JP5361894B2 - マルチファクタコンテンツの保護 - Google Patents

Description

コンピュータおよびコンピューティングシステムは、現代生活の殆どすべての側面に影響を与えている。コンピュータは、一般的に、仕事、レクリエーション、健康管理、輸送、エンターテインメント、家事管理などに係わりをもっている。

ユーザは、しばしばデータを保護する必要がある。この保護は、種々の暗号化手法によって、および種々の信用証明(credential)をベースとするアクセスコントロールを使用することによって行なうことができる。例えば、センシティブなデータへのアクセスは、パスワードまたはスマートカードを認証の検証または暗号化鍵として使用することによりゲート処理され、または保護される。ユーザが該当パスワードまたはスマートカードを提供できる場合は、ユーザはデータへのアクセスが許可される。

本明細書の請求項に記載の主題は、どのような欠点でも解決する実施形態にも、上述したような環境においてだけで動作する実施形態にも限定されない。むしろ、この背景技術は、本明細書に記載した一部の実施形態が実施されることのある１つの例示のテクノロジ分野を具体例で説明することだけを目的としている。

本明細書に記載のある実施形態はコンピューティング環境で実施される方法を含む。本方法は、コンテンツを保護するための動作（act)を含む。本方法は、受信側(recipient)においてコンテンツをパブリッシャから受信することを含む。受信側によって使用されるコンテンツへの少なくも一部のアクセスは、アクセスサーバによって管理される。アクセスサーバは、ユーザによる管理対象コンテンツの使用を、受信側コンピュータシステムに結ばれたトラステッドエージェント(trusted agent)とのやりとりを通して制御するように構成される。コンテンツは、コンテンツ鍵に対して暗号化され、そのコンテンツはポリシ情報と関連付けられている。ポリシ情報は、コンテンツを復号化（解読）するためのコンテンツ鍵を含んでいる。ポリシ情報はアクセスサーバ鍵に対して暗号化され、そのポリシ情報がアクセスサーバによって復号化できるようになっている。受信側では、コンテンツ鍵はアクセスサーバから受信される。コンテンツ鍵はトラステッドエージェント鍵に対して暗号化され、トラステッドエージェントがコンテンツ鍵を復号化できるようになっている。コンテンツ鍵は、トラステッドエージェントによって提供されるコンテンツ保護を越えて追加コンテンツ保護を定義している少なくとも１つの追加ファクタに対してさらに暗号化される。受信側では、コンテンツ鍵は、トラステッドエージェント鍵および前記少なくとも１つの追加ファクタを使用して復号される。そのあと、コンテンツはコンテンツ鍵を使用して復号される。

別の実施形態では、システムが実現される。このシステムは、受信側コンピュータシステムを含む。受信側コンピュータシステムは、直接的または間接的のいずれかで、コンテンツをパブリッシングコンピュータシステムから受信するように構成されている。受信側コンピュータシステムは、トラステッドエージェントを含む。トラステッドエージェントはアクセスサーバとやりとりして、コンテンツにアクセスする許可をそのコンテンツに対する使用制限(usage restrictions)と一緒に受信するソフトウェアまたはハードウェアを含む。トラステッドエージェントは、アクセスサーバからのデータを復号化するためのトラステッドエージェント鍵を含んでいる。受信側コンピュータシステムは、さらに、トラステッドエージェントとやりとりして、アクセスエージェントによって制御されたコンテンツにアクセスするように構成されたトラステッドアプリケーションを含む。受信側コンピュータシステムは、さらに、トラステッドエージェントからのデータを復号化するように構成されたファクタ鍵およびアクセスサーバからのデータを復号化するように構成されたトラステッドエージェントによって保護されたユーザ鍵を含んでいる。アクセスサーバからのデータは、パブリッシングコンピュータシステムからのコンテンツを復号化するためのコンテンツ鍵を含んでいる。

この要約説明は、以下の「詳細説明」の個所に詳しく説明されている概念のいつかを選んで簡単に紹介したものである。この要約説明は請求項に記載の主題のキーとなる特徴または必須の特徴を特定することを目的としたものでもなく、請求項に記載された主題の範囲を判断する際の一助として使用されることを目的としたものでもない。

追加の特徴および利点は以下の説明に記載されており、その一部は以下の説明から明らかにされるが、本明細書の教示事項の実施によって知得されることもある。本発明の特徴および利点は、請求項に特に指摘されている手段および組み合わせによって実現され、取得されることがある。本発明の特徴は。以下の説明からより詳しく明らかにされるが、以下に記載したように本発明の実施によって知得されることもある。

上述した特徴と利点およびその他の特徴と利点がどのようにして得られるかを説明するために、要約して上述した主題を、添付図面に図示の特定実施形態を参照して以下により具体的に説明する。これらの図面は代表的な実施形態を示したものであり、従って、範囲が限定的でないとの了解の下で、添付図面を使用してより具体的かつ詳細に実施形態を記載し、説明する。
コンテンツが保護されることのあるシステムを示す図である。 コンテンツが保護されることのある代替のシステムを示す図である。 コンテンツが保護されることのあるさらに別の代替のシステムを示す図である。 保護されたコンテンツにアクセスする方法を示す図である。

