(57)【要約】インターフェース上でのコンテンツのコピーを防止するように、安全認証されたチャネル（ＳＡＣ）が構築されなければならない。このことは、装置間の認証を必要とする。本発明は、第１の装置（例えば、ＰＣ）がチャレンジ／レスポンスプロトコルを使用して第２の装置（例えば、周辺装置）に対して自身を証明し、第２の装置がゼロ知識プロトコルを使用して自身を証明する認証プロトコルであって、好ましくは、前記ゼロ知識プロトコルの秘密がスクランブルされ鍵ブロックに暗号的に結合されている、認証プロトコルを提供する。
2006527955.tif 000002
【特許請求の範囲】
【請求項１】
２つの装置、即ち装置Ａと装置Ｂとの間で安全認証されたチャネルを確立する方法であって、前記装置Ａは、チャレンジ／レスポンス公開鍵暗号法を使用して前記装置Ｂに自己を証明し、前記装置Ｂは、ゼロ知識プロトコルを使用して前記装置Ａに自己を証明する方法。
【請求項２】
前記ゼロ知識プロトコルはGuillou-Quisquaterゼロ知識プロトコルである、請求項１に記載の方法。
【請求項３】
前記ゼロ知識プロトコルは、Faiat-Shamirゼロ知識プロトコルである、請求項１に記載の方法。
【請求項４】
前記ゼロ知識プロトコルは、Schnorrゼロ知識プロトコルである、請求項１に記載の方法。
【請求項５】
前記装置Ｂは、前記ゼロ知識プロトコルと放送暗号システムとの組み合わせを使用して装置Ａに自己を証明し、前記ゼロ知識プロトコルにおいて使用される秘密は、該秘密が、放送暗号鍵ブロックを成功裏に処理することができるものによってのみ得られることができるように、スクランブルをかけられている、請求項１に記載の方法。
【請求項６】
前記ゼロ知識プロトコルにおいて使用される前記秘密は、放送暗号システム鍵ブロックのルート鍵Ｋｒｏｏｔによって暗号化される、請求項５に記載の方法。
【請求項７】
認証を可能にするルート鍵Ｋｒｏｏｔ，１を備える１つの鍵ブロックとコンテンツ暗号化のための他のルート鍵Ｋｒｏｏｔ，２を備える他の鍵ブロックとが存在する、請求項５の記載の方法。
【請求項８】
ゼロ知識の対｛Ｊ，ｓ｝が全ての鍵ブロックに対して異なっている、請求項１ないし５の何れか一項に記載の方法。
【請求項９】
前記装置Ｂは、バス鍵を生成し、該バス鍵を前記装置Ａに送信する請求項１ないし５の何れか一項に記載の方法。
【請求項１０】
前記装置Ａは、該装置Ａが、前記装置Ｂが前記秘密のスクランブルを解除することができることを確認することができる場合にのみ、前記バス鍵を受理する、請求項５に従属する請求項９に記載の方法。
【請求項１１】
第１装置Ａと第２装置Ｂとを有するシステムであって、前記第１装置Ａが、チャレンジ／レスポンス公開鍵暗号法を使用して前記第２装置Ｂに自己を証明するように配されており、前記第２装置Ｂは、ゼロ知識プロトコルを使用して前記第１装置Ａに自己を証明するように配されているシステム。
【請求項１２】
チャレンジ／レスポンス公開鍵暗号法を使用して自身を第２装置Ｂに自己を証明するように配されており、ゼロ知識プロトコルを使用して前記第２装置Ｂを認証するように配されている、第１装置Ａ。
【請求項１３】
ゼロ知識プロトコルを使用して自身を第１装置Ａに自己を証明するように配されており、チャレンジ／レスポンス公開鍵暗号法を使用して前記第１装置Ａを認証するように配されている、第２装置Ｂ。
【請求項１４】
プログラム可能な装置が請求項１２に記載の第１装置として及び／又は請求項１３に記載の第２装置として動作することを可能にする、コードを有しているコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
デジタル媒体は、様々な種類のデータ情報用に普及した担体になっている。例えば、コンピュータソフトウェア及び音楽情報は、光コンパクトディスク（ＣＤ）上で広く利用可能であり、最近は、ＤＶＤも頒布シェアが増大している。ＣＤ及びＤＶＤは、データ、ソフトウェア、画像及び音声のデジタル記録に関して共通規格を利用している。記録可能なディスク及び固体メモリ等のような付加的な媒体は、ソフトウェア及びデータ頒布の市場において、著しく増大している。
