CN101282214A - 一种数字文档的加密保护方法及客户端设备 - Google Patents

Abstract

本发明公开了一种数字文档的加密保护方法及客户端设备，以解决生成文档的客户端脱离网络时或者文档处于编辑状态时，文档不能得到保护的问题。本发明由客户端系统直接对文档进行加密，并把加密密钥与硬件信息绑定或者用服务器系统的公钥加密，从而使文档得到保护；文档处于编辑状态时采用本地客户端设备保护方式，由客户端机器单独实现对文档的保护；文档处于网络流通状态时采用网络服务器保护方式，使用服务器系统网络认证实现对文档的保护，并且当文档授权给其他客户端使用时，被保护的文档可以从其他客户端设备上再次传递，进行循环使用。

Description

一种数字文档的加密保护方法及客户端设备

技术领域

本发明涉及数字版权保护技术领域，特别涉及一种数字文档的加密保护方法及客户端设备。

背景技术

随着互联网的发展，网上电子书、音乐、电影、图片等数字内容的传播越来越多，由于数字内容很容易复制、修改，网络上传播的数字内容存在大量的盗版和侵权问题。因此，针对数字内容的版权保护越来越重要。

数字版权保护方法主要有两类，一类是采用数字水印技术，另一类是以数据加密和防拷贝为核心的DRM(Digital Rights Management，数字版权保护)技术。使用DRM技术进行保护的数字内容包括电子书(eBook)、视频、音频、图片等。

DRM的主要技术是以一定的计算方法，实现对数字内容的数据加密，只有授权用户才能得到解密的密钥，而且密钥与用户的硬件信息绑定，形成许可证，防止了非法拷贝。DRM技术防止了数字内容的非法复制，或者在一定程度上使复制很困难，最终用户必须得到授权后才能使用数字内容。

但是，目前以数据加密和防复制为核心的DRM技术存在以下几个问题：

1、对文档进行加密保护的过程，或者需要一个数字版权保护的服务器系统参与，不能由客户端独立进行加密保护；或者只能在客户端加密，不能流通和传播。前者见于文档需要流通的系统，后者见于文档无法在加密状态下流通的单机版的加密系统，这两种方式相互独立，无法共同使用。

2、正在修改的文档不适合于强制要求处于联网状态，未必能与服务器系统联通，但文档在成文后需要流通。

3、已经进入流通环节的成文文档在脱离网络后无法使用，而且成文文档也有重新修改的可能。

发明内容

本发明实施例公开了一种数字文档的加密保护方法及客户端设备，以实现生成文档的客户端脱离网络时对文档进行加密保护。

本发明实施例的一种客户端设备对数字文档进行加密的方法，包括：

生成密钥K11，并使用所述密钥K11加密数字文档，获得所述数字文档的加密文档；根据客户端设备的指定特征信息生成密钥K12，并使用所述密钥K12加密密钥K11，获得所述密钥K11的加密信息E11；关联所述加密文档和加密信息E11。

本发明实施例的一种客户端设备对加密文档进行解密的方法，所述加密文档是客户端设备根据上述方法对数字文档进行加密后获得的，所述解密方法包括：

根据客户端设备的指定特征信息生成密钥K12；获取加密文档所关联的加密信息E11，并使用所述密钥K12解密加密信息E11，获得所述加密文档的加密密钥K11；使用所述密钥K11解密所述加密文档，获得解密的数字文档。

本发明实施例的另一种客户端设备对数字文档进行加密的方法，包括：

生成密钥K11，并用所述密钥K11加密数字文档，获得所述数字文档的加密文档；从网络侧加密服务器获取公钥K31，并用所述公钥K31加密密钥K11，获得所述密钥K11的加密信息E12；生成所述加密文档的授权信息，并使用所述公钥K31加密该授权信息，获得该授权信息的加密信息A12；生成包含加密信息E12和A12的许可证书V12，并关联所述许可证书V12和加密文档。