本明細書に記載の一部の実施形態は、以下に詳しく説明するように、種々のコンピュータハードウェアを含む特殊目的または汎用コンピュータを含んでいることがある。

デジタルコンテンツは、保護ファクタ(protection factor)に対してコンテンツを暗号化することにより保護されることがある。保護ファクタは暗号デバイスまたは鍵に結び付けられている。いくつかの異なるクラスのファクタは、例えば、なんらかの公知のもの（例：ＰＩＮ（パスワードまたはパーソナル識別番号））、なんらかの処理されたもの（例：スマートカードのようなハードウェアセキュリティトークン）、またはなんらかのユーザの特性（例：バイオメトリック特性）などの、異なるクレデンシャルを使用して存在している。このタイプの保護は、該当クレデンシャルを提示できるユーザならば、だれでもが保護されたコンテンツにアクセスするのを可能にしている。特に、一部のファクタは２以上のクラスをスパンしていることがある。例えば、スマートカードは、なんらかの処理されたもの、すなわち、スマートカード自体、およびなんらかの公知のもの、すなわち、ＰＩＮを必要とすることがある。

追加タイプのコンテンツ保護は使用制限コンテンツ(restricted use content)に関係している。使用制限コンテンツ環境では、中央組織は、コンテンツがどのように使用され、アクセスされるかを制御している。コントロールは、コンテンツの使用またはアクセスを試みるユーザのＩＤに基づいたり、そのコンテンツで試みられるアクションに基づいたり、日付に基づいたり、さらにはローカリティまたは他の条件に基づくこともある。例示として、中央組織は、一部のユーザがコンテンツに完全にアクセスするのを可能にしている場合があり、その中には、編集すること、および組織の外にコンテンツを送信する能力が含まれている。他のユーザは、読取専用アクセスに制限されていることがある。別の例では、特にセンシティブコンテンツは、ユーザのＩＤに関係なく、組織の外に送信されることが制限されていることがある。

使用制限に従っていることを確かめることは、特定のユーザが特定のコンテンツにアクセスする能力に関して許可と使用制限の判断を行なう中央アクセスサーバとやりとりするユーザマシンでトラステッドエージェント(trusted agent)を使用することによって行なわれることがある。コンテンツを使用するアプリケーションは、トラステッドエージェントとやりする能力のあるトラステッドアプリケーション(trusted application)である。トラステッドアプリケーションは、使用制限を実施することが信頼（トラスト）されたアプリケーションである。

本明細書に記載の一部の実施形態は、パブリッシャがコンテンツをユーザにパブリッシュすることを可能にしている。そこではコンテンツは、上記に例示したもののような暗号化ファクタに対して暗号化すると共に、コンテンツがコンテンツ使用制御インフラストラクチャによって管理されるのを可能にすることによって保護されている。一部の実施形態では、アクセス権のレベルは、１つまたは２つ以上のファクタの使用によって判断されることがある。さらに、一部の実施形態は、総称タイプ(generic type)のファクタが使用されているか、特定のファクタが使用されているかにパブリッシャが気づいているかどうかに関係なく、ファクタベースの暗号化が行なわれることを可能にしている。さらに、一部の実施形態は、コンテンツ保護のために使用されるはずの追加ファクタを、ポリシでパブリッシャが指定することを可能にしている。この指定は、総称タイプを指定することによっても、使用されるはずの正確なファクタを指定することによっても行なうことができ、保護されるコンテンツのタイプに依存して潜在的にされることもある。

図１Ａ乃至図１Ｃに例が示されている。例えば、図１Ａはパブリッシャ１０２を示している。パブリッシャ１０２は、コンテンツ１０４、ポリシ１０６およびコンテンツ鍵１０７を受信側１０８に発行（publish）する。コンテンツ１０４は、コンテンツ鍵１０７を使用して暗号化される。以下に詳しく説明されているように、ポリシ１０６は使用制限などの情報を含んでいることがあり、一部の実施形態では、追加暗号化ファクタの指定を含んでいることがある。ポリシ１０６とコンテンツ鍵１０７とは、そのポリシ１０６とコンテンツ鍵１０７とがコンテンツ使用の制御のために使用されるアクセスサーバ１１０によって復号化されるような形で、アクセスサーバ鍵１０９に対して暗号化されていることがある。特に、鍵に対する暗号化には、鍵を使用して暗号化を行なうことが含まれているとは限らない。例えば、非対称鍵を使用した暗号化は、暗号化を行なうエンティティで公開鍵を暗号化し、復号化を行なうエンティティで秘密鍵を使用して復号化することにより行なわれている。

次に、現在の例に戻って説明すると、受信側１０８はポリシ１０６とコンテンツ鍵１０７をアクセスサーバ１１０に送信する。特に、ポリシ１０６とコンテンツ鍵１０７が同じトークンの中で一緒に送信されるものとして示されているが、これらは別々に送信されることもあれば、他のなんらかの適切な方法で送信されることもある。このことは、アイテムが一緒に送信されるものとして示されている図示の例のいずれの場合も同様である。この場合、アクセスサーバ１１０は、ポリシ１０６とコンテンツ鍵１０７とを復号化することができる。アクセスサーバ１１０は、ポリシのバージョン１０６ａとコンテンツ鍵１０７とを受信側１０８のトラステッドエージェント１１２に送信する。このポリシ１０６ａは、コンテンツへのアクセスを要求している受信側に適用される総ポリシ(total policy)１０６のサブセットであることがある。ある実施形態では、ポリシ１０６ａとコンテンツ鍵１０７とは、許可トークン１１４の中で送信される。ポリシ１０６ａとコンテンツ鍵１０７とは、暗号化されてからトラステッドエージェント１１２に送信されることがある。例えば、トラステッドエージェント１１２に送信されたポリシ１０６ａとコンテンツ鍵１０７とは、トラステッドエージェント１１２がポリシ１０６ａとコンテンツ鍵１０７とを復号化できるような形で、アクセスサーバによってトラステッドエージェント鍵１１２に対して暗号化されることがある。ポリシ１０６ａは、ポリシ１０６ａとコンテンツ鍵１０７とが受信側１０８でファクタ鍵１１６を使用して復号化されるような形で、追加ファクタを使用してアクセスサーバ１１０によってさらに暗号化されることがある。ある実施形態では、ファクタは、パブリッシャ１０２から受信側１０８に送信されたポリシ１０６の中で指定されたファクタであることがある。

