CN1161999C - 用于交互式电视应用程序的安全模块 - Google Patents

Abstract

一种在交互式电视系统中实施的用于限制或控制交互式电视应用程序和旋转式传送器访问权的系统和方法。该系统从广播站向多个接收站广播的模块，执行包含模块的应用程序。在一个实施例中，应用程序利用由生产者识别号码ID(61)和用于每个授权方和受让方应用程序的应用程序1ID(62)、截止期、一组许可数据、生产者证明和签名组成的凭证。利用生产者和应用程序各自的ID可以识别应用程序请求访问和旋转式传送器授权访问。证明利用公用密钥加密，以保证凭证的完整性。生产者和应用程序ID可以利用通配符替代，使得可以向一组生产者和应用程序授权。

Description

用于交互式电视应用程序的安全模块

技术领域

本发明涉及一种交互式电视系统，更具体地说，涉及一种用于加强有关交互式电视应用程序(application)安全的装置(means)，该应用程序可以访问其它模块或采取某些受限制的行动。

背景技术

交互式电视系统能够使电视机用于提供新的用于向观看者提供服务的装置。交互式电视系统除了通常的视频节目流以外能够显示文本和图形图像。交互式电视系统还能够记录观看者的行动或响应。交互式电视提出的特征包含各种业务：市场销售、企业和教育效能(capability)例如通过征订广告的产品或服务、运动会中比赛者的竞争或者请求对于特定节目的专门信息，使得用户能与电视节目交互作用。

通常，广播服务提供商产生发送到观看者的电视机的交互式电视信号。该交互式电视信号包含由应用程序代码或控制信息组成的交互式部分以及由电视节目组成的音频-视频部分。这里所用的术语“应用程序”通常是指与汇集例如包含计算机软件应用程序在中的代码或数据相关的作业。广播服务提供商将音频-视频和交互部分组合成用于发送到一连接到用户的电视机的接收器的单一信号。该信号通常在发送前被压缩，并通过通常的广播信道例如有线电视(CATV)线路或定向卫星发送系统发送。

利用一连接到电视的机顶盒控制电视的交互式功能。机顶盒接收由广播服务提供商发送的信号，并将交互式部分与音频-视频部分分开以及对信号的各部分进行解压。机顶盒利用交互式功能例如执行应用程序，同时将音频-视频信息发送到电视。机顶盒可以在向电视机发送信息之前将音频-视频信息与由交互式应用程序产生的交互式图形或音频部分组合。交互式的图形和音频信息可以向观看者展现附加的信息或者可以提示观看者输入信息。机顶盒可以通过连接调制解调器使观看者向广播服务提供商提供输入或其它信息。

交互式电视应用程序是一种包含用在电视系统中的交互式内容的应用程序。

交互式电视应用程序由一个或多个节目模块组成。

一个模块通常是可以与其它模块组合以形成一完整的应用程序或程序的应用程序代码的单元(unit)。

如果应用程序具有一个以上的模块，则形成应用程序的该组模块通常是自含的。即，该应用程序所需的所有代码都包含在该组模块中。第一模块是目录模块，其识别作为该应用程序的一部分的所有模块。列在目录模块中的整组模块经过广播信道发送到机顶盒并执行应用程序。(该组模块可以称为“旋转式传送器”(carousel)，下文解释)如果第一交互式电视应用程序执行己完成并待完成第二应用程序，则将第二应用程序中的目录和其它模块发送到机顶盒并执行第二应用程序。发送第二应用程序所使用的整组模块，即使某些模块可能与第一应用程序所使用的模块相同。

以模块形式设计软件应用程序使得可以在各应用程序中公用模块可能是有利的。模块化的优点是可以包含在机顶盒中节省可用于交互式应用程序的有限数量的存储器，降低从广播站向机顶盒下载应用程序所需的时间或者降低为使模块公用必须写入的应用程序代码的数量。因为应用程序的各部分可以保留在不同的旋转式传送器中，希望保证各自模块的安全并相应地限制对得到授权的模块的访问。

提供一种用于使应用程序机构能按可控方式彼此交互作用即使当它们不公用模块也将是有利的。例如，如果一种应用程序转移对另一应用程序的控制以及第二应用程序不明确(stall)，第一应用程序可能需要终止第二应用程序，以便恢复控制。因此希望提供一种可以验证第一应用程序的访问权和确定第一应用程序是否采取这样的行动的系统。此外，希望以将与该系统相关联的内务操作(overhead)最小化的方式实现这些特征。

发明内容

本发明包含一种用于限制或控制交互式电视应用程序的访问权的系统和方法。(访问权用于这里是指公用的节目模块的应用程序权，控制其它应用程序，利用系统资源或采取某些其它行动。)本发明的一个实施例提供一种在交互式电视系统中的装置，以便验证试图采取可能影响其它应用程序的行动的某些应用程序的凭证。

