JP4876654B2 - ソフトウェアダウンロードシステムと放送受信装置とサーバおよびソフトウェアダウンロード方法 - Google Patents

Description

この発明は、ソフトウェアダウンロードシステムと放送受信装置とサーバおよびソフトウェアダウンロード方法に関する。詳しくは、放送を受信してのみ得られる情報例えば時刻情報に基づいて暗号鍵を生成して、この暗号鍵でソフトウェア要求や要求されたソフトウェアを暗号することにより、不正なソフトウェアダウンロードを防止するものである。

放送番組を受信する放送受信装置では、ソフトウェアの更新を行う場合、特許文献１に示されているように、電話回線や衛星あるいはケーブルネット等の伝送路を介して供給された更新プログラムが用いられている。

特開２００３−１４３５０２号公報

ところで、放送受信装置では、著作権保護等の目的のため、放送信号に含まれているコピー制御情報にしたがって、正しくコピー制御を行った上で映像，音声のコンテンツを出力する必要がある。また、ゲームや文書作成や数値計算あるいは画像処理等の種々のアプリケーションプログラムを有償で提供して放送受信装置で実行可能とする場合、例えば設定されている使用回数や使用期間の範囲内でのみ実行可能としたり、他の放送受信装置で実行されてしまうことがないように制御する必要がある。

ここで、放送受信装置のプログラムを更新する場合、改竄された更新プログラムがダウンロードされて放送受信装置にインストールされると、期待されるコピー制御処理やプログラムの実行制御等が正しく行われなくなってしまう危険性が高くなる。

例えば、ネットワークを介して更新プログラムのダウンロードを行う場合、ネットワークのトラフィックを盗聴して解析することにより、放送受信装置で実行可能なソフトウェアを作成することができるおそれがある。このため、コピー制限やアプリケーションの実行制限を行わせないような更新プログラムがユーザによって作成されて放送受信装置にインストールされると、放送受信装置の設計者の意図していない動作が放送受信装置で行われてしまう。

また、アプリケーションプログラム等のソフトウェアをダウンロードする場合、ネットワークトラフィックを盗聴してソフトウェアが詐取されると、このソフトウェアを詐称サーバからダウンロード可能とすることで、正しいサーバからソフトウェアをダウンロードしなくともアプリケーション等を使用することが可能となってしまう。また、正しいサーバは、ソフトウェアのダウンロードを管理できないため、ダウンロード制限やダウンロードに応じた課金等を行うことができなくなってしまう。

そこで、この発明では、不正なソフトウェアダウンロードを防止できるソフトウェアダウンロードシステムと放送受信装置とサーバおよびソフトウェアダウンロード方法を提供するものである。

この発明において、ネットワークを介してサーバと接続される放送受信装置では、放送を受信してのみ得られる情報、例えば時刻情報に基づいて暗号鍵が生成されて、この暗号鍵でソフトウェア要求が暗号化されてサーバに供給される。また、生成された暗号鍵を用いて、サーバから暗号化されて供給されたソフトウェアの復号化が行われる。ネットワークを介して放送受信装置と接続されるサーバでは、放送を受信してのみ得られる情報に基づいて暗号鍵が生成されて、この暗号鍵を用いて、放送受信装置から暗号化されて供給されたソフトウェア要求の復号化が行われる。また、生成された暗号鍵でソフトウェア要求に応じたソフトウェアの暗号化が行われて、ソフトウェア要求を行った放送受信装置に供給される。

この発明によれば、放送を受信してのみ得られる情報に基づいて暗号鍵が生成されて、この暗号鍵でソフトウェア要求やソフトウェア要求に対して供給されるソフトウェアが暗号化されて、ネットワークを介して伝送される。このため、ネットワークトラッフィックを盗聴してもソフトウェア要求やソフトウェアを得ることができないことから、ソフトウェアのダウンロードを安全に行うことができる。また、放送を受信してのみ得られる情報に基づいて暗号鍵の生成が行われることから、暗号鍵の生成に用いる情報をユーザが変更して暗号アルゴリズムの解析等が行われてしまうことを防止できるので、暗号鍵や暗号アルゴリズムの解析を困難なものとすることができる。さらに、放送を受信してのみ得られる情報として時刻情報を用いることにより、暗号鍵が時間の経過とともに変化するので暗号鍵や暗号アルゴリズムの解析をさらに困難とすることができる。

以下、図を参照しながら、この発明の実施の一形態について説明する。図１は放送受信装置のソフトウェアダウンロードシステムの構成を示している。放送受信装置１０は、ネットワーク５０を介して、ソフトウェアを提供するサーバ６０と接続されている。このサーバ６０が提供するソフトウェアは、アプリケーションプログラムや更新プログラムに限られるものではなく、機器の設定や種々の処理に用いるデータ，映像コンテンツ，音声コンテンツ等も含むものである。

放送受信装置１０とサーバ６０は、ソフトウェアの要求や要求されたソフトウェアの提供を行う際に暗号化を用いるものとする。

放送受信装置１０のアンテナ１１は、放送電波を受信するためのものである。このアンテナ１１で放送電波を受信することにより得られた受信信号は、受信部１２のチューナ１２１に供給される。チューナ１２１は、受信信号から所望の放送コンテンツの周波数を選局する。また、選局により得られた信号に対してデジタル復調処理や誤り訂正処理およびデインタリーブ処理を行い、トランスポートストリームを生成して受信部１２のデスクランブラ１２２に供給する。

