KR100615021B1 - 콘텐츠 배포/수신 방법 - Google Patents

Abstract

본 발명은, 배포자측이 안심하고 콘텐츠를 배포할 수 있고, 수신자측이 신뢰할 수 있는 콘텐츠를 수신할 수 있도록 하는 것이다.

파일수신장치는 프로세서 비밀키를 내장한 내탬퍼 프로세서를 가지고 있다. 파일수신장치에는 프로그램 암호화키로 암호화된 콘텐츠 수신 프로그램 및 인증 비밀키가 탑재됨과 더불어, 그들을 복호화하기 위한 프로그램 복호화키가 프로세서 비밀키에 대응하는 프로세서 공개키로 암호화되어 탑재되어 있다. 콘텐츠 수신 요구에 관계된 콘텐츠가 그 저작권자를 보호해야 한다고 하는 속성을 가지고 있는 경우(단계 S11), 파일수신장치까지의 통신 암호화처리를 행하고(단계 S12), 파일수신장치가 가진 인증 비밀키에 대응한 인증 공개키에 기초하여 수신 프로그램을 인증하며(단계 S13), 인증에 성공한 경우, 수신 프로그램을 신뢰할 수 있다고 판정하고(단계 S14), 콘텐츠 수신 요구에 관계된 콘텐츠를 송신한다(단계 S16).

Description

콘텐츠 배포/수신 방법 {CONTENTS DISTRIBUTING/RECEIVING METHOD}

도 1은 본 발명의 콘텐츠 배포/수신 방법이 적용되는 송수신 네트워크 시스템의 구성을 나타낸 도면,

도 2는 콘텐츠의 구성을 나타낸 도면,

도 3은 파일송신장치의 하드웨어 구성을 나타낸 도면,

도 4는 파일수신장치의 하드웨어 구성을 나타낸 도면,

도 5는 콘텐츠 배포 서버의 소프트웨어의 구성을 나타낸 도면,

도 6은 파일수신장치의 소프트웨어의 구성을 나타낸 도면,

도 7은 콘텐츠 배포 프로그램(서버)과 콘텐츠 수신 프로그램의 주고받음(교환)을 나타낸 도면,

도 8은 콘텐츠 수신 프로그램의 처리수순을 나타낸 플로우차트,

도 9는 콘텐츠 배포 프로그램의 처리수순을 나타낸 플로우차트,

도 10은 콘텐츠에 부가되는 암호화 속성을 설명하기 위한 도면,

도 11은 경로특정정보의 매립의 처리수순을 나타낸 도면,

도 12는 클라이언트 프로그램이 콘텐츠 배포 서버를 인증하는 경우의 파일송신장치의 하드웨어 구성을 나타낸 도면,

도 13은 클라이언트 프로그램이 콘텐츠 배포 서버를 인증하는 경우의 파일수 신장치의 하드웨어 구성을 나타낸 도면,

도 14는 클라이언트 프로그램이 콘텐츠 배포 서버를 인증하는 경우의 콘텐츠 배포 서버의 소프트웨어의 구성을 나타낸 도면,

도 15는 클라이언트 프로그램이 콘텐츠 배포 서버를 인증하는 경우의 파일수신장치의 소프트웨어의 구성을 나타낸 도면,

도 16은 상호 인증하는 경우의 파일수신장치의 하드웨어 구성을 나타낸 도면,

도 17은 상호 인증하는 경우의 파일수신장치의 소프트웨어의 구성을 나타낸 도면,

도 18은 상호 인증하는 경우의 클라이언트 프로그램의 처리수순을 나타낸 플로우차트,

도 19는 상호 인증하는 경우의 콘텐츠 배포 서버 프로그램의 처리수순을 나타낸 플로우차트,

도 20은 폴리시 테이블의 예를 나타낸 도면,

도 21은 캐쉬 서버를 포함하는 송수신 네트워크 시스템의 구성을 나타낸 도면,

도 22는 캐쉬 서버의 하드웨어 구성, 즉 캐쉬 서버로서의 파일송수신장치의 구성을 나타낸 도면,

도 23은 캐쉬 서버의 소프트웨어의 구성을 나타낸 도면,

도 24는 콘텐츠 배포 서버와 캐쉬 서버의 주고받음과, 캐쉬 서버와 이용자의 주고받음을 나타낸 도면,

도 25는 캐쉬 서버가 콘텐츠 배포 서버로부터 콘텐츠를 수신하기까지의 처리수순을 나타낸 플로우차트,

도 26은 캐쉬 서버가 이용자에게 콘텐츠를 송신하기까지의 처리수순을 나타낸 플로우차트,

도 27은 바이러스 검사 프로그램의 구성을 나타낸 도면,

도 28은 서버의 버전검사를 행하지 않는 종래의 콘텐츠 취득방법을 나타낸 도면,

도 29는 서버의 버전검사를 행하는 종래의 콘텐츠 취득방법을 나타낸 도면,

도 30은 서버의 버전검사를 행해도 바이러스에 감염되어 버린 종래의 콘텐츠 취득방법을 나타낸 도면,

도 31은 서버의 버전검사를 행해도 바이러스에 감염되어 버린 종래의 콘텐츠 취득방법을 나타낸 도면이다.

< 도면부호의 설명 >

1 --- 파일송신장치, 11 --- 범용 프로세서,

2 --- 파일수신장치, 21 --- 내탬퍼 프로세서,

211 --- 프로세서 비밀키, 3 --- 콘텐츠 작성자,

41 --- 서버 프로그램, 411 --- 콘텐츠 암호화기능,

412 --- 브라우저 공개키 리스트, 413 --- 클라이언트 인증 프로그램,

414 --- 인증 공개키, 51 --- 브라우저 프로그램,

53 --- 콘텐츠 수신 프로그램, 531 --- 프로그램 복호화키,

532 --- 인증 비밀키, 533 --- 콘텐츠 복호화 기능,

6 --- 파일송신장치, 61 --- 내탬퍼 프로세서,

7 --- 파일수신장치, 71 --- 범용 프로세서,

81 --- 콘텐츠 배포 서버 프로그램, 811 --- 프로세서 복호화키,

812 --- 인증 비밀키, 813 --- 콘텐츠 암호화 기능,

814 --- 콘텐츠 배포 기능, 91 --- 클라이언트 프로그램,

93 --- 서버 검사 프로그램, 931 --- 서버 검사 기능,

932 --- 인증 공개키, 101 --- 클라이언트 프로그램,

103 --- 서버 검사 프로그램, 1031 --- 프로그램 복호화키,

1032 --- 인증 비밀키, 1033 --- 서버 검사 실행 프로그램,

1034 --- 폴리시 테이블, 20 --- 파일송수신장치,

201 --- 내탬퍼 프로세서, 2011 --- 프로세서 비밀키,

301 --- 캐쉬 서버 프로그램, 3011 --- 콘텐츠 수신 프로그램,

3012 --- 콘텐츠 배포 기능, 3013 --- 프로그램 복호화키,

3014 --- 콘텐츠 배포 서버용 인증키,

3015 --- 콘텐츠 수신 프로그램용 인증키,

40 --- 바이러스 검사 프로그램, 401 --- 프로그램 복호화키,

402 --- 바이러스 검사 기능, 403 --- 인증키,

50 --- 콘텐츠 배포 서버, 60 --- 콘텐츠 열람 프로그램,

70 --- 캐쉬 서버, 80 --- 이용자 열람 프로그램,

110 --- 보안기관, 120 --- 서버 프로그램 공급자,

130 --- 공격자, 140, 150 --- 서버,

160 --- 이용자, 901 --- 콘텐츠 본체,

902 --- 저작권 보호 속성, 903 --- 암호화 속성,

904 --- 폴리시 테이블.

본 발명은 콘텐츠 배포/수신방법에 관한 것으로, 특히 프로세서 비밀키를 내장하는 내탬퍼 프로세서(anti-tamper processor)를 채용한 장치를 이용한 콘텐츠 배포/수신방법에 관한 것이다.

근래의 컴퓨터 네트워크의 보급에 의해, 제공자측은 소프트웨어나 음악데이터 등의 디지털 콘텐츠를, 인터넷 등의 네트워크를 매개로 하여 열화 없이 저가로 배포하는 것이 가능하게 되었다.

한편, 마찬가지로 이용자측은 그들 디지털 콘텐츠를 간단히 다운로드 등 하는 것이 가능하게 되었다.

< 콘텐츠 제공자에 의한 콘텐츠의 배포라는 시점(視點) >

상술한 바와 같은 디지털 콘텐츠는 품질을 열화시키는 일없이 저가로 복제하는 것이 가능한 성질 때문에, 콘텐츠가 일단 이용자의 손에 넘어가 버리면, 저작권자의 허가를 얻지 않은 부정복사를 방지하거나, 요금징수를 수반하는 라이센스 제어를 달성하는 것은 용이하지 않다. 또, 그 콘텐츠를 입수한 이용자가 마치 그 콘텐츠의 작자인 것처럼 행동하여 당해 콘텐츠를 이용한 다른 콘텐츠를 작성하고, 부정하게 2차 이용하는 것도 방지는 어렵다. 특히, 여러 가지 프로그램을 이용할 수 있는 퍼스널 컴퓨터(Personal Computer: PC)나 PDA(Personal Digital Assistant)라고 하는 오픈 시스템(open system: 개방 시스템)의 기기에 있어서, 그 방지는 곤란하다. 현재의 기술에 있어서, 이들 기기에서 리버스 엔지니어링(reverse engineering: 분해 공학)이라 불리는 이용자에 의한 프로그램의 해석을 방지하는 것은 곤란하기 때문이다.

인터넷에 의한 정보의 배포에서는, 웹(Web)브라우저를 사용하는 것이 널리 보급되어 있다. 종래의 웹브라우저에서는, 네트워크 경유로 배포되는 정보의 비밀을 보호하기 위해 SSL(Secure Socket Layer: 보안 소켓 계층)이라 불리는 암호기구(暗號機構)가 널리 사용되고 있다. 다만, 이 기구는 서버측으로부터의 정보의 배송을 특정의 단말에만 제한하는 것, 및 단말이 열람하고 있는 정보의 다른 단말로부터 특정되지 않음으로써 단말측의 프라이버시를 보호하는 것은 가능하지만, 배송된 정보가 평문(平文)의 형식으로 단말에 보존되기 때문에, 그 정보를 무제한으로 복제, 2차 이용하는 것이 가능하게 되어 버린다. 설령 브라우저측에 암호기술을 응용한 부정복사 방지의 기구를 설치했다고 해도, PC나 PDA의 소프트웨어에서는 리버스 엔지니어링에 의해 그 기구가 해석되고, 해독되어 버리는 것을 방지하기 어렵다.

물론, 서버에서 정보에 2차적인 암호화를 실시함으로써, 배송된 정보의 복제이용을 제한하는 것은 가능하지만, 그렇게 하면, 한편으로 브라우저에 있어서 정보의 재생이용이 불가능하게 되어 편리성이 저하되어 버린다.

콘텐츠의 부정한 2차 이용을 방지하기 위해, 콘텐츠 작성자가 콘텐츠 자체에 불가분의 형태로 저작권 표시를 포함하는 정보를 매립해 두고, 그것을 부정복사의 추적이나 이용제한에 사용하는 수법이 전자 흐린 바탕무늬(Digital Watermark; 이하, 전자 워터마크라 한다)로서 알려져 있다. 서버측에서 정보에 전자 워터마크를 매립함으로써, 부정하게 2차 이용된 정보에 있어서 본래의 저작권자를 특정하는 것은 현재의 기술로 가능하다.

그러나, 정보의 부정이용을 근본적으로 방지하기 위해서는, 단순히 부정 2차 이용을 검출할 뿐만 아니라, 정보가 부정하게 2차 이용된 경로를 특정하고, 적절한 대책을 취하는 것이 불가결하다. 그렇지만, 현재의 기구로는 경로를 특정할 수 있는 정보를 콘텐츠에 매립하는 것은, 다음의 2가지의 이유에 의해 어렵다.

