JP5602955B2 - デジタルコンテンツの限定受信のための方法およびシステム、ならびに関連の端末および契約者デバイス - Google Patents

Description

本発明は、サーバと複数のエンティティとの間で、そのようなエンティティによって復号が行なわれる暗号文を送信するためのセキュアなシステムおよび方法に関する。本発明は、デジタルコンテンツの限定受信のためのシステムおよび方法の分野において、１つ以上の復号鍵の不正な使用を防止するために好ましく適用される。本発明は、一部の不法なユーザが連合を形成して、どの復号鍵を用いて生成されたのかを突き止めることが難しい復号データを生成する場合において、著作権侵害の防止にきわめて有効であり、かつ運営者に扱いやすい。したがって、本発明は、保護されたマルチメディアコンテンツの不正な提供に対して効果的な保護をもたらしつつ、その実施に必要な演算能力および保護されたコンテンツの配信ネットワークの帯域幅を保つ。

さらに本発明は、契約者に利用可能にされた電子装置の一時的または恒久的な無効化、または無効化の実行可能な回復をトリガーするための方法に関する。したがって、本発明は、随意によりセキュアな電子デバイスへと接続され、保護されたコンテンツの配信サーバへと接続される端末などの前記機材について、ロバストかつ効率的な限定受信のための方法の実施を可能にするための改良に関する。

デジタルコンテンツの放送の運営者は、通常は、保護されたコンテンツを契約者または複数の契約者に利用可能にするために、限定受信システム（ＣＡＳ）を運営する。そのようなシステムは、通常は、契約者の身元および／または権利を保持し、暗号化、復号、または数字の生成といった作業を実行するスマートカードなどのセキュアな電子デバイスに依存する。

公知の限定受信システムにおいては、保護されたマルチメディアコンテンツを配信するために、暗号化された制御語ｃおよび符号化されたコンテンツＣが、決まった期間または少なくとも放送の運営者に既知であり、制御される暗号有効期間にて、放送ネットワークを介して送信される。暗号化された制御語は、通常は、暗号化関数Ｅによってｃ＝Ｅ（ｋ）のように得られ、ｋは前記制御語の値である。符号化されたコンテンツＣ自体は、符号化関数ｅｎｃおよび前記制御語ｋによってＣ＝ｅｎｃ（ｋ，Ｍ）のように得られ、Ｍはマルチメディアコンテンツである。例として、符号化関数は、ＤＶＢ−ＣＳＡ（Ｄｉｇｉｔａｌ Ｖｉｄｅｏ Ｂｒｏａｄｃａｓｔｉｎｇ−Ｃｏｍｍｏｎ Ｓｃｒａｍｂｌｉｎｇ Ａｌｇｏｒｉｔｈｍ）の基準に従うことができる。保護されたコンテンツの視聴をするためには、契約を購入しなければならない。契約者は、通常はスマートカードの形態であるセキュアな専用のデバイスを受け取り、そのデバイスが、デコーダまたは「セットトップボックス」と一般的に称される端末と組み合わせられ、保護されたコンテンツの復号を当該契約者に可能にする契約者処理エンティティを呈する。暗号化された制御語ｃが、典型的にはセキュアなデバイスによって復号され、制御語ｋが端末へともたらされる。端末が、符号化されたコンテンツＣの復号の実行を担当し、例えばリビングルームのテレビなどの相応のマン−マシンインターフェイスを介して、コンテンツＭへのアクセスを可能にする。

契約者デバイスのロバストさは、きわめてよく知られているが、暗号化のハードウェア、アルゴリズム、または秘密を知ることで、ハッカーは、契約者へと提供されたセキュアな電子デバイスのセキュリティを「破る」ことができる。次いで、ハッカーは、そのようなデバイスを「複製」またはエミュレートし、制御語またはコンテンツを供給するための著作権侵害のネットワークを運営することなく、不法な契約者に利用可能ないくつかの「複製品」を製作することができる。

ハッカーに対抗するために、運営者は、通常は、そのような著作権侵害のネットワークの存在またはデータ復号用の複製品の流通を知ることになる。ハッカーのサービスを求めることによって、運営者は、「複製」またはエミュレートされたデバイスを入手し、それを研究することもできる。

運営者（より広義には、安全性が損なわれた契約者のセキュアなデバイスを明らかにしようとするあらゆる「追跡」エンティティ）は、著作権侵害の源の追跡において大きな困難に直面する。これは、入手した不正な復号データが、いくつかの異なる復号鍵の共謀の結果である場合にとくに当てはまる。実際に、公知の方法によれば、そのような復号データを解析しても、復号鍵を追跡または検出することはほとんど不可能、または全く不可能である。共謀が広がる場合、調査はさらに無力になる。この問題を避けるために、一部の運営者または追跡者は、制御語の復号鍵および制御語の暗号文のサイズを大幅に増加させている。公知の技術的解決策においては、これらのサイズが、契約者の総数または総数の上限に直接関係し、契約者の総数または総数の上限につれて線形に増加する。例えば文献ＵＳ２００８／００７５２８７Ａ１に記載の技術など、いくつかの公知の技術は、これらのサイズを契約者の数の平方根のオーダに減らすことを、何とか達成している。文献ＷＯ２００７／１３８２０４に開示されている技術など、他の技術においては、暗号文のサイズが、生じうる共謀のサイズと同じオーダである必要がある。追跡者の不正な復号鍵の検出能力は、暗号文のサイズがかなり大きい制御語を暗号有効期間で生成するために、放送ネットワークの帯域幅およびセキュアな契約者デバイスの演算能力を犠牲にして改善されてきた。さらに、そのような技術的解決策は、依然として、契約者の数が多い場合にきわめて不利であり、ほとんど機能しない。

したがって、保護されたコンテンツの配信サービスの運営において、現実的な帯域幅および演算能力を保ちつつ、共謀によってもたらされる復号データを使用して１つ以上の正当に配布された復号鍵の追跡および特定を可能にする公知の方法は、存在していない。

本発明がもたらす多数の利点のうちで、本発明が、例えば支払い済みの契約ユーザへと配信された保護されたコンテンツを不正に復号できるようにする不正なユーザへ情報が配布されることへの対抗に役立つことに、言及することができる。実際、本発明は、そのような情報の作成に使用された秘密かつ専用の復号鍵の効果的な追跡および識別を可能にする。種々の実施の形態によれば、本発明は、制御語の秘密の復号鍵またはそれらの暗号文のサイズ、契約者の数、および／または生じうる共謀の数の分離を可能にする。これは、配信ネットワークの帯域幅および契約者処理エンティティの演算能力を保ちつつ、生じうる多数による共謀に対応するために、前記サイズを決定するためのきわめて効果的かつ潜在的に動的な妥協を運営者に提供する。さらに本発明は、放送ネットワークによるコンテンツの放送を続けながら、セキュリティが破られた可能性がある契約者の処理エンティティ（「危険なエンティティとして知られる）を遠隔操作で無効にすることを可能にする。このようにして、本発明は、コンテンツを放送するあらゆる運営者に、著作権侵害への対抗におけるきわめて簡単かつ効果的なツールを提供する。

この目的のため、サーバと複数の処理エンティティとの間で制御語を送信するためのセキュアな方法が、とくには前記制御語の生成および操作をそれぞれ行なうように計画される。

そのような方法は、処理エンティティによって使用されるように意図された平文ｋに係る暗号化された制御語ｃをサーバによって生成する第１のステップを含む。また、処理エンティティのために生成された暗号化された制御語ｃを送信するステップと、それらのエンティティによって、暗号化された制御語ｃを受信するステップと、受信した暗号化された制御語ｃから制御語ｋを生成するステップとをさらに含む。

危険な鍵の共謀に対する「効率 対 抵抗力」の妥協をもたらすために、本発明によれば、
サーバが、
・ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊にそれぞれ属するｄ_ｓ個の要素のベクトルｓ（ｐは素数であり、ｄ_ｓは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さい）と、
・サーバに既知であり、ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊に属している秘密の値γと、
・位数ｐのバイリニアグループβ＝（ｐ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ（．，．））（ここで、ｅ（．，．）はｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔのような結合であり、Ｇ_Ｔは位数ｐの第３の巡回群である）のパラメータである位数ｐの２つの巡回群Ｇ_１およびＧ_２にそれぞれ属する２つの生成元と
から暗号化された制御語を生成し、
各々の処理エンティティが、
・暗号化された制御語ｃと、
・ｉ番目のエンティティに既知であり、
ｉ．ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊にそれぞれ属するｄ_ｘ個の要素のベクトルｘ^（ｉ）（ｄ_ｘは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さく、ベクトルｘ^（ｉ）は該当のエンティティに専用である）と、
ｉｉ．前記秘密の値γと、
ｉｉｉ．バイリニアグループβの巡回群のうちの１つに属する生成元と
から前もって生成されている復号鍵ＤＫ_ｉと
から制御語ｋを生成する。

