(57)【特許請求の範囲】
【請求項１】
制御語の生成および使用をそれぞれ行なう、サーバ（３）と複数の処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）との間で前記制御語の送信を行なうために、
・前記サーバによって、前記処理エンティティによって使用されるように意図された平文ｋに係る暗号化された制御語ｃを生成するステップ（３１０）と、
・前記生成された暗号化された制御語ｃを、前記処理エンティティへと送信するステップと、
・前記エンティティによって、前記暗号化された制御語ｃを受信するステップと、
・各々の処理エンティティによって、前記受信した暗号化された制御語ｃから制御語ｋを生成するステップと
を含んでいるセキュアな方法であって、
前記サーバが、
ｉ．ｐを法とする非ゼロの整数の集合Ｚｐ＊にそれぞれ属するｄｓ個の要素のベクトルｓ（ｐは素数であり、ｄｓは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さい）と、
ｉｉ．前記サーバに既知であり、ｐを法とする非ゼロの整数の集合Ｚｐ＊に属している秘密の値γと、
ｉｉｉ．位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））（ここで、ｅ（．，．）はｅ：Ｇ１×Ｇ２→ＧＴのような結合であり、ＧＴは位数ｐの第３の巡回群である）のパラメータである位数ｐの２つの巡回群Ｇ１およびＧ２にそれぞれ属する２つの生成元と
から制御語の暗号文を生成し、
各々の処理エンティティが、
ｉ．暗号化された制御語ｃと、
ｉｉ．ｉ番目のエンティティに既知であり、
ａ）ｐを法とする非ゼロの整数の集合Ｚｐ＊にそれぞれ属するｄｘ個の要素のベクトルｘ（ｉ）（ｄｘは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さく、ベクトルｘ（ｉ）は該当のエンティティに専用である）と、
ｂ）前記秘密の値γと、
ｃ）前記バイリニアグループβの前記巡回群のうちの１つに属する生成元と
から前もって生成されている復号鍵ＤＫｉと
から制御語ｋを生成する、ことを特徴とする方法。
【請求項２】
・バイリニアグループβのような公開パラメータと関連づけられた秘密成分γを含む、マスター秘密鍵ＭＫを生成するステップ（３００）と、
・前記鍵および公開パラメータをサーバ内に保存するステップと、
・前記公開パラメータを各々の処理エンティティに保存するためのステップ（１００）と、
・それぞれが専用かつ別個である復号鍵ＤＫｉを生成（３０１）し、送信し、処理エンティティにおいて保存（１０１）するステップと
を前もって含む請求項１に記載の方法。
【請求項３】
生成された各々の復号鍵ＤＫｉが、形態ｚ１／Ｐ（γ）の成分を含んでおり、ｚはバイリニアグループβの巡回群のうちの１つに属する生成元であり、Ｐはγに関する多項式であることを特徴とする請求項１または２に記載の方法。
【請求項４】
ｉ．巡回群Ｇ１およびＧ２にそれぞれ属する２つの生成元であるｇおよびｈを選択するステップと、
ｉｉ．公開パラメータとして、βおよびｈに加えて、成分
【数４３】
0005602955.tif 000044
を生成するステップと
を含んでおり、
・秘密鍵ＭＫが、γおよびｇで構成され、
・復号鍵ＤＫｉを生成するステップ（３０１）が、ＤＫｉ＝（ｘ（ｉ），Ａｉ）（ここで、Ａｉ＝ｇ１／Ｐ（γ）であり、
【数４４】
0005602955.tif 000045
である）のように２つの成分の結果として前記鍵を生成することからなり、
・暗号化された制御語を生成するステップ（３１０）が、ｃ＝（ｓ，ｈ１／Ｑ（γ））（ここで、
【数４５】
0005602955.tif 000046
である）のように２つの成分の結果として前記語を生成することからなり、
・制御語ｋを生成するステップ（１１０）が、ｋを
【数４６】
0005602955.tif 000047
のように計算することからなり、ここで
【数４７】
0005602955.tif 000048
であり、
【数４８】
0005602955.tif 000049
およびｍ＝１，．．．，ｄｘについて
【数４９】
0005602955.tif 000050
であることを特徴とする請求項２または３に記載の方法。
【請求項５】
群Ｇ１およびＧ２にそれぞれ属する２つの生成元であるｇおよびｈを選択するステップを含み、
・公開パラメータが、βで構成され、
・秘密鍵ＭＫが、γおよびｇで構成され、
・復号鍵ＤＫｉを生成するステップ（３０１）が、ＤＫｉ＝（Ａｉ，Ｂ（ｉ））のように２つの成分の結果として前記鍵を生成することからなり、ここで
【数５０】
0005602955.tif 000051
であり、ｄｘ個の要素のベクトルＢ（ｉ）が
【数５１】
0005602955.tif 000052
のようであり、
・暗号化された制御語を生成するステップ（３１０）が、ｃ＝（Ｗ１，Ｗ２，ｓ，Ｕ）のように４つの成分の結果として前記語を生成することからなり、ここでＵは
【数５２】
0005602955.tif 000053
のようなｄｓ個の値のベクトルであり、Ｗ１＝（ｇγ）ｍであり、
【数５３】
0005602955.tif 000054
であり、ｍは整数であり、
・制御語ｋを生成するステップ（１１０）が、ｋを
【数５４】
0005602955.tif 000055
のように計算することからなり、
ここで
【数５５】
0005602955.tif 000056
である、
ことを特徴とする請求項２または３に記載の方法。
【請求項６】
無効化データＤＲをＤＲ＝（Ｒ１，．．．，Ｒｒ）（ここで、
【数５６】
0005602955.tif 000057
）のように生成するステップを含み、
生成元ｈが、暗号化された制御語を生成するステップ（３１０）の実施前に値Ｒｒをとることを特徴とする請求項５に記載の方法。
【請求項７】
制御語の平文を生成するためのステップ（１１０）の実施前に復号鍵の値を変更するステップを含み、
前記鍵が、値ＤＫｉ，Ｒ＝（Ａｉ，Ｂ（ｉ，Ｒ））をとり、ここでｗ∈［１，ｄｘ］の所与の値について
【数５７】
0005602955.tif 000058
であることを特徴とする請求項６に記載の方法。
【請求項８】
暗号文が、ＤＲおよび選択されたｊ∈［１，ｄｘ］の値についてのｘｊ（１），．．．，ｘｊ（ｒ）をさらに含み、
ｋを生成するためのステップ（１１０）が、
【数５８】
0005602955.tif 000059
のように制御語の平文を生成するように構成され、ここで
【数５９】
0005602955.tif 000060
であることを特徴とする請求項６に記載の方法。
【請求項９】
・保護されたデジタルコンテンツの放送サーバによって実行され、符号化関数を用いてデジタルコンテンツＭを符号化して符号化されたコンテンツＣを生成するステップと、
・前記保護されたデジタルコンテンツの放送サーバによって、複数の契約者処理エンティティによる前記符号化されたコンテンツＣの復号（２１０）に使用されるように意図された平文ｋに係る暗号化された制御語ｃを生成するステップ（３１０）と、
・前記符号化されたコンテンツＣおよび暗号化された制御語ｃを、配信ネットワークを介して契約者処理エンティティのために送信するステップと、
・前記符号化されたコンテンツＣおよび暗号化された制御語ｃを、各々の契約者処理エンティティによって受信するステップと、
・各々の契約者処理エンティティによって、暗号文ｃから制御語の平文ｋを生成するステップ（１１０）と、
・各々の契約者処理エンティティによって、符号化されたコンテンツＣの復号（２１０）を行ない、復号関数およびｋからコンテンツＭを生成するステップと、
・前記コンテンツＭに合ったインターフェイスを使用して前記コンテンツを取り出すステップと
を含むデジタルコンテンツの限定受信のための方法であって、
保護されたデジタルコンテンツの放送サーバによる暗号化された制御語の生成（３１０）および送信のステップ、ならびに契約者処理エンティティによる受信および制御語の平文の生成（１１０）のステップは、サーバと複数の処理エンティティとの間で制御語を送信するための請求項１〜８のいずれか一項に記載のセキュアな方法に従うことを特徴とする方法。
【請求項１０】
各々の処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）が、符号化されたコンテンツの復号および暗号化された制御語の平文の生成をそれぞれ実行するセキュアな契約者デバイス（１ａ、１ｂ、１ｍ、１ｉ）に組み合わせられた端末（２ａ、２ｂ、２ｍ、２ｉ）で構成され、
前記符号化されたコンテンツＣおよび暗号化された制御語ｃを処理エンティティによって受信するステップが、
ｉ．前記符号化されたコンテンツおよび暗号化された制御語を前記端末によって受信すること、および
