JP5453367B2 - 各暗号化ラウンドのコア暗号化関数を隠蔽するために置換を用いたブロック暗号化システム - Google Patents

Description

本発明は、セキュアであり及び／又はパーソナライズされた方法で、縦続された信号処理関数を実行装置に供給する方法に関する。本発明はまた、セキュアであり及び／又はパーソナライズされた方法で、縦続された信号処理関数を実行装置に供給するシステムに関する。本発明は更に、セキュアであり及び／又はパーソナライズされた方法で供給された縦続接続された信号処理関数を実行する実行装置に関する。

インターネットは、ディジタルコンテンツへの便利でユビキタス的なアクセスをユーザに提供する。強力な配布チャネルとしてのインターネットの可能性のため、多くの消費者向け電子機器が、インターネットへの最も有力な入口であるＰＣプラットフォームと相互運用するように努めている。著作権により保護されるコンテンツのための配布媒体としてのインターネットの使用は、コンテンツプロバイダの利益を確保するための抑え難い困難をもたらす。とりわけ、コンテンツプロバイダの著作権及びビジネスモデルを保証することが必要とされる。再生ソフトウェアの制御は、コンテンツが利用され得る期間及び条件を含む、コンテンツの所有者の利益を強化する一方法である。とりわけＰＣプラットフォームについては、ユーザは、コンテンツへのアクセスを提供するハードウェア及びソフトウェアへの完全な制御と、いずれのコンテンツ保護メカニズムをも攻撃及び回避するための無制限の時間及びリソースを持つことが仮定される必要がある。結果として、コンテンツプロバイダは、全てのユーザが信頼されるわけではないコミュニティへの敵対的なネットワークによって、正当なユーザにコンテンツを配信しなければならない。ＰＣへ配布される保護されたコンテンツのためのディジタル権利管理における一般的なアプローチは、ディジタルコンテンツを暗号化し（例えばＤＥＳを利用して）、ＰＣのハードディスク上の所謂ライセンスデータベースに復号化鍵（即ち「ライセンス」）を保存することである。ＰＣ上のディジタルコンテンツは一般に、Microsoft社のMedia Player、Real社のRealOne Player、Apple社のQuickTime（登録商標） Playerのようなメディアプレイヤを利用して再生される。斯かるプレイヤは、特定のコンテンツの形式に対して、当該形式に専用のデコードを実行するための、それぞれのプラグインをロードすることができる。これらのコンテンツの形式は、ＡＶＩ、ＤＶ、Ｍｏｔｉｏｎ ＪＰＥＧ、ＭＰＥＧ−１、ＭＰＥＧ−２、ＭＰＥＧ−４、ＷＭＶ、Ａｕｄｉｏ ＣＤ、ＭＰ３、ＷＭＡ、ＷＡＶ、ＡＩＦＦ／ＡＩＦＣ、ＡＵ等を含み得る。プレイヤ及びプラグインの構造は、図１に示される。図１においては、メディアプレイヤ１００が、コアプレイヤ１００及び幾つかの形式に専用のプラグイン（図示されるものはプラグイン１２０、１２２及び１２４）を含む。コア（core）プレイヤ１００は例えば、プレイヤを制御するためのユーザインタフェースを提供する。各プラグインはそれぞれのデコーダを含む。各プラグインは、デコードされたコンテンツを、サウンドカードのような再生ハードウェア／ソフトウェアに直接送信しても良いし、又は更なる処理のためにコアプレイヤ１００に送っても良い。セキュアな再生のため、当該形式のコンテンツをデコードするだけでなく、該コンテンツを復号化するセキュアなプラグインが利用される。このことは図２に示される。図２においては、暗号化されたコンテンツが最初に復号化器２３０に送られ、次いで復号化されたコンテンツが当該形式に専用のデコーダ２２０に送られる。復号化器２３０は、ライセンスデータベース２１０から復号化鍵／ライセンスを受信しても良い。

暗号化に依存するディジタル権利管理の最大の脆弱性は、鍵の配布及び処理である。再生のために、ソフトウェアプレイヤは、ライセンスデータベースから復号化鍵を取得する必要があり、次いで当該復号化鍵を、暗号化されたコンテンツの復号化のためにメモリのどこかに保存する必要がある。このことは、ソフトウェアプレイヤにおける鍵の処理の攻撃のために、攻撃者に２つの選択肢を残す。第１に、ライセンスデータベースのアクセス関数のリバースエンジニアリングが、全てのライセンスデータベースからアセット鍵（asset key）を取得することが可能なブラックボックスソフトウェアに帰着する（即ち、攻撃者がソフトウェア関数の内部の動作を理解する必要がない）ことである。第２に、コンテンツの復号化の間に利用されるメモリへのアクセスの監視によって、アセット鍵を取得することが可能であることである。
一般に、ディジタル権利管理システムは、ラウンド（round）と呼ばれる暗号化／復号化ステップのシーケンスを利用して、ブロック毎にデータストリームを処理するブロック暗号に基づく暗号化手法を利用する。ｉ−１番目のラウンドの出力が、ｉ番目のラウンドの入力である。従って、Ｎラウンドのシステムについては、アルゴリズムは関数の縦続（cascade）
として記述されることができる。ここで、関数ｆ_ｉは、ラウンドｉの関数を表す。殆どのブロックアルゴリズムは、Feistelネットワークである。斯かるネットワークにおいては、偶数長ｎの入力データブロックｘは、長さｎ／２の２つの半分（通常Ｌ及びＲと呼ばれる）に分割される。１番目のラウンドに供給される入力ｘはｘ＝＜Ｌ_０，Ｒ_０＞と与えられる。ｉ番目のラウンド（ｉ＞０）は、関数ｆ_ｉを実行する。ここでｆ_ｉは、
と定義される。Ｋ_ｉはｉ番目のラウンドにおいて利用される副鍵（subkey）であり、Ｆは任意のラウンド関数（round function）である。

特開平８−１６３８５号公報 国際公開第０２／４６８９０号 特表２００２−５１４３３３号公報 特開２００１−６７２７０号公報

松岡賢他，鍵内蔵型暗号ソフトウェアの技術者による耐タンパー性評価法の事例紹介，電子情報通信学会技術研究報告，2001年9月10日，Vol. 101 No. 311，p. 45-52