いくつかの鍵を上記で紹介したが、以下ではさらに詳しく説明する。ある実施形態では、コンテンツ保護はプロビジョニングまたはブートストラッピングフェーズを含んでいる。ブートストラッピングフェーズの期間に、トラステッドエージェント鍵１１３が作成される。このトラステッドエージェント鍵１１３は、ある任意のマシン上のトラステッドエージェント１１２に対してユニークで、ランダムな暗号化鍵であることがある。前述したように、トラステッドエージェント１１２は、組織に代行してポリシを実行することが組織によって信頼されているソフトウェアまたはハードウェアコンポーネントである。トラステッドエージェント鍵１１３は、トラステッドエージェント１１２によって保護されるために、受信側１０８のマシンのような、ある任意のマシンに結合(bound)されている。トラステッドエージェント鍵１１３は、トラステッドエージェント１１２によってだけ使用され、トラステッドエージェント１１２の外部に解放されていない。トラステッドアプリケーション１１７のようなトラステッドアプリケーションは、トラステッドエージェント鍵の必要時にトラステッドエージェント１１２をコールすることができる。

ユーザ用の組織管理対象ユーザ鍵を作成することもできる。例えば、ユーザ鍵１１９は受信側１０８用に作成されることもある。組織管理対象ユーザ鍵は組織によって所有されているが、受信側１０８などのユーザに対して発行される。受信側１０８には、保護されたコンテンツの消費または作成のいずれかに適用される組織上のポリシで指定された通りにだけユーザ鍵を使用する能力が付与される。特に、パブリッシャ１０２は、図１に例示するユーザ鍵１２０のような、該当の組織管理対象ユーザ鍵を取得するためにブートストラップされることもある。

コンテンツ保護システムに関係する参加者がブートストラップされると、パブリッシャ１０２はコンテンツ１０４を作成し、パブリッシャ１０２またはパブリッシャの組織によって定義可能であるポリシでそのコンテンツを保護する。図１Ａに例示するパブリッシングライセンス（１１２）が作成され、そこには、両方がアクセスサーバ鍵１０２に対して暗号化された情報及びコンテンツ鍵に対する情報保護ポリシが収められている。そのあと、コンテンツ１０４は、いずれかの該当メカニズムを通して受信側１０８に使用可能にされる。ある実施形態では、ポリシ１０６内の情報保護ポリシが保護コンテンツ１０４に適用される場合に、そのポリシ１０６は、コンテンツ１０４にアクセスするとき特定の保護ファクタ（スマートカードなど）が使用されることを要求していることがある。このファクタは、コンテンツ全体をアクセスする場合に要求されることもあれば、コンテンツ１０４の特定セクションにアクセスする場合に要求されることもあるが、これはポリシによって決まる。どのファクタが使用されるかに応じた異なるアクセス権を目的とした、さらに別の実施形態は以下に詳しく説明されている。

保護されたコンテンツ１０４にアクセスするには、受信側１０８は、その特定の受信側がその特定コンテンツ１０４にアクセスするためのポリシ１０８を記述し、コンテンツ鍵１０７を収めている許可トークン１１４をアクセスサーバから取得する必要がある。このコンテンツ鍵１０７は、受信側の組織管理対象ユーザ鍵１１８に対して暗号化されることがある。このトークン１１４は、図１に例示するポリシ１０６ａとコンテンツ鍵１０７とを含めて、受信側１０８によってアクセスサーバ１１０からリトリーブされることもあれば、以下により詳しく説明する図１Ｂ及び図１Ｃに例示するように、受信側に代行してすでにリトリーブされていることもある。追加の保護ファクタがポリシ１０６ａによって要求されているか、またはそうでないとき、コンテンツ鍵１０７は、受信側の組織管理対象ユーザ鍵１１８と必要な追加ファクタに属する鍵の両方に対して暗号化される。例えば、ある実施形態では、許可トークン１１４の中のコンテンツ鍵１０７は、ファクタ鍵１１６で表されたスマートカード鍵に対して暗号化されることがある。

ブートスラッピング期間に取得された許可トークン１１４および鍵と共に、受信側１０８は、現在、保護コンテンツ１０４にアクセスするために必要な鍵マテリアルを有している。トラステッドエージェント１１２は、そのトラステッドエージェント鍵を使用して受信側の組織管理対象ユーザ鍵１１８を復号化するが、このユーザ鍵１１８は、許可トークン１１４からのコンテンツ鍵１０７を復号化するときに使用される。受信側は、ファクタ鍵１１６のように、追加のファクタを提供するセキュリティトークン（１つまたは２つ以上）を使用する必要が生じることもあるが、これらの追加ファクタは、アウトオブバンドプロセスなどを通してコンテンツ鍵１０７を復号化するために既にプロビジョニングされている。

