CN101547097B - 基于数字证书的数字媒体管理系统及管理方法 - Google Patents

Abstract

一种基于数字证书的数字媒体管理系统及管理方法，其由鉴别服务器为各用户端、媒体提供服务器颁发证书及对应的证书私钥，用户端根据鉴别服务器为其颁发的证书可以访问不同的媒体提供服务器，无需在每次访问一个新的媒体提供服务器时都进行注册，此外，在用户端与媒体提供服务器通过鉴别服务器验证了双方的身份之后，由媒体提供服务器向用户端分发主密钥，并推导得到二者之间通信的业务密钥，建立数字媒体数据传输的安全通道，通过该业务密钥实现数字媒体数据在安全通道中的加密传输，本发明方案中，用户端、媒体提供服务器、鉴别服务器之间在接入和鉴别过程中的通信无需经过额外的安全信道，是管理以及运营模式上的改进和突破。

Description

基于数字证书的数字媒体管理系统及管理方法 

技术领域

本发明涉及数字信息网络技术领域，涉及数字媒体管理技术，特别涉及一种基于数字证书的数字媒体管理系统及管理方法。 

背景技术

随着网络信息技术的飞速发展，数字媒体技术应用而生。由于数字媒体技术具有传输质量高、范围广、传输速度快等优势，且可以在互联网、有线电视网、无线网络等进行传输，得到了众多用户的喜爱，可以预见，数字媒体将越来越多地走入大众的日常生活，具有非常广阔的市场前景。 

在数字媒体的应用中，出于对数字媒体服务提供商的利益的考虑，应当只有合法的用户，例如经过数字媒体服务商许可的用户，才能获得和接收该数字媒体服务提供商所提供的数字媒体内容，现有技术中是通过采用“账号+密码”的方式将数字媒体内容提供给指定的某些用户，然而，由于网络的开放性，非法的用户可能截取在网络中传输的数字媒体数据，侵害该数字媒体服务提供商以及合法用户的利益，此外，非法的入侵者可能通过在互联网等有线网络以及无线网络中通过伪造成数字媒体服务器、插入分发非法的数字媒体来侵害合法用户的利益，而用户无法得知向其提供数字媒体资源服务的数字媒体服务器的合法性，甚至于可能影响用户对从网络获取数字媒体资源的信任程度，影响数字媒体技术领域的长远发展。另外，目前的数字媒体应用尚未规模化，现有技术中的这种对数字媒体的管理方式虽然能够在一定程度上解决数字媒体资源在分发、传输中的管理，但是不具有对大规模数字媒体网络的管理能力，在规模化的数字媒体网络中，将存在不同的数字媒体服务提供商建立的不同的数字媒体服务器，从长远发展趋势而言，数字媒体提供服务器的增多势必会在一定程度上增加监管机构的监管难度，因此，建立一个统一的管理机构对各个数字媒体服务提供商和用户进行统一的认证和管理成为一种发展趋势，现有技术中尚 未有一个统一的数字媒体管理系统及管理方法对各个数字媒体服务提供商和各个用户进行统一管理。 

发明内容

针对上述现有技术中存在的问题，本发明的目的在于提供一种基于数字证书的数字媒体管理系统以及管理方法，其可以实现用户端与媒体提供服务器之间的相互、双向的认证鉴别，提高用户端与媒体提供服务器之间的数字媒体应用的安全性，且可以实现对用户端与媒体提供服务器的统一认证过程。 

为达到上述目的，本发明采用以下技术方案： 

一种基于数字证书的数字媒体管理系统，包括鉴别服务器、媒体提供服务器、以及用户端： 

所述鉴别服务器，用于为所述媒体提供服务器颁发媒体提供服务器证书及对应的媒体提供服务器证书私钥，为所述用户端颁发用户端证书及对应的用户端证书私钥，将对应的媒体提供服务器身份信息、用户端身份信息予以储存，接收所述媒体提供服务器发送的鉴别请求消息，生成鉴别响应消息，用鉴别服务器证书私钥对该鉴别响应消息签名后向所述媒体提供服务器发送，所述媒体提供服务器证书包括媒体提供服务器证书公钥和所述媒体提供服务器身份信息，所述用户端证书包括用户端证书公钥和所述用户端身份信息； 

所述用户端，用于根据所述用户端证书、所生成的用户端新鲜性标识构建接入请求消息，用所述用户端证书私钥对该接入请求消息签名后向所述媒体提供服务器发送，接收所述媒体提供服务器发送的接入响应消息，根据所述接入响应消息中的主密钥、所述用户端新鲜性标识、媒体提供服务器新鲜性标识产生消息鉴别密钥和业务密钥，根据所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识生成接入确认消息，根据所述消息鉴别密钥、所述接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附加在所述接入确认消息后向所述媒体提供服务器发送； 

所述媒体提供服务器，用于接收所述接入请求消息，根据所述用户端证书、所述媒体提供服务器证书、所述用户端新鲜性标识、生成的所述媒体提供服务器新鲜性标识构建所述鉴别请求消息，并用所述媒体提供服务器证书私钥对该鉴别请求消息签名后向所述鉴别服务器发送，接收所述鉴别响应消息，根据所述鉴别响应消息、所述媒体提供服务器证书、所述主密钥构建接入响应消息，并用所述媒体提供服务器证书私钥对该接入响应消息签名后向所述用户端发送，接收所述接入确认消息，并验证所述接入确认消息的有效性； 

