JP5869580B2 - 端末装置、検証装置、鍵配信装置、コンテンツ再生方法、鍵配信方法及びコンピュータプログラム - Google Patents

Description

本発明は、ネットワークを介して配信されるデジタル著作物を記録媒体装置に記録し、記録媒体装置に記録されたデジタル著作物を再生する技術に関する。

近年、映画や音楽などのデジタル著作物（以下、「コンテンツ」と記載する。）を、ネットワークを介して配信するシステムが普及しつつある。これは、例えば、ユーザのパーソナルコンピュータ（以下「ＰＣ」と記載する。）がコンテンツサーバからコンテンツを受信し、受信したコンテンツを、ユーザが購入したＳＤメモリカード等に記録するようなシステムである。

ネットワーク配信されるコンテンツは高画質及び高音質のデジタルデータであるから、不正コピー等が出回らないように著作権保護対策が必要である。

コンテンツの著作権保護規格の一つにＡＡＣＳ（Ａｄｖａｎｃｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｅｎｔ Ｓｙｓｔｅｍ）がある。ＡＡＣＳは、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ（登録商標））で用いられている著作権保護規格である。ＡＡＣＳで規定されている著作権保護技術の一つに「コンテンツ署名」がある（特許文献１）。

コンテンツ制作者は、コンテンツを分割した各部分コンテンツのハッシュ値をまとめてハッシュリストを構築し、信頼できる第三者機関へ送付する。第三者機関は、受信したハッシュリストに対してデジタル署名を付与し、ハッシュリストとデジタル署名とから成るコンテンツ署名を生成する。コンテンツ制作者は、コンテンツとコンテンツ署名とをＢＤに記録して、ユーザに販売する。ここで、コンテンツ署名は、ネットワークに接続されておらず、セキュリティの確保された署名装置を用いて生成される。そのため、署名鍵が漏洩するリスクは低く、コンテンツ署名は高い信頼性が担保されている。

正規の再生装置は、再生時に、コンテンツから計算したハッシュ値とコンテンツ署名に含まれるハッシュリストとを部分的に比較する。更に、再生装置は、コンテンツ署名に含まれるデジタル署名の検証を行う。これにより、コンテンツが正規のものであるか、コンテンツが不正に差し替えられていないかを確認することができる。再生装置は、コンテンツが正規のものでないこと、又は、不正に差し替えられていることを検出した場合には、コンテンツの再生を停止する。

日本国特許第４０８４８２７号

いま、コントローラとフラッシュメモリとから構成される次世代ＳＤメモリカードに記録するコンテンツの著作権保護対策として、ＡＡＣＳを用いることが検討されている。この場合、コンテンツ署名はコンテンツサーバによって生成されることが想定される。

しかし、コンテンツサーバは、現行の第三者機関の署名装置と異なり、ネットワークに接続しているため、署名鍵が漏洩するリスクが高い。署名鍵が漏洩すると、漏洩した署名鍵を不正に利用して、コンテンツの不正利用が行われる可能性がある。

そこで、本発明は、上記の問題点に鑑みなされたものであって、ネットワーク配信されるコンテンツをＳＤメモリカード等の記録媒体装置に記録するシステムにおいて、漏洩した署名鍵を不正に利用したコンテンツの不正利用を抑制する端末装置、検証装置、鍵配信装置、コンテンツ再生方法、鍵配信方法及びコンピュータプログラムを提供することを目的とする。

そこで、本発明の一態様である端末装置は、記録媒体装置から、暗号化コンテンツと前記暗号化コンテンツの正当性を検証するためのコンテンツ署名とを読み出し、前記記録媒体装置の保護された領域から、正規の署名装置により生成されたコンテンツ署名を用いてタイトル鍵を変換した変換タイトル鍵を読み出す読出部と、読出部が読み出した前記コンテンツ署名を用いて前記変換タイトル鍵を逆変換し、復元タイトル鍵を生成するタイトル鍵復元部と、前記復元タイトル鍵を用いて、前記暗号化コンテンツを復号し、復号したコンテンツを再生する再生部とを備えることを特徴とする。

上記の構成によると、前記記録媒体装置の保護された領域には、正規の署名装置により生成されたコンテンツ署名を用いてタイトル鍵を変換した変換タイトル鍵が記録されている。そのため、漏洩した署名鍵を利用して生成したコンテンツ署名と不正な暗号化コンテンツとを前記記録媒体装置に記録する不正が行われたとしても、端末装置は、前記記録媒体装置から読み出した変換タイトル鍵から正しいタイトル鍵を復元することができない。端末装置は、正しいタイトル鍵が復元できない場合、不正な暗号化コンテンツの復号を正しく行うことができない。したがって、端末装置による不正な暗号化コンテンツの再生を抑止することで、コンテンツの不正利用を抑制することができる。

コンテンツ配信システム１の構成図 鍵発行装置１００のブロック図 鍵発行装置１００が生成する証明書のデータ構成を示す図 鍵発行装置１００が生成する無効化リスト１６０のデータ構成を示す図 鍵発行処理の動作を示すフローチャート コンテンツ制作装置２００のブロック図 ＵＲ２１０のデータ構成を示す図 コンテンツ制作処理の動作を示すフローチャート コンテンツ配信装置３００のブロック図 コンテンツ識別情報３１１の生成方法について説明するための図 コンテンツ配信処理の動作を示すフローチャート 鍵配信装置４００のブロック図 コンテンツ署名５１０のデータ構成を示す図 処理済みＵＲ４２０及び処理済みＵＲ４３０のデータ構成を示す図 相互認証処理の動作を示すフローチャート 相互認証処理の動作を示すフローチャート 鍵配信処理の動作を示すフローチャート 署名装置５００のブロック図 コンテンツ署名生成処理の動作を示すフローチャート 端末装置６００のブロック図 端末装置６００のブロック図 コンテンツ記録処理の動作を示すフローチャート コンテンツ再生処理の動作を示すフローチャート コンテンツ再生処理の動作を示すフローチャート 記録媒体装置７００のブロック図 検証装置１６００のブロック図 署名付きコンテンツ署名１５１０のデータ構成を示す図

ここでは、本発明の一態様であるコンテンツ配信システム１について説明する。

＜１．概要＞
図１は、コンテンツ配信システム１の全体構成を示す図である。

コンテンツ配信システム１は、鍵発行装置１００、コンテンツ制作装置２００、コンテンツ配信装置３００、鍵配信装置４００、署名装置５００、端末装置６００及び記録媒体装置７００から構成される。

鍵発行装置１００は、コンテンツ配信システム１のセキュリティの基盤となる正当な機関が保有する装置である。鍵発行装置１００は、コンテンツ配信システム１を構成する各装置に対して、正当な秘密鍵や公開鍵証明書を生成し、発行する。

コンテンツ制作装置２００は、コンテンツ及び当該コンテンツの利用条件を生成する。コンテンツ制作装置２００は、生成したコンテンツをコンテンツ配信装置３００へ送信し、生成した利用条件を、鍵配信装置４００へ送信する。

コンテンツ配信装置３００は、タイトル鍵を生成し、生成したタイトル鍵でコンテンツ暗号化し、暗号化コンテンツを生成する。さらに、コンテンツ配信装置３００は、暗号化コンテンツを基にコンテンツ識別情報を生成する。コンテンツ配信装置３００は、生成したタイトル鍵とコンテンツ識別情報とを鍵配信装置４００へ送信する。

鍵配信装置４００は、受信したコンテンツ識別情報を署名装置５００へ送信し、コンテンツ署名の生成を依頼する。署名装置５００は、署名鍵を用いてコンテンツ識別情報に署名を施して、コンテンツ署名を生成し、生成したコンテンツ署名を鍵配信装置４００へ送信する。

鍵配信装置４００は、署名装置５００から受信したコンテンツ署名とコンテンツ制作装置２００から受信した利用条件とを用いて、コンテンツ配信装置３００から受信したタイトル鍵に所定の演算を施して、演算タイトル鍵を生成する。鍵配信装置４００は、演算タイトル鍵を、端末装置６００を介して、記録媒体装置７００へ送信する。

端末装置６００は、一例として、ユーザの自宅に設置されたＰＣである。端末装置６００は、インターネットなどのネットワークを介して、コンテンツ配信装置３００と鍵配信装置４００とに接続可能である。また、端末装置６００には、ＳＤメモリカードなどの記録媒体装置７００を装着することができる。

端末装置６００は、ネットワークを介して、コンテンツ配信装置３００から暗号化コンテンツを受信し、装着されている記録媒体装置７００に、受信した暗号化コンテンツを書き込む。また、端末装置６００は、ネットワークを介して、鍵配信装置４００から演算タイトル鍵、利用条件、コンテンツ署名等、コンテンツの再生に必要な情報を受信し、記録媒体装置７００に書き込む。このとき、演算タイトル鍵は、記録媒体装置７００の保護された領域に書き込まれる。「保護された領域」に書き込まれたデータは、外部から読み出すことはできるが、その内容を書き換えることはできない。

また、端末装置６００は、記録媒体装置７００に記録されているコンテンツを再生する機能を有する。このとき、端末装置６００は、記録媒体装置７００に記録されているコンテンツ署名と利用条件とを用いて、演算タイトル鍵からタイトル鍵を復元する。そして、端末装置６００は、復元されたタイトル鍵を用いて、暗号化されているコンテンツを復号して、再生する。

ここで、署名装置５００に保持されている署名鍵が漏洩した場合、不正な暗号化コンテンツに対し、漏洩した署名鍵を用いてコンテンツ署名を生成し、不正な暗号化コンテンツをあたかも正規のコンテンツのように成り済まして記録媒体装置７００に記録する不正行為が行われる可能性がある。

ところが、上記のように、記録媒体装置７００の保護された領域には、既に署名装置５００によって生成されたコンテンツ署名と利用条件とを用いてタイトル鍵を演算した演算タイトル鍵が記録されている。

そのため、漏洩した署名鍵を用いてコンテンツ署名を生成し、不正な暗号化コンテンツをあたかも正規のコンテンツのように成り済まして記録媒体装置７００に記録しても、端末装置６００は、演算タイトル鍵から正しいタイトル鍵を復元することができないので、不正な暗号化コンテンツの再生を抑制することが可能となる。

以下では、各装置の詳細な構成及び各処理の動作について説明する。

＜２．鍵発行装置１００＞
ここでは、鍵発行装置１００の詳細について説明する。鍵発行装置１００は、コンテンツ配信システム１を構成する各装置に対して、正当な秘密鍵及び公開鍵証明書を発行し、また、秘密鍵が漏洩した装置のＩＤを登録した無効化リストを発行する鍵発行処理を行う。

＜２−１．鍵発行装置１００の構成＞
図２は、鍵発行装置１００の機能的な構成を示すブロック図である。図２に示すように、鍵発行装置１００は、ルート鍵ペア生成部１０１、ルート鍵ペア格納部１０２、ルート公開鍵送信部１０３、鍵ペア生成部１０４、証明書生成部１０５、秘密鍵・証明書格納部１０６、秘密鍵・証明書送信部１０７、無効化情報入力部１０８、無効化情報格納部１０９、署名生成部１１０及び無効化リスト送信部１１１から構成される。

鍵発行装置１００は、図示されていないプロセッサ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ハードディスクを含む。また、鍵発行装置１００の各機能ブロックは、ハードウェアとして構成されているか、もしくはプロセッサがＲＯＭやハードディスクに記憶されているコンピュータプログラムを実行することで実現される。

ルート鍵ペア生成部１０１は、コンテンツ配信システム１におけるセキュリティの根幹となる鍵発行装置１００のルート鍵ペアを生成する。ルート鍵ペアは、ルート公開鍵及びルート秘密鍵から成る。

ルート鍵ペア格納部１０２は、ルート鍵ペア生成部１０１が生成したルート鍵ペアを格納する。

ルート公開鍵送信部１０３は、ルート鍵ペア格納部１０２に格納されているルート公開鍵を、鍵配信装置４００、端末装置６００及び記録媒体装置７００へ送信する。ルート公開鍵は、鍵配信装置４００、端末装置６００及び記録媒体装置７００が、鍵発行装置１００により生成された署名を検証する際に用いられる。

鍵ペア生成部１０４は、鍵配信装置４００、署名装置５００、端末装置６００及び記録媒体装置７００の鍵ペアを生成する。

具体的に、鍵ペア生成部１０４は、鍵配信装置４００に埋め込まれる鍵配信装置公開鍵及び鍵配信装置秘密鍵から成る鍵配信装置鍵ペアを生成する。また、鍵ペア生成部１０４は、署名装置５００に埋め込まれる署名装置公開鍵及び署名装置秘密鍵から成る署名装置鍵ペアを生成する。また、鍵ペア生成部１０４は、端末装置６００に埋め込まれる端末装置公開鍵及び端末装置秘密鍵から成る端末装置鍵ペアを生成する。また、鍵ペア生成部１０４は、記録媒体装置７００に埋め込まれる記録媒体装置公開鍵及び記録媒体装置秘密鍵から成る記録媒体装置鍵ペアを生成する。

証明書生成部１０５は、鍵配信装置４００、署名装置５００、端末装置６００及び記録媒体装置７００に埋め込まれる公開鍵証明書を生成する。

図３は、証明書生成部１０５により生成された公開鍵証明書の一例を示す図である。

図３（ａ）は、鍵配信装置４００に配布する鍵配信装置証明書１２０である。鍵配信装置証明書１２０は、鍵配信装置ＩＤと鍵配信装置公開鍵と署名とから成る。鍵配信装置証明書１２０は、鍵配信装置４００の識別子である鍵配信装置ＩＤに鍵ペア生成部１０４が生成した鍵配信装置公開鍵を付加したデータを署名対象データとする。証明書生成部１０５は、ルート秘密鍵を署名生成鍵として用い、署名対象データに署名検証アルゴリズムを施すことにより署名を生成する。そして、鍵配信装置ＩＤ、鍵配信装置公開鍵及び署名から成る鍵配信装置証明書１２０を生成する。

図３（ｂ）は、署名装置５００に配布する署名装置証明書１３０である。図３（ｃ）は、端末装置６００に配布する端末装置証明書１４０である。図３（ｄ）は、記録媒体装置７００に配布する記録媒体装置証明書１５０である。これらの公開鍵証明書も、鍵配信装置証明書１２０と同様に生成される。

秘密鍵・証明書格納部１０６は、鍵ペア生成部１０４が生成した各装置の秘密鍵と、証明書生成部１０５が生成した各装置の公開鍵証明書とをペアとして格納する。

秘密鍵・証明書送信部１０７は、秘密鍵・証明書格納部１０６に格納されている秘密鍵と公開鍵証明書とのペアを、各装置へ送信する。具体的に、鍵配信装置証明書１２０を鍵配信装置４００へ送信し、署名装置証明書１３０を署名装置５００へ送信し、端末装置証明書１４０を端末装置６００へ送信し、記録媒体装置証明書１５０を記録媒体装置７００へ送信する。

無効化情報入力部１０８は、鍵発行装置１００から秘密鍵及び証明書の発行を受けた装置から、秘密鍵が漏洩し、不正利用されていることが確認された場合に、不正利用されている秘密鍵の発行を受けた装置の装置ＩＤの入力を受け付ける。また、無効化情報入力部１０８は、秘密鍵の不正利用が確認された日付の入力を受け付ける。

