WO2012161122A1 - 放送通信連携受信装置およびリソース管理装置 - Google Patents

放送通信連携受信装置およびリソース管理装置 Download PDF

Info

Publication number
WO2012161122A1
WO2012161122A1 PCT/JP2012/062809 JP2012062809W WO2012161122A1 WO 2012161122 A1 WO2012161122 A1 WO 2012161122A1 JP 2012062809 W JP2012062809 W JP 2012062809W WO 2012161122 A1 WO2012161122 A1 WO 2012161122A1
Authority
WO
WIPO (PCT)
Prior art keywords
application
signature
broadcast
revocation list
key
Prior art date
Application number
PCT/JP2012/062809
Other languages
English (en)
French (fr)
Inventor
大竹　剛
小川　一人
Original Assignee
日本放送協会
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本放送協会 filed Critical 日本放送協会
Priority to US14/118,960 priority Critical patent/US20140096154A1/en
Priority to EP12789774.2A priority patent/EP2713297A4/en
Priority to JP2013516347A priority patent/JPWO2012161122A1/ja
Publication of WO2012161122A1 publication Critical patent/WO2012161122A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/80—Generation or processing of content or additional data by content creator independently of the distribution process; Content per se
    • H04N21/83—Generation or processing of protective or descriptive data associated with content; Content structuring
    • H04N21/835—Generation of protective data, e.g. certificates
    • H04N21/8352—Generation of protective data, e.g. certificates involving content or source identification data, e.g. Unique Material Identifier [UMID]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/20—Servers specifically adapted for the distribution of content, e.g. VOD servers; Operations thereof
    • H04N21/23—Processing of content or additional data; Elementary server operations; Server middleware
    • H04N21/235—Processing of additional data, e.g. scrambling of additional data or processing content descriptors
    • H04N21/2353—Processing of additional data, e.g. scrambling of additional data or processing content descriptors specifically adapted to content descriptors, e.g. coding, compressing or processing of metadata
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/20—Servers specifically adapted for the distribution of content, e.g. VOD servers; Operations thereof
    • H04N21/25—Management operations performed by the server for facilitating the content distribution or administrating data related to end-users or client devices, e.g. end-user or client device authentication, learning user preferences for recommending movies
    • H04N21/258—Client or end-user data management, e.g. managing client capabilities, user preferences or demographics, processing of multiple end-users preferences to derive collaborative data
    • H04N21/25808—Management of client data
    • H04N21/2585—Generation of a revocation list, e.g. of client devices involved in piracy acts
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/20—Servers specifically adapted for the distribution of content, e.g. VOD servers; Operations thereof
    • H04N21/25—Management operations performed by the server for facilitating the content distribution or administrating data related to end-users or client devices, e.g. end-user or client device authentication, learning user preferences for recommending movies
    • H04N21/266—Channel or content management, e.g. generation and management of keys and entitlement messages in a conditional access system, merging a VOD unicast channel into a multicast channel
    • H04N21/26613—Channel or content management, e.g. generation and management of keys and entitlement messages in a conditional access system, merging a VOD unicast channel into a multicast channel for generating or managing keys in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/40—Client devices specifically adapted for the reception of or interaction with content, e.g. set-top-box [STB]; Operations thereof
    • H04N21/45—Management operations performed by the client for facilitating the reception of or the interaction with the content or administrating data related to the end-user or to the client device itself, e.g. learning user preferences for recommending movies, resolving scheduling conflicts
    • H04N21/462—Content or additional data management, e.g. creating a master electronic program guide from data received from the Internet and a Head-end, controlling the complexity of a video stream by scaling the resolution or bit-rate based on the client capabilities
    • H04N21/4627—Rights management associated to the content
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/80—Generation or processing of content or additional data by content creator independently of the distribution process; Content per se
    • H04N21/81—Monomedia components thereof
    • H04N21/8166—Monomedia components thereof involving executable data, e.g. software
    • H04N21/8173—End-user applications, e.g. Web browser, game
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/80—Generation or processing of content or additional data by content creator independently of the distribution process; Content per se
    • H04N21/85—Assembly of content; Generation of multimedia applications
    • H04N21/858—Linking data to content, e.g. by linking an URL to a video object, by creating a hotspot
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/60—Digital content management, e.g. content distribution
    • H04L2209/601—Broadcast encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics

