CN1575474A - 消费者及其设备的撤消 - Google Patents

Abstract

一种系统，用于允许二手CE设备(60)的潜在买方查看撤消清单(55)中的设备(60)的标识符，以便根据撤消结果，确定CE设备(60)是否部分或全部被禁止。撤消清单(55)可以由用户在线，例如在Internet上访问，或可以存储在DVD中。CE设备(60)可以具有撤消状态指示器61，当由用户激活时，使得CE设备(60)访问在线撤消清单(55)，查看其撤消状态，以及将其撤消状态输出给用户。另外，CE设备(60)可以包括撤消状态指示器(61)，其访问CE设备(60)中的防篡改存储机构(63)以便确定和输出撤消状态。

Description

消费者及其设备的撤消

技术领域

本发明涉及在消费者电子设备中使用撤消(revocation)以防止未授权的拷贝和信息分发，以及更具体地说，涉及用于保证用户在购买前知道一个消费者电子设备(CE)的撤消状态的系统和方法。

背景技术

以数字形式保护知识产权(IP)不是新问题。许多年来，已经有很多努力投入到防止软件应用非法拷贝和分发中。然而，数字化已经扩展到IP的许多其它类型。现在通常以光盘(CDs)和MP3文件的形式记录和分发音频内容，诸如音乐和歌曲。电影正作为数字通用盘(DVDs)和流式视频被记录和分发。以数字形式广泛分发的其他类型的IP包括图象(照片、绘画等等)以及文本(书、手稿等等)。

IP的大规模数字化的一个原因在于这种数字内容的质量远好于以模拟形式电子记录的相同内容的事实。另外，不象以模拟形式存储的内容，数字内容能被拷贝而不会遇到任何质量恶化。另外，记录介质和用来收听或浏览这些数字信息的相应的CE设备对用户来说已经日益更便携和方便。同时，Internet的出现允许数字内容更易于在用户家中购买和分发到用户家中。

随着IP的日益数字化，也在日益努力防止这些内容非法拷贝和分发。这已经导致实现嵌入CE设备中的措施，其使用或传送数字信息，以防止或降低生产、运输和/或使用未授权拷贝的数字IP。例如，已经通过多个CE制造公司的合作建立了数字传送拷贝保护(DTCP)标准以便在在数字连接的设备间传送的同时保护内容。图1示例说明CE设备60的结构，其经IEEE1394串行总线，或其他类型的互连(例如USB或PCI)，根据DTCP传送数字内容。

DTCP标准包括用于防止未授权拷贝和数字IP分发的多个机制。根据DTCP，对于传送CE设备60将数字内容经互连30传送到接收CE设备60，传送设备必须验证接收CE设备60是真实的并且加密该数字内容以便传送。

如果使用公开密钥加密方案，接收CE设备60在验证期间将设备证书传送到传送设备。设备证书包含其他事件之中的、由中心鉴定当局50发布给接收设备60的唯一标识号。传送CE设备60可以经在网络40，例如Internet上的通信，通过鉴定当局验证设备证书。相反，鉴定当局可以定期地在网络40上，或经其他装置诸如预先记录的物理介质，向传送CE设备60发送撤消的设备证书的清单。传送的清单由传送设备60用来验证应允的接收CE设备60。在图1所示的结构中，每个CE设备60可以经网络40与鉴定当局50通信。另外，CE设备60可以经类似于互连30的电缆连接到另一CE设备，诸如PC，这能经网络40与鉴定当局通信。

可以使用数字签名验证过程执行设备验证，数字签名验证过程不要求与鉴定当局50网络通信。然而，验证要求在传送CE设备60和证书的拥有者，即接收CE设备之间的通信，即，确定接收设备60具有证书所保证的保密信息的知识。

传送设备60基于设备证书，进一步确定接收设备60的公共密钥。接收设备60能使用对应于所确定的公钥的私有密钥，解密由传送设备60传送的消息。在多数公共的情况下，使用公共密钥来与随后用来加密该内容的临时的所谓会话密钥符合。使用对称密码来执行后面的加密，其具有比公共密钥算法更高的性能。然而，可以由传送设备60使用公共密钥本身来加密该数字内容。

