CN101288288A - 改进的接近度检测方法 - Google Patents

Abstract

本发明涉及一种确定网络内的根节点(301)与叶节点(303)之间的接近度的方法。这种方法包括：计算网络内任何两个相互连接的节点之间的链路接近度值；在起始节点处，向所述起始节点所连接的中间节点发送含有接近度计数器的接近度计算请求消息；在与第一节点和第二节点连接的中间节点(302)处，一旦从第一节点接收到含有接近度计数器的接近度计算请求消息，就使接近度计数器增加所计算的链路接近度值，并将接近度计算请求消息转给第二节点；在最终节点处，一旦接收到接近度计算请求消息，就将根节点与叶节点之间的接近度确定为接近度计数器所表示的值。

Description

改进的接近度检测方法

近年来，可用的内容保护系统的数量一直在快速增长。在这些系统中有些只防止内容被非授权复制，而其他一些则会限制用户访问内容的能力。这些系统通常称为数字权利管理(DRM)系统。

消费者希望在没有麻烦并且限制尽可能少的情况下欣赏内容。他们希望将他们的设备联网，以启用所有类型的不同应用并易于访问任何类型的内容。他们还希望能在他们的本地环境内没有限制地共享/传送内容。

保护具有数字数据形式的内容的一种方式是保证了只有在接收设备已经验证为是一个合格设备并且内容的用户有权将内容传送(移动、拷贝)给另一个设备的情况下才将内容从发送设备(信源设备，例如数字录像机DVR)传送给接收设备(信宿设备，例如电视显示设备)。如果允许传送内容，该传送通常将以加密方式进行，以保证内容不能以无保护的高质量数字格式被截获。

可用的执行设备验证和加密内容传送的技术称为安全验证信道(SAC)。在很多情况下，使用基于公共密钥密码学的验证和密钥交换(AKE)协议建立SAC。通常使用的是诸如国际标准ISO/IEC 11770-3和ISO/IEC 9796-2之类的标准和诸如RSA和SHA-1那样的散列算法之类的公共密钥算法。

为了建立SAC，每个设备通常含有在询问/应答协议中与另一个设备一起使用的唯一加密密钥，以计算临时的相互共享密钥。这两个设备以后就使用该共享密钥来保护所交换的内容和使用权利信息。

遗留的问题是在物理上或网络上相互远离的设备之间可以建立SAC。为了限制这个可能性，对于在建立SAC时需执行某种形式的距离测量已经提出了各种提议。如果信源设备和信宿设备相互离得过远，就不应建立SAC或应拒绝或限制内容交换。

通常，这种距离测量涉及询问-应答协议，其中通过测量发出询问与收到应答之间的时间，并将该时间用于估计信源设备与信宿设备之间的距离。距离测量可以与建立SAC的验证协议结合，例如国际专利申请WO 2004/014037(代理人案号PHNL020681)所教导的。

其他一些距离测量方法可参见国际专利申请WO 2003/079638(代理人案号PHUS020086)、WO 2004/030311(代理人案号PHUS010314)和WO 2004/030312(代理人案号PHUS020358)。

信宿设备可以作为另一些信宿设备的信源设备。这另一些信宿设备可以向信源设备报告，使得信源设备知道它不只与一个信宿设备连接而实际上是与多个信宿设备连接。

可以将所有这些所连接的信源设备和信宿设备看作是一棵树。通常有一个使内容可供给许多“中间”节点的“根”节点。这些中间节点可以与其他中间节点和/或“叶”节点连接。叶节点含有用于呈现内容的输出装置。中间节点也可以含有这样的输出装置，或者可以仅仅用来将内容从一个节点传送到另一个节点。

通常，根节点不容易以安全方式确定所有的叶节点和中间节点是否都处在与根节点的接近度满足要求的范围之内。根节点只能安全访问任何与它直接连接的节点。有关更远的节点的信息可以通过使这些远程节点向根节点报告该信息而得到。然而，这些消息必须通过一个或多个中间节点。这引入了一定风险，即攻击者可能堵塞或丢弃这样的消息或者改变这样的消息，使得这些远程节点中的一个或多个的接近度无法确定。

