JP5628831B2 - デジタルビデオガード - Google Patents

Description

本発明は、コンピュータのユーザに対して表示される情報の真実性（veracity）に関し、またポインティングデバイスおよびキーボードなどのヒューマン入力デバイス（ＨＩＤ：human input device）によってコンピュータに提供される情報の真実性にも関する。

コンピュータとの対話、したがってインターネットとの対話は、コンピュータの入出力デバイス、すなわちキーボード、マウスおよびディスプレイに重く頼っている。これらの対話の多数は、ディスプレイ上でユーザに提示される情報によって駆動される。この情報のコンテンツおよびソースを、ユーザは日常的に処理し、当たり前のことと思っており、それが益々、フィッシング（phishing）、スプーフィング（spoofing）、仮想化（virtualization）、およびその他の視覚に基づく攻撃（visually-based attacks）につながっている。これらの攻撃が成功するのは、ユーザに対して表示される情報が、ユーザが見ようとしている情報であるからである。攻撃者が経験を積んでくると、ユーザにとって、自分たちに提示される視覚情報の完全性を判定することは益々困難になるであろう。

ユーザにとっては、提示された情報の完全性を判定することが困難であるだけでなく、自分のコンピュータシステムの完全性を確保することもユーザにとって益々困難になっている。その結果として、特にウエブバンキング（web banking）などの遠隔式のネットワーク間接続によるアプリケーションを使用するときに、ユーザは自分のデータの守秘性に確信を持つことができない。マルウェア（malware）は、オペレーティングシステムを攻撃して、重要な個人情報をネットワーク上に漏えいする可能性がある。悪意のあるソフトウェアフック（software hook）がインストールされて、これが、キーボードイベントやマウスイベントのコピー、スクリーンバッファの取込み、ネットワークトラフィックの挿入および修正を行ったり、その他の方法でユーザのコンピュータとの対話に介入する可能性がある。敵対的なウエブサイトまたはクロスサイトスクリプティング（cross-site scripting）は、標的のウエブベースアプリケーションを攻撃して、クライアントを完全に攻略すること、または秘密性の情報を漏らすようにユーザをだますように設計されたその他の攻撃を可能にする。

これらは、攻撃者が利用可能な機構の内のほんのわずかなものにすぎない。このようなリスクを緩和するために、見識のあるユーザは、自分のオペレーティングシステムおよびアプリケーションが定期的に応急修正（patch）されていることを確認し、適正に構成された個人ファイアウォールおよびスパイウェア防護対策を維持し、「安全なブラウジング習慣」を実践することが必要である。これらの対策をすべて備えても、ユーザはなお、オペレーティングシステムおよびアプリケーションの両方に対する、自動応急修正プロセス（automated patch process）の完全性および適時性と、自身のハードウェアの完全性とに頼っている。完全性が未知であるマシンを使用することは、明らかに何らかの形態の信頼を除外することになり、ほとんどの商用オフザシェルフ（ＣＯＴＳ：Commercial Off The Shelf)機器はこの範疇に入る。

本明細書では、「信頼済み（trusted）」および「未信頼の（untrusted）」という用語を使用するが、これらは、コンピュータセキュリティの技術分野の当業者には特定の意味を有することがある。本明細書におけるこれらの用語の使用は、ある文脈においてはそのような特殊な意味に限定されるものではなく、その場合には、これらの用語の意味は、信頼可能な（trustworthy）および信頼不能な（untrustworthy）ことを含むことがあり、これらは信頼のレベルは、環境およびそれに関連するリスクに関係することを意味すると理解することができる。したがって、本発明の態様の１つまたは２つ以上を実現するのに使用される、ハードウェアだけでなく、ソフトウェアにおいて、またそれに加えてどのようなフォーマットであれ、受信および送信したデータにおいても、単一レベルまたは複数レベルの信頼があり得る。信頼の概念についての上記の考察は、関連するソフトウェアおよびハードウェアの人間ユーザにおける絶対的な信頼を仮定している。

本発明の文脈においては、使用の環境に応じて、ユーザは、改ざんまたは悪意のある修正に耐性のある方法で、あるオペレーションを行うために、本発明を信頼する必要がある。この耐性のレベルは、使用の環境に依存し、必要なレベルの信頼を提供するために、様々な機構が利用されてきた。物理的、通信およびコンピュータのセキュリティを提供するさらなる機構が、当業者には知られている。本発明は、未信頼のインフラで使用することが可能であり、そのような場合には、システムに対して行われる可能性のある何らかの悪意のある修正が行われており、システムいかなる行為も信頼できないものと仮定することができる。

表示された情報および入力デバイスの真実性を保証することについての現在、提案されている研究は、信頼済みシステム、信頼済みディスプレイ、およびコンテンツおよび配信を安全化することに注目している。重要なことは、本発明は、必要な機能および信頼を達成するために、新規の帯域内付加物と一緒に、未信頼のデジタル通信ネットワークなどの、既存の通信チャネルおよび計算インフラストラクチャを利用することである。

信頼済みシステム
計算システムおよびアプリケーションを安全化することについて多くの研究が行われており、高グレードシステムは、ほとんど普遍的に、入力および出力用に信頼済みパスを使用する、トラステッド・コンピューティング・ベース（Trusted Computing Base）を必要条件としている。Ｂｏｅｂｅｒｔ（ＷＯ９４／０１８２１）は、キーボードおよびディスプレイ用のトラステッド・パスを提案しており、備えられるトラステッド・パス・サブシステム（Trusted Path Subsystem）が、キーボード入力の暗号化および、受け取った暗号化されたビデオパケットからのビデオ出力の生成を行う。このシステムは、信頼済みコンテンツの配信および入力転送にアウトオフバンド（out-of-band）機構を使用しており、信頼済みコンテンツがビデオ生成の前にデバイス内部に記憶されることを必要とする。

信頼済みディスプレイ
既存の信頼済みディスプレイは、一般的に、信頼済みコンピューティング・プラットフォームと統合されて、全体の信頼済みシステムの一体的な部分を形成し、表示される情報の完全性を提供するのに、耐改ざん性（tamper resistance）および密接なハードウェア統合に頼っている。トラステッド・ディスプレイ・プロセッサ（Trusted Display Processors）が提案されており、それは信頼された方法でビットマップ画像を表示することができる。通常の提案されているモジュールは、スマートカードを利用して、暗号支援を提供し、モジュールに送られるビットマップ画像上の署名を検査することができる。次いで、ビットマップ画像が表示され、信頼の表示が与えられる。信頼を表示する提案されている方法の１つは、ユーザに対して表示される固有の透かし（watermark）を使用することであった。
現在、提案されている解決策は、ローカルマシーン上に常駐するデジタルドキュメントを見る、したがって検証する、信頼済み方法を提供することを探索している。トラステッド・ディスプレイ・プロセッサは、リアルタイムオペレーションを提案せず、デジタルビデオストリームを操作していない。提示されたアプリケーションは、ローカルビットマップ画像をローカルに検証するためのものである。

コンテンツ保護
ＨＤＣＰは、ポイント・ツー・ポイントプロトコル（端末相互間ではない）であり、これはデジタルビデオストリームが送信機（ＤＶＤプレーヤ、ＰＣなど）から受信機（デジタルディスプレイ）まで移動するときの、全コンテンツを安全化するのに使用される。この概念は、リンクを越えて流されることになるコンテンツを保護すること、すなわち、デジタルストリームが他のメディアに「引き裂かれる（ripped）」ことを防止することである。送信機は、受信機に送られる全画素を暗号化し、受信機は、ストリームを表示する前に、それを暗号解読することができる。ＨＤＣＰコマンドおよび制御は、送信機と受信機の間の第２（Ｉ^２Ｃ）リンクを介して、帯域外で実行される。送信機および受信機には、製造時に鍵が与えられ、リンク暗号化のために互いの鍵を調停することができる。ＨＤＣＰ保護メディアは、ＨＤＣＰ送信機と対応する受信機とによってのみ、再生可能である。

安全なアプリケーション配信
ほとんどのプラットフォームに対してリモートデスクトップアプリケーションが存在しており、それによってユーザは、ネットワーク接続上でリモートサーバにアクセスすることができる。これらのアプリケーションは、それらのオペレーティングシステムとの統合のレベル、それらの認証機構、およびそれらのネットワークセキュリティ方式が異なる。
重要なことは、既存のアプリケーションアーキテクチャのいずれも、ユーザのコンピュータ（ソフトウェアまたはハードウェアのいずれか）の信頼状態を考慮していないため、例えばリモートセッションを含む、そのコンピュータ上でユーザによって実行される行為の完全性およびプライバシが、ユーザのコンピュータの制御を獲得した攻撃者によって損なわれる可能性があることである。本明細書に記載の本発明は、信頼性の境界をコンピュータのディスプレイおよび周辺装置にまで拡張して、そのような攻撃者を迂回する。

本発明の全体的な観点においては、デジタルビデオディスプレイ装置上の信頼可能または信頼不能なデータの表示を制御する、信頼済みデジタルビデオガードは、
ａ．信頼不能なデジタルデータおよび帯域内信頼可能なデジタルデータを受信するデジタルビデオデータ入力、
ｂ．ビデオディスプレイ装置にデジタルビデオを出力する信頼済みデジタルビデオ出力、
ｃ．信頼済み標識状態および未信頼の標識状態を有する、少なくとも１つの信頼済みステータス標識、および
ｄ．前記デジタルビデオデータ入力、前記信頼済みデジタルビデオ出力および前記信頼済みステータス標識に動作可能に接続された、信頼済みデジタルプロセッサであって、信頼可能および信頼不能なデジタルデータを識別して、
ｉ）信頼不能なデジタルデータを前記信頼済みデジタルビデオ出力に誘導し、かつ／または
ｉｉ）信頼可能なデジタルデータを前記信頼済みデジタルビデオ出力に誘導するとともに、前記信頼済みステータス標識のステータスを前記信頼済み標識状態に制御するために、帯域内デジタルデータを処理する、前記信頼済みデジタルプロセッサを含む。

信頼済みデジタルビデオガードの本発明の別の観点においては、信頼可能なビデオがビデオディスプレイ装置に出力されるのに対して、信頼不能なビデオは、（未処理デジタルビデオデータは単にカプセル化または暗号化されたデジタルビデオデータであるために）判読不能／読取り不能／理解不能／暗号化／視認不能な状態であるか、または（ＤＶＧによって消費されている、―デジタルビデオデータが消去されるか、その他の方法でそのデバイスの外部に通信されていないことを意味する―ことを含み）その他の方法で修正された状態で表示されるとともに、信頼済みデジタルビデオ出力に供給される。
任意選択で、ＤＶＧには、その機能を増大させるために、以下の能力を含めることができる：
ａ．ＵＳＢトラフィックを送受信するためのＵＳＢ（Universal Serial Bus）ハブ、
ｂ．データを暗号化、暗号解読、圧縮および圧縮解除する手段、および
ｃ．ネットワーク通信を送受信するためのネットワーク接続ポート。

ＤＶＧは、コンピュータ装置例えば商品ＰＣに直列型に組み入れるか、または後付けすることのできるデバイスである。ＤＶＧを使用すると、そのコンピュータ装置に付随するデジタルディスプレイ上に提示される特定の情報に信頼を与えることができる。一態様においては、ＤＶＧはデジタルディスプレイと直列に常駐して、ユーザと、表示される（通常は、リモートソースの）アプリケーションとの間の安全な端末相互間の対話を可能にする。デジタルビデオストリーム内の帯域内信号化方式を使用して、暗号化／署名された情報が、リモートソースから、未信頼のネットワークインフラストラクチャ上をＤＶＧを通して、ユーザが見るために搬送される。暗号化／署名されたデジタルビデオコンテンツの作成は、ローカルまたはリモートアプリケーションのいずれかによって達成し、コンピュータのディスプレイ上に描画しょうとするものを操作すること、すなわち時によってはデジタルディスプレイストリームの部分を形成して、コンピュータ装置からデジタルディスプレイに出力されるデータを暗号化することによって達成することができる。ＤＶＧは、デジタルビデオコンテンツを、それがデジタルディスプレイに送られるときに、暗号解読し、その完全性を検証することができる。

表示された情報の完全性は、ＤＶＧハードウェア上の発光ダイオード（ＬＥＤ）などの、信頼済み標識によって表示することができる。一部または全部のビデオ信号を、ビデオ信号内のどのデータが信頼可能であると暗号化、署名、またはその他の方法でラベル付けされているかに応じて、これは暗示的に、信頼されていると指定することができる。暗号化されたビデオコンテンツをＤＶＧを使用しないでデジタルまたはアナログのディスプレイ上に表示すると、ビデオ信号の暗号化された（信頼済み）部分が、ランダム画素データとして描画されることになる。ＤＶＧはまた、暗号法で署名されたビデオコンテンツに使用してもよく、この場合には、コンテンツは任意のディスプレイデバイス上に表示されるが、ＤＶＧは、コンテントの完全性を保証して表示することができる。ＤＶＧは、描画されているビデオコンテンツ内に信頼を表示することができるが、ディスプレイとのユーザの対話は、ポインタやキーボードなどのユーザ周辺機器を例とする、ヒューマン・ツー・コンピュータインターフェイスデバイスによって生成されていることを認識して、提示されている情報をユーザが信頼できるために、まだデジタルディスプレイが信頼される必要がある。本明細書において提示されるＤＶＧの一態様においては、安全なキーボードおよびポインタ入力には、完全双方向端末相互間セキュリティが提供される。

デジタル・ビジュアル・インターフェイス（ＤＶＩ：Digital Visual Interface）規格は、ソースとディスプレイデバイス間でデジタルディスプレイデータを伝送するためのデジタルインターフェイスを定義している。この規格は、デバイスに独立であり、信号化方式およびプロトコルを定義し、ディスプレイデータを「作成から消費まで」デジタル形態に保持する。物理層において、デジタルデータは、遷移時間最短差動信号伝送方式(ＴＭＤＳ：Transition Minimized Differential Signaling)を使用して伝送される。ＤＶＧの一態様においては、いずれのデジタルディスプレイデータストリームもソースとして使用はできるが、ＤＶＧが傍受、復号化、次いで再生成して信頼済みディスプレイ機能を提供するのは、このＴＭＤＳデジタルストリームである。
ＤＶＧは、帯域内、リアルタイムアプローチであり、信頼済みアプリケーション配信に対して、軽量で携帯可能な解決策を提供する。その他の関係する要素の構成要素ついて、本明細書においてさらに考察する。

ＤＶＧは、標準の（ＣＯＴＳ）ＰＣおよびＤＶＩディプレイを備える、デジタルビデオストリームに対して、リアルタイムに動作する。ＤＶＧは、帯域内信号化方式と、特にＴＤＭＳストリームを含む任意好適なデジタルビデオストリームのロバスト性を利用して、信頼済み画像の暗号解読、およびその結果としての表示を行うための簡潔な直列型パスを提供する。ＤＶＧは、コンピュータネットワークの増大する帯域幅を活用して、実行可能なリモートアプリケーションを実装することができる。
ＤＶＧは、特定の機器に拘束されるものではなく、ＨＤＣＰプロトコル防護ビデオストリームと異なり、暗号化は端末相互間で適用される。

