JP5662439B2

JP5662439B2 - 中小企業（ｓｍｅ）におけるデジタル著作権管理（ｄｒｍ）の方法および装置ならびにｄｒｍサービスを提供するための方法

Info

Publication number: JP5662439B2
Application number: JP2012519865A
Authority: JP
Inventors: フ，ジユアン; ウェイ，ウェン; ジン，シャオロン; ルオ，ジギャン
Original assignee: アルカテル−ルーセント
Priority date: 2009-07-17
Filing date: 2009-07-17
Publication date: 2015-01-28
Anticipated expiration: 2029-07-17
Also published as: EP2456118A1; JP2012533785A; WO2011006282A1; US20120136749A1; KR20120037489A; CN102474412A; EP2456118A4; KR101377352B1

Description

本発明は、デジタル著作権管理（ＤＲＭ）に関し、より詳細には、カスタマイズされたＤＲＭサービスをサービス・プロバイダによって企業のユーザに提供するための方法ならびに企業のユーザがこのカスタマイズされたＤＲＭサービスを用いるための方法および装置に関する。

従来、多くの企業は、組織および施設の範囲内で自らの安全を確保し、侵入者が貴重な資産すなわちデータにアクセスするのを防ぐことに関心を抱いている。最近、安全性の侵害（ｓａｆｅｔｙｂｒｅａｃｈ）の５０パーセント（８０％の場合すらある）は、組織および施設の内部から起こっていると報告された。これは、おそらく安全性に対する最大の脅威である。

安全性に対する内部の脅威を減少させるために、いくつかの企業では、ＤＲＭ（デジタル著作権管理）を用いて、所有権を主張できるファイル（ｐｒｏｐｒｉｅｔａｒｙｆｉｌｅ）を保護する。

ＯＭＡ（ＯｐｅｎＭｏｂｉｌｅＡｌｌｉａｎｃｅ）ＤＲＭ２．０のアーキテクチャが図１に示されている（非特許文献１を参照）。

ＤＲＭアーキテクチャに関係する機能エンティティは、以下のエンティティから構成される。

ＤＲＭエージェント；
ＤＲＭエージェントは、ユーザ・デバイス内にある、信頼されるエンティティである。この信頼されるエンティティは、ＤＲＭコンテンツに関連付けられた許可および制約の実施、ＤＲＭコンテンツへのアクセスの制御などを行う。

コンテンツ発行者（ＣｏｎｔｅｎｔＩｓｓｕｅｒ）
コンテンツ発行者は、ＤＲＭコンテンツを配信するエンティティである。コンテンツは、不正アクセスを回避するように、配信される前にパッケージングされる。コンテンツ発行者は、ＤＲＭコンテンツの実際のパッケージングを自分で行ってもよいし、あらかじめパッケージングされたコンテンツを他の何らかの供給源から受け取ってもよい。

権利発行者（ＲｉｇｈｔｓＩｓｓｕｅｒ）
権利発行者は、許可および制約をＤＲＭコンテンツに割り当て、権利オブジェクト（ＲｉｇｈｔｓＯｂｊｅｃｔ）を生成するエンティティである。権利オブジェクトは、ＤＲＭコンテンツの一部に関連付けられた許可および制約を定義する。権利オブジェクトは、どのようにＤＲＭコンテンツを使用できるかを決定する。すなわち、ＤＲＭコンテンツは、関連付けられた権利オブジェクトがなくては使用できず、権利オブジェクトによって指定されるとおりにしか使用することはできない。

ユーザ
ユーザは、ＤＲＭコンテンツの実際のユーザである。ユーザは、ＤＲＭエージェントを通してＤＲＭコンテンツにアクセスする。

認証局：
認証局（ＣＡ）は、デジタル認証センターとも呼ばれ、ＣＡは、信頼できる第三者機関として、公開鍵アーキテクチャにおける公開鍵の正当性問題の解決を専門に扱う。ＣＡは、デジタル証明書を公開鍵の各ユーザに発行する。デジタル証明書の機能は、証明書に記載されたユーザ名と証明書に記載された公開鍵の対応関係を証明することである。ＣＡのデジタル署名によって、攻撃者はデジタル証明書を偽造および改ざんできない。

ＣＡの基本機能は、秘密鍵およびデジタル証明書のライフ・サイクル全体の管理を行うこと、最終ユーザデジタル証明書の適用を受信し認証すること、証明書の承認、証明書の発行、証明書の更新、証明書の照会および無効化を行うこと、証明書失効リスト（ＣＲＬ）を生成および発行し、証明書のステータスをチェックすること、オンライン証明書照会サービスを提供し、オンライン証明書ステータス・プロトコル（ＯＣＳＰ）を検証すること、ユーザ証明書に関連付けられた情報を照会するディレクトリ・サービスを提供すること、下位証明機関の証明書およびアカウントを管理すること、デジタル証明書を保管すること、ＣＡおよびその下位機関の秘密鍵を管理すること、履歴データを保管することなどである。

標準的なＯＭＡＤＲＭ２．０システムにおいて、ＤＲＭコンテンツの配信は、以下の基本的なステップを含む。

１．コンテンツのパッケージング：コンテンツは、セキュアなコンテンツ・コンテナにパッケージングされる。すなわち、ＤＲＭコンテンツはＤＲＭコンテンツ・フォーマット（ＤＣＦ）に変換される。ＤＲＭコンテンツは、対称的なコンテンツ暗号化鍵（ＣＥＫ）を用いて暗号化される。

２．ＤＲＭエージェントの認証：すべてのＤＲＭエージェントは、一意の私有鍵／公開鍵のペアと証明書とを有する。この証明書は、ソフトウェアのバージョン、シリアル番号などの追加情報を含む。これによって、コンテンツ発行者および権利発行者は、ＤＲＭエージェントをセキュアに認証することができる。

３．権利オブジェクトの生成：権利オブジェクトは、コンテンツに関連付けられた許可および制約を定義する。権利オブジェクトはＣＥＫも含み、これにより、ＤＲＭコンテンツは関連付けられた権利オブジェクトなしでは使用できなくなる。