本発明の目的は、Feistelネットワークのような縦続された信号処理関数のより優れた保護を提供することにある。

本目的を達成するため、ディジタル信号処理関数ｆを不明瞭化された形態で実行装置に供給する方法であって、前記関数ｆは、ディジタル信号入力ｘを処理してディジタル信号出力を出力するための、複数の信号処理関数ｆ_ｉ（１≦ｉ≦Ｎ）を含む関数縦続（例えば
）を含む前記方法は、
２Ｎ個の反転可能な置換ｐ_ｉ（１≦ｉ≦２Ｎ）のセットを選択するステップと、
Ｎ個の関数ｇ_ｉのセットを算出するステップと、を含み、ここで関数ｇ_ｉは、１≦ｉ≦Ｎについて
と関数的に同等であり、前記方法は更に、
Ｎ−１個の関数ｈ_ｉのセットを算出するステップを含み、ここで関数ｈ_ｉは、２≦ｉ≦Ｎについて
と関数的に同等であり、前記方法は更に、
を含む実行装置関数縦続を前記実行装置に備えるステップを含み、ここでｙ_１乃至ｙ_Ｎは関数パラメータであり（例えば
）、前記方法は更に、
関数ｇ_１乃至ｇ_Ｎを前記実行装置に供給するステップと、
前記実行装置において、前記実行装置関数縦続を関数ｇ_１乃至ｇ_Ｎに適用する（例えばＥＤ_１（ｇ_１，・・・，ｇ_Ｎ））ステップと、
を含む。
本発明によれば、構成（constituent）関数ｆ_ｉは、ｇ_ｉとしてカプセル化された形態で提供される。ここでｇ_ｉは、１≦ｉ≦Ｎについて、
に関数的に同等である。カプセル化のために利用される関数ｐ_ｉもまた、２≦ｉ≦Ｎについて、
の乗算されたバージョンであるｈ_ｉの形態で供給されることにより隠蔽される。インターリーブされた態様で実行装置において関数ｇ_ｉ及びｈ_ｉを実行する（例えば図４に示されるように）ことにより、ｆ_ｉを直接に認識可能とすることなく、関数の縦続の機能が達成される。とりわけ、ｆ_ｉがFeistel暗号のラウンド関数を表す場合には、該ラウンド関数に埋め込まれたラウンド鍵は直接には認識されない。ｆ_ｉの不明瞭にされた配信がセキュリティを増大させる。実行関数装置縦続が、メディアプレイヤのコア機能を形成し得る。ここで、セットｇ_１、・・・、ｇ_Ｎが、該プレイヤがｆ_１からｆ_Ｎまで（ｆ_Ｎを含む）を含む関数縦続を実行することを可能とする。
従属請求項２及び３は、関数縦続の（関数的な）開始を保護する２つのそれぞれの代替例を示す。請求項２の例においては、実行装置関数縦続はｐ_１ ^−１から開始し、例えば
である。これをｇ_１、・・・、ｇ_Ｎに適用することにより、前記装置において実行される関数シーケンスの関数的な開始として
となり、このようにして前記実行装置はｆ_１を明示的に実行する。請求項３の例においては、ｐ_１ ^−１を隠蔽することを支援する開始関数ｆ_０を用いて関数縦続を拡張することにより、セキュリティが増大させられる。該関数縦続は例えば、
であっても良い。前記実行装置関数縦続は関数Ｓ_１から開始し、例えば
である。ここでＳ_１は
に関数的に同等である。Ｓ_１は単にｆ_０で乗算された形態でｐ_１ ^−１を表すため、ｐ_１ ^−１は特定のメモリ位置を読み取ることのような直接的な方法で前記実行装置から取得されることはできない。好ましくは、ｆ_０はグローバルに秘密（global secret）である。

従属請求項４及び５は、請求項２及び３と類似した方法で関数縦続の（関数的な）末尾を保護する２つのそれぞれの代替例を示す。

従属請求項６の方法によれば、選択された置換ｐ_ｉのシーケンスが装置に対して一意的である。このようにして、関数縦続が、不明瞭にされた形態でだけではなく、パーソナライズされた形態で、実行装置に供給される。例えば、埋め込まれた復号鍵を持つFeistel暗号を関数縦続が表す場合、暗号解読又は力任せの攻撃は、ｇ_１、・・・、ｇ_Ｎのブラックボックス機能を得ることに帰着し得る。この破壊された機能はこのとき、対応する実行装置関数縦続と組み合わせてのみ機能し、他のいずれの実行装置とも機能しない。このことは、成功する攻撃の影響をかなり制限する。

従属請求項７の方法によれば、実行装置関数縦続は、例えばメディアプレイヤ又はメディアプレイヤ用のプラグインの形態で、プログラムに埋め込まれる。該実行装置はかくして、セキュアでパーソナライズされたソフトウェアを備える。

