放送型データストリーム保護システム、方法及びユーザ端末特定プログラム
【課題】放送されるデータストリームの配信先で、データストリームの一部が他の配信先のデータストリームと入れ替えられても、配信先を特定してデータストリームを保護できる放送型データストリーム保護システムを提供する。
【解決手段】データ分割手段８１は、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定する。署名手段８２は、ブロックデータごとの鍵情報を用いてメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する。メッセージ認証子抽出手段９３は、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出する。結合メッセージ認証子生成手段９４は、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する。
【解決手段】データ分割手段８１は、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定する。署名手段８２は、ブロックデータごとの鍵情報を用いてメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する。メッセージ認証子抽出手段９３は、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出する。結合メッセージ認証子生成手段９４は、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアント数が大規模なサーバクライアント型ネットワークにおいて、放送されるダウンストリームの二次利用を抑止する放送型データストリーム保護システム、配信サーバ、ユーザ端末、放送型データストリーム保護方法、ユーザ端末特定方法、受信データ再構築方法、ユーザ端末特定プログラム、および、受信データ再構築プログラムに関する。
【背景技術】
【０００２】
大規模なサーバクライアント型ネットワークにおけるダウンストリームを活用したサービスとして、例えば、ＩＰ放送サービスが存在する。一般的なＩＰ放送サービスでは、受信したデータストリームの二次流通については管理していない。一方で、私的利用の範囲内であっても、データストリームの複製については制限されていることが多い。
【０００３】
一方、コンテンツに電子透かしを埋め込み、著作権管理を行うシステムの一例が、特許文献１や特許文献２に記載されている。特許文献１に記載されたアクセス制御方法では、電子透かし技術を用いて各信号に埋め込まれた認可コードに基づいて、実行可能な操作が決定される。また、特許文献２に記載されたコンテンツ保護システムでは、コンテンツに電子透かし著作権保護情報が埋め込まれ、予め保持しているコードと、電子透かし著作権保護情報に埋め込まれたコードとが異なる場合に、ディジタル出力（アナログ出力）を停止させる。
【０００４】
なお、電子透かしについては、非特許文献１に記載されている。非特許文献１によれば、電子透かしは、不可視の状態でコンテンツに埋め込むことが可能であり、透かしを埋め込んだ者（あるいは代理の者）が必要なときに抽出可能な性質を備えている。さらに、電子透かしは、第三者による除去が困難である一方、コンテンツを加工しても抽出が可能という性質を備えている。電子透かしは、このような性質を有するため、コンテンツの著作権保護に用いられる。
【０００５】
また、コンテンツに埋め込んだ電子透かしを用いてコンテンツの著作権を保護する著作権保護システムが特許文献３に記載されている。特許文献３に記載された著作権保護システムでは、まず、映像配信サーバが、映像コンテンツをｎ個の映像要素に分割し、映像要素ごとに異なる電子透かしを挿入した映像要素をｍ個作成する。映像受信クライアントは、映像配信サーバから暗号化された映像コンテンツを受信すると、取得しておいたライセンスを用いて映像要素を復号することで、映像コンテンツを視聴可能にする。一方、フィンガープリント検出装置は、調査対象の映像コンテンツを受け取ると、埋め込まれた電子透かし情報を検出してユーザＩＤを復元することで、不正コピー流出元を特定する。
【０００６】
なお、特許文献４には、コンテンツ暗号化装置（以下、暗号化装置）及びコンテンツ復号装置（以下、復号装置）を用いた暗号化及び復号方法が記載されている。特許文献４に記載された方法では、復号装置が、暗号化装置が生成した暗号化コンテンツの集合を復号対象として、暗号化装置が生成した鍵束の１つを取得する。そして、復号装置は、取得した鍵束を構成する各暗号鍵に対応付けられる暗号化コンテンツ部分を取り出し、取り出した暗号化コンテンツ部分を、各コンテンツに対応付けられた暗号鍵で復号する。そして、復号装置は、復号したコンテンツ部分を統合することでコンテンツを復元する。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特表２００５−５１６３２１号公報（段落０００８）
【特許文献２】特許第４０３８９１９号公報（段落００１０）
【特許文献３】特開２００５−５１７３５号公報（段落００２３）
【特許文献４】特開２００３−７８５２０号公報（段落００１９）
【非特許文献】
【０００８】
【非特許文献１】井上彰、「電子透かし マルチメディア時代の暗号システム」、光芒者、1997、pp.13-15
【発明の概要】
【発明が解決しようとする課題】
【０００９】
以上のような性質を有することから、電子透かしは、データストリームの二次流通を管理する際に有効な手段である。例えば、コンテンツの受信者のＩＤ（以下、署名情報と記すこともある。）を電子透かしとして埋め込み、本署名情報を参照することで受信者を特定できるため、二次流通の抑止が可能になる。
【００１０】
しかし、上記方法を用いる場合、受信者ごとに署名情報を電子透かしとして埋め込んだデータストリームを用意しなければならず、通信量が受信者数に比例して増大してしまうため、放送のメリットであるスケーラビリティが失われるという課題がある。すなわち、データストリームの受信者ごとに署名情報を埋め込む方法は、大規模なデータストリーム放送には不向きである。
【００１１】
一方、特許文献３に記載された著作権保護システムを用いることで、送信するデータ量を抑えつつ、映像コンテンツを送信するユーザＩＤを特定できるため、送信される映像コンテンツの二次流通を抑止することは可能である。
【００１２】
しかし、特許文献３に記載された著作権保護システムでは、受け取った映像コンテンツをｎ個の要素に分割し、分割した各要素から検出される電子透かし情報を復元することでユーザＩＤを特定する。そのため、映像コンテンツの受信者が複数人存在し、各受信者が受信した映像コンテンツの要素を他者のみが復号可能な要素と交換したうえで再結合した場合、その映像コンテンツから特定されるユーザＩＤを第３者が受信元であるように偽ることが可能になる。このように、複数人の受信者が結託して要素を入れ替えた場合、映像コンテンツを送信するユーザＩＤを正しく特定できないという課題がある。
【００１３】
そこで、本発明は、放送されるデータストリームの配信先で、データストリームの一部が他の配信先のデータストリームと入れ替えられても、配信先を特定してデータストリームを保護できる放送型データストリーム保護システム、配信サーバ、ユーザ端末、放送型データストリーム保護方法、ユーザ端末特定方法、受信データ再構築方法、ユーザ端末特定プログラム、および、受信データ再構築プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１４】
本発明による放送型データストリーム保護システムは、データストリームを配信する配信サーバと、配信サーバから配信されるデータストリームを受信するユーザ端末とを備え、配信サーバが、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段とを備え、ユーザ端末が、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号する復号手段と、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、再構築されたデータストリームに結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えたことを特徴とする。
【００１５】
本発明による配信サーバは、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段と、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定手段とを備え、ユーザ端末特定手段が、ユーザ端末が送信するデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割したデータをブロックデータと決定する再構築データ分割手段と、ブロックデータに対応する鍵情報を用いてブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段と、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段と、結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段とを含むことを特徴とする。
【００１６】
本発明によるユーザ端末は、データストリームそれ自体又はデータストリームを分割したデータであるブロックデータをそのブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバからブロックデータを受信するユーザ端末であって、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号する復号手段と、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、再構築されたデータストリームに結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えたことを特徴とする。
【００１７】
本発明による放送型データストリーム保護方法は、データストリームを配信する配信サーバが、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、配信サーバが、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、配信サーバが、生成したメッセージ認証子を各ブロックデータに付与し、配信サーバが、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化し、配信サーバから配信されるデータストリームを受信するユーザ端末が、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号し、ユーザ端末が、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、ユーザ端末が、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成し、ユーザ端末が、再構築されたデータストリームに結合メッセージ認証子を付与することを特徴とする。
【００１８】
本発明によるユーザ端末特定方法は、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与し、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化し、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定し、ユーザ端末を特定する際に、ユーザ端末が送信するデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割したデータをブロックデータと決定し、ブロックデータに対応する鍵情報を用いてブロックデータタごとのメッセージ認証子を生成し、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成し、結合メッセージ認証子が再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定することを特徴とする。
【００１９】
本発明による受信データ再構築方法は、データストリームそれ自体又はデータストリームを分割したデータであるブロックデータをそのブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバからブロックデータを受信するユーザ端末が、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号し、ユーザ端末が、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、ユーザ端末が、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成し、ユーザ端末が、再構築されたデータストリームに結合メッセージ認証子を付与することを特徴とする。
【００２０】
本発明によるユーザ端末特定プログラムは、コンピュータに、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割処理、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名処理、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化処理、および、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定処理を実行させ、ユーザ端末特定処理で、ユーザ端末が送信するデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割したデータをブロックデータと決定する再構築データ分割処理、ブロックデータに対応する鍵情報を用いてブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成処理、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合処理、および、結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定処理を実行させることを特徴とする。
【００２１】
本発明による受信データ再構築プログラムは、データストリームそれ自体又はデータストリームを分割したデータであるブロックデータをそのブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバからブロックデータを受信するコンピュータに適用される受信データ再構築プログラムであって、コンピュータに、ブロックデータごとの暗号化及び復号に用いられる情報としてコンピュータごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号する復号処理、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築処理、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出処理、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成処理、および、再構築されたデータストリームに結合メッセージ認証子を付与する結合メッセージ認証子付与処理を実行させることを特徴とする。
【発明の効果】
【００２２】
本発明によれば、放送されるデータストリームの配信先で、データストリームの一部が他の配信先のデータストリームと入れ替えられても、配信先を特定してデータストリームを保護できる。
【図面の簡単な説明】
【００２３】
【図１】本発明の第１の実施形態における放送型データストリーム保護システムの例を示すブロック図である。
【図２】配信サーバが用意する鍵プールの例を示す説明図である。
【図３】ユーザ端末に割り当てられる鍵情報の例を示す説明図である。
【図４】各データストリームが分割された場合の例を示す説明図である。
【図５】各データストリームのブロックにメッセージ認証子が埋め込まれて暗号化されたブロックの例を示す説明図である。
【図６】第１の実施形態における放送型データストリーム保護システムの動作の一例を示すフローチャートである。
【図７】受信者特定手段１５が不正流通の出所を特定する処理の例を示すフローチャートである。
【図８】本発明の第２の実施形態における放送型データストリーム保護システムの例を示すブロック図である。
【図９】第２の実施形態における放送型データストリーム保護システムの動作の一例を示すフローチャートである。
【図１０】受信者特定手段３５が不正流通の出所を特定する処理の例を示すフローチャートである。
【図１１】本発明による放送型データストリーム保護システムの最小構成の例を示すブロック図である。
【図１２】本発明による配信サーバの最小構成の例を示すブロック図である。
【図１３】本発明によるユーザ端末の最小構成の例を示すブロック図である。
【発明を実施するための形態】
【００２４】
以下、本発明の実施形態を図面を参照して説明する。
【００２５】
実施形態１．
図１は、本発明の第１の実施形態における放送型データストリーム保護システムの例を示すブロック図である。本実施形態における放送型データストリーム保護システムは、配信サーバ１０と、ユーザ端末２０とを備えている。配信サーバ１０とユーザ端末２０とは、通信ネットワーク１００を介して接続される。なお、通信ネットワーク１００の形態は特に限定されない。
【００２６】
配信サーバ１０は、放送されるデータストリームを暗号化して配信する装置である。配信サーバ１０は、具体的には、プログラムに従って動作するパーソナルコンピュータ等の情報処理装置によって実現される。
【００２７】
ユーザ端末２０は、配信サーバ１０から配信されるデータストリームを受信する装置である。ユーザ端末２０は、データストリームの再生に必要なデバイスを搭載し、少なくとも配信サーバ１０から配信されるデータストリームを受信する通信部（図示せず）、及び、受信したデータストリームを処理するための制御部（図示せず）を備えた情報処理装置によって実現される。
【００２８】
図１に例示する放送型データストリーム保護システムでは、ユーザ端末２０を１台のみ示しているが、ユーザ端末２０は１台に限られず２台以上であってもよい。２台以上の場合の各ユーザ端末２０の構成は、図１に例示する構成と同様である。
【００２９】
配信サーバ１０は、事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段１５とを備えている。
【００３０】
事前鍵割当手段１１は、データの暗号化及び復号に用いられる鍵情報をユーザ端末２０ごとに一意になるように生成し、生成した鍵情報を各ユーザ端末２０に割り当てる。以下、事前鍵割当手段１１が鍵情報として生成する方法について、具体的に説明する。以下の説明では、鍵情報として、共通鍵暗号の鍵を用いるものとする。
【００３１】
まず、共通鍵暗号の鍵を登録するＪ個の鍵プールｊ（１≦ｊ≦Ｊ）を用意し、各鍵プールに、ランダムかつ一意（ユニーク）に生成した鍵をＩ個登録しておく。ここで、Ｊ及びＩは１以上の整数である。以下、鍵プールｊのｉ個目の鍵をＫｉ，ｊと記す。ただし、１≦ｉ≦Ｉである。
【００３２】
また、鍵Ｋｉ，ｊと、その鍵Ｋｉ，ｊが選択された鍵プールを特定する情報ｊと、鍵プールｊ内においてその鍵を特定する情報ｉとを管理するデータ構造を定義したときに、そのデータ構造に基づいてそれぞれ対応する内容を含む情報を鍵情報と記す。以下、この鍵情報を（ｉ，ｊ，Ｋｉ，ｊ）と記す。ただし、この鍵情報は、ｉ、ｊ、及び、Ｋｉ，ｊの３種の情報を管理するデータ構造として定義され、それぞれに対応する情報が格納されて生成される情報であって、配信サーバ１０と、ユーザ端末２０との間でフォーマット（データ構造）が共有されていれば、上記フォーマット（データ構造）に限定されない。
【００３３】
事前鍵割当手段１１は、各鍵プールから１個ずつ鍵を選択して鍵の組合せを作成する。その際、事前鍵割当手段１１は、鍵の組合せがユーザ端末ごとに一意になるように鍵を選択して鍵情報を作成する。なお、１つの鍵の組合せには、各鍵プールから１個ずつ選択された計Ｊ個の鍵が含まれることになる。そして、事前鍵割当手段１１は、ユーザ端末ごとに一意に選択した鍵情報を、各ユーザ端末２０に割り当てる。
【００３４】
なお、鍵情報を割り当てる方法として、さまざまな方法を用いることが出来る。例えば、事前鍵割当手段１１は、公開鍵暗号における公開鍵と秘密鍵のペアを生成し、ユーザ端末２０に対して公開鍵を事前に公開しておいてもよい。この場合、公開鍵を用いて暗号化された乱数がユーザ端末２０から配信サーバ１０に対して送信されたときに、事前鍵割当手段１１が、ユーザ端末２０ごとに一意の共通鍵暗号の鍵（マスタ鍵）を生成する。そして、事前鍵割当手段１１は、そのマスタ鍵を用いて個別に暗号化した鍵情報を、各ユーザ端末２０に送信してもよい。
【００３５】
他にも、システム運用前に安全なチャネルの用意が可能な場合、事前鍵割当手段１１は、そのチャネルを用いてユーザ端末２０それぞれに鍵情報を送信してもよい。
【００３６】
図２は、Ｉ＝２、Ｊ＝３のときに配信サーバ１０が用意する鍵プールの例を示す説明図である。また、図３は、ユーザ端末２０に割り当てられる鍵情報の例を示す説明図である。Ｉ＝２、Ｊ＝３のとき、一意になる鍵の組合せは計８個（ＩのＪ乗個）存在する。よって、本システムに含まれるユーザ端末２０の最大数は８台になる。図３に例示するテーブルは、８台のユーザ端末それぞれに鍵情報を割り当てたものである。
【００３７】
なお、どの鍵情報を、どのユーザ端末２０に割り当てるか（すなわち、鍵情報を割り当てるユーザ端末２０）については、配信サーバ１０がランダムに割り当て先を決定すればよい。以下の説明では、配信サーバ１０が、図３に例示するテーブルを管理し、このテーブルを参照することで、ユーザ端末に割り当てられた鍵情報を特定する場合について説明する。
【００３８】
分割手段１２は、データストリーム（又は、データストリームを含みそのデータストリームから複製されたデータストリーム群）を、所定の分割方法を用いて各データストリームごとに分割する。例えば、分割手段１２は、システム運用前に、放送するデータストリームを受信者数より少ないＩ本のデータストリームに複製する。そして、分割手段１２は、オリジナルを含む全複製データストリームを、所定の分割方法によってＪ個のブロックに分割する。なお、以下の説明では、オリジナルを含む全複製データストリームを、複製データストリームと記すこともある。
【００３９】
ただし、分割手段１２は、データストリームを分割せず、データストリームそれ自体を分割したデータと扱ってもよい。以下、データストリームそれ自体又はデータストリームを分割したデータをまとめてブロックと記す。以下の説明で、分割手段１２がデータストリームそれ自体又はデータストリームを分割したデータをブロックと決定するとは、各データストリームを分割すること、及び、データストリームを分割せずにデータストリームそれ自体を分割データとして取り扱うことを意味するものとする。
【００４０】
分割手段１２は、所定の分割方法として、例えば、データの周波数成分ごとに分割する方法や、時間軸方向に分割する方法を用いてもよい。また、データストリームが映像の場合（以下、映像データストリームと記す。）、分割手段１２は、所定の分割方法として、映像の矩形領域ごとに分割する方法や、色成分ごとに分割する方法、解像度ごとに分割する方法などを用いてもよい。なお、分割方法は、上記方法に限られない。分割手段１２は、配信サーバ１０において実現可能な他の方法を用いてデータストリームを分割してもよい。