【０００２】
デジタルフォーマットはアナログフォーマットと比較して著しく高品質であるため、該デジタルフォーマットは不正にコピー及び不正コピーがかなりされやすく、更に、デジタルフォーマットは、素早く、かつ、容易にコピーできる。デジタルデータストリームのコピーは、圧縮されている、圧縮されていない、暗号化されている、又は暗号化されていないに係らず、典型的には、データ内の品質の感知され得る低下にはつながらない。従って、デジタルコピーは、多世代コピーに関して本質的に制限されていない。他方で、順次のコピー毎に、信号対雑音比の低下を伴うアナログデータは、多世代及び大量コピーに関して自然に制限されている。
【０００３】
近年のデジタルフォーマットの人気の到来により、多数のコピー保護及びＤＲＭのシステム及び方法がもたらされている。これらのシステム及び方法は、暗号化、透かし及び権利記述（例えば、データへのアクセス及びデータのコピーに関する規則）のような技術を使用している。
【背景技術】
【０００４】
デジタルデータの形態のコンテンツを保護する１つの仕方は、
・受信装置は、法令を遵守している（ｃｏｍｐｌｉａｎｔ）装置であると認証されており、かつ、
・コンテンツのユーザは、前記コンテンツを他の装置に転送する（移動する及び／又はコピーする）権利を有している、
場合にのみ、コンテンツが装置間で転送されることを保証することである。コンテンツの転送が許可されている場合、これは、典型的には、前記コンテンツが、ＣＤ−ＲＯＭドライブとパーソナルコンピュータ（ホスト）との間のバスのような、転送チャネルから便利なフォーマットで違法的にキャプチャされることができないことを確実にするように、暗号化された仕方で実施される。
【０００５】
装置の認証と暗号化されたコンテンツの転送とを実施するための技術が利用可能であり、安全認証チャネル（ＳＡＣ）と呼ばれている。多くの場合、ＳＡＣは、公開鍵暗号法に基づく認証及び鍵交換（ＡＫＥ）プロトコルを使用して設定されている。国際規格ISO／IEC 11770-3及びISO／IEC 97962のような規格、ＲＳＡのような公開鍵アルゴリズム、及びＳＨＡ−１のようなハッシュアルゴリズムが、しばしば使用されている。
【０００６】
公開鍵暗号法は、かなりの計算能力を要する。パーソナルコンピュータのようなホストの場合、これは、通常、問題ではない。しかしながら、ＣＤ−ＲＯＭドライブ、ハンドヘルドコンピュータ又は移動電話のような周辺装置の場合、リソースは、価格面で見合わない（at a premium）。一般的に、装置は、公開鍵システムの私有鍵演算を許容可能な速度において実施するために専用ハードウェアを必要とする。他方、公開鍵演算は専用ハードウェアなしで実施されることができる。公開鍵暗号システムの私有鍵演算は、通常、ｇｘ  ｍｏｄ  Ｎの形態の計算であって、ここで、ｘ、ｇ及びＮは、典型的には１，０２４ビット数である。他方で、公開鍵演算は、同じ形態であるが、ここで、ｘは、小さい値、典型的には３又は２１６＋１に制限されている。これにより、公開鍵演算は、私有鍵演算よりも速く実行される。
【０００７】
ホストと装置との間のＳＡＣは、発行者がコンテンツをエンドユーザに配給するためのチェーンの一部に過ぎない。しかしながら、システム安全性の分析は、配給チェーン全体を考慮しなくてはならない。図１は、本明細書において検討されている模範的な配給チェーンを示している。左から右に、前記配給チェーンは、発行者１０１と、（通常、予め印刷されている）光ディスク１０２と光ディスクプレーヤ１０３とホスト１０４と光ディスクレコーダ１０５と第２ディスク１０６とから構成されている。この配給チェーンは、発行されているディスクをコピーすることが、所定状況下で許可され得ることを考慮に入れている。隣接している参加者（participants）の間の通信チャネル（実線矢印で示されている）は、単方向又は双方向のいずれであっても良い。破線矢印は、隣接している参加者は、コンテンツが渡される前に、どのように互いを認証するかを示している。発行者１０１及びプレーヤ１０２は、単方向の放送暗号化を使用している。レコーダ１０５も同様である。プレーヤ１０３、ホスト１０４及びレコーダ１０５は、双方向ＳＡＣを使用している。
