CN101118579A - 一种验证许可的方法及系统 - Google Patents

Abstract

本发明公开了一种验证许可的方法，用以解决现有技术中终端设备验证许可时存在可能无法验证的问题；进一步解决该现有技术存在的安全性差和密钥管理复杂的问题。该方法为：向终端设备传送许可和用签名密钥对该许可签名后的数字签名，所述签名密钥仅关联一个由终端设备共享的验证密钥；所述终端设备接收所述许可及其签名，并利用所述共享的验证密钥对所述许可的签名进行验证。本发明同时公开一种终端设备和数字版权管理系统。

Description

一种验证许可的方法及系统

技术领域

本发明涉及数字版权管理技术领域，尤其涉及一种验证许可的方法及系统。

背景技术

数字版权管理(DRM)主要通过权利限制和内容保护方案控制数字内容的使用，保护内容所有者的合法权益。数字内容的发行者CI将数字内容加密后，用户将加密的数字内容的数据包下载到终端设备上；许可服务器负责分发与数字内容相对应的许可证，其中包括内容解密密钥及对应的权限。终端设备只有同时拥有内容数据包(其中包含解密数字内容所必须的信息)和许可证，才能正常使用所购买的数字内容。

为了方便进行许可证的分发和管理，DRM系统中引入了域的概念。域是一组DRM终端设备的集合，同一个域中的DRM终端设备共享一些域信息，包括一个唯一的域标识符、人可读的域名、用来解密域许可中敏感信息的域密钥等等。许可服务器为域发行许可(称为域许可)时，利用域密钥对许可进行封装，从而使域内成员可以借助域密钥获得内容加密密钥，使用数字内容；而非域成员由于无法获得域密钥，则不能访问数字内容。

在OMA DRM20中，版权发行者(RI)用自己的私钥对域许可进行签名，并将签名保存在域许可中。域成员间相互传递域许可时，许可接受方需要用RI的公钥来验证签名，防止域许可被篡改。

但由于终端设备的多样性以及终端设备信任的认证中心(CA)的多样性，为了支持各种终端设备，RI通常需要和多个CA建立信任关系，在这种情况下一个RI上存在多个公私密钥对。RI用其中的一个私钥来对域许可进行签名，对应的公钥可以用来验证该签名。终端设备在和RI注册时通过数字证书来相互验证，终端设备在本地保存RI的一个数字证书。由于存在RI有多个证书的情况，因此终端设备保存的证书有可能无法验证RI对域许可的签名。例如RI用证书A对应的私钥对域许可签名，而用证书B和一个终端设备完成注册，显然证书B所携带的公钥无法验证证书A对应私钥的签名。这就导致域内终端设备无法使用域许可。

为了对上述技术进行改进，RI可以用不同的私钥对域许可进行多次签名，并且将所有的签名保存在域许可中传给终端设备。终端设备只要能验证其中一个签名，即保证了该域许可是有效的。但是，在这种情况下，由于要携带多个签名，导致网络传输负担加大以及密钥管理复杂，而且在RI所信任的CA可扩展的情况下，这种改进仍然会导致域内终端设备无法使用域许可。例如，一开始RI和两个CA建立了信任关系，于是RI用这两个CA颁发的私钥对域许可进行两次签名并且都加在域许可中。随后，RI又和另外的一个CA建立了信任关系，从而获得了新的公私密钥对。显然，如果一个终端设备用第三个CA为RI颁发的证书来验证该域许可的签名，是无法通过验证的。

除域许可之外，对于设备许可，如果存在转移或复制等共享权限，同样有可能产生接受方终端无法验证的情况。例如，用户用终端设备A购买了一部电影及相应的许可，该许可包含转移权限，允许用户将许可转移给其他终端设备。此后用户又购买了终端设备B并希望在终端设备B上观看电影，于是用户将电影拷贝到终端设备B上，并利用相应许可的转移权限，将许可转移给终端设备B，并且携带RI的原始签名。但是，由于终端设备A和终端设备B向RI注册时获得的RI证书不同且包含不同的验证密钥，因此终端设备B无法验证该签名，无法使用该许可。为了解决该问题，现有技术的一种方法是在设备许可转移时不验证原始签名。由于设备许可转移时需要两个设备建立安全通道并进行相互的验证(域许可由于不需要密钥转换，因此能够直接以文件的形式复制，不需要相互验证)，接受方验证发送方，确定发送方是可信任的且不会修改原始的许可，因此可以不验证原始的签名。但这种方式只能在一定程度上保证发送方设备可信，假如发送方设备已被黑客攻击破解，此种情况无法通过证书验证来检测，则黑客可以发送一个更改后的许可而接受方无法检测出更改。

