コンテンツサーバ、コンテンツ受信装置、属性鍵発行サーバ、ユーザ鍵発行サーバ、アクセス制御システム、コンテンツ配信プログラムおよびコンテンツ受信プログラム
【課題】ユーザの属性に基づいたアクセス制御システムを用いて、放送や通信による安全なコンテンツ配信サービスを提供する。
【解決手段】コンテンツサーバ４は、コンテンツ鍵Ｍを暗号化し、この暗号化コンテンツ鍵Ｅ（Ｍ）と暗号化コンテンツＥ（Ｃ）とを結合し、そのヘッダにアクセスポリシーＡを追加して配信する。配信されたヘッダ付き暗号化コンテンツＨＥ（Ｃ）を受信するコンテンツ受信装置５のうち、アクセスポリシーＡを満たすユーザが利用するもののみコンテンツ鍵Ｍを復号してコンテンツＣを再生する。コンテンツサーバ４は、コンテンツ鍵の暗号化に際して、ステップＳ５２にて、アクセスポリシーＡのj番目のconjunctionについて、属性公開鍵ＰＫｉを基に暗号化した４つの要素として、式（１８）に示すＥｊ、式（１９）に示すＥ´ｊ、式（２０）に示すＥ´´ｊ、式（２１）に示すＥ´´´ｊを生成する。
【解決手段】コンテンツサーバ４は、コンテンツ鍵Ｍを暗号化し、この暗号化コンテンツ鍵Ｅ（Ｍ）と暗号化コンテンツＥ（Ｃ）とを結合し、そのヘッダにアクセスポリシーＡを追加して配信する。配信されたヘッダ付き暗号化コンテンツＨＥ（Ｃ）を受信するコンテンツ受信装置５のうち、アクセスポリシーＡを満たすユーザが利用するもののみコンテンツ鍵Ｍを復号してコンテンツＣを再生する。コンテンツサーバ４は、コンテンツ鍵の暗号化に際して、ステップＳ５２にて、アクセスポリシーＡのj番目のconjunctionについて、属性公開鍵ＰＫｉを基に暗号化した４つの要素として、式（１８）に示すＥｊ、式（１９）に示すＥ´ｊ、式（２０）に示すＥ´´ｊ、式（２１）に示すＥ´´´ｊを生成する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、放送波もしくはインターネット、専用ＩＰ回線等のネットワークを利用したコンテンツ配信における、ユーザの属性を用いたアクセス制御技術に関する。
【背景技術】
【０００２】
デジタル放送の普及やネットワークの高速化および大容量化に伴い、放送コンテンツを放送波もしくはインターネット、専用ＩＰ回線等のネットワークを用いて配信するサービスが実現している。このようなサービスにおいて、暗号化されたコンテンツを特定のユーザのみが復号し視聴することができる、といったアクセス制御を行う場合、サービスプロバイダにおいて、復号を許可するユーザを予め指定してコンテンツの暗号化を行うのが一般的である。復号を許可するユーザの一例として、サービスプロバイダが、当該サービスプロバイダの会員資格を有するユーザのみコンテンツの復号を許可する場合、会員資格を有するユーザを直接指定してコンテンツを暗号化することになる。そのため、ユーザに会員資格の変更（入会、退会など）があった場合に、サービスプロバイダは、その都度ユーザを指定してコンテンツを暗号化しなければならない、という問題がある。
【０００３】
このような問題点を解決する手段として、サイファーテキストポリシー−属性ベース暗号（Ciphertext-Policy Attribute-Based Encryption）が知られている（非特許文献１参照）。これは、公開鍵暗号方式であって、送信者は、メッセージの暗号化を行う際、受信者の満たすべき属性（居住地、性別、年齢、会員種別など）の条件を記したアクセスポリシーに基づいて暗号化を行う。そして、当該アクセスポリシーを満たす属性を有する受信者のみ、その属性に対応する秘密鍵である属性秘密鍵を用いて復号可能となる。
【０００４】
属性ベース暗号を用いると、サービスプロバイダはアクセス制御を行う際、個々のユーザを直接指定する必要はないため、サービスプロバイダの負荷を軽減できる。例えば、前記した復号を許可するユーザの一例として、サービスプロバイダが、当該サービスプロバイダの会員資格を有するユーザのみコンテンツの復号を許可する場合、サービスプロバイダがコンテンツの暗号化の際に指定するのは「会員資格を有するユーザ」というアクセスポリシーのみであり、会員資格を有するユーザを直接指定して暗号化を行う必要がない。そのため、ユーザに会員資格の変更（入会、退会など）があった場合においても、コンテンツを再度暗号化する必要がない。
【０００５】
属性ベース暗号では、ユーザは属性管理機関（Attribute Authority：ＡＡ）に対し、ある属性を有していることを証明し、その属性に対応する属性秘密鍵を発行してもらう。非特許文献１に開示された方式では、１つのＡＡが全ての属性情報を管理しなければならないため、管理コストが大きくなるという問題がある。
【０００６】
このような問題点を解決する手段として、複数のＡＡが存在可能な属性ベース暗号（Multi-Authority Attribute-Based Encryption）が知られている（非特許文献２および非特許文献３参照）。これらの方式によれば、１つのＡＡが管理する属性情報を少なくすることができるため、ＡＡの管理コストを削減できる。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】J. Bethencourt, A. Sahai and B. Waters, “Ciphertext-Policy Attribute-Based Encryption,” Proc. of the 2007 IEEE Symposium on Security and Privacy, pp. 321-334, 2007.
【非特許文献２】M. Chase, “Multi-Authority Attribute Based Encryption,” Proc. of TCC’07, Lecture Notes in Computer Science 4392, pp. 515-534, Springer-Verlag, 2007.
【非特許文献３】S. Muller, S. Katzenbeisserand C. Eckert, “Distributed Attribute-Based Encryption,” Proc. of ICISC’08, Lecture Notes in Computer Science 5461, pp. 20-36, Springer-Verlag, 2009.
【発明の概要】
【発明が解決しようとする課題】
【０００８】
従来、複数のＡＡが存在可能な属性ベース暗号においては、ユーザの結託攻撃という問題を防止するために、各ＡＡを束ねる中央機関として、ユーザ管理を行う機関（Central Authority：ＣＡ）を別途設置している。ここで、結託攻撃とは、単独ではアクセスポリシーを満たさない複数のユーザが結託し、互いの属性秘密鍵を共有することにより、コンテンツの復号が可能になってしまうというものである。
【０００９】
しかしながら、非特許文献２、３に記載の従来技術では、ユーザの結託攻撃を防止するために設置した中央機関であるＣＡが、マスター鍵を保有しているため、原理的に、システム上の全ての暗号文を復号できる。そのため、信頼性の低いＣＡが存在した場合に、システム内の暗号文の秘匿性を保てずに安全性が低くなるという問題があった。
【００１０】
具体的には、非特許文献２，３に記載の方法では、ＣＡのサーバは、システム公開鍵ＰＫとマスター鍵ＭＫとユーザ識別子ｕとを入力して、ユーザ鍵として、ユーザ公開鍵およびユーザ秘密鍵を生成する。
【００１１】
例えば、非特許文献３に記載の方法では、ＣＡのサーバは、システムの初期化において、Ｇを素数位数pの双線形群とし、ペアリングをｅ：Ｇ×Ｇ→ＧＴとすると共に、生成元ｇ∈Ｇ、およびＰ∈Ｇ、ｙ∈Ｚpをランダムに選び、式（１０１）で示すシステム公開鍵ＰＫおよびマスター鍵ＭＫ＝ｇyを出力する。
【００１２】
【数１】
【００１３】
また、ＣＡのサーバは、ユーザｕに対してＺｐ（０からｐ−１までの整数の集合）からランダムに選択した乱数ｍｋuを用いて、式（１０２）に示すユーザ公開鍵ＰＫuと、式（１０３）に示すユーザ秘密鍵ＳＫuとを生成する。
【００１４】
【数２】
【００１５】
そして、ＡＡのうち、ａ番目のＡＡ（＝ＡＡａ）のサーバは、システム公開鍵ＰＫと識別子ａとを入力として、有限のハッシュ関数族から、ハッシュ関数Ｈｘａ：｛０，１｝＊→Ｚpを一様ランダムに選択し、ＡＡａの秘密鍵をＳＫａ＝ｘａとする。ＡＡａが属性ｉを管理している場合、ＡＡａのサーバは、システム公開鍵ＰＫと属性ｉと秘密鍵ＳＫａとを入力として、式（１０４）に示す属性ｉの属性公開鍵ＰＫｉを出力する。また、ユーザｕが属性ｉを有している場合、ＡＡａのサーバは、システム公開鍵ＰＫと属性ｉと秘密鍵ＳＫａとユーザ識別子ｕとユーザ公開鍵ＰＫuとを入力として、式（１０５）に示すｕの属性秘密鍵ＳＫｉを出力する。
【００１６】
【数３】
【００１７】
また、サービスプロバイダのサーバは、システム公開鍵ＰＫとメッセージＭとアクセスポリシーＡと複数の属性公開鍵ＰＫiとを入力として、アクセスポリシーＡの要素ｊ（１≦ｊ≦ｎ）に対し、乱数Ｒj∈Ｚｐをランダムに選び、暗号文ＣＴ＝＜ＣＴ1，…，ＣＴn＞を出力する。ここで、ＣＴjは、式（１０６）で表される。
【００１８】
【数４】
【００１９】
そして、復号側のユーザ端末は、システム公開鍵ＰＫと暗号文ＣＴとアクセスポリシーＡとユーザ秘密鍵ＳＫuと複数の属性秘密鍵ＳＫi,uとを入力として、式（１０７）により、メッセージＭを復号することができる。
【００２０】
【数５】
【００２１】
ここで、下記の式（１０８）に示すａjの表記を導入すると、前記した式（１０６）中のＥj、Ｅ´´ｊは、それぞれ式（１０９）、式（１１０）で表されることとなる。
【００２２】
【数６】
【００２３】
前記式（１０９）は、ペアリングの双線形性を用いて式（１１１）のような式変形を行うことにより、マスター鍵ＭＫ＝ｇyと関係付けられていることが分かる。なお、ここで、式（１１０）の関係を用いた。
そして、式（１１１）の最左辺と、最右辺との関係から、メッセージＭは式（１１２）で表される。つまり、マスター鍵ＭＫ＝ｇyを持っているＣＡは、このシステムの全ての暗号文を復号してメッセージＭを解読できる。
【００２４】
【数７】
【００２５】
本発明は、以上のような問題点に鑑みてなされたものであり、ユーザの属性に基づいたアクセス制御システムを用いて、放送や通信による安全なコンテンツ配信サービスを提供する技術を提供することを課題とする。
【課題を解決するための手段】
【００２６】
前記課題を解決するために、本発明の請求項１に記載のコンテンツサーバは、ユーザ鍵としてのユーザ公開鍵およびユーザ秘密鍵とシステム公開鍵とを発行するユーザ鍵発行サーバと、属性毎の属性公開鍵および当該属性に対応したユーザ毎の属性秘密鍵を発行する複数の属性鍵発行サーバと、コンテンツを配信するコンテンツサーバと、ユーザによって使用され前記コンテンツを受信するコンテンツ受信装置とを備え、前記コンテンツにアクセスできる条件としてユーザの属性を用いて前記コンテンツを提供する側にて予め作成されたアクセスポリシーに基づいて前記コンテンツへのアクセスを制御するアクセス制御システムにおける前記コンテンツサーバであって、コンテンツ暗号化手段と、ポリシー入力手段と、コンテンツ鍵暗号化手段と、コンテンツ結合手段と、コンテンツ配信手段と、を備えることとした。
【００２７】
かかる構成によれば、コンテンツサーバは、コンテンツ暗号化手段によって、入力された前記コンテンツを共通鍵であるコンテンツ鍵によって暗号化することで、暗号化コンテンツを生成する。そして、コンテンツサーバは、ポリシー入力手段によって、前記アクセスポリシーを入力する。そして、コンテンツサーバは、コンテンツ鍵暗号化手段によって、入力された前記コンテンツ鍵を暗号化して暗号化コンテンツ鍵を生成する。そして、コンテンツサーバは、コンテンツ結合手段によって、前記コンテンツ鍵暗号化手段で生成した前記暗号化コンテンツ鍵と前記コンテンツ暗号化手段が生成した前記暗号化コンテンツとを結合してヘッダに前記アクセスポリシーを追加することで、ヘッダ付き暗号化コンテンツを生成する。そして、コンテンツサーバは、コンテンツ配信手段によって、前記ヘッダ付き暗号化コンテンツを前記コンテンツ受信装置に配信する。
【００２８】
そして、かかる構成によれば、コンテンツサーバは、前記コンテンツ鍵暗号化手段によって、前記アクセスポリシーの要素数をｎとしたときに、前記システム公開鍵と、入力された前記アクセスポリシーに含まれるj番目の要素に含まれる属性ｉに対して発行された下記の式（１４）に示す前記属性公開鍵ＰＫiとを用いて、入力された前記コンテンツ鍵Ｍを前記アクセスポリシーに含まれる前記要素毎に暗号化し、当該j番目の要素について下記の式（２２）に示す部分暗号文ＣＴjを生成し、前記アクセスポリシーの全ての要素から求めた各部分暗号文ＣＴ１〜ＣＴｎを生成し、前記暗号化コンテンツ鍵として、下記の式（２３）に示す暗号文ＣＴを生成する。したがって、コンテンツサーバは、システム内の全ての暗号文を復号するマスター鍵そのものが不要になるようなアルゴリズムの暗号方式でコンテンツを配信することができる。これにより、当該アクセス制御システムには、システム内の全ての暗号文を単独で復号できる機関が存在することはない。よって、ユーザの属性に基づいたアクセス制御システムを用いて、放送や通信による安全なコンテンツ配信サービスを提供することができる。
【００２９】
また、本発明の請求項２に記載のコンテンツ受信装置は、請求項１に記載のコンテンツサーバを備えるアクセス制御システムにおいて前記コンテンツサーバが配信する前記コンテンツを受信する前記コンテンツ受信装置であって、属性秘密鍵記憶手段と、ユーザ秘密鍵記憶手段と、コンテンツ受信手段と、コンテンツ分離手段と、判定手段と、コンテンツ鍵復号手段と、コンテンツ再生手段と、を備えることとした。
【００３０】
かかる構成によれば、コンテンツ受信装置は、当該コンテンツ受信装置のユーザの満たすべき属性に対応して前記属性鍵発行サーバにて発行された前記属性秘密鍵を属性秘密鍵記憶手段に記憶すると共に、前記ユーザ鍵発行サーバにより発行された前記ユーザ秘密鍵をユーザ秘密鍵記憶手段に記憶しておく。そして、コンテンツ受信装置は、コンテンツ受信手段によって、前記コンテンツサーバから前記ヘッダ付き暗号化コンテンツを受信する。そして、コンテンツ受信装置は、コンテンツ分離手段によって、前記コンテンツ受信手段が受信した前記ヘッダ付き暗号化コンテンツから、前記アクセスポリシーと、前記暗号化コンテンツと、前記暗号化コンテンツ鍵である前記式（２３）に示す暗号文ＣＴと、を分離する。そして、コンテンツ受信装置は、判定手段によって、前記属性秘密鍵に基づいて、前記アクセスポリシーの要素に、当該コンテンツ受信装置のユーザの満たすべき属性が含まれるか否かを判定し、含まれる場合、当該ｊ番目の要素を選択する。そして、コンテンツ受信装置は、コンテンツ鍵復号手段によって、前記アクセスポリシーのｊ番目の要素が選択された場合、当該要素に含まれる属性ｉに対応する下記の式（１７）に示す属性秘密鍵ＳＫi,U，と、下記の式（９）に示すユーザ秘密鍵ＳＫＵと前記システム公開鍵とを用いて、下記の式（２４）に示す復号の演算を実行し、前記暗号化コンテンツ鍵を復号する。そして、コンテンツ受信装置は、コンテンツ再生手段によって、前記コンテンツ分離手段で分離した前記暗号化コンテンツを、前記コンテンツ鍵復号手段で復号した前記コンテンツ鍵によって復号することで、前記コンテンツを再生する。
【００３１】
また、本発明の請求項３に記載の属性鍵発行サーバは、請求項１に記載のコンテンツサーバまたは請求項２に記載のコンテンツ受信装置を備えるアクセス制御システムにおいて、属性管理機関に設置され、前記コンテンツサーバまたは前記コンテンツ受信装置で用いる前記属性鍵を発行する前記属性鍵発行サーバであって、属性管理機関秘密鍵生成手段と、属性公開鍵生成手段と、属性秘密鍵生成手段と、を備えることとした。
【００３２】
かかる構成によれば、属性鍵発行サーバは、例えば属性管理機関を新規に設置する際に、属性管理機関秘密鍵生成手段によって、当該属性管理機関を識別する属性管理機関識別子ａおよび前記システム公開鍵を用いて当該属性管理機関に固有の属性管理機関秘密鍵ＳＫａを生成する。そして、属性鍵発行サーバは、属性公開鍵生成手段によって、前記システム公開鍵と、前記属性管理機関秘密鍵ＳＫａと、前記ユーザから取得した属性を含むリクエストとを用いて、下記の式（１４）に示す属性毎の前記属性公開鍵ＰＫｉを生成する。そして、属性鍵発行サーバは、属性秘密鍵生成手段によって、前記システム公開鍵と、前記属性管理機関秘密鍵ＳＫａと、前記ユーザから取得した属性、ユーザ識別子Ｕおよび前記ユーザ公開鍵を含むリクエストとを用いて、下記の式（１７）に示す当該属性のユーザ毎の前記属性秘密鍵を生成する。したがって、当該アクセス制御システムでは、任意の数の属性管理機関が属性秘密鍵を発行することができ、ユーザの属性に基づいてコンテンツの暗号化および復号を行うことができる。また、このアクセス制御システムは、任意の数の属性管理機関が属性秘密鍵を発行できるため、各々の属性管理機関は管理コストを削減できる。
【００３３】
また、本発明の請求項４に記載のユーザ鍵発行サーバは、請求項１に記載のコンテンツサーバ、請求項２に記載のコンテンツ受信装置、または請求項３に記載の属性鍵発行サーバを備えるアクセス制御システムにおいて、ユーザ管理機関に設置され、前記コンテンツサーバ、前記コンテンツ受信装置、または前記属性鍵発行サーバで用いる前記システム公開鍵を生成する前記ユーザ鍵発行サーバであって、システム公開鍵生成手段と、ユーザ鍵生成手段と、を備えることとした。
【００３４】
かかる構成によれば、ユーザ鍵発行サーバは、システムの初期化を行う際に、システム公開鍵生成手段によって、素数位数ｐの双線形群Ｇと、双線形写像ｅ：Ｇ×Ｇ→ＧＴと、Ｇからランダムに選択された下記の式（５）で示す生成元とを用いて、下記の式（６）に示す前記システム公開鍵ＰＫを生成する。そして、ユーザ鍵発行サーバは、ユーザ鍵生成手段によって、当該アクセス制御システムのユーザを識別するユーザ識別子Ｕと、前記システム公開鍵ＰＫとを用いて、下記の式（９）に示すユーザ毎に異なる鍵として発行する前記ユーザ公開鍵ＰＫＵおよび前記ユーザ秘密鍵ＳＫＵを生成する。また、このアクセス制御システムでは、ユーザ管理機関は、ユーザを管理するだけなので、アクセス制御システムに、新たな属性管理機関を設置する際に、ユーザ管理機関は、鍵を再発行する必要はないので、新たな属性管理機関を設置する際に鍵を再発行するようなシステムに比べて利便性がよく、新たな属性管理機関を容易に設置することができる。
【００３５】
また、本発明の請求項５に記載のアクセス制御システムは、請求項１に記載のコンテンツサーバと、請求項２に記載のコンテンツ受信装置と、請求項３に記載の属性鍵発行サーバと、請求項４に記載のユーザ鍵発行サーバと、を備えることとした。
【００３６】
かかる構成によれば、アクセス制御システムにおいて、コンテンツサーバは、属性鍵発行サーバで生成された属性公開鍵と、ユーザ鍵発行サーバで生成されたシステム公開鍵とを用いて、コンテンツ鍵をアクセスポリシーの要素毎に暗号化し、ヘッダ付き暗号化コンテンツを生成して配信する。また、コンテンツ受信装置は、属性鍵発行サーバで生成された属性秘密鍵と、ユーザ鍵発行サーバで生成されたシステム公開鍵とを予め取得して記憶しておき、コンテンツサーバからヘッダ付き暗号化コンテンツを受信する。そして、コンテンツ受信装置は、アクセスポリシーに当該コンテンツ受信装置のユーザの満たすべき属性が含まれる場合にはコンテンツ鍵を復号してコンテンツを再生し、一方、アクセスポリシーに当該コンテンツ受信装置のユーザの満たすべき属性が含まれていない場合にはコンテンツ鍵を復号することはしない。また、コンテンツサーバは、システム内の全ての暗号文を復号するマスター鍵そのものが不要になるようなアルゴリズムの暗号方式でコンテンツを配信することができる。これにより、当該アクセス制御システムには、システム内の全ての暗号文を単独で復号できる機関が存在することはない。したがって、コンテンツ配信側で予め作成されたアクセスポリシーによって、ユーザの属性に基づいた安全なコンテンツ配信サービスを提供することができる。
【００３７】
また、本発明の請求項６に記載のコンテンツ配信プログラムは、請求項１に記載のコンテンツサーバであるコンピュータを、コンテンツ暗号化手段、ポリシー入力手段、コンテンツ鍵暗号化手段、コンテンツ結合手段、コンテンツ配信手段、として機能させることとした。
【００３８】
かかる構成によれば、コンテンツ配信プログラムは、コンテンツ暗号化手段によって、入力された前記コンテンツを共通鍵であるコンテンツ鍵によって暗号化することで、暗号化コンテンツを生成する。そして、コンテンツ配信プログラムは、ポリシー入力手段によって、前記アクセスポリシーを入力する。そして、コンテンツ配信プログラムは、コンテンツ鍵暗号化手段によって、前記アクセスポリシーの要素数をｎとしたときに、前記システム公開鍵と、入力された前記アクセスポリシーに含まれるj番目の要素に含まれる属性ｉに対して発行された下記の式（１４）に示す前記属性公開鍵ＰＫiとを用いて、入力された前記コンテンツ鍵Ｍを前記アクセスポリシーに含まれる前記要素毎に暗号化し、当該j番目の要素について下記の式（２２）に示す部分暗号文を生成し、前記アクセスポリシーの全ての要素から求めた各部分暗号文ＣＴ１〜ＣＴｎを生成し、前記暗号化コンテンツ鍵として、下記の式（２３）に示す暗号文ＣＴを生成する。そして、コンテンツ配信プログラムは、コンテンツ結合手段によって、前記コンテンツ鍵暗号化手段で生成した前記暗号化コンテンツ鍵と前記コンテンツ暗号化手段が生成した前記暗号化コンテンツとを結合してヘッダに前記アクセスポリシーを追加することで、ヘッダ付き暗号化コンテンツを生成する。そして、コンテンツ配信プログラムは、コンテンツ配信手段によって、前記ヘッダ付き暗号化コンテンツを前記コンテンツ受信装置に配信する。
【００３９】
また、本発明の請求項７に記載のコンテンツ受信プログラムは、請求項１に記載のコンテンツサーバが配信する前記コンテンツを受信するコンテンツ受信装置のユーザの満たすべき属性に対応して前記属性鍵発行サーバにて発行された前記属性秘密鍵を記憶した属性秘密鍵記憶手段と、前記ユーザ鍵発行サーバにより発行された前記ユーザ秘密鍵を記憶したユーザ秘密鍵記憶手段とを備えた請求項２に記載のコンテンツ受信装置であるコンピュータを、コンテンツ受信手段、コンテンツ分離手段、判定手段、コンテンツ鍵復号手段、コンテンツ再生手段、として機能させることとした。
