JP4387962B2 - コンテンツ再生装置、コンテンツ再生方法及びプログラム - Google Patents

Description

本発明は光ディスクなどの記録媒体に記録された映像・音声情報及びプログラムを含むコンテンツデータを再生・実行するコンテンツ再生装置に関し、特にネットワークを介してサーバに接続するコンテンツ再生装置に関する。

近年では、ＤＶＤやビデオＣＤなど、映像や音声等のデータを記録した光ディスクを再生する光ディスク再生装置が開発されている。これら装置は映画ソフトの鑑賞等に利用され一般に普及している。

ＤＶＤは、情報記録媒体に記録された映像・音声情報を再生するディスクに関する規格であり、ＤＶＤフォーラムにより「ＤＶＤ Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ ｆｏｒ Ｒｅａｄ−Ｏｎｌｙ Ｄｉｓｃ Ｐａｒｔ ３： ＶＩＤＥＯ ＳＰＥＣＩＦＩＣＡＴＩＯＮＳ」として１９９６年に発行された。この規格では、動画圧縮方式としてＭＰＥＧ２方式をサポートし、音声圧縮方式としてＭＰＥＧオーディオ圧縮方式およびＡＣ−３オーディオ圧縮方式をサポートしている。さらに、映画の字幕用などに用いるビットマップデータである副映像データや、早送り再生、早戻し再生等の制御データ（ナビパック）を規定している。

一方、近年のインターネットの普及により、ネットワーク接続機能を有する映像情報装置が開発されている。たとえば、テレビ放送の受信、録画機能をもつ映像情報装置では、ネットワークを介して接続されたサーバから電子番組表のデータを受信し、その内容に基づいて録画する機能などが開発されている。

上記ネットワーク接続機能を有する映像情報装置に関する従来技術として、特許文献１においては、ＤＶＤ ビデオタイトルとインターネットで提供されるＨＴＭＬファイルとを融合させたサービスを行う画像表示装置が開示されている。この画像表示装置では、ナビパックから取り出したＵＲＬに基づいてインターネットに接続し、再生中のシーンに連動してＨＴＭＬコンテンツを表示することが可能となる。

また、特許文献２では、単にＨＴＭＬコンテンツを表示するだけではなく、通信回線を介して接続されたサーバから取得した拡張情報により、表現能力の高い映像を再生するとともに、不特定多数の人がサーバに接続できないようにするため、光ディスク上のデータをサーバへ送ることで認証処理を行うことを特徴とする光ディスク装置が開示されている。

しかしながら、特許文献１においてはネットワークを介してコンテンツを取得することによるセキュリティの問題については検討されておらず、特許文献２においては、サーバに接続できる光ディスク装置を制限するために認証処理を行っているだけであり、接続先のサーバから悪意を持って作成された危険なコンテンツを取得する危険性に関する問題や、悪意を持って作成された危険なコンテンツを再生することで、光ディスク装置がＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃の踏み台となる危険性に関する問題などについては考慮されておらず、セキュリティに関する検討が不十分であった。
特開平１１−１６１６６３号公報 特開２００４−７９０５５号公報

以上説明したように、従来のネットワーク接続機能有する映像情報装置では、サーバへ接続可能な映像情報装置を制限するために、ディスクの認証を行うことでディスクの正当性を保証しているだけである。従って、接続先のサーバから、悪意を持って作成された危険なコンテンツを取得する危険性に関する問題や、悪意を持って作成された危険なコンテンツを再生することで、映像情報装置がＤＤｏＳ攻撃などの踏み台となる危険性に関する問題、サーバのセキュリティ確保などについては全く考慮されておらず、安心してネットワークへ接続できないという問題があった。

そこで、本発明は、上記問題点に鑑み、ディスクに記録されたコンテンツデータやプログラムの再生・実行中に接続するサーバを限定すること、当該サーバへの接続方法を限定すること、サーバへ接続できるディスクを正当性の検証されたディスクに限定することなどが容易に制御でき、もって、ディスク上の改竄されたプログラムを実行した場合の不正なネットワークへのアクセスを回避することができるコンテンツ再生装置及び方法を提供することを目的とする。

映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行するコンテンツ再生装置は、前記記録媒体から前記アクセスを許可するサーバを示す識別子を読み出して、記憶手段で記憶し、前記記録媒体から読み出された識別子に対応するサーバの正当性を検証する。

正当性の検証されたサーバからは、ネットワーク上のアクセス許可する他のサーバへのアクセスを指示する第１のサーバポリシー、記録媒体の正当性の検証を要求する第２のサーバポリシー及び当該サーバへの接続方法を指定する第３のサーバポリシーのうちの少なくとも１つを受信する。

第１のサーバポリシーを受信した場合には、第１のサーバポリシーにより指定されたサーバの正当性を検証し、前記記録媒体から前記コンテンツデータの再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたときには、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証して、少なくとも（ａ）前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ（ｂ）前記第１のサーバポリシーにより指定されたサーバの正当性が検証されたとき、前記接続要求を受けて、前記第１のサーバポリシーに含まれる識別子に対応するサーバへ接続する。

第２のポリシーを受信した場合には、正当性の検証されたサーバで、記録媒体上の記憶領域から読み出されたデータを用いて記録媒体の正当性を検証するために、当該サーバとの間で通信を行い、前記記録媒体から前記コンテンツデータの再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたときには、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証して、（ａ）前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ（ｂ）前記記録媒体から読み出された識別子に対応するサーバの正当性及び記録媒体の正当性が検証されたとき、前記接続要求を受けて、正当性の検証されたサーバへ接続する。

第３のポリシーを受信した場合には、前記記録媒体から前記コンテンツデータの再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されると、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証するとともに、前記プログラムに含まれる接続方法と前記第３のサーバポリシーに含まれる接続方法とが一致するか否かを検証し、少なくとも（ａ）前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ（ｂ）前記プログラムに含まれる接続方法と前記第３のサーバポリシーに含まれる接続方法とが一致するとき、前記接続要求を受けて、当該接続方法により、前記正当性の検証されたサーバへ接続する。

ディスクに記録されたコンテンツデータやプログラムの再生・実行中に接続するサーバを限定すること、当該サーバへの接続方法を限定すること、サーバへ接続できるディスクを正当性の検証されたディスクに限定することなどが容易に制御でき、もって、ディスク上の改竄されたプログラムを実行した場合の不正なネットワークへのアクセスを回避することができる。

以下、本発明の実施形態について図面を参照して説明する。

図１は本発明の一実施形態に係る、記録媒体に記録されたコンテンツデータを再生するコンテンツ再生装置の構成例を示したものである。ここでは、記録媒体が、光ディスクなどのディスクの場合を例にとり、ディスクに記録されたコンテンツデータを再生するコンテンツ再生装置について説明する。

ディスクには、映像・音声データや、例えば、ＸＭＬ（Extensible Markup Language）などの言語を用いて一連の処理手順を記述した実行可能なプログラム（スクリプト）などを含むコンテンツデータが記録されている。コンテンツ再生装置は、上記コンテンツデータの記録されたディスクが挿入されて、当該ディスクに記録された映像・音声データの再生機能、プログラムの実行機能、及びインターネットなどの所定のネットワークへの接続機能を有する。ディスクに記録されているプログラムには、接続先のサーバの識別子（例えば、ドメイン名）と、当該サーバと通信を行う際に用いる通信プロトコルの種別やポート番号、当該サーバへ当該コンテンツ再生装置を接続する処理を含むプログラムも含まれている。ディスクに記憶されているプログラムにより、映像・音声データの再生する際に用いるデータやプログラムなどを当該サーバ（当該プログラムに含まれている識別子に対応するサーバで、当該ディスクが正当なものであるならば、このサーバは、ディスクの特定領域に記憶されている識別子に対応するサーバである）からダウンロードするようになっている。

本実施形態において、コンテンツデータを記録媒体（例えばディスク）に記録して販売・供給する事業者（distributor）から提供される正当なディスクに記録されているコンテンツデータには、その種類毎（コンテンツのタイトル毎）に、ネットワーク上に１つのサーバが設けられている。すなわち、正当なディスクに記録されているコンテンツデータの種類とサーバとは１対１に対応付けられている。ディスクに記録されているコンテンツデータに対応するサーバの識別子（例えば、ここではドメイン名）は、当該ディスクの予め定められた特定領域に記録されている。

また、コンテンツデータの種別に対応するサーバは１つの場合もあれば、複数の場合もある。後者の場合には、ディスクの特定領域には複数のサーバの識別子が記録されている。

ディスク上のコンテンツデータ（プログラムを含む）が改竄されてなく、しかも、当該ディスクの特定領域に記憶されているサーバが正当なものである場合には、正当な（改竄されていない）ディスク上の特定領域に記憶されているサーバの識別子は、当該ディスク上のコンテンツデータに対応する予め定められたサーバであり、当該ディスク上のプログラムに含まれる接続先のサーバの識別子は、当該ディスクの特定領域に記憶されている識別子（複数の識別子が記憶されている場合には、そのいずれか１つ）に等しい。

＜構成＞
図１に示すように、コンテンツ再生装置は、ディスク制御部１、ネットワークアクセス制御部２、再生・実行制御部３、通信部４、ストレージ制御部５を含む。

ディスク制御部１は、ディスクが挿入されたことを検出し、ディスクに記録された情報を読み出す。再生・実行制御部３は、ディスク制御部１で読み出された映像・音声データやプログラムを再生・実行する。通信部４は、ネットワークを介してサーバと通信を行うためのものである。

ネットワークアクセス制御部２は、再生・実行制御部３で現在再生されているディスク（当該ディスクに記録されているコンテンツデータ）に対応するサーバ１０１へアクセスするための制御を行うとともに、サーバ認証（後述）やサーバポリシーの管理（後述）およびディスク認証（後述）を行う。ネットワークアクセス制御部２は、接続先管理部２１、接続先検証部２２、サーバ認証部２３、ディスク認証部２４、サーバポリシー管理部２５を含む。

