(57)【要約】コンテンツ頒布システムにおいてコンテンツ（M）を頒布する方法であって、コンテンツ・パッケージャ（２）において、コンテンツ暗号化鍵（Kc）を使ってコンテンツ（M）を暗号化して暗号化コンテンツ（C）を生成する段階と；コンテンツ暗号化鍵（Kc）をライセンス機関（４）に送る段階と；ライセンス機関（４）から、許諾されたデバイス（６）の所与の組のためのコンテンツ復号鍵（Kc）の暗号化を含む頒布鍵（Kd）を受領する段階と；コンテンツの署名（Σcp）を使って、コンテンツ暗号化鍵（Kc）とこのコンテンツ暗号化鍵（Kc）によって保護されたコンテンツとの間の安全な結び付きを生成する段階と；暗号化されたコンテンツをコンテンツの署名と一緒に頒布する段階とを含む、方法が開示される。上述の方法に従って頒布されたコンテンツを、該コンテンツを再生できるデバイスにおいて受信する方法であって、コンテンツのいかなる再生の前にもコンテンツ署名（Σcp）が検査される方法も開示される。
2011530197.tif 000002
【特許請求の範囲】
【請求項１】
コンテンツ頒布システムにおいてコンテンツを頒布する方法であって：
コンテンツ・パッケージャにおいて、コンテンツ暗号化鍵を使ってコンテンツを暗号化して暗号化されたコンテンツを生成する段階と；
コンテンツ暗号化鍵をライセンス機関に送る段階と；
ライセンス機関から、許諾されたデバイスの所与の組のためのコンテンツ復号鍵の暗号化を含む頒布鍵を受領する段階と；
コンテンツの署名を使って、コンテンツ暗号化鍵とこのコンテンツ暗号化鍵によって保護されたコンテンツとの間の安全な結び付きを生成する段階と；
暗号化されたコンテンツをコンテンツの署名と一緒に頒布する段階とを含む、
方法。
【請求項２】
請求項１記載の方法であって、コンテンツ暗号化鍵とこのコンテンツ暗号化鍵によって保護されるコンテンツとの間の安全な結び付きを生成する前記段階は：
コンテンツ・パッケージャにおいて、コンテンツ暗号化鍵および頒布鍵と一緒にコンテンツに署名してコンテンツ署名を生成する段階を含む、
方法。
【請求項３】
請求項１記載の方法であって、コンテンツ暗号化鍵とこのコンテンツ暗号化鍵によって保護されるコンテンツとの間の安全な結び付きを生成する前記段階は：
コンテンツ・パッケージャにおいて、暗号化されたコンテンツに署名してコンテンツ署名を生成する段階を含む、
方法。
【請求項４】
請求項１記載の方法であって、コンテンツ暗号化鍵とこのコンテンツ暗号化鍵によって保護されるコンテンツとの間の安全な結び付きを生成する前記段階は：
コンテンツ・パッケージャにおいて、コンテンツに署名してコンテンツ署名を生成する段階を含み、
前記コンテンツ署名が前記暗号化されたコンテンツを生成するための前記コンテンツ暗号化鍵を計算するのに使われる、
方法。
【請求項５】
請求項４記載の方法であって、前記コンテンツ署名は、前記暗号化されたコンテンツとともに前記頒布鍵において暗号化された形で頒布される、方法。
【請求項６】
請求項２記載の方法であって、さらに：
コンテンツ・パッケージャにおいて、一組の階層的鍵K1,…,Kiを生成する段階と；
コンテンツ・パッケージャにおいて、前記一組の階層的鍵のうちの第一の鍵K1を使って前記コンテンツ暗号化鍵を暗号化する段階と；
nを1からi−1までの間であるとして前記一組の階層的鍵の各鍵Knを、前記一組の階層的鍵における後続鍵Kn+1を用いて暗号化する段階と；
ライセンス機関に、前記コンテンツ暗号化鍵の代わりに、前記一組の階層的鍵の最後の鍵Kiを送る段階とを含み、
ライセンス機関から受領される前記頒布鍵は許諾されたデバイスの所与の組のための最後の鍵Kiの暗号化を含み、
前記コンテンツ署名は、コンテンツ・パッケージャにおいて、前記コンテンツ暗号化鍵、前記一組の階層的鍵のすべての鍵K1,…,Kiおよび前記頒布鍵と一緒に前記コンテンツに署名することによって生成される、
方法。
【請求項７】
請求項３記載の方法であって、さらに：
コンテンツ・パッケージャにおいて、一組の階層的鍵K1,…,Kiを生成する段階と；
コンテンツ・パッケージャにおいて、前記一組の階層的鍵のうちの第一の鍵K1を使って前記コンテンツ暗号化鍵を暗号化する段階と；
nを1からi−1までの間であるとして前記一組の階層的鍵の各鍵Knを、前記一組の階層的鍵における後続鍵Kn+1を用いて暗号化する段階と；
ライセンス機関に、前記コンテンツ暗号化鍵の代わりに、前記一組の階層的鍵の最後の鍵Kiを送る段階とを含み、
ライセンス機関から受領される前記頒布鍵は許諾されたデバイスの所与の組のための最後の鍵Kiの暗号化を含み、
前記コンテンツ署名は、コンテンツ・パッケージャにおいて、第一の鍵K1による前記コンテンツ暗号化鍵の暗号化ならびに前記一組の階層的鍵の各鍵Knのその後続鍵Kn+1による暗号化と一緒に前記暗号化されたコンテンツに署名することによって生成される、
方法。
【請求項８】
請求項４記載の方法であって、さらに：
コンテンツ・パッケージャにおいて、一組の階層的鍵K1,…,Kiを生成する段階と；
コンテンツ・パッケージャにおいて、前記一組の階層的鍵のうちの第一の鍵K1を使って前記コンテンツ暗号化鍵を暗号化する段階と；
nを1からi−1までの間であるとして前記一組の階層的鍵の各鍵Knを、前記一組の階層的鍵における後続鍵Kn+1を用いて暗号化する段階と；
ライセンス機関に、前記コンテンツ暗号化鍵の代わりに、前記一組の階層的鍵の最後の鍵Kiを送る段階とを含み、
ライセンス機関から受領される前記頒布鍵は許諾されたデバイスの所与の組のための最後の鍵Kiの暗号化を含み、
前記第一の鍵K1は、コンテンツ・パッケージャにおいて、前記コンテンツ暗号化鍵に署名することによって生成され、mを2からiまでの間であるとして前記一組の階層的鍵の各鍵Kmはコンテンツ・パッケージャにおいて前記一組の階層的鍵における直前鍵Km-1に署名することによって生成される、
方法。
【請求項９】
請求項１ないし８のうちいずれか一項記載の方法であって、ライセンス機関から頒布鍵を受領する前記段階はさらに、ライセンス機関によって生成された前記頒布鍵の署名の受領を含む、方法。
【請求項１０】
請求項９記載の方法に基づいて頒布されるコンテンツを、該コンテンツを再生できるデバイスにおいて受領する方法であって：
前記頒布鍵とともに受領されたコンテンツ・パッケージャの検証鍵を使って前記コンテンツとともに頒布された前記コンテンツ署名を検証する段階と；
検証が成功した場合に、前記デバイスに記憶されているデバイス復号鍵を使って前記コンテンツ暗号化鍵を前記頒布鍵から取得し、取得されたコンテンツ暗号化鍵を使って前記コンテンツを復号して前記コンテンツを再生する段階とを含む、
方法。
【請求項１１】
請求項１０記載の方法であって、さらに：
前記デバイスに記憶されているライセンス機関の検証鍵を使って前記頒布鍵の署名を検証し；
前記頒布鍵の署名の前記検証が成功した場合にのみ請求項１０記載の方法の後続段階を実行することを含む、
方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、マルチメディア・コンテンツの安全な頒布（distribution）を可能にするコンテンツ頒布システムの分野に関する。本発明は、より具体的には、「ロンダリング（laundering）攻撃」および「再パッケージング（repackaging）攻撃」と呼ばれる、保護されたコンテンツを頒布するために使われるたいていのシステムに適用されうる、本発明者らによって同定された新しい種類の攻撃を防止する方法に関する。