根据DTCP和类似的拷贝保护标准，将拷贝控制信息(CCI)嵌入将传送的内容中。CCI指定能拷贝有版权的内容的条件。CCI有三个不同的状态，包括“不允许拷贝”、“允许一次拷贝”以及“允许无限拷贝”。根据嵌入内容中的CCI，配置应允设备来起作用。

DTCP还提供系统可更新性，其通过撤消非应允的设备，确保所连设备的系统的长期完整性。一般来说，如果已经通过黑客已经危害或揭露该设备的保密信息(例如标识符或解密密钥)，设备的撤消是减少或完全禁止其一个或多个功能。例如，CE设备的撤消可以对该设备能解密并使用的数字内容的类型进行限制。另外，撤消可以使一个CE设备不再对其接收的任何数字内容执行某些功能，诸如进行拷贝。

在拷贝保护方案诸如DTCP中，设备的撤消可以包括通过将设备证书放在鉴定当局50的“黑名单”或撤消清单55上，撤消设备的设备证书或使得设备的设备证书无效。该撤消清单55可以定期地通过网络40，或通过其他分发方式传送到每个CE设备。因此，传送设备将不验证撤消设备的证书或将内容发送到撤消的设备。

如上所述，如果确定通过利用内部硬件进行篡改，已经暴露了应允设备的保密信息，诸如解密密钥，可以撤消设备证书，因为这一信息很可能由未应允的记录设备使用来向其他应允设备验证它自身，以便接收和记录数字内容而不必授权。

然而，通过将设备证书放在鉴定当局50的撤消清单55中的撤消不是实现撤消的唯一方法。另一种撤消可以使设备不能根据需要，更新来自某内容供应商的其解密密钥。由于撤消的设备将不访问最新的解密密钥，其不能解密和使用这些供应商的最新的数字内容。

可以在设备本身中规定设备的撤消。在防篡改包中装入的专用硬件设备可以在CE设备中实现，其存储将用于与其他设备验证的唯一标识符或作为设备解密密钥的一部分。任何通过硬件设备检测的篡改，或任何检测的设备的误用会引起该硬件设备通过禁用某些功能，例如通过删除其解密密钥来实现撤消。

尽管撤消已经发展成防止数字IP的未授权拷贝或流通的手段，但这一机制还会对不想执行这些非法行为的诚实用户造成不利影响。因为减少了撤消的设备的功能性，撤消实质上可以降低CE设备的价值。然而，设备分撤消可能不容易显而易见，以及有恶意的用户会尝试全价出售撤消的设备，而不会告知潜在购买者该设备已被撤消。

因此，购买二手CE设备，诸如DVD播放器的用户会不知情地购买不再能解密和播放新的DVD影片的DVD播放器，因为已经撤消了该DVD播放器。在测试DVD播放器期间，这种撤消也不容易显而易见，如果正使用更旧的DVD影片来测试该设备。有无道德的卖方也会发现其他方法来操纵这一设备的测试以便隐藏DVD播放器或其他设备已经被撤消的事实。

发明内容

本发明有助于防止用户无心购买由于其先前涉及了非法或未授权行为而已经被撤消的设备。特别地，本发明允许潜在购买方通过访问包含撤消是设备的当前清单的数据库来核对CE设备的撤消状态。这些目的在如权利要求1所述的系统中实现。

本发明的示例性实施例涉及一种撤消信息系统，其包含具有撤消的CE设备的当前清单的数据库。用户终端在网络上与撤消信息系统通信。潜在的买方能简单地通过输入这一设备的唯一标识符诸如永久贴在外部的序列号给用户终端，确定是否已经撤消那个特定的设备。该唯一标识符被传送到撤消信息系统，其访问并将有关相应设备的撤消状态的信息传送回用户终端。