所述用户端新鲜性标识，用于标识当前发起的请求是新请求；所述媒体提供服务器新鲜性标识，用于标识当前发起的请求是新请求。 

一种基于数字证书的数字媒体管理系统的管理方法，所述数字媒体管理系统包括鉴别服务器、媒体提供服务器以及用户端，所述管理方法包括步骤： 

所述鉴别服务器为所述媒体提供服务器颁发媒体提供服务器证书、媒体提供服务器证书私钥，为所述用户端颁发用户端证书、用户端证书私钥； 

所述用户端产生用户端新鲜性标识并予以储存，并根据用户端信息、所述用户端证书、所述用户端新鲜性标识生成接入请求消息，并用所述用户端证书私钥对该接入请求消息签名后向所述媒体提供服务器发送； 

所述媒体提供服务器接收用所述用户端证书私钥签名的所述接入请求消息，产生媒体提供服务器新鲜性标识并予以储存，根据所述用户端证书、所述媒体提供服务器证书、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识组成鉴别请求消息，并用所述媒体提供服务器证书私钥对所述鉴别请求消息签名后向所述鉴别服务器发送； 

所述鉴别服务器接收用所述服务器证书私钥签名的所述鉴别请求消息，验证所述鉴别请求消息的有效性，根据验证结果构建鉴别响应消息，并用鉴别服务器证书私钥对该鉴别响应消息签名后向所述媒体提供服务器发送； 

所述媒体提供服务器接收所述鉴别响应消息，验证所述鉴别响应消息的有效性，产生随机数主密钥，根据所述主密钥、所述鉴别响应消息、所述媒体提供服务器证书构造接入响应消息，并用所述媒体提供服务器证书私钥对该接入响应消息签名后向所述用户端发送； 

所述用户端接收所述接入响应消息，验证所述接入响应消息的有效性，并根据所述主密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识推导生成消息鉴别密钥和业务密钥，构建接入确认消息，使用所述消息鉴别密钥、所述接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附于所述接入确认消息后向所述媒体提供服务器发送； 

所述媒体提供服务器接收所述接入确认消息，根据所述主密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识推导生成所述消息鉴别密钥和所述业务密钥，并根据所述消息鉴别密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识、所述主密钥信息判断所述接入确认消息的有效性； 

所述用户端新鲜性标识，用于标识当前发起的请求是新请求；所述媒体提供服务器新鲜性标识，用于标识当前发起的请求是新请求。 

根据上述本发明的方案，其由第三方机构鉴别服务器统一为各用户端、媒体提供服务器颁发证书及对应的证书私钥，用户端根据鉴别服务器为其颁发的证书，可以以同一个身份访问不同的数字媒体服务提供商的媒体提供服务器，无需在每次访问一个新的媒体提供服务器时都进行注册，因此，用户可以在不进行多余的注册操作的情况下即可享受不同的媒体提供服务器所提供的数字媒体服务，此外，在用户端接入网络时，由鉴别服务器对用户端与媒体提供服务器的身份进行认证，实现统一认证过程，使得用户端、媒体提供服务器二者的身份均得到了认证，避免了非法的数字媒体服务提供者向用户提供非法的数字媒体内容，并避免了非法的用户获得合法的数字媒体内容，提高了用户端与媒体提供服务器之间的数字媒体应用的安全性，另外，根据本发明的方案，媒体提供服务器具有独立的身份，从而使得媒体提供服务器的身份可被区分，方便管理机构的监管，同时，用户端、媒体提供服务器、鉴别服务器之间在接入和鉴别过程中的通信无需经过额外的安全信道，这相对于日益广泛的数字媒体技术领域来说，是管理以及运营模式上的改进和突破。 

附图说明

图1是本发明的数字媒体管理系统实施例一的总体结构示意图； 

图2是本发明的数字媒体管理系统实施例二的总体结构示意图； 

图3是本发明具体实施例一中的数字媒体管理系统的结构示意图； 

图4是本发明具体实施例二中的数字媒体管理系统的结构示意图。 

具体实施方式

本发明的基于数字证书的数字媒体管理系统，通过鉴别服务器统一实现对用户端、媒体提供服务器的证书以及与该证书对应的证书私钥的颁发，实现对用户端、媒体提供服务器的状态维护、证书验证以及用户端和媒体提供服务器的身份有效性的管理。 

参见图1所示，是本发明的基于数字证书的数字媒体管理系统实施例一中的总体结构示意图，其包括有鉴别服务器、与该鉴别服务器连接的媒体提供服务器以及与该媒体提供服务器连接的用户端，其中，媒体提供服务器可通过互联网或者专用网络接入鉴别服务器，该媒体提供服务器主要用于为用户端提供相关数字媒体资源并进行控制，用户端可通过有线或者无线网络方式连接到媒体提供服务器，该用户端可以是手机、PC机、笔记本电脑等设备或软件。 

参见图2所示，是本发明的基于数字证书的数字媒体管理系统实施例二的总体结构示意图，其包括有鉴别服务器、与该鉴别服务器相连接的多个媒体提供服务器、以及与各媒体提供服务器连接的至少一个用户端，其中，媒体提供服务器可通过互联网或者专用网络接入鉴别服务器，该媒体提供服务器主要用于为用户端提供相关数字媒体资源并进行控制，用户端可通过有线或者无线网络方式连接到媒体提供服务器，且用户端可以接入多个不同的媒体提供服务器，该用户端可以是手机、PC机、笔记本电脑等设备或软件。 

