(57)【要約】【課題】  ネットワークに接続されたどのコンテンツ受信装置においても、コンテンツを受信し視聴することができ、さらに、コンテンツの利用回数を制限し、鍵漏洩に対する被害を最小限に食い止めることが可能なセキュリティモジュールを提供する。【解決手段】  セキュリティモジュール６０は、電子認証方式における利用者に固有のグループ署名鍵と、一時的に生成される一時グループ署名鍵を生成するための前記利用者に固有の秘密情報とを記憶した秘密情報記憶手段６１と、秘密情報に基づいて、認証情報の一部となる一時グループ署名鍵を生成する一時グループ署名鍵生成手段６２と、グループ署名鍵の対となる検証鍵と、認証情報の一部となるトークン生成用乱数と、利用者に固有の識別情報とに基づいて、認証情報の一部となるトークンを生成するトークン生成手段６３とを備えていることを特徴とする。【選択図】      図６
2006203819.tif 000002
【特許請求の範囲】
【請求項１】
限定受信方式によりコンテンツを受信するコンテンツ受信装置に供され、他のコンテンツ受信装置において、前記コンテンツを受信するための利用者認証に用いられる認証情報を生成するセキュリティモジュールであって、
電子認証方式におけるグループ署名鍵と、一時的に生成される一時グループ署名鍵を生成するための情報である署名鍵生成情報とを、利用者に固有の秘密情報として記憶した秘密情報記憶手段と、
この秘密情報記憶手段に記憶されている署名鍵生成情報に基づいて、前記認証情報の一部となる前記一時グループ署名鍵を生成する一時グループ署名鍵生成手段と、
前記グループ署名鍵の対となる検証鍵と、前記認証情報の一部となる擬似乱数であるトークン生成用乱数と、利用者に固有の識別情報とに基づいて、前記利用者の権限を示す情報であって、前記認証情報の一部となるトークンを生成するトークン生成手段と、
を備えていることを特徴とするセキュリティモジュール。
【請求項２】
前記一時グループ署名鍵生成手段は、前記署名鍵生成情報と、過去に生成された一時グループ署名鍵とに基づいて、前記一時グループ署名鍵を更新して生成し直すことを特徴とする請求項１に記載のセキュリティモジュール。
【請求項３】
電子認証方式におけるグループ署名鍵と、一時的に生成される一時グループ署名鍵を生成するための情報である署名鍵生成情報とを、利用者に固有の秘密情報として記憶した秘密情報記憶手段と、この秘密情報記憶手段に記憶されている署名鍵生成情報に基づいて、前記認証情報の一部となる前記一時グループ署名鍵を生成する一時グループ署名鍵生成手段と、前記グループ署名鍵の対となる検証鍵と、前記認証情報の一部となる擬似乱数であるトークン生成用乱数と、利用者に固有の識別情報とに基づいて、前記利用者の権限を示す情報であって、前記認証情報の一部となるトークンを生成するトークン生成手段とを備えたセキュリティモジュールを使用して、限定受信方式によりコンテンツを受信するコンテンツ受信装置であって、
前記セキュリティモジュールで生成される前記認証情報を、外部に出力する認証情報出力手段を備えていることを特徴とするコンテンツ受信装置。
【請求項４】
前記秘密情報記憶手段には、前記認証情報を一度に発行する最大回数が記憶されており、
前記認証情報出力手段は、前記最大回数を限度として、前記認証情報を外部の記録媒体に出力することを特徴とする請求項３に記載のコンテンツ受信装置。
【請求項５】
限定受信方式によりコンテンツを受信するコンテンツ受信装置において、請求項１又は請求項２に記載のセキュリティモジュールを備えた他のコンテンツ受信装置から出力された認証情報を用いて、前記コンテンツを受信するための契約情報を生成する契約情報生成装置であって、
コンテンツの配信要求に対してコンテンツ配信側から配信される、トークンを検証するための擬似乱数であるトークンチャレンジを受信するトークンチャレンジ受信手段と、
このトークンチャレンジ受信手段で受信したトークンチャレンジと、前記認証情報の一部であるトークン生成用乱数とに基づいて、前記トークンの検証用の情報であるトークンアンサを生成するトークンアンサ生成手段と、
前記認証情報の一部であるトークンに、前記認証情報の一部である一時グループ署名鍵を用いてグループ署名を付加し、前記トークンアンサを合成することで前記契約情報を生成する合成手段と、
を備えていることを特徴とする契約情報生成装置。
【請求項６】
前記合成手段は、前記トークンに加え、コンテンツの料金を示すコンテンツ料金情報に対して、前記認証情報の一部である一時グループ署名鍵を用いてグループ署名を付加し、前記トークンアンサを合成することで前記契約情報を生成することを特徴とする請求項５に記載の契約情報生成装置。
【請求項７】
限定受信方式によりコンテンツを受信するコンテンツ受信装置において、
請求項１又は請求項２に記載のセキュリティモジュールを備えた他のコンテンツ受信装置から出力された認証情報を入力する認証情報入力手段と、
この認証情報入力手段で入力された認証情報を用いて、前記コンテンツを受信するための契約情報を生成する請求項５に記載の契約情報生成装置と、
を備えていることを特徴とするコンテンツ受信装置。
【請求項８】
コンテンツ配信側に配置され、請求項５に記載の契約情報生成装置で生成された契約情報を検証する契約情報検証装置であって、
コンテンツ受信側から送信されるコンテンツの配信要求に対して、前記コンテンツの利用者の権限を示す情報であるトークンを検証するための擬似乱数であるトークンチャレンジを選択するトークンチャレンジ選択手段と、
このトークンチャレンジ選択手段で選択されたトークンチャレンジを、前記コンテンツ受信側に送信するトークンチャレンジ送信手段と、
このトークンチャレンジに応答する前記契約情報を受信する契約情報受信手段と、
この契約情報受信手段で受信した契約情報に付加されているグループ署名を、前記利用者に固有のグループ署名鍵の対となる検証鍵に基づいて検証するグループ署名検証手段と、
前記契約情報に含まれているトークンを、当該契約情報に含まれているトークンアンサと前記トークンチャレンジとに基づいて検証するトークン検証手段と、
を備えていることを特徴とする契約情報検証装置。
【請求項９】
請求項１又は請求項２に記載のセキュリティモジュールに記憶される秘密情報と、この秘密情報に対応した公開情報とを生成するグループ署名鍵生成装置であって、
電子認証方式におけるグループ署名検証鍵を、前記公開情報として生成するグループ署名検証鍵生成手段と、
このグループ署名検証鍵の対となるグループ署名鍵を生成するための多項式であるグループ署名鍵生成用多項式を生成するグループ署名鍵生成用多項式生成手段と、
前記グループ署名検証鍵生成手段で前記グループ署名検証鍵を生成する際に使用された情報と、利用者に固有の情報とに基づいて、前記利用者に固有のグループ署名鍵を、前記秘密情報の一部として生成するグループ署名鍵生成手段と、
このグループ署名鍵生成手段で前記グループ署名を生成する際に使用された情報と、前記利用者に固有の情報とに基づいて、一時的に生成される一時グループ署名鍵を生成するための情報である署名鍵生成情報を、前記秘密情報の一部として生成する署名鍵生成情報生成手段と、
を備えていることを特徴とするグループ署名鍵生成装置。
【請求項１０】
セキュリティモジュールを備えた、限定受信方式によりコンテンツを受信する第１のコンテンツ受信装置で受信可能なコンテンツを、第２のコンテンツ受信装置で受信可能にするための契約情報を、コンテンツ配信側の契約情報検証装置において検証を行う契約情報検証方法であって、
前記第１のコンテンツ受信装置に備えられたセキュリティモジュールにおいて、
利用者に固有の秘密情報に基づいて、一時グループ署名鍵を生成するとともに、前記利用者に固有のグループ署名鍵の対となる検証鍵を生成するための公開情報と、擬似乱数であるトークン生成用乱数とに基づいて、前記利用者の権限を示す情報であるトークンを生成する認証情報生成ステップと、
前記契約情報検証装置において、
前記第２のコンテンツ受信装置から送信されるコンテンツの配信要求に対して、前記トークンを検証するための擬似乱数であるトークンチャレンジを選択し、前記第２のコンテンツ受信装置に送信するトークチャレンジ選択ステップと、
前記第２のコンテンツ受信装置において、
前記トークンチャレンジを受信し、当該トークンチャレンジと、前記トークン生成用乱数とに基づいて、前記トークンの検証用の情報であるトークンアンサを生成するトークンアンサ生成ステップと、
このトークンアンサ生成ステップで生成されたトークンアンサと、前記トークンとに対して、前記一時グループ署名鍵を用いてグループ署名を付加することで契約情報を生成し、前記契約情報検証装置に送信する契約情報生成ステップと、
前記契約情報検証装置において、
前記契約情報を受信し、当該契約情報に付加されているグループ署名を、前記利用者に固有のグループ署名鍵の対となる検証鍵に基づいて検証するとともに、前記契約情報に含まれているトークンを、当該契約情報に含まれているトークンアンサと前記トークンチャレンジとに基づいて検証する検証ステップと、
を含んでいることを特徴とする契約情報検証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、限定受信方式において、正規の利用者であれば、ネットワークに接続されたどのコンテンツ受信装置においても、コンテンツを受信し視聴（利用）することが可能なセキュリティモジュール、コンテンツ受信装置、契約情報生成装置及び契約情報検証装置、並びに、契約情報検証方法に関する。
【背景技術】
【０００２】
近年、インターネット（ネットワーク）上で、映像、音声等のコンテンツを配信するようになっており、この場合、コンテンツの著作権の保護、課金等を行うために、コンテンツを暗号化して配信するのが一般的である。
なお、コンテンツは一般的にサイズが大きいため、一旦、共通鍵暗号方式により暗号化が行われ、さらに、その共通鍵暗号方式で使用した暗号化鍵は、公開鍵暗号方式により暗号化が行われる。この暗号化鍵の暗号化は、利用者固有の公開鍵が使用される。そして、暗号化されたコンテンツと、暗号化された暗号化鍵とが、各利用者のコンテンツ受信装置に配信される。
【０００３】
そして、利用者側のコンテンツ受信装置では、装置内に記憶されている秘密鍵を用いて、暗号化された暗号化鍵を復号する。この秘密鍵は、暗号化鍵を暗号化する際に使用された利用者固有の公開鍵とペアをなすものである。そして、コンテンツ受信装置では、この暗号化鍵を使用して、暗号化されたコンテンツを復号することで、利用者は、コンテンツを視聴することが可能になる。
このような、コンテンツの配信形態においては、利用者がコンテンツを視聴する場所（コンテンツ受信装置）は固定されている。この場合、利用者の秘密鍵は、耐タンパ性を有するデバイス、例えばＩＣカード等のセキュリティモジュールを用いて、安全に管理されている。このセキュリティモジュールを用いることで、コンテンツ受信装置は、秘密鍵の漏洩を防ぎ、その結果として、コンテンツの著作権の保護を行っている。
【０００４】
また、コンテンツの他の配信形態として、インターネットに接続可能な場所であれば、どこでもコンテンツの配信サービスを享受する形態が考えられている。このような配信サービスを享受するには、利用者は秘密鍵を持ち歩く必要がある。この場合、耐タンパ性を有するデバイスに秘密鍵を記憶した状態で、そのデバイスを持ち歩くことも考えられるが、耐タンパ性デバイスは一般に高価であり、破損、損失等による損害が大きくなる。
そこで、フラッシュメモリ等の汎用のデバイスに秘密鍵を記憶して、そのデバイスを持ち歩くことで、インターネットに接続可能な場所であれば、どこでもコンテンツの配信サービスを享受することができる手法が提案されている（非特許文献１参照）。
【０００５】
この手法では、予め配信するコンテンツに番号を振っておき、その番号を用いてコンテンツの公開鍵暗号化を行う。この公開鍵暗号化における利用者の秘密鍵は、コンテンツの番号と、利用者が所有するマスタ鍵とを使用して生成される。
