CN1465159A - 基于安全分组的数据广播结构 - Google Patents

基于安全分组的数据广播结构 Download PDF

Info

Publication number
CN1465159A
CN1465159A CN01812781.9A CN01812781A CN1465159A CN 1465159 A CN1465159 A CN 1465159A CN 01812781 A CN01812781 A CN 01812781A CN 1465159 A CN1465159 A CN 1465159A
Authority
CN
China
Prior art keywords
packet
section
data
header
client computer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN01812781.9A
Other languages
English (en)
Other versions
CN1465159B (zh
Inventor
安德烈·杰考布斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ai Dide Technology Co., Ltd.
Original Assignee
Irdeto BV
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Irdeto BV filed Critical Irdeto BV
Publication of CN1465159A publication Critical patent/CN1465159A/zh
Application granted granted Critical
Publication of CN1465159B publication Critical patent/CN1465159B/zh
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0245—Filtering by information in the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H04L69/166—IP fragmentation; TCP segmentation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/101—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying security measures for digital rights management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)

Abstract

本发明涉及一种用于处理具有通过客户机经至少一个网络从服务器接收的加密数据的分组的方法，其中数据分组包括至少一个加密报头(46)和有效负载(45)，从数据分组抽取加密报头(54，55；69)，抽取和解密加密有效负载以形成明文，生成明文分组段。基于安全分组从服务器向至少一个客户机传输数据内容包括接收包括未加密有效负载的明文分组，将未加密有效负载分成一个或多个段，将加密算法应用到每个段以生成加密段(47)，生成用于每个加密段的加密报头，用用于每个加密段的加密数据组成分组，包含段，加密报头(46)、以及用于每个段的数据分组报头并将每个组成的分组传输给客户机。