하나는, 클라이언트측에서 신뢰할 수 있는 경로특정정보 매립수단이 없는 점이다. 현재의 정보배신(配信; 이하, 분배라고 기재한다)기구에 있어서도, 서버측이 이용자를 특정하고, 이용자 정보를 전자 워터마크 등의 수단으로 콘텐츠에 매립하는 것은 가능하다. 그러나, 분배수가 증가함에 따라 서버의 부하는 커지기 때문에, 분배비용이 높아져 버린다. 캐쉬 서버 등의 서버의 부하경감수단도 사용할 수 없게 된다.

다른 하나는, 이용자의 프라이버시 보호의 관점이다. 상술한 현재의 정보분 배의 기구에 있어서는, 서버측으로부터 단말을 확실하게 특정하기 위해서는 이용자의 개인정보를 특정하는 것에 의지하지 않을 수 없기 때문에, 서버측이 정보를 분배한 개인을 특정하는 것으로 되어 이용자측은 프라이버시정보 유출의 염려가 있어 이용의 장벽으로 된다. 한편, 서버측에서는 수집한 이용자 정보의 적절한 관리를 태만히 한 경우, 이용자 정보의 유출을 초래하여 이용자와의 비밀유지의무 위반의 책임을 지는 리스크가 있다.

한편, 다수 공급자(multi-vender)의 오픈 시스템에 있어서, 응용 프로그램의 프로그램이나 처리하는 데이터의 비밀을 지키는 것이 가능한 시스템이 제안되어 있다(일본 특허공개 2001-230770(P2001-230770A)). 이 기술의 적용에 의해, 단말측 프로그램에서의 부정복제를 방지하여, 분배된 정보가 정확히 취급되는 것을 보증할 수 있는 가능성이 있다(이러한 소프트웨어를 보호 소프트웨어라 한다). 다만, 설령 이러한 소프트웨어가 존재한다고 해도, 종래부터의 단말측 프로그램(종래 프로그램)이 네트워크상에 혼재하고 있던 경우, 서버는 이들 단말 소프트웨어를 구별하여 저작권 보호된 정보는 보호 소프트웨어로만 분배하고, 종래 소프트웨어로는 분배하지 않는 것이 필요하다.

이상을 요약하면, 종래에 있어서는, 서버측이 복제불능이라고 지시한 정보라도, 단말측의 소프트웨어의 처리과정에 있어서 확실히 복제를 방지할 수 있는 기구가 없었다. 또, 설령 복제를 확실히 방지할 수 있는 단말 소프트웨어(보호 소프트웨어)가 있었다고 해도, 서버가 그 이외의 단말 소프트웨어(종래 소프트웨어)와 보호 소프트웨어를 네트워크상의 인증에 의해 구별하여 저작권 보호된 정보는 보호 소프트웨어로만 배포하는 기구가 존재하지 않았다.

또, 이러한 문제점에 더하여, 분배한 콘텐츠에 경로특정정보를 매립할 수 있는 안전하면서 효율적인 수단이 없었다. 더 구체적으로는, 경로특정정보의 매립을 단말측에 있어서 확실히 행할 수 있고, 또한 그 매립시에 이용자의 프라이버시정보를 서버측에 개시할 필요가 없는 방법이 존재하지 않았다.

그런데, 콘텐츠 제공자에 의한 콘텐츠의 배포의 형태의 변형태양으로서 캐쉬 서버를 활용하는 형태가 있다.

캐쉬 서버를 이용함으로써, 대량의 콘텐츠를 배포하는 것이 가능하게 될 뿐만 아니라 캐쉬 서버에 부하를 분산시킴으로써, 콘텐츠 배포 서버에 요구되는 처리능력을 작게 억제하고, 결과로서 콘텐츠 작성자의 부담을 억제하는 것으로 되어 콘텐츠 작성자는 저가로 배포 서버를 구축할 수 있다.

종래에 있어서는, 캐쉬 서버를 이용하여 콘텐츠를 배포할 때, 콘텐츠 제공원은 캐쉬 서버가 라이센스 등의 제한을 지킬 이용자에게만 배포되고 있는가 확실히 확인할 수 없다. 또, 캐쉬 서버가 악의 있는 관리자에 의해 관리되고 있던 경우, 콘텐츠 제공원의 희망에 반하여 콘텐츠가 부정하게 2차 복사되어 불특정 다수의 이용자에게 배포되는 것을 미연에 방지할 수 없었다. 더욱이, 이용자 개별의 라이센스 관리를 행하기 위해서는, 이용자와 콘텐츠 제공원 사이에서 인증처리와 고객관리처리가 필요하다. 이 처리를 캐쉬 서버로 대행시키는 경우에도, 마찬가지로 콘텐츠 배포원을 윤리적으로 신뢰하지 않으면 안된다.

또, 캐쉬 서버에 바이러스 검사 프로그램이 인스톨되어 있는 경우, 그 바이 러스 검사 프로그램은 검사를 위해 일시적으로 콘텐츠를 복호화할 필요가 있지만, 악의 있는 관리자에 의해 그 바이러스 검사 프로그램이 콘텐츠를 공격하도록 조작된 경우, 복호화된 콘텐츠는 이러한 공격에 대해 무방비이다.

< 콘텐츠 이용자에 의한 콘텐츠의 취득이라는 시점 >

한편, 콘텐츠 이용자측에서 보면, 콘텐츠 배포원이 정당한 서버인가, 혹은 배포된 콘텐츠는 개찬(改竄)되어 있지 않은가 하는 문제가 있다. 특히, 최근 님다(Nimda)로 대표되는 컴퓨터 바이러스나 트로이의 목마 등의 컴퓨터 네트워크를 매개로 한 공격에 의해 서버 관리자뿐만 아니라 일반의 계산기(컴퓨터) 이용자가 피해를 받는 경우가 많다. 또, 그들의 공격에 의해 사회적인 신뢰도가 높은 서버상의 정보의 일부가 개변(改變)되어 그 정보를 열람한 이용자가 피해를 받는, 말하자면 간접적인 공격을 받는 경우도 눈에 띄게 되었다. 따라서, 서버 관리자뿐만 아니라 이용자가 네트워크를 매개로 하여 서버의 안전성을 확실히 평가하고, 그 평가에 기초하여 서버의 이용을 판단하여 위험을 회피할 수 있으면, 이용자에게 유익하다.

그러나, 종래의 기술에서 이용자측이 콘텐츠의 안전성을 확인하는데는 다음과 같은 문제가 있다.

콘텐츠나 어플리케이션(application: 응용 프로그램)의 배포 서비스를 제공하는 서버에 있어서, 설정상의 미스나 소프트웨어상의 결함이 존재하는 경우, 악의 있는 이용자가 그 서버의 내용을 개변하고, 정당한 어플리케이션이나 콘텐츠를 다운로드시킴으로써 바이러스나 트로이의 목마를 혼입시킬 위험성이 있다.

즉, 현상(現狀: 현재의 상황)에서는, 버퍼 오버플로우 공격 등 서버측의 시스템 프로그램이나 어플리케이션에 내재하는 문제에 의해, 설령 서버가 윤리적으로 신뢰할 수 있는 관리자에 의해 운영되고 있어도, 서버가 배포하는 정보가 개변되거나, 바이러스가 혼입되는 것을 피할 수 없다.

다만, 상기의 공격에 의해 바이러스에 감염된 서버가 네트워크상에 다수 존재할 때, 서버 이용자의 계산기가 바이러스의 감염을 회피하는 방법으로서, 서버의 프로그램이 각종 공격으로의 대책을 실시한 버전의 것임을 확인할 수 있으면, 기지의 수법에 의한 공격으로부터 안전하다는 것이 확인될 것이다.

그러나, 종래의 기술에서는 단순히 서버에서 동작하는 프로그램의 버전번호 등을 취득하는 기능이 있을 뿐이고, 이들 버전정보는 바이러스 작성자가 서버 프로그램을 개변함으로써 위조하는 것도 용이하기 때문에, 신뢰하기에 족한 확인수단으로는 될 수 없었다.

이하, 이용자측에 의한 콘텐츠의 안전성의 확인이라는 시점에서의 종래의 문제점을 구체예로 설명한다.

도 28∼도 31은 서버 프로그램의 취약성(脆弱性) 정보를 공개 및 제공하는 보안기관(110), 서버 프로그램을 배포하는 서버 프로그램 공급자(120), 악의 있는 공격자(130), 콘텐츠를 배포하는 기능을 가진 서버(140), 서버(150) 및 이들 서버(140, 150)의 이용자(160)의 각각의 동작을 시계열로 나타내고 있다.

도 28은 서버의 버전검사를 행하지 않는 종래의 콘텐츠 취득방법을 나타낸 도면이다.

일반적으로, 서버 프로그램에 대한 보안상의 취약성 정보, 특히 문제점은 보안기관(110)으로부터 권고(勸告)라는 형태로 널리 고지·개시되는 일이 많다. 서버 프로그램 공급자(120)는 그들 취약성 정보에 기초하여 수정 프로그램을 작성하고, 서버 관리자에 대해 예컨대 인터넷을 이용하여 공개한다. 이하, 이 수정 프로그램을 수정 패치라 부른다. 물론, 문제점을 보안기관이 일반적으로 공개하기 전에, 서버 공급자가 자주적으로 수정 패치를 공개하는 경우도 있다.

서버 이용자는, 서버 프로그램 공급자에 의해 공개된 수정 패치를 자주적으로 입수하여 자신이 관리하는 서버에 적용한다. 물론, 수정 패치의 적용은 강제적인 것은 아니기 때문에, 현상에서는 반드시 모든 서버 관리자가 최신의 수정 패치를 적용하고 있는 것으로는 한정되지 않는다.

도 28에 나타낸 구체예에 있어서, 서버(140)는 수정 패치를 적용하고, 서버(150)는 수정 패치를 적용하지 않은 것으로 한다.

한편으로, 악의 있는 공격자는, 공개된 취약성 정보나 수정 패치를 해석함으로써, 서버를 공격하기 위한 공격 프로그램을 작성하고, 서버에 대해 공격을 행한다. 여기서, 악의 있는 공격자(130)가 서버(140) 및 서버(150)에 공격을 행하는 것으로 한다.

수정 패치를 적용한 서버(140)는 이 공격을 막을 수 있다. 그렇지만, 서버(150)는 수정패치를 적용하고 있지 않기 때문에, 공격자(130)에 의해 탈취되어 버릴 위험성이 있다. 이 구체예에서는, 공격 후에 콘텐츠의 내용을 개변하고, 정당한 콘텐츠를 바이러스가 부가된 콘텐츠로 치환하는 것으로 한다.

이용자(160)가 서버(140, 150)의 콘텐츠를 이용하려고 하면, 이용자(160)는 서버(140)로부터는 정당한 콘텐츠를 이용할 수 있다. 그렇지만, 서버(150)의 콘텐츠는 이미 공격자에 의해 바이러스 부가의 콘텐츠로 개변되어 있기 때문에, 이용자(160)는 바이러스를 함유한 콘텐츠라는 것은 알지 못하고 서버(150)로부터 콘텐츠를 다운로드해 버려 이용자(160)의 컴퓨터가 바이러스에 감염되어 버린다.

이러한 관점으로부터, 도 29에 나타낸 구체예에 있어서는 이용자가 콘텐츠의 다운로드를 행하기 전에 서버의 버전번호를 확인함으로써 서버가 개변되어 있지 않은가를 판단하고, 바이러스를 함유한 콘텐츠를 다운로드하는 것을 미연에 방지하는 방법을 나타낸다.

보안상의 결함이 있는 서버 프로그램의 버전번호를 0으로 한다. 여기서, 서버 프로그램에 수정패치를 적용한 경우, 서버의 버전번호는 1로 되는 것으로 한다.

도 28의 예와 다른 점은, 서버 이용자(160)는 자신의 컴퓨터에 서버 검사 프로그램을 인스톨하고, 다운로드를 행하기 전에 이 서버 검사 프로그램을 동작시켜 수정패치가 적용된 버전번호 1의 서버에 한해 거기로부터 콘텐츠를 다운로드한다고 하는 점이다.

