(57)【要約】本発明は、失効リストを更新し、当該失効リストの更新を受け取り、当該更新によりリストを更新するか、あるいは、それを無視するかランダム判定を行う方法、システム及び装置を提案する。
2006525581.tif 000002
【特許請求の範囲】
【請求項１】
コンテンツに対するアクセス制御を容易にする方法であって、当該方法は、各々が一意的識別子により識別されるエンティティに関し、当該方法はさらに、少なくとも１つの一意的識別子の失効に関し、失効された一意的識別子はさらに失効識別子と呼ばれ、
当該方法は、
失効識別子のリストを含むローカル失効リストを維持するステップと、
新しい失効リストを受け取るステップと、
以降において、前記受け取った新しい失効識別子により前記ローカル失効リストを条件付更新するステップと、
を有し、
当該方法はさらに、前記ローカル失効リストを更新する前、ランダム判定を行うステップを有する許可ステップを有し、
前記判定は、前記受け取った新しい失効識別子を無視するか、あるいは前記受け取った新しい失効識別子により前記ローカル失効リストを更新するためのものである、
ことを特徴とする方法。
【請求項２】
請求項１記載の方法であって、
一意的識別子が該一意的識別子と前記ローカル失効リストの失効識別子とを比較することにより検証され、
前記比較により、前記一意的識別子と前記ローカル失効リストの失効識別子の１つとの間の一致、すなわち、一致識別子が検出されると、前記一意的識別子は失効されているとみなされる、検証ステップが実行されることを特徴とする方法。
【請求項３】
請求項２記載の方法であって、
前記検証されている一意的識別子は、検証された一意的識別子のリストに格納され、
前記許可ステップのランダム判定は、前記検証された一意的識別子のリスト、前記装置内部で利用されると知られている一意的識別子、及び近傍装置において利用されると知られている一意的識別子の１つと、前記受け取られた新しい失効識別子との一致に依存した確率を有する、
ことを特徴とする方法。
【請求項４】
請求項１記載の方法であって、
前記許可ステップのランダム判定は、前記受け取られた新しい失効識別子、前記ローカル失効リストの状態と特性、及び装置状態の少なくとも１つに依存した確率を有することを特徴とする方法。
【請求項５】
請求項１記載の方法であって、さらに、
置換予定の前記ローカル失効リストからの失効識別子が、前記ローカル失効識別子からランダムに選択される選択ステップを有することを特徴とする方法。
【請求項６】
請求項２及び５記載の方法であって、
前記一致識別子は、前記選択ステップ中の置換から除外されることを特徴とする方法。
【請求項７】
コンテンツマテリアルへのアクセスを制御するシステムであって、
失効識別子のリストを有するローカル失効リストと、
新しい失効識別子を受け取る受信部と、
前記受け取った新しい失効識別子により前記ローカル失効リストを条件付更新する更新部と、
を有し、当該システムはさらに、前記受け取った新しい失効識別子を無視するか、あるいは、前記受け取った新しい失効識別子により前記ローカル失効リストを更新するため、ランダム判定を行うよう構成される許可装置を有することを特徴とするシステム。
【請求項８】
請求項７記載のシステムであって、さらに、
コンテンツマテリアルへのアクセスを制御するアクセス装置を有し、
前記アクセス装置は、一意的識別子により特定され、前記コンテンツマテリアルへの前記アクセス装置のアクセスは、前記アクセス装置の一意的識別子と前記ローカル失効リストのエントリとの間に一致が検出される場合には許可されない、
ことを特徴とするシステム。
【請求項９】
失効識別子のリストを有するローカル失効リストを格納及び維持し、新しい失効識別子を受け取るよう構成される装置であって、
当該装置は、前記新しい失効識別子の受け取りに応答して、前記受け取った新しい失効識別子を無視するか、あるいは、前記受け取った新しい失効識別子により前記ローカル失効リストを更新するため、ランダム判定を行うよう構成されることを特徴とする装置。
【請求項１０】
請求項１記載の方法を実現可能であることを特徴とするコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンテンツへのアクセス制御を容易にする方法に関するものであり、当該方法は、エンティティが一意的な識別子により特定され、さらに、少なくとも１つの一意的識別子の失効に関するものであり（失効された一意的な識別子はさらに、失効識別子と呼ばれる）、失効識別子のリストを含むローカルな失効リストを維持し、新しい失効識別子を受け取り、以降においてこの受信した新しい失効識別子によりローカル失効リストを更新することを有する。