好ましい実施の形態によれば、このような方法が、
・バイリニアグループβのような公開パラメータと関連づけられた秘密成分γを含むマスター秘密鍵ＭＫを生成するステップと、
・前記鍵ＭＫおよび公開パラメータをサーバ内に保存するステップと、
・前記公開パラメータを各々の処理エンティティに保存するためのステップと、
・それぞれが専用かつ別個である復号鍵ＤＫ_ｉを生成し、送信し、処理エンティティに保存するステップと
を前もって含むことができる。

本発明によれば、生成された各々の復号鍵ＤＫ_ｉが、好都合には形態ｚ^{１／Ｐ（γ）}の成分を含むことができ、ｚはリニアグループβの巡回群のうちの１つに属する生成元であり、Ｐはγに関する多項式である。

好ましい実施の形態によれば、さらに本発明は、
・保護されたデジタルコンテンツの放送サーバによって実行される符号化関数を用いて、デジタルコンテンツＭを符号化して符号化されたコンテンツＣを生成するステップと、
・前記保護されたデジタルコンテンツの放送サーバによって、複数の契約者処理エンティティによる前記符号化されたコンテンツＣの復号に使用されるように意図された平文ｋに係る暗号化された制御語ｃを生成するステップと、
・前記暗号化されたコンテンツＣおよび暗号化された制御語ｃを、配信ネットワークを介して契約者処理エンティティへと送信するステップと、
・前記暗号化されたコンテンツＣおよび暗号化された制御語ｃを、各々の契約者処理エンティティによって受信するステップと、
・各々の契約者処理エンティティによって、暗号文ｃから制御語の平文ｋを生成するステップと、
・各々の契約者処理エンティティによって、符号化されたコンテンツＣの復号を行ない、復号関数およびｋからコンテンツＭを生成するステップと、
・前記コンテンツＭに合ったインターフェイスによって前記コンテンツを取り出すステップと
を含むデジタルコンテンツの限定受信のための方法に関する。

保護されたデジタルコンテンツの放送サーバによる暗号化された制御語の生成および送信のステップ、ならびに契約者処理エンティティによる受信および制御語の平文の生成のステップは、サーバと複数の処理エンティティとの間で制御語を送信するための本発明によるセキュアな方法に従う。

さらに本発明は、本発明による限定受信方法を実行するように、複数の契約者処理エンティティへと接続されたサーバを備えている、デジタルコンテンツの限定受信のためのシステムに関する。

他の特徴および利点が、以下の説明を読み、添付の図面を観察することによって、さらに明らかになるであろう。

先行技術による限定受信システムを示している。 本発明による限定受信システムを説明している。 本発明による限定受信方法の実施の形態を示している。

図１が、先行技術によるデジタルコンテンツの限定受信システムを示している。システムは、保護されたコンテンツの放送の運営者によって実行される放送ネットワーク４で構成される。したがって、それぞれ暗号化および符号化された制御語ｃおよびコンテンツＣが、コンテンツサーバ３から一緒に発せられる。この目的のため、サーバ３は、符号化関数ｅｎｃと、このサーバ３によって生成される制御語ｋとを使用して、コンテンツＭを符号化する。結果は、Ｃ＝ｅｎｃ（ｋ，Ｍ）のように符号化されたコンテンツＣである。制御語ｋの暗号化バージョンｃも、符号化されたコンテンツＣと一緒に発せられ、すなわち「放送」される。この目的のため、サーバは、暗号化関数Ｅを使用して前記制御語ｋを暗号化し、ｃ＝Ｅ（ｋ）のようにｃを得る。

暗号化された制御語ｃおよび暗号化されたコンテンツＣが、放送ネットワーク４を介して端末２ａ〜２ｍへと送信される。それぞれの端末が、サーバ３によって発せられた符号化されたコンテンツＣのリアルタイムでの復号を行なう。したがって、例えばデコーダ２ａなどの端末は、復号関数ｄｅｃを備え、復号関数ｄｅｃを符号化されたコンテンツＣに適用し、コンテンツＭを得る。コンテンツＭを、リビングルームのテレビ５またはコンテンツの読み出しに適した任意の他のインターフェイスを使用して、閲覧することができる。復号関数ｄｅｃを適用するために、端末は、サーバ３がコンテンツＭの符号化に使用した制御語ｋの値を知らなければならない。先行技術によれば、図１に示されるように、端末２ａ〜２ｍが、ｃ＝Ｅ（ｋ）のように暗号化された制御語ｃを受信し、通常は契約者に専用のセキュアな電子デバイス１ａ〜１ｍへと送信する。端末２ａは、ネットワーク４を介して組（Ｃ，ｃ）を定期的に受信し、暗号化された制御語ｃをデバイス１ａへと送信する。デバイス１ａは、復号関数Ｄを使用して暗号化された制御語ｃを復号し、コンテンツＭの符号化に用いられた制御語ｋを得ることができる。すなわち、ｋ＝Ｄ（ｃ）である。同じことが、各々がデバイス１ｂ〜１ｍとそれぞれ協働する２ｂ〜２ｍなどの任意の他の装置にもあてはまる。変種の実施の形態によれば、サーバ３が、制御語ｋの暗号化に、例えば鍵Ｋｃの形態の秘密を使用することができる。すなわち、ｃ＝Ｅ（Ｋｃ，ｋ）である。この場合には、デバイス１ａ〜１ｍなどのデバイスが、ｋ＝Ｄ（Ｋｄ，ｃ）のように、相反する復号関数Ｄを備え、ここでＫｄは、デバイスに既知の復号鍵である。暗号化関数Ｅおよび復号関数Ｄによれば、鍵ＫｃおよびＫｄは同一でよい。これは、対称暗号化／復号の場合である。あるいは、「ブロードキャスト暗号」と呼ばれるパターンによれば、Ｋｃが、運営者に専用の公開または秘密鍵であり、Ｋｄが、デバイス（あるいは、デバイスの群）に専用かつ運営者に既知の秘密鍵である。したがって、この変種によれば、いくつかの個別の復号鍵が存在し、前記運営者の契約者へと正当に支給されて届けられたデバイスの各々が、そのような個人的な復号鍵を有している。

そのような限定受信システムを台無しにすべく、ハッカーは、とくには契約者のデバイスによって実行される暗号化のハードウェア、アルゴリズム、または秘密についての知識を発達させている。或る者は、そのような契約者の電子デバイスのセキュリティを「破る」知識を持ち、あるいは「破る」ことができ、有効な制御語を生成するために使用される１つ以上の復号鍵の値を読み取って、最終的に暗号化されたメッセージを復号することができる。必然的に、これらの鍵（「危険な鍵」と称する）が無法なユーザのための並行市場に不正に流通し、無法なユーザは、危険な鍵をハックした端末に組み込み、保護されたコンテンツに不正にアクセスすることによって利益を得る。この種の犯罪行為は、コンテンツの復号関数および暗号化された制御語の復号関数が契約者に利用可能なただ１つの同じ処理エンティティによって実行される限定受信システムを、放送の運営者が運営する場合に、大いに促進される可能性がある。すなわち、そのようなエンティティは、制御語の生成に使用される、復号鍵ならびに／あるいはアルゴリズムおよび方法を保存するための手段を保護するセキュリティの特徴を必ずしも備えない。そのようなアルゴリズムの不充分にセキュアな実装に起因する漏洩が、操作された復号鍵などの曝露を許す。

このようにして、ハッカーは、必ずしも制御語またはコンテンツを配布するための著作権侵害のネットワークを運営することなく、無法な顧客へと復号鍵の特定の「複製品」を提供することができる。

そのような行為に対抗するために、複製の源である「危険」な復号鍵または信用できなくなった復号鍵を、追跡または検出できることが有用である。したがって、そのような鍵が追跡可能でなければならず、すなわち契約者に専用のマーカまたは成分を有していなければならない。そのようにすることで、ハックされた端末またはハッカーによって実装されたソフトウェアを手にしたときに、追跡者は、特定の解析方法を使用して、操作された秘密のデータを検出することができる。追跡者の課題は、いくつかの危険な鍵がハッカーまたはハッカー集団によって組み合わせられる場合に複雑になる。

