コンテンツ再生装置、コンテンツ再生方法及びプログラム
【課題】改竄されたコンテンツデータを記録した記録媒体の実行・再生を回避し、記録媒体に記録されたコンテンツデータやプログラムの再生・実行中に接続するサーバを限定することができるコンテンツ再生装置及び方法を提供する。
【解決手段】プログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体からコンテンツデータを再生、実行し、記録媒体からアクセス許可するサーバを示す識別子を読み出して記憶手段で記憶し、再生、実行中にプログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、プログラムに含まれるサーバの識別子と記憶手段で記憶された識別子とが一致し、且つ記憶手段で記憶された識別子に対応するサーバの正当性及び記録媒体の正当性が検証されたとき、接続要求を受けて、記憶手段で記憶された識別子に対応するサーバへ接続する。
【解決手段】プログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体からコンテンツデータを再生、実行し、記録媒体からアクセス許可するサーバを示す識別子を読み出して記憶手段で記憶し、再生、実行中にプログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、プログラムに含まれるサーバの識別子と記憶手段で記憶された識別子とが一致し、且つ記憶手段で記憶された識別子に対応するサーバの正当性及び記録媒体の正当性が検証されたとき、接続要求を受けて、記憶手段で記憶された識別子に対応するサーバへ接続する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は光ディスクなどの記録媒体に記録された映像・音声情報及びプログラムを含むコンテンツデータを再生・実行するコンテンツ再生装置に関し、特にネットワークを介してサーバに接続するコンテンツ再生装置に関する。
【背景技術】
【０００２】
近年では、ＤＶＤやビデオＣＤなど、映像や音声等のデータを記録した光ディスクを再生する光ディスク再生装置が開発されている。これら装置は映画ソフトの鑑賞等に利用され一般に普及している。
【０００３】
ＤＶＤは、情報記録媒体に記録された映像・音声情報を再生するディスクに関する規格であり、ＤＶＤフォーラムにより「ＤＶＤ Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ ｆｏｒ Ｒｅａｄ−Ｏｎｌｙ Ｄｉｓｃ Ｐａｒｔ ３： ＶＩＤＥＯ ＳＰＥＣＩＦＩＣＡＴＩＯＮＳ」として１９９６年に発行された。この規格では、動画圧縮方式としてＭＰＥＧ２方式をサポートし、音声圧縮方式としてＭＰＥＧオーディオ圧縮方式およびＡＣ−３オーディオ圧縮方式をサポートしている。さらに、映画の字幕用などに用いるビットマップデータである副映像データや、早送り再生、早戻し再生等の制御データ（ナビパック）を規定している。
【０００４】
一方、近年のインターネットの普及により、ネットワーク接続機能を有する映像情報装置が開発されている。たとえば、テレビ放送の受信、録画機能をもつ映像情報装置では、ネットワークを介して接続されたサーバから電子番組表のデータを受信し、その内容に基づいて録画する機能などが開発されている。
【０００５】
上記ネットワーク接続機能を有する映像情報装置に関する従来技術として、特許文献１においては、ＤＶＤ ビデオタイトルとインターネットで提供されるＨＴＭＬファイルとを融合させたサービスを行う画像表示装置が開示されている。この画像表示装置では、ナビパックから取り出したＵＲＬに基づいてインターネットに接続し、再生中のシーンに連動してＨＴＭＬコンテンツを表示することが可能となる。
【０００６】
また、特許文献２では、単にＨＴＭＬコンテンツを表示するだけではなく、通信回線を介して接続されたサーバから取得した拡張情報により、表現能力の高い映像を再生するとともに、不特定多数の人がサーバに接続できないようにするため、光ディスク上のデータをサーバへ送ることで認証処理を行うことを特徴とする光ディスク装置が開示されている。
【０００７】
しかしながら、特許文献１においてはネットワークを介してコンテンツを取得することによるセキュリティの問題については検討されておらず、特許文献２においては、サーバに接続できる光ディスク装置を制限するために認証処理を行っているだけであり、接続先のサーバから悪意を持って作成された危険なコンテンツを取得する危険性に関する問題や、悪意を持って作成された危険なコンテンツを再生することで、光ディスク装置がＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃の踏み台となる危険性に関する問題などについては考慮されておらず、セキュリティに関する検討が不十分であった。
【特許文献１】特開平１１−１６１６６３号公報
【特許文献２】特開２００４−７９０５５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
以上説明したように、従来のネットワーク接続機能有する映像情報装置では、サーバへ接続可能な映像情報装置を制限するために、ディスクの認証を行うことでディスクの正当性を保証しているだけである。従って、接続先のサーバから、悪意を持って作成された危険なコンテンツを取得する危険性に関する問題や、悪意を持って作成された危険なコンテンツを再生することで、映像情報装置がＤＤｏＳ攻撃などの踏み台となる危険性に関する問題などについては考慮されておらず、安心してネットワークへ接続できないという問題があった。
【０００９】
そこで、本発明は、上記問題点に鑑み、改竄されたコンテンツデータを記録したディスクの実行・再生を回避し、ディスクに記録されたコンテンツデータやプログラムの再生・実行中に接続するサーバを限定することができるコンテンツ再生装置及び方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行するコンテンツ再生装置は、（ａ）前記記録媒体から前記アクセス許可するサーバを示す識別子を読み出し、（ｂ）読み出された前記識別子を記憶手段で記憶し、（ｃ）前記コンテンツデータの再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と前記記憶手段で記憶された識別子とが一致するか否かを検証し、（ｄ）前記記憶手段で記憶された識別子に対応するサーバの正当性を検証し、（ｅ）前記記憶手段で記憶された識別子に対応するサーバで、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行い、（ｆ）前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致し、且つ前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記記憶手段で記憶された識別子に対応するサーバへ接続することにより、改竄されたコンテンツデータを記憶した記録媒体の実行・再生を回避し、記録媒体に記憶されたコンテンツデータやプログラムの再生・実行中に接続するサーバを限定することができる。
【発明の効果】
【００１１】
改竄されたコンテンツデータを記憶した記録媒体の実行・再生を回避し、記録媒体に記憶されたコンテンツデータやプログラムの再生・実行中に接続するサーバを限定することができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施形態について図面を参照して説明する。
【００１３】
図１は本発明の一実施形態に係る、記録媒体に記録されたコンテンツデータを再生するコンテンツ再生装置の構成例を示したものである。ここでは、記録媒体が、光ディスクなどのディスクの場合を例にとり、ディスクに記録されたコンテンツデータを再生するコンテンツ再生装置について説明する。
【００１４】
ディスクには、映像・音声データや、例えば、ＸＭＬ（Extensible Markup Language）などの言語を用いて一連の処理手順を記述した実行可能なプログラム（スクリプト）などを含むコンテンツデータが記録されている。コンテンツ再生装置は、上記コンテンツデータの記録されたディスクが挿入されて、当該ディスクに記録された映像・音声データの再生機能、プログラムの実行機能、及びインターネットなどの所定のネットワークへの接続機能を有する。ディスクに記録されているプログラムには、接続先のサーバの識別子（例えば、ドメイン名）と、当該サーバへ当該コンテンツ再生装置を接続する処理を含むプログラムも含まれている。ディスクに記憶されているプログラムにより、映像・音声データの再生する際に用いるデータやプログラムなどを当該サーバ（当該プログラムに含まれている識別子に対応するサーバで、当該ディスクが正当なものであるならば、このサーバは、ディスクの特定領域に記憶されている識別子に対応するサーバである）からダウンロードするようになっている。
【００１５】
本実施形態において、コンテンツデータを記録媒体（例えばディスク）に記録して販売・供給する事業者（distributor）から提供される正当なディスクに記録されているコンテンツデータには、その種類毎（コンテンツのタイトル毎）に、ネットワーク上に１つのサーバが設けられている。すなわち、正当なディスクに記録されているコンテンツデータの種類とサーバとは１対１に対応付けられている。ディスクに記録されているコンテンツデータに対応するサーバの識別子（例えば、ここではドメイン名）は、当該ディスクの予め定められた特定領域に記録されている。
【００１６】
また、コンテンツデータの種別に対応するサーバは１つの場合もあれば、複数の場合もある。後者の場合には、ディスクの特定領域には複数のサーバの識別子が記録されている。
【００１７】
ディスク上のコンテンツデータ（プログラムを含む）が改竄されてなく、しかも、当該ディスクの特定領域に記憶されているサーバが正当なものである場合には、正当な（改竄されていない）ディスク上の特定領域に記憶されているサーバの識別子は、当該ディスク上のコンテンツデータに対応する予め定められたサーバであり、当該ディスク上のプログラムに含まれる接続先のサーバの識別子は、当該ディスクの特定領域に記憶されている識別子（複数の識別子が記憶されている場合には、そのいずれか１つ）に等しい。
【００１８】
＜構成＞
図１に示すように、コンテンツ再生装置は、ディスク制御部１、ネットワークアクセス制御部２、再生・実行制御部３通信部４ストレージ制御部５を含む。
【００１９】
ディスク制御部１は、ディスクが挿入されたことを検出し、ディスクに記録された情報を読み出す。再生・実行制御部３は、ディスク制御部１で読み出された映像・音声データやプログラムを再生・実行する。通信部４は、ネットワークを介してサーバと通信を行うためのものである。
【００２０】
ネットワークアクセス制御部２は、再生・実行制御部３で現在再生されているディスク（当該ディスクに記録されているコンテンツデータ）に対応するサーバ１０１へアクセスするための制御を行うとともに、サーバ認証（後述）やディスク認証（後述）を行う。ネットワークアクセス制御部２は、接続先管理部２１、接続先検証部２２、サーバ認証部２３、ディスク認証部２４を含む。
【００２１】
ストレージ制御部５は、コンテンツ再生装置に挿入されているディスクやネットワーク（サーバ１０１）から取得したデータ（映像・音声データやプログラムなどを含む）を、所定の記憶装置６に記憶するための制御を行う。
【００２２】
以下、図１のコンテンツ再生装置の処理動作について説明する。
【００２３】
＜サーバ認証及びディスク認証＞
本実施形態では、正当なディスクに記録されているコンテンツデータの種類とサーバとは１対１に対応付けられている。ディスクに記録されているコンテンツデータに対応するサーバのドメイン名は、当該ディスクの予め定められた特定領域に記録されている。
【００２４】
コンテンツ再生装置がディスクを再生しているときにアクセスできるサーバを、当該ディスクの特定領域に記憶されているドメイン名に対応するサーバのみに限定するために、コンテンツ再生装置はサーバへアクセスする前に、当該サーバが、ディスク上の特定領域に記憶されているドメイン名に対応する正当なサーバであるか否かを検証するために、サーバ認証を行う。
【００２５】
また、ディスクに記録されているコンテンツデータ（特にコンテンツデータに含まれるプログラム）が改竄されている場合に、コンテンツ再生装置が改竄されているプログラムを実行して、不正なサーバへアクセスすることを防止するために、コンテンツ再生装置は、上記サーバ認証を行った後、ディスクの正当性を検証するためのディスク認証を行う。
【００２６】
上記サーバ認証及びディスク認証は、コンテンツ再生装置にディスクが挿入されたとき、あるいは、コンテンツ再生装置にディスクが挿入された後、（例えば、当該ディスクに記録されているプログラムを実行することにより）サーバ（ネットワーク）へのアクセス要求が（最初）に発生したときに行う。
【００２７】
（１）コンテンツ再生装置にディスクが挿入されたときに、サーバ認証及びディスク認証を行う場合について、図２〜図４に示すフローチャートを参照して説明する。
【００２８】
（１−１）サーバ認証
図２に示すように、コンテンツ再生装置１００にディスクが挿入されると（ステップＳ１）、ディスク検出部１１が、ディスクの挿入を検出する（ステップＳ２）。これを受けて、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。読み出されたドメイン名はネットワークアクセス制御部２の接続先管理部２１に通知される。接続先管理部２１は、通知されたドメイン名を接続先管理部２１内のメモリに記憶されている図１８に示すような接続先管理テーブルに記録する（ステップＳ４）。なお、当該ディスク上に特定領域内に、ドメイン名が空であることを示すデータ（例えば「０」）が記憶されている場合には、サーバ認証を行わない、従って、以後、当該ディスクを再生しているときに、ネットワークへの接続要求が発生しても、ネットワークへのアクセスは行わない。
【００２９】
接続先管理部２１は、当該ディスクがコンテンツ再生装置１００に挿入されている間だけ、ドメイン名を接続先管理テーブルに記憶しておく。このため、ディスク検出部１１が当該ディスクの取り出しを検出したら、接続先管理部２１は、図１８に示した接続先管理テーブルから、ステップＳ４で記憶したドメイン名を削除する。
【００３０】
さて、ステップＳ４で、当該ディスクの特定領域から読み出されたドメイン名が、接続先管理テーブルに記憶されると、サーバ認証部２３が、当該ドメイン名に対応するサーバの認証処理を開始する。この場合、まず、通信部４は、当該ドメイン名に対応するＩＰアドレスを所定のＤＮＳ（Domain name system）サーバから取得する（ステップＳ５）。サーバ認証部２３は、この取得されたＩＰアドレスを用いて、ネットワークへアクセスし、当該ドメイン名に対応するサーバの証明書を取得するための認証処理を行う（ステップＳ６）。
【００３１】
ネットワークを介してサーバを認証する方式は、例えば、インターネット上のＷＷＷ（World Wide web）などで広く用いられているＳＳＬ（Secure Socket Layer）／ＴＬＳ(Transport layer security)により行う。ＳＳＬ／ＴＬＳは、公開鍵暗号方式に基づく認証方式であり、クライアントは、ルート認証局と呼ばれる認証機関により認証されたサーバ証明書を受け取り、その内容を確認することでサーバの正当性を保証する方式である。さらに、ＳＳＬ／ＴＬＳは、クライアントとサーバの双方でデータの暗号化を行い通信する処理手順が規定されており、ネットワーク上での傍受によるデータ改竄などを防ぐことができる。
【００３２】
ＳＳＬ／ＴＬＳでは、図３に示すような手順で証明書をやり取りする方式が規定されている。すなわち、まず、クライアント（コンテンツ再生装置１００）から、使用可能な暗号アルゴリズムのリストなどを含む、ＣｌｉｅｎｔＨｅｌｌｏメッセージをサーバ（サーバ１０１）へ送信する（ステップＳ５０１）。次に、サーバは、当該リスト中の暗号アルゴリズムのうち使用したい暗号アルゴリズムを示した情報を含む、ＳｅｒｖｅｒＨｅｌｌｏメッセージをクライアントへ送信する（ステップＳ５０２）。その後、サーバの証明書を含むＣｅｒｔｉｆｉｃａｔｅメッセージをクライアントへ送信し（ステップＳ５０３）、ＳｅｒｖｅｒＨｅｌｌｏＤｏｎｅメッセージを送信することにより、証明書の送信を終了する（ステップＳ５０４）。
【００３３】
クライアントは、サーバから送信された証明書から取得したサーバの公開鍵を使って共通鍵を暗号化し、暗号化された共通鍵を含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージをサーバへ送信する（ステップＳ５０５）。次に、メッセージの改竄を防ぐためにこれまでのメッセージのダイジェストを計算して、当該ダイジェストを含むＦｉｎｉｓｈｅｄメッセージをサーバへ送信する（ステップＳ５０６）。一方、サーバは共通鍵を取得し、クライアントと同様にメッセージのダイジェストを計算してクライアントへ送信する（ステップＳ５０７）。
【００３４】
図３において、クライアントをコンテンツ再生装置１００とすることで、コンテンツ再生装置１００は、ステップＳ５０３で、ディスクの特定領域から読み出されたドメイン名に対応するサーバの証明書（サーバ証明書）を取得する（ステップＳ７）。
【００３５】
接続したサーバ名と、サーバ１０１から取得したサーバ証明書に含まれるサーバ名を照合する（ステップＳ８）。両者が一致し、サーバの認証が成功した場合には、当該サーバ１０１は、コンテンツ再生装置１００に挿入されているディスクの特定領域に記憶されているドメイン名に対応する正当なサーバであると判定される。接続したサーバ名と、サーバ１０１から取得したサーバ証明書に含まれるサーバ名とが一致しない場合には、サーバの認証が失敗したと判定される。
【００３６】
サーバ認証部２３は、接続管理部２１に記憶されている図１８に示した接続先管理テーブルに、サーバの認証が成功したか否かを示すサーバ認証フラグの値を記録する。サーバの認証が成功した場合には（ステップＳ９）、サーバ認証フラグの値を「１」とする（ステップＳ１０）。サーバ認証が失敗した場合には（ステップＳ１０）、サーバ認証フラグの値を「０」とする（ステップＳ１１）。
【００３７】
サーバ認証フラグが「１」の間は、サーバ１０１が正当であることを示すので、サーバの正当性を確認できなくなった場合は、サーバ認証フラグの値を「０」に戻す。例えば、サーバ認証の成功したサーバとの間の通信セッションが切断された場合や、予め定められた一定時間が経過した場合に、サーバ認証部２３は、サーバ認証フラグの値を「１」から「０」に書き換える。
【００３８】
図２のステップＳ６の認証処理は、ＳＳＬ／ＴＬＳの代わりに、公開鍵暗号方式に基づく独自の認証処理であってもよい。この場合の処理手順について説明する。
【００３９】
まず、ディスク制御部１のディスク読み出し部１２が、ディスクに予め記憶されている公開鍵を読み出し、所定のメモリへ記憶する。次に、サーバ認証部２３は、証明書の送信をサーバに要求する。要求を受け取ったサーバは、当該サーバがもつ秘密鍵で証明書を暗号化し、コンテンツ再生装置に送信する。サーバ認証処理部２３は、証明書を受け取ると、上記公開鍵で証明書を復号し、この復号された証明書に含まれるサーバ名と、接続したサーバ名を照合する。両者が一致し、サーバの認証が成功した場合には、当該サーバ１０１は、コンテンツ再生装置１００に挿入されているディスクの特定領域に記憶されているドメイン名に対応する正当なサーバであると判定され、サーバ認証フラグ「１」が記憶される。接続したサーバ名と、復号された証明書に含まれるサーバ名が一致しない場合には、サーバの認証が失敗したと判定され、サーバ認証フラグ「０」が記憶される。
【００４０】
サーバの証明書の内容に、例えば当該サーバのドメイン名が含まれていると、正当なサーバに接続していることを確認できる。
【００４１】
上記のようなサーバ認証が失敗した場合には、以後、コンテンツ再生装置でディスク上のコンテンツを再生している間にネットワークへの接続要求が発生しても、ネットワークへの接続は行われない。
【００４２】
上記のようなサーバ認証が成功することにより、当該サーバが、ディスクの特定領域に記録されていたドメイン名に対応する正当なサーバであることが保証され、コンテンツ再生装置から接続できるサーバを、接続先管理テーブルに記憶されているドメイン名に対応するサーバに限定することができるようになる。
【００４３】
サーバ認証が成功すると、次に、ディスク認証を行う。
【００４４】
（１−２）ディスク認証
ディスク認証では、コンテンツ再生装置に挿入されているディスクに記録されているコンテンツデータが正当なものであるか否かがチェックされる。ディスク認証を行うことにより、改竄されたコンテンツデータ（特に、改竄された不正なプログラム）がディスクに記録されている場合には、当該不正なプログラムを実行することにより上記正当なサーバへアクセスすることを回避することができる。
【００４５】
以下、図４に示すフローチャートを参照してディスク認証処理について説明する。
【００４６】
図２に示したようなサーバ認証が成功すると、ディスク認証部２４は、接続先管理テーブルにドメイン名が記憶されているか否か、サーバ認証が成功したか否かを確認する（ステップＳ２１）。接続先管理テーブルにドメイン名が記憶されていない場合、サーバ認証フラグが「０」である場合には（ステップＳ２１）、以後のディスク認証処理を行わない。従って、ネットワークへのアクセスも行うことはできなくなる（ステップＳ２２）。
【００４７】
接続先管理テーブルにドメイン名が記憶されており、且つ、サーバ認証フラグが「１」であるときには（ステップＳ２１）、通信部４を介して、接続先管理テーブルに記憶されているドメイン名に対応するサーバに対してディスクの認証要求を送信する（ステップＳ２３）。
【００４８】
ディスク認証要求を受信したサーバは、ディスク上のディスクが識別できるデータが記録されている記録領域をランダムに選択する（ステップＳ２４）。ここでは、１つのみならず複数の記録領域が選択されてもよい。そして、コンテンツ再生装置に対し、当該選択された記録領域に記録されているデータのハッシュ値を送信するよう要求する（ステップＳ２５）。このとき、予め定められたアルゴリズムを用いて、暗号化してから送信するよう要求してもよい。
【００４９】
コンテンツ再生装置１００が、この送信要求を受信すると、ディスク認証処理部２４は、サーバにより指定された記録領域のデータをディスク制御部１を介してディスクから読み出し（ステップＳ２６）、読み出されたデータのハッシュ値を計算する（ステップＳ２７）。
【００５０】
サーバから暗号化してから送信するよう、要求されている場合には、このハッシュ値を予め定められたアルゴリズムを用いて暗号化する。求めたハッシュ値はサーバへ送信される（ステップＳ２８）。
【００５１】
サーバは、当該サーバに対応するコンテンツデータの記録されている正当なディスクを備えている。ハッシュ値を受信したサーバは、このディスク上の上記ステップＳ２４で選択された記録領域から、データを読み出し、ハッシュ値を計算する。そして、この計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とを比較し（ステップＳ２９）、両者が不一致である場合（ディスク認証が失敗した場合）には、現在コンテンツ再生装置に挿入されているディスクに記録されているコンテンツデータは改竄されている可能性があると判定される。この場合、サーバは、コンテンツ再生装置１００に対し、アクセス不許可通知を送信する（ステップＳ３１）。
【００５２】
サーバで計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とが一致する場合（ディスク認証が成功した場合）には、現在コンテンツ再生装置に挿入されているディスクに記録されているコンテンツデータは改竄されていないと判定される。この場合、サーバは、コンテンツ再生装置１００に対し、アクセス許可通知を送信する（ステップＳ３３）。