本发明的目的是对上述问题进行改进。这个目的按照本发明是用如在权利要求1中所述的方法达到的。叶节点与根节点之间的接近度通过将叶节点与根节点之间的路径内所有链路的链路接近度值累加起来确定。这个和表示叶节点与根节点之间的往返时间。如果这个和超过预定的最大值，就表明叶节点与根节点相距过远。优选的是，起始节点是叶节点，而最终节点是根节点。

如果根节点启动这种方法，则攻击者可以堵塞接近度计算请求消息，从而叶节点将不能确定它们是否处在接近度满足要求的范围之内。通过使叶节点启动这种方法，就能要求叶节点在没有在一定时间内接收到应答或确认消息的情况下拒绝处理内容。因此，使攻击者必须让请求通过。

在请求中分配给存储接近度值的空间在容量上可以是有限的。于是，有益的是可以在请求中提供一个溢出标记。如果将所存储的接近度值加上一个链路接近度值得到一个在所述空间内不能存储的值，就将溢出标记设置为“开启”。这使最终节点可以确定所计算的总接近度值超过在请求中可存储的最大值。通过适当选择需分配的空间，则所计算的总接近度值必定超过最大所允许的接近度。

在从属权利要求中给出了一些有益的实施例。

下面将结合附图对本发明进行详细说明，在这些附图中：

图1示意性地示出了包括一些通过网络互连的设备的系统；

图2示意性地例示了信源设备和信宿设备；以及

图3示意性地例示了互连设备树。

在所有各附图中，相同的附图标记所标示的是类似或相应的特征。附图中所示的这些特征有些通常以软件实现，因而表示软件实体，诸如软件模块或对象。

图1示意性地示出了包括通过网络110互连的设备101-105的系统100。典型的数字家庭网络包括多个设备，诸如收音机、调谐/解码器、CD播放器、扬声器对、电视机、VCR、数字记录器、移动电话机、磁带机、个人计算机、个人数字助理、便携式显示单元、车载娱乐系统之类。这些设备通常互连在一起，使得一个设备(例如电视机)可以控制另一个设备(例如VCR)。一个诸如调谐/解码器或机顶盒(STB)之类的设备通常是中枢设备，用来对其他设备进行中央控制。

通过住宅网关或机顶盒101接收通常包括诸如音乐、歌曲、电影、动画、语音、音乐视频剪辑、TV节目、照片、游戏、铃音、语音书籍之类的内容和可以包括互动服务的内容。内容还可以通过其他信源进入家庭，例如通过像光盘那样的存储介质或使用便携式设备。信源可以是与宽带电缆网的连接、因特网连接、卫星下行链路之类。内容于是可以通过网络110传送给信宿设备用于呈现。信宿设备可以是例如电视显示器102、便携式显示设备103、移动电话机104和/或音频回放设备105。

呈现内容项的确切方式取决于设备的类型和内容的类型。例如，在收音机中，呈现包括产生音频信号和将音频信号馈给扬声器。对于电视接收机来说，呈现通常包括产生音频和视频信号和将音频和视频信号馈给显示屏和扬声器。对于其他类型的内容必须采取类似的适当操作。呈现可以还包括诸如对接收信号进行解密或去扰、同步音频和视频信号之类的操作。

机顶盒101，或者系统100内的其它设备，可以包括诸如具有适当大容量的硬盘之类的允许记录所接收的内容供以后回放的存储介质S1。存储介质S1可以是与机顶盒101连接的某种类型的个人数字记录器(PDR)，例如DVD+RW记录设备。内容还可以通过存储在诸如光盘(CD)或数字通用盘(DVD)之类的载体120上进入系统100。

便携式显示设备103和移动电话机104通过基站111例如使用蓝牙或IEEE 802.11b与网络110无线连接。其他设备用传统的有线连接进行连接。为了使设备101-105实现交互，有一些互动标准可用，这些标准允许不同的设备交换消息和信息并相互控制。众所周知的标准是通用即插即用(http://www.upnp.org)标准。