４．権利オブジェクトの保護：権利オブジェクトの機密部分（たとえばＣＥＫ）は暗号化され、権利オブジェクトは暗号により（ｃｒｙｐｔｏｇｒａｐｈｉｃａｌｌｙ）ターゲットＤＲＭエージェントに結び付けられる。これにより、ターゲットＤＲＭエージェントのみが権利オブジェクトおよびＤＲＭコンテンツにアクセスできるようになる。

５．配信：権利オブジェクトおよびＤＣＦは、ターゲットＤＲＭエージェントに配信することができる。権利オブジェクトおよびＤＣＦは、両方ともセキュアなので、任意の移送機構（たとえばＨＴＴＰ／ＷＳＰ、ＷＡＰＰｕｓｈ、ＭＭＳ）を使用して配信することができる。

ＯＭＡＤＲＭシステムにおいて、各ＤＲＭエージェントには、ＤＲＭエージェントを識別し、ＤＲＭエージェントと鍵ペアの結び付きを証明するために、一意の鍵ペアと、ＣＡによって署名された関連付けられた証明書が供給される。これによって、権利発行者は、ＰＫＩ手順を使用してＤＲＭエージェントをセキュアに認証することができる。

しかし、ＤＲＭは複雑で、実行および構成が困難である。さらに、ＣＡおよび関連証明書の管理が必要である。また、ＤＲＭの使用料は非常に高額である。

そのうえ、いくつかの企業は、所有権を主張できるファイルを保護するためにＲｉｇｈｔｓＭａｎａｇｅｍｅｎｔＳｅｒｖｉｃｅｓ（ＲＭＳ）を採用している。

しかし、ＲＭＳは、ＭｉｃｒｏｓｏｆｔのシステムおよびＭｉｃｒｏｓｏｆｔのファイルに依存する。ＲＭＳは、他のシステム（たとえばＬｉｎｕｘ、Ｓｙｍｂｉａｎ）のファイルには適していない。ＲＭＳファイルにオフラインでアクセスすることはできない。さらに、２つの異なる企業が、保護されたファイル（たとえば業務に関する契約書）を共有することは困難である。

したがって、これらの２つの機構すなわちＤＲＭおよびＲＭＳはＳＭＥ（中小企業）には適さない。

ＤＲＭアーキテクチャ、承認バージョン２．１、２００８年１０月１４日、ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｍｏｂｉｌｅａｌｌｉａｎｃｅ．ｏｒｇ／ＵｓｅＡｇｒｅｅｍｅｎｔ．ｈｔｍｌ。

本発明は、新たなサービス概念すなわち企業の機密ファイルを対象とするＤＲＭサービスを提案する。このサービスは、電気通信事業者またはサービス・プロバイダによってＳＭＥに提供することができる。その主なアイデアは、ＳＭＥがその所有権を主張できるファイルを内部で安全に管理できるように、カスタマイズされたＤＲＭソフトウェアをＳＭＥに提供することである。このカスタマイズされたＤＲＭソフトウェアは軽量（ｌｉｇｈｔ−ｗｅｉｇｈｔ）ＤＲＭソフトウェアであり、ＳＭＥの特定の要求（ｓｐｅｃｉｆｉｃｄｅｍａｎｄｓ）に従って実現され、プラグインとして動作する。カスタマイズされたＤＲＭソフトウェアは、事業者／サービス・プロバイダによって提供され、事業者／サービス・プロバイダで動作する汎用ＤＲＭシステムおよび汎用権利オブジェクトによって保護される。その結果、事業者／サービス・プロバイダは、このサービスに課金でき、それから利益を得る。さらに、ＳＭＥは、その所有権を主張できるファイルを低コストで柔軟に保護することができる。

本発明の第１のスキームでは、サーバと少なくとも１つのクライアントとを備えるシステム内部の保護されたファイルに関するＤＲＭを実行するための方法を提案する。前記方法は、前記少なくとも１つのクライアントのうちの１つにおいて、前記保護されたファイルにアクセス可能なとき、前記１つのクライアントに関連付けられた情報を利用して、前記保護されたファイルに関連付けられ前記１つのクライアントを対象とするカスタマイズされた権利オブジェクトを暗号化するステップと、この暗号化されたカスタマイズされた権利オブジェクトに従って保護されたファイルにアクセスするステップとを含む。

好ましくは、前記方法は、前記１つのクライアントを対象とするカスタマイズされた権利オブジェクトをサーバから前記１つのクライアントにダウンロードするステップをさらに含み、カスタマイズされた権利オブジェクトをダウンロードする前記ステップは、前記１つのクライアントが、カスタマイズされた権利オブジェクトの取得要求をサーバに送信するサブステップと、サーバが、カスタマイズされた権利オブジェクト・テンプレートに従って前記１つのクライアントを対象とするカスタマイズされた権利オブジェクトを生成し、前記１つのクライアントに関連付けられた情報を使用して前記カスタマイズされた権利オブジェクトを暗号化し、次にこの暗号化されたカスタマイズされた権利オブジェクトを前記１つのクライアントに送信するサブステップとを含む。

好ましくは、前記方法は、カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップは、すべてのクライアントの権限評価セット（ａｓｓｅｓｓｉｎｇａｕｔｈｏｒｉｔｙｓｅｔ）を対象とするカスタマイズされた権利オブジェクト・テンプレートをサーバ上で直接生成するステップを含む。

好ましくは、前記方法は、カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップは、前記少なくとも１つのクライアントのうちの１つにおいて、すべてのクライアントの権限評価セットを対象とするカスタマイズされた権利オブジェクト・テンプレートを生成するステップと、それを平文でかつ物理的にセキュアな方法でサーバ上に直接アップロードするステップとを含む。