本発明は、これらのさまざまなハッキングの筋書きを打ち負かすことを可能にする。

図２が、本発明の好ましい実施の形態の例としての限定受信システムを説明するうえで役に立つ。公知のシステムと同様に、本発明は、保護されたコンテンツの放送の運営者によって実現される放送ネットワーク４を提供し、より広義には、エンティティＥａ、Ｅｂ、・・・、Ｅｍなどの複数の契約者処理エンティティに向けてコンテンツサーバ３から、符号化されたコンテンツＣを送信するための任意の手段を提供する。さらに、本発明によれば、符号化されたコンテンツＣが、この符号化されたコンテンツを契約者側の各々のエンティティによって復号できるようにする平文に係る暗号化された制御語ｃとともに送信される。これを行なうために、サーバ３が、符号化関数ｅｎｃを使用してコンテンツＭを符号化する。結果は、Ｃ＝ｅｎｃ（Ｍ）のように符号化されたコンテンツＣである。

そのようなシステムのセキュリティは、基本的には、制御語をサーバと契約者側の複数の処理エンティティとによってセキュアに生成、交換、および使用することができることにある。そのような制御語は、保護されたデジタルコンテンツの限定受信システムの異なる応用の文脈においてもちょうど同じように使用することができる。

本発明は、上述の文献ＵＳ２００８／００７５２８７Ａ１またはＷＯ２００７／１３８２０４を含む多数の刊行物において利用されている考え方である素数位数の群における結合という数学的概念にもとづいている。そのような結合は、暗号法において典型的に使用され、とくには楕円曲線の分野において使用される双線形の応用である。

βを、｜ｐ｜＝λ（λはセキュリティパラメータとして要素数を定める）であるような素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ（．，．））であるとする。Ｇ_１、Ｇ_２、およびＧ_Ｔが、位数ｐの３つの巡回群であり、ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔが結合である。巡回群は、ｇ^ｐ＋１がｇに等しいような代数的集合であり、ｐが巡回群の位数を定めており、ｇが「生成元」と呼ばれる群の要素である。本発明の意味において、群Ｇ_１およびＧ_２の間の特別な関係は必要とされない。２つの群は同じであってよく、あるいはより一般的には、Ｇ_１とＧ_２との間の同型写像Ψを定めることができる。本発明によれば、任意の可能な効果的に計算することができる同型写像および結合が好ましい。

好ましい実施の形態によれば、処理エンティティＥｉが、符号化されたコンテンツの復号およびこの復号に必要な制御語の生成をそれぞれ実行するセキュアなデバイス１ｉ（例えば、スマートカード）に組み合わせられた端末２ｉで構成される。図２は、エンティティＥａ、Ｅｂ、およびＥｍを、それぞれ端末２ａ、２ｂ、２ｍをセキュアな契約者デバイス１ａ、１ｂ、１ｍと組み合わせることによってもたらされるものとして示している。

本発明の意味において、そのようなエンティティは、すでに述べた２つの主たる機能を包含すると考えられる１つの同じデバイスであってよい。

秘密かつ専用の復号鍵が、各々の契約者デバイス（または、契約者エンティティ）に既知である。すなわち、図２によれば、契約者ａに関するエンティティＥａのデバイス１ａは、復号鍵ＤＫ_ａを知っている。この鍵は、鍵ＤＫ_ｂとは異なり、鍵ＤＫ_ｂも、鍵ＤＫ_ｍとは異なる。これらの鍵は、それぞれエンティティＥｂおよびＥｍ（あるいは、より正確にはそれぞれのセキュアな契約者デバイス１ｂおよび１ｍ）にだけ知られている。専用かつ個別であるけれども、本発明による復号鍵は、追跡可能である（すなわち、後述のように、識別または追跡の行為において特定可能である）。それらはすべて、サーバ３に既知のマスター秘密鍵ＭＫから生成され、この鍵は、バイリニアグループβを含む公開パラメータＰＰ、すなわち前記サーバに既知であり、種々の処理エンティティ（具体的には、図２に関して説明される好ましい実施の形態によれば、デバイス１ａ〜１ｍ）にも既知であるパラメータに、おそらくは関連付けられる。

復号鍵は、処理エンティティＥａ〜Ｅｍが符号化されたコンテンツの復号を可能にする制御語ｋを生成することを可能にする。この制御語ｋは、サーバ３によって符号化されたコンテンツＣと一緒に与えられる暗号化された制御語ｃから生成される。図２に関して説明される好ましい例によれば、セキュアなデバイス１ａ〜１ｍが、各々の処理エンティティＥａ〜Ｅｍにおける制御語ｋの生成を担当する。この目的のため、端末２ａ〜２ｍは、暗号化された制御語ｃを受信することができ、この暗号化された制御語ｃをそれぞれのセキュアなデバイスへと送信することもできる。デバイス１ａ〜Ａｍによって生成された制御語が、再びそれぞれの端末へと送信され、それぞれの端末が符号化されたコンテンツＣの復号を行ない、相応のマン−マシンインターフェイス５によって契約者へと示されるコンテンツＭを生成することができる。

図３が、図２に関連して説明されるようなシステムによって実行される、保護されたコンテンツの限定受信方法の形態の本発明の応用の一例を説明するために使用される。簡単化のために、複数の処理エンティティが、セキュアな契約者デバイス１ｉに組み合わせられた端末２ｉとしてのエンティティＥｉによって表わされている。符号化されたコンテンツＣが、サーバ３からネットワーク４を介してエンティティＥｉへと送信される。この目的のために、任意の他の放送手段を使用することができる。符号化されたコンテンツは、暗号化された制御語ｃに組み合わせられ、この暗号化された制御語ｃの平文が、符号化されたコンテンツの復号を可能にする。端末２ｉが、符号化されたコンテンツおよび暗号化された制御語を受信することができる。暗号化された制御語が、端末によって契約者デバイスへと送信され、契約者デバイスが、秘密の復号鍵ＤＫ_ｉおよび公開パラメータＰＰを使用し、制御語の生成を行って、端末２ｉへと送り返す。この端末が、制御語ｋを使用して符号化されたコンテンツＣの復号を行ない、コンテンツＭをインターフェイス５へと届けることができる。これを達成するために、本発明による限定受信方法は、それぞれ下記に対応する主たるステップ３１０、１１０、および２１０で構成される。

・３１０：符号化されたコンテンツＣを生成し、暗号化された制御語ｃと組み合わせて処理エンティティへと提供する。

・１１０：暗号化された制御語ｃおよび復号鍵ＤＫ_ｉから制御語ｋを生成する。

・２１０：符号化されたコンテンツの復号を制御語ｋから行なう。

随意により、これらのステップに、公開パラメータＰＰの生成および処理エンティティＥｉ（とりわけ、セキュアなデバイス）における保存からなるステップ３００および１００を先行させることができる。さらに図３は、復号鍵ＤＫ_ｉの生成および処理エンティティＥｉ（とりわけ、デバイス１ｉ）における保存という事前のステップ３０１および１０１を説明している。

限定受信方法およびシステムに適用される好ましい例の他に、本発明は、主として、制御語を、そのような制御語の生成および利用をそれぞれ行なうサーバと複数の処理エンティティとの間で送信するためのセキュアな方法に関する。

図３に関連して説明される応用例へと適用されるそのような方法の実施のやり方を、２つの実施の形態によって検討する。

βを、｜ｐ｜＝λ（λはセキュリティパラメータとして要素数を定める）であるような素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ（．，．））であるとする。Ｇ_１、Ｇ_２、およびＧ_Ｔが、位数ｐの３つの巡回群であり、ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔが結合である。

本発明による方法は、
・処理エンティティによって使用２１０されるように意図された平文ｋに係る暗号化された制御語ｃを、サーバによって生成するステップ３１０と、
・生成された暗号化された制御語ｃを処理エンティティへと送信するステップと、
・暗号化された制御語ｃを前記エンティティによって受信するステップと、
・各々の処理エンティティによって、受信された暗号化された制御語ｃから、制御語ｋを生成するステップ１１０と
を含む。

高い効率（帯域幅および処理能力に関して）を可能にしながら、復号鍵ＤＫ_ｉの追跡可能性を維持するために、暗号化されたバージョンの制御語を生成するためのステップ３１０は、サーバ３によって、
・ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊にそれぞれ属するｄ_ｓ個の要素のベクトルｓ（ｐは素数であり、ｄ_ｓは厳密に１よりも大きい整数であり、処理エンティティの数に関して小さい）と、
・サーバ３に既知であり、ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊に属している秘密の値γと、
・バイリニアグループβ＝（ｐ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ（．，．））のパラメータである巡回群Ｇ_１およびＧ_２にそれぞれ属する２つの生成元と
から実行される。

