(57)【特許請求の範囲】
【請求項１】
端末（２ｉ）からデータを受信する受信手段（Ｒ）と、生成された制御語を前記端末（２ｉ）に送付する手段（Ｓ）とを備える契約者電子デバイス（１）であって、前記制御語ｋ’を使用して、符号化されたコンテンツＣを復号し、前記コンテンツの平文Ｍを生成する方法（２００）を実施する前記端末（２ｉ）と協働する前記契約者電子デバイス（１）の処理手段（１０）によって実施され、
前記受信手段（Ｒ）によって、タグｔで構成されているデータを受信するステップ（１０１）と、
前記受信されたタグｔを使用することにより現在の暗号期間を決定するステップ（１０３）と、
前記現在の暗号期間ｃｐ、および前記デバイスによって記憶（２３）されかつ前記暗号期間ｃｐに依存しない秘密ＳＫｉから前記制御語ｋ’を生成するステップ（１０５）と、
前記デバイスの前記送付する手段（Ｓ）を使用して前記制御語ｋ’を送付するステップと、
を備える、前記制御語ｋ’を生成する方法（１００）であって、
前記契約者電子デバイスに専用の識別子ｉの値は、事前に前記契約者電子デバイスによって記憶（２２）され、他のいずれかの契約者デバイスによって記憶された値と区別可能であることと、
前記識別子ｉの値は、前記制御語ｋ’＝ｋｉ，ｃｐを生成（１０５）するステップの前記制御語ｋ’＝ｋｉ，ｃｐの計算に寄与し、前記制御語ｋ’＝ｋｉ，ｃｐの値は、同一の前記暗号期間ｃｐに対して、第２の契約者電子デバイスによって生成された値と区別可能であることと、
前記制御語ｋ’＝ｋｉ，ｃｐの前記専用の識別子ｉの寄与を取り除いて、前記識別子ｉに依存せず、かつ、前記制御語ｋ’＝ｋｉ，ｃｐに応じた語Ｋを生成する、ｋ’＝ｋｉ，ｃｐの生成と対をなすステップ（２０１）と、前記語Ｋを使用して前記平文Ｍを生成するステップ（２０４）と、を含む前記復号する方法（２００）が実施されるように、制御語ｋ’＝ｋｉ，ｃｐを生成する方法と、前記符号化されたコンテンツＣを復号（２００）する方法とが、それぞれ相互に実施されることと、
を特徴とする方法。
【請求項２】
前記秘密ＳＫｉを前記デバイス（１ｉ）の記憶手段（２３）に記憶する事前ステップ（１４０）を備えることを特徴とする、請求項１に記載の方法。
【請求項３】
制御語を生成する（１０５）権限を前記デバイス（１ｉ）に付与する事前ステップ（１０９）を備えることを特徴とする、請求項１または２に記載の方法。
【請求項４】
前記生成された制御語ｋｉ，ｃｐに等しい制御語ｋ’を送付（１０６）する権限を前記デバイス（１）に付与する事前ステップ（１０９）を備えることを特徴とする、請求項１または２に記載の方法。
【請求項５】
前記デバイス（１）に権限を付与する前記事前ステップ（１０９）は、前記タグｔから導出される前記暗号期間ｃｐを、前記デバイスに記憶（２４）されている、アクティベーションがなされた日（ｃｐｂ）と比較し、前記暗号期間ｃｐが前記アクティベーションがなされた日より後である場合、前記デバイスに権限を付与するステップを含むことを特徴とする、請求項３または４に記載の方法。
【請求項６】
前記デバイス（１）に権限を付与する前記事前ステップ（１０９）は、前記タグｔから導出された前記暗号期間ｃｐを前記デバイスに記憶（２５）されている満了日（ｃｐｅ）と比較し、前記暗号期間ｃｐが前記満了日より前である場合、前記デバイスに権限を付与するステップを含むことを特徴とする、請求項３または４に記載の方法。
【請求項７】
前記タグｔが、無効化要求を特徴づける値（ｕｒ）をもつ成分ｕを含む場合、および、前記タグｔが前記デバイスの前記識別子ｉを指定する成分ｖをさらに含む場合、前記タグｔから既に導出（１０３）された暗号期間値を満了日（ｃｐｅ）として前記デバイスの記憶手段（２５）に書き込むステップ（１１１）を備えることを特徴とする、請求項６に記載の方法。
【請求項８】
前記タグｔが、回復要求を特徴づける値（ｕａ）をもつ成分ｕを含む場合、かつ、前記タグが前記デバイスの前記識別子ｉを指定する成分をさらに含む場合、期限なしを指示する値に等しくなるように記憶手段（２５）の中の満期日ｃｐｅを再び初期化するステップ（１１３）を備えることを特徴とする、請求項６または７に記載の方法。
【請求項９】
端末（２ｉ，２ａ，．．．，２Ｐ）と協働し、
前記端末（２）からデータを受信する受信手段（Ｒ）と、
前記データから制御語を生成する処理手段（１０）と、
前記制御語を前記端末（２）に送付する手段（Ｓ）と、
を備える契約者電子デバイス（１ｉ）であって、
前記契約者電子デバイスに専用の識別子ｉおよび秘密ＳＫｉを記憶する記憶手段（２２，２３）を備え、前記識別子ｉの値は、他のいずれかの契約者デバイスによって記憶された値と区別可能であることと、
前記処理手段（１０）が請求項１から８のいずれか１項に記載の追跡可能な制御語ｋｉ，ｃｐを生成する方法を使用して追跡可能な制御語ｋ’＝ｋｉ，ｃｐを生成することと、
を特徴とする契約者電子デバイス。
【請求項１０】
端末（２ｉ）の外部からデータを受信する手段およびコンテンツの平文Ｍを送付する手段と協働する端末（２ｉ）の処理手段によって実施され、符号化されたコンテンツＣを復号し、前記コンテンツの前記平文Ｍを生成する方法（２００）であって、
前記データは、前記符号化されたコンテンツＣと、ヘッダＨと、契約者電子デバイス（１ｉ）によって請求項１から８のいずれかに記載の方法を使用して生成され送付される追跡可能な制御語ｋｉ，ｃｐとを含み、前記契約者電子デバイスに専用の識別子ｉの値は、前記契約者電子デバイスによって記憶され、他のいずれかの契約者デバイスによって記憶された値と区別可能であり、前記制御語ｋｉ，ｃｐの計算に寄与することと、
第１の関数Ｆ１を前記ヘッダＨおよび前記制御語ｋｉ，ｃｐに適用することによって、前記制御語ｋ’＝ｋｉ，ｃｐの前記専用の識別子ｉの寄与を取り除いて、前記識別子ｉに依存せずかつ前記制御語ｋ’＝ｋｉ，ｃｐに応じた語Ｋを生成（２０３）する、ｋ’＝ｋｉ，ｃｐの生成と対をなすステップ（２０１）と、
第２の関数Ｆ３を前記語Ｋおよび前記符号化されたコンテンツＣに適用することによって、前記コンテンツの前記平文Ｍを生成するステップ（２０４）と、
前記端末の前記送付手段（２０５）を介して前記コンテンツの前記平文Ｍを送付するステップと、
を備えることと、
を特徴とする方法。
【請求項１１】
前記コンテンツの前記平文Ｍを生成するため関数Ｆ３を適用する前に、第３の関数Ｆ２を前記生成された語Ｋに適用することによって、前記語のフォーマットを適合させるステップ（２０２）を備えることを特徴とする、請求項１０に記載の方法。
【請求項１２】
外部からデータを受信する受信手段と、
前記データからコンテンツの平文Ｍを生成する処理手段（１０）と、
前記コンテンツの前記平文をレンダリングするマン・マシン・インターフェース（５）に前記コンテンツの前記平文を送付する手段と、
契約者電子デバイス（１ｉ）と協働する手段と、
を備える電子端末（２ｉ）であって、
前記外部から受信された前記データは、このとき、符号化されたコンテンツＣと、ヘッダＨと、タグｔとを含むことと、
前記契約者電子デバイス（１ｉ）と協働する前記手段は、前記タグｔを前記契約者電子デバイスに送信し、代わりに、前記契約者電子デバイスによって生成される追跡可能な制御語ｋｉ，ｃｐを受信するように設計され、前記契約者電子デバイスに専用の識別子の値は、前記追跡可能な制御語の計算に寄与し、前記契約者電子デバイスによって記憶され、他のいずれかの契約者デバイスによって記憶された値と区別可能であることと、
前記端末は、請求項１０または１１に記載の方法を使用して前記コンテンツを復号し、前記コンテンツの前記平文Ｍを送付する処理手段を備えることと、
を特徴とする電子端末。
【請求項１３】
符号化されたコンテンツＣを端末に送付する手段と、契約者電子デバイスによって使用されるデータを生成する手段とを備えるサーバ（３）の処理手段によって実施される、コンテンツの平文Ｍを符号化し、符号化されたコンテンツＣを生成する方法（４１０）であって、
前記サーバが知っている暗号期間ｃｐおよび秘密ＭＫから符号化されたコンテンツＣを生成するステップ（４１４）と、
前記符号化されたコンテンツＣを生成した前記暗号期間ｃｐを特徴付け、前記契約者電子デバイスによって使用されるタグｔを生成するステップを備え、
前記契約者電子デバイスに専用の識別子の値は、前記デバイスによって記憶され、他のいずれかのデバイスによって記憶された値と区別可能であり、請求項１から８のいずれかに記載の方法に従って、追跡可能な制御語ｋｉ，ｃｐを生成することに寄与し、
前記制御語ｋｉ，ｃｐの前記専用の識別子ｉの寄与を取り除き、請求項１０または１１に記載の方法に従って、前記端末によって、符号化された前記コンテンツの復号を可能にするように、請求項１２に記載の前記端末によって使用されるヘッダＨを計算し、送付するステップ（４１３ａ）と、
前記符号化されたコンテンツＣと、前記ヘッダＨと、前記タグｔとを一緒に送付するステップと、
をさらに備えることを特徴とする方法。
【請求項１４】
請求項１３に記載の方法を使用して、
コンテンツの平文、暗号期間ｃｐおよび秘密ＭＫからの符号化されたコンテンツと、
タグｔと、
ヘッダＨと、
を生成し、外部（４、２）に送付する処理手段を備えることを特徴とするサーバ（３）。
【請求項１５】
前記端末が請求項１０または１１に記載の復号方法（２００）を実施することを可能にするように、ヘッダＨを生成（１０５ａ）し、前記端末に送付（１０６ａ）するステップをさらに備えることを特徴とする、請求項１から８のいずれかに記載の方法（１００）。
【請求項１６】
前記処理手段（１０）は、請求項１５に記載の方法を使用して、ヘッダＨをさらに生成し、送付する能力があることを特徴とする、請求項９に記載のデバイス（１ｉ）。
【請求項１７】
請求項１４に記載のサーバ（３）と、請求項１２に記載の端末（２ｉ）と、請求項９に記載の電子デバイス（１ｉ）とを備えることを特徴とする、デジタルコンテンツの限定受信システム。
【請求項１８】
タグｔと、コンテンツの平文Ｍ、暗号期間ｃｐおよび秘密ＭＫから符号化されたコンテンツＣとを生成する処理手段を備えるサーバ（３）と、請求項１２に記載の端末（２ｉ）と、請求項１６に記載の電子デバイス（１ｉ）とを備えることを特徴とする、デジタルコンテンツの限定受信システム。
【請求項１９】
情報処理装置の処理手段によって実施され、不正契約者電子デバイスによって生成された制御語ｋｐ，ｃｐを追跡する方法であって、
前記契約者電子デバイスは、請求項１から８、または、１５のいずれかに記載の方法（１００）を実施する、請求項９または１６に記載のデバイスであり、前記契約者電子デバイスに専用の識別子ｉの値は、前記デバイスに記憶され、他のいずれかの契約者デバイスによって記憶された値と区別可能であり、前記制御語ｋｉ，ｃｐの生成に寄与することと、