好ましくは、前記方法は、カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップは、前記少なくとも１つのクライアントのうちの１つにおいて、すべてのクライアントの権限評価セットを対象とするカスタマイズされた権利オブジェクト・テンプレートを生成するステップと、それをリモートの方法でサーバ上にアップロードするステップとを含み、前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップと、それをリモートでアップロードするステップは、前記１つのクライアントが、すべてのクライアントのアクセス権限セット（ａｃｃｅｓｓｉｎｇａｕｔｈｏｒｉｔｙｓｅｔ）を対象とするカスタマイズされた権利オブジェクト・テンプレートを生成するステップと、前記１つのクライアントが、そのログイン・キーおよび関連情報を使用して前記カスタマイズされた権利オブジェクト・テンプレートを暗号化するステップと、前記１つのクライアントが、暗号化されたカスタマイズされた権利オブジェクト・テンプレートおよび関連情報をサーバに送信するステップと、サーバが、前記１つのクライアントのログイン・キーおよび関連情報に基づいて、暗号化されたカスタマイズされた権利オブジェクト・テンプレートを復号し、復号されたカスタマイズされた権利オブジェクト・テンプレートを保存するステップとを含む。

好ましくは、保護されたファイルは、サーバまたは前記少なくとも１つのクライアントのいずれか１つに格納される。

本発明で説明するシステム内部の保護されたファイルに関するＤＲＭを実行する方法が採用される。ＰＫＩの代わりに、企業内部の個人ユーザの情報（たとえば、ログイン・キー、ユーザＩＤなど）と結び付けられる対称鍵暗号化法が採用され、したがって、鍵の管理は非常に簡単になる。さらに、企業の内部では、権利オブジェクトは、この企業内の個人ユーザの個人情報と結び付けられ、したがって、ロールベースのアクセスがサポートされる。

本発明の第２のスキームでは、カスタマイズされたＤＲＭソフトウェアをサービス・プロバイダによりユーザに提供するための方法を提案する。汎用ＤＲＭシステムは、前記サービス・プロバイダ内にインストールされ、ここで動作し、標準的ＤＲＭソフトウェア・テンプレートも前記サービス・プロバイダ内に格納される。前記方法は、ユーザが、サービス・プロバイダに対するＤＲＭソフトウェアのカスタマイズを要求するステップと、ユーザの要求に従って、カスタマイズされたＤＲＭソフトウェアを標準的ＤＲＭソフトウェア・テンプレートから生成するステップと、汎用ＤＲＭシステムが、このユーザのアクセス権限に従ってユーザの汎用権利オブジェクトを生成するステップと、カスタマイズされたＤＲＭソフトウェアをユーザに送信するステップと、ユーザが、カスタマイズされたＤＲＭソフトウェアの汎用権利オブジェクトに従ってカスタマイズされたＤＲＭソフトウェアを用いるステップとを含む。

好ましくは、前記方法は、ユーザのカスタマイズされたＤＲＭソフトウェアの汎用権利オブジェクトをユーザに送信するステップをさらに含む。

好ましくは、ユーザが、カスタマイズされたＤＲＭソフトウェアの汎用権利オブジェクトに従ってカスタマイズされたＤＲＭソフトウェアを用いるステップは、少なくとも１つのクライアントとサーバとを備えるユーザのシステム内部で前記カスタマイズされたＤＲＭソフトウェアを動作させるステップと、前記システム内部で、前記少なくとも１つのクライアントの１つが、このシステム内部の保護されたファイルにアクセスしようとするとき、前記１つのクライアントに関連付けられた情報を利用して、保護されたコンテンツに関連付けられ前記１つのクライアントを対象とするカスタマイズされた権利オブジェクトを復号するステップと、この復号されたカスタマイズされた権利オブジェクトに従って、保護されたファイルにアクセスするステップとを含み、前記カスタマイズされた権利オブジェクトは、ユーザのカスタマイズされたＤＲＭソフトウェアのカスタマイズされた権利オブジェクト・テンプレートに従って生成される。

好ましくは、前記方法は、前記１つのクライアントを対象とするカスタマイズされた権利オブジェクトをサーバから前記１つのクライアントにダウンロードするステップをさらに含み、カスタマイズされた権利オブジェクトをダウンロードする前記ステップは、前記１つのクライアントが、カスタマイズされた権利オブジェクトの取得要求をサーバに送信するサブステップと、サーバが、カスタマイズされた権利オブジェクト・テンプレートに従って前記１つのクライアントを対象とするカスタマイズされた権利オブジェクトを生成し、前記１つのクライアントに関連付けられた情報を使用して前記カスタマイズされた権利オブジェクトを暗号化し、次に暗号化されたカスタマイズされた権利オブジェクトを前記１つのクライアントに送信するサブステップとを含む。

好ましくは、前記方法は、カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップは、すべてのクライアントの権限評価セットを対象とする前記カスタマイズされた権利オブジェクト・テンプレートをサーバ上で直接生成するステップを含む。

好ましくは、前記方法は、カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップは、前記少なくとも１つのクライアントのうちの１つにおいて、すべてのクライアントの前記権限評価セットを対象とする前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップと、それを平文でかつ物理的にセキュアな方法で前記サーバ上に直接アップロードするステップとを含む。

好ましくは、前記方法は、カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップは、前記少なくとも１つのクライアントのうちの１つにおいて、すべてのクライアントの前記権限評価セットを対象とする前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップと、それをリモートの方法で前記サーバ上にアップロードするステップとを含み、前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップと、それをリモートでアップロードするステップは、前記１つのクライアントが、すべてのクライアントのアクセス権限セットを対象とするカスタマイズされた権利オブジェクト・テンプレートを生成するステップと、前記１つのクライアントが、そのログイン・キーおよび関連情報を使用して前記カスタマイズされた権利オブジェクト・テンプレートを暗号化するステップと、前記１つのクライアントが、暗号化されたカスタマイズされた権利オブジェクト・テンプレートおよび関連情報をサーバに送信するステップと、サーバが、前記１つのクライアントのログイン・キーおよび関連情報に基づいて、暗号化されたカスタマイズされた権利オブジェクト・テンプレートを復号し、この復号されたカスタマイズされた権利オブジェクト・テンプレートを保存するステップとを含む。

