(57)【特許請求の範囲】
【請求項１】
暗号鍵と、該暗号鍵の利用期限情報と、デジタルコンテンツとを暗号化して、これらをネットワーク経由で配信するデジタルコンテンツ配信サーバと、
前記デジタルコンテンツを再生する端末装置と、
前記暗号鍵および前記利用期限情報を格納する手段と、前記暗号鍵および前記利用期限情報を復号する手段と、内蔵時計と、前記利用期限情報と前記内蔵時計の指示する現在時刻とを比較して前記暗号鍵の使用の可否を判断する手段と、前記暗号鍵の使用が可の場合に前記暗号化されたデジタルコンテンツを前記暗号鍵により復号する復号手段と、前記復号手段により復号されたデジタルコンテンツを前記端末装置に送信する通信手段とを有し、前記端末装置以外の端末装置へも移動可能であり、耐タンパ化されているトークンデバイスとを備え、
前記復号されたデジタルコンテンツは、前記端末装置に実装された専用ソフトウェアの制御手段を用いて再生され、再生された前記デジタルコンテンツのファイルまたはデータは、再生後に前記端末装置から消去されるデジタルコンテンツ配信システムにおいて、
前記専用ソフトウェアが、デジタルコンテンツの照会、配信、返却、延長を前記サーバに対して請求する手段を有し、
前記請求を行うために必要な情報は、ユーザーにより前記トークンデバイスで生成された公開鍵を用いて前記トークンデバイス内で暗号化されて送信されることを特徴とするデジタルコンテンツ配信システム。
【請求項２】
前記トークンデバイスは、外部からの不正なアタックを検知した場合に前記暗号鍵の使用を禁止する手段と、
前記内蔵時計を予め定めた固定状態に設定する手段とのうち、少なくともいずれか一方の手段を有することを特徴とする請求項１に記載のデジタルコンテンツ配信システム。
【請求項３】
前記トークンデバイスは、前記端末装置と前記ネットワークとが接続されているか否かを判断する接続確認手段を有し、
前記接続確認手段により前記端末装置と前記ネットワークが未接続と判断された場合であって前記内蔵時計の指示する現在時刻が前記利用期限情報を越えている際には、ユーザーに対し、前記端末装置を前記サーバに接続して前記サーバから受信するサーバ時刻を入手する行為を要求するための音又は表示を端末装置に発生させる手段と、
前記接続確認手段により前記端末装置と前記ネットワークが接続されていると判断された場合であって前記内蔵時計の指示する現在時刻が前記利用期限情報を越えている際には、前記端末装置が前記サーバに接続して前記サーバ時刻を入手し、前記サーバ時刻に基づいて前記内蔵時計を更新する手段のうち、
少なくとも一方の手段を具備することを特徴とする請求項１または２に記載のデジタルコンテンツ配信システム。
【請求項４】
前記サーバは、前記サーバ時刻を暗号化して前記トークンデバイスに配信する手段を有し、
前記トークンデバイスは、前記暗号化された前記サーバ時刻を復号する手段と、
前記復号されたサーバ時刻に基づいて前記内蔵時計を更新する手段と、
を有することを特徴とする請求項３に記載のデジタルコンテンツ配信システム。
【請求項５】
前記トークンデバイスは、パスワード照合あるいはバイオメトリックス照合による利用者認証手段と、
前記利用者認証手段により利用者本人であると認証された場合に、前記トークンデバイスの利用を可能とする手段と、
を有することを特徴とする請求項１乃至４のいずれか１項に記載のデジタルコンテンツ配信システム。
【請求項６】
前記サーバは、同一デジタルコンテンツの配信数量の規定数量を設定する手段と、
前記配信数量が前記規定数量より多くなることを禁止する手段と、
配信するデジタルコンテンツ毎に利用期限を設定する手段と、
前記配信数量のうち、前記利用期限を越えたデジタルコンテンツの数量を前記配信数量から減じる手段と、
を有することを特徴とする請求項１乃至５のいずれか１項に記載のデジタルコンテンツ配信システム。
【請求項７】
前記トークンデバイスは、前記暗号化されたデジタルコンテンツを格納する記憶装置を有し、
前記トークンデバイスは、前記記憶装置から前記暗号化されたデジタルコンテンツを読み出す手段を有することを特徴とする請求項１乃至６のいずれか１項に記載のデジタルコンテンツ配信システム。
【請求項８】
前記専用ソフトウェアは、前記復号されたデジタルコンテンツが再生された後に、前記デジタルコンテンツのデータ又はファイルを消去する手段を有することを特徴とする請求項１乃至７のいずれか１項に記載のデジタルコンテンツ配信システム。
【請求項９】
前記トークンデバイスは前記専用ソフトウェアを搭載し、
前記専用ソフトウェアは、前記端末装置にダウンロードされることにより前記端末装置で利用可能となることを特徴とする請求項１乃至８のいずれか１項に記載のデジタルコンテンツ配信システム。
【請求項１０】
暗号鍵と、該暗号鍵の利用期限情報と、デジタルコンテンツとを暗号化して、これらをネットワーク経由で配信するデジタルコンテンツ配信サーバから端末装置を経由して配信された前記暗号鍵および前記利用期限情報を格納する手段と、
前記暗号鍵および前記利用期限情報を復号する手段と、
内蔵時計と、
前記利用期限情報と前記内蔵時計の指示する現在時刻とを比較して前記暗号鍵の使用の可否を判断する手段と、
