KR100403375B1

KR100403375B1 - 대화식정보시스템에서의송신응용인증장치및방법

Info

Publication number: KR100403375B1
Application number: KR1019960027210A
Authority: KR
Inventors: 로하치 팬캐즈; 뒤로 빈센트
Original assignee: 오픈티브이, 인크.
Priority date: 1995-07-07
Filing date: 1996-07-05
Publication date: 2004-02-05
Also published as: DE69606673D1; CN1150762C; US5625693A; CN1146122A; JPH09121340A; KR970009355A; ES2143111T3; DE69606673T2; BR9602980A; EP0752786B1; MX9602655A; JP3847846B2; TR199600564A2; EP0752786A1

Abstract

실행가능 대화식 프로그램이 송신을 위해 오디오/비디오 데이타와 결합된다. 상기 프로그램은 컴퓨터 파일과 유사한 모듈로 분할되고(40, 41), 프로그램 모듈을 연결하는 디렉토리 모듈이 생성된다. 실행가능 응용에 대한 안전 보호는 각 디렉토리 모듈에 대한 서명된 증명서를 첨부함으로써 제공된다(52,53,54). 각 모듈의 보전은 각 모듈을 해시하고(46) 상기 디렉토리 모듈내의 각 해시값을 포함함으로써(50) 모니터된다. 다른 해시값을 포함하는 디렉토리 모듈의 해시값이 상기 디렉토리 모듈에 발생(46), 부호화(51) 및 첨부된다(53,54). 수신기에서 상기 증명서가 디코딩되고 제공자의 정당성이 검사된다. 상기 증명서가 정당하면 단지 각 프로그램 모듈의 수신기 발생 해시값이 상기 디렉토리 모듈내에 포함된 대응 해시값과 동일할때만 상기 프로그램은 실행될 수 있다.

Description

대화식 정보 시스템에서의 송신 응용 인증 장치 및 방법

본 발명은 대화식 텔레비전 시스템에 의해 수용된 데이타가 공인 데이타임을확인하는 방법 및 장치에 관한 것이다.

대화식 텔레비전(TV) 시스템은 미합중국 특허 제 5,233,654 호로부터 공지되어 있다. 대화식 텔레비전 시스템은 일반적으로 각각의 수신 장치로 오디오 및 비디오 정보 뿐만 아니라, 프로그래밍 및/또는 제어 데이타(이하, PC-데이타라 칭함)의 송신을 수반한다. 상기 수신 장치는 PC-데이타를 디코드하고, 그것을 상기 수신기의 사용자가 선택적으로 사용하는 또는 상기 수신기에 의해 자동으로 사용되는 임의의 형태의 제어 장치에 인가한다. 상기 제어 장치는 예컨대, 컴퓨터의 형태를 취할 수 있고, 상기 사용은 예컨대, 후속 사용자 조작을 위한 재정 데이타의 다운로딩 선택을 포함할 수 있다.

본 명세서에서 기대되는 바와 같이, 대화식 텔레비전 시스템(ITVS)은 압축 디지탈 형태로 송신된다. 상기 시스템의 수신단은 상기 송신된 정보를 수신 및 압축해제하고, 각각의 프로세서로 디코딩된 오디오, 비디오 및 PC-데이타를 제공하는 집적 수신기 디코더(IRD)를 포함한다. 상기 오디오 및 비디오 프로세서는 오디오 및 비디오 재생 장치 또는 텔레비전 수상기일 수 있고, 상기 PC-데이타 프로세서는 컴퓨터일 수 있다. 이상적으로, 상기 시스템은 공인된 서비스 제공자에 의해 및 송신된 정보가 각각의 수신기에 실질적으로 손상을 가하는 가능성이 거의 없다는 조건하에 제공된 잘 테스트된 PC-데이타만을 제공할 것이다. 그러나, 다수의 서비스 제공자가 상기 시스템을 사용하도록 공인된다면, a) 비공인 사용자에 의한 침해 및 시스템 사용자에 대한 고의적인 가해와, b) PC-데이타의 소홀한 대비 및 시스템 사용자에 대한 후속의 비고의적인 손상을 입기 쉽게 된다. 동시에 1,000 개의 IDR 중 10 개로 PC-데이타를 방송할 가능성은 나쁜 성질의 소프트웨어 다수 폴드에 의해 가해질 수 있는 포텐셜 혼란을 배가시킨다. 따라서, 나쁜 성질 및 비공인 PC-데이타 양자로부터 각각의 ITVS 수신기를 보호하게 하기 위해 측정할 필요가 있다. 본 발명의 수신기 실시예는 송신된 프로그램 가이드에 응답하여 PC-데이타의 신호 패킷을 선택하는 IRD 를 포함한다. 상기 IRD 는 상기 선택된 PC-데이타를 일시적으로 저장한다. 공인된 PC-데이타는 증명서를 포함한다. PC-데이타 프로세서는 증명서를 분류하도록 및 그것을 인증하기 위하여 검사하도록 구성된다. 상기 프로세서는 상기 PC-데이타의 부분을 해시(hash)하여 발생된 해시값과 상기 PC-데이타의 동일 부분에 대응하는 PC-데이타에 송신된 해시값을 비교한다. 상기 해시값들이 동일하고 증명서가 확실하면, 상기 시스템은 송신된 프로그램을 실행하도록 조절된다.

송신기 실시예는 대화식 프로그램을 제공하는 소프트웨어 발생 장치를 포함한다. 상기 프로그램은 모듈로 분할되고 디렉토리 모듈이 발생된다. 각각의 모듈은 해시되고 발생된 모듈 해시값은 디렉토리 모듈에 포함된다. 상기 모듈들은 송신하기 위해 조절된다.

도 1 은 본 발명의 실시예를 구체화하는 대화식 TV 신호 엔코딩 시스템의 블록도.

도 2 는 예시적인 AVI 신호의 부분을 도시한 도면.

도 3 은 예시적인 전송 패킷을 도시한 도면.

도 4 는 본 발명을 기술하는데 유용한 예시적인 AVI 응용의 포맷을 도시한 도면.

도 5 는 예시적인 송신 유닛 헤드의 내용물의 표.

도 6 은 본 발명을 구체화하는 AVI 응용의 예시적인 디렉토리 모듈의 내용물의 표.

도 7 은 본 발명을 구체화하는 AVI 응용에 보안/보호를 적용하는 공정의 흐름도.

도 8 은 본 발명을 구체화하는 예시적인 수신기 장치의 블록도.

도 9 는 도 8 의 장치의 프로세서에 대해 수행될 수 있는 예시적인 프로세서의 확대 블록도.

도 10 은 도 8 의 수신기 장치의 부분과 본 발명의 수신기 실시예를 도시하는 플로우차트.

도 11 은 본 발명의 실시예인 증명서를 검증하는 예시적인 공정을 도시하는 플로우차트.

도 12 는 본 발명에 따른 바람직한 디렉토리 모듈 포맷을 도시하는 도면.

도면의 주요부분에 대한 부호의 설명

5 : 시스템 프로그램 제어기

10 : 대화식 성분원

11 : 메모리

12 : 메모리 제어기

15 : 타이밍 소자

16 : 패킷 멀티플렉서

17 : 비디오 신호원

18 : 비디오 신호 압축 장치

20, 23 : 오디오 신호원

21, 24 : 오디오 신호 압축 장치

27 : 프로세싱 소자

28 : 채널 멀티플렉서

본 발명은 예컨대, 직접 방송 위성 시스템과 같은 압축 디지탈 송신 시스템의 환경하에서 기술될 것이다. 단일 위성 송수신기가 시분할 다중화된 포맷으로 복수의 각 TV 프로그램을 조정한다고 가정한다.

도 1 을 참조하면, 패킷 멀티플렉스(16)은 자체의 출력 포트에 오디오 비디오 대화식(AVI) 프로그램을 제공한다. 유사한 장치(26)는 선택적인 AVI 프로그램을 발생한다. 서비스 채널 식별자(SCID)를 통해 각각의 AVI 프로그램의 오디오, 비디오 및 대화식 성분과 관련된 정보를 포함하는 프로그램 가이드가 프로세싱 소자(27)에 의해 상기 AVI 프로그램과 유사한 송신 포맷으로 제공된다. 상기 프로그램 가이드 및 각각의 AVI 프로그램은 전송 패킷 형태로 채널 멀티플렉서(28)의 각 입력 포트로 인가된다. 상기 채널 멀티플렉서(28)는 각각의 패킷 신호를 단일 신호 스트림으로 동일하게 시분할 다중화하는 공지 구성으로 될 수 있거나, 또는 통계적으로 제어되는 멀티플렉서일 수 있다. 상기 멀티플렉서(28)의 출력은 Reed-Solomon 및 Trellis 엔코더를 포함할 수 있는 순방향 에러 코딩(FEC) 및 신호 삽입 장치(31)에 결합된다. 상기 FEC(31)의 출력은 상기 다중화 신호가 예컨대, 위성 송수신기에 인가하기 위해 조절되는 모뎀에 결합된다. 예시적인 통계적으로 다중화된 패킷 신호는 도 2 에 도시되어 있고, 각 패킷에 대한 예시적인 포맷은 도 3 에 도시되어 있다.

AVI 포메이션은 시스템 프로그램 제어기(5)에 의해 제어된다. 프로그램 제어기(5)는 특정 프로그램 및 각 프로그램 신호 성분이 선택됨으로써 사용자 인터페이스를 가질 수 있다. 상기 프로그램 제어기는 각 프로그램의 각각의 오디오, 비디오 및 대화식 성분에 대해 각각의 SCID 를 할당한다. 상기 가정은 각각의 수상기가 SCID 관련 AVI 프로그램 성분을 결정하도록 프로그램 가이드에 액세스하고, 관련 SCID 를 포함하는 상기 송신된 신호 스트림으로부터 전송 패킷을 선택하는 것으로 형성된다. 상기 오디오, 비디오 및 대화식 성분은 상이한 SCID 에 할당되어, 하나의 AVI 프로그램의 하나 이상의 성분이 교호 AVI 프로그램의 포메이션에 편리하게 사용될 수 있다. 상이한 SCID 를 사용하는 것은 또한 하나의 프로그램으로부터의 오디오와 다른 것 등으로부터의 비디오를 편집하는 것을 용이하게 한다.