各々の処理エンティティＥｉが、制御語ｋの生成１１０を、
・暗号化された制御語ｃと、
・ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊にそれぞれ属するｄ_ｘ個の要素のベクトルｘ^（ｉ）（ｄ_ｘは厳密に１よりも大きい整数であり、処理エンティティの数に関して小さく、ベクトルｘ^（ｉ）は該当のエンティティに専用である）と、
秘密の値γと、
バイリニアグループβの巡回群のうちの１つに属する生成元と
から前もって生成されるエンティティＥｉに既知の復号鍵ＤＫ_ｉと
から行なう。

本発明によれば、ｄ_ｘおよびｄ_ｓという整数値が、エンティティの数に関して小さく、したがって最終的には、契約者またはハッカーの数に関して小さい。

これら２つの整数は、不正な共謀に応じて「効率 対 抵抗力」の妥協を決定および調節するために使用されるセキュリティパラメータである。パラメータｄ_ｘが、本発明による復号鍵のサイズを調節するために使用される。パラメータｄ_ｓが、暗号化された制御語のサイズを調節するために直接使用される。

したがって、ｄ_ｓが、暗号化された制御語の放送ネットワークの帯域幅に直接的な影響を有する。ｄ_ｘは（ｄ_ｓとちょうど同じように）、制御語の暗号文から制御語の平文を生成するために復号鍵の保存および処理を行なわなければならないエンティティ（または、セキュアなデバイス）の処理能力に直接的な影響を有する。

鍵および暗号化されたバージョンのサイズが、共謀のサイズあるいは契約者または契約者群の数の平方根につれて線形に増大する公知の技術的解決策と異なり、本発明は、公知の技術的解決策とは比較にならないきわめて好都合なサイズを維持することを可能にする。したがって、共謀のリスクｔが存在すると考えると、本発明による方法は、ｄ_ｘおよびｄ_ｓを

のように定める助けとなる。例として、本発明は、それぞれのｔについて、以下の妥協を（実施の形態に応じて）得ることを可能にする。

・ｔ＝１２０：ｄ_ｘ＝３およびｄ_ｓ＝７
・ｔ＝１２６：ｄ_ｘ＝４およびｄ_ｓ＝５
・ｔ＝１０５：ｄ_ｘ＝２およびｄ_ｓ＝１３
これらの結果から、先行技術と比べて本発明がきわめて大きく貢献していることが明らかである。

図３に示されるように、サーバと複数の処理エンティティとの間で制御語をセキュアに送信するための本発明による方法は、バイリニアグループβのような公開パラメータと関連づけられた秘密成分γを含む、マスター秘密鍵ＭＫを生成および保存するためのステップ３００を含むことができる。また、前記公開パラメータを各々の処理エンティティ（より詳しくはそして好ましくは、前記エンティティのセキュアな契約者デバイス）に保存するためのステップ１００を含むことができる。さらに、そのような方法は、例えば契約の購入時に秘密かつ専用の復号鍵ＤＫ_ｉを知る装置を契約者へと届けることができるように、復号鍵ＤＫ_ｉの生成３０１、送信、および処理エンティティ（より詳しくはそして好ましくは、前記エンティティのセキュアな契約者デバイス）における記録１０１を行なうステップを含むことができる。

そのような方法の２つの実施の形態を引き続いて説明する。これら２つの実施の形態は、とりわけ、生成された復号鍵ＤＫ_ｉがｚ^{１／Ｐ（γ）}（ｚは巡回群のうちの１つおよびバイリニアグループβに属する生成元であり、Ｐはγに関する多項式である）の形態の成分を有する点で共通している。

第１の実施の形態によれば、選択された、バイリニアグループβ＝（ｐ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ（．，．））ならびにセキュリティパラメータｄ_ｘおよびｄ_ｓについて、マスター秘密鍵ＭＫが、γおよびｇでＭＫ＝（γ，ｇ）のように構成される。γは、素数ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊に属する秘密の値である。ｇは、グループＧ_１の生成元である。ｇの値を、好都合には無作為に選択することができる。同様に、グループＧ_２の生成元ｈも、無作為に選択され得る。好都合には、ｖ＝ｅ（ｇ，ｈ）を計算でき、値ｖを鍵ＭＫの成分γおよびｇと関連づけることができる。

公開パラメータを構成するために、

が計算される。βおよびｈに加え、これらの値のすべてが公開パラメータを表わす。

これらの計算および無作為選択のすべてを、サーバ３によって実行でき、あるいはこの目的のための別の専用のサーバによって実行し、入手することができる。

この第１の実施の形態によれば、復号鍵を生成するためのステップが、ＤＫ_ｉ＝（ｘ^（ｉ），Ａ_ｉ）のように２つの成分の結果として前記鍵を生成することからなる。ここで、Ａ_ｉ＝ｇ^{１／Ｐ（γ）}であり、

である。したがって、新たなユーザまたは契約者ｉの契約時に、一意の専用の鍵ＤＫ_ｉが生成され、次いで制御語の生成にこの鍵を利用する処理エンティティＥｉへと（好ましくはセキュアに）送信されて記録される。より具体的には、そのような鍵が、エンティティＥｉの構成要素であるセキュアなデバイス１ｉに保存される。

暗号化された制御語を生成するために、サーバ３は、この語をｃ＝（ｓ，ｈ^{１／Ｑ（γ）}）のように２つの成分の結果として生成し、ここで

であり、ｓはＺ_ｐ ^＊のｄ_ｓ個の要素のベクトルである。ベクトルｓを、

と表わすことができる。

暗号化された制御語ｃを受信すると、処理エンティティＥｉは、制御語の平文を生成するステップを実行する。このステップは、ｋ＝ｅ（ｇ，ｈ）^{１／（γ＋ｓ）}という値を持つはずである制御語ｋを取り出すことを目的とする。

このステップは、

のようにｋを生成することからなる。

計算の要素α、ξ、およびθは、

のようであり、

は、多項式Ｑを法とする多項式Ｐの逆を指す表記であり、

は、多項式

の０次の項を指している。

θが、ＰおよびＱの係数から計算することができる定数であり、値ξおよびα（γに関する多項式である）が、制御語の平文を生成するための計算において不要であることを、見て取ることができる。実際、ｇ^γおよびｈ^γ（公開パラメータに含まれる）の連続する累乗の組み合わせが、ｇおよびｈの指数に関する所望の多項式を再構成することに使用され、制御語の平文の生成を可能にするｇ^αおよびｈ^ξが得られる。

要素α、ξ、およびθを、以下のように表わすこともできる。

ここで、

であり、

であり、

であり、ｍ＝１，．．．，ｄ_ｘについて

である。

この第１の実施の形態において、復号鍵ＤＫ_ｉのサイズは、ｄ_ｘにおいて線形である。暗号文のサイズに関しては、ｄ_ｓにおいて線形である。

この第１の実施の形態の変種において、暗号文ｃおよび秘密の復号鍵ＤＫ_ｉのサイズを小さくすることが可能である。実際、第一に、ベクトル

を、種μ_ｉからサーバ３によって鍵ＤＫ_ｉを生成する際に、生成することができる。したがって、この種が、ＤＫ_ｉ＝（μ_ｉ，Ａ_ｉ）のように秘密鍵の成分である。相互的に、ベクトルｘ^（ｉ）を、制御語の復号の際に前記種を使用して処理エンティティによって回復することができる。さらに、ベクトル

を、種ηからのサーバ３による暗号文ｃの生成の際に生成することができる。したがって、この種が、ｃ＝（η，ｈ^{１／Ｑ（γ）}）のように暗号文の成分である。相互的に、ベクトルｓを、制御語の復号の際に前記種ηを使用して処理エンティティによって回復することができる。

この変種においては、復号鍵ＤＫ_ｉおよび暗号文のサイズが、一定になる。

第２の実施の形態においては、選択された、バイリニアグループβ＝（ｐ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ（．，．））ならびにセキュリティパラメータｄ_ｘおよびｄ_ｓについて、マスター秘密鍵ＭＫが、γおよびｇでＭＫ＝（γ，ｇ）のように構成される。γは、素数ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊に属する秘密の値である。ｇは、グループＧ_１の生成元である。ｇの値を、好都合には無作為に選択することができる。同様に、グループＧ_２の生成元ｈも、無作為に選択され得る。好都合には、ｖ＝ｅ（ｇ，ｈ）を計算でき、値ｖを鍵ＭＫの成分γおよびｇに関連づけることができる。

