"制御語の生成および使用をそれぞれ行なう、サーバ3と複数の処理エンティティEa、Eb、Em、Eiとの間で前記制御語の送信を行なうために、前記サーバによって、前記処理エンティティによって使用されるように意図された平文kに係る暗号化された制御語cを生成するステップ310と、前記生成された暗号化された制御語cを、前記処理エンティティへと送信するステップと、前記エンティティによって、前記暗号化された制御語cを受信するステップと、各々の処理エンティティによって、前記受信した暗号化された制御語cから制御語kを生成するステップとを含んでいるセキュアな方法であって、前記サーバが、i.pを法とする非ゼロの整数の集合Zpにそれぞれ属するds個の要素のベクトルspは素数であり、dsは厳密に1よりも大きい整数であり、処理エンティティの数と比べて小さいと、ii.前記サーバに既知であり、pを法とする非ゼロの整数の集合Zpに属している秘密の値γと、iii.位数pのバイリニアグループβ=p,G1,G2,GT,e.,.ここで、e.,.はe:G1×G2→GTのような結合であり、GTは位数pの第3の巡回群であるのパラメータである位数pの2つの巡回群G1およびG2にそれぞれ属する2つの生成元とから制御語の暗号文を生成し、各々の処理エンティティが、i.暗号化された制御語cと、ii.i番目のエンティティに既知であり、apを法とする非ゼロの整数の集合Zpにそれぞれ属するdx個の要素のベクトルxidxは厳密に1よりも大きい整数であり、処理エンティティの数と比べて小さく、ベクトルxiは該当のエンティティに専用であると、b前記秘密の値γと、c前記バイリニアグループβの前記巡回群のうちの1つに属する生成元とから前もって生成されている復号鍵DKiとから制御語kを生成する、ことを特徴とする方法。バイリニアグループβのような公開パラメータと関連づけられた秘密成分γを含む、マスター秘密鍵MKを生成するステップ300と、前記鍵および公開パラメータをサーバ内に保存するステップと、前記公開パラメータを各々の処理エンティティに保存するためのステップ100と、それぞれが専用かつ別個である復号鍵DKiを生成301し、送信し、処理エンティティにおいて保存101するステップとを前もって含む請求項1に記載の方法。生成された各々の復号鍵DKiが、形態z1/Pγの成分を含んでおり、zはバイリニアグループβの巡回群のうちの1つに属する生成元であり、Pはγに関する多項式であることを特徴とする請求項1または2に記載の方法。i.巡回群G1およびG2にそれぞれ属する2つの生成元であるgおよびhを選択するステップと、ii.公開パラメータとして、βおよびhに加えて、成分を生成するステップとを含んでおり、秘密鍵MKが、γおよびgで構成され、復号鍵DKiを生成するステップ301が、DKi=xi,Aiここで、Ai=g1/Pγであり、であるのように2つの成分の結果として前記鍵を生成することからなり、暗号化された制御語を生成するステップ310が、c=s,h1/Qγここで、であるのように2つの成分の結果として前記語を生成することからなり、制御語kを生成するステップ110が、kをのように計算することからなり、ここでであり、およびm=1,...,dxについてであることを特徴とする請求項2または3に記載の方法。群G1およびG2にそれぞれ属する2つの生成元であるgおよびhを選択するステップを含み、公開パラメータが、βで構成され、秘密鍵MKが、γおよびgで構成され、復号鍵DKiを生成するステップ301が、DKi=Ai,Biのように2つの成分の結果として前記鍵を生成することからなり、ここでであり、dx個の要素のベクトルBiがのようであり、暗号化された制御語を生成するステップ310が、c=W1,W2,s,Uのように4つの成分の結果として前記語を生成することからなり、ここでUはのようなds個の値のベクトルであり、W1=gγmであり、であり、mは整数であり、制御語kを生成するステップ110が、kをのように計算することからなり、ここでである、ことを特徴とする請求項2または3に記載の方法。無効化データDRをDR=R1,...,Rrここで、のように生成するステップを含み、生成元hが、暗号化された制御語を生成するステップ310の実施前に値Rrをとることを特徴とする請求項5に記載の方法。制御語の平文を生成するためのステップ110の実施前に復号鍵の値を変更するステップを含み、前記鍵が、値DKi,R=Ai,Bi,Rをとり、ここでw∈[1,dx]の所与の値についてであることを特徴とする請求項6に記載の方法。暗号文が、DRおよび選択されたj∈[1,dx]の値についてのxj1,...,xjrをさらに含み、kを生成するためのステップ110が、のように制御語の平文を生成するように構成され、ここでであることを特徴とする請求項6に記載の方法。保護されたデジタルコンテンツの放送サーバによって実行され、符号化関数を用いてデジタルコンテンツMを符号化して符号化されたコンテンツCを生成するステップと、前記保護されたデジタルコンテンツの放送サーバによって、複数の契約者処理エンティティによる前記符号化されたコンテンツCの復号210に使用されるように意図された平文kに係る暗号化された制御語cを生成するステップ310と、前記符号化されたコンテンツCおよび暗号化された制御語cを、配信ネットワークを介して契約者処理エンティティのために送信するステップと、前記符号化されたコンテンツCおよび暗号化された制御語cを、各々の契約者処理エンティティによって受信するステップと、各々の契約者処理エンティティによって、暗号文cから制御語の平文kを生成するステップ110と、各々の契約者処理エンティティによって、符号化されたコンテンツCの復号210を行ない、復号関数およびkからコンテンツMを生成するステップと、前記コンテンツMに合ったインターフェイスを使用して前記コンテンツを取り出すステップとを含むデジタルコンテンツの限定受信のための方法であって、保護されたデジタルコンテンツの放送サーバによる暗号化された制御語の生成310および送信のステップ、ならびに契約者処理エンティティによる受信および制御語の平文の生成110のステップは、サーバと複数の処理エンティティとの間で制御語を送信するための請求項1~8のいずれか一項に記載のセキュアな方法に従うことを特徴とする方法。