주어진 AVI 프로그램은 다양한 신호 성분원을 포함할 수 있다. 대화식 성분원(10), 비디오 신호원(17), 및 제 1 및 제 2 오디오 신호원(20, 23)(2개 국어 병용 오디오)이 도 1 에 되어 있다. 상기 제어기(5)는 시간 관리 및/또는 함수들을 인에이블하기 위해 각각의 신호원과 통신한다. 비디오 신호원(17)은 동화상 전문가 그룹(MPEG)에 의해 촉구되는 비디오 압축 표준에 따라서 신호를 압축할 수 있는 비디오 신호 압축 장치(18)에 결합된다. 유사하게, 상기 신호원(20, 23)로부터의 각 오디오 신호는 각각의 압축 장치(21, 24)에 인가된다. 이들 압축 장치는 동화상 전문가 그룹(MPEG)에 의해 촉구되는 오디오 압축 표준에 따라서 각 오디오 신호를 압축할 수 있다. MPEG 프로토콜에 따라서 압축된 결합 오디오 및 비디오 신호는 타이밍 소자(15)에 의해 제공되는 표시 시간 스탬프(PTS)의 사용과 동기화된다. 상기 오디오 및 비디오가 어떻게 일시적으로 관련될 수 있는가를 통찰하기 위해, 독자들의 주의를 1993년 9월, MPEG93, INTERNATIONAL ORGANIZATION FOR STANDARDIZATION, ISO/IEC JTC1/SC29/WG11; NO531, CODING OF MOVING PICTURE AND ASSOCIATED AUDIO 에 향하게 한다.

상기 압축 오디오 및 비디오 신호는 전송 패킷 포머(former) 또는 프로세서(19, 22, 25)에 인가된다. 오디오 및 비디오 전송 패킷 프로세서는 공지되어 있고, 기술하지 않는다. 상기 패킷 프로세서가 상기 압축 데이타를 소정의 수의바이트로 분리하고, 도 3에 도시되어 있는 바와 같이 SCID 를 포함하는 식별 헤드를 부착한다고 말하는 것으로 충분하다. 비디오 신호 전송 패킷 프로세서상의 상세한 정보에 대하여, 독자를 미합중국 특허 제 5,168,356 호에 향하게 한다. 상기 패킷 프로세서는 상기 패킷 멀티플렉서에 결합되어 상기 신호 성분을 시분할 다중화한다. 상기 전송 패킷 프로세서는 멀티플렉서가 다른 성분을 서비스하게 하도록 패킷화된 데이타를 일시적으로 저장하는 버퍼 메모리를 포함할 수 있다. 상기 패킷 프로세서는 패킷이 유용할때를 표시하도록 상기 멀티플렉서에 결합되는 PAKET READY 신호 라인을 포함한다.

대화식 프로그램은 공지 기술을 통해 컴퓨터 또는 개인용 컴퓨터(PC)일 수 있는 대화식 성분원 또는 프로그래밍 소자(10)를 조작하는 프로그래머에 의해 생성된다. 상기 응용의 형성시에 상기 프로그래밍 소자(10)는 메모리(11) 및 메모리 제어기(12)와 인터페이스하고, 상기 완전한 응용은 상기 메모리(11)에 저장된다. 완전하게 된 후에, 상기 응용은 신호 대역을 보존하기 위해 임의의 본래의 코드로 응축 및 변환된다.

상기 응용의 포메이션에서, 프로그램 부분은 도 4 에 도시되어 있는 바와 같이 모듈, 송신 유닛 및 패킷으로 포맷된다. 상기 패킷은 상기한 전소 패킷의 형태와 유사하다. 송신 유닛은 복수의 전송 패킷으로 이루어진다. 각각의 송신 유닛은 송신 유닛 내용을 기술한 정보를 포함하는 헤더 패킷과, 상기 응용의 코드워드(codeword)의 부분을 각각 포함하는 복수의 기본 패킷을 포함한다. 모듈은 상이한 모듈로부터 정보의 삽입을 용이하게 하기 위해 송신 유닛으로 분할된다. 바람직하게는, 송신 유닛의 삽입이 허용되지만, 상이한 송신 유닛으로부터 전송 패킷의 삽입은 없다. 응용 및 송신 유닛 등의 포메이션의 더 상세한 기술을 위해, 독자는 미합중국 특허 제 5,448,568 호를 참조한다.

모듈은 컴퓨터 파일과 유사하고, 상이한 형태로 이루어진다. 모듈의 제 1 형태는 각각의 송신 유닛과 모듈이 응용으로 상호관계하도록 정보를 포함하는 디렉토리 모듈이다. 제 2 모듈 형태는 상기 응용을 수행 또는 실행하도록 수신기에서 컴퓨팅 장치를 프로그램하는데 필요한 실행가능 코드를 포함하는 코드 모듈이다. 제 3 모듈 형태는 데이타 모듈이다. 데이타 모듈은 상기 응용의 실행에 사용되는 실행불가능 "데이타"를 포함한다. 데이타 모듈은 코드 모듈보다 더 동적인 경향인데, 즉, 데이타 모듈은 프로그램 중에 변환할 수 있는 반면에 코드 모듈은 통상적으로 그렇지 못하다. 모듈의 제 4 형태는 신호 모듈로 표시된다. 이 모듈은 예컨대, 응용 프로그램 특성을 갖는 비디오의 동기화를 위해 이용될 수 있는 수신기 인터럽트를 트리거하는, 또는 응용의 동작을 일시정지시키는, 또는 프로그램의 동작을 다시 인에이블시키는 정보를 포함하는 특정 패킷이다. 동기화는 표시 시간 스탬프의 삽입을 통해 영향을 받는다. 데이타, 디렉토리, 코드 및 신호 모듈은 PC-데이타의 예이다.

상기 각각의 모듈은 프로그래밍 소자(10)에 의해 에러 코딩될 수 있다. 예컨대, 상기 전체 모듈은 순환 여유 코딩(CRC)을 받을 수 있고, 에러 검사 비트가 상기 모듈의 종단에 추가될 수 있다.

각 송신 유닛(TU)은 상기 TU 에 대한 정보를 포함하는 헤더로 구성된다. 도5 에 도시되어 있는 표 I 은 각 TU 헤더 패킷에 포함된 정보의 예시적인 형태를 도시한다. 상기 헤더는 버전수를 포함한다. 상기 버전수는 AVI 프로그램의 표시 중에 상기 응용에 변화가 생성될 때를 나타내도록 포함된다. 수신기 디코더는 버전수의 변화의 검출에 응답하여 실행 응용을 갱신하도록 배열될 수 있다. 모듈 ID 는 컴퓨터 파일 식별자와 유사하고, 응용 프로그래머에 의해 제공된다. 모듈 송신 유닛 바이트 오프셋은 상기 TU 의 페이로드(payload)의 제 1 코드/데이타의 모듈내에서 바이트 지점을 나타내는 수이다. 송신 유닛의 길이(바이트)는 상기 TU 의 크기 및/또는 상기 TU 내의 최종 코드/데이타의 지점을 나타낸다.

도 6 의 표 II 는 디렉토리 모듈에 포함된 데이타의 표시 형태를 도시한다. 상기 디렉토리 모듈은 응용 식별자, AID, 응용 형태를 나타내는 필드, 형태 수식자를 포함하는 필드, 상기 응용을 저장 및 실행하는데 요구되는 메모리의 크기를 나타내는 필드, 상기 응용에 포함된 모듈의 수를 나타내는 필드, 및 인증 데이타와 같은 안전 보호 데이타를 포함할 수 있는 필드 또는 필드들(FIRST SECURITY INFORMATION)을 구비한 헤드를 포함한다. 상기 나열된 각 필드 또는 아래의 필드는 기술된 순서로 발생할 필요는 없다고 인정될 것이다. 디렉토리 모듈의 데이타부는 각 모듈에 대한 헤더 데이타와 유사한 각 모듈에 대한 데이타를 포함한다. 또한, ASCII 포맷내의 각 응용 모듈 이름의 리스트인 스트링 표가 존재한다. 각 모듈에 대한 데이타 섹션은 각 모듈에 관련된 안전 보호 데이타에 대한 필드 또는 필드들(FURTHER SECURITY INFORMATION)을 또한 포함할 수 있다. 선택적으로, 상기 데이타는 제 1 안전 보호 정보 필드내에 더 통상적인 디렉토리 정보로 포함될 수있다. 상기 모듈 안전 보호 정보 필드의 내용은 아래에 상세하게 논의될 것이다. 전송 패킷 포메이션에 대해, 대화식 성분원(10)은 실제의 송신 유닛 및 전송 패킷을 발생하도륵 프로그램될 수 있으나, 도 1 의 실시예에서는 분리 코드/데이타 패킷 프로세서(14)가 포함된다. 상기 코드/데이타 패킷 프로세서는 상기 메모리 제어기(12)를 통해 상기 메모리(11)의 각각의 영역에 접근하고 각각의 응용(도 4)을 표시하는 시퀀스에서 패킷을 발생시킨다.

패킷 멀티플렉서(16)는 특정 스케쥴에 따라서 패킷을 제공하도록 배열된다. 상기 스케쥴은 상기 AVI 성분의 대역 요구에 의해 공칭적으로 결정된다. 각각의 AVI 성분 사이에 다중화 회선 쟁탈이 존재한다면, 매우 적은 빈도로 발생하는 패킷을 갖는 신호 성분이 더 높은 다중화 우선순위에 할당되는 것이 바람직하다.

상기 패킷 멀티플렉서(16)의 특성은 다중화가 완성된 기술이고, 디지탈 신호 처리업자가 멀티플렉서를 특정 요구를 만족시키도록 이미 설계할 수 있기 때문에 설명을 생략하겠다. 상기 패킷 멀티플렉서(16)가 입력 포트가 각각의 성분 신호에 결합되고, 출력 포트가 상기 멀티플렉서 출력 포트에 결합되는 3 상태 논리 스위치를 사용하여 배열될 수 있다고 말하는 것으로 충분하다. 상태 머신은 상기 제어기(5) 및 상기 패킷 포머에 의해 제공된 각각의 패킷 준비 신호에 의해 설정된 우선순위에 응답하여 상기 논리 스위치를 제어하도록 배열될 수 있다.