従属請求項８の方法によれば、関数ｇ_１、・・・、ｇ_Ｎは、前記プログラム用のプラグインを形成する。前記プログラム自体がプラグインである場合には、関数ｇ_１、・・・、ｇ_Ｎは事実上該プラグイン用のプラグインである。代替として、従属請求項９の方法によれば、関数ｇ_１、・・・、ｇ_Ｎは前記実行装置関数縦続と同じプログラムに埋め込まれても良い。
本発明の目的を達成するため、実行装置中のプロセッサに、ディジタル信号処理関数ｆを実行させるように動作可能なコンピュータプログラムであって、前記関数ｆは、ディジタル信号入力ｘを処理してディジタル信号出力を出力するための、複数の信号処理関数ｆ_ｉ（１≦ｉ≦Ｎ）を含む関数縦続（例えば
）を含み、前記関数ｆの実行は、
を含む実行装置関数縦続をロードし、
関数ｇ_１乃至ｇ_Ｎのセットをロードし、
前記関数ｇ_１乃至ｇ_Ｎのセットに前記実行装置関数縦続を適用することにより実行され、ここでｙ_１乃至ｙ_Ｎは関数パラメータであり、
ｇ_ｉは、１≦ｉ≦Ｎについて
と関数的に同値であり、
ｈ_ｉは、２≦ｉ≦Ｎについて
と関数的に同値であり、
ｐ_ｉは、１≦ｉ≦２Ｎについて反転可能な置換であるコンピュータプログラムが提供される。
本発明の目的を達成するため、ディジタル信号処理関数ｆを、不明瞭化された匿名の形態で、それぞれが一意的なインデクスｊによって識別される複数の実行装置に供給する方法であって、前記関数ｆは、ディジタル信号入力ｘを処理してディジタル信号出力を出力するための、複数の信号処理関数ｆ_ｉ（１≦ｉ≦Ｎ）を含む関数縦続（例えば
）を含む前記方法は、
２Ｎ個の反転可能な置換ｐ_ｉ（１≦ｉ≦２Ｎ）のセットを選択するステップと、
Ｎ個の関数ｇ_ｉのセットを算出するステップと、を含み、ここで関数ｇ_ｉは、１≦ｉ≦Ｎについて
と関数的に同等であり、前記方法は更に、
各装置ｊについて、前記装置及び／又は前記装置のユーザについて一意的な２Ｎ個の反転可能な置換ｐ_ｊ，ｉの対応するセット及び／又はシーケンスを選択するステップと、
各実行装置ｊについて、Ｎ−１個の関数ｈ_ｊ，ｉの対応するセットを算出するステップと、を含み、ここでｈ_ｊ，ｉは、２≦ｉ≦Ｎについて
と関数的に同等であり、前記方法は更に、
各前記実行装置ｊに
を含むそれぞれの実行装置関数縦続ＥＤ_ｊ（ｙ_１，・・・，ｙ_Ｎ）を備えるステップと、
各前記実行装置ｊにそれぞれのローダ関数
を備えるステップと、
を含み、ここでｌ_ｊ，ｉは
に関数的に同等であり、ｒ_ｊ，ｉは
に関数的に同等であり、前記方法は更に、
前記実行装置に関数ｇ_１乃至ｇ_Ｎを供給するステップと、
前記実行装置において、ＥＤ_ｊ（ｌｏａｄｅｒ_ｊ（ｇ_１，・・・，ｇ_Ｎ））を実行するステップと、
を含む。

関数ｆ_ｉは、請求項１に記載のものと同様に、関数ｇ_１、・・・、ｇ_Ｎの形態で不明瞭にされる。関数ｇ_１、・・・、ｇ_Ｎは各装置に対して同一であり、１つのデフォルト／匿名の装置に対応するように見える。実行装置は装置に特有の（「パーソナライズ」された）実行装置縦続を備える。装置に特有のローダ（loader）関数が、それぞれの匿名の関数ｇ_ｉを、実行装置縦続に送られる対応する装置に特有の関数へと変換するために利用される。前記ローダ関数は、公然にされていない置換ｐ_ｊ，ｉのセット／シーケンスに基づく変換関数ｌ_ｊ，ｉ及びｒ_ｊ，ｉを利用する。

別の態様の方法によれば、関数ｇ_ｉは、例えば放送又はＣＤ−ＲＯＭ若しくはＤＶＤのような記憶媒体を利用して、全ての装置に同一の方法で供給されることができる。

本発明のこれらの及び他の態様は、以下に説明される実施例を参照しながら説明され明らかとなるであろう。

先行技術のプラグインベースのデコードのブロック図を示す。 先行技術ベースの復号化のブロック図を示す。 先行技術の一体化された復号化／デコードシステムのブロック図を示す。 本発明による不明瞭化を示す。 不明瞭化の単純な例を示す。 本発明によるシステムのブロック図を示す。 本発明によるシステムの更なる実施例を示す。 本発明による匿名の不明瞭化を示す。 匿名の不明瞭化のための代替実施例を示す。

図３は、本発明が利用され得る先行技術のシステムのブロック図を示す。図３の例においては、コンテンツ（典型的にはオーディオ及び／又はビデオコンテンツ）が媒体３１０に配布される。前記媒体は、各プレイヤについて同一であっても良い。前記媒体は、オーディオＣＤ、ＤＶＤ、固体メモリ等のような、いずれの適切なタイプのものであっても良い。前記媒体上のコンテンツは、好ましくはFeistel暗号のような暗号化アルゴリズムを利用のもとに暗号化されることにより、コピー保護されている。前記記憶媒体は、復号化鍵に関する情報を含んでも良い。代替として前記記憶媒体は、プレイヤが、例えばインターネットにおけるサーバから該情報をダウンロードすることによって、前記情報を取得することを可能とする情報３１２（識別子のような）を含んでも良い。前記復号化鍵は、復号化鍵３２６を算出する（３２４）ため、鍵特有の鍵３２２及び情報３１２を利用することによりセキュアモジュール３２０において生成される。前記復号化鍵は、第２のモジュール３３０において取得される（３３２）。第２のモジュール３３０は、媒体３１０のコンテンツ３１４を復号化し（３３４）、デコードし（３３６）、再生する（３３８）。
図４は、本発明による方法を示す。ディジタル信号処理関数ｆは、不明瞭化された形態で実行装置に供給される。関数ｆは、複数の信号処理関数ｆ_ｉ（１≦ｉ≦Ｎ）を含む関数縦続を含む。例えば、前記関数縦続のコアは、
によって形成されても良い。ここで慣例的な数学的表記：
が利用されていることに留意されたい。原則的に、前記関数縦続はいずれのディジタル信号処理関数であっても良い。好適な実施例においては、前記関数縦続は暗号を含む。例えば、関数ｆ_ｉはFeistel暗号のｉ番目のラウンド（ｉ＞０）を表しても良い。斯かる場合においては、ｆ_ｉは、
と定義される。ここでＫ_ｉはｉ番目のラウンドにおいて利用される副鍵であり、Ｆは任意のラウンド関数である。
本発明によれば、２Ｎ個の反転可能な置換ｐ_ｉ（１≦ｉ≦２Ｎ）が選択される。次いで、Ｎ個の関数ｇ_ｉのセットが算出される。ここでｇ_ｉは、１≦ｉ≦Ｎについて
に関数的に同等である。ここで関数的に同等であるとは、全てのとり得る入力の値について、ｇ_ｉが同じ入力（例えばｘ）に適用された場合に、
が当該入力に適用された場合と等しい結果が得られることを意味する。合成関数ｐ_２ｉ ^−１、ｆ_ｉ及びｐ_２ｉ ^−１は、個別には認識できない。ｇ_ｉは、
のブラックボックス機能を提供する。図５は、当該アプローチを非常に単純な１次元関数について説明する。本例においては、
である。従って、
である。コンピュータのコンパイラ構築の分野においては、
のブラックボックス機能が所謂部分評価（partial evaluation）を用いてどの様に達成されるかが良く知られている。N. D. Jones、C. K. Gomard及びP. Sestoftによる「Partial Evaluation and Automatic Program Generation」の第１章は、部分評価の概念を記載している。このことは、より詳細にはここでは説明されない。有用な置換を実行することを可能とするため、ディジタル信号入力ｘは、例えば６４又は１２８ビットブロック／ベクトルの、多次元パラメータであることは理解されるであろう。本発明によれば、Ｎ−１個の関数ｈ_ｉのセットが算出される。ここでｈ_ｉは、２≦ｉ≦Ｎについて
と関数的に同等である。図５の単純な例を利用すると、
である。これらの定義を利用すると、ｆ_２を隠蔽する前記実行装置の縦続の部分は、
となる。これは実際に
と関数的に同等であることが分かる。かくして、当該縦続を実行した実行装置は、ｆ_２の明示的な知識を持つことなくｆ_２を実行したことになる。