【００５３】
コンテンツ再生装置１００は、サーバからアクセス許可通知／アクセス不許可通知を受信すると、ディスク認証部２４は、受信した通知の内容を基に、接続管理部２１に記憶されている図１８に示した接続先管理テーブルに、ディスク認証が成功したか否かを示すディスク認証フラグの値を記録する。アクセス許可通知を受信し、ディスク認証が成功した場合には、ディスク認証フラグの値を「１」とする（ステップＳ３４）。アクセス不許可通知を受信し、ディスク認証が失敗した場合には、ディスク認証フラグの値を「０」とする（ステップＳ３２）。
【００５４】
上記ディスク認証処理では、サーバが、当該サーバに対応するコンテンツデータの記録されているディスクについて、ディスクが識別できるデータが記録されている記録領域をランダムに選択し、コンテンツ再生装置から送信された、当該選択された記録領域内のデータのハッシュ値を用いて、当該記録領域内のデータが改竄されているか否かを判定している。
【００５５】
このようなディスク上の任意の記録領域内のデータを用いてディスク認証を行う代わりに、改竄されると他に危害を及ぼす可能性のあるプログラムの記録されているディスク上の記録領域内のデータ（プログラム）を用いた、他のディスク認証処理について、図５に示すフローチャートを参照して説明する。なお、図５において、図４と同一部分には同一符号を付し、異なる部分についてのみ説明する。
【００５６】
すなわち、図４のステップＳ２４が、図５ではステップＳ２４ａ及びステップＳ２４ｂに置き換えられ、図４のステップＳ２５が図５ではステップＳ２５ａに置き換えられ、図４のステップＳ２７が、図５ではステップＳ２７ａに置き換えられ、図４のステップＳ２９が、図５ではステップＳ２９ａに置き換えられている。
【００５７】
図５のステップＳ２４ａでは、サーバがディスク認証要求を受信すると、改竄されると他に危害を及ぼす可能性のあるプログラムの記録されているディスク上の記録領域を選択する。この場合、サーバは、当該サーバに対応するコンテンツデータの記録されているディスクについて、プログラム（改竄されると他に危害を及ぼす可能性のあるプログラム）の記録されている記録領域がどこであるかを予め記憶している。そして、プログラムの記録されている記録領域のうちの少なくとも１つを選択する。複数の記録領域を選択してもよい。
【００５８】
次に、ステップＳ２４ｂでは、サーバは、ランダムなデータ系列を生成する。そして、ステップＳ２５ａでは、コンテンツ再生装置１００に対し、この生成されたデータ系列と、ステップＳ２４ａで選択した記録領域に記録されているデータ（プログラムデータ）とから計算されるハッシュ値を送信するよう要求する。このとき、予め定められたアルゴリズムを用いて、暗号化してから送信するよう要求してもよい。
【００５９】
コンテンツ再生装置１００が、この送信要求を受信すると、ディスク認証処理部２４は、サーバにより指定された記録領域のデータをディスク制御部１を介してディスクから読み出す（ステップＳ２６）。ステップＳ２７ａでは、この読み出されたデータとサーバから送られてきたデータ系列とを連結して、読み出されたデータとサーバから送られてきたデータ系列を含むデータ全体のハッシュ値を計算する。サーバから暗号化してから送信するよう、要求されている場合には、このハッシュ値を予め定められたアルゴリズムを用いて暗号化する。求めたハッシュ値はサーバへ送信される（ステップＳ２８）。
【００６０】
サーバは、当該サーバに対応するコンテンツデータの記録されている正当なディスクを備えている。ハッシュ値を受信したサーバは、ステップＳ２９ａにおいて、このディスク上の上記ステップＳ２４ａで選択された記録領域からデータを読み出し、読み出したデータと、ステップＳ２４ｂで生成したデータ系列を連結して、読み出したデータとステップＳ２４ｂで生成したデータ系列を含むデータ全体のハッシュ値を計算する。そして、この計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とを比較する（ステップ２９ａ）。その後、図４と同様で、両者が不一致である場合（ディスク認証が失敗した場合）には、サーバは、コンテンツ再生装置１００に対し、アクセス不許可通知を送信し（ステップＳ３１）、コンテンツ再生装置は、ディスク認証フラグを「０」にする（ステップＳ３２）。サーバで計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とが一致する場合（ディスク認証が成功した場合）には、サーバは、コンテンツ再生装置１００に対し、アクセス許可通知を送信し（ステップＳ３３）、コンテンツ再生装置は、ディスク認証フラグを「１」にする（ステップＳ３４）。
【００６１】
上記ディスク認証は、当該ディスクがコンテンツ再生装置から取り出されるまで有効となる。すなわち、当該ディスクがコンテンツ再生装置から取り出されたら、ディスク認証フラグを「０」に書き変える。
【００６２】
上記説明では、ディスク認証フラグの値によってディスク認証が有効かどうかを判定したが、別の方式として、サーバから指定された有効期間（ディスクの正当性を保証する期間）とセッション識別子を用いる方式を以下に説明する。これは、通信プロトコルとして、例えばＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を用いた場合、Ｃｏｏｋｉｅを使うことにより実現可能である。
【００６３】
図４および図５のステップＳ３３で、サーバはアクセス許可通知とともに、有効期間（例えば「３００秒」と指定する）とセッション識別子（例えばサーバが生成したコンテンツ再生装置を識別するためのランダム文字列）をディスク認証処理部２４へ送信する。ディスク認証処理部２４は、接続管理部２４に記憶されている接続先管理テーブルに、サーバから送られた有効期間とセッション識別子を保存する。以降、図８に示すようにして、ステップＳ５４においてサーバと通信する場合、このセッション識別子をサーバへの通信データに付加することで、サーバは、ディスク認証が行われていることが確認できる。サーバは、セッション識別子が付加されていない通信データがコンテンツ再生装置から送られてきても、それを拒否する。
【００６４】
ディスク認証処理部２４は、保存された有効期間を経過した場合やコンテンツ再生装置の操作（例えば、利用者によりディスクが取り出されたり、再生中のコンテンツが停止された場合）に応じて、保存されている有効期間の値を「０」とし、セッション識別子を削除する。このとき、ディスク認証フラグを「１」から「０」に更新するようにしてもよい。
【００６５】
保存されている有効期間が経過した後や、上記予め定められたユーザ操作により有効期間が「０」になった後は、有効期間が「０」になったことを契機に、あるいは、コンテンツデータの再生・実行中にネットワークへの接続要求が発生したことを契機に、再び、上記ディスク認証を行う。
【００６６】
また、保存したセッション識別子が削除された場合には、図８のステップＳ５４においてサーバと通信することはできないため、再び、ディスク認証を行う。
【００６７】
このように、上記有効期間を用いる場合には、コンテンツデータの再生・実行中に発生した接続要求を受けて、サーバに接続するためには、図８のステップＳ５３において、有効期間が「０」でないことが条件として加わる。また、セッション識別子を用いる場合には、図８のステップＳ５３において、セッション識別子が保存されていることが条件として加わる。
【００６８】
なお、本実施形態では、１つのサーバはある１つのコンテンツに対応するディスク認証処理を行うとして説明したが、１つのサーバで複数のディスク認証処理を行うことも可能である。その場合、例えば、ディスクまたはコンテンツを一意に特定する識別子をディスク上に格納しておき、ディスク認証時にその識別子をディスクから読み込んでサーバへ送信することで、サーバはどのディスクかを特定することができる。
【００６９】
（２）コンテンツ再生装置にディスクを挿入した後、サーバ（ネットワーク）へのアクセス要求が発生したときに、サーバ認証及びディスク認証を行う場合について、図６に示すフローチャートを参照して説明する。なお、図６において、図２と同一部分には同一符号を付し、異なる部分についてのみ説明する。すなわち、図２のステップＳ２が図６ではステップＳ１２に置き換えられている。
【００７０】
図２に示すサーバ認証では、ステップＳ２で、ディスクがコンテンツ再生装置に挿入されたことを契機に、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。
【００７１】
一方、図６に示すサーバ認証では、ステップＳ１２で、ディスクがコンテンツ再生装置に挿入された後、例えば、当該ディスクに記録されているプログラムを実行することにより、サーバ（ネットワーク）へのアクセス要求が（最初）に発生したことを契機に、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。その後の処理動作は、図２のステップＳ４からステップＳ１１までの処理動作と同様である。
【００７２】
図６のサーバ認証処理を行った後に、図４あるいは図５に示したようなディスク認証を行う。
【００７３】
（３）コンテンツ再生装置にディスクを挿入した後、サーバ（ネットワーク）へのアクセス要求が発生したときに、サーバ認証及びディスク認証を行う場合の他の例について、図７に示すフローチャートを参照して説明する。なお、図７において、図２及び図６と同一部分には同一符号を付し、異なる部分についてのみ説明する。すなわち、図７では、図２と同様に、ディスクのコンテンツ再生装置への挿入を検出したことを契機に（ステップＳ２）、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。そして、読み出されたドメイン名は、接続先管理部２１内のメモリに記憶されている図１８に示すような接続先管理テーブルに記録される（ステップＳ４）。ここまでは、図２と同様である。
【００７４】
図７において、図２と異なるのは、サーバ認証部２３のステップＳ５〜ステップＳ１１までの処理は、図７ではステップＳ１２〜ステップＳ１４までの処理を行った後であるという点である。すなわち、ディスク検出部１１で、ディスクがコンテンツ再生装置へのディスクの挿入が検出され、当該ディスクの特定領域から読み出されたドメイン名が接続先管理テーブルに記録される（図７のステップＳ１〜ステップＳ４）。その後、コンテンツ再生装置に挿入されたディスクに記録されているプログラムを実行することにより、サーバ（ネットワーク）への接続要求が（最初）に発生すると、すなわち、接続要求が再生・実行制御部３から出力されると（図７のステップＳ１２）、当該接続要求が、ネットワークアクセス制御部２の接続先検証部２２により検出される。接続先検証部２２は、当該プログラムにより指定されている接続先のドメイン名を取得する（ステップＳ１３）。
【００７５】
ディスクに記録されているプログラムを実行することにより再生・実行制御部３で発生する接続要求には、当該プログラムに含まれる接続先のドメイン名が含まれている。接続先検証部２２は、この接続要求に含まれる接続先のドメイン名を取得する。
【００７６】
次に、接続先検証部２２は、取得したドメイン名と接続先管理テーブルに記録されているドメイン名とを比較し（ステップＳ１４）、両者が一致した場合に、接続管理テーブルに記録されているドメイン名に対応するサーバの認証処理（ステップＳ５〜ステップＳ１１）を開始する。
【００７７】
取得したドメイン名と接続先管理テーブルに記録されているドメイン名とが異なる場合には、ここで処理を中止し、サーバ認証部２３でのサーバ認証処理（ステップＳ５〜ステップＳ１１）を行わない。その結果、コンテンツ再生装置１００は、ネットワークへの接続は行わない。
【００７８】
取得したドメイン名と接続先管理テーブルに記録されているドメイン名とが一致した場合には、図２と同様に、サーバ認証部２３が、接続管理テーブルに記録されているドメイン名に対応するサーバの認証処理（ステップＳ５〜ステップＳ１１）を開始する。すなわち、サーバ認証部２３は、接続管理テーブルに記録されているドメイン名に対応するサーバから証明書を取得し（ステップＳ５〜ステップＳ７）、この取得した証明書と、サーバ認証部２３に予め記憶されている証明書が一致し、サーバの認証が成功した場合には、サーバ認証フラグ「１」を接続管理テーブルに記憶する（ステップＳ８〜ステップＳ１０）。また、取得した証明書と、サーバ認証部２３に予め記憶されている証明書が異なる場合には、サーバ認証フラグ「０」を接続管理テーブルに記憶する（ステップＳ８、ステップＳ９，ステップＳ１１）。
【００７９】
図７のサーバ認証処理を行った後に、図４あるいは図５に示したようなディスク認証を行う。
【００８０】
本実施形態では、（１）コンテンツ再生装置にディスクが挿入されたとき、または、（２）サーバへ（ネットワーク）へのアクセス要求が発生したときに、ディスク認証処理を行う方式を説明した。このとき、コンテンツ再生装置の不具合等で、ディスクの差し替えが検出できない場合、ディスク認証処理後に他のディスクへ差し替えられる危険性がある。
【００８１】
この場合、接続先管理テーブルのドメイン名、サーバ認識フラグおよびディスク認識フラグは消去されないため、差し替えられたディスクに記憶されているプログラムが、接続先管理テーブルに保存されているドメイン名のサーバへアクセスすることが可能となる。
【００８２】
上記危険性を回避するため、前記ディスク認証処理完了後、ネットワークアクセス制御部のディスク認証部２４は、あらかじめ定められた方式に基づくあるタイミング（例えば、一定周期や乱数に基づいた不定期）で、前記ディスク認証処理をくりかえし実行してもよい。
【００８３】
＜接続するサーバを制限するためのアクセス制御＞
図２、図７に示したように、コンテンツ再生装置１００は、ディスクが挿入されると、当該ディスの特定領域に記録されているドメイン名を読み出して、接続先管理テーブルに記録される。図２の場合には、さらに、サーバ認証及びディスク認証を行い、サーバ認証フラグ及びディスク認証フラグに「１」あるいは「０」が記録されている。
【００８４】
次に、コンテンツ再生装置１００が、挿入されたディスク上のコンテンツデータを再生しているときに、ネットワーク接続要求が発生した場合について、図８に示すフローチャートを参照して説明する。
【００８５】
ネットワーク接続要求は、コンテンツ再生装置にディスクが挿入された後、（ａ）当該ディスクに記録されているプログラムを実行することにより、また、後述するように、（ｂ）例えば当該ディスクに記録されているプログラムを実行しているときに、記憶装置６に既に記憶されているネットワーク（サーバ）からダウンロードされたデータやプログラムを再生・実行することにより、発生する。
【００８６】
ネットワーク接続要求は、前述同様、ネットワークアクセス制御部２の接続先検証部２２により検出される（ステップＳ５１）。接続先検証部２２は、ネットワーク接続要求を発したプログラム（ディスクに記録されているプログラムあるいは記憶装置６に記憶されプログラム）により指定されている接続先のドメイン名を取得する（ステップＳ５２）。
【００８７】
なお、図７に示したようなサーバ認証を行う場合には、上記ステップＳ５１及びステップＳ５２で、ディスク挿入後、最初にネットワーク接続要求が検出され（図７のステップＳ１２）、接続先のドメイン名が取得されたときに（図７のステップＳ１３）、サーバ認証を開始し、さらに、ディスク認証を行って、サーバ認証フラグ及びディスク認証フラグに「１」あるいは「０」が記録される。
【００８８】
また、図６に示したようなサーバ認証処理を行う場合には、上記ステップＳ５１及びステップＳ５２で、ディスク挿入後、最初にネットワーク接続要求が検出されたときに（図６のステップＳ１２）、当該ディスの特定領域に記録されているドメイン名を読み出して、接続先管理テーブルに記録する（図６のステップＳ３〜ステップＳ４）。その後、サーバ認証及びディスク認証を行って、サーバ認証フラグ及びディスク認証フラグに「１」あるいは「０」が記録される。
【００８９】
従って、図８のステップＳ５１及び５２で、ネットワーク接続要求が検知され、接続先のドメイン名を取得した場合、図２、図６，図８のいずれの場合においても、接続先管理テーブルにはドメイン名が記録され、サーバ認証及びディスク認証の結果を示すサーバ認証フラグ及びディスク認証フラグに「１」あるいは「０」が記録されている。
【００９０】
接続先検証部２２は、（第１の条件）サーバ認証フラグの値が「１」であること、（第２の条件）ディスク認証フラグの値が「１」であること、（第３の条件）ステップＳ５２で、ネットワーク接続要求元から取得したドメイン名と、接続管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、の３つの条件を全て満足する場合に限り、接続管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ５３）。上記第１乃至第３の条件のうちのいずれか１つでも満足しない場合には、ネットワークへの接続を許可しない（ステップＳ５３、ステップＳ５５）。
【００９１】
接続先検証部２２で、ネットワークへの接続が許可された場合には、通信部４は、接続管理テーブルに記録されているドメイン名に対応するサーバへ接続し、ディスク上のコンテンツデータの再生・実行の際に用いるデータやプログラムなどを当該サーバから受信する（ステップＳ５４）。その結果、コンテンツ再生装置１００の再生・実行制御部３は、当該サーバと通信を行いながら（当該サーバからダウンロードされるデータやプログラムを用いて）、当該ディスク上のコンテンツデータの再生・実行を行う。
【００９２】
以上説明したように、コンテンツ再生装置では、サーバ認証やディスク認証、また、図７に示したようなアクセス制御を行って、ネットワーク接続要求発生時に接続先のサーバを、コンテンツ再生装置に挿入されたディスクの特定領域に記録されたドメイン名に対応するサーバのみに制限することで、コンテンツ再生装置がＤＤｏＳ攻撃などの踏み台となることを防いでいる。
【００９３】
なお、本実施形態では、ディスクとサーバは１対１に対応し、ディスク上の特定領域に記憶されているサーバのドメイン名は１つであるとしたが、ディスク上の特定領域に複数のサーバのドメイン名からなるドメイン名リストが記憶されている場合には、上述の特定領域にドメイン名が１つ記憶されている場合と同様に、ディスク読み出し部１２が特定領域から当該ドメイン名リストを読み込んで接続先管理部２１の接続先管理テーブルに保持する。この場合、ドメイン名リストに記述されている各サーバの識別子に関して、上述のサーバ認証処理とディスク認証処理および前記アクセス制御処理を行う。
【００９４】
例えば、ディスク挿入時や、ネットワークへの接続要求が発生したときなどに、ディスク読み出し部１２がディスクの特定領域から当該ドメイン名リストを読み込んで、接続先管理テーブルに記憶しておく（ステップＳ４）。
【００９５】
上記サーバ認証（ステップＳ５〜ステップＳ１１）は、読み出した直後に、ドメイン名リスト上の各ドメイン名について行うようにしてもよい。また、コンテンツ再生中にプログラムを実行することにより、ネットワークへの接続要求が発生したときに、当該プログラムに含まれる接続先のドメイン名が、上記ドメイン名リスト上に含まれている場合に、当該ドメイン名に対応するサーバについて、上記サーバ認証を行うようにしてもよい。
【００９６】
コンテンツ再生中にプログラムを実行することにより、ネットワークへの接続要求が発生したときに、当該プログラムに含まれる接続先のドメイン名が、上記ドメイン名リスト上に含まれている場合、当該ドメイン名に対応するサーバのサーバ認証フラグが「１」のとき、当該ドメイン名に対応するサーバへディスク認証を要求し、ディスク認証を行う（ステップＳ２３〜ステップＳ３４）。
【００９７】
＜ストレージ制御部とサーバによるストレージ制御＞
本実施形態にかかるコンテンツ再生装置では、ディスクから読み出されたデータや、サーバからダウンロードされた映像・音声データやプログラムなどを、記憶装置６に記憶しておき、次回必要なときに利用する。記憶装置６に記憶されたデータは、誰からでもアクセスできるので、保存した個人情報などの漏えいや、改竄されたプログラムの実行により、コンテンツ再生装置１００などが動作不良となるなどの問題が発生する可能性がある。これら問題を防ぐため、ストレージ制御部５は、記憶装置６にデータを記憶する際には、記憶するデータを秘匿したり、記憶装置６に記憶されているデータを利用する際には、改竄されているか否かを検知して、改竄されたデータをコンテンツ再生装置１００で利用しないよう制御する。ストレージ制御部５でのこのような制御を、ここでは、ストレージ制御と呼ぶ。
【００９８】
コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、データ書き込み要求が発生した場合について、図９に示すフローチャートを参照して説明する。データ書き込み要求は、（ａ）当該ディスクに記録されているプログラムを実行することにより、（ｂ）例えば当該ディスクに記録されているプログラムを実行しているときに、記憶装置６に既に記憶されているネットワーク（サーバ）からダウンロードされたデータやプログラムを再生・実行することにより、（ｃ）ユーザからの指示により発生する。
【００９９】
また、データ書き込み要求により記憶装置６に記憶されるデータは、現在再生中のディスク上のデータ（プログラムを含む）や、図８に示したようにして接続されたサーバからダウンロードされたデータ（プログラムを含む）などである。
【０１００】
図９において、データ書き込み要求が発生し（ステップＳ６１）、ストレージ制御部５がデータ書き込み要求を検知すると、ストレージ制御部５は、書き込むデータのハッシュ値を計算する（ステップＳ６２）。ハッシュ値は、例えば、ＭＤ５やＳＨＡ−１などを用いて計算する。
【０１０１】
次に、得られたハッシュ値をサーバ（接続先管理テーブルに登録されているドメイン名に対応するサーバ）へ送信するために、接続先検証部２２は、（第１の条件）サーバ認証フラグの値が「１」であること、（第２の条件）ディスク認証フラグの値が「１」であること、の２つの条件を統べた満足しているかをチェックする。特に、データ書き込み要求が、プログラムを実行することにより発生している場合に、当該プログラムにより接続先が指定されているときには、上記第１及び第２の条件の他にさらに、（第３の条件）データ書き込み要求元のプログラムにより指定されている接続先（例えば、ドメイン名）を取得して、その取得したドメイン名と、接続管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、という第３の条件を含む３つの条件を全て満足する場合に限り、接続管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ６３）。上記いずれか１つの条件を満足しない場合には、ネットワークへの接続は行わない。従って、記憶装置６には、データが書き込まれない（ステップＳ６４）。
【０１０２】
接続先検証部２２でネットワークへの接続が許可された場合には、ステップＳ６５へ進み、通信部４により、コンテンツ再生装置１００は、接続先テーブルに登録されているドメイン名に対応するサーバに接続し、ストレージ制御部５は、書き込むデータのハッシュ値を通信部４を介して当該サーバへ送信する。
【０１０３】
サーバは、上記ハッシュ値を受信すると（ステップＳ６６）、サーバに予め記憶されている秘密鍵を用いて、受信したハッシュ値を暗号化し（ステップＳ６７）、暗号化されたハッシュ値を証明書として、コンテンツ再生装置１００へ返信する（ステップＳ６８）。
【０１０４】