デジタルビデオ・エンクリプタ（ＤＶＥ：Digital Video Encryptor）は、信頼済みサーバまたはリモートコンピュータのデジタルビデオポートに差し込むことのできる、（周辺機器と異なることのない）セキュリティ装置として、ＤＶＧを補完する。ＤＶＥはデジタルビデオデータ信号を傍受して、規定のファイルフォーマット（通常は画像ファイル）内にコンテンツをカプセル化し、カプセル化されたデジタルビデオを暗号化して、暗号化されたデジタルビデオをネットワークインターフェイス上に出力する。

本発明のさらに別の観点においては、未信頼のデジタルデータネットワーク上でデジタルビデオデータを提供する信頼済みサーバからの信頼済みデジタルデータを転送する、信頼済みデジタルガードは、
ａ．前記未信頼のデジタルデータネットワークから信頼不能なデジタルデータおよび帯域内信頼可能なデジタルデータを受信する、デジタルビデオデータ入力、
ｂ．信頼可能なデジタルデータを出力する、少なくとも１つの周辺相互接続出力、
ｃ．前記デジタルビデオデータ入力と、少なくとも１つの周辺相互接続出力とに動作可能に接続されて、帯域内信頼可能なデジタルデータを処理して、前記少なくとも１つの周辺相互接続出力に信頼可能なデジタルデータを誘導する、信頼済みデジタルプロセッサ、を含む。

本発明のさらに別の観点では、信頼済みサーバから、コンピュータ装置に関連するビデオディスプレイ装置へ、信頼済みビデオデータを、未信頼のデジタルデータネットワーク上で配信するための、デジタルデータセキュリティシステムは、
前記信頼済みサーバに動作可能に接続されたデジタルビデオ装置であって、前記信頼済みサーバから信頼済みビデオコンテンツを受信し、前記信頼済みビデオデータを所定のファイルフォーマットでカプセル化し、前記カプセル化された信頼済みビデオコンテンツを、前記未信頼のデジタルネットワーク上で前記ビデオディスプレイ装置と関連するコンピュータ装置に転送する、デジタルプロセッサを含む、前記デジタルビデオ装置、および
デジタルビデオディスプレイ装置上への信頼可能および信頼不能なデータの表示を制御する、デジタルビデオガードであって、
ａ．前記ビデオディスプレイ装置に付随するコンピュータ装置から、信頼不能なデジタルデータおよび帯域内の信頼可能なデジタルデータを受信する、デジタルビデオデータ入力、
ｂ．前記ビデオディスプレイ装置にデジタルビデオを出力する、信頼済みデジタルビデオ出力、
ｃ．信頼済み標識状態および未信頼の標識状態を有する、信頼済みステータス標識、および
ｄ．前記デジタルビデオデータ入力、前記信頼済みデジタルビデオ出力および前記信頼済みステータス標識に動作可能に接続された、信頼済みデジタルプロセッサであって、信頼可能および信頼不能なデジタルデータを識別して、
ｉ）処理後の信頼不能なデジタルデータを前記信頼済みデジタルビデオ出力に誘導し、かつ／または
ｉｉ）処理後の信頼可能なデジタルデータを前記信頼済みデジタルビデオ出力に誘導するとともに、前記信頼済みステータス標識のステータスを前記信頼済み標識状態に制御するために、帯域内デジタルデータを処理する、前記信頼済みデジタルプロセッサ
を含む前記デジタルビデオガードを含む。

デジタルデータガード（ＤＤＧ：Digital Data Guard）は、信頼済みコンテンツサーバからコンテンツを、未信頼のネットワークを越えて、かつ未信頼のコンピュータの使用によって、ＵＳＢデータ記憶装置などのユーザの周辺データ記憶装置へと安全に転送する機能を提供するのに使用することができる。
本発明の一観点においては、カプセル化されたデジタルビデオデータ内に信頼可能なデータを含む、カプセル化されたデジタルビデオデータのソース、および周辺データ記憶装置に接続するための、信頼済みデジタルデータガードは、
ａ．カプセル化されたデジタルビデオデータを受信するデジタルビデオデータ入力、
ｂ．少なくとも１つの信頼済み周辺相互接続出力、
ｃ．前記デジタルビデオデータ入力と、少なくとも１つの周辺相互接続出力に動作可能に接続されて、前記デジタルビデオデータを脱カプセル化して、信頼可能なデータを抽出し、前記信頼可能なデータを、前記少なくとも１つの周辺相互接続出力に関連する周辺装置に供給する、信頼済みデジタルプロセッサ
を含む

本発明の一観点において、デジタルビデオディスプレイ装置上への信頼可能および信頼不能なデータの表示を制御する、信頼済みデジタルデータ防護方法は、
ａ．デジタルビデオデータ入力において信頼不能なデジタルデータおよび帯域内の信頼可能なデジタルデータを受信するステップ、
ｂ．信頼済みデジタルビデオ出力においてビデオディスプレイ装置にデジタルビデオデータを出力するステップ、および
ｃ．前記デジタルビデオデータ入力、信頼済みデジタルビデオ出力および信頼済みステータス標識に動作可能に接続された、信頼済みデジタルプロセッサで、信頼可能および信頼不能なデジタルデータを識別し、
ｉ．信頼不能なデジタルデータを前記信頼済みデジタルビデオ出力に誘導し、かつ／または
ｉｉ．信頼可能なデジタルデータを前記信頼済みデジタルビデオ出力に誘導し、少なくとも１つの信頼済みステータス標識の一方の状態を前記信頼済み標識状態に制御するために、帯域内デジタルデータを処理する、処理ステップを含む

本発明の一観点の、信頼済みサーバからコンピュータ装置に付随するビデオディスプレイ装置への、信頼済みビデオデータの、未信頼のデジタルデータネットワーク上での配信に対する、デジタルデータセキュリティ方法は、
ａ．前記信頼済みサーバに動作可能に接続されたデジタルビデオ装置内で、前記信頼済みサーバから信頼済みビデオコンテンツを受信する処理ステップ、
ｂ．前記信頼済みビデオデータを所定のファイルフォーマットでカプセル化するステップ、
ｃ．前記カプセル化された信頼済みビデオコンテンツを、前記未信頼のデジタルネットワーク上で、前記ビデオディスプレイ装置に付随するコンピュータ装置に転送するステップ、および
ｄ．デジタルビデオガード内で、デジタルビデオディスプレイ装置上への信頼可能および信頼不能なデータの表示を制御する、処理テップであって、以下のステップを含む；
ｅ．デジタルビデオデータ入力において信頼不能なデジタルデータおよび帯域内の信頼可能なデジタルデータを受信するステップ、
ｆ．前記デジタルビデオデータ入力、信頼済みデジタルビデオ出力および信頼済みステータス標識に動作可能に接続された信頼済みデジタルプロセッサで、信頼可能および信頼不能なデジタルデータを識別して、
ｉ．信頼不能なデジタルデータを信頼済みデジタルビデオ出力に誘導し、かつ／または
ｉｉ．信頼可能なデジタルデータを信頼済みデジタルビデオ出力に誘導し、少なくとも１つの信頼済みステータス標識の一方の状態を前記信頼済み標識状態に制御するために、帯域内デジタルデータを処理する、処理ステップ、および
ｇ．信頼済みデジタルビデオ出力において、デジタルビデオデータを前記ビデオディスプレイ装置に出力するステップを含む。

本発明のさらに別の観点において、未信頼のデジタルネットワーク上で信頼済みデジタルビデオデータを供給する信頼済みサーバを動作可能に接続するための、信頼済みデジタルビデオ通信方法は、
ａ．デジタルビデオデータ入力において信頼済みサーバから信頼済みデジタルビデオデータを受信するステップ、
ｂ．デジタル通信ポートにおいて、未信頼のデジタルネットワークにデータを出力するステップ、
ｃ．前記デジタルビデオデータ入力およびデジタル通信ポートに動作可能に接続された信頼済みデジタルプロセッサを用いて、前記信頼済みデジタルデータを所定のファイルフォーマットでカプセル化する処理をし、前記カプセル化された信頼済みデジタルビデオデータをデジタル通信ポートから未信頼のデジタルネットワーク上に出力するステップを含む。

本発明のさらに別の一観点において、カプセルされたデジタルビデオデータ内部に信頼可能なデータを含む、カプセル化されたデジタルビデオデータのソースを周辺データ記憶装置に接続するための、信頼済みデジタルデータ防護方法は、
ａ．デジタルビデオデータ入力上でカプセル化されたデジタルビデオデータを受信するステップ、
ｂ．少なくとも１つの信頼済み周辺相互接続出力からデータを出力するステップ、および
ｃ．前記デジタルビデオデータ入力および少なくとも１つの周辺相互接続出力に動作可能に接続された、信頼済みデジタルプロセッサを用いて、デジタルビデオデータを脱カプセル化し、前記信頼可能なデータを抽出して、該信頼可能なデータを前記少なくとも１つの周辺相互接続入力と関連する周辺装置に提供する、処理ステップを含む。

本発明の１つまたは２つ以上の好ましい態様についての詳細な説明を、本発明の原理の例として示す添付の図面と合わせて以下に提示する。本発明を、そのような態様との関係において説明するが、本発明はいかなる態様にも限定されるものではないことを理解されたい。反対に、本発明の範囲は、多数の代替物、修正例、および均等物を包含するものである。本発明が完全に理解されるように、例示の目的で、多数の特定の詳細について以下に記載する。本発明は、これらの特定の詳細の一部または全部を用いることなく、特許請求の範囲に従って実施することができる。分かりやすくするために、本発明に関係する技術分野において知られている技術項目は、本発明が不必要に曖昧にならないように、詳細には説明していない。

以下に示す本明細書および特許請求の範囲の全体を通して、文脈において特に断らない限り、「備える（comprise）」および「含む（include）」の用語、ならびに「備えている（comprising）」および「含んでいる（including）」などの変形形態は、記載された整数または整数群を包含することを意味するが、その他の整数または整数群を排除することを意味するものではないことを理解されたい。本明細書におけるいかなる従来技術の参照も、そのような従来技術が共通一般知識の一部を形成するものであることを認知、または何らかの形態で示唆するものではなく、またそのように解釈されるべきではない。

本明細書に使用される限りにおいて、ロジックおよび／またはデジタル処理、ならびにデジタル入力、デジタル出力およびデジタルプロセッサは、それには限定はされないが、１つの機能（複数を含む）もしくは作用（複数を含む）を実行する、および／または別の構成要素から、１つの機能または作用を発生させるための、ハードウェア、ファームウェア、ソフトウェアおよび／またはそれぞれの組合せを含む。例えば、所望の用途またはニーズに基づいて、ロジックは、ソフトウェア制御マイクロプロセッサ、用途特定集積回路（ＡＳＩＣ）などの別個のロジック、またはその他のプログラムおよび論理素子を含むことがある。ロジックはまた、完全にソフトウェアとして具体化することもできる。

本明細書において使用される限り、「ソフトウェア」は、それに限定はされないが、コンピュータまたはその他の電子装置に機能、作用および／または行為を望みどおりに起こさせる、１つまたは２つ以上のコンピュータ可読および／または実行可能な命令を含む。このような命令は、ルーチン、アルゴリズム、モジュール、または別個のアプリケーションもしくは動的にリンクされたライブラリからのコードを含む、プログラム類などの様々な形態で具体化される。ソフトウェアはまた、スタンドアローンプログラム、関数呼び出し、サーブレット（servlet）、アプレット（applet）、メモリ内に記憶された命令、オペレーティングシステムの一部、またはその他のタイプの実行可能な命令などの、様々な形態で実装することもできる。ソフトウェアの形態は、例えば、所望のアプリケーションの要件、それが実行される環境、および／または設計者／プログラマなどの要望によって決まることを当業者は理解するであろう。

図１は、未信頼のインフラストラクチャと一緒に動作する、直列型のＤＶＧ配設を示す図である。 図２は、ＤＶＧの概略例示的デジタルビデオ動作を示す図である。 図３ａは、ＤＶＧの例示的ハードウェア配設を示す図である。 図３ｂは、信頼済み標識（ＬＥＤ）を示す、動作中の例示的ＤＶＧを示す図である。 図４ａは、デジタルビデオデータ入出力およびスマートカードインターフェイスを備える、ＤＶＧの例示的態様を示す図である。 図４ｂは、デジタルビデオデータ入出力、上流および下流のＵＳＢポート、ならびにスマートカードインターフェイスを備える、ＤＶＧの例示的態様を示す図である。 図５は、ＤＶＧを備えない出力と比較した、モニタ上のＤＶＧからの例示的出力を示す図である。

図６ａは、未信頼のローカルコンピュータとデジタルモニタとの間の、ＤＶＧの直列配設を示す図である。 図６ｂは、ＤＶＧを通して表示するための、サーバから未信頼のクライアントへの、信頼済みコンテンツの例示的フローを示す図である。 図７ａは、ＵＳＢ入力および出力を含む、ＤＶＧの例示的な包括的アーキテクチャを示す図である。 図７ｂは、暗号式スマートカード（Cryptographic Smart Card）インターフェイスを含む、ＤＶＧの例示的な包括的アーキテクチャを示す図である。 図８ａは、ＴＭＤＳ信号化方式上で動作するＤＶＧの具体的な態様を示す図である。 図８ｂは、暗号式スマートカードインターフェイスを含む、ＴＭＤＳ信号化方式で動作するＤＶＧの具体的な態様を示す図である。 図８ｃは、ＴＭＤＳ信号化方式上で動作し、上流および下流のＵＳＢポート、ＣＰＵ、ＦＰＧＡ、および暗号式スマートカードインターフェイスを含む、ＤＶＧの具体的な態様を示す図である。

図９ａは、ＤＶＧ用の例示的な包括的ＦＰＧＡアーキテクチャを示す図である。 図９ｂは、画素操作に使用されるＦＰＧＡアーキテクチャの一観点の具体的な態様を示す図である。 図９ｃは、ＵＳＢ周辺暗号化に使用されるＦＰＧＡアーキテクチャの一観点の具体的な態様を示す図である。 図１０ａは、ＤＶＧを通しての表示向けのコンテンツの生成例を示す図である。 図１０ｂは、ＤＶＧを通して表示されたコンテンツの再生を示す図である。 図１１ａは、ＤＶＧを通しての表示用の非画像系（non-imaged based）コンテンツの生成の例を示す図である。 図１１ｂは、ＤＶＧを通しての非画像系コンテンツの再生および表示を示す図である。

図１２ａは、ＤＶＧを通して表示するための多重コンテンツストリームを結合する例を示す図である。 図１２ｂは、ＤＶＧを通しての多重コンテンツストリームの再生および表示を示す図である。 図１３ａは、ＤＶＧを通して表示するための異なるタイプのコンテンツストリームを結合する例を示す図である。 図１３ｂは、ＤＶＧを通しての異なるタイプのコンテンツストリームの再生および表示を示す図である。 図１４は、例示的なインターネットバンキングシナリオにおいて使用されているＤＶＧの一態様を示す図である。 図１５ａは、インターネットバンキングのウエブサイトのログイン・スクリーンを示している、ビデオディスプレイ装置のスクリーンショットを示す図である。 図１５ｂは、インターネットバンキングのウエブサイトのログイン・スクリーンを、入力された詳細とともに示している、ビデオディスプレイ装置のスクリーンショットを示す図である。

