(57)【特許請求の範囲】
【請求項１】
ネットワークを介してコンテンツに関する機密情報の格納先を前記コンテンツの提供元から前記コンテンツの提供を受ける情報処理装置内に割り当てる記憶領域割当方法であって、
前記提供元により、前記情報処理装置のユニーク番号を生成する生成工程と、
前記情報処理装置に着脱不能な状態で実装されているＴＲＭ構造を有する第１のセキュアモジュールにより、前記生成工程によって生成されたユニーク番号を前記提供元から前記情報処理装置に実装されているＴＲＭ構造を有する第２のセキュアモジュールにセキュアに転送する転送工程と、
前記第２のセキュアモジュールにより、前記機密情報と前記転送工程によって転送されたユニーク番号との結合情報に関するハッシュ値を算出する算出工程と、
前記第２のセキュアモジュールにより、前記算出工程によって算出されたハッシュ値と前記ユニーク番号と前記機密情報とを、前記情報処理装置内の記憶領域にセキュアに格納する格納工程と、
を含んだことを特徴とする記憶領域割当方法。
【請求項２】
前記格納工程は、
前記第２のセキュアモジュールにより、前記ハッシュ値と前記ユニーク番号と前記機密情報とを、前記第２のセキュアモジュールのみアクセス可能な記憶領域に格納することを特徴とする請求項１に記載の記憶領域割当方法。
【請求項３】
前記格納工程は、
前記第２のセキュアモジュールにより、前記ハッシュ値と前記ユニーク番号とを、前記第２のセキュアモジュールのみアクセス可能な記憶領域に格納するとともに、前記機密情報を当該記憶領域以外の他の記憶領域にセキュアに格納することを特徴とする請求項１に記載の記憶領域割当方法。
【請求項４】
ネットワークを介してコンテンツの提供を受けて前記コンテンツを処理する情報処理装置であって、
前記情報処理装置に着脱不能な状態で実装されているＴＲＭ構造を有する第１のセキュアモジュールと、
前記第１のセキュアモジュールとセキュアに接続可能であり、前記情報処理装置に実装されているＴＲＭ構造を有する第２のセキュアモジュールと、
記憶手段と、を備え、
前記第１のセキュアモジュールは、
前記コンテンツの提供元によって生成された前記情報処理装置のユニーク番号を、前記第２のセキュアモジュールにセキュアに転送する転送手段を備え、
前記第２のセキュアモジュールは、
前記機密情報と前記転送手段によって転送されたユニーク番号との結合情報に関するハッシュ値を算出する算出手段と、
前記算出手段によって算出されたハッシュ値と前記ユニーク番号と前記機密情報とを、前記記憶手段にセキュアに格納する格納手段と、を備えることを特徴とする情報処理装置。
【請求項５】
前記第１および第２のセキュアモジュールは、単一モジュールであることを特徴とする請求項４に記載の情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、コンテンツの提供元からコンテンツの提供先である情報処理装置内にコンテンツを提供するための記憶領域割当方法および情報処理装置に関する。
【背景技術】
【０００２】
インターネットの進展とともにパーソナルコンピュータ（以下、「ＰＣ」）などソフトウェアを第３者が比較的容易に覗き見、改定できる装置が、インターネット上のコンテンツの汎用の情報処理装置として利用されている。これにより、コンテンツ配信業者は、効率良く、全世界の視聴者にコンテンツを視聴してもらうことができる。
【０００３】
もし「専用の情報処理装置」を使用したなら、コンテンツ配信業者は、いちいち「専用の情報処理装置」の開発をする必要に迫られ、大変な負担を強いられる。しかも、技術進展が急速なため、直ぐ「専用の情報処理装置」が陳腐化してしまう危険性を伴うこととなる。ＰＣのようなソフトウェア主体の情報処理装置であれば、技術が陳腐化しても、ソフトウェアをバージョンアップすれば、旧来の情報処理装置をそのまま使用でき、世界共通のデファクト品のため、開発リスクは、世界中で共有できる。
【０００４】
この汎用の情報処理装置の特定については、下記非特許文献１のＴＣＧ（Ｔｒｕｓｔｅｄ  Ｃｏｍｐｕｔｉｎｇ  Ｇｒｏｕｐ）、コンテンツの特定については、下記特許文献２のＩＳＡＮ（Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｔａｎｄａｒｄ−Ａｕｄｉｏ−Ｖｉｄｅｏ−Ｎｕｍｂｅｒ）などの世界的に認知された規格が存在する。
【０００５】
図１７は、従来のインターネットを利用したコンテンツ配信システムのシステム構成図である。コンテンツ配信業者は、複数のコンテンツ・プロバイダからコンテンツを入手し、コンテンツ配信サーバー１７０１に蓄積する。
【０００６】
コンテンツを視聴したい視聴者は、まず、自分の好みのコンテンツ配信業者のサイトにアクセスし、当該配信業者にユーザー登録する。氏名、住所、銀行預金番号、暗証番号、電子メールアドレスなどの情報は、配信業者のユーザー情報サーバー１７０２に登録される。次に配信業者は、配信業者固有のコンテンツ閲覧ソフトを視聴者に配信する。配信されるのは、視聴者の持つＰＣ１７１０で動作可能なソフトウェアである。
【０００７】
視聴者は、配信されたソフトウェアを使い、当該コンテンツ配信業者のコンテンツ配信サーバー１７０１に存在するコンテンツの一覧を閲覧し、好みのコンテンツが見つかれば、指定する。コンテンツ配信サーバー１７０１は、指定されたコンテンツを配信する。配信されたコンテンツは、ＰＣ１７１０上のＨＤ（Ｈａｒｄ  Ｄｉｓｋ）１７１１に一旦蓄積された後に視聴される場合もあれば、ＨＤ１７１１に蓄積せず、直ぐに視聴する場合（ストリーミング）もある。
【０００８】
コンテンツ視聴の流れは以下の通りである。コンテンツは、インターネット１７２０を通る際は、コンテンツ配信サーバー１７０１に暗号化されて配信される。ＰＣ１７１０では、インターフェース１７１２でこれを暗号化された状態で受信する。さらに、コンテンツ配信サーバー１７０１から送られた暗号復号鍵をセキュアに受信した上で、暗号化コンテンツを復号する。コンテンツは一般的にインターネット１７２０を通過する際は、圧縮されている。復号されたコンテンツは圧縮された状態のため、これを伸張する。
【０００９】
ＰＣ１７１０には、プレイヤー１７１３といわれるソフトウェアが存在する。ＰＣ１７１０で使用される圧縮方式は複数存在するので、プレイヤー１７１３には複数の伸張ソフトウェアが存在する。これらは、プラグイン・ソフトウェア（組み込み可能ソフトウェア）１７１４と言われ、新しい圧縮方式が登場すると、それに対応したプラグイン形式の伸張ソフトウェアがプレイヤー１７１３に組み込まれて、コンテンツを視聴することができる。
【００１０】
なお、プレイヤー１７１３には、ＧＵＩ（Ｇｒａｐｈｉｃａｌ  Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）１７１５が存在し、コンテンツの視聴形式（例えば、画像サイズ、画像の明るさ、音声の大きさなど）などを変更できる。コンテンツの視聴暦は、視聴者のＰＣ１７１０上で課金ソフトウェア１７１６により保存できる。改ざんなどの心配があるので基本的にはコンテンツ配信業者の課金サーバー１７０３やユーザー情報サーバー１７０２に伝送される。
【００１１】
課金サーバー１７０３は、銀行に料金の請求を行い、決済処理する。銀行は、視聴者宅に請求書や領収書を送り、決済は終了する。なおＰＣ１７１０は、汎用の情報処理装置であり、インターフェースや構造は、相当部分が一般公開されている。一般公開されているからこそ、第三者が任意にプログラム開発でき、任意のプログラムがインターネット１７２０を経由して世界中のＰＣユーザーに配信されるため、ＰＣ１７１０も普及してきた。
【００１２】
【非特許文献１】“Ｔｒｕｓｔｅｄ  Ｃｏｍｐｕｔｉｎｇ  Ｇｒｏｕｐ：  ＴＰＭ”、［ｏｎｌｉｎｅ］、Ｔｒｕｓｔｅｄ  Ｃｏｍｐｕｔｉｎｇ  Ｇｒｏｕｐ、［２００８年２月２２日検索］、インターネット〈ＵＲＬ：ｈｔｔｐｓ：／／ｗｗｗ．ｔｒｕｓｔｅｄｃｏｍｐｕｔｉｎｇｇｒｏｕｐ．ｏｒｇ／ｇｒｏｕｐｓ／ｔｐｍ／〉
【非特許文献２】“ＩＳＡＮ（Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｔａｎｄａｒｄ  Ａｕｄｉｏｖｉｓｕａｌ  Ｎｕｍｂｅｒ）”、［ｏｎｌｉｎｅ］、Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｔａｎｄａｒｄ  Ａｕｄｉｏｖｉｓｕａｌ  Ｎｕｍｂｅｒ、［２００８年２月２２日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｉｓａｎ．ｏｒｇ／ｐｏｒｔａｌ／ｐａｇｅ?＿ｐａｇｅｉｄ＝１６８，１＆＿ｄａｄ＝ｐｏｒｔａｌ＆＿ｓｃｈｅｍａ＝ＰＯＲＴＡＬ〉
【発明の開示】
【発明が解決しようとする課題】
【００１３】