【０００２】
本発明はさらに、コンテンツマテリアルへのアクセスを制御するシステムに関するものであり、当該システムは、失効識別子のリストを含むローカルな失効リストと、新しい失効識別子を受け取る受信部と、受信した新しい失効識別子によりローカル失効リストを条件付に更新する更新部とを有する。
【０００３】
本発明はさらに、失効識別子のリストを有するローカル失効リストを格納及び保持し、新しい失効識別子を受け取るよう構成される装置に関する。
【０００４】
本発明はさらに、上記方法を実現可能なコンピュータプログラムプロダクツに関する。
【背景技術】
【０００５】
映画、テレビ番組、音楽、テキストなどのデジタルコンテンツは、品質を劣化させることなく繰り返しコピーすることが可能である。無制限な複製を防ぐため、コピープロテクションがコンテンツ所有者により利用されている。また、ユーザによりどのコンテンツが、どのようにして如何なる条件に対してアクセス可能とされるか制御するため、コンテンツアクセス制御技術が利用されている。コンテンツアクセス制御技術を実現するシステムは、放送の世界では限定受信システム（ＣＡ）として、またはインターネットの世界ではＤＲＭ（デジタル著作権管理）として知られている。
【０００６】
コピープロテクションやコンテンツアクセス制御を実現する各種技術が提案、開発または利用されてきた。コンテンツマテリアルは、送信中及び／または記録時に暗号化することができる。暗号化されたコンテンツを解読及びレンダリングするよう構成された装置は、当該コンテンツに関するポリシーに従うべきである。一例となるポリシーは、他の装置もまた従っている場合に、この他の装置にのみコンテンツを転送するというものである。
【０００７】
近年、装置群が双方向接続を介し互いに認証可能な新しいコンテンツ保護システムが導入されてきている。このようなシステムの例として、トムソンからのＳｍａｒｔＲｉｇｈｔや、デジタル・トランスミッション・ライセンシング・アドミニストレーション（ＤＴＬＡ）からのＤＴＣＰ（Ｄｉｇｉｔａｌ  Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｅｎｔ  Ｐｒｏｔｅｃｔｉｏｎ  ｈｔｔｐ：／／ｗｗｗ．ｄｔｃｐ．ｃｏｍ）があげられる。この認証に基づき、装置群は互いにトラスト（ｔｒｕｓｔ）し、これにより装置は保護されたコンテンツを交換可能となる。このトラストは、セキュアな実現を有するとテスト及び認証された装置のみに知られている秘密に基づく。秘密を知っているかどうか、認証プロトコル中にテストされる。これらのプロトコルに対する最善の解決策は、異なる２つの鍵のペアを利用する「公開鍵」暗号化を利用したものである。このとき、テスト対象となる秘密は当該ペアの秘密鍵であり、公開鍵はテスト結果を検証するのに利用可能である。さらに、公開鍵は、装置を参照するための一意的な識別子として利用することができる。公開鍵の正当性を保証し、鍵ペアが認証された装置の正当なペアであるかチェックするため、公開鍵は、すべての装置に対する公開／秘密鍵ペアの配布を管理する組織である認証局によりデジタル署名された証明書を伴う。シンプルな実現形態では、認証局の公開／秘密鍵ペアは、装置を実現したものにハードコード処理される。
【０００８】
典型的なセキュリティシナリオでは、システム内には複数の異なる装置が存在し、そのすべてが同一の改ざん耐性レベルにより実現されているとは限らない。従ってこのようなシステムは、個々の装置のハッキングに抵抗できるものであるべきである。攻撃者は、認証されたユーザ装置の秘密鍵を検出及び公開する可能性がある。いったん鍵が知られてしまうと、プロトコルが攻撃可能となり、コンテンツが接続やリンクから直接コピーされ、デジタルコンテンツの制御されない不法な格納、複製及び／または再配布が可能となってしまう。ハッカーはさらに、有効な装置の動作をコピーまたは模倣することが可能となる。また、ハッカーは装置自体をコピーすることも可能である。このように、同一の鍵を有する複数の装置が生成可能となる。
【０００９】
