CN1918914A - 用于选择性数据传输的系统 - Google Patents

Abstract

介绍了用于选择性数据传输的系统和方法。该系统包括发送器(S)和多个接收器(R1－R4)。发送器具有相关联的加密装置(24)，该加密装置包括多个基本密钥(k1－k4)。接收器(R1－R4)各自具有相关的解密装置(34)，解密装置各自包括接收器密钥集，其中各个接收器密钥集是基本密钥(k1－k4)的子集。为了将数据保密地、选择性地传输到第一授权接收器组，将加密装置配置为用所述基本密钥中的至少两个递归地对数据进行加密，所述至少两个基本密钥全部包含在授权接收器组的接收器集中，并且其中这些密钥中的至少一个未被包含在未授权接收器组的各个接收器集中。

Description

用于选择性数据传输的系统

技术领域

本发明涉及用于选择性数据传输的系统、用在相应系统中的发送器和接收器、广播系统、选择性数据传输的方法和对包括发送器和多个接收器的系统进行操作的方法。

背景技术

在数据传输系统中，数据是通过信道从发送器传送到多个接收器中的至少一个的。用于数据传输的物理信道不在本发明的范围之内，并且可以包括任何已知形式的数据传输方法和任何类型的媒介。本公开内容中所致力于的问题是如何选择性地将数据传递到一个或多个接收器，并且防止其它接收器接收该数据。这种选择性是通过专门适合于这一任务的加密方案来实现的。

相应的系统、发送器、接收器和方法都已经是公知的了。对通过信道发送的数据进行加扰，并且在接收器间预先发布对数据进行解扰所需的密钥信息，从而实现了期望的选择性(哪些接收器能够以及哪些接收器不能够对消息进行解密)。由于采用了加密，因此这些系统非常适合于传输信道和方法并不限制接收器的数量的广播应用。

从发送器到多个接收器的数据传输称为“群发”或“点到多点”传输。选择性群发传输已经在象付费电视之类的领域中得到了应用。但是甚至因特网通信以及移动通信也可以利用选择性群发。

一种实现选择性群发系统的方式是预先向发送器和所有被授权接收数据的接收器(这里称为“群发组”)发布加扰密钥(这里称为“群发密钥”)。不过，就成员变化而言，这种方法不够灵活。如果以前被授权的接收器退出了群发组，则需要更换以前使用的群发密钥(共享秘密)，以致进一步的传输对于被排除在外的接收器而言不再是可读的。新的群发密钥需要安全地并且选择性地仅仅发送给剩下的接收器。在某些应用情况下，象包含每看即付(pay-per-view)系统的付费电视，成员可能是高度动态的。对于这些应用，必须将与必要的密钥变更相关的系统开销保持得很低。

可以用于动态成员关系的系统包括向各个接收器分配唯一的密钥。这使得拥有所有单个接收器的密钥的发送器能够与各个接收器进行保密单发(点对点)通信。可以通过建立群发密钥将该系统用于安全群发，并且使用各个接收器自己的密钥将群发密钥从发送器以加密形式发布给各个得到授权的接收器。这样，可以建立能够保密地收到用群发密钥加密的数据的群发组，而将未得到授权的接收器排除在外。

上面介绍的系统虽然使接收器端对密钥存储的要求较低，不过为了改变群发密钥，会带来很大的带宽需求，对于N个接收器，改变群发密钥应该会包括N次这一密钥的传送。考虑到，例如在付费电视应用中，群发密钥应该是经常改变的，例如每分钟改变一次，那么对于很大群发组来说，这些带宽需求是无法接受的。

在US6049878A中给出了解决上述问题的选择性数据传输系统的一个例子。该系统包括一个发送器和多个接收器。在各个接收器处，可以使用多个密钥。群发密钥(这里称为TEK，业务流加密密钥)是与发送器和所有其它接收器共享的。

此外，各个接收器拥有多个密钥加密密钥(KEK)。该系统的逻辑结构是二叉树结构，其中发送器是根，而接收器是叶。各个叶拥有在从根到叶的路径中所排列的密钥。

在退出操作的情况下，即，不再授权接收器接收数据，以从下到上的方式改变到达退出的接收机的路径中的每个密钥。然后改变群发密钥(TEK)，以排除退出的接收器。使用新的、经过改变的TEK来加扰进一步的业务流，退出的接收器不再能够读取所述业务。

US6049878A中公开的系统和方法成功地降低了在退出操作情况下所需要的带宽。不过，对于每次退出操作，仍然需要为逻辑树中的一个完整路径重新制定密钥。

发明内容

因此本发明的目的是提出非常适合于在高度动态的群发组中通信的、选择性数据传输系统和方法，以及用在相应系统中的发送器和接收器，以及操作上述系统的广播系统和方法。

按照本发明，这一目的是通过按照权利要求1的系统、用于这一系统的按照权利要求10和11的发送器和接收器、按照权利要求12的广播系统、按照权利要求13的选择性数据传输方法和按照权利要求15的操作系统的方法来解决的。

本发明的中心思想是通过用多个递归使用的密钥先进行递归加密来实现选择性数据传输。这种递归加密(在本文中也称为“密钥串连(key chaining)”)涉及到用第一密钥对数据进行加密来获得第一加密数据，并且进一步使用第二密钥对第一加密数据进行加密，来获得第二加密数据，等等。显然，用多个密钥进行递归加密之后最终获得的结果仅仅可以在用相同的密钥进行递归解密(一般来说按照相反的顺序，如果顺序很重要的话)之后才能解读。为了解读相应的递归加密的数据，在接收器需要使用在递归加密处理中所用的完整密钥组合。这样，通过将不同的密钥组合发布给不同的接收器，可以通过用由授权接收器共享的密钥递归地对消息进行加密来实现期望的选择性(即，哪些接收器能够解读消息而哪些不能)。通过在递归加密串中使用未授权接收器不拥有的至少一个密钥来将未授权接收器排除在外。

按照本发明的基本系统和方法包括发送器和至少两个接收器。发送器具有与其相关联的加密装置，并且拥有多个基本密钥。各个接收器具有相关联的解密装置，该解密装置各自拥有接收器密钥集。接收器集是基本密钥的子集，并且最好相互之间不成对地包含。

