(57)【特許請求の範囲】
【請求項１】
第１のバーチャルプライベートネットワークにおける少なくとも１つのデジタルライツユーザ装置へのデジタルライツの配布を制御するための管理装置であって、
第２のバーチャルプライベートネットワークにおける管理装置にデジタルライツの要求を送信し、
前記要求に応じて前記第２のバーチャルプライベートネットワークにおける管理装置によって制御される第２のバーチャルプライベートネットワークにおけるデジタルライツ配備サーバーを介して該第２のバーチャルプライベートネットワークからデジタルライツを取得し、
第１のバーチャルプライベートネットワークにおける記憶装置に第２のバーチャルプライベートネットワークから取得された前記デジタルライツを記憶し、
前記デジタルライツの正当なユーザとして前記少なくとも一つのデジタルライツユーザ装置を第１のバーチャルプライベートネットワークにおけるデジタルライツ配備サーバーが認証することに基づいて、第１のバーチャルプライベートネットワークにおけるデジタルライツ配備サーバーによる前記記憶装置から前記少なくとも一つのデジタルライツユーザ装置へのデジタルライツの提供を制御する、
ことを特徴とする管理装置。
【請求項２】
請求項１に記載の管理装置であって、証明物権限者サーバーを使用して、前記デジタルライツの正当なユーザとして前記少なくとも一つのデジタルライツユーザ装置をデジタルライツ配備サーバーが認証することに基づいて、前記デジタルライツ配備サーバーによる前記デジタルライツの提供を制御することを特徴とする管理装置。
【請求項３】
請求項１〜２のいずれか一項に記載の管理装置であって、第１のバーチャルプライベートネットワーク外の少なくとも一つのデジタルライツユーザ装置へのデジタルライツの提供を制御することを特徴とする管理装置。
【請求項４】
請求項１〜３のいずれか一項に記載の管理装置であって、第２のバーチャルプライベートネットワークから、第１のバーチャルプライベートネットワークと第２のバーチャルプライベートネットワークとの間の少なくとも一つの保安リンクを介してデジタルライツを取得することを特徴とする管理装置。
【請求項５】
第１のバーチャルプライベートネットワークにおける少なくとも一つのデジタルライツユーザ装置へのデジタルライツの配布を制御するための第２のバーチャルプライベートネットワークにおける管理装置であって、
第２のバーチャルプライベートネットワークにおける記憶装置にデジタルライツを記憶し、
第１のバーチャルプライベートネットワークにおける管理装置からデジタルライツの要求を受信し、
前記要求に応じた第２のバーチャルプライベートネットワークにおけるデジタルライツ配備サーバーによる前記記憶装置から第１のバーチャルプライベートネットワークおける管理装置への前記デジタルライツの提供を制御し、
ことを特徴とする管理装置。
【請求項６】
請求項５に記載の管理装置であって、第２のバーチャルプライベートネットワーク内のデジタルコンテンツから前記デジタルライツを作成し、当該デジタルライツ及び当該作成されたデジタルライツの前記記憶装置への記憶を制御する少なくとも一つのポリシーを作成することを特徴とする管理装置。
【請求項７】
請求項５〜６のいずれか一項に記載の管理装置であって、前記デジタルライツを外部ソースから取得することを特徴とする管理装置。
【請求項８】
第１及び第２のバーチャルプライベートネットワークを含むネットワークであって、
第１のバーチャルプライベートネットワークは、
記憶装置と、
少なくとも一つのデジタルライツユーザ装置及び前記記憶装置に接続され、デジタルライツを前記少なくとも一つのデジタルライツユーザ装置へ配布するデジタルライツ配備サーバーと、
請求項１〜４のいずれか一項に記載の管理装置であって、前記デジタルライツ配備サーバー及び前記記憶装置に接続された管理装置と、を含む、
ことを特徴とするネットワーク。
【請求項９】
第１のバーチャルプライベートネットワークにおける少なくとも一つのデジタルライツユーザ装置へのデジタルライツの配布を制御するための方法であって、
第１のバーチャルプライベートネットワークにおける管理装置が、
前記少なくとも一つのデジタルライツユーザ装置からのデジタルライツの要求を受信する段階と、
第２のバーチャルプライベートネットワークからの前記デジタルライツを第２のバーチャルプライベートネットワークにおける管理装置に要求する段階と、
第２のバーチャルプライベートネットワークから前記デジタルライツを受信する段階と、
第２のバーチャルプライベートネットワークから受信した前記デジタルライツを第１のバーチャルプライベートネットワークにおける記憶装置に記憶する段階と、
前記記憶されたデジタルライツを第１のバーチャルプライベートネットワークにおけるデジタルライツ配備サーバーからの前記少なくとも一つのデジタルライツユーザ装置への提供を制御する段階と、