次に、トラステッドエージェント１１２は、このコンテンツ鍵を使用してコンテンツ１０４を復号化し、復号化したコンテンツをトラステッドアプリケーション１１７に渡す。これは、アプリケーションがそのコンテンツ１０４に対して指定されている使用に関するポリシ（「印刷しない」など）を実施するという条件の下で行なわれる。コンテンツ１０４が復号化されるために、トラステッドエージェント１１２が追加保護ファクトと共に関与している。

図１Ａは、ポリシ１０６とコンテンツ鍵１０７が受信側１０８からアクセスサーバに直接に渡された場合の例を示しているが、他の実施形態が実現されていることもある。例えば、図１Ｂは、パブリッシャ１０２がコンテンツ１−４を受信側に送信し、他方では、ポリシ１０６とコンテンツ鍵１０７がアクセスサーバ１１０に直接に送信される場合の例を示している。そのあと、アクセスサーバは、ポリシ１０６ａとコンテンツ鍵１０７を含む許可トークン１１４を受信側１０８のトラステッドエージェント１１２に提供することができる。そのあと、トラステッドエージェント１１２及び受信側は、前述したようにコンテンツ鍵１０７とその他の指定されたファクタとを使用してコンテンツ鍵１０７とコンテンツ１０４とを復号化することができる。

図１Ｃはさらに別の代替実施形態を示す。そこでは、仲介者(intermediary)がポリシ１０６及びコンテンツ鍵１０７のプロビジョニングを容易にすることがある。図１Ｃに示した例では、パブリッシャ１０２はコンテンツ１０４、ポリシ１０６およびコンテンツ鍵１０７を仲介者１２４に提供している。例えば、図示の例におけるコンテンツ１０４はｅメールメッセージであり、仲介者１２４はメールサーバである。仲介者はコンテンツ１０４を受信側１０８に引き渡し、ポリシ１０６とコンテンツ鍵１０７とをアクセスサーバ１１０に送信する。図示の実施形態では、アクセスサーバ１１０は、アクセストークン１１４を仲介者１２４に渡すことがあり、これを受けて仲介者１２４はトラステッドエージェント１１２を通してアクセストークンを受信者１０８に提供することになる。そのあと、復号化は上述したように行なうことができる。代替の実施形態では、そのあと、アクセスサーバ１１０は、ポリシ１０６ａとコンテンツ鍵１０７とを含めて、トラステッドエージェント１１２を通してアクセストークン１１４を受信側１０８に送信する。

次に図２を参照して説明すると、図には方法２００が例示されている。本方法２００は、保護されたコンテンツにアクセスするための種々の動作(act)を含んでいる。本方法２００は、ポリシと関連付けられ、コンテンツ鍵に対して暗号化されたコンテンツを受信することを含んでいる（アクト２０２）。これは、例えば、図１Ａに示した受信側１０８で行なわれることがある。この例では、受信側１０８によって使用される少なくとも一部のコンテンツへのアクセスは、アクセスサーバ１１０によって管理されている。アクセスサーバ１１０は、受信側で管理されるコンテンツの使用を、受信側と結び付けられたトラステッドエージェント１１２とのやりとりを通して制御するように構成されている。上述したように、コンテンツ１０４は、コンテンツ鍵１０７に対して暗号化される。さらに、コンテンツは、ポリシ情報と関連付けられている。ポリシ情報は、コンテンツを復号化するためのコンテンツ鍵１０７を含んでいる。ポリシ情報は、コンテンツがどのように使用され、またはアクセスされるかに関係する追加ポリシ１０６をさらに含んでいることがある。ポリシ情報は、コンテンツ鍵１０７を含めて、アクセスサーバ鍵１０９に対して暗号化され、ポリシ情報がアクセスサーバ１１０によって復号化できるようになっている。

本方法２００は、トラステッドエージェント鍵と少なくとも１つの他のファクタに対して暗号化されたコンテンツ鍵を受信することをさらに含んでいる（アクト２０４）。例えば、受信側１０８では、受信側１０８はコンテンツ鍵１０７をアクセスサーバ１１０から受信することがある。この例では、トラステッドエージェント１１２がそのコンテンツ鍵を復号化できるような形で、コンテンツ鍵１０７がトラステッドエージェント鍵１１３に対して暗号化されている。コンテンツ鍵は、さらに、トラステッドエージェントによって提供されるコンテンツ保護を越えて追加のコンテンツ保護を定義している少なくとも１つの追加ファクタに対して、例えば、ファクタ鍵１１６に対して暗号化されている。複数のファクタが要求される場合は、上述したプロセスは各ファクタについて繰り返すことも、その明示的ファクタを要求するコンテンツの各特定部分について各ファクタが要求されるときに繰り返すこともできる。

本方法２００は、トラステッドエージェント鍵と他のファクタとを使用してコンテンツ鍵を復号化することをさらに含んでいる（アクト２０６）。例えば、受信側１０８では、トラステッドエージェント鍵１１３とファクタ鍵１１６とを使用してコンテンツ鍵１０７を復号化することが行なわれることがある。本方法２００は、コンテンツ鍵を使用してコンテンツを復号化することをさらに含んでいる（アクト２０８）。