デスクランブラ１２２は、個々の受信者毎に決められた固有のマスター鍵を用いて、トランスポートストリームに含まれている個別情報の復号化を行うことでワーク鍵を生成する。また、生成されたワーク鍵を用いて、トランスポートストリームに含まれた共通情報の復号化を行うことでスクランブル鍵を生成する。さらに、生成されたスクランブル鍵を用いて、トランスポートストリームのデスクランブル処理を行い、スクランブル前のトランスポートストリームを復元して受信部１２のデマルチプレクサ１２３に供給する。

デマルチプレクサ１２３は、復元されたトランスポートストリームから目的の番組のパケットを分離し、映像データのパケットをビデオデコーダ１３、音声データのパケットをオーディオデコーダ１４に供給する。また、データ放送のパケットや伝送制御信号のパケットを制御部２７に供給する。さらに、時刻情報を示すパケットを内蔵時計２５に供給する。すなわち、トランスポートストリームにおけるヘッダのＰＩＤ(Packet Identifier)が、ＴＤＴ(Time and Date Table)やＴＯＴ(Time Offset Table)であることを示すとき、このパケットを内蔵時計２５に供給する。

ビデオデコーダ１３は、圧縮されている映像データの伸張処理等を行い、処理後の信号を映像出力信号として出力する。オーディオデコーダ１４は、圧縮されている音声データの伸張処理等を行い、処理後の信号を音声出力信号として出力する。

カードインタフェース１５は、個々の受信者に対して固有に割り当てられたマスター鍵等の情報を記憶したＩＣカード４０から情報を読み出したり、ＩＣカード４０に情報を書き込むためのインタフェースである。

ネットワークインタフェース１８は、ソフトウェア供給を行うサーバ６０とネットワーク５０を介して接続するためのインタフェースである。

受信部１２のチューナ１２１やデスクランブラ１２２、デマルチプレクサ１２３、ビデオデコーダ１３、オーディオデコーダ１４、カードインタフェース１５、ネットワークインタフェース１８は、バス２０を介して制御部２７と接続されている。また、バス２０には、入力部２１、不揮発性メモリ２２、ＲＡＭ(Random Access Memory)２３、内蔵時計２５が接続されている。

入力部２１は、操作キーやリモートコントロール装置から送信された信号を受信するリモートコントロール信号受信部で構成されている。この入力部２１では、操作キーのキー操作に応じた操作信号を生成して制御部２７に供給する。あるいは、リモートコントロール装置から送信された信号を受信して、リモートコントロール装置に設けられている操作キーのキー操作に応じた操作信号を制御部２７に供給する。

不揮発性メモリ２２は、放送受信装置１０を動作させるためのソフトウェアや、アプリケーションプログラムのソフトウェア等を記憶するものである。また、不揮発性メモリ２２は、ユーザ操作によって書きかえることができないように各放送受信装置が個々に有する固有の識別情報や、暗号アルゴリズムを記憶する。例えば製造シリアル番号を記憶する。なお、識別情報は、不揮発性メモリ２２に記憶した情報に限られるものではなく、例えばネットワークインタフェース１８に設定されているネットワークノード情報等を用いることもできる。

ＲＡＭ２３は、制御部２７が放送受信装置１０の各部を制御して所望の動作を行うとき、種々の情報を記憶させておくためのメモリである。

内蔵時計２５は、デマルチプレクサ１２３から供給された時刻情報を含むパケットの信号に基づいて、放送受信装置１０が有する時計機能の時刻を放送局側の時刻と同期させる。また、放送局側から供給された時刻情報を用いることで、時刻を正しく設定できることから、ユーザ操作による時刻設定の機能を放送受信装置１０には設けない。

制御部２７は、操作信号に基づき制御信号を生成して各部に供給して、放送受信装置１０の動作が、ユーザのキー操作に応じた動作となるように制御する。また、サーバ６０との通信を行う場合、制御部２７は放送を受信してのみ得られる情報に基づいて暗号鍵の生成を行い、この暗号鍵で暗号化や復号化を行う。ここで、ユーザ操作による時刻設定の機能を放送受信装置１０に設けていないことから、内蔵時計２５が示す時刻は、放送を受信してのみ得られる情報である。したがって、制御部２７は、内蔵時計２５の時刻情報に基づいて暗号鍵を生成する処理を行う。また、制御部２７は、ソフトウェアを要求するユーザ操作が行われたとき、生成した暗号鍵でソフトウェア要求を暗号化してサーバ６０に供給する処理や、サーバ６０から暗号化されて供給されたソフトウェアを、生成した暗号鍵で復号化する処理を行う。この暗号化や復号化は、不揮発性メモリ２２に記憶されている暗号アルゴリズムを用いて行う。

サーバ６０のネットワークインタフェース６１は、放送受信装置１０とネットワーク５０を介して接続するためのインタフェースである。ネットワークインタフェース６１は、バス６２に接続されており、バス６２には、暗号アルゴリズム記憶部６３と内蔵時計６５、ソフトウェア蓄積部６６および制御部６７が接続されている。