この場合、コンテンツの番号が一致する秘密鍵を使えば、コンテンツを復号することが可能であるが、番号が異なる他のコンテンツを復号することはできない。
【０００６】
そこで、利用者はコンテンツを視聴する場合、コンテンツ受信装置において、コンテンツの番号に対応する秘密鍵を事前に生成しておく。そして、その秘密鍵を汎用の記憶デバイスに記憶し、利用者がその記憶デバイスを用いることで、インターネットに接続可能な場所であれば、どこでもコンテンツの配信サービスを享受することができる。
また、例えば、利用者が出張に出かけ、長期間、出張先（利用者に固定されたコンテンツ受信装置以外の装置）で配信サービスを享受するためには、予め複数の秘密鍵を生成し、汎用の記憶デバイスに記憶しておくことで、利用者は、他のコンテンツ受信装置でも、コンテンツを視聴（利用）することができる。
【非特許文献１】“鍵漏洩耐性を有する不正者追跡法”、信学技報、Ｖｏｌ．１０４、Ｎｏ．１９９、ＩＳＥＣ２００４−３５、ｐｐ．１５１−１５８
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかし、従来の非特許文献１に記載の手法では、例えば、汎用のデバイスをどこかに置き忘れた場合、容易に秘密鍵が漏洩してしまうという問題がある。また、このデバイスは汎用であるがゆえに、秘密鍵のコピーを行うことが可能であり、デバイスに記憶されているすべての秘密鍵が漏洩してしまうという問題がある。
【０００８】
なお、従来の手法では、不正者追跡機能が付加されており、悪意を持った者が自分の秘密鍵のコピーを意図的に複数作成し、配布した場合、その秘密鍵を調べることで、悪意を持った者を特定することができ、不正利用者の発生を防止することが可能である。
しかし、悪意を持った者が、意図的に他人の秘密鍵のコピーを１つ取得するだけで、多くのコピーを作成し配布することも考えられる。この場合、有効期限内である秘密鍵、あるいは、あるコンテンツに対して有効な秘密鍵であれば、誰でもコンテンツを視聴（利用）できてしまうという問題がある。
【０００９】
本発明は、以上のような問題点に鑑みてなされたものであり、ネットワークに接続されたどのコンテンツ受信装置においても、コンテンツを受信し視聴（利用）することができ、さらに、コンテンツの利用回数を制限し、鍵漏洩に対する被害を最小限に食い止めることが可能なセキュリティモジュール、コンテンツ受信装置、契約情報生成装置及び契約情報検証装置、並びに、契約情報検証方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明は、前記目的を達成するために創案されたものであり、まず、請求項１に記載のセキュリティモジュールは、限定受信方式によりコンテンツを受信するコンテンツ受信装置に供され、他のコンテンツ受信装置において、前記コンテンツを受信するための利用者認証に用いられる認証情報を生成するセキュリティモジュールであって、秘密情報記憶手段と、一時グループ署名鍵生成手段と、トークン生成手段とを備える構成とした。
【００１１】
かかる構成によれば、セキュリティモジュールは、予め、電子認証方式におけるグループ署名鍵と、一時的に生成される一時グループ署名鍵を生成するための情報である署名鍵生成情報とを、利用者に固有の秘密情報として秘密情報記憶手段に記憶しておく。
この秘密情報記憶手段に記憶される秘密情報は、予め利用者の登録（ユーザ登録）を行うプロバイダによって記憶されるものである。また、この署名鍵生成情報は、グループ署名鍵を生成するためのグループ署名鍵生成用多項式であって、この署名鍵生成情報を用いることで、セキュリティモジュール内で、予め記憶されているグループ署名鍵以外に、一時的に利用者固有のグループ署名鍵を生成することが可能になる。
【００１２】
そして、セキュリティモジュールは、一時グループ署名鍵生成手段によって、秘密情報記憶手段に記憶されている署名鍵生成情報に基づいて、認証情報の一部となる一時グループ署名鍵を生成する。この一時グループ署名鍵は、予め秘密情報記憶手段に記憶されている秘密情報に基づいて生成されるため、利用者の正規のグループ署名鍵となり、利用者の認証情報として利用することができる。
また、セキュリティモジュールは、トークン生成手段によって、グループ署名鍵の対となる検証鍵（グループ署名検証鍵）と、認証情報の一部となるトークン生成用乱数（擬似乱数）と、利用者に固有の識別情報とに基づいて、利用者の権限を示す認証情報の一部となるトークンを生成する。
【００１３】
このトークンは、グループ署名検証鍵と利用者に固有の識別情報（例えば、ユーザＩＤ）とに基づいて生成されるため、利用者個人を認証することが可能になり、利用者の認証情報として利用することができる。さらに、トークンは、擬似乱数に基づいて生成されるため、当該セキュリティモジュール以外で生成することが困難な情報となる。
このように生成された認証情報を用いることで、セキュリティモジュールを備えたコンテンツ受信装置以外において、利用者を認証することが可能になる。
【００１４】
また、請求項２に記載のセキュリティモジュールは、前記一時グループ署名鍵生成手段が、前記署名鍵生成情報と、過去に生成された一時グループ署名鍵とに基づいて、前記一時グループ署名鍵を更新して生成し直すこととした。
【００１５】
かかる構成によれば、セキュリティモジュールは、一時グループ署名鍵生成手段において、一時グループ署名鍵を過去の（前回使用した）一時グループ署名鍵から生成する。すなわち、前回使用した一時グループ署名鍵が存在しない場合は、新たな一時グループ署名鍵を生成することができず、一時グループ署名鍵の正当性を高めることができる。
【００１６】
さらに、請求項３に記載のコンテンツ受信装置は、秘密情報記憶手段と、一時グループ署名鍵生成手段と、トークン生成手段とを備えたセキュリティモジュールを使用して、限定受信方式によりコンテンツを受信するコンテンツ受信装置であって、前記セキュリティモジュールで生成される認証情報を、外部に出力する認証情報出力手段を備える構成とした。
【００１７】
かかる構成によれば、コンテンツ受信装置は、電子認証方式における利用者に固有のグループ署名鍵と、一時的に生成される一時グループ署名鍵を生成するための利用者に固有の署名鍵生成情報とを記憶した秘密情報記憶手段と、秘密情報記憶手段に記憶されている署名鍵生成情報に基づいて、認証情報の一部となる一時グループ署名鍵を生成する一時グループ署名鍵生成手段と、グループ署名鍵の対となる検証鍵（グループ署名検証鍵）と、認証情報の一部となるトークン生成用乱数（擬似乱数）と、利用者に固有の識別情報とに基づいて、利用者の権限を示す認証情報の一部となるトークンを生成するトークン生成手段とを備えたセキュリティモジュールを備え、認証情報出力手段によって、セキュリティモジュールで生成される認証情報を外部に出力する。例えば、認証情報出力手段は、外部の記録媒体に認証情報を記録する。これによって、利用者は、その記録媒体を用いることで、他のコンテンツ受信装置において、利用者の認証を行うことが可能になる。
【００１８】
また、請求項４に記載のコンテンツ受信装置は、請求項３に記載のコンテンツ受信装置において、前記秘密情報記憶手段には、前記認証情報を一度に発行する最大回数が記憶されており、前記認証情報出力手段は、前記最大回数を限度として、前記認証情報を外部の記録媒体に出力することとした。
【００１９】
かかる構成によれば、コンテンツ受信装置は、記録媒体に記録される認証情報の個数を有限個に制限するため、例えば、第三者に認証情報が渡った場合でも、認証情報を無制限に使用されることがない。
【００２０】
さらに、請求項５に記載の契約情報生成装置は、限定受信方式によりコンテンツを受信するコンテンツ受信装置において、請求項１又は請求項２に記載のセキュリティモジュールを備えた他のコンテンツ受信装置から出力された認証情報を用いて、前記コンテンツを受信するための契約情報を生成する契約情報生成装置であって、トークンチャレンジ受信手段と、トークンアンサ生成手段と、合成手段とを備える構成とした。
【００２１】
かかる構成によれば、契約情報生成装置は、トークンチャレンジ受信手段によって、コンテンツの配信要求に対してコンテンツ配信側から配信される、トークンを検証するための擬似乱数であるトークンチャレンジを受信する。そして、トークンアンサ生成手段によって、トークンチャレンジ受信手段で受信したトークンチャレンジと、認証情報の一部であるトークン生成用乱数とに基づいて、トークンの検証用の情報であるトークンアンサを生成する。
【００２２】
そして、契約情報生成装置は、合成手段によって、一時グループ署名鍵を用いてトークンにグループ署名を付加し、トークンアンサを合成することで契約情報を生成する。なお、トークンアンサは、コンテンツ配信側から配信されるトークンチャレンジと、トークンを生成した際に使用したトークン生成用乱数とに基づいて生成されるため、コンテンツ配信側において、トークンアンサを検証することが可能になり、契約情報の正当性を判断することができる。
【００２３】
また、請求項６に記載の契約情報生成装置は、前記合成手段が、前記トークンに加え、コンテンツの料金を示すコンテンツ料金情報に対して、前記認証情報の一部である一時グループ署名鍵を用いてグループ署名を付加し、前記トークンアンサを合成することで前記契約情報を生成することとした。
【００２４】
かかる構成によれば、契約情報生成装置は、トークンにコンテンツ料金情報を含ませ、さらに、グループ署名を付加することで契約情報を生成するため、グループ署名鍵を発行したプロバイダにおいて、利用者を特定し課金処理を行うことが可能になる。
【００２５】
さらに、請求項７に記載のコンテンツ受信装置は、限定受信方式によりコンテンツを受信するコンテンツ受信装置において、認証情報入力手段と、請求項５に記載の契約情報生成装置とを備える構成とした。
【００２６】
かかる構成によれば、コンテンツ受信装置は、認証情報入力手段によって、他のコンテンツ受信装置に備えられているセキュリティモジュールから出力された認証情報を入力する。例えば、認証情報入力手段は、セキュリティモジュールから出力された認証情報が記録された記録媒体から、認証情報を読み出すことで、認証情報を入力する。そして、契約情報生成装置によって、認証情報を用いて、コンテンツを受信するための契約情報を生成する。これによって、セキュリティモジュールを備えていないコンテンツ受信装置において、コンテンツを受信し、視聴することが可能になる。
【００２７】
また、請求項８に記載の契約情報検証装置は、コンテンツ配信側に配置され、請求項５に記載の契約情報生成装置で生成された契約情報を検証する契約情報検証装置であって、トークンチャレンジ選択手段と、トークンチャレンジ送信手段と、契約情報受信手段と、グループ署名検証手段と、トークン検証手段とを備える構成とした。
【００２８】
かかる構成によれば、契約情報検証装置は、トークンチャレンジ選択手段によって、コンテンツ受信側から送信されるコンテンツの配信要求に対して、コンテンツの利用者の権限を示す情報であるトークンを検証するための擬似乱数であるトークンチャレンジを選択し、トークンチャレンジ送信手段によって、そのトークンチャレンジをコンテンツ受信側に送信する。
【００２９】
そして、契約情報検証装置は、契約情報受信手段によって、トークンチャレンジを用いて契約情報生成装置で生成された契約情報を受信する。そして、契約情報検証装置は、グループ署名検証手段によって、契約情報に付加されているグループ署名を、利用者に固有のグループ署名鍵の対となる検証鍵（グループ署名検証鍵）に基づいて検証する。これによって、契約情報が正当な利用者によって付加されたものかどうかを検証することが可能になる。
【００３０】
