CN1764883A - 数据保护管理装置和数据保护管理方法 - Google Patents

Abstract

数据保护管理装置保护数字许可证和数字数据，使得数字数据的滥用和非法使用得以防止。所述装置具有I/O端口、会话管理器、许可证管理引擎、使用规则管理器、加密引擎、存储器管理器和存储器。许可证管理引擎获取、存储和管理由会话管理器打开的会话中的许可证，和使用规则管理器通过应用使用规则来提供用于安全存储和发送数字许可证数据的加密算法和协议以使用由许可证管理引擎管理的许可证。

Description

数据保护管理装置和数据保护管理方法

技术领域

本发明涉及一种用于保护数字数据的装置和方法，更加具体地说涉及在使用许可证发布数据时保护发布数据、许可数据和电子票据的装置和方法。

背景技术

使用户能够通过网络从内容提供商下载和播放数字内容的数字内容发布服务正在日渐发展。当确定他们的知识产权不会遭受版权侵犯或非法再现或使用时，提供这些服务的内容提供商允许使用他们的数字内容。

用于提供数字内容安全性的一种方法通过使用对于每个用户专用的秘密算法结合用户识别符(参见，例如专利参考文献1)来防止非法使用数字内容。这使其能够将数字内容再现仅仅限制在具有唯一ID(依设备而定)的专用设备或兼容PC硬件，这能防止非法拷贝数据。

图18为传统数据发布系统的示意图。该系统包括内容提供商服务器100(下面称作服务器)、个人计算机(PC)104、和客户机106。服务器100和PC 104通过网络进行连接，而客户机106是用于存储和处理(包括播放)通过网络从服务器100发布的内容。当从服务器100的内容存储装置102获取内容时，服务器100使用从客户机106报告的序列号(或设备号)作为加密密钥101以加密用于发布的内容(103)。不一定使用序列号本身作为加密密钥，并且可使用序列号来产生加密所需的密钥或密码。通过PC104将加密的内容发送给客户机106。当PC104接收加密的内容时，PC104可在期望的时间通知客户机106，而不是立即通知客户机106。所述内容也可在PC104上进行存档。因此可将所述发布的加密内容存储在PC104的加密内容存储装置105中。然后客户机106使用内藏的解密密钥109解密和处理(107)所述接收的加密内容，并将解密的内容存储在内容存储装置108中。也可以在处理中播放解密的内容而不将其存储在内容存储装置108中。

因此如上所述，可通过客户机将序列号发送给服务器，然后服务器将服务器根据接收的序列号进行加密的内容数据发送给客户机来发布内容。

图19也是传统数据发布系统的示意图。该系统也包括内容提供商服务器201(下面称作服务器)、PC205、和客户机211。为了发布存储在服务器201的内容存储装置202中的内容，服务器201产生与内容、用户或客户机211相关的密钥(203)，并使用该密钥加密内容(204)。当PC205将内容请求发送给服务器201时，它从服务器201接收加密的数据和有关密钥，并将所述内容存储到内容存储装置206中和将所述密钥存储到密钥存储装置207中。在将存储在内容存储装置206中的内容发送给客户机211之前，PC205使用存储在密钥存储装置207中的相关密钥解密内容(208)，并使用从客户机211或从报告给客户机211的会话获取的密钥210对所述内容进行重新编码(209)。客户机211将接收的加密内容存储到内容存储装置212中。在播放内容或运行其它媒体输出处理之前，使用存储在会话密钥存储装置214中的会话密钥解密所述内容(215)。可首先解密该接收的加密内容，然后将其存储在内容存储装置212中。

因此，能够通过将使用服务器产生的密钥加密的内容和所述密钥发送给PC、然后使用PC和客户机之间的不同密钥(会话密钥)对所述内容重新进行加密来发布内容。

日本专利申请公开文本第H7-295800号披露了一种相关发明。

发明内容

(本发明将要解决的技术问题)

然而，为了防止使用上述的现有技术非法拷贝数据，只能播放已经下载到专用重放设备或具有唯一设备相关ID的兼容PC硬件上的内容。这可能意味着当用户更新操作系统(OS)或硬件时，可能不再能够播放更新之前可以播放的内容。另外，如果对于内容重放需要专用重放设备，则用户就不能在他们喜欢的任何地点和任何时间享受内容数据。

另外，因为内容只能使用专用的重放设备才能播放，所以使用不同的重放设备不能播放存储在存储卡、IC卡、SD卡、CD-R盘和其它可拆除存储介质上的内容。

此外，未将PC连接到网络上的用户不能通过现有的系统来使用可从内容提供商获得的内容。

本发明就是为了解决现有技术中的这些问题，本发明的目的是防止数字内容的非法使用和滥用，给用户提供选择重放设备的选择自由度，和在使用数字内容时加强数字内容的保护。本发明的另一个目的是能够通过各种发布渠道进行数据发布使得内容发布装置不仅仅依赖于网络。

(解决问题的手段)

为了解决上述问题，根据本发明的数据保护管理系统为允许在保护和管理通信数据的同时，在发送器和接收器之间进行许可证和加密内容的数据通信的数据保护管理系统，其包括：会话管理器，用于执行从发送器获取许可证和加密内容的处理；许可证管理引擎，用于存储和管理通过会话管理器获取的许可证；和存储器，用于存储许可证。当接收到询问时，其被提供作为用于许可证验证的请求的一部分，会话管理器产生一个校验许可证的证书并将该产生的证书发送给接收器。

根据本发明的数据保护管理系统还包括使用规则管理器，用于确定与许可证相关的使用规则，并应用使用规则以处理许可证和内容中的至少一个。

在根据本发明的数据保护管理系统中，会话管理器对证书进行加密。

在根据本发明的数据保护管理系统中，会话管理器将一任选项从许可证添加至证书。

在根据本发明的数据保护管理系统中，其中使用包含在许可证中的密钥来加密所述任选项数据。

在根据本发明的数据保护管理系统中，使用规则包括用于根据许可证确定将被添加到证书中的数据的信息。

在根据本发明的数据保护管理系统中，当从发送器接收到许可证变化时，会话管理器在变化之前从许可证管理引擎读取许可证，改变许可证，并使用许可证管理引擎保存改变的许可证。

在根据本发明的数据保护管理系统中，会话管理器使用与许可证相关的密钥来解密内容。

在根据本发明的数据保护管理系统中，会话管理器对解密的内容重新进行加密。

根据本发明的数据保护管理系统的特征在于根据来自发送器的信息产生用于重新加密的密钥。

根据本发明的数据保护管理系统的特征在于具有会话管理单元，用于运行管理连接、与连接方交换用于相互验证的信任证书、和对此后在打开的连接上传送的许可证和数据应用访问限制的处理；许可证管理引擎单元，用于在会话管理单元打开的会话中获取许可证、并存储和管理获取的许可证；使用规则管理单元，用于确定与许可证管理引擎单元管理的许可证相关的使用规则，并应用该使用规则以处理许可证和数据；加密引擎单元，具有加密、解密和标记数据所需的公共密钥或共享密钥加密算法和散列算法，并为开启的会话提供加密协议功能；存储器管理单元，用于控制存储器访问，并为加密引擎单元进行的加密和解密提供空间；和存储器，用于存储数据、许可证和连接条件。该数据保护管理系统在下面将被称作为“安全容器”。

因此通过提供用于安全保存、接收和发送数字许可证数据的加密算法和协议而能够确保许可证数据的安全管理。

根据本发明的数据保护管理系统的进一步的特征在于保留有至少一个对于系统唯一的加密/解密密钥。因此对于系统唯一的密钥可用于内容加密，并且能够更加安全和可靠的防止数据偷盗和篡改。