Description

基于安全分组的数据广播结构
技术领域
本发明涉及内容数据的基于安全分组广播、多路广播或单播的领域，更具体地说，涉及分组中编码的数据加密的领域。也针对将加密密钥、授权信息以及指定如何检索密钥和授权信息的信息从广播/多路广播头端(head-end)传送给内容的用户。
它主要涉及一种用于用由客户机从通过至少一个网络连接到客户机的头端接收的加密数据处理分组的方法，其中数据分组包括至少一个加密报头以及加密有效负载(encrypted payload)。
本发明还涉及用于基于安全分组传送内容数据的系统，包括头端，连接到网络上并包括接收机，用于从信息源接收明文分组，加密单元，用于加密至少一部分数据分组，并生成包括明文分组的加密部分的数据分组，以及网络接口，用于通过网络发送数据分组，其中系统进一步包括用网络接口连接到网络的至少一个客户机，用于接收通过网络发送的数据分组，能由数据分组段组成数据分组。
本发明还涉及用于通过连接头端和客户机的至少一个网络，基于安全分组将内容数据从头端传输到至少一个客户机。
背景技术
从电视广播领域已经了解加密和广播内容。随着Internet的出现，使用为Internet所定的标准协议，已经开始通过这种媒介来广播内容。也必须加密在Internet上发送的内容以避免无效的观看。内容的接收者(客户机)通常是通过PC执行多个任务。加密过程不太多地影响客户机PC的性能是很重要的。解密机制独立于网络卡和应用程序也很重要。如果能实现这个，将为解密系统的提供者节约显著的成本。应用程序仅必须端口到新的操作系统，然后能在任何网络接口硬件结构和具有任何多路广播或单播应用程序的数据处理软件上使用。
为能解密加密的信息，必须将加密密钥发送到客户机(内容的接收者和观众)。为确定是否授权客户机使用或查看内容，必须将内容的存取条件发送给客户机。在电视广播环境中，该信息作为利用消息的特定类型，授权控制消息(ECM)的内容的一部分被发送。这种消息包括加密密钥以及程序的存取条件。
除ECM外，也必须将授权管理消息(EMM)发送给客户机。EMM是设置观众的存取简表的消息，换句话说，许可客户机解码特定的服务。
发明内容
为获得与客户机的结构无关的上述类型的系统和方法，本发明提供一种用于处理具有由客户机接收的加密数据的分组的上述类型的方法，包括：
-从数据分组抽取加密报头；
-抽取和解密加密有效负载以形成明文；
-生成明文分组报头；以及
-生成包括明文分组报头和明文的明文分组段。
通过生成包括明文分组报头和明文的明文分组段，对使用明文的应用程序来说，解密过程是透明的。它们不必适合加密格式，以及解密与操作系统和使用该数据的应用程序无关。
在本发明的优选实施例中，该方法进一步包括提供作为客户机网络协议堆栈输入的明文分组段，客户机能缓存明文分组段以及将它们组合成明文分组。由于在解密后可直接将明文分组段传递到堆栈，而不需要任何预先缓存，因此允许快速解密和共享使用客户机的资源。
在优选实施例中，其中具有加密数据的分组的加密报头包括允许从相关明文分组段组合到明文分组堆栈中的信息，该方法进一步包括从加密报头抽取信息并包括具有明文分组段的信息。
在堆栈中处理明文分组后，这使得解密过程对堆栈和使用明文分组的应用程序来说是完全透明的。由于除已经包括在明文分组段中的适应现有标准的信息外，没有额外的信息必须传递到堆栈，因此解密与网络协议堆栈的特定实施方式无关。
本发明进一步提供用于基于安全分组的将内容数据从头端传输到至少一个客户机的上述类型的方法，包括：
-检索包括未加密有效负载的明文分组；
-将未加密有效负载划分成一个或多个段；
-将加密算法应用到每个段以便生成加密的段；
-生成用于每个加密段的加密报头；
-用用于每个加密段的加密数据组成分组，包括段、加密报头以及用于段的数据分组报头；以及
-将每个这样组成的分组传输到客户机。
因此，因为将未加密有效负载划分成段以及生成用于每个段的加密数据分组，接收加密数据分组的客户机将不必使用缓存器来在开始解密加密数据前收集全部加密有效负载。相反，能在每个段到来时解密它，这需求更少的客户机的可用资源以及加速解密过程。
在优选实施例中，用于至少一个段的加密报头具有与明文分组的长度有关的信息以及与未加密有效负载的校验和有关的信息，以便允许在客户机重组明文分组。
从该信息，在包括加密有效负载的所有段到来之前，可在客户机组成新的报头。包括该新报头的段能立即传递到用于重组明文分组的段的标准软件，从而消除执行用于具有协议堆栈中加密数据的分组的该任务的任何特殊软件的需要。
根据本发明，快速解密和对客户机资源的低需求也是上述类型的系统的固有的优点，其中客户机包括用于通过解密在所接收的数据分组中的加密数据，生成明文、以及用于从明文生成数据分组段的解密单元。由于客户机能从数据分组段组成数据分组，因此在解密后，能直接将数据分组段组合成标准的明文分组。
附图说明
现在将参考附图进一步详细描述本发明，其中：
图1表示根据本发明的实施例的综述图，适合于多路广播，
图2表示在根据本发明的系统的实施例中的头端的组成图，适合于根据本发明，执行一种用于基于安全分组的数据广播的方法，
图3表示根据本发明的客户机的组成图，
图4表示加密过程中选择的步骤的流程图，
图5表示使用根据本发明的方法生成具有加密数据的分组，
图6表示解密过程中选择的步骤的流程图，
图7表示使用根据本发明的方法从具有加密数据的分组生成明文分组段，
图8表示根据本发明，使用卫星多路广播的系统的实施例的概述图，其中能实现终端客户机或网关解密，
图9表示在组合的卫星和Internet环境中终端客户机解密图。
具体实施方式
该详细说明将提供用于根据本发明基于安全分组传送内容数据的系统操作的综述图。然后将详细地说明系统的加密和解密子系统以及根据本发明加密和解密IP分组的方法的应用程序的功能。
说明也将包括IPEMM、IPECM和IP-info消息的格式。将这些消息用在本实施例中以分别许可客户机利用特定的服务来接收属于特定服务的数据，以及识别服务和允许客户机接收服务的有条件的存取消息。说明将进一步阐述用来向客户机传送有条件存取消息的方法。
系统概述
在图1中示出了用作多路广播、广播和单播数据的根据本发明的系统的实施例。包括传输端，在下文中称为头端1。该系统可使用多种从一个单个的独立设备到链接到网络(LAN、WAN或拔号链路)的多个计算机或设备的装置用各种方法实现。
头端1是收集和格式化内容的末端。头端1使用根据本发明用于基于安全分组广播内容数据的方法来加密内容数据、生成具有加密数据的分组。如果必要的话，多路传输加密内容数据，然后广播。能在中央单元或多个单元执行这些功能，每个单元执行有关内容的某一功能。
广播头端1的输出是具有加密内容的基于分组的数据，例如，IP数据，然后在广播网络2上广播。这可是任何网络：卫星、光缆、陆地、DSL(数字用户线路)、Internet、LAN、WAN、无线(GPRS、UMTS)或为经营者的用户提供接入的任何类型的网络。广播网络2也可是Internet、连接的不同类型的网络的集合。经营者是指为授权用户提供加密多路广播服务的实体。
如果网络2是IP网络，那么有利地使用IP多路广播协议向经营者的用户而不是所有Internet用户广播内容。多路广播内容并通过用户终端接收该内容，在下文中用户终端是指客户机3。客户机3可以是任何能接收多路广播并再现内容的接收设备(PC、机顶盒或任何其他终端)。客户机3通常包括具有安全装置和某些软件的PC。安全装置可以是通过智能卡阅读器连接到PC的智能卡。
在客户机3上运行用于接收基于分组的数据的标准软件。包括用于处理数据分组的不同部分的程序集合。它们分层在网络协议堆栈中。如果根据IP协议已经广播该数据，那么假定在客户机3处用于处理所接收的数据分组的软件用来形成IP堆栈。在最低级的软件抽取第一报头、IP报头，包括IP地址。如果数据分组以数据分组段的形式到达客户机3，那么缓存这些数据分组段直到完成整个分组。在较高级的软件确保将提供的数据作为适当的程序的输入。该软件使用在数据分组中、根据传输层协议如UDP或TCP编码的另外的报头。
根据本发明，系统中的客户机3接收广播数据分组。如上所述，具有由客户机3接收的加密数据的分组已经使用根据本发明的方法从未加密有效负载的段中产生。在优选实施例中，将选择分段大小以便将具有加密数据的分组大小保持在网络的最小传输单位。因此它们将不会以段形式到达，从而消除缓存的需要。
然后使用根据本发明用于处理接收的数据分组的方法在客户机3解密分组中的加密数据。客户机3包括用于解密包括在接收数据分组中的加密数据以及用于从解密数据生成数据分组段的解密单元，可将解密数据传递到网络协议堆栈中的软件。因此向应用程序再现未加密的多路广播数据。
头端
根据本发明，如图2所示的头端4的实施例。它包含IP加密系统5。该系统5通常是在头端4中运行并具有某些专用硬件来执行IP加密的PC。IP加密系统5是具有加密和管理一个或多个加密多路广播信道/服务的功能的一套软件和/或用户化硬件。服务由一个或多个流组成。例如，服务可由流1＝视频、流2＝音频1、流3＝音频2组成。
加密系统5可作为专用于上述任务的服务器来实现或是能在执行许多其他功能的PC上运行的程序。使用好的冗余方案来有利地实现加密系统5以便确保加密系统5总是可用于避免使用中的任何中断。
加密系统5包括加密单元6。IP加密系统5的加密单元6检索包括明文分组报头、IP报头、地址、IP地址以及未加密有效负载、将被广播、多路广播或单播的数据的明文分组。这些IP数据分组起源于源7并且经过接口8到达加密单元6。源7可是多路广播电子流或任何其他适当的内容源。最好使用IP/UDP协议来实现接口8，尽管也可使用任何其他适当的协议，如IP/TCP，因为本发明并不依赖于用于头端4的元件间的通信协议。
可将加密单元6作为用于提高性能的单独的硬件卡或作为在服务器上运行的计算机程序来实现。在任一加密系统5中，能有一个或多个加密单元6以及它们可处于相同或不同的位置。加密单元6的输出包括加密的IP分组。
加密单元6使用从包含在加密系统5中的加密管理器9接收的密钥来加密数据。加密管理器9包含在图2中用符号表示的密钥生成器功能10。
加密管理器9是管理加密过程的单元。它具有以下功能：
●指定密钥周期(每隔多久修改加密密钥)。
●连接到CA系统13。
●确定传输的IP分组的使用期限。
●将条件存取消息发送给接收者；
●连接到外部调度程序如外部站管理系统以便接收通告。使用通告来定义来自调度程序的流。
●连接到用于接收和发送数据的网络适配器。
●加密将被加密的静态服务。
●生成密钥并发送到加密单元6。
将调用加密管理器9中的密钥生成器功能10来以设定的间隔生成所需长度的随机密钥。实际上已经提供足够安全性的一个实施例使用56位密钥和Blowfish算法来加密IP数据，但可使用任何适当的算法或密钥长度。加密管理器9从本地时间表或外部站管理系统11接收通告以便在广播中改变或定义新流。来自外部站管理系统11的通告通过外部站管理系统11和加密管理器9之间的接口12。例如，接口12能利用IP/UDP协议或IP/TCP协议。
头端4进一步包括条件存取(CA)系统13。CA系统13可作为加密系统5上的一套程序或作为在其自己的硬件上运行的独立系统(standalone system)来实现。CA系统13包括ECM生成器14，该生成器使用加密密钥和存取条件生成授权控制消息(ECM)。密钥生成功能10提供前者，服务管理器15提供后者。
作为发明的一部分，将这些ECM作为称为IPECM的数据分组传输给客户机3。通过将包括加密信息的ECM作为数据分组传输，可有选择地许可客户机3接收属于特定服务的数据。只有当客户机3能从和特定服务发送的ECM抽取密钥和其他解密信息，象使用过的算法时，客户机3也能用作为服务部分提供的内容数据解密分组。
在CA系统13中的EMM生成器16生成授权管理消息(EMM)，同时打算作为数据分组传输给客户机3。这些被称为用来许可和不许可客户机利用特定服务的IPEMM。通常将EMM和ECM用在工业中熟知的条件存取系统中，这里不再更详细地说明。
