JP2004515159A - 条件付きアクセス・システムのためのしきい値暗号方法およびシステム - Google Patents

Abstract

サービス・プロバイダのイベントを表す信号へのアクセスを管理するための方法および装置であって、スクランブル鍵を使用してスクランブルされた前記信号をスマート・カード中で受け取ること、第１のシェアを表すデータを前記スマート・カード中で受け取ること、前記第１のシェアと前記スマート・カードに記憶された少なくとも１つの追加シェアとを使用して前記スクランブル鍵を構成すること、および、前記構成したスクランブル鍵を使用して前記信号をスクランブル解除して、スクランブル解除済み信号を生成することを含み、前記スクランブル鍵を構成するステップは、前記第１のシェアおよび前記少なくとも１つの追加シェアによってユークリッド平面上に形成される曲線のＹ切片を計算することを含んでいる。

Description

【０００１】
（発明の分野）
本発明は、放送テレビジョン・ネットワーク、ケーブル・テレビジョン・ネットワーク、ディジタル衛星システム、インターネット・サービス・プロバイダなど様々なソース（ｓｏｕｒｃｅ：源）からのスクランブル済み（ｓｃｒａｍｂｌｅｄ）受信オーディオ／ビジュアル（Ａｕｄｉｏ／Ｖｉｓｕａｌ：Ａ／Ｖ）信号への条件付きアクセス（ｃｏｎｄｉｔｉｏｎａｌ　ａｃｃｅｓｓ）を提供する（即ち、アクセスを管理する）ためのシステムに関する。秘密分散（ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ）の概念を利用することにより、このシステムは、完全なスクランブル解除鍵（ｄｅｓｃｒａｍｂｌｉｎｇ　ｋｅｙ）を暗号化（ｅｎｃｒｙｐｔｉｏｎ）して受信装置に送信することを必要としない。鍵（ｋｅｙ：キー）は、サービス・プロバイダから受信した少なくとも１つのシェア（ｓｈａｒｅ：分担、割り当て、一部、断片）と、装置に記憶された少なくとも２つのシェア（ｓｈａｒｅ）を使用して回復される。
【０００２】
（発明の背景）
今日、ユーザは、放送テレビジョン・ネットワーク、ケーブル・テレビジョン・ネットワーク、ディジタル衛星システム、インターネット・サービス・プロバイダなど様々なサービス・プロバイダからサービスを受けることができる。ほとんどのテレビジョン受信機は、放送ネットワークおよびケーブル・ネットワークから、スクランブルされていない情報または番組を直接受信することができる。スクランブルされた番組を提供するケーブル・ネットワークは、通常、番組をスクランブル解除するための別個の独立型セットトップ・ボックス（ＳＴＢ）を必要とする。同様に、通常、ディジタル衛星システムも別個のセットトップ・ボックスの使用をやはり必要とするスクランブル済みプログラムを提供する。これらのセットトップ・ボックスは、スクランブル解除鍵を回復するために必要な鍵を含む取り外し可能なスマート・カードを利用することがある。番組の未許可コピーを防止するためには、これらの重要な鍵を保護することが最優先事項である。
【０００３】
条件付きアクセス・システム（ＣＡＳ：Ｃｏｎｄｉｔｉｏｎａｌ　Ａｃｃｅｓｓ　Ｓｙｓｔｅｍ）は、限定受信方式とも呼ばれ、支払い、および／または許可や識別や登録など他の要件に基づいて、サービス（例えば、テレビジョン、インターネットなど）へのアクセスを可能にする。条件付きアクセス・システムでは、ユーザ（加入者（ｓｕｂｓｃｒｉｂｅｒ））が、サービス・プロバイダとサービス契約を結んでアクセス権を得る。
【０００４】
図７に、従来の条件付きアクセス・システム・アーキテクチャを示す。情報またはコンテンツ（例えば、テレビジョン番組、映画など）および権利の付与メッセージ（ｅｎｔｉｔｌｅｍｅｎｔ　ｍｅｓｓａｇｅ）が、保護（例えば、暗号化）された後で加入者に配信される。現在、各番組またはサービスに関連する権利の付与メッセージには２つのタイプがある。権利の付与制御メッセージ（ＥＣＭ：Ｅｎｔｉｔｌｅｍｅｎｔ　Ｃｏｎｔｒｏｌ　Ｍｅｓｓａｇｅ）は、スクランブル解除鍵（「制御ワード（ｃｏｎｔｒｏｌ　ｗｏｒｄ）」と呼ばれることもある）および番組の簡単な記述（例えば、番組番号、日付、時間、コストなど）を伝える。権利の付与管理メッセージ（ＥＭＭ：Ｅｎｔｉｔｌｅｍｅｎｔ　Ｍａｎａｇｅｍｅｎｔ　Ｍｅｓｓａｇｅ）は、サービスに関係する許可レベル（例えば、サービス・タイプ、サービス継続時間などを示す）を指定する。権利の付与管理メッセージ（ＥＭＭ）は、サービスと同じチャネル上で配信することもでき、あるいは電話回線など別個のチャネル上で送信することもできる。通常、権利の付与制御メッセージ（ＥＣＭ）は、多重化されて関連の番組と共に送信される。
【０００５】
図８に、図７に示したものなどの条件付きアクセス・システムに関する従来の送信側アーキテクチャを示す。図から分かるように、サービスからのオーディオ、ビデオ、およびデータのストリームが、多重化された後でスクランブルされ、変調され、受信側（即ち、加入者）に送信される。
【０００６】
図９に、図７に示したものなどの条件付きアクセス・システムに関する従来の受信側アーキテクチャを示す。図から分かるように、受信ビット・ストリームが復調され、復号され、圧縮解除された後に、別々のオーディオ、ビデオ、およびデータのストリームが表示装置（例えば、テレビジョン画面）に送られる。
【０００７】
