专利名称：可将通过软件取得的加密内容数据和许可证转移到其他装置的数据终端装置的制作方法
技术领域：
本发明涉及在可以对所复制的信息执行著作权保护的数据传送系统中使用的数据终端装置。
背景技术：
近年来，随着因特网之类的信息通信网的不断进步，使各用户能够很容易地利用便携式电话机等面向个人的终端对网络信息进行访问。
在这种信息通信网中，利用数字信号传输信息。因此，即使是在各个人用户对例如由如上所述的信息通信网传输的音乐或图象数据进行了复制的情况下，也能以音质和画质几乎不会因这种复制而恶化的方式进行数据的复制。
因此，当在这种信息通信网上传送音乐数据或图象数据等存在着著作者的权利的内容数据时，如不采取适当的著作权保护对策，则著作权持有者的权利显然有受到侵害的危险。
另一方面，如不能以著作权保护为最优先的条件而通过急速扩大的数字信息通信网进行内容数据的传送，则从根本上说即使对复制内容数据时可以征收一定的著作权费的著作者也反而是不利的。
这里，当不是通过如上所述的数字信息通信网的传送而是以记录了数字数据的记录媒体为例进行考察时，对于通常销售的记录了音乐数据的CD(压缩光盘)，音乐数据从CD到磁性光盘(MD等)的复制，只要该复制的音乐限定于个人使用则原则上可以自由进行。但是，进行数字录音等的个人用户，已预先以数字录音设备本身或MD等媒体的货款中的一定金额间接地向著作权者支付了著作权费。
而且，当从CD向MD复制了作为数字信号的音乐数据时，鉴于这些信息是几乎不会因复制而恶化的数字数据，因此，当从可记录的MD进一步将音乐数据作为数字数据复制到其他的MD时，要想进行著作权保护从设备的结构上说是不可能的。
从上述情况来看，通过数字信息通信网向公众传送音乐数据或图象数据，由于其本身是受著作权者的公众发送权限制的行为，所以也必需采取充分的用于著作权保护的对策。
在这种情况下，对通过信息通信网向公众发送的作为著作物的音乐数据或图象数据等内容数据，必须防止能很轻易地对已接收过一次的内容数据进行再次的复制。
因此，提出了一种由保持着将内容数据加密后的加密内容数据及为将加密内容数据解密和再生所需的许可证的传送服务器通过下载终端向安装在便携式电话机等下载终端内的备有用于著作权保护的功能的存储卡传送加密内容数据和许可证的数据传送系统。在这种数据传送系统中，当请求传送加密内容数据时，将预先由认证机构进行了认证的存储卡的类别公开加密密钥及其证明书发送到传送服务器，在传送服务器确认接收到经过了认证的证明书后，向存储卡传送加密内容数据和许可证。另外，在传送许可证时，传送服务器及存储卡，在每次传送中分别生成不同的对话密钥。传送服务器，根据存储卡的类别公开加密密钥及其生成的对话密钥取得存储卡的专用公开加密密钥和由存储卡生成的对话密钥。
最后，传送服务器，将用存储卡的专用公开加密密钥加密并进一步用对话密钥加密后的许可证及加密内容数据发送到存储卡。接着，存储卡，将接收到的许可证及加密内容数据记录在存储卡内。
另外，当对记录在存储卡内的加密内容数据进行再生时，将存储卡装在便携式再生终端内。便携式再生终端，具有用于从存储卡读出加密内容数据和许可证密钥并用许可证密钥对所读出的该加密内容数据进行解密和再生后向外部输出的专用再生电路。
便携式电话机，当同时用作下载终端和便携式再生终端时，除通常的通话功能外也具有专用再生电路。这种便携式电话机的用户，可以用便携式电话机从传送服务器接收加密内容数据并对该加密内容数据进行再生。
另一方面，也进行用因特网将加密内容数据传送给个人计算机的服务。并且，在向个人计算机传送加密内容数据时，利用安装在个人计算机内的备有著作权保护功能的专用软件进行加密内容数据的传送，因此，从接收到加密内容数据和许可证的个人计算机将加密内容数据和许可证向其他计算机转移或复制，从著作权者的权利保护的立场考虑基本上是被禁止的。
但是，如果根本不能从个人计算机取出传送给个人计算机的加密内容数据和许可证，则存在着不具备通信功能的便携式再生终端不能将加密内容数据和许可证记录在所装有的存储卡内的问题。
因此，提出了一种将再生加密内容数据的权利即许可证对便携式再生终端暂时出借和返还的所谓检出/检入的方案。在检出(借出)时，以可以特定借出目的地及不能从检出目的地自由地取出许可证为必要条件，在检入(返还)时，以回收检出目的地的许可证为必要条件。
由于必需满足这些条件，所以提出了即使是备有存储卡的便携式再生终端也不是对存储卡而是对便携式再生终端、即特定出进行再生的便携式再生终端后进行检出的方案、或为避免复制而具有独特的文件结构且如不用专用软件就根本不能使用存储卡的方案。
前一种方案，存在着尽管使用了存储卡也不能由其他便携式再生终端再生的问题，后一种方案，存在着由于具有独特的文件结构因而损害了存储卡的通用性的问题。
发明内容
因此，本发明的目的在于，提供一种可以在不限定可对个人计算机上的用专用软件取得的加密内容数据和许可证进行再生的便携式再生终端并保持存储卡的通用性的条件下将加密内容数据和许可证向存储卡借出的数据终端装置。
按照本发明，数据终端装置，可将对内容数据进行了加密的加密内容数据和/或用于将加密内容数据解密而取得原内容数据的许可证向数据记录装置借出和/或请求返还，该数据终端装置，备有存储加密内容数据和许可证及管理加密内容数据和/或许可证的借出的信息即借出信息的存储部、控制部、及在数据记录装置与控制部之间控制数据的交换的接口，在借出时，控制部，通过接口从上述数据记录装置接收可以特定数据记录装置的按每个数据记录装置固有的方式分配的固有ID，根据从存储部读出的许可证生成借出用许可证，将该所生成的借出用许可证及加密内容数据通过接口发送到数据记录装置，并将用于特定借出的对方的上述固有ID作为借出目的地ID追记在存储部所存储着的借出信息内，在返还时，控制部，在确认了数据记录装置是借出加密内容数据和/或许可证的对方及数据记录装置保持着借出用许可证之后，请求从数据记录装置返还加密内容数据和/或借出用许可证。
最好是，借出用许可证，还包含用于特定借出用许可证的借出ID，在借出时，数据终端装置的控制部，生成每次借出所固有的借出ID，并在其与从借出目的地的数据记录装置接收到的固有ID相对应的情况下将上述借出ID追记在借出信息内。
最好是，数据记录装置，保持对每个数据记录装置具有固有值的第1公开加密密钥，在借出时，数据终端装置的控制部，通过接口接收来自数据记录装置的认证数据，并对该接收到的认证数据进行认证，而且通过接口从数据记录装置接收第1公开加密密钥，并将第1公开加密密钥作为借出目的地ID追记在存储部所存储着的借出信息内。
最好是，在借出时，数据终端装置的控制部，用接收到的第1公开加密密钥将借出用许可证加密，并将该加密后的借出用许可证通过接口发送到数据记录装置。
最好是，认证数据，包含可由数据记录装置解密的第2公开加密密钥，数据终端装置，还备有用随机数生成第1共用密钥的共用密钥生成部、用第2公开加密密钥进行数据加密的第1加密部、对用第1共用密钥加密后的加密数据进行解密的第1解密部，在借出时，数据终端装置的控制部，将由共用密钥生成部生成且用通过认证处理抽出的第2公开加密密钥加密后的第1共用密钥通过上述接口发送到数据记录装置，由数据记录装置通过接口接收用第1共用密钥加密后的笫1公开加密密钥，并由第1解密部用第1共用密钥将该接收到的用第1共用密钥加密后的第1公开加密密钥解密，从而取得第1公开加密密钥。
最好是，数据终端装置，还备有用第1公开加密密钥将数据加密的第2加密部、用从数据记录装置接收到第2共用密钥将数据加密的第3加密部，在借出时，控制部，通过接口从数据记录装置接收用第1共用密钥加密后的第1公开加密密钥及第2共用密钥，由第1解密部用第1共用密钥将该接收到的用第1共用密钥加密后的第1公开加密密钥及第2共用密钥解密而取得第1公开加密密钥及第2共用密钥，由第2加密部用第1公开加密密钥将借出用许可证加密后，由第3加密部用第2共用密钥进一步将用第1公开加密密钥加密后的借出用许可证加密，并将第3加密部的输出通过接口发送到数据记录装置。
最好是，借出用许可证，还包含用于特定借出用许可证的借出ID，在借出时，数据终端装置的控制部，生成每次借出所固有的借出ID，并在其与从借出目的地的数据记录装置接收到的固有ID相对应的情况下将借出ID追记在借出信息内。
最好是，在借出时，数据终端装置的控制部，进一步，对借出信息内所包含的指示可以借出加密内容数据和/或许可证的次数的可借出次数进行确认，当可借出次数为正时，生成借出用许可证，且变更为将可借出次数修改为减1后的可借出次数的借出信息。
最好是，在借出时，数据终端装置的控制部，生成包含着用于禁止数据记录装置将借出用许可证复制和/或转移到其他装置的禁止信息的借出用许可证。
最好是，在返还时，数据终端装置的控制部，在加密内容数据和/或借出用许可证返还后，立即再次确认数据记录装置是否还保持着已进行了返还的借出用许可证。
最好是，在返还时，数据终端装置的控制部，在加密内容数据和/或借出用许可证返还后，立即对借出了加密内容数据和/或借出用许可证的数据记录装置再次进行确认，并再次确认数据记录装置是否还保持着已进行了返还的借出用许可证。
最好是，在返还时，数据终端装置的控制部，通过接口接收来自数据记录装置的认证数据，并对该接收到的认证数据进行认证，而且，通过接口从数据记录装置接收借出时与借出信息所包含的借出ID一致的第1公开加密密钥，从而确认数据记录装置是借出了加密内容数据和/或借出用许可证的数据记录装置。
最好是，在返还时，数据终端装置的控制部，通过接口确认数据记录装置是否保持着具有与在借出时的借出用许可证的状态信息中所记录的借出ID一致的许可证ID的借出用许可证。
最好是，在返还时，数据终端装置的控制部，将在借出时的借出用许可证的状态信息中所记录的借出ID通过接口发送到数据记录装置，通过接口向数据记录装置请求传送与具有该发送到的借出ID的借出用许可证的保持有关的状态信息，并对响应其请求而通过接口从数据记录装置接收到的与借出ID对应的借出用许可证的状态信息进行确认，从而确认是否保持着借出用许可证。
最好是，数据终端装置的控制部，以证明合法性的带签名的数据形式从数据记录装置接收状态信息，并根据签名判断状态信息的合法性，当判定为合法且数据记录装置保持着与借出ID对应的借出用许可证时，允许数据记录装置返还借出用许可证。
最好是，在返还时，数据终端装置的控制部，通过将已借出的借出用许可证及加密内容数据删除，请求从数据记录装置返还加密内容数据及借出用许可证。
最好是，在返还时，数据终端装置的控制部，生成对任何加密内容数据都不能进行再生的伪许可证，并通过将所生成的该伪许可证重写在借出用许可证上而将借出用许可证从数据记录装置删除。
最好是，在返还时，数据终端装置的控制部，将在借出时从数据记录装置接收到的借出信息内所记录的借出目的地ID删除。
最好是，在返还时，数据终端装置的控制部，变更为将可借出次数修改为增1后的可借出数的借出信息。
最好是，在返还时，数据终端装置的控制部，将由共用密钥生成部生成且用通过认证处理抽出的第2公开加密密钥加密后的第1共用密钥通过接口发送到数据记录装置，通过接口接收用第1共用密钥加密后的第1公开加密密钥，并由第1解密部用第1共用密钥将该接收到的用第1共用密钥加密后的第1公开加密密钥解密，从而取得第1公开加密密钥，当所取得的该笫1公开加密密钥与借出时在借出信息内所包含的借出ID一致时，确认数据记录装置是借出了加密内容数据和许可证的数据记录装置。
最好是，在返还时，数据终端装置的控制部，将借出时的借出用许可证的状态信息中所记录的借出ID通过接口发送到数据记录装置，通过接口向数据记录装置请求传送与具有该发送到的借出ID的借出用许可证的保持有关的状态信息，并对响应其请求而通过接口从数据记录装置接收到的与借出ID对应的借出用许可证的状态信息进行确认，从而确认是否保持着借出用许可证。
最好是，数据终端装置的控制部，以证明合法性的带签名的数据形式从数据记录装置接收状态信息，并根据签名判断状态信息的合法性，当判定为合法且数据记录装置保持着与借出ID对应的借出用许可证时，允许数据记录装置返还借出用许可证。
最好是，数据终端装置的控制部，通过接口从数据记录装置接收用第1共用密钥加密后的状态信息及签名，并由第1解密部用第1共用密钥将该接收到的用第1共用密钥加密后的状态信息及签名解密，从而抽出状态信息及签名。
附图的简单说明
图1是从概念上说明数据传送系统的概略图。
图2是表示图1所示数据传送系统中的用于通信的数据、信息等的特性的图。
图3是表示图1所示数据传送系统中的用于通信的数据、信息等的特性的图。
图4是表示传送服务器的结构的简略框图。
图5是表示个人计算机的结构的简略框图。
图6是表示个人计算机的硬盘的内容表文件结构的图。
图7是表示便携式再生终端的结构的框图。
图8是表示存储卡的结构的框图。
图9是表示存储卡中的再生表文件的结构的图。
图10是用于说明图1所示数据传送系统中的传送动作的第1流程图。
图11是用于说明图1所示数据传送系统中的传送动作的第2流程图。
图12是用于说明图1所示数据传送系统中的传送动作的第3流程图。
图13是用于说明图1所示数据传送系统中的传送动作的第4流程图。
图14是用于说明扯开动作的功能框图。
图15是用于说明图1所示数据传送系统中的扯开动作的流程图。
图16是用于说明图1所示数据传送系统中的加密内容数据的许可证的检出动作的第1流程图。
图17是用于说明图1所示数据传送系统中的加密内容数据的许可证的检出动作的第2流程图。
图18是用于说明图1所示数据传送系统中的加密内容数据的许可证的检出动作的第3流程图。
图19是用于说明图1所示数据传送系统中的加密内容数据的许可证的检出动作的第4流程图。
图20是用于说明图1所示数据传送系统中的加密内容数据的许可证的检入动作的第1流程图。
图21是用于说明图1所示数据传送系统中的加密内容数据的许可证的检入动作的第2流程图。
图22是用于说明图1所示数据传送系统中的加密内容数据的许可证的检入动作的第3流程图。
图23是用于说明图1所示数据传送系统中的加密内容数据的许可证的检入动作的第4流程图。
图24是用于说明图1所示数据传送系统中的加密内容数据的许可证的检入动作的第5流程图。
图25是用于说明图1所示数据传送系统中的加密内容数据的许可证的检入动作的第6流程图。
图26是用于说明图1所示数据传送系统中的加密内容数据的许可证的检入动作的第7流程图。
图27是用于说明图1所示数据传送系统中的加密内容数据的许可证的检入动作的第8流程图。
图28是用于说明便携式再生终端的再生动作的第1流程图。
图29是用于说明便携式再生终端的再生动作的第2流程图。
发明的
具体实施例方式
以下，边参照附图边详细地说明本发明的实施形态。此外，对各图中的相同或相当的部分标以同一符号而其说明不再重复。
图1是用于从概念上说明本发明的由数据终端装置(个人计算机)取得加密内容数据的数据传送系统的总体结构的概略图。
另外，在下文中，虽然以通过因特网将数字音乐数据传送到各个人计算机的用户的数据传送系统的结构为例进行说明，但从以下的说明中可以看出，本发明并不限定于这种情况，在传送作为其他著作物的内容数据、例如图象数据、动图象数据等情况下也可以应用。
参照图1，传送服务器10，通过调制解调器40及因特网30接收来自个人计算机50的各用户的传送请求。于是，传送服务器10，对因请求传送数据而进行访问的个人计算机50是否具有合法的认证数据、即是否是正规的个人计算机进行认证处理，在按规定的加密方式将音乐数据加密后，将这种加密内容数据及为将加密内容数据再生所需的信息即许可证通过因特网30及调制解调器40发送到合法的个人计算机。