別の例においては、Ｎ＝２であり、ｆ_１及びｆ_２がそれぞれ
ｆ_１：｛０−＞３、１−＞１、２−＞６、３−＞２、４−＞７、５−＞５、６−＞４、７−＞０、８−＞８｝、
ｆ_２：｛０−＞４、１−＞１、２−＞５、３−＞７、４−＞６、５−＞２、６−＞０、７−＞８、８−＞３｝
によって与えられるマッピングテーブルに対して評価される。本例においては、ｆ_１は０と８との間の数を０と８との間の数に変換する反転可能な関数である。例えば値０は値３に、値１は値１に、値２は値６に等変換される。以下の４つのそれぞれの置換が、本例において利用される：
ｐ_１：｛０−＞５、１−＞３、２−＞１、３−＞７、４−＞０、５−＞６、６−＞２、７−＞８、８−＞４｝、
ｐ_２：｛０−＞８、１−＞６、２−＞７、３−＞３、４−＞４、５−＞２、６−＞０、７−＞１、８−＞５｝、
ｐ_３：｛０−＞３、１−＞５、２−＞７、３−＞１、４−＞６、５−＞０、６−＞２、７−＞８、８−＞４｝、
ｐ_４：｛０−＞３、１−＞０、２−＞５、３−＞２、４−＞７、５−＞８、６−＞１、７−＞４、８−＞６｝
本例に対しては、以下の３つの逆置換が利用される：
ｐ_２ ^−１：｛０−＞６、１−＞７、２−＞５、３−＞３、４−＞４、５−＞８、６−＞１、７−＞２、８−＞０｝、
ｐ_３ ^−１：｛０−＞５、１−＞３、２−＞６、３−＞０、４−＞８、５−＞１、６−＞４、７−＞２、８−＞７｝、
ｐ_４ ^−１：｛０−＞１、１−＞６、２−＞３、３−＞０、４−＞７、５−＞２、６−＞８、７−＞４、８−＞５｝
これら３の関数が与えられると、
は以下のように与えられる：
ｈ_２：｛０−＞７、１−＞４、２−＞２、３−＞０、４−＞８、５−＞６、６−＞５、７−＞３、８−＞１｝
例えば、ｐ_２は０を８へマッピングし、ｐ_３ ^−１は８を７にマッピングする。従って、
である。同様に、
は、
ｇ_１：｛０−＞８、１−＞５、２−＞７、３−＞６、４−＞３、５−＞４、６−＞１、７−＞０、８−＞２｝
によって与えられ、
は、
ｇ_２：｛０−＞４、１−＞３、２−＞５、３−＞６、４−＞１、５−＞７、６−＞２、７−＞０、８−＞８｝
によって与えられる。
前記実行装置は、
を含む実行装置関数縦続を備える。ここで、ｙ_１、・・・、ｙ_Ｎは関数パラメータである。このことは図４において、関数ｈ_Ｎ、ｈ_Ｎ−１、・・・、ｈ_２のシーケンス４１０として示される。実行装置関数縦続の例は、
である。更に、関数ｇ_１、・・・、ｇ_Ｎが前記実行装置に供給される。このことは図４において、関数ｇ_Ｎ、ｇ_Ｎ−１、・・・、ｇ_Ｎのシーケンス４２０として示される。前記実行装置において、前記実行装置関数縦続が関数ｇ_１、・・・、ｇ_Ｎに適用される。このことは例えば、前記実行装置における全体の信号処理関数ＥＤ_１（ｇ_１，・・・，ｇ_Ｎ）を与える。該関数は次いでディジタル信号入力ｘに適用される。
のような連鎖の中央部分を見ると、該部分は
を与える。該式の最初の項及び最後の項は、それぞれのｇ項によって除去される。全体の結果として、前記実行装置は、いずれの関数ｆ_ｉへのアクセスをも持つことなく、関数縦続
を含む関数を実行する。これらの関数はかくして不明瞭化される。
好適な実施例においては、前記連鎖の先頭及び末尾の処理について選択肢が与えられる。いずれの更なる手段をも用いずに、前記実行装置における結果の全体の信号処理関数が、
となり得る。例えば、項ｐ_１は
を含む実行装置関数縦続を利用することにより除去され得る。例えば、
である。好ましくは、項ｐ_１ ^−１は前記実行装置においてセキュアに維持される。このことを実行する好適な方法は、更なる信号処理関数ｆ_０を用いて関数縦続を拡張することである（例えば
）。このとき前記実行装置関数縦続は
を含む（例えば
）。ここでＳ_１は、
に関数的に同等である。このようにして、個々の項ｐ_１ ^−１及びｆ_０は明らかにされる必要がなく、乗算された形式
のみが存在する。好ましくは、ｆ_０はグローバルに秘密である。即ち、ｆ_０を知っている必要があるものには知られているが、それ以上は配布されない。グローバルな秘密はそれ自体知られており、グローバルな秘密をセキュアな方法で通信する方法もまた知られているが、ここではこれ以上議論されない。
対応する方法で、項ｐ_２Ｎ−１ ^−１を処理するための方法がとられても良い。例えば、前記実行装置関数縦続は、
を含んでも良い（例えば
）。ｐ_２Ｎのより優れた保護のため、前記関数縦続は更なる信号処理関数ｆ_Ｎ＋１で終了しても良い（例えば
）。このとき前記実行装置関数縦続は
を含む（例えば
）。ここでＳ_２は、
と関数的に同等である。