ｉｉ．前記端末によって前記暗号化された制御語ｃを該端末と協働するセキュアな契約者デバイスへと送信すること
を含み、
前記処理エンティティにおいて制御語の平文ｋを生成するステップ（１１０）が、前記セキュアな契約者デバイスによって制御語の平文ｋを生成して前記端末へと届けることからなり、
前記符号化されたコンテンツＣの復号（２１０）を行なうステップが、前記符号化されたコンテンツＣおよび前記制御語ｋからコンテンツＭを生成する復号関数を前記端末によって実行することからなる、請求項９に記載の方法。
【請求項１１】
複数の契約者処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）に関連する限定受信システムのサーバ（３）であって、
・ｐ（ｐは素数である）を法とする非ゼロの整数の集合Ｚｐ＊に属する秘密の値γと、位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））（ここで、ｅ（．，．）はｅ：Ｇ１×Ｇ２→ＧＴのような結合であり、Ｇ１、Ｇ２、およびＧＴは位数ｐの巡回群である）と、集合Ｚｐ＊にそれぞれ属するｄｓ個の要素のベクトルｓ（ｄｓは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さい）とを保存するための手段と、
・ｉ．ベクトルｓと、秘密の値γと、巡回群Ｇ１およびＧ２にそれぞれ属する２つの生成元とから、制御語の暗号文ｃを生成し、
ｉｉ．コンテンツＭから符号化されたコンテンツＣを生成する処理手段と、
・前記符号化されたコンテンツＣおよび暗号化された制御語ｃを外部へと届けるための手段と
を備えることを特徴とするサーバ。
【請求項１２】
請求項１１に記載のサーバへと接続される、限定受信システムの複数の処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）であって、
・素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））（ここで、ｅ（．，．）はｅ：Ｇ１×Ｇ２→ＧＴのような結合であり、Ｇ１、Ｇ２、およびＧＴは位数ｐの巡回群である）であって、前記サーバが暗号化された制御語ｃを生成して前記複数の処理エンティティへと送信するために、前記サーバに既知であるバイリニアグループを含む、公開パラメータを保存するための手段と、
・ｉ．ｐを法とする非ゼロの整数の集合Ｚｐ＊にそれぞれ属するｄｘ個の値のベクトルｘ（ｉ）（ｄｘは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さく、ベクトルｘ（ｉ）は当該エンティティに専用である）と、
ｉｉ．前記サーバに既知である秘密の値γと、
ｉｉｉ．バイリニアグループβの巡回群のうちの１つに属する生成元と
から前もって生成される専用の復号鍵ＤＫｉを保存するための手段と、
・符号化されたコンテンツＣおよび暗号化された制御語ｃとしてのデータを外部から受信するための手段と、
・前記データおよび復号鍵ＤＫｉから制御語ｋを生成するように構成された処理手段（１０）と、
・前記データおよび制御語ｋからコンテンツＭを生成するための処理手段と、
・前記コンテンツＭの取り出しのために適切なマン−マシンインターフェイス（５）へと前記コンテンツをもたらすための手段と
を備える処理エンティティ。
【請求項１３】
セキュアな契約者デバイス（１ａ、１ｂ、１ｍ、１ｉ）と協働する電子端末（２ａ、２ｂ、２ｍ、２ｉ）で構成され、それぞれ、符号化されたコンテンツＣの復号（２１０）を行ない、前記復号のための制御語の平文ｋの生成（１１０）および前記端末への供給を行なうことを特徴とする請求項１２に記載の処理エンティティ。
【請求項１４】
請求項１３に記載の処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）の端末（２ａ、２ｂ、２ｍ、２ｉ）であって、
・外部からデータを受信するための手段と、
・前記セキュアな契約者デバイス（１ａ、１ｂ、１ｍ、１ｉ）と協働し、該セキュアな契約者デバイスへ、暗号化された制御語ｃを送信し、返答として制御語ｋを受信するための手段と、
・コンテンツＭの生成（２１０）を行なうための処理手段と、
・前記コンテンツの回復を行なうように構成されたマン−マシンインターフェイスへと前記コンテンツをもたらすための手段と
を備える端末。
【請求項１５】
請求項１４に記載の端末と協働するように構成された請求項１３に記載の処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）のための電子契約者デバイス（１ａ、１ｂ、１ｍ、１ｉ）であって、
・前記端末から暗号化された制御語を受信するための受信手段と、
・公開パラメータを保存するための保存手段と、
・専用の復号鍵ＤＫｉを保存するための保存手段と、
・前記暗号文ｃおよび鍵ＤＫｉから制御語ｋの生成（１１０）を行なうための処理手段と、
・前記制御語を前記端末へともたらすための手段と
を備える電子契約者デバイス。
【請求項１６】
デジタルコンテンツの限定受信システムであって、
サーバ（３）を複数の契約者処理エンティティ（Ｅａ、Ｅｂ、Ｅｍ、Ｅｉ）と組み合わせて備えており、前記サーバおよび前記処理エンティティがそれぞれ、請求項９または１０に記載の限定受信方法を実行するための請求項１１ならびに１２または１３に記載のサーバおよび処理エンティティである限定受信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サーバと複数のエンティティとの間で、そのようなエンティティによって復号が行なわれる暗号文を送信するためのセキュアなシステムおよび方法に関する。本発明は、デジタルコンテンツの限定受信のためのシステムおよび方法の分野において、１つ以上の復号鍵の不正な使用を防止するために好ましく適用される。本発明は、一部の不法なユーザが連合を形成して、どの復号鍵を用いて生成されたのかを突き止めることが難しい復号データを生成する場合において、著作権侵害の防止にきわめて有効であり、かつ運営者に扱いやすい。したがって、本発明は、保護されたマルチメディアコンテンツの不正な提供に対して効果的な保護をもたらしつつ、その実施に必要な演算能力および保護されたコンテンツの配信ネットワークの帯域幅を保つ。
【０００２】
さらに本発明は、契約者に利用可能にされた電子装置の一時的または恒久的な無効化、または無効化の実行可能な回復をトリガーするための方法に関する。したがって、本発明は、随意によりセキュアな電子デバイスへと接続され、保護されたコンテンツの配信サーバへと接続される端末などの前記機材について、ロバストかつ効率的な限定受信のための方法の実施を可能にするための改良に関する。
【背景技術】
【０００３】
デジタルコンテンツの放送の運営者は、通常は、保護されたコンテンツを契約者または複数の契約者に利用可能にするために、限定受信システム（ＣＡＳ）を運営する。そのようなシステムは、通常は、契約者の身元および／または権利を保持し、暗号化、復号、または数字の生成といった作業を実行するスマートカードなどのセキュアな電子デバイスに依存する。
【０００４】
公知の限定受信システムにおいては、保護されたマルチメディアコンテンツを配信するために、暗号化された制御語ｃおよび符号化されたコンテンツＣが、決まった期間または少なくとも放送の運営者に既知であり、制御される暗号有効期間にて、放送ネットワークを介して送信される。暗号化された制御語は、通常は、暗号化関数Ｅによってｃ＝Ｅ（ｋ）のように得られ、ｋは前記制御語の値である。符号化されたコンテンツＣ自体は、符号化関数ｅｎｃおよび前記制御語ｋによってＣ＝ｅｎｃ（ｋ，Ｍ）のように得られ、Ｍはマルチメディアコンテンツである。例として、符号化関数は、ＤＶＢ−ＣＳＡ（Ｄｉｇｉｔａｌ  Ｖｉｄｅｏ  Ｂｒｏａｄｃａｓｔｉｎｇ−Ｃｏｍｍｏｎ  Ｓｃｒａｍｂｌｉｎｇ  Ａｌｇｏｒｉｔｈｍ）の基準に従うことができる。保護されたコンテンツの視聴をするためには、契約を購入しなければならない。契約者は、通常はスマートカードの形態であるセキュアな専用のデバイスを受け取り、そのデバイスが、デコーダまたは「セットトップボックス」と一般的に称される端末と組み合わせられ、保護されたコンテンツの復号を当該契約者に可能にする契約者処理エンティティを呈する。暗号化された制御語ｃが、典型的にはセキュアなデバイスによって復号され、制御語ｋが端末へともたらされる。端末が、符号化されたコンテンツＣの復号の実行を担当し、例えばリビングルームのテレビなどの相応のマン−マシンインターフェイスを介して、コンテンツＭへのアクセスを可能にする。
【０００５】