本发明实施例的另一种加密文档进行解密的方法，所述加密文档是根据上述另一种客户端设备对数字文档进行加密的方法对数字文档进行加密后获得的，该加密文档关联一个许可证书V12；所述解密方法包括：

从所述许可证书V12获取加密信息E12和A12，所述E12和A12为分别使用网络侧加密服务器提供的公钥K31对K11和加密文档的授权信息进行加密后获得的加密信息，所述K11为加密文档的加密密钥；

根据客户端设备的指定特征信息生成密钥K22，并使用所述公钥K31加密所述密钥K22，获得所述密钥K22的加密信息E21；

将所述加密信息E12、A12和E21发送给所述网络侧加密服务器，并接收所述网络侧加密服务器在使用所述公钥K31对应的私钥K32解密加密信息E12、A12和E21后，返回的加密信息E31和A31，其中：所述加密信息A31是使用密钥K22对设置在加密信息A12中的该客户端设备授权信息进行加密后的加密信息，所述加密信息E31是使用密钥K22对密钥K11进行加密的加密信息；

使用密钥K22解密加密信息E31以获得密钥K11、解密加密信息A31获得对该客户端设备的授权信息；

使用密钥K11解密加密文档获得对应的数字文档，并根据对该客户端设备的授权信息控制该客户端设备所述数字文档的使用权限。

本发明实施例的一种客户端设备，包括：

加密文档生成单元，用于生成密钥K11，并使用所述密钥K11加密数字文档，获得所述数字文档的加密文档；

第一加密信息生成单元，用于根据客户端设备的指定特征信息生成密钥K12，并使用所述密钥K12加密密钥K11，获得所述密钥K11的加密信息E11；

第一关联存储单元，用于关联存储所述加密文档和加密信息E11。

本发明实施例的另一种客户端设备，包括：

接收单元，用于接收所述许可证书V12和加密文档，并从所述许可证书V12获取所述加密信息E12和A12；

第二加密信息生成单元，用于根据客户端设备的指定特征信息生成密钥K22，并使用所述公钥K31加密所述密钥K22，获得所述密钥K22的加密信息E21；

鉴权单元，用于将所述加密信息E12、A12和E21发送给所述加密服务器，并接收加密服务器在使用所述公钥K31对应的私钥K32解密加密信息E12、A12和E21后，返回的加密信息E31和A31，其中：所述加密信息A31是使用密钥K22对设置在加密信息A12中的该客户端设备授权信息进行加密后的加密信息，所述加密信息E31是使用密钥K22对密钥K11进行加密的加密信息；

第二解密单元，用于使用密钥K22解密加密信息E31以获得密钥K11、解密加密信息A31获得针对该客户端设备所设置的授权信息；

权限控制单元，用于使用密钥K11解密加密文档获得对应的数字文档，并根据针对该客户端设备所设置的授权信息控制该客户端设备使用所述数字文档。

本发明实施例通过由客户端系统独立对起草或修改中的文档进行保护，并使被保护的文档与客户端的设备硬件信息绑定，使客户端设备无法与服务器通过网络连接时，也能对文档进行保护，同时，被保护的文档也可以通过授权供其他人使用，并在其他人使用时需要与数字版权保护服务器联网才能获得授权的许可证。更进一步的，被保护的文档可以从其他人机器上再次传递，进行循环使用。

附图说明

图1为本发明实施例中客户端设备对数字文档进行加密的一种方法流程图；

图2为本发明实施例中对加密文档进行解密的一种方法流程图；

图3为本发明实施例中客户端设备对数字文档进行加密的另一种方法流程图；

图4为本发明实施例中对加密文档进行解密的另一种方法流程图；

图5为本发明实施例中一种客户端设备结构示意图；

图6为本发明实施例中另一种客户端设备结构示意图。

具体实施方式

由于现有数字版权保护技术要求执行设备必须联上网络才能够对文档进行加密保护，在单机运行时不能对文档进行加密保护，不能防止正在编辑的文档在无网络状态下被非法复制，因此，在实际应用中，需要一种可以在本地客户端设备保护和网络服务器保护两种保护方式下自由切换的保护系统，文档在起草或修改状态下自动切换为本地客户端设备保护方式，由客户端机器单独实现对文档的保护，在文档流通阅读的状态下自动切换为网络服务器保护方式，使用服务器系统网络认证实现对文档的保护。