这里所用的术语“凭证(credential)”是一与特定应用程序或模块相关联的信息片，该特定应用程序或模块识别可执行某些功能的该应用程序或模块的真实性。

实现该系统以便保证对于某些操作的相应的应用程序的保密，安全和授权。该系统利用由各信息片组成的凭证以识别一种应用程序和其对应的特许、权利和限制。

在一个实施例中，凭证包含生产者识别号码ID以及关于该应用程序的应用程序ID、截止期、权利列表、生产者证明(certificate)和签名。生产者ID和应用程序ID以唯一对应方式识别该应用程序。权利列表识别应用程序履行受限制的权利的能力例如访问另一应用程序的模块或终止另一应用程序的执行。受限制的权利可以适合于由在系统中的应用程序执行的任何操作。截止期设置一个时间限制，超出该时间限制凭证不再有效。凭证为了安全利用公用密钥加密(下文详细介绍)。生产者证明是生产者的公用密钥。整体凭证是利用私人密钥的签名，使得可以验证凭证的完整性。

利用上述加密安全措施和截止期，可以确定凭证是否是真实的，以及如果是真实的，确定凭证是否仍然有效。

在一个实施例中，凭证可以用于提供一种机构，利用该机构第一应用程序可以授权许可到第二应用程序，以便公用其代码或对于第一应用程序采取行动。第一应用程序的拥有者具有一在凭证中将其识别的ID。与之相似，第二应用程序具有一列在凭证中按照被授权许可的应用程序的ID。第一应用程序和第二应用程序的拥有者具有一指定的专用ID，每个ID在该拥有者的各应用程序中是唯一的。拥有者还具有在各拥有者(生产者)中是唯一的自身的ID。因此，任何指定的应用程序可以利用拥有者的ID和应用程序ID来识别。因此，任何指定的应用程序可以对于由特定拥有者拥有的特定应用程序授予各种特定的许可。可以用通配符替换各应用程序的生产者的ID和应用程序ID，使得单个应用程序可以将一些许可授给一组拥有者或应用程序。

在一个实施例中，凭证可以用于控制第一应用程序的行动，该应用程序不影响其它应用程序。例如，应用程序可以试图访问在机顶盒中存储的私人的受限制的数据。机顶盒配置成可以使仅当出现有效的凭证表明有访问该数据的权利时访问在存储器中与受限制的数据相对应的存储单元。在另一个实施例中，系统配置成能限制对其它系统资源例如向广播站的返回通道的访问。该系统可以在执行之前或当需要访问返回通道时检查应用程序的凭证。如果凭证有效表明许可利用返回通道则许可访问。凭证可以用于控制任何数量的应用程序功能，并且在实现该用于使凭证有效的机构时可以有很多变化。

附图说明

通过参照附图和如下的详细介绍，使本发明的其它目的和优点将变得更加清楚，其中：

图1是表示交互式电视应用程序配置和电视节目从它们的来源向一系列观看者分发的方块示意图。

图2是用在本发明的一个实施例中的机顶盒方块示意图。

图3是表示在本发明的一个实施例中旋转式传送器(carorsel)的组成模块和模块发送次序。

图4是表示在本发明的一个实施例中将包含一模块的数据打包方式的方块示意图。

图5是表示在本发明的一个实施例中将信号从广播站向接收站发送的示意图。

图6a是表示用在本发明的一个实施例中凭证的数据结构的方块示意图。

图6b是表示用在本发明的另一个实施例中凭证的数据结构的方块示意图。

虽然本发明易于进行各种改进和形式替换，但在附图中仅以举例的方式表示本发明的一些特定实施例，下文将详细介绍。然而，应当理解，附图和所作的详细介绍并非意在限制到所述的具体形式，相反，本发明覆盖落在由所提出的权利要求限定的本发明的构思和范围内的所有改进、等效和替换。

具体实施方式

下面介绍本发明的一个实施例。在这一实施例中，交互式电视服务器经过广播信道例如定向卫星发送接收音频和视频交互信号。(“定向卫星发送”用在这里是指利用交互式电视服务器，更具体地说，利用其天线是定向接收从卫星定向预期发送的信息。)音频-视频交互信号包含电视节目或类似的音频和视频内容以及交互式内容例如控制信号交或互式应用程序。(“广播”用在这里是指将一种信号发送到所有的预约接收器。)交互式电视接收器配置成经过非广播信道例如调制解调器接收音频和视频信号。交互式电视接收器配置成将音频-视频内容从音频-视频交互信号中的分离出来。为作为电视节目显示处理该音频-视频内容，同时为对交互内容进行处理以便由接收器执行。交互内容可以使接收器能执行各种功能，包含产生由电视节目组合以便显示的音频部分和图形。如果交互内容包含一种应用程序，该应用程序可以由几个子部分或模块组成。模块可以包含任何类型的数据例如应用程序代码、原始数据或图形信息。