また、契約情報検証装置は、トークン検証手段によって、契約情報に含まれているトークンを、同じく契約情報に含まれているトークンアンサと、トークンチャレンジ選択手段で選択されたトークンチャレンジとに基づいて検証する。このトークンアンサは、契約情報生成装置において、トークンチャレンジを用いて生成されたものであるため、このトークンチャレンジを用いることで、トークンアンサの正当性を検証することができる。
【００３１】
さらに、請求項９に記載のグループ署名鍵生成装置は、請求項１又は請求項２に記載のセキュリティモジュールに記憶される秘密情報と、この秘密情報に対応した公開情報とを生成するグループ署名鍵生成装置であって、グループ署名検証鍵生成手段と、グループ署名鍵生成用多項式生成手段と、グループ署名鍵生成手段と、署名鍵生成情報生成手段とを備える構成とした。
【００３２】
かかる構成によれば、グループ署名鍵生成装置は、グループ署名検証鍵生成手段によって、電子認証方式におけるグループ署名検証鍵を生成する。このグループ署名検証鍵は、公開情報として公開される。また、グループ署名鍵生成装置は、グループ署名鍵生成用多項式生成手段によって、グループ署名検証鍵の対となるグループ署名鍵を生成するための多項式であるグループ署名鍵生成用多項式を生成する。
【００３３】
そして、グループ署名鍵生成装置は、グループ署名鍵生成手段によって、グループ署名検証鍵生成手段でグループ署名検証鍵を生成する際に使用された情報と、利用者に固有の情報とに基づいて、利用者に固有のグループ署名鍵を生成する。また、グループ署名鍵生成装置は、署名鍵生成情報生成手段によって、グループ署名鍵生成手段でグループ署名を生成する際に使用された情報と、利用者に固有の情報とに基づいて、一時的に生成される一時グループ署名鍵を生成するための情報である署名鍵生成情報を生成する。このグループ署名鍵と署名鍵生成情報とは、セキュリティモジュールの記憶される秘密情報である。
これによって、セキュリティモジュールにおいて、グループ署名鍵を生成することが可能になる。
【００３４】
また、請求項１０に記載の契約情報検証方法は、セキュリティモジュールを備えた、限定受信方式によりコンテンツを受信する第１のコンテンツ受信装置で受信可能なコンテンツを、第２のコンテンツ受信装置で受信可能にするための契約情報を、コンテンツ配信側の契約情報検証装置において検証を行う契約情報検証方法であって、認証情報生成ステップと、トークンチャレンジ選択ステップと、トークンアンサ生成ステップと、契約情報生成ステップと、検証ステップとを含むこととした。
【００３５】
この手順によれば、契約情報検証方法は、認証情報生成ステップで、第１のコンテンツ受信装置に備えられたセキュリティモジュールにおいて、利用者に固有の秘密情報に基づいて一時グループ署名鍵を生成するとともに、利用者に固有のグループ署名鍵の対となる検証鍵を生成するための公開情報と、擬似乱数であるトークン生成用乱数とに基づいて利用者の権限を示す情報であるトークンを生成する。
【００３６】
そして、契約情報検証方法は、トークンチャレンジ選択ステップで、契約情報検証装置において、第２のコンテンツ受信装置から送信されるコンテンツの配信要求に対して、トークンを検証するための擬似乱数であるトークンチャレンジを選択し、第２のコンテンツ受信装置に送信する。
そして、契約情報検証方法は、トークンアンサ生成ステップで、第２のコンテンツ受信装置において、トークンチャレンジを受信し、当該トークンチャレンジと、トークン生成用乱数とに基づいて、トークンの検証用の情報であるトークンアンサを生成する。
【００３７】
さらに、契約情報検証方法は、契約情報生成ステップで、トークンアンサ生成ステップで生成されたトークンアンサと、トークンとに対して、一時グループ署名鍵を用いてグループ署名を付加することで契約情報を生成し、契約情報検証装置に送信する。
そして、契約情報検証方法は、検証ステップで、契約情報検証装置において、契約情報を受信し、当該契約情報に付加されているグループ署名を、利用者に固有のグループ署名鍵の対となる検証鍵に基づいて検証するとともに、契約情報に含まれているトークンを、当該契約情報に含まれているトークンアンサとトークンチャレンジとに基づいて検証する。
【発明の効果】
【００３８】
請求項１又は請求項３に記載の発明によれば、セキュリティモジュールにおいて生成された認証情報を用いることで、利用者固有のセキュリティモジュールを備えていないコンテンツ受信装置においても、利用者を認証することが可能になり、ネットワークに接続されたどのコンテンツ受信装置においても、コンテンツを受信し視聴（利用）することが可能になる。なお、グループ署名は、個人認証ではなく、利用者が所属するグループの認証を行うための仕組みであるため、認証情報のみでは個人情報を判別することができず、個人のプライバシが保護されることになる。
【００３９】
請求項２に記載の発明によれば、セキュリティモジュール内に過去に生成された一時グループ署名鍵が存在しなければ、新たな一時グループ署名鍵を生成することができないため、利用者は必ず利用者固有のセキュリティモジュールにより、認証情報を生成しなければならない。このため、第三者が認証情報を生成することができず、認証情報の安全性を高めることができる。
【００４０】
請求項４に記載の発明によれば、セキュリティモジュールが生成する認証情報（トークン等）の数を制限することができる。これによって、認証情報を外部に持ち出す場合であっても、無制限に認証情報を使用することができないため、認証情報の漏洩に対する被害を最小限に食い止めることができる。さらに、二重にトークンが使用された場合に、その利用者を特定することができるため、認証情報の悪用を防止することができる。
【００４１】
請求項５又は請求項７に記載の発明によれば、契約情報生成装置において、セキュリティモジュールで生成された認証情報から、コンテンツを利用するための契約情報を生成することができる。これによって、セキュリティモジュールを備えていないコンテンツ受信装置においても、契約がなされている利用者であれば、コンテンツを利用することができる。
【００４２】
請求項６に記載の発明によれば、コンテンツの料金を示すコンテンツ料金情報を契約情報に含ませ、グループ署名を付加することで、グループ署名鍵を発行したプロバイダにおいて、利用者を特定することができ、課金処理を行うことが可能になる。
【００４３】
請求項８に記載の発明によれば、コンテンツ配信側において、セキュリティモジュールを備えていないコンテンツ受信装置からコンテンツの配信要求があった場合に、そのコンテンツ受信装置に対して、トークンを用いた契約情報を生成させることで、利用者が正規の利用者であるかどうかを検証することができる。
【００４４】
請求項９に記載の発明によれば、セキュリティモジュールにおいて、利用者の認証情報となるグループ署名鍵を生成することが可能になる。これによって、利用者固有のセキュリティモジュールを備えていないコンテンツ受信装置において、その認証情報を用いることで、利用者の認証を行うことが可能になる。
【００４５】
請求項１０に記載の発明によれば、契約情報検証方法は、セキュリティモジュールにおいて、利用者の認証情報であるトークンや一時グループ署名鍵を生成することができ、この認証情報によって契約情報を生成することで、コンテンツの不正利用が発生した場合であっても、不正利用者を特定することができる。
【発明を実施するための最良の形態】
【００４６】
以下、本発明の実施の形態について図面を参照して説明する。
［コンテンツ配信システムの構成］
まず、図１を参照して、本発明の実施の形態に係るコンテンツ配信システムの構成について説明する。図１は、コンテンツ配信システムの構成を示すブロック図である。コンテンツ配信システム１は、利用者登録を行うコンテンツプロバイダ（利用者登録用コンテンツプロバイダ）側に、イントラネット３1（３）で接続されたグループ署名鍵生成サーバ１０と、利用者特定サーバ２０と、ゲートウェイ（ＧＷ）５1（５）とを備え、コンテンツの配信を行うコンテンツプロバイダ（コンテンツ配信用コンテンツプロバイダ）側に、イントラネット３2（３）で接続されたコンテンツサーバ３０と、コンテンツ配信サーバ４０とを備え、インターネット７に接続されている。
【００４７】
また、コンテンツ配信システム１は、コンテンツの利用者側の端末である利用者固定端末５０と、利用者固定端末５０以外の端末であるコンテンツ受信端末７０が、インターネット７に接続されている。
このような構成において、コンテンツ配信システム１は、秘密鍵を記憶したセキュリティモジュール６０を備えた、利用者固定端末（コンテンツ受信装置）５０以外の端末であるコンテンツ受信端末（コンテンツ受信装置）７０においても、コンテンツを受信し視聴することを可能にしたシステムである。
【００４８】
グループ署名鍵生成サーバ（グループ署名鍵生成装置）１０は、ＩＣカード等のセキュリティモジュール６０内で発行され、セキュリティモジュール６０内に記憶される、利用者の権限を示す情報であるトークン（Ｔｏｋｅｎ）に対して、電子認証方式におけるグループ署名を行うためのグループ署名鍵と、利用者が利用者固定端末５０以外にそのトークンを持ち出す際に、同時に持ち出す一時的なグループ署名鍵である一時グループ署名鍵を利用者固定端末５０で生成するための秘密情報とを生成するものである。
【００４９】
利用者特定サーバ２０は、コンテンツ配信サーバ４０から送信される契約情報に付加されているグループ署名を検証し、そのグループ署名を発行した利用者を特定するものである。これによって、特定された利用者に対して、コンテンツの配信利用料金を請求することが可能になる。
【００５０】
コンテンツサーバ３０は、コンテンツを暗号化し、利用者に配信するコンテンツ（配信用コンテンツ）を生成するものである。また、コンテンツサーバ３０は、暗号化に使用した暗号化鍵と、コンテンツの料金（コンテンツ料金情報）とを、配信用コンテンツとともに記憶しておき、コンテンツ配信サーバ４０からの要求に対して応答を行う。
【００５１】
コンテンツ配信サーバ４０は、コンテンツ受信端末７０から要求のあったコンテンツ（配信用コンテンツ）と、暗号化鍵と、コンテンツ料金情報とを、コンテンツサーバ３０から取得し、コンテンツ受信端末７０に送信するものである。なお、コンテンツ配信サーバ４０は、コンテンツ受信端末７０から送信される契約情報に付加されているグループ署名を検証し、正規の利用者からの要求である場合にのみ、配信用コンテンツ等をコンテンツ受信端末７０に送信する。
【００５２】
利用者固定端末（コンテンツ受信装置）５０は、利用者が所望するコンテンツ（配信用コンテンツ）をコンテンツ配信サーバ４０に対して要求し、コンテンツ配信サーバ４０から取得した配信用コンテンツを復号するものである。この利用者固定端末５０には、限定受信方式によりコンテンツを限定して受信するセキュリティモジュール６０を備えており、利用者が契約を行っているコンテンツのみを視聴可能としている。
【００５３】
セキュリティモジュール６０は、耐タンパ性を有するＩＣカード等であって、ここでは、利用者固定端末５０以外のコンテンツ受信装置（コンテンツ受信端末７０）において、利用者がコンテンツを受信し、視聴することが可能な認証情報を生成する。このセキュリティモジュール６０で生成された認証情報は、外部の記録媒体に記録され、利用者が、コンテンツを視聴したいコンテンツ受信端末７０で読み出される。
【００５４】
コンテンツ受信端末（コンテンツ受信装置）７０は、利用者が所望するコンテンツ（配信用コンテンツ）をコンテンツ配信サーバ４０に対して要求し、コンテンツ配信サーバ４０から取得した配信用コンテンツを復号するものである。
なお、一般には、セキュリティモジュール６０を備えていない受信装置では、コンテンツを受信し、視聴することはできないが、ここでは、コンテンツ受信端末７０は、利用者固定端末５０のセキュリティモジュール６０で生成された認証情報を用いることで、コンテンツの視聴を可能にしている。