前記暗号鍵の使用が可の場合に前記暗号化されたデジタルコンテンツを前記暗号鍵により復号する復号手段と、
前記復号手段により復号されたデジタルコンテンツを前記端末装置に送信する通信手段とを有し、複数の端末装置の間で移動可能であり、耐タンパ化されているトークンデバイスであって、
前記デジタルコンテンツを再生する端末装置に実装された専用ソフトウェアが、デジタルコンテンツの照会、配信、返却、延長を前記サーバに対して請求する手段を有し、
前記請求を行うために必要な情報は、ユーザーにより前記トークンデバイスで生成された公開鍵を用いて前記トークンデバイス内で暗号化されて送信されることを特徴とするトークンデバイス。
【請求項１１】
外部からの不正なアタックを検知した場合に前記暗号鍵の使用を禁止する手段と、
前記内蔵時計を予め定めた固定状態に設定する手段とのうち、少なくともいずれか一方の手段を有することを特徴とする請求項１０に記載のトークンデバイス。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、デジタル信号化された図書・音楽・映像等のデジタルコンテンツを利用者に配信し再生するシステムおよびトークンデバイスに関し、特に、デジタルコンテンツの再生に利用期限を設けることのできるデジタルコンテンツ配信システムおよびトークンデバイスに関する。
【背景技術】
【０００２】
利用権に時間的期限を設けることができるデジタルコンテンツの配信は、デジタルコンテンツの貸出し事業やデジタルコンテンツの販売促進手段等のビジネス手段として、あるいはデジタル図書館における著作権の保護に必要である。このような配信を実現化するシステムにおいて、悪意のある利用者による利用期限の改竄を防止することは重要である。これまでに、利用期限の改竄防止を目的とした種々の方式やシステムが提案されている。
【０００３】
従来、パーソナルコンピュータ（以下、ＰＣという）にダウンロードして使用する利用期限付きソフトウェアでは、ダウンロード時にＰＣのレジストリに、利用期限を書き込む方法が周知であった。この方法は、ＰＣのシステム時刻が指定の時刻を超過するとソフトウェアが使用できなくなるように設定されている。
【０００４】
また、特許文献１には、デジタルコンテンツと利用期限情報とを記録したＣＤ−ＲＯＭやリムーバブル記録メディアと、専用のデジタルコンテンツ再生装置を具備したデジタルコンテンツ配信システムが開示されている。該再生装置は、通常精度の内蔵時計を有している。利用者が利用する際には、内蔵時計の現在時刻と利用期限情報とが比較される。その結果、内蔵時計の現在時刻が利用期限よりも前であれば、デジタルコンテンツは再生可能とされる。
【０００５】
【特許文献１】特開２００３−１８６７５５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上記従来の技術において、ＰＣのレジストリの改竄や、デジタルコンテンツ再生装置の内蔵時計の時刻変更は、比較的容易に行うことができる。このため、悪意のある利用者により利用期限が改竄され、デジタルコンテンツが不正に利用されるという問題があった。
【０００７】
本発明は上記課題を解決するためになされたもので、利用期限を設けたデジタルコンテンツの配信システムにおいて、デジタルコンテンツの不正使用を防止したデジタルコンテンツ配信システム、およびトークンデバイスを提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明に係るデジタルコンテンツ配信システムは、暗号鍵と、該暗号鍵の利用期限情報と、デジタルコンテンツとを暗号化して、これらをネットワーク経由で配信するデジタルコンテンツ配信サーバと、
前記デジタルコンテンツを再生する端末装置と、
前記暗号鍵および前記利用期限情報を格納する手段と、前記暗号鍵および前記利用期限情報を復号する手段と、内蔵時計と、前記利用期限情報と前記内蔵時計の指示する現在時刻とを比較して前記暗号鍵の使用の可否を判断する手段と、前記暗号鍵の使用が可の場合に前記暗号化されたデジタルコンテンツを前記暗号鍵により復号する復号手段と、前記復号手段により復号されたデジタルコンテンツを前記端末装置に送信する通信手段とを有し、前記端末装置以外の端末装置へも移動可能であり、耐タンパ化されているトークンデバイスとを備え、
前記復号されたデジタルコンテンツは、前記端末装置に実装された専用ソフトウェアの制御手段を用いて再生され、再生された前記デジタルコンテンツのファイルまたはデータは、再生後に前記端末装置から消去されるデジタルコンテンツ配信システムにおいて、
前記専用ソフトウェアが、デジタルコンテンツの照会、配信、返却、延長を前記サーバに対して請求する手段を有し、
前記請求を行うために必要な情報は、ユーザーにより前記トークンデバイスで生成された公開鍵を用いて前記トークンデバイス内で暗号化されて送信されることを特徴とする。
【０００９】
また、本発明に係るトークンデバイスは、暗号鍵と、該暗号鍵の利用期限情報と、デジタルコンテンツとを暗号化して、これらをネットワーク経由で配信するデジタルコンテンツ配信サーバから端末装置を経由して配信された前記暗号鍵および前記利用期限情報を格納する手段と、
前記暗号鍵および前記利用期限情報を復号する手段と、