暗号アルゴリズム記憶部６３は、放送受信装置１０の不揮発性メモリ２２に記憶されている暗号アルゴリズムと対応する暗号アルゴリズムを記憶するものである。すなわち、暗号アルゴリズム記憶部６３は、放送受信装置１０の不揮発性メモリ２２に記憶されている暗号アルゴリズムで暗号化された信号を復号するためのアルゴリズムが記憶されている。また、記憶している暗号アルゴリズムで信号を暗号化しても、この暗号化された信号を放送受信装置１０の不揮発性メモリ２２に記憶されている暗号アルゴリズムで復号化できるようになされている。

内蔵時計６５は、放送によって送信されている時刻情報、すなわち放送受信装置１０の内蔵時計２５と等しい時刻を示すものである。
ソフトウェア蓄積部６６は、更新プログラムやアプリケーションプログラム等のソフトウェアを記憶しているものである。また、ソフトウェア蓄積部６６は、ソフトウェア供給を行う際に用いる情報、例えば各放送受信装置が個々に有する固有の識別情報を記憶する。

制御部６７は、放送受信装置１０との通信を行い、更新プログラムやアプリケーションプログラム等のソフトウェアを放送受信装置１０に供給する。ここで、内蔵時計６５が示す時刻は、放送受信装置１０の内蔵時計２５が示す時刻と等しいものである。すなわち、内蔵時計６５が示す時刻は、放送を受信してのみ得られる情報に相当するものである。したがって、制御部６７は、内蔵時計６５の時刻情報に基づいて暗号鍵を生成する処理を行う。また、制御部６７は、放送受信装置１０から暗号化されて供給されたソフトウェア要求を生成した暗号鍵で復号化する処理と、ソフトウェア要求で要求されたソフトウェアを生成した暗号鍵で復号化してソフトウェア要求を行った放送受信装置に供給する処理を行う。この暗号化や復号化は、暗号アルゴリズム記憶部６３に記憶されている暗号アルゴリズムを用いて行う。

次に、ソフトウェアダウンロード動作について図２を用いて説明する。放送受信装置１０は、放送の受信を行い（ＳＴ１）、この放送を受信したことにより得られる情報に基づいて種々の設定処理を行う（ＳＴ２）。例えば、内蔵時計２５の時刻をＴＯＴで示された時刻に同期させる。

放送受信装置１０に対してソフトウェア要求操作が行われたとき（ＳＴ３）、制御部２７は、サーバ６０に対してソフトウェア要求を行う（ＳＴ４）。例えば制御部２７は、入力部２１からの操作信号によって、アプリケーションプログラムのソフトウェアを要求するユーザ操作が行われたと判別したとき、ソフトウェア要求操作が行われたものとして、サーバ６０に対してソフトウェア要求を行う。あるいは、放送等を利用して更新プログラムの提供が通知されており、入力部２１からの操作信号によって、この更新プログラムを要求するユーザ操作が行われたと判別したとき、ソフトウェア要求操作が行われたものとして、サーバ６０に対してソフトウェア要求を行う。または、放送等を利用して更新プログラムの提供が通知された場合に、この更新プログラムを自動的に要求するように設定がなされているとき、ソフトウェア要求操作が行われたものとして、サーバ６０に対してソフトウェア要求を行う。

ソフトウェア要求を行う場合、制御部２７は、放送を受信することでのみ得られる情報を用いて暗号化処理を行う。また、放送を受信することでのみ得られる情報だけでなく、各放送受信装置が個々に有する固有の識別情報も用いた暗号化処理や、要求するソフトウェアに固有の固有情報も用いた暗号化処理を行う。以下、各暗号化処理を用いる場合について個々に説明する。

制御部２７は、暗号化処理として、共通鍵暗号方式を用いるものとする。また、暗号化アルゴリズムとしては、例えば６４ビットブロック暗号アルゴリズムや１２８ビットブロック暗号アルゴリズムあるいはストリーム暗号アルゴリズム等を用いる。

放送を受信することでのみ得られる情報を用いて暗号化処理を行う場合、制御部２７は、例えば内蔵時計２５が示す時刻を数値化して所定ビット長の暗号鍵の生成を行う。このように、放送を受信することでのみ得られる情報に基づいて暗号鍵の生成を行うものとすれば、ユーザは暗号鍵の生成に用いる情報を自由に変更することができないため、暗号アルゴリズムの解析等を容易に行えないようにできる。

また、放送を受信することでのみ得られる情報を詐称するためには、詐称した情報を放送として送信する設備が必要となる。すなわち、詐称した情報と詐称したＮＩＴ(Network Information Table)等の制御情報を多重化して１つのストリーム信号とする処理や、このストリーム信号を変調する処理、変調された信号を放送で用いられている周波数帯の信号に変換する処理等を行わなければならない。したがって、放送を受信することでのみ得られる情報を簡単に詐称することができなくなる。

このため、図１のネットワーク５０に詐称サーバ７０が接続されて、この詐称サーバ７０が放送を受信することでのみ得られる情報を詐称して放送受信装置１０との接続を行い、詐称サーバ７０から放送受信装置１０にソフトウェアの供給が行われてしまう危険性を低減できる。

