JP4452105B2 - 復号情報生成装置及びそのプログラム、配信用コンテンツ生成装置及びそのプログラム、並びに、コンテンツ復号装置及びそのプログラム - Google Patents

Description

本発明は、コンテンツの不正利用者の特定と、暗号化されたコンテンツを復号するときに用いる利用者の鍵情報の漏洩に伴う被害の抑制とを可能にする復号情報生成装置及びそのプログラム、配信用コンテンツ生成装置及びそのプログラム、並びに、コンテンツ復号装置及びそのプログラムに関する。

近年、インターネット（ネットワーク）上で、映像、音声等の種々のコンテンツが流通するようになってきた。
しかし、インターネット上でコンテンツの売買を行う場合、正規の利用者が不正によりコンテンツを流通させてしまうことがあり、コンテンツ提供者に被害を与えるケースが増えている。このような問題に対して、不正に流通したコンテンツがどの利用者から配信されたものかを特定する方法として、「不正者追跡（Ｔｒａｉｔｏｒ Ｔｒａｃｉｎｇ）方式」と呼ばれる暗号化技術を用いる方法がある（非特許文献１参照）。

この不正者追跡方式では、暗号化されたコンテンツを復号する鍵となる秘密鍵を、利用者固有の識別子と多項式とを用いて生成している。すなわち、多項式をｆ（ｘ）としたとき、変数ｘに利用者固有の識別子ＩＤを代入したｆ（ＩＤ）が利用者の秘密鍵となる。このため、利用者が不正に秘密鍵の複製を作成した場合には、その秘密鍵ｆ（ＩＤ）を作成するために使用した識別子ＩＤを求めることで、どの利用者が不正を行ったかを特定することができる。なお、多項式の係数は、コンテンツ配信者（プロバイダ）の秘密情報であって、厳重に管理・保管される情報である。

また、コンテンツ流通時における他の問題として、コンテンツを利用する利用者の秘密にすべき情報（秘密鍵）が漏洩し、第三者がその秘密鍵によって利用者になりすますことで、正規の利用者に被害を及ぼす場合がある。このような問題に対して、秘密鍵が漏洩した場合、その被害を最小限に食い止める方法として、「鍵隔離公開鍵暗号化方式（Ｋｅｙ−Ｉｎｓｕｌａｔｅｄ Ｐｕｂｌｉｃ−Ｋｅｙ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ）」と呼ばれる暗号化技術を用いる方法がある（非特許文献２参照）。

この鍵隔離公開鍵暗号化方式では、ある時刻に応じて秘密鍵の更新を利用者端末内で行うことで、秘密鍵更新以降の被害を防止する。なお、鍵隔離公開鍵暗号化方式では、秘密鍵が更新された場合でも、公開鍵を更新する必要はない。
Ｋａｉｓａ Ｎｙｂｅｒｇ著"Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−ＥＵＲＯＣＲＹＰＴ’９８"，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，ｖｏｌ１４０３，ｐｐ．１４５−１５７ Ｌａｒｓ Ｋｎｕｄｓｅｎ著"Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−ＥＵＲＯＣＲＹＰＴ２００２"，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，ｖｏｌ２３３２，ｐｐ．６５−８２

しかし、従来の不正者追跡方式では、どの利用者が不正を行ったかを特定することはできるが、以下に示す問題がある。
この不正者追跡方式では、利用者の秘密鍵が非正規の利用者に漏洩した場合、非正規利用者の正規利用者へのなりすましが可能となる。この対策として、秘密鍵を生成するための多項式の係数を更新し秘密鍵を更新することで、その更新以降、利用者やプロバイダに被害が及ばないようにすることが考えられる。しかし、多項式の係数を更新する場合、その多項式の係数はプロバイダの秘密情報であるため、プロバイダ側ですべての正規利用者の秘密鍵を更新する必要があり、その更新手続きに手間がかかるという問題がある。

また、従来の鍵隔離公開鍵暗号化方式では、利用者の秘密鍵の漏洩に対して、利用者の被害を最小限に食い止めることは可能であるが、以下に示す問題がある。
この鍵隔離公開鍵暗号化方式では、利用者の秘密鍵は時刻に応じて更新されるが、公開鍵は更新されないため、利用者とプロバイダとの間で情報を交換する必要がなく効率的に秘密鍵を更新することができる。しかし、鍵隔離公開鍵暗号化方式は、不正者追跡方式のように、暗号化されたコンテンツを復号する際に利用者の識別子を使用しないため、コンテンツの不正流通を行った不正利用者を特定することができないという問題がある。

なお、従来の不正者追跡方式と鍵隔離公開鍵暗号化方式とを直列に結合することで、不正を行った利用者を特定することができ、且つ、秘密鍵漏洩に伴う利用者の被害を最小限に食い止めることが考えられる。しかし、これらの方式は、個々にコンテンツの暗号化を行うため、プロバイダ側では２回の暗号化を行い、利用者側では２回の復号を行わなければならず、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）における演算の負荷が大きくなってしまうという問題がある。

本発明は、以上のような問題点に鑑みてなされたものであり、コンテンツを配信する際に、コンテンツを不正に流通させた利用者を特定し、利用者の秘密鍵が漏洩した場合でも被害を最小限に食い止めることが可能な復号情報生成装置及びそのプログラム、配信用コンテンツ生成装置及びそのプログラム、並びに、コンテンツ復号装置及びそのプログラムを提供することを目的とする。さらに、本発明は、プロバイダ側における暗号化や利用者側における復号を行う際のＣＰＵ演算量の増加を抑えることを可能にした復号情報生成装置及びそのプログラム、配信用コンテンツ生成装置及びそのプログラム、並びに、コンテンツ復号装置及びそのプログラムを提供することを目的とする。

本発明は、前記目的を達成するために創案されたものであり、まず、請求項１に記載の復号情報生成装置は、暗号化されたコンテンツを復号するために公開される公開情報と、前記コンテンツを復号する側で秘密の情報となる秘密情報とを復号情報として生成する復号情報生成装置であって、公開鍵生成手段と、秘密鍵生成手段と、鍵暗号化手段とを備える構成とした。

かかる構成によれば、復号情報生成装置は、公開鍵生成手段によって、（ｐ−１）の値がｑで割り切れる素数ｐ及びｑについて、位数ｑの乗法に関して群をなす乗法群から選択された生成元ｇを、数列｛１，２，…，ｑ−１｝から選択された（ｎ＋１）×（ｍ＋１）個の係数ａ _ｉ，ｊ ｛０≦ｉ≦ｎ，０≦ｊ≦ｍ｝によりべき乗することで、係数分の生成元のべき乗値を含んだ公開鍵を生成する。ここで、乗法群の生成元のべき乗値を算出することで、離散対数計算の有する困難性により暗号系の安全性を確保することができる。そして、復号情報生成装置は、秘密鍵生成手段によって、公開鍵生成手段で使用した複数の係数と、コンテンツを利用する利用者毎に固有の識別情報（例えば、ユーザ識別子等）とに基づいて、利用者毎に固有の秘密情報として、利用者初期秘密鍵を生成するとともに、利用者マスタ鍵を生成する。なお、この秘密情報は、コンテンツを利用する利用者側の端末（利用者端末）で秘密に記憶される情報である。

そして、復号情報生成装置は、鍵暗号化手段によって、コンテンツを暗号化した暗号化鍵を、公開鍵生成手段によって生成された公開鍵と、コンテンツの配信者側で定めた値と、乱数とに基づいて暗号化し公開情報とする。ここでコンテンツの配信者側で定めた値は、任意の値であって、コンテンツ配信者側が管理できる値であれば、どのような値を用いてもよい。

このように、復号情報生成装置は、従来の不正者追跡方式で用いられている秘密鍵を、公開情報に含ませたコンテンツの配信者側で定めた値によって、鍵隔離公開鍵暗号化方式と同様に更新することが可能になる。すなわち、コンテンツの配信者側とコンテンツの利用者側とで、直接のやりとりがなくても、コンテンツの配信者側で定めた値を基準として秘密鍵の更新が可能になる。

また、請求項２に記載の復号情報生成装置は、請求項１に記載の復号情報生成装置において、前記鍵暗号化手段で用いられる値ｔが、時刻を示す値であることを特徴とする。

かかる構成によれば、復号情報生成装置は、鍵暗号化手段で用いられるコンテンツの配信者側で定めた値を時刻とすることで、コンテンツの利用者側（利用者端末）において、ある時刻における秘密鍵を生成することが可能になる。なお、この時刻は、コンテンツの配信者側において鍵の管理を行う基準となる時刻を数値化したものであればよい。例えば、時刻として「年月日時分秒」を数値化したものを用いる。