を含むことを特徴とする方法。
【請求項１０】
請求項９に記載の方法であって、第１のバーチャルプライベートネットワークにおけるデジタルライツ配備サーバーが前記デジタルライツの正当なユーザとして前記少なくとも一つのユーザを認証する段階を含むことを特徴とする方法。
【請求項１１】
請求項９〜１０のいずれか一項に記載の方法であって、第１のバーチャルプライベートネットワークにおけるデジタルライツ配備サーバーが前記バーチャルプライベートネットワーク外の少なくとも一つのデジタルライツユーザへ前記デジタルライツを提供する段階を含むことを特徴とする方法。
【請求項１２】
第１のバーチャルプライベートネットワークにおける少なくとも一つのデジタルライツユーザ装置へのデジタルライツの配布を制御するための方法であって、
第２のバーチャルプライベートネットワークにおける管理装置が、
第１のバーチャルプライベートネットワークにおける管理装置からデジタルライツの要求を受信する段階と、
第１のバーチャルプライベートネットワークにおける前記管理装置への第２のバーチャルプライベートネットワークにおけるデジタルライツ配備サーバーによる第２のバーチャルプライベートネットワークにおける記憶装置からの前記デジタルライツの提供を制御する段階と、
を含むことを特徴とする方法。
【請求項１３】
請求項１２に記載の方法であって、前記デジタルライツの要求を受信することに応答して、第２のバーチャルプライベートネットワークにおける管理装置が、前記記憶装置において前記デジタルライツを記憶する段階を含むことを特徴とする方法。
【請求項１４】
請求項１２または１３に記載の方法であって、第２のバーチャルプライベートネットワークにおける管理装置が、前記第２のバーチャルプライベートネットワーク内のデジタルコンテンツから前記デジタルライツを作成し、前記デジタルライツ及び前記作成されたデジタルライツの記憶を制御する少なくとも一つのポリシーを作成する段階を含むことを特徴とする方法。
【請求項１５】
請求項１２または１３に記載の方法であって、第２のバーチャルプライベートネットワークにおける管理装置が、前記デジタルライツを外部ソースから取得する段階を含むことを特徴とする方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、バーチャルプライベートネットワークに係り、より詳細には、デジタルライツ(digital rights)の管理に係る。
【背景技術】
【０００２】
インターネットのようなパケットデータネットワークは、デジタルコンテンツ又はソフトウェアに対する最も効率的な配布チャンネルの１つとなっている。しかしながら、デジタルコンテンツ及びソフトウェアの配布に理想的なものとするパケットデータネットワークの特性は、デジタルコンテンツ及びソフトウェアの乱用及び悪用の実質的な機会も与える。デスクトップＰＣ等でパケットデータネットワークを経てコピーしたり変更したり表面を傷付けたり配布したりする容易さに鑑み、デジタルコンテンツ及びソフトウェアを保護することが重要である。この問題に対処するためにデジタルライツ管理（ＤＲＭ）が要求される。
【０００３】
図１は、インターネットバックボーンのようなパケットデータネットワークにわたって分散されたバーチャルプライベートネットワーク（ＶＰＮ）のブロック図である。図示されたように、ＶＰＮ−Ａは、プロセッサＡ１、Ａ２及びＡ３間の保安通信を表わす破線で示されたトンネルにより接続される。同様に、ＶＰＮ−Ｂは、プロセッサＢ１、Ｂ３及びＢ３間の点線で示された保安トンネルにより接続される。
【０００４】
ＶＰＮネットワークＡ及びＢは、異なる位置にある会社又は組織に配置される。図１に示すＶＰＮアーキテクチャーは、会社又は組織の従業員又はメンバーが、バックボーンパケットデータネットワークを経て保安トンネルにより会社又は組織のＶＰＮへ接続した後に会社又は組織のローカルエリアネットワーク（ＬＡＮ）にわたって仕事を行えるようにする。
【０００５】
ビデオ、オーディオ、ドキュメント及びファイルを含むデジタルライツ及びデジタルコンテンツは、ＶＰＮ内及びＶＰＮ間で送信されるので、図１に示すようなＶＰＮのオペレーションに対してＤＲＭが要求される。ＶＰＮ内及びＶＰＮ間でのＤＲＭの要求は、（１）ＶＰＮ及びそれらのアプリケーションの配備と、（２）ＤＲＭの配備がインターネットのようなパケットデータネットワークのバックボーンに及ぼす影響の、２つの観点を有する。
【０００６】
実際に、ＤＲＭ及びＶＰＮは、それらの配備において相互に作用する。例えば、会社又は組織は、ＶＰＮの内部で作成され及び／又は消費される内部デジタルコンテンツ（ＩＤＣ）の機密性を保護する必要がある。別の例は、会社又は組織が、デジタルライツ（例えば、ソフトウェアを使用するライセンス）を含む製品を消費者に販売しそして消費者のＶＰＮにおけるライセンスの使用を監視したいときである。今日の技術現状では、ＶＰＮ内及びＶＰＮ間でのＤＲＭが満足に対処されていない。