前記制御語ｋｐ，ｃｐを収集するステップと、
前記制御語ｋｐ，ｃｐを使用して、符号化されたコンテンツを復号する能力があるユーティリティまたは侵害者復号プログラムを収集するステップと、
ｋｐ，ｃｐを生成したデバイスの識別子ｉ＝ｐを決定するステップと、
を備え、前記デバイスの識別子を決定するステップが、
ｉ．前記ユーティリティまたは前記復号プログラムを解釈することによって、個々の演算が少なくとも１つの入力変数および少なくとも１つの出力変数を含む代数的演算および関係演算の形をした命令の組を表現する、等価なプログラムを設計するステップと、
ｉｉ．前記等価なプログラムが前記符号化されたコンテンツを正しく復号するように、前記入力変数に定数を設定するステップと、
ｉｉｉ．前記等価なプログラムがジャンプ命令を含まない命令の系列だけを含むように、前記等価なプログラムを簡略化するステップと、
ｉｖ．代数的変換を使用して、前記簡略化された等価なプログラムを多変数の方程式系に変換するステップと、
ｖ．前記多変数の方程式系の全部または一部を倒置するステップと、
を含むことと、
を特徴とする方法。
【請求項２０】
サーバ（３）によって、請求項１３に記載の方法を使用して、符号化されたコンテンツＣ、タグｔ、およびヘッダＨを生成し、送付するステップ（４１０）と、
端末（２ｉ）によって、前記符号化されたコンテンツＣ、前記タグｔ、および前記ヘッダＨを受信するステップと、
前記端末によって、前記タグｔを前記端末と協働するデバイス（１ｉ）に送信するステップと、
前記デバイス（１ｉ）によって、請求項１から８のいずれかに記載の方法を使用して、追跡可能な制御語ｋｉ，ｃｐを生成し、前記端末（２ｉ）に送付するステップ（１００）と、
前記端末（２ｉ）によって、請求項１０または１１に記載の方法を使用して、前記符号化されたコンテンツＣを復号し、前記コンテンツの前記平文Ｍを生成するステップ（２００）と、
マン・マシン・インターフェース（５）を使用して前記コンテンツの前記平文Ｍをレンダリングするステップと、
を備える、デジタルコンテンツの限定受信方法。
【請求項２１】
サーバによって、符号化されたコンテンツＣと、前記符号化されたコンテンツＣを生成した暗号期間ｃｐを特徴付けるタグｔとを生成し、送付するステップ（４１０）と、
端末（２ｉ）によって、前記符号化されたコンテンツＣおよび前記タグｔを受信するステップと、
前記端末によって、前記タグｔを、前記端末と協働するデバイス（１ｉ）に送信するステップと、
前記デバイス（１ｉ）によって、請求項１５に記載の方法を使用して、追跡可能な制御語ｋｉ，ｃｐおよびヘッダＨを生成し、前記端末（２ｉ）に送信するステップ（１００）と、
前記端末（２ｉ）によって、請求項１０または１１に記載の方法を使用して、前記符号化されたコンテンツＣを復号し、前記コンテンツの平文Ｍを生成するステップ（２００）と、
マン・マシン・インターフェース（５）を使用して前記コンテンツの前記平文Ｍをレンダリングするステップと、
を備える、デジタルコンテンツの限定受信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ハッキング端末による、合法的に獲得された真正の電子デバイスの使用を阻止することを可能にする、デジタルコンテンツの限定受信のためのシステムおよび方法に関する。本発明は、このようにして、保護されたマルチメディアコンテンツの不正な提供に効果的に対抗することを可能にする。
【０００２】
本発明は、このようなデバイスの適合と、電子デバイスの一時的または恒久的な無効化、または、この無効化の実行可能な回復をそれぞれに開始する方法とにさらに関する。本発明は、限定受信方法の実施を可能にする端末の適合にさらに関する。
【背景技術】
【０００３】
デジタルコンテンツを放送する運営者は、通常は、保護されたコンテンツを１人以上の契約者に提供するため限定受信システム（ＣＡＳ）を運営する。このようなシステムは、通常は、契約者の身元および／または権利の情報を提供し、暗号化演算、復号化演算、または数生成演算を実行するため、スマートカードのようなセキュアな電子デバイスに依存する。
【０００４】
公知の限定受信システムにおいては、保護されたマルチメディアコンテンツを放送するため、暗号化された制御語ｃおよび符号化されたコンテンツＣが、少なくとも、放送運営者によって既知であり、かつ、制御される規則的な間隔または暗号期間で、放送ネットワークを介して送信される。暗号化された制御語は、通常は、ｋが上記制御語の値であるとして、ｃ＝Ｅ（ｋ）であるような暗号化関数Ｅを使用して取得される。符号化されたコンテンツＣは、Ｍがマルチメディアコンテンツの平文であるとして、Ｃ＝ｅｎｃ（ｋ，Ｍ）であるような符号化関数ｅｎｃおよび上記制御語ｋを使用して取得される。一例として、符号化関数は、規格ＤＶＢ−ＣＳＡ（Ｄｉｇｉｔａｌ  Ｖｉｄｅｏ  Ｂｒｏａｄｃａｓｔｉｎｇ−Ｃｏｍｍｏｎ  Ｓｃｒａｍｂｌｉｎｇ  Ａｌｇｏｒｉｔｈｍ）に従うことがある。保護されたコンテンツを視聴できるようにするため、１人１人が契約を取得しなければならない。契約者は、通常は、デコーダまたは「セットトップボックス」と一般に呼ばれる端末に連結され、契約者が保護されたコンテンツを復号することを可能にするスマートカードの形をした専用デバイスを入手する。暗号化された制御語ｃは、これまでは、制御語ｋを端末に供給する契約者デバイスを使用して復号されている。端末は、符号化されたコンテンツＣを復号する役割を担い、適当なマン・マシン・インターフェース、たとえば、家庭用テレビを使用して、コンテンツの平文Ｍにアクセスすることを可能にする。
【０００５】
典型的に、「ハッカー」は、保護されたコンテンツＣを復号する目的のため適合した端末を使用してこの目的を達成することを可能にする復号された制御語ｋを送信するため侵害者ネットワークを使用することを目指して不正取引を行おうとする。第１の脅威および攻撃では、ハッカーが契約者電子デバイスのセキュリティを「破る」ことを試した。暗号化の装置、アルゴリズムまたは秘密の知識によって、ハッカーは、次に、このようなデバイスを「複製する」またはエミュレートし、そして、ある種の「複製品」を不正契約者が利用できるようにすることが可能である。
【０００６】
このようなデバイスのより一層の、いわば犯すことのできないロバストさがきっかけとなって、ハッカーは、（スマートカードのような）契約者デバイスを合法的に獲得し、侵害者端末を設計することになった。上記侵害者端末は、上記デバイスと協働し、「制御語共有（ｃｏｎｔｒｏｌ−ｗｏｒｄ  ｓｈａｒｉｎｇ）」として知られた技術を使用して、侵害者ネットワークまたはチャネルを介して、復号された制御語ｋをリアルタイムで送信する能力があった。復号された制御語を送信することを目指しているこの制御語共有技術は、制御語のサイズが一般に復号されたコンテンツのサイズより遙かに小さいため、狭い帯域幅で侵害者ネットワークを使用することを可能にするので、特に評価されている。
【０００７】
ハッカーを阻止するため、運営者は、通常は、このような侵害者ネットワークの存在を何とか突き止めようとする。ハッカーから契約を取得することにより、運営者は、「複製された」または「エミュレートされた」デバイスを取得し、調査することさえある。しかし、マルチメディアコンテンツの平文にアクセスすることを可能にする制御語ｋが全契約者に対し（または契約者の大集団に対し）同一であるとすると、侵害者ネットワーク上で露呈された制御語から不正行為の原因を特定する可能性がない。したがって、正規に、かつ、正当に獲得されているにもかかわらず、不正に使用されているデバイスを特定することを可能にする公知の方法は存在しない。
【発明の概要】
【０００８】
本発明は、制御語共有の脅威に特に効果的に反応することを可能にする。本発明によってもたらされる多くの利点の中で、本発明が、ハッカーネットワークを介してその値が送信され得る制御語を生成することを許可された契約者デバイスを、遠隔的に追跡することを可能にすることについて言及することができる。実際に、本発明は、契約者デバイス毎に専用かつ別個の制御語を提供することを可能にする。侵害者ネットワークを介して送信されたこのような制御語を観察することは、違法に使用されている契約者デバイスを見つけることを可能にする。本発明は、放送ネットワークを介してコンテンツを引き続き放送しながら、「不正者デバイス」と呼ばれるこのようなデバイスを遠隔的に無効にすることをさらに可能にする。本発明は、このように、侵害行為に対抗するため、特に簡単かつ効率的なツールをコンテンツ放送運営者に提供する。さらに、好ましい一実施形態によれば、契約者デバイスは、少数の計算だけを実行し、コストのかかる計算は、契約者に提供され、上記契約者デバイスと協働する端末において行われる。
【０００９】
上記目的のため、端末からデータを受信する受信手段と、生成された制御語を端末に送付する手段とを備え、端末と協働する契約者電子デバイスの処理手段によって実施される制御語を生成する方法が提供される。上記方法は、
受信手段によって、タグｔで構成されているデータを受信するステップと、
受信されたタグｔを使用することにより現在の暗号期間を決定するステップと、
上記現在の暗号期間ｃｐおよびデバイスによって記憶されている秘密ＳＫｉから制御語を生成するステップと、
デバイスの送付手段を使用して制御語ｋ’を送付するステップと、
を備える。
【００１０】
ハッカーネットワークを介してその値が送信され得る制御語を生成した契約者デバイスを追跡できるようにするため、この方法の制御語を生成するステップは、識別子ｉの値を制御語ｋｉ，ｃｐの計算に統合することにより、現在の暗号期間ｃｐに対して、他のいずれかの契約者デバイスによって生成された制御語の値と区別可能な値をもつ追跡可能な制御語ｋｉ，ｃｐを生成するステップを含む。識別子ｉの上記値は、デバイスによって記憶され、他のいずれかの契約者デバイスによって記憶された値と区別可能である。制御語を送付するステップは、ｋｉ，ｃｐに等しいｋ’を送付するステップを含む。
【００１１】
このような方法を使用して契約者デバイスを無効にするか、または、契約者デバイスに権限を付与することを可能にするため、この方法は、生成された制御語ｋｉ，ｃｐに等しい制御語ｋ’を送付する権限をデバイスに付与する事前ステップを含んでもよい。
【００１２】
場合によっては、コンテンツサーバからこのタスクを取り除くため、この方法は、端末による符号化されたコンテンツの復号を最後に可能にするため、ヘッダＨを計算し、送付するステップを含んでもよい。
【００１３】
追跡可能な制御語を生成する方法を実施するため、本発明は、端末と協働し、
端末からデータを受信する受信手段と、
上記データから制御語を生成する処理手段と、