しかしながら、上述した汎用の情報処理装置には、セキュリティーリスクが伴うという問題がある。第三者が容易に既存のコンテンツ視聴ソフトウェアを覗き見し、コンテンツを盗み出すようにソフトウェアを改定できるからである。コンテンツの場合は、特にこのリスクが増大するという問題がある。何故なら、コンテンツを不正コピーしたいのは、コンテンツ視聴者自身だからである。
【００１４】
具体的には、コンテンツ視聴者が自らコンテンツ配信業者の提供するコンテンツ視聴ソフトウェアを覗き見し、コンテンツを盗み出すようにソフトウェアを改定するソフトウェアを開発する可能性がある。また、インターネット上にある「コンテンツを盗み出すように改定されたソフトウェア」をダウンロードしコンテンツを盗み出す可能性もある。
【００１５】
たとえば、図１７の例では、ＰＣ１７１０上のデータは、第三者が比較的自由に覗き見したりできる。これを防ぐとＰＣ１７１０の汎用性が失われる。このためＰＣ１７１０上に存在するソフトウェアもハッカーに「覗き見」により無断複写され、「解析」され、「ハッキングプログラム」を開発される恐れがある。ＰＣ１７１０上には、コンテンツ配信業者が配信した課金プログラム１７１６、コンテンツ視聴プログラム（プレイヤー１７１３）などが存在する。このソフトウェアがハッカーにより改ざんされた場合、以下のようなことが想定される。
【００１６】
コンテンツ視聴プログラム（プレイヤー１７１３）がハッキングされるとハッカーおよび視聴者が無断でコンテンツを復号＆複写し、無断でインターネット１７２０上にコンテンツを配信する恐れがある。複写するのは、ハッカーである場合もあるが、一般的には、視聴者もコンテンツを無断複写する可能性がある。ハッカーがハッキングプログラムを開発し、それをインターネット１７２０上の任意のサイトに置き、視聴者がこのサイトからハッキングプログラムをダウンロードし、無断複写する恐れもある。
【００１７】
また、課金ソフトウェア１７１６がハッキングされると銀行の口座番号などが、視聴者の知らぬ間にハッカーに漏洩し、ハッカーにコンテンツを勝手視聴される可能性がある。これを防ぐため、現行のソフトウェアは、「難読化」という手法でソフトウェアをハッキングされにくくしている。ハッキングの第一歩は、ソフトウェア本体を「覗き見」し、どうやれば、プログラムの改ざんやプログラムが処理するコンテンツを覗き見できるか「解析」することにある。
【００１８】
「解析」を困難にすれば、ハッキングを防げるのである。このため、「難読化」では、プログラムをわざと複雑にして、「ハッキング」の前提である「解析」を困難にする。しかし、如何に複雑化しても、所詮、複雑にしただけで、十分な労力をかければ、ハッキングされ、ハッキングプログラムが開発されてしまう。「難読化」では、十分なハッキング防止が困難というのが、業界全体の認識である。
【００１９】
また、上記非特許文献１のＴＣＧは、ＰＣ立ち上り時点（パワーオン時）のＰＣの同一性検証を一部または不完全な形で実行するが、立ち上がった後、インターネット経由で不正ソフトがダウンロードされたときのＰＣの保護ができないという問題がある。
【００２０】
また、パワーオン時のＰＣの同一性検証と言っても、ＰＣに登録されたソフトウェアの検証しかできないという問題がある。つまり、未登録ソフトウェアがあった場合、それを含めたＰＣの同一性検証ができず、未登録ソフトウェアがＰＣ立ち上がり後に不正動作した場合の保証ができない。
【００２１】
そもそも、インターネット経由で自由自在に第三者のソフトウェアがダウンロードされた場合、あらゆるソフトウェアの同一性検証ができる道理もない。このため、現在のＴＣＧにおける同一性検証は、非常に曖昧なものである。コンテンツ業界などは、非常に怪しいと考え、大事なコンテンツをＰＣに処理されるのに対し二の足を踏んでいる状態である。また、ＩＳＡＮは国際的に認知され、コンテンツごと唯一無二のコンテンツ番号を提供する仕組みはでき上がったものの、これをどう応用するか、暗中模索の状態である。
【００２２】
この発明は、上述した従来技術による問題点を解消するため、汎用の情報処理装置でもコンテンツを盗みだされることなく、コンテンツ配信業者が安心してインターネットでコンテンツ配信することを第１の目的とする。
【００２３】
また、汎用の情報処理装置の世界においてコンテンツ配信のための世界的に運用可能な管理システムを提供することを第２の目的とする。インターネットは、世界共通インフラである。また汎用の情報処理装置であるパーソナルコンピュータも世界共通のプラットフォ−ムである。これらをうまく結合し、世界的に運用可能なコンテンツの配信とコンテンツ管理を実現する。世界中に点在する汎用の情報処理装置をハッカーに騙されることなく、どう特定し、特定された各機器にどういうコンテンツを配信したか、配信＆管理＆課金可能なシステムを実現する。実現に当たっては、既に世界的にある程度認知された規格などを流用することも必須である。何故なら、規格を新たに起こすのは大変な時間と労力が必要だからである。
【００２４】
したがって、できるだけ世界的にある程度認知された範囲の既存規格や技術を流用することで世界的に運用可能なコンテンツ配信とコンテンツ管理を実現することを第３の目的とする。
【課題を解決するための手段】
【００２５】
上述した課題を解決し、目的を達成するため、この記憶領域割当方法および情報処理装置は、ネットワークを介してコンテンツに関する機密情報の格納先を前記コンテンツの提供元から前記コンテンツの提供を受ける情報処理装置内に割り当てる記憶領域割当方法および情報処理装置であって、前記提供元により、前記情報処理装置のユニーク番号を生成し、前記情報処理装置に着脱不能な状態で実装されているＴＲＭ（Ｔａｍｐｅｒ  Ｒｅｓｉｓｔａｎｔ  Ｍｏｄｕｌｅ）構造を有する第１のセキュアモジュールにより、生成されたユニーク番号を前記提供元から前記情報処理装置に実装されているＴＲＭ構造を有する第２のセキュアモジュールにセキュアに転送し、前記第２のセキュアモジュールにより、前記機密情報と転送されたユニーク番号との結合情報に関するハッシュ値を算出し、前記第２のセキュアモジュールにより、算出されたハッシュ値と前記ユニーク番号と前記機密情報とを、前記情報処理装置内の記憶領域にセキュアに格納することを要件とする。
【００２６】
この記憶領域割当方法および情報処理装置によれば、コンテンツの提供元用のセキュアな記憶領域を情報処理装置内に提供元ごとに割り当てることができる。このセキュアな記憶領域にはコンテンツに関する機密情報が格納される。
【発明の効果】
【００２７】
この記憶領域割当方法および情報処理装置によれば、汎用の情報処理装置でもコンテンツを盗みだされることなく、コンテンツ配信業者が安心してインターネットでコンテンツ配信することができるという効果を奏する。また、汎用の情報処理装置においてコンテンツ配信のための運用可能な管理システムを提供することができるという効果を奏する。さらに、できるだけある程度認知された範囲の既存規格や技術を流用することで運用可能なコンテンツ配信とコンテンツ管理を実現するという効果を奏する。
【発明を実施するための最良の形態】
【００２８】
以下に添付図面を参照して、この記憶領域割当方法および情報処理装置の好適な実施の形態を詳細に説明する。本実施の形態は、コンテンツの提供元（コンテンツ配信業者のコンテンツ配信サーバー１７０１、ユーザー情報サーバー１７０２、課金サーバー１７０３など）が提供先である情報処理装置にコンテンツをインターネット経由で提供した場合、情報処理装置内のセキュアな記憶領域に、コンテンツに関する機密情報（コンテンツの処理履歴や個人情報）を割り当てて、セキュアに格納しておくシステムである。そして、機密情報を扱うソフトウェア（プラグイン・ソフトウェア１７１４や課金ソフトウェア１７１６）をセキュアに監視することで、機密情報やコンテンツ配信の安全性の向上を図る。
【００２９】
図１は、実施の形態にかかるインターネットを利用したコンテンツ配信システムのシステム構成図である。図１７と同一内容については同一符号を付しその説明を省略する。図１に示した構造とすることにより、ソフトウェアを第３者が比較的容易に覗き見、改ざんできるＰＣなどの汎用性のある情報処理装置１００でも、コンテンツを盗みだされることなく、コンテンツの提供元となるコンテンツ配信サーバー１７０１が安心してインターネット１７２０でコンテンツ配信できる。また、この構造は、既存規格を流用できる構成となっている。
【００３０】
図１において、インターフェース１７１２やＧＵＩ１７１５はセキュア化されていない（必要がない）ソフトウェアである。一方、プレイヤー１７１３、プラグイン・ソフトウェア１７１４、および課金ソフトウェア１７１６は、セキュア化されたソフトウェアである。また、モジュール１０１Ａ，１０１Ｂは、セキュア化されたＬＳＩ（Ｌａｒｇｅ  Ｓｃａｌｅ  Ｉｎｔｅｇｒａｔｉｏｎ）である。
【００３１】