为了将数据选择性地从发送器传输到第二接收器，加密装置使用至少两个基本密钥来递归加密。所使用的基本密钥是这样选择的：它们都(或者在不止两个的情况下，全部)包含在(得到授权的)第二接收器的接收器集中。还将它们选择成：至少所使用的密钥之一不包括在第一接收器的接收器集中，第一接收器被排除在外。

可以在这两个接收器处获得这样递归加密的并且通过传输信道发送的一段数据。尽管(得到授权的)第二接收器能够递归地解密该数据，但是(未得到授权的)第一接收器缺少至少一个密钥，因此不能解密该数据。

按照本发明的改进，该系统和方法用于选择性群发。由上述第二和另一个第三接收器组成的群发组得到接收数据的授权。因此，将递归加密中使用的密钥选择成这样：它们全部包含在(得到授权的)第二和第三接收器的接收器集中，而所使用的密钥中的至少一个不包含在(未得到授权的)第一接收器的接收器集中。

应当注意，本发明可应用于很大的应用范围。所使用的信道可以是任何传输方法和/或媒介。而且，在实践中，可以使用任何使用密钥对数据加密的加密方法。这尤其意味着可以使用对称和非对称加密算法二者。对称加密方法使用相同的密钥来进行加密和解密，而在非对称加密方法中，“密钥”实际上是密钥对，其中一个密钥部分(通常称为“公钥”)用于加密，而另一个部分(“私钥”)用于解密。这两种方法都可以用在按照本发明的系统中。该系统还不局限于具体数量的接收器。明显地，在较大的系统(即，具有大量接收器，例如，超过20、50、100、1000或更多个接收器)中，本发明的优点变得更加显而易见。将会在后面结合优选实施方式加以介绍，使用相对较少的基本密钥已经能够实现对非常大数量的接收器进行寻址(即，将不同的组合分配给非常大数量的接收器)。

在多个接收器的一般情况下，各个接收器拥有唯一的接收器密钥集，要将数据选择性地传输到出自多个接收器的授权组。为了实现这一目的，发送器处的加密装置用多个密钥(即，基本密钥的特定组合)递归地对数据进行加密。这一特定组合是这样选择的：该组合中使用的所有密钥都由授权组的接收器拥有。这个组的接收器于是能够正确地使用这个密钥组合递归地对数据进行解密。另一方面，将密钥组合选择成：对于各个授权接收器，该组合中的至少一个密钥不包含在该接收器的相应接收器集中。这样，各个未授权接收器缺少至少一个用来对数据解密的密钥，并且因此没有一个未授权接收器能够解读明文数据。

按照另一种改进，数据向接收器的授权组的选择性传输是通过将授权组分成多个子组以多次传输的方式实现的。这在要求向专门指定的授权接收器组进行选择性传输、但是没有单独一个密钥组合满足上述要求确保选择性群发的情况下可能是必须的。在这些情况下，相同的数据用不同的密钥集(即，不同的密钥组合)加密并且传输多次。所使用的各个不同的密钥组合满足上面给出的要求，即，组合中的所有密钥由相应子组的接收器拥有，并且不属于该子组的各个其它的接收器缺少该组合中的至少一个密钥。

按照本发明的改进，提出了特定类别的加密方法。优选类别的加密方法包括，在加密期间，用密钥数字计算至少一次求幂。这一类别的加密算法依赖于反向操作(离散对数问题)不是很容易就能解决这一事实。上面介绍的用大量密钥进行的递归加密(在正常情况下包括用密钥数字进行递归求幂)因此可以按照密钥数字的简单相乘来计算，并且仅仅用相乘的结果进行一次求幂。由于求幂操作在运算上成本是很高的，而乘法操作并非如此，因此使用优选类别中的加密方法大大减小了递归加密期间的运算负担。最好，所选择的加密方法还能够以相同的方式使用多个密钥实现解密，即，通过对密钥数字进行相乘并且用相乘的结果进行仅仅一次求幂操作来实现解密。相应的加密方法的例子是众所周知的RSA算法。

按照本发明的另一个改进，提出了这样一种发行方案：将全体接收器再分成多个组。对于各个组，建立上面介绍的通信方案：对于各个组，可以使用基本密钥的一个组集。属于某一个组的接收器拥有这样一些密钥：这些密钥是该组的组集的子集。不同组的组集是成对不同的，并且最好甚至是成对不相交的。

将全体接收器再分成多个组使得用需要存储在各个接收器处的相对较少数量的密钥对非常大量的接收器进行寻址成为可能。

虽然一般来说不同的接收器拥有不同数量的基本密钥是可行的，但是最好各个接收器拥有相同数量的基本密钥，即，接收器集具有相同的基数。

如前面解释说明的，可以采用按照本发明的系统和方法来向授权接收器的组进行保密的选择性群发，同时排除未授权的接收器。如还会进一步介绍，这可以通过用密钥的组合递归地对消息进行加密来实现，这个密钥的组合需要仔细选择。虽然一般来说最好找出包括所有授权接收器和排除所有未授权接收器的单独一个密钥组合，但是在给定密钥发布(发行方案)和特定的授权/未授权接收器情形(参与向量)的情况下，这可能是不可行的。在这些情况下，如前面所解释说明的，可以使用用多个密钥组合进行的多次传输来相继地传送消息多次，每次用不同的组合进行加密，从而最终所有的授权接收器都可以接收到消息。

为了按照本发明的改进确定上面介绍的一个或多个组合，发送器具有相关的存储装置和发布控制装置，存储装置具有与授权和/或未授权接收器相关的信息，发布控制装置用于确定将消息选择性地传输到授权接收器、同时排除未授权接收器所使用的一个或多个基本密钥组合。当然最好发布控制装置确定一个实现上面规定的选择性传输所需的最小数量的基本密钥的组合。