Definitions

  • the present invention relates to a broadcasting / communication cooperation receiving apparatus and a resource management apparatus that can use a service in which broadcasting and communication cooperate.
  • broadcast communication cooperation services In recent years, various services (hereinafter referred to as “broadcast communication cooperation services”) in which broadcasting and communication are linked are being studied along with the digitization of broadcasting and the increase in communication speed and bandwidth.
  • this broadcasting / communication cooperation service it is assumed that various information related to contents such as broadcasting programs are acquired via a communication line and presented in combination with broadcasting.
  • a receiving terminal hereinafter referred to as a broadcasting / communication cooperation receiving device
  • the “application” refers to software that operates on a broadcasting / communication cooperation receiving apparatus having a function of presenting program-related information acquired via a communication line in combination with content such as a broadcasting program.
  • application authentication is performed as follows.
  • the service provider transmits the application to the viewer's broadcast communication cooperative reception device via the communication line.
  • a digital signature is added to the application using a signature key held by the service provider and transmitted.
  • the user's broadcast communication cooperation receiving apparatus verifies the signature added to the received application using the verification key.
  • This procedure is for the case where the service provider sends the application directly to the user's broadcasting / communication cooperation receiver, but the application created by the service provider is registered in an application server operated by a third party other than the service provider. And the model which transmits to a broadcast communication cooperation receiving apparatus from an application server according to the request from a user is also considered. That is, when using an application server operated by a third party, the service provider adds a digital signature to the application using a signature key and transmits the application to the application server when registering the application. On the other hand, the application server verifies the signature added to the received application using the verification key.
  • PKI Public Key Infrastructure
  • the broadcasting / communication cooperation service if there is a service provider that creates an application that performs illegal operations, the signature added by the service provider or the signature key held by the service provider is revoked, and the broadcasting / communication cooperation It is necessary to prohibit an application executed in the receiving apparatus from accessing a resource (resource API server) managed by the broadcasting station.
  • the resource managed by the broadcasting station means, for example, metadata, icons and other data used by the application at the time of execution, or content.
  • the point that the application restricts access to the resources managed by the broadcasting station has not been considered.
  • the present invention has been made in view of the above-described problems.
  • an application that performs an illegal operation is revoked and the application accesses a resource managed by a broadcasting station. It is an object of the present invention to provide a broadcast communication cooperative reception device and a resource management device that can be restricted.
  • a broadcasting / communication cooperation receiving apparatus includes a key generation apparatus that generates a verification key that is public information for verifying a signature added to an application for each service provider, and a service provider specific A signature key generation device that generates a revocation list in which the service provider ID corresponding to the revoked signature key is described, and adds a signature to the application using the signature key and broadcast communication cooperation Broadcast communication including an application server that distributes to a receiving device, a resource management device that manages resources used by the application during execution, and a broadcast transmitting device that transmits broadcast data to the broadcast communication cooperative receiving device via broadcast waves
  • a broadcasting / communication cooperative receiving device used in a cooperative system which includes application activation information extracting means, A publication acquisition unit, an application execution unit, and an application control unit, and the revocation list extraction means, and the verification key extraction means, and the revocation list verification unit, a signature verification unit, a resource management unit, configured to include a.
  • the broadcast communication cooperative reception device acquires and controls the application from the event information table included in the transport stream of the broadcast data transmitted by the broadcast transmission device by the application activation information extraction unit. Extract application startup information.
  • the broadcast communication cooperative receiving apparatus refers to the address of the application server described in the application activation information by the application acquisition unit, acquires the application from the application server, and executes the application by the application execution unit.
  • the application control unit controls the activation state of the application executed by the application execution unit according to the control code described in the application activation information.
  • the broadcasting / communication cooperation receiving apparatus extracts the revocation list and the verification key from the predetermined module of the DSM-CC data carousel transmitted by the broadcast transmission apparatus by the revocation list extraction unit and the verification key extraction unit. Also, the broadcasting / communication cooperation receiving apparatus verifies whether or not the revocation list verifying means describes the provider ID of the service provider that provides the application acquired by the application acquiring means in the revocation list. In addition, the broadcasting / communication cooperation receiving apparatus determines whether or not a signature is added to the application having the business ID that is determined not to be described in the revocation list by the revocation list verification unit by the signature verification unit, and Verify whether the signature is valid.
  • the broadcast communication cooperative receiving apparatus acquires the resource from the resource management apparatus when the application whose signature is determined to be valid by the signature verification means by the resource management means, and acquires the resource from the resource management apparatus.
  • the application execution means executes the application using the allocated resource.
  • a resource management device includes a key generation device that generates a verification key that is public information for verifying a signature added to an application for each service provider, and a service provider specific
  • a signature key generation device that generates a revocation list in which the service provider ID corresponding to the revoked signature key is described, and adds a signature to the application using the signature key and broadcast communication cooperation
  • Broadcast communication including an application server that distributes to a receiving device, a resource management device that manages resources used by the application during execution, and a broadcast transmitting device that transmits broadcast data to the broadcast communication cooperative receiving device via broadcast waves
  • a resource management device used in a linkage system comprising: resource storage means; revocation list determination means; And resource output unit, and configured to include a.
  • the resource management device stores the resource by the resource storage unit, and the revocation list determination unit describes the provider ID of the service provider that provides the application requesting the resource in the revocation list. It is determined whether or not. Then, when the resource output means determines that the resource output means is not described in the revocation list by the revocation list determination means, the resource management means for the broadcast communication cooperative reception device that executes the application having the provider ID, Output resources.
  • the revocation list verification means since it is possible to verify whether or not the business ID corresponding to the application is described by the revocation list verification means, for example, an application that performs an illegal operation is arbitrarily revoked. Can do.
  • an application by verifying the signature of the application by the signature verification means, an application (general application) whose operation in the broadcasting / communication cooperation system is not guaranteed can be determined. Access to resources managed by the station can be restricted.
  • the second aspect of the present invention it is possible to restrict the application executed in the broadcasting / communication cooperation receiving apparatus from acquiring resources managed by the broadcasting station according to the revocation list.
  • the broadcasting / communication cooperation system S1 provides a broadcasting / communication cooperation service to the user via the broadcasting / communication cooperation receiving device 7.
  • the broadcasting / communication cooperation system S1 includes a broadcasting transmission device 1, a resource management device 2, a key generation device 3, a signature key generation device 4, and a service provider A provided in a broadcasting station.
  • the application server 5 provided, the application server 6 provided in the service provider B, and the broadcasting / communication cooperation receiving device 7 provided in the user's home (or carried by the user) are included.
  • the broadcast transmission device 1, the resource management device 2, the key generation device 3, the signature key generation device 4, the application server 5, the application server 6, and the broadcast communication cooperative reception device 7 They are connected to each other via N (Internet, external network).
  • N Internet, external network
  • the broadcast transmission device 1, the resource management device 2, the key generation device 3, and the signature key generation device 4 are connected to each other via a dedicated communication line (internal network) of the broadcast station.
  • one application server 5 and 6 is illustrated, but it goes without saying that a plurality of these are connected to the communication line N.
  • the broadcasting / communication cooperation system S1 provides content and an application related to the content to the broadcasting / communication cooperation receiving device 7 used by the user. Then, the broadcasting / communication cooperation system S1 provides an application that has been subjected to application authentication using an ID-based signature method as an A application to the broadcasting / communication cooperation receiving device 7 as described later, and an application that has not been authenticated by a general application. Is provided to the broadcasting / communication cooperation receiving device 7.
  • the broadcast transmission device 1 transmits broadcast data including content such as a broadcast program to the broadcast communication cooperative reception device 7 via the broadcast wave W. Further, as shown in FIG. 1, the broadcast transmitting apparatus 1 includes the revocation list generated by the signature key generating apparatus 4 and the verification key generated by the key generating apparatus 3 together with the content in the broadcast data. To the broadcasting / communication cooperation receiving device 7.
  • the revocation list is a list in which the business operator ID of the service business operator A corresponding to the revoked signature key is described.
  • the broadcast transmitting apparatus 1 stores the revocation list and the verification key described above in a predetermined module of the DSM-CC data carousel and transmits them to the broadcast communication cooperative receiving apparatus 7. At that time, the broadcast transmitting apparatus 1 preferably transmits the component tag and the module of the revocation list and verification key transmission carousel fixedly. As a result, the broadcasting / communication cooperation receiving apparatus 7 can easily and reliably extract the revocation list and the verification key from the DSM-CC data carousel based on the component tag and the module ID that are known in advance.
  • the broadcast transmission device 1 provides application activation information to the broadcast communication cooperative reception device 7.
  • the application activation information is data including information for identifying an application such as an application identifier (ID), an application location (address), and additional information for controlling the application. It is.
  • the broadcast transmitting apparatus 1 uses p of EIT (Event Information Table) in an SI (Service Information Table) included in an MPEG-2 TS (Transport Stream) that is broadcast data.
  • the application activation information is described in the / f area and transmitted to the broadcasting / communication cooperation receiving device 7.
  • the EIT is a table in which the program name, program content, performers, program genre, etc. are described.
  • the p / f region is the next program (content) currently being broadcast in the EIT. This is the area where the program to be broadcast is described.
  • the broadcasting / communication cooperation receiving device 7 can easily acquire and control the application used for the content currently being broadcast and the content scheduled to be broadcast next.
  • the period at which the broadcast transmission apparatus 1 transmits the revocation list to the broadcast communication cooperative reception apparatus 7 may be, for example, transmission once a week, or the business ID described in the revocation list is updated. You may send it every time.
  • the resource management device (resource providing device) 2 manages (stores) resources used by an application executed in the broadcasting / communication cooperation receiving device 7 and provides the resources to the broadcasting / communication cooperation receiving device 7. is there. A specific configuration of the resource management device 2 will be described later.
  • the key generation device 3 generates and manages (stores) a master key for generating a signature key and a verification key for verifying the signature. It is assumed that the verification key generated by the key generation device 3 is distributed to the broadcast communication cooperative reception device 7 via the broadcast wave W, for example. A specific configuration of the key generation device 3 will be described later.
  • the signature key generation device 4 generates a signature key used when adding a signature to an application, and generates a revocation list in which the service provider A's business ID corresponding to the revoked signature key is described. is there. It is assumed that the signature key generated by the signature key generation device 4 is distributed offline to the service provider A (application server 5) in consideration of leakage and the like. A specific configuration of the signature key generation apparatus 4 will be described later.
  • the application server 5 provides the A application to the broadcasting / communication cooperation receiving device 7.
  • a (Authorized) application is an application to which a signature is added by an ID-based signature method, and means an application whose provider has been confirmed by a broadcasting station.
  • the ID-based signature is an electronic signature that can use an arbitrary character string (here, the provider ID of the application) as a public key, and specifically, the following document (“Identity-Based Cryptosystems” and “Signature” Schemes ”, Proc. Of CRYPTO'84, LNCS 196, pp. 47-53, Springer-Verlag, 1984.).
  • the application A is guaranteed to operate in the broadcasting / communication cooperation system S1, and can use resources managed by the broadcasting station, as will be described later.
  • Examples of the A application include an application used in a broadcast program provided by a broadcasting station, for example. Therefore, the application server 5 includes a signature generation device 50 that adds a signature to an application and transmits the application as shown in FIG. A specific configuration of the signature generation device 50 will be described later.
  • the application server 6 provides general applications to the broadcasting / communication cooperation receiving device 7.
  • the general application or unapproved application is an application to which a signature is not added, and means an application whose provider has not been confirmed by the broadcast station.
  • General apps are not guaranteed to operate in the broadcasting / communication cooperation system S1 and cannot use resources managed by broadcasting stations, as will be described later.
  • a general application for example, a clock application for notifying the time on a television screen, a stock price application for notifying a stock price, or the like produced independently by a third party (service provider B) not related to a broadcasting station can be cited. Therefore, the application server 6 transmits to the broadcasting / communication cooperation receiving apparatus 7 without adding a signature to the application, as shown in FIG.
  • the broadcasting / communication cooperation receiving device 7 receives broadcast data including a content such as a broadcast program, a revocation list, and a verification key from the broadcast transmitting device 1 via the broadcast wave W.
  • the broadcasting / communication cooperation receiving apparatus 7 receives the A application from the application server 5, verifies (authenticates) the signature added to the application with the verification key, and receives the general application from the application server 6.
  • the broadcasting / communication cooperation receiving device 7 is a television receiver, a personal computer, or the like that can enjoy the broadcasting / communication cooperation service. A specific configuration of the broadcast communication cooperative reception device 7 will be described later.
  • the resource management apparatus 2 includes resource storage means 21, revocation list determination means 22, and resource output means 23.
  • the resource storage unit 21 stores resources (metadata, data such as icons, contents, etc.) used by an application executed in the broadcasting / communication cooperation receiving apparatus 7. As shown in FIG. 2, the resource storage unit 21 is configured to store in advance resources used by the A application and output them to the resource output unit 23. Note that the resource storage unit 21 is specifically implemented by a memory, a hard disk, or the like that can store data.
  • the revocation list determination means 22 determines whether or not the business ID corresponding to the application requesting the resource is described in the revocation list. As shown in FIG. 2, the revocation list determination unit 22 receives the revocation list from the revocation list generation unit 45 of the signature key generation device 4. Then, as shown in FIG. 2, the revocation list determination unit 22 receives the resource request and the business operator ID of the application that uses the resource from the broadcasting / communication cooperation receiving device 7, and the business operator ID is revoked. It is determined whether it is described in the list, and the determination result is output to the resource output means 23.
  • the resource output means 23 outputs resources to the broadcasting / communication cooperation receiving device 7. Specifically, as shown in FIG. 2, the resource output unit 23 receives the determination result “No operator ID is described in the revocation list” from the revocation list determination unit 22. The resource used by the corresponding application is read out and output to the broadcasting / communication cooperation receiving device 7. On the other hand, as shown in FIG. 2, the resource output unit 23 corresponds from the resource storage unit 21 when the determination result “an operator ID is described in the revocation list” is input from the revocation list determination unit 22. Do not read resources used by the application. Thereby, the resource management apparatus 2 can restrict
  • the key generation device 3 includes a key generation unit 31, a verification key management unit 32, and a master key management unit 33. It is assumed that the key generation device 3 and the signature key generation device 4 are communicably connected via a communication interface (not shown).
  • the key generation means 31 generates a master key and a verification key.
  • the key generation means 31 generates a master key and a verification key by an ID-based signature method. Then, the key generation unit 31 outputs the generated verification key to the verification key management unit 32 and outputs the generated master key to the master key management unit 33.
  • the verification key management unit 32 stores and manages the verification key generated by the key generation unit 31. Specifically, the verification key management unit 32 writes the verification key generated by the key generation unit 31 in a storage medium (not shown) and reads it in response to a request. Further, when distributing the verification key to the broadcasting / communication cooperation receiving device 7, the verification key management unit 32 reads the verification key from the storage medium according to an instruction from the operator. The verification key read in this way is distributed from the broadcast transmission apparatus 1 to the broadcast communication cooperative reception apparatus 7 via the broadcast wave W using the above-described DSM-CC data carousel. However, the verification key management means 32 may write the verification key on, for example, an IC card and distribute it to the broadcasting / communication cooperation receiving apparatus 7 offline.
  • the master key management means 33 stores and manages the master key generated by the key generation means 31. Specifically, the master key management unit 33 writes the master key generated by the key generation unit 31 in a storage medium (not shown) and reads it in response to a request.
  • the signature key generation apparatus 4 includes a parameter input unit 41, a signature key generation unit 42, a signature key management unit 43, a signature key output unit 44, a revocation list generation unit 45, It has.
  • the parameter input means 41 is for inputting various parameters for generating a signature key and a revocation list.
  • the update type and the provider ID are input from the input means not shown here, and the master key and the verification key are received from the key generation apparatus 3 as shown in FIG. Entered.
  • the update type is type information indicating instructions for processing contents for issuing and revoking a signature key.
  • the update type value is type information indicating instructions for processing contents for issuing and revoking a signature key. For example, as shown in Table 1 below, signature key issuance and revocation are assigned as processing contents to the update type value.
  • the provider ID is an identifier determined in advance to uniquely identify the service provider.
  • This operator ID is a serial number from a predetermined number (for example, “1”). When a new service operator is registered, “1” is added to the maximum value of the current operator ID. Value.
  • the parameter input unit 41 outputs the input update type, operator ID, master key, and verification key to the signature key generation unit 42.
  • the signature key generation unit 42 generates a signature key by an ID-based signature method based on the update type, the operator ID, the master key, and the verification key input by the parameter input unit 41.
  • the signature key generation unit 42 outputs the generated signature key to the signature key management unit 43.
  • the signing key generation unit 42 does not generate the signing key and generates the input business ID (the business ID to be revoked) revocation list generation unit. Output to 45.
  • the signature key management unit 43 stores and manages the signature key generated by the signature key generation unit 42. Specifically, the signature key management unit 43 outputs the signature key and the business operator ID generated by the signature key generation unit 42 to the signature key output unit 44, writes the signature key in a storage medium (not shown), and responds to the request. read out.
  • the signing key output unit 44 transmits the signing key and the business ID to the application server 5 based on an instruction from the signing key management unit 43.
  • the revocation list generating means 45 generates a revocation list (CRL) that specifies a signature key to be revoked.
  • CTL revocation list
  • the revocation list generating means 45 describes the business ID to be revoked individually in the revocation list. Then, the revocation list generation unit 45 outputs the generated revocation list to the broadcast transmission device 1 and the revocation list determination unit 22 of the resource management device 2 as shown in FIG.
  • the signature generation device 50 uses the signature key generated by the signature key generation device 4 to add a signature to the application.
  • the signature generation apparatus 50 includes a signature key input unit 51, an application input unit 52, a signature addition unit 53, and an application transmission unit 54.
  • the signature key input means 51 inputs the signature key generated by the signature key generation device 4.
  • the signature key input means 51 outputs the input signature key to the signature addition means 53 as shown in FIG.
  • Application input means 52 inputs an application from the outside.
  • the application input unit 52 may receive an application via a network inside the service provider, or may read an application written in a storage medium.
  • the application input means 52 outputs the input application to the signature adding means 53 as shown in FIG.
  • the signature adding unit 53 adds a digital signature (ID base signature) to the application input by the application input unit 52 using a signature key. Then, the signature adding means 53 outputs the application with the signature added to the application transmitting means 54 as shown in FIG.
  • the application transmitting unit 54 transmits the A application (signed application) to which the signature is added by the signature adding unit 53 to the broadcast communication cooperative receiving device 7 via the communication line N.