【００４０】
かかる構成によれば、コンテンツ受信プログラムは、コンテンツ受信手段によって、前記コンテンツサーバから前記ヘッダ付き暗号化コンテンツを受信する。そして、コンテンツ受信プログラムは、コンテンツ分離手段によって、前記コンテンツ受信手段が受信した前記ヘッダ付き暗号化コンテンツから、前記アクセスポリシーと、前記暗号化コンテンツと、前記暗号化コンテンツ鍵である下記の式（２３）に示す暗号文ＣＴと、を分離する。そして、コンテンツ受信プログラムは、判定手段によって、前記属性秘密鍵に基づいて、前記アクセスポリシーの要素に、当該コンテンツ受信装置のユーザの満たすべき属性が含まれるか否かを判定し、含まれる場合、当該ｊ番目の要素を選択する。そして、コンテンツ受信プログラムは、コンテンツ鍵復号手段によって、前記アクセスポリシーのｊ番目の要素が選択された場合、当該要素に含まれる属性ｉに対応する下記の式（１７）に示す属性秘密鍵ＳＫi,U，と、下記の式（９）に示すユーザ秘密鍵ＳＫＵと前記システム公開鍵とを用いて、下記の式（２４）に示す復号の演算を実行し、前記暗号化コンテンツ鍵を復号する。そして、コンテンツ受信プログラムは、コンテンツ再生手段によって、前記コンテンツ分離手段で分離した前記暗号化コンテンツを、前記コンテンツ鍵復号手段で復号した前記コンテンツ鍵によって復号することで、前記コンテンツを再生する。
【発明の効果】
【００４１】
請求項１に記載の発明によれば、コンテンツサーバは、システム内の全ての暗号文を復号するマスター鍵そのものが不要になるようなアルゴリズムの暗号方式でコンテンツを配信することができる。そのため、当該アクセス制御システムには、システム内の全ての暗号文を単独で復号できる機関が存在することはない。したがって、コンテンツサーバは、当該アクセス制御システム内にて放送や通信による安全なコンテンツ配信サービスを提供することができる。
また、請求項６に記載の発明によれば、コンテンツ配信プログラムをインストールしたコンピュータは請求項１と同様の効果を奏することができる。
【００４２】
請求項２に記載の発明によれば、コンテンツ受信装置は、コンテンツ配信側で予め作成されたアクセスポリシーを満たす場合に、受信したコンテンツを再生することができる。
また、請求項７に記載の発明によれば、コンテンツ受信プログラムをインストールしたコンピュータは請求項２と同様の効果を奏することができる。
【００４３】
請求項３に記載の発明によれば、属性鍵発行サーバは、当該アクセス制御システムにおいて任意の数だけ容易に設置することができる。
請求項４に記載の発明によれば、ユーザ鍵発行サーバは、ユーザ鍵を発行すると共にシステムの初期化を行うことができる。
請求項５に記載の発明によれば、アクセス制御システムには、システム内の全ての暗号文を単独で復号できる機関が存在することはないので、ユーザの属性に基づいたアクセス制御システムを用いて、放送や通信による安全なコンテンツ配信サービスを提供することができる。
【図面の簡単な説明】
【００４４】
【図１】本発明の実施形態に係るアクセス制御システムを模式的に示す構成図である。
【図２】本発明の実施形態に係るユーザ鍵発行サーバの構成を模式的に示すブロック図である。
【図３】本発明の実施形態に係る属性鍵発行サーバの構成を模式的に示すブロック図である。
【図４】本発明の実施形態に係るコンテンツサーバの構成を模式的に示すブロック図である。
【図５】本発明の実施形態に係るコンテンツ受信装置の構成を模式的に示すブロック図である。
【図６】本発明の実施形態に係るユーザ鍵発行サーバにおけるシステム初期化のアルゴリズムを示すフローチャートである。
【図７】本発明の実施形態に係るユーザ鍵発行サーバにおけるユーザ鍵発行のアルゴリズムを示すフローチャートである。
【図８】本発明の実施形態に係る属性鍵発行サーバにおける属性管理機関初期化のアルゴリズムを示すフローチャートである。
【図９】本発明の実施形態に係る属性鍵発行サーバにおける属性公開鍵発行のアルゴリズムを示すフローチャートである。
【図１０】本発明の実施形態に係る属性鍵発行サーバにおける属性秘密鍵発行のアルゴリズムを示すフローチャートである。
【図１１】本発明の実施形態に係るコンテンツサーバにおける暗号化のアルゴリズムを示すフローチャートである。
【図１２】本発明の実施形態に係るコンテンツ受信装置における復号のアルゴリズムを示すフローチャートである。
【図１３】本発明の実施形態に係るユーザ鍵発行サーバの動作を示すシーケンス図である。
【図１４】本発明の実施形態に係る属性鍵発行サーバの動作を示すシーケンス図である。
【図１５】本発明の実施形態に係るコンテンツサーバの動作を示すシーケンス図である。
【図１６】本発明の実施形態に係るコンテンツ受信装置の動作を示すシーケンス図である。
【図１７】本発明の実施形態に係るコンテンツ受信装置のユーザの属性の具体例を示す図である。
【発明を実施するための形態】
【００４５】
以下、本発明を実施するための形態について図面を参照して詳細に説明する。
［アクセス制御システムの概要］
図１に示すように、アクセス制御システム１は、ユーザの属性を条件としたアクセスポリシーに基づいてコンテンツへのアクセスを制御するシステムであり、ユーザ鍵発行サーバ２と、複数の属性鍵発行サーバ３と、コンテンツサーバ４と、コンテンツ受信装置５とを備えている。ここで、アクセスポリシーは、ユーザがコンテンツにアクセスできる条件であり、コンテンツを提供する側にて予め定められる。
【００４６】
ユーザ鍵発行サーバ２は、ユーザ鍵を発行するものであり、ユーザ管理機関（Central Authority：ＣＡ）に設置されている。
属性鍵発行サーバ３は、属性鍵を発行するものであり、属性管理機関（Attribute Authority：ＡＡ）に設置されている。図１では、複数の属性管理機関（ＡＡ1〜ＡＡn）にそれぞれ１つずつの属性鍵発行サーバ３が設置されていることとした。
コンテンツサーバ４は、コンテンツを配信するものであり、サービスプロバイダ（例えば放送局）に設置されている。
コンテンツ受信装置５は、有線または無線のネットワークＮまたは放送波Ｗによりコンテンツを受信するものであり、ユーザによって利用される。コンテンツ受信装置５は、例えば、パーソナルコンピュータや携帯端末、あるいはテレビジョン受信機等からなる。
【００４７】
ユーザ鍵発行サーバ２、属性鍵発行サーバ３、コンテンツサーバ４、およびコンテンツ受信装置５は、インターネットあるいは専用ＩＰ回線等の外部のネットワークＮに接続されている。なお、コンテンツサーバ４とコンテンツ受信装置５とは放送波Ｗによって接続されていてもよい。以下では、コンテンツ受信装置５は、ネットワークＮからコンテンツを受信するものとして説明する。
【００４８】
［アクセス制御システムの各装置の構成］
各装置は、ＣＰＵ（Central Processing Unit）等の演算装置と、メモリやハードディスク等の記憶装置と、外部との間で各種情報の送受信を行うインタフェース装置とを備えている。
＜ユーザ鍵発行サーバ＞
図２に示すように、ユーザ鍵発行サーバ２は、システム初期化装置２１と、ユーザ鍵発行装置２２とを備えている。
【００４９】
（システム初期化装置）
システム初期化装置２１は、コンテンツサーバ４、コンテンツ受信装置５、または属性鍵発行サーバ３で用いるシステム公開鍵ＰＫを生成するものであり、システム公開鍵生成部２１１と、システム公開鍵管理部２１２とを備えている。
【００５０】
システム公開鍵生成部（システム公開鍵生成手段）２１１は、システムの初期化を行う際に、システム公開鍵ＰＫを生成するものである。生成されたシステム公開鍵ＰＫは、システム公開鍵管理部２１２に保存される。システムの初期化のアルゴリズム、すなわち、システム公開鍵ＰＫの生成アルゴリズムの例については後記する。
【００５１】
システム公開鍵管理部２１２は、システム公開鍵ＰＫを記憶して管理するものであり、例えば、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）等のメモリやハードディスク等の記憶装置と、記憶装置に対してリード／ライト動作をする処理装置と、外部のネットワークＮを介して情報を送受信する通信装置とを備えている。このシステム公開鍵管理部２１２にて管理されたシステム公開鍵ＰＫは、外部のネットワークＮ経由で誰でもアクセス可能な情報である。
【００５２】
（ユーザ鍵発行装置）
ユーザ鍵発行装置２２は、ユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを発行するものであり、ユーザ鍵リクエスト受信部２２１と、ユーザ鍵生成部２２２と、ユーザ鍵管理部２２３とを備えている。なお、ユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを特に区別しない場合にはまとめてユーザ鍵と呼称する。
【００５３】
ユーザ鍵リクエスト受信部２２１は、ユーザからのリクエスト（ユーザ識別子Ｕ）を受信するものである。ユーザからのリクエストは、コンテンツ受信装置５から、ユーザ鍵発行サーバ２にオンラインで送信されるリクエストでもよいし、ユーザから郵送等のオフラインの方法でＣＡに届けられた情報をＣＡ内にてユーザ鍵リクエスト受信部２２１に直接入力したリクエストでもよいし、あるいは、ＣＡ内の他の端末に一旦入力したリクエストを間接的にユーザ鍵リクエスト受信部２２１で受信したものであってもよい。
【００５４】
ユーザ鍵生成部（ユーザ鍵生成手段）２２２は、当該アクセス制御システム１のユーザを識別するユーザ識別子Ｕと、システム公開鍵ＰＫとを用いて、ユーザ毎に異なる鍵として発行するユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを生成するものである。
ユーザ鍵生成部２２２は、ユーザ鍵リクエスト受信部２２１にて受信したリクエストに応じて当該ユーザのユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを生成し、ユーザ鍵管理部２２３に保存する。ユーザ鍵の生成アルゴリズムの例については、後記するユーザ鍵の発行のアルゴリズムの中で説明する。
【００５５】
ユーザ鍵管理部２２３は、ユーザ鍵を記憶して管理するものであり、例えば、記憶装置と、処理装置と、送受信装置とを備えている。このユーザ鍵管理部２２３の処理装置は、リクエストのあったユーザに対し、ユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを送信する。ここで、ユーザ秘密鍵ＳＫＵは、秘匿化すべき情報なので、通信によって送出する場合には、暗号化する必要がある。この場合には、セキュアな通信手段として、例えば、ＴＬＳ（Transport Layer Security）等を用いて受信装置（またはコンテンツ復号化装置）を認証した後に秘匿化されたユーザ秘密鍵ＳＫＵを送出する。
【００５６】
＜属性鍵発行サーバ＞
図３に示すように、属性鍵発行サーバ３は、コンテンツサーバ４またはコンテンツ受信装置５で用いる属性鍵を発行するものであり、属性管理機関初期化装置３１と、属性公開鍵発行装置３２と、属性秘密鍵発行装置３３と、システム公開鍵記憶部３４と、ユーザ管理情報記憶部３５とを備えている。属性鍵は、属性公開鍵と属性秘密鍵との総称である。
【００５７】
（属性管理機関初期化装置）
属性管理機関初期化装置３１は、例えば、属性管理機関（ＡＡｉ）を新規に設置する際に、属性鍵発行サーバ３を初期化するために動作するものであり、属性管理機関秘密鍵生成部３１１と、属性管理機関秘密鍵記憶部３１２とを備えている。
【００５８】
属性管理機関秘密鍵生成部（属性管理機関秘密鍵生成手段）３１１は、例えば、属性管理機関（ＡＡｉ）を新規に設置する際に、当該属性管理機関を識別する属性管理機関識別子ａおよびシステム公開鍵ＰＫを用いて当該ＡＡに固有の属性管理機関秘密鍵ＳＫａを生成するものである。生成された属性管理機関秘密鍵ＳＫａは、属性管理機関秘密鍵記憶部３１２に保存される。なお、属性管理機関秘密鍵ＳＫａの生成アルゴリズムについては、後記する属性管理機関の初期化のアルゴリズムの例の中で説明する。
属性管理機関秘密鍵記憶部３１２は、属性管理機関秘密鍵ＳＫａを記憶するものであって、例えば、一般的なメモリから構成される。
【００５９】
（属性公開鍵発行装置）
属性公開鍵発行装置３２は、ユーザから取得した属性鍵のリクエストに応じて属性ｉ毎の属性公開鍵ＰＫｉを発行するものであり、属性公開鍵リクエスト受信部３２１と、属性公開鍵生成部３２２と、属性公開鍵管理部３２３とを備えている。
【００６０】
属性公開鍵リクエスト受信部３２１は、ユーザからのリクエスト（属性ｉを含むリクエスト）を受信するものである。ユーザからのリクエストは、コンテンツ受信装置５から、属性鍵発行サーバ３にオンラインで送信されるリクエストでもよいし、ユーザから郵送等のオフラインの方法でＡＡに届けられた情報をＡＡ内にて属性公開鍵リクエスト受信部３２１に直接入力したリクエストでもよいし、あるいは、ＡＡ内の他の端末に一旦入力したリクエストを間接的に属性公開鍵リクエスト受信部３２１で受信したものでもよい。
【００６１】
本実施形態では、この属性公開鍵リクエスト受信部３２１は、受信したリクエストに含まれる属性ｉを当該ＡＡにて管理しているか否かを判別し、管理している場合に、受信したリクエストを属性公開鍵生成部３２２に出力する。例えば、当該ＡＡにてユーザの属性として、居住地「東京都」を管理する場合、属性公開鍵リクエスト受信部３２１は、受信したリクエストに含まれる居住地が「東京都」であるか否かを判別する。したがって、リクエストに含まれる居住地が例えば「東京都」である場合には、「東京都」に居住するユーザに共通した属性公開鍵を発行することとなる。なお、この例においてリクエストに含まれる居住地が例えば「千葉県」である場合には、例えば、鍵を発行できない旨を返信する。
【００６２】
属性公開鍵生成部（属性公開鍵生成手段）３２２は、システム公開鍵ＰＫと、属性管理機関秘密鍵ＳＫａと、ユーザから取得した属性ｉを含むリクエストとを用いて、属性ｉ毎の属性公開鍵ＰＫｉを生成するものである。
属性公開鍵生成部３２２は、属性公開鍵リクエスト受信部３２１にてユーザからのリクエスト（属性ｉ）を受信した後、当該属性ｉに対応する属性公開鍵ＰＫｉを生成し、属性公開鍵管理部３２３に保存する。属性公開鍵ＰＫｉの生成アルゴリズムについては、後記する属性公開鍵ＰＫｉの発行アルゴリズムの例の中で説明する。
【００６３】
属性公開鍵管理部３２３は、属性公開鍵ＰＫｉを記憶して管理するものであり、例えば、記憶装置と、処理装置と、送受信装置とを備えている。このユーザ鍵管理部２２３の処理装置は、リクエストのあったユーザに対し、属性公開鍵ＰＫｉを送信する。なお、属性公開鍵ＰＫｉは外部のネットワークＮ経由で誰でもアクセス可能な情報である。そのため、属性公開鍵ＰＫｉはユーザからのリクエストに応じて毎回生成する必要はない。すなわち、当該ＡＡが管理する全ての属性ｉに対応する属性公開鍵ＰＫｉを予め生成し、属性公開鍵管理部３２３に保存するようにしてもよい。
【００６４】
例えば、ＡＡにてユーザの属性として、居住地が都道府県単位で管理されている場合、居住地の属性だけで４７個の属性公開鍵を予め生成して保存しておいてもよい。また、例えば、ＡＡにてユーザの年齢の属性が未成年か否かで管理されている場合、年齢の属性だけで２個の属性公開鍵を予め生成して保存しておいてもよい。ここで、例えば、第１のＡＡ（ＡＡ１）にて居住地の属性を管理し、第２のＡＡ（ＡＡ２）にて年齢の属性を管理している場合、サービスプロバイダは、ＡＡ１から居住地の属性に関する属性公開鍵を取得し、かつ、ＡＡ２から年齢の属性に関する属性公開鍵を取得すれば、例えば、東京都在住の成人向けのコンテンツを配信することができる。なお、１つのＡＡにて、居住地の属性と、年齢の属性といった、複数種類の属性を管理してもよいことはもちろんであり、その場合には、サービスプロバイダは、１つのＡＡから居住地の属性に関する属性公開鍵と、年齢の属性に関する属性公開鍵とを取得すれば、例えば、東京都在住の成人向けのコンテンツを配信することができる。
【００６５】
（属性秘密鍵発行装置）
属性秘密鍵発行装置３３は、ユーザから取得した属性鍵のリクエストに応じて属性ｉに対応したユーザ毎の属性秘密鍵ＳＫi,Uを発行するものであり、属性秘密鍵リクエスト受信部３３１と、属性秘密鍵生成部３３２と、属性秘密鍵管理部３３３とを備えている。
【００６６】
属性秘密鍵リクエスト受信部３３１は、ユーザからのリクエスト（ユーザ識別子Ｕ、ユーザ公開鍵ＰＫＵ、属性ｉ）を受信する。この属性秘密鍵リクエスト受信部３３１で受信するユーザからのリクエストは、ユーザ識別子Ｕおよびユーザ公開鍵ＰＫＵが含まれる点が異なるだけで、前記した属性公開鍵リクエスト受信部３２１と同様なものである。
本実施形態では、この属性秘密鍵リクエスト受信部３３１は、受信したリクエストに含まれる属性ｉを当該ＡＡにて管理しているか否かを判別し、管理している場合に、さらに、ユーザ管理情報記憶部３５に記憶されたユーザ管理情報を参照して、リクエストを送ったユーザが当該属性ｉを有しているか否かを判別し、ユーザがこの属性ｉを有している場合（正当なユーザの場合）、リクエストを属性秘密鍵生成部３３２に出力する。
【００６７】
属性秘密鍵生成部（属性秘密鍵生成手段）３３２は、システム公開鍵ＰＫと、属性管理機関秘密鍵ＳＫａと、ユーザから取得した属性ｉを含むリクエストとを用いて、当該属性ｉのユーザ毎の属性秘密鍵ＳＫi,Uを生成するものである。このリクエストには、属性ｉの他にユーザ識別子Ｕおよびユーザ公開鍵ＰＫＵを含む。
属性秘密鍵生成部３３２は、ユーザからのリクエストを受信した後、当該属性ｉおよび当該ユーザに対応して属性秘密鍵ＳＫi,Uを生成し、属性秘密鍵管理部３３３に保存する。なお、属性秘密鍵ＳＫi,Uの生成アルゴリズムについては、後記する属性秘密鍵ＳＫi,Uの発行アルゴリズムの中で説明する。
【００６８】
属性秘密鍵管理部３３３は、属性秘密鍵ＳＫi,Uを記憶して管理するものであり、例えば、記憶装置と、処理装置と、送受信装置とを備えている。この属性秘密鍵管理部３３３の処理装置は、リクエストのあったユーザに対し、セキュアな通信手段を用いて属性秘密鍵ＳＫi,Uを送信する。ここで、セキュアな通信手段については、前記したユーザ鍵管理部２２３と同様なので説明を省略する。なお、属性秘密鍵管理部３３３は、リクエストのあったユーザに対し、属性秘密鍵ＳＫi,Uを属性公開鍵ＰＫｉと共に同時に送信するようにしてもよい。
【００６９】
システム公開鍵記憶部３４は、システム公開鍵ＰＫを記憶するものであって、例えば、一般的なメモリから構成される。
ユーザ管理情報記憶部３５は、ユーザ管理情報を記憶するものであって、例えば、一般的なメモリやハードディスクから構成される。
ユーザ管理情報は、予めＡＡにて管理しているユーザ情報であって、例えば、ユーザを識別するユーザ識別子Ｕと、住所、性別といったユーザの属性ｉとを含んでいる。
【００７０】
＜コンテンツサーバ＞
図４に示すように、コンテンツサーバ４は、サービスプロバイダで予め作成されたアクセスポリシーにより特定の属性を有したユーザにだけコンテンツを配信するものであり、コンテンツ暗号化装置４１と、コンテンツ配信装置４２とを備えている。
（コンテンツ暗号化装置）
コンテンツ暗号化装置４１は、アクセスポリシーにより特定の属性を有したユーザに配信するためのコンテンツを暗号化するものであって、コンテンツ入力部４１１と、コンテンツ鍵生成部４１２と、コンテンツ暗号化部４１３と、コンテンツ記憶部４１４とを備えている。
【００７１】
コンテンツ入力部４１１は、コンテンツＣを入力するものである。コンテンツＣは、映像、音声等のマルチメディアのコンテンツである。コンテンツの符号化方式は特に限定されない。入力されたコンテンツＣは、コンテンツ鍵生成部４１２を介して、コンテンツ暗号化部４１３に送られる。
コンテンツ鍵生成部４１２は、コンテンツＣが入力されると、当該コンテンツＣを暗号化するためのコンテンツ鍵Ｍを生成する。コンテンツ鍵生成部４１２は、ランダムに発生させた乱数を用いた演算により、コンテンツ鍵Ｍを生成する。
【００７２】
コンテンツ暗号化部（コンテンツ暗号化手段）４１３は、入力されたコンテンツＣをコンテンツ鍵Ｍによって暗号化することで、暗号化コンテンツＥ（Ｃ）を生成するものである。なお、コンテンツＣの暗号化は、一般に、高速処理が可能な共通鍵暗号方式が用いられる。ここで、共通鍵暗号方式の暗号アルゴリズムとしては、例えばＤＥＳ（Data Encryption Standard）やＡＥＳ(Advanced Encryption Standard)などを用いてもよい。
コンテンツ記憶部４１４は、生成された暗号化コンテンツＥ（Ｃ）およびコンテンツ鍵Ｍを記憶するものであり、例えば、一般的なハードディスク等から構成される。
【００７３】
（コンテンツ配信装置）
コンテンツ配信装置４２は、アクセスポリシーによって特定の属性を有したユーザに対して暗号化コンテンツを配信するものであって、公開鍵記憶部４２１と、ポリシー入力部４２２と、コンテンツ鍵暗号化部４２３と、コンテンツ結合部４２４と、コンテンツ配信部４２５とを備えている。
【００７４】
公開鍵記憶部４２１は、コンテンツサーバ４にて予め取得した属性公開鍵ＰＫｉやシステム公開鍵ＰＫを記憶するものであって、例えば、一般的なメモリから構成される。
コンテンツサーバ４は、リクエストに応じて属性鍵発行サーバ３から取得した各属性に対して発行された複数の属性公開鍵ＰＫiを、公開鍵記憶部４２１に記憶している。例えば、ＡＡにてユーザの居住地の属性が都道府県単位で管理されていて、サービスプロバイダがユーザ属性として全国の居住地を必要とする場合、居住地の属性だけで４７個の属性公開鍵を予め取得して記憶しておく。
【００７５】
ポリシー入力部（ポリシー入力手段）４２２は、アクセスポリシーを入力するものである。このポリシー入力部４２２は、ユーザの属性の論理積でまとめられた要素間の論理和で表現した加法標準形で示される条件としてサービスプロバイダにて予め作成されたアクセスポリシーＡを入力する。暗号化の際に用いるアクセスポリシーＡの構造の一例を式（１）に示す。