公開パラメータは、βである。

これらの計算および無作為選択のすべてを、サーバ３によって実行でき、あるいはこの目的のための専用の別のサーバによって実行し、入手することができる。

この第２の実施の形態によれば、復号鍵を生成するステップが、ＤＫ_ｉ＝（Ａ_ｉ，Ｂ^（ｉ））のように２つの成分の結果として前記鍵を生成することからなり、ここで

であり、ｄ_ｘ個の要素のベクトルＢ^（ｉ）は

のようである。

したがって、新たなユーザまたは契約者ｉの契約時に、一意の専用の鍵ＤＫ_ｉが生成され、次いで制御語の生成にこの鍵を利用する処理エンティティＥｉへと（好ましくはセキュアに）送信されて保存される。より具体的には、そのような鍵が、エンティティＥｉの構成要素であるセキュアなデバイス１ｉに保存される。

暗号化された制御語を生成するために、サーバ３は、ｃ＝（Ｗ_１，Ｗ_２，ｓ，Ｕ）のように４つの成分の結果として暗号化された制御語を生成する。ここで、

（ｄ_ｓ個の値のベクトル）である。ベクトルＵは、

のようである。成分

は整数である。

暗号化された制御語ｃを受信すると、処理エンティティＥｉは、この制御語の平文を生成するステップを実行する。このステップの目的は、

（ｍは前もって選択された整数）となるべき値を有する制御語ｋを取り出すことである。このステップは、ｋを

のように計算することからなり、ここで

である。

この第２の実施の形態によれば、復号鍵ＤＫ_ｉのサイズは、ｄ_ｘに関して線形である。暗号文のサイズは、ｄ_ｓに関して線形である。

とくに有利な選択は、共謀の数ｔが（ｄ_ｘ＋ｄ_ｓ）に関する指数関数であるようにｄ_ｓおよびｄ_ｘを決定することであるかもしれない。

第１または第２のどちらの実施の形態においても、鍵ＤＫ_ｉの成分Ａ_ｉがセキュアなストレージによって各々の処理ユニットに保存されることが、きわめて好都合である。これは、処理ユニットがセキュアなデバイスを備える場合にとくに関係がある。この場合、システムのロバストさを保証するために、少なくとも前記成分Ａ_ｉ、あるいは鍵ＤＫ_ｉの全体をセキュアなデバイスに保存すれば充分である。成分Ａ_ｉだけを保存することで、システムをロバストにするために必要な安全なストレージの容量を減らすことができる。

例として、復号鍵を検出する追跡者の能力を説明するために、追跡方法を以下に示す。この方法を説明するために、すでに使用した表記ｅ（Ｕ，Ｖ）と同等のそのような結合（または、ペアリング）を表わすために〈Ｕ，Ｖ〉のような表記を使用する。追跡者が著作権侵害のデコーダを回収できたと考える。追跡者は、このデコーダを解析することによって、著作権侵害のソフトウェアを得ることができ、ホワイトボックス型の追跡方法を実行することができる。

第１のステップにおいて、著作権侵害のデコーダが、一連の一定形式の命令として解釈される。各々の命令は、リファレンス演算、１つ以上の入力変数、および１つの出力変数で構成される。一般に、リファレンス演算として知られる演算は、辞書（命令セット）に列挙され、算術または論理演算、条件付きジャンプをするか否か、サブプログラムの呼び出しなど、さまざまな種類であってよい。

したがって、伝統的な抽象解釈のこの段階において、デコーダは、一連の命令の形態に書き直され、とりわけ本発明による暗号化方法によって実行される双線形システム（ｐ，Ｇ_１，Ｇ_２，Ｇ_Ｔ）に関する演算が重要である。

・Ｇ_１における乗算Ｔ＝Ｕ・Ｕ’の演算
・Ｇ_２における乗算Ｓ＝Ｖ・Ｖ’の演算
・Ｇ_１における累乗Ｕ＝Ｔ^ａの演算
・Ｇ_２における累乗Ｖ＝Ｓ^ｂの演算
・Ｇ_１×Ｇ_２→Ｇ_Ｔの双線形結合α＝〈Ｕ，Ｖ〉（ペアリングと呼ばれる）の演算
・Ｇ_Ｔにおける乗算γ＝α・βの演算
・Ｇ_Ｔにおける累乗β＝α^ｃの演算
これらの演算が代数的と呼ばれる一方で、他のすべては、関連演算に分類される。解釈のこの同じ段階において、各々の命令の入力および出力変数が、ＳＳＡ（静的単一代入）として知られるやり方で記述される。これにより、正式の実行時に操作される任意の変数の計算グラフを著作権侵害のデコーダのこの表現から容易に導き出すことができる。命令の入力変数は、以下の４つの種類だけである。

１．出発プログラムに属する一定の変数、
２．中間媒介変数、
３．暗号文の一部を表わすプログラムの入力変数、または
４．デコーダプログラムの外部のランダム源の呼び出しからもたらされるランダム変数。

プログラムの出力変数が、データｋを表わし、Ｇ_Ｔにおける出力値の計算グラフからもたらされる。

特殊化として知られる第２のステップにおいて、書き直されたプログラムが、後の裏切り者の特定に適するようにするために修正される。プログラムを書き直すことによって、出力変数ｋの計算グラフに参加しないすべての命令（グラフに関係しない命令）を取り除くことができる。次いで、プログラムのすべての入力変数（種類３および４の入力変数）を、プログラムが正しく復号を行なうことができる一定の値に設定しようと試みる必要がある。

この一定の値の捜索を、ランダムかつ完全に行なうことができ、最初に与えられたデコーダが充分に機能する（すなわち、平均で事例のかなりの部分において復号を行なう）場合には、この捜索の工程は、数回の試行で迅速に完了される。

値が適切である場合、プログラムの対応する変数がそれらで置き換えられ、このプログラムが常に同じやり方で動作する。したがって、成功した実施の例が、定数にもとづいて実行される命令だけで構成された新たなプログラムによって例示される。

追跡のプロセスは、今やジャンプのないただ１つの一連の命令を得ることによってプログラムを簡単化するステップを含む：
・定数の伝播が、入力変数がすべて定数であるすべての二次的な命令を取り除くために実行される。したがって、この変換は、代数的演算を排除する。

・その実行が同語反復的である命令が除去される：
・条件付きジャンプが、除去されるか、あるいは条件付きでないジャンプで置き換えられる。

・関数の呼び出しが、呼び出される関数の本体のコピーによって置き換えられる。

・不必要な命令または効力のないコードが除去される。

このステップの終わりにおいて、条件付きでないジャンプは、連続的な命令の連なりを時系列的な実行の順序で縦に並べることによって削除される。結果として、プログラムが、制御の流れの存在しない一連の順次的な代数的命令になる。

この時点で、いくつかの変換が、誘導的かつ同時的なやり方で、得られたプログラムへと適用される。この目的のため、以下が導入される。

・Ｇ_ｉ（ｉ∈｛１，２，Ｔ｝）におけるｕ^ａの計算を表わす一定形式の命令ｅｘｐо_ｉ（ｕ，ａ）
・〈Ｕ，Ｖ〉^ａの計算を表わす拡張「ペアリング」〈Ｕ，Ｖ；ａ〉の一定形式の命令。

次いで、プログラムが安定になるまで、以下の代数的な単純化が、誘導的かつ同時的なやり方で実行される。

・各々の累乗の命令ｕ^ａが、適切なｉ∈｛１，２，Ｔ｝のｅｘｐо_ｉ（ｕ，ａ）によって置き換えられる。

・各々の変数ｕが、適切なｉ∈｛１，２，Ｔ｝のｅｘｐо_ｉ（ｕ，１）によって置き換えられる。

・種類ｅｘｐо_ｉ（ｕ・ｖ，ａ）の命令の各々の組み合わせが、ｅｘｐо_ｉ（ｕ，ａ）・ｅｘｐо_ｉ（ｖ，ａ）によって置き換えられる。

・種類ｅｘｐо_ｉ（ｕ，ａ）・ｅｘｐо_ｉ（ｕ，ｂ）の命令の各々の組み合わせが、ｅｘｐо_ｉ（ｕ，ａ＋ｂ ｍоｄ ｐ）によって置き換えられる。

・種類ｅｘｐо_ｉ（ｅｘｐо_ｉ（ｕ，ａ），ｂ）の命令の各々の組み合わせが、ｅｘｐо_ｉ（ｕ，ａｂ ｍоｄ ｐ）によって置き換えられる。

・各々の「ペアリング」命令〈Ｕ，Ｖ〉が、〈Ｕ，Ｖ；１〉によって置き換えられる。

・種類〈Ｕ・Ｕ’，Ｖ；ａ〉の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａ〉・〈Ｕ’，Ｖ；ａ〉によって置き換えられる。