図２は、情報処理装置のハードウェア構成を示すブロック図である。情報処理装置は汎用性がありコンテンツの提供先となる。図２において、情報処理装置は、ＨＤ１７１１と、セキュアモジュール１０１Ａ，１０１Ｂと、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）２０１と、メインメモリ２０２と、サウスブリッジ２０３と、グラフィックスＬＳＩ２０４と、グラフィックメモリ２０５と、表示装置２０６と、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ  Ｃｏｍｐｏｎｅｎｔ  Ｉｎｔｅｒｃｏｎｎｅｃｔ）バス２０７と、ローカルバス２０８と、不揮発性メモリ２１０と、を含む構成である。
【００３２】
ＨＤ１７１１は、大容量記憶装置であり、ＣＰＵ２０１が実行するセキュアソフトウェア（プレイヤー１７１３、プラグイン・ソフトウェア１７１４、および課金ソフトウェア１７１６）やその他のソフトウェア、配信されたコンテンツや各種データを格納している。セキュアソフトウェアは、暗号化されて記憶されており、セキュアモジュール１０１Ｂにより復号可能である。また、ＨＤ１７１１には、コンテンツ配信サーバー１７０１から配信されたコンテンツや後述する端末番号も格納される。
【００３３】
ＣＰＵ２０１は、ＨＤ１７１１に格納されているセキュアソフトウェアや、その他のソフトウェアに従って各種演算処理を実行するとともに、装置の各部を制御する。メインメモリ２０２はＣＰＵ２０１のワークエリアとして使用される。サウスブリッジ２０３は、ＣＰＵ２０１とＰＣＩバス２０７とを相互接続する機能を備えており、ブリッジ回路を内蔵している。
【００３４】
グラフィックスＬＳＩ２０４は、デコード済みの画像情報をグラフィックメモリ２０５に格納させたり、表示装置２０６に画像として表示させる機能を備えている。グラフィックメモリ２０５は、グラフィックスＬＳＩ２０４の制御により、画像情報を格納する。
【００３５】
ＰＣＩバス２０７は、セキュアモジュール１０１Ｂとサウスブリッジ２０３との間を相互接続するバスである。ローカルバス２０８は、セキュアモジュール１０１Ａ、ＣＰＵ２０１、サウスブリッジ２０３、グラフィックスＬＳＩ２０４の間を相互接続するバスである。
【００３６】
ここで、セキュアモジュール１０１Ａ，１０１Ｂについて具体的に説明する。セキュアモジュール１０１Ａは、たとえば、Ｔｒｕｓｔｅｄ  Ｃｏｍｐｕｔｉｎｇ  Ｇｒｏｕｐが提唱しているＴＰＭ（Ｔｒｕｓｔｅｄ  Ｐｌａｔｆｏｒｍ  Ｍｏｄｕｌｅ）  ＬＳＩと呼ばれるセキュリティチップである。ＴＰＭ  ＬＳＩには、最低限、以下の（１）〜（４）の機能を有する。
【００３７】
（１）ＢＩＯＳ（Ｂａｓｉｃ  Ｉｎｐｕｔ／Ｏｕｔｐｕｔ  Ｓｙｓｔｅｍ），ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ），アプリケーションなどのソフトウェアの改ざんを発見するために使用されるソフトウェアのハッシュ値の保存機能、
（２）正当なＴＰＭ  ＬＳＩが使用されていることを保障するために使用されるＴＰＭ  ＬＳＩ内に格納する秘密鍵の生成および保持機能。
（３）暗号鍵を安全に保管するための保護された記憶機能。
（４）暗号処理を安全・正確に実行するための公開鍵暗号演算，乱数発生，ハッシュ演算機能。
【００３８】
すなわち、セキュアモジュール１０１Ａは、情報処理装置１００全体のセキュア度向上や情報処理装置１００の端末番号（コンテンツ配信サーバー１７０１から付与）の設定などに使用することができる。セキュアモジュール１０１Ａには、門外不出のユニークな秘密鍵と関連暗号復号機能（公開鍵、秘密鍵ペアの暗号復号機能など）、情報処理装置１００のＯＳ機能などのハッシュ値などが搭載されている。このユニークな秘密鍵をベースに情報処理装置１００の端末番号などをセキュアに保障できる。この端末番号と秘密鍵を連動させてセキュアモジュール１０１Ａから番号が発生したことを証明できる。
【００３９】
また、セキュアモジュール１０１Ｂは、不揮発性メモリ２１０にアクセス可能である。セキュアモジュール１０１Ｂは、ＴＲＭ（Ｔａｍｐｅｒ  Ｒｅｓｉｓｔａｎｔ  Ｍｏｄｕｌｅ）構造のＬＳＩであり、外部からの覗き見を防止するとともに、内部のデータが改ざんされることを防止するハードウェアである。
【００４０】
ＴＲＭ構造は、半導体チップ（この場合、セキュアモジュール１０１Ｂ）などの内部解析や改ざんを物理的および論理的に防衛するための構造をいう。具体的には、セキュアモジュール１０１Ｂにおいては、内部に強固で粘着力が高いコーティングが施され、その表面が剥がされると内部の回路が完全に破壊されたり、ダミーの配線が配されている。
【００４１】
セキュアモジュール１０１Ｂは、ＨＤ１７１１からセキュアソフトウェアを読み出す機能、メインメモリ２０２に実装されたセキュアソフトウェアを不定期に書き換える機能、メインメモリ２０２に設定された各種バッファの位置を不定期に変更する機能、暗号化機能、復号化機能等を備えている。
【００４２】
セキュアモジュール１０１Ｂは、プロセッサ２１１と暗号回路２１２を含む構成である。プロセッサ２１１は、セキュアモジュール１０１Ｂの内部メモリ（不図示）に格納されたファームウェアを実行することにより、上述したセキュアモジュール１０１Ｂの各種機能を実行する。暗号回路２１２は、プロセッサ２１１と連携して暗号化機能、復号化機能を実現する。不揮発性メモリ２１０には、機密情報やハッシュ値、端末番号が格納される。機密情報やハッシュ値は暗号化されて格納されてもよい。機密情報については後述する。
【００４３】
不揮発性メモリ２１０が外付けで取り出されるおそれがある場合は、この不揮発性メモリ２１０の内容を暗号化する。そうでない場合（とり出されるおそれがない場合）は、暗号化は不要である。暗号化する場合は、セキュアモジュール１０１Ｂに門外不出のマスター鍵が存在するのが一般的である。セキュアモジュール１０１Ｂ内で機密情報鍵をランダム生成し、この機密情報鍵で機密情報を暗号化する。さらに機密情報鍵は、マスター鍵で暗号化し、これも不揮発性メモリ２１０に保存する。これにより、機密情報をセキュア保存できる。
【００４４】
ここで、セキュアモジュール１０１Ｂについてより具体的に説明する。本実施の形態におけるセキュアモジュール１０１Ｂは、ソフトウェアのセキュリティーを、上述した従来技術で説明した「難読化」でなく、ＬＳＩハードウェア監視により実現、または従来の「難読化」と組み合わせて実現する。
【００４５】
ハードウェアであるＬＳＩは、「難読化」されたソフトウェアより数段セキュア度が高い。「難読化」されたソフトウェアを覗き見＆解析し、改ざんすることは、十分な労力をかければ可能である。一方で、ＬＳＩ内部の電気信号を解析し、ＬＳＩ内部を改ざんするのは、ソフトウェアの覗き見＆解析＆改ざんと比較し、桁違いに困難であることは容易に想像できる。
【００４６】
セキュアモジュール１０１Ｂは、一般的に外部から覗き見や改ざんができないＴＲＭ構造のＬＳＩである。このＴＲＭ構造を信頼性拠点として、セキュア領域を拡張する。信頼性拠点のみＬＳＩ（セキュアモジュール１０１Ｂ）とし、他の機能実現に情報処理装置１００上のソフトウェアを使用することで、ソフトウェアの柔軟性（ＬＳＩは、変更＆修正が困難）と低コスト（ソフトウェア機器である情報処理装置１００の資産を流用できるため）を両立できる。
【００４７】
なお、ソフトウェアのセキュリティーを「難読化」でなく、「ＬＳＩハードウェア監視」での実現手法は、たとえば、特開２００３−１９８５２７や特開２００４−１２９２２７のセキュアモジュールをそのままセキュアモジュール１０１Ｂに適用することで実現することができる。具体的には、たとえば、以下の１）〜３）に示したＬＳＩハードウェア監視を実現する。なお、セキュアソフトウェアのＬＳＩハードウェア監視は、セキュアモジュール１０１Ｂが下記１）〜３）のうち少なくともいずれか一つを実行できる構成とすればよい。
【００４８】
１）第１に、セキュアソフトウェアのプログラムコードをランダムにスキャン（読み出し）してハッシュ値を算出することでＬＳＩハードウェア監視を実現する。算出されたハッシュ値を、あらかじめ不揮発性メモリ２１０に蓄積してあったセキュアソフトウェアのハッシュ値と比較する。ハッシュ値が一致すれば、そのセキュアソフトウェアが改ざんされていないことを確認できる。
【００４９】
２）第２に、セキュアソフトウェアを情報処理装置１００上で起動する際に、当該セキュアソフトウェアのプログラムコードを再構成することでＬＳＩハードウェア監視を実現する。再構成とは、セキュアモジュール１０１Ｂが、セキュアソフトウェアのプログラムコードを当該セキュアソフトウェア起動時に「働きは、同じだが、違うプログラムコードに置き換える」ことである。この再構成時に１）のハッシュ値を算出して不揮発性メモリ２１０に格納しておく。
【００５０】
具体的には、たとえば、プログラムコードをシャッフル可能な複数のプログラムコードに分割しておき、起動時にセキュアモジュール１０１Ｂが、ランダムにシャッフルする。シャッフルした場合は、各分割コードにジャンプ命令を埋め込んでおき、シャッフル後のプログラムでもシャッフル前と同様に実行することができるようにしておく。