【背景技術】
【０００２】
今日、大帯域幅接続および効率的なデータ圧縮技術が利用可能になったおかげで、マルチメディア・コンテンツは高品質で伝送できる。これは新たなビジネスおよび頒布モデルを生み出している。残念ながら、このことは高いレベルの海賊行為をも生じさせている。たとえば、デジタル・コンテンツ（音楽、ビデオおよびソフトウェア・ゲーム）は、他者にコピーを利用可能にするユーザーによって、あるいは制作プロセスのインサイダーによって、海賊行為の対象とされることができる。コンテンツ保護技術は、コンテンツ海賊行為（piracy）に対して保護するよう意図したものである。生じる損失は膨大になることがあるので、コンテンツ保護技術の適正な設計および正しい実装は、エンターテインメント産業にとって中心的な重要性がある。
【０００３】
広く行われているコンテンツ保護技術を調べると、多くの変形があることが示される。しかしながら、各コンテンツ頒布システムにおいて共通しているのは、基本的なセキュリティ機能である。実際、物理的担体に書き込まれるまたは他の仕方で伝送される前に、コンテンツは通例コンテンツ・プロバイダーによって暗号化される。結果として、不正頒布（すなわち、KazaaまたはE-muleのようなピアツーピアのファイル要求システムにおける、あるいはDVDのような物理的媒体上での、コンテンツの許諾されていない頒布）または不正な消費（すなわち、正当に購入されたコンテンツの許諾されていない使用）に先立つ必須ステップは、その保護された形からコンテンツを抽出することである。たいていの場合、これは平文のコンテンツを復元することを意味する。既存のコンテンツ頒布システムはこの問題に対処する一方、海賊行為者やエンドユーザーがそれらを本来の目的以外に転用することを防止することはほとんど、あるいは全く何もしない。
【０００４】
もう一つの形の海賊行為は、ビット単位でのコピー（bit-to-bit  copies）またはデバイス・クローニング（device  cloning）に関わる不正頒布である。いくつかの複製方法を使えなくする一意的なハードウェアIDに基づく技術が存在している（たとえば「CPRM」として知られている非特許文献１または「AACS」として知られている非特許文献２に開示される）。一意的なIDは典型的にはハードウェア素材、一般にはユーザーのプレーヤーまたはマルチメディア・コンテンツを含んでいる物理的な担体の物理的な構造においてエンコードされるまたはそのような物理的な構造から計算される。これらの技法は、このIDがハードウェア素材の書き込み不可能な領域に位置しているという点で共通している。一意的なハードウェアIDは、マルチメディア・コンテンツをプレーヤーまたは物理的担体に安全に結び付け、その対応するプレーヤーまたはその対応する担体を使ってのみ再生できるようにすることを可能にする。たとえば非特許文献３または非特許文献４によって開示される他の現行の技法はコンテンツ頒布者によって発行される許諾証明書に基づいており、この証明書が一意的なユーザーIDに結び付けられる。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】"Content  Protection  for  Recordable  Media:  Introduction  and  Common  Cryptographic  Elements",  2000.  Revision  0.94,  Intel  Corporation,  International  Business  Machines  Corporation,  Ltd.  Matsushita  Electric  Industrial  Co.  and  Toshiba  Corporation
【非特許文献２】"Advanced  Access  Content  System  (AACS):  Introduction  and  Common  Cryptographic  Elements",  February  17,  2006.  Revision  0.91,  Intel  Corporation,  International  Business  Machines  Corporation,  Ltd.  Matsushita  Electric  Industrial  Co.,  Toshiba  Corporation,  Microsoft  Corporation,  Sony  Corporation,  The  Walt  Disney  Company,  and  Warner  Bros
【非特許文献３】Claudine  Conrado,  Franck  Kamperman,  Geert  Jan  Schrijen  and  Willem  Jonker,  "Privacy  in  an  identity-based  DRM  system"  (Proceedings  of  the  14th  International  Workshop  on  Database  and  Expert  Systems  Applications  (DEXA  '03),  pp.389-395,  IEEE  Computer  Society,  2003所収)
【非特許文献４】Paul  Koster,  Franck  Kamperman,  Peter  Lenoir  and  Koen  Vrielink,  "Identity-based  DRM:  Personal  entertainment  domain"  (Transactions  on  Data  Hiding  and  Multimedia  Security  I,  volume  4300  of  Lecture  Notes  in  Computer  Science,  pp.104-122,  Springer-Verlag,  2006所収)
【非特許文献５】Amos  Fiat  and  Moni  Naor,  "Broadcast  encryption"  (D.  R.  Stinson(編),  Advances  in  Cryptology  ―  CRYPTO'93,  volume  773  of  Lecture  Notes  in  Computer  Sciences,  pp.480-491.  Springer-Verlag,  1994所収)
【非特許文献６】Dalit  Naor,  Moni  Naor,  and  Jeffrey  B.  Lotspiech,  "Revocation  and  tracing  schemes  for  stateless  receivers"  (Advances  in  Cryptology  ―  CRYPTO  2001,  volume  2139  of  Lecture  Notes  in  Computer  Science,  pp.41-62.  Springer-Verlag,  2001所収)
