CN101341691A

CN101341691A - 授权与验证

Info

Publication number: CN101341691A
Application number: CNA2006800481293A
Authority: CN
Inventors: C·康特西迪斯; J·米勒; S·瑞森; A·希德瑞; T·西-蒙; P·R·罗德里格斯; M·科斯塔
Original assignee: Microsoft Corp
Current assignee: Microsoft Corp
Priority date: 2005-12-22
Filing date: 2006-12-04
Publication date: 2009-01-07
Also published as: WO2007075265A1; EP1801720A1; KR20080085846A; US20080320300A1

Abstract

本发明涉及经网络的内容分布并且提供控制分布、接收内容和发布内容的方法。控制内容经网络分布的方法包括从发布者接收内容描述和该内容源的位置信息，其中内容描述包括与该发布者相关联的授权细节。检验这些授权细节的有效性，并且如果发现其有效，则将该内容描述提供给网络内的节点。

Description

授权与验证

背景

业已开发出能让诸如软件更新和关键补丁之类的数据分布至网络内各节点的内容分布系统。这些系统通常包括位于网络中的许多服务器，各节点直接连接至服务器之一来下载所需文件。然而，这些系统受到与服务器的连接带宽的限制并且需要可观的投资才能增加网络容量。因此，已经开发出依赖于一完全分布的体系结构的内容分布系统，其网络内的节点参与分布进程。这些系统可以被称为对等或对等辅助内容分布系统。在这类系统中，服务器将要分布的文件分割成多个块并且将这些块提供给网络内的节点。只要节点已经接收到一个或多个块，该节点就能够为其他节点充当接收块的源，同时还接收其他块直至收到文件的所有块。

恶意用户会以许多方式引发针对这类系统的问题。这包括虚假内容(例如，内容并非其声称的内容)的分布。这类虚假内容可以包括病毒或者其他有害程序，或者可以只是通过共享不想要的数据来浪费网络资源。恶意用户可以分布损坏的下载数据，而这些数据随后可由没有意识到该数据已损坏的其他对等体分布。这会导致大范围的损坏数据分发，从而无法分布特定的数据片段。在其它示例中，恶意用户可以发起针对网络中指定元素的服务拒绝攻击，例如通过随后会中断但会消耗资源的重复连接尝试。取决于服务拒绝攻击的攻击对象，这类攻击会引起这个分布系统故障或者仅影响一个或多个个体用户。

概述

提供本概述是为了用简化的形式介绍将在以下详细描述中进一步描述的一些概念。本概述并不旨在标识要求保护的主题的关键特征或必要特征，也不旨在用于确定要求保护的主题的范围。

第一示例提供了一种控制内容经网络分布的方法。从发布者接收内容描述和内容源的位置信息，其中内容描述包括关于对该发布者的授权细节。检验这些授权细节的有效性，并且如果发现其有效，则将该内容描述提供给网络内的节点。

有利的是，通过提供对发布者的授权细节，内容分布系统中的其他节点就能够确信发布的内容很有可能是它们所期望的。授权细节还允许节点检验对该发布者的授权是否仍然有效。

位置信息可以包括在内容描述之内。在位置信息没有包括在内容描述之内时，与内容描述同时或者响应于单独的请求，将该位置信息提供给网络中的节点。

优选地，响应于来自节点的请求将内容描述提供给该节点。

本方法还包括：在将该内容描述提供给该节点之前证实该节点的身份。

优选地，与发布者相关联的授权细节包括由证书发放实体发放的证书的细节，其中检验授权细节的有效性包括：访问由证书发放实体发放的证书撤销列表；以及，确定该证书是否位于证书撤销列表之上。

本方法还包括：存储该证书撤销列表；并且响应于来自网络中节点的请求将该证书撤销列表提供给该节点。

本方法还包括：维护连接至该网络并且保留至少部分上述内容的节点列表；以及，响应于来自该节点的请求将该节点列表的至少一部分提供给网络中的节点。

本方法还包括：在提供该节点列表的至少一部分之前确认该节点的身份。

第二示例提供了一种包括计算机程序代码装置的计算机程序，当该程序在计算机上运行时适于执行上述任何方法的所有步骤。该计算机程序可以在计算机可读介质上具体化。

第三示例提供一种接收经网络分布的内容的方法，包括：接收内容标识符和跟踪者指针；从由该跟踪者指针标识的第一跟踪者请求内容描述，该内容描述包括与内容的发布者相关联的授权细节；接收该内容描述；检验该内容细节的有效性；从第二跟踪者接收有关内容源的信息；以及，从该源请求一部分内容。