【０００７】
現在、ＶＰＮのＩＤＣは、デジタル保護が不充分で、悪用を容易に生じさせてしまう。更に、あるケースでは、ＩＤＣは、少数のトップレベルのマネージャーしか機密性の高いドキュメントにアクセスすることが許されないときのように、ＶＰＮの内部に特殊なデジタル保護を要求する。適切なデジタル保護を行わないと、機密性の高いドキュメントが他の人々によって容易に見られて、ＶＰＮの外部に流出してしまう。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
ＶＰＮにおけるデジタルライツの使用に関する制限は、通常、著しく厳格であるか又は著しくルーズである。例えば、ＶＰＮのオペレータが、デジタルライツ発行者から製品の多数のライセンスを購入し、そしてそれらライセンスをＶＰＮのマシンにインストールしたいとする。特に、オペレータは、デジタルライツの発行者がＶＰＮのコンフィギュレーションを知ることを望まない。しかし、デジタルライツ発行者は、ユーザのＶＰＮの特定のマシンにしかインストールできないライセンスを通常与えるデジタルライツ発行者とのＶＰＮにおけるライセンス合意をユーザが遵守することを保証しなければならない。特定のマシンにインストールするという要求は、当然、ユーザのネットワークに関する何らかの情報をデジタルライツ発行者に与えることになる。更に、ユーザがライセンスを特定のマシンから別の特定のマシンへ移管したい場合には、ユーザは、発行者に通知して許可を得なければならない。この手順は、ユーザにとって望ましくない。その結果、デジタルライツの使用に関する制限がユーザにとって著しく厳格になる。一方、デジタルライツ発行者は、ＶＰＮのどこにでもインストールできる多数の無制限のライセンスを購入するようにユーザに勧めることを試みることができる。この状況では、ユーザは、おそらくより高価であるライセンスの期間に合意してもよい。しかし、デジタルライツ発行者は、実際には、デジタルライツの使用を明確に管理することができず、これは、非常に多数のライセンスがＶＰＮにインストールされ、又、デジタルライツの使用を代表するＶＰＮの外部にライセンスを容易に配布することができて、著しくルーズな管理となることを意味する。
【０００９】
ＶＰＮのオペレータは、特に、ＶＰＮが非常に多数のクライアント及び多数の形式のデジタルライツを含むときには、デジタルライツの使用を効率的に管理できないことがしばしばある。これは、デジタルライツに対する制約が無視され易い状況を招く。
【課題を解決するための手段】
【００１０】
本発明は、ＶＰＮ内及びＶＰＮ間にあって、デジタルライツユーザ（ＤＲＵ）及びデジタルライツ発行者に対してＶＰＮ内及びＶＰＮ間でデジタルライツを管理するＤＲＭシステムに係る。本発明は、ＶＰＮ内に一緒に一体化されたデジタルライツポリシーマネージャー（ＤＲＰＭ）、デジタルライツ配備サーバー（ＤＲＤＳ）及びデジタルライツ貯蔵部（ＤＲＲ）即ち記憶装置を使用して、ＤＲＵ及びデジタルライツ発行者に対して内部及び外部の両方でデジタルライツを管理する。内部ＤＲＵは、ＤＲＵへのデジタルライツの配布を管理するＤＲＰＭを含むＶＰＮ内にあり、そして外部ＤＲＵは、ＤＲＵへのデジタルライツの配布を管理するＤＲＰＭを含むＶＰＮの外部にある。外部ＤＲＵは、ＶＰＮの内部にあってもよいしＶＰＮの外部にあってもよく、そして内部ＤＲＵを含むＶＰＮへ保安リンクにより接続されてもよい。
【００１１】
ＤＲＰＭにより管理されるデジタルライツは、ＤＲＰＭにより発生されるか、或いは別のＶＰＮのＤＲＲにおける記憶装置から、又はＤＲＰＭとは独立して動作する外部デジタルライツソースから入力される。ＤＲＰＭは、ＤＲＲにおけるデジタルライツの記憶をコントロールする。ＤＲＰＭは、デジタルコンテンツからデジタルライツを作成すると共に、デジタルライツと、その作成されたデジタルライツの記憶装置への記憶とをコントロールする少なくとも１つのポリシーを作成する。デジタルコンテンツは、少なくとも１つのビデオ、オーディオ、ドキュメント又はファイルを含むが、これに限定されない。デジタルライツは、ＩＤＣから作成されて、内部ＤＲＵにより消費されてもよい。
【００１２】
又、ＤＲＰＭは、デジタルライツの管理、作成、再作成、配布及び使用に関するポリシーも発生する。例えば、デジタルライツの作成及び配布は、時間に基づくものでよく、即ちデジタルライツは、周期的に、例えば、毎月発行されてもよいが、これに限定されない。しかしながら、ＤＲＰＭは、デジタルライツの種々の形式の管理、作成、再作成、配布及び使用を実行すると共に、デジタルライツ内の種々のコンテンツを発生して、デジタルコンテンツをいかに消費するか詳細に指示するようにプログラムされてもよいことを理解されたい。
【００１３】