無効化情報格納部１０９は、入力された装置ＩＤと日付とを組にした無効化情報を蓄積して格納する。

署名生成部１１０は、無効化情報格納部１０９に格納されている複数の無効化情報をまとめてリストを生成し、ルート鍵ペア格納部１０２に格納されているルート秘密鍵を署名生成鍵として、生成したリストに対して署名生成アルゴリズムを施して、署名を生成する。署名生成部１１０は、リストに署名を付加して無効化リストを生成する。

図４に無効化リストの一例を示す。同図に示すように、無効化リスト１６０は、無効化情報領域１６１、１６２、・・・、１６３と、署名領域１６４とから構成される。各無効化情報領域は、ＩＤ領域とリボーク日時領域とから構成される。一例として、無効化情報領域１６１のＩＤ領域１６５には、無効化された署名装置のＩＤ「０ｘ２０１」が記載され、リボーク日時領域１６６には、無効化された日付「２０１１年８月１５日」が記載されている。本実施形態では、無効化リストにリボーク日時領域を含めることにより、秘密鍵の不正利用が確認された以降に限定して、秘密鍵を無効化させることができる。なお、秘密鍵の漏洩及び不正利用が確認されると、無効化情報は順次追加され、無効化リストは更新される。

無効化リスト送信部１１１は、署名生成部１１０が生成した無効化リストを、鍵配信装置４００及び端末装置６００へ送信する。

＜２−２．鍵発行処理の動作＞
図５は、鍵発行装置１００による鍵発行処理の動作を示すフローチャートである。

鍵発行装置１００は、ルート公開鍵及びルート秘密鍵から成るルート鍵ペアを生成し（ステップＳ１）、ルート鍵ペア格納部１０２に格納する。そして、ルート公開鍵送信部１０３は、鍵配信装置４００、端末装置６００及び記録媒体装置７００へ、ルート公開鍵を送信する（ステップＳ２）。

鍵ペア生成部１０４は、署名装置５００の鍵ペアを生成する（ステップＳ３）。証明書生成部１０５は、署名装置証明書１３０を生成する（ステップＳ４）。秘密鍵・証明書送信部１０７は、署名装置秘密鍵と署名装置証明書１３０とを、署名装置５００へ送信する（ステップＳ５）。

鍵ペア生成部１０４は、鍵配信装置４００の鍵ペアを生成する（ステップＳ６）。証明書生成部１０５は、鍵配信装置証明書１２０を生成する（ステップＳ７）。秘密鍵・証明書送信部１０７は、鍵配信装置秘密鍵と鍵配信装置証明書１２０とを、鍵配信装置４００へ送信する（ステップＳ８）。

鍵ペア生成部１０４は、端末装置６００の鍵ペアを生成する（ステップＳ９）。証明書生成部１０５は、端末装置証明書１４０を生成する（ステップＳ１０）。秘密鍵・証明書送信部１０７は、端末装置秘密鍵と端末装置証明書１４０とを、端末装置６００を製造する装置へ送信する（ステップＳ１１）。

鍵ペア生成部１０４は、記録媒体装置７００の鍵ペアを生成する（ステップＳ１２）。証明書生成部１０５は、記録媒体装置証明書１５０を生成する（ステップＳ１３）。秘密鍵・証明書送信部１０７は、記録媒体装置秘密鍵と記録媒体装置証明書１５０とを、記録媒体装置７００を製造する装置へ送信する（ステップＳ１４）。

無効化情報入力部１０８は、無効化情報（装置ＩＤ及びリボーク日時）の入力を受け付ける（ステップＳ１５）。

署名生成部１１０は、複数の無効化情報から成るリストに対し、ルート秘密鍵を用いて署名を生成し（ステップＳ１６）、リストに署名を付加して無効化リストを生成する。
無効化リスト送信部１１１は、生成された無効化リストを、鍵配信装置４００及び端末装置６００へ送信する。

＜３．コンテンツ制作装置２００＞
ここでは、コンテンツ制作装置２００の詳細について説明する。コンテンツ制作装置２００は、コンテンツを生成して暗号化するコンテンツ制作処理を行う。

＜３−１．コンテンツ制作装置２００の構成＞
図６は、コンテンツ制作装置２００の機能的な構成を示すブロック図である。図６に示すように、コンテンツ制作装置２００は、素材格納部２０１、編集部２０２、コンテンツ格納部２０３、コンテンツ登録部２０４、ＵＲ入力部２０５、ＵＲ格納部２０６及びＵＲ登録部２０７から構成される。

コンテンツ制作装置２００は、図示されていないプロセッサ、ＲＡＭ、ＲＯＭ、ハードディスクを含む。また、コンテンツ制作装置２００の各機能ブロックは、ハードウェアとして構成されているか、もしくはプロセッサがＲＯＭやハードディスクに記憶されているコンピュータプログラムを実行することで実現される。

素材格納部２０１は、複数の素材データ（映画等のビデオデータ及びオーディオデータ）を格納する。

編集部２０２は、素材格納部２０１に格納されている複数の素材データを組み合わせて映画などのコンテンツを制作する。

コンテンツ格納部２０３は、編集部２０２により制作されたコンテンツを格納する。

コンテンツ登録部２０４は、コンテンツ格納部２０３に格納されているコンテンツを、コンテンツ配信装置３００に登録する。

ＵＲ入力部２０５は、キーボードやマウスなどの入力デバイスを備える。ＵＲ入力部２０５は、コンテンツ制作者により入力デバイスが操作されることにより、コンテンツの再生可能回数や移動の可否など、コンテンツの利用に係る条件であるＵｓａｇｅＲｕｌｅ（以下、「ＵＲ」と記載する。）の入力を受け付ける。

ＵＲ格納部２０６は、ＵＲ入力部２０５が受け付けたＵＲを格納する。

図７にＵＲのデータ構造を示す。同図に示すように、ＵＲ２１０は、出力制御情報領域２１１とその他情報領域２１２とから成る。出力制御情報領域２１１には、例えば、再生可能期間、再生開始日時、再生終了日時、再生可能回数、アナログ出力可否情報、ムーブ可否情報、ムーブ可能回数など、再生やムーブに関する制御情報が記載される。

その他情報領域２１２には、例えば、コンテンツが記録されているサーバのＵＲＬ、コンテンツ制作者の名称及び住所、コンテンツ著作権者の名称及び住所など、再生やムーブに関する制御情報以外の情報が記載される。

ＵＲ登録部２０７は、ＵＲ格納部２０６に格納されているＵＲを、鍵配信装置４００に登録する。

＜３−２．コンテンツ制作処理の動作＞
図８は、コンテンツ制作装置２００によるコンテンツ制作処理の動作を示すフローチャートである。

編集部２０２は、素材格納部２０１に格納されている素材データを組み合わせて、映画などのコンテンツを生成する（ステップＳ２１）。生成されたコンテンツは、コンテンツ格納部２０３に格納される。

コンテンツ登録部２０４は、コンテンツ配信装置３００へ送信する（ステップＳ２２）。

続いて、ＵＲ入力部２０５が、コンテンツ制作者からＵＲの入力を受け付ける（ステップＳ２３）。入力されたＵＲは、ＵＲ格納部２０６に格納される。

ＵＲ登録部２０７は、ＵＲを鍵配信装置４００へ送信する（ステップＳ２４）。

＜４．コンテンツ配信装置３００＞
ここでは、コンテンツ配信装置３００の詳細について説明する。コンテンツ配信装置３００は、コンテンツ制作装置２００からコンテンツを受信し、受信したコンテンツをタイトル鍵で暗号化する。また、コンテンツ配信装置３００は、ネットワークを介して接続された端末装置６００へコンテンツを配信するコンテンツ配信処理を行う。

＜４−１．コンテンツ配信装置３００の構成＞
図９は、コンテンツ配信装置３００の機能的な構成を示すブロック図である。図９に示すように、コンテンツ配信装置３００は、コンテンツ受信部３０１、タイトル鍵生成部３０２、暗号部３０３、コンテンツ格納部３０４、コンテンツ識別情報生成部３０５、タイトル鍵・コンテンツ識別情報送信部３０６、配信依頼受信部３０７及びコンテンツ配信部３０８から構成される。

コンテンツ配信装置３００は、図示されていないプロセッサ、ＲＡＭ、ＲＯＭ、ハードディスクを含む。また、コンテンツ配信装置３００の各機能ブロックは、ハードウェアとして構成されているか、もしくはプロセッサがＲＯＭやハードディスクに記憶されているコンピュータプログラムを実行することで実現される。

コンテンツ受信部３０１は、コンテンツ制作装置２００からコンテンツを受信する。

タイトル鍵生成部３０２は、コンテンツを暗号化するための暗号鍵であるタイトル鍵を生成する。一例として、タイトル鍵は、１２８ビットの乱数である。

暗号部３０３は、タイトル鍵を暗号鍵として用い、コンテンツに暗号化アルゴリズムＥを施して暗号化し、暗号化コンテンツを生成する。以下では、特に注釈がない限り、タイトル鍵で暗号化された状態のコンテンツを、単に「コンテンツ」と記載する。なお、暗号化アルゴリズムＤの一例はＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）である。

コンテンツ格納部３０４は、暗号部３０３により暗号化されたコンテンツを格納する。

コンテンツ識別情報生成部３０５は、コンテンツ格納部３０４に格納されているコンテンツから、当該コンテンツを一意に識別するコンテンツ識別情報を生成する。

図１０は、コンテンツ識別情報の生成方法について説明するための図である。図１０に示すように、コンテンツ識別情報生成部３０５は、コンテンツ３１０をＮ個の部分コンテンツに分割する。そして、各部分コンテンツのハッシュ値を演算する。コンテンツ識別情報生成部３０５は、これらＮ個のハッシュ値を記載したハッシュテーブルをコンテンツ識別情報３１１とする。

タイトル鍵・コンテンツ識別情報送信部３０６は、タイトル鍵生成部３０２により生成されたタイトル鍵と、コンテンツ識別情報生成部３０５により生成されたコンテンツ識別情報とを、鍵配信装置４００へ送信する。

配信依頼受信部３０７は、端末装置６００から配信依頼データを受信すると、コンテンツ配信部３０８に対し、コンテンツの配信を指示する。

コンテンツ配信部３０８は、配信依頼受信部３０７からコンテンツの配信を指示されると、配信依頼データが指定するコンテンツをコンテンツ格納部３０４から検索する。対応するコンテンツを発見した場合には、コンテンツ格納部３０２４からコンテンツを読み出して、端末装置６００へ配信する。なお、配信依頼データは、コンテンツを指定する情報を含み、コンテンツ配信部３０８は、配信依頼データを基に、配信するコンテンツを検索することが可能である。

＜４−２．コンテンツ配信処理の動作＞
図１１は、コンテンツ配信装置３００によるコンテンツ配信処理の動作を示すフローチャートである。

コンテンツ受信部３０１は、コンテンツ制作装置２００からコンテンツを受信し（ステップＳ３１）、受信したコンテンツを暗号部３０３へ出力する。

タイトル鍵生成部３０２は、タイトル鍵を生成し（ステップＳ３２）、生成したタイトル鍵を、暗号部３０３及びタイトル鍵・コンテンツ識別情報送信部３０６へ出力する。

暗号部３０３は、コンテンツをタイトル鍵で暗号化し、暗号化コンテンツを生成する（ステップＳ３３）。暗号部３０３は、暗号化されたコンテンツを、コンテンツ格納部３０４に格納する（ステップＳ３４）。

コンテンツ識別情報生成部３０５は、暗号部３０３によって暗号化されたコンテンツからコンテンツ識別情報を生成し（ステップＳ３５）、生成したコンテンツ識別情報を、タイトル鍵・コンテンツ識別情報送信部３０６へ出力する。

タイトル鍵・コンテンツ識別情報送信部３０６は、タイトル鍵とコンテンツ識別情報とを、鍵配信装置４００へ送信する（ステップＳ３６）。

配信依頼受信部３０７は、端末装置６００から配信依頼データを受信する（ステップＳ３７）。配信依頼受信部３０７は、コンテンツ配信部３０８に対し、コンテンツの配信を指示する。

コンテンツ配信部３０８は、配信依頼データを基に、コンテンツ格納部３０４からコンテンツを検索する（ステップＳ３８）。対応するコンテンツを発見した場合、コンテンツ配信部３０８は、コンテンツを依頼元の端末装置６００に配信する（ステップＳ３９）。対応するコンテンツが発見できなかった場合は、コンテンツ配信部３０８は、依頼元の端末装置６００に対し、発見できなかった旨を通知するとしてもよい。

＜５．鍵配信装置４００＞
ここでは、鍵配信装置４００の詳細について説明する。鍵配信装置４００は、コンテンツの再生に必要なタイトル鍵、ＵＲ、コンテンツ署名等を、端末装置６００を介して記録媒体装置７００へ送信する鍵配信処理を行う。

＜５−１．鍵配信装置４００の構成＞
図１２は、鍵配信装置４００の機能的な構成を示すブロック図である。図１２に示すように、鍵配信装置４００は、ルート公開鍵受信部４０１、ルート公開鍵格納部４０２、秘密鍵・証明書受信部４０３、秘密鍵・証明書格納部４０４、タイトル鍵・コンテンツ識別情報受信部４０５、コンテンツ識別情報送信部４０６、ＵＲ受信部４０７、コンテンツ署名受信部４０８、無効化リスト受信部４０９、ＵＲ処理部４１０、タイトル鍵演算部４１１、相互認証部４１２、暗号復号部４１３、記録媒体装置ＩＤ受信部４１４及びＭＡＣ演算部４１５から構成される。

鍵配信装置４００は、図示されていないプロセッサ、ＲＡＭ、ＲＯＭ、ハードディスクを含む。また、鍵配信装置４００の各機能ブロックは、ハードウェアとして構成されているか、もしくはプロセッサがＲＯＭやハードディスクに記憶されているコンピュータプログラムを実行することで実現される。

ルート公開鍵受信部４０１は、鍵発行装置１００からルート公開鍵を受信する。

ルート公開鍵格納部４０２は、ルート公開鍵受信部４０１が受信したルート公開鍵を格納する。

秘密鍵・証明書受信部４０３は、鍵発行装置１００から鍵配信装置秘密鍵及び鍵配信装置証明書を受信する。

秘密鍵・証明書格納部４０４は、秘密鍵・証明書受信部４０３が受信した鍵配信装置秘密鍵及び鍵配信装置証明書を格納する。

タイトル鍵・コンテンツ識別情報受信部４０５は、コンテンツ配信装置３００からタイトル鍵とコンテンツ識別情報とを受信する。

コンテンツ識別情報送信部４０６は、コンテンツ配信装置３００から受信したコンテンツ識別情報を、署名装置５００へ送信する。署名装置５００からコンテンツ識別情報に対する署名付与を受けるためである。

ＵＲ受信部４０７は、コンテンツ制作装置２００からＵＲを受信する。

コンテンツ署名受信部４０８は、署名装置５００からコンテンツ署名を受信する。コンテンツ署名は、コンテンツ識別情報に対する署名装置５００の署名が付与されたデータである。