상기 AVI 시스템의 안전 보호는 AVI 시스템 제어기에 의해 수행되는 기술과 모든 AVI 시스템 순응(compliant) 수신기내에 상주하는 안전 보호 코드 사이의 폐쇄 집적화에 기초한다. 상기 안전 보호는 Rivest, Shamir 및 Adleman(RSA), 알고리듬 또는 데이타 부호화 표준(DES)을 사용하는 공통 키 암호법(public key cryptography)에 기초한다. 본 발명에 바람직한 알고리듬은 각각 4(8 비트) 바이트의 배수인 계수 및 지수 크기를 사용하는 RSA 알고리듬이다. 안전 보호의 통상의 형태는 디렉토리 모듈로 공급되는 증명서의 인증 및 각각의 다른 응용 모듈상에서 발생된 해시값으로 존재한다.

RSA 프로토콜의 특정 클래스는 공통 지수가 3 이다. 장점은 서명(signature) 검사 속도가 아래에 기술하는 형태의 "헬핑(helping)" 정보의 삽입에 의해 향상될 수 있다는 사실에 존재한다.

수신기는 S 가 데이타 D 상의 RSA 사인임(여기에서, 공통 계수 및 지수는 각각 N 및 3 이다)을 검증하는 것이라고 가정한다. 검증하기 위해, 상기 수신기는 근본적으로 S³= D(mod N) 임을 보여야만 한다. 공칭적으로 상기는 계산적으로 난해하고 시간 소모되는 N 으로 제산/모듈로(modulo) 연산을 요구한다. 곱셈이 계산적으로 간단하고 빠른 연산이기 때문에, 검사 연산은 상기 연산을 명백하게 스피드 업시키는 제산보다는 승산에 따른다.

몫 Q1 및 Q2 가 다음과 같이 한정된다고 가정한다: S³= D(mod N) 라면; S²/N = Q1 + R1; S*R1/N = Q2 + R2; R2 = D. 즉, 상기 값 Q1 및 Q2 은 N 으로 제산함으로써 상기 사인으로부터 유도되는 전체 수 몫이다. R1 및 R2은 제산 후의 나머지이다. 많아도 T 비트 크기의 임의의 N, S 및 D 가 주어지면(여기에서, S < N 및D < N), 아래에 대략 설명된 알고리듬을 사용하여 S³= D(mod N) 을 검증할 많아도 T 비트 크기의 몫 Q1, Q2 가 존재한다. 상기 값 Q1 및 Q2 가 상기 응용 프로그래머에 의해(예컨대, 비실시간으로) 계산되고 사인 S 를 갖는 상기 디렉토리 모듈내로 송신되면, 상기 사인에 대한 고속 검사가 아래와 같이 실행될 수 있는 것으로 보여질 수 있다. 상기 수신기에서, 디렉토리 모듈로부터 S, Q1, Q2 를 추출하고;

1. A = S²이라고 가정

2. B = Q1 × N 이라고 가정

3. A > B 를 비교; A < B 면 중지하여 사인을 검사할 수 없지만, A > B 면 그렇지 않다

4. C = A - B 라고 가정

5. C < N 를 비교; C > N 면 중지하여 사인을 검사할 수 없지만, C < N 면 그렇지 않다

6. E = C × S

7. F = Q2 × N

8. E > F 를 비교, E < F 면 중지하여 사인을 검사할 수 없지만, E > F 면 그렇지 않다

9. G = E - F

10. G = D 를 비교; 그렇지 않으면, 사인은 검사되지 않는다. 모든 수학적인 연산이 간단한 승산 또는 제산임을 유의하라. 잘못된 사인의 검출이 단계 3, 5, 8또는 10 에서 발생할 수 있다. 잘못된 사인이 단계 3 또는 5 에서 검출되지 않으면, 매우 적은 계산 시간이 소요된다.

상기 AVI 수신기는 프로그램 신빙성을 결정하도록 PC-데이타에 포함된 서명된 증명서를 부호해독하기 위해 각각의 시스템 제공자의 공통 키(및 바람직하게는 헬핑 몫 Q1 및 Q2)에 구비된다. 프로그램 신빙성이 확실하지 않다면, 상기 수신된 응용은 상기 수신기로부터 즉시 덤프(dump)된다. 상기 안전 보호 시스템의 중앙에는 응용 제공자 및 시스템 제어기 또는 서버에 대한 독특한 식별자(ID)를 할당한다. 상기 시스템 제어기는 각각의 신뢰되는 AVI 응용 제공자에게 독특한 예컨대, 32 비트 ID 를 할당하고 상기 응용 제공자 공통 키에 대한 증명서를 지급한다. 상기 증명서는 근본적으로 상기 응용 제공자 공통 키에 대한 시스템 제어기의 디지탈 서명이고, 상기 증명서의 만기일, 상기 제공자의 ID, 및 이 ID 가 상기 수신기의 파일 시스템에 사용할 수 있도록 응용을 저장하는 크기상의 제한과 같은 필드를 포함한다. 상기 시스템 제어기는 복수의 상이한 개인-공통 키 쌍을 사용할 수 있고, 상기 증명서는 상기 수신기가 각각의 증명서를 부호해독하는데 사용해야 하는 복수의 공통키를 표시하도록 플래그(flag)를 포함할 수 있다.

응용 제공자용 증명서는 공칭적으로 :

상기 증명서 정보는 해시 계수 128 이고, 해시값이 거기에 추가된다.

상기 CERTIFICATE_FLAGS 는 상기 수신기 프로세서가 특권이 부여된 동작에 엑세스하는 것을 승인/부인하는 공인 플래그를 포함한다. 플래그를 통해 엑세스되는 특권을 나타내는 예가 아래에 리스트되고;

1. 방송 링크(link)로부터 다운로드될 가능성;

2. 지역 링크(예컨대, 지역 IRD 포트를 통해 접속되는)로부터 다운로드될 가능성;

3. 지역 원격 링크(예컨대, 전화 링크를 통해)로부터 다운로드될 가능성;

4. 응용에 대해 동일 프로그램의 환경에서 트랙을 스위치할(예컨대, 비디오 트랙 1 및 2 사이를 스위치할) 가능성;

5. 방송 접속을 설정할(예컨대, TV 프로그램 또는 채널을 변경할) 가능성;

6. 지역 접속을 설정할 가능성;

7. 원격 접속을 설정할 가능성:

8. 외부 장치를 제어할 가능성;

9. 검사되지 않은 모듈을 다운로드할 가능성;

10. 응용에 대해 암호법 특성을 사용할 가능성;

11. 응용에 대해 사용자가 사용자 제한을 갖는 파일에 접근하도록 허용하기 위해 요구할 가능성;

12. 원격 디버깅(dubugging)을 위해 나머지 OCODE 모니터를 가동시킬 가능성을 포함한다. 이들 플래그는 제공자 증명서 및 응용 공인 필드 디렉토리의 두 부분이 있다. 응용은 특권이 부여된 동작을 실행하기 전에 양 지점에서 공인 플래그 세트를 가져야 한다. 각각의 수신기는 특정 특권에 엑세스하도록 또는 임의의 특권이 부여된 동작을 방지하도록 프로그램된 비휘발성 용량의 BOX 공인 마스크를 포함한다.

각 응용 제공자는 자신의 암호법 공통-개인 키 쌍을 선택하고, AVI 시스템 제어기(예컨대, 인증된 요구에 의해)에 의해 인증된 자신의 공통 키를 갖는다. 상기 응용 제공자는 상기 공통 키를 선택할때 임의의 가이드라인에 의해 제한된다. 상기 제한은 수신기 하드웨어의 성능에 관련된다. 특히, 통칭 콘슈머 일렉트로닉 수신기가 최소 메모리 및 비교적 단순한 프로세서, 인증 처리 속도 및 시간, 및 공통 키의 크기 및 형태에 영향을 미치는 요소를 포함한다. 제한의 예는 공통 키가 512 비트 이하인 것 및 비트수가 2 의 전력인 것 등일 수 있다.

특정 그룹 AVI 시스템 ID 는 수신기 또는 시스템 유지를 실행하기 위해 설계된 프로그램에 대해 보류될 수 있다. 이 시스템 ID 가 서비스 제공자 ID 에 첨부될 것이다. 프로그램이 특정 그룹 ID 와 인증 제공자 ID 를 포함하면, 대응 유지 프로그램은 특정 제공자의 ID 에 따라 상기 수신기의 더 안전한 부분으로의 엑세스를얻을 수 있다. 예를 들면, 상기 응용 제공자는 시스템 제어기일 수 있고, 첨부된 응용은 스마트 카드내의 명칭을 갱신하는 것이거나, 또는 시스템 성능 검사를 실행하는 것일 수 있다. 선택적으로, 상기 응용 제공자는 충동 구매 광고와 결합될 수 있고, 상기 프로그램이 사용자의 예금에 대한 인출을 검사하는 것 또는 수입 집중을 용이하게 하는 것 등에 관련될 수 있다. 반면에, 그룹 ID 가 특정 그룹 AVI 시스템 ID 가 아니라면, 상기 응용에 유용한 기능이 모든 응용에 유용한 기능으로 제한될 수 있다.

특정 수신기 장치의 제조자는 지정된 특정 제조자 ID 일 수 있다. 제조자 ID 를 갖는 임의의 응용은 상기 수신기에 있는 특정 인증 처리에 의해 인증될 수 있고, 상기 수신기의 조립중에 제조자에 의해 수행될 수 있다. 상기 제조자 ID 를 포함하는 프로그램은 특정 제조자에 의해 생성된 수신기에만 엑세스할 것이고, 상기 제조자에 의해 상기 수신기에 형성된 특정 세트의 기능에 엑세스하도록 작용할 수 있다. 이 형태의 응용은 업그레이드 수신기 조작 소프트웨어에 이용될 수 있다.

특정 수신기내에 있는 소프트웨어/하드웨어를 갖는 네트워크 조종자가 또한 있을 수 있다. 이 네트워크 조종자들은 모든 네트워크 수신기의 소프트웨어/하드웨어에 선택적으로 엑세스하도록 할당된 특정 ID 일 수도 있다. 상기 네트워크 조종자는 상기 네트워크 수신기의 소프트웨어/하드웨어내에 있는 자체의 인증 처리를 포함할 수 있다.

응용이 특정 시스템 형태인지 또는 제조자 형태인지 또는 네트워크 형태인지는 응용 형태 필드내의 디렉토리 모듈(표 II)에 표시된다. 상기 응용 인식자 필드는 제조자 또는 네트워크 조종자 등을 식별하는 정보를 포함할 수 있다.