内蔵時計と、
前記利用期限情報と前記内蔵時計の指示する現在時刻とを比較して前記暗号鍵の使用の可否を判断する手段と、
前記暗号鍵の使用が可の場合に前記暗号化されたデジタルコンテンツを前記暗号鍵により復号する復号手段と、
前記復号手段により復号されたデジタルコンテンツを前記端末装置に送信する通信手段とを有し、複数の端末装置の間で移動可能であり、耐タンパ化されているトークンデバイスであって、
前記デジタルコンテンツを再生する端末装置に実装された専用ソフトウェアが、デジタルコンテンツの照会、配信、返却、延長を前記サーバに対して請求する手段を有し、
前記請求を行うために必要な情報は、ユーザーにより前記トークンデバイスで生成された公開鍵を用いて前記トークンデバイス内で暗号化されて送信されることを特徴とする。
本発明のその他の特徴は、以下において詳細に説明する。
【発明の効果】
【００１０】
本発明によれば、利用期限を設けたデジタルコンテンツの配信システムにおいて、デジタルコンテンツの不正使用を防止したデジタルコンテンツ配信システム、およびトークンデバイスを得ることができる。
【発明を実施するための最良の形態】
【００１１】
以下、図面を参照しながら本発明の実施の形態について説明する。なお、各図において同一または相当する部分には同一符号を付して、その説明を簡略化ないし省略する。
【００１２】
実施の形態
本発明の実施の形態に係るデジタルコンテンツ配信システム（以下、「本システム」という）の基本構成を図１に示す。
本システムは、インターネット等のネットワーク１１０に接続されたデジタルコンテンツ配信サーバ（以下、単に「配信サーバ」という）１０１を有している。これは、平文（暗号化されていない文）のデジタルコンテンツデータベースを含んでいる。
また、本システムは、ネットワーク１１０に接続可能な端末装置１０２を有している。これは、汎用のパーソナルコンピュータ（以下、「ＰＣ」という）または、本システムのために開発された専用の端末機器である。また、端末装置１０２は、専用ソフトウェア１０３を実装している。このソフトウェアは、端末側とのユーザインターフェースと、端末装置１０２に接続されたトークンデバイス１０４とを制御することができる。また、端末装置１０２には、トークンデバイス１０４と、記憶装置１０９が接続されている。この中には、暗号化デジタルコンテンツが蓄積されている。
トークンデバイス１０４は、内蔵時計１０５と、暗号/復号モジュール１０６と、記憶部１０７、機能制御モジュール１１１とを含んでいる。暗号/復号モジュール１０６は、配信された暗号化デジタルコンテンツ等を復号することができ、端末装置１０２から配信サーバ１０１に送信する情報を暗号化することができる。記憶部１０７には、暗号鍵・利用期限情報等を蓄積することができる。記憶装置１０９には、暗号化デジタルコンテンツを蓄積することができる。
配信サーバ１０１はデジタルコンテンツを暗号化し、その都度、配信サーバ１０１のシステム時計を用いて暗号鍵及び利用期限情報を生成する。次に、暗号鍵及び利用期限情報は、利用者により事前に登録された公開鍵で暗号化される。次に、暗号化されたデジタルコンテンツ、暗号鍵、利用期限情報は端末装置１０２に配信される。このうち、暗号化されたデジタルコンテンツは、記憶装置１０９に蓄積される。暗号化された暗号鍵、利用期限情報は記憶部１０７に格納される。暗号化されたデジタルコンテンツ、暗号鍵、利用期限情報は、トークンデバイス内で配信先の秘密鍵により復号される。機能制御モジュール１１１は、内蔵時計１０５と利用期限情報とを比較する機能を有する。
【００１３】
次に、本システムを用いてデジタルコンテンツを再生する方法について説明する。
まず、利用者は、端末装置１０２を介してデジタルコンテンツの再生を要求する。それに応じて、配信サーバ１０１が暗号鍵を生成する。配信サーバ１０１は、その暗号鍵を用いてデジタルコンテンツデータベースから読み出し、デジタルコンテンツを暗号化する。そして、配信サーバ１０１は暗号化された利用期限情報、暗号鍵、デジタルコンテンツを、ネットワーク１１０を経由して端末装置１０２に配信する。
暗号化デジタルコンテンツは、専用ソフトウェア１０３により記憶装置１０９に蓄えられる。暗号鍵と利用期限情報は、専用ソフトウェア１０３により、トークンデバイス１０４に送信され、記憶部１０７に蓄えられる。記憶部１０７に蓄えられた暗号鍵と利用期限情報は、外部から読み出すことができないようになっている。
利用者が暗号化デジタルコンテンツを再生する際には、端末装置１０２の専用ソフトウェア１０３を操作する。このとき、専用ソフトウェア１０３は、機能制御モジュール１１１の時刻比較機能を用いて、記憶部１０７に蓄積された利用期限情報と、内蔵時計１０５の現在時刻とを比較する。その結果、利用期限情報が現在時刻よりも後であれば、専用ソフトウェア１０３は、暗号鍵が使用可能であると判断する。すると、トークンデバイス１０４は記憶装置１０９から暗号化デジタルコンテンツを読み出し、該当する暗号鍵と暗号/復号モジュール１０６を用いて、トークンデバイス１０４の内部で復号する。復号されたデジタルコンテンツは、専用ソフトウェア１０３に送信され、そのビューア機能により画面表示される。
【００１４】