ストレージ制御部５は、コンテンツ再生装置に挿入されているディスクやネットワーク（サーバ１０１）から取得したデータ（映像・音声データやプログラムなどを含む）を、所定の記憶装置６に記憶するための制御を行う。

以下、図１のコンテンツ再生装置の処理動作について説明する。

本実施形態では、正当なディスクに記録されているコンテンツデータの種類とサーバとは１対１に対応付けられている。ディスクに記録されているコンテンツデータに対応するサーバのドメイン名は、当該ディスクの予め定められた特定領域に記録されている。

コンテンツ再生装置がディスクを再生しているときにアクセスできるサーバを、当該ディスクの特定領域に記憶されているドメイン名に対応するサーバのみに限定するために、コンテンツ再生装置はサーバへアクセスする前に、当該サーバが、ディスク上の特定領域に記憶されているドメイン名に対応する正当なサーバであるか否かを検証するために、サーバ認証を行う。

また、ディスクに記録されているコンテンツデータ（特にコンテンツデータに含まれるプログラム）が改竄されている場合に、コンテンツ再生装置が改竄されているプログラムを実行して、不正なサーバへアクセスすることを防止するために、コンテンツ再生装置は、上記サーバ認証を行った後、サーバからの要求に応じて（サーバポリシーに従って）ディスクの正当性を検証するためのディスク認証を行う。

さらに、本実施形態のコンテンツ再生装置では、上記サーバ認証により正当性の検証されたサーバから、ディスクに記録されたコンテンツデータやプログラムの再生・実行中に接続するサーバを指定するサーバポリシー（リダイレクト）、ディスクに記録されたコンテンツデータやプログラムの再生・実行中に接続するサーバへの接続方法（通信プロトコルの種別やポート番号など）を指定するサーバポリシー、ディスクに記録されたコンテンツデータやプログラムの再生・実行中にサーバへ接続できるディスクを正当性の検証されたディスクに限定することを示すサーバポリシーなどを取得し、この取得されたサーバポリシーに従って、リダイレクト、サーバへの接続方法の制限、ディスク認証などの制御を行うようになっている。

正当性の検証されたサーバから取得されるサーバポリシーは、当該サーバがどのような方針でアクセスを許可するかを示したものである。

上記サーバ認証およびサーバポリシーの取得は、コンテンツ再生装置にディスクが挿入されたとき、あるいは、コンテンツ再生装置にディスクが挿入された後、（例えば、当該ディスクに記録されているプログラムを実行することにより）サーバ（ネットワーク）へのアクセス要求が（最初）に発生したときに行う。

（１）コンテンツ再生装置にディスクが挿入されたときに、サーバ認証およびサーバポリシーの取得を行う場合について、図２に示すフローチャートを参照して説明する。

（１−１）サーバ認証
図２に示すように、コンテンツ再生装置１００にディスクが挿入されると（ステップＳ１）、ディスク検出部１１が、ディスクの挿入を検出する（ステップＳ２）。これを受けて、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。読み出されたドメイン名はネットワークアクセス制御部２の接続先管理部２１に通知される。接続先管理部２１は、通知されたドメイン名を接続先管理部２１内のメモリに記憶されている図１０に示すような接続先管理テーブルに記録する（ステップＳ４）。なお、当該ディスク上に特定領域内に、ドメイン名が空であることを示すデータ（例えば「０」）が記憶されている場合には、サーバ認証を行わない、従って、以後、当該ディスクを再生しているときに、ネットワークへの接続要求が発生しても、ネットワークへのアクセスは行わない。

接続先管理部２１は、当該ディスクがコンテンツ再生装置１００に挿入されている間だけ、ドメイン名を接続先管理テーブルに記憶しておく。このため、ディスク検出部１１が当該ディスクの取り出しを検出したら、接続先管理部２１は、図１０に示した接続先管理テーブルから、ステップＳ４で記憶したドメイン名を削除する。

さて、ステップＳ４で、当該ディスクの特定領域から読み出されたドメイン名が、接続先管理テーブルに記憶されると、サーバ認証部２３が、当該ドメイン名に対応するサーバの認証処理を開始する。この場合、まず、通信部４は、当該ドメイン名に対応するＩＰアドレスを所定のＤＮＳ（Domain name system）サーバから取得する（ステップＳ５）。サーバ認証部２３は、この取得されたＩＰアドレスを用いて、ネットワークへアクセスし、当該ドメイン名に対応するサーバの証明書を取得するための認証処理を行う（ステップＳ６）。

ネットワークを介してサーバを認証する方式は、例えば、インターネット上のＷＷＷ（World Wide web）などで広く用いられているＳＳＬ（Secure Socket Layer）／ＴＬＳ(Transport layer security)により行う。ＳＳＬ／ＴＬＳは、公開鍵暗号方式に基づく認証方式であり、クライアントは、ルート認証局と呼ばれる認証機関により認証されたサーバ証明書を受け取り、その内容を確認することでサーバの正当性を保証する方式である。さらに、ＳＳＬ／ＴＬＳは、クライアントとサーバの双方でデータの暗号化を行い通信する処理手順が規定されており、ネットワーク上での傍受によるデータ改竄などを防ぐことができる。

ＳＳＬ／ＴＬＳでは、図３に示すような手順で証明書をやり取りする方式が規定されている。すなわち、まず、クライアント（コンテンツ再生装置１００）から、使用可能な暗号アルゴリズムのリストなどを含む、ＣｌｉｅｎｔＨｅｌｌｏメッセージをサーバ（サーバ１０１）へ送信する（ステップＳ５０１）。次に、サーバは、当該リスト中の暗号アルゴリズムのうち使用したい暗号アルゴリズムを示した情報を含む、ＳｅｒｖｅｒＨｅｌｌｏメッセージをクライアントへ送信する（ステップＳ５０２）。その後、サーバの証明書を含むＣｅｒｔｉｆｉｃａｔｅメッセージをクライアントへ送信し（ステップＳ５０３）、ＳｅｒｖｅｒＨｅｌｌｏＤｏｎｅメッセージを送信することにより、証明書の送信を終了する（ステップＳ５０４）。

クライアントは、サーバから送信された証明書から取得したサーバの公開鍵を使って共通鍵を暗号化し、暗号化された共通鍵を含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージをサーバへ送信する（ステップＳ５０５）。次に、メッセージの改竄を防ぐためにこれまでのメッセージのダイジェストを計算して、当該ダイジェストを含むＦｉｎｉｓｈｅｄメッセージをサーバへ送信する（ステップＳ５０６）。一方、サーバは共通鍵を取得し、クライアントと同様にメッセージのダイジェストを計算してクライアントへ送信する（ステップＳ５０７）。

図３において、クライアントをコンテンツ再生装置１００とすることで、コンテンツ再生装置１００は、ステップＳ５０３で、ディスクの特定領域から読み出されたドメイン名に対応するサーバの証明書（サーバ証明書）を取得する（ステップＳ７）。接続したサーバ名と、サーバ１０１から取得したサーバ証明書に含まれるサーバ名を照合する（ステップＳ８）。両者が一致し、サーバの認証が成功した場合には、当該サーバ１０１は、コンテンツ再生装置１００に挿入されているディスクの特定領域に記憶されているドメイン名に対応する正当なサーバであると判定される。接続したサーバ名と、サーバ１０１から取得したサーバ証明書に含まれるサーバ名とが一致しない場合には、サーバの認証が失敗したと判定される。

サーバ認証部２３は、接続管理部２１に記憶されている図１０に示した接続先管理テーブルに、サーバの認証が成功したか否かを示すサーバ認証フラグの値を記録する。サーバの認証が成功した場合には（ステップＳ９）、サーバ認証フラグの値を「１」とする（ステップＳ１０）。サーバ認証が失敗した場合には（ステップＳ１０）、サーバ認証フラグの値を「０」とする（ステップＳ１１）。

サーバ認証フラグが「１」の間は、サーバ１０１が正当であることを示すので、サーバの正当性を確認できなくなった場合は、サーバ認証フラグの値を「０」に戻す。例えば、サーバ認証の成功したサーバとの間の通信セッションが切断された場合や、予め定められた一定時間が経過した場合に、サーバ認証部２３は、サーバ認証フラグの値を「１」から「０」に書き換える。

図２のステップＳ６の認証処理は、ＳＳＬ／ＴＬＳの代わりに、公開鍵暗号方式に基づく独自の認証処理であってもよい。この場合の処理手順について説明する。

まず、ディスク制御部１のディスク読み出し部１２が、ディスクに予め記憶されている公開鍵を読み出し、所定のメモリへ記憶する。次に、サーバ認証部２３は、証明書の送信をサーバに要求する。要求を受け取ったサーバは、当該サーバがもつ秘密鍵で証明書を暗号化し、コンテンツ再生装置に送信する。サーバ認証処理部２３は、証明書を受け取ると、上記公開鍵で証明書を復号し、この復号された証明書に含まれるサーバ名と、接続したサーバ名を照合する。両者が一致し、サーバの認証が成功した場合には、当該サーバ１０１は、コンテンツ再生装置１００に挿入されているディスクの特定領域に記憶されているドメイン名に対応する正当なサーバであると判定され、サーバ認証フラグ「１」が記憶される。接続したサーバ名と、復号された証明書に含まれるサーバ名が一致しない場合には、サーバの認証が失敗したと判定され、サーバ認証フラグ「０」が記憶される。

サーバの証明書の内容に、例えば当該サーバのドメイン名が含まれていると、正当なサーバに接続していることを確認できる。

上記のようなサーバ認証が失敗した場合には、以後、コンテンツ再生装置でディスク上のコンテンツを再生している間にネットワークへの接続要求が発生しても、ネットワークへの接続は行われない。