本发明实施例通过由客户端系统独立对起草或修改中的文档进行保护，并使被保护的文档与客户端的指定特征信息绑定，使客户端设备无法与服务器通过网络连接时，也能对文档进行保护，同时，被保护的文档也可以通过授权供其他人使用，并在其他人使用时需要与数字版权保护服务器联网才能获得授权的许可证。更进一步的，被保护的文档可以从其他人机器上再次传递，进行循环使用。

参阅图1所示，本发明实施例的一种客户端设备对数字文档进行加密的方法具体工作流程如下：

S010、生成密钥K11，并使用上述密钥K11加密数字文档，获得上述数字文档的加密文档；

S020、根据客户端设备的指定特征信息生成密钥K12，并使用上述密钥K12加密密钥K11，获得上述密钥K11的加密信息E11；

上述客户端设备的指定特征信息可以是客户端设备的硬件特征信息；

S030、生成上述加密文档的完全授权信息，并使用上述密钥K12加密上述完全授权信息，获得上述完全授权信息的加密信息A11；

S040、将上述加密信息E11和A11写入加密文档中以形成关联；或者生成包含上述加密信息E11、A11和客户端设备标识信息的许可证书V11，并关联上述加密文档和许可证书V11；

参阅图2所示，客户端设备在本地解密根据上述加密文档时，具体包括以下步骤：

s051、从所述许可证书V11中获取客户端设备标识信息和加密信息A11；

s052、确认该标识信息为本客户端设备标识信息后，根据客户端设备的指定特征信息生成密钥K12；

s053、使用密钥K12解密加密信息A11得到授权信息，确认该授权信息为完全授权信息；

s054、从所述加密文档或从与加密文档关联的许可证书V11中获取加密信息E11，并使用密钥K12解密加密信息E11，获得上述加密文档的加密密钥K11；

s055、使用密钥K11解密上述加密文档，获得解密的数字文档。

参阅图3所示，本发明实施例的另一种客户端设备对数字文档进行加密的方法在本地客户端对数字文档进行加密形成加密文档后，当该加密文档进入网络流通供其他客户端设备使用时，利用网络侧加密服务器提供的公钥K31和用来解密由公钥K31加密的数据的私钥K32，完成了对该加密文档的保护，其中公钥K31向所有的客户端发布，私钥K32保存在加密服务器中，该方法的具体工作过程如下：

S110、产生一个文件加密密钥K11，并使用密钥K11加密需要被保护的数字文档，形成加密文档；

S120、根据本地客户端设备的指定特征信息产生密钥K12，使用密钥K12加密密钥K11，生成密钥K11的加密信息E11，即E11＝K12(K11)，本地客户端设定加密文档对本机的使用权限，生成授权信息，并用密钥K12加密该授权信息，获得该授权信息的加密信息A11；

由于本地客户端是需要被保护的数字文档的加密方，其授权信息应规定本地客户端具有最大使用权限；

S130、本地客户端从加密服务器获取公钥K31，用公钥K31加密密钥K11得到加密信息E12，即E12＝K31(K11)，设定加密文档对除本地客户端之外的其他客户端的授权信息，并用公钥K31加密该授权信息，获得该授权信息的加密信息A12；