【０００８】
前記配給チェーン全体に渡って、コンテンツは、暗号化された状態で転送されている。信頼された参加者は、コンテンツと共に解読鍵を受け取る。参加者は、発行者又は他の信頼された参加者のいずれかが該参加者を認証することができる場合、信用される。信用された参加者は、暗号化されたコンテンツを使用することができる前に、当該チェーン内の先行者を認証しなくてはならないことに留意されたい。図１において、例えば、プレーヤ及びホスト、並びにホスト及びレコーダが、コンテンツを安全に転送するためにＳＡＣを使用している。前記ＳＡＣを確立するように、前記プレーヤ及び前記ホスト、並びに前記ホスト及び前記レコーダは、互いを認証している。
【０００９】
一般的に、共通の秘密に基づいていない３種類の認証プロトコル、即ち：
１．双方向通信チャネルによってのみ支持されているSapphire ＳＡＣ確立プロトコルのような、チャレンジ／レスポンス認証、
２．双方向チャネル上でのみ支持されている、Fiat‐Shamir、Guillou-Quisquater及びSchnorrによるもののような、ゼロ知識プロトコル、並びに
３．単方向及び双方向チャネルの両方において働く放送暗号法
がある。
【００１０】
放送暗号化プロトコルにおいて、認証は、通常、コンテンツ解読鍵の転送と密接に関連付けられている。この目的のため、各参加者は、暗号鍵の固有の集合を有している。ここで、これらの鍵は、秘密鍵と称される。個々の秘密鍵は、多くの参加者の前記集合内に含まれることができる。発行者は、コンテンツ解読鍵を含んでいるメッセージを作成する。このメッセージは、全ての参加者のうちの部分集合のみが、前記コンテンツの鍵を解読することができるような態様で、前記秘密鍵を使用して暗号化されている。前記コンテンツの鍵を解読することができる参加者は、黙示的に認証されている。従って、前記部分集合内に入っていない参加者は、前記コンテンツの鍵を解読することができず、無効にされる。
【００１１】
例えば、発行者からプレーヤへの単方向チャネルの場合、暗号鍵の階層ツリーに基づく放送暗号化技術を使用することができる。放送されるメッセージは、ＥＫＢと称される。ＥＫＢ内に含まれている解読鍵は、ルート鍵と称される。詳細については、
・D．M．Wallner, E．J．Harder，及び R．C． Ageeの 「Key Management for Multicast: Issues and Architectures」 Request For Comments 2627（１９９９年６月）
・C．K． Wong, M. Gouda及び S. Lamの「Secure Group Communications Using Key Graphs」 Proceedings SIG-COMM 1998, ACM Press, New York, pp. 68-79.
を参照されたい。
【００１２】
以下で、これらの３種類の認証、及びこれらの有利な点／不利な点を議論する。
【００１３】
＜＜公開鍵プロトコル＞＞
以下の表記法は、本明細書内で準拠される。
・Ｐｘ  ⇒  Ｘに属する公開鍵
・Ｓｘ  ⇒  Ｘに属する私有鍵
・Ｃ＝Ｅ［Ｋ，Ｍ］  ⇒  暗号文Ｃは、鍵ＫによるメッセージＭの暗号化の結果である
・Ｍ’＝Ｄ［Ｋ，Ｃ］  ⇒  プレーンテキストＭ’は、鍵ＫによるＣの解読の結果である
・ＣｅｒｔＡ＝Ｓｉｇｎ［ＳＢ，Ａ］  ⇒  証明書ＣｅｒｔＡは、私有鍵ＳＢによるメッセージＡへの署名の結果である
【００１４】
＜公開鍵プロトコルに基づくチャレンジ／レスポンス＞