契約者デバイスのロバストさは、きわめてよく知られているが、暗号化のハードウェア、アルゴリズム、または秘密を知ることで、ハッカーは、契約者へと提供されたセキュアな電子デバイスのセキュリティを「破る」ことができる。次いで、ハッカーは、そのようなデバイスを「複製」またはエミュレートし、制御語またはコンテンツを供給するための著作権侵害のネットワークを運営することなく、不法な契約者に利用可能ないくつかの「複製品」を製作することができる。
【０００６】
ハッカーに対抗するために、運営者は、通常は、そのような著作権侵害のネットワークの存在またはデータ復号用の複製品の流通を知ることになる。ハッカーのサービスを求めることによって、運営者は、「複製」またはエミュレートされたデバイスを入手し、それを研究することもできる。
【０００７】
運営者（より広義には、安全性が損なわれた契約者のセキュアなデバイスを明らかにしようとするあらゆる「追跡」エンティティ）は、著作権侵害の源の追跡において大きな困難に直面する。これは、入手した不正な復号データが、いくつかの異なる復号鍵の共謀の結果である場合にとくに当てはまる。実際に、公知の方法によれば、そのような復号データを解析しても、復号鍵を追跡または検出することはほとんど不可能、または全く不可能である。共謀が広がる場合、調査はさらに無力になる。この問題を避けるために、一部の運営者または追跡者は、制御語の復号鍵および制御語の暗号文のサイズを大幅に増加させている。公知の技術的解決策においては、これらのサイズが、契約者の総数または総数の上限に直接関係し、契約者の総数または総数の上限につれて線形に増加する。例えば文献ＵＳ２００８／００７５２８７Ａ１に記載の技術など、いくつかの公知の技術は、これらのサイズを契約者の数の平方根のオーダに減らすことを、何とか達成している。文献ＷＯ２００７／１３８２０４に開示されている技術など、他の技術においては、暗号文のサイズが、生じうる共謀のサイズと同じオーダである必要がある。追跡者の不正な復号鍵の検出能力は、暗号文のサイズがかなり大きい制御語を暗号有効期間で生成するために、放送ネットワークの帯域幅およびセキュアな契約者デバイスの演算能力を犠牲にして改善されてきた。さらに、そのような技術的解決策は、依然として、契約者の数が多い場合にきわめて不利であり、ほとんど機能しない。
【０００８】
したがって、保護されたコンテンツの配信サービスの運営において、現実的な帯域幅および演算能力を保ちつつ、共謀によってもたらされる復号データを使用して１つ以上の正当に配布された復号鍵の追跡および特定を可能にする公知の方法は、存在していない。
【０００９】
本発明がもたらす多数の利点のうちで、本発明が、例えば支払い済みの契約ユーザへと配信された保護されたコンテンツを不正に復号できるようにする不正なユーザへ情報が配布されることへの対抗に役立つことに、言及することができる。実際、本発明は、そのような情報の作成に使用された秘密かつ専用の復号鍵の効果的な追跡および識別を可能にする。種々の実施の形態によれば、本発明は、制御語の秘密の復号鍵またはそれらの暗号文のサイズ、契約者の数、および／または生じうる共謀の数の分離を可能にする。これは、配信ネットワークの帯域幅および契約者処理エンティティの演算能力を保ちつつ、生じうる多数による共謀に対応するために、前記サイズを決定するためのきわめて効果的かつ潜在的に動的な妥協を運営者に提供する。さらに本発明は、放送ネットワークによるコンテンツの放送を続けながら、セキュリティが破られた可能性がある契約者の処理エンティティ（「危険なエンティティとして知られる）を遠隔操作で無効にすることを可能にする。このようにして、本発明は、コンテンツを放送するあらゆる運営者に、著作権侵害への対抗におけるきわめて簡単かつ効果的なツールを提供する。
【発明の概要】
【００１０】
この目的のため、サーバと複数の処理エンティティとの間で制御語を送信するためのセキュアな方法が、とくには前記制御語の生成および操作をそれぞれ行なうように計画される。
【００１１】
そのような方法は、処理エンティティによって使用されるように意図された平文ｋに係る暗号化された制御語ｃをサーバによって生成する第１のステップを含む。また、処理エンティティのために生成された暗号化された制御語ｃを送信するステップと、それらのエンティティによって、暗号化された制御語ｃを受信するステップと、受信した暗号化された制御語ｃから制御語ｋを生成するステップとをさらに含む。
【００１２】
危険な鍵の共謀に対する「効率  対  抵抗力」の妥協をもたらすために、本発明によれば、
サーバが、
・ｐを法とする非ゼロの整数の集合Ｚｐ＊にそれぞれ属するｄｓ個の要素のベクトルｓ（ｐは素数であり、ｄｓは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さい）と、
・サーバに既知であり、ｐを法とする非ゼロの整数の集合Ｚｐ＊に属している秘密の値γと、
・位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））（ここで、ｅ（．，．）はｅ：Ｇ１×Ｇ２→ＧＴのような結合であり、ＧＴは位数ｐの第３の巡回群である）のパラメータである位数ｐの２つの巡回群Ｇ１およびＧ２にそれぞれ属する２つの生成元と
から暗号化された制御語を生成し、
各々の処理エンティティが、
・暗号化された制御語ｃと、
・ｉ番目のエンティティに既知であり、
ｉ．ｐを法とする非ゼロの整数の集合Ｚｐ＊にそれぞれ属するｄｘ個の要素のベクトルｘ（ｉ）（ｄｘは厳密に１よりも大きい整数であり、処理エンティティの数と比べて小さく、ベクトルｘ（ｉ）は該当のエンティティに専用である）と、
ｉｉ．前記秘密の値γと、
ｉｉｉ．バイリニアグループβの巡回群のうちの１つに属する生成元と
から前もって生成されている復号鍵ＤＫｉと
から制御語ｋを生成する。
【００１３】
好ましい実施の形態によれば、このような方法が、
・バイリニアグループβのような公開パラメータと関連づけられた秘密成分γを含むマスター秘密鍵ＭＫを生成するステップと、
・前記鍵ＭＫおよび公開パラメータをサーバ内に保存するステップと、
・前記公開パラメータを各々の処理エンティティに保存するためのステップと、
・それぞれが専用かつ別個である復号鍵ＤＫｉを生成し、送信し、処理エンティティに保存するステップと
を前もって含むことができる。
【００１４】
本発明によれば、生成された各々の復号鍵ＤＫｉが、好都合には形態ｚ１／Ｐ（γ）の成分を含むことができ、ｚはリニアグループβの巡回群のうちの１つに属する生成元であり、Ｐはγに関する多項式である。
【００１５】
好ましい実施の形態によれば、さらに本発明は、
・保護されたデジタルコンテンツの放送サーバによって実行される符号化関数を用いて、デジタルコンテンツＭを符号化して符号化されたコンテンツＣを生成するステップと、
・前記保護されたデジタルコンテンツの放送サーバによって、複数の契約者処理エンティティによる前記符号化されたコンテンツＣの復号に使用されるように意図された平文ｋに係る暗号化された制御語ｃを生成するステップと、
・前記暗号化されたコンテンツＣおよび暗号化された制御語ｃを、配信ネットワークを介して契約者処理エンティティへと送信するステップと、
・前記暗号化されたコンテンツＣおよび暗号化された制御語ｃを、各々の契約者処理エンティティによって受信するステップと、
・各々の契約者処理エンティティによって、暗号文ｃから制御語の平文ｋを生成するステップと、
・各々の契約者処理エンティティによって、符号化されたコンテンツＣの復号を行ない、復号関数およびｋからコンテンツＭを生成するステップと、
・前記コンテンツＭに合ったインターフェイスによって前記コンテンツを取り出すステップと
を含むデジタルコンテンツの限定受信のための方法に関する。
【００１６】
保護されたデジタルコンテンツの放送サーバによる暗号化された制御語の生成および送信のステップ、ならびに契約者処理エンティティによる受信および制御語の平文の生成のステップは、サーバと複数の処理エンティティとの間で制御語を送信するための本発明によるセキュアな方法に従う。
【００１７】
さらに本発明は、本発明による限定受信方法を実行するように、複数の契約者処理エンティティへと接続されたサーバを備えている、デジタルコンテンツの限定受信のためのシステムに関する。
【００１８】
他の特徴および利点が、以下の説明を読み、添付の図面を観察することによって、さらに明らかになるであろう。
【図面の簡単な説明】
【００１９】
【図１】先行技術による限定受信システムを示している。
【図２】本発明による限定受信システムを説明している。
【図３】本発明による限定受信方法の実施の形態を示している。
【発明を実施するための形態】
【００２０】