【非特許文献７】Rosario  Gennaro  and  Pankaj  Rohatgi,  "How  to  sign  digital  streams",  Information  and  Computation,  165(1):110-116,  2001,  先行バージョンがProc.  of  CRYPTO'97に所収
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明者らは、現行の実装は、児童ポルノ（コンテンツ・ロンダリング）または著作権侵害（コンテンツ再パッケージング）を含む多様な犯罪において情報を頒布するためのツールとして使用されうることを見出した。セキュリティ・チェーンが全体として対処されていないので、許諾を受けていないユーザーが頒布システムを利用できる。
【課題を解決するための手段】
【０００７】
本発明は、コンテンツMが暗号化された形C＝Enc(Kc,M)でプレーヤーに、コンテンツ暗号化鍵Kcを復元することを可能にする頒布鍵Kdと一緒に頒布される、コンテンツ頒布システムにおいてコンテンツを頒布する方法に関する。
【０００８】
本発明の主たる発想は、コンテンツの署名を使って鍵素材とコンテンツ自身との間の安全な結び付きを生成するということである。
【０００９】
より正確には、本発明に基づく方法は：
コンテンツ・パッケージャ（Content  Packager）において、コンテンツ暗号化鍵Kcを使ってコンテンツを暗号化して暗号化コンテンツを生成する段階と；
コンテンツ暗号化鍵Kcをライセンス機関（Licensing  Authority）に送る段階と；
ライセンス機関から、許諾されたデバイスの所与の組のためのコンテンツ復号鍵Kcの暗号化を含む頒布鍵Kdを受領する段階と；
コンテンツの署名を使って、コンテンツ暗号化鍵Kcとこのコンテンツ暗号化鍵Kcによって保護されたコンテンツとの間の安全な結び付きを生成する段階と；
暗号化されたコンテンツをコンテンツの署名と一緒に頒布する段階とを含む。
【００１０】
本発明のある実施形態によれば、コンテンツ暗号化鍵Kcとこのコンテンツ暗号化鍵Kcによって保護されるコンテンツとの間の安全な結び付きを生成する段階は：
コンテンツ・パッケージャにおいて、コンテンツ暗号化鍵Kcおよび頒布鍵Kdと一緒にコンテンツに署名してコンテンツ署名を生成する段階を含む。
【００１１】
本発明のもう一つの実施形態によれば、コンテンツ暗号化鍵Kcとこのコンテンツ暗号化鍵Kcによって保護されるコンテンツとの間の安全な結び付きを生成する段階は：
コンテンツ・パッケージャにおいて、暗号化されたコンテンツに署名してコンテンツ署名を生成する段階を含む。
【００１２】
本発明のあるさらなる実施形態によれば、コンテンツ暗号化鍵Kcとこのコンテンツ暗号化鍵Kcによって保護されるコンテンツとの間の安全な結び付きを生成する段階は：
コンテンツ・パッケージャにおいて、コンテンツに署名してコンテンツ署名を生成する段階を含み、このコンテンツ署名が暗号化コンテンツを生成するためのコンテンツ暗号化鍵を計算するのに使われる。
【００１３】
この特定の実施形態において、コンテンツ署名は、暗号化コンテンツとともに頒布鍵Kdにおいて暗号化された形で頒布される。好ましくは、コンテンツ署名はコンテンツ暗号化鍵に等しい。
【００１４】
もう一つの個別的な実施形態によれば、本方法はさらに：
コンテンツ・パッケージャにおいて、一組の階層的鍵K1,…,Kiを生成する段階と；
コンテンツ・パッケージャにおいて、前記一組の階層的鍵のうちの第一の鍵K1を使ってコンテンツ暗号化鍵Kcを暗号化する段階と；
nを1からi−1までの間であるとして前記一組の階層的鍵の各鍵Knを、前記一組の階層的鍵における後続鍵Kn+1を用いて暗号化する段階と；
ライセンス機関に、コンテンツ暗号化鍵Kcの代わりに、前記一組の階層的鍵の最後の鍵Kiを送る段階とを含み、
ライセンス機関から受領される頒布鍵Kdは許諾されたデバイスの所与の組のための最後の鍵Kiの暗号化を含み、
コンテンツ署名は、コンテンツ・パッケージャにおいて、コンテンツ暗号化鍵Kc、前記一組の階層的鍵のすべての鍵K1,…,Kiおよび頒布鍵Kdと一緒にコンテンツに署名することによって生成される。
【００１５】
もう一つの個別的な実施形態によれば、本方法はさらに、
コンテンツ・パッケージャにおいて、一組の階層的鍵K1,…,Kiを生成する段階と；
コンテンツ・パッケージャにおいて、前記一組の階層的鍵のうちの第一の鍵K1を使ってコンテンツ暗号化鍵Kcを暗号化する段階と；
nを1からi−1までの間であるとして前記一組の階層的鍵の各鍵Knを、前記一組の階層的鍵における後続鍵Kn+1を用いて暗号化する段階と；
ライセンス機関に、コンテンツ暗号化鍵Kcの代わりに、前記一組の階層的鍵の最後の鍵Kiを送る段階とを含み、
ライセンス機関から受領される頒布鍵Kdは許諾されたデバイスの所与の組のための最後の鍵Kiの暗号化を含み、
コンテンツ署名は、コンテンツ・パッケージャにおいて、第一の鍵K1によるコンテンツ暗号化鍵Kcの暗号化ならびに前記一組の階層的鍵の各鍵Knのその後続鍵Kn+1による暗号化と一緒に暗号化コンテンツに署名することによって生成される。
【００１６】
本発明のもう一つの実施形態では、本方法はさらに：
コンテンツ・パッケージャにおいて、一組の階層的鍵K1,…,Kiを生成する段階と；
コンテンツ・パッケージャにおいて、前記一組の階層的鍵のうちの第一の鍵K1を使ってコンテンツ暗号化鍵Kcを暗号化する段階と；
nを1からi−1までの間であるとして前記一組の階層的鍵の各鍵Knを、前記一組の階層的鍵における後続鍵Kn+1を用いて暗号化する段階と；
ライセンス機関に、コンテンツ暗号化鍵Kcの代わりに、前記一組の階層的鍵の最後の鍵Kiを送る段階とを含み、
ライセンス機関から受領される頒布鍵Kdは許諾されたデバイスの所与の組のための最後の鍵Kiの暗号化を含み、
第一の鍵K1は、コンテンツ・パッケージャにおいて、コンテンツ暗号化鍵Kcに署名することによって生成され、mを2からiまでの間であるとして前記一組の階層的鍵の各鍵Kmはコンテンツ・パッケージャにおいて前記一組の階層的鍵における直前鍵Km-1に署名することによって生成される。
【００１７】
上述した方法のいずれにおいても、ライセンス機関から頒布鍵Kdを受領する段階はさらに、ライセンス機関によって生成された前記頒布鍵の署名の受領を含んでいてもよい。
【００１８】
本発明はまた、上述した方法の一つに基づいて頒布されたコンテンツを受領する方法であって：
頒布鍵Kdとともに受領されたコンテンツ・パッケージャの検証鍵を使ってコンテンツとともに頒布されたコンテンツ署名を検証する段階と；
検証が成功した場合に、前記デバイスに記憶されているデバイス復号鍵を使ってコンテンツ暗号化鍵Kcを頒布鍵Kdから取得し、取得されたコンテンツ暗号化鍵を使ってコンテンツを復号してコンテンツを再生する段階とを含む、
方法にも関する。
【００１９】
ある個別的な実施形態では、本方法はさらに、前記デバイスに記憶されているライセンス機関の検証鍵を使って頒布鍵Kdの署名を検証し；前記頒布鍵の署名の前記検証が成功した場合にのみ上述した方法の後続段階を実行することを含む。
【００２０】
本発明のさまざまな特徴およびその好ましい実施形態について、今や、以下の記述および付属の図面を参照することによってよりよく理解されるであろう。