コンテンツ署名受信部４０８は、署名装置５００からコンテンツ署名を受信すると、無効化リスト受信部４０９に保持されている無効化リストを用いて、受信したコンテンツ署名が有効であるか無効であるかを判断する。受信したコンテンツ署名が無効であると判断された場合、鍵配信装置４００は、処理を終了する。受信したコンテンツ署名が有効であると判断された場合、コンテンツ署名受信部４０８は、受信したコンテンツ署名をＵＲ処理部４１０へ出力する。さらに、コンテンツ署名受信部４０８は、受信したコンテンツ署名を端末装置６００へ送信する。

図１３にコンテンツ署名の一例を示す。同図に示すように、コンテンツ署名５１０は、コンテンツ識別情報領域５１１、署名データ領域５１２、署名日時領域５１３及び署名装置証明書領域５１４から構成される。

コンテンツ識別情報領域５１１には、コンテンツ識別情報送信部４０６が署名装置５００へ送信したコンテンツ識別情報３１１が記録される。署名データ領域５１２には、コンテンツ識別情報領域５１１に記載されているコンテンツ識別情報３１１に対して、署名装置５００が署名装置秘密鍵を用いて生成した署名データが記載される。署名日時領域５１３には、署名装置５００が署名した日時が記載される。署名装置証明書領域５１４には、署名装置証明書１３０（図３）が記載される。

無効化リスト受信部４０９は、鍵発行装置１００から無効化リストを受信し、内部に保持する。

ＵＲ処理部４１０は、コンテンツ署名受信部４０８が受信したコンテンツ署名を用いて、ＵＲ受信部４０７が受信したＵＲにデータを追加して処理済みＵＲを生成する。ＵＲ処理部４１０は、生成した処理済みＵＲをタイトル鍵演算部４１１に出力する。さらに、ＵＲ処理部４１０は、生成した処理済みＵＲを端末装置６００へ送信する。

図１４を用いて、処理済みＵＲの具体例について説明する。

図１４（ａ）に示す処理済みＵＲ４２０は、ＵＲ２１０とコンテンツ署名特定情報領域４２１とから構成される。ＵＲ２１０は、図７で説明したように、出力制御情報領域２１１及びその他の情報領域２１２から構成される。コンテンツ署名特定情報領域４２１は、コンテンツ署名、コンテンツ署名全体のハッシュ値、コンテンツ識別情報のハッシュ値、コンテンツ識別情報の一部など、コンテンツを一意に特定することが可能な情報を格納するための領域である。

図１４（ｂ）に示す処理済みＵＲ４３０は、ＵＲ２１０、署名データ領域４３１、署名日時領域４３２及びコンテンツ署名ハッシュ値領域４３３から構成される。ＵＲ２１０は、図７で説明したように、出力制御情報領域２１１及びその他の情報領域２１２から構成される。署名データ領域４３１、署名日時領域４３２及びコンテンツ署名ハッシュ値領域４３３は、処理済みＵＲ４２０のコンテンツ署名特定情報領域４２１を具体化したものである。署名データ領域４３１には、コンテンツ署名５１０の署名データ領域５１２に記載されている署名データが記載される。署名日時領域４３２には、コンテンツ署名５１０の署名日時領域５１３に記載されている日時が記載される。コンテンツ署名ハッシュ値領域４３３には、コンテンツ署名５１０の全体に対するハッシュ値が記載される。なお、コンテンツ署名５１０の全体に対するハッシュ値は、ＵＲ処理部４１０が算出する。以下では、ＵＲ処理部４１０は、図１４（ｂ）に示した処理済みＵＲ４３０を生成したものとして説明する。

タイトル鍵演算部４１１は、タイトル鍵・コンテンツ識別情報受信部４０５からタイトル鍵を取得し、ＵＲ処理部４１０から処理済みＵＲを取得する。そして、タイトル鍵演算部４１１は、処理済みＵＲのハッシュ値を計算する。タイトル鍵演算部４１１は、処理済みＵＲのハッシュ値とタイトル鍵とを用いた可逆演算可能な演算を行って、本発明に係る変換タイトル鍵である演算タイトル鍵を生成する。ここでは一例として、タイトル鍵演算部４１１は、処理済みＵＲのハッシュ値とタイトル鍵との排他的論理和（ＸＯＲ）を計算することにより、演算タイトル鍵（ＸＯＲｅｄタイトル鍵）を生成する。タイトル鍵演算部４１１で生成された演算タイトル鍵は、暗号復号部４１３へ渡り、暗号復号部４１３において、記録媒体装置７００と共有した共通鍵で暗号化された後に送信される。

相互認証部４１２は、端末装置６００との間で素因数分解の複雑性を基盤とした鍵交換方式であるＤｉｆｉｅｅ−Ｈｅｌｌｍａｎ方式や、楕円曲線上の離散対数問題を基盤とした鍵交換方式であるＥＣ−ＤＨ（Ｅｌｉｐｔｉｃ Ｃｕｒｖｅ Ｄｉｆｉｅｅ−Ｈｅｌｌｍａｎ）方式などを用いて相互認証を行い、共通鍵を共有し合う。また、同様に、相互認証部４１２は、記録媒体装置７００と相互認証を行い、記録媒体装置７００との間で共通鍵を共有し合う。

暗号復号部４１３は、端末装置６００と共有した共通鍵を用いて、端末装置６００との間で送受信されるデータを暗号化したり復号したりする。また、暗号復号部４１３は、記録媒体装置７００と共有した共通鍵を用いて、タイトル鍵演算部４１１により生成された演算タイトル鍵を暗号化し、記録媒体装置７００に送信する。

記録媒体装置ＩＤ受信部４１４は、端末装置６００から暗号復号部４１３を経由して、コンテンツの書き込み先である記録媒体装置を識別するための記録媒体装置ＩＤを受信する。なお、「暗号復号部４１３を経由して」とは、暗号復号部４１３が、共通鍵で暗号化された記録媒体装置ＩＤを受信し、記録媒体装置ＩＤ受信部４１４へ出力する前に、暗号化された記録媒体装置ＩＤを、共通鍵を用いて復号することを意味する。

ＭＡＣ演算部４１５は、タイトル鍵・コンテンツ識別情報受信部４０５が受信したタイトル鍵と、記録媒体装置ＩＤ受信部４１４が受信した記録媒体装置ＩＤとから、ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を演算する。一例として、ＭＡＣ演算部４１５は、タイトル鍵を認証メッセージとし、記録媒体装置ＩＤを鍵として用い、ＭＡＣ生成アルゴリズムを施すことにより、タイトル鍵の完全性を検証するためのＭＡＣを生成する。ＭＡＣ演算部４１５は、生成したＭＡＣを端末装置６００へ送信する。

本実施の形態では、ＭＡＣは、記録媒体装置７００に記録されるコンテンツ及びタイトル鍵を記録媒体装置７００に関連付けるため（メディアバインド）の情報として用いられる。すなわち、記録媒体装置７００に、タイトル鍵と記録媒体装置ＩＤとから生成されたＭＡＣを書き込むことにより、コンテンツの再生時にＭＡＣを検証することで、再生しようとしているコンテンツが記録媒体装置７００に正規に記録されたものであるか否かを判定することができる。記録媒体装置ＩＤが異なる他の記録媒体装置にコンテンツを不正コピーした場合には、端末装置６００は、コンテンツの再生時にＭＡＣの検証に失敗し、不正コピーされたコンテンツを再生できない仕組みとなっている。

＜５−２．相互認証処理の動作＞
ここでは、図１５及び図１６のフローチャートを用いて、相互認証部４１２が実行する相互認証処理の一例について説明する。ここでは、一例として、鍵配信装置４００及び記録媒体装置７００間で実行される相互認証処理について説明する。

鍵配信装置４００の相互認証部４１２は、１６０ビットのランダム値Ｈｎ（Ｈｏｓｔ ｎｏｎｃｅ）を生成する（ステップＳ４１）。なお、ここでは、鍵長が１６０ビットであるのＥＣ−ＤＳＡ（Ｅｌｉｐｔｉｃ Ｃｕｒｖｅ−Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）を用いるため、１６０ビットのランダム値を生成するが、他のアルゴリズムを用いる場合、ここで生成されるランダム値は１６０ビットではないことは言うまでもない。

相互認証部４１２は、ステップＳ４１で生成した１６０ビットのランダム値Ｈｎに、秘密鍵・証明書格納部４０４に格納されている鍵配信装置証明書を連結する。これを、チャレンジデータとして、記録媒体装置７００へ送信する（ステップＳ４２）。なお、図１３では、鍵配信装置証明書を「Ｈｃｅｒｔ（Ｈｏｓｔ Ｃｅｒｔｉｆｉｃａｔｅ）」と記載している。また、「｜｜」はデータの連結を意味する記号である。

記録媒体装置７００は、鍵配信装置４００からチャレンジデータを受信すると、ルート公開鍵を用いて、ステップＳ４２で受信したチャレンジデータに含まれる鍵配信装置証明書Ｈｃｅｒｔの検証処理を行う（ステップＳ４３）。鍵配信装置証明書Ｈｃｅｒｔの検証処理に失敗すると（ステップＳ４４でＮＯ）、記録媒体装置７００は処理を停止する。鍵配信装置証明書Ｈｃｅｒｔの検証処理に成功すると（ステップＳ４４でＹＥＳ）、記録媒体装置７００は、１６０ビットのランダム値Ｍｎ（Ｍｅｄｉａ ｎｏｎｃｅ）を生成する（ステップＳ４５）。

記録媒体装置７００は、ステップＳ４５で生成した１６０ビットのランダム値Ｍｎに、記録媒体装置証明書を連結する。これを、チャレンジデータとして、鍵配信装置４００へ送信する（ステップＳ４６）。なお、図１３では、記録媒体装置証明書を「Ｍｃｅｒｔ（Ｍｅｄｉａ Ｃｅｒｔｉｆｉｃａｔｅ）」と記載している。

鍵配信装置４００は、記録媒体装置７００からチャレンジデータを受信すると、ルート公開鍵を用いて、ステップＳ４６で受信したチャレンジデータに含まれる記録媒体装置証明書Ｍｃｅｒｔの検証処理を行う（ステップＳ４７）。記録媒体装置証明書Ｍｃｅｒｔの検証処理に失敗すると（ステップＳ４８でＮＯ）、鍵配信装置４００は処理を停止する。記録媒体装置証明書Ｍｃｅｒｔの検証処理に成功すると（ステップＳ４８でＹＥＳ）、鍵配信装置４００の相互認証部４１２は、ステップＳ５３へ進む。

記録媒体装置７００は、ステップＳ４６でチャレンジデータを送信した後、１６０ビットのランダム値Ｍｋ（Ｍｅｄｉａ Ｋｅｙ）を生成する（ステップＳ４９）。なお、ＥＣ−ＤＨ以外の他のアルゴリズムを用いる場合には、ステップＳ４９で生成するランダム値は、１６０ビットとは限らない。

記録媒体装置７００は、ステップＳ４９で生成したランダム値Ｍｋに対して、本システムにおいて予め定められている楕円暗号のパラメータであるベースポイントＧを用いて、Ｍｖ＝Ｍｋ・Ｇを計算する（ステップＳ５０）。

さらに、記録媒体装置７００は、ステップＳ４２で受信したチャレンジデータに含まれるＨｎと、ステップＳ５０で算出したＭｖとを連結したデータであるＨｎ｜｜Ｍｖに対して、記録媒体装置秘密鍵（Ｍｐｒｉｖ）を用いてデジタル署名（Ｓｉｇｎ（Ｍｐｒｉｖ，Ｈｎ｜｜Ｍｖ））を生成する（ステップＳ５１）。

記録媒体装置７００は、ステップＳ５０で算出したＭｖと、ステップＳ５１で生成したデジタル署名Ｓｉｇｎ（Ｍｐｒｉｖ，Ｈｎ｜｜Ｍｖ）とを連結したデータをレスポンスデータとして、鍵配信装置４００へ送信する（ステップＳ５２）。

鍵配信装置４００の相互認証部４１２は、記録媒体装置７００からレスポンスデータを受信する。相互認証部４１２は、受信したレスポンスデータに含まれるデジタル署名Ｓｉｇｎ（Ｍｐｒｉｖ，Ｈｎ｜｜Ｍｖ）の検証を行う（ステップＳ５３）。具体的に、相互認証部４１２は、レスポンスデータからＭｖを抽出し、ステップＳ４１で生成したＨｎとＭｖとを連結したデータに、記録媒体装置証明書Ｍｃｅｒｔに含まれる記録媒体装置公開鍵を用いて、デジタル署名を検証する。

デジタル署名の検証に失敗すると（ステップ５４でＮＯ）、鍵配信装置４００は、処理を停止する。デジタル署名の検証に成功すると（ステップＳ５４でＹＥＳ）、相互認証部４１２は、１６０ビットのランダム値Ｈｋ（Ｈｏｓｔ Ｋｅｙ）を生成する（ステップＳ５５）。

相互認証部４１２は、ステップＳ５５で生成したランダム値Ｈｋに対して、本システムにおいて予め定められている楕円暗号のパラメータであるベースポイントＧを用いて、Ｈｖ＝Ｈｋ・Ｇを計算する（ステップＳ５６）。

さらに、相互認証部４１２は、ステップＳ４６で受信したチャレンジデータに含まれるＭｎと、ステップＳ５６で算出したＨｖとを連結したデータであるＭｎ｜｜Ｈｖに対して、鍵配信装置秘密鍵（Ｈｐｒｉｖ）を用いてデジタル署名（Ｓｉｇｎ（Ｈｐｒｉｖ，Ｍｎ｜｜Ｈｖ））を生成する（ステップＳ５７）。

相互認証部４１２は、ステップＳ５６で算出したＨｖと、ステップＳ５７で生成したデジタル署名Ｓｉｇｎ（Ｈｐｒｉｖ，Ｍｎ｜｜Ｈｖ）とを連結したデータをレスポンスデータとして、記録媒体装置７００へ送信する（ステップＳ５８）。

記録媒体装置７００は、鍵配信装置４００からレスポンスデータを受信する。記録媒体装置７００は、受信したレスポンスデータに含まれるデジタル署名Ｓｉｇｎ（Ｈｐｒｉｖ，Ｍｎ｜｜Ｈｖ）の検証を行う（ステップＳ５９）。具体的に、記録媒体装置７００は、レスポンスデータからＨｖを抽出し、ステップＳ４５で生成したＭｎとＨｖとを連結したデータに、鍵配信装置４００の公開鍵証明書Ｈｃｅｒｔに含まれる鍵配信装置公開鍵を用いて、デジタル署名を検証する。

デジタル署名の検証に失敗すると（ステップＳ６０でＮＯ）、記録媒体装置７００は、処理を停止する。デジタル署名の検証に成功すると（ステップＳ６０でＹＥＳ）、記録媒体装置７００は、ステップＳ４９で生成したランダム値Ｍｋと、ステップＳ５８で受信したレスポンスデータに含まれるＨｖとから、ＢＫ＝Ｍｋ・Ｈｖを計算して、共通鍵ＢＫ（Ｂｕｓ Ｋｅｙ）を生成する（ステップＳ６１）。

一方、鍵配信装置４００の相互認証部４１２は、ステップＳ５５で生成したランダム値Ｈｋと、ステップＳ５２で受信したレスポンスデータに含まれるＭｖとから、ＢＫ＝Ｈｋ・Ｍｖを計算して、共通鍵ＢＫを生成する（ステップＳ６２）。