个人计算机50，通过因特网30及调制解调器40从传送服务器10接收加密内容数据。即，个人计算机50，内部装有按照程序通过因特网30等从传送服务器10接收加密内容数据和许可证的许可证管理模块。关于许可证管理模块，将在后文中详细说明。
另外，在图1中，个人计算机50，还通过扯开动作从记录了音乐数据的音乐CD(Compact Disk压缩光盘)60生成加密内容数据和用于将加密内容数据再生的只能在局部使用的许可证。其详细内容如后文所述。
取得了加密内容数据和许可证的个人计算机50，通过USB(Universal Serial Bus通用串行总线)电缆70与便携式再生终端100连接，并可以通过后文所述的检出动作将从传送服务器10或音乐CD60取得的加密内容数据和许可证发送给安装在便携式再生终端100内的存储卡110。
因此，在图1所示的数据传送系统中，个人计算机50，通过调制解调器40及因特网30从传送服务器10接收加密内容数据和许可证，或从音乐CD60取得音乐数据并生成加密内容数据和许可证。这样一来，不具备可直接从传送服务器10接收(下载)许可证的功能的便携式再生终端100的用户，可以通过个人计算机50取得加密内容数据和许可证。
进一步，例如，用户可以通过与便携式再生终端100连接的头戴式耳机130等对上述内容数据进行再生和收听。
在如上所述的结构中，传送服务器10只能对装有正规的许可证保护模块的个人计算机50传送加密内容数据和许可证。而便携式再生终端100只能通过装有正规的许可证保护模块的个人计算机50取得加密内容数据和许可证。
而且，每当由传送服务器10例如根据与用户的合同传送一首乐曲的加密内容数据和许可证时，如由因特网公司通过对其次数进行计数而按个人计算机的用户每次下载加密内容数据或许可证时所产生的许可证费的一部分征收著作权费，则很容易使著作权者确保著作权费。
即使是不具备可以直接从传送服务器10接收传送的再生终端的用户，也可以取得加密内容数据和许可证。
在如图1所示的结构中，为了可以由便携式再生终端或个人计算机的用户侧对加密后传送的内容数据进行再生，在系统上所需要的第1是通信中的用于传送加密密钥的方式、第2是对想要传送的内容进行加密的方式、进一步第3是实现用于防止未经准许而擅自对按如上方式传送的内容数据进行二次利用的内容数据保护的结构。
在本发明中，为实现内容保护功能，便携式再生终端备有再生装置1550，个人计算机50备有许可证管理模块511。此外，存储卡110，备有内装控制器的内容保护功能。
在本发明的实施形态中，主要说明当发生传送、再生、检出及检入的各对话过程时充实对这些过程中的内容数据的转移目的地的认证及检验功能并防止对未通过认证的或泄漏了内部保持的秘密解密密钥的记录装置(存储卡或装有许可证管理模块的个人计算机)及再生终端(装有再生装置或许可证管理模块的可以对内容进行再生的便携式再生终端或个人计算机)输出内容数据从而强化内容数据的著作保护权的结构。
另外，在以下的说明中，假定将从传送服务器10向各个人计算机的许可证管理模块或存储卡传输加密内容数据和/或许可证的处理称为「传送」。
图2是说明图1所示数据传送系统中使用的用于通信的数据、信息等的特性的图。
首先，说明由传送服务器10传送的数据。Dc是音乐数据等内容数据。内容数据Dc，进行可用许可证密钥Kc解密的加密。进行了可用许可证密钥Kc解密的加密后的加密内容数据{Dc}Kc，由传送服务器10以该形式传送到各用户。
另外，在下文中，{Y}X这样的标记，表示对数据Y进行了可用解密密钥X解密的加密。
进一步，从传送服务器10将包含与内容数据有关的著作权或服务器访问等相关信息的附加信息Dc-inf与加密内容数据一起进行传送。附加信息Dc-inf，是明文信息。此外，还在传送服务器10与个人计算机50之间进行用于特定来自传送服务器10的对话密钥等的传送的管理码即事务处理ID的交换。进一步，还存在着用于识别内容数据Dc的代码即内容ID、根据包含着按照使用者侧的指定所决定的许可证数和功能限定等信息的许可证购入条件AC生成的与对记录装置(存储卡或许可证管理模块)的访问的限制有关的信息即访问限制信息ACm及与再生装置的再生限制有关的信息即再生限制信息ACp等。访问限制信息ACm，是对存储卡或许可证管理模块的许可证密钥输出的控制信息，包括可再生次数及与许可证的复制、转移有关的控制信息等。再生限制信息Acp，是当内容再生装置为进行再生而接收到许可证密钥时用于判断可否进行再生的控制信息，包括再生期限、再生范围限制、再生速度变更限制、再生范围指定(部分许可证)等。以下，将事务处理ID和内容ID合在一起而统称为许可证ID，并将许可证密钥Kc、许可证ID、访问限制信息ACm和再生限制信息ACp合在一起而统称为许可证。
在本发明的实施形态中，按记录装置或对内容数据进行再生的再生终端的每种类别，使用可以将内容数据的传送、再生、检出及检入禁止的证书废除表CRL(Certificate Revocation List)。
证书废除表，是将用于识别内容数据的传送、再生、检出及检入被禁止的再生终端或记录装置保持的类别证书的识别码列成表格的数据文件。当接收到具有在该证书废除表CRL中列出的识别码的类别证书时，即使接收到的类别证书是正规的证书，也禁止对类别证书发送源提供许可证密钥。关于类别证书，将在下文中说明。
证书废除表CRL，在由传送服务器10管理的同时，也记录和保持在记录装置(存储卡110及备有许可证管理模块511的个人计算机50的硬盘530)内。这种证书废除表CRL，必须随时更新为最新的状态，关于记录装置的证书废除表CRL的更新，当传送许可证密钥等许可证时，将从存储卡110或备有许可证管理模块511的个人计算机50接收到的证书废除表CRL的更新日期时间与传送服务器使用着的证书废除表CRL的更新日期进行比较，如不是最新的，则将证书废除表CRL传送到存储卡110或个人计算机50的许可证管理模块511。另外，在加密内容数据和许可证的检出和检入中，在存储卡110与个人计算机50的许可证管理模块511之间进行证书废除表的更新处理。进一步，证书废除表的更新，可以通过由发送源发送最新的或较新的证书废除表并对由发送目的地保持的证书废除表进行改写实现。另外，还可以通过由发送源生成和发送对由发送目的地保持的证书废除表的更新日期时间追加的差分数据并将差分数据追加于由发送目的地保持的证书废除表的更新日期时间实现。在前一种方式中，对证书废除表CRL，记载其生成日期时间数据或表内所列出的每个识别码的记录日期时间数据，该生成日期时间数据或最后进行了追加的识别码的记录日期时间数据，即为证书废除表的更新日期时间。在后一种方式中，记载表内所列出的每个识别码的记录日期时间数据。
在下文中，从传送服务器10对个人计算机50的许可证管理模块511进行的证书废除表CRL的更新处理，按更新和追记差分CRL的结构进行说明，从传送服务器10经由个人计算机50的许可证管理模块511对存储卡110进行的证书废除表CRL的更新处理，按发送较新的证书废除表而进行改写的结构说明。
按如上方式，由于不仅在传送服务器10内而且在存储卡110或个人计算机50的许可证管理模块511内都保持和使用证书废除表CRL，所以，由便携式再生终端进行的内容数据的再生，即使是在由存储卡或许可证管理模块进行的不通过传送服务器的内容数据的下载、检出和检入等处理中，也能够禁止将许可证密钥供给类别密钥已泄漏了的再生装置(便携式再生终端100等)及记录装置(存储卡110或个人计算机50所装有的许可证管理模块的511等)。
如上所述，由存储卡保持着的或由个人计算机的许可证管理模块管理并记录在硬盘内的证书废除表，采用在传送时对数据逐次进行更新的结构。此外，存储卡或许可证管理模块中的证书废除表CRL的管理，采用了将其记录在抗窜改模块(Tamper Resistant Module)内从而不可能由文件系统或应用程序窜改证书废除表CRL的结构。其结果是，可以使与数据有关的著作权保护更为强固。
图3是说明图1所示数据传送系统中使用的用于通信的数据、信息等的特性的图。
对再生终端或记录装置、具体地说是安装在再生终端内的再生装置、存储卡、及安装在个人计算机内的许可证管理模块，分别设定固有的公开加密密钥KPpy及KPmw。与再生装置对应的公开加密密钥为KPpy，与存储卡及许可证管理模块对应的公开加密密钥为KPmw。此外，再生装置，备有与公开加密密钥KPpy构成一对的固有的秘密解密密钥Kpy，存储卡及许可证管理模块备有与公开加密密钥KPmw构成一对的固有的秘密解密密钥Kmw。这些公开加密密钥及秘密解密密钥，按再生装置、存储卡及许可证管理模块的各种类别(种类、组别等结构上的管理单位)而具有不同的值。将这些公开加密密钥及秘密解密密钥统称为类别密钥，并将公开加密密钥称为类别公开加密密钥，将秘密解密密钥称为类别秘密解密密钥。
另外，设定Cpy为再生装置的类别证书，设定Cmw为存储卡及许可证管理模块的类别证书。
这些类别证书，按再生装置、存储卡及许可证管理模块的各种类别而具有不同的值。此外，类别证书，还包含着识别码，并与公开加密密钥构成一对。具有该类别、即共用的类别证书、类别公开加密密钥及类别秘密解密密钥的单位，就是由证书废除表CRL禁止提供的许可证密钥的单位。
上述的再生装置、存储卡及许可证管理模块所固有的公开加密密钥及类别证书，在出厂时分别以认证数据{KPpy∥Cpy}KPa的形式或认证数据{KPmw∥Cmw}KPa的形式记录在再生装置(便携式再生终端)、存储卡及许可证管理模块内。KPa是由整个传送系统共用的公开认证密钥，随后将对其进行详细说明。
作为许可证发送接收中的用于对数据进行保密的加密密钥，采用着在每次进行许可证的传送、再生、检出及检入等的许可证密钥的通信中由传送服务器10、再生装置1550、存储卡110、许可证管理模块511生成的共用密钥Ks1～Ks3。
这里，共用密钥Ks1～Ks3，是传送服务器、再生装置1550、存储卡110、或许可证管理模块511之间作为通信单位或访问单位的每次「对话」中生成的固有的共用密钥，在下文中，也将这些共用密钥Ks1～Ks3称作「对话密钥」。
通过使这些对话密钥Ks1～Ks3在各通信对话中具有固有的值，由传送服务器、再生装置、存储卡及许可证管理模块进行管理。具体地说，对话密钥Ks1，由传送服务器在每次传送对话中生成。对话密钥Ks2，由存储卡及许可证管理模块在每次传送对话、再生对话、检出对话、及检入对话中生成，对话密钥Ks3，由再生装置在每次再生对话中生成。在各对话中，交换这些对话密钥，并接收由其他设备生成的对话密钥，在用该对话密钥执行了加密后进行许可证密钥等许可证的发送，从而可以提高对话中的保密强度。
另外，对存储卡110及或许可证管理模块511，还存在着按每个存储卡或许可证管理模块独立设定的公开加密密钥KPmcx及可将由公开加密密钥KPmcx加密后的数据解密的按每个存储卡或许可证管理模块独立设定的秘密解密密钥Kmcx。
将该公开加密密钥KPmcx及秘密解密密钥Kmcx统称为专用密钥，并将公开加密密钥KPmcx称作专用公开加密密钥，将秘密解密密钥Kmcx称作专用秘密解密密钥。
图4是表示图1所示的传送服务器10的结构的简略框图。
传送服务器10，备有用于保持传送按规定方式将内容数据加密后的数据及内容ID等的信息的信息数据库304、用于保持根据内容数据的传送对个人计算机的各用户进行的计费信息的计费数据库302、管理证书废除表CRL的CRL数据库306、用于保持信息数据库304中所保持的内容数据的菜单的菜单数据库307、在加密内容数据和许可证的传送处理的从开始到结束的状态中按每次传送保持着包含事务处理ID的传送处理记录的传送记录数据库308、通过总线BS1从信息数据库304、计费数据库302、CRL数据库306、菜单数据库307及传送记录数据库308接收数据并进行规定的处理用的数据处理部310、用于在传送载体(图中未示出)与数据处理部310之间通过通信网进行数据的发送接收的通信装置350。
数据处理部310，包含根据总线BS1上的数据控制数据处理部310的动作用的传送控制部315、由传送控制部315控制并在传送对话时生成对话密钥Ks1用的对话密钥生成部316、保持用于将从许可证管理模块传送到的认证用的认证数据{KPmw∥Cmw}KPa解密的公开认证密钥的认证密钥保持部313、通过通信装置350及总线BS1接收认证数据{KPmw∥Cmw}KPa并用来自认证密钥保持部313的公开认证密钥KPa进行解密处理的解密处理部312、利用由解密处理部312得到的类别公开加密密钥KPmw将由对话密钥生成部316生成的对话密钥Ks1加密并将其输出到总线BS1用的加密处理部318、从总线BS1接收由对话密钥Ks1加密后发送的数据并进行解密处理的解密处理部320。
数据处理部310，还包含利用由解密处理部320得到的许可证管理模块的专用公开加密密钥KPmcx将从传送控制部315供给的许可证加密用的加密处理部326、利用从解密处理部320供给的对话密钥Ks2将加密处理部326的输出进一步加密并将其输出到总线BS1用的加密处理部328。
关于传送服务器10的传送对话中的动作，随后将用流程图进行详细的说明。
图5是用于说明图1所示个人计算机50的结构的简略框图。个人计算机50，包含用于进行个人计算机50的各部的数据发送接收的总线BS2、为通过因特网30从传送服务器10接收加密内容数据等而控制与传送服务器10之间的数据发送接收并执行用于保护内容的程序即许可证管理模块511的控制器510。许可证管理模块511，通过扯开动作经由CD-ROM驱动器540从音乐CD取得音乐数据，并生成局部使用的许可证及可用该许可证再生的加密内容数据，同时进行生成许可证时的控制。
另外，许可证管理模块511，用程序以软件方式进行从传送服务器10接收加密内容数据和许可证时的数据发送接收，并以软件方式管理从接收到的许可证生成的专用许可证。
个人计算机50，还包含硬盘(HDD)530，用于存储执行许可证管理模块511的程序文件、由许可证管理模块511管理的记录加密内容数据或许可证的文件、以使加密内容数据的文件与许可证相互对应的方式进行管理的内容表文件，关于内容表文件，将在后文中详细说明。
个人计算机50，还包含当与便携式再生终端100之间进行加密内容数据和许可证的发送接收时用于在控制器510与端子580之间控制数据的发送接收的USB接口550、通过扯开动作从音乐CD取得音乐数据用的CD-ROM驱动器540、用于输入来自用户的指示的键盘560、用于从视觉上向用户提供各种信息的显示器570、用于连接USB电缆70的端子580、用于连接调制解调器40的串行接口590、位于串行接口590和调制解调器40之间的作为物理边界的端子595。
如上所述，个人计算机50，内部装有通过因特网30从传送服务器10接收加密内容数据和许可证用的许可证管理模块511、及通过扯开动作从音乐CD取得加密内容数据和许可证用的CD-ROM驱动器540。
参照图6，说明个人计算机50的许可证管理模块511对加密内容数据和许可证的管理。个人计算机50的HDD530，包含内容表文件150。内容表文件150，是所拥有的内容的一览形式的数据文件，包含着指示与各个内容对应的内容文件及许可证管理文件的信息。内容文件1531～153m，是记录由许可证管理模块511从传送服务器10接收的或从音乐CD60扯开的加密内容数据{Dc}Kc及附加信息Dc-inf的文件，按每个内容进行设置。此外，许可证管理文件1521～152m，与内容文件1531～153m分别对应设置。许可证管理文件1521～152m，至少记录着将由许可证管理模块511通过从传送服务器10的传送或通过从音乐CD60扯开而取得的许可证与可检出数合在一起独自进行了加密的加密级1许可证及在解密前为进行参照而将许可证的一部分的副本以明文写出的信息(许可证密钥除外)。所谓独自的加密，是指以与个人计算机50的控制器(CPU)510的专用号码或基本输入/输出系统(BIOS)的版本号等从个人计算机50取得的可以特定个人计算机50的信息相关联的方式进行的加密。因此，所生成的加密级1许可证，是个人计算机50所独有的许可证，即使其他装置复制也没有任何意义。