在另一示例性实施例中，如果相应于由用户输入的该唯一标识符的设备已经被撤消，撤消信息系统还传送表示由于撤消而已经禁用该设备的哪些功能或能力的信息。

另一示例性实施例涉及DVD盘，其包含撤消设备的详细和最新清单。记录在DVD盘上的清单可以通过使用连接到电视机或其他类型的显示器设备的独立DVD播放器，或通过连接到PC的DVD-ROM驱动器来浏览。这些DVD盘能被分发给感兴趣的客户，或做成可以在中心位置例如图书馆或各种电子库上访问。

另一示例性实施例涉及CE设备，其在正常操作期间连接到Internet或其他类型的网络，或能由用户使用来检查其自己的撤消状态。CE设备可以包括输出该设备，其用于响应激活该设备上的开关、按钮、拨号等等，输出该设备的撤消状态。在另一示例性实施例中，用来检查撤消状态的相同机制也可以用来实现撤消。

另一示例性实施例涉及包括硬件设备的CE设备，该硬件设备存储有关由于撤消已经减少了该设备的任何功能性的信息。该设备可以进一步包括用于基于激活该设备上的开关、按钮、拨号等等，向用户输出这一信息的输出设备。另外，用来存储这一信息的硬件设备可以包括确保所存储的信息不被修改的防篡改机制。

本发明的优点根据在下文提供的详细说明将变得显而易见。然而，应理解，在表示本发明的优选实施例时，仅通过示例给出了详细的说明和特定的例子，因为对本领域的技术人员来说，根据这一详细的说明，在本发明的精神和范围内的各种修改和变化将变得显而易见。

附图说明

根据仅为示例目的而给出的下面的详细描述以及附图，将更全面地理解本发明，因此不限制本发明。

图1示例说明根据DTCP版权保护标准，在CE设备间传送数字内容的结构。

图2示例说明使用用户终端来从远程撤消信息系统中访问CE设备的撤消状态的示例性实施例。

图3示例说明CE设备能通过在网络上访问撤消清单来检查其撤消状态的示例性实施例。

图4是根据示例性实施例的CE设备的框图，其中CE设备包括用于存储有关设备的撤消状态的信息的设备。

具体实施方式

如上所述，本发明为潜在买方提供有关CE设备60的撤消状态的信息。下面提供本发明的示例性实施例的详细描述，其包括参考附图。为描述这些实施例的目的，术语CE设备60是指用来记录、传送、播放或者操作数字或模拟内容的任一电子设备。这些设备包括PC、DVD播放器和录音机、CD播放器和录音机、蜂窝电话、录像机(VCR)、数字电视机等等。在这些图中，具有相似功能的部件用相同的标记号表示。

CE设备60的撤消通常在两种情况下发生：1)已经公开了CE设备60的保密密钥，这能通过将这些密钥提供给设备制造商来证明，或2)两个或多个CE设备60已经嵌入和正好采用相同的保密密钥，这能由这些设备正好使用相同的证书(即相同的唯一标识符和公共密钥，其对所有设备来说应当是不同的)验证它们自身的事实来证明。

另外，内容供应商或CE制造商可以积极搜索在Internet，或一些其他公众媒体上公开的CE设备60的密钥。然后撤消与这些公开的密钥相对应的这些设备证书。

应进一步注意到对本领域的普通技术人员来说，检测数字IP的未授权接受、拷贝或流通的其他方法是很容易想到的。

图2示例说明本发明的示例性实施例，其中使用用户终端来从远程撤消信息系统中访问CE设备60的撤消状态。图2表示经网络40连接到撤消信息系统200的用户终端100。撤消信息系统200包括撤消清单55。

根据图2所示的实施例，撤消信息系统200包含为已经撤消的CE设备60的唯一标识符的清单或数据库的撤消清单55。撤消信息站点200可由用户终端100经通信网络40访问。在示例性的实施例中，撤消信息站点200包括连接到Internet的环球网站点，以及用户终端包括PC、或具有Internet能力的其他类型的设备(蜂窝电话或寻呼机)。在另一示例性实施例中，撤消信息站点200可以包括任意计算机服务器，其能由用户终端在不同类型的计算机网络，包括电话线、光纤线路等等组成的网络上访问。