ハッキングや不正にコピーされた装置に対する抵抗力を向上させる重要な技術として、いわゆるハッキングされた装置の失効がある。失効とは、そのようなハッキングされた装置のトラストを撤回することを意味する。すべての装置が一意的な識別子を有する場合、攻撃された装置のみを失効により不可にすることができる。失効の効果としては、ネットワークの他の装置が失効された装置に対してその対応を変更するというものであるかもしれない。例えば、他の装置は失効された装置ともはや通信すること所望しないかもしれない。
【００１０】
装置は一意的な識別子によりアドレス指定することが可能である。さらに、他のエンティティもまた、一意的識別子によりアドレス指定されてもよく、任意的には失効されてもよい。
【００１１】
エンティティまたは装置の失効は、失効エンティティの識別子のリストであるいわゆる失効リストを用いることにより実現可能である。失効されたエンティティの識別子はさらに、失効識別子と呼ばれる。しばしば、失効識別子はタイムスタンプなどのメタデータを伴うかもしれない。他の装置のトラストを認証しようとする装置は、最新の失効リストを有する必要があり、当該他の装置の識別子がこのリストにあるかチェックする必要がある。失効リストは、１以上の認証局により発行及び／または更新可能である。いわゆる失効通知は、失効識別子に関する更新または新規情報を含む。失効リストと失効通知は、テレビ番組や配信サーバにより送信することができる。それらはまた、ＤＶＤディスクなどの記憶媒体に追加、またはネットワークを介し通信することもできる。ローカルネットワーク内では、それらはさらに配布可能である。さらなる配布は、接続された装置の識別子に関するローカルに利用可能な知識に基づく処理または選択ステップを含むものであってもよい。
【００１２】
失効リストの既知の実現形態の１つは、いわゆる失効識別子のブラックリストを利用するというものである。他の実現形態は、失効されていない識別子のホワイトリストや合成された手段を利用する。ブラックリストの効果は、エンティティがデフォルトでトラストされ、識別子がブラックリスト上にある場合のみ、トラストが失効されるということである。装置がブラックリストを必要とするときはいつでも、最新のブラックリストを要求するかもしれないが、大部分の場合、装置はリスト更新の最中の参照やローカル処理のため、ローカル失効リストを格納している。このことは、例えば、接続がハッカーの介入や割込みのため、サーバとの接続が利用可能でなかったり、信頼性が不十分であったり、ときどき利用可能でなくなったり（ワイヤレスモバイル装置など）、あるいは遅くなりすぎる場合でも、リストへのアクセスを可能にする。
【００１３】
失効リストは、初期的に大変小さいものであるが、潜在的には無制限に増大する可能性がある。従って、失効リストのＣＥ装置のストレージは、長期的に見ると問題があるかもしれない。
【００１４】
通常、失効されたエンティティのストレージはまず、失効リストのエンプティスペースを充填する。失効リストの利用可能なストレージがフルに使用され、さらに新たな失効通知を受信すると、オーバフローが発生する。
【００１５】
特許出願ＷＯ０１／１１８１９Ａ１は、失効リストを有する装置のオーバフローを処理する手順を記載している。それは、複数の失効識別子を有するローカル失効リストと、少なくとも１つの失効識別子を受け取る受信部と、複数の失効識別子の少なくとも１つの失効識別子を少なくとも１つの新しい失効識別子とランダムに交換する交換部とを有するシステムを記載している。当該手順の一特徴によると、交換部は失効リストの以前のエントリを受信した各失効リストとランダムに交換するよう構成される。真にランダムなものでなくても、ランダム置換技術を利用することにより、ある失効識別子がリストに存在する確率は、Ｆｉｒｓｔ−Ｉｎ−Ｆｉｒｓｔ−Ｏｕｔ、Ｎｅｗｅｓｔ−Ｉｎ−Ｏｌｄｅｓｔ−Ｏｕｔや他の従来の順序付けリスト管理技術などの従来方法より実質的に不確定なものとなる。従って、アドバーサリ（ａｄｖｅｒｓａｒｙ）は、制限されたサイズのローカル失効リストにより与えられる限定的なセキュリティを失敗させる単なる時間の経過に依存することはできない。
【００１６】
しかしながら、ハッカーは任意の大量の失効通知により装置を溢れさせようとするかもしれず、最終的には完全なリストをフラッシュすることになる。
【発明の開示】
【発明が解決しようとする課題】
【００１７】
本発明の課題は、装置が失効リストを格納する確定性をさらに低下させる方法を提供することである。
【課題を解決するための手段】
【００１８】
本課題は、ローカル失効リストの更新前に、受け取った新しい失効識別子を無視するか、あるいは受け取った新しい失効識別子によりローカル失効リストを更新するためのランダム判定を行うことを有する許可ステップをさらに有することを特徴とする本発明による方法により達成される。