形成交互应用程序的模块通常属于称为旋转式传送器的单一一组模块。旋转式传送器通常可以按照一组由同一生产者拥有的模块限定并有权彼此访问。将模块称之为旋转式传送器是因为它们通常以循环的方式发送到交互式电视接收器。一种应用程序是一包含“顶层(top-level)”节目(program)的旋转式传送器。

可能希望使一种应用程序能访问另一旋转式传送器的各模块(用于公用数据、转移控制应用程序或其它目的)。一个旋转式传送器的应用程序或模块可以通过“采用凭证”与另一个旋转式传送器的模块或与交互式电视系统交互作用。凭证是可以用于识别和验证特定模块特许和信息的各组数据。特许和限制可能与一模块是否得到授权与另一模块交互作用或采取某些行动(否则被限制)例如访问存储器中的受限制的区域相关。凭证可以利用通配符以便将特许授予一些模块而不必保持所有涉及的模块的列表。

在一个实施例中，关于应用程序或模块验证凭证的行动可以涉及将凭证信息传输到交互式电视系统中的控制单元的应用程序或模块，该交互式电视系统配置成能将传输信息的内容与预期的内容相比较。如果传输信息的内容与预期或所需的内容相一致，则凭证被“验证”，应用程序或模块得到授权许可，以采取某些行动或执行与凭证信息相对应的功能。在这样一种情况下，凭证信息表明许可执行相应的行动。另外，验证凭证的行动可以涉及检查应用程序或模块是否具有所需的信息片。如果应用程序或模块具有所需的信息片，使应用程序能采取与信息片相对应的行动。

参照图1，图1是表示交互式电视应用程序配置和电视节目从它们的来源向一系列观看者分发的方块示意图。广播站10有几个节目源11。这些节目源包含远距离广播网络馈送装置、磁带录像机、计算机、数据存储装置等。节目源11可以提供交互或控制信息、音频信息和/或视频信息，它们都待包含在交互式电视信号中。由节目源11提供的信息通常用压缩单元12进行压缩以便节省频带。可以采用很多的压缩算法例如其中一种为运动图像专家组(MPEG)压缩标准。在其它各种事务之中，根据待压缩的信息和传输媒体的类型选择适当的压缩算法。可以添加时间标记以便例如合成相互关联的音频和视频信号。某些信息可能不易于或有效压缩，这样某些信息可以不经信息压缩直接从节目源发送到打包单元13。打包单元13接收经压缩或(未经压缩)的信息并将其格式化为包以便沿广播信道发送。下面更详细地介绍信息的打包。将包馈送到多路复用单元14，其在发送之前散布包。然后将经散布？的各包广播到接收站20。(虽然在图中仅示出一个接收站，可考虑将音频和视频交互信号广播到一组预订接收站)在该图中，是按照通过天线15利用卫星广播发送音频和视频交互信号表示的。

利用通信卫星18中继传输广播信号并由接收站20接收。虽然该图表示的是卫星发送，但可考虑采用任何广播媒体(例如CATV或定向卫星发送)。(应注意，本发明另外的实施例可以利用点对点或其它类型的数据分配系统实现)考虑接收站20是很多作为操作广播站10的广播服务提供商的客户这样的站的其中之一。由接收天线21控制广播信号并馈送到接收器22，在这一个实施例中，接收器考虑为一机顶盒。机顶盒22处理经打包的数据以便重新构成电视节目和置入在该信号中的交互式应用程序。在机顶盒中执行重新构成的应用程序，同时。将重新构成的电视节目传输到电视，在其中显示该电视节目。交互式应用程序可以产生音频或图形，在显示之前按照电视节目将音频或图形组合。

除了在广播站和接收站之间的广播信道之外，还可有其它广播信道例如调制解调器信道(它们可以称为http或超级文本转移协议，信道)。这些信道使用系统中的两个功能：它们使机顶盒能够向广播站提供反馈；以及它们能够提供待从节目源向接收站20发送的替换通道。

参照图2，图2表示机顶盒22的方块示意图。接收广播信号并馈送到调谐器31。调谐器31选择发送音频和视频交互信号的信道并将信号传输到处理单元32。(调谐器31可以由替代其它装置，所有这些用于接收来自各种信号源的信号在此共称为输入端口)如果需要处理单元32对来自广播信号的各包多路分解，并重新构成电视节目和/或置入在信号中的交互式应用程序。然后利用解压缩单元33对节目和应用程序进行解压缩。然后将与电视节目相关联的、置入在信号中的音频和视频信息传输到显示单元34，显示单元34可对该信息进一步处理并变换为适当的电视格式例如NTSC或HDTV音频/视频格式。根据广播信号重新构成的应用程序发送到随机存取存储器(RAM)37并由控制单元35执行。