然而，撤消信息站点200决不限于Internet站点或计算机服务器。例如，撤消信息站点可以是自动电话系统，其可以通过使用按键式电话机访问。

根据示例性实施例，包含在撤消信息系统200中的撤消清单55基本上与由鉴定当局保留的撤消清单55相同。例如，撤消信息系统200可以是由鉴定当局50维护的计算机系统。另外，撤消信息系统200可以接收由鉴定当局50传送的、对其撤消清单55的更新。

用户终端100可以包括一个界面，该界面允许用户输入对应于CE设备60，诸如DVD播放器的唯一标识符。用户界面可以包括在计算机屏幕上显示的一系列指示或提示，或在按键式电话机上传送的一系列音频指示。在示例性实施例中，其中撤消信息系统200包括Internet站点，用户界面可以包括显示从撤消信息系统200下载的HTML或基于Java的界面的web浏览器。

根据示例性实施例，唯一标识符包括在检查CE设备的基础上，对用户来说的显而易见的一组字母—数字字符，即永久刻在设备上的序列号。然而，唯一标识符可以包括其他类型的标记，诸如UPC码等等，正如本领域的普通技术人员将期望的那样。

然后用户终端100将用户输入的唯一标识符传送到撤消信息系统200，其接着在其撤消清单55中搜索该唯一标识符。如果的确在撤消清单55中列出了该唯一标识符，撤消信息系统200使得该用户终端100显示或输出表示对该相应的CE设备60已经发生撤消的消息。反过来，如果该唯一标识符未包含在撤消清单55中，撤消信息终端200使得该用户终端100显示表示对该CE设备60未发生撤消的消息。

根据示例性实施例，撤消信息系统200的撤消清单55可以包括有关对每个所列出的CE设备所禁用的功能类型的信息。因此，如果对应于由该用户输入的唯一标识符的CE设备60的确已经被撤消，那么撤消信息系统200可以另外将信息传送到用户终端100，指明已经通过撤消相应的CE设备60部分或全部禁用哪些功能。这一信息可以通过用户终端100的用户界面被传达给潜在的买主。

在本发明的另一示例性实施例中，撤消清单55可以被记录在DVD上。撤消清单55可以被记录在DVD上并由鉴定当局55分发。另外，撤消清单55可以被记录在撤消信息系统200处的DVD上，如参考上述实施例所述，由已经访问这些信息的机构维护该撤消信息系统200。

包含撤消清单55的DVD可以直接被分发给正查看以购买二手CE设备60的人。DVDs可以经邮件分发，或在某一位置，诸如电子商店或售货机上分发(或出售)。在示例性实施例中，用户可以将这一DVD插入标准的DVD播放器以便浏览相应于已经被撤消的CE设备60的唯一标识符的详尽清单。在这一实施例中，唯一标识符将优选包含字母和/或数字字符，并在撤消清单中按字母或数字顺序存储。因此，用户将很容易能确定特定的唯一标识符是否包含在清单中。

在可选的实施例中，DVD可以被配置成插入PC的DVD-ROM驱动器中。在这一实施例中，在PC上运行的软件应用程序可以允许用户输入唯一标识符并向用户指示所输入的标识符是否包含在撤消清单55中。

在另一示例性实施例中，DVD可以放在中心位置，其中潜在买方可以实现确定某一CE设备60是否被撤消。中心位置优选包括允许用户访问来自所存储的撤消清单55的信息的DVD播放器或PC。中心位置免费向用户(诸如图书馆)提供这些信息，或可以是收费向用户提供这些信息的商业场所。

除撤消的CE设备60的唯一标识符外，记录在DVD上的撤消清单55可以包含有关每个唯一标识符的附加信息，诸如有关在相应的设备60上已经禁用哪些功能的信息。

关于另一示例性实施例，其他便携式存储媒介或设备可以用来记录和分发撤消清单55。例如，可以将撤消清单55记录在软盘、光盘(CDs)、智能卡或很容易分发给感兴趣的人的任何其他类型的存储媒介上，正如本领域的普通技术人员所预期的那样。另外，撤消清单55可以不必记录在将分发的存储介质上。例如，撤消清单55可以经电子邮件或本领域公知的一些其他方法直接电子分发给用户的PC。