【００７６】
【数８】
【００７７】
ここで、加法標準形（選言標準形ともいう）は、Disjunctive Normal Form（ＤＮＦ）と呼ばれ、式（１）の右辺に示すように、複数の属性ｉをAND記号「∧」で結合した要素（以下、conjunctionという）を、conjunction毎にOR記号「∨」で結合した論理式で構成される。
【００７８】
ここで、式（２）で示すＳ１は、１番目のconjunctionに出現する属性ｉの集合を示し、コンテンツ配信対象とするユーザの属性が、１番目のconjunctionを条件として満たすように決定される。属性の集合Ｓ１は、例えば、｛東京都、男性、成人｝のように表すことができる。
【００７９】
また、式（３）で示すＳ２は、２番目のconjunctionに出現する属性ｉの集合を示し、コンテンツ配信対象とするユーザの属性が、２番目のconjunctionを条件として満たすように決定される。属性の集合Ｓ２は、例えば、｛千葉県、成人｝のように表すことができる。属性の集合Ｓ１＝｛東京都、男性、成人｝とのＯＲをとると、東京都在住の成人男性と、千葉県在住の成人とを、それぞれ対象としたコンテンツを配信することができる。
【００８０】
ここで、conjunctionの個数は、２個に限定されるものではなく、任意である。以下では、Ｓｊと表記した場合、ｊ番目のconjunctionに出現する属性ｉの集合を示すこととする。なお、アクセスポリシーＡの構造の具体例については、後記するコンテンツ受信装置のユーザの属性の具体例にて説明する。
【００８１】
コンテンツ鍵暗号化部（コンテンツ鍵暗号化手段）４２３は、入力されたコンテンツ鍵を暗号化して暗号化コンテンツ鍵を生成するものである。このコンテンツ鍵暗号化部４２３は、コンテンツ記憶部４１４に記憶されたコンテンツ鍵Ｍが入力されると共に、入力されたコンテンツ鍵Ｍを、ポリシー入力部４２２により入力されたアクセスポリシーＡに含まれるconjunction（要素）毎に、当該conjunctionに含まれる各属性に対して発行された属性公開鍵ＰＫiとシステム公開鍵ＰＫとを用いて暗号化して暗号化コンテンツ鍵Ｅ（Ｍ）を生成する。コンテンツ鍵Ｍの暗号化アルゴリズムの例については後記する。
【００８２】
コンテンツ結合部（コンテンツ結合手段）４２４は、コンテンツ鍵暗号化部４２３で生成した暗号化コンテンツ鍵Ｅ（Ｍ）とコンテンツ暗号化部４１３が生成した暗号化コンテンツＥ（Ｃ）とを結合してヘッダにアクセスポリシーＡを追加することで、ヘッダ付き暗号化コンテンツＨＥ（Ｃ）を生成するものである。
【００８３】
このコンテンツ結合部４２４は、コンテンツ記憶部４１４に記憶された暗号化コンテンツＥ（Ｃ）に、暗号化コンテンツ鍵Ｅ（Ｍ）を結合してアクセスポリシーＡを付加するので、ヘッダのみ平文である。そのため、この結合されたアクセスポリシーＡを受信するコンテンツ受信装置５においては、当該コンテンツ受信装置５のユーザが、アクセスポリシーＡを満たすか否かを迅速に判定することができる。なお、アクセスポリシーＡの改ざんを検知するために、コンテンツサーバ４にて保護情報として公知の著作権保護方式の改ざん検知用情報をさらに付加し、コンテンツ受信装置５にて改ざん検知用情報を改ざんの判定に用いることとしてもよい。
【００８４】
コンテンツ配信部（コンテンツ配信手段）４２５は、ヘッダ付き暗号化コンテンツＨＥ（Ｃ）をコンテンツ受信装置５に配信するものである。なお、コンテンツＣの配信形態については、ユーザのリクエストに応じてコンテンツＣを配信するビデオオンデマンド（VoD）でもよいし、ＩＰ放送のようなマルチキャスト配信でもよいものとする。
【００８５】
＜コンテンツ受信装置＞
図５に示すように、コンテンツ受信装置５は、コンテンツサーバが配信するヘッダ付き暗号化コンテンツＨＥ（Ｃ）を受信するものであり、公開鍵記憶部５１と、属性秘密鍵記憶部５２と、ユーザ秘密鍵記憶部５３と、コンテンツ受信部５４と、コンテンツ分離部５５と、復号判定部５６と、コンテンツ鍵復号部５７と、コンテンツ再生部５８とを備えている。
【００８６】
公開鍵記憶部５１は、属性公開鍵ＰＫｉやシステム公開鍵ＰＫを記憶するものであって、例えば、一般的なメモリから構成される。コンテンツ受信装置５は、リクエストに応じて属性鍵発行サーバ３から取得した各属性に対して発行された複数の属性公開鍵ＰＫiを、公開鍵記憶部５１に記憶している。例えば、コンテンツ受信装置５を利用するユーザが、コンテンツを受信するために、居住地と性別の２つの属性ｉを必要とする場合、２つの属性公開鍵を予め取得して記憶しておく。
【００８７】
属性秘密鍵記憶部（属性秘密鍵記憶手段）５２は、属性鍵発行サーバ３にてリクエストにより当該コンテンツ受信装置５のユーザの満たすべき属性ｉに対応して発行された属性秘密鍵ＳＫi,Uを記憶したものであって、例えば、一般的なメモリから構成される。属性秘密鍵ＳＫi,Uは、属性公開鍵ＰＫiと同じ数だけ取得される。属性秘密鍵記憶部５２に記憶された属性秘密鍵ＳＫi,Uは、復号判定部５６と、コンテンツ鍵復号部５７とに出力される。
【００８８】
この属性秘密鍵記憶部５２は、内部に記録した情報が外部より読取不可能に構成された耐タンパー性を備えたモジュールであることが好ましい。例えば、コンテンツ受信装置５がテレビジョン受信機で構成される場合、属性秘密鍵記憶部５２は、ＩＣカード等によって構成されたセキュリティモジュールであってもよい。なお、属性秘密鍵記憶部５２は、属性秘密鍵ＳＫi,Uと共に属性公開鍵ＰＫiを記憶するようにしてもよい。
【００８９】
ユーザ秘密鍵記憶部（ユーザ秘密鍵記憶手段）５３は、ユーザ鍵発行サーバ２により発行されたユーザ秘密鍵ＳＫＵを記憶したものであって、例えば、一般的なメモリから構成される。ユーザ秘密鍵記憶部５３は、ユーザ秘密鍵ＳＫＵと共にユーザ公開鍵ＰＫＵを記憶するようにしてもよい。このユーザ秘密鍵記憶部５３は、内部に記録した情報が外部より読取不可能に構成されたセキュリティモジュールであってもよい。
【００９０】
コンテンツ受信部（コンテンツ受信手段）５４は、コンテンツサーバ４からヘッダ付き暗号化コンテンツＨＥ（Ｃ）を受信するものである。受信したヘッダ付き暗号化コンテンツＨＥ（Ｃ）は、コンテンツ分離部５５に出力される。
【００９１】
コンテンツ分離部（コンテンツ分離手段）５５は、コンテンツ受信部５４が受信したヘッダ付き暗号化コンテンツＨＥ（Ｃ）から、アクセスポリシーＡと、暗号化コンテンツ鍵Ｅ（Ｍ）と、暗号化コンテンツＥ（Ｃ）とを分離するものである。ここで分離されたアクセスポリシーＡは、復号判定部５６に出力される。また、分離された暗号化コンテンツ鍵Ｅ（Ｍ）は、コンテンツ鍵復号部５７に出力される。さらに、暗号化コンテンツＥ（Ｃ）は、コンテンツ再生部５８に出力される。
【００９２】
復号判定部（判定手段）５６は、属性秘密鍵記憶部５２に記憶された属性秘密鍵ＳＫi,Uに基づいて、分離されたアクセスポリシーＡに、当該コンテンツ受信装置５のユーザの満たすべき属性ｉの論理積でまとめられたconjunction（要素）が含まれるか否かを判定するものである。これにより、復号判定部５６は、属性秘密鍵記憶部５２に保存されている属性秘密鍵ＳＫi,Uが当該アクセスポリシーＡを満たしているかどうかをチェックする。復号判定部５６は、保存されている属性秘密鍵ＳＫi,UがアクセスポリシーＡを満たしていると判定した場合、アクセスポリシーＡのうちの満たしているｊ番目のconjunctionに含まれる各属性の情報をコンテンツ鍵復号部５７に出力する。なお、アクセスポリシーＡの構造におけるユーザの属性の具体例については後記する。
【００９３】
コンテンツ鍵復号部（コンテンツ鍵復号手段）５７は、アクセスポリシーＡに当該コンテンツ受信装置５のユーザの満たすべき属性ｉが含まれる場合、ユーザ秘密鍵ＳＫＵと属性秘密鍵ＳＫi,Uとシステム公開鍵ＰＫとを用いて、暗号化コンテンツ鍵Ｅ（Ｍ）を復号するものである。このコンテンツ鍵復号部５７は、属性秘密鍵記憶部５２に保存されている属性秘密鍵ＳＫi,Uが当該アクセスポリシーＡを満たしている場合、当該属性秘密鍵ＳＫi,Uおよびユーザ秘密鍵記憶部５３に保存されているユーザ秘密鍵ＳＫＵを用いて、暗号化コンテンツ鍵Ｅ（Ｍ）を復号する。復号されたコンテンツ鍵Ｍは、コンテンツ再生部５８に出力される。
【００９４】
コンテンツ再生部（コンテンツ再生手段）５８は、コンテンツ分離部５５で分離した暗号化コンテンツＥ（Ｃ）を、コンテンツ鍵復号部５７で復号したコンテンツ鍵Ｍによって復号することで、コンテンツを再生するものである。再生されたコンテンツＣは図示しない出力部に出力される。
【００９５】
［アクセス制御システムにおける処理のアルゴリズム］
＜システムの初期化のアルゴリズム＞
本発明の実施形態に係るアクセス制御システム１においてユーザ鍵発行サーバ２が実行するシステム初期化のアルゴリズムについて図６を参照（適宜図２参照）して説明する。すなわち、システムの初期化を行う際に、システム公開鍵ＰＫを生成するアルゴリズムの例について説明する。
【００９６】
まず、ユーザ鍵発行サーバ２内のシステム公開鍵生成部２１１において、鍵長などのセキュリティパラメータを基に、素数位数pの双線形群Ｇを選択する（ステップＳ１）。ここで、「Ｇが双線形群である」とは、Ｇ上の群演算が効率的に求められ、群ＧＴおよび効率的に計算可能な式（４）で示す双線形写像（ペアリング）ｅが存在するような群のことをいう。そして、システム公開鍵生成部２１１は、式（４）で示す双線形写像（ペアリング）ｅを選択する（ステップＳ２）。
【００９７】
【数９】
【００９８】
そして、システム公開鍵生成部２１１は、式（５）で示す生成元を選択する（ステップＳ３）。そして、システム公開鍵生成部２１１は、式（６）で示すシステム公開鍵ＰＫを生成し（ステップＳ４）、システム公開鍵管理部２１２に保存する（ステップＳ５）。
【００９９】
【数１０】
【０１００】
＜ユーザ鍵の発行のアルゴリズム＞
本発明の実施形態に係るアクセス制御システム１においてユーザ鍵発行サーバ２が実行するユーザ鍵の発行のアルゴリズムについて図７を参照（適宜図２参照）して説明する。
ユーザ鍵発行サーバ２内のユーザ鍵生成部２２２において、ユーザ識別子Ｕを基に、乱数ｕをＺｐ（０からｐ−１までの整数の集合）からランダムに選択する（ステップＳ１１）。そして、ユーザ鍵生成部２２２は、式（７）に示すように、選択した乱数ｕを用いてユーザ識別子Ｕに対応するユーザ公開鍵ＰＫＵを生成する（ステップＳ１２）。式（７）において、ｇ１，ｈは、式（６）で示すシステム公開鍵ＰＫ中の生成元である。
【０１０１】
【数１１】
【０１０２】
また、ユーザ鍵生成部２２２は、式（８）に示すように、選択した乱数ｕを用いてユーザ識別子Ｕに対応するユーザ秘密鍵ＳＫＵを生成する（ステップＳ１３）。式（８）において、ｇは、式（６）で示すシステム公開鍵ＰＫ中の生成元である。
【０１０３】
【数１２】
【０１０４】
そして、ユーザ鍵生成部２２２は、式（７）のユーザ公開鍵ＰＫＵと、式（８）のユーザ秘密鍵ＳＫＵとを要素とする式（９）に示すユーザ鍵＜ＰＫＵ，ＳＫＵ＞を当該ユーザに発行する（ステップＳ１４）。
【０１０５】
【数１３】
【０１０６】
＜属性管理機関の初期化のアルゴリズム＞
本発明の実施形態に係るアクセス制御システム１において属性鍵発行サーバ３が実行するＡＡの初期化のアルゴリズムについて図８を参照（適宜図３参照）して説明する。
属性鍵発行サーバ３の属性管理機関秘密鍵生成部３１１において、有限のハッシュ関数族から、式（１０）に示すようにハッシュ関数Ｈｘａを一様ランダムに選択する（ステップＳ２１）。式（１０）において、｛０，１｝*は任意の長さのビット列の集合を示している。また、Ｚｐは、０からｐ−１までの整数の集合を示す。ｐは素数位数を示す。
【０１０７】
【数１４】
【０１０８】
そして、属性管理機関秘密鍵生成部３１１は、式（１１）に示すように、属性管理機関識別子がaである属性管理機関秘密鍵ＳＫａを属性管理機関秘密鍵記憶部３１２に保存する（ステップＳ２２）。式（１１）において、ｘａは、式（１０）に示すハッシュ関数のインデックスであり、ｘのサフィックスのａは、属性管理機関識別子である。
【０１０９】
【数１５】
【０１１０】
＜属性公開鍵ＰＫｉの発行アルゴリズム＞
本発明の実施形態に係るアクセス制御システム１において属性鍵発行サーバ３が実行する属性公開鍵ＰＫｉの発行のアルゴリズムについて図９を参照（適宜図３参照）して説明する。なお、発行される属性公開鍵ＰＫｉは、２要素からなる。
【０１１１】
属性鍵発行サーバ３において、属性公開鍵リクエスト受信部３２１に、ユーザからのリクエスト（属性ｉ）を入力する（ステップＳ３１）。そして、属性公開鍵リクエスト受信部３２１において、ユーザからのリクエストに含まれる属性ｉを管理しているか否かを判別する（ステップＳ３２）。リクエストに含まれる属性ｉを管理している場合（ステップＳ３２：Ｙｅｓ）、属性公開鍵生成部３２２は、対応する属性公開鍵について式（１２）に示す第１要素ＰＫ´i（ＰＫプライムｉ）を生成する（ステップＳ３３）と共に、式（１３）に示す第２要素ＰＫ´´i（ＰＫダブルプライムｉ）を生成する（ステップＳ３４）。式（１２）および式（１３）において、ｇ，ｈは、式（６）で示すシステム公開鍵ＰＫ中の生成元である。また、ＨＳＫａ（ｉ）は、ｇまたはｈのべき乗を示す指数であって、式（１０）のハッシュ関数における属性iのハッシュ値を示す。
【０１１２】
【数１６】
【０１１３】
そして、属性公開鍵生成部３２２は、式（１４）に示すように、第１要素と第２要素とを含む属性公開鍵ＰＫiを生成する（ステップＳ３５）。
【０１１４】
【数１７】
【０１１５】
一方、前記ステップＳ３２において、リクエストに含まれる属性ｉを管理していない場合（ステップＳ３２：Ｎｏ）、属性公開鍵リクエスト受信部３２１は、「ＮＵＬＬ」を出力する（ステップＳ３６）。
【０１１６】
＜属性秘密鍵ＳＫi,Uの発行アルゴリズム＞
本発明の実施形態に係るアクセス制御システム１において属性鍵発行サーバ３が実行する属性秘密鍵ＳＫi,Uの発行のアルゴリズムについて図１０を参照（適宜図３参照）して説明する。なお、発行される属性秘密鍵ＳＫi,Uは、２要素からなる。
【０１１７】
まず、属性鍵発行サーバ３は、属性秘密鍵リクエスト受信部３３１に、ユーザからのリクエスト（属性ｉ）を入力する（ステップＳ４１）。そして、属性秘密鍵リクエスト受信部３３１は、ユーザからのリクエストに含まれる属性ｉを管理しているか否かを判別する（ステップＳ４２）。属性ｉを管理していない場合（ステップＳ４２：Ｎｏ）、属性秘密鍵リクエスト受信部３３１は、「ＮＵＬＬ」を出力し（ステップＳ４９）、処理を終了する。一方、属性ｉを管理している場合（ステップＳ４２：Ｙｅｓ）、属性秘密鍵リクエスト受信部３３１において、ユーザからのリクエストに含まれる属性ｉ、ユーザ識別子Ｕ、ユーザ公開鍵ＰＫＵを入力として（ステップＳ４３）、ユーザ識別子Ｕで示されるユーザ（以下、単にユーザＵという）が当該属性ｉを有しているか否かを判別する（ステップＳ４４）。ここで、属性秘密鍵リクエスト受信部３３１は、ユーザ管理情報記憶部３５に記憶されたユーザ管理情報を参照して、リクエストを送ったユーザが属性ｉを有しているか否かを判別する。
【０１１８】
前記ステップＳ４４において、ユーザＵが当該属性ｉを有している場合（ステップＳ４４：Ｙｅｓ）、属性秘密鍵生成部３３２は、まず、乱数Ｒｉ，ＵをＺｐ（０からｐ−１までの整数の集合）からランダムに生成する（ステップＳ４５）。
そして、属性秘密鍵生成部３３２は、生成した乱数Ｒｉ，Ｕを用いて、対応する属性秘密鍵について式（１５）に示す第１要素ＳＫ´iを生成する（ステップＳ４６）と共に、式（１６）に示す第２要素ＳＫ´´iを生成する（ステップＳ４７）。式（１５）および式（１６）において、ｈバー，ｇは、式（６）で示すシステム公開鍵ＰＫ中の生成元である。また、ＨＳＫａ（ｉ）は、ＰＫＵのべき乗を示す指数である。
【０１１９】
【数１８】
【０１２０】
そして、属性秘密鍵生成部３３２は、式（１７）に示すように、第１要素と第２要素とを含む属性秘密鍵ＳＫi,Uを生成する（ステップＳ４８）。
【０１２１】
【数１９】
【０１２２】
一方、前記ステップＳ４４において、ユーザＵが当該属性ｉを有していない場合（ステップＳ４４：Ｎｏ）、属性秘密鍵リクエスト受信部３３１は、「ＮＵＬＬ」を出力する（ステップＳ３６）。つまり、属性鍵発行サーバ３がユーザからのリクエストに含まれる属性ｉを管理している場合であって、ユーザＵが当該属性ｉを有していることが確認できた場合のみ、属性秘密鍵生成部３３２は、属性秘密鍵ＳＫi,Uを生成してユーザに発行し、それ以外の場合は「ＮＵＬＬ」を出力する。
【０１２３】
＜コンテンツ鍵の暗号化アルゴリズム＞
本発明の実施形態に係るアクセス制御システム１においてコンテンツサーバ４が実行するコンテンツ鍵Ｍの暗号化のアルゴリズムについて図１１を参照（適宜図４参照）して説明する。
【０１２４】
コンテンツサーバ４のコンテンツ鍵暗号化部４２３は、コンテンツ鍵Ｍを暗号化する際に、アクセスポリシーＡのconjunction毎に暗号化を行う。まず、コンテンツ鍵暗号化部４２３は、アクセスポリシーＡを基に、アクセスポリシーＡのj番目のconjunctionに対応する乱数rjをＺｐ（０からｐ−１までの整数の集合）からランダムに生成する（ステップＳ５１）。
【０１２５】
そして、コンテンツ鍵暗号化部４２３は、アクセスポリシーＡのj番目のconjunctionについて、属性公開鍵ＰＫｉを基に暗号化した４つの要素として、式（１８）に示すＥｊ、式（１９）に示すＥ´ｊ、式（２０）に示すＥ´´ｊ、式（２１）に示すＥ´´´ｊ（Ｅトリプルプライムｊ）を生成する（ステップＳ５２）。式（１８）〜式（２１）においてｅ、ｇ，ｇ１，ｈバーは、式（６）で示すシステム公開鍵ＰＫに含まれている。なお、属性公開鍵ＰＫｉは、前記した式（１４）にて転開される。
【０１２６】
【数２０】
【０１２７】
そして、コンテンツ鍵暗号化部４２３は、式（２２）に示すように、アクセスポリシーＡのj番目のconjunctionについて、式（１８）〜式（２１）に示す４つの要素を集約した部分暗号文を生成する（ステップＳ５３）。
【０１２８】
【数２１】
【０１２９】
そして、コンテンツ鍵暗号化部４２３は、前記したステップＳ５１〜Ｓ５３の手順を、アクセスポリシーＡの全てのconjunctionに対して行い、各部分暗号文ＣＴ１〜ＣＴｎ（ｎはアクセスポリシーＡのconjunctionの総数）を生成し、式（２３）に示すように、これらを要素として、暗号化する対象のメッセージであるコンテンツ鍵Ｍの暗号文ＣＴを生成する（ステップＳ５４）。
【０１３０】
【数２２】
【０１３１】
なお、式（２３）に示すコンテンツ鍵Ｍの暗号文ＣＴ、すなわち、暗号化コンテンツ鍵Ｅ（Ｍ）は、その後、暗号化コンテンツＥ（Ｃ）と結合されてヘッダにアクセスポリシーＡを追加されたヘッダ付き暗号化コンテンツＨＥ（Ｃ）としてユーザに配信される。
【０１３２】
＜暗号化コンテンツ鍵の復号アルゴリズム＞
本発明の実施形態に係るアクセス制御システム１においてコンテンツ受信装置５が実行する暗号化コンテンツ鍵の復号のアルゴリズムについて図１２を参照（適宜図５参照）して説明する。まず、ユーザのコンテンツ受信装置５は、復号判定部５６において、受信したヘッダ付き暗号化コンテンツＨＥ（Ｃ）から分離されたアクセスポリシーＡを入力として（ステップＳ６１）、当該ユーザＵの属性ｉが、受信した暗号文に含まれるアクセスポリシーＡを満たしているかどうかチェックする（ステップＳ６２）。ユーザＵの属性ｉがアクセスポリシーＡを満たす場合（ステップＳ６２：Ｙｅｓ）、例えば当該ユーザＵの属性ｉがアクセスポリシーＡのｊ番目のconjunctionを満たしているものとすると、復号判定部５６は、アクセスポリシーＡの総数ｎ個のconjunctionの中から、アクセスポリシーＡを満たすｊ番目のconjunctionを選ぶ（ステップＳ６３）。
【０１３３】
そして、コンテンツ受信装置５は、コンテンツ鍵復号部５７において、選んだｊ番目のconjunctionについて、当該conjunctionに含まれる属性ｉに対応する属性秘密鍵ＳＫi,Uとユーザ秘密鍵ＳＫＵとを用いて式（２４）に示す復号の演算を実行する（ステップＳ６４）。
【０１３４】
【数２３】
【０１３５】
式（２４）においてｅは、式（６）で示すシステム公開鍵ＰＫに含まれている。なお、ＳＫi,Uプライム、および、ＳＫi,Uダブルプライムは、式（１７）にて転開される。
【０１３６】
コンテンツ鍵復号部５７は、式（２４）に示す復号の演算結果として、コンテンツ鍵Ｍの暗号文ＣＴに含まれていたメッセージとして、コンテンツ鍵Ｍを出力する（ステップＳ６５）。一方、前記ステップＳ６２において、ユーザＵの属性ｉがアクセスポリシーＡを満たさない場合（ステップＳ６２：Ｎｏ）、復号処理を行わずに、「ＮＵＬＬ」を出力する（ステップＳ６６）。
【０１３７】
［アクセス制御システムの動作］
＜ユーザ鍵発行サーバの動作＞
次に、ユーザ鍵発行サーバ２の動作について図１３を参照（適宜図２参照）して説明する。ユーザ鍵発行サーバ２は、初期化の際に、システム初期化装置２１において、システム公開鍵生成部２１１によって、システム公開鍵ＰＫを生成する（ステップＳ２０１）。生成されたシステム公開鍵ＰＫは、システム公開鍵管理部２１２に記憶される（ステップＳ２０２）。システム公開鍵管理部２１２は、システム公開鍵ＰＫを公開する（ステップＳ２０３）。すなわち、誰でも外部のネットワークＮ経由でシステム公開鍵ＰＫにアクセス可能となる。これにより、ユーザ鍵発行サーバ２の初期化は終了する。
【０１３８】
そして、ユーザ鍵発行サーバ２は、ユーザ鍵発行装置２２のユーザ鍵リクエスト受信部２２１によって、ユーザからのリクエストを受信すると、ユーザ鍵生成部２２２によって、システム公開鍵ＰＫとリクエストに含まれるユーザ識別子Ｕとを用いて、ユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを生成する（ステップＳ２１１）。生成されたユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵは、ユーザ鍵管理部２２３に記憶される（ステップＳ２１２）。そして、ユーザ鍵管理部２２３は、リクエストのあったユーザに対し、ユーザ公開鍵ＰＫＵを発行すると共に、セキュアな通信手段を用いてユーザ秘密鍵ＳＫＵを発行する（ステップＳ２１３）。