发明内容

有鉴于此，本发明提供一种验证许可的方法及系统，用以解决现有技术中终端设备验证许可时存在可能无法验证的问题；进一步解决该现有技术存在的安全性差和密钥管理复杂的问题。

本发明提供以下技术方案：

一种验证许可的方法，包括如下步骤：

向终端设备传送许可和用签名密钥对该许可签名后的数字签名，所述签名密钥仅关联一个由终端设备共享的验证密钥；

所述终端设备接收所述许可及其签名，并利用所述共享的验证密钥对所述许可的签名进行验证。

根据上述方法：

若对所述许可的签名验证失败，所述终端设备禁止安装和使用该许可。

所述许可为域许可，终端设备在该域许可所在的域内共享所述验证密钥。

所述终端设备接收到域许可及其签名后进一步检查本设备是否为该域的成员，若是，则进行后续验证，否则，提示用户先加入域。

所述签名密钥和验证密钥由版权发行者RI生成；或者，所述签名密钥和验证密钥由域管理器生成。

所述终端设备在加入域的过程中获得所述验证密钥。

在向所述终端设备返回的成功加入域的响应消息中携带所述验证密钥。

所述验证密钥由版权发行者RI或域管理器发送给所述终端设备。

由版权发行者RI或域管理器利用所述签名密钥对整个域许可或域许可中的部分信息进行签名。

多个域采用相同的验证密钥和签名密钥对；或者，每个域采用不同的验证密钥和签名密钥对。

所述许可为设备许可，发行所述设备许可的版权发行者RI所管辖的终端设备共享同一个验证密钥。

所述终端设备接收到所述设备许可及其签名后进一步检查本设备是否有相应的版权发行者RI信息，若是，则进行后续验证，否则，提示用户先向版权发行者RI注册。

所述签名密钥和验证密钥由版权发行者RI生成，并由所述版权发行者RI将所述验证密钥发送给所述终端设备，以及利用所述签名密钥对整个设备许可或设备许可中的部分信息进行签名。

所述终端设备在向版权发行者RI注册的过程中获得所述验证密钥。

在向所述终端设备返回的成功注册的响应消息中携带所述验证密钥。

所述签名密钥与验证密钥为公私密钥对，其中，签名密钥为私钥，验证密钥为公钥；或者，所述签名密钥与验证密钥为对称密钥对。

由版权发行者RI向所述终端设备发送经签名密钥签名的许可及其签名，或者，由其他终端设备将获得的所述许可及其签名复制或转移到所述终端设备。

一种终端设备，包括数字版权管理DRM模块；还包括：

通信模块，用于获取共享的验证密钥，以及接收和发送经签名密钥签名的许可及其签名，所述签名密钥与所述验证密钥为关联密钥；

存储模块，用于保存经所述通信模块获取的所述验证密钥；

验证模块，利用保存的所述验证密钥对接收到的许可的签名进行验证。

所述终端设备还包括：

判断模块，用于在接收到域许可及其签名时，确定本终端设备是否已加入对应的域，并在确定未加入时提示用户加入该域；或者，用于在接收到设备许可及其签名时，确定本终端设备是否已注册到对应的版权发行者RI，并在确定未注册时提示用户向该版权发行者RI注册。

所述通信模块、存储模块、验证模块和判断模块设置在所述数字版权管理DRM代理模块中。

一种数字版权管理系统，包括：

版权发行者RI，用于生成关联的签名密钥和验证密钥，并利用签名密钥对整个许可或许可中的部分信息签名，以及向终端设备提供签名后的许可及其签名和所述验证密钥，其中所述验证密钥为共享密钥。