控制单元35可以包含微处理器、微控制器、数字信号处理器(DSP)、或某些其它类型的软件指令处理器。RAM37可以按照需要包含存储器单元，它们是静态式(例如SRAM)、动态式(例如DRAM)、易失性或非易失性(例如FLASH)存储器单元，以便按照需要支持机顶盒的功能。当向机顶盒供电时，控制单元35执行存储在RAM37中的操作系统代码。在机顶盒供电按相同的方式操作典型的个人计算机(PC)的系统代码的同时连续地执行操作系统代码，并且能够使机顶盒根据控制信息起作用，执行交互式或其它应用程序。机顶盒还包含调制解调器38。调制解调器38提供一个返回通道，利用这一个返回通道可以将观看者的数据发送到广播站以及提供替换通道，利用这一替换返回通道广播站可以将数据发送到机顶盒。

虽然这里使用“机顶盒”这一术语，但应理解，这一术语是指任何接收器或处理单元，该接收器或处理单元用于接收或处理所发送的信号并将经处理的信号传输到电视或其它监视器。可以将机顶盒置于一壳体内，该壳体形体位于电视的顶部，可以在电视外部的某些其它位置(例如在电视的侧部和背部，或者离电视很远)，或者可以包含到电视本身内部。机顶盒22用于对从广播站10接收的信号进行解调，并将信号的内容例如不同的电视节目和交互式应用程序分开。与之相似，电视23可以是采用任何适当电视格式(例如NTSC或HDTV)的电视或监视器，或者可以由其它装置例如录像机替代。

接收站以可控方式通过广播信道连通到广播站电视。这种广播信道可以利用各种传输媒体并考虑包含例如同轴电缆或自由空间(例如用于定向卫星发送)。广播信道形成在广播站和接收站之间的发送通道。广播站和接收站还通过返回通道连通。返回通道通常由一对调制解调器组成，一个在广播站，一个在接收站，每一个连接到普通的电话线上。还考虑用于建立返回通道例如利用占部分带宽的发送通道的其它装置。

参照图3，图3是表示由一系统模块组成的应用程序或旋转式传送器，其中一个是目录模块。目录模块具有单独的标识符，使得在发送过程中无需其它信息即能将其识别。目录模块包含该应用程序中的每个模块的入口，和在目录模块中没有对应于入口的任何模块均不通过该应用程序来识别。目录模块包含足够的信息，使得交互式电视接收器能访问该应用程序中执行程序所必须的所有部分(即模块)。必须在该应用程序中的其它模块之前访问目录模块，以便可以适当地译码其余的模块。在发送该应用程序中的模块的循环周期过程中可以几次发送目录模块，以保证可达到对其余模块的基本上随机访问。

所有应用程序的目录模块具有一个通用的格式。该格式由三部分组成：具有固定长度组成部分的部分、具有可变长度组成部分的部分，以及具有证明信息的部分。固定长度的部分包含关于该应用程序的数据和在该应用程序中的各模块。可变长度的部分包含关于模块名称的成串数据和散列模块。证明信息包含生产者证明和目录签名。

在一个实施例中，该应用程序包含被下载并自动执行的至少一个模块。包含数据或附加代码的其它模块可能不立即需要，因此可以在开始执行应用程序之后将它们下载。然而，这些模块的下载可能受到时间限制，这样交互式电视系统要考虑这些限制并将模块以定时方式发送。如果需要，可以将这些模块的其中一个与其它模块或者数据多路复用，以保证当需要时会接收到。

参照图4，每一个模块5 1具有数据段52和CRC段53。上面介绍了目录模块的数据段52。其余模块的数据段52可以包含任何类型的数据例如应用程序代码或原始数据。每一个模块的CRC段53用于差错控制并用于整体模块51计算。每一个模块51具有单独的标识符。

在发送模块51之前，将它们格式化为发送单元(unit)54。出于讨论的目的，利用相同数字但不同字母(例如54a，54b，54c)的标注的项目将共称为并仅利用该数字(例如54)标注。每个发送单元54包含首标信息55和数据56，首标信息55可唯一地识别在发送单元流内的发送单元54，数据56包含被发送的部分模块。首标55包含例如为模块ID、模块偏移(offset)和大小的信息，它们使发送单元54能重新构成为一完整的模块51。包含特定模块51的发送单元54可以与在该发送流中的其它发送单元54交错。用于模块51的最后的发送单元54携带CRC53。

发送单元54的格式化取决于传输媒体，不过通常采用具有固定长度的包(可以填充最小的包以便达到适当的长度)在该序列中的第一包58携带关于发送单元54的首标信息。这一首标包58是一特殊的包，其可以在CPU中产生中断，并且其包含的信息使CPU能确定模块51是否应解码以及应存入存储器中的何处。在定向卫星发送中的首标包58利用一可以产生中断的辅助类型的包。在定向卫星发送中的其余的包58利用一直接携带发送单元数据的基本类型的包。