【００５５】
ゲートウェイ（ＧＷ）５（５1、５2）は、イントラネット３（３1、３2）とインターネット７との各ネットワークを接続するための装置である。このゲートウェイ５は、例えば、ＩＰルータ（ＩＰ：Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）であり、イントラネット３内への不正アクセスを防ぐファイア・ウォールの機能を有するものである。
以下、プロバイダ側の装置であるグループ署名鍵生成サーバ１０、利用者特定サーバ２０、コンテンツサーバ３０及びコンテンツ配信サーバ４０の各構成と、利用者側の装置である利用者固定端末５０及びコンテンツ受信端末７０の構成とについて順次説明を行う。
【００５６】
（グループ署名鍵生成サーバの構成）
まず、図２を参照（適宜図１参照）して、グループ署名鍵生成サーバの構成について説明する。図２は、グループ署名鍵生成サーバの構成を示すブロック図である。ここでは、グループ署名鍵生成サーバ１０は、グループ署名関連情報生成手段１１と、秘密情報生成手段１２と、グループ署名関連情報記憶手段１３と、グループ署名関連情報送信手段１４と、検証鍵送信手段１５とを備えている。
【００５７】
グループ署名関連情報生成手段１１は、一般に公開する公開情報として、電子認証方式におけるグループ署名検証鍵を生成するとともに、グループ署名検証鍵の対となるグループ署名鍵を生成するためのグループ署名鍵生成用多項式を生成するものである。ここでは、グループ署名関連情報生成手段１１は、グループ署名検証鍵生成手段１１ａと、グループ署名鍵生成用多項式生成手段１１ｂとを備えている。
【００５８】
グループ署名検証鍵生成手段１１ａは、電子認証方式におけるグループ署名検証鍵を生成するものである。このグループ署名検証鍵生成手段１１ａで生成されたグループ署名検証鍵は、グループ署名関連情報記憶手段１３に記憶される。
ここでは、グループ署名検証鍵生成手段１１ａは、まず、予め２つの素数ｐ及びｑの中で、（ｐ−１）の値がｑで割り切れる値を準備しておき、数列｛１，２，…，ｑ−１｝から（ｎ＋１）×（ｍ＋１）個の値をランダムに選択し（ただし、ｑ≧（ｎ＋１）×（ｍ＋１）＋１）、その選択された（ｎ＋１）×（ｍ＋１）個の値を係数ａi,j｛０≦ｉ≦ｎ，０≦ｊ≦ｍ｝とする。さらに、グループ署名検証鍵生成手段１１ａは、予め準備した位数ｑの乗法に関して群をなす乗法群の中から生成元ｇをランダムに１つ選択する。
【００５９】
そして、グループ署名検証鍵生成手段１１ａは、以下の（１）式に示すように、選択された素数ｐ及びｑと、生成元ｇと、その生成元ｇを係数（ａi,j）乗したべき乗値（ｙ0,0，ｙ0,1，…，ｙn,m）とからなるグループ署名検証鍵ＶＫを生成する。なお、以降の各計算は、すべてモジュロ（ｍｏｄｕｌｏ）ｐ上で行われる。
【００６０】
【数１】
2006203819.tif 000003
【００６１】
グループ署名鍵生成用多項式生成手段１１ｂは、グループ署名検証鍵の対となるグループ署名鍵を生成するための多項式であるグループ署名鍵生成用多項式を生成するものである。このグループ署名鍵生成用多項式生成手段１１ｂで生成されたグループ署名鍵生成用多項式は、グループ署名関連情報記憶手段１３に記憶される。
ここでは、グループ署名鍵生成用多項式生成手段１１ｂは、以下の（２）式に示すように、利用者に固有のグループ署名鍵を生成するためのグループ署名鍵生成用多項式f（ｕ，t）を生成する。
【００６２】
【数２】
2006203819.tif 000004
【００６３】
この（２）式において、利用者固有の情報（例えば、ユーザＩＤ）をｕ、グループ署名鍵を生成する側で固有の情報（例えば、グループ署名鍵を生成する回数）をｔとして、演算を行うことで、利用者毎に固有で、固有情報に対応した一時的なグループ署名鍵（一時グループ署名鍵）を生成することができる。
【００６４】
秘密情報生成手段１２は、利用者に固有の秘密情報として、利用者固有のグループ署名鍵と、一時グループ署名鍵を生成するための情報（一時グループ署名鍵生成用秘密情報）とを生成するものである。ここでは、秘密情報生成手段１２は、グループ署名鍵生成手段１２ａと、署名鍵生成情報生成手段１２ｂとを備えている。
【００６５】
グループ署名鍵生成手段１２ａは、利用者に固有のグループ署名鍵を生成するものである。このグループ署名鍵生成手段１２ａで生成された秘密情報であるグループ署名鍵は、ＩＣカード等の耐タンパ性を有するセキュリティモジュール６０に記憶され、利用者に配布される。
ここでは、グループ署名鍵生成手段１２ａは、利用者固有の情報ｕ（例えば、ユーザＩＤ）と、グループ署名検証鍵生成手段１１ａでグループ署名鍵を生成する際に使用された係数｛ａi,j｝（ここでは、ｍ＝０の係数｛ａ1,0，ａ2,0，…，ａn,0｝）を用いて、以下の（３）式に示すように、グループ署名鍵ＳＫu,0を生成する。
【００６６】
【数３】
2006203819.tif 000005
【００６７】
署名鍵生成情報生成手段１２ｂは、一時的に生成される一時グループ署名鍵を生成するための情報である署名鍵生成情報を生成するものである。この署名鍵生成情報生成手段１２ｂで生成された秘密情報である署名鍵生成情報は、ＩＣカード等の耐タンパ性を有するセキュリティモジュール６０に記憶され、利用者に配布される。
ここでは、署名鍵生成情報生成手段１２ｂは、利用者固有の情報ｕ（例えば、ユーザＩＤ）と、グループ署名鍵を生成する際に使用された係数｛ａi,j｝（ここでは、係数｛ａi,1，ａi,2，…，ａi,m｝）を用いて、以下の（４）式に示すように、一時グループ署名鍵生成用秘密情報ＳＫ*uを生成する。
【００６８】
【数４】
2006203819.tif 000006
【００６９】
グループ署名関連情報記憶手段１３は、グループ署名関連情報生成手段１１で生成されたグループ署名検証鍵と、グループ署名鍵生成用多項式とをグループ署名関連情報として記憶するもので、ハードディスク等の一般的な記憶装置である。このグループ署名関連情報記憶手段１３に記憶されているグループ署名検証鍵等は、グループ署名関連情報送信手段１４又は検証鍵送信手段１５から読み出される。
【００７０】
グループ署名関連情報送信手段１４は、グループ署名関連情報記憶手段１３に記憶されているグループ署名関連情報（グループ署名検証鍵、グループ署名鍵生成用多項式）を、利用者特定サーバ２０に送信するものである。なお、このグループ署名鍵生成用多項式は、利用者登録用コンテンツプロバイダにおいてのみ、参照可能な情報（公開情報）である。
【００７１】
検証鍵送信手段１５は、グループ署名関連情報記憶手段１３に記憶されているグループ署名検証鍵を、公開するものである。ここでは、検証鍵送信手段１５は、コンテンツ配信サーバ４０等に、グループ署名検証鍵を公開情報として送信する。
【００７２】
このようにグループ署名鍵生成サーバ１０を構成することで、グループ署名鍵生成サーバ１０は、利用者に配布する利用者固有の秘密情報（グループ署名鍵及び一時グループ署名鍵生成用秘密情報）をセキュリティモジュール６０に記憶して配布することが可能になる。さらに、グループ署名鍵生成サーバ１０は、グループ署名がなされた情報に対して、その利用者を特定するための公開情報であるグループ署名検証鍵と、グループ署名鍵生成用多項式とを生成することができる。
【００７３】
（利用者特定サーバの構成）
次に、図３を参照（適宜図１参照）して、利用者特定サーバの構成について説明する。図３は、利用者特定サーバの構成を示すブロック図である。ここでは、利用者特定サーバ２０は、グループ署名関連情報受信手段２１と、課金要求受信手段２２と、グループ署名検証手段２３と、グループ署名者特定手段２４とを備えている。
【００７４】
グループ署名関連情報受信手段２１は、コンテンツを利用する利用者を特定するために、グループ署名鍵生成サーバ１０において生成されたグループ署名関連情報（グループ署名検証鍵及びグループ署名鍵生成用多項式）を受信するものである。このグループ署名関連情報受信手段２１で受信したグループ署名検証鍵は、グループ署名検証手段２３に出力され、グループ署名鍵生成用多項式は、グループ署名者特定手段２４に出力される。
【００７５】
課金要求受信手段２２は、コンテンツ配信サーバから配信される、コンテンツを利用した利用者に対する課金要求を受信するものである。この課金要求には、利用者がコンテンツを利用するための契約情報（例えば、視聴チャンネル、利用期限等）が含まれている。なお、契約情報は、利用者の権限を示すトークンが結合され、一時グループ署名鍵によってグループ署名が付加されている。また、トークンには、当該署名鍵を発行した発行回数が含まれている。
この課金要求受信手段２２で受信した課金要求（契約情報）に付加されているグループ署名は、グループ署名検証手段２３に出力され、一時グループ署名鍵の発行回数は、グループ署名者特定手段２４に出力される。
【００７６】
グループ署名検証手段２３は、課金要求受信手段２２で受信した契約情報に付加されているグループ署名を、グループ署名関連情報受信手段２１で受信したグループ署名検証鍵で検証するものである。これによって、契約情報が正規の利用者によって配信されてきたものかどうかを検証することができる。なお、このグループ署名検証手段２３において、正規の利用者であることが検証された場合は、その旨がグループ署名者特定手段２４に出力される。
【００７７】
グループ署名者特定手段２４は、グループ署名検証手段２３において、利用者が正規の利用者であることが検証された場合に、グループ署名関連情報生成手段１１で受信したグループ署名鍵生成用多項式と、課金要求受信手段２２で受信した契約情報に付加されているグループ署名鍵（一時グループ署名鍵）の発行回数とに基づいて、グループ署名を付加した利用者を特定するものである。なお、このグループ署名により利用者を特定する手法については、後で詳細に説明を行うことにする。
このように利用者特定サーバ２０を構成することで、利用者特定サーバ２０は、契約情報に付加されているグループ署名を検証し、そのグループ署名を発行した利用者を特定することができ、その特定された利用者に対して、課金処理を行うことが可能になる。
【００７８】
（コンテンツサーバの構成）
次に、図４を参照（適宜図１参照）して、コンテンツサーバの構成について説明する。図４は、コンテンツサーバの構成を示すブロック図である。ここでは、コンテンツサーバ３０は、暗号化鍵生成手段３１と、コンテンツ受信手段３２と、コンテンツ暗号化手段３３と、コンテンツ料金受信手段３４と、コンテンツ記憶手段３５と、コンテンツ要求受信手段３６と、暗号化鍵送信手段３７と、配信用コンテンツ送信手段３８と、コンテンツ料金送信手段３９とを備えている。
【００７９】
暗号化鍵生成手段３１は、コンテンツを暗号化するための暗号化鍵を生成するものである。ここで生成された暗号化鍵はコンテンツ暗号化手段３３に出力されるとともに、暗号化されたコンテンツと対応付けられてコンテンツ記憶手段３５に記憶される。なお、この暗号化鍵は、図示していない擬似乱数発生手段、ハッシュ（ｈａｓｈ）関数等を用いて乱数化され、鍵長を揃えたものである。
【００８０】
コンテンツ受信手段３２は、配信用のコンテンツを受信するものである。ここで受信されたコンテンツは、コンテンツ暗号化手段３３に出力される。このコンテンツ受信手段３２は、例えば、図示していない記録媒体からコンテンツを読み出すものであってもよいし、ネットワーク（インターネット７等）を介して、通信データとしてコンテンツを取得するものであってもよい。
【００８１】