チャレンジ／レスポンス公開鍵プロトコルにおいて、ユーザＡ（装置であっても良い）は、彼自身／彼女自身をユーザＢ（装置であっても良い）に証明したいと願っている。この目的のために、Ａは、「使用許諾当局（Licensing Authority：ＬＡ）」から、
・公開―私有鍵の対｛ＰＡ，ＳＡ｝（勿論、ＬＡは、計算が行われる有限体（finite-field）を規定するモジュールも選択する。簡潔さのため、このパラメータを参照することを省略する。公開鍵ＰＡは、実際にはタプル｛ＰＡ，Ｎ｝である。）
・証明書ＣｅｒｔＡ＝Ｓｉｇｎ［ＳＬＡ，Ａ‖ＰＡ］（ここで、ＳＬＡは、ＬＡの私有鍵である。）
を受け取っている。全ユーザ（Ａ及びＢ）は、前記使用許諾当局の公開鍵ＰＬＡを受け取る。
前記のようなプロトコルは、図２において概略が示されている。これは、概ね以下のように働く。
１．Ａは、自身の識別子（ここでは、シリアル番号Ａ）と自身の公開鍵ＰＡとＬＡからの自身の証明書とをＢに供給することにより、Ｂに対して自身を識別化する。
２．Ｂは、前記ＬＡからの公開鍵ＰＬＡ使用して、前記公開鍵と前記証明書からのＡの同一性とを照合する。必要であれば、Ｂは、Ａ及びＰＡが無効にされていないかをチェックする。即ち、これらがホワイトリスト上に掲載されているか、又はブラックリスト上に掲載されていないかをチェックする。真である場合、Ｂは、乱数ｒを発生することにより進行し、該乱数ｒをＡに送信する。
３．Ａは、自身の私有鍵ＳＡによって、ｒを証明書Ｃｅｒｔｒ内に署名（暗号化）することにより応答し、結果をＢに返す。
４．Ａの公開鍵ＰＡを使用して、Ｂは、前記証明書の中身が、自身がステップ２で送信した数ｒと同一であることを確認する。正しい場合、Ａは、自身が、公開鍵ＰＡに属する前記秘密鍵を有していること、即ち自身がＡであることを証明している。
ステップ１は、ステップ３まで延期されることができ、この結果、２つのパス（pass）が必要とされるのみである。相互認証を達成するために、前記プロトコルは、逆にされた前記ステップを実施するエンティティによって繰り返されることができる。前記ステップは交換されることもでき、例えば、Ａが自身の識別子をＢに供給する第１ステップ１の場合、Ｂが自身の識別子をＡに供給するステップ１となり、他のステップに関しても同様である。
このプロトコルの変形は、Ｂが、Ａの公開鍵によって暗号化されている乱数ｒを送信するものである。次いで、Ａは、受け取られた前記乱数ｒを解読し、これをＢに返すことによって、自身の秘密鍵の知識を実証する。
認証の後、共通鍵が確立される必要があり、このことは様々な仕方で行われることができる。Ａは、秘密の乱数ｓを選択し、該乱数ｓをＰＢによって暗号化し、これをＢに転送する。Ｂは、これをＳＢによってｓに解読することができ、両方の参加者が、ｓを共通鍵として使用することができる。
最低限、前記プロトコルは、両方の参加者からの１つの私有鍵演算を必要とし、ことによると、厳密なバスキー（bus-key）確立プロトコルに依存して、２つ以上の私有鍵演算必要とすることは明白である。
【００１５】
＜公開鍵プロトコルに基づくゼロ知識（Guillou-Quisquater）＞
公開鍵プロトコルに基づくGuillou-Quisquater（ＧＱ）において、ユーザＡは、彼／彼女自身をユーザＢに証明したいと願っている。この目的のため、Ａは、使用許諾当局（ＬＡ）から
・公開―秘密鍵の対｛ＪＡ，ｓＡ｝（ＬＡは、公開指数ν、及び計算が行われる有限体を規定するモジュールＮも選択する。簡潔さのため、このパラメータを更に参照することを省略する。）
・証明書ＣｅｒｔＡ＝Ｓｉｇｎ［ＳＬＡ，Ａ‖ＪＡ］（ここで、ＳＬＡは、ＬＡの私有鍵である。）
を受け取っている。全ユーザ（Ａ及びＢ）は、
・使用許諾当局ＬＡの公開鍵ＰＬＡ
・ν、前記公開指数及び安全パラメータ。νは、典型的には２１６又は２２０。
を受け取る。
前記のようなプロトコルは、図３内に概略が示されている。これは、以下のように働く。