図１５ｃは、信頼済みサーバから部分的に提供されるインターネットバンキングのウエブサイトのログイン・スクリーンを示しているビデオディスプレイ装置のスクリーンショットを示す図であり、スクリーンの判読不能／読取り不能／理解不能／暗号化／視認不能の部分、またはその他の方法で修正された部分はＤＶＧデバイスを設置していない結果である。 図１５ｄは、ＤＶＧを通してスクリーン上に表示された状態のビデオの信頼済み部分に示された、インターネットバンキングのウエブサイトのログイン・スクリーンを示している、ビデオディスプレイ装置のスクリーンショットを示す図である。 図１５ｅは、個人識別番号（ＰＩＮ）が入力されている状態のインターネットバンキングのウエブサイトのログイン・スクリーンを示している、ビデオディスプレイ装置のスクリーンショットを示す図である。このログイン・スクリーンは、ＤＶＧを通してスクリーン上に表示された状態のビデオの信頼済み部分に示されており、オン・スクリーンのキーバッドはＰＩＮ桁入力の間の無作為にスクランブルされている。 図１５ｆは、個人識別番号（ＰＩＮ）が入力されている状態のインターネットバンキングのウエブサイトのログイン・スクリーンを示している、ビデオディスプレイ装置のスクリーンショットを示す図である。このログイン・スクリーンは、ＤＶＧを通してスクリーン上に表示された状態のビデオの信頼済み部分に示されており、オン・スクリーンのキーバッドはＰＩＮ桁入力の間の無作為にスクランブルされている。 図１５ｇは、個人識別番号（ＰＩＮ）が入力されている状態のインターネットバンキングのウエブサイトのログイン・スクリーンを示している、ビデオディスプレイ装置のスクリーンショットを示す図である。このログイン・スクリーンは、ＤＶＧを通してスクリーン上に表示された状態のビデオの信頼済み部分に示されており、オン・スクリーンのキーバッドはＰＩＮ桁入力の間の無作為にスクランブルされている。 図１５ｈは、個人識別番号（ＰＩＮ）が入力されている状態のインターネットバンキングのウエブサイトのログイン・スクリーンを示している、ビデオディスプレイ装置のスクリーンショットを示す図である。このログイン・スクリーンは、ＤＶＧを通してスクリーン上に表示された状態のビデオの信頼済み部分に示されており、オン・スクリーンのキーバッドはＰＩＮ桁入力の間の無作為にスクランブルされている。 図１５ｉは、信頼済みサーバから部分的に提供されたインターネットバンキングのウエブサイトのアカウント情報スクリーンを示している、ビデオディスプレイ装置のスクリーンショットを示す図であり、スクリーンの判読不能／読取り不能／理解不能／暗号化／視認不能の部分、またはその他の方法で修正された部分は、ＤＶＧデバイスを設置していない結果である。

図１５ｊは、ＤＶＧを通してスクリーン上に表示された状態のビデオの信頼済み部分に示された、インターネットバンキングのウエブサイトのアカウント情報スクリーンを示している、ビデオディスプレイ装置のスクリーンショットを示す図である。 図１６は、例示的なリモートアプリケーションシナリオにおいて使用されている、ＤＶＧの一態様を示す図である。 図１７ａは、安全なリモートアプリケーション配信（Secure Remote Application Delivery）アプリケーションを示す図である。 図１７ｂは、リモートサーバへの接続を開始する、安全リモートアプリケーション配信アプリケーションを示す図である。 図１７ｃは、信頼済みサーバから部分的に提供された安全リモートアプリケーション配信アプリケーションスクリーンを示している、ビデオディスプレイ装置のスクリーンショットを示す図であり、スクリーンの判読不能／読取り不能／理解不能／暗号化／視認不能の部分、またはその他の方法で修正された部分はＤＶＧデバイスを設置していない結果である。

図１７ｄは、信頼済みサーバから部分的に提供された安全リモートアプリケーション配信アプリケーションを示しているビデオディスプレイ装置のスクリーンショットを示す図であり、アプリケーションは、ＤＶＧを通してスクリーン上に表示された状態の、ビデオの信頼済み部分に示されている。 図１７ｅは、信頼済みサーバから部分的に提供された安全リモートアプリケーション配信アプリケーションを示しているビデオディスプレイ装置のスクリーンショットを示す図であり、アプリケーションは、ＤＶＧを通してスクリーン上に表示された状態の、ビデオの信頼済み部分に示されている。 図１７ｆは、信頼済みサーバから部分的に提供された安全リモートアプリケーション配信アプリケーションを示しているビデオディスプレイ装置のスクリーンショットを示す図であり、アプリケーションは、ＤＶＧを通してスクリーン上に表示された状態の、ビデオの信頼済み部分に示されている。 図１８は、ＤＶＧの相補的態様である、デジタルビデオ・エンクリプタ（ＤＶＥ）を示す図である。 図１９は、デジタルビデオ・エンクリプタ（ＤＶＥ）の使用を示す図である。 図２０は、ＤＶＧの相補的な態様である、ＤＤＧに取り付け可能なデジタルデータ記憶装置にデジタルデータを配信するための未信頼のネットワーク環境における、デジタルデータガード（ＤＤＧ）を示す図である。２ 図２１は、ＤＤＧの包括的ハードウェア配設の一態様を示す図である。

発明の実施形態の詳細な説明
ＤＶＧは、様々なディスプレイとコンピュータ装置の間に後付けするのが簡単であり、電子回路や複雑さが最少でありながら、さらに、未信頼のインフラストラクチャの利点を使用して、安全で高信頼のサービスおよびコンテンツの配信を支援することができる。

ＤＶＧが設置されると、その機能はユーザに対して透過的となる。例として、ユーザが銀行と対話して銀行取引きを行いたい場合には、通常は、インターネットと呼ばれる世界中のコンピュータおよびコンピュータネットワークの集合を介して、アクセスが達成され、そのアクセスは、その銀行の所定のＵＲＬ（ウエブページアドレス）に接続するユーザのブラウザを使用することによって達成される。ログインやパスワードなどの、１種または２種以上の第１レベルのセキュリティ手続きが必要となることがあり、またユーザがそのアカウントにアクセスするのに、その他のより厳しいセキュリティ手続きが要求されることもある。しかしながら、適当なＤＶＧが設置されていない限り、ユーザに対して表示されるためのデータは、いずれも理解可能な形態では表示されない。ＤＶＧは、ユーザに対して表示するための符号化されたデータを暗号解読し、そのデータを、ＤＶＧのモニタ／ディスプレイ出力に接続された所定の表示の領域内部に提供して、同時に、目に見える（ランプまたはＬＥＤを点灯させる）および／または耳に聞こえる標識を提供し、表示されているものが、予期したソースからのものであることの真実性があることを示す。

このようにして保護される厳密なデジタルデータコンテンツは、用意したアプリケーションによって決まる。本明細書において詳細を示す、本発明の具体的な態様は、この安全なコンテンツ配信を、その原因に適当な異なる方法で活用する。
リモートソースからＤＶＧを通してユーザのディスプレイに提供される、一方向のデジタルコンテンツ保護と同様に、ＤＶＧは、リモートソースとの双方向セッションを容易化することもできる。本明細書に詳述する具体的な態様は、いかにして未信頼のポインティングデバイスを、リモート式で生成された（安全な）画像と結合して、ポインティングデバイス位置相関を介して信頼済みバックチャネルを提供できるかを説明する。そのような機構は、例えば、銀行取引においてＰＩＮを安全に入力するのに使用することができる。

ＤＶＧの使用のさらに別の観点においては、ポインティングデバイスおよびキーボードの動作をユーザのディスプレイ上に表示し、そのユーザの取引を処理するのに使用された、バンキングアプリケーションに対するそのデータの真実性を保証するように、銀行に送信して戻すために生成するデータを符号化することが可能である。このようなＤＶＧからリモートソースへの安全なバックチャネルについての説明を、本発明の例示的な態様を通して行う。
上記の銀行取引処理とは異なる可能性のあるアプリケーションを提示する、様々な態様について、次に説明する。
一態様において開示されるＤＶＧは、ＴＭＤＳ（Transmission-Minimised Differential Signalling（遷移時間最短差動信号伝送方式））信号取込みおよび再生をリアルタイムで行うことができる。基本ＤＶＧ機能に加えて、ＵＳＢマウスおよびＵＳＢキーボードの両方に対する、ＵＳＢリピータおよび暗号化機能が提供されて、例えば、マウス移動およびキーボードの両方を取り込み、暗号化して、次いで、好ましくは帯域内信号化方式を用いて直列式でローカルな計算装置へと通される、ヒューマンインターフェイス動作が可能になる。

図１は、インラインＤＶＩセキュリティ装置としての、ＤＶＧの一態様を示す。
ＤＶＧ１０は、（この図では、例えばインターネットなどのネットワーク１８を介して、物理的接続を有するのが示されている、サーバ１９からサービスが提供される）未信頼のクライアントコンピュータ１７とＤＶＩディスプレイ１２との間に直列に挿入され、キーボード１４とマウス１６が、任意選択でこの装置１０を経由する。図１は、一例において、ＤＶＧが、どのようにしてデジタルビデオストリームならびにキーボードおよびマウスデータを傍受し、記述する例において有用となるかを示しており、その例においては、未信頼のクライアントコンピュータ１７およびディスプレイ１２のユーザが、自分たちの銀行と取引きを行う際に安全に対話ができる。図６ａおよび図６ｂは、インライン・セキュリティ・ドングルとしてのＤＶＧ１０の物理的な実施例を示しており、ＤＶＧ１０は、未信頼のクライアントコンピュータ１７と、デジタルＤＶＩディスプレイ１２および、ローカルの未信頼のクライアントコンピュータ（図６ａ）と協働するポインティングデバイス１６およびキーボード１４などの、ＵＳＢ周辺装置との間に接続されるとともに、未信頼のコンピュータネットワーク／インターネット１８を介して、この実施例におけるトラステッド・アプリケーション・サーバ（Trusted Application server）１９のような、リモートコンピュータ装置に接続されている。

説明のために、図５は、ＤＶＧを設置する場合と設置しない場合に、暗号解読されたコンテンツがデジタルビデオディスプレイ上にいかに表示されるかの例を示す。図５における左側モニタは、通常のオペレーティングシステムが表示されているのを示しており、スクリーンの大部分がランダム画素２６として描画されている。表示されているコンテンツは、（図２に示されているような）リモートサーバによって暗号化されており、各画素は、暗号解読されるまでランダムデータとして現われる。図５の右側のモニタは、適切な鍵を有するＤＶＧが設置されているときの出力を示している。ＤＶＧは、オンザフライ（on the fly）で暗号化されたコンテンツ２２を暗号解読して、それを表示のために出力することができる。またＤＶＧは、残りの暗号化されていない画素を、任意の方法２２’、通常は、ランダム化、ブラックアウト、グレー表示（greying out）することによって、修正することもできる。図５の例において、残りの画素はグレー表示されている。ＤＶＧが、信頼済みコンテンツの暗号解読と出力に成功すると、信頼済みステータス標識が状態を変更し、この例では、オフからオンへ、すなわち消灯から点灯へと変化する。

図２は、信頼済みリモートサーバ２０がデジタルコンテンツ２２を生成し（この例では、ドキュメントの１ページ）、そのコンテンツを暗号化２４して、暗号化されたコンテンツ２６（これは、任意好適な手段１８を使用して、ユーザのコンピュータに送信され、ＤＶＧを使用することなく表示された場合には、２６に示す形態を有する）を生成する場合の、ＤＶＧの使用を示している。暗号化されたデジタルコンテンツ２６、２６’、２６’’および２６’’’（便宜的に複数スクリーンショットとして示されている）は、未信頼のデジタルコミュニケーションインフラストラクチャ１８を使用して、未信頼のクライアントコンピュータ１７に送信される。ＤＶＧを使用しなければ、表示された暗号化されたコンテンツのいずれもが、未信頼のクライアントコンピュータ１７上のビデオディスプレイおよび付随するスクリーン（モニタ）１２（図１を参照）上にランダム画素として描画される。適切な暗号鍵を与えられたＤＶＧ１０が、未信頼のクライアントコンピュータ１７とクライアントモニタ１２の間に位置する場合には、元のコンテンツ２２を暗号解読して、表示することができる。

図３ａは、図１のＤＶＧ１０のハードウェアバージョン３８の例を示している。この表示された物理的筐体は一態様にすぎず、筐体の物理的寸法は、単に、様々な内部的に位置するコンポーネントおよび／または入力コネクタおよび出力コネクタの寸法および構成と関係するものである。ＤＶＧの物理的構成は、好適なコネクタを備えるケーブルおよび、コネクタの入力ピンおよび出力ピンの間に位置するインラインＤＶＧデバイスから、図３ａに示すタイプの場合まで範囲が広がると考えられ、またそのようなデバイスを、コンピュータ、ルータ、または計算設備の周辺装置として作用する任意のデバイスの場合のように、別のデバイスの内部に備えることも可能である。図３ｂは、図３ａのＤＶＧデバイスの例を示し、特に、信頼済みステータス表示装置、この例においては、発光ダイオード（ＬＥＤ）４０を示しているが、これは代替的にランプとするか、または許容できる方法でＤＶＧ１０と関連させた、その他任意のタイプの可視光発生装置とすることもできる。

図４ａは、ＤＶＧの例示的な物理態様を示し、デジタルビデオデータ入力４２、デジタルビデオ出力４４、（この例においては、オフ状態およびオン状態を有する）信頼済みステータス標識４０、および暗号式スマートカードインターフェイス４６を示している。デジタルビデオソースは、未信頼の入力であり、通常、未信頼の計算装置から接続される。暗号式スマートカードインターフェイスは、本明細書の全体を通して詳述する暗号機能に対するサービスを提供するのに使用される。信頼済みステータス標識はＬＥＤであり、これは、ＤＶＧが、その出力デジタルビデオポートから信頼済みコンテンツを出力しているときに点灯され、通常このポートはデジタルビデオディスプレイ装置に接続されている。

図４ｂはＤＶＧのより複雑な例示態様を示し、この場合には、ＵＳＢ上流ポート４８およびＵＳＢ下流ポート５０がＤＶＧ１０に接続されている。下流ポートは、ポインティングデバイス、キーボード、および大容量記憶装置などの、ＵＳＢデバイスをＤＶＧに取り付けることを可能にする。ＤＶＧは、これらのデバイスと、それらの入力および出力を直接的に使用して、直接的にインターフェイスでつなぐか、またはそれらの通信を暗号化して、それらをＵＳＢ上流ポート介して未信頼の計算インフラストラクチャに流すことができる。このトンネル型ＵＳＢ通信は、未信頼のインフラストアクチャ上で、適当な信頼済みリモートサーバに伝送することができる。
図４ａおよび図４ｂの態様において、信頼済みステータス標識、スマートカードインターフェイス、およびデジタルビデオ出力と共に、ＤＶＧデジタル処理ロジック（図示せず）は、すべて信頼される必要がある。