さらに、請求項３に記載の復号情報生成プログラムは、暗号化されたコンテンツを復号するために公開される公開情報と、前記コンテンツを復号する側で秘密の情報となる秘密情報とを復号情報として生成するために、コンピュータを、公開鍵生成手段、秘密鍵生成手段、鍵暗号化手段として機能させることとした。

かかる構成によれば、復号情報生成プログラムは、公開鍵生成手段によって、（ｐ−１）の値がｑで割り切れる素数ｐ及びｑについて、位数ｑの乗法に関して群をなす乗法群から選択された生成元ｇを、数列｛１，２，…，ｑ−１｝から選択された（ｎ＋１）×（ｍ＋１）個の係数ａ _ｉ，ｊ ｛０≦ｉ≦ｎ，０≦ｊ≦ｍ｝によりべき乗することで、係数分の生成元のべき乗値を含んだ公開鍵を生成する。そして、復号情報生成プログラムは、秘密鍵生成手段によって、公開鍵生成手段で使用した複数の係数と、コンテンツを利用する利用者毎に固有の識別情報とに基づいて、利用者毎に固有の秘密情報として、利用者初期秘密鍵を生成するとともに、利用者マスタ鍵を生成する。

そして、復号情報生成プログラムは、鍵暗号化手段によって、コンテンツを暗号化した暗号化鍵を、公開鍵生成手段によって生成された公開鍵と、コンテンツの配信者側で定めた値と、乱数とに基づいて暗号化し公開情報とする。
これによって、コンテンツの配信者側とコンテンツの利用者側とで、直接のやりとりがなくても、コンテンツの配信者側で定めた値を基準として利用者秘密鍵の更新が可能になる。

また、請求項４に記載の配信用コンテンツ生成装置は、暗号化されたコンテンツと、その暗号化されたコンテンツを復号するために公開された公開情報とを含んだ配信用コンテンツを生成する配信用コンテンツ生成装置であって、暗号化鍵生成手段と、コンテンツ暗号化手段と、公開情報合成手段とを備える構成とした。

かかる構成によれば、配信用コンテンツ生成装置は、暗号化鍵生成手段によって、コンテンツを暗号化する暗号化鍵を生成する。そして、配信用コンテンツ生成装置は、コンテンツ暗号化手段によって、暗号化鍵によりコンテンツを暗号化し、暗号化コンテンツを生成する。

そして、配信用コンテンツ生成装置は、公開情報合成手段によって、暗号化鍵に基づいて復号情報生成装置で生成された公開情報と、暗号化コンテンツとを合成することで、配信用コンテンツを生成する。例えば、公開情報を暗号化コンテンツのヘッダ情報として付加することで配信用コンテンツを生成する。これによって、配信用コンテンツは、暗号化コンテンツと公開情報とが一体となったファイルあるいはストリームとして形成されることになる。
なお、公開情報を生成する復号情報生成装置は、配信用コンテンツ生成装置内に備える形態であってもよいし、ネットワークを介して相互に接続される形態であってもよい。

さらに、請求項５に記載の配信用コンテンツ生成プログラムは、暗号化されたコンテンツと、その暗号化されたコンテンツを復号するために公開された公開情報とを含んだ配信用コンテンツを生成するために、コンピュータを、暗号化鍵生成手段、コンテンツ暗号化手段、公開情報合成手段として機能させることとした。

かかる構成によれば、配信用コンテンツ生成プログラムは、暗号化鍵生成手段によって、コンテンツを暗号化する暗号化鍵を生成し、コンテンツ暗号化手段によって、暗号化鍵によりコンテンツを暗号化することで暗号化コンテンツを生成する。このコンテンツ暗号化手段は、一般的な暗号化方式、例えば、共通鍵暗号化方式によりコンテンツを暗号化する。そして、配信用コンテンツ生成プログラムは、公開情報合成手段によって、暗号化鍵に基づいて復号情報生成装置で生成された公開情報と、暗号化コンテンツとを合成することで、配信用コンテンツを生成する。これによって、配信用コンテンツは、暗号化コンテンツと公開情報とが一体となったファイルあるいはストリームとして形成される。

また、請求項６に記載のコンテンツ復号装置は、暗号化されたコンテンツを復号するための請求項１又は請求項２に記載の復号情報生成装置で生成された公開情報と秘密情報とに基づいて、前記暗号化されたコンテンツを復号するコンテンツ復号装置であって、マスタ鍵記憶手段と、秘密鍵記憶手段と、部分鍵生成手段と、秘密鍵更新手段と、暗号化鍵復号手段と、コンテンツ復号手段とを備える構成とした。

かかる構成によれば、コンテンツ復号装置は、マスタ鍵記憶手段に秘密情報の一部である利用者毎に固有の利用者マスタ鍵ＳＫ ^＊ _ｕｉｄ を記憶し、秘密鍵記憶手段に秘密情報の一部である利用者毎に固有の利用者初期秘密鍵ＳＫ _{ｕｉｄ，０} を利用者秘密鍵の初期値として記憶しておく。そして、コンテンツ復号装置は、部分鍵生成手段によって、マスタ鍵記憶手段に記憶されている利用者マスタ鍵ＳＫ ^＊ _ｕｉｄ と、公開情報として公開されている値ｔとに基づいて、利用者秘密鍵を更新する際に用いる部分鍵ＳＫ ^´ _{ｕｉｄ，ｔ} を生成する。そして、コンテンツ復号装置は、秘密鍵更新手段によって、部分鍵を利用者秘密鍵と加算することで、更新した利用者秘密鍵を生成し、秘密鍵記憶手段に記憶されている利用者秘密鍵を更新する。これによって、利用者秘密鍵は、コンテンツの配信者側で定めた値を基準に更新されることになる。例えば、この値を、時刻を示す値とすることで、秘密鍵更新手段は、指定されたある時刻における利用者秘密鍵を生成することができる。

そして、コンテンツ復号装置は、暗号化鍵復号手段によって、秘密鍵更新手段で更新された利用者秘密鍵と、公開情報と、利用者固有の識別情報とに基づいて、暗号化された暗号化鍵を復号する。そして、コンテンツ復号装置は、コンテンツ復号手段によって、復号された暗号化鍵で暗号化されたコンテンツを復号する。

さらに、請求項７に記載のコンテンツ復号装置は、請求項６に記載のコンテンツ復号装置において、前記マスタ鍵記憶手段及び前記部分鍵生成手段を、当該コンテンツ復号装置に対して脱着可能なセキュリティモジュール内に備える構成とした。

かかる構成によれば、コンテンツ復号装置は、脱着可能なセキュリティモジュール内に、マスタ鍵記憶手段及び部分鍵生成手段を備えることで、部分鍵をセキュリティモジュール内で生成し、セキュリティモジュール外で秘密鍵を更新する。例えば、セキュリティモジュールを、耐タンパ性を有するスマートカードとすることで、マスタ鍵の外部への流出が困難になる。

また、請求項８に記載のコンテンツ復号プログラムは、暗号化されたコンテンツを復号するための請求項１又は請求項２に記載の復号情報生成装置で生成された公開情報と秘密情報とに基づいて、前記暗号化されたコンテンツを復号するために、コンピュータを、秘密鍵更新手段、暗号化鍵復号手段、コンテンツ復号手段として機能させることとした。

かかる構成によれば、コンテンツ復号プログラムは、秘密鍵更新手段によって、公開情報として公開されている値ｔに基づいて、秘密情報の一部として秘密鍵記憶手段に記憶されている利用者秘密鍵を更新する。これによって、利用者秘密鍵は、コンテンツの配信者側で定めた値を基準に更新されることになる。
そして、コンテンツ復号プログラムは、暗号化鍵復号手段によって、秘密鍵更新手段で更新された利用者秘密鍵と、公開情報と、利用者固有の識別情報とに基づいて、暗号化された暗号化鍵を復号し、コンテンツ復号手段によって、復号された暗号化鍵で暗号化されたコンテンツを復号する。

請求項１又は請求項３に記載の発明によれば、利用者端末において、復号情報生成装置又はそのプログラムによって生成された復号情報（公開情報及び秘密情報）を参照することで、コンテンツの配信者側で定めた値と、コンテンツの利用者固有の識別情報とに基づいて、秘密鍵を更新することが可能になる。これによって、秘密鍵が漏洩した場合であっても、秘密鍵を更新することで以前の秘密鍵を無効にすることができ、利用者やプロバイダへの被害を最小限に食い止めることができる。