新たなサービス概念が、サービス・プロバイダが本発明で説明するカスタマイズされたＤＲＭソフトウェアをユーザに提供する、すなわち事業者／サービス・プロバイダが所有権を主張できるファイルを安全に管理するためにＳＭＥに「ＤＲＭサービス」を提供する方法に従って実現される。層状のＤＲＭインフラストラクチャは、このようなサービスの下で実現される。すなわち、小型で軽量のカスタマイズされたＤＲＭソフトウェアは、汎用ＤＲＭシステムおよび汎用権利オブジェクトによって保護される。さらに、カスタマイズされたＤＲＭソフトウェアは、ＳＭＥの特定の要求に従って標準的ＤＲＭソフトウェア・テンプレートから形成され、小型で軽量である。

本発明の第３のスキームでは、保護されたファイルに関するＤＲＭを実行するシステムを提案する。前記システムは、サーバと少なくとも１つのクライアントとを備え、前記少なくとも１つのクライアントのうち１つは、システム内部の保護されたファイルにアクセスしようとするときに、前記１つのクライアントに関連付けられた情報を利用して、前記１つのクライアントを対象とするカスタマイズされた権利オブジェクトを復号し、前記１つのクライアントは、この復号されたカスタマイズされた権利オブジェクトに従って保護されたファイルにアクセスする。

好ましくは、前記１つのクライアントを対象とするカスタマイズされた権利オブジェクトはサーバから前記１つのクライアントにダウンロードされ、前記１つのクライアントは、カスタマイズされた権利オブジェクトの取得要求をサーバに送信し、その後、サーバは、カスタマイズされた権利オブジェクト・テンプレートに従って前記１つのクライアントを対象とするカスタマイズされた権利オブジェクトを生成し、クライアントに関連付けられた情報を使用して前記カスタマイズされた権利オブジェクトを暗号化し、次にこの暗号化されたカスタマイズされた権利オブジェクトを前記クライアントに送信する。

好ましくは、カスタマイズされた権利オブジェクト・テンプレートは、サーバに格納され、すべてのクライアントのアクセス権限セットを含む。

本発明の上記およびその他の目的、特徴、および利点は、図面と併せて、本発明の非限定的な実行形態の詳細な記述に即してさらに明らかになるであろう。

ＯＭＡＤＲＭ２．０によるＤＲＭシステムの構造を示す図である。本発明の実行形態によりＤＲＭサービスをカスタマイズする手順を示す概略図である。本発明の実行形態によりカスタマイズされたＤＲＭソフトウェアの構造を示す図である。本発明の実行形態によりカスタマイズされたＤＲＭサービスの下でカスタマイズされた権利オブジェクトを企業の内部で取得する手順を示す概略図である。

以下では、本発明の実行形態を図面と共に具体的に説明する。以下の記述では、いくつかの特定の実行形態は、説明のためにのみ使用されており、本発明に対する制限として理解されるべきではない。これらの実行形態は本発明の例に過ぎない。概略図は本発明と既存のシステムの違いを示しているに過ぎず、本発明の理解を曖昧にすることを避けるために、従来の構造または構成を省略していることを指摘する必要がある。

まず、本発明の以下の記述において、「汎用ＤＲＭシステム」とは、サービス・プロバイダにおいて動作する標準的ＤＲＭシステムを指し、「標準的ＤＲＭソフトウェア・テンプレート」は、サービス・プロバイダにおいて格納され、汎用ＤＲＭシステムによって保護され、カスタマイズされたＤＲＭソフトウェアを生成するためのＤＲＭソフトウェアを指し、「カスタマイズされたＤＲＭソフトウェア」とは、ユーザにおいて動作し、標準的ＤＲＭソフトウェア・テンプレートから生成される軽量ＤＲＭソフトウェアを指すことを説明する必要がある。同様に、「汎用権利オブジェクト」とは、汎用ＤＲＭシステムによって生成される、ユーザを対象とする権利オブジェクトを指し、「カスタマイズされた権利オブジェクト」とは、カスタマイズされたＤＲＭソフトウェアによって生成される、クライアントを対象とする権利オブジェクトを指す。

ＤＲＭサービスのカスタマイズ
ＳＭＥは、汎用ＤＲＭシステムの従来の手順によりサービス・プロバイダまたは事業者からの「ＤＲＭサービス」をカスタマイズする。すなわち、ＳＭＥは、カスタマイズされたＤＲＭソフトウェアを取得する。すなわち、汎用ＤＲＭシステムはサービス・プロバイダにおいて動作し、また、そこには標準的ＤＲＭソフトウェア・テンプレートも格納され、保護されたコンテンツは、完全な機能を有する標準的ＤＲＭソフトウェア・モジュールである。サービス・プロバイダは、コンテンツ発行者として、カスタマイズされたＤＲＭソフトウェアを企業のユーザに提供する。

