証明書に基づく認証ドメイン
本発明は、ネットワークにおける装置間の安全なコンテンツの配信のための方法、システム及び中央装置に関する。本発明は、ネットワークを管理する中央装置により認証ドメインが設定されるというアイデアに基づく。装置がネットワークに加入すると、中央装置は、加入した装置を登録し、当該装置に少なくとも１つの証明書を発行する。この登録により、加入する装置が認証された装置であるということが保証され、このことは、認証された装置メーカにより当該装置が製造されたということを意味するものである。ネットワークセキュリティのため、認証されていない装置はネットワークには受け入れられない。各装置に発行される少なくとも１つの証明書による認証に基づき、コンテンツはネットワークの装置間に配信される。第１装置から第２装置へのコンテンツの配信は、第２装置の少なくとも１つの証明書により第２装置を認証する第１装置よって可能とされ、またその逆も可能とされる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおける装置間の安全なコンテンツ配信のための方法、システム及び中央装置に関する。
【背景技術】
【０００２】
近年急速にコンテンツ保護システムが成長してきている。これらのシステムの一部は不正な複製に対しコンテンツを保護するのみである一方、他のシステムはユーザによるコンテンツへのアクセスを禁止するものもある。前者のカテゴリは、コピープロテクション（ＣＰ）システムと呼ばれる。ＣＰシステムは、当該タイプのコンテンツ保護は安価に実現されると考えられ、コンテンツ提供者との双方向のやりとりを必要としないため、従来は家電（ＣＥ）機器を主たる対象としてきた。いくつかの例として、ＣＳＳ（Ｃｏｎｔｅｎｔ Ｓｃｒａｍｂｌｉｎｇ Ｓｙｓｔｅｍ）、ＤＶＤ ＲＯＭディスク及びＤＴＣＰの保護システムやＩＥＥＥ１３９４接続の保護システムなどがあげられる。
【０００３】
後者のカテゴリは、いくつかの名称により知られている。放送の世界では、このカテゴリのシステムは一般に限定受信システム（ｃｏｎｄｉｔｉｏｎａｌ ａｃｃｅｓｓ ｓｙｓｔｅｍ）として知られ、インターネットの世界では、デジタル著作権管理（ＤＲＭ）システムとして知られている。
【０００４】
あるタイプのＣＰシステムは、限定受信またはＤＲＭシステムとインタフェースをとるためのサービスを提供することも可能である。例として、ＤＶＢ−ＣＰＴサブグループ及びＴＶ−ＡｎｙｔｉｍｅＲＭＰグループにより現在開発中のシステムがあげられる。その目的は、装置群が双方向接続を介し互いに認証可能なシステムである。この認証に基づき、これらの装置は互いに信頼し合い、保護されるコンテンツのやりとりを可能/許可する。付随するライセンスは、ユーザが有する権利及び当該コンテンツに対し実行が許可されている処理を記述したものである。このようなライセンスはある一般的なネットワークシークレットにより保護され、ある家庭の装置間でのみ交換される。このような装置のネットワークは、認証ドメイン（ＡＤ）と呼ばれる。
【０００５】
認証ドメインの概念は、コンテンツ所有者（自らの著作権の保護を所望する）の利益とコンテンツユーザ（コンテンツの無制限の利用を所望する）の利益の両方に資する解決策を見出そうとするものである。その基本原理は、認証ドメインの境界を越えない限り、コンテンツの比較的自由な利用を可能にする制御されたネットワーク環境を備えることである。典型的には、認証ドメインは、ホームネットワークと呼ばれる家庭環境を中心としたものである。もちろん、他のシナリオもまた可能である。例えば、ユーザは旅行中に携帯型テレビを携行し、ホテルの部屋でそれを用いて、自宅のパーソナルビデオレコーダに記憶したコンテンツにアクセスすることができるようになる。携帯型テレビがホームネットワークの外部にあったとしても、それはユーザの認証ドメインの一部である。
【０００６】
ホームネットワークは、あるタイプのネットワーク技術（例えば、イーサネット（登録商標）、ＩＥＥＥ１３９４、ＢｌｕｅＴｏｏｔｈ、８０２．１１ｂなど）を利用して相互接続される装置群として定義することが可能である。ネットワーク技術は各装置の通信を可能にするが、これは装置群が互換性を有することを可能にするには十分なものとはいえない。これを可能にするため、装置はネットワークのその他の装置に与えられる機能の検出及びアドレス指定することが可能である必要がある。このような互換性は、ホームネットワーキングミドルウェア（ＨＮ−ＭＷ）により提供される。ホームネットワーキングミドルウェアの例として、Ｊｉｎｉ、ＨＡＶｉ、ＵＰｎＰ、ＡＶＣなどがあげられる。
【０００７】
ＨＮ−ＭＷに関しては、セキュアコンテンツの処理に関するシステムはいくつかの方法に従う。ネットワークにおけるある機能は、保護されるコンテンツへのアクセスを要求するものである。またネットワークにおける他の機能は、コンテンツセキュリティを扱うネットワークの要素により利用可能な機能を提供するものである。さらに、ＯＰＩＭＡなどのセキュリティフレームワークは、ＨＮ−ＭＷを用いて、互いの所在を確認し、互換的方法により通信することが可能である。もちろん、認証ドメインはまた、他の方法により実現可能である。
【０００８】
ホームネットワークにおけるＤＲＭの利用に関するより広範な紹介は、Ｆ．Ｌ．Ａ．Ｊ．Ｋａｍｐｅｒｍａｎ，Ｓ．Ａ．Ｆ．Ａ．ｖａｎ ｄｅｎ Ｈｅｕｖｅｌ，Ｍ．Ｈ．Ｖｅｒｂｅｒｋｙらによる「Ｄｉｇｉｔａｌ Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔ ｉｎ Ｈｏｍｅ Ｎｅｔｗｏｒｋｓ」（Ｐｈｉｌｉｐｓ Ｒｅｓｅａｒｃｈ，Ｔｈｅ Ｎｅｔｈｅｒｌａｎｄｓ，ＩＢＣ２００１ ｃｏｎｆｅｒｅｎｃｅ ｐｕｂｌｉｃａｔｉｏｎ ｖｏｌ．Ｉ，ｐａｇｅｓ７０−７７）、及びＳ．Ａ．Ｆ．Ａ．ｖａｎ ｄｅｎ Ｈｅｕｖｅｌ，Ｗ．Ｊｏｎｋｅｒ，Ｆ．Ｌ．Ａ．Ｊ．Ｋａｍｐｅｒｍａｎ，Ｐ．Ｊ．Ｌｅｎｏｉｒらによる「Ｓｅｃｕｒｅ Ｃｏｎｔｅｎｔ Ｍａｎａｇｅｍｅｎｔ ｉｎ Ａｕｔｈｏｒｉｚｅｄ Ｄｏｍａｉｎｓ」（Ｐｈｉｌｉｐｓ Ｒｅｓｅａｒｃｈ，Ｔｈｅ Ｎｅｔｈｅｒｌａｎｄｓ，ＩＢＣ ２００２ ｃｏｎｆｅｒｅｎｃｅ ｐｕｂｌｉｃａｔｉｏｎ，ｐｐ４６７−４７４）を参照されたい。
【０００９】
ある程度まで認証ドメインの概念を実現する様々なシステムがすでに存在する。このようなシステムの例として、ＳｍａｒｔＲｉｇｈｔ（Ｔｈｏｍｓｏｎ Ｍｕｌｔｉｍｅｄｉａ）、ｘＣＰ（４Ｃ，主にＩＢＭ）及びＮｅｔＤＲＭ（松下）があげられる。
【発明の開示】
【発明が解決しようとする課題】
【００１０】
本発明の課題は、
・ＡＤの生成及び設定
・ＡＤ装置の準拠性の検証
・ＡＤ加入の検証
・コンテンツ及び権利移転の安全な処理
・コンテンツ及び権利（ローカル）の格納の安全な処理
をサポートするＤＲＭシステムにおけるＡＤ（Ａｕｔｈｏｒｉｚｅｄ Ｄｏｍａｉｎ）管理機構を提供することである。
【００１１】
本発明の課題は、請求項１によるネットワークにおける装置間の安全なコンテンツの配信方法、請求項８によるネットワークにおける装置間の安全なコンテンツの配信システム、及び請求項１５によるネットワークを管理する中央装置により実現される。
【課題を解決するための手段】
【００１２】
本発明の第１の特徴によると、ネットワークを管理する中央装置によりネットワークに加入する装置が登録され、少なくとも１つの証明書が中央装置から加入装置に発行されるという方法が提供される。第２の特徴によると、本方法はまた、各装置に発行される少なくとも１つの証明書による認証に基づき、ネットワークの装置間にコンテンツを配信するステップを有し、第１装置から第２装置へのコンテンツの配信は、第２装置の少なくとも１つの証明書により第２装置を認証する第１装置と、第１装置の少なくとも１つの証明書により第１装置を認証する第２装置により可能とされる。
【００１３】
本発明の第３の特徴によると、ネットワークを管理する中央装置が、ネットワークに加入する装置を登録し、加入する装置に少なくとも１つの証明書を発行するよう構成されるようなシステムが提供される。本システムはさらに、少なくとも１つの証明書を有し、ネットワークにおける装置間のコンテンツの配信は、各装置に発行される少なくとも１つの証明書による認証に基づき、第１装置から第２装置へのコンテンツの配信は、第２装置の少なくとも１つの証明書により第２装置を認証する第１装置と、第１装置の少なくとも１つの証明書による第１装置を認証する第２装置により可能とされる。
【００１４】
本発明の第４の特徴によると、ネットワークを管理する中央装置が、ネットワークにおいて構成される。中央装置は、ネットワークに加入する装置を登録するよう構成される手段と、加入する装置に少なくとも１つの証明書を発行するよう構成される手段とを有する。
【００１５】
本発明は、認証ドメイン、すなわち、制御されたネットワークが、ネットワークを管理する中央装置により設定されるというアイデアに基づく。装置がネットワークに加入すると、中央装置は、加入した装置を登録し、登録が成功すると、この加入した装置に少なくとも１つの証明書を発行する。この登録処理は、加入した装置が認証された装置であるということを保証するものであり、認証された装置のメーカが当該装置を提供したということを意味するものである。ネットワークセキュリティのため、認証されていない装置はネットワークに受け入れられない。各装置に発行される少なくとも１つの証明書による認証に基づき、コンテンツがネットワークの装置間に配信される。第１装置から第２装置へのコンテンツの配信は、第２装置の少なくとも１つの証明書による第２装置を認証する第１装置により可能となる。さらに、第２装置は、第１装置の少なくとも１つの証明書により第１装置を認証する。
【００１６】
この概念は、各装置が認証されているという仮定の下、各装置が互いを信頼しているということから効果的であり、これにより装置間のコンテンツの交換が可能となる。コンテンツは、ネットワークのフレーム内にある限り、自由に利用することができる。これは、コンテンツが認証されていない装置に配信されることを防ぐと共に、信頼されていない装置からのコンテンツがネットワークに侵入することを回避するものである。本発明を利用することにより、信頼されていない第三者が悪意ある装置を利用してコンテンツの認証されていないコピーを行うことを不可とすることが保証される。装置は、認証されているメーカによって製造される場合のみ、ネットワークに加入することが許可される。各装置は、各自の証明書をチェックすることにより、各装置が同一のネットワークに属していることをチェックすることができる。
【００１７】
本発明は主として、装置準拠性、ドメイン登録（登録削除）及びドメイン生成を支配する特定の証明書チェーンを利用することにより特徴付けされる。この特定の設定は、コンテンツとライセンスとの厳密な分離と組み合わされることにより、ドメインマネージャの干渉なく多くのドメイン処理を可能にし、例えば、スーパーディストリビューション（ｓｕｐｅｒ ｄｉｓｔｒｉｂｕｔｉｏｎ）などの異なる配信スキームをサポートする。
【００１８】
機能するＡＤ実現形態では、少なくとも以下のポイントが解決される必要がある。
１．ＡＤ生成
２．エンティティチェックイン/チェックアウト（エンティティは、ユーザ、装置、コンテンツ、権利またはメディアであってもよい）
３．コンテンツ及び権利の交換のためのＡＤセキュリティ特徴
４．ＤＲＭ機能
ＡＤ生成は、新たなＡＤが生成されるアクションである。エンティティチェックイン/チェックアウトは、新たなエンティティがＡＤの加入/退出を可能にするアクションである。ＡＤセキュリティ特徴は、ＡＤでの十分なセキュリティレベルを保証するのに必要とされるすべての手段に関するものである。ＤＲＭ機能は、ＡＤ内および異なるＡＤ間でのコンテンツの利用及び権利の交換を支配するルールである。本発明は、上記すべてのポイントに対する解決手段を提供するものである。
【００１９】
本発明の一実施例によると、少なくとも１つの証明書は、中央装置により生成される公開鍵と装置秘密鍵により生成される署名とを有する第１証明書を有する。さらに、少なくとも１つの証明書は、加入する装置の公開鍵と当該公開鍵に対応する中央装置により生成される秘密鍵により生成される署名とを有する第２証明書とを有する。本実施例は、証明書が関与する装置に配信されると、中央装置の参入なく装置間へのコンテンツの配信及び処理が実効化されうるという効果を有する。この結果、大きな負荷を有する中央装置が配信のボトルネックになるおそれはない。本実施例はまた、装置間での共有シークレットの配信を要する他の解決策と異なり、中央装置により生成される秘密鍵が中央装置のみに格納されるという効果を有する。これにより、故障ポイントの個数が減少し、システムセキュリティ全体の向上に寄与する。
【００２０】
本発明の他の実施例によると、ネットワークに加入する装置の登録は、各装置に格納されている装置公開鍵により第３証明書を検証することにより実行される。第３証明書は、工場でインストールされ、証明書認証秘密鍵により署名され、工場でインストールされた対応する証明書認証公開鍵により検証が行われる。装置公開鍵は、それに対応する装置秘密鍵を格納する装置を認証するのに利用される。本実施例は、装置がネットワークに加入するとき、少数のセキュリティ処理を用いて装置の準拠性をチェックすることから効果的である。従って、装置準拠性はスムースかつシンプルなものあるが、依然として効果的である。
【００２１】
