(57)【特許請求の範囲】
【請求項１】
加入者プラットフォームと、トランザクション・サーバと、データ・サーバーとを有し、情報要求を加入者から情報サービス・プロバイダに転送するトランザクション・サーバ・システムであって、
加入者プラットフォームが、加入者識別と第１メッセージ要求ブロックを含む第１情報要求のそれぞれの部分を暗号化するための（ｉ）データベース・サーバ公開鍵と（ii）加入者プラットフォーム専用鍵とを備え、
トランザクション・サーバーが
加入者プラットフォームから第１情報要求を受け取り、
加入者識別と第１メッセージ要求ブロックに対応する第２メッセージ要求ブロックとを含む加入者情報要求を開始し、
データベース・サーバーから受け取った加入者情報に応答して第１メッセージ要求ブロックを情報サービス・プロバイダーに転送するように構成され、
データベース・サーバーが（ｉ）複数の加入者情報と、（ii）データベース・サーバ専用鍵と、（iii）加入者公開鍵とを有し、
トランザクション・サーバーから加入者情報要求を受け取り、
データベース専用鍵を用いて暗号化された加入者識別を解読し、
加入者専用鍵を用いて第１情報要求が加入者プラットフォームからのものであることを認証し、
情報要求が加入者プラットフォームからのものであるときのみ対応する加入者情報をトランザクション・サーバに提供するように構成されている
トランザクション・サーバ・システム。
【請求項２】
第１メッセージ要求ブロックが複数の情報要求を含んでいる請求項１に記載のトランザクション・サーバ・システム。
【請求項３】
データベース・サーバが、暗号化された識別がトランザクション・サーバからのものもであることを認証するために、トランザクション・サーバから受け取った暗号化された識別を計算する請求項１または２に記載のトランザクション・サーバ・システム。
【請求項４】
加入者プラットフォームが加入者専用鍵を用いてメッセージ要求ブロックから符号付きハッシュを生成するように構成されている請求項１、２又は３記載のトランザクション・サーバ・システム。
【請求項５】
トランザクション・サーバが第１メッセージ要求ブロックに応答してメッセージ要求ブロック・ハッシュを生成するように構成されている請求項４に記載のトランザクション・サーバ・システム。
【請求項６】
第２メッセージ要求ブロックが加入者プラットフォームからの符号付きハッシュとトランザクション・サーバからのメッセージ要求ブロック・ハッシュとを含んでおり、
データベース・サーバが、加入者専用鍵を用いて符号付きハッシュを解読して、加入者情報要求を計算するするためにメッセージ要求ブロック・ハッシュと比較される加入者シグニチャを提供する請求項５に記載のトランザクション・サーバ・システム。
【請求項７】
対話式環境において情報を要求するために、加入者プラットフォームと、トランザクション・サーバと、データ・サーバとを有するトランザクション・システムを動作させる方法であって、
データベース・サーバ公開鍵と加入者プラットフォーム専用鍵とを用いて、加入者識別とメッセージ要求ブロックとを含む、第１情報要求のそれぞれの部分を暗号化し、かつ加入者プラットフォームからその情報要求をトランザクション・サーバに転送するステップと、
第１情報要求をデータベース・サーバに転送するステップと、
データベース・サーバー専用鍵を用いて加入者識別を解読し、加入者専用鍵を用いて第１情報要求が加入者プラットフォームからのものであることを認証するステップと、
暗号化された識別が加入者プラットフォームからのものであるときのみ加入者情報をトランザクション・サーバに転送するために、加入者識別に対応する加入者情報を検索するステップと、
アプリケーション・プロセッサへ加入者情報とメッセージ要求とを転送し、アプリケーション・プロセッサが加入者情報に基づいて少なくとも１つの加入者へ要求された情報を提供するステップと
を有する方法。
【請求項８】
暗号化されたメッセージ要求ブロックの認証ハッシュを生成させるステップと、
加入者専用鍵でその認証ハッシュを暗号化し、符号付きハッシュを提供するステップと
をさらに有する請求項７に記載のトランザクション・サーバ・システムを動作させる方法。