図２に示すように、まず、ステップＳ１０１では、企業のユーザ１０が、サービス・プロバイダ２０に対してＤＲＭサービスのカスタマイズを要求する。このサービス・カスタマイズ要求はオフライン（物理的にセキュアな方法）またはオンラインとすることができ、オンライン要求は汎用ＤＲＭという方法で処理してよい。サービス・プロバイダ２０は、ＤＲＭカスタマイズサービスを提供できることを確認するように、企業のユーザ１０の要求を受信しながら企業のユーザ１０の情報に基づいて企業のユーザ１０に応答をフィードバックすることができる。次に、ステップＳ１０２では、サービス・プロバイダ２０に所望のカスタマイズされた機能を示すために、企業のユーザ１０は、サービス・プロバイダ２０に、カスタマイズされた機能を選択するメッセージを送信する。その後、ステップＳ１０３では、サービス・プロバイダ２０は、企業のユーザ１０によってカスタマイズされた機能に従って、カスタマイズされたＤＲＭソフトウェアを標準的ＤＲＭソフトウェア・テンプレートに基づいて生成する。標準的ＤＲＭソフトウェア・テンプレートは、マルチメディア・ファイル、Ｍｉｃｒｏｓｏｆｔ形式のファイルなどを対象とする保護モジュールなどの完全な機能を有する。企業のユーザ１０がファイル処理を行う職種の集まりであり、Ｍｉｃｒｏｓｏｆｔ形式のファイルの保護機能のみをカスタマイズするとき、標準的ＤＲＭソフトウェア・テンプレートに含まれたＭｉｃｒｏｓｏｆｔ形式のファイルの保護に関連付けられたそれらのモジュールのみが、カスタマイズされたＤＲＭソフトウェアにパッケージングされる。ステップＳ１０４において、サービス・プロバイダ２０は、この生成されたカスタマイズされたＤＲＭソフトウェアを企業のユーザ１０に送信する。カスタマイズされたＤＲＭソフトウェアを利用するために、企業のユーザ１０は、依然として権利発行者３０に接続される必要があり、カスタマイズされたＤＲＭソフトウェアの汎用権利オブジェクトを権利発行者３０から取得する（Ｓ１０５）。権利発行者３０は、サービス・プロバイダ２０または第三者とすることができる。企業のユーザ１０が金銭を支払ったとき、権利発行者３０は、要求された汎用権利オブジェクトを企業のユーザ１０に提供する。汎用権利オブジェクトは、使用期限、ユーザのクライアント数、生成可能なカスタマイズされた権利オブジェクト・テンプレート（カスタマイズされた権利オブジェクト・テンプレートについては以下で説明する）の数、保護されたファイルの形式などを含む、前記企業のユーザ用にカスタマイズされたＤＲＭソフトウェアの使用規則を指定する。

図３に示すように、カスタマイズされたＤＲＭソフトウェアは、カスタマイズされたＤＲＭサーバ・ソフトウェアの部分と、カスタマイズされたＤＲＭクライアント・ソフトウェアの部分とを備える。図３はまた、カスタマイズされたＤＲＭが汎用ＤＲＭシステムおよび汎用権利オブジェクトによって保護されることを示す。すなわち、カスタマイズされたＤＲＭソフトウェアは、サービス・プロバイダにおいて動作している汎用ＤＲＭシステムの内部にある保護されたファイルである。

企業のユーザ１０の内部には、サーバおよび少なくとも１つのクライアント・コンピュータがある。カスタマイズされたＤＲＭサーバ・ソフトウェアの部分が動作しているカスタマイズされたＤＲＭサーバは、たとえば、認証、グループ・アクセス制御、ＤＣＦ形式のファイル変換などの複数の責任を有するＤＲＭ権利発行者として使用される。カスタマイズされたＤＲＭクライアント・ソフトウェアの部分は、クライアント・コンピュータ上にインストールされ、コンピュータのシリアル番号および／または個人ユーザの情報と結び付けられる。クライアント・コンピュータはＤＲＭエージェントとして使用される。

場合によっては、１つのクライアント・コンピュータが複数の個人ユーザによって共有されることがある。個人ユーザＡが、Ａと同じクライアント・コンピュータ上にいる個人ユーザＢのファイルにアクセスしようとするのを避けるために、カスタマイズされたＤＲＭクライアント・ソフトウェアの部分がそのクライアント・コンピュータ上で動作し始めると、各個人ユーザはカスタマイズされたクライアントの自分のログイン・キーによって識別される。すなわち、カスタマイズされたＤＲＭクライアント・ソフトウェアの部分は、あらゆる個人ユーザ専用である。個人ユーザＡは、自分でカスタマイズしたＤＲＭクライアント・ソフトウェアの部分のみを動作させ、自分のカスタマイズされた権利オブジェクトを使用して保護されたファイルにアクセスすることができる。

企業のユーザの内部におけるカスタマイズされたＤＲＭソフトウェアの動作
次に、カスタマイズされたＤＲＭサーバ・ソフトウェアの部分およびクライアント・ソフトウェアの部分が企業の内部で正常にインストールされたと仮定する。

１．登録およびカスタマイズされた権利オブジェクトのアップロード
あらゆる企業従業員、すなわちあらゆる個人ユーザは、カスタマイズされたＤＲＭクライアント・ソフトウェアの部分を自分のコンピュータにインストールし、カスタマイズされたＤＲＭサーバに登録する。登録後、各個人ユーザは自分のログイン・キーを有する。

次に、個人ユーザが、保護されるべき機密ファイルを作成した場合、そのユーザは、ＣＥＫ（コンテンツ暗号化鍵、汎用ＤＲＭシステムにおけるＣＥＫと同じ概念に属する）を使用して、前記機密ファイルを保護してＤＣＦ形式に変換する必要がある。このファイルは、作成者のマシン上でパッケージングされてもよいし、（カスタマイズされたＤＲＭソフトウェアがサポートする場合）カスタマイズされたＤＲＭサーバ内でパッケージングされてもよい。

その後、保護されたファイルを共有する前に、企業のマネージャは、保護されたファイルに関して、エンジニア、上級エンジニア、プロジェクト監督者、マネージャなど、個人ユーザのロールおよびタイプに従って、異なる使用規則、たとえば読み取り専用、印刷、コピー／貼り付け、完全な制御などを設定する。使用規則は、カスタマイズされた権利オブジェクト・テンプレートに形成される。

カスタマイズされた権利オブジェクト・テンプレートは、１つのクライアントで生成される場合、カスタマイズされたＤＲＭサーバ上に以下の方法のいずれかでアップロードされる必要がある。
１）カスタマイズされたＤＲＭサーバ上にカスタマイズされた権利オブジェクト・テンプレートを物理的にセキュアな方法でアップロードする。
２）カスタマイズされた権利オブジェクト・テンプレートをリモートでアップロードする。

