CN101977183B

CN101977183B - 适用多类终端设备的高可信数字内容服务方法

Info

Publication number: CN101977183B
Application number: CN 201010501135
Authority: CN
Inventors: 傅涛; 陈志军; 张敏
Original assignee: JIANGSU BOZHI SOFTWARE TECHNOLOGY Co Ltd
Current assignee: Bozhi Safety Technology Co.,Ltd.
Priority date: 2010-10-09
Filing date: 2010-10-09
Publication date: 2013-06-12
Anticipated expiration: 2030-10-09
Also published as: CN101977183A

Abstract

本发明提出一种适用多类终端设备的高可信数字内容服务方法，该技术是基于可信计算技术，通过采集用户终端设备的唯一参数，生成用户终端设备标识，与用户身份信息结合生成可信根，基于可信根实现应用终端组件的运行环境的安全性验证；通过数字内容应用终端组件，基于WEB服务器实现跨平台的数字内容使用管理与控制，从而保护数字内容以合法的方式被使用，确保数字内容资源的所有者权益不受侵犯。

Description

适用多类终端设备的高可信数字内容服务方法

技术领域：

本发明涉及到一种适用多类终端设备的高可信数字内容服务技术，该技术是以可信计算技术为核心，通过WEB服务器提供的各类数字内容应用终端组件，实现面向多类终端设备的统一数字内容使用管理与控制，从而保护数字内容以合法的方式被使用，本技术所涉及的技术领域主要包括：基于WEB服务的统一功能接口，可信计算技术，数字认证，数据对称与非对称加解密技术，进程的安全保护，服务器代理与负载均衡技术，基于操作系统内核的进程行为的审计与控制。

背景技术：

数字内容的安全保护一直为信息产业所关注的重要问题，采用技术手段实现数字内容版权控制与管理也是信息安全研究领域的研究热点。目前数字内容的安全管理主要的技术有数字内容加/解密、数字水印和数字权限管理技术(DRM)等。其中，最为基础的是数字内容的加/解密技术，最为简单，但其对于用户使用数字内容的行为控制也最为薄弱；而数字水印技术可以实现对数字内容进行验证，但其只能作为数字内容使用过程监控的依据，不具备直接的数字内容保护能力；DRM技术是多家信息产业巨头联合提出一种数字内容使用权限管理技术，提供了一整套的数字内容权限管理、数字内容发布框架；DRM技术利用加密机制、密钥管理机制和DRM客户端来实现数字权限的管理和实现数字资源的发布与权限分离，通过密钥管理和DRM客户端的监控，将数字资源的使用权限从资源发布商扩展到每个用户的每台设备上，确保数字资源的使用安全。但DRM技术的对于多类终端设备兼容性等不很理想。

发明内容：

本发明的目的在于：提出一种适用多类终端设备的高可信数字内容服务方法，该技术是基于可信计算技术，通过采集用户终端设备的唯一参数，生成用户终端设备标识，与用户身份信息结合生成可信根，基于可信根实现应用终端组件的运行环境的安全性验证；通过数字内容应用终端组件，基于WEB服务器实现跨平台的数字内容使用管理与控制，从而保护数字内容以合法的方式被使用，确保数字内容资源的所有者权益不受侵犯。

本发明的具体技术方案如下

一种适用多类终端设备的高可信数字内容服务方法，本方法是基于WEB架构，该WEB架构的构成包括：高可信数字内容应用终端组件的分发WEB服务器、数字内容服务器、数字内容票证服务器、身份认证与验证服务器和数字内容费用结算服务器；本方法的步骤包括：

1)用户访问所述分发WEB服务器，从该服务器中下载其设备终端类型所对应的应用终端组件，进行安装；

2)应用终端组件安装时，采集用户终端设备各项参数，生成唯一标识码，将唯一标识码上传至身份认证与验证服务器，该服务器根据唯一标识码生成可信根非对称加密密钥对，同时将用户身份信息、生成的用户票证加密密钥对信息，唯一标识码进行加密生成可信根，将可信根及其加密公钥发送至应用终端组件；

3)应用终端组件在接收到可信根及其加密公钥之后，开始安装虚拟机及其伴随进程，初始化用户票证存储空间，在用户设备系统内核安装数字内容使用监控探针，最终完成应用终端组件的安装及初始化过程；