上記のようなサーバ認証が成功することにより、当該サーバが、ディスクの特定領域に記録されていたドメイン名に対応する正当なサーバであることが保証され、コンテンツ再生装置から接続できるサーバを、接続先管理テーブルに記憶されているドメイン名に対応するサーバに限定することができるようになる。

サーバ認証が成功すると、次に、サーバポリシー管理部２５は、サーバ認証の成功したサーバ（接続先管理テーブルにドメイン名が記憶されているサーバ）からサーバポリシーを取得するためのサーバポリシー取得処理を行い、サーバポリシーを確認する。サーバポリシーとして、他サーバへの接続（リダイレクト）要求がある場合は、後述するリダイレクト処理を行う。また、サーバポリシーとしてディスク認証要求がある場合は、後述のディスク認証を行う。以下サーバポリシー取得処理について説明する。

（１−２）サーバポリシーの取得
接続先管理テーブルにドメイン名が記憶されているサーバについて、上記サーバ認証が完了し、且つサーバの正当性が確認できた（サーバ認証が成功した）場合（サーバ認証フラグが「１」の場合）には（図２のステップＳ１２）、当該サーバのポリシーを取得するためにネットワークアクセス制御部２のサーバポリシー管理部２５は、サーバポリシー要求メッセージを通信部４を介してサーバへ送信する（ステップＳ１４）。

なお、サーバのドメイン名が接続先管理テーブルに記憶されていない場合、サーバ認証フラグが「０」の場合には、以後、ネットワークへのアクセスは行わない（ステップＳ１３）。

ステップＳ１４で送信されたサーバポリシー要求を受け取ったサーバは、当該サーバがどのような方針でアクセスを許可するかを示すサーバポリシー（例えば、ディスク認証により正当性の検証されたディスクからのアクセスを許可するというサーバポリシー（ディスク認証の有無を示すサーバポリシー）、通信プロトコルの種別およびポート番号などのサーバへの接続方法を指定して、指定された接続方法による接続に対し許可するというサーバポリシー（接続方法に関するサーバポリシー）、他のサーバを指定して、当該サーバへの再接続を指示するサーバポリシー（リダイレクトに関するサーバポリシー）などの複数のサーバポリシーのうちの少なくとも１つ）をコンテンツ再生装置へ送信する（ステップＳ１５）。

サーバポリシーを受け取ったサーバポリシー管理部２５は、その内容を解析し、図１１に示すように、項目ごとにサーバポリシーテーブルへ保存する（ステップＳ１６）。サーバポリシー管理部２５は、保存されたサーバポリシーテーブルの内容に基づきサーバポリシーに従った制御を行う。本実施形態では、ディスク認証により正当性の検証されたディスクからのアクセスを許可するというサーバポリシー、ソケットや、通信プロトコルの種別およびポート番号などのサーバへの接続方法を指定して、指定された接続方法による接続に対し許可するというサーバポリシー、他のサーバを指定して、当該サーバへの再接続（リダイレクト）を指示するサーバポリシーについて、以後詳細に説明する。

（１−３）他のサーバへの接続（リダイレクト処理）
上記サーバポリシーの取得処理により、他のサーバへの接続指示がサーバから返された場合の処理について、図２及び図１２を参照して説明する。

記録媒体の特定領域に最初のサーバのドメイン名を記録して記録媒体が頒布されたが、その後、当該ドメイン名のサーバが移転して、他のドメイン名に変更された場合や、移転した先のサーバからさらに他のドメイン名のサーバへ移転した場合などに、元のサーバからリダイレクトを要求するサーバポリシーが返される。

図１２（ａ）において、サーバポリシー管理部２５は、ディスクの特定領域に記憶されていたドメイン名に対応するサーバ（第１のサーバ）から、サーバポリシーを取得すると（図２のステップＳ１５）、このサーバポリシーをサーバポリシーテーブルに記憶する（図２のステップＳ１６）。この取得されたサーバポリシーに、他のサーバ（第２のサーバ）のドメイン名を含み当該ドメイン名に対応する第２のサーバ（リダイレクト先サーバ）への接続を指示するサーバポリシーが含まれていると（図２のステップＳ１７）、接続先管理テーブルのドメイン名欄に、当該サーバポリシーに含まれる第２のサーバのドメイン名を追加する（図２のステップＳ４）。

なお、この場合、第１のサーバから取得されるサーバポリシーには、ディスク認証が不要であることを示すサーバポリシー、接続方法の指定がないことを示すサーバポリシーが含まれていてもよい。あるいは、これらディスク認証、接続方法、リダイレクトに関するサーバポリシーのうち、リダイレクトに関するサーバポリシーのみ、すなわち、第２のサーバのドメイン名を含み、リダイレクト有りを示すサーバポリシーのみが含まれていてもよい。

次に、図１２（ｂ）に示すように、サーバ認証部２３は、接続先管理テーブル中の最新のドメイン名に対応するサーバ、すなわち、第２のサーバに接続し、図２のステップＳ５〜ステップＳ１１と同様にサーバ認証処理を行う。この後で、サーバポリシー管理部２５は、当該第２のサーバのサーバ認証が成功した場合には（ステップＳ１２）、第２のサーバからサーバポリシーを取得し（図２のステップＳ１４〜ステップＳ１５）、これをサーバポリシー管理部２５のサーバポリシーテーブルへ記憶する（ステップＳ１６）。

第２のサーバから取得したサーバポリシーに、さらに他のサーバ（第３のサーバ）への接続を指示するサーバポリシーが含まれる場合は（図２のステップＳ１７）、サーバポリシー管理部２５は、接続先管理テーブルのドメイン名欄に、当該サーバポリシーに含まれる第３のサーバのドメイン名を追加する（図２のステップＳ４）。

そして、図１２（ｃ）に示すように、サーバ認証部２３は、接続先管理テーブル中で最新のドメイン名に対応する第３のサーバへ接続し、図２のステップＳ５〜ステップＳ１１と同様にサーバ認証処理を行う。この後で、当該他のサーバのサーバ認証が成功した場合には（ステップＳ１２）、サーバポリシー管理部２５は、第３のサーバからサーバポリシーを取得し（図２のステップＳ１４〜ステップＳ１５）、第３のサーバのサーバポリシーをサーバポリシー管理部２５のサーバポリシーテーブルへ記憶する（ステップＳ１６）。

なお、第２のサーバから取得したサーバポリシーに、リダイレクト無を示すサーバポリシーが含まれているとき、すなわち、さらに他のサーバ（第３のサーバ）への接続を指示するサーバポリシーが含まれていない場合には（図２のステップＳ１７）、当然のことながら、その後の第３のサーバへの接続及び第３のサーバのサーバ認証、サーバポリシーの取得処理等は行わない。

さて、図１２（ａ）〜（ｃ）に示すように、リダイレクトを２回行った場合の接続先管理テーブルには、図１３に示すように、第１乃至第３のサーバのドメイン名と、リダイレクトの有無（リダイレクト有りの場合には「１」、無しの場合には「０」）や、図２のステップＳ５〜ステップＳ１１のサーバ認証処理において、成功／失敗を示すサーバ認証フラグが記憶されている。

なお、図１２（ａ）において、第１のサーバから取得されたサーバポリシーは、第２のサーバへのリダイレクトを指示するサーバポリシーであり、ディスク認証を要求するサーバポリシーや接続方法を指示するサーバポリシーは取得されなかったので、ディスク認証は行われない（図１３（ａ）参照）。

同様に、図１２（ｂ）において、第２のサーバから取得されたサーバポリシーは、第３のサーバへのリダイレクトを指示するサーバポリシーであり、ディスク認証を要求するサーバポリシーや接続方法を指示するサーバポリシーは取得されなかったので、ディスク認証は行われない（図１３（ｂ）参照）。

図１２（ｃ）において、第３のサーバから取得されたサーバポリシーは、リダイレクトを指示するサーバポリシーはなく、ディスク認証を要求するサーバポリシーおよび接続方法を指示するサーバポリシーが取得されたので、ディスク認証が行われ、ディスク認証フラグが「１」となっている（図１３（ｃ）参照）。

図１４は、図１２（ａ）〜（ｃ）に示すように、リダイレクトを２回行った場合に、第３のサーバから取得され、サーバポリシーテーブルに記憶されたサーバポリシーの一例を示したものである。

図１４に示すように、第３のサーバから取得したサーバポリシーには、リダイレクト不要、接続方法については、プロトコルがＴＣＰの場合はポート番号「２１」、プロトコルがＵＤＰの場合にはポート番号「１１１」が指定されている。また、ディスク認証が必要であるというサーバポリシーが含まれている。

なお、リダイレクトを指示するサーバポリシーの場合には、サーバポリシーテーブルの「リダイレクト」の項目には「１」が記憶され、リダイレクトが指示されていない、あるいは不要である旨のサーバポリシーの場合には、サーバポリシーテーブルの「リダイレクト」の項目には「０」が記憶される。

また、ディスク認証が必要であるというサーバポリシーの場合には、サーバポリシーテーブルの「ディスク認証」の項目には、「１」が記憶され、ディスク認証が不要であるというサーバポリシーの場合には、サーバポリシーテーブルの「ディスク認証」の項目には、「０」が記憶される。

（１−４）リダイレクト回数の制限
上記リダイレクト処理では、サーバから返されたリダイレクト先のサーバへ無条件に接続するため、リダイレクトの連鎖が何回も続く可能性がある。例えば、最初に第１のサーバへ接続後第２のサーバへリダイレクトされ、第２のサーバはさらに第３のサーバへリダイレクトするような状況ではリダイレクトの連鎖が無限に続くことになる。このような問題を回避するため、リダイレクトの回数を制限してもよい。以下、リダイレクト回数の制限方法について、図４に示すフローチャートを参照して説明する。なお、図４において、図２と同一部分には同一符号を付し、異なる部分についてのみ説明する。