  • the broadcasting / communication cooperative receiving apparatus 7 includes a broadcast receiving means 71, a broadcast signal analyzing means 72, a video / audio decoding means 73, a data broadcast decoding means 74, an application control means 75, an application, Acquisition means 76, communication transmission / reception means 77, application storage means 78, application execution means 79, composite display means 80, revocation list verification means 81, revocation list storage means 82, signature verification means 83, verification Key storage means 84.
  • the broadcast receiving means 71 receives broadcast data from the broadcast transmitting device 1 via the broadcast wave W. Specifically, the broadcast receiving means 71 receives and demodulates broadcast data from the broadcast transmitting apparatus 1, performs error correction, TMCC (Transmission and Multiplexing Configuration Control) decoding, and so on, as shown in FIG. Is output to the broadcast signal analyzing means 72 as an MPEG-2 TS (Transport Stream).
  • TMCC Transmission and Multiplexing Configuration Control
  • Broadcast signal analyzing means 72 analyzes a broadcast signal of digital broadcasting. Specifically, the broadcast signal analyzing means 72 separates the TS in which video / audio and data are multiplexed into PES (Packetized Elementary Stream) data and section data. Then, the broadcast signal analyzing means 72 outputs the PES data to the video / audio decoding means 73 and the section data to the data broadcast decoding means 74 as shown in FIG. As shown in FIG. 4, the broadcast signal analysis unit 72 includes an application activation information extraction unit 721.
  • PES Packetized Elementary Stream
  • the application activation information extraction unit (means) 721 extracts the application activation information described above from the TS input from the broadcast receiving means 71. Specifically, as shown in FIG. 4, the application activation information extraction unit 721 checks whether application activation information is described in the p / f area of the EIT included in the TS input from the broadcast receiving means 71. If the content is described, it is extracted. And the application starting information extraction part 721 outputs the extracted application starting information to the application control means 75, as shown in FIG.
  • the video / audio decoding means 73 decodes the video / audio received by the broadcast receiving means 71 and demodulated. For example, when the video / audio is encoded by the MPEG-2 encoding method, the video / audio decoding means 73 performs MPEG-2 decoding, and as shown in FIG. -It outputs to the synthetic
  • the data broadcast decoding means 74 is for decoding the data (data file) received by the broadcast receiving means 71 and demodulated.
  • a data file broadcast as a Japanese data broadcast is described in BML which is a markup language. Therefore, this data broadcast decoding means 74 specifically functions as a BML analysis means for analyzing BML, and synthesizes data (data broadcast data) converted into an output format capable of displaying BML as shown in FIG. Output to the display means 80.
  • the data broadcast decryption unit 74 includes a revocation list extraction unit 741 and a verification key extraction unit 742.
  • the revocation list extraction unit (means) 741 extracts a revocation list from data transmitted by the DSM-CC data carousel. Specifically, as shown in FIG. 4, the revocation list extraction unit 741 extracts a revocation list stored in a predetermined module of the DSM-CC data carousel and outputs the revocation list to the revocation list storage unit 82.
  • the verification key extraction unit 742 extracts the verification key from the data transmitted by the DSM-CC data carousel. Specifically, as shown in FIG. 4, the verification key extraction unit 742 extracts a verification key stored in a predetermined module of the DSM-CC data carousel, and outputs the verification key to the verification key storage unit 84.
  • the application control means 75 controls the activation state of the application executed by the broadcasting / communication cooperation receiving device 7. Specifically, as shown in FIG. 4, the application control means 75 includes an application ID described in the application activation information extracted by the application activation information extraction unit 721 and an application server 5 in which the application is stored. 6 is referred to, and the application acquisition means 76 is instructed to acquire an application from the application servers 5 and 6.
  • the application control unit 75 refers to the control code described in the application activation information, and executes the application execution unit. An instruction is sent to 79 to activate the application described in the control code. In this way, the application control means 75 instructs the acquisition and control of the application executed by the broadcast communication cooperative reception device 7 according to the contents of the application activation information.
  • the application control unit 75 will Thus, without giving an instruction to acquire the application from the application servers 5 and 6, the application execution unit 79 is instructed to set the application in the activated state described in the control code.
  • the application control means 75 also instructs application authentication. That is, as shown in FIG. 4, when the application is executed by the application execution unit 79, the application control unit 75 describes the revocation list verification unit 81 in which the provider ID of the application is described in the revocation list. The verification instruction of whether or not there is is performed.
  • the application control means 75 outputs a verification result “an operator ID is not described in the revocation list” by the revocation list verification means 81 and adds it to the application from the signature verification means 83.
  • a verification result indicating that the signed signature is valid A application
  • the application control unit 75 outputs a resource request instruction and a provider ID of the application to the resource management unit 85.
  • the application control means 75 controls the activation state of the application according to the application activation information when the application does not require a resource.
  • the application control means 75 permits the application execution means 79 to allocate resources. Thereby, the application execution unit 79 executes the application using the resource.
  • Application acquisition means 76 acquires applications from the application servers 5 and 6. Specifically, as shown in FIG. 4, the application acquisition unit 76 receives the application A from the application server 5 via the communication transmission / reception unit 77 serving as a communication interface and the communication line N in accordance with an instruction from the application control unit 75. (Signed application) and general application (unsigned application) are acquired from the application server 6, respectively. As described above, the instruction from the application control means 75 includes the application ID of the application to be controlled and the addresses of the application servers 5 and 6 in which the application is stored. The acquisition unit 76 can acquire a target application in accordance with an instruction from the application control unit 75.
  • the application acquisition means 76 will output this to the application memory
  • the application acquisition unit 76 can directly output the application to the application execution unit 79 when the broadcast communication cooperative reception apparatus 7 executes the application on the fly without temporarily storing the application.
  • the broadcasting / communication cooperation receiving apparatus 7 temporarily stores and executes the application is, for example, a case where the acquired application is used in a news program broadcast every day at the same time zone, that is, the same application. The case where it uses regularly many times etc. is assumed.
  • the case where the broadcasting / communication cooperation receiving apparatus 7 executes an application on the fly assumes, for example, a case where the acquired application is used in a one-time special program, that is, a case where the same application is used only once. Is done.
  • the application control means 75 indicates whether the provider ID of the application is described in the revocation list with respect to the revocation list verification means 81 when the application acquisition means 76 acquires the application. It is also possible to instruct whether or not to verify. That is, the broadcasting / communication cooperation receiving apparatus 7 can perform application authentication not only when the application is started but also when the application is acquired.
  • the communication transmitting / receiving means 77 performs data communication via the communication line N as shown in FIG.
  • the communication transmitting / receiving unit 77 transmits / receives data using a TCP / IP communication protocol.
  • Application storage means 78 stores applications (A application and general application). As shown in FIG. 4, the application storage unit 78 is configured so that the application acquired by the application acquisition unit 76 can be input and output to the application execution unit 79. In addition, as will be described later, the application storage unit 78 outputs an operator ID of an application to be authenticated in accordance with an instruction from the revocation list verification unit 81 during application authentication, and in accordance with an instruction from the signature verification unit 83. Outputs the signature of the application to be authenticated. Note that the application storage unit 78 is specifically implemented by a memory, a hard disk, or the like that can store data.
  • Application execution means 79 is for executing an application. Specifically, the application execution unit 79 executes the application acquired by the application acquisition unit 76 in accordance with an instruction from the application control unit 75, as shown in FIG. When the application acquired by the application acquisition unit 76 is an A application and requires a broadcast station resource, the application execution unit 79 uses the resource management unit 85 (see FIG. 2). ) Run the application using the resource obtained from. In addition, when the application acquired by the application acquisition unit 76 is a general application, the application execution unit 79 executes the application without using the resources of the broadcasting station. Then, as shown in FIG. 1, the application execution unit 79 outputs drawing data and audio data of the executed application (for example, data such as sound effects when executing the application) to the composite display unit 80.
  • drawing data and audio data of the executed application for example, data such as sound effects when executing the application
  • the composition display means 80 synthesizes video / audio, data, and application. Specifically, as shown in FIG. 4, the composite display means 80 includes video / audio data input from the video / audio decoding means 73, data broadcast data input from the data broadcast decoding means 74, and application execution means. The drawing data and audio data input from 79 are combined and output to the monitor Mo and the speaker Sp, respectively.
  • the composite display unit 80 can be realized by a general GDC (Graphic Display Controller).
  • the revocation list verification unit 81 refers to the revocation list and verifies whether or not the operator ID added to the application is valid. That is, as shown in FIG. 4, when a verification instruction is input from the application control means 75 during application execution, the revocation list verification means 81 reads the revocation list from the revocation list storage means 82 and executes it from the application storage means 78. Read the provider ID of the target application. Then, the revocation list verification unit 81 verifies whether or not the business ID is described in the revocation list, and outputs the verification result to the signature verification unit 83 as shown in FIG.
  • the revocation list verification unit 81 can also perform verification in accordance with the verification instruction input from the application control unit 75 at the time of application acquisition.
  • the revocation list verification unit 81 reads the revocation list from the revocation list storage unit 82 and also obtains the provider of the application acquired from the application storage unit 78. Read the ID. Then, the revocation list verification unit 81 verifies whether or not the business ID is described in the revocation list, and outputs the verification result to the signature verification unit 83 as shown in FIG.
  • the signature verification unit 83 verifies the signature added to the application using the verification key stored in the verification key storage unit 84. Specifically, as shown in FIG. 4, the signature verification unit 83 includes the revocation list in which the provider ID of the application (or acquired application) to be executed is described in the revocation list. When a verification result indicating that there is no data is input, the verification key is read from the verification key storage unit 84, the signature is verified using the verification key, and the verification result is output to the application control unit 75.
  • the application whose signature is determined to be valid by the signature verification means 83 is the A application.
  • an application for which the signature verification unit 83 determines that the signature is not valid or the signature itself is not added is a general application. Therefore, the broadcasting / communication cooperation receiving apparatus 7 includes the signature verification unit 83, and can determine whether the application acquired by the application acquisition unit 76 is an A application or a general application.
  • the resource management unit 85 acquires resources from the broadcasting station and assigns them to the application execution unit 79. As shown in FIG. 4, when the application requires resources managed by the broadcasting station, the resource management unit 85 receives a resource request instruction and an operator ID corresponding to the application from the application control unit 75. The Then, as shown in FIG. 4, the resource management means 85 sends a resource request to the resource management means 2 in the broadcasting station via the communication transmission / reception means 77 and the communication line N, and the carrier ID corresponding to the application. , Is output.
  • the revocation list determination unit 22 (see FIG. 2) of the resource management device 2 determines that the business operator ID input to the resource management unit 2 is not described in the revocation list, as shown in FIG.
  • the resource is output from the resource output means 23 (see FIG. 2) to the resource management means 85.
  • the resource management unit 85 allocates the resource acquired in this way to the application execution unit 79.
  • the broadcasting / communication cooperation receiving device 7 accesses a resource managed by the broadcasting station, the broadcasting / communication cooperation receiving device 7 sends a provider ID corresponding to the application executed by the broadcasting / communication cooperation receiving device 7.
  • the revocation list held by the broadcasting station can be checked against the provider ID, and access control can be performed.
  • the revocation list generated by the signature key generation device 4 in the broadcasting station is stored in a predetermined module of the DSM-CC data carousel as described above, and is transmitted to the broadcasting / communication cooperation receiving device 7 at a constant cycle. Therefore, it is assumed that the provider ID of the application to be revoked is described only in the revocation list held on the broadcast station side and not described in the revocation list held on the broadcast communication cooperative reception apparatus 7 side. . In this case, since the application cannot be revoked on the broadcasting / communication cooperation receiving device 7 side, the broadcasting / communication cooperation receiving device 7 may request a resource used by the application from the broadcasting station. However, since the revocation list held on the broadcasting station side is always the latest, even if the broadcasting / communication cooperation receiving apparatus 7 requests a resource, access to the resource can be prohibited.
  • the broadcasting / communication cooperation receiving device 7 having the above-described configuration, it is possible to verify whether or not the provider ID corresponding to the application is described by the revocation list verification unit 81.
  • the application to be performed can be arbitrarily revoked.
  • an application (general application) whose operation in the broadcast communication cooperative system S1 is not guaranteed can be determined. Can restrict access to resources managed by the broadcasting station.
  • the application activation information extraction unit 721 extracts the application activation information from the p / f region of the EIT (step S1).
  • the broadcasting / communication cooperation receiving apparatus 7 extracts the revocation list from the data transmitted by the DSM-CC data carousel by the revocation list extraction unit 741 and the verification key extraction unit 742 to extract the verification key (step S2). ).
  • the broadcasting / communication cooperation receiving device 7 refers to the application activation information by the application control unit 75 and acquires the application from the application server 5 or the application server 6 by the application acquisition unit 76 according to the instruction of the application control unit 75. (Step S3). Next, the broadcasting / communication cooperation receiving device 7 verifies whether or not the revocation list verification means 81 describes the acquired application provider ID in the revocation list (step S4). And broadcast communication cooperation receiving device 7 progresses to Step S5, when business ID is not described in a revocation list (in Step S4 No). On the other hand, when the business ID is described in the revocation list (Yes in step S4), the broadcast communication cooperative reception device 7 ends the process (does not execute the application).
  • the broadcasting / communication cooperation receiving apparatus 7 verifies whether or not the signature is added to the application by the signature verification means 83 and whether or not the signature is valid (step S5). If the signature is valid (Yes in step S5), the broadcast communication cooperative reception device 7 proceeds to step S6. On the other hand, when the signature is not added or when the signature is not valid (No in step S5), the broadcasting / communication cooperative receiving device 7 uses the application (not shown) by the application executing unit 79 without allocating the resources of the broadcasting station. (General application) is executed (step S11).
  • the broadcasting / communication cooperation receiving apparatus 7 confirms whether or not the acquired application requires resources of the broadcasting station by the application control means 75 (step S6).
  • the broadcasting / communication cooperation receiving device 7 requests the resource management device 2 in the broadcasting station for the resource by the resource management means 85 (step S6). S7).
  • the broadcasting / communication cooperative receiving apparatus 7 executes the application (A application) by the application execution unit 79 without allocating the broadcasting station resource. (Step S11).
  • the resource management device 2 uses the revocation list determination unit 22 to describe the provider ID of the application acquired by the broadcasting / communication cooperation receiving device 7 in the revocation list. It is verified whether or not it has been performed (step S8).
  • the resource management device 2 outputs the resource to the broadcast communication cooperative reception device 7 by the resource output unit 23 (step S9).
  • the resource management device 2 ends the process (does not output the resource).
  • the broadcasting / communication cooperation receiving apparatus 7 allocates resources to the application execution means 79 by the resource management means 85 (step S10).
  • An application (A application) is executed (step S11).
  • the broadcasting / communication cooperation receiving apparatus 7 that performs such an operation, it is possible to verify whether or not the provider ID corresponding to the application is described by the revocation list verification unit 81. For example, an illegal operation is performed.
  • the application can be revoked arbitrarily.
  • an application general application whose operation in the broadcast communication cooperative system S1 is not guaranteed can be determined. Can restrict access to resources managed by the broadcasting station.
  • a signature key is generated in the broadcasting station and a signature is added to the application in the application server 5 of the service provider A.
  • a system administrator may be installed, and a signature key may be generated and a signature may be added by the system administrator. That is, in the broadcasting / communication cooperation system S2, as shown in FIG. 6, only the broadcasting transmission device 1 and the resource management device 2 are provided in the broadcasting station, and the key generation device 3 and the signature are sent to the newly provided system administrator. A key generation device 4 and a signature generation device 50 are provided. Note that each configuration in FIG. 6 is the same as that of the broadcast communication cooperation system S1 described above, and thus the description thereof is omitted.
  • the broadcast / communication cooperation system S2 having such a configuration does not need to include the signature generation device 50 for each application server 5 of the service provider A, unlike the broadcast / communication cooperation system S1, and is integrated under the system administrator. Application authentication can be performed.
  • the broadcast transmission apparatus 1 stores the revocation list and the verification key in a predetermined module of the DSM-CC data carousel and transmits them to the broadcast communication cooperation reception apparatus 7.
  • the list and the verification key may be stored in a server installed at a predetermined location, and only the address of the server may be transmitted to the broadcast communication cooperative reception device 7 by the broadcast transmission device 1.
  • the broadcast transmission apparatus 1 describes the address of the server storing the revocation list and the verification key in the p / f area of the EIT and transmits the same to the broadcast communication cooperative reception apparatus 7 as in the application activation information. .
  • the broadcasting / communication cooperation receiving device 7 acquires the revocation list and the verification key from the server at the address extracted from the p / f region of the EIT.
  • the broadcast transmission apparatus 1 stores the revocation list and the verification key in a predetermined module of the DSM-CC data carousel and transmits them to the broadcast communication cooperation reception apparatus 7.
  • the list and verification key information may be described in the application activation information and transmitted to the broadcast communication cooperative reception device 7.
  • the broadcast transmission apparatus 1 describes the revocation list and the verification key information in the p / f area of the EIT and transmits the information to the broadcast communication cooperative reception apparatus 7 in the same manner as the application activation information. Then, the broadcasting / communication cooperation receiving apparatus 7 extracts the revocation list and the verification key from the p / f region of the EIT.
  • the verification key is stored in a predetermined module of the DSM-CC data carousel by the broadcast transmission apparatus 1 and transmitted to the broadcast communication cooperation reception apparatus 7. You may transmit to the broadcast communication cooperation receiving apparatus 7 with A application (application with a signature).
  • the key generation device 3 in the broadcasting station distributes the generated verification key to the application server 5 offline, and the application server 5 transmits the A application and the verification key to the broadcast communication cooperative reception device 7.
  • the application activation information is described in the p / f region of the EIT and transmitted to the broadcast communication cooperation reception device 7.
  • the application activation information is transmitted to the predetermined DSM-CC data carousel. It may be stored in a module and transmitted to the broadcasting / communication cooperation receiving apparatus 7.
  • the broadcast transmission device 1, the resource management device 2, the key generation device 3 and the signature key generation device 4, the application server 5, the application server 6, and the broadcast communication cooperative reception device 7 are respectively connected to a CPU (Central Using CPU (Processing Unit), ROM (Read Only Memory), RAM (Random Access Memory), HDD (Hard Disk Drive), communication interface, etc. (not shown), the CPU stores the program stored in HDD etc. in RAM By doing so, various functions described later can be realized. That is, the broadcast transmission device 1, the resource management device 2, the key generation device 3, the signature key generation device 4, the application server 5, the application server 6, and the broadcast communication cooperative reception device 7 are computers, each of which is described above. It can be operated by a program for functioning as In that case, the program may be recorded on a computer-readable recording medium, and the program recorded on the recording medium may be read by the computer system and executed so as to function.
  • a CPU Central Using CPU (Processing Unit), ROM (Read Only Memory), RAM (Random Access Memory), HDD (Hard Disk
  • the “computer system” includes an OS and hardware such as peripheral devices. Further, this function may be a multitasking OS so that each function can be operated in parallel.
  • the “computer-readable recording medium” refers to a storage device such as a flexible disk, a magneto-optical disk, a portable medium such as a ROM and a CD-ROM, and a hard disk incorporated in a computer system.
  • the “computer-readable recording medium” as used herein refers to a dynamic communication for a short time, such as a communication line when transmitting a program via a network such as the Internet or a communication line such as a telephone line.
  • a program that holds a program, and a program that holds a program at a certain time, such as a volatile memory inside a computer system that serves as a server or a client in that case, may also be included.
  • this program may be for realizing a part of the above-described functions, and may be capable of realizing the above-described functions in combination with a program already recorded in the computer system. .