本発明のさらなる特徴及び効果は、添付された請求項及び以下の説明を考察することにより明らかとなるであろう。当業者は、本発明の異なる特徴が以下に喜寿されるもの以外の実施例を生成するのに組み合わせ可能であるということを認識するであろう。当業者には、多数の異なる変更、改良及び組み合わせが明らかとなるであろう。説明される実施例は、添付される請求項に規定されるように、本発明の範囲を限定することを意図するものではない。
【００２２】
本発明の上記及び他の特徴は、図面に示される例示的実施例を参照することにより明らかとなるであろう。
【００２３】
図面を通じて、同一の参照番号は同様または対応する構成を示すものである。図面に示される構成の一部は、典型的には、ソフトウェア的に実現され、ソフトウェアモジュールまたはオブジェクトなどのソフトウェアエンティティを表す。
【発明を実施するための最良の形態】
【００２４】
図１は、ネットワーク１１０を介し相互に接続される装置１０１〜１０５からなるシステム１００を概略的に示す。本実施例では、システム１００は、家庭内ネットワークである。典型的なデジタルホームネットワークには、ラジオ受信機、チューナ/デコーダ、ＣＤプレーヤー、一組のスピーカー、テレビ、ＶＣＲ、テープデッキなどのいくつかの装置が含まれる。これらの装置は、テレビなどの１つの装置がＶＣＲなどの他の装置を制御するのを可能にするため、通常相互接続されている。チューナ/デコーダやセットトップボックス（ＳＴＢ）などの１つの装置は、通常その他の装置に対する集中制御を提供する中央装置である。
【００２５】
典型的には、音楽、楽曲、映画、テレビ番組、画像、書籍などから構成されるが、インタラクティブサービスをも含むコンテンツが、住居のゲートウェイまたはセットトップボックス１０１を介し受信される。コンテンツはまた、ディスクなどの記憶媒体などの他のソースを介し、あるいは携帯型装置を用いて家庭内に入ってくることが可能である。このソースは、ブロードバンドケーブルネットワーク、インターネット接続、衛星ダウンリンクなどへの接続である。このときコンテンツは、レンダリングのためネットワーク１１０を介しシンク（ｓｉｎｋ）に転送することが可能である。シンクとは、例えば、テレビディスプレイ１０２、携帯型表示装置１０３、携帯電話１０４及び/または音声再生装置１０５とすることができる。
【００２６】
コンテンツアイテムの具体的なレンダリング方法は、装置タイプ及びコンテンツタイプに依存する。例えば、ラジオ受信機では、レンダリングは、音声信号の生成及び当該音声信号のスピーカーへの供給からなる。テレビ受信機では、レンダリングは一般に、音声及び映像信号の生成及び当該信号の表示画面及びスピーカーへの供給からなる。他のタイプのコンテンツに対しても、同様の適切なアクションがとられる必要がある。レンダリングはまた、受信信号の解読またはスクランブル解除、音声及び映像信号の同期化などの処理を有するものであってもよい。
【００２７】
セットトップボックス１０１またはシステム１００の他の任意の装置は、受信コンテンツの記録及び以降における再生を可能にする適切な大きさのハードディスクなどの記憶媒体Ｓ１を有するようにしてもよい。記憶媒体Ｓ１は、セットトップボックス１０１が接続されるＤＶＤ＋ＲＷレコーダなどのパーソナルデジタルレコーダ（ＰＤＲ）であってもよい。コンテンツはまた、コンパクトディスク（ＣＤ）またはデジタル多用途ディスク（ＤＶＤ）などのキャリア１２０上に格納されるシステム１００に入力することが可能である。
【００２８】
携帯型表示装置１０３及び携帯電話１０４は、例えば、ＢｌｕｅｔｏｏｔｈやＩＥＥＥ８０２．１１ｂを用いることにより、基地局１１１を利用してネットワーク１１０に無線接続される。その他の装置は、従来の有線接続を利用して接続される。装置１０１〜１０５の相互動作を可能にするため、いくつかの相互動作規格が利用可能であり、これにより各装置は互いを制御するためのメッセージ及び情報の交換が可能となる。１つの周知の規格として、ＨＡＶｉ（Ｈｏｍｅ Ａｕｄｉｏ/Ｖｉｄｅｏ Ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ）規格があり、そのバージョン１．０は、２０００年１月に公開され、アドレス「ｈｔｔｐ：//ｗｗｗ．ｈａｖｉ．ｏｒｇ/」においてインターネット上から利用可能となっている。他の周知な規格として、Ｄ２Ｂ（Ｄｏｍｅｓｔｉｃ Ｄｉｇｉｔａｌ Ｂｕｓ）規格、ＩＥＣ１０３０に記載された通信プロトコル及びＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ Ｐｌｕｇ ａｎｄ Ｐｌａｙ）「ｈｔｔｐ：//ｗｗｗ．ｕｐｎｐ．ｏｒｇ」があげられる。
【００２９】
ホームネットワークの装置１０１〜１０５がコンテンツの認証されていない複製を行わないことを保証することが重要である。このため、典型的にはデジタル著作権管理（ＤＲＭ）システムと呼ばれるセキュリティフレームワークが必要とされる。このようなフレームワークでは、ホームネットワークは、限定受信ドメインとコピープロテクション（ＣＰ）ドメインに概念的に分割される。典型的には、シンクがＣＰドメインに設けられる。これにより、コンテンツがシンクに与えられるとき、ＣＰドメインのコピープロテクションスキームにより、当該コンテンツの認証されていない複製を不可とすることができる。ＣＰドメインの装置は、仮の複製を行うための記憶媒体を有するようにしてもよいが、そのようなコピーはＣＰドメインからエクスポートするのは許されていない。このフレームワークは、本出願と同一出願人により欧州特許出願０１２０４６６８．６（代理人整理番号ＰＨＮＬ０１０８８０）に記載されている。
【００３０】
選択された具体的アプローチに関係なく、セキュリティフレームワークを実現する家庭内ネットワークにおけるすべての装置は、実現要求に従って動作する。このフレームワークを用いて、これらの装置は、互いを認証し、コンテンツを安全に配信することができる。コンテンツへのアクセスは、セキュリティシステムにより管理される。これは、保護されていないコンテンツが認証されていない装置に自由にリークされるのを防ぐと共に、信頼されていない装置からのデータがシステムに侵入するのを回避する。
【００３１】
予め適切に認証された装置のみが他の装置にコンテンツを配信できるようにすることが重要である。これにより、敵対者が悪意のある装置を用いて認証されていない複製を行うことを不可能にすることが保証される。装置が認証されているメーカによって生産された場合、例えば、認証されたメーカのみが認証に必要なシークレットを知っているか、あるいはその装置に信頼される第三者により発行される証明書が与えられているため、装置は適切に認証を受けることができる。
装置の構成
ＡＤとは、権利に従ってコンテンツに対しアクションを実行する装置群として規定され、コンテンツ所有者により規定されたものである。当該装置群は、コンテンツに付された権利を実施する責任があるため、この構成における中心的役割を演じる。装置群は、ＡＤを管理し、すべてのＤＲＭタスクを実行する。装置群は、未接続により、すなわち、中央サーバに接続されることなく動作することができる。ＡＤには、「シンプル（ｓｉｍｐｌｅ）」と「エンハンスト（ｅｎｈａｎｃｅｄ）」の２つのタイプの装置がある。
【００３２】
シンプル装置は、大規模な記憶容量、パワーあるいは処理能力を備えていない。シンプル装置は、シンプルなＤＲＭタスクを実行するＡＤクライアントのみを有する。シンプル装置は、コンテンツをレンダリングすることができ、対応する権利を解釈及び更新することが可能である。典型的には、シンプル装置は携帯型装置であり、しばしばＡＤＭと切断されている。図２において、シンプル装置の構成が与えられる。アプリケーションレイヤは、すべての装置に設けられているが、本スキームでは省略された。異なるコンポーネントが以下で説明される。
【００３３】
エンハンスト装置は、記憶容量、パワー及び処理能力を有する。エンハンスト装置は追加的コンポーネントを有し、ＡＤＭの集中バージョンはドメインを管理するためのものである。ＡＤに複数のエンハンスト装置がある場合、１つのエンハンスト装置のみがそれのＡＤＭ機能を利用する。他の装置は、シンプル装置と同様に動作する。典型的には、これらの装置は、一般的には移動しないセットトップボックスである。図３において、エンハンスト装置の構成が与えられる。
【００３４】
ユーザは装置ほど重要ではない。ユーザは、装置または他のユーザのチェックイン/チェックアウトに関与するが、システムのより容易な利用を与えるため特定はされない。以降に説明される理由のため、ユーザは本実現形態の一部とはなっていない。
【００３５】
媒体はまた、その読み出し/書き込み能力のためいくつかの問題を引き起こす。媒体は、コンテンツ及び権利の格納にのみ利用される静的なコンポーネントとしてみなすことができる。媒体は、本実現形態には含まれない。
【００３６】
コンテンツ及び権利は、強力に制限される。しかしながら、本実現形態では、コンテンツ及び権利は、チェックイン/アウトされ、個別に保持される。これにより以降の選択の自由度がより大きくなる。コンテンツ及び権利は、装置により処理され、同一ＡＤの装置間において転送される。この転送は、可能な限りユーザにとって透過なものとならねばならない。
【００３７】
認証ドメインマネージャ（ＡＤＭ）は、他の装置のチェックインに参加し、ＡＤを管理する。本発明では、ＡＤＭは、１つの装置に集中化される。これは、多くの状況において、固定されたエリアには少なくとも１つの装置しかとどまらないため、ＩＨＤＮ（Ｉｎ−Ｈｏｍｅ Ｄｉｇｉｔａｌ Ｎｅｔｗｏｒｋ）では問題とはならない。
【００３８】
ＡＤＭは、ＡＤの中央ポイント及びドメインマネージャの実現形態である。ＡＤＭは、エンハンスト装置にのみ含まれる。それの役割はいくつかある。
・ＡＤでの装置のチェックイン
・ＡＤ装置の取り消し
・ＡＤにおける装置、権利、媒体及びコンテンツのリストの維持 任意的に、リストはまた、すべてのエンティティのステータス（利用可能、利用不可、接続、切断）を含むようにしてもよい。
・装置に対するＡＤ証明書及び必要に応じてＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｖｏｃａｔｉｏｎ Ｌｉｓｔ）の生成
図４において、ＡＤＭの構成が与えられる。ＡＤ認証サーバは、ＡＤの認証局である。ＡＤ認証サーバは、ＡＤ装置に対するＡＤ証明書とＣＲＬを発行する。
【００３９】
登録サーバは、コンテンツ、装置、権利あるいはユーザなどのすべてのエンティティをＡＤに登録するのに用いられるサービスである。装置は登録サーバを利用して、各自のコンテンツまたは権利リストを通知することが可能である。当該コンポーネントは、ＡＤデータベースマネージャと強く協力する。
【００４０】
ＡＤデータベースマネージャは、ＡＤに関するすべての情報を有するデータベースを管理する。ＡＤデータベースマネージャは、ＡＤ内のエンティティのリストから構成される。ＡＤデータベースマネージャは、例えば、装置がＡＤにおいて現在利用可能な権利またはコンテンツのすべてのリストを必要とするとき、ＡＤに関する情報を抽出するため当該装置によりアクセスされる。
【００４１】
当該コンポーネント及びそれの（重要な）情報のバックアップは、例えば、マスタＡＤＭを設定し、マスタが故障した場合には、ＡＤＭ重要情報をバックアップする１以上のスレーブを有することにより実現することが可能である。
【００４２】
ＡＤ認証サーバにより処理される取り消しは、いくつかの方法により行うことが可能である。２つの手法として、いわゆるブラックリスト（取り消される装置のリスト）とホワイトリスト（取り消されない装置のリスト）を利用するものがある。
【００４３】
ブラックリストシナリオでは、通信相手の信頼性を検証しようとする装置は、リストの現在のバージョンを有する必要があり、その他の装置のＩＤが当該リスト上にあるかチェックする。ブラックリストの効果は、装置がデフォルトでは信頼され、ＩＤが取り消しリストに存在する場合にのみ信頼が取り消されるということである。このリストは、初期的には非常に小規模なものであるが、潜在的には無制限に拡大しうる。従って、取り消しリストのＣＥ装置への配信及び格納は、長期的には問題があるも知れない。
【００４４】
ホワイトリストシナリオでは、装置は、他の装置に対して自らが許可された通信相手のリスト上にあることを証明しなければならない。これは、当該装置がホワイトリスト上にあるということを示す証明書の最新バージョンを示すことにより実行される。ホワイトリスト手法は、当該装置がホワイトリスト上にあるということを証明する各装置に格納されている固定長の証明書を単に有することにより格納問題を解消する。取り消しは、取り消しされた装置を除くすべての装置にホワイトリスト証明書の新しいバージョンを送信することにより行われる。装置の記憶領域は限られているが、ホワイトリスト証明書の配信は、効率的なスキームが利用可能でない場合には、ほとんど解消不可能な問題となる。
【００４５】
欧州特許出願第０２０７７４２２．０号（代理人整理番号ＰＨＮＬ０２０５４３）は、ブラックリストの効果（初期的に小規模な配信リスト）とホワイトリストの主要な効果（限定的格納）を併せ持つ手法を提供するものである。好ましくは、この手法は、装置のＩＤを照明する装置証明書を追加的に利用する。この装置証明書は、初期的信頼の基礎として装置にすでに与えられ（取り消しとは独立に）、例えば、工場での生産中にインストールされる。