上記制御語を上記端末に送付する手段と、
を備える契約者電子デバイスを適合させる。
【００１４】
このような適合は、識別子ｉ、秘密ＳＫｉを記憶する記憶手段を有しているデバイスで構成されている。処理手段および記憶手段は、本発明による方法を使用して追跡可能な制御語ｋ’を生成し、送付するためさらに適している。
【００１５】
第２の目的によると、本発明は、外部からデータを受信する手段とコンテンツの上記平文Ｍを送付する手段とに協働する端末の処理手段によって実施される、符号化されたコンテンツＣを復号し、コンテンツの平文Ｍを生成する方法を提供する。本発明によれば、上記データは、上記符号化されたコンテンツＣと、ヘッダＨと、本発明による契約者電子デバイスによって生成され、送付される追跡可能な制御語ｋｉ，ｃｐとで構成されている。制御語が追跡可能であり、したがって、契約者デバイスを互いに区別可能であるときでも、コンテンツが復号されることを可能にするため、復号方法は、
制御語ｋｉ，ｃｐを生成し、送付したデバイスに専用の識別子ｉの寄与を取り除くことにより、上記識別子ｉに依存しない語Ｋを生成するため、第１の関数Ｆ１をヘッダＨおよび制御語ｋｉ，ｃｐに適用するステップと、
コンテンツの平文Ｍを生成するため、第２の関数Ｆ３を上記語Ｋおよび符号化されたコンテンツＣに適用するステップと、
端末の送付手段を介してコンテンツの上記平文Ｍを送付するステップと、
を備える。
【００１６】
符号化されたコンテンツＣを復号し、コンテンツの平文Ｍを生成する方法を実施するため、本発明は、
外部からデータを受信する受信手段と、
上記データからコンテンツの平文Ｍを生成する処理手段と、
コンテンツの上記平文をレンダリングするため適したマン・マシン・インターフェースにコンテンツの上記平文を送付する手段と、
本発明による契約者電子デバイスと協働する手段と、
を備える電子端末を適合させる。
【００１７】
外部から受信されたデータは、このとき、符号化されたコンテンツＣと、ヘッダＨと、タグｔとで構成されている。上記契約者電子デバイスと協働する手段は、上記タグｔを契約者電子デバイスに送信し、代わりに、本発明により生成され、送付される追跡可能な制御語ｋｉ，ｃｐを受信する。端末は、本発明による方法を使用してコンテンツを復号し、平文Ｍを送付する処理手段をさらに備える。
【００１８】
第３の目的によれば、本発明は、符号化されたコンテンツＣを本発明による端末に送付する手段と、さらに本発明による契約者デバイスと協働する手段とを備えるサーバの処理手段によって実施される、コンテンツの平文Ｍを符号化し、符号化されたコンテンツＣを生成する方法を提供する。この方法は、
サーバが知っている暗号期間ｃｐおよび秘密ＭＫから、符号化されたコンテンツＣを生成するステップと、
符号化されたコンテンツＣを生成した暗号期間ｃｐを特徴付けるタグｔを生成し、本発明により、デバイスが追跡可能な制御語を生成し、送付することを可能にするステップと、
本発明により、端末によって、符号化されたコンテンツの復号を可能にするため、ヘッダＨを計算し、送付するステップと、
上記符号化されたコンテンツＣと、ヘッダＨと、上記タグｔとを一緒に送付するステップと、
を備える。
【００１９】
このような方法を実施するため、本発明は、コンテンツの平文、暗号期間ｃｐ、および秘密ＭＫからの符号化されたコンテンツＣと、タグｔおよびヘッダＨとを生成し、送付するため上記方法を実施するようにサーバの処理手段を適合させる。
【００２０】
本発明は、本発明によるサーバと端末と電子デバイスとを備える、デジタルコンテンツの限定受信システムを提供する。
【００２１】
本発明は、
本発明に従って、サーバによって、符号化されたコンテンツＣ、タグｔ、およびヘッダＨを生成し、送付するステップと、
端末によって、上記符号化されたコンテンツＣ、タグｔ、およびヘッダＨを受信するステップと、
端末によって、タグｔを上記端末と協働するデバイスに送信するステップと、
本発明に従って、上記デバイスによって、追跡可能な制御語ｋｉ，ｃｐを生成し、端末に送付するステップと、
本発明に従って、端末によって、符号化されたコンテンツＣを復号し、コンテンツの平文Ｍを生成するステップと、
コンテンツの上記平文に適合したインターフェースを使用してコンテンツの上記平文Ｍをレンダリングするステップと、
を備える、デジタルコンテンツの限定受信方法にさらに関係する。
【００２２】
侵害者ネットワークを観察し、不正に使用されている電子デバイスを特定するため、本発明は、本発明による追跡可能な制御語を生成する方法を使用して、不正契約者デバイスによって生成された制御語ｋｐ，ｃｐを追跡する方法を提供する。このような追跡方法は、
制御語ｋｐ，ｃｐを収集するステップと、
上記制御語ｋｐ，ｃｐを使用して、符号化されたコンテンツを復号する能力があるユーティリティまたは侵害者復号プログラムを収集するステップと、
ｋｐ，ｃｐを生成したデバイスの識別子ｉ＝ｐを決定するステップと、
を備え、このデバイスの識別子を決定するステップは、
ｉ．個々の演算が少なくとも１つの入力変数および少なくとも１つの出力変数を含む代数的演算および関係演算の形をした、命令の組を表現する、等価なプログラムを設計するためユーティリティまたは復号プログラムを解釈するステップと、
ｉｉ．等価なプログラムが符号化されたコンテンツを正しく復号するように、入力変数に定数を設定するステップと、
ｉｉｉ．プログラムがジャンプ命令を含まない命令の系列だけを含むように、上記等価なプログラムを簡略化するステップと、
ｉｖ．代数的変換を使用して、簡略化された等価なプログラムを多変数の方程式系に変換するステップと、
ｖ．不正者デバイスを特定するため、上記多変数の方程式系の全部または一部を倒置するステップと、
により構成されている。
【００２３】
その他の特徴および利点は、以下の説明を読み、添付図面を調べることでより明らかになる。
【図面の簡単な説明】
【００２４】
【図１】技術水準による限定受信システムを示した図である。
【図２】技術水準による限定受信システムを使用して保護されたマルチメディアコンテンツ放送をハッキングするモードを示した図である。
【図３】本発明による限定受信システムの実施形態を記載した図である。
【図３ａ】本発明による限定受信システムの実施形態を記載した図である。
【図４】プライベートネットワークを観察し、不正に使用されている電子デバイスまたは不正者デバイスを特定する方法の本発明による使用を記載した図である。
【図５】本発明による契約者電子デバイスの機能的アーキテクチャを示した図である。
【図５ａ】本発明による制御語を生成する方法の実施形態を示した図である。
【図５ｂ】本発明による制御語を生成する方法の実施形態を示した図である。
【図６】本発明による符号化されたコンテンツを復号する方法の第１の好ましい実施形態を記載した図である。
【図７】本発明によるコンテンツの平文を符号化する方法の第１の好ましい実施形態を記載した図である。
【図８】本発明による限定受信システムを使用するため秘密を生成する方法の第１の好ましい実施形態を記載した図である。
【図９】本発明による限定受信方法の一実施形態を記載した図である。
【発明を実施するための形態】
【００２５】
図１は、技術水準によるデジタルコンテンツの限定受信システムを示す。このシステムは、保護コンテンツ放送運営者によって実施される放送ネットワーク４で構成されている。このようにして、暗号化された制御語ｃおよび符号化されたコンテンツＣは、コンテンツサーバ３から一緒に送信される。そのため、サーバ３は、符号化関数ｅｎｃと、上記サーバ３によって生成された制御語ｋとを使用してコンテンツの平文Ｍを符号化する。Ｃ＝ｅｎｃ（ｋ，Ｍ）のように符号化されたコンテンツＣがこのようして取得される。制御語ｋの暗号ｃも、符号化されたコンテンツＣと共に送信されるか、または、放送される。そのため、サーバは、ｃ＝Ｅ（ｋ）のようなｃを取得するために上記制御語ｋを暗号化するため、暗号化関数Ｅを使用する。
【００２６】
暗号化された制御語ｃおよび暗号化されたコンテンツＣは、放送ネットワーク４を介して、端末２ａ〜２ｍに送信される。端末のそれぞれは、サーバ３によって送信された、符号化されたコンテンツＣのリアルタイム復号の役割を担う。このようにして、たとえば、デコーダ２ａのような端末は、コンテンツの平文Ｍを取得するため、復号関数ｄｅｃを実施し、この復号関数を符号化されたコンテンツＣに適用する。家庭用テレビ５、または、コンテンツの平文をレンダリングする何か他の適当なインターフェースを使用してコンテンツの平文を閲覧することができる。復号関数ｄｅｃを適用するため、端末は、コンテンツＭを符号化するためにサーバ３によって使用された制御語ｋの値を知っていることが必要である。技術水準によれば、図１のとおりに、端末２ａ〜２ｍは、ｃ＝Ｅ（ｋ）のように暗号化された制御語ｃを受信し、通常は、契約者専用のセキュアな電子デバイス１ａ〜１ｍにその制御語ｃを送信する。端末２ａは、ネットワーク４を介してペア（Ｃ，ｃ）を定期的に受信し、暗号化された制御語ｃをデバイス１ａに送信する。デバイス１ａは、コンテンツＭを符号化するために使用された制御語ｋを取得するため、復号関数Ｄを使用して暗号化された制御語ｃを復号することができる。かくして、ｋ＝Ｄ（ｃ）である。同じことは、デバイス１ｂ〜１ｍとそれぞれに協働する端末２ｂ〜２ｍのような他の端末についても当てはまる。代替的な一実施形態によれば、サーバ３は、制御語ｋを暗号化するため、たとえば、鍵Ｋｃの形をした秘密を使用することができる。かくして、ｃ＝Ｅ（Ｋｃ，ｋ）である。この場合、デバイス１ａ〜１ｍのようなデバイスは、Ｋｄがデバイスに既知である復号鍵であるとして、ｋ＝Ｄ（Ｋｄ，ｋ）のように相反の復号関数Ｄを使用する。暗号化関数Ｅおよび復号関数Ｄによれば、鍵ＫｃおよびＫｄを同一にすることができる。これは、対称暗号／復号の場合に相当する。代替的に、「ブロードキャスト暗号」と称されるシステムによれば、Ｋｃは、運営者に専用である公開鍵または秘密鍵であり、Ｋｄは、デバイスに専用であり、かつ、運営者が知っている秘密鍵である。この変形例によれば、数個の個別の復号鍵がこのように存在し、上記運営者の契約者に与えられた、合法的に発行されたデバイスの１つずつがこの個別の復号鍵を有している。
【００２７】
図２は、侵害者集団、いわゆる「ハッカー」が保護されたコンテンツの不正取引にかかわろうとするシナリオを示す。
【００２８】