１．Ａはｒ＜Ｎである乱数ｒを発生し、Ｔ＝ｒν  ｍｏｄ  Ｎを計算する。Ａは、自身の識別子（ここでは、シリアル番号Ａ）と自身の公開鍵ＪＡとＬＡからの自身の証明書とＴとをＢに供給することにより、Ｂに対して自身を識別化する。
２．Ｂは、ＬＡからの公開鍵ＰＬＡ使用して、前記公開鍵と前記証明書からのＡの同一性とを照合する。必要であれば、Ｂは、Ａ及びＪＡが無効にされていないかをチェックする。即ち、これらがホワイトリスト上に掲載されているか、又はブラックリスト上に掲載されていないかをチェックする。真である場合、Ｂは、｛１，…，ν−１｝から乱数ｄを発生することにより進行し、該乱数ｄをＡに送信する。
３．Ａは、Ｄ＝ｒ・（ｓＡ）ｄ  ｍｏｄ  Ｎを構成することによって応答し、結果をＢに返す。
４．Ａの公開鍵ＪＡを使用して、Ｂは、（ＪＡ）ｄ・（Ｄ）ν＝Ｔ  ｍｏｄ  Ｎであることを確認する。正しい場合、Ａは、自身が確率１：νでｓＡを知っていること、即ち、高い可能性で自身がＡであることを証明している。
相互認証を達成するために、前記プロトコルは、逆にされた前記ステップを実施するエンティティによって繰り返されることができる。前記ステップは交換されることもでき、例えば、Ａが自身の識別子をＢに供給する第１ステップ１の場合、Ｂが自身の識別子をＡに供給するステップ１となり、他のステップに関しても同様である。このプロトコルの確認は、（Feige-）Faiat-Shamir及びSchnorrのゼロ知識プロトコルである。
このプロトコルは、高価である指数計算が常に公開鍵演算と同等の比較的低いべき乗（ｐｏｗｅｒ）（１００桁でなく、３ないし５桁）を含んでいるので、チャレンジ−レスポンス暗号法よりもはるかに安価である。私有鍵演算とは異なり、鍵をこのプロトコルに基づいて共有することができず、Ａ及びＢは、結局、秘密を共有することはない。
Guillou-Quisquaterプロトコルは、米国特許第５，１４０，６３４号公報（出願人整理番号  ＰＨＱ０８７０３０）に詳細に記載されている。
【００１６】
＜＜放送ベースのプロトコル＞＞
放送ベースのプロトコルにおいても、ユーザＡは、彼自身／彼女自身を他のユーザＢに証明したいと望んでいる。この目的のために、ＬＡは、ユーザＡに、
・装置鍵の集合｛ＫＡ１，…，ＫＡｎ｝（ここで、該集合はＡに固有である）を供給し、
ユーザＢに、
・装置鍵の他の集合｛ＫＢ１，…，ＫＢｎ｝（ここで、該集合はＢに固有である）
を供給する。
ＬＡは、両方のユーザに、“ＭＫＢ”（ＣＰＲＭ／ＣＰＰＭ）、“ＥＫＢ”（Sapphire）、“ＲＫＢ”（ＢＤ−ＲＥ  ＣＰＳ）、“ＫＭＢ”（ｘＣＰ）のような様々な名の下で知られている所謂鍵ブロックを頒布する。以下、前記鍵ブロックをＥＫＢと称する。ＥＫＢは、例えば、光媒体上で頒布される又はインターネットを介して頒布される。これは、無効にされていない装置が、この鍵ブロックからルート（root）鍵を抽出することができるような仕方で構成され、該鍵ブロックは、これらの装置の全てに対して同一である。無効にされた装置は、これらの（無効にされた）装置鍵を使用しても無意味でしかない。
前記プロトコルの説明のために、図４を参照する。これは、以下のように働く。
１．Ａ及びＢの両方は、これらそれぞれの装置鍵によってＥＫＢ内にエンコードされた秘密Ｋｒｏｏｔを計算する。前記装置鍵が無効にされていない場合、Ａ及びＢは、両方Ｋｒｏｏｔを得る。Ｂが乱数ｒを発生し、該乱数ｒをＡに送信する。
２．Ａは、受け取られた前記乱数を、ＥＫＢから抽出された前記秘密によって暗号化し、結果ｓをＢに返す。
３．Ｂは、ｓを解読し、この結果がｒであるかを確認する。
相互認証を達成するために、前記プロトコルは、逆にされた前記ステップを実施するエンティティによって繰り返されることができる。前記ステップは交換されることもでき、例えば、Ａが自身の識別子をＢに供給する第１ステップ１の場合、Ｂが自身の識別子をＡに供給するステップ１となり、他のステップに関しても同様である。