【００５１】
また、本当に「働きは、同じだが、違うプログラムコード」に置き換えることも可能である。たとえば、「Ｘ＝１＋Ｙ」というプログラムコードを置き換えた「Ｘ＝１０−９＋２Ｙ−Ｙ」というプログラムコードは、置き換え前と同じ働きをするが、別のプログラムコードである。こうするとセキュアソフトウェアのプログラムコードは、起動する度に「働きは同じだが、プログラムコードの違う」ものになる。ハッカーは、セキュアソフトウェアのコードを「覗き見」で取得できるが、毎回プログラムコードが違うのでそれだけ解析が困難である。また、プログラムコードのどの部分に肝心のコードがあるか分からなくなるという利点がある。
【００５２】
３）第３に、「秘密の番号通信プログラム」を用いて、セキュアソフトウェア起動後にセキュアソフトウェアとセキュアモジュール１０１Ｂの間で「秘密の番号」をベースに通信し、認証することでＬＳＩハードウェア監視を実現する。
【００５３】
この「秘密の番号通信プログラム」は、セキュアソフトウェアの中に、セキュアモジュール１０１Ｂとセキュアソフトウェアとの間で「秘密の番号」を通信し、セキュアモジュール１０１Ｂがセキュアソフトウェアの安全性を確認するためのプログラムである。
【００５４】
たとえば、セキュアモジュール１０１Ｂから秘密の番号をセキュアソフトウェアへ通知した後、セキュアソフトウェアがセキュアモジュール１０１Ｂへ正規の秘密の番号を返信する。ここで、正規の秘密の番号以外の番号がセキュアモジュール１０１Ｂへ返信された場合、セキュアモジュール１０１Ｂは、セキュアソフトウェアが改ざんされたと判断する。秘密の番号は、複数の番号からなる番号シーケンスであっても良い。
【００５５】
このため、「秘密の番号」がセキュアモジュール１０１Ｂ（という外部から改ざん・覗き見不可能な領域）から出ているため、事前に推測できず、非常に高いセキュアを確保できる。これにより、上記１）でスキャンされていないセキュアソフトウェアについても改ざん防止を図ることができる。
【００５６】
コンテンツ自体は、一般にインターネット１７２０上を暗号化された状態で伝送され、ＨＤ１７１１に暗号化された状態で蓄積される。視聴する場合は、これをコンテンツ視聴プログラム（プレイヤー１７１３）で復号する。コンテンツ視聴プログラムがハッキングされないように監視するのがセキュアモジュール１０１Ｂである。なお、セキュアソフトウェアもＨＤ１７１１に暗号化されて記憶されているが、セキュアモジュール１０１Ｂにより復号される。
【００５７】
また、セキュアモジュール１０１Ｂには、ＨＤ１７１１上の暗号化されたコンテンツの復号鍵が保持されており、コンテンツ視聴プログラムに提供することで暗号化されたコンテンツを復号できる。コンテンツの復号鍵は、たとえば、コンテンツ配信サーバー１７０１からセキュア（たとえば、公開鍵暗号方式）に受信する。
【００５８】
（セキュアモジュール１０１Ａとセキュアモジュール１０１Ｂとの機能分担）
セキュアモジュール１０１Ａは、情報処理装置１００の起動時にロードするソフトウェアコード（ＢＩＯＳ、ＯＳ、セキュアソフトウェア（プレイヤー１７１３、プラグイン・ソフトウェア１７１４、および課金ソフトウェア１７１６））のハッシュ値を算出し、予め記録されたハッシュ値との一致を確認することでＰＣ起動時の状態に異常がない（ＯＳなどが不正改ざんされていない）ことをチェックする。異常が検出された場合は、ユーザーに知らせるなどの措置を取る。
【００５９】
ただし、セキュアモジュール１０１Ａは、情報処理装置１００の起動時しかソフトウェアコードのハッシュ値を算出しておらず、情報処理装置１００の起動後のソフトウェアコードの改ざんを検出できない。また、ソフトウェアコードと言ってもセキュアソフトウェアのうち登録されたセキュアソフトウェアのプログラムコードのハッシュ確認をするだけで、ＰＣ上に存在するすべてのプログラムコードを確認できない。したがって、登録されていないセキュアソフトウェアのプログラムコードがＰＣに存在し、これが情報処理装置１００の起動後に改ざんされても検出できない。また、覗き見を防ぐこともできない。セキュア度の向上は、あるレベルに留まり、１００％でない。
【００６０】
動作中のプログラムコードの上記１）コードスキャンによる改ざん検出、上記２）再構成による覗き見防止などは、セキュアモジュール１０１Ｂが行う。セキュアモジュール１０１Ａの働きは、情報処理装置１００の起動時のＰＣのセキュア度を測定し、セキュア度を向上させること、情報処理装置１００の端末番号の証明である。情報処理装置１００の端末番号はコンテンツ配信サーバー１７０１から付与される固有の番号である。
【００６１】
なお、セキュアモジュール１０１Ａは、情報処理装置１００に固定されている。すなわち、情報処理装置１００から容易に切り離せないように実装されている。具体的には、たとえば、セキュアモジュール１０１Ａをモールドパッケージで覆う構成としている。また、セキュアモジュール１０１Ａは、一度情報処理装置１００から切り離すと元には戻せないように実装されている。
【００６２】
具体的には、たとえば、上述したモールドパッケージにより元には戻せない構造としている。また、セキュアモジュール１０１Ａの接続面のＢＧＡ（Ｂａｌｌ  Ｇｒｉｄ  Ａｒｒａｙ）によりマザーボード上に実装することで、一度取り外すと二度と同じ端子接続ができない構造となっている。このような構造とすることで、セキュアモジュール１０１Ａは、情報処理装置１００のユニーク番号を保障することができる。
【００６３】
このように、セキュアモジュール１０１Ａが情報処理装置１００に固定されて取り外し不可能な構成とされたため、セキュアモジュール１０１Ａ，１０１Ｂ間でセキュア接続（第三者に騙されることなく、本人と確認しつつ接続）することで、セキュアモジュール１０１Ａが持つ情報処理装置１００の端末番号をセキュアモジュール１０１Ｂにセキュアに与えることができる。具体的には、たとえば、公開鍵暗号方式により実現することができる。なお、セキュアモジュール１０１ＢのＴＲＭ構造は、セキュアモジュール１０１ＡのようなＴＰＭ構造の機能を有する。
【００６４】
（機密情報の内容）
図３は、機密情報の内容を示す説明図である。機密情報Ｓとは、コンテンツに関する情報（以下、「コンテンツ情報３０１」）と個人情報３０３を含む情報である。コンテンツ情報３０１は、コンテンツ配信業者ごと、プロバイダ毎に分割することができる。実際にどう管理するかは、ビジネス・スキーム次第である。
【００６５】
コンテンツ情報３０１には、たとえば、当該コンテンツのユニーク番号（ＩＳＡＮ番号）、コンテンツ視聴履歴（回数、年月日）、視聴料金、コンテンツ視聴に付随するコマーシャル視聴暦（回数、年月日）やコマーシャル視聴に付随するインターネット上のサイトへのアクセス暦（回数、年月日）、商品購入暦（商品、購入元、回数、年月日）など、コンテンツの処理結果の記録情報を含む。ＩＳＡＮ番号は、世界唯一であることが保障されたコンテンツ番号である。
【００６６】
また、コンテンツのコピーや移動があった場合は、当該コンテンツのユニーク番号（ＩＳＡＮ番号）、コンテンツのコピー暦（回数、年月日）、コピー料金、コンテンツ視聴に付随するコマーシャル視聴暦（回数、年月日）やコマーシャル視聴に付随するインターネット上のサイトへのアクセス暦（回数、年月日）、商品購入暦（商品、購入元、回数、年月日）なども含まれる。
【００６７】
また、個人情報３０３には、情報公開範囲設定（非公開、匿名公開、配信業者公開、当該プロバイダ公開）、匿名公開２重公開防止用として、情報公開暦（公開独自番号、日時、公開相手）がある。また、一般個人情報３０３として、年齢、性別、嗜好、地域などがある。なお、プライベート情報として、氏名、住所、銀行預金番号、勤務先、勤務暦がある。
【００６８】
コンテンツ情報３０１は、コンテンツ処理アプリケーション（たとえば、プラグイン・ソフトウェア１７１４）が生成する。機密情報Ｓは、一般的に他人に覗き見や改ざんをされると困るのでセキュアに保存する必要がある。セキュアに保存する手法として例えば、セキュアモジュール１０１Ｂに付属する不揮発性メモリ２１０に暗号化した上で保存する。この場合、この機密情報Ｓにアクセスできるのは、セキュアモジュール１０１Ｂだけである。
【００６９】
（端末登録／セキュア領域設定シーケンス）
図４は、端末登録／セキュア領域設定シーケンスを示すシーケンス図である。以降のシーケンス図においては簡略化のため、セキュアモジュール１０１Ａを「ＬＳＩ−Ａ」と表記し、セキュアモジュール１０１Ｂを「ＬＳＩ−Ｂ」と表記する。
【００７０】
まず、セキュアモジュール１０１Ａが、コンテンツ配信サーバー１７０１に対し、契約リクエスト（ＬＳＩ−Ａの公開鍵、セキュアソフトウェアの改ざん確認結果を含む）を送信する（ステップＳ４０１）。改ざん確認結果は、セキュアモジュール１０１Ａ，１０１Ｂから得られる結果である。