所述系统还包括：

终端设备，用于从所述版权发行者RI获取所述验证密钥，并利用该验证密钥对接收到的所述许可的签名进行验证。

一种数字版权管理系统，包括：

版权发行者RI，用于向域内终端设备提供经签名密钥签名的域许可及其签名；

域管理器，用于向域内终端设备提供与所述签名密钥关联、并且在域内共享的验证密钥。

所述系统还包括：

终端设备，用于从所述域管理器获取所述验证密钥，并利用该验证密钥对接收到的所述域许可的签名进行验证。

由所述版权发行者RI生成所述签名密钥和验证密钥；或者，由所述域管理器生成所述签名密钥和验证密钥。

由版权发行者RI或域管理器利用所述签名密钥对整个域许可或域许可中的部分信息进行签名。

所述域管理器为多个，域管理器之间采用分级结构，由最下级的域管理器和终端设备交互，最上级的域管理器和版权发行者RI交互。

本发明有益效果如下：

1、本发明在域内采用签名密钥对域许可签名，终端设备利用域内共享的验证密钥对域许可的签名进行验证，从而保证了域内终端设备能够使用域许可。

2、签名密钥和验证密钥采用公私密钥对，终端设备无法伪装成RI对域许可签名，因而极大的提高了安全性。在采用对称密钥对，即使验证密钥被破解，也仅影响一个或有限的几个域，相对于现有技术，其安全性也得到提高。

3、在域内采用签名密钥和共享的验证密钥，可以在终端注册时将验证密钥下发给终端设备；而密钥对变化时，只是相应域内的终端设备重新获取验证密钥即可，因而其管理相对于现有技术更为简单。

4、对于设备许可采用本发明同样能获得上述有益效果。

附图说明

图1为本发明实施例中一种数字版权管理系统的结构示意图；

图2A为本发明实施例中一种加入一个域管理器后的数字版权管理系统的结构示意图；

图2B为本发明实施例中一种加入多级域管理器后的数字版权管理系统的结构示意图；

图3为本发明实施例中终端设备的结构示意图；

图4为本发明实施例中数字版权管理系统的流程图；

图5为本发明实施例中加入一个域管理器后的数字版权管理系统的流程图；

图6为本发明实施例中加入多级域管理器后的数字版权管理系统的流程图；

图7为本发明实施例中上级域管理器生成签名密钥和验证密钥后通知下级域管理器从而验证域许可的流程图；

图8为本发明实施例中RI生成签名密钥和验证密钥后通知域管理器从而验证域许可的流程图；

图9为本发明实施例中设备许可共享的处理流程图。

具体实施方式

为了解决现有技术中终端设备验证许可时存在可能无法验证的问题，进一步解决该现有技术存在的安全性差和密钥管理复杂的问题，本发明采用签名密钥对许可进行签名，终端设备在接收到许可和对许可的签名后，采用与所述签名密钥关联并且共享的验证密钥对许可的签名进行验证。

在本实施例中，较佳的方式是所述签名密钥和验证密钥采用公私密钥对，以保证许可的高安全性。因为用同一个密钥对许可进行签名和验证的话，可能会出现一个终端设备自己修改许可后用验证密钥重新签名，使得其他终端设备无法检测出这种篡改的情况，这种篡改有可能损害RI的利益或者对终端设备造成危害，例如用户可以自己任意的扩大许可权限，然后将扩大权限后的许可散播出去，或者在许可中植入病毒等。采用公私密钥对，由于终端设备只保存有公钥，因此无法冒充RI对许可进行签名。

当然，在终端设备是绝对安全的场景下，即终端设备不可能执行篡改许可或者泄露验证密钥，也可以采用对称密钥，即签名密钥和验证密钥为同一密钥。

根据版权管理系统的组网结构，所述签名密钥和验证密钥可以由版权发行者RI生成，如果系统中有域管理器时，所述签名密钥和验证密钥也可以由域管理器生成。

所述许可为域许可，或者所述许可为存在转移或复制的共享权限的设备许可。

图1给出了本实施例中的一种数字版权管理系统，该系统主要包括版权发行者RI100，与该RI100连接的终端设备101，该终端设备可为多个。所述RI100用于生成验证密钥和签名密钥；该RI100利用生成的签名密钥对发放的整个许可或许可中的部分敏感信息签名，RI100将验证密钥发送给所有需要该验证密钥的终端设备101，并且向终端设备101发放签名后的许可及对许可的签名。所述终端设备101，用于向RI100申请加入域或注册以得到包括所述验证密钥的信息，请求许可以及用得到的验证密钥验证许可的签名；终端设备101在验证通过后，允许在本地安装和使用该许可，如果验证失败，则禁止在本地安装和使用许可，如丢弃该许可。