この第１のシナリオによれば、ハッカーは、コンテンツ運営者から契約を完全に正常に購入している。ハッカーは、このようにして、スマートカード１ａのような契約者電子デバイスを保有することがある。ハッカーは、侵害者端末と称される端末２Ｐをさらに所有している。この端末は、図１に関して記載されたような放送ネットワーク４からペア（Ｃ，ｃ）を受信することができる。端末２Ｐは、暗号化された制御語ｃを送信することを可能にするため上記デバイス１ａと協働することができる。代わりに、デバイス１ａは、復号関数Ｄを使用して暗号ｃを復号することにより制御語ｋを生成する。完全に正常に、デバイス１ａは、制御語ｋを端末２Ｐに送付する。この第１のシナリオによれば、侵害者端末２Ｐは、次に、ハッカーネットワーク６を介して制御語ｋをリアルタイムに送出することができる。ハッカーから会員の「資格を購入」した不正ユーザは、端末２ｗを保有することがある。端末２ｗは、一方で、配信ネットワーク４から符号化されたコンテンツＣを受信し（点線矢印）、他方で、侵害者ネットワーク６から関連した制御語ｋを平文で受信するように適合している。端末２ｗは、符号化されたコンテンツＣを復号し、レンダリングされ得るようにコンテンツの平文Ｍを送付することが可能である。
【００２９】
ハッカーは、１つ以上の運営者から複数の契約を取得することも可能である。侵害者端末２Ｐは、同時に複数の契約者デバイス１ａ〜１ｚと協働し、上記デバイスのための多少複雑なマネージメントアルゴリズムを実施することが可能である。たとえば、侵害者端末は、主にデバイス１ａ〜１ｚを介して復号された制御語ｋを送信する。代替的に、このような端末２Ｐは、１台の電子デバイスまたは別の電子デバイスなどをランダムに探索することが可能である。
【００３０】
代替的に、ハッカーは、場合によっては、侵害者ネットワーク上で送信された制御語ｋを暗号化または符号化するため独自の方法を使用することがある。かくして、Ｅｐがハッカーの独自の暗号化関数であるとして、上記侵害者ネットワーク上で、暗号ｃｐ＝Ｅｐ（ｋ）を送信することが可能である。端末２ｗは、この場合、最後にコンテンツの期待される平文を送付するため相反の復号関数Ｄｐを備える。
【００３１】
本発明は、これらの様々な侵害シナリオを阻むことを可能にする。
【００３２】
図３は、本発明によって提供されるようなデジタルコンテンツの限定受信システムの第１の実施形態を示す。公知のシステムに関して、本発明は、保護コンテンツ放送運営者によって実施される放送ネットワーク４を提供する。符号化されたコンテンツＣは、コンテンツサーバ３から送出される。そのために、サーバ３は、符号化関数ｅｎｃを使用してコンテンツの平文Ｍを符号化する。符号化されたコンテンツＣは、かくして、Ｃ＝ｅｎｃ（Ｍ）のように取得される。タグｔも、符号化されたコンテンツＣと共に送出または放送される。このタグは、特に、現在の暗号期間に関連したデータを格納している。このタグは、サーバがネットワーク４を介して１台以上の契約者デバイス１ａ〜１ｍに送出することを望む、命令またはコンテンツに関するデータをさらに格納することがあり、これらの契約者デバイスは、ネットワーク４を介して放送された要素を受信する能力がある端末２ａ〜２ｍとそれぞれに協働している。この第１の実施形態によれば、ヘッダＨも、符号化されたコンテンツＣおよびタグｔと一緒に放送される。このヘッダは、主として、符号化されたコンテンツを復号するため、どんな端末によっても使用されることになる。
【００３３】
デコーダ２ａ〜２ｍは、それぞれ、サーバ３によって送出された、符号化されたコンテンツＣをリアルタイムで復号する役割を担う。かくして、たとえば、デコーダ２ａのような端末は、コンテンツの平文Ｍを獲得するため、復号関数ｄｅｃを実施し、符号化されたコンテンツＣに復号関数ｄｅｃを適用する。コンテンツの平文は、家庭用テレビ５、または、コンテンツの平文をレンダリングするため適した何か他のデバイスを使用して閲覧することができる。復号関数ｄｅｃを適用するため、端末は端末２ａと協働するセキュアな電子デバイス１ａによって生成され、送付された制御語ｋａ，ｃｐの値と共に、ヘッダＨの値を知っていることが必要である。同じことは、デバイス１ｂ〜１ｍとそれぞれに協働する端末２ｂ〜２ｍのような他の端末についても当てはまる。契約者デバイス１ｉによって送付された制御語ｋｉ，ｃｐは、端末を介してサーバ３から送信されたタグｔと、契約者デバイス１ｉに専用の識別子ｉと、秘密ＳＫｉとを使用して生成され、ｉおよびＳＫｉは契約者デバイス１ｉに記憶されている。各制御語は、かくして、特定の契約者デバイスに固有である。よって、ｋｉ，ｃｐは、デバイス１ｉに固有かつ専用である。この制御語ｋｉ，ｃｐは、他の契約者デバイスにそれぞれ専用である他の制御語とも異なる。符号化されたコンテンツＣを復号するため、端末２ｉは、かくして、Ｍがコンテンツの平文であるとして、Ｍ＝ｄｅｃ（ｋｉ，ｃｐ，Ｃ，Ｈ）のような復号関数ｄｅｃを実施する。
【００３４】
図３ａに関連して示された代替的な一実施形態によれば、サーバ３は、ネットワーク４を介して、符号化されたコンテンツＣと、現在の暗号期間ｃｐを特徴付けるタグｔとだけを端末２ｉを含む端末に送信してもよい。この場合、復号のため必要であるヘッダＨの生成は、図３に関連して記載されたサーバ３により実施される方法と類似した方法で、端末２ｉと協働する契約者デバイス１ｉによって実施される。この変形例は、符号化されたコンテンツを放送するため必要な帯域幅を削減することを可能にする。
【００３５】
（図３または３ａに関連して記載された）実施形態とは無関係に、本発明は、制御語共有の危険性を回避する限定受信システムの実施を可能にする。実際に、符号化されたコンテンツを復号するためデコーダによって使用される制御語は、追跡可能である。制御語は、実際には、それぞれこれらの制御語を生成し、送付した契約者デバイスに専用の識別子に依存している。このように生成された各制御語は、契約者デバイスに唯一で専用のものである。２台の契約者デバイス１ｉおよび１ｊに対し、２つの制御語ｋｉ，ｃｐおよびｋｊ，ｃｐは、ｋｉ，ｃｐ≠ｋｊ，ｃｐであるようにデバイス１ｉおよび１ｊによってそれぞれ生成される。図４は、運営者が、「不正者デバイス」と呼ばれる契約者デバイスの不正使用を検出することを可能にする手法を示す。図４は、図３に関連して記載された同じ要素を使用する。このようにして、侵害者端末２Ｐは、放送ネットワーク４から三つ組（Ｃ，Ｈ，ｔ）を受信する。端末２Ｐは、本発明による１台以上の合法的に獲得されたデバイス１ａ〜１ｚと協働する。これらのデバイスは、特に、各契約者デバイスの識別子にそれぞれに依存する制御語を生成し送付する。このようにして、デバイス１ａは、特にデバイスに専用の識別子ａに依存する制御語ｋａ，ｃｐを送付する。（図５ａおよび５ｂに関連して）このような制御語を生成する方法を以下で調査する。観察プロセスを明らかにするため、制御語ｋｉ，ｃｐを保有する運営者が上記制御語ｋｉ，ｃｐを生成したデバイスの識別子ｉを推定できると考える。
【００３６】
デバイス２ａ、２ｂ、２ｚによってそれぞれ生成された制御語ｋａ，ｃｐ、ｋｂ，ｃｐまたはｋｚ，ｃｐを受信した端末２Ｐは、侵害者ネットワーク６を介して、語ｋａ，ｃｐ、ｋｂ，ｃｐまたはｋｚ，ｃｐのうちの１つに一致する、ｋｐ，ｃｐで表す１つ以上の制御語をリアルタイムで送出することができる。端末２ｗは、一方で、配信ネットワーク４から（ヘッダＨおよびタグｔが付随する）符号化されたコンテンツＣを受信し、他方で、侵害者ネットワーク６から平文で制御語ｋｐ，ｃｐを受信することができる。端末２ｗは、コンテンツを閲覧することができるように、符号化されたコンテンツＣを復号し、コンテンツの平文Ｍを送付することが可能である。運営者は、ハッカーネットワーク６を観察するための手段９を保持することができる。この観察は、侵害者ネットワーク６を通過する１つ以上の制御語ｋｐ，ｃｐを見分けることにある。この観察に基づいて、運営者は、デバイス１ａ〜１ｚのうちで、デコーダまたはハッカー端末２Ｐによって使用される少なくとも１台の不正者デバイスを特定しようとする。
【００３７】
不正者デバイス１ｉが特定されるとすぐに、不正者デバイスは、本発明によって規定されるような無効要求を送信することによって（図５ｂ）、そして、不正者デバイスの使用を停止するため役に立つと考えられる任意の対策を講じることによっても無効にすることができる。
【００３８】
不正者デバイスを追跡しようとする運営者のタスクを複雑にしようとして、制御語は、代替的に、上記ｋａ，ｃｐ、ｋｂ，ｃｐまたはｋｚ，ｃｐから区別可能なｋｐ，ｃｐを生成し、送出するために、上記制御語ｋａ，ｃｐ、ｋｂ，ｃｐまたはｋｚ，ｃｐのうちの１つに基づく合成から生じることがある。しかし、本発明は、契約者デバイスの追跡可能性を保証するために、このような組み合わせまたは合成の使用を阻止する実施形態を提供する。
【００３９】
図９に表示されるように、そして、図３に記載された変形例に関連して、本発明を実施するため、コンテンツの平文Ｍは、たとえば、方法４１０により、図７に関連して記載されているように、関数ｅｎｃを使用してコンテンツサーバ３によって符号化される。方法４１０は、特に、現在の暗号期間ｃｐを特徴付けるタグｔを生成することをさらに可能にする。ヘッダＨは、上記サーバ３によって（または図３ａの変形例による契約者デバイスによって）さらに生成される。三つ組（Ｃ，Ｈ，ｔ）、または、図３ａによるペア（Ｃ，ｔ）がネットワーク４を介してサーバ３から少なくとも１台の端末２ｉに送信され、この端末は、次に、上記タグｔをこの端末が協働する契約者デバイス１ｉに送信する。図５ａに関連して記載されているような方法１００によれば、図５に表示されているように適合したデバイス１ｉは、上記端末２ｉに固有の制御語ｋｉ，ｃｐを生成し、送付する。端末２ｉは、一例として図６によって記載された方法２００のような方法に従って、復号関数ｄｅｃを使用して符号化されたコンテンツＣを復号する。このようにして取得されたコンテンツの平文Ｍは、マン・マシン・インターフェース５によって送付することができる。本発明によるこのような限定受信方法は、前もって、専用秘密ＳＫｉを定義し、契約者デバイスの集団に秘密ＳＫｉを配布するステップを備える。１つの特別な実施形態によれば、秘密ＳＫｉは、サーバと共有される秘密ＭＫの値と同じである共有の値を有している。このような共有された秘密を初期化するため、本発明は、図８と関連して記載された例４００のような方法を提供する。
【００４０】
本発明は、複数の契約者デバイスが同じ識別子ｉを共有できることをさらに規定する。このような複数のデバイスは、同じ識別子ｉまたは同じＳＫｉでさえ共有する「複製」の組と同等である。簡単化の目的のため、そして、本発明の意味において、「契約者デバイス」という概念は、個別の形式（単独の電子デバイス）で、または、複数の形式（同じ識別子ｉを共有する複数のデバイス）でどんな契約者デバイスでも差別せずに対象とする。
【００４１】
第１の好ましい実施形態によれば、本発明は、素数位数の群における結合の数学的概念に基づいている。このような結合は、暗号法、特に、楕円曲線の分野で一般に使用される双線形の適用に相当する。