本方法２００は、少なくとも１つの他のファクタがポリシ情報の中で使用されている場合に、さらに実行されることがある。例えば、パブリッシャ１０２から送られたポリシ１０６は、１つまたは２つ以上のファクタを指定した情報を含んでいることがある。ある実施形態では、少なくとも１つのファクタは、あるクラスのファクタとして総称的に指定されている。例えば、総称的指定(generic specification)は、どのスマートカードファクタでも十分であることを指定していることがある。他の実施形態では、少なくとも１つのファクタが明示的に指定されている。例えば、ポリシ情報は、あるタイプの暗号化、すなわち、特定の当局によって署名された暗号化が使用されることを指定していることがある。さらに別の実施形態では、少なくとも１つのファクタは、コンテンツの少なくとも一部を分類することによって黙示的に判断される。例えば、ある種のタイプのコンテンツは、ある種のタイプのファクタ、つまり、特定のファクタを要求することがある。図示の例では、ビジネスインパクトが高いコンテンツはスマートカードを要求することがあり、他方、ビジネスインパクトが低いコンタクトはパスワードだけを要求することがある。

ファクタの指定を行なうために、ある実施形態では、アドミニストレータは、組織内にどの保護ファクタが配置(deploy)され、利用可能であるかを指定することができる。これらのファクタは、保護のタイプ（スマートカード、バイオメトリックスなど）を指定している証明書プロファイルと逆に対応付けることも、各ユーザに属する各保護ファクタに対する公開鍵情報を収めているディレクトリまたはリポジトリに逆に対応付けることもできる。アクセスサーバは、情報保護ポリシからの保護ファクタ要件を、特定のファクタを記述し、および／または特定のファクタ証明書をディレクトリからリトリーブする証明書プロファイルと対応付けることができる。この構成情報セットを使用すると、アドミニストレータは、シングルファクタ保護だけを要求することがある、またはマルチファクタ保護を要求することがある情報保護ポリシプロファイルを定義することができる。これらのポリシプロファイルは、どの特定保護ファクタが要求され、どのアクセスレベルが各保護ファクタに対して提供されるかを指定することもできる。これらのポリシプロファイルは、マルチファクタ保護を使用して保護しようとするコンテンツのセクションおよびシングルファクタ保護を使用して保護しようとする他のセクションを指定することも可能である。１つの共通例として、ビジネスインパクトの低いコンテンツは未保護にされ、ビジネスインパクトが中程度のコンテンツはシングルファクタに対して保護され(標準的クリデンシャル)、ビジネスインパクトが高いコンテンツは複数ファクタに対して保護される場合がある。

組織に対する全体的情報保護ポリシに応じて、コンテンツのパブリッシャは、コンテンツを保護するとき事前定義のポリシテンプレートから選択することもあれば、独自の情報保護ポリシを定義することもあれば、コンテンツがなんらかの適用可能ポリシで情報保護システムによって自動的に保護されることもある。

コンテンツ鍵を少なくとも１つまたは２つ以上のファクタに対して暗号化することは、いくつかの異なる方法で行なわれることがある。例えば、ある実施形態では、コンテンツ鍵は、１つまたは２つ以上のファクタに対応する１つまたは２つ以上の鍵に対してコンテンツ鍵を暗号化することによって暗号化されている。別の代替実施形態では、コンテンツ鍵は、複数のファクタから導出されたシングル鍵に対してコンテンツを暗号化することによって暗号化される。例えば、複数の保護ファクタ（組織管理対象鍵を含む）に対してコンテンツを暗号化するのではなく、コンテンツ鍵またはコンテンツ自体は、係わりのあるすべての保護ファクタ鍵の組み合わせから導出されたユニーク鍵を使用して保護することができる。この導出コンテンツ鍵を作成する１つのメカニズムによれば、保護ファクタごとにランダムストリングが生成され、そのあと、ＰＢＫＤＦ２(Password-Based Key Derivation Function)のような鍵導出関数に対する入力として各ストリングが使用されている。その結果として得られた導出コンテンツ鍵はコンテンツを暗号化するために使用され、そのあと壊されている。各ランダムストリングは、その生成の対象となった保護ファクタによって暗号化され、その結果は許可トークンにストアされる。コンテンツの復号化には、各トークンがそのランダムストリングを復号化し、その結果が鍵導出関数に入力されるようにする必要があり、最終的にコンテンツを復号化できる導出コンテンツ鍵が得られる。

ある実施形態では、ポリシ情報は、コンテンツの使用制限を指定していることがある。例えば、本方法２００は、コンテンツ鍵をアクセスサーバから受信することが、コンテンツに対する使用制限を指定した許可トークンを受信することを含むような形で実行されることがある。使用制限は、トラステッドエージェント１１２のようなトラステッドエージェントおよび／またはトラステッドアプリケーション１１７のようなトラステッドアプリケーションによって実施されている。

さらに、使用制限は、追加ファクタに応じて実施されることがある。例えば、本方法２００は、復号化されたコンテンツを使用するアプリケーションを受信側にさらに含んでいることがある。このアプリケーションによるコンテンツの使用は、コンテンツを復号化するために使用された１つまたは２つ以上のファクタに基づいて制限されている。代替の実施形態では、ユーザによるコンテンツの使用は、コンテンツを復号化するために使用された１つまたは２つ以上のファクタに基づいて制限されている。さらに別の代替実施形態では、コンテンツ鍵は、コンテンツの特定部分（１つまたは２つ以上の部分）を、使用可能な１つまたは２つ以上のファクタに基づいてファクタによって定義された通りに復号化するためにだけ使用可能になっている。