【図面の簡単な説明】
【００２１】
【図１】コンテンツ頒布システムの例を示す図である。
【図２】本発明の異なる実施形態を示す図である。
【発明を実施するための形態】
【００２２】
典型的なコンテンツ頒布システムが図１に提示されている。これは無数の変形および最適化を受けることがありうる。我々のねらいは、コンテンツ所有者からコンテンツ・プレーヤーまで、プロセス全体に関わってくる主要な構成要素および役者を紹介することである。提示されるアーキテクチャは一般的なもので、多様な実際上のシステムに対応できる。
【００２３】
マルチメディア・コンテンツのライフ・サイクルは四つの主要な段階に分けられる：
・コンテンツの作成および編集：この段階は、映画の撮影またはゲームのプログラミング、オーディオおよびグラフィック効果、アニメーション、字幕を、コンテンツのその最終的な形での提示前の制作プロセスの一部として含む。任意的に、コンテンツを追跡するために透かしが挿入されてもよい。
・コンテンツ・パッケージング：この段階は、コンテンツを不正使用や許諾されない再頒布から保護するための、たとえば暗号化によるコンテンツの保護を含む。
・コンテンツ頒布：ひとたびコンテンツが準備を整えられ保護されると、コンテンツはエンドユーザーに頒布される必要がある。これは、衛星、インターネットまたは物理的媒体（たとえばDVDまたはカートリッジ）上など、多様な既存のチャンネルを通じてできる。
・コンテンツ消費：この段階は、エンドユーザーが自分のプレーヤー上でコンテンツにアクセスしてこれをレンダリングする機構を提供する。これは一般にセットトップボックス、ゲーム・コンソール内で、あるいはエンドユーザーのコンピュータ上の専用のソフトウェアによって行われる。
【００２４】
ここではコンテンツ作成段階は考えない。これは本発明の埒外であり、その出力を「マルチメディア・コンテンツ」と呼ぶ。
【００２５】
図１に示されるような典型的なコンテンツ頒布システムにおいて、Mはマルチメディア・コンテンツを表す。コンテンツ頒布者（content  Distributor）１は一意的な識別子＃をMに割り当て、それをヘッダhdr（たとえばコンテンツの名前、その識別子、そのエンコード形式などを含む）に関連付ける。
【００２６】
頒布される前に、マルチメディア・コンテンツMは「準備を整えられる」、あるいはより正確には保護される必要がある。これがコンテンツ・パッケージャ２の役割である。これは、コンテンツ鍵、たとえばKcのもとでのMの暗号化を含む。一般性を失うことなく、MはEnc()で表される対称鍵暗号化アルゴリズムを使って暗号化され、暗号化コンテンツC＝Enc(Kc;M)を形成するとする。コンテンツ鍵Kcは好ましくはランダムに生成される。コンテンツ・パッケージャ２は、鍵素材を取得するために情報をヘッダに加えてもよい（たとえばURL）。保護されたコンテンツおよび対応するヘッダ、すなわち[hdr,C]は次いでコンテンツ・サーバー３上で利用可能にされる。
【００２７】
コンテンツを復号するのに必要な鍵素材は鍵サーバー５上で利用可能にされる。その管理および保管は以下で述べる。だが、その前にライセンス機関４を導入する必要がある。
【００２８】
コンテンツ・パッケージャによってパッケージングされたマルチメディア・コンテンツは、図１のプレーヤー６のような任意のプレーヤー上で読むことができるのではない。プレーヤーは、信頼される第三者のはたらきをするライセンス機関４によって規定されるある種の要件を満たす必要がある。ライセンス機関（Licensing  Authority）４は、公開鍵／秘密鍵（vkla,skla）の対応する対を保有する。秘密鍵sklaは典型的にはデジタル署名する（sign）ために使われ、一方、公開鍵vklaは好ましくはライセンス機関によって発行された署名の有効性（validity）を検査するために使われる。
【００２９】
プレーヤー製造業者がコンテンツを読むことのできるプレーヤーを生産および販売したい場合、ライセンス機関４にプレーヤー鍵を要求する必要がある。ライセンス機関がプレーヤー６が適合であると評価する場合、プレーヤー製造業者は一つまたはいくつかのプレーヤー鍵を受領する。所与のプレーヤー鍵は一つのプレーヤーに一意的であってもよいし、あるいは同じプレーヤーのファミリーの間で共有されてもよい。pidをプレーヤー識別子（player  identifier）とする。より詳細には、各pidについて、ライセンス機関は一対の暗号化（encryption）／復号（decryption）鍵、たとえば（ekpid,dkpid）を生成し、プレーヤー製造業者にdkpidを提供する。復号鍵dkpidおよび検証（verification）鍵vkla（すなわち、ライセンス機関の公開鍵）はプレーヤー６のような各プレーヤーpid内に保管される。
【００３０】
ライセンス機関４は、すべての適合プレーヤーの識別子および対応する暗号化鍵（pid,ekpid）を含むリストLを維持している。後刻、プレーヤーがもはや適合しなくなった場合（たとえばセキュリティ欠陥のため）、ライセンス機関はリストLから対応するエントリーを除去し、そのプレーヤーを失効させる（失効機構）。
【００３１】
マルチメディア・コンテンツMの暗号化は好ましくは（少なくとも）二レベルのプロセスである。コンテンツ・パッケージャ２はまずランダムなコンテンツ鍵KcのもとでMを暗号化してCを形成する。コンテンツ鍵Kcも暗号化されて「頒布鍵」と呼ばれるもの、たとえばKdを形成する。この第二レベルの鍵は、同じ保護されたコンテンツを異なるプレーヤーに頒布することを可能にする。
【００３２】
Kcの暗号化は次のように進行する。コンテンツ・パッケージャ２はライセンス機関４に、そのマルチメディア・コンテンツが意図されている一組のプレーヤーの識別子P＝{pid}を送る。次に、ライセンス機関はその一組の意図されるプレーヤーが有効であること、すなわちPの各pidがリストLに含まれていることを検査する。もし有効であれば、ライセンス機関は頒布鍵：
Kd＝{ε(ekpid;Kc)}pid∈P
を発行する。すなわち、P内の各pidについて、暗号化アルゴリズムε()を使った暗号化鍵ekpidのもとでKcを暗号化したものである。
【００３３】
当該マルチメディア・コンテンツが膨大な数（たとえば数百万）のプレーヤーに向けて意図されているときには、Kdの生成はたとえば非特許文献５または非特許文献６によって開示されているブロードキャスト暗号化技法を使って最適化されることができることを注意しておく。だが、本提示を簡潔に保つため、KdはP内の各プレーヤーの鍵ekpidのもとでのKcの別個の暗号化であると考えておく。
【００３４】
好ましくは、ライセンス機関は、その秘密署名鍵sklaを用いて署名アルゴリズムS()を使って頒布鍵Kdに署名して署名σla＝S(skla;Kd)を得ることもする。Kdおよびσlaはコンテンツ識別子＃と一緒に鍵サーバー５に保管される。
【００３５】
コンテンツ消費（または再生）に関し、二つの型の頒布チャンネルを考える。
【００３６】