안전성은 아래와 같이 응용에 적용된다. 응용 제공자가 응용을 발생시키고 디렉토리 모듈을 포함하는 각각의 모듈을 형성한 후에, 상기 응용 제공자는 검출될 상기 응용의 부분을 결정한다. 모든 경우에 상기 디렉토리 모듈이 보호될 것이다. 또한, 엔트리 포인트를 포함하는 각 모듈이 보호될 것이다. 엔트리 포인트없는 모듈은 제공자 재량으로 보호되고, 데이타 모듈도 제공자 재량으로 보호된다. 데이타 모듈내의 데이타의 부분은 빈번하게 변할 수 있고, 데이타 모듈이 보호되면, 엔코더 및 수신기에 비교적 가중한 안전 처리 부담을 지운다는 것을 알 수 있을 것이다. 따라서 데이타 모듈은 보호되지 않고 송신될 수 있다. 보호될 모듈이 선택되었을때, 상기 제공자는 안전 보호를 위해 선택된 모듈의 리스트와 각각의 모듈에 대한 보호 모드를 형성하고, 안전 보호 정보가 표시되어 있는 필드내의 디렉토리 모듈에 상기 리스트를 입력한다. 특정 AVI 시스템에서 상기 모듈 리스트는 통상의 디렉토리 정보에, 즉, 디렉토리 모듈의 제 1 안전 보호 정보 부분에 포함될 수 있다. 선택적인 AVI 시스템에서, 특정 모듈이 보호되는 지를 나타내는 정보는 상기 디렉토리내의 각각의 모듈의 추가의 안전 보호 정보 필드에 포함될 수 있다. 수신기 시스템 프로그래밍 부분은 모듈 안전 보호 정보에 대한 디렉토리를 조사하는 루틴을 포함하고, 상기 정보에 따라서 각각의 모듈에서 안전 보호 처리를 실행한다.

모듈 보호는 여러 형태를 취할 수 있다. 제 1 방법은 응용 제공자 개인 키를 갖는 선택 모듈을 간단하게 부호화하는 것이다. 제 2 방법은 상기 모듈상의 "해시" 함수를 실행하고, 각각의 모듈에 대한 추가의 안전 보호 정보 필드내의 디렉토리모듈에 상기 "해시"값을 포함하는 것이다. 제 3 방법은 상기 모듈상의 해시 함수를 실행하고, 상기 디렉토리 모듈에 상기 해시값을 포함하며, 응용 제공자 개인 키를 갖는 선택 모듈을 부호화하는 것이다. 제 4 방법은 상기 선택 모듈상의 해시 함수를 실행하고, 상기 모듈에 해시값을 첨부하며, 해시값을 가산한 모듈을 부호화하고, 상기 디렉토리 모듈에 상기 부호화된 해시값의 복제한 것을 배치하는 것이다. 상기 예의 각각에서, 디렉토리 모듈의 안전 보호 처리는 모든 다른 모듈이 처리된 후에 달성되고, 각각의 모듈에 대한 안전 보호 정보는 디렉토리 모듈내에 입력된다.

바람직한 방법은 각각의 모듈에서 해시 함수를 실행하는 단계와, 상기 디렉토리 모듈의 추가의 안전 보호 정보 필드에 각각의 해시값을 삽입하고, 상기 디렉토리 모듈에서 해시 함수를 계속적으로 실행하는 단계를 포함한다. 상기 디렉토리 모듈의 해시값은 제공자 개인 키로 부호화된다.

제공자 공통 키, 제공자 ID, 증명서 만기일, 상기 수신기에서 제공자에게 할당된 용량의 크기 등과 같은 아이템을 포함하는 서명된 증명서가 신뢰되는 응용 제공자에게 할당될 것이다. 상기 증명서는 시스템 제어기의 개인 키로 서명된다. 상기 부호화된 해시값은 상기 서명된 증명서에 첨부되고 그 조합이 상기 디렉토리 모듈에 첨부된다. 상기 디렉토리 모듈 및 모든 다른 모듈은 평문(plaintext)으로 시스템 제어기에 제공된다. 보호를 위해 선택되고 빈번하게 변화하는 데이타 모듈은 상기 데이타 모듈상의 해시값에 대한 상기 제공자의 서명 즉, 각각의 모듈의 부분에 형성되는 서명에 의해 보호된다.

상기 응용 제공자가 소량 응용 제공자 서브그룹의 사실상의 관리자인 것도 가능하다. 이 경우에, 상기 응용 제공자는 서브제공자 공통 키, 서브제공자 ID, 증명서 만기일, 상기 수신기에서 제공자에게 할당된 용량의 크기 등과 같은 아이템을 포함하고 응용 제공자 개인 키로 서명된 서브증명서를 제공할 수 있다. 이 서브증명서는 상기 응용 제공자에 할당된 증명서와 함께 디렉토리 모듈에 첨부된다.

보호의 바람직한 모드는 송신 정보를 검출/해석하는 응시 시선을 방해하지 않기 때문에 보호되지 않는다. 그러나 상기 보호 즉, 증명서 및 데이타의 해싱의 포함은 간단하게 실행할 수 있고, 상기 데이타가 인증된 소스로부터 생성되고 상기 수신 데이타의 완전함이 보장된다(상기 수신기에 인증되면)는 보장을 제공한다는 장점이 있다.

신뢰되지 않는 응용 제공자 즉, 응용 발생시에 부주의하게 되고 AVI 서비스의 완전함이 위협받을 수 있는 제공자는 자신의 각 응용에 첨부될 증명서가 제공되지 않는다. 신뢰되지 않는 제공자에 의해 제공된 응용은 신뢰된 공인 증명서에 의한 증명서에 따른다. 상기 공인 증명서는 상기 응용의 완전함을 조사할 수 있고 보호 목적으로 신뢰되지 않는 응용 제공자의 응용을 처리하며, 상기 시스템 제어기에 상기 처리된 응용을 최종적으로 전달한다.

안전 보호 처리는 도 1 및 도 5를 참조하여 추가로 기술할 것이다. 도 1 은 별개의 해싱과 부호 소자(29, 30)를 포함하지만, 2 함수가 소자(10)에 포함될 수 있는μPC 또는 디지탈 신호 프로세서(DSP)에 의해 실행되는 소프트웨어에서 실행될 수 있다는 것은 디지탈 신호 처리의 당업자는 이미 잘 알고 있다. 상기 응용이발생되어 메모리(11)에 저장되면{40}, 프로그래머는 안전 보호될 모듈을 선택/결정한다{41}. 이 모듈들은 인덱스 (i) 가 붙혀진다. 상기 디렉토리 모듈은 최상 인덱스가 할당되어 최종 처리된다. 처리될 각 모듈은 "1"로 세트되는 "변경" 플래그가 할당된다. AVI 시스템AVI 프로그램 중에 응용을 반복적으로 송신한다. 공칭적으로 코드 및 일부 데이타 모듈은 상기 프로그램 중에 변경되지 않지만, 일부 예컨대, 데이타 모듈은 변할 수 있다. 상기 응용의 반복적인 송신 중에, 안전 보호를 위해 변경되지 않은 모듈을 재처리하지 않고 실제로 변경한 모듈만을 재처리하는 것이 바람직하다. 상기 "변경" 플래그는 프로그램 기간 중의 변경에 기인하여 재처리를 요구하는 모듈의 안전 보호 처리 기능을 경고하도록 설정된다. 안전 보호될 각 모듈의 "변경" 플래그는 변경 모드로 세트된다. 상기 소자(10)는 시스템 제어기로부터의 증명서가 유용한지를 결정한다.

동작 인덱스 "i" 는 0 으로 세트되고{42}, 제 1 모듈 M(0) 는 메모리(11)로부터 엑세스된다{43}. 상기 모듈에 대한 "변경" 플래그는 검사{44} 및 리셋{45}된다. 상기 모듈이 앞서 처리되고 "변경" 플래그가 불변을 나타내면, 상기 시스템은 단계{56} 으로 점프하여, 인덱스 "i" 를 증가시키고 후속 모듈에 엑세스한다. 상기 "변경" 플래그가 변경이 모듈내에서 발생했다는 것을 나타내면, 그 플래그는 HASH 함수 프로세서(29)에 인가된다{46}. 특정 해시 함수는 각 수신기에 부과된 처리요구를 제한하도록 비교적 간단하게 유지된다. 상기 함수는 바람직하게는 단일 방법 함수이다. 상기 해시 함수는 고속 연산되어야 하고 해독하기가 극도로 난해하다.예시적인 해시 함수는 길이의 각 128 비트 256 코드워드 w_x의 벡터 W 에 기초한다. 해시 처리될(해시될) 데이타는 데이타 D 의 256 비트 배타 볼록으로 분할된다(여기에서, D = d₁, d₂, d₃, d₄, d₂₅₆). 기본 해시 함수 BH(D) 는 아래로 정의된다;

데이타 D 의 n 블록이 있다면, 상기 함수 BH(D) 의 길이의 각 128 비트 n 값, B₁, B₂, B₃, ...B_n이 발생된다. 전체 데이타의 해시를 계산하기 위해, 중간 결과 B₁는 다음과 같이 조합된다; <Bi,Bj> 가 128 블록 Bi 및 Bj 를 연결함으로써 얻어지는 256 을 나타낸다고 하자. 그후 데이타상의 해시 H(D) 를 다음과 같이 정의한다;

선택적으로 함수 H(D) 는 다음의 형태로 될 수 있다;

해싱 모드에 대한 바람직한 해시 함수는 공지된 함수 MD5(MD는 메시지 요약이고, MD5 는 1992년 4월, R. Rivest 에 의해 설명된 THE MD5 MESSAGE DIGEST ALGORITHM, RFC 1321 이다)이다. 상기 모듈이 해싱되면, 상기 모듈은 프로그램 중에 변경될 것인지를 결정하기 위해 검사된다{47}. 변경될 것이라면, 상기 해시값 H(D) 는 디렉토리내에 위치되지 않고, 메모리(11)에 저장된 모듈에 첨부된다{48}. (선택적으로, 상기 해시값은 제공자 개인 키로 서명(부호화)될 수 있고,메모리(11)에 저장된 모듈에 첨부된다). 상기 인덱스 i 는 증가되고{56}, 후속 모듈이 메모리로부터 엑세스된다. {47}에서 상기 모듈이 변경하지 않는 것으로 결정되면, 검사 {49} 는 상기 모듈이 디렉토리 모듈인지를 결정하도록 형성된다. 그렇지 않으면, 모듈 M(i) 에 대한 해시값 H(M(i)) 가 제 1 안전 보호 정보 필드 또는 각 모듈에 대한 추가 안전 보호 정보 필드내의 디렉토리 모듈 {50} 에 위치된다. 상기 인덱스 i 는 증가되고{56}, 후속 모듈은 메모리로부터 엑세스된다.