装置マネージャ
装置マネージャは、装置証明書や秘密鍵などのすべてのセキュリティオブジェクトを管理し、装置をＡＤＭに登録することができる。装置マネージャはまた、装置が自身の環境に関して有する知識を管理するためのものであり、接続されている装置と各自のコンテンツのリストと権利リストを格納する。図５において、装置マネージャの構成が与えられる。
【００４６】
装置ハンドラは、周囲の環境に関するすべての情報を維持するコンポーネントである。装置ハンドラは、装置のリストと、任意的に各自のコンテンツ及び管理リストを格納する。
【００４７】
セキュリティモジュールは、暗号鍵や装置証明書などのすべてのセキュリティ情報を考慮し、それらを他のコンポーネント、特にネットワークレイヤ（これらのスキームでは表示されていない）に提供する。
権利マネージャ
権利マネージャは、ＤＲＭシステムの分散化された部分である。権利マネージャは、すべての装置に与えられ、権利の解釈、管理及び移転を行うための手段を提供する。権利マネージャは、権利の登録及び設定を行うため、ＡＤＭとやりとりを行う。権利マネージャのタスクは、
・権利のチェックイン/チェックアウト
・（装置間の）権利の解釈、更新、削除、有効性の検証、格納及び移転
・他のＡＤまたは所有者のＤＲＭシステムとの権利のインポート/エクスポート
を含む。
【００４８】
図６において、権利マネージャの構成が与えられる。権利ハンドラは、権利のローカルデータベースを管理する。それのタスクには、権利抽出、格納及び削除が含まれる。アプリケーションが権利マネージャに権利利用可能性及び/または有効性に関して問い合わせを行うとき、権利ハンドラは、権利の抽出及び解釈のため、権利プロセッサとやりとりする。
【００４９】
権利Ｉ/Ｏは、装置間の権利のインポート、エクスポート及び移転に供する。権利Ｉ/Ｏのインポート及びエクスポート機能は、他のＡＤまたは所有者のＤＲＭシステムとのあるレベルの互換性を可能にするため、権利Ｉ/Ｏプラグインにより拡張することが可能である。
【００５０】
権利プロセッサは、権利に対するすべての処理タスク、すなわち、
・権利の解釈及び更新
・権利有効性のチェック
・権利の署名
・コンテンツ暗号鍵などの権利のシークレット名部分の暗号化/解読
を実行する。
コンテンツマネージャ
コンテンツマネージャは、その構成及びタスクの点で権利マネージャと極めて類似している。そのタスクは、
・（適切なコーデックによる）コンテンツの抽出、格納、移転及び処理
・コンテンツの暗号化及び解読
・限定受信ＤＲＭシステムからのコンテンツのインポート
・他のＡＤまたは所有権者のＤＲＭシステムとのコンテンツのインポート/エクスポート
を実行することである。
【００５１】
図７において、コンテンツマネージャの構成が与えられる。コンテンツハンドラは、権利ハンドラと極めて類似している。コンテンツハンドラは、コンテンツのローカルデータベースを管理する。
【００５２】
コンテンツＩ/Ｏは、装置間のコンテンツの転送、他の限定受信ＤＲＭシステムとのコンテンツのインポート/エクスポートを行う機能を提供する。他の所有権者システムまたはＡＤとの転送時、コンテンツＩ/Ｏは、送信先ドメインに準拠するようコンテンツ保護を変更する。このような場合、コンテンツＩ/Ｏは、コンテンツＩ/Ｏプラグインを利用する。
【００５３】
コンテンツプロセッサは、コンテンツのレンダリング、変換（あるフォーマットから他のフォーマットへの）、暗号化および解読を（必要に応じて）行う。コンテンツプロセッサはまた、機能を拡張するためコンテンツＩ/Ｏプラグインを取得することができる。
ＤＲＭモジュール
ＤＲＭモジュールは、装置群内部のその他のモジュールのためのものである。ＤＲＭモジュールは、接続されていない状態で（すなわち、ＡＤＭが直接には利用可能でないとき）ＡＤのメディア、権利またはコンテンツのチェックイン/チェックアウトを行うための処理を扱うことができる。ＤＲＭモジュールは、すべての装置コンポーネントの機能を調整する。例えば、コンテンツのレンダリング時には、ＤＲＭモジュールは、権利マネージャに有効な権利を求め、そのような権利が存在する場合、それからコンテンツプロテクション鍵を抽出する。このとき、ＤＲＭモジュールは、所望のコンテンツをレンダリングするリクエストと共にコンテンツマネージャに当該鍵を与える。
認証チェーン
図８に示される認証チェーンは、以下の証明書を含む。（外部）認証局（ＣＡ）ルート証明書は、自己署名され、装置証明書に署名するのに利用される。
１．ＣＡルート秘密鍵により署名され、装置の公開鍵を含む装置証明書
２．ＡＤの設定時にＡＤＭにより生成され、新しい鍵ペアを署名するＡＤルート証明書 当該証明書に対応する秘密鍵は、ＡＤ装置証明書の発行に利用される。
３．ＡＤへの装置の加入時にＡＤＭにより発行されるＡＤ装置証明書
この解決策を導く理由として、以下のものがあげられる。
・ＡＤへの登録が完了すると、ＡＤＭに接続することなく装置による各自の所属のチェックが可能となる。このようにして、装置はＡＤＭに接続することなく権利の安全な交換が可能となる。
・認証経路に１以上の証明書を追加することにより、ＡＤの再グループ化またはサブグループ化が容易に実現される。もちろん、これは、すべての追加的要素に対する安全な格納領域の必要性の増大を伴うことになるであろう。
・当該構成は極めてシンプルなものであり、小型のＣＥ装置に適するものとなるであろう。
・ＡＤから装置を削除するのに２つの方法がある。すなわち、新しいＡＤを設定し、この新たなＡＤにおいて当該装置を拒絶する方法と、取り消されるＡＤ装置を含むＣＲＬを発行し、それを接続されているすべての装置に配信するという方法である。
・ＡＤルート秘密鍵などの重要なセキュリティ要素は、装置群の共有シークレットの分配を要求する他の解決策に対して、１つの場所にのみ格納される。これにより故障ポイント数は減少し、セキュリティの向上に寄与する。
【００５４】
上記証明書は、以下を保証する。
・証明書１及び２は、製造時の装置順守性を保証する。
・証明書３は、ＡＤマネージャに属し、ＡＤの生成を可能にする。
・証明書４は、オンラインとオフライン（ＡＤマネージャとの接続を参照する）の両方におけるＡＤの所属証明を可能にする。
装置証明書登録
すべての装置は、好ましくは製造時にＲＯＭに記録される以下の要素を有する必要がある。
・外部ＣＡの証明書
・ＣＡ公開鍵
・外部ＣＡにより発行され、装置識別情報を有し、当該装置が準拠していることを示す装置証明書
・装置証明書の外部ＣＡにより署名された公開鍵に対応する装置秘密鍵
図９において、上記コンポーネントが概略される。これらは、安全な格納領域に保持される必要がある。装置秘密鍵は、すでに装置証明書に含まれているが表示される。ここで、ＣＡ公開鍵はＣＡルート証明書に含まれるため、製造時にＲＯＭに記録される必要は必ずしもない。
【００５５】
上記要素に加えて、図１０に示されるように、既存のＡＤの一部となる装置はまた以下の要素を格納する。
・当該装置が特定のＡＤの一部であることを示すＡＤ装置証明書 この証明書はＡＤＭにより署名され、装置公開鍵を含む。
・ＡＤ設定中にＡＤＭにより生成されるＡＤルート証明書
・外部ＣＡにより署名されるＡＤＭの装置証明書
上記要素は、安全であることが必要とされる書き換え可能領域に格納される。ＡＤ管理機能を実現する装置はさらに、ＡＤ装置証明書の発行に利用されるＡＤルート秘密鍵を格納する。対応する公開鍵は、ＡＤルート証明書に含まれるＡＤルート公開鍵である。
ＡＤ管理処理
ＡＤＭは、工場でインストールされた秘密鍵ＫＡＤＭＰｒｉｖ（ＫＤＥＶＰｒｉｖと同義）を用いてローカル中間ＣＡを生成する。ＡＤＭは、すでに装置に記録された鍵ペアに対するＡＤ証明書を発行する。装置群は、各自のＡＤ証明書をチェックすることにより、同じＡＤに属していることをチェックすることができる。これを実現するため、装置群はＡＤルート証明書の分散されている公開鍵を利用する。この解決策のいくつかの効果として、
・ＫＡＤＭＰｒｉｖは変更しない。これにより更新の問題が回避される（しかしながら、セキュリティは低下しうる）。
・システムは、極めてシンプルな方法によりＡＤエンティティを取り消すことができる。
ＡＤ設定
ＡＤ設定はエンハンスト装置により実行され、新たなＡＤＭとなる。装置は以下を実行する。
１．公開/秘密鍵ペアＫＡＤ−Ｐｒｉｖ/ＫＡＤ−Ｐｕｂを生成する。
２．新たな鍵ペアに対するＡＤルート証明書を生成し、工場にてインストールされた秘密鍵ＫＡＤＭＰｒｉｖにより署名する。
３．生成した鍵ペアと証明書を安全な場所に格納する。
４．自身のデータベースを初期化する。
５．ドメイン管理に利用されるパスワードＰＡＤの入力をユーザに求める。
【００５６】
この初期化後、装置群は対応するチェックイン処理を実行することにより追加することができる。
装置チェックイン
図１１において、装置のチェックインが示される。装置をチェックインするための要件として、以下があげられる。
・当該装置がＡＤＭに接続されている。
・ＰＡＤを知っているユーザが当該装置を操作している。
・当該装置は、安全な通信のため、ＡＤＭによるＳＡＣ（Ｓｅｃｕｒｅ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｃｈａｎｎｅｌ）を設定することができる。
【００５７】
ＳＡＣは、２つの装置間の安全な情報交換を可能にする。例えば、欧州特許出願第０２０７８０７６．３（代理人整理番号ＰＨＮＬ０２０６８１）を参照されたい。手順は以下の通りである。
１．ユーザにより、装置によるＡＤＭへの登録が求められる。
２．装置及びＡＤＭにより、装置証明書を用いて安全な認証チャネルが確立される。
３．装置により、ユーザによるＰＡＤの入力が求められる。
４．装置により、ジョイントリクエストメッセージによる入力されたパスワードの送信が行われる。
５．ＡＤＭにより、パスワード及びリクエストがチェックされ、有効である場合、装置公開鍵（ＫＤｅｖＰｕｂ）に対するＡＤ証明書の署名が行われる。
６．ＡＤＭにより、ＡＤルート証明書（ＡＤ公開鍵ＫＡＤ−Ｐｕｂ）と共にＡＤ証明書が装置に返送される。
７．装置により、証明書、公開鍵及びＡＤＭ装置証明書が格納される。
これらは、証明書チェーンを有効とするのに必要とされる。
【００５８】
このチェックイン処理後、装置は、その視覚を証明するためそれのＡＤ証明書を用いて、ＡＤの他の装置と情報を交換することができる。
装置チェックアウト
装置チェックアウト処理は、ユーザが装置を操作及び初期化するときのみ発生しうる。ローカルに格納され、ＫＤｅｖＰｒｉｖにより保護されるコンテンツ及び権利は、当該装置がドメインに再び参入しない限りもはや利用可能ではない。
【００５９】
チェックアウト処理は、装置に対して直接実行される初期化プロセスにより規定される。この初期化処理は、装置メモリからの装置ＡＤ証明書の削除のみから構成される。ここで、ＡＤＭは装置チェックインには関与せず、当該処理は装置がそれのＡＤ証明書を削除しているため、装置がＡＤの一部となることを自動的に排除する。
【００６０】
ＡＤからのＡＤ装置の強制的なチェックアウトもまた可能である。この場合、ＡＤＭは、当該装置に属するＡＤ装置証明書をリストしたＣＲＬを発行する。
ＡＤ装置所属チェック
装置群は、それらが互いに同じＡＤに属していることをチェックすることができる。これはＡＤ証明書を用いて実現される。
１．装置Ａにより、それのＡＤ証明書が装置Ｂに送信され、また逆に装置Ｂにより、それのＡＤ証明書が装置Ａに送信される。
２．これら２つの装置により、証明書がチェックされる（次のセクションを参照せよ）。
３．証明書が有効である場合、２つの装置は他方の装置が同じＡＤに属していることを知る。
証明書チェーンチェック
所属チェックの第２のポイントでは、２つの装置は、それらが同じＡＤに属していることを宣言する前に、証明書チェーンをチェックする必要がある。装置Ａにより装置Ｂが同じＡＤに属しているか判断するのに実行する証明書チェックが、以下において説明される。装置Ａは（この順序で）以下をチェックする。
１．ＡＤ公開鍵ＫＡＤ−Ｐｕｂを利用することによる装置ＢのＡＤ証明書
２．ＡＤＭの公開装置鍵ＫＡＤＭＰｕｂを利用することによるＡＤルート証明書
３．外部ＣＡの公開鍵ＫＣＡＲｏｏｔＰｕｂを利用することによるＡＤＭ証明書
ルートＣＡから開始して、信用のチェーンが以下のようにして構築される。
１．ルートＣＡによるＡＤＭの証明書の署名
２．ＡＤＭによる新しい鍵ペア（ＡＤ鍵ペア）に対する証明書の自身の秘密鍵による署名
３．ＡＤＭによる装置群に対する証明書のＡＤ秘密鍵による署名
コンテンツチェックイン
コンテンツチェックインの要件は、コンテンツと対応する権利が同一装置上に与えられているということである。手順は以下の通りである。
１．装置によるランダム対称鍵ＫＲａｎｄＣｏｎｔの取得及び当該鍵によるコンテンツの暗号化
２．装置によるＫＲａｎｄＣｏｎｔのＫＤｅｖＰｕｂによる暗号化及び権利のチェックイン（次のセクションを参照せよ）
３．装置によるコンテンツのローカルな格納
ここで、ＫＤｅｖＰｕｂはコンテンツの暗号化のため直接利用可能である。ＫＤｅｖＰｕｂは非対称鍵であるため、暗号化タスクを最小化するため、追加的な対称鍵が選ばれる。さらに、権利が移転されるとき（一般にはコンテンツと共に）、これは鍵の再暗号化のみを伴い、権利の再暗号化を伴うものではなく、処理タスクをより少なくすることができる。
権利チェックイン
権利チェックインの要件は、以下の通りである。