内部又は外部ＤＲＵは、ＤＲＤＳに接続して、デジタルライツのダウンロードを要求することができる。充分なセキュリティを得るために、ＤＲＤＳへのＤＲＵの接続は、ＤＲＵの認証を要求する。この認証は、種々のやり方で実行されてもよく、例えば、ＶＰＮの内部又は外部の証明物権限者（ＣＡ）によりＤＲＵへ発行された証明物によるか又は保安接続により実行されてもよい。内部又は外部ＣＡは、本発明の一部分を形成しない良く知られた手順に基づいてＤＲＵの要求があったときに証明物を与える。ＤＲＤＳは、証明物のためのＤＲＵ要求をＣＡへ転送し、そしてＣＡから受け取った証明物をＤＲＵへ送信する。ＤＲＤＳと外部ＤＲＵとの間の接続の環境において、例えば、セキュア・ソケット・レイヤー（ＳＳＬ）のようなトンネル技術により接続が安全確保されるが、本発明は、接続を安全確保するための特定の技術に限定されないことを理解されたい。更に、ＤＲＤＳと内部ＤＲＵとの間の接続は、ＶＰＮ内部のセキュリティ要求に基づいて安全確保されるのが望ましい。
【００１４】
ＤＲＵは、ライセンスのような正しいデジタルライツが与えられないと、ＩＤＣのようなデジタルコンテンツを使用することができない。デジタルライツは、どこで、誰がデジタルライツを使用できるか、どれほど長くデジタルライツを消費できるか、そしてデジタルライツが使用された後に何を行なうべきかといった使用条件を指定する。ＤＲＵは、デジタルライツで指定される条件によりデジタルライツを悪用することが防止される。
【００１５】
本発明によるネットワークは、各々がデジタルライツのユーザである少なくとも１人のデジタルライツユーザと、少なくとも１つのバーチャルプライベートネットワークであって、デジタルライツの記憶装置と、少なくとも１人のデジタルライツユーザ及び記憶装置に結合され、デジタルライツを少なくとも１人のデジタルライツユーザへ配布するサーバーと、該サーバーと記憶装置に結合され、記憶装置に記憶されたデジタルライツを少なくとも１人のデジタルライツユーザへ与えるのをコントロールするデジタルライツマネージャーとを各々含むようなバーチャルプライベートネットワークと、を備えている。少なくとも１人のデジタルライツユーザは、少なくとも１つのバーチャルプライベートネットワークの外部でも内部でもよい。少なくとも１人のデジタルライツユーザは、複数のデジタルライツユーザであって、少なくとも１人のデジタルライツユーザは、少なくとも１つのバーチャルプライベートネットワークの内部にあり且つ少なくとも１人のデジタルライツユーザは、前記少なくとも１つのバーチャルプライベートネットワークの外部にあってもよい。各マネージャーは、デジタルライツを含むネットワークの内部にあるデジタルコンテンツを管理することができる。デジタルコンテンツは、ビデオ、オーディオ、ドキュメント又はファイルの少なくとも１つを含むことができる。マネージャーは、デジタルコンテンツからデジタルライツを作成すると共に、デジタルライツと、その作成されたデジタルライツの記憶装置への記憶とをコントロールする少なくとも１つのポリシーを作成することができる。この少なくとも１つのポリシーは、記憶装置に記憶されるデジタルライツをサーバーにより管理し、作成し、再作成し、使用し又は少なくとも１人のユーザへ配布することに関する条件も含むことができる。デジタルライツをいつ、いかに作成し、再作成し、分配し、使用し、又は管理するか、の少なくとも１つを支配するルールのセットがポリシーであってもよい。デジタルライツの管理、作成、再作成、使用又は配布に関する条件は、デジタルライツが少なくとも１人のユーザにより要求された時間に依存してもよい。各ユーザは、デジタルライツをユーザに配布する前にサーバーによりデジタルライツの正当なユーザであると認証することができる。証明物権限者が、少なくとも１人のユーザ各々に対して証明物を与え、少なくとも１人のユーザ各々の証明物がサーバーに提示され、サーバーは、ユーザにより提示された証明物が、ユーザが、要求されているデジタルライツの正当なユーザであると認証するときに、マネージャーのコントロールのもとでユーザの証明物を提示している各ユーザにデジタルライツを配布することができる。証明物権限者は、少なくとも１つのバーチャルプライベートネットワーク内にいてもよいし、その外部にいてもよい。少なくとも１つのバーチャルプライベートネットワークの外部にいる少なくとも１人のデジタルライツユーザは、別のバーチャルプライベートネットワークにいてもよく、そしてバーチャルプライベートネットワークは、少なくとも１つの保安リンクで互いに接続されてもよい。少なくとも１つのバーチャルプライベートネットワークの外部にある外部デジタルライツソースは、そこにデジタルライツを与え、そして外部デジタルライツソースが結合される少なくとも１つのバーチャルプライベートネットワークの少なくとも１つのマネージャーは、外部デジタルライツソースから受信したデジタルライツを記憶することと、外部デジタルライツを少なくとも１人のユーザに与えることとをコントロールすることができる。外部デジタルライツソースは、少なくとも１つのデジタルネットワークのオペレーションとは独立して動作することができる。