コンテンツ暗号化手段３３は、コンテンツ受信手段３２で受信した配信用のコンテンツを、暗号化鍵生成手段３１で生成された暗号化鍵で暗号化し、暗号化コンテンツ（配信用コンテンツ）を生成するものである。ここで生成された配信用コンテンツは、コンテンツを特定するコンテンツ識別情報に対応付けて、コンテンツ記憶手段３５に記憶される。なお、コンテンツ暗号化手段３３は、暗号化鍵を用いて、共通鍵暗号化方式によりコンテンツを暗号化する。この暗号化対象となるコンテンツには、映像等のデータ量の多い情報を想定しているため、ここでは、公開鍵暗号化方式に比べて暗号化処理の速い共通鍵暗号化方式を使用することとする。例えば、ＡＥＳ（Ａｄｖａｎｃｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）等の一般的な共通鍵暗号化方式でよい。
【００８２】
コンテンツ料金受信手段３４は、配信用のコンテンツの料金（コンテンツ料金情報）を受信するものである。ここで受信されたコンテンツ料金情報は、配信用コンテンツと対応付けられてコンテンツ記憶手段３５に記憶される。このコンテンツ料金受信手段３４は、例えば、図示していない記録媒体からコンテンツ料金情報を読み出すものであってもよいし、ネットワーク（インターネット７等）を介して、通信データとしてコンテンツ料金情報を取得するものであってもよい。
【００８３】
コンテンツ記憶手段３５は、暗号化鍵生成手段３１で生成された暗号化鍵と、コンテンツ暗号化手段３３で生成された配信用コンテンツと、コンテンツ料金受信手段３４で受信されたコンテンツ料金情報とを、コンテンツ識別情報に対応付けて記憶するもので、ハードディスク等の一般的な記憶装置である。このコンテンツ記憶手段３５に記憶されている暗号化鍵、配信用コンテンツ及びコンテンツ料金情報は、コンテンツを要求された段階で、暗号化鍵送信手段３７、配信用コンテンツ送信手段３８及びコンテンツ料金送信手段３９によって、それぞれ読み出される。
【００８４】
コンテンツ要求受信手段３６は、コンテンツ配信サーバ４０から送信される、配信用コンテンツを特定するコンテンツ識別情報を含んだコンテンツ要求を、イントラネット３2を介して受信するものである。このコンテンツ要求受信手段３６は、コンテンツ要求に含まれるコンテンツ識別情報を、暗号化鍵送信手段３７、配信用コンテンツ送信手段３８及びコンテンツ料金送信手段３９に出力する。
【００８５】
暗号化鍵送信手段３７は、コンテンツ要求受信手段３６から出力されるコンテンツ識別情報に対応する暗号化鍵を、コンテンツ記憶手段３５から読み出して、復号化鍵として、要求のあったコンテンツ配信サーバ４０に送信するものである。
【００８６】
配信用コンテンツ送信手段３８は、コンテンツ要求受信手段３６から出力されるコンテンツ識別情報に対応する配信用コンテンツを、コンテンツ記憶手段３５から読み出して、要求のあったコンテンツ配信サーバ４０に送信するものである。
【００８７】
コンテンツ料金送信手段３９は、コンテンツ要求受信手段３６から出力されるコンテンツ識別情報に対応するコンテンツ料金情報を、コンテンツ記憶手段３５から読み出して、要求のあったコンテンツ配信サーバ４０に送信するものである。
このようにコンテンツサーバ３０を構成することで、コンテンツサーバ３０は、コンテンツを暗号化鍵で暗号化し、その暗号化されたコンテンツと、暗号化鍵と、コンテンツの料金情報とを対応付けて、配信用のデータとしてコンテンツ配信サーバ４０に送信することができる。
【００８８】
（コンテンツ配信サーバの構成）
次に、図５を参照（適宜図１参照）して、コンテンツ配信サーバの構成について説明する。図５は、コンテンツ配信サーバの構成を示すブロック図である。ここでは、コンテンツ配信サーバ４０は、コンテンツ要求書受信手段４１と、コンテンツ要求送信手段４２と、契約情報検証手段４３と、復号化鍵受信手段４４と、配信用コンテンツ受信手段４５と、コンテンツ料金受信手段４６と、復号化鍵送信手段４７と、配信用コンテンツ送信手段４８と、コンテンツ料金送信手段４９とを備えている。
【００８９】
コンテンツ要求書受信手段４１は、コンテンツ受信端末７０から送信される、利用者が所望するコンテンツを示す要求（コンテンツ要求書）を、ネットワーク（インターネット７等）を介して受信するものである。このコンテンツ要求書には、少なくともコンテンツを特定するためのコンテンツ識別情報と、どのコンテンツ受信端末７０からの要求であるのかを示す端末識別情報（例えば、ＩＰアドレス等）とが含まれている。このコンテンツ要求書受信手段４１は、コンテンツ識別情報をコンテンツ要求送信手段４２に出力し、端末識別情報を契約情報検証手段４３と、コンテンツ料金送信手段４９に出力する。
【００９０】
コンテンツ要求送信手段４２は、コンテンツ要求書受信手段４１から出力されるコンテンツ識別情報を含んだコンテンツの配信要求（コンテンツ要求）を、イントラネット３2を介して、コンテンツサーバ３０に送信するものである。このコンテンツ要求によって、コンテンツ配信サーバ４０は、コンテンツ識別情報に対応付けられている復号化鍵、配信用コンテンツ、及び、その配信用コンテンツの料金であるコンテンツ料金情報を、コンテンツサーバ３０から取得することができる。
【００９１】
契約情報検証手段（契約情報検証装置）４３は、コンテンツ受信端末７０から送信される契約情報を検証し、コンテンツ要求書が、正規の利用者によりコンテンツ受信端末７０から送信されたものかどうかを検証するものである。ここでは、契約情報検証手段４３は、トークンチャレンジ選択手段４３ａと、トークンチャレンジ送信手段４３ｂと、契約情報受信手段４３ｃと、検証鍵受信手段４３ｄと、検証手段４３ｅと、課金要求送信手段４３ｆとを備えている。
【００９２】
トークンチャレンジ選択手段４３ａは、コンテンツの利用者の権限を示す情報であるトークンを検証するための擬似乱数であるトークンチャレンジを選択するものである。ここでは、トークンチャレンジ選択手段４３ａは、有限体Ｚ*pの部分群Ｇq（位数ｑの乗法に関して群をなす乗法群）の中から任意の値αを選択（α∈RＧq）することで、トークンチャレンジとする。なお、位数ｑは、前記したグループ署名検証鍵生成手段１１ａ（図２）において生成されるグループ署名検証鍵に含まれる素数ｑと同じものである。このトークンチャレンジ選択手段４３ａで選択されたトークンチャレンジは、トークンチャレンジ送信手段４３ｂに出力される。
【００９３】
トークンチャレンジ送信手段４３ｂは、トークンチャレンジ選択手段４３ａで選択されたトークンチャレンジを、コンテンツ要求書受信手段４１から出力される端末識別情報に対応するコンテンツ受信端末７０に送信するものである。
【００９４】
契約情報受信手段４３ｃは、コンテンツ受信端末７０から送信されるトークンと、トークンチャレンジを用いて生成した、トークンの検証用の情報であるトークンアンサとを含んだ契約情報を受信するものである。なお、この契約情報には、コンテンツ受信端末７０において、一時グループ署名鍵によるグループ署名が付加されている。この契約情報受信手段４３ｃで受信された契約情報におけるトークンと、グループ署名とが分離されて、検証手段４３ｅに出力される。
【００９５】
検証鍵受信手段４３ｄは、コンテンツを利用する利用者を特定するために公開されている、グループ署名鍵生成サーバ１０（図２）において生成されたグループ署名検証鍵を受信するものである。この検証鍵受信手段４３ｄで受信されたグループ署名検証鍵は、検証手段４３ｅに出力される。
【００９６】
検証手段４３       ｅは、契約情報受信手段４３ｃで受信した契約情報におけるグループ署名と、トークン（トークンアンサ）とを検証するものである。ここでは、検証手段４３ｅは、グループ署名検証手段４３１と、トークン検証手段４３２とを備えている。
【００９７】
グループ署名検証手段４３１は、契約情報とトークンとに付加されているグループ署名を、利用者に固有のグループ署名鍵の対となる検証鍵（検証鍵受信手段４３ｄで受信したグループ署名検証鍵）に基づいて検証するものである。これによって、契約情報が、正規の利用者から送信されたものであるかどうかを検証することができる。
【００９８】
トークン検証手段４３２は、契約情報に含まれているトークンを、トークンアンサと、トークンチャレンジ選択手段４３ａで選択されたトークンチャレンジとに基づいて検証するものである。これによって、トークンが不正使用されていないかどうかを検証することができる。
この検証手段４３ｅにおいて、正規の利用者によりコンテンツ要求書が送信されたものと検証された場合、検証手段４３ｅは、契約情報を課金要求送信手段４３ｆに出力し、コンテンツ要求書を送信したコンテンツ受信端末７０の端末識別情報を、復号化鍵送信手段４７と、配信用コンテンツ送信手段４８とに出力する。
【００９９】
課金要求送信手段４３ｆは、契約情報受信手段４３ｃから出力される契約情報を含んだ課金要求を利用者特定サーバ２０に送信するものである。この課金要求に含まれる契約情報は、利用者特定サーバ２０において、コンテンツを利用した利用者への課金を行うための情報となる。
【０１００】
復号化鍵受信手段４４は、コンテンツ要求送信手段４２から送信されたコンテンツ識別情報に対応した復号化鍵を、イントラネット３2を介してコンテンツサーバ３０から受信するものである。この復号化鍵受信手段４４で受信された復号化鍵は、復号化鍵送信手段４７に出力される。
【０１０１】
配信用コンテンツ受信手段４５は、コンテンツ要求送信手段４２から送信されたコンテンツ識別情報に対応した配信用コンテンツを、イントラネット３2を介してコンテンツサーバ３０から受信するものである。この配信用コンテンツ受信手段４５で受信された配信用コンテンツは、配信用コンテンツ送信手段４８に出力される。
【０１０２】
コンテンツ料金受信手段４６は、コンテンツ要求送信手段４２から送信されたコンテンツ識別情報に対応したコンテンツの料金を示すコンテンツ料金情報を、イントラネット３2を介してコンテンツサーバ３０から受信するものである。このコンテンツ料金受信手段４６で受信されたコンテンツ料金情報は、コンテンツ料金送信手段４９に出力される。
【０１０３】
復号化鍵送信手段４７は、契約情報検証手段４３で検証された結果出力される端末識別情報に対応するコンテンツ受信端末７０に、復号化鍵受信手段４４で受信された復号化鍵を送信するものである。
【０１０４】
配信用コンテンツ送信手段４８は、契約情報検証手段４３で検証された結果出力される端末識別情報に対応するコンテンツ受信端末７０に、配信用コンテンツ受信手段４５で受信された配信用コンテンツを送信するものである。
【０１０５】
コンテンツ料金送信手段４９は、コンテンツ要求書受信手段４１から出力される端末識別情報に対応するコンテンツ受信端末７０に、コンテンツ料金受信手段４６で受信されたコンテンツ料金情報を送信するものである。
【０１０６】
このようにコンテンツ配信サーバ４０を構成することで、コンテンツ配信サーバ４０は、コンテンツ受信端末７０から送信される、利用者が所望するコンテンツを示す要求（コンテンツ要求書）に対して、配信用コンテンツと、復号化鍵と、コンテンツ料金情報とを、コンテンツサーバ３０から取得し、要求のあったコンテンツ受信端末７０に配信することができる。この配信用コンテンツ及び復号化鍵については、コンテンツ配信サーバ４０は、利用者が正規の利用者である場合にのみ、コンテンツ受信端末７０に配信することになる。
なお、コンテンツ配信サーバ４０は、セキュリティモジュール６０を備えた利用者固定端末５０から、コンテンツ要求書を受信したときは、契約情報に付加されている署名を検証することで利用者を検証するが、この構成については、従来と同様であるため、ここでは、説明を省略する。
【０１０７】
（利用者固定端末の構成）
次に、図６を参照（適宜図１参照）して、利用者固定端末の構成について説明する。図６は、利用者固定端末の構成を示すブロック図である。ここでは、利用者固定端末５０は、コンテンツ要求書送信手段５１と、コンテンツ料金受信手段５２と、契約情報生成手段５３と、契約情報送信手段５４と、復号化鍵受信手段５５と、配信用コンテンツ受信手段５６と、コンテンツ復号手段５７と、認証情報出力手段５８と、旧一時グループ署名鍵入力手段５９とを備えている。さらに、利用者固定端末５０は、セキュリティモジュール６０を内部に装着している。