【０１３９】
＜属性鍵発行サーバの動作＞
次に、属性鍵発行サーバ３の動作について図１４を参照（適宜図３参照）して説明する。属性鍵発行サーバ３は、属性管理機関（ＡＡｉ）を新規に設置する初期化の際に、ユーザ鍵発行サーバ２が公開したシステム公開鍵ＰＫにアクセスして、システム公開鍵ＰＫを取得し、システム公開鍵記憶部３４に記憶する（ステップＳ３０１）。
属性鍵発行サーバ３は、属性管理機関初期化装置３１において、属性管理機関秘密鍵生成部３１１によって、属性管理機関秘密鍵ＳＫａを生成し、属性管理機関秘密鍵記憶部３１２に記憶する（ステップＳ３０２）。これにより、属性鍵発行サーバ３の初期化は終了する。
【０１４０】
そして、属性鍵発行サーバ３は、属性公開鍵発行装置３２の属性公開鍵リクエスト受信部３２１によって、ユーザからのリクエストを受信すると（ステップＳ３１１）、属性公開鍵生成部３２２によって、システム公開鍵ＰＫと、属性管理機関秘密鍵ＳＫａと、リクエストに含まれる属性ｉとを用いて、属性公開鍵ＰＫｉを生成する（ステップＳ３１２）。なお、ここでのユーザは、コンテンツ受信装置５を利用するユーザだけではなく、コンテンツサーバ４を利用するサービスプロバイダも意味する。生成された属性公開鍵ＰＫｉは、属性公開鍵管理部３２３に記憶される（ステップＳ３１３）。そして、属性公開鍵管理部３２３は、属性公開鍵ＰＫｉを公開する（ステップＳ３１４）。すなわち、誰でも外部のネットワークＮ経由で属性公開鍵ＰＫｉにアクセス可能となる。なお、属性公開鍵管理部３２３は、リクエストのあったユーザに対し、属性公開鍵ＰＫｉを発行する。
【０１４１】
そして、属性鍵発行サーバ３は、属性秘密鍵発行装置３３の属性公開鍵リクエスト受信部３２１によって、ユーザからのリクエストを受信すると、属性秘密鍵生成部３３２によって、システム公開鍵ＰＫと、属性管理機関秘密鍵ＳＫａと、リクエストにそれぞれ含まれる属性ｉ，ユーザ識別子Ｕ，ユーザ公開鍵ＰＫＵとを用いて、属性秘密鍵ＳＫi,Uを生成する（ステップＳ３１５）。なお、ここでのユーザは、コンテンツ受信装置５を利用するユーザを意味する。生成された属性秘密鍵ＳＫi,Uは、属性秘密鍵管理部３３３に記憶される（ステップＳ３１６）。そして、属性秘密鍵管理部３３３は、リクエストのあったユーザに対し、セキュアな通信手段を用いて属性秘密鍵ＳＫi,Uを発行する（ステップＳ３１７）。なお、属性秘密鍵管理部３３３は、属性秘密鍵ＳＫi,Uのリクエストのあったユーザに対し、セキュアな通信手段を用いて属性秘密鍵ＳＫi,Uおよび属性公開鍵ＰＫｉを同時に発行してもよい。
【０１４２】
＜コンテンツサーバの動作＞
次に、コンテンツサーバ４の動作について図１５を参照（適宜図４参照）して説明する。コンテンツサーバ４は、初期化の際に、ユーザ鍵発行サーバ２が公開したシステム公開鍵ＰＫにアクセスして、システム公開鍵ＰＫを取得し、公開鍵記憶部４２１に記憶する（ステップＳ４０１）。また、コンテンツサーバ４は、属性鍵発行サーバ３にリクエストを送って属性公開鍵ＰＫｉを取得し、公開鍵記憶部４２１に記憶する（ステップＳ４０２）。これにより、コンテンツサーバ４の初期化は終了する。ただし、本実施形態は、この方法に限定されるものではない。すなわち、コンテンツサーバ４が、初期化の際に予め全ての属性iに対応するＰＫiを入手しなくても、暗号化する毎に入手すればよい。それは、サービスプロバイダで暗号化コンテンツを暗号化する際には、まず、ポリシーを決定し、それから該当する属性公開鍵ＰＫiを入手するのが通常だからである。なお、ここでは、一例として、初期化の際に、コンテンツサーバ４が、予め全ての属性iに対応するＰＫiを入手するものとして説明する。
【０１４３】
コンテンツサーバ４は、コンテンツ暗号化装置４１において、次のステップＳ４１１〜Ｓ４１４の処理を実行する。まず、コンテンツ暗号化装置４１は、コンテンツ入力部４１１によって、コンテンツＣを入力する（ステップＳ４１１）。そして、コンテンツ暗号化装置４１は、コンテンツ鍵生成部４１２によって、コンテンツ鍵Ｍを生成する（ステップＳ４１２）。そして、コンテンツ暗号化装置４１は、コンテンツ暗号化部４１３によって、コンテンツＣをコンテンツ鍵Ｍによって暗号化することで、暗号化コンテンツＥ（Ｃ）を生成する（ステップＳ４１３）。生成された暗号化コンテンツＥ（Ｃ）およびコンテンツ鍵Ｍは、コンテンツ記憶部４１４に蓄積される（ステップＳ４１４）。
【０１４４】
コンテンツサーバ４は、コンテンツ配信装置４２において、次のステップＳ４２１〜Ｓ４２４の処理を実行する。まず、コンテンツ配信装置４２は、ポリシー入力部４２２によって、復号を許可するユーザの属性ｉに関するアクセスポリシーＡを入力する（ステップＳ４２１）。そして、コンテンツ配信装置４２は、コンテンツ鍵暗号化部４２３によって、アクセスポリシーＡに対応する属性公開鍵ＰＫｉ、およびアクセスポリシーＡを用いて、コンテンツ記憶部４１４に保存されているコンテンツ鍵Ｍを暗号化する（ステップＳ４２２）。そして、コンテンツ配信装置４２は、コンテンツ結合部４２４は、暗号化コンテンツ鍵Ｅ（Ｍ）と、コンテンツ記憶部４１４に保存されている暗号化コンテンツＥ（Ｃ）とを結合し、ヘッダにアクセスポリシーＡを追加することで、ヘッダ付き暗号化コンテンツＨＥ（Ｃ）を生成する。（ステップＳ４２３）。そして、コンテンツ配信装置４２は、コンテンツ配信部４２５ｂによって、ユーザのコンテンツ受信装置５に対しヘッダ付き暗号化コンテンツＨＥ（Ｃ）を配信する（ステップＳ４２４）。
【０１４５】
＜コンテンツ受信装置の動作＞
次に、コンテンツ受信装置５の動作について図１６を参照（適宜図５参照）して説明する。コンテンツ受信装置５は、初期化の際に、ユーザ鍵発行サーバ２が公開したシステム公開鍵ＰＫにアクセスして、システム公開鍵ＰＫを取得し、公開鍵記憶部５１に記憶する（ステップＳ５０１）。また、コンテンツ受信装置５は、リクエストによりユーザ鍵発行サーバ２が発行したユーザ鍵（ユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵ）を取得し、ユーザ鍵をユーザ秘密鍵記憶部５３に記憶する（ステップＳ５０２）。また、コンテンツ受信装置５は、属性鍵を要求するリクエストを属性鍵発行サーバ３に送る（ステップＳ５０３）。コンテンツ受信装置５は、リクエストにより公開された属性公開鍵ＰＫｉを取得し、公開鍵記憶部５１に記憶する（ステップＳ５０４）。また、コンテンツ受信装置５は、リクエストにより発行された属性秘密鍵ＳＫi,Uを取得し、属性秘密鍵記憶部５２に記憶する（ステップＳ５０５）。なお、属性公開鍵ＰＫｉを属性秘密鍵ＳＫi,Uと共に取得し、属性秘密鍵記憶部５２に記憶するようにしてもよい。これにより、コンテンツ受信装置５の初期化は終了する。
【０１４６】
コンテンツ受信装置５は、コンテンツ受信部５４において、コンテンツサーバ４から配信されたヘッダ付き暗号化コンテンツＨＥ（Ｃ）を受信すると、コンテンツ分離部５５において、ヘッダ部分に記載のアクセスポリシーＡおよび暗号化コンテンツ鍵Ｅ（Ｍ）を抽出する（ステップＳ５１１）。
【０１４７】
そして、コンテンツ受信装置５は、復号判定部５６によって、属性秘密鍵記憶部５２に保存されている属性秘密鍵ＳＫi,Uが当該アクセスポリシーＡを満たしているか否かを判定する（ステップＳ５１２）。すなわち、アクセスポリシーＡに、当該コンテンツ受信装置５のユーザの満たすべき属性ｉの論理積の要素が含まれるか否かを判定する。
【０１４８】
保存されている属性秘密鍵ＳＫi,Uが当該アクセスポリシーＡを満たす場合（ステップＳ５１２：Ｙｅｓ）、コンテンツ受信装置５は、コンテンツ鍵復号部５７によって、当該属性秘密鍵ＳＫi,Uおよびユーザ秘密鍵記憶部５３に保存されているユーザ秘密鍵ＳＫＵを用いて、ヘッダ付き暗号化コンテンツＨＥ（Ｃ）から分離した暗号化コンテンツ鍵Ｅ（Ｍ）を復号し、コンテンツ鍵Ｍを得る（ステップＳ５１３）。
コンテンツ受信装置５は、復号したコンテンツ鍵Ｍを用いて、ヘッダ付き暗号化コンテンツＨＥ（Ｃ）から分離した暗号化コンテンツＥ（Ｃ）を復号し、コンテンツＣを再生する（ステップＳ５１４）。
【０１４９】
前記ステップＳ５１２において、属性秘密鍵記憶部５２に保存されている、属性秘密鍵ＳＫi,Uが当該アクセスポリシーＡを満たさない場合（ステップＳ５１２：Ｎｏ、コンテンツ受信装置５は、コンテンツを再生することなく処理を終了する。
【０１５０】
［ユーザの属性の具体例］
次に、本発明の実施形態に係るコンテンツ受信装置のユーザの属性の具体例について図１７を参照（適宜図１参照）して説明する。図１に示すアクセス制御システム１において、例えば、ＡＡの属性鍵発行サーバ３にて、ユーザの居住地の属性が都道府県単位で管理されているものとする。そして、ユーザ鍵発行サーバ２、属性鍵発行サーバ３、コンテンツサーバ４、およびコンテンツ受信装置５にて、それぞれ初期化が行われて、それぞれが必要な鍵を取得して保存しているものとする。
【０１５１】
この前提において、図１７に示すように、あるコンテンツを配信する１つのコンテンツサーバ４と、ネットワークＮに接続された５台のコンテンツ受信装置５（５ａ，５ｂ，５ｃ，５ｄ，５ｅ）とを想定して、具体例を説明する。ここでは、サービスプロバイダにて、四国在住の女性のユーザのみコンテンツＣの視聴を許可する場合を想定する。
サービスプロバイダのコンテンツサーバ４に入力されるアクセスポリシーＡは、居住地の属性と性別の属性とを用いて、式（２５）のように記述される。
【０１５２】
Ａ＝（香川県∧女性）∨（徳島県∧女性）∨（愛媛県∧女性）∨（高知県∧女性）
… 式（２５）
【０１５３】
コンテンツ受信装置５ａのユーザＵａは、例えば香川県に居住する女性であるものとする。ここでは、図１７に示すように、このユーザＵａにおいて、居住地の属性と性別の属性とを、属性ｉ１＝「香川県」、属性ｉ２＝「女性」と表記することとする。
また、コンテンツ受信装置５ｂのユーザＵｂは、属性ｉ３＝「徳島県」、属性ｉ４＝「女性」であるものとする。
また、コンテンツ受信装置５ｃのユーザＵｃは、属性ｉ５＝「愛媛県」、属性ｉ６＝「女性」であるものとする。
また、コンテンツ受信装置５ｄのユーザＵｄは、属性ｉ７＝「高知県」、属性ｉ８＝「女性」であるものとする。
また、コンテンツ受信装置５ｅのユーザＵｅは、属性ｉ９＝「香川県」、属性ｉ１０＝「男性」であるものとする。
【０１５４】
図１７に示すコンテンツサーバ４は、予め取得したシステム公開鍵ＰＫおよび属性公開鍵ＰＫiと、生成したコンテンツ鍵とを保有している。また、コンテンツ受信装置５ａは、システム公開鍵ＰＫと、ユーザＵａのユーザ鍵＝＜ユーザ公開鍵ＰＫＵ，ユーザ秘密鍵ＳＫＵ＞と、属性公開鍵ＰＫiと、ユーザＵａの属性秘密鍵ＳＫi,Uとを保有している。なお、図示を省略するが、他のコンテンツ受信装置５ｂ〜５ｅにも同様にユーザに対応した各鍵が記憶されているものとする。
【０１５５】
前記した式（２５）のアクセスポリシーＡは、式（２６）のように書き換えられる。
また、アクセスポリシーＡのｊ＝１〜４番目のconjunctionに出現する属性ｉの集合は、それぞれ式（２７）、式（２８）、式（２９）、式（３０）で表される。
【０１５６】
【数２４】
【０１５７】
コンテンツ受信装置５ａは、受信した暗号文から、式（２６）に示すアクセスポリシーＡを分離する。ここで、ユーザＵａの属性ｉ１，ｉ２は、式（２６）に示すアクセスポリシーＡのｊ＝１番目のconjunctionを満たしている。したがって、コンテンツ受信装置５ａは、アクセスポリシーＡのｊ＝１番目のconjunctionを選び、属性ｉ１に対応する属性秘密鍵ＳＫi1,Uと、属性ｉ２に対応する属性秘密鍵ＳＫi2,Uと、ユーザ秘密鍵ＳＫＵａとを用いて前記した式（２４）に示す復号の演算を実行する。
【０１５８】
また、コンテンツ受信装置５ｂは、アクセスポリシーＡのｊ＝２番目のconjunctionを選び、属性ｉ３に対応する属性秘密鍵ＳＫi3,Uと、属性ｉ４に対応する属性秘密鍵ＳＫi4,Uと、ユーザ秘密鍵ＳＫＵｂとを用いて前記した式（２４）に示す復号の演算を実行する。
同様に、コンテンツ受信装置５ｃは、アクセスポリシーＡのｊ＝３番目のconjunctionを選び、コンテンツ受信装置５ｄは、アクセスポリシーＡのｊ＝４番目のconjunctionを選び、復号によりコンテンツ鍵Ｍを得る。
一方、コンテンツ受信装置５ｅを利用するユーザＵｅの属性ｉ９，ｉ１０の組み合わせは、式（２６）に示すアクセスポリシーＡを満たさない。したがって、コンテンツ受信装置５ｅは、アクセスポリシーＡにしたがって、暗号文の復号を行わない。
これにより、四国在住の女性のユーザのみコンテンツＣを視聴できることとなる。
【０１５９】
本実施形態に係るアクセス制御システム１は、放送波Ｗもしくはインターネット、専用ＩＰ回線等のネットワークＮを利用したコンテンツ配信サービスにおいて、サービスプロバイダが、コンテンツの復号を許可するユーザを限定して暗号化コンテンツを配信したい場合に、個々のユーザを直接指定することなく、ユーザの満たすべき属性ｉの条件を記述したアクセスポリシーＡに基づいてコンテンツの暗号化を行うことができる。
【０１６０】
これにより、サービスプロバイダがコンテンツ配信サービスを行う際のアクセス制御を容易に実現できる。例えば、「居住地」をユーザの属性ｉとして用いることにより、特定の地域に住む視聴者のみを対象としたコンテンツ配信サービスを実現できる。また、例えば、「年齢」をユーザの属性ｉとして用いることにより、年齢制限を設けたコンテンツ配信サービスを実現できる。さらに、例えば、「会員種別」をユーザの属性ｉとして用いることにより、会員限定のプレミアムコンテンツ配信サービスを実現できる。このように、ユーザの属性ｉに応じたきめ細かなコンテンツ配信サービスを提供できる。
【０１６１】
また、本実施形態に係るアクセス制御システム１は、任意の数のＡＡによる属性秘密鍵ＳＫi,Uの発行が可能であるため、各々のＡＡの管理コストを削減できると共に、新たなＡＡの設置も容易となる。
【０１６２】
さらに、実施形態に係るアクセス制御システム１は、単独で暗号文を復号できる機関が存在しないため、従来よりも安全なアクセス制御システム１を構築でき、サービスプロバイダが提供するコンテンツ配信サービスをユーザが安心して利用できる。
【０１６３】
以上、実施形態に基づいて本発明を説明したが、本発明はこれに限定されるものではない。例えば、コンテンツ受信装置５は、ネットワークＮからコンテンツを受信するものとしたが、放送事業者の放送局に設けたコンテンツサーバ４から送信された放送波Ｗによりコンテンツを受信するものとしてもよい。この場合には、コンテンツ受信装置５は、例えば、デジタル放送を受信するチューナを備え、ＣＡＳ（Conditional Access System）カードにユーザ秘密鍵ＳＫＵや属性秘密鍵ＳＫi,Uを記録してもよい。
【０１６４】
また、本実施形態では、ユーザ鍵発行サーバ２のユーザ鍵管理部２２３と、属性鍵発行サーバ３の属性秘密鍵管理部３３３とは、セキュアな通信手段を用いることとしたが、ユーザ鍵や属性秘密鍵をオフライン（例えば郵送等）にてユーザに発行するようにしてもよい。
【０１６５】
また、例えば、コンテンツサーバ４は、一般的なコンピュータを、前記した各手段として機能させるプログラム（コンテンツ配信プログラム）により動作させることで実現することができる。コンテンツ受信装置５は、一般的なコンピュータを、前記した各手段として機能させるプログラム（コンテンツ受信プログラム）により動作させることで実現することができる。これらコンテンツ配信プログラムやコンテンツ受信プログラムは、通信回線を介して配布することも可能であるし、ＤＶＤやＣＤ−ＲＯＭ等の記録媒体に書き込んで配布することも可能である。
【０１６６】
一般に、デジタル放送受信機は、デジタル放送で送られてくるデータをダウンロードして自動的に受信機のソフトウェアプログラムを更新させる機能があるので、デジタル放送受信機が前記コンテンツ受信プログラムを取り込んだ場合、このアクセス制御システム１のコンテンツ受信装置５として機能させることができる。
【符号の説明】
【０１６７】
１ アクセス制御システム
２ ユーザ鍵発行サーバ
２１ システム初期化装置
２１１ システム公開鍵生成部（システム公開鍵生成手段）
２１２ システム公開鍵管理部
２２ ユーザ鍵発行装置
２２１ ユーザ鍵リクエスト受信部
２２２ ユーザ鍵生成部（ユーザ鍵生成手段）
２２３ ユーザ鍵管理部
３ 属性鍵発行サーバ
３１ 属性管理機関初期化装置
３１１ 属性管理機関秘密鍵生成部（属性管理機関秘密鍵生成手段）
３１２ 属性管理機関秘密鍵記憶部
３２ 属性公開鍵発行装置
３２１ 属性公開鍵リクエスト受信部
３２２ 属性公開鍵生成部（属性公開鍵生成手段）
３２３ 属性公開鍵管理部
３３ 属性秘密鍵発行装置
３３１ 属性秘密鍵リクエスト受信部
３３２ 属性秘密鍵生成部（属性秘密鍵生成手段）
３３３ 属性秘密鍵管理部
３４ システム公開鍵記憶部
３５ ユーザ管理情報記憶部
４ コンテンツサーバ
４１ コンテンツ暗号化装置
４１１ コンテンツ入力部
４１２ コンテンツ鍵生成部
４１３ コンテンツ暗号化部（コンテンツ暗号化手段）
４１４ コンテンツ記憶部
４２ コンテンツ配信装置
４２１ 公開鍵記憶部
４２２ ポリシー入力部（ポリシー入力手段）
４２３ コンテンツ鍵暗号化部（コンテンツ鍵暗号化手段）
４２４ コンテンツ結合部（コンテンツ結合手段）
４２５ コンテンツ配信部（コンテンツ配信手段）
５ コンテンツ受信装置
５１ 公開鍵記憶部
５２ 属性秘密鍵記憶部（属性秘密鍵記憶手段）
５３ ユーザ秘密鍵記憶部（ユーザ秘密鍵記憶手段）
５４ コンテンツ受信部（コンテンツ受信手段）
５５ コンテンツ分離部（コンテンツ分離手段）
５６ 復号判定部（判定手段）
５７ コンテンツ鍵復号部（コンテンツ鍵復号手段）
５８ コンテンツ再生部（コンテンツ再生手段）
Ｎ ネットワーク
【技術分野】
【０００１】
本発明は、放送波もしくはインターネット、専用ＩＰ回線等のネットワークを利用したコンテンツ配信における、ユーザの属性を用いたアクセス制御技術に関する。
【背景技術】
【０００２】
デジタル放送の普及やネットワークの高速化および大容量化に伴い、放送コンテンツを放送波もしくはインターネット、専用ＩＰ回線等のネットワークを用いて配信するサービスが実現している。このようなサービスにおいて、暗号化されたコンテンツを特定のユーザのみが復号し視聴することができる、といったアクセス制御を行う場合、サービスプロバイダにおいて、復号を許可するユーザを予め指定してコンテンツの暗号化を行うのが一般的である。復号を許可するユーザの一例として、サービスプロバイダが、当該サービスプロバイダの会員資格を有するユーザのみコンテンツの復号を許可する場合、会員資格を有するユーザを直接指定してコンテンツを暗号化することになる。そのため、ユーザに会員資格の変更（入会、退会など）があった場合に、サービスプロバイダは、その都度ユーザを指定してコンテンツを暗号化しなければならない、という問題がある。
【０００３】
このような問題点を解決する手段として、サイファーテキストポリシー−属性ベース暗号（Ciphertext-Policy Attribute-Based Encryption）が知られている（非特許文献１参照）。これは、公開鍵暗号方式であって、送信者は、メッセージの暗号化を行う際、受信者の満たすべき属性（居住地、性別、年齢、会員種別など）の条件を記したアクセスポリシーに基づいて暗号化を行う。そして、当該アクセスポリシーを満たす属性を有する受信者のみ、その属性に対応する秘密鍵である属性秘密鍵を用いて復号可能となる。
【０００４】
属性ベース暗号を用いると、サービスプロバイダはアクセス制御を行う際、個々のユーザを直接指定する必要はないため、サービスプロバイダの負荷を軽減できる。例えば、前記した復号を許可するユーザの一例として、サービスプロバイダが、当該サービスプロバイダの会員資格を有するユーザのみコンテンツの復号を許可する場合、サービスプロバイダがコンテンツの暗号化の際に指定するのは「会員資格を有するユーザ」というアクセスポリシーのみであり、会員資格を有するユーザを直接指定して暗号化を行う必要がない。そのため、ユーザに会員資格の変更（入会、退会など）があった場合においても、コンテンツを再度暗号化する必要がない。
【０００５】
属性ベース暗号では、ユーザは属性管理機関（Attribute Authority：ＡＡ）に対し、ある属性を有していることを証明し、その属性に対応する属性秘密鍵を発行してもらう。非特許文献１に開示された方式では、１つのＡＡが全ての属性情報を管理しなければならないため、管理コストが大きくなるという問題がある。
【０００６】
このような問題点を解決する手段として、複数のＡＡが存在可能な属性ベース暗号（Multi-Authority Attribute-Based Encryption）が知られている（非特許文献２および非特許文献３参照）。これらの方式によれば、１つのＡＡが管理する属性情報を少なくすることができるため、ＡＡの管理コストを削減できる。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】J. Bethencourt, A. Sahai and B. Waters, “Ciphertext-Policy Attribute-Based Encryption,” Proc. of the 2007 IEEE Symposium on Security and Privacy, pp. 321-334, 2007.
【非特許文献２】M. Chase, “Multi-Authority Attribute Based Encryption,” Proc. of TCC’07, Lecture Notes in Computer Science 4392, pp. 515-534, Springer-Verlag, 2007.
【非特許文献３】S. Muller, S. Katzenbeisserand C. Eckert, “Distributed Attribute-Based Encryption,” Proc. of ICISC’08, Lecture Notes in Computer Science 5461, pp. 20-36, Springer-Verlag, 2009.