各々の処理エンティティEa、Eb、Em、Eiが、符号化されたコンテンツの復号および暗号化された制御語の平文の生成をそれぞれ実行するセキュアな契約者デバイス1a、1b、1m、1iに組み合わせられた端末2a、2b、2m、2iで構成され、前記符号化されたコンテンツCおよび暗号化された制御語cを処理エンティティによって受信するステップが、i.前記符号化されたコンテンツおよび暗号化された制御語を前記端末によって受信すること、およびii.前記端末によって前記暗号化された制御語cを該端末と協働するセキュアな契約者デバイスへと送信することを含み、前記処理エンティティにおいて制御語の平文kを生成するステップ110が、前記セキュアな契約者デバイスによって制御語の平文kを生成して前記端末へと届けることからなり、前記符号化されたコンテンツCの復号210を行なうステップが、前記符号化されたコンテンツCおよび前記制御語kからコンテンツMを生成する復号関数を前記端末によって実行することからなる、請求項9に記載の方法。複数の契約者処理エンティティEa、Eb、Em、Eiに関連する限定受信システムのサーバ3であって、ppは素数であるを法とする非ゼロの整数の集合Zpに属する秘密の値γと、位数pのバイリニアグループβ=p,G1,G2,GT,e.,.ここで、e.,.はe:G1×G2→GTのような結合であり、G1、G2、およびGTは位数pの巡回群であると、集合Zpにそれぞれ属するds個の要素のベクトルsdsは厳密に1よりも大きい整数であり、処理エンティティの数と比べて小さいとを保存するための手段と、i.ベクトルsと、秘密の値γと、巡回群G1およびG2にそれぞれ属する2つの生成元とから、制御語の暗号文cを生成し、ii.コンテンツMから符号化されたコンテンツCを生成する処理手段と、前記符号化されたコンテンツCおよび暗号化された制御語cを外部へと届けるための手段とを備えることを特徴とするサーバ。請求項11に記載のサーバへと接続される、限定受信システムの複数の処理エンティティEa、Eb、Em、Eiであって、素数位数pのバイリニアグループβ=p,G1,G2,GT,e.,.ここで、e.,.はe:G1×G2→GTのような結合であり、G1、G2、およびGTは位数pの巡回群であるであって、前記サーバが暗号化された制御語cを生成して前記複数の処理エンティティへと送信するために、前記サーバに既知であるバイリニアグループを含む、公開パラメータを保存するための手段と、i.pを法とする非ゼロの整数の集合Zpにそれぞれ属するdx個の値のベクトルxidxは厳密に1よりも大きい整数であり、処理エンティティの数と比べて小さく、ベクトルxiは当該エンティティに専用であると、ii.前記サーバに既知である秘密の値γと、iii.バイリニアグループβの巡回群のうちの1つに属する生成元とから前もって生成される専用の復号鍵DKiを保存するための手段と、符号化されたコンテンツCおよび暗号化された制御語cとしてのデータを外部から受信するための手段と、前記データおよび復号鍵DKiから制御語kを生成するように構成された処理手段10と、前記データおよび制御語kからコンテンツMを生成するための処理手段と、前記コンテンツMの取り出しのために適切なマン-マシンインターフェイス5へと前記コンテンツをもたらすための手段とを備える処理エンティティ。セキュアな契約者デバイス1a、1b、1m、1iと協働する電子端末2a、2b、2m、2iで構成され、それぞれ、符号化されたコンテンツCの復号210を行ない、前記復号のための制御語の平文kの生成110および前記端末への供給を行なうことを特徴とする請求項12に記載の処理エンティティ。請求項13に記載の処理エンティティEa、Eb、Em、Eiの端末2a、2b、2m、2iであって、外部からデータを受信するための手段と、前記セキュアな契約者デバイス1a、1b、1m、1iと協働し、該セキュアな契約者デバイスへ、暗号化された制御語cを送信し、返答として制御語kを受信するための手段と、コンテンツMの生成210を行なうための処理手段と、前記コンテンツの回復を行なうように構成されたマン-マシンインターフェイスへと前記コンテンツをもたらすための手段とを備える端末。請求項14に記載の端末と協働するように構成された請求項13に記載の処理エンティティEa、Eb、Em、Eiのための電子契約者デバイス1a、1b、1m、1iであって、前記端末から暗号化された制御語を受信するための受信手段と、公開パラメータを保存するための保存手段と、専用の復号鍵DKiを保存するための保存手段と、前記暗号文cおよび鍵DKiから制御語kの生成110を行なうための処理手段と、前記制御語を前記端末へともたらすための手段とを備える電子契約者デバイス。デジタルコンテンツの限定受信システムであって、サーバ3を複数の契約者処理エンティティEa、Eb、Em、Eiと組み合わせて備えており、前記サーバおよび前記処理エンティティがそれぞれ、請求項9または10に記載の限定受信方法を実行するための請求項11ならびに12または13に記載のサーバおよび処理エンティティである限定受信システム。図1が、先行技術によるデジタルコンテンツの限定受信システムを示している。システムは、保護されたコンテンツの放送の運営者によって実行される放送ネットワーク4で構成される。したがって、それぞれ暗号化および符号化された制御語cおよびコンテンツCが、コンテンツサーバ3から一緒に発せられる。この目的のため、サーバ3は、符号化関数encと、このサーバ3によって生成される制御語kとを使用して、コンテンツMを符号化する。結果は、C=enck,Mのように符号化されたコンテンツCである。制御語kの暗号化バージョンcも、符号化されたコンテンツCと一緒に発せられ、すなわち放送される。