【００４１】
図４は、Ｉ＝２、Ｊ＝３のとき、データストリームがＩ本に複製され、各データストリームがＪ個に分割された場合の例を示す説明図である。図４に示す例では、ｉ本目のデータストリームにおけるｊ個目のブロックをｉ−ｊと示す。例えば、Ｉ＝２、Ｊ＝３のとき、分割手段１２は、データストリームを２本に複製し、個々のデータストリームを３個のブロックに分割する。
【００４２】
署名手段１３は、ブロックごとの暗号化及び復号に用いられる鍵情報を用いてブロックごとにメッセージ認証子（ＭＡＣ：Message Authentication Code ）を生成し、生成したメッセージ認証子をそれぞれのブロックに付与する。具体的には、署名手段１３は、ｉ本目の複製データストリームにおけるｊ個目のブロックに対し鍵Ｋｉ，ｊを用いてメッセージ認証子を生成する。そして、署名手段１３は、生成したメッセージ認証子を電子透かしとして各ブロック（すなわち、ｉ本目の複製データストリームにおけるｊ個目のブロック）に埋め込む。メッセージ認証子を用いることで、共通鍵を持つ検証者（配信サーバ１０）がメッセージの内容の変化を検出できるため、メッセージの完全性とその認証を保護することができる。
【００４３】
署名手段１３は、例えば、以下の参考文献１に記載されているように、共通鍵暗号を用いてメッセージ認証子を生成してもよい。他にも、署名手段１３は、以下の参考文献２に記載されているように、鍵付きハッシュ関数を用いてメッセージ認証子を生成してもよい。なお、メッセージ認証子の生成方法は、上記方法に限られない。署名手段１３は、配信サーバ１０において実現可能な他の方法を用いてメッセージ認証子を生成してもよい。
【００４４】
［参考文献１］
James H.Burrows、”FIPS PUB 113 - Computer Data Authentication - the Federal Information Processing Standard publication that defines the Data Authentication Algorithm”、［online］、１９８５年５月、［平成２１年１２月９日検索］、インターネット〈 http://www.itl.nist.gov/fipspubs/fip113.htm〉
［参考文献２］
H.Krawczyk、外２名、”RFC 2104 HMAC : Keyed-Hashing for Message Authentication”、［online］、１９９７年２月、［平成２１年１２月９日検索］、インターネット〈 URL：http://tools.ietf.org/html/rfc2104〉
【００４５】
暗号化手段１４は、ブロックごとの鍵情報を用いて、メッセージ認証子が付与された各ブロックを暗号化する。具体的には、暗号化手段１４は、メッセージ認証子を電子透かしとして埋め込んだｉ本目の複製データストリームにおけるｊ個目のブロックを鍵Ｋｉ，ｊを用いて暗号化する。なお、暗号化手段１４が暗号化処理を完了したことで、データストリームを放送する準備が完了する。この後、暗号化手段１４は、暗号化したデータストリームをユーザ端末２０に対して放送する。
【００４６】
図５は、Ｉ＝２、Ｊ＝３のとき、署名手段１３が各データストリームのブロックにメッセージ認証子を埋め込んだ後、暗号化手段１４によって暗号化されたブロックの例を示す説明図である。図５における「ｘ｜｜ｙ」は、データ（ブロック）ｘに対し、電子透かしｙが埋め込まれていることを意味する。また、図５における「ｍａｃ（ｘ，ｙ）」は、データ（ブロック）ｘに対し、鍵ｙを用いて生成したメッセージ認証子を意味する。また、「Ｅ（ｘ，ｙ）」は、データ（ブロック）ｘを鍵ｙを用いて暗号化した結果を意味する。
【００４７】
例えば、図５に例示する（ｉ，ｊ）＝（１，１）のブロックは、ブロック１−１に対し、鍵Ｋ１，１を用いて生成したメッセージ認証子ｍａｃ（１−１，Ｋ１，１）がブロック１−１に埋め込まれ、メッセージ認証子が埋め込まれたブロック１−１が鍵Ｋ１，１を用いて暗号化されたことを示す。
【００４８】
受信者特定手段１５は、放送したデータストリームの不正な二次流通（不正流通）が存在するか否かを判定し、他の装置に対してデータストリームを送信するユーザ端末２０を特定する。なお、受信者特定手段１５がユーザ端末２０を特定する機能については後述する。
【００４９】
事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段１５とは、プログラム（ユーザ端末特定プログラム）に従って動作するコンピュータのＣＰＵによって実現される。例えば、プログラムは、配信サーバ１０の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、事前鍵割当手段１１、分割手段１２、署名手段１３、暗号化手段１４及び受信者特定手段１５として動作してもよい。また、事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段１５とは、それぞれが専用のハードウェアで実現されていてもよい。
【００５０】
ユーザ端末２０は、鍵情報記憶手段２１と、復号手段２２と、再構築手段２３とを備えている。なお、鍵情報記憶手段２１、復号手段２２及び再構築手段２３は、上述の制御部（図示せず）に含まれていてもよい。
【００５１】
鍵情報記憶手段２１は、配信サーバ１０の事前鍵割当手段１１によって割り当てられたユーザ端末２０ごとに一意になるＪ個の鍵情報の組を記憶する。
【００５２】
例えば、配信サーバ１０の公開鍵がユーザ端末２０に対して事前に公開されており、ユーザ端末２０が備えるメモリ（図示せず）に、その公開鍵が記憶されているものとする。このとき、例えば、システム運用前に、ユーザ端末２０の制御部（図示せず）は、乱数を生成し、生成した乱数を公開鍵で暗号化して配信サーバ１０に送信する。配信サーバ１０は、ユーザ端末２０ごとに一意の鍵情報の組を生成し、受信した乱数をもとにその鍵情報を暗号化してユーザ端末２０に返信する。制御部（図示せず）は、受信した鍵情報の組を復号したのち、耐タンパ性を備えるモジュール内に鍵情報の組を記憶する。そして、制御部（図示せず）は、そのモジュールを鍵情報記憶手段２１に記憶させる。このようにして、鍵情報記憶手段２１に鍵情報の組を記憶させてもよい。
【００５３】
ここで、耐タンパ性を備えるモジュールとは、例えば、以下の参考文献３に記載されているように、秘密データを外部から不当に観測、改変することや、秘密データの利用制御部を不当に改変することが困難なように意図して作られたモジュールのことを言う。
【００５４】
［参考文献３］
松本、井上，「耐タンパーモジュールの認証に関する考察」，Technical report of IEICE. ISEC 97(380)，pp.33-44，1997
【００５５】
また、システム運用前に安全なチャネルの用意が可能な場合、ユーザ端末２０の制御部（図示せず）は、そのチャネルを用いて配信サーバ１０から受信した鍵情報を鍵情報記憶手段２１に記憶させてもよい。鍵情報記憶手段２１は、例えば、ユーザ端末２０が備える磁気ディスク等により実現される。
【００５６】
復号手段２２は、ユーザ端末２０ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックを復号する。具体的には、復号手段２２は、暗号化された状態で放送されるデータストリーム（以下、暗号化データストリームと記すこともある。）を、鍵情報記憶手段２１が記憶するＪ個の鍵情報（ｉ，ｊ，Ｋｉ，ｊ）を用いて、ｉ本目の暗号化データストリームにおけるｊ番目のブロックを、計Ｊ個復号する。なお、共通鍵暗号の鍵を用いて暗号化されたデータを復号する方法は広く知られているため、ここでは説明を省略する。
【００５７】
再構築手段２３は、鍵情報を用いて復号された各ブロックを結合してデータストリームを再構築する。具体的には、再構築手段２３は、復号手段２２が復号したブロック（復号結果）を所定の結合方法によって結合し、データストリームを利用可能な状態にする。このとき、所定の結合方法を、例えば、上述した所定の分割方法で分割する処理と逆方向の処理として定義してもよい。
【００５８】
すなわち、再構築手段２３は、所定の結合方法として、例えば、データの周波数成分ごとに結合する方法や、時間軸方向に結合する方法を用いてもよい。また、データストリームが映像の場合、再構築手段２３は、所定の結合方法として、映像の矩形領域ごとに結合する方法や、色成分ごとに結合する方法、解像度ごとに結合する方法などを用いてもよい。なお、結合方法は、上記方法に限られない。再構築手段２３は、ユーザ端末２０において実現可能な他の方法を用いてデータストリームを結合してもよい。
【００５９】
さらに、再構築手段２３は、データストリームの再構築に用いられた各ブロックからメッセージ認証子を抽出する。また、再構築手段２３は、予め定められた変換規則に基づいて、メッセージ認証子を変換する。そして、再構築手段２３は、再構築されたデータストリームに結合メッセージ認証子を付与する。以下、変換後のメッセージ認証子を結合メッセージ認証子と記す。
【００６０】
具体的には、再構築手段２３は、復号手段２２が復号したＪ個のブロックからメッセージ認証子を抽出する。そして、再構築手段２３は、ブロック順に連接したメッセージ認証子を、所定の一方向性ハッシュ関数を用いて結合メッセージ認証子に変換する。さらに、再構築手段２３は、各ブロック内に付与されたもとのメッセージ認証子を除去した後、所定の結合方法によって各ブロックを結合し、オリジナルのデータストリームを生成する。そして、再構築手段２３は、生成したデータストリームに対して結合メッセージ認証子を電子透かしとして埋め込む。
【００６１】
配信サーバ１０の受信者特定手段１５は、上述の通り、放送したデータストリームの不正な二次流通（不正流通）が存在するか否かを判定し、他の装置に対してデータストリームを送信するユーザ端末２０を特定する。受信者特定手段１５は、例えば、通信ネットワーク上のトラフィックを定期的に監視して対象のデータストリームを検出し、検出したデータストリームに対してユーザ端末２０を特定する処理を行ってもよい。
【００６２】
ただし、放送したデータストリームの不正流通が存在するか否かを判定する方法は、上述の方法に限定されない。受信者特定手段１５は、例えば、配信サーバ１０が備えるハードディスクドライブなどの記憶部（図示せず）にデータストリームを記憶させ、そのデータストリームに対して各処理を行ってもよい。
【００６３】
不正流通を発見した場合、受信者特定手段１５は、再構築されたデータストリームそれ自体又はそのデータストリームを分割したデータをブロックと決定し、このブロックに対応する鍵情報を用いてメッセージ認証子を生成する。すなわち、受信者特定手段１５は、再構築されたデータストリームそれ自体又はそのデータストリームを分割したデータに対応する鍵情報を用いてメッセージ認証子を生成する。そして、受信者特定手段１５は、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成し、再構築されたデータストリームから抽出される結合メッセージ認証子と一致するか否かを判定する。両者が一致する場合、受信者特定手段１５は、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末２０を特定する。
【００６４】
具体的には、受信者特定手段１５は、ユーザ端末２０の再構築手段２３が埋め込んだ結合メッセージ認証子と、オリジナルのデータストリームとを分離させる。そして、受信者特定手段１５は、オリジナルのデータストリームを所定の分割方法でＪ個のブロックに分割する。この分割方法は、分割手段１２が分割する方法と同様である。
【００６５】
その後、受信者特定手段１５は、鍵の組合せが一意になるように、各鍵プールから鍵を１個ずつ選択する。そして、受信者特定手段１５は、ｊ個目のブロックに対し鍵プールｊから選択した鍵を用いてメッセージ認証子を生成する。メッセージ認証子の生成方法は、署名手段１３がメッセージ認証子を生成する方法と同様である。
【００６６】
受信者特定手段１５は、先頭のブロックからＪ個目のブロックまで、それぞれ生成したメッセージ認証子を連接する。そして、受信者特定手段１５は、連接したメッセージ認証子をもとに所定の一方向性ハッシュ関数を用いて結合メッセージ認証子を生成し、生成された結合メッセージ認証子と、再構築手段２３が埋め込んだ結合メッセージ認証子とを比較する。この比較処理を、可能性のある鍵の組合せについて総当り的に行う。なお、結合メッセージ認証子の生成方法は、再構築手段２３が結合メッセージ認証子を生成する方法と同様である。
【００６７】
生成した結合メッセージ認証子と、再構築手段２３が埋め込んだ結合メッセージ認証子とが一致した場合、受信者特定手段１５は、結合メッセージ認証子を算出する際に用いられたＪ個のメッセージ認証子の組を生成可能なＪ個の鍵情報の組を特定する。そして、受信者特定手段１５は、特定したＪ個の鍵情報の組に対応付けられたユーザ端末２０を、データストリームの送信元と特定する。
【００６８】
復号手段２２と、再構築手段２３とは、プログラム（受信データ再構築プログラム）に従って動作するコンピュータのＣＰＵによって実現される。例えば、プログラムは、ユーザ端末２０の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、復号手段２２及び再構築手段２３として動作してもよい。また、復号手段２２と、再構築手段２３とは、それぞれが専用のハードウェアで実現されていてもよい。また、再構築手段２３は、耐タンパ性を備えるモジュール内に実装され、ユーザ端末２０の記憶部（図示せず）に記憶される。
【００６９】
次に、動作について説明する。図６は、本実施形態における放送型データストリーム保護システムの動作の一例を示すフローチャートである。まず、本システムによる運用を開始するまでの動作について説明する。
【００７０】
システム運用開始前において、配信サーバ１０の事前鍵割当手段１１は、ユーザ端末２０ごとに一意になる鍵情報の組を生成し、生成した鍵情報を各ユーザ端末２０に割り当てる（ステップＳ１１）。各ユーザ端末２０の制御部（図示せず）は、割り当てられた鍵情報の組を鍵情報記憶手段２１に記憶させる（ステップＵ１１）。
【００７１】
次に、分割手段１２は、放送されるデータストリームを受信者数（より具体的には、ユーザ端末数２０）より少ない数に複製し、オリジナルを含む複製データストリームそれぞれをブロックに分割する（ステップＳ１２）。署名手段１３は、分割されたブロックごとにメッセージ認証子を生成し、生成したメッセージ認証子を電子透かしとして各ブロックに埋め込む（ステップＳ１３）。そして、暗号化手段１４は、メッセージ認証子を埋め込んだブロックを暗号化する（ステップＳ１４）。
【００７２】
以上に例示したステップＳ１１〜Ｓ１４及びステップＵ１１の処理を実行することにより、配信サーバ１０は、ユーザ端末２０に対してデータストリームを放送することが可能になる。すなわち、システムは、運用を開始できる状態になる、
【００７３】
次に、本システムによる運用を開始した後の動作について説明する。
【００７４】
システム運用開始後において、配信サーバ１０の暗号化手段１４は、ブロック単位で暗号化された複数のデータストリームを放送する（ステップＳ１５）。なお、暗号化されて放送されるデータストリームには、オリジナルのデータストリームだけでなく、複製されたデータストリームも含まれる。
【００７５】
ユーザ端末２０の通信部（図示せず）が複製を含む暗号化されたデータストリームを受信すると（ステップＵ１２）、復号手段２２は、複数のデータストリームに含まれるブロックのうち、予め割り当てられた（すなわち、鍵情報記憶手段２１に記憶された）鍵情報で復号可能なブロックを復号する（ステップＵ１３）。そして、再構築手段２３は、それらを結合してオリジナルのデータストリームを再構築する（ステップＵ１４）。
【００７６】
次に、再構築手段２３は、データストリームの再構築に用いられた各ブロックからメッセージ認証子を抽出する（ステップＵ１５）。また、再構築手段２３は、メッセージ認証子を変換して結合メッセージ認証子を生成する（ステップＵ１６）。そして、再構築手段２３は、再構築されたデータストリームに結合メッセージ認証子を付与する（ステップＵ１７）。
【００７７】
一方、配信サーバ１０の受信者特定手段１５は、放送したデータストリームの不正な二次流通（不正流通）があるか否かを判定する（ステップＳ１６）。不正流通を発見できない場合（ステップＳ１６におけるＮＯ）、受信者特定手段１５は、ステップＳ１６以降の処理を繰り返す。一方、不正流通を発見できた場合（ステップＳ１６におけるＹＥＳ）、受信者特定手段１５は、そのデータストリームの最初の受信者、すなわち不正流通の出所を特定する（ステップＳ１７）。
【００７８】
受信者が特定できた場合、例えば、データストリームの配信者は、受信者に著作権侵害等の警告を与えるなど、不正流通への対策をとることが可能になる。
【００７９】
次に、受信者特定手段１５が不正流通の出所を特定するステップＳ１７の処理について説明する。図７は、受信者特定手段１５が不正流通の出所を特定する（すなわち、データストリームを送信したユーザ端末２０を特定する）処理の例を示すフローチャートである。
【００８０】
受信者特定手段１５は、不正に流通する再構築されたデータストリームを検出する（ステップＳ１７１）。受信者特定手段１５は、検出したデータストリームを所定の分割方法で少なくとも一つ以上のブロックに分割する（ステップＳ１７２）。そして、受信者特定手段１５は、各ブロックに対応する鍵情報を用いてメッセージ認証子を生成する（ステップＳ１７３）。
【００８１】
そのあと、受信者特定手段１５は、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成し（ステップＳ１７４）、再構築されたデータストリームから抽出される結合メッセージ認証子と一致するか否かを判定する（ステップＳ１７５）。両者が一致する場合（ステップＳ１７５におけるＹＥＳ）、受信者特定手段１５は、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末２０を特定する（ステップＳ１７６）。
【００８２】
一方、ステップＳ１７５において、両者が一致しない場合（ステップＳ１７５におけるＮＯ）、受信者特定手段１５は、他のメッセージ認証子を対象として結合メッセージ認証子を生成し、生成した結合メッセージ認証子と抽出された結合メッセージとが一致するか否かを判定するステップＳ１７４〜Ｓ１７５の処理を繰り返す。
【００８３】
以上のように、本実施形態によれば、分割手段１２が、データストリームごとに、データストリームそれ自体又は各データストリームを分割したブロックを生成する。そして、署名手段１３が、各ブロックに対応する鍵情報を用いてブロックごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックに付与する。暗号化手段１４は、各ブロックに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックを暗号化する。一方、復号手段２２が、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて暗号化されたブロックを復号する。そして、再構築手段２３が、鍵情報の組を用いて復号された各ブロックを結合してデータストリームを再構築し、データストリームの再構築に用いられた各ブロックからメッセージ認証子を抽出する。さらに、再構築手段２３が、メッセージ認証子を変換した結合メッセージ認証子を生成し、再構築されたデータストリームに結合メッセージ認証子を付与する。
【００８４】
そのため、放送されるデータストリームの配信先で、データストリームの一部が他の配信先のデータストリームと入れ替えられても、配信先を特定してデータストリームを保護できる。
【００８５】
すなわち、本実施形態によれば、ブロックごとに電子透かしとして埋め込んでいたメッセージ認証子を、再構成したデータストリームにただ１個埋め込むように変更している。そのため、受信元が結託してデータブロックを入れ替えるような行為に対して耐性を持たせることが出来る。
【００８６】
また、分割手段１２が、放送するデータストリームを受信者数より少ないＩ本のデータストリームに複製して、それぞれのデータストリームを分割し、署名手段１３が、分割した各ブロックにメッセージ認証子を埋め込むことで、受信者を一意に特定可能なメッセージ認証子のパターンを増加させている。そのため、データストリームからユーザ端末２０を特定できるとともに、通信量が受信者数に比例しないスケーラビリティ性能を備えたシステムを実現できる。
【００８７】
実施形態２．
図８は、本発明の第２の実施形態における放送型データストリーム保護システムの例を示すブロック図である。なお、第１の実施形態と同様の構成については、図１と同一の符号を付し、説明を省略する。本実施形態における放送型データストリーム保護システムは、配信サーバ３０と、ユーザ端末４０とを備えている。
【００８８】
配信サーバ３０は、第１の実施形態における配信サーバ１０と同様、放送されるデータストリームを暗号化して配信する装置である。ユーザ端末４０も、第１の実施形態におけるユーザ端末２０と同様、配信サーバ３０から配信されるデータストリームを受信する装置である。また、図８に例示する放送型データストリーム保護システムでは、ユーザ端末４０を１台のみ示しているが、ユーザ端末４０は１台に限られず２台以上であってもよい。
【００８９】
ユーザ端末４０は、鍵情報記憶手段２１と、復号手段２２と、再構築手段４３とを備えている。再構築手段４３は、第１の実施形態における再構築手段２３と同様に、鍵情報を用いて復号された各ブロックを結合してデータストリームを再構築する。具体的には、再構築手段４３は、復号手段２２が復号したブロック（復号結果）を所定の結合方法によって結合し、データストリームを利用可能な状態にする。このとき、所定の結合方法を、例えば、第１の実施形態で例示した所定の分割方法で分割する処理と逆方向の処理として定義してもよい。ただし、所定の結合方法は、第１の実施形態で例示した方法に限られず、
ユーザ端末４０において実現可能な他の方法であってもよい。
【００９０】
配信サーバ３０は、事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段３５とを備えている。受信者特定手段３５は、第１の実施形態における受信者特定手段１５と同様、放送したデータストリームの不正な二次流通（不正流通）が存在するか否かを判定し、他の装置に対してデータストリームを送信するユーザ端末４０を特定する。
【００９１】
不正流通を発見した場合、受信者特定手段３５は、再構築されたデータストリームを所定の分割方法で少なくとも一つ以上のブロックに分割し、各ブロックに対応する鍵情報を用いてメッセージ認証子を生成する。そして、受信者特定手段３５は、生成された各メッセージ認証子と、再構築されたデータストリームから抽出される各メッセージ認証子とが一致するか否かを判定する。両者が一致する場合、受信者特定手段３５は、そのメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末４０を特定する。
【００９２】