根据本发明的数据保护管理系统的进一步的特征在于具有日志管理引擎，用于根据数据发布处理存储与规则变化相关的信息，并控制读取和写入该日志信息。这能够使安全容器记录交易并执行其它涉及安全的操作，并能够使系统制造商或可信的第三方识别出安全容器或存储在其中的数字许可数据是否已经被篡改或滥用。

根据本发明的数据保护管理方法的特征在于包括：存储由发送器使用与用于发布的数据相关的密钥加密的数据的步骤；用于将加密的数据从发送器发送至数据处理装置的步骤；用于将包含一个或多个控制命令的命令集从发送器发送至数据处理装置的步骤；用于打开数据处理装置和接收器之间的安全数据通道的步骤；用于将包含一个或多个控制命令的命令集从发送器发送至数据处理装置的步骤；和数据处理装置根据命令集使用密钥对加密的数据进行解密并通过安全数据通道将解密的数据发送给接收器的步骤。

该命令集也称作使用规则。另外，发送器还称作“信源”，接收器还称作“接收器”。该数据处理装置也是上面所指的安全容器。因此在应用必须的操作和控制的同时，通过安全容器发送数据而能够将数据从信源安全地发送至接收器。

本发明的数据保护管理方法的特征在于在命令集中包括指定在安全数据通道上所使用的加密强度的控制命令。这允许使用控制命令来管理加密强度(即，安全容器和接收器之间的安全通道的强度)，并能够根据数据通道的类型灵活地改进数据安全性。

本发明的数据保护管理方法的进一步的特征在于在命令集中包括用于公布安全数据通道是有效的周期的控制命令。这能够使用于管理加密(安全容器和接收器之间的安全通道)的控制命令定义能够进行重新加密的周期，并且能够构造允许用户复制和保存广播数据以例如在某一购买周期内供个人使用或允许有计划的使用数据的采购系统。

本发明的数据保护管理方法的进一步的特征在于在命令集中包括指示将数据的多少个拷贝发送给接收器的控制命令。因此用于管理加密(安全容器和接收器之间的安全通道)的命令集通过规定能够将数据的多少个拷贝发送给接收器而能够用于数据备份和共享。因为内容与特定的用户相联系，所以进行监视和审核也是可能的。

本发明的数据保护管理方法的进一步的特征在于在命令集中包括从发送器发送给数据处理装置的控制命令。这能够将从信源发送的控制命令集添加到安全容器中，并且具有能够使信源指定安全条件的优点。然而，在附加到许可证或密钥中的命令集中定义的缺省条件永远不会被削弱。

本发明的数据保护管理方法的进一步的特征在于在命令集中包括从接收器发送给数据处理装置的控制命令。这能够将从接收器发送的控制命令集添加到安全容器中，并且具有接收器能够指定安全条件的优点。然而，在附加到许可证或密钥中的命令集中定义的缺省条件永远不会被削弱。

本发明的数据保护管理方法的进一步的特征在于在命令集中包括指示将由接收器应用的条件的控制命令。这能够使用于管理加密(安全容器和接收器之间的安全通道)的控制命令定义用于接收器的条件，其结果是能够使信源指定用于接收器的规则。例如，信源能够指定接收器必须遵从某一安全标准，例如要求用户确认高价数据，以便完成购买。

根据本发明的另一种数据保护管理方法的特征在于包括：发送器使用与用于发布的数据相关的密钥加密数据的步骤；将加密的数据从发送器发送至数据处理装置的步骤；将用于加密的密钥从发送器发送至数据处理装置的步骤；将包含一个或多个控制命令的命令集从发送器发送至数据处理装置的步骤；和数据处理装置根据所述命令集使用密钥解密加密的数据、然后使用与接收器相关的密钥对所述数据进行重新加密的步骤。

结果，能够在重新加密处理中对与接收器相关的数据分别加以考虑，使得在对数据进行加密之后，只能通过相应的接收器对数据进行解密，由此进一步改善了数据安全性。

本发明的这种数据保护管理方法的特征在于在命令集中包括指定允许用于重新加密的计算时间的控制命令。这允许构造使用户能够复制和保存广播数据以例如在一特定采购周期内供个人使用的商业系统。

本发明的这种数据保护管理方法的特征在于在命令集中包括指示能够产生数据的多少个重新加密拷贝的控制命令。这能够使用于管理重新加密的控制命令指定允许拷贝的数量。这对于数据备份和共享是有用的，并且因为内容与唯一的用户相联系，所以能够进行监视和审核。

本发明的这种数据保护管理方法的特征在于在命令集中包括指示必须由接收器应用的条件的控制命令。这能够使用于管理重新加密的控制命令定义用于接收器的特定条件，其结果是信源能够定义将由接收器应用的条件。例如，信源能够指定接收器必须遵从一特定安全标准，以便购买某一高价数据。

本发明的这种数据保护管理方法的特征在于在命令集中包括从接收器发送给数据处理装置的控制命令。这能够使管理重新加密处理的控制命令保存在接收器中，其提供的优点是接收器能够独立地运行重新加密处理。另外，如果所述控制命令保存在信源中并且在信源上完成重新加密，则与数据创建者或所有者相应的信源能够完全控制重新加密处理。因为通过本发明能够对用户分别考虑内容，所以不能由另外的人使用所述内容。也可对内容进行加密以使其不通过重新加密处理分别加以考虑。

 根据本发明的另一种数据保护管理方法的特征在于包括：通过发送器和数据处理装置进行相互验证的步骤；打开发送器和数据处理装置之间的安全数据通道的步骤；将请求验证特定许可证的所有权的询问从信源发送给数据处理装置的步骤；数据处理装置使用所述询问和特定的许可证根据命令集产生唯一的验证的步骤；数据处理装置将产生的验证发送给发送器的步骤；和发送器对接收的验证进行校验的步骤。

因此能够在未向信源提供详细的许可证信息的情况下证实特定的许可证存储在于接收器中。换句话说，为了得到许可证被存储在接收器的许可证池(pool)中的验证，信源使用一个安全通道请求接收器发布验证的证书。接收器(安全容器)参照从信源发送给接收器的请求(询问)产生证书。然后通过所述安全通道将产生的证书发送给信源。发布对于许可证唯一的证书的优点在于接收器不需要向信源发送详细的许可证信息。另外，这种证书也可用在代替电子票据使用该许可证的电子票据系统中。此外，通过使用来自信源的命令集，许可证发布者能够控制产生证书的方法。

本发明的这种数据保护管理方法的特征在于数据处理装置在产生证书时使用发送器的公共密钥对询问和验证进行加密。这允许使用公共密钥加密方法加密验证，并因此不需要信源和安全容器之间的连接是安全的。在该情况下通过公共密钥加密方法来获得安全性。在该情况下可将信源的公共密钥嵌入到许可证中。

本发明的数据保护管理方法的进一步的特征在于数据处理装置在产生验证时使用嵌入到许可证中的密钥对产生的验证进行加密。因此可将许可证的一部分用作密钥，并且只有许可证发布者或信任的第三方能够解密验证。另外，如果信源能够解密证书，则可将信源看作是信任方，并且因此信源不需要对安全容器校验其本身。

本发明的数据保护管理方法的进一步的特征在于在将产生的验证发送给发送器时，将验证连同许可证中包含的附加数据一起发送给发送器。这能够在将来自许可证的附加数据添加到验证中之后将验证发送给信源。该方法由此就提供一种电子票。

本发明的数据保护管理方法的进一步的特征在于使用许可证中包含的密钥来加密附加数据。这能够将来自许可证的附加数据添加到验证中，并且能够在对信源传送之前加密验证或附加数据或二者。因此通过该方法就获得了一种电子票。

本发明的数据保护管理方法的进一步的特征在于在命令集中包括用于根据许可证确定将什么样的数据添加给证书的信息数据。这使得能够在用于管理验证产生的控制命令中包括指示应将来自许可证的什么样的数据添加给证书的信息。结果，可将附加到许可证中的数据的特定子集添加到验证中。