図７ａは、ＤＶＧ１０の一態様のブロック図を示す。この態様において、ＤＶＧは、デジタルビデオストリーム４１をデジタルビデオデータ入力４１を介して画素フォーマットに変換することのできるデジタルビデオ受信機５２、画素操作を実行するためのデジタル処理ロジック５４などの処理のための信頼済みデジタルプロセッサ、信頼済みステータス標識、およびデジタルビデオストリーム出力４３を信頼済みデジタルビデオ出力４４を介して、出力することのできる、デジタルビデオ送信機５６を内蔵する。図７ａはまた、ＤＶＧの一態様のブロック図を示し、このＤＶＧは、やはり低レベルＰＨＹチップ（PHYsical-layer chip）（５８および６０）を内蔵して、（ポインタまたはキーボードなどの）周辺デバイスの接続を可能として（送信専用または受信専用である、汎用周辺相互接続出力および入力の具体例であるが、そのようなデバイスは通常、双方向周辺相互接続ポートとして設定される）、ＤＶＧによる使用を可能にしたり、任意選択で消費または修正することを可能にする。暗号化によって保護される場合もある修正された周辺データは、未信頼のクライアントコンピュータ１７の周辺相互接続ポートを介して送り、未信頼のインフラストラクチャ１８上で、リモート式のトラステッド・サーバ１９へと経由させてもよい。図７ｂは、必要に応じて暗号プリミティブが実装される、暗号式スマートカードインターフェイス４６を含む。

一例において、ＤＶＧハードウェアのグラフィクスおよび暗号ブロック５４はＸｉｌｉｎｘ ＶｉｒｔｅｘＩＩ ＦＰＧＡである。ＤＶＩ ＴＭＤＳ信号４１を受信するときには、これらの信号は、好ましい配設においては、Ｔｅｘａｓ Ｉｎｓｔｒｕｍｅｎｔｓ社のＴＦＰ４０１ＡおよびＴＦＰ４１０集積回路を使用して、受信５２および送信５６される。
このハードウェアのブロック図が図８ａに示されており、この場合には、ＤＶＩ受信機はＴＦＰ４０１Ａであり、ＤＶＩ送信機はＴＦＰ４１０である。これらのすべての回路は、単一の特定用途向けＩＣ（ＡＳＩＣ）によって置き換え可能である。図８ｂは、この構成に対して暗号式スマートカードをインターフェイスでつなぐことのできる方法を示している。

図８ｃに示されている、ＤＶＧデバイスの別の例においては、ヒューマンインターフェイスデバイスからの入力を利用して、ＦＰＧＡは別個のＵＳＢ ＰＨＹチップ（５８および６０）（PHYsical-layer chips）を接続して、ＵＳＢ規格バージョン１．１に準拠させることができる。特殊目的接続（例えば、キーボード、マウス）の数および種類は、所望の設計基準の関数である。この例示的態様におけるＦＰＧＡは、ＵＳＢハブ機能を実装して、ＵＳＢデータ上に暗号化プリミティブを実装する（例えば、キーストロークおよびマウス運動を、ポート４９および５１にそれぞれ関連するデータストリーム４１および５１とする）必要に応じて、ＵＳＢ信号化方式を復号し、次いで再生することを可能にする。

図８ｃの態様、すなわち図９ａに示すようなＦＰＧＡの主構成要素において、これらの構成要素は、暗号式画素エンジン６２および暗号化ＵＳＢハブ（図９ｃ）を含む。暗号式画素エンジン６２は、２つの入力６４および６６を有し、これらの両方が、それぞれスイッチ６８および７０によって別個に入力切替される。スイッチ６８および７０の制御は、例えば、ＦＰＧＡおよび／またはＣＰＵ７８（図８ｃ）などの信頼済みデジタルプロセッサによって信頼済み方法で、入力（画素データ４１およびＵＳＢ信号４９）がＦＰＧＡに誘導されるときに行われる。図９ｂは、グラフィック／暗号ブロックとしての信頼済みデジタルプロセッサＦＰＧＡ５４を示しており、このグラフィック／暗号ブロックは、図８ｃに関係して上述したようにＤＶＩ ＴＤＭＳ送信機５６に画素データを出力し、それと同時に、その出力が、この態様において必要とされる真実性を有するか（すなわち信頼可能であるか）どうかを表示し、信号４０’（図９ａ）によって信頼済みＬＥＤ標識４０を点灯させる前に、画素データ、この例においてはそれが受信されるときに各画素データ、を試験し、必要に応じて、そのデータを暗号解読６５、修正／生成６３、または通過６７させる。

同様に、図９ｃに示すように、ヒューマンインターフェイスデバイスなどのＵＳＢ周辺機器からの入力（データストリーム５３）が傍受され、解釈されて、次いで、消費、修正、または暗号化されて、未信頼の計算装置１７へと送信４７される。鍵管理が、図９ｂおよび９ｃに示されており、これは許可されたユーザまたはソフトウェア機能が、データを解読および暗号化にするのに使用される暗号鍵を変更する可能性に関係する。そのような変更は、アドホック（ad hoc）とするか、または２つ以上の信頼済みアプリケーションサーバとのＤＶＩの対話などの、所定の環境によって変更してもよい。

その最少構成において、ＤＶＧハードウェアおよびソフトウェアは、非常に単純であり、適当な信頼レベルを有する、一組の限定された動作を実行する。
ＤＶＧは、それが受信する任意の画素データを表示または修正することを随意に選択してスクリーンの部分を操作することが可能であり、その結果として、ＤＶＧ生成画素データを使用して表示が作成され、例として、ブラックアウト表示、グレー表示、暗号解読された画素データ、または受信した状態で表示された画素データが挙げられる。すべては、信頼済みコンテンツ、修正された未信頼のコンテンツ、およびＤＶＧ生成コンテンツの混合物を含む表示が得られることになる。アプリケーションによっては、すべての未信頼のデータがＤＶＧによってブラックアウトされ（すなわち、ＤＶＧがデジタルビデオストリームからのデータを完全に除去し）、信頼済みコンテンツだけがディスプレイ上に描画されて残ることもある。

ＤＶＧハードウェアは、ディスプレイ上に描画される信頼済みビデオコンテンツを生成することができる。このコンテンツは、マウスまたはキーボードからのデータ入力、デジタルビデオコンテンツ内部からのメタデータ、または純粋にＤＶＧ生成のコンテンツ（例えば、暗号プロトコルに使用するために表示されたランダム数（ナンス（nonce）））に基づくものにすることができる。次いでＤＶＧは、デジタルデータコンテンツがディスプレイに送信されると、既存の（受信された）コンテンツに重ね合わせるか、またはそれを置き換える。

一例においては、ビデオコンテンツを受信すると、ＤＶＧは、そのコンテンツの信頼済み部分を暗号解読して、信頼済みデータを示していない、ディスプレイの残部を操作する。信頼済みコンテンツの暗号解読と出力に成功すると、ＤＶＧは、ＬＥＤを点灯させて、描画された表示における信頼を、信頼済み標識ステータスとして表示する。ＤＶＧを備える、およびＤＶＧを備えないディスプレイ上に出力されている、暗号化されたビデオ信号からの結果が、図５に示されている。信頼済みコンテンツがないときには、ＤＶＧは、未信頼のコンピュータから供給されたコンテンツを表示し、信頼済みＬＥＤが消灯されて、その未信頼の標識ステータスとなる。

コマンドおよび制御
暗号化されたコンテンツの生成は、クライアント／ユーザシステム上にそれが表示されるときに忠実に再生されることになる、既知のビットマップを作成することによって行うことができる。コンテンツ生成の一例が図１０ａに示されており、これによれば、元の画像（例えば、ｈｏｕｓｅ．ｂｍｐ２２）が、同一の解像度の暗号化画像２６（図１０ｂ）を作成する既知の暗号鍵およびアルゴリズムの下で、画素対画素で暗号化される。通常のディスプレイ（すなわち、未信頼のコンピュータのディスプレイ出力とディスプレイデバイスの間に物理的に位置するＤＶＧを備えないディスプレイ）上で見ると、このビットマップは、ランダム画素データ２６として描画され、信頼済みコンテンツを認識して、暗号解読し、必要な場合には画像２２を描画するために、それぞれのＤＶＧが必要である。図１０ｂは、どのようにしてこのコンテンツを、ＤＶＧを通過させられるときに、暗号解読して、ＤＶＧから元のコンテンツ２２を出力し、それを、信頼済み方法でデジタルビデオディスプレイ上に表示し、その表示が、信頼済み暗号解読されたデータ２２に加えて、グレー表示された暗号化されていなかったデータである、その他の表示データ２２’も示すこと知らせることができるかを示している。 またＤＶＧは、暗号方式で署名されたビデオコンテンツにも使用することが可能であり、その場合には、コンテンツは任意のディスプレイデバイスに表示されるが、適切な鍵を有するＤＶＧが設置されていると、表示されたコンテンツの完全性が保証され、信頼済みステータス標識によって表示することができる。

信頼済みコンテンツを識別すること、および信頼済み領域をフレーミング（framing）することを、帯域内通信を利用することによって支援することができる。ビットマップ内の個々の画素を使用して、ＤＶＧに情報を伝えて、フレーミング、解像度、ビデオコンテンツソース、その他を表示することができる。この情報を暗号解読し認識すると、ＤＶＧは、代わりに空画素データ、通常は黒またはグレーの画素を出力することができるが、先述のように、この出力はＤＶＧ生成コンテンツとすることが可能であり、これは、判読不能／読取り不能／理解不能／暗号化／視認不能であるか、または当業者には知られている任意適当な方法で修正、作成される。信頼済みアプリケーションサーバ１９からＤＶＧと通信するその他の方法としては、表示コンテンツの色空間または解像度を縮小するものがある。これらの通信方法もまた、ＤＶＧに使用される暗号法を可能にするのに使用することができる。個々の暗号法および鍵交換は、それが必要な場合には、選択の問題であり、当業者が容易に入手できるものである。

ＤＶＧは、新しい画素コンテンツを生成して、任意の受信帯域内情報を、信頼済み方法でユーザに対して表示させることができる。ＤＶＧは、この情報を信頼済みコンテンツに重ね合わせるか、またはそれをディスプレイの別の部分に描画する。ＤＶＧの信頼済みＬＥＤがオンのときには、グレー表示、ブラックアウト、またはその他の方法で変更されていない画素はすべて信頼できる。普通は、ＤＶＧに配信された信頼済みコンテンツだけがユーザに表示されるが、ＤＶＧはまた、コンテンツのソースまたは等級などの情報も、ディスプレイのどの場所にでも、それをコンテンツに重ね合わせてでも表示することができる。この場合には、ＤＶＧハードウェアが、表示されるコンテンツを生成する。

ＤＶＧのコンテンツを生成する能力を、鍵適用（keying）機構に使用することができ、その場合には、ＤＶＧはランダム数を生成して、それをディスプレイ上に描画することができる。次いで、ユーザは、認証または鍵適用目的でこのランダム数を認知または使用することができ、このことは、バンキングまたは類似のアプリケーションにおいて、ユーザの識別を確立するため、また鍵管理プロセスを支援するためにも有用である。

ソースにおいて暗号化しようとするデジタルコンテンツは、ビデオ情報に限定されない。図１１ａは、２０画素×１６画素、２４ビット解像度画像７４に変換することのできる、９６０バイトテキスト文書７２の例を示している。この画像は、前述したのと同様にして、暗号化して、ＤＶＧを通してディスプレイ７６用とすることができる。図１１ｂは、ＤＶＧがそのような暗号化された画像７６を受信しているのを示しており、この例において、ＤＶＧは、画素データを暗号解読して、次いで、画像から元のテキスト文書７２を抽出することが必要とされる。抽出が行われると、ＤＶＧは、元のテキスト文書７２を再生して、デジタルビデオディスプレイ上での表示に適した、信頼済みビデオ出力中にそれを描画することができる。この動作には、より複雑なデジタル処理ロジックがＤＶＧ内にあって、場合によっては、図８ｃに示したような中央処理ユニット（ＣＰＵ）またはグラフィックアクセラレータチップなどのアイテムを含むことが必要となる。

同様の帯域内通信方法はまた、複数コンテンツストリームをＤＶＧに配信することもできる。それには、複数ビデオストリーム（デジタルデータストリーム）、用途特定コード（例えば、ＤＶＧが解釈して、それに対して作用できるＨＴＭＬ）、または制御ストリーム（例えば、ＤＶＧのためのファームウェアップデート）を含むことがある。このデータの多重化は、使用可能な帯域幅を利用することによっても可能であり、例えば、複数ビデオストリームを、色空間において圧縮または縮小することができる。図１２ａは、この複数コンテンツストリームの多重化を示しており、これによれば、３つの別個の６４０×４８０解像度、８ビット画像（またはストリーム）８０、８２および８４が結合８６されて、６４０×４８０解像度、２４ビット単一画像（またはストリーム）８８になる。結合されると、その単一画像（またはストリーム）が、ファイルに暗号化９０され、このファイルは、適当な暗号解読なしては、９２にように表示され、未信頼のインフラストラクチャを越えて、ＤＶＧによる表示が可能な状態で、移送されることができる。図１２ｂは、ＤＶＧが、この画像８８を暗号解読９０’し、次いで、例えばＣＰＵ７８（図８ｃ）におけるデジタル処理ロジックを使用して、複数画像８０、８２および８４を、デジタルビデオディスプレイ１２上に表示するための信頼済みビデオ出力に出力する前に、それらを好適に分離するのを示している。

この多重化された信頼済みデータストリームの流れは、場合によっては異なるソースから来て、異なる暗号鍵を使用して暗号化される可能性があり、これによってＤＶＧは、様々な異なるセキュリティアプリケーションを実装して実行させることが可能になる。例えば、ＤＶＧは画素データ内に符号化されたセキュリティ等級（security classification）を受信して、次いで、ＤＶＧは画像を作成して、このセキュリティ等級をディスプレイ上に描画することができる。すなわち、信頼済みＤＶＧは、表示されたデータが信頼されており、暗号解読されるか、またはＤＶＧによって生成されていることを示す。図１３ａは、１６ビット、６４０×４８０解像度画像９４があるＨＴＭＬと結合８６されて、２４ビット、６４０×４８０解像度画像９６を形成するのを示している。

次いで、結合された画像９８が、ファイルに暗号化９０されて、このファイルは、適当な暗号解読なしでは１００のように表示され、ＤＶＧ用に準備される。図１３ｂは、ＤＶＧが暗号化された結合画像１００を受信するのを示している。この画像１００を暗号解読９０’すると、ＤＶＧは元の画像９４を抽出して、表示することができる。ＤＶＧは、その他の情報を解釈することもできる。この例においては、余分の情報は、ＤＶＧに、特定の等級で出力をマークアップすることを示す、あるＨＴＭＬ９６である。図１３ｂの例において、ＤＶＧはテキスト、「ＲＥＳＴＲＩＣＴＥＤ」９６’をディスプレイに出力し、表示データのセキュリティ等級を示す。ＤＶＧは、このテキストを元の画像に重ね合わせるか、またはこの例の場合のように、ディスプレイのどこか別の部分にそれを描画することができる。この例においては、その他すべての未信頼のコンテンツがグレー表示されている。