具体的には、不正流通として、例えば、放送されるデータストリームを、インターネット上にアップロードすることなどが想定される。このように、私的利用の範囲を超える二次流通として出回ったデータストリームを発見した場合、受信者特定手段３５は、発見したデータストリームを所定の分割方法によって再分割し、再分割されたブロック個々に電子透かしとして埋め込まれたメッセージ認証子とオリジナルのデータストリームとを分離する。
【００９３】
受信者特定手段３５は、ｊ番目のブロックから分離されたオリジナルのデータストリームをもとに、そのデータストリームに埋め込まれていたメッセージ認証子と同一のメッセージ認証子を計算可能な鍵を、鍵プールｊから総当たりで探索する。同一のメッセージ認証子を計算可能な鍵が発見できた場合、受信者特定手段３５は、発見したＪ個の鍵情報の組に基づいて、データストリームを最初に受信したユーザ端末４０（すなわち、データストリームを送信したユーザ端末４０）を特定する。
【００９４】
事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段３５とは、プログラム（受信者特定プログラム）に従って動作するコンピュータのＣＰＵによって実現される。事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段３５とは、それぞれが専用のハードウェアで実現されていてもよい。
【００９５】
また、復号手段２２と、再構築手段４３とは、プログラム（受信データ再構築プログラム）に従って動作するコンピュータのＣＰＵによって実現される。復号手段２２と、再構築手段４３とは、それぞれが専用のハードウェアで実現されていてもよい。また、再構築手段４３は、耐タンパ性を備えるモジュール内に実装され、ユーザ端末４０の記憶部（図示せず）に記憶される。
【００９６】
次に、動作について説明する。図９は、本実施形態における放送型データストリーム保護システムの動作の一例を示すフローチャートである。図６と同様の処理については、同一の符号を付し、詳細な説明を省略する。すなわち、本システムによる運用を開始するまでのステップＳ１１〜Ｓ１４，Ｕ１１における処理、及び、本システムの運用開始後に放送された暗号化データストリームをユーザ端末４０の再構築手段４３が再構築するまでのステップＳ１５，Ｕ１２〜Ｕ１４における処理は、図６に例示する処理と同様である。
【００９７】
配信サーバ３０の受信者特定手段３５は、放送したデータストリームの不正な二次流通（不正流通）があるか否かを判定する（ステップＳ１６）。不正流通を発見できない場合（ステップＳ１６におけるＮＯ）、受信者特定手段３５は、ステップＳ１６以降の処理を繰り返す。一方、不正流通を発見できた場合（ステップＳ１６におけるＹＥＳ）、受信者特定手段３５は、そのデータストリームの最初の受信者、すなわち不正流通の出所を特定する（ステップＳ１８）。
【００９８】
次に、受信者特定手段３５が不正流通の出所を特定するステップＳ１８の処理について説明する。図１０は、受信者特定手段３５が不正流通の出所を特定する（すなわち、データストリームを送信したユーザ端末４０を特定する）処理の例を示すフローチャートである。
【００９９】
受信者特定手段３５は、不正に流通する再構築されたデータストリームを検出する（ステップＳ１８１）。受信者特定手段３５は、検出したデータストリームを所定の分割方法で少なくとも一つ以上のブロックに分割する（ステップＳ１８２）。そして、受信者特定手段３５は、各ブロックに対応する鍵情報を用いてメッセージ認証子を生成する（ステップＳ１８３）。
【０１００】
そのあと、受信者特定手段３５は、生成された各メッセージ認証子と、再構築されたデータストリームから抽出される各メッセージ認証子とが一致するか否かを判定する（ステップＳ１８４）。両者が一致する場合（ステップＳ１８４におけるＹＥＳ）、受信者特定手段３５は、そのメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末４０を特定する（ステップＳ１８５）。
【０１０１】
一方、ステップＳ１８４において、両者が一致しない場合（ステップＳ１８４におけるＮＯ）、受信者特定手段３５は、鍵情報を用いて生成される他のメッセージ認証子と抽出された結合メッセージ認証子とが一致するか否かを判定するステップＳ１７５の処理を繰り返す。
【０１０２】
以上のように、本実施形態においても、データストリームの配信先を特定できるため、放送されるデータストリームを保護することは可能である。ただし、第１の実施形態では、再構築手段２３が、メッセージ認証子を変換した結合メッセージ認証子を作成し、再構築されたデータストリームにその結合メッセージ認証子を付与する。また、受信者特定手段１５が、生成した結合メッセージ認証子と、再構築されたデータストリームから抽出される結合メッセージ認証子とが一致するか否かを判定する。そして、両者が一致する場合、受信者特定手段１５が、結合メッセージ認証子を作成する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末２０を特定する。
【０１０３】
そのため、第１の実施形態は、本実施形態における効果に加え、放送されるデータストリームの配信先で、データストリームの一部が他の配信先のデータストリームと入れ替えられても配信先を特定できるため、データ保護の観点からより好ましいと言える。
【０１０４】
次に、本発明の最小構成について説明する。図１１は、本発明による放送型データストリーム保護システムの最小構成の例を示すブロック図である。また、図１２は、本発明によるユーザ端末の最小構成の例を示すブロック図である。
【０１０５】
本発明による放送型データストリーム保護システムは、データストリームを暗号化して配信する配信サーバ８０（例えば、配信サーバ１０）と、配信サーバ８０から配信されるデータストリームを受信するユーザ端末９０（例えば、ユーザ端末２０）とを備えている（図１１参照。）。
【０１０６】
配信サーバ８０は、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して（例えば、受信者数より少ないＩ本のデータストリームに対して）、各データストリームごとに、データストリームそれ自体又はデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータをブロックデータ（例えば、ブロック）と決定するデータ分割手段８１（例えば、分割手段１２）と、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報（例えば、鍵情報（ｉ，ｊ，Ｋｉ，ｊ））を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段８２（例えば、署名手段１３）と、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段８３（例えば、暗号化手段１４）とを備えている（図１１参照。）。
【０１０７】
また、ユーザ端末９０は、ユーザ端末ごとに一意に割り当てられた鍵情報の組（例えば、図３に例示する鍵情報の組）を用いて、暗号化されたブロックデータを復号する復号手段９１（例えば、復号手段２２）と、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段９２（例えば、再構築手段２３）と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段９３（例えば、再構築手段２３）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段９４（例えば、再構築手段２３）と、再構築されたデータストリームに結合メッセージ認証子を付与する（例えば、電子透かしとして埋め込む）結合メッセージ認証子付与手段９５（例えば、再構築手段２３）とを備えている（図１１，図１２参照。）。
【０１０８】
次に、本発明の他の最小構成について説明する。図１３は、本発明による配信サーバの最小構成の例を示すブロック図である。本発明による配信サーバ７０は、データ分割手段８１（例えば、分割手段１２）と、署名手段８２（例えば、署名手段１３）と、暗号化手段８３（例えば、暗号化手段１４）と、ユーザ端末特定手段８４（例えば、再構築手段２３）とを備えている。なお、データ分割手段８１、署名手段８２及び暗号化手段８３については、図１１に例示する内容と同様である。
【０１０９】
ユーザ端末特定手段８４は、ユーザ端末９０が送信するデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータをブロックデータ（例えば、ブロック）と決定する再構築データ分割手段８５（例えば、再構築手段２３）と、ブロックデータに対応する鍵情報を用いてブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段８６（例えば、再構築手段２３）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段８７（例えば、再構築手段２３）と、結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末９０を特定するユーザ端末判定手段８８（例えば、再構築手段２３）とを含む。
【０１１０】
以上に例示する放送型データストリーム保護システム、配信サーバ及びユーザ端末それぞれの最小構成により、放送されるデータストリームの配信先で、データストリームの一部が他の配信先のデータストリームと入れ替えられても、配信先を特定してデータストリームを保護できる。
【０１１１】
なお、少なくとも以下に示すような放送型データストリーム保護システム、配信サーバ及びユーザ端末も、上記に示すいずれかの実施形態に開示されている。
【０１１２】
（１）データストリームを暗号化して配信する配信サーバ（例えば、配信サーバ１０）と、配信サーバから配信されるデータストリームを受信するユーザ端末（例えば、ユーザ端末２０）とを備え、配信サーバが、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して（例えば、受信者数より少ないＩ本のデータストリームに対して）、各データストリームごとに、データストリームそれ自体又はデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータをブロックデータ（例えば、ブロック）と決定するデータ分割手段（例えば、分割手段１２）と、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報（例えば、鍵情報（ｉ，ｊ，Ｋｉ，ｊ））を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段（例えば、署名手段１３）と、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段（例えば、暗号化手段１４）とを備え、ユーザ端末が、ユーザ端末ごとに一意に割り当てられた鍵情報の組（例えば、図３に例示する鍵情報の組）を用いて、暗号化されたブロックデータを復号する復号手段（例えば、復号手段２２）と、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段（例えば、再構築手段２３）と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段（例えば、再構築手段２３）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段（例えば、再構築手段２３）と、再構築されたデータストリームに結合メッセージ認証子を付与する（例えば、電子透かしとして埋め込む）結合メッセージ認証子付与手段（例えば、再構築手段２３）とを備えた放送型データストリーム保護システム。
【０１１３】
（２）配信サーバが、データストリームを送信するユーザ端末を特定するユーザ端末特定手段（例えば、受信者特定手段１５）を備え、ユーザ端末特定手段が、再構築されたデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割したデータをブロックデータと決定する再構築データ分割手段（例えば、受信者特定手段１５）と、ブロックデータに対応する鍵情報を用いてブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段（例えば、受信者特定手段１５）と、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段（例えば、受信者特定手段１５）と、結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段（例えば、受信者特定手段１５）とを含む放送型データストリーム保護システム。
【０１１４】
（３）配信サーバが、ユーザ端末ごとに一意になる鍵情報の組を割り当てる鍵情報割当手段（例えば、事前鍵割当手段１１）を備え、ユーザ端末が、ユーザ端末ごとに割り当てられる鍵情報の組を記憶する鍵情報記憶手段（例えば、鍵情報記憶手段２１）を備え、鍵情報割当手段が、ブロックデータごとに設けられ、データストリームを複製した数分（例えば、Ｉ個）の共通鍵暗号の鍵を含む鍵プール（例えば、鍵プールｊ）のそれぞれから１つずつ鍵を選択して、ユーザ端末ごとに一意になる鍵情報の組を作成し、対応するユーザ端末の鍵情報記憶手段に作成した鍵情報の組を記憶させる放送型データストリーム保護システム。
【０１１５】
（４）データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して（例えば、受信者数より少ないＩ本のデータストリームに対して）、各データストリームごとに、データストリームそれ自体又はデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータをブロックデータ（例えば、Ｊ個のブロック）と決定するデータ分割手段（例えば、分割手段１２）と、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報（例えば、鍵情報（ｉ，ｊ，Ｋｉ，ｊ））を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段（例えば、署名手段１３）と、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段（例えば、暗号化手段１４）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末（例えば、ユーザ端末２０）を特定するユーザ端末特定手段（例えば、再構築手段２３）とを備え、ユーザ端末特定手段が、ユーザ端末が送信するデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータをブロックデータ（例えば、ブロック）と決定する再構築データ分割手段（例えば、再構築手段２３）と、ブロックデータに対応する鍵情報を用いてブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段（例えば、再構築手段２３）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段（例えば、再構築手段２３）と、結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段（例えば、再構築手段２３）とを含む配信サーバ。
【０１１６】
（５）データストリームそれ自体又はデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータであるブロックデータ（例えば、ブロック）をそのブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバ（例えば、配信サーバ１０）からブロックデータを受信するユーザ端末であって、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報（例えば、鍵情報（ｉ，ｊ，Ｋｉ，ｊ））の組を用いて、暗号化されたブロックデータを復号する復号手段（例えば、復号手段２２）と、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段（例えば、再構築手段２３）と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段（例えば、再構築手段２３）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段（例えば、再構築手段２３）と、再構築されたデータストリームに結合メッセージ認証子を付与する結合メッセージ認証子付与手段（例えば、再構築手段２３）とを備えたユーザ端末。
【０１１７】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【０１１８】
（付記１）データストリームを配信する配信サーバと、前記配信サーバから配信されるデータストリームを受信するユーザ端末とを備え、前記配信サーバは、データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段とを備え、前記ユーザ端末は、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号する復号手段と、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えたことを特徴とする放送型データストリーム保護システム。
【０１１９】
（付記２）配信サーバは、データストリームを送信するユーザ端末を特定するユーザ端末特定手段を備え、前記ユーザ端末特定手段は、再構築されたデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割手段と、ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段と、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段と、前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段とを含む付記１記載の放送型データストリーム保護システム。
【０１２０】
（付記３）配信サーバは、ユーザ端末ごとに一意になる鍵情報の組を割り当てる鍵情報割当手段を備え、ユーザ端末は、ユーザ端末ごとに割り当てられる鍵情報の組を記憶する鍵情報記憶手段を備え、前記鍵情報割当手段は、ブロックデータごとに設けられ、データストリームを複製した数分の共通鍵暗号の鍵を含む鍵プールのそれぞれから１つずつ鍵を選択して、ユーザ端末ごとに一意になる鍵情報の組を作成し、対応するユーザ端末の前記鍵情報記憶手段に作成した鍵情報の組を記憶させる付記１または付記２記載の放送型データストリーム保護システム。
【０１２１】
（付記４）結合メッセージ認証子生成手段は、ブロックデータ順に連接したメッセージ認証子を、所定の一方向性ハッシュ関数を用いて結合メッセージ認証子に変換する付記１から付記３のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１２２】
（付記５）データ分割手段は、ユーザ端末数より少ない数のデータストリーム群に対して、ブロックデータを決定する付記１から付記４のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１２３】
（付記６）結合メッセージ認証子付与手段は、結合メッセージ認証子を電子透かしとしてデータストリームに埋め込む付記１から付記５のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１２４】
（付記７）データ分割手段は、データストリームの周波数成分ごとに分割する方法、データストリームに対して時間軸方向に分割する方法、映像データストリームに対して矩形領域ごとに分割する方法、映像データストリームに対して色成分ごとに分割する方法、もしくは、映像データストリームに対して解像度ごとに分割する方法のうちの少なくともいずれかの方法で分割したデータストリームをブロックデータと決定する付記１から付記６のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１２５】
（付記８）データ再構築手段は、データ分割手段が分割する方法と逆方向の処理として定義される方法を用いて復号された各ブロックデータを結合してデータストリームを再構築する付記１から付記７のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１２６】
（付記９）鍵情報割当手段は、公開鍵暗号における公開鍵と秘密鍵のペアを生成し、当該公開鍵を用いて暗号化された乱数をユーザ端末から受信したときに、ユーザ端末ごとに一意の共通鍵暗号の鍵であるマスタ鍵を生成し、当該マスタ鍵を用いて個別に暗号化した鍵情報を前記ユーザ端末に送信する付記３記載の放送型データストリーム保護システム。
【０１２７】
（付記１０）ユーザ端末は、ユーザ端末ごとに割り当てられる鍵情報の組を鍵情報記憶手段に記憶させる鍵情報登録手段を備え、前記鍵情報登録手段は、公開鍵を用いて暗号化した乱数を配信サーバに送信し、暗号化された鍵情報を配信サーバから受信したときに、受信した鍵情報の組を復号し、復号した鍵情報の組を鍵情報記憶手段に記憶させる付記９記載の放送型データストリーム保護システム。
【０１２８】
（付記１１）再構築データ認証子生成手段は、鍵プールのそれぞれから１つずつ鍵を選択して、一意になる鍵情報の組を作成し、当該鍵情報を用いてブロックデータごとのメッセージ認証子を生成する付記２記載の放送型データストリーム保護システム。
【０１２９】
（付記１２）データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段と、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定手段とを備え、前記ユーザ端末特定手段は、前記ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割手段と、ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段と、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段と、前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段とを含むことを特徴とする配信サーバ。
【０１３０】
（付記１３）データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するユーザ端末であって、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号する復号手段と、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えたことを特徴とするユーザ端末。
【０１３１】