・コンテンツ及び対応する権利が同一装置上に与えられている。
・ＫＲａｎｄＣｏｎｔが、コンテンツの暗号化のため装置によりすでに選ばれている。
【００６１】
手順は以下の通りである。
１．権利が内部の権利識別子の選択を含む内部ＡＤ表現に変換される。識別子衝突を回避するため、当該識別子は、チェックイン処理を実行する装置に限定される必要がある（例えば、それのシリアル番号に）。
２．装置により、ＡＤ識別子（例えば、ＡＤルート証明書など）及び権利におけるＫＲａｎｄＣｏｎｔの暗号化されたバージョン（ＫＤｅｖＰｕｂによる）が追加される。
３．装置により、ＫＤｅｖＰｒｉｖを利用することにより権利が署名される。
４．装置により、権利が格納される。当該権利は、他のシステムまたはＡＤへのさらなるエクスポートを可能にするため、内部表現と共に完全な外部権利を含む。外部権利は、ＫＲａｎｄＣｏｎｔにより暗号化される。
【００６２】
権利は、特定の装置にローカルに付される。権利が移転されるとき、それのシークレットな部分は、送信先装置の公開鍵により再暗号化される必要がある。
コンテンツ再生
コンテンツ再生処理は、装置に対して実行されるレンダリングアクションとして規定される。コンテンツ再生処理は、以下のように規定される。
１．装置により、それのローカルデータベースからコンテンツ及び対応する権利が抽出される。
２．装置により、権利有効性がチェックされる。
３．権利が有効である場合、装置により、コンテンツを暗号化するのに利用された対称鍵（ＫＲａｎｄＣｏｎｔ）がそれのＡＤ秘密鍵（ＫＤｅｖＰｒｉｖ）により解読される。
４．装置により、コンテンツがＫＲａｎｄＣｏｎｔにより解読され、レンダリングされる。
５．権利が回数制限を受けている場合（「Ｎ回の再生」など）、権利は更新され、権利チェックイン中に署名される。
権利解釈
権利解釈は、コンテンツに対してレンダリングが実行されるときはいつでも、そして権利が複製または移動されるときに発生する。権利解釈は、権利自体に対して実行することが可能な処理及び権利有効性を判断することからなる。
【００６３】
権利解釈は、以下のステップにおいて実行される。
１．装置により、ＫＤｅｖＰｕｂを利用することにより、権利完全性がチェックされる。
２．権利が真正でない場合、装置は解釈を停止する。
３．権利が真正である場合、装置によりコンテンツが処理可能である検出するため、権利が解釈される。
４．コンテンツが処理可能である場合、装置によりそれの秘密鍵ＫＤｅｖＰｒｉｖを利用することにより暗号鍵ＫＲａｎｄＣｏｎｔの解読及びコンテンツプロセッサへの送信が行われる。
権利更新
権利更新は、権利が回数制限を有し、対応するコンテンツが処理されているとき発生する。更新プロセスは、以下のように規定される。
１．コンテンツを処理する装置により、適切に権利が更新される（準拠する方法により）。
２．権利がもはや有効でない場合、チェックアウトされる。
３．そうでない場合、装置は新しい権利のハッシュを計算し、それをＫＤｅｖＰｒｉｖにより暗号化する。
４．装置により、権利における古い署名されたハッシュが新しいものに取り替えられる。
【００６４】
ここで、上記実施例は本発明を限定するものでなく、例示するためのものであり、当業者は添付した請求項の範囲から逸脱することなく、他の多数の実施例を構成することができるであろう。
【００６５】
請求項において、カッコ内に置かれる参照符号は、請求項を限定するものと解釈されるべきでない。「有する」という用語は、請求項に列挙した以外の要素またはステップの存在を排除するものではない。要素に前置される「ａ」または「ａｎ」という用語は、このような要素が複数存在することを排除するものではない。本発明は、複数の相異なる要素からなるハードウェア及び適切にプログラムされたコンピュータにより実現することが可能である。
【００６６】
いくつかの手段を列挙した装置クレームでは、上記手段の一部は単一のハードウェアとして実現することが可能である。ある手段が互いに異なる従属クレームで記載されるという事実は、上記手段の組み合わせが効果を有するよう利用可能でないということを示すものではない。
【図面の簡単な説明】
【００６７】
【図１】図１は、ネットワークを介し相互接続される装置群からなるシステムを概略的に示す。
【図２】図２は、シンプル装置の構成を概略的に示す。
【図３】図３は、エンハンスト装置の構成を概略的に示す。
【図４】図４は、認証ドメインマネージャの構成を概略的に示す。
【図５】図５は、装置マネージャの構成を概略的に示す。
【図６】図６は、権利マネージャの構成を概略的に示す。
【図７】図７は、コンテンツマネージャの構成を概略的に示す。
【図８】図８は、証明書チェーンを概略的に示す。
【図９】図９は、装置に格納されている要素を示す。
【図１０】図１０は、既存のＡＤの一部である装置に格納されている要素を示す。
【図１１】図１１は、ＡＤへの装置のチェックインを示す。
【技術分野】
【０００１】
本発明は、ネットワークにおける装置間の安全なコンテンツ配信のための方法、システム及び中央装置に関する。
【背景技術】
【０００２】
近年急速にコンテンツ保護システムが成長してきている。これらのシステムの一部は不正な複製に対しコンテンツを保護するのみである一方、他のシステムはユーザによるコンテンツへのアクセスを禁止するものもある。前者のカテゴリは、コピープロテクション（ＣＰ）システムと呼ばれる。ＣＰシステムは、当該タイプのコンテンツ保護は安価に実現されると考えられ、コンテンツ提供者との双方向のやりとりを必要としないため、従来は家電（ＣＥ）機器を主たる対象としてきた。いくつかの例として、ＣＳＳ（Ｃｏｎｔｅｎｔ Ｓｃｒａｍｂｌｉｎｇ Ｓｙｓｔｅｍ）、ＤＶＤ ＲＯＭディスク及びＤＴＣＰの保護システムやＩＥＥＥ１３９４接続の保護システムなどがあげられる。
【０００３】
後者のカテゴリは、いくつかの名称により知られている。放送の世界では、このカテゴリのシステムは一般に限定受信システム（ｃｏｎｄｉｔｉｏｎａｌ ａｃｃｅｓｓ ｓｙｓｔｅｍ）として知られ、インターネットの世界では、デジタル著作権管理（ＤＲＭ）システムとして知られている。
【０００４】
あるタイプのＣＰシステムは、限定受信またはＤＲＭシステムとインタフェースをとるためのサービスを提供することも可能である。例として、ＤＶＢ−ＣＰＴサブグループ及びＴＶ−ＡｎｙｔｉｍｅＲＭＰグループにより現在開発中のシステムがあげられる。その目的は、装置群が双方向接続を介し互いに認証可能なシステムである。この認証に基づき、これらの装置は互いに信頼し合い、保護されるコンテンツのやりとりを可能/許可する。付随するライセンスは、ユーザが有する権利及び当該コンテンツに対し実行が許可されている処理を記述したものである。このようなライセンスはある一般的なネットワークシークレットにより保護され、ある家庭の装置間でのみ交換される。このような装置のネットワークは、認証ドメイン（ＡＤ）と呼ばれる。
【０００５】
認証ドメインの概念は、コンテンツ所有者（自らの著作権の保護を所望する）の利益とコンテンツユーザ（コンテンツの無制限の利用を所望する）の利益の両方に資する解決策を見出そうとするものである。その基本原理は、認証ドメインの境界を越えない限り、コンテンツの比較的自由な利用を可能にする制御されたネットワーク環境を備えることである。典型的には、認証ドメインは、ホームネットワークと呼ばれる家庭環境を中心としたものである。もちろん、他のシナリオもまた可能である。例えば、ユーザは旅行中に携帯型テレビを携行し、ホテルの部屋でそれを用いて、自宅のパーソナルビデオレコーダに記憶したコンテンツにアクセスすることができるようになる。携帯型テレビがホームネットワークの外部にあったとしても、それはユーザの認証ドメインの一部である。
【０００６】
ホームネットワークは、あるタイプのネットワーク技術（例えば、イーサネット（登録商標）、ＩＥＥＥ１３９４、ＢｌｕｅＴｏｏｔｈ、８０２．１１ｂなど）を利用して相互接続される装置群として定義することが可能である。ネットワーク技術は各装置の通信を可能にするが、これは装置群が互換性を有することを可能にするには十分なものとはいえない。これを可能にするため、装置はネットワークのその他の装置に与えられる機能の検出及びアドレス指定することが可能である必要がある。このような互換性は、ホームネットワーキングミドルウェア（ＨＮ−ＭＷ）により提供される。ホームネットワーキングミドルウェアの例として、Ｊｉｎｉ、ＨＡＶｉ、ＵＰｎＰ、ＡＶＣなどがあげられる。
【０００７】
ＨＮ−ＭＷに関しては、セキュアコンテンツの処理に関するシステムはいくつかの方法に従う。ネットワークにおけるある機能は、保護されるコンテンツへのアクセスを要求するものである。またネットワークにおける他の機能は、コンテンツセキュリティを扱うネットワークの要素により利用可能な機能を提供するものである。さらに、ＯＰＩＭＡなどのセキュリティフレームワークは、ＨＮ−ＭＷを用いて、互いの所在を確認し、互換的方法により通信することが可能である。もちろん、認証ドメインはまた、他の方法により実現可能である。
【０００８】
ホームネットワークにおけるＤＲＭの利用に関するより広範な紹介は、Ｆ．Ｌ．Ａ．Ｊ．Ｋａｍｐｅｒｍａｎ，Ｓ．Ａ．Ｆ．Ａ．ｖａｎ ｄｅｎ Ｈｅｕｖｅｌ，Ｍ．Ｈ．Ｖｅｒｂｅｒｋｙらによる「Ｄｉｇｉｔａｌ Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔ ｉｎ Ｈｏｍｅ Ｎｅｔｗｏｒｋｓ」（Ｐｈｉｌｉｐｓ Ｒｅｓｅａｒｃｈ，Ｔｈｅ Ｎｅｔｈｅｒｌａｎｄｓ，ＩＢＣ２００１ ｃｏｎｆｅｒｅｎｃｅ ｐｕｂｌｉｃａｔｉｏｎ ｖｏｌ．Ｉ，ｐａｇｅｓ７０−７７）、及びＳ．Ａ．Ｆ．Ａ．ｖａｎ ｄｅｎ Ｈｅｕｖｅｌ，Ｗ．Ｊｏｎｋｅｒ，Ｆ．Ｌ．Ａ．Ｊ．Ｋａｍｐｅｒｍａｎ，Ｐ．Ｊ．Ｌｅｎｏｉｒらによる「Ｓｅｃｕｒｅ Ｃｏｎｔｅｎｔ Ｍａｎａｇｅｍｅｎｔ ｉｎ Ａｕｔｈｏｒｉｚｅｄ Ｄｏｍａｉｎｓ」（Ｐｈｉｌｉｐｓ Ｒｅｓｅａｒｃｈ，Ｔｈｅ Ｎｅｔｈｅｒｌａｎｄｓ，ＩＢＣ ２００２ ｃｏｎｆｅｒｅｎｃｅ ｐｕｂｌｉｃａｔｉｏｎ，ｐｐ４６７−４７４）を参照されたい。
【０００９】
ある程度まで認証ドメインの概念を実現する様々なシステムがすでに存在する。このようなシステムの例として、ＳｍａｒｔＲｉｇｈｔ（Ｔｈｏｍｓｏｎ Ｍｕｌｔｉｍｅｄｉａ）、ｘＣＰ（４Ｃ，主にＩＢＭ）及びＮｅｔＤＲＭ（松下）があげられる。
【発明の開示】
【発明が解決しようとする課題】
【００１０】
本発明の課題は、
・ＡＤの生成及び設定
・ＡＤ装置の準拠性の検証
・ＡＤ加入の検証
・コンテンツ及び権利移転の安全な処理
・コンテンツ及び権利（ローカル）の格納の安全な処理
をサポートするＤＲＭシステムにおけるＡＤ（Ａｕｔｈｏｒｉｚｅｄ Ｄｏｍａｉｎ）管理機構を提供することである。
【００１１】
本発明の課題は、請求項１によるネットワークにおける装置間の安全なコンテンツの配信方法、請求項８によるネットワークにおける装置間の安全なコンテンツの配信システム、及び請求項１５によるネットワークを管理する中央装置により実現される。
【課題を解決するための手段】
【００１２】
本発明の第１の特徴によると、ネットワークを管理する中央装置によりネットワークに加入する装置が登録され、少なくとも１つの証明書が中央装置から加入装置に発行されるという方法が提供される。第２の特徴によると、本方法はまた、各装置に発行される少なくとも１つの証明書による認証に基づき、ネットワークの装置間にコンテンツを配信するステップを有し、第１装置から第２装置へのコンテンツの配信は、第２装置の少なくとも１つの証明書により第２装置を認証する第１装置と、第１装置の少なくとも１つの証明書により第１装置を認証する第２装置により可能とされる。
【００１３】
本発明の第３の特徴によると、ネットワークを管理する中央装置が、ネットワークに加入する装置を登録し、加入する装置に少なくとも１つの証明書を発行するよう構成されるようなシステムが提供される。本システムはさらに、少なくとも１つの証明書を有し、ネットワークにおける装置間のコンテンツの配信は、各装置に発行される少なくとも１つの証明書による認証に基づき、第１装置から第２装置へのコンテンツの配信は、第２装置の少なくとも１つの証明書により第２装置を認証する第１装置と、第１装置の少なくとも１つの証明書による第１装置を認証する第２装置により可能とされる。
【００１４】
本発明の第４の特徴によると、ネットワークを管理する中央装置が、ネットワークにおいて構成される。中央装置は、ネットワークに加入する装置を登録するよう構成される手段と、加入する装置に少なくとも１つの証明書を発行するよう構成される手段とを有する。
【００１５】
本発明は、認証ドメイン、すなわち、制御されたネットワークが、ネットワークを管理する中央装置により設定されるというアイデアに基づく。装置がネットワークに加入すると、中央装置は、加入した装置を登録し、登録が成功すると、この加入した装置に少なくとも１つの証明書を発行する。この登録処理は、加入した装置が認証された装置であるということを保証するものであり、認証された装置のメーカが当該装置を提供したということを意味するものである。ネットワークセキュリティのため、認証されていない装置はネットワークに受け入れられない。各装置に発行される少なくとも１つの証明書による認証に基づき、コンテンツがネットワークの装置間に配信される。第１装置から第２装置へのコンテンツの配信は、第２装置の少なくとも１つの証明書による第２装置を認証する第１装置により可能となる。さらに、第２装置は、第１装置の少なくとも１つの証明書により第１装置を認証する。