以上の処理を行うことにより、鍵配信装置４００と記録媒体装置７００とは、互いの正当性を確認し、端末装置６００が知り得ない共通鍵ＢＫを共有することが可能となる。そして、鍵配信装置４００と記録媒体装置７００とは、共通鍵ＢＫを用いたセキュアな通信路（セッション）を確立し、通信データを端末装置６００に知られることなく安全に送受信する。

ここでは、鍵配信装置４００及び記録媒体装置７００間で実行される相互認証処理について説明したが、鍵配信装置４００及び端末装置６００間で実行される相互認証処理、並びに、端末装置６００及び記録媒体装置７００間で実行される相互認証処理の手順もこれと同様である。なお、ここで示した相互認証処理の手順は一例であり、他の方式を用いてもよい。

＜５−３．鍵配信処理の動作＞
図１７は、鍵配信装置４００による鍵配信処理の動作を示すフローチャートである。

鍵配信装置４００は、鍵配信処理に先立ち、鍵発行装置１００からルート公開鍵、鍵配信装置秘密鍵、鍵配信装置証明書１２０及び無効化リスト１６０を受信し、格納している。また、鍵配信装置４００は、コンテンツ制作装置２００からＵＲ２１０を受信し、格納している。

以下の処理は、鍵配信装置４００が端末装置６００又は記録媒体装置７００からタイトル鍵の送信要求を受け取った場合に実行される。

タイトル鍵・コンテンツ識別情報受信部４０５は、コンテンツ配信装置３００から、タイトル鍵とコンテンツ識別情報３１１とを受信する（ステップＳ７１）。

コンテンツ識別情報送信部４０６は、ステップＳ７１で受信したコンテンツ識別情報３１１を、署名装置５００へ送信する（ステップＳ７２）。

コンテンツ署名受信部４０８は、署名装置５００から、コンテンツ署名５１０を受信する（ステップＳ７３）。ここで受信するコンテンツ署名５１０は、ステップＳ７２で署名装置５００へ送信したコンテンツ識別情報３１１に対し、署名装置５００による署名データが付与されたデータである。

コンテンツ署名受信部４０８は、ステップＳ７３で受信したコンテンツ署名５１０の検証を行う（ステップＳ７４）。具体的に、コンテンツ署名受信部４０８は、受信したコンテンツ署名５１０に含まれる署名装置証明書１３０から署名装置ＩＤを抽出する。そして、コンテンツ署名受信部４０８は、既に無効化リスト受信部４０９に保持されている無効化リスト１６０を参照し、署名装置ＩＤが無効化リストに記載されているか否か判断する。

署名装置ＩＤが無効化リスト１６０に記載されている場合、即ち、署名装置５００がリボーク対象である場合、コンテンツ署名受信部４０８は、受信したコンテンツ署名を無効と判断し（ステップＳ７４でＮＧ），鍵配信装置４００は、処理を終了する。

署名装置ＩＤが無効化リスト１６０に記載されていない場合、即ち、署名装置５００がリボーク対象でない場合、コンテンツ署名受信部４０８は、受信したコンテンツ署名５１０を有効と判断し（ステップＳ７４でＯＫ）、ＵＲ処理部４１０へ出力し、さらに、端末装置６００へ送信する。

ＵＲ処理部４１０は、ＵＲ受信部４０７が既に受信して保持しているＵＲ２１０と、コンテンツ署名受信部４０８から受け取ったコンテンツ署名５１０とを用いて、処理済みＵＲ４３０を生成する（ステップＳ７５）。

具体的に、ＵＲ処理部４１０は、コンテンツ署名５１０の全体のハッシュ値を計算する。そして、ＵＲ処理部４１０は、コンテンツ署名５１０の署名データ領域５１２に記載されたデータと、署名日時領域５１３に記載されたデータと、計算されたハッシュ値とをＵＲ２１０に追加して、処理済みＵＲ４３０を生成する。

ＵＲ処理部４１０は、生成した処理済みＵＲ４３０を、タイトル鍵演算部４１１へ出力する。

タイトル鍵演算部４１１は、処理済みＵＲ４３０を受け取ると、受け取った処理済みＵＲ４３０のハッシュ値を計算する（ステップＳ７６）。さらに、タイトル鍵演算部４１１は、タイトル鍵・コンテンツ識別情報受信部４０５からタイトル鍵を受け取る。タイトル鍵演算部４１１は、処理済みＵＲ４３０のハッシュ値とタイトル鍵との排他的論理和（ＸＯＲ）を演算して、演算タイトル鍵を生成する（ステップＳ７７）。

相互認証部４１２は、端末装置６００及び記録媒体装置７００のそれぞれと相互認証を行う（ステップＳ７８）。ステップＳ７８の相互認証処理で、相互認証部４１２は、端末装置６００の正当性を確認し、端末装置６００との間で共通鍵ＢＫ１を共有する。同様に、相互認証部４１２は、記録媒体装置７００の正当性を確認し、記録媒体装置７００との間で共通鍵ＢＫ２を共有する。

暗号復号部４１３は、ステップＳ７７で生成された演算タイトル鍵を、共通鍵ＢＫ２で暗号化し、記録媒体装置７００へ送信する（ステップＳ７９）。

続いて、暗号復号部４１３は、端末装置６００から、共通鍵ＢＫ１で暗号化された記録媒体装置ＩＤを受信し（ステップＳ７３）、共通鍵ＢＫ１で復号する（ステップＳ８０）。暗号復号部４１３は、復号した記録媒体装置ＩＤを、記録媒体装置ＩＤ受信部４１４へ出力する。そして、記録媒体装置ＩＤ受信部４１４は、受け取った記録媒体装置ＩＤをＭＡＣ演算部４１５へ出力する。

ＭＡＣ演算部４１５は、タイトル鍵・コンテンツ識別情報受信部４０５からタイトル鍵を受け取る。また、ＭＡＣ演算部４１５は、記録媒体装置ＩＤ受信部４１４から記録媒体装置ＩＤを受け取る。ＭＡＣ演算部４１５は、タイトル鍵と記録媒体装置ＩＤとからＭＡＣを演算する（ステップＳ８１）。ＭＡＣ演算部４１５は、ＭＡＣを端末装置６００へ送信する（ステップＳ８２）。

次に、ＵＲ処理部４１０は、処理済みＵＲ４３０を、端末装置６００へ送信する（ステップＳ８３）。最後に、コンテンツ署名受信部４０８は、コンテンツ署名を端末装置６００へ送信する（ステップＳ８４）。

＜６．署名装置５００＞
ここでは、署名装置５００の詳細について説明する。署名装置５００は、鍵配信装置４００からコンテンツ識別情報を受信し、コンテンツ識別情報に対して正当な署名鍵で署名を施してコンテンツ署名を生成し、生成したコンテンツ署名を鍵配信装置４００に返送するコンテンツ署名生成処理を行う。

＜６−１．署名装置５００の構成＞
図１８は、署名装置５００の機能的な構成を示すブロック図である。図１８に示すように、署名装置５００は、秘密鍵・証明書受信部５０１、秘密鍵・証明書格納部５０２、コンテンツ識別情報受信部５０３、署名部５０４及びコンテンツ署名送信部５０５から構成される。

署名装置５００は、図示されていないプロセッサ、ＲＡＭ、ＲＯＭ、ハードディスクを含む。また、署名装置５００の各機能ブロックは、ハードウェアとして構成されているか、もしくはプロセッサがＲＯＭやハードディスクに記憶されているコンピュータプログラムを実行することで実現される。

秘密鍵・証明書受信部５０１は、鍵発行装置１００から署名装置秘密鍵及び署名装置証明書を受信する。

秘密鍵・証明書格納部５０２は、署名装置秘密鍵及び署名装置証明書を格納する。

コンテンツ識別情報受信部５０３は、鍵配信装置４００からコンテンツ識別情報を受信する。

署名部５０４は、日時を計測している時計を内部に保持している。署名部５０４は、コンテンツ識別情報受信部５０３からコンテンツ識別情報を受け取り、受け取ったコンテンツ識別情報に署名データ等を付加してコンテンツ署名を生成する。署名部５０４は、生成したコンテンツ署名を、コンテンツ署名送信部５０５へ出力する。

コンテンツ署名送信部５０５は、署名部５０４からコンテンツ署名を受け取り、受け取ったコンテンツ署名を、コンテンツ識別情報の送信元である鍵配信装置４００へ送信する。

＜６−２．コンテンツ署名生成処理の動作＞
図１９は、署名装置５００によるコンテンツ署名生成処理の動作を示すフローチャートである。

署名装置５００は、コンテンツ署名生成処理に先立ち、鍵発行装置１００から署名装置秘密鍵及び署名装置証明書１３０を受信し、格納している。

コンテンツ識別情報受信部５０３は、鍵配信装置４００からコンテンツ識別情報３１１を受信する（ステップＳ９１）。

署名部５０４は、コンテンツ識別情報３１１に対し、署名装置秘密鍵を署名鍵として用いて、署名生成アルゴリズムＳを施すことにより、署名データを生成する（ステップＳ９２）。署名生成アルゴリズムＳの一例は、ＤＳＡ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）である。

署名部５０４は、ステップＳ９１で受信したコンテンツ識別情報３１１を、コンテンツ識別情報領域５１１に記載し、ステップＳ９２で生成した署名データを署名データ領域５１２に記載する。

次に、署名装置５００は、内部に保持している時計から現在の日時を取得し、現在の日時を署名日時領域５１３に記載する（ステップＳ９３）。

最後に、署名装置５００は、署名装置証明書領域５１４に署名装置証明書１３０を記載して、コンテンツ署名５１０を生成する（ステップＳ９４）。

コンテンツ署名送信部５０５は、ステップＳ９４で生成されたコンテンツ署名５１０を、鍵配信装置４００へ送信する（ステップＳ９５）。

＜７．端末装置６００＞
ここでは、端末装置６００の詳細について説明する。

端末装置６００は、プロセッサ、ＲＯＭ、ＲＡＭ、ハードディスク、入力デバイスであるキーボード及びマウス、表示デバイスであるモニタ、記録媒体装置７００を挿入するためのカードスロット、ネットワーク接続ユニット等を備えるＰＣである。ＲＯＭ、ＲＡＭ又はハードディスクにはコンピュータプログラムが記録されており、端末装置６００の一部の機能は、プロセッサがコンピュータプログラムを実行することで実現することができる。

端末装置６００は、インターネットやデジタル放送などのネットワークを介して、コンテンツ配信装置３００からコンテンツを受信し、また、鍵配信装置４００からコンテンツ署名、ＵＲ、ＭＡＣ及び演算タイトル鍵を受信する。端末装置６００は、受信したコンテンツ等を記録媒体装置７００に記録するコンテンツ記録処理を行う。

また、端末装置６００は、コンテンツ、コンテンツ署名、ＵＲ、ＭＡＣ及び演算タイトル鍵が記録された記録媒体装置７００から、コンテンツを読み出して再生するコンテンツ再生処理を行う。

＜７−１．端末装置６００の構成＞
図２０及び図２１は、端末装置６００の機能的な構成を示すブロック図である。

ここで、図２０は、端末装置６００がコンテンツ記録処理を行うときの機能的な構成を示す。図２１は、端末装置６００がコンテンツ再生処理を行うときの機能的な構成を示す。

図２０及び図２１に示すように、端末装置６００は、ルート公開鍵格納部６０１、秘密鍵・証明書格納部６０２、コンテンツ受信部６０３、コンテンツ書込部６０４、相互認証部６０５、記録媒体装置ＩＤ取得部６０６、記録媒体装置ＩＤ送信部６０７、暗号復号部６０８、ＭＡＣ・ＵＲ・コンテンツ署名受信部６０９、ＭＡＣ・ＵＲ・コンテンツ署名書込部６１０、演算タイトル鍵伝送部６１１、演算タイトル鍵受信部６２０、ＵＲ読出部６２１、コンテンツ署名読出部６２２、タイトル鍵再演算部６２３、ＭＡＣ読出部６２４、第１再生判断部６２５、無効化リスト受信・格納部６２６、コンテンツ署名検証部６２７、コンテンツ読出部６２８、第２再生判断部６２９、第３再生判断部６３０、コンテンツ復号部６３１及びコンテンツ再生部６３２から構成される。

ルート公開鍵格納部６０１は、鍵発行装置１００により生成されたルート公開鍵を格納する。

秘密鍵・証明書格納部６０２は、鍵発行装置１００により生成された端末装置秘密鍵及び端末装置証明書１４０を格納する。

なお、ルート公開鍵、端末装置秘密鍵及び端末装置証明書１４０は、端末装置６００の製造時に、端末装置６００を製造する装置により端末装置６００に埋め込まれる。

コンテンツ受信部６０３は、コンテンツ配信装置３００からコンテンツを受信する。

コンテンツ書込部６０４は、コンテンツ受信部６０３が受信したコンテンツを記録媒体装置７００の通常領域に書き込む。

相互認証部６０５は、鍵配信装置４００と相互認証を行い、鍵配信装置４００の正当性を確認し、鍵配信装置４００との間で共通鍵ＢＫ１を共有し合う。また、相互認証部６０５は、記録媒体装置７００と相互認証を行い、記録媒体装置７００の正当性を確認し、記録媒体装置７００との間で共通鍵ＢＫ３を共有し合う。相互認証処理については、図１５及び図１６を用いて既に説明したので、ここでは説明を省略する。

記録媒体装置ＩＤ取得部６０６は、コンテンツ記録処理において、相互認証部６０５による相互認証処理の途中で受信する記録媒体装置証明書１５０から、記録媒体装置ＩＤを取得し、取得した記録媒体装置ＩＤを、記録媒体装置ＩＤ送信部６０７へ出力する。

記録媒体装置ＩＤ取得部６０６は、コンテンツ再生処理において、相互認証部６０５による相互認証処理の途中で受信する記録媒体装置証明書１５０から、記録媒体装置ＩＤを取得し、取得した記録媒体装置ＩＤを、第１再生判断部６２５へ出力する。

記録媒体装置ＩＤ送信部６０７は、記録媒体装置ＩＤ取得部６０６から、記録媒体装置ＩＤを受け取り、受け取った記録媒体装置ＩＤを、暗号復号部６０８を経由して、鍵配信装置４００へ送信する。

暗号復号部６０８は、鍵配信装置４００と共有した共通鍵ＢＫ１を用いて、鍵配信装置４００との間で送受信されるデータを暗号化したり復号したりする。同様に、暗号復号部６０８は、記録媒体装置７００と共有した共通鍵ＢＫ３を用いて、記録媒体装置７００との間で送受信されるデータを暗号化したり復号したりする。

ＭＡＣ・ＵＲ・コンテンツ署名受信部６０９は、鍵配信装置４００からＭＡＣ、処理済みＵＲ４３０及びコンテンツ署名５１０を受信する。ここで受信するＭＡＣは、コンテンツ書込部６０４が記録媒体装置７００に書き込んだコンテンツの暗号化に用いられたタイトル鍵と、記録媒体装置ＩＤ送信部６０７が鍵配信装置４００へ送信した記録媒体装置ＩＤとから演算されたＭＡＣである。ＭＡＣ・ＵＲ・コンテンツ署名受信部６０９は、受信したＭＡＣ、処理済みＵＲ４３０及びコンテンツ署名５１０を、ＭＡＣ・ＵＲ・コンテンツ署名書込部６１０へ出力する。