サーバ６０の制御部６７は、ネットワーク５０を介して放送受信装置１０から供給されたソフトウェア要求に対する応答処理を行う（ＳＴ５）。すなわち、制御部６７は、内蔵時計６５が示す時刻情報に基づき暗号鍵を生成して、この暗号鍵を用いて暗号アルゴリズム記憶部６３に記憶されている暗号アルゴリズムに基づき、暗号化されているソフトウェア要求の復号化を行う。

また、暗号鍵の生成で内蔵時計６５が示す時刻情報を用いる場合、ソフトウェア要求の伝送に要する時間を考慮しないと、暗号化で用いる暗号鍵と復号化で用いる暗号鍵が異なるものとなってしまう。このため、制御部６７は、内蔵時計６５が示す現在時刻の時刻情報から生成した暗号鍵で復号できない場合、過去の方向に遡った時刻情報を用いて繰り返し暗号鍵の生成を行い、生成された暗号鍵で復号化を行う。このとき、ソフトウェア要求の伝送に要する時間よりも僅かに長い時間分だけ順次遡って時刻情報を用いるように予め設定しておけば、放送受信装置１０からのソフトウェア要求は正しく復号することができ、不正な時刻情報を用いて暗号化されたソフトウェア要求は復号されないこととなる。したがって、制御部６７は不正なソフトウェア要求を排除できる。

また、制御部２７，６７で用いる時刻情報の時間解像度を粗く設定すれば、ソフトウェア要求の復号に要する時間を短縮できる。例えば時刻情報で時分秒が示されるとき、秒の下一桁を切上げや切り捨てて丸めることにより時間解像度を粗くする。このようにすれば、制御部２７，６７では、同じ時刻情報に基づいて暗号鍵を生成する場合が多くなる。したがって、過去の方向に遡った時刻情報に基づいて暗号鍵を生成することによりソフトウェア要求の復号に時間を要してしまう場合を少なくできる。さらに、時間解像度を粗く設定すると、過去の方向に遡った時刻情報に基づいて暗号鍵を生成する場合が生じても、正しい暗号鍵が得られるまでの暗号鍵生成回数が少なくなるので、ソフトウェア要求の復号に要する時間を短縮できるとともに、サーバ６０の負荷も軽減できる。

サーバ６０の制御部６７は、応答処理において、ソフトウェア要求の復号化が正しく行われたとき、このソフトウェア要求によって指示されたソフトウェアを暗号化する。さらに、制御部６７は、ソフトウェア要求を行った放送受信装置に対して暗号化されたソフトウェアを送信するソフトウェア送信を行う（ＳＴ６）。なお、送信するソフトウェアは、アプリケーションプログラムや更新プログラム、あるいはこれらのイメージファイル（プログラムがメモリに書き込まれたときのメモリ内容を示すファイル）等である。

このソフトウェアの暗号化において、サーバ６０の制御部６７は内蔵時計６５の時刻情報に基づいて生成した暗号鍵を用いて、暗号アルゴリズム記憶部６３に記憶された暗号アルゴリズムの暗号化を行う。

ソフトウェア要求を行った放送受信装置１０における制御部２７は、サーバ６０から供給されたソフトウェアの導入処理を行う（ＳＴ７）。この導入処理において、制御部２７は、内蔵時計２５の時刻情報に基づいて生成した暗号鍵を用いて、暗号化されているソフトウェアの復号化を行う。また、復号化ができないときは、サーバ６０と同様に、過去の方向の時間情報に基づいて暗号鍵の生成を行う。また、上述のように、時間情報の時間解像度を粗くして暗号鍵の生成を行うものとすれば、放送受信装置１０における復号化を容易とすることができる。

このように、放送を受信することでのみ得られる情報、例えば時刻情報に基づいて生成した暗号鍵を用いて暗号化を放送受信装置１０とサーバ６０で行うものとすれば、時間の経過とともに暗号鍵が変化するので、ソフトウェア要求や供給されたソフトウェアを盗聴しても容易に暗号鍵や暗号アルゴリズムの解析を行うことができない。したがって、ソフトウェアの配布を安全に行うことができるとともに、ソフトウェアの改竄も困難である。また、ネットワークトラフィックを盗聴して、時間が経過した後に、再度詐称サーバからソフトウェアを放送受信装置に導入させたり、異なる放送受信装置に対して受信させることを防ぐことも可能となる。さらに、ソフトウェア要求に時刻情報を含めて暗号化すれば、サーバ６０は、ソフトウェア要求を正しく復号できたときに暗号鍵の生成で用いた時刻情報とソフトウェア要求に含めた時刻情報との時間差が大きいときに、改竄等のおそれがあるとしてソフトウェア要求を無効とすることもできる。

次に、放送を受信することでのみ得られる情報だけでなく、各放送受信装置が個々に有する固有の識別情報も用いて暗号化処理を行う場合について説明する。

制御部２７は、上述のソフトウェア要求において、時刻情報と識別情報に基づいて暗号鍵の生成を行う。例えば時刻情報と識別情報を数値化して所定ビット長の暗号鍵を生成する。このように、識別情報を用いるものとすれば、各放送受信装置で固有の暗号鍵を生成できる。また、制御部２７は、ソフトウェア要求のみを暗号化するだけでなく、ソフトウェア要求に識別情報を含めて暗号化するものしてもよい。