本发明的数据保护管理方法为用于改变存储在数据处理装置中的特定许可证的条件信息的方法，并且其特征在于包括：通过发送器和数据处理装置进行相互验证的步骤；用于打开发送器和数据处理装置之间的安全数据通道的步骤；将改变特定许可证的条件信息的请求连同请求验证驻存有许可证的询问一起从发送器发送给数据处理装置的步骤；数据处理装置根据请求改变特定许可证的条件信息的步骤；数据处理装置使用所述询问和特定的许可证根据命令集产生唯一的验证的步骤；数据处理装置将产生的验证发送给发送器的步骤；发送器对接收的验证进行校验的步骤。

由此可根据需要将与许可证相关的条件信息分配给许可证或将其嵌入到许可证中。即，为了改变许可证规则，首先试图进行信源和安全容器之间的相互验证，并且如果验证成功，则打开安全通道。接着，将改变许可证条件的请求从信源发送给安全容器，并且安全容器根据请求进行操作。如果改变许可证条件成功，则安全容器将验证发送给信源。然后信源从接收的验证确认请求变更的结果。该方法的优点在于通过改变许可证条件信息而能够获得双向或多向电子票据，并能够限制使用与许可证相应的数字数据。

根据本发明的数据保护管理方法是用于将特定的许可证存储在数据处理装置中的方法，并且其特征在于包括：在发送器和数据处理装置之间进行相互验证的步骤；打开发送器和数据处理装置之间的安全数据通道的步骤；将特定的许可证从发送器发送给数据处理装置的步骤；和数据处理装置根据命令集存储接收的特定许可证的步骤。

即，安全容器和信源试图进行相互验证，并且如果验证成功，则打开安全容器和信源之间的安全通道。所接收的许可证数据被存储在安全容器的内部存储器中。结果，当在安全容器中存储许可证时，可将许可证数据从信源安全的发送到一个装置并能够将其安全地存储在该装置的存储器中。许可证数据作为纯文本永远不会被泄漏出去。

根据本发明的数据保护管理方法是用于将特定的许可证存储在数据处理装置中的方法，并且其特征在于包括：在发送器和数据处理装置之间进行相互验证的步骤；将与接收器相关的公共密钥从数据处理装置发送给信源的步骤；信源使用接收的公共密钥对特定的许可证进行加密并将加密的许可证发送给数据处理装置的步骤；和数据处理装置使用与接收器相关的私密密钥解密加密的许可证的步骤。

即，安全容器和信源试图进行相互验证，并且如果验证成功，则分派给所述装置的公共密钥就被发送给信源。然后信源使用接收的公共密钥加密许可证数据，并将加密的数据发送给安全容器。然后安全容器将接收的数据存储在内部存储器中。结果，当在安全容器中存储许可证时，可将许可证数据从信源安全地发送到所述装置并能够将其安全地存储在装置存储器中。许可证数据作为纯文本永远不会被泄漏出去。

附图说明

图1为表示本发明第一实施例中的安全容器的结构的例子的框图。

图2为表示本发明第二实施例中的安全容器的结构的例子的框图。

图3A表示用于将解密内容传送给接收器的过程。

图3B概略表示本发明第一实施例中的安全容器的代码转换处理。

图4为用于根据本发明第一实施例的安全容器的代码转换处理的例子的流程图。

图5为用于根据本发明第一实施例的安全容器的代码转换处理的例子的流程图。

图6A表示用于将解密内容传送给安全容器的过程。

图6B表示用于根据本发明第一实施例的安全容器的重新加密处理。

图7为表示用于根据本发明第一实施例的安全容器的重新加密处理的例子的流程图。

图8为表示用于根据本发明第一实施例的安全容器的周期性重新加密处理的例子的流程图。

图9A表示信源接收许可证验证的过程。

图9B表示产生用于根据本发明第一实施例的安全容器的许可证的验证的处理。

图10为产生用于根据本发明第一实施例的安全容器的许可证的验证的处理的例子的流程图。

图11A表示信源接收许可证变更校验的过程。

图11B表示对于根据本发明第一实施例的安全容器用于产生许可证验证，然后改变许可证的处理。

图12为对于根据本发明第一实施例的安全容器用于产生许可证验证，然后改变许可证的处理的例子的流程图。

图13A表示用于存储许可证的过程。

图13B表示对于根据本发明第二实施例的安全容器用于存储许可证的处理。

图14为对于根据本发明第二实施例的安全容器用于存储许可证的处理的例子的流程图。

图15为根据本发明第一实施例的数据发布系统的示意图。

图16为根据本发明第一实施例的数据发布系统的另一个例子的示意图。

图17为根据本发明第一实施例的数据发布系统的网络环境的示意图。

图18为根据现有技术的数据发布系统的示意图。

图19为根据现有技术的另一个数据发布系统的示意图。

具体实施方式

下面将参照附图说明本发明的优选实施例。

(第一实施例)

在使用网络获取存储在例如通过内容提供商操作的服务器上的内容数据的数据发布系统中需要限制非法使用内容和保护其数据的能力。根据本发明第一实施例的数据保护管理装置为安全容器例如IC卡或其它防篡改硬件中的DRM(数字权限管理)系统，并提供通常的数字许可证管理和涉及数字许可证和其它许可证的数字数据存储控制。注意，这些可以是硬件或软件结构。

许可证通常包含有关的使用规则。使用规则定义了许可证和有关涉及许可证的数字数据的使用情况的规则。如果涉及特定处理的规则未被使用规则定义，则应用预定的缺省设置。如果缺省设置和使用规则不同，则必须应用具有更强限制的更安全规则。

图17为表示一数据发布系统的网络环境的示意图。根据本发明第一实施例的DRM系统被并入到通过网络从内容提供商或内容服务器下载数字数据的客户机设备中。所述网络可以是有线或无线网络，互联网或内部网，与服务器的1∶1直接连接，至互联网和局域LAN二者的连接或其它结构。

下面将详细说明根据本发明第一实施例的DRM系统。

DRM系统通过提供用于安全存储和传送许可证数据的加密算法和协议来确保安全许可证数据管理。通过用作数据发送器(源)和接收器(接收装置)之间的附加数据安全层的卡来发送数字数据也是可应用的。

包括该DRM系统和安全管理许可证和数字数据的设备在下面称作“安全容器”。该安全容器是一安全的、防篡改设备。从一个信源获取的许可证数据(或内容数据)被存储在该安全容器的存储器中。

“信源”指的是从其获取内容数据并代表内容提供商和内容服务器二者的任何信源。“信源”还包括内容介质，例如CD-ROM和DVD。

“接收装置”为从信源获取内容并代表诸如客户机设备和重放设备的设备的任何接收器。接收器可具有能够记录的介质，例如存储卡、IC卡、SD(安全数字)卡、或CD-R盘，并具有对可记录介质进行读取和写入的功能。也能够通过将记录介质装载到重放设备中在单独的只读设备上播放内容数据。

图1为表示根据本发明第一实施例的安全容器的结构的功能框图。

所述安全容器500具有I/O端口501、会话管理器502、许可证管理引擎506、使用规则管理器505(使用规则也称作命令集)、加密引擎507、存储器管理单元503、和存储器504。与I/O端口501连接的是从其传送内容的信源510、和向其发送内容的接收器511。接收器511包括诸如记录器、重放设备、显示器、音频输出设备和打印机之类的这种设备中的一个或全部。接收器511还可包含安全容器500。

会话管理器502管理通过I/O端口501的连接。此处所使用的连接并不局限于通常的连接，并且包括使用加密引擎507的安全连接。会话管理器502通过与连接方交换和相互校验证书来开始会话，并且然后能够管理受限的访问，例如允许对许可证数据和有关的内容数据进行访问。