ＭＡＣ・ＵＲ・コンテンツ署名書込部６１０は、ＭＡＣ・ＵＲ・コンテンツ署名受信部６０９からＭＡＣ、処理済みＵＲ４３０及びコンテンツ署名５１０を受け取り、受け取ったＭＡＣ、処理済みＵＲ４３０及びコンテンツ署名５１０を、記録媒体装置７００の通常領域に書き込む。

演算タイトル鍵伝送部６１１は、鍵配信装置４００と記録媒体装置７００との間で送受信される通信データを伝送する。ここで伝送される通信データは、具体的には、鍵配信装置４００と記録媒体装置７００とが相互認証で共有した共通鍵ＢＫ２を用いて暗号化された暗号化演算タイトル鍵である。

鍵配信装置４００と記録媒体装置７００とが相互認証を経てセッションを確立すると、演算タイトル鍵伝送部６１１は、セッション上で送信されてきた通信データについては、通信の開始や通信の終了などを通知する制御データを除き、その内容を判断したり、データを変更したりすることなく単に伝送のみを行う。また、端末装置６００は、配信装置４００と記録媒体装置７００とが共有した共通鍵ＢＫ２の値を知らないので、暗号化演算タイトル鍵を復号することはできない。

演算タイトル鍵受信部６２０は、コンテンツの再生処理時に、再生対象であるコンテンツの暗号化に用いられたタイトル鍵から生成された演算タイトル鍵を、記録媒体装置７００から暗号復号部６０８を経由して受信する。演算タイトル鍵受信部６２０は、受信した演算タイトル鍵を、タイトル鍵再演算部６２３へ出力する。

ＵＲ読出部６２１は、再生対象であるコンテンツに対応する処理済みＵＲ４３０を記録媒体装置７００から読み出す。ＵＲ読出部６２１は、読み出した処理済みＵＲ４３０を、タイトル鍵再演算部６２３、コンテンツ署名検証部６２７及び第３再生判断部６３０へ出力する。

コンテンツ署名読出部６２２は、再生対象であるコンテンツに対応するコンテンツ署名５１０を記録媒体装置７００から読み出す。コンテンツ署名読出部６２２は、読み出したコンテンツ署名５１０を、タイトル鍵再演算部６２３、コンテンツ署名検証部６２７、第２再生判断部６２９及び第３再生判断部６３０へ出力する。

タイトル鍵再演算部６２３は、ＵＲ読出部６２１から処理済みＵＲ４３０を受け取り、演算タイトル鍵受信部６２０から演算タイトル鍵を受け取り、コンテンツ署名読出部６２２からコンテンツ署名５１０を受け取る。タイトル鍵再演算部６２３は、これらの情報を用いた演算を実行し、タイトル鍵を生成する。タイトル鍵再演算部６２３は、生成したタイトル鍵を、第１再生判断部６２５及びコンテンツ復号部６３１へ出力する。

なお、タイトル鍵再演算部６２３が実行する演算は、鍵配信装置４００のタイトル鍵演算部４１１が実行する演算の逆演算に相当する。そのため、処理済みＵＲ４３０及びコンテンツ署名５１０が正当なものであれば、タイトル鍵再演算部６２３は、タイトル鍵演算部４１１が生成したタイトル鍵を復元することができる。

ＭＡＣ読出部６２４は、記録媒体装置７００から、再生対象であるコンテンツに対応するＭＡＣを読み出す。ＭＡＣ読出部６２４は、読み出したＭＡＣを、第１再生判断部６２５へ出力する。

第１再生判断部６２５は、タイトル鍵再演算部６２３からタイトル鍵を受け取り、記録媒体装置ＩＤ取得部６０６から記録媒体装置ＩＤを受け取り、ＭＡＣ読出部６２４から、ＭＡＣを受け取る。第１再生判断部６２５は、受け取ったタイトル鍵と記録媒体識別ＩＤとからＭＡＣを演算する。そして、第１再生判断部６２５は、演算されたＭＡＣと、ＭＡＣ読出部６２４が記録媒体装置７００から読み出したＭＡＣとが一致するか否か判断する。両ＭＡＣが一致しない場合、第１再生判断部６２５は、コンテンツ復号部６３１へ復号中止の指示を出力する。

無効化リスト受信・格納部６２６は、鍵発行装置１００から無効化リスト１６０を受信し、内部に格納する。

コンテンツ署名検証部６２７は、無効化リスト１６０を参照し、コンテンツ署名読出部６２２から受け取ったコンテンツ署名を生成した署名装置５００がリボーク対象であるか否か確認する。署名装置５００がリボーク対象である場合、コンテンツ署名検証部６２７は、コンテンツ復号部６３１へ復号中止の指示を出力する。

また、コンテンツ署名検証部６２７は、ＵＲ読出部６２１から受け取った処理済みＵＲ４３０の署名データ領域４３１に記載されている署名データが、コンテンツ署名５１０の署名データ領域５１２に記載されている署名データと一致するか否か確認する。一致しない場合、コンテンツ署名検証部６２７は、コンテンツ復号部６３１へ復号中止の指示を出力する。

コンテンツ読出部６２８は、記録媒体装置７００から再生対象であるコンテンツを読み出す。コンテンツ読出部６２８は、読み出したコンテンツを、第２再生判断部６２９及びコンテンツ復号部６３１へ出力する。

第２再生判断部６２９は、コンテンツ署名読出部６２２からコンテンツ署名５１０を受け取り、コンテンツ読出部６２８からコンテンツを受け取る。第２再生判断部６２９は、コンテンツ署名５１０を用いて、コンテンツの正当性を確認する。コンテンツが不正であると判断されると、第２再生判断部６２９は、コンテンツ復号部６３１へ復号中止の指示を出力する。

第３再生判断部６３０は、ＵＲ読出部６２１から処理済みＵＲ４３０を受け取り、コンテンツ署名読出部６２２からコンテンツ署名５１０を受け取る。第３再生判断部６３０は、コンテンツ署名５１０全体のハッシュ値を計算し、計算されたハッシュ値と、処理済みＵＲ４３０のコンテンツ署名ハッシュ値領域４３３に記載されたハッシュ値とが一致するか確認する。ハッシュ値が一致しない場合、第３再生判断部６３０は、コンテンツ復号部６３１へ復号中止の指示を出力する。

コンテンツ復号部６３１は、タイトル鍵再演算部６２３から、タイトル鍵再演算部６２３により復元されたタイトル鍵を受け取り、コンテンツ読出部６２８からコンテンツを受け取る。コンテンツ復号部６３１は、タイトル鍵を復号鍵として用い、コンテンツに復号アルゴリズムＤを施して、コンテンツを復号する。復号アルゴリズムＤは、暗号化アルゴリズムＥにより暗号化された暗号文を平文に復号するアルゴリズムである。コンテンツ復号部６３１は、復号されたコンテンツをコンテンツ再生部６３２へ出力する。

なお、コンテンツ復号部６３１は、第１再生判断部６２５、コンテンツ署名検証部６２７、第２再生判断部６２９又は第３再生判断部６３０から復号中止を示す信号を受け取った場合には、コンテンツの復号を中止する。

コンテンツ再生部６３２は、コンテンツ復号部６３１から復号されたコンテンツを受け取りデコードする。そして、コンテンツ再生部６３２は、図示していない表示デバイスへ、デコードされたコンテンツを出力する。

＜７−２．コンテンツ記録処理の動作＞
図２２は、端末装置６００によるコンテンツ記録処理の動作を示すフローチャートである。

なお、端末装置６００には予め、ルート公開鍵、端末装置秘密鍵及び端末装置証明書１４０が格納されている。

相互認証部６０５は、記録媒体装置７００と相互認証を行い、記録媒体装置７００の正当性を確認する。記録媒体装置ＩＤ取得部６０６は、相互認証処理の途中で受信した記録媒体装置証明書１５０から、記録媒体装置ＩＤを取得する（ステップＳ１０１）。

コンテンツ受信部６０３は、コンテンツ配信装置３００からコンテンツを受信する（ステップＳ１０２）。コンテンツ書込部６０４は、ステップＳ１０２で受信されたコンテンツを、記録媒体装置７００に書き込む（ステップＳ１０３）。

続いて、相互認証部６０５は、鍵配信装置４００と相互認証を行い、鍵配信装置４００の正当性を確認し、鍵配信装置４００との間で共通鍵ＢＫ１を共有する（ステップＳ１０４）。暗号復号部６０８は、ステップＳ１０１で取得した記録媒体装置ＩＤを、共通鍵ＢＫ１で暗号化し、鍵配信装置４００へ送信する（ステップＳ１０５）。

次に、ＭＡＣ・ＵＲ・コンテンツ署名受信部６０９は、鍵配信装置４００からＭＡＣを受信し（ステップＳ１０６）、ＭＡＣ・ＵＲ・コンテンツ署名書込部６１０は、受信したＭＡＣを、記録媒体装置７００に書き込む（ステップＳ１０７）。

また、ＭＡＣ・ＵＲ・コンテンツ署名受信部６０９は、鍵配信装置４００から処理済みＵＲ４３０を受信し（ステップＳ１０８）、ＭＡＣ・ＵＲ・コンテンツ署名書込部６１０は、受信した処理済みＵＲ４３０を、記録媒体装置７００に書き込む（ステップＳ１０９）。

また、ＭＡＣ・ＵＲ・コンテンツ署名受信部６０９は、鍵配信装置４００からコンテンツ署名５１０を受信し（ステップＳ１１０）、ＭＡＣ・ＵＲ・コンテンツ署名書込部６１０は、受信したコンテンツ署名５１０を、記録媒体装置７００に書き込む（ステップＳ１１１）。

続いて、演算タイトル鍵伝送部６１１は、鍵配信装置４００から受信した演算タイトル鍵を、記録媒体装置７００へ伝送する（ステップＳ１１２）。なお、ステップＳ１１２で伝送される演算タイトル鍵は、端末装置６００が知り得ない、鍵配信装置４００及び記録媒体装置７００間で共有された共通鍵ＢＫ３で暗号化されている。

＜７−３．コンテンツ再生処理の動作＞
図２３は、端末装置６００によるコンテンツ再生処理の動作を示すフローチャートである。なお、記録媒体装置７００は、上述したコンテンツ記録処理を経て、コンテンツ、演算タイトル鍵、ＭＡＣ、処理済みＵＲ、コンテンツ署名等を既に格納していることとする。

相互認証部６０５は、記録媒体装置７００との間で相互認証処理を行い、共通鍵ＢＫ３を生成する。また、記録媒体装置ＩＤ取得部６０６は、相互認証処理の途中で受信した記録媒体装置証明書１５０から、記録媒体装置ＩＤを取得する（ステップＳ２０１）。記録媒体装置ＩＤ取得部６０６は、取得した記録媒体装置ＩＤを、第１再生判断部６２５へ出力する。

続いて、暗号復号部６０８は、記録媒体装置７００から、共通鍵ＢＫ３で暗号化された演算タイトル鍵を受信し、共通鍵ＢＫ３を用いて復号する（ステップＳ２０２）。暗号復号部６０８は、復号された演算タイトル鍵を、演算タイトル鍵受信部６２０へ出力する。演算タイトル鍵受信部６２０は、演算タイトル鍵を受け取り、タイトル鍵再演算部６２３へ出力する。

次に、ＵＲ読出部６２１は、記録媒体装置７００から処理済みＵＲ４３０を読み出し、読み出した処理済みＵＲ４３０を、タイトル鍵再演算部６２３及び第３再生判断部６３０へ出力する。コンテンツ署名読出部６２２は、記録媒体装置７００からコンテンツ署名５１０を読み出して、読み出したコンテンツ署名５１０を、タイトル鍵再演算部６２３、コンテンツ署名検証部６２７、第２再生判断部６２９及び第３再生判断部６３０へ出力する。ＭＡＣ読出部６２４は、記録媒体装置７００からＭＡＣを読み出し、読み出したＭＡＣを、第１再生判断部６２５へ出力する（ステップＳ２０３）。

タイトル鍵再演算部６２３は、処理済みＵＲ４３０のハッシュ値を計算する（ステップＳ２０５）。そして、タイトル鍵再演算部６２３は、処理済みＵＲ４３０のハッシュ値と演算タイトル鍵とから排他的論理和（ＸＯＲ）の演算を行い、タイトル鍵を算出する（ステップＳ２０６）。タイトル鍵再演算部６２３は、算出したタイトル鍵を、第１再生判断部６２５及びコンテンツ復号部６３１へ出力する。

続いて、第１再生判断部６２５は、タイトル鍵と記録媒体装置ＩＤとからＭＡＣを算出する（ステップＳ２０７）。第１再生判断部６２５は、ステップＳ２０７で算出されたＭＡＣと、ステップＳ２０３で記録媒体装置７００から読み出されたＭＡＣとが一致するか否か判断する。

両ＭＡＣが一致しない場合（ステップＳ２０８でＮＯ）、第１再生判断部６２５は、コンテンツ復号部６３１へ復号中止の指示を出力する。そして、端末装置６００は、コンテンツ再生処理を終了する。

両ＭＡＣが一致する場合（ステップＳ２０８でＹＥＳ）、コンテンツ署名検証部６２７は、コンテンツ署名５１０の署名装置証明書領域５１４に記載されている署名装置証明書１３０から、署名装置ＩＤを抽出する（ステップＳ２０９）。コンテンツ署名検証部６２７は、無効化リスト受信・格納部６２６に格納されている無効化リスト１６０に、ステップＳ２０９で抽出した署名装置ＩＤが記載されているか否か確認する（ステップＳ２１０）。

無効化リスト１６０に署名装置ＩＤが記載されていない場合（ステップＳ２１１でＮＯ）、ステップＳ２１５へ進む。無効化リスト１６０に署名装置ＩＤが記載されている場合（ステップＳ２１１でＹＥＳ）、コンテンツ署名検証部６２７は、コンテンツ署名５１０の署名日時領域５１３から、署名日時を抽出する（ステップＳ２１２）。コンテンツ署名検証部６２７は、無効化リスト１６０内で署名装置ＩＤと対応付けて記載されているリボーク日時を確認する（ステップＳ２１３）。

リボーク日時が署名日時よりも古い場合（ステップＳ２１４でＹＥＳ）、コンテンツ署名検証部６２７は、コンテンツ復号部６３１へ復号中止の指示を出力する。そして、端末装置６００は、コンテンツ再生処理を終了する。なお、本実施形態では、リボーク日時と署名日時とが同一の場合にも、コンテンツ署名検証部６２７は、コンテンツ復号部６３１へ復号中止の指示を出力することとする。

リボーク日時が署名日時よりも新しい場合（ステップＳ２１４でＮＯ）、コンテンツ読出部６２８は、記録媒体装置７００からコンテンツを読み出す（ステップＳ２１５）。コンテンツ読出部６２８は、読み出したコンテンツを、第２再生判断部６２９及びコンテンツ復号部６３１へ出力する。

第２再生判断部６２９は、コンテンツ読出部６２８から受け取ったコンテンツを、Ｎ個の部分コンテンツに分割する。そして、任意の７個の部分コンテンツを選択し、選択した部分コンテンツのハッシュ値を計算する。