・種類〈Ｕ，Ｖ・Ｖ’；ａ〉の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａ〉・〈Ｕ，Ｖ’；ａ〉によって置き換えられる。

・種類〈ｅｘｐо_１（Ｕ，ａ），Ｖ；ｂ〉の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａｂｍоｄ ｐ〉によって置き換えられる。

・種類〈Ｕ，ｅｘｐо_２（Ｖ，ａ）；ｂ〉の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａｂｍоｄ ｐ〉によって置き換えられる。

・種類〈Ｕ，Ｖ；ａ〉・〈Ｕ，Ｖ；ｂ〉の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａ＋ｂ ｍоｄ ｐ〉によって置き換えられる。

・種類ｅｘｐо_Ｔ（〈Ｕ，Ｖ；ａ〉，ｂ）の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａｂｍоｄ ｐ〉によって置き換えられる。

・ｅｘｐо_ｉ（ｕ，０）が１によって置き換えられ、〈Ｕ，Ｖ；０〉が１によって置き換えられ、１・ｕがｕによって置き換えられる。

したがって、この単純化のステップの終わりに、ｋ∈Ｇ_Ｔの計算を、積ｋ＝ｋ_１・ｋ_２の結果として表わすことができ、ここで
・ｋ_１は、ｉ＝１，．．．，ｎについての入力（Ｕ_ｉ，Ｖ_ｉ，ａ_ｉ）が、ｉ≠ｊについて（Ｕ_ｉ，Ｖ_ｉ）≠（Ｕ_ｊ，Ｖ_ｊ）のような、２つの点Ｕ_ｉおよびＶ_ｉならびにｐを法とする整数ａ_ｉで構成されるｎ個の拡張「ペアリング」の積である。変数Ｕ_ｉ、Ｖ_ｉ、およびａ_ｉは、特殊化のステップゆえに一定の値である。各々の変数Ｕ_ｉ、Ｖ_ｉは、必然的に、プログラムに保存された定数または初めに与えられた暗号文の一部である入力変数である。

・ｋ_２は、Ｇ_Ｔのｍ個の要素の積、すなわちｋ_２＝ｅｘｐо_Ｔ（α_１，ｂ_１）…ｅｘｐо_Ｔ（α_ｍ，ｂ_ｍ）であり、ここで、１≦ｉ≠ｊ≦ｍについてα_ｉ≠α_ｊである。各々の変数α_ｉは、必然的に、プログラムに保存された定数または暗号文の一部である。

第３のステップにおいて、最初に与えられた暗号文ｃの各々の代数的要素に対応する係数が特定される。

より具体的には、最初に与えられた暗号文が、

を含む場合には、
・あらゆるｕ_ｉ，ｊ∈［１，ｒ_１］について、ｕ_ｊ＝Ｕ_ｉのようなすべての値ａ_ｉが集められ、

は暗号文の要素でなく、したがってベクトル

が形成され、
・あらゆるｖ_ｉ，ｊ∈［１，ｒ_２］について、ｖ_ｊ＝Ｖ_ｉのようなすべての値ａ_ｉが集められ、

は暗号文の要素でなく、したがってベクトル

が形成され、
・あらゆるｗ_ｉ，ｊ∈［１，ｒ_Ｔ］について、ｗ_ｊ＝α_ｉのようなｃоｅｆ（ｗ_ｊ）＝ｂ_ｉが集められ、
・各ペア（ｕ_ｌ，ｖ_ｌ），（ｌ，ｊ）∈［１，ｒ_１］×［１，ｒ_２］について、（ｕ_ｌ，ｖ_ｌ）＝（Ｕ_ｉ，Ｖ_ｉ）であるｃоｅｆ（ｕ_ｌ，ｖ_ｊ）＝ａ_ｉが集められる。

これらの識別ステップの各々において、係数は、対応する指数ｉを見つけることができない場合には、初期値によって０に設定される。

次に、｛ｃоｅｆ（ｕ_ｉ），ｃоｅｆ（ｖ_ｊ），ｃоｅｆ（ｗ_ε），ｃоｅｆ（ｕ_ｉ，ｖ_ｊ）｝の値に注目する。本発明の数学的特性は、これらの値が、信用できなくなった鍵を構成している要素ｘ_１，．．．，ｘ_ε∈Ｚ_ｐおよび最初に与えられた暗号文ｃを構成している固定のパラメータｓ_１，．．．，ｓ_ｌ∈Ｚ_ｐに関係する前もって知られた関数であることを保証する。

これは、多変数の方程式系を形成する。

これらの係数の数値、固定のパラメータｓ_ｊ、および関数ｆ_ｉ、ｇ_ｊ、ｈ_ε、ｑ_ａ，ｂを知ることで、系を逆に解き、信用できなくなった鍵のうちの１つを構成する要素ｘ_１，．．．，ｘ_εの少なくとも１つを回収することができ、したがってこの鍵を完全に特定することができる。このステップは、ε≦Ｂ（ｒ_１，ｒ_２，ｒ_Ｔ）を有することを要求してもよく、ここでＢ（ｒ_１，ｒ_２，ｒ_Ｔ）は、本発明の実施の形態に依存する端末である。関数ｆ_ｉ、ｇ_ｊ、ｈ_ε、ｑ_ａ，ｂも、本発明の実施の形態に依存する。

例として、上述の第２の実施の形態の文脈において実行する場合、あらゆる復号プログラムは、１名（または、２名以上）のユーザｉのベクトルｘ^（ｉ）をマスクされた形態またはマスクされていない形態で示す。したがって、追跡者は、１名以上のユーザへと配布されたｘ^（ｉ）へのアクセスを有し、したがってそれらのユーザが裏切り者として特定される。

さらに、本発明によれば、例えば裏切り者として特定された場合や、任意の他の理由によって、処理エンティティを無効にすることができ、したがってこのエンティティが例えば符号化されたコンテンツの復号を可能にするための有効な制御語を生成することを、阻止することができる。

本発明によれば、一時的な無効化または恒久的な無効化という２種類の無効化を実現することができる。

一時的な無効化によれば、１つ以上の危険なエンティティについて、さらなる有効な制御語の生成が一時的に不可能にされる。恒久的な無効化は、そのような生成を阻止する。

この変種を説明するために、例として、本発明に一致した第２の実施の形態にもとづくセキュアな方法についてなされる調整を説明する。

同様の調整を、本発明に一致した他の方法についても同様に行なうことができる。

恒久的な無効化を実現するために、本発明は、上述した方法に２つの追加のステップをもたらす。第１のステップは、すべての処理エンティティへと送信される無効化データＤ_Ｒを生成することである。これらのデータは、１つ以上の危険なエンティティからなる集合Ｒの除外を定義するために使用される。第２の追加のステップは、Ｒに属さないエンティティの復号鍵ＤＫ_ｉを、有効な制御語の生成を続けることができるように更新することである。

危険なエンティティが、エンティティＥ１〜Ｅｒ（または、セキュアな契約者デバイス１_１〜１_ｒ）であるとする。そのようなエンティティに、１〜ｒの番号を与える。無効化データＤ_Ｒを定義するための第１のステップは、この例によればＤ_Ｒ＝（Ｒ_１，．．．，Ｒ_ｒ）を計算することからなり、例えばｊ＝１などのｊ∈［１，ｄ_ｘ］の値について、

である。次いで、生成元の値ｈが、Ｒ_ｒの値をとるように

と変更される。次いで、無効化データＤ_Ｒ＝（Ｒ_１，．．．，Ｒ_ｒ）がすべてのエンティティへと配布される。

そこで、第２の追加のステップは、Ｒに属さないエンティティの復号鍵ＤＫ_ｉを、有効な制御語の生成を続けることができるように、変更することからなる。Ｄ_Ｒから生成された、ｉ番目のユーザまたは契約者に対応する鍵ＤＫ_ｉ，Ｒは、ＤＫ_ｉ，Ｒ＝（Ａ_ｉ，Ｂ^{（ｉ，Ｒ）}）のようであるｄ_ｘ個の要素からなるベクトル

は、例えばｗ＝１などのｗ∈［１，ｄ_ｘ］の値について、

のようになる。

新たな値ＤＫ_ｉ，Ｒの計算を、本発明に従って各々の処理エンティティによって実行することができる。あるいは、この計算を、第三者のエンティティによって実行することができる。前記鍵を更新するための任意の他の手順も使用することができる。