請求項２に記載の発明によれば、コンテンツの配信者側で定めた値を、時刻を示す値とすることで、利用者端末側では、時刻に基づいて秘密鍵を更新することができる。これによって、秘密鍵が漏洩した場合に、ある時刻以前の秘密鍵を無効にすることができ、コンテンツの配信者側における鍵更新の管理を容易にすることができる。

請求項４又は請求項５に記載の発明によれば、配信用コンテンツは、暗号化コンテンツと公開情報とが一体となったファイルあるいはストリームとして形成され、利用者端末側では、暗号化コンテンツに対応する公開情報を探索する必要がない。また、暗号化コンテンツを復号するための暗号化鍵は、コンテンツを利用する利用者固有の識別情報と秘密鍵とでなければ復号することができない。このため、暗号化コンテンツが、不正に流通する場合であっても、復号するための情報は、その利用者固有の識別情報から生成されたものであり、どの利用者が不正を行ったかを特定することが可能になる。また、不正に秘密鍵の複製が行われたとしても、秘密鍵は利用者毎に異なるため、不正を行った利用者を特定することが可能になる。
また、本発明によれば、不正者追跡方式と鍵隔離公開鍵暗号化方式とを連結する場合に比べ、コンテンツの暗号化を１回行うだけでよいので、ＣＰＵによる暗号化を行う演算の負荷を減らすことができる。

請求項６又は請求項８に記載の発明によれば、コンテンツの配信者側で定めた値と、コンテンツの利用者固有の秘密情報とに基づいて、秘密鍵を更新することが可能になる。これによって、秘密鍵が漏洩した場合であっても、秘密鍵を更新することで以前の秘密鍵を無効にすることができ、利用者の被害を最小限に食い止めることができる。
また、本発明によれば、不正者追跡方式と鍵隔離公開鍵暗号化方式とを連結する場合に比べ、コンテンツの復号を１回行うだけでよいので、ＣＰＵによる復号を行う演算の負荷を減らすことができる。

請求項７に記載の発明によれば、セキュリティモジュール内で、部分鍵の生成が行われるため、利用者の不注意、コンピュータウィルス等による秘密鍵を生成するための秘密情報の漏洩を防ぐことができる。また、本発明によれば、秘密鍵を、セキュリティモジュール外のメモリスティックのような汎用のメモリデバイス（外部記憶媒体）に記録することができるため、利用者は、そのメモリデバイスの持ち歩きが可能になり、利用者毎に独自に管理することができる。

以下、本発明の実施の形態について図面を参照して説明する。
［コンテンツ配信システムの構成］
まず、図１を参照して、本発明の実施の形態に係るコンテンツ配信システムの構成について説明する。図１は、コンテンツ配信システムの構成を示すブロック図である。コンテンツ配信システム１は、コンテンツのプロバイダ（配信者）側にイントラネット３で接続された復号情報生成サーバ１０と、コンテンツサーバ２０と、コンテンツ配信サーバ３０と、ゲートウェイ（ＧＷ）５とを備え、インターネット７を経由してコンテンツの利用者側の端末である利用者端末４０にコンテンツを配信するシステムである。

復号情報生成サーバ（復号情報生成装置）１０は、コンテンツサーバ２０で生成される配信用コンテンツを復号するための情報となる復号情報を生成するものである。ここで生成される復号情報には、コンテンツサーバ２０で暗号化されたコンテンツに合成され公開される公開情報と、利用者側で管理する秘密情報とが含まれる。
この復号情報生成サーバ１０は、ランダムに生成した多項式の係数に基づいて、不正者追跡（Ｔｒａｉｔｏｒ Ｔｒａｃｉｎｇ）方式による鍵となる公開鍵（以下、不正者追跡用公開鍵という）を生成し、コンテンツサーバ２０においてコンテンツを暗号化した暗号化鍵を、その不正者追跡用公開鍵で暗号化することで、公開情報を生成する。さらに、復号情報生成サーバ１０は、公開情報の生成時に使用した多項式の係数と、利用者固有の情報（ユーザＩＤ等）とに基づいて、利用者固有の秘密情報を生成する。

なお、公開情報には、プロバイダが定めた値（例えば、時刻）が含まれており、利用者側では、その値と、利用者固有の秘密情報とに基づいて、公開鍵により暗号化された暗号化鍵を復号する秘密鍵を生成する。これによって、プロバイダが定める値を変更することで、秘密鍵を更新することができる。

コンテンツサーバ（配信用コンテンツ生成装置）２０は、コンテンツを暗号化し、復号情報生成サーバ１０で生成される公開情報と合成することで、利用者側に配信するコンテンツ（配信用コンテンツ）を生成するものである。なお、コンテンツサーバ２０は、図示していない記憶手段に複数の配信用コンテンツを保持し、コンテンツ配信サーバ３０から要求のあった配信用コンテンツをコンテンツ配信サーバ３０に送信する。

コンテンツ配信サーバ３０は、利用者端末４０から要求のあったコンテンツ（配信用コンテンツ）を、コンテンツサーバ２０から取得し、利用者端末４０に送信するものである。

利用者端末（コンテンツ復号装置）４０は、利用者が所望するコンテンツ（配信用コンテンツ）をコンテンツ配信サーバ３０に対して要求し、コンテンツ配信サーバ３０から取得した配信用コンテンツを復号するものである。この利用者端末４０は、予め復号情報生成サーバ１０から、利用者固有の秘密情報を取得し秘密鍵を生成することで、配信コンテンツを復号する。

ゲートウェイ（ＧＷ）５は、イントラネット３とインターネット７との各ネットワークを接続するための装置である。このゲートウェイ５は、例えば、ＩＰルータ（ＩＰ：Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）であり、イントラネット３内への不正アクセスを防ぐファイア・ウォールの機能を有するものである。
以下、プロバイダ側の装置である復号情報生成サーバ１０、コンテンツサーバ２０及びコンテンツ配信サーバ３０の各構成と、利用者側の装置である利用者端末４０の構成とについて順次説明を行う。

（復号情報生成サーバの構成）
まず、図２を参照（適宜図１参照）して、復号情報生成サーバの構成について説明する。図２は、復号情報生成サーバの構成を示すブロック図である。ここでは、復号情報生成サーバ１０は、公開鍵生成手段１１と、秘密鍵生成手段１２と、公開情報記憶手段１３と、暗号化鍵受信手段１４と、鍵暗号化手段１５と、公開情報送信手段１６とを備えている。

公開鍵生成手段１１は、一般に公開する不正者追跡用公開鍵を生成するものである。ここで生成された不正者追跡用公開鍵は、公開情報記憶手段１３に記憶される。
この公開鍵生成手段１１は、予め２つの素数ｐ及びｑの中で、（ｐ−１）の値がｑで割り切れる値を準備しておき、数列｛１，２，…，ｑ−１｝から（ｎ＋１）×（ｍ＋１）個の値をランダムに選択し、その選択された（ｎ＋１）×（ｍ＋１）個の値を係数ａ_ｉ，ｊ｛０≦ｉ≦ｎ，０≦ｊ≦ｍ｝とする。また、公開鍵生成手段１１は、予め準備した位数ｑの乗法に関して群をなす乗法群の中から生成元ｇを１つランダムに選択する。そして、公開鍵生成手段１１は、以下の（１）式に示すように、選択された素数ｐと、生成元ｇと、その生成元ｇを係数（ａ_ｉ，ｊ）乗したべき乗値（ｙ_０，０，ｙ_０，１，…，ｙ_ｎ，ｍ）とからなる不正者追跡用公開鍵ｅを生成する。なお、この公開鍵生成手段１１で使用した係数は秘密鍵生成手段１２に出力される。また、以降の各計算は、すべてモジュロ（ｍｏｄｕｌｏ）ｐ上で行われる。

秘密鍵生成手段１２は、公開鍵生成手段１１で使用した係数（ａ_i,j｛０≦ｉ≦ｎ，０≦ｊ≦ｍ｝）と、利用者固有の情報（例えば、ユーザＩＤ）とに基づいて、利用者固有の秘密情報を生成するものである。この秘密情報には、利用者初期秘密鍵と、利用者マスタ鍵とが含まれる。この利用者初期秘密鍵は、不正者追跡用公開鍵と対になる復号鍵であって、初期段階では、利用者秘密鍵として使用されるものである。利用者マスタ鍵は、ある時刻における利用者秘密鍵から、次の時刻における利用者秘密鍵を生成するための情報である。
この秘密鍵生成手段１２は、利用者初期秘密鍵ＳＫ_uid,0を、以下の（２）式により生成する。ここで、ａ_i,0は公開鍵生成手段１１で使用した係数で、ｕｉｄは利用者固有の情報（ユーザＩＤ等）である。