许可证管理模块511，构成为可以根据内容文件表选择内容并进一步特定出与该选定的内容对应的内容文件及许可证管理文件。
图7是用于说明图1所示便携式再生终端100的结构的简略框图。
便携式再生终端100，包含用于进行便携式再生终端100的各部的数据发送接收的总线BS3、通过总线BS3控制便携式再生终端100的动作用的控制器1106、用于将来自外部的指示施加于便携式再生终端100的操作板1108、用于将从控制器1106等输出的信息作为视觉信息供给便携式电话机用户的显示板1110。
便携式再生终端100，还包含用于存储来自传送服务器10的内容数据(音乐数据)且进行解密处理的可装卸的存储卡110、用于控制存储卡110与总线BS3之间的数据发送接收的存储卡接口1200、当从个人计算机50接收加密内容数据和许可证时用于控制总线BS3与端子1114之间的数据发送接收的USB接口1112、用于连接USB电缆70的端子1114、对加密内容数据{Dc}Kc进行解密和再生的再生装置1550。
再生装置1550，包含认证数据保持部1500，以可以用公开认证密钥Kpa将类别公开加密密钥KPp1及类别证书Cp1解密从而认证其合法性的状态保持加密后的认证数据{KPpy∥Cp1}KPa。这里，对再生装置1550的类别y，假定y＝1。
便携式再生终端100，还包含用于保持类别秘密解密密钥Kp1的Kp1保持部1502、用Kp1将从总线BS 3接收到的数据解密并取得由存储卡110生成的对话密钥Ks2的解密处理部1504。
再生装置1550，还包含在对存储卡110所存储的内容数据进行再生的再生对话中用随机数等生成用于将在总线BS3上与存储卡110之间交换的数据加密的对话密钥Ks3的对话密钥生成部1508、当在加密内容数据的再生对话中从存储卡110接收许可证密钥Kc及再生控制信息Acp时利用从解密处理部1504得到的对话密钥Ks2将由对话密钥生成部1508生成的对话密钥Ks3加密并输出到总线BS3的加密处理部1506。
再生装置1550，还包含用对话密钥Ks3将总线BS3上的数据解密并输出许可证密钥Kc及再生控制信息ACp的解密处理部1510、从总线BS3接收加密内容数据{Dc}Kc并用从解密处理部1510取得的许可证密钥Kc将其解密后输出内容数据的解密处理部1516、用于接收解密处理部1516的输出并将内容数据再生的音乐再生部1518、将音乐再生部1518的输出从数字信号转换为模拟信号的DA转换器1519、用于将DA转换器1519的输出向头戴式耳机130等外部输出装置(图中省略)输出的端子1530。
另外，再生装置1550，由抗窜改模块构成。
图1所示的便携式再生终端100，不具备下载功能，而是用USB电缆70与个人计算机50进行数据交换。但是，当采用具有通过便携式电话网下载加密内容数据或许可证的功能的便携式再生终端、即便携式电话机一体型再生终端时，该便携式再生终端的结构，构成为在图7所示的结构中追加用于从便携式电话网接收以无线方式传输的信号的天线及用于接收来自天线的信号并将其变换为基带信号或对来自便携式再生终端的数据进行调制后将其供给天线的发送接收部。
关于便携式再生终端100的各构成部分在各对话中的动作，随后将用流程图进行详细的说明。
图8是用于说明存储卡110的结构的简略框图。
如上所述，对存储卡，设有类别公开加密密钥KPmw、类别秘密解密密钥Kmw、类别证书Cmw、专用公开加密密钥KPmcx及专用秘密解密密钥Kmcx，但在存储卡110内假定这些自然数w和x分别以w＝3、x＝4表示。因此，在存储卡110内，设定着类别公开加密密钥KPm3、类别秘密解密密钥Km3、类别证书Cm3、专用公开加密密钥KPmc4及专用秘密解密密钥Kmc4。
因此，存储卡110，包含保持认证数据{KPm3∥Cm3}KPa的认证数据保持部1400、保持按每个存储卡设定的专用秘密解密密钥即Kmc4的Kmc保持部1402、保持类别秘密解密密钥Km3的Km保持部1421、保持用于进行可由专用秘密解密密钥Kmc4解密的加密的专用公开加密密钥KPmc4的KPmc保持部1416。
这样，从以下的说明中可以看出，通过设定存储卡之类的记录装置的加密密钥，能以存储卡为单位执行许可证密钥的管理。
存储卡110，还包含与存储卡接口1200之间通过端子1426发送接收信号的接口1424、与接口1424之间交换信号的总线BS4、从Km保持部1421接收类别秘密解密密钥Km3并从由接口1424供给到总线BS4上的数据中将个人计算机50在检出和检入的对话中生成的对话密钥Ks22等输出到接点Pa的解密处理部1422、保持用于将认证数据解密而确认其合法性的公开认证密钥KPa的KPa保持部1414、从KPa保持部1414接收公开认证密钥KPa并用公开认证密钥KPa从供给到总线BS4的其他设备的认证数据执行解密处理后将解密结果和所得到的类别证书输出到控制器1420并将所得到的类别公开密钥输出到加密处理部1410的解密处理部1408、利用通过切换开关1442有选择地提供的密钥对由切换开关1446有选择地供给的数据进行加密并输出到总线BS4的加密处理部1406。
存储卡110，还包含在检出、检入及再生的各对话中生成对话密钥Ks2的对话密钥生成部1418、利用由解密处理部1408得到的类别公开加密密钥KPpy或KPmw将对话密钥生成部1418输出的对话密钥Ks2加密并输出到总线BS4的加密处理部1410、从总线BS4接收由对话密钥Ks2加密后的数据并用由对话密钥生成部1418得到的对话密钥Ks2进行解密的解密处理部1412、利用由解密处理部1412解密后的其他记录装置(存储卡或许可证管理模块)的专用公开加密密钥KPmcx对在加密内容数据的再生对话中从存储器1415读出的许可证进行加密的加密处理部1417。
存储卡110，还包含利用存储卡110的专用秘密解密密钥Kmc4对由公开加密密钥KPmc4将总线BS4上的数据加密后的数据进行解密用的解密处理部1404、用于从总线BS4接收并存储证书废除表CRL、加密内容数据{Dc}Kc、再生加密内容数据{Dc}Kc用的许可证(Kc、ACp、ACm、许可证ID)、附加信息Dc-inf、加密内容数据再生表、管理许可证的许可证管理文件的存储器1415。存储器1415，例如由半导体存储器构成。此外，存储器1415，由不能从外部直接访问的用于记录证书废除表CRL的CRL区域1415A、记录许可证的许可证区域1415C、可以从外部直接访问并用于记录内容文件、许可证管理文件及再生表文件的数据区域1415D构成。内容文件，包含加密内容数据{Dc}Kc及加密内容数据的附加信息Dc-inf。
存储卡110，还包含通过总线BS4与外部之间进行数据发送接收的控制并通过与总线BS4之间接收类别证书和访问限制信息等控制存储卡110的动作的控制器1420。
图9示出存储卡110的存储器1415中的数据的管理。在存储卡110中，在许可证区域1415C内的由项目序号0、1、2、...、N-1指定的1个项目内记录1个许可证(事务处理ID、内容ID、许可证密钥Kc、访问限制信息ACm及再生限制信息ACp)，在数据区域1415D内，记录再生表文件160、内容文件161～161n及许可证管理文件1621～162n。
再生表文件160，是存储卡110内所记录的内容的一览形式的表，具有可以特定与各内容对应的内容文件及许可证管理文件的结构。
内容文件1611～161n，是记录了加密内容数据{Dc}Kc及附加信息Dc-inf的文件，许可证管理文件1621～162n，是分别记录了与内容文件1611～161n所对应的许可证有关的信息的文件、即记录了内容ID、事务处理ID等的以明文得到的许可证的一部分的副本及记有许可证的项目序号的文件。不存在与之对应的许可证管理文件的内容文件，表示不具备许可证。
备有存储卡110的便携式再生终端，根据再生表文件160，按表的顺序进行内容的再生。这里，在再生表文件160中，假定按内容文件1611～161n的顺序列出。例如，当想要再生曲目1的乐曲时，从再生表文件160特定出想要再生的乐曲的内容文件1611及与之对应的许可证管理文件1621。然后，读出许可证管理文件1621内的项目序号「0」。接着，根据所读出的该项目序号「0」，读出在许可证区域1415C内的由项目序号「0」指定的区域内所记录的许可证，并对加密内容数据进行解密和再生。
当指定曲目3时，在再生表文件160中，可以特定出在数据区域1415D内没有记录着与内容文件1613对应的许可证管理文件1623，所以很容易判定不能对该曲目进行再生。
以下，说明图1所示数据传送系统中的各对话的动作。
首先，说明图1所示数据传送系统中从传送服务器10向个人计算机50的许可证管理模块511传送加密内容数据和许可证的动作。该动作，也称为「传送对话」。
图10～图13是用于说明图1所示的数据传送系统中当购入加密内容数据时发生的对个人计算机50内部所装有的许可证管理模块511的传送动作的第1～第4流程图。许可证管理模块511，也包含着用于从传送服务器10接收加密内容数据和许可证的执行程序。此外，与存储卡一样，在许可证管理模块511内设有类别公开加密密钥KPmw、类别秘密解密密钥Kmw、类别证书Cmw、专用公开加密密钥KPmcx及专用秘密解密密钥Kmcx。假定这些自然数w和x分别以w＝7、x＝8表示。因此，许可证管理模块511保持着类别公开加密密钥KPm7、类别秘密解密密钥Km7、类别证书Cm7、专用公开加密密钥KPmc8及专用秘密解密密钥Kmc8。
在图10的处理之前，作为前提条件，个人计算机50的用户，通过调制解调器40与传送服务器10连接并取得与希望购入的内容对应的内容ID。
参照图10，从个人计算机50的用户通过键盘560发出由内容ID指定的传送请求(步骤S200)。然后，通过键盘560输入用于购入加密内容数据的许可证的购入条件AC(步骤S202)。就是说，为了购入对所选定的加密内容数据进行解密的许可证密钥Kc，设定加密内容数据的访问限制信息ACm及再生限制信息ACp并输入购条件AC。
当输入加密内容数据的购入条件AC时，控制器510，从许可证管理模块511读出认证数据{KPm7∥Cm7}KPa，并向传送服务器10发送所读出的该认证数据{KPm7∥Cm7}KPa以及内容ID、许可证购入条件的数据AC和传送请求(步骤S204)。
传送服务器10，从个人计算机50接收传送请求、内容ID、认证数据{KPm7∥Cm7}KPa及许可证购入条件的数据AC(步骤S206)，并由解密处理部312用公开认证密钥KPa对从许可证管理模块511输出的认证数据执行解密处理(步骤S208)。
传送控制部315，根据解密处理部312的解密处理结果，判断是否接收到由正规机构进行了用于证明其合法性的加密的认证数据(步骤S210)。当判定为是合法的认证数据时，传送控制部315，认可并受理公开加密密钥KPm7及证书Cm7。然后，进入下一步的处理(步骤S212)。当判定为不是合法的认证数据时，不认可且不受理公开加密密钥KPm7及证书Cm7而结束处理(步骤S288)。
当根据认证结果受理了公开加密密钥KPm7及证书Cm7时，传送控制部315，接着，向CRL数据库306查询在证书废除表CRL中是否列有许可证管理模块511的类别证书Cm7，当该类别证书是证书废除表的对象时，就此结束传送对话(步骤S288)。
另一方面，当许可证管理模块511的类别证书Cm7不是证书废除表CRL的对象时，进入下一步的处理(步骤S214)。
当认证结果是来自备有持有合法认证数据的许可证管理模块511的个人计算机50的访问并确认不是证书废除表CRL的对象时，在传送服务器10中，传送控制部315，生成用于特定传送的管理码即事务处理ID(步骤S214)。此外，对话密钥生成部316，生成用于传送的对话密钥Ks1(步骤S216)。对话密钥Ks1，由加密处理部318利用由解密处理部312得到的与许可证管理模块511对应的公开加密密钥KPm7进行加密(步骤S218)。
事务处理ID及加密后的对话密钥Ks1，以事务处理ID∥{Ks1}Km7的形式，通过总线BS1及通信装置350向外部输出(步骤S220)。
参照图11，当个人计算机50的控制器510接收到事务处理ID∥{Ks1}Km7时(步骤S222)，许可证管理模块511，接收加密数据{Ks1}Km7，并在许可证管理模块511中通过用类别秘密解密密钥Km7进行解密处理而受理对话密钥Ks1(步骤S224)。
许可证管理模块511，在确认受理由传送服务器10生成的对话密钥Ks1后，生成对话密钥Ks2(步骤S226)。然后，控制器510，通过总线BS2读出进行了只能由许可证管理模块511解密的加密并记录在HDD530内的加密CRL，许可证管理模块511，将加密CRL解密后取得证书废除表CRL，并从解密后的证书废除表CRL取得更新日期时间数据CRLdate(步骤S228)。许可证管理模块511，进一步，利用由传送服务器10生成的对话密钥Ks1，将由许可证管理模块511生成的对话密钥Ks2、专用公开加密密钥KPmc8及更新日期时间数据CRLdate作为一个数据串进行加密，并输出加密数据{Ks2∥KPmc8∥CRLdate}Ks1(步骤S230)。
控制器510，将对加密数据{Ks2∥KPmc8∥CRLdate}Ks1加上了事务处理ID后的事务处理ID∥{Ks2∥KPmc8∥CRLdate}Ks1发送到传送服务器10(步骤S232)。
传送服务器10，接收事务处理ID∥{Ks2∥KPmc8∥CRLdate}Ks1后(步骤S234)，由解密处理部320用对话密钥Ks1执行解密处理，并受理由许可证管理模块511生成的对话密钥Ks2、许可证管理模块511的专用公开加密密钥KPmc8及许可证管理模块511中的证书废除表的更新日期时间数据CRLdate(步骤S236)。
传送控制部315，根据在步骤S206中取得的内容ID及许可证购入条件的数据AC，生成访问限制信息ACm及再生限制信息ACp(步骤S238)。进一步，从信息数据库304取得用于将加密内容数据解密的许可证密钥Kc(步骤S240)。
传送控制部315，将所生成的许可证、即事务处理ID、内容ID、许可证密钥Kc、再生限制信息ACp及访问限制信息ACm供给加密处理部326。加密处理部326，利用由解密处理部320得到的许可证管理模块511的专用公开加密密钥KPmc8将许可证加密而生成加密数据{事务处理ID∥内容ID∥Kc∥ACm∥ACp}KPmc8(步骤S242)。
参照图12，在传送服务器10中，根据从许可证管理模块511发送的更新日期时间数据CRLdate判断由许可证管理模块511管理的证书废除表CRL是否是最新的，当根据更新日期时间数据CRLdate判定证书废除表CRL是最新的时，进入步骤S246。而当根据更新日期时间数据CRLdate判定证书废除表CRL不是最新的时，转入步骤S252(步骤S244)。
当根据更新日期时间数据CRLdate判定证书废除表CRL是最新的时，加密处理部328，利用由许可证管理模块511生成的对话密钥Ks2对从加密处理部326输出的加密数据{事务处理ID∥内容ID∥Kc∥ACm∥ACp}KPmc8进行加密，并将加密数据{{事务处理ID∥内容ID∥Kc∥ACm∥ACp}KPmc8}Ks2输出到总线BS1。然后，传送控制部315，将总线BS1上的加密数据{{事务处理ID∥内容ID∥Kc∥ACm∥ACp}KPmc8}Ks2通过通信装置350发送到个人计算机50(步骤S246)。