暗号化に基づく技術は、配信コンテンツを保護するために広く使用されている。保護された特定の番組を視聴することが加入者に許可されている場合、この番組はスクランブル解除（ｄｅｓｃｒａｍｂｌｅ：デスクランブル）され、視聴のために表示装置（例えば、テレビジョン画面）に送られる。ほとんどの条件付きアクセス・システムでは、加入者は、権利の付与管理メッセージ（ＥＭＭ）および権利の付与制御メッセージ（ＥＣＭ）に基づいて、番組をスクランブル解除するためのスマート・カード（ｓｍａｒｔ　ｃａｒｄ）を備えるディジタル装置（例えば、セットトップ・ボックス、ディジタル・テレビジョン、ディジタル・ビデオカセット・レコーダ）を有することになる。
【０００８】
通常、番組は、データ暗号化規格（ＤＥＳ：Ｄａｔａ　Ｅｎｃｒｙｐｔｉｏｎ　Ｓｔａｎｄａｒｄ）などの対称暗号を用いてスクランブルされる。セキュリティの理由から、スクランブル鍵（従って、権利の付与制御メッセージ（ＥＣＭ））は頻繁に変更され、変更期間はおよそ数秒である。条件付きアクセス・プロバイダは、権利の付与制御メッセージ（ＥＣＭ）の保護を秘密に定めることが多いものの、公開鍵暗号法（ｐｕｂｌｉｃ　ｋｅｙ　ｃｒｙｐｔｏｇｒａｐｈｙ）が、鍵をサービス・プロバイダから加入者まで伝送するための実行可能なツールである。スクランブル解除鍵は、送信側で公開鍵（ｐｕｂｌｉｃ　ｋｅｙ）により暗号化され、受信側で対応する秘密鍵（ｐｒｉｖａｔｅ　ｋｅｙ）（受信側のスマート・カードに記憶されている）により回復される。
【０００９】
しかし、公開鍵暗号法には重大な欠点がある。例えば、公開鍵方式は、対称鍵方式よりも著しく時間が掛かり、しばしばより長い鍵（より多くの英数字を含む鍵）を有する。更に、鍵を回復するには、計算上の要求の厳しいアルゴリズム（ＲＳＡ（Ｒｉｖｅｓｔ‐Ｓｈａｍｉｒ‐Ａｄｌｅｍａｎ）暗号など）が必要である。
【００１０】
これらのディジタル装置において、セキュリティ機能をナビゲーション機能（即ち、チャネル・サーフィン）から分離することは重要である。分離することにより、装置メーカは、特定の条件付きアクセス・システムに依存せずに動作する装置を製造することができる。これは以下の２つの理由により重要である。
【００１１】
（１）最近まで、セットトップ・ボックスは小売店で容易に入手可能ではなく、加入者に直接配送するケーブル会社向けに製造されてきた。主要な家電メーカおよび電子機器小売店は、独占的であるとしてこの慣例に反発してきた。
【００１２】
（２）セキュリティの観点から見ると、鍵が不正に見つけられた（「ハッキング（ｈａｃｋ）」）場合、条件付きアクセス・プロバイダは、影響を受ける装置（例えば、セットトップ・ボックス）中のスマート・カードを入れ替えるだけでよく、システム全体を再構成する必要はない。
【００１３】
従って、現在、しきい値暗号法（ｔｈｒｅｓｈｏｌｄ　ｃｒｙｐｔｏｇｒａｐｈｙ）など、公開鍵暗号法以外の概念を利用する情報保護の方式が必要とされている。
【００１４】
（発明の概要）
本発明は、サービス・プロバイダのイベント（ｅｖｅｎｔ）を表す信号へのアクセスを、スマート・カードを利用して管理するための方法および装置を定める。即ち、この方法は、対称スクランブル鍵を使用してスクランブルされた信号をスマート・カード中で受け取ること、第１のシェアを表すデータを受け取ること、第１のシェアとスマート・カードに記憶された少なくとも２つの追加シェアとを使用してスクランブル鍵を構成すること、および、構成したスクランブル鍵を使用して信号をスクランブル解除して、スクランブル解除済み信号を生成することを含んでいる。
【００１５】
本発明の第２の例示的な実施形態によれば、第１、第２、第３のシェアを使用する。第１、第２、第３のシェアは、ユークリッド平面上の点であり、スクランブル鍵を構成するステップは、第１、第２、第３のシェアによってユークリッド平面上に形成される放物曲線のＹ切片を計算することを含んでいる。
【００１６】
本発明の第３の例示的な実施形態によれば、第１、第２、第３、第４のシェアを使用する。第１、第２、第３、第４のシェアは、ユークリッド平面上の点であり、スクランブル鍵を構成するステップは、第１、第２、第３、第４のシェアによってユークリッド平面上に形成される曲線のＹ切片を計算することを含んでいる。一般に、必要とされるセキュリティ・レベルに応じて、任意の数のシェアを使用することができる。
【００１７】
（実施形態の詳細な説明）
通常、条件付きアクセス（ＣＡ：Ｃｏｎｄｉｔｉｏｎａｌ　Ａｃｃｅｓｓ）システムでは、信号は、データ暗号化規格（ＤＥＳ）などの対称暗号（秘密鍵暗号）を使用してスクランブルされる。セキュリティの理由から、スクランブル鍵は頻繁に変更され、変更期間はおよそ数秒である。スクランブル解除鍵（信号と共に送信される）の保護は、公開鍵暗号法で行われることが多く、公開鍵暗号法は、先に説明したように比較的多くの計算パワーおよびメモリを必要とする。本発明は、一部には、上述の問題を認識することにあり、また一部には、この問題への解決法を提供することにある。
【００１８】
本明細書で述べる信号（例えば、イベントや番組）には、（１）オーディオ／ビジュアル・データ（例えば、映画、毎週の「テレビ」ショーまたはドキュメンタリー）、（２）テキスト・データ（例えば、電子雑誌、新聞、または天気ニュース）、（３）コンピュータ・ソフトウェア、（４）バイナリ・データ（例えば、画像）、（５）ＨＴＭＬデータ（例えば、ウェブ・ページ）などの情報、あるいは、アクセス制御が必要な他の任意の情報が含まれる。サービス・プロバイダには、イベントをブロードキャストする任意のプロバイダ、例えば従来の放送テレビジョン・ネットワーク、ケーブル・ネットワーク、ディジタル衛星ネットワークや、電子番組ガイド（ＥＰＧ）プロバイダなど電子イベント・リストのプロバイダが含まれ、場合によってはインターネット・サービス・プロバイダが含まれる。