Ｂは、Ａが自身が請求している相手であることを確認しているのではなく、ＡがＫｒｏｏｔを知っている、即ち、Ａは、ＬＡによって無効にされていないことのみを確認していることに留意されたい。
認証に基づく放送暗号化は、費用効率の高い対称暗号法のみを必要とするので、非常に安価であり、かつ、速い。しかしながら、ＢがＰＣホストのソフトウェアである場合、前記プロトコルは、潜行性攻撃に対して脆弱である。前節とは対照的に、Ａの同一性をチェックするために、ＰＣソフトウェアも、Ｋｒｏｏｔを知らなければならないことに留意されたい。現在、ソフトウェアはしばしばハッキングされており、このことは、Ｋｒｏｏｔが該ソフトウェアから抽出され、ｗｅｂサイト上に発行され得ることを意味し、ハッカーが上手く認証するように設定することを可能にしている。このようなソフトウェアは、前記攻撃において装置鍵が発行されないので、無効にされがたい。
幾つかの装置がハッキングされ、該装置の装置鍵が取得された後、ハッカーは、自身の（新しい）ＥＫＢの作成を開始することができ、従って、一旦無効にされた装置を、無効にされていない装置にする。これに対抗するために、ＥＫＢは、ＬＡの私有鍵によってしばしば署名されており、この結果、タンパリングが、即座に検出されることができる。
【発明の開示】
【発明が解決しようとする課題】
【００１７】
本発明の目的は、安全認証されたチャネルを確立する方法であって、公開鍵認証（高コスト）、ＥＫＢ（ホストにおけるＫｒｏｏｔの漏出）及びゼロ知識（共有されてない秘密）の不利な点を回避する方法を導入することにある。
【課題を解決するための手段】
【００１８】
本発明によれば、第１装置（好ましくは、周辺装置）は、公開鍵プロトコルを使用して第２装置（好ましくは、ホストコンピュータ）を認証する。しかしながら、前記第２装置は、Guillou-Quisquaterのようなゼロ知識プロトコルを使用して前記第１装置を認証する。
【発明を実施するための最良の形態】
【００１９】
図５は、ホストコンピュータＨと周辺装置Ｐとの間の認証を例として示すことにより、本発明の好適実施例を模式的に示している。この実施例の利点は、前記ホストコンピュータが、秘密鍵の集合にアクセスする必要がないことである。その代わり、前記ホストコンピュータは、前記周辺装置が、ＥＫＢ（Ｋｒｏｏｔの知識）を、Guillou-Quisquaterゼロ知識プロトコルを使用して復号することができることを確認する。実際に、前記周辺装置は、ＥＫＢ内にＫｒｏｏｔによって暗号化されて記憶されているＧＱ私有鍵を解読することができるので、Ｋｒｏｏｔの知識を証明する。従って、前記周辺装置が、このプロトコルに従って実施しなければならない演算は、Sapphireの公開鍵プロトコルの公開鍵演算にほぼ等しい計算能力を必要とする。
【００２０】
この実施例に従うプロトコルは、５つのステップ：
１．第１ステップにおいて、前記周辺装置は、前記ホストコンピュータに乱数ｓ及びＥＫＢ（ＥＫＢｄｅｖｉｃｅ）を送信する。前記周辺装置は、例えば、光ディスクからＥＫＢｄｅｖｉｃｅを得て、自身がこのＥＫＢを復号することができることを主張する。
２．第２ステップにおいて、前記ホストコンピュータは、前記周辺装置に、自身の証明書Ｃｅｒｔｈｏｓｔと、ｓの署名されたコピーと、（オプション的に）ＥＫＢ（ＥＫＢｈｏｓｔ）とを送信する。前記証明書は、特にホストの公開鍵を含んでいる。前記ホストコンピュータは、ｓの前記署名されたコピーを発生するのに、自身の私有鍵を使用する。前記ホストコンピュータは、該ホストコンピュータが、ＥＫＢｄｅｖｉｃｅよりも最近に発行されたＥＫＢを復号することができる前記周辺装置を必要とする場合、ＥＫＢｈｏｓｔを含むことができる。受信した際に、前記周辺装置は、前記ホストの証明書が受理可能であるかどうかを検証する。このことは、前記周辺装置が、前記証明書が信頼された当局によって署名されているものであることを確認することを意味する。更に、前記周辺装置は、前記証明書が無効にされていないこと（即ちこれは、証明書取消リスト上に掲載されていないこと）を、又は代替的には、前記証明書が明示的に認証されているか（即ち、証明書認証リスト上に掲載されていること）を検証する。前記認証が受理可能である場合、前記周辺装置は、前記プロトコルを中止する。そうでない場合、前記ホストコンピュータは、認証されている。