图2A给出了所述许可为域许可时，本实施例中另一种数字版权管理系统，该管理系统在图1所示的系统结构的基础上增加了域管理器102，版权发行者RI100和终端设备101连接到域管理器102，该域管理器102负责向终端设备101发放验证密钥。

在图2A所示的系统中，签名密钥和验证密钥可以由RI100生成，生成密钥后，RI100将验证密钥传送给域管理器102，由域管理器102向域内终端设备101发放验证密钥。RI100可以直接利用签名密钥对域许可签名并将该域许可及其签名发送给终端设备101，也可以将签名密钥发送给域管理器102，由域管理器102对域许可进行签名，然后将签名后的域许可及其签名传送给RI100，由RI100发送给终端设备101。

在图2A所示的系统中，签名密钥和验证密钥也可以由域管理器102生成，由域管理器102向域内终端设备发送验证密钥；同时，域管理器102将生成的签名密钥发送给RI100，由RI100对域许可进行签名并将该域许可及其签名发送给终端设备101。另外，域管理器102也可以利用签名密钥直接对域许可进行签名，然后将该域许可及其签名传送给RI100，由RI100将该域许可及其签名发送给终端设备101。

图2B在图2A所示的数字版权管理系统的结构中，将域管理器201设置为分级的组织结构，上级的域管理器负责管理下级的域管理器，由最下级的域管理器A1、A2和终端设备101交互，最上级的域管理器B和版权发行者RI100交互。

在图2B所示的系统中，签名密钥和验证密钥可以由下级的域管理器A1、A2负责生成，并通知上级域管理器B；也可以由上级的域管理器B生成签名密钥和验证密钥，并通知下级的域管理器A1、A2。

参阅图3，本实施例中的一种终端设备主要包括DRM代理模块300；所述DRM代理模块300，用于数字版权管理和控制。所述DRM代理模块300中包括通信模块3000、判断模块3001、存储模块3002、验证模块3003；所述通信模块3000，用于获取共享的验证密钥，以及接收和发送经签名密钥签名的许可及其签名；所述判断模块3001，用于确定本终端设备是否已加入接收到的域许可所对应的域，并在确定未加入时提示用户加入该域；或者，用于确定本终端设备是否已向版权发行者RI注册，并在确定未注册时提示用户向版权发行者RI注册；所述存储模块3002，用于保存所述验证密钥；所述验证模块3003，用于利用保存的所述验证密钥对接收到的许可的签名进行验证。

图3所示的所述通信模块3000、判断模块3001、存储模块3002、验证模块3003在所述DRM代理模块300中是一种较佳的方式，当然，所述通信模块3000、判断模块3001、存储模块3002、验证模块3003也可以独立于所述DRM代理模块300。

在本实施例中，终端设备在加入域或向RI注册的过程中获得所述验证密钥。一种较佳的方式是RI或域管理器在向终端设备返回的成功加入域或成功注册的响应消息中携带所述验证密钥。

下面以所述许可为域许可进行说明：

当所述许可为域许可时，终端设备在申请加入一个域后，RI或域管理器将该域的一些信息以消息的形式或者结构化的文本的形式返回给终端，所述消息或文本中添加用于验证域许可完整性的信息。一个携带验证密钥的响应消息的

具体实例如下：

类型：加入域响应消息

状态：成功

终端ID：Device_A

RI ID：RI_X

域ID：Domain_1

域密钥：XXXXXXXXX

验证密钥：xxxxxxxxxxx

域有效期：2006-12-31

数字签名：.......................