【発明の概要】
【発明が解決しようとする課題】
【０００８】
従来、複数のＡＡが存在可能な属性ベース暗号においては、ユーザの結託攻撃という問題を防止するために、各ＡＡを束ねる中央機関として、ユーザ管理を行う機関（Central Authority：ＣＡ）を別途設置している。ここで、結託攻撃とは、単独ではアクセスポリシーを満たさない複数のユーザが結託し、互いの属性秘密鍵を共有することにより、コンテンツの復号が可能になってしまうというものである。
【０００９】
しかしながら、非特許文献２、３に記載の従来技術では、ユーザの結託攻撃を防止するために設置した中央機関であるＣＡが、マスター鍵を保有しているため、原理的に、システム上の全ての暗号文を復号できる。そのため、信頼性の低いＣＡが存在した場合に、システム内の暗号文の秘匿性を保てずに安全性が低くなるという問題があった。
【００１０】
具体的には、非特許文献２，３に記載の方法では、ＣＡのサーバは、システム公開鍵ＰＫとマスター鍵ＭＫとユーザ識別子ｕとを入力して、ユーザ鍵として、ユーザ公開鍵およびユーザ秘密鍵を生成する。
【００１１】
例えば、非特許文献３に記載の方法では、ＣＡのサーバは、システムの初期化において、Ｇを素数位数pの双線形群とし、ペアリングをｅ：Ｇ×Ｇ→ＧＴとすると共に、生成元ｇ∈Ｇ、およびＰ∈Ｇ、ｙ∈Ｚpをランダムに選び、式（１０１）で示すシステム公開鍵ＰＫおよびマスター鍵ＭＫ＝ｇyを出力する。
【００１２】
【数１】
【００１３】
また、ＣＡのサーバは、ユーザｕに対してＺｐ（０からｐ−１までの整数の集合）からランダムに選択した乱数ｍｋuを用いて、式（１０２）に示すユーザ公開鍵ＰＫuと、式（１０３）に示すユーザ秘密鍵ＳＫuとを生成する。
【００１４】
【数２】
【００１５】
そして、ＡＡのうち、ａ番目のＡＡ（＝ＡＡａ）のサーバは、システム公開鍵ＰＫと識別子ａとを入力として、有限のハッシュ関数族から、ハッシュ関数Ｈｘａ：｛０，１｝＊→Ｚpを一様ランダムに選択し、ＡＡａの秘密鍵をＳＫａ＝ｘａとする。ＡＡａが属性ｉを管理している場合、ＡＡａのサーバは、システム公開鍵ＰＫと属性ｉと秘密鍵ＳＫａとを入力として、式（１０４）に示す属性ｉの属性公開鍵ＰＫｉを出力する。また、ユーザｕが属性ｉを有している場合、ＡＡａのサーバは、システム公開鍵ＰＫと属性ｉと秘密鍵ＳＫａとユーザ識別子ｕとユーザ公開鍵ＰＫuとを入力として、式（１０５）に示すｕの属性秘密鍵ＳＫｉを出力する。
【００１６】
【数３】
【００１７】
また、サービスプロバイダのサーバは、システム公開鍵ＰＫとメッセージＭとアクセスポリシーＡと複数の属性公開鍵ＰＫiとを入力として、アクセスポリシーＡの要素ｊ（１≦ｊ≦ｎ）に対し、乱数Ｒj∈Ｚｐをランダムに選び、暗号文ＣＴ＝＜ＣＴ1，…，ＣＴn＞を出力する。ここで、ＣＴjは、式（１０６）で表される。
【００１８】
【数４】
【００１９】
そして、復号側のユーザ端末は、システム公開鍵ＰＫと暗号文ＣＴとアクセスポリシーＡとユーザ秘密鍵ＳＫuと複数の属性秘密鍵ＳＫi,uとを入力として、式（１０７）により、メッセージＭを復号することができる。
【００２０】
【数５】
【００２１】
ここで、下記の式（１０８）に示すａjの表記を導入すると、前記した式（１０６）中のＥj、Ｅ´´ｊは、それぞれ式（１０９）、式（１１０）で表されることとなる。
【００２２】
【数６】
【００２３】
前記式（１０９）は、ペアリングの双線形性を用いて式（１１１）のような式変形を行うことにより、マスター鍵ＭＫ＝ｇyと関係付けられていることが分かる。なお、ここで、式（１１０）の関係を用いた。
そして、式（１１１）の最左辺と、最右辺との関係から、メッセージＭは式（１１２）で表される。つまり、マスター鍵ＭＫ＝ｇyを持っているＣＡは、このシステムの全ての暗号文を復号してメッセージＭを解読できる。
【００２４】
【数７】
【００２５】
本発明は、以上のような問題点に鑑みてなされたものであり、ユーザの属性に基づいたアクセス制御システムを用いて、放送や通信による安全なコンテンツ配信サービスを提供する技術を提供することを課題とする。
【課題を解決するための手段】
【００２６】
前記課題を解決するために、本発明の請求項１に記載のコンテンツサーバは、ユーザ鍵としてのユーザ公開鍵およびユーザ秘密鍵とシステム公開鍵とを発行するユーザ鍵発行サーバと、属性毎の属性公開鍵および当該属性に対応したユーザ毎の属性秘密鍵を発行する複数の属性鍵発行サーバと、コンテンツを配信するコンテンツサーバと、ユーザによって使用され前記コンテンツを受信するコンテンツ受信装置とを備え、前記コンテンツにアクセスできる条件としてユーザの属性を用いて前記コンテンツを提供する側にて予め作成されたアクセスポリシーに基づいて前記コンテンツへのアクセスを制御するアクセス制御システムにおける前記コンテンツサーバであって、コンテンツ暗号化手段と、ポリシー入力手段と、コンテンツ鍵暗号化手段と、コンテンツ結合手段と、コンテンツ配信手段と、を備えることとした。
【００２７】
かかる構成によれば、コンテンツサーバは、コンテンツ暗号化手段によって、入力された前記コンテンツを共通鍵であるコンテンツ鍵によって暗号化することで、暗号化コンテンツを生成する。そして、コンテンツサーバは、ポリシー入力手段によって、前記アクセスポリシーを入力する。そして、コンテンツサーバは、コンテンツ鍵暗号化手段によって、入力された前記コンテンツ鍵を暗号化して暗号化コンテンツ鍵を生成する。そして、コンテンツサーバは、コンテンツ結合手段によって、前記コンテンツ鍵暗号化手段で生成した前記暗号化コンテンツ鍵と前記コンテンツ暗号化手段が生成した前記暗号化コンテンツとを結合してヘッダに前記アクセスポリシーを追加することで、ヘッダ付き暗号化コンテンツを生成する。そして、コンテンツサーバは、コンテンツ配信手段によって、前記ヘッダ付き暗号化コンテンツを前記コンテンツ受信装置に配信する。
【００２８】
そして、かかる構成によれば、コンテンツサーバは、前記コンテンツ鍵暗号化手段によって、前記アクセスポリシーの要素数をｎとしたときに、前記システム公開鍵と、入力された前記アクセスポリシーに含まれるj番目の要素に含まれる属性ｉに対して発行された下記の式（１４）に示す前記属性公開鍵ＰＫiとを用いて、入力された前記コンテンツ鍵Ｍを前記アクセスポリシーに含まれる前記要素毎に暗号化し、当該j番目の要素について下記の式（２２）に示す部分暗号文ＣＴjを生成し、前記アクセスポリシーの全ての要素から求めた各部分暗号文ＣＴ１〜ＣＴｎを生成し、前記暗号化コンテンツ鍵として、下記の式（２３）に示す暗号文ＣＴを生成する。したがって、コンテンツサーバは、システム内の全ての暗号文を復号するマスター鍵そのものが不要になるようなアルゴリズムの暗号方式でコンテンツを配信することができる。これにより、当該アクセス制御システムには、システム内の全ての暗号文を単独で復号できる機関が存在することはない。よって、ユーザの属性に基づいたアクセス制御システムを用いて、放送や通信による安全なコンテンツ配信サービスを提供することができる。
【００２９】
また、本発明の請求項２に記載のコンテンツ受信装置は、請求項１に記載のコンテンツサーバを備えるアクセス制御システムにおいて前記コンテンツサーバが配信する前記コンテンツを受信する前記コンテンツ受信装置であって、属性秘密鍵記憶手段と、ユーザ秘密鍵記憶手段と、コンテンツ受信手段と、コンテンツ分離手段と、判定手段と、コンテンツ鍵復号手段と、コンテンツ再生手段と、を備えることとした。
【００３０】
かかる構成によれば、コンテンツ受信装置は、当該コンテンツ受信装置のユーザの満たすべき属性に対応して前記属性鍵発行サーバにて発行された前記属性秘密鍵を属性秘密鍵記憶手段に記憶すると共に、前記ユーザ鍵発行サーバにより発行された前記ユーザ秘密鍵をユーザ秘密鍵記憶手段に記憶しておく。そして、コンテンツ受信装置は、コンテンツ受信手段によって、前記コンテンツサーバから前記ヘッダ付き暗号化コンテンツを受信する。そして、コンテンツ受信装置は、コンテンツ分離手段によって、前記コンテンツ受信手段が受信した前記ヘッダ付き暗号化コンテンツから、前記アクセスポリシーと、前記暗号化コンテンツと、前記暗号化コンテンツ鍵である前記式（２３）に示す暗号文ＣＴと、を分離する。そして、コンテンツ受信装置は、判定手段によって、前記属性秘密鍵に基づいて、前記アクセスポリシーの要素に、当該コンテンツ受信装置のユーザの満たすべき属性が含まれるか否かを判定し、含まれる場合、当該ｊ番目の要素を選択する。そして、コンテンツ受信装置は、コンテンツ鍵復号手段によって、前記アクセスポリシーのｊ番目の要素が選択された場合、当該要素に含まれる属性ｉに対応する下記の式（１７）に示す属性秘密鍵ＳＫi,U，と、下記の式（９）に示すユーザ秘密鍵ＳＫＵと前記システム公開鍵とを用いて、下記の式（２４）に示す復号の演算を実行し、前記暗号化コンテンツ鍵を復号する。そして、コンテンツ受信装置は、コンテンツ再生手段によって、前記コンテンツ分離手段で分離した前記暗号化コンテンツを、前記コンテンツ鍵復号手段で復号した前記コンテンツ鍵によって復号することで、前記コンテンツを再生する。
【００３１】
また、本発明の請求項３に記載の属性鍵発行サーバは、請求項１に記載のコンテンツサーバまたは請求項２に記載のコンテンツ受信装置を備えるアクセス制御システムにおいて、属性管理機関に設置され、前記コンテンツサーバまたは前記コンテンツ受信装置で用いる前記属性鍵を発行する前記属性鍵発行サーバであって、属性管理機関秘密鍵生成手段と、属性公開鍵生成手段と、属性秘密鍵生成手段と、を備えることとした。
【００３２】
かかる構成によれば、属性鍵発行サーバは、例えば属性管理機関を新規に設置する際に、属性管理機関秘密鍵生成手段によって、当該属性管理機関を識別する属性管理機関識別子ａおよび前記システム公開鍵を用いて当該属性管理機関に固有の属性管理機関秘密鍵ＳＫａを生成する。そして、属性鍵発行サーバは、属性公開鍵生成手段によって、前記システム公開鍵と、前記属性管理機関秘密鍵ＳＫａと、前記ユーザから取得した属性を含むリクエストとを用いて、下記の式（１４）に示す属性毎の前記属性公開鍵ＰＫｉを生成する。そして、属性鍵発行サーバは、属性秘密鍵生成手段によって、前記システム公開鍵と、前記属性管理機関秘密鍵ＳＫａと、前記ユーザから取得した属性、ユーザ識別子Ｕおよび前記ユーザ公開鍵を含むリクエストとを用いて、下記の式（１７）に示す当該属性のユーザ毎の前記属性秘密鍵を生成する。したがって、当該アクセス制御システムでは、任意の数の属性管理機関が属性秘密鍵を発行することができ、ユーザの属性に基づいてコンテンツの暗号化および復号を行うことができる。また、このアクセス制御システムは、任意の数の属性管理機関が属性秘密鍵を発行できるため、各々の属性管理機関は管理コストを削減できる。
【００３３】
また、本発明の請求項４に記載のユーザ鍵発行サーバは、請求項１に記載のコンテンツサーバ、請求項２に記載のコンテンツ受信装置、または請求項３に記載の属性鍵発行サーバを備えるアクセス制御システムにおいて、ユーザ管理機関に設置され、前記コンテンツサーバ、前記コンテンツ受信装置、または前記属性鍵発行サーバで用いる前記システム公開鍵を生成する前記ユーザ鍵発行サーバであって、システム公開鍵生成手段と、ユーザ鍵生成手段と、を備えることとした。
【００３４】
かかる構成によれば、ユーザ鍵発行サーバは、システムの初期化を行う際に、システム公開鍵生成手段によって、素数位数ｐの双線形群Ｇと、双線形写像ｅ：Ｇ×Ｇ→ＧＴと、Ｇからランダムに選択された下記の式（５）で示す生成元とを用いて、下記の式（６）に示す前記システム公開鍵ＰＫを生成する。そして、ユーザ鍵発行サーバは、ユーザ鍵生成手段によって、当該アクセス制御システムのユーザを識別するユーザ識別子Ｕと、前記システム公開鍵ＰＫとを用いて、下記の式（９）に示すユーザ毎に異なる鍵として発行する前記ユーザ公開鍵ＰＫＵおよび前記ユーザ秘密鍵ＳＫＵを生成する。また、このアクセス制御システムでは、ユーザ管理機関は、ユーザを管理するだけなので、アクセス制御システムに、新たな属性管理機関を設置する際に、ユーザ管理機関は、鍵を再発行する必要はないので、新たな属性管理機関を設置する際に鍵を再発行するようなシステムに比べて利便性がよく、新たな属性管理機関を容易に設置することができる。
【００３５】
また、本発明の請求項５に記載のアクセス制御システムは、請求項１に記載のコンテンツサーバと、請求項２に記載のコンテンツ受信装置と、請求項３に記載の属性鍵発行サーバと、請求項４に記載のユーザ鍵発行サーバと、を備えることとした。
【００３６】
かかる構成によれば、アクセス制御システムにおいて、コンテンツサーバは、属性鍵発行サーバで生成された属性公開鍵と、ユーザ鍵発行サーバで生成されたシステム公開鍵とを用いて、コンテンツ鍵をアクセスポリシーの要素毎に暗号化し、ヘッダ付き暗号化コンテンツを生成して配信する。また、コンテンツ受信装置は、属性鍵発行サーバで生成された属性秘密鍵と、ユーザ鍵発行サーバで生成されたシステム公開鍵とを予め取得して記憶しておき、コンテンツサーバからヘッダ付き暗号化コンテンツを受信する。そして、コンテンツ受信装置は、アクセスポリシーに当該コンテンツ受信装置のユーザの満たすべき属性が含まれる場合にはコンテンツ鍵を復号してコンテンツを再生し、一方、アクセスポリシーに当該コンテンツ受信装置のユーザの満たすべき属性が含まれていない場合にはコンテンツ鍵を復号することはしない。また、コンテンツサーバは、システム内の全ての暗号文を復号するマスター鍵そのものが不要になるようなアルゴリズムの暗号方式でコンテンツを配信することができる。これにより、当該アクセス制御システムには、システム内の全ての暗号文を単独で復号できる機関が存在することはない。したがって、コンテンツ配信側で予め作成されたアクセスポリシーによって、ユーザの属性に基づいた安全なコンテンツ配信サービスを提供することができる。
【００３７】
また、本発明の請求項６に記載のコンテンツ配信プログラムは、請求項１に記載のコンテンツサーバであるコンピュータを、コンテンツ暗号化手段、ポリシー入力手段、コンテンツ鍵暗号化手段、コンテンツ結合手段、コンテンツ配信手段、として機能させることとした。
【００３８】
かかる構成によれば、コンテンツ配信プログラムは、コンテンツ暗号化手段によって、入力された前記コンテンツを共通鍵であるコンテンツ鍵によって暗号化することで、暗号化コンテンツを生成する。そして、コンテンツ配信プログラムは、ポリシー入力手段によって、前記アクセスポリシーを入力する。そして、コンテンツ配信プログラムは、コンテンツ鍵暗号化手段によって、前記アクセスポリシーの要素数をｎとしたときに、前記システム公開鍵と、入力された前記アクセスポリシーに含まれるj番目の要素に含まれる属性ｉに対して発行された下記の式（１４）に示す前記属性公開鍵ＰＫiとを用いて、入力された前記コンテンツ鍵Ｍを前記アクセスポリシーに含まれる前記要素毎に暗号化し、当該j番目の要素について下記の式（２２）に示す部分暗号文を生成し、前記アクセスポリシーの全ての要素から求めた各部分暗号文ＣＴ１〜ＣＴｎを生成し、前記暗号化コンテンツ鍵として、下記の式（２３）に示す暗号文ＣＴを生成する。そして、コンテンツ配信プログラムは、コンテンツ結合手段によって、前記コンテンツ鍵暗号化手段で生成した前記暗号化コンテンツ鍵と前記コンテンツ暗号化手段が生成した前記暗号化コンテンツとを結合してヘッダに前記アクセスポリシーを追加することで、ヘッダ付き暗号化コンテンツを生成する。そして、コンテンツ配信プログラムは、コンテンツ配信手段によって、前記ヘッダ付き暗号化コンテンツを前記コンテンツ受信装置に配信する。
【００３９】
また、本発明の請求項７に記載のコンテンツ受信プログラムは、請求項１に記載のコンテンツサーバが配信する前記コンテンツを受信するコンテンツ受信装置のユーザの満たすべき属性に対応して前記属性鍵発行サーバにて発行された前記属性秘密鍵を記憶した属性秘密鍵記憶手段と、前記ユーザ鍵発行サーバにより発行された前記ユーザ秘密鍵を記憶したユーザ秘密鍵記憶手段とを備えた請求項２に記載のコンテンツ受信装置であるコンピュータを、コンテンツ受信手段、コンテンツ分離手段、判定手段、コンテンツ鍵復号手段、コンテンツ再生手段、として機能させることとした。
【００４０】
かかる構成によれば、コンテンツ受信プログラムは、コンテンツ受信手段によって、前記コンテンツサーバから前記ヘッダ付き暗号化コンテンツを受信する。そして、コンテンツ受信プログラムは、コンテンツ分離手段によって、前記コンテンツ受信手段が受信した前記ヘッダ付き暗号化コンテンツから、前記アクセスポリシーと、前記暗号化コンテンツと、前記暗号化コンテンツ鍵である下記の式（２３）に示す暗号文ＣＴと、を分離する。そして、コンテンツ受信プログラムは、判定手段によって、前記属性秘密鍵に基づいて、前記アクセスポリシーの要素に、当該コンテンツ受信装置のユーザの満たすべき属性が含まれるか否かを判定し、含まれる場合、当該ｊ番目の要素を選択する。そして、コンテンツ受信プログラムは、コンテンツ鍵復号手段によって、前記アクセスポリシーのｊ番目の要素が選択された場合、当該要素に含まれる属性ｉに対応する下記の式（１７）に示す属性秘密鍵ＳＫi,U，と、下記の式（９）に示すユーザ秘密鍵ＳＫＵと前記システム公開鍵とを用いて、下記の式（２４）に示す復号の演算を実行し、前記暗号化コンテンツ鍵を復号する。そして、コンテンツ受信プログラムは、コンテンツ再生手段によって、前記コンテンツ分離手段で分離した前記暗号化コンテンツを、前記コンテンツ鍵復号手段で復号した前記コンテンツ鍵によって復号することで、前記コンテンツを再生する。
【発明の効果】
【００４１】
請求項１に記載の発明によれば、コンテンツサーバは、システム内の全ての暗号文を復号するマスター鍵そのものが不要になるようなアルゴリズムの暗号方式でコンテンツを配信することができる。そのため、当該アクセス制御システムには、システム内の全ての暗号文を単独で復号できる機関が存在することはない。したがって、コンテンツサーバは、当該アクセス制御システム内にて放送や通信による安全なコンテンツ配信サービスを提供することができる。
また、請求項６に記載の発明によれば、コンテンツ配信プログラムをインストールしたコンピュータは請求項１と同様の効果を奏することができる。
【００４２】
請求項２に記載の発明によれば、コンテンツ受信装置は、コンテンツ配信側で予め作成されたアクセスポリシーを満たす場合に、受信したコンテンツを再生することができる。
また、請求項７に記載の発明によれば、コンテンツ受信プログラムをインストールしたコンピュータは請求項２と同様の効果を奏することができる。
【００４３】
請求項３に記載の発明によれば、属性鍵発行サーバは、当該アクセス制御システムにおいて任意の数だけ容易に設置することができる。
請求項４に記載の発明によれば、ユーザ鍵発行サーバは、ユーザ鍵を発行すると共にシステムの初期化を行うことができる。
請求項５に記載の発明によれば、アクセス制御システムには、システム内の全ての暗号文を単独で復号できる機関が存在することはないので、ユーザの属性に基づいたアクセス制御システムを用いて、放送や通信による安全なコンテンツ配信サービスを提供することができる。
【図面の簡単な説明】
【００４４】
【図１】本発明の実施形態に係るアクセス制御システムを模式的に示す構成図である。
【図２】本発明の実施形態に係るユーザ鍵発行サーバの構成を模式的に示すブロック図である。
【図３】本発明の実施形態に係る属性鍵発行サーバの構成を模式的に示すブロック図である。
【図４】本発明の実施形態に係るコンテンツサーバの構成を模式的に示すブロック図である。
【図５】本発明の実施形態に係るコンテンツ受信装置の構成を模式的に示すブロック図である。
【図６】本発明の実施形態に係るユーザ鍵発行サーバにおけるシステム初期化のアルゴリズムを示すフローチャートである。
【図７】本発明の実施形態に係るユーザ鍵発行サーバにおけるユーザ鍵発行のアルゴリズムを示すフローチャートである。
【図８】本発明の実施形態に係る属性鍵発行サーバにおける属性管理機関初期化のアルゴリズムを示すフローチャートである。
【図９】本発明の実施形態に係る属性鍵発行サーバにおける属性公開鍵発行のアルゴリズムを示すフローチャートである。
【図１０】本発明の実施形態に係る属性鍵発行サーバにおける属性秘密鍵発行のアルゴリズムを示すフローチャートである。
【図１１】本発明の実施形態に係るコンテンツサーバにおける暗号化のアルゴリズムを示すフローチャートである。
【図１２】本発明の実施形態に係るコンテンツ受信装置における復号のアルゴリズムを示すフローチャートである。
【図１３】本発明の実施形態に係るユーザ鍵発行サーバの動作を示すシーケンス図である。
【図１４】本発明の実施形態に係る属性鍵発行サーバの動作を示すシーケンス図である。
【図１５】本発明の実施形態に係るコンテンツサーバの動作を示すシーケンス図である。
【図１６】本発明の実施形態に係るコンテンツ受信装置の動作を示すシーケンス図である。
【図１７】本発明の実施形態に係るコンテンツ受信装置のユーザの属性の具体例を示す図である。
【発明を実施するための形態】
【００４５】
以下、本発明を実施するための形態について図面を参照して詳細に説明する。
［アクセス制御システムの概要］
図１に示すように、アクセス制御システム１は、ユーザの属性を条件としたアクセスポリシーに基づいてコンテンツへのアクセスを制御するシステムであり、ユーザ鍵発行サーバ２と、複数の属性鍵発行サーバ３と、コンテンツサーバ４と、コンテンツ受信装置５とを備えている。ここで、アクセスポリシーは、ユーザがコンテンツにアクセスできる条件であり、コンテンツを提供する側にて予め定められる。
【００４６】
ユーザ鍵発行サーバ２は、ユーザ鍵を発行するものであり、ユーザ管理機関（Central Authority：ＣＡ）に設置されている。
属性鍵発行サーバ３は、属性鍵を発行するものであり、属性管理機関（Attribute Authority：ＡＡ）に設置されている。図１では、複数の属性管理機関（ＡＡ1〜ＡＡn）にそれぞれ１つずつの属性鍵発行サーバ３が設置されていることとした。
コンテンツサーバ４は、コンテンツを配信するものであり、サービスプロバイダ（例えば放送局）に設置されている。
コンテンツ受信装置５は、有線または無線のネットワークＮまたは放送波Ｗによりコンテンツを受信するものであり、ユーザによって利用される。コンテンツ受信装置５は、例えば、パーソナルコンピュータや携帯端末、あるいはテレビジョン受信機等からなる。
【００４７】
ユーザ鍵発行サーバ２、属性鍵発行サーバ３、コンテンツサーバ４、およびコンテンツ受信装置５は、インターネットあるいは専用ＩＰ回線等の外部のネットワークＮに接続されている。なお、コンテンツサーバ４とコンテンツ受信装置５とは放送波Ｗによって接続されていてもよい。以下では、コンテンツ受信装置５は、ネットワークＮからコンテンツを受信するものとして説明する。
【００４８】
［アクセス制御システムの各装置の構成］
各装置は、ＣＰＵ（Central Processing Unit）等の演算装置と、メモリやハードディスク等の記憶装置と、外部との間で各種情報の送受信を行うインタフェース装置とを備えている。
＜ユーザ鍵発行サーバ＞
図２に示すように、ユーザ鍵発行サーバ２は、システム初期化装置２１と、ユーザ鍵発行装置２２とを備えている。
【００４９】
（システム初期化装置）
システム初期化装置２１は、コンテンツサーバ４、コンテンツ受信装置５、または属性鍵発行サーバ３で用いるシステム公開鍵ＰＫを生成するものであり、システム公開鍵生成部２１１と、システム公開鍵管理部２１２とを備えている。
【００５０】
システム公開鍵生成部（システム公開鍵生成手段）２１１は、システムの初期化を行う際に、システム公開鍵ＰＫを生成するものである。生成されたシステム公開鍵ＰＫは、システム公開鍵管理部２１２に保存される。システムの初期化のアルゴリズム、すなわち、システム公開鍵ＰＫの生成アルゴリズムの例については後記する。
【００５１】
システム公開鍵管理部２１２は、システム公開鍵ＰＫを記憶して管理するものであり、例えば、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）等のメモリやハードディスク等の記憶装置と、記憶装置に対してリード／ライト動作をする処理装置と、外部のネットワークＮを介して情報を送受信する通信装置とを備えている。このシステム公開鍵管理部２１２にて管理されたシステム公開鍵ＰＫは、外部のネットワークＮ経由で誰でもアクセス可能な情報である。