・電子的頒布。ユーザーがコンテンツ・サーバー３から取得された保護されたコンテンツC（ヘッダhdrおよび識別子＃をもつ）を再生したい場合、ユーザーはまず何らかの小売業者でコンテンツを購入する必要がある。この購入プロセスは本発明の埒外であり、電子支払いシステム、スマートカードに記憶されているプリペイド「電子マネー」などを使って行われうる。この購入は、ユーザーによって取得される、そのユーザーがそのコンテンツにアクセスする権利を有することを証明する「トークン」によって具現される。次いで、頒布鍵Kdおよびその署名σlaを取得するために、このトークンが鍵サーバー５に送られる。この鍵および署名素材は「ライセンス」（DRM――Digital  Rights  Management［デジタル権利管理］――システムにおいて使用される語彙）内において、または「ECM」（Entitlement  Control  Message［利用権管理メッセージ］――限定アクセス［Conditional  Access］システムにおいて使用される語彙）内において送られてもよい。
【００３７】
・物理的媒体：この場合、コンテンツ・サーバー３と鍵サーバー５との間の区別はない。保護されたコンテンツCおよび対応する鍵素材Kdおよびσlaは物理的媒体（たとえばDVDまたはカートリッジ）上に記憶される。ユーザーは単に物理的媒体のコピーを購入するまでである。
【００３８】
マルチメディア・コンテンツが[C,Kd,σla]からどのようにして再生されるかの説明が残っている。プレーヤー６は二つの主要な構成要素を有する：コンテンツ復号ユニット（CDU:  content  decryption  unit）およびタンパー耐性モジュール（TRM:  tamper-resistant  module）である。タンパー耐性モジュールTRMはプレーヤー復号鍵dkpidおよびライセンス機関の公開鍵vklaを埋め込んでいる。入力[Kd,σla]に対して、タンパー耐性モジュールはまず検証鍵vklaを使って署名σlaを検証する。検証が成功すると、復号鍵dkpidおよび復号アルゴリズムD()を使ってコンテンツ鍵をKc＝D(dkpid;Kd)として計算する。KcおよびCから、コンテンツ復号ユニットCDUは次いで（平文の）マルチメディア・コンテンツM＝Enc-1(Kc;C)を復元し、これがプレーヤー６によって再生される。
【００３９】
図１に開示されるようなコンテンツ配信システムは、種々の攻撃を受けることがある。下記に、必要な鍵素材を提供することになっているライセンス機関と対話することなく攻撃者が保護されたマルチメディア・コンテンツを生成できる二つの種類の攻撃を提示する。これらの攻撃は、真正なマルチメディア・コンテンツと区別できない（海賊版）マルチメディア・コンテンツの不正な頒布に門戸を開く。
【００４０】
以下では、三つの範疇のプレーヤーを区別する。
・適合（compliant）プレーヤー：システム仕様に従い、ライセンス機関から取得された鍵をもち、そのプレーヤー識別子pidがライセンス機関が維持するリストL内に提示されているデバイスまたはソフトウェア。
・準拠する（conformant）が適合しないプレーヤー：システム仕様に従い、鍵（ライセンス機関から取得されたまたはそうでない復号鍵dkpidおよび検証鍵vkla）をもつが、リストLに載っていないデバイスまたはソフトウェア。これは、仕様に従うがライセンス機関の検証プロセスに合格しなかった実装（この場合、対応する暗号化鍵ekpidは一度もリストLに載ったことがない）または失効したデバイス（この場合、対応する暗号化鍵ekpidはリストLから除去された）を含む。
・非準拠プレーヤー：システム仕様に従わず、よって保護されたマルチメディア・コンテンツを再生できないデバイスまたはソフトウェア。
【００４１】
明確のため、以下では、保護されたコンテンツを再生できるプレーヤーのことを、適合であるか否かによらず、準拠プレーヤーと称することにする。これは最初の二つの範疇を含む。
【００４２】
また、効率的な失効機構があると想定する。これは、問題が生じたプレーヤーはすぐリストLから除去されるということを想定している。さらに、最初のアプローチとして、準拠プレーヤーは平文コンテンツを扱うことはできない（すなわち、保護されたマルチメディア・コンテンツしか消費できない）とする。このアプローチは、たとえば、次のような場合に対応する。
・安全なピアツーピア・コンテンツ配信システム：そのようなシステムの目的は、保護されたマルチメディア・コンテンツを配信するためだけに使われることである。よって、そのようなシステムでは、平文コンテンツの配信を無効にすることは重要な特徴である。
・ゲーム・コンソール：たいていのプラットフォームでは、そのようなコンソール上で保護されていないゲームを再生することはできない。
【００４３】
「コンテンツ・ロンダリング」攻撃および「コンテンツ再パッケージング」攻撃と称する二つの種類の攻撃についてこれから述べる。いずれの型の攻撃についても、攻撃者は一つまたは複数のコンテンツ鍵Kcを知っていると想定する。
【００４４】
コンテンツ・ロンダリング攻撃は、平文コンテンツを保護されたコンテンツに変換して、準拠プレーヤーで再生できるようにすることにある。コンテンツ源は指定されないが、一般にはたとえばピアツーピア・ネットワークのような不正なものである。いくつかの例示的な筋書きは次のとおり。
【００４５】
・海賊行為者は、自分たちのオファーへの関心を高めるからこの攻撃を実行したがることがありうる。たとえば、マフィア組織が税関検査を通過するために海賊版DVDを「隠す」ことがありうる。DVD上の平文のコンテンツは、保護されたコンテンツとは対照的に怪しく思われることがありうる。
【００４６】
・安全なピアツーピア配信システムにおいては、コンテンツは暗号化され、その源は中央集中化される。ロンダリング攻撃を使って、安全なピアツーピアが犯罪者およびテロリストによってハイジャックされることがありうる。これは犯罪者やテロリストが、たとえば児童ポルノまたはテロリスト・メッセージについてのビデオを導入および交換できるようにする。この場合、システムによって使用される暗号化が疑わしいビデオを隠すので、検出はまず確実に失敗するであろう。
【００４７】
・（権利で保護されたプラットフォーム上の）自作のビデオ・ゲームを開発したユーザーが、それを適合デバイス（ゲーム・コンソール）上で再生したいことがありうる。そのほうがよりよいユーザー経験を味わえるからである。
【００４８】
・ユーザーはインターネットからダウンロードされた他のゲームを楽しみたいことがありうる。合法的なカートリッジ上では見出せないこの上なく広いゲームの選択肢が見出せる（しかも低価格で）からである。たとえば古いコンソール世代のゲームであることができる。
【００４９】
これから攻撃自身について述べる。
【００５０】
海賊行為者は、ロンダリングしたい海賊版コンテンツPのコピーを取得するとする。この海賊版コンテンツPは典型的には平文である。我々の最初の前提により、海賊行為者は少なくとも一つのコンテンツ鍵Kcおよび真正なコンテンツに対応する関連するhdrおよび＃を知ってもいる。
【００５１】
海賊行為者は、Kcを使ってPを暗号化し、ロンダリングされたコンテンツL＝Enc(Kc;P)を取得する。海賊行為者は次いでLをヘッダhdrおよび識別子＃と一緒に頒布する。
【００５２】