コンテンツ再生装置１００は、サーバから送信された上記証明書を受信すると（ステップＳ６９）、ストレージ制御部５は、書き込むべきデータのファイル名（データファイル名）、受信した証明書データのファイル名（証明書ファイル名）と、暗号化を行ったサーバ（この場合、接続先管理テーブルに登録されているドメイン名に対応するサーバ）の識別子（例えば、ここでは、当該サーバのドメイン名）とを１組とするレコードを記憶装置６に設けられた管理テーブルに記録する（ステップＳ７０）。さらに、記憶装置６に書き込むべきデータ（データファイル）、受信した証明書（証明書ファイル）を記憶装置６に記憶する（ステップＳ７１）。
【０１０５】
次に、コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、図９に示したようにして、記憶装置６に記憶されたデータに対し、データ読み出し要求が発生した場合について、図１０に示すフローチャートを参照して説明する。データ読み出し要求は、（ａ）当該ディスクに記録されているプログラムを実行することにより、（ｂ）例えば当該ディスクに記録されているプログラムを実行しているときに、記憶装置６に既に記憶されているネットワーク（サーバ）からダウンロードされたデータやプログラムを再生・実行することにより、（ｃ）ユーザからの指示により発生する。
【０１０６】
図１０において、データ読み出し要求が発生し（ステップＳ７５）、ストレージ制御部５がデータ読み出し要求を検知すると、ストレージ制御部５は、管理テーブルを参照して、読み出すべきデータファイル名に対応する証明書ファイル名及びサーバのドメイン名を取得する（ステップＳ７６）。さらに、記憶装置６から、当該データファイル名のデータファイルと、当該証明書ファイル名に対応する証明書ファイルを読み出す（ステップＳ７７）。そして、ストレージ制御部５は、読み出したデータファイル内のデータのハッシュ値を計算する（ステップＳ７８）。
【０１０７】
次に、得られたハッシュ値及び証明書ファイル内の証明書データをサーバ（接続先管理テーブルに登録されているドメイン名に対応するサーバ）へ送信するために、接続先検証部２２は、（第１の条件）サーバ認証フラグの値が「１」であること、（第２の条件）ディスク認証フラグの値が「１」であること、（第３の条件）ステップＳ７６で取得したドメイン名と、接続管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、という３つの条件を全て満足する場合に限り、接続管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ７９）。上記いずれか１つの条件を満足しない場合には、ネットワークへの接続は行わない。従って、記憶装置６からは、データが読み出されない（ステップＳ８０）。
【０１０８】
接続先検証部２２でネットワークへの接続が許可された場合には、ステップＳ８１へ進み、通信部４により、コンテンツ再生装置１００は、接続先テーブルに登録されているドメイン名に対応するサーバに接続し、ストレージ制御部５は、読み出したデータのハッシュ値及び証明書を通信部４を介して当該サーバへ送信する（ステップＳ８１）。
【０１０９】
サーバは、上記ハッシュ値及び証明書を受信すると（ステップＳ８２）、サーバに予め記憶されている秘密鍵を用いて、受信したハッシュ値を図９のステップＳ６７で暗号化を行ったときと同じ暗号方式を用いて暗号化し（ステップＳ８３）、暗号化されたハッシュ値とコンテンツ再生装置から送信されてきた証明書を照合する（ステップＳ８４）。暗号化されたハッシュ値と受信した上記証明書が一致する場合には、照合結果として「ＯＫ」をコンテンツ再生装置へ送信し、両者が異なる場合には、照合結果として「ＮＧ」コンテンツ再生装置へ送信する（ステップＳ８５）。
【０１１０】
コンテンツ再生装置１００で照合結果を受信すると（ステップＳ８６）、ストレージ制御部５は、照合結果が「ＯＫ」の場合は（ステップＳ８７）、記憶装置６から読み出されたデータファイル内のデータを再生・実行制御部３へ出力する（ステップＳ８８）。ストレージ制御部５は、照合結果が「ＮＧ」の場合は（ステップＳ８７）、記憶装置６から読み出されたデータファイル内のデータを再生・実行制御部３へ出力する代わりに廃棄して、「読み出し不可」を示すメッセージを再生・実行制御部３へ出力する（ステップＳ８９）。
【０１１１】
ステップＳ８４で、暗号化されたハッシュ値と受信した上記証明書が異なる場合、すなわち、上記ストレージ制御による認証が失敗した場合には、ステップＳ７７で記憶装置６から読み出されたデータファイル内のデータは、改竄されている可能性があるということである。ストレージ制御部５は、このような改竄されている可能性のある記憶装置６に記憶されているデータには、アクセスしないようにすることで（ステップＳ８９）、コンテンツ再生装置１００のセキュリティを高めることができる。
【０１１２】
図９及び図１０に示したストレージ制御は、記憶装置６に記憶されたデータを読み出す際には、当該データの証明書を用いて認証を行う場合を示している。
【０１１３】
次に、記憶装置６に記憶するデータを（改竄されないように）秘匿化する場合のストレージ制御について、図１１及び図１２に示すフローチャートを参照して説明する。
【０１１４】
まず、コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、データ書き込み要求が発生した場合について、図１１に示すフローチャートを参照して説明する。
【０１１５】
図１１において、データ書き込み要求が発生すると（ステップＳ１０１）、接続先検証部２２は、（第１の条件）サーバ認証フラグの値が「１」であること、（第２の条件）ディスク認証フラグの値が「１」であること、の２つの条件を統べた満足しているかをチェックする。特に、データ書き込み要求が、プログラムを実行することにより発生している場合に、当該プログラムにより接続先が指定されているときには、上記第１及び第２の条件の他にさらに、（第３の条件）データ書き込み要求元のプログラムにより指定されている接続先（例えば、ドメイン名）を取得して、その取得したドメイン名と、接続管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、という第３の条件を含む３つの条件を全て満足する場合に限り、接続管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ１０２）。上記いずれか１つの条件を満足しない場合には、ネットワークへの接続は行わない。従って、記憶装置６には、データが書き込まれない（ステップＳ１０３）。
【０１１６】
接続先検証部２２でネットワークへの接続が許可された場合には、ステップＳ１０４へ進み、通信部４により、コンテンツ再生装置１００は、接続先テーブルに登録されているドメイン名に対応するサーバに接続し、ストレージ制御部５は、書き込むべきデータを通信部４を介して当該サーバへ送信する（ステップＳ１０４）。
【０１１７】
データを受信したサーバでは（ステップＳ１０５）、サーバに予め記憶されている秘密鍵を用いて、受信したデータを暗号化し（ステップＳ１０６）、暗号化されたデータを、コンテンツ再生装置１００へ返信する（ステップＳ１０７）。
【０１１８】
コンテンツ再生装置１００は、サーバから送信された暗号化されたデータを受信すると（ステップＳ１０８）、ストレージ制御部５は、暗号化されたデータのファイル名（データファイル名）と、暗号化を行ったサーバ（この場合、接続先管理テーブルに登録されているドメイン名に対応するサーバ）の識別子（例えば、ここでは、当該サーバのドメイン名）とを１組とするレコードをストレージ制御部５内のメモリに設けられた管理テーブルに記録する（ステップＳ１０９）。さらに、記憶装置６に暗号化されたデータ（データファイル）、を記憶装置６に記憶する（ステップＳ１１０）。以上により秘匿化されたデータが記憶装置６に記憶された。
【０１１９】
次に、コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、図１１に示したようにして、記憶装置６に記憶された秘匿化されたデータに対し、データ読み出し要求が発生した場合について、図１２に示すフローチャートを参照して説明する。データ読み出し要求は、（ａ）当該ディスクに記録されているプログラムを実行することにより、（ｂ）例えば当該ディスクに記録されているプログラムを実行しているときに、記憶装置６に既に記憶されているネットワーク（サーバ）からダウンロードされたデータやプログラムを再生・実行することにより、（ｃ）ユーザからの指示により発生する。
【０１２０】
図１２において、データ読み出し要求が発生すると（ステップＳ１２１）、ストレージ制御部５は、管理テーブルを参照して、読み出すべきデータファイル名に対応するサーバのドメイン名を取得する（ステップＳ１２２）。さらに、記憶装置６から、当該データファイル名のデータファイルを読み出す（ステップＳ１２３）。
【０１２１】
読み出されたデータファイル内のデータを復号するために、接続先検証部２２は、（第１の条件）サーバ認証フラグの値が「１」であること、（第２の条件）ディスク認証フラグの値が「１」であること、（第３の条件）ステップＳ１２２で取得したドメイン名と、接続管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、という３つの条件を全て満足する場合に限り、接続管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ１２４）。上記いずれか１つの条件を満足しない場合には、ネットワークへの接続は行わない。従って、記憶装置６からは、データが読み出されない（ステップＳ１２５）。
【０１２２】
接続先検証部２２でネットワークへの接続が許可された場合には、ステップＳ１２６へ進み、通信部４により、コンテンツ再生装置１００は、接続先テーブルに登録されているドメイン名に対応するサーバに接続する。ストレージ制御部５は、読み出したデータファイル内の暗号化されたデータを通信部４を介して当該サーバへ送信する（ステップＳ１２６）。
【０１２３】
サーバは、暗号化されたデータを受信すると（ステップＳ１２７）、サーバに予め記憶されている秘密鍵と、図１１のステップＳ１０６で暗号化を行ったときと同じ暗号方式を用いて復号する（ステップＳ１２８）。復号に成功した場合には（ステップＳ１２９）、復号結果「ＯＫ」とともに、復号されたデータをコンテンツ再生装置へ送信し（ステップＳ１３０）、復号に失敗した場合には（ステップＳ１２９）、照合結果「ＮＧ」をコンテンツ再生装置へ送信する（ステップＳ１３１）。
【０１２４】
コンテンツ再生装置１００で復号結果を受信すると（ステップＳ１３２）、ストレージ制御部５は、復号結果が「ＯＫ」の場合は（ステップＳ１３３）、復号されたデータを再生・実行制御部３へ出力する（ステップＳ１３４）。ストレージ制御部５は、復号結果が「ＮＧ」の場合は（ステップＳ１３３）、記憶装置６から読み出されたデータファイル内のデータを廃棄して、「読み出し不可」を示すメッセージを再生・実行制御部３へ出力する（ステップＳ１３５）。
【０１２５】
上記ストレージ制御は、サーバ（ネットワーク）への接続が行われない場合、データの書き込みおよび読み込みはできない。以下、サーバ（ネットワーク）への接続が行われない場合に、データの書き込みおよび読み込みを行う処理方式について説明する。
【０１２６】
まず、書き込み処理について説明する。図９のステップＳ６４および図１１のステップＳ１０３において、ネットワークへの接続不可となった場合、ストレージ制御部５にあらかじめ保存されている認証確認フラグを読み込む。認証確認フラグには、ネットワークへの接続不可となった場合に、読み書きをするかどうかを示す値（例えば、読み書きを許可する場合は「１」、許可しない場合は「０」）が格納されている。ストレージ制御部５は、認証確認フラグの値が「１」の場合、証明書生成や暗号化なしで（すなわち、管理テーブルの証明書ファイル名やサーバのドメイン名を空にして）データを記憶装置６へ書き込む。「０」の場合は書き込みを行わない。
【０１２７】
次に読み出し処理についても書き込み処理と同様に、図１０のステップＳ８０および図１２のステップＳ１２５において、ネットワークへの接続不可となった場合、ストレージ制御部５にあらかじめ保存されている認証確認フラグを読み込む。ストレージ制御部５は、認証確認フラグの値が「１」の場合、証明書確認や復号化なしでデータを記憶装置６から読み出し、再生・実行制御手段３へ出力する。「０」の場合は読み出しを行わない。
【０１２８】
上記説明では、認証確認フラグは、書き込みおよび読み出し処理の両方に共通して用いる方式としたが、書き込み用と読み出し用にそれぞれ別の認証確認フラグを用意してもよい。
【０１２９】
また、書き込み処理において、書き込み要求を検出したとき、ストレージ制御部５にあらかじめ保存されている認証確認フラグを読み込み、当該認証確認フラグが証明書の作成や暗号化を行うことなく読み書きを許可する旨の「１」の場合には、ストレージ制御部５は、（ネットワークへの接続可・不可に関わらず）、証明書生成や暗号化なしで（すなわち、管理テーブルの証明書ファイル名やサーバのドメイン名を空にして）データを記憶装置６へ書き込む。認証確認フラグが「０」の場合は、前述のように、証明書の作成や暗号化を行ってから書き込みを行う。ここで、サーバへの接続ができなかったときには（図９のステップＳ６４，図１１のステップＳ１０３）、そのようなデータの書き込みは行われない。
【０１３０】
さらに読み出し処理において、読み出し要求を検知したとき、ストレージ制御部５にあらかじめ保存されている認証確認フラグを読み込み、当該認証確認フラグが証明書の検証や復号化を行うことなく読み出しを許可する旨の「１」の場合には、ストレージ制御部５は、（ネットワークへの接続可・不可に関わらず）、証明書の検証や復号なしで記憶装置６から読み出したデータを、再生・実行制御手段３へ出力する。認証確認フラグが「０」の場合は、前述のように、記憶装置６から読み出したデータに対し、証明書の検証や復号を行ってから、再生・実行制御手段３へ出力する。
【０１３１】
上記説明では、認証確認フラグは、書き込みおよび読み出し処理の両方に共通して用いる方式としたが、書き込み用と読み出し用にそれぞれ別の認証確認フラグを用意してもよい。
【０１３２】
＜ストレージ制御部とコンテンツ保護部によるストレージ制御＞
上記ストレージ制御は、ストレージ制御部５とサーバとの間で行うものである。このようなストレージ制御は、コンテンツ再生装置１００内部で行うことも可能である。
【０１３３】
例えば、ＡＡＣＳ(Advanced Access Content System)などのコンテンツ保護技術により、ディスク上のコンテンツが暗号化されており、暗号化に用いた鍵がディスク上に隠蔽されていて、コンテンツ再生装置１００が、その鍵を用いてコンテンツの再生を行う場合には、コンテンツ再生装置１００は、図１３に示すように、ディスク上に隠蔽されている鍵を用いて暗号化・復号を行うコンテンツ保護部７を有する。
【０１３４】
図１３に示すコンテンツ再生装置では、上記コンテンツ保護部７を用いて、このコンテンツ保護部７とストレージ制御部６により、上記ストレージ制御を行う。
【０１３５】
まず、記憶装置６に記憶されたデータを読み出す際に認証を行う（図９及び図１０に対応する）ストレージ制御について、図１４及び図１５に示すフローチャートを参照して説明する。
【０１３６】
コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、データ書き込み要求が発生した場合について、図１４に示すフローチャートを参照して説明する。なお、図１４において、図９と同一部分には同一符号を付し、異なる部分について説明する。
【０１３７】
図１４では、ネットワークへアクセスする必要がないため、図９のステップＳ６３、ステップＳ６４は省略されている。すなわち、図１４において、データ書き込み要求が発生し（ステップＳ６１）、ストレージ制御部５が、書き込むデータのハッシュ値を計算すると（ステップＳ６２）、当該ハッシュ値をコンテンツ保護部７へ出力する（ステップＳ６５）。
【０１３８】
コンテンツ保護部７に、当該ハッシュ値が入力されると（ステップＳ６６）、現在再生中のディスクから取得した鍵と、任意の暗号化方式を用いて、当該ハッシュ値を暗号化し（ステップＳ６７）、暗号化されたハッシュ値を証明書として、ストレージ制御部５へ出力する（ステップＳ６８）。
【０１３９】
ストレージ制御部５に、上記証明書が入力されると（ステップＳ６９）、ストレージ制御部５は、書き込むべきデータのファイル名（データファイル名）、受信した証明書データのファイル名（証明書ファイル名）と、暗号化を行ったコンテンツ保護部７の識別子とを１組とするレコードをストレージ制御部５内のメモリに設けられた管理テーブルに記録する（ステップＳ７０）。さらに、記憶装置６に書き込むべきデータ（データファイル）、受信した証明書（証明書ファイル）を記憶装置６に記憶する（ステップＳ７１）。
【０１４０】
ここで、管理テーブルに記録されるレコードは、図９の場合と同様の形式とし、証明書作成のための暗号化を行った主体がサーバか、コンテンツ保護部７かを示す識別子を書き込むことで、コンテンツ再生装置は、図９及び図１０に示すようなストレージ制御と図１４及び図１５のストレージ制御との両方を行える。コンテンツ再生装置が図９と図１４のうち図１４に示すようなストレージ制御のみを行う場合には、コンテンツ保護部７の識別子を管理テーブルに記録する必要はなくなる。
【０１４１】
次に、コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、図１４に示したようにして、記憶装置６に記憶されたデータに対し、データ読み出し要求が発生した場合について、図１５に示すフローチャートを参照して説明する。なお、図１５において、図１０と同一部分には同一符号を付し、異なる部分について説明する。
【０１４２】
図１５では、ネットワークへアクセスする必要がないため、図１０のステップＳ７９、ステップＳ８０は省略されている。すなわち、図１５において、データ読み出し要求が発生し（ステップＳ７５）、ストレージ制御部５が、管理テーブルから、読み出すべきデータファイル名に対応する証明書ファイル名及びコンテンツ保護部７の識別子を取得する（ステップＳ７６）。さらに、ストレージ制御部５は、記憶装置６から、当該データファイル名のデータファイルと、当該証明書ファイル名に対応する証明書ファイルを読み出して（ステップＳ７７）、読み出したデータファイル内のデータのハッシュ値を計算する（ステップＳ７８）。この場合、管理テーブルから取得されたのが、コンテンツ保護部７の識別子であることから、当該ハッシュ値及び読み出した証明書をコンテンツ保護部７へ出力する（ステップＳ８１）。
【０１４３】
なお、管理テーブルから取得されたのが、サーバの識別子（ドメイン名）である場合には、図１０と同様である。
【０１４４】
コンテンツ保護部７に、上記ハッシュ値及び証明書が入力されると（ステップＳ８２）、現在再生中のディスクから取得した鍵を用いて、入力されたハッシュ値を図１４のステップＳ６７で暗号化を行ったときと同じ暗号方式を用いて暗号化し（ステップＳ８３）、暗号化されたハッシュ値と入力された証明書を照合する（ステップＳ８４）。暗号化されたハッシュ値と入力された上記証明書が一致する場合には、照合結果「ＯＫ」をストレージ制御部５へ出力し、両者が異なる場合には、照合結果「ＮＧ」をストレージ制御部５へ出力する（ステップＳ８５）。
【０１４５】
ストレージ制御部５に照合結果が入力されると（ステップＳ８６）、ストレージ制御部５は、照合結果が「ＯＫ」の場合は（ステップＳ８７）、記憶装置６から読み出されたデータファイル内のデータを再生・実行制御部３へ出力する（ステップＳ８８）。ストレージ制御部５は、照合結果が「ＮＧ」の場合は（ステップＳ８７）、記憶装置６から読み出されたデータファイル内のデータを再生・実行制御部３へ出力する代わりに廃棄して、「読み出し不可」を示すメッセージを再生・実行制御部３へ出力する（ステップＳ８９）。
【０１４６】
次に、記憶装置６にデータを記憶する際に、当該データを暗号化して記憶する（図１１及び図１２に対応する）ストレージ制御について、図１６及び図１７に示すフローチャートを参照して説明する。
【０１４７】
コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、データ書き込み要求が発生した場合について、図１６に示すフローチャートを参照して説明する。なお、図１６において、図１１と同一部分には同一符号を付し、異なる部分について説明する。
【０１４８】
図１６では、ネットワークへアクセスする必要がないため、図１１のステップＳ１０２、ステップＳ１０３は省略されている。すなわち、図１６において、データ書き込み要求が発生すると（ステップＳ１０１）、ストレージ制御部５は、書き込むべきデータをコンテンツ保護部７へ出力する（ステップＳ１０４）。
【０１４９】
コンテンツ保護部７にデータが入力されると（ステップＳ１０５）、現在再生中のディスクから取得された鍵を用いて、入力されたデータを暗号化し（ステップＳ１０６）、暗号化されたデータを、ストレージ制御部５へ出力する（ステップＳ１０７）。
【０１５０】
ストレージ制御部５に暗号化されたデータが入力されると（ステップＳ１０８）、ストレージ制御部５は、暗号化されたデータのファイル名（データファイル名）と、暗号化を行ったコンテンツ保護部７の識別子とを１組とするレコードを記憶装置６に設けられた管理テーブルに記録する（ステップＳ１０９）。さらに、記憶装置６に暗号化されたデータ（データファイル）を記憶装置６に記憶する（ステップＳ１１０）。
【０１５１】
ここで、管理テーブルに記録されるレコードは、図１１の場合と同様の形式とし、暗号化を行った主体がサーバか、コンテンツ保護部７かを示す識別子を書き込むことで、コンテンツ再生装置は、図１１及び図１２に示すようなストレージ制御と図１６及び図１７のストレージ制御との両方を行える。コンテンツ再生装置が図１１と図１６のうち図１６に示すようなストレージ制御のみを行う場合には、コンテンツ保護部７の識別子を管理テーブルに記録する必要はなくなる。
【０１５２】
次に、コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、図１６に示したようにして、記憶装置６に記憶されたデータに対し、データ読み出し要求が発生した場合について、図１７に示すフローチャートを参照して説明する。なお、図１７において、図１２と同一部分には同一符号を付し、異なる部分について説明する。
【０１５３】
図１７では、ネットワークへアクセスする必要がないため、図１２のステップＳ１２４、ステップＳ１２５は省略されている。すなわち、図１７において、データ読み出し要求が発生すると（ステップＳ１２１）、ストレージ制御部５が、管理テーブルから、読み出すべきデータファイル名に対応するコンテンツ保護装置の識別子を取得し（ステップＳ１２２）、記憶装置６から、当該データファイル名のデータファイルを読み出す（ステップＳ１２３）。この場合、管理テーブルから取得されたのが、コンテンツ保護部７の識別子であることから、ストレージ制御部５は、読み出したデータファイル内の暗号化データを、コンテンツ保護部７へ出力する（ステップＳ１２６）。
【０１５４】
コンテンツ保護部７に、暗号化データが入力されると（ステップＳ１２７）、コンテンツ保護部７は、現在再生中のディスクから取得した鍵と、図１６のステップＳ１０６で暗号化を行ったときと同じ暗号方式を用いて復号する（ステップＳ１２８）。復号に成功した場合には（ステップＳ１２９）、復号結果「ＯＫ」とともに、復号されたデータをストレージ制御部５へ出力し（ステップＳ１３０）、復号に失敗した場合には（ステップＳ１２９）、照合結果「ＮＧ」をストレージ制御部５へ出力する（ステップＳ１３１）。
【０１５５】