从广播站向交互式电视接收器的音频和视频交互式发送包含一系列的发送单元。形成指定的模块的发送单元通常与其它信息时分复用。这一信息可以由另一模块的发送单元或经压缩的音频和视频信息组成。将由交互式电视接收器接收的发送单元重新构成为它们的对应的应用程序模块。

参照图5，图5是表示将信号从广播站10向接收站20发送的示意图。如果需要可以将几个节目源多路复用为单一发送流。这些包可以包含用于各种应用程序或电视节目的数据。所述的发送流包含电视节目的音频(A)和视频(V)包以及两个交互式应用程序模块(M1，M2)的包。按照上述的将各包格式化以便能够将各包重新构成为对应的节目和模块。应注意，可以通过将它们的包组合到该发送信号中同时发送几个模块。该图表示了各模块的和电视节目的包时分复用的情况。各模块不必属于待一起发送的同一旋转式传送器。由该图可以看出，通常用于特定电视节目的视频数据包多于该节目的音频数据包，这是因为通常必须发送大量的视频数据。

由机顶盒22接收广播信号。机顶盒22还可以连接有一用于接收http信号的调制解调器。考虑机顶盒22包含一模块管理单元配置成检测与需要执行交互式电视应用程序的模块对应的包。不必要求模块开始执行对应的应用程序，而是可以在开始执行之后由该应用程序提出请求。

机顶盒22将各包复用，将包含模块数据的包与包含关于电视节目的音频和视频信息的包分开。模块管理单元检测模块各包并确定这些包是否对应执行应用程序所需的模块。然后，机顶盒由对应的包重新构成模块并由包含相关联的音频和视频数据重新构成电视节目。正如上面所解释的，各模块存储在RAM37中，为了在控制单元35执行应用程序时使用在该处可以得到它们。

在指定旋转式传送器中的模块通常由意在使模块能彼此访问的生产者创建。如果需要其中一个模块对于另一模块采取某些行动，假设第一模块得到适当的许可。如果要对第一模块的行动予以限制，编程人员的责任是加强这些限制。因此通常不需要安全机构来限制这些模块之间的访问。然而，正如上面所指出的，可以将应用程序设计成与属于另外旋转式传送器的模块交互作用，或者可以将它们设计成采取某些行动，并不使所有模块采取这些行动。因此，例如为了系统和应用程序的安全希望提供一安全装置，其控制是否使一个旋转式传送器中的各模块执行受限制的操作。(虽然各模块可实际上执行受限制的操作，通常以每个旋转式传送器为基础授予访问权，下面介绍对旋转式传送器的授权)

借助于凭证使模块可以得到许可执行受限制的操作。凭证是通常识别旋转式传送器的信息的集合并可取为授权模块执行受限制的操作的证据。受限制的操作可以是在交互式电视系统中由应用程序执行的任何一种操作。例如操作可以是其中一应用程序暂停或重新开始执行另一种操作的操作，隐蔽或显示由其它应用程序产生的显示部分，或向其它应用程序发送消息。这些实际仅意在介绍某些可以得到授予的权利，而不意在穷举性的罗列。

在一个实施例中，旋转式传送器的生产者可以创建一意在使所选择的应用程序开始或终止执行在旋转式传送器中存储的应用程序的凭证。例如，旋转式传送器可以包含电子商务应用程序，使交互式电视用户能通过信用卡交易来购买。某些在线销售应用程序可以得到授权以便为了购买将信用卡交易应用程序初始化。这些相同的或者可能不同的成组应用程序可以得到授权以便如果其不明确或不能完成交易则终止信用卡交易应用程序。因此尽管不能完成信用卡交易开始的信用卡交易的应用程序可以恢复控制和重新开始执行。

在这一个实例中，信用卡应用程序的生产者创建凭证并将该凭证分配到人们希望访问该信用卡应用程序的其它生产者(例如已获得许可使用该应用程序的人们)。可以由安全机构创建凭证，以便在运行时可以实际上确定信用卡应用程序的生产者创建凭证(其可以称为“授权方旋转式传送器”)。例如凭证可以结合证明以便能够确认凭证真实性。分配到凭证的生产者可以将该凭证包含到它们自身的可能需要开始终止信用卡应用程序的旋转式传送器中(其可以称为“受让方旋转式传送器”)。考虑可以将该凭证分别从相关联的各应用程序发送到该系统。可以将凭证存储到该系统中，以便在接收或执行该应用程序时可以得到其中包含的信息。

应注意，凭证(credential)与证明(certifacate)是不同的，凭证通常直接使用于鉴别应用程序本身的有效性以及识别应用程序的生产者。系统可以暗含与应用程序的生产者相关联的某些权利和/或限制(例如仅仅使某些生产者能创建使用调制解调器的应用程序)。