【請求項９】
第１情報要求をトランザクション・サーバへ転送するステップが、暗号化されたメッセージ要求ブロックと、暗号化された識別と、符号化ハッシュとを転送することを含む請求項８に記載のトランザクション・サーバ・システムを動作させる方法。
【請求項１０】
第１情報要求をデータ・サーバへ転送することが、
暗号化されたメッセージ・ブロックからメッセージ要求ブロック・ハッシュを生成するステップと、
メッセージ要求ブロック・ハッシュと、符号付きハッシュと、暗号化された識別をデータベース・サーバへ転送することを含む請求項９に記載のトランザクション・サーバ・システムを動作させる方法。
【請求項１１】
第１情報要求を認証するステップが、
通し番号を提供するために暗号化された識別をデータベース専用鍵で解読するステップと、
通し番号に対応する加入者専用鍵を検出するステップと、
認証ハッシュを提供するために符号付きハッシュを加入者専用鍵で解読するステップと、
認証ハッシュとメッセージ要求ブロックハッシュとを比較して一致を決定するステップと
を有する請求項１０に記載のトランザクション・サーバ・システムを動作させる方法。
【請求項１２】
加入者情報を検索するステップが、加入者情報を提供するために通し番号をデータベース内の加入者情報記憶位置に関連づける請求項１１に記載のトランザクション・サーバ・システムを動作させる方法。
【請求項１３】
加入者情報を検索するステップが、
メッセージ要求ブロックを提供するために暗号化されたメッセージ要求ブロックを解読するステップと、
メッセージ要求ブロックと加入者情報とをアプリケーション・プロセッサに転送するステップと
を有する請求項１２に記載のトランザクション・サーバ・システムを動作させる方法。
【請求項１４】
メッセージ要求ブロックが複数の部分からなり、通し番号に応答してデータベースから加入者情報を検索するステップがメッセージ要求ブロックを部分に分け、関連する情報サーバに対応するアプリケーション・データを提供するステップを含む請求項１３に記載のトランザクション・サーバ・システムを動作させる方法。
【発明の詳細な説明】
発明の背景
発明の分野
本発明は、一般に対話式ＴＶネットワーク内のトランザクション・サーバの動作に関し、より詳細には、トランザクション・サーバとともに動作しているサーバ・データベースを無許可の再構成から保護する方法に関する。
文献の援用
Ｔｈｏｍｓｏｎ  Ｃｏｎｓｕｍｅｒ  Ｅｌｅｃｔｒｏｎｉｃｓ社に譲渡された１９９５年９月５日発行の米国特許証第５４４８５６８号「Ｓｙｓｔｅｍ  ｏｆ  Ｔｒａｎｓｍｉｔｔｉｎｇ  Ａｎ  Ｉｎｔｅｒａｃｔｉｖｅ  ＴＶ  Ｓｉｇｎａｌ」は、その全体が本明細書の一部となる。
関連技術の説明
対話式ＴＶネットワークは、ユーザのレジャーに非常に様々なビュー・オプションをユーザに与える。ビュウ・オプションには、テレビ番組、広告、およびホーム・バンキングから歯科医の予約など様々な通信できる情報がある。対話式ＴＶネットワークは、例えば、対話式広告を作成することができる。対話式ＴＶシステムのユーザまたは加入者は、対話式広告に広告された製品に関するより多くの情報を要求するオプションを与えることを求めることができる。広告主は、例えば、通常のメール・チャネルを介して要求された情報を加入者に与える。
対話式ＴＶネットワークがますます普及するにつれて、対話式ＴＶシステムのプロバイダ用の特殊セグメントが発展し、より精巧になる。これらの特殊セグメントは対話式ＴＶシステムによって互いに相関しているので、これらのセグメント内で動作するデバイスは、互いにインタフェースして、データ転送を実施する。セグメント間のデータ転送は、所有データが漏れ、特定のセグメントの存在を危うくする場合がある。これらの場合、特殊セグメントが所有データを暴露するのを防ぐために予防手段が必要になる。
例えば、対話式広告の例は、対話式ＴＶネットワークの他のセグメントとの対話中に所有データを保護する必要性を加入者データベースなど特殊セグメントに与える。加入者データベースは、対話式ＴＶネットワーク上の加入者要求に応答して、加入者個人情報を広告主に与える。対話式ＴＶシステムへのアクセスを申し出る多数の広告主および多数の対話式ＴＶネットワーク・プロバイダが存在すると仮定すれば、加入者個人情報と対話式ＴＶネットワーク上の加入者識別との間のクロス・リファレンスを有する加入者データベースは、保護しなければならない貴重な所有データになる。