【００５２】
（ユーザ鍵発行装置）
ユーザ鍵発行装置２２は、ユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを発行するものであり、ユーザ鍵リクエスト受信部２２１と、ユーザ鍵生成部２２２と、ユーザ鍵管理部２２３とを備えている。なお、ユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを特に区別しない場合にはまとめてユーザ鍵と呼称する。
【００５３】
ユーザ鍵リクエスト受信部２２１は、ユーザからのリクエスト（ユーザ識別子Ｕ）を受信するものである。ユーザからのリクエストは、コンテンツ受信装置５から、ユーザ鍵発行サーバ２にオンラインで送信されるリクエストでもよいし、ユーザから郵送等のオフラインの方法でＣＡに届けられた情報をＣＡ内にてユーザ鍵リクエスト受信部２２１に直接入力したリクエストでもよいし、あるいは、ＣＡ内の他の端末に一旦入力したリクエストを間接的にユーザ鍵リクエスト受信部２２１で受信したものであってもよい。
【００５４】
ユーザ鍵生成部（ユーザ鍵生成手段）２２２は、当該アクセス制御システム１のユーザを識別するユーザ識別子Ｕと、システム公開鍵ＰＫとを用いて、ユーザ毎に異なる鍵として発行するユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを生成するものである。
ユーザ鍵生成部２２２は、ユーザ鍵リクエスト受信部２２１にて受信したリクエストに応じて当該ユーザのユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを生成し、ユーザ鍵管理部２２３に保存する。ユーザ鍵の生成アルゴリズムの例については、後記するユーザ鍵の発行のアルゴリズムの中で説明する。
【００５５】
ユーザ鍵管理部２２３は、ユーザ鍵を記憶して管理するものであり、例えば、記憶装置と、処理装置と、送受信装置とを備えている。このユーザ鍵管理部２２３の処理装置は、リクエストのあったユーザに対し、ユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを送信する。ここで、ユーザ秘密鍵ＳＫＵは、秘匿化すべき情報なので、通信によって送出する場合には、暗号化する必要がある。この場合には、セキュアな通信手段として、例えば、ＴＬＳ（Transport Layer Security）等を用いて受信装置（またはコンテンツ復号化装置）を認証した後に秘匿化されたユーザ秘密鍵ＳＫＵを送出する。
【００５６】
＜属性鍵発行サーバ＞
図３に示すように、属性鍵発行サーバ３は、コンテンツサーバ４またはコンテンツ受信装置５で用いる属性鍵を発行するものであり、属性管理機関初期化装置３１と、属性公開鍵発行装置３２と、属性秘密鍵発行装置３３と、システム公開鍵記憶部３４と、ユーザ管理情報記憶部３５とを備えている。属性鍵は、属性公開鍵と属性秘密鍵との総称である。
【００５７】
（属性管理機関初期化装置）
属性管理機関初期化装置３１は、例えば、属性管理機関（ＡＡｉ）を新規に設置する際に、属性鍵発行サーバ３を初期化するために動作するものであり、属性管理機関秘密鍵生成部３１１と、属性管理機関秘密鍵記憶部３１２とを備えている。
【００５８】
属性管理機関秘密鍵生成部（属性管理機関秘密鍵生成手段）３１１は、例えば、属性管理機関（ＡＡｉ）を新規に設置する際に、当該属性管理機関を識別する属性管理機関識別子ａおよびシステム公開鍵ＰＫを用いて当該ＡＡに固有の属性管理機関秘密鍵ＳＫａを生成するものである。生成された属性管理機関秘密鍵ＳＫａは、属性管理機関秘密鍵記憶部３１２に保存される。なお、属性管理機関秘密鍵ＳＫａの生成アルゴリズムについては、後記する属性管理機関の初期化のアルゴリズムの例の中で説明する。
属性管理機関秘密鍵記憶部３１２は、属性管理機関秘密鍵ＳＫａを記憶するものであって、例えば、一般的なメモリから構成される。
【００５９】
（属性公開鍵発行装置）
属性公開鍵発行装置３２は、ユーザから取得した属性鍵のリクエストに応じて属性ｉ毎の属性公開鍵ＰＫｉを発行するものであり、属性公開鍵リクエスト受信部３２１と、属性公開鍵生成部３２２と、属性公開鍵管理部３２３とを備えている。
【００６０】
属性公開鍵リクエスト受信部３２１は、ユーザからのリクエスト（属性ｉを含むリクエスト）を受信するものである。ユーザからのリクエストは、コンテンツ受信装置５から、属性鍵発行サーバ３にオンラインで送信されるリクエストでもよいし、ユーザから郵送等のオフラインの方法でＡＡに届けられた情報をＡＡ内にて属性公開鍵リクエスト受信部３２１に直接入力したリクエストでもよいし、あるいは、ＡＡ内の他の端末に一旦入力したリクエストを間接的に属性公開鍵リクエスト受信部３２１で受信したものでもよい。
【００６１】
本実施形態では、この属性公開鍵リクエスト受信部３２１は、受信したリクエストに含まれる属性ｉを当該ＡＡにて管理しているか否かを判別し、管理している場合に、受信したリクエストを属性公開鍵生成部３２２に出力する。例えば、当該ＡＡにてユーザの属性として、居住地「東京都」を管理する場合、属性公開鍵リクエスト受信部３２１は、受信したリクエストに含まれる居住地が「東京都」であるか否かを判別する。したがって、リクエストに含まれる居住地が例えば「東京都」である場合には、「東京都」に居住するユーザに共通した属性公開鍵を発行することとなる。なお、この例においてリクエストに含まれる居住地が例えば「千葉県」である場合には、例えば、鍵を発行できない旨を返信する。
【００６２】
属性公開鍵生成部（属性公開鍵生成手段）３２２は、システム公開鍵ＰＫと、属性管理機関秘密鍵ＳＫａと、ユーザから取得した属性ｉを含むリクエストとを用いて、属性ｉ毎の属性公開鍵ＰＫｉを生成するものである。
属性公開鍵生成部３２２は、属性公開鍵リクエスト受信部３２１にてユーザからのリクエスト（属性ｉ）を受信した後、当該属性ｉに対応する属性公開鍵ＰＫｉを生成し、属性公開鍵管理部３２３に保存する。属性公開鍵ＰＫｉの生成アルゴリズムについては、後記する属性公開鍵ＰＫｉの発行アルゴリズムの例の中で説明する。
【００６３】
属性公開鍵管理部３２３は、属性公開鍵ＰＫｉを記憶して管理するものであり、例えば、記憶装置と、処理装置と、送受信装置とを備えている。このユーザ鍵管理部２２３の処理装置は、リクエストのあったユーザに対し、属性公開鍵ＰＫｉを送信する。なお、属性公開鍵ＰＫｉは外部のネットワークＮ経由で誰でもアクセス可能な情報である。そのため、属性公開鍵ＰＫｉはユーザからのリクエストに応じて毎回生成する必要はない。すなわち、当該ＡＡが管理する全ての属性ｉに対応する属性公開鍵ＰＫｉを予め生成し、属性公開鍵管理部３２３に保存するようにしてもよい。
【００６４】
例えば、ＡＡにてユーザの属性として、居住地が都道府県単位で管理されている場合、居住地の属性だけで４７個の属性公開鍵を予め生成して保存しておいてもよい。また、例えば、ＡＡにてユーザの年齢の属性が未成年か否かで管理されている場合、年齢の属性だけで２個の属性公開鍵を予め生成して保存しておいてもよい。ここで、例えば、第１のＡＡ（ＡＡ１）にて居住地の属性を管理し、第２のＡＡ（ＡＡ２）にて年齢の属性を管理している場合、サービスプロバイダは、ＡＡ１から居住地の属性に関する属性公開鍵を取得し、かつ、ＡＡ２から年齢の属性に関する属性公開鍵を取得すれば、例えば、東京都在住の成人向けのコンテンツを配信することができる。なお、１つのＡＡにて、居住地の属性と、年齢の属性といった、複数種類の属性を管理してもよいことはもちろんであり、その場合には、サービスプロバイダは、１つのＡＡから居住地の属性に関する属性公開鍵と、年齢の属性に関する属性公開鍵とを取得すれば、例えば、東京都在住の成人向けのコンテンツを配信することができる。
【００６５】
（属性秘密鍵発行装置）
属性秘密鍵発行装置３３は、ユーザから取得した属性鍵のリクエストに応じて属性ｉに対応したユーザ毎の属性秘密鍵ＳＫi,Uを発行するものであり、属性秘密鍵リクエスト受信部３３１と、属性秘密鍵生成部３３２と、属性秘密鍵管理部３３３とを備えている。
【００６６】
属性秘密鍵リクエスト受信部３３１は、ユーザからのリクエスト（ユーザ識別子Ｕ、ユーザ公開鍵ＰＫＵ、属性ｉ）を受信する。この属性秘密鍵リクエスト受信部３３１で受信するユーザからのリクエストは、ユーザ識別子Ｕおよびユーザ公開鍵ＰＫＵが含まれる点が異なるだけで、前記した属性公開鍵リクエスト受信部３２１と同様なものである。
本実施形態では、この属性秘密鍵リクエスト受信部３３１は、受信したリクエストに含まれる属性ｉを当該ＡＡにて管理しているか否かを判別し、管理している場合に、さらに、ユーザ管理情報記憶部３５に記憶されたユーザ管理情報を参照して、リクエストを送ったユーザが当該属性ｉを有しているか否かを判別し、ユーザがこの属性ｉを有している場合（正当なユーザの場合）、リクエストを属性秘密鍵生成部３３２に出力する。
【００６７】
属性秘密鍵生成部（属性秘密鍵生成手段）３３２は、システム公開鍵ＰＫと、属性管理機関秘密鍵ＳＫａと、ユーザから取得した属性ｉを含むリクエストとを用いて、当該属性ｉのユーザ毎の属性秘密鍵ＳＫi,Uを生成するものである。このリクエストには、属性ｉの他にユーザ識別子Ｕおよびユーザ公開鍵ＰＫＵを含む。
属性秘密鍵生成部３３２は、ユーザからのリクエストを受信した後、当該属性ｉおよび当該ユーザに対応して属性秘密鍵ＳＫi,Uを生成し、属性秘密鍵管理部３３３に保存する。なお、属性秘密鍵ＳＫi,Uの生成アルゴリズムについては、後記する属性秘密鍵ＳＫi,Uの発行アルゴリズムの中で説明する。
【００６８】
属性秘密鍵管理部３３３は、属性秘密鍵ＳＫi,Uを記憶して管理するものであり、例えば、記憶装置と、処理装置と、送受信装置とを備えている。この属性秘密鍵管理部３３３の処理装置は、リクエストのあったユーザに対し、セキュアな通信手段を用いて属性秘密鍵ＳＫi,Uを送信する。ここで、セキュアな通信手段については、前記したユーザ鍵管理部２２３と同様なので説明を省略する。なお、属性秘密鍵管理部３３３は、リクエストのあったユーザに対し、属性秘密鍵ＳＫi,Uを属性公開鍵ＰＫｉと共に同時に送信するようにしてもよい。
【００６９】
システム公開鍵記憶部３４は、システム公開鍵ＰＫを記憶するものであって、例えば、一般的なメモリから構成される。
ユーザ管理情報記憶部３５は、ユーザ管理情報を記憶するものであって、例えば、一般的なメモリやハードディスクから構成される。
ユーザ管理情報は、予めＡＡにて管理しているユーザ情報であって、例えば、ユーザを識別するユーザ識別子Ｕと、住所、性別といったユーザの属性ｉとを含んでいる。
【００７０】
＜コンテンツサーバ＞
図４に示すように、コンテンツサーバ４は、サービスプロバイダで予め作成されたアクセスポリシーにより特定の属性を有したユーザにだけコンテンツを配信するものであり、コンテンツ暗号化装置４１と、コンテンツ配信装置４２とを備えている。
（コンテンツ暗号化装置）
コンテンツ暗号化装置４１は、アクセスポリシーにより特定の属性を有したユーザに配信するためのコンテンツを暗号化するものであって、コンテンツ入力部４１１と、コンテンツ鍵生成部４１２と、コンテンツ暗号化部４１３と、コンテンツ記憶部４１４とを備えている。
【００７１】
コンテンツ入力部４１１は、コンテンツＣを入力するものである。コンテンツＣは、映像、音声等のマルチメディアのコンテンツである。コンテンツの符号化方式は特に限定されない。入力されたコンテンツＣは、コンテンツ鍵生成部４１２を介して、コンテンツ暗号化部４１３に送られる。
コンテンツ鍵生成部４１２は、コンテンツＣが入力されると、当該コンテンツＣを暗号化するためのコンテンツ鍵Ｍを生成する。コンテンツ鍵生成部４１２は、ランダムに発生させた乱数を用いた演算により、コンテンツ鍵Ｍを生成する。
【００７２】
コンテンツ暗号化部（コンテンツ暗号化手段）４１３は、入力されたコンテンツＣをコンテンツ鍵Ｍによって暗号化することで、暗号化コンテンツＥ（Ｃ）を生成するものである。なお、コンテンツＣの暗号化は、一般に、高速処理が可能な共通鍵暗号方式が用いられる。ここで、共通鍵暗号方式の暗号アルゴリズムとしては、例えばＤＥＳ（Data Encryption Standard）やＡＥＳ(Advanced Encryption Standard)などを用いてもよい。
コンテンツ記憶部４１４は、生成された暗号化コンテンツＥ（Ｃ）およびコンテンツ鍵Ｍを記憶するものであり、例えば、一般的なハードディスク等から構成される。
【００７３】
（コンテンツ配信装置）
コンテンツ配信装置４２は、アクセスポリシーによって特定の属性を有したユーザに対して暗号化コンテンツを配信するものであって、公開鍵記憶部４２１と、ポリシー入力部４２２と、コンテンツ鍵暗号化部４２３と、コンテンツ結合部４２４と、コンテンツ配信部４２５とを備えている。
【００７４】
公開鍵記憶部４２１は、コンテンツサーバ４にて予め取得した属性公開鍵ＰＫｉやシステム公開鍵ＰＫを記憶するものであって、例えば、一般的なメモリから構成される。
コンテンツサーバ４は、リクエストに応じて属性鍵発行サーバ３から取得した各属性に対して発行された複数の属性公開鍵ＰＫiを、公開鍵記憶部４２１に記憶している。例えば、ＡＡにてユーザの居住地の属性が都道府県単位で管理されていて、サービスプロバイダがユーザ属性として全国の居住地を必要とする場合、居住地の属性だけで４７個の属性公開鍵を予め取得して記憶しておく。
【００７５】
ポリシー入力部（ポリシー入力手段）４２２は、アクセスポリシーを入力するものである。このポリシー入力部４２２は、ユーザの属性の論理積でまとめられた要素間の論理和で表現した加法標準形で示される条件としてサービスプロバイダにて予め作成されたアクセスポリシーＡを入力する。暗号化の際に用いるアクセスポリシーＡの構造の一例を式（１）に示す。
【００７６】
【数８】
【００７７】
ここで、加法標準形（選言標準形ともいう）は、Disjunctive Normal Form（ＤＮＦ）と呼ばれ、式（１）の右辺に示すように、複数の属性ｉをAND記号「∧」で結合した要素（以下、conjunctionという）を、conjunction毎にOR記号「∨」で結合した論理式で構成される。
【００７８】
ここで、式（２）で示すＳ１は、１番目のconjunctionに出現する属性ｉの集合を示し、コンテンツ配信対象とするユーザの属性が、１番目のconjunctionを条件として満たすように決定される。属性の集合Ｓ１は、例えば、｛東京都、男性、成人｝のように表すことができる。
【００７９】
また、式（３）で示すＳ２は、２番目のconjunctionに出現する属性ｉの集合を示し、コンテンツ配信対象とするユーザの属性が、２番目のconjunctionを条件として満たすように決定される。属性の集合Ｓ２は、例えば、｛千葉県、成人｝のように表すことができる。属性の集合Ｓ１＝｛東京都、男性、成人｝とのＯＲをとると、東京都在住の成人男性と、千葉県在住の成人とを、それぞれ対象としたコンテンツを配信することができる。
【００８０】
ここで、conjunctionの個数は、２個に限定されるものではなく、任意である。以下では、Ｓｊと表記した場合、ｊ番目のconjunctionに出現する属性ｉの集合を示すこととする。なお、アクセスポリシーＡの構造の具体例については、後記するコンテンツ受信装置のユーザの属性の具体例にて説明する。
【００８１】
コンテンツ鍵暗号化部（コンテンツ鍵暗号化手段）４２３は、入力されたコンテンツ鍵を暗号化して暗号化コンテンツ鍵を生成するものである。このコンテンツ鍵暗号化部４２３は、コンテンツ記憶部４１４に記憶されたコンテンツ鍵Ｍが入力されると共に、入力されたコンテンツ鍵Ｍを、ポリシー入力部４２２により入力されたアクセスポリシーＡに含まれるconjunction（要素）毎に、当該conjunctionに含まれる各属性に対して発行された属性公開鍵ＰＫiとシステム公開鍵ＰＫとを用いて暗号化して暗号化コンテンツ鍵Ｅ（Ｍ）を生成する。コンテンツ鍵Ｍの暗号化アルゴリズムの例については後記する。
【００８２】
コンテンツ結合部（コンテンツ結合手段）４２４は、コンテンツ鍵暗号化部４２３で生成した暗号化コンテンツ鍵Ｅ（Ｍ）とコンテンツ暗号化部４１３が生成した暗号化コンテンツＥ（Ｃ）とを結合してヘッダにアクセスポリシーＡを追加することで、ヘッダ付き暗号化コンテンツＨＥ（Ｃ）を生成するものである。
【００８３】
このコンテンツ結合部４２４は、コンテンツ記憶部４１４に記憶された暗号化コンテンツＥ（Ｃ）に、暗号化コンテンツ鍵Ｅ（Ｍ）を結合してアクセスポリシーＡを付加するので、ヘッダのみ平文である。そのため、この結合されたアクセスポリシーＡを受信するコンテンツ受信装置５においては、当該コンテンツ受信装置５のユーザが、アクセスポリシーＡを満たすか否かを迅速に判定することができる。なお、アクセスポリシーＡの改ざんを検知するために、コンテンツサーバ４にて保護情報として公知の著作権保護方式の改ざん検知用情報をさらに付加し、コンテンツ受信装置５にて改ざん検知用情報を改ざんの判定に用いることとしてもよい。
【００８４】
コンテンツ配信部（コンテンツ配信手段）４２５は、ヘッダ付き暗号化コンテンツＨＥ（Ｃ）をコンテンツ受信装置５に配信するものである。なお、コンテンツＣの配信形態については、ユーザのリクエストに応じてコンテンツＣを配信するビデオオンデマンド（VoD）でもよいし、ＩＰ放送のようなマルチキャスト配信でもよいものとする。
【００８５】
＜コンテンツ受信装置＞
図５に示すように、コンテンツ受信装置５は、コンテンツサーバが配信するヘッダ付き暗号化コンテンツＨＥ（Ｃ）を受信するものであり、公開鍵記憶部５１と、属性秘密鍵記憶部５２と、ユーザ秘密鍵記憶部５３と、コンテンツ受信部５４と、コンテンツ分離部５５と、復号判定部５６と、コンテンツ鍵復号部５７と、コンテンツ再生部５８とを備えている。
【００８６】
公開鍵記憶部５１は、属性公開鍵ＰＫｉやシステム公開鍵ＰＫを記憶するものであって、例えば、一般的なメモリから構成される。コンテンツ受信装置５は、リクエストに応じて属性鍵発行サーバ３から取得した各属性に対して発行された複数の属性公開鍵ＰＫiを、公開鍵記憶部５１に記憶している。例えば、コンテンツ受信装置５を利用するユーザが、コンテンツを受信するために、居住地と性別の２つの属性ｉを必要とする場合、２つの属性公開鍵を予め取得して記憶しておく。
【００８７】
属性秘密鍵記憶部（属性秘密鍵記憶手段）５２は、属性鍵発行サーバ３にてリクエストにより当該コンテンツ受信装置５のユーザの満たすべき属性ｉに対応して発行された属性秘密鍵ＳＫi,Uを記憶したものであって、例えば、一般的なメモリから構成される。属性秘密鍵ＳＫi,Uは、属性公開鍵ＰＫiと同じ数だけ取得される。属性秘密鍵記憶部５２に記憶された属性秘密鍵ＳＫi,Uは、復号判定部５６と、コンテンツ鍵復号部５７とに出力される。
【００８８】
この属性秘密鍵記憶部５２は、内部に記録した情報が外部より読取不可能に構成された耐タンパー性を備えたモジュールであることが好ましい。例えば、コンテンツ受信装置５がテレビジョン受信機で構成される場合、属性秘密鍵記憶部５２は、ＩＣカード等によって構成されたセキュリティモジュールであってもよい。なお、属性秘密鍵記憶部５２は、属性秘密鍵ＳＫi,Uと共に属性公開鍵ＰＫiを記憶するようにしてもよい。
【００８９】
ユーザ秘密鍵記憶部（ユーザ秘密鍵記憶手段）５３は、ユーザ鍵発行サーバ２により発行されたユーザ秘密鍵ＳＫＵを記憶したものであって、例えば、一般的なメモリから構成される。ユーザ秘密鍵記憶部５３は、ユーザ秘密鍵ＳＫＵと共にユーザ公開鍵ＰＫＵを記憶するようにしてもよい。このユーザ秘密鍵記憶部５３は、内部に記録した情報が外部より読取不可能に構成されたセキュリティモジュールであってもよい。
【００９０】
コンテンツ受信部（コンテンツ受信手段）５４は、コンテンツサーバ４からヘッダ付き暗号化コンテンツＨＥ（Ｃ）を受信するものである。受信したヘッダ付き暗号化コンテンツＨＥ（Ｃ）は、コンテンツ分離部５５に出力される。
【００９１】
コンテンツ分離部（コンテンツ分離手段）５５は、コンテンツ受信部５４が受信したヘッダ付き暗号化コンテンツＨＥ（Ｃ）から、アクセスポリシーＡと、暗号化コンテンツ鍵Ｅ（Ｍ）と、暗号化コンテンツＥ（Ｃ）とを分離するものである。ここで分離されたアクセスポリシーＡは、復号判定部５６に出力される。また、分離された暗号化コンテンツ鍵Ｅ（Ｍ）は、コンテンツ鍵復号部５７に出力される。さらに、暗号化コンテンツＥ（Ｃ）は、コンテンツ再生部５８に出力される。
【００９２】
復号判定部（判定手段）５６は、属性秘密鍵記憶部５２に記憶された属性秘密鍵ＳＫi,Uに基づいて、分離されたアクセスポリシーＡに、当該コンテンツ受信装置５のユーザの満たすべき属性ｉの論理積でまとめられたconjunction（要素）が含まれるか否かを判定するものである。これにより、復号判定部５６は、属性秘密鍵記憶部５２に保存されている属性秘密鍵ＳＫi,Uが当該アクセスポリシーＡを満たしているかどうかをチェックする。復号判定部５６は、保存されている属性秘密鍵ＳＫi,UがアクセスポリシーＡを満たしていると判定した場合、アクセスポリシーＡのうちの満たしているｊ番目のconjunctionに含まれる各属性の情報をコンテンツ鍵復号部５７に出力する。なお、アクセスポリシーＡの構造におけるユーザの属性の具体例については後記する。
【００９３】
コンテンツ鍵復号部（コンテンツ鍵復号手段）５７は、アクセスポリシーＡに当該コンテンツ受信装置５のユーザの満たすべき属性ｉが含まれる場合、ユーザ秘密鍵ＳＫＵと属性秘密鍵ＳＫi,Uとシステム公開鍵ＰＫとを用いて、暗号化コンテンツ鍵Ｅ（Ｍ）を復号するものである。このコンテンツ鍵復号部５７は、属性秘密鍵記憶部５２に保存されている属性秘密鍵ＳＫi,Uが当該アクセスポリシーＡを満たしている場合、当該属性秘密鍵ＳＫi,Uおよびユーザ秘密鍵記憶部５３に保存されているユーザ秘密鍵ＳＫＵを用いて、暗号化コンテンツ鍵Ｅ（Ｍ）を復号する。復号されたコンテンツ鍵Ｍは、コンテンツ再生部５８に出力される。
【００９４】
コンテンツ再生部（コンテンツ再生手段）５８は、コンテンツ分離部５５で分離した暗号化コンテンツＥ（Ｃ）を、コンテンツ鍵復号部５７で復号したコンテンツ鍵Ｍによって復号することで、コンテンツを再生するものである。再生されたコンテンツＣは図示しない出力部に出力される。
【００９５】
［アクセス制御システムにおける処理のアルゴリズム］
＜システムの初期化のアルゴリズム＞
本発明の実施形態に係るアクセス制御システム１においてユーザ鍵発行サーバ２が実行するシステム初期化のアルゴリズムについて図６を参照（適宜図２参照）して説明する。すなわち、システムの初期化を行う際に、システム公開鍵ＰＫを生成するアルゴリズムの例について説明する。
【００９６】
まず、ユーザ鍵発行サーバ２内のシステム公開鍵生成部２１１において、鍵長などのセキュリティパラメータを基に、素数位数pの双線形群Ｇを選択する（ステップＳ１）。ここで、「Ｇが双線形群である」とは、Ｇ上の群演算が効率的に求められ、群ＧＴおよび効率的に計算可能な式（４）で示す双線形写像（ペアリング）ｅが存在するような群のことをいう。そして、システム公開鍵生成部２１１は、式（４）で示す双線形写像（ペアリング）ｅを選択する（ステップＳ２）。
【００９７】
【数９】
【００９８】
そして、システム公開鍵生成部２１１は、式（５）で示す生成元を選択する（ステップＳ３）。そして、システム公開鍵生成部２１１は、式（６）で示すシステム公開鍵ＰＫを生成し（ステップＳ４）、システム公開鍵管理部２１２に保存する（ステップＳ５）。
【００９９】
【数１０】
【０１００】
＜ユーザ鍵の発行のアルゴリズム＞
本発明の実施形態に係るアクセス制御システム１においてユーザ鍵発行サーバ２が実行するユーザ鍵の発行のアルゴリズムについて図７を参照（適宜図２参照）して説明する。