【０１０８】
コンテンツ要求書送信手段５１は、利用者が所望するコンテンツ（配信用コンテンツ）を、インターネット７を介してプロバイダ（コンテンツ配信用コンテンツプロバイダ）側のコンテンツ配信サーバ４０に要求するものである。例えば、コンテンツ要求書送信手段５１は、図示していない入力手段によって、利用者が所望するコンテンツを特定するコンテンツ識別情報（例えばファイル名等）を入力されることで、このコンテンツ識別情報を含んだコンテンツ要求書を生成し、コンテンツ配信サーバ４０に送信することで、配信用コンテンツの要求を行う。
【０１０９】
コンテンツ料金受信手段５２は、コンテンツ配信サーバ４０から、インターネット７を介して、利用者が要求した配信用コンテンツの料金を示すコンテンツ料金情報を受信するものである。このコンテンツ料金受信手段５２で受信されたコンテンツ料金情報は、契約情報生成手段５３に出力される。
【０１１０】
契約情報生成手段５３は、コンテンツ料金受信手段５２で受信したコンテンツ料金情報により、当該コンテンツに対して利用者が契約を行ったことを示す情報である契約情報を生成するものである。この契約情報生成手段で生成された契約情報は、セキュリティモジュール６０の契約情報グループ署名手段６５に出力される。
【０１１１】
契約情報送信手段５４は、後記するセキュリティモジュール６０の契約情報グループ署名手段６５でグループ署名を付加された契約情報を、インターネット７を介して、コンテンツ配信サーバ４０に送信するものである。これによって、コンテンツの配信を要求した利用者が正規の利用者であることが、コンテンツ配信サーバ４０において、検証することができる。
【０１１２】
復号化鍵受信手段５５は、プロバイダ（コンテンツ配信用コンテンツプロバイダ）側のコンテンツ配信サーバ４０から、利用者が要求した配信用コンテンツを復号するための復号化鍵を、インターネット７を介して受信するものである。この復号化鍵受信手段５５で受信された復号化鍵は、コンテンツ復号手段５７に出力される。
【０１１３】
配信用コンテンツ受信手段５６は、プロバイダ（コンテンツ配信用コンテンツプロバイダ）側のコンテンツ配信サーバ４０から、利用者が要求した配信用コンテンツを、インターネット７を介して受信するものである。この配信用コンテンツ受信手段５６で受信された配信用コンテンツは、コンテンツ復号手段５７に出力される。
【０１１４】
コンテンツ復号手段５７は、復号化鍵受信手段５５で受信された復号化鍵を使用して、配信用コンテンツ受信手段５６で受信された配信用コンテンツを復号するものである。これによって、配信用コンテンツは、視聴等が可能なコンテンツ（再生コンテンツ）に復号される。
【０１１５】
認証情報出力手段５８は、後記するセキュリティモジュール６０で生成される認証情報である署名付きトークン、一時グループ署名鍵及びトークン生成用乱数を、外部に出力するものである。例えば、認証情報出力手段５８は、認証情報を外部の記録媒体８０に記録する。これによって、利用者は、この認証情報が記録された記録媒体８０を使用することで、他のコンテンツ受信装置（コンテンツ受信端末７０）において、利用者の認証が可能になり、コンテンツを受信し、視聴することが可能になる。
【０１１６】
旧一時グループ署名鍵入力手段５９は、記録媒体８０に記録されている一時グループ署名鍵を読み出すものである。なお、この記録媒体８０に記録されている一時グループ署名鍵は、過去にセキュリティモジュール６０で生成され、記録媒体８０に記録されたグループ署名鍵である。この旧一時グループ署名鍵入力手段５９で読み出された一時グループ署名鍵は、セキュリティモジュール６０の一時グループ署名鍵生成手段６２に出力され、新しい一時グループ署名鍵を生成するために使用される。
【０１１７】
セキュリティモジュール６０は、耐タンパ性を有するＩＣカード等であって、秘密情報記憶手段６１と、一時グループ署名鍵生成手段６２と、トークン生成手段６３と、トークングループ署名手段６４と、契約情報グループ署名手段６５とを備えている。
【０１１８】
秘密情報記憶手段６１は、利用者に固有の秘密情報を記憶しておくもので、半導体メモリ等の記憶装置である。この秘密情報は、プロバイダ（利用者登録用コンテンツプロバイダ）側のグループ署名鍵生成サーバ１０のグループ署名鍵生成手段１２ａ（図２）で生成されたグループ署名鍵、一時グループ署名鍵生成用秘密情報（署名鍵生成情報）等である。
なお、秘密情報記憶手段６１には、同時に発行（生成）可能なトークン（認証情報）の最大回数を記憶しておくこととする。これによって、認証情報出力手段５８は、その最大回数を限度として、トークンを記録媒体８０に記録することで、トークンの使用制限を行うことができる。
【０１１９】
一時グループ署名鍵生成手段６２は、秘密情報記憶手段６１に記憶されている秘密情報である一時グループ署名鍵生成用秘密情報（署名鍵生成情報）に基づいて、利用者を認証するための認証情報の一部となる一時グループ署名鍵を生成するものである。この一時グループ署名鍵生成手段６２は、最初は、秘密情報記憶手段６１に記憶されている秘密情報であるグループ署名鍵から、一時グループ署名鍵を生成し、それ以降は、過去に生成（発行）された一時グループ署名鍵から、新たに一時グループ署名鍵を生成する。この過去に生成された一時グループ署名鍵は、旧一時グループ署名鍵入力手段５９によって、記録媒体８０から読み出されたものである。なお、一時グループ署名鍵生成手段６２で生成された一時グループ署名鍵は、セキュリティモジュール６０外の認証情報出力手段６８に出力される。
【０１２０】
なお、最初に一時グループ署名鍵を生成する場合、一時グループ署名鍵生成手段６２は、秘密情報記憶手段６１に記憶されている一時グループ署名鍵生成用秘密情報ＳＫ*uと、グループ署名鍵ＳＫu,0とを使用して、一時グループ署名鍵ＳＫu,1を生成する。そして、それ以降においては、一時グループ署名鍵生成手段６２は、過去（現時点を“ｔ”としたときの“ｔ−１”の時点）に生成され、旧一時グループ署名鍵入力手段５９において入力された一時グループ署名鍵ＳＫu,t-1を用いて、新たな一時グループ署名鍵ＳＫu,tを生成する。
すなわち、一時グループ署名鍵生成手段６２は、以下の（５）式及び（６）式に示すように、一時グループ署名鍵ＳＫu,tを生成する。
【０１２１】
【数５】
2006203819.tif 000007
【０１２２】
【数６】
2006203819.tif 000008
【０１２３】
なお、ここでは、過去に生成された一時グループ署名鍵を記録媒体８０から取得することとしたが、一時グループ署名鍵生成手段６２において生成した一時グループ署名鍵を、秘密情報記憶手段６１に記憶しておき、それを過去に生成した一時グループ署名鍵として読み出して使用する形態であっても構わない。
【０１２４】
トークン生成手段６３は、グループ署名鍵の対となる検証鍵（グループ署名検証鍵）と、擬似乱数であって、認証情報の一部となるトークン生成用乱数とに基づいて、利用者の権限を示す情報であって、認証情報の一部となるトークンを生成するものである。
【０１２５】
このトークン生成手段６３は、利用者登録用コンテンツプロバイダ側のグループ署名関連情報生成手段１１のグループ署名検証鍵生成手段１１ａで生成されたグループ署名検証鍵に含まれる生成元ｇと、素数ｐ及びｑとを利用して、トークンを生成する。
すなわち、トークン生成手段６３は、まず、有限体Ｚ*pの部分群Ｇq（位数ｑの乗法に関して群をなす乗法群）の中から任意の数値ｍ、ｎ、ａを選択（ｍ，ｎ，ａ∈Ｇq）する。そして、トークン生成手段６３は、利用者を特定する識別情報（例えば、ユーザＩＤ）ｕを用いて、「ｕ＝ａ×ｂ」となる数値ｂを算出する。そして、トークン生成手段６３は、トークン（Ｔｏｋｅｎ）として、「Ｔｏｋｅｎ＝＜ｇm，ｇn，ｇa，ｇb＞」を生成する。このトークン生成手段６３で生成されたトークン（Ｔｏｋｅｎ）は、トークングループ署名手段６４に出力される。また、トークンを生成するために用いたトークン生成用乱数（ｍ，ｎ，ａ，ｂ）は、認証情報の一部として、認証情報出力手段５８に出力される。
【０１２６】
トークングループ署名手段６４は、秘密情報記憶手段６１に記憶されているグループ署名鍵を用いて、トークン生成手段６３で生成されたトークンと、一時グループ署名鍵生成手段６２において、一時グループ署名鍵を生成した時点を示す値ｔとを合成した値（＜Ｔｏｋｅｎ‖ｔ＞）（「‖」は連結を示す）にグループ署名を付加するものである。このグループ署名を付加した署名付きトークンは、セキュリティモジュール６０外の認証情報出力手段５８に出力される。
【０１２７】
契約情報グループ署名手段６５は、契約情報生成手段５３で生成された契約情報に対して、秘密情報記憶手段６１に記憶されている、利用者に固有のグループ署名鍵を用いたグループ署名を付加することで、署名付きの契約情報を生成するものである。このグループ署名が付加された契約情報は、契約情報送信手段５４に出力される。
【０１２８】
このように、セキュリティモジュール６０において生成される認証情報（署名付きトークン、一時グループ署名鍵及びトークン生成用乱数）を、記録媒体８０に書き込むことで、利用者は、その認証情報の入った記録媒体８０を持ち歩くことが可能になる。なお、この記録媒体８０に記録されているトークン（署名付きトークン等）の個数は有限であるため、コンテンツの利用回数を制限し、漏洩に対する被害を最小限に食い止めることができる。
【０１２９】
（コンテンツ受信端末の構成）
次に、図７を参照（適宜図１参照）して、コンテンツ受信端末の構成について説明する。図７は、コンテンツ受信端末の構成を示すブロック図である。ここでは、コンテンツ受信端末７０は、コンテンツ要求書送信手段５１と、コンテンツ料金受信手段５２と、契約情報生成手段５３Ｂと、契約情報送信手段５４と、復号化鍵受信手段５５と、配信用コンテンツ受信手段５６と、コンテンツ復号手段５７と、認証情報入力手段７１とを備えている。
契約情報生成手段５３Ｂ及び認証情報入力手段７１以外の構成については、図６で説明した利用者固定端末５０の構成と同一であるので、同一の符号を付し説明を省略する。
【０１３０】
契約情報生成手段（契約情報生成装置）５３Ｂは、コンテンツ料金受信手段５２で受信したコンテンツ料金情報と、コンテンツ配信サーバ４０から配信されるトークンチャレンジと、記録媒体８０に記録されている利用者の認証情報とに基づいて、コンテンツを利用するための契約情報を生成するものである。ここでは、契約情報生成手段５３Ｂは、分離手段５３１と、トークンチャレンジ受信手段５３２と、トークンアンサ生成手段５３３と、合成手段５３４とを備えている。
【０１３１】
分離手段５３１は、認証情報入力手段７１を介して入力された認証情報であるトークン（署名付きトークン）及びトークン生成用乱数と、一時グループ署名鍵とを分離するものである。この分離手段５３１で分離されたトークン及びトークン生成用乱数は、トークンアンサ生成手段５３３に出力され、一時グループ署名鍵は、合成手段５３４に出力される。
【０１３２】
トークンチャレンジ受信手段５３２は、プロバイダ（コンテンツ配信用コンテンツプロバイダ）側のコンテンツ配信サーバ４０から配信される、トークンを検証するための擬似乱数であるトークンチャレンジを受信するものである。このトークンチャレンジ受信手段５３２で受信されたトークンチャレンジは、トークンアンサ生成手段５３３に出力される。
【０１３３】
トークンアンサ生成手段５３３は、トークンチャレンジ受信手段で受信したトークンチャレンジと、認証情報の一部であるトークン生成用乱数とに基づいて、トークンの検証用の情報であるトークンアンサを生成するものである。
ここでは、トークンアンサ生成手段５３３は、トークンチャレンジ受信手段５３２で受信したトークンチャレンジαと、トークン生成用乱数（ｍ，ｎ，ａ，ｂ）とにより、以下の（７）式に示すトークンアンサβ1及びβ2を生成する。
【０１３４】
【数７】