如上例所述，当Device A向RIX请求加入域后，RI向终端设备返回一个成功加入域的响应消息。为了防止第三方窃听消息，RI可以用终端设备的公钥或者一个双方协商好的密钥对该消息或消息中的部分参数进行加密。

上述响应消息中的域密钥用于RI颁发域许可时对域许可或域许可中的部分敏感信息进行加密，终端设备在收到域许可后，必须用域密钥进行解密后才能使用。加密的域密钥和解密的域密钥可能是一对公私密钥，也可能是对称密钥。上述响应消息中的数字签名用于验证该响应消息的完整性和有效性。

在上述响应消息中，所述域密钥和验证密钥可以设置为两个独立的参数，也可以设置为一个参数，该参数同时携带两个密钥的信息，例如将两个128位的密钥拼合成一个256位的密钥，前128位代表域密钥，而后128位代表验证密钥。

在本实施例中，RI或域管理器可以为每个域分配不同的验证密钥和签名密钥对，也可以为若干域分配同一对验证密钥和签名密钥。验证密钥和签名密钥可以是RI或域管理器通过算法自己随机生成，也可以借用已有证书的公私密钥对。RI或域管理器在本地保存签名密钥和验证密钥，以及各个密钥对和域的对应关系，例如：

域ID	域有效期	域密钥	域签名/验证密钥对	域大小	当前域成员个数
						Domain1	2006-12-31	DK1	DSAK1	100	10
Domain2	2007-03-10	DK2	DSAK1	50	8
						Domain3	2007-10-03	DK3	DSAK2	80	20

在上表中，Domain1和Domain2共享同一对签名和验证密钥。当然，如前所述，验证密钥和签名密钥可能是同一个密钥，在这种情况下，不需要保存密钥对，而只需要保存一个密钥即可。

同样，终端设备在加入域后也需要在本地保存验证密钥以及其他域信息，如域ID、域密钥、域有效期等。

RI或域管理器在有些情况下需要对域进行升级，例如当RI或域管理器发现域密钥被非法的终端设备破解，此时RI或域管理器必须更换域密钥并通知域内的合法终端设备来获取新的域信息。域版本更新时，可能同时更新域密钥和验证密钥，也可能仅仅更新其中的一个密钥。终端设备收到新版本的验证密钥后，必须在本地保存该验证密钥。考虑到这样一种情况，终端设备保存了新的验证密钥后，又从其他终端处获得一个老的域许可，并且该域许可是用更新前老版本的签名密钥签名的。为了能够验证并安装该域许可，终端设备在保存新版本的验证密钥同时，可以保留老版本的验证密钥。对于一个域许可，只要终端设备能够用对应域的某一个验证密钥成功验证签名，即可认为该域许可是有效的。

在本实施例中，对域许可的签名可以嵌入在域许可内，也附加在域许可外，一般情况下，域许可和对应的签名同进传送给终端设备。

参阅图4所示，在图1所示的系统结构中验证域许可的处理流程如下：

步骤400、终端设备A向RI申请加入一个域，RI将所述加入域的域信息，包括一个验证密钥返回给终端设备A，终端设备A在本地保存该域信息，包括所属验证密钥。

步骤401、终端设备A向RI请求域许可。

步骤402、RI将域许可和对应的由签名密钥得到的数字签名返回给终端设备A。

步骤403、终端设备A用验证密钥验证该数字签名，验证通过后在本地安装该域许可。

步骤404、终端设备A将该域许可复制或转移给终端设备B，在复制或转移的时候，携带原始的对应于域许可的数字签名。

步骤405、终端设备B向RI申请加入该域许可的对应域，RI将所述对应域的域信息，包括一个验证密钥返回给终端设备B，终端设备B在本地保存该域信息，包括所属验证密钥。

步骤406、终端设备B用验证密钥验证得到的数字签名，验证通过后在本地安装该域许可。

参阅图5，以图2A所示的系统结构为例，验证域许可的处理流程如下：

步骤500、终端设备向一个域管理器请求加入域，该域管理器将所述加入域的域信息，包括一个验证密钥发给终端设备，终端设备在本地保存域信息，包括所属验证密钥。

步骤501、终端设备向RI请求域许可。

步骤502、RI向域管理器请求对应的域信息，包括对域许可进行签名的签名密钥，域管理器将对应的域信息发给RI。

步骤503、RI用签名密钥对域许可进行签名。

步骤504、RI将域许可和对应的数字签名返回给终端设备。

步骤505、终端设备用验证密钥验证该数字签名，验证通过后在本地安装该域许可。

所述步骤502和步骤503可以位于步骤504前的任何位置。例如RI可以对一个已经生成好的域许可预先进行数字签名，当收到域许可请求消息后，直接将域许可和数字签名返回给终端设备。