ストレージ制御部５に復号結果が入力されると（ステップＳ１３２）、ストレージ制御部５は、復号結果が「ＯＫ」の場合は（ステップＳ１３３）、復号されたデータを再生・実行制御部３へ出力する（ステップＳ１３４）。ストレージ制御部５は、復号結果が「ＮＧ」の場合は（ステップＳ１３３）、記憶装置６から読み出されたデータファイル内のデータを廃棄して、「読み出し不可」を示すメッセージを再生・実行制御部３へ出力する（ステップＳ１３５）。
【０１５６】
以上説明した、ストレージ制御部５とサーバによるストレージ制御、ストレージ制御部５とコンテンツ保護部７によるストレージ制御では、記憶装置６に記憶されたデータを読み出す際に当該データの証明書を用いて認証を行う場合と、記憶装置６に記憶するデータを暗号化する場合について説明したが、これらを組み合わせて、ストレージ制御を行うこともできる。
【０１５７】
例えば、記憶装置６に任意のデータを書き込む場合には、ストレージ制御部５は、当該データと、当該データのハッシュ値とをサーバあるいはコンテンツ保護部７に渡す。サーバあるいはコンテンツ保護部７では、受け取ったハッシュ値を暗号化して証明書を生成するとともに、受け取ったデータを暗号化し、生成された証明書と暗号化データをストレージ制御部５へ返す。ストレージ制御部５は、受け取った証明書と暗号化データを記憶装置６へ記憶する。
【０１５８】
記憶装置６からデータを読み出す場合には、ストレージ制御部５は、記憶装置６に記憶されている暗号化データと証明書を読み出し、サーバあるいはコンテンツ保護部７へ渡す。コンテンツ保護部７は、暗号化データを復号した後、ハッシュ値を計算し、さらに、そのハッシュ値を暗号化する。サーバあるいはコンテンツ保護部７は、この暗号化されたハッシュ値と証明書を照合し、両者が一致した場合には、復号されたデータをストレージ制御部５へ返す。ストレージ制御部５は、受け取ったデータを再生・実行制御部３へ出力する。
【０１５９】
なお、以上の説明において、随所にハッシュ値を用いているが、ハッシュ値は、与えられたデータから生成される識別情報であり、生成された識別情報からは原文を推定することができないようになっている。
【０１６０】
また、記憶装置６は、ハードディスク、メモリーカードなどの着脱可能な記録媒体、ネットワーク上の設けられた任意の記憶装置など、特に限定するものではない。
【０１６１】
接続先管理部２１は、ディスク検出部１１でディスクの挿入が検出されたときに、当該ディスクの特定領域からドメイン名を読み出し、接続先管理テーブルに当該ドメイン名を記憶するが、その後、ディスク検出部１１が当該ディスクの取り出しを検出したら、接続先管理部２１は、接続先管理テーブルから、当該ドメイン名を削除する。また、当該ディスクがコンテンツ再生装置１００に挿入されている間に、ネットワーク接続要求が検知されて、接続先管理テーブルに記憶されているドメイン名に対応するサーバへ接続した後、何らかの理由で、当該サーバとの間の通信が切断した場合には、接続先管理テーブルから、ドメイン名を削除する。さらに、接続先管理テーブルに記憶されているサーバ認証フラグ及びディスク認証フラグが「１」であるときには、それらを「０」に書き換えてもよい。
【０１６２】
上記実施形態によれば、コンテンツ再生装置にディスクが挿入されたとき、当該ディスクの予め定められた特定の記憶領域からネットワーク上のサーバを示す識別子（ドメイン名）を読み出して、接続先管理テーブルに記憶し、当該ディスクに記憶されている、映像・音声データ及びプログラムを含むコンテンツデータの再生・実行中にネットワーク上の任意のサーバへの接続要求が検知された場合には、当該任意のサーバの識別子（ドメイン名）と接続先管理テーブルに記憶されたドメイン名とが一致し、且つ接続先管理テーブルに記憶されたドメイン名に対応するサーバの正当性が確認され、且つ上記ディスクの正当性が確認されたとき、接続先管理テーブルに記憶されたドメイン名に対応するサーバへ接続する。このような構成のコンテンツ再生装置によれば、改竄されたコンテンツデータを記録したディスクの実行・再生を回避し、ディスクに記録されたコンテンツデータやプログラムの再生・実行中に接続するサーバを、ディスク上の特定領域に記憶されたドメイン名に対応するサーバに限定することができる。
【０１６３】
ネットワーク上のサーバおよびディスクの正当性を検証するため、ディスク上のコンテンツに関連した映像情報を、インターネットを介して安心して取得、再生することが可能となる。また、接続できるサーバを限定することで、悪意を持って作成された危険なコンテンツが不特定多数のサーバへ接続することができなくなるため、ＤＤｏＳ攻撃の踏み台となることを避けることができる。このため、危険なコンテンツを再生することによる被害を回避するだけでなく、他のサーバへの攻撃の加害者となることも回避できる。
【０１６４】
本発明の実施の形態に記載した本発明の手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フレキシブルディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、半導体メモリなどの記録媒体に格納して頒布することもできる。
【０１６５】
例えば、映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、予め定められた特定の記憶領域に、ネットワーク上のサーバを示す識別子を記憶する記録媒体に記憶されたコンテンツデータを再生・実行する再生・実行手段（ディスク制御部１、再生・実行制御部３）、記憶手段、通信部４を備えたコンピュータに、ネットワークアクセス制御部２、ストレージ制御部６、コンテンツ保護部７の機能を実現させるためのプログラムを、当該コンピュータが実行することにより、図１のコンテンツ再生装置が実現可能である。
【０１６６】
なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【図面の簡単な説明】
【０１６７】
【図１】本発明の実施形態に係るコンテンツ再生装置の構成例を示した図。
【図２】サーバ認証処理動作（ディスク挿入時に行うサーバ認証）を説明するためのフローチャート。
【図３】サーバ認証に用いられる認証手順の一例を示した図。
【図４】ディスク認証処理動作を説明するためのフローチャート。
【図５】他のディスク認証処理動作を説明するためのフローチャート。
【図６】他のサーバ認証処理動作（ネットワーク接続要求が発生したときに行うサーバ認証）を説明するためのフローチャート。
【図７】さらに他のサーバ認証処理動作（ネットワーク接続要求が発生したときに行うサーバ認証）を説明するためのフローチャート。
【図８】ディスク再生時にネットワーク接続要求が発生したときのコンテンツ再生装置の処理動作を説明するためのフローチャート。
【図９】ストレージ制御部とサーバによるストレージ制御処理（データ書き込み要求が発生したときのコンテンツ再生装置とサーバの処理動作）を説明するためのフローチャート。
【図１０】ストレージ制御部とサーバによるストレージ制御処理（データ読み出し要求が発生したときのコンテンツ再生装置とサーバの処理動作）を説明するためのフローチャート。
【図１１】ストレージ制御部とサーバによる他のストレージ制御処理（データ書き込み要求が発生したときのコンテンツ再生装置とサーバの処理動作）を説明するためのフローチャート。
【図１２】ストレージ制御部とサーバによる他のストレージ制御処理（データ読み出し要求が発生したときのコンテンツ再生装置とサーバの処理動作）を説明するためのフローチャート。
【図１３】コンテンツ再生装置の他の構成例を示した図。
【図１４】ストレージ制御部とコンテンツ保護部によるストレージ制御（データ書き込み要求が発生したときのストレージ制御部とコンテンツ保護部の処理動作）を説明するためのフローチャート。
【図１５】ストレージ制御部とコンテンツ保護部によるストレージ制御（データ読み出し要求が発生したときのストレージ制御部とコンテンツ保護部の処理動作）を説明するためのフローチャート。
【図１６】ストレージ制御部とコンテンツ保護部による他のストレージ制御（データ書き込み要求が発生したときのストレージ制御部とコンテンツ保護部の処理動作）を説明するためのフローチャート。
【図１７】ストレージ制御部とコンテンツ保護部による他のストレージ制御（データ読み出し要求が発生したときのストレージ制御部とコンテンツ保護部の処理動作）を説明するためのフローチャート。
【図１８】接続先管理部に記憶されている接続先管理テーブルの一例を示した図。
【符号の説明】
【０１６８】
１…ディスク制御部、２ネットワークアクセス制御部、３…再生・実行制御部、４…通信部、５…ストレージ制御部、６…記憶装置、７…コンテンツ保護部、１１…ディスク検出部、１２…ディスク読み出し部、２１…接続先管理部、２２…接続先検証部、２３…サーバ認証部、２４…ディスク認証部、１００…コンテンツ再生装置、１０１…サーバ。
【技術分野】
【０００１】
本発明は光ディスクなどの記録媒体に記録された映像・音声情報及びプログラムを含むコンテンツデータを再生・実行するコンテンツ再生装置に関し、特にネットワークを介してサーバに接続するコンテンツ再生装置に関する。
【背景技術】
【０００２】
近年では、ＤＶＤやビデオＣＤなど、映像や音声等のデータを記録した光ディスクを再生する光ディスク再生装置が開発されている。これら装置は映画ソフトの鑑賞等に利用され一般に普及している。
【０００３】
ＤＶＤは、情報記録媒体に記録された映像・音声情報を再生するディスクに関する規格であり、ＤＶＤフォーラムにより「ＤＶＤ Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ ｆｏｒ Ｒｅａｄ−Ｏｎｌｙ Ｄｉｓｃ Ｐａｒｔ ３： ＶＩＤＥＯ ＳＰＥＣＩＦＩＣＡＴＩＯＮＳ」として１９９６年に発行された。この規格では、動画圧縮方式としてＭＰＥＧ２方式をサポートし、音声圧縮方式としてＭＰＥＧオーディオ圧縮方式およびＡＣ−３オーディオ圧縮方式をサポートしている。さらに、映画の字幕用などに用いるビットマップデータである副映像データや、早送り再生、早戻し再生等の制御データ（ナビパック）を規定している。
【０００４】
一方、近年のインターネットの普及により、ネットワーク接続機能を有する映像情報装置が開発されている。たとえば、テレビ放送の受信、録画機能をもつ映像情報装置では、ネットワークを介して接続されたサーバから電子番組表のデータを受信し、その内容に基づいて録画する機能などが開発されている。
【０００５】
上記ネットワーク接続機能を有する映像情報装置に関する従来技術として、特許文献１においては、ＤＶＤ ビデオタイトルとインターネットで提供されるＨＴＭＬファイルとを融合させたサービスを行う画像表示装置が開示されている。この画像表示装置では、ナビパックから取り出したＵＲＬに基づいてインターネットに接続し、再生中のシーンに連動してＨＴＭＬコンテンツを表示することが可能となる。
【０００６】
また、特許文献２では、単にＨＴＭＬコンテンツを表示するだけではなく、通信回線を介して接続されたサーバから取得した拡張情報により、表現能力の高い映像を再生するとともに、不特定多数の人がサーバに接続できないようにするため、光ディスク上のデータをサーバへ送ることで認証処理を行うことを特徴とする光ディスク装置が開示されている。
【０００７】
しかしながら、特許文献１においてはネットワークを介してコンテンツを取得することによるセキュリティの問題については検討されておらず、特許文献２においては、サーバに接続できる光ディスク装置を制限するために認証処理を行っているだけであり、接続先のサーバから悪意を持って作成された危険なコンテンツを取得する危険性に関する問題や、悪意を持って作成された危険なコンテンツを再生することで、光ディスク装置がＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃の踏み台となる危険性に関する問題などについては考慮されておらず、セキュリティに関する検討が不十分であった。
【特許文献１】特開平１１−１６１６６３号公報
【特許文献２】特開２００４−７９０５５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
以上説明したように、従来のネットワーク接続機能有する映像情報装置では、サーバへ接続可能な映像情報装置を制限するために、ディスクの認証を行うことでディスクの正当性を保証しているだけである。従って、接続先のサーバから、悪意を持って作成された危険なコンテンツを取得する危険性に関する問題や、悪意を持って作成された危険なコンテンツを再生することで、映像情報装置がＤＤｏＳ攻撃などの踏み台となる危険性に関する問題などについては考慮されておらず、安心してネットワークへ接続できないという問題があった。
【０００９】
そこで、本発明は、上記問題点に鑑み、改竄されたコンテンツデータを記録したディスクの実行・再生を回避し、ディスクに記録されたコンテンツデータやプログラムの再生・実行中に接続するサーバを限定することができるコンテンツ再生装置及び方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行するコンテンツ再生装置は、（ａ）前記記録媒体から前記アクセス許可するサーバを示す識別子を読み出し、（ｂ）読み出された前記識別子を記憶手段で記憶し、（ｃ）前記コンテンツデータの再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と前記記憶手段で記憶された識別子とが一致するか否かを検証し、（ｄ）前記記憶手段で記憶された識別子に対応するサーバの正当性を検証し、（ｅ）前記記憶手段で記憶された識別子に対応するサーバで、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行い、（ｆ）前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致し、且つ前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記記憶手段で記憶された識別子に対応するサーバへ接続することにより、改竄されたコンテンツデータを記憶した記録媒体の実行・再生を回避し、記録媒体に記憶されたコンテンツデータやプログラムの再生・実行中に接続するサーバを限定することができる。
【発明の効果】
【００１１】
改竄されたコンテンツデータを記憶した記録媒体の実行・再生を回避し、記録媒体に記憶されたコンテンツデータやプログラムの再生・実行中に接続するサーバを限定することができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施形態について図面を参照して説明する。
【００１３】
図１は本発明の一実施形態に係る、記録媒体に記録されたコンテンツデータを再生するコンテンツ再生装置の構成例を示したものである。ここでは、記録媒体が、光ディスクなどのディスクの場合を例にとり、ディスクに記録されたコンテンツデータを再生するコンテンツ再生装置について説明する。
【００１４】
ディスクには、映像・音声データや、例えば、ＸＭＬ（Extensible Markup Language）などの言語を用いて一連の処理手順を記述した実行可能なプログラム（スクリプト）などを含むコンテンツデータが記録されている。コンテンツ再生装置は、上記コンテンツデータの記録されたディスクが挿入されて、当該ディスクに記録された映像・音声データの再生機能、プログラムの実行機能、及びインターネットなどの所定のネットワークへの接続機能を有する。ディスクに記録されているプログラムには、接続先のサーバの識別子（例えば、ドメイン名）と、当該サーバへ当該コンテンツ再生装置を接続する処理を含むプログラムも含まれている。ディスクに記憶されているプログラムにより、映像・音声データの再生する際に用いるデータやプログラムなどを当該サーバ（当該プログラムに含まれている識別子に対応するサーバで、当該ディスクが正当なものであるならば、このサーバは、ディスクの特定領域に記憶されている識別子に対応するサーバである）からダウンロードするようになっている。
【００１５】
本実施形態において、コンテンツデータを記録媒体（例えばディスク）に記録して販売・供給する事業者（distributor）から提供される正当なディスクに記録されているコンテンツデータには、その種類毎（コンテンツのタイトル毎）に、ネットワーク上に１つのサーバが設けられている。すなわち、正当なディスクに記録されているコンテンツデータの種類とサーバとは１対１に対応付けられている。ディスクに記録されているコンテンツデータに対応するサーバの識別子（例えば、ここではドメイン名）は、当該ディスクの予め定められた特定領域に記録されている。
【００１６】
また、コンテンツデータの種別に対応するサーバは１つの場合もあれば、複数の場合もある。後者の場合には、ディスクの特定領域には複数のサーバの識別子が記録されている。
【００１７】
ディスク上のコンテンツデータ（プログラムを含む）が改竄されてなく、しかも、当該ディスクの特定領域に記憶されているサーバが正当なものである場合には、正当な（改竄されていない）ディスク上の特定領域に記憶されているサーバの識別子は、当該ディスク上のコンテンツデータに対応する予め定められたサーバであり、当該ディスク上のプログラムに含まれる接続先のサーバの識別子は、当該ディスクの特定領域に記憶されている識別子（複数の識別子が記憶されている場合には、そのいずれか１つ）に等しい。
【００１８】
＜構成＞
図１に示すように、コンテンツ再生装置は、ディスク制御部１、ネットワークアクセス制御部２、再生・実行制御部３通信部４ストレージ制御部５を含む。
【００１９】
ディスク制御部１は、ディスクが挿入されたことを検出し、ディスクに記録された情報を読み出す。再生・実行制御部３は、ディスク制御部１で読み出された映像・音声データやプログラムを再生・実行する。通信部４は、ネットワークを介してサーバと通信を行うためのものである。
【００２０】
ネットワークアクセス制御部２は、再生・実行制御部３で現在再生されているディスク（当該ディスクに記録されているコンテンツデータ）に対応するサーバ１０１へアクセスするための制御を行うとともに、サーバ認証（後述）やディスク認証（後述）を行う。ネットワークアクセス制御部２は、接続先管理部２１、接続先検証部２２、サーバ認証部２３、ディスク認証部２４を含む。
【００２１】
ストレージ制御部５は、コンテンツ再生装置に挿入されているディスクやネットワーク（サーバ１０１）から取得したデータ（映像・音声データやプログラムなどを含む）を、所定の記憶装置６に記憶するための制御を行う。
【００２２】
以下、図１のコンテンツ再生装置の処理動作について説明する。
【００２３】
＜サーバ認証及びディスク認証＞
本実施形態では、正当なディスクに記録されているコンテンツデータの種類とサーバとは１対１に対応付けられている。ディスクに記録されているコンテンツデータに対応するサーバのドメイン名は、当該ディスクの予め定められた特定領域に記録されている。
【００２４】
コンテンツ再生装置がディスクを再生しているときにアクセスできるサーバを、当該ディスクの特定領域に記憶されているドメイン名に対応するサーバのみに限定するために、コンテンツ再生装置はサーバへアクセスする前に、当該サーバが、ディスク上の特定領域に記憶されているドメイン名に対応する正当なサーバであるか否かを検証するために、サーバ認証を行う。
【００２５】
また、ディスクに記録されているコンテンツデータ（特にコンテンツデータに含まれるプログラム）が改竄されている場合に、コンテンツ再生装置が改竄されているプログラムを実行して、不正なサーバへアクセスすることを防止するために、コンテンツ再生装置は、上記サーバ認証を行った後、ディスクの正当性を検証するためのディスク認証を行う。
【００２６】
上記サーバ認証及びディスク認証は、コンテンツ再生装置にディスクが挿入されたとき、あるいは、コンテンツ再生装置にディスクが挿入された後、（例えば、当該ディスクに記録されているプログラムを実行することにより）サーバ（ネットワーク）へのアクセス要求が（最初）に発生したときに行う。
【００２７】
（１）コンテンツ再生装置にディスクが挿入されたときに、サーバ認証及びディスク認証を行う場合について、図２〜図４に示すフローチャートを参照して説明する。
【００２８】
（１−１）サーバ認証
図２に示すように、コンテンツ再生装置１００にディスクが挿入されると（ステップＳ１）、ディスク検出部１１が、ディスクの挿入を検出する（ステップＳ２）。これを受けて、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。読み出されたドメイン名はネットワークアクセス制御部２の接続先管理部２１に通知される。接続先管理部２１は、通知されたドメイン名を接続先管理部２１内のメモリに記憶されている図１８に示すような接続先管理テーブルに記録する（ステップＳ４）。なお、当該ディスク上に特定領域内に、ドメイン名が空であることを示すデータ（例えば「０」）が記憶されている場合には、サーバ認証を行わない、従って、以後、当該ディスクを再生しているときに、ネットワークへの接続要求が発生しても、ネットワークへのアクセスは行わない。
【００２９】
接続先管理部２１は、当該ディスクがコンテンツ再生装置１００に挿入されている間だけ、ドメイン名を接続先管理テーブルに記憶しておく。このため、ディスク検出部１１が当該ディスクの取り出しを検出したら、接続先管理部２１は、図１８に示した接続先管理テーブルから、ステップＳ４で記憶したドメイン名を削除する。
【００３０】
さて、ステップＳ４で、当該ディスクの特定領域から読み出されたドメイン名が、接続先管理テーブルに記憶されると、サーバ認証部２３が、当該ドメイン名に対応するサーバの認証処理を開始する。この場合、まず、通信部４は、当該ドメイン名に対応するＩＰアドレスを所定のＤＮＳ（Domain name system）サーバから取得する（ステップＳ５）。サーバ認証部２３は、この取得されたＩＰアドレスを用いて、ネットワークへアクセスし、当該ドメイン名に対応するサーバの証明書を取得するための認証処理を行う（ステップＳ６）。
【００３１】
ネットワークを介してサーバを認証する方式は、例えば、インターネット上のＷＷＷ（World Wide web）などで広く用いられているＳＳＬ（Secure Socket Layer）／ＴＬＳ(Transport layer security)により行う。ＳＳＬ／ＴＬＳは、公開鍵暗号方式に基づく認証方式であり、クライアントは、ルート認証局と呼ばれる認証機関により認証されたサーバ証明書を受け取り、その内容を確認することでサーバの正当性を保証する方式である。さらに、ＳＳＬ／ＴＬＳは、クライアントとサーバの双方でデータの暗号化を行い通信する処理手順が規定されており、ネットワーク上での傍受によるデータ改竄などを防ぐことができる。
【００３２】
ＳＳＬ／ＴＬＳでは、図３に示すような手順で証明書をやり取りする方式が規定されている。すなわち、まず、クライアント（コンテンツ再生装置１００）から、使用可能な暗号アルゴリズムのリストなどを含む、ＣｌｉｅｎｔＨｅｌｌｏメッセージをサーバ（サーバ１０１）へ送信する（ステップＳ５０１）。次に、サーバは、当該リスト中の暗号アルゴリズムのうち使用したい暗号アルゴリズムを示した情報を含む、ＳｅｒｖｅｒＨｅｌｌｏメッセージをクライアントへ送信する（ステップＳ５０２）。その後、サーバの証明書を含むＣｅｒｔｉｆｉｃａｔｅメッセージをクライアントへ送信し（ステップＳ５０３）、ＳｅｒｖｅｒＨｅｌｌｏＤｏｎｅメッセージを送信することにより、証明書の送信を終了する（ステップＳ５０４）。
【００３３】
クライアントは、サーバから送信された証明書から取得したサーバの公開鍵を使って共通鍵を暗号化し、暗号化された共通鍵を含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージをサーバへ送信する（ステップＳ５０５）。次に、メッセージの改竄を防ぐためにこれまでのメッセージのダイジェストを計算して、当該ダイジェストを含むＦｉｎｉｓｈｅｄメッセージをサーバへ送信する（ステップＳ５０６）。一方、サーバは共通鍵を取得し、クライアントと同様にメッセージのダイジェストを計算してクライアントへ送信する（ステップＳ５０７）。