このロンダリングされたコンテンツLを受領する、準拠プレーヤーをもっているユーザーは、ヘッダhdrのおかげで、対応する頒布鍵Kdおよび鍵サーバー５からの付随する署名σlaを取得できる。署名検証は正しいので、プレーヤーはKdを復号してKcを取得し、よってLを復号してPを得る。実際、プレーヤーにとって、ロンダリングされたコンテンツを復号しているということを検出するすべはない。
【００５３】
この攻撃は、海賊行為者が何らかのコンテンツ鍵Kcおよび関連するhdrおよび＃を知るとすぐに実行できることを注意しておく。その後、同じコンテンツ鍵Kcはいかなる海賊版コンテンツにも適用できる。
【００５４】
コンテンツ再パッケージング攻撃は、攻撃者が、マルチメディア・コンテンツを異なるコンテンツ鍵を使って再暗号化することを許容する。再パッケージングされたマルチメディア・コンテンツは、再頒布され、準拠プレーヤーによって再生されることができる。
【００５５】
この種の攻撃は、海賊行為者が、オリジナルよりも魅力的なオファーをエンドユーザーに対して提案することを許容する。この攻撃が海賊行為者にとって有用となりうるいくつかの例示的な筋書きは次のとおり。
【００５６】
・地理的放送規制〔ブラックアウト〕シナリオ：いくつかのスポーツ・ゲームについては、人々を試合に行かせるために、試合が行われる地域が放送規制される。この攻撃を実行して、海賊行為者は試合を放送規制された地域の人々に提案しうる。
【００５７】
・いくつかの装置が失効された状況では、海賊行為者は失効したデバイスの鍵を使ってコンテンツを再パッケージングして、失効したデバイスもコンテンツにアクセスできるようにしうる。
【００５８】
・海賊行為者は、ゾーン分け管理を迂回するためにゲームまたは映画を再パッケージングできる。すなわち、海賊行為者は、普通なら数か月待たなければならなかったはずの地域においてコンテンツを利用可能にすることができる。
【００５９】
・海賊行為者は、同じ担体上にいくつかのコンテンツを再パッケージングできる。たとえば、三つの保護された映画を買って、平文の形で復元する。次にそれらを同じ担体上に再パッケージングして、数百万のユーザーに魅力的な価格で売ることができる。たとえば、三つの映画を一つの映画の価格で売ることができる。
【００６０】
この攻撃を実行するためには、海賊行為者は、再頒布したいコンテンツMaを正規の頒布チャンネルから入手する。Maはこの正規の頒布チャンネルを通じて暗号化された形Caで頒布され、そのヘッダhdraおよび識別子＃aと一緒に頒布される。
【００６１】
攻撃者は次いで、対応するコンテンツ鍵Kcaを復元する必要がある。Kcaを使って、攻撃者は平文のコンテンツMaを復元できる。次いで、他の何らかのコンテンツ鍵Kcおよび対応するヘッダhdrおよび識別子＃を知っているという前提を使って、攻撃者はKcを使ってMaを暗号化し直し、再パッケージングされたコンテンツR＝Enc(Kc;Ma)を得る。攻撃者は次いで、ロンダリング攻撃についてと同様に、Rをhdrおよび＃と一緒に再頒布しうる。
【００６２】
準拠プレーヤーは、ロンダリングされたコンテンツの場合と同じようにして、Rから平文コンテンツMaを復元できる。
【００６３】
ロンダリング攻撃を防ぐ考えられる対策は、平文のコンテンツMを頒布する前にMに署名することであろう。コンテンツをその署名と一緒に入手する（たとえばインサイダー、すなわちそのマルチメディア・コンテンツを所有する会社の中ではたらく人物から）のでない限り、海賊行為者はコンテンツの署名を処置できない。結果として、「アナログの抜け穴（analog  hole）」から得られたいかなる海賊版コンテンツも、署名が伴っていないのでロンダリングできない。
【００６４】
しかしながら、この対策は、再パッケージング攻撃の場合は非効率的である。というのも、再パッケージング攻撃は署名されたコンテンツに対して完璧に機能するからである。攻撃者は正規の頒布チャンネルからコンテンツを入手するので、攻撃者はコンテンツと一緒にコンテンツ署名を取得する。よって攻撃者はそれを再パッケージングして再頒布できる。
【００６５】
いずれの攻撃（コンテンツ・ロンダリングおよびコンテンツ再パッケージング）も、海賊行為者が少なくとも一つのコンテンツ暗号化鍵Kcを復元することができたと想定している。再パッケージング攻撃は、再パッケージングするための新たなコンテンツのそれぞれについてそのような鍵を復元することを要求しさえする。しかしながら、これらの状況は下記の理由で現実的ではない。
【００６６】
たとえ各プレーヤーにおいてインフラストラクチャー鍵およびデータを保護するためにタンパー耐性モジュールが使用されたとしても、タンパー耐性モジュールはメモリおよび計算力の両面でのその限られた容量のため、コンテンツ自身を扱うのに使うことはできない。そこでコンテンツ暗号化鍵は標準的なメモリにおいて扱われ、よって実装攻撃（implementation  attack）に対してより敏感になる。
【００６７】
ブロードキャスト・システム（たとえば、ブロードキャスト・テレビジョンまたはDVD-ROM上での頒布）では、所与のコンテンツは、たとえ多くのプレーヤーに頒布されるとしても、同じコンテンツ暗号化Kcのもとで暗号化される。その場合、鍵はより露わにされ、「セキュリティが他より低い」実装をもつ一つのプレーヤーを処置するだけでKcを復元できる。コンテンツ暗号化鍵を取得するには他の手段を使うこともできる。たとえば、インサイダー、すなわちそのマルチメディア・コンテンツを所有する会社の中で働いている人々から、ソーシャル・エンジニアリング技法を使ってである。
【００６８】
上記の攻撃では、攻撃者はコンテンツ暗号化鍵Kcへのアクセスを得ることができるだけであると想定している。この想定は、Kcをもつことがロンダリングおよび再パッケージング攻撃には十分なので、意図的に弱い想定を選んである。最も強力な攻撃者は、階層におけるより高いレベルの鍵（たとえばプレーヤー鍵）を取得する。これもいずれにせよコンテンツ暗号化鍵の再計算を許容する。
【００６９】
最後に、攻撃の実現可能性は、Kcを保護するために使われる暗号化アルゴリズムには依存しない。より具体的には、コンテンツ暗号化鍵Kcが非対称暗号化される場合でも、攻撃は機能する。海賊行為者はそれでも一つのKcを得、対応する識別子および頒布鍵Kdを複製する必要がある。
【００７０】
これらの攻撃を実行できるということは、暗号化されたマルチメディア・データと鍵素材との間の安全な結び付きがないという事実に由来する。所与のコンテンツを暗号化するためにいかなる鍵Kcでも使うことができるのである。したがって、コンテンツ鍵は海賊版コンテンツに、あるいはその鍵が意図されたのではないコンテンツに適用でき、当初のコンテンツ著作権を侵害しうる。
【００７１】
我々はここに、この問題を治癒する異なる道筋を提案する。提案される解決策はみな、コンテンツ鍵とその鍵が保護するコンテンツとの間の安全な結び付き〔リンク〕の生成に基づく。もしこの安全なリンクが存在すれば、上述の攻撃はいずれももはや機能しない。
【００７２】
すべての解決策は、大量のデータに署名することを含意する。結果として、アペンディクスをもつ署名方式が好ましくは使用される。以下では、σ（またはΣ）が署名のみを表す。効率的な署名方法については非特許文献７の刊行物を参照されたい。
【実施例１】
【００７３】
ロンダリング攻撃および再パッケージング攻撃に対抗する第一の提案される解決策は、コンテンツ保護に関わるすべての鍵とともにマルチメディア・コンテンツに署名することである。すなわち、鍵階層中のすべての鍵と連結したコンテンツに署名するのである。