次に、図１に示した配信サーバ１０１の機能ブロック図を図２に示す。
配信サーバ１０１は、サーバソフトウェア２００を有している。サーバソフトウェア２００は、利用権管理機能２０１を備えている。これは、デジタルコンテンツの利用権の登録・発行・返却・照会・期限を管理するためのものである。また、サーバソフトウェア２００は、システム時計２０２を有している。これは、サーバのシステム時刻（以下、「サーバ時刻」という）を表示するためのものである。また、サーバソフトウェア２００は、時刻配信機能２０３を有している。これは、サーバ時刻を暗号化して配信するためのものである。また、サーバソフトウェア２００は、デジタルコンテンツ配信機能２０４を有している。これは、暗号化されたデジタルコンテンツを配信するためのものである。また、サーバソフトウェア２００は、暗号/復号機能２０５を有している。これは、指定された暗号アルゴリズムで入力文を暗号化/復号するためのものである。また、サーバソフトウェア２００は、署名生成/検証機能２０６を有している。これは、配信情報の改竄防止のための署名生成、検証するためのものである。また、サーバソフトウェア２００は、暗号鍵生成機能２０７を有している。これは、暗号鍵を生成するためのものである。また、サーバソフトウェア２００は、公開鍵ペア生成機能２０８を有している。これは、デジタルコンテンツサーバの公開鍵ペア（公開鍵および秘密鍵）を生成するためのものである。また、サーバソフトウェア２００は、利用者登録・変更機能２０９を有している。これは、利用者を事前に登録し、利用者固有のトークンデバイスを発行管理するためのものである。
また、配信サーバ１０１は、デジタルコンテンツのデータベース２１２を有している。これは、デジタルコンテンツを蓄えるためのものである。また、配信サーバ１０１は、ファイル２１０を有している。これは、利用者情報及び利用者の公開鍵ペアを登録するためのものである。また、配信サーバ１０１は、ファイル２１３を有している。これは、配布中のデジタルコンテンツID、暗号鍵、利用期限を登録するためのものである。また、配信サーバ１０１は、通信インターフェース２１１を有している。これは、ネットワーク１１０との接続を司るためのものである。
【００１５】
次に、配信サーバ１０１の主要な特徴について述べる。
配信サーバ１０１の第１の特徴は、デジタルコンテンツ利用権管理機能である。この機能は、配布可能なデジタルコンテンツの総数量、配布中の数量、未配布の数量を逐次管理するものである。すなわち、同一デジタルコンテンツの配信数量の規定数量を設定し、配布中の配信数量が規定数量より多くなることを禁止する。これにより、配信サーバ１０１は、同一デジタルコンテンツの配信数量が規定数量を超えないように管理することができる。
また、この機能は、配信するデジタルコンテンツ毎に利用期限を設定し、利用者からのデジタルコンテンツ名の照会、配布要求、返却依頼に応じて数量を更新し、管理するものである。これらの機能は、配信サーバ１０１がＷｅｂサーバを経由して利用者端末装置の専用のソフトウェアと交信することにより容易に実現できる。このとき、利用権の利用期限と暗号鍵の利用期限を越えたデジタルコンテンツは、返却されたものとみなして、配布中の配信数量と未配布数量を更新する。つまり、配布中の配信数量のうち、利用期限を越えたデジタルコンテンツの数量を配信数量から減じて、その数量を未配布数量に加算する。
【００１６】
配信サーバ１０１の第２の特徴は、デジタルコンテンツの利用権を生成し、送信する機能である。利用権を生成する際には、まず、利用者がトークンデバイスで事前に公開鍵ペア（公開鍵および秘密鍵）を生成する。そして、利用者が、利用者情報とその公開鍵を利用者登録・変更機能２０９を用いてファイル２１０に登録する。
デジタルコンテンツの利用権を送信する際には、利用者からの特定のデジタルコンテンツの配信要求に対して、利用権管理機能２０１が暗号鍵生成機能２０７を用いて暗号鍵を生成する。これと同時に、配信サーバ１０１は、サーバ時刻を基準にした利用期限を設定する。そして、デジタルコンテンツのID・利用期限・暗号鍵を一緒にして、利用者の公開鍵で暗号化し、利用者の端末装置に送信する。
【００１７】
配信サーバ１０１の第３の特徴は、利用者から指定されたデジタルコンテンツのダウンロード要求に対して、暗号化デジタルコンテンツを配信する機能である。
デジタルコンテンツ利用権管理機能２０１は、デジタルコンテンツのデータベース２１２から指定のデジタルコンテンツを読み出し、生成した暗号鍵で暗号化する。暗号化されたデジタルコンテンツは、デジタルコンテンツ配信機能２０４により利用者に送信される。
なお、第２の特徴であるデジタルコンテンツのＩＤ・利用期限・暗号鍵の送信と、第３の特徴である暗号化デジタルコンテンツの配信とは、同時に実施されてもよい。
【００１８】
配信サーバの第４の特徴は、サーバ時刻の配信機能である。前述したように、利用期限はサーバ時刻を基準に決められている。このため、トークンデバイス１０４の内蔵時計１０５（図１参照）は、サーバ時刻と同期していなければならない。しかし実際には、内蔵時計には狂いが生じる。本システムでは、トークンデバイスがネットワーク経由で配信サーバ１０１に接続される都度、サーバ時刻をトークンデバイスに送信し、トークンデバイスの時刻校正機能で修正するようにした。なお、サーバ時刻を送信する際には、時刻が改竄されないように、利用者の公開鍵で暗号化して送信する。