したがって、対話式環境内で動作するトランザクション・サーバを提供すること、および対話式環境内で他のセグメントと対話しているある所有データベースに対して保護を与えるようにトランザクション・サーバを動作させる方法を提供することが望ましい。
発明の概要
本発明は、データベースが無許可の再構成から保護されるようにしたトランザクション・サーバを動作させるシステムおよびこのシステムを動作させる方法を提供する。新規のトランザクション・サーバ・アーキテクチャは、デバイス間のメッセージの暗号化に基づいている。したがって、本発明の一態様によれば、加入者情報要求を情報サービス・プロバイダに転送するトランザクション・サーバ・システムが用意されている。トランザクション・サーバ・システムは、暗号化された識別およびメッセージ要求ブロックを転送する加入者プラットフォームを含んでいる。トランザクション・サーバは、加入者プラットフォームに結合され、メッセージ要求ブロックおよび暗号化された識別に応答して、加入者情報要求を開始し、加入者情報に応答して、メッセージ要求ブロックを情報サービス・プロバイダに転送する。トランザクション・サーバに結合され、複数の加入者情報を有するデータベース・サーバは、加入者情報要求を受け取り、暗号化された識別を解読して、加入者情報をトランザクション・サーバに与える。
本発明の他の態様によれば、メッセージ要求ブロックは、複数の情報要求を含んでいる。データベース・サーバは、暗号化された識別が、データベース・サーバの内容を再構成しようとするトランザクション・サーバからのメッセージではなく、加入者プラットフォームからきたものであることを検査するために、トランザクション・サーバから受け取った暗号化された識別を認証する。
本発明の他の態様によれば、公開鍵暗号方式でメッセージの暗号化を実施する。したがって、加入者プラットフォームは、データベース・サーバ公開鍵を含んでおり、データベース・サーバ公開鍵を使用して暗号化された識別を発生する。データベース・サーバは、暗号化された識別を解読するデータベース・サーバ専用鍵を含んでいる。加入者プラットフォームは、加入者プラットフォーム専用鍵を含んでおり、メッセージ要求ブロックからの加入者プラットフォーム専用鍵を使用して、符号付きハッシュを発生する。
本発明の他の態様によれば、トランザクション・サーバは、メッセージ要求ブロックに応答して、メッセージ要求ブロック・ハッシュを発生する。メッセージ要求ブロックは、加入者プラットフォームからの符号付きハッシュおよびトランザクション・サーバからのメッセージ要求ブロック・ハッシュを含んでいる。データベース・サーバは、メッセージ要求ブロックを受け取り、また符号付きハッシュを解読して、加入者情報要求を認証するためにメッセージ要求ブロック・ハッシュと比較される加入者シグニチャを与える加入者公開鍵を含んでいる。したがって、加入者情報要求が適切に認証された後でのみ、データベース・サーバは、加入者情報をトランザクション・サーバに転送する。
加入者情報要求を情報サービス・プロバイダに転送する装置および方法が提供される。公開鍵暗号メッセージ転送は、加入者情報と加入者識別との間のクロス・リファレンス情報を保護する。データベース・サーバだけが解読された形で加入者情報ならびに加入者識別へのアクセス権を有する。したがって、トランザクション・サーバは、データベース・サーバの内容を再構成しない。
本発明の他の態様および利点は、以下の図面、詳細な説明、および請求の範囲を読めば理解できよう。
【図面の簡単な説明】
第１図は、直接放送衛星システム内のデジタル伝送のシステム・レベル・ブロック図である。
第２図は、本発明によるトランジション・サーバ・システムのブロック図である。
第３図は、情報要求を発生する加入者プラットフォームの流れ図である。
第４図は、加入者プラットフォームからの情報要求に応答するトランザクション・サーバの流れ図である。