이와 같이 이용자(160)가 서버 프로그램을 검사한 경우, 수정패치를 적용한 서버(140)는 버전번호가 1이기 때문에, 이용자(160)는 그 서버(140)를 정상 이용한다. 이 예에서는, 이용자(160)는 콘텐츠를 다운로드한다. 한편, 수정패치를 적용하고 있지 않은 서버(150)는, 버전번호가 0 그대로이기 때문에, 이용자(160)는 거기로부터는 콘텐츠를 다운로드하지 않는다. 이 때문에, 바이러스의 감염을 미연에 방지할 수 있다.

그렇지만, 이 방법에서도 바이러스의 감염을 완전히 방지할 수 없는 예를 도 30 및 도 31에 나타낸다.

일반적으로 수정패치는 널리 공개되어 있기 때문에, 악의 있는 공격자가 그것을 입수하여 해석하는 것은 비교적 용이하다.

이 예에서는, 악의 있는 공격자(130)가, 배포된 수정패치를 해석하고, 버전검사 프로그램에 대해 버전번호를 위조하는 것과 같은 거짓 수정패치를 작성하며, 공격이 성공한 때에는 이 거짓 수정패치를 적용하는 것과 같은 공격을 행한 것으로 한다. 도 30의 예에서는, 정규의 수정패치를 적용한 서버(140)에 대해서는 공격은 실패한다. 한편, 수정패치를 적용하고 있지 않은 서버(150)에 대해서는 공격은 성공하고, 상기 거짓 수정패치가 적용된다.

이러한 경우, 이용자(160)가 설령 다운로드 전에 검사 프로그램을 동작시켰다고 해도, 서버(150)가 거짓 수정패치를 적용시켜 위조된 버전번호를 수취한 것임을 알지 못하고 그 서버(150)로부터 바이러스에 감염된 콘텐츠를 다운로드해 버린다.

이 위험은 다운로드시에 서버 및 이용자 사이에서 복잡한 암호 프로토콜을 사용한다고 해도 해결할 수 없다. 왜냐하면, 서버 프로그램이나 수정패치가 해석되어 버리면, 암호 프로토콜을 재현하는 처리를 공격자가 거짓 수정패치에 짜 넣는 것이 가능하게 되어 버리기 때문이다. 따라서, 이용자는 서버가 거짓 수정패치를 적용시킨 공격이 끝난 서버인 것으로 깨닫지 못한다.

요약하면, 문제로 되는 것은 이하의 2가지 점이다.

서버의 안전성을 평가하기 위해서는 서버의 버전검사만으로는 불충분하다. 또, 안전성을 평가하는 처리는 확실하게 수행될 필요가 있다.

서버 프로그램이나 수정패치가 해석되어 버림으로써, 그 동작을 재현하는 프로그램을 공격자가 작성하는 것이 가능하다.

이상, 「콘텐츠 제공자에 의한 콘텐츠의 배포라는 시점」 및 「콘텐츠 이용자에 의한 콘텐츠의 취득이라는 시점」에서 설명했지만, 합치면 네트워크를 매개로 한 콘텐츠의 배포에 있어서, 저작권자가 부정복사를 확실하게 방지할 수 있고, 또한 콘텐츠 이용자는 콘텐츠를 수신하기 전에 서버의 안전성을 평가하여 안전한 서버로부터만 콘텐츠를 취득할 수 있는 것이 저작권자에게도 콘텐츠 이용자에게도 중요하다.

본 발명은 상술한 바와 같은 사정을 감안하여 이루어진 것으로, 본 발명의 목적은 배포자측이 안심하고 콘텐츠를 배포할 수 있고, 수신자측이 신뢰할 수 있는 콘텐츠를 수신할 수 있는 콘텐츠 배포/수신방법을 제공함에 있다.

구체적으로는, 본 발명의 목적은 콘텐츠에 따른 저작권자의 권리와 수신자의 프라이버시를 정당하게 보호하면서 콘텐츠를 배포하고, 또 수신자가 콘텐츠 배포 서버의 안전성을 확실하게 확인하면서 콘텐츠를 수신할 수 있는 콘텐츠 배포/수신방법을 제공함에 있다.

또, 본 발명의 목적은 콘텐츠에 따른 저작권자의 권리와 수신자의 프라이버 시를 정당하게 보호하면서 콘텐츠를 배포할 수 있는 콘텐츠 배포/수신방법을 제공함에 있다.

더욱이, 본 발명의 목적은 수신자가 콘텐츠 배포 서버의 안전성을 확실하게 확인하면서 콘텐츠를 수신할 수 있는 콘텐츠 배포/수신방법을 제공함에 있다.

상기 목적을 달성하기 위해, 청구항 1에 기재된 콘텐츠 배포/수신방법은, 프로세서 비밀키를 내장하는 마이크로프로세서 및 외부 메모리를 갖춘 수신장치와, 다른 송신장치에 있어서 실행되는 콘텐츠 배포/수신방법에 있어서,

상기 수신장치에 구비되는 상기 마이크로프로세서는, 복수의 프로그램에 각각 대응하는 복수의 배포키를 상기 프로세서 비밀키에 의해 각각 복호화함으로써 얻어지는 복수의 프로그램키를 취출하고, 상기 복수의 프로그램키에 의해 각각 암호화된 상태에서 상기 외부 메모리에 배치된 복수의 프로그램을, 대응하는 프로그램키에 의해 각각 복호화하여 의사병렬적으로 실행가능한 것이며,

상기 수신장치에 있어서 실행되는 암호화된 콘텐츠 수신열람 프로그램은, 소정의 비밀이 대응하는 프로그램키에 기초하여 암호화된 상태에서 격납되고, 상기 송신장치에 대해 상기 비밀의 유지를 증명하는 증명단계를 갖추고,

상기 송신장치에 있어서 실행되는 콘텐츠 송신 프로그램은, 상기 수신장치의 콘텐츠 수신열람 프로그램으로부터 콘텐츠를 특정한 수신요구를 수취하는 요구수신단계와, 상기 수신요구의 발행원의 콘텐츠 수신열람 프로그램에 대해 상기 소정의 비밀을, 상기 콘텐츠 수신열람 프로그램의 비밀키에 대응하고, 콘텐츠 송신 프로그 램이 미리 유지하는 공개키에 기초하여 소정의 공개키 알고리즘에 의해 인증하는 기능, 또는 콘텐츠 송신 프로그램이 미리 유지하는 상기 콘텐츠 수신열람 프로그램과의 사이에서 공유하는 비밀키에 기초하여 비밀키 알고리즘에 의해 인증하는 기능의 어느 하나를 가진 인증단계 및, 상기 인증단계에 있어서 콘텐츠 수신열람 프로그램이 상기 소정의 비밀키를 유지하는 것이 증명된 경우만, 상기 콘텐츠 수신열람 프로그램과 콘텐츠 송신 프로그램과의 사이에서 다른 프로그램으로부터 배타적으로 공유된 비밀에 기초하여 암호화된 콘텐츠의 송신을 허가하는 보호단계를 갖춘 것을 요지로 한다.

본 발명에 의하면, 수신장치에서 실행되는 콘텐츠 수신열람 프로그램에 있어서, 소정의 비밀이 대응하는 프로그램키에 기초하여 암호화된 상태에서 격납되어 있고, 송신장치에 있어서 실행되는 콘텐츠 송신 프로그램은 콘텐츠 수신열람 프로그램의 소정의 비밀을 공개키 알고리즘 또는 비밀키 알고리즘에 의해 인증하도록 하고 있으므로, 콘텐츠 송신 프로그램은 그 인증에 성공하면 수신장치를 신뢰하고 콘텐츠를 송신할 수 있다.

또, 청구항 2에 기재된 콘텐츠 배포/수신방법은, 청구항 1에 기재된 콘텐츠 배포/수신방법에 있어서, 상기 송신장치에 있어서 실행되는 콘텐츠 송신 프로그램은, 상기 요구된 콘텐츠에 포함된 저작권 보호지정의 유무를 판별하는 판별단계를 더 갖추고, 이 판별단계에 의해 보호지정 있음이라고 판별된 콘텐츠에 대해 상기 인증단계를 실행하는 것을 요지로 한다.

또, 청구항 3에 기재된 콘텐츠 배포/수신방법은, 청구항 1에 기재된 콘텐츠 배포/수신방법에 있어서, 상기 수신장치에 있어서 실행되는 콘텐츠 수신열람 프로그램은, 유효기한에 관한 정보가 포함된 콘텐츠를 수신한 경우에는, 상기 유효기한에 관한 정보에 기초하여 콘텐츠의 열람을 제어하는 것을 요지로 한다.

또, 청구항 4에 기재된 콘텐츠 배포/수신방법은, 청구항 1에 기재된 콘텐츠 배포/수신방법에 있어서, 상기 콘텐츠는, 그 콘텐츠를 이용할 때의 제한사항, 그 콘텐츠의 저작권 표시내용, 그 콘텐츠의 과금정보 중 적어도 하나를 포함하는 것을 요지로 한다.

또, 청구항 5에 기재된 콘텐츠 배포/수신방법은, 청구항 1에 기재된 콘텐츠 배포/수신방법에 있어서, 상기 콘텐츠 수신열람 프로그램은, 상기 콘텐츠를 수신한 때에, 상기 콘텐츠를 수신한 수신장치 및 상기 수신장치의 소유자의 적어도 한쪽을 특정하는 정보를, 수신한 그 콘텐츠에 부가하는 것을 요지로 한다.

또, 청구항 6에 기재된 콘텐츠 배포/수신방법은, 프로세서 비밀키를 내장하는 마이크로프로세서 및 외부 메모리를 갖춘 송신장치와, 다른 수신장치에 있어서 실행되는 콘텐츠 배포/수신방법에 있어서,

상기 송신장치에 구비되는 상기 마이크로프로세서는, 복수의 프로그램에 각각 대응하는 복수의 배포키를 상기 프로세서 비밀키에 의해 각각 복호화함으로써 얻어지는 복수의 프로그램키를 취출하고, 상기 복수의 프로그램키에 의해 각각 암호화된 상태에서 상기 외부 메모리에 배치된 복수의 프로그램을, 대응하는 프로그램키에 의해 각각 복호화하여 의사병렬적으로 실행가능한 것이며,

상기 송신장치에 있어서 실행되는 암호화된 콘텐츠 송신 프로그램에는, 소정의 비밀이 대응하는 프로그램키에 기초하여 암호화된 상태에서 격납되고, 상기 수신장치에 대해 상기 비밀의 유지를 증명하는 증명단계를 갖추고,

상기 수신장치의 콘텐츠 수신열람 프로그램은, 상기 콘텐츠의 송신원의 콘텐츠 송신 프로그램에 대해 상기 소정의 비밀을, 상기 콘텐츠 송신 프로그램의 비밀키에 대응하고, 콘텐츠 수신열람 프로그램이 미리 유지하는 공개키에 기초하여 소정의 공개키 알고리즘에 의해 인증하는 인증단계와, 상기 인증단계에 있어서 콘텐츠 송신 프로그램이 상기 소정의 비밀을 유지하는 것이 증명된 경우에만 상기 콘텐츠 송신 프로그램으로부터 콘텐츠를 수신하는 것을 요지로 한다.

본 발명의 의하면, 송신장치에서 실행되는 콘텐츠 송신 프로그램에 있어서, 그 콘텐츠 송신 프로그램에 대응지워진 비밀키가 프로그램키에 기초하여 암호화된 상태에서 격납되어 있으며, 수신장치의 콘텐츠 수신열람 프로그램은 콘텐츠의 송신원의 콘텐츠 송신 프로그램에 대해 콘텐츠 송신 프로그램의 비밀키에 대응하고, 콘텐츠 수신열람 프로그램이 미리 유지하는 공개키에 기초하여 소정의 공개키 알고리즘에 의해 인증하도록 하고 있으므로, 콘텐츠 수신열람 프로그램은 그 인증에 성공하면 배포장치를 신뢰하고 콘텐츠를 수신할 수 있다.