【００１９】
配信サーバ１０１は、以上説明した特徴の他にも以下のような特徴を有している。例えば、配信サーバ１０１と利用者の端末装置との間で送受信される情報は、公開鍵により暗号化されている。これは、情報の送受信がネットワークを経由することにより、プライバシー保護や情報漏洩防止を強化する必要があるためである。
【００２０】
また、これらの情報に対して署名生成/検証機能２０６を用いることにより、署名添付や署名検証を行うことができる。これは、悪意のある利用者のなりすまし、情報改竄、否認等を防止するためである。
つまり、利用者が配信サーバ１０１に送信する情報に対しても署名・暗号化を実施することにより、デジタルコンテンツの照会・配信・返却・延長の申請を安全に行うことができ、利用者のプライバシーを保護することができる。
【００２１】
次に、図１に示した端末装置１０２の機能ブロック図を図３に示す。端末装置１０２は、汎用のＰＣであっても良いし、デジタルコンテンツの再生に適した専用の端末機器であっても良い。端末装置１０２として汎用のＰＣを用いることにより、利用者は専用の再生装置を入手することなく、デジタルコンテンツの再生を行うことができる。また、利用者が移動する場合や、再生に使用していたＰＣに不具合がある場合、代替機を利用することが容易となる。
端末装置１０２は、通信インターフェース３０７を有している。これは、ネットワーク１１０との接続を司るためのものである。また、端末装置１０２は、トークンデバイスドライバ３０８を有している。これは、トークンデバイス１０４との接続を司るためのものである。また、端末装置１０２は、記憶装置１０９を有している。これは、配信された暗号化デジタルコンテンツを蓄積するためのものである。記憶装置１０９はリムーバブルメモリの他、端末装置のハードディスクであっても良いし、または、トークンデバイスの内蔵メモリ等であっても良い。
また、端末装置１０２は、専用ソフトウェア１０３を有している。これは、本システムのユーザインターフェースを司るためのものである。専用ソフトウェア１０３は、再生・ビューア制御機能３０２を有している。これは、利用者が再生したいデジタルコンテンツを選択し、デジタルコンテンツを視覚情報や音声情報などに再生出力するためのものである。また、専用ソフトウェア１０３は、照会・選択・貸出し・ダウンロードの制御機能３０３を有している。これは、配信サーバ１０１に対するデジタルコンテンツの照会・選択・貸出しの要求や、ダウンロードの制御を行うためのものである。また、専用ソフトウェア１０３は、返却・延長制御機能３０４を有している。これは、配信サーバ１０１に対するデジタルコンテンツの返却・延長を要求するためのものである。
照会・選択・貸出し・ダウンロードの制御機能３０３や、返却・延長制御機能３０４により請求を行う際に、送信するために必要な情報は、トークンデバイス１０４に格納された公開鍵で暗号化されて送信される。これにより、個人情報等に対するセキュリティを高くすることができる。
また、専用ソフトウェア１０３は、コピー・印刷制御機能３０５を有している。これは、復号されたデジタルコンテンツのコピー、印刷を制限するためのものである。また、専用ソフトウェア１０３は、ＧＵＩ(Graphical User Interface)制御機能３０６を有している。これは、ＧＵＩによる制御を行うようにしたものである。
【００２２】
次に、端末装置１０２の主要な特徴について述べる。
端末装置１０２の第１の特徴は、専用ソフトウェア１０３が暗号化デジタルコンテンツの再生・ビューア制御機能３０２を有している点である。利用者がデジタルコンテンツを再生する場合、ダウンロード済みの暗号化デジタルコンテンツリストを記憶装置１０９あるいはトークンデバイス１０４から入手し、再生したいデジタルコンテンツを選択する。専用ソフトウェア１０３は、暗号化デジタルコンテンツをトークンデバイスドライバ３０８を経由して、トークンデバイス１０４に送信する。
トークンデバイス１０４は、対応する暗号鍵の利用期限をチェックし、期限内であれば、暗号鍵でデジタルコンテンツを復号して、端末装置１０２に返信する。再生・ビューア制御機能３０２は、復号されたデジタルコンテンツを再生して表示し、利用者が利用できる状態にする。このようにして、復号されたデジタルコンテンツは、トークンデバイス１０４から専用ソフトウェア管理下のメモリに出力される。復号、再生されるデジタルコンテンツは、音楽などの視覚コンテンツ以外のものも含む。また、デジタルコンテンツの復号と再生を行う際には、デジタルコンテンツを構成する小さいブロックごとに行うようにする。
利用者が端末装置１０２を用いて復号されたデジタルコンテンツを再生する際は、専用ソフトウェア１０３の制御手段を用いて再生される。そして、再生されたデジタルコンテンツのファイルまたはデータは、専用ソフトウェア１０３の制御手段により、再生後に端末装置１０２から消去されるようにする。
これにより、他の利用者が、端末装置１０２を用いてデジタルコンテンツを再生して閲覧するのを防止することができる。