図２のステップＳ１７に対応する図４のステップＳ１７で、取得したサーバポリシーからリダイレクト先を取得すると、ディスクを挿入後のリダイレクト回数を保持しているサーバポリシー管理部２５に備えられたリダイレクトカウンタの値と、サーバポリシー管理部２５にあらかじめ保持されている最大リダイレクト数とを比較する（図４のステップＳ１８）。リダイレクトカウンタの値が最大リダイレクト数以下の場合には、接続先管理テーブルへリダイレクト先サーバのドメイン名を追加し（図４のステップＳ４）、リダイレクト先サーバへ接続を行う（ステップＳ５〜ステップＳ１６）。リダイレクト先サーバの認証が成功し、当該サーバからサーバポリシーを取得した後、リダイレクトカウンタの値を「１」だけ増やす（ステップＳ１９）。ステップＳ１８において、リダイレクトカウンタの値が最大リダイレクト数を超える場合には、リダイレクト先サーバへの接続は行わず、接続先管理テーブルとサーバポリシーテーブルをクリアし、ネットワーク接続を行わない（ステップＳ２０）。

（１−５）ディスク認証
ディスク認証では、コンテンツ再生装置に挿入されているディスクに記録されているコンテンツデータが正当なものであるか否かがチェックされる。ディスク認証を行うことにより、改竄されたコンテンツデータ（特に、改竄された不正なプログラム）がディスクに記録されている場合には、当該不正なプログラムを実行することにより上記正当なサーバへアクセスすることを回避することができる。

ディスク認証は、図２や図４のステップＳ１４〜ステップＳ１６の処理で、サーバ認証の成功したサーバから取得されたサーバポリシーに、ディスク認証が必要であることを示すサーバポリシー（ディスク認証により正当性の検証されたディスクからのアクセスを許可するというサーバポリシー）が含まれている場合に行われる。

以下、図５に示すフローチャートを参照してディスク認証処理について説明する。

図２に示したようなサーバ認証が成功し、上記サーバポリシー取得処理後、ディスク認証の要求がある場合（サーバポリシーテーブルの「ディスク認証」の項目に対応する値がが「１」である場合）、ディスク認証部２４は、接続先管理テーブルにドメイン名が記憶されているか否か、サーバ認証が成功したか否かを確認する（ステップＳ２１）。接続先管理テーブルにドメイン名が記憶されていない場合、サーバ認証フラグが「０」である場合には（ステップＳ２１）、以後のディスク認証処理を行わない。従って、ネットワークへのアクセスも行うことはできなくなる（ステップＳ２２）。

接続先管理テーブルにドメイン名が記憶されており、且つ、サーバ認証フラグが「１」であるときには（ステップＳ２１）、通信部４を介して、接続先管理テーブルに記憶されているドメイン名に対応するサーバに対してディスクの認証要求を送信する（ステップＳ２３）。

ディスク認証要求を受信したサーバは、ディスク上のディスクが識別できるデータが記録されている記録領域をランダムに選択する（ステップＳ２４）。ここでは、１つのみならず複数の記録領域が選択されてもよい。そして、コンテンツ再生装置に対し、当該選択された記録領域に記録されているデータのハッシュ値を送信するよう要求する（ステップＳ２５）。このとき、予め定められたアルゴリズムを用いて、暗号化してから送信するよう要求してもよい。

コンテンツ再生装置１００が、この送信要求を受信すると、ディスク認証処理部２４は、サーバにより指定された記録領域のデータをディスク制御部１を介してディスクから読み出し（ステップＳ２６）、読み出されたデータのハッシュ値を計算する（ステップＳ２７）。

求めたハッシュ値はサーバへ送信される（ステップＳ２８）。

サーバは、当該サーバに対応するコンテンツデータの記録されている正当なディスクを備えている。ハッシュ値を受信したサーバは、このディスク上の上記ステップＳ２４で選択された記録領域から、データを読み出し、ハッシュ値を計算する。そして、この計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とを比較し（ステップＳ２９）、両者が不一致である場合（ディスク認証が失敗した場合）には、現在コンテンツ再生装置に挿入されているディスクに記録されているコンテンツデータは改竄されている可能性があると判定される。この場合、サーバは、コンテンツ再生装置１００に対し、アクセス不許可通知を送信する（ステップＳ３１）。

サーバで計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とが一致する場合（ディスク認証が成功した場合）には、現在コンテンツ再生装置に挿入されているディスクに記録されているコンテンツデータは改竄されていないと判定される。この場合、サーバは、コンテンツ再生装置１００に対し、アクセス許可通知を送信する（ステップＳ３３）。

コンテンツ再生装置１００は、サーバからアクセス許可通知／アクセス不許可通知を受信すると、ディスク認証部２４は、受信した通知の内容を基に、接続管理部２１に記憶されている図１３に示した接続先管理テーブルに、ディスク認証が成功したか否かを示すディスク認証フラグの値を記録する。アクセス許可通知を受信し、ディスク認証が成功した場合には、ディスク認証フラグの値を「１」とする（ステップＳ３４）。アクセス不許可通知を受信し、ディスク認証が失敗した場合には、ディスク認証フラグの値を「０」とする（ステップＳ３２）。

上記ディスク認証処理では、サーバが、当該サーバに対応するコンテンツデータの記録されているディスクについて、ディスクが識別できるデータが記録されている記録領域をランダムに選択し、コンテンツ再生装置から送信された、当該選択された記録領域内のデータのハッシュ値を用いて、当該記録領域内のデータが改竄されているか否かを判定している。

このようなディスク上の任意の記録領域内のデータを用いてディスク認証を行う代わりに、改竄されると他に危害を及ぼす可能性のあるプログラムの記録されているディスク上の記録領域内のデータ（プログラム）を用いた、他のディスク認証処理について、図６に示すフローチャートを参照して説明する。なお、図６において、図５と同一部分には同一符号を付し、異なる部分についてのみ説明する。

すなわち、図５のステップＳ２４が、図６ではステップＳ２４ａ及びステップＳ２４ｂに置き換えられ、図５のステップＳ２５が図６ではステップＳ２５ａに置き換えられ、図５のステップＳ２７が、図６ではステップＳ２７ａに置き換えられ、図５のステップＳ２９が、図６ではステップＳ２９ａに置き換えられている。

図６のステップＳ２４ａでは、サーバがディスク認証要求を受信すると、改竄されると他に危害を及ぼす可能性のあるプログラムの記録されているディスク上の記録領域を選択する。この場合、サーバは、当該サーバに対応するコンテンツデータの記録されているディスクについて、プログラム（改竄されると他に危害を及ぼす可能性のあるプログラム）の記録されている記録領域がどこであるかを予め記憶している。そして、プログラムの記録されている記録領域のうちの少なくとも１つを選択する。複数の記録領域を選択してもよい。

次に、ステップＳ２４ｂでは、サーバは、ランダムなデータ系列を生成する。そして、ステップＳ２５ａでは、コンテンツ再生装置１００に対し、この生成されたデータ系列と、ステップＳ２４ａで選択した記録領域に記録されているデータ（プログラムデータ）とから計算されるハッシュ値を送信するよう要求する。このとき、予め定められたアルゴリズムを用いて、暗号化してから送信するよう要求してもよい。

コンテンツ再生装置１００が、この送信要求を受信すると、ディスク認証処理部２４は、サーバにより指定された記録領域のデータをディスク制御部１を介してディスクから読み出す（ステップＳ２６）。ステップＳ２７ａでは、この読み出されたデータとサーバから送られてきたデータ系列とを連結して、読み出されたデータとサーバから送られてきたデータ系列を含むデータ全体のハッシュ値を計算する。求めたハッシュ値はサーバへ送信される（ステップＳ２８）。

サーバは、当該サーバに対応するコンテンツデータの記録されている正当なディスクを備えている。ハッシュ値を受信したサーバは、ステップＳ２９ａにおいて、このディスク上の上記ステップＳ２４ａで選択された記録領域からデータを読み出し、読み出したデータと、ステップＳ２４ｂで生成したデータ系列を連結して、読み出したデータとステップＳ２４ｂで生成したデータ系列を含むデータ全体のハッシュ値を計算する。そして、この計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とを比較する（ステップＳ２９）。その後、図５と同様で、両者が不一致である場合（ディスク認証が失敗した場合）には、サーバは、コンテンツ再生装置１００に対し、アクセス不許可通知を送信し（ステップＳ３１）、コンテンツ再生装置は、ディスク認証フラグを「０」にする（ステップＳ３２）。サーバで計算されたハッシュ値とコンテンツ再生装置から受信したハッシュ値とが一致する場合（ディスク認証が成功した場合）には、サーバは、コンテンツ再生装置１００に対し、アクセス許可通知を送信し（ステップＳ３３）、コンテンツ再生装置は、ディスク認証フラグを「１」にする（ステップＳ３４）。

上記ディスク認証は、当該ディスクがコンテンツ再生装置から取り出されるまで有効となる。すなわち、当該ディスクがコンテンツ再生装置から取り出されたら、ディスク認証フラグを「０」に書き変える。

上記説明では、ディスク認証フラグの値によってディスク認証が有効かどうかを判定したが、別の方式として、サーバから指定された有効期間（ディスクの正当性を保証する期間）とセッション識別子を用いる方式を以下に説明する。これは、通信プロトコルとして、例えばＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を用いた場合、Ｃｏｏｋｉｅを使うことにより実現可能である。