검사 {49} 에서 상기 모듈이 디렉토리 모듈이 되도록 결정되면, 상기 해싱된 값 H(M(i)) 가 부호기(30)에 인가되고, 여기에서 상기 해시값은 응용 제공자 개인 키로 부호화된다. (원한다면, 전체 디렉토리 모듈이 이 경우에 부호화를 위해 상기 부호기에 인가될 수 있다.) 증명서는 인출되고{52}, 상기 부호화된 해시값이 증명서에 첨부되며{53}, 첨부된 해시값을 갖는 증명서가 메모리(11)내의 디렉토리 모듈에 부착된다{54}. 플래그는 프로그램이 송신을 위해 예비된 데이타 패킷 프로세서/프로그램 제어기에 표시하는 것으로 세트된다{55}. 상기 시스템은 단계 {42} 로 점프하고 상기 인덱스는 0 으로 세트된다. 상기 시스템은 프로그램 중의 응용의 반복 송신중에 모듈이 변경되고 변결될 모듈만 재해싱되는지를 검사하는 것을 선행시킨다. 앞서 기술된 바와 같이, 응용 제공자는 디렉토리 모듈에 첨부될 수 있는 다른 서명된 정보/증명서를 포함할 수 있다. 상기 정보의 서명은 제공자 개인 키를 사용하여 부호기(30)에서 실행된다.

선택 실시예에서, 부호화 단계 51 은 삭제될 수 있다. 추가의 실시예에서, 모든 해싱된 모듈에 대해 모든 해시값이 부호화될 수 있다.

도 12 는 바람직한 디렉토리 모듈의 포맷을 도시한다. 디렉토리 모듈은 간단한 텍스트로 되어 있다. 디렉토리 서명(해시값) 및 증명서가 부호화되며, 전자는 제공자 키이고 후자는 시스템 제어기 키이다. 또한, 각각의 모듈이 해싱될때, 각각의 상기 모듈이 해싱 전에 텍스트 "OpenTv(TM)" 과 같은 시스템 제어기/제공자와 관련된 일부 소정의 텍스트의 ASCII 버전으로 선행될 수 있고, 그결과 각 모듈 서명은 예컨대, 해시값 H(OpenTv(_TM)+Module) 이고, 디렉토리 모듈 서명은 H(OpenTv(_TM) +Directory Module) 의 부호화된 값이다. 상기는 메모리(11)에 부착된 박스 OTV 로 도 1 에 도시되어 있고, 텍스트 "OpenTv(_TM)" 의 디지탈 버전이 거기에 저장되고 상기 값들이 판독되어 해시 함수 소자(29)에 인가될때 각각의 모듈에서 다중화될 수 있다.

도 12 의 디렉토리 모듈은 Thomson Consumer Electronics Inc. 에 의해 개발된 AVI 시스템 설계 OpenTv^TM에 대한 바람직한 포맷을 도시한다. 본 명세서에 사용된 증명서, 공통 키 및 서명은 아래에 기술되어 있다.

모든 증명서, 키 및 서명은 BIG-ENDIAN 포맷으로 복수 바이트 필드를 가진다. 포맷과 무관한 상기 구조는 다른 수신기 구조에 전반적으로 휴대 가능성을 용이하게 한다. 임의의 OpenTV 증명서는 인증된 공통 키와 OpenTV 제어기의 서명을 포함하는 가변 길이 부분을 후속시키는 고정 구조의 조합이다.

OpenTV 제어기에 의해 지급되는 2 부류의 증명서가 존재한다.

1. 응용 제조자에 제공되는 제조자(제공자) 증명서.

2. 안전 보장 통신을 설정할 수 있는 제조자(제공자)로부터의 응용에 변동 자료 서버(transaction server)로 특정되는 서버(시스템 제어기) 증명서.

또한, USER 증명서는 상기 제어기에 의해 지급될 수 있다. 상기 증명서는 OpenTV 에 의해 내부적으로 이해될 수 없지만, 외부 세계에서는 유용하게 생성된다. 상기 OpenTV 시스템은 상기 증명서의 크기를 알기만 한다. OpenTV 특정 4 바이트 헤더로부터 이격하여, 증명서 구조의 나머지는 기밀을 유지할 수 있고 표준 X.509 증명서일 수도 있다.

아래는 증명서의 공통 부분에 대한 크기이다.

32 비트 플래그 구조로 시작하는 증명서가 지급된 OpenTV 제어기가 상기 증명서를 기술한다. 다양한 플래그의 위치 및 의미는 그에 따라 기술된다.

상기 OpenTV 증명서 구조에 대한 확장을 가능하게 하기 위한 플래그는 기본 OpenTV 증명서에 대해 세트되며; 확장에 대해 세트되지 않는다. 상기 플래그는 아래와 같이 정의된다

아래 3 플래그중 정확하게 하나가 세트될 것이다.

32 비트 필드의 해석에서와 같이 SERVER/PRODUCER 증명서와 USER 증명서 사이에 상이함이 있다. 상기 증명서가 USER 증명서를 가진다면 상기 필드의 최종 16비트는 초기 32 비트 필드를 포함하는 실제의 크기이다.

SERVER/PRODUCER 플래그에 관하여, 최초 4 비트를 조사한 후에, 인증된 존재(entity)가 공지되거나, 또는 증명서가 기존의 시스템을 능가하여 확장되도록 고려된다. OpenTV 제어기 공통 키를 나타내는 후속 4 비트는 서명을 발생하는데 사용된다. 상기 후속 4 비트는 0-15 에서 번호 N 을 표시한다. 0 <= N <= 14 라면, N번째 삽입된 공통 키가 사용될 것이다. N == 15 라면, 사용될 공통 키는 EXTERNAL 신뢰 채널을 통해 수신된 최종 키이다. 내부적으로는, 시스템에서, 키 번호가 증가할 수 있다. 즉, 내부적으로 상기 키가 5 이고 키 6 을 갖는 증명서가 발생하여 검증되면, 내부 키는 6 이 되고 6 이하의 키를 갖는 증명서는 허용되지 않는다. 마지막으로, 모든 내부 키가 해독될때, 상기 공통 키는 EXTERNAL 신뢰 채널로부터만 허용되어야 한다.

상기 후속 바이트는 상기 증명서의 기술을 위해 보류된다. 현재 상기 후속 바이트는 사용되지 않는다. 상기 후속 2 바이트는 인증되는 제조자/서버 및 키에 대한 정보를 제공한다. 최초 바이트는 상기 공통 키에 대하여 알고리듬을 기술하는 플래그를 포함하고; 이것은 서버와 제조자 둘다에 공통된다. 후속 및 최종 바이트는 분리적으로 기술되도록 제조자 및 서버에 대해 상이하다.

상기 알고리듬 바이트 플래그는:

PRODUCER 증명서에 대한 최종 바이트는 현재 정의된 플래그를 갖지 않는다.

SERVER 증명서에 대한 최종 바이트는 현재 서버가 제한되는지를 나타내도록 정의된 하나의 플래그를 갖는다. 기능적인 관점에서, 상기 제한된 서버는 먼저 안전 보호 링크를 설정할때 접속 파티(party)에 대한 임의의 정보를 요구한다. 이것이 링크 설정을 매우 고속으로 만든다.

제조자 서명의 외부적으로 유용한 고정 부분은 서명의 형태를 특정하는 2 바이트 플래그 필드로 이루어지고, 2 바이트 필드는 상기 서명의 크기를 제공한다.

현재로 단 하나의 플래그는 보조 플래그를 의미한다. 상기 제조자 서명 알고리듬은 제조자에 대한 증명서에 기술되는 바와 같이 RSA_3_WITH_MD5 라면, 제조자는 상기 서명에 대한 고속 검사후에 추가의 도움을 추가하는 선택권을 가지며, 이것은

제조자, 서버 및 OpenTV 박스에 대한 공통 키 구조(RSA 에 대한)가 이제 기술될 것이다. 휴대 가능성을 위해, 계수 및 지수 크기는 4 바이트의 배수가 되어야한다. 또한, OpenTV 는 계수 크기가 S 바이트라면 빅 엔디안(big endian) 포맷으로 표시되는 상기 계수의 최초 32 비트가 0 이 아니어야 한다는 것을 요구한다. 이것은 상기 크기가 s-4 이하가 될 수 있기 때문에 제한되지 않는다.

상기 공통 키는:

fixed_pubic._key_t 으로 이루어지는데,

지수(빅-엔디안 바이트 포맷으로)를 후속시키고

계수(빅-엔디안 바이트 포맷으로)를 후속시킨다.

제조자/서버 증명서는 상기 데이타 형태의 제조자/서버의 공통 키를 후속시키는 OpenTV 제어기로 상기 증명서의 서술자를 포함하는 명문(cleartext) 부분으로 이루어진다. 또한, 상기 명문 데이타에 따르는 데이타상의 OpenTV 제어기의 디지탈 서명 S 인 암호 부분도 존재한다. 상기 상태에서 제조자/서버는 단지 S 만을 사용 또는 검사를 더 용이하게 만들기 위해 상기 서명 이상의 추가 데이타(예컨대, Q1 및 Q2)를 추가하는 둘중 하나와 선택을 갖는다.

상기 제조자/서버는 명문과 서명 S 사이에 4 바이트의 정보와 검사에 도움을 주도록 S 이상의 가능한 일부 정보를 추가할 필요가 있다. 상기 4 바이트의 정보는 플래그 및 서명으로 이루어진 데이타의 총 크기에 대한 필드를 포함하고 정보를 돕는다.