EMM生成器16将从包含用户详细情况的本地用户管理系统(SMS)17或从通过SMS接口19连接的外部SMS18接收用户管理命令。在大多数实施例中将使用IP/TCP协议或类似的网络协议实现该接口19。
用户管理命令具有由使用的CA系统13的准确的实施方式规定的格式，通常命令是
●  激活用户；
●  使用户无效；
●  增加授权(存取简表)；
●  删除授权；
●  设置/重新设置密码；以及
●  获取/赋予用于付费节目(PPV)的信用，以及用于需
要来管理CA系统13的安全模块的任何其他功能的命令。
分别为服务管理器15和ECM生成器14间以及SMS17和EMM生成器16间的通信提供接口20、21。例如，可使用分布式组件对象模型或类似类型的接口，如公用对象请求代理体系结构，实现接口20、21。
将EMM和ECM返回给加密管理器9。加密管理器9将添加分组报头、附加信息以及校验和以创建IPECM和IPEMM消息。
从加密管理器9将密钥传递给ECM生成器14以及通过接口23返回ECM。通过另一接口24将EMM从EMM生成器16传递给加密管理器9。可使用IP/UDP和IP/TCP协议实现这些接口23、24。也可能使用公知技术如公用密码术或任何其他适当的方案来验证和加密IP加密系统5和CA系统间的通信。
也将创建INFO消息(INFO-message)作为分组数据传输给客户机以表示IPECM和IPEMM的位置。因此，通过向客户机3发送识别服务和包括用于接收属于该服务的消息的信息的信息消息、IPEMM和IPECM，它们将了解如何认出编码EMM和ECM的分组。如果使用Internet协议来生成数据分组，能容易通过IP地址或端口来识别具有加密数据的分组以及IPEMM和IPECM。通过IP报头中的地址或TCP或UDP报头中的端口，客户机3将识别属于服务的数据分组。
使用任何适当的网络能将IPEMM和IPECM作为单独的数据流发送给客户机3。它可是与用于广播内容相同的网络2或另一个网络。也可能单独地发送它们，因为信息消息使客户机3识别出IPECM和IPEMM。
为发送包括加密内容数据的数据分组以及包括CA消息(IPEMM、IPECM以及INFO-message)的数据分组，头端4具有网络接口25。
根据本发明，在用于基于安全分组广播内容数据的一个实施例中，包括CA消息的数据分组具有不同于具有加密数据的分组的(IP)地址和/或端口。这允许将被发送的消息作为单独的数据流，换言之，带外。也可能通过在包含消息部分的每个数据分组的报头中设定标记来将消息发送到带外。这允许消息与包含加密内容数据的分组有所区别。
单独处理作为数据分组的所发送的CA消息很有利，因为解密密钥将改变。显然在具有用新密钥加密的数据的分组到达客户机3前，必须在客户机3获得新密钥以防止解密过程停滞不前。
在优选实施例中，在网络2上传输的INFO-message具有下述格式：
标识符 值
Sync/ID “INFO”
Message Length 该值是该消息的字节数，包括从Sync/ID字段到校验和字段的所有字段
Interface Version 定义与该消息结构的格式有关的版本号
CA Version 定义安装在头端1；4上的条件存取系统13的类型和版本
Operator ID 为每个经营者指定的
Length of Operator Name  N
Operator Name 提供内容的组织
IP Version  IPV4/IPV6
ECM IP Address 如何定位ECM消息
ECM IP Port
EMM IP Address 如何定位EMM消息
EMM IP Port
Length of Reserved Data  M.
Reserved Data 用于接口中小的无法预料的改变而不改变接口版本
Length of AuthenticationData L
Authentication Data 用在验证该消息的发送者
Checksum 可使用在RFC1071中定义的Internet校验和。该方法使用8位字节对来形成16位整数以及计算第一余数和(complementsum)。也可使用任何其他适当的校验和
在网络2上传输的IPECM的例子具有以下格式：
标识符 值
Sync ID “ECM”
Total Message Length 该消息的数据大小
Interface Version 定义与该消息结构有关的版本号
Operator ID 为每个经营者指定的。这是多路广播服务的经营者
Service ID
Encryption Flag 加密/不加密流
Algorithm Indicator 哪个算法被用于加密
Algorithm Key Length 密钥的长度
Length of ECM Payload 添加/移除服务
Add/Remove Flag 奇数/偶数密钥
Length of ECM Payload  N
ECM Payload 这是ECM，从CA系统13接收的，包括存取条件和加密密钥。通常被加密和验证。
PLength Service Name L
Service Name 例子：“新闻”
Length of Product Name used forService Q
Product Name used for Service 例子：“新产品”
IP Version IPV4/IPV6
Number of Stream M
Lenth Stream#1 Name X
Stream #1 Name X
Stream #1 IP Address 用于具有属于流#1的加密数据的分组的地址
… 用于具有服务的另外的流
Length Stream #M Name
Stream #M Name
Stream #M IP Address
Steam #M IP Port
Lenth of Reserved Data M
Reserved Data 将被用于接口中小的不可预料的改变而不改变接口版本。
Length of Authentication Data L
Authentication 用在验证该消息的发送者
Checksum 可使用在RFC1071中定义的Internet校验和。该方法使用8位字节对来形成16位整数以及计算第一余数和(complement sum)。也可使用任何其他适当的校验和。
在网络2上传输的IPEMM的例子具有下述格式：
标识符 值
Sync ID “EMM”
Total Message Length 表示该消息的数据大小
Interface Version 定义与该消息结构的格式有关的版本号
Operator ID 为每个经营者指定的
Length of EMM Payload N
EMM Payload 这是EMM，从CA系统13接收的，包括用于用户(客户机3)的授权(存取简表)。通常被加密和验证。
Length of Reserved Data M
Reserved Data 用于接口中小的不可预料的改变而不改变接口版本
Length of Authentication Data L
Authentication Data 用在验证该消息的发送者中
Checksum 可使用在RFC1071中定义的Internet校验和。该方法使用8位字节对来形成16位整数以及计算第一余数和(complement sum)。也可使用任何其他适当的校验和。
IP加密系统5包括加密管理器9和加密单元6间的利用消息的接口22，其中两个重要的消息是“定义流”消息和“定义密钥”消息。
“定义流”消息定义将由头端4加密和分配的应用数据(将由客户机3的应用程序使用的内容)的单个信道。用唯一IP地址和端口组合识别单个“流”。例如，正在地址224.0.0.1、端口1001上传输的数据可以是称为“音频”的单个流。在地址224.0.0.1、端口1002上的数据可包括可能称为  “视频”的另一流。也可能指定所有端口，以便由它自己的IP地址识别流。可使用消息来向服务添加流或去除流。来自加密单元16的应答消息可用来确认“定义流”消息的接收。
“定义密钥”消息定义与服务有关的将被使用的密钥。在该消息中指定密钥长度和密钥内容。也可指定用于从该信息生成的IP分组的加密算法和使用周期以及任何其他信息。从加密单元6到加密管理器9的的应答消息被用来确认“定义密钥”消息的接收。
客户机
如图3所示，客户机3的IP解密系统26包括用于接收广播、多路广播以及单播IP数据的IP接收器27。IP接收器27可以是调制解调器、网络接口或能从网络2接收数据的任何其他设备。
IP接收器27将所接收的数据分组传递到客户机的NDIS层28(NDIS：网络驱动器接口标准，是用于网络驱动器的标准的API(应用编程接口))。NDIS层28提供在将IP段传递给IP堆栈29前获得IP段的可能性。尽管在这里指定NDIS为首选的网络驱动器接口层，在将IP段传递给IP堆栈29前可使用提供对IP段存取的任何其他层。
IP堆栈29具有接收IP分组的段，如果需要的话缓存它们直到接收到所有段，以及将它们组合在一个完整的IP分组中的功能。在该发明中，在将段传递给堆栈29前，解密单元30解释来自NDIS层28的段。解密每个段并立即经NDIS层28传递到IP堆栈29，从而消除在IP解密单元30对缓存的需要。
本发明的元件具有解密过程强加客户机3非常小的处理开销的效果。经NDIS层28传递给IP堆栈29的段具有使整个加密过程对IP堆栈29来说是透明的优点。不必用户化IP堆栈29来提供IP解密单元30的接口。
使用根据本发明的用于基于安全分组广播的方法，将已经将IP分组的大小调整到广播网络2的最大传输单元。因此到达客户机3具有加密数据的段将通常包括整个IP分组，因而在加密前不必缓存。
IP解密系统26的另一元件是解密管理器31。它将处理经接口32从IP堆栈29接收的IPECM、IPEMM以及INFO-message。解密管理器31将从IPEMM和IPECM中抽取ECM和EMM并将它们发送给安全元件。如果安全元件被授权来接收内容，则从安全元件接收返回的加密密钥。
加密元件可以以安全硬件或如果变得可行的话，以软件来实现。在图3所示的实施例中，安全元件是一个智能卡，插入到智能卡读取器34中，智能卡读取器34通过接口连接到客户机3。接口35利用用于数据交换的已知标准，例如外围部件接口或通用串行总线。
包括加密密钥的信息通过接口36，利用低级别的通信方法，从加密管理器31发送给解密单元30，用于解密IP段。
解密管理器31使用其接收的INFO消息来定位IPECM，IPEMM和加密内容。从解密管理器31通过接口36发送到解密单元30的信息包括IP地址、IP端口和密钥。
一旦解密的IP段已经由IP堆栈29重新组装到IP分组时，处理这些IP分组并将未加密的内容传递到应用程序37或使用广播内容的客户机3的应用程序。内容可用来显示、存储在存储介质上，对内容重新格式化或对内容进行其它动作，或将内容传送到其它装置或应用程序。对于应用程序37来讲，整个加密过程是可见的或透明的。
提供在解密管理器31和解密单元30之间的接口36，利用消息，其中最重要的两个是“定义流”消息和“定义密钥”消息，“定义流”消息定义用于服务的内容数据的流，“定义密钥”消息用于将新密钥传送给解密单元30。在优选实施例中，“定义流”消息和“定义密钥”消息的格式基本上与在IP加密系统5中用于加密单元6和加密管理器9间的通信的相同命名的消息的格式相同。根据客户机3的特定的结构，可预见解密管理器31和解密单元30间的另外的消息，但这些消息对本发明来说无关紧要。
加密单元处理
现在将参考图4和5更全面地描述用于基于安全分组将内容数据从头端4广播到客户机3的方法。图4表示选择的在头端1、4执行的处理步骤；图5表示未加密IP分组的各种组分以及生成的具有加密数据的IP分组。