【００７１】
コンテンツ配信サーバー１７０１は、契約リクエストを受信すると、改ざん確認結果からその安全性を確認する（ステップＳ４０２）。安全性確認では、たとえば、改ざん確認結果において、改ざんが確認されなかった場合は安全であると判断する。コンテンツ配信サーバー１７０１は、乱数と端末番号を生成する（ステップＳ４０３）。端末番号は、契約スクエストをしてきた情報処理装置１００に固有の番号となる。そして、乱数および端末番号をセキュアモジュール１０１Ａに送信する（ステップＳ４０５）。
【００７２】
セキュアモジュール１０１Ａは、受信された端末番号を登録し（ステップＳ４０５）、端末番号をセキュアモジュール１０１Ｂに送信する（ステップＳ４０６）。セキュアモジュール１０１Ａ，１０１Ｂ間の通信については後述する。端末番号はセキュアモジュール１０１Ｂのみアクセスできる不揮発性メモリ２１０に格納される。セキュアモジュール１０１Ｂは、個人情報３０３を不揮発性メモリ２１０から読み出して、セキュアモジュール１０１Ａに送信する（ステップＳ４０７）。
【００７３】
セキュアモジュール１０１Ａでは、「個人情報３０３＋乱数＋端末番号」のハッシュ値を算出する（ステップＳ４０８）。「ｘｘｘ＋ｙｙｙ」とは、ｘｘｘとｙｙｙをつなげたデータ列である。したがって、「個人情報３０３＋乱数＋端末番号」はユニークなデータ列である。セキュアモジュール１０１Ａは、その秘密鍵で、算出されたハッシュ値を暗号化し（ステップＳ４０９）、「個人情報３０３＋乱数＋端末番号」と暗号化ハッシュ値とをコンテンツ配信サーバー１７０１に送信する（ステップＳ４１０）。
【００７４】
コンテンツ配信サーバー１７０１は、「個人情報３０３＋乱数＋端末番号」のハッシュ値を算出する（ステップＳ４１１）。また、ステップＳ４０１で受信したセキュアモジュール１０１Ａの公開鍵で、暗号化ハッシュ値を復号する（ステップＳ４１２）。そして、ステップＳ４１１で算出されたハッシュ値とステップＳ４１２で復号されたハッシュ値との一致判定をおこなう（ステップＳ４１３）。
【００７５】
一致した場合は、端末番号を情報処理装置１００の端末番号として正式に登録し（ステップＳ４１４）、セキュアモジュール１０１Ｂに登録完了通知を送信する（ステップＳ４１５）。公開鍵で復号できるハッシュ値を生成できるのは、公開鍵とペアを成す秘密鍵を知るセキュアモジュール１０１Ａだけである。また、「乱数」のやりとりをしているので機械的に第三者が予め記憶した情報（再送攻撃という）を受けとっているのでなく、確かにセキュアモジュール１０１Ａ搭載の情報処理装置１００から送信されてきたデータであると確認できる。セキュアモジュール１０１Ｂは、コンテンツ配信サーバー１７０１から登録完了通知を受けると、機密情報Ｓの格納処理を実行する（ステップＳ４１６）。
【００７６】
図５は、機密情報Ｓの格納処理（ステップＳ４１６）の詳細な処理手順を示すフローチャートである。図５において、機密情報Ｓの先頭に端末番号を付加し（ステップＳ５０１）、「端末番号＋機密情報」のハッシュ値を算出する（ステップＳ５０２）。そして、算出されたハッシュ値と機密情報Ｓを、セキュアモジュール１０１Ｂのマスター鍵で暗号化する（ステップＳ５０３）。この暗号化ハッシュ値および暗号化機密情報Ｓを不揮発性メモリ２１０に格納する（ステップＳ５０４）。これにより、機密情報Ｓをセキュアに保存することができる。
【００７７】
（セキュアソフトウェアの監視シーケンス）
図６は、セキュアソフトウェアの監視シーケンスを示すシーケンス図である。セキュアソフトウェアの監視シーケンスは、セキュアモジュール１０１Ａ，１０１Ｂにより、ハッキング防止のため、セキュアソフトウェアを情報処理装置１００の起動時およびセキュアソフトウェアの実行時に監視するシーケンスである。
【００７８】
まず、セキュアモジュール１０１Ａ，１０１Ｂにおいて、端末の起動を検出し（ステップＳ６０１、Ｓ６０２）、セキュアモジュール１０１Ａが、セキュアソフトウェアのプログラムコードのハッシュ値を算出する（ステップＳ６０３）。そして、すでに算出されているセキュアソフトウェアのプログラムコードのハッシュ値を読み出して、ハッシュ値の一致判定をおこなう（ステップＳ６０４）。ハッシュ値が一致していれば、改ざんされていないことがわかる。このあと、判定結果を出力する（ステップＳ６０５）。
【００７９】
セキュアモジュール１０１Ｂは、起動検出のあと、乱数と端末番号のリクエストをおこなう（ステップＳ６０６）。セキュアモジュール１０１Ａは、リクエストを受け付けると、乱数を生成して（ステップＳ６０７）、「乱数＋端末番号」のハッシュ値を算出して（ステップＳ６０８）、算出されたハッシュ値をセキュアモジュール１０１Ａの秘密鍵で暗号化する（ステップＳ６０９）。そして、「乱数＋端末番号」と暗号化ハッシュ値とをセキュアモジュール１０１Ｂに送信する（ステップＳ６１０）。
【００８０】
セキュアモジュール１０１Ｂは、「乱数＋端末番号」のハッシュ値をセキュアモジュール１０１Ａと同一のハッシュ関数で算出し（ステップＳ６１１）、暗号化ハッシュ値をセキュアモジュール１０１Ａの公開鍵で復号する（ステップＳ６１２）。そして、ハッシュ値の一致判定をおこなう（ステップＳ６１３）。ハッシュ値は常に最新の値となって格納されるため、ハッシュ値が不一致であると、セキュアモジュール１０１Ａの異常を早期発見することができる。ここで、ハッシュ値が一致する場合、セキュアモジュール１０１Ａが情報処理装置１００に搭載されたまま取り外されることなく、情報処理装置１００に付与された端末番号を正常にセキュアモジュール１０１Ｂに送信されたことが確認される。
【００８１】
このように通信の正当性が確認されたあと、セキュアモジュール１０１Ｂは、セキュアソフトウェアの監視処理を実行する（ステップＳ６１４）。具体的には、たとえば、セキュアソフトウェアのＬＳＩハードウェア監視（上述した１）〜３）のうち少なくともいずれか一つ）を実行する。これにより、セキュアソフトウェアの起動時および実行時の改ざん防止を図ることができる。
【００８２】
（コンテンツ配信シーケンス）
図７は、コンテンツ配信シーケンスを示すシーケンス図である。コンテンツ配信シーケンスは、コンテンツをセキュアに配信して、セキュアモジュール１０１Ｂ内でセキュアに復号するシーケンスである。
【００８３】
まず、セキュアモジュール１０１Ｂは、コンテンツ配信サーバー１７０１の公開鍵を取得しておき（ステップＳ７０１）、コンテンツ配信要求をコンテンツ配信サーバー１７０１に送信する（ステップＳ７０２）。コンテンツ配信サーバー１７０１は、コンテンツ配信要求を受け付けると、情報処理装置のセキュアモジュール１０１Ｂに対し、要求されたコンテンツを暗号化した暗号化コンテンツを送信する（ステップＳ７０３）。
【００８４】
セキュアモジュール１０１Ｂは、暗号化コンテンツを受信すると、乱数を生成し（ステップＳ７０４）、コンテンツ復号鍵の要求（乱数含む）をコンテンツ配信サーバー１７０１に送信する（ステップＳ７０５）。
【００８５】
コンテンツ配信サーバー１７０１は、「乱数＋コンテンツ復号鍵」のハッシュ値を算出して（ステップＳ７０６）、算出されたハッシュ値を秘密鍵で暗号化する（ステップＳ７０７）。そして、セキュアモジュール１０１Ｂに対し、「乱数＋コンテンツ復号鍵」と暗号化ハッシュ値を送信する（ステップＳ７０８）。
【００８６】
セキュアモジュール１０１Ｂは、暗号化ハッシュ値をコンテンツ配信サーバー１７０１の公開鍵で復号し（ステップＳ７０９）、「乱数＋コンテンツ復号鍵」のハッシュ値をコンテンツ配信サーバー１７０１のハッシュ関数と同一のハッシュ関数で算出する（ステップＳ７１０）。そして、復号されたハッシュ値と算出されたハッシュ値との一致判定をおこなう（ステップＳ７１１）。ハッシュ値の算出にワンタイムの乱数を使用しているため、ハッシュ値が不一致であると、コンテンツ復号鍵は正統なデータでないことがわかる。一致していれば、「乱数＋コンテンツ復号鍵」に含まれているコンテンツ復号鍵は正当なデータである。
【００８７】
セキュアモジュール１０１Ｂは自身が生成した乱数がわかっているため、「乱数＋コンテンツ復号鍵」からコンテンツ復号鍵を抽出し、暗号化コンテンツをコンテンツ復号鍵で復号する（ステップＳ７１２）。これにより、セキュアモジュール１０１Ｂは、コンテンツ配信サーバー１７０１から配信されたコンテンツと確信しつつ、セキュアにコンテンツ復号鍵を受け取れる。したがって、コンテンツをセキュアに配信することができる。
【００８８】
（機密情報Ｓの更新シーケンス）
図８は、機密情報Ｓの更新シーケンスを示すシーケンス図である。機密情報Ｓ更新シーケンスは、セキュアモジュール１０１Ｂによりセキュアに格納されている機密情報Ｓをセキュアに更新して再度セキュアに格納するシーケンスである。機密情報Ｓは、たとえば、コンテンツを視聴したり、コンテンツを他の記録媒体（内部のＨＤ、ＤＶＤ、外部のＨＤ）へコピー／移動した場合に、更新される。