【００３４】
図３において、クライアントをコンテンツ再生装置１００とすることで、コンテンツ再生装置１００は、ステップＳ５０３で、ディスクの特定領域から読み出されたドメイン名に対応するサーバの証明書（サーバ証明書）を取得する（ステップＳ７）。
【００３５】
接続したサーバ名と、サーバ１０１から取得したサーバ証明書に含まれるサーバ名を照合する（ステップＳ８）。両者が一致し、サーバの認証が成功した場合には、当該サーバ１０１は、コンテンツ再生装置１００に挿入されているディスクの特定領域に記憶されているドメイン名に対応する正当なサーバであると判定される。接続したサーバ名と、サーバ１０１から取得したサーバ証明書に含まれるサーバ名とが一致しない場合には、サーバの認証が失敗したと判定される。
【００３６】
サーバ認証部２３は、接続管理部２１に記憶されている図１８に示した接続先管理テーブルに、サーバの認証が成功したか否かを示すサーバ認証フラグの値を記録する。サーバの認証が成功した場合には（ステップＳ９）、サーバ認証フラグの値を「１」とする（ステップＳ１０）。サーバ認証が失敗した場合には（ステップＳ１０）、サーバ認証フラグの値を「０」とする（ステップＳ１１）。
【００３７】
サーバ認証フラグが「１」の間は、サーバ１０１が正当であることを示すので、サーバの正当性を確認できなくなった場合は、サーバ認証フラグの値を「０」に戻す。例えば、サーバ認証の成功したサーバとの間の通信セッションが切断された場合や、予め定められた一定時間が経過した場合に、サーバ認証部２３は、サーバ認証フラグの値を「１」から「０」に書き換える。
【００３８】
図２のステップＳ６の認証処理は、ＳＳＬ／ＴＬＳの代わりに、公開鍵暗号方式に基づく独自の認証処理であってもよい。この場合の処理手順について説明する。
【００３９】
まず、ディスク制御部１のディスク読み出し部１２が、ディスクに予め記憶されている公開鍵を読み出し、所定のメモリへ記憶する。次に、サーバ認証部２３は、証明書の送信をサーバに要求する。要求を受け取ったサーバは、当該サーバがもつ秘密鍵で証明書を暗号化し、コンテンツ再生装置に送信する。サーバ認証処理部２３は、証明書を受け取ると、上記公開鍵で証明書を復号し、この復号された証明書に含まれるサーバ名と、接続したサーバ名を照合する。両者が一致し、サーバの認証が成功した場合には、当該サーバ１０１は、コンテンツ再生装置１００に挿入されているディスクの特定領域に記憶されているドメイン名に対応する正当なサーバであると判定され、サーバ認証フラグ「１」が記憶される。接続したサーバ名と、復号された証明書に含まれるサーバ名が一致しない場合には、サーバの認証が失敗したと判定され、サーバ認証フラグ「０」が記憶される。
【００４０】
サーバの証明書の内容に、例えば当該サーバのドメイン名が含まれていると、正当なサーバに接続していることを確認できる。
【００４１】
上記のようなサーバ認証が失敗した場合には、以後、コンテンツ再生装置でディスク上のコンテンツを再生している間にネットワークへの接続要求が発生しても、ネットワークへの接続は行われない。
【００４２】
上記のようなサーバ認証が成功することにより、当該サーバが、ディスクの特定領域に記録されていたドメイン名に対応する正当なサーバであることが保証され、コンテンツ再生装置から接続できるサーバを、接続先管理テーブルに記憶されているドメイン名に対応するサーバに限定することができるようになる。
【００４３】
サーバ認証が成功すると、次に、ディスク認証を行う。
【００４４】
（１−２）ディスク認証
ディスク認証では、コンテンツ再生装置に挿入されているディスクに記録されているコンテンツデータが正当なものであるか否かがチェックされる。ディスク認証を行うことにより、改竄されたコンテンツデータ（特に、改竄された不正なプログラム）がディスクに記録されている場合には、当該不正なプログラムを実行することにより上記正当なサーバへアクセスすることを回避することができる。
【００４５】
以下、図４に示すフローチャートを参照してディスク認証処理について説明する。
【００４６】
図２に示したようなサーバ認証が成功すると、ディスク認証部２４は、接続先管理テーブルにドメイン名が記憶されているか否か、サーバ認証が成功したか否かを確認する（ステップＳ２１）。接続先管理テーブルにドメイン名が記憶されていない場合、サーバ認証フラグが「０」である場合には（ステップＳ２１）、以後のディスク認証処理を行わない。従って、ネットワークへのアクセスも行うことはできなくなる（ステップＳ２２）。
【００４７】
接続先管理テーブルにドメイン名が記憶されており、且つ、サーバ認証フラグが「１」であるときには（ステップＳ２１）、通信部４を介して、接続先管理テーブルに記憶されているドメイン名に対応するサーバに対してディスクの認証要求を送信する（ステップＳ２３）。
【００４８】
ディスク認証要求を受信したサーバは、ディスク上のディスクが識別できるデータが記録されている記録領域をランダムに選択する（ステップＳ２４）。ここでは、１つのみならず複数の記録領域が選択されてもよい。そして、コンテンツ再生装置に対し、当該選択された記録領域に記録されているデータのハッシュ値を送信するよう要求する（ステップＳ２５）。このとき、予め定められたアルゴリズムを用いて、暗号化してから送信するよう要求してもよい。
【００４９】
コンテンツ再生装置１００が、この送信要求を受信すると、ディスク認証処理部２４は、サーバにより指定された記録領域のデータをディスク制御部１を介してディスクから読み出し（ステップＳ２６）、読み出されたデータのハッシュ値を計算する（ステップＳ２７）。
【００５０】
サーバから暗号化してから送信するよう、要求されている場合には、このハッシュ値を予め定められたアルゴリズムを用いて暗号化する。求めたハッシュ値はサーバへ送信される（ステップＳ２８）。
【００５１】
サーバは、当該サーバに対応するコンテンツデータの記録されている正当なディスクを備えている。ハッシュ値を受信したサーバは、このディスク上の上記ステップＳ２４で選択された記録領域から、データを読み出し、ハッシュ値を計算する。そして、この計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とを比較し（ステップＳ２９）、両者が不一致である場合（ディスク認証が失敗した場合）には、現在コンテンツ再生装置に挿入されているディスクに記録されているコンテンツデータは改竄されている可能性があると判定される。この場合、サーバは、コンテンツ再生装置１００に対し、アクセス不許可通知を送信する（ステップＳ３１）。
【００５２】
サーバで計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とが一致する場合（ディスク認証が成功した場合）には、現在コンテンツ再生装置に挿入されているディスクに記録されているコンテンツデータは改竄されていないと判定される。この場合、サーバは、コンテンツ再生装置１００に対し、アクセス許可通知を送信する（ステップＳ３３）。
【００５３】
コンテンツ再生装置１００は、サーバからアクセス許可通知／アクセス不許可通知を受信すると、ディスク認証部２４は、受信した通知の内容を基に、接続管理部２１に記憶されている図１８に示した接続先管理テーブルに、ディスク認証が成功したか否かを示すディスク認証フラグの値を記録する。アクセス許可通知を受信し、ディスク認証が成功した場合には、ディスク認証フラグの値を「１」とする（ステップＳ３４）。アクセス不許可通知を受信し、ディスク認証が失敗した場合には、ディスク認証フラグの値を「０」とする（ステップＳ３２）。
【００５４】
上記ディスク認証処理では、サーバが、当該サーバに対応するコンテンツデータの記録されているディスクについて、ディスクが識別できるデータが記録されている記録領域をランダムに選択し、コンテンツ再生装置から送信された、当該選択された記録領域内のデータのハッシュ値を用いて、当該記録領域内のデータが改竄されているか否かを判定している。
【００５５】
このようなディスク上の任意の記録領域内のデータを用いてディスク認証を行う代わりに、改竄されると他に危害を及ぼす可能性のあるプログラムの記録されているディスク上の記録領域内のデータ（プログラム）を用いた、他のディスク認証処理について、図５に示すフローチャートを参照して説明する。なお、図５において、図４と同一部分には同一符号を付し、異なる部分についてのみ説明する。
【００５６】
すなわち、図４のステップＳ２４が、図５ではステップＳ２４ａ及びステップＳ２４ｂに置き換えられ、図４のステップＳ２５が図５ではステップＳ２５ａに置き換えられ、図４のステップＳ２７が、図５ではステップＳ２７ａに置き換えられ、図４のステップＳ２９が、図５ではステップＳ２９ａに置き換えられている。
【００５７】
図５のステップＳ２４ａでは、サーバがディスク認証要求を受信すると、改竄されると他に危害を及ぼす可能性のあるプログラムの記録されているディスク上の記録領域を選択する。この場合、サーバは、当該サーバに対応するコンテンツデータの記録されているディスクについて、プログラム（改竄されると他に危害を及ぼす可能性のあるプログラム）の記録されている記録領域がどこであるかを予め記憶している。そして、プログラムの記録されている記録領域のうちの少なくとも１つを選択する。複数の記録領域を選択してもよい。
【００５８】
次に、ステップＳ２４ｂでは、サーバは、ランダムなデータ系列を生成する。そして、ステップＳ２５ａでは、コンテンツ再生装置１００に対し、この生成されたデータ系列と、ステップＳ２４ａで選択した記録領域に記録されているデータ（プログラムデータ）とから計算されるハッシュ値を送信するよう要求する。このとき、予め定められたアルゴリズムを用いて、暗号化してから送信するよう要求してもよい。
【００５９】
コンテンツ再生装置１００が、この送信要求を受信すると、ディスク認証処理部２４は、サーバにより指定された記録領域のデータをディスク制御部１を介してディスクから読み出す（ステップＳ２６）。ステップＳ２７ａでは、この読み出されたデータとサーバから送られてきたデータ系列とを連結して、読み出されたデータとサーバから送られてきたデータ系列を含むデータ全体のハッシュ値を計算する。サーバから暗号化してから送信するよう、要求されている場合には、このハッシュ値を予め定められたアルゴリズムを用いて暗号化する。求めたハッシュ値はサーバへ送信される（ステップＳ２８）。
【００６０】
サーバは、当該サーバに対応するコンテンツデータの記録されている正当なディスクを備えている。ハッシュ値を受信したサーバは、ステップＳ２９ａにおいて、このディスク上の上記ステップＳ２４ａで選択された記録領域からデータを読み出し、読み出したデータと、ステップＳ２４ｂで生成したデータ系列を連結して、読み出したデータとステップＳ２４ｂで生成したデータ系列を含むデータ全体のハッシュ値を計算する。そして、この計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とを比較する（ステップ２９ａ）。その後、図４と同様で、両者が不一致である場合（ディスク認証が失敗した場合）には、サーバは、コンテンツ再生装置１００に対し、アクセス不許可通知を送信し（ステップＳ３１）、コンテンツ再生装置は、ディスク認証フラグを「０」にする（ステップＳ３２）。サーバで計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とが一致する場合（ディスク認証が成功した場合）には、サーバは、コンテンツ再生装置１００に対し、アクセス許可通知を送信し（ステップＳ３３）、コンテンツ再生装置は、ディスク認証フラグを「１」にする（ステップＳ３４）。
【００６１】
上記ディスク認証は、当該ディスクがコンテンツ再生装置から取り出されるまで有効となる。すなわち、当該ディスクがコンテンツ再生装置から取り出されたら、ディスク認証フラグを「０」に書き変える。
【００６２】
上記説明では、ディスク認証フラグの値によってディスク認証が有効かどうかを判定したが、別の方式として、サーバから指定された有効期間（ディスクの正当性を保証する期間）とセッション識別子を用いる方式を以下に説明する。これは、通信プロトコルとして、例えばＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を用いた場合、Ｃｏｏｋｉｅを使うことにより実現可能である。
【００６３】
図４および図５のステップＳ３３で、サーバはアクセス許可通知とともに、有効期間（例えば「３００秒」と指定する）とセッション識別子（例えばサーバが生成したコンテンツ再生装置を識別するためのランダム文字列）をディスク認証処理部２４へ送信する。ディスク認証処理部２４は、接続管理部２４に記憶されている接続先管理テーブルに、サーバから送られた有効期間とセッション識別子を保存する。以降、図８に示すようにして、ステップＳ５４においてサーバと通信する場合、このセッション識別子をサーバへの通信データに付加することで、サーバは、ディスク認証が行われていることが確認できる。サーバは、セッション識別子が付加されていない通信データがコンテンツ再生装置から送られてきても、それを拒否する。
【００６４】
ディスク認証処理部２４は、保存された有効期間を経過した場合やコンテンツ再生装置の操作（例えば、利用者によりディスクが取り出されたり、再生中のコンテンツが停止された場合）に応じて、保存されている有効期間の値を「０」とし、セッション識別子を削除する。このとき、ディスク認証フラグを「１」から「０」に更新するようにしてもよい。
【００６５】
保存されている有効期間が経過した後や、上記予め定められたユーザ操作により有効期間が「０」になった後は、有効期間が「０」になったことを契機に、あるいは、コンテンツデータの再生・実行中にネットワークへの接続要求が発生したことを契機に、再び、上記ディスク認証を行う。
【００６６】
また、保存したセッション識別子が削除された場合には、図８のステップＳ５４においてサーバと通信することはできないため、再び、ディスク認証を行う。
【００６７】
このように、上記有効期間を用いる場合には、コンテンツデータの再生・実行中に発生した接続要求を受けて、サーバに接続するためには、図８のステップＳ５３において、有効期間が「０」でないことが条件として加わる。また、セッション識別子を用いる場合には、図８のステップＳ５３において、セッション識別子が保存されていることが条件として加わる。
【００６８】
なお、本実施形態では、１つのサーバはある１つのコンテンツに対応するディスク認証処理を行うとして説明したが、１つのサーバで複数のディスク認証処理を行うことも可能である。その場合、例えば、ディスクまたはコンテンツを一意に特定する識別子をディスク上に格納しておき、ディスク認証時にその識別子をディスクから読み込んでサーバへ送信することで、サーバはどのディスクかを特定することができる。
【００６９】
（２）コンテンツ再生装置にディスクを挿入した後、サーバ（ネットワーク）へのアクセス要求が発生したときに、サーバ認証及びディスク認証を行う場合について、図６に示すフローチャートを参照して説明する。なお、図６において、図２と同一部分には同一符号を付し、異なる部分についてのみ説明する。すなわち、図２のステップＳ２が図６ではステップＳ１２に置き換えられている。
【００７０】
図２に示すサーバ認証では、ステップＳ２で、ディスクがコンテンツ再生装置に挿入されたことを契機に、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。
【００７１】
一方、図６に示すサーバ認証では、ステップＳ１２で、ディスクがコンテンツ再生装置に挿入された後、例えば、当該ディスクに記録されているプログラムを実行することにより、サーバ（ネットワーク）へのアクセス要求が（最初）に発生したことを契機に、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。その後の処理動作は、図２のステップＳ４からステップＳ１１までの処理動作と同様である。
【００７２】
図６のサーバ認証処理を行った後に、図４あるいは図５に示したようなディスク認証を行う。
【００７３】
（３）コンテンツ再生装置にディスクを挿入した後、サーバ（ネットワーク）へのアクセス要求が発生したときに、サーバ認証及びディスク認証を行う場合の他の例について、図７に示すフローチャートを参照して説明する。なお、図７において、図２及び図６と同一部分には同一符号を付し、異なる部分についてのみ説明する。すなわち、図７では、図２と同様に、ディスクのコンテンツ再生装置への挿入を検出したことを契機に（ステップＳ２）、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。そして、読み出されたドメイン名は、接続先管理部２１内のメモリに記憶されている図１８に示すような接続先管理テーブルに記録される（ステップＳ４）。ここまでは、図２と同様である。
【００７４】
図７において、図２と異なるのは、サーバ認証部２３のステップＳ５〜ステップＳ１１までの処理は、図７ではステップＳ１２〜ステップＳ１４までの処理を行った後であるという点である。すなわち、ディスク検出部１１で、ディスクがコンテンツ再生装置へのディスクの挿入が検出され、当該ディスクの特定領域から読み出されたドメイン名が接続先管理テーブルに記録される（図７のステップＳ１〜ステップＳ４）。その後、コンテンツ再生装置に挿入されたディスクに記録されているプログラムを実行することにより、サーバ（ネットワーク）への接続要求が（最初）に発生すると、すなわち、接続要求が再生・実行制御部３から出力されると（図７のステップＳ１２）、当該接続要求が、ネットワークアクセス制御部２の接続先検証部２２により検出される。接続先検証部２２は、当該プログラムにより指定されている接続先のドメイン名を取得する（ステップＳ１３）。
【００７５】
ディスクに記録されているプログラムを実行することにより再生・実行制御部３で発生する接続要求には、当該プログラムに含まれる接続先のドメイン名が含まれている。接続先検証部２２は、この接続要求に含まれる接続先のドメイン名を取得する。
【００７６】
次に、接続先検証部２２は、取得したドメイン名と接続先管理テーブルに記録されているドメイン名とを比較し（ステップＳ１４）、両者が一致した場合に、接続管理テーブルに記録されているドメイン名に対応するサーバの認証処理（ステップＳ５〜ステップＳ１１）を開始する。
【００７７】
取得したドメイン名と接続先管理テーブルに記録されているドメイン名とが異なる場合には、ここで処理を中止し、サーバ認証部２３でのサーバ認証処理（ステップＳ５〜ステップＳ１１）を行わない。その結果、コンテンツ再生装置１００は、ネットワークへの接続は行わない。
【００７８】
取得したドメイン名と接続先管理テーブルに記録されているドメイン名とが一致した場合には、図２と同様に、サーバ認証部２３が、接続管理テーブルに記録されているドメイン名に対応するサーバの認証処理（ステップＳ５〜ステップＳ１１）を開始する。すなわち、サーバ認証部２３は、接続管理テーブルに記録されているドメイン名に対応するサーバから証明書を取得し（ステップＳ５〜ステップＳ７）、この取得した証明書と、サーバ認証部２３に予め記憶されている証明書が一致し、サーバの認証が成功した場合には、サーバ認証フラグ「１」を接続管理テーブルに記憶する（ステップＳ８〜ステップＳ１０）。また、取得した証明書と、サーバ認証部２３に予め記憶されている証明書が異なる場合には、サーバ認証フラグ「０」を接続管理テーブルに記憶する（ステップＳ８、ステップＳ９，ステップＳ１１）。
【００７９】
図７のサーバ認証処理を行った後に、図４あるいは図５に示したようなディスク認証を行う。
【００８０】
本実施形態では、（１）コンテンツ再生装置にディスクが挿入されたとき、または、（２）サーバへ（ネットワーク）へのアクセス要求が発生したときに、ディスク認証処理を行う方式を説明した。このとき、コンテンツ再生装置の不具合等で、ディスクの差し替えが検出できない場合、ディスク認証処理後に他のディスクへ差し替えられる危険性がある。
【００８１】
この場合、接続先管理テーブルのドメイン名、サーバ認識フラグおよびディスク認識フラグは消去されないため、差し替えられたディスクに記憶されているプログラムが、接続先管理テーブルに保存されているドメイン名のサーバへアクセスすることが可能となる。
【００８２】
上記危険性を回避するため、前記ディスク認証処理完了後、ネットワークアクセス制御部のディスク認証部２４は、あらかじめ定められた方式に基づくあるタイミング（例えば、一定周期や乱数に基づいた不定期）で、前記ディスク認証処理をくりかえし実行してもよい。
【００８３】
＜接続するサーバを制限するためのアクセス制御＞
図２、図７に示したように、コンテンツ再生装置１００は、ディスクが挿入されると、当該ディスの特定領域に記録されているドメイン名を読み出して、接続先管理テーブルに記録される。図２の場合には、さらに、サーバ認証及びディスク認証を行い、サーバ認証フラグ及びディスク認証フラグに「１」あるいは「０」が記録されている。
【００８４】
次に、コンテンツ再生装置１００が、挿入されたディスク上のコンテンツデータを再生しているときに、ネットワーク接続要求が発生した場合について、図８に示すフローチャートを参照して説明する。
【００８５】
ネットワーク接続要求は、コンテンツ再生装置にディスクが挿入された後、（ａ）当該ディスクに記録されているプログラムを実行することにより、また、後述するように、（ｂ）例えば当該ディスクに記録されているプログラムを実行しているときに、記憶装置６に既に記憶されているネットワーク（サーバ）からダウンロードされたデータやプログラムを再生・実行することにより、発生する。
【００８６】
ネットワーク接続要求は、前述同様、ネットワークアクセス制御部２の接続先検証部２２により検出される（ステップＳ５１）。接続先検証部２２は、ネットワーク接続要求を発したプログラム（ディスクに記録されているプログラムあるいは記憶装置６に記憶されプログラム）により指定されている接続先のドメイン名を取得する（ステップＳ５２）。
【００８７】
なお、図７に示したようなサーバ認証を行う場合には、上記ステップＳ５１及びステップＳ５２で、ディスク挿入後、最初にネットワーク接続要求が検出され（図７のステップＳ１２）、接続先のドメイン名が取得されたときに（図７のステップＳ１３）、サーバ認証を開始し、さらに、ディスク認証を行って、サーバ認証フラグ及びディスク認証フラグに「１」あるいは「０」が記録される。
【００８８】
また、図６に示したようなサーバ認証処理を行う場合には、上記ステップＳ５１及びステップＳ５２で、ディスク挿入後、最初にネットワーク接続要求が検出されたときに（図６のステップＳ１２）、当該ディスの特定領域に記録されているドメイン名を読み出して、接続先管理テーブルに記録する（図６のステップＳ３〜ステップＳ４）。その後、サーバ認証及びディスク認証を行って、サーバ認証フラグ及びディスク認証フラグに「１」あるいは「０」が記録される。
【００８９】
従って、図８のステップＳ５１及び５２で、ネットワーク接続要求が検知され、接続先のドメイン名を取得した場合、図２、図６，図８のいずれの場合においても、接続先管理テーブルにはドメイン名が記録され、サーバ認証及びディスク認証の結果を示すサーバ認証フラグ及びディスク認証フラグに「１」あるいは「０」が記録されている。
【００９０】