根据本发明的数字媒体管理系统，其中： 

鉴别服务器，用于为媒体提供服务器颁发用鉴别服务器证书私钥签名的媒体提供服务器证书及对应的媒体提供服务器证书私钥，为用户端颁发用鉴别服务器证书私钥签名的用户端证书及对应的用户端证书私钥，并将该媒体提供服务器证书对应的媒体提供服务器身份信息、该用户端证书对应的用户端身份信息予以储存，该身份信息可以是证书颁发者信息、证书持有者信息、该证书编 码等信息，并根据鉴别服务器证书私钥、媒体提供服务器证书、用户端证书对媒体提供服务器所发送的鉴别请求消息进行有效性验证，生成鉴别响应消息，并用鉴别服务器证书私钥对该鉴别响应消息签名后向媒体提供服务器发送，其中，媒体提供服务器证书中包括有媒体提供服务器证书公钥以及上述媒体提供服务器身份信息，用户端证书中包括有用户端证书公钥以及上述用户端身份信息； 

用户端，用于产生用户端新鲜性标识信息，该用户端新鲜性标识可以是时戳、随机数或顺序号等可以用来标识是新发起的请求的标识性信息，通常可以将随机数作为该用户端新鲜性标识，并根据用户端信息、用户端证书、该用户端新鲜性标识生成接入请求信息，并在使用用户端证书私钥对该接入请求消息签名后向媒体提供服务器发送，同时，该用户端还接收媒体提供服务器发送的接入响应消息，根据鉴别服务器证书公钥、媒体提供服务器证书公钥以及上述用户端新鲜性标识判断该接入响应消息的有效性，并根据媒体提供服务器产生的主密钥和媒体提供服务器新鲜性标识、以及用户端新鲜性标识产生消息鉴别密钥和业务密钥，根据用户端身份信息、媒体提供服务器身份信息、用户端新鲜性标识、媒体提供服务器新鲜性标识、接入响应消息中的主密钥信息生成接入确认消息，根据所述消息鉴别密钥、该接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附加于所述接入确认消息后向所述媒体提供服务器发送； 

媒体提供服务器，用于接收并解析用户端发送的所述接入请求消息，根据用户端证书公钥、鉴别服务器证书公钥验证该接入请求消息签名的有效性，生成媒体提供服务器新鲜性标识，该媒体提供服务器新鲜性标识可以是时戳、随机数或顺序号等可以用来标识是新发起的请求的标识性信息，通常可以将随机数作为该媒体提供服务器新鲜性标识，并根据用户端证书、媒体提供服务器证书、用户端新鲜性标识、该媒体提供服务器新鲜性标识构建鉴别请求消息，并用媒体提供服务器证书私钥对该鉴别请求消息签名后向鉴别服务器发送，同时，该媒体提供服务器还接收鉴别服务器发送的鉴别响应消息，根据鉴别服务器证书公钥、用户端新鲜性标识、媒体提供服务器新鲜性标识验证鉴别服务器所发 送的该鉴别响应消息的有效性，产生主密钥，使用用户端证书公钥对该主密钥加密形成主密钥密文，根据该鉴别响应消息、媒体提供服务器证书、该主密钥密文、相关主密钥信息构建接入响应消息，并在用媒体提供服务器证书私钥对该接入响应消息签名后向用户端发送，接收用户端发送的接入确认消息，并根据主密钥、用户端新鲜性标识、媒体提供服务器新鲜性标识、主密钥信息验证该接入确认消息的有效性； 

参见图3所示，是本发明具体实施例一中的基于数字证书的数字媒体管理系统的具体结构示意图，如图所示，在本实施例中： 

本实施例中的鉴别服务器具体包括： 

第三注册模块，用于接收所述媒体提供服务器、所述用户端的注册请求消息，为所述媒体提供服务器颁发用鉴别服务器证书私钥签名的所述媒体提供服务器证书以及对应的所述媒体提供服务器证书私钥，为所述用户端颁发用鉴别服务器证书私钥签名的所述用户端证书以及对应的所述用户端证书私钥； 

与所述第三注册模块连接的第三存储模块，用于储存所述鉴别服务器证书、所述鉴别服务器证书私钥、所述媒体提供服务器证书、所述用户端证书、所述媒体提供服务器身份信息、所述用户端身份信息、以及注册请求消息中的相关信息，例如用户端身份信息、媒体提供服务器身份信息等等； 

与所述第三存储模块、所述媒体提供服务器连接的有效性验证模块，用于接收所述媒体提供服务器发送的所述鉴别请求消息，根据所述鉴别服务器证书私钥、所述媒体提供服务器证书、所述用户端证书对所述鉴别请求消息进行有效性验证，生成鉴别响应消息，并用所述鉴别服务器证书私钥对所述鉴别响应消息签名后向所述媒体提供服务器发送； 

本实施例中的媒体提供服务器具体包括： 

第二存储模块，用于储存所述鉴别服务器证书、所述媒体提供服务器证书、所述媒体提供服务器证书私钥、所述用户端证书、所述主密钥、所述消息鉴别 密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识、业务密钥、数字媒体资源等信息； 

与所述鉴别服务器、所述用户端、所述第二存储模块连接的第二接入处理模块，用于接收并解析所述用户端发送的所述接入请求消息，构建鉴别请求消息并向所述鉴别服务器发送，接收并解析所述鉴别服务器发送的所述鉴别响应消息，构建接入响应消息，接收并解析所述用户端发送的所述接入确认消息，根据所述主密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识、生成所述消息鉴别密钥和业务密钥，并向业务管理模块发送向用户端打开数字媒体资源平台的消息； 

与所述用户端、所述第二存储模块、所述第二接入处理模块连接的业务管理模块，用于接收向用户端打开数字媒体资源平台的消息，向所述用户端打开数字媒体资源平台，接收并处理用户端发送的业务请求消息； 

与所述用户端、所述第二存储模块、所述业务管理模块连接的资源发送模块，用于从所述第二存储模块中读取数字媒体资源，并用所述业务密钥对该数字媒体资源加密后向所述用户端发送。 