在一个实施例中，可以使某些应用程序同时运行而另外的被禁止实施。凭证可以用于控制各应用程序的同时执行。凭证可以包含表明能够与第一应用程序同时执行的一个或多个应用程序的数据。如果执行第一应用程序，执行第二应用程序的尝试可以使系统检查该适当的凭证以便确定是否许可同时执行第二应用程序。如果凭证表明许可同时执行第二应用程序，将开始第二应用程序。如果为否，不开始第二应用程序。在另一个实施例中，凭证可以包含表明不能够与第一应用程序同时执行的一个或多个应用程序的数据。在这一个实例中，执行第二应用程序的尝试可以使系统检查该适当的凭证以便确定是否禁止同时执行第二应用程序。然后根据包含在该凭证中的数据许可或禁止开始第二应用程序。

在一个实施例中，凭证用受让方旋转式传送器代表交互式电视系统以验证使之能开始/终止信用卡应用程序。系统当验证凭证和对应的权利时能采取行动开始/终止应用程序。交互式电视系统通过将在对于信用卡和受让方旋转式传送器的凭证中的特定生产者ID和应用程序ID比较来验证凭证。系统还按照在凭证中确定的截止期验证该凭证还未到期。考虑可以在执行请求访问另一个旋转式传送器应用程序的执行之前或接着验证凭证。在另一个实施例中，可以单独根据应用程序将凭证发送到系统。例如，机顶盒可以周期性地输入一组控制受限制的访问和关于在机顶盒中执行的应用程序的所有操作的凭证。

在另一个实施例中，受限制的行动可不涉及与另一旋转式传送器或应用程序的交互。受限制的行动可以替代所涉及的例如使用系统资源的功能。例如，可以使某些应用程序能访问在机顶盒中的存储器的受限制的部分或者将数据经过返回通道发送到广播站。在这种情况下，可以由广播服务提供商或交互式电视系统的拥有者创建凭证。可以将凭证分配到被授权访问受限制的系统资源的应用程序的生产者(producer)。当执行时，凭证展现于交互式电视系统并允许访问适当的资源。

在介绍凭证结构之前，应指出，有各种利用公用密钥加密的安全系统。公用密钥加密系统可以采用各种加密算法。一个实施例采用RSA(Rivest，Shamir & Adleman)和DES(数据加密标准)。公用密钥加密利用一对加密密钥，其中一个称为私人密钥，一个称为公用密钥。私人密钥由其拥有者保密，而公用密钥可自由使用。利用公用密钥加密的消息或其它文件仅能用私人密钥解密。同样地，利用私人密钥加密的文件仅能用公用密钥解密。当利用其中一种密钥加密消息时，将其变换为明显随机的一组字母。因此，当利用公用密钥加密的消息发送到一个私人密钥持有者时，即使该消息被译码，发送者也可以保证仅预期的收件人(私人密钥持有者)可解密并读出该消息。当该消息经签名而不是加密时，仍以可读的方式保留该消息，不过将加密的签名附加到该消息上。当看到消息的任何一个人可以读出该消息时，按照私人密钥持有者签名可以用于验证原来的消息。此外，因为将签名加密的算法部分取决于先前签名的该消息，对于消息的任何改变都会引起签名不能被验证。因此签名可用于确保消息不变。

参照图6a，图6a是表示一简单凭证的数据结构60的示意图。这一凭证和图6b所示的凭证可以用于在各旋转式传送器之间访问以及用于其它受限制的访问。应指出，虽然如下的介绍集中在旋转式传送器内的访问，但这些凭证可用于识别任何类型的限制或限制的组合，各实例是说明性而不是限定的。

凭证60包含授权方旋转式传送器信息、受让方旋转式传送器信息、截止期和生产者证明。凭证签名以便能验证其真实性。授权方信息包含生产者ID61和关于授权方旋转式传送器的旋转式传送器ID62。同样地，受让方信息包含生产者ID63和关于授权方旋转式传送器的旋转式传送器ID64。截止期65包含在凭证中以限制凭证的有效期。所述的凭证还包含许可数据68。这一数据识别受让方旋转式传送器关于访问受限制的资源或执行受限制的操作的得到的许可。许可数据68可以由适合于识别旋转式传送器的许可的任何类型的数据构成。在一个实施例中，许可数据68可以包含证实或否定与预定义的位(bit)的位置相对应的特定的许可单个的位，而在另一个实施例中，可以包含明确识别特定许可的多个字节。应指出，这一数据可以用于识别任何与旋转式传送器相关联的权利或限制并不局限于资源的访问限制。