在图5所示的流程中，RI向一个域管理器请求签名密钥并对域许可签名。当然，也可以由域管理器来对域许可进行签名。即在步骤502、503，RI将需要签名的域许可发送给域管理器，域管理器找到该域对应的签名密钥，并对域许可进行签名，然后返回给RI。

在图5所示的流程中，RI直接和一个域管理器联系，当域管理器采用分级组织的结构时，一个上级的域管理器负责管理几个下级的域管理器，而最下级的域管理器负责直接和终端设备交互。参阅图6，以图2B所示的系统结构为例，验证域许可的处理流程如下：

步骤600、终端设备向域管理器A1(下级域管理器)请求加入域，域管理器A1将对应的域信息，包括一个验证密钥发给终端设备，终端设备在本地保存域信息，包括所属验证密钥。

步骤601、终端设备向RI请求域许可。

步骤602、RI向域管理器B(上级域管理器)请求域信息，包括签名密钥。

步骤603、域管理器B向域管理器A1(下级域管理器)请求域信息，包括签名密钥。域管理器B可能和域管理器A1直接联系，也可能进一步通过其他中间的域管理器间接的联系。

步骤604、域管理器A1向域管理器B返回域信息，包括签名密钥。

步骤605、域管理器B向RI返回域信息，包括签名密钥。

步骤606、RI用签名密钥对域许可进行签名。

步骤607、RI将域许可和对应的数字签名返回给终端设备。

步骤608、终端设备用验证密钥验证该数字签名，验证通过后在本地安装该域许可。

所述步骤602至步骤606可位于步骤607前的任何位置，步骤603、604也可以位于步骤605前的任何位置。

在图6所示的流程中，上级的域管理器(域管理器B)向下级的域管理器(域管理器A1)请求并获取域信息，包括签名密钥，在这里，下级域管理器也可以自己主动将域信息，包括签名密钥通知上级域管理器，例如当下级域管理器为一个域生成域信息或更新域信息后，直接将新的域信息通知上级域管理器。在这种情况下，步骤603可以省略。同理，步骤602也可以省略。另外，也可以由上级域管理器负责为域许可来签名，即RI将域许可发送给域管理器B，由域管理器B签名后返回给RI。

在图6所示的流程中，下级的域管理器负责生成签名密钥和验证密钥，并通知上级域管理器。这里也可以由上级的域管理器生成签名密钥和验证密钥，并通知下级的域管理器，如图6所示，流程如下：

步骤700、域管理器A1向域管理器B请求域信息，包括验证密钥。

步骤701、域管理器B向域管理器A1返回域信息，包括验证密钥。

步骤702、终端设备向域管理器A1请求加入域，域管理器A1将对应的域信息，包括验证密钥发给终端设备，终端设备在本地保存域信息，包括所属验证密钥。

在图7所示的流程中，下级域管理器向上级域管理器请求并获得域信息，在这种情况下，下级域管理器可以不知道签名密钥(签名密钥由上级域管理器负责通知RI)，但是下级域管理器必须能得到验证密钥的信息。当然，同前所述，步骤600是可以省略的，上级域管理器可以主动将信息通知下级域管理器。域管理器A1和域管理器B之间可以直接联系也可通过其他中间的域管理器间接联系。

在图5、图6和图7所示的流程中，域管理器负责为域生成签名密钥和验证密钥。这里也可由RI生成上述的信息，并将所有或部分信息通知域管理器，如图8所示，流程图如下：

步骤800、域管理器向RI请求域信息，包括验证密钥。

步骤801、RI向域管理器返回域信息，包括验证密钥。

步骤802、终端设备向域管理器请求加入域，域管理器将包括验证密钥的域信息发给终端设备，终端设备在本地保存域信息。

在本实施例中，不限于RI向终端设备传送域许可及其签名，也可以是从RI获取域许可的终端设备向其他终端设备发送域许可。如，一个终端设备将域许可复制或转移给其他终端设备，在复制或转移的时候，也必须携带原始的数字签名。接受方收到一个没有数字签名的域许可，则认为这个域许可是不可靠的，必须丢弃该域许可。当接受方收到一个带有数字签名的域许可后，首先检查自己是否是该域的成员，如果接受方是该域的成员，则必须首先使用验证密钥来验证数字签名是否有效，其后续处理与前述相同；如果不是该域的成员，则提示用户首先执行加入域的操作并获取该域共享的验证密钥，然后按前述方式进行后续验证和处理。