S140、本地客户端生成包含客户端设备标识信息、加密信息A11、E11、A12及E12的许可证书V12，该许可证书V12与加密文档关联；

本步骤中本地客户端也可以将客户端设备标识信息、加密信息A11、E11、A12及E12写入上述加密文件中。

至此数字文档完成了加密保护。

参阅图4所示，对上述加密文档进行解密的方法包括以下步骤：

s151、在使用上述加密文档前，根据许可证书V12中的客户端标识信息判断当前客户端是否与许可证书V12匹配；

如果许可证书V12与当前客户端匹配，则可以直接使用许可证书V12，进入本地许可证解析；

上述本地许可证解析包括以下步骤：根据当前客户端的指定特征信息产生密钥K12，并使用密钥K12解密许可证书V12中的加密信息E11得到密钥K11，用密钥K12解密加密信息A11得到当前客户端对加密文档的使用权限，用密钥K11解密上述加密文档得到最终可以操作的数字文档，根据当前客户端对该加密文档的使用权限对数字文档进行相应操作；

如果许可证书V12与当前客户端不匹配，则继续进入以下步骤进行异地许可证解析；

s152、根据当前客户端的指定特征信息产生密钥K22，从加密服务器获取公钥K31，用公钥K31加密密钥K22，即K31(K22)＝E21；

s153、从许可证书V12获取加密信息E12和A12，并将加密信息E21、E12和A12发送给加密服务器；

如果前边将加密信息A11、E11、A12及E12写入了上述加密文件中，则从上述加密文件中获取加密信息E12和A12；

s154、加密服务器用公钥K31对应的私钥K32解密加密信息A12，获得加密文档的授权信息，依据授权信息判断当前客户端是否具有合法的使用文件权限；

如果不具备使用文件的权限，则向当前客户端返回拒绝使用的信息，当前客户端无法使用该加密文档；

如果当前客户端具有对文件的某些使用权利，则加密服务器用私钥K32从加密信息E12解密出密钥K11以及从加密信息E21中解密出密钥K22，使用密钥K22加密密钥K11得到加密信息E31，用密钥K22加密当前客户端的使用权限信息得到加密信息A31后，以加密信息E31、A31以及E12、A12构造当前客户端的新许可证书V31，即V31＝(E31，A31，E12，A12)，将该许可证书V31返回给当前客户端，其中V31中还包含当前客户端标识信息；

s155、再次产生密钥K22，从许可证书V31中获取加密信息E31和A31，并用密钥K22解密加密信息E31获得密钥K11，用密钥K22解密加密信息A31获得当前客户端的授权信息；

s156、用密钥K11解密加密文档形成最终可使用的数字文档，根据获得的授权信息对该数字文档进行相应操作。

依据上述步骤和流程，即完成了一个典型的文件在客户端加密、异地使用授权、传播、使用的完整实施过程。

当客户端通过异地许可证解析过程获得相匹配的许可证书V31后，客户端还可以在当前客户机上保存许可证书V31并将许可证书V31与加密文档重新关联，则在下次访问该加密文档时，直接根据相匹配的许可证书V31进入本地许可证解析过程离线使用加密文档，不需要再次通过加密服务器获取许可证书V31。

可见，通过本地许可证解析过程使用的加密文档包括两类：其一为经本地客户端加密生成的加密文档；其二为从其它客户端接收的并使用过的加密文档，该加密文档已经被重新关联了从加密服务器获得的许可证书。

根据使用中各个步骤的不同次序组合，也可以产生其它一些不同的典型应用。例如对于接收客户端中已经使用过的文档，由接收客户端再次发出进行流通，则可以产生类似但全新的应用流程。一旦文档被另外一台客户端所接收，此客户端与接收客户端的角色将分别取代上述参考实施例中的接收客户端和本地客户端。特殊的，如果文件被本地客户端重新获得并使用，则本地客户端和接收客户端的角色将产生置换。

如图5，本发明实施例还提供一种客户端设备，包括：

加密文档生成单元501，用于生成密钥K11，并使用所述密钥K11加密数字文档，获得所述数字文档的加密文档；

第一加密信息生成单元502，用于根据客户端设备的指定特征信息生成密钥K12，并使用所述密钥K12加密密钥K11，获得所述密钥K11的加密信息E11；

第一关联存储单元503，用于关联存储所述加密文档和加密信息E11。

其中，所述的第一关联存储单元将加密信息E11写入相关联的加密文档中以形成关联。

进一步，还包括：

第一许可证书生成单元504，用于生成包含所述加密信息E11的许可证书V11，所述的第一关联存储单元关联存储所述加密文档和许可证书V11；

第一授权信息生成单元505，用于生成所述加密文档的完全授权信息，并使用所述密钥K12加密所述完全授权信息，获得所述授权信息的加密信息A11；所述第一许可证书生成单元生成的许可证书V11中还包含该加密信息A11。