또, 청구항 7에 기재된 콘텐츠 배포/수신방법은, 프로세서 비밀키를 내장하는 마이크로프로세서 및 외부 메모리를 갖춘 송신장치 및 수신장치에 있어서 실행되는 콘텐츠 배포/수신방법에 있어서,

상기 송신장치 및 수신장치에 구비되는 상기 마이크로프로세서는, 복수의 프로그램에 각각 대응하는 복수의 배포키를 상기 프로세서 비밀키에 의해 각각 복호 화함으로써 얻어지는 복수의 프로그램키를 취출하고, 상기 복수의 프로그램키에 의해 각각 암호화된 상태에서 상기 외부 메모리에 배치된 복수의 프로그램을, 대응하는 프로그램키에 의해 각각 복호화하여 의사병렬적으로 실행가능한 것이며,

상기 수신장치에 있어서 실행되는 암호화된 콘텐츠 수신열람 프로그램 및 상기 송신장치에 있어서 실행되는 암호화된 콘텐츠 송신 프로그램은, 소정의 비밀이 각각 대응하는 프로그램키에 기초하여 암호화된 상태에서 격납되고, 통신상대에 대해 상기 비밀의 유지를 증명하는 증명단계를 갖추고,

상기 증명단계에 있어서, 상기 통신상대의 비밀의 유지가 증명된 경우에는, 상기 송신장치가 상기 수신장치로부터 수신한 송신장치 검사 프로그램의 실행을 허가함과 더불어, 상기 수신장치가 상기 송신장치 검사 프로그램에 의해 상기 송신장치의 안전성을 검증하고, 상기 수신장치는 상기 송신장치를 안전하다고 판정한 경우, 상기 콘텐츠 수신요구에 관계된 콘텐츠를 상기 송신장치로부터 수신하는 것을 요지로 한다.

본 발명에 의하면, 콘텐츠 송신 프로그램과 콘텐츠 수신열람 프로그램이 상호 인증을 행하고, 인증에 성공한 경우, 콘텐츠 수신열람 프로그램이 배포장치 검사 프로그램에 의해 콘텐츠 송신 프로그램의 안전성을 검증하며, 콘텐츠 송신 프로그램을 안전하다고 판정한 경우에만 콘텐츠 수신요구에 관계된 콘텐츠를 콘텐츠 송신 프로그램으로부터 수신한다.

또, 청구항 8에 기재된 콘텐츠 배포/수신방법은, 청구항 7에 기재된 콘텐츠 배포/수신방법에 있어서, 상기 수신장치는 상기 안전성을 검증할 때의 판단기준이 열기(列記)되고, 상기 프로그램키로 암호화된 테이블을 더 갖추며, 그 테이블에 열기된 판단기준에 기초하여 상기 송신장치의 안전성을 검증하는 것을 요지로 한다.

(발명의 실시형태)

이하, 도면에 기초하여 본 발명에서의 콘텐츠 배포/수신방법의 실시형태에 대해 상세히 설명한다.

< 콘텐츠 수신 열람 프로그램의 신뢰성을 확인할 수 있는 콘텐츠 배포/수신방법 >

도 1은 본 발명의 콘텐츠 배포/수신 방법이 적용되는 송수신 네트워크 시스템의 구성을 나타낸 도면이다.

이 송수신 네트워크 시스템은, 콘텐츠 작성자(3), 파일송신장치(1) 및 복수의 파일수신장치(2)로 구성된다. 파일송신장치(1)에는 콘텐츠 배포 서버(50)가 포함되어 있다. 각 파일수신장치(2)에는 콘텐츠 열람 프로그램(60)이 포함되어 있다. 여기서 콘텐츠라고 하는 것은, 예컨대 음악·동화상(動畵像)의 디지털 콘텐츠이기도 하고, 사진이나 그림 등의 화상 콘텐츠이기도 하다. 물론, 텍스트의 콘텐츠여도 좋다. 이후, 이들을 간단히 콘텐츠라고 표기한다.

우선, 콘텐츠 작성자(3)는 콘텐츠를 작성하고, 그 콘텐츠를 콘텐츠 배포 서버(50)에 보존한다. 이 콘텐츠 배포 서버(50)는, 예컨대 인터넷 등의 네트워크에 접속된 웹(Web)서버 등으로, 파일송신장치(1)상에서 동작하고, 일반의 이용자의 요구에 따라 콘텐츠를 배포하는 기능을 가진다. 콘텐츠 작성자(3)와 콘텐츠 배포 서 버(50) 사이에는 신뢰관계가 있고, 콘텐츠 작성자(3)의 의도에 반하여 콘텐츠가 훼손되는 일은 없는 것으로 한다.

도 2에 나타낸 바와 같이, 콘텐츠 본체(901)에는 적어도 1비트의 필드로 이루어진 저작권 보호 속성(902)이 설치된다. 이 속성은 적어도 저작권 보호 있음 "1"과 저작권 보호 없음 "0"의 2종류의 값을 취한다. 콘텐츠 배포 서버(50)는 저작권 보호 있음의 콘텐츠에 대해서는 후술하는 인증이 끝난 클라이언트 이외에는 분배(配信)하지 않는다. 콘텐츠 배포 서버(50)에 있어서 저작권 보호 속성을 가지지 않은 종래의 콘텐츠는 저작권 보호 없음으로서 취급된다.

파일수신장치(2)는 콘텐츠 이용자의 계산기(컴퓨터)이고, 이 장치도 다른 계산기와 통신이 가능하도록 인터넷 등의 네트워크에 접속되어 있다. 또, 파일수신장치(2)는 파일송신장치(1)로부터 콘텐츠를 다운로드하여 열람하는 기능을 가진다. 이용자는 파일수신장치(2)에 인스톨된 콘텐츠 열람 프로그램(60)을 이용하여 콘텐츠를 열람한다. 이용자는 콘텐츠 배포 서버(50)로부터 이 콘텐츠 열람 프로그램(60)을 이용해 콘텐츠를 다운로드하여 열람한다. 이하, 콘텐츠 열람 프로그램을 웹브라우저 프로그램이라고도 부른다.

도 3은 파일송신장치(1)의 하드웨어 구성을 나타낸 도면이다. 하드웨어로서의 파일송신장치(1)는 범용 프로세서(11), 메모리(12), 하드디스크(13) 및 통신모듈/파일송신모듈(14)로 구성된다.

도 4는 파일수신장치(2)의 하드웨어 구성을 나타낸 도면이다. 하드웨어로서의 파일수신장치(2)는 프로세서 비밀키(211)를 내장하는 내탬퍼 프로세서(21), 메 모리(22), 하드디스크(23) 및 통신모듈/파일수신모듈(24)로 구성된다.

도 5는 콘텐츠 배포 서버(50)의 소프트웨어(4)의 구성을 나타낸 도면이다. 콘텐츠 배포 서버(50)의 소프트웨어(4)는 서버 프로그램(41)과 OS(Operating System: 운영체제)(42)로 구성된다. 서버 프로그램(41)은 클라이언트와 인증을 행하기 위한 클라이언트 인증 프로그램(413), 콘텐츠를 암호화하기 위한 콘텐츠 암호화기능(411) 및 미리 신뢰할 수 있는 브라우저의 공개키 리스트(412)를 포함하고 있다. 클라이언트 인증 프로그램(413)은 후술하는 브라우저 프로그램내의 인증 비밀키에 대응한 인증 공개키(414)를 가지고 있다. 또, OS(42)는 파일송신기능(421)을 갖추고 있다.

도 6은 파일수신장치(2)의 소프트웨어(5)의 구성을 나타낸 도면이다. 파일수신장치(2)의 소프트웨어(5)는 브라우저 프로그램(51)과 OS(52)로 구성된다. 브라우저 프로그램(51)은 콘텐츠 수신 프로그램(53)을 가지고 있고, 콘텐츠 수신 프로그램(53)은 콘텐츠 복호화기능(533), 프로그램 복호화키(531) 및 인증 비밀키(532)를 포함하고 있다. 또, OS(52)는 파일수신기능(521)을 갖추고 있다.

그래서, 파일수신장치(2)는 전술한 바와 같이 일본 특허공개 2001-230770(P2001-230770A)에 기재된 마이크로프로세서(내탬퍼 프로세서(21))를 갖추고 있다. 이 프로세서는 실행중의 프로세서에 대한 보호기구를 가지고 있고, 파일송신장치(1)의 관리자가 부정하게 데이터를 훔쳐보는 것을 방지할 수 있다. 또, 브라우저 프로그램(51)은 소프트웨어 배포원이 관리하는 프로그램 암호화키로 암호화되어 있고, 프로그램 실행시에는 소프트웨어 자신에 매립된 상기 프로그램 암호화 키에 대응하는 프로그램 복호화키(531)로 복호화한다. 더욱이, 이 프로그램 복호화키(531)는 콘텐츠 수신 프로그램(53)을 실행하는 파일수신장치(2)의 내탬퍼 프로세서(21)의 프로세서 비밀키(211)에 대응하는 프로세서 공개키에 의해 RSA 알고리즘 등의 공개키 알고리즘으로 암호화되어 있다. 따라서, 내탬퍼 프로세서(21)에 내장된 프로세서 비밀키(211)를 알지 못하는 한, 프로그램을 복호화하기 위한 프로그램 복호화키(531)를 얻는 것은 불가능하고, 결과로서 소프트웨어를 해석하거나 개변하거나 하는 것은 불가능하다.

또, 인증 비밀키(532)는 콘텐츠 수신 프로그램 공급자의 버전번호마다 고유의 값이 선택되어 콘텐츠 수신 프로그램(53)에 매립된다. 인증 비밀키(532)의 값은 공급자 이외에는 비밀로 되고, 대응하는 인증 공개키(414)만이 이용자에게 공개된다. 이 인증 비밀키(532)도 콘텐츠 수신 프로그램(53)의 데이터의 일부로서 암호화되어 있다. 따라서, 파일송신장치(1)의 관리자나 부정 억세스에 의해 당해 서버의 관리자 특권을 손에 넣은 공격자라도, 이 인증 비밀키(532)를 원하는 것처럼 갱신할 수는 없다.

한편, 콘텐츠 수신 프로그램(53)은 단체(單體)의 프로그램이라도 좋고, 브라우저 프로그램(51)의 일부로서 짜 넣어져 있어도 좋다. 이하에서는, 브라우저 프로그램(51)의 기능의 일부로서 콘텐츠 수신 프로그램(53)이 포함되어 있는 것으로 한다.

이하, 콘텐츠 배포 서버(50)가 이용자의 요구에 따라 콘텐츠를 배포하고, 콘텐츠 열람 프로그램(60)이 그 배포된 콘텐츠를 수신하여 이용자가 열람하는 경우의 수순을 설명한다.

도 7은 콘텐츠 배포 프로그램(서버)과 콘텐츠 수신 프로그램의 주고받음을 나타낸 도면이다. 도 8은 콘텐츠 수신 프로그램의 처리수순을 나타낸 플로우차트이다. 도 9는 콘텐츠 배포 프로그램의 처리수순을 나타낸 플로우차트이다.

콘텐츠 수신 프로그램은 이용자로부터 콘텐츠 다운로드의 지시를 받으면, 콘텐츠 배포 프로그램에 콘텐츠의 수신요구를 발행한다(도 7). 콘텐츠 배포 프로그램은 요구된 콘텐츠의 속성이 저작권 보호 있음의 경우(도 9(도 8)의 단계 S11(단계 S1)에 있어서, 긍정판정의 경우), 통신암호화처리(단계 S12(단계 S2))와 브라우저의 안전성 인증처리(단계 S13(단계 S3))를 행한다.