【００４２】
βは、λがセキュリティパラメータとして要素数を定義するとして、｜ｐ｜＝λであるような素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））であるとする。Ｇ１、Ｇ２およびＧＴは、位数ｐの３つの巡回群であり、ｅ：Ｇ１×Ｇ２→ＧＴは、結合である。巡回群は、ｐが巡回群の位数を定義し、ｇが「生成元」と呼ばれる群の要素であるとして、ｇｐ＋１がｇに等しいような代数的集合である。本発明の意味において、群Ｇ１とＧ２との間に特別な関係は必要とされない。これらの２つの群は、同一でもよく、または、より一般的に、Ｇ１とＧ２との間に同型写像Ψを定義することができる。本発明は、同型写像でも効率的に計算可能などんな結合でも好ましいことを規定する。
【００４３】
値ＳＫｉは、全ての契約者デバイスの間で共通であり、かつ、共有されている。ＳＫｉの値は、ＭＫに等しく、その結果、上記秘密ＳＫｉ＝ＭＫを、図８に一例として表されるように生成することができる。かくして、このような秘密を生成する方法４００は、表記
【数１】
0005784143.tif 000002
によって表示されるように、群Ｇ１から生成元ｇを無作為に選択するステップ４０２で構成されている。ステップ４０３において、このような方法は、ｐを法とする整数の集合Ｚｐに属しているγ０を同様に、かつ、無作為に選択する。その結果、秘密ＭＫを、ｇおよびγ０にそれぞれ一致する２つの成分の組として、ステップ４０４で定義することができ、これを記述するため表記ＭＫ＝（ｇ，γ０）を使用する。この方法４００は、図３および３ａに関連して記載されたサーバ３のようなコンテンツサーバによって、または、代替的に専用サーバによって実施することができ、この場合、秘密ＭＫが上記コンテンツサーバに送信され、コンテンツサーバは、このようにして既に生成された秘密を知っている。
【００４４】
図３および３ａと関連して記載された処理手段のようなサーバ３の処理手段は、その結果、コンテンツの平文Ｍを符号化し、符号化されたコンテンツＣを生成する方法を使用することができる。このような方法は、図７と関連して記載された方法４１０の例に従ってもよい。
【００４５】
上記方法は、かくして、暗号期間ｃｐおよびサーバ３によって記憶された秘密ＭＫから符号化されたコンテンツＣを生成するステップ４１４を備える。
【００４６】
上記方法は、符号化されたコンテンツＣを生成した暗号期間ｃｐを特徴付けるために、タグｔを生成するステップ（図示せず）をさらに備える。最後に、この方法は、上記符号化されたコンテンツＣおよび上記タグｔを一緒に送付するステップ（図示せず）を備える。このような方法は、タグｔの送信前に、タグｔをこのタグの完全性を証明するデータと関連付けるステップをさらに含んでもよい。
【００４７】
本発明のこの第１の好ましい実施形態によれば、符号化されたコンテンツＣを生成する関数ｅｎｃは、最初に、Ｆ０がサーバ３の決められた、既知の関数であるとして、γｃｐ＝Ｆ０（γ０，ｃｐ）を計算するステップ４１１で構成されている。サーバ３は、それぞれＺｐに属しているｎ個の値の集合
【数２】
0005784143.tif 000003
を選択する（ステップ４１２）。
【００４８】
サーバ３は、語
【数３】
0005784143.tif 000004
を計算し（ステップ４１３）、ここで、ｎ個の成分は、１とｎとの間にある任意のｊに対し、それぞれ
【数４】
0005784143.tif 000005
に等しく、ここで、生成元ｆは、たとえば、図８による方法のステップ４０２において、表記
【数５】
0005784143.tif 000006
によって表されているように、群Ｇ２から無作為に選択された生成元である。
【００４９】
サーバは、符号化されたコンテンツＣを生成するため関数Ｆ３−１を上記語Ｋとコンテンツの平文Ｍとに適用する（ステップ４１４）。１つの例示的な実施形態によれば、関数Ｆ３−１は、排他的論理和である。語Ｋの成分は、決められた方法で事前に連結されるか、または、合成される。
【００５０】
図７と関連して記載された方法は、符号化されたコンテンツの復号を可能にするためヘッダＨを生成するステップ４１３ａをさらに含むことが可能である。この変形例は、図３と関連して記載されているように、符号化されたコンテンツＣおよびタグｔと共にヘッダＨを送付するサーバ３によって実施される。
【００５１】
本実施形態によれば、ヘッダＨを、１とｎとの間にある任意のｊに対し、一組の大きさ
【数６】
0005784143.tif 000007
にそれぞれ等しいｎ個の成分の集合
【数７】
0005784143.tif 000008
で構成することができる。ｎ個の値の集合
【数８】
0005784143.tif 000009
は、語Ｋを生成するため使用された集合ｓと同一であり、ｆは、秘密ＭＫを生成するステップ４０２の間に群Ｇ２の中から、おそらく無作為に、選択された生成元である。
【００５２】
本発明を実施するため、契約者電子デバイスを適合させることがさらに必要である。したがって、図５は、本発明による契約者デバイスを記載する。このようなデバイス１ｉは、外部から、たとえば、端末２ｉからタグｔを受信する手段Ｒを備える。
【００５３】
本発明の一実施形態によれば、タグｔは、このタグの完全性を証明するデータを含んでもよい。一例として、上記データは、ハッシュのような冗長符号で構成されてもよく、または、デバイスとサーバとの間で共有された秘密Ｋｄを使用して生成されてもよい。１つの変形例によれば、このようなタグは、非対称または対称暗号アルゴリズムを使用してサーバによって生成された後、暗号化された状態で、サーバから送信されてもよい。これらの２つの実施形態によれば、デバイス１ｉは、受信されたタグの完全性を検証（１１）することができるか、または、さらにタグを復号する処理手段１０を備える。秘密Ｋｄがこの用途のため必要である場合、記憶手段２１が、上記秘密を記憶し、上記処理手段と協働するため、本発明によるデバイス１ｉの内部に設けられてもよい。デバイス１ｉに固有である制御語ｋｉ，ｃｐを生成（１３）するため、処理手段１０は、デバイスに専用である識別子を記憶する手段２２と協働する。制御語を生成するため、処理手段１０は、タグから現在の暗号期間ｃｐを導出（１２）する能力がある。処理手段は、秘密ＳＫｉを記憶する記憶手段２３とさらに協働する。識別子ｉ、暗号期間ｃｐおよび秘密ＳＫｉから、デバイスの処理手段は、制御語ｋｉ，ｃｐを生成（１３）する。制御語は、送付手段Ｓを介してデバイス１ｉによって外部（たとえば、端末２ｉ）に送付される。
【００５４】
制御語を生成するため、本発明によるデバイス１ｉの処理手段は、図５ａによって示されるように方法１００を実施することができる。
【００５５】
制御語を生成するこのような方法は、デバイス１ｉの受信手段Ｒによってタグｔを受信する第１のステップ１０１を備える。この方法は、受信されたタグｔを使用して現在の暗号期間ｃｐを決定するステップ１０３と、次に、上記現在の暗号期間ｃｐ、デバイスに専用の識別子ｉおよび秘密ＳＫｉから制御語ｋｉ，ｃｐを生成するステップ１０５とをさらに備え、ｉおよびＳＫｉはデバイスによって記憶されている。この方法は、デバイスの送付手段Ｓを介してｋｉ，ｃｐに等しい制御語ｋ’を送付するステップをさらに備える。
【００５６】
素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））に基づく第１の好ましい実施形態によれば、図５ａと関連して示されるように方法１００を実施する契約者デバイスは、タグｔを受信し（ステップ１０１）、場合によっては、タグの完全性を検証し（ステップ１０２）、次に、現在の暗号期間ｃｐを導出する（ステップ１０３）。ステップ１０４において、上記デバイスは、秘密ＳＫｉ＝ＭＫの成分γ０および暗号期間ｃｐに適用され、Ｚｐに属するγｃｐを生成することを可能にする（コンテンツサーバによって実施される関数と同一である）関数Ｆ０を実施する。
【００５７】
この方法１００は、次に、制御語ｋｉ，ｃｐを生成するステップ１０５を備える。このステップは、大きさｘｉ，ｃｐおよびＡｉ，ｃｐのペアを計算するステップで構成される。ｘｉ，ｃｐはＺｐに属し、識別子ｉおよび暗号期間ｃｐからデバイスの処理手段によって決定論的に計算される。Ａｉ，ｃｐは、デバイスによって、
【数９】
0005784143.tif 000010
に等しくなるものとして計算される。
【００５８】
方法１００を実施するデバイス１ｉは、次に、ｋｉ，ｃｐに等しい制御語ｋ’を（デバイスが協働する端末２ｉのような）外部に送付する（ステップ１０６）。
【００５９】
本発明は、本発明による契約者デバイスが、図３ａと関連して記載された変形例に従って、コンテンツサーバ３に代わって、ヘッダＨを作成し、生成することが可能であることを規定する。方法１００は、次に、上記ヘッダの成分を生成するステップ１０５ａと、上記ヘッダを、契約者デバイスが協働する端末に送付するステップ１０６ａとを備える。このステップ１０５ａは、図３および７に従って前述され、サーバ３によって実施されたステップ４１３ａに類似している。
【００６０】
このようにして、図３ａと関連して記載されているように、契約者デバイスによって実施されるステップ１０５ａを、１とｎとの間にある任意のｊに対し、一組の大きさ
【数１０】
0005784143.tif 000011
にそれぞれ等しいｎ個の成分の集合
【数１１】
0005784143.tif 000012
を計算するステップで構成することができる。サーバ３によって語Ｋを生成するため使用された集合ｓに一致するｎ個の値の集合
【数１２】
0005784143.tif 000013
を決定し（図７のステップ４１３）、（秘密ＭＫの生成と関連してステップ４０２の間に）群Ｇ２の中から生成元ｆを選択するため、本発明は、タグｔが上記選択を特徴付けるデータを含むことを規定する。代替的に、上記集合
【数１３】
0005784143.tif 000014
および生成元ｆは、予め決定され、サーバと契約者デバイスの組との間で共有される。
【００６１】
符号化されたコンテンツＣを復号するため、図３または３ａと関連して示されるような端末２ｉの処理手段は、バイリニアグループβのパラメータを記憶する手段と協働する。処理手段は、コンテンツの平文Ｍを生成するため、図６と関連して記載されている復号関数のような復号関数ｄｅｃを使用する。
【００６２】