【００１９】
本発明は、スクランブル解除鍵を安全に伝送するための方法および装置を提供する。本発明は、番組またはサービスが複数のソースのうちの１つから得られる条件付きアクセス・システムで特に使用することができる。この方法をディジタル・テレビジョンやディジタル・ビデオ・カセット・レコーダやセットトップ・ボックスなどの装置内で実施するとき、鍵構成に必要なデータの一部だけしか装置に記憶されないので、この方法は、スクランブル解除鍵の好都合な管理をもたらす。説明を簡単にするために、以下の本発明の記述では、ディジタル・テレビジョンおよびスマート・カードを使用する実装形態を対象とする。
【００２０】
図１で、システム３０は、ディジタル・テレビジョン（ＤＴＶ）４０へのアクセスを管理するための一般的なアーキテクチャを表す。スマート・カード（ＳＣ）４２が、ディジタル・テレビジョン（ＤＶＴ）４０のスマート・カード・リーダ４３に挿入されるかまたは結合される。内部バス４５が、ディジタル・テレビジョン（ＤＶＴ）４０とスマート・カード（ＳＣ）４２を相互接続し、それによってこれらの間のデータ転送を可能にする。このようなスマート・カードには、ナショナル・リニューアブル・セキュリティ規格（ＮＲＳＳ：Ｎａｔｉｏｎａｌ　Ｒｅｎｅｗａｂｌｅ　Ｓｅｃｕｒｉｔｙ　Ｓｔａｎｄａｒｄ）パートＡに準拠して表面に複数の端子ピンが配置されたカード本体を有するＩＳＯ７８１６カードや、ＮＲＳＳパートＢに準拠するＰＣＭＣＩＡカードが含まれる。
【００２１】
ディジタル・テレビジョン（ＤＶＴ）４０は、放送テレビジョンＳＰ（Ｓｅｒｖｉｃｅ　Ｐｒｏｖｉｄｅｒ）５０、ケーブル・テレビジョンＳＰ５２、衛星システムＳＰ５４、インターネットＳＰ５６など、複数のサービス・プロバイダ（ＳＰ）からサービスを受ける機能を有する。条件付きアクセス組織（ＣＡ）７５は、サービス・プロバイダとディジタル・テレビジョン（ＤＶＴ）４０のどちらにも直接には接続されないが、鍵管理を行い、公開鍵と秘密鍵の対を発行する。鍵の対は、必要な場合に後述のように使用することができる。
【００２２】
本発明は、公開鍵暗号法（または、他の任意の暗号システム）を使用するための要件を無くす秘密分散の概念を採用して、オーディオ／ビジュアル（Ａ／Ｖ）ストリームがサービス・プロバイダ（例えば、ＳＰ５０〜５６）から加入者のスマート・カード（例えば、スマート・カード（ＳＣ）４２）に安全に送信されるようにする。
【００２３】
本発明は、アジ・シャミル氏（Ａｄｉ　Ｓｈａｍｉｒ）によって元々開発された、「しきい値法（ｔｈｒｅｓｈｏｌｄ　ｓｃｈｅｍｅ）」または「しきい値暗号法（ｔｈｒｅｓｈｏｌｄ　ｃｒｙｐｔｏｇｒａｐｈｙ）」として知られる秘密分散法（ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｓｃｈｅｍｅ）の適用を採用する（Ａ．Ｓｈａｍｉｒ「Ｈｏｗ　ｔｏ　ｓｈａｒｅ　ａ　ｓｅｃｒｅｔ」Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ　ｏｆ　ｔｈｅ　ＡＣＭ、Ｖｏｌ．２２、Ｎｏ．１１、６１２〜６１３ページ、１９７９年１１月参照）。シャミル氏によって提案されるような（ｔ，ｎ）しきい値法は、秘密（情報）（ｓｅｃｒｅｔ）を再構成するために断片のうち少なくともｔ個（≦ｎ）が必要になるような形式で、秘密をｎ個の断片（「シェア（ｓｈａｒｅ）」または「シャドウ（ｓｈａｄｏｗ）」と呼ばれることがある）に分割するものである。完全なしきい値法は、（ｔ−１）個以下の断片（「シェア」または「シャドウ」）がわかっても、秘密に関する情報は何も提供されないしきい値法である。
【００２４】
例えば、（３，４）しきい値法では、秘密は４つのシェアに分割されるが、秘密鍵を再構成するには３つのシェアしか必要でない。ただし２つのシェアでは秘密鍵を再構成することはできない。シャミル氏の（ｔ，ｎ）しきい値法では、より大きい値をｔに選択して（ｔ−１）個の秘密をスマート・カードに記憶すれば、暗号文攻撃に対するシステムの抵抗力は高まるものの、多項式を構成するための計算はより多くなる。
【００２５】
このようなしきい値法は、対称鍵を回復する際のスマート・カードに対する計算要件を削減する。モジュラー（ｍｏｄｕｌａｒ）べき乗計算を必要とするＲＳＡ（Ｒｉｖｅｓｔ‐Ｓｈａｍｉｒ‐Ａｄｌｅｍａｎ）復号と比較して、新しい鍵それぞれにつき単純な操作が行われるだけである（即ち、ｘ＝０における多項式の値が計算される）。加えて、セキュリティは完全である（即ち、（ｘ_１，ｙ_１）が分っても、秘密の値はすべて依然として等しい確率を有する）。
【００２６】
本発明は、条件付きアクセス・システムで、シャミル氏の秘密分散の原理を利用して、スクランブル済み信号をスクランブル解除するための鍵の識別を秘匿する。具体的には、本発明者は、ユークリッド平面（Ｅｕｃｌｉｄｅａｎ　ｐｌａｎｅ）中の２つ以上の点で形成される特定の線または曲線のＹ切片（Ｙ−ｉｎｔｅｒｃｅｐｔ）がスクランブル鍵を構成する方式を提案する。
【００２７】