図１が、先行技術によるデジタルコンテンツの限定受信システムを示している。システムは、保護されたコンテンツの放送の運営者によって実行される放送ネットワーク４で構成される。したがって、それぞれ暗号化および符号化された制御語ｃおよびコンテンツＣが、コンテンツサーバ３から一緒に発せられる。この目的のため、サーバ３は、符号化関数ｅｎｃと、このサーバ３によって生成される制御語ｋとを使用して、コンテンツＭを符号化する。結果は、Ｃ＝ｅｎｃ（ｋ，Ｍ）のように符号化されたコンテンツＣである。制御語ｋの暗号化バージョンｃも、符号化されたコンテンツＣと一緒に発せられ、すなわち「放送」される。この目的のため、サーバは、暗号化関数Ｅを使用して前記制御語ｋを暗号化し、ｃ＝Ｅ（ｋ）のようにｃを得る。
【００２１】
暗号化された制御語ｃおよび暗号化されたコンテンツＣが、放送ネットワーク４を介して端末２ａ〜２ｍへと送信される。それぞれの端末が、サーバ３によって発せられた符号化されたコンテンツＣのリアルタイムでの復号を行なう。したがって、例えばデコーダ２ａなどの端末は、復号関数ｄｅｃを備え、復号関数ｄｅｃを符号化されたコンテンツＣに適用し、コンテンツＭを得る。コンテンツＭを、リビングルームのテレビ５またはコンテンツの読み出しに適した任意の他のインターフェイスを使用して、閲覧することができる。復号関数ｄｅｃを適用するために、端末は、サーバ３がコンテンツＭの符号化に使用した制御語ｋの値を知らなければならない。先行技術によれば、図１に示されるように、端末２ａ〜２ｍが、ｃ＝Ｅ（ｋ）のように暗号化された制御語ｃを受信し、通常は契約者に専用のセキュアな電子デバイス１ａ〜１ｍへと送信する。端末２ａは、ネットワーク４を介して組（Ｃ，ｃ）を定期的に受信し、暗号化された制御語ｃをデバイス１ａへと送信する。デバイス１ａは、復号関数Ｄを使用して暗号化された制御語ｃを復号し、コンテンツＭの符号化に用いられた制御語ｋを得ることができる。すなわち、ｋ＝Ｄ（ｃ）である。同じことが、各々がデバイス１ｂ〜１ｍとそれぞれ協働する２ｂ〜２ｍなどの任意の他の装置にもあてはまる。変種の実施の形態によれば、サーバ３が、制御語ｋの暗号化に、例えば鍵Ｋｃの形態の秘密を使用することができる。すなわち、ｃ＝Ｅ（Ｋｃ，ｋ）である。この場合には、デバイス１ａ〜１ｍなどのデバイスが、ｋ＝Ｄ（Ｋｄ，ｃ）のように、相反する復号関数Ｄを備え、ここでＫｄは、デバイスに既知の復号鍵である。暗号化関数Ｅおよび復号関数Ｄによれば、鍵ＫｃおよびＫｄは同一でよい。これは、対称暗号化／復号の場合である。あるいは、「ブロードキャスト暗号」と呼ばれるパターンによれば、Ｋｃが、運営者に専用の公開または秘密鍵であり、Ｋｄが、デバイス（あるいは、デバイスの群）に専用かつ運営者に既知の秘密鍵である。したがって、この変種によれば、いくつかの個別の復号鍵が存在し、前記運営者の契約者へと正当に支給されて届けられたデバイスの各々が、そのような個人的な復号鍵を有している。
【００２２】
そのような限定受信システムを台無しにすべく、ハッカーは、とくには契約者のデバイスによって実行される暗号化のハードウェア、アルゴリズム、または秘密についての知識を発達させている。或る者は、そのような契約者の電子デバイスのセキュリティを「破る」知識を持ち、あるいは「破る」ことができ、有効な制御語を生成するために使用される１つ以上の復号鍵の値を読み取って、最終的に暗号化されたメッセージを復号することができる。必然的に、これらの鍵（「危険な鍵」と称する）が無法なユーザのための並行市場に不正に流通し、無法なユーザは、危険な鍵をハックした端末に組み込み、保護されたコンテンツに不正にアクセスすることによって利益を得る。この種の犯罪行為は、コンテンツの復号関数および暗号化された制御語の復号関数が契約者に利用可能なただ１つの同じ処理エンティティによって実行される限定受信システムを、放送の運営者が運営する場合に、大いに促進される可能性がある。すなわち、そのようなエンティティは、制御語の生成に使用される、復号鍵ならびに／あるいはアルゴリズムおよび方法を保存するための手段を保護するセキュリティの特徴を必ずしも備えない。そのようなアルゴリズムの不充分にセキュアな実装に起因する漏洩が、操作された復号鍵などの曝露を許す。
【００２３】
このようにして、ハッカーは、必ずしも制御語またはコンテンツを配布するための著作権侵害のネットワークを運営することなく、無法な顧客へと復号鍵の特定の「複製品」を提供することができる。
【００２４】
そのような行為に対抗するために、複製の源である「危険」な復号鍵または信用できなくなった復号鍵を、追跡または検出できることが有用である。したがって、そのような鍵が追跡可能でなければならず、すなわち契約者に専用のマーカまたは成分を有していなければならない。そのようにすることで、ハックされた端末またはハッカーによって実装されたソフトウェアを手にしたときに、追跡者は、特定の解析方法を使用して、操作された秘密のデータを検出することができる。追跡者の課題は、いくつかの危険な鍵がハッカーまたはハッカー集団によって組み合わせられる場合に複雑になる。
【００２５】
本発明は、これらのさまざまなハッキングの筋書きを打ち負かすことを可能にする。
【００２６】
図２が、本発明の好ましい実施の形態の例としての限定受信システムを説明するうえで役に立つ。公知のシステムと同様に、本発明は、保護されたコンテンツの放送の運営者によって実現される放送ネットワーク４を提供し、より広義には、エンティティＥａ、Ｅｂ、・・・、Ｅｍなどの複数の契約者処理エンティティに向けてコンテンツサーバ３から、符号化されたコンテンツＣを送信するための任意の手段を提供する。さらに、本発明によれば、符号化されたコンテンツＣが、この符号化されたコンテンツを契約者側の各々のエンティティによって復号できるようにする平文に係る暗号化された制御語ｃとともに送信される。これを行なうために、サーバ３が、符号化関数ｅｎｃを使用してコンテンツＭを符号化する。結果は、Ｃ＝ｅｎｃ（Ｍ）のように符号化されたコンテンツＣである。
【００２７】
そのようなシステムのセキュリティは、基本的には、制御語をサーバと契約者側の複数の処理エンティティとによってセキュアに生成、交換、および使用することができることにある。そのような制御語は、保護されたデジタルコンテンツの限定受信システムの異なる応用の文脈においてもちょうど同じように使用することができる。
【００２８】
本発明は、上述の文献ＵＳ２００８／００７５２８７Ａ１またはＷＯ２００７／１３８２０４を含む多数の刊行物において利用されている考え方である素数位数の群における結合という数学的概念にもとづいている。そのような結合は、暗号法において典型的に使用され、とくには楕円曲線の分野において使用される双線形の応用である。
【００２９】
βを、｜ｐ｜＝λ（λはセキュリティパラメータとして要素数を定める）であるような素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））であるとする。Ｇ１、Ｇ２、およびＧＴが、位数ｐの３つの巡回群であり、ｅ：Ｇ１×Ｇ２→ＧＴが結合である。巡回群は、ｇｐ＋１がｇに等しいような代数的集合であり、ｐが巡回群の位数を定めており、ｇが「生成元」と呼ばれる群の要素である。本発明の意味において、群Ｇ１およびＧ２の間の特別な関係は必要とされない。２つの群は同じであってよく、あるいはより一般的には、Ｇ１とＧ２との間の同型写像Ψを定めることができる。本発明によれば、任意の可能な効果的に計算することができる同型写像および結合が好ましい。
【００３０】
好ましい実施の形態によれば、処理エンティティＥｉが、符号化されたコンテンツの復号およびこの復号に必要な制御語の生成をそれぞれ実行するセキュアなデバイス１ｉ（例えば、スマートカード）に組み合わせられた端末２ｉで構成される。図２は、エンティティＥａ、Ｅｂ、およびＥｍを、それぞれ端末２ａ、２ｂ、２ｍをセキュアな契約者デバイス１ａ、１ｂ、１ｍと組み合わせることによってもたらされるものとして示している。
【００３１】
本発明の意味において、そのようなエンティティは、すでに述べた２つの主たる機能を包含すると考えられる１つの同じデバイスであってよい。
【００３２】
秘密かつ専用の復号鍵が、各々の契約者デバイス（または、契約者エンティティ）に既知である。すなわち、図２によれば、契約者ａに関するエンティティＥａのデバイス１ａは、復号鍵ＤＫａを知っている。この鍵は、鍵ＤＫｂとは異なり、鍵ＤＫｂも、鍵ＤＫｍとは異なる。これらの鍵は、それぞれエンティティＥｂおよびＥｍ（あるいは、より正確にはそれぞれのセキュアな契約者デバイス１ｂおよび１ｍ）にだけ知られている。専用かつ個別であるけれども、本発明による復号鍵は、追跡可能である（すなわち、後述のように、識別または追跡の行為において特定可能である）。それらはすべて、サーバ３に既知のマスター秘密鍵ＭＫから生成され、この鍵は、バイリニアグループβを含む公開パラメータＰＰ、すなわち前記サーバに既知であり、種々の処理エンティティ（具体的には、図２に関して説明される好ましい実施の形態によれば、デバイス１ａ〜１ｍ）にも既知であるパラメータに、おそらくは関連付けられる。