本发明的另一个改进涉及在接收器当中进行基本密钥组合的发布(发行方案)。考虑N个接收器、在发送器处存在k个基本密钥并且各个接收器拥有这些基本密钥中的m个密钥。在这种情形下，有koverm(k个中的m个的组合个数)个不同的可用基本密钥可行的组合，从而最大可以寻址kover m个的接收器。将会把这样的发行方案称为“全面(exhaustive)”：其中所有或接近所有的基本密钥的可能组合确实发布给了接收器，而将这样的发行方案称为“不全面”：实际上仅仅使用了最小数量的可用密钥组合。不同的发行方案是针对它们的冗余度进行评价的。借助冗余度，了解了在具体给定的环境下，需要多少次传输(基本密钥的组合)。所应用的标准可以是针对大量可能的参与情形(授权/未授权接收器的组合)所取得的平均冗余度，或者是最坏情况的冗余度，该最坏情况的冗余度表示针对大量情形所取得的必须传输的最高数量。

已经发现，一般来说利用中等全面发行方案(即，kover m远远大于N(最好至少10％，或者甚至是大于25％))可以实现较低的冗余度(即，需要较少次数的传输)。不是实际上使用所有的可能组合，因此建议仅仅使用可能组合中的有限部分来实现较好的性能。而且，由于非常不全面的发行方案一般来说是资源的浪费，并且在某些情况下甚至会表现出很差的性能，因此一般最好使kover m由具有适度指数的N的幂来加以限制，例如，kover m＜N^10。这相当于使用最大大约十倍于所需的最小量的基本密钥数量。

按照本发明的另一个改进，基本密钥不必在整个操作过程中保持相同。在几种环境下，有时希望调换一个或多个基本密钥，例如，出于保密的原因。当然，需要将新的基本密钥传送给接收器，但是仅仅选择性地传送给那些被授权拥有经过调换的基本密钥的接收器。这是通过在产生一个或多个新的基本密钥之后，使用上面介绍的选择性数据传输系统和方法来正确地将新的基本密钥选择性地传输给应当接收它地那些接收器来实现的。

按照本发明的发送器可以用在上面介绍的传输系统中。该发送器拥有多个基本密钥。加密装置配置为用于如上所述那样递归地对数据进行加密。

按照相同的方式，按照本发明的接收器具有拥有接收器密钥集并且配置为用多个这些密钥递归地对加密数据进行解密的解密装置。

本发明此外还涉及一种广播系统。广播系统包括上面介绍的传输系统，该传输系统具有发送器和多个接收器。该广播系统此外还包括广播发送器，该广播发送器广播加扰内容。该内容是使用加扰装置和加扰密钥加扰的。应当注意，这里的术语“加扰”涉及任何种类的加密，并且最好是分组密码。这里使用术语“加扰”代替“加密”是为了将内容加扰操作与上面介绍的消息加密区分开来。

将加扰内容连续地广播出去，从而原理上接收这一广播地接收器数量是不受限制的。不过，接收器需要解扰密钥来对加扰内容进行解扰。加扰密钥是通过上面介绍的传输系统选择性地传输到授权接收器的。应当注意，广播发送器和传输系统中的发送器可以是同一个，但是这并非必须。

本发明此外还涉及一种操作包括发送器和多个接收器的系统的方法。该方法包括确定发行方案、产生基本密钥和将基本密钥发布给参与接收器的步骤。前面已经提到了发行方案。如所讨论的，不同的发行方案由于冗余度不同而在性能上变化很大。由于冗余度直接对应于系统操作期间所需的带宽，因此非常希望得到良好的平均/最坏情况冗余度。因此推荐预先确定由基本密钥数量、(最大)接收器数量和存储在各个这些接收器处的基本密钥数量给定的发行方案。这一发行方案(即，应当如何在接收器当中发布基本密钥组合的计划)的产生可能在运算上相当费事的。但是这一步骤最好是预先进行的，从而不需要满足实时要求。此外，该步骤可以一次全部完成，因为发行方案完全不取决于实际的基本密钥，并且也不取决于实际使用的加密方案。

附图说明

在下文中，将参照附图介绍本发明的优选实施方式，其中

附图1表示按照本发明的传输系统的实施方式的象征性表达；

附图2a表示具有递归加密装置的附图1中所示的系统的发送器的象征性表达；

附图2b以象征性表达形式图解说明递归加密的步骤；

附图3a表示具有解密系统的附图1中的接收器的象征性表达；

附图3b以象征性表达形式图解说明递归解密的步骤；

附图4以象征性表达形式表示单发通信的情况下的第一通信实例；

附图5以象征性表达形式表示向第一接收器组进行群发通信的情况下的第二通信实例；

附图6以象征性表达形式表示向第二接收器组进行群发通信的情况下的第三通信实例；

附图7表示按照第一发行方案的表格；

附图8表示按照第二发行方案的表格；

附图9表示按照第三、成组发行方案的表格；

附图10表示广播系统的实施方式；

附图11a表示加扰系统的象征性表达；

附图11b表示解扰系统的象征性表达；和

附图12表示一系列加扰内容段。

具体实施方式

附图1表示按照本发明的实施方式的基本传输系统10。该系统10包括发送器S和多个接收器R1、R2、R3、R4。发送器S经由信道C与各个接收器R1、R2、R3、R4相连。在本例中，信道C仅仅允许从发送器到接收器的单向通信。这个信道具有这样的性质：从发送器S发出的数据可以在各个接收器R1、R2、R3、R4处接收到。应当注意，系统10是一个一般性的例子，并且信道C可以包括任何类型的媒介和传输方法，象例如空中传播的无线电广播、计算机网络中的数据传输之类。

发送器S与数据库12相连，该数据库12存储着多个加密密钥k1、k2、k3、k4。各个这些密钥可以用于使用加密方案对数据进行加密。按照优选实施方式，所使用的加密方案是RSA算法，并且密钥k1、k2、k3、k4是RSA公钥。下面将进一步解释这种加密方案。不过应当注意，本发明并不局限于这种特定的加密方案，而是可以替代地采用任何加密方案。

可以将密钥k1、k2、k3、k4进一步称为系统10的基本密钥。它们组成基本密钥集，在本例中将该基本密钥集的基数给定为4。不过应当注意，在按照本发明的优选系统中，可以有更大数量的基本密钥，并且还可以有更加大数量的接收器。

各个接收器R1、R2、R3、R4具有本地数据库14.1、14.2、14.3、14.4。在各个数据库14.1、14.2、14.3、14.4中，存储着加密密钥。各个数据库14.1、14.2、14.3、14.4存储基本密钥的不同组合，这里将该组合称为相关接收器R1、R2、R3、R4的接收器集合。例如，存储在数据库14.1中的第一接收器R1的接收器集合包括基本密钥k1、k2、k3，而存储在数据库14.2中的第二接收器k2的接收器集合包括基本密钥k1、k3、k4。