また、秘密鍵生成手段１２は、利用者マスタ鍵ＳＫ^* _uidを、以下の（３）式により生成する。ここで、ａ_i,1、ａ_i,2、…、ａ_i,mは、公開鍵生成手段１１で使用した係数で、ｕｉｄは利用者固有の情報（ユーザＩＤ等）である。

この秘密鍵生成手段１２で生成された秘密情報で、利用者初期秘密鍵ＳＫ_uid,0は、フロッピー（Ｒ）ディスク、メモリスティック等の汎用の記憶媒体（外部記憶媒体）に記憶され、利用者マスタ鍵ＳＫ^* _uidは、スマートカード等のセキュリティモジュールに記憶されて利用者に配布される。なお、秘密情報は、ネットワーク（インターネット７等）を経由して、利用者端末４０に送信されることとしてもよいし、郵送、その他の配送手段によって利用者に配送されることとしてもよいが、秘密情報の漏洩を防止するために、利用者マスタ鍵ＳＫ^* _uidは、セキュリティモジュール内部に書き込まれて配布されることが望ましい。

公開情報記憶手段１３は、公開鍵生成手段１１で生成された公開鍵（不正者追跡用公開鍵）を記憶するもので、ハードディスク等の一般的な記憶装置である。この公開情報記憶手段１３に記憶されている不正者追跡用公開鍵は、鍵暗号化手段１５から読み出される。

暗号化鍵受信手段１４は、コンテンツサーバ２０がコンテンツを暗号化する際に使用した暗号化鍵を、イントラネット３を介して受信するものである。ここで受信した暗号化鍵は、鍵暗号化手段１５に出力される。

鍵暗号化手段１５は、暗号化鍵受信手段１４で受信した暗号化鍵を、公開鍵生成手段１１で生成した不正者追跡用公開鍵により暗号化するものである。なお、鍵暗号化手段１５は、プロバイダが定めた値に基づいて暗号化を行う。この値は、利用者秘密鍵を更新するための情報である。この値には、例えば、時刻を使用することで、利用者秘密鍵の更新管理を時刻に対応付けて管理することができ、管理が容易になる。
この鍵暗号化手段１５は、図示しない乱数発生手段によって乱数ｒを生成し、以下の（４）式に示すように、時刻ｔにおける公開情報ｈｅａｄ（ｔ）を生成する。ここで、Ｋ_ｓは暗号化鍵、ｇは公開鍵生成手段１１で使用した乗法群の生成元、（ｎ＋１）及び（ｍ＋１）は公開鍵生成手段１１で数列｛１，２，…，ｑ−１｝から選択された係数の個数をそれぞれ示す。

この鍵暗号化手段１５で生成された公開情報（ｈｅａｄ（ｔ））は、公開情報送信手段１６に出力される。
公開情報送信手段１６は、鍵暗号化手段１５で生成された公開情報を、イントラネット３を介してコンテンツサーバ２０に送信するものである。

このように復号情報生成サーバ１０を構成することで、復号情報生成サーバ１０は、配信用コンテンツを復号するための情報となる復号情報（秘密情報、公開情報）を生成することができる。

なお、復号情報生成サーバ１０は、一般的なコンピュータを、前記した各手段として機能させる復号情報生成プログラムとして実現することもできる。この復号情報生成プログラムは、通信回線を介して配布することも可能であるし、ＣＤ−ＲＯＭ等の記録媒体に書き込んで配布することも可能である。

（コンテンツサーバの構成）
次に、図３を参照（適宜図１参照）して、コンテンツサーバの構成について説明する。図３は、コンテンツサーバの構成を示すブロック図である。ここでは、コンテンツサーバ２０は、暗号化鍵生成手段２１と、暗号化鍵送信手段２２と、コンテンツ受信手段２３と、コンテンツ暗号化手段２４と、公開情報受信手段２５と、公開情報合成手段２６と、配信用コンテンツ記憶手段２７と、コンテンツ要求受信手段２８と、配信用コンテンツ送信手段２９とを備えている。

暗号化鍵生成手段２１は、コンテンツを暗号化するための暗号化鍵を生成するものである。ここで生成された暗号化鍵は、暗号化鍵送信手段２２及びコンテンツ暗号化手段２４に送信される。なお、この暗号化鍵は、コンテンツ暗号化手段２４で使用される暗号化鍵であり、図示していない擬似乱数発生手段、ハッシュ（Ｈａｓｈ）関数等を用いて乱数化され、鍵長を揃えたものである。

暗号化鍵送信手段２２は、暗号化鍵生成手段２１で生成された暗号化鍵を、イントラネット３を介して復号情報生成サーバ１０に送信するものである。
コンテンツ受信手段２３は、配信用のコンテンツを受信するものである。ここで受信されたコンテンツはコンテンツ暗号化手段２４に出力される。このコンテンツ受信手段２３は、例えば、図示していない記録媒体からコンテンツを読み出すものであってもよいし、ネットワーク（インターネット７等）を介して、通信データとしてコンテンツを取得するものであってもよい。

コンテンツ暗号化手段２４は、コンテンツ受信手段２３で受信した配信用のコンテンツを、暗号化鍵生成手段２１で生成された暗号化鍵で暗号化し、暗号化コンテンツを生成するものである。ここで生成された暗号化コンテンツは、公開情報合成手段２６に出力される。なお、コンテンツ暗号化手段２４は、暗号化鍵を用いて、共通鍵暗号化方式によりコンテンツを暗号化する。なお、暗号化対象となるコンテンツには、映像等のデータ量の多い情報を想定しているため、ここでは、公開鍵暗号化方式に比べて暗号化処理の速い共通鍵暗号化方式を使用することとする。例えば、ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）等の一般的な共通鍵暗号化方式でよい。

公開情報受信手段２５は、復号情報生成サーバ１０で生成される復号情報の中で、公開情報を、イントラネット３を介して受信するものである。ここで受信された公開情報は、公開情報合成手段２６に出力される。

公開情報合成手段２６は、コンテンツ暗号化手段２４で生成された暗号化コンテンツと、公開情報受信手段２５で受信した公開情報（前記（４）式参照）とを合成して、配信用コンテンツを生成するものである。ここで生成された配信用コンテンツは、固有のコンテンツ識別情報（例えばファイル名等）を付して、配信用コンテンツ記憶手段２７に記憶される。

この公開情報合成手段２６では、公開情報を暗号化コンテンツのヘッダ情報として合成することで配信用コンテンツを生成するものとする。ただし、公開情報と暗号化コンテンツとは少なくとも関連付けられていればよく、個別のデータとして管理することも可能である。しかし、管理を簡易化するために、公開情報と暗号化コンテンツとを合成して１つのデータ（ファイル、ストリーム）とすることが好ましい。

配信用コンテンツ記憶手段２７は、公開情報合成手段２６で生成された配信用コンテンツを記憶するもので、ハードディスク等の一般的な記憶装置である。この配信用コンテンツ記憶手段２７に記憶されている配信用コンテンツは、配信用コンテンツ送信手段２９から読み出される。

コンテンツ要求受信手段２８は、コンテンツ配信サーバ３０から送信される、配信用コンテンツを特定するコンテンツ識別情報を含んだコンテンツの要求（コンテンツ要求）を、イントラネット３を介して受信するものである。このコンテンツ要求受信手段２８は、コンテンツ要求に含まれる識別情報を配信用コンテンツ送信手段２９に出力する。

配信用コンテンツ送信手段２９は、コンテンツ要求受信手段２８から出力されるコンテンツ識別情報に対応する配信用コンテンツを、配信用コンテンツ記憶手段２７から読み出して、要求のあったコンテンツ配信サーバ３０に送信するものである。

このようにコンテンツサーバ２０を構成することで、コンテンツサーバ２０は、コンテンツを暗号化鍵で暗号化し、その暗号化された暗号化コンテンツと、復号情報生成サーバ１０で生成された公開情報とを関連付けて配信用コンテンツを生成することができる。
なお、コンテンツサーバ２０は、一般的なコンピュータを、前記した各手段として機能させる配信用コンテンツ生成プログラムとして実現することもできる。この配信用コンテンツ生成プログラムは、通信回線を介して配布することも可能であるし、ＣＤ−ＲＯＭ等の記録媒体に書き込んで配布することも可能である。