接続先検証部２２は、（第１の条件）サーバ認証フラグの値が「１」であること、（第２の条件）ディスク認証フラグの値が「１」であること、（第３の条件）ステップＳ５２で、ネットワーク接続要求元から取得したドメイン名と、接続管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、の３つの条件を全て満足する場合に限り、接続管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ５３）。上記第１乃至第３の条件のうちのいずれか１つでも満足しない場合には、ネットワークへの接続を許可しない（ステップＳ５３、ステップＳ５５）。
【００９１】
接続先検証部２２で、ネットワークへの接続が許可された場合には、通信部４は、接続管理テーブルに記録されているドメイン名に対応するサーバへ接続し、ディスク上のコンテンツデータの再生・実行の際に用いるデータやプログラムなどを当該サーバから受信する（ステップＳ５４）。その結果、コンテンツ再生装置１００の再生・実行制御部３は、当該サーバと通信を行いながら（当該サーバからダウンロードされるデータやプログラムを用いて）、当該ディスク上のコンテンツデータの再生・実行を行う。
【００９２】
以上説明したように、コンテンツ再生装置では、サーバ認証やディスク認証、また、図７に示したようなアクセス制御を行って、ネットワーク接続要求発生時に接続先のサーバを、コンテンツ再生装置に挿入されたディスクの特定領域に記録されたドメイン名に対応するサーバのみに制限することで、コンテンツ再生装置がＤＤｏＳ攻撃などの踏み台となることを防いでいる。
【００９３】
なお、本実施形態では、ディスクとサーバは１対１に対応し、ディスク上の特定領域に記憶されているサーバのドメイン名は１つであるとしたが、ディスク上の特定領域に複数のサーバのドメイン名からなるドメイン名リストが記憶されている場合には、上述の特定領域にドメイン名が１つ記憶されている場合と同様に、ディスク読み出し部１２が特定領域から当該ドメイン名リストを読み込んで接続先管理部２１の接続先管理テーブルに保持する。この場合、ドメイン名リストに記述されている各サーバの識別子に関して、上述のサーバ認証処理とディスク認証処理および前記アクセス制御処理を行う。
【００９４】
例えば、ディスク挿入時や、ネットワークへの接続要求が発生したときなどに、ディスク読み出し部１２がディスクの特定領域から当該ドメイン名リストを読み込んで、接続先管理テーブルに記憶しておく（ステップＳ４）。
【００９５】
上記サーバ認証（ステップＳ５〜ステップＳ１１）は、読み出した直後に、ドメイン名リスト上の各ドメイン名について行うようにしてもよい。また、コンテンツ再生中にプログラムを実行することにより、ネットワークへの接続要求が発生したときに、当該プログラムに含まれる接続先のドメイン名が、上記ドメイン名リスト上に含まれている場合に、当該ドメイン名に対応するサーバについて、上記サーバ認証を行うようにしてもよい。
【００９６】
コンテンツ再生中にプログラムを実行することにより、ネットワークへの接続要求が発生したときに、当該プログラムに含まれる接続先のドメイン名が、上記ドメイン名リスト上に含まれている場合、当該ドメイン名に対応するサーバのサーバ認証フラグが「１」のとき、当該ドメイン名に対応するサーバへディスク認証を要求し、ディスク認証を行う（ステップＳ２３〜ステップＳ３４）。
【００９７】
＜ストレージ制御部とサーバによるストレージ制御＞
本実施形態にかかるコンテンツ再生装置では、ディスクから読み出されたデータや、サーバからダウンロードされた映像・音声データやプログラムなどを、記憶装置６に記憶しておき、次回必要なときに利用する。記憶装置６に記憶されたデータは、誰からでもアクセスできるので、保存した個人情報などの漏えいや、改竄されたプログラムの実行により、コンテンツ再生装置１００などが動作不良となるなどの問題が発生する可能性がある。これら問題を防ぐため、ストレージ制御部５は、記憶装置６にデータを記憶する際には、記憶するデータを秘匿したり、記憶装置６に記憶されているデータを利用する際には、改竄されているか否かを検知して、改竄されたデータをコンテンツ再生装置１００で利用しないよう制御する。ストレージ制御部５でのこのような制御を、ここでは、ストレージ制御と呼ぶ。
【００９８】
コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、データ書き込み要求が発生した場合について、図９に示すフローチャートを参照して説明する。データ書き込み要求は、（ａ）当該ディスクに記録されているプログラムを実行することにより、（ｂ）例えば当該ディスクに記録されているプログラムを実行しているときに、記憶装置６に既に記憶されているネットワーク（サーバ）からダウンロードされたデータやプログラムを再生・実行することにより、（ｃ）ユーザからの指示により発生する。
【００９９】
また、データ書き込み要求により記憶装置６に記憶されるデータは、現在再生中のディスク上のデータ（プログラムを含む）や、図８に示したようにして接続されたサーバからダウンロードされたデータ（プログラムを含む）などである。
【０１００】
図９において、データ書き込み要求が発生し（ステップＳ６１）、ストレージ制御部５がデータ書き込み要求を検知すると、ストレージ制御部５は、書き込むデータのハッシュ値を計算する（ステップＳ６２）。ハッシュ値は、例えば、ＭＤ５やＳＨＡ−１などを用いて計算する。
【０１０１】
次に、得られたハッシュ値をサーバ（接続先管理テーブルに登録されているドメイン名に対応するサーバ）へ送信するために、接続先検証部２２は、（第１の条件）サーバ認証フラグの値が「１」であること、（第２の条件）ディスク認証フラグの値が「１」であること、の２つの条件を統べた満足しているかをチェックする。特に、データ書き込み要求が、プログラムを実行することにより発生している場合に、当該プログラムにより接続先が指定されているときには、上記第１及び第２の条件の他にさらに、（第３の条件）データ書き込み要求元のプログラムにより指定されている接続先（例えば、ドメイン名）を取得して、その取得したドメイン名と、接続管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、という第３の条件を含む３つの条件を全て満足する場合に限り、接続管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ６３）。上記いずれか１つの条件を満足しない場合には、ネットワークへの接続は行わない。従って、記憶装置６には、データが書き込まれない（ステップＳ６４）。
【０１０２】
接続先検証部２２でネットワークへの接続が許可された場合には、ステップＳ６５へ進み、通信部４により、コンテンツ再生装置１００は、接続先テーブルに登録されているドメイン名に対応するサーバに接続し、ストレージ制御部５は、書き込むデータのハッシュ値を通信部４を介して当該サーバへ送信する。
【０１０３】
サーバは、上記ハッシュ値を受信すると（ステップＳ６６）、サーバに予め記憶されている秘密鍵を用いて、受信したハッシュ値を暗号化し（ステップＳ６７）、暗号化されたハッシュ値を証明書として、コンテンツ再生装置１００へ返信する（ステップＳ６８）。
【０１０４】
コンテンツ再生装置１００は、サーバから送信された上記証明書を受信すると（ステップＳ６９）、ストレージ制御部５は、書き込むべきデータのファイル名（データファイル名）、受信した証明書データのファイル名（証明書ファイル名）と、暗号化を行ったサーバ（この場合、接続先管理テーブルに登録されているドメイン名に対応するサーバ）の識別子（例えば、ここでは、当該サーバのドメイン名）とを１組とするレコードを記憶装置６に設けられた管理テーブルに記録する（ステップＳ７０）。さらに、記憶装置６に書き込むべきデータ（データファイル）、受信した証明書（証明書ファイル）を記憶装置６に記憶する（ステップＳ７１）。
【０１０５】
次に、コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、図９に示したようにして、記憶装置６に記憶されたデータに対し、データ読み出し要求が発生した場合について、図１０に示すフローチャートを参照して説明する。データ読み出し要求は、（ａ）当該ディスクに記録されているプログラムを実行することにより、（ｂ）例えば当該ディスクに記録されているプログラムを実行しているときに、記憶装置６に既に記憶されているネットワーク（サーバ）からダウンロードされたデータやプログラムを再生・実行することにより、（ｃ）ユーザからの指示により発生する。
【０１０６】
図１０において、データ読み出し要求が発生し（ステップＳ７５）、ストレージ制御部５がデータ読み出し要求を検知すると、ストレージ制御部５は、管理テーブルを参照して、読み出すべきデータファイル名に対応する証明書ファイル名及びサーバのドメイン名を取得する（ステップＳ７６）。さらに、記憶装置６から、当該データファイル名のデータファイルと、当該証明書ファイル名に対応する証明書ファイルを読み出す（ステップＳ７７）。そして、ストレージ制御部５は、読み出したデータファイル内のデータのハッシュ値を計算する（ステップＳ７８）。
【０１０７】
次に、得られたハッシュ値及び証明書ファイル内の証明書データをサーバ（接続先管理テーブルに登録されているドメイン名に対応するサーバ）へ送信するために、接続先検証部２２は、（第１の条件）サーバ認証フラグの値が「１」であること、（第２の条件）ディスク認証フラグの値が「１」であること、（第３の条件）ステップＳ７６で取得したドメイン名と、接続管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、という３つの条件を全て満足する場合に限り、接続管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ７９）。上記いずれか１つの条件を満足しない場合には、ネットワークへの接続は行わない。従って、記憶装置６からは、データが読み出されない（ステップＳ８０）。
【０１０８】
接続先検証部２２でネットワークへの接続が許可された場合には、ステップＳ８１へ進み、通信部４により、コンテンツ再生装置１００は、接続先テーブルに登録されているドメイン名に対応するサーバに接続し、ストレージ制御部５は、読み出したデータのハッシュ値及び証明書を通信部４を介して当該サーバへ送信する（ステップＳ８１）。
【０１０９】
サーバは、上記ハッシュ値及び証明書を受信すると（ステップＳ８２）、サーバに予め記憶されている秘密鍵を用いて、受信したハッシュ値を図９のステップＳ６７で暗号化を行ったときと同じ暗号方式を用いて暗号化し（ステップＳ８３）、暗号化されたハッシュ値とコンテンツ再生装置から送信されてきた証明書を照合する（ステップＳ８４）。暗号化されたハッシュ値と受信した上記証明書が一致する場合には、照合結果として「ＯＫ」をコンテンツ再生装置へ送信し、両者が異なる場合には、照合結果として「ＮＧ」コンテンツ再生装置へ送信する（ステップＳ８５）。
【０１１０】
コンテンツ再生装置１００で照合結果を受信すると（ステップＳ８６）、ストレージ制御部５は、照合結果が「ＯＫ」の場合は（ステップＳ８７）、記憶装置６から読み出されたデータファイル内のデータを再生・実行制御部３へ出力する（ステップＳ８８）。ストレージ制御部５は、照合結果が「ＮＧ」の場合は（ステップＳ８７）、記憶装置６から読み出されたデータファイル内のデータを再生・実行制御部３へ出力する代わりに廃棄して、「読み出し不可」を示すメッセージを再生・実行制御部３へ出力する（ステップＳ８９）。
【０１１１】
ステップＳ８４で、暗号化されたハッシュ値と受信した上記証明書が異なる場合、すなわち、上記ストレージ制御による認証が失敗した場合には、ステップＳ７７で記憶装置６から読み出されたデータファイル内のデータは、改竄されている可能性があるということである。ストレージ制御部５は、このような改竄されている可能性のある記憶装置６に記憶されているデータには、アクセスしないようにすることで（ステップＳ８９）、コンテンツ再生装置１００のセキュリティを高めることができる。
【０１１２】
図９及び図１０に示したストレージ制御は、記憶装置６に記憶されたデータを読み出す際には、当該データの証明書を用いて認証を行う場合を示している。
【０１１３】
次に、記憶装置６に記憶するデータを（改竄されないように）秘匿化する場合のストレージ制御について、図１１及び図１２に示すフローチャートを参照して説明する。
【０１１４】
まず、コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、データ書き込み要求が発生した場合について、図１１に示すフローチャートを参照して説明する。
【０１１５】
図１１において、データ書き込み要求が発生すると（ステップＳ１０１）、接続先検証部２２は、（第１の条件）サーバ認証フラグの値が「１」であること、（第２の条件）ディスク認証フラグの値が「１」であること、の２つの条件を統べた満足しているかをチェックする。特に、データ書き込み要求が、プログラムを実行することにより発生している場合に、当該プログラムにより接続先が指定されているときには、上記第１及び第２の条件の他にさらに、（第３の条件）データ書き込み要求元のプログラムにより指定されている接続先（例えば、ドメイン名）を取得して、その取得したドメイン名と、接続管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、という第３の条件を含む３つの条件を全て満足する場合に限り、接続管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ１０２）。上記いずれか１つの条件を満足しない場合には、ネットワークへの接続は行わない。従って、記憶装置６には、データが書き込まれない（ステップＳ１０３）。
【０１１６】
接続先検証部２２でネットワークへの接続が許可された場合には、ステップＳ１０４へ進み、通信部４により、コンテンツ再生装置１００は、接続先テーブルに登録されているドメイン名に対応するサーバに接続し、ストレージ制御部５は、書き込むべきデータを通信部４を介して当該サーバへ送信する（ステップＳ１０４）。
【０１１７】
データを受信したサーバでは（ステップＳ１０５）、サーバに予め記憶されている秘密鍵を用いて、受信したデータを暗号化し（ステップＳ１０６）、暗号化されたデータを、コンテンツ再生装置１００へ返信する（ステップＳ１０７）。
【０１１８】
コンテンツ再生装置１００は、サーバから送信された暗号化されたデータを受信すると（ステップＳ１０８）、ストレージ制御部５は、暗号化されたデータのファイル名（データファイル名）と、暗号化を行ったサーバ（この場合、接続先管理テーブルに登録されているドメイン名に対応するサーバ）の識別子（例えば、ここでは、当該サーバのドメイン名）とを１組とするレコードをストレージ制御部５内のメモリに設けられた管理テーブルに記録する（ステップＳ１０９）。さらに、記憶装置６に暗号化されたデータ（データファイル）、を記憶装置６に記憶する（ステップＳ１１０）。以上により秘匿化されたデータが記憶装置６に記憶された。
【０１１９】
次に、コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、図１１に示したようにして、記憶装置６に記憶された秘匿化されたデータに対し、データ読み出し要求が発生した場合について、図１２に示すフローチャートを参照して説明する。データ読み出し要求は、（ａ）当該ディスクに記録されているプログラムを実行することにより、（ｂ）例えば当該ディスクに記録されているプログラムを実行しているときに、記憶装置６に既に記憶されているネットワーク（サーバ）からダウンロードされたデータやプログラムを再生・実行することにより、（ｃ）ユーザからの指示により発生する。
【０１２０】
図１２において、データ読み出し要求が発生すると（ステップＳ１２１）、ストレージ制御部５は、管理テーブルを参照して、読み出すべきデータファイル名に対応するサーバのドメイン名を取得する（ステップＳ１２２）。さらに、記憶装置６から、当該データファイル名のデータファイルを読み出す（ステップＳ１２３）。
【０１２１】
読み出されたデータファイル内のデータを復号するために、接続先検証部２２は、（第１の条件）サーバ認証フラグの値が「１」であること、（第２の条件）ディスク認証フラグの値が「１」であること、（第３の条件）ステップＳ１２２で取得したドメイン名と、接続管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、という３つの条件を全て満足する場合に限り、接続管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ１２４）。上記いずれか１つの条件を満足しない場合には、ネットワークへの接続は行わない。従って、記憶装置６からは、データが読み出されない（ステップＳ１２５）。
【０１２２】
接続先検証部２２でネットワークへの接続が許可された場合には、ステップＳ１２６へ進み、通信部４により、コンテンツ再生装置１００は、接続先テーブルに登録されているドメイン名に対応するサーバに接続する。ストレージ制御部５は、読み出したデータファイル内の暗号化されたデータを通信部４を介して当該サーバへ送信する（ステップＳ１２６）。
【０１２３】
サーバは、暗号化されたデータを受信すると（ステップＳ１２７）、サーバに予め記憶されている秘密鍵と、図１１のステップＳ１０６で暗号化を行ったときと同じ暗号方式を用いて復号する（ステップＳ１２８）。復号に成功した場合には（ステップＳ１２９）、復号結果「ＯＫ」とともに、復号されたデータをコンテンツ再生装置へ送信し（ステップＳ１３０）、復号に失敗した場合には（ステップＳ１２９）、照合結果「ＮＧ」をコンテンツ再生装置へ送信する（ステップＳ１３１）。
【０１２４】
コンテンツ再生装置１００で復号結果を受信すると（ステップＳ１３２）、ストレージ制御部５は、復号結果が「ＯＫ」の場合は（ステップＳ１３３）、復号されたデータを再生・実行制御部３へ出力する（ステップＳ１３４）。ストレージ制御部５は、復号結果が「ＮＧ」の場合は（ステップＳ１３３）、記憶装置６から読み出されたデータファイル内のデータを廃棄して、「読み出し不可」を示すメッセージを再生・実行制御部３へ出力する（ステップＳ１３５）。
【０１２５】
上記ストレージ制御は、サーバ（ネットワーク）への接続が行われない場合、データの書き込みおよび読み込みはできない。以下、サーバ（ネットワーク）への接続が行われない場合に、データの書き込みおよび読み込みを行う処理方式について説明する。
【０１２６】
まず、書き込み処理について説明する。図９のステップＳ６４および図１１のステップＳ１０３において、ネットワークへの接続不可となった場合、ストレージ制御部５にあらかじめ保存されている認証確認フラグを読み込む。認証確認フラグには、ネットワークへの接続不可となった場合に、読み書きをするかどうかを示す値（例えば、読み書きを許可する場合は「１」、許可しない場合は「０」）が格納されている。ストレージ制御部５は、認証確認フラグの値が「１」の場合、証明書生成や暗号化なしで（すなわち、管理テーブルの証明書ファイル名やサーバのドメイン名を空にして）データを記憶装置６へ書き込む。「０」の場合は書き込みを行わない。
【０１２７】
次に読み出し処理についても書き込み処理と同様に、図１０のステップＳ８０および図１２のステップＳ１２５において、ネットワークへの接続不可となった場合、ストレージ制御部５にあらかじめ保存されている認証確認フラグを読み込む。ストレージ制御部５は、認証確認フラグの値が「１」の場合、証明書確認や復号化なしでデータを記憶装置６から読み出し、再生・実行制御手段３へ出力する。「０」の場合は読み出しを行わない。
【０１２８】
上記説明では、認証確認フラグは、書き込みおよび読み出し処理の両方に共通して用いる方式としたが、書き込み用と読み出し用にそれぞれ別の認証確認フラグを用意してもよい。
【０１２９】
また、書き込み処理において、書き込み要求を検出したとき、ストレージ制御部５にあらかじめ保存されている認証確認フラグを読み込み、当該認証確認フラグが証明書の作成や暗号化を行うことなく読み書きを許可する旨の「１」の場合には、ストレージ制御部５は、（ネットワークへの接続可・不可に関わらず）、証明書生成や暗号化なしで（すなわち、管理テーブルの証明書ファイル名やサーバのドメイン名を空にして）データを記憶装置６へ書き込む。認証確認フラグが「０」の場合は、前述のように、証明書の作成や暗号化を行ってから書き込みを行う。ここで、サーバへの接続ができなかったときには（図９のステップＳ６４，図１１のステップＳ１０３）、そのようなデータの書き込みは行われない。
【０１３０】
さらに読み出し処理において、読み出し要求を検知したとき、ストレージ制御部５にあらかじめ保存されている認証確認フラグを読み込み、当該認証確認フラグが証明書の検証や復号化を行うことなく読み出しを許可する旨の「１」の場合には、ストレージ制御部５は、（ネットワークへの接続可・不可に関わらず）、証明書の検証や復号なしで記憶装置６から読み出したデータを、再生・実行制御手段３へ出力する。認証確認フラグが「０」の場合は、前述のように、記憶装置６から読み出したデータに対し、証明書の検証や復号を行ってから、再生・実行制御手段３へ出力する。
【０１３１】
上記説明では、認証確認フラグは、書き込みおよび読み出し処理の両方に共通して用いる方式としたが、書き込み用と読み出し用にそれぞれ別の認証確認フラグを用意してもよい。
【０１３２】
＜ストレージ制御部とコンテンツ保護部によるストレージ制御＞
上記ストレージ制御は、ストレージ制御部５とサーバとの間で行うものである。このようなストレージ制御は、コンテンツ再生装置１００内部で行うことも可能である。
【０１３３】
例えば、ＡＡＣＳ(Advanced Access Content System)などのコンテンツ保護技術により、ディスク上のコンテンツが暗号化されており、暗号化に用いた鍵がディスク上に隠蔽されていて、コンテンツ再生装置１００が、その鍵を用いてコンテンツの再生を行う場合には、コンテンツ再生装置１００は、図１３に示すように、ディスク上に隠蔽されている鍵を用いて暗号化・復号を行うコンテンツ保護部７を有する。
【０１３４】
図１３に示すコンテンツ再生装置では、上記コンテンツ保護部７を用いて、このコンテンツ保護部７とストレージ制御部６により、上記ストレージ制御を行う。
【０１３５】
まず、記憶装置６に記憶されたデータを読み出す際に認証を行う（図９及び図１０に対応する）ストレージ制御について、図１４及び図１５に示すフローチャートを参照して説明する。
【０１３６】
コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、データ書き込み要求が発生した場合について、図１４に示すフローチャートを参照して説明する。なお、図１４において、図９と同一部分には同一符号を付し、異なる部分について説明する。
【０１３７】
図１４では、ネットワークへアクセスする必要がないため、図９のステップＳ６３、ステップＳ６４は省略されている。すなわち、図１４において、データ書き込み要求が発生し（ステップＳ６１）、ストレージ制御部５が、書き込むデータのハッシュ値を計算すると（ステップＳ６２）、当該ハッシュ値をコンテンツ保護部７へ出力する（ステップＳ６５）。
【０１３８】
コンテンツ保護部７に、当該ハッシュ値が入力されると（ステップＳ６６）、現在再生中のディスクから取得した鍵と、任意の暗号化方式を用いて、当該ハッシュ値を暗号化し（ステップＳ６７）、暗号化されたハッシュ値を証明書として、ストレージ制御部５へ出力する（ステップＳ６８）。
【０１３９】
ストレージ制御部５に、上記証明書が入力されると（ステップＳ６９）、ストレージ制御部５は、書き込むべきデータのファイル名（データファイル名）、受信した証明書データのファイル名（証明書ファイル名）と、暗号化を行ったコンテンツ保護部７の識別子とを１組とするレコードをストレージ制御部５内のメモリに設けられた管理テーブルに記録する（ステップＳ７０）。さらに、記憶装置６に書き込むべきデータ（データファイル）、受信した証明書（証明書ファイル）を記憶装置６に記憶する（ステップＳ７１）。