マウスおよびキーストローク情報
カーソル制御装置（マウス）、キーボード、および／またはバイオメトリック装置などの、ヒューマン・ツー・コンピュータインターフェイス装置、および入力周辺装置一般は、ユーザ入力情報の守秘性を確保し、アプリケーションの完全性を保証するために、保護する必要がある。簡単なカーソル保護は、本発明の先の態様において説明したような、表示された信頼済み画像との対話を通して得ることができる。

ＤＶＧのさらなる観点は、これらの入力装置の暗号化を提供する。これは、ＦＰＧＡ内部のＵＳＢハブ機能を利用して、インラインで達成される、本明細書における非限定の例として、マウスおよびキーボード入力を、それが、クライアントＰＣに対する問題を生じないか、またはＤＶＧアプリケーションに干渉することのないドメイン上にマッピングされるように、暗号化することができる。キーストロークを安全化することの必要性は、特に、銀行口座および関連するパスワード、電子メイルおよびワードプロセシングなどのアプリケーションに対しては自明のことであるが、マウス情報を安全化することも同等に重要であり得る。賢明な構成選択としては、例えば、ロールアップキーボードまたはプロジェクタ型などの、単一の既知のキーボードをいつでも使用することがある。マウスなどのカーソル制御装置に関しては、そのような装置が危険にさらされる確率は低く、ユーザのセキュリティを危険にさらように生成されるデータを操作することも少ない。

このカーソル悪用に対する可能な１つの保護対策は、ＤＶＧがカーソルアイコンを安全なディスプレイ中に局所的に混合することによって、すべてのカーソル制御装置（マウス）位置情報の流れを停止させることである。信頼済みカーソル位置は、一例においては、暗号化されたキーボードトラフィック内にそれを多重化することによってリモートアプリケーションに伝送することができる。ディスプレイ上にスプーフィングされたカーソル場所を描画する試みは、ＤＶＧに送信された暗号データを混乱させることになり、このために、ディスプレイの署名された部分がスプーフィングされたカーソル表示によって危険にさらされるときに、信頼済みＬＥＤは消灯する。ユーザにとって明白な第２のアーチファクトは、ディスプレイの暗号化がスプーフィングされたカーソルによって破られるときに、信頼済みディスプレイ、またはその部分が失われることである。

ＤＶＧ１０（図１４）は、マウス１６およびキーボード１４データを防護し、任意選択で、データがローカルな未信頼のクライアントコンピュータ１７へと通過４９される前に、データを試験、暗号化および消費する。暗号化されたキーボードおよびマウスデータ４９は、未信頼のネットワーク／インターネット１９を経由して、リモート式の信頼済みサーバ１９に転送されて、そこでデータが暗号解読２４’される。未信頼のクライアントコンピュータとの通信は、マウスおよびキーボードデータ内で、または帯域外ＵＳＢチャネルを利用して、帯域内とすることができる。ＤＶＧは、この暗号化されたＵＳＢチャネルを、リモートサーバとの設定および構成メッセージングに使用することができる。

アプリケーションアーキテクチャ
ＤＶＧは、安全なアプリケーションアーキテクチャ、特に、ユーザがリモートサーバと対話するものの開発を可能にする。好ましい態様においては、ＤＶＧは、信頼済みリモートサーバと対話する。代表的なアプリケーションアーキテクチャが図１に示されている。ここで、信頼済みアプリケーションサーバは、未信頼のネットワークを経由してアクセス可能である。リモートユーザは、この信頼済みアプリケーションサーバに、未信頼のネットワークを経由し、かつＤＶＧを追加した未信頼のクライアントコンピュータを経由して、アクセスする。
特定のアプリケーションを安全化する、ＤＶＧのさらに別の例示的構成を、本明細書において説明する。第１の例は、ウエブサイトからのコンテンツの配信を安全化することをねらいとし、マウスまたはキーボードを安全化する必要性のない、軽量アプリケーションである。第２の例は、リモートサーバと安全に対話するための能力を向上させるために、キーボードおよびマウスの暗号化を追加する。

安全ウェブサイト対話
一例示シナリオにおいては、ユーザは、信頼済みバンキングウエブサーバと対話し、このウエブサーバはＤＶＧを使用して、接続を安全化し、ネットワークインフラストラクチャまたはクライアント側計算施設における信頼を必要とすることなく、ＤＶＧにだけ信頼を必要とする。図１４は、このアプリケーションアーキテクチャを示し、これによると、信頼済みリモートバンキングウエブサーバは、ファイアウォール／プロキシの背後で動作し、ユーザはこのファイアウォール／プロキシを経由してバンキングウエブサーバ１０２と接続する。ＤＶＧ１０は、ユーザ（未信頼の）コンピューティング設備とそのデジタルディスプレイ１２の間に使用され、この例においては、ＤＶＧは、バンク発行スマートカード（図示せず）を使用して鍵応用されているが、ＤＶＧは図４ｂ、７ｂ、８ｂおよび８ｃに示されているものとは異なる。

この例示シナリオにおいては、ユーザは、図１５ａに示すように、自分のオンラインバンキングウエブサイトにブラウジングして、同一のスクリーンが、ＤＶＧあり、およびなしで表示される。固有の口座識別子を入力すると、そのオンラインバンキングウエブサイト図１５ｂからログイン・スクリーンが要求されて、再び、同一のスクリーンが、ＤＶＧあり、またはなしで表示される。この段階で、バンキングウエブサーバは、ログイン・スクリーンを、画素対画素で暗号化し、そのスクリーンをユーザに提示する。ＤＶＧなしでは、ユーザには、図１５ｃに示すように、そのブラウザにランダム画素画像が表示される。ＤＶＧがインラインであると、ログイン・スクリーンは、実時間で暗号解読されて、図１５ｄのようにユーザに提示され、ディスプレイの残部はグレー表示され、信頼ＬＥＤが点灯される。この例示シナリオにおいて、ランダム化されたキーパッドが、ログイン・スクリーンに対して使用され、桁選択の間にスクランブルされる。

図１５ｅ〜図１５ｈは、ＰＩＮ入力と連続的にスクランブリングされるオンスクリーン・ログイン・キーパッドを示す。このオンスクリーン・キーパッドは、ＤＶＧまたはリモートサーバによって生成することができる（この態様においては、ランダム化されたキーパッドが、リモートサーバによって生成される）。ユーザがそのＰＩＮを介して認証されると、オンスクリーン・キーパッドを経由して入力するときに、リモートサーバは、マウス位置クリックと、マウスクリック間にランダム化されているオンスクリーン・キーバッドとを相関させて、ユーザの口座情報が示される。ＤＶＧを設置しない場合には、口座情報は、ランダム画素データとして表示され、適当な暗号鍵なしでは回復することができず、ＤＶＧなしのユーザのスクリーンが図１５ｉに示されている。図１５ｊは、適切な鍵を有するＤＶＧが設置されるときのスクリーン上の出力を示す。

この特定のアプリケーションに対して、ＤＶＧ構成の範囲は、消費者インターネットバンキングなどのコストに敏感な市場に加えて、ビジネスまたは金融市場アプリケーションなどの、ハイエンドセキュリティに敏感な市場をターゲットにしていると考えられる。商業環境における安全ウエブサイト対話を実装するための、２つの特定のＤＶＧシステム構成について、以下に説明する。
・ＤＶＩ受信器およびＤＶＩ送信機およびＦＰＧＡが、ＡＳＩＣで置換された状態で、図８ａに全体的に示されるように、スマートカードリーダを備える特定用途向け集積回路（ＡＳＩＣ）、ＤＶＩ入力およびＤＶＩ出力からなるＤＶＧ。この構成は、図４ａに示されたのと同様の外部インターフェイスを有することになる。
・ＤＶＩ受信器、ＤＶＩ送信機、ＵＳＢ ＰＨＹチップ、ＣＰＵおよびＦＰＧＡが、ＡＳＩＣで置換された状態で、図７ｃに概略が示されるように、ＡＳＩＣおよび埋め込み型ＣＰＵ、スマートカードリーダ、ＤＶＩ入力、ＤＶＩ出力、およびＵＤＢスイッチングハブからなるＤＶＧ。この構成は、図４ｂに示されるのと同様の外部インターフェイスを有することになる。

図８ａおよび４ａに示された第１の構成において、リモートアプリケーションのディスプレイは、信頼済みアプリケーションサーバからＤＶＧまで、端末相互間で保護されている。鍵応用は、図１４に示されるように、ユーザのスマートカードによってサポートされて、図４ａおよび図８ａに示されたインターフェイスを介してアクセスされ、このスマートカードは、私有鍵および公開鍵を保持して、（信頼ずみアプリケーションサーバであり得る）リモートアプリケーションサーバが、ユーザに対する暗号化されたセッション鍵を含む、署名入り証明書を送ることを可能にするものであり、代表的には銀行発行のスマートカードである。マウスおよびキーボード情報は、この設備においては保護されないが、ＰＩＮおよびその他の類似の情報を保護することは、連続的かつランダムにスクランブルされたキーパッドを使用して、ユーザがマウスクリックによって情報を入力することによって可能である。この機構は、インターネットバンキングウエブサイトシナリオに対して、図１５ｅ〜ｈに示すように、前述の例によって説明されている。ディスプレイはＤＶＧによって保護されており、キーパッド順は、連続的にスクランブリングされるので、情報は保護される。この方法は、少数のＰＩＮを保護するためには十分である。これは、ユーザが大量の情報を入力することが必要であれば、すぐに非実用的になる。さらに、リモートアプリケーションのメニューシステムおよび制御ボタンが、同様にランダム化されていなければ、脅威が存在し、これによれば、攻撃者が保護されていないチャネルにマウスおよびキーストローク情報を注入する可能性がある。

第２の構成は、ＤＶＧのセキュリティと性能をかなり増大させる。次いで、キーストロークおよびマウス情報が、ＵＳＢ周辺装置からＤＶＧへ直接的に送られて、ＤＶＧによって暗号化されることが可能である。ＵＳＢチャネルを使用して、完全ステーション間鍵調停を行うことができる。重要なことは、この構成の性能は、低コストＤＶＧ構成に対してかなり改善され得ることである。圧縮、暗号化、部分更新、およびウィンドウイングのプロトコルはすべて、埋め込み型ＣＰＵの増大した処理パワーによって可能である。この改善の結果として、安全ウエブサイトは、ユーザ入力情報を保護して、アプリケーションの性能を向上させ、それを、影響を受けやすい高い金融取引、およびテキスト処理が関係するウエブメイルに対して好適なものにする。

デジタルビデオディスプレイ装置上での信頼可能および信頼不能なデータの表示を制御するために使用することのできる、信頼済みデジタルデータ防護方法は、次のステップを含む。デジタルビデオデータ入力において、信頼不能なデジタルデータおよび帯域内の信頼可能なデジタルデータを受信するステップ。信頼済みデジタルビデオ出力が、デジタルビデオデータをビデオディスプレイ装置に出力するステップ。デジタルビデオデータ入力、信頼済みデジタルビデオ出力、および信頼済み状態標識に動作可能に接続された、信頼済みデジタルプロセッサで、帯域内デジタルデータを処理して信頼可能および信頼不能なデジタルデータを識別するように処理する、処理ステップ。この処理にはまた、信頼不能なデジタルデータを信頼済みビデオ出力に誘導すること、および／または信頼可能なデジタルデータを信頼済みデジタルビデオ出力に誘導すること、ならびに少なくとも１つの信頼済み状態標識の１つのステータスを信頼済み標識状態に制御するステップを含む。

安全なリモートアプリケーション配信
ＤＶＧの別の態様は、図１６に示すように、安全リモートアプリケーション配信（ＳＲＡＤ：Secure Remote Application Delivery）である。この態様においては、リモート式の信頼済みサーバ１０４は、安全なリモート環境において、計算アプリケーションを実行する。これらのアプリケーションは、ファイアウォール／プロキシ１０６を経由して、信頼済みサーバ１０４にアクセスが可能である。アプリケーション（ビデオ）からの出力１０８は、ＤＶＧによって保護されて、アプリケーションへの入力１１０（例えば、マウス、キーボード信号５３）も、ＵＳＢチャネル４９上の暗号プリミティブを使用するＤＶＧによって保護されている。

この態様は、ＤＶＧ１０を使用して、安全なシンクライアント（thin client）解決策を提供する。これは、未信頼のネットワーク１８およびクライアントコンピュータ１７を経由して、信頼済みリモートサーバ１０４上のアプリケーションに安全にアクセスする汎用的な方法を提供する。このアーキテクチャは、信頼済みリモートサーバ１０４上のサーバ側アプリケーションの使用を必要とするが、しかしクライアントマシン上では未信頼のビュアーアプリケーションだけの使用を必要とする。
アプリケーション層プロトコルを使用して、信頼済みリモートサーバからの暗号化されたスクリーンバッファ、クライアントからの暗号化されたキーボードおよびマウスデータ、およびその他の信号化方式情報を保持する。このネットワークトラフィックは、暗号化トンネル内でのカプセル化、例えばＩＰＳｅｃまたはＳＳＨによって転送中に保護される。これは、ＤＶＧ用に準備されＤＶＧよって生成される、暗号化によって暗示的に保護されている。

サーバ側アプリケーションは、クライアントのためにサーバ上でアプリケーションを実行する役割を負っている。それは、クライアントからＴＣＰ接続を受け付けて、ＳＲＡＤセッションを確立する。ＳＲＡＤセッションの間、クライアントからのＤＶＧ暗号化されたキーボードおよびマウスイベントが暗号解読され、サーバ上で実行される。同時に、サーバは、ローカルデスクトップのスクリーンキャプチャを行い、それから暗号化スクリーンバッファの形態で暗号化されたビデオストリームを生成して、それがクライアントに送出される。

クライアント側ＧＵＩアプリケーションは、サーバからのリモートデスクトップを表示し、マウスおよびキーボードイベントをサーバに送り返す。マウスおよびキーボードデータは、クライアントアプリケーションに到着する前に、ＤＶＧのインラインＵＳＢハブを通過するときに暗号化される。暗号化されたスクリーンバッファは、クライアントアプリケーションに受信されて表示され、それらがデジタルディスプレイへとＤＶＧを通過するときに暗号解読される。クライアントアプリケーションは、いかなる暗号解読されたデータにも露出されていないので、その完全性において信頼が欠如する必然性はない。

信頼済みサーバから、コンピュータ装置に付随するビデオディスプレイ装置への信頼済みビデオデータの、未信頼のデジタルデータネットワーク上での配信に対するデジタルデータセキュリティ方法は、以下のステップを含む。信頼済みサーバに動作可能に接続されたデジタルビデオ装置内で、信頼済みサーバからの、受信した信頼済みビデオコンテンツを処理し、信頼済みビデオデータを所定のファイルフォーマットでカプセル化するステップ。カプセル化された信頼済みビデオコンテンツを、未信頼のデジタルネットワーク上で、ビデオディスプレイ装置に付随するコンピュータ装置に転送するステップ、およびデジタルビデオガード内で、デジタルビデオディスプレイ装置上での信頼可能および信頼不能なデータの表示を制御する処理ステップであって以下のステップを含む：デジタルビデオデータ入力において、信頼不能なデジタルデータおよび帯域内の信頼可能なデジタルデータを受信するステップ；デジタルビデオデータ入力、信頼済みデジタルビデオ出力および信頼済みステータス標識に動作可能に接続された信頼済みデジタルプロセッサで、帯域内デジタルデータを処理して、信頼可能および信頼不能なデジタルデータを識別する処理ステップ、および信頼不能なデジタルデータを信頼済みデジタルビデオ出力に誘導し、かつ／または信頼可能なデジタルデータを信頼済みデジタルビデオ出力に誘導するステップ、および少なくとも１つの信頼済みステータス標識の１つのステータスを信頼済み標識状態に制御するステップ。本発明の一観点における最終ステップは、信頼済みデジタルビデオ出力において、デジタルビデオデータをビデオディスプレイ装置に出力するステップである。