重要的是，保证家庭网络内的设备101-105不允许在网络上传播时通过内容拦截而产生未经授权的内容拷贝。因此，设备101-105配有用于数字显示器接口的数据保护系统。这个数据保护系统保证从第一设备(以下称为信源设备或者就称为信源)到第二设备(此后称为信宿设备或者就称为信宿)只能出现经授权和受保护的内容传送。

图2示意性地例示了信源设备200和信宿设备220。这两个设备都包括数字接口IF、处理器CPU和存储部件MEM。通常，信源设备200是保存有需要以流式方式传送至(或发射到)信宿设备220的内容的设备。而信宿设备220通常是接收该流式内容和例如在显示屏上呈现该流式内容的设备。

以上所提到的设备101-105中的任一种都可以作为信源设备200和/或信宿设备220。值得注意的是，一个设备可能作为另一个设备的信源设备并作为又一个设备的信宿设备。这种情况甚至可以同时出现。

信源设备200和信宿设备220的一个例子是连接到电视显示器上的数字录像机(DVR)。DVR所记录的数字音频视频内容以流式方式传输至显示器，从而用户可以观看内容。信源也可以是(膝上或桌面型)计算机，而信宿是它的显示屏。

如图2所示，信源设备200与信宿设备220之间的接口包括高速的单向主链路211和相对低速的双向辅助信道212。在本发明人所设计的一个实施例中，主链路211可以传输高达每秒10G比特，而辅助信道212具有每秒1兆比特的传送率。主链路211用来传输经压缩或未压缩的诸如视频和/或音频数据之类的数字数据。

可用的执行设备验证和加密内容传送的技术称为安全验证信道(SAC)。假设SAC 210已经如图2所示的那样建立起来，用来保护通过主链路211和辅助链路212传送的数据。或者，也可以是只有主链路211或者只有辅助链路212是受SAC 210保护的。例如，如果需传送的内容已经加密，就无需通过SAC传送内容，否则便意味着是没有必要的双重加密操作。或者，对于某些消息传送来说可以绕过SAC，例如已加密的消息或者可以在没有保护的情况下安全发送的消息。

SAC和基本技术是众所周知的。可以用公共密钥密码和数字证书在信源设备与信宿设备之间进行相互验证。数据通过主链路以加密形式传送。

假设，信源设备与信宿设备已建立了安全验证信道210。有许多方式可以建立SAC。选择哪种具体技术并不在本发明的范围内。还假设两个设备共享一个共同秘密验证密钥(标为K)和另一个共同秘密(称为种子，标为R)。优选的是，在SAC建立阶段期间计算或交换那些值。

如上所述，可以将互连设备101-105的结构认为是一个树。这个结构示意性地示于图3。有一个根节点301使中间节点302可以得到内容。中间节点302再与其他中间节点302和与叶节点303连接。

根节点301启动接近度检测协议，从中间节点302和叶节点303采集消息，以及确定是否有过远的设备(节点)。如果无，则直到这些过远的设备已经从网络内除去，根节点才向其他节点分发内容。

例如，可以是要求消息从根节点传播到叶节点再返回的时间在7毫秒内。对于以合理的确定性知道叶节点必定接近根节点来说，该时间是足够短的。选择取决于许多参数，诸如数据在网络上的预期传播时间之类。

这一要求可以补充以涉及对信源设备与信宿设备之间各个链路的要求。例如，除了以上的在根节点与叶节点之间的往返时间小于7毫秒的要求之外，还可以要求消息在信源设备与信宿设备之间的往返时间小于500微秒，

有一个或多个只用作信宿设备的设备。这些设备是叶节点303。作为叶节点的设备具有呈现内容的输出装置，例如显示屏和/或扬声器。DVD录像机或其他内容输出设备可以看作信宿设备也可以不看作信宿设备。

还可以没有或有更多的设备既作为信宿设备又作为信源设备。这些设备是中间节点302。这些设备可以包括输出装置，虽然这不是必须的。中间节点也可以仅仅用于将内容从一个节点传送到另一个节点。

例如，便携式硬盘录像机可以用作从数字电视接收机接收内容的信宿设备。录像机本身并不包括显示器。在它与外部显示器(例如TFT电视屏)连接时，显示器就充当信宿设备即叶节点的作用。录像机现在既是信宿又是信源。