그래서, 우선 콘텐츠 배포 서버와 브라우저 사이의 통신로는 제3자의 방수(傍受)를 방지하기 위해 어떤 암호화가 실시된다(단계 S12(단계 S2)). 여기서는 잘 알려진 SSL을 이용하는 것으로 하고, 서버와 브라우저 사이에서 SSL 구획(section)이 설정된다. 다만, SSL에는 서버의 인증처리가 포함되지만, 이것은 이용자에 의한 서버가 신뢰할 수 있는가 아닌가의 판정을 위해 행해지는 것이고, 여기서의 목적인 서버가 배포하는 콘텐츠의 저작권 보호에 반드시 필수적인 것은 아니다.

이어서, 콘텐츠 배포 프로그램은 안전한 브라우저의 공개키 리스트(412)에 기초하여 브라우저 프로그램의 인증을 행한다(단계 S13(단계 S3)). 클라이언트와의 인증은 잘 알려진 방법, 예컨대 ISO/IEC 9798-3에 있어서 정해진 방식을 이용하면 좋다. 이 단계에 의해, 서버는 브라우저가 정당한 인증 비밀키(532)를 가지고 있음을 확인할 수 있다.

인증에 실패한 경우, 클라이언트 프로그램은 신뢰할 수 없다고 판단되고(단계 S17), 저작권 보호 있음의 정보의 분배은 중지되며(단계 S18), 에러로서 브라우저에 통지된다(단계 S19). 정당한 인증 비밀키(532)를 가지지 않은 안전하지 않은 브라우저의 경우, 에러로 되어 저작권 보호 있음의 콘텐츠를 다운로드하여 이용할 수는 없다(단계 S7). 물론, 저작권 보호 없음의 콘텐츠의 경우에는, 안전하지 않은 브라우저로부터라도 열람이 가능하여 호환성이 유지된다(단계 S8, 단계 S20, 단계 S9).

콘텐츠 배포 프로그램은 브라우저가 안전한 것이라고 인증되면(단계 S14), 배포해야 할 콘텐츠를 암호화하고(단계 S15), 상기 SSL 구획을 통해 브라우저로 배송한다(단계 S16, 단계 S4). 브라우저는 SSL 구획키(section key)를 사용하여 콘텐츠를 복호화하고(단계 S5), 브라우저의 유저 인터페이스를 통해 이용자에게 정보를 제공한다(단계 S6). 다만, 복호화한 콘텐츠중 저작권 보호 있음의 것에 대해서는, 브라우저 프로그램만이 키를 유지하는 암호화 데이터영역에 그 정보를 유지하고, 구획의 종료와 더불어 키와 그 정보를 폐기한다. 또, 안전한 브라우저는 저작권 보호 있음의 콘텐츠에 대해서는 결코 평문파일로 보존하거나 평문으로 디지털 출력하지 않는다. 암호화 속성의 설정에 따라서는 인쇄 등의 행위도 금지된다. 암호화 속성에 대해서는 후술한다.

상술한 바와 같이, 브라우저 소프트웨어가 유지하는 인증 비밀키(532)의 안전성은 내탬퍼 프로세서(21)의 하드웨어로서 유지된 프로세서 비밀키(211)의 안전성에 의해 보증되어 있고, 서버는 네트워크를 통해 구획의 상대가 인증 비밀키(532)를 가진 것을 확인함으로써, 배송한 저작권 보호 있음의 정보가 안전하게 취급되는 것을 확인할 수 있다.

여기서, 인증 비밀키(532)는 콘텐츠 수신 프로그램의 공급자 및 버전마다 설정된다. 따라서, 이 키에 기초한 인증만으로는 서버가 이용자 혹은 단말을 특정할 수 없는 바, 이용자의 프라이버시 정보의 유출이 일절 일어나지 않는다.

[암호화 속성]

상술한 바와 같이 콘텐츠를 암호화하여 송신할 때, 도 10에 나타낸 바와 같은 암호화 속성(903)을 붙여 송신을 행한다. 암호화 속성(903)이라고 하는 것은, 콘텐츠를 이용할 때의 제한사항이나 유효기한 등의 콘텐츠의 제어정보 외에, 저작자의 이름 및 연락처, 과금(요금부과)정보, 배포 서버가 배포할 때에 일률적으로 붙이는 ID 등의 테이블을 가리킨다. 이하에, 그 이용례를 나타낸다.

콘텐츠 배포원이 백과사전 등의 데이터베이스를 소유하고 있고, CD-ROM이나 DVD로 이용자에게 배포하여 일정기간은 시용기간(試用期間)으로서 무료로 이용가능하게 하지만, 유효기한 후에도 데이터베이스의 이용을 희망하는 이용자에 한해서는 과금을 하는 것과 같은 서비스의 제공을 하는 것으로 한다. 여기서, 콘텐츠에 암호화 속성으로서 사용기한을 부가하고, 열람 프로그램이 기동할 때에 이 유효기한을 검사함으로써 콘텐츠 이용의 제어를 행하는 것으로 한다.

종래의 방법에서는, 데이터베이스의 열람 프로그램을 해석함으로써, 유효제한을 회피하는 개변을 브라우저 프로그램에 행하는 것이 원리적으로 가능하기 때문에, 그러한 악의 있는 이용자로부터 콘텐츠를 확실히 보호할 수 없었다. 그렇지 만, 지금까지 설명한 바와 같이 브라우저 프로그램이 암호화되어 있고, 내탬퍼 프로세서상에서 동작하는 것을 전제로 하면, 프로그램 배포원 이외의 제3자가 암호화 속성을 부정하게 해석하거나, 개변하거나 하는 것을 방지할 수 있다.

따라서, 콘텐츠의 유효기한을 개찬시키거나, 유효기한을 회피하도록 브라우저 프로그램을 개변하거나 하는 것은 불가능하고, 콘텐츠가 확실히 유효기한을 지켜 열람되는 것이 보증된다.

[경로특정정보의 매립]

상기 실시형태에서는, 브라우저가 저작권 보호된 정보를 평문으로 출력하지 않음으로써, 부정복사를 방지하고 있었다. 그러나, 화상, 음성 등의 콘텐츠에 대해, 화면의 복제나 아날로그 녹음 등의 행위에 의해 복제 2차 이용이 가능하다. 이들 콘텐츠를 보다 엄밀하게 저작권 보호할 목적으로 분배 데이터의 경로특정정보를 전자 워터마크로서 매립하는 방법을 병용함으로써, 만일 콘텐츠가 부정하게 2차 이용된 경우에도 정보의 유출경로를 특정하는 수단을 제공할 수 있다.

도 11은 경로특정정보의 매립의 처리수순을 나타낸 도면이다.

우선, 콘텐츠 작성자(3)가 경로정보 매립의 유무를 저작권 보호 속성의 일부로서 지정한다. 서버로부터 브라우저까지의 분배은 전술한 실시형태와 동일한 처리가 행해진다. 최후로, 브라우저에 있어서 화상이나 음성, 혹은 텍스트의 콘텐츠에 경로특정정보가 매립되고, 매립이 행해진 화상이나 음성이 브라우저를 통해 이용자에게 제공된다. 한편, 문자정보에 대해서도 문자간격을 조금 변경하는 등의 전자 워터마크 매립의 기술이 알려져 있고, 이러한 매립을 행한 문자정보를 화상의 형식으로 브라우저에 표시해도 좋다.

경로특정정보로서는 여러 가지의 것이 이용가능하다. 예컨대, 인터넷 접속단말이면 IP 어드레스, 공급자명, 접속처의 구획정보를 기록하는 것에 의해, 서버와 공급자의 정보를 찾아냄으로써 이용자의 개인정보가 생긴다. 또, 단말에 접속된 IC카드 등의 신분증명서 정보, 혹은 지문 등의 신분정보를 기록해도 좋다.

주기(注記)해야 할 점은, 이 매립은 전부 이용자의 단말에 있어서 행해지기 때문에, 통상의 이용자의 프라이버시 정보의 유출은 일절 생기지 않는다는 것이다.

전술한 바와 같이, 종래에 있어서는, 이러한 관리는 콘텐츠 배포 서버의 측에서 이용자를 식별하고, 적절한 정보를 식별정보로서 매립함으로써 실현되었다. 그러나, 이러한 관리방법은 저작권자에게는 이용자 정보의 관리의 품이 들고, 이용자에게는 저작권자를 신뢰할 수 없는 경우의 프라이버시 정보 유출의 리스크가 있다.

본 발명에 따른 수법에서는, 식별정보가 확실하게 부가되는 것의 확인을, 내탬퍼 프로세서의 사용을 전제로 하여 배포처의 열람 프로그램의 정당성 확인에 의존함으로써, 이용자의 개인정보를 콘텐츠 배포 서버로 송부하는 일없이 식별정보의 확실한 부가를 실현한다. 개인정보의 송부가 없으므로, 프라이버시 정보의 리스크는 있을 수 없어 저작권자의 유저정보 관리 부하도 당연 없다. 본 발명의 콘텐츠 배포방법은, 이 점에서 서버에 개인특정정보를 개시하는 종래의 수법과 달리, 일반의 이용자에게 보다 안전한 것으로 되고 있다.

한편, 저작권자의 관점에서 보았을 때, 브라우저가 올바르게 경로특정정보를 매립하는 것은, 내탬퍼 프로세서의 소프트웨어에 의해 지켜지고 있음으로써 암호학적으로 보증되고 있고, 브라우저의 인증에 의해 그것이 확인되어 있다. 이 점에서, 브라우저 소프트웨어는 말하자면 저작권자의 출장소로서 기능한다고도 말할 수 있다.

브라우저 이용자는 브라우저 소프트웨어를 인스톨할 때까지, 그것이 신뢰할 수 있는 공급자로부터 공급된 것임을 파일의 해시(hash)값을 검증함으로써 확인할 수 있다. 신뢰할 수 있는 공급자는, 상술한 바와 같은 콘텐츠로의 경로특정정보 매립을 올바르게 행하여 브라우저를 통한 개인정보의 유출이 일어나지 않는 것을 보증하고 있다. 이러한 전제가 성립할 때, 본 발명에 따른 브라우저는 콘텐츠 저작권자와 이용자 사이에서 말하자면 신뢰할 수 있는 제3자로서 기능한다고 말할 수 있고, 콘텐츠 저작권자의 권리의 보호와 이용자의 안전성 및 편리성을 양립시키고 있다.

이 수법은, 캐쉬 서버를 매개로 하여 정보를 배포할 때에 특히 유효하다. 콘텐츠 배포 서버가 콘텐츠를 캐쉬 서버로 배포하는 단계에서는, 최종적인 이용자는 미정이다. 따라서, 종래 수법에서는, 콘텐츠 배포 서버는 콘텐츠 이용자의 신원을 나타내는 부가정보를 부가할 수는 없다. 한편, 캐쉬 서버에 식별정보의 부가를 위임하는 방법은, 이용자의 프라이버시 보호와 식별정보의 부가의 확실성은 일반적으로는 보증할 수 없다. 그렇지만, 본 발명에 따른 수법을 사용하면, 별개의 이용자 대응의 배포를 캐쉬 서버에 대행시키면서, 안전한 식별정보 부가가 가능하게 된다.

< 서버의 안전성을 보증할 수 있는 콘텐츠 배포/수신방법 >

다음에는 서버의 안전성을 보증할 수 있는 본 발명의 콘텐츠 배포/수신방법의 실시형태를 설명한다.

[클라이언트 프로그램으로부터 콘텐츠 배포 서버로의 일방향 인증]

우선, 클라이언트 프로그램으로부터 콘텐츠 배포 서버로의 일방향으로의 인증만이 행해지는 경우를 설명한다.

도 12는 이러한 경우의 콘텐츠 배포 서버를 포함한 파일송신장치(6)의 하드웨어 구성을 나타낸 도면이다. 파일송신장치(6)는 프로세서 비밀키(611)를 내장하는 내탬퍼 프로세서(61), 메모리(62), 하드디스크(63) 및 통신모듈/파일송신모듈(64)로 구성된다.