优选地，第一和第二跟踪者相同。

在第一和第二跟踪者相同的情况下，内容描述还包括有关内容源的信息。

有关内容源的信息可以响应于对内容描述的请求或响应于单独的请求来接收。

优选地，内容描述还包括标识第二跟踪者的信息。

优选地，与发布者相关联的授权细节包括由证书发放实体发放的证书的细节，其中检验所述授权细节的有效性包括：访问由证书发放实体发放的证书撤销列表；以及，确定该证书是否位于证书撤销列表之上。

本方法还包括：在接收内容描述之前向第一跟踪者提供标识信息。

本方法还包括：向源提供标识信息；以及，从该源请求标识信息。

本方法还包括：接收来自该源的部分内容；检验该部分内容的有效性；以及，如果该部分无效，则在一时段内阻止与该源的通信。

第四示例提供了一种包括计算机程序代码装置的计算机程序，当该程序在计算机上运行时适于执行上述任何方法的所有步骤。该计算机程序可以在计算机可读介质上具体化。

第五示例提供一种发布经网络分布的内容的方法，该方法包括：请求发布授权；接收授权细节；创建包括授权细节在内的内容描述；以及，将内容描述和该内容源的位置信息发送给跟踪者服务器。

优选地，请求授权包括请求来自证书发放实体的证书，并且其中授权细节包括证书的细节。

位置信息可以包括在内容描述之内。

第六示例提供了一种包括计算机程序代码装置的计算机程序，当该程序在计算机上运行时适于执行上述任何方法的所有步骤。该计算机程序可以在计算机可读介质上具体化。

另一个示例提供了一种经网络分布内容的方法，其中发布者请求发布授权并创建包括该发布者授权细节的内容描述。该内容描述和有关要分布内容源的信息被传送给跟踪者服务器，该跟踪者服务器检验发布者授权细节的有效性，并且如果该授权细节有效，则将该内容描述提供给网络中的一个或多个节点。

描述的各方法可由存储介质上具备机器可读形式的软件执行。软件能够适于在并行处理器或串行处理器上执行，使得本方法的各步骤可以按任何合适的次序或同时开展。

这里承认软件能够是有价值的、可以单独交易的商品。它旨在包含运行于或者控制“哑(dumb)”或者标准的硬件以实现期望的功能的软件。它还旨在包含“描述”或者定义硬件配置的软件，例如HDL(硬件描述语言)软件，用于设计硅芯片，或者用于配置通用可编程芯片以实现期望的功能。

许多伴随特征将随着参考下面的详细描述并结合附图进行理解而得到更好的认识。

附图说明

从结合附图的下列详细描述将更好地理解本描述，在附图中：

图1是内容分布系统的示意图；

图2是示出图1系统的操作的示例流程图；以及

图3是另一个内容分布系统的示意图。

相同的标号用于指示附图中相同的部分。

详细描述

下面结合附图提供的详细说明旨在作为本发明的例子的描述，但是并不旨在表示可以构造或者使用本例子的仅有的形式。该描述阐述本示例的功能以及用于构造和操作本示例的步骤序列。然而，相同或等价的功能与序列可由不同的示例来完成。

虽然在本文中将本发明的示例描述并示出为在对等辅助分布系统(也被称为对等分布系统)中实现，但是描述的系统只是作为示例而非限制来提供。本领域普通技术人员将会认识到，本发明的示例适于在各种不同类型的内容分布和/或内容共享系统中应用。