図５および図６のステップＳ３３で、サーバはアクセス許可通知とともに、有効期間（例えば「３００秒」と指定する）とセッション識別子（例えばサーバが生成したコンテンツ再生装置を識別するためのランダム文字列）をディスク認証処理部２４へ送信する。ディスク認証処理部２４は、接続管理部２４に記憶されている接続先管理テーブルに、サーバから送られた有効期間とセッション識別子を保存する。以降、図９に示すようにして、ステップＳ５４においてサーバと通信する場合、このセッション識別子をサーバへの通信データに付加することで、サーバは、ディスク認証が行われていることが確認できる。サーバは、セッション識別子が付加されていない通信データがコンテンツ再生装置から送られてきても、それを拒否する。

ディスク認証処理部２４は、保存された有効期間を経過した場合やコンテンツ再生装置の操作（例えば、利用者によりディスクが取り出されたり、再生中のコンテンツが停止された場合）に応じて、保存されている有効期間の値を「０」とし、セッション識別子を削除するとき、ディスク認証フラグを「１」から「０」に更新するようにしてもよい。

保存されている有効期間が経過した後や、上記予め定められたユーザ操作により有効期間が「０」になった後は、有効期間が「０」になったことを契機に、あるいは、コンテンツデータの再生・実行中にネットワークへの接続要求が発生したことを契機に、再び、上記ディスク認証を行う。

また、保存したセッション識別子が削除された場合には、図９のステップＳ５４においてサーバと通信することはできないため、再び、ディスク認証を行う。

このように、上記有効期間を用いる場合には、コンテンツデータの再生・実行中に発生した接続要求を受けて、サーバに接続するためには、図９のステップＳ５３ｂにおいて、有効期間が「０」でないことが条件として加わる。また、セッション識別子を用いる場合には、図９のステップＳ５３ｂにおいて、セッション識別子が保存されていることが条件として加わる。

なお、本実施形態では、１つのサーバはある１つのコンテンツに対応するディスク認証処理を行うとして説明したが、１つのサーバで複数のディスク認証処理を行うことも可能である。その場合、例えば、ディスクまたはコンテンツを一意に特定する識別子をディスク上に格納しておき、ディスク認証時にその識別子をディスクから読み込んでサーバへ送信することで、サーバはどのディスクかを特定することができる。

（２）コンテンツ再生装置にディスクを挿入した後、サーバ（ネットワーク）へのアクセス要求が発生したときに、サーバ認証及びディスク認証を行う場合について、図７に示すフローチャートを参照して説明する。なお、図７において、図２と同一部分には同一符号を付し、異なる部分についてのみ説明する。すなわち、図２のステップＳ２が図７ではステップＳ４１に置き換えられている。

図２に示すサーバ認証では、ステップＳ２で、ディスクがコンテンツ再生装置に挿入されたことを契機に、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。

一方、図７に示すサーバ認証では、ステップＳ４１で、ディスクがコンテンツ再生装置に挿入された後、例えば、当該ディスクに記録されているプログラムを実行することにより、サーバ（ネットワーク）へのアクセス要求が（最初）に発生したことを契機に、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。その後の処理動作は、図２のステップＳ４からステップＳ１７までの処理動作と同様である。

図７のサーバ認証処理を行った後に、取得したサーバポリシーに、ディスク認証が要求されている場合には、図５あるいは図６に示したようなディスク認証を行う。

なお、図７の処理動作に、リダイレクト回数を制限するための図４に示す処理動作を組み合わせてもよい。

（３）コンテンツ再生装置にディスクを挿入した後、サーバ（ネットワーク）へのアクセス要求が発生したときに、サーバ認証及びディスク認証を行う場合の他の例について、図８に示すフローチャートを参照して説明する。なお、図８において、図２及び図７と同一部分には同一符号を付し、異なる部分についてのみ説明する。すなわち、図８では、図２と同様に、ディスクのコンテンツ再生装置への挿入を検出したことを契機に（ステップＳ２）、ディスク読み出し部１２は、当該ディスク上の予め定められた特定領域から、接続先のドメイン名を読み出す（ステップＳ３）。そして、読み出されたドメイン名は、接続先管理部２１内のメモリに記憶されている図１０に示すような接続先管理テーブルに記録される（ステップＳ４）。ここまでは、図２と同様である。

図８において、図２と異なるのは、サーバ認証部２３のステップＳ５〜ステップＳ１１までの処理と、サーバポリシー管理部２５のステップＳ１４〜ステップＳ１７，およびステップＳ４の処理は、図８ではステップＳ４１〜ステップＳ４３までの処理を行った後であるという点である。すなわち、ディスク検出部１１で、ディスクがコンテンツ再生装置へのディスクの挿入が検出され、当該ディスクの特定領域から読み出されたドメイン名が接続先管理テーブルに記録される（図８のステップＳ１〜ステップＳ４）。その後、コンテンツ再生装置に挿入されたディスクに記録されているプログラムを実行することにより、サーバ（ネットワーク）への接続要求が（最初）に発生すると、すなわち、接続要求が再生・実行制御部３から出力されると（図８のステップＳ４１）、当該接続要求が、ネットワークアクセス制御部２の接続先検証部２２により検出される。接続先検証部２２は、当該プログラムにより指定されている接続先のドメイン名を取得する（ステップＳ４２）。

ディスクに記録されているプログラムを実行することにより再生・実行制御部３で発生する接続要求には、当該プログラムに含まれる接続先のドメイン名が含まれている。接続先検証部２２は、この接続要求に含まれる接続先のドメイン名を取得する。

次に、接続先検証部２２は、取得したドメイン名と接続先管理テーブルに記録されているドメイン名とを比較し（ステップＳ４３）、両者が一致した場合に、サーバ認証部２３が、接続管理テーブルに記録されているドメイン名に対応するサーバの認証処理（ステップＳ５〜ステップＳ１１）を開始する。その後、サーバポリシー管理部２５が、ステップＳ１２〜ステップＳ１７、およびステップＳ４´に示すようなサーバポリシーの取得処理を行う。

なお、ステップＳ４´では、取得したサーバポリシーに、リダイレクトを指示するポリシーが含まれている場合に、当該サーバポリシーからリダイレクト先のサーバのドメイン名を接続先管理テーブルに記憶する。

ステップＳ４３において、取得したドメイン名と接続先管理テーブルに記録されているドメイン名とが異なる場合には、ここで処理を中止し、サーバ認証部２３でのサーバ認証処理（ステップＳ５〜ステップＳ１１）、サーバポリシー管理部２５でのサーバポリシー取得処理（ステップＳ１２〜ステップＳ１７，ステップＳ４´）を行わない。その結果、コンテンツ再生装置１００は、ネットワークへの接続は行わない。

取得したドメイン名と接続先管理テーブルに記録されているドメイン名とが一致した場合には、図２と同様に、サーバ認証部２３が、接続管理テーブルに記録されているドメイン名に対応するサーバの認証処理（ステップＳ５〜ステップＳ１１）を開始する。すなわち、サーバ認証部２３は、接続管理テーブルに記録されているドメイン名に対応するサーバから証明書を取得し（ステップＳ５〜ステップＳ７）、この取得した証明書と、サーバ認証部２３に予め記憶されている証明書が一致し、サーバの認証が成功した場合には、サーバ認証フラグ「１」を接続管理テーブルに記憶する（ステップＳ８〜ステップＳ１０）。また、取得した証明書と、サーバ認証部２３に予め記憶されている証明書が異なる場合には、サーバ認証フラグ「０」を接続管理テーブルに記憶する（ステップＳ８、ステップＳ９，ステップＳ１１）。

その後、サーバポリシー管理部２５が、サーバからサーバポリシーを取得し（ステップＳ１２〜ステップＳ１５）、サーバポリシーテーブルに記憶する（ステップＳ１６）。取得したポリシーに、リダイレクトを指示するサーバポリシーが含まれている場合には（ステップＳ１７）、当該ポリシーに含まれているリダイレクト先のサーバのドメイン名を接続先管理テーブルに記憶し（ステップＳ４´）する。そして、サーバ認証部２３は、ステップＳ４´で記憶した最新のドメイン名に対応するサーバに対して、サーバ認証処理を行う（ステップＳ５〜ステップＳ１１）。

図８のサーバ認証処理を行った後に、取得したサーバポリシーに、ディスク認証が要求されている場合には、図５あるいは図６に示したようなディスク認証を行う。

なお、図８の処理動作に、リダイレクト回数を制限するための図４に示す処理動作を組み合わせてもよい。

本実施形態では、（１）コンテンツ再生装置にディスクが挿入されたとき、または、（２）サーバへ（ネットワーク）へのアクセス要求が発生したときに、サーバ認証、サーバポリシーを取得し、取得したサーバポリシーに、ディスク認証が必要である旨のサーバポリシーが含まれている場合に、ディスク認証処理を行う方式を説明した。このとき、コンテンツ再生装置の不具合等で、ディスクの差し替えが検出できない場合、ディスク認証処理後に他のディスクへ差し替えられる危険性がある。

この場合、接続先管理テーブルのドメイン名、サーバ認識フラグおよびディスク認識フラグは消去されないため、差し替えられたディスクに記憶されているプログラムが、接続先管理テーブルに保存されているドメイン名のサーバへアクセスすることが可能となる。

上記危険性を回避するため、前記ディスク認証処理完了後、ネットワークアクセス制御部のディスク認証部２４は、あらかじめ定められた方式に基づくあるタイミング（例えば、一定周期や乱数に基づいた不定期）で、前記ディスク認証処理をくりかえし実行してもよい。

（４）サーバへの接続方法を制限するためのアクセス制御
図２、図８に示したように、コンテンツ再生装置１００は、ディスクが挿入されると、当該ディスの特定領域に記録されているドメイン名を読み出して、接続先管理テーブルに記録される。図２の場合には、さらに、サーバ認証及びサーバポリシーの取得、ディスク認証を要求するサーバポリシーを取得した場合にはディスク認証を行い、サーバ認証フラグ及びディスク認証フラグに「１」あるいは「０」が記録されている。