このような方法２００は、外部から、符号化されたコンテンツＣ、ヘッダＨおよび制御語ｋｉ，ｃｐを受信した後、端末の処理手段によって実施される。この方法は、語Ｋを生成するため（ステップ２０３）、第１の関数Ｆ１をヘッダＨおよび制御語ｋｉ，ｃｐに適用するステップ２０１を備える。この方法２００は、コンテンツの平文Ｍを生成するため、第２の関数Ｆ３を、上記語Ｋおよび符号化されたコンテンツＣに適用するステップ２０４をさらに備える。本実施形態によれば、コンテンツを符号化するため使用される関数Ｆ３−１は、関数Ｆ３の逆関数である。端末は、このようにして、コンテンツの上記平文Ｍを送付することができる（ステップ２０５）。一実施形態によれば、端末の上記処理手段は、関数Ｆ３の適用前に語Ｋのフォーマットを適合させるため拡張関数Ｆ２を使用することができる。
【００６３】
このようにして、素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））に基づく本発明の第１の好ましい実施形態によれば、制御語ｋｉ，ｃｐは、２つの成分ｘｉ，ｃｐとＡｉ，ｃｐとを備え、ｘｉ，ｃｐは、上記制御語を生成し送付した契約者デバイスの識別子ｉから直接的に計算されていることが想起される。ヘッダＨは、１とｎとの間にある任意のｊに対し、
【数１４】
0005784143.tif 000015
にそれぞれ等しい成分ｈｊの組で構成されていることがさらに想起される。語Ｋを生成するステップ２０３は、次に、Ｇ１、Ｇ２およびＧＴが素数位数ｐの３つの巡回群であるとして、双線形の適用ｅ：Ｇ１×Ｇ２→ＧＴを使用するステップで構成されている。この双線形の適用は、ｆが位数ｐの巡回群Ｇ２に属する生成元であるとして、１とｎとの間にある任意のｊに対し、
【数１５】
0005784143.tif 000016
のように、Ｈの成分およびｋｉ，ｃｐに関係する。
【００６４】
双線形の特性を使用することにより、
【数１６】
0005784143.tif 000017
である。この特性は、制御語ｋｉ，ｃｐを生成し送付した契約者デバイス１ｉに専用の識別子ｉに、直接的に依存する大きさｘｉ，ｃｐの寄与を取り除くことを可能にすることが分かる。
【００６５】
コンテンツの平文Ｍを生成するため、関数Ｆ３を語Ｋの上記成分および符号化されたコンテンツＣに適用するステップ２０４は、既に集約された（２０３）、すなわち、サーバによるコンテンツの符号化中にステップ４１４で行われた集約に類似した方法で連結または合成された成分に関数Ｆ３を適用するステップで構成されている。一例として、関数Ｆ３は、排他的論理和で構成することができ、関数Ｆ３と関数Ｆ３−１とは、この場合、同一である。
【００６６】
ステップ２０２における拡張関数Ｆ２の任意的な実施は、Ｆ２によって適合した上記成分Ｋｊ＊の集約と符号化されたコンテンツＣとの間への関数Ｆ３の適用と関数Ｆ１の適用を両立させるため、本発明の好ましい例示的な実施形態によれば、関数Ｆ１の個々の適用の出力のサイズを成分Ｋｊに適合させるステップで構成されてもよい。
【００６７】
本発明は、素数位数の群における結合の数学的概念に同様に基づく第２の好ましい実施形態を提供する。この第２の実施形態によれば、個々の契約者デバイスに記憶されている秘密ＳＫｉの値は、区別可能であり、特に、契約者デバイスの識別子ｉの値に依存する。
【００６８】
βは、λがセキュリティパラメータとして要素数を定義するとして、｜ｐ｜＝λであるような素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））であるとする。Ｇ１、Ｇ２およびＧＴは、位数ｐの３つの巡回群であり、ｅ：Ｇ１×Ｇ２→ＧＴは、結合である。群Ｇ１と群Ｇ２との間に特別な関係は必要とされない。これらの２つの群は、同一でもよく、または、より一般的に、Ｇ１とＧ２との間に同型写像Ψが定義されてもよい。本発明は、同型写像でも効率的に計算可能などんな結合でも好ましいことを規定する。
【００６９】
サーバが知っている秘密ＭＫの値は、表記
【数１７】
0005784143.tif 000018
および
【数１８】
0005784143.tif 000019
によって示されるように、群Ｇ１およびＧ２からそれぞれ２つの生成元ｇおよびｆを無作為に選択することで構成されてもよい。さらに、ｐを法とする整数の集合Ｚｐに属しているγが無作為に選択されることになる。秘密ＭＫは、その結果、ｇ、γおよびｆにそれぞれ一致する３つの成分の組として、定義することができ、これを記述するため表記ＭＫ＝（ｇ，γ，ｆ）を使用することになる。
【００７０】
契約者デバイス１ｉおよび契約者デバイスと協働する端末２ｉにそれぞれに記憶されることが意図されている秘密ＳＫｉおよびＤＫｉのペアを生成するため、サーバ３は、以下の方法を使用することができる。Ｚｐに属するｘｉが選択され、大きさ
【数１９】
0005784143.tif 000020
が計算される。秘密ＳＫｉは、ｘｉおよびＢｉにそれぞれ等しい２つの成分の組として定義されることがあり、これを記述するため表記ＳＫｉ＝（ｘｉ，Ｂｉ）を使用する。秘密ＤＫｉは、
【数２０】
0005784143.tif 000021
に等しくなるものとして定義される。
【００７１】
図３および３ａと関連して記載された処理手段のようなサーバ３の処理手段は、その結果、コンテンツの平文Ｍを符号化し、符号化されたコンテンツＣを生成する方法を実施することができる。
【００７２】
このような方法は、サーバ３に知られているか、または、記憶されている暗号期間ｃｐおよび秘密ＭＫから、符号化されたコンテンツＣを生成するステップを含んでもよい。
【００７３】
暗号期間ｃｐに対し、このような方法は、符号化されたコンテンツＣを生成するため用いられた暗号期間ｃｐを特徴付けるため、タグｔ＝ｔｃｐを生成するステップをさらに備える。一例として、そして、第２の好ましい実施形態に従って、ｔ＝ｔｃｐを生成するステップは、集合Ｚｐの中から、おそらく無作為に、ｙｃｐを選択するステップと、大きさ
【数２１】
0005784143.tif 000022
を生成するステップとで構成される。タグｔ＝ｔｃｐは、ｔ＝ｔｃｐ＝（ｙｃｐ，ｆｃｐ−１）のように、ｙｃｐおよびｆｃｐ−１にそれぞれ等しい２つの大きさのペアで構成されている。このような方法は、タグｔの送信前に、タグの完全性を証明するデータをタグに関連付けるステップをさらに含んでもよい。
【００７４】
符号化されたコンテンツＣを生成する関数ｅｎｃは、最初に、それぞれＺｐに属するｎ個の値の集合
【数２２】
0005784143.tif 000023
を、場合によっては無作為に、選択することで構成されている。１とｎとの間にある任意のｊに対し、
【数２３】
0005784143.tif 000024
にそれぞれに等しいｎ個の成分をもつ語
【数２４】
0005784143.tif 000025
が次に計算される。
【００７５】
サーバは、符号化されたコンテンツＣを生成するため、関数Ｆ３−１を上記語Ｋおよびコンテンツの平文Ｍに適用する。１つの例示的な実施形態によれば、関数Ｆ３−１は、排他的論理和である。語Ｋの成分は、決められた方法で予め連結されるか、または、合成されている。
【００７６】
サーバによって使用される方法は、最後に、端末による符号化されたコンテンツの復号を可能にするため、ヘッダＨを生成するステップをさらに含んでもよい。この変形例は、図３と関連して記載されているようにサーバ３によって実施され、サーバは、符号化されたコンテンツＣおよびタグｔと一緒にヘッダＨを送付する。
【００７７】
本実施形態によれば、ヘッダＨは、一組の大きさ（ｈｊ，１，ｈｊ，２）にそれぞれに等しいｎ個のコンポーネントの組
【数２５】
0005784143.tif 000026
で構成されてもよい。１とｎとの間にある任意のｊに対して、
【数２６】
0005784143.tif 000027
および
【数２７】
0005784143.tif 000028
であり、ｎ個の値の集合
【数２８】
0005784143.tif 000029
は、語Ｋを生成するため使用された集合と同じである。
【００７８】
この第２の好ましい実施形態による本発明を実施するため、契約者電子デバイスを適合させることがさらに必要である。このようなデバイス１ｉは、図５と関連して記載されているように、サーバによって生成された秘密ＳＫｉの値を記憶する手段２３を備える。このデバイスは、たとえば、デバイス１ｉの受信手段Ｒを介してタグｔを受信する第１のステップを備える方法に従って、制御語ｋｉ，ｃｐを生成する手段１３をさらに備える。この方法は、上記受信されたタグｔ＝ｔｃｐを使用して現在の暗号期間ｃｐを決定するステップと、次に、上記現在の暗号期間ｃｐ、デバイスに専用の識別子ｉおよび秘密ＳＫｉから制御語ｋｉ，ｃｐを生成するステップとをさらに備え、ｉおよびＳＫｉはデバイスによって記憶されている。この方法は、ｋｉ，ｃｐに等しい制御語ｋ’をデバイスの送付手段Ｓを介して送付するステップをさらに備える。
【００７９】
素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））に基づく第２の好ましい実施形態によれば、契約者デバイス１ｉは、秘密ＳＫｉ＝（ｘｉ，Ｂｉ）を備える。受信されたタグｔ＝ｔｃｐは、ｃｐが現在の暗号期間であるとして、ｔ＝ｔｃｐ＝（ｙｃｐ，ｆｃｐ−１）に等しい。
【００８０】
ｋｉ，ｃｐを生成する１つの方法は、
【数２９】
0005784143.tif 000030
を計算するステップで構成されている。
【００８１】
このような方法を実施するデバイス１ｉは、次に、ｋｉ，ｃｐに等しい制御語ｋ’を（このデバイスが協働する端末２ｉのような）外部に送付することができる。
【００８２】
本発明は、図３ａと関連して記載された変形例に従って、本発明による契約者デバイスが、コンテンツサーバ３に代わって、既に定義されているようにヘッダＨを作成し、生成することができることを規定する。
【００８３】
符号化されたコンテンツＣを復号するため、端末２ｉの処理手段は、図３または３ａと関連して示されるように、コンテンツの平文Ｍを生成するため復号関数ｄｅｃを実施する。このデコーダ２ｉは、サーバによって生成された秘密ＤＫｉの値とバイリニアグループβのパラメータを共に記憶する手段をさらに備える。
【００８４】
端末の処理手段によって実施される１つの方法は、外部から符号化されたコンテンツＣ、ヘッダＨおよび制御語ｋｉ，ｃｐを受信した後、語
【数３０】
0005784143.tif 000031
を生成する第１のステップを備える。第２の好ましい実施形態によれば、サーバによって、または、代替的に、契約者デバイスによって生成されたヘッダＨは、一組の大きさ（ｈＪ，１，ｈｊ，２）にそれぞれ等しいｎ個の成分の集合
【数３１】
0005784143.tif 000032
で構成されていることが想起される。
【００８５】
かくして、語Ｋを生成するステップは、１とｎとの間にある任意のｊに対し、
【数３２】