许可证管理引擎506在由会话管理器502打开的会话中通过I/O端口501获取许可证数据，并将其存储在存储器504中和对获取的许可证数据进行管理。

使用规则管理器505确定涉及通过许可证管理引擎506管理的并通过使用规则管理器505处理的许可证数据的使用规则，并应用所述使用规则以处理许可证数据和内容数据。这些使用规则可包含各种规则，包括控制内容能被拷贝多少次的拷贝限制和部分解码许可。

加密引擎507包含用于标记、加密和解密内容数据所需的公共密钥或共享密钥的加密算法和散列算法，并对会话管理器502打开的会话提供加密协议函数。

存储器管理单元503控制对存储器504的访问，并为加密引擎507进行的加密和解密提供工作区。存储器504存储内容数据、许可证数据和连接状态信息。

如此构成，安全容器可提供用于安全存储和发送数字许可证数据的加密算法和协议，并因此能确保安全许可数据管理。

所有需要的操作也是在安全容器内部执行的，以便确保数字许可证不能以纯文本格式留在安全容器中。

该安全容器的全部或部分可以由软件来构成，并且可将安全容器安装在诸如蜂窝电话的设备中。另外，基本上还能够制造通过将该安全容器嵌入到存储卡型存储装置中来进行数字许可和数据管理的存储卡型装置，由此能够将安全容器放置在SD卡或其它类型的存储卡装置中。还能够制造通过对传统的数据存储装置添加新功能来进行数字许可和数据管理的存储卡型装置。

另外，通过将ISO/IEC 9293适应FAT文件系统建立到根据本发明第一实施例的安全容器的存储器中而能够将数字许可证数据以标准化的文件格式而非专有格式存储在存储器中，并能够提供用于数字许可证数据管理任务的公众API，所述数字许可证数据管理任务包括存储和搜索数字许可证数据。

下面将参照图3A、图3B、图4和图5说明通过本发明第一实施例的安全容器将数字数据(内容)从特定的信源发送给特定的接收器的方法。

当通过安全容器500将内容从一个信源发送给接收器时，在代码转换处理中定义了四个数据集。这四个数据集是内容901(通过相应的密钥对其进行加密)、用于加密内容的密钥(其是许可证的一部分)、在安全容器500和接收器之间的安全通道上使用的会话密钥、和与特定的密钥相对应并用于安全容器500的内部控制操作的命令集(其是许可证的一部分)。这些命令集被从信源或接收器发送给安全容器500，但发送它们的定时和通信装置不需要是相同的，并能够在不同的总线上进行发送。

如图3A所示，信源至接收器的传送处理被分解为下述的六个步骤。即，(a)信源存储通过直接或间接涉及内容的密钥加密的内容901，(b)将加密的内容从信源发送至安全容器，(c)将命令集从信源发送至安全容器，(d)打开安全容器和接收器之间的安全数据通道，(e)将命令集从接收器发送至安全容器，和(f)使用相关的密钥解密内容901，对所述数据进行代码转换，然后在所述安全数据通道上传递数据。

图3B表示在根据本发明第一实施例的安全容器中于上面的步骤(f)中进行的代码转换处理。

从信源510发送的加密内容901通过I/O端口501输入给会话管理器502。会话管理器502具有代码转换处理器902和会话密钥产生器910，所述代码转换处理器902由解密单元903和加密单元904构成。来自许可证管理引擎506的解密密钥905和来自使用规则管理器505的使用规则906被输入给解密单元903。通过解密单元903使用解密密钥905来解密加密的内容901。解密内容被作为有条件的内容输出，对所述有条件的内容已经施加了特定的限制，例如内容能够播放的次数或内容能够播放的部分。根据使用规则，解密的输出被从I/O端口501发送给接收器511，或者发送给加密单元904，或者根本不输出。

使用会话密钥907，加密单元904对内容重新进行加密，并将结果作为经代码转换的输出908从I/O端口501输出至接收器511。在本发明的该实施例中，通过会话密钥产生器910基于来自接收器511的信息产生会话密钥907。接收器511对重新加密的内容进行解密使得所述内容可播放。通过加密单元904对内容重新进行加密以改进内容保护。代码转换处理器902由此改变内容的编码格式。还能够根据来自接收器511的信息配置会话密钥产生器910以产生询问(权标)。

图4为表示根据本发明第一实施例的安全容器的代码转换处理的例子的流程图。

首先，会话管理器502通过I/O端口501从信源接收加密的内容(1001)。

许可证管理引擎506从存储器504得到与接收的内容连接起来的许可证数据，并将获取的许可证数据报告给使用规则管理器505。然后使用规则管理器505基于该许可证数据确定使用规则，并应用该使用规则以确定是否需要解密(1002)。

如果需要解密(1002回答是)，则加密引擎507基于许可证数据使用解密密钥对加密的内容进行解密(1003)。如果不需要解密(1002回答否)，则控制进行至步骤1004，而不用进行解密。

然后使用规则管理器505应用先前确定的使用规则以确定是否需要加密(1004)。

如果需要加密(1004回答是)，则加密引擎507使用会话密钥对内容进行加密(1005)，然后会话管理器502通过I/O端口501将经代码转换的内容(重新加密的内容)输出给接收器511(1006)。如果不需要加密(1004回答否)，则会话管理器502通过I/O端口501将解密的内容输出给接收器511(1007)。

图5为表示根据本发明第一实施例的安全容器的代码转换处理的另一个例子的流程图。步骤1201、1202、1203和1204与图4中的步骤1001、1002、1003和1004相同，因此将省略其进一步的说明。在图5的步骤1205中确定对正在处理的内容进行代码转换是否完成。如果处理继续(1205回答否)，则控制返回至步骤1202，并重复代码转换处理。因此能够对流和循环内容应用代码转换。

另外，使用开放源能够建立安全连接，开放源是通过使用Diffie-Hellman密钥一致性协议来开启安全容器500接收器511之间的安全连接所广泛使用的方法。

在用于将数据发送给接收器511的步骤(f)中也可以将定义用于将数据发送给接收器的安全数据通道的加密强度的控制命令包括在命令集(使用规则)中。这允许使用命令集来管理加密强度(即，安全容器500和接收器之间的安全通道的强度)，并且能够根据数据通道类型更加灵活的改善安全性。

在用于将数据发送给接收器的步骤(f)中也可以将指示用于将数据发送给接收器的安全通道为有效的周期的命令集包含在所述命令集(使用规则)中。因此用于管理加密(安全容器500和接收器之间的安全通道)的命令集能够指定步骤1004中的加密在多长时间内是有效的。这就使其能够创立允许用户复制和保存广播数据例如在某一采购周期内供个人使用的采购系统，或允许有计划的使用数据的采购系统。

在用于将数据发送给接收器的步骤(f)中也可以将指示将数据的多少个拷贝发送给接收器的命令集包括在所述命令集(使用规则)中。因此用于管理加密(安全容器500和接收器之间的安全通道)的命令集能够管理这样的限制，例如指定能够发送多少个拷贝，能够产生多少个备份拷贝，和能够将数据共享多少次。

也可以将在步骤(c)中从信源发送的命令集的一部分或全部包括在于步骤(f)中发送给接收器的命令集中。这能够将从信源发送的命令加入到安全容器中，并且具有能够使信源指定安全条件的效果。然而，在附属于许可证或密钥的命令集中定义的缺省条件永远不会被削弱。

另外，也可以将指示在将数据发送给接收器之前将由接收器应用的条件的控制命令包括在于步骤(f)中发送给接收器的命令集中。这能够使用于管理加密(安全容器和接收器之间的安全通道)的控制命令定义用于接收器的条件，其结果是能够使信源指定用于接收器的条件。例如，信源能够指定接收器必须遵从某一安全标准，例如要求用户确认高价数据，以便完成购买。