サーバ６０の制御部６７は、上述の応答処理において、ソフトウェア蓄積部６６から、ソフトウェア要求を行った放送受信装置の識別情報を読み出して、この読み出した識別情報と時刻情報に基づいて暗号鍵の生成を行う。

ここで、ソフトウェア要求を行った放送受信装置の判別は、暗号化されたソフトウェア要求の信号を、ネットワーク５０を介して伝送するときに付加された送信元情報等を利用すればよい。例えば、個々の放送受信装置において、ノード情報として所謂グローバルアドレスが割り付けられており、このグローバルアドレスを送信元情報としてソフトウェア要求の伝送が行われているときには、このグローバルアドレスからソフトウェア要求を行った放送受信装置の判別を行うことができる。

制御部６７は、時刻情報と識別情報から生成された暗号鍵を用いて暗号アルゴリズム記憶部６３に記憶されている暗号アルゴリズムに基づき復号化を行う。ソフトウェア要求の復号化が正しく行われたとき、制御部６７は、ソフトウェア要求によって指示されたソフトウェアを暗号化して、ソフトウェア要求を行った放送受信装置に供給する。このソフトウェアの暗号化において、制御部６７は、内蔵時計６５の時刻情報と識別情報に基づいて生成された暗号鍵を用いて、暗号アルゴリズム記憶部６３に記憶された暗号アルゴリズムの暗号化を行う。

ソフトウェア要求を行った放送受信装置１０における制御部２７は、上述の導入処理において、内蔵時計の時刻情報と識別情報を用いて生成した暗号鍵を用いて、サーバ６０から供給されたソフトウェアの復号化を行う。また、復号化ができないときは、サーバ６０と同様に、過去の方向の時間情報に基づいて暗号鍵の生成を行う。さらに、上述のように、時間情報の時間解像度を粗くして暗号鍵の生成を行うものとすれば、放送受信装置１０における復号化を容易とすることができる。

このように、暗号鍵の生成で識別情報を用いるものとすれば、正しい放送受信装置からのソフトウェア要求のみが復号されることになり、サーバ６０の制御部６７では、不正なソフトウェア要求を排除できる。また、サーバ６０から送信された暗号化されているソフトウェアは、正しい送信先の放送受信装置でのみ復号できるものとなるので、盗聴等が行われても暗号化されているソフトウェアの復号が行われてしまう危険性を低減できる。

また、制御部６７は、要求されたソフトウェアと識別情報を関係付けてソフトウェア蓄積部６６に記憶させれば、各放送受信装置のダウンロード履歴を管理することか可能となり、各放送受信装置の例えばバージョンアップ状態を把握できる。また、制御部６７は、要求を行った放送受信装置を判別できるので、放送受信装置毎に供給可能なソフトウェアを設定してソフトウェアの供給を制限することもできる。また、ソフトウェアのタウンロードに対する課金などのサービスも行うことができる。

さらに、上述の識別情報には、放送受信装置の構成を示す装置情報を含めるものとしてもよい。放送受信装置の装置情報としては、放送受信装置のハードウェア構成とソフトウェア構成、例えば番組コンテンツの映像を表示する表示部を有しているときには表示部の画面サイズ、番組コンテンツを記憶する記憶部が設けられているときには記憶部の容量、放送受信装置にインストールされているソフトウェアのバージョン等を示す情報を用いる。これらの装置情報を識別情報に含めるものとすれば、サーバ６０は、ソフトウェア要求に識別情報が含められているとき、要求するソフトウェアが個々に指示されていなくとも、ソフトウェア要求を行った放送受信装置の構成に対応するソフトウェアを選択して、放送受信装置に供給することができる。

また、制御部６７は、内蔵時計６５が示す時刻とソフトウェア要求を正しく復号することができた暗号鍵の生成に用いた時刻情報との時間差を、識別情報と関係付けて例えばソフトウェア蓄積部６６に記憶させてもよい。この場合、各放送受信装置からのソフトウェア要求の時間的ゆらぎを把握できるので、この時間的ゆらぎを考慮して暗号鍵の生成や過去の方向に遡る時刻範囲の設定を行うものとすれば、放送受信装置１０からのソフトウェア要求を速やかに復号することができ、不正な時刻情報を用いたソフトウェア要求を効率よく排除できる。

また、識別情報として、カードインタフェース１５に装着されたＩＣカード４０に記憶されている識別情報を用いることもできる。この場合、ソフトウェアの供給は、放送受信装置の本体ではなく、ＩＣカード４０に対して制御することとなり、ＩＣカード４０を有するユーザ単位でのソフトウェア提供を行うことが可能となる。

次に、放送を受信することでのみ得られる情報とソフトウェア固有情報を用いたソフトウェアダウンロード動作について説明する。ソフトウェア固有情報は、放送受信装置とサーバ間で共有されている情報である。

制御部２７は、上述のソフトウェア要求において、内蔵時計２５の時刻情報とソフトウェア固有情報に基づいて暗号鍵の生成を行う。例えば時刻情報とソフトウェア固有情報を数値化して所定ビット長の暗号鍵を生成する。このように、ソフトウェア固有情報を用いるものとすれば、要求するソフトウェア毎に固有の暗号鍵を生成できる。また、制御部２７は、ソフトウェア要求にソフトウェア固有情報を含めて暗号化するものとしてもよい。