상기 2 필드의 크기는:

현재 단 하나의 플래그가 RSA_3_ASSIST 플래그로 정의된다. 세트하면, 본 명세서에서 앞에서 기술한 2 개의 몫 Q1, Q2 인 서명 S 이상의 헬프 정보가 존재한다. 이 플래그는 아래와 같이 정의된다;

상기는 모듈 레벨에서의 부호화의 상태를 기술한다. 상기는 전송 패킷 레벨에서의 추가의 부호와 중첩될 수 있다. 즉, 각각의 모듈이 송신을 위해 전송 패킷 페이로드로 분할될때, 상기 페이로드는 인증 처리와 무관하게 부호화될 수 있다.

시스템의 통상적인 기술로 돌아가서, 예컨대, 전화 모뎀에 의해 제공자 및 수신기 사이의 2 방법 통신은 예컨대, RSA 또는 데이타 부호화 표준(DES) 암호법을 사용하여 부호화된 통신과 통합할 것이다. 세션 키가 공통 키 암호법을 사용하여 셋업될 것이다. 응용은 통신하기를 원하는 것으로 상기 서버의 공통 키의 인증 버전이 존재해야 한다. 세션 키는 상기 응용 제공자 ID 가 증명서상의 서버 ID 와 일치할때만 설정되고, 상기 키 교환은 상기 증명서에 포함된 공통 키를 사용할 것이다.

도 8 은 역전송 패킷 프로세서의 소자를 포함하는 IRD 또는 AVI 신호 수신기의 부분을 블록 형태로 도시한다. 신호는 안테나(80)에 의해 검출되어 수신 신호의 특정 주파수 대역을 추출하여 기저대역 다중화 패킷 신호를 제공하는 튜너 검출기(81)에 인가된다. 상기 주파수 대역은 통상적인 방법으로 IRD 시스템 제어기(89)(이하 IRD 제어기)를 통해 사용자에 의해 선택된다. 공칭적으로 방성 AVI 신호는 예컨대, Reed-solomon 순방향 에러 보정(FEC) 코딩을 사용하여 에러 엔코딩된다. 상기 기저대역 신호는 FEC 디코더(82)로 인가된다. 상기 FEC 디코더(82)는 상기 수신 신호를 동기시키고, 도 3 에 도시되어 있는 형태의 신호 패킷의 스트림을 제공한다. 예컨대, 메모리 제어기(87)에 의해 규칙적인 기간 또는 명령으로 패킷을 제공할 수 있다. 어느 하나의 경우에 패킷 프레이밍 또는 동기 신호가 각각의 패킷 정보가 상기 FEC(82)로부터 전송되는 시간을 나타내는 FEC 회로에 의해 제공된다.

단일 AVI 신호로부터의 패킷들만이 한 번에 상기 수신기에 의해 처리될 수 있다. 이 예에서, 사용자는 선택하고자 하는 패킷에 대한 정보를 갖고 있지 않다고 가정한다. 이 정보는 각각의 SCID 를 통해 프로그램 신호 성분과 상호관계하는 데이타를 이루는 특정 프로그램인 프로그램 가이드에 포함된다. 상기 프로그램 가이드는 오디오, 비디오 및 각각의 프로그램의 데이타 성분에 대한 SCID 를 포함하는 각 프로그램의 리스트이다. 상기 프로그램 가이드(도 2 의 패킷 D4)는 고정 SCID 가 할당되어 있다. 전력이 수신기에 인가될때, 상기 IRD 제어기(89)는 일치된 필터의 뱅크일 수 있는 SCID 검출기(84)로 상기 프로그램 가이드와 관련된 SCID 를 로드하도록 프로그램된다. 상기 프로그램 가이드 SCID 가 검출될때, 상기 메모리 제어기(87)는 IRD 제어기로 사용하기 위해 메모리(88)내의 소정의 위치에 대응 패킷 페이로드를 경로지정하도록 조절된다.

상기 IRD 제어기는 키보드로 알려져 있지만, 통상의 원격 제어기 또는 수신기 전방 패널 스위치일 수 있는 인터페이스(90)를 통해 사용자로부터 프로그래밍 명령을 대기한다. 사용자는 채널 4 (아날로그 TV 시스템의 전문어(vernacular)로)에 제공되는 프로그램을 시청하도록 요구할 수 있다. 상기 IRD 제어기(89)는 채널 4 프로그램 성분의 각각의 SCID 에 대해 메모리(88)에 로딩된 프로그램 가이드 리스트를 주사하도록 및 상기 SCID 검출기(84)에 이들 SCID 를 로드하도록 프로그램된다.

원하는 프로그램에 대한 오디오, 비디오 또는 데이타 프로그램 성분의 수신된 패킷은 결국 각각의 오디오(93), 비디오(92) 또는 보조 데이타(91), (94) 신호 프로세서에 각각 경로지정된다. 상기 데이타는 비교적 일정한 비율로 수신되지만, 상기 신호 프로세서는 공칭적으로 버스트로(예컨대, 압축해제의 각 형태에 따라서) 데이타를 입력할 것을 요구한다. 도 8 의 예시적인 시스템은 먼저 각 패킷을 메모리(88)내의 소정의 위치로 경로지정한다. 그후 각 프로세서(91-94)는 상기 메모리(88)로부터 성분 패킷을 요구한다. 상기 메모리를 통해 상기 성분을 경로지정하는 것은 원하는 신호 데이타 레이트 버퍼링 또는 감소의 측정을 제공한다.

상기 오디오, 비디오 및 데이타 패킷은 상기 신호 프로세서가 성분 데이타에 용이하게 엑세하도록 인에이블하기 위해 각각의 소정의 메모리 위치로 로딩된다. 각각의 성분 패킷의 페이로드는 대응 SCID 의 함수 및 상기 SCID 검출기에 의해 제공되는 제어 신호로 적절한 메모리 영역에 로딩된다. 상기 관계가 메모리 제어기(87)내의 배선에 의한 것일 수 있고, 상기 관계가 프로그램가능하게 될 수 있다.

상기 각각의 신호 패킷은 신호 디스크램블러(86)를 통해 FEC(82)로부터 메모리 제어기(87)로 결합된다. 상기 신호 페이로드만이 스크램블되고 상기 패킷 헤더는 변경되지 않은 디스크램블러에 의해 전달된다. 패킷이 디스크램블될 것인지 아닌지는 패킷 서두의 CF 플래그(도 3)를 결정하고, 그것이 어떻게 디스크램블되는지를 CS 플래그로 지시한다. 상기 패킷 스크램블링은 상기의 응용 모듈 안전 보호 처리와 무관하다. 상기 디스크램블링 장치는 통상적인 부호해독 장치로 실현될 수 있고 수신된 증명서 및 요구되는 것과 다른 데이타의 부호해독을 실행하는데 이용될 수 있다. 그러나 처리 송신 응용의 아래의 기술에서, 부호해독은 다른 장치에 의해 실행된다.

AVI 시스템은 AVI 신호의 PC-데이타 부분과 함께 동작가능한 다수의 장치를 포함할 수 있다. 예컨대, 도 8 에서 AUX1 및 AUX2 프로세서의 둘다가 AVI 신호의 PC-데이타 부분에 응답할 수 있다. 상기 AUX1 프로세서는 송신된 재고 시장 데이타를 검출하도록 및 송신된 대화식 응용과 같은 것을 조종하도록 배열된 개인용 컴퓨터(PC)일 수 있다. AUX2 는 송신된 대화식 상업 광고와 결합하여 대화식 충동 구매를 허용하도록 배열된 텔레비전 시스템일 수 있다. 대화는 도 8 시스템고 상호접속하는 전화 모뎀(도시 생략)의 도움으로 용이하게 될 수 있다는 것을 유의하라. 또한 상기 IRD 제어기(89)는 특히 시스템 유지를 위해 송신된 응용을 처리 및 실행하도록 프로그램될 수 있다. 송신된 대화식 응용에 관련된 수신기 기능은 상기 송신된 응용과 함께 동작하는 IRD 제어기(89)의 환경에서 기술된다. (상기 대화는 그것이 대화의 일 태양이지만 사용자가 제공자와 대화하는 것만을 의미하는 것은 아니라는 것을 유의하라. 대화는 또한 특히 교육 프로그램의 영역에서 송신된 응용에 따라서 상기 시스템의 사용자 단부에서 상기 신호/시스템에 영향을 줄 수 있는 사용자의 생각을 포함할 수 있다.)

도 9 는 도 8의 IRD 제어기를 더 상세하게 도시한다. 상기 IRD 제어기(89)는 해시 함수 프로세서(96), 부호해독기(97), 모뎀(98) 및 EPROM(99)을 가지고 도시된다. 상기 해시 함수 발생기(96) 및 부호해독기(97)는 하드웨어 또는 소프트웨어의 하나로 실현될 수 있다. 상기 제어기 프로세서(μPC)는 랜덤 엑세스 메모리(RAM), 통상의 시스템 명령을 프로그래밍하는 판독 전용 메모리(ROM)를 포함할 수 있다. 다른 시스템 명령은 EPROM(99)에 포함된다. 상기 ROM 및 EPROM 은 상기 시스템이 동작가능하게 되도록 제조시에 프로그램된다. 그러나, 이 예에서, 상기 EPROM 은 대화식 송신 프로그램을 통해 시스템 기능을 갱신하도록 재프로그램될 수 있다.

제조시에, 상기 시스템이 수신기가 사용되지 않는 오전 1:00 AM과 4:00 AM 사이에 시스템 유지 SCID 를 찾도록 프로그램되어, 상기 시스템 제공자가 새로운 시스템 향상을 가지고 각각의 수신기를 갱신할 수 있다고 가정하자. 상기 수신기가 사용되지 않는 오전 1:00 AM 과 4:00 AM 사이에, 상기μPC 는 SCID 검출기가 시스템 유지 SCID 를 포함하는 패킷을 찾도록 프로그램할 것이고, 프로그램 데이타를 수신하도록 메모리(88)을 준비할 것이다. 프로그램 모듈 검출의 예는 도 10 에 도시되어 있다.