两个节点之间的连接称为链路。网络内任何两个节点参与距离测量协议，以确定它们各自的距离，这通常是通过确定交换消息所需的时间来确定的。该时间(往返时间)直接与在它们之间的距离有关。

通常，这种距离测量涉及询问-应答协议，其中测量发送询问与接收到应答之间的时间，并用该时间来估计信源设备与信宿设备之间的距离。距离测量可以与建立SAC的验证协议结合，例如国际专利申请WO2004/014037(代理人案号PHNL020681)所教导的。

国际专利申请WO 2003/079638(代理人案号PHUS020086)提到询问与应答之间的时间包括传送询问及其应答的时间和计算应答所需的时间。该文献还建议从所测得的在发送询问和接收到应答之间的时间中减去处理时间。

所确定的特定信源与信宿之间的距离优选的是由信源设备存储，虽然也可以是由信宿设备存储。该距离以下称为“链路接近度值”。该距离可以每隔一定时间重新计算一次。该距离也可以每当有一定量的数据已经从信源设备传送给信宿设备时重新计算一次。

叶节点与根节点之间的接近度通过将叶节点与根节点之间的路径内所有链路的链路接近度值累加起来予以确定。

优选的是，通过叶节点向根节点发送接近度计算请求来启动这一确定。这个请求含有将叶节点连接到它的源节点上的链路的链路接近度值。如果链路接近度值实际上由源节点保存，叶节点就将值零(0)纳入请求。

优选的是，接近度计算请求是经加密或签名的。如果请求没有加密或签名，包含在请求内的接近度值就可能被攻击者改变。此外，优选的是请求含有一个随机的“询问”号(或一次性随机数(nonce))。如果没有这样的一次性随机数，攻击者就可以记录一个旧的请求，并在将发送它的设备移动到超过最大允许距离后重新发送。由于重新使用了所记录的请求，根节点可以被愚弄成还认为当前设备仍然处在满足接近度要求的范围内。这称为回放攻击。

如果必要的话，每个接收到接近度计算请求的中间节点首先验证签名或对请求解密。然后，中间节点将链路接近度值与包括在请求内的值相加，再将相加后的值与原来的一次性随机数一起发送给根节点。在请求到达根节点时，该值就表示将一个消息从根节点发送到启动确定的叶节点再从那里返回所需的时间。

叶节点与根节点之间传送请求和应答的一个实施例的工作情况如下。叶节点303向它所连接的中间节点302发送接近度计算请求。中间节点302读出该一次性随机数，将它保存在与叶节点303的标识符关联的路由选择表内。然后，中间节点302将接近度计算请求消息传递给该中间节点302所连接的节点。

最终，请求将到达根节点。如果要回送应答，这个应答将包括请求内所存在的一次性随机数。中间节点302从它的路由选择表中查出这个一次性随机数，将应答转发给路由选择表内与该一次性随机数关联的标识符所标识的节点。

当然，在网络内路由消息的其他方式也是可行的。

根节点将接收多个这样的分别来自各个叶节点的接近度计算请求消息。同样，每个消息可能需要对它的签名进行验证或解密。根节点还可以检验请求内的一次性随机数是否以前已经接收过。如果是，就应该拒绝这个请求，因为它很可能是一个回放攻击(或网络错误)。

每个消息包括一个接近度时间值。根节点保存所接收的接近度时间值，也可以是只保存最大的所接收的接近度时间值。根节点检验是否有所接收的接近度时间值超过预定的最大允许时间。如果有，根节点就不向它所连接的任何节点发送任何数据，或者不向其接近度时间值超过最大允许时间的路径上的任何节点发送任何数据。根节点可以向其接近度时间值在最大允许时间范围之内的节点发送确认消息。

优选的是，根节点在预定时间(例如每十秒钟)周期性地执行接近度检验。

优选的是，叶节点在预定时间内还没有接收到来自根节点的确认消息时应该停止接收和/或呈现任何内容。这使得攻击者不可能在尝试中仅通过堵塞或过滤接近度计算请求消息来隐瞒一个叶节点已很远的事实。