0005784143.tif 000033
または
【数３３】
0005784143.tif 000034
を生成することで構成されている。
【００８６】
制御語ｋｉ，ｃｐを生成し送付した契約者デバイス１ｉに専用の識別子ｉに、直接的に依存する大きさｘｉの寄与は、取り除かれていることが分かる。
【００８７】
コンテンツの平文Ｍを生成するため、この方法は、関数Ｆ３を、語Ｋおよび符号化されたコンテンツＣに適用するステップをさらに備える。このことは、既に集約された、すなわち、サーバによるコンテンツの符号化中に行われた集約と同様に連結または合成された語
【数３４】
0005784143.tif 000035
の成分に関数Ｆ３を適用することになる。一例として、関数Ｆ３は、排他的論理和で構成されることがあり、この場合、関数Ｆ３と関数Ｆ３−１とが同じである。
【００８８】
図４と関連して、制御語ｋａ，ｃｐ、ｋｂ，ｃｐまたはｋｚ，ｃｐのうちの１つに基づく合成物から生じる、ハッカーによって送信された制御語ｋｐ，ｃｐの使用を阻止するため、本発明は、同様に素数位数の群における結合の数学的概念に基づいている第３の好ましい実施形態を提供する。
【００８９】
βは、λがセキュリティパラメータとして要素数を定義するとして、｜ｐ｜＝λであるような素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））であるとする。Ｇ１、Ｇ２およびＧＴは、位数ｐの３つの巡回群であり、ｅ：Ｇ１×Ｇ２→ＧＴは、結合である。群Ｇ１とＧ２との間に特別な関係は必要とされない。これらの２つの群は、同一でもよく、または、より一般的に、Ｇ１とＧ２との間に同型写像Ψを定義してもよい。本発明は、同型写像でも効率的に計算可能などんな結合でも好ましいことを規定する。この第３の実施形態によれば、許可された一体化の最大サイズを決定するパラメータＴが同様に定義される。
【００９０】
第１の好ましい実施形態に関して、個々の契約者デバイスは、値ＳＫｉ＝ＭＫが共通であり、かつ、契約者デバイスの集団で共有され、そして、コンテンツサーバに分かっている秘密を記憶する。
【００９１】
上記秘密ＭＫの値は、群Ｇ１の生成元ｇ０を、おそらく無作為に、選択することで構成されてもよい。さらに、ｐを法とする整数の集合Ｚｐに属しているγが、おそらく無作為に、選択される。秘密ＭＫは、その結果、ｇ０およびγにそれぞれ一致する２つの成分の組として定義することができ、これを記述するため表記ＭＫ＝（ｇ０，γ）を使用する。
【００９２】
図３および３ａと関連して記載されているように、サーバ３の処理手段は、その結果、コンテンツの平文Ｍを符号化し、サーバ３に知られた、または、サーバ３によって記憶された暗号期間ｃｐおよび秘密ＭＫから、符号化されたコンテンツＣを生成する方法を実施することができる。
【００９３】
暗号期間ｃｐに対し、このような方法は、符号化されたコンテンツＣを生成するため用いられる暗号期間ｃｐを特徴付けるためにタグｔ＝ｔｃｐを生成する第１のステップを備える。このような方法は、タグｔを送信する前に、タグｔを、このタグの完全性を証明するデータと関連付けるステップをさらに含んでもよい。
【００９４】
コンテンツＣを生成するため、この方法は、群Ｇ１に属しているｇｃｐ＝Ｆ０（ｇ０，ｃｐ）を生成するため、関数Ｆ０を生成元ｇ０および暗号期間ｃｐに適用するステップを備える。この方法は、場合によっては無作為に、Ｚｐの要素の２つの集合
【数３５】
0005784143.tif 000036
および
【数３６】
0005784143.tif 000037
を選択するステップをさらに備える。
【００９５】
この方法は、１とｎとの間にある任意のｊに対し、ｆがＧ２の生成元であるとして、
【数３７】
0005784143.tif 000038
にそれぞれ等しいｎ個の成分をもつ語
【数３８】
0005784143.tif 000039
を計算するステップを備える。
【００９６】
サーバは、符号化されたコンテンツＣを生成するため、関数Ｆ３−１を上記語Ｋおよびコンテンツの平文Ｍに適用する。１つの例示的な実施形態によれば、関数Ｆ３−１は、排他的論理和である。語Ｋの成分は、予め決められた方法で連結または合成される。
【００９７】
サーバによって実施される方法は、最終的に、端末によって、符号化されたコンテンツを復号することを可能にするため、ヘッダＨを生成するステップをさらに含んでもよい。この変形例は、図３と関連して記載されたサーバのような、符号化されたコンテンツＣおよびタグｔと一緒にヘッダＨを送付するサーバ３によって実施される。
【００９８】
本実施形態によれば、ヘッダＨは、大きさの四つ組
【数３９】
0005784143.tif 000040
にそれぞれ等しいｎ個の成分の集合
【数４０】
0005784143.tif 000041
で構成されてもよい。１とｎとの間にある
ｊに対して、
【数４１】
0005784143.tif 000042
であり、集合
【数４２】
0005784143.tif 000043
は、語Ｋを生成するため使用された集合ｒと同じである。集合ｓ、生成元ｇｃｐおよびｆはＴと同様に語Ｋを生成するために使用された要素と同一である。
【００９９】
この第３の好ましい実施形態による本発明を実施するため、契約者電子デバイスを適合させることがさらに必要である。このようなデバイス１ｉは、図５と関連して記載されているように、サーバによって生成されるか、または、このデバイスが単に知っている秘密ＳＫｉ＝ＭＫの値を記憶する手段を備える。このデバイスは、たとえば、デバイス１ｉの受信手段Ｒを介してタグｔを受信する第１のステップを備える方法に従って、制御語ｋｉ，ｃｐを生成する手段１３をさらに備える。この方法は、受信されたタグｔ＝ｔｃｐを使用することにより現在の暗号期間ｃｐを決定するステップと、次に、上記現在の暗号期間ｃｐ、デバイスに専用の識別子ｉおよび秘密ＳＫｉから、制御語ｋｉ，ｃｐを生成するステップとをさらに備え、ｉおよびＳＫｉは契約者デバイスによって記憶されている。この方法は、デバイスの送付手段Ｓを介してｋｉ，ｃｐに等しい制御語ｋ’を送付するステップをさらに備える。
【０１００】
素数位数ｐのバイリニアグループβ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｅ（．，．））に基づくこの第３の好ましい実施形態によれば、契約者デバイス１ｉは、秘密ＳＫｉ＝ＭＫ＝（ｇ０，γ）を備える。受信されたタグｔ＝ｔｃｐは、現在の暗号期間ｃｐを特徴付け、そして、その結果、暗号期間ｃｐを導出することを可能にする。
【０１０１】
ｋｉ，ｃｐを生成する方法は、最初に、ｇｃｐ＝Ｆ０（ｇ０，ｃｐ）であるように、サーバによって使用された関数と同一である関数Ｆ０をｇ０およびｃｐに適用することによりｇｃｐを生成するステップで構成されている。
【０１０２】
さらに、上記方法は、決定論的に、かつ、サーバに知られている方法で、デバイスの識別子ｉおよび現在の暗号期間ｃｐに依存した、Ｚｐの要素である大きさｘｉ，ｃｐを生成するステップを備える。代替的に、識別子ｉに依存し、ｃｐに依存しないｘｉ，ｃｐ＝ｘｉが計算される。追跡可能な制御語ｋ’＝ｋｉ，ｃｐを生成するステップは、
【数４３】
0005784143.tif 000044
および
【数４４】
0005784143.tif 000045
として、三つ組ｋｉ，ｃｐ＝（ｘｉ，ｃｐ，Ａｉ，ｃｐ，Ｂｉ，ｃｐ）を生成するステップで構成されている。
【０１０３】
このような方法を実施するデバイス１ｉは、次に、ｋｉ，ｃｐに等しい制御語ｋ’を（このデバイスが協働する端末２ｉのような）外部に送付することができる。
【０１０４】
本発明は、図３ａと関連して記載された変形例によれば、本発明による契約者デバイスがコンテンツサーバ３に代わって、既に定義されているようにヘッダＨを生成し、作成することができることを規定する。
【０１０５】
符号化されたコンテンツＣを復号するため、図３または３ａと関連して示されているように、端末２ｉの処理手段は、コンテンツの平文Ｍを生成するため関数ｄｅｃを実施する。このようなデコーダ２ｉは、バイリニアグループβのパラメータを記憶する手段をさらに備える。
【０１０６】
端末の処理手段によって実施される方法は、外部から、符号化されたコンテンツＣ、ヘッダＨおよび制御語ｋｉ，ｃｐを受信した後、語
【数４５】
0005784143.tif 000046
を生成する第１のステップを備える。この第３の好ましい実施形態によれば、サーバによって、または、代替的に、契約者デバイスによって生成されたヘッダＨは、大きさの四つ組
【数４６】
0005784143.tif 000047
にそれぞれ等しいｎ個の成分の集合
【数４７】
0005784143.tif 000048
で構成されていることが想起される。１とｎとの間にある任意のｊに対して、
【数４８】
0005784143.tif 000049
であり、集合
【数４９】
0005784143.tif 000050
がＺｐに属している。制御語ｋｉ，ｃｐが
【数５０】
0005784143.tif 000051
および
【数５１】
0005784143.tif 000052
として、三つ組ｋｉ，ｃｐ＝（ｘｉ，ｃｐ，Ａｉ，ｃｐ，Ｂｉ，ｃｐ）で構成されていることがさらに想起される。
【０１０７】
このようにして、語ｋを生成するステップは、１とｎとの間にある任意のｊに対し、
【数５２】
0005784143.tif 000053
すなわち、
【数５３】
0005784143.tif 000054
を使って、
【数５４】
0005784143.tif 000055
を生成するステップで構成されている。
【０１０８】
制御語ｋｉ，ｃｐを生成し、送付した契約者デバイス１ｉに専用の識別子ｉに、直接的に依存する大きさｘｉ，ｃｐの寄与は、もはや語Ｋに現れないことが分かる。
【０１０９】
コンテンツの平文Ｍを生成するため、この方法は、関数Ｆ３を語Ｋおよび符号化されたコンテンツＣに適用するステップをさらに備える。このことは、既に集約された、すなわち、サーバによるコンテンツの符号化中に行われた集約と同様に連結または合成された語
【数５５】
0005784143.tif 000056
の成分に関数Ｆ３を適用することになる。一例として、関数Ｆ３は、排他的論理和で構成されることがあり、関数Ｆ３と関数Ｆ３−１とが同一である。
【０１１０】
１つの変形例によれば、特定のｊに対し、要素
【数５６】
0005784143.tif 000057
を種から決定論的に計算することができ、この種だけがヘッダＨの成分ｈｊの中で送信される。上記成分は、その結果、Ｔとは無関係に一定サイズを有している。このパラメータＴは、システムの所望のセキュリティレベルおよび有効性に適合されてもよい。