도 13은 이러한 경우의 클라이언트 프로그램을 갖춘 파일수신장치(7)의 하드웨어 구성을 나타낸 도면이다. 파일수신장치(7)는 범용 프로세서(71), 메모리(72), 하드디스크(73) 및 통신모듈/파일수신모듈(74)로 구성된다.

도 14는 콘텐츠 배포 서버의 소프트웨어(8)의 구성을 나타낸 도면이다. 콘텐츠 배포 서버의 소프트웨어(8)는 콘텐츠 배포 서버 프로그램(81)과 OS(운영체제; 82)로 구성된다. 콘텐츠 배포 서버 프로그램(81)은 콘텐츠를 암호화하기 위한 콘텐츠 암호화기능(813), 콘텐츠 배포기능(814), 프로그램 복호화키(811) 및 인증 비밀키(812)를 포함하고 있다. 또, OS(82)는 파일송신기능(821)을 갖추고 있다.

도 15는 파일수신장치(7)의 소프트웨어(9)의 구성을 나타낸 도면이다. 파일수신장치(2)의 소프트웨어(9)는 클라이언트 프로그램(91)과 OS(92)로 구성된다. 클라이언트 프로그램(91)은 서버 검사 프로그램(93)을 가지고 있고, 서버 검사 프로그램(93)은 서버 검사기능(931) 및 인증 공개키(932)를 포함하고 있다. 또, OS(52)는 파일수신기능(921)을 갖추고 있다. 한편, 서버 검사 프로그램(93)은 클라이언트 프로그램(91)과 대등 독립해도 좋다.

콘텐츠 배포 서버 프로그램(81)은 프로그램 복호화키(811)에 대응한 프로그램 암호화키로 암호화되어 있다. 더욱이, 이 프로그램 복호화키(811)는 파일송신장치(6)에 갖추어진 내탬퍼 프로세서(61)의 프로세서 비밀키(611)에 대응하는 공개키로 암호화되어 있다. 따라서, 프로세서 비밀키(611)를 알지 못하는 한, 소프트웨어를 해석하거나 개변하거나 하는 것은 불가능하다.

콘텐츠 배포 서버 프로그램(81)은 상술한 바와 같이 인증 비밀키(812)를 가지고, 그것은 후술하는 클라이언트에 의한 인증 단계에 있어서 이용된다. 이 인증 비밀키(812)는 서버 프로그램 공급자의 버전번호마다 고유의 값이 선택되어 프로그램에 매립된다.

인증 비밀키(812)의 값은 공급자 이외에는 비밀로 되고, 대응하는 인증 공개키(932)만이 이용자에게 공개된다. 이 인증 비밀키(812)도 콘텐츠 서버 프로그램의 데이터의 일부로서 서버 프로그램과 더불어 암호화되어 있다. 따라서, 파일송신장치의 관리자나 부정 억세스에 의해 당해 서버의 관리자 특권을 손에 넣은 공격자라도, 이 인증 비밀키를 원하는 것처럼 갱신할 수는 없다.

한편, 전술한 바와 같이, 서버 검사 프로그램(93)은 서버가 정당한 버전의 서버 프로그램인가 인증을 행하는 서버 검사기능(931)을 실행하는 것으로, 내부에 콘텐츠 배포 서버 프로그램(81)이 가진 인증 비밀키(812)에 대응하는 인증 공개키(932)를 가진다.

콘텐츠 이용자의 파일수신장치(7)는 이용자로부터 서버에 대한 파일수신요구를 받으면, 당해 서버에 대한 서버 검사 프로그램(93)을 기동시킨다. 서버 검사 프로그램(93)은 네트워크 경유로 접속처의 서버의 인증을 행한다. 서버와의 인증은, 잘 알려진 방법, 예컨대 ISO/IEC 9798-3에 있어서 정해진 방식을 이용하면 좋다. 이 방식에 의해 통신상대, 이 경우는 서버가 클라이언트의 조사하는 버전번호에 대응하는 정당한 인증 비밀키(812)를 가지고 있음을 확인할 수 있다.

상술한 바와 같이, 공급자에 의해 콘텐츠 배포 서버 프로그램(81)의 인증키(812)는 비밀로 되고, 또한 서버 시스템의 내탬퍼 프로세서(61)의 기능에 의해 콘텐츠 배포 서버 프로그램(81)에 매립된 인증 비밀키(812)의 값을 개변할 수 없기 때문에, 공개키에 의한 인증에 성공하면 콘텐츠 배포 서버 프로그램(81)이 기대하는 버전임이 확실해진다.

따라서, 클라이언트 시스템은 서버 프로그램이 수정패치를 적용하고 있지 않음으로써 생기는 컴퓨터 바이러스 감염의 위험을 미연에 회피할 수 있다.

[클라이언트 프로그램과 콘텐츠 배포 서버 사이의 상호인증]

상술한 것에 있어서는, 클라이언트 프로그램이 콘텐츠 배포 서버를 일방향으로 인증하는 경우를 설명했지만, 클라이언트 프로그램과 콘텐츠 배포 서버가 상호 인증함으로써, 콘텐츠 이용자의 요구에 따른 유연한 서버 프로그램의 안전성 평가를 행하는 예를 이하에 나타낸다.

클라이언트 프로그램과 콘텐츠 배포 서버 사이의 상호 인증을 실현하기 위해서는, 콘텐츠 배포 서버측의 하드웨어 구성 및 소프트웨어 구성은 상술한 일방향으로의 인증의 경우와 동일하다. 즉, 도 12에 구성이 나타내어진 파일송신장치(6) 및 도 14에 구성이 나타내어진 소프트웨어(8)가 채용된다.

그러나, 클라이언트 프로그램측의 하드웨어 구성 및 소프트웨어 구성은 일방향으로의 인증의 경우와 다르다.

도 16은 파일수신장치의 하드웨어 구성을 나타낸 도면이다. 이 파일수신장치는 도 4에 나타낸 것과 동일하다. 즉, 파일수신장치(2)는 프로세서 비밀키(211)를 내장하는 내탬퍼 프로세서(21), 메모리(22), 하드디스크(23) 및 통신모듈/파일수신모듈(24)로 구성된다.

도 17은 파일수신장치(2)의 소프트웨어(10)의 구성을 나타낸 도면이다. 파일수신장치(2)의 소프트웨어(10)는 클라이언트 프로그램(101)과 OS(운영체제; 102)로 구성된다. 클라이언트 프로그램(101)은 서버 검사 프로그램(103)을 가지고 있고, 서버 검사 프로그램(103)은 서버 검사 실행 프로그램(1033), 프로세서 공개키에 의해 암호화된 프로그램 복호화키(1031), 인증키(1032) 및 폴리시 테이블(policy table; 1034)을 포함하고 있다. 또, OS(102)는 파일수신기능(1021)을 갖추고 있다. 한편, 서버 검사 프로그램(103)은 클라이언트 프로그램(101)과 대등 독립해도 좋다.

서버 검사 프로그램(103)은 프로그램 복호화키(1031)에 대응하는 프로그램 암호화키로 암호화되어 있다. 더욱이, 이 프로그램 복호화키(1031)는 파일수신장 치(2)에 갖추어진 내탬퍼 프로세서(21)의 프로세서 비밀키(211)에 대응하는 공개키로 암호화되어 있다. 따라서, 프로세서 비밀키(211)를 알지 못하는 한, 소프트웨어를 해석하거나 개변하거나 하는 것은 불가능하다.

서버 검사 실행 프로그램(1033)은 서버의 버전 등을 검사하는 실행파일로, 예컨대 서버의 버전을 조사하거나, 서버의 최신의 패치가 적용되어 있는가 확인하는 기능 등을 가진다. 인증 비밀키(1032)는 서버와 상호 인증을 행하기 위해 사용된다. 폴리시 테이블(1034)은 서버의 안전성을 평가할 때에 사용된다. 폴리시 테이블에 대해서는 후술한다.

이하, 콘텐츠 이용자가 서버로부터 콘텐츠를 다운로드하는 경우의 수순을 설명한다.

도 18은 클라이언트 프로그램(101)의 처리수순을 나타낸 플로우차트이다.

콘텐츠 이용자의 파일수신장치(2)는 이용자로부터 서버에 대해 파일수신요구를 받으면, 서버 검사 프로그램(103)을 기동한다. 서버 검사 프로그램(103)은 접속처의 서버 프로그램과 네트워크 경유로 상호 인증을 행한다(단계 S21). 여기서는, 서버의 인증키(812)와 클라이언트의 인증키(1032)는 동일한 값을 사용하고, 공통키 인증에 의한 인증, 예컨대 ISO/IEC 9798-2에 있어서 정해진 방식을 사용한다. 이 방식에 의해 통신상대가 인증키를 가지고 있음을 확인할 수 있다.

여기서 중요한 것은, 인증키 812 및 1032가 서버 및 클라이언트 프로그램 이외의 제3자, 예컨대 바이러스 작성자에게 누설되지 않도록 하는 것이다. 콘텐츠 배포 서버 프로그램(81)은 암호화되어 있다. 따라서, 바이러스 작성자가 콘텐츠 배포 서버 프로그램(81)을 해석하여 거짓 수정패치를 작성하거나, 서버 검사 프로그램(103)과의 인증에 이용하는 인증키가 도난되는 일은 없다. 클라이언트 검사 프로그램도 동일한 방식으로 암호화되어 있기 때문에, 인증키가 도난되는 일은 없다.

인증이 성공한 경우, 서버 검사 실행 프로그램(1033)은 서버의 안전성 평가를 행한다(단계 S22). 인증이 실패하면(단계 S23에 있어서 부정판정), 서버 프로그램(81)은 서버 검사 프로그램(103)의 요구를 받지 않고, 파일의 다운로드는 중지된다(단계 S25). 이것은, 악의 있는 서버 검사 프로그램이 부정하게 서버를 조사함으로써, 공격자에게 공격을 위한 유용한 정보를 제공해 버리는 것을 방지하기 위함이다. 예컨대, 특정의 버전의 프로그램에 보안상의 결함이 발견되어 있는 경우, 공격자에게 프로그램의 버전정보는 조사를 위한 유익한 정보로 될 수 있다. 따라서, 콘텐츠 배포 서버 프로그램(81)은 정당한 인증키를 가진 서버 검사 프로그램(103)에만 버전번호를 제공한다.

서버 검사 프로그램(103)에 의해 서버의 안전성의 평가가 이용자의 희망하는 기준을 만족하고 있으면(단계 S23에 있어서 긍정판정), 클라이언트 프로그램(101)은 소망하는 파일을 다운로드한다(단계 S24).

한편, 단계 S21에 있어서 인증이 실패하면, 클라이언트 프로그램(101)은 소정의 에러처리를 행하고, 콘텐츠의 다운로드처리를 중지한다(단계 S25).

서버의 안전성을 평가하기 위한 평가항목은, 도 20에 그 예를 나타낸 폴리시 테이블(904)에 기술한다. 콘텐츠 이용자는, 예컨대 서버의 버전이 1.2 이상이면 이용한다는 것과 같이, 폴리시로 되는 검사항목과 그 판단기준을 미리 이 테이블(904)에 정의해 둔다. 판단기준을 이러한 테이블 형식으로 해 두면, 그 판단기준을 용이하게 변경할 수 있다고 하는 이점이 있다.

이 폴리시 테이블(904)은 반드시 콘텐츠 이용자 본인이 기술할 필요는 없고, 예컨대 클라이언트 프로그램 배포원이 템플릿(template)을 작성해도 좋다. 폴리시를 복수 지정하고, 그 조합으로 평가해도 좋다. 어플리케이션이 검사의 결과와 폴리시를 비교하고, 콘텐츠나 소프트웨어를 다운로드할 것인가 어떤가를 판단한다. 따라서, 어플리케이션이 검사의 결과를 이용자의 호스트로 돌려보낼 필요는 없다. 물론, 서버의 버전을 조사하고, 그 때마다 이용자에게 결과를 돌려보내 다운로드의 여부를 문의해도 좋다.

도 19는 콘텐츠 배포 서버 프로그램(81)의 처리수순을 나타낸 플로우차트이다.