【００３３】
復号鍵は、処理エンティティＥａ〜Ｅｍが符号化されたコンテンツの復号を可能にする制御語ｋを生成することを可能にする。この制御語ｋは、サーバ３によって符号化されたコンテンツＣと一緒に与えられる暗号化された制御語ｃから生成される。図２に関して説明される好ましい例によれば、セキュアなデバイス１ａ〜１ｍが、各々の処理エンティティＥａ〜Ｅｍにおける制御語ｋの生成を担当する。この目的のため、端末２ａ〜２ｍは、暗号化された制御語ｃを受信することができ、この暗号化された制御語ｃをそれぞれのセキュアなデバイスへと送信することもできる。デバイス１ａ〜Ａｍによって生成された制御語が、再びそれぞれの端末へと送信され、それぞれの端末が符号化されたコンテンツＣの復号を行ない、相応のマン−マシンインターフェイス５によって契約者へと示されるコンテンツＭを生成することができる。
【００３４】
図３が、図２に関連して説明されるようなシステムによって実行される、保護されたコンテンツの限定受信方法の形態の本発明の応用の一例を説明するために使用される。簡単化のために、複数の処理エンティティが、セキュアな契約者デバイス１ｉに組み合わせられた端末２ｉとしてのエンティティＥｉによって表わされている。符号化されたコンテンツＣが、サーバ３からネットワーク４を介してエンティティＥｉへと送信される。この目的のために、任意の他の放送手段を使用することができる。符号化されたコンテンツは、暗号化された制御語ｃに組み合わせられ、この暗号化された制御語ｃの平文が、符号化されたコンテンツの復号を可能にする。端末２ｉが、符号化されたコンテンツおよび暗号化された制御語を受信することができる。暗号化された制御語が、端末によって契約者デバイスへと送信され、契約者デバイスが、秘密の復号鍵ＤＫｉおよび公開パラメータＰＰを使用し、制御語の生成を行って、端末２ｉへと送り返す。この端末が、制御語ｋを使用して符号化されたコンテンツＣの復号を行ない、コンテンツＭをインターフェイス５へと届けることができる。これを達成するために、本発明による限定受信方法は、それぞれ下記に対応する主たるステップ３１０、１１０、および２１０で構成される。
【００３５】
・３１０：符号化されたコンテンツＣを生成し、暗号化された制御語ｃと組み合わせて処理エンティティへと提供する。
【００３６】
・１１０：暗号化された制御語ｃおよび復号鍵ＤＫｉから制御語ｋを生成する。
【００３７】
・２１０：符号化されたコンテンツの復号を制御語ｋから行なう。
【００３８】
随意により、これらのステップに、公開パラメータＰＰの生成および処理エンティティＥｉ（とりわけ、セキュアなデバイス）における保存からなるステップ３００および１００を先行させることができる。さらに図３は、復号鍵ＤＫｉの生成および処理エンティティＥｉ（とりわけ、デバイス１ｉ）における保存という事前のステップ３０１および１０１を説明している。
【００３９】
限定受信方法およびシステムに適用される好ましい例の他に、本発明は、主として、制御語を、そのような制御語の生成および利用をそれぞれ行なうサーバと複数の処理エンティティとの間で送信するためのセキュアな方法に関する。
【００４０】
図３に関連して説明される応用例へと適用されるそのような方法の実施のやり方を、２つの実施の形態によって検討する。
【００４１】
βを、｜ｐ｜＝λ（λはセキュリティパラメータとして要素数を定める）であるような素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））であるとする。Ｇ１、Ｇ２、およびＧＴが、位数ｐの３つの巡回群であり、ｅ：Ｇ１×Ｇ２→ＧＴが結合である。
【００４２】
本発明による方法は、
・処理エンティティによって使用２１０されるように意図された平文ｋに係る暗号化された制御語ｃを、サーバによって生成するステップ３１０と、
・生成された暗号化された制御語ｃを処理エンティティへと送信するステップと、
・暗号化された制御語ｃを前記エンティティによって受信するステップと、
・各々の処理エンティティによって、受信された暗号化された制御語ｃから、制御語ｋを生成するステップ１１０と
を含む。
【００４３】
高い効率（帯域幅および処理能力に関して）を可能にしながら、復号鍵ＤＫｉの追跡可能性を維持するために、暗号化されたバージョンの制御語を生成するためのステップ３１０は、サーバ３によって、
・ｐを法とする非ゼロの整数の集合Ｚｐ＊にそれぞれ属するｄｓ個の要素のベクトルｓ（ｐは素数であり、ｄｓは厳密に１よりも大きい整数であり、処理エンティティの数に関して小さい）と、
・サーバ３に既知であり、ｐを法とする非ゼロの整数の集合Ｚｐ＊に属している秘密の値γと、
・バイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））のパラメータである巡回群Ｇ１およびＧ２にそれぞれ属する２つの生成元と
から実行される。
【００４４】
各々の処理エンティティＥｉが、制御語ｋの生成１１０を、
・暗号化された制御語ｃと、
・ｐを法とする非ゼロの整数の集合Ｚｐ＊にそれぞれ属するｄｘ個の要素のベクトルｘ（ｉ）（ｄｘは厳密に１よりも大きい整数であり、処理エンティティの数に関して小さく、ベクトルｘ（ｉ）は該当のエンティティに専用である）と、
秘密の値γと、
バイリニアグループβの巡回群のうちの１つに属する生成元と
から前もって生成されるエンティティＥｉに既知の復号鍵ＤＫｉと
から行なう。
【００４５】
本発明によれば、ｄｘおよびｄｓという整数値が、エンティティの数に関して小さく、したがって最終的には、契約者またはハッカーの数に関して小さい。
【００４６】
これら２つの整数は、不正な共謀に応じて「効率  対  抵抗力」の妥協を決定および調節するために使用されるセキュリティパラメータである。パラメータｄｘが、本発明による復号鍵のサイズを調節するために使用される。パラメータｄｓが、暗号化された制御語のサイズを調節するために直接使用される。
【００４７】
したがって、ｄｓが、暗号化された制御語の放送ネットワークの帯域幅に直接的な影響を有する。ｄｘは（ｄｓとちょうど同じように）、制御語の暗号文から制御語の平文を生成するために復号鍵の保存および処理を行なわなければならないエンティティ（または、セキュアなデバイス）の処理能力に直接的な影響を有する。
【００４８】
鍵および暗号化されたバージョンのサイズが、共謀のサイズあるいは契約者または契約者群の数の平方根につれて線形に増大する公知の技術的解決策と異なり、本発明は、公知の技術的解決策とは比較にならないきわめて好都合なサイズを維持することを可能にする。したがって、共謀のリスクｔが存在すると考えると、本発明による方法は、ｄｘおよびｄｓを
【００４９】
【数１】
0005602955.tif 000002
のように定める助けとなる。例として、本発明は、それぞれのｔについて、以下の妥協を（実施の形態に応じて）得ることを可能にする。
【００５０】
・ｔ＝１２０：ｄｘ＝３およびｄｓ＝７
・ｔ＝１２６：ｄｘ＝４およびｄｓ＝５
・ｔ＝１０５：ｄｘ＝２およびｄｓ＝１３
これらの結果から、先行技術と比べて本発明がきわめて大きく貢献していることが明らかである。
【００５１】
図３に示されるように、サーバと複数の処理エンティティとの間で制御語をセキュアに送信するための本発明による方法は、バイリニアグループβのような公開パラメータと関連づけられた秘密成分γを含む、マスター秘密鍵ＭＫを生成および保存するためのステップ３００を含むことができる。また、前記公開パラメータを各々の処理エンティティ（より詳しくはそして好ましくは、前記エンティティのセキュアな契約者デバイス）に保存するためのステップ１００を含むことができる。さらに、そのような方法は、例えば契約の購入時に秘密かつ専用の復号鍵ＤＫｉを知る装置を契約者へと届けることができるように、復号鍵ＤＫｉの生成３０１、送信、および処理エンティティ（より詳しくはそして好ましくは、前記エンティティのセキュアな契約者デバイス）における記録１０１を行なうステップを含むことができる。
【００５２】
そのような方法の２つの実施の形態を引き続いて説明する。これら２つの実施の形態は、とりわけ、生成された復号鍵ＤＫｉがｚ１／Ｐ（γ）（ｚは巡回群のうちの１つおよびバイリニアグループβに属する生成元であり、Ｐはγに関する多項式である）の形態の成分を有する点で共通している。
【００５３】