この目的のため、サーバは、暗号化関数Eを使用して前記制御語kを暗号化し、c=Ekのようにcを得る。暗号化された制御語cおよび暗号化されたコンテンツCが、放送ネットワーク4を介して端末2a~2mへと送信される。それぞれの端末が、サーバ3によって発せられた符号化されたコンテンツCのリアルタイムでの復号を行なう。したがって、例えばデコーダ2aなどの端末は、復号関数decを備え、復号関数decを符号化されたコンテンツCに適用し、コンテンツMを得る。コンテンツMを、リビングルームのテレビ5またはコンテンツの読み出しに適した任意の他のインターフェイスを使用して、閲覧することができる。復号関数decを適用するために、端末は、サーバ3がコンテンツMの符号化に使用した制御語kの値を知らなければならない。先行技術によれば、図1に示されるように、端末2a~2mが、c=Ekのように暗号化された制御語cを受信し、通常は契約者に専用のセキュアな電子デバイス1a~1mへと送信する。端末2aは、ネットワーク4を介して組C,cを定期的に受信し、暗号化された制御語cをデバイス1aへと送信する。デバイス1aは、復号関数Dを使用して暗号化された制御語cを復号し、コンテンツMの符号化に用いられた制御語kを得ることができる。すなわち、k=Dcである。同じことが、各々がデバイス1b~1mとそれぞれ協働する2b~2mなどの任意の他の装置にもあてはまる。変種の実施の形態によれば、サーバ3が、制御語kの暗号化に、例えば鍵Kcの形態の秘密を使用することができる。すなわち、c=EKc,kである。この場合には、デバイス1a~1mなどのデバイスが、k=DKd,cのように、相反する復号関数Dを備え、ここでKdは、デバイスに既知の復号鍵である。暗号化関数Eおよび復号関数Dによれば、鍵KcおよびKdは同一でよい。これは、対称暗号化/復号の場合である。あるいは、ブロードキャスト暗号と呼ばれるパターンによれば、Kcが、運営者に専用の公開または秘密鍵であり、Kdが、デバイスあるいは、デバイスの群に専用かつ運営者に既知の秘密鍵である。したがって、この変種によれば、いくつかの個別の復号鍵が存在し、前記運営者の契約者へと正当に支給されて届けられたデバイスの各々が、そのような個人的な復号鍵を有している。そのような限定受信システムを台無しにすべく、ハッカーは、とくには契約者のデバイスによって実行される暗号化のハードウェア、アルゴリズム、または秘密についての知識を発達させている。或る者は、そのような契約者の電子デバイスのセキュリティを破る知識を持ち、あるいは破ることができ、有効な制御語を生成するために使用される1つ以上の復号鍵の値を読み取って、最終的に暗号化されたメッセージを復号することができる。必然的に、これらの鍵危険な鍵と称するが無法なユーザのための並行市場に不正に流通し、無法なユーザは、危険な鍵をハックした端末に組み込み、保護されたコンテンツに不正にアクセスすることによって利益を得る。この種の犯罪行為は、コンテンツの復号関数および暗号化された制御語の復号関数が契約者に利用可能なただ1つの同じ処理エンティティによって実行される限定受信システムを、放送の運営者が運営する場合に、大いに促進される可能性がある。すなわち、そのようなエンティティは、制御語の生成に使用される、復号鍵ならびに/あるいはアルゴリズムおよび方法を保存するための手段を保護するセキュリティの特徴を必ずしも備えない。そのようなアルゴリズムの不充分にセキュアな実装に起因する漏洩が、操作された復号鍵などの曝露を許す。このようにして、ハッカーは、必ずしも制御語またはコンテンツを配布するための著作権侵害のネットワークを運営することなく、無法な顧客へと復号鍵の特定の複製品を提供することができる。そのような行為に対抗するために、複製の源である危険な復号鍵または信用できなくなった復号鍵を、追跡または検出できることが有用である。したがって、そのような鍵が追跡可能でなければならず、すなわち契約者に専用のマーカまたは成分を有していなければならない。そのようにすることで、ハックされた端末またはハッカーによって実装されたソフトウェアを手にしたときに、追跡者は、特定の解析方法を使用して、操作された秘密のデータを検出することができる。追跡者の課題は、いくつかの危険な鍵がハッカーまたはハッカー集団によって組み合わせられる場合に複雑になる。本発明は、これらのさまざまなハッキングの筋書きを打ち負かすことを可能にする。図2が、本発明の好ましい実施の形態の例としての限定受信システムを説明するうえで役に立つ。公知のシステムと同様に、本発明は、保護されたコンテンツの放送の運営者によって実現される放送ネットワーク4を提供し、より広義には、エンティティEa、Eb、、Emなどの複数の契約者処理エンティティに向けてコンテンツサーバ3から、符号化されたコンテンツCを送信するための任意の手段を提供する。さらに、本発明によれば、符号化されたコンテンツCが、この符号化されたコンテンツを契約者側の各々のエンティティによって復号できるようにする平文に係る暗号化された制御語cとともに送信される。これを行なうために、サーバ3が、符号化関数encを使用してコンテンツMを符号化する。結果は、C=encMのように符号化されたコンテンツCである。そのようなシステムのセキュリティは、基本的には、制御語をサーバと契約者側の複数の処理エンティティとによってセキュアに生成、交換、および使用することができることにある。そのような制御語は、保護されたデジタルコンテンツの限定受信システムの異なる応用の文脈においてもちょうど同じように使用することができる。本発明は、上述の文献US2008/0075287A1またはWO2007/138204を含む多数の刊行物において利用されている考え方である素数位数の群における結合という数学的概念にもとづいている。そのような結合は、暗号法において典型的に使用され、とくには楕円曲線の分野において使用される双線形の応用である。βを、|p|=λλはセキュリティパラメータとして要素数を定めるであるような素数位数pのバイリニアグループβ=p,G1,G2,GT,e.,.