（コンテンツ配信サーバの構成）
次に、図４を参照（適宜図１参照）して、コンテンツ配信サーバの構成について説明する。図４は、コンテンツ配信サーバの構成を示すブロック図である。ここでは、コンテンツ配信サーバ３０は、利用者要求受信手段３１と、コンテンツ要求送信手段３２と、配信用コンテンツ受信手段３３と、配信用コンテンツ送信手段３４とを備えている。

利用者要求受信手段３１は、利用者端末４０から送信される、利用者が所望するコンテンツを示す要求（コンテンツ要求書）を、ネットワークを介して受信するものである。このコンテンツ要求書には、少なくともコンテンツを特定するためのコンテンツ識別情報と、どの利用者端末４０からの要求かを示す端末識別情報（例えば、ＩＰアドレス等）とが含まれている。この利用者要求受信手段３１は、コンテンツ識別情報をコンテンツ要求送信手段３２に出力し、端末識別情報を配信用コンテンツ送信手段３４に出力する。

コンテンツ要求送信手段３２は、利用者要求受信手段３１から出力されるコンテンツ識別情報を含んだコンテンツの要求（コンテンツ要求）を、イントラネット３を介してコンテンツサーバ２０に送信するものである。
配信用コンテンツ受信手段３３は、コンテンツ要求送信手段３２から送信したコンテンツ識別情報に対応した配信用コンテンツを、イントラネット３を介してコンテンツサーバ２０から受信するものである。この配信用コンテンツ受信手段３３は、受信した配信用コンテンツを、配信用コンテンツ送信手段３４に出力する。

配信用コンテンツ送信手段３４は、配信用コンテンツ受信手段３３で受信した配信用コンテンツを、利用者要求受信手段３１から出力される端末識別情報に対応する利用者端末４０に送信するものである。

このようにコンテンツ配信サーバ３０を構成することで、コンテンツ配信サーバ３０は、利用者端末４０から要求のあった、配信用コンテンツをコンテンツサーバ２０から取得し、要求のあった利用者端末４０に配信することができる。
なお、コンテンツ配信サーバ３０は、一般的なコンピュータを、前記した各手段として機能させるコンテンツ配信プログラムとして実現することもできる。このコンテンツ配信プログラムは、通信回線を介して配布することも可能であるし、ＣＤ−ＲＯＭ等の記録媒体に書き込んで配布することも可能である。

以上、コンテンツ配信システム１におけるプロバイダ側の各装置の構成について説明したが、本発明はこれに限定されるものではない。例えば、復号情報生成サーバ１０をコンテンツサーバ２０内に組み込んで、新たにコンテンツサーバ２０Ｂ（図示せず）として構成してもよい。あるいは、前記コンテンツサーバ２０Ｂ（図示せず）をコンテンツ配信サーバ３０内に組み込んで、新たにコンテンツ配信サーバ３０Ｂ（図示せず）として構成してもよい。
また、例えば、コンテンツ配信システム１における負荷を分散させるため、コンテンツサーバ２０を、コンテンツの種類等によって複数（コンテンツサーバ２０Ｂ、２０Ｃ…等：図示せず）備えることとしてもよい。この場合、コンテンツ配信サーバ３０は、コンテンツの種類等によって、コンテンツを要求するコンテンツサーバを切り替えて、コンテンツ要求を送信する。

（利用者端末の構成）
次に、図５を参照（適宜図１参照）して、利用者端末の構成について説明する。図５は、利用者端末の構成を示すブロック図である。ここでは、利用者端末４０は、配信用コンテンツ要求手段４１と、配信用コンテンツ受信手段４２と、公開情報分離手段４３と、固有情報分離手段４４と、セキュリティモジュール４５と、秘密鍵記憶手段４６と、秘密鍵更新手段４７と、暗号化鍵復号手段４８と、コンテンツ復号手段４９とを備えている。

配信用コンテンツ要求手段４１は、利用者が所望するコンテンツ（配信用コンテンツ）を示す要求（コンテンツ要求書）を、インターネット７を介してプロバイダ側のコンテンツ配信サーバ３０に送信するものである。例えば、配信用コンテンツ要求手段４１は、図示していない入力手段によって、利用者が所望するコンテンツを特定するコンテンツ識別情報（例えばファイル名等）を入力されることで、このコンテンツ識別情報を含んだコンテンツ要求書を生成し、コンテンツ配信サーバ３０に送信する。

配信用コンテンツ受信手段４２は、プロバイダ側のコンテンツ配信サーバ３０から、利用者が要求した配信用コンテンツを、インターネット７を介して受信するものである。ここで受信した配信用コンテンツは、公開情報分離手段４３に出力される。なお、ここで受信した配信用コンテンツには、暗号化されたコンテンツ（暗号化コンテンツ）に、公開情報ｈｅａｄ（ｔ）（前記（４）式参照）がヘッダ情報として付加（合成）されている。

公開情報分離手段４３は、配信用コンテンツ受信手段４２で受信した配信用コンテンツを、公開情報と暗号化コンテンツとに分離するものである。ここで分離された公開情報は、固有情報分離手段４４及び暗号化鍵復号手段４８に出力され、暗号化コンテンツは、コンテンツ復号手段４９に出力される。

固有情報分離手段４４は、公開情報分離手段４３で分離された公開情報から、プロバイダが定めた値（固有情報）を分離するものである。ここでは、プロバイダが定めた固有情報として、時刻が用いられていることとし、固有情報分離手段４４は、前記（４）式に示した公開情報ｈｅａｄ（ｔ）から、時刻ｔを分離することとする。ここで分離された固有情報（時刻ｔ）は、秘密鍵更新手段４７に出力される。

セキュリティモジュール４５は、利用者端末４０内部に脱着可能に組み込まれ、秘密情報の漏洩を防ぐ、耐タンパ性を有するスマートカード（ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カード）である。このセキュリティモジュール４５は、予めプロバイダ側で利用者固有の秘密情報の一部であるマスタ鍵（利用者マスタ鍵）が書き込まれ、利用者に配布されるものである。また、セキュリティモジュール４５は、内部にマスタ鍵記憶手段４５ａと、部分鍵生成手段４５ｂとを備えている。

マスタ鍵記憶手段４５ａは、利用者固有のマスタ鍵を記憶するもので、半導体メモリ等の記憶装置である。このマスタ鍵記憶手段４５ａには、復号情報生成サーバ１０の秘密鍵生成手段１２（図２参照）で生成された利用者マスタ鍵ＳＫ^* _uid（前記（３）式参照）が秘密情報として記憶される。

部分鍵生成手段４５ｂは、後記する秘密鍵更新手段４７から出力される固有情報に基づいて、利用者固有の秘密鍵（利用者秘密鍵）を更新するために用いる部分鍵を生成するものである。この部分鍵生成手段４５ｂは、マスタ鍵記憶手段４５ａに記憶されている利用者マスタ鍵に基づいて、時刻ｔにおける部分鍵ＳＫ´_uid,tを生成する。
なお、部分鍵生成手段４５ｂは、部分鍵を生成する場合、時刻ｔにおける部分鍵ＳＫ´_uid,tを、以下の（５）式により生成する。ここで、ｕｉｄは利用者固有の情報（ユーザＩＤ等）である。

秘密鍵記憶手段４６は、フロッピー（Ｒ）ディスク、メモリスティック等の汎用の記憶媒体（外部記憶媒体）であって、予めプロバイダ側で利用者固有の秘密情報の一部である秘密鍵（利用者初期秘密鍵）が書き込まれ、利用者に配布されるものである。なお、後記する秘密鍵更新手段４７によって秘密鍵が更新された場合、秘密鍵記憶手段４６には、その更新された秘密鍵（利用者秘密鍵）が記憶される。

秘密鍵更新手段４７は、固有情報分離手段４４で分離された固有情報に基づいて、秘密鍵（利用者秘密鍵）を更新するものである。ここで更新された利用者秘密鍵は、暗号化鍵復号手段４８に出力される。
なお、秘密鍵更新手段４７は、固有情報分離手段４４で分離された固有情報（時刻）と、秘密鍵記憶手段４６に記憶されている秘密鍵を生成した際の固有情報（時刻）とを比較し、固有情報が等しい場合は、利用者秘密鍵を更新せずに、そのまま利用者秘密鍵を暗号化鍵復号手段４８に出力する。