第１の実施の形態によれば、選択された、バイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））ならびにセキュリティパラメータｄｘおよびｄｓについて、マスター秘密鍵ＭＫが、γおよびｇでＭＫ＝（γ，ｇ）のように構成される。γは、素数ｐを法とする非ゼロの整数の集合Ｚｐ＊に属する秘密の値である。ｇは、グループＧ１の生成元である。ｇの値を、好都合には無作為に選択することができる。同様に、グループＧ２の生成元ｈも、無作為に選択され得る。好都合には、ｖ＝ｅ（ｇ，ｈ）を計算でき、値ｖを鍵ＭＫの成分γおよびｇと関連づけることができる。
【００５４】
公開パラメータを構成するために、
【００５５】
【数２】
0005602955.tif 000003
が計算される。βおよびｈに加え、これらの値のすべてが公開パラメータを表わす。
【００５６】
これらの計算および無作為選択のすべてを、サーバ３によって実行でき、あるいはこの目的のための別の専用のサーバによって実行し、入手することができる。
【００５７】
この第１の実施の形態によれば、復号鍵を生成するためのステップが、ＤＫｉ＝（ｘ（ｉ），Ａｉ）のように２つの成分の結果として前記鍵を生成することからなる。ここで、Ａｉ＝ｇ１／Ｐ（γ）であり、
【００５８】
【数３】
0005602955.tif 000004
である。したがって、新たなユーザまたは契約者ｉの契約時に、一意の専用の鍵ＤＫｉが生成され、次いで制御語の生成にこの鍵を利用する処理エンティティＥｉへと（好ましくはセキュアに）送信されて記録される。より具体的には、そのような鍵が、エンティティＥｉの構成要素であるセキュアなデバイス１ｉに保存される。
【００５９】
暗号化された制御語を生成するために、サーバ３は、この語をｃ＝（ｓ，ｈ１／Ｑ（γ））のように２つの成分の結果として生成し、ここで
【００６０】
【数４】
0005602955.tif 000005
であり、ｓはＺｐ＊のｄｓ個の要素のベクトルである。ベクトルｓを、
【００６１】
【数５】
0005602955.tif 000006
と表わすことができる。
【００６２】
暗号化された制御語ｃを受信すると、処理エンティティＥｉは、制御語の平文を生成するステップを実行する。このステップは、ｋ＝ｅ（ｇ，ｈ）１／（γ＋ｓ）という値を持つはずである制御語ｋを取り出すことを目的とする。
【００６３】
このステップは、
【００６４】
【数６】
0005602955.tif 000007
のようにｋを生成することからなる。
【００６５】
計算の要素α、ξ、およびθは、
【００６６】
【数７】
0005602955.tif 000008
のようであり、
【００６７】
【数８】
0005602955.tif 000009
は、多項式Ｑを法とする多項式Ｐの逆を指す表記であり、
【００６８】
【数９】
0005602955.tif 000010
は、多項式
【００６９】
【数１０】
0005602955.tif 000011
の０次の項を指している。
【００７０】
θが、ＰおよびＱの係数から計算することができる定数であり、値ξおよびα（γに関する多項式である）が、制御語の平文を生成するための計算において不要であることを、見て取ることができる。実際、ｇγおよびｈγ（公開パラメータに含まれる）の連続する累乗の組み合わせが、ｇおよびｈの指数に関する所望の多項式を再構成することに使用され、制御語の平文の生成を可能にするｇαおよびｈξが得られる。
【００７１】
要素α、ξ、およびθを、以下のように表わすこともできる。
【００７２】
【数１１】
0005602955.tif 000012
ここで、
【００７３】
【数１２】
0005602955.tif 000013
であり、
【００７４】
【数１３】
0005602955.tif 000014
であり、
【００７５】
【数１４】
0005602955.tif 000015
であり、ｍ＝１，．．．，ｄｘについて
【００７６】
【数１５】
0005602955.tif 000016
である。
【００７７】
この第１の実施の形態において、復号鍵ＤＫｉのサイズは、ｄｘにおいて線形である。暗号文のサイズに関しては、ｄｓにおいて線形である。
【００７８】
この第１の実施の形態の変種において、暗号文ｃおよび秘密の復号鍵ＤＫｉのサイズを小さくすることが可能である。実際、第一に、ベクトル
【００７９】
【数１６】
0005602955.tif 000017
を、種μｉからサーバ３によって鍵ＤＫｉを生成する際に、生成することができる。したがって、この種が、ＤＫｉ＝（μｉ，Ａｉ）のように秘密鍵の成分である。相互的に、ベクトルｘ（ｉ）を、制御語の復号の際に前記種を使用して処理エンティティによって回復することができる。さらに、ベクトル
【００８０】
【数１７】
0005602955.tif 000018
を、種ηからのサーバ３による暗号文ｃの生成の際に生成することができる。したがって、この種が、ｃ＝（η，ｈ１／Ｑ（γ））のように暗号文の成分である。相互的に、ベクトルｓを、制御語の復号の際に前記種ηを使用して処理エンティティによって回復することができる。
【００８１】
この変種においては、復号鍵ＤＫｉおよび暗号文のサイズが、一定になる。
【００８２】
第２の実施の形態においては、選択された、バイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））ならびにセキュリティパラメータｄｘおよびｄｓについて、マスター秘密鍵ＭＫが、γおよびｇでＭＫ＝（γ，ｇ）のように構成される。γは、素数ｐを法とする非ゼロの整数の集合Ｚｐ＊に属する秘密の値である。ｇは、グループＧ１の生成元である。ｇの値を、好都合には無作為に選択することができる。同様に、グループＧ２の生成元ｈも、無作為に選択され得る。好都合には、ｖ＝ｅ（ｇ，ｈ）を計算でき、値ｖを鍵ＭＫの成分γおよびｇに関連づけることができる。
【００８３】
公開パラメータは、βである。
【００８４】
これらの計算および無作為選択のすべてを、サーバ３によって実行でき、あるいはこの目的のための専用の別のサーバによって実行し、入手することができる。
【００８５】
この第２の実施の形態によれば、復号鍵を生成するステップが、ＤＫｉ＝（Ａｉ，Ｂ（ｉ））のように２つの成分の結果として前記鍵を生成することからなり、ここで
【００８６】
【数１８】
0005602955.tif 000019
であり、ｄｘ個の要素のベクトルＢ（ｉ）は
【００８７】
【数１９】
0005602955.tif 000020
のようである。
【００８８】
したがって、新たなユーザまたは契約者ｉの契約時に、一意の専用の鍵ＤＫｉが生成され、次いで制御語の生成にこの鍵を利用する処理エンティティＥｉへと（好ましくはセキュアに）送信されて保存される。より具体的には、そのような鍵が、エンティティＥｉの構成要素であるセキュアなデバイス１ｉに保存される。
【００８９】
暗号化された制御語を生成するために、サーバ３は、ｃ＝（Ｗ１，Ｗ２，ｓ，Ｕ）のように４つの成分の結果として暗号化された制御語を生成する。ここで、
【００９０】
【数２０】
0005602955.tif 000021
（ｄｓ個の値のベクトル）である。ベクトルＵは、
【００９１】
【数２１】
0005602955.tif 000022
のようである。成分
【００９２】
【数２２】
0005602955.tif 000023
は整数である。
【００９３】
暗号化された制御語ｃを受信すると、処理エンティティＥｉは、この制御語の平文を生成するステップを実行する。このステップの目的は、
【００９４】
【数２３】
0005602955.tif 000024
（ｍは前もって選択された整数）となるべき値を有する制御語ｋを取り出すことである。このステップは、ｋを
【００９５】
【数２４】
0005602955.tif 000025
のように計算することからなり、ここで
【００９６】
【数２５】
0005602955.tif 000026
である。
【００９７】
この第２の実施の形態によれば、復号鍵ＤＫｉのサイズは、ｄｘに関して線形である。暗号文のサイズは、ｄｓに関して線形である。
【００９８】
とくに有利な選択は、共謀の数ｔが（ｄｘ＋ｄｓ）に関する指数関数であるようにｄｓおよびｄｘを決定することであるかもしれない。
【００９９】
第１または第２のどちらの実施の形態においても、鍵ＤＫｉの成分Ａｉがセキュアなストレージによって各々の処理ユニットに保存されることが、きわめて好都合である。これは、処理ユニットがセキュアなデバイスを備える場合にとくに関係がある。この場合、システムのロバストさを保証するために、少なくとも前記成分Ａｉ、あるいは鍵ＤＫｉの全体をセキュアなデバイスに保存すれば充分である。成分Ａｉだけを保存することで、システムをロバストにするために必要な安全なストレージの容量を減らすことができる。
【０１００】