4)应用终端组件被使用时，应用终端启动虚拟机及其伴随进程，将可信根及其加密公钥读入虚拟机内存空间，利用该加密密钥解开可信根，获取用户唯一标识码等可信根信息，同时采集用户终端设备参数生成标识码与可信根中存储的标识码进行比对，验证用户终端设备；

5)验证通过后，数字内容应用终端将读入用户的加密票证信息，读入可信根存储的票证信息的，依据其中存储的用户使用数字资源权限，监控用户使用数字内容的行为；同时使用票证中数字内容的对称加密密钥解密数字内容，提供用户使用；

6)当用户搜索到其需要的数字内容后，将向数字内容费用结算服务器发出请求，付款后获得该服务器加密的费用结算票证，用户将此票证加上自己的身份认证信息发送给数字内容票证服务器；

7)数字内容票证服务器在接收到用户提供的信息后，对用户的身份及费用结算票证验证之后，生成数字内容使用票证，其中包括数字内容的对称加密密钥，数字内容使用身份信息，数字内容使用权限信息；

8)用户在收到票证之后，向通过数据内容服务器向数字资源代理服务器发送请求，直接下载由数字内容代理加密后的数字内容资源；

9)用户在接收到数字内容资源后，由用户设备上的应用终端软件，执行数字内容解密，并根据票证中描述的用户使用数字内容权限，监视用户使用数字内容的行为，确保数字内容安全，不被违规使用。

所述WEB架构中还包括安全事件日志服务器，用于记录数据内容的使用权限授予、用户违规使用数字内容等安全事件，以备日后对数字内容使用的安全审计。

所述应用终端组件提供基于WEB服务的统一功能接口；所述应用终端组件面向的终端设备包括：桌面终端、WEB网页终端和移动设备终端。

对于用户使用数字内容的行为审计，是基于用户终端所在的操作系统内核实现的，通过对用户操作系统内核的调用监控，依据票根中描述的用户使用权限控制用户使用数字内容的行为。

所述用户的唯一标识是本技术实现高可信的数字内容保护基础，是针对不同的用户终端，利用采集的用户终端设备信息，生成的唯一标识；

对于桌面终端，它是网卡的MAC地址与硬盘参数等相关设备参数；对于移动设备，它是基于PIN码等参数；对于WEB网页，它是基于网页组件实现对用户设备数据采集，生成用户唯一标识；

所述可信根，是提供给用户终端启动与初始化时，对其所位于的用户终端的环境是否安全的验证基础；

它是通过用户身份认证与授权服务器，根据用户唯一标识生成的一对非对称加密密钥对，该密钥对的公钥，以及通过该密钥对的私钥加密的用户唯一标识码，用户身份信息，用户票证数据加密密钥的数据块所组成的。

所述数字内容票证服务器进行数字内容权限描述，包括数字内容的使用方式，使用期限与次数等；同时与用户身份认证与验证服务器、费用结算服务器的交互，生成用户最终获取的数字内容使用票证，作为用户使用数字内容的依据。

在数字内容应用终端，对票证的安全保护方法是，票证中记录了用户所获得的数字内容使用权限，数字内容的解密密钥，是应用终端实现用户使用数字内容控制的依据；通过位于用户身份认证与验证服务器端的用户可信根对应的私钥进行加密。

在数字内容应用终端，对数字内容进程保护采用虚拟机，所述虚拟机进程中包含自有的内存分配与映射算法，该算法借鉴现有的虚拟机内存管理机制，在虚拟机掌握的内存中划分出堆、栈以及程序代码空间三个部分，由虚拟机内存管理功能模块实现动态的内存空间管理与分配，从而实现进程内存空间的保护，虚拟机进程还伴随保护进程，监视系统内核对该进程空间的访问行为，从而确保的内存安全。

本发明针对目前数字内容易于被窃取、盗版、非法使用等问题，基于WEB服务技术，可信计算技术、数字内容加/解密、位于系统内核的行为监控等安全技术，实现了一种适用多类终端设备的高可信数字内容服务方法。本方法通过WEB服务架构，向数字内容用户提供适用各类终端的高可信数字内容应用终端组件，利用数字加密技术实现数字内容的分发、使用权限的授予以及数字内容使用费用的结算，通过数字内容应用终端组件实现了用户使用数字内容的行为及权限审计，达到对数字内容安全保护的目标。