であるとする。G1、G2、およびGTが、位数pの3つの巡回群であり、e:G1×G2→GTが結合である。巡回群は、gp1がgに等しいような代数的集合であり、pが巡回群の位数を定めており、gが生成元と呼ばれる群の要素である。本発明の意味において、群G1およびG2の間の特別な関係は必要とされない。2つの群は同じであってよく、あるいはより一般的には、G1とG2との間の同型写像Ψを定めることができる。本発明によれば、任意の可能な効果的に計算することができる同型写像および結合が好ましい。好ましい実施の形態によれば、処理エンティティEiが、符号化されたコンテンツの復号およびこの復号に必要な制御語の生成をそれぞれ実行するセキュアなデバイス1i例えば、スマートカードに組み合わせられた端末2iで構成される。図2は、エンティティEa、Eb、およびEmを、それぞれ端末2a、2b、2mをセキュアな契約者デバイス1a、1b、1mと組み合わせることによってもたらされるものとして示している。本発明の意味において、そのようなエンティティは、すでに述べた2つの主たる機能を包含すると考えられる1つの同じデバイスであってよい。秘密かつ専用の復号鍵が、各々の契約者デバイスまたは、契約者エンティティに既知である。すなわち、図2によれば、契約者aに関するエンティティEaのデバイス1aは、復号鍵DKaを知っている。この鍵は、鍵DKbとは異なり、鍵DKbも、鍵DKmとは異なる。これらの鍵は、それぞれエンティティEbおよびEmあるいは、より正確にはそれぞれのセキュアな契約者デバイス1bおよび1mにだけ知られている。専用かつ個別であるけれども、本発明による復号鍵は、追跡可能であるすなわち、後述のように、識別または追跡の行為において特定可能である。それらはすべて、サーバ3に既知のマスター秘密鍵MKから生成され、この鍵は、バイリニアグループβを含む公開パラメータPP、すなわち前記サーバに既知であり、種々の処理エンティティ具体的には、図2に関して説明される好ましい実施の形態によれば、デバイス1a~1mにも既知であるパラメータに、おそらくは関連付けられる。復号鍵は、処理エンティティEa~Emが符号化されたコンテンツの復号を可能にする制御語kを生成することを可能にする。この制御語kは、サーバ3によって符号化されたコンテンツCと一緒に与えられる暗号化された制御語cから生成される。図2に関して説明される好ましい例によれば、セキュアなデバイス1a~1mが、各々の処理エンティティEa~Emにおける制御語kの生成を担当する。この目的のため、端末2a~2mは、暗号化された制御語cを受信することができ、この暗号化された制御語cをそれぞれのセキュアなデバイスへと送信することもできる。デバイス1a~Amによって生成された制御語が、再びそれぞれの端末へと送信され、それぞれの端末が符号化されたコンテンツCの復号を行ない、相応のマン-マシンインターフェイス5によって契約者へと示されるコンテンツMを生成することができる。図3が、図2に関連して説明されるようなシステムによって実行される、保護されたコンテンツの限定受信方法の形態の本発明の応用の一例を説明するために使用される。簡単化のために、複数の処理エンティティが、セキュアな契約者デバイス1iに組み合わせられた端末2iとしてのエンティティEiによって表わされている。符号化されたコンテンツCが、サーバ3からネットワーク4を介してエンティティEiへと送信される。この目的のために、任意の他の放送手段を使用することができる。符号化されたコンテンツは、暗号化された制御語cに組み合わせられ、この暗号化された制御語cの平文が、符号化されたコンテンツの復号を可能にする。端末2iが、符号化されたコンテンツおよび暗号化された制御語を受信することができる。暗号化された制御語が、端末によって契約者デバイスへと送信され、契約者デバイスが、秘密の復号鍵DKiおよび公開パラメータPPを使用し、制御語の生成を行って、端末2iへと送り返す。この端末が、制御語kを使用して符号化されたコンテンツCの復号を行ない、コンテンツMをインターフェイス5へと届けることができる。これを達成するために、本発明による限定受信方法は、それぞれ下記に対応する主たるステップ310、110、および210で構成される。310:符号化されたコンテンツCを生成し、暗号化された制御語cと組み合わせて処理エンティティへと提供する。110:暗号化された制御語cおよび復号鍵DKiから制御語kを生成する。210:符号化されたコンテンツの復号を制御語kから行なう。随意により、これらのステップに、公開パラメータPPの生成および処理エンティティEiとりわけ、セキュアなデバイスにおける保存からなるステップ300および100を先行させることができる。さらに図3は、復号鍵DKiの生成および処理エンティティEiとりわけ、デバイス1iにおける保存という事前のステップ301および101を説明している。限定受信方法およびシステムに適用される好ましい例の他に、本発明は、主として、制御語を、そのような制御語の生成および利用をそれぞれ行なうサーバと複数の処理エンティティとの間で送信するためのセキュアな方法に関する。図3に関連して説明される応用例へと適用されるそのような方法の実施のやり方を、2つの実施の形態によって検討する。βを、|p|=λλはセキュリティパラメータとして要素数を定めるであるような素数位数pのバイリニアグループβ=p,G1,G2,GT,e.,.であるとする。G1、G2、およびGTが、位数pの3つの巡回群であり、e:G1×G2→GTが結合である。本発明による方法は、処理エンティティによって使用210されるように意図された平文kに係る暗号化された制御語cを、サーバによって生成するステップ310と、生成された暗号化された制御語cを処理エンティティへと送信するステップと、暗号化された制御語cを前記エンティティによって受信するステップと、各々の処理エンティティによって、受信された暗号化された制御語cから、制御語kを生成するステップ110とを含む。