次に、コンテンツ再生装置１００が、挿入されたディスク上のコンテンツデータを再生しているときに、ネットワーク接続要求が発生した場合について、図９に示すフローチャートを参照して説明する。

ネットワーク接続要求は、コンテンツ再生装置にディスクが挿入された後、（ａ）当該ディスクに記録されているプログラムを実行することにより、また、（ｂ）例えば当該ディスクに記録されているプログラムを実行しているときに、記憶装置６に既に記憶されているネットワーク（サーバ）からダウンロードされたデータやプログラムを再生・実行することにより、発生する。

ネットワーク接続要求は、前述同様、ネットワークアクセス制御部２の接続先検証部２２により検出される（ステップＳ５１）。ネットワーク接続要求には、接続先のサーバのドメイン名や、当該サーバへの接続方法（ソケット、通信プロトコル・ポート番号など）が含まれている。

接続先検証部２２は、ネットワーク接続要求に含まれるドメイン名を取得する（ステップＳ５２）。

なお、図８に示したようなサーバ認証を行う場合には、上記ステップＳ５１及びステップＳ５２で、ディスク挿入後、最初にネットワーク接続要求が検出され（図８のステップＳ４１）、接続先のドメイン名が取得されたときに（図８のステップＳ４２）、サーバ認証を開始し、さらに、サーバポリシーの取得、ディスク認証を要求するサーバポリシーを取得した場合にはディスク認証を行って、サーバ認証フラグ及びディスク認証フラグに「１」あるいは「０」が記録される。

また、図７に示したようなサーバ認証処理を行う場合には、上記ステップＳ５１及びステップＳ５２で、ディスク挿入後、最初にネットワーク接続要求が検出されたときに（図７のステップＳ４１）、当該ディスの特定領域に記録されているドメイン名を読み出して、接続先管理テーブルに記録する（図７のステップＳ３〜ステップＳ４）。その後、サーバ認証、サーバポリシーの取得、ディスク認証を要求するサーバポリシーを取得した場合にはディスク認証を行って、サーバ認証フラグ及びディスク認証フラグに「１」あるいは「０」が記録される。

従って、図９のステップＳ５１及びＳ５２で、ネットワーク接続要求が検知され、接続先のドメイン名を取得した場合、図２、図７，図８のいずれの場合においても、接続先管理テーブルにはドメイン名が記録され、サーバ認証、ディスク認証を要求するサーバポリシーを取得した場合にはディスク認証の結果を示すサーバ認証フラグやディスク認証フラグに「１」あるいは「０」が記録されている。

さらに、上記サーバのリダイレクトが行われた場合には、リダイレクト先サーバのドメイン名が接続先管理テーブルに記憶され、通信プロトコルやポート番号などの接続方法を指定するサーバポリシーが取得された場合には通信プロトコルやポート番号などの接続方法がサーバポリシーテーブルに記憶されている。

ディスク認証を要求するサーバポリシーがサーバポリシーテーブルに記憶されている場合には（ステップＳ５３ａ）、接続先検証部２２は、（第１の条件）（リダイレクトされているときにはリダイレクト後の）サーバ認証フラグの値が「１」であること、（第２の条件）ディスク認証フラグの値が「１」であること、（第３の条件）ステップＳ５２で、ネットワーク接続要求元から取得した（接続要求に含まれる）ドメイン名と、接続先管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、の３つの条件を全て満足し、接続方法を指定するサーバポリシーを取得している場合には、さらに、（第４の条件）接続要求に含まれる接続方法（プロトコルとポート番号、ソケットなど）が、サーバポリシーテーブルに記録されている接続方法（プロトコルとポート番号、ソケットなど）に含まれていること、の４つの条件を全て満足する場合に限り、接続先管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ５３ｂ）。上記第１乃至第３条件、接続方法を指定するサーバポリシーを取得している場合には第１乃至第４の条件のうちのいずれか１つでも満足しない場合には、ネットワークへの接続を許可しない（ステップＳ５３ｂ、ステップＳ５５）。

また、ディスク認証を要求しない（ディスク認証は不要の）サーバポリシーがサーバポリシーテーブルに記憶されている場合には（ステップＳ５３ａ）、接続先検証部２２は、（第１の条件）（リダイレクトされているときにはリダイレクト後の）サーバ認証フラグの値が「１」であること、（第２の条件）ステップＳ５２で、ネットワーク接続要求元から取得した（接続要求に含まれる）ドメイン名と、接続先管理テーブルに記録されているドメイン名（ディスクの特定領域から読み出したドメイン名）とが一致していること、の２つの条件を全て満足し、接続方法を指定するサーバポリシーを取得している場合には、さらに、（第３の条件）接続要求に含まれる接続方法（プロトコルとポート番号）が、サーバポリシーテーブルに記録されている接続方法（プロトコルとポート番号）に含まれていること、の３つの条件を全て満足する場合に限り、接続先管理テーブルに記録されているドメイン名に対応するサーバへの接続を許可する（ステップＳ５３ｃ）。上記第１乃至第２条件、接続方法を指定するサーバポリシーを取得している場合には第１乃至第３の条件のうちのいずれか１つでも満足しない場合には、ネットワークへの接続を許可しない（ステップＳ５３ｃ、ステップＳ５５）。

接続先検証部２２で、ネットワークへの接続が許可された場合には、通信部４は、接続管理テーブルに記録されている最新のドメイン名（リダイレクトによりドメイン名が追加されている場合には、最後に追加されたドメイン名）に対応するサーバへ接続し、ディスク上のコンテンツデータの再生・実行の際に用いるデータやプログラムなどを通信部４を介して当該サーバから受信する（ステップＳ５４）。受信されたデータやプログラムなどは、ネットワークアクセス制御部２を介して、再生・実行制御部３へ出力される。その結果、コンテンツ再生装置１００の再生・実行制御部３は、当該サーバと通信を行いながら（当該サーバからダウンロードされるデータやプログラムを用いて）、当該ディスク上のコンテンツデータの再生・実行を行う。

なお、コンテンツ再生装置１００が、挿入されたディスク上のコンテンツデータを再生しているときに発生するネットワーク接続要求には、ストレージ制御部５が、記憶装置６にデータを書き込む場合や記憶装置６からデータを読み出す場合にも発生することがある。

例えば、ストレージ制御部５が記憶装置６に書き込むデータに対する証明書の生成や当該データの暗号化をサーバに依頼する場合や、ストレージ制御部５が記憶装置６から読み出すデータに対する証明書の検証や記憶装置６から読み出すデータの復号を依頼する場合などにネットワーク接続要求が発生する。

ストレージ制御部５が、記憶装置６にデータを書き込む場合や記憶装置６からデータを読み出す場合に、サーバへのアクセスが必要か否かについても、当該サーバのサーバポリシーとして取得するようにしてもよい。

（５）サーバからの配信データをコンテンツ再生装置から通知される日時を基に選択する
なお、図２や図４のステップＳ１４において、サーバポリシーを要求する際に、ディスクをコンテンツ再生装置へ挿入した日時（挿入日時）または、コンテンツ再生装置へ挿入されたディスクの再生開始日時を通知し（例えば、サーバポリシーの要求とともに、上記日時を送信し）、サーバはこの日時に応じて動作を変えるようにしてもよい。この場合、挿入日時あるいは再生開始日時といった日時データを受信したサーバは、受信した日時とサーバが保持しているコンテンツの更新日時とを比較して、コンテンツの更新日時よりもサーバへ送られてきた日時データが古い場合には、更新前のコンテンツを提供する。このように、サーバにおけるコンテンツ更新のタイミングに応じて、適切なコンテンツをコンテンツ再生装置へ提供し、表示させることが可能となる。

すなわち、コンテンツ再生装置でディスク上のプログラムを実行することにより、ネットワークへの接続要求が発生し、図９に示したようにしてサーバへの接続を行い、当該サーバからコンテンツデータやプログラムなどをダウンロードしてもらう場合には、当該サーバでは、上記ステップＳ１４でコンテンツ再生装置から送信されてきた日時データを基に、ダウンロードするコンテンツデータやプログラムを選択して、コンテンツ再生装置へ送信する。

視聴者がディスク上のコンテンツデータを再生し、鑑賞している最中に、サーバ上のコンテンツが更新されると、ストーリーに矛盾が生じる可能性がある。そのため、コンテンツ再生装置及びサーバを上記のような構成にすることで、サーバ側では、ディスク挿入日時または再生日時に応じて配信データを決定することで矛盾を回避することができる。

（６） 以上説明したように、コンテンツ再生装置では、サーバ認証やサーバポリシーを取得し、取得したサーバポリシーにディスク認証が要求されている場合にはディスク認証を行い、さらに、図９に示したようなアクセス制御を行って、ネットワーク接続要求発生時に接続先のサーバを、コンテンツ再生装置に挿入されたディスクの特定領域に記録されたドメイン名に対応するサーバ（リダイレクトがあった場合には、最終のリダイレクト先のサーバ）のみに制限し、また、当該サーバへの接続方法を当該サーバから指定されている接続方法のみに限定し、さらに、当該サーバのポリシーによっては、当該サーバへ接続できるディスクをその正当性が検証されたディスクのみに限定することで、コンテンツ再生装置がＤＤｏＳ攻撃などの踏み台となることを防いでいる。

なお、本実施形態では、ディスクとサーバは１対１に対応し、ディスク上の特定領域に記憶されているサーバのドメイン名は１つであるとしたが、ディスク上の特定領域に複数のサーバのドメイン名からなるドメイン名リストが記憶されている場合には、上述の特定領域にドメイン名が１つ記憶されている場合と同様に、ディスク読み出し部１２が特定領域から当該ドメイン名リストを読み込んで接続先管理部２１の接続先管理テーブルに保持する。この場合、ドメイン名リストに記述されている各サーバの識別子に関して、上述のサーバ認証処理、サーバポリシー取得、ディスク認証処理、アクセス制御処理を行う。