また、固有情報が異なる場合、秘密鍵更新手段４７は、固有情報分離手段４４で分離された固有情報をセキュリティモジュール４５の部分鍵生成手段４５ｂに出力し、部分鍵生成手段４５ｂによって生成される部分鍵と、秘密鍵記憶手段４６に記憶されている秘密鍵とを用いて、秘密鍵（利用者秘密鍵）を更新する。なお、秘密鍵更新手段４７は、利用者秘密鍵を更新する場合、時刻ｔにおける利用者秘密鍵ＳＫ_uid,tを、以下の（６）式により生成する。ここで、ｕｉｄは利用者固有の情報（ユーザＩＤ等）である。

前記した（５）式及び（６）式により、時刻０から時刻ｔまでの利用者秘密鍵を逐次計算することで、所望の時刻ｔにおける利用者秘密鍵ＳＫ_uid,tを生成することができる。
なお、時刻ｔ−ｋの利用者秘密鍵ＳＫ_uid,t-kが秘密鍵記憶手段４６に記憶されている場合は、前記（５）式及び（６）式に代えて以下の（７）式及び（８）式によって、時刻ｔにおける利用者秘密鍵ＳＫ_uid,tを生成することとしてもよい。

すなわち、時刻ｔにおける利用者秘密鍵ＳＫ_uid,tは、以下の（９）式より生成されたことになる。

また、秘密鍵更新手段４７は、生成された利用者秘密鍵ＳＫ_uid,tを、更新された新しい利用者秘密鍵として、秘密鍵記憶手段４６に記憶しておく。なお、秘密鍵記憶手段４６及び秘密鍵更新手段４７を、セキュリティモジュール４５内部に配置する構成としてもよい。

暗号化鍵復号手段４８は、固有情報分離手段４４で分離された固有情報に対応する利用者秘密鍵に基づいて、公開情報分離手段４３で分離された公開情報から暗号化鍵を復号して抽出するものである。ここで復号された暗号化鍵は、コンテンツ復号手段４９に出力される。この暗号化鍵復号手段４８は、公開情報分離手段４３で分離された公開情報が、ｈｅａｄ（ｔ）＝＜ｔ，（ｘ，ｘ₀，ｘ₁，ｘ₂，…，ｘ_n）＞であった場合、暗号化鍵Ｋ_sを以下の（１０）式により復号する。ここで、ｕｉｄは、利用者固有の情報（ユーザＩＤ）、ＳＫ_uid,tは時刻ｔにおける利用者秘密鍵（前記（８）式参照）である。なお、（１０）式における暗号化鍵Ｋ_sの復号の正当性については、後で証明を行うこととする。

コンテンツ復号手段４９は、暗号化鍵復号手段４８で復号された暗号化鍵を用いて、暗号化コンテンツを復号するものである。このコンテンツ復号手段４９は、公開情報分離手段４３で公開情報を分離された後の暗号化コンテンツを、暗号化鍵を用いて復号する。これによって、暗号化コンテンツは、視聴等が可能なコンテンツに復号されたことになる。

このように利用者端末４０を構成することで、利用者端末４０は、プロバイダ側に対して問い合わせ等のコンタクトを行わずに、秘密鍵更新手段４７によって、独自に利用者秘密鍵を更新することができる。これによって、例えば、利用者の不注意、コンピュータウィルス等によって、利用者秘密鍵が漏洩した場合であっても、時刻ｔにおける利用者秘密鍵ＳＫ_uid,tは漏洩してしまうが、時刻ｔ以外の利用者秘密鍵の安全性は保たれるため、利用者の被害を時刻ｔにおける被害に制限することができる。

また、利用者端末４０は、利用者マスタ鍵をセキュリティモジュール４５内に保持し、利用者秘密鍵を更新するための部分鍵の生成をセキュリティモジュール４５内で行っているため、利用者マスタ鍵が外部に漏洩することがない。これによって、利用者マスタ鍵を持たない第三者には、利用者秘密鍵を更新することが困難となり、時刻ｔ以外の利用者秘密鍵の安全性をさらに高めることができる。
また、利用者端末４０は、暗号化鍵を復号する際に、暗号化コンテンツとその復号に用いられる鍵情報とが不正に流通した場合であっても、前記（１０）式に示すように、暗号化鍵を復号する際に利用者固有の情報（ｕｉｄ：ユーザＩＤ）を用いなければならいため、不正流通を行った利用者を特定することができる。

なお、利用者端末４０は、一般的なコンピュータを、前記した各手段として機能させるコンテンツ復号プログラムとして実現することもできる。このコンテンツ復号プログラムは、通信回線を介して配布することも可能であるし、ＣＤ−ＲＯＭ等の記録媒体に書き込んで配布することも可能である。

＜利用者端末における暗号化鍵の復号について＞
ここで、利用者端末４０が、暗号化鍵復号手段４８によって、前記（１０）式で暗号化鍵を復号することが可能であることを証明しておく。
まず、公開情報分離手段４３で分離された公開情報ｈｅａｄ（ｔ）＝＜ｔ，（ｘ，ｘ₀，ｘ₁，ｘ₂，…，ｘ_n）＞は、前記（４）式の公開情報ｈｅａｄ（ｔ）＝＜ｔ，（ｙ，Ｋ_sｙ₀（ｔ）^r，ｙ₁（ｔ）^r，…，ｙ_n（ｔ）^r）＞と等しいことから、前記（１０）式の右辺は、以下の（１１）式の関係を満たす。

さらに、（１１）式のｙ、ｙ₀（ｔ）、ｙ₁（ｔ）、…、ｙ_n（ｔ）が、前記（４）式のただし書きに示した条件であることから、（１０）式の右辺は、以下の（１２）式に変形することができる。

そして、この（１２）式に対して、前記（９）式の関係により、以下の（１３）式に示した変形を行うことで、（１０）式の右辺は、暗号化鍵Ｋ_sと等しくなる。

［コンテンツ配信システムの動作］
次に、図６乃至図９を参照して、本発明の実施の形態に係るコンテンツ配信システムの動作について説明する。

（復号情報生成動作）
最初に、図６を参照（適宜図１及び図２参照）して、コンテンツ配信システム１において、配信用コンテンツを復号するための情報となる復号情報を生成する動作について説明する。図６は、コンテンツ配信システムにおいて、復号情報生成サーバが復号情報を生成する動作を示すフローチャートである。

まず、復号情報生成サーバ１０は、公開鍵生成手段１１によって、（ｐ−１）の値がｑで割り切れる素数ｐ及びｑを選択し（ステップＳ１）、数列｛１，２，…，ｑ−１｝から（ｎ＋１）×（ｍ＋１）個の値を係数ａ_i,j｛０≦ｉ≦ｎ，０≦ｊ≦ｍ｝として選択する（ステップＳ２）。そして、復号情報生成サーバ１０は、公開鍵生成手段１１によって、位数ｑの乗法に関して群をなす乗法群の生成元ｇを１つ選択する（ステップＳ３）。さらに、復号情報生成サーバ１０は、公開鍵生成手段１１によって、選択された素数ｐと、生成元ｇと、その生成元ｇを係数（ａ_i,j）乗したべき乗値（ｙ_0,0，ｙ_0,1，…，ｙ_n,m）とからなる不正者追跡用公開鍵ｅ（前記（１）式参照）を生成し（ステップＳ４）、公開情報記憶手段１３に記憶しておく（ステップＳ５）。なお、この公開情報記憶手段１３に記憶された不正者追跡用公開鍵ｅは、後記する配信用コンテンツ生成動作時に使用される。

続けて、復号情報生成サーバ１０は、秘密鍵生成手段１２によって、ステップＳ２で選択された係数ａ_i,jと、利用者固有の情報（例えば、ユーザＩＤ）とに基づいて、利用者初期秘密鍵（前記（２）式参照）を生成する（ステップＳ６）。さらに、復号情報生成サーバ１０は、秘密鍵生成手段１２によって、利用者マスタ鍵（前記（３）式参照）を生成する（ステップＳ７）。

このステップＳ６及びステップＳ７で生成された利用者初期秘密鍵及び利用者マスタ鍵は、利用者端末４０に配布される（ステップＳ８）。なお、ここでは、利用者初期秘密鍵は、メモリスティック等の汎用の記憶媒体（外部記憶媒体）に、利用者マスタ鍵は、セキュリティモジュールにそれぞれ記憶されて利用者に配布され、利用者端末４０に組み込まれるものとする。
以上の動作によって、復号情報生成サーバ１０は、配信用コンテンツを復号するための情報として、利用者固有の秘密情報を生成し、利用者（利用者端末４０）に配布することができる。

（配信用コンテンツ生成動作）
次に、図７を参照（適宜図１乃至図３参照）して、コンテンツ配信システム１において、配信用コンテンツを生成する動作について説明する。図７は、コンテンツ配信システムにおいて配信用コンテンツを生成する動作を示すフローチャートである。