（付記１４）データストリームを配信する配信サーバが、データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、前記配信サーバが、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、前記配信サーバが、生成したメッセージ認証子を各ブロックデータに付与し、前記配信サーバが、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化し、前記配信サーバから配信されるデータストリームを受信するユーザ端末が、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号し、前記ユーザ端末が、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、前記ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、前記ユーザ端末が、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成し、前記ユーザ端末が、再構築されたデータストリームに前記結合メッセージ認証子を付与することを特徴とする放送型データストリーム保護方法。
【０１３２】
（付記１５）配信サーバが、再構築されたデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割したデータをブロックデータと決定し、配信サーバが、ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成し、配信サーバが、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成し、配信サーバが、前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定する付記１４記載の放送型データストリーム保護方法。
【０１３３】
（付記１６）配信サーバが、ブロックデータごとに設けられ、データストリームを複製した数分の共通鍵暗号の鍵を含む鍵プールのそれぞれから１つずつ鍵を選択して、ユーザ端末ごとに一意になる鍵情報の組を作成し、作成した鍵情報の組を対応するユーザ端末の鍵情報記憶手段に記憶させる付記１４または付記１５記載の放送型データストリーム保護システム。
【０１３４】
（付記１７）ユーザ端末が、結合メッセージ認証子を生成する際、ブロックデータ順に連接したメッセージ認証子を、所定の一方向性ハッシュ関数を用いて結合メッセージ認証子に変換する付記１４から付記１６のうちのいずれか１つに記載の放送型データストリーム保護方法。
【０１３５】
（付記１８）配信サーバが、ブロックデータを生成する際、ユーザ端末数より少ない数のデータストリーム群に対して、ブロックデータを決定する付記１４から付記１７のうちのいずれか１つに記載の放送型データストリーム保護方法。
【０１３６】
（付記１９）ユーザ端末が、結合メッセージ認証子を付与する際、結合メッセージ認証子を電子透かしとしてデータストリームに埋め込む付記１４から付記１８のうちのいずれか１つに記載の放送型データストリーム保護方法。
【０１３７】
（付記２０）配信サーバが、ブロックデータを生成する際、データストリームの周波数成分ごとに分割する方法、データストリームに対して時間軸方向に分割する方法、映像データストリームに対して矩形領域ごとに分割する方法、映像データストリームに対して色成分ごとに分割する方法、もしくは、映像データストリームに対して解像度ごとに分割する方法のうちの少なくともいずれかの方法で分割したデータストリームをブロックデータと決定する付記１４から付記１９のうちのいずれか１つに記載の放送型データストリーム保護方法。
【０１３８】
（付記２１）ユーザ端末が、データストリームを再構築する際、ブロックデータを生成する方法と逆方向の処理として定義される方法を用いて復号された各ブロックデータを結合することによりデータストリームを再構築する付記１４から付記２０のうちのいずれか１つに記載の放送型データストリーム保護方法。
【０１３９】
（付記２２）配信サーバが、鍵情報の組を割り当てる際、公開鍵暗号における公開鍵と秘密鍵のペアを生成し、当該公開鍵を用いて暗号化された乱数をユーザ端末から受信したときに、ユーザ端末ごとに一意の共通鍵暗号の鍵であるマスタ鍵を生成し、当該マスタ鍵を用いて個別に暗号化した鍵情報を前記ユーザ端末に送信する付記１６記載の放送型データストリーム保護方法。
【０１４０】
（付記２３）ユーザ端末が、公開鍵を用いて暗号化した乱数を配信サーバに送信し、暗号化された鍵情報を配信サーバから受信したときに、受信した鍵情報の組を復号し、復号した鍵情報の組を鍵情報記憶手段に記憶させる付記２２記載の放送型データストリーム保護方法。
【０１４１】
（付記２４）配信サーバが、メッセージ認証子を生成する際、鍵プールのそれぞれから１つずつ鍵を選択して、一意になる鍵情報の組を作成し、当該鍵情報を用いてブロックデータを生成するごとのメッセージ認証子を生成する付記１５記載の放送型データストリーム保護方法。
【０１４２】
（付記２５）データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与し、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化し、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定し、ユーザ端末を特定する際に、ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定し、ブロックデータ対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成し、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成し、前記結合メッセージ認証子が再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定することを特徴とするユーザ端末特定方法。
【０１４３】
（付記２６）データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するユーザ端末が、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号し、前記ユーザ端末が、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、前記ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、前記ユーザ端末が、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成し、前記ユーザ端末が、再構築されたデータストリームに前記結合メッセージ認証子を付与することを特徴とする受信データ再構築方法。
【０１４４】
（付記２７）コンピュータに、データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割処理、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名処理、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化処理、および、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定処理を実行させ、前記ユーザ端末特定処理で、前記ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割処理、ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成処理、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合処理、および、前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定処理を実行させるためのユーザ端末特定プログラム。
【０１４５】
（付記２８）コンピュータに、ユーザ端末ごとに一意になる鍵情報の組を割り当てる鍵情報割当処理を実行させ、前記鍵情報割当処理で、ブロックデータごとに設けられ、データストリームを複製した数分の共通鍵暗号の鍵を含む鍵プールのそれぞれから１つずつ鍵を選択して、ユーザ端末ごとに一意になる鍵情報の組を作成させ、対応するユーザ端末の鍵情報記憶手段に作成した鍵情報の組を記憶させる付記２７記載のユーザ端末特定プログラム。
【０１４６】
（付記２９）コンピュータに、ユーザ端末数より少ない数のデータストリーム群に対して、ブロックデータを決定させる付記２７または付記２８記載のユーザ端末特定プログラム。
【０１４７】
（付記３０）コンピュータに、データ分割処理で、データストリームの周波数成分ごとに分割する方法、データストリームに対して時間軸方向に分割する方法、映像データストリームに対して矩形領域ごとに分割する方法、映像データストリームに対して色成分ごとに分割する方法、もしくは、映像データストリームに対して解像度ごとに分割する方法のうちの少なくともいずれかの方法で分割したデータストリームをブロックデータと決定する付記２７から請求項２９のうちのいずれか１つに記載のユーザ端末特定プログラム。
【０１４８】
（付記３１）コンピュータに、鍵情報割当処理で、公開鍵暗号における公開鍵と秘密鍵のペアを生成させ、当該公開鍵を用いて暗号化された乱数をユーザ端末から受信したときに、ユーザ端末ごとに一意の共通鍵暗号の鍵であるマスタ鍵を生成させ、当該マスタ鍵を用いて個別に暗号化した鍵情報を前記ユーザ端末に送信させる付記２８記載のユーザ端末特定プログラム。
【０１４９】
（付記３２）コンピュータに、再構築データ認証子生成処理で、鍵プールのそれぞれから１つずつ鍵を選択して、一意になる鍵情報の組を作成させ、当該鍵情報を用いてブロックデータごとのメッセージ認証子を生成させる付記２７から請求項３１のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１５０】
（付記３３）データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するコンピュータに適用される受信データ再構築プログラムであって、前記コンピュータに、ブロックデータごとの暗号化及び復号に用いられる情報としてコンピュータごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号する復号処理、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築処理、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出処理、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成処理、および、再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与処理を実行させるための受信データ再構築プログラム。
【０１５１】
（付記３４）コンピュータに、結合メッセージ認証子生成処理で、ブロックデータ順に連接したメッセージ認証子を、所定の一方向性ハッシュ関数を用いて結合メッセージ認証子に変換させる付記３３記載の受信データ再構築プログラム。
【０１５２】
（付記３５）コンピュータに、結合メッセージ認証子付与処理で、結合メッセージ認証子を電子透かしとしてデータストリームに埋め込ませる付記３３または付記３４記載の受信データ再構築プログラム。
【０１５３】
（付記３６）コンピュータに、データ再構築処理で、データ分割処理で分割させた方法と逆方向の処理として定義される方法を用いて復号された各ブロックデータを結合してデータストリームを再構築させる付記３３から付記３５のうちのいずれか１つに記載の受信データ再構築プログラム。
【０１５４】
（付記３７）コンピュータに、ユーザ端末ごとに割り当てられる鍵情報の組を鍵情報記憶手段に記憶させる鍵情報登録処理を実行させ、前記鍵情報登録処理で、公開鍵を用いて暗号化した乱数を配信サーバに送信させ、暗号化された鍵情報を配信サーバから受信したときに、受信した鍵情報の組を復号させ、復号させた鍵情報の組を鍵情報記憶手段に記憶させる請求項３３記載の受信データ再構築プログラム。
【産業上の利用可能性】
【０１５５】
本発明は、配信サーバから放送されるデータストリームの受信元を特定し、二次利用抑止などを可能とする放送型データストリーム保護システムに好適に適用される。なお、この配信サーバから放送される情報として、例えば、ＩＰＴＶ（Internet Protocol Television）に代表されるＩＰ放送によるデータ送信、デジタルサイネージなどのクライアント数が大規模なサーバクライアント型ネットワークにおけるダウンストリームなどが想定される。
【０１５６】
例えば、ＩＰ放送においては、配信サーバが最初の受信先を特定できるので、不正な二次流通を抑止することができる。一方、家族間の複製など、私的利用の範囲における複製については利便性の維持が可能である。
【０１５７】
また、本発明を、デジタルサイネージにも応用可能である。例えば、サーバからのダウンストリームとして配信される電子広告の配信先端末において、広告を参照したユーザに意図的にコピーを配布する。このようにすることで、商品の販売時などにおいて、どの配信先端末でその電子公告が参照されたかを広告主に伝達することが可能である。また、この仕組みを利用して、アフィリエイト型（成功報酬型）の広告モデルにも応用可能である。
【符号の説明】
【０１５８】
１０，３０ 配信サーバ
１１ 事前鍵割当手段
１２ 分割手段
１３ 署名手段
１４ 暗号化手段
１５，３５ 受信者特定手段
２０，４０ ユーザ端末
２１ 鍵情報記憶手段
２２ 復号手段
２３，４３ 再構築手段
１００ 通信ネットワーク
【技術分野】
【０００１】
本発明は、クライアント数が大規模なサーバクライアント型ネットワークにおいて、放送されるダウンストリームの二次利用を抑止する放送型データストリーム保護システム、配信サーバ、ユーザ端末、放送型データストリーム保護方法、ユーザ端末特定方法、受信データ再構築方法、ユーザ端末特定プログラム、および、受信データ再構築プログラムに関する。
【背景技術】
【０００２】
大規模なサーバクライアント型ネットワークにおけるダウンストリームを活用したサービスとして、例えば、ＩＰ放送サービスが存在する。一般的なＩＰ放送サービスでは、受信したデータストリームの二次流通については管理していない。一方で、私的利用の範囲内であっても、データストリームの複製については制限されていることが多い。
【０００３】
一方、コンテンツに電子透かしを埋め込み、著作権管理を行うシステムの一例が、特許文献１や特許文献２に記載されている。特許文献１に記載されたアクセス制御方法では、電子透かし技術を用いて各信号に埋め込まれた認可コードに基づいて、実行可能な操作が決定される。また、特許文献２に記載されたコンテンツ保護システムでは、コンテンツに電子透かし著作権保護情報が埋め込まれ、予め保持しているコードと、電子透かし著作権保護情報に埋め込まれたコードとが異なる場合に、ディジタル出力（アナログ出力）を停止させる。
【０００４】
なお、電子透かしについては、非特許文献１に記載されている。非特許文献１によれば、電子透かしは、不可視の状態でコンテンツに埋め込むことが可能であり、透かしを埋め込んだ者（あるいは代理の者）が必要なときに抽出可能な性質を備えている。さらに、電子透かしは、第三者による除去が困難である一方、コンテンツを加工しても抽出が可能という性質を備えている。電子透かしは、このような性質を有するため、コンテンツの著作権保護に用いられる。
【０００５】
また、コンテンツに埋め込んだ電子透かしを用いてコンテンツの著作権を保護する著作権保護システムが特許文献３に記載されている。特許文献３に記載された著作権保護システムでは、まず、映像配信サーバが、映像コンテンツをｎ個の映像要素に分割し、映像要素ごとに異なる電子透かしを挿入した映像要素をｍ個作成する。映像受信クライアントは、映像配信サーバから暗号化された映像コンテンツを受信すると、取得しておいたライセンスを用いて映像要素を復号することで、映像コンテンツを視聴可能にする。一方、フィンガープリント検出装置は、調査対象の映像コンテンツを受け取ると、埋め込まれた電子透かし情報を検出してユーザＩＤを復元することで、不正コピー流出元を特定する。
【０００６】
なお、特許文献４には、コンテンツ暗号化装置（以下、暗号化装置）及びコンテンツ復号装置（以下、復号装置）を用いた暗号化及び復号方法が記載されている。特許文献４に記載された方法では、復号装置が、暗号化装置が生成した暗号化コンテンツの集合を復号対象として、暗号化装置が生成した鍵束の１つを取得する。そして、復号装置は、取得した鍵束を構成する各暗号鍵に対応付けられる暗号化コンテンツ部分を取り出し、取り出した暗号化コンテンツ部分を、各コンテンツに対応付けられた暗号鍵で復号する。そして、復号装置は、復号したコンテンツ部分を統合することでコンテンツを復元する。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特表２００５−５１６３２１号公報（段落０００８）
【特許文献２】特許第４０３８９１９号公報（段落００１０）
【特許文献３】特開２００５−５１７３５号公報（段落００２３）
【特許文献４】特開２００３−７８５２０号公報（段落００１９）
【非特許文献】
【０００８】
【非特許文献１】井上彰、「電子透かし マルチメディア時代の暗号システム」、光芒者、1997、pp.13-15
【発明の概要】
【発明が解決しようとする課題】
【０００９】
以上のような性質を有することから、電子透かしは、データストリームの二次流通を管理する際に有効な手段である。例えば、コンテンツの受信者のＩＤ（以下、署名情報と記すこともある。）を電子透かしとして埋め込み、本署名情報を参照することで受信者を特定できるため、二次流通の抑止が可能になる。
【００１０】
しかし、上記方法を用いる場合、受信者ごとに署名情報を電子透かしとして埋め込んだデータストリームを用意しなければならず、通信量が受信者数に比例して増大してしまうため、放送のメリットであるスケーラビリティが失われるという課題がある。すなわち、データストリームの受信者ごとに署名情報を埋め込む方法は、大規模なデータストリーム放送には不向きである。
【００１１】
一方、特許文献３に記載された著作権保護システムを用いることで、送信するデータ量を抑えつつ、映像コンテンツを送信するユーザＩＤを特定できるため、送信される映像コンテンツの二次流通を抑止することは可能である。
【００１２】
しかし、特許文献３に記載された著作権保護システムでは、受け取った映像コンテンツをｎ個の要素に分割し、分割した各要素から検出される電子透かし情報を復元することでユーザＩＤを特定する。そのため、映像コンテンツの受信者が複数人存在し、各受信者が受信した映像コンテンツの要素を他者のみが復号可能な要素と交換したうえで再結合した場合、その映像コンテンツから特定されるユーザＩＤを第３者が受信元であるように偽ることが可能になる。このように、複数人の受信者が結託して要素を入れ替えた場合、映像コンテンツを送信するユーザＩＤを正しく特定できないという課題がある。
【００１３】
そこで、本発明は、放送されるデータストリームの配信先で、データストリームの一部が他の配信先のデータストリームと入れ替えられても、配信先を特定してデータストリームを保護できる放送型データストリーム保護システム、配信サーバ、ユーザ端末、放送型データストリーム保護方法、ユーザ端末特定方法、受信データ再構築方法、ユーザ端末特定プログラム、および、受信データ再構築プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１４】
本発明による放送型データストリーム保護システムは、データストリームを配信する配信サーバと、配信サーバから配信されるデータストリームを受信するユーザ端末とを備え、配信サーバが、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段とを備え、ユーザ端末が、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号する復号手段と、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、再構築されたデータストリームに結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えたことを特徴とする。
【００１５】
本発明による配信サーバは、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段と、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定手段とを備え、ユーザ端末特定手段が、ユーザ端末が送信するデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割したデータをブロックデータと決定する再構築データ分割手段と、ブロックデータに対応する鍵情報を用いてブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段と、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段と、結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段とを含むことを特徴とする。
【００１６】
本発明によるユーザ端末は、データストリームそれ自体又はデータストリームを分割したデータであるブロックデータをそのブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバからブロックデータを受信するユーザ端末であって、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号する復号手段と、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、再構築されたデータストリームに結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えたことを特徴とする。
【００１７】
本発明による放送型データストリーム保護方法は、データストリームを配信する配信サーバが、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、配信サーバが、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、配信サーバが、生成したメッセージ認証子を各ブロックデータに付与し、配信サーバが、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化し、配信サーバから配信されるデータストリームを受信するユーザ端末が、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号し、ユーザ端末が、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、ユーザ端末が、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成し、ユーザ端末が、再構築されたデータストリームに結合メッセージ認証子を付与することを特徴とする。
【００１８】