例えば、ディスク挿入時や、ネットワークへの接続要求が発生したときなどに、ディスク読み出し部１２がディスクの特定領域から当該ドメイン名リストを読み込んで、接続先管理テーブルに記憶しておく（ステップＳ４）。

上記サーバ認証（ステップＳ５〜ステップＳ１１）は、読み出した直後に、ドメイン名リスト上の各ドメイン名について行うようにしてもよい。また、コンテンツ再生中にプログラムを実行することにより、ネットワークへの接続要求が発生したときに、当該プログラムに含まれる接続先のドメイン名が、上記ドメイン名リスト上に含まれている場合に、当該ドメイン名に対応するサーバについて、上記サーバ認証を行うようにしてもよい。サーバ認証の結果、当該サーバの正当性が検証された場合には、さらにサーバポリシーを取得する。

コンテンツ再生中にプログラムを実行することにより、ネットワークへの接続要求が発生したときに、当該プログラムに含まれる接続先のドメイン名が、上記ドメイン名リスト上に含まれている場合、当該ドメイン名に対応するサーバのサーバ認証フラグが「１」で、且つ当該サーバから取得した、ディスク認証を要求するサーバポリシーがサーバポリシーテーブルに記憶されているとき、当該ドメイン名に対応するサーバ（リダイレクトがなされているときには最終のリダイレクト先のサーバ）へディスク認証を要求し、ディスク認証を行う（ステップＳ２３〜ステップＳ３４）。

接続先管理部２１は、ディスク検出部１１でディスクの挿入が検出されたときに、当該ディスクの特定領域からドメイン名を読み出し、接続先管理テーブルに当該ドメイン名を記憶するが、その後、ディスク検出部１１が当該ディスクの取り出しを検出したら、接続先管理部２１は、接続先管理テーブルから、当該ドメイン名およびリダイレクトがなされている場合には、リダイレクト先の全てのドメイン名を削除する。また、当該ディスクがコンテンツ再生装置１００に挿入されている間に、ネットワーク接続要求が検知されて、接続先管理テーブルに記憶されているドメイン名に対応するサーバおよびリダイレクトがなされている場合にはリダイレクト先のサーバへ接続した後、何らかの理由で、当該サーバとの間の通信が切断した場合には、接続先管理テーブルから、全てのドメイン名を削除する。さらに、接続先管理テーブルに記憶されているサーバ認証フラグ及びディスク認証フラグが「１」であるときには、それらを「０」に書き換えてもよい。

上記実施形態に係るコンテンツ再生装置によれば、プログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から、アクセスを許可するサーバを示す識別子を読み出して、当該識別子に対応するサーバの正当性を検証する。正当性の検証されたサーバからは、ネットワーク上のアクセス許可する他のサーバへのアクセスを指示する第１のサーバポリシー、記録媒体の正当性の検証を要求する第２のサーバポリシー及び当該サーバへの接続方法を指定する第３のサーバポリシーのうちの少なくとも１つを受信し、記録媒体の再生、実行中に接続要求が検知された場合には、受信されたサーバポリシーに従って、サーバへのアクセス制御を行うことにより、ディスクの再生・実行中に接続するサーバをディスク上の特定領域に記憶されたドメイン名に対応するサーバ（リダイレクトがなされた場合には最終のリダイレクト先のサーバ）に限定すること、当該サーバへの接続方法を限定すること、サーバへ接続できるディスクを正当性の検証されたディスクに限定することなどが容易に制御でき、もって、ディスク上の改竄されたプログラムを実行した場合の不正なネットワークへのアクセスを回避することができる。

ネットワーク上のサーバおよびディスクの正当性を検証するため、ディスク上のコンテンツに関連した映像情報を、インターネットを介して安心して取得、再生することが可能となる。また、接続できるサーバを限定することで、悪意を持って作成された危険なコンテンツが不特定多数のサーバへ接続することができなくなるため、ＤＤｏＳ攻撃の踏み台となることを避けることができる。このため、危険なコンテンツを再生することによる被害を回避するだけでなく、他のサーバへの攻撃の加害者となることも回避できる。

本発明の実施の形態に記載した本発明の手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フレキシブルディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、半導体メモリなどの記録媒体に格納して頒布することもできる。

例えば、映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、予め定められた特定の記憶領域に、ネットワーク上のサーバを示す識別子を記憶する記録媒体に記憶されたコンテンツデータを再生・実行する再生・実行手段（ディスク制御部１、再生・実行制御部３）、記憶手段、通信部４を備えたコンピュータに、ネットワークアクセス制御部２、ストレージ制御部６の機能を実現させるためのプログラムを、当該コンピュータが実行することにより、図１のコンテンツ再生装置が実現可能である。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

本発明の実施形態に係るコンテンツ再生装置の構成例を示した図。 サーバ認証処理動作（ディスク挿入時に行うサーバ認証）を説明するためのフローチャート。 サーバ認証に用いられる認証手順の一例を示した図。 リダイレクト回数の制限方法について説明するためのフローチャート。 ディスク認証処理動作を説明するためのフローチャート。 他のディスク認証処理動作を説明するためのフローチャート。 他のサーバ認証処理動作（ネットワーク接続要求が発生したときに行うサーバ認証）を説明するためのフローチャート。 さらに他のサーバ認証処理動作（ネットワーク接続要求が発生したときに行うサーバ認証）を説明するためのフローチャート。 ディスク再生時にネットワーク接続要求が発生したときのコンテンツ再生装置の処理動作を説明するためのフローチャート。 接続先管理部に記憶されている接続先管理テーブルの一例を示した図。 サーバポリシーを記憶するテーブルの一例を示した図。 リダイレクト処理について説明するための図。 ２回リダイレクトした後の接続先管理部に記憶されている接続先管理テーブルの一例を示した図。 ２回目にリダイレクト先のサーバから取得したサーバポリシーの記憶例を示した図。

符号の説明

１…ディスク制御部、２ネットワークアクセス制御部、３…再生・実行制御部、４…通信部、５…ストレージ制御部、６…記憶装置、１１…ディスク検出部、１２…ディスク読み出し部、２１…接続先管理部、２２…接続先検証部、２３…サーバ認証部、２４…ディスク認証部、２５…サーバポリシー管理部、１００…コンテンツ再生装置、１０１…サーバ。

Claims (18)