本实施例中的用户端具体包括： 

第一存储模块，用于储存所述鉴别服务器证书、所述媒体提供服务器证书、所述用户端证书、所述用户端证书私钥、所述主密钥、所述消息鉴别密钥、业务密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识等信息； 

与所述媒体提供服务器、所述第一存储模块连接的第一接入处理模块，用于向所述媒体提供服务器发送所述接入请求消息，接收并解析所述媒体提供服务器发送的所述接入响应消息，根据接入响应消息构建接入确认消息，根据所述主密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识推导生成所述消息鉴别密钥和业务密钥，根据所述消息鉴别密钥、所述接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附加于所述接入确认消息后向媒体提供服务器发送； 

与所述媒体提供服务器、所述第一存储模块连接的业务请求模块，用于根据用户所选择的相关媒体资源信息构建业务请求消息，并将该业务请求消息向媒体提供服务器发送； 

与所述媒体提供服务器、所述第一存储模块连接的资源接收模块，用于接收所述媒体提供服务器发送的所述加密的数字媒体资源，并对该加密的数字媒体资源进行解密，解密后的数字媒体资源提供给用户进行使用。 

参见图4所示，是本发明具体实施例二中的基于数字证书的数字媒体管理系统的具体结构示意图。 

在本实施例中，考虑到对于不同的数字媒体的服务提供商而言，所采用的安全性策略可能有所不同，可以采用不同的注册方式，例如：对于某些数字媒体的服务提供商而言，其要求具备相当高的安全性，因此，其可能需要要求用户人工到相应的注册机构进行注册，获得相关的用户端证书以及对应的证书私钥，而对于其他的某些数字媒体的服务提供商而言，可能只要求用户通过网络进行注册获得相关的用户端证书及对应的证书私钥即可，因此，本实施例中，在媒体提供服务器中增加了第二注册模块，在用户端增加了第一注册模块，以满足这类数字媒体服务提供商的注册需求。 

基于上述考虑，如图所示，在本实施例中，与上述实施例一中的不同之处主要在于： 

本实施例中的媒体提供服务器还包括： 

与所述用户端、所述鉴别服务器、所述第二存储模块连接的第二注册模块，用于向所述鉴别服务器发送媒体提供服务器注册请求消息，向所述鉴别服务器申请媒体提供服务器证书、媒体提供服务器证书私钥，并将所述鉴别服务器所颁发的媒体提供服务器证书、媒体提供服务器证书私钥发送至所述第二存储模块予以储存， 

所述媒体提供服务器的第二注册模块还用于将接收到的所述用户端发送的 用户端注册请求消息向所述鉴别服务器转发； 

本实施例中的用户端还包括： 

与所述媒体提供服务器、所述第一存储模块连接的第一注册模块，用于通过所述媒体提供服务器向所述鉴别服务器发送用户端注册请求消息，并将鉴别服务器所颁发的所述用户端证书、所述用户端证书私钥发送至所述第一存储模块予以储存。 

本实施例中的其他技术特征与上述实施例一中的相同，在此不予赘述。 

以下针对本发明的基于数字证书的数字媒体管理系统的管理流程进行详细描述。 

在具体应用本发明的数字媒体管理系统进行管理时，各媒体提供服务器、各用户端应首先向鉴别服务器申请颁发证书及对应的证书私钥。其中，该鉴别服务器本地持有一个鉴别服务器证书，该鉴别服务器证书的私钥用于对颁发给媒体提供服务器、用户端的证书进行签名，并维护证书有效性的相关信息，例如吊销列表等等。 

在进行具体注册时，如上所述，由于各数字媒体的服务提供商所采用的安全性策略的不同，可以采用不同的注册方式，例如：对于某些数字媒体的服务提供商而言，其可能会要求用户人工到相应的注册机构进行注册，获得相关的证书以及对应的证书私钥，对于这一类型的注册方式在此不予多加赘述，而对于其他的某些数字媒体的服务提供商而言，可能只要求直接通过网络进行相关的注册即可。 

下面以上述实施例二中、附图4中所示的本发明的基于数字证书的数字媒体管理系统为例对通过网络进行注册的流程进行说明。 

在媒体提供服务器向鉴别服务器申请注册获得媒体提供服务器证书及对应的私钥时： 

媒体提供服务器通过第二注册模块向鉴别服务器发送媒体提供服务器注册请求消息，该媒体提供服务器注册请求消息中可包括有媒体提供服务器身份信息等信息； 

鉴别服务器的第三注册模块接收到该媒体提供服务器注册请求消息后，为该媒体提供服务器颁发用鉴别服务器证书私钥签名的媒体提供服务器证书及对应的媒体提供服务器证书私钥，该媒体提供服务器证书中包括有媒体提供服务器证书公钥以及对应的媒体提供服务器身份信息，该媒体提供服务器身份信息中包括有证书颁发者、证书持有者、证书编号等信息，并将媒体提供服务器注册请求消息中的相关注册信息、以及媒体提供服务器身份信息发送至第三存储模块予以储存，并将上述媒体提供服务器证书以及对应的媒体提供服务器证书私钥、鉴别服务器证书等信息向媒体提供服务器发送； 

媒体提供服务器的第二注册模块接收到鉴别服务器发送的上述媒体提供服务器证书、媒体提供服务器证书私钥以及鉴别服务器证书等信息后，发送至第二存储模块予以储存。 

在用户端向鉴别服务器申请注册获得用户端证书及对应的私钥时： 

用户端的第一注册模块向媒体提供服务器发送用户端注册请求消息，该用户端注册请求消息中可包括有用户端身份信息等信息； 

媒体提供服务器的第二注册模块接收到所述用户端注册请求消息后，将该用户端注册请求消息向鉴别服务器转发； 

鉴别服务器的第三注册模块接收到该用户端注册请求消息后，为该用户端颁发用鉴别服务器证书私钥签名的用户端证书及对应的用户端证书私钥，该用户端证书中包括有用户端证书公钥，并将用户端注册请求消息中的相关注册信息、以及对应的用户端身份信息发送至第三存储模块予以储存，并将上述用户端证书以及对应的用户端证书私钥、鉴别服务器证书等信息向媒体提供服务器发送； 