【００１６】
この概念は、各装置が認証されているという仮定の下、各装置が互いを信頼しているということから効果的であり、これにより装置間のコンテンツの交換が可能となる。コンテンツは、ネットワークのフレーム内にある限り、自由に利用することができる。これは、コンテンツが認証されていない装置に配信されることを防ぐと共に、信頼されていない装置からのコンテンツがネットワークに侵入することを回避するものである。本発明を利用することにより、信頼されていない第三者が悪意ある装置を利用してコンテンツの認証されていないコピーを行うことを不可とすることが保証される。装置は、認証されているメーカによって製造される場合のみ、ネットワークに加入することが許可される。各装置は、各自の証明書をチェックすることにより、各装置が同一のネットワークに属していることをチェックすることができる。
【００１７】
本発明は主として、装置準拠性、ドメイン登録（登録削除）及びドメイン生成を支配する特定の証明書チェーンを利用することにより特徴付けされる。この特定の設定は、コンテンツとライセンスとの厳密な分離と組み合わされることにより、ドメインマネージャの干渉なく多くのドメイン処理を可能にし、例えば、スーパーディストリビューション（ｓｕｐｅｒ ｄｉｓｔｒｉｂｕｔｉｏｎ）などの異なる配信スキームをサポートする。
【００１８】
機能するＡＤ実現形態では、少なくとも以下のポイントが解決される必要がある。
１．ＡＤ生成
２．エンティティチェックイン/チェックアウト（エンティティは、ユーザ、装置、コンテンツ、権利またはメディアであってもよい）
３．コンテンツ及び権利の交換のためのＡＤセキュリティ特徴
４．ＤＲＭ機能
ＡＤ生成は、新たなＡＤが生成されるアクションである。エンティティチェックイン/チェックアウトは、新たなエンティティがＡＤの加入/退出を可能にするアクションである。ＡＤセキュリティ特徴は、ＡＤでの十分なセキュリティレベルを保証するのに必要とされるすべての手段に関するものである。ＤＲＭ機能は、ＡＤ内および異なるＡＤ間でのコンテンツの利用及び権利の交換を支配するルールである。本発明は、上記すべてのポイントに対する解決手段を提供するものである。
【００１９】
本発明の一実施例によると、少なくとも１つの証明書は、中央装置により生成される公開鍵と装置秘密鍵により生成される署名とを有する第１証明書を有する。さらに、少なくとも１つの証明書は、加入する装置の公開鍵と当該公開鍵に対応する中央装置により生成される秘密鍵により生成される署名とを有する第２証明書とを有する。本実施例は、証明書が関与する装置に配信されると、中央装置の参入なく装置間へのコンテンツの配信及び処理が実効化されうるという効果を有する。この結果、大きな負荷を有する中央装置が配信のボトルネックになるおそれはない。本実施例はまた、装置間での共有シークレットの配信を要する他の解決策と異なり、中央装置により生成される秘密鍵が中央装置のみに格納されるという効果を有する。これにより、故障ポイントの個数が減少し、システムセキュリティ全体の向上に寄与する。
【００２０】
本発明の他の実施例によると、ネットワークに加入する装置の登録は、各装置に格納されている装置公開鍵により第３証明書を検証することにより実行される。第３証明書は、工場でインストールされ、証明書認証秘密鍵により署名され、工場でインストールされた対応する証明書認証公開鍵により検証が行われる。装置公開鍵は、それに対応する装置秘密鍵を格納する装置を認証するのに利用される。本実施例は、装置がネットワークに加入するとき、少数のセキュリティ処理を用いて装置の準拠性をチェックすることから効果的である。従って、装置準拠性はスムースかつシンプルなものあるが、依然として効果的である。
【００２１】
本発明のさらなる特徴及び効果は、添付された請求項及び以下の説明を考察することにより明らかとなるであろう。当業者は、本発明の異なる特徴が以下に喜寿されるもの以外の実施例を生成するのに組み合わせ可能であるということを認識するであろう。当業者には、多数の異なる変更、改良及び組み合わせが明らかとなるであろう。説明される実施例は、添付される請求項に規定されるように、本発明の範囲を限定することを意図するものではない。
【００２２】
本発明の上記及び他の特徴は、図面に示される例示的実施例を参照することにより明らかとなるであろう。
【００２３】
図面を通じて、同一の参照番号は同様または対応する構成を示すものである。図面に示される構成の一部は、典型的には、ソフトウェア的に実現され、ソフトウェアモジュールまたはオブジェクトなどのソフトウェアエンティティを表す。
【発明を実施するための最良の形態】
【００２４】
図１は、ネットワーク１１０を介し相互に接続される装置１０１〜１０５からなるシステム１００を概略的に示す。本実施例では、システム１００は、家庭内ネットワークである。典型的なデジタルホームネットワークには、ラジオ受信機、チューナ/デコーダ、ＣＤプレーヤー、一組のスピーカー、テレビ、ＶＣＲ、テープデッキなどのいくつかの装置が含まれる。これらの装置は、テレビなどの１つの装置がＶＣＲなどの他の装置を制御するのを可能にするため、通常相互接続されている。チューナ/デコーダやセットトップボックス（ＳＴＢ）などの１つの装置は、通常その他の装置に対する集中制御を提供する中央装置である。
【００２５】
典型的には、音楽、楽曲、映画、テレビ番組、画像、書籍などから構成されるが、インタラクティブサービスをも含むコンテンツが、住居のゲートウェイまたはセットトップボックス１０１を介し受信される。コンテンツはまた、ディスクなどの記憶媒体などの他のソースを介し、あるいは携帯型装置を用いて家庭内に入ってくることが可能である。このソースは、ブロードバンドケーブルネットワーク、インターネット接続、衛星ダウンリンクなどへの接続である。このときコンテンツは、レンダリングのためネットワーク１１０を介しシンク（ｓｉｎｋ）に転送することが可能である。シンクとは、例えば、テレビディスプレイ１０２、携帯型表示装置１０３、携帯電話１０４及び/または音声再生装置１０５とすることができる。
【００２６】
コンテンツアイテムの具体的なレンダリング方法は、装置タイプ及びコンテンツタイプに依存する。例えば、ラジオ受信機では、レンダリングは、音声信号の生成及び当該音声信号のスピーカーへの供給からなる。テレビ受信機では、レンダリングは一般に、音声及び映像信号の生成及び当該信号の表示画面及びスピーカーへの供給からなる。他のタイプのコンテンツに対しても、同様の適切なアクションがとられる必要がある。レンダリングはまた、受信信号の解読またはスクランブル解除、音声及び映像信号の同期化などの処理を有するものであってもよい。
【００２７】
セットトップボックス１０１またはシステム１００の他の任意の装置は、受信コンテンツの記録及び以降における再生を可能にする適切な大きさのハードディスクなどの記憶媒体Ｓ１を有するようにしてもよい。記憶媒体Ｓ１は、セットトップボックス１０１が接続されるＤＶＤ＋ＲＷレコーダなどのパーソナルデジタルレコーダ（ＰＤＲ）であってもよい。コンテンツはまた、コンパクトディスク（ＣＤ）またはデジタル多用途ディスク（ＤＶＤ）などのキャリア１２０上に格納されるシステム１００に入力することが可能である。
【００２８】
携帯型表示装置１０３及び携帯電話１０４は、例えば、ＢｌｕｅｔｏｏｔｈやＩＥＥＥ８０２．１１ｂを用いることにより、基地局１１１を利用してネットワーク１１０に無線接続される。その他の装置は、従来の有線接続を利用して接続される。装置１０１〜１０５の相互動作を可能にするため、いくつかの相互動作規格が利用可能であり、これにより各装置は互いを制御するためのメッセージ及び情報の交換が可能となる。１つの周知の規格として、ＨＡＶｉ（Ｈｏｍｅ Ａｕｄｉｏ/Ｖｉｄｅｏ Ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ）規格があり、そのバージョン１．０は、２０００年１月に公開され、アドレス「ｈｔｔｐ：//ｗｗｗ．ｈａｖｉ．ｏｒｇ/」においてインターネット上から利用可能となっている。他の周知な規格として、Ｄ２Ｂ（Ｄｏｍｅｓｔｉｃ Ｄｉｇｉｔａｌ Ｂｕｓ）規格、ＩＥＣ１０３０に記載された通信プロトコル及びＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ Ｐｌｕｇ ａｎｄ Ｐｌａｙ）「ｈｔｔｐ：//ｗｗｗ．ｕｐｎｐ．ｏｒｇ」があげられる。
【００２９】
ホームネットワークの装置１０１〜１０５がコンテンツの認証されていない複製を行わないことを保証することが重要である。このため、典型的にはデジタル著作権管理（ＤＲＭ）システムと呼ばれるセキュリティフレームワークが必要とされる。このようなフレームワークでは、ホームネットワークは、限定受信ドメインとコピープロテクション（ＣＰ）ドメインに概念的に分割される。典型的には、シンクがＣＰドメインに設けられる。これにより、コンテンツがシンクに与えられるとき、ＣＰドメインのコピープロテクションスキームにより、当該コンテンツの認証されていない複製を不可とすることができる。ＣＰドメインの装置は、仮の複製を行うための記憶媒体を有するようにしてもよいが、そのようなコピーはＣＰドメインからエクスポートするのは許されていない。このフレームワークは、本出願と同一出願人により欧州特許出願０１２０４６６８．６（代理人整理番号ＰＨＮＬ０１０８８０）に記載されている。
【００３０】
選択された具体的アプローチに関係なく、セキュリティフレームワークを実現する家庭内ネットワークにおけるすべての装置は、実現要求に従って動作する。このフレームワークを用いて、これらの装置は、互いを認証し、コンテンツを安全に配信することができる。コンテンツへのアクセスは、セキュリティシステムにより管理される。これは、保護されていないコンテンツが認証されていない装置に自由にリークされるのを防ぐと共に、信頼されていない装置からのデータがシステムに侵入するのを回避する。
【００３１】
予め適切に認証された装置のみが他の装置にコンテンツを配信できるようにすることが重要である。これにより、敵対者が悪意のある装置を用いて認証されていない複製を行うことを不可能にすることが保証される。装置が認証されているメーカによって生産された場合、例えば、認証されたメーカのみが認証に必要なシークレットを知っているか、あるいはその装置に信頼される第三者により発行される証明書が与えられているため、装置は適切に認証を受けることができる。
装置の構成
ＡＤとは、権利に従ってコンテンツに対しアクションを実行する装置群として規定され、コンテンツ所有者により規定されたものである。当該装置群は、コンテンツに付された権利を実施する責任があるため、この構成における中心的役割を演じる。装置群は、ＡＤを管理し、すべてのＤＲＭタスクを実行する。装置群は、未接続により、すなわち、中央サーバに接続されることなく動作することができる。ＡＤには、「シンプル（ｓｉｍｐｌｅ）」と「エンハンスト（ｅｎｈａｎｃｅｄ）」の２つのタイプの装置がある。
【００３２】
シンプル装置は、大規模な記憶容量、パワーあるいは処理能力を備えていない。シンプル装置は、シンプルなＤＲＭタスクを実行するＡＤクライアントのみを有する。シンプル装置は、コンテンツをレンダリングすることができ、対応する権利を解釈及び更新することが可能である。典型的には、シンプル装置は携帯型装置であり、しばしばＡＤＭと切断されている。図２において、シンプル装置の構成が与えられる。アプリケーションレイヤは、すべての装置に設けられているが、本スキームでは省略された。異なるコンポーネントが以下で説明される。
【００３３】
エンハンスト装置は、記憶容量、パワー及び処理能力を有する。エンハンスト装置は追加的コンポーネントを有し、ＡＤＭの集中バージョンはドメインを管理するためのものである。ＡＤに複数のエンハンスト装置がある場合、１つのエンハンスト装置のみがそれのＡＤＭ機能を利用する。他の装置は、シンプル装置と同様に動作する。典型的には、これらの装置は、一般的には移動しないセットトップボックスである。図３において、エンハンスト装置の構成が与えられる。
【００３４】
ユーザは装置ほど重要ではない。ユーザは、装置または他のユーザのチェックイン/チェックアウトに関与するが、システムのより容易な利用を与えるため特定はされない。以降に説明される理由のため、ユーザは本実現形態の一部とはなっていない。
【００３５】
媒体はまた、その読み出し/書き込み能力のためいくつかの問題を引き起こす。媒体は、コンテンツ及び権利の格納にのみ利用される静的なコンポーネントとしてみなすことができる。媒体は、本実現形態には含まれない。
【００３６】
コンテンツ及び権利は、強力に制限される。しかしながら、本実現形態では、コンテンツ及び権利は、チェックイン/アウトされ、個別に保持される。これにより以降の選択の自由度がより大きくなる。コンテンツ及び権利は、装置により処理され、同一ＡＤの装置間において転送される。この転送は、可能な限りユーザにとって透過なものとならねばならない。
【００３７】
認証ドメインマネージャ（ＡＤＭ）は、他の装置のチェックインに参加し、ＡＤを管理する。本発明では、ＡＤＭは、１つの装置に集中化される。これは、多くの状況において、固定されたエリアには少なくとも１つの装置しかとどまらないため、ＩＨＤＮ（Ｉｎ−Ｈｏｍｅ Ｄｉｇｉｔａｌ Ｎｅｔｗｏｒｋ）では問題とはならない。