【００１６】
各々がデジタルライツのユーザである少なくとも１人のデジタルライツユーザと、少なくとも１つのバーチャルプライベートネットワークであって、デジタルライツの記憶装置と、少なくとも１人のデジタルライツユーザ及び記憶装置に結合され、デジタルライツを少なくとも１人のデジタルライツユーザへ配布するサーバーと、該サーバーと記憶装置に結合されたデジタルライツマネージャーとを含むようなバーチャルプライベートネットワークと、を備えたネットワークにおいて、本発明によりデジタルライツを配布する方法は、少なくとも１人のユーザの少なくとも１人がサーバーからデジタルライツを要求するステップと、少なくとも１人のユーザからのその要求に応答して、マネージャーが、デジタルライツを要求している少なくとも１人のユーザへデジタルライツを配布するサーバーへ記憶装置からデジタルライツを与えるのをコントロールするステップと、を備えている。少なくとも１人のデジタルライツユーザは、少なくとも１つのバーチャルプライベートネットワークの外部でも内部でもよい。少なくとも１人のデジタルライツユーザは、複数のデジタルライツユーザであって、少なくとも１人のデジタルライツユーザは、少なくとも１つのバーチャルプライベートネットワークの内部にあり且つ少なくとも１人のデジタルライツユーザは、前記少なくとも１つのバーチャルプライベートネットワークの外部にあってもよい。マネージャーは、デジタルライツを含むネットワークの内部にあるデジタルコンテンツを管理することができる。デジタルコンテンツは、ビデオ、オーディオ、ドキュメント又はファイルの少なくとも１つを含むことができる。マネージャーは、デジタルコンテンツからデジタルライツを作成すると共に、デジタルライツと、その作成されたデジタルライツの記憶装置への記憶とをコントロールする少なくとも１つのポリシーを作成することができる。この少なくとも１つのポリシーは、記憶装置に記憶されるデジタルライツをサーバーにより管理し、作成し、再作成し、使用し又は少なくとも１人のユーザへ配布することに関する条件も含むことができる。デジタルライツをいつ、いかに作成し、再作成し、分配し、使用し、又は管理し、そしてデジタルライツにおいてどんなコンテンツを定義すべきか、の少なくとも１つを支配するルールのセットがポリシーであってもよい。デジタルライツの管理、作成、再作成、使用又は配布に関する条件は、デジタルライツが少なくとも１人のユーザにより要求された時間に依存してもよい。各ユーザは、デジタルライツをユーザに配布する前にサーバーによりデジタルライツの正当なユーザであると認証することができる。証明物権限者が、少なくとも１人のユーザ各々に対して証明物を与え、少なくとも１人のユーザ各々の証明物がサーバーに提示され、サーバーは、ユーザにより提示された証明物が、ユーザが、要求されているデジタルライツの正当なユーザであると認証するときに、マネージャーのコントロールのもとでユーザの証明物を提示している各ユーザにデジタルライツを配布することができる。外部デジタルライツソースは、少なくとも１つのバーチャルプライベートネットワークの外部にあって、そこにデジタルライツを与え、そして外部デジタルライツソースが結合される少なくとも１つのバーチャルプライベートネットワークの少なくとも１つのマネージャーは、外部デジタルライツソースから受信したデジタルライツを記憶することと、外部デジタルライツを少なくとも１人のユーザに与えることとをコントロールすることができる。証明物権限者は、バーチャルプライベートネットワークの内部にあってもよいし、外部にあってもよい。外部デジタルライツソースは、少なくとも１つのデジタルネットワークのオペレーションとは独立して動作することができる。
【００１７】
各々がデジタルライツのユーザである少なくとも１人のデジタルライツユーザと、デジタルライツを発行するデジタルライツ発行者バーチャルプライベートネットワークと、少なくとも１人のデジタルライツユーザを含むデジタルライツユーザバーチャルプライベートネットワークとを備えたネットワークであって、各バーチャルプライベートネットワークは、デジタルライツの記憶装置と、少なくとも１人のデジタルライツユーザ及び記憶装置に結合され、デジタルライツを少なくとも１人のデジタルライツユーザへ配布するサーバーと、該サーバーと記憶装置に結合されたデジタルライツマネージャーとを含むようなネットワークにおいて、本発明によりデジタルライツを配布する方法は、少なくとも１人のユーザの少なくとも１人が、デジタルライツユーザバーチャルプライベートネットワークのサーバーからデジタルライツを要求するステップと、デジタルライツユーザバーチャルプライベートネットワークのデジタルライツマネージャーが、デジタルライツ発行者バーチャルプライベートネットワークからデジタルライツを要求するステップと、デジタルライツ発行者バーチャルプライベートネットワークがデジタルライツユーザバーチャルプライベートネットワークへデジタルライツを送信するステップと、デジタルライツユーザバーチャルプライベートネットワークが少なくとも１人のデジタルライツユーザへデジタルライツを送信するステップと、を備えている。