使用CPRM(可记录介质的内容保护)也可打开安全容器和接收器之间的安全连接(d)。使用CPRM允许在兼容CPRM的环境中使用该系统，包括SD卡。

也可省略将命令集从信源发送给安全容器的步骤(c)。这允许在信源仅仅是一个基本的存储装置或记录介质的情况下使用该系统。

下面将参照图6A、图6B、图7和图8说明用于借助根据本发明第一实施例的安全容器将重新加密的数字数据(内容)从信源发送给接收器的方法的例子。

当通过安全容器500将内容从信源发送给接收器时，在重新加密处理中定义了三个数据集。这三个数据集是内容1401(使用特殊密钥加密了)、用于加密内容的密钥1407、和用于控制安全容器500中的操作的命令集。这些命令集被从信源发送给安全容器500，但发送它们的定时和通信装置不需要是相同的，并能够在不同的总线上进行发送。安全容器500使用这些数据集来进行重新加密，并且因为对于接收器来说特定的密钥被用于在重新加密处理中进行重新加密，所以只有那个接收器能够解密内容。

如图6A所示，用于重新加密内容的从信源至接收器的传递处理由下列五个步骤构成。即，(a)信源使用与内容相联系的密钥加密内容，(b)将加密的内容1401从信源发送至安全容器，(c)将在步骤(a)中用于加密的密钥发送至安全容器，(d)将命令集从接收器发送至安全容器，和(e)使用分派给所述内容的密钥解密内容1401，然后使用与分派给接收器的密钥对所述内容重新进行加密。通过存储在安全容器中的命令集来控制解密和重新加密步骤(e)。步骤(c)中的密钥也可进行发送作为较早发送或接收的相关许可证的一部分。

图6B表示在根据本发明第一实施例的安全容器中执行的步骤(e)中的重新加密处理。安全容器500接收加密的内容1401、运行重新加密处理1402、并输出重新加密的内容1408。该重新加密处理1402包括解密1403和加密1404。使用与许可证(即，解密密钥1405)相联系的密钥加密的内容1401输入给会话管理器502并使用解密密钥1405进行解密。然后应用相关的使用规则1406以使用与许可证相联系的重新加密密钥1407对解密的内容重新加密，其后述锄信加密的内容。该重新加密密钥1407是基于许可证产生，并且因此被从许可证管理引擎506获取。通过I/O端口501将重新加密的内容1408输出给接收器511。然后接收器511记录该重新加密的内容，或解码和播放所述内容。

图7为表示由根据本发明第一实施例的安全容器运行的重新加密处理的例子的流程图。

首先，会话管理器502通过I/O端口501从信源接收加密的内容，并将接收的内容存储到存储器504中(1501)。

然后许可证管理引擎506从存储器504得到与所述内容连接起来的许可证数据，并将许可证发送给使用规则管理器505。使用规则管理器505基于该许可证确定使用规则，并应用该使用规则以确定是否允许进行重新加密(1502)。

如果不允许进行重新加密(1502回答否)，则处理结束。如果重新加密被允许(1502回答是)，则加密引擎507使用解密密钥对加密的内容进行编码(1503)。

加密引擎507应用相关的使用规则并使用来自许可证的解密密钥对解码的内容重新进行加密(1504)。然后会话管理器502通过I/O端口501输出该重新加密的内容(1505)。

图8为表示由根据本发明第一实施例的安全容器运行的用于循环内容的重新加密处理的例子的流程图。首先，会话管理器502通过I/O端口501从信源接收加密的内容，并将所述内容保存在存储器504中，或将所述内容发送给接收器511。

然后许可证管理引擎506从存储器504读取用于加密内容的许可证数据，并将许可证数据发送给使用规则管理器505。使用规则管理器505基于该许可证数据确定使用规则，并应用这些使用规则以确定是否允许重新加密(1601)。

如果重新加密不被允许(1601回答否)，则处理结束。如果允许重新加密(1601回答是)，则加密引擎507从存储器504读取部分加密内容，并使用解密密钥对所述读取的加密内容进行解码(1602)。

然后加密引擎507应用相关的使用规则以对所述内容的解码部分重新进行加密，并且会话管理器502通过I/O端口501输出该重新加密的内容。

接着，使用规则管理器505再次应用使用规则以确定是否允许对下一部分内容进行重新加密(1604)。如果允许对下一部分内容进行重新加密(1604回答否)，则控制返回至步骤1602并且处理继续。然而，如果重新加密不被允许(1604回答是)，则处理结束。注意，当对最后一部分内容进行的处理已经结束时，步骤1604确定重新加密不被允许并且因此处理结束。

因此作为用户重新加密内容的结果，能够对特定用户个别考虑内容，并且因此内容不能由不同方使用。重新加密处理也可对内容进行匿名加密。

也可将定义允许重新加密的计算时间的控制命令包括在步骤(e)的命令集(使用规则)中。这能够使用于管理重新加密的控制命令指定允许进行重新加密的周期。这就允许构造使用户能够复制和保存广播数据例如在特定采购周期内供个人使用的商业系统。

另外，也可以将指示能够产生数据的多少个重新加密拷贝的控制命令包括在步骤(e)的命令集中。这能够使用于管理加密的控制命令指定允许拷贝的数量，并因此限制和管理能够产生用于数据备份和共享的有效拷贝的数量。另外，因为内容与唯一的用户相联系，所以能够进行监视和审核。

另外，也可以将指示在允许重新加密之前必须由接收器应用的条件的控制命令包括在步骤(e)的命令集中。这能够使用于管理重新加密的控制命令定义用于接收器的特定条件，其结果是信源能够定义将由接收器应用的条件。例如，信源能够指定接收器必须遵从一特定安全标准，以便购买某一高价数据。

也可将在步骤(c)中发送的加密密钥包括在步骤(e)的命令集中。指定重新加密数据能被复制的次数的控制命令必须从信源发送出来并且不是接收器内置控制命令集的一部分。可通过将其包括在所述命令集中来有效定义这些控制命令。

可通过信源的命令集至少部分的控制步骤(e)。在该情况下，控制命令被存储在信源中并且加密发生在信源侧。这能够使对应于数据创建者或所有者的信源能够完全控制重新加密处理。另外，在接收器中存储用于管理重新加密的控制命令具有能够使接收器独立的控制重新加密的效果。

下面将参照图9A、9B和图10说明用于检验许可证在根据本发明第一实施例的安全容器中的存在情况的方法的示例。注意通过该方法，安全容器被装配在接收器中，并且是在没有向信源披露存储在接收器中的许可证细节的情况下来检验许可证的存在情况。

如果信源想要获得在接收器的许可证池中存储有有效许可证的验证，则信源必须请求接收器使用安全通道发送验证证书。接收器511(安全容器500)产生涉及从信源510发送至接收器511的请求(询问)的验证证书。然后接收器511通过安全通道将产生的证书发送给信源510。

该询问用于询问响应协议，其是一种验证协议。客户机(接收器)DRM系统使用嵌入到许可证中的私密密钥来签名询问。服务器(信源)使用也是许可证一部分并且还可与许可证相关联的公共密钥来校验签名。因此服务器能够检验DRM系统是否具有许可证和是否响应具有正确信任度的请求。例如，用户能够在智能卡中键入他自己的私密代码(询问)并获取登录另一个系统的新代码(应答)。

如图9A所示，用于证实存在许可证的处理被分成六个步骤：(a)信源和接收器进行的共同验证；(b)打开信源和接收器之间的安全数据通道；(c)发送为用于许可验证的请求的询问；(d)接收器使用询问和许可证数据产生唯一的验证；(e)将唯一的验证发送给信源；和(f)信源校验在应答中接收的验证。