代案として、本発明によれば、無効化データを、暗号化された制御語と併せて、処理エンティティへと送信することができる。したがって、前記データを専用のモードで送信する必要がない。それらは、制御語の送信のために本発明によってもたらされる方法の第２の実施の形態に従い、ｃ＝（Ｗ_１，Ｗ_２，ｓ，Ｕ，Ｄ_Ｒ）のように暗号文の一体部分であってよい。

さらに、復号鍵の変更ＤＫ_ｉ←ＤＫ_ｉ，Ｒを、制御語を生成するステップの直前に処理エンティティによって実行してもよい。

恒久的な無効化を実行するために、鍵ＤＫ_ｉを生成するためにサーバによって実行されるステップ、ならびに、制御語ｋの平文を生成するためにエンティティによって実行されるステップが、不変であることを見て取ることができる。さらに、暗号文を生成するための生成元ｈが、もはや固定ではない。実際、ｈは無効にされたすべてのエンティティに依存する。復号鍵も、平文ｋを生成するときにもはや固定ではない。

さらに本発明は、一時的な無効化を実現するように本発明に一致する方法を調整する。上述のように、この特徴を説明するために、本発明による方法の第２の実施の形態の例を使用する。同様に、危険なエンティティが、１〜ｒまでの番号のエンティティＥ１〜Ｅｒ（または、セキュアな契約者デバイス１_１〜１_ｒ）であるとする。

第１の追加のステップは、恒久的な無効化とちょうど同じように、無効化データＤ_ＲをＤ_Ｒ＝（Ｒ_１，．．．，Ｒ_ｒ）のように計算することからなり、例えばｊ＝１などのｊ∈［１，ｄ_ｘ］の値について

である。次いで、生成元ｈの値が、Ｒ_ｒの値をとるように

と変更される。

サーバが、暗号化された制御語を、ｃ＝（Ｗ_１，Ｗ_２，ｓ，Ｕ，Ｄ_Ｒ，ｘ_ｊ ^（１），．．．，ｘ_ｊ ^（ｒ））のような成分の結果として生成する。最初の４つの成分Ｗ_１、Ｗ_２、ｓ、およびＵは、（ｈがｈ←Ｒ_ｒのように前もって変更されているという違いがあるが）典型的に生成される。

は、

のようなｄ_ｓ個の値のベクトルであり、Ｗ_１＝（ｇ^γ）^ｍであり、

であり、ｍは整数である。暗号文は、Ｄ_Ｒおよび選択されたｊの値についてのｘ_ｊ ^（１），．．．，ｘ_ｊ ^（ｒ）をさらに含む。

暗号化された制御語ｃを受信すると、処理エンティティＥｉは、この制御語の平文を生成するステップを実行する。

このステップは、ｋを

のように計算するように調整され、ここで

である。

一時的な無効化を実行するために、鍵ＤＫ_ｉを生成するためのステップが不変であることを見て取ることができる。生成元ｈが、無効にされたすべてのエンティティに依存するため、もはや固定ではない。単純に、暗号文の生成の前に前記生成元を割り当てた後で暗号文を生成するステップが行なわれる。制御語の平文ｋの生成が、一時的な無効化を実現するように構成される。

本発明を、好ましい適用の例として、保護されたコンテンツの限定受信の分野に関連して説明した。本発明は、複数の処理エンティティへと、そのようなエンティティによって使用される平文に係る暗号文を送信する必要がある他の分野にも適用可能である。

Claims (16)

1. 制御語の生成および使用をそれぞれ行なう、サーバ（３）と複数の処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）との間で前記制御語の送信を行なうために、
   ・前記サーバによって、前記処理エンティティによって使用されるように意図された平文ｋに係る暗号化された制御語ｃを生成するステップ（３１０）と、
   ・前記生成された暗号化された制御語ｃを、前記処理エンティティへと送信するステップと、
   ・前記エンティティによって、前記暗号化された制御語ｃを受信するステップと、
   ・各々の処理エンティティによって、前記受信した暗号化された制御語ｃから制御語ｋを生成するステップと
   を含んでいるセキュアな方法であって、
   前記サーバが、
   ｉ．ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊にそれぞれ属するｄ_ｓ個の要素のベクトルｓ（ｐは素数であり、ｄ_ｓは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さい）と、
   ｉｉ．前記サーバに既知であり、ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊に属している秘密の値γと、
   ｉｉｉ．位数ｐのバイリニアグループβ＝（ｐ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ（．，．））（ここで、ｅ（．，．）はｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔのような結合であり、Ｇ_Ｔは位数ｐの第３の巡回群である）のパラメータである位数ｐの２つの巡回群Ｇ_１およびＧ_２にそれぞれ属する２つの生成元と
   から制御語の暗号文を生成し、
   各々の処理エンティティが、
   ｉ．暗号化された制御語ｃと、
   ｉｉ．ｉ番目のエンティティに既知であり、
   ａ）ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊にそれぞれ属するｄ_ｘ個の要素のベクトルｘ^（ｉ）（ｄ_ｘは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さく、ベクトルｘ^（ｉ）は該当のエンティティに専用である）と、
   ｂ）前記秘密の値γと、
   ｃ）前記バイリニアグループβの前記巡回群のうちの１つに属する生成元と
   から前もって生成されている復号鍵ＤＫ_ｉと
   から制御語ｋを生成する、ことを特徴とする方法。
2. ・バイリニアグループβのような公開パラメータと関連づけられた秘密成分γを含む、マスター秘密鍵ＭＫを生成するステップ（３００）と、
   ・前記鍵および公開パラメータをサーバ内に保存するステップと、
   ・前記公開パラメータを各々の処理エンティティに保存するためのステップ（１００）と、
   ・それぞれが専用かつ別個である復号鍵ＤＫ_ｉを生成（３０１）し、送信し、処理エンティティにおいて保存（１０１）するステップと
   を前もって含む請求項１に記載の方法。
3. 生成された各々の復号鍵ＤＫ_ｉが、形態ｚ^{１／Ｐ（γ）}の成分を含んでおり、ｚはバイリニアグループβの巡回群のうちの１つに属する生成元であり、Ｐはγに関する多項式であることを特徴とする請求項１または２に記載の方法。
4. ｉ．巡回群Ｇ_１およびＧ_２にそれぞれ属する２つの生成元であるｇおよびｈを選択するステップと、
   ｉｉ．公開パラメータとして、βおよびｈに加えて、成分
   

   

   を生成するステップと
   を含んでおり、
   ・秘密鍵ＭＫが、γおよびｇで構成され、
   ・復号鍵ＤＫ_ｉを生成するステップ（３０１）が、ＤＫ_ｉ＝（ｘ^（ｉ），Ａ_ｉ）（ここで、Ａ_ｉ＝ｇ^{１／Ｐ（γ）}であり、
   

   

   である）のように２つの成分の結果として前記鍵を生成することからなり、
   ・暗号化された制御語を生成するステップ（３１０）が、ｃ＝（ｓ，ｈ^{１／Ｑ（γ）}）（ここで、
   

   

   である）のように２つの成分の結果として前記語を生成することからなり、
   ・制御語ｋを生成するステップ（１１０）が、ｋを
   

   

   のように計算することからなり、ここで
   

   

   であり、
   

   

   およびｍ＝１，．．．，ｄ_ｘについて
   

   

   であることを特徴とする請求項２または３に記載の方法。
5. 群Ｇ_１およびＧ_２にそれぞれ属する２つの生成元であるｇおよびｈを選択するステップを含み、
   ・公開パラメータが、βで構成され、
   ・秘密鍵ＭＫが、γおよびｇで構成され、
   ・復号鍵ＤＫ_ｉを生成するステップ（３０１）が、ＤＫ_ｉ＝（Ａ_ｉ，Ｂ^（ｉ））のように２つの成分の結果として前記鍵を生成することからなり、ここで
   

   

   であり、ｄ_ｘ個の要素のベクトルＢ^（ｉ）が
   

   

   のようであり、
   ・暗号化された制御語を生成するステップ（３１０）が、ｃ＝（Ｗ_１，Ｗ_２，ｓ，Ｕ）のように４つの成分の結果として前記語を生成することからなり、ここでＵは
   

   

   のようなｄ_ｓ個の値のベクトルであり、Ｗ_１＝（ｇ^γ）^ｍであり、
   

   

   であり、ｍは整数であり、
   ・制御語ｋを生成するステップ（１１０）が、ｋを
   

   