さらに、以下に例示する追加の例では、可変アクセスレベルが使用可能ファクタに基づいて許可されている。例えば、コンシューマは、コンテンツに対する異なるアクセスレベルが、そのコンテンツがアクセスされるときに使用可能であるファクタに基づいて許可されることがある。以下では、２つの例について説明する。１つは、コンテンツのある部分が標準的クレデンシャルを使用してアクセス可能にされるのに対し、そのコンテンツの他の部分は特定タイプ（スマートカードなど）の二次的ファクタが使用可能であるときだけ使用可能にされるときである。もう１つの例は、コンテンツが標準的クレデンシャルだけを使用するときは読み取り専用であり、特定タイプ（スマートカードなど）の二次的ファクタが使用可能であるときは読み／書きであるときである。マルチファクタ保護は、これらのポリシを暗号法で実施することができる。

第一のケースでは、保護コンテンツへの総称的アクセスが標準的クリデンシャルに基づいているのに対し、ある種のセクションは二次的ファクタに限定され、各セクションは異なるコンテンツ鍵を使用して暗号化することができ、各コンテンツ鍵は該当の追加ファクタと共に暗号化されている。最適な方法として、共通ポリシによってカバーされるすべてのセクションは、同一コンテンツ鍵を使用して暗号化されることがあり、その結果として、コンテンツのセクションごとに１つのコンテンツ鍵ではなく、コンテンツに対するポリシごとに１つのコンテンツ鍵が得られている。

第二のケースでは、読み取り専用アクセスが標準的クリデンシャルに基づいているのに対し、書き込みアクセスは二次的ファクタに制限され、コンテンツは非対称鍵を使用して暗号化が可能になっている。コンテンツが作成されたとき、そのコンテンツは非対称コンテンツ鍵ペアの一方の半分（通常、公開鍵として知られている）を使用して暗号化される。許可トークンは復号化鍵を含み、これはユーザの標準的組織管理対象鍵に対して保護されている。これは、ユーザが標準的クリデンシャルだけを使用してコンテンツにアクセスすることを可能にしている。許可トークンは暗号化鍵も含み、これはスマートカードのような二次的ファクタに対して保護されている。この方法によると、コンテンツは、二次的ファクタが暗号化鍵へのアクセスを許可するために存在していなければ、修正することができない。この正味の効果は、第２のファクタでコンテンツに署名するのと同じであるが、署名と異なり、検証側(validator)は署名者の証明書を信頼する必要がない。

実施形態は、情報保護システムによっては、追加の機能を備えていることがある。例えば、システムによっては、パブリッシャがすべての受信側の複数の保護ファクタ鍵を知らなくても、複数のファクタで保護されたコンテンツをパブリッシュするようにした実施形態を実現することが望ましいことがある。さらに、必要な鍵マテリアルと保護ファクタをもつユーザが、アクセスサーバが使用可能でないときでも保護コンテンツにアクセスできるように、オフラインシナリオをサポートすることが望ましいことがある。

パブリッシャがすべての受信側の複数の保護ファクタ鍵を知らなくてもよいシステムを実現するために、アクセスサーバは、ディレクトリと併用すると、遠まわしの表現(indirection)のレベルを提供することができる。ある実施形態では、パブリッシャは、アクセスサーバの公開鍵を知っているだけで情報を保護している。その場合、許可トークンが生成されるとき、アクセスサーバは該当の証明書を受信側に要求することも、証明書をディレクトリからリトリーブすることもできる。オフラインシナリオがサポートされるシステムを実現するために、許可トークンはプリフェッチされることも、クライアントマシンにキャッシュしておくこともできる。

システムの一部の実施形態によれば、特定ユーザのための特定保護ファクタの背後にある鍵がロールまたは変更されることを可能にしている。鍵がロールされる理由の性質により、システムによってとられるアクションが変わることがある。例えば、取り消しチェックは、取り消された保護ファクタがコンテンツ復号化のために使用されないようにコンテンツが復号化される前に行なわれることがある。このような取り消しが行なわれると、その保護ファクタ鍵に結び付けられた許可トークンがあれば、その許可トークンは無効にされる。ユーザは、鍵ロールに対する組織の確立プロセスを通して新しい鍵を取得し、そのあとユーザはそのファクタを使用して保護されたすべてのコンテンツに対する新しい許可トークンをリトリーブし、その新ファクタ鍵がコンテンツにアクセスするために使用できるようにされる。

代替例として、鍵の対抗手段(key hygiene)を維持するために鍵が先制的にロールまたは変更される場合、および保護ファクタが「現行の」鍵ペアのほかに複数の「以前の」鍵ペアをサポートできる場合、コンテンツへのアクセスは新しい許可トークンを必要とすることなく、許可されることを続けることができる。システムは、新しい保護ファクタ鍵に対して暗号化された新しい許可トークンを可能な限り日和見主義的に獲得するように構成することができるが、ユーザ体験は、このプロセスにおいて未影響のままにしておくことができる。