SCID 검출 및 메모리 준비에 대한 프로그래밍은 공정 {100}을 개시하는 부분이다. 상기 SCID 검출기가 프로그램되면 상기 시스템은 시스템 유지 SCID 를 포함하는 패킷이 검출될때까지 유휴한다{102}. 상기 패킷이 검출될때, 상기 패킷은 송신 유닛 또는 모듈 헤더를 포함하는지를 결정하기 위해 검사된다{104}. 그렇지 않다면, 상기 패킷은 제거되고, 상기 시스템은 후속 응용 패킷을 대기한다{102}. 임의의 응용 프로그램을 로드시키는데 필요한 정보는 프로그램(TU 헤더 또는 디렉토리 모듈 헤더) 자체에 포함되어 있고, 따라서 상기 시스템은 적절한 헤더 정보를 갖는 패킷이 유용해질 때까지 임의의 검출된 패킷을 로드시키지 않도록 제한된다. 적절한 패킷이 검출될때, 그것의 페이로드는 메모리(88)에 로드된다{106}. 상기 시스템은 후속 시스템 유지 패킷을 대기하고{108}, 상기 유지 패킷이 검출될때 그것은 메모리(88)에 로드된다{110}. 검사{112}는 완전한 모듈이 로드되었는지를 결정하도록 각각의 패킷이 메모리에 로드된 후에 형성된다. 상기 모듈이 완전하지 않으면, 상기 시스템은 후속 패킷을 대기하기 위해 단계 {108}로 백 점프한다. 상기 모듈이 완전하면, 그것은 리스팅내에 기록된다{114}.

추가의 검사는 상기 완전한 모듈이 디렉토리 모듈인지를 결정하기 위해 형성된다{116}. 그렇다면, 상기 시스템은 즉시 응용 제공자를 인증하도록 시도한다. 상기 디렉토리 모듈에 첨부되는 증명서는 부호해독되고{122}, 그것의 내용이 검사된다{124}. 상기 증명서의 내용이 확실하지 않으면, 비공인 제공자가 검출되었다는 것을 사용자에게 알리기 위해 경고 디스플레이가 가동된다. 이러한 점에서 다수의 선택이 가능하고, 그것은 a) 단계 {100}에서 상기 처리를 재개하고; b) 24 시간 동안 상기 처리를 정지하며; c) 디렉토리 모듈을 제거하고 후속 디렉토리 모듈을 대기하는 것 등을 포함한다. 도 11 은 인증 처리를 더 상세하게 도시한다. 검사 {16} 에서 디렉토리 모듈이 검출되면, 상기 증명서 및 상기 모듈에 첨부된 부호화된 해시값이 엑세스된다{1221}. 상기 증명서는 부호해독기(976)에 인가되고, 각각의 수신기에 앞서 분배되어 상기 수신기에 저장된 바 있는 AVI 시스템 제어기의 공통 키를 사용하여 부호해독된다{1222}. 상기 부호해독된 증명서는μPC에 인가된다. 상기μPC 는 EPROM 으로부터 대응 아이템에 엑세스하고, 관련 대응 아이템과 비교한다{1242}. 예를 들어, 상기 증명서는 공인된 ID 의 리스트에 대해 비교되는 ID 를 포함할 것이다. 또한, 상기 증명서는 현재 시간 및 현재 날짜 등에 대해 비교되는 만료 시간 및 만료일을 포함할 수 있다. 상기 비교된 아이템이 상기 수신기내에 저장되어 있는 대응 아이템에 대해 검사하면{1243}, 상기 증명서내로 송신된 응용 제공자 공통 키는 상기 부호해독기에 인가되어 디렉토리 모듈에 첨부되는 부호화된 해시값을 부호해독하는데{1244} 또는 상기 응용 제공자에 의해 제공된 임의의 다른 부호화된 데이타를 부호해독하는데 사용된다. (이러한 경우에, 전체 디렉토리 모듈이 부호화되면, 그것은 메모리로부터 엑세스될 수 있고 응용 제공자 공통 키가 상기 부호해독기에 인가될때 부호해독될 수 있다.) 반면에, 상기 비교된 아이템이 공인되지 않은 것으로 또는 상기 증명서가 만료된 것으로 판명되면, 상기 경고가 디스플레이된다{130}.

상기 응용 제공자가 공인된 것으로 판명되면, 상기 디렉토리 모듈은 해시 함수 소자(96)에 인가되어 해시되고{126}, 상기 해시값은μPC 내에서 상기 디렉토리 모듈에 첨부된 부호해독된 디렉토리 모듈 해시값과 비교된다{128}. (바람직한 실시예에서 예컨대, "OpenTV(TM)"의 시스템 제어기/제공자와 관련되는 임의의 소정의 텍스트의 ASCII 버전이 해싱하기 전에 각각의 모듈을 선행시키도록 부착될 것이고,그 결과 상기 각각의 해시값은 예컨대, H(OpenTV(_TM)+Module)과 동일할 것이다. 상기는 메모리(88)에 부착되는 박스 OTV 로 도 9 에 도시되어 있고, 텍스트 "OpenTV(_TM)"의 디지탈 버전이 예컨대, 메모리(88)에 저장될 수 있고, 상기 메모리로부터 판독될때 디렉토리 모듈에서 다중화될 수 있다는 것을 의미한다.) 상기 해시값이 동일하지 않다면, 상기 디렉토리 모듈은 에러를 포함하는 것으로 가정되어 메모리로부터 제거되고, 상기 모듈이 앞서 로드되었다는 사실이 상기 리스팅{114}로 부터 소거되며{134}, 상기 시스템은 후속을 패킷을 대기하기 위해 단계 {108}로 복귀한다.

상기 디렉토리 모듈의 해시값이 첨부된 해시값과 동일하면, 각각의 프로그램 모듈에 대한 해시값이 수신된 프로그램 모듈의 완전함을 검사할때 사용하기 위해 상기 디렉토리로부터 추출된다{129}. 상기 시스템은 모든 프로그램 모듈이 메모리에 로드되었는지를 검사하는 단계 {118}로 점프한다. 그렇지 않다면, 후속 모듈에 대해 어드레싱하는 메모리가 배치되고{120}, 상기 시스템은 후속의 적절한 패킷을 대기하기 위해 {108}로 복귀한다.

{118}에서의 검사가 상기 응용 프로그램이 메모리에 저장되었다는 것을 나타내면, 상기 각 프로그램 모듈은 송신을 완전하게 하기 위해 검사된다. 각각의 모듈은 메모리로부터 엑세스되고{136}, 해시 함수 소자(96)에 인가되어 해시된다{138}. 상기 각각의 해시값은μPC 에서 상기 디렉토리 모듈에 송신되거나 또는 검사하의 특정 모듈에 첨부된 대응 해시값과 비교된다{140}. 상기 해시값이 일치하지 않으면, 상기 모듈은 에러를 포함하는 것으로 가정되어 제거되고{150, 152}, 그외에 모든 모듈이 검사되었는 지를 결정하기 위해 테스트가 이루어진다{142}. 상기 모듈들이 모두 테스트되었다면, 완전한 안전 보호 검사된 응용이 메모리에 있는 지를 결정하기 위해 검사가 이루어진다{146}. 그렇지 않다면, 상기 시스템은 새로운 모듈을 로딩 개시하기 위해 단계 {120}에 복귀한다. 상기 응용이 완전하다면, 상기 응용이 실행된다{148}. 이런 예에서 상기 프로그램은 프로그램 데이타 모듈내의 특정 데이타에 엑세스하도록μPC 에 명령하고, 송신된 데이타를 갖는 EPROM 을 재프로그램할 것이다.

일단 실행이 시작되면, 상기 시스템은 송신된 신호로부터 프로그램 패킷을 추출하는 것을 계속하도록 프로그램된다. 수신시에, 각각의 헤더는 버전수가 조사된다. 특정 모듈에 대한 버전수가 변경되면, 상기 모듈은 해시 처리될 것이고, 해시값이 검사되면, 새로운 버전수를 갖는 모듈이 선행 대응 모듈을 대체할 것이다.

기술한 바와 같이, 상기 수신 장치내의 상이한 장치가 특정 송신 응용을 이용할 수 있고, 상기 응용의 실행 전에 필요한 안전 보호 처리를 실행하도록 프로그램될 수 있다. 바람직한 실시예에서, 프로그래밍 또는 하드웨어의 복제를 방지하기 위해, 상기 안전 보호 처리가 IRD 제어기에 의해 실행된다. 상기 IRD 제어기는 안전 보호 처리가 프로그램 가이드에 포함된 정보에 의해 실행될 필요가 있을때 경고될 것이다.

Claims

추가 모듈에 대한 정보를 갖고 있는 디렉토리 모듈을 포함하고, 상기 디렉토리 모듈 상에 적어도 하나의 부호화 해시 값, 및 응용 제공자를 식별하는 증명서를 포함하는 첨부된 부호화 증명서를 갖는 디렉토리 모듈을 포함하는 모듈에 송신된 실행가능 응용을 수신하는 장치에 있어서,

메모리(88)와,

상기 송신된 모듈을 검출하여 메모리에 저장하는 검출기(84)와,

상기 증명서와 검출된 디렉토리 모듈을 분리하는 수단(89, μ PC)과,

상기 증명서와 상기 부호화 해시 값을 해독하는 부호해독기(97)와,

상기 검출된 디렉토리 모듈을 해싱하여 추가 해시 값을 생성하는 해시 함수 소자(96)와,

상기 해독된 상기 증명서를 인증하고, 상기 해독된 해시 값과 상기 추가 해시 값을 비교하며, 상기 해독된 해시 값과 상기 추가 해시 값이 동일하고 상기 증명서가 인증되는 경우, 상기 프로그램을 실행하기 위해 프로그램된 프로세서(μ PC)를 포함하는 것을 특징으로 하는 실행가능 응용 수신 장치.
제1항에 있어서,

상기 디렉토리 모듈은 추가의 프로그램 모듈의 해시 값을 추가로 포함하고,

상기 장치는,

상기 검출된 디렉토리 모듈로부터 추가의 프로그램 모듈의 상기 해시 값을 엑세스하는 수단과,

상기 추가의 프로그램 모듈을 상기 추가의 프로그램 모듈에서 해시 값을 발생하는 상기 해시 함수 소자에 적용하는 수단을 더 포함하며,

상기 프로세서는 상기 디렉토리 모듈로부터 엑세스된 추가의 프로그램 모듈의 상기 해시 값과 상기 해시 함수 소자에 의해 발생된 대응하는 해시 값을 비교하도록 조절되고, 대응하는 해시 값 중 미리 정해진 최소의 해시 값이 같은 경우 상기 프로그램을 실행하게 하는 것을 특징으로 하는 실행가능 응용 수신 장치.
제1항에 있어서, 상기 송신된 디렉토리 모듈이 부호화 되고, 상기 부호해독기는 상기 디렉토리 모듈을 상기 응용 제공자 공통키로 해독하도록 조절되는 것을 특징으로 하는 실행가능 응용 수신 장치.
제2항에 있어서, 상기 프로세서는 대응하는 해시 값이 동일하지 않은 모듈을 상기 메모리에서 제거하는 수단을 포함하는 것을 특징으로 하는 실행가능 응용 수신 장치.
제1항에 있어서, 상기 부호해독기 및 해시 함수 소자는 상기 프로세서에 포함되는 것을 특징으로 하는 실행가능 응용 수신 장치.
제1항에 있어서, 상기 검출기는 순방향 에러 보정 회로를 포함하는 것을 특징으로 하는 실행가능 응용 수신 장치.
제1항에 있어서,