【００１９】
新しい失効識別子のすべてが、すでに格納されている識別子の置換を自動的に導くものではない。これにより、ハッカーは装置においてすでに利用可能な失効リストをフラッシュすることが困難となる。
【００２０】
ローカル失効リストは、装置識別子などの１以上のエンティティの識別子を検証するのに利用可能である。
【００２１】
ランダム判定の確率は、検証プロセス中に収集された一意的識別子のリストと受け取った新しい失効識別子との間の比較結果により影響を受けるようにすることが可能である。
【００２２】
ランダム判定の確率は、受け取った新しい失効識別子、装置状態または現在のローカル失効リストの１以上の特性に基づくものとすることが可能である。
【００２３】
例えば、新しい通知の頻度が予想外に増大したとき、ハッカーの行動が疑われ、ランダム判定に利用される確率は、それに応じて変更することが可能である。装置が信頼できるサーバに接続されているとき、失効通知の信頼性はより高いものとなり、これにより当該確率は他の状態よりも高くなることが許可される。リストがまだフルでないとき、失効リストを更新するためのランダム判定に用いられる確率は、１００％ちょうどに、あるいはその近傍の値など異なって選択することが可能である。
【００２４】
ローカル失効リストのどの識別子が新しい識別子と置換されるべきかもまた、ランダムに選択可能である。
【００２５】
失効識別子が前の比較中にリストから検出されたと知られているとき、当該失効識別子を置換しないことが有益となりうる。
【００２６】
本発明のさらなる課題は、システムが失効リストを格納する確定性をさらに低減するシステムを提供することである。
【００２７】
本課題は、受け取った新しい失効識別子を無視するか、あるいは、受け取った新しい失効識別子によりローカル失効リストを更新するため、ランダム判定を行う許可装置をさらに有するシステムにより達成される。
【００２８】
本システムは、コンテンツマテリアルへのアクセスを制御するアクセス装置を有するようにしてもよい。アクセス装置は、自身の一意的識別子を有し、ローカル失効リストに対するアクセス装置自体の検証を可能にする。
【００２９】
本発明のさらなる課題は、装置が失効リストを格納する確定性をさらに低減する装置を提供することである。本発明の当該課題はさらに、新しい失効識別子を受け取ることに応答して、受け取った新しい失効識別子を無視するため、あるいは、受け取った新しい失効識別子によりローカル失効リストを更新するため、ランダム判定を行うよう構成されることを特徴とする装置により達成される。
【００３０】
本発明のさらなる課題は、システムがコンピュータプログラムを実行し、失効リストを格納する確定性をさらに低減するコンピュータプログラムを提供することである。本発明の当該課題はさらに、上述の方法を実現可能なコンピュータプログラムにより達成される。
【発明を実施するための最良の形態】
【００３１】
図面を通じて、同一の参照番号は、類似または対応する構成を示している。図面に示される構成の一部は、典型的には、ソフトウェアにより実現され、ソフトウェアモジュールやオブジェクトなどのソフトウェアエンティティを表す。
【００３２】
図１は、システム１００を概略的に示す。システム１００は、専用装置または装置群として実現可能である。必要な機能を実現するため、それは１以上の処理ユニットを有するかもしれない。
【００３３】
当該処理ユニットのためのデータ構造及びプログラム命令は、装置と一体化されてもよいし、ＣＤ−ＲＯＭなどの媒体１８１に格納及び／または配布されてもよい。パーソナルコンピュータまたはＰＤＡなどの汎用装置を用いて、本発明を含むプログラムを汎用するためのコンピュータプログラムを利用することにより本発明を利用することができる。
【００３４】
システム１００は、異なるサブシステム１０１と１０２を含む。
【００３５】
サブシステム１０１は、ローカル失効リストの処理に関するものであり、サブシステム１０２は、コンテンツマテリアルへのアクセスを制御することができる。このようなアクセス制御システム１０２は、異なる装置１０６、ローカルエリアネットワーク１０７、ＤＶＤディスク１０８などの物理的配布手段、あるいは衛星アンテナ１０９などの異なるソースから取得可能なコンテンツマテリアルを処理するアクセス装置１２０を有する。
【００３６】