高い効率帯域幅および処理能力に関してを可能にしながら、復号鍵DKiの追跡可能性を維持するために、暗号化されたバージョンの制御語を生成するためのステップ310は、サーバ3によって、pを法とする非ゼロの整数の集合Zpにそれぞれ属するds個の要素のベクトルspは素数であり、dsは厳密に1よりも大きい整数であり、処理エンティティの数に関して小さいと、サーバ3に既知であり、pを法とする非ゼロの整数の集合Zpに属している秘密の値γと、バイリニアグループβ=p,G1,G2,GT,e.,.のパラメータである巡回群G1およびG2にそれぞれ属する2つの生成元とから実行される。各々の処理エンティティEiが、制御語kの生成110を、暗号化された制御語cと、pを法とする非ゼロの整数の集合Zpにそれぞれ属するdx個の要素のベクトルxidxは厳密に1よりも大きい整数であり、処理エンティティの数に関して小さく、ベクトルxiは該当のエンティティに専用であると、秘密の値γと、バイリニアグループβの巡回群のうちの1つに属する生成元とから前もって生成されるエンティティEiに既知の復号鍵DKiとから行なう。本発明によれば、dxおよびdsという整数値が、エンティティの数に関して小さく、したがって最終的には、契約者またはハッカーの数に関して小さい。これら2つの整数は、不正な共謀に応じて効率対抵抗力の妥協を決定および調節するために使用されるセキュリティパラメータである。パラメータdxが、本発明による復号鍵のサイズを調節するために使用される。パラメータdsが、暗号化された制御語のサイズを調節するために直接使用される。したがって、dsが、暗号化された制御語の放送ネットワークの帯域幅に直接的な影響を有する。dxはdsとちょうど同じように、制御語の暗号文から制御語の平文を生成するために復号鍵の保存および処理を行なわなければならないエンティティまたは、セキュアなデバイスの処理能力に直接的な影響を有する。鍵および暗号化されたバージョンのサイズが、共謀のサイズあるいは契約者または契約者群の数の平方根につれて線形に増大する公知の技術的解決策と異なり、本発明は、公知の技術的解決策とは比較にならないきわめて好都合なサイズを維持することを可能にする。したがって、共謀のリスクtが存在すると考えると、本発明による方法は、dxおよびdsをのように定める助けとなる。例として、本発明は、それぞれのtについて、以下の妥協を実施の形態に応じて得ることを可能にする。t=120:dx=3およびds=7t=126:dx=4およびds=5t=105:dx=2およびds=13これらの結果から、先行技術と比べて本発明がきわめて大きく貢献していることが明らかである。図3に示されるように、サーバと複数の処理エンティティとの間で制御語をセキュアに送信するための本発明による方法は、バイリニアグループβのような公開パラメータと関連づけられた秘密成分γを含む、マスター秘密鍵MKを生成および保存するためのステップ300を含むことができる。また、前記公開パラメータを各々の処理エンティティより詳しくはそして好ましくは、前記エンティティのセキュアな契約者デバイスに保存するためのステップ100を含むことができる。さらに、そのような方法は、例えば契約の購入時に秘密かつ専用の復号鍵DKiを知る装置を契約者へと届けることができるように、復号鍵DKiの生成301、送信、および処理エンティティより詳しくはそして好ましくは、前記エンティティのセキュアな契約者デバイスにおける記録101を行なうステップを含むことができる。そのような方法の2つの実施の形態を引き続いて説明する。これら2つの実施の形態は、とりわけ、生成された復号鍵DKiがz1/Pγzは巡回群のうちの1つおよびバイリニアグループβに属する生成元であり、Pはγに関する多項式であるの形態の成分を有する点で共通している。第1の実施の形態によれば、選択された、バイリニアグループβ=p,G1,G2,GT,e.,.ならびにセキュリティパラメータdxおよびdsについて、マスター秘密鍵MKが、γおよびgでMK=γ,gのように構成される。γは、素数pを法とする非ゼロの整数の集合Zpに属する秘密の値である。gは、グループG1の生成元である。gの値を、好都合には無作為に選択することができる。同様に、グループG2の生成元hも、無作為に選択され得る。好都合には、v=eg,hを計算でき、値vを鍵MKの成分γおよびgと関連づけることができる。公開パラメータを構成するために、が計算される。βおよびhに加え、これらの値のすべてが公開パラメータを表わす。これらの計算および無作為選択のすべてを、サーバ3によって実行でき、あるいはこの目的のための別の専用のサーバによって実行し、入手することができる。この第1の実施の形態によれば、復号鍵を生成するためのステップが、DKi=xi,Aiのように2つの成分の結果として前記鍵を生成することからなる。ここで、Ai=g1/Pγであり、である。したがって、新たなユーザまたは契約者iの契約時に、一意の専用の鍵DKiが生成され、次いで制御語の生成にこの鍵を利用する処理エンティティEiへと好ましくはセキュアに送信されて記録される。より具体的には、そのような鍵が、エンティティEiの構成要素であるセキュアなデバイス1iに保存される。暗号化された制御語を生成するために、サーバ3は、この語をc=s,h1/Qγのように2つの成分の結果として生成し、ここでであり、sはZpのds個の要素のベクトルである。ベクトルsを、と表わすことができる。暗号化された制御語cを受信すると、処理エンティティEiは、制御語の平文を生成するステップを実行する。このステップは、k=eg,h1/γsという値を持つはずである制御語kを取り出すことを目的とする。このステップは、のようにkを生成することからなる。計算の要素α、ξ、およびθは、のようであり、は、多項式Qを法とする多項式Pの逆を指す表記であり、は、多項式の0次の項を指している。θが、PおよびQの係数から計算することができる定数であり、値ξおよびαγに関する多項式であるが、制御語の平文を生成するための計算において不要であることを、見て取ることができる。