对于设备许可存在转移或复制等共享权限的情况，同样可采用类似上述域许可验证的方法，当终端设备向RI注册时，RI通过响应消息下发一个验证密钥，并使用与该验证密钥对应的签名密钥对设备许可进行签名。同一个RI的所有注册终端设备均能使用同样的验证密钥来验证该RI的设备签名。一个携带验证密钥的注册响应消息的具体实例如下：

类型：注册响应消息

状态：成功

终端ID：Device_A

RI ID：RI_X

RI证书：Certificate1

验证密钥：xxxxxxxxxxx

域有效期：2006-12-31

数字签名：.......................

参阅图9所示，设备许可共享的处理流程如下：

步骤900、终端设备A向RI注册，获取RI的信息，例如RI的证书，该信息还包括一个验证密钥。

步骤901、终端设备A向RI请求一个带共享权限的许可，所述共享权限可能是转移、复制等。

步骤902、RI将所述许可和对应的由签名密钥得到的签名返回给终端设备A。其中，签名可保存在许可中也可保存在许可外。

步骤903、终端设备A用验证密钥验证所述许可的签名，验证通过后在本地安装该许可。

步骤904、终端设备A将该许可共享给终端设备B，所述共享包括转移、复制等，共享许可的同时携带原始RI的签名。

步骤905、终端设备B收到该共享许可后，发现没有相应的RI信息，于是向RI注册，获取RI的信息，例如RI的证书，该证书可能和终端设备A获取的证书不同；该信息还包括一个验证密钥，该验证密钥对同一个RI的注册终端来说都是相同的。

步骤906、终端设备B用验证密钥验证所述许可的签名，验证通过后在本地安装该许可。

图9所示流程中，步骤905可位于步骤906前的任何位置。同样，较佳的方式是签名密钥和验证密钥为一对公私钥对，但在终端设备是绝对安全的场景下，即终端设备不可能执行篡改许可或者泄露验证密钥，也可以采用对称密钥。

从上述实施例可知，本发明在域内采用签名密钥对域许可签名，终端设备利用域内共享的验证密钥对域许可的签名进行验证，从而保证了域内终端设备能够使用域许可。签名密钥和验证密钥采用公私密钥对，终端设备无法伪装成RI对域许可签名，因而极大的提高了安全性。在采用对称密钥对，即使验证密钥被破解，也仅影响一个或有限的几个域，相对于现有技术，其安全性也得到提高。本发明在域内采用签名密钥和共享的验证密钥，可以在终端注册时将验证密钥下发给终端设备；而密钥对变化时，只是相应域内的终端设备重新获取验证密钥即可，因而其管理相对于现有技术更为简单。同样地，对于设备许可也能实现上述有益效果。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若对本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (27)