【００７４】
図２は、提案される解決策が実装される図１のコンテンツ頒布システムを示している（同じ要素は同じ参照符号を帯びている）。
【００７５】
本発明の第一の実施形態によれば、コンテンツMを受領すると、コンテンツ・パッケージャ２はKcを生成し、ライセンス機関にプレーヤーの所与の組P＝{pid}のための頒布鍵Kdを送るよう要求する。Kdを受け取ると、コンテンツ・パッケージャ（Content  Packager）２は、その秘密鍵skcpを用いて、コンテンツおよびコンテンツ鍵Kcと一緒にしてその鍵Kdに署名して、Σcp＝Sign(skcp:M‖Kc‖Kd)を得る。次いでΣcpは補助データ[＃,Kd,vkcp,σla]と一緒に鍵サーバー５上で利用可能にされる。＃はコンテンツ識別子、Kdは頒布鍵、vkcpは署名Σcpを検証するための検証鍵として使われるコンテンツ・パッケージャの公開鍵、σlaはライセンス機関によって生成された頒布鍵の署名を表す。署名σlaは、
・コンテンツ・パッケージャの検証鍵vkcp（図２に示されるように、σla＝S(skla:Kd‖vkcp)）；
・コンテンツ・パッケージャの識別情報；または
・ライセンス機関の識別情報
に連結された頒布鍵Kdに署名することによっても計算されうる。
【００７６】
再生時に、組P＝{pid}内の各プレーヤーは、鍵素材Kd、σlaと一緒に受領した検証鍵vkcpを使って署名Σcpを検証する。署名σlaも検証鍵vklaを使ってプレーヤー内で検証される。マルチメディア・コンテンツは、署名Σcpおよびσlaの両方の検証が成功する場合にかつその場合にのみ再生される。
【００７７】
Kdは別のコンテンツM'を頒布することに使うことはできず（ロンダリング対策）、コンテンツ[＃′,hdr′,C′]に関連付けられた別の鍵素材Kd′をMを頒布するために使うことはできない（再パッケージング対策）ので、安全な結び付きが有効である。
【００７８】
上記の例では、署名ΣcpにおいてコンテンツMに二つの鍵KcおよびKdが加えられた。これは暗号化が二段階しかないからである。より多くの暗号化段階が関わっている場合も非常にありそうだが（先述したCPRMまたはAACSとして知られるシステムにおけるように）、そのような場合には、コンテンツ・パッケージャ２において署名を生成する前に、鍵階層におけるすべての鍵がコンテンツに加えられる必要がある。たとえば、コンテンツ暗号化鍵Kcがそれ自身鍵K1によって暗号化され、そのK1がK2によって暗号化される、などとしてKiまで行き、Ki自身は所与のプレーヤーの組P＝{pid}のための頒布鍵Kd内に暗号化される場合、コンテンツ署名Σcpは：
Σcp＝Sign(skcp;M‖Kc‖K1‖K2‖…‖Ki‖Kd)
として計算される。
【００７９】
そのような多レベル暗号化シナリオでは、好ましい実施形態は、コンテンツ・パッケージャ２にコンテンツMを暗号化するのに使われるコンテンツ鍵Kcおよび鍵階層のKiまでの残りの鍵を生成させることにある。換言すれば、コンテンツ・パッケージャ２において次の諸段階が実行される：Kcを生成する、KcによってコンテンツMを暗号化してC＝Enc(Kc,M)を得る、K1によってKcを暗号化してE(K1;Kc)を得る、K2を生成する、K2によってK1を暗号化するといった具合にKiの生成まで進む。暗号化アルゴリズムE()はEnc()と同じであってもよいし、異なっていてもよいことを注意しておく。次いで鍵階層の最後の鍵Kiがコンテンツ・パッケージャ２によってライセンス機関４に送られて、ライセンス機関から所与のプレーヤーの組P＝{pid}のための頒布鍵Kd内のKiの暗号化を得る。
【００８０】
コンテンツが頒布されるとき、コンテンツ・パッケージャ２はコンテンツ・サーバー３に次の内容：
[hdr,C＝Enc(Kc;M),E(K1;Kc),E(K2;K1),…,E(Ki,Ki-1)]
を送り、補助データ[＃,Kd,vkcp,σla]および署名Σcpと一緒にライセンス機関から得られた鍵素材が鍵サーバー５に送られる。
【実施例２】
【００８１】
ロンダリング攻撃および再パッケージング攻撃に対抗する第二の提案される解決策は、平文バージョンに対する署名の代わりにマルチメディア・コンテンツの暗号化バージョンに対する署名を使うことである。この実施形態によれば、Mを受け取るとき、コンテンツ・パッケージャ２はまずコンテンツ暗号化鍵Kcを使ってMを暗号化してC＝Enc(Kc;M)を生成し、その秘密鍵skcpを用いてCに署名してΣcp＝Sign(skcp;C)を得る。ライセンス機関４は次に鍵素材[＃,Kd,vkcp,σla]を発行し、これがΣcpと一緒に鍵サーバー５に送られる。プレーヤーの所与の組P＝{pid}にコンテンツを頒布するためである。
【００８２】
再生時には、プレーヤー（図２には示さず）のコンテンツ復号ユニットCDUが検証鍵vkcpを使って署名Σcpを検証する。署名σlaも検証鍵vklaを使ってプレーヤーにおいて検証される。両方の署名が有効であれば、コンテンツ復号ユニットはマルチメディア・コンテンツを復元し、それが再生される。コンテンツ署名Σcpが無効であれば、マルチメディア・コンテンツは再生されない。その際、二通りの筋書きが可能である：Kcが本物でないか、あるいはコンテンツMが変更されているかである。Kcが本物でないがKdは本物である場合（署名σlaの検証が成功すればKdは本物であると考えられる）、Kdは別の保護されたマルチメディア・コンテンツ[hdr′,C′]から取得され、この新たなコンテンツMを保護するために使われたものである。再パッケージング攻撃に直面していることになる。コンテンツが「本物」でなければ、ロンダリング攻撃に直面していることになる。結果として、この解決策を使うことで、結び付きは有効である。
【００８３】
ここでもまた、二つより多くの暗号化レベルがある場合、署名は鍵階層全体に適用されねばならない。たとえば、コンテンツ暗号化鍵Kcがそれ自身鍵K1によって暗号化され、そのK1がK2によって暗号化される、などとしてKiまで行き、Ki自身は所与のプレーヤーの組P＝{pid}のための頒布鍵Kd内に暗号化される場合、コンテンツ署名Σcpは：
Σcp＝Sign(skcp;C‖E(K1;Kc)‖E(K2;K1)‖…‖E(Ki;Ki-1))
として計算される。
【００８４】
Kdはライセンス機関の署名σlaによってすでに本物認証されるので、署名Σcp内にE(Kd;Ki)（あるいは{ε(ekpid;Ki)}pid∈P）を含めることは必要でない。
【実施例３】
【００８５】
ロンダリング攻撃および再パッケージング攻撃に対抗する第三の提案される解決策は、ランダムにKcを生成するのではなく、Kcがマルチメディア・コンテンツの署名に依存するようにすることである。Mを受け取るとき、コンテンツ・パッケージャはまずそれに秘密鍵skcpを用いてΣcp＝Sign(skcp;M)と署名する。次に、コンテンツ・パッケージャはKcをコンテンツ署名値として選び（Kc＝Σcp）、そのもとでMをC＝Enc(Kc;M)と暗号化する。実際上は、コンテンツ鍵Kcは必ずしも署名Σcp＝Sign(skcp;M)に等しくない。具体的には、KcおよびΣcpが同数のビットで符号化されているのでなく、KcがΣcpから、たとえば該署名が256ビット上で計算されるとしてΣcpの最初の128ビットを取ることによって計算できる場合がそうである。