第５図は、トランザクション・サーバからの加入者情報要求に応答するデータベース・サーバの流れ図である。
第６図は、データベース・サーバからの加入者情報に応答するトランザクション・サーバの流れ図である。
詳細な説明
本発明について、図面に関して説明する。第１図には、例えば直接放送衛星システムなど、デジタル伝送システムが一般に示されている。単一の衛星トランスポンダが複数のそれぞれのＴＶプログラムを時間分割多重方式で供給すると仮定する。
第１図を参照すると、直接放送衛星システム１０は、放送センタ１２、サービス・プロバイダ１３、およびエンド・ユーザ１４を含んでいる。放送センタ１２は、アプリケーション・サーバ１１５、オーディオおよびビデオ情報１２０、エンコーダおよびマルチプレクサ１２５、および衛星送信機１３０を含んでいる。アプリケーション・サーバ１１５は、対話式ＴＶアプリケーションによって記述される一連の詳細に識別された動作を実施するために、アプリケーション・サーバ１１５の論理回路内にロードされた対話式ＴＶアプリケーションの実行を制御する。
対話式ＴＶアプリケーションは、関連するオーディオおよびビデオ情報１２０を含んでいる。アプリケーション・サーバ１１５は、対話式ＴＶアプリケーションおよび関連するオーディオ／ビデオ情報１２０をエンコーダおよびマルチプレクサ１２５に入力を与えるトランスポート・パケットに同期させる。エンコーダおよびマルチプレクサ１２５は、トランスポート・パケットを受信し、トランスポート・パケットを送信のために符号化する。衛星送信機１３０は、トランスポート・パケットを時間多重化し、トランスポート・パケットをアップロード信号１３３として衛星１３５に送信する。
放送センタ１２は、Ｔｈｏｍｓｏｎ  Ｃｏｎｓｕｍｅｒ  Ｅｌｅｃｔｒｏｎｉｃｓ社に譲渡された１９９５年９月５日発行の米国特許証第５４４８５６８号「Ｓｙｓｔｅｍ  ｏｆ  Ｔｒａｎｓｍｉｔｔｉｎｇ  ａｎ  Ｉｎｔｅｒａｃｔｉｖｅ  ＴＶ  Ｓｉｇｎａｌ」に詳細に詳細に説明されている。米国特許証第５４４８５６８号は、その全体が参照により本明細書の一部となる。
衛星１３５は、アップロード信号１３３を受信し、ダウンロード信号１３７をエンド・ユーザ１４に送信する。エンド・ユーザ１４は、衛星ディッシュ１４０、デコーダ１４５、ＴＶ１５０、遠隔制御装置１５５、およびリターン・チャネル１５７を含んでいる。衛星ディッシュ１４０は、ダウンロード信号１３７を受信し、デコーダ１４５に出力を与える。デコーダ１４５は、デコーダ１４５の動作を制御する一連のステップを実施する、デコーダ１４５の論理回路内にロードされたソフトウェア・オペレーティング・システムを含んでいる。デコーダ１４５は、衛星ディッシュ１４０からダウンロード信号１３７を受信し、送信された対話式ＴＶアプリケーションおよびその関連するオーディオおよびビデオ情報１２０を復号する。デコーダ１４５は、対話式ＴＶアプリケーションを実行し、オーディオおよびビデオ出力をＴＶ１５０に与える。本発明によれば、デコーダ１４５は、ＭＰＥＧ−２（Ｍｏｖｉｎｇ  Ｐｉｃｔｕｒｅｓ  Ｅｘｐｅｒｔｓ  Ｇｒｏｕｐ）ビデオ・デコーダを含んでいる。
遠隔制御装置１５５は、ＴＶ１５０に出力すべき他の対話式ＴＶアプリケーションの実行を選択するためにデコーダ１４５に入力を与える。デコーダ１４５は、サービス・プロバイダ１３に通信するためにリターン・チャネル１５７に結合される入出力ポート１５６を含んでいる。
サービス・プロバイダ１３は、エンド・ユーザ１４との構内対話を実施するトランザクション・サーバ１６０を含んでいる。トランザクション・サーバ１６０は、リターン・チャネル１５７に結合される入出力ポート１５８を含んでいる。トランザクション・サーバ１６０は、エンド・ユーザ１４によって実施されるトランザクションの監視、およびリターン・チャネル１５７を介するデコーダ１４５用のソフトウェア・オペレーティング・システムの更新を実施する。リターン・チャネル１５７は、電話線またはケーブル線である。