ユーザ鍵発行サーバ２内のユーザ鍵生成部２２２において、ユーザ識別子Ｕを基に、乱数ｕをＺｐ（０からｐ−１までの整数の集合）からランダムに選択する（ステップＳ１１）。そして、ユーザ鍵生成部２２２は、式（７）に示すように、選択した乱数ｕを用いてユーザ識別子Ｕに対応するユーザ公開鍵ＰＫＵを生成する（ステップＳ１２）。式（７）において、ｇ１，ｈは、式（６）で示すシステム公開鍵ＰＫ中の生成元である。
【０１０１】
【数１１】
【０１０２】
また、ユーザ鍵生成部２２２は、式（８）に示すように、選択した乱数ｕを用いてユーザ識別子Ｕに対応するユーザ秘密鍵ＳＫＵを生成する（ステップＳ１３）。式（８）において、ｇは、式（６）で示すシステム公開鍵ＰＫ中の生成元である。
【０１０３】
【数１２】
【０１０４】
そして、ユーザ鍵生成部２２２は、式（７）のユーザ公開鍵ＰＫＵと、式（８）のユーザ秘密鍵ＳＫＵとを要素とする式（９）に示すユーザ鍵＜ＰＫＵ，ＳＫＵ＞を当該ユーザに発行する（ステップＳ１４）。
【０１０５】
【数１３】
【０１０６】
＜属性管理機関の初期化のアルゴリズム＞
本発明の実施形態に係るアクセス制御システム１において属性鍵発行サーバ３が実行するＡＡの初期化のアルゴリズムについて図８を参照（適宜図３参照）して説明する。
属性鍵発行サーバ３の属性管理機関秘密鍵生成部３１１において、有限のハッシュ関数族から、式（１０）に示すようにハッシュ関数Ｈｘａを一様ランダムに選択する（ステップＳ２１）。式（１０）において、｛０，１｝*は任意の長さのビット列の集合を示している。また、Ｚｐは、０からｐ−１までの整数の集合を示す。ｐは素数位数を示す。
【０１０７】
【数１４】
【０１０８】
そして、属性管理機関秘密鍵生成部３１１は、式（１１）に示すように、属性管理機関識別子がaである属性管理機関秘密鍵ＳＫａを属性管理機関秘密鍵記憶部３１２に保存する（ステップＳ２２）。式（１１）において、ｘａは、式（１０）に示すハッシュ関数のインデックスであり、ｘのサフィックスのａは、属性管理機関識別子である。
【０１０９】
【数１５】
【０１１０】
＜属性公開鍵ＰＫｉの発行アルゴリズム＞
本発明の実施形態に係るアクセス制御システム１において属性鍵発行サーバ３が実行する属性公開鍵ＰＫｉの発行のアルゴリズムについて図９を参照（適宜図３参照）して説明する。なお、発行される属性公開鍵ＰＫｉは、２要素からなる。
【０１１１】
属性鍵発行サーバ３において、属性公開鍵リクエスト受信部３２１に、ユーザからのリクエスト（属性ｉ）を入力する（ステップＳ３１）。そして、属性公開鍵リクエスト受信部３２１において、ユーザからのリクエストに含まれる属性ｉを管理しているか否かを判別する（ステップＳ３２）。リクエストに含まれる属性ｉを管理している場合（ステップＳ３２：Ｙｅｓ）、属性公開鍵生成部３２２は、対応する属性公開鍵について式（１２）に示す第１要素ＰＫ´i（ＰＫプライムｉ）を生成する（ステップＳ３３）と共に、式（１３）に示す第２要素ＰＫ´´i（ＰＫダブルプライムｉ）を生成する（ステップＳ３４）。式（１２）および式（１３）において、ｇ，ｈは、式（６）で示すシステム公開鍵ＰＫ中の生成元である。また、ＨＳＫａ（ｉ）は、ｇまたはｈのべき乗を示す指数であって、式（１０）のハッシュ関数における属性iのハッシュ値を示す。
【０１１２】
【数１６】
【０１１３】
そして、属性公開鍵生成部３２２は、式（１４）に示すように、第１要素と第２要素とを含む属性公開鍵ＰＫiを生成する（ステップＳ３５）。
【０１１４】
【数１７】
【０１１５】
一方、前記ステップＳ３２において、リクエストに含まれる属性ｉを管理していない場合（ステップＳ３２：Ｎｏ）、属性公開鍵リクエスト受信部３２１は、「ＮＵＬＬ」を出力する（ステップＳ３６）。
【０１１６】
＜属性秘密鍵ＳＫi,Uの発行アルゴリズム＞
本発明の実施形態に係るアクセス制御システム１において属性鍵発行サーバ３が実行する属性秘密鍵ＳＫi,Uの発行のアルゴリズムについて図１０を参照（適宜図３参照）して説明する。なお、発行される属性秘密鍵ＳＫi,Uは、２要素からなる。
【０１１７】
まず、属性鍵発行サーバ３は、属性秘密鍵リクエスト受信部３３１に、ユーザからのリクエスト（属性ｉ）を入力する（ステップＳ４１）。そして、属性秘密鍵リクエスト受信部３３１は、ユーザからのリクエストに含まれる属性ｉを管理しているか否かを判別する（ステップＳ４２）。属性ｉを管理していない場合（ステップＳ４２：Ｎｏ）、属性秘密鍵リクエスト受信部３３１は、「ＮＵＬＬ」を出力し（ステップＳ４９）、処理を終了する。一方、属性ｉを管理している場合（ステップＳ４２：Ｙｅｓ）、属性秘密鍵リクエスト受信部３３１において、ユーザからのリクエストに含まれる属性ｉ、ユーザ識別子Ｕ、ユーザ公開鍵ＰＫＵを入力として（ステップＳ４３）、ユーザ識別子Ｕで示されるユーザ（以下、単にユーザＵという）が当該属性ｉを有しているか否かを判別する（ステップＳ４４）。ここで、属性秘密鍵リクエスト受信部３３１は、ユーザ管理情報記憶部３５に記憶されたユーザ管理情報を参照して、リクエストを送ったユーザが属性ｉを有しているか否かを判別する。
【０１１８】
前記ステップＳ４４において、ユーザＵが当該属性ｉを有している場合（ステップＳ４４：Ｙｅｓ）、属性秘密鍵生成部３３２は、まず、乱数Ｒｉ，ＵをＺｐ（０からｐ−１までの整数の集合）からランダムに生成する（ステップＳ４５）。
そして、属性秘密鍵生成部３３２は、生成した乱数Ｒｉ，Ｕを用いて、対応する属性秘密鍵について式（１５）に示す第１要素ＳＫ´iを生成する（ステップＳ４６）と共に、式（１６）に示す第２要素ＳＫ´´iを生成する（ステップＳ４７）。式（１５）および式（１６）において、ｈバー，ｇは、式（６）で示すシステム公開鍵ＰＫ中の生成元である。また、ＨＳＫａ（ｉ）は、ＰＫＵのべき乗を示す指数である。
【０１１９】
【数１８】
【０１２０】
そして、属性秘密鍵生成部３３２は、式（１７）に示すように、第１要素と第２要素とを含む属性秘密鍵ＳＫi,Uを生成する（ステップＳ４８）。
【０１２１】
【数１９】
【０１２２】
一方、前記ステップＳ４４において、ユーザＵが当該属性ｉを有していない場合（ステップＳ４４：Ｎｏ）、属性秘密鍵リクエスト受信部３３１は、「ＮＵＬＬ」を出力する（ステップＳ３６）。つまり、属性鍵発行サーバ３がユーザからのリクエストに含まれる属性ｉを管理している場合であって、ユーザＵが当該属性ｉを有していることが確認できた場合のみ、属性秘密鍵生成部３３２は、属性秘密鍵ＳＫi,Uを生成してユーザに発行し、それ以外の場合は「ＮＵＬＬ」を出力する。
【０１２３】
＜コンテンツ鍵の暗号化アルゴリズム＞
本発明の実施形態に係るアクセス制御システム１においてコンテンツサーバ４が実行するコンテンツ鍵Ｍの暗号化のアルゴリズムについて図１１を参照（適宜図４参照）して説明する。
【０１２４】
コンテンツサーバ４のコンテンツ鍵暗号化部４２３は、コンテンツ鍵Ｍを暗号化する際に、アクセスポリシーＡのconjunction毎に暗号化を行う。まず、コンテンツ鍵暗号化部４２３は、アクセスポリシーＡを基に、アクセスポリシーＡのj番目のconjunctionに対応する乱数rjをＺｐ（０からｐ−１までの整数の集合）からランダムに生成する（ステップＳ５１）。
【０１２５】
そして、コンテンツ鍵暗号化部４２３は、アクセスポリシーＡのj番目のconjunctionについて、属性公開鍵ＰＫｉを基に暗号化した４つの要素として、式（１８）に示すＥｊ、式（１９）に示すＥ´ｊ、式（２０）に示すＥ´´ｊ、式（２１）に示すＥ´´´ｊ（Ｅトリプルプライムｊ）を生成する（ステップＳ５２）。式（１８）〜式（２１）においてｅ、ｇ，ｇ１，ｈバーは、式（６）で示すシステム公開鍵ＰＫに含まれている。なお、属性公開鍵ＰＫｉは、前記した式（１４）にて転開される。
【０１２６】
【数２０】
【０１２７】
そして、コンテンツ鍵暗号化部４２３は、式（２２）に示すように、アクセスポリシーＡのj番目のconjunctionについて、式（１８）〜式（２１）に示す４つの要素を集約した部分暗号文を生成する（ステップＳ５３）。
【０１２８】
【数２１】
【０１２９】
そして、コンテンツ鍵暗号化部４２３は、前記したステップＳ５１〜Ｓ５３の手順を、アクセスポリシーＡの全てのconjunctionに対して行い、各部分暗号文ＣＴ１〜ＣＴｎ（ｎはアクセスポリシーＡのconjunctionの総数）を生成し、式（２３）に示すように、これらを要素として、暗号化する対象のメッセージであるコンテンツ鍵Ｍの暗号文ＣＴを生成する（ステップＳ５４）。
【０１３０】
【数２２】
【０１３１】
なお、式（２３）に示すコンテンツ鍵Ｍの暗号文ＣＴ、すなわち、暗号化コンテンツ鍵Ｅ（Ｍ）は、その後、暗号化コンテンツＥ（Ｃ）と結合されてヘッダにアクセスポリシーＡを追加されたヘッダ付き暗号化コンテンツＨＥ（Ｃ）としてユーザに配信される。
【０１３２】
＜暗号化コンテンツ鍵の復号アルゴリズム＞
本発明の実施形態に係るアクセス制御システム１においてコンテンツ受信装置５が実行する暗号化コンテンツ鍵の復号のアルゴリズムについて図１２を参照（適宜図５参照）して説明する。まず、ユーザのコンテンツ受信装置５は、復号判定部５６において、受信したヘッダ付き暗号化コンテンツＨＥ（Ｃ）から分離されたアクセスポリシーＡを入力として（ステップＳ６１）、当該ユーザＵの属性ｉが、受信した暗号文に含まれるアクセスポリシーＡを満たしているかどうかチェックする（ステップＳ６２）。ユーザＵの属性ｉがアクセスポリシーＡを満たす場合（ステップＳ６２：Ｙｅｓ）、例えば当該ユーザＵの属性ｉがアクセスポリシーＡのｊ番目のconjunctionを満たしているものとすると、復号判定部５６は、アクセスポリシーＡの総数ｎ個のconjunctionの中から、アクセスポリシーＡを満たすｊ番目のconjunctionを選ぶ（ステップＳ６３）。
【０１３３】
そして、コンテンツ受信装置５は、コンテンツ鍵復号部５７において、選んだｊ番目のconjunctionについて、当該conjunctionに含まれる属性ｉに対応する属性秘密鍵ＳＫi,Uとユーザ秘密鍵ＳＫＵとを用いて式（２４）に示す復号の演算を実行する（ステップＳ６４）。
【０１３４】
【数２３】
【０１３５】
式（２４）においてｅは、式（６）で示すシステム公開鍵ＰＫに含まれている。なお、ＳＫi,Uプライム、および、ＳＫi,Uダブルプライムは、式（１７）にて転開される。
【０１３６】
コンテンツ鍵復号部５７は、式（２４）に示す復号の演算結果として、コンテンツ鍵Ｍの暗号文ＣＴに含まれていたメッセージとして、コンテンツ鍵Ｍを出力する（ステップＳ６５）。一方、前記ステップＳ６２において、ユーザＵの属性ｉがアクセスポリシーＡを満たさない場合（ステップＳ６２：Ｎｏ）、復号処理を行わずに、「ＮＵＬＬ」を出力する（ステップＳ６６）。
【０１３７】
［アクセス制御システムの動作］
＜ユーザ鍵発行サーバの動作＞
次に、ユーザ鍵発行サーバ２の動作について図１３を参照（適宜図２参照）して説明する。ユーザ鍵発行サーバ２は、初期化の際に、システム初期化装置２１において、システム公開鍵生成部２１１によって、システム公開鍵ＰＫを生成する（ステップＳ２０１）。生成されたシステム公開鍵ＰＫは、システム公開鍵管理部２１２に記憶される（ステップＳ２０２）。システム公開鍵管理部２１２は、システム公開鍵ＰＫを公開する（ステップＳ２０３）。すなわち、誰でも外部のネットワークＮ経由でシステム公開鍵ＰＫにアクセス可能となる。これにより、ユーザ鍵発行サーバ２の初期化は終了する。
【０１３８】
そして、ユーザ鍵発行サーバ２は、ユーザ鍵発行装置２２のユーザ鍵リクエスト受信部２２１によって、ユーザからのリクエストを受信すると、ユーザ鍵生成部２２２によって、システム公開鍵ＰＫとリクエストに含まれるユーザ識別子Ｕとを用いて、ユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵを生成する（ステップＳ２１１）。生成されたユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵは、ユーザ鍵管理部２２３に記憶される（ステップＳ２１２）。そして、ユーザ鍵管理部２２３は、リクエストのあったユーザに対し、ユーザ公開鍵ＰＫＵを発行すると共に、セキュアな通信手段を用いてユーザ秘密鍵ＳＫＵを発行する（ステップＳ２１３）。
【０１３９】
＜属性鍵発行サーバの動作＞
次に、属性鍵発行サーバ３の動作について図１４を参照（適宜図３参照）して説明する。属性鍵発行サーバ３は、属性管理機関（ＡＡｉ）を新規に設置する初期化の際に、ユーザ鍵発行サーバ２が公開したシステム公開鍵ＰＫにアクセスして、システム公開鍵ＰＫを取得し、システム公開鍵記憶部３４に記憶する（ステップＳ３０１）。
属性鍵発行サーバ３は、属性管理機関初期化装置３１において、属性管理機関秘密鍵生成部３１１によって、属性管理機関秘密鍵ＳＫａを生成し、属性管理機関秘密鍵記憶部３１２に記憶する（ステップＳ３０２）。これにより、属性鍵発行サーバ３の初期化は終了する。
【０１４０】
そして、属性鍵発行サーバ３は、属性公開鍵発行装置３２の属性公開鍵リクエスト受信部３２１によって、ユーザからのリクエストを受信すると（ステップＳ３１１）、属性公開鍵生成部３２２によって、システム公開鍵ＰＫと、属性管理機関秘密鍵ＳＫａと、リクエストに含まれる属性ｉとを用いて、属性公開鍵ＰＫｉを生成する（ステップＳ３１２）。なお、ここでのユーザは、コンテンツ受信装置５を利用するユーザだけではなく、コンテンツサーバ４を利用するサービスプロバイダも意味する。生成された属性公開鍵ＰＫｉは、属性公開鍵管理部３２３に記憶される（ステップＳ３１３）。そして、属性公開鍵管理部３２３は、属性公開鍵ＰＫｉを公開する（ステップＳ３１４）。すなわち、誰でも外部のネットワークＮ経由で属性公開鍵ＰＫｉにアクセス可能となる。なお、属性公開鍵管理部３２３は、リクエストのあったユーザに対し、属性公開鍵ＰＫｉを発行する。
【０１４１】
そして、属性鍵発行サーバ３は、属性秘密鍵発行装置３３の属性公開鍵リクエスト受信部３２１によって、ユーザからのリクエストを受信すると、属性秘密鍵生成部３３２によって、システム公開鍵ＰＫと、属性管理機関秘密鍵ＳＫａと、リクエストにそれぞれ含まれる属性ｉ，ユーザ識別子Ｕ，ユーザ公開鍵ＰＫＵとを用いて、属性秘密鍵ＳＫi,Uを生成する（ステップＳ３１５）。なお、ここでのユーザは、コンテンツ受信装置５を利用するユーザを意味する。生成された属性秘密鍵ＳＫi,Uは、属性秘密鍵管理部３３３に記憶される（ステップＳ３１６）。そして、属性秘密鍵管理部３３３は、リクエストのあったユーザに対し、セキュアな通信手段を用いて属性秘密鍵ＳＫi,Uを発行する（ステップＳ３１７）。なお、属性秘密鍵管理部３３３は、属性秘密鍵ＳＫi,Uのリクエストのあったユーザに対し、セキュアな通信手段を用いて属性秘密鍵ＳＫi,Uおよび属性公開鍵ＰＫｉを同時に発行してもよい。
【０１４２】
＜コンテンツサーバの動作＞
次に、コンテンツサーバ４の動作について図１５を参照（適宜図４参照）して説明する。コンテンツサーバ４は、初期化の際に、ユーザ鍵発行サーバ２が公開したシステム公開鍵ＰＫにアクセスして、システム公開鍵ＰＫを取得し、公開鍵記憶部４２１に記憶する（ステップＳ４０１）。また、コンテンツサーバ４は、属性鍵発行サーバ３にリクエストを送って属性公開鍵ＰＫｉを取得し、公開鍵記憶部４２１に記憶する（ステップＳ４０２）。これにより、コンテンツサーバ４の初期化は終了する。ただし、本実施形態は、この方法に限定されるものではない。すなわち、コンテンツサーバ４が、初期化の際に予め全ての属性iに対応するＰＫiを入手しなくても、暗号化する毎に入手すればよい。それは、サービスプロバイダで暗号化コンテンツを暗号化する際には、まず、ポリシーを決定し、それから該当する属性公開鍵ＰＫiを入手するのが通常だからである。なお、ここでは、一例として、初期化の際に、コンテンツサーバ４が、予め全ての属性iに対応するＰＫiを入手するものとして説明する。
【０１４３】
コンテンツサーバ４は、コンテンツ暗号化装置４１において、次のステップＳ４１１〜Ｓ４１４の処理を実行する。まず、コンテンツ暗号化装置４１は、コンテンツ入力部４１１によって、コンテンツＣを入力する（ステップＳ４１１）。そして、コンテンツ暗号化装置４１は、コンテンツ鍵生成部４１２によって、コンテンツ鍵Ｍを生成する（ステップＳ４１２）。そして、コンテンツ暗号化装置４１は、コンテンツ暗号化部４１３によって、コンテンツＣをコンテンツ鍵Ｍによって暗号化することで、暗号化コンテンツＥ（Ｃ）を生成する（ステップＳ４１３）。生成された暗号化コンテンツＥ（Ｃ）およびコンテンツ鍵Ｍは、コンテンツ記憶部４１４に蓄積される（ステップＳ４１４）。
【０１４４】
コンテンツサーバ４は、コンテンツ配信装置４２において、次のステップＳ４２１〜Ｓ４２４の処理を実行する。まず、コンテンツ配信装置４２は、ポリシー入力部４２２によって、復号を許可するユーザの属性ｉに関するアクセスポリシーＡを入力する（ステップＳ４２１）。そして、コンテンツ配信装置４２は、コンテンツ鍵暗号化部４２３によって、アクセスポリシーＡに対応する属性公開鍵ＰＫｉ、およびアクセスポリシーＡを用いて、コンテンツ記憶部４１４に保存されているコンテンツ鍵Ｍを暗号化する（ステップＳ４２２）。そして、コンテンツ配信装置４２は、コンテンツ結合部４２４は、暗号化コンテンツ鍵Ｅ（Ｍ）と、コンテンツ記憶部４１４に保存されている暗号化コンテンツＥ（Ｃ）とを結合し、ヘッダにアクセスポリシーＡを追加することで、ヘッダ付き暗号化コンテンツＨＥ（Ｃ）を生成する。（ステップＳ４２３）。そして、コンテンツ配信装置４２は、コンテンツ配信部４２５ｂによって、ユーザのコンテンツ受信装置５に対しヘッダ付き暗号化コンテンツＨＥ（Ｃ）を配信する（ステップＳ４２４）。
【０１４５】
＜コンテンツ受信装置の動作＞
次に、コンテンツ受信装置５の動作について図１６を参照（適宜図５参照）して説明する。コンテンツ受信装置５は、初期化の際に、ユーザ鍵発行サーバ２が公開したシステム公開鍵ＰＫにアクセスして、システム公開鍵ＰＫを取得し、公開鍵記憶部５１に記憶する（ステップＳ５０１）。また、コンテンツ受信装置５は、リクエストによりユーザ鍵発行サーバ２が発行したユーザ鍵（ユーザ公開鍵ＰＫＵおよびユーザ秘密鍵ＳＫＵ）を取得し、ユーザ鍵をユーザ秘密鍵記憶部５３に記憶する（ステップＳ５０２）。また、コンテンツ受信装置５は、属性鍵を要求するリクエストを属性鍵発行サーバ３に送る（ステップＳ５０３）。コンテンツ受信装置５は、リクエストにより公開された属性公開鍵ＰＫｉを取得し、公開鍵記憶部５１に記憶する（ステップＳ５０４）。また、コンテンツ受信装置５は、リクエストにより発行された属性秘密鍵ＳＫi,Uを取得し、属性秘密鍵記憶部５２に記憶する（ステップＳ５０５）。なお、属性公開鍵ＰＫｉを属性秘密鍵ＳＫi,Uと共に取得し、属性秘密鍵記憶部５２に記憶するようにしてもよい。これにより、コンテンツ受信装置５の初期化は終了する。
【０１４６】
コンテンツ受信装置５は、コンテンツ受信部５４において、コンテンツサーバ４から配信されたヘッダ付き暗号化コンテンツＨＥ（Ｃ）を受信すると、コンテンツ分離部５５において、ヘッダ部分に記載のアクセスポリシーＡおよび暗号化コンテンツ鍵Ｅ（Ｍ）を抽出する（ステップＳ５１１）。
【０１４７】
そして、コンテンツ受信装置５は、復号判定部５６によって、属性秘密鍵記憶部５２に保存されている属性秘密鍵ＳＫi,Uが当該アクセスポリシーＡを満たしているか否かを判定する（ステップＳ５１２）。すなわち、アクセスポリシーＡに、当該コンテンツ受信装置５のユーザの満たすべき属性ｉの論理積の要素が含まれるか否かを判定する。
【０１４８】
保存されている属性秘密鍵ＳＫi,Uが当該アクセスポリシーＡを満たす場合（ステップＳ５１２：Ｙｅｓ）、コンテンツ受信装置５は、コンテンツ鍵復号部５７によって、当該属性秘密鍵ＳＫi,Uおよびユーザ秘密鍵記憶部５３に保存されているユーザ秘密鍵ＳＫＵを用いて、ヘッダ付き暗号化コンテンツＨＥ（Ｃ）から分離した暗号化コンテンツ鍵Ｅ（Ｍ）を復号し、コンテンツ鍵Ｍを得る（ステップＳ５１３）。
コンテンツ受信装置５は、復号したコンテンツ鍵Ｍを用いて、ヘッダ付き暗号化コンテンツＨＥ（Ｃ）から分離した暗号化コンテンツＥ（Ｃ）を復号し、コンテンツＣを再生する（ステップＳ５１４）。
【０１４９】
前記ステップＳ５１２において、属性秘密鍵記憶部５２に保存されている、属性秘密鍵ＳＫi,Uが当該アクセスポリシーＡを満たさない場合（ステップＳ５１２：Ｎｏ、コンテンツ受信装置５は、コンテンツを再生することなく処理を終了する。
【０１５０】
［ユーザの属性の具体例］
次に、本発明の実施形態に係るコンテンツ受信装置のユーザの属性の具体例について図１７を参照（適宜図１参照）して説明する。図１に示すアクセス制御システム１において、例えば、ＡＡの属性鍵発行サーバ３にて、ユーザの居住地の属性が都道府県単位で管理されているものとする。そして、ユーザ鍵発行サーバ２、属性鍵発行サーバ３、コンテンツサーバ４、およびコンテンツ受信装置５にて、それぞれ初期化が行われて、それぞれが必要な鍵を取得して保存しているものとする。
【０１５１】
この前提において、図１７に示すように、あるコンテンツを配信する１つのコンテンツサーバ４と、ネットワークＮに接続された５台のコンテンツ受信装置５（５ａ，５ｂ，５ｃ，５ｄ，５ｅ）とを想定して、具体例を説明する。ここでは、サービスプロバイダにて、四国在住の女性のユーザのみコンテンツＣの視聴を許可する場合を想定する。
サービスプロバイダのコンテンツサーバ４に入力されるアクセスポリシーＡは、居住地の属性と性別の属性とを用いて、式（２５）のように記述される。
【０１５２】
Ａ＝（香川県∧女性）∨（徳島県∧女性）∨（愛媛県∧女性）∨（高知県∧女性）
… 式（２５）
【０１５３】
コンテンツ受信装置５ａのユーザＵａは、例えば香川県に居住する女性であるものとする。ここでは、図１７に示すように、このユーザＵａにおいて、居住地の属性と性別の属性とを、属性ｉ１＝「香川県」、属性ｉ２＝「女性」と表記することとする。
また、コンテンツ受信装置５ｂのユーザＵｂは、属性ｉ３＝「徳島県」、属性ｉ４＝「女性」であるものとする。
また、コンテンツ受信装置５ｃのユーザＵｃは、属性ｉ５＝「愛媛県」、属性ｉ６＝「女性」であるものとする。
また、コンテンツ受信装置５ｄのユーザＵｄは、属性ｉ７＝「高知県」、属性ｉ８＝「女性」であるものとする。
また、コンテンツ受信装置５ｅのユーザＵｅは、属性ｉ９＝「香川県」、属性ｉ１０＝「男性」であるものとする。
【０１５４】
図１７に示すコンテンツサーバ４は、予め取得したシステム公開鍵ＰＫおよび属性公開鍵ＰＫiと、生成したコンテンツ鍵とを保有している。また、コンテンツ受信装置５ａは、システム公開鍵ＰＫと、ユーザＵａのユーザ鍵＝＜ユーザ公開鍵ＰＫＵ，ユーザ秘密鍵ＳＫＵ＞と、属性公開鍵ＰＫiと、ユーザＵａの属性秘密鍵ＳＫi,Uとを保有している。なお、図示を省略するが、他のコンテンツ受信装置５ｂ〜５ｅにも同様にユーザに対応した各鍵が記憶されているものとする。
【０１５５】
前記した式（２５）のアクセスポリシーＡは、式（２６）のように書き換えられる。
また、アクセスポリシーＡのｊ＝１〜４番目のconjunctionに出現する属性ｉの集合は、それぞれ式（２７）、式（２８）、式（２９）、式（３０）で表される。
【０１５６】
【数２４】
【０１５７】
コンテンツ受信装置５ａは、受信した暗号文から、式（２６）に示すアクセスポリシーＡを分離する。ここで、ユーザＵａの属性ｉ１，ｉ２は、式（２６）に示すアクセスポリシーＡのｊ＝１番目のconjunctionを満たしている。したがって、コンテンツ受信装置５ａは、アクセスポリシーＡのｊ＝１番目のconjunctionを選び、属性ｉ１に対応する属性秘密鍵ＳＫi1,Uと、属性ｉ２に対応する属性秘密鍵ＳＫi2,Uと、ユーザ秘密鍵ＳＫＵａとを用いて前記した式（２４）に示す復号の演算を実行する。
【０１５８】
また、コンテンツ受信装置５ｂは、アクセスポリシーＡのｊ＝２番目のconjunctionを選び、属性ｉ３に対応する属性秘密鍵ＳＫi3,Uと、属性ｉ４に対応する属性秘密鍵ＳＫi4,Uと、ユーザ秘密鍵ＳＫＵｂとを用いて前記した式（２４）に示す復号の演算を実行する。
同様に、コンテンツ受信装置５ｃは、アクセスポリシーＡのｊ＝３番目のconjunctionを選び、コンテンツ受信装置５ｄは、アクセスポリシーＡのｊ＝４番目のconjunctionを選び、復号によりコンテンツ鍵Ｍを得る。