図１７ａは、実行中のＳＲＡＤアプリケーションを示し、図１７ｂは、信頼済みリモートサーバとの接続を開始している、ＳＲＡＤアプリケーションを示す。
これらの２つの出力は、ＤＶＧが設置されているか、いないかにかかわらず、同じものを表示することになる。リモートサーバへの接続が確立されると、リモートアプリケーションセッションを開始することができる。ＤＶＧが設置されていないと、アプリケーションは、図１７ｃに示すように、ランダム画素データとして描画する。適切な鍵を有するＤＶＧが設置されていると、リモートアプリケーションは、表示がされて、それと対話することが可能である。図１７ｄ〜１７ｆは、ＤＶＧを使用する、リモートアプリケーションとの対話を示す。この例においては、表示されたものの未信頼の部分はグレー表示されており、信頼済みリモートアプリケーションだけが残されている。この例においては、マイクロソフトのリモートデスクトップ（Microsoft's Remote Desktop）またはＶＮＣアプリケーションによって提供される機能と同様に、セッション全体がリモートで制御可能であった。

最少の修正によって、ＳＲＡＤを利用してトンネルを提供することが可能であって、このとネルを介して、ユーザは、未信頼のまたはより低い等級のマシンから、より高い等級またはより影響を受けやすいネットワークと対話することができる。暗号化されたマウスおよびキーボード情報を、より影響を受けやすいネットワークに送り出し、暗号化されたスクリーン画像を、認可された暗号化装置を介してリリースすることができる。さらに、影響を受けやすいネットワークからの切断は、暗号化スクリーン画像を生成する相補的ハードウェアを使用して達成可能であり、このハードウエアは、以下により詳細に記述する、デジタルビデオ・エンクリプタ（Digital Video Encryptor）についてより詳細に考察するときに、本明細書に記載されるものと類似のものである。

ＳＲＡＤアプリケーションにおいてＤＶＧを利用するための帯域幅要件は、重大である。ＳＲＡＤに対する帯域幅要件を克服するための選択肢としては次のものがある：
・色空間縮小：スクリーンキャプチャの色空間縮小表現を送出。ＤＶＧは、各フレームを記憶して、それがディスプレイに送出されるときに拡張することができる。
・知的ローカル処理：ＤＶＧがＸクライアントとして機能して、ネットワークトラフィックの帯域内信号化のためにＤＶＩを利用することを可能にする。
・圧縮：色空間縮小と同様に、ＤＶＧは、画素データがディスプレイに送出される前に、それを解読、記憶、および圧縮解除することができる。
・部分更新：スクリーンキャプチャを小区分（タイル）に分割し、暗号化して、別個にＤＶＧに送出。スクリーンが変化すると、変化したタイルだけを送出。

色空間縮小、部分更新、および圧縮を単独で行っても、ＳＲＡＤアプリケーションの性能は実質的に改善され、大規模クラスのアプリケーションのインターネット配信が可能になる。色空間縮小、部分更新、および圧縮は、ＤＶＧに対する複雑性および、その結果として信頼評価要件を実質的に変えることなく、すべてシリコン中に実装することができる。

ＳＲＡＤアプリケーションはまた、ウエブ・ブラウザ・プラグイン（例えば、ＡｃｔｉｖｅＸ）、Ｊａｖａアプレット、またはＦｌａｓｈアプリケーションとして実装して配備することも可能である。ウエブページ内に埋め込まれた全特権を授与された（したがって、ＴＣＰソケットを介してサーバと通信することのできる）アプリケーションとして本質的に機能することによって、この手法は、先に述べたテキスト入力問題を回避する。キーボードおよびマウスイベントは、それらがＤＶＧのＵＳＢハブを通過する限りは、スタンドアローンＳＲＡＤアプリケーションと同じ方法で、同様に保護されることになる。
簡略ＳＲＡＤタイプのアプリケーションは、ＤＶＧに接続することのできるＵＳＢサムドライブ（thumb drive）への安全に暗号化されたコンテンツのリモート式の信頼済み配信を行うことができる。

暗号保護およびセッション鍵調停
コンテンツストリームの暗号保護について考えるときに、取り上げるべき２つの場合がある。これらの２つの場合とは、２つの全体システム構成に対応しており、次のように要約される。
・図４ｂおよび７ｂに示されるような、信頼済みバックチャネルを備えるＤＶＧ。
・図４ａおよび８ａに示されるような、信頼済みバックチャネルを備えないＤＶＧ。

暗号化セッションをサポートするバックチャネルを備えるＤＶＧに対して、セッション調停のために双方向通信を利用する、任意の形態の商用または軍用の最良実用暗号法を使用することができる。この場合に、バックチャネルは、ＵＳＢ接続を越えてトンネル化され、未信頼のクライアントマシン上に常駐するクライアント側プロキシによってサーバに転送される。暗号化プロトコルの簡単なインスタンス作成は、セッション鍵調停のための公開鍵暗号法、およびセッションを安全化するためのＡＥＳ（Advanced Encryption Standard）対称暗号法とすることができる。このシナリオのために、２つの公開鍵証明書を、ＤＶＧにインストールしてもよく、１つはセッション鍵を駆動するのに使用し、１つは証明書を更新するのに使用する。これらの証明書は、スマートカードまたは、ＤＶＧに差し込まれるＵＳＢデバイスなどのユーザトークン上に常駐することができる。相互認証を備える、ＥＡＰ−ＴＬＳ（Extensible Authentication Protocol-Transport Layer Security）を使用して、セッションを開始して、セッション鍵、およびＡＥＤによって暗号化されたデータストリームを交換することが可能である。

ＤＶＧは、いかなる暗号鍵も永久的に記憶する必要はなく、スマートカードが証明書を保持して、それは、リモートホストの識別を検証して、セッション鍵を暗号解読するのに必要な暗号プリミティブを実行することもできる。セッション鍵、または所定時間内の行為が、使用可能である。
信頼済みバックチャネルを備えない第２の構成の方が問題が多い。一方向ストリームを使用するだけで、サーバは、公開鍵暗号法で署名されて暗号化されたセッション鍵をクライアントに送出することができる。これによって、サーバが適当なクライアントの公開鍵を使用してセッション鍵を暗号化できるように、クライアントが最初に自身を識別することが必要となる。しかしながら、これは一方向のデータストリームであるので、サーバは、初期クライアント認証が未信頼のホスト内で必然的に行われるときに、それに頼るか、またはそれを信頼することができず、サーバは再生攻撃（replay attack）に対して脆弱である。クライアントの識別を敵対的にスプーフィングすること、次いで、サーバから配信されたコンテンツを記録することによって信頼済みセッションをキャッシングすることを止めるものがない。確かに、それらは、情報を暗号解読するか、または修正することはできないが、このコンテンツを後になって勝手に再生することができる。

再生問題に対しては多数の可能な解決策がある：
・自己署名証明書に、時間署名を含める。
・ＤＶＧに、ナンスを発生させて、これをユーザの支援によってサーバに送出する。第１の解決策は、同期されたリアルタイムクロックをＤＶＧに統合することを伴うことになる。次いで、サーバは、この共有された時間の概念を利用して、時間署名を含めるか、または、必要な鍵を包含する自己署名されて暗号化された証明書内に、有効な時間ウィンドウを指定することができる。再生攻撃は、それでも可能であるが、それらが有効に利用される期間は、サーバとクライアント上の２つのクロックの間のドリフトに依存するとともに、セッション鍵がその間、有効である、サーバによって規定される時間ウィンドウの大きさに依存することになる。なお、ＤＶＧ上のリアルタイムクロックは、ＤＶＧの信頼境界の範囲内に常駐することに留意されたい。サーバから生じる保護されたデータストリームの範囲内で、サーバからクライアントに対して、時間同期させることも可能である。

再生問題の第２の解決策は、クライアント（ＤＶＧ）がナンスを生成し、これをセッション鍵の新鮮さを保証する鍵調停シーケンスの一部として、サーバに通信するものである。ユーザに未信頼のホスト上で、ＤＶＧがユーザにナンスを生成させるように影響を与えることに頼って、これを達成する多数の方法がある。簡単な機構は、ＤＶＧがナンスを表示して、ユーザにこのナンスを未信頼のホスト上でタイプさせるものである。別の選択肢は、ＤＶＧがキーパッド、または視覚迷路（visual maze）を表示し、ユーザにマウスクリックとマウス移動によってナンスを入力させるものである。これらの例において、ＤＶＧは、そのデジタル処理ロジックを使用して、コンテンツを生成し、次いで、図１３ｂの等級分けと同様に、その描画エンジンを使用している。この構成においてマウスとキーボードは安全化されていないので、ナンスも安全化されていない。このことは重要ではなく、それは重要な観点は、ＤＶＧがこのナンスを生成しており、次いで、ＤＶＧによって決められる特定の時間ウィンドウの範囲内で、このナンスと共に提示されるセッション鍵だけをＤＶＧが認めることになることである。

再生攻撃に対して完全には防護しないが、インターネットバンキングなどのアプリケーションの目的で、それらに対して十分に耐性のある、第３の解決策は、短調に増加するセッション識別子を、ラッピングされたセッション鍵内部に含めることである。このようにして、ＤＶＧは、セッション識別子を記録して、再生されているセッションがあればそれを拒絶することができる。

その他のアプリケーション
このアーキテクチャは、その他のシナリオにも有用に応用することができる。信頼済み方法でビデオコンテンツを操作して生成するＤＶＧの能力は、ある計算インフラストラクチャにかかるソフトウエアセキュリティ要件の負荷を軽減して、作業をＤＶＧに分担させるのに使用することができる。以下の例は、ＤＶＧが、コンピュータセキュリティアプリケーションをサポートするのに果たすことのできる役割を示している。

セキュリティ・タギング（Security Tagging）
圧縮、色空間縮小、解像度低減、または未使用ディスプレイ領域を使用することによって、ＤＶＧに送り出されるデジタルストリームは、表示される一画像を越えて構成することが可能であり、その例が図１１〜１３に示されている。実際に、それは、互いに多重化された複数のコンテンツストリームで構成してもよい。これによって、多数のビデオストリームに加えて、追加のコンテンツおよびメタデータをＤＶＧに伝送することが可能となる。そのような追加のコンテンツまたはメタデータは、表示情報ための視覚セキュリティコンテキストの生成を容易化することができ、多くのアプリケーションにおいて有用な機能である。

例としては次のものが挙げられる：
・セキュリティ等級を、データが表示されるときにそれに付加することができる。ＤＶＧは、信頼済みＬＥＤを点灯させる、色境界を用いて表示コンテンツに注釈を付ける、または図１３ｂに示すように、テキストタグを重ね合わせる、などの手段によって、等級を表わすことができる。
・異なる等級の複数ウィンドウを、それぞれにその指定された等級のタグをつけて、同時に表示することができる。各ウィンドウのコンテンツのソースを異なるリモートネットワークからのものとすることができ、マルチ・レベル・セキュア（ＭＬＳ）またはマルチプル・インデペンデント・レベル・オフ・セキュリティ（ＭＩＬＳ）ソースからのコンテンツの表示を容易化する。これは、図１２ｂおよび図１３ｂの組合せとして示される。

・ＤＶＧは、ソース生成のウィンドウデコレーションに、現在のセキュリティレベルを書き取らせることができる。
ＤＶＧは、色表示されることになる現在セキュリティコンテキストを除く、全ウィンドウを単色で表示することになる。ＤＶＧ上の単一の信頼済みＬＥＤが、信頼済み動作を表示し、ソース生成ウィンドウデコレーションは、対話をしているウィンドウの現在のセキュリティレベルを書き取る。
・ＤＶＧは、未信頼のビデオ信号の要素を曖昧にして、信号のある部分だけを表示することができる。異なる暗号鍵を使用して、ディスプレイの異なる部分を安全化することができる。

ローカルアプリケーション署名
ＤＶＧは、ＴＰＭ（Trusted Platform Module）を使用して、信頼済みアプリケーションだけが、ディスプレイ上に描画されるコンテンツを生成できることを保証することができる。いずれのアプリケーションも、フレームバッファに書き込むことができるが、ＤＶＧが設置されると、ある種のアプリケーションだけが、ＴＰＭを使用して、ＤＧＶによって検証可能な暗号化コンテンツを生成することができることになる。信頼済みＬＥＤが動作している場合には、ユーザは、表示されたデータは、ＴＰＭによって検証された、知られている信頼済みアプリケーションからのものであることを確信できる。信頼済みＬＥＤが動作していない場合には、ユーザは、マルウェアである可能性のある、ある未信頼のアプリケーションがコンテンツを描画してることが分かっている。強制モードにおいて、ＤＶＧは、すべての未信頼のコンテンツが表示されるのを防止することもできる。このようなＤＶＧの局所化された使用が図６ａに示されている。

デジタルビデオ・エンクリプタ（Digital Video Encryptor）
デジタルビデオ・エンクリプタ（ＤＶＥ）１１２は、図１８に示すようにＤＶＧを補完する。それは、ユーザがＤＶＧ１０を使用して見るのに適当なコンテンツをそこから必要とする、信頼済みサーバ１１４またはリモートコンピュータのＤＶＩポート１１６に差し込むことのできるセキュリティ周辺装置である。ＤＶＥ１１２は、ＤＶＩ信号１１８を傍受して、規定のファイルフォーマット（通常、画像ファイル）内にコンテンツをカプセル化する。一例において、ＤＶＥは、コンテンツを暗号化して、暗号化されたデジタルコンテンツ１２０をネットワークインターフェイス上に出力する。未信頼のクライアント１７を使用して、このコンテンツを受信して、適当に構成されたＤＶＧ１０を通してそれを表示することができる。暗号を使用する例において、ＤＶＧ１０によって暗号化されている、キーボードおよびマウスデータ４９は、ネットワーク１８を介してＤＶＥ１１２に送り返されて、そこで暗号解読される。ＤＶＥはＵＳＢ接続１２２を提供し、これは、マウス１６およびキーボード１４のデータ５３を、ラップトップコンピュータのリモート式の信頼済みサーバ１１４に入力することができる。

ＤＶＥ／ＤＶＧ対（図１９）は、コンテンツおよびアプリケーション配信に使用することのできる安全なチャネルを提供する。ソフトウェアの修正は、どちらのエンドでも必要がなく、ＣＯＴＳ機器を使用する戦略的な配備に対して理想的である。軍事シナリオにおいて、戦場におけるラップトップにＤＶＥを装着することによって、対応するＤＶＧを戦場オフィス、場合よっては、統合本部に容易に設置することもできる。この設備は、ラップトップの安全なリモート動作に加えて、図１９に示すように、戦略的通信チャネルを可能にする。暗号を使用する態様において、共通鍵を多数ユーザアプリケーションに対して利用可能にしながら、ＤＶＥによって、各通信ＤＶＧに対して異なる鍵対が使用されることもある。

