定手段
７３ デバイス鍵記憶手段
７４ メーカ情報記憶手段（第２秘密情報記憶手段）
７５ 秘密情報認証確認手段
７５１ 認証チャレンジ生成手段
７５２ 認証チャレンジ送信手段
７５３ 認証レスポンス受信手段
７５４ 認証レスポンス判定手段
７６ 鍵送信制御手段

Claims (2)

1. 受信装置の予め定めたグループ単位ごとに固有の識別子を対応付けて、前記受信装置の正当性を認証するための情報であるグループ単位秘密情報を生成する秘密情報生成手段と、限定受信方式による受信制御を行う前記受信装置内のセキュリティモジュールに記憶されている鍵と同一の鍵により前記グループ単位秘密情報を暗号化することで、前記受信装置に登録するための暗号化グループ単位秘密情報を生成する秘密情報暗号化手段と、前記グループ単位秘密情報を更新した際に、前記識別子と前記グループ単位秘密情報と更新されたグループ単位秘密情報とを合成したグループ単位更新情報を生成する更新情報合成手段と、を備えた認証情報生成装置と、前記グループ単位更新情報にスクランブル鍵を付加した鍵情報を生成する鍵合成手段と、限定受信方式におけるワーク鍵により前記鍵情報を暗号化することで暗号化鍵情報を生成する鍵情報暗号化手段と、前記スクランブル鍵によりコンテンツを暗号化することで暗号化コンテンツを生成するコンテンツ暗号化手段と、を備えたコンテンツ配信装置と、前記暗号化コンテンツを受信して再生する受信装置と、を有するコンテンツ配信システムにおける前記受信装置であって、
   前記コンテンツ配信装置で生成された暗号化鍵情報を、前記セキュリティモジュールに送信する鍵情報送信手段と、
   前記認証情報生成装置で生成されたグループ単位秘密情報と暗号化グループ単位秘密情報とを識別子とともに予め記憶する秘密情報記憶手段と、
   この秘密情報記憶手段に記憶されている暗号化グループ単位秘密情報を識別子とともに前記セキュリティモジュールに送信する秘密情報送信手段と、
   前記セキュリティモジュールから送信される認証用のチャレンジ情報に対して、前記秘密情報記憶手段に記憶されているグループ単位秘密情報を鍵としてレスポンス情報を生成し、前記セキュリティモジュールに送信する秘密情報認証応答手段と、
   前記セキュリティモジュールから、前記暗号化グループ単位秘密情報と前記レスポンス情報とに基づいて認証された結果として出力されるスクランブル鍵を受信する鍵受信手段と、
   この鍵受信手段で受信されたスクランブル鍵を用いて、前記暗号化コンテンツを復号するコンテンツ復号手段と、
   を備えることを特徴とする受信装置。
2. 受信装置の予め定めたグループ単位ごとに固有の識別子を対応付けて、前記受信装置の正当性を認証するための情報であって、前記受信装置に登録するための秘密情報であるグループ単位秘密情報を生成する秘密情報生成手段と、前記グループ単位秘密情報を更新した際に、前記識別子と前記グループ単位秘密情報と更新されたグループ単位秘密情報とを合成したグループ単位更新情報を生成する更新情報合成手段と、を備えた認証情報生成装置と、前記グループ単位更新情報にスクランブル鍵を付加した鍵情報を生成する鍵合成手段と、限定受信方式におけるワーク鍵により前記鍵情報を暗号化することで暗号化鍵情報を生成する鍵情報暗号化手段と、前記スクランブル鍵によりコンテンツを暗号化することで暗号化コンテンツを生成するコンテンツ暗号化手段と、を備えたコンテンツ配信装置と、前記暗号化コンテンツを受信して再生する受信装置と、を有するコンテンツ配信システムにおける前記受信装置であって、
   前記コンテンツ配信装置で生成された暗号化鍵情報を、前記セキュリティモジュールに送信する鍵情報送信手段と、
   前記認証情報生成装置で生成されたグループ単位秘密情報を識別子とともに予め記憶する秘密情報記憶手段と、
   前記セキュリティモジュールから送信される認証用のチャレンジ情報に対して、前記秘密情報記憶手段に記憶されているグループ単位秘密情報を鍵としてレスポンス情報を生成し、前記セキュリティモジュールに送信する秘密情報認証応答手段と、
   前記セキュリティモジュールから、前記レスポンス情報に基づいて認証された結果として出力されるスクランブル鍵を受信する鍵受信手段と、
   この鍵受信手段で受信されたスクランブル鍵を用いて、前記暗号化コンテンツを復号するコンテンツ復号手段と、
   を備えることを特徴とする受信装置。

Images