本发明的有益效果如下：

1.基于WEB服务的统一服务接口；本技术中使用到的各类服务器提供的服务功能都是基于WEB服务架构实现的，通过WEB服务架构实现面向多类数字内容应用终端的统一服务接口，使得后台的数字内容服务器无需作任何变更，即面向多类用户终端设备，提供跨平台的数字内容服务；

2.多类的数字内容应用终端组件：本技术中针对桌面终端、移动终端与网页终端实现不同的数字内容应用终端组件，这些组件可以实现同一数字内容适用于不同类别的用户终端设备，不仅拓宽了数字内容的使用范围，也使得数字内容的提供方无需关心数字内容的具体使用环境；

3.虚拟机的内存映射保护机制：本技术中使用的虚拟机采用自定义的进程内存映射机制，由虚拟机将可信根读入其特定的内存空间中，通过自定义的内存映射算法实现对信任根以及自身核心代码的访问，从而实现对数字内容应用终端的可信根与数字内容应用环境可靠性验证代码的保护；

4.虚拟机的伴随进程监控；在技术中虚拟机除了通过自定义的进程内存映射机制来实现对自身核心代码与可信根的保护外，还通过位于系统内核的虚拟机伴随进程监控系统进程对虚拟机进程内存空间的访问与操作行为，确保虚拟机进程的内存空间不会泄露。

5.基于不对称加密与用户终端唯一标识的可信根；本技术通过用户终端唯一标识的采集与生成，利用位于用户身份认证与授权服务器的算法对唯一标识的处理，生成不对称加密密钥对，其公钥传送到用户数字内容应用终端中保存，并利用私钥加密用户使用的票证加密密钥、用户终端的唯一标识、用户身份信息，生成可信根。

6.基于虚拟机内存保护与可信根的可信计算保障：在本技术中，可信根由加密后用户身份、唯一标识、票证加密密钥组成，由于使用的加密私钥位于认证服务器中，用户无法获取，因此用户也无法修改或自生成可信根，因此该可信根可以作为应用终端可信计算的依据，而票证加密密钥也同样是公钥，只能用于解密票证，无法生成或修改票证，因此保护了票证的可信性。再结合虚拟机的自定义内存映射算法，实现对用户唯一标识采集生成、验证代码的保护，实现了虚拟机验证应用终端环境可信性的保障，由此两方面实现了本技术的可信计算环境保障。

7.数字内容代理架构；数字内容代理架构屏蔽了数字内容的真实来源，且通过数字内容代理实现对数字内容的对称加密及加密密钥的存储与管理，解耦了数字内容提供方与本技术架构的耦合度，此外代理架构也实现了用户对数字内容的搜索，以及负载均衡等多项功能，进一步提高了系统的可靠性与性能。

附图说明；

图1本发明的WEB架构图；

图2本发明的数字内容应用终端组件结构图；

图3本发明的数字内容发布与购买流程图。

具体实施方式：

下面结合附图与具体实施方式对本发明进行说明：。本发明的实现包括步骤：

步骤1：创建适应于不同终端设备的高可信数字内容应用终端组件，主要包括三类终端：桌面终端、WEB网页终端、移动设备终端，基于数字内容应用终端初始化生成的可信根实现数字内容管理环境的安全性验证；

步骤2：创建高可信数字内容应用终端的分发WEB服务器，通过该服务器提供的WEB服务，基于网络或无线网络向用户终端提供高可信数字内容应用终端组件，基于多类终端的数字内容应用管理组件，以及WEB服务使得本技术实现跨平台性；

步骤3：创建数字内容服务器：该服务器即可以是数字内容的存储、维护与管理服务器，也可是其它数字内容来源的代理服务器，数字内容服务器是本技术的底层数据服务器，提供数字内容资源；

步骤4：数字资源代理服务器，该服务器基于WEB服务架构，提供数字内容的搜索，以及数字内容的实时加密，负载均衡等任务，向用户提交使用对称加密密钥加密后的数字内容，以实现数字资源不会在传递中被泄露。