ＤＶＧデバイスは、未信頼のＣＯＴＳインフラストラクチャを使用する、信頼済みコンテンツ配信に対して使用することのできる、チャネルを提供する。ＤＶＧは、デジタルディスプレイ上に描画するように意図されるデジタルコンテンツの範囲内の、帯域内暗号法を使用して、このコンテンツ配信を可能にする、簡単な信頼済みデバイスである。双方向通信セキュリティは、マウスおよびキーボードデータに対するＵＳＢ防御の導入、または低帯域幅要件に対する信頼済みコンテンツとのユーザ対話を活用することによって達成される。
多くのＣＯＴＳシステムは、ＤＶＧを迅速に後付けして、対話式リモートアプリケーションに対するセキュリティの向上を達成することができる。本明細書に提示されたアプリケーションは、リモートコンテンツ配信に対して利用可能なセキュリティの改善を表わしている。アプリケーションは、現代の計算システムに直ちに応用可能であり、オンラインの個人秘密情報の管理を安全化するために、便益は広範である。

複数のコンテンツストリーム、帯域内セキュリティ・タギング、およびデジタルビデオ・エンクリプタ（ＤＶＥ）を使用する、ＤＶＧの拡張アプリケーションが可能である。
未信頼のデジタルネットワーク上で信頼済みデジタルビデオデータを供給する、信頼済みサーバを動作可能に接続する、信頼済みデジタルビデオ通信方法は、以下のステップを含む。デジタルビデオデータ入力において、信頼済みサーバから信頼済みデジタルビデオデータを受信するステップ、およびデジタル通信ポートにおいて未信頼のデジタルネットワークにデータを出力するステップ。デジタルビデオデータ入力およびデジタル通信ポートに動作可能に接続された、信頼済みデジタルプロセッサを用いて、信頼済みデジタルビデオデータを所定のファイルフォーマットでカプセル化する処理をし、カプセル化された信頼済みデジタルビデオデータを、デジタル通信ポートから未信頼のデジタルネットワーク上に出力するステップ。

デジタルデータガード（Digital Data Guard）
図２０に示されているような、デジタルデータガード（ＤＤＧ）は、未信頼のネットワーク２０２を越えて未信頼のコンピュータ２０４を使用することによって、信頼済みコンテンツサーバ２００からのコンテンツを、ＵＳＢデータ記憶装置などのユーザの周辺データ記憶装置２０８へと確実に転送する機能を提供するのに使用することができる。そのような転送は、ユーザの周辺データ記憶装置が、未信頼のコンピュータの周辺相互接続入力に接続されている場合、例えば、ＵＳＢデータ記憶装置が、未信頼のコンピュータのＵＳＢポートに接続されている場合には、信頼することはできない。デジタルデータガード（ＤＤＧ）はセキュリティ周辺装置であって、未信頼のクライアントコンピュータのＤＶＩ出力２１０に差し込まれる、デジタルビデオガード（ＤＶＧ）に基づいている。任意選択で、ＤＤＧは、図２０に示すようにＤＶＧの動作に従って、未信頼のクライアントコンピュータ２０４のＤＶＩ出力２１０と、ＤＶＩディスプレイ２１２との間に直列型で挿入される。

図２１に示すように、一例においては、周辺相互接続ポート２２０によってユーザがＵＳＢ記憶装置などの脱着式記憶装置２０８をＤＤＧに接続することを可能にするように、ＤＤＧ２０６は、周辺相互接続出力２１４、デジタルビデオ受信機２１６および関連するデジタル処理ロジック２１８を有する。ＤＶＧと関連して説明した、帯域内デジタルビデオデータコンテンツ配信方法によって、信頼済みコンテンツサーバとＤＤＧとの間に、端末相互間暗号化パスを設定することができる。ＤＤＧアプリケーションの一例においては、暗号化データであれ、暗号解読されたデータであれ、デジタルデータが、リモート式の信頼済みコンテンツサーバから送出されて、ユーザの周辺記憶装置に直接、記憶される。そのようなアプリケーションは、介在する未信頼のネットワーク上での安全な移送を必要とするデータを、信頼済みコンテンツサーバからユーザの周辺記憶装置へ直接、送出することを可能にする。等級指定された文書のコピーを必要とするユーザが、安全にその文書を受け取ることができ、次いで、好適に等級指定されたコンピュータ装置上で、その等級指定されたコンピュータ装置を未信頼のコンピュータネットワーク接続する必要なく、その文書を見ることもできる。ＤＤＧを使用して、このようにして移送されるデータは、文書、画像、ビデオ、スプレッドシート、暗号化および暗号解読コード、ソフトウェアコード、その他を含む任意のタイプのデータとすることができる。暗号解読または、さらなる非カプセル化またはその他のそのようなセキュリティ関係機能を、ＤＤＧ上、または必要に応じて、好適に等級指定されたコンピュータ装置において、実行することができる。

カプセルされたデジタルビデオデータ内部に信頼可能なデータを含む、カプセル化されたデジタルビデオデータのソースを周辺データ記憶装置に接続するための、信頼済みデジタルデータ防護方法は、次のステップを含む。デジタルビデオデータ入力上でカプセル化されたデジタルビデオデータを受信するステップ、および少なくとも１つの信頼済み周辺相互接続出力からデータを出力するステップ。次いで、デジタルビデオデータ入力および少なくとも１つの周辺相互接続出力に動作可能に接続された信頼済みデジタルプロセッサを用いて、デジタルビデオデータを脱カプセル化するように処理を行い、信頼可能なデータを抽出して、該信頼可能なデータを前記少なくとも１つの周辺相互接続入力と関連する周辺装置に提供するステップ。

本発明は、その使用において、記載された特定のアプリケーションに限定されるものではないことを当業者は理解するであろう。また、本明細書において説明して示した特定の要素および／または特徴に関して、本発明は、その好ましい実施態様に制約されるものではない。本発明の原理から逸脱することなく、様々な修正を行うことができることが理解されるであろう。したがって、本発明は、そのような修正の全てをその範囲の中に含むものと理解されるべきである。

Claims (34)