例として、復号鍵を検出する追跡者の能力を説明するために、追跡方法を以下に示す。この方法を説明するために、すでに使用した表記ｅ（Ｕ，Ｖ）と同等のそのような結合（または、ペアリング）を表わすために〈Ｕ，Ｖ〉のような表記を使用する。追跡者が著作権侵害のデコーダを回収できたと考える。追跡者は、このデコーダを解析することによって、著作権侵害のソフトウェアを得ることができ、ホワイトボックス型の追跡方法を実行することができる。
【０１０１】
第１のステップにおいて、著作権侵害のデコーダが、一連の一定形式の命令として解釈される。各々の命令は、リファレンス演算、１つ以上の入力変数、および１つの出力変数で構成される。一般に、リファレンス演算として知られる演算は、辞書（命令セット）に列挙され、算術または論理演算、条件付きジャンプをするか否か、サブプログラムの呼び出しなど、さまざまな種類であってよい。
【０１０２】
したがって、伝統的な抽象解釈のこの段階において、デコーダは、一連の命令の形態に書き直され、とりわけ本発明による暗号化方法によって実行される双線形システム（ｐ，Ｇ１，Ｇ２，ＧＴ）に関する演算が重要である。
【０１０３】
・Ｇ１における乗算Ｔ＝Ｕ・Ｕ’の演算
・Ｇ２における乗算Ｓ＝Ｖ・Ｖ’の演算
・Ｇ１における累乗Ｕ＝Ｔａの演算
・Ｇ２における累乗Ｖ＝Ｓｂの演算
・Ｇ１×Ｇ２→ＧＴの双線形結合α＝〈Ｕ，Ｖ〉（ペアリングと呼ばれる）の演算
・ＧＴにおける乗算γ＝α・βの演算
・ＧＴにおける累乗β＝αｃの演算
これらの演算が代数的と呼ばれる一方で、他のすべては、関連演算に分類される。解釈のこの同じ段階において、各々の命令の入力および出力変数が、ＳＳＡ（静的単一代入）として知られるやり方で記述される。これにより、正式の実行時に操作される任意の変数の計算グラフを著作権侵害のデコーダのこの表現から容易に導き出すことができる。命令の入力変数は、以下の４つの種類だけである。
【０１０４】
１．出発プログラムに属する一定の変数、
２．中間媒介変数、
３．暗号文の一部を表わすプログラムの入力変数、または
４．デコーダプログラムの外部のランダム源の呼び出しからもたらされるランダム変数。
【０１０５】
プログラムの出力変数が、データｋを表わし、ＧＴにおける出力値の計算グラフからもたらされる。
【０１０６】
特殊化として知られる第２のステップにおいて、書き直されたプログラムが、後の裏切り者の特定に適するようにするために修正される。プログラムを書き直すことによって、出力変数ｋの計算グラフに参加しないすべての命令（グラフに関係しない命令）を取り除くことができる。次いで、プログラムのすべての入力変数（種類３および４の入力変数）を、プログラムが正しく復号を行なうことができる一定の値に設定しようと試みる必要がある。
【０１０７】
この一定の値の捜索を、ランダムかつ完全に行なうことができ、最初に与えられたデコーダが充分に機能する（すなわち、平均で事例のかなりの部分において復号を行なう）場合には、この捜索の工程は、数回の試行で迅速に完了される。
【０１０８】
値が適切である場合、プログラムの対応する変数がそれらで置き換えられ、このプログラムが常に同じやり方で動作する。したがって、成功した実施の例が、定数にもとづいて実行される命令だけで構成された新たなプログラムによって例示される。
【０１０９】
追跡のプロセスは、今やジャンプのないただ１つの一連の命令を得ることによってプログラムを簡単化するステップを含む：
・定数の伝播が、入力変数がすべて定数であるすべての二次的な命令を取り除くために実行される。したがって、この変換は、代数的演算を排除する。
【０１１０】
・その実行が同語反復的である命令が除去される：
・条件付きジャンプが、除去されるか、あるいは条件付きでないジャンプで置き換えられる。
【０１１１】
・関数の呼び出しが、呼び出される関数の本体のコピーによって置き換えられる。
【０１１２】
・不必要な命令または効力のないコードが除去される。
【０１１３】
このステップの終わりにおいて、条件付きでないジャンプは、連続的な命令の連なりを時系列的な実行の順序で縦に並べることによって削除される。結果として、プログラムが、制御の流れの存在しない一連の順次的な代数的命令になる。
【０１１４】
この時点で、いくつかの変換が、誘導的かつ同時的なやり方で、得られたプログラムへと適用される。この目的のため、以下が導入される。
【０１１５】
・Ｇｉ（ｉ∈｛１，２，Ｔ｝）におけるｕａの計算を表わす一定形式の命令ｅｘｐоｉ（ｕ，ａ）
・〈Ｕ，Ｖ〉ａの計算を表わす拡張「ペアリング」〈Ｕ，Ｖ；ａ〉の一定形式の命令。
【０１１６】
次いで、プログラムが安定になるまで、以下の代数的な単純化が、誘導的かつ同時的なやり方で実行される。
【０１１７】
・各々の累乗の命令ｕａが、適切なｉ∈｛１，２，Ｔ｝のｅｘｐоｉ（ｕ，ａ）によって置き換えられる。
【０１１８】
・各々の変数ｕが、適切なｉ∈｛１，２，Ｔ｝のｅｘｐоｉ（ｕ，１）によって置き換えられる。
【０１１９】
・種類ｅｘｐоｉ（ｕ・ｖ，ａ）の命令の各々の組み合わせが、ｅｘｐоｉ（ｕ，ａ）・ｅｘｐоｉ（ｖ，ａ）によって置き換えられる。
【０１２０】
・種類ｅｘｐоｉ（ｕ，ａ）・ｅｘｐоｉ（ｕ，ｂ）の命令の各々の組み合わせが、ｅｘｐоｉ（ｕ，ａ＋ｂ ｍоｄ ｐ）によって置き換えられる。
【０１２１】
・種類ｅｘｐоｉ（ｅｘｐоｉ（ｕ，ａ），ｂ）の命令の各々の組み合わせが、ｅｘｐоｉ（ｕ，ａｂ ｍоｄ ｐ）によって置き換えられる。
【０１２２】
・各々の「ペアリング」命令〈Ｕ，Ｖ〉が、〈Ｕ，Ｖ；１〉によって置き換えられる。
【０１２３】
・種類〈Ｕ・Ｕ’，Ｖ；ａ〉の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａ〉・〈Ｕ’，Ｖ；ａ〉によって置き換えられる。
【０１２４】
・種類〈Ｕ，Ｖ・Ｖ’；ａ〉の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａ〉・〈Ｕ，Ｖ’；ａ〉によって置き換えられる。
【０１２５】
・種類〈ｅｘｐо１（Ｕ，ａ），Ｖ；ｂ〉の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａｂｍоｄ ｐ〉によって置き換えられる。
【０１２６】
・種類〈Ｕ，ｅｘｐо２（Ｖ，ａ）；ｂ〉の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａｂｍоｄ ｐ〉によって置き換えられる。
【０１２７】
・種類〈Ｕ，Ｖ；ａ〉・〈Ｕ，Ｖ；ｂ〉の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａ＋ｂ ｍоｄ ｐ〉によって置き換えられる。
【０１２８】
・種類ｅｘｐоＴ（〈Ｕ，Ｖ；ａ〉，ｂ）の命令の各々の組み合わせが、〈Ｕ，Ｖ；ａｂｍоｄ ｐ〉によって置き換えられる。
【０１２９】
・ｅｘｐоｉ（ｕ，０）が１によって置き換えられ、〈Ｕ，Ｖ；０〉が１によって置き換えられ、１・ｕがｕによって置き換えられる。
【０１３０】
したがって、この単純化のステップの終わりに、ｋ∈ＧＴの計算を、積ｋ＝ｋ１・ｋ２の結果として表わすことができ、ここで
・ｋ１は、ｉ＝１，．．．，ｎについての入力（Ｕｉ，Ｖｉ，ａｉ）が、ｉ≠ｊについて（Ｕｉ，Ｖｉ）≠（Ｕｊ，Ｖｊ）のような、２つの点ＵｉおよびＶｉならびにｐを法とする整数ａｉで構成されるｎ個の拡張「ペアリング」の積である。変数Ｕｉ、Ｖｉ、およびａｉは、特殊化のステップゆえに一定の値である。各々の変数Ｕｉ、Ｖｉは、必然的に、プログラムに保存された定数または初めに与えられた暗号文の一部である入力変数である。
【０１３１】
・ｋ２は、ＧＴのｍ個の要素の積、すなわちｋ２＝ｅｘｐоＴ（α１，ｂ１）…ｅｘｐоＴ（αｍ，ｂｍ）であり、ここで、１≦ｉ≠ｊ≦ｍについてαｉ≠αｊである。各々の変数αｉは、必然的に、プログラムに保存された定数または暗号文の一部である。
【０１３２】
第３のステップにおいて、最初に与えられた暗号文ｃの各々の代数的要素に対応する係数が特定される。
【０１３３】
より具体的には、最初に与えられた暗号文が、
【０１３４】
【数２６】
0005602955.tif 000027
を含む場合には、
・あらゆるｕｉ，ｊ∈［１，ｒ１］について、ｕｊ＝Ｕｉのようなすべての値ａｉが集められ、
【０１３５】
【数２７】
0005602955.tif 000028
は暗号文の要素でなく、したがってベクトル
【０１３６】
【数２８】
0005602955.tif 000029
が形成され、
・あらゆるｖｉ，ｊ∈［１，ｒ２］について、ｖｊ＝Ｖｉのようなすべての値ａｉが集められ、
【０１３７】
【数２９】
0005602955.tif 000030
は暗号文の要素でなく、したがってベクトル
【０１３８】
【数３０】