如果在本端使用加密文档，则客户端设备还包括：

第一解密单元506，用于从所述第一关联存储单元中获取关联存储的加密文档和加密信息E11，使用所述密钥K12解密加密信息E11，获得所述加密文档的加密密钥K11，使用所述密钥K11解密所述加密文档，获得解密的数字文档。

如果需要将加密文档发送到网络进行流通，则客户端设备还包括：

公钥获取单元507，用于从网络侧加密服务器获取公钥K31；

第二加密信息生成单元508，用于使用所述公钥K31加密密钥K11，获得所述密钥K11的加密信息E12；

第二授权信息生成单元509，用于对生成其它客户端设备使用所述加密文档的授权信息，并使用所述公钥K31加密该授权信息，获得该授权信息的加密信息A12；

第二许可证书生成单元510，用于生成包含加密信息E12和A12的许可证书V12；

第二关联存储单元511，用于关联存储所述许可证书V12和加密文档。

以及，还包括：

发送单元512，用于发送所述许可证书V12和加密文档。

如图6所示，如果客户端设备从网络接收到其它网络设备的解密文档和许可证书，需要利用许可证书将加密文档解密到本端时，客户端设备包括：

接收单元601，用于接收所述许可证书V12和加密文档，并从所述许可证书V12获取所述加密信息E12和A12；

第二加密信息生成单元602，用于根据客户端设备的指定特征信息生成密钥K22，并使用所述公钥K31加密所述密钥K22，获得所述密钥K22的加密信息E21；

鉴权单元603，用于将所述加密信息E12、A12和E21发送给所述加密服务器，并接收加密服务器在使用所述公钥K31对应的私钥K32解密所述加密信息E12、A12和E21后，返回给客户端的加密信息E31和A31，其中：所述加密信息A31是使用密钥K22对包含在许可证书V12中的该客户端设备授权信息进行加密后的加密信息，所述加密信息E31是使用密钥K22对密钥K11进行加密的加密信息；

第二解密单元604，用于使用密钥K22解密加密信息E31以获得密钥K11、解密加密信息A31获得对该客户端设备的授权信息；

权限控制单元605，用于使用密钥K11解密加密文档获得对应的数字文档，并根据对该客户端设备的授权信息控制对所述数字文档的使用权限。

需要说明的是，图5和图6所示结构可以设置在同一个客户端设备上，组成一个综合的客户端系统，则第一加密信息生成单元502可以和第二加密信息生成单元602合并设置，第一解密单元506和第二解密单元604也可以合并设置。

参阅图5和图6所示的客户端设备和网络侧的加密服务器构成加密系统，实现客户端本地加密数字文字，并授权其它客户端设备使用的需求。

综上所述，本发明实施例通过由客户端系统独立对起草或修改中的文档进行保护，并使被保护的文档与客户端的设备硬件信息绑定，使客户端设备无法与服务器通过网络连接时，也能对文档进行保护，同时，被保护的文档也可以通过授权供其他人使用，并在其他人使用时需要与数字版权保护服务器联网才能获得授权的许可证。更进一步的，被保护的文档可以从其他人机器上再次传递，进行循环使用。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (25)

1. 一种客户端设备对数字文档进行加密的方法，其特征在于，包括：

生成密钥K11，并使用所述密钥K11加密数字文档，获得所述数字文档的加密文档；

根据客户端设备的指定特征信息生成密钥K12，并使用所述密钥K12加密密钥K11，获得所述密钥K11的加密信息E11；

关联所述加密文档和加密信息E11。

2. 如权利要求1所述的方法，其特征在于，关联所述加密文档和加密信息E11的方法包括：将所述加密信息E11写入加密文档中以形成关联。

3. 如权利要求1所述的方法，其特征在于，关联所述加密文档和加密信息E11的方法包括：生成包含所述加密信息E11的许可证书V11，并关联所述加密文档和许可证书V11。