包括在请求内的值通常记录为一个比特序列，例如为一个32比特的数字。可能会出现将链路接近度值加到记录在请求内的值上得到一个使可用的这些比特溢出的数字。为了表示这个事件，可以在请求内提供一个在发生溢出时开启的专用溢出指示标志。

溢出指示标志使根节点可以确定发生了溢出。如果是这种情况，则总往返时间必定超过了在请求内可记录的值。如果用于这个值的比特数选择得足够大，溢出就表示总往返时间必定大于所允许的最大值。因此，根节点应该在这种情况下保存溢出的记录，而不向它所连接的任何节点发送任何数据。

在数据传送期间可以在规则时间间隔重复接近度检测，以验证设备是否仍然处在所要求的相互接近度之内。例如，可以每分钟或者在通过主链路211每接收到1024个数据包后执行一次接近度检测。

确定网络内设备的距离也可以由根节点发起。如果在预定时间量内没有接收到应答，根节点就可以限制或阻断传送内容。

应注意的是，以上所提到的实施例只是例示本发明而不是限制本发明，该领域的技术人员将能设计出许多不背离所附权利要求书所给出的范围的变通实施例。

在权利要求书中，任何括号内的标注符号不应理解为对权项的限制。措词“包括”并不排除除了列在权项内的还存在其他器件或步骤。器件前的“一个”并不排除存在多个这样的器件。

本发明可以用包括一些不同器件的硬件和用适当的程序控制计算机实现。在列举一些装置的设备权项中，这些装置中的一些可以由同一个硬件体现。在相互不同的从属权项中列举一定的措施并不表示不能有利地使用这些措施的组合。

Claims (9)

1.一种确定网络内的根节点(301)与叶节点(303)之间的接近度的方法，所述方法包括：

计算网络内任何两个相互连接的节点之间的链路接近度值，

在作为根节点和叶节点中的一个节点的起始节点处，向所述起始节点所连接的中间节点发送含有接近度计数器的接近度计算请求消息；

在与第一节点和第二节点连接的中间节点(302)处，一旦从第一节点接收到含有接近度计数器的接近度计算请求消息，就使接近度计数器增加所计算的链路接近度值，并将接近度计算请求消息转给第二节点；

在作为根节点和叶节点中的另一个节点的最终节点处，一旦接收到接近度计算请求消息，就将根节点与叶节点之间的接近度确定为接近度计数器所表示的值。

2.权利要求1的方法，其中所述起始节点是叶节点。

3.权利要求2的方法，其中所述叶节点与所述起始节点所连接的中间节点之间的链路接近度值由所述中间节点计算和存储。

4.权利要求3的方法，其中所述叶节点发送其中接近度计数器设置为零的接近度计算请求消息。

5.权利要求1的方法，其中所述根节点在确定接近度超过预定阈值的情况下限制或阻断数据通信。

6.权利要求5的方法，其中所述接近度计算请求消息还含有由起始节点设置为“关闭”状态的溢出标记，其中中间节点在使接近度计数器加上所计算的链路接近度值后超过预定最大值的情况下将溢出标记设置为“开启”状态，而根节点在溢出标记处在“开启”状态的情况下限制或阻断数据通信。

7.一种包括多个通过网络互连的设备、配置成确定网络内根节点(301)与叶节点(303)之间的接近度的系统，网络内任意两个相互连接的节点配置成计算它们之间的链路接近度值；

作为根节点和叶节点中的一个节点的起始节点配置成向所述起始节点所连接的中间节点发送含有接近度计数器的接近度计算请求消息；

与第一节点和第二节点连接的中间节点(302)配置成一旦从第一节点接收到含有接近度计数器的接近度计算请求消息，就使接近度计数器增加所计算的链路接近度值，并接近度计算请求消息转给第二节点；以及

作为根节点和叶节点中的另一个节点的最终节点配置成一旦接收到接近度计算请求消息，就将根节点与叶节点之间的接近度确定为接近度计数器所表示的值。

8.一种配置成作为权利要求7的系统内的起始节点工作的设备。

9.权利要求8的设备，还配置成在预定时间量内没有接收到对接近度计算请求消息的应答的情况下阻止接收和/或呈现内容。

Images