この方式の最も単純な実施形態では、受信側（例えば、スマート・カード）は、あらかじめシェアが記憶された状態で製造される（後述の通り、これはしばしば「予め組み込まれた（ｐｒｅｐｏｓｉｔｉｏｎｅｄ）」分散秘密法と呼ばれる）。この記憶されたシェアを使用して、送信側で信号をスクランブルするための鍵を計算する。スクランブルされた信号を送信するとき、追加の、即ち、「アクティブ化（ａｃｔｉｖａｔｉｎｇ）」シェアも一緒に送信する。アクティブ化シェアを知っていても記憶済みシェアを知らなければ意味がないので、この方式では「アクティブ化」シェアを暗号化する必要はないことに留意されたい。受信側は、「アクティブ化」シェアを受け取ると、記憶済みシェアと「アクティブ化」シェアとによって形成される線のＹ切片を見つけることによって計算されるスクランブル解除鍵を使用して、スクランブル済み信号を再構成する。新しい鍵が必要になる度に、送信側で新しい「アクティブ化」シェアを選択し、それにより記憶済みシェアと「アクティブ化」シェアとによって形成される線のＹ切片を変更することができる。このようにして、有限数のスクランブル鍵を定義し、スマート・カードも受信側ハードウェアまたはソフトウェアも変更せずにスクランブル鍵を利用することができる。
【００２８】
鍵の生成および配布のプロセスは、以下のステップを実施するためのプログラムを開発することによって自動化することができる。
（ａ）秘密Ｓを選択する。これはユークリッド平面のＹ軸に沿った値となる。
（ｂ）点（０，Ｓ）と別の点（ｘ_０，ｙ_０）を通る１次多項式ｆ（ｘ）を構成する。
（ｃ）ｘ_１におけるｆ（ｘ）を計算する。ｘ_１はｘ_０と等しくはなり得ない。
（ｄ）Ｓで保護したコンテンツと共に（ｘ_１，ｙ_１）を配布する。
【００２９】
前述のような方式は、秘密の一部が受信側に「予め組み込まれる」ので、しばしば「予め組み込まれた」分散秘密法と呼ばれる。上の例では、「予め組み込まれた」シェアは、受信側でスマート・カードに記憶されているシェアである。このような「予め組み込まれた」分散秘密法は、暗号学の分野で他者によって考察されている（例えば、Ｇ．Ｊ．Ｓｉｍｍｏｎｓ「Ｈｏｗ　ｔｏ（ｒｅａｌｌｙ）ｓｈａｒｅ　ａ　ｓｅｃｒｅｔ」Ａｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ’８８　Ｐｒｏｃｅｅｄｉｎｇｓ、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、３９０〜４４８ページ、１９９０年、およびＧ．Ｊ．Ｓｉｍｍｏｎｓ「Ｐｒｅｐｏｓｉｔｉｏｎｅｄ　ｓｈａｒｅｄ　ｓｅｃｒｅｔ　ａｎｄ／ｏｒ　ｓｈａｒｅｄ　ｃｏｎｔｒｏｌ　ｓｃｈｅｍｅｓ」Ａｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ−ＥＵＲＯＣＲＹＰＴ’８９　Ｐｒｏｃｅｅｄｉｎｇｓ、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、４３６〜４６７ページ、１９９０年参照）。所定のシェアを予め組み込まれることにより、スクランブル鍵は、受信側のどんな回路も変更せずに比較的容易に変更することができ、「アクティブ化」シェアを変更する必要があるだけである。
【００３０】
上記のアルゴリズムは、２つのシェア（即ち、ユークリッド平面上の線の２点）だけを有する秘密Ｓを利用した予め組み込まれた秘密分散法を概説したものであることに留意されたい。当然、より多くのシェア（点（ｐｏｉｎｔ））を有するより複雑な他の秘密Ｓを開発してもよい。予め組み込まれた秘密分散法の重要な面は、シェアの幾つかが受信側に「予め組み込まれる」ことである。
【００３１】
本発明は、特定位置（場所）（例えば、スマート・カード・メモリ）に秘密のシェアの少なくとも１つを記憶することを含んでいる。次いで、記憶したシェアを「アクティブ化」シェアと共に使用して、秘密を構成する。例えば（４，４）方式では、４つのシェアのうち３つを特定位置（例えば、スマート・カード）に記憶することが好ましい。次いで、秘密を得るための最後のシェア（本明細書では「アクティブ化」シェアとも呼ぶ）をこの位置に送信する。本発明では、秘密はシェア自体ではなく、シェアがユークリッド平面上の点として表されたときにシェアによって形成される線、または曲線（より高次の多項式の場合）のＹ切片であることに留意するのが重要である。
【００３２】
図２および図３は共に、本発明の第１の例示的な実施形態を例示するものである。第１の例示的な実施形態では、２つのシェアを有する秘密を使用する。前述のように、各シェアはユークリッド平面上の点で定められる。具体的には、スマート・カード（ＳＣ）４２に第１のシェア（または、データ点）が記憶される。第１のシェアは、ユークリッド平面上の単一の点（即ち、（ｘ_０，ｙ_０）の形式）と考えることができる。サービス・プロバイダ５８は、対称鍵、例えば、データ暗号化規格（ＤＥＳ）鍵でスクランブルされたものとすることのできる信号（即ち、イベントまたは番組）を送信する。スクランブルされた信号に加えて、サービス・プロバイダ５８は、第２の（即ち、「アクティブ化」）シェアも送信する。第２のシェアも同様に、同じユークリッド平面からの第２の単一の点（即ち、（ｘ_１，ｙ_１）の形式）とすることができる。
【００３３】