図６は、本発明が利用され得るシステムを示す。システム６００は、サーバ６１０と、少なくとも１つの実行装置６２０とを有する。前記サーバは、例えばウェブサーバのようなサーバとして利用されるプラットフォーム又はファイルサーバのような、従来のコンピュータプラットフォーム上に実装されても良い。前記サーバは、プロセッサ６１２を含む。プロセッサ６１２は、プログラムの制御下で動作する。前記プログラムは、埋め込まれたＲＯＭのように埋め込まれた記憶装置において前記プロセッサに常設的に埋め込まれても良いが、ハードディスク（図示されていない）のようなバックグラウンドの記憶装置からロードされても良い。前記プログラムの制御の下、プロセッサ６１２は以下を実行する：
・２Ｎ個の反転可能な置換ｐ_ｉ（１≦ｉ≦２Ｎ）のセットを選択する。
・Ｎ個の関数ｇ_ｉのセットを算出する。ここでｇ_ｉは、１≦ｉ≦Ｎについて
と関数的に同等である。
・Ｎ−１個の関数ｈ_ｉのセットを算出する。ここでｈ_ｉは、２≦ｉ≦Ｎについて
と関数的に同等である。
前記置換は、（好ましくはセキュアな）記憶装置（図示されていない）に保存されていても良い、置換の非常に大きなセットから（例えばランダム的に又は疑似ランダム的に）選択されても良い。前記サーバは、前記置換を生成するために適切なプログラムも利用しても良い。反転可能な置換を生成する方法は良く知られており、ここではこれ以上説明されない。
加えて、前記サーバは、
を含む実行装置関数縦続を前記実行装置に供給するための手段６１４を含む。ここでｙ_１、・・・、ｙ_Ｎは関数パラメータである。これらのサーバは、このことをいずれの適切な形態で実行しても良い。例えば工場では、項ｈ_ｉは、実行装置６２０の製造の間、前記実行装置の記憶モジュールに保存されても良い。図６は、前記項が、インターネット６３０によって直接に実行装置６２０にダウンロードされることを示す。サーバ６１０はまた、関数ｇ_１、・・・、ｇ_Ｎを実行装置６２０に供給するための手段６１６を含む。関数ｇ_ｉは、それぞれ関数ｆ_ｉを組み込む。関数ｆ_ｉは、ディジタル信号入力ｘ用に特に選択される。例えば、各ビデオタイトルが、対応する暗号化関数を用いて暗号化される（例えば同一の暗号化だがコンテンツ特有の鍵を利用して）。この目的のため、サーバ６１０はまた、コンテンツ６４０を暗号化するようにプロセッサ６１２を制御するためのソフトウェアを含んでも良く、また、例えば記憶媒体による又はインターネットのような通信媒体を通した配布のために、配布媒体に暗号化されたコンテンツ６４２を供給しても良い。

実行装置６２０は、サーバ６１０から関数ｇ_１、・・・、ｇ_Ｎを得るための手段６２６を含む。これらの手段は前記サーバの手段６１６と協働するものであり、更には説明されない。実行装置６２０は更に、プロセッサ６２２を含む。前記プロセッサは、パーソナルコンピュータから知られたプロセッサ又は埋め込まれたマイクロコントローラのような、いずれの適切なタイプのものであっても良い。プロセッサ６２２は、プログラムの制御下で動作する。前記プログラムは、埋め込まれたＲＯＭのように埋め込まれた記憶装置を利用してプロセッサ６２２に常設的に埋め込まれても良いが、ハードディスク（図示されていない）のようなバックグラウンドの記憶装置からロードされても良い。前記プログラムの制御の下、プロセッサ６２２は、実行装置関数縦続をロードし、例えばＥＤ_１（ｇ_１，・・・，ｇ_Ｎ）を実行することにより、該ロードされた実行装置関数縦続を関数ｇ_１、・・・、ｇ_Ｎに適用する。結果の信号処理関数は次いで、信号入力ｘ（例えば媒体から受信されたコンテンツ）に適用されても良い。プロセッサ６２２は、いずれの適切な形態で前記実行装置関数縦続をロードしても良い。例えば前記縦続は、製造の間記憶装置に予め保存され、直接のメモリ読み取りアクセスへのロードを減少させても良い。図６の例においては、実行装置６２０は、例えばインターネット６３０を通して、又は媒体６５０から、前記縦続（又は前記縦続の項）を取得するための手段６２４を含む。同様に、実行装置６２０は、媒体６５０から暗号化されたコンテンツ６５２を取得し、プロセッサ６２２を利用して該コンテンツを復号化しても良い。前記プロセッサは、前記復号化されたコンテンツをデコードしても良い。

図７は、実行装置関数縦続が、プロセッサ６２２による実行のためのソフトウェアプログラム７１０に埋め込まれて実行装置６２０に供給される、好適な実施例を示す。図７における同一の番号は、図６において利用されたものと同一のアイテムを示す。ソフトウェアプログラム７１０は、メディアプレイヤのようなプログラム用のプラグインであっても良い。従って図７の手段６１４は、該プラグイン７１０を、インターネットを介して供給しても良く（例えば図７のアイテム６３０）、又は製造の間に実行装置６２０に直接埋め込んでも良い。

実施例においては、関数ｇ_１、・・・、ｇ_Ｎが、プログラム７１０用のプラグインの形で実行装置６２０に供給される。プログラム７１０が既にプラグインである場合には、関数ｇ_１、・・・、ｇ_Ｎは事実上プラグイン用のプラグインである。代替としては、関数ｇ_１、・・・、ｇ_Ｎは、前記実行装置関数縦続を関数パラメータｇ_１、・・・、ｇ_Ｎに適用することにより、関数ｇ_１、・・・、ｇ_Ｎをソフトウェアプログラム７１０に埋め込むことにより、実行装置６２０に供給される。このようにして、プログラム７１０は、関数ｈ_ｉとｇ_ｉとの両方を埋め込む。