３．第３ステップにおいて、前記周辺装置は、１…Ｎ−１の範囲内で乱数ｒを発生し、前記ホストコンピュータに値Ｔ＝ｒν  ｍｏｄ  ｎを送信する。ここでνは指数であり、Ｎは、ＥＫＢｄｅｖｉｃｅ又はＥＫＢｈｏｓｔのいずれか（これら２つのうちのどちらでも、最も最近に発行されたもの）に含まれている公開Guillou-Quisquater「公開鍵」のモジュールである。
４．第４ステップにおいて、前記ホストコンピュータは、乱数ｄを０…ν−１の範囲内で発生し、該乱数を前記装置に送信する。
５．第５ステップにおいて、前記周辺装置は、ＥＫＢの妥当性を検証し、自身の装置鍵によってＫｒｏｏｔを計算し、Ｋｒｏｏｔを使用して、前記周辺装置は、（同様にＥＫＢ内の）暗号化されたｓを解読し、プレーンテキストｓを得ることができる。前記周辺装置は、次いで、数Ｄ＝ｒ・ｓｄ  ｍｏｄ  Ｎを計算し、バス鍵Ｋｂｕｓを発生し、ホストの公開鍵を使用して暗号化されているＤ‖Ｋｂｕｓを前記ホストコンピュータに送信する。ここで、ｓは、ＥＫＢ内に含まれているGuillou-Quisquaterの「私有鍵」である。ｓは、前記ルート鍵を使用して暗号化されており、これは、前記ＥＫＢを復号することができる周辺装置のみが、ｓにアクセスすることができることを示している。前記バス鍵を受理する前に、前記ホストコンピュータは、Ｊｄ・Ｄν  ｍｏｄ  Ｎ＝Ｔであることを検証する。ここで、Ｊは、前記ＥＫＢ内に含まれているGuillou-Quisquaterの「公開鍵」の一部である。前記保証が、不合格である場合、前記ホストコンピュータは、前記プロトコルを中止する。
【００２１】
このプロトコルの特性は、前記ホストコンピュータは一義的に識別されるが、前記周辺装置は一義的に識別されないことである。即ち、前記ホストコンピュータは、自身が、認証された周辺装置と通信していることのみを知っており、自身が通信している周辺装置がどれであるかを知らない。
【００２２】
オプション的には、このプロトコルの効率は、Ｐ．Ｔｕｙｌｓ及びＢ．Ｍｕｒｒａｙによる英国特許出願第０２２８７６０．５号（出願人整理番号  ＰＨＮＬ０２１３４３）の教えを利用することによって、更に向上されることができる。
【００２３】
提案されているプロトコルを最良にサポートするためには、ＥＫＢフォーマットが変形されなければならないか、又は付加的なデータ構造が規定されなければならないかのいずれかである。図６は、第１オプション、即ちゼロ知識データ構造と組み合わされたＥＫＢフォーマットを示している。基本的には、前記ゼロ知識データ構造は、ＥＫＢ確認データフィールドを含んでおり、該ＥＫＢ確認データフィールドは、関連するＥＫＢに関係付けられている。このフィールドは、前記ＥＫＢ内の認証データフィールドの機能に取って代わるものであることに留意されたい。他の２つのフィールドは、Guillou-Quisquaterの「公開鍵」及び「私有鍵」を含んでいる。前記「私有鍵」は、前記ＥＫＢの前記ルート鍵を使用して暗号化されている。
【００２４】
図７は、第２オプションによる強調されたＥＫＢのフォーマットを示している。ここで、前記「公開鍵」が、鍵チェックデータフィールドに付加されており、該鍵チェックデータフィールドは、前記ルート鍵を使用して暗号化されている。「私有鍵」は、前記認証データフィールドに付加されており、該認証データフィールドは、ＴＴＰによって署名されている。
【００２５】
勿論、当該装置は、パーソナルコンピュータ及びＣＤ−ＲＯＭドライブでなくても良い。他の装置を認証する及び／又は自身を前記他の装置に対して証明することを必要としているいかなる装置も、本発明から利益を得ることができる。コンテンツは、何らかの媒体又は何らかの伝達チャネル上で頒布されることができる。例えば、前記コンテンツは、フラッシュメディア上又はＵＳＢケーブルを介して、頒布されることができる。