本発明によるユーザ端末特定方法は、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与し、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化し、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定し、ユーザ端末を特定する際に、ユーザ端末が送信するデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割したデータをブロックデータと決定し、ブロックデータに対応する鍵情報を用いてブロックデータタごとのメッセージ認証子を生成し、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成し、結合メッセージ認証子が再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定することを特徴とする。
【００１９】
本発明による受信データ再構築方法は、データストリームそれ自体又はデータストリームを分割したデータであるブロックデータをそのブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバからブロックデータを受信するユーザ端末が、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号し、ユーザ端末が、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、ユーザ端末が、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成し、ユーザ端末が、再構築されたデータストリームに結合メッセージ認証子を付与することを特徴とする。
【００２０】
本発明によるユーザ端末特定プログラムは、コンピュータに、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割処理、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名処理、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化処理、および、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定処理を実行させ、ユーザ端末特定処理で、ユーザ端末が送信するデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割したデータをブロックデータと決定する再構築データ分割処理、ブロックデータに対応する鍵情報を用いてブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成処理、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合処理、および、結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定処理を実行させることを特徴とする。
【００２１】
本発明による受信データ再構築プログラムは、データストリームそれ自体又はデータストリームを分割したデータであるブロックデータをそのブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバからブロックデータを受信するコンピュータに適用される受信データ再構築プログラムであって、コンピュータに、ブロックデータごとの暗号化及び復号に用いられる情報としてコンピュータごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号する復号処理、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築処理、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出処理、所定の変換規則に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成処理、および、再構築されたデータストリームに結合メッセージ認証子を付与する結合メッセージ認証子付与処理を実行させることを特徴とする。
【発明の効果】
【００２２】
本発明によれば、放送されるデータストリームの配信先で、データストリームの一部が他の配信先のデータストリームと入れ替えられても、配信先を特定してデータストリームを保護できる。
【図面の簡単な説明】
【００２３】
【図１】本発明の第１の実施形態における放送型データストリーム保護システムの例を示すブロック図である。
【図２】配信サーバが用意する鍵プールの例を示す説明図である。
【図３】ユーザ端末に割り当てられる鍵情報の例を示す説明図である。
【図４】各データストリームが分割された場合の例を示す説明図である。
【図５】各データストリームのブロックにメッセージ認証子が埋め込まれて暗号化されたブロックの例を示す説明図である。
【図６】第１の実施形態における放送型データストリーム保護システムの動作の一例を示すフローチャートである。
【図７】受信者特定手段１５が不正流通の出所を特定する処理の例を示すフローチャートである。
【図８】本発明の第２の実施形態における放送型データストリーム保護システムの例を示すブロック図である。
【図９】第２の実施形態における放送型データストリーム保護システムの動作の一例を示すフローチャートである。
【図１０】受信者特定手段３５が不正流通の出所を特定する処理の例を示すフローチャートである。
【図１１】本発明による放送型データストリーム保護システムの最小構成の例を示すブロック図である。
【図１２】本発明による配信サーバの最小構成の例を示すブロック図である。
【図１３】本発明によるユーザ端末の最小構成の例を示すブロック図である。
【発明を実施するための形態】
【００２４】
以下、本発明の実施形態を図面を参照して説明する。
【００２５】
実施形態１．
図１は、本発明の第１の実施形態における放送型データストリーム保護システムの例を示すブロック図である。本実施形態における放送型データストリーム保護システムは、配信サーバ１０と、ユーザ端末２０とを備えている。配信サーバ１０とユーザ端末２０とは、通信ネットワーク１００を介して接続される。なお、通信ネットワーク１００の形態は特に限定されない。
【００２６】
配信サーバ１０は、放送されるデータストリームを暗号化して配信する装置である。配信サーバ１０は、具体的には、プログラムに従って動作するパーソナルコンピュータ等の情報処理装置によって実現される。
【００２７】
ユーザ端末２０は、配信サーバ１０から配信されるデータストリームを受信する装置である。ユーザ端末２０は、データストリームの再生に必要なデバイスを搭載し、少なくとも配信サーバ１０から配信されるデータストリームを受信する通信部（図示せず）、及び、受信したデータストリームを処理するための制御部（図示せず）を備えた情報処理装置によって実現される。
【００２８】
図１に例示する放送型データストリーム保護システムでは、ユーザ端末２０を１台のみ示しているが、ユーザ端末２０は１台に限られず２台以上であってもよい。２台以上の場合の各ユーザ端末２０の構成は、図１に例示する構成と同様である。
【００２９】
配信サーバ１０は、事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段１５とを備えている。
【００３０】
事前鍵割当手段１１は、データの暗号化及び復号に用いられる鍵情報をユーザ端末２０ごとに一意になるように生成し、生成した鍵情報を各ユーザ端末２０に割り当てる。以下、事前鍵割当手段１１が鍵情報として生成する方法について、具体的に説明する。以下の説明では、鍵情報として、共通鍵暗号の鍵を用いるものとする。
【００３１】
まず、共通鍵暗号の鍵を登録するＪ個の鍵プールｊ（１≦ｊ≦Ｊ）を用意し、各鍵プールに、ランダムかつ一意（ユニーク）に生成した鍵をＩ個登録しておく。ここで、Ｊ及びＩは１以上の整数である。以下、鍵プールｊのｉ個目の鍵をＫｉ，ｊと記す。ただし、１≦ｉ≦Ｉである。
【００３２】
また、鍵Ｋｉ，ｊと、その鍵Ｋｉ，ｊが選択された鍵プールを特定する情報ｊと、鍵プールｊ内においてその鍵を特定する情報ｉとを管理するデータ構造を定義したときに、そのデータ構造に基づいてそれぞれ対応する内容を含む情報を鍵情報と記す。以下、この鍵情報を（ｉ，ｊ，Ｋｉ，ｊ）と記す。ただし、この鍵情報は、ｉ、ｊ、及び、Ｋｉ，ｊの３種の情報を管理するデータ構造として定義され、それぞれに対応する情報が格納されて生成される情報であって、配信サーバ１０と、ユーザ端末２０との間でフォーマット（データ構造）が共有されていれば、上記フォーマット（データ構造）に限定されない。
【００３３】
事前鍵割当手段１１は、各鍵プールから１個ずつ鍵を選択して鍵の組合せを作成する。その際、事前鍵割当手段１１は、鍵の組合せがユーザ端末ごとに一意になるように鍵を選択して鍵情報を作成する。なお、１つの鍵の組合せには、各鍵プールから１個ずつ選択された計Ｊ個の鍵が含まれることになる。そして、事前鍵割当手段１１は、ユーザ端末ごとに一意に選択した鍵情報を、各ユーザ端末２０に割り当てる。
【００３４】
なお、鍵情報を割り当てる方法として、さまざまな方法を用いることが出来る。例えば、事前鍵割当手段１１は、公開鍵暗号における公開鍵と秘密鍵のペアを生成し、ユーザ端末２０に対して公開鍵を事前に公開しておいてもよい。この場合、公開鍵を用いて暗号化された乱数がユーザ端末２０から配信サーバ１０に対して送信されたときに、事前鍵割当手段１１が、ユーザ端末２０ごとに一意の共通鍵暗号の鍵（マスタ鍵）を生成する。そして、事前鍵割当手段１１は、そのマスタ鍵を用いて個別に暗号化した鍵情報を、各ユーザ端末２０に送信してもよい。
【００３５】
他にも、システム運用前に安全なチャネルの用意が可能な場合、事前鍵割当手段１１は、そのチャネルを用いてユーザ端末２０それぞれに鍵情報を送信してもよい。
【００３６】
図２は、Ｉ＝２、Ｊ＝３のときに配信サーバ１０が用意する鍵プールの例を示す説明図である。また、図３は、ユーザ端末２０に割り当てられる鍵情報の例を示す説明図である。Ｉ＝２、Ｊ＝３のとき、一意になる鍵の組合せは計８個（ＩのＪ乗個）存在する。よって、本システムに含まれるユーザ端末２０の最大数は８台になる。図３に例示するテーブルは、８台のユーザ端末それぞれに鍵情報を割り当てたものである。
【００３７】
なお、どの鍵情報を、どのユーザ端末２０に割り当てるか（すなわち、鍵情報を割り当てるユーザ端末２０）については、配信サーバ１０がランダムに割り当て先を決定すればよい。以下の説明では、配信サーバ１０が、図３に例示するテーブルを管理し、このテーブルを参照することで、ユーザ端末に割り当てられた鍵情報を特定する場合について説明する。
【００３８】
分割手段１２は、データストリーム（又は、データストリームを含みそのデータストリームから複製されたデータストリーム群）を、所定の分割方法を用いて各データストリームごとに分割する。例えば、分割手段１２は、システム運用前に、放送するデータストリームを受信者数より少ないＩ本のデータストリームに複製する。そして、分割手段１２は、オリジナルを含む全複製データストリームを、所定の分割方法によってＪ個のブロックに分割する。なお、以下の説明では、オリジナルを含む全複製データストリームを、複製データストリームと記すこともある。
【００３９】
ただし、分割手段１２は、データストリームを分割せず、データストリームそれ自体を分割したデータと扱ってもよい。以下、データストリームそれ自体又はデータストリームを分割したデータをまとめてブロックと記す。以下の説明で、分割手段１２がデータストリームそれ自体又はデータストリームを分割したデータをブロックと決定するとは、各データストリームを分割すること、及び、データストリームを分割せずにデータストリームそれ自体を分割データとして取り扱うことを意味するものとする。
【００４０】
分割手段１２は、所定の分割方法として、例えば、データの周波数成分ごとに分割する方法や、時間軸方向に分割する方法を用いてもよい。また、データストリームが映像の場合（以下、映像データストリームと記す。）、分割手段１２は、所定の分割方法として、映像の矩形領域ごとに分割する方法や、色成分ごとに分割する方法、解像度ごとに分割する方法などを用いてもよい。なお、分割方法は、上記方法に限られない。分割手段１２は、配信サーバ１０において実現可能な他の方法を用いてデータストリームを分割してもよい。
【００４１】
図４は、Ｉ＝２、Ｊ＝３のとき、データストリームがＩ本に複製され、各データストリームがＪ個に分割された場合の例を示す説明図である。図４に示す例では、ｉ本目のデータストリームにおけるｊ個目のブロックをｉ−ｊと示す。例えば、Ｉ＝２、Ｊ＝３のとき、分割手段１２は、データストリームを２本に複製し、個々のデータストリームを３個のブロックに分割する。
【００４２】
署名手段１３は、ブロックごとの暗号化及び復号に用いられる鍵情報を用いてブロックごとにメッセージ認証子（ＭＡＣ：Message Authentication Code ）を生成し、生成したメッセージ認証子をそれぞれのブロックに付与する。具体的には、署名手段１３は、ｉ本目の複製データストリームにおけるｊ個目のブロックに対し鍵Ｋｉ，ｊを用いてメッセージ認証子を生成する。そして、署名手段１３は、生成したメッセージ認証子を電子透かしとして各ブロック（すなわち、ｉ本目の複製データストリームにおけるｊ個目のブロック）に埋め込む。メッセージ認証子を用いることで、共通鍵を持つ検証者（配信サーバ１０）がメッセージの内容の変化を検出できるため、メッセージの完全性とその認証を保護することができる。
【００４３】
署名手段１３は、例えば、以下の参考文献１に記載されているように、共通鍵暗号を用いてメッセージ認証子を生成してもよい。他にも、署名手段１３は、以下の参考文献２に記載されているように、鍵付きハッシュ関数を用いてメッセージ認証子を生成してもよい。なお、メッセージ認証子の生成方法は、上記方法に限られない。署名手段１３は、配信サーバ１０において実現可能な他の方法を用いてメッセージ認証子を生成してもよい。
【００４４】
［参考文献１］
James H.Burrows、”FIPS PUB 113 - Computer Data Authentication - the Federal Information Processing Standard publication that defines the Data Authentication Algorithm”、［online］、１９８５年５月、［平成２１年１２月９日検索］、インターネット〈 http://www.itl.nist.gov/fipspubs/fip113.htm〉
［参考文献２］
H.Krawczyk、外２名、”RFC 2104 HMAC : Keyed-Hashing for Message Authentication”、［online］、１９９７年２月、［平成２１年１２月９日検索］、インターネット〈 URL：http://tools.ietf.org/html/rfc2104〉
【００４５】
暗号化手段１４は、ブロックごとの鍵情報を用いて、メッセージ認証子が付与された各ブロックを暗号化する。具体的には、暗号化手段１４は、メッセージ認証子を電子透かしとして埋め込んだｉ本目の複製データストリームにおけるｊ個目のブロックを鍵Ｋｉ，ｊを用いて暗号化する。なお、暗号化手段１４が暗号化処理を完了したことで、データストリームを放送する準備が完了する。この後、暗号化手段１４は、暗号化したデータストリームをユーザ端末２０に対して放送する。
【００４６】
図５は、Ｉ＝２、Ｊ＝３のとき、署名手段１３が各データストリームのブロックにメッセージ認証子を埋め込んだ後、暗号化手段１４によって暗号化されたブロックの例を示す説明図である。図５における「ｘ｜｜ｙ」は、データ（ブロック）ｘに対し、電子透かしｙが埋め込まれていることを意味する。また、図５における「ｍａｃ（ｘ，ｙ）」は、データ（ブロック）ｘに対し、鍵ｙを用いて生成したメッセージ認証子を意味する。また、「Ｅ（ｘ，ｙ）」は、データ（ブロック）ｘを鍵ｙを用いて暗号化した結果を意味する。
【００４７】
例えば、図５に例示する（ｉ，ｊ）＝（１，１）のブロックは、ブロック１−１に対し、鍵Ｋ１，１を用いて生成したメッセージ認証子ｍａｃ（１−１，Ｋ１，１）がブロック１−１に埋め込まれ、メッセージ認証子が埋め込まれたブロック１−１が鍵Ｋ１，１を用いて暗号化されたことを示す。
【００４８】
受信者特定手段１５は、放送したデータストリームの不正な二次流通（不正流通）が存在するか否かを判定し、他の装置に対してデータストリームを送信するユーザ端末２０を特定する。なお、受信者特定手段１５がユーザ端末２０を特定する機能については後述する。
【００４９】
事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段１５とは、プログラム（ユーザ端末特定プログラム）に従って動作するコンピュータのＣＰＵによって実現される。例えば、プログラムは、配信サーバ１０の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、事前鍵割当手段１１、分割手段１２、署名手段１３、暗号化手段１４及び受信者特定手段１５として動作してもよい。また、事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段１５とは、それぞれが専用のハードウェアで実現されていてもよい。
【００５０】
ユーザ端末２０は、鍵情報記憶手段２１と、復号手段２２と、再構築手段２３とを備えている。なお、鍵情報記憶手段２１、復号手段２２及び再構築手段２３は、上述の制御部（図示せず）に含まれていてもよい。
【００５１】
鍵情報記憶手段２１は、配信サーバ１０の事前鍵割当手段１１によって割り当てられたユーザ端末２０ごとに一意になるＪ個の鍵情報の組を記憶する。
【００５２】
例えば、配信サーバ１０の公開鍵がユーザ端末２０に対して事前に公開されており、ユーザ端末２０が備えるメモリ（図示せず）に、その公開鍵が記憶されているものとする。このとき、例えば、システム運用前に、ユーザ端末２０の制御部（図示せず）は、乱数を生成し、生成した乱数を公開鍵で暗号化して配信サーバ１０に送信する。配信サーバ１０は、ユーザ端末２０ごとに一意の鍵情報の組を生成し、受信した乱数をもとにその鍵情報を暗号化してユーザ端末２０に返信する。制御部（図示せず）は、受信した鍵情報の組を復号したのち、耐タンパ性を備えるモジュール内に鍵情報の組を記憶する。そして、制御部（図示せず）は、そのモジュールを鍵情報記憶手段２１に記憶させる。このようにして、鍵情報記憶手段２１に鍵情報の組を記憶させてもよい。
【００５３】
ここで、耐タンパ性を備えるモジュールとは、例えば、以下の参考文献３に記載されているように、秘密データを外部から不当に観測、改変することや、秘密データの利用制御部を不当に改変することが困難なように意図して作られたモジュールのことを言う。
【００５４】
［参考文献３］
松本、井上，「耐タンパーモジュールの認証に関する考察」，Technical report of IEICE. ISEC 97(380)，pp.33-44，1997
【００５５】
また、システム運用前に安全なチャネルの用意が可能な場合、ユーザ端末２０の制御部（図示せず）は、そのチャネルを用いて配信サーバ１０から受信した鍵情報を鍵情報記憶手段２１に記憶させてもよい。鍵情報記憶手段２１は、例えば、ユーザ端末２０が備える磁気ディスク等により実現される。
【００５６】
復号手段２２は、ユーザ端末２０ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックを復号する。具体的には、復号手段２２は、暗号化された状態で放送されるデータストリーム（以下、暗号化データストリームと記すこともある。）を、鍵情報記憶手段２１が記憶するＪ個の鍵情報（ｉ，ｊ，Ｋｉ，ｊ）を用いて、ｉ本目の暗号化データストリームにおけるｊ番目のブロックを、計Ｊ個復号する。なお、共通鍵暗号の鍵を用いて暗号化されたデータを復号する方法は広く知られているため、ここでは説明を省略する。
【００５７】
再構築手段２３は、鍵情報を用いて復号された各ブロックを結合してデータストリームを再構築する。具体的には、再構築手段２３は、復号手段２２が復号したブロック（復号結果）を所定の結合方法によって結合し、データストリームを利用可能な状態にする。このとき、所定の結合方法を、例えば、上述した所定の分割方法で分割する処理と逆方向の処理として定義してもよい。
【００５８】
すなわち、再構築手段２３は、所定の結合方法として、例えば、データの周波数成分ごとに結合する方法や、時間軸方向に結合する方法を用いてもよい。また、データストリームが映像の場合、再構築手段２３は、所定の結合方法として、映像の矩形領域ごとに結合する方法や、色成分ごとに結合する方法、解像度ごとに結合する方法などを用いてもよい。なお、結合方法は、上記方法に限られない。再構築手段２３は、ユーザ端末２０において実現可能な他の方法を用いてデータストリームを結合してもよい。
【００５９】
さらに、再構築手段２３は、データストリームの再構築に用いられた各ブロックからメッセージ認証子を抽出する。また、再構築手段２３は、予め定められた変換規則に基づいて、メッセージ認証子を変換する。そして、再構築手段２３は、再構築されたデータストリームに結合メッセージ認証子を付与する。以下、変換後のメッセージ認証子を結合メッセージ認証子と記す。
【００６０】
具体的には、再構築手段２３は、復号手段２２が復号したＪ個のブロックからメッセージ認証子を抽出する。そして、再構築手段２３は、ブロック順に連接したメッセージ認証子を、所定の一方向性ハッシュ関数を用いて結合メッセージ認証子に変換する。さらに、再構築手段２３は、各ブロック内に付与されたもとのメッセージ認証子を除去した後、所定の結合方法によって各ブロックを結合し、オリジナルのデータストリームを生成する。そして、再構築手段２３は、生成したデータストリームに対して結合メッセージ認証子を電子透かしとして埋め込む。
【００６１】
配信サーバ１０の受信者特定手段１５は、上述の通り、放送したデータストリームの不正な二次流通（不正流通）が存在するか否かを判定し、他の装置に対してデータストリームを送信するユーザ端末２０を特定する。受信者特定手段１５は、例えば、通信ネットワーク上のトラフィックを定期的に監視して対象のデータストリームを検出し、検出したデータストリームに対してユーザ端末２０を特定する処理を行ってもよい。
【００６２】
ただし、放送したデータストリームの不正流通が存在するか否かを判定する方法は、上述の方法に限定されない。受信者特定手段１５は、例えば、配信サーバ１０が備えるハードディスクドライブなどの記憶部（図示せず）にデータストリームを記憶させ、そのデータストリームに対して各処理を行ってもよい。
【００６３】
不正流通を発見した場合、受信者特定手段１５は、再構築されたデータストリームそれ自体又はそのデータストリームを分割したデータをブロックと決定し、このブロックに対応する鍵情報を用いてメッセージ認証子を生成する。すなわち、受信者特定手段１５は、再構築されたデータストリームそれ自体又はそのデータストリームを分割したデータに対応する鍵情報を用いてメッセージ認証子を生成する。そして、受信者特定手段１５は、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成し、再構築されたデータストリームから抽出される結合メッセージ認証子と一致するか否かを判定する。両者が一致する場合、受信者特定手段１５は、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末２０を特定する。
【００６４】
具体的には、受信者特定手段１５は、ユーザ端末２０の再構築手段２３が埋め込んだ結合メッセージ認証子と、オリジナルのデータストリームとを分離させる。そして、受信者特定手段１５は、オリジナルのデータストリームを所定の分割方法でＪ個のブロックに分割する。この分割方法は、分割手段１２が分割する方法と同様である。