接着，个人计算机50的控制器510，接收加密数据{{事务处理ID∥内容ID∥Kc∥ACm∥ACp}KPmc8}Ks2(步骤S248)，许可证管理模块511，用对话密钥Ks2将加密数据{{事务处理ID∥内容ID∥Kc∥ACm∥ACp}KPmc8}Ks2解密，并受理{事务处理ID∥内容ID∥Kc∥ACm∥ACp}KPmc8(步骤S250)。然后，转入步骤S262。
另一方面，当根据更新日期时间数据CRLdate判定证书废除表CRL不是最新的时，传送控制部315，通过总线BS1从CRL数据库306取得最新的证书废除表CRL，并生成作为差分数据的差分CRL(步骤S252)。
加密处理部328，接收加密处理部326的输出及传送控制部315通过总线BS1供给的差分CRL，并利用由许可证管理模块511生成的对话密钥Ks2进行加密。由加密处理部328输出的{差分CRL∥{事务处理ID∥内容ID∥Kc∥ACm∥ACp}KPmc8}Ks2，通过总线BS1及通信装置350发送到个人计算机50(步骤S254)。
个人计算机50，接收发送到的{差分CRL∥{事务处理ID∥内容ID∥Kc∥ACm∥ACp}KPmc8}Ks2(步骤S256)，许可证管理模块511，用对话密钥Ks2将接收数据解密而受理差分CRL及加密数据{事务处理ID∥内容ID∥Kc∥ACm∥ACp}KPmc8(步骤S258)。
控制器510，将所受理的差分CRL追加于记录在HDD530内的证书废除表CRL，生成进行了独自加密处理的加密CRL，并用所生成的该加密CRL对在HDD530内记录着的加密CRL进行改写(步骤S260)。
步骤S246、S248、S250，是许可证管理模块511所管理的证书废除表CRL为最新的时向许可证管理模块511传送许可证密钥Kc等的步骤，步骤S252、S254、S256、S258、S260，是许可证管理模块511所管理的证书废除表CRL不是最新的时向许可证管理模块511传送许可证密钥Kc等的步骤。按照如上方式，根据从许可证管理模块511发送到的证书废除表CRL被更新后的更新日期时间逐一地确认许可证管理模块511所管理的证书废除表CRL是否已更新为最新的，当未更新为最新的时，从CRL数据库306取得最新的证书废除表CRL并将差分CRL传送到许可证管理模块511，从而可以防止将已传送到许可证管理模块内的许可证从接收传送的许可证管理模块输出到秘密密钥已泄漏的存储卡或内容再生装置等。
在步骤S250或步骤S260之后，通过用专用公开加密密钥KPmc8对加密许可证{事务处理ID∥内容ID∥Kc∥ACm∥ACp}KPmc8进行解密而受理许可证(许可证密钥Kc、事务处理ID、内容ID、访问限制信息ACm及再生限制信息ACp)(步骤S262)。
如上所述，通过交换由传送服务器及许可证管理模块分别生成的加密密钥并用相互取得的加密密钥执行加密后将该加密数据发送到对方，在发送各自的加密数据的过程中就可以进行实际上的相互认证，因而可以提高数据传送系统的保密性。
参照图13，许可证管理模块511，生成包含着用于将从传送服务器10接收到的加密内容数据和许可证出借给其他装置的可检出数的检出信息(步骤S264)。在这种情况下，将可检出数的初始值设定为「3」。因此，许可证管理模块511，生成对所受理的事务处理ID、内容ID、许可证密钥Kc、访问限制信息ACm、再生限制信息ACp、及所生成的检出信息进行了独自加密处理的加密级1许可证(步骤S266)。在这种情况下，许可证管理模块511，以与个人计算机50的控制器(CPU)510的专用号码或基本输入/输出系统(BIOS)的版本号等从个人计算机50取得的可以特定个人计算机50的信息相关联的方式进行加密。因此，所生成的加密级1许可证，是个人计算机50所独有的许可证，即使其他装置复制也没有任何意义，如不采用后文所述的检出动作，则即使将许可证与加密内容数据一起发送到其他装置也不能进行再生。
个人计算机50的控制器510，向传送服务器10发送传送请求，请求传送由传送服务器10发送的事务处理ID及加密内容数据(步骤S268)。
传送服务器10，接收事务处理ID及加密内容数据的传送请求(步骤S270)，从信息数据库304取得加密内容数据{Dc}Kc及附加信息Dc-inf，并将这些数据通过总线BS1及通信装置350输出(步骤S272)。
个人计算机50，接收{Dc}Kc∥Dc-inf，并受理加密内容数据{Dc}Kc及附加信息Dc-inf(步骤S274)。于是，控制器510，将加密内容数据{Dc}Kc及附加信息Dc-inf通过总线BS2记录在HDDS30内(步骤S276)。此外，控制器510，生成包含着由许可证管理模块511生成的加密级1许可证及明文形式的事务处理ID和内容ID的与加密内容数据{Dc}Kc及附加信息Dc-inf对应的许可证管理文件，并通过总线BS2记录在HDD530内(步骤S278)。进一步，控制器510，将所受理的内容的名称追记在记录于HDD530的内容表文件内(步骤S280)，并将事务处理ID及受理传送发送到传送服务器10(步骤S282)。
当传送服务器10接收到事务处理ID∥受理传送时(步骤S284)，将计费数据存储在计费数据库302内、将事务处理ID记录在传送记录数据库308内，并执行传送结束的处理(步骤S286)，从而结束整个处理过程(步骤288)。
如上所述，许可证管理模块511，与传送服务器10之间以软件方式进行数据的交换，并以软件方式从传送服务器10接收加密内容数据和许可证。
个人计算机50的用户，除可以通过传送取得加密内容数据和许可证外，还可以从所拥有的音乐CD取得和使用音乐数据。从著作权者的权利保护的立场考虑，音乐CD的数字复制不能自由进行，但允许个人为自己使用而以备有著作权者保护功能的工具进行复制并欣赏音乐。因此，许可证管理模块511，还包含着实现从音乐CD取得音乐数据并生成可由许可证管理模块511管理的加密内容数据和许可证的扯开功能的程序。
参照图14，当以功能框图表示CD的扯开时，由水印检测部5400、水印判定部5401、重标记部5402、许可证生成部5403、音乐编码器5404、加密处理部5405构成。
水印检测部5400，从音乐CD检测出埋置在音乐数据内的电子水印(水印)。水印判定部5401，判断水印检测部5400是否已检测出水印并当已检测出水印时根据检测结果读取使用规则。作为使用规则，例如可以考虑可否复制、复制世代管理信息、地区代码、最大可检出数等。这里，假定只记载着Never-Copy(不可复制)、Copy-Once(可复制1世代)及Free(可复制)的复制条件和可检出的许可证。
在这种情况下，水印判定部5401，当有水印的使用规则时，根据复制条件判定可否扯开，如不可扯开，则结束处理。另外，水印判定部5401，还判定使用规则有无变更，并将其他使用规则提供给重标记部5402及许可证生成部5403。而当未检测出水印时，或当虽已检出但没有由使用规则指示的项目时，将复制条件看作是Copy-Once、最大可检出数3。
重标记部5402，根据使用规则检测水印判定部5401的判定结果，且当包含着Copy-Once时，将音乐数据中所含有的水印更换为将音乐数据使用规则的Copy-Once变更后的水印。
许可证生成部5403，根据水印判定部5401供给的使用规则生成许可证。音乐编码器5404，按规定的方式对由重标记部540更换了水印后的音乐数据进行编码。加密处理部5405，利用由许可证生成部5403生成的许可证密钥Kc将从音乐编码器5404输出的音乐数据加密。
如上所述，扯开动作，是根据从CD-ROM驱动器540取得的记录在音乐CD60上的音乐数据生成加密内容数据和许可证的动作。
参照图15，说明许可证管理模块511的扯开动作。当开始扯开动作时，水印检测部5400，根据从音乐CD60检测出的数据检测水印(步骤S300)。然后，水印判定部5401，判断水印检测部5400所进行的检测是否可以作为水印检出，并当可以作为水印检出时，根据作为水印记录着的使用规则判定是否可以复制(步骤S302)。当根据作为水印记录着的使用规则允许复制时，可以进行扯开动作，在这种情况下，进入步骤S304。当根据作为水印记录着的使用规则禁止复制时，转入步骤S328，结束扯开动作。当不能从音乐CD60检测出水印时，判定为允许进行一次复制，并进入步骤S310。
当在步骤S302中从音乐CD60取入音乐数据且复制条件为Copy-Once时，由重标记部5402更换为将由音乐数据所含有的水印记录着的使用规则中的复制条件变更为Never-Copy后的水印(步骤S304)。然后，许可证生成部5403，生成反映出使用规则的许可证(步骤S306)。即，如复制条件为Free，则许可证生成部5403生成可自由复制的访问限制信息ACm。进一步，用随机数生成许可证密钥Kc，并根据预定的一定规则生成许可证ID。对许可证ID，规定着其生成规则，以便能与预先传送的许可证ID区分开。对其他的访问限制信息ACm或再生限制信息ACp，可以设定默认值。默认值，例如，如果是访问限制信息ACm的可再生数则为无限制，如果是再生限制信息ACp的再生期限则为无期限，如果是再生范围限制则为整个范围，如果是再生速度变更限制则有不可变更、再生范围等。
然后，如在使用规则中指定着最大可检出数，则许可证生成部5403生成反映出该值的检出信息，如未指定着最大可检出数，则生成包含着设定了默认值(＝3)的可检出数的检出信息(步骤S308)。
另一方面，当在步骤S302中未检测出水印时，许可证生成部5403，根据默认值生成许可证，即生成禁止许可证复制和转移的许可证(步骤S310)。在这之后，许可证生成部5403，生成包含着默认值为3的可检出数的检出信息(步骤S312)。
在步骤S308或步骤312之后，音乐编码器5404，按规定方式对水印已被重新标记的音乐数据进行编码而生成内容数据Dc(步骤S314)。接着，加密处理部5405，利用由许可证生成部5403生成的许可证密钥Kc对从音乐编码器5404输出的内容数据Dc进行加密而生成加密内容数据{Dc}Kc(步骤S316)。然后，根据音乐CD60所包含的信息或从个人计算机50的键盘560输入的用户输入等生成内容数据Dc的附加信息Dc-inf(步骤S318)。
这样一来，在个人计算机50的控制器510上工作着的许可证管理模块511，即可通过总线BS2取得加密内容数据{Dc}Kc及附加信息Dc-inf，并将其记录在HDD530内(步骤S320)。接着，许可证管理模块511，生成对所生成的许可证(事务处理ID、内容ID、许可证密钥Kc、访问限制信息ACm、再生限制信息ACp)及检出信息进行了独自加密处理的加密级1许可证(步骤S322)。然后，许可证管理模块511，生成包含着加密级1许可证及明文形式的事务处理ID和内容ID且与记录在HDD530内的加密内容数据{Dc}Kc及附加信息Dc-inf对应的许可证管理文件，并将其记录在HDD530内(步骤S324)。最后，许可证管理模块511，将所受理的内容的文件名追记在记录于HDD530的内容表文件内(步骤S326)，并结束扯开动作(步骤S328)。
如上所述，个人计算机50，也可以通过扯开动作取得加密内容数据和许可证。通过扯开动作取得的加密内容数据和许可证，可以按照与许可证管理模块511从传送服务器10接收的加密内容数据和许可证同样的方式使用。
如果从许可证管理模块511的管理下根本不能取出许可证，则只能利用许可证管理模块511所备有的再生功能进行再生，因而违背了在保护著作权的同时允许自由复制的数据传送系统的宗旨，而且也不能提高用户的方便性。此外，不具备下载功能的便携式再生终端，不能取得加密内容数据和许可证。因此，按照以下说明的检出和检入的概念，就可以将加密内容数据和许可证从许可证管理模块511向存储卡110检出(借出)。
以下，说明图1所示的数据传送系统中将加密内容数据和许可证从许可证管理模块511向便携式再生终端所装有的存储卡110检出的动作。另外，本系统，在复制加密内容数据时也采用着除非伴随有许可证否则就不能再生的保护方式，所以，由许可证管理模块511严格管理且通过检出动作借出的只是许可证就足够了，加密内容数据可以自由复制。
图16～图19是用于说明图1所示的数据传送系统中以返还为条件将由许可证管理模块511从传送服务器10接收的或从音乐CD60扯开的加密内容数据和许可证出借给便携式再生终端100所装有的存储卡110的检出动作的第1～第4流程图。在图16的处理之前，作为前提条件，个人计算机50的用户，根据内容文件决定要检出的内容并可以特定出内容文件153h(1≤h≤m)及许可证管理文件152h。
另外，每当检出时，许可证管理模块511，生成将作为许可证管理文件管理着的原始许可证中的事务处理ID及访问限制信息ACm变更后的用于检出动作的许可证，然后检出所生成的该许可证。事务处理ID的变更，是为了与许可证管理模块511管理下的原始许可证区分开而进行的，访问限制信息ACm的变更，是因检出动作以返还为前提因而为防止从存储卡110转移或复制所检出的许可证而进行的。在下文中，为了与原始的事务处理ID或访问限制信息ACm区分开，将进行检出处理的新的事务处理ID及访问限制信息ACm分别称为检出用事务处理ID、检出用访问限制信息ACm。
参照图16，当从个人计算机50的键盘560输入检出请求时(步骤S400)，控制器510，从记录在HDD530内的许可证管理文件152h取得进行了独自加密的加密级1许可证(参照图13的步骤S278)。然后，许可证管理模块511，将加密级1许可证解密而取得许可证(事务处理ID、内容ID、许可证密钥Kc、访问限制信息ACm及再生限制信息ACp)及检出信息(步骤S402)。
许可证管理模块511，对访问限制信息ACm进行确认(步骤S404)。就是说，许可证管理模块511，根据所取得的访问限制信息ACm，确认要向便携式再生装置100所装有的存储卡110检出的许可证按照访问限制信息ACm是否是可以对加密内容数据进行再生的许可证。当再生次数受到访问限制信息ACm中所包含的限制次数的限制时，不必检出该许可证。
在步骤S404中，当加密内容数据的再生次数受到访问限制信息ACm的限制时，转入步骤S488，并结束检出动作。在步骤S404中，当再生次数不受访问限制信息ACm的限制时，进入步骤S406。接着，许可证管理模块511，确认所取得的检出信息中包含的可检出数是否大于「0」(步骤S406)。在步骤S406中，如可检出数为「0」，则没有可检出的许可证，所以，转入步骤S488，并结束检出动作。当在步骤S406中可检出数大于「0」时，许可证管理模块511，通过USB接口550、端子580及USB电缆70发送认证数据的发送请求(步骤S408)。便携式再生终端100的控制器1106，通过端子1114、USB接口1112及总线BS3接收认证数据的发送请求，并将该接收到的认证数据发送请求通过总线BS3及存储卡接口1200发送到存储卡110。然后，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收认证数据发送请求(步骤S410)。
控制器1420，在接收到认证数据发送请求后，通过总线BS4从认证数据保持部1400读出认证数据{KPm3∥Cm3}KPa，并将所读出的该认证数据{KPm3∥Cm3}KPa通过总线BS4、接口1424及端子1426输出到便携式再生终端100。接着，便携式再生终端100的控制器1106，通过存储卡接口1200及总线BS3接收认证数据{KPm3∥Cm3}KPa，并将认证数据{KPm3∥Cm3}KPa通过总线BS3、USB接口1112、端子1114及USB电缆70发送到个人计算机50(步骤S412)。