実施形態は、コンピュータ実行可能命令またはデータ構造を搬送するための、またはそこに格納しておくためのコンピュータ可読媒体を含んでいることもある。このようなコンピュータ可読媒体は、汎用または特殊目的コンピュータによってアクセス可能で利用可能であれば、どのような媒体であってもよい。例を挙げると、このようなコンピュータ可読媒体として可能なものには、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭまたはその他の光ディスクストレージ、磁気ディスクストレージまたは他の磁気ストレージデバイス、または望みのプログラムコード手段を搬送し、またはコンピュータ実行可能命令またはデータ構造の形でストアするために使用可能で、汎用または特殊目的コンピュータによってアクセス可能であるその他の媒体があるが、これらに限定されない。情報がネットワークまたは他の通信コネクション（ハードワイヤード、ワイヤレス、またはハードワイヤードとワイヤレスを組み合わせたもの）を利用して転送または提供されるとき、コンピュータからは、そのコネクションが正にコンピュータ可読媒体として見えることがある。従って、このような、どのコネクションも、正にコンピュータ可読媒体と名付けられている。上記を組み合わせたものも、コンピュータ可読媒体の範囲内に含まれるものである。

コンピュータ実行命令は、例えば、汎用コンピュータ、特殊目的コンピュータ、または特殊目的処理デバイスにある種の機能または機能グループを実行させる命令とデータを含んでいる。構造上の特徴および／または方法上のアクトに特有の表現で主題が説明されているが、当然に理解されるように、請求項に定義した主題は、上述した特定の特徴またはアクトに必ずしも限定されない。むしろ、上述した特定の特徴とアクトは、請求項の記載を実現する形態例として説明されている。

本発明は、本発明の精神または基本的特徴から逸脱することなく他の特定形態で具現化されていることもある。上述した実施形態は、すべての面において、単なる例示であり、限定的なものではない。従って、本発明の範囲は、上述した説明によってではなく、請求項の記載によって示されている。請求項の意味と等価技術の範囲に属する変更はすべて、その範囲内に含まれるものである。

Claims (23)