基本密钥的不同组合也可以称为建立密钥(establishment key)。总的来说，有k个基本密钥可用(在本例中，k等于4)。因此，有2^k-1个这些密钥的组合可用。不过，在优选实施方式中，如附图1的例子，各个密钥的接收器集合包括相同数量的基本密钥，即，具有相同的基数m(在附图1的例子中，m等于3)。

因此有不同的 $\left(\begin{array}{c}k\\ m\end{array}\right)$ 个密钥组合可用，从而可以存在这一数量的具有不同接收器密钥集的接收器。在附图1的例子中，将所有4个可用的组合发布给接收器R1、R2、R3、R4。应当有多少基本密钥可用、应当将多少个密钥存储在各个接收器中并且应当使用哪种密钥组合，对于上述问题的选择在这里称为“发行方案(issuing scheme)”。下面将进一步讨论发行方案。

如附图2a所示，附图1中的发送器S包括消息单元22、递归加密单元24和发送单元26。消息单元22给出数据D，在加密单元24中将该数据加密成加密数据D′。将加密数据D′被送到发送单元26，以通过信道C发送出去。

加密单元24包括具有基本密钥k1、...、k_n的数据库12和加密模块26。加密模块26取得输入数据D和加密密钥k，并且用密钥k对数据D进行加密。如前面所指出的，在加密模块26中实施的实际加密方法是不受限制的。有大量公知的加密方法。按照优选实施方式，使用的是RSA算法。虽然RSA加密算法的详细内容对本领域技术人员来说是公知的，但是下面还是简要概述一下该算法：

RSA加密算法中的密钥实际上是密钥对，包括公钥和私钥。公钥对应于数字e，该数字相对于(p-1)(q-1)为质数，其中p和q是很大的质数，p和q是保密的。私钥对应于数字d，使得d*e mod((p-1)(q-1))＝1。而且基数n也是公开的，该基数n是大质数p和q的乘积。在加密期间，仅仅使用公知的基数n和公钥e按照y:＝x^e mod n的形式对与数字x(0≤x＜n)相应的消息进行加密。另一方面，解密必然需要私钥d，并且解密是通过x＝y^d mod n来完成的。

在附图2a的例子中，加密模块26用上面介绍的单独一个RSA加密步骤对数据D进行加密。

不过，整个加密单元24使用来自数据库12的多个密钥实施特殊的加密，这一加密过程涉及数次调用模块26并且这里称为递归加密。附图2b表示这种加密的过程。首先使输入数据D第一次通过加密模块26，并且使用第一密钥k1对其进行加密。然后使所得到的加密数据再一次通过加密模块26，并且使用第二密钥k2再次进行加密。这一递归进程继续进行，直到按照密钥k1、k2、...k_n的所有期望的组合实现了加密。最后得到的加密数据D′就是这一递归加密处理的最终结果。

附图3a表示对应于附图1中的接收器R1、R2、R3、R4的一般性接收器R。接收器R包括接收单元32、解密单元34和处理单元36。在接收单元32处接收来自发送器的广播数据。在解密单元34中对所接收到的数据进行解密并且将其送给处理单元36，以进行进一步处理。

与参照附图2a、2b解释的递归加密类似，解密也是递归地实现的。使用多个密钥k_n、k_n-1、...k₁递归地采用解密模块38。在附图3b中象征性地示出了递归解密的过程，在每个步骤中使用接下来的密钥对来自前一步骤的解密数据作进一步的解密。

由于一般来说加密操作(比如在加密模块26中进行的加密操作)可能需要大量的运算，因此用多个密钥进行的递归加密很有可能变成运算复杂的作业。不过，如果所使用的加密方法是RSA，并且所使用的所有密钥k1、k2、...共用相同的基数n，则递归加密处理能够得到简化。取代多次、递归的求幂操作，可以实现指数的乘法：

$y={(...\left({\left(x^{e1}\right)}^{e2}\right)...)}^{\mathrm{ek}}\mathrm{mod}n=x^{e1*e2*...*\mathrm{ek}}\mathrm{mod}n$

同样，可以将递归解密简化为：

$x={\left({\left(...\left(y^{\mathrm{dk}}\right)...\right)}^{d2}\right)}^{d1}\mathrm{mod}n=y^{d1*d2*....*\mathrm{dk}}\mathrm{mod}n$

这是有可能的：使用具有相同基数n的多个RSA密钥将会降低密钥安全性。不过，计算方面的节省量是巨大的。因此，对于很多应用而言，较低安全性与极大限制的计算需求量之间的折衷是可以接受的。例如在付费电视应用中，总体密钥安全性可能并不是绝对关键的，用户端对解密硬件的要求较低却提供了很大的优势。

通过不将所有密钥都选择成具有相同基数n，而是具有密钥的子集，例如，各个子集具有2-10个密钥，各个子集中的密钥具有相同的基数，但不同的子集的基数不同，可以以运算复杂程度增加为代价，降低潜在安全性问题。于是出自同一子集的密钥的串连可以通过乘法来实现，而出自不同子集的密钥的串连将会需要多次求幂操作。

附图4表示系统10内的第一个通信实例。系统10的配置如附图1所示。发送器具有加密单元24(附图4中未示出)，该加密单元拥有基本密钥k1、k2、k3、k4。各个接收器R1、R2、R3、R4具有相关的解密单元34.1、34.2、34.3、34.4和拥有各个接收器的接收器密钥集的数据路14.1、14.2、14.3、14.4。

在第一个实例中，发送器S发送对应于明文消息40的数据，不过，消息40并不是以明文形式发出的，但是作为加密数据42发出的。如附图4所示，使用基本密钥k4、k3和k1按照这个顺序对明文消息40进行递归加密。

将加密消息42发送给所有接收器R1、R2、R3、R4。所有接收器都接收到该消息并且试图对其进行解密。不过，只有第二接收器R2具有对消息40进行解密所需的密钥组合(基本密钥k1、k3、k4)。其它所有接收器R1、R3和R4缺少至少一个基本密钥：接收器R1并不拥有所需的基本密钥k4，R3不拥有k3，而R4不拥有k1。