実際、gγおよびhγ公開パラメータに含まれるの連続する累乗の組み合わせが、gおよびhの指数に関する所望の多項式を再構成することに使用され、制御語の平文の生成を可能にするgαおよびhξが得られる。要素α、ξ、およびθを、以下のように表わすこともできる。ここで、であり、であり、であり、m=1,...,dxについてである。この第1の実施の形態において、復号鍵DKiのサイズは、dxにおいて線形である。暗号文のサイズに関しては、dsにおいて線形である。この第1の実施の形態の変種において、暗号文cおよび秘密の復号鍵DKiのサイズを小さくすることが可能である。実際、第一に、ベクトルを、種μiからサーバ3によって鍵DKiを生成する際に、生成することができる。したがって、この種が、DKi=μi,Aiのように秘密鍵の成分である。相互的に、ベクトルxiを、制御語の復号の際に前記種を使用して処理エンティティによって回復することができる。さらに、ベクトルを、種ηからのサーバ3による暗号文cの生成の際に生成することができる。したがって、この種が、c=η,h1/Qγのように暗号文の成分である。相互的に、ベクトルsを、制御語の復号の際に前記種ηを使用して処理エンティティによって回復することができる。この変種においては、復号鍵DKiおよび暗号文のサイズが、一定になる。第2の実施の形態においては、選択された、バイリニアグループβ=p,G1,G2,GT,e.,.ならびにセキュリティパラメータdxおよびdsについて、マスター秘密鍵MKが、γおよびgでMK=γ,gのように構成される。γは、素数pを法とする非ゼロの整数の集合Zpに属する秘密の値である。gは、グループG1の生成元である。gの値を、好都合には無作為に選択することができる。同様に、グループG2の生成元hも、無作為に選択され得る。好都合には、v=eg,hを計算でき、値vを鍵MKの成分γおよびgに関連づけることができる。公開パラメータは、βである。これらの計算および無作為選択のすべてを、サーバ3によって実行でき、あるいはこの目的のための専用の別のサーバによって実行し、入手することができる。この第2の実施の形態によれば、復号鍵を生成するステップが、DKi=Ai,Biのように2つの成分の結果として前記鍵を生成することからなり、ここでであり、dx個の要素のベクトルBiはのようである。したがって、新たなユーザまたは契約者iの契約時に、一意の専用の鍵DKiが生成され、次いで制御語の生成にこの鍵を利用する処理エンティティEiへと好ましくはセキュアに送信されて保存される。より具体的には、そのような鍵が、エンティティEiの構成要素であるセキュアなデバイス1iに保存される。暗号化された制御語を生成するために、サーバ3は、c=W1,W2,s,Uのように4つの成分の結果として暗号化された制御語を生成する。ここで、ds個の値のベクトルである。ベクトルUは、のようである。成分は整数である。暗号化された制御語cを受信すると、処理エンティティEiは、この制御語の平文を生成するステップを実行する。このステップの目的は、mは前もって選択された整数となるべき値を有する制御語kを取り出すことである。このステップは、kをのように計算することからなり、ここでである。この第2の実施の形態によれば、復号鍵DKiのサイズは、dxに関して線形である。暗号文のサイズは、dsに関して線形である。とくに有利な選択は、共謀の数tがdxdsに関する指数関数であるようにdsおよびdxを決定することであるかもしれない。第1または第2のどちらの実施の形態においても、鍵DKiの成分Aiがセキュアなストレージによって各々の処理ユニットに保存されることが、きわめて好都合である。これは、処理ユニットがセキュアなデバイスを備える場合にとくに関係がある。この場合、システムのロバストさを保証するために、少なくとも前記成分Ai、あるいは鍵DKiの全体をセキュアなデバイスに保存すれば充分である。成分Aiだけを保存することで、システムをロバストにするために必要な安全なストレージの容量を減らすことができる。例として、復号鍵を検出する追跡者の能力を説明するために、追跡方法を以下に示す。この方法を説明するために、すでに使用した表記eU,Vと同等のそのような結合または、ペアリングを表わすためにU,Vのような表記を使用する。追跡者が著作権侵害のデコーダを回収できたと考える。追跡者は、このデコーダを解析することによって、著作権侵害のソフトウェアを得ることができ、ホワイトボックス型の追跡方法を実行することができる。第1のステップにおいて、著作権侵害のデコーダが、一連の一定形式の命令として解釈される。各々の命令は、リファレンス演算、1つ以上の入力変数、および1つの出力変数で構成される。一般に、リファレンス演算として知られる演算は、辞書命令セットに列挙され、算術または論理演算、条件付きジャンプをするか否か、サブプログラムの呼び出しなど、さまざまな種類であってよい。したがって、伝統的な抽象解釈のこの段階において、デコーダは、一連の命令の形態に書き直され、とりわけ本発明による暗号化方法によって実行される双線形システムp,G1,G2,GTに関する演算が重要である。G1における乗算T=UU’の演算G2における乗算S=VV’の演算G1における累乗U=Taの演算G2における累乗V=Sbの演算G1×G2→GTの双線形結合α=U,Vペアリングと呼ばれるの演算GTにおける乗算γ=αβの演算GTにおける累乗β=αcの演算これらの演算が代数的と呼ばれる一方で、他のすべては、関連演算に分類される。解釈のこの同じ段階において、各々の命令の入力および出力変数が、SSA静的単一代入として知られるやり方で記述される。これにより、正式の実行時に操作される任意の変数の計算グラフを著作権侵害のデコーダのこの表現から容易に導き出すことができる。命令の入力変数は、以下の4つの種類だけである。1.出発プログラムに属する一定の変数、2.中間媒介変数、3.暗号文の一部を表わすプログラムの入力変数、または4.デコーダプログラムの外部のランダム源の呼び出しからもたらされるランダム変数。