【００２６】
ＳＡＣを越えてコンテンツを送信又は受信している装置は、送信又は受信が許可されているかどうかを見るためのチェックを実施することができる。例えば、前記コンテンツは、コピーが行われることができないことを示す透かしを有していても良い。このような場合、送信又は受信は、ＳＡＣが成功裏に構築された場合でさえも、ブロックされなければならない。
【００２７】
当該装置は、より自由（liberal）なコピーの規則が適用されることができる所謂認証されたドメインの一部であることができる。認証されたドメインにおいても、ＳＡＣは、該ドメインのメンバ間での安全なコンテンツの転送を確立するために共通に使用されることができる。例えば、国際特許出願公開第０３／０４７２０４号パンフレット（出願人整理番号  ＰＨＮＬ０１０８８０）と、国際特許出願公開第０３／０９８９３１号パンフレット（出願人整理番号  ＰＨＮＬ０２０４５５）とを参照されたい。
【００２８】
上述の実施例は、本発明を限定するというよりも説明しているものであり、当業者は、添付請求項の範囲から逸脱することなく多くの代替的な実施例を設計することができる。本発明は、好ましくは、それぞれの装置上で走るソフトウェアであって、本発明によるプロトコルを実行するソフトウェアを使用して実施される。このため、当該装置は、前記ソフトウェアを記憶するためのプロセッサ又はメモリを有していても良い。例えば、暗号鍵を記憶するための安全ハードウェアが、使用されるのが好ましい。スマートカードは、プロセッサ及びメモリのようなものを備えていても良い。この場合、前記スマートカードは装置内に挿入され、該装置が本発明を使用することを可能にすることができる。勿論、本発明は、特別な回路、又は専用の回路及びソフトウェアの組み合わせを使用して実施されることもできる。
【００２９】
添付請求項において、括弧内のいかなる符号も請求項を制限するようにみなしてはならない。「有する」という語は、請求項に記載されていない構成要素又はステップの存在を排除するものではない。単数形の構成要素は、複数のこのような構成要素を排除するものではない。本発明は、幾つか別個の構成要素を有するハードウェアによって、及び適当にプログラムされたコンピュータによって実施化することができる。
【００３０】
幾つかの手段を列挙しているシステム請求項において、これらの手段の幾つかは１つの同じハードウェアの項目によって具現化されることができる。特定の手段が、相互に異なる従属請求項において引用されているという単なる事実は、これらの手段の組み合わせが有利になるように使用されることができないと示すものではない。
【図面の簡単な説明】
【００３１】
【図１】本明細書において検討されている模範的な配給チェーンを示している。
【図２】チャレンジ／レスポンス公開鍵プロトコルの概略を示している。
【図３】公開鍵プロトコルに基づくゼロ知識のプロトコルの概略を示している。
【図４】放送ベースのプロトコルを説明している。
【図５】ホストコンピュータＨと周辺装置Ｐとの間の認証を例として示すことにより、本発明の好適実施例を模式的に示している。
【図６】第１オプション、即ちゼロ知識データ構造と組み合わされたＥＫＢフォーマットを示している。
【図７】第２オプションによる強調されたＥＫＢのフォーマットを示している。
【図１】
2006527955.tif 000003
【図２】
2006527955.tif 000004
【図３】
2006527955.tif 000005
【図４】
2006527955.tif 000006
【図５】
2006527955.tif 000007
【図６】
2006527955.tif 000008
【図７】
2006527955.tif 000009
【国際調査報告】
2006527955.tif 000010
2006527955.tif 000011