这样，在系统10中，能够进行单发通信(从发送器S到接收器R2)，其明文内容不能由任何其它接收器接收。

附图5表示系统10内的第二个通信实例。同样，配置是附图1中给出的。发送器S发送使用基本密钥k4、k1递归加密为加密消息52的消息40。在所有接收器R1、R2、R3、R4处接收到的加密消息52仅仅可由拥有基本密钥k1和k4二者的那些接收器解密，即，第二接收器R2和第三接收器R3。其它接收器各自缺少一个用于解密的密钥：R1没有k4，而R4没有k1。因此，附图5示出了保密群发的例子(从发送器S到包括接收器R2和R3的组)，群发内容不能由任何其它接收器解密。

附图6表示系统10内的第三个通信实例。第三个通信实例与附图5中所示的第二个通信实例是互补的。发送器S发送加密数据62，该加密数据对应于利用密钥k2、k3进行递归加密的消息40。按照与上述相同的方式，附图6示出了专门从发送器S到接收器R1和R4的保密群发的实例。

一般来说，虽然附图4-6没有示出，但是加密消息应当包含与需要哪些密钥(并且按照哪种顺序，如果顺序很重要的话)来对其进行解密有关的信息。

前面使用附图1中具有仅仅4个基本密钥和4个接收机的简单例子证明了的事实一般来说都是成立的，并且能够很容易地应用于有大量接收器的情形。

在各种情况下，会有一定数量的接收器被授权接收传输内容，而剩下的接收器没有得到授权。为了表达这一情况，定义了参与向量(joining vector)，该向量是对应于所有接收器的集合的或0或1的数字的列表。参与向量包含用于授权接收器的1项和用于未授权接收器的0项。对于附图5的第一个通信实例，参与向量应该是(0，1，1，0)，而在按照附图6的第二个实例中，参与向量应该是(1，0，0，1)。

如前面所提出的，与传输系统的设置有关的主要问题是所选择的发行方案，即，如何在接收器当中发布不同的基本密钥组合。

控制发行方案的主要参数是接收器的最大数量N、由各个接收器拥有的基本密钥的数量m和基本密钥的总可用数量k。

原理上，在接收器处可用的基本密钥的数量m可以是不同的。不过，在下文中，将仅仅关注这样的发行方案：对所有接收器，m都是相同的。可以展现出，这些发行方案的冗余度至少等于，并且在大多数情况下要好于，各个接收器处基本密钥的数量不同的发行方案的冗余度。

应当注意，一般来说应当将实际应用中的值m保持得较低。由于优选系统包括大量的接收器，因此需要大量的相应解密装置(解密单元34)和密钥存储装置(数据库14.1、14.2、14.3、14.4)，因此最好能够使用便宜的硬件。不过，这样的便宜硬件并不能存储大量的密钥。

上面参照附图4、附图5和附图6给出的通信实例解释说明了如何针对不同的参与向量实现保密群发。在这些例子中，在仅仅一次传输中将消息传递给所有授权的接收器(在参与向量中具有1项)。不过，这并不总是可行的。取决于参与向量和发行方案，将会有需要两次传输来到达所有授权接收器的情况，即，第一次传输到达授权接收器的第一子组，而第二次传输到达剩余的授权接收器。同理，可能需要三次、四次或更多次传输。在最坏的情况下，传输的次数可能等于接收器的数量。当然，如果需要大量的传输，则传输系统的整体效率就遭到了降低。

因此，所需的传输的次数(此处称为“冗余度”)限定了传输系统的性能。如前面所指出的，这取决于参与向量和发行方案。由于传输系统操作期间的加入行为预先是不可知的，在大多数情况下仅仅可以靠推测来描述，并且甚至可能完全是随机的，因此希望选择一种具有良好总体性能的发行方案。例如可以将发行方案的冗余度估量为大量或者甚至是全部可能的2^N个参与向量的平均冗余度。也可以按照最坏的情况定义冗余度，即，在很大一组或者全部参与向量的范围内的必要传输的最多次数。

已经提到，为了评价不同的发行方案，如果确实将所有可能的基本密钥子组合分配给了各个接收器，我们可以称该发行方案是全面的。因此，如果只有非常小的一部分可能组合用作接收器密钥集，将会称发行方案为最不全面。中等全面的发行方案处于这两种极端情况之间，使用比最不全面多但是比全面发行方案少的可能组合。已经发现，对于发行方案性能而言，中等全面发行方案易于具有较低的冗余度。

在附图7和附图8中，给出了针对具有六个接收器(N＝6)的不同发行方案的例子。附图7表示具有k＝4个基本密钥的四面方案，各个接收器集合包含m＝2。

这样，附图7的发行方案是最全面的 $\left(\begin{array}{c}\left(\begin{array}{c}k\\ n\end{array}\right)=6=N\end{array}\right).$

附图8的六面发行方案具有k＝6个基本密钥，各个接收器集合包含m＝2个出自这些基本密钥的基本密钥。由于这里 $\left(\begin{array}{c}k\\ m\end{array}\right)=15,$ 因此实际使用的N＝6个组合使得附图8的六面发行方案为中等全面(仅使用了所有组合的40％)。

现在让我们针对参与向量(1，0，1，1，0，1)来考虑上述发行方案。显然，在两种情况下，都不可能在仅仅一次传输中将消息传送给所有四个授权接收器R1、R3、R4、R6。而是，附图7的四面方案必定需要四次传输。

所到达的接收器                所使用的基本密钥组合

R1                            k1，k2

R3                            k1，k4

R4                            k2，k3

R6                            k3，k4

这样，在所给出的例子中，该参与向量相对于所给出的发行方案非常不利，以致需要在四次单发传输中传送这些消息。不过，在按照附图8的发行方案中，同样的参与向量仅仅需要两次传输：

所到达的接收器                所使用的基本密钥组合

R1，R6                         k1

R3，R4                         k4

可以看出，对于附图8的六面方案，最坏情况的冗余度为3，即，最多需要3次传输。这样，在具有六个接收器的传输系统中，可以通过发行和存储两个额外的基本密钥来将最坏情况的冗余度从4减小到3。