4. 如权利要求3所述的方法，其特征在于，所述方法还包括：

生成所述加密文档的完全授权信息，并使用所述密钥K12加密所述完全授权信息，获得所述完全授权信息的加密信息A11；以及

所述许可证书V11中还包含客户端设备标识信息和所述加密信息A11。

5. 如权利要求1所述的方法，其特征在于，所述指定特征信息包括客户端设备的硬件特征信息。

6. 一种对加密文档进行解密的方法，其特征在于，所述加密文档是客户端设备根据权利要求1所述方法对数字文档进行加密后获得的，所述解密方法包括：

根据客户端设备的指定特征信息生成密钥K12；

获取加密文档所关联的加密信息E11，并使用所述密钥K12解密加密信息E11，获得所述加密文档的加密密钥K11；

使用所述密钥K11解密所述加密文档，获得解密的数字文档。

7. 如权利要求6所述的方法，其特征在于，所述加密信息E11是从所述加密文档中获取的。

8. 如权利要求6所述的方法，其特征在于，所述E11是从与加密文档关联的许可证书V11中获取的。

9. 如权利要求8所述的方法，其特征在于，所述方法还包括：

从所述许可证书V11中获取客户端设备标识信息和加密信息A11；

确认该标识信息为本客户端设备标识信息后，再生成所述密钥K12，使用密钥K12解密加密信息A11；

确认解密加密信息A11后的授权信息为完全授权信息后，再获取加密信息E11并解密加密信息E11和加密文档。

10. 如权利要求6所述的方法，其特征在于，所述指定特征信息包括客户端设备的硬件特征信息。

11. 一种客户端设备对数字文档进行加密的方法，其特征在于，包括：

生成密钥K11，并用所述密钥K11加密数字文档，获得所述数字文档的加密文档；

从网络侧加密服务器获取公钥K31，并用所述公钥K31加密密钥K11，获得所述密钥K11的加密信息E12；

生成所述加密文档的授权信息，并使用所述公钥K31加密该授权信息，获得该授权信息的加密信息A12；

生成包含加密信息E12和A12的许可证书V12，并关联所述许可证书V12和加密文档。

12. 如权利要求11所述的方法，其特征在于，还包括：将所述许可证书V12和加密文档一起发送给接收方。

13. 如权利要求11所述的方法，其特征在于，所述许可证书V12还包括客户端设备标识信息。

14. 一种对加密文档进行解密的方法，其特征在于，所述加密文档是根据权利要求11所述的加密方法对数字文档进行加密后获得的，该加密文档关联许可证书V12；所述解密方法包括：

从所述许可证书V12获取加密信息E12和A12，所述E12和A12为分别使用网络侧加密服务器提供的公钥K31对K11和加密文档的授权信息进行加密后获得的加密信息，所述K11为加密文档的加密密钥；

根据客户端设备的指定特征信息生成密钥K22，并使用所述公钥K31加密所述密钥K22，获得所述密钥K22的加密信息E21；

将所述加密信息E12、A12和E21发送给所述网络侧加密服务器，并接收所述网络侧加密服务器在使用所述公钥K31对应的私钥K32解密加密信息E12、A12和E21后，返回的加密信息E31和A31，其中：所述加密信息A31是使用密钥K22对设置在加密信息A12中的该客户端设备授权信息进行加密后的加密信息，所述加密信息E31是使用密钥K22对密钥K11进行加密的加密信息；