【００８９】
図８において、まず、コンテンツを処理するセキュアソフトウェアが、復号されたコンテンツを処理（たとえば、再生、コピー、移動）する（ステップＳ８０１）と、機密情報Ｓの更新リクエストをセキュアモジュール１０１Ｂに送信する（ステップＳ８０２）。セキュアモジュール１０１Ｂは、不揮発性メモリ２１０内の暗号化機密情報Ｓを読み出し（ステップＳ８０３）、マスター鍵で暗号化機密情報Ｓを復号する（ステップＳ８０４）。そして、「端末番号＋機密情報Ｓ」のハッシュ値を算出する（ステップＳ８０５）。
【００９０】
また、不揮発性メモリ２１０内のハッシュ値を抽出して（ステップＳ８０６）、算出されたハッシュ値と抽出されたハッシュ値の一致判定をおこなう（ステップＳ８０７）。ハッシュ値は常に最新の値となって格納されるため、ハッシュ値が不一致であると、機密情報Ｓまたは端末番号が異なっていることがわかる。一致している場合、セキュアソフトウェアからの正常なアクセスであることが確認されるため、機密情報Ｓを更新する（ステップＳ８０８）。たとえば、コンテンツを視聴した場合、視聴回数を１回加算する。そして、更新後の機密情報Ｓの再格納処理を実行する（ステップＳ８０９）。
【００９１】
図９は、更新後の機密情報Ｓの再格納処理（ステップＳ８０９）の詳細な処理手順を示すフローチャートである。まず、更新後の機密情報Ｓの先頭に端末番号を付加し（ステップＳ９０１）、「端末番号＋更新後の機密情報Ｓ」のハッシュ値を算出する（ステップＳ９０２）。また、算出されたハッシュ値と更新後の機密情報Ｓをセキュアモジュール１０１Ｂのマスター鍵で暗号化する（ステップＳ９０３）。そして、暗号化ハッシュ値と暗号化機密情報Ｓを不揮発性メモリ２１０に格納する（ステップＳ９０４）。更新前の暗号化ハッシュ値は更新後の暗号化ハッシュ値に上書きされることにより、破棄される。これにより、更新後の機密情報Ｓもセキュアに保存することができる。
【００９２】
（機密情報Ｓの閲覧シーケンス）
図１０は、機密情報Ｓの閲覧シーケンスを示すシーケンス図である。この機密情報Ｓの閲覧シーケンスは、コンテンツ配信サーバー１７０１から情報処理装置１００にセキュアに格納されている機密情報Ｓをセキュアに閲覧するシーケンスである。
【００９３】
まず、コンテンツ配信サーバー１７０１は、機密情報Ｓの閲覧要求を送信する（ステップＳ１００１）。セキュアモジュール１０１Ｂは、閲覧要求を受けると、不揮発性メモリ２１０内の暗号化機密情報Ｓを読み出し（ステップＳ１００２）、マスター鍵で暗号化機密情報Ｓを復号する（ステップＳ１００３）。そして、「端末番号＋機密情報Ｓ」のハッシュ値を算出する（ステップＳ１００４）。
【００９４】
また、不揮発性メモリ２１０内のハッシュ値を抽出して（ステップＳ１００５）、算出されたハッシュ値と抽出されたハッシュ値の一致判定をおこなう（ステップＳ１００６）。ハッシュ値は常に最新の値となって格納されるため、ハッシュ値が不一致であると、機密情報Ｓまたは端末番号が異なっていることがわかる。一致している場合、コンテンツ配信サーバー１７０１からの正常なアクセスであることが確認されるため、「端末番号＋機密情報Ｓ」をコンテンツ配信サーバー１７０１の公開鍵で暗号化し（ステップＳ１００７）、コンテンツ配信サーバー１７０１に暗号化された「端末番号＋機密情報Ｓ」（暗号化情報）を送信する（ステップＳ１００８）。
【００９５】
コンテンツ配信サーバー１７０１は、暗号化情報を受信して、秘密鍵で復号する（ステップＳ１００９）。そして、復号された「端末番号＋機密情報Ｓ」から機密情報Ｓを抽出する（ステップＳ１０１０）。コンテンツ配信サーバー１７０１は、端末番号がわかっているため、「端末番号＋機密情報」から機密情報Ｓを抽出することができる。そして、機密情報Ｓを表示する（ステップＳ１０１１）などして、コンテンツ配信サーバー１７０１のオペレータは、機密情報Ｓを閲覧することができる。これにより、セキュアに格納された機密情報Ｓを外部の権限のある者（コンテンツ配信サーバー１７０１）にだけ、セキュアに送信することができる。したがって、セキュアな機密情報Ｓを外部からセキュアに閲覧することができる。
【００９６】
なお、上述した実施の形態では、機密情報Ｓをセキュアモジュール１０１Ｂしかアクセスできない不揮発性メモリ２１０にセキュアに格納する例を説明したが、機密情報Ｓは、ＨＤ１７１１に格納することとしてもよい。たとえば、不揮発性メモリ２１０の容量が不足する場合、セキュア領域を情報処理装置１００のＨＤ１７１１にセキュアに拡張する。これにより、セキュア領域を事実上無限にすることができる。
【００９７】
図１１は、情報処理装置１００のハードウェア構成を示すブロック図（その２）である。ハードウェア構成自体は、図２に示したハードウェア構成と同一である。図１１において、ＨＤ１７１１には、複数のコンテンツと対応する暗号化機密情報が格納されている。ここでは、配信業者Ｂ１のコンテンツをＣ１、配信業者Ｂ２のコンテンツをＣ２とする。また、配信業者Ｂ１に対しての機密情報を機密情報Ｓ１、その暗号化機密情報をＥ（Ｓ１）、配信業者Ｂ２に対しての機密情報を機密情報Ｓ２、その暗号化機密情報をＥ（Ｓ２）とする。不揮発性メモリ２１０には、コンテンツＣ１に対する暗号化ハッシュ値Ｅ（Ｈ１）と、コンテンツＣ２に対する暗号化ハッシュ値Ｅ（Ｈ２）が格納されている。
【００９８】
図１２は、図１１に示した機密情報を示す説明図である。機密情報Ｓ１は、配信業者Ｂ１のコンテンツ情報３０１と個人情報３０３とを有する。機密情報Ｓ２は、配信業者Ｂ２のコンテンツ情報３０２と個人情報３０３とを有する。機密情報Ｓ１を暗号化すると暗号化機密情報Ｅ（Ｓ１）となり、機密情報Ｓ２を暗号化すると暗号化機密情報Ｅ（Ｓ２）となる。セキュアな記憶領域をＨＤ１７１１にまで拡張した場合、図４および図５に示した機密情報Ｓの格納処理（ステップＳ４１６）は、以下のような処理手順となる。
【００９９】
図１３は、セキュア領域が拡張された場合の機密情報Ｓ１，Ｓ２の格納処理（ステップＳ４１６）の詳細な処理手順を示すフローチャートである。ここでは、機密情報Ｓ１を例に挙げて説明する。図１３において、機密情報Ｓ１の先頭に端末番号を付加し（ステップＳ１３０１）、「端末番号＋機密情報」のハッシュ値を算出する（ステップＳ１３０２）。そして、算出されたハッシュ値をＨ１とする。なお、機密情報Ｓ２の場合はハッシュ値Ｈ２とする。このハッシュ値Ｈ１と機密情報Ｓ１を、セキュアモジュール１０１Ｂのマスター鍵で暗号化する（ステップＳ１３０３）。この暗号化ハッシュ値Ｅ（Ｈ１）（機密情報Ｓ２の場合は暗号化ハッシュ値Ｅ（Ｈ２））を不揮発性メモリ２１０に格納する（ステップＳ１３０４）。
【０１００】
また、ＨＤ１７１１内の領域のうちセキュア領域を設定して（ステップＳ１３０５）、暗号化機密情報Ｅ（Ｓ１）をＨＤ１７１１に格納する（ステップＳ１３０６）。これにより、セキュアな記憶領域を事実上無限に拡張することができる。このような処理は、更新後の機密情報Ｓ１の再格納処理（ステップＳ８０９）についても同様である。
【０１０１】
図１４は、更新後の機密情報Ｓ１の再格納処理（ステップＳ８０９）の詳細な処理手順を示すフローチャートである。まず、更新後の機密情報Ｓ１の先頭に端末番号を付加し（ステップＳ１４０１）、「端末番号＋更新後の機密情報」のハッシュ値を算出する（ステップＳ１４０２）。また、あらたに算出されたハッシュ値Ｈ１と更新後の機密情報Ｓ１をセキュアモジュール１０１Ｂのマスター鍵で暗号化する（ステップＳ１４０３）。
【０１０２】
そして、暗号化ハッシュ値Ｅ（Ｈ１），Ｅ（Ｈ２）を不揮発性メモリ２１０に格納する（ステップＳ１４０４）。また、暗号化機密情報Ｅ（Ｓ１），Ｅ（Ｓ２）をＨＤ１７１１に格納する（ステップＳ１４０５）。これにより、セキュア領域の拡張した場合でも機密情報をセキュアに保存することができる。
【０１０３】
また、上述した実施の形態では、セキュアモジュール１０１Ａ，１０１Ｂを別モジュールで構成しているが、セキュアモジュール１０１Ａ，１０１Ｂを一体化することとしてもよい。すなわち、セキュアモジュール１０１Ａ，１０１Ｂを単一モジュールとする。
【０１０４】
図１５は、単一モジュール化した場合のシステム構成図である。これにより、セキュアモジュール１０１Ａ，１０１Ｂ間の通信（図６の点線内）が不要となる。なお、この場合、単一モジュール１５００は、セキュアモジュール１０１Ａと同様、情報処理装置１００から容易に切り離せないように実装されている。
【０１０５】
具体的には、たとえば、単一モジュール１５００をモールドパッケージで覆う構成としている。また、単一モジュール１５００は、一度、情報処理装置１００から切り離すと元には戻せないように実装されている。具体的には、たとえば、上述したモールドパッケージにより元には戻せない構造としている。また、単一モジュール１５００の接続面のＢＧＡ（Ｂａｌｌ  Ｇｒｉｄ  Ａｒｒａｙ）によりマザーボード上に実装することで、一度取り外すと二度と同じ端子接続ができない構造となっている。このような構造とすることで、単一モジュール１５００は、情報処理装置１００のユニーク番号を保障することができる。