0005602955.tif 000031
が形成され、
・あらゆるｗｉ，ｊ∈［１，ｒＴ］について、ｗｊ＝αｉのようなｃоｅｆ（ｗｊ）＝ｂｉが集められ、
・各ペア（ｕｌ，ｖｌ），（ｌ，ｊ）∈［１，ｒ１］×［１，ｒ２］について、（ｕｌ，ｖｌ）＝（Ｕｉ，Ｖｉ）であるｃоｅｆ（ｕｌ，ｖｊ）＝ａｉが集められる。
【０１３９】
これらの識別ステップの各々において、係数は、対応する指数ｉを見つけることができない場合には、初期値によって０に設定される。
【０１４０】
次に、｛ｃоｅｆ（ｕｉ），ｃоｅｆ（ｖｊ），ｃоｅｆ（ｗε），ｃоｅｆ（ｕｉ，ｖｊ）｝の値に注目する。本発明の数学的特性は、これらの値が、信用できなくなった鍵を構成している要素ｘ１，．．．，ｘε∈Ｚｐおよび最初に与えられた暗号文ｃを構成している固定のパラメータｓ１，．．．，ｓｌ∈Ｚｐに関係する前もって知られた関数であることを保証する。
【０１４１】
これは、多変数の方程式系を形成する。
【０１４２】
【数３１】
0005602955.tif 000032
これらの係数の数値、固定のパラメータｓｊ、および関数ｆｉ、ｇｊ、ｈε、ｑａ，ｂを知ることで、系を逆に解き、信用できなくなった鍵のうちの１つを構成する要素ｘ１，．．．，ｘεの少なくとも１つを回収することができ、したがってこの鍵を完全に特定することができる。このステップは、ε≦Ｂ（ｒ１，ｒ２，ｒＴ）を有することを要求してもよく、ここでＢ（ｒ１，ｒ２，ｒＴ）は、本発明の実施の形態に依存する端末である。関数ｆｉ、ｇｊ、ｈε、ｑａ，ｂも、本発明の実施の形態に依存する。
【０１４３】
例として、上述の第２の実施の形態の文脈において実行する場合、あらゆる復号プログラムは、１名（または、２名以上）のユーザｉのベクトルｘ（ｉ）をマスクされた形態またはマスクされていない形態で示す。したがって、追跡者は、１名以上のユーザへと配布されたｘ（ｉ）へのアクセスを有し、したがってそれらのユーザが裏切り者として特定される。
【０１４４】
さらに、本発明によれば、例えば裏切り者として特定された場合や、任意の他の理由によって、処理エンティティを無効にすることができ、したがってこのエンティティが例えば符号化されたコンテンツの復号を可能にするための有効な制御語を生成することを、阻止することができる。
【０１４５】
本発明によれば、一時的な無効化または恒久的な無効化という２種類の無効化を実現することができる。
【０１４６】
一時的な無効化によれば、１つ以上の危険なエンティティについて、さらなる有効な制御語の生成が一時的に不可能にされる。恒久的な無効化は、そのような生成を阻止する。
【０１４７】
この変種を説明するために、例として、本発明に一致した第２の実施の形態にもとづくセキュアな方法についてなされる調整を説明する。
【０１４８】
同様の調整を、本発明に一致した他の方法についても同様に行なうことができる。
【０１４９】
恒久的な無効化を実現するために、本発明は、上述した方法に２つの追加のステップをもたらす。第１のステップは、すべての処理エンティティへと送信される無効化データＤＲを生成することである。これらのデータは、１つ以上の危険なエンティティからなる集合Ｒの除外を定義するために使用される。第２の追加のステップは、Ｒに属さないエンティティの復号鍵ＤＫｉを、有効な制御語の生成を続けることができるように更新することである。
【０１５０】
危険なエンティティが、エンティティＥ１〜Ｅｒ（または、セキュアな契約者デバイス１１〜１ｒ）であるとする。そのようなエンティティに、１〜ｒの番号を与える。無効化データＤＲを定義するための第１のステップは、この例によればＤＲ＝（Ｒ１，．．．，Ｒｒ）を計算することからなり、例えばｊ＝１などのｊ∈［１，ｄｘ］の値について、
【０１５１】
【数３２】
0005602955.tif 000033
である。次いで、生成元の値ｈが、Ｒｒの値をとるように
【０１５２】
【数３３】
0005602955.tif 000034
と変更される。次いで、無効化データＤＲ＝（Ｒ１，．．．，Ｒｒ）がすべてのエンティティへと配布される。
【０１５３】
そこで、第２の追加のステップは、Ｒに属さないエンティティの復号鍵ＤＫｉを、有効な制御語の生成を続けることができるように、変更することからなる。ＤＲから生成された、ｉ番目のユーザまたは契約者に対応する鍵ＤＫｉ，Ｒは、ＤＫｉ，Ｒ＝（Ａｉ，Ｂ（ｉ，Ｒ））のようであるｄｘ個の要素からなるベクトル
【０１５４】
【数３４】
0005602955.tif 000035
は、例えばｗ＝１などのｗ∈［１，ｄｘ］の値について、
【０１５５】
【数３５】
0005602955.tif 000036
のようになる。
【０１５６】
新たな値ＤＫｉ，Ｒの計算を、本発明に従って各々の処理エンティティによって実行することができる。あるいは、この計算を、第三者のエンティティによって実行することができる。前記鍵を更新するための任意の他の手順も使用することができる。
【０１５７】
代案として、本発明によれば、無効化データを、暗号化された制御語と併せて、処理エンティティへと送信することができる。したがって、前記データを専用のモードで送信する必要がない。それらは、制御語の送信のために本発明によってもたらされる方法の第２の実施の形態に従い、ｃ＝（Ｗ１，Ｗ２，ｓ，Ｕ，ＤＲ）のように暗号文の一体部分であってよい。
【０１５８】
さらに、復号鍵の変更ＤＫｉ←ＤＫｉ，Ｒを、制御語を生成するステップの直前に処理エンティティによって実行してもよい。
【０１５９】
恒久的な無効化を実行するために、鍵ＤＫｉを生成するためにサーバによって実行されるステップ、ならびに、制御語ｋの平文を生成するためにエンティティによって実行されるステップが、不変であることを見て取ることができる。さらに、暗号文を生成するための生成元ｈが、もはや固定ではない。実際、ｈは無効にされたすべてのエンティティに依存する。復号鍵も、平文ｋを生成するときにもはや固定ではない。
【０１６０】
さらに本発明は、一時的な無効化を実現するように本発明に一致する方法を調整する。上述のように、この特徴を説明するために、本発明による方法の第２の実施の形態の例を使用する。同様に、危険なエンティティが、１〜ｒまでの番号のエンティティＥ１〜Ｅｒ（または、セキュアな契約者デバイス１１〜１ｒ）であるとする。
【０１６１】
第１の追加のステップは、恒久的な無効化とちょうど同じように、無効化データＤＲをＤＲ＝（Ｒ１，．．．，Ｒｒ）のように計算することからなり、例えばｊ＝１などのｊ∈［１，ｄｘ］の値について
【０１６２】
【数３６】
0005602955.tif 000037
である。次いで、生成元ｈの値が、Ｒｒの値をとるように
【０１６３】
【数３７】
0005602955.tif 000038
と変更される。
【０１６４】
サーバが、暗号化された制御語を、ｃ＝（Ｗ１，Ｗ２，ｓ，Ｕ，ＤＲ，ｘｊ（１），．．．，ｘｊ（ｒ））のような成分の結果として生成する。最初の４つの成分Ｗ１、Ｗ２、ｓ、およびＵは、（ｈがｈ←Ｒｒのように前もって変更されているという違いがあるが）典型的に生成される。
【０１６５】
【数３８】
0005602955.tif 000039
は、
【０１６６】
【数３９】
0005602955.tif 000040
のようなｄｓ個の値のベクトルであり、Ｗ１＝（ｇγ）ｍであり、
【０１６７】
【数４０】
0005602955.tif 000041
であり、ｍは整数である。暗号文は、ＤＲおよび選択されたｊの値についてのｘｊ（１），．．．，ｘｊ（ｒ）をさらに含む。
【０１６８】
暗号化された制御語ｃを受信すると、処理エンティティＥｉは、この制御語の平文を生成するステップを実行する。
【０１６９】
このステップは、ｋを
【０１７０】
【数４１】
0005602955.tif 000042
のように計算するように調整され、ここで
【０１７１】
【数４２】
0005602955.tif 000043
である。
【０１７２】
一時的な無効化を実行するために、鍵ＤＫｉを生成するためのステップが不変であることを見て取ることができる。生成元ｈが、無効にされたすべてのエンティティに依存するため、もはや固定ではない。単純に、暗号文の生成の前に前記生成元を割り当てた後で暗号文を生成するステップが行なわれる。制御語の平文ｋの生成が、一時的な無効化を実現するように構成される。
【０１７３】
本発明を、好ましい適用の例として、保護されたコンテンツの限定受信の分野に関連して説明した。本発明は、複数の処理エンティティへと、そのようなエンティティによって使用される平文に係る暗号文を送信する必要がある他の分野にも適用可能である。
【図１】
0005602955.tif 000061
【図２】
0005602955.tif 000062
【図３】
0005602955.tif 000063