第２図を参照すると、本発明にしたがって情報サービス・プロバイダに加入者情報要求を転送するトランザクション・サーバ・システム２７０が示されている。トランザクション・サーバ・システム２７０は、加入者プラットフォーム１４５（第１図のデコーダ１４５とも呼ばれる）、トランザクション・サーバ２６０、データベース・サーバ２７６、および少なくとも１つの情報サーバ２７８を含んでいる。点線は、本発明を明確にするために、第１図のサービス・プロバイダ１３の一部としてトランザクション・サーバ２６０、データベース・サーバ２７６、およびアプリケーション・サーバ２７８を含むことを表す。トランザクション・サーバ・システム２７０は、トランザクション・サーバ２６０がデータベース・サーバ２７６の内容を再構成するのを防ぐ。
手短に言えば、加入者プラットフォーム１４５は、加入者識別を有し、メッセージ要求ブロックを発生する。メッセージ要求ブロックは、情報サーバ２７８から情報を要求する。加入者プラットフォーム１４５は、暗号化された加入者識別およびメッセージ要求ブロックを含んでいる情報要求２７５をトランザクション・サーバ２６０に転送する。
トランザクション・サーバ２６０は、加入者プラットフォーム１４５に結合される。トランザクション・サーバ２６０は、メッセージ要求ブロックおよび暗号化された加入者識別を受け取る。トランザクション・サーバ２６０は、暗号化された加入者識別を含んでいるデータベース・サーバ２７６へ加入者情報要求２７９を与える。
データベース・サーバ２７６は、トランザクション・サーバ２６０に結合され、トランザクション・サーバ２６０から加入者情報要求２７９を受け取る。データべース・サーバ２７６は、加入者情報および加入者識別用の記憶装置を備えている。データベース・サーバ２７６は、加入者識別情報と加入者識別との間のリンクを与えるクロス・リファレンス・テーブルをも含んでいる。加入者情報要求２７９を受け取ると、データベース・サーバ２７６は、加入者識別を解読して、記憶装置からの加入者情報にアクセスし、加入者情報２８０をトランザクション・サーバ２６０に転送する。
少なくとも１つの情報サーバ２７８がトランザクション・サーバ２６０に結合されている。トランザクション・サーバ２６０は、加入者情報２８０および加入者メッセージ要求２８２を情報サーバ２７８に転送する。トランザクション・サーバ２６０は、加入者肯定応答２７７を加入者プラットフォーム１４５に戻す。
さらに、加入者プラットフォーム１４５は、ロードされたオープンＴＶ伝送アプリケーションがユーザ１４（第１図）と加入者プラットフォーム１４５との間で直列対話式トランザクションを実施するように実行する論理回路を含んでいる。加入者プラットフォーム１４５は、広告情報要求を含むメッセージ要求を待ち行列化するメッセージ発生器２７１を含んでいる。加入者プラットフォーム１４５は、待ち行列化されたメッセージ要求を連結して、トランザクション・サーバ２６０に転送すべきメッセージ要求ブロックにする。
本発明の一形態によれば、メッセージ要求を含む情報要求２７５は、昼または夜の特定の時間に自動的に転送される。他の態様では、メッセージを電子待ち行列上に転送するために外部トリガが与えられる。他の形態では、メッセージは、メッセージ待ち行列内のメッセージがある年齢に達したときに転送される。
加入者プラットフォーム１４５は、メッセージ転送をトランザクション・サーバ２６０に固定するために暗号化器２７２を含んでいる。加入者プラットフォーム１４５は、データベース・サーバ公開鍵を含んでおり、そのデータベース・サーバ公開鍵を使用して、加入者識別を暗号化する。暗号化器２７２は、加入者識別を追加の情報とともにパックすることによって暗号化された加入者識別を「サルト」する。このサルトは、加入者識別の再構成をさらに思いとどまらせる追加のセキュリティ・レベルを与える。
加入者プラットフォーム１４５はまた、単一の秘密鍵を有する対称型暗号化システムを使用して、メッセージ要求ブロックを暗号化する。単一秘密鍵暗号は、メッセージの暗号化と解読の両方を実施することができる。単一秘密鍵暗号では、公開鍵を暗号と異なりより大きいデータ・セットの高速暗号化が可能である。したがって、メッセージ要求ブロックは一般により大きいデータ・セットを含んでいるので、加入者プラットフォーム１４５は、ＤＥＳ（Ｄｉｇｉｔａｌ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）を使用して、メッセージ要求ブロックを暗号化して、ＤＥＳメッセージ要求ブロックを与える。