サーバ６０の制御部６７は、上述の応答処理において、ソフトウェア蓄積部６６から、ソフトウェア固有情報を読み出して、この読み出したソフトウェア固有情報と時刻情報に基づいて暗号鍵の生成を行う。

ここで、サーバ６０から複数のソフトウェアを提供可能とすると、放送受信装置が要求しているソフトウェアを判別する処理が必要となる。しかし、ソフトウェア要求は暗号化されているため、要求しているソフトウェアを判別できない。このため、生成した暗号鍵でソフトウェア要求を正しく復号化できないときは、ソフトウェア蓄積部６６から新たにソフトウェア固有情報を読み出して暗号鍵を生成する処理を繰り返し行い、生成した暗号鍵を用いて復号化を行う。また、暗号鍵を生成する処理を繰り返し行うものとすると、提供可能なソフトウェアの数が多いときに、ソフトウェア要求の復号化に時間を要してしまう場合が生ずる。このため、複数の時間帯にソフトウェアを振り分けるものとして、この振り分けられた時間帯でのみ、この時間帯に振り分けたソフトウェア要求を受け付けるものとする。このようにすれば、各時間帯で提供可能なソフトウェアの数は少なくなるので、正しい暗号鍵が生成されるまでに要する時間が長くなってしまうことを防止できる。

制御部６７は、時刻情報とソフトウェア固有情報に基づいて生成した暗号鍵を用いて、暗号アルゴリズム記憶部６３に記憶されている暗号アルゴリズムに基づき復号化を行う。ここで、ソフトウェア要求の復号化が正しく行われたとき、制御部６７は、ソフトウェア要求に含めたソフトウェア固有情報が示すソフトウェアを暗号化して、ソフトウェア要求を行った放送受信装置に供給する。このソフトウェアの暗号化において、制御部６７は内蔵時計６５の時刻情報とソフトウェア固有情報に基づいて生成した暗号鍵を用いて、暗号アルゴリズム記憶部６３に記憶された暗号アルゴリズムの暗号化を行う。

ソフトウェア要求を行った放送受信装置１０における制御部２７は、上述の導入処理において、内蔵時計２５の時刻情報とソフトウェア固有情報に基づいて生成した暗号鍵を用いて、サーバ６０から供給されたソフトウェアの復号化を行う。

このように、ソフトウェア固有情報も用いて暗号鍵の生成を行うものとすれば、ソフトウェア要求を行うソフトウェアが正しく指定されているとき、サーバ６０でソフトウェア要求が復号されるので、サーバ６０の制御部６７では、不正なソフトウェア要求を排除できる。また、サーバ６０から供給されたソフトウェアは、このソフトウェアの要求を行った放送受信装置でのみ復号できるものとなるので、盗聴等が行われても暗号化されているソフトウェアの復号が行われてしまう危険性を低減できる。

さらに、制御部２７や制御部６７は、時刻情報と識別情報とソフトウェア固有情報に基づいて暗号鍵の生成を行いものとしたり、ソフトウェア要求や要求されたソフトウェアに時刻情報と識別情報とソフトウェア固有情報を含めるものとしてもよい。また、制御部２７や制御部６７は、暗号化する情報に誤り検出符号や誤り訂正符号を付加して送信すれば、これらの符号を利用して、誤りのない正しいソフトウェア要求や要求されたソフトウェアのみを用いることができる。

また、サーバ６０は、放送受信装置からの要求に対して、要求を承諾する条件を設定してもよい。要求の承諾条件としては、ソフトウェア供給が短時間に繰り返し行われことがないように、例えば同じ識別情報のソフトウェア要求、すなわち同一の製造シリアル番号でのソフトウェア要求や同一のネットワークノード情報でのソフトウェア要求に対して、所定の時間間隔を設けてソフトウェア供給を行うようにする。また、１日の供給回数を、同一の識別情報に予め設定して制限する。さらに、ソフトウェアの供給回数を積算して、積算回数が予め設定した回数に達したときには、ソフトウェア供給を行わないものとする。また、同一のネットワークノード情報に対して、複数の放送受信装置が接続可能とされている場合、例えば１つのグローバスアドレスに対して複数のプライベートアドレスが設定可能とされている場合、同一のネットワークノードに接続可能な放送受信装置の数を制限する。また、各放送受信装置にグローバルアドレスが個々に割り当てられているときは、ソフトウェア要求の信号で示されているグローバルアドレスが実際のグローバスアドレスと異なる場合にソフトウェア要求を無効とする。このように、要求の承諾条件を設定すれば、放送受信装置からの要求に対して無制限にソフトウェアの供給が行われてしまうことがないので、暗号方法の解析等の危険性を低減できる。

ところで、識別情報はユーザ操作によって書換えができない情報であるが、この識別情報をサーバ６０から更新可能とすれば、同じ識別情報が繰り返し用いられることを防止することが可能となり、暗号化されたソフトウェア要求や提供されるソフトウェアの解析をさらに困難なものとすることができる。