图1是内容分布系统100的示意图，该系统包括发布者101、授权主体102、跟踪者103、种子104和两个对等体105。内容分布在云106中发生。内容可以是任何类型的数据，并且可以作为例如已编码的块来分配。发布者101是提供内容并且由授权主体102授权的实体。发布者可以是用户或公司，并且可以位于内容分布云106之外。跟踪者103是帮助对等体105找出正参与特定内容片段分布的其他对等体的服务器。种子104是通常总是开机的客户机，并且发布者将内容片段放置其上以供随后的系统内分布。种子104将内容上传给系统100中少数几个对等体105(可能就上传给单个对等体)，但是不从系统中的其他节点下载相同的内容。本文中的术语‘节点’指系统内任何逻辑实体。对等体105是对获取种子104所持有的内容感兴趣的客户机。对等体将从系统中各节点(即，对等体或种子)下载内容，并且也将其已经接收的那些内容部分上传给系统内的其他对等体。一旦对等体已经接收到全部特定内容片段，它就通过使该内容可用于上载到系统内其他对等体同时不再从对等体下载内容来充当临时或虚拟种子。内容能够以编码格式在云中分布，或者作为替换，可以不对内容进行编码。图1示出了在系统100各部分之间的一些逻辑连接，然而示出的这些连接不是详尽的并且仅用作示例。

图1所示系统100的操作示例可参考图2的流程图描述。发布者101请求来自授权主体102的发布授权(步骤201)。作为响应，授权主体发放证书(步骤202)。该证书可以专用于一内容片段，或者该证书可以不涉及任何特定的内容片段并且可由发布者在任何内容分布云中发布任何内容片段时使用。发布者101现在选择宿主跟踪者103和种子服务器104(步骤203)并生成其数字签名的安全内容描述(SCD)(步骤204)。SCD包括发放给发布者的证书(在以上步骤202)的细节以及能够对下载内容进行完整性检验的信息。如下将更为详尽地描述SCD。内容分布云106随后通过发布者将签名的SCD存放在跟踪者103上(步骤205)并将内容存放在种子服务器104上(步骤206)而得以建立。对等体105接收内容标识符和跟踪者指针(步骤207)。该信息可以从网站、URI(统一资源标识符)或者作为应用经验的一部分(例如，作为Interactive MediaPlayer(交互媒体播放器)，iMP)来接收。使用该信息，对等体105能够请求来自经标识的跟踪者103的SCD(步骤208)并且随后请求来自跟踪者的对等端点的细节(步骤209)。这些对等端点是该对等体能够与之连接以下载内容的一个或多个其他对等体的细节。对等端点还可以包括种子104的细节，特别是在云106内还不存在有许多对等体的云106早期阶段。对等体105随后连接至一个或多个经标识的对等端点(步骤210)并且下载内容块(步骤211)。在将块添加至已接收块的对等体存储或将其转发至任何其他对等体之前，核实该块的完整性(步骤212)。如果发现块的完整性可疑，该对等体作出损坏的对等端点的记录，并且在内容分布会话的剩余部分中与其接触或者接收来自其的连接(步骤213)。相反，对等体将连接至另一对等端点(步骤210)并且在必要时将首先从跟踪者请求对等端点的进一步细节(步骤209)。如果该块的完整性被核实(在步骤212)，则对等体确定它是否已经接收了全部的所需内容块(步骤214)。如果仍然请求额外的块，则流程继续以下载另一个块(步骤211)。一旦对等体已经下载了全部的所需内容块，对等体就解码该文件(步骤215)并对已下载的内容进行完整性检验(步骤216)。如下提供对个别步骤的其它细节。

通过对发布者进行授权，内容分布系统中的其他节点就能够确信发布的内容很可能是它们所期望的。这些节点如果需要，还可以检验对发布者的授权是否仍然有效。此外，如果发现一发布者发布无效、非法、攻击性或者其他不良内容，则可以撤销授权，从而防止该发布者进一步发布内容。一旦发布者的授权被撤销，在云中对其内容的进一步分发就会受到跟踪者的限制，并且一旦对等体意识到该撤销，它们可以停止它们在云中的活动，这将在以下详述。

授权发布的请求(步骤201)可以通过应用来自认证权威(CA)(诸如Microsoft(商标)认证权威)的授权来作出。在某些情况下，带有根证书的CA(诸如Microsoft(商标)可以授权发布者向其它发布者再授权，而这些被再授权的发布者还能授权子发布者。例如，CA可以授权发布者(例如，被称为‘发布者1’的虚构发布者)，并且允许它们将组织的各部分再授权为发布者(例如，‘发布者1-新闻’和‘发布者1-喜剧’)。这一再授权过程也被称为委托(delegation)。