凭证包含生产者证明66。生产者证明66用于鉴别凭证和由生产者创建的受让方。生产者证明66包含由某些受托部门标记的生产者公用密钥。(受托部门是可担保密钥真实性的人。受托部门的标记被加密并包含在密钥中)受托部门的密钥是公知的。即，其存储在系统中并且对于系统总是可以利用的。整个凭证60利用生产者私人密钥的签名67以保证不能改动凭证60中的数据。可以由广播服务提供商使用相似类型的数据，以便使接收站能控制由广播服务提供商发送的模块的功能。

显然，关于每个请求访问旋转式传送器的应用程序实例的单个凭证的使用可能导致由受让方旋转式传送器需要维持大量的凭证。如果一旋转式传送器可能请求访问另外生产者的很多其它的旋转式传送器。创建和维持这样大量的凭证还可能产生需要大量的各生产者之间的协调一致。因此，确立凭证的系统可以产生的基本总开销胜过提供的安全效益。

在一个实施例中，这一问题的解决建议通过使凭证能列举一些受让方应用程序(利用生产者ID和应用程序ID)以及一个或多个受让方应用程序。例如，在图6b中所示，凭证可以包含单一的授权方ID71、截止期72和许可数据78。然后凭证可以罗列几个系列的ID73a-73c，每个系列具有授权方应用程序ID74、受让方生产者ID75、受让方应用程序ID76。因此，每个系列的信息识别一个由授权方生产者拥有的授权方应用程序/旋转式传送器和经鉴别的一个应用程序，以访问经识别的授权方应用程序。如上所述，利用受让方生产者ID75和受让方应用程序ID76识别授权方应用程序。凭证包含一用于真实性鉴别目的标记的生产者证明77，和按照相同的方式标记如前面介绍的凭证一样的整体凭证79。

一个实施例采用通配符以便进一步降低对于指定的旋转式传送器的必须维持的凭证数量。受让方生产者或应用程序ID或授权方旋转式传送器应用程序ID可以用通配符替代。通配符是一种按照通配符已预定义的专用的ID。例如，可以将全为0或全为1的ID定义为通配符。当凭证展现于用于验证的系统时，认为通配符同样地使与之比较的所有的ID匹配。在这一个实施例中，授权方生产者ID不可能是一通配符，因为该系统必须能够验证授权方真正是凭证的生产者。如果授权方应用程序ID是一通配符，则特定的受让方(生产者)旋转式传送器可以访问特定的授权方旋转式传送器。如果受让方生产者ID和受让方应用程序ID两者是通配符，则任何旋转式传送器可以访问特定的授权方(生产者)旋转式传送器。可以将通配符与上述任一凭证(即单一授权方凭证、单一受让方凭证或者多个授权方/受让方凭证)结合使用。

虽然，上述实施例在旋转式传送器级利用凭证，但考虑另外的实施例可以在模块一级提供凭证或其它安全措施。另外的安全措施可以包括对模块加密，在模块范围内执行散列功能，并包含在目录模块等中的散列值。在目录模块中的凭证化或其它安全措施通常在例如在目录模块中插入另外模块的散列值之后提供。

考虑为了验证旋转式传送器或由机顶盒接收的模块的真实性，也可以采用与上述相同的用于在各旋转式传送器之间的加密系统。一旋转式传送器(或者更具体地说是它的目录模块)可以包含利用生产者的私人密钥加密的凭证。具有生产者的公用密钥的副本的机顶盒通过利用公用密钥对凭证加密可以验证来自生产者的旋转式传送器。可以采用如前所述使用的散列功能，以保证非目录模块的其实性。

此外，考虑上述凭证系统可以扩展到在非交互式电视的环境中执行应用程序。例如，虽然用于向系统发送应用程序和凭证的装置适合于特定的环境，以及应用程序的输出可能不是交互式或者适合于在电视上显示，该系统可以按通用台式计算机提供，以便根据该系统控制应用程序的执行。这样的另外的实施例可以按照如上所述的相同方式操作。

在不脱离本发明的构思和范围的前提下，可以对上面介绍的各特定实施例的细节进行改进。因此，上述实施例意在作为示范而不是限定。考虑对于本发明技术领域的技术人员来说，各种改进和替换实施例是显见的。

Claims (27)

1.一种用于在交互式电视系统(10，20)中控制交互式电视应用程序的功能的方法，该方法包含：

在所述交互式电视系统中装入一具有与该系统相关联的凭证(60，70)的交互式电视应用程序，所述凭证包含识别一个或多个功能的凭证；

验证(66，77)所述凭证；

当交互式电视应用程序试图执行所述一个或多个功能时，如所述信息表明容许执行所述一个或多个功能，使所述交互式电视应用程序能执行所述一个或多个功能。

2.根据权利要求1所述的方法，还包含如果所述凭证有效则存储所述信息。

3.根据权利要求1所述的方法，其中所述凭证(60，70)包含截止期(65，72)，以及其中验证所述凭证的所述步骤还包含确定是否所述截止期已过。

4.根据权利要求1所述的方法，其中所述凭证包含识别所述交互式电视应用程序的生产者ID(63)和旋转式传送器ID(64)。

5.根据权利要求4所述的方法，其中所述一个或多个所述生产者ID(63)和旋转式传送器ID(64)是通配符。

6.根据权利要求1所述的方法，其中将至少一部分所述凭证加密，以便能验证所述凭证的真实性。

7.根据权利要求6所述的方法，其中所述凭证包含生产者凭证(66)，所述生产者凭证包含公用密钥，所述公用密钥由一受托部门标记，以及其中所述凭证(60)由一私人密钥(67)标记。