1. コンピューティングネットワークシステムの一部である受信側コンピューティングシステムでのコンテンツの使用のされ方、および、アクセスのされ方を制御することによりコンテンツを保護する方法を実装するための前記受信側コンピューティングシステムに格納されたコンピュータプログラムであって、前記方法は、
   トラステッドエージェントを含む前記受信側コンピューティングシステムで、前記コンピューティングネットワークシステムに格納されたコンテンツの使用を要求するトラステッドアプリケーションを実行するステップであって、
   前記コンテンツへのアクセスおよび使用が前記コンテンツと関連付けられたポリシ情報により制御され、
   前記コンテンツがコンテンツ鍵に対して暗号化され、
   前記コンテンツへのアクセスおよび使用が前記関連付けられたポリシ情報および前記コンテンツ鍵の復号化を要求し、かつ、前記関連付けられたポリシ情報で規定されているようにだけ前記コンテンツを使用する
   ステップと、
   前記受信側コンピューティングシステムで、前記トラステッドエージェントで保持されたトラステッドエージェント鍵および前記受信側コンピューティングシステムに格納された少なくとも１つの他の保護ファクタに対して暗号化された、前記ポリシ情報の少なくとも一部および前記コンテンツ鍵を前記コンピューティングネットワークシステム内のアクセスサーバから受信するステップと、
   前記受信側コンピューティングシステムで、前記トラステッドエージェント鍵および前記少なくとも１つの他の保護ファクタを使用して、受信した前記ポリシ情報および前記コンテンツ鍵を復号化するステップと、
   前記受信側コンピューティングシステムで、前記復号化したコンテンツ鍵を用いて前記コンテンツを復号化するステップと、
   前記受信側コンピューティングシステムで、前記トラステッドアプリケーションが、前記アクセスサーバから受信した前記ポリシ情報で規定されたアクセスおよび使用の制限下で前記復号化されたコンテンツを使用するステップと、
   を含むことを特徴とするコンピュータプログラム。
2. 前記保護ファクタは、前記ポリシ情報において指定されることを特徴とする請求項１に記載のコンピュータプログラム。
3. 前記保護ファクタは、あるクラスのファクタとして総称的に指定されることを特徴とする請求項２に記載のコンピュータプログラム。
4. 前記保護ファクタは、明示的に指定されることを特徴とする請求項２に記載のコンピュータプログラム。
5. 前記保護ファクタは、コンテンツの少なくとも一部の分類によって黙示的に判断されることを特徴とする請求項２に記載のコンピュータプログラム。
6. 前記コンテンツ鍵は、１つまたは２つ以上の保護ファクタに対応する１つまたは２つ以上の鍵に対して前記コンテンツ鍵を暗号化することによって、前記保護ファクタに対して暗号化されることを特徴とする請求項１に記載のコンピュータプログラム。
7. 前記コンテンツ鍵は、複数の保護ファクタから得られた単一の鍵に対して前記コンテンツ鍵を暗号化することによって、前記保護ファクタに対して暗号化されることを特徴とする請求項１に記載のコンピュータプログラム。
8. 前記コンテンツ鍵と前記保護ファクタとを使用して前記コンテンツを復号化するステップは、前記トラステッドエージェント鍵を使用してユーザ鍵を復号化し、当該ユーザ鍵を使用して前記アクセスサーバからの前記コンテンツ鍵を復号化するトラステッドエージェントを含むことを特徴とする請求項１に記載のコンピュータプログラム。
9. 前記アクセスサーバから前記コンテンツ鍵を受信するステップは、前記コンテンツの使用の制限を指定する認証トークンを受信するステップを含み、前記使用の制限は前記トラステッドエージェントによって実施されることを特徴とする請求項１に記載のコンピュータプログラム。
10. ユーザによる前記コンテンツの使用は、当該コンテンツを復号化するために使用された１つまたは２つ以上の前記保護ファクタに基づいて制限されていることを特徴とする請求項１に記載のコンピュータプログラム。
11. 前記コンテンツ鍵は、使用可能な追加の１つまたは２つ以上の保護ファクタに基づくポリシによって定義された通りに、前記コンテンツの指定された一部分または複数部分を復号化するためにだけ使用可能であることを特徴とする請求項１に記載のコンピュータプログラム。
12. 前記方法が、前記ポリシ情報および前記コンテンツ鍵の少なくとも一部を前記アクセスサーバから受信するステップの前に、前記アクセスサーバが、前記ポリシ情報および前記コンテンツ鍵の少なくとも一部を、前記ポリシ情報および前記コンテンツ鍵の少なくとも一部が前記受信側コンピューティングシステムに送信される際に経由する少なくとも１つの仲介サーバに送信するステップを含むことを特徴とする請求項１に記載のコンピュータプログラム。
13. 前記アクセスサーバは、前記ポリシ情報および前記コンテンツ鍵の少なくとも一部を、前記ポリシ情報および前記コンテンツ鍵の少なくとも一部が前記受信側コンピューティングシステムに送信される際に経由する少なくとも１つの仲介サーバに送信することを特徴とする請求項１に記載のコンピュータプログラム。
14. コンピューティングネットワークシステムの一部である受信側コンピューティングシステムでのコンテンツの使用のされ方、および、アクセスのされ方を制御することによりコンテンツを保護する方法を実装するための、前記コンピューティングネットワークシステム内のアクセスサーバに格納されたコンピュータプログラムであって、前記方法は、
    前記アクセスサーバで前記コンテンツを受信するステップであって、
    前記コンテンツへのアクセスおよび使用が前記コンテンツと関連付けられたポリシ情報により制御され、
    前記コンテンツがコンテンツ鍵に対して暗号化され、
    前記コンテンツへのアクセスおよび使用が前記関連付けられたポリシ情報および前記コンテンツ鍵の復号化を要求し、かつ、前記関連付けられたポリシ情報で規定されているようにだけ前記コンテンツを使用し、
    前記関連付けられたポリシ情報および前記コンテンツ鍵が前記アクセスサーバで保持されたアクセスサーバ鍵に対して暗号化される、ステップと、
    前記アクセスサーバで、前記アクセスサーバ鍵を用いて前記関連付けられたポリシ情報および前記コンテンツ鍵を復号化するステップと、
    前記アクセスサーバで、前記受信側コンピューティングシステム用の前記関連付けられたポリシ情報の受信側コンピューティングシステムバージョンを作成するステップと、
    前記トラステッドエージェントで保持されたトラステッドエージェント鍵および前記受信側コンピューティングシステムに格納された少なくとも１つの他の保護ファクタに対して暗号化された、前記ポリシ情報の受信側コンピューティングシステムバージョンおよび前記コンテンツ鍵を前記アクセスサーバから受信側コンピューティングシステムに送信するステップと、
    を含み、
    前記受信側コンピューティングシステムは、前記トラステッドエージェント鍵および前記少なくとも１つの他の保護ファクタを使用して、受信した前記ポリシ情報の受信側コンピューティングシステムバージョンおよび前記コンテンツ鍵を復号化することが可能で、
    前記受信側コンピューティングシステムは、復号化されたコンテンツが、前記受信側コンピューティングシステムで実行されているトラステッドアプリケーションにおける前記ポリシ情報の受信側コンピューティングシステムバージョンで規定されたアクセスおよび使用の制限下で使用可能なように、前記復号化されたコンテンツ鍵を用いて前記コンテンツを復号化することが可能であることを特徴とするコンピュータプログラム。
15. 前記保護ファクタは、前記ポリシ情報において指定されることを特徴とする請求項１４に記載のコンピュータプログラム。
16. 前記保護ファクタは、あるクラスのファクタとして総称的に指定されることを特徴とする請求項１５に記載のコンピュータプログラム。
17. 前記保護ファクタは、明示的に指定されることを特徴とする請求項１５に記載のコンピュータプログラム。
18. 前記保護ファクタは、コンテンツの少なくとも一部の分類によって黙示的に判断されることを特徴とする請求項１５に記載のコンピュータプログラム。
19. 前記コンテンツ鍵は、１つまたは２つ以上の保護ファクタに対応する１つまたは２つ以上の鍵に対して前記コンテンツ鍵を暗号化することによって、前記保護ファクタに対して暗号化されることを特徴とする請求項１４に記載のコンピュータプログラム。
20. 前記コンテンツ鍵は、複数の保護ファクタから得られた単一の鍵に対して前記コンテンツ鍵を暗号化することによって、前記保護ファクタに対して暗号化されることを特徴とする請求項１４に記載のコンピュータプログラム。
21. 前記アクセスサーバから前記コンテンツ鍵を受信するステップは、前記コンテンツの使用の制限を指定する認証トークンを受信するステップを含み、前記使用の制限は前記トラステッドエージェントによって実施されることを特徴とする請求項１４に記載のコンピュータプログラム。
22. ユーザによる前記コンテンツの使用は、当該コンテンツを復号化するために使用された１つまたは２つ以上の前記保護ファクタに基づいて制限されていることを特徴とする請求項１４に記載のコンピュータプログラム。
23. 前記コンテンツ鍵は、使用可能な追加の１つまたは２つ以上の保護ファクタに基づくポリシによって定義された通りに、前記コンテンツの指定された一部分または複数部分を復号化するためにだけ使用可能であることを特徴とする請求項１４に記載のコンピュータプログラム。

Images