响应于上述请求(在步骤201)发放的证书(在步骤202)可以采取X.509证书的形式。X.509是用于公钥基础结构(PKI)的ITU-T(国际电信联盟的电信部门)标准。该证书可以被提供给发布者101或者可以存储在中央储存库(未在图1中示出)中并将其细节提供给发布者101。可以使用包括其他证书方案、共享秘密和导出令牌的任何其他合适的授权方法来代替X.509证书。

对宿主跟踪者的选择(步骤203)可以涉及发布者设立其本身的跟踪者服务器或者获取使用第三方跟踪者服务器的许可。跟踪者103也由CA授权，使得对等体能够信任从跟踪者获取的信息的完整性。选择的种子104(也在步骤203中)可以使用任何合适的协议来向云内的对等体供应内容，这些协议包括但不限于任何支持Avalanche(雪崩)的协议、BitTorrent(BT下载)和http(超文本传输协议)。Avalanche是由Microsoft Corporation(商标，微软公司)开发的使用网络编码的对等辅助内容分布协议。这意味着系统中的每个节点生成并传送经编码的信息块，这些新近经编码的块是当前由该特定节点所保有的全部块的线性组合。这一协议的优点之一在于，它使得内容的特定部分(或块)在网络内稀有或变得稀有的概率最小。

由发布者生成的安全内容描述(SCD)(在步骤204)是描述内容发布者并能对传送且重编的内容进行证实的自证明结构。本文中的术语‘自证明’指的是结构包含其自身未被篡改的证明的事实，例如它可以具有确保其内容未被篡改的密码签名。SCD无需加密，但是在某些实例中可以对其部分或全部进行加密。SCD可以包括以下的部分或全部：

·发布者标识符，诸如内容发布者的证书缩略图或通用名称(CN)或者发布者的经编码X.509证书。

·解码内容的散列算法和散列值。

·该内容的唯一标识符。这通常是内容散列的值。

·指定同态散列所需的传送设置，诸如块数和编码算法。

·同态散列算法的规范和值。

·一个或多个种子端点描述。

·一个或多个跟踪者端点描述。

·描述内容属性的元数据，包括建议文件名、文件长度、媒体类型、等级、始发者(可能与发布者不同)等。

SCD由发布者例如使用发布者的私钥来签名(在步骤204)，该私钥可由经有效证书链回溯至根CA的公钥来验证。证书链的示例如下：

Microsoft持有根证书

由Microsoft于05年9月9日发放的‘发布者1’证书，于06年9月9日过期，可以委托(即，再授权)

由‘发布者1’于05年9月10日发放的‘发布者1-新闻’证书，于06年9月9日过期，不可委托

当经签名的SCD由发布者存放在跟踪者上(步骤205)上时，跟踪者可以证实该发布者仍然由CA授权。这可以通过跟踪者确认发布者不在由向发布者发放证书的实体所发布的证书撤销列表(CRL)上来实现。CRL列出了虽然在前发放但随后被CA或委托(即，由证书发放实体)撤销的证书。跟踪者103还在本地持有CRL的副本，但理想地通过CA或其他委托对经更新的CRL进行常规(例如，每15或30分钟)检验以使易受攻击的窗口最小。证书链可以包括对于每个授权实体而言主CRL位于何处的细节(例如，url、IP地址或其他端点描述)。因为无论谁发放证书都可以撤销它们发放的证书，所以有必要检验CRL以外的别处。例如，在以上给出的证书链示例中，CRL由Microsoft和‘发布者1’两者发布。每个CRL包括(或者在列表中或者在关联信息中)CRL上次何时更新以及理想情况下应该如何对CRL进行常规的重新检验(例如，“在2005年10月10日16:09更新。每2小时重新检验一次”)的细节。CRL以它们无法由发放实体(即，CA或其委托)以外的任何人编辑的方式被创建。例如，只有Microsoft(商标)能够修改它们的CRL，其列出了由Microsoft(商标)最初发放但在随后被撤销的证书，而也只有‘发布者1’可以修改它们的CRL，其列出了最初由‘发布者1’作为Microsoft委托发放的但随后由该‘发布者1’撤销的证书。