まず、コンテンツサーバ２０が、コンテンツ受信手段２３によって、外部（記録媒体等）から配信の対象となるコンテンツを受信する（ステップＳ１０）。そして、コンテンツサーバ２０は、暗号化鍵生成手段２１によって、共通鍵暗号化方式のための暗号化鍵を生成する（ステップＳ１１）。そして、コンテンツサーバ２０は、コンテンツ暗号化手段２４によって、暗号化鍵を用いてコンテンツを暗号化し、暗号化コンテンツを生成する（ステップＳ１２）。さらに、コンテンツサーバ２０は、暗号化鍵送信手段２２によって、暗号化鍵を復号情報生成サーバ１０に送信する（ステップＳ１３）。

また、復号情報生成サーバ１０は、暗号化鍵受信手段１４によって、コンテンツサーバ２０からステップＳ１１で生成した暗号化鍵を受信する（ステップＳ１４）。そして、復号情報生成サーバ１０は、鍵暗号化手段１５によって、乱数を選択する（ステップＳ１５）。そして、復号情報生成サーバ１０は、ステップＳ１５で選択した乱数と、公開情報記憶手段１３に記憶されている不正者追跡用公開鍵（前記（１）式参照）と、プロバイダが定めた値（ここでは時刻）とに基づいて、暗号化鍵を暗号化し、公開情報（前記（４）式参照）を生成する（ステップＳ１６）。このステップＳ１６で生成された公開情報は、公開情報送信手段１６によって、コンテンツサーバ２０に送信される（ステップＳ１７）。

続けて、コンテンツサーバ２０が、公開情報受信手段２５によって、復号情報生成サーバ１０から公開情報を受信し（ステップＳ１８）、公開情報合成手段２６によって、ステップＳ１２で生成した暗号化コンテンツに公開情報をヘッダ情報として合成することで、配信用コンテンツを生成する（ステップＳ１９）。なお、配信用コンテンツは配信用コンテンツ記憶手段２７に記憶される。
以上の動作によって、コンテンツサーバ２０は、暗号化した暗号化コンテンツに、復号情報生成サーバ１０で生成された公開情報を合成し、配信用コンテンツを生成することができる。

（配信用コンテンツ配信動作）
次に、図８を参照（適宜図１、図３乃至図５参照）して、コンテンツ配信システム１において、コンテンツ（配信用コンテンツ）を配信する動作について説明する。図８は、コンテンツ配信システムにおいて、配信用コンテンツを配信する動作を示すフローチャートである。
まず、利用者端末４０が、配信用コンテンツ要求手段４１によって、利用者が所望するコンテンツを示すコンテンツ識別情報を含んだコンテンツ要求書を生成し（ステップＳ２０）、コンテンツ配信サーバ３０に送信する（ステップＳ２１）。

また、コンテンツ配信サーバ３０が、利用者要求受信手段３１によって、利用者端末４０からコンテンツ要求書を受信し（ステップＳ２２）、コンテンツ要求送信手段３２によって、そのコンテンツ要求書に記載されているコンテンツの識別情報（ファイル名等のコンテンツ識別情報）をコンテンツ要求として、コンテンツサーバ２０に送信する（ステップＳ２３）。

そして、コンテンツサーバ２０が、コンテンツ要求受信手段２８によって、コンテンツ配信サーバ３０からコンテンツ要求を受信し（ステップＳ２４）、配信用コンテンツ送信手段２９によって、該当するコンテンツ（配信用コンテンツ）を配信用コンテンツ記憶手段２７から読み出して（ステップＳ２５）、コンテンツ配信サーバ３０に送信する（ステップＳ２６）。

そして、コンテンツ配信サーバ３０が、配信用コンテンツ受信手段３３によって、コンテンツサーバ２０から配信用コンテンツを受信し（ステップＳ２７）、配信用コンテンツ送信手段３４によって、その配信用コンテンツを、要求のあった利用者端末４０に送信する（ステップＳ２８）。
そして、利用者端末４０が、配信用コンテンツ受信手段４２によって、配信用コンテンツを受信する（ステップＳ２９）。
以上の動作によって、コンテンツ配信サーバ３０が、要求のあった利用者端末４０に配信用コンテンツを送信（配信）することができる。

（配信用コンテンツ復号動作）
次に、図９を参照（適宜図１及び図５参照）して、コンテンツ配信システム１において、コンテンツ（配信用コンテンツ）を復号する動作について説明する。図９は、利用者端末が配信用コンテンツを復号する動作を示すフローチャートである。

まず、利用者端末４０は、配信用コンテンツ受信手段４２によって、コンテンツ配信サーバ３０から配信用コンテンツを受信する（ステップＳ３０）。そして、利用者端末４０は、公開情報分離手段４３によって、配信用コンテンツを、公開情報と暗号化コンテンツとに分離する（ステップＳ３１）。さらに、利用者端末４０は、固有情報分離手段４４によって、ステップＳ３１で分離した公開情報から、プロバイダが定めた固有情報（時刻）を分離する（ステップＳ３２）。

そして、利用者端末４０は、秘密鍵更新手段４７によって、秘密鍵記憶手段４６に記憶されている利用者秘密鍵と、セキュリティモジュール４５内のマスタ鍵記憶手段４５ａに記憶されている利用者マスタ鍵と、固有情報（時刻）とにより利用者秘密鍵を更新（前記（５）式及び（６）式若しくは前記（７）式及び（８）式参照）する（ステップＳ３３）。
また、利用者端末４０は、暗号化鍵復号手段４８によって、ステップＳ３３で更新された利用者秘密鍵を用いて、ステップＳ３１で分離した公開情報から暗号化鍵を復号（前記（１０）式参照）する（ステップＳ３４）。

そして、利用者端末４０は、コンテンツ復号手段４９によって、ステップＳ３４で復号された暗号化鍵を用いて、暗号化コンテンツを復号する（ステップＳ３５）。この段階で、利用者は、復号されたコンテンツを視聴することが可能になる。
以上の動作によって、利用者端末４０は、端末個別に保有する秘密情報（利用者初期秘密鍵及び利用者マスタ鍵）でのみ更新される利用者秘密鍵によって、暗号化鍵を復号し、その暗号化鍵によって、暗号化コンテンツを復号することができる。

本発明に係るコンテンツ配信システムの構成を示すブロック図である。 復号情報生成サーバ（復号情報生成装置）の構成を示すブロック図である。 コンテンツサーバ（配信用コンテンツ生成装置）の構成を示すブロック図である。 コンテンツ配信サーバの構成を示すブロック図である。 利用者端末（コンテンツ復号装置）の構成を示すブロック図である。 コンテンツ配信システムにおいて、復号情報生成サーバが復号情報を生成する動作を示すフローチャートである。 コンテンツ配信システムにおいて、配信用コンテンツを生成する動作を示すフローチャートである。 コンテンツ配信システムにおいて、配信用コンテンツを配信する動作を示すフローチャートである。 利用者端末が配信用コンテンツを復号する動作を示すフローチャートである。

符号の説明

１ コンテンツ配信システム
１０ 復号情報生成サーバ（復号情報生成装置）
１１ 公開鍵生成手段
１２ 秘密鍵生成手段
１３ 公開情報記憶手段
１４ 暗号化鍵受信手段
１５ 鍵暗号化手段
１６ 公開情報送信手段
２０ コンテンツサーバ（配信用コンテンツ生成装置）
２１ 暗号化鍵生成手段
２２ 暗号化鍵送信手段
２３ コンテンツ受信手段
２４ コンテンツ暗号化手段
２５ 公開情報受信手段
２６ 公開情報合成手段
２７ 配信用コンテンツ記憶手段
２８ コンテンツ要求受信手段
２９ 配信用コンテンツ送信手段
３０ コンテンツ配信サーバ
３１ 利用者要求受信手段
３２ コンテンツ要求送信手段
３３ 配信用コンテンツ受信手段
３４ 配信用コンテンツ送信手段
４０ 利用者端末（コンテンツ復号装置）
４１ 配信用コンテンツ要求手段
４２ 配信用コンテンツ受信手段
４３ 公開情報分離手段
４４ 固有情報分離手段
４５ セキュリティモジュール
４５ａ マスタ鍵記憶手段
４５ｂ 部分鍵生成手段
４６ 秘密鍵記憶手段
４７ 秘密鍵更新手段
４８ 暗号化鍵復号手段
４９ コンテンツ復号手段

Claims (8)