ＤＥＳは、１９９７年に米国政府によって公式標準として決められ、支持された暗号化ブロック暗号である。ＤＥＳは、世界中で最もよく知られ、広く使用されている暗号方式の１つである。暗号化されたＤＥＳデータのセキュリティに影響を及ぼしうるいくつかの実際的な考慮事項がある。継続的なデータ分析による攻撃は秘密鍵を暴露することができる。ＤＥＳキーは、セキュリティを最適化するために頻繁に変更しなければならない。したがって、本発明のＤＥＳキーは、加入者プラットフォーム１４５によって生成されたランダムＤＥＳキーである。
ＤＥＳを使用して、本発明によるメッセージ要求ブロックを暗号化することができるが、様々なバルク暗号化アルゴリズムも本発明によるＤＥＳの代替物として使用できる。１つは、ＦＥＡＬ（Ｆａｓｔ  Ｅｎｃｒｙｐｔｉｏｎ  Ａｌｇｏｒｉｔｈｍ）である。米国政府は、最近、Ｃａｐｓｔｏｎｅプロジェクトの一環としてＳｋｉｐｊａｃｋと呼ばれる新しいアルゴリズムを発表した。ＲＩＶＥＳＴは、様々なキー・サイズを使用するので必要な限り安全に作成される暗号ＲＣ２およびＲＣ４を開発した。
メッセージ要求ブロックがＤＥＳ暗号化されて、ＤＥＳメッセージ要求ブロックを与えた後、加入者プラットフォーム１４５は、ＤＥＳメッセージの検査ハッシュ値を発生する。この検査ハッシュ値は、加入者プラットフォーム専用鍵を使用して暗号化されるか、または「符号付け」されて、符号付きハッシュ値またはデジタル・シグニチャを与える。
次に、加入者プラットフォーム１４５は、トランザクション・サーバ公開鍵を使用してランダム発生ＤＥＳキーを暗号化して、暗号化されたＤＥＳキーを与える。暗号化されたＤＥＳキーを解読するためにトランザクション・サーバ専用鍵が必要である。したがって、トランザクション専用鍵を有するトランザクション・サーバ２６０だけが暗号化されたＤＥＳキーを解読することができる。加入者プラットフォーム１４５は、ＤＥＳメッセージ要求ブロック、符号付きハッシュ値、暗号化された加入者識別、および暗号化されたＤＥＳキーを有する情報要求２７５をトランザクション・サーバ２６０に送信する。
トランザクション・サーバ２６０は、加入者プラットフォーム１４５から、ＤＥＳメッセージ要求ブロック、符号付きハッシュ値、暗号化された加入者識別、および暗号化されたＤＥＳキーを有する情報要求２７５を受信する受信プロセッサ２６４を含んでいる。トランザクション・サーバ２６０は、ＤＥＳメッセージ要求ブロックからＤＥＳハッシュ値を計算する情報要求発生器２６８を含んでいる。情報要求発生器２６８は、符号付きハッシュ値、ＤＥＳハッシュ値、および暗号化された加入者識別を含む加入者情報要求２７９をデータベース・サーバ２７６に対して発生させる。加入者情報要求２７９は、データベース・サーバに加入者情報２８０を戻すよう指示する。
データベース・サーバ２７６は、暗号化された加入者識別をデータベース・サーバ専用鍵を使用して解読して、加入者プラットフォーム１４５の通し番号を生成するメッセージ解読プロセッサ２８６を含んでいる。データベース・サーバ２７６は、加入者プラットフォーム１４５の通し番号に対応する位置に記憶された加入者プラットフォーム公開鍵を検索する検索プロセッサ２８４を含んでいる。加入者公開鍵を使用して、解読プロセッサ２８６は、符号付きハッシュ値を解読して、加入者プラットフォーム１４５によるＤＥＳメッセージ要求から発生した検査ハッシュ値を生成する。データベース・サーバ２７６は、トランザクション・サーバ２６０からの加入者情報要求２７９を認証するためにトランザクション・サーバ２６０からの検査ハッシュ値とＤＥＳハッシュ値とを一致するかどうか比較する検査プロセッサ２８８を含んでいる。