如果跟踪者在检验CRL时发现内容片段的发布者的授权已被撤销，则跟踪者可以停止分布SCD(在步骤208)以及对等端点的细节(在步骤209)。

在已经建立云(在步骤205和206)之后，发布者101可以不在内容分布过程中起作用。然而，发布者可以在另一个示例中更新并重新发放SCD(例如，通过重复步骤204和205)，与此同时内容可以在云106中分布。

内容标识符和跟踪者指针(在步骤207中接收)可以采取URI的形式，诸如：

avalanche://mytracker.microsoft.com/0123456789ABCDEF0123456789ABCDEF

在另一个示例中，内容标识符和跟踪者指针两者都可以设置在单个128位的标识符中。在另一个示例中，信息可以设置在带有本地登记类型的小型文件(例如，经由web下载)中，当该文件被下载并激活时，调用内容分布客户，例如Avalanche。内容标识符和跟踪者指针可以包括发放给发布者的证书的细节。

跟踪者指针可以是指向IP(互联网协议)地址、DNS(域名系统)条目的指针，或者可以使用指定网络端点的任何其他方法。使用DNS条目会是有利的，因为它提供了路由的灵活性和缩放性。例如，DNS服务器能够将对等体导向没有硬连线至跟踪者指针内并且可能改变的跟踪者的IP地址。这在有若干跟踪者服务器存在并且DNS服务器能够依次将对等体导向不同的服务器以共享负载的情况下是有益的。此外，使用DNS条目允许添加额外的跟踪者，或者允许跟踪者在需要时下线维护而无需改变其跟踪者指针。

内容标识符和跟踪者指针可以由对等体积极检索(在步骤207)，并且这一检索可由对等体处的用户输入或由对等体上运行的应用程序来发起。在一个示例中，对等体可以响应于例如通过购买对特定内容的权限(例如，可以从在线商店购买下载电影的权限)而获取参与云106的授权，来接收内容标识符和跟踪者指针。这些授权可以采取证书、共享秘密、导出令牌的形式或者任何其他合适的授权方法。在另一个示例中，内容标识符和跟踪者指针可以被推入对等体，例如推入诸如在该对等体上运行的媒体播放器的应用程序。推入可以是对先前来自该对等体的兴趣指示做出的响应，诸如对等体可以指示感兴趣的新闻项、音频剪辑或视频剪辑的类型，并且在符合准则的内容变得可用时，就可将内容标识符和跟踪者指针推入该对等体。

当对等体105请求来自跟踪者的SCD(在步骤208中)时，可以要求对等体和跟踪者相互验证以证明彼此被授权执行对等体和跟踪者的角色(如下将详述)。然而，在另一个示例中，可以认为SCD是公共信息并且相互验证可以在交互更私密信息之前在较后阶段(在步骤209中)发生。一旦收到SCD，对等体获取有关发布者证书链的信息(如前所述)。在这点上，对等体还检索由向发布者发放证书的权威发放的证书撤销列表(CRL)，以确保发布者仍然被授权。如上所述，可以将CRL的副本连同CRL副本更新情况的细节一起存储。对等体可以检索存储在跟踪者处的CRL的副本，或者可以替代地从发放该列表的授权主体处检索CRL正本的副本。CRL很可能是大型文件(例如，几兆字节)，因此对等体在每次连接之前没有必要下载经更新的CRL，而只需在其加入新内容云106时才下载新的CRL。通过连接至跟踪者103而不是证书发放主体来检索CRL，对等体就可以避免系统中的潜在瓶颈。如果对等体在检验CRL时标识内容片段的发布者已经被撤销授权，则该对等体可以终止其对该云的参与并且不再下载块。对等体还可以删除其已经接收的任何内容块。

对等体从中请求SCD(在步骤208中)的跟踪者可以与对等体从中请求有关对等端点的信息(在步骤209中)的跟踪者相同或不同。在两跟踪者不同的情况下，与对等体从中请求有关对等端点的信息(在步骤209中)的第二跟踪者有关的信息可以在由第一跟踪者提供的SCD中标识(参见以上SCD的描述)。