Landscapes

  • Engineering & Computer Science (AREA)
  • Multimedia (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Databases & Information Systems (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Graphics (AREA)
  • Technology Law (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Library & Information Science (AREA)
  • Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)

Abstract

　放送通信連携受信装置（７）は、放送データからアプリケーション起動情報を抽出するアプリケーション起動情報抽出手段（７２１）と、アプリケーション取得手段（７６）と、アプリケーション実行手段（７９）と、アプリケーション制御手段（７５）と、放送データから失効リストと検証鍵を抽出する失効リスト抽出手段（７４１）および検証鍵抽出手段（７４２）と、アプリケーションの事業者ＩＤが失効リストに記述されているかを検証する失効リスト検証手段（８１）と、アプリケーションの署名を検証する署名検証手段（８３）と、リソースを取得するリソース管理手段（８５）と、を備える。

Description

放送通信連携受信装置およびリソース管理装置
　本発明は、放送と通信とが連携したサービスを利用することができる放送通信連携受信装置およびリソース管理装置に関する。本願は、２０１１年５月２０日に、日本に出願された特願２０１１－１１４０７５号を優先権主張し、その内容をここに援用する。
　近年、放送のデジタル化や通信の高速・広帯域化に伴い、放送と通信とが連携した様々なサービス（以降、このようなサービスを「放送通信連携サービス」と呼ぶ）が検討されている。この放送通信連携サービスでは、放送番組等のコンテンツに関連する多様な情報を通信回線経由で取得し、放送と組み合わせて提示することが想定されている。また、受信端末（以下、放送通信連携受信装置という）では、このようなサービスを享受するため、サービスに適応したアプリケーションを用いる。ここで、「アプリケーション」とは、通信回線経由で取得した番組関連情報を放送番組等のコンテンツと組み合わせて提示する等の機能を有する、放送通信連携受信装置上で動作するソフトウェアのことを指す。
　なお、視聴者にとって、より魅力的なサービスを実現するためには、放送局が制作したアプリケーションだけでなく、様々な事業者が制作したアプリケーションを視聴者に提供できる環境が必要となる。一方、視聴者が提供されたアプリケーションを安心して利用できるようにするためには、アプリケーションを制作するサービス事業者を確認するとともに、アプリケーションの改ざんを防止する「アプリケーション認証」も必要である。
　一般に、アプリケーション認証は以下のように行われる。サービス事業者は、ユーザ（視聴者）からのリクエストに応じて、通信回線を経由してアプリケーションを視聴者の放送通信連携受信装置に送信する。このとき、サービス事業者が保持する署名鍵を用いて、アプリケーションにデジタル署名を付加して送信する。ユーザの放送通信連携受信装置は、検証鍵を用いて受信したアプリケーションに付加されている署名を検証する。
　なお、この手順はサービス事業者が直接ユーザの放送通信連携受信装置にアプリケーションを送信する場合であるが、サービス事業者以外の第三者が運営するアプリケーションサーバにサービス事業者が制作したアプリケーションを登録し、ユーザからのリクエストに応じてアプリケーションサーバから放送通信連携受信装置に送信するモデルも考えられる。すなわち、第三者が運営するアプリケーションサーバを用いる場合、サービス事業者は、アプリケーションを登録する際に、署名鍵を用いてアプリケーションにデジタル署名を付加してアプリケーションサーバに送信する。一方、アプリケーションサーバは、検証鍵を用いて受信したアプリケーションに付加されている署名を検証する。このようなデジタル署名を用いた認証には一般にＰＫＩ（Public Key Infrastructure）が用いられる（非特許文献１参照）。
情報セキュリティ技術ラボラトリー、"ＰＫＩ関連技術解説"、[online]、２００７年７月３日、独立行政法人情報処理推進機構、[平成２３年５月２０日検索]、インターネット<ＵＲＬ：http://www.ipa.go.jp/security/pki/>
　放送通信連携サービスにおいて、不正な動作を行うアプリケーションを制作するサービス事業者が存在した場合、当該サービス事業者が付加した署名、あるいは当該サービス事業者が保持する署名鍵を失効させるとともに、放送通信連携受信装置において実行されるアプリケーションが、放送局の管理するリソース（リソースＡＰＩサーバ）にアクセスすることを禁止する必要がある。ここで、放送局が管理するリソースとは、例えばアプリケーションが実行時に利用するメタデータやアイコン等のデータ、あるいはコンテンツのことを意味している。しかしながら、前記したＰＫＩでは、アプリケーションが放送局の管理するリソースにアクセスすることを制限する点については考慮されていなかった。
　本発明は、以上のような問題点に鑑みてなされたものであり、放送通信連携サービスにおいて、不正な動作を行うアプリケーションを失効させるとともに、当該アプリケーションが放送局の管理するリソースにアクセスすることを制限することができる放送通信連携受信装置およびリソース管理装置を提供することを課題とする。
　前記課題を解決するために請求項１に係る放送通信連携受信装置は、サービス事業者ごとのアプリケーションに付加する署名を検証する公開情報である検証鍵を生成する鍵生成装置と、サービス事業者固有の署名鍵を生成するとともに、失効した署名鍵に対応したサービス事業者の事業者ＩＤが記述された失効リストを生成する署名鍵生成装置と、署名鍵によってアプリケーションに署名を付加して放送通信連携受信装置に配信するアプリケーションサーバと、アプリケーションが実行中に利用するリソースを管理するリソース管理装置と、放送波を介して放送通信連携受信装置に放送データを送信する放送送信装置と、を含む放送通信連携システムに用いられる放送通信連携受信装置であって、アプリケーション起動情報抽出手段と、アプリケーション取得手段と、アプリケーション実行手段と、アプリケーション制御手段と、失効リスト抽出手段と、検証鍵抽出手段と、失効リスト検証手段と、署名検証手段と、リソース管理手段と、を備える構成とした。
　このような構成によれば、放送通信連携受信装置は、アプリケーション起動情報抽出手段によって、放送送信装置によって送信された放送データのトランスポートストリームに含まれるイベント情報テーブルから、アプリケーションを取得および制御するためのアプリケーション起動情報を抽出する。また、放送通信連携受信装置は、アプリケーション取得手段によって、アプリケーション起動情報に記述されたアプリケーションサーバのアドレスを参照し、当該アプリケーションサーバから、アプリケーションを取得し、アプリケーション実行手段によって、アプリケーションを実行する。また、放送通信連携受信装置は、アプリケーション制御手段によって、アプリケーション起動情報に記述された制御コードに従って、アプリケーション実行手段によって実行されるアプリケーションの起動状態を制御する。
　そして、放送通信連携受信装置は、失効リスト抽出手段と検証鍵抽出手段とによって、放送送信装置によって送信されたＤＳＭ－ＣＣデータカルーセルの所定のモジュールから、失効リストと検証鍵とを抽出する。また、放送通信連携受信装置は、失効リスト検証手段によって、アプリケーション取得手段によって取得されたアプリケーションを提供するサービス事業者の事業者ＩＤが失効リストに記述されているか否かを検証する。また、放送通信連携受信装置は、署名検証手段によって、失効リスト検証手段によって失効リストに記述されていないと判断された事業者ＩＤを有するアプリケーションについて、署名が付加されているか否か、および、当該署名が正当であるか否かを検証する。また、放送通信連携受信装置は、リソース管理手段によって、署名検証手段によって署名が正当であると判断されたアプリケーションがリソースを必要とする場合に、リソース管理装置から当該リソースを取得し、アプリケーション実行手段に割り当て、アプリケーション実行手段が、割り当てられたリソースを利用してアプリケーションを実行する。
　また、前記課題を解決するために請求項２に係るリソース管理装置は、サービス事業者ごとのアプリケーションに付加する署名を検証する公開情報である検証鍵を生成する鍵生成装置と、サービス事業者固有の署名鍵を生成するとともに、失効した署名鍵に対応したサービス事業者の事業者ＩＤが記述された失効リストを生成する署名鍵生成装置と、署名鍵によってアプリケーションに署名を付加して放送通信連携受信装置に配信するアプリケーションサーバと、アプリケーションが実行中に利用するリソースを管理するリソース管理装置と、放送波を介して放送通信連携受信装置に放送データを送信する放送送信装置と、を含む放送通信連携システムに用いられるリソース管理装置であって、リソース記憶手段と、失効リスト判定手段と、リソース出力手段と、を備える構成とした。
　このような構成によれば、リソース管理装置は、リソース記憶手段によってリソースを記憶し、失効リスト判定手段によって、リソースを要求するアプリケーションを提供するサービス事業者の事業者ＩＤが前記失効リストに記述されているか否かを判定する。そして、リソース管理手段は、リソース出力手段によって、失効リスト判定手段によって失効リストに記述されていないと判定された場合に、当該事業者ＩＤを有するアプリケーションを実行する放送通信連携受信装置に対して、リソースを出力する。
　請求項１に係る発明によれば、失効リスト検証手段によってアプリケーションに対応した事業者ＩＤが記述されているか否かを検証することができるため、例えば不正な動作を行うアプリケーションを任意に失効させることができる。また、請求項１に係る発明によれば、署名検証手段によってアプリケーションの署名を検証することで、放送通信連携システムにおける動作が保証されないアプリケーション（一般アプリ）を判別することができ、当該アプリケーションが放送局の管理するリソースにアクセスすることを制限することができる。
　請求項２に係る発明によれば、失効リストに従って、放送通信連携受信装置において実行されるアプリケーションが、放送局の管理するリソースを取得することを制限することができる。
本発明の実施形態に係る放送通信連携システムの構成を示すシステム構成図である。 本発明の実施形態に係るリソース管理装置、鍵生成装置および署名鍵生成装置の構成を示す機能ブロック図である。 本発明の実施形態に係るアプリケーションサーバの構成を示す機能ブロック図である。 本発明の実施形態に係る放送通信連携受信装置の構成を示す機能ブロック図である。 本発明の実施形態に係る放送通信連携受信装置の動作を示すフローチャートである。 本発明の他の実施形態に係る放送通信連携システムの構成を示すシステム構成図である。
　本発明の実施形態について、図面を参照しながら説明する。なお、以下の説明において、同一の構成については同一の名称及び符号を付し、詳細説明を省略する。
［放送通信連携システムの構成］
　最初に、図１を参照しながら放送通信連携システムＳ１の構成について、説明を行う。放送通信連携システムＳ１は、ユーザに対して放送通信連携受信装置７を介して放送通信連携サービスを提供するものである。放送通信連携システムＳ１は、ここでは図１に示すように、放送局内に備えられた放送送信装置１、リソース管理装置２、鍵生成装置３および署名鍵生成装置４と、サービス事業者Ａ内に備えられたアプリケーションサーバ５と、サービス事業者Ｂ内に備えられたアプリケーションサーバ６と、ユーザ宅内に備えられた（あるいは、ユーザが携帯する）放送通信連携受信装置７と、が含まれる。
　放送送信装置１、リソース管理装置２、鍵生成装置３および署名鍵生成装置４と、アプリケーションサーバ５と、アプリケーションサーバ６と、放送通信連携受信装置７とは、図１に示すように、通信回線Ｎ（インターネット、外部ネットワーク）を介して相互に接続されている。また、図示は省略したが、放送送信装置１、リソース管理装置２、鍵生成装置３および署名鍵生成装置４は、放送局の専用通信回線（内部ネットワーク）を介して相互に接続されている。なお、ここでは、説明を簡略化するためにアプリケーションサーバ５，６をそれぞれ１台ずつ図示しているが、これらは通信回線Ｎに複数接続されていることはいうまでもない。
　放送通信連携システムＳ１は、図１に示すように、ユーザが利用する放送通信連携受信装置７に対して、コンテンツと、当該コンテンツに関連したアプリケーションと、を提供する。そして、放送通信連携システムＳ１は、後記するようにＩＤベース署名方式を用いてアプリケーション認証を行ったアプリケーションをＡアプリとして放送通信連携受信装置７に提供し、アプリケーション認証を行っていないアプリケーションを一般アプリとして放送通信連携受信装置７に提供する。
　放送送信装置１は、放送通信連携受信装置７に対して、放送波Ｗを介して放送番組等のコンテンツが含まれる放送データを送信するものである。また、放送送信装置１は、図１に示すように、コンテンツとともに、署名鍵生成装置４によって生成された失効リストと、鍵生成装置３によって生成された検証鍵とを、放送データの中に含めて放送通信連携受信装置７に送信する。ここで、失効リストとは、失効した署名鍵に対応したサービス事業者Ａの事業者ＩＤが記述されたリストである。