第２再生判断部６２９は、コンテンツ署名読出部６２２から受け取ったコンテンツ署名５１０に含まれるコンテンツ識別情報（ハッシュテーブル）３１１から、選択した７個の部分コンテンツに対応するハッシュ値を読み出す。そして、計算されたハッシュ値と、コンテンツ識別情報３１１から読み出したハッシュ値とを比較することにより、記録媒体装置７００から読み出したコンテンツが正当なコンテンツであるか検証する（ステップＳ２１６）。

７個のハッシュ値のうち少なくとも１個が一致しない場合（ステップＳ２１７でＮＧ）、第２再生判断部６２９は、コンテンツ復号部６３１へ復号中止の指示を出力する。そして、端末装置６００は、コンテンツ再生処理を終了する。

７個のハッシュ値すべてが一致する場合（ステップＳ２１７でＯＫ）、第２再生判断部６２９は、記録媒体装置７００から読み出したコンテンツから算出された７個のハッシュ値以外のハッシュ値（Ｎ−７個のハッシュ値）を、コンテンツ識別情報３１１から読み出す。第２再生判断部６２９は、コンテンツ識別情報３１１から読み出したＮ−７個のハッシュ値と、コンテンツから算出された７個のハッシュ値とを組み合わせて検証用ハッシュテーブルを生成する。

第２再生判断部６２９は、コンテンツ署名５１０の署名装置証明書領域５１４から署名装置公開鍵を抽出する。第２再生判断部６２９は、署名装置公開鍵を検証鍵として用い、検証用ハッシュテーブルに署名検証アルゴリズムＶを施すことにより、検証データを生成する。署名検証アルゴリズムＶは、署名生成アルゴリズムＳにより生成された署名データを検証するアルゴリズムである。

第２再生判断部６２９は、生成された検証データがコンテンツ署名５１０の署名データ領域５１２に記載されている署名データと一致するか確認する（ステップＳ２１８）。

検証データと署名データとが一致しない場合（ステップＳ２１９でＮＧ）、第２再生判断部６２９は、コンテンツ復号部６３１へ復号中止の指示を出力する。そして、端末装置６００は、コンテンツ再生処理を終了する。

検証データと署名データとが一致する場合（ステップＳ２１９でＯＫ）、第３再生判断部６３０は、記録媒体装置７００から読み出した処理済みＵＲ４３０が、正規のコンテンツ署名５１０を用いて加工されたものであるか否かを確認する。

具体的に、第３再生判断部６３０は、コンテンツ署名５１０のハッシュ値を計算し（ステップＳ２２０）、計算されたハッシュ値と、処理済みＵＲ４３０のコンテンツ署名ハッシュ値領域４３３に記載されたハッシュ値とを比較する（ステップＳ２２１）。

ハッシュ値が一致しない場合（ステップＳ２２２でＮＯ）、第３再生判断部６３０は、コンテンツ復号部６３１へ復号中止の指示を出力する。そして、端末装置６００は、コンテンツ再生処理を終了する。

ハッシュ値が一致する場合（ステップＳ２２２でＹＥＳ）、コンテンツ復号部６３１は、タイトル鍵を復号鍵として用い、コンテンツに復号アルゴリズムＤを施して、コンテンツを復号する（ステップＳ２２３）。

コンテンツ再生部６３２は、コンテンツをデコードして表示デバイスに出力する（ステップＳ２２４）。

＜８．記録媒体装置７００＞
ここでは、記録媒体装置７００の詳細について説明する。記録媒体装置７００は、端末装置６００に装着して用いるＳＤメモリカードである。

＜８−１．記録媒体装置７００の構成＞
図２５は、記録媒体装置７００の機能的な構成を示すブロック図である。

図２５に示すように、記録媒体装置７００は、コントローラ７０１と記憶部７０２とから構成される。

コントローラ７０１は、コントローラ製造業者により製造されたＬＳＩデバイスであり、内部処理はセキュアに守られ、外部から情報を読み出すことができない。

記憶部７０２は、フラッシュ製造業者により製造されたフラッシュメモリである。記憶部７０２へのデータの書き込み、及び、記憶部７０２からのデータの読み出しは、コントローラ７０１を介して行われる。具体的に、記憶部７０２は、システム領域７０６、認証領域７０７及び通常領域７０８を含む。システム領域７０６は、コントローラ７０１のみからアクセス（データの読み出し及び書き込み）が可能であり、コントローラ７０１の外部からはアクセスが不可能な領域である。認証領域７０７は、アクセスするためにはコントローラ７０１を介した認証処理が必要な領域である。通常領域７０８は、認証処理を必要とせず、コントローラ７０１を介して外部から自由にアクセスが可能な領域である。

コントローラ７０１は、相互認証部７０３、暗号復号部７０４及び読出書込部７０５を含む。

相互認証部７０３は、鍵配信装置４００との間で相互認証を行い、共通鍵ＢＫ２を共有し合う。また、相互認証部７０３は、端末装置６００との間で相互認証を行い、共通鍵ＢＫ３を共有し合う。相互認証処理及び鍵交換処理については、図１５及び図１６を用いて既に説明したので、ここでは説明は省略する。

暗号復号部７０４は、鍵配信装置４００と共有した共通鍵ＢＫ２を用いて、鍵配信装置４００との間で送受信されるデータを暗号化したり復号したりする。同様に、暗号復号部７０４は、端末装置６００と共有した共通鍵ＢＫ３を用いて、端末装置６００との間で送受信されるデータを暗号化したり復号したりする。

具体的に、コンテンツの記録時において、暗号復号部７０４は、鍵配信装置４００から送信された暗号化演算タイトル鍵を、端末装置６００の演算タイトル鍵伝送部６１１を介して受信する。そして、暗号復号部７０４は、受信した暗号化演算タイトル鍵を復号して、記憶部７０２に書き込む。

また、コンテンツの再生時において、暗号復号部７０４は、記憶部７０２に格納されている演算タイトル鍵を読み出して暗号化し、端末装置６００へ送信する。

読出書込部７０５は、通常領域７０８からのデータの読み出し、及び、通常領域７０８へのデータの書き込みを行う。

システム領域７０６は、秘密鍵・証明書格納部７１１及びルート公開鍵格納部７１２を含む。

秘密鍵・証明書格納部７１１は、鍵発行装置１００により生成された記録媒体装置秘密鍵及び記録媒体装置証明書１５０を格納している。

ルート公開鍵格納部７１２は、鍵発行装置１００により生成されたルート公開鍵を格納している。

なお、ルート公開鍵、記録媒体装置秘密鍵及び記録媒体装置証明書は、記録媒体装置７００の製造時に、記録媒体装置７００を製造する装置により記憶部７０２に埋め込まれる。

認証領域７０７は、演算タイトル鍵格納部７１３を含み、内部に演算タイトル鍵を格納する。上述したように、認証領域７０７にアクセスするためには、コントローラ７０１による認証処理が必要である。そのため、演算タイトル鍵の書き込み及び読み出しは、必ず、相互認証部７０３及び暗号復号部７０４を介して行われる。

通常領域７０８は、コンテンツ格納部７１４、コンテンツ署名格納部７１５、ＵＲ格納部７１６及びＭＡＣ格納部７１７を含む。

コンテンツ格納部７１４は、コンテンツを格納する。コンテンツ署名格納部７１５は、コンテンツ署名５１０を格納する。ＵＲ格納部７１６は、処理済みＵＲ４３０を格納する。ＭＡＣ格納部７１７は、ＭＡＣを格納する。

なお、コンテンツ、コンテンツ署名５１０、処理済みＵＲ４３０及びＭＡＣは、コンテンツの記録時に、読出書込部７０５が端末装置６００から受信し、読出書込部７０５により、それぞれ、コンテンツ格納部７１４、コンテンツ署名格納部７１５、ＵＲ格納部７１６及びＭＡＣ格納部７１７に書き込まれる。

また、コンテンツ、コンテンツ署名５１０、処理済みＵＲ４３０及びＭＡＣは、コンテンツの再生時に、端末装置６００からの読み出し要求を受けて、読出書込部７０５により、それぞれ、コンテンツ格納部７１４、コンテンツ署名格納部７１５、ＵＲ格納部７１６及びＭＡＣ格納部７１７から読み出される。そして、端末装置６００へ送信される。

＜９．変形例＞
以上、本発明の実施の形態を説明したが、例示したコンテンツ配信システムを以下のように変形することも可能であり、本発明が上記の実施の形態で示した通りのコンテンツ配信システムに限られないことは勿論である。

（１）上記の実施の形態では、鍵配信装置４００と署名装置５００とは、２つの独立した装置であったが、一つの装置で実現してもよい。

（２）上記の実施形態では、コンテンツ制作装置２００とコンテンツ配信装置３００とは、２つの独立した装置であったが、一つの装置で実現してもよい。

また、図９に示したコンテンツ配信装置３００に含まれるタイトル鍵生成部３０２、暗号部３０３、コンテンツ識別情報生成部３０５及びタイトル鍵・コンテンツ識別情報送信部３０６は、コンテンツ配信装置３００ではなく、コンテンツ制作装置２００に含まれ、これらの機能ブロックによる機能がコンテンツ制作装置２００より実現される構成でもよい。

（３）上記の実施の形態では、記録媒体装置７００としてＳＤメモリカードを具体例に用いて説明した。しかし、記録媒体装置７００は、ＳＤメモリカードに限定されない。記録媒体装置７００は、ＨＤＤのようなストレージデバイスと制御ＬＳＩとから構成されるデバイスでもよい。また、記録媒体装置７００は、ＳＤメモリカードのような脱着式のデバイスに限定されない。携帯電話機、ｅＢｏｏｋ、ＮｅｔＢｏｏｋなどに内蔵された内蔵型メモリと制御ＬＳＩとから構成されるデバイスでもよい。

（４）また、上記の実施形態では、端末装置６００としてＰＣを具体例に用いて説明した。しかし、端末装置６００は、ＰＣに限定されない。例えば、端末装置６００は、スマートフォン、タブレット端末などの携帯端末でもよい。また、端末装置６００は、コンビニエンスストアなどの店舗に設置された所謂ＫＩＯＳＫ端末でもよい。また、端末装置６００は、デジタルテレビ放送を受信する受信装置でもよい。端末装置６００は、少なくともインターネットやテレビ放送網などのネットワークに接続可能な機器であり、ネットワークを介してコンテンツ、タイトル鍵、コンテンツ署名、ＵＲ等を取得し、記録媒体装置７００に記録する機能を有していればよい。

（５）上記の実施の形態では、端末装置６００は、記録媒体装置７００と相互認証を行う途中で、記録媒体装置ＩＤを取得する構成を有していた。しかし、記録媒体装置ＩＤの取得方法はこれに限定されない。

例えば、記録媒体装置７００の認証領域７０７に記録媒体装置７００を一意に識別するための記録媒体装置ＩＤが格納されていてもよい。この場合、端末装置６００は、記録媒体装置７００と相互認証を行い、共通鍵ＢＫ３を共有した後に、記録媒体装置７００から、記録媒体装置ＩＤが共通鍵ＢＫ３で暗号化された暗号化記録媒体装置ＩＤを受信する。端末装置６００は、受信した暗号化記録媒体装置ＩＤを、共通鍵ＢＫ３で復号し、記録媒体装置ＩＤを取得する構成でもよい。

（６）上記の実施の形態で説明した相互認証処理に、以下の処理を追加してもよい。

鍵配信装置４００、端末装置６００及び記録媒体装置７００は、予め、鍵発行装置１００から、秘密鍵が暴露された装置（リボークされた装置）の装置ＩＤが記載された無効化リスト１６０を取得しておく。そして、各装置は、相互認証処理の途中で受信する相手方装置の公開鍵証明書から装置ＩＤを抽出し、抽出した装置ＩＤが、無効化リストに記載されているか否か判断する。公開鍵証明書から抽出した装置ＩＤが、無効化リストに記載されている場合、すなわち、相手方装置がリボークされている場合には、相互認証処理を中断する。

（７）上記の端末装置６００の変形例である検証装置１６００について、図２６を用いて説明する。図２６に示すように、検証装置１６００は、ルート公開鍵格納部６０１、秘密鍵・証明書格納部６０２、相互認証部６０５、記録媒体装置ＩＤ取得部６０６、暗号復号部６０８、演算タイトル鍵受信部６２０、ＵＲ読出部６２１、コンテンツ署名読出部６２２、タイトル鍵再演算部６２３、ＭＡＣ読出部６２４、第１判断部１６２５、無効化リスト受信・格納部６２６、コンテンツ署名検証部６２７及び第３判断部１６３０から構成される。ここで、端末装置６００に含まれる構成要素と同一の機能を有する構成要素については、図２０及び図２１に示した符号と同一の符号を付している。

検証装置１６００は、コンテンツの復号及びコンテンツの再生に関する機能を有していない。

第１判断部１６２５は、第１再生判断部６２５と同様に、タイトル鍵再演算部６２３からタイトル鍵を受け取り、記録媒体装置ＩＤ取得部６０６から記録媒体装置ＩＤを受け取り、ＭＡＣ読出部６２４から、ＭＡＣを受け取る。第１判断部１６２５は、受け取ったタイトル鍵と記録媒体識別ＩＤとからＭＡＣを演算する。そして、第１判断部１６２５は、演算されたＭＡＣと、ＭＡＣ読出部６２４が記録媒体装置７００から読み出したＭＡＣとが一致するか否か判断する。第１判断部１６２５は、判断結果を出力する。

第３判断部１６３０は、第３再生判断部６３０と同様に、ＵＲ読出部６２１から処理済みＵＲ４３０を受け取り、コンテンツ署名読出部６２２からコンテンツ署名を受け取る。第３判断部１６３０は、コンテンツ署名全体のハッシュ値を計算し、計算されたハッシュ値と、処理済みＵＲ４３０のコンテンツ署名ハッシュ値領域に記載されたハッシュ値とが一致するか否か判断する。第３判断部１６３０は、判断結果を出力する。

このように、コンテンツの復号及びコンテンツの再生に関する機能を有していない検証装置１６００も、本発明の一態様に含まれる。

また、本発明の一態様である検証装置は、記録媒体装置から、暗号化コンテンツとコンテンツ署名とを読み出し、前記記録媒体装置の保護された領域から、正規の署名装置により生成されたコンテンツ署名を用いてタイトル鍵を変換した変換タイトル鍵を読み出す読出部と、読出部が読み出した前記コンテンツ署名と、前記変換タイトル鍵の生成に用いられた前記正規の署名装置により生成された前記コンテンツ署名とが一致するか否か判断するコンテンツ署名検証部とを備えるように構成してもよい。

ここで、前記検証装置の前記コンテンツ署名検証部は、判断結果を外部へ出力してもよい。そして、前記検証装置は、前記コンテンツ署名検証部から出力された前記判断結果を受信し、受信した判断結果に応じて処理を行う制御装置と接続されていてもよい。具体的には、前記制御装置は、受信した判断結果に応じて、暗号化コンテンツの復号や暗号化コンテンツのムーブなどを行う。すなわち、コンテンツ署名が不一致の場合、前記制御装置は、暗号化コンテンツの復号や暗号化コンテンツのムーブなどを行わず、コンテンツ署名が一致する場合にのみ、暗号化コンテンツの復号や暗号化コンテンツのムーブなどを行う。