ＤＥＳハッシュ値と検査ハッシュ値とが一致しない場合、検査装置２８８は、ＮＡＫ（Ｎｏｔ  Ａｃｋｎｏｗｌｅｄｇｅｄ）をトランザクション・サーバ２６０に送り、トランザクション・サーバ２６０は、加入者情報要求を取り消すことによって応答する。ＤＥＳハッシュ値が検査ハッシュ値に一致する場合、検査装置２８８は、ＡＣＫ（ａｃｋｎｏｗｌｅｄｇｅ）を加入者情報要求２７９に対して戻し、加入者プラットフォーム１４５の通し番号に対応する加入者情報２８０をトランザクション・サーバ２６０に与える。
トランザクション・サーバ２６０は、暗号化されたＤＥＳキーをそのプライベート・キーを使用して解読して、ＤＥＳキーを生成する解読プロセッサ２６９を含んでいる。ＤＥＳキーが解読された後、解読プロセッサ２６９は、ＤＥＳメッセージ要求ブロックを解読して、広告情報要求を含んでいる加入者要求を生成する。解読されたメッセージ要求ブロックは、連結解除されて、構成要素メッセージになる。メッセージ要求ブロック内の各構成要素メッセージ要求ごとに、受信プロセッサ２６４は、確認を加入者プラットフォーム１４５に送る。解読プロセッサ２６９はまた、情報要求２７５を処理するために構成要素メッセージ要求を適切な情報サーバ２７８に転送する。各構成要素メッセージ要求とともに、トランザクション・サーバ２６０は加入者情報２８０を含んでいる。
情報サーバ２７８は、加入者情報２８０および加入者情報要求２８２を受け取り、それに応じて応答を与える。例えば、加入者情報は、情報サーバ２７８が、加入者プラットフォーム１４５のユーザ１４への直接メール送達によって情報要求２７５に応答することができるように、加入者プラットフォーム１４５のメール送達情報を含んでいる。
第３図に、情報要求２７５を発生するときの加入者プラットフォーム１４５の流れ図を示す。ステップ３２６で、加入者プラットフォーム１４５は、メッセージを発生し、メッセージを連結して、広告要求を含んでいるメッセージ要求ブロックにする。次に、加入者プラットフォーム１４５は、ランダムにステップ３２８で、ＤＥＳキーを発生し、ＤＥＳキーを使用してメッセージ要求ブロックを暗号化する。ステップ３３０で、トランザクション・サーバ公開鍵を使用してＤＥＳキーを暗号化して、暗号化されたＤＥＳキーを生成する。
データベース・サーバ２７６がメッセージの発信源を認証することができるように、加入者は、ステップ３３２で、暗号化されたメッセージ要求ブロックの検査ハッシュ値を発生し、そのプライベート・キーを使用してハッシュ値を符号付けして、符号付きハッシュまたはデジタル・シグニチャを生成する。デジタル・シグニチャは、加入者プライベート・キーを使用して暗号化されるので、シグニチャは、加入者プラットフォーム公開鍵を使用して解読される。データベース・サーバ２７６は、加入者プラットフォーム・パブリック・キーのコピーを含んでいる。ステップ３３４で、データベース・サーバ公開鍵を使用して加入者識別を暗号化して、データベース・サーバ２７６がそのプライベート・キーを使用しないと解読することができない暗号化された加入者識別を生成する。ステップ３３６で、加入者プラットフォーム１４５は、暗号化されたメッセージ要求ブロック、暗号化されたＤＥＳキー、符号付きハッシュ値、および暗号化された加入者識別を含んでいる情報要求２７５をトランザクション・サーバ２６０に送る。
第４図に、加入者プラットフォーム１４５から情報要求２７５を受け取るときのトランザクション・サーバ２６０の流れ図を示す。この流れ図はステップ４４０から始まり、そこで暗号化されたメッセージ要求ブロック、暗号化されたＤＥＳキー、符号付きハッシュ値、暗号化されたメッセージ要求ブロック、および暗号化された加入者識別を含んでいる情報要求２７５を受け取る。次に、ステップ４４３で、トランザクション・サーバ２６０は、暗号化されたメッセージ要求ブロックについてハッシュ値を計算して、ＤＥＳハッシュ値を生成する。この流れ図は、ステップ４４５で終了し、そこでトランザクション・サーバ２６０が、符号付きハッシュ値、ＤＥＳハッシュ値、および暗号化された加入者識別をデータベース・サーバ２７６に転送するステップを含んでいる加入者情報要求２７９を発生する。