콘텐츠 배포 서버 프로그램(81)은 서버의 파일송신장치(6)상에서 실행되고, 클라이언트의 서버 검사 프로그램(103)으로부터의 상호 인증처리의 요구를 접수하기 위해 대기하고 있다.

콘텐츠 이용자로부터 콘텐츠 수신요구를 받아 상호 인증처리가 성공하면(단계 S31), 서버 검사 실행 프로그램(1033)의 실행을 허가하고, 필요한 정보를 서버 검사 프로그램(103)에 제공한다(단계 S32). 서버의 안전성의 평가가 이용자의 희망하는 기준을 만족하고 있고, 소망하는 파일의 수신요구를 받으면(단계 S33에 있어서 긍정판정), 서버 프로그램(81)은 파일을 송신한다(단계 S34).

한편, 단계 S31에 있어서 인증이 실패한 경우나, 서버 검사 프로그램(103)이 안전성를 만족하고 있지 않다고 판단하여 파일의 다운로드 중지요구를 받은 경우(단계 S33에 있어서 부정판정)는, 파일의 송신을 중지한다(단계 S35).

이상 설명한 콘텐츠 배포 서버로부터의 콘텐츠 수신방법에 의하면, 이하의 2가지의 사항에 있어서 서버 관리자의 보안의식을 향상시키는 것을 기대할 수 있다.

첫 번째는, 버전이 낮은 서버로 콘텐츠를 제공한 경우, 이용자는 그 서버의 이용을 회피하는 것이 예상되기 때문에, 서버 이용자가 줄어든다. 따라서, 이용자를 확보하기 위해, 서버 관리자는 항상 서버를 안전한 버전으로 할 필요가 있다.

두 번째는, HTTP 등 일반에 공개하는 서비스이면, 어느 이용자로부터라도 서버를 검사하는 것이 가능하다. 이것은, 만약 그 서버에 보안상의 결함이 있는 경우, 그 결함을 공표하는 것을 의미한다. 따라서, 서버 관리자는 서비스를 공개함과 동시에, 보안상의 관리책임을 진다고 하는 의미에서 보안의식을 높이는 것으로 이어지는 것을 기대할 수 있다.

< 캐쉬 서버를 매개로 한 콘텐츠 배포/수신방법 >

다음에는 콘텐츠 배포 서버가 일단 캐쉬 서버로 콘텐츠를 배포하고, 이용자 열람 프로그램이 캐쉬 서버로부터 희망하는 콘텐츠를 수신하는 경우에 대해 설명한다.

도 21은 캐쉬 서버를 포함하는 송수신 네트워크 시스템의 구성을 나타낸 도면이다.

이 송수신 네트워크 시스템은, 콘텐츠 작성자(3), 콘텐츠 배포 서버(50), 캐 쉬 서버(70) 및 복수의 이용자 열람 프로그램(80)으로 구성된다.

도 22는 캐쉬 서버(70)의 하드웨어 구성, 즉 캐쉬 서버(70)로서의 파일송수신장치(20)의 구성을 나타낸 도면이다.

파일송수신장치(20)는 프로세서 비밀키(2011)를 내장하는 내탬퍼 프로세서(201), 하드디스크(202), 메모리(203), 통신모듈/파일송신모듈(204) 및 통신모듈/파일수신모듈(205)로 구성된다.

도 23은 캐쉬 서버(70)의 소프트웨어(30)의 구성을 나타낸 도면이다.

캐쉬 서버(70)의 소프트웨어(30)는 캐쉬 서버 프로그램(301)과 OS(운영체제; 302)를 포함하고 있다. 캐쉬 서버 프로그램(301)은 콘텐츠 배포 서버용 인증키(3014)를 가진 콘텐츠 수신 프로그램(3011)과, 콘텐츠 수신 프로그램용 인증키(3015)를 가진 콘텐츠 배포기능(3012)을 포함하고 있다. 또, 캐쉬 서버 프로그램(301)은 프로그램 복호화키(3013)를 가지고 있다. 더욱이, OS(302)는 파일송신기능(3021) 및 파일수긴기능(3022)을 갖추고 있다.

캐쉬 서버 프로그램(301)은 프로그램 복호화키(3013)에 대응하는 프로그램 암호화키로 암호화되어 있다. 더욱이, 이 프로그램 복호화키(3013)는 파일송수신장치(20)에 갖추어진 내탬퍼 프로세서(201)의 프로세서 비밀키(2011)에 대응하는 공개키로 암호화되어 있다. 따라서, 프로세서 비밀키(2011)를 알지 못하는 한, 소프트웨어를 해석하거나 개변하거나 하는 것은 불가능하다.

한편, 콘텐츠 배포 서버(50)에 관계된 하드웨어 구성 및 소프트웨어 구성은 각각 도 12 및 도 14에 나타낸 것과 동일하다. 또, 이용자 열람 프로그램(80)에 관계된 하드웨어 구성 및 소프트웨어 구성은 각각 도 16 및 도 17에 나타낸 것과 동일하다.

이하, 캐쉬 서버(70)를 매개로 하여 콘텐츠 배포 서버(50)로부터 이용자(60)로 콘텐츠를 배포하는 수순을 나타낸다.

도 24는 콘텐츠 배포 서버(50)와 캐쉬 서버(70)의 주고받음과, 캐쉬 서버(70)와 이용자(160)의 주고받음을 나타낸 도면이다. 도 25는 캐쉬 서버(70)가 콘텐츠 배포 서버(50)로부터 콘텐츠를 수신하기까지의 처리수순을 나타낸 플로우차트이다. 도 26은 캐쉬 서버(70)가 이용자(160)에게 콘텐츠를 송신하기까지의 처리수순을 나타낸 플로우차트이다.

우선, 콘텐츠 배포 서버(50)와 캐쉬 서버(70)가 상호 인증처리를 행한다(단계 S41). 콘텐츠 배포 서버(50) 및 캐쉬 서버(70)는 각각 상호 인증을 위한 인증키(812) 및 인증키(3014)를 가진다. 인증에는, 예컨대 콘텐츠(50)의 인증키(812)와 캐쉬 서버(70)의 인증키(3014)는 동일한 값을 사용하고, ISO/IEC 9798-2에 있어서 정해진 공통키 인증방식을 사용하면 좋다. 이 방식에 의해 통신상대가 인증키를 가지고 있음을 확인할 수 있다.

인증이 성공하면, 캐쉬 서버(70)는 콘텐츠 배포 서버(50)에 의해 암호화된 콘텐츠와 콘텐츠를 복호화하기 위한 키를 수신한다(단계 S42). 이 콘텐츠를 복호화하기 위한 키는 암호화 등의 수단에 의해 콘텐츠 배포 서버(50)와 캐쉬 서버(70) 이외에는 누설되지 않도록 하여 캐쉬 서버(70)의 메모리 또는 하드디스크의 기억영역에 보존된다. 한편, 인증이 실패로 끝난 경우에는, 콘텐츠의 송신은 중지되고, 캐쉬 서버(70)가 콘텐츠를 수신하는 일은 없다(단계 S43).

다음에는 도 26을 참조하여 이용자(160)가 캐쉬 서버(70)로부터 콘텐츠를 다운로드하는 수순에 대해 설명한다.

캐쉬 서버(70)는 이용자(160)로부터의 배포요구에 기초하여 이용자(160)의 콘텐츠 수신 프로그램과 상호 인증처리를 행한다(단계 S51). 이 인증처리는 콘텐츠 배포 서버(50)와 캐쉬 서버(70)의 인증처리와 동일한 방식을 이용한다. 인증이 성공하면, 캐쉬 서버(70)는 이용자(160)의 콘텐츠 수신 프로그램에 대해 콘텐츠와 콘텐츠를 복호화하기 위한 키를 송신한다(단계 S52). 키를 송신하기 위해서는 디피-헬만(Diffie-Hellman)과 같은 잘 알려진 방법을 이용하여 통신계로(通信系路)상을 암호화해 둔다. 한편, 인증이 실패로 끝난 경우에는, 콘텐츠의 송신을 중지한다(단계 S53).

여기서 중요한 것은, 콘텐츠를 복호화하기 위한 키가 캐쉬 서버의 관리자나 콘텐츠 이용자에게도 불명(不明)이라는 점이다. 전술한 바와 같이, 캐쉬 서버 프로그램이나 콘텐츠 수신 프로그램은 프로그램 복호화키에 대응하는 프로그램 암호화키에 의해 콘텐츠를 복호화하는 키와 더불어 암호화되어 있어 해석이나 개변을 할 수 없다.

따라서, 설령 악의 있는 관리자가 캐쉬 서버(70)의 관리를 행하고 있었다고 해도, 콘텐츠를 복호화할 수는 없기 때문에, 캐쉬 서버(70)가 어떠한 인물에 의해 관리되고 있는가에 관계없이 콘텐츠는 정당한 인증키를 가진 파일 수신 프로그램에 의해 열람되는 것이 확실하게 된다.

더욱이, 콘텐츠 복제의 가부(可否) 등 라이센스 제어는 암호화 속성에 따라 이용자의 수신 프로그램으로 실행되기 때문에, 콘텐츠 배포원은 캐쉬 서버(70)을 이용한다고 해도, 최종적인 이용자가 라이센스를 준수하고 있음이 보증된다.

따라서, 콘텐츠 배포원은 종래와 같이 ID와 패스워드를 이용하여 이용자를 개별로 관리할 필요가 없게 된다. 한편, 이용자측은 콘텐츠 배포원에 대해 프라이버시를 필요 이상으로 개시할 필요가 없게 된다.

[캐쉬 서버와 캐쉬 서버상의 어플리케이션 사이의 인증]

캐쉬 서버(70)에서 수신·축적되는 콘텐츠는 캐쉬 서버(70)의 관리자를 신뢰하고 있지 못하다고 하는 것이 전제이다. 여기서, 캐쉬 서버(70)는 콘텐츠 배포 서버와 콘텐츠 이용 프로그램 사이의 인증처리를 행하는 것만으로, 캐쉬 서버(70)에 있어서 콘텐츠가 복호되어 그 내용이 변경되는 일이 없는 것이 통상이므로 문제는 없다.

그렇지만, 캐쉬 서버(70)상에서 콘텐츠가 일시적이든 복호화되지 않으면 안되는 경우가 있다. 캐쉬 서버(70)상에서 바이러스 검사 소프트웨어가 동작하는 경우이다.

바이러스 검사 프로그램은, 일반적으로 콘텐츠의 내용과 바이러스에 보여지는 특징적인 정보를 비교하고, 합치한 것을 바이러스로서 검출한다. 이때, 바이러스 검사대상으로 되는 콘텐츠가 암호화되어 있으면, 올바르게 비교할 수 없다. 따라서, 바이러스 검사 프로그램은 콘텐츠를 검사할 때에는 콘텐츠를 일시적으로 복호화할 필요가 있다.

그래서, 캐쉬 서버(70)는 바이러스 검사 프로그램이 정당한가 인증처리를 행한다. 도 27은 바이러스 검사 프로그램의 구성을 나타낸 도면이다.

바이러스 검사 프로그램(40)은 프로그램 복호화키(401)에 대응하는 프로그램 암호화키로 암호화되어 있다. 더욱이, 이 프로그램 암호화키는 도 22에 나타낸 프로세서 비밀키(2011)에 대응하는 프로세서 공개키로 암호화되어 있다. 바이러스 검사 프로그램(40)은 캐쉬 서버와 인증을 행하기 위한 인증 비밀키(403)를 가진다. 이 인증 비밀키(403)도 프로그램과 마찬가지로 암호화되어 있다. 바이러스 검사기능을 포함한 바이러스 검사 프로그램(40) 전체를 암호화해 둘 필요는 반드시 없지만, 안전성을 향상시키기 위해서는 암호화시켜 두는 편이 바람직하다.