【０１０６】
なお、上述した実施の形態において、個人情報３０３の公開範囲を個人で設定可能にし、公開範囲により、配信業者などが、当該個人に特典を提供することとしてもよい。公開範囲の段階として、例えば「匿名公開」と「個人名を出した上で公開」というような段階が考えられる。上記では、「個人一般情報」は、「匿名情報」であり、「個人プライベート情報」は、個人を特定できるレベルの公開範囲となる。配信業者の立場で言えば、個人情報３０３は、個人と商売する上で貴重な情報である。個人に適した商品を提案できるようになる。個人にしても自分に適した商品の提案は、大歓迎である。情報の公開範囲を設定することでビジネスの範囲を広げることが可能である。
【０１０７】
図１６は、本実施の形態を用いたビジネス手法の一例を示す説明図である。図１６において、売り手は、買い手から情報を得、それに対しクーポンという形で買い手に特典を供与する。クーポンの量は、買い手からの情報のレベル（匿名か個人特定可能かなど）で変更する。その上で売り手は、買い手の情報をベースに商品を提案する、買い手は、その商品が気に入れば、購入する。購入の際、クーポンを使い、金額を値引きしてもらう。
【０１０８】
なお、機密情報の公開履歴も機密情報として蓄積することも考えられる。これにより、公開情報の２重公開を防止する、或いは、特定の配信業者から２重に機密情報を要求された場合は、誰かが、配信業者と偽って、機密情報と不正取得しようとしているなど、一定のセキュリティーの確保に役立つこととなる。
【０１０９】
このように、本実施の形態では、ＰＣなど外部から容易に覗き見や改ざんができる情報処理装置１００において、（Ａ）配信業者（コンテンツ配信サーバー１７０１）の要求に応じて端末番号、鍵などをセキュアに設定し、（Ｂ）設定された鍵をベースに当該情報処理装置１００内に当該配信業者用のセキュアな記憶領域を設定し、（Ｃ）配信業者用のコンテンツ処理アプリケーションプログラムをセキュア化し、（Ｄ）機密情報を配信業者用のセキュアな記憶領域に保存し、（Ｅ）配信業者の要求に応じて機密情報をセキュアに伝達するというセキュア化手段を構築する。
【０１１０】
これにより、配信業者は、機密情報をベースにユーザー（視聴者）あるいは広告主から収益を得、（Ａ）〜（Ｅ）のセキュア化手段の提供者（たとえば、情報処理装置１００やセキュアモジュール１０１Ａ，１０１Ｂの製造・販売者）は、配信業者などに（Ａ）〜（Ｅ）のセキュア化手段およびセキュアな記憶領域を貸し出すことで収益を得ることができる。
【０１１１】
また、このようなコンテンツ配信スキームでセキュアな記憶領域内の小さな領域に、セキュア化したい情報のハッシュ値とセキュア化したい情報（機密情報）を暗号化した際の暗号鍵を保存する。セキュア化したい情報（機密情報）を更新する際は、必ずハッシュ値を保存し、最新の情報であることを確認できるようにしておく。セキュア化したい情報自体は、暗号化した上で情報処理装置１００上のＨＤ１７１１など非セキュア領域に暗号化した上で保存する。
【０１１２】
情報を読み出す際は、情報を復号し、さらにハッシュ値により最新情報であることを確認する。こうすることで、セキュアな記憶領域に存在するセキュアな領域が小さくとも、情報処理装置１００上のＨＤ１７１１など大容量メモリを流用し、幾らでも記憶領域を拡張することができる。
【０１１３】
また、上述したコンテンツ情報３０１の公開範囲（視聴暦＋年齢＋過去視聴暦＋性別＋住む地域など）や公開相手（コンテンツ・プロバイダ、コンテンツ配信業者）を外部の依頼で視聴者の選択で設定可能にし、プロバイダや配信業者が当該コンテンツに関連するコンテンツ消費状況、コマーシャル視聴状況、商品関係インターネット・サイト・クリック状況を調査できるようにすることができる。
【０１１４】
また、上述した実施の形態では、コマーシャル視聴暦の公開でコンテンツ料金を安価にする。たとえば、コマーシャル視聴暦、クリック暦をインターネット・コンテンツ配信業者に伝送する。コンテンツ配信業者は、そのクリック暦などでコマーシャル代を貰うこととする。
【０１１５】
また、上述した実施の形態では、世界唯一と保障されたコンテンツ番号（ＩＳＡＮ番号）が存在し、その番号をベースにコンテンツ配信業者の中から一番条件のよいコンテンツ配信業者を視聴者が選定できるようにすることができる。また、ＴＰＭ（端末番号認証）とＴＲＭ  ＬＳＩをペアまたはワンチップ化することもできる。さらに、上述した実施の形態では、第１のセキュアモジュール１０１ＡをＴＰＭ構造としたが、第２のセキュアモジュール１０１Ｂと同様、ＴＰＭ構造よりＴＲＭ構造としてもよい。ＴＲＭ構造は、ＴＰＭ構造より上位の構造であるため、ＴＰＭの機能をすべて包含する。したがって、ＴＰＭ構造と同一の処理をおこなうことができる。
【０１１６】
また、上述した実施の形態では、セキュアな記憶領域をコンテンツ配信業者に貸し出し、コンテンツ配信業者のコンテンツ配信ビジネスを可能にすることができる。さらに、セキュアな機密情報の公開範囲を視聴者が設定することもできる。また、セキュアな機密情報の公開範囲の設定により、視聴者は、売り手から「特典（例えば金額一部バック）」を得、売り手は、当該機密情報を利用し、買い手に適した商品提案をすることができる。たとえば、公開レベルにより特典の量が違うこととしてもよい。また、機密情報の公開相手と公開内容を記録し、機密情報の２重公開などを防止し、全体のセキュリティー強度を向上させることができる。
【０１１７】
以上説明したように、本実施の形態によれば、汎用の情報処理装置１００でもコンテンツ視聴ソフトウェアや課金ソフトウェアといったセキュアソフトウェアの改ざんを防止することができるため、コンテンツの盗みだしを防止することができる。これにより、情報処理装置１００の汎用性を保持しつつコンテンツの提供者が安心してインターネットでコンテンツ配信することができる。
【０１１８】
また、情報処理装置１００の起動時だけでなくソフトウェア（セキュアソフトウェアか否かは問わない）実行中においても実行中のソフトウェアの改ざんの有無を検出するため、当該実行中のソフトウェアの不正動作やインターネット経由での不正ソフトのダウンロードから情報処理装置１００を保護することができる。
【０１１９】
また、汎用の情報処理装置１００においてコンテンツ配信のための運用可能な管理システムを提供することができる。さらに、できるだけある程度認知された範囲の既存規格や技術を流用することで運用可能なコンテンツ配信とコンテンツ管理を実現することができる。なお、上述した実施の形態に関し、さらに以下の付記を開示する。
【０１２０】
（付記１）ネットワークを介してコンテンツに関する機密情報の格納先を前記コンテンツの提供元から前記コンテンツの提供を受ける情報処理装置内に割り当てる記憶領域割当方法であって、
前記提供元により、前記情報処理装置のユニーク番号を生成する生成工程と、
前記情報処理装置に着脱不能な状態で実装されているＴＲＭ（Ｔａｍｐｅｒ  Ｒｅｓｉｓｔａｎｔ  Ｍｏｄｕｌｅ）構造を有する第１のセキュアモジュールにより、前記生成工程によって生成されたユニーク番号を前記提供元から前記情報処理装置に実装されているＴＲＭ構造を有する第２のセキュアモジュールにセキュアに転送する転送工程と、
前記第２のセキュアモジュールにより、前記機密情報と前記転送工程によって転送されたユニーク番号との結合情報に関するハッシュ値を算出する算出工程と、
前記第２のセキュアモジュールにより、前記算出工程によって算出されたハッシュ値と前記ユニーク番号と前記機密情報とを、前記情報処理装置内の記憶領域にセキュアに格納する格納工程と、
を含んだことを特徴とする記憶領域割当方法。
【０１２１】
（付記２）前記第１または第２のセキュアモジュールにより、前記コンテンツを処理するソフトウェアの改ざんの有無を検出するソフトウェア改ざん検出工程を含み、
前記生成工程は、
前記提供元により、前記ソフトウェア改ざん検出工程によって改ざんなしと検出された場合、前記情報処理装置のユニーク番号を生成することを特徴とする付記１に記載の記憶領域割当方法。
【０１２２】
（付記３）前記格納工程は、
前記第２のセキュアモジュールにより、前記ハッシュ値と前記ユニーク番号と前記機密情報とを、前記第２のセキュアモジュールのみアクセス可能な記憶領域に格納することを特徴とする付記１または２に記載の記憶領域割当方法。
【０１２３】
（付記４）前記格納工程は、
前記第２のセキュアモジュールにより、前記ハッシュ値と前記ユニーク番号とを、前記第２のセキュアモジュールのみアクセス可能な記憶領域に格納するとともに、前記機密情報を当該記憶領域以外の他の記憶領域にセキュアに格納することを特徴とする付記１または２に記載の記憶領域割当方法。
【０１２４】