スクランブルされたオーディオ／ビジュアル（Ａ／Ｖ）信号、および第２の（「アクティブ化」）シェアは、ディジタル・テレビジョン（ＤＶＴ）４０によって受信され、処理のためにスマート・カード（ＳＣ）４２に送られる。スマート・カード（ＳＣ）４２は、第２の（「アクティブ化」）シェアを受け取り、記憶されている第１のシェアと受け取った第２のシェアの両方を使用して、対称鍵を再構成（または、回復）する。次いでスマート・カード（ＳＣ）４２は、再構成された対称鍵を使用して、受信されたスクランブル済みオーディオ／ビジュアル（Ａ／Ｖ）信号をスクランブル解除し、スクランブル解除済みオーディオ／ビジュアル（Ａ／Ｖ）信号を生成する。このスクランブル解除済みオーディオ／ビジュアル（Ａ／Ｖ）信号は、表示されるようディジタル・テレビジョン（ＤＶＴ）４０に提供される。
【００３４】
対称鍵の回復は、第１および第２のシェアを利用して多項式を構成することによって達成される。即ち、構成された多項式のＹ切片が対称鍵である。例えば、（ｘ_０，ｙ_０）および（ｘ_１，ｙ_１）がある場合、対称鍵は、この所定の有限体中でＳの値を計算することによって構成され、以下のようになる。
Ｓ＝ｆ（０）＝ｙ_０−（（ｙ_１−ｙ_０）／（ｘ_１−ｘ_０））×（ｘ_０）
【００３５】
図３Ａに、本発明の第１の例示的な実施形態のグラフを示す。このグラフは、例示的なシェア（ｘ_０，ｙ_０）および（ｘ_１，ｙ_１）と、これらによって形成される線を示しており、この線は特定の点でＹ軸と交差する（この点が鍵である）。例として、図３Ａのプロットは、モジュラー算術ではなく実数を使用して得られる。
【００３６】
第１の例示的な実施形態に関して上述したような手法では、複数のサービス・プロバイダが、記憶される第２のシェア（ｘ_０，ｙ_０）（即ち、「アクティブ化」シェア）を共用することができる。次いで、各サービス・プロバイダは、独自の第１のシェア（即ち、（ｘ_１，ｙ_１））を自由に選択することができる。同一のＹ切片（即ち、同一の対称鍵）を伴う多項式を構成する確率は低い。ただし、可能な第２のシェアの範囲は、各サービス・プロバイダが重ならない固有の範囲を有するように割り振ることもできる（図３Ｂ参照）。更に、各サービス・プロバイダが独自の第１のシェアを選択して、これをダウンロード前にスマート・カードの公開鍵を使用して暗号化することができることも、本発明の範囲内である。このシェアは、スマート・カードがその秘密鍵Ｋ_{ＳＣｐｒｉ}を使用して回復することになる。更に、後で説明するが、イベントの各部分を異なる鍵スクランブル解除して異なる複数の第２のシェアを送っても、定める本システムの堅牢性を高めることができる。
【００３７】
本発明の第１の例示的な実施形態による例を考察するために、点（ｘ_０，ｙ_０）＝（１７，１５）、（ｘ_１，ｙ_１）＝（５，１０）、およびｐ＝２３と仮定する。（ｘ_０，ｙ_０）および（ｘ_１，ｙ_１）を通る１次多項式
ｆ（ｘ）＝ａ_１ｘ＋ａ_０（ｍｏｄ２３）
は、以下の式を解くことによって構成することができる。
ａ_１×（１７）＋ａ_０＝１５（ｍｏｄ２３）
ａ_１×（５）＋ａ_０＝１０（ｍｏｄ２３）
解（ａ_１，ａ_０）＝（１０，６）は、以下の多項式をもたらす。
ｆ（ｘ）＝１０ｘ＋６（ｍｏｄ２３）
秘密Ｓの値は、ｆ（０）を計算することによって発見することができる。
Ｓ＝ｆ（０）＝６（ｍｏｄ２３）
【００３８】
従って、上の例によれば、秘密の値は、即ち、スクランブル鍵の値は、６（ｍｏｄ２３）になる。当然、この秘密の値は、（ｘ_１，ｙ_１）の値が変わる度に変化することになる。
【００３９】
図４に、（第１の例示的な実施形態の２つのシェアとは対照的に）３つのシェアを利用する本発明の第２の例示的な実施形態による鍵回復方式を示す。第２の例示的な実施形態では、対称鍵の回復は、第１、第２、第３のシェア（例えば、（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２））を利用して２次多項式（即ち、放物曲線）を構成することによって達成される。構成された２次多項式のＹ切片が、対称鍵である。
【００４０】
本発明の第２の例示的な実施形態による例を考察するために、点（ｘ_０，ｙ_０）＝（１７，１５）、（ｘ_１，ｙ_１）＝（５，１０）、（ｘ_２，ｙ_２）＝（１２，６）、およびｐ＝２３と仮定する。（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２）を通る２次多項式
ｆ（ｘ）＝ａ_２ｘ^２＋ａ_１ｘ＋ａ_０（ｍｏｄ２３）
は、以下の式を解くことによって構成することができる。
ａ_２×（１７^２）＋ａ_１×（１７）＋ａ_０＝１５（ｍｏｄ２３）
ａ_２×（１２^２）＋ａ_１×（１２）＋ａ_０＝６（ｍｏｄ２３）
ａ_２×（５^２）＋ａ_１×（５）＋ａ_０＝１０（ｍｏｄ２３）
解（ａ_２，ａ_１，ａ_０）＝（１０，２０，５）は、以下の多項式をもたらす。
ｆ（ｘ）＝１０ｘ^２＋２０ｘ＋５（ｍｏｄ２３）
秘密Ｓの値は、ｆ（０）を計算することによって発見することができる。
Ｓ＝ｆ（０）＝５（ｍｏｄ２３）
【００４１】
図４に示すように、第１、第２、第３のシェアは、ユークリッド平面上の点として表すことができる。例として、図４のプロットはモジュラー算術ではなく実数を使用して得られる。
【００４２】
図５に、４つのシェアを利用する本発明の第３の例示的な実施形態による鍵回復方式を示す。第３の例示的な実施形態では、対称鍵の回復は、第１、第２、第３、第４のシェア（例えば、（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２）、（ｘ_３，ｙ_３））を利用して３次多項式（即ち、曲線）を構成することによって達成される。構成された３次多項式のＹ切片が対称鍵である。