　放送送信装置１は、具体的には、前記した失効リストおよび検証鍵をＤＳＭ－ＣＣデータカルーセルの所定のモジュールに格納して放送通信連携受信装置７に送信する。その際、放送送信装置１は、失効リストと検証鍵の伝送用カルーセルのコンポーネントタグおよびモジュールを固定して送信することが好ましい。これにより、放送通信連携受信装置７は、予め判明しているコンポーネントタグおよびモジュールＩＤに基づいて、ＤＳＭ－ＣＣデータカルーセルから失効リストおよび検証鍵を容易かつ確実に抽出することができる。
　また、放送送信装置１は、放送通信連携受信装置７に対して、アプリケーション起動情報を提供する。ここで、アプリケーション起動情報とは、アプリケーションの識別子（ＩＤ）、アプリケーションの配置場所（アドレス）等のアプリケーションを特定するための情報、ならびに、当該アプリケーションを制御するための付加的な情報を含んだデータである。
　放送送信装置１は、具体的には放送データであるＭＰＥＧ－２のＴＳ（Transport Stream：トランスポートストリーム）に含まれるＳＩ（Service Information）テーブルにおける、ＥＩＴ（Event Information Table：イベント情報テーブル）のｐ／ｆ領域にアプリケーション起動情報を記述し、放送通信連携受信装置７に送信する。なお、ＥＩＴとは、番組名、番組内容、出演者、番組のジャンル等が記述されたテーブルのことであり、ｐ／ｆ領域とは、ＥＩＴにおいて、現在放送中の番組（コンテンツ）と次に放送予定の番組とが記述された領域のことである。これにより、放送通信連携受信装置７によって、現在放送中のコンテンツと次に放送予定のコンテンツとで用いられるアプリケーションを容易に取得および制御することができる。
　ここで、放送送信装置１が放送通信連携受信装置７に対して失効リストを送信する周期は、例えば１週間に一度の送信でもよく、あるいは、失効リストに記載された事業者ＩＤが更新される度に送信してもよい。
　リソース管理装置（リソース提供装置）２は、放送通信連携受信装置７において実行されるアプリケーションによって利用されるリソースを管理（記憶）し、放送通信連携受信装置７に対して当該リソースを提供するものである。このリソース管理装置２の具体的構成については後記する。
　鍵生成装置３は、署名鍵を生成するためのマスタ鍵と、署名を検証するための検証鍵とを生成し、管理（記憶）するものである。なお、鍵生成装置３が生成した検証鍵は、例えば放送波Ｗを介して放送通信連携受信装置７に配布されるものとする。この鍵生成装置３の具体的構成については後記する。
　署名鍵生成装置４は、アプリケーションに署名を付加する際に使用する署名鍵を生成するとともに、失効した署名鍵に対応したサービス事業者Ａの事業者ＩＤが記述された失効リストを生成するものである。なお、署名鍵生成装置４が生成する署名鍵は、漏洩等を考慮してオフラインでサービス事業者Ａ（アプリケーションサーバ５）に配布されるものとする。この署名鍵生成装置４の具体的構成については後記する。
　アプリケーションサーバ５は、放送通信連携受信装置７に対して、Ａアプリを提供するものである。ここで、Ａ（Authorized）アプリ（あるいは公認アプリ）とは、ＩＤベース署名方式によって署名が付加されたアプリケーションであり、放送局によって提供元が確認されたアプリケーションのことを意味している。なお、ＩＤベース署名とは、任意の文字列（ここではアプリケーションの事業者ＩＤ）を公開鍵とすることができる電子署名であり、具体的には、次の文献（“Identity-Based Cryptosystems and Signature Schemes”，Proc. of CRYPTO’84，LNCS 196，pp. 47-53，Springer-Verlag，1984.）に記載された方法を用いることができる。
　Ａアプリは、放送通信連携システムＳ１における動作が保証されており、後記するように、放送局が管理するリソースを利用することができる。Ａアプリの例としては、例えば放送局が提供する放送番組の中で用いられるアプリケーション等が挙げられる。そのため、アプリケーションサーバ５は、ここでは図１に示すように、アプリケーションに署名を付加して送信する署名生成装置５０を備えている。この署名生成装置５０の具体的構成については後記する。
　アプリケーションサーバ６は、放送通信連携受信装置７に対して、一般アプリを提供するものである。ここで、一般アプリ（あるいは非公認アプリ）とは、署名が付加されていないアプリケーションであり、放送局によって提供元が確認されていないアプリケーションのことを意味している。
　一般アプリは、放送通信連携システムＳ１における動作が保証されておらず、後記するように、放送局が管理するリソースを利用することができない。一般アプリの例としては、例えば放送局とは関係しない第三者（サービス事業者Ｂ）が独自に製作した、テレビ画面上で時刻を知らせる時計アプリや、株価を知らせる株価アプリ等が挙げられる。そのため、アプリケーションサーバ６は、ここでは図１に示すように、アプリケーションに署名を付加することなく、放送通信連携受信装置７に送信する。
　放送通信連携受信装置７は、放送送信装置１から、放送波Ｗを介して放送番組等のコンテンツと、失効リストと、検証鍵と、が含まれる放送データを受信するものである。また、放送通信連携受信装置７は、アプリケーションサーバ５からＡアプリを受信し、アプリケーションに付加された署名を検証鍵で検証（認証）するとともに、アプリケーションサーバ６から一般アプリを受信するものである。放送通信連携受信装置７は、放送通信連携サービスを享受することが可能な、例えば、テレビ受像機、パーソナルコンピュータ等である。この放送通信連携受信装置７の具体的構成については後記する。
（リソース管理装置の構成）
　リソース管理装置２は、ここでは図２に示すように、リソース記憶手段２１と、失効リスト判定手段２２と、リソース出力手段２３と、を備えている。
　リソース記憶手段２１は、放送通信連携受信装置７において実行されるアプリケーションによって利用されるリソース（メタデータ、アイコン等のデータまたはコンテンツ等）を記憶するものである。リソース記憶手段２１は、図２に示すように、Ａアプリによって利用されるリソースを予め記憶し、リソース出力手段２３に対して出力可能に構成されている。なお、リソース記憶手段２１は、具体的には、データを記憶することができるメモリ、ハードディスク等で具現される。
　失効リスト判定手段２２は、リソースを要求するアプリケーションに対応した事業者ＩＤが失効リストに記述されているか否かを判定するものである。失効リスト判定手段２２には、図２に示すように、署名鍵生成装置４の失効リスト生成手段４５から、失効リストが入力される。そして、失効リスト判定手段２２は、図２に示すように、放送通信連携受信装置７から、リソース要求と、当該リソースを利用するアプリケーションの事業者ＩＤが入力されると、当該事業者ＩＤが失効リストに記述されているか否かを判定し、その判定結果をリソース出力手段２３に出力する。
　リソース出力手段２３は、放送通信連携受信装置７に対してリソースを出力するものである。リソース出力手段２３は、具体的には図２に示すように、失効リスト判定手段２２から「失効リストに事業者ＩＤが記述されていない」という判定結果が入力された場合、リソース記憶手段２１から該当するアプリケーションで利用されるリソースを読み出し、放送通信連携受信装置７に出力する。一方、リソース出力手段２３は、図２に示すように、失効リスト判定手段２２から「失効リストに事業者ＩＤが記述されている」という判定結果が入力された場合、リソース記憶手段２１から該当するアプリケーションで利用されるリソースを読み出さない。これにより、リソース管理装置２は、失効リストに従って、放送通信連携受信装置７において実行されるアプリケーションが、放送局の管理するリソースを取得することを制限することができる。
（鍵生成装置の構成）
　鍵生成装置３は、ここでは図２に示すように、鍵生成手段３１と、検証鍵管理手段３２と、マスタ鍵管理手段３３と、を備えている。なお、鍵生成装置３と、署名鍵生成装置４とは、図示を省略した通信インターフェースによって通信可能に接続されているものとする。
　鍵生成手段３１は、マスタ鍵と検証鍵を生成するものである。鍵生成手段３１は、ここではＩＤベース署名方式によってマスタ鍵と検証鍵とを生成する。そして、鍵生成手段３１は、生成した検証鍵を検証鍵管理手段３２に出力し、生成したマスタ鍵をマスタ鍵管理手段３３に出力する。
　検証鍵管理手段３２は、鍵生成手段３１で生成された検証鍵を記憶し、管理するものである。具体的には、検証鍵管理手段３２は、鍵生成手段３１で生成された検証鍵を、図示を省略した記憶媒体に書き込み、要求に応じて読み出す。また、検証鍵管理手段３２は、検証鍵を放送通信連携受信装置７に配布する際に、操作者の指示により記憶媒体から検証鍵を読み出す。このように読み出された検証鍵は、例えば放送送信装置１から、前記したＤＳＭ－ＣＣデータカルーセルを用いて、放送波Ｗを介して放送通信連携受信装置７に配布される。但し、検証鍵管理手段３２は、例えばＩＣカード等に検証鍵を書き込んでオフラインで放送通信連携受信装置７に配布しても構わない。
　マスタ鍵管理手段３３は、鍵生成手段３１で生成されたマスタ鍵を記憶し、管理するものである。具体的には、マスタ鍵管理手段３３は、鍵生成手段３１で生成されたマスタ鍵を、図示を省略した記憶媒体に書き込み、要求に応じて読み出す。
（署名鍵生成装置の構成）
　署名鍵生成装置４は、ここでは図２に示すように、パラメータ入力手段４１と、署名鍵生成手段４２と、署名鍵管理手段４３と、署名鍵出力手段４４と、失効リスト生成手段４５と、を備えている。
　パラメータ入力手段４１は、署名鍵と失効リストを生成するための種々のパラメータを入力するものである。パラメータ入力手段４１には、ここでは図示を省略した入力手段から更新種別および事業者ＩＤ（サービス事業者識別子）が入力され、図２に示すように、鍵生成装置３からマスタ鍵および検証鍵が入力される。
　ここで、更新種別は、署名鍵の発行、失効の処理内容の指示を示す種別情報である。例えば、以下の表１のように、更新種別の値に対して、処理内容として、署名鍵の発行、失効を割り当てる。
Figure JPOXMLDOC01-appb-T000001
　事業者ＩＤは、サービス事業者を一意に特定するために予め定めた識別子である。この事業者ＩＤは、予め定めた数（例えば、“１”）からの連続番号であって、新たなサービス事業者を登録する場合、現在の事業者ＩＤの最大値に“１”を加算した値とする。パラメータ入力手段４１は、図２に示すように、入力された更新種別、事業者ＩＤ、マスタ鍵および検証鍵を、署名鍵生成手段４２に出力する。
　署名鍵生成手段４２は、パラメータ入力手段４１において入力された更新種別、事業者ＩＤ、マスタ鍵および検証鍵に基づいて、ＩＤベース署名方式によって署名鍵を生成するものである。そして署名鍵生成手段４２は、更新種別が“１〔署名鍵発行〕”の場合、生成した署名鍵を署名鍵管理手段４３に出力する。また、署名鍵生成手段４２は、更新種別が“２（署名鍵失効）”の場合、署名鍵を生成せずに、入力された事業者ＩＤ（失効させたい事業者ＩＤ）を失効リスト生成手段４５に出力する。
　署名鍵管理手段４３は、署名鍵生成手段４２で生成された署名鍵を記憶し、管理するものである。署名鍵管理手段４３は、具体的には署名鍵生成手段４２で生成された署名鍵と事業者ＩＤを署名鍵出力手段４４に出力するとともに、図示を省略した記憶媒体に書き込み、要求に応じて読み出す。
　署名鍵出力手段４４は、署名鍵管理手段４３の指示に基づいて、署名鍵と事業者ＩＤをアプリケーションサーバ５に送信するものである。
　失効リスト生成手段４５は、失効させたい署名鍵を特定する失効リスト（ＣＲＬ）を生成するものである。失効リスト生成手段４５は、ここでは前記した更新種別が“２（署名鍵失効）”の場合、個別に失効させたい事業者ＩＤを失効リストに記述する。そして、失効リスト生成手段４５は、図２に示すように、生成した失効リストを放送送信装置１と、リソース管理装置２の失効リスト判定手段２２と、に出力する。
（署名生成装置の構成）
　署名生成装置５０は、署名鍵生成装置４によって生成された署名鍵を用いて、アプリケーションに署名を付加するものである。署名生成装置５０は、ここでは図３に示すように、署名鍵入力手段５１と、アプリケーション入力手段５２と、署名付加手段５３と、アプリケーション送信手段５４と、を備えている。
　署名鍵入力手段５１は、署名鍵生成装置４によって生成された署名鍵を入力するものである。署名鍵入力手段５１は、図３に示すように、入力した署名鍵を署名付加手段５３に出力する。
　アプリケーション入力手段５２は、外部からアプリケーションを入力するものである。このアプリケーション入力手段５２は、例えば、サービス事業者内部のネットワークを介してアプリケーションを受信するものであってもよいし、記憶媒体に書き込まれたアプリケーションを読み出すものであってもよい。アプリケーション入力手段５２は、図３に示すように、入力したアプリケーションを署名付加手段５３に出力する。
　署名付加手段５３は、アプリケーション入力手段５２で入力したアプリケーションに、署名鍵を用いて、デジタル署名（ＩＤベース署名）を付加するものである。そして、署名付加手段５３は、図２に示すように、署名を付加したアプリケーションをアプリケーション送信手段５４に出力する。
　アプリケーション送信手段５４は、署名付加手段５３で署名が付加されたＡアプリ（署名付きアプリケーション）を、通信回線Ｎを介して放送通信連携受信装置７に送信するものである。
（放送通信連携受信装置の構成）
　次に、図４を参照（適宜図１参照）しながら、放送通信連携受信装置７の構成について、詳細に説明する。放送通信連携受信装置７は、図４に示すように、放送受信手段７１と、放送信号解析手段７２と、映像・音声復号手段７３と、データ放送復号手段７４と、アプリケーション制御手段７５と、アプリケーション取得手段７６と、通信送受信手段７７と、アプリケーション記憶手段７８と、アプリケーション実行手段７９と、合成表示手段８０と、失効リスト検証手段８１と、失効リスト記憶手段８２と、署名検証手段８３と、検証鍵記憶手段８４と、を備えている。