コンテンツマテリアル１１０は、制御されたコンテンツマテリアルまたは制御されていないコンテンツマテリアルとすることができる。制御されていないコンテンツマテリアルは、著作権フリーなコンテンツ、古いメディアタイプからのコンテンツ、あるいはローカルに生成または提供されるコンテンツとすることができる。制御されたコンテンツマテリアルは、著作権保護された映画、電子書籍、レンタル映画、一回のみの映画などとすることができる。制御されたコンテンツマテリアルは可能な処理を指定するルールを伴うことが可能であり、実行可能な最大複製数やアクションの実行に必要な支払いなど、従来の制限をおそらく示すものである。不当な処理に対するさらなるプロテクションのため、コンテンツマテリアルは（部分的に）暗号化可能である。
【００３７】
サブシステム１０２により実行可能な処理は、レンダリング及びプロセッシングを含む。プロセッシングには、復号化、解読及び符号変換などだけでなく、ハードディスクなどの記憶媒体１２５を用いたコンテンツのアーカイブ処理、タイムシフト処理やエディティングなどのアクションが含まれる。プログラム命令を含むコンテンツは、１以上の専用または汎用処理ユニット１８０により処理可能である。これらのアクションは、アクセス可能なコンテンツ１３０を利用可能にする。このコンテンツは、テレビ画面１４０、音声スピーカー１４１や情報表示画面１４２などの出力装置上にレンダリングすることが可能である。当該コンテンツはまた、ＤＶＤ＋ＲＷディスク１４４などの物理キャリアに複製したり、あるいは他の装置１４３やネットワーク上に送信することも可能である。
【００３８】
制御されたコンテンツを保護するため、制御されたコンテンツを処理するネットワーク内の装置は、あるポリシー要求に従ってそのように実行するべきである。例えば、装置は、コンテンツマテリアルの通信前に、相互認証すべきである。このことは、認証されていない装置にコンテンツがリークすることを防ぐことを可能にする。一部のシステムはまた、トラストされていない装置からのデータを処理することを拒絶するかもしれない。以前に良好に認証された装置にのみコンテンツを配信することが重要である。このことは、アドバーサリが悪意ある装置を利用して承認されていないコピーを行うことが不可能となることを保証する。たとえば、承認されているメーカーのみが認証成功に必要な秘密を知っているため、あるいは信頼される第三者により発行された証明書が装置に与えられているため、装置は承認されているメーカーにより製造されている場合のみ認証成功することができる。
【００３９】
しかしながら、装置は、アドバーサリ（ａｄｖｅｒｓａｒｙ）によってハッキングまたは不正コピーされうる。これらハッキングされた装置を処理する既存の解決手段は、装置の失効である。一般に、装置の失効は、その機能の１以上を完全に不可にするか、あるいは抑制する。
【００４０】
例えば、CE装置の失効は装置が解読及び利用可能なデジタルコンテンツのタイプを制限するかもしれない。あるいは、失効によりCE装置の一部は複製などの特定の機能を受け取ったデジタルコンテンツに対してもはや実行しなくなる。
【００４１】
失効の通常の効果は、特定の装置が失効されていることを知っている他の装置が、例えば、失効された装置とこれ以上通信することを所望しないなど、失効された装置に対する対応を変更するということである。装置はまた、当該装置自体が失効されていることを通知されるかもしれない。当該装置が各部から構成されている場合、依然として従っている一部の部分はそれに従って各自の内部または外部動作を変更するかもしれない。装置はまた、その一部がより強い改ざん耐性を備え（例えば、変更不可である読出し専用メモリにその命令を格納することにより）プロセッサとソフトウェアを有するようにしてもよく、それによりこのようにセルフチェックが実現される。
【００４２】
すべての装置が一意的な識別子を有する場合、ちょうど１つの装置の失効が実行可能である。この識別子は、例えば、それの公開鍵だけでなく、それの公開鍵に関連付けされた（証明書を介し）他の一意的識別子とすることも可能である。
【００４３】
装置は、一意的識別子の範囲によってのみだけでなくアドレス指定可能である。一意的な識別子によりすべてのタイプのエンティティを特定することが可能である。従って、これら他のエンティティは、装置と同様に失効することも可能である。例えば、コンテンツ自体（２０１）は、例えば、図２に示されるようなテーブル２０２を用いて、各楽曲、テキストファイルまたは画像に対して一意的な識別子を搬送することが可能である。その後に、装置や他のエンティティの失効が、識別子の失効としてアドレス指定される。識別子自体は、失効識別子と呼ばれる。