実施例においては、各実行装置及び／又は該実行装置のユーザは一意的であり、一意的な識別子（例えば一意的な番号ｊ）によって識別される。本発明によるシステム及び方法においては、シーケンスｇ_ｉ及びｈ_ｉは、包含されるユーザ／団体（party）に対して一意的であることが保証される。このことは、実行装置及び／又は実行装置のユーザの一意的な識別子ｊを得ることによって、及びそれぞれ得られた識別子に対して一意的な２Ｎ個の反転可能な置換ｐ_ｉのセットによって、実現されることができる。同様に、置換の同一のセットを利用して、置換の一意的なシーケンスが選択され得る。両方の手法が（置換の異なるセット又は置換の異なるシーケンスを選択する）組み合わせられても良い。好ましくは、各一意的な識別子について一意的なセット／シーケンスを、サーバが（セキュアな方法で）保存する。このようにして、パーソナルコンピュータ中の各ソフトウェアメディアプレイヤが、メディアタイトルを復号化及び／又はデコードするための一意的なプラグインを供給されることができる。媒体自体は一意的である必要はない。暗号化されたコンテンツは、単に暗号化関数に依存し、置換の一意的なセット／シーケンスには依存しない。前記ソフトウェアが前記識別子に対応するか否かを定期的に（例えばメディアプレイヤの起動時に）チェックし、一致が確認された場合にのみ前記ソフトウェアを実行することにより、プレイヤソフトウェアが、該プレイヤソフトウェアが属さないＰＣ上で実行されないことが保証される。偶然にハッカーが装置特有の置換を得たとしても、該置換は包含されるＰＣにおいてのみ利用されることができ、異なる暗号化（異なる関数ｆ_ｉに帰着する）を用いて保護されたコンテンツには利用可能であるが、異なるプラットフォームにおいては利用されることができない。
以上では、信号処理関数の縦続が不明瞭な態様で実行装置に供給される方法及びシステムが説明された。各装置について、置換の同一のセット／シーケンスが利用されても良いし、又は装置特有のセット／シーケンスが利用されても良い。以下では、各装置について同一である不明瞭化された態様で信号関数縦続（「鍵」）を配布し、共通鍵（common key）を装置特有の鍵に変換する変換ルーチン（「ローダ」）を利用することにより、装置特有のセット／シーケンスを実現するための好適なアプローチが説明される。「共通鍵」は上述したものと略同じ方法で生成される。前記共通鍵は基本的にリファレンスプレイヤ又は匿名プレイヤを「アンロック（unlock）」するが、しかしながらこれらのプレイヤは、本実施例においては、いずれの実際の実行装置によっても実行されない。上述のものと同様に、本方法は２Ｎ個の反転可能な置換ｐ_ｉのセット（１≦ｉ≦２Ｎ）を選択するステップと、Ｎ個の関数ｇ_ｉを算出するステップとを有する。ここでｇ_ｉは、１≦ｉ≦２Ｎについて
と関数的に同等である。本方法は加えて、それぞれが一意的なインデクスｊによって識別される各実行装置について、該装置及び／又は該装置のユーザについて一意的な対応する２Ｎ個の反転可能な置換ｐ_ｊ，ｉのセット及び／又はシーケンスを選択するステップを有する。該セットは、一意的な「プレイヤ」を各装置に備えるために利用される。該一意的なプレイヤは、各実行装置ｊについてＮ−１個の関数ｈ_ｊ，ｉの対応するセットを算出し、各実行装置ｊに
を含むそれぞれの実行装置関数縦続ＥＤ_ｊ（ｙ_１，・・・，ｙ_Ｎ）を備えることにより形成される。ここでｈ_ｊ，ｉは、２≦ｉ≦Ｎについて
に関数的に同等である。しかしながら、該装置特有のセットｈ_ｉは、セットｈ_ｉを利用するリファレンスプレイヤを「アンロック」することができる不明瞭化された関数縦続とは一致しない。該後者のセット／プレイヤのセットは、いずれの実行装置にも利用可能とはされない。その代わりに、実行装置ｊがそれぞれのローダ関数
を備える。ここでｌ_ｊ，ｉは
と関数的に同等であり、ｒ_ｊ，ｉは
と関数的に同等である。上述のものと同様に、各実行装置は同一の関数ｇ_１、・・・、ｇ_Ｎを備える。前記実行装置はこのときＥＤ_ｊ（ｌｏａｄｅｒ_ｊ（ｇ_１，・・・，ｇ_Ｎ））を実行する。本式において、ｌｏａｄｅｒ_ｊ（ｇ_１，・・・，ｇ_Ｎ）は事実上匿名鍵ｇ_１、・・・、ｇ_Ｎを、実行装置関数縦続ＥＤ_ｊ（ｙ_１，・・・，ｙ_Ｎ）に最適に一致する装置特有の鍵に変換する。定義：ｌｏａｄｅｒ_ｊ（ｇ_１，・・・，ｇ_Ｎ）＝（ｇ_ｊ，１，ｇ_ｊ，２，・・・，ｇ_ｊ，Ｎ）を用いると、ｌｏａｄｅｒ_ｊ（ｇ_１，・・・，ｇ_Ｎ）のｉ番目の要素は
である。上述の定義を用いると、このことは
を与え、該式は
と書き換えられる。このことは、装置特有のセットｈ_ｊ，ｉが置換を除去する、装置特有の置換セット／シーケンスを利用する場合と同様である。

匿名の不明瞭化された鍵及び装置特有のローダを利用する着想はまた、図８に示される。匿名プレイヤＰｌ−Ｒ８１０は、関数ｈ_ｉを組み込む。匿名プレイヤＰｌ−Ｒは、不明瞭化された信号処理関数ｆ_ｉをセットｇ_ｉの形で含む、対応する鍵Ｋ−Ｒ８１２によって開錠されることができる。匿名プレイヤＰｌ−Ｒは、いずれのユーザ／団体にも開示されていない。その代わり各ユーザ／団体は、一意的な装置特有のプレイヤ（図示されているものはプレイヤＰｌ−１（８３０）及びＰｌ−２（８４０））を備えられる。共通鍵Ｋ−Ｒは全てのユーザ／団体に供給される。しかしながら、該共通鍵は、特定のプレイヤに合致しない。それ故、各ユーザ／団体はまた装置特有の鍵ローダＫ−Ｌ（図示されているものは８２０及び８２５）を供給される。ローダ８２０及び８２５は、匿名鍵Ｋ−Ｒ８１２を装置特有の鍵Ｋ−ｊに変換するために利用される。この目的のため、ローダＫ−Ｌ_ｉは関数ｌ_ｉ，ｊ及びｒ_ｊ，ｉを含む。図８に示されたように、原則的に、装置特有のローダが利用される。図９に更に示されたように、実際には、前記ローダは同一であっても良いが、装置特有の関数ｌ_ｊ，ｉ及びｒ_ｊ，ｉと共に供給される。図９の例においては、ｌ_１，ｉ及びｒ_１，ｉと共に供給されることにより匿名鍵Ｋ−Ｒ８１２を装置１用の装置特有の鍵８３２に変換し、ｌ_２，ｉ及びｒ_２，ｉと共に供給されることにより匿名鍵Ｋ−Ｒ８１２を装置２用の装置特有の鍵８４２に変換する。装置特有のプレイヤ８３０及び８４０が次いで、それぞれ装置特有の鍵のセットｈ_１，ｉ（それぞれ８３２及び８４２）を利用してアンロックされる。これらの例においては、「鍵」及び「プレイヤ」なる語句は交換可能である。なぜなら、関数の２つの連鎖が相互にロックするからである。図４の例は、両方の連鎖を鍵として説明している。同様に、このことは２つの相互にロックするプレイヤとしても説明され得る。