【００４３】
本発明の第３の例示的な実施形態による例を考察するために、点（ｘ_０，ｙ_０）＝（１７，１５）、（ｘ_１，ｙ_１）＝（５，１０）、（ｘ_２，ｙ_２）＝（１２，６）、（ｘ_３，ｙ_３）＝（３，１２）、およびｐ＝２３と仮定する。（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２）、（ｘ_３，ｙ_３）を通る３次多項式
ｆ（ｘ）＝ａ_２ｘ^３＋ａ_２ｘ^２＋ａ_１ｘ＋ａ_０（ｍｏｄ２３）
は、以下の式を解くことによって構成することができる。
ａ_３×（１７^３）＋ａ_２×（１７^２）＋ａ_１×（１７）＋ａ_０＝１５（ｍｏｄ２３）
ａ_３×（１２^３）＋ａ_２×（１２^２）＋ａ_１×（１２）＋ａ_０＝６（ｍｏｄ２３）
ａ_３×（５^３）＋ａ_２×（５^２）＋ａ_１×（５）＋ａ_０＝１０（ｍｏｄ２３）
ａ_３×（３^３）＋ａ_２×（３^２）＋ａ_１×（３）＋ａ_０＝１２（ｍｏｄ２３）
解（ａ_３，ａ_２，ａ_１，ａ_０）＝（１８，１９，０，２２）は、以下の多項式をもたらす。
ｆ（ｘ）＝１８ｘ^３＋１９ｘ^２＋０ｘ＋２２（ｍｏｄ２３）
秘密Ｓの値は、ｆ（０）を計算することによって発見することができる。
Ｓ＝ｆ（０）＝２２（ｍｏｄ２３）
【００４４】
図５に示すように、第１、第２、第３、第４のシェアは、ユークリッド平面上の点として表すことができる。例として、図５のプロットはモジュラー算術ではなく実数を使用して得られる。
【００４５】
前述のような複数のシェアを使用して、条件付きアクセス・システムのための好都合な鍵管理方式を構成することもできる。条件付きアクセス・システムのオペレータはしばしば、（１）個人（ｉｎｄｉｖｉｄｕａｌ）、（２）グループ（ｇｒｏｕｐ）、（３）地域（ｒｅｇｉｏｎａｌ）の３レベルの鍵を定める。条件付きアクセス・システムの加入者の各スマート・カードごとに異なる数のシェアを記憶することにより、加入者にこれらの種々の許可レベルのうちの１つまたは複数を割り当てることができる。
【００４６】
指定の個体数のスマート・カードを使用してシステムへのアクセスを制御する条件付きアクセス・システムを検討する。以下のように、異なる３つのカード・タイプを製造することができる。
（１）レベル１スマート・カード：放送「領域」中のすべてのスマート・カードに、１つの共通シェア（即ち、領域中のすべてのスマート・カードに共通のシェア）を割り当てる。
（２）レベル２スマート・カード：指定のグループ中のすべてのスマート・カードに、追加の共通シェア（即ち、指定のグループ中のすべてのスマート・カードに共通のもう１つのシェア）を割り当てる。
（３）レベル３スマート・カード：各スマート・カードに固有の追加シェアを割り当てる。
【００４７】
前述のスマート・カードを「アクティブ化」シェアと共に使用して、ある種の番組をスクランブル解除することができる。レベル１スマート・カードは１つのシェアだけを含み、レベル２スマート・カードは２つのシェアを含み、レベル３スマート・カードは３つのシェアを含むので、各カードは異なるスクランブル解除鍵セット（ｓｅｔ：組）を提供することになる。従って、放送領域内のすべてのスマート・カード（即ち、レベル１スマート・カード）は、一般の放送（例えば、基本的なテレビジョン・チャネル）を受信してスクランブル解除する機能を有するが、レベル２スマート・カードだけは、幾つかの追加の番組（例えば、ＨＢＯ（Ｈｏｍｅ　Ｂｏｘ　Ｏｆｆｉｃｅ）やショータイム（Ｓｈｏｗｔｉｍｅ）など）を受信してスクランブル解除する機能を有し、レベル３スマート・カードだけは、その他に幾つかの追加の番組（例えば、ペイ・パー・ビュー（ＰＰＶ：ｐａｙ−ｐｅｒ−ｖｉｅｗ）映画など）を受信してスクランブル解除する機能を有する。レベル１〜３スマート・カード中に配置されるシェアは、秘密（例えば、スクランブル解除鍵）を計算するために「アクティブ化」シェアと共に使用することのできる「予め組み込まれた」情報を構成することに留意されたい。
【００４８】
図６に、どのようにユークリッド平面を使用して複数シェア方式を構成するかを示す。図から分かるように、異なる３つの許可レベルは、３つのＹ切片に対応する（即ち、「地域鍵」、「グループ鍵」、「個人鍵」）。１次多項式（レベル１即ち、「地域」許可に対応する）は、「アクティブ化シェア」およびレベル１共通シェアを通る線を構成する。２次多項式（レベル２即ち、「グループ」許可に対応する）は、「アクティブ化」シェア、レベル１共通シェア、およびレベル２シェアを通る放物線を構成する。３次多項式（レベル３即ち、「個人」許可に対応する）は、「アクティブ化」シェア、レベル１共通シェア、レベル２シェア、およびレベル３シェアを通る曲線を構成する。この例では、異なる各鍵（即ち、個人、グループ、地域）を計算するために「アクティブ化」シェアを使用していることに留意されたい。例として、図６のプロットはモジュラー算術ではなく実数を使用して得られることを理解されたい。
【００４９】
上の例を用いて、以下の表に、シェアと種々の許可レベルとの関係を記述する。
【表１】

【００５０】
前述の方法および装置について、マルチメディア・コンテンツを配信するための条件付きアクセス・システムのコンテキストで述べたが、本発明の原理は、情報の送信側と受信側の間で安全に通信するための方法および装置にも適用することができる。
【００５１】
前述の方法および装置の幾つかの利点には、次のことが含まれる。