在对等体可以从跟踪者获取针对该内容云的有关对等端点的信息(在步骤209中)之前，该对等体验证跟踪者，或者作为替换，可以在跟踪者和对等体之间进行相互验证。这一验证可以在过程中更早出现(例如，在步骤208中)或者可以在此阶段出现。验证过程通过共享CA的跟踪者授权细节来向对等体确认该跟踪者是经授权的跟踪者。再次地，对等体可以选择咨询相关CRL。这就阻止了在云中建立欺诈跟踪者。如果发生相互验证，则跟踪者也能够标识对等体(例如，使用唯一主机标识符)，虽然这对具有特定授权参与云中的对等体而言没有必要。唯一对等体标识机制的使用使跟踪者能够确定一对等体是否针对对等端点信息作出了多个请求，这样就可以指示该对等体是否具有恶意目的。跟踪者可以出于这一原因或任何其他原因，来决定阻止对等体参与内容云。对等体标识可以被分配给对等体以供在所有情形中使用(例如，它们加入的所有云)，或者可以在更为规范的基础上分配(例如，按云、按发布者、按网络提供方、按月等)。

跟踪者可以为对等体提供随机选择的对等体、根据位置算法选择的对等体或者根据任何其他准则(例如，对等体的连接速度)选择的对等体的对等端点信息(在步骤209中)。跟踪者可以限制其向任一对等体提供的信息所针对的对等体数量，并且还可以限制对等体(例如，对主机标识符的引用)能够请求请求对等端点信息所遵循的规律(例如，限制为每15分钟与10个对等体有关的信息)。这能减轻信息公开，因为对等端点信息可能是敏感的，并且对恶意用户或对广告商是有用的。对等端点信息可以包括：

·一个或多个网络端点描述，诸如IP端点或URL(统一资源定位符)。

·描述端点正参与的内容云的内容云标识符。

·主机标识符(优选地对该主机是唯一的)。

在对等体被随机选择的情况下，跟踪者可以包括种子104作为概率为1/k的对等体，其中k是包括该新对等体的云中的活动对等体数。

当一对等体(例如，对等体A)连接至跟踪者已标识为内容云106一部分的一个或多个其他对等体(例如，对等体B)时，该对等体(对等体A)可以执行对其他对等体(对等体B)的验证。虽然没有必要存在一个针对对等体的CRL等效物，但是各对等体可以通过它们的主机标识符或者通过发放的用于允许对等体参与云中的授权来彼此标识。对等体之间的验证是有益的，因为这使得对等体(对等体A)可以标识向其提供无效数据块的对等体(对等体B)，并在随后的剩余会话中阻止与该对等体的进一步通信(见步骤212和213)。验证还有助于防止恶意对等体通过在一对等体和该恶意对等体之间建立多个中断或慢速连接来在该对等体上安装服务拒绝攻击。通过该验证过程，对等体可以标识同一对等体正作出多个连接请求并在最后阻止那些连接的部分或全部。对等体之间的验证还可以包括提供有关发起连接的对等体(对等体A)从何处获取另一对等体(对等体B)的细节(例如，提供对等端点信息的跟踪者的细节)的信息。这样就许可对等体在发起对等体之间块传送之前检验该跟踪者的授权。

对等体可以连接至云106中的一个或多个其他对等体(在步骤210中)以获得内容的各部分。可以对一对等体在任一时刻能连接的对等体数量作出限制(例如，1个对等体可以连接不超过14个其他对等体)。这一限制可以通过对跟踪者提供给对等体的对等端点细节(在步骤209中)的数量进行限制而被有效设置，或者该限制可以由跟踪者、发布者或对等体独立设置。

当对等体如上所述可以彼此验证时，就没有必要对各对等体之间的传输(例如，在步骤211中)进行加密。如果需要，对等体可以协商私有的会话密钥并应用流密码。

在接收到一个块(在步骤211中)之后，对等体例如可以使用散列函数(诸如，同态散列函数)来检验该块的完整性。用于独立内容块散列函数的细节和内容可以作为整体如上所述地在SCD中提供给对等体。在另一个示例中，同态散列可以独立于SCD发送。散列函数将一大信息块b映射至通常大小要小得多的输出h(b)。散列函数具有这一性质，即给定块b，在计算上不可能找出具有相同散列值的另一个块b′，即h(b)＝h(b′)。这意味着通过检验接收到的数据块的算得散列函数与期望的散列函数相匹配，对等体就能够相对确信收到的块是正确的块以及该块尚未被篡改。同态散列函数具有一额外性质，即一些输入块的线性组合的散列值可以通过输入块的散列组合而被有效构造。因此，同态散列函数的使用特别适于使用诸如Avalanche的网络编码的内容分布协议。