プログラムの出力変数が、データkを表わし、GTにおける出力値の計算グラフからもたらされる。特殊化として知られる第2のステップにおいて、書き直されたプログラムが、後の裏切り者の特定に適するようにするために修正される。プログラムを書き直すことによって、出力変数kの計算グラフに参加しないすべての命令グラフに関係しない命令を取り除くことができる。次いで、プログラムのすべての入力変数種類3および4の入力変数を、プログラムが正しく復号を行なうことができる一定の値に設定しようと試みる必要がある。この一定の値の捜索を、ランダムかつ完全に行なうことができ、最初に与えられたデコーダが充分に機能するすなわち、平均で事例のかなりの部分において復号を行なう場合には、この捜索の工程は、数回の試行で迅速に完了される。値が適切である場合、プログラムの対応する変数がそれらで置き換えられ、このプログラムが常に同じやり方で動作する。したがって、成功した実施の例が、定数にもとづいて実行される命令だけで構成された新たなプログラムによって例示される。追跡のプロセスは、今やジャンプのないただ1つの一連の命令を得ることによってプログラムを簡単化するステップを含む:定数の伝播が、入力変数がすべて定数であるすべての二次的な命令を取り除くために実行される。したがって、この変換は、代数的演算を排除する。その実行が同語反復的である命令が除去される:条件付きジャンプが、除去されるか、あるいは条件付きでないジャンプで置き換えられる。関数の呼び出しが、呼び出される関数の本体のコピーによって置き換えられる。不必要な命令または効力のないコードが除去される。このステップの終わりにおいて、条件付きでないジャンプは、連続的な命令の連なりを時系列的な実行の順序で縦に並べることによって削除される。結果として、プログラムが、制御の流れの存在しない一連の順次的な代数的命令になる。この時点で、いくつかの変換が、誘導的かつ同時的なやり方で、得られたプログラムへと適用される。この目的のため、以下が導入される。Gii∈{1,2,T}におけるuaの計算を表わす一定形式の命令expоiu,aU,Vaの計算を表わす拡張ペアリングU,V;aの一定形式の命令。次いで、プログラムが安定になるまで、以下の代数的な単純化が、誘導的かつ同時的なやり方で実行される。各々の累乗の命令uaが、適切なi∈{1,2,T}のexpоiu,aによって置き換えられる。各々の変数uが、適切なi∈{1,2,T}のexpоiu,1によって置き換えられる。種類expоiuv,aの命令の各々の組み合わせが、expоiu,aexpоiv,aによって置き換えられる。種類expоiu,aexpоiu,bの命令の各々の組み合わせが、expоiu,abmоdpによって置き換えられる。種類expоiexpоiu,a,bの命令の各々の組み合わせが、expоiu,abmоdpによって置き換えられる。各々のペアリング命令U,Vが、U,V;1によって置き換えられる。種類UU’,V;aの命令の各々の組み合わせが、U,V;aU’,V;aによって置き換えられる。種類U,VV’;aの命令の各々の組み合わせが、U,V;aU,V’;aによって置き換えられる。種類expо1U,a,V;bの命令の各々の組み合わせが、U,V;abmоdpによって置き換えられる。種類U,expо2V,a;bの命令の各々の組み合わせが、U,V;abmоdpによって置き換えられる。種類U,V;aU,V;bの命令の各々の組み合わせが、U,V;abmоdpによって置き換えられる。種類expоTU,V;a,bの命令の各々の組み合わせが、U,V;abmоdpによって置き換えられる。expоiu,0が1によって置き換えられ、U,V;0が1によって置き換えられ、1uがuによって置き換えられる。したがって、この単純化のステップの終わりに、k∈GTの計算を、積k=k1k2の結果として表わすことができ、ここでk1は、i=1,...,nについての入力Ui,Vi,aiが、i≠jについてUi,Vi≠Uj,Vjのような、2つの点UiおよびViならびにpを法とする整数aiで構成されるn個の拡張ペアリングの積である。変数Ui、Vi、およびaiは、特殊化のステップゆえに一定の値である。各々の変数Ui、Viは、必然的に、プログラムに保存された定数または初めに与えられた暗号文の一部である入力変数である。k2は、GTのm個の要素の積、すなわちk2=expоTα1,b1...expоTαm,bmであり、ここで、1≦i≠j≦mについてαi≠αjである。各々の変数αiは、必然的に、プログラムに保存された定数または暗号文の一部である。第3のステップにおいて、最初に与えられた暗号文cの各々の代数的要素に対応する係数が特定される。より具体的には、最初に与えられた暗号文が、を含む場合には、あらゆるui,j∈[1,r1]について、uj=Uiのようなすべての値aiが集められ、は暗号文の要素でなく、したがってベクトルが形成され、あらゆるvi,j∈[1,r2]について、vj=Viのようなすべての値aiが集められ、は暗号文の要素でなく、したがってベクトルが形成され、あらゆるwi,j∈[1,rT]について、wj=αiのようなcоefwj=biが集められ、各ペアul,vl,l,j∈[1,r1]×[1,r2]について、ul,vl=Ui,Viであるcоeful,vj=aiが集められる。これらの識別ステップの各々において、係数は、対応する指数iを見つけることができない場合には、初期値によって0に設定される。次に、{cоefui,cоefvj,cоefwε,cоefui,vj}の値に注目する。本発明の数学的特性は、これらの値が、信用できなくなった鍵を構成している要素x1,...,xε∈Zpおよび最初に与えられた暗号文cを構成している固定のパラメータs1,...,sl∈Zpに関係する前もって知られた関数であることを保証する。これは、多変数の方程式系を形成する。これらの係数の数値、固定のパラメータsj、および関数fi、gj、hε、qa,bを知ることで、系を逆に解き、信用できなくなった鍵のうちの1つを構成する要素x1,...,xεの少なくとも1つを回収することができ、したがってこの鍵を完全に特定することができる。