（ａ）対称鍵を回復する際の受信側に対する計算要件が削減される（即ち、各鍵につき単純な操作しか実施されない）。これは、モジュラーべき乗の計算を必要とするＲＳＡ復号とは対照的である。
【００５２】
（ｂ）セキュリティは「完全」である。言い換えれば、アクティブ化シェアがあっても、秘密の値はすべて依然として等しい確率を有する。より高次の多項式であるほど、アクティブ化シェアを得て秘密を決定する作業はより一層困難になる。
【００５３】
（ｃ）送信側と受信側の間で共有される「予め組み込まれた」情報の所定のセットに対し、異なる対称鍵を容易に導出して頻繁に使用することができる（即ち、「アクティブ化」シェアを変更することによって）。
【００５４】
（ｄ）各受信側に異なるシェアを割り当てることにより、異なる許可レベルを定めることができる。
【００５５】
（ｅ）セキュリティは、証明されていない数学的仮定に依拠しない（即ち、ＲＳＡのセキュリティは、整数因数分解の問題の困難さに基づく）。
【００５６】
前述の方式は、対称鍵システムと公開鍵システムの利点を効果的に結合する。「予め組み込まれた」情報は、受信側の秘密鍵と考えることができる。構成される対称鍵は、権利の付与制御メッセージ（ＥＣＭ）の一部として送信される公開情報によって決定される。スクランブル解除鍵は放送のソースでは生成されないので、これらを配布時に保護するための追加の暗号は必要ない。
【００５７】
前述の方式の効果は、次のことを含めた様々な仕方で高めることができる。
【００５８】
（１）分散秘密に応じてスクランブル鍵を定める。一般に、鍵は、秘密の値において予め定められた関数を評価することによって生成することができる。例えば、分散秘密（例えば、関数ｆ（ｘ）のＹ切片）が実数７であった場合、鍵は７の平方根として定めることができる。このようにすれば、たとえ秘密を発見してもスクランブル解除できるとは限らない。あるいは、多項式の係数が得られた後で他の任意の定義を用いることもできる。実際上は、関数はエントロピー保存特性を有することが必要な場合がある（即ち、エントロピー（秘密）＝エントロピー［ｆ（秘密）］）。
【００５９】
（２）多項式関数の次数（従って、秘密を発見するために必要なシェアの数）を、時間依存の秘密のシステム・パラメータにする。例えば、秘密を定める多項式ｆ（ｘ）の次数は、１日ごと、１時間ごとなどで変化する。最初に多項式の次数を決定しなければならないので、暗号解読はより要求の厳しい作業になる。
【００６０】
（３）アクティブ化シェアを送信前にマスク（ｍａｓｋ）する。次いで、スクランブル済みコンテンツと共に送信されたアクティブ化シェアを、受信側が予め定められたプロセスでマスク解除（ｕｎｍａｓｋ）することができる。マスキングの一例では、コンテンツをスクランブルするためにはアクティブ化シェアのハッシュ値（ｈａｓｈ　ｖａｌｕｅ）を使用するが、送信するのはそうでなくアクティブ化シェアである。次いで、受信側はハッシング（ｈａｓｈｉｎｇ）を実施して実際の値を決定する。
【００６１】
（４）冗長なアクティブ化シェアを追加する。実際のアクティブ化シェアと共に送信された追加のアクティブ化シェアを、受信側が予め定められたプロセスでフィルタリングして除去する。
【００６２】
以上に参照した改良を任意に組み合わせても、アクティブ化シェアの実際の値を送信時に秘匿するために役立ち、コンテンツに対する追加のセキュリティ・レベルを導入する。
【００６３】
秘密を形成する際に１次、２次、３次の多項式を使用することのできる秘密分散法に関して本発明を述べたが、任意の次数の多項式（例えば、４次、５次など）も使用できることは当業者には理解されるであろう。実際、より高次の多項式であるほど、推定しなければならないシェアの数が増加するので、より低い多項式に勝る追加のセキュリティをもたらすという点で好ましい。更に、以上の記述では単一のスマート・カード（例えば、スマート・カード４２）を使用するシステムに焦点を合わせているが、複数のスマート・カードを使用し、各スマート・カードに１つまたは複数のシェア値を記憶することもできることは、当業者には理解されるであろう。
【図面の簡単な説明】
【図１】
共通のセットトップ・ボックス（ＳＴＢ）を様々なサービス・プロバイダ（ＳＰ）にインタフェースするためのアーキテクチャの１つを示すブロック図である。
【図２】
本発明による、装置へのアクセスを管理するためのシステムのブロック図である。
【図３Ａ】
本発明の第１の例示的な実施形態による、スクランブル鍵の決定を表すグラフである。
【図３Ｂ】
図３Ａによる、各サービス・プロバイダ（ＳＰ）について重ならない固有の範囲を割り当てることを表すグラフである。
【図４】
本発明の第２の例示的な実施形態による、スクランブル鍵の決定を表すグラフである。
【図５】
本発明の第３の例示的な実施形態による、スクランブル鍵の決定を表すグラフである。
【図６】
本発明の第４の例示的な実施形態による、複数のスクランブル鍵の決定を表すグラフである。
【図７】
従来の条件付きアクセス・システム（ＣＡＳ）を示すブロック図である。
【図８】
条件付きアクセス・システム（ＣＡＳ）に関する従来の送信側アーキテクチャを示すブロック図である。
【図９】
条件付きアクセス・システム（ＣＡＳ）に関する従来の受信側アーキテクチャを示すブロック図である。

Claims (19)

1. 信号へのアクセスを管理する方法であって、
   第１のシェアを表すデータをスマート・カード中で受け取ること、