デジタルライツユーザバーチャルプライベートネットワークは、デジタルライツ発行者バーチャルプライベートネットワークからデジタルライツを受け取るのに応答して、デジタルライツマネージャーから記憶装置へ、記憶装置からサーバーへ、及びサーバーから少なくとも１人のデジタルライツユーザへデジタルライツを送信することができる。デジタルライツ発行者バーチャルプライベートネットワークは、デジタルライツの要求に応答して、サーバーから、デジタルライツを作成するマネージャーへ要求を送信することができ、マネージャーにより作成されたデジタルライツは、マネージャーから記憶装置へ送信され、デジタルライツは、記憶装置からサーバーへ送信することができ、そしてデジタルライツは、サーバーから、デジタルライツユーザバーチャルプライベートネットワークのマネージャーへ送信することができる。
【発明を実施するための最良の形態】
【００１８】
添付図面全体にわたり同じ部分が同じ参照番号で示されている。
図２は、本発明によるネットワーク１０を示す。このネットワーク１０は、本発明を実施するのに使用されるグループ（＃１−Ｎ）ＶＰＮ１２より成る。これらＶＰＮは、インターネットのような既知の設計のものでよいパケットデータネットワーク１４により、保安トンネル１６を経て相互接続される。
【００１９】
ネットワーク１０は、ＤＲＵ間でデジタルライツの配布を実行し、ＤＲＵは、デジタルライツの配布をコントロールするＤＲＰＭ３４を有するＶＰＮ１２内に配置された内部ＤＲＵ１８であるか、或いは別のＶＰＮ１２内にあるか又はＶＰＮの外部にあって、デジタルライツの配布をコントロールするＤＲＰＭ３４を有するＶＰＮ１２へ外部ネットワーク２２を経て接続された外部ＤＲＵ２０である。デジタルライツの配布をコントロールするＤＲＰＭ３４を有するＶＰＮの外部にあるＤＲＵ２０間の接続は、セキュア・ソケット・レイヤー（ＳＳＬ）のような既知の保安手段（これに限定されない）を使用できる保安リンク２４を経て行われる。
【００２０】
本発明により提供されるＤＲＭは、図２を参照し、主として、＃１ＶＰＮ１２を参照して説明する。しかしながら、＃２−ＮのＶＰＮ１２が同じアーキテクチャーを有してもよいことを理解されたい。各ＶＰＮ１２は、少なくとも１つのＤＲＵ１８を含んでもよい。ＤＲＲ３０は、内部ＤＲＵ１８及び外部ＤＲＵ２０により使用されるデジタルライツを記憶する。ＤＲＤＳ３２は、ＤＲＲ３０及びＤＲＰＭに結合され、そしてＤＲＰＭ３４のコントロールのもとで少なくとも１つの内部ＤＲＵ１８又は外部ＤＲＵ２０へデジタルライツを配布する。
【００２１】
ＤＲＰＭ３４は、ＤＲＭが与える多数のファンクションを実行する。第１に、ＤＲＰＭ３４は、ＤＲＲ３０に記憶されたデジタルライツを、ＤＲＤＳ３２を経て内部及び外部ＤＲＵ１８及び２０へ与えるのをコントロールする。第２に、ＤＲＰＭ３４は、ＶＰＮ１２内のどこかに含まれたオーディオ、ビデオ、ドキュメント又はファイル（これらに限定されない）でよいＩＤＣ４０のようなデジタルコンテンツ（これらに限定されない）から、或いはデジタルコンテンツの外部ソースから、デジタルライツを作成する。第３に、ＤＲＰＭ３４は、デジタルライツをコントロールする少なくとも１つのポリシーを確立し、実施する。最後に、少なくとも１つのポリシーは、デジタルライツの管理、作成、再作成、使用又は配布に関する条件を含む。
【００２２】
ＤＲＰＭ３４によるデジタルライツの配布は、デジタルライツがいかにそしていつＤＲＲ３０の記憶装置からＤＲＤＳ３２へ送られ、そしてそこから、要求を発しているＤＲＵの認証の後に内部ＤＲＵ１８又は外部ＤＲＵ２０へ配布されるかの条件をコントロールすることを含むコントロールファンクションである。図３及び４を参照して以下に述べるように、デジタルライツの消費を含むプッシュ動作においては、内部ＤＲＵ１８又は外部ＤＲＵ２０のいずれかがＤＲＤＳに接続され、そして要求を発しているＤＲＵ１８又は２０へデジタルライツをダウンロードすることを要求する。図５を参照して以下に述べるように、デジタルライツ発行者ＶＰＮ１２からユーザＶＰＮ１２の外部ＤＲＵ２０へのデジタルライツのプル動作においては、ユーザＶＰＮは、デジタルライツに対してＤＲＰＭ３４へ要求を送信する。
【００２３】