【００３８】
ＡＤＭは、ＡＤの中央ポイント及びドメインマネージャの実現形態である。ＡＤＭは、エンハンスト装置にのみ含まれる。それの役割はいくつかある。
・ＡＤでの装置のチェックイン
・ＡＤ装置の取り消し
・ＡＤにおける装置、権利、媒体及びコンテンツのリストの維持 任意的に、リストはまた、すべてのエンティティのステータス（利用可能、利用不可、接続、切断）を含むようにしてもよい。
・装置に対するＡＤ証明書及び必要に応じてＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｖｏｃａｔｉｏｎ Ｌｉｓｔ）の生成
図４において、ＡＤＭの構成が与えられる。ＡＤ認証サーバは、ＡＤの認証局である。ＡＤ認証サーバは、ＡＤ装置に対するＡＤ証明書とＣＲＬを発行する。
【００３９】
登録サーバは、コンテンツ、装置、権利あるいはユーザなどのすべてのエンティティをＡＤに登録するのに用いられるサービスである。装置は登録サーバを利用して、各自のコンテンツまたは権利リストを通知することが可能である。当該コンポーネントは、ＡＤデータベースマネージャと強く協力する。
【００４０】
ＡＤデータベースマネージャは、ＡＤに関するすべての情報を有するデータベースを管理する。ＡＤデータベースマネージャは、ＡＤ内のエンティティのリストから構成される。ＡＤデータベースマネージャは、例えば、装置がＡＤにおいて現在利用可能な権利またはコンテンツのすべてのリストを必要とするとき、ＡＤに関する情報を抽出するため当該装置によりアクセスされる。
【００４１】
当該コンポーネント及びそれの（重要な）情報のバックアップは、例えば、マスタＡＤＭを設定し、マスタが故障した場合には、ＡＤＭ重要情報をバックアップする１以上のスレーブを有することにより実現することが可能である。
【００４２】
ＡＤ認証サーバにより処理される取り消しは、いくつかの方法により行うことが可能である。２つの手法として、いわゆるブラックリスト（取り消される装置のリスト）とホワイトリスト（取り消されない装置のリスト）を利用するものがある。
【００４３】
ブラックリストシナリオでは、通信相手の信頼性を検証しようとする装置は、リストの現在のバージョンを有する必要があり、その他の装置のＩＤが当該リスト上にあるかチェックする。ブラックリストの効果は、装置がデフォルトでは信頼され、ＩＤが取り消しリストに存在する場合にのみ信頼が取り消されるということである。このリストは、初期的には非常に小規模なものであるが、潜在的には無制限に拡大しうる。従って、取り消しリストのＣＥ装置への配信及び格納は、長期的には問題があるも知れない。
【００４４】
ホワイトリストシナリオでは、装置は、他の装置に対して自らが許可された通信相手のリスト上にあることを証明しなければならない。これは、当該装置がホワイトリスト上にあるということを示す証明書の最新バージョンを示すことにより実行される。ホワイトリスト手法は、当該装置がホワイトリスト上にあるということを証明する各装置に格納されている固定長の証明書を単に有することにより格納問題を解消する。取り消しは、取り消しされた装置を除くすべての装置にホワイトリスト証明書の新しいバージョンを送信することにより行われる。装置の記憶領域は限られているが、ホワイトリスト証明書の配信は、効率的なスキームが利用可能でない場合には、ほとんど解消不可能な問題となる。
【００４５】
欧州特許出願第０２０７７４２２．０号（代理人整理番号ＰＨＮＬ０２０５４３）は、ブラックリストの効果（初期的に小規模な配信リスト）とホワイトリストの主要な効果（限定的格納）を併せ持つ手法を提供するものである。好ましくは、この手法は、装置のＩＤを照明する装置証明書を追加的に利用する。この装置証明書は、初期的信頼の基礎として装置にすでに与えられ（取り消しとは独立に）、例えば、工場での生産中にインストールされる。
装置マネージャ
装置マネージャは、装置証明書や秘密鍵などのすべてのセキュリティオブジェクトを管理し、装置をＡＤＭに登録することができる。装置マネージャはまた、装置が自身の環境に関して有する知識を管理するためのものであり、接続されている装置と各自のコンテンツのリストと権利リストを格納する。図５において、装置マネージャの構成が与えられる。
【００４６】
装置ハンドラは、周囲の環境に関するすべての情報を維持するコンポーネントである。装置ハンドラは、装置のリストと、任意的に各自のコンテンツ及び管理リストを格納する。
【００４７】
セキュリティモジュールは、暗号鍵や装置証明書などのすべてのセキュリティ情報を考慮し、それらを他のコンポーネント、特にネットワークレイヤ（これらのスキームでは表示されていない）に提供する。
権利マネージャ
権利マネージャは、ＤＲＭシステムの分散化された部分である。権利マネージャは、すべての装置に与えられ、権利の解釈、管理及び移転を行うための手段を提供する。権利マネージャは、権利の登録及び設定を行うため、ＡＤＭとやりとりを行う。権利マネージャのタスクは、
・権利のチェックイン/チェックアウト
・（装置間の）権利の解釈、更新、削除、有効性の検証、格納及び移転
・他のＡＤまたは所有者のＤＲＭシステムとの権利のインポート/エクスポート
を含む。
【００４８】
図６において、権利マネージャの構成が与えられる。権利ハンドラは、権利のローカルデータベースを管理する。それのタスクには、権利抽出、格納及び削除が含まれる。アプリケーションが権利マネージャに権利利用可能性及び/または有効性に関して問い合わせを行うとき、権利ハンドラは、権利の抽出及び解釈のため、権利プロセッサとやりとりする。
【００４９】
権利Ｉ/Ｏは、装置間の権利のインポート、エクスポート及び移転に供する。権利Ｉ/Ｏのインポート及びエクスポート機能は、他のＡＤまたは所有者のＤＲＭシステムとのあるレベルの互換性を可能にするため、権利Ｉ/Ｏプラグインにより拡張することが可能である。
【００５０】
権利プロセッサは、権利に対するすべての処理タスク、すなわち、
・権利の解釈及び更新
・権利有効性のチェック
・権利の署名
・コンテンツ暗号鍵などの権利のシークレット名部分の暗号化/解読
を実行する。
コンテンツマネージャ
コンテンツマネージャは、その構成及びタスクの点で権利マネージャと極めて類似している。そのタスクは、
・（適切なコーデックによる）コンテンツの抽出、格納、移転及び処理
・コンテンツの暗号化及び解読
・限定受信ＤＲＭシステムからのコンテンツのインポート
・他のＡＤまたは所有権者のＤＲＭシステムとのコンテンツのインポート/エクスポート
を実行することである。
【００５１】
図７において、コンテンツマネージャの構成が与えられる。コンテンツハンドラは、権利ハンドラと極めて類似している。コンテンツハンドラは、コンテンツのローカルデータベースを管理する。
【００５２】
コンテンツＩ/Ｏは、装置間のコンテンツの転送、他の限定受信ＤＲＭシステムとのコンテンツのインポート/エクスポートを行う機能を提供する。他の所有権者システムまたはＡＤとの転送時、コンテンツＩ/Ｏは、送信先ドメインに準拠するようコンテンツ保護を変更する。このような場合、コンテンツＩ/Ｏは、コンテンツＩ/Ｏプラグインを利用する。
【００５３】
コンテンツプロセッサは、コンテンツのレンダリング、変換（あるフォーマットから他のフォーマットへの）、暗号化および解読を（必要に応じて）行う。コンテンツプロセッサはまた、機能を拡張するためコンテンツＩ/Ｏプラグインを取得することができる。
ＤＲＭモジュール
ＤＲＭモジュールは、装置群内部のその他のモジュールのためのものである。ＤＲＭモジュールは、接続されていない状態で（すなわち、ＡＤＭが直接には利用可能でないとき）ＡＤのメディア、権利またはコンテンツのチェックイン/チェックアウトを行うための処理を扱うことができる。ＤＲＭモジュールは、すべての装置コンポーネントの機能を調整する。例えば、コンテンツのレンダリング時には、ＤＲＭモジュールは、権利マネージャに有効な権利を求め、そのような権利が存在する場合、それからコンテンツプロテクション鍵を抽出する。このとき、ＤＲＭモジュールは、所望のコンテンツをレンダリングするリクエストと共にコンテンツマネージャに当該鍵を与える。
認証チェーン
図８に示される認証チェーンは、以下の証明書を含む。（外部）認証局（ＣＡ）ルート証明書は、自己署名され、装置証明書に署名するのに利用される。
１．ＣＡルート秘密鍵により署名され、装置の公開鍵を含む装置証明書
２．ＡＤの設定時にＡＤＭにより生成され、新しい鍵ペアを署名するＡＤルート証明書 当該証明書に対応する秘密鍵は、ＡＤ装置証明書の発行に利用される。
３．ＡＤへの装置の加入時にＡＤＭにより発行されるＡＤ装置証明書
この解決策を導く理由として、以下のものがあげられる。
・ＡＤへの登録が完了すると、ＡＤＭに接続することなく装置による各自の所属のチェックが可能となる。このようにして、装置はＡＤＭに接続することなく権利の安全な交換が可能となる。
・認証経路に１以上の証明書を追加することにより、ＡＤの再グループ化またはサブグループ化が容易に実現される。もちろん、これは、すべての追加的要素に対する安全な格納領域の必要性の増大を伴うことになるであろう。
・当該構成は極めてシンプルなものであり、小型のＣＥ装置に適するものとなるであろう。
・ＡＤから装置を削除するのに２つの方法がある。すなわち、新しいＡＤを設定し、この新たなＡＤにおいて当該装置を拒絶する方法と、取り消されるＡＤ装置を含むＣＲＬを発行し、それを接続されているすべての装置に配信するという方法である。
・ＡＤルート秘密鍵などの重要なセキュリティ要素は、装置群の共有シークレットの分配を要求する他の解決策に対して、１つの場所にのみ格納される。これにより故障ポイント数は減少し、セキュリティの向上に寄与する。
【００５４】
上記証明書は、以下を保証する。
・証明書１及び２は、製造時の装置順守性を保証する。
・証明書３は、ＡＤマネージャに属し、ＡＤの生成を可能にする。
・証明書４は、オンラインとオフライン（ＡＤマネージャとの接続を参照する）の両方におけるＡＤの所属証明を可能にする。
装置証明書登録
すべての装置は、好ましくは製造時にＲＯＭに記録される以下の要素を有する必要がある。
・外部ＣＡの証明書
・ＣＡ公開鍵
・外部ＣＡにより発行され、装置識別情報を有し、当該装置が準拠していることを示す装置証明書
・装置証明書の外部ＣＡにより署名された公開鍵に対応する装置秘密鍵
図９において、上記コンポーネントが概略される。これらは、安全な格納領域に保持される必要がある。装置秘密鍵は、すでに装置証明書に含まれているが表示される。ここで、ＣＡ公開鍵はＣＡルート証明書に含まれるため、製造時にＲＯＭに記録される必要は必ずしもない。
【００５５】
上記要素に加えて、図１０に示されるように、既存のＡＤの一部となる装置はまた以下の要素を格納する。
・当該装置が特定のＡＤの一部であることを示すＡＤ装置証明書 この証明書はＡＤＭにより署名され、装置公開鍵を含む。
・ＡＤ設定中にＡＤＭにより生成されるＡＤルート証明書
・外部ＣＡにより署名されるＡＤＭの装置証明書
上記要素は、安全であることが必要とされる書き換え可能領域に格納される。ＡＤ管理機能を実現する装置はさらに、ＡＤ装置証明書の発行に利用されるＡＤルート秘密鍵を格納する。対応する公開鍵は、ＡＤルート証明書に含まれるＡＤルート公開鍵である。
ＡＤ管理処理
ＡＤＭは、工場でインストールされた秘密鍵ＫＡＤＭＰｒｉｖ（ＫＤＥＶＰｒｉｖと同義）を用いてローカル中間ＣＡを生成する。ＡＤＭは、すでに装置に記録された鍵ペアに対するＡＤ証明書を発行する。装置群は、各自のＡＤ証明書をチェックすることにより、同じＡＤに属していることをチェックすることができる。これを実現するため、装置群はＡＤルート証明書の分散されている公開鍵を利用する。この解決策のいくつかの効果として、
・ＫＡＤＭＰｒｉｖは変更しない。これにより更新の問題が回避される（しかしながら、セキュリティは低下しうる）。
・システムは、極めてシンプルな方法によりＡＤエンティティを取り消すことができる。
ＡＤ設定
ＡＤ設定はエンハンスト装置により実行され、新たなＡＤＭとなる。装置は以下を実行する。
１．公開/秘密鍵ペアＫＡＤ−Ｐｒｉｖ/ＫＡＤ−Ｐｕｂを生成する。
２．新たな鍵ペアに対するＡＤルート証明書を生成し、工場にてインストールされた秘密鍵ＫＡＤＭＰｒｉｖにより署名する。
３．生成した鍵ペアと証明書を安全な場所に格納する。
４．自身のデータベースを初期化する。
５．ドメイン管理に利用されるパスワードＰＡＤの入力をユーザに求める。
【００５６】
この初期化後、装置群は対応するチェックイン処理を実行することにより追加することができる。
装置チェックイン
図１１において、装置のチェックインが示される。装置をチェックインするための要件として、以下があげられる。
・当該装置がＡＤＭに接続されている。
・ＰＡＤを知っているユーザが当該装置を操作している。
・当該装置は、安全な通信のため、ＡＤＭによるＳＡＣ（Ｓｅｃｕｒｅ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｃｈａｎｎｅｌ）を設定することができる。
【００５７】
ＳＡＣは、２つの装置間の安全な情報交換を可能にする。例えば、欧州特許出願第０２０７８０７６．３（代理人整理番号ＰＨＮＬ０２０６８１）を参照されたい。手順は以下の通りである。
１．ユーザにより、装置によるＡＤＭへの登録が求められる。
２．装置及びＡＤＭにより、装置証明書を用いて安全な認証チャネルが確立される。