【０１４０】
ここで、管理テーブルに記録されるレコードは、図９の場合と同様の形式とし、証明書作成のための暗号化を行った主体がサーバか、コンテンツ保護部７かを示す識別子を書き込むことで、コンテンツ再生装置は、図９及び図１０に示すようなストレージ制御と図１４及び図１５のストレージ制御との両方を行える。コンテンツ再生装置が図９と図１４のうち図１４に示すようなストレージ制御のみを行う場合には、コンテンツ保護部７の識別子を管理テーブルに記録する必要はなくなる。
【０１４１】
次に、コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、図１４に示したようにして、記憶装置６に記憶されたデータに対し、データ読み出し要求が発生した場合について、図１５に示すフローチャートを参照して説明する。なお、図１５において、図１０と同一部分には同一符号を付し、異なる部分について説明する。
【０１４２】
図１５では、ネットワークへアクセスする必要がないため、図１０のステップＳ７９、ステップＳ８０は省略されている。すなわち、図１５において、データ読み出し要求が発生し（ステップＳ７５）、ストレージ制御部５が、管理テーブルから、読み出すべきデータファイル名に対応する証明書ファイル名及びコンテンツ保護部７の識別子を取得する（ステップＳ７６）。さらに、ストレージ制御部５は、記憶装置６から、当該データファイル名のデータファイルと、当該証明書ファイル名に対応する証明書ファイルを読み出して（ステップＳ７７）、読み出したデータファイル内のデータのハッシュ値を計算する（ステップＳ７８）。この場合、管理テーブルから取得されたのが、コンテンツ保護部７の識別子であることから、当該ハッシュ値及び読み出した証明書をコンテンツ保護部７へ出力する（ステップＳ８１）。
【０１４３】
なお、管理テーブルから取得されたのが、サーバの識別子（ドメイン名）である場合には、図１０と同様である。
【０１４４】
コンテンツ保護部７に、上記ハッシュ値及び証明書が入力されると（ステップＳ８２）、現在再生中のディスクから取得した鍵を用いて、入力されたハッシュ値を図１４のステップＳ６７で暗号化を行ったときと同じ暗号方式を用いて暗号化し（ステップＳ８３）、暗号化されたハッシュ値と入力された証明書を照合する（ステップＳ８４）。暗号化されたハッシュ値と入力された上記証明書が一致する場合には、照合結果「ＯＫ」をストレージ制御部５へ出力し、両者が異なる場合には、照合結果「ＮＧ」をストレージ制御部５へ出力する（ステップＳ８５）。
【０１４５】
ストレージ制御部５に照合結果が入力されると（ステップＳ８６）、ストレージ制御部５は、照合結果が「ＯＫ」の場合は（ステップＳ８７）、記憶装置６から読み出されたデータファイル内のデータを再生・実行制御部３へ出力する（ステップＳ８８）。ストレージ制御部５は、照合結果が「ＮＧ」の場合は（ステップＳ８７）、記憶装置６から読み出されたデータファイル内のデータを再生・実行制御部３へ出力する代わりに廃棄して、「読み出し不可」を示すメッセージを再生・実行制御部３へ出力する（ステップＳ８９）。
【０１４６】
次に、記憶装置６にデータを記憶する際に、当該データを暗号化して記憶する（図１１及び図１２に対応する）ストレージ制御について、図１６及び図１７に示すフローチャートを参照して説明する。
【０１４７】
コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、データ書き込み要求が発生した場合について、図１６に示すフローチャートを参照して説明する。なお、図１６において、図１１と同一部分には同一符号を付し、異なる部分について説明する。
【０１４８】
図１６では、ネットワークへアクセスする必要がないため、図１１のステップＳ１０２、ステップＳ１０３は省略されている。すなわち、図１６において、データ書き込み要求が発生すると（ステップＳ１０１）、ストレージ制御部５は、書き込むべきデータをコンテンツ保護部７へ出力する（ステップＳ１０４）。
【０１４９】
コンテンツ保護部７にデータが入力されると（ステップＳ１０５）、現在再生中のディスクから取得された鍵を用いて、入力されたデータを暗号化し（ステップＳ１０６）、暗号化されたデータを、ストレージ制御部５へ出力する（ステップＳ１０７）。
【０１５０】
ストレージ制御部５に暗号化されたデータが入力されると（ステップＳ１０８）、ストレージ制御部５は、暗号化されたデータのファイル名（データファイル名）と、暗号化を行ったコンテンツ保護部７の識別子とを１組とするレコードを記憶装置６に設けられた管理テーブルに記録する（ステップＳ１０９）。さらに、記憶装置６に暗号化されたデータ（データファイル）を記憶装置６に記憶する（ステップＳ１１０）。
【０１５１】
ここで、管理テーブルに記録されるレコードは、図１１の場合と同様の形式とし、暗号化を行った主体がサーバか、コンテンツ保護部７かを示す識別子を書き込むことで、コンテンツ再生装置は、図１１及び図１２に示すようなストレージ制御と図１６及び図１７のストレージ制御との両方を行える。コンテンツ再生装置が図１１と図１６のうち図１６に示すようなストレージ制御のみを行う場合には、コンテンツ保護部７の識別子を管理テーブルに記録する必要はなくなる。
【０１５２】
次に、コンテンツ再生装置１００で、ディスク上のコンテンツを再生しているときに、図１６に示したようにして、記憶装置６に記憶されたデータに対し、データ読み出し要求が発生した場合について、図１７に示すフローチャートを参照して説明する。なお、図１７において、図１２と同一部分には同一符号を付し、異なる部分について説明する。
【０１５３】
図１７では、ネットワークへアクセスする必要がないため、図１２のステップＳ１２４、ステップＳ１２５は省略されている。すなわち、図１７において、データ読み出し要求が発生すると（ステップＳ１２１）、ストレージ制御部５が、管理テーブルから、読み出すべきデータファイル名に対応するコンテンツ保護装置の識別子を取得し（ステップＳ１２２）、記憶装置６から、当該データファイル名のデータファイルを読み出す（ステップＳ１２３）。この場合、管理テーブルから取得されたのが、コンテンツ保護部７の識別子であることから、ストレージ制御部５は、読み出したデータファイル内の暗号化データを、コンテンツ保護部７へ出力する（ステップＳ１２６）。
【０１５４】
コンテンツ保護部７に、暗号化データが入力されると（ステップＳ１２７）、コンテンツ保護部７は、現在再生中のディスクから取得した鍵と、図１６のステップＳ１０６で暗号化を行ったときと同じ暗号方式を用いて復号する（ステップＳ１２８）。復号に成功した場合には（ステップＳ１２９）、復号結果「ＯＫ」とともに、復号されたデータをストレージ制御部５へ出力し（ステップＳ１３０）、復号に失敗した場合には（ステップＳ１２９）、照合結果「ＮＧ」をストレージ制御部５へ出力する（ステップＳ１３１）。
【０１５５】
ストレージ制御部５に復号結果が入力されると（ステップＳ１３２）、ストレージ制御部５は、復号結果が「ＯＫ」の場合は（ステップＳ１３３）、復号されたデータを再生・実行制御部３へ出力する（ステップＳ１３４）。ストレージ制御部５は、復号結果が「ＮＧ」の場合は（ステップＳ１３３）、記憶装置６から読み出されたデータファイル内のデータを廃棄して、「読み出し不可」を示すメッセージを再生・実行制御部３へ出力する（ステップＳ１３５）。
【０１５６】
以上説明した、ストレージ制御部５とサーバによるストレージ制御、ストレージ制御部５とコンテンツ保護部７によるストレージ制御では、記憶装置６に記憶されたデータを読み出す際に当該データの証明書を用いて認証を行う場合と、記憶装置６に記憶するデータを暗号化する場合について説明したが、これらを組み合わせて、ストレージ制御を行うこともできる。
【０１５７】
例えば、記憶装置６に任意のデータを書き込む場合には、ストレージ制御部５は、当該データと、当該データのハッシュ値とをサーバあるいはコンテンツ保護部７に渡す。サーバあるいはコンテンツ保護部７では、受け取ったハッシュ値を暗号化して証明書を生成するとともに、受け取ったデータを暗号化し、生成された証明書と暗号化データをストレージ制御部５へ返す。ストレージ制御部５は、受け取った証明書と暗号化データを記憶装置６へ記憶する。
【０１５８】
記憶装置６からデータを読み出す場合には、ストレージ制御部５は、記憶装置６に記憶されている暗号化データと証明書を読み出し、サーバあるいはコンテンツ保護部７へ渡す。コンテンツ保護部７は、暗号化データを復号した後、ハッシュ値を計算し、さらに、そのハッシュ値を暗号化する。サーバあるいはコンテンツ保護部７は、この暗号化されたハッシュ値と証明書を照合し、両者が一致した場合には、復号されたデータをストレージ制御部５へ返す。ストレージ制御部５は、受け取ったデータを再生・実行制御部３へ出力する。
【０１５９】
なお、以上の説明において、随所にハッシュ値を用いているが、ハッシュ値は、与えられたデータから生成される識別情報であり、生成された識別情報からは原文を推定することができないようになっている。
【０１６０】
また、記憶装置６は、ハードディスク、メモリーカードなどの着脱可能な記録媒体、ネットワーク上の設けられた任意の記憶装置など、特に限定するものではない。
【０１６１】
接続先管理部２１は、ディスク検出部１１でディスクの挿入が検出されたときに、当該ディスクの特定領域からドメイン名を読み出し、接続先管理テーブルに当該ドメイン名を記憶するが、その後、ディスク検出部１１が当該ディスクの取り出しを検出したら、接続先管理部２１は、接続先管理テーブルから、当該ドメイン名を削除する。また、当該ディスクがコンテンツ再生装置１００に挿入されている間に、ネットワーク接続要求が検知されて、接続先管理テーブルに記憶されているドメイン名に対応するサーバへ接続した後、何らかの理由で、当該サーバとの間の通信が切断した場合には、接続先管理テーブルから、ドメイン名を削除する。さらに、接続先管理テーブルに記憶されているサーバ認証フラグ及びディスク認証フラグが「１」であるときには、それらを「０」に書き換えてもよい。
【０１６２】
上記実施形態によれば、コンテンツ再生装置にディスクが挿入されたとき、当該ディスクの予め定められた特定の記憶領域からネットワーク上のサーバを示す識別子（ドメイン名）を読み出して、接続先管理テーブルに記憶し、当該ディスクに記憶されている、映像・音声データ及びプログラムを含むコンテンツデータの再生・実行中にネットワーク上の任意のサーバへの接続要求が検知された場合には、当該任意のサーバの識別子（ドメイン名）と接続先管理テーブルに記憶されたドメイン名とが一致し、且つ接続先管理テーブルに記憶されたドメイン名に対応するサーバの正当性が確認され、且つ上記ディスクの正当性が確認されたとき、接続先管理テーブルに記憶されたドメイン名に対応するサーバへ接続する。このような構成のコンテンツ再生装置によれば、改竄されたコンテンツデータを記録したディスクの実行・再生を回避し、ディスクに記録されたコンテンツデータやプログラムの再生・実行中に接続するサーバを、ディスク上の特定領域に記憶されたドメイン名に対応するサーバに限定することができる。
【０１６３】
ネットワーク上のサーバおよびディスクの正当性を検証するため、ディスク上のコンテンツに関連した映像情報を、インターネットを介して安心して取得、再生することが可能となる。また、接続できるサーバを限定することで、悪意を持って作成された危険なコンテンツが不特定多数のサーバへ接続することができなくなるため、ＤＤｏＳ攻撃の踏み台となることを避けることができる。このため、危険なコンテンツを再生することによる被害を回避するだけでなく、他のサーバへの攻撃の加害者となることも回避できる。
【０１６４】
本発明の実施の形態に記載した本発明の手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フレキシブルディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、半導体メモリなどの記録媒体に格納して頒布することもできる。
【０１６５】
例えば、映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、予め定められた特定の記憶領域に、ネットワーク上のサーバを示す識別子を記憶する記録媒体に記憶されたコンテンツデータを再生・実行する再生・実行手段（ディスク制御部１、再生・実行制御部３）、記憶手段、通信部４を備えたコンピュータに、ネットワークアクセス制御部２、ストレージ制御部６、コンテンツ保護部７の機能を実現させるためのプログラムを、当該コンピュータが実行することにより、図１のコンテンツ再生装置が実現可能である。
【０１６６】
なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【図面の簡単な説明】
【０１６７】
【図１】本発明の実施形態に係るコンテンツ再生装置の構成例を示した図。
【図２】サーバ認証処理動作（ディスク挿入時に行うサーバ認証）を説明するためのフローチャート。
【図３】サーバ認証に用いられる認証手順の一例を示した図。
【図４】ディスク認証処理動作を説明するためのフローチャート。
【図５】他のディスク認証処理動作を説明するためのフローチャート。
【図６】他のサーバ認証処理動作（ネットワーク接続要求が発生したときに行うサーバ認証）を説明するためのフローチャート。
【図７】さらに他のサーバ認証処理動作（ネットワーク接続要求が発生したときに行うサーバ認証）を説明するためのフローチャート。
【図８】ディスク再生時にネットワーク接続要求が発生したときのコンテンツ再生装置の処理動作を説明するためのフローチャート。
【図９】ストレージ制御部とサーバによるストレージ制御処理（データ書き込み要求が発生したときのコンテンツ再生装置とサーバの処理動作）を説明するためのフローチャート。
【図１０】ストレージ制御部とサーバによるストレージ制御処理（データ読み出し要求が発生したときのコンテンツ再生装置とサーバの処理動作）を説明するためのフローチャート。
【図１１】ストレージ制御部とサーバによる他のストレージ制御処理（データ書き込み要求が発生したときのコンテンツ再生装置とサーバの処理動作）を説明するためのフローチャート。
【図１２】ストレージ制御部とサーバによる他のストレージ制御処理（データ読み出し要求が発生したときのコンテンツ再生装置とサーバの処理動作）を説明するためのフローチャート。
【図１３】コンテンツ再生装置の他の構成例を示した図。
【図１４】ストレージ制御部とコンテンツ保護部によるストレージ制御（データ書き込み要求が発生したときのストレージ制御部とコンテンツ保護部の処理動作）を説明するためのフローチャート。
【図１５】ストレージ制御部とコンテンツ保護部によるストレージ制御（データ読み出し要求が発生したときのストレージ制御部とコンテンツ保護部の処理動作）を説明するためのフローチャート。
【図１６】ストレージ制御部とコンテンツ保護部による他のストレージ制御（データ書き込み要求が発生したときのストレージ制御部とコンテンツ保護部の処理動作）を説明するためのフローチャート。
【図１７】ストレージ制御部とコンテンツ保護部による他のストレージ制御（データ読み出し要求が発生したときのストレージ制御部とコンテンツ保護部の処理動作）を説明するためのフローチャート。
【図１８】接続先管理部に記憶されている接続先管理テーブルの一例を示した図。
【符号の説明】
【０１６８】
１…ディスク制御部、２ネットワークアクセス制御部、３…再生・実行制御部、４…通信部、５…ストレージ制御部、６…記憶装置、７…コンテンツ保護部、１１…ディスク検出部、１２…ディスク読み出し部、２１…接続先管理部、２２…接続先検証部、２３…サーバ認証部、２４…ディスク認証部、１００…コンテンツ再生装置、１０１…サーバ。
【特許請求の範囲】
【請求項１】
映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
前記記録媒体から前記アクセス許可するサーバを示す識別子を読み出す読出手段と、
読み出された前記識別子を記憶する記憶手段と、
前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と前記記憶手段で記憶された識別子とが一致するか否かを検証する識別子検証手段と、
前記記憶手段で記憶された識別子に対応するサーバの正当性を検証するサーバ検証手段と、
前記記憶手段で記憶された識別子に対応するサーバで、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行う通信手段と、
前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致し、且つ前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記記憶手段で記憶された識別子に対応するサーバへ接続する接続手段と、
を具備したこと特徴とするコンテンツ再生装置。
【請求項２】
前記通信手段は、
前記記憶手段で記憶された識別子に対応するサーバで前記記録媒体の正当性を検証するために、当該サーバにより指定された前記記録媒体上の記憶領域から読み出されたデータから、当該データの識別情報を生成する生成手段と、
前記識別情報を前記記憶手段で記憶された識別子に対応するサーバへ送信する送信手段と、
前記記憶手段で記憶された識別子に対応するサーバから、前記記録媒体の検証結果を受信する受信手段と、
を含むことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項３】
前記読出手段は、前記コンテンツ再生装置に前記記録媒体が挿入されたときに、当該記録媒体から前記識別子を読み出すことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項４】
前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致したとき、前記サーバ検証手段で前記記憶手段で記憶された識別子に対応するサーバの正当性を検証し、前記記憶手段で記憶された識別子に対応するサーバの正当性が検証されたとき、前記記録媒体の正当性が検証されることを特徴とする請求項１記載のコンテンツ再生装置。
【請求項５】
前記サーバ検証手段で前記記憶手段で記憶された識別子に対応するサーバの正当性が検証されたとき、前記記録媒体の正当性が検証されることを特徴とする請求項１記載のコンテンツ再生装置。
【請求項６】
前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致し、且つ前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記記憶手段で記憶された識別子に対応するサーバは、前記記録媒体に記憶されているコンテンツデータに対し、予め定められた特定のサーバであることを特徴とする請求項１記載のコンテンツ再生装置。
【請求項７】
前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証された後、前記接続要求が検知された場合には、前記接続手段は、前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致したときに、前記記憶手段で記憶された識別子に対応するサーバへ接続することを特徴とする請求項１記載のコンテンツ再生装置。
【請求項８】
前記記憶手段で記憶された識別子に対応するサーバにより指定された前記記録媒体上の記憶領域は、前記プログラムが記憶されている記憶領域であることを特徴とする請求項２記載のコンテンツ再生装置。
【請求項９】
前記生成手段は、前記記憶手段で記憶された識別子に対応するサーバから送信されたデータ系列及び当該サーバにより指定された前記記録媒体上の記憶領域から読み出されたデータを基に、前記識別情報を生成することを特徴とする請求項２記載のコンテンツ再生装置。
【請求項１０】
前記再生・実行手段で前記コンテンツデータの再生・実行中に任意のデータに対する書き込み要求を検知する第１の検知手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記任意のデータの識別情報を生成する手段と、
前記識別情報を暗号化することにより、前記任意のデータの証明書を生成する手段と、
前記任意のデータ及び前記証明書を記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項１１】
前記再生・実行手段で前記コンテンツデータの再生・実行中に前記記憶装置に記憶されたデータに対する読み出し要求を検知する第２の検知手段と、
前記第２の検知手段で前記読み出し要求が検知されたとき、前記記憶装置から前記データ及び前記証明書を読み出す手段と、
読み出されたデータの識別情報を生成する手段と、
前記識別情報を暗号化する手段と、
暗号化された識別情報と前記証明書が一致するとき、前記読み出されたデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１０記載のコンテンツ再生装置。
【請求項１２】
前記再生・実行手段で前記コンテンツデータの再生・実行中に任意のデータに対する書き込み要求を検知する第１の検知手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記任意のデータを暗号化することにより暗号化データを生成する手段と、
前記暗号化データを記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項１３】
前記再生・実行手段で前記コンテンツデータの再生・実行中に前記記憶装置に記憶された暗号化データに対する読み出し要求を検知する第２の検知手段と、
前記第３の検知手段で前記読み出し要求が検知されたとき、前記記憶装置から前記暗号化データを読み出す手段と、
読み出された暗号化データを復号する手段と、
復号されたデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１２記載のコンテンツ再生装置。
【請求項１４】
前記再生・実行手段で前記コンテンツデータの再生・実行中に任意のデータに対する書き込み要求を検知する第１の検知手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記任意のデータの識別情報を生成する手段と、
前記記憶手段で記憶された識別子に対応するサーバへ、前記識別情報を送信する手段と、
前記記憶手段で記憶された識別子に対応するサーバから、前記識別情報を基に生成された前記任意のデータの証明書を受信する手段と、
前記任意のデータ及び前記証明書を記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項１５】
前記再生・実行手段で前記コンテンツデータの再生・実行中に前記記憶装置に記憶されたデータに対する読み出し要求を検知する第２の検知手段と、
前記第２の検知手段で前記読み出し要求が検知されたとき、前記記憶装置から前記データ及び前記証明書を読み出す手段と、
読み出されたデータの識別情報を生成する手段と、
前記記憶手段で記憶された識別子に対応するサーバへ、前記識別情報及び前記証明書を送信する手段と、
前記記憶手段で記憶された識別子に対応するサーバから、前記識別情報の検証結果を受信する手段と、
前記識別情報が正当である旨の検証結果を受信したとき、前記読み出されたデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１４記載のコンテンツ再生装置。
【請求項１６】
前記再生・実行手段で前記コンテンツデータの再生・実行中に任意のデータに対する書き込み要求を検知する第１の検知手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記記憶手段で記憶された識別子に対応するサーバへ前記任意のデータを送信する手段と、