2006203819.tif 000009
【０１３５】
このトークンアンサ生成手段５３３で生成されたトークンアンサは、合成手段５３４に出力される。
【０１３６】
合成手段５３４は、コンテンツ料金受信手段５２で受信されたコンテンツ料金情報と、、分離手段５３１で分離されたトークンとを合成し、分離手段５３１で分離された一時グループ署名鍵でグループ署名を付加し、さらにトークンアンサ生成手段５３３で生成されたトークンアンサを合成することで契約情報を生成するものである。この合成手段５３４で生成された契約情報は、契約情報送信手段５４に出力され、コンテンツ配信サーバ４０に送信される。
【０１３７】
このようにコンテンツ受信端末７０を構成することで、コンテンツ受信端末７０は、セキュリティモジュール６０を装着していなくても、コンテンツを受信し、視聴することができる。
以上、コンテンツ配信システム１を構成する各サーバ、受信装置について説明したが、各サーバの構成はこれに限定されたものではなく、各サーバ内の各手段を１つのサーバとして構成してもよい。逆に、複数のサーバをまとめて１つのサーバとする構成としてもよい。
【０１３８】
［グループ署名について］
以下、本発明で用いているグループ署名について、一例を挙げて説明する。なお、このグループ署名により署名を行う方法は、非特許文献１に記載されているＴＴａＫＥ（Traitor Tracing against Key Exposure）法に基づくものである。
【０１３９】
（グループ署名方法）
まず、利用者固有の情報（例えば、ユーザＩＤ）ｕを持つ利用者が、ｔ回目の一時グループ署名鍵を生成するためのグループ署名鍵生成用多項式ｆ（ｕ，ｔ）は、前記（２）式である。そして、ある時点での一時グループ署名鍵がＳＫu,tであったとすると、以下の（８）式が満たされることになる。
【０１４０】
【数８】
2006203819.tif 000010
【０１４１】
ここで、ｔを固定した場合、この（８）式を以下の（９）式に変形することができる。
【０１４２】
【数９】
2006203819.tif 000011
【０１４３】
この一時グループ署名鍵ＳＫu,tを用いて署名を生成するには、以下の手順により行う。なお、本発明におけるトークングループ署名手段６４（図６）において、トークンに署名を行う際のグループ署名は、以下の手順において、ｔ＝０とすればよい。これによって、ＳＫu,tは、ｕのみが変数となる多項式となる。
まず、トークングループ署名手段６４は、有限体Ｚqの中から任意の値γα,i，γβ,i，γχ,iを選択（γα,i，γβ,i，γχ,i∈RＺq（０≦ｉ≦ｌ））する。
そして、トークングループ署名手段６４は、ＲＳＡ暗号、ＥｌＧａｍａｌ暗号等の公開鍵暗号方式により、以下の（１０）式に示すように、暗号化された暗号文Ｃ(0)i,t及びＣ(1)i,tを作成する。ここで、「ｅｎｃ（）」は、暗号化関数を示している。
【０１４４】
【数１０】
2006203819.tif 000012
【０１４５】
続けて、トークングループ署名手段６４は、ハッシュ（ｈａｓｈ）関数により、以下の（１１）式に示すように、乱数ｃを生成する。ここで、ｍは署名対象のデータである。
【０１４６】
【数１１】
2006203819.tif 000013
【０１４７】
そして、トークングループ署名手段６４は、グループ署名を検証するための検証用データｓi,t及びｄiを、以下の（１２）式により算出する。
【０１４８】
【数１２】
2006203819.tif 000014
【０１４９】
そして、トークングループ署名手段６４は、以下の（１３）式に示すような、グループ署名Ｇｓｉｇを生成し、署名を行うデータに付加する。
【０１５０】
【数１３】
2006203819.tif 000015
【０１５１】
（グループ署名検証方法）
次に、グループ署名方法で説明した前記（１３）式で生成されたグループ署名Ｇｓｉｇを検証する方法について説明する。
本発明においては、利用者特定サーバ２０のグループ署名検証手段２３（図３）が、グループ署名Ｇｓｉｇに含まれる値を用いて、各ｉ（０≦ｉ≦ｌ）において、以下の（１４）式が成り立つことを検証する。
【０１５２】
【数１４】
2006203819.tif 000016
【０１５３】
すなわち、グループ署名検証手段２３は、この（１４）式が成り立つ場合、正規の利用者が付加したグループ署名であると判定する。
【０１５４】
（グループ署名者特定方法）
次に、グループ署名を付加した利用者（グループ署名者）を特定する方法について説明する。
本発明においては、利用者特定サーバ２０のグループ署名者特定手段２４（図３）が、グループ署名を付加した利用者（グループ署名者）の特定を行っている。
まず、グループ署名者特定手段２４は、以下の（１５）式に示すように、グループ署名から、グループ署名鍵（一時グループ署名鍵）ＳＫu,tを抽出する。ここで、「ｄｅｃ（）」は、前記（１０）式の「ｅｎｃ（）」の逆関数である。
【０１５５】
【数１５】
2006203819.tif 000017
【０１５６】
そして、グループ署名者特定手段２４は、前記（２）式に示したグループ署名鍵生成用多項式f（ｕ，t）に、ｔとｕとを代入することで、一時グループ署名鍵ＳＫu,tと一致するｕを求める。ここで、求められたｕが、グループ署名を行った利用者を特定する情報（例えば、ユーザＩＤ）となり、利用者（グループ署名者）が特定されたことになる。
【０１５７】
［コンテンツ配信システムの動作］
次に、コンテンツ配信システム１（図１）の動作について説明する。
（グループ署名鍵、一時グループ署名鍵生成用秘密情報生成動作）
まず、図８を参照（構成については適宜図２参照）して、グループ署名鍵生成サーバ１０において、グループ署名鍵、及び、一時グループ署名鍵生成用秘密情報を生成する動作について説明する。図８は、グループ署名鍵生成サーバにおいて、グループ署名鍵、及び、一時グループ署名鍵生成用秘密情報を生成する動作を示すフローチャートである。
【０１５８】
まず、グループ署名鍵生成サーバ１０は、グループ署名検証鍵生成手段１１ａによって、（ｐ−１）の値がｑで割り切れる素数ｐ及びｑを選択し（ステップＳ１０）、数列｛１，２，…，ｑ−１｝から、（ｎ＋１）×（ｍ＋１）個の値をランダムに選択し、その選択された（ｎ＋１）×（ｍ＋１）個の値を係数ａi,j｛０≦ｉ≦ｎ，０≦ｊ≦ｍ｝として選択する（ステップＳ１１）。さらに、グループ署名鍵生成サーバ１０は、グループ署名検証鍵生成手段１１ａによって、位数ｑの乗法に関して群をなす乗法群の生成元ｇを１つ選択する（ステップＳ１２）。
【０１５９】
そして、グループ署名鍵生成サーバ１０は、グループ署名検証鍵生成手段１１ａによって、ステップＳ１０で選択された素数ｐ及びｑと、ステップＳ１２で選択された生成元ｇと、その生成元ｇを係数（ａi,j）乗したべき乗値（ｙ0,0，ｙ0,1，…，ｙn,m）とからなるグループ署名検証鍵ＶＫ（前記（１）式参照）を生成し（ステップＳ１３）、グループ署名関連情報記憶手段１３に記憶する（ステップＳ１４）。
また、グループ署名鍵生成サーバ１０は、グループ署名鍵生成用多項式生成手段１１ｂによって、グループ署名検証鍵ＶＫの対となるグループ署名鍵を生成するためのグループ署名鍵生成用多項式を生成し（ステップＳ１５）、グループ署名関連情報記憶手段１３に記憶する（ステップＳ１６）。
【０１６０】
続けて、グループ署名鍵生成サーバ１０は、グループ署名鍵生成手段１２ａによって、ステップＳ１１で選択された係数｛ａi,j｝と、利用者固有の情報（例えば、ユーザＩＤ）とに基づいて、利用者固有のグループ署名鍵ＳＫu,0（前記（３）式参照）を生成する（ステップＳ１７）。さらに、グループ署名鍵生成サーバ１０は、署名鍵生成情報生成手段１２ｂによって、利用者固有の情報と、ステップＳ１７におけるグループ署名鍵を生成する際に使用された係数とを用いて、一時グループ署名鍵生成用秘密情報ＳＫ*u（前記（４）式参照）を生成する（ステップＳ１８）。
【０１６１】
このステップＳ１７で生成されたグループ署名鍵と、ステップＳ１８で生成された一時グループ署名鍵生成用秘密情報とは、ＩＣカード等の耐タンパ性を有するセキュリティモジュール６０に記憶され、利用者に配布される（ステップＳ１９）。
【０１６２】
（配信用コンテンツ生成動作）
次に、図９を参照（構成については適宜図４参照）して、コンテンツサーバ３０において、配信用コンテンツを生成する動作について説明する。図９は、コンテンツサーバにおいて、配信用コンテンツを生成する動作を示すフローチャートである。
まず、コンテンツサーバ３０は、コンテンツ受信手段３２によって、外部から配信対象となるコンテンツを受信する（ステップＳ２０）。また、コンテンツサーバ３０は、暗号化鍵生成手段３１によって、共通鍵暗号方式による暗号化鍵を生成する（ステップＳ２１）。
【０１６３】
そして、コンテンツサーバ３０は、コンテンツ暗号化手段３３によって、ステップＳ２０で受信したコンテンツを、ステップＳ２１で生成した暗号化鍵で暗号化し、暗号化コンテンツ（配信用コンテンツ）を生成し（ステップＳ２２）、暗号化鍵及び配信用コンテンツを、コンテンツ記憶手段３５に記憶する（ステップＳ２３）。
【０１６４】
さらに、コンテンツサーバ３０は、コンテンツ料金受信手段３４によって、外部から配信用コンテンツに対応するコンテンツ料金を示すコンテンツ料金情報を受信し、配信用コンテンツに対応付けて、コンテンツ記憶手段３５に記憶する（ステップＳ２４）。
これによって、コンテンツ記憶手段３５に、配信用のコンテンツが準備されたことになる。
【０１６５】
（トークン、一時グループ署名鍵生成動作）
次に、図１０（構成については適宜図６参照）して、利用者固定端末５０に装着されているセキュリティモジュール６０において、トークン、一時グループ署名鍵を生成する動作について説明する。図１０は、セキュリティモジュールにおいて、トークン、一時グループ署名鍵を生成する動作を示すフローチャートである。
【０１６６】
まず、セキュリティモジュール６０は、トークン生成手段６３によって、有限体Ｚ*pの部分群Ｇqの中から任意の数値ｍ、ｎ、ａを選択（ｍ，ｎ，ａ∈Ｇq）し（ステップＳ３０）、利用者を特定する識別情報（例えば、ユーザＩＤ）ｕを用いて、「ｕ＝ａ×ｂ」となる数値ｂを算出する（ステップＳ３１）。
【０１６７】
そして、セキュリティモジュール６０は、トークン生成手段６３によって、ステップＳ３０で選択された数値ｍ、ｎ、ａと、ステップＳ３１で算出された数値ｂと、生成元ｇとに基づいて、トークン「Ｔｏｋｅｎ＝＜ｇm，ｇn，ｇa，ｇb＞」を生成する（ステップＳ３２）。
さらに、セキュリティモジュール６０は、一時グループ署名鍵生成手段６２によって、過去（現時点を“ｔ”としたときの“ｔ−１”の時点）に生成された一時グループ署名鍵ＳＫu,t-1を用いて、新たな一時グループ署名鍵ＳＫu,tを生成する（ステップＳ３３）。
【０１６８】
そして、セキュリティモジュール６０は、トークングループ署名手段６４によって、ステップＳ３２で生成されたトークンと、ステップＳ３３において一時グループ署名鍵を生成した時点を示す値ｔとを合成し（ステップＳ３４）、その合成した値（＜Ｔｏｋｅｎ‖ｔ＞）に対して、秘密情報記憶手段６１に記憶されているグループ署名鍵ＳＫu,0を用いて、グループ署名を付加し、署名付きトークンを生成する（ステップＳ３５）。
このようにして生成された署名付きトークン、一時グループ署名鍵を、利用者を認証する認証情報として、外部の記録媒体８０に記録することで、利用者は、他のコンテンツ受信装置（コンテンツ受信端末７０）において、コンテンツを利用することが可能になる。
このステップＳ３０〜ステップＳ３５が、特許請求の範囲の認証情報生成ステップに相当する。
【０１６９】
（コンテンツ配信動作）
次に、図１１を参照（構成については適宜図３、図４、図５及び図７参照）して、コンテンツ配信システム１（図１）におけるコンテンツの配信動作について説明する。図１１は、コンテンツ配信システムにおいて、コンテンツを配信する動作を示すフローチャートである。