图9B表示在根据本发明第一实施例的安全容器中进行的上述步骤(d)中的用于产生许可证验证的处理。会话管理器502在请求许可证验证的会话中从信源510接收询问，并且处理器1801运行用于产生许可证验证的处理并输出结果得到的许可证验证1804。产生证实许可证存在的许可证验证的处理器1801由证书产生器1802和数据附加单元1803构成，所述证书产生器1802用于产生包含来自许可证所必需的信息的证书(应答)，所述数据附加单元用于为许可证中的任选项添加数据。当信源510请求验证许可证时，会话密钥产生器910产生会话密钥和询问。从许可证管理引擎506输出的许可证被发送给证书产生器1802。应该注意许可证假定存储在存储器504中。证书产生器1802使用所述会话密钥和询问产生验证证书。然后根据需要对获得的证书应用来自使用规则管理器505的使用规则。如果许可证包含任选项，则数据附加单元1803将来自许可证管理引擎506的元数据和附加许可证数据添加给证书。然后使用可能是必须的会话密钥对该新的证书进行加密，然后输出经加密的许可证验证1804。该输出的许可证验证1804并不传达许可证本身的内容，而仅证实许可证的内容是正确的。通过I/O端口501将所述输出的许可证验证1804发送给信源510。因此信源510通过执行图9A中的步骤(c)、(d)和(e)而能够确定接收器或安全容器500具有适当的许可证。

在需要时于该证书的验证中披露许可证内容以显示拥有许可证可能会导致非法使用或篡改内容。结果，当不要揭露许可证的内容时，该验证或证书仅显示存在有效许可证的证据。例如，对于电子票据重要的是保持有效票据的证据，并且因此不需要揭露加密的内容。

元数据为与许可证或验证证书不直接相关的数据。在电影院使用电子票的情况下，例如，使用元数据来表示诸如座位号和免费饮料之类的附加信息，但并不局限于此。

图10为表示用于在根据本发明第一实施例的安全容器中产生许可证验证的处理的例子的流程图。首先，会话管理器502通过I/O端口501从信源510接收请求许可证验证的询问并开始处理所述询问。

许可证管理引擎506从存储器504(许可证池)得到请求的许可证，并将获取的许可证数据传送给使用规则管理器505。使用规则管理器505基于该接收的许可数据确定使用规则，应用使用规则，并确定询问是否为有效的(1901)。

如果询问是无效的(1901回答否)，则处理结束。如果未将请求的许可证存储在存储器504中，则请求(询问)也被看作是无效的并且处理结束。如果请求是有效的(1901回答是)，则证书产生器1802和数据附加单元1803使用许可证和询问产生验证证书(1902，1903，1904，1905，1906)。更加具体地说，首先产生包含基本许可项的证书(1902)。然后确定是否有任何任选许可项(1903)，并且如果有任选许可项，则添加那些项(1904)。然后确定是否需要对产生的证书进行加密(1905)，如果需要则对证书进行加密(1906)。应该注意，数据附加单元1803可省略，并且证书产生器1802可被配置用于产生包含基本许可项和任选项的证书。

然后使用规则管理器505应用使用规则并确定是否需要将附加数据添加到证书中(1903)。如果需要添加附加数据(1903回答是)，则许可证管理引擎506从许可证中提取将被添加的数据并将所述数据添加到证书中(1904)。

然后使用规则管理器505应用使用规则以确定是否需要对证书进行加密(1905)。如果需要加密(1905回答是)，则加密引擎507使用会话密钥对证书进行加密(1906)。最后，会话管理器502通过I/O端口将产生的证书输出给信源510。

应该注意请求基于使用规则是否为有效的在使用电子票的情况下指的是写在使用规则中的票能够使用的截止有效期和次数，并且如果适用，则确定票是否为有效可用票。许可证是否为有效在该例子中是使用使用规则确定的，但许可证数据文件的名字和创建日期可通过系统或外部设备来评估。

使用电影院的电子票，例如，任选数据可以是用于选择观众以调查电影观后评论的标记，但任选数据不应被如此限制。

发布对于特定许可证唯一的证书的优点为接收器不需要向信源发送详细的许可证信息。该证书也可用在使用许可证而非电子票的电子票据系统中。

另外，通过使用Diffie-Hellman密钥一致性协议打开安全容器和接收器之间的安全连接(b)，但使用通常的开启信源方法也能够打开安全连接。

可使用CPRM打开安全容器和接收器之间的安全连接(b)。使用CPRM允许在所有兼容CPRM的环境中使用该系统，包括SD卡。

通过命令集来控制用于产生证书的步骤(d)。这能够使用于管理证书产生的控制命令对如何产生证书产生影响，并能够使许可证发布者控制如何产生证书。

在用于产生证书的步骤(d)中可使用单向散列函数，由此使其能够产生加密的安全证书。

可在用于产生证书的步骤(d)中使用来自信源的公共密钥对询问和证书进行加密。其优点是信源和安全容器之间的连接不需要是安全的。在该情况下的安全性通过公共密钥加密方法来提供。在该情况下，可将信源的公共密钥嵌到许可证中。

在用于产生证书的步骤(d)中将证书发送给信源之前，可使用嵌入到许可证中的密钥来加密证书。在该情况下，只有许可证发布者和可信的第三方才能解密证书。另外，如果信源能够解码证书，则可将信源看作是允许方，并且信源并不需要对安全容器校验本身。

另外，在用于将证书发送给信源的步骤(d)中，可将证书连同嵌入到许可证中的附加数据一起发送给信源。由此就提供了电子票。

此外，在将其中已经附加了包含于许可证中的附加数据的证书发送给信源之前，能够使用嵌入到许可证中的密钥(会话密钥)来加密证书或附加数据，或二者都加密。由此就提供了电子票。

也可以将指示应将许可证中包含的什么数据添加给证书的信息包括在命令集中。这允许在管理证书产生的控制命令中包括指示许可证中包含的什么数据应包括在证书中的信息，因此使其能够将嵌入到许可证中的特定元数据(例如内容有效期数据和有效区域码)附加到证书中。

在命令集中还可以包括随机数据。更加具体地说，将随机数据添加到证书中，然后对证书进行加密。其优点是可使经加密的随机证书看起来像随机数据，由此能够消除与另一个先前递交的许可证书的任何明显关联。

下面将参照图11A、图11B和图12说明在根据本发明第一实施例的安全容器中改变许可条件信息的方法的例子。该许可条件信息按照需要分配给许可证或者被嵌入到许可证中。为了改变许可条件信息，首先通过相互验证在信源和安全容器之间建立安全通道。然后将改变许可条件信息的请求从信源发送给安全容器，并且安全容器对接收的请求进行处理。如果改变许可条件信息成功，则安全容器将改变的证书发送给信源。使用该证书，信源能够校验请求变化的结果。注意安全容器假定是在接收器中。

如图11A所示，用于改变许可条件信息的处理包括七个步骤：(a)通过信源和接收器进行相互验证，(b)打开信源和接收器之间的安全数据通道，(c)将改变许可条件信息的请求和询问发送给接收器，(d)接收器对许可证应用请求的变化，(e)信源使用询问和许可证数据产生唯一的证书，(f)将获得的唯一的证书发送给信源，和(g)信源对接收的证书进行检验。

图11B示意地表示由根据本发明第一实施例的安全容器运行的用于产生许可验证然后改变那个许可证的处理。会话管理器502在许可证的会话请求验证中从信源510接收询问，运行产生许可证验证的处理，运行处理2101以改变许可证，并输出产生的证书2105。产生该许可证验证然后改变许可证的处理器2101由用于改变许可条件信息的处理器2102、用于产生验证的处理器2103和用于添加数据的处理器2104构成。改变许可条件信息的请求和询问被发送给会话管理器502，从许可证管理引擎506获取许可证，然后根据接收的变化请求修改许可证数据。存储在许可证管理引擎506中的许可证被更新为该修改的许可证，并使用该询问产生一个证书。然后应用来自使用规则管理器505的相关使用规则，并且如果有请求，则就将来自许可证的数据和元数据添加到证书中。如果需要，新产生的证书也由加密单元2106使用会话密钥进行加密，并输出该证书2105。注意也对输出数据包(指示证书2105)应用使用规则。