（８）上記の実施の形態における鍵配信装置４００のコンテンツ署名受信部４０８は、署名装置５００から受信したコンテンツ署名５１０の検証を、以下のように行ってもよい。

コンテンツ署名受信部４０８は、無効化リスト受信部４０９に保持されている無効化リスト１６０を参照し、署名装置ＩＤが無効化リストに記載されているか否か判断する。署名装置ＩＤが無効化リスト１６０に記載されている場合、コンテンツ署名受信部４０８は、コンテンツ署名５１０に記載されている署名日時と、無効化リストに記載されているリボーク日時とを比較する。コンテンツ署名５１０に記載されている署名日時が、無効化リスト１６０に記載されているリボーク日時がよりも新しい場合は、コンテンツ署名受信部４０８は、コンテンツ署名５１０を無効であると判断する。

コンテンツ署名５１０に記載されている署名日時が無効化リスト１６０に記載されているリボーク日時よりも古い場合、コンテンツ署名受信部４０８は、更に、コンテンツ署名５１０の署名日時が、コンテンツ署名５１０を受信した日時から大幅にずれていないか確認する。

一例として、署名日時と現在日時との間に４８時間以上の開きがないか確認する。確認の結果、署名日時と現在日時との間に４８時間以上の開きがある場合、コンテンツ署名受信部４０８は、受信したコンテンツ署名５１０を無効であると判断する。

（９）上記の実施の形態では、ＵＲ処理部４１０は、コンテンツ署名受信部４０８が受信したコンテンツ署名５１０のハッシュ値を計算し、ＵＲ受信部４０７が受信したＵＲ２１０に、コンテンツ署名５１０のハッシュ値を追加する構成を有していた。

鍵配信装置４００は、上記の構成を例えば以下のように変形してもよい。

鍵配信装置４００は、ＵＲ処理部４１０の代わりに、追加署名部を備える構成でもよい。追加署名部は、コンテンツ署名受信部４０８が受信したコンテンツ署名５１０から、図２７に示す署名付きコンテンツ署名１５１０を生成する。

追加署名部は、コンテンツ署名５１０（コンテンツ識別情報領域５１１、署名データ領域５１２、署名日時領域５１３及び署名装置証明書領域５１４に記載されたデータを連結したデータ）に対し、秘密鍵・証明書格納部４０４に格納されている鍵配信装置秘密鍵を署名鍵として用いて署名生成アルゴリズムを施し、署名データを生成する。そして、追加署名部は、生成した署名データを、署名付きコンテンツ署名１５１０の鍵配信装置の秘密鍵による署名データ領域１５１１に記載する。更に、追加署名部は、秘密鍵・証明書格納部４０４に格納されている鍵配信装置証明書１２０を、鍵配信装置証明書領域１５１２に記載する。

このように、追加署名部は、コンテンツ署名受信部４０８が受信したコンテンツ署名５１０を修正して署名付きコンテンツ署名１５１０を生成する。鍵配信装置４００は、コンテンツ署名５１０を端末装置６００へ送信する代わりに、追加署名部により生成された署名付きコンテンツ署名１５１０を、端末装置６００へ送信する。

端末装置６００は、鍵配信装置４００から署名付きコンテンツ署名１５１０を受信すると、記録媒体装置７００の通常領域７０８に記録する。

処理済みＵＲに代えて署名付きコンテンツ署名１５１０を用いる場合、端末装置６００は、コンテンツ再生処理の際、上述した第３再生判断部６３０による判断処理を行わない。その代わりに、第２再生判断部６２９は、以下の処理を追加して行う。

第２再生判断部６２９は、コンテンツ識別情報領域５１１、署名データ領域５１２、署名日時領域５１３及び署名装置証明書領域５１４に記載されたデータを連結したデータに対し、鍵配信装置証明書領域１５１２に記載されている鍵配信装置証明書１２０に含まれる鍵配信装置公開鍵を検証鍵として用いて署名検証アルゴリズムを施し、検証データを生成する。第２再生判断部６２９は、生成された検証データが、鍵配信装置の秘密鍵による署名データ領域１５１１に記載されている署名データと一致するか否かを確認する。

署名検証に成功すると、端末装置６００はコンテンツ再生処理を継続する。署名検証に失敗すると、第２再生判断部６２９は、コンテンツ復号部６３１へ復号中止の指示を出力する。そして、端末装置６００は、コンテンツ再生処理を終了する。

（１０）上記の実施の形態では、端末装置６００の第１再生判断部６２５は、記録媒体装置７００のＩＤに基づき生成されたＭＡＣを用いて、コンテンツの再生可否を判断した。しかし、再生可否の判断に用いる情報は、ＭＡＣに限定されない。例えば、演算タイトル鍵と録媒体装置の識別情報とをＸＯＲしたものを用いてもよい。また、演算タイトル鍵と記録媒体装置の識別情報のハッシュ値とをＸＯＲしたものを用いてもよい。また、例えば、記録媒体装置７００の識別情報に鍵発行装置１００の署名を付与したものを用いてもよい。この場合、端末装置６００は、ＸＯＲを計算したり、署名検証を行うことで、コンテンツの再生可否を判断することができる。

（１１）上記の実施の形態では、端末装置６００の第２再生判断部６２９は、Ｎ個の部分コンテンツから任意の７個の部分コンテンツを選択し、選択した７個の部分コンテンツのハッシュ値を計算する構成を有していた。この構成により、第２再生判断部６２９の計算量を削減することができる。

しかし、第２再生判断部６２９は、コンテンツの正当性検証の精度を上げるために、７個より多くの部分コンテンツからハッシュ値を計算する構成でもよい。また、第２再生判断部６２９は、計算量を更に削減するために、７個より少ない部分コンテンツからハッシュ値を計算する構成でもよい。

（１２）上記の実施の形態では、端末装置６００の第３再生判断部６３０は、コンテンツ署名５１０のハッシュ値を計算し、計算されたハッシュ値と、処理済みＵＲのコンテンツ署名ハッシュ値領域に記載されたハッシュ値とを比較する構成を有していた。

しかし、この構成は一例である。第３再生判断部６３０は、コンテンツ署名５１０を特定する情報が正しく処理済みＵＲ４３０に埋め込まれていることを確認できればよい。

例えば、第３再生判断部６３０は、ＵＲ読出部６２１が読み出した処理済みＵＲ４３０の署名データ領域４３１に記載されている署名データと、コンテンツ署名読出部６２２が読み出したコンテンツ署名５１０の署名データ領域５１２に記載されている署名データとが一致するか確認する構成でもよい。

（１３）上記の実施の形態では、第１再生判断部６２５、コンテンツ署名検証部６２７、第２再生判断部６２９及び第３再生判断部６３０は、判断結果に応じて、コンテンツ復号部６３１に対し、復号中止の指示を出力する構成を有していた。しかし、この構成は一例である。コンテンツの再生を抑制するために、第１再生判断部６２５、コンテンツ署名検証部６２７、第２再生判断部６２９及び第３再生判断部６３０は、判断結果に応じて、コンテンツ再生部６３２に対し、デコード中止の指示を出力してもよい。また、第１再生判断部６２５は、判断結果に応じて、コンテンツ読出部６２８に読出中止の指示を出力してもよい。

（１４）上記の実施の形態では、コンテンツの一例は、ビデオデータ及びオーディオデータから構成される映画であると記載した。しかし、コンテンツは、映画に限定されないのは勿論である。コンテンツは、ＪＰＥＧデータなどの静止画、コンピュータプログラム、コンピュータゲーム、ビデオデータを含まない音楽コンテンツ、テキストデータなどでもよい。

（１５）実施の形態で示した鍵配信処理及びコンテンツ再生処理を、鍵配信装置及び端末装置のプロセッサ、及びそのプロセッサに接続された各種回路に実行させるための機械語或いは高級言語のプログラムコードからなる制御プログラムを、記録媒体に記録すること、又は各種通信路等を介して流通させ頒布することもできる。このような記録媒体には、ＩＣカード、ハードディスク、光ディスク、フレキシブルディスク、ＲＯＭ、フラッシュメモリ等がある。流通、頒布された制御プログラムはプロセッサに読み出され得るメモリ等に格納されることにより利用に供され、そのプロセッサがその制御プログラムを実行することにより上記の実施の形態で示したような各機能が実現されるようになる。なお、プロセッサは、制御プログラムを直接実行する他、コンパイルして実行或いはインタプリタにより実行してもよい。

（１６）実施の形態で示した各装置の各機能構成要素（一例として、ルート公開鍵格納部６０１、秘密鍵・証明書格納部６０２、コンテンツ受信部６０３、コンテンツ書込部６０４、相互認証部６０５、記録媒体装置ＩＤ取得部６０６、記録媒体装置ＩＤ送信部６０７、暗号復号部６０８、ＭＡＣ・ＵＲ・コンテンツ署名受信部６０９、ＭＡＣ・ＵＲ・コンテンツ署名書込部６１０、演算タイトル鍵伝送部６１１、演算タイトル鍵受信部６２０、ＵＲ読出部６２１、コンテンツ署名読出部６２２、タイトル鍵再演算部６２３、ＭＡＣ読出部６２４、第１再生判断部６２５、無効化リスト受信・格納部６２６、コンテンツ署名検証部６２７、コンテンツ読出部６２８、第２再生判断部６２９、第３再生判断部６３０、コンテンツ復号部６３１及びコンテンツ再生部６３２など）は、その機能を実行する回路として実現されてもよいし、１又は複数のプロセッサによりプログラムを実行することで実現されてもよい。また、実施の形態で示した鍵配信装置及び端末装置は、ＩＣ、ＬＳＩその他の集積回路のパッケージとして構成されるものとしてもよい。このパッケージは各種装置に組み込まれて利用に供され、これにより各種装置は、上記の実施の形態で示したような各機能を実現するようになる。

（１７）上記の実施の形態及び上記の変形例を適宜組み合わせてもよい。

＜１０．補足＞
以下、更に本発明の一態様としての端末装置、検証装置、鍵配信装置の構成及びその変形例と効果について説明する。

（ａ）本発明の一態様である端末装置は、記録媒体装置から、暗号化コンテンツとコンテンツ署名とを読み出し、前記記録媒体装置の保護された領域から、正規の署名装置により生成されたコンテンツ署名を用いてタイトル鍵を変換した変換タイトル鍵を読み出す読出部と、読出部が読み出した前記コンテンツ署名を用いて前記変換タイトル鍵を逆変換し、復元タイトル鍵を生成するタイトル鍵復元部と、前記復元タイトル鍵を用いて、前記暗号化コンテンツを復号し、復号したコンテンツを再生する再生部とを備えることを特徴とする。

この構成によると、前記記録媒体装置の保護された領域には、正規の署名装置により生成されたコンテンツ署名を用いてタイトル鍵を変換した変換タイトル鍵が記録されている。そのため、漏洩した署名鍵を利用して生成したコンテンツ署名と不正な暗号化コンテンツとを前記記録媒体装置に記録する不正が行われたとしても、端末装置は、前記記録媒体装置から読み出した変換タイトル鍵から正しいタイトル鍵を復元することができない。端末装置は、正しいタイトル鍵が復元できない場合、不正な暗号化コンテンツの復号を正しく行うことができない。したがって、端末装置による不正な暗号化コンテンツの再生を抑止することで、コンテンツの不正利用を抑制することができる。

また、端末装置側で再生できないような不正コンテンツを配布しても意味がないので、漏洩した署名鍵を不正に利用し、不正なコンテンツをあたかも正規のコンテンツのように成り済まして前記記録媒体装置に記録する不正行為自体を抑制できる可能性がある。

（ｂ）ここで、前記変換タイトル鍵は、前記正規の署名装置により生成されたコンテンツ署名と前記コンテンツの利用条件と前記タイトル鍵とから生成されており、前記読出部は、更に、前記記録媒体装置から利用条件を読み出し、前記タイトル鍵復元部は、前記読出部が読み出した前記コンテンツ署名と前記利用条件とを用いて前記変換タイトル鍵を逆変換し、前記復元タイトル鍵を生成することを特徴とする。

この構成によると、不正なユーザが記録媒体装置に不正な利用条件を記録した場合、端末装置は、変換タイトル鍵から正しいタイトル鍵を復元することができない。したがって、端末装置による不正な暗号化コンテンツの再生を抑止することで、コンテンツの不正利用を抑制することができる。

（ｃ）ここで、前記変換タイトル鍵は、前記正規の署名装置により生成されたコンテンツ署名及び前記利用条件を結合した第１結合データと前記タイトル鍵とに所定の演算を施して生成されており、前記タイトル鍵復元部は、前記読出部が読み出した前記コンテンツ署名と前記読み出した利用条件とから第２結合データを生成し、生成した前記第２結合データと前記変換タイトル鍵とに前記所定の演算の逆演算を施して、前記復元タイトル鍵を生成することを特徴とする。

この構成によると、不正なユーザが記録媒体装置に記録した利用条件及びコンテンツ署名が、正規の利用条件及びコンテンツ署名と１ビットでも異なれば、端末装置は、変換タイトル鍵から正しいタイトル鍵を復元することができない。したがって、端末装置による不正な暗号化コンテンツの再生が抑止されるので、コンテンツの不正利用を抑制することができる。

（ｄ）ここで、前記端末装置は、更に、前記読出部が読み出した前記コンテンツ署名が、前記変換タイトル鍵の生成に用いられた正規の署名装置により生成された前記コンテンツ署名と一致するか否か判断し、判断結果が不一致の場合に、前記再生部の処理を抑制するコンテンツ署名検証部（実施形態の第３再生判断部６３０）を備えることを特徴とする。

記録媒体装置に記録されているコンテンツ署名が、正規のコンテンツ署名と異なる場合、記録媒体装置に記録されている暗号化コンテンツが不正コンテンツである可能性が高い。したがって、上記の構成を備えることにより、不正コンテンツの再生を抑制することができる。

また、端末装置で不正コンテンツを再生すると、ユーザが予期せぬ再生エラーが生じる可能性がある。仮にユーザが記録媒体装置に記録されているコンテンツが不正コンテンツであることを知らない場合、端末装置で再生エラーが生じるとユーザが混乱することが予想される。したがって、上記の構成を備え、不正コンテンツの再生を抑制することにより、端末装置で再生エラーが生じる可能性を予め排除することができる。

（ｅ）ここで、前記端末装置は、更に、前記コンテンツ署名を用いて、前記暗号化コンテンツの正当性を検証し、前記暗号化コンテンツが不正であると判断されると、前記再生部の処理を抑制するコンテンツ検証部（実施形態の第２再生判断部６２９）を備えることを特徴とする。

この構成によると、記録媒体装置に記録されている暗号化コンテンツとコンテンツ署名とが整合しない場合には、コンテンツの再生を抑制することができる。

（ｆ）ここで、前記コンテンツ署名は、当該コンテンツ署名を生成した前記署名装置の識別情報を含み、前記端末装置は、更に、無効化対象となった装置の識別情報が記載された無効化リストを受信する受信部と、受信した前記無効化リストを用いて前記署名装置が無効化対象であるか否か確認し、前記署名装置が無効化対象であると判断されると、前記再生部の処理を抑制する無効化確認部（実施形態のコンテンツ署名検証部６２７）とを備えることを特徴とする。

この構成によると、漏洩した秘密鍵を利用して生成したコンテンツ署名と不正な暗号化コンテンツとを前記記録媒体装置に記録する不正が行われたとしても、漏洩した秘密鍵を用いて生成されたコンテンツ署名が付与されたコンテンツの再生を抑制するので、コンテンツの不正利用を抑制することができる。