在这之后，个人计算机50的许可证管理模块511，通过端子580及USB接口550接收认证数据{KPm3∥Cm3}KPa(步骤S414)，并用认证密钥KPa将接收到的该认证数据{KPm3∥Cm3}KPa解密(步骤S416)。许可证管理模块511，根据解密处理结果进行认证处理，即判断是否接收到由正规机构进行了用于证明其合法性的加密的认证数据(步骤S418)。当判定为是合法的认证数据时，许可证管理模块511，认可并受理公开加密密钥Kpm3及类别证书Cm3。然后，进入下一步的处理(步骤S420)。当判定为不是合法的认证数据时，不认可且不受理公开加密密钥KPm3及类别证书Cm3而结束处理(步骤S488)。
当根据认证结果识别为正规的存储卡时，许可证管理模块511，接着，向HDD530查询在证书废除表CRL中是否列有存储卡110的类别证书Cm3的识别码，当在证书废除表CRL内列有该类别证书Cm3的识别码时，就此结束检出动作(步骤S488)。而当在证书废除表CRL内没有列出存储卡110的类别证书Cm3的识别码时，进入下一步的处理(步骤S420)。
参照图17，当认证结果是来自备有持有合法认证数据的存储卡的便携式再生终端的访问并确认在证书废除表CRL内没有列出类别证书Cm3的识别码时，许可证管理模块511，生成用于特定检出的管理码即事务处理ID(步骤S422)。接着，许可证管理模块511，生成用于检出的对话密钥Ks22(步骤S424)，并利用从存储卡110发送的类别公开加密密钥KPm3将所生成的对话密钥Ks22加密(步骤S426)。然后，许可证管理模块511，将对加密数据{Ks22}Km3追加了检出用事务处理ID的检出用事务处理ID∥{Ks22}Km3通过USB接口550、端子580及USB电缆70发送到便携式再生终端100(步骤S428)。于是，便携式再生终端100的控制器1106，通过端子1114、USB接口1112及总线BS3接收检出用事务处理ID∥{Ks22}Km3，并将该接收到的检出用事务处理ID∥{Ks22}Km3通过存储卡接口1200发送到存储卡110。接着，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收检出用事务处理ID∥{Ks22}Km3(步骤S430)。解密处理部1422，通过总线BS4从控制器1420接收加密数据{Ks22}Km3，并用来自Km保持部1421的类别秘密解密密钥Km3对加密数据{Ks22}Km3进行解密而受理对话密钥Ks22(步骤S432)。然后，对话密钥生成部1418，生成对话密钥Ks2(步骤S434)，控制器1420，通过总线BS4从存储器1415的CRL区域1415A取得证书废除表CRL的更新日期时间数据CRLdate，并将所取得的该更新日期时间数据CRLdate供给到切换开关1446(步骤S436)。
在这之后，加密处理部1406，利用由解密处理部1404解密后的对话密钥Ks22将通过对切换开关1446的端子依次进行切换而取得的对话密钥Ks2、存储卡110的专用公开加密密钥KPmc4及更新日期时间数据CRLdate加密，生成加密数据{Ks2∥KPmc4∥CRLdate}Ks22。控制器1420，通过总线BS4、接口1424及端子1426将加密数据{Ks2∥KPmc4∥CRLdate}Ks22输出到便携式再生终端100，便携式再生终端100的控制器1106，通过存储卡接口1200接收加密数据{Ks2∥KPmc4∥CRLdate}Ks22。然后，控制器1106，通过USB接口1112、端子1114及USB电缆70将该加密数据发送到个人计算机50{步骤S438)。
个人计算机50的许可证管理模块511，通过端子580及USB接口550接收加密数据{Ks2∥KPmc4∥CRLdate}Ks22(步骤S440)，并用对话密钥Ks22将接收到的该加密数据{Ks2∥KPmc4∥CRLdate}Ks22解密而受理对话密钥Ks2、专用公开加密密钥KPmc4及更新日期时间数据CRLdate(步骤S442)。接着，许可证管理模块511，生成防止将许可证从便携式再生终端100所装有的存储卡110向其他存储卡等转移/复制的检出用访问限制信息ACm(步骤S444)。
上述的步骤S408～S442的动作，是确认检出加密内容数据和许可证的存储卡110是正规的存储卡并特定出进行检出的存储卡110的动作。就是说，通过检测是否可以用认证密钥KPa将认证数据{KPm3∥Cm3}KPa解密而确认存储卡100是否是正规的存储卡，并通过从存储卡110接收每个存储卡所固有的专用公开加密密钥KPmc4而特定检出许可证的存储卡。
参照图18，许可证管理模块511，利用在步骤S442中接收到的存储卡110所固有的专用公开加密密钥KPmc4将许可证加密而生成加密数据{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4(步骤S446)。然后，许可证管理模块511，根据从存储卡110发送到的更新日期时间数据CRLdate判断存储卡110的证书废除表CRL是否比由许可证管理模块511管理的证书废除表CRL新。当判定存储卡110的证书废除表CRL一方更新时，进入步骤S450。相反，当判定由许可证管理模块511管理的证书废除表CRL一方更新时，转入步骤S456(步骤S448)。
当根据更新日期时间数据CRLdate判定存储卡110的证书废除表CRL一方更新时，许可证管理模块511，用对话密钥Ks2对{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4进行加密，并将加密数据{{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4}Ks2通过USB接口550、端子580及USB电缆70发送到便携式再生终端100(步骤S450)。
便携式再生终端100的控制器1106，通过端子1114、USB接口1112及总线BS3接收加密数据{{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4}Ks2，并将该接收到的加密数据{{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4}Ks2通过总线BS3及存储卡接口1200发送到存储卡110。然后，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收加密数据{{松出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4}Ks2(步骤S452)。
存储卡110的解密处理部1412，通过总线BS4接收加密数据{{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4}Ks2，并用由对话密钥生成部1418生成的对话密钥Ks2进行解密而受理加密数据{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4(步骤S454)。在这之后，转入图19所示的步骤S466。
另一方面，当在步骤S448中根据更新日期时间数据CRLdate判定许可证管理模块511的证书废除表CRL一方更新时，许可证管理模块511，从HDD530取得由许可证管理文件管理的证书废除表CRL(步骤S456)。
接着，许可证管理模块511，用对话密钥Ks2将{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4及从HDD530取得的证书废除表CRL加密，并将该加密数据{CRL∥{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4}Ks2通过USB接口550、端子580及USB电缆70发送到便携式再生终端100(步骤S458)。便携式再生终端100的控制器1106，通过端子1114、USB接口1112及总线BS3接收加密数据{CRL∥{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4}Ks2，并将该接收到的加密数据{CRL∥{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4}Ks 2通过存储卡接口1200输出到存储卡110。于是，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收加密数据{CRL∥{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4}Ks2(步骤S460)。
在存储卡110中，解密处理部1412，用由对话密钥生成部1418供给的对话密钥Ks2对总线BS4上的接收数据进行解密而受理CRL及加密数据{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4(步骤S462)。控制器1420，通过总线BS4接收由解密处理部1412受理的证书废除表CRL，并用接收到的证书废除表CRL改写存储器1415的CRL区域1415A(步骤S464)。
步骤S450、S452、S454，是当存储卡110保持的证书废除表CRL比由许可证管理模块511管理的证书废除表CRL新或相同时的许可证密钥Kc等向存储卡110的检出动作的步骤，步骤S456、S458、S460、S464，是当存储卡110保持的证书废除表CRL比由许可证管理模块511管理的证书废除表CRL旧时的许可证密钥Kc等向存储卡110的检出动作的步骤。按照如上方式，根据从存储卡110发送到的更新日期时间数据CRLdate，逐一地确认存储卡110保持的证书废除表CRL的更新日期时间，当作为检入源的许可证管理模块511管理着较新的证书废除表CRL时，通过将存储卡110保持的证书废除表CRL改写为许可证管理模块511管理着的证书废除表CRL，可以防止从存储卡110向已泄密的其他设备、例如再生装置1550提供许可证密钥。此外，将检出用事务处理ID、内容ID、许可证密钥Kc、检出用访问限制信息ACm、再生限制信息ACp合在一起称为「借出用许可证」。
参照图19，在步骤S454或步骤464之后，根据控制器1420的指示，由解密处理部1404用秘密解密密钥Kmc4对加密许可证{检出用事务处理ID∥内容ID∥Kc∥检出用ACm∥ACp}Kmc4进行解密而受理许可证(许可证密钥Kc、检出用事务处理ID、内容ID、检出用访问限制信息ACm及再生限制信息ACp)(步骤S466)。然后，控制器1420，将所受理的检出用事务处理ID、内容ID、许可证密钥Kc、检出用访问限制信息ACm及再生限制信息ACp通过总线BS4记录在存储器1415的许可证区域1415C内(步骤S468)。
如上所述，通过交换由许可证管理模块511及存储卡110分别生成的加密密钥并用相互取得的加密密钥执行加密后将该加密数据发送到对方，在发送各自的加密数据的过程中就可以进行实际上的相互认证，因而可以提高数据传送系统的保密性。
个人计算机50的许可证管理模块511，将可检出数减1(步骤S470)，并生成对事务处理ID、内容ID、许可证密钥Kc、访问限制信息ACm、再生限制信息ACp、及更新后的检出信息(追加了可检出数、检出用事务处理ID、作为检出目的地的存储卡110所固有的公开加密密钥KPmc4的检出信息)进行了独自加密处理的加密级1许可证，并用所生成的该加密级1许可证改写记录于HDD530的许可证管理文件内的加密级1许可证(步骤S472)。因此，通过将从存储卡110接收到的存储卡所固有的公开加密密钥KPmc4作为检出信息的一部分记录在HDD530内，可以很容易地特定出后文所述的加密内容数据和许可证的检入动作的相对方。
许可证管理模块511，从记录在HDD530内的内容文件153h取得要向存储卡110检出的加密内容数据{Dc}Kc及附加信息Dc-inf(步骤S474)。存储卡110的控制器1420，通过便携式再生终端100接收{Dc}Kc∥Dc-inf(步骤S476)，并将接收到的{Dc}Kc∥Dc-inf通过总线BS4记录在存储器1415的数据区域1415D内(步骤S478)。
在这之后，个人计算机50的许可证管理模块511，生成追记了检出到存储卡110的乐曲的再生表(步骤S480)，并将再生表及再生表的改写指示发送到存储卡110(步骤S482)。存储卡110的控制器1420，通过便携式再生终端100接收再生表及再生表的改写指示(步骤S484)，并将通过总线B54记录在存储器1415的数据区域1415D内的再生表160的内容改写为接收到的再生表(步骤S486)，从而结束检出动作(步骤S488)。
按照这种方式，在确认了便携式再生终端100所装有的存储卡110是正规设备并确认了与类别证书Cm3一起加密发送的公开加密密钥KPm3有效后，可以只响应对在证书废除表CRL、即已经将公开加密密钥KPm3的加密解密的证书废除表CRL中没有列出类别证书Cm3的存储卡的检出请求而检出内容数据，从而可以禁止对非法的存储卡的检出及采用已解密的类别密钥进行的检出。此外，通过采用这种检出动作，即使是不具备从传送服务器10下载的功能的便携式再生终端100的用户，也可以将由个人计算机50取得的许可证发送到存储卡110，因而提高了用户的方便性。
以下，说明图1所示数据传送系统中将从个人计算机50的许可证管理模块511检出到存储卡110的加密内容数据和许可证返还到许可证管理模块511的管理下的动作。将这种动作称为「检入」。
图20～图27是用于说明请求将通过参照图16～图19说明过的检出动作出借给存储卡110的许可证返还的检入动作的第1～第8流程图。
在图20的处理之前，作为前提条件，个人计算机50的用户，根据记录在便携式再生终端100所装有的存储卡110的数据区域1415D内的再生表文件160及记录在个人计算机50的HDD530内的内容表文件150，决定要检入的内容数据，并特定出与内容数据对应的存储卡110内的内容文件161i(1≤i≤n)及许可证管理文件152i和记录在个人计算机50的HDD530内的许可证管理文件152j(1≤j≤m)。因此，以事先从与内容数据对应的存储卡110内的内容文件162i取得检出时用作检出用事务处理ID的事务处理ID为前提。
在下文中，将检出时用作检出用事务处理ID的事务处理ID称为的检出时事务处理ID。
参照图20，当从个人计算机50的键盘560输入检入请求时(步骤S500)，首先，开始进行确认在作为检出目的地的存储卡110内是否记录着已检出的许可证的处理。
许可证管理模块511，从记录在HDD530内的许可证管理文件152j取得加密级1许可证，将其解密后取得事务处理ID、内容ID、许可证密钥Kc、访问限制信息ACm、再生限制信息ACp、及检出信息(检出时作为检出用事务处理ID使用的事务处理ID、检出目的地专用公开加密密钥KPmcx及可检出数)(步骤S502)。当检出着多个许可证时，记录着其个数仅为所检出的许可证数的检出时事务处理ID，进一步，对检出时事务处理ID分别记录着1个检出目的地专用公开加密密钥KPmcx，但是，由于事先已从存储卡110的许可证管理文件162j特定出检出时事务处理ID，所以可以特定并取得作为检出对象的检出目的地专用公开加密密钥。