   前記第１のシェアと前記スマート・カードに記憶された少なくとも２つの追加シェアとを使用して対称スクランブル鍵を構成すること、および、
   前記構成したスクランブル鍵を使用して信号をスクランブル解除して、スクランブル解除済み信号を生成することを含む方法。
2. 前記第１、第２、第３のシェアが、ユークリッド平面上の点である、請求項１に記載の方法。
3. サービス・プロバイダのイベントを表す信号へのアクセスを管理する方法であって、
   対称スクランブル鍵を使用してスクランブルされた前記信号をスマート・カード中で受け取ること、
   第１のシェアを表すデータを前記スマート・カード中で受け取り、前記第１のシェアと前記スマート・カードに記憶された第２、第３のシェアとを使用して前記スクランブル鍵を構成すること、および、
   前記構成したスクランブル鍵を使用して前記信号をスクランブル解除して、スクランブル解除済み信号を生成することを含み、
   前記スクランブル鍵を構成するステップが、前記第１、第２、第３のシェアによってユークリッド平面上に形成される曲線のＹ切片を計算することを含む方法。
4. 前記第１、第２、第３のシェアがユークリッド平面上の点である、請求項３に記載の方法。
5. 前記スマート・カードが、ＩＳＯ７８１６カード規格とＰＣＭＣＩＡカード規格のうちの一方に従って表面に複数の端子ピンが配置されたカード本体を有する、請求項３に記載の方法。
6. サービス・プロバイダと、スマート・カードが結合された装置との間のアクセスを管理するためのシステムであって、
   対称スクランブル鍵を使用してスクランブルされた信号をスマート・カード中で受け取るステップと、
   第１のシェアを表すデータを前記スマート・カード中で受け取り、前記第１のシェアと前記スマート・カードに記憶された第２、第３のシェアとを使用して前記スクランブル鍵を構成するステップと、
   前記構成したスクランブル鍵を使用して前記信号をスクランブル解除して、スクランブル解除済み信号を生成するステップとを実施し、
   前記スクランブル鍵を構成するステップが、前記第１、第２、第３のシェアによってユークリッド平面上に形成される曲線のＹ切片を計算することを含むシステム。
7. 少なくとも１つのプログラム・サービス・プロバイダと、
   前記少なくとも１つのプログラム・サービス・プロバイダから送られたスクランブル済み信号および第１のシェアを受け取るための少なくとも１つのスマート・カードを有するディジタル装置とを備える条件付きアクセス・システムであって、
   前記少なくとも１つのスマート・カードが、前記スクランブル済み信号をスクランブル解除するために第２、第３のシェアを記憶しており、前記第２、第３のシェアが前記第１のシェアと共に使用されて前記スクランブル信号がスクランブル解除される条件付きアクセス・システム。
8. 前記第１のシェアおよび前記少なくとも２つの追加シェアが、少なくとも２次多項式関数上の点である、請求項１に記載の方法。
9. 前記少なくとも２つの追加シェアが少なくとも３つの追加シェアを含み、従って前記第１のシェアおよび前記少なくとも３つの追加シェアが、少なくとも３次多項式関数上の点である、請求項１に記載の方法。
10. 前記スクランブル鍵が、前記第１のシェアおよび前記少なくとも２つの追加シェアから計算される秘密の値を含む、請求項１に記載の方法。
11. 前記スクランブル鍵が、前記第１のシェアおよび前記少なくとも２つの追加シェアから計算される秘密の値の関数を含む、請求項１に記載の方法。
12. 前記第１のシェアおよび前記少なくとも２つの追加シェアが多項式関数上の点を含む、請求項１に記載の方法。
13. 前記多項式関数の次数が定期的に変更される、請求項１２に記載の方法。
14. 前記第１のシェアが前記スマート・カード中で受け取られる前に前記第１のシェアをマスクするステップを更に含む、請求項１に記載の方法。
15. 前記第１のシェアのマスク済みバージョンから前記第１のシェアを計算するステップを更に含む、請求項１４に記載の方法。
16. 第１のシェアおよび少なくとも１つの冗長シェアを送るステップを更に含む、請求項１に記載の方法。
17. 前記第１のシェアを前記スマート・カード中で受け取った後で、前記少なくとも１つの冗長シェアをフィルタリングして除去するステップを更に含む、請求項１６に記載の方法。
18. 条件付きアクセス・システムを運営する方法であって、
    スクランブル済み信号および第１のシェアをサービス・プロバイダからディジタル装置に送るステップと、
    前記スクランブル済み信号および前記第１のシェアを前記ディジタル装置中で受け取るステップと、
    前記第１のシェアと前記ディジタル装置のスマート・カードに記憶された少なくとも２つの追加シェアとを使用してスクランブル鍵を構成するステップと、
    前記構成したスクランブル鍵を使用して前記信号をスクランブル解除して、スクランブル解除済み信号を生成するステップとを含む方法。
19. 送信機と、
    前記送信機から送られたスクランブル済み信号および第１のシェアを受け取るための少なくとも１つのスマート・カードを有する受信機とを備える条件付きアクセス・システムであって、
    前記少なくとも１つのスマート・カードが、前記スクランブル済み信号をスクランブル解除するために第２、第３のシェアを記憶しており、前記第２、第３のシェアが前記第１のシェアと共に使用されて前記スクランブル信号がスクランブル解除される条件付きアクセス・システム。

Images