在头端1、4执行的一个步骤38包括在头端1、4从抽取服务数据处接收CA数据，CA数据包括加密密钥。加密单元6从加密管理器9接收服务数据，即IP地址、端口、加密密钥以及算法类型。当密钥或服务设置改变时，该改变定期发生。
在下一步骤39，使用所接收的服务数据更新加密单元6中的查找表40。该查找表40可包括用于几个数据流的服务数据，因此使头端1、4适合于对来自多个源的数据和/或来自一个源的多个流的数据加密。
头端1、4检索由源7发送的明文分组。在由具有IP地址的IP报头48和传输层协议报头49(UDP或TCP)的情况下，明文分组包括明文分组报头。明文分组进一步包括未加密有效负载。使用已知技术，一旦到达头端1、4，缓存该数据分组的段以及构造未加密IP分组。
在另一步骤42中，从明文分组的IP报头48抽取IP地址或IP端口，以便能在查找表40中定位相关加密数据，主要是将使用的加密密钥和算法。用步骤S43表示查找表40的这种校验。
在另一步骤44中，重新分裂IP数据分组。这表示将未加密有效负载划分成一个或多个段，在下一步骤45将加密算法应用到段中。为了示例的目的，将图5的明文分组中的未加密有效负载划分成两个段50、51。分别用附图标号52和53表示结果的加密段。
在优选实施例中，选择段50、51的大小以便将具有加密数据的分组的大小保持在广播网络2的最大传输单位以下，该分组是作为处理的结果被创建的。因此该方法考虑添加到作为加密过程的结果的数据的任何额外的长度。这在传输方面提供优点，因为在通过广播网络2在他们的路线上发送后，具有使用本发明的方法组成的加密数据的分组不需要再重新分段。
根据本发明，本方法的一个重要步骤46是生成用于每个加密段52、53的加密报头54、55。将加密报头54、55添加到各个加密段52、53以形成用于将被生成的分组的新的有效负载。
如果已经确定包括整个加密有效负载和加密报头的分组的数据大小将超过广播网络2的最大传输单位，在步骤44从源7接收的明文数据分组的有效负载将被划分成至少两个段。在本发明的优选实施例中，用于第一段50的加密报头54包含UDP或TCP校验和以及原始数据分组的长度。
因为用于至少一个段的加密报头具有有关明文分组的长度的信息以及有关未加密有效负载的校验和的信息，使得在一个客户机3的明文分组的重组更为简单。具有加密数据的分组以段的形式到达客户机3，段可在到来时直接加密并传递到IP堆栈29上，而不是单独的缓存直到具有加密数据的一个分组的所有段均到来为止。因此，节约解密端的缓存空间以及性能开销。IP堆栈2中的软件可重组明文分组。为此，在第一段中必须存在校验和和分组长度。
用于其他加密段53的在头端1、4生成的加密报头55包含未加密段51的段偏移。因此，在加密报头中具有用于每个另一段的信息，包括相对于第一段50的另一段的偏移。可直接在到来时解密从明文分组的另一段生成的具有加密数据的每个分组并传输到IP堆栈29，在IP堆栈29重组全部的明文分组。
为了使客户机3能将从第一段50生成的具有加密数据的分组与从另一段生成的分组区别开来，在加密报头54、55中提供标记，表示分组是否包括来自未加密有效负载的第一或另一段的加密数据。这也表示加密报头可更小，因为将使用在加密报头中的数据字段来编码未加密有效负载的长度和校验和或偏移值。
尽管在具有加密数据的分组经过客户机3的IP堆栈前，宁愿解密“低于堆栈(below the stack)”，但不需要排除解密“高于堆栈”。在本发明的优选实施例中，为每个段在加密报头54、55编码表示在加密和通过加密算法增加额外长度前，段长度的信息。用该信息，可在客户机3修改标准协议报头(IP/TCP、IP/UDP)以确保在客户机3正确抽取具有加密数据的分组的加密有效负载52、53和加密报头54、55。
在本发明的优选实施例中，可从几个可用的备选算法选择一个由加密单元6使用的加密算法，正如密钥长度。因此，加密报头54、55将具有指定应用到段50、51的加密算法的信息。
返回图4，最后一个表示的步骤47包括用加密数据组成分组。根据加密数据段52、53和加密报头54、55的新有效负载修改IP段报头校验和和长度。将包括IP报头56、57和用于第一加密段52的传输层协议报头58的段报头添加到新有效负载以完成具有加密数据的分组。因此，然后将所组成的具有加密数据的分组传输到客户机3。根据是否将广播、多路广播或单播分组，使用由该标准提供的可能性，将适当的地址编码到IP报头56、57中。
解密单元中的处理步骤
现在将参考图6和7来更全面地说明用于处理加密数据分组的方法。图6表示在客户机3执行的几个处理步骤。图7表示如何处理具有加密数据的分组，如该分组包括图5的第一加密段52，来生成明文分组段，能将该明文分组段传递给客户机3的IP堆栈29。
当解密单元30从解密管理器31接收服务数据60，即IP地址、端口、加密密钥以及算法类型时，定期返回步骤59发生。无论何时密钥或服务设置改变，该步骤59发生。
解密单元30为它能解密的服务维护查找表62。用新的服务数据60更新该表62。如在图3的解密中所说明的，解密管理器31从由客户机作为数据分组接收的条件存取消息生成与安全元件协作的该数据60。
在客户机3的一个和通过NDIS层28由解密单元30接收具有加密数据的数据分组或数据分组段。参考图7，作为例子提供的具有加密数据的分组包括IP报头67、可以是TCP或UDP报头的传输层协议报头68、加密报头69以及加载有效负载70。注意，如图5中所述，传输层协议报头68不必包括在具有加密数据的每一个分组中。
在该方法的下一步骤63中，解密单元30抽取加密报头69和IP地址。它也从加密报头69获取用于明文分组段的目的地端口。
在本发明的优选实施例中，查找表62将在接收的数据分组中指定的IP地址和/或IP端口链接到用于解密加密有效负载70的密钥。在该方法的下一步骤64中，使用IP地址和IP端口，解密单元30从查找表62检索包括解密密钥的解密信息。
在优选实施例中，在任何一个时间，多个密钥是有效的，以及在加密报头69中的密钥指示器或标记表示应当从查找表62检索这些中的哪一个。例如，如果在任何一个时间有两个密钥有效，服务数据60将表示哪个是奇数以及哪个是偶数密钥。加密报头69中的标记将表示是否已经用奇数或偶数密钥对加密有效负载70加密。这具有ECM不必包括在内容数据流中或按具有加密数据的分组流排列的优点。如果在任何一个时间只要一个密钥有效，它必须精确地在具有在前一密钥下加密的数据的最后一个分组与具有在新密钥下加密的数据的第一分组中间到达解密单元30。
接着，将解密算法应用于加密有效负载70以生成明文71。同时也生成明文分组报头。在图7的例子中，这包括IP报头72和传输层协议报头73。使用在加密报头69中编码的信息，将目的地端口包括在明文分组段的TCP或UDP报头73中，以便提供明文71输入到适当的应用程序37。
如果具有加密数据的分组是相关段组的第一个，加密报头69将具有有关明文分组的长度的信息和有关未加密有效负载的校验和的信息。通过解密单元30从加密报头69抽取该信息并用来生成传输层协议报头73以允许从IP堆栈29中的明文分组段重组明文分组。
如果具有加密数据的分组不是相关段组的第一个，加密报头69将具有包括相对于第一段的另一段的偏移的信息。解密单元30将该偏移值包括在它所生成的明文分组段的IP报头72中，因此允许将相关段组级连成IP堆栈29中的一个未加密的IP分组。它是本发明的非常有利的特征，表现在将需要级连的数据分组段的缓存在IP堆栈29中进行。使用本发明的方法，只要生成明文分组段，解密单元30通过NDIS层28能将每个明文分组段传递到IP堆栈29上。
加密报头格式
根据本发明，下表指定用在系统中的加密报头格式的有利的实施方式。
标识符 说明
ENCRYPTION FLAGS D0..D2：算法类型D3：奇数/偶数密钥标识符D4：包含在加密报头54、55、69中的原始UDP/TCP校验和和长度或段偏移：0：段偏移有效(第一个后剩余的段)1：UDP/TCP校验和以及长度有效(第一段)D5..D6：还未使用。D7：未加密/加密编码标识符
EXTRA  LENGTH  ADDED  BYENCRYPTION ALGORITHM 通过块加密算法添加到有效负载上的额外长度
CLEAR    FRAGMENTPLAYLOAD LENGTH 在加密过程前未加密原始段的数据大小
UDP/TCP    CHECKSUMORIGINALOrFRAGMENT    OFFSET(OFCLEAR FRAGEMNT) 原始未加密UDP/TCP数据分组的UDP/TCP校验和。该字段将仅用在第一段中。段偏移将被用在段的IP报头中的加密过程之后，该字段将被用在除第一段外的所有段中。
UDP/TCP LENGTH ORIGINALOrUDP/TCPDESTINATION PORT 用于第一段的原始未加密UDP/TCP数据分组的UDP/TCP长度UDP/TCP目的地端口。包括在除第一段外的所有段中。
不同网络类型
尽管在这里本发明指定用于IP分组，该方法也适用于任何其他协议，其中必须将消息分成多块，经网络发送并在接收系统或终端、客户机重组。一些例子是在无线电话网络如GPRS或UMTS上发送的数据分组。解密系统26能在指定接收IP分组的任何终端上实现。例子包括移动电话、个人数字助理、IP家用设备如DVD播放器、数字个人录影机等等。将IPEMM、IPECM和INFO消息发送到带外的装置，即与具有加密数据程序包分开能同样应用于递送有关多路广播或广播服务的IP加密分组的任何网络。
用于INFO消息的其他用途
能扩展INFO/IPECM消息来包括更多的有关被广播、多路广播或单播的服务的信息。使用该方法，能广播有关服务的事件的事件信息，用于加密的IP的节目指南类型广播和多路广播。因为其压缩特性，这种类型的信息在广播服务上很有用，其中限制了在接收客户机上的带宽、应用空间以及客户机的显示大小，如移动电话网络。
不同系统结构
图8和9表示根据本发明，该系统的例子的两种不同结构。将描述在图8的结构中实现该系统的两种不同方法。根据本发明，下面给出的三个例子仅用来描述用于该系统的许多可能的应用。当然，本发明并不限定于这三个例子。
图8表示一个实施例，其中头端包括包含IP加密系统5的第一计算机74。在该计算机74生成加密数据分组。用第二计算机75控制用户维护&记帐，第二计算机用作外部SMS18或图2的外部站管理系统11，通过来自头端74的INFO消息或EMM广播控制谁曾经访问过哪一服务。数字内容服务器76形成图2的源7的副本。
通过第一网络77将加密数据分组广播到接收客户机78。通过第二网络82将其他客户机79-81连接到接收客户机78。在该图中，所示的第一网络77是卫星网络以及第二网络82是Internet、电缆网、DSL网、陆地或无线网络。当然网络77、82可以任何顺序使用，如第一网络77是Internet以及第二网络82是无线网络等等。
系统的最基本形式如用终端客户机79-81中所做的解密的优选实施例所述。即，在数据到达客户机前不发生中间解密。
在第二结构中，内容可穿过由包含在接收客户机78的IP解密系统26解密的一个类型以上的网络，然后在第二网络82上以明文广播或多路广播。
在另一结构中，内容在到达客户机79-81的一个之前能穿过一个以上类型的网络。在通过第一网络77接收后，由包含在接收客户机78中的IP解密系统26解密。然而，如图9所示，在最终网络82上多路广播前，使用本发明的方法在包含加密系统5的计算机83中重新加密明文，而不是立即传递。在该图中，第一网络是卫星网络77以及第二网络82是Internet、电缆网、DSL网、陆地或无线网络。当然，可用任何顺序使用这些网络。
对本领域的技术人员来说本发明并不限定于上述实施例是显而易见的，在附加权利要求的范围内可用许多方式来改变。例如，除图8和9的结构外，该系统还可能有几个另外的结构。另外，对在头端组成的各种消息和报头的内容改变或添加是可能的，包括利用除IP/TCP或IP/UDP协议外的其他协议的实现方式。