媒体提供服务器的第二注册模块接收到上述信息后，向用户端转发，用户端的第一注册模块接收后发送至第一存储模块予以储存。 

在各媒体提供服务器、用户端已向鉴别服务器申请获得了相应的证书及对应的证书私钥之后，即可进行后续的接入鉴别、身份验证、建立业务连接等过程。 

以下以上述实施例一中、附图3中所示的本发明的基于数字证书的数字媒体管理系统为例对后续过程中的接入鉴别、身份验证、建立业务连接等管理流程进行详细举例说明。 

在用户端与媒体提供服务器之间进行数字媒体业务内容的传输之前，用户端需要接入到媒体提供服务器，用户端接入媒体提供服务器的过程是一个媒体提供服务器、用户端以及鉴别服务器之间进行消息交互的过程，其主要过程为： 

用户端接入媒体提供服务器网络，用户端的第一接入处理模块产生一个用户端新鲜性标识，该用户端新鲜性标识可用于标识当前所发送的请求是新发起的请求，该用户端新鲜性标识可以是时戳、随机数、或者是顺序号等信息，通常可以选用随机数来表示，并根据用户端信息、用户端证书、该用户端新鲜性标识等信息生成接入请求消息，并用用户端证书私钥对该接入请求消息签名后发送给需要向其提供数字媒体内容服务的媒体提供服务器； 

媒体提供服务器的第二接入处理模块接收到用户端发送的上述接入请求消息后： 

使用用户端证书公钥验证该接入请求消息签名的有效性，并从第二存储模块中读取鉴别服务器证书，使用鉴别服务器证书公钥验证该接入请求消息中用户端证书签名的有效性，若任意一个验证失败，则该用户端的接入过程失败； 

若上述验证均通过，则媒体提供服务器根据用户端信息确定该用户端的业务权限以及使用规则，确定用户端的相关信息有效，并将用户端新鲜性标识发送至第二存储模块予以储存，产生媒体提供服务器新鲜性标识并将该媒体提供服务器新鲜性标识发送至第二存储模块予以储存，该媒体提供服务器新鲜性标识可用于标识当前所发送的消息是新发起的消息，该媒体提供服务器新鲜性标识可以是时戳、随机数或顺序号等信息，通常可以选用随机数来进行表示，并根据用户端证书、媒体提供服务器证书、用户端新鲜性标识、媒体提供服务器新鲜性标识生成鉴别请求消息，并用媒体提供服务器证书私钥对该鉴别请求消息签名后向鉴别服务器发送； 

鉴别服务器接收到上述媒体提供服务器发送的上述鉴别请求消息后： 

鉴别服务器的有效性验证模块使用媒体提供服务器证书公钥验证该鉴别请求消息的签名的有效性，从第三存储模块中读取鉴别服务器证书私钥，使用鉴别服务器证书私钥验证媒体提供服务器证书以及用户端证书的签名的有效性，并通过判断媒体提供服务器证书以及用户端证书的有效期、吊销信息、使用用途、使用策略等信息，判断对应的证书的有效性； 

鉴别服务器的有效性验证模块根据上述的验证结果，构造媒体提供服务器证书验证结果、用户端证书验证结果，并使用媒体提供服务器证书验证结果、用户端证书验证结果、媒体提供服务器新鲜性标识、用户端新鲜性标识、用户端身份信息、媒体提供服务器身份信息等信息构建鉴别响应消息，并用鉴别服务器证书私钥对该鉴别响应消息签名后向媒体提供服务器发送； 

媒体提供服务器的第二接入处理模块接收到上述鉴别服务器发送的鉴别响应消息后： 

从第二存储模块中读取鉴别服务器证书，使用鉴别服务器证书公钥验证鉴 别响应消息的签名的有效性，判断鉴别响应消息中对媒体提供服务器证书、用户端证书的验证结果是否为验证有效，从第二存储模块中读取所存储的用户端新鲜性标识、媒体提供服务器新鲜性标识，并与鉴别响应消息中的用户端新鲜性标识、媒体提供服务器新鲜性标识进行比较，判断一致性，并判断鉴别响应消息中的媒体提供服务器身份信息、用户端身份信息与所储存的媒体提供服务器身份信息、用户端身份信息是否相同，若上述任意一项验证未通过，则用户端的接入过程失败； 

若上述验证均通过，该媒体提供服务器的第二接入处理模块产生随机数主密钥，使用用户端证书公钥对该主密钥进行加密得到主密钥密文，并将该主密钥或者主密钥密文与主密钥信息进行绑定，主密钥信息包括有主密钥的索引等信息，并使用鉴别响应消息、媒体提供服务器证书、主密钥密文、主密钥信息等信息构造接入响应消息，并用媒体提供服务器证书私钥对该接入响应消息签名后向用户端发送； 

用户端的第一接入处理模块在接收到上述媒体提供服务器发送的上述接入响应消息后： 

从第一存储模块中读取鉴别服务器证书，使用鉴别服务器证书公钥验证该接入响应消息中鉴别响应消息的签名的有效性，使用媒体提供服务器证书公钥验证该接入响应消息的签名的有效性，其中，在该步骤中，在不要求较高的验证效率的情况下，也可以是先验证接入响应消息的签名的有效性，再验证鉴别响应消息的签名的有效性，该第一接入处理模块还判断鉴别响应消息中用户端证书、媒体提供服务器证书的验证结果是否为有效，从第一存储模块中读取用户端新鲜性标识，判断其与接入响应消息中的用户端新鲜性标识是否一致，判断鉴别响应消息中的用户端身份信息、媒体提供服务器身份信息与所存储的用户端身份信息、媒体提供服务器身份信息是否一致，是上述任意一项的验证未通过，则接入过程失败； 