カスタマイズされた権利オブジェクト・テンプレートがリモートでアップロードされる場合、以下のステップを実行するものとする。
Ａ）カスタマイズされた権利オブジェクト・テンプレートが生成されるクライアントは、ログイン・キーを用いて、自分のカスタマイズされたＤＲＭクライアント・ソフトウェアの部分にログインする。
Ｂ）前記カスタマイズされたＤＲＭクライアント・ソフトウェアの部分のログイン・キーから派生した鍵を用いて、カスタマイズされた権利オブジェクト・テンプレートを暗号化する。次に、暗号化されたカスタマイズされた権利オブジェクト・テンプレートおよび他の情報（たとえばカスタマイズされたＤＲＭクライアントＩＤ、ユーザＩＤ）をカスタマイズされたＤＲＭサーバに送信する。
Ｃ）カスタマイズされたＤＲＭサーバが、暗号化されたカスタマイズされた権利オブジェクト・テンプレートを取得するとき、カスタマイズされたＤＲＭクライアント・ソフトウェアの部分に基づくクライアントＩＤ、ユーザＩＤ、ログイン・キーから復号鍵を派生させ、次に、この復号鍵に従って、カスタマイズされた権利オブジェクト・テンプレートを取得する。

カスタマイズされたＤＲＭサーバは、カスタマイズされた権利オブジェクト・テンプレートを格納する。あるいは、カスタマイズされた権利オブジェクト・テンプレートは、サービス・プロバイダ２０に格納することができる。

企業マネージャは、確実に、アップロードの処理を行わなくても、カスタマイズされたＤＲＭサーバ上でカスタマイズされた権利オブジェクト・テンプレートを直接生成することができる。

カスタマイズされたＤＲＭサーバは、各保護されたファイルに対して、カスタマイズされた権利オブジェクト・テンプレートに従って異なる個人ユーザに関して異なるカスタマイズされた権利オブジェクトを生成することが可能である。保護されたファイルは、サーバ上に格納されてもよいし、任意のクライアント上に格納されてもよい。保護されたファイルへのアクセスを希望する任意の個人ユーザは、ネットワークを介して他のクライアント端末またはサーバ上の保護されたファイルにアクセスしているときに、すでにダウンロードされ、かつ自分のクライアント上に格納された保護されたファイルにもアクセスすることができる。

カスタマイズされたＤＲＭソフトウェア全体の動作が、権利発行者３０によって提供された汎用権利オブジェクトによって監視されることを考慮すると、カスタマイズされた権利オブジェクトの生成は、汎用権利オブジェクトによっても制御される。たとえば、企業のユーザが、ファイルのコピー／貼り付け保護権のみをカスタマイズする場合、カスタマイズされた権利オブジェクトは保護されたファイルのコピー／貼り付け権のみを制御することができる。

２．カスタマイズされた権利オブジェクトのダウンロード
その後、特定の個人ユーザは、保護されたファイルを企業の内部ポートから、または他の個人ユーザから取得する。

前記個人ユーザは、保護されたファイルを開くことを希望する。クライアント・コンピュータ上のカスタマイズされたＤＲＭクライアント・ソフトウェアの部分が閉じている場合、この個人ユーザは、最初にクライアント・ソフトウェアの部分を動作させ、自分のログイン・キーを使用してログインする必要がある。

次に、クライアント・コンピュータは、クライアント・コンピュータ内部の保護されたファイルに関連付けられたカスタマイズされた権利オブジェクトを探す。クライアント・コンピュータ内部に保護されたファイルを対象とするカスタマイズされた権利オブジェクトがない場合、すなわち、この個人ユーザが前記保護されたファイルを開くのはこれが初めての場合、クライアントは、図４に示される手順をトリガして、カスタマイズされた権利オブジェクトをダウンロードする。
Ａ）クライアント・コンピュータは、カスタマイズされた権利オブジェクトの取得要求をカスタマイズされたＤＲＭサーバに送信する（Ｓ２０１）。
Ｂ）カスタマイズされたＤＲＭサーバは、各／個人ユーザの身元およびロールをチェックし、個人ユーザのロールに従って、カスタマイズされたＤＲＭサーバは、カスタマイズされた権利オブジェクトをカスタマイズされた権利オブジェクト・テンプレートに従って生成し、個人ユーザのログイン・キーおよび他の情報から派生した鍵を用いてカスタマイズされた権利オブジェクトを暗号化し（Ｓ２０２）、次に、保護されたカスタマイズされた権利オブジェクトがクライアント・コンピュータに送信される（Ｓ２０３）。
Ｃ）カスタマイズされたＤＲＭクライアントは、カスタマイズされた権利オブジェクトを取得するために、カスタマイズされた権利オブジェクトをこの個人ユーザのログイン・キーおよび他の情報から派生した鍵を用いて復号する（Ｓ２０４）。

その後、この個人ユーザは、カスタマイズされた権利オブジェクトの使用規則に従って、保護されたファイルにアクセスすることができる。

汎用ＤＲＭにおけるＰＫＩの代わりに、個人ユーザのログイン・キーおよび他の情報から派生した鍵を使用して、カスタマイズされた権利オブジェクトを暗号化し、したがって、この個人ユーザのみが前記カスタマイズされた権利オブジェクトを使用して保護されたコンテンツにアクセスすることができる。さらに、鍵の管理は非常に簡単である。