步骤5：创建数字内容票证服务器，该服务器验证用户提交的购买数字内容的费用结算凭证，用户申请的使用权限，用户身份认证信息等相关信息，向用户提供包含有数字内容使用权限授权、数字内容对称加密密钥的票证。

步骤6：身份认证与授权服务器：该服务器实现对高可信数字内容应用终端的身份认证与授权，用于应用终端初始化时的加密密钥注册，应用终端的身份重建与恢复，向票证服务器提供用户身份认证服务等；

步骤7：安全事件日志服务器：用于记录数据内容的使用权限授予、用户违规使用数字内容等安全事件，以备日后对数字内容使用的安全审计。

在本方法的过程中，

1.首先用户要访问本技术架构中的WEB服务器，通过该服务器采用无线网络或有线网络的方式，下载其设备终端类型所对应的应用终端组件，进行安装；

2.应用终端组件开始安装，采集用户终端设备各项参数，生成唯一标识码，将唯一标识码上传至本技术的身份认证与验证服务器，该服务器根据用户唯一标识码生成可信根非对称加密密钥对，同时将用户提供的身份信息、生成的用户票证加密密钥对信息，唯一标识码进行加密生成可信根，将可信根与可信根加密公钥发送至应用终端组件；

3.应用终端组件在接收到可信根及其加密公钥之后，开始安装虚拟机及其伴随进程，初始化用户票证存储空间，在用户设备系统内核安装数字内容使用监控探针，最终完成应用终端组件的安装及初始化过程；

4.当用户开始使用数字内容应用终端组件时，应用终端将启动虚拟机及其伴随进程，将可信根及其加密公钥读入虚拟机内存空间，利用加密密钥解开可信根，获取用户唯一标识码等可信根信息，同时采集用户终端设备参数生成标识码与可信根中存储的标识码进行比对，验证用户终端设备；

5.验证通过后，应用终端将读入用户的加密票证信息，读入可信根存储的票证信息的，依据其中存储的用户使用数字资源权限，监控用户使用数字内容的行为，同时使用票证中数字内容的对称加密密钥，解密数字内容，提供用户使用；

6.当用户搜索到其需要的数字内容后，将向数字内容费用结算服务器发出请求，付款后获得该服务器加密的费用结算票证，用户将此票证加上自己的身份认证信息发送给数字内容票证服务器；

7.数字内容票证服务器在接收到用户提供的信息后，对用户的身份及费用结算票证验证之后，生成数字内容使用票证，其中包括数字内容的对称加密密钥，数字内容使用身份信息，数字内容使用权限信息；

8.用户在收到票证之后，向数字内容代理发送请求，直接下载由数字内容代理加密后的数字内容资源；

9.用户在接收到数字内容后，由用户设备上的应用终端软件，执行数字内容解密，并根据票证中描述的用户使用数字内容权限，监视用户使用数字内容的行为，确保数字内容安全，不被违规使用。

Claims

1.一种适用多类终端设备的高可信数字内容服务方法，其特征是本方法是基于WEB架构，该WEB架构的构成包括：高可信数字内容应用终端组件的分发WEB服务器、数字内容服务器、数字内容票证服务器、身份认证与验证服务器和数字内容费用结算服务器；本方法的步骤包括：

1）用户访问所述分发WEB服务器，从该服务器中下载其设备终端类型所对应的应用终端组件，进行安装；

2）应用终端组件安装时，采集用户终端设备各项参数，生成唯一标识码，将唯一标识码上传至身份认证与验证服务器，该服务器根据唯一标识码生成可信根非对称加密密钥对，同时将用户身份信息、生成的用户票证加密密钥对信息，唯一标识码进行加密生成可信根，将可信根及其加密公钥发送至应用终端组件；

3）应用终端组件在接收到可信根及其加密公钥之后，开始安装虚拟机及其伴随进程，初始化用户票证存储空间，在用户设备系统内核安装数字内容使用监控探针，最终完成应用终端组件的安装及初始化过程；

4）应用终端组件被使用时，应用终端启动虚拟机及其伴随进程，将可信根及其加密公钥读入虚拟机内存空间，利用该加密公钥解开可信根，获取用户唯一标识码，同时采集用户终端设备参数生成标识码与可信根中存储的标识码进行比对，验证用户终端设备；