一旦对等体已经下载一个块(在步骤211中)或者作为替换，在已经检验该块的完整性(在步骤212中)之后，跟踪者就将该对等体添加至云中活动对等体列表，于是在从希望参与云的其他对等体收到对于对等端点信息的后续请求时，就可以将该对等体的细节提供给其他对等体。为了将该对等体添加至云中活动对等体列表，可以要求对等体对跟踪者登记以标识它们已经接收了部分内容。在其它示例中，可以在对等体已经下载一个块之前，例如在它已经请求SCD时将其添加至上述列表。

在已经接收到针对该内容的全部所需块(步骤214)之后，对等体解码该内容或者在该内容未被编码的情况下以其他方式重建该内容(步骤215)。在使用该内容或者使其对第三方可用之前，对等体对整个内容作出最终的完整性检验(在步骤216中)。最终的完整性检验也可以涉及检验算得的散列是否与期望的散列相匹配(如上参考步骤212所述)。期望散列的细节或使其能被计算的参数可以在SCD内提供。

以上描述只是以示例的方式描述了对散列函数和同态散列函数的使用。对等体也可以替换地利用其他技术使其能够以较高的确信度来确定接收到的内容的个别部分(例如，个别块)和整个内容是有效的且尚未被篡改(即，在步骤212和216中)。

图3示出了第二内容分布系统300的示意图，该系统除了相关图1描述的元素之外，还包括在家用网络303上的家用路由器301和两个对等体302。家用路由器301执行网络地址翻译。家用网络303提供对内容分布云106的扩展，并且家用网络303上的两个对等体302可以在它们之间分布内容也可以各自维持与云106中各对等体的单独连接。这是因为虽然家用网络上的对等体302对家用网络之外的对等体105而言如同具有相同的IP地址一样，但是它们可以经由不同的端口连接至路由器。在另一个示例中，网络303还可以包括公司网络。

图1和3各自示出了单片云106。然而，对等体可以连接至多于一个的逻辑上不同的云，并且多个对等体和跟踪者在各云间公用。每个逻辑上不同的云都具有一个发布者，并且一发布者可以负责若干片云。在一片云中的对等体可以充当另一片云中的种子，甚至是充当跟踪者服务器。术语‘种子’、‘对等体’和‘跟踪者’用于定义由所考虑的云中节点所担任的角色，并且这些术语没有必要暗示具体的硬件要求。例如，种子、对等体和跟踪者分别可以包括个人计算机。在同一片云中，物理节点可以执行一个以上的逻辑角色，例如种子和跟踪者。

在上述示例中，对等体能够加入任何云或者它们可以要求具体的授权来加入云，例如通过购买特定下载的权限。发布者101或其他实体可以设置参与云的准则。例如，只有特定网络或服务的用户才有资格参与云。在另一个示例中，云可以具有最低带宽要求，使得只有具有超过某一带宽(例如，512MB/s)的连接的对等体才被允许参与云中。在又一个示例中，某些定额可以与云相关联，例如详细说明能够参与云中的对等体总数以及能够加入云的带有慢连接的对等体最大数量(或比例)。

以上描述的内容可以是任何种类的数据，包括但不限于软件、数据文件、音频媒体和视频媒体。

以上方法提供所提供的内容将会是所期望内容的确信度，但它们不阻止非公开内容的误用。因此，可以对软件采取许可激活码的形式而对音频和视频媒体则采取DRM(数字权限管理)的形式来提供额外保护。

以上描述的各方法可以由在常规硬件上运行的软件来实现。种子、跟踪者和对等体协议可以由专用软件来实现，或者可以被集成，使得各自形成一个子协议。

本领域的技术人员将认识到用于存储程序指令的存储设备可分布在网络上。例如，远程计算机可存储描述为软件的该过程的示例。本地或终端计算机可访问远程计算机并下载该软件的一部分或全部以运行该程序。可替换地，本地计算机可按需下载软件的片断，或者可以在本地终端上执行一些软件指令而在远程计算机(或计算机网络)上执行一些软件指令。本领域的技术人员将认识到，通过使用本领域技术人员已知的常规技术，软件指令的全部或部分可由专用电路如DSP、可编程逻辑阵列等来执行。