若上述验证均通过，则用户端的第一接入处理模块从第一存储模块中读取用户端证书私钥，使用用户端证书私钥对所述主密钥密文进行解密，获得所述主密钥，并将对应的主密钥信息发送至第一存储模块予以储存，该第一接入处理模块根据主密钥、用户端新鲜性标识、媒体提供服务器新鲜性标识推导出消息鉴别密钥和业务密钥，使用用户端身份信息、媒体提供服务器身份信息、用户端新鲜性标识、媒体提供服务器新鲜性标识以及主密钥信息等信息构建接入确认消息，并使用上述消息鉴别密钥、该接入确认消息计算得出接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附加在所述接入确认消息后向媒体提供服务器发送； 

其中，上述根据主密钥、用户端新鲜性标识、媒体提供服务器新鲜性标识推导出消息鉴别密钥和业务密钥的过程可以是通过预先设定的函数来进行，根据所选用的函数的不同，可以有不同的推导方式，此外，该所选用的函数应当是不可逆(单向)函数，使得推导出消息鉴别密钥的过程是不可逆(单向)的，以避免非法侵入用户根据消息鉴别密钥和业务密钥反推导出对应的相关信息，提高安全性； 

媒体提供服务器的第二接入处理模块接收到上述用户端发送的上述接入确认消息后： 

利用主密钥、用户端新鲜性标识、媒体提供服务器新鲜性标识推导出消息鉴别密钥和业务密钥，根据该消息鉴别密钥、所接收的上述接入确认消息计算得出接入确认消息的消息鉴别码，并比较该计算出的接入确认消息的消息鉴别码与附加于接入确认消息中的接入确认消息的消息鉴别码的一致性，若不一致，则接入过程失败，若一致，第二接入处理模块从第二存储模块读取所存储的用户端新鲜性标识、媒体提供服务器新鲜性标识，并将其分别与接入确认消息中的用户端新鲜性标识、媒体提供服务器新鲜性标识进行比较，确定一致性，并判断媒体提供服务器的身份信息、用户端的身份信息与第二存储模块所存储的 是否一致、主密钥信息与第二存储模块中所存储的是否相同，若上述任意一项验证未通过，则接入过程失败； 

若上述验证均通过，则第二接入模块向业务管理模块发送打开数字媒体资源平台的消息。 

至此，用户端成功接入至媒体提供服务器，完成了用户端与媒体提供服务器二者之间的双向的身份鉴别，同时也完成了用户端与媒体提供服务器之间的主密钥的同步。 

在上述媒体提供服务器向用户端打开了数字媒体资源平台之后，用户端即可根据自己的需求选择相应的数字媒体资源： 

用户端的业务请求模块根据所选择的数字媒体资源信息，构造生成使用所述业务密钥加密的业务请求消息，并使用该业务请求消息、所述消息鉴别密钥计算业务请求消息的消息鉴别码，并将该业务请求消息的消息鉴别码附于所述业务请求消息后向所述媒体提供服务器发送； 

媒体提供服务器的业务管理模块接收到上述业务请求消息后，根据所述消息鉴别密钥、所接收到的业务请求消息计算业务请求消息的消息鉴别码，判断该计算所得的业务请求消息的消息鉴别码与附加于所述业务请求消息的业务请求消息的消息鉴别码的一致性，若不一致，则丢弃该业务请求消息，若一致，读取第二存储模块中的业务密钥，使用该业务密钥对业务请求消息进行解密，并解析获得解密后的业务请求消息中的数字媒体资源信息，并根据该数字媒体资源信息在所述第二存储模块中搜索对应的数字媒体资源； 

媒体提供服务器的第二存储模块搜索得到对应的数字媒体资源后，将搜索得到的数字媒体资源发送给资源发送模块，资源发送模块使用业务密钥对该数字媒体资源进行加密后，向用户端发送； 

用户端的资源接收模块接收上述媒体提供服务器发送的加密的数字媒体资 源，从第一存储模块中读取业务密钥，并使用该业务密钥对该加密的数字媒体资源进行解密，随后即可使用该解密后的数字媒体资源。 

其中，在上述流程中，在媒体提供服务器的业务管理模块解析获得业务数字媒体资源信息后，还可以向资源发送模块发送相关的消息，例如：将第二存储模块搜索所得的数字媒体资源发送给对应的客户端，或者是在指定时刻将数字媒体资源发送给对应的客户端，或者是搜索所得的数字媒体资源所处的位置等等，根据选择方式的不同，所发送的消息不尽相同。 

此外，根据需要，用户端的资源接收模块在接收到上述媒体提供服务器发送的数字媒体资源后，还可以将该数字媒体资源发送至第一存储模块予以储存。 

根据以上阐述，本发明的基于数字证书的数字媒体管理系统，其由鉴别服务器统一为各用户端、媒体提供服务器颁发证书及对应的证书私钥，用户端根据鉴别服务器为其颁发的证书可以访问不同的媒体提供服务器，无需在每次访问一个新的媒体提供服务器时都进行注册过程，因此，用户可以在不进行多余的注册操作即可获得不同的媒体提供服务器所提供的数字媒体资源，此外，在用户端与媒体提供服务器通过鉴别服务器验证了双方的身份之后，在二者之间生成业务密钥，建立数字媒体数据传输的安全通道，通过该业务密钥实现媒体提供服务器数据在安全通道中的加密传输，避免了数字媒体数据被网络的非法入侵者截获并使用。 