   のように計算することからなり、
   ここで
   

   

   である、
   ことを特徴とする請求項２または３に記載の方法。
6. 無効化データＤ_ＲをＤ_Ｒ＝（Ｒ_１，．．．，Ｒ_ｒ）（ここで、
   

   

   ）のように生成するステップを含み、
   生成元ｈが、暗号化された制御語を生成するステップ（３１０）の実施前に値Ｒ_ｒをとることを特徴とする請求項５に記載の方法。
7. 制御語の平文を生成するためのステップ（１１０）の実施前に復号鍵の値を変更するステップを含み、
   前記鍵が、値ＤＫ_ｉ，Ｒ＝（Ａ_ｉ，Ｂ^{（ｉ，Ｒ）}）をとり、ここでｗ∈［１，ｄ_ｘ］の所与の値について
   

   

   であることを特徴とする請求項６に記載の方法。
8. 暗号文が、Ｄ_Ｒおよび選択されたｊ∈［１，ｄ_ｘ］の値についてのｘ_ｊ ^（１），．．．，ｘ_ｊ ^（ｒ）をさらに含み、
   ｋを生成するためのステップ（１１０）が、
   

   

   のように制御語の平文を生成するように構成され、ここで
   

   

   であることを特徴とする請求項６に記載の方法。
9. ・保護されたデジタルコンテンツの放送サーバによって実行され、符号化関数を用いてデジタルコンテンツＭを符号化して符号化されたコンテンツＣを生成するステップと、
   ・前記保護されたデジタルコンテンツの放送サーバによって、複数の契約者処理エンティティによる前記符号化されたコンテンツＣの復号（２１０）に使用されるように意図された平文ｋに係る暗号化された制御語ｃを生成するステップ（３１０）と、
   ・前記符号化されたコンテンツＣおよび暗号化された制御語ｃを、配信ネットワークを介して契約者処理エンティティのために送信するステップと、
   ・前記符号化されたコンテンツＣおよび暗号化された制御語ｃを、各々の契約者処理エンティティによって受信するステップと、
   ・各々の契約者処理エンティティによって、暗号文ｃから制御語の平文ｋを生成するステップ（１１０）と、
   ・各々の契約者処理エンティティによって、符号化されたコンテンツＣの復号（２１０）を行ない、復号関数およびｋからコンテンツＭを生成するステップと、
   ・前記コンテンツＭに合ったインターフェイスを使用して前記コンテンツを取り出すステップと
   を含むデジタルコンテンツの限定受信のための方法であって、
   保護されたデジタルコンテンツの放送サーバによる暗号化された制御語の生成（３１０）および送信のステップ、ならびに契約者処理エンティティによる受信および制御語の平文の生成（１１０）のステップは、サーバと複数の処理エンティティとの間で制御語を送信するための請求項１〜８のいずれか一項に記載のセキュアな方法に従うことを特徴とする方法。
10. 各々の処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）が、符号化されたコンテンツの復号および暗号化された制御語の平文の生成をそれぞれ実行するセキュアな契約者デバイス（１ａ、１ｂ、１ｍ、１ｉ）に組み合わせられた端末（２ａ、２ｂ、２ｍ、２ｉ）で構成され、
    前記符号化されたコンテンツＣおよび暗号化された制御語ｃを処理エンティティによって受信するステップが、
    ｉ．前記符号化されたコンテンツおよび暗号化された制御語を前記端末によって受信すること、および
    ｉｉ．前記端末によって前記暗号化された制御語ｃを該端末と協働するセキュアな契約者デバイスへと送信すること
    を含み、
    前記処理エンティティにおいて制御語の平文ｋを生成するステップ（１１０）が、前記セキュアな契約者デバイスによって制御語の平文ｋを生成して前記端末へと届けることからなり、
    前記符号化されたコンテンツＣの復号（２１０）を行なうステップが、前記符号化されたコンテンツＣおよび前記制御語ｋからコンテンツＭを生成する復号関数を前記端末によって実行することからなる、請求項９に記載の方法。
11. 複数の契約者処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）に関連する限定受信システムのサーバ（３）であって、
    ・ｐ（ｐは素数である）を法とする非ゼロの整数の集合Ｚ_ｐ ^＊に属する秘密の値γと、位数ｐのバイリニアグループβ＝（ｐ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ（．，．））（ここで、ｅ（．，．）はｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔのような結合であり、Ｇ_１、Ｇ_２、およびＧ_Ｔは位数ｐの巡回群である）と、集合Ｚ_ｐ ^＊にそれぞれ属するｄ_ｓ個の要素のベクトルｓ（ｄ_ｓは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さい）とを保存するための手段と、
    ・ｉ．ベクトルｓと、秘密の値γと、巡回群Ｇ_１およびＧ_２にそれぞれ属する２つの生成元とから、制御語の暗号文ｃを生成し、
    ｉｉ．コンテンツＭから符号化されたコンテンツＣを生成する処理手段と、
    ・前記符号化されたコンテンツＣおよび暗号化された制御語ｃを外部へと届けるための手段と
    を備えることを特徴とするサーバ。
12. 請求項１１に記載のサーバへと接続される、限定受信システムの複数の処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）であって、
    ・素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ（．，．））（ここで、ｅ（．，．）はｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔのような結合であり、Ｇ_１、Ｇ_２、およびＧ_Ｔは位数ｐの巡回群である）であって、前記サーバが暗号化された制御語ｃを生成して前記複数の処理エンティティへと送信するために、前記サーバに既知であるバイリニアグループを含む、公開パラメータを保存するための手段と、
    ・ｉ．ｐを法とする非ゼロの整数の集合Ｚ_ｐ ^＊にそれぞれ属するｄ_ｘ個の値のベクトルｘ^（ｉ）（ｄ_ｘは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さく、ベクトルｘ^（ｉ）は当該エンティティに専用である）と、
    ｉｉ．前記サーバに既知である秘密の値γと、
    ｉｉｉ．バイリニアグループβの巡回群のうちの１つに属する生成元と
    から前もって生成される専用の復号鍵ＤＫ_ｉを保存するための手段と、
    ・符号化されたコンテンツＣおよび暗号化された制御語ｃとしてのデータを外部から受信するための手段と、
    ・前記データおよび復号鍵ＤＫ_ｉから制御語ｋを生成するように構成された処理手段（１０）と、
    ・前記データおよび制御語ｋからコンテンツＭを生成するための処理手段と、
    ・前記コンテンツＭの取り出しのために適切なマン−マシンインターフェイス（５）へと前記コンテンツをもたらすための手段と
    を備える処理エンティティ。
13. セキュアな契約者デバイス（１ａ、１ｂ、１ｍ、１ｉ）と協働する電子端末（２ａ、２ｂ、２ｍ、２ｉ）で構成され、それぞれ、符号化されたコンテンツＣの復号（２１０）を行ない、前記復号のための制御語の平文ｋの生成（１１０）および前記端末への供給を行なうことを特徴とする請求項１２に記載の処理エンティティ。
14. 請求項１３に記載の処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）の端末（２ａ、２ｂ、２ｍ、２ｉ）であって、
    ・外部からデータを受信するための手段と、
    ・前記セキュアな契約者デバイス（１ａ、１ｂ、１ｍ、１ｉ）と協働し、該セキュアな契約者デバイスへ、暗号化された制御語ｃを送信し、返答として制御語ｋを受信するための手段と、
    ・コンテンツＭの生成（２１０）を行なうための処理手段と、
    ・前記コンテンツの回復を行なうように構成されたマン−マシンインターフェイスへと前記コンテンツをもたらすための手段と
    を備える端末。
15. 請求項１４に記載の端末と協働するように構成された請求項１３に記載の処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）のための電子契約者デバイス（１ａ、１ｂ、１ｍ、１ｉ）であって、
    ・前記端末から暗号化された制御語を受信するための受信手段と、
    ・公開パラメータを保存するための保存手段と、
    ・専用の復号鍵ＤＫ_ｉを保存するための保存手段と、
    ・前記暗号文ｃおよび鍵ＤＫ_ｉから制御語ｋの生成（１１０）を行なうための処理手段と、
    ・前記制御語を前記端末へともたらすための手段と
    を備える電子契約者デバイス。
16. デジタルコンテンツの限定受信システムであって、
    サーバ（３）を複数の契約者処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）と組み合わせて備えており、前記サーバおよび前記処理エンティティがそれぞれ、請求項９または１０に記載の限定受信方法を実行するための請求項１１ならびに１２または１３に記載のサーバおよび処理エンティティである限定受信システム。

Images