인증이 성공하면, 캐쉬 서버 프로그램(301)은 콘텐츠를 복호화하기 위한 키를 바이러스 검사 프로그램(40)에 제공한다. 이때, 콘텐츠를 복호화하기 위한 키를 그대로 제공해도 좋지만, 캐쉬 서버 프로그램(301)내에서 일단 콘텐츠를 복호화하고, 일시적인 키로 콘텐츠를 암호화한 후, 그 키를 바이러스 검사 프로그램(40)에 넘겨 주도록 해도 좋다. 더욱이 이때, 도 10에 나타낸 암호화 속성중의 유효기한을 단시간으로 설정함으로써 더 안전성이 향상된다.

이상의 처리에 의해, 바이러스 검사 프로그램(40)은 캐쉬 서버(70)로부터 제공된 키를 이용해 콘텐츠를 복호화하여 바이러스 검사를 행할 수 있다.

이상의 캐쉬 서버를 매개로 한 콘텐츠 배포/수신방법에서 설명한 바와 같이, 콘텐츠 배포 서버, 캐쉬 서버 및 콘텐츠 수신 프로그램이 내탬퍼 프로세서상에서 실행되는 것을 전제로 함으로써, 콘텐츠의 부정한 유출과 개변의 방지와, 캐쉬 서 버를 이용하는 것에 의한 배포 서버의 처리부하의 분산을 양립시킬 수 있다. 더욱이, 만일 배포 서버가 바이러스를 함유한 콘텐츠를 배포해 버렸다고 해도, 캐쉬 서버가 바이러스 검사를 행함으로써, 이용자에게 배포하기 전에 미연에 바이러스를 검출할 수 있어 배포 서버의 관리상의 부하도 경감시킬 수 있다.

이상 설명한 바와 같이 본 발명에 의하면, 수신장치에서 실행되는 콘텐츠 수신열람 프로그램에 있어서, 소정의 비밀이 대응하는 프로그램키에 기초하여 암호화된 상태에서 격납되어 있고, 그 소정의 비밀은 악의 있는 자에 의해 개변되는 일은 없으며, 또 송신장치에 있어서 실행되는 콘텐츠 송신 프로그램은 콘텐츠 수신열람 프로그램의 소정의 비밀을 공개키 알고리즘 또는 비밀키 알고리즘에 의해 인증하고, 그 인증에 성공한 경우에만 수신장치를 신뢰하고 콘텐츠를 송신하므로, 콘텐츠의 무제한의 2차 이용을 방지하여 저작권자를 보호함과 더불어 수신자의 프라이버시를 보호할 수 있다.

또, 본 발명의 의하면, 송신장치에서 실행되는 콘텐츠 송신 프로그램에 있어서, 그 콘텐츠 송신 프로그램에 대응지워진 비밀키가 프로그램키에 기초하여 암호화된 상태에서 격납되어 있고, 악의 있는 자에 의해 개변되는 일은 없으며, 수신장치의 콘텐츠 수신열람 프로그램은 콘텐츠의 송신원의 콘텐츠 송신 프로그램에 대해 콘텐츠 송신 프로그램의 비밀키에 대응하고, 콘텐츠 수신열람 프로그램이 미리 유지하는 공개키에 기초하여 소정의 공개키 알고리즘에 의해 인증하며, 그 인증에 성공한 경우에만 콘텐츠 송신 프로그램을 신뢰하고 콘텐츠를 수신하므로, 악의 있는 공격자가 개재한 보안상 문제가 있는 콘텐츠 송신 프로그램을 선별하여 그러한 콘텐츠 송신 프로그램으로부터는 콘텐츠를 수신하지 않도록 할 수 있다.

또, 본 발명에 의하면, 콘텐츠 송신 프로그램과 콘텐츠 수신열람 프로그램이 상호 인증을 행하고, 인증에 성공한 경우, 콘텐츠 수신열람 프로그램이 배포장치 검사 프로그램에 의해 콘텐츠 송신 프로그램의 안전성을 검증하고, 콘텐츠 송신 프로그램을 안전하다고 판정한 경우에만 콘텐츠 수신요구에 관계된 콘텐츠를 콘텐츠 송신 프로그램으로부터 수신하므로, 악의 있는 공격자가 개재한 보안상 문제가 있는 콘텐츠 송신 프로그램을 선별하여 그러한 콘텐츠 송신 프로그램으로부터는 콘텐츠를 수신하지 않도록 할 수 있다.

Claims (8)

1. 프로세서 비밀키를 내장하는 마이크로프로세서 및 외부 메모리를 갖춘 수신장치와, 다른 송신장치에 있어서 실행되는 콘텐츠 배포/수신방법에 있어서,

   상기 수신장치에 구비되는 상기 마이크로프로세서는, 복수의 프로그램에 각각 대응하는 복수의 배포키를 상기 프로세서 비밀키에 의해 각각 복호화함으로써 얻어지는 복수의 프로그램키를 취출하고,

   상기 복수의 프로그램키에 의해 각각 암호화된 상태에서 상기 외부 메모리에 배치된 복수의 프로그램을, 대응하는 프로그램키에 의해 각각 복호화하여 의사병렬적으로 실행가능한 것이며,

   상기 수신장치에 있어서 실행되는 암호화된 콘텐츠 수신열람 프로그램은,

   소정의 비밀이 대응하는 프로그램키에 기초하여 암호화된 상태에서 격납되고, 상기 송신장치에 대해 상기 비밀의 유지를 증명하는 증명단계를 갖추고,

   상기 송신장치에 있어서 실행되는 콘텐츠 송신 프로그램은,

   상기 수신장치의 콘텐츠 수신열람 프로그램으로부터 콘텐츠를 특정한 수신요구를 수취하는 요구수신단계와,

   상기 수신요구의 발행원의 콘텐츠 수신열람 프로그램에 대해 상기 소정의 비밀을, 상기 콘텐츠 수신열람 프로그램의 비밀키에 대응하고, 콘텐츠 송신 프로그램이 미리 유지하는 공개키에 기초하여 소정의 공개키 알고리즘에 의해 인증하는 기능, 또는 콘텐츠 송신 프로그램이 미리 유지하는 상기 콘텐츠 수신열람 프로그램과의 사이에서 공유하는 비밀키에 기초하여 비밀키 알고리즘에 의해 인증하는 기능의 어느 하나를 가진 인증단계 및,

   상기 인증단계에 있어서 콘텐츠 수신열람 프로그램이 상기 소정의 비밀키를 유지하는 것이 증명된 경우에만, 상기 콘텐츠 수신열람 프로그램과 콘텐츠 송신 프로그램과의 사이에서 다른 프로그램으로부터 배타적으로 공유된 비밀에 기초하여 암호화된 콘텐츠의 송신을 허가하는 보호단계를 갖춘 것을 특징으로 하는 콘텐츠 배포/수신방법.
2. 제1항에 있어서, 상기 송신장치에 있어서 실행되는 콘텐츠 송신 프로그램은, 상기 요구된 콘텐츠에 포함된 저작권 보호지정의 유무를 판별하는 판별단계를 더 갖추고, 이 판별단계에 의해 보호지정 있음이라고 판별된 콘텐츠에 대해 상기 인증단계를 실행하는 것을 특징으로 하는 콘텐츠 배포/수신방법.
3. 제1항에 있어서, 상기 수신장치에 있어서 실행되는 콘텐츠 수신열람 프로그램은, 유효기한에 관한 정보가 포함된 콘텐츠를 수신한 경우에는, 상기 유효기한에 관한 정보에 기초하여 콘텐츠의 열람을 제어하는 것을 특징으로 하는 콘텐츠 배포/수신방법.
4. 제1항에 있어서, 상기 콘텐츠는, 그 콘텐츠를 이용할 때의 제한사항, 그 콘텐츠의 저작권 표시내용, 그 콘텐츠의 과금정보 중 적어도 하나를 포함하는 것을 특징으로 하는 콘텐츠 배포/수신방법.
5. 제1항에 있어서, 상기 콘텐츠 수신열람 프로그램은, 상기 콘텐츠를 수신한 때에, 상기 콘텐츠를 수신한 수신장치 및 상기 수신장치의 소유자의 적어도 한쪽을 특정하는 정보를, 수신한 그 콘텐츠에 부가하는 것을 특징으로 하는 콘텐츠 배포/수신방법.
6. 프로세서 비밀키를 내장하는 마이크로프로세서 및 외부 메모리를 갖춘 송신장치와, 다른 수신장치에 있어서 실행되는 콘텐츠 배포/수신방법에 있어서,

   상기 송신장치에 구비되는 상기 마이크로프로세서는, 복수의 프로그램에 각각 대응하는 복수의 배포키를 상기 프로세서 비밀키에 의해 각각 복호화함으로써 얻어지는 복수의 프로그램키를 취출하고,

   상기 복수의 프로그램키에 의해 각각 암호화된 상태에서 상기 외부 메모리에 배치된 복수의 프로그램을, 대응하는 프로그램키에 의해 각각 복호화하여 의사병렬적으로 실행가능한 것이며,

   상기 송신장치에 있어서 실행되는 암호화된 콘텐츠 송신 프로그램에는,

   소정의 비밀이 대응하는 프로그램키에 기초하여 암호화된 상태에서 격납되고, 상기 수신장치에 대해 상기 비밀의 유지를 증명하는 증명단계를 갖추고,

   상기 수신장치의 콘텐츠 수신열람 프로그램은,

   상기 콘텐츠의 송신원의 콘텐츠 송신 프로그램에 대해 상기 소정의 비밀을, 상기 콘텐츠 송신 프로그램의 비밀키에 대응하고, 콘텐츠 수신열람 프로그램이 미리 유지하는 공개키에 기초하여 소정의 공개키 알고리즘에 의해 인증하는 인증단계와,

   상기 인증단계에 있어서 콘텐츠 송신 프로그램이 상기 소정의 비밀을 유지하는 것이 증명된 경우에만 상기 콘텐츠 송신 프로그램으로부터 콘텐츠를 수신하는 것을 특징으로 하는 콘텐츠 배포/수신방법.
7. 프로세서 비밀키를 내장하는 마이크로프로세서 및 외부 메모리를 갖춘 송신장치 및 수신장치에 있어서 실행되는 콘텐츠 배포/수신방법에 있어서,

   상기 송신장치 및 수신장치에 구비되는 상기 마이크로프로세서는, 복수의 프로그램에 각각 대응하는 복수의 배포키를 상기 프로세서 비밀키에 의해 각각 복호화함으로써 얻어지는 복수의 프로그램키를 취출하고,

   상기 복수의 프로그램키에 의해 각각 암호화된 상태에서 상기 외부 메모리에 배치된 복수의 프로그램을, 대응하는 프로그램키에 의해 각각 복호화하여 의사병렬적으로 실행가능한 것이며,

   상기 수신장치에 있어서 실행되는 암호화된 콘텐츠 수신열람 프로그램 및 상기 송신장치에 있어서 실행되는 암호화된 콘텐츠 송신 프로그램은,

   소정의 비밀이 각각 대응하는 프로그램키에 기초하여 암호화된 상태에서 격납되고, 통신상대에 대해 상기 비밀의 유지를 증명하는 증명단계를 갖추고,

   상기 증명단계에 있어서, 상기 통신상대의 비밀의 유지가 증명된 경우에는,

   상기 송신장치가 상기 수신장치로부터 수신한 송신장치 검사 프로그램의 실행을 허가함과 더불어, 상기 수신장치가 상기 송신장치 검사 프로그램에 의해 상기 송신장치의 안전성을 검증하고,

   상기 수신장치는 상기 송신장치를 안전하다고 판정한 경우, 상기 콘텐츠 수신요구에 관계된 콘텐츠를 상기 송신장치로부터 수신하는 것을 특징으로 하는 콘텐츠 배포/수신방법.
8. 제7항에 있어서, 상기 수신장치는 상기 안전성을 검증할 때의 판단기준이 열기(列記)되고, 상기 프로그램키로 암호화된 테이블을 더 갖추며, 그 테이블에 열기된 판단기준에 기초하여 상기 송신장치의 안전성을 검증하는 것을 특징으로 하는 콘텐츠 배포/수신방법.

Images