匿名プレイヤ８１０（ｇ_Ｎ、・・・、ｇ_１を組み込む）は有利にも、放送及び／又は記憶媒体における配布を通じて、各実行装置について同一のコンテンツを用いて、各実行装置に供給されても良いことは理解されるであろう。このことは単に、該プレイヤが各装置について同一であるからである。同様に、各実行装置によって処理されるべきディジタル信号入力ｘは、放送及び／又は記憶媒体における配布を通じて、各実行装置について同一のコンテンツを用いて配布されても良い。ローダに特有の態様は好ましくは、少なくとも１つの対応する関数のセットｈ_ｊ，ｉ、ｌ_ｊ，ｉ又はｒ_ｊ，ｉを用いて装置特有のコンテンツを用いて、「１対１通信チャネル」及び／又は記憶媒体を介して、実行装置ｊに供給される。「１対１通信チャネル」は、いずれの適切な方法で実現されても良い。好ましくは、前記サーバは、インターネットを利用してセキュアなリンク（例えばＳＳＬ）を介して、前記装置特有の情報をダウンロードする。
上述したように、関数ｆはFeistel暗号ネットワークに基づく復号化関数であっても良く、信号処理関数ｆ_ｉの各々は、それぞれのFeistel復号化ラウンド関数である。斯かる場合には、置換ｐ_ｉの各々は好ましくは、Feistel変換器である。ここで連続的な対＜ｘ，ｙ＞に演算する関数Ｑは、反転可能な関数Ｑ_ｘ及びＱ_ｙが存在し且つＱ（＜ｘ，ｙ＞）＝＜Ｑ_ｘ（ｘ），Ｑ_ｙ（ｙ）＞である場合には、Feistel変換器である。ここで、
及び
である。これらの条件が満たされる場合、関数ｆ_ｉは最適に隠蔽される。実際には、多くの斯かるFeistel変換器が存在し、装置に特有な置換の選択のための十分な余地を与える。Feistel変換器の定義は、上述の定義を用いて、定義：ｓｗａｐ（＜ｘ，ｙ＞）＝ｓｗａｐ（＜ｙ，ｘ＞）及び
を用いると、Feistelラウンド
が
として見ることができるという洞察に基づく。このときｓｗａｐ^−１＝ｓｗａｐ及びｉｎｖｏｌｕｔａｒｙ_Ｆ ^−１＝ｉｎｖｏｌｕｔａｒｙ_Ｆが成り立つ。

本発明は、本発明を実施するために適応されたコンピュータプログラム、特に担体上のコンピュータプログラムにも適用されることは理解されるであろう。前記プログラムは、ソースコード、オブジェクトコード、部分的にコンパイルされた形式のようなソースコードとオブジェクトコードの中間のコード、又は本発明による方法の実装における利用に適した他のいずれの形態であっても良い。前記担体は、前記プログラムを担持することが可能ないずれのエンティティ又は装置であっても良い。例えば前記担体は、例えばＣＤ−ＲＯＭ若しくは半導体ＲＯＭといったＲＯＭのような記憶媒体、又は例えばフロッピー（登録商標）ディスク若しくはハードディスクのような磁気記録媒体を含んでも良い。更に前記担体は、電気若しくは光ケーブルによって、無線によって、又はその他の手段によって伝達され得る、電気又は光信号のような伝送可能な担体であっても良い。前記プログラムが斯かる信号で実施化される場合には、前記担体は斯かるケーブル又は他の装置若しくは手段によって構成されても良い。代替として、前記担体は、前記プログラムが埋め込まれた集積回路であって、本方法を実行するために、又は本方法の実行における使用のために適応された集積回路であっても良い。

上述の実施例は本発明を限定するものではなく説明するものであって、当業者は添付する請求項の範囲から逸脱することなく多くの代替実施例を設計することが可能であろうことは留意されるべきである。請求項において、括弧に挟まれたいずれの参照記号も、請求の範囲を限定するものとして解釈されるべきではない。動詞「有する（comprise）」及びその語形変化の使用は、請求項に記載されたもの以外の要素又はステップの存在を除外するものではない。要素に先行する冠詞「１つの（a又はan）」は、複数のかような要素の存在を除外するものではない。本発明は、幾つかの別個の要素を有するハードウェアによって、及び適切にプログラムされたコンピュータによって実装されても良い。幾つかの手段を列記した装置請求項において、これら手段の幾つかは同一のハードウェアのアイテムによって実施化されても良い。特定の手段が相互に異なる従属請求項に列挙されているという単なる事実は、これら手段の組み合わせが有利に利用されることができないことを示すものではない。

Claims (14)