前記記憶手段で記憶された識別子に対応するサーバから、暗号化データを受信する手段と、
前記暗号化データを記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項１７】
前記再生・実行手段で前記コンテンツデータの再生・実行中に前記記憶装置に記憶された暗号化データに対する読み出し要求を検知する第２の検知手段と、
前記第２の検知手段で前記読み出し要求が検知されたとき、前記記憶装置から前記暗号化データを読み出す手段と、
前記記憶手段で記憶された識別子に対応するサーバへ、読み出された暗号化データを送信する手段と、
前記記憶手段で記憶された識別子に対応するサーバから、復号されたデータを受信する手段と、
受信したデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１６記載のコンテンツ再生装置。
【請求項１８】
前記受信手段は、前記記録媒体の正当性が検証されたことを示す通知とともに、前記記録媒体の正当性の有効期間を、前記記憶手段で記憶された識別子に対応するサーバから受信し、
前記有効期間が経過した場合と、予め定められたユーザ操作が行われた場合に、前記通信手段は、前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行うことを特徴とする請求項２記載のコンテンツ再生装置。
【請求項１９】
前記受信手段は、前記記録媒体の正当性が検証されたことを示す通知とともに、前記コンテンツ再生装置の識別情報を、前記記憶手段で記憶された識別子に対応するサーバから受信して、当該識別情報を前記記憶手段に記憶し、
前記接続手段は、前記接続要求を受けて、前記記憶手段で記憶された識別子に対応するサーバへ接続する際には、前記コンテンツ再生装置の識別情報を当該サーバへ送信することを特徴とする請求項２記載のコンテンツ再生装置。
【請求項２０】
前記受信手段は、前記記録媒体の正当性が検証されたことを示す通知とともに、前記コンテンツ再生装置の識別情報及び前記記録媒体の正当性の有効期間を、前記記憶手段で記憶された識別子に対応するサーバから受信し、
前記有効期間が経過した場合と、予め定められたユーザ操作が行われた場合に、前記記憶手段から前記コンテンツ再生装置の識別情報を削除することを特徴とする請求項１９記載のコンテンツ再生装置。
【請求項２１】
前記通信手段は、前記記録媒体の正当性が検証された後、一定の周期で、あるいは不定期に、前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行うことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項２２】
前記接続手段は、前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記書き込み要求を受けて前記記憶手段で記憶された識別子に対応するサーバへ接続することを特徴とする請求項１４または１６記載のコンテンツ再生装置。
【請求項２３】
前記接続手段は、前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記読み出し要求を受けて前記記憶手段で記憶された識別子に対応するサーバへ接続することを特徴とする請求項１５または１７記載のコンテンツ再生装置。
【請求項２４】
前記証明書の生成されないデータの前記記憶装置への書き込みを許可する旨のフラグを記憶する手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記許可する旨のフラグが記憶されている場合には、前記任意のデータを前記記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１４記載のコンテンツ再生装置。
【請求項２５】
前記証明書を用いた検証を行わないで読み出しを許可する旨のフラグを記憶する手段と、
前記第２の検知手段で前記読み出し要求が検知されたとき、前記許可する旨のフラグが記憶されている場合には、前記記憶装置から読み出されたデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１５記載のコンテンツ再生装置。
【請求項２６】
暗号化されていないデータの前記記憶装置への書き込みを許可する旨のフラグを記憶する手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記許可する旨のフラグが記憶されている場合には、前記任意のデータを前記記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１６記載のコンテンツ再生装置。
【請求項２７】
復号を行わないで読み出しを許可する旨のフラグを記憶する手段と、
前記第２の検知手段で前記読み出し要求が検知されたとき、前記許可する旨のフラグが記憶されている場合には、前記記憶装置から読み出されたデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１７記載のコンテンツ再生装置。
【請求項２８】
映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する第１のステップと、
前記記録媒体から前記アクセス許可するサーバを示す識別子を読み出す第２のステップと、
読み出された前記識別子を記憶手段で記憶する第３のステップと、
前記第１のステップで再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と前記記憶手段で記憶された識別子とが一致するか否かを検証する第４のステップと、
前記記憶手段で記憶された識別子に対応するサーバの正当性を検証する第５のステップと、
前記記憶手段で記憶された識別子に対応するサーバで、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行う第６のステップと、
前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致し、且つ前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記記憶手段で記憶された識別子に対応するサーバへ接続する第７のステップと、
を有すること特徴とするコンテンツ再生方法。
【請求項２９】
映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
記憶手段を備えたコンピュータに、
前記記録媒体から前記識別子を読み出す第１のステップと、
前記第１のステップで読み出された前記識別子を前記記憶手段で記憶する第２のステップと、
前記再生・実行手段で前記コンテンツデータの再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と前記記憶手段で記憶された識別子とが一致するか否かを検証する第３のステップと、
前記記憶手段で記憶された識別子に対応するサーバの正当性を検証する第４のステップと、
前記記憶手段で記憶された識別子に対応するサーバにおいて、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行う第５のステップと、
前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致し、且つ前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記記憶手段で記憶された識別子に対応するサーバへ接続する第６のステップと、
実行させるためのプログラム。
【請求項１】
映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
前記記録媒体から前記アクセス許可するサーバを示す識別子を読み出す読出手段と、
読み出された前記識別子を記憶する記憶手段と、
前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と前記記憶手段で記憶された識別子とが一致するか否かを検証する識別子検証手段と、
前記記憶手段で記憶された識別子に対応するサーバの正当性を検証するサーバ検証手段と、
前記記憶手段で記憶された識別子に対応するサーバで、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行う通信手段と、
前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致し、且つ前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記記憶手段で記憶された識別子に対応するサーバへ接続する接続手段と、
を具備したこと特徴とするコンテンツ再生装置。
【請求項２】
前記通信手段は、
前記記憶手段で記憶された識別子に対応するサーバで前記記録媒体の正当性を検証するために、当該サーバにより指定された前記記録媒体上の記憶領域から読み出されたデータから、当該データの識別情報を生成する生成手段と、
前記識別情報を前記記憶手段で記憶された識別子に対応するサーバへ送信する送信手段と、
前記記憶手段で記憶された識別子に対応するサーバから、前記記録媒体の検証結果を受信する受信手段と、
を含むことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項３】
前記読出手段は、前記コンテンツ再生装置に前記記録媒体が挿入されたときに、当該記録媒体から前記識別子を読み出すことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項４】
前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致したとき、前記サーバ検証手段で前記記憶手段で記憶された識別子に対応するサーバの正当性を検証し、前記記憶手段で記憶された識別子に対応するサーバの正当性が検証されたとき、前記記録媒体の正当性が検証されることを特徴とする請求項１記載のコンテンツ再生装置。
【請求項５】
前記サーバ検証手段で前記記憶手段で記憶された識別子に対応するサーバの正当性が検証されたとき、前記記録媒体の正当性が検証されることを特徴とする請求項１記載のコンテンツ再生装置。
【請求項６】
前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致し、且つ前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記記憶手段で記憶された識別子に対応するサーバは、前記記録媒体に記憶されているコンテンツデータに対し、予め定められた特定のサーバであることを特徴とする請求項１記載のコンテンツ再生装置。
【請求項７】
前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証された後、前記接続要求が検知された場合には、前記接続手段は、前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致したときに、前記記憶手段で記憶された識別子に対応するサーバへ接続することを特徴とする請求項１記載のコンテンツ再生装置。
【請求項８】
前記記憶手段で記憶された識別子に対応するサーバにより指定された前記記録媒体上の記憶領域は、前記プログラムが記憶されている記憶領域であることを特徴とする請求項２記載のコンテンツ再生装置。
【請求項９】
前記生成手段は、前記記憶手段で記憶された識別子に対応するサーバから送信されたデータ系列及び当該サーバにより指定された前記記録媒体上の記憶領域から読み出されたデータを基に、前記識別情報を生成することを特徴とする請求項２記載のコンテンツ再生装置。
【請求項１０】
前記再生・実行手段で前記コンテンツデータの再生・実行中に任意のデータに対する書き込み要求を検知する第１の検知手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記任意のデータの識別情報を生成する手段と、
前記識別情報を暗号化することにより、前記任意のデータの証明書を生成する手段と、
前記任意のデータ及び前記証明書を記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項１１】
前記再生・実行手段で前記コンテンツデータの再生・実行中に前記記憶装置に記憶されたデータに対する読み出し要求を検知する第２の検知手段と、
前記第２の検知手段で前記読み出し要求が検知されたとき、前記記憶装置から前記データ及び前記証明書を読み出す手段と、
読み出されたデータの識別情報を生成する手段と、
前記識別情報を暗号化する手段と、
暗号化された識別情報と前記証明書が一致するとき、前記読み出されたデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１０記載のコンテンツ再生装置。
【請求項１２】
前記再生・実行手段で前記コンテンツデータの再生・実行中に任意のデータに対する書き込み要求を検知する第１の検知手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記任意のデータを暗号化することにより暗号化データを生成する手段と、
前記暗号化データを記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項１３】
前記再生・実行手段で前記コンテンツデータの再生・実行中に前記記憶装置に記憶された暗号化データに対する読み出し要求を検知する第２の検知手段と、
前記第３の検知手段で前記読み出し要求が検知されたとき、前記記憶装置から前記暗号化データを読み出す手段と、
読み出された暗号化データを復号する手段と、
復号されたデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１２記載のコンテンツ再生装置。
【請求項１４】
前記再生・実行手段で前記コンテンツデータの再生・実行中に任意のデータに対する書き込み要求を検知する第１の検知手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記任意のデータの識別情報を生成する手段と、
前記記憶手段で記憶された識別子に対応するサーバへ、前記識別情報を送信する手段と、
前記記憶手段で記憶された識別子に対応するサーバから、前記識別情報を基に生成された前記任意のデータの証明書を受信する手段と、
前記任意のデータ及び前記証明書を記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項１５】
前記再生・実行手段で前記コンテンツデータの再生・実行中に前記記憶装置に記憶されたデータに対する読み出し要求を検知する第２の検知手段と、
前記第２の検知手段で前記読み出し要求が検知されたとき、前記記憶装置から前記データ及び前記証明書を読み出す手段と、
読み出されたデータの識別情報を生成する手段と、
前記記憶手段で記憶された識別子に対応するサーバへ、前記識別情報及び前記証明書を送信する手段と、
前記記憶手段で記憶された識別子に対応するサーバから、前記識別情報の検証結果を受信する手段と、
前記識別情報が正当である旨の検証結果を受信したとき、前記読み出されたデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１４記載のコンテンツ再生装置。
【請求項１６】
前記再生・実行手段で前記コンテンツデータの再生・実行中に任意のデータに対する書き込み要求を検知する第１の検知手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記記憶手段で記憶された識別子に対応するサーバへ前記任意のデータを送信する手段と、
前記記憶手段で記憶された識別子に対応するサーバから、暗号化データを受信する手段と、
前記暗号化データを記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項１７】
前記再生・実行手段で前記コンテンツデータの再生・実行中に前記記憶装置に記憶された暗号化データに対する読み出し要求を検知する第２の検知手段と、
前記第２の検知手段で前記読み出し要求が検知されたとき、前記記憶装置から前記暗号化データを読み出す手段と、
前記記憶手段で記憶された識別子に対応するサーバへ、読み出された暗号化データを送信する手段と、
前記記憶手段で記憶された識別子に対応するサーバから、復号されたデータを受信する手段と、
受信したデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１６記載のコンテンツ再生装置。
【請求項１８】
前記受信手段は、前記記録媒体の正当性が検証されたことを示す通知とともに、前記記録媒体の正当性の有効期間を、前記記憶手段で記憶された識別子に対応するサーバから受信し、
前記有効期間が経過した場合と、予め定められたユーザ操作が行われた場合に、前記通信手段は、前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行うことを特徴とする請求項２記載のコンテンツ再生装置。
【請求項１９】
前記受信手段は、前記記録媒体の正当性が検証されたことを示す通知とともに、前記コンテンツ再生装置の識別情報を、前記記憶手段で記憶された識別子に対応するサーバから受信して、当該識別情報を前記記憶手段に記憶し、
前記接続手段は、前記接続要求を受けて、前記記憶手段で記憶された識別子に対応するサーバへ接続する際には、前記コンテンツ再生装置の識別情報を当該サーバへ送信することを特徴とする請求項２記載のコンテンツ再生装置。
【請求項２０】
前記受信手段は、前記記録媒体の正当性が検証されたことを示す通知とともに、前記コンテンツ再生装置の識別情報及び前記記録媒体の正当性の有効期間を、前記記憶手段で記憶された識別子に対応するサーバから受信し、
前記有効期間が経過した場合と、予め定められたユーザ操作が行われた場合に、前記記憶手段から前記コンテンツ再生装置の識別情報を削除することを特徴とする請求項１９記載のコンテンツ再生装置。
【請求項２１】
前記通信手段は、前記記録媒体の正当性が検証された後、一定の周期で、あるいは不定期に、前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行うことを特徴とする請求項１記載のコンテンツ再生装置。
【請求項２２】
前記接続手段は、前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記書き込み要求を受けて前記記憶手段で記憶された識別子に対応するサーバへ接続することを特徴とする請求項１４または１６記載のコンテンツ再生装置。
【請求項２３】
前記接続手段は、前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記読み出し要求を受けて前記記憶手段で記憶された識別子に対応するサーバへ接続することを特徴とする請求項１５または１７記載のコンテンツ再生装置。
【請求項２４】
前記証明書の生成されないデータの前記記憶装置への書き込みを許可する旨のフラグを記憶する手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記許可する旨のフラグが記憶されている場合には、前記任意のデータを前記記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１４記載のコンテンツ再生装置。
【請求項２５】
前記証明書を用いた検証を行わないで読み出しを許可する旨のフラグを記憶する手段と、
前記第２の検知手段で前記読み出し要求が検知されたとき、前記許可する旨のフラグが記憶されている場合には、前記記憶装置から読み出されたデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１５記載のコンテンツ再生装置。
【請求項２６】
暗号化されていないデータの前記記憶装置への書き込みを許可する旨のフラグを記憶する手段と、
前記第１の検知手段で前記書き込み要求が検知されたとき、前記許可する旨のフラグが記憶されている場合には、前記任意のデータを前記記憶装置に記憶する手段と、
をさらに具備したことを特徴とする請求項１６記載のコンテンツ再生装置。
【請求項２７】
復号を行わないで読み出しを許可する旨のフラグを記憶する手段と、
前記第２の検知手段で前記読み出し要求が検知されたとき、前記許可する旨のフラグが記憶されている場合には、前記記憶装置から読み出されたデータを前記再生・実行手段へ出力する手段と、
をさらに具備したことを特徴とする請求項１７記載のコンテンツ再生装置。
【請求項２８】
映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する第１のステップと、
前記記録媒体から前記アクセス許可するサーバを示す識別子を読み出す第２のステップと、
読み出された前記識別子を記憶手段で記憶する第３のステップと、
前記第１のステップで再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と前記記憶手段で記憶された識別子とが一致するか否かを検証する第４のステップと、
前記記憶手段で記憶された識別子に対応するサーバの正当性を検証する第５のステップと、
前記記憶手段で記憶された識別子に対応するサーバで、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行う第６のステップと、
前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致し、且つ前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記記憶手段で記憶された識別子に対応するサーバへ接続する第７のステップと、
を有すること特徴とするコンテンツ再生方法。
【請求項２９】
映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
記憶手段を備えたコンピュータに、
前記記録媒体から前記識別子を読み出す第１のステップと、
前記第１のステップで読み出された前記識別子を前記記憶手段で記憶する第２のステップと、
前記再生・実行手段で前記コンテンツデータの再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と前記記憶手段で記憶された識別子とが一致するか否かを検証する第３のステップと、
前記記憶手段で記憶された識別子に対応するサーバの正当性を検証する第４のステップと、
前記記憶手段で記憶された識別子に対応するサーバにおいて、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行う第５のステップと、
前記プログラムに含まれるサーバの識別子と前記記憶手段で記憶された識別子とが一致し、且つ前記記憶手段で記憶された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記記憶手段で記憶された識別子に対応するサーバへ接続する第６のステップと、
実行させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【公開番号】特開２００６−２０９７０５（Ｐ２００６−２０９７０５Ａ）
【公開日】平成１８年８月１０日（２００６．８．１０）
【国際特許分類】
【出願番号】特願２００５−２４５８４（Ｐ２００５−２４５８４）
【出願日】平成１７年１月３１日（２００５．１．３１）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
【公開日】平成１８年８月１０日（２００６．８．１０）
【国際特許分類】
【出願日】平成１７年１月３１日（２００５．１．３１）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
[ Back to top ]