图12为由根据本发明第一实施例的安全容器运行的用于改变许可证和产生许可证验证的示例性处理的流程图。首先，会话管理器502从信源接收并开始处理改变许可条件信息的请求和用于许可证验证的请求。

许可证管理引擎506从存储器504(许可证池)读取相应的许可证，并将取还的许可数据传送给使用规则管理器505。使用规则管理器505基于该接收的许可数据确定使用规则，应用使用规则，并确定询问是否为有效(2201)。

如果询问(请求)无效(2201回答否)，则处理结束。如果相应的许可证未存储在存储器504中，则也可以确定请求无效和处理结束。如果请求有效(2201回答是)，则许可证管理引擎506基于接收的改变许可条件信息的请求改变许可条件信息(2202)，并将存储在存储器504(许可证池)中的许可证更新为改变的许可证(2203)。

然后加密引擎507使用许可证和询问产生证书(2204)。

然后使用规则管理器505应用使用规则以确定是否必须将附加数据添加到证书中(2205)。如果附加数据是必需的(2205回答是)，则许可证管理引擎506从许可证提取将被添加的数据并将所述数据添加到证书中(2206)。如果添加数据不是必需的(2205回答否)，则不附加所述数据。

使用规则管理器505应用使用规则以确定是否需要对证书进行加密(2207)。如果需要加密(2207回答是)，则加密引擎507使用会话密钥加密证书(2208)。最后，会话管理器502通过I/O端口501将得到的证书发送给信源510。

何时需要改变许可条件的例子包括年度许可证和会员服务，对此例如通过支付年度会员费来延长许可证的有效性。特定的例子包括软件许可证和在线杂志订阅。涉及多种电子票据的其它例子例如包括在某一周期内能够使用十次的训练票的应用程序。在该情况下，许可条件被改变以在每次使用票据时减少剩余使用的数目，并且在到达截止日期使使所述票据无效。

该方法的优点包括通过改变许可条件信息而能够提供双向或多样电子票，并能够限制许可证所涵盖的数字数据的使用。这些益处将在下面进一步说明。

在允许改变许可证的系统中，未由所述系统管理的许可证变化的可能性增加，且涉及安全的危险增加。然而，通过在许可证中包括一个或多个可变化的值，和在使用规则中定义改变许可证的方法和有效变化的范围，这些涉及安全的危险能被降低，并且能够安全改变许可证。

许可条件的一个例子是往返票，其中外出启程部分是一个许可证条件，而返回部分是第二个条件。一旦使用了返程票，则自动使往返票作废。如果允许只改变许可证条件，则通过保护用于解码内容的密钥而能够改进安全性。另一个例子是将即电影内容能够被重放的次数和时间周期定义为条件的许可证。如果数字数据用于电影内容，则许可证条件信息被更新直到满足定义的条件。当重放数和时间满足定义的条件时，许可证变成无效并且不能再使用数字数据。

另外，通过使用Diffie-Hellman密钥一致性协议来打开安全容器和接收器之间的安全连接(b)，能够使用普通的开启信源方法打开一个安全连接。

还可使用CPRM打开安全容器和接收器之间的安全连接(b)。使用CPRM允许在所有兼容CPRM的环境中使用该系统，包括SD卡。

通过命令集来控制用于产生证书的步骤(e)。这能够使用于管理证书产生的控制命令对如何产生证书产生影响，并能够使许可证发布者控制如何产生证书。

在用于产生证书的步骤(e)中可使用单向散列函数，由此使其能够产生加密的安全证书。

可在用于产生证书的步骤(e)中使用来自信源的公共密钥对询问和证书进行加密。其优点是信源和安全容器之间的连接不需要是安全的。在该情况下的安全性通过公共密钥加密方法来提供。在该情况下，可将信源的公共密钥嵌到许可证中。

在用于产生证书的步骤(e)中将证书发送给信源之前，可使用嵌入到许可证中的密钥来加密证书。在该情况下，只有许可证发布者和可信的第三方才能解密证书。另外，如果信源能够解码证书，则可将信源看作是允许方，并且信源并不需要对安全容器校验其本身。

另外，在用于将证书发送给信源的步骤(e)中，可将证书连同嵌入到许可证中的附加数据一起发送给信源。由此就提供了电子票。

此外，在将其中已经附加了包含于许可证中的附加数据的证书发送给信源之前，能够使用嵌入到许可证中的密钥(会话密钥)来加密证书或附加数据，或二者都加密。由此就提供了电子票。

也可以将指示应将许可证中包含的什么数据添加给证书的信息包括在命令集中。这能够将包含许可证中的特定元数据附加到证书中。

在命令集中还可以包括随机数据。更加具体地说，将随机数据添加到证书中，然后对证书进行加密。其优点是可使经加密的随机证书看起来像随机数据，由此能够消除与另一个先前递交的许可证书的任何明显关联。

图15为根据本发明第一实施例的系统的示意图。该系统至少由两个组件构成，即内容提供商300，其是并在下面称作为服务器，和包含DRM(数字权限管理)终端308的客户机318。还可以包括PC319，用于存储从服务器接收的内容。服务器300和客户机318可通过网络进行连接，并且客户机318是用于处理(包括存储和播放)通过网络从服务器300获得的内容的装置。当从服务器300的内容存储装置301获取内容时，服务器300使用与内容联系起来的许可证(密钥)303对将要分发的内容进行加密。该许可证303使用在DRM终端308和服务器300之间的会话中定义的会话密钥304进行加密(305)，然后将加密的许可证发送给DRM终端308。DRM终端308接收加密的许可证，使用会话密钥311解码许可证(309)，并将解密的许可证存储在许可证存储装置310中。应该注意在本例子中许可证是使用会话密钥进行解密的，但可将加密的许可证存储在许可证存储装置310中。

从服务器300获得的内容被存储在客户机318的内容存储装置317中。注意，可将所述内容存储在PC319的内容存储装置307中。为了播放从服务器300获得的该内容，把要播放的内容传送给DRM终端308，然后使用存储在许可证存储装置310中的有关许可证解密内容(312)。还能够使用在解密之后对内容进行重新加密的代码转换(312)。在DRM终端308和客户机318之间进行的会话中定义的会话密钥313用于进行代码转换。客户机318从DRM终端308获取内容，根据需要使用会话密钥314解密内容，并将解密的内容输出给某一种介质，例如以便播放获取的内容。

许可证301包括使用规则或加密的部分。许可证密钥302是涉及许可证301加密的一个部分，在一个许可证中可包括一个以上的许可证密钥。

客户机318可以是终端用户设备或任何其它用于获取内容的设备。DRM终端308是布置在客户机318中的DRM系统，并且可将其固定在客户机318中，或者它是可拆除的。包含DRM系统的存储卡是可拆除结构的一个例子。

会话密钥是用于加密和解密以确保安全连接的临时密钥。会话密钥只对于作为通信连接的会话被开启的时间和场合才是有效的。

图16为根据本发明第一实施例的另一个系统的示意图。该系统至少由三个组件构成，即内容提供商300，其是并在下面称作为服务器，包含DRM终端308的客户机318，和外部存储介质400。该系统与图15中所示的系统基本相同，不同之处在于内容数据仅被存储在外部存储介质400(或外部存储装置)上。为了播放从服务器300获取的内容，把要播放的内容被从外部存储介质400发送至客户机318的DRM终端308，并使用存储在许可证存储装置310中的相关许可证进行解密(312)。