另外，根据本发明的基于数字证书的数字媒体管理系统，媒体提供服务器具有独立的身份，从而使得媒体提供服务器的身份可被区分，方便管理机构的监管，同时，用户端、媒体提供服务器、鉴别服务器之间在接入和鉴别过程中的通信无需经过额外的安全信道，这相对于日益广泛的数字媒体技术领域来说，在管理以及运营模式上进行了改进以及突破。 

此外，根据上述本发明的基于数字证书的数字媒体管理系统，本发明还提 供一种基于数字证书的数字媒体管理方法，该数字媒体管理方法的具体实施方式可如上所述的数字媒体管理系统的管理流程所述，在此不予多加赘述。 

以上所述的本发明实施方式，并不构成对本发明保护范围的限定。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明的权利要求保护范围之内。 

Claims (10)

1.一种基于数字证书的数字媒体管理系统，包括鉴别服务器、媒体提供服务器、以及用户端：

所述鉴别服务器，用于为所述媒体提供服务器颁发媒体提供服务器证书及对应的媒体提供服务器证书私钥，为所述用户端颁发用户端证书及对应的用户端证书私钥，将对应的媒体提供服务器身份信息、用户端身份信息予以储存，接收所述媒体提供服务器发送的鉴别请求消息，生成鉴别响应消息，用鉴别服务器证书私钥对该鉴别响应消息签名后向所述媒体提供服务器发送，所述媒体提供服务器证书包括媒体提供服务器证书公钥和所述媒体提供服务器身份信息，所述用户端证书包括用户端证书公钥和所述用户端身份信息；

所述用户端，用于根据所述用户端证书、所生成的用户端新鲜性标识构建接入请求消息，用所述用户端证书私钥对该接入请求消息签名后向所述媒体提供服务器发送，接收所述媒体提供服务器发送的接入响应消息，根据所述接入响应消息中的主密钥、媒体提供服务器新鲜性标识、所述用户端新鲜性标识产生消息鉴别密钥和业务密钥，根据所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识生成接入确认消息，根据所述消息鉴别密钥、所述接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附加在所述接入确认消息后向所述媒体提供服务器发送；

所述媒体提供服务器，用于接收所述接入请求消息，根据所述用户端证书、所述媒体提供服务器证书、所述用户端新鲜性标识、生成的所述媒体提供服务器新鲜性标识构建所述鉴别请求消息，并用所述媒体提供服务器证书私钥对该鉴别请求消息签名后向所述鉴别服务器发送，接收所述鉴别响应消息，根据所述鉴别响应消息、所述媒体提供服务器证书、所述主密钥构建接入响应消息，并用所述媒体提供服务器证书私钥对该接入响应消息签名后向所述用户端发送，接收所述接入确认消息，并验证所述接入确认消息的有效性；

所述用户端新鲜性标识，用于标识当前发起的请求是新请求；所述媒体提供服务器新鲜性标识，用于标识当前发起的请求是新请求。

2.根据权利要求1所述的基于数字证书的数字媒体管理系统，其特征在于：

所述媒体提供服务器，还用于向所述鉴别服务器发送媒体提供服务器注册请求消息，将所述鉴别服务器所颁发的媒体提供服务器证书、媒体提供服务器证书私钥予以储存，并将接收的所述用户端发送的用户端注册请求消息向所述鉴别服务器转发；

所述用户端还用于通过所述媒体提供服务器向所述鉴别服务器发送所述用户端注册请求消息，并将所述鉴别服务器颁发的所述用户端证书、所述用户端证书私钥予以储存。

3.根据权利要求1或2所述的基于数字证书的数字媒体管理系统，其特征在于，所述鉴别服务器具体包括：

第三注册模块，用于为所述媒体提供服务器颁发所述媒体提供服务器证书以及对应的所述媒体提供服务器证书私钥，为所述用户端颁发所述用户端证书以及对应的所述用户端证书私钥；

与所述第三注册模块连接的第三存储模块，用于储存所述鉴别服务器证书、所述鉴别服务器证书私钥、所述媒体提供服务器身份信息、所述用户端身份信息；

与所述第三存储模块、所述媒体提供服务器连接的有效性验证模块，用于接收所述媒体提供服务器发送的所述鉴别请求消息，根据所述鉴别服务器证书私钥、所述媒体提供服务器证书、所述用户端证书对所述鉴别请求消息进行有效性验证，生成鉴别响应消息，并用所述鉴别服务器证书私钥对所述鉴别响应消息签名后向所述媒体提供服务器发送。

4.根据权利要求1所述的基于数字证书的数字媒体管理系统，其特征在于，所述媒体提供服务器具体包括：

第二存储模块，用于储存所述鉴别服务器证书、所述媒体提供服务器证书、所述媒体提供服务器证书私钥、所述用户端证书、所述主密钥、所述消息鉴别密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识、所述业务密钥、数字媒体资源；

与所述鉴别服务器、所述用户端、所述第二存储模块连接的第二接入处理模块，用于接收并解析所述用户端发送的所述接入请求消息，构建鉴别请求消息并向所述鉴别服务器发送，接收并解析所述鉴别响应消息，构建接入响应消息，接收并解析所述接入确认消息，根据所述主密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识生成所述消息鉴别密钥和所述业务密钥；

与所述用户端、所述第二存储模块、所述第二接入处理模块连接的业务管理模块，用于接收并处理所述用户端发送的业务请求消息；

与所述用户端、所述第二存储模块、所述业务管理模块连接的资源发送模块，用于从所述第二存储模块中读取数字媒体资源，并用所述业务密钥对所述数字媒体资源加密后向所述用户端发送。