图3示例说明本发明的示例性实施例，其中配置CE设备60以便其能通过在网络40上访问撤消清单来核对其撤消状态。这一实施例的CE设备60包括撤消状态指示器61。图3表示CE设备经网络40连接到包含撤消清单55的系统70上。系统70可以是在鉴定当局50维护的计算机系统，诸如服务器。可选的，系统撤消可以是如上参考其他示例性实施例所述的信息系统200。

应注意到尽管图3示出撤消清单55包含在系统70中，但撤消清单决不限于实际存储在系统70中的清单或数据库。撤消清单55可以存储在与系统70分开的位置，系统70经通信装置(例如，电缆或电话线)从该位置访问存储在撤消清单55中的信息。典型地，撤消清单55还将存储(缓存)在CE设备60中，并在每个适当的时机经与系统70通信来更新。

在图3中，网络40可以包括Internet，以及CE设备60可以是在其正常操作期间连接到Internet的设备。CE设备60可以包括PC、小型电话(cell phone)、寻呼机或数字电视系统，其具有内置的Internet能力。在可替换实施例中，CE设备60可以配置成与通常经IEEE1394电缆(等等)连接到Internet的另一CE设备60通信，在另外的实施例中，CE设备60可以是非通常连接到Internet的设备，诸如DVD播放器，其被特别配置成当需要时能访问Internet。

网络40不限于Internet并可以是在正常操作期间，或仅当需要时，CE设备60所连接的任意其他类型的通信网络。

CE设备60的撤消状态指示器61包括输入机构，诸如开关或按钮，用户能很容易激活以便接收有关设备60的撤消状态的信息。

根据优选实施例，一旦激活，撤消状态指示器61使得CE设备60将其唯一标识符经网络40传送到系统70。作为响应，系统70将该CE设备60的唯一标识符与存储在撤消清单55中的唯一标识符进行比较，然后，系统70将表示唯一标识符是否包含在清单中的撤消状态信息，以及从撤消清单55获得的任何其他相应数据(例如由于撤消已经被禁用的功能)传送回到CE设备60。

另外，激活撤消状态指示器61会使得CE设备60访问和校验在设备60本身中缓存的撤消清单55中的唯一标识符。另外，这一激活会使得CE设备60建立与系统70通信以便执行内部缓存的撤消清单55的更新。然后CE设备60可以使用更新的撤消清单55检查其撤消状态。

撤消状态指示器61可以包括，或连接到用于向用户提供撤消状态信息的输出设备(例如显示屏)。如果CE设备60包括PC，PC的撤消状态指示器61可以包括用于向用户指示撤消状态的其自己的LCD屏。另外，撤消状态指示器可以使得PC监视器或打印机输出撤消状态信息。

然而，撤消状态指示器61可以被配置成自动地使CE设备从系统70接收撤消状态信息，而无需用户激活。撤消状态指示器61可以被配置成定期使CE设备60从系统70请求其撤消状态信息，以及存储该信息以便当用户激活输入机构时，该信息能被即时访问和显示。

另外，能使用图3所示的结构来实现CE设备60中的撤消。如上所述，可以在鉴定当局50处维护系统70。如果鉴定当局50确定CE设备60正用于未授权行为，系统70能将所检索的标识符记录在撤消清单55中。另外，系统70能在网络40上将信号传送到CE设备60，使得CE设备60中的电路或机构部分(或全部)禁用设备60的功能性。

图3所示的实施例，用户不需要输入唯一标识符。因此，在这一实施例中，从CE设备60传送的唯一标识符和存储在撤消清单55中的唯一标识符不必是序列号或CE设备60的拥有者或潜在买方很容易获得的其他类型的标识符。

本发明为根据存储在设备60中的保密标识符和能由用户确定的非保密标识符来检验CE设备60的撤消状态，本发明的撤消清单55可以包含用于每个CE设备60的两个标识符。

第一标识符可以包括存储在CE设备60中的保密标识符，其可以或不可以使用设备的撤消。第二标识符可以包括对应于相同CE设备60的标识符，其很容易通过检查设备来确定，诸如序列号。撤消清单55提供相应于每个CE设备60的第一和第二标识符之间的链接。因此，CE设备60的撤消状态能通过将每个标识符与撤消清单55进行比较来确定。