【００６５】
その後、受信者特定手段１５は、鍵の組合せが一意になるように、各鍵プールから鍵を１個ずつ選択する。そして、受信者特定手段１５は、ｊ個目のブロックに対し鍵プールｊから選択した鍵を用いてメッセージ認証子を生成する。メッセージ認証子の生成方法は、署名手段１３がメッセージ認証子を生成する方法と同様である。
【００６６】
受信者特定手段１５は、先頭のブロックからＪ個目のブロックまで、それぞれ生成したメッセージ認証子を連接する。そして、受信者特定手段１５は、連接したメッセージ認証子をもとに所定の一方向性ハッシュ関数を用いて結合メッセージ認証子を生成し、生成された結合メッセージ認証子と、再構築手段２３が埋め込んだ結合メッセージ認証子とを比較する。この比較処理を、可能性のある鍵の組合せについて総当り的に行う。なお、結合メッセージ認証子の生成方法は、再構築手段２３が結合メッセージ認証子を生成する方法と同様である。
【００６７】
生成した結合メッセージ認証子と、再構築手段２３が埋め込んだ結合メッセージ認証子とが一致した場合、受信者特定手段１５は、結合メッセージ認証子を算出する際に用いられたＪ個のメッセージ認証子の組を生成可能なＪ個の鍵情報の組を特定する。そして、受信者特定手段１５は、特定したＪ個の鍵情報の組に対応付けられたユーザ端末２０を、データストリームの送信元と特定する。
【００６８】
復号手段２２と、再構築手段２３とは、プログラム（受信データ再構築プログラム）に従って動作するコンピュータのＣＰＵによって実現される。例えば、プログラムは、ユーザ端末２０の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、復号手段２２及び再構築手段２３として動作してもよい。また、復号手段２２と、再構築手段２３とは、それぞれが専用のハードウェアで実現されていてもよい。また、再構築手段２３は、耐タンパ性を備えるモジュール内に実装され、ユーザ端末２０の記憶部（図示せず）に記憶される。
【００６９】
次に、動作について説明する。図６は、本実施形態における放送型データストリーム保護システムの動作の一例を示すフローチャートである。まず、本システムによる運用を開始するまでの動作について説明する。
【００７０】
システム運用開始前において、配信サーバ１０の事前鍵割当手段１１は、ユーザ端末２０ごとに一意になる鍵情報の組を生成し、生成した鍵情報を各ユーザ端末２０に割り当てる（ステップＳ１１）。各ユーザ端末２０の制御部（図示せず）は、割り当てられた鍵情報の組を鍵情報記憶手段２１に記憶させる（ステップＵ１１）。
【００７１】
次に、分割手段１２は、放送されるデータストリームを受信者数（より具体的には、ユーザ端末数２０）より少ない数に複製し、オリジナルを含む複製データストリームそれぞれをブロックに分割する（ステップＳ１２）。署名手段１３は、分割されたブロックごとにメッセージ認証子を生成し、生成したメッセージ認証子を電子透かしとして各ブロックに埋め込む（ステップＳ１３）。そして、暗号化手段１４は、メッセージ認証子を埋め込んだブロックを暗号化する（ステップＳ１４）。
【００７２】
以上に例示したステップＳ１１〜Ｓ１４及びステップＵ１１の処理を実行することにより、配信サーバ１０は、ユーザ端末２０に対してデータストリームを放送することが可能になる。すなわち、システムは、運用を開始できる状態になる、
【００７３】
次に、本システムによる運用を開始した後の動作について説明する。
【００７４】
システム運用開始後において、配信サーバ１０の暗号化手段１４は、ブロック単位で暗号化された複数のデータストリームを放送する（ステップＳ１５）。なお、暗号化されて放送されるデータストリームには、オリジナルのデータストリームだけでなく、複製されたデータストリームも含まれる。
【００７５】
ユーザ端末２０の通信部（図示せず）が複製を含む暗号化されたデータストリームを受信すると（ステップＵ１２）、復号手段２２は、複数のデータストリームに含まれるブロックのうち、予め割り当てられた（すなわち、鍵情報記憶手段２１に記憶された）鍵情報で復号可能なブロックを復号する（ステップＵ１３）。そして、再構築手段２３は、それらを結合してオリジナルのデータストリームを再構築する（ステップＵ１４）。
【００７６】
次に、再構築手段２３は、データストリームの再構築に用いられた各ブロックからメッセージ認証子を抽出する（ステップＵ１５）。また、再構築手段２３は、メッセージ認証子を変換して結合メッセージ認証子を生成する（ステップＵ１６）。そして、再構築手段２３は、再構築されたデータストリームに結合メッセージ認証子を付与する（ステップＵ１７）。
【００７７】
一方、配信サーバ１０の受信者特定手段１５は、放送したデータストリームの不正な二次流通（不正流通）があるか否かを判定する（ステップＳ１６）。不正流通を発見できない場合（ステップＳ１６におけるＮＯ）、受信者特定手段１５は、ステップＳ１６以降の処理を繰り返す。一方、不正流通を発見できた場合（ステップＳ１６におけるＹＥＳ）、受信者特定手段１５は、そのデータストリームの最初の受信者、すなわち不正流通の出所を特定する（ステップＳ１７）。
【００７８】
受信者が特定できた場合、例えば、データストリームの配信者は、受信者に著作権侵害等の警告を与えるなど、不正流通への対策をとることが可能になる。
【００７９】
次に、受信者特定手段１５が不正流通の出所を特定するステップＳ１７の処理について説明する。図７は、受信者特定手段１５が不正流通の出所を特定する（すなわち、データストリームを送信したユーザ端末２０を特定する）処理の例を示すフローチャートである。
【００８０】
受信者特定手段１５は、不正に流通する再構築されたデータストリームを検出する（ステップＳ１７１）。受信者特定手段１５は、検出したデータストリームを所定の分割方法で少なくとも一つ以上のブロックに分割する（ステップＳ１７２）。そして、受信者特定手段１５は、各ブロックに対応する鍵情報を用いてメッセージ認証子を生成する（ステップＳ１７３）。
【００８１】
そのあと、受信者特定手段１５は、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成し（ステップＳ１７４）、再構築されたデータストリームから抽出される結合メッセージ認証子と一致するか否かを判定する（ステップＳ１７５）。両者が一致する場合（ステップＳ１７５におけるＹＥＳ）、受信者特定手段１５は、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末２０を特定する（ステップＳ１７６）。
【００８２】
一方、ステップＳ１７５において、両者が一致しない場合（ステップＳ１７５におけるＮＯ）、受信者特定手段１５は、他のメッセージ認証子を対象として結合メッセージ認証子を生成し、生成した結合メッセージ認証子と抽出された結合メッセージとが一致するか否かを判定するステップＳ１７４〜Ｓ１７５の処理を繰り返す。
【００８３】
以上のように、本実施形態によれば、分割手段１２が、データストリームごとに、データストリームそれ自体又は各データストリームを分割したブロックを生成する。そして、署名手段１３が、各ブロックに対応する鍵情報を用いてブロックごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックに付与する。暗号化手段１４は、各ブロックに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックを暗号化する。一方、復号手段２２が、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて暗号化されたブロックを復号する。そして、再構築手段２３が、鍵情報の組を用いて復号された各ブロックを結合してデータストリームを再構築し、データストリームの再構築に用いられた各ブロックからメッセージ認証子を抽出する。さらに、再構築手段２３が、メッセージ認証子を変換した結合メッセージ認証子を生成し、再構築されたデータストリームに結合メッセージ認証子を付与する。
【００８４】
そのため、放送されるデータストリームの配信先で、データストリームの一部が他の配信先のデータストリームと入れ替えられても、配信先を特定してデータストリームを保護できる。
【００８５】
すなわち、本実施形態によれば、ブロックごとに電子透かしとして埋め込んでいたメッセージ認証子を、再構成したデータストリームにただ１個埋め込むように変更している。そのため、受信元が結託してデータブロックを入れ替えるような行為に対して耐性を持たせることが出来る。
【００８６】
また、分割手段１２が、放送するデータストリームを受信者数より少ないＩ本のデータストリームに複製して、それぞれのデータストリームを分割し、署名手段１３が、分割した各ブロックにメッセージ認証子を埋め込むことで、受信者を一意に特定可能なメッセージ認証子のパターンを増加させている。そのため、データストリームからユーザ端末２０を特定できるとともに、通信量が受信者数に比例しないスケーラビリティ性能を備えたシステムを実現できる。
【００８７】
実施形態２．
図８は、本発明の第２の実施形態における放送型データストリーム保護システムの例を示すブロック図である。なお、第１の実施形態と同様の構成については、図１と同一の符号を付し、説明を省略する。本実施形態における放送型データストリーム保護システムは、配信サーバ３０と、ユーザ端末４０とを備えている。
【００８８】
配信サーバ３０は、第１の実施形態における配信サーバ１０と同様、放送されるデータストリームを暗号化して配信する装置である。ユーザ端末４０も、第１の実施形態におけるユーザ端末２０と同様、配信サーバ３０から配信されるデータストリームを受信する装置である。また、図８に例示する放送型データストリーム保護システムでは、ユーザ端末４０を１台のみ示しているが、ユーザ端末４０は１台に限られず２台以上であってもよい。
【００８９】
ユーザ端末４０は、鍵情報記憶手段２１と、復号手段２２と、再構築手段４３とを備えている。再構築手段４３は、第１の実施形態における再構築手段２３と同様に、鍵情報を用いて復号された各ブロックを結合してデータストリームを再構築する。具体的には、再構築手段４３は、復号手段２２が復号したブロック（復号結果）を所定の結合方法によって結合し、データストリームを利用可能な状態にする。このとき、所定の結合方法を、例えば、第１の実施形態で例示した所定の分割方法で分割する処理と逆方向の処理として定義してもよい。ただし、所定の結合方法は、第１の実施形態で例示した方法に限られず、
ユーザ端末４０において実現可能な他の方法であってもよい。
【００９０】
配信サーバ３０は、事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段３５とを備えている。受信者特定手段３５は、第１の実施形態における受信者特定手段１５と同様、放送したデータストリームの不正な二次流通（不正流通）が存在するか否かを判定し、他の装置に対してデータストリームを送信するユーザ端末４０を特定する。
【００９１】
不正流通を発見した場合、受信者特定手段３５は、再構築されたデータストリームを所定の分割方法で少なくとも一つ以上のブロックに分割し、各ブロックに対応する鍵情報を用いてメッセージ認証子を生成する。そして、受信者特定手段３５は、生成された各メッセージ認証子と、再構築されたデータストリームから抽出される各メッセージ認証子とが一致するか否かを判定する。両者が一致する場合、受信者特定手段３５は、そのメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末４０を特定する。
【００９２】
具体的には、不正流通として、例えば、放送されるデータストリームを、インターネット上にアップロードすることなどが想定される。このように、私的利用の範囲を超える二次流通として出回ったデータストリームを発見した場合、受信者特定手段３５は、発見したデータストリームを所定の分割方法によって再分割し、再分割されたブロック個々に電子透かしとして埋め込まれたメッセージ認証子とオリジナルのデータストリームとを分離する。
【００９３】
受信者特定手段３５は、ｊ番目のブロックから分離されたオリジナルのデータストリームをもとに、そのデータストリームに埋め込まれていたメッセージ認証子と同一のメッセージ認証子を計算可能な鍵を、鍵プールｊから総当たりで探索する。同一のメッセージ認証子を計算可能な鍵が発見できた場合、受信者特定手段３５は、発見したＪ個の鍵情報の組に基づいて、データストリームを最初に受信したユーザ端末４０（すなわち、データストリームを送信したユーザ端末４０）を特定する。
【００９４】
事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段３５とは、プログラム（受信者特定プログラム）に従って動作するコンピュータのＣＰＵによって実現される。事前鍵割当手段１１と、分割手段１２と、署名手段１３と、暗号化手段１４と、受信者特定手段３５とは、それぞれが専用のハードウェアで実現されていてもよい。
【００９５】
また、復号手段２２と、再構築手段４３とは、プログラム（受信データ再構築プログラム）に従って動作するコンピュータのＣＰＵによって実現される。復号手段２２と、再構築手段４３とは、それぞれが専用のハードウェアで実現されていてもよい。また、再構築手段４３は、耐タンパ性を備えるモジュール内に実装され、ユーザ端末４０の記憶部（図示せず）に記憶される。
【００９６】
次に、動作について説明する。図９は、本実施形態における放送型データストリーム保護システムの動作の一例を示すフローチャートである。図６と同様の処理については、同一の符号を付し、詳細な説明を省略する。すなわち、本システムによる運用を開始するまでのステップＳ１１〜Ｓ１４，Ｕ１１における処理、及び、本システムの運用開始後に放送された暗号化データストリームをユーザ端末４０の再構築手段４３が再構築するまでのステップＳ１５，Ｕ１２〜Ｕ１４における処理は、図６に例示する処理と同様である。
【００９７】
配信サーバ３０の受信者特定手段３５は、放送したデータストリームの不正な二次流通（不正流通）があるか否かを判定する（ステップＳ１６）。不正流通を発見できない場合（ステップＳ１６におけるＮＯ）、受信者特定手段３５は、ステップＳ１６以降の処理を繰り返す。一方、不正流通を発見できた場合（ステップＳ１６におけるＹＥＳ）、受信者特定手段３５は、そのデータストリームの最初の受信者、すなわち不正流通の出所を特定する（ステップＳ１８）。
【００９８】
次に、受信者特定手段３５が不正流通の出所を特定するステップＳ１８の処理について説明する。図１０は、受信者特定手段３５が不正流通の出所を特定する（すなわち、データストリームを送信したユーザ端末４０を特定する）処理の例を示すフローチャートである。
【００９９】
受信者特定手段３５は、不正に流通する再構築されたデータストリームを検出する（ステップＳ１８１）。受信者特定手段３５は、検出したデータストリームを所定の分割方法で少なくとも一つ以上のブロックに分割する（ステップＳ１８２）。そして、受信者特定手段３５は、各ブロックに対応する鍵情報を用いてメッセージ認証子を生成する（ステップＳ１８３）。
【０１００】
そのあと、受信者特定手段３５は、生成された各メッセージ認証子と、再構築されたデータストリームから抽出される各メッセージ認証子とが一致するか否かを判定する（ステップＳ１８４）。両者が一致する場合（ステップＳ１８４におけるＹＥＳ）、受信者特定手段３５は、そのメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末４０を特定する（ステップＳ１８５）。
【０１０１】
一方、ステップＳ１８４において、両者が一致しない場合（ステップＳ１８４におけるＮＯ）、受信者特定手段３５は、鍵情報を用いて生成される他のメッセージ認証子と抽出された結合メッセージ認証子とが一致するか否かを判定するステップＳ１７５の処理を繰り返す。
【０１０２】
以上のように、本実施形態においても、データストリームの配信先を特定できるため、放送されるデータストリームを保護することは可能である。ただし、第１の実施形態では、再構築手段２３が、メッセージ認証子を変換した結合メッセージ認証子を作成し、再構築されたデータストリームにその結合メッセージ認証子を付与する。また、受信者特定手段１５が、生成した結合メッセージ認証子と、再構築されたデータストリームから抽出される結合メッセージ認証子とが一致するか否かを判定する。そして、両者が一致する場合、受信者特定手段１５が、結合メッセージ認証子を作成する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末２０を特定する。
【０１０３】
そのため、第１の実施形態は、本実施形態における効果に加え、放送されるデータストリームの配信先で、データストリームの一部が他の配信先のデータストリームと入れ替えられても配信先を特定できるため、データ保護の観点からより好ましいと言える。
【０１０４】
次に、本発明の最小構成について説明する。図１１は、本発明による放送型データストリーム保護システムの最小構成の例を示すブロック図である。また、図１２は、本発明によるユーザ端末の最小構成の例を示すブロック図である。
【０１０５】
本発明による放送型データストリーム保護システムは、データストリームを暗号化して配信する配信サーバ８０（例えば、配信サーバ１０）と、配信サーバ８０から配信されるデータストリームを受信するユーザ端末９０（例えば、ユーザ端末２０）とを備えている（図１１参照。）。
【０１０６】
配信サーバ８０は、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して（例えば、受信者数より少ないＩ本のデータストリームに対して）、各データストリームごとに、データストリームそれ自体又はデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータをブロックデータ（例えば、ブロック）と決定するデータ分割手段８１（例えば、分割手段１２）と、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報（例えば、鍵情報（ｉ，ｊ，Ｋｉ，ｊ））を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段８２（例えば、署名手段１３）と、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段８３（例えば、暗号化手段１４）とを備えている（図１１参照。）。
【０１０７】
また、ユーザ端末９０は、ユーザ端末ごとに一意に割り当てられた鍵情報の組（例えば、図３に例示する鍵情報の組）を用いて、暗号化されたブロックデータを復号する復号手段９１（例えば、復号手段２２）と、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段９２（例えば、再構築手段２３）と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段９３（例えば、再構築手段２３）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段９４（例えば、再構築手段２３）と、再構築されたデータストリームに結合メッセージ認証子を付与する（例えば、電子透かしとして埋め込む）結合メッセージ認証子付与手段９５（例えば、再構築手段２３）とを備えている（図１１，図１２参照。）。
【０１０８】
次に、本発明の他の最小構成について説明する。図１３は、本発明による配信サーバの最小構成の例を示すブロック図である。本発明による配信サーバ７０は、データ分割手段８１（例えば、分割手段１２）と、署名手段８２（例えば、署名手段１３）と、暗号化手段８３（例えば、暗号化手段１４）と、ユーザ端末特定手段８４（例えば、再構築手段２３）とを備えている。なお、データ分割手段８１、署名手段８２及び暗号化手段８３については、図１１に例示する内容と同様である。
【０１０９】
ユーザ端末特定手段８４は、ユーザ端末９０が送信するデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータをブロックデータ（例えば、ブロック）と決定する再構築データ分割手段８５（例えば、再構築手段２３）と、ブロックデータに対応する鍵情報を用いてブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段８６（例えば、再構築手段２３）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段８７（例えば、再構築手段２３）と、結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末９０を特定するユーザ端末判定手段８８（例えば、再構築手段２３）とを含む。
【０１１０】
以上に例示する放送型データストリーム保護システム、配信サーバ及びユーザ端末それぞれの最小構成により、放送されるデータストリームの配信先で、データストリームの一部が他の配信先のデータストリームと入れ替えられても、配信先を特定してデータストリームを保護できる。
【０１１１】
なお、少なくとも以下に示すような放送型データストリーム保護システム、配信サーバ及びユーザ端末も、上記に示すいずれかの実施形態に開示されている。
【０１１２】
（１）データストリームを暗号化して配信する配信サーバ（例えば、配信サーバ１０）と、配信サーバから配信されるデータストリームを受信するユーザ端末（例えば、ユーザ端末２０）とを備え、配信サーバが、データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して（例えば、受信者数より少ないＩ本のデータストリームに対して）、各データストリームごとに、データストリームそれ自体又はデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータをブロックデータ（例えば、ブロック）と決定するデータ分割手段（例えば、分割手段１２）と、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報（例えば、鍵情報（ｉ，ｊ，Ｋｉ，ｊ））を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段（例えば、署名手段１３）と、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段（例えば、暗号化手段１４）とを備え、ユーザ端末が、ユーザ端末ごとに一意に割り当てられた鍵情報の組（例えば、図３に例示する鍵情報の組）を用いて、暗号化されたブロックデータを復号する復号手段（例えば、復号手段２２）と、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段（例えば、再構築手段２３）と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段（例えば、再構築手段２３）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段（例えば、再構築手段２３）と、再構築されたデータストリームに結合メッセージ認証子を付与する（例えば、電子透かしとして埋め込む）結合メッセージ認証子付与手段（例えば、再構築手段２３）とを備えた放送型データストリーム保護システム。
【０１１３】