5）验证通过后，数字内容应用终端将读入用户的加密票证信息，读入可信根存储的票证信息的，依据其中存储的用户使用数字资源权限，监控用户使用数字内容的行为；同时使用票证中数字内容的对称加密密钥解密数字内容，提供用户使用；

6）当用户搜索到其需要的数字内容后，将向数字内容费用结算服务器发出请求，付款后获得该服务器加密的费用结算票证，用户将此票证加上自己的身份认证信息发送给数字内容票证服务器；

7）数字内容票证服务器在接收到用户提供的信息后，对用户的身份及费用结算票证验证之后，生成用户票证，其中包括数字内容的对称加密密钥，数字内容使用身份信息，数字内容使用权限信息；

8）用户在收到票证之后，通过数据内容服务器向数字资源代理服务器发送请求，直接下载由数字内容代理加密后的数字内容资源；

9）用户在接收到数字内容资源后，由用户设备上的应用终端组件，执行数字内容解密，并根据票证中描述的用户使用数字内容权限，监视用户使用数字内容的行为，确保数字内容安全，不被违规使用。

2.根据权利要求1所述的适用多类终端设备的高可信数字内容服务方法，其特征是所述WEB架构中还包括安全事件日志服务器，用于记录数据内容的使用权限授予、用户违规使用数字内容，以备日后对数字内容使用的安全审计。

3.根据权利要求1所述的适用多类终端设备的高可信数字内容服务方法，其特征是所述应用终端组件提供基于WEB服务的统一功能接口；

所述应用终端组件面向的终端设备包括：桌面终端、WEB网页终端和移动设备终端。

4.根据权利要求1所述的适用多类终端设备的高可信数字内容服务方法，其特征是对于用户使用数字内容的行为审计，是基于用户终端所在的操作系统内核实现的，通过对用户操作系统内核的调用监控，依据用户票证中描述的用户使用权限控制用户使用数字内容的行为。

5.根据权利要求1所述的适用多类终端设备的高可信数字内容服务方法，其特征是所述用户的唯一标识是本技术实现高可信的数字内容保护基础，是针对不同的用户终端，利用采集的用户终端设备信息，生成的唯一标识；

对于桌面终端，它是网卡的MAC地址与硬盘参数；对于移动设备，它是基于PIN码参数；对于WEB网页，它是基于网页组件实现对用户设备数据采集，生成用户唯一标识。

6.根据权利要求1所述的适用多类终端设备的高可信数字内容服务方法，其特征是所述可信根，是提供给用户终端启动与初始化时，对其所位于的用户终端的环境是否安全的验证基础；它是通过用户身份认证与验证服务器，根据用户唯一标识生成的一对非对称加密密钥对，该密钥对的公钥，以及通过该密钥对的私钥加密的用户唯一标识码，用户身份信息，用户票证数据加密密钥的数据块所组成的。

7.根据权利要求1所述的适用多类终端设备的高可信数字内容服务方法，其特征是所述数字内容票证服务器进行数字内容权限描述，包括数字内容的使用方式，使用期限与次数；同时与用户身份认证与验证服务器、费用结算服务器的交互，生成用户最终获取的数字内容使用票证，作为用户使用数字内容的依据。

8.根据权利要求1所述的适用多类终端设备的高可信数字内容服务方法，其特征是在数字内容应用终端，对票证的安全保护方法是，票证中记录了用户所获得的数字内容使用权限，数字内容的解密密钥，是应用终端实现用户使用数字内容控制的依据；通过位于用户身份认证与验证服务器端的用户可信根对应的私钥进行加密。

9.根据权利要求1所述的适用多类终端设备的高可信数字内容服务方法，其特征是在数字内容应用终端，对数字内容进程保护采用虚拟机，所述虚拟机进程中包含自有的内存分配与映射算法，该算法是在虚拟机掌握的内存中划分出堆、栈以及程序代码空间三个部分，由虚拟机内存管理功能模块实现动态的内存空间管理与分配，从而实现进程内存空间的保护，虚拟机进程还伴随保护进程，监视系统内核对该进程空间的访问行为，从而确保的内存安全。