使用密钥K22解密加密信息E31以获得密钥K11、解密加密信息A31获得对该客户端设备的授权信息；

使用密钥K11解密加密文档获得对应的数字文档，并根据对该客户端设备的授权信息控制该客户端设备所述数字文档的使用权限。

15. 如权利要求14所述的方法，其特征在于，所述网络侧加密服务器将加密信息E31和A31包含在许可证书V31中返回给客户端设备。

16. 如权利要求14所述的方法，其特征在于，所述许可证书V12中还包含加密文档发送方的标识信息，所述客户端设备先从许可证书V12中获取该标识信息，并验证该标识信息不是本地客户端设备标识信息后，再继续从所述许可证书V12获取所述加密信息E12和A12。

17. 如权利要求15所述的方法，其特征在于，所述网络侧加密服务器根据解密后的授权信息，判断其中包含针对所述客户端设备所设置的授权信息后，向该客户端设备返回所加密信息述E31和A31，否则返回拒绝响应。

18. 一种客户端设备，其特征在于，包括：

加密文档生成单元，用于生成密钥K11，并使用所述密钥K11加密数字文档，获得所述数字文档的加密文档；

第一加密信息生成单元，用于根据客户端设备的指定特征信息生成密钥K12，并使用所述密钥K12加密密钥K11，获得所述密钥K11的加密信息E11；

第一关联存储单元，用于关联存储所述加密文档和加密信息E11。

19. 如权利要求18所述的设备，其特征在于，所述的第一关联存储单元将加密信息E11写入相关联的加密文档中以形成关联。

20. 如权利要求18所述的设备，其特征在于，还包括：

第一许可证书生成单元，用于生成包含所述加密信息E11的许可证书V11，所述的第一关联存储单元关联存储所述加密文档和许可证书V11。

21. 如权利要求20所述的设备，其特征在于，还包括：

第一授权信息生成单元，用于生成所述加密文档的完全授权信息，并使用所述密钥K12加密所述完全授权信息，获得所述授权信息的加密信息A11；所述第一许可证书生成单元生成的许可证书V11中还包含该加密信息A11。

22. 如权利要求20所述的设备，其特征在于，还包括：

第一解密单元，用于获取关联存储的加密文档和加密信息E11，使用所述密钥K12解密加密信息E11，获得所述加密文档的加密密钥K11，使用所述密钥K11解密所述加密文档，获得解密的数字文档。

23. 如权利要求18所述的设备，其特征在于，还包括：

公钥获取单元，用于从网络侧加密服务器获取公钥K31；

第二加密信息生成单元，用于使用所述公钥K31加密密钥K11，获得所述密钥K11的加密信息E12；

第二授权信息生成单元，用于对生成其它客户端设备使用所述加密文档的授权信息，并使用所述公钥K31加密该授权信息，获得该授权信息的加密信息A12；

第二授权证书生成单元，用于生成包含加密信息E12和A12的许可证书V12；

第二关联存储单元，用于关联存储所述许可证书V12和加密文档。

24. 如权利要求23所述的设备，其特征在于，还包括：

发送单元，用于发送所述许可证书V12和加密文档。

25. 一种客户端设备，其特征在于，包括：

接收单元，用于接收所述许可证书V12和加密文档，并从所述许可证书V12获取所述加密信息E12和A12；

第二加密信息生成单元，用于根据客户端设备的指定特征信息生成密钥K22，并使用所述公钥K31加密所述密钥K22，获得所述密钥K22的加密信息E21；

鉴权单元，用于将所述加密信息E12、A12和E21发送给所述加密服务器，并接收加密服务器在使用所述公钥K31对应的私钥K32解密加密信息E12、A12和E21后，返回的加密信息E31和A31，其中：所述加密信息A31是使用密钥K22对设置在加密信息A12中的该客户端设备授权信息进行加密后的加密信息，所述加密信息E31是使用密钥K22对密钥K11进行加密的加密信息；

第二解密单元，用于使用密钥K22解密加密信息E31以获得密钥K11、解密加密信息A31获得针对该客户端设备所设置的授权信息；

权限控制单元，用于使用密钥K11解密加密文档获得对应的数字文档，并根据针对该客户端设备所设置的授权信息控制该客户端设备使用所述数字文档。

Images