1.一种验证许可的方法，其特征在于，包括如下步骤：

向终端设备传送许可和用签名密钥对该许可签名后的数字签名，所述签名密钥仅关联一个由终端设备共享的验证密钥；

所述终端设备接收所述许可及其签名，并利用所述共享的验证密钥对所述许可的签名进行验证。

2.如权利要求1所述的方法，其特征在于，若对所述许可的签名验证失败，所述终端设备禁止安装和使用该许可。

3.如权利要求1所述的方法，其特征在于，所述许可为域许可，终端设备在该域许可所在的域内共享所述验证密钥。

4.如权利要求3所述的方法，其特征在于，所述终端设备接收到域许可及其签名后进一步检查本设备是否为该域的成员，若是，则进行后续验证，否则，提示用户先加入域。

5.如权利要求3所述的方法，其特征在于，所述签名密钥和验证密钥由版权发行者RI生成；或者，所述签名密钥和验证密钥由域管理器生成。

6.如权利要求3所述的方法，其特征在于，所述终端设备在加入域的过程中获得所述验证密钥。

7.如权利要求6所述的方法，其特征在于，在向所述终端设备返回的成功加入域的响应消息中携带所述验证密钥。

8.如权利要求6所述的方法，其特征在于，所述验证密钥由版权发行者RI或域管理器发送给所述终端设备。

9.如权利要求8所述的方法，其特征在于，由版权发行者RI或域管理器利用所述签名密钥对整个域许可或域许可中的部分信息进行签名。

10.如权利要求3所述的方法，其特征在于，多个域采用相同的验证密钥和签名密钥对；或者，每个域采用不同的验证密钥和签名密钥对。

11.如权利要求1所述的方法，其特征在于，所述许可为设备许可，发行所述设备许可的版权发行者RI所管辖的终端设备共享同一个验证密钥。

12.如权利要求11所述的方法，其特征在于，所述终端设备接收到所述设备许可及其签名后进一步检查本设备是否有相应的版权发行者RI信息，若是，则进行后续验证，否则，提示用户先向版权发行者RI注册。

13.如权利要求11所述的方法，其特征在于，所述签名密钥和验证密钥由版权发行者RI生成，并由所述版权发行者RI将所述验证密钥发送给所述终端设备，以及利用所述签名密钥对整个设备许可或设备许可中的部分信息进行签名。

14.如权利要求11所述的方法，其特征在于，所述终端设备在向版权发行者RI注册的过程中获得所述验证密钥。

15.如权利要求14所述的方法，其特征在于，在向所述终端设备返回的成功注册的响应消息中携带所述验证密钥。

16.如权利要求1至15任一项所述的方法，其特征在于，所述签名密钥与验证密钥为公私密钥对，其中，签名密钥为私钥，验证密钥为公钥；或者，所述签名密钥与验证密钥为对称密钥对。

17.如权利要求16所述的方法，其特征在于，由版权发行者RI向所述终端设备发送经签名密钥签名的许可及其签名，或者，由其他终端设备将获得的所述许可及其签名复制或转移到所述终端设备。

18.一种终端设备，包括数字版权管理DRM模块；其特征在于，还包括：

通信模块，用于获取共享的验证密钥，以及接收和发送经签名密钥签名的许可及其签名，所述签名密钥与所述验证密钥为关联密钥；

存储模块，用于保存经所述通信模块获取的所述验证密钥；

验证模块，利用保存的所述验证密钥对接收到的许可的签名进行验证。

19.如权利要求18所述的终端设备，其特征在于，还包括：

判断模块，用于在接收到域许可及其签名时，确定本终端设备是否已加入对应的域，并在确定未加入时提示用户加入该域；或者，用于在接收到设备许可及其签名时，确定本终端设备是否已注册到对应的版权发行者RI，并在确定未注册时提示用户向该版权发行者RI注册。

20.如权利要求19所述的终端设备，其特征在于，所述通信模块、存储模块、验证模块和判断模块设置在所述数字版权管理DRM代理模块中。

21.一种数字版权管理系统，其特征在于，包括：

版权发行者RI，用于生成关联的签名密钥和验证密钥，并利用签名密钥对整个许可或许可中的部分信息签名，以及向终端设备提供签名后的许可及其签名和所述验证密钥，其中所述验证密钥为共享密钥。

22.如权利要求21所述的系统，其特征在于，还包括：

终端设备，用于从所述版权发行者RI获取所述验证密钥，并利用该验证密钥对接收到的所述许可的签名进行验证。

23.一种数字版权管理系统，其特征在于，包括：

版权发行者RI，用于向域内终端设备提供经签名密钥签名的域许可及其签名；

域管理器，用于向域内终端设备提供与所述签名密钥关联、并且在域内共享的验证密钥。

24.如权利要求23所述的系统，其特征在于，还包括：

终端设备，用于从所述域管理器获取所述验证密钥，并利用该验证密钥对接收到的所述域许可的签名进行验证。

25.如权利要求23或24所述的系统，其特征在于，由所述版权发行者RI生成所述签名密钥和验证密钥；或者，由所述域管理器生成所述签名密钥和验证密钥。

26.如权利要求25所述的系统，其特征在于，由版权发行者RI或域管理器利用所述签名密钥对整个域许可或域许可中的部分信息进行签名。

27.如权利要求23所述的系统，其特征在于，所述域管理器为多个，域管理器之间采用分级结构，由最下级的域管理器和终端设备交互，最上级的域管理器和版权发行者RI交互。

Images