8.根据权利要求1所述的方法，其中所述凭证包含识别一个或多个受让方应用程序(76a-76c)和一个或多个授权方应用程序(74a-74c)的ID信息，其中识别所述受让方应用程序的所述信息包含：受让方生产者ID(75a-75c)以及受让方应用程序ID(76a-76c)，以及其中识别所述授权方应用程序(74)的所述信息包含授权方生产者ID(71)以及授权方应用程序ID，以及其中执行一个或多个功能包含由与受让方旋转式传送器相关联的一个或多个受让方应用程序请求对授权方旋转式传送器模块的访问。

9.根据权利要求8所述的方法，其中所述交互式电视系统包含广播站(10)和接收站(20)，该方法还包含从所述广播站向所述接收站发送所述交互式电视应用程序。

10.根据权利要求8所述的方法，还包含将所述授权方和受让方旋转式传送器的模块格式化为一些包，将所述包时分多路复用为广播信号以及从广播站向多个接收站广播所述广播信号。

11.一种交互式电视系统中用于控制由交互式电视应用程序试图执行的功能的装置，包含：

接收器(20)，配置成用于接收包含所述交互式电视应用程序的广播交互式电视信号，交互式电视应用程序具有与配置成相关联的凭证(60，70)；

数据存储装置(22)，用于存储所述交互式电视应用程序和所述凭证；

控制单元，配置成用于验证所述凭证，所述控制单元还配置成使得如果所述凭证有效，使所述交互式电视应用程序能执行功能，如果所述凭证无效，防止所述交互式电视应用程序执行所述功能。

12.根据权利要求11所述的装置，包含一机顶盒(22)。

13.根据权利要求11所述的装置，其中所述交互式电视应用程序是作为交互式电视广播信号一部分的广播，该广播信号包含与电视节目相关联的音频和视频信息。

14.根据权利要求13所述的装置，其中，所述凭证被与所述交互式电视应用程序无关地输送到所述接收器。

15.根据权利要求13所述的装置，其中所述凭证(60，70)包含一证明(66，77)，以及其中所述控制单元配置成利用所述证明鉴定所述凭证。

16.根据权利要求13所述的装置，其中所述凭证包含一个或多个通配符。

17.根据权利要求11所述的装置，其中所述广播交互式电视信号包含一定向卫星发送信号。

18.根据权利要求11所述的装置，其中所述凭证包含一生产者ID、应用程序ID和识别一个或多个许可的信息。

19.根据权利要求18所述的装置，其中所述凭证还包含生产者公用密钥，所述公用密钥由受托部门标记。

20.根据权利要求19所述的装置，其中所述凭证由生产者私人密钥标记(67.79)。

21.一种交互式电视系统，配置成用于控制由交互式电视应用程序执行的操作，该系统包含：

广播站，配置成发送包含交互式电视应用程序的广播信号；

接收器，配置成接收来自所述广播站的所述广播信号，并由所述广播信号中提取所述交互式电视应用程序以及执行所述交互式电视应用程序，所述接收器配置成使得能接收来自所述应用程序执行操作的请求，以及如果所述应用程序具有有效的凭证使所述应用程序能执行所述操作。

22.根据权利要求21所述的交互式电视系统，其中所述凭证包含识别所述交互式电视应用程序的信息，所述信息包含一个或多个通配符。

23.根据权利要求22所述的交互式电视系统，其中所述凭证还包含生产者证明。

24.一种用于以可控方式执行应用程序的装置，包含：

存储器(36，37)，用于存储应用程序和与所述应用程序相关联的凭证，

其中所述凭证包含与许可相对应的数据，所述数据表明所述许可是否具有一个或多个许可；以及

控制单元(32)，配置成能执行所述应用程序，

其中所述控制单元，配置成能验证所述应用程序是否具有一个或多个许可以及根据所述一个或多个许可执行所述应用程序。

25.根据权利要求24所述的装置，其中所述控制单元包含通用计算机。

26.根据权利要求25所述的装置，其中所述凭证包含一个或多个通配符。

27.根据权利要求26所述的装置，其中所述凭证还包含一证明，利用该证明可以验证所述凭证的其实性。

Images