以下に、本発明の主な利点を示す。
１．新たなサービス概念：事業者／サービス・プロバイダは、所有権を主張できるファイルを安全に管理するためにＳＭＥに「ＤＲＭサービス」を提供する。
２．層状のＤＲＭ構造：小型で軽量のカスタマイズされたＤＲＭは、汎用ＤＲＭシステムおよび汎用権利オブジェクトによって保護される。
３．カスタマイズされたＤＲＭソフトウェア：小型で軽量であり、ＳＭＥの特定の要求に従って標準的ＤＲＭソフトウェア・テンプレートを適合させることによって形成される。
３．１）たとえば、小企業は、ＭｉｃｒｏｓｏｆｔＷｏｒｄファイルを保護するためにサービス・プロバイダ／事業者から「ＤＲＭサービス」を得ることを希望する。このとき、カスタマイズされたＤＲＭソフトウェアは非常に小型で、たとえば、ＭｉｃｒｏｓｏｆｔＷｏｒｄ形式さえサポートすればよい。そのうえ、費用は低額である。
３．２）鍵の管理は非常に簡単である。ＰＫＩの代わりに、企業内部の個人ユーザの情報（ログイン・キー、ユーザＩＤなど）との対称鍵の結び付きを使用して暗号化が行われる。
３．３）カスタマイズされた権利オブジェクトは、企業内部の個人ユーザの情報と結び付けられる。
４．カスタマイズされたＤＲＭソフトウェアにおけるロールベースのアクセスのサポート。

上記の記述は、本発明の好ましい実行形態を説明しているに過ぎず、いかなる形でも本発明の制限を構成しない。したがって、本発明の趣旨および範囲で行われる任意の変更および置き換えは、添付の特許請求の範囲によって定義される範囲によって包含されるものとする。