【００８６】
頒布される保護されたマルチメディア・コンテンツは[hdr,C,＃,Kd,vkcp,σla]となる。署名Σcpを利用可能にする必要はない。これはすでに、Kd内に暗号化された形で存在しているからである。コンテンツが物理的媒体（たとえば光ディスク）上で頒布されるときは、[hdr,C,＃,Kd,vkcp,σla]の全要素が媒体自身に記憶されていることを注意しておく。これに対し、コンテンツがブロードキャスト（衛星放送、地上波などのような）またはブロードバンド（インターネットのような）ネットワークを介して頒布される場合、コンテンツおよびそのヘッダ（[hdr,C]）がコンテンツ・サーバー３からプレーヤーに送られる一方、鍵素材[＃,Kd,vkcp,σla]は、そのプレーヤーがそのコンテンツにアクセスする権限がある場合に鍵サーバー５からプレーヤーに送られる。
【００８７】
プレーヤーが保護されたコンテンツを受け取るとき、プレーヤーはvklaを使って署名σlaを検証する。σlaが有効であれば、プレーヤーは復号鍵dkpidを使ってコンテンツ鍵をKc＝D(dkpid;Kd)として計算する。次いでプレーヤーは、KcおよびCからマルチメディア・コンテンツM＝Enc-1(Kc;C)を復元する。最後に、プレーヤーは、コンテンツMおよび検証鍵vkcpを使ってコンテンツ署名Σcp（＝Kc）を検証する。マルチメディア・コンテンツは、検証が成功する場合にかつその場合にのみ再生される。
【００８８】
先と同様、最後の認証が失敗する場合、まず確実に、ロンダリング攻撃または再パッケージング攻撃が行われている。二つより多くの暗号化レベルがある場合、署名は鍵階層全体に適用されねばならない。たとえば、コンテンツ暗号化鍵Kcがそれ自身鍵K1によって暗号化され、そのK1がK2によって暗号化される、などとしてKiまで行き、Ki自身は所与のプレーヤーの組P＝{pid}のための頒布鍵Kd内に暗号化される場合、
K1はK1＝Sign(skcp:Kc)として計算され、階層の各鍵Kn（nは2からiまでの間）は
Kn＝Sign(skcp;Kn-1)
として計算される。
【００８９】
提案される解決策のおかげで、現行のコンテンツ頒布システムのロンダリング攻撃または再パッケージング攻撃に対する脆弱性が回避できる。
【００９０】
上記の記述は署名の生成および検証について非対称暗号法（ライセンス機関の公開鍵／秘密鍵vkla,sklaおよびコンテンツ・パッケージャのvkcp,skcp）を参照してなされているが、本発明の他の実施形態も構想されうる。たとえば、対称暗号法が使用される場合、ライセンス機関は、署名の代わりにMAC――Message  Authentication  Codes（メッセージ認証コード）――を生成および検証するために使われる一つだけの秘密鍵vkla＝sklaを有することになる。
【００９１】
同様に、各適合プレーヤーのためにライセンス機関によって生成される暗号化鍵／復号鍵（ekpid,dkpid）の対は、ある代替的な実施形態では、コンテンツ鍵を暗号化および復号するのに使われる単一の秘密鍵（ekpid＝dkpid）に置き換えることができる。この場合、この秘密鍵はプレーヤーの安全なメモリに保存される必要がある。
【００９２】
いずれの場合にも、MACを生成するために使われる鍵の送信はセキュリティで保護される必要がある。すなわち、鍵は、たとえばコンテンツ暗号化鍵Kcと同じ配送方法を使って、暗号化された仕方で送信される必要がある。
【図１】
2011530197.tif 000003
【図２】
2011530197.tif 000004
【手続補正書】
【提出日】平成22年10月12日(2010.10.12)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
コンテンツ頒布システムにおいてコンテンツを頒布する方法であって：
コンテンツ・パッケージャにおいて、コンテンツ暗号化鍵を使ってコンテンツを暗号化して暗号化されたコンテンツを生成する段階と；
コンテンツ暗号化鍵をライセンス機関に送る段階と；
ライセンス機関から、許諾されたデバイスの所与の組のためのコンテンツ復号鍵の暗号化を含む頒布鍵を受領する段階と；
コンテンツの署名を使って、コンテンツ暗号化鍵とこのコンテンツ暗号化鍵によって保護されたコンテンツとの間の安全な結び付きを生成する段階と；
前記暗号化されたコンテンツをコンテンツの前記署名の少なくとも一部と一緒に頒布する段階とを含み、
前記コンテンツ署名は、コンテンツ・パッケージャにおいて、前記コンテンツに署名することによって生成され、
前記コンテンツ署名が前記コンテンツ暗号化鍵を計算するために使われる、
方法。
【請求項２】
請求項１記載の方法であって、前記コンテンツ署名の一部が、前記暗号化されたコンテンツとともに前記頒布鍵において暗号化された形で頒布される、方法。
【請求項３】
前記コンテンツ署名の別の部分が前記暗号化されたコンテンツとともに平文で頒布される、請求項１記載の方法。
【請求項４】
請求項１記載の方法であって、さらに：
コンテンツ・パッケージャにおいて、一組の階層的鍵K1,…,Kiを生成する段階と；
コンテンツ・パッケージャにおいて、前記一組の階層的鍵のうちの第一の鍵K1を使って前記コンテンツ暗号化鍵を暗号化する段階と；
nを1からi−1までの間であるとして前記一組の階層的鍵の各鍵Knを、前記一組の階層的鍵における後続鍵Kn+1を用いて暗号化する段階と；
ライセンス機関に、前記コンテンツ暗号化鍵の代わりに、前記一組の階層的鍵の最後の鍵Kiを送る段階とを含み、
ライセンス機関から受領される前記頒布鍵は許諾されたデバイスの所与の組のための最後の鍵Kiの暗号化を含み、
前記第一の鍵K1は、コンテンツ・パッケージャにおいて、前記コンテンツ暗号化鍵に署名することによって生成され、mを2からiまでの間であるとして前記一組の階層的鍵の各鍵Kmはコンテンツ・パッケージャにおいて前記一組の階層的鍵における直前鍵Km-1に署名することによって生成される、
方法。
【請求項５】
請求項１ないし４のうちいずれか一項記載の方法であって、ライセンス機関から頒布鍵を受領する前記段階はさらに、ライセンス機関によって生成された前記頒布鍵の署名の受領を含む、方法。
【請求項６】
請求項５記載の方法に基づいて頒布されるコンテンツを、該コンテンツを再生できるデバイスにおいて受領する方法であって：
前記頒布鍵とともに受領されたコンテンツ・パッケージャの検証鍵を使って前記コンテンツとともに頒布された前記コンテンツ署名の少なくとも一部を検証する段階と；
検証が成功した場合に、前記デバイスに記憶されているデバイス復号鍵を使って前記コンテンツ暗号化鍵を前記頒布鍵から取得し、取得されたコンテンツ暗号化鍵を使って前記コンテンツを復号して前記コンテンツを再生する段階とを含む、
方法。
【請求項７】
請求項６記載の方法であって、さらに：
前記デバイスに記憶されているライセンス機関の検証鍵を使って前記頒布鍵の署名を検証し；
前記頒布鍵の署名の前記検証が成功した場合にのみ請求項６記載の方法の後続段階を実行することを含む、
方法。
【国際調査報告】
2011530197.tif 000005
2011530197.tif 000006
2011530197.tif 000007