第５図に、加入者情報要求２７９を受け取るときのデータベース・サーバ２７６の流れ図を示す。この流れ図は、ステップ５５０から始まり、そこでデータベース・サーバ２７６は、トランザクション・サーバ２６０から符号付きハッシュ値、ＤＥＳハッシュ値、および暗号化された加入者識別を含んでいる加入者情報要求２７９を受け取る。ステップ５５２で、データベース・サーバ２７６は、そのプライベート・キーを使用して暗号化された加入者識別を解読して、加入者プラットフォーム１４５の通し番号を生成する。次に、ステップ５５４で、データベース・サーバ２７６は、加入者プラットフォーム１４５の通し番号に対応する位置に記憶された加入者プラットフォーム公開鍵を検索する。加入者公開鍵を使用して、ステップ５５５で、データベース・サーバ２７６は、符号付きハッシュ値を解読して、初めに加入者プラットフォーム１４５によるＤＥＳメッセージ要求から発生した検査ハッシュ値を生成する。検査ステップ５５６で、データベース・サーバ２７６は、トランザクション・サーバ２６０からの加入者情報要求を認証するために加入者プラットフォーム１４５からの検査ハッシュ値と、トランザクション・サーバ２６０からのＤＥＳハッシュ値とを一致するかどうか比較する。
ステップ５５８で、ＤＥＳハッシュ値と検査ハッシュ値とが一致しない場合、データベース・サーバ２７６は、ＮＡＫをトランザクション・サーバ２６０に送り、加入者情報要求に対するサーバ処理を終了する。ステップ１５９で、ＤＥＳハッシュ値が検査ハッシュ値に一致する場合、データベース・サーバ２７６は、ＡＣＫを加入者情報要求に戻し、加入者プラットフォーム１４５に対応する加入者情報２８０をトランザクション・サーバ２６０に与える。
第６図に、データベース・サーバ２７６から加入者情報２８０を受け取るときのトランザクション・サーバ２６０の流れ図を示す。この流れ図は、ステップ６７０から始まり、そこでトランザクション・サーバ２６０は、要求された加入者情報２８０を受け取る。次に、トランザクション・サーバ２６０は、ステップ６７２で、そのプライベート・キーを使用して暗号化されたＤＥＳキーを解読して、ＤＥＳキーを生成する。ＤＥＳキーが解読された後、ステップ６７４で、ＤＥＳメッセージ要求ブロックの解読を実施して、加入者メッセージ要求を生成する。加入者メッセージ要求は連結されてメッセージ要求ブロックになっているので、ステップ６７６で、メッセージ要求ブロックを構成要素メッセージに連結解除する。ステップ６７８で、トランザクション・サーバ２６０は、メッセージ要求ブロックの各構成要素メッセージ要求および加入者情報２８０を、メッセージ要求に対応する適切な情報サーバ２７８に送る。
したがって、インタラクティブ環境内でトランザクション・サーバ・システムを動作させる装置および方法が提供された。トランザクション・サーバ２６０は、機密である加入者識別を有する加入者プラットフォームからの情報要求を処理する。加入者識別を有する暗号化メッセージ要求は、トランザクション・サーバ２６０に転送される。トランザクション・サーバ２６０は、データベース・サーバから加入者データにアクセスするために暗号化された加入者識別を転送する。データベース・サーバだけが解読された形で加入者情報ならびに加入者識別へのアクセス権を有する。暗号化されたメッセージ転送は、加入者情報と加入者識別との間のクロス・リファレンス情報を保護する。したがって、トランザクション・サーバは、データベース・サーバの内容を再構成することができない。トランザクション・サーバ・システムの実施形態を対話式ＴＶシステムに関して開示したが、本発明によるトランザクション・サーバ・システムの変形例も端末のネットワーク・アプリケーション内で適用できる。
本発明の好ましい実施形態の上記の説明は、図示および説明のために示したものであり、完全なものではなく、また本発明を開示した正確な形態に限定するものでもない。多数の修正例および変形例が当業者には明らかであろう。本発明の範囲は、以下の請求の範囲およびそれらの同等物によって定義されるものとする。
【図１】
0003929075.tif 000002
【図２】
0003929075.tif 000003
【図３】
0003929075.tif 000004
【図４】
0003929075.tif 000005
【図５】
0003929075.tif 000006
【図６】
0003929075.tif 000007