【００２３】
端末装置１０２の第２の特徴は、配信サーバ１０１とのユーザインターフェース機能を有している点である。この機能は、利用者が配信サーバ１０１にあるデジタルコンテンツの照会・選択・貸出し・ダウンロードの制御、返却・延長などを行う際、それらの申請・受領を司るものである。
【００２４】
端末装置１０２の第３の特徴は、復号されたデジタルコンテンツのコピー、印刷を制限する機能を有している点である。
復号されたデジタルコンテンツは、専用ソフトウェア１０３のみにより表示・再生が可能なデータ構造を有し、専用ソフトウェア１０３と利用者本人のトークンデバイス１０４とが接続されていないと再生されない。これにより、悪意のある利用者によるデジタルコンテンツの再生を防ぐことができる。
また、端末装置１０２の記憶装置には１個のファイルとして蓄積されないようになっている。これにより、復号デジタルコンテンツのファイルのコピーや印刷が行われるのを防ぐことができる。
【００２５】
以上の様に、端末装置１０２は、暗号/復号機能、時刻照合機能等を有していない。これにより、悪意のある利用者は、端末装置解析を行っても、利用権を改竄することが出来ない。従って、悪意のある利用者による利用権の改竄を防止することができる。
【００２６】
次に、図１に示したトークンデバイス１０４の機能ブロック図を図４に示す。トークンデバイス１０４は、デジタルコンテンツ利用制御機能４０１を有している。これは、端末装置１０２が受信したデジタルコンテンツの利用を制限するための機能である。
また、トークンデバイス１０４は、通信インターフェース４０９を有している。これは、端末装置１０２との接続を司るためのもので、端末装置とネットワークとが接続されているか否かを判断することができる。また、トークンデバイス１０４は、ファイル４１０を有している。これは、受信した暗号化デジタルコンテンツ毎の暗号鍵及び利用期限情報を蓄積するためのものである。また、トークンデバイス１０４は、利用者情報ファイル４１１を有している。これは、トークンデバイス１０４の利用者を特定するための個人情報、利用者の公開鍵ペア、パスワード・バイオメトリックスデータなどの本人認証用データ及び、配信サーバ１０１の公開鍵を蓄積するためのものである。
また、トークンデバイス１０４は、利用期限判定機能４０２、内蔵時計４０３を有している。利用期限判定機能４０２は、ファイル４１０に蓄積された利用期限情報と内蔵時計４０３の指示する現在時刻を比較して、ファイル４１０に蓄積された暗号鍵の使用の可否を判断するためのものである。また、トークンデバイス１０４は、時刻校正機能４０４を有している。これは、内蔵時計４０３の現在時刻を更新するためのものである。また、トークンデバイス１０４は、暗号/復号機能４０５を有している。これは、内蔵時計４０３の現在時刻を更新する際、暗号化されたサーバ時刻を復号するためのものである。また、トークンデバイス１０４は、署名生成/検証機能４０６を有している。これは、内蔵時計４０３の現在時刻を更新する際、署名されたサーバ時刻の署名検証を行うためのものである。また、トークンデバイス１０４は、公開鍵ペア生成機能４０７を有している。これは、利用者が配信サーバ１０１に事前に登録する公開鍵ペア（公開鍵および秘密鍵）を生成するためのものである。また、トークンデバイス１０４は、耐タンパデジタルコンテンツ制御機能４０８を有している。これは、外部からの不正なアタックが行われた場合に、暗号鍵の使用ができないようにする機能である。また、トークンデバイス１０４は、本人認証機能４１２を有している。これは、トークンデバイス使用者の本人認証を行うためのものである。
【００２７】
前述したように、トークンデバイス１０４の内部には、暗号化デジタルコンテンツを蓄積できる内蔵メモリを有するようにしても良い。この内蔵メモリに暗号化デジタルコンテンツを蓄積することにより、トークンデバイス１０４は、内蔵のメモリから暗号化デジタルコンテンツを読み出すことができる。これにより、代替の端末装置を用いる場合に、端末装置の記憶装置に改めてダウンロードする手間を省くことができる。
さらに、トークンデバイス１０４が、専用ソフトウェアファイルを搭載するようにしても良い。これにより、利用者は、専用ソフトウェアをスタンドアロンの端末装置に対してダウンロードし、当該端末装置でデジタルコンテンツを再生することができる。
また、トークンデバイス１０４は、内蔵時計４０３を有していることにより、利用者がネットワークに接続しないスタンドアロンの端末装置での再生を行う際にも、利用期限を制限することができる。
【００２８】
前述したように、本システムは、スタンドアロンの端末装置でデジタルコンテンツを再生することが可能である。このため、トークンデバイスは、ノート型ＰＣやＰＩＤ等のモバイル環境での使用に便利であることが重要である。従って、トークンデバイスは、時計を内蔵しているものであれば、ＩＣカード型、ＵＳＢトークン型、ＰＣカード型、コンパクトフラッシュ（登録商標）ROM等の外部メモリデバイスと同様の形状であっても良い。また、端末装置１０２と接続可能となるように、これらのデバイスと同じインターフェース条件であることが好適である。