内部ＤＲＵ１８又は外部ＤＲＵ２０を、デジタルライツを与えるＤＲＤＳ３２へ接続するには、認証が要求される。認証は、デジタルライツが要求されたときに、暗号を使用するか、或いはパブリックキー又は他の既知の認証メカニズムの形態の有効な証明物を提示するといったセキュリティ手段により、ＤＲＤＳ３２で実行される。
【００２４】
証明物が認証に使用されるときには、ＤＲＤＳ３２は、デジタルライツを要求している個々のＤＲＵ１８及びＤＲＵ２０を、内部証明物権限者４２又は外部証明物権限者４４の使用により認証する。要求を発しているＤＲＵ１８又は２０が、ＣＡから得られるパブリックキーにより確認される有効な証明物及び有効なデジタル署名を提示する限り、認証は完了となる。この認証手順は、パブリックキーインフラストラクチャーをベースとする。それ故、パブリックキーと、ＣＡから得られた各ＤＲＵ１８に記憶されたプライベートキーが一致すると、認証を完了することができる。
【００２５】
ＤＲＵ１８又は２０が要求を送信するときに、ＤＲＵは、その証明物（パブリックキーを含む）及びデジタル署名（ＤＲＵプライベートキーで署名された）をその要求にアタッチする。ＤＲＤＳ３２は、要求を受け取り、そしてデジタル署名を、提示された証明物（即ちパブリックキー）と照合する。照合にパスすると、ＤＲＤＳ３２が当然ＣＡに接続して、ＤＲＵにより送信された証明物が有効な証明物（例えば、期限が経過していない）であることを確かめる前に、ＤＲＵが認証される。この認証手順は、パブリックキーインフラストラクチャーをベースとする。
【００２６】
ＤＲＲ３０に記憶されるデジタルライツは、上述したように、通常、ＤＲＰＭ３４によりＩＤＣ４０から作成される。しかしながら、それとは別に、ＤＲＲ３０に記憶されるデジタルライツは、＃２−ＮのＶＰＮ１２から得られてもよいし、或いはＤＲＲ３０に記憶するためにＤＲＰＭ３４とは独立してデジタルライツを認可し、作成し、さもなければ、提供するデジタルライツ配布エンティティである独立デジタルライツソース５０から得られてもよい。
【００２７】
ＤＲＲ３０に記憶されるデジタルライツには、使用条件が関連している。この使用条件は、どこで、誰がデジタルライツを使用できるか、どれほど長くデジタルライツを使用できるか、そしてデジタルライツが使用された後に何が起きるかであるが、これらに限定されない。この使用条件は、ＤＲＵ１８及び２０が、定義され且つＤＲＲ３０に記憶されたデジタルライツを悪用するのを防止する。
【００２８】
本発明は、多数の利益を有する。デジタルライツ管理は、ＶＰＮ保安管理及びネットワークオペレーションと組み合わされる。デジタルライツ発行者は、ＤＲＯＭ３４と作用して、デジタルライツを発生すると共に、ＤＲＵ１８及び２０によるデジタルライツの消費をコントロールする。ＶＰＮのオペレータには、ＤＲＰＭ３４との作用によりデジタルライツを管理し且つＶＰＮを経てクライアントにデジタルライツを配布する能力が与えられる。ＤＲＲ３０に記憶されるデジタルライツに関連したＩＤＣ４０は、ＶＰＮ１２内及びＶＰＮ１２間で保護される。
【００２９】
本発明のネットワークは、種々の環境のもとでオペレーションを行なう。第１に、デジタルライツソース５０のようなデジタルライツの発行者と、ＤＲＵ２０は、ＶＰＮをもつ必要がない。第２に、デジタルライツソースは、ＶＰＮに関連付けされる必要がなく、例えば、独立したデジタルライツソース５０は、全てのＶＰＮから分離され、そしてＤＲＵ１８のような少なくとも幾つかのＤＲＵは、ＶＰＮ１２内にある。第３に、デジタルライツ発行者がＶＰＮ内にあって、ＤＲＰＭ３４が、デジタルライツの記憶、作成、再作成、配布及び使用条件等をコントロールする一方、ＤＲＵが外部ＤＲＵ２０のみであってもよい（この状態は、ＶＰＮにＤＲＵ１８が存在しないときに生じる）。最後に、デジタルライツ発行者がＶＰＮ１２に関連付けされそして少なくとも幾つかのＤＲＵが内部ＤＲＵ１８であってもよい。
【００３０】
本発明は、全てのＶＰＮが、図２の＃１ＶＰＮ１２の全エンティティを含むのではないように実施されてもよい。更に、本発明の配備は、図１の従来技術における既存のＶＰＮを単に利用したものに過ぎない。
【００３１】
図３は、本発明により２つのＶＰＮ１２間にデジタルライツを配布する一例を示す。デジタルライツ発行者ＶＰＮ１２は、ユーザＶＰＮ１２に対するデジタルライツのソースとして働く。図示されたように、デジタルライツ発行者ＶＰＮ１２のＤＲＲ３０に記憶されたデジタルライツは、デジタルライツ発行者ＶＰＮのＤＲＰＭ３４のコントロールのもとでＤＲＲ３０の記憶部から検索され、そしてＤＲＤＳ３２によりネットワーク１４の保安リンク１６を経てユーザＶＰＮのＤＲＰＭ３４へ配布される。デジタルライツは、デジタルライツ発行者ＶＰＮのＤＲＰＭのコントロールのもとでユーザＶＰＮのＤＲＤＳ３２によって受け取られたときに、ユーザＶＰＮのＤＲＵで消費するためにユーザＶＰＮ１２のＤＲＲ３０に記憶される。
【００３２】