Claims

サーバと少なくとも１つのクライアントとを備えるシステム内部の保護されたファイルに関するデジタル著作権管理（ＤＲＭ）を実行するための方法であって、
標準的ＤＲＭソフトウェア・テンプレートから生成されたカスタマイズされたＤＲＭソフトウェアをサービス・プロバイダから前記システムに送信するステップと、
前記保護されたファイルにアクセス可能なとき、前記少なくとも１つのクライアントのうちの１つに関連付けられたログイン・キー及び情報から派生した鍵を利用して、該少なくとも１つのクライアントのうちの該１つにおいて、前記保護されたファイルに関連付けられ前記少なくとも１つのクライアントのうちの該１つを対象とするカスタマイズされた権利オブジェクトを復号化するステップとを含み、前記カスタマイズされた権利オブジェクトは、前記カスタマイズされたＤＲＭソフトウェアによって生成される、前記少なくとも１つのクライアントのうちの該１つを対象とする権利オブジェクトであり、該ログイン・キーは、ユーザが該システムに入ることを可能にし、該少なくとも１つのクライアントのうちの該１つに関連付けられた情報は、カスタマイズされたＤＲＭクライアントＩＤを含み、さらに、
前記復号されたカスタマイズされた権利オブジェクトに従って前記保護されたファイルにアクセスするステップとを含む、方法。
前記１つのクライアントを対象とする前記カスタマイズされた権利オブジェクトを前記サーバから前記１つのクライアントにダウンロードするステップをさらに含み、
前記カスタマイズされた権利オブジェクトをダウンロードする前記ステップが、
前記１つのクライアントが、前記カスタマイズされた権利オブジェクトの取得要求を前記サーバに送信するサブステップと、
前記サーバが、カスタマイズされた権利オブジェクト・テンプレートに従って前記１つのクライアントを対象とするカスタマイズされた権利オブジェクトを生成し、前記１つのクライアントに関連付けられた情報を使用して前記カスタマイズされた権利オブジェクトを暗号化し、次に前記暗号化されたカスタマイズされた権利オブジェクトを前記１つのクライアントに送信するサブステップとを含む、請求項１に記載の方法。
前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、
前記カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップが、
すべてのクライアントの権限評価セットを対象とする前記カスタマイズされた権利オブジェクト・テンプレートを前記サーバ上で直接生成するステップを含む、請求項２に記載の方法。
前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、
前記カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップが、
前記少なくとも１つのクライアントのうちの１つにおいて、すべてのクライアントの権限評価セットを対象とする前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップと、それを平文でかつ物理的にセキュアな方法で前記サーバ上に直接アップロードするステップとを含む、請求項２に記載の方法。
前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、
前記カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップが、
前記少なくとも１つのクライアントのうちの１つにおいて、すべてのクライアントの権限評価セットを対象とする前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップと、それをリモートの方法で前記サーバ上にアップロードするステップとを含み、
前記カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップと、それをリモートでアップロードする前記ステップが、
前記１つのクライアントが、すべてのクライアントのアクセス権限セットを対象とする前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップと、
前記１つのクライアントが、そのログイン・キーおよび関連情報を使用して前記カスタマイズされた権利オブジェクト・テンプレートを暗号化するステップと、
前記１つのクライアントが、前記暗号化されたカスタマイズされた権利オブジェクト・テンプレートおよび前記関連情報を前記サーバに送信するステップと、
前記サーバが、前記１つのクライアントの前記ログイン・キーおよび関連情報に基づいて、前記暗号化されたカスタマイズされた権利オブジェクト・テンプレートを復号し、前記復号されたカスタマイズされた権利オブジェクト・テンプレートを保存するステップとを含む、請求項２に記載の方法。
前記保護されたファイルが前記サーバまたは前記少なくとも１つのクライアントのいずれか１つに格納される、請求項１乃至５のいずれか１項に記載の方法。
サービス・プロバイダによるカスタマイズされたデジタル著作権管理（ＤＲＭ）ソフトウェアをユーザのシステムに提供する方法であって、汎用ＤＲＭシステムは前記サービス・プロバイダ内にインストールされ、ここで動作され、標準的ＤＲＭソフトウェア・テンプレートも前記サービス・プロバイダ内に格納され、方法が
前記ユーザが、前記サービス・プロバイダに対してＤＲＭソフトウェアのカスタマイズを要求するステップと、
前記ユーザの要求に従って前記カスタマイズされたＤＲＭソフトウェアを前記標準的ＤＲＭソフトウェア・テンプレートから生成するステップと、
前記汎用ＤＲＭシステムが、前記ユーザのアクセス権限に従って前記ユーザの汎用権利オブジェクトを生成するステップと、
前記カスタマイズされたＤＲＭソフトウェアを前記ユーザのシステムに送信するステップと、
前記ユーザが、前記ユーザのシステムに送信された前記カスタマイズされたＤＲＭソフトウェアの前記汎用権利オブジェクトに従って前記カスタマイズされたＤＲＭソフトウェアを用いるステップとを含み、
該システム内部で、少なくとも１つのクライアントのうちの１つが、該システム内部の保護されたファイルにアクセスしようとするとき、該少なくとも１つのクライアントのうちの該１つに関連付けられたログイン・キー及び情報から派生した鍵を利用して、該少なくとも１つのクライアントのうちの該１つにおいて、保護されたコンテンツに関連付けられ該少なくとも１つのクライアントのうちの該１つを対象とするカスタマイズされた権利オブジェクトを復号するステップとを含み、該カスタマイズされた権利オブジェクトは、該カスタマイズされたＤＲＭソフトウェアによって生成される、該少なくとも１つのクライアントのうちの該１つを対象とする権利オブジェクトであり、該ログイン・キーは、該ユーザが該システムに入ることを可能にし、該少なくとも１つのクライアントのうちの該１つに関連付けられた情報は、カスタマイズされたＤＲＭクライアントＩＤを含む、方法。
前記ユーザの前記カスタマイズされたＤＲＭソフトウェアの前記汎用権利オブジェクトを前記ユーザに送信するステップをさらに含む、請求項７に記載の方法。
前記ユーザが、前記カスタマイズされたＤＲＭソフトウェアの前記汎用権利オブジェクトに従って前記カスタマイズされたＤＲＭソフトウェアを用いる前記ステップが、
少なくとも１つのクライアントとサーバとを備える前記ユーザのシステム内部で前記カスタマイズされたＤＲＭソフトウェアを動作させるステップと、
前記復号されたカスタマイズされた権利オブジェクトに従って前記保護されたファイルにアクセスするステップとを含み、
前記カスタマイズされた権利オブジェクトが、前記ユーザのカスタマイズされたＤＲＭソフトウェアの前記カスタマイズされた権利オブジェクト・テンプレートに従って生成される、請求項７又は８に記載の方法。
前記１つのクライアントを対象とする前記カスタマイズされた権利オブジェクトを前記サーバから前記１つのクライアントにダウンロードするステップをさらに含み、
前記カスタマイズされた権利オブジェクトをダウンロードする前記ステップが、
前記１つのクライアントが、前記カスタマイズされた権利オブジェクトの取得要求を前記サーバに送信するサブステップと、
前記サーバが、前記カスタマイズされた権利オブジェクト・テンプレートに従って前記１つのクライアントを対象とするカスタマイズされた権利オブジェクトを生成し、前記１つのクライアントに関連付けられた情報を使用して前記カスタマイズされた権利オブジェクトを暗号化し、次に前記暗号化されたカスタマイズされた権利オブジェクトを前記１つのクライアントに送信するサブステップとを含む、請求項９に記載の方法。
前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、
前記カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップが、
すべてのクライアントの権限評価セットを対象とする前記カスタマイズされた権利オブジェクト・テンプレートを前記サーバ上で直接生成するステップをさらに含む、請求項１０に記載の方法。
前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、
前記カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップが、
前記少なくとも１つのクライアントのうちの１つにおいて、すべてのクライアントの権限評価セットを対象とする前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップと、それを平文でかつ物理的にセキュアな方法で前記サーバ上に直接アップロードするステップとをさらに含む、請求項１０に記載の方法。
前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップをさらに含み、
前記カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップが、
前記少なくとも１つのクライアントのうちの１つにおいて、すべてのクライアントの権限評価セットを対象とする前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップと、それをリモートの方法で前記サーバ上にアップロードするステップとを含み、
前記カスタマイズされた権利オブジェクト・テンプレートを生成する前記ステップと、それをリモートでアップロードする前記ステップが、
前記１つのクライアントが、すべてのクライアントのアクセス権限セットを対象とする前記カスタマイズされた権利オブジェクト・テンプレートを生成するステップと、
前記１つのクライアントが、そのログイン・キーおよび関連情報を使用して前記カスタマイズされた権利オブジェクト・テンプレートを暗号化するステップと、
前記１つのクライアントが、前記暗号化されたカスタマイズされた権利オブジェクト・テンプレートおよび前記関連情報を前記サーバに送信するステップと、
前記サーバが、前記１つのクライアントの前記ログイン・キーおよび関連情報に基づいて、前記暗号化されたカスタマイズされた権利オブジェクト・テンプレートを復号し、前記復号されたカスタマイズされた権利オブジェクト・テンプレートを保存するステップとを含む、請求項１０に記載の方法。
前記保護されたファイルが前記サーバまたは前記少なくとも１つのクライアントのいずれか１つに格納される、請求項９乃至１３のいずれか１項に記載の方法。
保護されたファイルに関するデジタル著作権管理（ＤＲＭ）を実行するシステムであって、サーバと少なくとも１つのクライアントとを備え、
サービスプロバイダが、標準的ＤＲＭソフトウェア・テンプレートから生成されたカスタマイズされたＤＲＭソフトウェアを前記システムに送信し、
前記少なくとも１つのクライアントのうちの１つが、前記システム内部の前記保護されたファイルにアクセスしようとするとき、前記少なくとも１つのクライアントのうちの該１つに関連付けられたログイン・キー及び情報から派生した鍵を利用して、前記少なくとも１つのクライアントのうち該１つを対象とするカスタマイズされた権利オブジェクトを復号し、前記カスタマイズされた権利オブジェクトは、前記カスタマイズされたＤＲＭソフトウェアによって生成される、前記少なくとも１つのクライアントのうちの該１つを対象とする権利オブジェクトであり、該ログイン・キーは、該ユーザが該システムに入ることを可能にし、該少なくとも１つのクライアントのうちの該１つに関連付けられた情報は、カスタマイズされたＤＲＭクライアントＩＤを含み、そして、
前記少なくとも１つのクライアントのうちの該１つが、前記復号されたカスタマイズされた権利オブジェクトに従って前記保護されたファイルにアクセスする、システム。