Claims (33)

1、用于处理具有由客户机(3；78-81)从头端(1；4；74，83)接收的加密数据的分组的方法，头端通过至少一个网络(2；77，82)连接到客户机(3；78-81)，其中数据分组包括至少一个加密报头(54，55；69)和加密有效负载(52，53；70)，该方法包括：
-从数据分组抽取加密报头(54，55；69)；
-抽取和解密加密有效负载(52，53；70)以形成明文(71)；
-生成明文分组报头(72)；以及
-生成包括明文分组报头(72)和明文(71)的明文分组段。
2、如权利要求1所述的方法，其特征在于，进一步包括提供明文分组段作为客户机(3；78-81)的网络协议堆栈(29)的输入，客户机(3；78-81)能缓存明文分组段以及将它们组合成明文分组。
3、如权利要求1或2所述的方法，其特征在于，具有加密数据的分组的加密报头(54，55；69)包括允许将来自相关明文分组段组合在明文分组堆栈(29)中的信息，该方法进一步包括从加密报头(54，55；6)抽取信息并将其包括在明文分组段中。
4、如权利要求3所述的方法，其特征在于，使用该信息来生成包括在明文分组段中的传输层协议报头(73)。
5、如权利要求3所述的方法，其特征在于，该信息包括相对于由相关加密数据分组生成的明文(71)的第一位的偏移值，其中该偏移值包括在明文分组段中。
6、如权利要求1-5任何一个所述的方法，进一步包括检索在加密报头(54，55；69)中指定的解密信息(60)，其中使用所述信息(60)来解密加密有效负载(52，53；70)。
7、如权利要求6所述的方法，其特征在于，根据在加密报头(54，55；69)中指定的密钥指示符，从多个有效解密密钥中检索解密密钥。
8、用于通过至少一个网络(2；77，82)将内容数据从头端(1；4；74，83)基于安全分组传输到至少一个客户机(3；78-81)的方法，头端(1；4；74，83)和客户机(3；78-81)连接到至少一个网络(2；77，82)，该方法包括：
-检索包括未加密有效负载的明文分组；
-将未加密有效负载分为一个或多个段(50，51)；
-将加密算法应用到每个段(50，51)以生成加密段(52，53)；
-为每个加密段(52，53)生成加密报头(54，55)；
-将用于每个加密段(52，53)的加密数据组成分组，包括段(52，53)、用于段(52，53)的加密报头(54，55)以及数据分组报头(56，57)；以及
-将每个这样组成的分组传输到客户机(3；78-81)。
9、如权利要求8所述的方法，其特征在于，在将未加密有效负载划分为段(50，51)中，选择段大小以将具有加密数据的分组的大小保持在网络(2；77，82)的最大传输单位之下。
10、如权利要求8或9所述的方法，其特征在于，进一步包括检索在明文分组中指定的条件存取数据，其中使用条件存取数据来生成加密段(52，53)。
11、如权利要求8-10任何一个所述的方法，其特征在于，在加密和由加密算法添加额外长度前，将关于段(52，53)的长度的信息编码在用于每个段(52，53)的加密报头(54，55；69)中。
12、如权利要求8-11任何一个所述的方法，其特征在于，用于至少一个段(52)的加密报头(54)具有关于明文分组的长度的信息以及关于未加密有效负载的校验和的信息以允许在客户机(3；78-81)重组明文分组。
13、如权利要求8-12任何一个所述的方法，其特征在于，加密报头(54，55，69)包括标记以便将由第一加密段(52)组成的数据分组与由另一加密段(53)组成的数据分组区别开来，另一加密段(53)是由与第一加密段(52)相同的未加密有效负载生成的。
14、如权利要求8-13任何一个所述的方法，其特征在于，在用于由未加密段(51)生成的加密段(53)的加密报头(55)中提供包括相对于未加密有效负载的第一段(50)的未加密段(51)的偏移的信息。
15、如权利要求8-13任何一个所述的方法，其特征在于，将指定应用于段(50，51)的加密算法的信息编码在加密报头(54，55)中。
16、如权利要求8-15任何一个所述的方法，其特征在于，进一步包括为授权客户机(3；78-81)利用特定服务，按数据分组授权管理消息传输。
17、如权利要求8-16任何一个所述的方法，其特征在于，进一步包括为有选择地授权客户机(3；78-81)接收属于特定服务的数据，按包括解密信息的数据分组授权控制消息传输。
18、如权利要求8-17任何一个所述的方法，其特征在于，进一步包括按标识服务并包括用于接收属于该服务的消息的信息的数据分组信息消息传输。
19、如权利要求15-18任何一个所述的方法，其特征在于，具有加密数据的每个分组具有地址和/或端口，其中为每个消息数据分组提供报头，该报头包括不同的地址和/或端口。
20、根据上述任何一个权利要求的方法的应用，用于多路广播、广播或单播数字视频。
21、用于基于安全分组传输内容数据的系统，包括
头端(1；4；74，83)，连接到网络(2；77，82)并包括用于从源(7；76)接收明文分组的接收器、用于加密至少一部分数据分组并生成包括加密部分的明文分组的数据分组的加密单元(6)，以及用于经网络(2；77，82)发送数据分组的网络接口(25)，该系统进一步包括至少一个连接到网络(2；77，82)的客户机(3；78-81)，客户机具有用于接收经网络(2；77，82)发送的数据分组的网络接口(27)，能从数据分组段组成数据分组，其中客户机(3；78-1)包括用于通过解密包含在接收的数据分组中的加密数据(52，53；70)生成明文(71)和用于从明文(71)生成数据分组段的解密单元(30)。
22、客户机(3；78-81)，经网络(2；77，82)连接到头端(1；4；74，83)，包括：
-数据分组接收器(27)，经网络(2；77，82)能接收从头端(1；4；74，83)传输的数据分组；
-缓存器(29)，用于存储数据分组段并由它们组成数据分组；
-应用程序接口(28)，用于将数据分组段传递到缓存器(29)；以及
-解密单元(30)，用于通过解密数据分组中的加密数据(52，53；70)生成未加密数据分组段，其中编程应用程序接口(28)以将将包括加密数据(52，53；70)的接收数据分组传送到解密单元(30)并将未加密数据分组段传递到缓存器(29)。
23、如权利要求22所述的客户机，其特征在于，包括用于处理包含在从头端(1；4；74，83)传输的数据分组中的条件存取消息并用于将解密密钥传输到解密单元(30)的解密管理器(31)。
24、如权利要求22或23所述的客户机，其特征在于，进一步包括与安全元件(33)的接口(35)，用于将条件存取消息传送给安全元件(33)并接收由安全元件(33)生成的解密密钥。
25、如权利要求24所述的客户机，其特征在于，适用于连接到智能卡阅读器(34)以便插入在智能卡阅读器(34)中的智能卡(33)形成安全元件。
26、如权利要求22-25任何一个所述的客户机，其特征在于，解密单元(30)包括数据库(62)，能使用包含在由客户机(3；78-81)接收的条件存取消息中的信息(60)更新。
27、如权利要求26所述的客户机，其特征在于，数据库(62)将在接收数据分组中指定的地址和/或端口链接到用于解密包含在接收数据分组中的加密数据(52，53；70)的密钥。
28、适合于与连接到根据权利要求23-28任何一个所述客户机(3；78-81)一起使用的智能卡阅读器(34)的智能卡，用于使用从客户机(3；78-81)发送给它的条件存取消息生成解密密钥。
29、数据分组，适用于在网络(2；77，82)上传输，包括第一报头(56，57；67)、通过利用加密算法和密钥加密数据段(50，51)生成的加密有效负载(52，53；70)、以及包括详细用来加密有效负载(52，53；70)的算法和密钥的信息的加密报头(54，55；69)。
30、如权利要求29所述的数据分组，其特征在于，加密报头(54，55；69)进一步包括指定加密前数据段(50，51)的长度的数据。
31、如权利要求29或30所述的数据分组，其特征在于，目的地地址是多路广播地址，用于将数据分组传输到连接到网络(2；77，82)的多个客户机(3；78-81)。
32、如权利要求29-31任何一个所述的数据分组，其特征在于，第一报头(56，57；67)符合Internet协议标准。
33、适用于加载到计算机(1，3；74，78-81)上的程序，以便运行程序的计算机(1，3；74，78-81)能执行根据权利要求1-20的任何一个的方法。
CN01812781.9A 2000-07-14 2001-07-13 用于内容数据的基于安全分组传输的方法、系统及客户机 Expired - Lifetime CN1465159B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US21935300P 2000-07-14 2000-07-14
US60/219,353 2000-07-14
PCT/US2001/041361 WO2002007378A1 (en) 2000-07-14 2001-07-13 Secure packet-based data broadcasting architecture