1. デジタルビデオディスプレイ装置上の信頼可能および信頼不能なデジタルディスプレイデータの表示を制御する、信頼済みデジタルディスプレイガードであって、
   ａ．信頼不能なデジタルデータおよび帯域内信頼可能なデジタルデータを受信するように構成されるデジタルディスプレイデータ入力、
   ｂ．ビデオディスプレイ装置にデジタルビデオを出力するように構成される信頼済みデジタルディスプレイデータ出力、
   ｃ．信頼済み標識状態を示すように構成される信頼済みステータス標識、および
   ｄ．前記デジタルディスプレイデータ入力、前記信頼済みデジタルディスプレイデータ出力および前記信頼済みステータス標識に動作可能に接続された、信頼済みデジタルプロセッサであって、信頼可能および信頼不能なデジタルデータを識別して、
   ｉ）信頼不能なデジタルディスプレイデータ、または
   ｉｉ）処理された信頼可能なデジタルデータを信頼可能なデジタルディスプレイデータおよび修正のないまたはいくらか修正のある信頼不能なデジタルディスプレイデータとして誘導するとともに、前記信頼済みステータス標識のステータスを前記信頼済み標識状態に制御するために、帯域内デジタルデータを処理するように構成される、前記信頼済みデジタルプロセッサ
   を含む、前記信頼済みデジタルディスプレイガード。
2. 信頼済みデジタルプロセッサが、信頼可能な暗号化されたデジタルデータ入力を暗号解読する、請求項１に記載の信頼済みデジタルディスプレイガード。
3. 信頼済みデジタルプロセッサが、信頼可能なデジタルデータをカプセル化するデジタル署名を検証するように構成される、請求項１に記載の信頼済みデジタルディスプレイガード。
4. ｅ．入力信号を受信するように構成され、信頼済みデジタルプロセッサに動作可能に接続される少なくとも１つの周辺相互接続入力、および
   ｆ．出力信号を出力するように構成され、信頼済みデジタルプロセッサに動作可能に接続される少なくとも１つの周辺相互接続出力
   をさらに含む、請求項１に記載の信頼済みデジタルディスプレイガード。
5. 信頼済みデジタルプロセッサが、入力信号を暗号化して、出力信号を形成するように構成される、請求項４に記載の信頼済みデジタルディスプレイガード。
6. 信頼済みデジタルプロセッサに動作可能に接続され、入力信号を受信し、出力信号を出力するように構成される、少なくとも１つの周辺相互接続ポートをさらに含む、請求項１に記載の信頼済みデジタルディスプレイガード。
7. 信頼済みデジタルビデオ出力が、デジタル・ビジュアル・インターフェイス規格に準拠するデジタルディスプレイデータを出力する、請求項１に記載の信頼済みデジタルディスプレイガード。
8. 少なくとも１つの信頼済みデジタルプロセッサ、デジタルディスプレイデータ入力および信頼済みデジタルディスプレイ出力が、プログラムされた特定用途向けＩＣ、フィールドプログラマブルゲートアレイ、マイクロコントローラまたはデジタルロジックデバイスを含む、請求項１に記載の信頼済みデジタルディスプレイガード。
9. 少なくとも１つの周辺相互接続入力ポートが、ヒューマン・ツー・コンピュータインターフェイスデバイスから入力信号を受信するように構成され、前記少なくとも１つの周辺相互接続入力ポートが、未信頼の接続を介して、リモートコンピュータ装置へ出力信号を出力するように構成される、請求項４に記載の信頼済みデジタルディスプレイガード。
10. 信頼済みデジタルプロセッサが、ヒューマン・ツー・コンピュータインターフェイスデバイスからの入力信号を暗号化する、請求項９に記載の信頼済みデジタルディスプレイガード。
11. 信頼済みデジタルプロセッサが、帯域内データ信号を含む出力信号を形成するためにヒューマン・ツー・コンピュータインターフェイスデバイスからの入力信号を処理する、請求項９に記載の信頼済みデジタルディスプレイガード。
12. 信頼済みデジタルプロセッサが、受信デジタルディスプレイデータの帯域内信号化、帯域内多重化、およびのデータのタギングを処理するように構成される、請求項１に記載の信頼済みデジタルディスプレイガード。
13. 信頼済みデジタルプロセッサが、デジタルデータを格納するように構成されるデジタルデータストアをさらに含み、前記信頼済みデジタルプロセッサが、前記信頼済みデジタルディスプレイ出力に信頼可能なデジタルディスプレイデータとして誘導される、記憶されたデジタルディスプレイデータコンテンツを処理するように構成される、請求項１に記載の信頼済みデジタルディスプレイガード。
14. 信頼済みステータス標識が発光ダイオードであり、該発光ダイオードが、信頼済み標識状態に応答して発光状態になる、請求項１に記載の信頼済みデジタルディスプレイガード。
15. ｇ．信頼済みデジタルプロセッサに動作可能に接続され、取外し可能なメディアを読み取るように構成される、取外し可能なメディアリーダであって、前記取外し可能なメディアが暗号化または復号化のための鍵を記憶するように構成される、前記取外し可能なメディアリーダ
    をさらに含む、請求項２に記載の信頼済みデジタルディスプレイガード。
16. 取外し可能なメディアリーダが、鍵を利用してデジタルデータを暗号化または復号化するように構成される、信頼済みプロセッサをさらに含む、請求項１５に記載の信頼済みデジタルディスプレイガード。
17. 取外し可能なメディアがスマートカードである、請求項１５に記載の信頼済みデジタルディスプレイガード。
18. 未信頼のデジタルデータネットワーク上で信頼済みサーバからの信頼可能なデジタルデータを転送する、信頼済みデジタルガードであって、
    ａ．前記未信頼のデジタルデータネットワークから信頼不能なデジタルディスプレイデータおよび帯域内信頼可能なデジタルデータを受信するように構成される、デジタルディスプレイデータ入力、
    ｂ．信頼可能なデジタルデータを出力するように構成される、少なくとも１つの周辺相互接続出力、
    ｃ．前記デジタルディスプレイデータ入力と、前記少なくとも１つの周辺相互接続出力とに動作可能に接続されて、帯域内信頼可能なデジタルデータを処理して、前記少なくとも１つの周辺相互接続出力に信頼可能なデジタルデータを誘導するように構成される、信頼済みデジタルプロセッサ
    を含む、前記信頼済みデジタルガード。
19. 信頼済みデジタルプロセッサが、暗号化された信頼可能なデジタルデータを暗号解読するように構成される、請求項１８に記載の信頼済みデジタルガード。
20. 信頼済みデジタルプロセッサが、信頼可能なデジタルデータをカプセル化するデジタル署名を検証するように構成される、請求項１８に記載の信頼済みデジタルガード。
21. ｄ．信頼済みプロセッサに動作可能に接続される取外し可能なメディアリーダであって、取り外し可能なメディアを読み取るように構成され、暗号解読のための鍵が、取外し可能なメディアに記憶されている、前記取外し可能なメディアリーダ
    をさらに含む、請求項１８に記載の信頼済みデジタルガード。
22. 取外し可能メディアリーダが、鍵を利用してデジタルデータを暗号化および暗号解読するように構成される信頼済みプロセッサをさらに含む、請求項２１に記載の信頼済みデジタルガード。
23. 取外し可能メディアがスマートカードである、請求項２１および２２に記載の信頼済みデジタルガード。
24. 未信頼のデジタルデータネットワーク上で、リモートサーバからコンピュータ装置に付随するデジタルディスプレイ装置へ、信頼可能なデジタルディスプレイデータを送るための、デジタルデータセキュリティー方法であって、該方法は、
    ａ．前記リモートサーバに取り付けられた暗号化装置および前記コンピュータ装置に取り付けられたデジタルディスプレイガードの間にセキュリティー接続を形成し、
    ｉ．前記暗号化装置によって提供され、前記デジタルディスプレイガードに提供される、信頼可能なデジタルディスプレイデータ内の帯域内通信、および；
    ｉｉ．前記デジタルディスプレイガードによって前記暗号化装置に提供される周辺相互接続データ内の信頼可能なデジタルデータ、
    によって有効になる、双方向性の通信を利用すること、
    ｂ．前記暗号化装置によって前記リモートサーバからデジタルディスプレイデータを受信すること、
    ｃ．信頼可能なデジタルデータを生成するために、前記セキュリティー接続に従って、デジタルディスプレイデータを暗号化すること、
    ｄ．前記信頼済みのデジタルネットワーク上で、信頼可能なデジタルデータを前記デジタルディスプレイ装置に付随するコンピュータ装置へ誘導すること、
    ｅ．前記デジタルディスプレイ装置に付随するコンピュータ装置によって、デジタルディスプレイデータとして、信頼可能なデジタルデータを信頼性のないまたはいくらか信頼性のないデジタルディスプレイデータと共に、デジタルディスプレイガード帯域内に出力すること、
    ｆ．デジタルディスプレイガード内で、ディスプレイのために、デジタルディスプレイ装置上の信頼可能なおよび信頼不能なデータを処理することであって、
    ｉ．デジタルディスプレイデータ入力において、信頼不能なデジタルディスプレイデータおよび帯域内の信頼可能なデジタルデータを受信すること、
    ｉｉ．デジタルディスプレイデータ入力、信頼済みデジタルディスプレイ出力、および、信頼済み標識状態を有する信頼済みステータス標識に動作可能に接続される信頼済みデジタルプロセッサを利用して、信頼不能なデジタルディスプレイデータを識別および帯域内の信頼可能なデジタルデータを識別するために、デジタルデータを処理すること、
    ｉｉｉ．前記帯域内の信頼可能なデジタルデータを解読および処理して、信頼済みデジタルディスプレイ出力に、
    ａ．信頼不能なデジタルディスプレイデータ；または、
    ｂ．処理された信頼可能なデジタルデータを、信頼可能なデジタルディスプレイデータおよび修正のないまたはいくらか修正のある信頼不能なデジタルディスプレイデータとして誘導し、信頼済みステータス標識のステータスを信頼済み標識状態に制御すること、
    を含む、前記デジタルディスプレイデバイス上の信頼可能なおよび信頼不能なデータを処理すること、
    を含む、前記デジタルデータセキュリティー方法。
25. ｇ．暗号化装置を介して、ヒューマン・ツー・コンピュータインターフェイスデバイスデータを、周辺相互接続入力ポートを有するデジタルディスプレイガードから、リモートサーバに転送することであって、
    ｉ．ヒューマン・ツー・コンピュータインターフェイスデバイスデータを、デジタルディスプレイガードに動作可能に接続された周辺相互接続入力ポートにおいて受信すること、
    ｉｉ．信頼可能なデジタルデータを形成するために、前記ヒューマン・ツー・コンピュータインターフェイスデバイスデータを、規定のセキュリティー接続に従って暗号化すること、
    ｉｉｉ．信頼可能なデジタルディスプレイデータを、デジタルディスプレイガード周辺相互接続出力ポートから、デジタルディスプレイ装置に付随するコンピュータ装置へ誘導すること、
    ｉｖ．信頼可能なデジタルディスプレイデータを、デジタルディスプレイ装置に付随するコンピュータ装置から、リモートサーバに取り付けられた暗号化装置へ転送すること、
    ｖ．暗号化装置において、信頼可能なデジタルデータを受信すること、
    ｖｉ．暗号化装置において、信頼可能なデジタルデータをヒューマン・ツー・コンピュータインターフェイスデバイスデータへ解読すること、
    ｖｉｉ．ヒューマン・ツー・コンピュータインターフェイスデバイスデータをリモートサーバへ誘導すること、
    をさらに含む、請求項２４に記載のデジタルデータセキュリティー方法。
26. 未信頼のデジタルデータネットワーク上で、リモートサーバからコンピュータ装置に付随するデジタルディスプレイ装置へ、信頼可能なデジタルディスプレイデータを送るためのデジタルデータセキュリティーシステムであって、該システムは、
    ａ．暗号化装置およびコンピュータ装置に動作可能に接続されたデジタルディスプレイガードの間にセキュリティー接続を形成するために、リモートサーバに動作可能に接続される暗号化装置であって、
    ｉ．暗号化装置を利用した信頼可能なデジタルディスプレイデータ内の帯域内通信、デジタルディスプレイガードを利用したディスプレイのための信頼可能なデジタルディスプレイデータ、および；
    ｉｉ．暗号化装置に提供されるデジタルディスプレイガードによって提供される周辺相互接続データ内の信頼可能なデジタルデータであって、暗号化装置は、リモートサーバからデジタルディスプレイデータを受信し、信頼可能なデジタルデータを生成するために、規定のセキュリティー接続に従って、デジタルディスプレイデータを暗号化し、未信頼のデジタルネットワーク上で、デジタルディスプレイ装置に付随するコンピュータ装置に信頼可能なデジタルデータを誘導すること；
    によって有効になる、双方向性の通信を利用する、前記暗号化装置、
    ｂ．コンピュータ装置に付随するデジタルディスプレイ装置上で、信頼可能なおよび信頼不能なデータの表示を制御するためのコンピュータ装置に動作可能に接続されるデジタルディスプレイガードであって、
    ｉ．信頼不能なデジタルディスプレイデータおよび帯域内信頼可能デジタルデータを受信するためのデジタルディスプレイデータ入力；
    ｉｉ．デジタルディスプレイデータをデジタルディスプレイ装置へ出力するための信頼済みデジタルディスプレイ出力；
    ｉｉｉ．信頼済み標識状態を有する信頼済みステータス標識；
    ｉｖ．デジタルデータを受信するための周辺相互接続入力ポート；および
    ｖ．デジタルディスプレイ入力、信頼済みデジタルディスプレイ出力および信頼済みステータス標識に動作可能に接続される信頼済みデジタルプロセッサであって、該信頼済みデジタルプロセッサは、信頼不能なデジタルディスプレイデータを識別し、
    １）信頼不能なデジタルディスプレイデータ；または、
    ２）処理された信頼可能なデジタルデータを、信頼可能なデジタルディスプレイデータおよび修正のないまたはいくらか修正のある信頼不能なデジタルディスプレイデータとして誘導し、信頼済みステータス標識の状態を前記信頼済み標識状態に制御するために、帯域内の信頼可能なデジタルデータを処理する、
    前記信頼済みデジタルプロセッサを含む、
    前記デジタルディスプレイガード、
    ｃ．ヒューマン・ツー・コンピュータインターフェイスデバイスを利用して、利用者の相互作用に基づいてコンピュータインターフェイスデータを生成し、ヒューマン・ツー・コンピュータインターフェイスデータを、暗号化装置を介して周辺相互接続入力ポートからリモートサーバに転送するためのヒューマン・ツー・コンピュータインターフェイスデバイスであって、ヒューマン・ツー・コンピュータインターフェイスデータは、信頼可能なデジタルデータを形成するために、規定のセキュリティー接続に従ってデジタルディスプレイガードによって暗号化され、信頼可能なデジタルデータを暗号化装置によってヒューマン・ツー・コンピュータインターフェイスデータへ解読するため、デジタルディスプレイ装置に付随するコンピュータ装置からリモートサーバに取り付けられた暗号化装置に信頼可能なデジタルデータを転送するために、周辺相互接続出力ポートを介して、デジタルディスプレイ装置に付随するコンピュータ装置に誘導し、そして、ヒューマン・ツー・コンピュータインターフェイスデータはリモートサーバに誘導される、前記ヒューマン・ツー・コンピュータインターフェイスデバイス、
    を含む、前記デジタルデータセキュリティーシステム。
27. 未信頼のデジタルデータネットワーク上で、信頼済みサーバからコンピュータ装置に付随するデジタルディスプレイ装置へ、信頼可能なデジタルディスプレイデータを送るためのデジタルデータセキュリティーシステムであって、該システムは、
    デジタルプロセッサを含む信頼済みサーバに動作可能に接続されるデジタルディスプレイデータ処理デバイスであって、信頼済みサーバから信頼可能なデジタルディスプレイデータを受信し、信頼可能なデジタルディスプレイデータを信頼可能なデジタルデータへ処理し、処理された信頼可能なデジタルデータを未信頼のデジタルネットワーク上でデジタルディスプレイ装置に付随するコンピュータ装置に転送し、帯域内の信頼可能なデジタルデータを信頼性のないまたはいくらか信頼性のないデジタルディスプレイデータと共に、デジタルディスプレイ装置帯域内にレンダリングすることによって、信頼可能なデジタルデータを、デジタルディスプレイ装置に関連するコンピュータ装置から、デジタルディスプレイ装置へ出力する、前記ジタルディスプレイデータ処理デバイスを含み、および、デジタルディスプレイ装置上の信頼可能なおよび信頼不能なデジタルディスプレイデータの表示を制御するためのデジタルディスプレイガードであって；
    ａ．信頼不能なデジタルディスプレイデータおよび帯域内の信頼可能なデジタルデータを受信するためのデジタルディスプレイデータ入力；
    ｂ．デジタルディスプレイデータをデジタルディスプレイ装置へ出力するための信頼済みデジタルディスプレイ出力；
    ｃ．信頼済み標識状態を有する信頼済みステータス標識；および
    ｄ．デジタルディスプレイ入力、信頼済みデジタルディスプレイ出力および信頼済みステータス標識に動作可能に接続される信頼済みデジタルプロセッサであって、信頼不能なデジタルディスプレイデータを識別し、
    ｉ．信頼不能なデジタルディスプレイデータ；または、
    ｉｉ．処理された信頼可能なデジタルデータを、信頼可能なデジタルディスプレイデータおよび修正のないまたはいくらか修正のある信頼不能なデジタルディスプレイデータとして誘導し、信頼済みステータス標識の状態を前記信頼済み標識状態に制御するために、帯域内の信頼可能なデジタルディスプレイデータを処理する、前記信頼済みデジタルプロセッサ、
    を含む前記デジタルディスプレイガード、
    を含む、前記デジタルデータセキュリティーシステム。
28. デジタルディスプレイデータ処理デバイスのデジタルプロセッサが、信頼可能なデジタルディスプレイデータを暗号化し、デジタルディスプレイガードの信頼済みデジタルプロセッサが、帯域内デジタルデータを処理する前に信頼可能なデジタルデータを解読する、請求項２７に記載のデジタルデータセキュリティーシステム。
29. デジタルディスプレイ装置に関連するコンピュータ装置が、信号データを生成する少なくとも１つの関連するヒューマン・ツー・コンピュータインターフェイスデバイスを有し、
    デジタルディスプレイガードがさらに、
    ｅ．少なくとも１つのヒューマン・ツー・コンピュータインターフェイスデバイスに動作可能に接続される少なくとも１つの周辺相互接続入力ポート；および、
    ｆ．少なくとも１つの周辺相互接続出力ポートであって；各周辺相互接続入力ポートによって受信されるヒューマン・ツー・コンピュータインターフェイスデバイスからの信号データは、信頼済みデジタルプロセッサに要求されるように暗号化され、各周辺相互接続出力ポートによってコンピュータ装置に出力され、および、未信頼のデジタルデータネットワーク上で通信され、および、デジタルディスプレイデータ処理デバイスのデジタルプロセッサは、ヒューマン・ツー・コンピュータインターフェイスデバイスによって生成される、受信された暗号化されたデジタルデータを解読し、ヒューマン・ツー・コンピュータインターフェイスデバイスによって生成される信号データを代表する所定のフォーマットで、解読された受信されたデジタルデータを信頼済みのサーバに提供し、表示された信頼済みデジタルディスプレイデータと人間との相互作用は、ヒューマン・ツー・コンピュータインターフェイスデバイスによって生成され、未信頼のデジタルデータネットワーク上で信頼済みサーバに通信される、前記少なくとも１つの周辺相互接続出力ポート、
    を含む、請求項２７に記載のデジタルデータセキュリティーシステム。
30. 取外し可能なメディアリーダであって、解読のための単数または複数の鍵が、前記リーダによって読み取られるように適合された取外し可能なメディアに記憶されている、前記取外し可能なメディアリーダ
    をさらに含む、請求項２８に記載の信頼済みデジタルデータセキュリティーシステム。
31. 取外し可能なメディアリーダが、デジタルデータ入力を暗号化および解読するための信頼済みデジタルデータプロセッサをさらに含み、暗号化および解読するための単数または複数の鍵が、取外し可能なメディアリーダに記憶される、請求項３０に記載の信頼済みデジタルデータセキュリティーシステム。
32. 取外し可能なメディアがスマートカードである、請求項３１に記載の信頼済みデジタルデータセキュリティーシステム。
33. デジタルディスプレイ装置上への信頼可能および信頼不能なデジタルディスプレイデータの表示を制御する、信頼済みデジタルデータ防護方法であって、
    ａ．デジタルディスプレイデータ入力において信頼不能なデジタルディスプレイデータおよび帯域内の信頼可能なデジタルデータを受信するステップ、
    ｂ．信頼済みデジタルディスプレイ出力においてデジタルディスプレイ装置にデジタルディスプレイデータを出力するステップ、および
    ｃ．前記デジタルディスプレイデータ入力、信頼済みデジタルディスプレイ出力および信頼済み標識状態を有する信頼済みステータス標識に動作可能に接続された、信頼済みデジタルプロセッサでデジタルディスプレイデータを処理して、信頼不能なデジタルディスプレイデータを識別し、
    ｉ．信頼不能なデジタルディスプレイデータ、または
    ｉｉ．処理された信頼可能なデジタルデータを前記信頼済みデジタルビデオ出力に、信頼可能なデジタルディスプレイデータおよび修正のないまたはいくらか修正のある信頼不能なデジタルディスプレイデータとして誘導し、信頼済みステータス標識の一方の状態を前記信頼済み標識状態に制御するために、帯域内の信頼可能なデジタルディスプレイデータを処理する処理ステップ
    を含む、前記方法。
34. 信頼済みサーバからコンピュータ装置に付随するデジタルディスプレイ装置への、信頼可能なデジタルディスプレイデータの、未信頼のデジタルデータネットワーク上での配信に対するデジタルデータセキュリティ方法であって、
    ａ．前記信頼済みサーバに動作可能に接続されたデジタルディスプレイデータ処理装置内で、前記信頼済みサーバから信頼可能なデジタルディスプレイデータを受信する処理ステップ、
    ｂ．前記信頼可能なデジタルディスプレイデータを信頼可能なデジタルデータへ処理するステップ、
    ｃ．前記処理された信頼可能なデジタルデータを、前記未信頼のデジタルデータネットワーク上で、前記デジタルディスプレイ装置に付随するコンピュータ装置に転送するステップであって、前記デジタルディスプレイ装置に付随するコンピュータ装置からの出力が、さらなる処理のための信頼性のないまたはいくらか信頼性のないデジタルディスプレイデータと共に、デジタルディスプレイ装置帯域内のための信頼可能なデジタルデータのデジタルディスプレイ装置のための信頼可能なデジタルデータであり、および
    ｄ．デジタルディスプレイガード内で、デジタルビデオディスプレイ装置上への信頼可能および信頼不能なデジタルディスプレイデータの表示を制御する、処理テップであって、以下のステップを含む；
    ｅ．デジタルディスプレイデータ入力において信頼不能なデジタルディスプレイデータおよび帯域内の信頼可能なデジタルデータを受信するステップ、
    ｆ．前記デジタルディスプレイデータ入力、信頼済みデジタルディスプレイ出力および信頼済み標識状態を有する信頼済みステータス標識に動作可能に接続された信頼済みデジタルプロセッサで、信頼不能なデジタルディスプレイデータを識別して、
    ｉ．信頼不能なデジタルディスプレイデータ、または
    ｉｉ．処理された信頼可能なデジタルデータを信頼済みデジタルディスプレイ出力に、信頼可能なデジタルディスプレイデータおよび修正のないまたはいくらか修正のある信頼不能なデジタルディスプレイデータとして誘導し、信頼済みステータス標識の状態を前記信頼済み標識状態に制御するために、帯域内の信頼可能なデジタルディスプレイデータを処理する、処理ステップ
    を含む、前記デジタルビデオセキュリティ方法。