1. 暗号化されたコンテンツを復号するために公開される公開情報と、前記コンテンツを復号する側で秘密の情報となる秘密情報とを復号情報として生成する復号情報生成装置であって、
   （ｐ−１）の値がｑで割り切れる素数ｐ及びｑについて、位数ｑの乗法に関して群をなす乗法群から選択された生成元ｇを、数列｛１，２，…，ｑ−１｝から選択された（ｎ＋１）×（ｍ＋１）個の係数ａ _ｉ，ｊ ｛０≦ｉ≦ｎ，０≦ｊ≦ｍ｝によりべき乗することで、前記係数分のべき乗値を含んだ公開鍵ｅを
   

   

   により生成する公開鍵生成手段と、
   この公開鍵生成手段で用いられた前記複数の係数と、前記コンテンツを利用する利用者毎に固有の識別情報ｕｉｄとに基づいて、前記利用者毎に固有の秘密情報として、利用者初期秘密鍵ＳＫ _{ｕｉｄ，０} を
   

   

   により生成するとともに、利用者マスタ鍵ＳＫ ^＊ _ｕｉｄ を
   

   

   により生成する秘密鍵生成手段と、
   前記コンテンツを暗号化した暗号化鍵Ｋ _ｓ を、前記公開鍵生成手段によって生成された公開鍵ｅと、前記コンテンツの配信者側で定めた値ｔと、乱数ｒとに基づいて
   

   

   により暗号化し、前記公開情報ｈｅａｄ（ｔ）を生成する鍵暗号化手段と、
   を備えていることを特徴とする復号情報生成装置。
2. 前記鍵暗号化手段で用いられる値ｔが、時刻を示す値であることを特徴とする請求項１に記載の復号情報生成装置。
3. 暗号化されたコンテンツを復号するために公開される公開情報と、前記コンテンツを復号する側で秘密の情報となる秘密情報とを復号情報として生成するために、コンピュータを、
   （ｐ−１）の値がｑで割り切れる素数ｐ及びｑについて、位数ｑの乗法に関して群をなす乗法群から選択された生成元ｇを、数列｛１，２，…，ｑ−１｝から選択された（ｎ＋１）×（ｍ＋１）個の係数ａ _ｉ，ｊ ｛０≦ｉ≦ｎ，０≦ｊ≦ｍ｝によりべき乗することで、前記係数分のべき乗値を含んだ公開鍵ｅを
   

   

   により生成する公開鍵生成手段、
   この公開鍵生成手段で用いられた前記複数の係数と、前記コンテンツを利用する利用者毎に固有の識別情報ｕｉｄとに基づいて、前記利用者毎に固有の秘密情報として、利用者初期秘密鍵ＳＫ _{ｕｉｄ，０} を
   

   

   により生成するとともに、利用者マスタ鍵ＳＫ ^＊ _ｕｉｄ を
   

   

   により生成する秘密鍵生成手段、
   前記コンテンツを暗号化した暗号化鍵を、前記公開鍵生成手段によって生成された公開鍵ｅと、前記コンテンツの配信者側で定めた値ｔと、乱数ｒとに基づいて
   

   

   により暗号化し、前記公開情報ｈｅａｄ（ｔ）を生成する鍵暗号化手段、
   として機能させることを特徴とする復号情報生成プログラム。
4. 暗号化されたコンテンツと、その暗号化されたコンテンツを復号するために公開された公開情報とを含んだ配信用コンテンツを生成する配信用コンテンツ生成装置であって、
   前記コンテンツを暗号化する暗号化鍵を生成する暗号化鍵生成手段と、
   この暗号化鍵生成手段で生成された暗号化鍵に基づいて、前記コンテンツを暗号化して暗号化コンテンツを生成するコンテンツ暗号化手段と、
   このコンテンツ暗号化手段によって生成された暗号化コンテンツと、前記暗号化鍵により請求項１又は請求項２に記載の復号情報生成装置で生成された公開情報とを合成することで前記配信用コンテンツを生成する公開情報合成手段と、
   を備えていることを特徴とする配信用コンテンツ生成装置。
5. 暗号化されたコンテンツと、その暗号化されたコンテンツを復号するために公開された公開情報とを含んだ配信用コンテンツを生成するために、コンピュータを、
   前記コンテンツを暗号化する暗号化鍵を生成する暗号化鍵生成手段、
   この暗号化鍵生成手段で生成された暗号化鍵に基づいて、前記コンテンツを暗号化して暗号化コンテンツを生成するコンテンツ暗号化手段、
   このコンテンツ暗号化手段によって生成された暗号化コンテンツと、前記暗号化鍵により請求項１又は請求項２に記載の復号情報生成装置で生成された公開情報とを合成することで前記配信用コンテンツを生成する公開情報合成手段、
   として機能させることを特徴とする配信用コンテンツ生成プログラム。
6. 暗号化されたコンテンツを復号するための請求項１又は請求項２に記載の復号情報生成装置で生成された公開情報と秘密情報とに基づいて、前記暗号化されたコンテンツを復号するコンテンツ復号装置であって、
   前記秘密情報の一部である利用者マスタ鍵ＳＫ ^＊ _ｕｉｄ を記憶するマスタ鍵記憶手段と、
   前記秘密情報の一部である利用者初期秘密鍵ＳＫ _{ｕｉｄ，０} を利用者秘密鍵の初期値として記憶する秘密鍵記憶手段と、
   前記マスタ鍵記憶手段に記憶されている利用者マスタ鍵ＳＫ ^＊ _ｕｉｄ と、前記公開情報として公開されている値ｔとに基づいて、前記秘密鍵記憶手段に記憶されている利用者秘密鍵を更新する際に用いる部分鍵ＳＫ ^´ _{ｕｉｄ，ｔ} を
   

   

   により生成する部分鍵生成手段と、
   この部分鍵生成手段で生成された部分鍵を利用者秘密鍵と加算することで、更新した利用者秘密鍵を生成し、前記秘密鍵記憶手段に記憶されている利用者秘密鍵を更新する秘密鍵更新手段と、
   この秘密鍵更新手段で更新された利用者秘密鍵をＳＫ _{ｕｉｄ，ｔ} 、前記公開情報をｈｅａｄ（ｔ）＝＜ｔ，（ｘ，ｘ _０ ，ｘ _１ ，ｘ _２ ，…，ｘ _ｎ ）＞、前記利用者固有の識別情報をｕｉｄとしたとき、暗号化された暗号化鍵Ｋ_ｓ を
   

   

   により復号する暗号化鍵復号手段と、
   この暗号化鍵復号手段で復号された暗号化鍵に基づいて、前記暗号化されたコンテンツを復号するコンテンツ復号手段と、
   を備えていることを特徴とするコンテンツ復号装置。
7. 前記マスタ鍵記憶手段及び前記部分鍵生成手段を、当該コンテンツ復号装置に対して脱着可能なセキュリティモジュール内に備えていることを特徴とする請求項６に記載のコンテンツ復号装置。
8. 暗号化されたコンテンツを復号するための請求項１又は請求項２に記載の復号情報生成装置で生成された公開情報と秘密情報とに基づいて、前記暗号化されたコンテンツを復号するために、コンピュータを、
   セキュリティモジュール内の部分鍵生成手段によって、セキュリティモジュール内のマスタ鍵記憶手段に記憶されている前記秘密情報の一部である利用者マスタ鍵ＳＫ ^＊ _ｕｉｄ と、前記公開情報として公開されている値ｔとに基づいて、秘密鍵記憶手段に利用者秘密鍵の初期値として記憶されている前記秘密情報の一部である利用者初期秘密鍵ＳＫ _{ｕｉｄ，０} から、
   

   

   により生成された部分鍵ＳＫ ^´ _{ｕｉｄ，ｔ} を利用者秘密鍵と加算することで、更新した利用者秘密鍵を生成し、前記秘密鍵記憶手段に記憶されている利用者秘密鍵を更新する秘密鍵更新手段、
   この秘密鍵更新手段で更新された利用者秘密鍵をＳＫ _{ｕｉｄ，ｔ} 、前記公開情報をｈｅａｄ（ｔ）＝＜ｔ，（ｘ，ｘ _０ ，ｘ _１ ，ｘ _２ ，…，ｘ _ｎ ）＞、前記利用者固有の識別情報をｕｉｄとしたとき、暗号化された暗号化鍵Ｋ _ｓ を
   

   

   により復号する暗号化鍵復号手段、
   この暗号化鍵復号手段で復号された暗号化鍵に基づいて、前記暗号化されたコンテンツを復号するコンテンツ復号手段、
   として機能させることを特徴とするコンテンツ復号プログラム。

Images