接着，许可证管理模块511，通过USB接口550、端子580及USB电缆70向便携式再生终端100发送认证数据的发送请求(步骤S504)。于是，便携式再生终端100的控制器1106，通过端子1114、USB接口1112及总线BS3接收认证数据的发送请求，并将认证数据发送请求通过总线BS3及存储卡接口1200发送到存储卡110。然后，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收认证数据的发送请求(步骤S506)。
控制器1420，在接收到认证数据的发送请求后，通过总线BS4从认证数据保持部1400读出认证数据{KPm3∥Cm3}KPa，并将所读出的该认证数据{KPm3∥Cm3}KPa通过总线BS4、接口1424及端子1426输出到便携式再生终端100。接着，便携式再生终端100的控制器1106，通过存储卡接口1200及总线BS3接收认证数据{KPm3∥Cm3}KPa，并通过总线BS3、USB接口1112、端子1114及USB电缆70将认证数据{KPm3∥Cm3}KPa发送到个人计算机50(步骤S508)。
在这之后，个人计算机50的许可证管理模块511，通过端子580及USB接口550接收认证数据{KPm3∥Cm3}KPa(步骤S510)，并用认证密钥KPa将接收到的该认证数据{KPm3∥Cm3}KPa解密(步骤S512)。接着，许可证管理模块511，根据解密处理结果进行判断是否正常地进行了处理的认证处理，即判断是否接收到由正规机构进行了用于证明其合法性的加密的认证数据，以便认证存储卡110保持着来自正规的存储卡的公开加密密钥KPm3及类别证书Cm3(步骤S514)。当判定为是合法的认证数据时，许可证管理模块511，认可并受理公开加密密钥KPm3及类别证书Cm3。然后，进入下一步的处理(步骤S516)。当判定为不是合法的认证数据时，不认可且不受理公开加密密钥KPm3及类别证书Cm3而结束处理(步骤S664)。
当根据认证结果识别为正规的存储卡时，许可证管理模块511，生成对话密钥Ks22(步骤S516)，并利用所受理的类别公开加密密钥KPm3将所生成的该对话密钥Ks22加密而生成加密数据{Ks22}Km3(步骤S518)。然后，许可证管理模块511，将对加密数据{Ks22}Km3追加了检出时事务处理ID的检出时事务处理ID∥{Ks22}Km3通过USB接口550、端子580及USB电缆70发送到便携式再生终端100(步骤S520)。
参照图21，便携式再生终端100的控制器1106，通过端子1114、USB接口1112及总线BS3接收检出时事务处理ID∥{Ks22}Km3，并将检出时事务处理ID∥{Ks22}Km3通过总线BS3及存储卡接口1200输出到存储卡110。于是，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收检出时事务处理ID∥{Ks22}Km3(步骤522)。
存储卡110的解密处理部1422，用来自Km保持部1421的类别秘密解密密钥Km3将检出时事务处理ID∥{Ks22}Km3解密而受理对话密钥Ks22(步骤S524)。控制器1420，响应对话密钥Ks22的受理而控制对话密钥生成部1418，令其生成对话密钥Ks2。接着，对话密钥生成部1418，生成对话密钥Ks2(步骤S526)。控制器1420，通过总线BS4从存储器1415的CRL区域1415A的证书废除表CRL取得更新日期时间数据CRLdate(步骤S528)，并将所取得的该更新日期时间数据CRLdate输出到切换开关1446。加密处理部1406，利用由解密处理部1404解密并通过切换开关1442取得的对话密钥Ks22将通过对切换开关1446的端子依次进行切换而取得的对话密钥Ks2、专用公开加密密钥KPmc4及更新日期时间数据CRLdate加密，控制器1420，将加密数据{Ks2∥KPmc4∥CRLdate}Ks22通过总线BS4、接口1424及端子1426输出到便携式再生终端100。然后，便携式再生终端100的控制器1106，通过存储卡接口1200及总线BS3取得加密数据{Ks2∥KPmc4∥CRLdate}Ks22，并通过USB接口1112、端子1114及USB电缆70将该加密数据发送到个人计算机50(步骤S530)。
许可证管理模块511，通过端子580及USB接口550接收加密数据{Ks2∥KPmc4∥CRLdate}Ks22(步骤532)，并用对话密钥Ks22将接收到的该加密数据{Ks2∥KPmc4∥CRLdate}Ks22解密而受理对话密钥Ks2及专用公开加密密钥KPmc4(步骤S534)。然后，许可证管理模块511，检查所受理的专用公开加密密钥KPmc4是否是从许可证管理文件152j取得的检出目的地的专用公开加密密钥KPmcx(步骤S536)。当所受理的专用公开加密密钥KPmc4不是检出目的地的专用公开加密密钥KPmcx时，由于所受理的专用公开加密密钥KPmc4不是从检出了加密内容数据和许可证的存储卡发送的专用公开加密密钥，所以转入步骤S664，并结束检入动作。在步骤S536中，当所受理的专用公开加密密钥KPmc4是检出目的地的专用公开加密密钥KPmcx时，意味着存储卡110是检出了许可证的存储卡。就是说，按照如上方式，确认了发送出专用公开加密密钥KPmc4的存储卡110是检出了许可证的相对方。
在这之后，许可证管理模块511，生成对话密钥Ks22a(步骤S538)，并用公开加密密钥KPmc4将所生成的该对话密钥Ks22a加密而生成加密数据{Ks22a}Kmc4(步骤S540)。然后，许可证管理模块511，将加密数据{Ks22a)KmC4通过USB接口550、端子580及USB电缆70发送到便携式再生终端100(步骤S542)。
参照图22，便携式再生终端100的控制器1106，通过端子1114、USB接口1112及总线BS3接收加密数据{Ks22a}Kmc4，并将加密数据{Ks22a}Kmc4通过总线BS3及存储卡接口1200输出到存储卡110。于是，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收加密数据{Ks22a}Kmc4(步骤S544)。
解密处理部1404，利用来自Kmc保持部1402的专用秘密解密密钥Kmc4将加密数据{Ks22a}Kmc4解密而受理对话密钥Ks22a(步骤S546)。另一方面，许可证管理模块511，向存储卡110发送检出时事务处理ID及许可证确认请求(步骤S548)。然后，存储卡110的控制器1420，通过便携式再生终端100接收检出时事务处理ID及许可证确认请求(步骤S550)，检索存储器1415的许可证区域1415C，并生成与检出时事务处理ID对应的许可证的状态信息statusa(步骤S552)。接着，控制器1420，将由解密处理部1404解密后的对话密钥Ks22a及状态信息statusa输出到切换开关1446，加密处理部1406，利用对话密钥Ks22a将通过对切换开关1446的端子依次进行切换而取得的在步骤S526中生成的对话密钥Ks2及状态信息statusa加密而生成加密数据{Ks2∥statusa}Ks22a(步骤S554)。另外，控制器1420，生成对加密数据{Ks2∥statusa}Ks22a追加了检出时事务处理ID的检出时事务处理ID∥{Ks2∥statusa}Ks22a，并根据散列函数计算与检出时事务处理ID∥{Ks2∥statusa}Ks22a对应的散列值，将运算结果即散列值作为签名hasha供给切换开关1446。然后，加密处理部1406，用对话密钥Ks22a将通过切换开关1446取得的签名hasha加密而生成加密数据{hasha}Ks22a(步骤S556)。
在这之后，控制器1420，将检出时事务处理ID∥{Ks2∥statusa}Ks22a∥{hasha}Ks22a通过总线BS4、接口1424及端子1426输出到便携式再生终端100。接着，便携式再生终端100的控制器1106，通过存储卡接口1200及总线BS3取得检出时事务处理ID∥{Ks2∥statusa}Ks22a∥{hasha}Ks22a，并通过USB接口1112、端子1114及USB电缆70将其发送到个人计算机50(步骤S558)。
许可证管理模块511，通过端子580及USB接口550接收检出时事务处理ID∥{Ks2∥statusa}Ks22a∥{hasha}Ks22a，并受理检出时事务处理ID、{Ks2∥statusa}Ks22a及{hasha}Ks22a(步骤S560)。在这之后，用对话密钥Ks22a将所受理的{Ks2∥statusa}Ks22a及{hasha}Ks22a解密而受理状态信息statusa及签名hasha(步骤S562)。
参照图23，许可证管理模块511，根据散列函数计算与检出时事务处理ID∥{Ks2∥statusa}Ks22a对应的散列值，并独自生成签名。接着，将独自生成的签名与所受理的签名hasha进行比较(步骤S564)。当独自生成的签名与所受理的签名hasha不一致时，判定为所接收的检出时事务处理ID∥{Ks2∥statusa}Ks22a已被窜改，并转入步骤S664而结束检入动作。在步骤S564中，当独自生成的签名与所受理的签名hasha一致时，许可证管理模块511，确认在步骤S562中受理的对话密钥Ks2及状态信息statusa。即，许可证管理模块511，判别在步骤S534和步骤S536中得到的对话密钥Ks2是否一致及与检出时事务处理ID对应的许可证是否有效。就是说，对话密钥Ks2的一致，意味着在步骤S532之后存储卡没有变更、在步骤S532中对话密钥Ks2是与专用公开加密密钥KPmc4同时受理的值，所以在步骤S536中得到的状态信息statusa是从作为检入对象的存储卡110输出的信息。相反，当2个对话密钥Ks2不一致时，意味着存储卡已被更换。状态信息statusa，指示着与检出时事务处理ID对应的许可证的状态，并指示着是否记录在存储卡110内。因此，当确认2个对话密钥Ks2不一致、或由状态信息statusa指示许可证不存在时，转入步骤S664并结束检入动作。而当确认2个对话密钥Ks2一致、且由状态信息statusa指示许可证存在时，进入步骤S568，继续检入动作(步骤S566)。在上述步骤S550～S566中，确认在作为检出目的地的存储卡内的许可证区域上存在已检出的许可证。
接着，当确认存储卡110是从个人计算机50检出许可证的存储卡、且存储卡内存在已检出的许可证时，进入将记录在存储卡110内的要检入的许可证删除的处理。
许可证管理模块511，生成对话密钥生成请求，并将所生成的对话密钥生成请求通过USB接口550、端子580及USB电缆70发送到便携式再生终端100(步骤S568)。于是，便携式再生终端100的控制器1106，通过端子1114、USB接口1112及总线BS3接收对话密钥生成请求，并将对话密钥生成请求通过总线BS3及存储卡接口1200发送到存储卡110。然后，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收对话密钥生成请求(步骤S570)。
接着，控制器1420，控制对话密钥生成部1418，对话密钥生成部1418，生成对话密钥Ks2a(步骤S572)。另一方面，控制器1420，通过总线BS4从存储器1415的CRL区域1415A的证书废除表CRL取得更新日期时间数据CRLdate(步骤S574)，并将所取得的该更新日期时间数据CRLdate输出到切换开关1446。加密处理部1406，利用由解密处理部1404解密并通过切换开关1442取得的对话密钥Ks22a将通过对切换开关1446的端子依次进行切换而取得的对话密钥Ks2a、专用公开加密密钥KPmc4及更新日期时间数据CRLdate加密，控制器1420，将加密数据{Ks2a∥KPmc4∥CRLdate}Ks22a通过总线BS4、接口1424及端子1426输出到便携式再生终端100。然后，便携式再生终端100的控制器1106，通过存储卡接口1200及总线BS3取得加密数据{Ks2a∥KPmc4∥CRLdate}Ks22a，并通过USB接口1112、端子1114及USB电缆70将该加密数据发送到个人计算机50(步骤S576)。
许可证管理模块511，通过端子580及USB接口550接收加密数据{Ks2a∥KPmc4∥CRLdate}Ks22a(步骤578)，并用对话密钥Ks22a将接收到的该加密数据{Ks2a∥KPmc4∥CRLdate}Ks22a解密而受理对话密钥Ks2a、专用公开加密密钥KPmc4及更新日期时间数据CRLdate(步骤S580)。这里，由于检出时由许可证管理模块511管理的证书废除表CRL和记录在存储卡110的CRL区域1415A的证书废除表CRL的更新日期时间相同，进一步，还由于不追记新的许可证，所以这里虽然接收记录在许可证区域1415C内的证书废除表CRL的更新日期时间数据CRLdate的输出但不进行更新处理。但是，也可以按照与检出动作相同的步骤进行证书废除表的更新处理。在这之后，许可证管理模块511，为了在存储卡110内的要检入的许可证上重写一个作为无效许可证的伪许可证而将其删除，生成伪许可证(伪事务处理ID、伪内容ID、伪许可证密钥Kc、伪访问限制信息ACm及伪再生限制信息ACp)，并用所受理的公开加密密钥KPmc4将伪事务处理ID、伪内容ID、伪许可证密钥Kc、伪访问限制信息ACm及伪再生限制信息ACp加密而生成加密数据{伪事务处理ID∥伪内容ID∥伪许可证密钥Kc∥伪访问限制信息ACm∥伪再生限制信息ACp}KPmc4(步骤S582)。
参照图24，许可证管理模块511，用对话密钥Ks2a将加密数据{伪事务处理ID∥伪内容ID∥伪许可证密钥Kc∥伪访问限制信息ACm∥伪再生限制信息ACp}KPmc4进一步加密，并通过USB接口550、端子580及USB电缆70将加密数据{{伪事务处理ID∥伪内容ID∥伪许可证密钥Kc∥伪访问限制信息ACm∥伪再生限制信息ACp}KPmc4}Ks2a发送到便携式再生终端100(步骤S584)。
便携式再生终端100的控制器1106，通过端子1114、USB接口1112及总线BS3接收加密数据{{伪事务处理ID∥伪内容ID∥伪许可证密钥Kc∥伪访问限制信息ACm∥伪再生限制信息ACp}KPmc4}Ks2a，并将加密数据{{伪事务处理ID∥伪内容ID∥伪许可证密钥Kc∥伪访问限制信息ACm∥伪再生限制信息ACp}KPmc4}Ks2a通过存储卡接口1200输出到存储卡110。于是，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收加密数据{{伪事务处理ID∥伪内容ID∥伪许可证密钥Kc∥伪访问限制信息ACm∥伪再生限制信息ACp}KPmc4}Ks2a(步骤S586)。
接着，解密处理部1412，用对话密钥Ks2a将加密数据{{伪事务处理ID∥伪内容ID∥伪许可证密钥Kc∥伪访问限制信息ACm∥伪再生限制信息ACp}KPmc4}Ks2a解密而受理加密数据{伪事务处理ID∥伪内容ID∥伪许可证密钥Kc∥伪访问限制信息ACm∥伪再生限制信息ACp}KPmc4(步骤S588)。被解密后的数据，输入到解密处理部1404，解密处理部1404，利用来自Kmc保持部1402的专用秘密解密密钥Kmc4将所输入的数据解密而受理伪事务处理ID、伪内容ID、伪许可证密钥Kc、伪访问限制信息ACm及伪再生限制信息ACp(步骤S590)。
在这之后，控制器1420，将所受理的伪事务处理ID、伪内容ID、伪许可证密钥Kc、伪访问限制信息ACm及伪再生限制信息ACp通过总线BS4记录在存储器1415的许可证区域1415C内(步骤S592)。这样，通过将伪事务处理ID、伪内容ID、伪许可证密钥Kc、伪访问限制信息ACm及伪再生限制信息ACp通过总线BS4记录在存储器1415的许可证区域1415C内，将发送到存储卡110的许可证删除。因此，在本发明中，通过重写伪许可证而将检出到存储卡110的许可证删除。