３．装置により、ユーザによるＰＡＤの入力が求められる。
４．装置により、ジョイントリクエストメッセージによる入力されたパスワードの送信が行われる。
５．ＡＤＭにより、パスワード及びリクエストがチェックされ、有効である場合、装置公開鍵（ＫＤｅｖＰｕｂ）に対するＡＤ証明書の署名が行われる。
６．ＡＤＭにより、ＡＤルート証明書（ＡＤ公開鍵ＫＡＤ−Ｐｕｂ）と共にＡＤ証明書が装置に返送される。
７．装置により、証明書、公開鍵及びＡＤＭ装置証明書が格納される。
これらは、証明書チェーンを有効とするのに必要とされる。
【００５８】
このチェックイン処理後、装置は、その視覚を証明するためそれのＡＤ証明書を用いて、ＡＤの他の装置と情報を交換することができる。
装置チェックアウト
装置チェックアウト処理は、ユーザが装置を操作及び初期化するときのみ発生しうる。ローカルに格納され、ＫＤｅｖＰｒｉｖにより保護されるコンテンツ及び権利は、当該装置がドメインに再び参入しない限りもはや利用可能ではない。
【００５９】
チェックアウト処理は、装置に対して直接実行される初期化プロセスにより規定される。この初期化処理は、装置メモリからの装置ＡＤ証明書の削除のみから構成される。ここで、ＡＤＭは装置チェックインには関与せず、当該処理は装置がそれのＡＤ証明書を削除しているため、装置がＡＤの一部となることを自動的に排除する。
【００６０】
ＡＤからのＡＤ装置の強制的なチェックアウトもまた可能である。この場合、ＡＤＭは、当該装置に属するＡＤ装置証明書をリストしたＣＲＬを発行する。
ＡＤ装置所属チェック
装置群は、それらが互いに同じＡＤに属していることをチェックすることができる。これはＡＤ証明書を用いて実現される。
１．装置Ａにより、それのＡＤ証明書が装置Ｂに送信され、また逆に装置Ｂにより、それのＡＤ証明書が装置Ａに送信される。
２．これら２つの装置により、証明書がチェックされる（次のセクションを参照せよ）。
３．証明書が有効である場合、２つの装置は他方の装置が同じＡＤに属していることを知る。
証明書チェーンチェック
所属チェックの第２のポイントでは、２つの装置は、それらが同じＡＤに属していることを宣言する前に、証明書チェーンをチェックする必要がある。装置Ａにより装置Ｂが同じＡＤに属しているか判断するのに実行する証明書チェックが、以下において説明される。装置Ａは（この順序で）以下をチェックする。
１．ＡＤ公開鍵ＫＡＤ−Ｐｕｂを利用することによる装置ＢのＡＤ証明書
２．ＡＤＭの公開装置鍵ＫＡＤＭＰｕｂを利用することによるＡＤルート証明書
３．外部ＣＡの公開鍵ＫＣＡＲｏｏｔＰｕｂを利用することによるＡＤＭ証明書
ルートＣＡから開始して、信用のチェーンが以下のようにして構築される。
１．ルートＣＡによるＡＤＭの証明書の署名
２．ＡＤＭによる新しい鍵ペア（ＡＤ鍵ペア）に対する証明書の自身の秘密鍵による署名
３．ＡＤＭによる装置群に対する証明書のＡＤ秘密鍵による署名
コンテンツチェックイン
コンテンツチェックインの要件は、コンテンツと対応する権利が同一装置上に与えられているということである。手順は以下の通りである。
１．装置によるランダム対称鍵ＫＲａｎｄＣｏｎｔの取得及び当該鍵によるコンテンツの暗号化
２．装置によるＫＲａｎｄＣｏｎｔのＫＤｅｖＰｕｂによる暗号化及び権利のチェックイン（次のセクションを参照せよ）
３．装置によるコンテンツのローカルな格納
ここで、ＫＤｅｖＰｕｂはコンテンツの暗号化のため直接利用可能である。ＫＤｅｖＰｕｂは非対称鍵であるため、暗号化タスクを最小化するため、追加的な対称鍵が選ばれる。さらに、権利が移転されるとき（一般にはコンテンツと共に）、これは鍵の再暗号化のみを伴い、権利の再暗号化を伴うものではなく、処理タスクをより少なくすることができる。
権利チェックイン
権利チェックインの要件は、以下の通りである。
・コンテンツ及び対応する権利が同一装置上に与えられている。
・ＫＲａｎｄＣｏｎｔが、コンテンツの暗号化のため装置によりすでに選ばれている。
【００６１】
手順は以下の通りである。
１．権利が内部の権利識別子の選択を含む内部ＡＤ表現に変換される。識別子衝突を回避するため、当該識別子は、チェックイン処理を実行する装置に限定される必要がある（例えば、それのシリアル番号に）。
２．装置により、ＡＤ識別子（例えば、ＡＤルート証明書など）及び権利におけるＫＲａｎｄＣｏｎｔの暗号化されたバージョン（ＫＤｅｖＰｕｂによる）が追加される。
３．装置により、ＫＤｅｖＰｒｉｖを利用することにより権利が署名される。
４．装置により、権利が格納される。当該権利は、他のシステムまたはＡＤへのさらなるエクスポートを可能にするため、内部表現と共に完全な外部権利を含む。外部権利は、ＫＲａｎｄＣｏｎｔにより暗号化される。
【００６２】
権利は、特定の装置にローカルに付される。権利が移転されるとき、それのシークレットな部分は、送信先装置の公開鍵により再暗号化される必要がある。
コンテンツ再生
コンテンツ再生処理は、装置に対して実行されるレンダリングアクションとして規定される。コンテンツ再生処理は、以下のように規定される。
１．装置により、それのローカルデータベースからコンテンツ及び対応する権利が抽出される。
２．装置により、権利有効性がチェックされる。
３．権利が有効である場合、装置により、コンテンツを暗号化するのに利用された対称鍵（ＫＲａｎｄＣｏｎｔ）がそれのＡＤ秘密鍵（ＫＤｅｖＰｒｉｖ）により解読される。
４．装置により、コンテンツがＫＲａｎｄＣｏｎｔにより解読され、レンダリングされる。
５．権利が回数制限を受けている場合（「Ｎ回の再生」など）、権利は更新され、権利チェックイン中に署名される。
権利解釈
権利解釈は、コンテンツに対してレンダリングが実行されるときはいつでも、そして権利が複製または移動されるときに発生する。権利解釈は、権利自体に対して実行することが可能な処理及び権利有効性を判断することからなる。
【００６３】
権利解釈は、以下のステップにおいて実行される。
１．装置により、ＫＤｅｖＰｕｂを利用することにより、権利完全性がチェックされる。
２．権利が真正でない場合、装置は解釈を停止する。
３．権利が真正である場合、装置によりコンテンツが処理可能である検出するため、権利が解釈される。
４．コンテンツが処理可能である場合、装置によりそれの秘密鍵ＫＤｅｖＰｒｉｖを利用することにより暗号鍵ＫＲａｎｄＣｏｎｔの解読及びコンテンツプロセッサへの送信が行われる。
権利更新
権利更新は、権利が回数制限を有し、対応するコンテンツが処理されているとき発生する。更新プロセスは、以下のように規定される。
１．コンテンツを処理する装置により、適切に権利が更新される（準拠する方法により）。
２．権利がもはや有効でない場合、チェックアウトされる。
３．そうでない場合、装置は新しい権利のハッシュを計算し、それをＫＤｅｖＰｒｉｖにより暗号化する。
４．装置により、権利における古い署名されたハッシュが新しいものに取り替えられる。
【００６４】
ここで、上記実施例は本発明を限定するものでなく、例示するためのものであり、当業者は添付した請求項の範囲から逸脱することなく、他の多数の実施例を構成することができるであろう。
【００６５】
請求項において、カッコ内に置かれる参照符号は、請求項を限定するものと解釈されるべきでない。「有する」という用語は、請求項に列挙した以外の要素またはステップの存在を排除するものではない。要素に前置される「ａ」または「ａｎ」という用語は、このような要素が複数存在することを排除するものではない。本発明は、複数の相異なる要素からなるハードウェア及び適切にプログラムされたコンピュータにより実現することが可能である。
【００６６】
いくつかの手段を列挙した装置クレームでは、上記手段の一部は単一のハードウェアとして実現することが可能である。ある手段が互いに異なる従属クレームで記載されるという事実は、上記手段の組み合わせが効果を有するよう利用可能でないということを示すものではない。
【図面の簡単な説明】
【００６７】
【図１】図１は、ネットワークを介し相互接続される装置群からなるシステムを概略的に示す。
【図２】図２は、シンプル装置の構成を概略的に示す。
【図３】図３は、エンハンスト装置の構成を概略的に示す。
【図４】図４は、認証ドメインマネージャの構成を概略的に示す。
【図５】図５は、装置マネージャの構成を概略的に示す。
【図６】図６は、権利マネージャの構成を概略的に示す。
【図７】図７は、コンテンツマネージャの構成を概略的に示す。
【図８】図８は、証明書チェーンを概略的に示す。
【図９】図９は、装置に格納されている要素を示す。
【図１０】図１０は、既存のＡＤの一部である装置に格納されている要素を示す。
【図１１】図１１は、ＡＤへの装置のチェックインを示す。
【特許請求の範囲】
【請求項１】
ネットワークにおける装置間の安全なコンテンツの配信方法であって、
前記ネットワークを管理する中央装置により、前記ネットワークに加入する装置を登録し、該加入した装置に少なくとも１つの証明書を発行するステップと、
各装置に発行された前記少なくとも１つの証明書による認証に基づき、前記ネットワークの装置間にコンテンツを配信するステップと、
を有し、
第１装置から第２装置へのコンテンツの配信は、前記第２装置の少なくとも１つの証明書による前記第２装置を認証する前記第１装置と、前記第１装置の少なくとも１つの証明書による前記第１装置を認証する前記第２装置とにより可能とされることを特徴とする方法。
【請求項２】
請求項１記載の配信方法であって、
前記少なくとも１つの証明書は、
前記中央装置により生成される公開鍵と装置秘密鍵により生成される署名とを有する第１証明書と、
前記加入装置の公開鍵と、該公開鍵に対応する前記中央装置により生成される秘密鍵により生成される署名とを有する第２証明書と、
を有することを特徴とする方法。
【請求項３】
請求項１記載の配信方法であって、
前記ネットワークに加入する装置を登録するステップは、
各装置に格納されている装置公開鍵により工場でインストールされ、証明書認証秘密鍵により署名される第３証明書を検証するステップと、
前記装置公開鍵により、前記装置公開鍵に対応する装置秘密鍵を格納している装置を認証するステップと、
を有し、
前記検証するステップは、工場でインストールされた対応する証明書認証公開鍵により実行されることを特徴とする方法。
【請求項４】
請求項２記載の配信方法であって、
前記ネットワークにおける装置間にコンテンツを配信するステップは、
前記第１装置の第２証明書を前記第１装置から前記第２装置に送信し、前記第２装置の第２証明書を前記第２装置から前記第１装置に送信するステップと、
前記中央装置により生成された公開鍵を利用して、前記第１装置において前記第２装置の第２証明書を検証し、前記第２装置において前記第１装置の第２証明書を検証するステップと、
前記第１装置の第１証明書を前記第１装置から前記第２装置に送信し、前記第２装置の第１証明書を前記第２装置から前記第１装置に送信するステップと、
前記装置公開鍵を利用して、前記第１装置において前記第２装置の第１証明書を検証し、前記第２装置において前記第１装置の第１証明書を検証するステップと、
工場でインストールされ、証明書認証秘密鍵により署名された前記中央装置の第３証明書を前記第１装置から前記第２装置に送信し、前記第２装置の前記中央装置の第３証明書を前記第１装置に送信するステップと、
前記証明書認証公開鍵を利用して、前記第１装置及び前記第２装置において前記第３証明書を検証するステップと、
を有することを特徴とする方法。
【請求項５】
請求項１乃至４何れか一項記載の配信方法であって、
前記中央装置はさらに、
前記ネットワークに含まれるエンティティを登録するステップと、
前記ネットワークに含まれるエンティティのリストを格納するステップと、
前記ネットワークの登録削除された装置のリストを前記ネットワークの登録削除されていないすべての装置に発行するステップと、
を実行することを特徴とする方法。
【請求項６】
請求項１乃至５何れか一項記載の配信方法であって、
前記ネットワークは、認証ドメインであることを特徴とする方法。
【請求項７】
請求項１乃至５何れか一項記載の配信方法であって、
前記ネットワークは、ホームネットワークであることを特徴とする方法。
【請求項８】
ネットワークにおける装置間の安全なコンテンツの配信システムであって、
前記ネットワークを管理し、前記ネットワークに加入する装置を登録し、該加入した装置に少なくとも１つの証明書を発行するよう構成される中央装置と、
少なくとも１つの証明書と、
を有し、
前記ネットワークの装置間にコンテンツの配信は、各装置に発行された前記少なくとも１つの証明書による認証に基づき、第１装置から第２装置へのコンテンツの配信は、前記第２装置の少なくとも１つの証明書による前記第２装置を認証する前記第１装置と、前記第１装置の少なくとも１つの証明書による前記第１装置を認証する前記第２装置とにより可能とされることを特徴とするシステム。
【請求項９】
請求項８記載の配信システムであって、
前記少なくとも１つの証明書は、
前記中央装置により生成される公開鍵と装置秘密鍵により生成される署名とを有する第１証明書と、
前記加入装置の公開鍵と、該公開鍵に対応する前記中央装置により生成される秘密鍵により生成される署名とを有する第２証明書と、
を有することを特徴とするシステム。
【請求項１０】
請求項８記載の配信システムであって、
前記中央装置は、各装置に格納されている装置公開鍵により工場でインストールされ、証明書認証秘密鍵により署名される第３証明書を検証するよう構成され、