【０１７０】
まず、コンテンツ受信端末７０において、コンテンツ要求書送信手段５１が、利用者が所望するコンテンツを特定するコンテンツ識別情報（例えばファイル名等）を記載したコンテンツ要求書を生成し（ステップＳＡ１）、コンテンツ配信サーバ４０に送信する（ステップＳＡ２）。
【０１７１】
そして、コンテンツ配信サーバ４０において、コンテンツ要求書受信手段４１が、コンテンツ受信端末７０から送信されたコンテンツ要求書を受信し（ステップＳＢ１）、コンテンツ要求送信手段４２が、コンテンツ要求書に記載されているコンテンツ識別情報をコンテンツの配信要求（コンテンツ要求）として、コンテンツサーバ３０に送信する（ステップＳＢ２）。
【０１７２】
そして、コンテンツサーバ３０において、コンテンツ要求受信手段３６が、コンテンツ配信サーバ４０から送信されたコンテンツ要求を受信する（ステップＳＣ１）。続けて、コンテンツ料金送信手段３９が、コンテンツ識別情報に対応するコンテンツ料金情報を、コンテンツ記憶手段３５から読み出して（ステップＳＣ２）、要求のあったコンテンツ配信サーバ４０に送信する（ステップＳＣ３）。また、配信用コンテンツ送信手段３８が、コンテンツ識別情報に対応する配信用コンテンツを、コンテンツ記憶手段３５から読み出して（ステップＳＣ４）、要求のあったコンテンツ配信サーバ４０に送信する（ステップＳＣ５）。さらに、暗号化鍵送信手段３７が、コンテンツ識別情報に対応する暗号化鍵を、コンテンツ記憶手段３５から読み出して（ステップＳＣ６）、要求のあったコンテンツ配信サーバ４０に、復号化鍵として送信する（ステップＳＣ７）。
【０１７３】
また、コンテンツ配信サーバ４０において、コンテンツ料金受信手段４６が、コンテンツサーバ３０から送信されたコンテンツ料金情報を受信し（ステップＳＢ３）、コンテンツ料金送信手段４９が、要求のあったコンテンツ受信端末７０にコンテンツ料金情報を送信する（ステップＳＢ４）。
さらに、コンテンツ配信サーバ４０において、トークンチャレンジ選択手段４３ａが、有限体Ｚ*pの部分群Ｇqの中から任意の値α（α∈RＧq）を、トークンチャレンジとして選択し（ステップＳＢ５）、トークンチャレンジ送信手段４３ｂが、要求のあったコンテンツ受信端末７０にそのトークンチャレンジを送信する（ステップＳＢ６）。このステップＳＢ５及びステップＳＢ６が、特許請求の範囲のトークンチャレンジ選択ステップに相当する。
【０１７４】
また、コンテンツ受信端末７０において、コンテンツ料金受信手段５２が、コンテンツ配信サーバ４０から送信されたコンテンツ料金情報を受信する（ステップＳＡ３）。また、トークンチャレンジ受信手段５３２が、コンテンツ配信サーバ４０から送信されたトークンチャレンジを受信する（ステップＳＡ４）。
そして、分離手段５３１が、認証情報入力手段７１を介して入力された認証情報であるトークン（署名付きトークン）及びトークン生成用乱数と、一時グループ署名鍵とを分離し、トークンアンサ生成手段５３３が、ステップＳＡ４で受信したトークンチャレンジαと、トークン生成用乱数（ｍ，ｎ，ａ，ｂ）とにより、トークンの検証用の情報であるトークンアンサ（前記（７）式参照）を生成する（ステップＳＡ５；トークンアンサ生成ステップ）。
【０１７５】
さらに、合成手段５３４が、ステップＳＡ３で受信したコンテンツ料金情報と、トークンとを合成し、一時グループ署名鍵でグループ署名を付加し、さらにステップＳＡ５で生成されたトークンアンサを合成することで契約情報を生成する（ステップＳＡ６；契約情報生成ステップ）。
そして、契約情報送信手段５４が、ステップＳＡ６で生成された契約情報をコンテンツ配信サーバ４０に送信する（ステップＳＡ７）。
【０１７６】
また、コンテンツ配信サーバ４０において、契約情報受信手段４３ｃが、コンテンツ受信端末７０から送信された契約情報を受信し（ステップＳＢ７）、契約情報からトークンとグループ署名とを分離する（ステップＳＢ８）。
そして、検証手段４３ｅが、契約情報に付加されているトークンとグループ署名とを検証する（ステップＳＢ９；検証ステップ）。すなわち、検証手段４３ｅのグループ署名検証手段４３１が、グループ署名検証鍵によりトークンに付加されているグループ署名と、契約情報に付加されているグループ署名を検証し、トークン検証手段４３２が、トークンアンサと、ステップＳＢ５で受信したトークンチャレンジに基づいてトークンを検証する。この検証結果で、トークンが不正である場合は、コンテンツ配信のサービスは停止される。
【０１７７】
そして、配信用コンテンツ受信手段４５が、コンテンツサーバ３０から送信された配信用コンテンツを受信し（ステップＳＢ１０）、ステップＳＢ９において、トークンが正規のトークンである場合に、受信した配信用コンテンツを、要求のあったコンテンツ受信端末７０に送信する（ステップＳＢ１１）。さらに、復号化鍵受信手段４４が、コンテンツサーバ３０から送信された復号化鍵を受信し（ステップＳＢ１２）、ステップＳＢ９において、トークンが正規のトークンである場合に、受信した復号化鍵を、要求のあったコンテンツ受信端末７０に送信する（ステップＳＢ１３）。
さらに、課金要求送信手段４３ｆが、契約情報を含んだ課金要求を利用者特定サーバ２０に送信する（ステップＳＢ１４）。
【０１７８】
そして、コンテンツ受信端末７０において、配信用コンテンツ受信手段５６が、コンテンツ配信サーバ４０から配信された配信用コンテンツを受信し（ステップＳＡ８）、復号化鍵受信手段５５が、同じくコンテンツ配信サーバ４０から配信された復号化鍵を受信する（ステップＳＡ９）。
そして、コンテンツ復号手段５７が、ステップＳＡ８で受信した配信用コンテンツを、ステップＳＡ９で受信した復号化鍵で復号することで、コンテンツを再生する（ステップＳＡ１０）。
【０１７９】
一方、利用者特定サーバ２０において、課金要求受信手段２２が、コンテンツ配信サーバ４０から送信された課金要求を受信する（ステップＳＤ１）。
そして、グループ署名検証手段２３が、契約情報に付加されているグループ署名を、グループ署名関連情報受信手段２１で受信したグループ署名検証鍵で検証する（ステップＳＤ２）。そして、グループ署名の検証が正規の利用者によって付加されていると検証された場合に、グループ署名者特定手段２４が、グループ署名鍵生成用多項式と、ステップＳＤ１で受信した課金要求に含まれる契約情報に付加されているグループ署名鍵（一時グループ署名鍵）の発行回数とに基づいて、グループ署名を付加した利用者（署名者）を特定する（ステップＳＤ３）。
【０１８０】
これによって、コンテンツを利用した利用者が特定され、その利用者に対する課金処理がなされる（ステップＳＤ４）。なお、このステップＳＤ４は、利用者特定サーバ２０外の利用者登録用コンテンツプロバイダ側における、一般的な課金装置において行われる。
以上の動作によって、コンテンツ配信システム１は、セキュリティモジュール６０を備えていないコンテンツ受信端末７０においても、正規の利用者を検証し、その利用者に対してコンテンツを提供することができる。
なお、本実施の形態において、非特許文献１に記載されているＴＴａＫＥにおけるユーザの秘密鍵であるグループ署名鍵と、他の秘密鍵である一時グループ秘密鍵を使用することとしたが、ＴＴａＫＥに限らず、一般的なグループ署名鍵を用いることとしてもよい。
【図面の簡単な説明】
【０１８１】
【図１】本発明に係るコンテンツ配信システムの構成を示すブロック図である。
【図２】グループ署名鍵生成サーバの構成を示すブロック図である。
【図３】利用者特定サーバの構成を示すブロック図である。
【図４】コンテンツサーバの構成を示すブロック図である。
【図５】コンテンツ配信サーバ（契約情報検証装置を含む）の構成を示すブロック図である。
【図６】利用者固定端末（セキュリティモジュールを含む）の構成を示すブロック図である。
【図７】コンテンツ受信端末（契約情報生成装置を含む）の構成を示すブロック図である。
【図８】グループ署名鍵生成サーバにおいて、グループ署名鍵、及び、一時グループ署名鍵生成用秘密情報を生成する動作を示すフローチャートである。
【図９】コンテンツサーバにおいて、配信用コンテンツを生成する動作を示すフローチャートである。
【図１０】セキュリティモジュールにおいて、トークン、一時グループ署名鍵を生成する動作を示すフローチャートである。
【図１１】コンテンツ配信システムにおいて、コンテンツを配信する動作を示すフローチャートである。
【符号の説明】
【０１８２】
１      コンテンツ配信システム
１０    グループ署名鍵生成サーバ（グループ署名鍵生成装置）
１１    公開情報生成手段
１１ａ  グループ署名検証鍵生成手段
１１ｂ  グループ署名鍵生成用多項式生成手段
１２    秘密情報生成手段
１２ａ  グループ署名鍵生成手段
１２ｂ  署名鍵生成情報生成手段
１３    公開情報記憶手段
１４    グループ署名関連情報送信手段
１５    検証鍵送信手段
２０    利用者特定サーバ
２１    グループ署名関連情報受信手段
２２    課金要求受信手段
２３    グループ署名検証手段
２４    グループ署名者特定手段
３０    コンテンツサーバ
３１    暗号化鍵生成手段
３２    コンテンツ受信手段
３３    コンテンツ暗号化手段
３４    コンテンツ料金受信手段
３５    コンテンツ記憶手段
３６    コンテンツ要求受信手段
３７    暗号化鍵送信手段
３８    配信用コンテンツ送信手段
３９    コンテンツ料金送信手段
４０    コンテンツ配信サーバ
４１    コンテンツ要求書受信手段
４２    コンテンツ要求送信手段
４３    契約情報検証手段（契約情報検証装置）
４３ａ  トークンチャレンジ選択手段
４３ｂ  トークンチャレンジ送信手段
４３ｃ  契約情報受信手段
４３ｄ  検証鍵受信手段
４３ｆ  課金要求送信手段
４３ｅ  検証手段
４３１  グループ署名検証手段
４３２  トークン検証手段
４４    復号化鍵受信手段
４５    配信用コンテンツ受信手段
４６    コンテンツ料金受信手段
４７    復号化鍵装置手段
４８    配信用コンテンツ送信手段
４９    コンテンツ料金送信手段
５０    利用者固定端末（コンテンツ受信装置、第１のコンテンツ受信装置）
５１    コンテンツ要求書送信手段
５２    コンテンツ料金送信手段
５３    契約情報生成手段
５４    契約情報送信手段
５５    復号化鍵受信手段
５６    配信用コンテンツ受信手段
５７    コンテンツ復号手段
５８    認証情報出力手段
５９    旧一時グループ署名鍵入力手段
６０    セキュリティモジュール
６１    秘密情報記憶手段
６２    一時グループ署名鍵生成手段
６３    トークン生成手段
６４    トークングループ署名手段
６５    契約情報グループ署名手段
７０    コンテンツ受信端末（コンテンツ受信装置、第２のコンテンツ受信装置）
５３Ｂ  契約情報生成手段（契約情報生成装置）
５３１  分離手段
５３２  トークンチャレンジ受信手段
５３３  トークンアンサ生成手段
５３４  合成手段
７１    認証情報入力手段
【図１】
2006203819.tif 000018
【図２】
2006203819.tif 000019
【図３】
2006203819.tif 000020
【図４】
2006203819.tif 000021
【図５】
2006203819.tif 000022
【図６】
2006203819.tif 000023
【図７】
2006203819.tif 000024
【図８】
2006203819.tif 000025
【図９】
2006203819.tif 000026
【図１０】
2006203819.tif 000027
【図１１】
2006203819.tif 000028