Publications (2)

Publication Number Publication Date
CN1465159A true CN1465159A (zh) 2003-12-31
CN1465159B CN1465159B (zh) 2010-05-12

Family

ID=22818937

Family Applications (1)

Application Number Title Priority Date Filing Date
CN01812781.9A Expired - Lifetime CN1465159B (zh) 2000-07-14 2001-07-13 用于内容数据的基于安全分组传输的方法、系统及客户机

Country Status (14)

Country Link
US (1) US7739496B2 (zh)
EP (1) EP1303940B1 (zh)
JP (1) JP4813006B2 (zh)
CN (1) CN1465159B (zh)
AT (1) ATE405055T1 (zh)
AU (2) AU2297402A (zh)
BR (1) BR0112510A (zh)
CA (1) CA2416092C (zh)
CY (1) CY1108561T1 (zh)
DE (1) DE60135347D1 (zh)
ES (1) ES2312483T3 (zh)
MX (1) MXPA03000419A (zh)
WO (1) WO2002007378A1 (zh)
ZA (1) ZA200300076B (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101252430B (zh) * 2007-05-10 2010-06-23 中国科学院研究生院 联合信源信道有效用户安全识别方法
CN102752231A (zh) * 2011-04-22 2012-10-24 中兴通讯股份有限公司 媒体消息安全机制的处理方法和网关设备
CN103563278A (zh) * 2011-05-20 2014-02-05 西里克斯系统公司 保护加密的虚拟硬盘
CN105049941A (zh) * 2015-06-24 2015-11-11 腾讯科技（深圳）有限公司 一种多媒体文件的处理方法及装置
CN105187370A (zh) * 2015-06-05 2015-12-23 北京奇虎科技有限公司 数据处理方法和系统