一般来说，下面的手段可以用来找出最佳发行方案。下面给出的算法实际上针对所有可能的参与向量确定了大量的发行方案的平均和/或最坏情况冗余度的数值，以找出最佳或接近最佳的解决方案：

1.对于所有的N(接收器数量)，例如，从10-100：

2.制作长度为N的所有可能发行方案的列表L_schemes

3.对于L_schemes中的所有发行方案：

4.制作所有2^N个可能参与向量的列表L_joining

5.对于L_joining中的所有参与向量：

6.确定当前发行方案针对当前参与向量的冗余度

7.确定当前放行方案的平均和/或最坏情况冗余度

8.针对平均和/或最坏情况冗余度确定L_schemes中的最佳发行方案

应当注意，对很大的长度N的范围运行上面给出的算法将会是运算非常复杂的作业。不过，这一优化过程仅仅需要在建立消息发送系统之前运行一次。由于不需要迎合实时要求，因此应当会有足够的处理能力来进行上述优化。

特定类别的发行方案是成组发行方案。将全体接收器再分为接收器组。对于各个组，有一个基本密钥集可用。将不同组的基本密钥集成对地分开。

附图9表示成组发行方案的一般性实例，其中各个组具有数量为g的接收器，并且各个接收器具有g-1个基本密钥。对于包含接收器R1-R_g的组90a，基本密钥k1到k_g可用。对于包含接收器R_g+1-R_2g的组90b，也有g个密钥k_g+1到k_2g可用。

应当注意，在附图9中，各个组90a、90b中的发行方案是相同的。因此，在执行上面给出的优化算法的时候，针对某一数量N个接收器找到的适当发行方案可以在用于大小为N组的成组发行方案中采用。这样，对于具有大量接收器的通信系统，例如，超过10000个接收器，不需要按照N＝10000来执行该算法，而使可以将10000个用户再分成100个组大小为100的组，并且可以在各个这些组中使用由上述算法针对N＝10确定的最佳发行方案。

如上所述，对加密使用RSA算法并且使用共享同一基数n的密钥在运算上是有利的。在成组发行方案中，最好只有同一组内的密钥共享相同的基数n，这样可以减少潜在的安全问题并且简化密钥产生过程。

在确定了针对预期最大接收器数量N(或相应的组大小)的发行方案并且产生了所需数量的基本密钥之后，可以以下述方式建立数据传输系统：产生每个预定接收器密钥集具有3个可能条目“启用”、“停用”、“未使用”的状态列表，其中所有的值最初都是“未使用”。在通信系统的整个使用寿命期间对这一状态列表进行维护，给出与相应订户的状态有关的信息。而且，保持针对退出服务的用户的标识符列表(退出列表)。

现在，各个接收器加入该系统。在接收器加入的时候，首先判断该接收器是否在退出列表中。如果是这种状态，接收器交出它之前拥有的接收器密钥集。相应的状态标签从“停用”变为“启用”。如果加入的接收器没有包含在退出列表中，则将具有状态“未使用”的(例如第一个)预定用户密钥集发给该用户。将相应的状态标签设置为“启用”。

如果接收器退出，则将状态从“启用”改变为“停用”。出于保密的原因，应当避免将新的接收器密钥集发送给重新加入的接收器。不能排除接收器保存着以前的密钥集的副本，因此在退出并且重新加入数次之后，接收器可能会收集到大量密钥，这将会实现破译几乎每次传输，至少在经过很长的时间周期之后能够实现破译。

如果传输系统的使用寿命与用户的平均加入时间相比比较长，则系统操作员将会发现，在一定时间之后，可用密钥集的空间几近耗尽。在这种情况下，建议调换一个或多个基本密钥。如果对于所有包含经过调换的基本密钥的接收器密钥集，相应的状态列表给出“停用”条目，则可以在发送器处简单地调换该密钥。不过，如果当前“启用”的用户拥有应当加以调换的密钥之一，则可以通过使用上述加密算法将新产生的密钥安全地发布给这些用户，其中新的基本密钥是加密消息。应当注意，与在订购时最初发送用户密钥集不同，经过调换的基本密钥的传输并不需要单独的、保密的信道。

在下文中，将会给出具有大量接收器的通信系统的一些例子。

在第一个例子中，各个接收器存储10个密钥。总地来说，有15个基本密钥可用。这得到了接近3000个不同的可能密钥组合，其中只有1000个(33％)用于对最大1000个接收器寻址。所使用的各个组合(发行方案)是使用所给出的算法针对N＝1000来确定的。

在第二个例子中，将全部接收器再分为最多200个接收器的组。接收器的总数量是没有限制的。每个组的各个接收器拥有出自总数为12的可用基本密钥的8个密钥。相对于最小最坏情况冗余度确定中等全面发行方案(所使用的495个可行组合的40％)。

在第三个例子中，有总共30个基本密钥可用，各个接收器拥有其中的15个。因此有大量密钥组合可用(超过1.55亿个)，从而即使使用中等全面的发行方案，也可以对大量接收器寻址。

在下文中，将会介绍上面介绍的数据传输系统到广播系统的扩展。

附图10表示广播系统100的总体结构。广播系统100具有广播发送器Sb。内容源102将内容数据F1、F2、F3、...连续地送给广播发送器Sb。而且，群发密钥发生器104连续地将群发密钥m₁、m₂、m₃、...送给广播发送器Sb。广播发送器Sb包括如附图11a所示的加扰单元110。加扰单元110使用加扰密钥(群发密钥)m将所接收到的内容数据F加扰成加扰内容数据F′。

广播发送器Sb连续地广播加扰内容数据。用所送达的群发密钥m₁、m₂、m₃、...连续地对所送达的内容数据F1、F2、F3、...进行加扰，并且广播结果得到的加扰内容数据F1′、F2′、F3′、...。

加扰广播数据原则上可以由无限数量的接收器接收。这里同样，不再考虑广播媒介或信道。

广播系统100此外还包括发送器S，该发送器S与按照附图1的通信系统中的发送器S相同，并且该发送器拥有结合该附图介绍的多个基本密钥。发送器S也从密钥发生单元104连续地接收群发密钥m₁、m₂、m₃、...。发送器S具有包含于其中或者与之相关的存储装置，其存储有关于授权和未授权接收器的信息。发送器S按照选定的基本密钥组合递归地连续加密实际的群发密钥m₁、m₂、m₃、...，并且将这样加密的密钥信息作为加密消息106广播出去。