一方、コンテンツ受信装置５ｅを利用するユーザＵｅの属性ｉ９，ｉ１０の組み合わせは、式（２６）に示すアクセスポリシーＡを満たさない。したがって、コンテンツ受信装置５ｅは、アクセスポリシーＡにしたがって、暗号文の復号を行わない。
これにより、四国在住の女性のユーザのみコンテンツＣを視聴できることとなる。
【０１５９】
本実施形態に係るアクセス制御システム１は、放送波Ｗもしくはインターネット、専用ＩＰ回線等のネットワークＮを利用したコンテンツ配信サービスにおいて、サービスプロバイダが、コンテンツの復号を許可するユーザを限定して暗号化コンテンツを配信したい場合に、個々のユーザを直接指定することなく、ユーザの満たすべき属性ｉの条件を記述したアクセスポリシーＡに基づいてコンテンツの暗号化を行うことができる。
【０１６０】
これにより、サービスプロバイダがコンテンツ配信サービスを行う際のアクセス制御を容易に実現できる。例えば、「居住地」をユーザの属性ｉとして用いることにより、特定の地域に住む視聴者のみを対象としたコンテンツ配信サービスを実現できる。また、例えば、「年齢」をユーザの属性ｉとして用いることにより、年齢制限を設けたコンテンツ配信サービスを実現できる。さらに、例えば、「会員種別」をユーザの属性ｉとして用いることにより、会員限定のプレミアムコンテンツ配信サービスを実現できる。このように、ユーザの属性ｉに応じたきめ細かなコンテンツ配信サービスを提供できる。
【０１６１】
また、本実施形態に係るアクセス制御システム１は、任意の数のＡＡによる属性秘密鍵ＳＫi,Uの発行が可能であるため、各々のＡＡの管理コストを削減できると共に、新たなＡＡの設置も容易となる。
【０１６２】
さらに、実施形態に係るアクセス制御システム１は、単独で暗号文を復号できる機関が存在しないため、従来よりも安全なアクセス制御システム１を構築でき、サービスプロバイダが提供するコンテンツ配信サービスをユーザが安心して利用できる。
【０１６３】
以上、実施形態に基づいて本発明を説明したが、本発明はこれに限定されるものではない。例えば、コンテンツ受信装置５は、ネットワークＮからコンテンツを受信するものとしたが、放送事業者の放送局に設けたコンテンツサーバ４から送信された放送波Ｗによりコンテンツを受信するものとしてもよい。この場合には、コンテンツ受信装置５は、例えば、デジタル放送を受信するチューナを備え、ＣＡＳ（Conditional Access System）カードにユーザ秘密鍵ＳＫＵや属性秘密鍵ＳＫi,Uを記録してもよい。
【０１６４】
また、本実施形態では、ユーザ鍵発行サーバ２のユーザ鍵管理部２２３と、属性鍵発行サーバ３の属性秘密鍵管理部３３３とは、セキュアな通信手段を用いることとしたが、ユーザ鍵や属性秘密鍵をオフライン（例えば郵送等）にてユーザに発行するようにしてもよい。
【０１６５】
また、例えば、コンテンツサーバ４は、一般的なコンピュータを、前記した各手段として機能させるプログラム（コンテンツ配信プログラム）により動作させることで実現することができる。コンテンツ受信装置５は、一般的なコンピュータを、前記した各手段として機能させるプログラム（コンテンツ受信プログラム）により動作させることで実現することができる。これらコンテンツ配信プログラムやコンテンツ受信プログラムは、通信回線を介して配布することも可能であるし、ＤＶＤやＣＤ−ＲＯＭ等の記録媒体に書き込んで配布することも可能である。
【０１６６】
一般に、デジタル放送受信機は、デジタル放送で送られてくるデータをダウンロードして自動的に受信機のソフトウェアプログラムを更新させる機能があるので、デジタル放送受信機が前記コンテンツ受信プログラムを取り込んだ場合、このアクセス制御システム１のコンテンツ受信装置５として機能させることができる。
【符号の説明】
【０１６７】
１ アクセス制御システム
２ ユーザ鍵発行サーバ
２１ システム初期化装置
２１１ システム公開鍵生成部（システム公開鍵生成手段）
２１２ システム公開鍵管理部
２２ ユーザ鍵発行装置
２２１ ユーザ鍵リクエスト受信部
２２２ ユーザ鍵生成部（ユーザ鍵生成手段）
２２３ ユーザ鍵管理部
３ 属性鍵発行サーバ
３１ 属性管理機関初期化装置
３１１ 属性管理機関秘密鍵生成部（属性管理機関秘密鍵生成手段）
３１２ 属性管理機関秘密鍵記憶部
３２ 属性公開鍵発行装置
３２１ 属性公開鍵リクエスト受信部
３２２ 属性公開鍵生成部（属性公開鍵生成手段）
３２３ 属性公開鍵管理部
３３ 属性秘密鍵発行装置
３３１ 属性秘密鍵リクエスト受信部
３３２ 属性秘密鍵生成部（属性秘密鍵生成手段）
３３３ 属性秘密鍵管理部
３４ システム公開鍵記憶部
３５ ユーザ管理情報記憶部
４ コンテンツサーバ
４１ コンテンツ暗号化装置
４１１ コンテンツ入力部
４１２ コンテンツ鍵生成部
４１３ コンテンツ暗号化部（コンテンツ暗号化手段）
４１４ コンテンツ記憶部
４２ コンテンツ配信装置
４２１ 公開鍵記憶部
４２２ ポリシー入力部（ポリシー入力手段）
４２３ コンテンツ鍵暗号化部（コンテンツ鍵暗号化手段）
４２４ コンテンツ結合部（コンテンツ結合手段）
４２５ コンテンツ配信部（コンテンツ配信手段）
５ コンテンツ受信装置
５１ 公開鍵記憶部
５２ 属性秘密鍵記憶部（属性秘密鍵記憶手段）
５３ ユーザ秘密鍵記憶部（ユーザ秘密鍵記憶手段）
５４ コンテンツ受信部（コンテンツ受信手段）
５５ コンテンツ分離部（コンテンツ分離手段）
５６ 復号判定部（判定手段）
５７ コンテンツ鍵復号部（コンテンツ鍵復号手段）
５８ コンテンツ再生部（コンテンツ再生手段）
Ｎ ネットワーク
【特許請求の範囲】
【請求項１】
ユーザ鍵としてのユーザ公開鍵およびユーザ秘密鍵とシステム公開鍵とを発行するユーザ鍵発行サーバと、属性毎の属性公開鍵および当該属性に対応したユーザ毎の属性秘密鍵を発行する複数の属性鍵発行サーバと、コンテンツを配信するコンテンツサーバと、ユーザによって使用され前記コンテンツを受信するコンテンツ受信装置とを備え、前記コンテンツにアクセスできる条件としてユーザの属性を用いて前記コンテンツを提供する側にて予め作成されたアクセスポリシーに基づいて前記コンテンツへのアクセスを制御するアクセス制御システムにおける前記コンテンツサーバであって、
入力された前記コンテンツを共通鍵であるコンテンツ鍵によって暗号化することで、暗号化コンテンツを生成するコンテンツ暗号化手段と、
前記アクセスポリシーを入力するポリシー入力手段と、
入力された前記コンテンツ鍵を暗号化して暗号化コンテンツ鍵を生成するコンテンツ鍵暗号化手段と、
前記コンテンツ鍵暗号化手段で生成した前記暗号化コンテンツ鍵と前記コンテンツ暗号化手段が生成した前記暗号化コンテンツとを結合してヘッダに前記アクセスポリシーを追加することで、ヘッダ付き暗号化コンテンツを生成するコンテンツ結合手段と、
前記ヘッダ付き暗号化コンテンツを前記コンテンツ受信装置に配信するコンテンツ配信手段と、を備え、
前記コンテンツ鍵暗号化手段は、
前記アクセスポリシーの要素数をｎとしたときに、前記システム公開鍵と、入力された前記アクセスポリシーに含まれるj番目の要素に含まれる属性ｉに対して発行された下記の式（１４）に示す前記属性公開鍵ＰＫiとを用いて、入力された前記コンテンツ鍵Ｍを前記アクセスポリシーに含まれる前記要素毎に暗号化し、当該j番目の要素について下記の式（２２）に示す部分暗号文ＣＴjを生成し、前記アクセスポリシーの全ての要素から求めた各部分暗号文ＣＴ１〜ＣＴｎを生成し、前記暗号化コンテンツ鍵として、下記の式（２３）に示す暗号文ＣＴを生成することを特徴とするコンテンツサーバ。
【数１】
【請求項２】
請求項１に記載のコンテンツサーバを備えるアクセス制御システムにおいて前記コンテンツサーバが配信する前記コンテンツを受信する前記コンテンツ受信装置であって、
当該コンテンツ受信装置のユーザの満たすべき属性に対応して前記属性鍵発行サーバにて発行された前記属性秘密鍵を記憶した属性秘密鍵記憶手段と、
前記ユーザ鍵発行サーバにより発行された前記ユーザ秘密鍵を記憶したユーザ秘密鍵記憶手段と、
前記コンテンツサーバから前記ヘッダ付き暗号化コンテンツを受信するコンテンツ受信手段と、
前記コンテンツ受信手段が受信した前記ヘッダ付き暗号化コンテンツから、前記アクセスポリシーと、前記暗号化コンテンツと、前記暗号化コンテンツ鍵である前記式（２３）に示す暗号文ＣＴと、を分離するコンテンツ分離手段と、
前記属性秘密鍵に基づいて、前記アクセスポリシーの要素に、当該コンテンツ受信装置のユーザの満たすべき属性が含まれるか否かを判定し、含まれる場合、当該ｊ番目の要素を選択する判定手段と、
前記アクセスポリシーのｊ番目の要素が選択された場合、当該要素に含まれる属性ｉに対応する下記の式（１７）に示す属性秘密鍵ＳＫi,U，と、下記の式（９）に示すユーザ秘密鍵ＳＫＵと前記システム公開鍵とを用いて、下記の式（２４）に示す復号の演算を実行し、前記暗号化コンテンツ鍵を復号するコンテンツ鍵復号手段と、
前記コンテンツ分離手段で分離した前記暗号化コンテンツを、前記コンテンツ鍵復号手段で復号した前記コンテンツ鍵によって復号することで、前記コンテンツを再生するコンテンツ再生手段と、
を備えることを特徴とするコンテンツ受信装置。
【数２】
【請求項３】
請求項１に記載のコンテンツサーバまたは請求項２に記載のコンテンツ受信装置を備えるアクセス制御システムにおいて、属性管理機関に設置され、前記コンテンツサーバまたは前記コンテンツ受信装置で用いる前記属性鍵を発行する前記属性鍵発行サーバであって、
当該属性管理機関を識別する属性管理機関識別子ａおよび前記システム公開鍵を用いて当該属性管理機関に固有の属性管理機関秘密鍵ＳＫａを生成する属性管理機関秘密鍵生成手段と、
前記システム公開鍵と、前記属性管理機関秘密鍵ＳＫａと、前記ユーザから取得した属性を含むリクエストとを用いて、前記式（１４）に示す属性毎の前記属性公開鍵ＰＫｉを生成する属性公開鍵生成手段と、
前記システム公開鍵と、前記属性管理機関秘密鍵ＳＫａと、前記ユーザから取得した属性、ユーザ識別子Ｕおよび前記ユーザ公開鍵を含むリクエストとを用いて、下記の式（１７）に示す当該属性のユーザ毎の前記属性秘密鍵を生成する属性秘密鍵生成手段と、
を備えることを特徴とする属性鍵発行サーバ。
【数３】
【請求項４】
請求項１に記載のコンテンツサーバ、請求項２に記載のコンテンツ受信装置または請求項３に記載の属性鍵発行サーバを備えるアクセス制御システムにおいて、ユーザ管理機関に設置され、前記コンテンツサーバ、前記コンテンツ受信装置、または前記属性鍵発行サーバで用いる前記システム公開鍵を生成する前記ユーザ鍵発行サーバであって、
素数位数ｐの双線形群Ｇと、双線形写像ｅ：Ｇ×Ｇ→ＧＴと、Ｇからランダムに選択された下記の式（５）で示す生成元とを用いて、下記の式（６）に示す前記システム公開鍵ＰＫを生成するシステム公開鍵生成手段と、
当該アクセス制御システムのユーザを識別するユーザ識別子Ｕと、前記システム公開鍵ＰＫとを用いて、下記の式（９）に示すユーザ毎に異なる鍵として発行する前記ユーザ公開鍵ＰＫＵおよび前記ユーザ秘密鍵ＳＫＵを生成するユーザ鍵生成手段（２２２）と、
を備えることを特徴とするユーザ鍵発行サーバ。
【数４】
【請求項５】
請求項１に記載のコンテンツサーバと、請求項２に記載のコンテンツ受信装置と、請求項３に記載の属性鍵発行サーバと、請求項４に記載のユーザ鍵発行サーバと、を備えることを特徴とするアクセス制御システム。
【請求項６】
請求項１に記載のコンテンツサーバであるコンピュータを、
入力された前記コンテンツを共通鍵であるコンテンツ鍵によって暗号化することで、暗号化コンテンツを生成するコンテンツ暗号化手段、
前記アクセスポリシーを入力するポリシー入力手段、
前記アクセスポリシーの要素数をｎとしたときに、前記システム公開鍵と、入力された前記アクセスポリシーに含まれるj番目の要素に含まれる属性ｉに対して発行された前記式（１４）に示す前記属性公開鍵ＰＫiとを用いて、入力された前記コンテンツ鍵Ｍを前記アクセスポリシーに含まれる前記要素毎に暗号化し、当該j番目の要素について前記式（２２）に示す部分暗号文を生成し、前記アクセスポリシーの全ての要素から求めた各部分暗号文ＣＴ１〜ＣＴｎを生成し、前記暗号化コンテンツ鍵として、前記式（２３）に示す暗号文ＣＴを生成するコンテンツ鍵暗号化手段、
前記コンテンツ鍵暗号化手段で生成した前記暗号化コンテンツ鍵と前記コンテンツ暗号化手段が生成した前記暗号化コンテンツとを結合してヘッダに前記アクセスポリシーを追加することで、ヘッダ付き暗号化コンテンツを生成するコンテンツ結合手段、
前記ヘッダ付き暗号化コンテンツを前記コンテンツ受信装置に配信するコンテンツ配信手段
として機能させるためのコンテンツ配信プログラム。
【請求項７】
請求項１に記載のコンテンツサーバが配信する前記コンテンツを受信するコンテンツ受信装置のユーザの満たすべき属性に対応して前記属性鍵発行サーバにて発行された前記属性秘密鍵を記憶した属性秘密鍵記憶手段と、前記ユーザ鍵発行サーバにより発行された前記ユーザ秘密鍵を記憶したユーザ秘密鍵記憶手段とを備えた請求項２に記載のコンテンツ受信装置であるコンピュータを、
前記コンテンツサーバから前記ヘッダ付き暗号化コンテンツを受信するコンテンツ受信手段、
前記コンテンツ受信手段が受信した前記ヘッダ付き暗号化コンテンツから、前記アクセスポリシーと、前記暗号化コンテンツと、前記暗号化コンテンツ鍵である前記式（２３）に示す暗号文ＣＴと、を分離するコンテンツ分離手段、
前記属性秘密鍵に基づいて、前記アクセスポリシーの要素に、当該コンテンツ受信装置のユーザの満たすべき属性が含まれるか否かを判定し、含まれる場合、当該ｊ番目の要素を選択する判定手段、
前記アクセスポリシーのｊ番目の要素が選択された場合、当該要素に含まれる属性ｉに対応する前記式（１７）に示す属性秘密鍵ＳＫi,U，と、前記式（９）に示すユーザ秘密鍵ＳＫＵと前記システム公開鍵とを用いて、前記式（２４）に示す復号の演算を実行し、前記暗号化コンテンツ鍵を復号するコンテンツ鍵復号手段、
前記コンテンツ分離手段で分離した前記暗号化コンテンツを、前記コンテンツ鍵復号手段で復号した前記コンテンツ鍵によって復号することで、前記コンテンツを再生するコンテンツ再生手段、
として機能させるためのコンテンツ受信プログラム。
【請求項１】
ユーザ鍵としてのユーザ公開鍵およびユーザ秘密鍵とシステム公開鍵とを発行するユーザ鍵発行サーバと、属性毎の属性公開鍵および当該属性に対応したユーザ毎の属性秘密鍵を発行する複数の属性鍵発行サーバと、コンテンツを配信するコンテンツサーバと、ユーザによって使用され前記コンテンツを受信するコンテンツ受信装置とを備え、前記コンテンツにアクセスできる条件としてユーザの属性を用いて前記コンテンツを提供する側にて予め作成されたアクセスポリシーに基づいて前記コンテンツへのアクセスを制御するアクセス制御システムにおける前記コンテンツサーバであって、
入力された前記コンテンツを共通鍵であるコンテンツ鍵によって暗号化することで、暗号化コンテンツを生成するコンテンツ暗号化手段と、
前記アクセスポリシーを入力するポリシー入力手段と、
入力された前記コンテンツ鍵を暗号化して暗号化コンテンツ鍵を生成するコンテンツ鍵暗号化手段と、
前記コンテンツ鍵暗号化手段で生成した前記暗号化コンテンツ鍵と前記コンテンツ暗号化手段が生成した前記暗号化コンテンツとを結合してヘッダに前記アクセスポリシーを追加することで、ヘッダ付き暗号化コンテンツを生成するコンテンツ結合手段と、
前記ヘッダ付き暗号化コンテンツを前記コンテンツ受信装置に配信するコンテンツ配信手段と、を備え、
前記コンテンツ鍵暗号化手段は、
前記アクセスポリシーの要素数をｎとしたときに、前記システム公開鍵と、入力された前記アクセスポリシーに含まれるj番目の要素に含まれる属性ｉに対して発行された下記の式（１４）に示す前記属性公開鍵ＰＫiとを用いて、入力された前記コンテンツ鍵Ｍを前記アクセスポリシーに含まれる前記要素毎に暗号化し、当該j番目の要素について下記の式（２２）に示す部分暗号文ＣＴjを生成し、前記アクセスポリシーの全ての要素から求めた各部分暗号文ＣＴ１〜ＣＴｎを生成し、前記暗号化コンテンツ鍵として、下記の式（２３）に示す暗号文ＣＴを生成することを特徴とするコンテンツサーバ。
【数１】
【請求項２】
請求項１に記載のコンテンツサーバを備えるアクセス制御システムにおいて前記コンテンツサーバが配信する前記コンテンツを受信する前記コンテンツ受信装置であって、
当該コンテンツ受信装置のユーザの満たすべき属性に対応して前記属性鍵発行サーバにて発行された前記属性秘密鍵を記憶した属性秘密鍵記憶手段と、
前記ユーザ鍵発行サーバにより発行された前記ユーザ秘密鍵を記憶したユーザ秘密鍵記憶手段と、
前記コンテンツサーバから前記ヘッダ付き暗号化コンテンツを受信するコンテンツ受信手段と、
前記コンテンツ受信手段が受信した前記ヘッダ付き暗号化コンテンツから、前記アクセスポリシーと、前記暗号化コンテンツと、前記暗号化コンテンツ鍵である前記式（２３）に示す暗号文ＣＴと、を分離するコンテンツ分離手段と、
前記属性秘密鍵に基づいて、前記アクセスポリシーの要素に、当該コンテンツ受信装置のユーザの満たすべき属性が含まれるか否かを判定し、含まれる場合、当該ｊ番目の要素を選択する判定手段と、
前記アクセスポリシーのｊ番目の要素が選択された場合、当該要素に含まれる属性ｉに対応する下記の式（１７）に示す属性秘密鍵ＳＫi,U，と、下記の式（９）に示すユーザ秘密鍵ＳＫＵと前記システム公開鍵とを用いて、下記の式（２４）に示す復号の演算を実行し、前記暗号化コンテンツ鍵を復号するコンテンツ鍵復号手段と、
前記コンテンツ分離手段で分離した前記暗号化コンテンツを、前記コンテンツ鍵復号手段で復号した前記コンテンツ鍵によって復号することで、前記コンテンツを再生するコンテンツ再生手段と、
を備えることを特徴とするコンテンツ受信装置。
【数２】
【請求項３】
請求項１に記載のコンテンツサーバまたは請求項２に記載のコンテンツ受信装置を備えるアクセス制御システムにおいて、属性管理機関に設置され、前記コンテンツサーバまたは前記コンテンツ受信装置で用いる前記属性鍵を発行する前記属性鍵発行サーバであって、
当該属性管理機関を識別する属性管理機関識別子ａおよび前記システム公開鍵を用いて当該属性管理機関に固有の属性管理機関秘密鍵ＳＫａを生成する属性管理機関秘密鍵生成手段と、
前記システム公開鍵と、前記属性管理機関秘密鍵ＳＫａと、前記ユーザから取得した属性を含むリクエストとを用いて、前記式（１４）に示す属性毎の前記属性公開鍵ＰＫｉを生成する属性公開鍵生成手段と、
前記システム公開鍵と、前記属性管理機関秘密鍵ＳＫａと、前記ユーザから取得した属性、ユーザ識別子Ｕおよび前記ユーザ公開鍵を含むリクエストとを用いて、下記の式（１７）に示す当該属性のユーザ毎の前記属性秘密鍵を生成する属性秘密鍵生成手段と、
を備えることを特徴とする属性鍵発行サーバ。
【数３】
【請求項４】
請求項１に記載のコンテンツサーバ、請求項２に記載のコンテンツ受信装置または請求項３に記載の属性鍵発行サーバを備えるアクセス制御システムにおいて、ユーザ管理機関に設置され、前記コンテンツサーバ、前記コンテンツ受信装置、または前記属性鍵発行サーバで用いる前記システム公開鍵を生成する前記ユーザ鍵発行サーバであって、
素数位数ｐの双線形群Ｇと、双線形写像ｅ：Ｇ×Ｇ→ＧＴと、Ｇからランダムに選択された下記の式（５）で示す生成元とを用いて、下記の式（６）に示す前記システム公開鍵ＰＫを生成するシステム公開鍵生成手段と、
当該アクセス制御システムのユーザを識別するユーザ識別子Ｕと、前記システム公開鍵ＰＫとを用いて、下記の式（９）に示すユーザ毎に異なる鍵として発行する前記ユーザ公開鍵ＰＫＵおよび前記ユーザ秘密鍵ＳＫＵを生成するユーザ鍵生成手段（２２２）と、
を備えることを特徴とするユーザ鍵発行サーバ。
【数４】
【請求項５】
請求項１に記載のコンテンツサーバと、請求項２に記載のコンテンツ受信装置と、請求項３に記載の属性鍵発行サーバと、請求項４に記載のユーザ鍵発行サーバと、を備えることを特徴とするアクセス制御システム。
【請求項６】
請求項１に記載のコンテンツサーバであるコンピュータを、
入力された前記コンテンツを共通鍵であるコンテンツ鍵によって暗号化することで、暗号化コンテンツを生成するコンテンツ暗号化手段、
前記アクセスポリシーを入力するポリシー入力手段、
前記アクセスポリシーの要素数をｎとしたときに、前記システム公開鍵と、入力された前記アクセスポリシーに含まれるj番目の要素に含まれる属性ｉに対して発行された前記式（１４）に示す前記属性公開鍵ＰＫiとを用いて、入力された前記コンテンツ鍵Ｍを前記アクセスポリシーに含まれる前記要素毎に暗号化し、当該j番目の要素について前記式（２２）に示す部分暗号文を生成し、前記アクセスポリシーの全ての要素から求めた各部分暗号文ＣＴ１〜ＣＴｎを生成し、前記暗号化コンテンツ鍵として、前記式（２３）に示す暗号文ＣＴを生成するコンテンツ鍵暗号化手段、
前記コンテンツ鍵暗号化手段で生成した前記暗号化コンテンツ鍵と前記コンテンツ暗号化手段が生成した前記暗号化コンテンツとを結合してヘッダに前記アクセスポリシーを追加することで、ヘッダ付き暗号化コンテンツを生成するコンテンツ結合手段、
前記ヘッダ付き暗号化コンテンツを前記コンテンツ受信装置に配信するコンテンツ配信手段
として機能させるためのコンテンツ配信プログラム。
【請求項７】
請求項１に記載のコンテンツサーバが配信する前記コンテンツを受信するコンテンツ受信装置のユーザの満たすべき属性に対応して前記属性鍵発行サーバにて発行された前記属性秘密鍵を記憶した属性秘密鍵記憶手段と、前記ユーザ鍵発行サーバにより発行された前記ユーザ秘密鍵を記憶したユーザ秘密鍵記憶手段とを備えた請求項２に記載のコンテンツ受信装置であるコンピュータを、
前記コンテンツサーバから前記ヘッダ付き暗号化コンテンツを受信するコンテンツ受信手段、
前記コンテンツ受信手段が受信した前記ヘッダ付き暗号化コンテンツから、前記アクセスポリシーと、前記暗号化コンテンツと、前記暗号化コンテンツ鍵である前記式（２３）に示す暗号文ＣＴと、を分離するコンテンツ分離手段、
前記属性秘密鍵に基づいて、前記アクセスポリシーの要素に、当該コンテンツ受信装置のユーザの満たすべき属性が含まれるか否かを判定し、含まれる場合、当該ｊ番目の要素を選択する判定手段、
前記アクセスポリシーのｊ番目の要素が選択された場合、当該要素に含まれる属性ｉに対応する前記式（１７）に示す属性秘密鍵ＳＫi,U，と、前記式（９）に示すユーザ秘密鍵ＳＫＵと前記システム公開鍵とを用いて、前記式（２４）に示す復号の演算を実行し、前記暗号化コンテンツ鍵を復号するコンテンツ鍵復号手段、
前記コンテンツ分離手段で分離した前記暗号化コンテンツを、前記コンテンツ鍵復号手段で復号した前記コンテンツ鍵によって復号することで、前記コンテンツを再生するコンテンツ再生手段、
として機能させるためのコンテンツ受信プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【公開番号】特開２０１２−３９２４４（Ｐ２０１２−３９２４４Ａ）
【公開日】平成２４年２月２３日（２０１２．２．２３）
【国際特許分類】
【出願番号】特願２０１０−１７５４８１（Ｐ２０１０−１７５４８１）
【出願日】平成２２年８月４日（２０１０．８．４）
【新規性喪失の例外の表示】特許法第３０条第１項適用申請有り （１）社団法人電子情報通信学会から２０１０年６月２４日に発行された刊行物「電子情報通信学会技術研究報告」において発表 （２）社団法人電子情報通信学会が２０１０年７月１日〜２日に開催した「情報セキュリティ研究会」において２０１０年７月２日に文書をもって発表
【出願人】（０００００４３５２）日本放送協会 (2,206)
【Ｆターム（参考）】
【公開日】平成２４年２月２３日（２０１２．２．２３）
【国際特許分類】
【出願日】平成２２年８月４日（２０１０．８．４）
【新規性喪失の例外の表示】特許法第３０条第１項適用申請有り （１）社団法人電子情報通信学会から２０１０年６月２４日に発行された刊行物「電子情報通信学会技術研究報告」において発表 （２）社団法人電子情報通信学会が２０１０年７月１日〜２日に開催した「情報セキュリティ研究会」において２０１０年７月２日に文書をもって発表
【出願人】（０００００４３５２）日本放送協会 (2,206)
【Ｆターム（参考）】
[ Back to top ]