Families Citing this family (99)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7730300B2 (en) 1999-03-30 2010-06-01 Sony Corporation Method and apparatus for protecting the transfer of data
US6697489B1 (en) * 1999-03-30 2004-02-24 Sony Corporation Method and apparatus for securing control words
US7039614B1 (en) 1999-11-09 2006-05-02 Sony Corporation Method for simulcrypting scrambled data to a plurality of conditional access devices
US7225164B1 (en) * 2000-02-15 2007-05-29 Sony Corporation Method and apparatus for implementing revocation in broadcast networks
JP2002044135A (ja) * 2000-07-25 2002-02-08 Mitsubishi Electric Corp 暗号装置及び暗号通信システム
US8127326B2 (en) * 2000-11-14 2012-02-28 Claussen Paul J Proximity detection using wireless connectivity in a communications system
US6856976B2 (en) * 2000-12-01 2005-02-15 900Pennies Incorporated Secured commercial transaction
US6592549B2 (en) 2001-03-14 2003-07-15 Scimed Life Systems, Inc. Rapid exchange stent delivery system and associated components
US7018795B2 (en) * 2001-03-23 2006-03-28 Fuji Photo Film Co., Ltd. Hybridization probe and target nucleic acid detecting kit, target nucleic acid detecting apparatus and target nucleic acid detecting method using the same
US7895616B2 (en) 2001-06-06 2011-02-22 Sony Corporation Reconstitution of program streams split across multiple packet identifiers
US7747853B2 (en) * 2001-06-06 2010-06-29 Sony Corporation IP delivery of secure digital content
US7127619B2 (en) * 2001-06-06 2006-10-24 Sony Corporation Decoding and decryption of partially encrypted information
US7228421B1 (en) * 2001-06-27 2007-06-05 Cisco Technology, Inc. Technique for generating control messages with reason information between nodes in a data network
US7181616B2 (en) * 2001-12-12 2007-02-20 Nortel Networks Limited Method of and apparatus for data transmission
US7215770B2 (en) 2002-01-02 2007-05-08 Sony Corporation System and method for partially encrypted multimedia stream
US7155012B2 (en) * 2002-01-02 2006-12-26 Sony Corporation Slice mask and moat pattern partial encryption
US7765567B2 (en) 2002-01-02 2010-07-27 Sony Corporation Content replacement by PID mapping
US7292690B2 (en) * 2002-01-02 2007-11-06 Sony Corporation Video scene change detection
US7823174B2 (en) 2002-01-02 2010-10-26 Sony Corporation Macro-block based content replacement by PID mapping
US7302059B2 (en) * 2002-01-02 2007-11-27 Sony Corporation Star pattern partial encryption
US7305700B2 (en) 2002-01-08 2007-12-04 Seven Networks, Inc. Secure transport for mobile communication network
US7500102B2 (en) 2002-01-25 2009-03-03 Microsoft Corporation Method and apparatus for fragmenting and reassembling internet key exchange data packets
US7480283B1 (en) * 2002-03-26 2009-01-20 Nortel Networks Limited Virtual trunking over packet networks
US8818896B2 (en) 2002-09-09 2014-08-26 Sony Corporation Selective encryption with coverage encryption
US7360235B2 (en) 2002-10-04 2008-04-15 Scientific-Atlanta, Inc. Systems and methods for operating a peripheral record/playback device in a networked multimedia system
US8572408B2 (en) * 2002-11-05 2013-10-29 Sony Corporation Digital rights management of a digital device
US7724907B2 (en) * 2002-11-05 2010-05-25 Sony Corporation Mechanism for protecting the transfer of digital content
KR100768153B1 (ko) * 2002-11-25 2007-10-17 노키아 코포레이션 사용자 추진형 그룹 메시징 시스템 및 방법
EP1422908B1 (de) * 2002-11-25 2005-11-30 Siemens Aktiengesellschaft Verfahren und Anordnung zum verschlüsselten Übertragen von Kommunikationsdatenströmen über ein paketorientiertes Kommunikationsnetz
US8645988B2 (en) 2002-12-13 2014-02-04 Sony Corporation Content personalization for digital content
US8667525B2 (en) 2002-12-13 2014-03-04 Sony Corporation Targeted advertisement selection from a digital stream
EP1439697A1 (fr) * 2003-01-20 2004-07-21 Thomson Licensing S.A. Système de reception de données numériques diffusées comprenant un terminal numérique maítre, et au moins un terminal numérique esclave
SG129240A1 (en) * 2003-01-23 2007-02-26 Agency Science Tech & Res Biodegradable copolymer and nucleic acid delivery system
KR100560658B1 (ko) * 2003-02-17 2006-03-16 삼성전자주식회사 고속의 오프셋 코드북 모드를 위한 암호화 장치 및 그 방법
US7292692B2 (en) * 2003-03-25 2007-11-06 Sony Corporation Content scrambling with minimal impact on legacy devices
US7530112B2 (en) 2003-09-10 2009-05-05 Cisco Technology, Inc. Method and apparatus for providing network security using role-based access control
US7286667B1 (en) * 2003-09-15 2007-10-23 Sony Corporation Decryption system
US7836490B2 (en) * 2003-10-29 2010-11-16 Cisco Technology, Inc. Method and apparatus for providing network security using security labeling
US7263187B2 (en) * 2003-10-31 2007-08-28 Sony Corporation Batch mode session-based encryption of video on demand content
US7346163B2 (en) * 2003-10-31 2008-03-18 Sony Corporation Dynamic composition of pre-encrypted video on demand content
US7853980B2 (en) 2003-10-31 2010-12-14 Sony Corporation Bi-directional indices for trick mode video-on-demand
KR100630680B1 (ko) * 2004-03-19 2006-10-02 삼성전자주식회사 비대칭 게이트 유전체층을 지닌 비휘발성 메모리 소자 및그 제조 방법
US7711119B2 (en) * 2004-05-27 2010-05-04 Qualcomm Incorporated Method and apparatus for transition of encryption key during an ongoing media communication session
ATE400959T1 (de) * 2004-06-23 2008-07-15 Message Wireless Information S Verfahren und vorrichtungen zur verbreitung einer nachricht über ein broadcast-netz
US8155117B2 (en) * 2004-06-29 2012-04-10 Qualcomm Incorporated Filtering and routing of fragmented datagrams in a data network
US20060041741A1 (en) * 2004-08-23 2006-02-23 Nokia Corporation Systems and methods for IP level decryption
JP2008517536A (ja) * 2004-10-15 2008-05-22 オープンティーヴィー，インク． チャンネル間変更の高速化
US7669244B2 (en) 2004-10-21 2010-02-23 Cisco Technology, Inc. Method and system for generating user group permission lists
US7877796B2 (en) 2004-11-16 2011-01-25 Cisco Technology, Inc. Method and apparatus for best effort propagation of security group information
US7721323B2 (en) * 2004-11-23 2010-05-18 Cisco Technology, Inc. Method and system for including network security information in a frame
US7886145B2 (en) * 2004-11-23 2011-02-08 Cisco Technology, Inc. Method and system for including security information with a packet
US7827402B2 (en) * 2004-12-01 2010-11-02 Cisco Technology, Inc. Method and apparatus for ingress filtering using security group information
JP4658583B2 (ja) * 2004-12-13 2011-03-23 日本放送協会 配信システム、配信サーバ、受信装置、配信プログラム、及び受信プログラム
US8041190B2 (en) 2004-12-15 2011-10-18 Sony Corporation System and method for the creation, synchronization and delivery of alternate content
US7895617B2 (en) 2004-12-15 2011-02-22 Sony Corporation Content substitution editor
US9058292B2 (en) 2004-12-29 2015-06-16 Intel Corporation System and method for one step address translation of graphics addresses in virtualization
US8438629B2 (en) * 2005-02-21 2013-05-07 Samsung Electronics Co., Ltd. Packet security method and apparatus
JP4910324B2 (ja) * 2005-07-21 2012-04-04 ソニー株式会社 情報処理装置及び情報処理方法、並びにコンピュータ・プログラム
MX2007008246A (es) * 2005-10-26 2007-08-22 Thomson Licensing Un metodo y sistema para entregar servicios de satelite en multiples niveles de seguridad.
US8176317B2 (en) * 2006-01-19 2012-05-08 Helius, Inc. System and method for multicasting IPSec protected communications
US7710958B2 (en) * 2006-01-20 2010-05-04 Iona Technologies Limited Method for recoverable message exchange independent of network protocols
US8185921B2 (en) 2006-02-28 2012-05-22 Sony Corporation Parental control of displayed content using closed captioning
RU2339077C1 (ru) * 2007-03-13 2008-11-20 Олег Вениаминович Сахаров Способ функционирования системы условного доступа для применения в компьютерных сетях и система для его осуществления
KR100840904B1 (ko) * 2007-06-22 2008-06-24 주식회사 케이티프리텔 Ｏｔａ 서비스를 제공하기 위한 시스템 및 그 방법
US7840708B2 (en) 2007-08-13 2010-11-23 Cisco Technology, Inc. Method and system for the assignment of security group information using a proxy
US20090089184A1 (en) * 2007-09-28 2009-04-02 Embarq Holdings Company, Llc Content portal for media distribution
US20090106806A1 (en) * 2007-10-01 2009-04-23 Lg Electronics Inc. Broadcast receiver and system information processing method
JP2008118706A (ja) * 2008-01-10 2008-05-22 Nec Corp 暗号化通信制御方式
JP2009246801A (ja) * 2008-03-31 2009-10-22 Fujitsu Microelectronics Ltd 分割されたパケットの暗号化方法、分割暗号化パケットの復号方法、暗号化装置及びプログラム
US9240883B2 (en) 2008-09-04 2016-01-19 Intel Corporation Multi-key cryptography for encrypting file system acceleration
US8880879B2 (en) * 2008-09-04 2014-11-04 Intel Corporation Accelerated cryptography with an encryption attribute
JP4692600B2 (ja) * 2008-09-25 2011-06-01 富士ゼロックス株式会社 情報処理装置、通信システム、及びプログラム
US9332060B2 (en) * 2009-12-04 2016-05-03 Telefonaktiebolaget L M Ericsson (Publ) Methods, secure element, server, computer programs and computer program products for improved application management
CN101848049A (zh) * 2010-03-18 2010-09-29 鸿富锦精密工业（深圳）有限公司 基于数字广播的信息服务系统
US8630412B2 (en) 2010-08-25 2014-01-14 Motorola Mobility Llc Transport of partially encrypted media
US8533456B2 (en) * 2010-10-07 2013-09-10 King Saud University Accelerating stream cipher operations using single and grid systems
EP2659423A4 (en) 2010-12-31 2014-09-17 Akamai Tech Inc EXPANSION OF DATA CONFIDENTIALITY IN A GAME APPLICATION
EP3105884A4 (en) 2014-02-11 2018-03-21 Yaana Technologies, LLC Mathod and system for metadata analysis and collection with privacy
US9693263B2 (en) 2014-02-21 2017-06-27 Yaana Technologies, LLC Method and system for data flow management of user equipment in a tunneling packet data network
US10447503B2 (en) 2014-02-21 2019-10-15 Yaana Technologies, LLC Method and system for data flow management of user equipment in a tunneling packet data network
US10334037B2 (en) * 2014-03-31 2019-06-25 Yaana Technologies, Inc. Peer-to-peer rendezvous system for minimizing third party visibility and method thereof
US9706372B2 (en) * 2014-04-03 2017-07-11 General Motors Llc Secure SMS messaging
US9361476B2 (en) * 2014-05-16 2016-06-07 Safe Text Ltd. Messaging systems and methods
US10285038B2 (en) 2014-10-10 2019-05-07 Yaana Technologies, Inc. Method and system for discovering user equipment in a network
US10542426B2 (en) 2014-11-21 2020-01-21 Yaana Technologies, LLC System and method for transmitting a secure message over a signaling network
US9712649B2 (en) * 2014-12-29 2017-07-18 Telefonaktiebolaget Lm Ericsson (Publ) CCN fragmentation gateway
US9572037B2 (en) 2015-03-16 2017-02-14 Yaana Technologies, LLC Method and system for defending a mobile network from a fraud
US10505891B2 (en) * 2015-04-02 2019-12-10 Nicira, Inc. Security policy selection for machines with dynamic addresses
WO2016176661A1 (en) 2015-04-29 2016-11-03 Yaana Technologies, Inc. Scalable and iterative deep packet inspection for communications networks
US10567347B2 (en) * 2015-07-31 2020-02-18 Nicira, Inc. Distributed tunneling for VPN
EP3375155A4 (en) 2015-11-13 2019-08-14 Yaana Technologies, LLC SYSTEM AND METHOD FOR DISCOVERING INTERNET PROTOCOL (IP) NETWORK ADDRESS LINKS AND PORT TRANSLATION
US10887231B2 (en) * 2018-05-18 2021-01-05 Juniper Networks, Inc. Packet fragment forwarding without reassembly
US11082411B2 (en) * 2019-08-06 2021-08-03 Advanced New Technologies Co., Ltd. RDMA-based data transmission method, network interface card, server and medium
US11451585B2 (en) 2019-11-13 2022-09-20 Juniper Networks, Inc. Anti-spoof check of IPv4-in-IPv6 fragments without reassembly
US11165701B1 (en) 2020-03-31 2021-11-02 Juniper Networks, Inc. IPV6 flow label for stateless handling of IPV4-fragments-in-IPV6
US11570283B1 (en) 2020-07-20 2023-01-31 Juniper Networks, Inc. IPv6 extension header for stateless handling of fragments in IPv6
US11627185B1 (en) * 2020-09-21 2023-04-11 Amazon Technologies, Inc. Wireless data protocol
US11062046B1 (en) * 2021-01-11 2021-07-13 DeCurtis LLC Self-referencing data encryption
CN115378664B (zh) * 2022-08-02 2023-07-18 深圳市乐凡信息科技有限公司 数据加密传输方法、装置、设备及存储介质