该广播系统此外还包括4个接收器R1、R2、R3、R4。一方面，这些接收器对应于按照附图1的通信系统10中的那些接收器，并且包括递归加密单元24和密钥数据库14。基本密钥在接收器当中的发布与附图1中给出的相同。另一方面，接收器R1、R2、R3、R4各自包括解扰单元112和群发密钥存储器114。

附图11b表示解扰单元112，该单元对加扰内容数据F′进行处理。使用从群发密钥存储器114中取回的群发密钥m对数据F′进行解扰，以重构明文数据F。发送器中的加扰单元110和接收器的解扰单元112彼此进行相反的操作。对于加扰和解扰操作，一般来说，可以使用任何类型的加密方法。最好使用快速分组密码。

接下来，将会介绍广播系统100的操作。广播系统100可以是例如付费电视系统，其中以加扰形式连续广播电视内容，并且只有订购用户(授权接收器)能够观看该内容。将该系统改造成为高度动态的，从而例如每看即付成为可能。因此，加扰密钥(群发密钥)是随着时间相当频繁改变的，例如，每分钟改变一次。

从源102送来的实际电视内容数据F1、F2、F3、...是使用在不同时间点上有效的群发密钥连续解密的。附图12表示用变化的群发密钥m₁、m₂、m₃、...连续加扰的内容数据的象征性表达。

与广播发送器Sb的加扰广播同时地，发送器S向授权接收器连续地发布在任意给定时刻有效的群发密钥。

在附图10的例子中，只有接收器R2和R3得到授权，而接收器R1和R4没有得到授权。密钥发生器104产生群发密钥m₁，并且将其送到广播发送器Sb和发送器S。发送器S用基本密钥k1、k4对群发密钥m₁加密，并且将相应的加密消息106发送到所有接收器。在所选择的基本密钥组合的作用下，只有得到授权的接收器R2和R3能够对该消息进行解密并且接收到群发密钥m₁。接收器R2和R3各自将群发密钥m₁存储在它们各自的密钥存储器114.2、114.3中。接收器R1和R4不能对加密消息106解密，从而它们各自的密钥存储器114.1、114.4并不包含有效的群发密钥m₁。

广播发送器Sb同时用当前的群发密钥m₁对当前的节目片F1进行加扰，并且将加扰内容数据F1′广播到所有接收器。虽然所有接收器R1-R4都接收到了加密数据，但是只有授权接收器R2、R3之前获得了当前的群发密钥m₁，从而它们能够对消息F1′进行解扰，以取得当前电视片F1。

上面介绍的操作随着后续的片子F1、F2、F3、...和连续改变的群发密钥m₁、m₂、m₃、...连续重复进行。在订户改变的情况下(例如接收器R3没有订购片子F3)，发送器S得到通知并且相应地改变群发密钥m₃的加密方式。在所给出的例子中，发送器S会用基本密钥k1、k3、k4递归地对群发密钥m₃进行加密，从而只有订购接收器R2能够接收到群发密钥m₃并且随后对片子F3进行解扰。

应当注意，虽然在附图10的例子中，广播发送器Sb和发送器S是作为独立的实体给出的，但是实际上它们可以是组合在一起的。尤其是，加密密钥数据106和加扰内容数据F1′可以通过相同的信道以相同的方式传送，并且最好组合在一起作为单独一个数据流来传送。

虽然上面的说明书给出了通信系统、这些系统内的通信、发行方案、通信方法、操作方法以及广播系统和方法的例子，但是这些例子仅仅被选择用于说明，不应当将它们理解为限制了本发明的范围。上述系统和方法有多种可能的修改和扩展。

Claims (15)

1.用于选择性数据传输的系统，具有

-发送器(S)

-以及至少第一和第二接收器(R1，R2)，

-具有与所述发送器(S)相关联的加密装置(24)，所述加密装置(24)包括多个基本密钥(k1，k2，k3，k4)，

-从所述发送器(S)到所述接收器(R1，R2)、用于传输加密数据(42，52，62，106)的传输信道(C)，

-以及具有与各个所述接收器(R1，R2)相关联的解密装置(34)，所述解密装置(34)各自包括接收器密钥集，其中各个接收器密钥集是所述基本密钥(k1，k2，k3，k4)的子集，

-其中为了将数据(40)至少传输到所述第二接收器(R2)，将所述加密装置(24)配置为用至少两个密钥(k1，k3，k4)递归地对所述数据(40)进行加密，所述密钥包含在所述第二接收器(R2)的所述接收器集合中，并且所述密钥中的至少一个(k4)不包含在所述第一接收器(R1)的所述接收器集合中，

-并且其中将所述第二接收器(R2)的所述解密装置(34)配置为用所述至少两个密钥(k1，k3，k4)递归地对所述数据(42，52，62，106)解密。

2.按照权利要求1所述的系统，

-所述系统(10)此外还包括第三接收器(R3)，该第三接收器具有解密装置(34.3)，该解密装置包括接收器密钥集，该接收机密钥集是所述基本密钥(k1，k2，k3，k4)的子集，

-其中所述第一、第二和第三接收器(R1，R2，R3)的所述接收器集合是成对不同的，

-并且其中所述第二接收器(R2)的所述接收器集合和所述第三接收器(R3)的所述接收器集合包括至少两个共有的密钥(k1，k4)，其中所述至少两个共有密钥(k1，k4)中的至少一个不包含在所述第一接收器(R1)的所述接收器集合中。

-并且其中为了将数据(40)传输到至少包括所述第二接收器(R2)和所述第三接收器(R3)的组，将所述加密装置(24)配置为用至少所述两个共有密钥(k1，k4)递归地对所述数据(40)加密，

-并且其中将所述第二和第三接收器(R2，R3)的所述解密装置(34.2，34.3)各自配置为用至少所述两个共有密钥(k1，k4)递归地对所述数据(42，52，62，106)解密。