【０１１１】
前述の３つの好ましい実施形態のうちの１つを選択するにせよ、または、より一般的には本発明による実施形態を選択するにせよ、このようにして形成された限定受信システムは、追跡可能であり、従って、運営者によって検出可能である制御語ｋｉ，ｃｐを使用する。このようなシステムは、それによって、制御語共有の危険性を回避する。
【０１１２】
ハッカーによって交換された制御語ｋｐ，ｃｐが合成語であるか、または、数個の制御語ｋａ，ｃｐ、ｋｂ，ｃｐまたはｋｚ，ｃｐの組み合わせの結果であるときでさえ、本発明によって生成された制御語ｋｉ，ｃｐを追跡することを可能にする方法を示すため、ハッカーが、ユーティリティまたは復号プログラムを、侵害者ネットワークによって送出された合成制御語を保持している不正「契約者」に送付するシナリオを想定する。本発明は、上記合成制御語を作成するため使用された正規（または不正者）デバイスのうちの少なくとも１台の正体を見分けることが可能であることを規定する。「追跡可能性」と称されるこの能力は、「ホワイト・ボックス・トレーシング」と称される一般的な方法を使用して達成することができる。
【０１１３】
この方法によれば、侵害者デコーダは、最初に、各命令が演算と、１つ以上の入力変数と、出力変数とにより作られている正規の命令の系列として解釈される。実現可能な演算の中で、双線形系（ｐ，Ｇ１，Ｇ２，ＧＴ）と関連付けられた演算、すなわち、個々の群（Ｇ１，Ｇ２，ＧＴ）の中の乗算演算および累乗演算と、双線形結合演算とが区別される。これらの演算は、「代数的」と呼ばれ、一方、他の演算はすべて「関係」演算として記載されている。同じ解釈の段階において、個々の命令の入力変数および出力変数は、侵害者デコーダの正規の実行中に侵害者デコーダによって操作される変数を計算するこの侵害者デコーダの表現からグラフを容易に推定できるように、「ＳＳＡ」（静的単一代入）と称される形式に入れられる。プログラムの出力変数は、平文Ｋ中のデータを表現し、ＧＴにおける出力値の計算グラフの結果である。プログラムは、このグラフの計算に限定されている。
【０１１４】
「特殊化」と称される第２のステップでは、プログラムが正しい復号を実行することができる定数値をプログラムの入力変数の全てに設定する試みが行われる。設定値の探索が無作為的かつ網羅的に実施されてもよく、当初に設けられたデコーダが十分に機能する（すなわち、平均として事例の大部分を復号する）場合、この検索ステップは、数回のテストの後に直ちに成功することがある。値が適当であるとき、これらの値は、新たに取得されたプログラムが定数に関して実施された命令だけで作られるように、プログラム中の対応する変数の代わりに用いられる。プログラムの簡略化ステップは、次に、ジャンプ命令のない命令の単一の系列を取得するために実施される。
【０１１５】
そのため、入力変数が全て定数である、全ての関連する命令を取り除くために、定数の伝播が行われ、その結果、この変換は、代数的演算を除外する。この段階の最後に、無条件ジャンプ命令は、順次の命令の系列を、端と端を合わせて時系列的な実行順序に並べることにより取り除かれる。プログラムは、このとき、制御フローのない逐次的な代数的構造の系列になる。
【０１１６】
第３の段階において、いくつかの代数的簡略化変換は、プログラムが安定化されるまで、取得されたプログラムに帰納的かつ並列的に適用される。これらの変換は、結合力が前の変換の段階に起因する定数値であるとして、出力Ｋが入力データから結合力全体の積として計算される等価プログラムを取得することを目指している。入力として与えられた数量の個々の代数的要素、および、入力として与えられた合成制御語の個々の要素に対応する指数が次に特定される。本発明の数学的特性のため、値が分かっているこの指数の集合は、前もって分かっている多変数の方程式系を形成し、これらの方程式の変数は、一方で、合成制御語を生成するため使用された制御語を構築する要素ｘ１，ｘ２，．．．，ｘｚ∈Ｚｐであり、他方で、追跡者によって入力として与えられた暗号Ｃを構築する選択されたパラメータｓ１，ｓ２，．．．，ｓｚ∈Ｚｐである。多変数の方程式系は、本発明の実施形態に依存する。連立方程式の出力の数値、および、選択されたパラメータ
【数５７】
0005784143.tif 000058
が分かると、連立方程式は、元の制御語のうちの１つを構築する要素ｘ１，ｘ２，．．．，ｘｚのうちの少なくとも１つを見出し、よって、不正者デバイスのうちの１台を完全に特定するために、部分的にまたは全体的に倒置させることができる。この段階は、Ｂが本発明の実施形態に依存する境界である場合、ｚ≦Ｂを有することを必要としてもよい。
【０１１７】
本発明は、本発明による契約者電子デバイスが制御語ｋ’＝ｋｉ，ｃｐを生成することを許可または禁止する実施形態をさらに規定する。本発明は、このようにして、支給日または初期化日が現在の暗号期間より前である場合に限り、このようなデバイスがｋ’＝ｋｉ，ｃｐを生成する権限を付与されることを規定する。このように、そして、一例として、契約の取得中に、初期化日ｃｐｂは、新規契約者に供給された契約者デバイスに記憶されてもよい。本実施形態によれば、本発明による契約者デバイスは、このような日付を記憶する手段２４を備える。この日付は、契約時に現在の暗号期間に等しいものとして表現されてもよい。このようにして、このデバイスの処理手段１０は、上記手段２４と協働し、現在の暗号期間ｃｐがｃｐｂ以降である場合に限り、制御語ｋ’＝ｋｉ，ｃｐを送付するように適合されてもよい。本実施形態は、図５および５ｂによって示されている。図５ｂによれば、契約者デバイスの処理手段１０によって実施される方法１００は、このために設けられたステップ１０９を備える。図５において、デバイス１は、ｃｐｂとｃｐとを比較する手段１４と、ｋｆが制御語ｋｉ，ｃｐの有効値と区別可能な値であるとして、ｋ’＝ｋｉ，ｃｐまたはｋ’＝ｋｆのそれぞれの送付を要求（Ａ）する手段１５とを備える。これらの図５および５ｂによれば、本発明は、１つ以上の値ｋｆがデバイス１、すなわち、記憶手段２６によって記憶されてもよいと規定する。手段Ｓは、ｃｐｂが現在の暗号期間ｃｐより後である場合、ｋ’＝ｋｉ，ｃｐの代わりに制御語ｋ’＝ｋｆを送付する（ステップ１０６ｂ）。本実施形態は、このようにして、契約前に受信された、符号化されたコンテンツを復号するため契約者デバイスを使用することを阻止する。本発明は、付加的または代替的に、本発明による契約者デバイスに記憶することができる満了日ｃｐｅの使用を規定する。この日付は、契約の所望または強制的な終了時に、このようなデバイスの手段２５に記録される。このようにして、図５ｂと関連して記載された本発明１００は、タグから導出された現在の暗号期間ｃｐを比較し、暗号期間がｃｐｅ未満である場合に限り、ｋ’＝ｋｉ，ｃｐを送付（ステップ１０６）するステップ１０９を含むことができる。そうでなければ、デバイスによって送付（ステップ１０６ｂ）された制御語は、初期化日の処理の時のｋｆに一致してもよい。
【０１１８】
本実施形態は、場合によっては、目標に向けられた無効化要求を送信し、上記不正者デバイスの使用を阻止するため、ネットワーク４を使用して、不正者デバイスを無効にするため使用されてもよい。
【０１１９】
本実施形態によれば、コンテンツサーバは、現在の暗号期間ｃｐに関連するデータの他に、決定された値をもつ成分ｕおよびｖを含むタグ
【数５８】
0005784143.tif 000059
を生成する。
【０１２０】
成分ｕは、識別子ｉの値が成分ｖに格納されているデバイスに無効化要求を指示することを可能にする。タグ
【数５９】
0005784143.tif 000060
を受信すると、値ｕ、ｖおよびｃｐは、図５によれば、デバイス１ｉの手段１２によって抽出され、図５ｂによれば、手段１４は、成分ｕの値を所定の値ｕｒと比較する（ステップ１０７）。ｕ＝ｕｒかつｖ＝ｉである場合（ステップ１１０）、デバイスの処理手段は、ｃｐに等しくなるように満了日ｃｐｅを初期化する（ステップ１１１）。契約者デバイスは、もはや有効な制御語を送付できない。ｖの値がデバイスの識別子ｉの値と異なる場合、デバイスは、これまでの処理を継続し、有効な制御語を生成する。
【０１２１】
本発明は、回復要求を契約者デバイスに送信することができる変形例を規定する。この要求は、たとえば、以前に誤って送信された無効化要求の後に続いてもよい。このような要求の目的は、有効な制御語を生成する権限を契約者デバイスに再び付与することである。同様に、本発明は、このような要求を特徴付ける所定の値ｕａを規定する。デバイスの無効化を取り消すため、本発明によるコンテンツサーバは、ｕおよびｖがｕａおよびこの要求による影響を受けるデバイスの識別子ｉにそれぞれ一致するタグ
【数６０】
0005784143.tif 000061
を送信する。
【０１２２】
タグ
【数６１】
0005784143.tif 000062
を受信すると、値ｕ、ｖおよびｃｐがデバイスの手段１２によって抽出される。手段１４は、成分ｕの値を所定の値ｕａと比較する（ステップ１０７）。ｕ＝ｕａかつｖ＝ｉである場合（ステップ１１２）、デバイスの処理手段は、期限なしを指示する
【数６２】
0005784143.tif 000063
に等しくなるように満期日ｃｐｅを再び初期化する（ステップ１１３）。契約者デバイスは、有効な制御語を再び送付することができる。ｖの値がデバイスの識別子ｉの値と異なる場合、このデバイスは、これまでの処理を継続するか、または、無効状態のままである。無効化を取り消す要求、すなわち、回復要求は、代替的に、初期化要求ということにもなる。この場合、初期化日ｃｐｂをｃｐの現在の値で初期化することが可能であり、この場合、無効化は、現在または期限なしの暗号期間より遙かに後の初期化日の定義に相当する。
【０１２３】
主に本発明の第１の好ましい実施形態（図５ｂ）と関連して示されているが、契約者デバイスを無効化または回復する方法は、本発明による限定受信システムの実施形態と無関係に実施することができる。
【図１】
0005784143.tif 000064
【図２】
0005784143.tif 000065
【図３】
0005784143.tif 000066
【図３ａ】
0005784143.tif 000067
【図４】
0005784143.tif 000068
【図５】
0005784143.tif 000069
【図５ａ】
0005784143.tif 000070
【図５ｂ】
0005784143.tif 000071
【図６】
0005784143.tif 000072
【図７】
0005784143.tif 000073
【図８】
0005784143.tif 000074
【図９】
0005784143.tif 000075