前記中央装置は、前記ネットワークに加入する装置を認証するとき、前記装置公開鍵により、前記装置公開鍵に対応する装置秘密鍵を格納している装置を認証するよう構成され、
前記検証は、工場でインストールされた対応する証明書認証公開鍵により実行されることを特徴とするシステム。
【請求項１１】
請求項９記載の配信システムであって、さらに、
前記第１装置の第２証明書を前記第１装置から前記第２装置に送信し、前記第２装置の第２証明書を前記第２装置から前記第１装置に送信するよう構成される手段と、
前記中央装置により生成された公開鍵を利用して、前記第１装置において前記第２装置の第２証明書を検証し、前記第２装置において前記第１装置の第２証明書を検証するよう構成される手段と、
前記第１装置の第１証明書を前記第１装置から前記第２装置に送信し、前記第２装置の第１証明書を前記第２装置から前記第１装置に送信するよう構成される手段と、
前記装置公開鍵を利用して、前記第１装置において前記第２装置の第１証明書を検証し、前記第２装置において前記第１装置の第１証明書を検証するよう構成される手段と、
工場でインストールされ、証明書認証秘密鍵により署名された前記中央装置の第３証明書を前記第１装置から前記第２装置に送信し、前記第２装置の前記中央装置の第３証明書を前記第１装置に送信するよう構成される手段と、
前記証明書認証公開鍵を利用して、前記第１装置及び前記第２装置において前記第３証明書を検証するよう構成される手段と、
を有することを特徴とするシステム。
【請求項１２】
請求項８乃至１１何れか一項記載の配信システムであって、
前記中央装置はさらに、
前記ネットワークに含まれるエンティティを登録し、
前記ネットワークに含まれるエンティティのリストを格納し、
前記ネットワークの登録削除された装置のリストを前記ネットワークの登録削除されていないすべての装置に発行する、
よう構成されることを特徴とするシステム。
【請求項１３】
請求項８乃至１２何れか一項記載の配信システムであって、
前記ネットワークは、認証ドメインであることを特徴とするシステム。
【請求項１４】
請求項８乃至１２何れか一項記載の配信システムであって、
前記ネットワークは、ホームネットワークであることを特徴とするシステム。
【請求項１５】
ネットワークを管理する中央装置であって、
前記ネットワークに加入する装置を登録するよう構成される手段と、
前記加入する装置に少なくとも１つの証明書を発行するよう構成される手段と、
を有することを特徴とする中央装置。
【請求項１６】
請求項１５記載の中央装置であって、さらに、
前記ネットワークに含まれるエンティティを登録するよう構成される手段と、
前記ネットワークに含まれるエンティティのリストを格納するよう構成される手段と、
前記ネットワークの登録削除される装置のリストを前記ネットワークの登録削除されていないすべての装置に発行するよう構成される手段と、
を有することを特徴とする中央装置。
【請求項１７】
請求項１５または１６記載の中央装置であって、
該中央装置は、認証ドメインを管理することを特徴とする中央装置。
【請求項１８】
請求項１５または１６記載の中央装置であって、
該中央装置は、ホームネットワークを管理することを特徴とする中央装置。
【請求項１】
ネットワークにおける装置間の安全なコンテンツの配信方法であって、
前記ネットワークを管理する中央装置により、前記ネットワークに加入する装置を登録し、該加入した装置に少なくとも１つの証明書を発行するステップと、
各装置に発行された前記少なくとも１つの証明書による認証に基づき、前記ネットワークの装置間にコンテンツを配信するステップと、
を有し、
第１装置から第２装置へのコンテンツの配信は、前記第２装置の少なくとも１つの証明書による前記第２装置を認証する前記第１装置と、前記第１装置の少なくとも１つの証明書による前記第１装置を認証する前記第２装置とにより可能とされることを特徴とする方法。
【請求項２】
請求項１記載の配信方法であって、
前記少なくとも１つの証明書は、
前記中央装置により生成される公開鍵と装置秘密鍵により生成される署名とを有する第１証明書と、
前記加入装置の公開鍵と、該公開鍵に対応する前記中央装置により生成される秘密鍵により生成される署名とを有する第２証明書と、
を有することを特徴とする方法。
【請求項３】
請求項１記載の配信方法であって、
前記ネットワークに加入する装置を登録するステップは、
各装置に格納されている装置公開鍵により工場でインストールされ、証明書認証秘密鍵により署名される第３証明書を検証するステップと、
前記装置公開鍵により、前記装置公開鍵に対応する装置秘密鍵を格納している装置を認証するステップと、
を有し、
前記検証するステップは、工場でインストールされた対応する証明書認証公開鍵により実行されることを特徴とする方法。
【請求項４】
請求項２記載の配信方法であって、
前記ネットワークにおける装置間にコンテンツを配信するステップは、
前記第１装置の第２証明書を前記第１装置から前記第２装置に送信し、前記第２装置の第２証明書を前記第２装置から前記第１装置に送信するステップと、
前記中央装置により生成された公開鍵を利用して、前記第１装置において前記第２装置の第２証明書を検証し、前記第２装置において前記第１装置の第２証明書を検証するステップと、
前記第１装置の第１証明書を前記第１装置から前記第２装置に送信し、前記第２装置の第１証明書を前記第２装置から前記第１装置に送信するステップと、
前記装置公開鍵を利用して、前記第１装置において前記第２装置の第１証明書を検証し、前記第２装置において前記第１装置の第１証明書を検証するステップと、
工場でインストールされ、証明書認証秘密鍵により署名された前記中央装置の第３証明書を前記第１装置から前記第２装置に送信し、前記第２装置の前記中央装置の第３証明書を前記第１装置に送信するステップと、
前記証明書認証公開鍵を利用して、前記第１装置及び前記第２装置において前記第３証明書を検証するステップと、
を有することを特徴とする方法。
【請求項５】
請求項１乃至４何れか一項記載の配信方法であって、
前記中央装置はさらに、
前記ネットワークに含まれるエンティティを登録するステップと、
前記ネットワークに含まれるエンティティのリストを格納するステップと、
前記ネットワークの登録削除された装置のリストを前記ネットワークの登録削除されていないすべての装置に発行するステップと、
を実行することを特徴とする方法。
【請求項６】
請求項１乃至５何れか一項記載の配信方法であって、
前記ネットワークは、認証ドメインであることを特徴とする方法。
【請求項７】
請求項１乃至５何れか一項記載の配信方法であって、
前記ネットワークは、ホームネットワークであることを特徴とする方法。
【請求項８】
ネットワークにおける装置間の安全なコンテンツの配信システムであって、
前記ネットワークを管理し、前記ネットワークに加入する装置を登録し、該加入した装置に少なくとも１つの証明書を発行するよう構成される中央装置と、
少なくとも１つの証明書と、
を有し、
前記ネットワークの装置間にコンテンツの配信は、各装置に発行された前記少なくとも１つの証明書による認証に基づき、第１装置から第２装置へのコンテンツの配信は、前記第２装置の少なくとも１つの証明書による前記第２装置を認証する前記第１装置と、前記第１装置の少なくとも１つの証明書による前記第１装置を認証する前記第２装置とにより可能とされることを特徴とするシステム。
【請求項９】
請求項８記載の配信システムであって、
前記少なくとも１つの証明書は、
前記中央装置により生成される公開鍵と装置秘密鍵により生成される署名とを有する第１証明書と、
前記加入装置の公開鍵と、該公開鍵に対応する前記中央装置により生成される秘密鍵により生成される署名とを有する第２証明書と、
を有することを特徴とするシステム。
【請求項１０】
請求項８記載の配信システムであって、
前記中央装置は、各装置に格納されている装置公開鍵により工場でインストールされ、証明書認証秘密鍵により署名される第３証明書を検証するよう構成され、
前記中央装置は、前記ネットワークに加入する装置を認証するとき、前記装置公開鍵により、前記装置公開鍵に対応する装置秘密鍵を格納している装置を認証するよう構成され、
前記検証は、工場でインストールされた対応する証明書認証公開鍵により実行されることを特徴とするシステム。
【請求項１１】
請求項９記載の配信システムであって、さらに、
前記第１装置の第２証明書を前記第１装置から前記第２装置に送信し、前記第２装置の第２証明書を前記第２装置から前記第１装置に送信するよう構成される手段と、
前記中央装置により生成された公開鍵を利用して、前記第１装置において前記第２装置の第２証明書を検証し、前記第２装置において前記第１装置の第２証明書を検証するよう構成される手段と、
前記第１装置の第１証明書を前記第１装置から前記第２装置に送信し、前記第２装置の第１証明書を前記第２装置から前記第１装置に送信するよう構成される手段と、
前記装置公開鍵を利用して、前記第１装置において前記第２装置の第１証明書を検証し、前記第２装置において前記第１装置の第１証明書を検証するよう構成される手段と、
工場でインストールされ、証明書認証秘密鍵により署名された前記中央装置の第３証明書を前記第１装置から前記第２装置に送信し、前記第２装置の前記中央装置の第３証明書を前記第１装置に送信するよう構成される手段と、
前記証明書認証公開鍵を利用して、前記第１装置及び前記第２装置において前記第３証明書を検証するよう構成される手段と、
を有することを特徴とするシステム。
【請求項１２】
請求項８乃至１１何れか一項記載の配信システムであって、
前記中央装置はさらに、
前記ネットワークに含まれるエンティティを登録し、
前記ネットワークに含まれるエンティティのリストを格納し、
前記ネットワークの登録削除された装置のリストを前記ネットワークの登録削除されていないすべての装置に発行する、
よう構成されることを特徴とするシステム。
【請求項１３】
請求項８乃至１２何れか一項記載の配信システムであって、
前記ネットワークは、認証ドメインであることを特徴とするシステム。
【請求項１４】
請求項８乃至１２何れか一項記載の配信システムであって、
前記ネットワークは、ホームネットワークであることを特徴とするシステム。
【請求項１５】
ネットワークを管理する中央装置であって、
前記ネットワークに加入する装置を登録するよう構成される手段と、
前記加入する装置に少なくとも１つの証明書を発行するよう構成される手段と、
を有することを特徴とする中央装置。
【請求項１６】
請求項１５記載の中央装置であって、さらに、
前記ネットワークに含まれるエンティティを登録するよう構成される手段と、
前記ネットワークに含まれるエンティティのリストを格納するよう構成される手段と、
前記ネットワークの登録削除される装置のリストを前記ネットワークの登録削除されていないすべての装置に発行するよう構成される手段と、
を有することを特徴とする中央装置。
【請求項１７】
請求項１５または１６記載の中央装置であって、
該中央装置は、認証ドメインを管理することを特徴とする中央装置。
【請求項１８】
請求項１５または１６記載の中央装置であって、
該中央装置は、ホームネットワークを管理することを特徴とする中央装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公表番号】特表２００６−５００６５２（Ｐ２００６−５００６５２Ａ）
【公表日】平成１８年１月５日（２００６．１．５）
【国際特許分類】
【出願番号】特願２００４−５３７４３１（Ｐ２００４−５３７４３１）
【出願日】平成１５年９月１７日（２００３．９．１７）
【国際出願番号】ＰＣＴ／ＩＢ２００３／００４０５２
【国際公開番号】ＷＯ２００４／０２７５８８
【国際公開日】平成１６年４月１日（２００４．４．１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
Ｂｌｕｅｔｏｏｔｈ
【出願人】（５９００００２４８）コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ (12,071)
【氏名又は名称原語表記】Ｋｏｎｉｎｋｌｉｊｋｅ Ｐｈｉｌｉｐｓ Ｅｌｅｃｔｒｏｎｉｃｓ Ｎ．Ｖ．
【住所又は居所原語表記】Ｇｒｏｅｎｅｗｏｕｄｓｅｗｅｇ １，５６２１ ＢＡ Ｅｉｎｄｈｏｖｅｎ， Ｔｈｅ Ｎｅｔｈｅｒｌａｎｄｓ
【Ｆターム（参考）】
【公表日】平成１８年１月５日（２００６．１．５）
【国際特許分類】
【出願日】平成１５年９月１７日（２００３．９．１７）
【国際出願番号】ＰＣＴ／ＩＢ２００３／００４０５２
【国際公開番号】ＷＯ２００４／０２７５８８
【国際公開日】平成１６年４月１日（２００４．４．１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
Ｂｌｕｅｔｏｏｔｈ
【出願人】（５９００００２４８）コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ (12,071)
【氏名又は名称原語表記】Ｋｏｎｉｎｋｌｉｊｋｅ Ｐｈｉｌｉｐｓ Ｅｌｅｃｔｒｏｎｉｃｓ Ｎ．Ｖ．
【住所又は居所原語表記】Ｇｒｏｅｎｅｗｏｕｄｓｅｗｅｇ １，５６２１ ＢＡ Ｅｉｎｄｈｏｖｅｎ， Ｔｈｅ Ｎｅｔｈｅｒｌａｎｄｓ
【Ｆターム（参考）】
[ Back to top ]