3.按照前述任何一项权利要求所述的用于选择性数据传输的系统，具有

-多个接收器(R1，R2，R3，R4)，各个接收器具有相关联的解密装置(34)，各个解密装置具有接收器密钥集，其中所述接收器集合是成对不同的，

-其中授权的所述接收器(R2，R3)组被授权接收所述数据，

-并且其中为了将所述数据(40)传输到所述授权接收器组的接收器，将所述加密装置(24)配置为用多个密钥(k1，k4)递归地对所述数据(40)加密，所有所述密钥都包含在所述授权接收器组的接收器的所述接收器集合中，并且对于不属于所述授权接收器组的各个接收器(R1)，所述密钥中的至少一个没有包含在相应的接收器集合中，

-并且其中将所述授权接收器组的接收器(R2，R3)的所述解密装置(34)配置为用所述多个密钥(k1，k4)递归地对所述数据(42，52，62，106)解密。

4.按照权利要求3所述的系统，其中

-将所述授权接收器组分为至少两个子组，

-并且为了将所述数据(40)传输到所述授权接收器组的接收器，在至少两次传输中将所述数据传送到所述接收器，其中在各次传输中，用不同的密钥集递归地对数据进行加密，所有所述密钥都包含在相应接收器子组的所述接收器集合中。

5.按照前述任何一项权利要求所述的系统，其中

-将所述加密装置(24)配置为按照多个加密步骤递归地进行加密，其中在各个加密步骤中，用密钥(k1)对一段数据(D)进行加密，以计算出加密数据段(D1)，

-其中各个所述加密步骤包括用与所述密钥(k1)相关的密钥数字进行至少一次求幂的计算，

-将所述加密装置配置为通过对与多个密钥(k1，k2，...，kn)相关的密钥数字进行相乘，并且用所述相乘的结果计算求幂，递归地应用所述密钥执行所述加密步骤。

6.按照前述任何一项权利要求所述的系统，具有

-多个接收器，

-其中将所述接收器分成多个组(90a，90b)，

-其中对于各个所述组(90a，90b)，加密装置(24)包括基本密钥组集，所述组集彼此成对地不同，

-并且各个所述接收器的解密装置(24)包括接收器密钥集，该接收器密钥集是以该相应接收器作为成员的组的组集的子集。

7.按照前述任何一项权利要求所述的系统，具有

-多个接收器(R1-R4)，具有与各个所述接收器(R1-R4)相关联的解密装置(34)，所述解密装置(34)分别包括接收器密钥集，其中各个接收器密钥集是所述基本密钥(k1-k4)的子集，

-其中各个所述接收器密钥集包括相同数量的基本密钥。

8.按照前述任何一项权利要求所述的系统，具有

-多个接收器，

-与所述发送器(S)相关联的存储装置，该存储装置存储着与出自所述多个接收器的第一授权接收器组和/或出自所述多个接收器的第二授权接收器组相关的信息，

-其中所述发送器(S)包括用于控制消息传输的发布控制装置，所述发布控制装置配置为确定所述基本密钥(k1-k4)的一个或多个组合，从而使得按照所述组合递归加密的消息可仅仅在所述属于第一组的接收器处得到解密，并且在所述属于所述第二组的接收器处不能得到解密。

9.按照前述任何一项权利要求所述的系统，具有

-k个基本密钥，

-和N个接收器，并且具有与各个所述接收器相关的解密装置，所述解密装置各自包括接收器密钥集，其中各个接收器密钥集是所述基本密钥的子集，

-其中各个接收器密钥集包含m个所述基本密钥，

-其中

基本上大于N。

10.用在按照前述任何一项权利要求所述的传输系统中的发送器，具有

-加密装置(24)，包括多个基本密钥(k1-k4)，所述加密装置(24)配置为用所述基本密钥(k1-k4)中的至少两个递归地对数据(40)加密，

-和传输装置(26)，用于通过传输信道(C)传输所述加密数据(D′)。

11.用在按照权利要求1-9中任何一项所述的传输系统中的接收器，具有

-接收装置(32)，用于接收传输信道(C)的加密数据(D′)，

-和解密装置(34)，包括接收器密钥集，

-其中所述解密装置(34)配置为用所述密钥中的至少两个递归地对所述加密数据(D′)解密。

12.广播系统，具有

-加扰装置(110)，用于用加扰密钥(m)对内容(F)进行加扰，

-广播发送器(Sb)，用于通过信道广播所述加扰内容(F′)，

-所述广播系统此外还包括按照权利要求1-9中任何一项所述的选择性数据传输系统，该选择性数据传输系统具有用于选择性地传输加扰密钥(m)的发送器(S)和接收器(R1-R4)，

-其中所述接收器(R1-R4)各自包括用于用所述加扰密钥(m)对所述加扰内容(F′)进行解扰的解扰装置(112)。

13.选择性数据传输的方法，其中将加密数据被

-从包括多个基本密钥(k1-k4)的发送器(S)传送到

-至少第一和第二接收器(R1，R2)，各个接收器包括接收器密钥集，其中各个接收器密钥集是所述基本密钥的子集(k1-k4)，

-其中为了将数据选择性传输到第二接收器(R2)，所述方法包括下列步骤：

-在所述发送器(S)处，用至少两个密钥(k1，k3，k4)递归地对所述数据(40)进行加密，所述密钥(k1，k3，k4)包含在所述第二接收器(R2)的所述接收器集中，并且所述密钥中的至少一个(k4)不包含在所述第一接收器(R1)的所述接收器集中，

-通过传输信道(C)传输加密数据(42，52，62)，

-和，在所述第二接收器(R2)处，用所述至少两个密钥(k1，k3，k4)递归地对所述加密数据(42，52，62，106)进行解密。

14.按照权利要求13所述的方法，所述方法还包括步骤：

-确定要调换的至少一个基本密钥(k1，k2，k3，k4)，

-产生至少一个新的基本密钥，

-用多个基本密钥递归地对新的基本密钥进行加密，并且将这样加密的密钥传输到多个接收器。

15.操作包括发送器(S)和多个接收器(R1-R4)的系统的方法，所述方法包括步骤

-确定用于将多个基本密钥(k1-k4)发行给多个接收器(R1-R4)的发行方案，其中各个所述接收器(R1-R4)拥有多个所述基本密钥(k1-k4)，

-产生所述基本密钥(k1-k4)，

-和，在所述接收器(R1-R4)加入的时候，按照所述预先确定的发行方案将所述基本密钥(k1-k4)发布给所述接收器(R1-R4)。

Images