当存储卡110的许可证删除结束时，进入用于确认在检出目的地的存储卡110中是否已将进行了检入的许可证删除的处理。
许可证管理模块511，生成对话密钥Ks22b(步骤S594)，并用公开加密密钥KPm3将所生成的该对话密钥Ks22b加密而生成加密数据{Ks22b}Km3(步骤S596)。然后，许可证管理模块511，将对加密数据{Ks22b}Km3追加了检出时事务处理ID的检出时事务处理ID∥{Ks22b}Km3通过USB接口550、端子580及USB电缆70发送到便携式再生终端100(步骤S598)。于是，便携式再生终端100的控制器1106，通过端于1114、USB接口1112及总线BS3接收检出时事务处理ID∥{Ks22b}Km3，并将检出时事务处理ID∥{Ks22b}Km3通过总线BS3及存储卡接口1200发送到存储卡110。然后，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收检出时事务处理ID∥{Ks22b}Km3(步骤600)。
接着，解密处理部1422，用来自Km保持部1421的类别秘密解密密钥Km3将加密数据{Ks22b}Km3解密而受理对话密钥Ks22b(步骤S5602)。控制器1420，响应对话密钥Ks22b的受理而控制对话密钥生成部1418，令对话密钥生成部1418生成对话密钥Ks2b(步骤S604)。另一方面，控制器1420，通过总线BS4从存储器1415的CRL区域1415A的证书废除表CRL取得更新日期时间数据CRLdate(步骤S606)，并将所取得的该更新日期时间数据CRLdate输出到切换开关1446。加密处理部1406，利用由解密处理部1404解密并通过切换开关1442取得的对话密钥Ks22b将通过对切换开关1446的端子依次进行切换而取得的对话密钥Ks2b、公开加密密钥KPmc4及更新日期时间数据CRLdate加密，控制器1420，将加密数据{Ks2b∥KPmc4∥CRLdate}Ks22b通过总线BS4、接口1424及端子1426输出到便携式再生终端100。然后，便携式再生终端100的控制器1106，通过存储卡接口1200及总线BS3取得加密数据{Ks2b∥KPmc4∥CRLdate}Ks22b，并通过USB接口1112、端子1114及USB电缆70将该加密数据发送到个人计算机50(步骤S608)。
许可证管理模块511，通过端子580及USB接口550接收加密数据{Ks2b∥KPmc4∥CRLdate}Ks22b(步骤610)。
参照图25，许可证管理模块511，用对话密钥Ks22b将接收到的加密数据{Ks2b∥KPmc4∥CRLdate}Ks22b解密而受理专用公开加密密钥KPmc4(步骤S612)。这里，与步骤S534一样，也不受理更新日期时间数据CRLdate。接着，许可证管理模块511，判别所受理的专用公开加密密钥KPmc4是否是已接收到的专用公开加密密钥KPmc4(步骤S614)。在这种情况下，当便携式再生终端100安装着与检出了加密内容数据和许可证的存储卡110不同的存储卡时，接收到的专用公开加密密钥KPmc4与检出目的地专用公开加密密钥不一致，所以，转入步骤S664，并结束检入动作。当所受理的专用公开加密密钥KPmc4与已接收到的公开加密密钥一致时，进入下一个步骤S616。在上述的步骤S608～S616中，接收存储卡110的专用公开加密密钥KPmc4并以该接收到的专用公开加密密钥KPmc4与检出目的地专用公开加密密钥一致为条件进入下一个步骤S616，所以，对要进行加密内容数据和许可证的检入的存储卡是否是进行了加密内容数据和许可证的检出的存储卡进行了再次确认。这样，通过对检入加密内容数据和许可证的相对方进行再次确认，可以进行许可证的正确检入。
当所受理的专用公开加密密钥与检出目的地的专用公开加密密钥一致时，许可证管理模块511，生成对话密钥Ks22c(步骤S616)，并用专用公开加密密钥KPmc4将所生成的该对话密钥Ks22c加密而生成加密数据{Ks22c}Kmc4(步骤S618)。然后，许可证管理模块511，将加密数据{Ks22c}Kmc4通过USB接口550、端子580及USB电缆70发送到便携式再生终端100(步骤S620)。于是，便携式再生终端100的控制器1106，通过端子1114、USB接口1112及总线BS3接收加密数据{Ks22c}Kmc4，并将加密数据{Ks22c}Kmc4通过总线BS3及存储卡接口1200发送到存储卡110。然后，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收加密数据{Ks22c}Kmc4(步骤622)。
接着，解密处理部1404，利用来自Kmc保持部1402的专用秘密解密密钥Kmc4将加密数据{Ks22c}Kmc4解密而受理对话密钥Ks22c(步骤S624)。另一方面，许可证管理模块511，向存储卡110发送检出时事务处理ID及许可证确认请求(步骤S626)。然后，存储卡110的控制器1420，通过便携式再生终端100接收检出时事务处理ID及许可证确认请求(步骤S628)，检索存储器1415的许可证区域1415C，并生成与检出时事务处理ID对应的许可证的状态信息statusa(步骤S630)。
参照图26，控制器1420，将由解密处理部1404解密后的对话密钥Ks22c及状态信息statusa输出到切换开关1446，加密处理部1406，利用对话密钥Ks22c将通过对切换开关1446的端子依次进行切换而取得的对话密钥Ks2b及状态信息statusa加密而生成加密数据{Ks2b∥statusa}Ks22c(步骤S632)。另外，控制器1420，生成与对加密数据{Ks2b∥statusa}Ks22c追加了检出时事务处理ID的检出时事务处理ID∥{Ks2b∥statusa}Ks22c对应的签名hashb，并将其供给切换开关1446。然后，加密处理部1406，用对话密钥Ks22c将通过切换开关1446取得的签名hashb加密而生成加密数据{hashb}Ks22c(步骤S634)。
在这之后，控制器1420，将检出时事务处理ID∥{Ks2b∥statusa}Ks22c∥{hashb}Ks22c通过总线BS4、接口1424及端子1426输出到便携式再生终端100。接着，便携式再生终端100的控制器1106，通过存储卡接口1200及总线BS3取得检出时事务处理ID∥{Ks2b∥statusb}Ks22c∥{hashb}Ks22c，并通过USB接口1112、端子1114及USB电缆70将其发送到个人计算机50(步骤S636)。
许可证管理模块511，通过端子580及USB接口550接收检出时事务处理ID∥{Ks2b∥statusb}Ks22c∥{hashb}Ks22c，并受理检出时事务处理ID、{Ks2b∥statusb}Ks22c及{hashb}Ks22c(步骤S638)。在这之后，用对话密钥Ks22c将所受理的{Ks2b∥statusb}Ks22c及{hashb}Ks22c解密而受理状态信息statusb及签名hashb(步骤S640)。
在这之后，许可证管理模块511，根据所受理的签名hashb判别检出时事务处理ID∥{Ks2b∥statusb}Ks22c是否有效(步骤S642)。就是说，许可证管理模块511，根据检出时事务处理ID∥{Ks2b∥statusb}Ks22c的散列函数独自生成签名，并根据独自生成的签名与所受理的签名hashb是否一致判别签名hashb是否有效，如签名hashb无效，则转入步骤S664，结束检入动作。当在步骤S642中判定为签名hashb有效时，许可证管理模块511，对在步骤S612和步骤S640中受理的2个对话密钥Ks2b及状态信息statusb进行确认。即，根据2个对话密钥Ks2b的一致而确认从步骤S612到步骤S640之间存储卡没有更换，就是说，可以确认是来自具有专用公开加密密钥KPmc4的存储卡的状态信息statusb，并根据状态信息statusb确认没有记录着与检出时事务处理ID对应的许可证。而当与检出时事务处理ID对应的许可证不存在时，进入图27的步骤S646。在上述的步骤S628～S640中，确认检出到检出目的地存储卡内的许可证被删去因而已不存在。
当确认已检出的许可证被删除因而在作为检出目的地存储卡内已不存在时，进行许可证管理文件152j的更新处理。
参照图27，个人计算机50的许可证管理模块511，通过将检出信息内的可检出数增1并将与已检出的许可证对应的检出用事务处理ID及作为检出目的地的存储卡的专用公开加密密钥KPmc4删除而更新检出信息(步骤S646)。然后，许可证管理模块511，对事务处理ID、内容ID、许可证密钥Kc、访问限制信息ACm、再生限制信息ACp、及更新后的检出信息再次进行独自加密而生成加密级1许可证，并对记录在HDD530内的许可证管理文件152j的加密级1许可证进行更新记录(步骤S648)。
当许可证管理文件152j的更新处理结束时，许可证管理模块511，进行存储卡110的数据区域1415D内的更新处理。
许可证管理模块511，通过USB接口550、端子580及USB电缆70向便携式再生终端100发送将包含着根据检出的许可证再生的加密内容数据{Dc}Kc及附加信息Dc-inf的内容文件161i和与其对应的许可证管理文件162i删除的删除指示(步骤S650)。便携式再生终端100的控制器1106，通过端子1114、USB接口1112及总线BS3接收包含着根据检出的许可证再生的加密内容数据{Dc}Kc及附加信息Dc-inf的内容文件161i和与其对应的许可证管理文件162i的删除指示，并将该接收到的包含着根据检出的许可证再生的加密内容数据{Dc}Kc及附加信息Dc-inf的内容文件161i和与其对应的许可证管理文件162i的删除指示通过总线BS3及存储卡接口1200输出到存储卡110。于是，存储卡110的控制器1420，通过端子1426、接口1424及总线BS4接收包含着根据检出的许可证再生的加密内容数据{Dc}Kc及附加信息Dc-inf的内容文件161i和与其对应的许可证管理文件162i的删除指示(步骤S652)。接着，控制器1420，将通过总线BS4记录在存储器1415的数据区域1415D内的包含着根据检出的许可证再生的加密内容数据{Dc}Kc及附加信息Dc-inf的内容文件161i和与其对应的许可证管理文件162i删除(步骤S654)。
个人计算机50的许可证管理模块511，生成从事先取得的存储卡110的再生表删除了所检入的乐曲的新的再生表(步骤S656)，并将所生成的再生表及再生表改写指示发送到存储卡110(步骤S658)。存储卡110的控制器1420，通过便携式再生终端100接收再生表及改写指示(步骤S660)，并将通过总线BS4记录在存储器1415的数据区域1415D内的再生表文件160的内容改写为接收到的再生表(步骤S662)，从而结束检入动作(步骤S664)。
如上所述，通过请求从检出了加密内容数据和许可证的相对方返还加密内容数据和许可证，可以将由个人计算机50取得的加密内容数据和许可证出借给便携式再生终端所装有的存储卡110和从其返还。
参照图28和图29说明将内容数据检出到存储卡110的便携式再生终端100(也称为再生设备，以下同)的再生动作。
在图28的处理之前，作为前提条件，便携式再生终端100的控制器1106，根据记录在存储器1415的数据区域1415D内的再生表文件160特定出想要再生的内容文件161k(1≤k≤n)及许可证管理文件162k。
参照图28，在开始再生动作的同时，从个人计算机50的用户通过操作板1108向便携式再生终端100输入再生指示(步骤S700)。于是，控制器1106，通过总线BS3从认证数据保持部1500读出认证数据{KPp1∥Cp1}Kpa，并将认证数据{KPp1∥Cp1}KPa通过存储卡接口1200输出到存储卡110(步骤S702)。
在这之后，存储卡110，受理认证数据{KPp1∥Cp1}KPa(步骤S704)。接着，解密处理部1408，利用KPa保持部1414所保持的公开认证密钥KPa将所受理的认证数据{KPp1∥Cp1}KPa解密(步骤S706)，控制器1420，根据解密处理部1408的解密处理结果进行认证处理。即，进行判断认证数据{KPp1∥Cp1}Kpa是否是正规的认证数据的认证处理(步骤S708)。当认证数据不是正规的认证数据时，转入步骤S748，并结束再生动作。当认证数据是正规的认证数据时，控制器1420，判断在从存储器1415的CRL区域1415A读出的证书废除表中是否列有所取得的类别证书Cp1的识别码(步骤S710)。当判断为在证书废除表中包含着类别证书Cp1时，转入步骤S748，结束再生动作。
当在步骤S710中判断为在证书废除表CRL中没有列出类别证书Cp1的识别码时，对话密钥生成部1418，生成用于再生对话的对话密钥Ks2(步骤S712)。然后，加密处理部1410，将利用由解密处理部1408解密的类别公开加密密钥KPp1对来自对话密钥生成部1418的对话密钥Ks2进行了加密的加密数据{Ks2}Kp1输出到总线BS3上(步骤S714)。在这之后，控制器1420，通过接口1424及端子1426将加密数据{Ks2}Kp1输出到存储卡接口1200(步骤S716)。便携式再生终端100的控制器1106，通过存储卡接口1200取得加密数据{Ks2}Kp1。接着，Kp1保持部1502，将秘密解密密钥Kp1输出到解密处理部1504。
解密处理部1504，利用从Kp1保持部1502输出的与类别公开加密密钥KPp1成对的秘密解密密钥Kp1将加密数据{Ks2}Kp1解密，并将对话密钥Ks2输出到加密处理部1506(步骤S718)。在这之后，对话密钥生成部1508，生成用于再生对话的对话密钥Ks3，并将对话密钥Ks3输出到加密处理部1506(步骤S720)。加密处理部1506，利用来自解密处理部1504的对话密钥Ks2将由对话密钥生成部1508生成的对话密钥Ks3加密而输出加密数据{Ks3}Ks2，控制器1106，将加密数据{Ks3}Ks2通过总线BS3及存储卡接口1200输出到存储卡110(步骤S722)。
在这之后，存储卡110的解密处理部1412，通过端子1426、接口1424及总线BS4输入加密数据{Ks3}Ks2(步骤S724)。
参照图29，解密处理部1412，用由对话密钥生成部1418生成的对话密钥Ks2将加密数据{Ks3}Ks2解密而受理由便携式再生终端100生成的对话密钥Ks3(步骤S726)。
控制器1420，响应对话密钥Ks3的受理而确认访问限制信息ACm(步骤S728)。
在步骤S728中，通过确认与对存储器的访问的限制有关的信息即访问限制信息ACm，当为已不可再生的状态时结束再生动作，当在访问限制信息中存在着限制时，将访问限制信息ACm的数据更新并将可再生次数更新后进入下一个步骤(步骤S730)。另一方面，当再生次数不受访问限制信息ACm的限制时，跳过步骤S730，在下一个步骤中进行处理而无需更新访问限制信息ACm(步骤S732)。
当在步骤S728中判定为在该再生动作中可以进行再生时，将记录在存储器1415的许可证区域1415C内的再生请求乐曲的许可证密钥Kc及再生限制信息ACp输出到总线BS4上(步骤S732)。