1. 映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
   前記記録媒体から前記アクセスを許可するサーバを示す識別子を読み出す読出手段と、
   前記読出手段で読み出された識別子を含むネットワーク上のアクセス許可するサーバの識別子を記憶する記憶手段と、
   前記記録媒体から読み出された識別子に対応するサーバ、及びネットワーク上のアクセス許可する他のサーバへのアクセスを指示するサーバポリシーにより指定された当該他のサーバの正当性を検証するサーバ検証手段と、
   前記サーバ検証手段で正当性の検証されたサーバから、前記サーバポリシーを受信する受信手段と、
   前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証する識別子検証手段と、
   少なくとも前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ前記サーバポリシーにより指定されたサーバの正当性が検証されたとき、前記接続要求を受けて、前記サーバポリシーに含まれる識別子に対応するサーバへ接続する接続手段と、
   を具備したこと特徴とするコンテンツ再生装置。
2. 映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
   前記記録媒体から前記アクセスを許可するサーバを示す識別子を読み出す読出手段と、
   前記読出手段で読み出された識別子を含むネットワーク上のアクセス許可するサーバの識別子を記憶する記憶手段と、
   前記記録媒体から読み出された識別子に対応するサーバの正当性を検証するサーバ検証手段と、
   前記サーバ検証手段で正当性の検証されたサーバから、前記記録媒体の正当性の検証を要求するサーバポリシーを受信する受信手段と、
   前記正当性の検証されたサーバで、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行う通信手段と、
   前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証する識別子検証手段と、
   前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ前記記録媒体から読み出された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記正当性の検証されたサーバへ接続する接続手段と、
   を具備したこと特徴とするコンテンツ再生装置。
3. 映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
   前記記録媒体から前記アクセスを許可するサーバを示す識別子を読み出す読出手段と、
   前記読出手段で読み出された識別子を含むネットワーク上のアクセス許可するサーバの識別子を記憶する記憶手段と、
   前記記録媒体から読み出された識別子に対応するサーバの正当性を検証するサーバ検証手段と、
   前記サーバ検証手段で正当性の検証されたサーバから、当該サーバへの接続方法を指定するサーバポリシーを受信する受信手段と、
   前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証する識別子検証手段と、
   前記接続要求が検知されたとき、前記プログラムに含まれる接続方法と前記サーバポリシーに含まれる接続方法とが一致するか否かを検証する接続方法検証手段と、
   前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ前記プログラムに含まれる接続方法と前記サーバポリシーに含まれる接続方法とが一致するとき、前記接続要求を受けて、当該接続方法により、前記正当性の検証されたサーバへ接続する接続手段と、
   を具備したこと特徴とするコンテンツ再生装置。
4. 映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
   前記記録媒体から前記アクセスを許可するサーバを示す識別子を読み出す読出手段と、
   前記読出手段で読み出された識別子を含むネットワーク上のアクセス許可するサーバの識別子を記憶する記憶手段と、
   前記記録媒体から読み出された識別子に対応するサーバ、及びネットワーク上のアクセス許可する他のサーバへのアクセスを指示する第１のサーバポリシーにより指定された当該他のサーバの正当性を検証するサーバ検証手段と、
   前記サーバ検証手段で正当性の検証されたサーバから、前記第１のサーバポリシー、前記記録媒体の正当性の検証を要求する第２のサーバポリシー及び当該サーバへの接続方法を指定する第３のサーバポリシーのうちの少なくとも１つのサーバポリシーを受信する受信手段と、
   前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証する識別子検証手段と、
   少なくとも、前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ前記記録媒体から読み出された識別子に対応するサーバの正当性が検証されたとき、前記接続要求を受けて、前記正当性の検証されたサーバへ接続する接続手段と、
   を具備したこと特徴とするコンテンツ再生装置。
5. 前記第１のサーバポリシーが受信された場合には、前記接続手段は、さらに前記第１のサーバポリシーにより指定されたサーバの正当性が検証されたとき、前記接続要求を受けて、前記第１のサーバポリシーにより指定されたサーバへ接続することを特徴とする請求項４記載のコンテンツ再生装置。
6. 前記サーバ検証手段で正当性の検証されたサーバで、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行う通信手段をさらに具備し、
   前記第２のサーバポリシーが受信された場合には、前記接続手段は、さらに前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記正当性の検証されたサーバへ接続することを特徴とする請求項４記載のコンテンツ再生装置。
7. 前記接続要求が検知されたとき、前記プログラムに含まれる接続方法と前記第３のサーバポリシーに含まれる接続方法とが一致するか否かを検証する接続方法検証手段をさらに具備し、
   前記第３のサーバポリシーが受信された場合には、前記接続手段は、さらに、前記プログラムに含まれる接続方法と前記第３のサーバポリシーに含まれる接続方法とが一致するとき、前記接続要求を受けて、前記正当性の検証されたサーバへ接続することを特徴とする請求項４記載のコンテンツ再生装置。
8. 前記受信手段で前記正当性の検証された各サーバから受信した前記サーバポリシーの数をカウントするカウンタをさらに具備し、
   前記カウンタの値が予め定められた閾値以内のとき、前記サーバ検証手段は前記受信手段で受信されたサーバポリシーにより指定されたサーバの正当性を検証することを特徴とする請求項１記載のコンテンツ再生装置。
9. 前記受信手段で前記正当性の検証された各サーバから受信した前記第１のサーバポリシーの数をカウントするカウンタをさらに具備し、
   前記カウンタの値が予め定められた閾値以内のとき、前記サーバ検証手段は前記受信手段で受信された第１のサーバポリシーにより指定されたサーバの正当性を検証することを特徴とする請求項４記載のコンテンツ再生装置。
10. 前記正当性の検証されたサーバに対し、前記記録媒体が前記再生・実行手段に挿入された日時あるいは前記再生・実行手段で前記記録媒体の再生を開始した日時を通知する手段と、
    前記接続手段で接続されたサーバから、前記日時に基づき選択されたデータを受信する手段と、
    をさらに具備したことを特徴とする請求項１乃至４のいずれか１つに記載のコンテンツ再生装置。
11. 映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
    記憶手段と、
    を備えたコンテンツ再生装置におけるコンテンツ再生方法において、
    前記記録媒体から前記アクセスを許可するサーバを示す識別子を読み出す第１のステップと、
    前記第１のステップで読み出された識別子を記憶手段で記憶する第２のステップと、
    前記記録媒体から読み出された識別子に対応するサーバの正当性を検証する第３のステップと、
    正当性の検証されたサーバから、ネットワーク上のアクセス許可する他のサーバへのアクセスを指示する第１のサーバポリシーを受信する第４のステップと、
    前記第４のステップで受信された第１のサーバポリシーにより指定されたサーバの正当性を検証する第５のステップと、
    前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証する検証ステップと、
    少なくとも前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ前記第１のサーバポリシーにより指定されたサーバの正当性が検証されたとき、前記接続要求を受けて、前記第１のサーバポリシーに含まれる識別子に対応するサーバへ接続する接続ステップと、
    を有することを特徴とするコンテンツ再生方法。
12. 前記第５のステップで正当性の検証されたサーバから、前記記録媒体の正当性の検証を要求する第２のサーバポリシーを受信するステップと、
    前記第５のステップで正当性の検証されたサーバで、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行うステップと、
    をさらに有し、
    前記接続ステップは、さらに前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記第１のサーバポリシーに含まれる識別子に対応するサーバへ接続することを特徴とする請求項１１記載のコンテンツ再生方法。
13. 前記第５のステップで正当性の検証されたサーバから、当該サーバへの接続方法を指定する第３のサーバポリシーを受信するステップと、
    前記接続要求が検知されたとき、前記プログラムに含まれる接続方法と前記第３のサーバポリシーに含まれる接続方法とが一致するか否かを検証するステップと、
    をさらに有し、
    前記接続ステップは、さらに、前記プログラムに含まれる接続方法と前記サーバポリシーに含まれる接続方法とが一致するとき、前記接続要求を受けて、前記第１のサーバポリシーに含まれる識別子に対応するサーバへ接続することを特徴とする請求項１１記載のコンテンツ再生方法。
14. 映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
    記憶手段と、
    を備えたコンテンツ再生装置におけるコンテンツ再生方法において、
    前記記録媒体から前記アクセスを許可するサーバを示す識別子を読み出す第１のステップと、
    前記第１のステップで読み出された識別子を記憶手段で記憶する第２のステップと、
    前記記録媒体から読み出された識別子に対応するサーバの正当性を検証する第３のステップと、
    正当性の検証されたサーバから、前記記録媒体の正当性の検証を要求するサーバポリシーを受信する第４のステップと、
    前記正当性の検証されたサーバで、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行う第５のステップと、
    前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証する第６のステップと、
    前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ前記記録媒体から読み出された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記正当性の検証されたサーバへ接続する第７のステップと、
    を有することを特徴とするコンテンツ再生方法。
15. 映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
    記憶手段と、
    を備えたコンテンツ再生装置におけるコンテンツ再生方法において、
    前記記録媒体から前記アクセスを許可するサーバを示す識別子を読み出す第１のステップと、
    前記第１のステップで読み出された識別子を記憶手段で記憶する第２のステップと、
    前記記録媒体から読み出された識別子に対応するサーバの正当性を検証する第３のステップと、
    正当性の検証されたサーバから、当該サーバへの接続方法を指定するサーバポリシーを受信する第４のステップと、
    前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証する第５のステップと、
    前記接続要求が検知されたとき、前記プログラムに含まれる接続方法と前記サーバポリシーに含まれる接続方法とが一致するか否かを検証する第６のステップと、
    前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ前記プログラムに含まれる接続方法と前記サーバポリシーに含まれる接続方法とが一致するとき、前記接続要求を受けて、当該接続方法により、前記正当性の検証されたサーバへ接続する第７のステップと、
    を有することを特徴とするコンテンツ再生方法。
16. 映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
    記憶手段と、
    を備えたコンピュータに、
    前記記録媒体から前記アクセスを許可するサーバを示す識別子を読み出す第１のステップと、
    前記第１のステップで読み出された識別子を前記記憶手段で記憶する第２のステップと、
    前記記録媒体から読み出された識別子に対応するサーバの正当性を検証する第３のステップと、
    正当性の検証されたサーバから、ネットワーク上のアクセス許可する他のサーバへのアクセスを指示するサーバポリシーを受信する第４のステップと、
    前記第４のステップで受信されたサーバポリシーにより指定されたサーバの正当性を検証する第５のステップと、
    前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証する第６のステップと、
    少なくとも前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ前記サーバポリシーにより指定されたサーバの正当性が検証されたとき、前記接続要求を受けて、前記サーバポリシーに含まれる識別子に対応するサーバへ接続する第７のステップと、
    を実行させるためのプログラム。
17. 映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
    記憶手段と、
    を備えたコンピュータに、
    前記記録媒体から前記アクセスを許可するサーバを示す識別子を読み出す第１のステップと、
    前記第１のステップで読み出された識別子を記憶手段で記憶する第２のステップと、
    前記記録媒体から読み出された識別子に対応するサーバの正当性を検証する第３のステップと、
    正当性の検証されたサーバから、前記記録媒体の正当性の検証を要求するサーバポリシーを受信する第４のステップと、
    前記正当性の検証されたサーバで、前記記録媒体上の記憶領域から読み出されたデータを用いて前記記録媒体の正当性を検証するために、当該サーバとの間で通信を行う第５のステップと、
    前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証する第６のステップと、
    前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ前記記録媒体から読み出された識別子に対応するサーバの正当性及び前記記録媒体の正当性が検証されたとき、前記接続要求を受けて、前記正当性の検証されたサーバへ接続する第７のステップと、
    を実行させるためのプログラム。
18. 映像・音声データ及びプログラムを含むコンテンツデータを記憶するとともに、ネットワーク上のアクセス許可するサーバを示す識別子を記憶する記録媒体から前記コンテンツデータを再生、実行する再生・実行手段と、
    記憶手段と、
    を備えたコンピュータに、
    前記記録媒体から前記アクセスを許可するサーバを示す識別子を読み出す第１のステップと、
    前記第１のステップで読み出された識別子を記憶手段で記憶する第２のステップと、
    前記記録媒体から読み出された識別子に対応するサーバの正当性を検証する第３のステップと、
    正当性の検証されたサーバから、当該サーバへの接続方法を指定するサーバポリシーを受信する第４のステップと、
    前記再生・実行手段で再生、実行中に前記プログラムに含まれるネットワーク上のサーバの識別子への接続要求が検知されたとき、該検知された識別子と一致する識別子が前記記憶手段で記憶されているか否かを検証する第５のステップと、
    前記接続要求が検知されたとき、前記プログラムに含まれる接続方法と前記サーバポリシーに含まれる接続方法とが一致するか否かを検証する第６のステップと、
    前記プログラムに含まれるサーバの識別子と一致する識別子が前記記憶手段で記憶され、且つ前記プログラムに含まれる接続方法と前記サーバポリシーに含まれる接続方法とが一致するとき、前記接続要求を受けて、当該接続方法により、前記正当性の検証されたサーバへ接続する第７のステップと、
    を実行させるためのプログラム。

Images