5.根据权利要求1或4所述的数字媒体管理系统，其特征在于，所述用户端具体包括：

第一存储模块，用于储存所述鉴别服务器证书、所述媒体提供服务器证书、所述用户端证书、所述用户端证书私钥、所述主密钥、所述消息鉴别密钥、所述业务密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识；

与所述媒体提供服务器、所述第一存储模块连接的第一接入处理模块，用于向所述媒体提供服务器发送所述接入请求消息，接收并解析所述媒体提供服务器发送的所述接入响应消息，构建接入确认消息并将该接入确认消息向所述媒体提供服务器发送，根据所述主密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识推导所述消息鉴别密钥和所述业务密钥；

与所述媒体提供服务器、所述第一存储模块连接的业务请求模块，用于向所述媒体提供服务器发送业务请求消息；

与所述媒体提供服务器、所述第一存储模块连接的资源接收模块，用于接收所述媒体提供服务器发送的用所述业务密钥加密的数字媒体资源，并用所述业务密钥进行解密。 

6.根据权利要求5所述的基于数字证书的数字媒体管理系统，其特征在于：

所述媒体提供服务器还包括：

与所述用户端、所述鉴别服务器、第二存储模块连接的第二注册模块，用于向所述鉴别服务器发送媒体提供服务器注册请求消息，将所述鉴别服务器颁发的媒体提供服务器证书、媒体提供服务器证书私钥发送至所述第二存储模块予以储存，还用于将接收到的所述用户端发送的用户端注册请求消息向所述鉴别服务器转发；

所述用户端还包括：

与所述媒体提供服务器连接的第一注册模块，用于向所述媒体提供服务器发送用户端注册请求消息，并将所述鉴别服务器颁发的所述用户端证书、所述用户端证书私钥发送至所述第一存储模块予以储存。

7.根据权利要求1或2所述的基于数字证书的数字媒体管理系统，其特征在于：

所述媒体提供服务器新鲜性标识、和/或用户端新鲜性标识是时戳、随机数或顺序号；

和/或

所述根据主密钥、用户端新鲜性标识、媒体提供服务器新鲜性标识产生消息鉴别密钥和所述业务密钥的过程为不可逆操作。

8.一种基于数字证书的数字媒体管理系统的管理方法，所述数字媒体管理系统包括鉴别服务器、媒体提供服务器以及用户端，所述管理方法包括步骤：

所述鉴别服务器为所述媒体提供服务器颁发媒体提供服务器证书、媒体提供服务器证书私钥，为所述用户端颁发用户端证书、用户端证书私钥；

所述用户端产生用户端新鲜性标识并予以储存，并根据所述用户端证书、 所述用户端新鲜性标识生成接入请求消息，并用所述用户端证书私钥对该接入请求消息签名后向所述媒体提供服务器发送；

所述媒体提供服务器接收用所述用户端证书私钥签名的所述接入请求消息，产生媒体提供服务器新鲜性标识并予以储存，根据所述用户端证书、所述媒体提供服务器证书、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识组成鉴别请求消息，并用所述媒体提供服务器证书私钥对所述鉴别请求消息签名后向所述鉴别服务器发送；

所述鉴别服务器接收用所述服务器证书私钥签名的所述鉴别请求消息，验证所述鉴别请求消息的有效性，根据验证结果构建鉴别响应消息，并用鉴别服务器证书私钥对该鉴别响应消息签名后向所述媒体提供服务器发送；

所述媒体提供服务器接收所述鉴别响应消息，验证所述鉴别响应消息的有效性，产生随机数主密钥，根据所述主密钥、所述鉴别响应消息、所述媒体提供服务器证书构造接入响应消息，并用所述媒体提供服务器证书私钥对该接入响应消息签名后向所述用户端发送；

所述用户端接收所述接入响应消息，验证所述接入响应消息的有效性，并根据所述主密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识推导生成消息鉴别密钥和业务密钥，构建接入确认消息，使用所述消息鉴别密钥、所述接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附于所述接入确认消息后向所述媒体提供服务器发送；

所述媒体提供服务器接收所述接入确认消息，根据所述主密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识推导生成所述消息鉴别密钥和所述业务密钥，并根据所述消息鉴别密钥、所述用户端新鲜性标识、所述媒体提供服务器新鲜性标识、所述主密钥信息判断所述接入确认消息的有效性；

所述用户端新鲜性标识，用于标识当前发起的请求是新请求；所述媒体提供服务器新鲜性标识，用于标识当前发起的请求是新请求。

9.根据权利要求8所述的基于数字证书的数字媒体管理方法，其特征在于，还包括步骤： 

所述媒体提供服务器向所述鉴别服务器发送媒体提供服务器注册请求消息，所述鉴别服务器根据所述媒体提供服务器注册请求消息为所述媒体提供服务器颁发所述媒体提供服务器证书、所述媒体提供服务器证书私钥；

所述用户端向所述媒体提供服务器发送用户端注册请求消息，所述媒体提供服务器接收所述用户端注册请求消息并向所述鉴别服务器转发，所述鉴别服务器根据所述用户端注册请求消息为所述用户端颁发所述用户端证书、所述用户端证书私钥。

10.根据权利要求8或9所述的基于数字证书的数字媒体管理方法，其特征在于，所述媒体提供服务器新鲜性标识、和/或用户端新鲜性标识是时戳、随机数或顺序号；

和/或

所述根据主密钥、用户端新鲜性标识、媒体提供服务器新鲜性标识产生消息鉴别密钥和所述业务密钥的过程为不可逆操作。 

Images