상기 송신된 실행가능 응용은 각각의 서비스 채널 식별자, SCID 및 스크램블링 플래그를 포함하는 전송 패킷으로 송신되고,

상기 검출기는 전송 패킷의 다중화 스트림으로부터 소정의 SCID를 갖는 전송 패킷을 선택하는 프로그램 가능 SCID 검출기를 포함하고,

상기 장치는 상기 스크램블링 플래그에 응답하여 상기 스크램블링 플래그의 각각의 상태에 따라서 각각의 패킷을 디스크램블링하는 디스크램블러를 더 포함하는 것을 특징으로 하는 실행가능 응용 수신 장치.
제1항에 있어서, 인증 안된 응용 제공자에 의해 제공된 신호의 검출을 디스플레이에 표시하게 하는 수단을 더 포함하는 것을 특징으로 하는 실행가능 응용 수신 장치.
제1항에 있어서, 소정의 텍스트의 디지탈 버전의 소스와,

디렉토리 모듈을 포함하는 적어도 하나의 상기 모듈 전에 소정의 텍스트의 상기 디지탈 버전으로 하는 장치를 더 포함하고,

상기 해시 함수 소자가 소정의 텍스트의 상기 디지탈 버전에 선행하는 상기적어도 하나의 모듈을 해싱하도록 조절되는 것을 특징으로 하는 실행가능 응용 수신 장치.
제9항에 있어서, 상기 소정의 텍스트는 OPENTV(TM)인 것을 특징으로 하는 실행가능 응용 수신 장치.
제1항에 있어서, 상기 디렉토리 모듈은 계수 N 및 지수 e를 갖는 RSA 알고리듬을 사용하여 계산된 서명 S를 포함하고, 계수 N 으로 제산함으로써 상기 서명 S 로부터 유도되는 몫 Q1, Q2를 포함하며, 상기 프로세서는 산술적인 제산을 실행하지 않고 몫 Q1 및 Q2를 사용하여 상기 서명 S를 확인하도록 조절되는 것을 특징으로 하는 실행가능 응용 수신 장치.
각각의 추가의 응용 모듈을 연결하는 정보가 있고, 응용 제공자에 관한 정보를 갖는 시스템 제공자의 공통키에 의해 부호화 증명서가 부착된 디렉토리 모듈을 포함하는 모듈로서 다중화 패킷 포맷으로 송신되는 실행가능 응용을 처리하는 방법에 있어서,

원하는 응용을 포함하는 패킷을 검출 및 선택하여 각각의 패킷의 페이로드를 각각의 모듈로서 저장하는 단계와,

부착된 부호화 증명서로 디렉토리 모듈을 선택하는 단계와,

상기 시스템 제공자의 공통키로 상기 증명서를 해독하는 단계와,

상기 해독된 상기 증명서내의 정보와 대응하는 저장 데이타를 비교하는 단계와,

상기 응용 모듈 중 하나를 해싱하여 모듈 해시 값을 생성하는 단계와,

상기 모듈 해시 값과 상기 디렉토리 모듈에 송신된 대응 모듈 해시 값을 비교하는 단계와,

상기 대응하는 생성 해시 값 및 송신된 해시 값이 동일하고, 상기 증명서에 포함된 해독 정보가 상기 대응하는 저장 데이타와 같은 경우에 응용을 실행하는 단계를 포함하는 것을 특징으로 하는 실행가능 응용 처리 방법.
제12항에 있어서,

상기 증명서는 응용 제공자 공통키를 포함하고, 상기 디렉토리 모듈은 부착된 상기 디렉토리 모듈의 해시 값을 가지는데, 상기 해시 값은 상기 응용 제공자 공통키로 부호화 되고, 상기 방법은,

상기 해독된 상기 증명서로부터 상기 응용 제공자 공통키를 추출하고, 상기 디렉토리 모듈과 상기 해독된 상기 해시 값을 분리하는 단계와,

상기 응용 제공자 공통키를 사용하여 상기 부호화 해시 값을 해독하는 단계와,

상기 해독된 부호화 해시 값과 상기 검출된 디렉토리 모듈의 해시 값을 비교하는 단계를 더 포함하는 것을 특징으로 하는 실행가능 응용 처리 방법.
제12항에 있어서, 상기 디렉토리 모듈을 해싱하기 전에 상기 디렉토리 모듈에 디지탈 방식의 텍스트 OpenTv(Tm)을 첨부하고, 상기 디렉토리 모듈을 상기 디지탈 방식의 첨부된 텍스트 OpenTv(tm)으로 해싱하는 단계를 더 포함하는 것을 특징으로 하는 실행가능 응용 처리 방법.
실행가능 응용을 발생하고, 상기 응용을 상기 응용 부분을 포함하는 모듈과 응용내의 모듈들을 연결하는 정보를 구비하는 디렉토리 모듈을 구비하는 모듈로 형성하는 프로세서(10, 11, 12)와,

상기 응용의 모듈에서 일방 해시 함수를 실행하여 대응하는 해시 값을 생성하고, 상기 디렉토리 모듈에 상기 해시 값을 삽입하기 위해 상기 프로세서와 협력하는 해시 함수 소자(29, 30)와,

응용 제공자 식별자와 상기 증명서의 발생 시간 및 만료 시간 중 하나와 관련된 시간 스템프를 포함하고, 시스템 제어기의 개인 키로 서명된 증명서와 응용 제공자 공통키의 소스(10)와,

상기 디렉토리 모듈에 상기 응용 제공자 공통키와 상기 증명서를 부착하는 수단(11, 12)과,

상기 응용의 상기 모듈에 시분할 다중화 신호를 형성하는 전송 프로세서(14, 16)를 포함하는 것을 특징으로 하는 실행가능 응용 송신 장치.
제15항에 있어서, 상기 응용 모듈의 해시 값을 포함하는 상기 디렉토리 모듈의 해시 값을 상기 응용 제공자의 개인 키로 부호화 하는 부호화 장치와,

상기 디렉토리 모듈에 상기 디렉토리 모듈의 부호화 해시 값을 부착하는 수단을 더 포함하는 것을 특징으로 하는 실행가능 응용 송신 장치.
제15항에 있어서, 상기 모듈 중 하나는 데이타가 상기 응용의 실행 중에 변경이 예상되는 데이타 모듈이고, 상기 프로세서는 각각의 모듈에 버전 번호를 적용하여 상기 모듈이 변경될 때 모듈의 버전 번호를 변경시키며,

상기 해시 함수 소자는 새로운 해시 값을 생성하기 위해 모듈의 각각의 변경된 버전을 해시하고, 대응하는 모듈에 상기 새로운 해시 값을 부착하기 위해 상기 프로세서와 협력하는 것을 특징으로 하는 실행가능 응용 송신 장치.
제15항에 있어서, 소정의 텍스트의 디지탈 버전의 소스와,

상기 디렉토리 모듈로 소정의 텍스트의 상기 디지탈 버전을 다중화하는 멀티플렉서를 더 포함하고, 상기 해시 함수 소자는 상기 디렉토리 모듈과 소정의 텍스트의 상기 디지탈 버전의 조합을 해싱하도록 조절되는 것을 특징으로 하는 실행가능 응용 송신 장치.
실행가능 응용을 발생하여 모듈로 세분화하는 단계와,

각각의 응용 모듈을 연결하는 정보를 포함하는 디렉토리 모듈을 형성하는 단계와,

일방 해시 함수로 각각의 모듈을 해싱하여 각각의 모듈에 대해 해시 값을 발생시키는 단계와,

상기 디렉토리 모듈내의 각각의 모듈에 대한 해시 값을 포함하는 단계와,

시스템 제어기 개인 키로 증명서를 부호화한 응용 제공자를 식별하는 증명서를 엑세싱하는 단계와,

상기 증명서를 상기 디렉토리 모듈에 부착시켜 상기 응용을 송신하는 단계를 포함하는 것을 특징으로 하는 실행가능 응용 송신 방법.
제19항에 있어서, 디렉토리 모듈 해시 값을 발생시키도록 디렉토리 모듈을 자체에 포함된 해시 값으로 해싱하는 단계와,

상기 디렉토리 모듈 해시 값을 부호화하는 단계와;

상기 부호화된 디렉토리 모듈 해시 값을 상기 디렉토리 모듈에 부착하는 단계를 더 포함하는 것을 특징으로 하는 실행가능 응용 송신 방법.
제19항에 있어서,

제 3자 제공자의 식별을 포함하는 추가의 증명서를 발생하는 단계와,

상기 추가의 증명서를 상기 응용 제공자 개인 키로 부호화하는 단계와,

상기 부호화된 추가의 증명서를 상기 디렉토리 모듈에 부착하는 단계를 추가로 포함하는 것을 특징으로 하는 실행가능 응용 송신 방법.
제20항에 있어서, 상기 디렉토리 모듈을 응용 제공자 개인 키로 부호화하고,

상기 부호화된 디렉토리 모듈을 송신하는 단계와,

나머지 응용 모듈을 간단한 텍스트로 송신하는 단계를 더 포함하는 것을 특징으로 하는 실행가능 응용 송신 방법.
제19항에 있어서, 상기 디렉토리 모듈 내에 해시 값을 포함하는 단계는 128비트 길이의 각각의 해시 값을 포함하고,

상기 증명서를 상기 디렉토리 모듈에 부착하는 단계는,

32 비트 증명서 서술자 또는 플래그와,

32 비트 ID와,

32 비트 수명 만기 서술자와,

32 비트 파일 용량 한계와,

128 비트 명칭과,

32 비트 공칭 키를 포함하는 증명서를 부착하는 단계를 포함하는 것을 특징으로 하는 실행가능 응용 송신 방법.