【００４４】
識別子の失効は、いくつかの方法により実現可能である。二種類の技術は、いわゆるブラックリスト（失効識別子のリスト）、あるいはホワイトリスト（失効されていない識別子のリスト、または失効されていない識別子の範囲のリスト）を用いたものである。装置は、そのような失効リストを用いて、識別子が失効されたものであるか確認する。
【００４５】
失効リストは、必要とされるたびに完全にダウンロードされるか、あるいは一回ダウンロードされ、以降においては増分が更新されるとすることも可能である。失効識別子に関する新たな情報を含む失効通知と完全な失効リストが、コンテンツ用の通常の通信チャネルなど、電話接続などの専用線接続、あるいはインターネットなどの複数の手段を介し装置と通信可能である。
【００４６】
サブシステム１０１は、新たに受信した失効識別子１１２を有する失効通知または失効リスト１１１を受信可能な受信部１５０を示す。受信部１５０が新たに受信した失効識別子１１２を有する失効通知を受信すると、この新しい失効通知が無視または処理されるべきか許可装置１５５により決定される。処理対象となる各失効通知に対し、ローカル失効リスト１６５の位置が更新部１６０により決定される。
【００４７】
失効リスト１１１が受信されると、当該失効リスト全体を格納することが可能であるが、特にリストが利用可能なストレージより大きい場合には、当該リストから選択することも可能である。この選択は各失効通知と同様に、例えば失効リストの各失効識別子を許可装置１５５に供給することにより実行可能であるが、おそらく他のより効率的なアプローチもまた可能である。
【００４８】
失効識別子のブラックリストの処理がさらに、ローカル失効リストを維持するためのフロー図を示す図３を参照することにより説明される。
【００４９】
初期状態３０１では、ローカル失効リストが格納される。ステップ３０２において、新しい失効識別子が受け取られる。本発明は、新たに受信した各失効識別子に対して許可ステップ３１０を実行する。当該ステップでは、新たに受信した失効識別子が無視されるべきか、ローカル失効リストを更新するのに利用されるべきか決定される。許可ステップは、ランダム決定ステップ３０４を有する。ランダム決定プロセスに使用される確率が、ステップ３０３においてまず計算される。ランダム決定の結果に基づき、更新ステップ３０６または無視ステップ３０７が実行される。更新ステップ３０６は、新たに受信した失効識別子によりリストを更新する。図４において、当該ステップがさらに図示される。無視ステップ３０７は、新たに受信した失効識別子を無視する。
【００５０】
図４はさらに、更新ステップ３０６を図示及び詳述する。ステップ４０１は、新しい失効識別子がすでにローカル失効リストに存在するか確認する。この場合、ステップ４０２において必要に応じて、リストの失効識別子の情報がタイムスタンプや他のメタデータにより更新される。そうでない場合、４０３において、ローカル失効リストにフリーなスペースが利用可能であるかチェックされる。スペースが利用可能である場合、ステップ４０４において、フリーな場所が選択される。そうでない場合、ステップ４０５において、新しい失効識別子によって置換されるべきローカル失効リストのエントリが選択される。その後ステップ４０６において、新たに受信した失効識別子が選択された位置に格納される。
【００５１】
一意的識別子の確認は、図５に示されるフロー図を参照してさらに説明される。ステップ５０１において、確認される一意的識別子が、検証装置により受け取られる。ステップ５０３において、当該識別子をローカル失効リストから検索する。ステップ５０４において、一致するものが検出されたか判断される。検出されない場合、ステップ５０５において、一意的な識別子が失効されたと想定され、通知される。そうでない場合、ステップ５０７において、一意的な識別子が失効されたと通知される。任意的なステップ５０２と５０６が次の実施例においてさらに説明される。
【００５２】
リスト更新が行われているか否か決定するための追加的なランダム判定を用いることにより、米国特許WO０１／１１８１９に記載されている従来技術より、ローカル失効リストのコンテンツの外部オブザーバに対する予測可能性が減少する。ランダム判定を含む失効リスト処理はローカルに実行されるため、異なる装置は、異なるローカル状況におそらく適応した異なる対応を展開するようにしてもよい。本発明のさらなる効果は、判定のランダム性が外部通信から観察不可能であるということである。