（ｇ）ここで、前記コンテンツ署名は、更に、前記署名装置が当該コンテンツ署名を生成した日付を示す第１日付情報を含み、前記無効化リストは、更に、無効化対象となった装置の識別情報に対応付けて、無効化対象となった日付を示す第２日付情報を含み、前記無効化確認部は、前記署名装置の識別情報が前記無効化リストに記載されており、且つ、前記第１日付情報が示す日付が前記第２日付情報が示す日付よりも新しい場合、前記署名装置は無効化対象であると判断し、前記署名装置の識別情報が前記無効化リストに記載されており、且つ、前記第１日付情報が示す日付が前記第２日付情報が示す日付よりも古い場合、前記署名装置は無効化対象でないと判断することを特徴とする。

この構成によると、端末装置の再生部は、署名装置の秘密鍵が漏洩する前に生成されたコンテンツ署名が付与されたコンテンツを再生することが可能となる。したがって、正規にコンテンツをダウンロードしたユーザの権利を保護することができる。

（ｈ）本発明の一態様である検証装置は、記録媒体装置から、暗号化コンテンツとコンテンツ署名とを読み出し、前記記録媒体装置の保護された領域から、正規の署名装置により生成されたコンテンツ署名を用いてタイトル鍵を変換した変換タイトル鍵を読み出す読出部と、読出部が読み出した前記コンテンツ署名と、前記変換タイトル鍵の生成に用いられた前記正規の署名装置により生成された前記コンテンツ署名とが一致するか否か判断するコンテンツ署名検証部（実施形態の第３判断部１６３０）とを備えることを特徴とする。

この構成によると、漏洩した署名鍵を利用し、不正な暗号化コンテンツからコンテンツ署名を生成し、当該コンテンツ署名と不正な暗号化コンテンツとを前記記録媒体装置に記録する不正行為が行われた場合、前記コンテンツ署名検証部による検証で不一致と判断され、その後の処理が実行されない可能性がある。したがって、不正な暗号化コンテンツを用いた処理が抑止されるので、コンテンツの不正利用を抑制することができる。

（ｉ）本発明の一態様である鍵配信装置は、コンテンツがタイトル鍵で暗号化された暗号化コンテンツを保持するコンテンツ保持部と、前記暗号化コンテンツの正当性を検証するためのコンテンツ署名を保持するコンテンツ署名保持部と、前記タイトル鍵を保持するタイトル鍵保持部と、前記コンテンツ署名を用いて前記タイトル鍵を変換し、変換タイトル鍵を生成する鍵生成部と、前記暗号化コンテンツと、前記コンテンツ署名と、前記変換タイトル鍵とを記録媒体装置に記録する記録部とを備えることを特徴とする。

この構成によると、漏洩した署名鍵を利用して生成したコンテンツ署名と不正な暗号化コンテンツとを前記記録媒体装置に記録する不正が行われたとしても、暗号化コンテンツを再生する端末装置では、前記記録媒体装置から読み出した変換タイトル鍵から正しいタイトル鍵を復元することができない。端末装置は、正しいタイトル鍵が復元できない場合、不正な暗号化コンテンツの復号を正しく行うことができない。したがって、端末装置による不正な暗号化コンテンツの再生を抑止することで、コンテンツの不正利用を抑制することができる。

（ｊ）ここで、前記鍵配信装置は、更に、前記コンテンツの利用条件を保持する利用条件保持部を備え、前記鍵生成部は、前記コンテンツ署名と前記利用条件と前記タイトル鍵とから前記変換タイトル鍵を生成することを特徴とする。

この構成によると、不正なユーザが記録媒体装置に不正な利用条件を記録した場合、暗号化コンテンツを再生する端末装置は、変換タイトル鍵から正しいタイトル鍵を復元することができない。したがって、端末装置による不正な暗号化コンテンツの再生を抑止することで、コンテンツの不正利用を抑制することができる。

（ｋ）ここで、前記鍵生成部は、前記コンテンツ署名及び前記利用条件を結合した結合データと前記タイトル鍵とに所定の演算を施して、前記変換タイトル鍵を生成することを特徴とする。

この構成によると、不正なユーザが記録媒体装置に記録した利用条件及びコンテンツ署名が、正規の利用条件及びコンテンツ署名と１ビットでも異なれば、端末装置は、変換タイトル鍵から正しいタイトル鍵を復元することができない。したがって、端末装置による不正な暗号化コンテンツの再生が抑止されるので、コンテンツの不正利用を抑制することができる。

本発明は、ネットワーク配信されるコンテンツ、コンテンツ署名、ＵＲ、タイトル鍵等をＳＤメモリカード等の記録媒体装置に記録する端末装置を製造及び販売する産業において、漏洩した署名鍵を利用して生成したコンテンツ署名と不正な暗号化コンテンツとを前記記録媒体装置に記録する不正が行われたとしても、端末装置による不正な暗号化コンテンツの再生を抑制する技術として利用することができる。

１ コンテンツ配信システム
１００ 鍵発行装置
２００ コンテンツ制作装置
３００ コンテンツ配信装置
４００ 鍵配信装置
４０１ ルート公開鍵受信部
４０２ ルート公開鍵格納部
４０３ 秘密鍵・証明書受信部
４０４ 秘密鍵・証明書格納部
４０５ タイトル鍵・コンテンツ識別情報受信部
４０６ コンテンツ識別情報送信部
４０７ ＵＲ受信部
４０８ コンテンツ署名受信部
４０９ 無効化リスト受信部
４１０ ＵＲ処理部
４１１ タイトル鍵演算部
４１２ 相互認証部
４１３ 暗号復号部
４１４ 記録媒体装置ＩＤ受信部
４１５ ＭＡＣ演算部
５００ 署名装置
５０１ 秘密鍵・証明書受信部
５０２ 秘密鍵・証明書格納部
５０３ コンテンツ識別情報受信部
５０４ 署名部
５０５ コンテンツ署名送信部
６００ 端末装置
６０１ ルート公開鍵格納部
６０２ 秘密鍵・証明書格納部
６０３ コンテンツ受信部
６０４ コンテンツ書込部
６０５ 相互認証部
６０６ 記録媒体装置ＩＤ取得部
６０７ 記録媒体装置ＩＤ送信部
６０８ 暗号復号部
６０９ ＭＡＣ・ＵＲ・コンテンツ署名受信部
６１０ ＭＡＣ・ＵＲ・コンテンツ署名書込部
６１１ 演算タイトル鍵伝送部
６２０ 演算タイトル鍵受信部
６２１ ＵＲ読出部
６２２ コンテンツ署名読出部
６２３ タイトル鍵再演算部
６２４ ＭＡＣ読出部
６２５ 第１再生判断部
６２６ 無効化リスト受信・格納部
６２７ コンテンツ署名検証部
６２８ コンテンツ読出部
６２９ 第２再生判断部
６３０ 第３再生判断部
６３１ コンテンツ復号部
６３２ コンテンツ再生部
７００ 記録媒体装置
１６００ 検証装置

Claims (15)

1. 記録媒体装置から、暗号化コンテンツと前記暗号化コンテンツの正当性を検証するためのコンテンツ署名とを読み出し、前記記録媒体装置の保護された領域から、正規の署名装置により生成されたコンテンツ署名を用いてタイトル鍵を変換した変換タイトル鍵を読み出す読出部と、
   読出部が読み出した前記コンテンツ署名を用いて前記変換タイトル鍵を逆変換し、復元タイトル鍵を生成するタイトル鍵復元部と、
   前記復元タイトル鍵を用いて、前記暗号化コンテンツを復号し、復号したコンテンツを再生する再生部と
   を備えることを特徴とする端末装置。
2. 前記変換タイトル鍵は、前記正規の署名装置により生成されたコンテンツ署名と前記コンテンツの利用条件と前記タイトル鍵とから生成されており、
   前記読出部は、更に、前記記録媒体装置から利用条件を読み出し、
   前記タイトル鍵復元部は、前記読出部が読み出した前記コンテンツ署名と前記利用条件とを用いて前記変換タイトル鍵を逆変換し、前記復元タイトル鍵を生成する
   ことを特徴とする請求項１に記載の端末装置。
3. 前記変換タイトル鍵は、前記正規の署名装置により生成されたコンテンツ署名及び前記利用条件を結合した第１結合データと前記タイトル鍵とに所定の演算を施して生成されており、
   前記タイトル鍵復元部は、前記読出部が読み出した前記コンテンツ署名と前記読み出した利用条件とから第２結合データを生成し、生成した前記第２結合データと前記変換タイトル鍵とに前記所定の演算の逆演算を施して、前記復元タイトル鍵を生成する
   ことを特徴とする請求項２に記載の端末装置。
4. 前記端末装置は、更に、
   前記読出部が読み出した前記コンテンツ署名が、前記変換タイトル鍵の生成に用いられた前記正規の署名装置により生成された前記コンテンツ署名と一致するか否か判断し、判断結果が不一致の場合に、前記再生部の処理を抑制するコンテンツ署名検証部を備える
   ことを特徴とする請求項３に記載の端末装置。
5. 前記端末装置は、更に、
   前記コンテンツ署名を用いて、前記暗号化コンテンツの正当性を検証し、前記暗号化コンテンツが不正であると判断されると、前記再生部の処理を抑制するコンテンツ検証部を備える
   ことを特徴とする請求項３に記載の端末装置。
6. 前記コンテンツ署名は、当該コンテンツ署名を生成した前記署名装置の識別情報を含み、
   前記端末装置は、更に、
   無効化対象となった装置の識別情報が記載された無効化リストを受信する受信部と、
   受信した前記無効化リストを用いて前記署名装置が無効化対象であるか否か確認し、前記署名装置が無効化対象であると判断されると、前記再生部の処理を抑制する無効化確認部とを備える
   ことを特徴とする請求項３に記載の端末装置。
7. 前記コンテンツ署名は、さらに、前記署名装置が当該コンテンツ署名を生成した日付を示す第１日付情報を含み、
   前記無効化リストは、更に、無効化対象となった装置の識別情報に対応付けて、無効化対象となった日付を示す第２日付情報を含み、
   前記無効化確認部は、
   前記署名装置の識別情報が前記無効化リストに記載されており、且つ、前記第１日付情報が示す日付が前記第２日付情報が示す日付よりも新しい場合、前記署名装置は無効化対象であると判断し、
   前記署名装置の識別情報が前記無効化リストに記載されており、且つ、前記第１日付情報が示す日付が前記第２日付情報が示す日付よりも古い場合、前記署名装置は無効化対象でないと判断する
   ことを特徴とする請求項６に記載の端末装置。
8. 記録媒体装置から、暗号化コンテンツとコンテンツ署名とを読み出し、前記記録媒体装置の保護された領域から、正規の署名装置により生成されたコンテンツ署名を用いてタイトル鍵を変換した変換タイトル鍵を読み出す読出部と、
   読出部が読み出した前記コンテンツ署名と、前記変換タイトル鍵の生成に用いられた前記正規の署名装置により生成された前記コンテンツ署名とが一致するか否か判断するコンテンツ署名検証部と
   を備えることを特徴とする検証装置。
9. コンテンツがタイトル鍵で暗号化された暗号化コンテンツを保持するコンテンツ保持部と、
   前記暗号化コンテンツの正当性を検証するためのコンテンツ署名を保持するコンテンツ署名保持部と、
   前記タイトル鍵を保持するタイトル鍵保持部と、
   前記コンテンツ署名を用いて前記タイトル鍵を変換し、変換タイトル鍵を生成する鍵生成部と、
   前記暗号化コンテンツと、前記コンテンツ署名とを記録媒体装置に記録し、前記変換タイトル鍵を前記記録媒体装置の保護された領域に記録する記録部と
   を備えることを特徴とする鍵配信装置。
10. 前記鍵配信装置は、更に、
    前記コンテンツの利用条件を保持する利用条件保持部を備え、
    前記鍵生成部は、
    前記コンテンツ署名と前記利用条件と前記タイトル鍵とから前記変換タイトル鍵を生成する
    ことを特徴とする請求項９に記載の鍵配信装置。
11. 前記鍵生成部は、前記コンテンツ署名及び前記利用条件を結合した結合データと前記タイトル鍵とに所定の演算を施して、前記変換タイトル鍵を生成する
    ことを特徴とする請求項１０に記載の鍵配信装置。
12. 端末装置で用いられるコンテンツ再生方法であって、
    記録媒体装置から、暗号化コンテンツと前記暗号化コンテンツの正当性を検証するためのコンテンツ署名とを読み出し、前記記録媒体装置の保護された領域から、正規の署名装置により生成されたコンテンツ署名を用いてタイトル鍵を変換した変換タイトル鍵を読み出す読出ステップと、
    前記読出ステップ読み出した前記コンテンツ署名を用いて前記変換タイトル鍵を逆変換し、復元タイトル鍵を生成するタイトル鍵復元ステップと、
    前記タイトル鍵復元ステップが復元した前記復元タイトル鍵を用いて、前記暗号化コンテンツを復号し、復号したコンテンツを再生する再生ステップと
    を含むことを特徴とするコンテンツ再生方法。
13. 端末装置で用いられるコンピュータプログラムであって、
    記録媒体装置から、暗号化コンテンツと前記暗号化コンテンツの正当性を検証するためのコンテンツ署名とを読み出し、前記記録媒体装置の保護された領域から、正規の署名装置により生成されたコンテンツ署名を用いてタイトル鍵を変換した変換タイトル鍵を読み出す読出ステップと、
    前記読出ステップ読み出した前記コンテンツ署名を用いて前記変換タイトル鍵を逆変換し、復元タイトル鍵を生成するタイトル鍵復元ステップと、
    前記タイトル鍵復元ステップが復元した前記復元タイトル鍵を用いて、前記暗号化コンテンツを復号し、復号したコンテンツを再生する再生ステップと
    を前記端末装置に実行させることを特徴とするコンピュータプログラム。
14. 鍵配信装置で用いられる鍵配信方法であって、
    前記鍵配信装置には、コンテンツがタイトル鍵で暗号化された暗号化コンテンツと、 前記暗号化コンテンツの正当性を検証するためのコンテンツ署名と、前記タイトル鍵とが保持されており、
    前記鍵配信方法は、
    前記コンテンツ署名を用いて前記タイトル鍵を変換し、変換タイトル鍵を生成する鍵生成ステップと、
    前記暗号化コンテンツと、前記コンテンツ署名とを記録媒体装置に記録し、前記変換タイトル鍵を前記記録媒体装置の保護された領域に記録するステップと
    を含むことを特徴とする鍵配信方法。
15. 鍵配信装置で用いられるコンピュータプログラムであって、
    前記鍵配信装置には、コンテンツがタイトル鍵で暗号化された暗号化コンテンツと、 前記暗号化コンテンツの正当性を検証するためのコンテンツ署名と、前記タイトル鍵とが保持されており、
    前記コンピュータプログラムは、
    前記コンテンツ署名を用いて前記タイトル鍵を変換し、変換タイトル鍵を生成する鍵生成ステップと、
    前記暗号化コンテンツと、前記コンテンツ署名とを記録媒体装置に記録し、前記変換タイトル鍵を前記記録媒体装置の保護された領域に記録するステップと
    を前記鍵配信装置に実行させることを特徴とするコンピュータプログラム。

Images