このステップは、ε≦Br1,r2,rTを有することを要求してもよく、ここでBr1,r2,rTは、本発明の実施の形態に依存する端末である。関数fi、gj、hε、qa,bも、本発明の実施の形態に依存する。例として、上述の第2の実施の形態の文脈において実行する場合、あらゆる復号プログラムは、1名または、2名以上のユーザiのベクトルxiをマスクされた形態またはマスクされていない形態で示す。したがって、追跡者は、1名以上のユーザへと配布されたxiへのアクセスを有し、したがってそれらのユーザが裏切り者として特定される。さらに、本発明によれば、例えば裏切り者として特定された場合や、任意の他の理由によって、処理エンティティを無効にすることができ、したがってこのエンティティが例えば符号化されたコンテンツの復号を可能にするための有効な制御語を生成することを、阻止することができる。本発明によれば、一時的な無効化または恒久的な無効化という2種類の無効化を実現することができる。一時的な無効化によれば、1つ以上の危険なエンティティについて、さらなる有効な制御語の生成が一時的に不可能にされる。恒久的な無効化は、そのような生成を阻止する。この変種を説明するために、例として、本発明に一致した第2の実施の形態にもとづくセキュアな方法についてなされる調整を説明する。同様の調整を、本発明に一致した他の方法についても同様に行なうことができる。恒久的な無効化を実現するために、本発明は、上述した方法に2つの追加のステップをもたらす。第1のステップは、すべての処理エンティティへと送信される無効化データDRを生成することである。これらのデータは、1つ以上の危険なエンティティからなる集合Rの除外を定義するために使用される。第2の追加のステップは、Rに属さないエンティティの復号鍵DKiを、有効な制御語の生成を続けることができるように更新することである。危険なエンティティが、エンティティE1~Erまたは、セキュアな契約者デバイス11~1rであるとする。そのようなエンティティに、1~rの番号を与える。無効化データDRを定義するための第1のステップは、この例によればDR=R1,...,Rrを計算することからなり、例えばj=1などのj∈[1,dx]の値について、である。次いで、生成元の値hが、Rrの値をとるようにと変更される。次いで、無効化データDR=R1,...,Rrがすべてのエンティティへと配布される。そこで、第2の追加のステップは、Rに属さないエンティティの復号鍵DKiを、有効な制御語の生成を続けることができるように、変更することからなる。DRから生成された、i番目のユーザまたは契約者に対応する鍵DKi,Rは、DKi,R=Ai,Bi,Rのようであるdx個の要素からなるベクトルは、例えばw=1などのw∈[1,dx]の値について、のようになる。新たな値DKi,Rの計算を、本発明に従って各々の処理エンティティによって実行することができる。あるいは、この計算を、第三者のエンティティによって実行することができる。前記鍵を更新するための任意の他の手順も使用することができる。代案として、本発明によれば、無効化データを、暗号化された制御語と併せて、処理エンティティへと送信することができる。したがって、前記データを専用のモードで送信する必要がない。それらは、制御語の送信のために本発明によってもたらされる方法の第2の実施の形態に従い、c=W1,W2,s,U,DRのように暗号文の一体部分であってよい。さらに、復号鍵の変更DKi←DKi,Rを、制御語を生成するステップの直前に処理エンティティによって実行してもよい。恒久的な無効化を実行するために、鍵DKiを生成するためにサーバによって実行されるステップ、ならびに、制御語kの平文を生成するためにエンティティによって実行されるステップが、不変であることを見て取ることができる。さらに、暗号文を生成するための生成元hが、もはや固定ではない。実際、hは無効にされたすべてのエンティティに依存する。復号鍵も、平文kを生成するときにもはや固定ではない。さらに本発明は、一時的な無効化を実現するように本発明に一致する方法を調整する。上述のように、この特徴を説明するために、本発明による方法の第2の実施の形態の例を使用する。同様に、危険なエンティティが、1~rまでの番号のエンティティE1~Erまたは、セキュアな契約者デバイス11~1rであるとする。第1の追加のステップは、恒久的な無効化とちょうど同じように、無効化データDRをDR=R1,...,Rrのように計算することからなり、例えばj=1などのj∈[1,dx]の値についてである。次いで、生成元hの値が、Rrの値をとるようにと変更される。サーバが、暗号化された制御語を、c=W1,W2,s,U,DR,xj1,...,xjrのような成分の結果として生成する。最初の4つの成分W1、W2、s、およびUは、hがh←Rrのように前もって変更されているという違いがあるが典型的に生成される。は、のようなds個の値のベクトルであり、W1=gγmであり、であり、mは整数である。暗号文は、DRおよび選択されたjの値についてのxj1,...,xjrをさらに含む。暗号化された制御語cを受信すると、処理エンティティEiは、この制御語の平文を生成するステップを実行する。このステップは、kをのように計算するように調整され、ここでである。一時的な無効化を実行するために、鍵DKiを生成するためのステップが不変であることを見て取ることができる。生成元hが、無効にされたすべてのエンティティに依存するため、もはや固定ではない。単純に、暗号文の生成の前に前記生成元を割り当てた後で暗号文を生成するステップが行なわれる。制御語の平文kの生成が、一時的な無効化を実現するように構成される。本発明を、好ましい適用の例として、保護されたコンテンツの限定受信の分野に関連して説明した。本発明は、複数の処理エンティティへと、そのようなエンティティによって使用される平文に係る暗号文を送信する必要がある他の分野にも適用可能である。"