　放送受信手段７１は、放送波Ｗを介して、放送送信装置１から放送データを受信するものである。放送受信手段７１は、具体的には、放送送信装置１から放送データを受信、復調し、誤り訂正やＴＭＣＣ（Transmission and Multiplexing Configuration Control） 復号等の復号を行い、図１に示すように、これをＭＰＥＧ－２のＴＳ（Transport Stream：トランスポートストリーム）として放送信号解析手段７２に出力する。
　放送信号解析手段７２は、デジタル放送の放送信号を解析するものである。放送信号解析手段７２は、具体的には、映像・音声およびデータが多重化されたＴＳをＰＥＳ（Packetized Elementary Stream）データと、セクション（Section）データと、に分離する。そして、放送信号解析手段７２は、図４に示すように、ＰＥＳデータを映像・音声復号手段７３に出力するとともに、セクションデータをデータ放送復号手段７４に出力する。放送信号解析手段７２は、図４に示すように、アプリケーション起動情報抽出部７２１を備えている。
　アプリケーション起動情報抽出部（手段）７２１は、放送受信手段７１から入力されたＴＳから、前記したアプリケーション起動情報を抽出するものである。アプリケーション起動情報抽出部７２１は、具体的には図４に示すように、放送受信手段７１から入力されたＴＳに含まれるＥＩＴのｐ／ｆ領域にアプリケーション起動情報が記述されているか否かを確認し、当該内容が記述されている場合はこれを抽出する。そして、アプリケーション起動情報抽出部７２１は、図４に示すように、抽出したアプリケーション起動情報をアプリケーション制御手段７５に出力する。
　映像・音声復号手段７３は、放送受信手段７１で受信し、復調された映像・音声を復号するものである。映像・音声復号手段７３は、例えば映像・音声がＭＰＥＧ－２の符号化方式によって符号化されている場合、ＭＰＥＧ－２の復号を行い、図４に示すように、表示可能な出力形式の映像・音声データとして合成表示手段８０に出力する。
　データ放送復号手段７４は、放送受信手段７１で受信し、復調されたデータ（データファイル）を復号するものである。ここで、日本のデータ放送として放送されるデータファイルは、マークアップ言語であるＢＭＬで記述されている。そこで、このデータ放送復号手段７４は、具体的にはＢＭＬを解析するＢＭＬ解析手段として機能し、図４に示すように、ＢＭＬを表示可能な出力形式に変換したデータ（データ放送データ）を合成表示手段８０に出力する。データ放送復号手段７４は、図４に示すように、失効リスト抽出部７４１と、検証鍵抽出部７４２と、を備えている。
　失効リスト抽出部（手段）７４１は、ＤＳＭ－ＣＣデータカルーセルで伝送されたデータから、失効リストを抽出するものである。失効リスト抽出部７４１は、具体的には図４に示すように、ＤＳＭ－ＣＣデータカルーセルの所定のモジュールに格納された失効リストを抽出し、当該失効リストを失効リスト記憶手段８２に出力する。
　検証鍵抽出部７４２（手段）は、ＤＳＭ－ＣＣデータカルーセルで伝送されたデータから、検証鍵を抽出するものである。検証鍵抽出部７４２は、具体的には図４に示すように、ＤＳＭ－ＣＣデータカルーセルの所定のモジュールに格納された検証鍵を抽出し、当該検証鍵を検証鍵記憶手段８４に出力する。
　アプリケーション制御手段７５は、放送通信連携受信装置７で実行されるアプリケーションの起動状態を制御するものである。アプリケーション制御手段７５は、具体的には図４に示すように、アプリケーション起動情報抽出部７２１によって抽出されたアプリケーション起動情報に記述されているアプリケーションＩＤと、当該アプリケーションが格納されているアプリケーションサーバ５，６のアドレスと、を参照し、アプリケーション取得手段７６に対して、アプリケーションサーバ５，６からアプリケーションを取得する旨の指示を行う。
　そして、アプリケーション制御手段７５は、図４に示すように、アプリケーション取得手段７６がアプリケーションサーバ５，６から目的のアプリケーションを取得すると、アプリケーション起動情報に記述されている制御コードを参照し、アプリケーション実行手段７９に対して、アプリケーションを当該制御コードに記述されている起動状態とする旨の指示を行う。このように、アプリケーション制御手段７５は、アプリケーション起動情報の内容に従って、放送通信連携受信装置７で実行されるアプリケーションの取得と制御の指示を行う。
　なお、アプリケーション制御手段７５は、アプリケーション起動情報抽出部７２１によって抽出されたアプリケーション起動情報に記述されているアプリケーションＩＤを有するアプリケーションが既にアプリケーション記憶手段７８に記憶されている場合、アプリケーション取得手段７６に対して、アプリケーションサーバ５，６からアプリケーションを取得する旨の指示を行うことなく、アプリケーション実行手段７９に対して、アプリケーションを前記した制御コードに記述されている起動状態とする旨の指示を行う。
　ここで、アプリケーション制御手段７５は、アプリケーション認証の指示も行う。すなわち、アプリケーション制御手段７５は、図４に示すように、アプリケーション実行手段７９によってアプリケーションが実行される際に、失効リスト検証手段８１に対して、当該アプリケーションの事業者ＩＤが失効リストに記述されているか否かの検証指示を行う。
　そして、アプリケーション制御手段７５は、後記するように、失効リスト検証手段８１によって、「失効リストに事業者ＩＤが記述されていない」という検証結果が出力され、かつ、署名検証手段８３からアプリケーションに付加されている署名が正当である（Ａアプリである）旨の検証結果が入力されると、当該アプリケーションが放送局の管理するリソースを必要とするか否かを確認する。そして、アプリケーション制御手段７５は、当該アプリケーションがリソースを必要とする場合、リソース管理手段８５に対して、リソース要求指示と、当該アプリケーションの事業者ＩＤと、を出力する。一方、アプリケーション制御手段７５は、当該アプリケーションがリソースを必要としない場合、アプリケーション起動情報に従って、アプリケーションの起動状態を制御する。
　そして、アプリケーション制御手段７５は、アプリケーション実行手段７９に対して、リソースの割り当てを許可する。これによりアプリケーション実行手段７９は、当該リソースを利用してアプリケーションを実行する。
　アプリケーション取得手段７６は、アプリケーションサーバ５，６からアプリケーションを取得するものである。アプリケーション取得手段７６は、具体的には図４に示すように、アプリケーション制御手段７５からの指示に従って、通信インターフェースである通信送受信手段７７と、通信回線Ｎとを介して、アプリケーションサーバ５からＡアプリ（署名付きアプリケーション）を、アプリケーションサーバ６から一般アプリ（署名なしアプリケーション）を、それぞれ取得する。なお、アプリケーション制御手段７５からの指示には、前記したように、制御対象となるアプリケーションのアプリケーションＩＤと、当該アプリケーションが格納されたアプリケーションサーバ５，６のアドレスと、が含まれているため、アプリケーション取得手段７６は、アプリケーション制御手段７５からの指示に従って、目的のアプリケーションを取得することができる。
　そして、アプリケーション取得手段７６は、図４に示すように、アプリケーションサーバ５，６からアプリケーションを取得すると、これをアプリケーション記憶手段７８に出力する。但し、アプリケーション取得手段７６は、放送通信連携受信装置７がアプリケーションを一旦記憶することなくオンザフライで実行する場合、アプリケーション実行手段７９に対して直接アプリケーションを出力することもできる。
　なお、放送通信連携受信装置７がアプリケーションを一旦記憶して実行する場合とは、例えば、取得したアプリケーションが毎日同じ時間帯に放送されるニュース番組の中で用いられるような場合、すなわち同じアプリケーションを定期的に何度も用いる場合等が想定される。一方、放送通信連携受信装置７がアプリケーションをオンザフライで実行する場合とは、例えば、取得したアプリケーションが一回限りの特別番組の中で用いられる場合、すなわち同じアプリケーションを一度しか用いない場合等が想定される。
　さらに、図示は省略したが、アプリケーション制御手段７５は、アプリケーション取得手段７６によってアプリケーションが取得された際に、失効リスト検証手段８１に対して、当該アプリケーションの事業者ＩＤが失効リストに記述されているか否かの検証指示を行うこともできる。すなわち、放送通信連携受信装置７は、アプリケーションを起動する際だけではなく、アプリケーションを取得した際にアプリケーション認証を行うことができる。
　通信送受信手段７７は、図４に示すように、通信回線Ｎを介してデータの通信を行うものである。通信送受信手段７７は、ＴＣＰ／ＩＰの通信プロトコルによってデータの送受信を行う。
　アプリケーション記憶手段７８は、アプリケーション（Ａアプリおよび一般アプリ）を記憶するものである。アプリケーション記憶手段７８には、図４に示すように、アプリケーション取得手段７６によって取得されたアプリケーションが入力され、アプリケーション実行手段７９に出力可能に構成されている。また、アプリケーション記憶手段７８は、後記するように、アプリケーション認証の際に、失効リスト検証手段８１からの指示に従って認証対象となるアプリケーションの事業者ＩＤを出力するとともに、署名検証手段８３からの指示に従って認証対象となるアプリケーションの署名を出力する。なお、アプリケーション記憶手段７８は、具体的には、データを記憶することができるメモリ、ハードディスク等で具現される。
　アプリケーション実行手段７９は、アプリケーションを実行するものである。アプリケーション実行手段７９は、具体的には図４に示すように、アプリケーション取得手段７６によって取得されたアプリケーションを、アプリケーション制御手段７５の指示に従って実行する。アプリケーション実行手段７９は、アプリケーション取得手段７６が取得したアプリケーションがＡアプリであって、放送局のリソースを必要とする場合、リソース管理手段８５を介して、放送局のリソース管理装置２（図２参照）から取得したリソースを利用してアプリケーションを実行する。また、アプリケーション実行手段７９は、アプリケーション取得手段７６が取得したアプリケーションが一般アプリである場合、放送局のリソースを利用することなくアプリケーションを実行する。そして、アプリケーション実行手段７９は、図１に示すように、実行したアプリケーションの描画データおよび音声データ（例えばアプリケーション実行時の効果音等のデータ）を合成表示手段８０に出力する。
　合成表示手段８０は、映像・音声、データおよびアプリケーションを合成するものである。合成表示手段８０は、具体的には図４に示すように、映像・音声復号手段７３から入力される映像・音声データと、データ放送復号手段７４から入力されるデータ放送データと、アプリケーション実行手段７９から入力される描画データおよび音声データと、を合成し、モニタＭｏおよびスピーカＳｐにそれぞれ出力する。ここで、合成表示手段８０は、一般的なＧＤＣ（Graphic Display Controller）で実現することができる。
　失効リスト検証手段８１は、失効リストを参照し、アプリケーションに付加されている事業者ＩＤが有効であるか否かを検証するものである。すなわち、失効リスト検証手段８１は、図４に示すように、アプリケーション実行時にアプリケーション制御手段７５から検証指示が入力されると、失効リスト記憶手段８２から失効リストを読み出すとともに、アプリケーション記憶手段７８から実行対象となるアプリケーションの事業者ＩＤを読み出す。そして、失効リスト検証手段８１は、当該事業者ＩＤが失効リストに記述されているか否かを検証し、図４に示すように、その検証結果を署名検証手段８３に出力する。
　なお、失効リスト検証手段８１は、前記したように、アプリケーション取得時にアプリケーション制御手段７５から入力された検証指示に従って検証を行うこともできる。この場合、失効リスト検証手段８１は、アプリケーション取得時にアプリケーション制御手段７５から検証指示が入力されると、失効リスト記憶手段８２から失効リストを読み出すとともに、アプリケーション記憶手段７８から取得されたアプリケーションの事業者ＩＤを読み出す。そして、失効リスト検証手段８１は、当該事業者ＩＤが失効リストの中に記述されているか否かを検証し、図４に示すように、その検証結果を署名検証手段８３に出力する
　署名検証手段８３は、検証鍵記憶手段８４に記憶されている検証鍵を用いて、アプリケーションに付加されている署名を検証するものである。署名検証手段８３は、具体的には図４に示すように、失効リスト検証手段８１から、失効リストに実行対象となるアプリケーション（または取得されたアプリケーション）の事業者ＩＤが失効リストに記述されていない旨の検証結果が入力された場合、検証鍵記憶手段８４から検証鍵を読み出し、当該検証鍵を用いて署名の検証を行い、その検証結果をアプリケーション制御手段７５に出力する。
　この署名検証手段８３によって、署名が正当であると判断されたアプリケーションはＡアプリである。一方、署名検証手段８３によって、署名が正当ではない、あるいは署名自体が付加されていないと判断されたアプリケーションは一般アプリである。従って、この放送通信連携受信装置７は、署名検証手段８３を備えることで、アプリケーション取得手段７６によって取得されたアプリケーションがＡアプリであるか一般アプリであるかを判別することができる。
　リソース管理手段８５は、放送局からリソースを取得し、アプリケーション実行手段７９に割り当てるものである。リソース管理手段８５には、図４に示すように、アプリケーションが放送局の管理するリソースを必要とする場合、アプリケーション制御手段７５からリソース要求指示と、アプリケーションに対応する事業者ＩＤと、が入力される。すると、リソース管理手段８５は、図４に示すように、通信送受信手段７７および通信回線Ｎを介して、放送局内のリソース管理手段２に対して、リソース要求と、アプリケーションに対応する事業者ＩＤと、を出力する。