【００５３】
第２実施例では、ステップ５０２において、検証されている一意的識別子が記憶される。さらに、本実施例の確率計算は、新たに受信した失効識別子と確認された一意的識別子のリストとの比較を伴う。一致が検出された場合、確率は増やされるべきである。確率の計算はまた、確認された一意的識別子のリスト上になかったとしても、装置の一意的識別子、それのエンティティ自体、それが通信する装置に関係するかもしれない。失効通知が確認または既知の装置またはエンティティの何れかの識別子に関するものであるとき、当該失効を無視しないことがおそらく賢明である。本実施例は、ローカル失効リストのコンテンツがローカルな状況に適応されるという効果を有する。
【００５４】
第３実施例では、ステップ４０５において、識別子の選択がランダムに、あるいは失効通知に含まれる情報または失効リストに含まれる情報に基づき行うことが可能である。
【００５５】
第４実施例では、ステップ５０６において、一致した失効識別子のインデックスが置換不可としてマーク付けされる。これにより、ステップ４０５において、当該インデックスの選択が回避される。本実施例は、確認を実行している装置の内部または近傍で実際に使用されている識別子がもはや置換されないという効果を有する。
【００５６】
第５実施例では、確率計算はローカル失効リストのコンテンツまたは状態に関するものである。当該確率は、例えば、まだ利用可能なフリースペースに依存するものであるかもしれない。従来技術によると、まず失効通知が失効リストの空いているスペースを充填するが、空いたスペースが小さくなるに従って減少する１に等しくない確率は、ローカル失効リストに利用可能なストレージのサイズをハッカーが決定する困難にする。当該確率は、置換不可とマーク付けされたリストのエントリ数に依存するものであってもよい。
【００５７】
第６実施例では、確率計算は、新たに受信した失効識別子の特性に関するものである。新たに受信した失効識別子が溢れ出ていることが検出されると、ハッカーのアクションを疑うことができ、このことは、確率を減少させる理由となりうる。
【００５８】
第７実施例では、確率計算は、装置状態に関するものである。例えば、装置が信頼できるソースに検証可能に接続されているとき、許可判定の確率は他の場合より高いものとなりうる。
【００５９】
上記アプローチは、許可判定の確率を変え、ハッカーの確率と予測可能性をさらに減少させるであろう。
【００６０】
上記実施例は、本発明を限定するものではなく、例示するためのものである。当業者は、添付された請求項の範囲から逸脱することなく、他の多数の実施例を構成することができるであろう。請求項において、カッコ内の参照符号は、請求項を限定するものとして解釈されるべきでない。他の可能性もある。ランダムな判定の代わりに、擬似ランダムプロセスや予測不可能性を生じさせる他の方法もまた利用可能である。上記説明において、「有する」という用語は他の要素またはステップを排除するものではなく、「ある」という用語は複数を排除するものでない。単一プロセッサ、適切にプログラムされたコンピュータ、複数の要素を有するハードウェア、あるいは他のユニットもまた、請求項に記載される複数の手段の機能を実現するかもしれない。ある手段が互いに異なる請求項に記載されているという事実は、これらの手段の組み合わせが効果的に利用できないということを示すものではない。
【図面の簡単な説明】
【００６１】
【図１】図１は、本発明によるコンテンツマテリアルへのアクセスを制御するシステムを概略的に示す。
【図２】図２は、コンテンツを識別する一意的識別子の使用を示す。
【図３】図３は、本発明によるローカル失効リストを更新するための一例となるフロー図を示す。
【図４】図４は、本発明によるローカル失効リストを更新するための一例となるフロー図を示す。
【図５】図５は、ローカル失効リストに対する一意的識別子の検証のための一例となるフロー図を示す。
【図１】
2006525581.tif 000003
【図２】
2006525581.tif 000004
【図３】
2006525581.tif 000005
【図４】
2006525581.tif 000006
【図５】
2006525581.tif 000007
【国際調査報告】
2006525581.tif 000008
2006525581.tif 000009
2006525581.tif 000010