（２）配信サーバが、データストリームを送信するユーザ端末を特定するユーザ端末特定手段（例えば、受信者特定手段１５）を備え、ユーザ端末特定手段が、再構築されたデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割したデータをブロックデータと決定する再構築データ分割手段（例えば、受信者特定手段１５）と、ブロックデータに対応する鍵情報を用いてブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段（例えば、受信者特定手段１５）と、所定の変換規則に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段（例えば、受信者特定手段１５）と、結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段（例えば、受信者特定手段１５）とを含む放送型データストリーム保護システム。
【０１１４】
（３）配信サーバが、ユーザ端末ごとに一意になる鍵情報の組を割り当てる鍵情報割当手段（例えば、事前鍵割当手段１１）を備え、ユーザ端末が、ユーザ端末ごとに割り当てられる鍵情報の組を記憶する鍵情報記憶手段（例えば、鍵情報記憶手段２１）を備え、鍵情報割当手段が、ブロックデータごとに設けられ、データストリームを複製した数分（例えば、Ｉ個）の共通鍵暗号の鍵を含む鍵プール（例えば、鍵プールｊ）のそれぞれから１つずつ鍵を選択して、ユーザ端末ごとに一意になる鍵情報の組を作成し、対応するユーザ端末の鍵情報記憶手段に作成した鍵情報の組を記憶させる放送型データストリーム保護システム。
【０１１５】
（４）データストリームに対して、又は、データストリームを含みそのデータストリームから複製されたデータストリーム群に対して（例えば、受信者数より少ないＩ本のデータストリームに対して）、各データストリームごとに、データストリームそれ自体又はデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータをブロックデータ（例えば、Ｊ個のブロック）と決定するデータ分割手段（例えば、分割手段１２）と、ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報（例えば、鍵情報（ｉ，ｊ，Ｋｉ，ｊ））を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段（例えば、署名手段１３）と、ブロックデータに対応する鍵情報を用いて、メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段（例えば、暗号化手段１４）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末（例えば、ユーザ端末２０）を特定するユーザ端末特定手段（例えば、再構築手段２３）とを備え、ユーザ端末特定手段が、ユーザ端末が送信するデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータをブロックデータ（例えば、ブロック）と決定する再構築データ分割手段（例えば、再構築手段２３）と、ブロックデータに対応する鍵情報を用いてブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段（例えば、再構築手段２３）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段（例えば、再構築手段２３）と、結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、その結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段（例えば、再構築手段２３）とを含む配信サーバ。
【０１１６】
（５）データストリームそれ自体又はデータストリームを分割（例えば、データの周波数成分ごとに分割、時間軸方向に分割）したデータであるブロックデータ（例えば、ブロック）をそのブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバ（例えば、配信サーバ１０）からブロックデータを受信するユーザ端末であって、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報（例えば、鍵情報（ｉ，ｊ，Ｋｉ，ｊ））の組を用いて、暗号化されたブロックデータを復号する復号手段（例えば、復号手段２２）と、鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段（例えば、再構築手段２３）と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段（例えば、再構築手段２３）と、所定の変換規則（例えば、一方向性ハッシュ関数）に基づいてメッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段（例えば、再構築手段２３）と、再構築されたデータストリームに結合メッセージ認証子を付与する結合メッセージ認証子付与手段（例えば、再構築手段２３）とを備えたユーザ端末。
【０１１７】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【０１１８】
（付記１）データストリームを配信する配信サーバと、前記配信サーバから配信されるデータストリームを受信するユーザ端末とを備え、前記配信サーバは、データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段とを備え、前記ユーザ端末は、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号する復号手段と、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えたことを特徴とする放送型データストリーム保護システム。
【０１１９】
（付記２）配信サーバは、データストリームを送信するユーザ端末を特定するユーザ端末特定手段を備え、前記ユーザ端末特定手段は、再構築されたデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割手段と、ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段と、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段と、前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段とを含む付記１記載の放送型データストリーム保護システム。
【０１２０】
（付記３）配信サーバは、ユーザ端末ごとに一意になる鍵情報の組を割り当てる鍵情報割当手段を備え、ユーザ端末は、ユーザ端末ごとに割り当てられる鍵情報の組を記憶する鍵情報記憶手段を備え、前記鍵情報割当手段は、ブロックデータごとに設けられ、データストリームを複製した数分の共通鍵暗号の鍵を含む鍵プールのそれぞれから１つずつ鍵を選択して、ユーザ端末ごとに一意になる鍵情報の組を作成し、対応するユーザ端末の前記鍵情報記憶手段に作成した鍵情報の組を記憶させる付記１または付記２記載の放送型データストリーム保護システム。
【０１２１】
（付記４）結合メッセージ認証子生成手段は、ブロックデータ順に連接したメッセージ認証子を、所定の一方向性ハッシュ関数を用いて結合メッセージ認証子に変換する付記１から付記３のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１２２】
（付記５）データ分割手段は、ユーザ端末数より少ない数のデータストリーム群に対して、ブロックデータを決定する付記１から付記４のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１２３】
（付記６）結合メッセージ認証子付与手段は、結合メッセージ認証子を電子透かしとしてデータストリームに埋め込む付記１から付記５のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１２４】
（付記７）データ分割手段は、データストリームの周波数成分ごとに分割する方法、データストリームに対して時間軸方向に分割する方法、映像データストリームに対して矩形領域ごとに分割する方法、映像データストリームに対して色成分ごとに分割する方法、もしくは、映像データストリームに対して解像度ごとに分割する方法のうちの少なくともいずれかの方法で分割したデータストリームをブロックデータと決定する付記１から付記６のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１２５】
（付記８）データ再構築手段は、データ分割手段が分割する方法と逆方向の処理として定義される方法を用いて復号された各ブロックデータを結合してデータストリームを再構築する付記１から付記７のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１２６】
（付記９）鍵情報割当手段は、公開鍵暗号における公開鍵と秘密鍵のペアを生成し、当該公開鍵を用いて暗号化された乱数をユーザ端末から受信したときに、ユーザ端末ごとに一意の共通鍵暗号の鍵であるマスタ鍵を生成し、当該マスタ鍵を用いて個別に暗号化した鍵情報を前記ユーザ端末に送信する付記３記載の放送型データストリーム保護システム。
【０１２７】
（付記１０）ユーザ端末は、ユーザ端末ごとに割り当てられる鍵情報の組を鍵情報記憶手段に記憶させる鍵情報登録手段を備え、前記鍵情報登録手段は、公開鍵を用いて暗号化した乱数を配信サーバに送信し、暗号化された鍵情報を配信サーバから受信したときに、受信した鍵情報の組を復号し、復号した鍵情報の組を鍵情報記憶手段に記憶させる付記９記載の放送型データストリーム保護システム。
【０１２８】
（付記１１）再構築データ認証子生成手段は、鍵プールのそれぞれから１つずつ鍵を選択して、一意になる鍵情報の組を作成し、当該鍵情報を用いてブロックデータごとのメッセージ認証子を生成する付記２記載の放送型データストリーム保護システム。
【０１２９】
（付記１２）データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段と、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定手段とを備え、前記ユーザ端末特定手段は、前記ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割手段と、ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段と、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段と、前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段とを含むことを特徴とする配信サーバ。
【０１３０】
（付記１３）データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するユーザ端末であって、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号する復号手段と、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えたことを特徴とするユーザ端末。
【０１３１】
（付記１４）データストリームを配信する配信サーバが、データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、前記配信サーバが、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、前記配信サーバが、生成したメッセージ認証子を各ブロックデータに付与し、前記配信サーバが、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化し、前記配信サーバから配信されるデータストリームを受信するユーザ端末が、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号し、前記ユーザ端末が、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、前記ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、前記ユーザ端末が、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成し、前記ユーザ端末が、再構築されたデータストリームに前記結合メッセージ認証子を付与することを特徴とする放送型データストリーム保護方法。
【０１３２】
（付記１５）配信サーバが、再構築されたデータストリームに対して、そのデータストリームそれ自体又はそのデータストリームを分割したデータをブロックデータと決定し、配信サーバが、ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成し、配信サーバが、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成し、配信サーバが、前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定する付記１４記載の放送型データストリーム保護方法。
【０１３３】
（付記１６）配信サーバが、ブロックデータごとに設けられ、データストリームを複製した数分の共通鍵暗号の鍵を含む鍵プールのそれぞれから１つずつ鍵を選択して、ユーザ端末ごとに一意になる鍵情報の組を作成し、作成した鍵情報の組を対応するユーザ端末の鍵情報記憶手段に記憶させる付記１４または付記１５記載の放送型データストリーム保護システム。
【０１３４】
（付記１７）ユーザ端末が、結合メッセージ認証子を生成する際、ブロックデータ順に連接したメッセージ認証子を、所定の一方向性ハッシュ関数を用いて結合メッセージ認証子に変換する付記１４から付記１６のうちのいずれか１つに記載の放送型データストリーム保護方法。
【０１３５】
（付記１８）配信サーバが、ブロックデータを生成する際、ユーザ端末数より少ない数のデータストリーム群に対して、ブロックデータを決定する付記１４から付記１７のうちのいずれか１つに記載の放送型データストリーム保護方法。
【０１３６】
（付記１９）ユーザ端末が、結合メッセージ認証子を付与する際、結合メッセージ認証子を電子透かしとしてデータストリームに埋め込む付記１４から付記１８のうちのいずれか１つに記載の放送型データストリーム保護方法。
【０１３７】
（付記２０）配信サーバが、ブロックデータを生成する際、データストリームの周波数成分ごとに分割する方法、データストリームに対して時間軸方向に分割する方法、映像データストリームに対して矩形領域ごとに分割する方法、映像データストリームに対して色成分ごとに分割する方法、もしくは、映像データストリームに対して解像度ごとに分割する方法のうちの少なくともいずれかの方法で分割したデータストリームをブロックデータと決定する付記１４から付記１９のうちのいずれか１つに記載の放送型データストリーム保護方法。
【０１３８】
（付記２１）ユーザ端末が、データストリームを再構築する際、ブロックデータを生成する方法と逆方向の処理として定義される方法を用いて復号された各ブロックデータを結合することによりデータストリームを再構築する付記１４から付記２０のうちのいずれか１つに記載の放送型データストリーム保護方法。
【０１３９】
（付記２２）配信サーバが、鍵情報の組を割り当てる際、公開鍵暗号における公開鍵と秘密鍵のペアを生成し、当該公開鍵を用いて暗号化された乱数をユーザ端末から受信したときに、ユーザ端末ごとに一意の共通鍵暗号の鍵であるマスタ鍵を生成し、当該マスタ鍵を用いて個別に暗号化した鍵情報を前記ユーザ端末に送信する付記１６記載の放送型データストリーム保護方法。
【０１４０】
（付記２３）ユーザ端末が、公開鍵を用いて暗号化した乱数を配信サーバに送信し、暗号化された鍵情報を配信サーバから受信したときに、受信した鍵情報の組を復号し、復号した鍵情報の組を鍵情報記憶手段に記憶させる付記２２記載の放送型データストリーム保護方法。
【０１４１】
（付記２４）配信サーバが、メッセージ認証子を生成する際、鍵プールのそれぞれから１つずつ鍵を選択して、一意になる鍵情報の組を作成し、当該鍵情報を用いてブロックデータを生成するごとのメッセージ認証子を生成する付記１５記載の放送型データストリーム保護方法。
【０１４２】
（付記２５）データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与し、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化し、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定し、ユーザ端末を特定する際に、ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定し、ブロックデータ対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成し、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成し、前記結合メッセージ認証子が再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定することを特徴とするユーザ端末特定方法。
【０１４３】
（付記２６）データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するユーザ端末が、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号し、前記ユーザ端末が、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、前記ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、前記ユーザ端末が、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成し、前記ユーザ端末が、再構築されたデータストリームに前記結合メッセージ認証子を付与することを特徴とする受信データ再構築方法。
【０１４４】
（付記２７）コンピュータに、データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割処理、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名処理、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化処理、および、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定処理を実行させ、前記ユーザ端末特定処理で、前記ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割処理、ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成処理、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合処理、および、前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定処理を実行させるためのユーザ端末特定プログラム。
【０１４５】
（付記２８）コンピュータに、ユーザ端末ごとに一意になる鍵情報の組を割り当てる鍵情報割当処理を実行させ、前記鍵情報割当処理で、ブロックデータごとに設けられ、データストリームを複製した数分の共通鍵暗号の鍵を含む鍵プールのそれぞれから１つずつ鍵を選択して、ユーザ端末ごとに一意になる鍵情報の組を作成させ、対応するユーザ端末の鍵情報記憶手段に作成した鍵情報の組を記憶させる付記２７記載のユーザ端末特定プログラム。
【０１４６】
（付記２９）コンピュータに、ユーザ端末数より少ない数のデータストリーム群に対して、ブロックデータを決定させる付記２７または付記２８記載のユーザ端末特定プログラム。
【０１４７】
（付記３０）コンピュータに、データ分割処理で、データストリームの周波数成分ごとに分割する方法、データストリームに対して時間軸方向に分割する方法、映像データストリームに対して矩形領域ごとに分割する方法、映像データストリームに対して色成分ごとに分割する方法、もしくは、映像データストリームに対して解像度ごとに分割する方法のうちの少なくともいずれかの方法で分割したデータストリームをブロックデータと決定する付記２７から請求項２９のうちのいずれか１つに記載のユーザ端末特定プログラム。
【０１４８】
（付記３１）コンピュータに、鍵情報割当処理で、公開鍵暗号における公開鍵と秘密鍵のペアを生成させ、当該公開鍵を用いて暗号化された乱数をユーザ端末から受信したときに、ユーザ端末ごとに一意の共通鍵暗号の鍵であるマスタ鍵を生成させ、当該マスタ鍵を用いて個別に暗号化した鍵情報を前記ユーザ端末に送信させる付記２８記載のユーザ端末特定プログラム。
【０１４９】
（付記３２）コンピュータに、再構築データ認証子生成処理で、鍵プールのそれぞれから１つずつ鍵を選択して、一意になる鍵情報の組を作成させ、当該鍵情報を用いてブロックデータごとのメッセージ認証子を生成させる付記２７から請求項３１のうちのいずれか１つに記載の放送型データストリーム保護システム。
【０１５０】
（付記３３）データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するコンピュータに適用される受信データ再構築プログラムであって、前記コンピュータに、ブロックデータごとの暗号化及び復号に用いられる情報としてコンピュータごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号する復号処理、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築処理、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出処理、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成処理、および、再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与処理を実行させるための受信データ再構築プログラム。
【０１５１】
（付記３４）コンピュータに、結合メッセージ認証子生成処理で、ブロックデータ順に連接したメッセージ認証子を、所定の一方向性ハッシュ関数を用いて結合メッセージ認証子に変換させる付記３３記載の受信データ再構築プログラム。
【０１５２】
（付記３５）コンピュータに、結合メッセージ認証子付与処理で、結合メッセージ認証子を電子透かしとしてデータストリームに埋め込ませる付記３３または付記３４記載の受信データ再構築プログラム。
【０１５３】
（付記３６）コンピュータに、データ再構築処理で、データ分割処理で分割させた方法と逆方向の処理として定義される方法を用いて復号された各ブロックデータを結合してデータストリームを再構築させる付記３３から付記３５のうちのいずれか１つに記載の受信データ再構築プログラム。
【０１５４】