　そして、リソース管理装置２の失効リスト判定手段２２（図２参照）において、リソース管理手段２に入力された事業者ＩＤが失効リストに記述されていないと判定されると、図４に示すように、リソース出力手段２３（図２参照）からリソース管理手段８５に対してリソースが出力される。リソース管理手段８５は、このようにして取得したリソースをアプリケーション実行手段７９に割り当てる。このように、放送通信連携システムＳ１は、放送通信連携受信装置７が放送局の管理するリソースにアクセスする際に、当該放送通信連携受信装置７で実行されるアプリケーションに対応する事業者ＩＤを送ることで、放送局が保持する失効リストと当該事業者ＩＤとを照合し、アクセス制御を行うことができる。
　なお、放送局内の署名鍵生成装置４によって生成された失効リストは、前記したようにＤＳＭ－ＣＣデータカルーセルの所定のモジュールに格納され、一定の周期で放送通信連携受信装置７に送信される。従って、失効させようとするアプリケーションの事業者ＩＤが、放送局側で保持する失効リストにのみ記述され、放送通信連携受信装置７側で保持する失効リストには記述されていない場合も想定される。この場合、放送通信連携受信装置７側ではアプリケーションを失効させることができないため、放送通信連携受信装置７が放送局に対して、当該アプリケーションが利用するリソースを要求してしまう場合が発生しうる。しかしながら、放送局側で保持する失効リストは常に最新であるため、仮に放送通信連携受信装置７がリソースを要求したとしても、当該リソースへのアクセスを禁止することができる。
　以上のような構成を備える放送通信連携受信装置７によれば、失効リスト検証手段８１によってアプリケーションに対応した事業者ＩＤが記述されているか否かを検証することができるため、例えば不正な動作を行うアプリケーションを任意に失効させることができる。また、放送通信連携受信装置７によれば、署名検証手段８３によってアプリケーションの署名を検証することで、放送通信連携システムＳ１における動作が保証されないアプリケーション（一般アプリ）を判別することができ、当該アプリケーションが放送局の管理するリソースにアクセスすることを制限することができる。
［放送通信連携受信装置の動作］
　以下、実施形態に係る放送通信連携受信装置７の動作について、図５を参照（適宜図１～図４も参照）しながら簡単に説明する。なお、以下の説明では、放送通信連携受信装置７におけるアプリケーション認証とリソース割当に関する処理を中心に説明し、それ以外の処理についての説明は省略する。
　まず、放送通信連携受信装置７は、放送受信手段７１から放送波Ｗを受信すると、アプリケーション起動情報抽出部７２１によって、ＥＩＴのｐ／ｆ領域からアプリケーション起動情報を抽出する（ステップＳ１）。次に、放送通信連携受信装置７は、ＤＳＭ－ＣＣデータカルーセルで伝送されたデータから、失効リスト抽出部７４１によって失効リストを抽出するとともに、検証鍵抽出部７４２によって検証鍵を抽出する（ステップＳ２）。　
　次に、放送通信連携受信装置７は、アプリケーション制御手段７５によって、アプリケーション起動情報を参照し、当該アプリケーション制御手段７５の指示に従って、アプリケーション取得手段７６によって、アプリケーションサーバ５またはアプリケーションサーバ６からアプリケーションを取得する（ステップＳ３）。次に、放送通信連携受信装置７は、失効リスト検証手段８１によって、失効リストに、取得したアプリケーションの事業者ＩＤが記述されているか否かを検証する（ステップＳ４）。そして、放送通信連携受信装置７は、失効リストに事業者ＩＤが記述されていない場合（ステップＳ４においてＮｏ）、ステップＳ５に進む。一方、放送通信連携受信装置７は、失効リストに事業者ＩＤが記述されている場合（ステップＳ４においてＹｅｓ）、処理を終了する（アプリケーションを実行しない）。
　次に、放送通信連携受信装置７は、署名検証手段８３によって、アプリケーションに署名が付加されているか否か、および、当該署名が正当か否かを検証する（ステップＳ５）。そして、放送通信連携受信装置７は、署名が正当である場合（ステップＳ５においてＹｅｓ）、ステップＳ６に進む。一方、放送通信連携受信装置７は、署名が付加されていない場合、あるいは、当該署名が正当ではない場合（ステップＳ５においてＮｏ）、放送局のリソースを割り当てることなく、アプリケーション実行手段７９によってアプリケーション（一般アプリ）を実行する（ステップＳ１１）。
　次に、放送通信連携受信装置７は、アプリケーション制御手段７５によって、取得したアプリケーションが放送局のリソースを必要とするか否かを確認する（ステップＳ６）。そして、放送通信連携受信装置７は、アプリケーションが放送局のリソースを必要とする場合（ステップＳ６においてＹｅｓ）、リソース管理手段８５によって、放送局内のリソース管理装置２に対してリソースを要求する（ステップＳ７）。一方、放送通信連携受信装置７は、アプリケーションが放送局のリソースを必要としない場合（ステップＳ６においてＮｏ）、放送局のリソースを割り当てることなく、アプリケーション実行手段７９によってアプリケーション（Ａアプリ）を実行する（ステップＳ１１）。
　以上のような放送通信連携受信装置７の処理に対応して、リソース管理装置２は、失効リスト判定手段２２によって、失効リストに、放送通信連携受信装置７が取得したアプリケーションの事業者ＩＤが記述されているか否かを検証する（ステップＳ８）。そして、リソース管理装置２は、失効リストに事業者ＩＤが記述されていない場合（ステップＳ８においてＮｏ）、リソース出力手段２３によって、放送通信連携受信装置７にリソースを出力する（ステップＳ９）。一方、リソース管理装置２は、失効リストに事業者ＩＤが記述されている場合（ステップＳ８においてＹｅｓ）、処理を終了する（リソースを出力しない）。
　以上のようなリソース管理装置２の処理に対応して、放送通信連携受信装置７は、リソース管理手段８５によって、アプリケーション実行手段７９に対してリソースを割り当て（ステップＳ１０）、アプリケーション実行手段７９によって、アプリケーション（Ａアプリ）を実行する（ステップＳ１１）。
　このような動作を行う放送通信連携受信装置７によれば、失効リスト検証手段８１によってアプリケーションに対応した事業者ＩＤが記述されているか否かを検証することができるため、例えば不正な動作を行うアプリケーションを任意に失効させることができる。また、放送通信連携受信装置７によれば、署名検証手段８３によってアプリケーションの署名を検証することで、放送通信連携システムＳ１における動作が保証されないアプリケーション（一般アプリ）を判別することができ、当該アプリケーションが放送局の管理するリソースにアクセスすることを制限することができる。
　以上、本発明の実施形態について、発明を実施するための形態により具体的に説明したが、本発明の趣旨はこれらの記載に限定されるものではなく、特許請求の範囲の記載に基づいて広く解釈されなければならない。また、これらの記載に基づいて種々変更、改変等したものも本発明の趣旨に含まれることはいうまでもない。
　例えば、前記した放送通信連携システムＳ１では、放送局内で署名鍵を生成し、サービス事業者Ａのアプリケーションサーバ５においてアプリケーションに署名を付加していたが、図６に示すように、第３者機関であるシステム管理者を設置し、当該システム管理者によって署名鍵を生成および署名を付加する構成としても構わない。すなわち、放送通信連携システムＳ２は、図６に示すように、放送局内に放送送信装置１およびリソース管理装置２のみが設けられており、新たに設けられたシステム管理者に鍵生成装置３、署名鍵生成装置４および署名生成装置５０が設けられている。なお、図６における各構成は、前記した放送通信連携システムＳ１のものと同様であるため、説明は省略する。
　このような構成を備える放送通信連携システムＳ２は、放送通信連携システムＳ１のように、サービス事業者Ａのアプリケーションサーバ５ごとに署名生成装置５０を備える必要がなく、システム管理者の下で一元的にアプリケーション認証を行うことができる。
　また、前記した放送通信連携システムＳ１では、放送送信装置１によって、失効リストと検証鍵をＤＳＭ－ＣＣデータカルーセルの所定のモジュールに格納して放送通信連携受信装置７に送信していたが、失効リストと検証鍵を所定の場所に設置したサーバに格納し、放送送信装置１によって、そのサーバのアドレスのみを放送通信連携受信装置７に送信しても構わない。この場合、例えば放送送信装置１は、アプリケーション起動情報と同様に、失効リストと検証鍵とが格納されたサーバのアドレスをＥＩＴのｐ／ｆ領域に記述して放送通信連携受信装置７に送信する。そして、放送通信連携受信装置７は、ＥＩＴのｐ／ｆ領域から抽出したアドレスにあるサーバから、失効リストと検証鍵を取得する。
　また、前記した放送通信連携システムＳ１では、放送送信装置１によって、失効リストと検証鍵をＤＳＭ－ＣＣデータカルーセルの所定のモジュールに格納して放送通信連携受信装置７に送信していたが、失効リストと検証鍵の情報をアプリケーション起動情報の中に記述し、放送通信連携受信装置７に送信しても構わない。この場合、例えば放送送信装置１は、アプリケーション起動情報と同様に、失効リストと検証鍵の情報をＥＩＴのｐ／ｆ領域に記述して放送通信連携受信装置７に送信する。そして、放送通信連携受信装置７は、ＥＩＴのｐ／ｆ領域から失効リストと検証鍵を抽出する。
　また、前記した放送通信連携システムＳ１では、放送送信装置１によって、検証鍵をＤＳＭ－ＣＣデータカルーセルの所定のモジュールに格納して放送通信連携受信装置７に送信していたが、当該検証鍵をＡアプリ（署名付きアプリケーション）とともに放送通信連携受信装置７に送信しても構わない。この場合、放送局内の鍵生成装置３は、生成した検証鍵をオフラインでアプリケーションサーバ５に配布し、アプリケーションサーバ５は、放送通信連携受信装置７に対して、Ａアプリと検証鍵を送信する。
　また、前記した放送通信連携システムＳ１では、アプリケーション起動情報をＥＩＴのｐ／ｆ領域に記述して放送通信連携受信装置７に送信していたが、アプリケーション起動情報をＤＳＭ－ＣＣデータカルーセルの所定のモジュールに格納して放送通信連携受信装置７に送信しても構わない。
　なお、前記した放送送信装置１、リソース管理装置２、鍵生成装置３および署名鍵生成装置４と、アプリケーションサーバ５と、アプリケーションサーバ６と、放送通信連携受信装置７とは、それぞれ、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ＨＤＤ（Hard Disk Drive）、通信インターフェース等（図示を省略）を用いて、ＣＰＵがＨＤＤ等に格納されたプログラムをＲＡＭに展開することにより後記する各種機能を実現することができる。すなわち、放送送信装置１、リソース管理装置２、鍵生成装置３および署名鍵生成装置４と、アプリケーションサーバ５と、アプリケーションサーバ６と、放送通信連携受信装置７とは、コンピュータを、前記した各手段として機能させるためのプログラムにより動作させることができる。その場合、プログラムをコンピュータ読み取り可能な記録媒体に記録し、その記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行させることによって機能させればよい。
　なお、ここで「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、このＯＳを、マルチタスクＯＳとすることで、各機能を並列動作させることとしてもよい。また、ここで、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ－ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。
　さらに、ここで、「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時刻の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時刻プログラムを保持しているものも含んでもよい。また、このプログラムは、前記した機能の一部を実現するためのものであってもよく、さらに前記した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。
１　放送送信装置
２　リソース管理装置（リソース提供装置）
３　鍵生成装置
４　署名鍵生成装置
５，５Ａ，６　アプリケーションサーバ
７　放送通信連携受信装置
２１　リソース記憶手段
２２　失効リスト判定手段
２３　リソース出力手段
３１　鍵生成手段
３２　検証鍵管理手段
３３　マスタ鍵管理手段
４１　パラメータ入力手段
４２　署名鍵生成手段
４３　署名鍵管理手段
４４　署名鍵出力手段
４５　失効リスト生成手段
５０　署名生成装置
５１　署名鍵入力手段
５２　アプリケーション入力手段
５３　署名付加手段
５４　アプリケーション送信手段５４
７１　放送受信手段
７２　放送信号解析手段
７３　映像・音声復号手段
７４　データ放送復号手段
７５　アプリケーション制御手段
７６　アプリケーション取得手段
７７　通信送受信手段
７８　アプリケーション記憶手段
７９　アプリケーション実行手段
８０　合成表示手段
８１　失効リスト検証手段
８２　失効リスト記憶手段
８３　署名検証手段
８４　検証鍵記憶手段
８５　リソース管理手段
７２１　アプリケーション起動情報抽出部（アプリケーション起動情報抽出手段）
７４１　失効リスト抽出部（失効リスト抽出手段）
７４２　検証鍵抽出部（検証鍵抽出手段）
Ｎ　通信回線
Ｓ１，Ｓ２　放送通信連携システム
Ｓｐ　スピーカ
Ｍｏ　モニタ
Ｗ　放送波