図３は、識別情報の更新を行う場合のソフトウェアダウンロード動作を示している。また、暗号鍵の生成は、識別情報も用いて行う。

サーバ６０の制御部６７は、放送受信装置１０からネットワーク５０を介して供給されたソフトウェア要求の応答処理（ＳＴ８）において、上述したように時刻情報と識別情報に基づいて暗号鍵の生成を行い、生成した暗号鍵を用いてソフトウェア要求の復号化を行う。また、制御部６７は、ソフトウェア要求の復号化が正しく行われたとき、このソフトウェア要求によって指示されたソフトウェアに識別情報の更新指示を含めて暗号化を行う。この暗号化では、内蔵時計６５の時刻情報と更新前の識別情報に基づいて生成した暗号鍵を用いて、暗号アルゴリズム記憶部６３に記憶された暗号アルゴリズムの暗号化を行う。

制御部６７は、ソフトウェア要求を行った放送受信装置に対して、暗号化されたソフトウェアを供給するソフトウェア送信を行う（ＳＴ９）。

ソフトウェア要求を行った放送受信装置１０の制御部２７は、サーバ６０から供給されたソフトウェアの導入処理を行う（ＳＴ１０）。制御部２７は、導入処理において、上述のようにして生成した暗号鍵を用いて、暗号化されているソフトウェアの復号化を行う。ここで、正しく復号化が行われたとき、制御部２７は、復号されたソフトウェアに含まれている更新指示に基づいて識別情報の更新を行う。

その後、ソフトウェア要求操作がなされたとき（ＳＴ１１）、制御部２７はサーバ６０に対してソフトウェア要求を行う（ＳＴ１２）。このソフトウェア要求を行う場合、制御部２７は、放送を受信することでのみ得られる情報と更新後の識別情報に基づいて暗号鍵を生成する。また、ソフトウェア要求に更新後の識別情報、あるいは更新前後の識別情報を含めるものとして、生成されている暗号鍵で暗号したのちサーバ６０に供給する。

サーバ６０の制御部６７は、放送受信装置１０からネットワーク５０を介して供給されたソフトウェア要求に対する応答処理（ＳＴ１３）において、放送を受信することでのみ得られる情報と更新後の識別情報に基づいて暗号鍵の生成を行い、生成した暗号鍵を用いてソフトウェア要求の復号化を行う。ここで、暗号鍵の生成に更新後の識別情報を用いていることから、ソフトウェア要求の復号化が正しく行われたときには、放送受信装置で識別情報の更新が行われたことを判別できる。また、ソフトウェア要求に更新後の識別情報や更新前後の識別情報を含めて暗号化されているときは、復号化によって得られた識別情報が更新後の識別情報と一致するとき、正しく識別情報の更新が行われたことを判別できる。

制御部６７は、ソフトウェア要求の復号化が正しく行われたとき、このソフトウェア要求によって指示されたソフトウェアの暗号化を行う。この暗号化では、内蔵時計６５の時刻情報と更新後の識別情報に基づいて生成した暗号鍵を用いて、暗号アルゴリズム記憶部６３に記憶された暗号アルゴリズムの暗号化を行う。

制御部６７は、ソフトウェア要求を行った放送受信装置に対して、暗号化されたソフトウェアを送信するソフトウェア送信を行う（ＳＴ１４）。

ソフトウェア要求を行った放送受信装置１０における制御部２７は、サーバ６０から供給されたソフトウェアの導入処理を行う（ＳＴ１５）。制御部２７は、この導入処理において、上述のように生成した暗号鍵を用いて、暗号化されているソフトウェアの復号化を行い、正しく復号化が行われたときに得られたソフトウェアを導入する。

また、制御部２７は、更新指示に基づいて識別情報の更新を行ったとき、サーバ６０に対して識別情報の更新が完了したことを示す変更完了通知を行うものとすれば、サーバ６０は識別情報の更新が行われたか否かを速やかに把握できる。

変更完了通知では、更新前の識別情報と更新後の識別情報を、時刻情報あるいは時刻情報と識別情報に基づいて生成した暗号鍵で暗号化して送信する。サーバ６０の制御部６７は、更新指示を送信した放送受信装置から、変更完了通知が供給されたか否かを判別する。ここで、変更完了通知が供給されたとき、時刻情報あるいは時刻情報と識別情報に基づいて生成した暗号鍵を用いて復号化を行い、変更完了通知を正しく復号できたときは、この変更完了通知で示されている更新前の識別情報と更新後の識別情報に基づき、識別情報の更新が完了したことを判別できる。また、識別情報の更新が完了したことを判別したとき、サーバ６０から再確認を行うなどの手順を踏むものとすれば、放送受信装置とサーバのそれぞれで、識別情報の更新の完了を確実に確認できる。

このように識別情報の更新を行うものとすれば、識別情報が漏出しても、漏出した識別情報を用いてソフトウェアのダウンロードが不正に行われるような場合が生じても、不正が引き続き行われてしまうことを防止できる。

ソフトウェアダウンロードシステムの構成を示す図である。 ソフトウェアダウンロード動作を示すシーケンス図である。 ソフトウェアダウンロード動作（識別情報の更新を行う場合）を示すシーケンス図である。