1. ディジタル信号処理関数ｆを不明瞭化された形態で実行装置に供給する方法であって、前記関数ｆは、ディジタル信号入力ｘを処理してディジタル信号出力を出力するための、複数の信号処理関数ｆ_ｉ（１≦ｉ≦Ｎ）を含む関数縦続を含み、前記方法は、
   ２Ｎ個の反転可能な置換ｐ_ｉ（１≦ｉ≦２Ｎ）のセットを選択するステップと、
   Ｎ個の関数ｇ_ｉのセットを算出するステップと、を含み、ここで関数ｇ_ｉは、１≦ｉ≦Ｎについて
   と関数的に同等であり、前記方法は更に、
   Ｎ−１個の関数ｈ_ｉのセットを算出するステップを含み、ここで関数ｈ_ｉは、２≦ｉ≦Ｎについて
   と関数的に同等であり、前記方法は更に、
   を含む実行装置関数縦続を前記実行装置に備えるステップを含み、ここでｙ_１乃至ｙ_Ｎは関数パラメータであり、前記方法は更に、
   関数ｇ_１乃至ｇ_Ｎを前記実行装置に供給するステップと、
   前記実行装置において、前記実行装置関数縦続を関数ｇ_１乃至ｇ_Ｎに適用するステップと、
   を含み、
   インターリーブされた態様で実行装置において関数ｇ_ｉ及びｈ_ｉを実行することにより、関数ｆを直接に認識可能とすることなく、関数の縦続の機能が達成される方法。
2. 前記実行装置関数縦続が
   を含む請求項１に記載のディジタル信号処理関数ｆを供給する方法。
3. 前記関数縦続が、更なる信号処理関数ｆ_０で開始し、前記実行装置関数縦続が
   を含み、ここでＳ_１は
   に関数的に同等である、請求項１に記載のディジタル信号処理関数ｆを供給する方法。
4. 前記実行装置関数縦続が、
   を含む請求項１に記載のディジタル信号処理関数ｆを供給する方法。
5. 前記関数縦続が、更なる信号処理関数ｆ_Ｎ＋１で終了し、前記実行装置関数縦続が
   を含み、ここでＳ_２は
   と関数的に同等である、請求項１に記載のディジタル信号処理関数ｆを供給する方法。
6. 前記実行装置及び／又は前記実行装置のユーザの一意的な識別子を取得するステップを含み、前記２Ｎ個の反転可能な置換ｐ_ｉのセット及び／又はシーケンスが、前記取得された識別子について一意的である、請求項１に記載のディジタル信号処理関数ｆを供給する方法。
7. 前記実行装置関数縦続を前記実行装置に備えるステップは、前記実行装置中のプロセッサによる実行のためのソフトウェアプログラムに埋め込まれた前記実行装置関数縦続を供給するステップを含む、請求項１に記載の方法。
8. 前記関数ｇ_１乃至ｇ_Ｎを前記実行装置に供給するステップは、前記プログラム用のプラグインの形態で前記関数ｇ_１乃至ｇ_Ｎを供給するステップを含む、請求項７に記載の方法。
9. 前記関数ｇ_１乃至ｇ_Ｎを前記実行装置に供給するステップは、前記実行装置関数縦続を前記関数パラメータｇ_１乃至ｇ_Ｎに適用することにより、前記ソフトウェアプログラムに前記関数ｇ_１乃至ｇ_Ｎを埋め込むステップを含む、請求項７に記載の方法。
10. 実行装置中のプロセッサに、ディジタル信号処理関数ｆを実行させるように動作可能なコンピュータプログラムであって、前記関数ｆは、ディジタル信号入力ｘを処理してディジタル信号出力を出力するための、複数の信号処理関数ｆ_ｉ（１≦ｉ≦Ｎ）を含む関数縦続を含み、前記関数ｆの実行は、
    を含む実行装置関数縦続をロードし、
    関数ｇ_１乃至ｇ_Ｎのセットをロードし、
    前記関数ｇ_１乃至ｇ_Ｎのセットに前記実行装置関数縦続を適用することにより実行され、ここでｙ_１乃至ｙ_Ｎは関数パラメータであり、
    ｇ_ｉは、１≦ｉ≦Ｎについて
    と関数的に同値であり、
    ｈ_ｉは、２≦ｉ≦Ｎについて
    と関数的に同値であり、
    ｐ_ｉは、１≦ｉ≦２Ｎについて反転可能な置換である、コンピュータプログラム。
11. ディジタル信号処理関数ｆを不明瞭化された形態で実行装置に供給するシステムであって、前記システムは、サーバと実行装置とを含み、前記関数ｆは、ディジタル信号入力ｘを処理してディジタル信号出力を出力するための、複数の信号処理関数ｆ_ｉ（１≦ｉ≦Ｎ）を含む関数縦続を含み、
    前記サーバは、プログラムの制御下で、
    ２Ｎ個の反転可能な置換ｐ_ｉ（１≦ｉ≦２Ｎ）のセットを選択し、
    Ｎ個の関数ｇ_ｉのセットを算出し、
    Ｎ−１個の関数ｈ_ｉのセットを算出するためのプロセッサを含み、ここで関数ｇ_ｉは、１≦ｉ≦Ｎについて
    と関数的に同等であり、関数ｈ_ｉは、２≦ｉ≦Ｎについて
    と関数的に同等であり、前記サーバは更に、
    を含む実行装置関数縦続を前記実行装置に備える手段を含み、ここでｙ_１乃至ｙ_Ｎは関数パラメータであり、前記サーバは更に、
    関数ｇ_１乃至ｇ_Ｎを前記実行装置に供給する手段を含み、
    前記実行装置は、
    前記サーバから前記関数ｇ_１乃至ｇ_Ｎを取得する手段と、
    プログラムの制御下で、前記実行装置関数縦続をロードし、前記ロードされた実行装置関数縦続を前記関数ｇ_１乃至ｇ_Ｎに適用するためのプロセッサと、
    を含み、
    インターリーブされた態様で実行装置において関数ｇ_ｉ及びｈ_ｉを実行することにより、関数ｆを直接に認識可能とすることなく、関数の縦続の機能が達成されるシステム。
12. 請求項１１に記載のシステムにおける使用のための実行装置であって、
    前記サーバから前記関数ｇ_１乃至ｇ_Ｎを取得する手段と、
    プログラムの制御下で、前記実行装置関数縦続を前記関数ｇ_１乃至ｇ_Ｎに適用し、前記適用された実行装置関数縦続を前記ディジタル信号入力ｘに適用するためのプロセッサと、
    を含む実行装置。
13. 前記関数ｆは、Feistel暗号ネットワークに基づく復号化関数であり、前記信号処理関数ｆ_ｉの各々が、それぞれのFeistel復号化ラウンド関数である、請求項１に記載のディジタル信号処理関数ｆを供給する方法。
14. 置換ｐ_ｉの各々はFeistel変換器であり、連続的な対＜ｘ，ｙ＞に演算する関数Ｑは、反転可能な関数Ｑ_ｘ及びＱ_ｙが存在し且つＱ（＜ｘ，ｙ＞）＝＜Ｑ_ｘ（ｘ），Ｑ_ｙ（ｙ）＞である場合には、Feistel変換器であり、ここで、
    及び
    である、請求項１３に記載のディジタル信号処理関数ｆを供給する方法。