Claims (2)

  1. 　サービス事業者ごとのアプリケーションに付加する署名を検証する公開情報である検証鍵を生成する鍵生成装置と、前記サービス事業者固有の署名鍵を生成するとともに、失効した前記署名鍵に対応した前記サービス事業者の事業者ＩＤが記述された失効リストを生成する署名鍵生成装置と、前記署名鍵によって前記アプリケーションに署名を付加して放送通信連携受信装置に配信するアプリケーションサーバと、前記アプリケーションが実行中に利用するリソースを管理するリソース管理装置と、放送波を介して前記放送通信連携受信装置に放送データを送信する放送送信装置と、を含む放送通信連携システムに用いられる前記放送通信連携受信装置であって、
    　前記放送送信装置によって送信された放送データのトランスポートストリームに含まれるイベント情報テーブルから、前記アプリケーションを取得および制御するためのアプリケーション起動情報を抽出するアプリケーション起動情報抽出手段と、
    　前記アプリケーション起動情報に記述されたアプリケーションサーバのアドレスを参照し、当該アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
    　前記アプリケーションを実行するアプリケーション実行手段と、
    　前記アプリケーション起動情報に記述された制御コードに従って、前記アプリケーション実行手段によって実行される前記アプリケーションの起動状態を制御するアプリケーション制御手段と、
    　前記放送送信装置によって送信されたＤＳＭ－ＣＣデータカルーセルの所定のモジュールから、前記失効リストを抽出する失効リスト抽出手段と、
    　前記放送送信装置によって送信されたＤＳＭ－ＣＣデータカルーセルの所定のモジュールから、前記検証鍵を抽出する検証鍵抽出手段と、
    　前記アプリケーション取得手段によって取得された前記アプリケーションを提供する前記サービス事業者の前記事業者ＩＤが前記失効リストに記述されているか否かを検証する失効リスト検証手段と、
    　前記失効リスト検証手段によって前記失効リストに記述されていないと判断された前記事業者ＩＤを有する前記アプリケーションについて、前記署名が付加されているか否か、および、当該署名が正当であるか否かを検証する署名検証手段と、
    　前記署名検証手段によって前記署名が正当であると判断された前記アプリケーションが前記リソースを必要とする場合に、前記リソース管理装置から当該リソースを取得し、前記アプリケーション実行手段に割り当てるリソース管理手段と、
    　を備える放送通信連携受信装置。
  2. 　サービス事業者ごとのアプリケーションに付加する署名を検証する公開情報である検証鍵を生成する鍵生成装置と、前記サービス事業者固有の署名鍵を生成するとともに、失効した前記署名鍵に対応した前記サービス事業者の事業者ＩＤが記述された失効リストを生成する署名鍵生成装置と、前記署名鍵によって前記アプリケーションに署名を付加して放送通信連携受信装置に配信するアプリケーションサーバと、前記アプリケーションが実行中に利用するリソースを管理するリソース管理装置と、放送波を介して前記放送通信連携受信装置に放送データを送信する放送送信装置と、を含む放送通信連携システムに用いられる前記リソース管理装置であって、
    　前記リソースを記憶するリソース記憶手段と、
    　前記リソースを要求するアプリケーションを提供する前記サービス事業者の前記事業者ＩＤが前記失効リストに記述されているか否かを判定する失効リスト判定手段と、
    　前記失効リスト判定手段によって前記失効リストに記述されていないと判定された場合、当該事業者ＩＤを有する前記アプリケーションを実行する前記放送通信連携受信装置に対して、前記リソースを出力するリソース出力手段と、
    　を備えるリソース管理装置。
PCT/JP2012/062809 2011-05-20 2012-05-18 放送通信連携受信装置およびリソース管理装置 WO2012161122A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US14/118,960 US20140096154A1 (en) 2011-05-20 2012-05-18 Integrated broadcasting communications receiver and resource managing device
EP12789774.2A EP2713297A4 (en) 2011-05-20 2012-05-18 BROADCAST / COMMUNICATION CONNECTOR AND RESOURCE MANAGEMENT DEVICE
JP2013516347A JPWO2012161122A1 (ja) 2011-05-20 2012-05-18 放送通信連携受信装置およびリソース管理装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011-114075 2011-05-20
JP2011114075 2011-05-20

Publications (1)

Publication Number Publication Date
WO2012161122A1 true WO2012161122A1 (ja) 2012-11-29

Family

ID=47217199

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/062809 WO2012161122A1 (ja) 2011-05-20 2012-05-18 放送通信連携受信装置およびリソース管理装置

Country Status (4)

Country Link
US (1) US20140096154A1 (ja)
EP (1) EP2713297A4 (ja)
JP (1) JPWO2012161122A1 (ja)
WO (1) WO2012161122A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014179034A (ja) * 2013-03-15 2014-09-25 Ricoh Co Ltd 情報処理システム、情報処理装置及びプログラム

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2849448A1 (fr) * 2013-09-13 2015-03-18 Nagravision S.A. Méthode pour contrôler l'accès à du contenu diffusé
US9872086B2 (en) * 2013-09-30 2018-01-16 Sony Corporation Receiving apparatus, broadcasting apparatus, server apparatus, and receiving method
US10291965B2 (en) * 2016-03-11 2019-05-14 DISH Technologies L.L.C. Television receiver authorization over internet protocol network

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000270303A (ja) * 1999-03-16 2000-09-29 Digital Vision Laboratories:Kk イベント情報処理システム及び同システムに適用するイベント処理方法
JP2003069514A (ja) * 2001-08-24 2003-03-07 Nhk Engineering Services Inc データ放送システム並びにデータ受信端末及びデータ受信プログラム
JP2008099068A (ja) * 2006-10-13 2008-04-24 Kddi Corp デジタル放送用コンテンツ配信装置、デジタル放送用コンテンツ認証システム、デジタル放送用コンテンツ認証方法およびプログラム
JP2009065422A (ja) * 2007-09-06 2009-03-26 Sony Corp 受信装置および受信方法、配信装置および配信方法並びにプログラム

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6148081A (en) * 1998-05-29 2000-11-14 Opentv, Inc. Security model for interactive television applications
EP1143658A1 (en) * 2000-04-03 2001-10-10 Canal+ Technologies Société Anonyme Authentication of data transmitted in a digital transmission system
US7558958B2 (en) * 2002-06-13 2009-07-07 Microsoft Corporation System and method for securely booting from a network
CA2566801A1 (en) * 2004-07-14 2006-01-19 Matsushita Electric Industrial Co., Ltd. Method for authenticating and executing an application program
JP2008131557A (ja) * 2006-11-24 2008-06-05 Matsushita Electric Ind Co Ltd 映像音声出力機器、認証処理方法及び映像音声処理システム
JP2010205376A (ja) * 2009-03-06 2010-09-16 Sony Corp 情報処理装置、データ記録システム、および情報処理方法、並びにプログラム
FR2945367B1 (fr) * 2009-05-11 2012-06-22 Regie Autonome Transports Procede de controle d'activation d'une application sur une plateforme securisee, par un acteur exterieur a la chaine de chargement.

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000270303A (ja) * 1999-03-16 2000-09-29 Digital Vision Laboratories:Kk イベント情報処理システム及び同システムに適用するイベント処理方法
JP2003069514A (ja) * 2001-08-24 2003-03-07 Nhk Engineering Services Inc データ放送システム並びにデータ受信端末及びデータ受信プログラム
JP2008099068A (ja) * 2006-10-13 2008-04-24 Kddi Corp デジタル放送用コンテンツ配信装置、デジタル放送用コンテンツ認証システム、デジタル放送用コンテンツ認証方法およびプログラム
JP2009065422A (ja) * 2007-09-06 2009-03-26 Sony Corp 受信装置および受信方法、配信装置および配信方法並びにプログラム

Non-Patent Citations (6)

* Cited by examiner, † Cited by third party
Title
"Proc. of CRYPTO'84. LNCS", vol. 196, 1984, SPRINGER-VERLAG, article "Identity-Based Cryptosystems and Signature Schemes", pages: 47 - 53
"Technical Explanation of PKI", 3 July 2007, INFORMATION SECURITY TECHNOLOGY LABORATORY
GO OTAKE: "Hoso Tsushin Renkei Service no Tameno Application Ninsho Hoshiki", 2011 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY SCIS2011, 25 January 2011 (2011-01-25), pages 1 - 8, XP008173871 *
HISAKAZU KATO: "Post digital terrestrial television broadcasting", THE JOURNAL OF THE INSTITUTE OF IMAGE INFORMATION AND TELEVISION ENGINEERS, vol. 65, no. 9, 1 September 2011 (2011-09-01), pages 21 - 26, XP055145681 *
INFORMATION-TECHNOLOGY PRODUCTION AGENCY, 20 May 2011 (2011-05-20), Retrieved from the Internet <URL:www.ipa.go.jp/security/pki/>>
YASUAKI KANATSUGU: "Proposal of Hybridcast system", ITE TECHNICAL REPORT, vol. 35, no. 7, 11 February 2011 (2011-02-11), pages 31 - 34, XP008172687 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014179034A (ja) * 2013-03-15 2014-09-25 Ricoh Co Ltd 情報処理システム、情報処理装置及びプログラム

Also Published As

Publication number Publication date
US20140096154A1 (en) 2014-04-03
EP2713297A4 (en) 2015-01-14
JPWO2012161122A1 (ja) 2014-07-31
EP2713297A1 (en) 2014-04-02

Similar Documents

Publication Publication Date Title
JP5961164B2 (ja) 放送通信連携受信装置及びリソースアクセス制御プログラム
JP6423067B2 (ja) 放送通信連携受信装置及び放送通信連携システム
JP7298663B2 (ja) 受信装置、送信装置、受信方法および送信方法
JP2013009361A (ja) 放送通信連携受信装置およびアプリケーションサーバ
WO2012161122A1 (ja) 放送通信連携受信装置およびリソース管理装置
JP2021168492A (ja) 受信装置および受信方法
JP6097443B1 (ja) 受信機
JP5952638B2 (ja) 放送通信連携受信装置及び放送通信連携システム
JP6053323B2 (ja) 放送送信装置、放送通信連携受信装置およびそのプログラム、ならびに、放送通信連携システム
JP5912615B2 (ja) 放送通信連携受信装置及び放送通信連携システム
JP2019050601A (ja) 送信装置および送信方法
JP5941356B2 (ja) 放送通信連携受信装置、アプリケーション認証プログラム及び放送通信連携システム
JP2003209542A (ja) デジタル放送装置及びデジタル放送方法、デジタル放送受信装置及びデジタル放送受信方法、デジタル放送受信システム
CN105359454B (zh) 接收装置、接收方法和发送方法
JP2012257224A (ja) 受信機
JP2012257225A (ja) 受信機
JP2012257233A (ja) 受信機および受信システム
JP2012257222A (ja) 受信機
JP2012257223A (ja) 受信機

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12789774

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2013516347

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 14118960

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2012789774

Country of ref document: EP