Family Cites Families (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5742677A (en) * 1995-04-03 1998-04-21 Scientific-Atlanta, Inc. Information terminal having reconfigurable memory
US5321750A (en) * 1989-02-07 1994-06-14 Market Data Corporation Restricted information distribution system apparatus and methods
US5396490A (en) * 1992-03-23 1995-03-07 Motorola, Inc. Packet reassembly method and apparatus
US5276735A (en) * 1992-04-17 1994-01-04 Secure Computing Corporation Data enclave and trusted path system
JPH0653960A (ja) * 1992-07-28 1994-02-25 Matsushita Electric Works Ltd Ｈｕｂと管理端末の通信の暗号化装置
US5555266A (en) * 1993-10-04 1996-09-10 Motorola, Inc. Method for reducing transmission delays in a packet transmission system
US5563946A (en) * 1994-04-25 1996-10-08 International Business Machines Corporation Method and apparatus for enabling trial period use of software products: method and apparatus for passing encrypted files between data processing systems
US6157719A (en) * 1995-04-03 2000-12-05 Scientific-Atlanta, Inc. Conditional access system
US5852290A (en) * 1995-08-04 1998-12-22 Thomson Consumer Electronics, Inc. Smart-card based access control system with improved security
US5790806A (en) * 1996-04-03 1998-08-04 Scientific-Atlanta, Inc. Cable data network architecture
US5771064A (en) * 1995-11-29 1998-06-23 Scientific-Atlanta, Inc. Home communications terminal having an applications module
US5970066A (en) * 1996-12-12 1999-10-19 Paradyne Corporation Virtual ethernet interface
JPH10190704A (ja) * 1996-12-27 1998-07-21 Nec Eng Ltd データの暗号化方法、復号化方法、暗号化装置、および復号化装置
US6324267B1 (en) * 1997-01-17 2001-11-27 Scientific-Atlanta, Inc. Two-tiered authorization and authentication for a cable data delivery system
US5949795A (en) * 1997-02-14 1999-09-07 General Instrument Corporation Processing asynchronous data within a set-top decoder
JPH1127311A (ja) * 1997-06-30 1999-01-29 Canon Inc 情報処理装置および電子メール方法ならびに記録媒体
JPH1141245A (ja) * 1997-07-22 1999-02-12 Fujitsu Ltd 秘匿通信システム
BR9815610A (pt) * 1997-08-01 2004-06-22 Scientific Atlanta Verificação da fonte de informações de programa em sistema de acesso condicional
JP3009876B2 (ja) * 1997-08-12 2000-02-14 日本電信電話株式会社 パケット転送方法および該方法に用いる基地局
US6044403A (en) * 1997-12-31 2000-03-28 At&T Corp Network server platform for internet, JAVA server and video application server
US6321336B1 (en) * 1998-03-13 2001-11-20 Secure Computing Corporation System and method for redirecting network traffic to provide secure communication
US6253321B1 (en) * 1998-06-19 2001-06-26 Ssh Communications Security Ltd. Method and arrangement for implementing IPSEC policy management using filter code
US6321269B1 (en) * 1998-12-29 2001-11-20 Apple Computer, Inc. Optimized performance for transaction-oriented communications using stream-based network protocols
US6788704B1 (en) * 1999-08-05 2004-09-07 Intel Corporation Network adapter with TCP windowing support

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101252430B (zh) * 2007-05-10 2010-06-23 中国科学院研究生院 联合信源信道有效用户安全识别方法
CN102752231A (zh) * 2011-04-22 2012-10-24 中兴通讯股份有限公司 媒体消息安全机制的处理方法和网关设备
WO2012142863A1 (zh) * 2011-04-22 2012-10-26 中兴通讯股份有限公司 媒体消息安全机制的处理方法和网关设备
CN103563278A (zh) * 2011-05-20 2014-02-05 西里克斯系统公司 保护加密的虚拟硬盘
CN103563278B (zh) * 2011-05-20 2017-02-08 西里克斯系统公司 保护加密的虚拟硬盘
CN105187370A (zh) * 2015-06-05 2015-12-23 北京奇虎科技有限公司 数据处理方法和系统
CN105049941A (zh) * 2015-06-24 2015-11-11 腾讯科技（深圳）有限公司 一种多媒体文件的处理方法及装置
CN105049941B (zh) * 2015-06-24 2017-06-30 广州酷狗计算机科技有限公司 一种多媒体文件的处理方法及装置
US10609430B2 (en) 2015-06-24 2020-03-31 Tencent Technology (Shenzhen) Company Limited Method and device for processing multimedia file, and storage medium

Also Published As

Publication number Publication date
JP2004504765A (ja) 2004-02-12
US7739496B2 (en) 2010-06-15
CN1465159B (zh) 2010-05-12
EP1303940A1 (en) 2003-04-23
WO2002007378A1 (en) 2002-01-24
AU2002222974B2 (en) 2006-03-16
ES2312483T3 (es) 2009-03-01
DE60135347D1 (de) 2008-09-25
EP1303940A4 (en) 2006-08-23
BR0112510A (pt) 2003-09-02
CA2416092A1 (en) 2002-01-24
US20040064688A1 (en) 2004-04-01
JP4813006B2 (ja) 2011-11-09
CA2416092C (en) 2011-01-04
MXPA03000419A (es) 2003-06-06
ZA200300076B (en) 2003-11-03
ATE405055T1 (de) 2008-08-15
CY1108561T1 (el) 2014-04-09
AU2297402A (en) 2002-01-30
EP1303940B1 (en) 2008-08-13

Similar Documents

Publication Publication Date Title
CN1465159A (zh) 基于安全分组的数据广播结构
CN1258898C (zh) 在通信网络中管理对称密钥的方法及实现该方法的设备
CN1201527C (zh) 数据传输控制方法和数据传输系统
CN1168304C (zh) 数字本地网络的一种全球拷贝保护系统
CN1276603C (zh) 广播和接收消息
CN1146235C (zh) 广播数字电视的条件存取方法
KR100767098B1 (ko) 디지털 방송 수신기 구성
CN101061666A (zh) 在广播/多播服务中管理数字权利的方法
CN1633778A (zh) 用于数据处理系统内安全性的方法和装置
CN1992589A (zh) 加扰和解扰数据单元的方法
CN1282475A (zh) 数据通信
CN1388685A (zh) 传输和实现访问接收器功能的控制指令的装置和方法
CN1672416A (zh) 用于安全数据传输的方法和电子模块
CN1549595A (zh) 一种交互数字广播电视系统的信息传输方法及装置
CN101057446A (zh) 用于接收广播内容的方法和设备
CN1258920C (zh) 广播网上安全数字内容传送系统和方法
KR100718452B1 (ko) 대역외 채널을 이용한 ｅｍｍ 전송시스템 및 그 방법
KR100693749B1 (ko) 수신 제한 시스템의 운용을 위한 키 전송 및 인증 시스템및 방법
CN103248918B (zh) 集成基本数据、正常数据加扰的dvb条件发送装置
CN1993920A (zh) 数据处理系统中的安全方法和装置
CN103281572B (zh) 集成基本数据、正常数据解扰的dvb条件接收装置
CN101145932B (zh) 一种移动多媒体广播业务中节目流密钥的实现方法及系统
CN101946482B (zh) 用于分配系统中对非实时内容的有条件接入的方法和设备
CN1668101A (zh) 一种融合互联网和有线电视网络环境下的有条件接收系统
CN1703894A (zh) 用于在数字网络中更新对称密钥的简化方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 1060003

Country of ref document: HK

C14 Grant of patent or utility model
GR01 Patent grant
REG Reference to a national code

Ref country code: HK

Ref legal event code: WD

Ref document number: 1060003

Country of ref document: HK

C56 Change in the name or address of the patentee

Owner name: IRDETO B.V.

Free format text: FORMER NAME: IRDETO B. V.

CP01 Change in the name or title of a patent holder

Address after: Holland Hoofddorp

Patentee after: Irdeto B.V.

Address before: Holland Hoofddorp

Patentee before: Irdeto B. V.

C56 Change in the name or address of the patentee

Owner name: IRDETO B. V.

Free format text: FORMER NAME: IRDETO B.V.

CP01 Change in the name or title of a patent holder

Address after: Holland Hoofddorp

Patentee after: Ai Dide Technology Co., Ltd.

Address before: Holland Hoofddorp

Patentee before: Irdeto B.V.

CX01 Expiry of patent term

Granted publication date: 20100512

CX01 Expiry of patent term