符号の説明

１０・・・放送受信装置、１１・・・アンテナ、１２・・・受信部、１３・・・ビデオデコーダ、１４・・・オーディオデコーダ、１５・・・カードインタフェース、１８，６１・・・ネットワークインタフェース、２０，６２・・・バス、２１・・・入力部、２２・・・不揮発性メモリ、２３・・・ＲＡＭ、２５，６５・・・内蔵時計、２７，６７・・・制御部、４０・・・ＩＣカード、５０・・・ネットワーク、６０・・・サーバ、６３・・・暗号アルゴリズム記憶部、６６・・・ソフトウェア蓄積部、７０・・・詐称サーバ、１２１・・・チューナ、１２２・・・デスクランブラ、１２３・・・デマルチプレクサ

Claims (9)

1. 放送を受信する放送受信装置と、該放送受信装置とネットワークを介して接続されてソフトウェア供給を行うサーバを有したソフトウェアダウンロードシステムにおいて、
   前記放送受信装置は、放送を受信してのみ得られる情報に基づいて暗号鍵を生成する処理と、前記暗号鍵でソフトウェア要求を暗号化して前記サーバに供給する処理と、前記サーバから暗号化されて供給されたソフトウェアを前記暗号鍵で復号化する処理とを行う制御部を備え、
   前記サーバは、放送を受信してのみ得られる情報に基づいて暗号鍵を生成する処理と、前記放送受信装置から暗号化されて供給されたソフトウェア要求を前記暗号鍵で復号化する処理と、前記ソフトウェア要求に応じたソフトウェアを前記暗号鍵で暗号化して前記ソフトウェア要求を行った放送受信装置に供給する処理を行う制御部を備え、
   前記放送を受信してのみ得られる情報として時刻情報を用いた
   ソフトウェアダウンロードシステム。
2. 前記放送を受信してのみ得られた情報と前記放送受信装置が個々に有する固有の識別情報に基づいて前記暗号鍵を生成する
   請求項１に記載のソフトウェアダウンロードシステム。
3. 前記放送受信装置の制御部は、前記ソフトウェア要求に前記識別情報を含めるものとし、
   前記サーバの制御部は、前記暗号鍵の生成に用いた前記識別情報と、復号化されたソフトウェア要求に含まれている識別情報が一致するとき、該ソフトウェア要求に応じたソフトウェアの供給を行う
   請求項２に記載のソフトウェアダウンロードシステム。
4. 前記放送受信装置の制御部は、前記識別情報に該放送受信装置の構成を示す装置情報を含めるものとし、
   前記サーバの制御部は、前記識別情報に含まれている装置情報に基づいて、供給するソフトウェアを決定する
   請求項３に記載のソフトウェアダウンロードシステム。
5. 前記サーバの制御部は、前記ソフトウェア要求に応じたソフトウェアを放送受信装置に供給する際に、前記識別情報の更新指示を含めるものとし、
   前記放送受信装置の制御部は、前記サーバから供給されたソフトウェアに前記識別情報の更新指示が含まれているとき、該更新指示に基づき前記識別情報を更新する
   請求項２に記載のソフトウェアダウンロードシステム。
6. 前記放送を受信してのみ得られた情報と前記ソフトウェア要求で要求するソフトウェアの固有情報に基づいて前記暗号鍵を生成する
   請求項１に記載のソフトウェアダウンロードシステム。
7. 放送を受信する受信部と、
   ソフトウェア供給を行うサーバとネットワークを介して接続するためのネットワークインタフェースと、
   前記受信部で前記放送を受信してのみ得られる情報に基づいて暗号鍵を生成する処理と、前記暗号鍵でソフトウェア要求を暗号化して前記サーバに供給する処理と、前記サーバから暗号化されて供給されたソフトウェアを前記暗号鍵で復号化する処理とを行う制御部と、
   を有し、
   前記放送を受信してのみ得られる情報として時刻情報を用いた
   放送受信装置。
8. 供給するソフトウェアが蓄積されているソフトウェア蓄積部と、
   放送受信装置とネットワークを介して接続するためのネットワークインタフェースと、
   前記放送受信装置で放送を受信してのみ得られる情報と等しい情報に基づいて暗号鍵を生成する処理と、前記放送受信装置から暗号化されて供給されたソフトウェア要求を前記暗号鍵で復号化する処理と、前記ソフトウェア要求で要求されたソフトウェアを前記ソフトウェア蓄積部から読み出して前記暗号鍵で暗号化したのち前記ソフトウェア要求を行った放送受信装置に供給する処理を行う制御部と、
   を備え、
   前記放送を受信してのみ得られる情報として時刻情報を用いた
   サーバ。
9. ネットワークを介して、放送を受信する放送受信装置にサーバからソフトウェアを供給するソフトウェアダウンロード方法において、
   前記放送受信装置が、
   放送を受信してのみ得られる情報に基づいて暗号鍵を生成する工程と、
   前記暗号鍵でソフトウェア要求を暗号化して前記サーバに供給する工程と、
   前記サーバから暗号化されて供給されたソフトウェアを前記暗号鍵で復号化する工程と、
   を有し、
   前記サーバが、
   放送を受信してのみ得られる情報に基づいて暗号鍵を生成する工程と、
   前記放送受信装置から暗号化されて供給されたソフトウェア要求を前記暗号鍵で復号化する工程と、
   前記ソフトウェア要求に応じたソフトウェアを前記暗号鍵で暗号化して前記ソフトウェア要求を行った放送受信装置に供給する工程と、
   を有し、
   前記放送を受信してのみ得られる情報として時刻情報を用いた
   ソフトウェアダウンロード方法。

Images