（付記５）前記ソフトウェアにより前記コンテンツが処理された場合、前記第２のセキュアモジュールにより、前記格納工程（以下、「第１の格納工程」という）によって前記記憶領域に格納されたユニーク番号、機密情報およびハッシュ値に基づいて、前記機密情報の改ざんの有無を検出する機密情報改ざん検出工程と、
前記機密情報改ざん検出工程によって改ざんなしと検出された場合、前記第２のセキュアモジュールにより、前記コンテンツの処理に応じて前記機密情報を更新する更新工程と、
前記第２のセキュアモジュールにより、前記算出工程（以下、「第１の算出工程」という）によって算出されたハッシュ値を破棄して、前記更新工程による更新後の機密情報と前記ユニーク番号との結合情報に関するハッシュ値を算出する第２の算出工程と、
前記第２のセキュアモジュールにより、前記第２の算出工程によって算出されたハッシュ値と前記ユニーク番号と前記更新後の機密情報とを、前記記憶領域に格納する第２の格納工程と、
を含んだことを特徴とする付記１〜４のいずれか一つに記載の記憶領域割当方法。
【０１２５】
（付記６）前記提供元から前記ユニーク番号を含む前記機密情報の閲覧要求があった場合、前記第２のセキュアモジュールにより、前記記憶領域に格納されたユニーク番号、機密情報およびハッシュ値に基づいて、前記機密情報の改ざんの有無を検出する機密情報改ざん検出工程と、
前記機密情報改ざん検出工程によって改ざんなしと検出された場合、前記第２のセキュアモジュールにより、前記提供元でのみ復号可能な暗号復号方式で前記機密情報を暗号化する暗号化工程と、
前記暗号化工程によって暗号化された機密情報を前記提供元に送信する送信工程と、
を含んだことを特徴とする付記１〜５のいずれか一つに記載の記憶領域割当方法。
【０１２６】
（付記７）前記第１のセキュアモジュールは、ＴＰＭ（Ｔｒｕｓｔｅｄ  Ｐｌａｔｆｏｒｍ  Ｍｏｄｕｌｅ）構造を有するモジュールであることを特徴とする付記１〜６のいずれか一つに記載の記憶領域割当方法。
【０１２７】
（付記８）ネットワークを介してコンテンツの提供を受けて前記コンテンツを処理する情報処理装置であって、
前記情報処理装置に着脱不能な状態で実装されているＴＲＭ（Ｔａｍｐｅｒ  Ｒｅｓｉｓｔａｎｔ  Ｍｏｄｕｌｅ）構造を有する第１のセキュアモジュールと、
前記第１のセキュアモジュールとセキュアに接続可能であり、前記情報処理装置に実装されているＴＲＭ構造を有する第２のセキュアモジュールと、
記憶手段と、を備え、
前記第１のセキュアモジュールは、
前記コンテンツの提供元によって生成された前記情報処理装置のユニーク番号を、前記第２のセキュアモジュールにセキュアに転送する転送手段を備え、
前記第２のセキュアモジュールは、
前記機密情報と前記転送手段によって転送されたユニーク番号との結合情報に関するハッシュ値を算出する算出手段と、
前記算出手段によって算出されたハッシュ値と前記ユニーク番号と前記機密情報とを、前記記憶手段にセキュアに格納する格納手段と、を備えることを特徴とする情報処理装置。
【０１２８】
（付記９）前記第１または第２のセキュアモジュールは、
前記コンテンツを処理するソフトウェアの改ざんの有無を検出するソフトウェア改ざん検出手段を備え、
前記第１のセキュアモジュールは、
前記ソフトウェア改ざん検出手段によって改ざんなしと検出されたことにより前記コンテンツの提供元によって生成された前記情報処理装置のユニーク番号を、前記第２のセキュアモジュールにセキュアに転送することを特徴とする付記８に記載の情報処理装置。
【０１２９】
（付記１０）前記記憶手段は、前記第２のセキュアモジュールのみアクセス可能な記憶領域であることを特徴とする付記８または９に記載の情報処理装置。
【０１３０】
（付記１１）前記記憶手段は、前記第２のセキュアモジュールのみアクセス可能な記憶領域と、当該記憶領域以外の他の記憶領域とを有し、
前記格納手段は、
前記ハッシュ値と前記ユニーク番号とを、前記第２のセキュアモジュールのみアクセス可能な記憶領域に格納するとともに、前記機密情報を当該記憶領域以外の他の記憶領域にセキュアに格納することを特徴とする付記８または９に記載の情報処理装置。
【０１３１】
（付記１２）前記第２のセキュアモジュールは、
前記ソフトウェアにより前記コンテンツが処理された場合、前記記憶手段に格納されたユニーク番号、機密情報およびハッシュ値に基づいて、前記機密情報の改ざんの有無を検出する機密情報改ざん検出手段と、
前記機密情報改ざん検出手段によって改ざんなしと検出された場合、前記コンテンツの処理に応じて前記機密情報を更新する更新手段と、を備え、
前記算出手段は、
前記ハッシュ値（以下、「第１のハッシュ値」という）を破棄して、前記更新手段による更新後の機密情報と前記ユニーク番号との結合情報に関する第２のハッシュ値を算出し、
前記格納手段は、
前記算出手段によって算出された第２のハッシュ値と前記ユニーク番号と前記更新後の機密情報とを、前記記憶手段に格納することを特徴とする付記８〜１１のいずれか一つに記載の情報処理装置。
【０１３２】
（付記１３）前記第２のセキュアモジュールは、
前記提供元から前記ユニーク番号を含む前記機密情報の閲覧要求があった場合、前記記憶手段に格納されたユニーク番号、機密情報およびハッシュ値に基づいて、前記機密情報の改ざんの有無を検出する機密情報改ざん検出手段と、
前記機密情報改ざん検出手段によって改ざんなしと検出された場合、前記提供元でのみ復号可能な暗号復号方式で前記機密情報を暗号化する暗号化手段と、
前記暗号化手段によって暗号化された機密情報を前記提供元に送信する送信手段と、
を備えることを特徴とする付記８〜１２のいずれか一つに記載の情報処理装置。
【０１３３】
（付記１４）前記第１のセキュアモジュールは、ＴＰＭ（Ｔｒｕｓｔｅｄ  Ｐｌａｔｆｏｒｍ  Ｍｏｄｕｌｅ）構造を有するモジュールであることを特徴とする付記８〜１３のいずれか一つに記載の情報処理装置。
【０１３４】
（付記１５）前記第１および第２のセキュアモジュールは、単一モジュールであることを特徴とする付記８〜１４のいずれか一つに記載の情報処理装置。
【図面の簡単な説明】
【０１３５】
【図１】実施の形態にかかるインターネットを利用したコンテンツ配信システムのシステム構成図である。
【図２】情報処理装置のハードウェア構成を示すブロック図（その１）である。
【図３】機密情報の内容を示す説明図である。
【図４】端末登録／セキュア領域設定シーケンスを示すシーケンス図である。
【図５】機密情報の格納処理の詳細な処理手順を示すフローチャートである。
【図６】セキュアソフトウェアの監視シーケンスを示すシーケンス図である。
【図７】コンテンツ配信シーケンスを示すシーケンス図である。
【図８】機密情報の更新シーケンスを示すシーケンス図である。
【図９】更新後の機密情報の再格納処理の詳細な処理手順を示すフローチャートである。
【図１０】機密情報の閲覧シーケンスを示すシーケンス図である。
【図１１】情報処理装置のハードウェア構成を示すブロック図（その２）である。
【図１２】図１１に示した機密情報を示す説明図である。
【図１３】セキュア領域が拡張された場合の機密情報の格納処理の詳細な処理手順を示すフローチャートである。
【図１４】更新後の機密情報の再格納処理の詳細な処理手順を示すフローチャートである。
【図１５】単一モジュール化した場合のシステム構成図である。
【図１６】本実施の形態を用いたビジネス手法の一例を示す説明図である。
【図１７】従来のインターネットを利用したコンテンツ配信システムのシステム構成図である。
【符号の説明】
【０１３６】
１００  情報処理装置
１０１Ａ  第１のセキュアモジュール
１０１Ｂ  第２のセキュアモジュール
２１０  不揮発性メモリ
３０１，３０２  コンテンツ情報
３０３  個人情報
１５００  単一モジュール
１７０１  コンテンツ配信サーバー
１７０２  ユーザー情報サーバー
１７０３  課金サーバー
１７１１  ＨＤ（ハードディスク）
Ｓ，Ｓ１，Ｓ２  機密情報
【図１】
0005018558.tif 000002
【図２】
0005018558.tif 000003
【図３】
0005018558.tif 000004
【図４】
0005018558.tif 000005
【図５】
0005018558.tif 000006
【図６】
0005018558.tif 000007
【図７】
0005018558.tif 000008
【図８】
0005018558.tif 000009
【図９】
0005018558.tif 000010
【図１０】
0005018558.tif 000011
【図１１】
0005018558.tif 000012
【図１２】
0005018558.tif 000013
【図１３】
0005018558.tif 000014
【図１４】
0005018558.tif 000015
【図１５】
0005018558.tif 000016
【図１６】
0005018558.tif 000017
【図１７】
0005018558.tif 000018