如对于本领域的技术人员而言，显然此处给出的任何范围或者设备值可以被扩展或者改变而不失去所寻求的效果。

文本中描述的各方法步骤可以在需要时按任何合适的次序或同时执行。

可以理解，上面对于较佳实施例的描述仅仅是作为例子给出的，而本领域的技术人员可以做出多种改变。

Claims

1.一种控制内容经网络分布的方法，包括：

从发布者接收内容描述和所述内容的源的位置信息，其中所述内容描述包括与所述发布者相关联的授权细节；

检验所述授权细节的有效性；以及

如果发现所述授权细节是有效的，就把所述内容描述提供给所述网络内的节点。

2.如权利要求1所述的方法，其特征在于，响应于来自节点的请求将所述内容描述提供给该节点。

3.如权利要求1或2所述的方法，其特征在于，还包括：

在把所述内容描述提供给节点之前确认所述节点的身份。

4.如以上权利要求中任一项所述的方法，其特征在于，与发布者相关联的所述授权细节包括由证书发放实体发放的证书的细节，并且其中检验所述授权细节的有效性包括：

访问由所述证书发放实体发放的证书撤销列表；以及

确定所述证书是否在所述证书撤销列表上。

5.如权利要求4所述的方法，其特征在于，还包括：

存储所述证书撤销列表；以及

响应于来自所述网络中一节点的请求，将所述证书撤销列表提供给所述节点。

6.如以上权利要求中任一项所述的方法，其特征在于，还包括：

维持连接至所述网络并且保有至少部分所述内容的节点列表；以及

响应于来自所述节点的请求，将所述节点列表的至少一部分提供给所述网络中的节点。

7.如权利要求6所述的方法，其特征在于，还包括：

在提供所述节点列表的至少一部分之前确认所述节点的身份。

8.一种包括计算机程序代码装置的计算机程序，当所述程序在计算机上运行时适于执行以上权利要求中任一项的所有步骤。

9.一种接收经网络分布的内容的方法，包括：

接收内容标识符和跟踪者指针；

请求来自由所述跟踪者指针标识的第一跟踪者的内容描述，所述内容描述包括与所述内容的发布者相关联的授权细节；

接收所述内容描述；

检验所述授权细节的有效性；

接收来自第二跟踪者的有关所述内容的源的信息；以及

从所述源请求所述内容的一部分。

10.如权利要求9所述的方法，其特征在于，所述第一和所述第二跟踪者是相同的。

11.如权利要求10所述的方法，其特征在于，所述内容描述还包括有关所述内容的源的信息。

12.如权利要求9-11中任一项所述的方法，其特征在于，所述内容描述还包括标识所述第二跟踪者的信息。

13.如权利要求9-12中任一项所述的方法，其特征在于，与发布者相关联的所述授权细节包括由证书发放实体发放的证书的细节，并且其中检验所述授权细节的有效性包括：

访问由所述证书发放实体发放的证书撤销列表；以及

确定所述证书是否在所述证书撤销列表上。

14.如权利要求9-13中任一项所述的方法，其特征在于，还包括：

在接收所述内容描述之前向所述第一跟踪者提供标识信息。

15.如权利要求9-14中任一项所述的方法，其特征在于，还包括：

向所述源提供标识信息；以及

从所述源请求标识信息。

16.如权利要求15所述的方法，其特征在于，还包括：

从所述源接收所述内容的所述部分；

检验所述内容的所述部分的有效性；以及

如果所述部分不是有效的，就在一时段内阻止与所述源的通信。

17.一种包括计算机程序代码装置的计算机程序，当所述程序在计算机上运行时适于执行权利要求9-16中任一项的所有步骤。

18.一种发布经网络分布的内容的方法，所述方法包括：

请求发布授权；

接收授权细节；

创建包括所述授权细节在内的内容描述；以及

将所述内容描述和所述内容的源的位置信息发送给跟踪者服务器。

19.如权利要求18所述的方法，其特征在于，请求授权包括请求来自证书发放实体的证书，并且其中所述授权细节包括所述证书的细节。

20.一种包括计算机程序代码装置的计算机程序，当所述程序在计算机上运行时适于执行权利要求18或19的所有步骤。