图4是根据本发明的示例性实施例的CE设备60的框图，其中CE设备60包括用于存储有关设备的撤消状态的信息的设备。在这一实施例中，标识符与撤消清单55的比较是不必要的。

图4表示连接到CE设备60的处理器62的撤消状态指示器61。处理器62连接到加密的内容缓冲器65，其中数字内容在从网络40(未示出)接收或从存储媒介(例如DVD)读取后暂时存储在内容缓冲器65中。处理器62还连接存储设备63，存储设备63将解密密钥存储在存储区63a中，以及将撤消状态信息存储在存储区63b中。防篡改机构64连接到存储设备63。虚线包围了CE设备60的部件，限制用户或所有者访问该部件。

下面将更详细地描述图4所示的实施例的CE设备60。存储在存储区63b中的撤消状态信息表示在任何时间设备60的功能性是否由于撤销而被禁用。撤消状态信息还可以包括在CE设备60中已经禁用了什么样的功能性。当用户使用输入机构激活撤消状态指示器61时，处理器将从存储设备63检索撤消状态信息。然后，处理器将使撤消状态信息在撤消状态指示器的输出设备上输出，或在通常用来向用户输出数字内容的输出设备66上输出。

必须小心以确保拥有者不能接触和改变存储在存储设备65中的撤消状态信息。防篡改机构64防止这种未授权访问。优选，防篡改设备64由专用硬件设备组成，其检测物理打开或操纵存储设备63的任何尝试。防篡改机构64可以配置成如果检测到这种篡改，完全禁用CE设备60的操作。

例如，由处理器62用来解密所加密的数字内容的解密密钥可以存储在存储设备63的存储区63a中。作为物理打开或操纵存储设备63的任何尝试的结果，防篡改机构63会使得这一解密密钥被删除。因此，处理器62将不能解密和输出存储在缓冲器65中的加密的数字内容。然而，可以使用用于通过存储设备63防止篡改的其他机构，正如本领域的普通技术人员所预期的那样。

已经参考示例性实施例描述了本发明。对本领域的普通技术人员来说，很显然，在不背离权利要求书的精神和范围的情况下，根据上述公开的内容，能做出本发明的各种改进。

Claims (8)

1.一种系统，包括：

传送设备，用于在网络上传送消费者电子(CE)设备的唯一标识符，所述传送设备包括输出设备；

撤消状态信息系统，用于从所述网络接收所述传送的唯一标识符，确定所述传送的唯一标识符是否对应于在撤消清单中列出的多个标识符的其中一个以便确定所述CE设备的撤消状态，以及将表示所述撤消状态的信息传送回所述传送设备，

其中，所述输出设备将所确定的撤消状态输出给用户。

2.如权利要求1所述的系统，其特征在于，所述撤消状态表示响应使用所述CE设备执行的非法或未授权操作，是否已经部分或全部禁止所述CE设备的一个或多个功能。

3.如权利要求1所述的系统，其特征在于，所述传送设备包括连接到所述CE设备的撤消状态指示器。

4.如权利要求3所述的系统，其特征在于，所述撤消状态指示器响应用户的激活用以传送所述唯一标识符。

5.如权利要求3所述的系统，其特征在于，所述撤消状态指示器在所述网络上自动传送所述唯一标识符。

6.如权利要求1所述的系统，其特征在于，所述传送设备包括用户终端，所述用户终端包括用于输入所述唯一标识符的输入设备，以及

其中，所述撤消信息系统确定相应于所述外部标识符的保密标识符，以及将所述保密标识符与在所述撤消清单中列出的所述标识符进行比较以便确定所述CE设备的所述撤消状态。

7.一种消费者电子(CE)设备，包括：

存储设备，用于存储所述CE设备的存储撤消状态；以及

撤消状态指示器，用于使所述存储的撤消状态信息被访问和输出。

8.如权利要求7所述的CE设备，进一步包括：

防篡改机构，用于防止物理访问所述存储设备。