なお、トークンデバイスがＩＣカード型である場合は、ＩＣカードのＩＣチップに内蔵された耐タンパ機能が重要である。この場合、形状はカードにこだわる必要はなく、ＩＣチップのまま携帯電話やＰＤＡなどのモバイル機器に実装することができる。
現在、これらのデバイスに時計機能が実装された例はない。またトークンデバイスの暗号・認証機能も特定の用途に限定したもので、本発明の作用をすべて実現できるものはない。しかし、近年の著しい技術進歩により、必要な機能をリーズナブルなコストで上記形状のデバイスに実装することが可能になった。これにより、トークンデバイス１０４を用いた本発明が可能になった。
【００２９】
次に、トークンデバイス１０４の主要な特徴について述べる。
トークンデバイス１０４の第１の特徴は、利用期限判定機能４０２と、内蔵時計４０３とを有している点である。トークンデバイス１０４は、利用者が暗号化デジタルコンテンツを再生するたびに、内蔵時計４０３の現在時刻と暗号鍵の利用期限とを比較する。そして、現在時刻が暗号鍵の利用期限内であれば、暗号鍵の利用を可能と判断する。現在時刻が暗号鍵の利用期限を越えている場合には、暗号鍵の使用を不可と判断する。不可と判断した場合には、端末装置１０２に対して、配信サーバに１０１に接続して内蔵時計４０３の時刻更新をするように警告を発する。これにより、サーバ時刻と、内蔵時計４０３の現在時刻との間に差が生じた場合に、利用権が不当に禁止されることを回避することができる。
【００３０】
トークンデバイス１０４の第２の特徴は、サーバ時刻と、内蔵時計４０３の現在時刻との間に差が生じた場合に、内蔵時計４０３の現在時刻を更新するための時刻校正機能４０４を有している点である。
前述したように、トークンデバイス１０４はスタンドアロンの端末装置で使用可能である。ここで、通信インターフェース４０９により端末装置１０２とネットワークが未接続と判断された場合、内蔵時計４０３の指示する現在時刻が利用期限情報を越えている際には、利用者に対し、端末装置１０２を配信サーバに接続して、サーバ時刻を入手することを要求するための警告音又は表示等を端末装置１０２に発生させる。利用者により端末装置１０２がネットワークに接続されると、専用ソフトウェアは、自動的に端末装置１０２を配信サーバに接続させてサーバ時刻を入手し、それに基づいて内蔵時計４０３の現在時刻を更新する。
通信インターフェース４０９により端末装置１０２とネットワークが接続されていると判断された場合、内蔵時計４０３の指示する現在時刻が利用期限情報を越えている際には、専用ソフトウェアは、自動的に端末装置１０２を配信サーバに接続させてサーバ時刻を入手し、それに基づいて内蔵時計４０３の現在時刻を更新する。
このとき、配信サーバ１０１から配信されるサーバ時刻は、利用者の公開鍵で暗号化され、配信サーバ１０１の秘密鍵で署名されている。このサーバ時刻は、トークンデバイス１０４の内部で、利用者の秘密鍵、サーバの公開鍵、暗号/復号機能４０５を用いて復号され、署名生成/検証機能４０６を用いて署名検証される。その後、復号されたサーバ時刻に基づいて、内蔵時計４０３が更新される。即ち、偽のサーバ時刻を生成しトークンデバイス１０４に書き込もうとしても、配信サーバ署名検証が出来ないので、書き込みは禁止されるため、偽の時刻に更新されることはない。
このような過程を経ることにより、内蔵時計４０３が不正に改竄されることを防ぐことができる。これにより、悪意のある利用者がデジタルコンテンツの利用期限を不正に延長して使用することを防止することができる。また、利用期限を越えた再生が可能になったり、利用期限に至らないのに再生が不可能になったりすることを回避することができる。
このように、配信サーバ１０１、端末装置１０２、トークンデバイス１０４の相互間で通信される暗号化情報には、全てデジタル署名を施すようにすると好適である。そして、トークンデバイス１０４が受信する暗号化情報のデジタル署名は、トークンデバイス１０４の内部で署名検証されるようにする。これにより、トークンデバイス１０４の耐タンパ性を向上させることができる。
また以上の説明では、署名検証に用いる配信サーバ１０１の公開鍵及び利用者の公開鍵は、配信サーバ１０１がトークンデバイス１０４に書き込み、トークンデバイス１０４が配信サーバ１０１に直接登録する以外の方法では書き込み・更新ができないことを前提にした。しかし、周知の公開鍵基盤（ＰＫＩと呼ばれる）による手段で、公開鍵に証明書を付加しかつ、証明書の検証機能を備えることにより、安全に公開鍵の交換をすることができる。
【００３１】
トークンデバイス１０４の第３の特徴は、トークンデバイス１０４へのアタックに対して耐タンパ性を有している点である。すなわち、トークンデバイス１０４内部の暗号鍵と秘密鍵は外部に読み出されることがなく、書き換えられることもない。また、内蔵時計４０３の指示する現在時刻は配信サーバ１０１の制御以外では変更されることがない。これらの耐タンパ性は、耐タンパ制御機能４０８により実現されている。これは、例えば通信インターフェース４０９の接続端子を経由して不正な信号が繰り返し入力された場合、あるいは物理的にトークンデバイス１０４を開封した場合に、暗号鍵の使用ができないようにする機能である。暗号鍵の使用を禁止する仕組みは種々考えられるが、例えば、簡便な方法として、内蔵時計４０３の現在時刻の出力値を遠未来値に固定する方法が挙げられる。または、トークンデバイス１０４の分解や端子からの不正なアタックを検知した場合には、トークンデバイス１０４に格納された秘密鍵は、自動的に揮発するか使用不能な状態に設定されるようにする。