ユーザＶＰＮ１２のＤＲＲ３０に記憶されたデジタルライツは、ユーザＶＰＮ１２の要求を発しているＤＲＵ１８が既知の認証メカニズムによって認証された後に、ＤＲＤＳ３２のコントロールのもとで検索される。図示されたように、デジタルライツ発行者ＶＰＮ１２のＣＡ４２は、デジタルライツ発行者ＶＰＮ及びユーザＶＰＮの各ＤＲＵ１８を認証するのに使用される証明物を発生する。デジタルライツ発行者ＶＰＮのＤＲＰＭ３４は、デジタルライツ発行者ＶＰＮ１２の内部のＤＲＵ１８と、デジタルライツ発行者ＶＰＮの外部のユーザＶＰＮ１２内の実際のＤＲＵ１８とに対するデジタルライツを発生し、管理する。デジタルライツ発行者ＶＰＮのＤＲＰＭ３４は、デジタルライツ発行者ＶＰＮのＩＤＣ（図示せず）を保護するためのデジタルライツを発生し、管理する。ユーザＶＰＮ１２のＤＲＡＭ３４は、ユーザＶＰＮのＩＤＣを保護するデジタルライツを発生し、管理する。それ故、デジタルライツ発行者ＶＰＮは、ユーザＶＰＮ１２のＤＲＵ１８のグループにデジタルライツを与えることが明らかである。
【００３３】
図４は、内部ＤＲＵ１８にデジタルライツを配布する本発明によるプッシュオペレションのためのＶＰＮのオペレーションを示す。第１ステップにおいて、ＤＲＲ３０は、デジタルライツを再発生するための要求をＤＲＰＭ３４に送信し、再発生は、現在要求を発しているＤＲＵのデジタルライツ調査時間に基づいて生じる。第２ステップとして、デジタルライツ発生／再発生ポリシーをコントロールするＤＲＰＭ３４は、デジタルライツ及び発生ポリシーに基づいて内部ＤＲＵ１８のデジタルライツを発生し、そしてデジタルライツをＤＲＲ３０に記憶する。第３ステップとして、ＤＲＲ３０は、デジタルライツをＤＲＤＳ３２へ送信する。認証の後、ＤＲＤＳ３２は、内部ＤＲＵ１８にデジタルライツを送信する。
【００３４】
図５は、デジタルライツ発行者ＶＰＮからユーザＶＰＮの外部ＤＲＵへデジタルライツをプリングすることを含む図３のネットワークのオペレーションを示す。ステップ１では、ユーザＶＰＮのＤＲＲが、（例えば、現在要求を発している内部ＤＲＵ１８のデジタルライツ調査時間に基づいて）デジタルライツを再発生するための要求をＤＲＰＭ３４に送信する。ステップ２では、発行者ＶＰＮのＤＲＰＭ３４がその要求を発行者ＶＰＮのＤＲＤＳへ転送する。第３ステップでは、発行者ＶＰＮ１２のＤＲＤＳ３２がその要求をＤＲＰＭ３４へ転送する。第４ステップでは、発行者ＶＰＮ１２のＤＲＰＭ３４（デジタルライツ、及びデジタルライツ発行者ＶＰＮの再発生ポリシーを保持する）が、デジタルライツ発生ポリシーに基づいてユーザＶＰＮの外部ＤＲＵ１８に対するデジタルライツを発生し、そしてそのデジタルライツをデジタルライツ発行者ＶＰＮのＤＲＲ３０に記憶する。ステップ５では、発行者ＶＰＮ１２のＤＲＲ３０が、デジタルライツ発行者ＶＰＮ１２のＤＲＤＳ３２へデジタルライツを送信する。ステップ６では、発行者ＶＰＮ１２のＤＲＤＳ３２がユーザＶＰＮ１２のＤＲＰＭ３４へデジタルライツを送信する。ステップ７では、ユーザＶＰＮ３０のＤＲＰＭ３４が、ユーザＶＰＮ１２のＤＲＲ３０にデジタルライツを記憶させる。ステップ８では、ユーザＶＰＮ１２のＤＲＲ３０が、ユーザＶＰＮのＤＲＤＳ３２へデジタルライツを送信する。ステップ９では、デジタルライツを要求しているユーザＶＰＮのＤＲＵ１８が認証された後に、ユーザＶＰＮ１２のＤＲＤＳ３２がＤＲＵ１８へデジタルライツを送信する。
【００３５】
或いは又、通信コストを節約するために、発行者ＶＰＮのＤＲＰＭ３４に代わって、ユーザＶＰＮのＤＲＰＭ３４が新たなデジタルライツを発行することもできる。この環境では、ステップ２−６が不要となる。
【００３６】
ＤＲＲ３０、ＤＲＤＳ３２及びＤＲＰＭの実施は、種々のやり方で行われてもよい。例えば、単一プロセッサ及び関連メモリが、本発明の部分を構成しない適当なプログラミングによりＤＲＲ３０、ＤＲＤＳ３２及びＤＲＰＭ３４を実施してもよい。
【００３７】
本発明をその好ましい実施形態について説明したが、本発明の精神及び範囲から逸脱せずに多数の変更がなされ得ることを理解されたい。このような全ての変更は、特許請求の範囲内に包含されるものとする。
【図面の簡単な説明】
【００３８】
【図１】本発明を実施できる形式の従来のＶＰＮを示す図である。
【図２】本発明によるＶＰＮを含むネットワークのブロック図である。
【図３】本発明によるデジタルライツ発行者ＶＰＮ及びユーザＶＰＮを有する本発明のネットワークを示す図である。
【図４】内部ＤＲＵへデジタルライツを配布する本発明のＶＰＮのオペレーションを示す図である。
【図５】図３に基づくネットワークのオペレーションを示す図である。
【図１】
0004504185.tif 000002
【図２】
0004504185.tif 000003
【図３】
0004504185.tif 000004
【図４】
0004504185.tif 000005
【図５】
0004504185.tif 000006