所取得的许可证密钥Kc及再生限制信息ACp，通过切换开关1446的接点Pf传送到加密处理部1406。加密处理部1406，利用通过切换开关1442的接点Pb从解密处理部1412接收到的对话密钥Ks3将通过切换开关1446接收到的许可证密钥Kc及再生限制信息ACp加密，并将加密数据{Kc∥ACp} Ks3输出到总线BS4上(步骤S734)。
输出到总线BS4上的加密数据{Kc∥ACp}Ks3，通过接口1424、端子1426及存储卡接口1200发送到便携式再生终端100。
在便携式再生终端100中，由解密处理部1510对通过存储卡接口1200传送到总线BS3上的加密数据{Kc∥ACp}Ks3进行解密处理而受理许可证密钥Kc及再生限制信息ACp(步骤S736)。解密处理部1510，将许可证密钥Kc传送到解密处理部1516，并将再生限制信息ACp输出到总线BS3上。
控制器1106，通过总线BS3受理再生限制信息ACp并进行可否再生的确认(步骤S740)。
当在步骤S740中根据再生限制信息ACp判断为不可再生时，结束再生动作。
当在步骤S740中根据再生限制信息ACp判断为可以再生时，控制器1106，通过存储卡接口1200向存储卡110请求加密内容数据{Dc}Kc。于是，存储卡110的控制器1420，从存储器1415取得加密内容数据{Dc}Kc，并通过总线BS4、接口1424及端子1426将其输出到存储卡接口1200(步骤S742)。
便携式再生终端100的控制器1106，通过存储卡接口1200从内容文件161k取得加密内容数据{Dc}Kc，并将其通过总线BS3供给解密处理部1516。
接着，解密处理部1516，利用从解密处理部1510输出的许可证密钥Kc将加密内容数据{Dc}Kc解密而取得内容数据Dc(步骤S744)。
然后，将解密后的内容数据Dc输出到音乐再生部1518，音乐再生部1518，将内容再生，DA转换器1519，将数字信号转换为模拟信号后输出到端子1530。接着，将音乐数据从端子1530通过外部输出装置输出到头戴式耳机130进行再生(步骤S746)。至此，再生动作结束。
在各处理的说明中，对特定记录在存储卡110的许可证区域1415C内的许可证的方法进行了说明，当进行检入及再生时，在由存储卡110确认再生限制信息ACp之前，将记录在存储卡110的数据区域1415D内的许可证管理文件1621～162n的项目序号所指示的项目序号输入到存储卡110。此外，当进行检出时，在将许可证写入许可证区域1415C内之前，必须将不使用的项目序号也输入到存储卡110。
另外，说明了对加密内容数据和许可证进行检出/检入处理的方式，但从说明中可以看出，采用了加密处理保护而发送的只是许可证，对加密内容数据不进行伴随着加密处理的发送。这是因为如果加密内容数据不同时带有许可证就不能进行再生，所以仅对加密内容数据本身而言就不值得进行了。因此，在检出/检入处理的对象只是许可证而加密内容数据可以根据需要对存储卡进行复制如不需要则将其删除的情况下，相对应地将许可证与加密内容数据分离也是常见的方法。
按照本发明的实施形态，许可证管理模块，将加密内容数据和许可证通过检出处理而暂时发送到存储卡，并通过检入处理而请求从存储卡返还加密内容数据和许可证，所以，可以将由个人计算机取得的加密内容数据和许可证转移到个人计算机以外的装置。
这里公开的实施形态在所有方面都只是例示而不应认为有任何限制。本发明的范围，不是上述实施形态的说明而是由专利权利要求的范围给出，并且在意图上包含着在与专利权利要求范围均等的含义及范围内的所有变更。
产业上的可应用性本发明的数据终端装置，能将通过软件从传送服务器或音乐CD取得的加密内容数据及用于对加密内容数据进行解密的许可证向其他装置借出/返还，所以，可以应用于能将通过软件取得的加密内容数据和许可证转移到其他装置的数据终端装置。
权利要求
1.一种数据终端装置，可将对内容数据进行了加密的加密内容数据和/或用于将上述加密内容数据解密而取得原内容数据的许可证向数据记录装置(110)借出和/或请求返还，该数据终端装置(50)，备有存储上述加密内容数据和上述许可证及管理上述加密内容数据和/或上述许可证的借出的信息即借出信息的存储部(530)、控制部(510、511)、及在上述数据记录装置(110)与上述控制部(510、511)之间控制数据的交换的接口(550)，在上述借出时，上述控制部(510、511)，通过上述接口(550)从上述数据记录装置(110)接收可以特定上述数据记录装置(110)的按每个数据记录装置(110)固有的方式分配的固有ID，根据从上述存储部(530)读出的上述许可证生成借出用许可证，将所生成的该借出用许可证及上述加密内容数据通过上述接口(550)发送到上述数据记录装置(110)，并将用于特定借出的对方的上述固有ID作为借出目的地ID追记在上述存储部(530)所存储着的借出信息内，在上述返还时，上述控制部(510、511)，在对上述数据记录装置(110)是否是借出了上述加密内容数据和/或上述许可证的对方及上述数据记录装置(110)是否保持着上述借出用许可证的情况进行确认后，请求从上述数据记录装置(110)返还上述加密内容数据和/或上述借出用许可证。
2.根据权利要求1所述的数据终端装置，其特征在于上述借出用许可证，还包含用于特定上述借出用许可证的借出ID，在借出时，上述控制部(510、511)，生成每次借出所固有的上述借出ID，并在其与从作为借出目的地的上述数据记录装置(110)接收到的上述固有ID相对应的情况下将上述借出ID追记在上述借出信息内。
3.根据权利要求1所述的数据终端装置，其特征在于上述数据记录装置(110)，保持对每个上述数据记录装置(110)具有固有值的第1公开加密密钥，在上述借出时，上述控制部(510、511)，通过上述接口(550)接收来自上述数据记录装置(110)的认证数据，并对该接收到的认证数据进行认证，而且通过上述接口(550)从上述数据记录装置(110)接收上述第1公开加密密钥，并将上述第1公开加密密钥作为借出目的地ID追记在上述存储部(530)所存储着的借出信息内。
4.根据权利要求3所述的数据终端装置，其特征在于在上述借出时，上述控制部(510、511)，用接收到的上述第1公开加密密钥将上述借出用许可证加密，并将该加密后的借出用许可证通过上述接口(550)发送到上述数据记录装置(110)。
5.根据权利要求3所述的数据终端装置，其特征在于上述认证数据，包含可由上述数据记录装置(110)解密的第2公开加密密钥，上述数据终端装置(110)，还备有用随机数生成第1共用密钥的共用密钥生成部(511)、用上述第2公开加密密钥进行数据加密的第1加密部(511)、对用上述第1共用密钥加密后的加密数据进行解密的第1解密部(511)，在上述借出时，上述控制部(510、511)，将由上述共用密钥生成部(511)生成且用通过上述认证处理抽出的上述第2公开加密密钥加密后的上述第1共用密钥通过上述接口(550)发送到上述数据记录装置(110)，由上述数据记录装置(110)通过上述接口(550)接收用上述第1共用密钥加密后的上述第1公开加密密钥，并由上述第1解密部(511)用上述第1共用密钥将该接收到的用上述第1共用密钥加密后的上述第1公开加密密钥解密，从而取得上述第1公开加密密钥。
6.根据权利要求5所述的数据终端装置，其特征在于上述数据终端装置(110)，还备有用上述第1公开加密密钥将数据加密的第2加密部(511)、用从上述数据记录装置(110)接收到的第2共用密钥将数据加密的第3加密部(511)，在上述借出时，上述控制部(510、511)，通过上述接口(550)从上述数据记录装置(110)接收用上述笫1共用密钥加密后的上述第1公开加密密钥及上述第2共用密钥，由上述第1解密部(511)用上述第1共用密钥将该接收到的用上述第1共用密钥加密后的上述第1公开加密密钥及上述第2共用密钥解密而取得上述第1公开加密密钥及上述第2共用密钥，由上述第2加密部(511)用上述第1公开加密密钥将上述借出用许可证加密后，由上述第3加密部(511)用上述第2共用密钥进一步将用上述第1公开加密密钥加密后的上述借出用许可证加密，并将上述第3加密部(511)的输出通过上述接口(550)发送到上述数据记录装置(110)。
7.根据权利要求5所述的数据终端装置，其特征在于上述借出用许可证，还包含用于特定上述借出用许可证的借出ID，在上述借出时，上述控制部(510、511)，生成每次借出所固有的上述借出ID，并在其与从借出目的地的上述数据记录装置(110)接收到的上述固有ID相对应的情况下将上述借出ID追记在上述借出信息内。
8.根据权利要求1～7的任何一项所述的数据终端装置，其特征在于在上述借出时，上述控制部(510、511)，进一步，对上述借出信息内所包含的指示可以借出上述加密内容数据和/或上述许可证的次数的可借出次数进行确认，当上述可借出次数为正时，生成上述借出用许可证，且变更为将上述可借出次数修改为减1后的可借出次数的上述借出信息。
9.根据权利要求1～7的任何一项所述的数据终端装置，其特征在于在上述借出时，上述控制部(510、511)，生成包含着用于禁止上述数据记录装置(110)将上述借出用许可证复制和/或转移到其他装置的禁止信息的上述借出用许可证。
10.根据权利要求1～7的任何一项所述的数据终端装置，其特征在于在上述返还时，上述控制部(510、511)，在上述加密内容数据和/或上述借出用许可证返还后，立即再次确认上述数据记录装置是否还保持着已进行了返还的上述借出用许可证。
11.根据权利要求1～7的任何一项所述的数据终端装置，其特征在于在上述返还时，上述控制部(510、511)，在上述加密内容数据和/或上述借出用许可证返还后，立即对借出了上述加密内容数据和/或上述借出用许可证的上述数据记录装置(110)再次进行确认，并再次确认上述数据记录装置(110)是否还保持着已进行了返还的上述借出用许可证。
12.根据权利要求1～7的任何一项所述的数据终端装置，其特征在于在上述返还时，上述控制部(510、511)，通过上述接口(550)接收来自上述数据记录装置(110)的认证数据，并对该接收到的认证数据进行认证，而且，通过上述接口(550)从上述数据记录装置(110)接收上述借出时与上述借出信息所包含的上述借出ID一致的第1公开加密密钥，从而确认上述数据记录装置(110)是借出了上述加密内容数据和/或上述借出用许可证的数据记录装置(110)。
13.根据权利要求2所述的数据终端装置，其特征在于在上述返还时，上述控制部(510、511)，通过上述接口(550)确认上述数据记录装置(110)是否保持着具有与在上述借出时的上述借出用许可证的状态信息中所记录的上述借出ID一致的许可证ID的上述借出用许可证。
14.根据权利要求2所述的数据终端装置，其特征在于在上述返还时，上述控制部(510、511)，将在上述借出时的上述借出用许可证的状态信息中所记录的上述借出ID通过上述接口(550)发送到上述数据记录装置(110)，通过上述接口(550)向上述数据记录装置(110)请求传送与具有该发送到的借出ID的上述借出用许可证的保持有关的状态信息，并对响应其请求而通过上述接口(550)从上述数据记录装置(110)接收到的与上述借出ID对应的借出用许可证的状态信息进行确认，从而确认是否保持着借出用许可证。
15.根据权利要求14所述的数据终端装置，其特征在于上述控制部(510、511)，以证明合法性的带签名的数据形式从上述数据记录装置(110)接收上述状态信息，并根据上述签名判断上述状态信息的合法性，当判定为合法且上述数据记录装置(110)保持着与上述借出ID对应的借出用许可证时，允许上述数据记录装置(110)返还上述借出用许可证。
16.根据权利要求1～7的任何一项所述的数据终端装置，其特征在于在上述返还时，上述控制部(510、511)，通过将已借出的上述借出用许可证及上述加密内容数据删除，请求从上述数据记录装置(110)返还上述加密内容数据及上述借出用许可证
17.根据权利要求16所述的数据终端装置，其特征在于在上述返还时，上述控制部(510、511)，生成对任何加密内容数据都不能进行再生的伪许可证，并通过将所生成的该伪许可证重写在上述借出用许可证上而将上述借出用许可证从上述数据记录装置(110)删除。
18.根据权利要求1～7的任何一项所述的数据终端装置，其特征在于在上述返还时，上述控制部(510、511)，将在上述借出时从上述数据记录装置(110)接收到的记录在上述借出信息内的上述借出目的地ID删除。
19.根据权利要求1～7的任何一项所述的数据终端装置，其特征在于在上述返还时，上述控制部(510、511)，变更为将上述可借出次数修改为增1后的可借出数的借出信息。
20.根据权利要求7所述的数据终端装置，其特征在于在上述返还时，上述控制部(510、511)，将由上述共用密钥生成部(511)生成且用通过上述认证处理抽出的上述第2公开加密密钥加密后的上述第1共用密钥通过上述接口(550)发送到上述数据记录装置(110)，通过上述接口(550)接收用上述第1共用密钥加密后的上述第1公开加密密钥，并由上述第1解密部(511)用上述第1共用密钥将该接收到的用上述第1共用密钥加密后的上述第1公开加密密钥解密，从而取得上述第1公开加密密钥，当所取得的该第1公开加密密钥与上述借出时在上述借出信息内包含的上述借出ID一致时，确认上述数据记录装置(110)是借出了上述加密内容数据和上述许可证的数据记录装置(110)。
21.根据权利要求20所述的数据终端装置，其特征在于在上述返还时，上述控制部(510、511)，将上述借出时的借出用许可证的状态信息中所记录的上述借出ID通过上述接口(550)发送到上述数据记录装置(110)，通过上述接口(550)向上述数据记录装置(110)请求传送与具有该发送到的借出ID的上述借出用许可证的保持有关的状态信息，并对响应其请求而通过上述接口(550)从上述数据记录装置(110)接收到的与上述借出ID对应的上述借出用许可证的状态信息进行确认，从而确认是否保持着借出用许可证。
22.根据权利要求21所述的数据终端装置，其特征在于上述控制部(510、511)，以证明合法性的带签名的数据形式从上述数据记录装置(110)接收上述状态信息，并根据上述签名判断上述状态信息的合法性，当判定为合法且上述数据记录装置(110)保持着与上述借出ID对应的上述借出用许可证时，允许上述数据记录装置返还上述借出用许可证。
23.根据权利要求22所述的数据终端装置，其特征在于上述控制部(510、511)，通过上述接口(550)从上述数据记录装置(110)接收用上述第1共用密钥加密后的上述状态信息及上述签名，并由上述第1解密部(511)用上述第1共用密钥将该接收到的用上述第1共用密钥加密后的状态信息及签名解密，从而抽出状态信息及签名。
全文摘要
个人计算机(50)，保持通过因特网(30)从传送服务器(10)或通过CD－ROM驱动器从音乐CD(60)取得的加密内容数据和许可证。并且，个人计算机(50)，通过USB电缆(70)与便携式再生终端(100)连接，进行将加密内容数据和许可证出借给便携式再生终端100所装有的存储卡110的检出动作及请求将所借出的加密内容数据和许可证返还的检入动作。其结果是，能将通过软件取得的加密内容数据和许可证转移到其他装置。
文档编号G06F21/60GK1488114SQ01822237
公开日2004年4月7日 申请日期2001年11月22日 优先权日2000年11月24日
发明者堀吉宏, 上村透, 也, 久, 宫园真也, 畠山卓久, 高行, 孝, 长谷部高行, 司, 高桥政孝, 夫, 常广隆司, 大森良夫 申请人:三洋电机株式会社, 富士通株式会社, 株式会社日立制作所