ここで、本システムでは暗号化デジタルコンテンツ及び専用ソフトウェアは、通常のファイル、通常の実行プログラムとして蓄積されることを前提としている。すなわち、ファイルコピーやプログラム仕様に特段のアクセス制限をしなくてもよいことを基本としている。しかし、本システムは上記のような耐タンパ性を有しているため、不正利用を意図するアタッカから、少なくとも暗号鍵と利用期限情報を守ることができる。すわなち、内蔵時計の改造や、利用期限情報の改竄等による不正利用を排除することができる。
【００３２】
トークンデバイス１０４の第４の特徴は、暗号鍵の利用期限が有効である場合に、暗号化デジタルコンテンツを、専用ソフトウェアでのみ再生可能なデータ構造に復号し、専用ソフトウェアに送信することである。この復号及び送信は、一つの暗号化デジタルコンテンツ全体を一つのファイル化して実施することも可能である。しかし、デジタルコンテンツのデータサイズを一定量以下のブロックに分断して、そのブロックごとに復号及び送信を行うことが好ましい。例えば、データサイズが一定量以下に分断されたデジタルコンテンツを端末装置の一時記憶装置に送信し、デジタルコンテンツがその単位で再生されるように制限する。このようにして、デジタルコンテンツ全体を端末装置内のハードディスク等にファイルとして保管しないようにする。
このように、復号されたデジタルコンテンツは、専用ソフトウェアでのみ再生可能なデータ構造を有しているようにした。これにより、復号デジタルコンテンツは、トークンデバイスを接続しないと使用できないようにすることができる。また、復号されたデジタルコンテンツの不正コピー等の防止を強化することができる。
【００３３】
トークンデバイス１０４の第５の特徴は、端末装置１０２と配信サーバ１０１との間、または、トークンデバイス１０４と配信サーバ１０１との間の全ての通信データが暗号化・復号され、署名の生成・検証と、使用する鍵の管理を、トークンデバイス１０４内部の処理で実施することである。
これにより不正利用のアタックをかけやすい端末装置１０２のセキュリティ機能を軽減することができる。また、汎用のＰＣで不正利用を排除できるセキュリティ環境を実現することができる。
【００３４】
トークンデバイス１０４の第６の特徴は、付加的機能として、トークンデバイス使用者の本人認証機能（利用者認証機能）４１２を備えている点である。配信サーバ１０１とトークンデバイス１０４は、端末装置１０２がネットワーク接続された場合に、利用者の認証を行う。
本人認証方式としては、パスワード照合方式あるいは指紋や虹彩、静脈などのバイオ情報照合方式が周知である。本システムでもこれらの方式を用いることにより、利用者のなりすましを防止できる。具体的には、トークンデバイス１０４に本人のパスワードあるいはバイオ情報を信頼できる外部システムを介して登録する機能と、トークンデバイス１０４内で外部から入力されたパスワード、あるいはバイオ情報を照合する本人認証機能（利用者認証機能）４１２とを備えるようにする。そして、この機能により利用者本人であると認証された場合に、トークンデバイス１０４の利用を可能とする。
これにより、利用者がデジタルコンテンツを利用する場合、専用ソフトウェアはトークンデバイス１０４の本人認証機能を使用して、利用者が登録された本人であることを確認できる。これにより、トークンデバイスが盗難にあってもなりすましを防止することができる。
【図面の簡単な説明】
【００３５】
【図１】本発明のデジタルコンテンツ配信システムの基本構成を示す図。
【図２】配信サーバ１０１の機能ブロック図。
【図３】端末装置１０２の機能ブロック図。
【図４】トークンデバイス１０４の機能ブロック図。
【符号の説明】
【００３６】
１０１  デジタルコンテンツ配信サーバ、１０２  端末装置、１０３  専用ソフトウェア、１０４  トークンデバイス、１０５  内蔵時計、１０６  暗号/復号モジュール、１０７  記憶部、１０９  記憶装置、２０１  利用権管理機能、２０２  システム時計、２０３  時刻配信機能、２０４  デジタルコンテンツ配信機能、２０５  暗号/復号機能、２０６  署名生成/検証機能、２０７  暗号鍵生成機能、２０８  公開鍵ペア生成機能、２０９  利用者登録・変更機能、３０２  再生・ビューア制御機能、３０３  照会・選択・貸出し・ダウンロードの制御機能、３０４  返却・延長制御機能、３０５  コピー・印刷制御機能、３０６  ＧＵＩ制御機能、４０２  利用期限判定機能、４０３  内蔵時計、４０４  時刻校正機能、４０５  暗号/復号機能、４０６  署名生成/検証機能、４０７  公開鍵ペア生成機能、４０８  耐タンパ制御機能、４１２  本人認証機能。
【図１】
0004673150.tif 000002
【図２】
0004673150.tif 000003
【図３】
0004673150.tif 000004
【図４】
0004673150.tif 000005