（付記３７）コンピュータに、ユーザ端末ごとに割り当てられる鍵情報の組を鍵情報記憶手段に記憶させる鍵情報登録処理を実行させ、前記鍵情報登録処理で、公開鍵を用いて暗号化した乱数を配信サーバに送信させ、暗号化された鍵情報を配信サーバから受信したときに、受信した鍵情報の組を復号させ、復号させた鍵情報の組を鍵情報記憶手段に記憶させる請求項３３記載の受信データ再構築プログラム。
【産業上の利用可能性】
【０１５５】
本発明は、配信サーバから放送されるデータストリームの受信元を特定し、二次利用抑止などを可能とする放送型データストリーム保護システムに好適に適用される。なお、この配信サーバから放送される情報として、例えば、ＩＰＴＶ（Internet Protocol Television）に代表されるＩＰ放送によるデータ送信、デジタルサイネージなどのクライアント数が大規模なサーバクライアント型ネットワークにおけるダウンストリームなどが想定される。
【０１５６】
例えば、ＩＰ放送においては、配信サーバが最初の受信先を特定できるので、不正な二次流通を抑止することができる。一方、家族間の複製など、私的利用の範囲における複製については利便性の維持が可能である。
【０１５７】
また、本発明を、デジタルサイネージにも応用可能である。例えば、サーバからのダウンストリームとして配信される電子広告の配信先端末において、広告を参照したユーザに意図的にコピーを配布する。このようにすることで、商品の販売時などにおいて、どの配信先端末でその電子公告が参照されたかを広告主に伝達することが可能である。また、この仕組みを利用して、アフィリエイト型（成功報酬型）の広告モデルにも応用可能である。
【符号の説明】
【０１５８】
１０，３０ 配信サーバ
１１ 事前鍵割当手段
１２ 分割手段
１３ 署名手段
１４ 暗号化手段
１５，３５ 受信者特定手段
２０，４０ ユーザ端末
２１ 鍵情報記憶手段
２２ 復号手段
２３，４３ 再構築手段
１００ 通信ネットワーク
【特許請求の範囲】
【請求項１】
データストリームを配信する配信サーバと、
前記配信サーバから配信されるデータストリームを受信するユーザ端末とを備え、
前記配信サーバは、
データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、
前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、
前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段とを備え、
前記ユーザ端末は、
ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号する復号手段と、
前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、
データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、
再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えた
ことを特徴とする放送型データストリーム保護システム。
【請求項２】
配信サーバは、
データストリームを送信するユーザ端末を特定するユーザ端末特定手段を備え、
前記ユーザ端末特定手段は、
再構築されたデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割手段と、
ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段と、
所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段と、
前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段とを含む
請求項１記載の放送型データストリーム保護システム。
【請求項３】
配信サーバは、
ユーザ端末ごとに一意になる鍵情報の組を割り当てる鍵情報割当手段を備え、
ユーザ端末は、
ユーザ端末ごとに割り当てられる鍵情報の組を記憶する鍵情報記憶手段を備え、
前記鍵情報割当手段は、ブロックデータごとに設けられ、データストリームを複製した数分の共通鍵暗号の鍵を含む鍵プールのそれぞれから１つずつ鍵を選択して、ユーザ端末ごとに一意になる鍵情報の組を作成し、対応するユーザ端末の前記鍵情報記憶手段に作成した鍵情報の組を記憶させる
請求項１または請求項２記載の放送型データストリーム保護システム。
【請求項４】
データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、
前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、
前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段と、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定手段とを備え、
前記ユーザ端末特定手段は、
前記ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割手段と、
ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段と、
所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段と、
前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段とを含む
ことを特徴とする配信サーバ。
【請求項５】
データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するユーザ端末であって、
ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号する復号手段と、
前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、
データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、
再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えた
ことを特徴とするユーザ端末。
【請求項６】
データストリームを配信する配信サーバが、データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、
前記配信サーバが、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、
前記配信サーバが、生成したメッセージ認証子を各ブロックデータに付与し、
前記配信サーバが、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化し、
前記配信サーバから配信されるデータストリームを受信するユーザ端末が、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号し、
前記ユーザ端末が、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、
前記ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、
前記ユーザ端末が、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成し、
前記ユーザ端末が、再構築されたデータストリームに前記結合メッセージ認証子を付与する
ことを特徴とする放送型データストリーム保護方法。
【請求項７】
データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、
前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、
生成したメッセージ認証子を各ブロックデータに付与し、
前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化し、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定し、
ユーザ端末を特定する際に、ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定し、ブロックデータに対応する鍵情報を用いて前記ブロックデータタごとのメッセージ認証子を生成し、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成し、前記結合メッセージ認証子が再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定する
ことを特徴とするユーザ端末特定方法。
【請求項８】
データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するユーザ端末が、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号し、
前記ユーザ端末が、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、
前記ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、
前記ユーザ端末が、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成し、
前記ユーザ端末が、再構築されたデータストリームに前記結合メッセージ認証子を付与する
ことを特徴とする受信データ再構築方法。
【請求項９】
コンピュータに、
データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割処理、
前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名処理、
前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化処理、および、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定処理を実行させ、
前記ユーザ端末特定処理で、
前記ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割処理、
ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成処理、
所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合処理、および、
前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定処理
を実行させるためのユーザ端末特定プログラム。
【請求項１０】
データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するコンピュータに適用される受信データ再構築プログラムであって、
前記コンピュータに、
ブロックデータごとの暗号化及び復号に用いられる情報としてコンピュータごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号する復号処理、
前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築処理、
データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出処理、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成処理、および、
再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与処理
を実行させるための受信データ再構築プログラム。
【請求項１】
データストリームを配信する配信サーバと、
前記配信サーバから配信されるデータストリームを受信するユーザ端末とを備え、
前記配信サーバは、
データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、
前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、
前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段とを備え、
前記ユーザ端末は、
ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号する復号手段と、
前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、
データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、
再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えた
ことを特徴とする放送型データストリーム保護システム。
【請求項２】
配信サーバは、
データストリームを送信するユーザ端末を特定するユーザ端末特定手段を備え、
前記ユーザ端末特定手段は、
再構築されたデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割手段と、
ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段と、
所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段と、
前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段とを含む
請求項１記載の放送型データストリーム保護システム。
【請求項３】
配信サーバは、
ユーザ端末ごとに一意になる鍵情報の組を割り当てる鍵情報割当手段を備え、
ユーザ端末は、
ユーザ端末ごとに割り当てられる鍵情報の組を記憶する鍵情報記憶手段を備え、
前記鍵情報割当手段は、ブロックデータごとに設けられ、データストリームを複製した数分の共通鍵暗号の鍵を含む鍵プールのそれぞれから１つずつ鍵を選択して、ユーザ端末ごとに一意になる鍵情報の組を作成し、対応するユーザ端末の前記鍵情報記憶手段に作成した鍵情報の組を記憶させる
請求項１または請求項２記載の放送型データストリーム保護システム。
【請求項４】
データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割手段と、
前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名手段と、
前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化手段と、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定手段とを備え、
前記ユーザ端末特定手段は、
前記ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割手段と、
ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成手段と、
所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合手段と、
前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定手段とを含む
ことを特徴とする配信サーバ。
【請求項５】
データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するユーザ端末であって、
ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号する復号手段と、
前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築手段と、
データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出手段と、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成手段と、
再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与手段とを備えた
ことを特徴とするユーザ端末。
【請求項６】
データストリームを配信する配信サーバが、データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、
前記配信サーバが、前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、
前記配信サーバが、生成したメッセージ認証子を各ブロックデータに付与し、
前記配信サーバが、前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化し、
前記配信サーバから配信されるデータストリームを受信するユーザ端末が、ユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化されたブロックデータを復号し、
前記ユーザ端末が、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、
前記ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、
前記ユーザ端末が、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成し、
前記ユーザ端末が、再構築されたデータストリームに前記結合メッセージ認証子を付与する
ことを特徴とする放送型データストリーム保護方法。
【請求項７】
データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定し、
前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、
生成したメッセージ認証子を各ブロックデータに付与し、
前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化し、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定し、
ユーザ端末を特定する際に、ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定し、ブロックデータに対応する鍵情報を用いて前記ブロックデータタごとのメッセージ認証子を生成し、所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成し、前記結合メッセージ認証子が再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定する
ことを特徴とするユーザ端末特定方法。
【請求項８】
データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するユーザ端末が、ブロックデータごとの暗号化及び復号に用いられる情報としてユーザ端末ごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号し、
前記ユーザ端末が、前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築し、
前記ユーザ端末が、データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出し、
前記ユーザ端末が、所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成し、
前記ユーザ端末が、再構築されたデータストリームに前記結合メッセージ認証子を付与する
ことを特徴とする受信データ再構築方法。
【請求項９】
コンピュータに、
データストリームに対して、又は、データストリームを含み当該データストリームから複製されたデータストリーム群に対して、各データストリームごとに、データストリームそれ自体又はデータストリームを分割したデータをブロックデータと決定するデータ分割処理、
前記ブロックデータごとの暗号化及び復号に用いられる情報である鍵情報を用いて、ブロックデータごとにメッセージ認証子を生成し、生成したメッセージ認証子を各ブロックデータに付与する署名処理、
前記ブロックデータに対応する鍵情報を用いて、前記メッセージ認証子が付与された各ブロックデータを暗号化する暗号化処理、および、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を付与したデータストリームを送信するユーザ端末を特定するユーザ端末特定処理を実行させ、
前記ユーザ端末特定処理で、
前記ユーザ端末が送信するデータストリームに対して、当該データストリームそれ自体又は当該データストリームを分割したデータをブロックデータと決定する再構築データ分割処理、
ブロックデータに対応する鍵情報を用いて前記ブロックデータごとのメッセージ認証子を生成する再構築データ認証子生成処理、
所定の変換規則に基づいて前記メッセージ認証子を変換した結合メッセージ認証子を生成する再構築データ認証子結合処理、および、
前記結合メッセージ認証子が、再構築されたデータストリームから抽出される結合メッセージ認証子と一致する場合に、当該結合メッセージ認証子を変換する際に用いたメッセージ認証子の組に対応する鍵情報の組をもとに、再構築されたデータストリームを送信するユーザ端末を特定するユーザ端末判定処理
を実行させるためのユーザ端末特定プログラム。
【請求項１０】
データストリームそれ自体又はデータストリームを分割したデータであるブロックデータを当該ブロックデータごとに付与されるメッセージ認証子と共に暗号化して配信する配信サーバから前記ブロックデータを受信するコンピュータに適用される受信データ再構築プログラムであって、
前記コンピュータに、
ブロックデータごとの暗号化及び復号に用いられる情報としてコンピュータごとに一意に割り当てられた鍵情報の組を用いて、暗号化された前記ブロックデータを復号する復号処理、
前記鍵情報の組を用いて復号された各ブロックデータを結合してデータストリームを再構築するデータ再構築処理、
データストリームの再構築に用いられた各ブロックデータからメッセージ認証子を抽出するメッセージ認証子抽出処理、
所定の変換規則に基づいて前記メッセージ認証子を変換した情報である結合メッセージ認証子を生成する結合メッセージ認証子生成処理、および、
再構築されたデータストリームに前記結合メッセージ認証子を付与する結合メッセージ認証子付与処理
を実行させるための受信データ再構築プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１１−１９９５１５（Ｐ２０１１−１９９５１５Ａ）
【公開日】平成２３年１０月６日（２０１１．１０．６）
【国際特許分類】
【出願番号】特願２０１０−６３１１６（Ｐ２０１０−６３１１６）
【出願日】平成２２年３月１８日（２０１０．３．１８）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２３年１０月６日（２０１１．１０．６）
【国際特許分類】
【出願日】平成２２年３月１８日（２０１０．３．１８）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]