还能够使用在解密之后对内容进行重新加密的代码转换(312)。在DRM终端308和客户机318之间进行的会话中定义的会话密钥313用于进行代码转换。客户机318从DRM终端308获取内容，根据需要使用会话密钥314解密内容，并将解密的内容输出给某一种介质，例如以便播放获取的内容。

用户可例如使用基于卡的系统在线购买许可证。当完成进行采购的验证时，所述系统打开与许可证发布器(服务器300)的安全连接。然后对请求的许可证数据进行加密并将其发送给所述系统。然后所述系统对加密的许可证数据进行解密(309)，确认它是否有效，然后将所述许可证数据存储在许可证存储装置310中。如果命令集，即使用规则指示以加密的状态存储许可证，则使用系统内置的唯一私密设备密钥对许可证进行加密，然后将加密的数据存储在许可证存储装置310中。

如果用户想要播放音频内容，例如DRM终端308首先试图进行验证，并且如果验证成功，则打开与用户客户机重放装置(客户机318)的安全连接，并准备会话密钥(313，314)。当发布会话密钥(313，314)时，将期望的内容发送给DRM终端308。使用嵌入到许可证中的密钥对内容进行解密(312)并使用会话密钥对其进行重新加密(312)，然后将其发送给客户机重放装置(客户机318)。使用特定的会话密钥314对从DRM终端308发送给客户机318的内容进行解密，对客户数据路径(315)进行处理，然后将解密的内容发送给客户机318的介质输出端316。

如果需要对与新许可证相关的特许数据重新进行加密，则首先将内容从客户机318发送至DRM终端308，使用现有的许可证对其进行解密，然后使用新发布的许可证重新进行加密，再然后将其返回给客户机318。在该情况下，使用与原始许可证相关的命令集(使用规则)来控制和检验内容重新加密处理。

如果作为电子票据服务的一部分，例如，权利所有者要求将许可证的验证发给DRM系统，则通过本发明就不需要向客户机发送比证实拥有许可证所需的许可证数据多的许可证数据。当客户机或权利所有者通过DRM系统成功地进行了验证时，它们之间的安全连接就被打开并创建一会话密钥。当权利所有者或客户机向DRM系统请求验证时，DRM系统就产生一个证书。在该证书中还可包括任选数据。如果附加至许可证的控制命令集，即使用规则能够证实有许可证，则可对产生证书产生影响。控制命令集可例如要求对每个证书请求发布不同的证书，或者证书是随机的，并由此能够对证书的创建产生影响。

如果权利所有者请求改变许可证条件，例如请求多种电子票据，则用于请求的变化的控制命令就被包括在用于许可证验证的请求中。在这些控制命令中定义了将对许可证条件应用什么种类的变化。DRM系统应用请求的变化，并将已经添加了更新的规则数据的许可证书返回给请求证书的一方。

(第二实施例)

图2为表示根据本发明第二实施例的安全容器的结构的功能框图。

该安全容器600与根据第一实施例的安全容器的相同之处在于具有I/O端口501、会话管理器502、许可证管理引擎506、使用规则管理器505、加密引擎507、存储器管理单元503和存储器504，不同之处在于另外具有设备相关密钥存储器601和日志管理引擎602。

下面将说明本发明第二实施例的附加组件。

设备相关密钥存储器601不仅能存储一个而且能存储多个用于加密和解密的密钥，所述密钥对于每个客户机系统是唯一的。当加密引擎507使用共享的密钥加密算法加密和解密许可证数据时，它就使用来自该设备相关密钥存储器601的设备相关密钥。设备相关密钥对于每个设备是唯一的，并且难于编码或预先存储在设备中。如果设备相关密钥并不涉及用户信息，则将其看作是匿名的。如果以匿名的方式存储许可证，则使用设备相关密钥或内置密钥。

日志管理引擎602记录并存储通过安全容器处理的许可证条件的变化作为日志数据。从会话管理器502接收在由加密引擎507运行的会话、加密和解密处理期间来自通信交易的日志数据，并被记录和存储为日志数据。

这允许使用对于系统唯一的密钥加密内容，并能够对数据偷盗和篡改提供更强的保护。另外，系统制造商或可信的第三方能够识别出安全容器或存储在安全容器中的数字许可证数据何时已经被篡改了或滥用了。

下面将参照图13A、图13B和图14说明在根据本发明第二实施例的安全容器中进行的存储许可证的方法的例子。当通过安全容器和信源成功的进行了相互验证时，建立一个安全通道。将通过该安全通道接收的许可数据存储在安全容器内部的内部存储器中。假定安全容器在接收器中。

如图13A所示，用于存储许可证的处理具有四个步骤：(a)通过信源和接收器进行相互验证，(b)打开信源和接收器之间的安全数据通道，(c)通过所述安全数据通道将许可证从信源发送至接收器，和(d)将许可证存储在接收器中。

图13B示意地表示在根据本发明第二实施例的安全容器中存储许可证的处理。会话管理器502接收加密的许可证，并执行用于保存许可证的处理2402。通过许可证管理引擎506和存储器管理单元503将许可证存储到存储器504中。用于保存许可证的处理2402由解密2403和加密2404组成。

从信源510发送的加密许可证被输入给会话管理器502。会话密钥产生器910基于与信源510进行的会话产生一会话密钥，并使用该会话密钥对加密的许可证进行解密。所述解密的内容还包含使用规则，并应用这些使用规则。如果需要，然后就对解密的许可证重新进行加密。来自设备相关密钥存储器601的设备相关密钥用于进行重新加密。将该解密的或重新加密的许可证存储在许可证池中(未示出)。

图14为表示在根据本发明第二实施例的安全容器中存储许可证的处理的一个例子的流程图。会话管理器502首先通过I/O端口501从信源510接收加密的许可证，并开始处理。可使用从信源510通过不同路线(例如邮件)发送的用户私密密钥(唯一ID)对接收的许可证进行解密，或者可使用设备相关密钥(匿名的)对其进行解密。

许可证管理引擎506确定所接收的许可证是否为唯一可识别的，即是否具有唯一的ID(2501)。如果许可证是唯一可识别的(2501回答“唯一ID”)，则加密引擎507使用具有相应ID的用户的私密密钥来解码许可证(2502)。如果许可证是匿名的(2501回答“匿名的”)，则加密引擎507使用设备相关私密密钥(设备相关密钥601)来解码许可证(2503)。许可证管理引擎506确定解码的许可证是否有效(2504)，如果许可证无效(2504回答否)，则处理结束。

许可证管理引擎506将解码的许可证发送给使用规则管理器505。使用规则管理器505基于接收的许可证确定使用规则，应用这些使用规则，并确定是否需要进行许可证加密(2505)。

如果需要进行许可证加密(2505回答是)，则加密引擎507使用设备相关私密密钥(设备相关密钥601)对解码的许可证进行加密(2506)。如果不需要进行加密(2505回答否)，则不应用加密。许可证管理引擎506将解密的许可证或重新加密的许可证存储到存储器504(许可证池)中(2507)。

唯一ID许可证是使用用户私密密钥加密的并存储在许可证池(许可证管理引擎)中的许可证。用户私密密钥包含涉及用户的信息，例如密码，并且被登记为属于系统用户的信息。然而，用于加密的用户私密密钥不是公用的，甚至用户不能保留除存储在系统中的密钥之外的拷贝。该私密密钥由内容提供商、系统制造商或可信的第三方来提供，或者由所述设备在内部产生。

也可使用其中用于加密的密钥和用于解密的密钥不同的公共密钥加密。如果使用公共密钥，则用于加密的公共密钥由设备来提供。然而，涉及加密密钥的解密密钥不能在任何期望的时间仅使用加密密钥来计算。

为了将许可证保存在安全容器中，由此通过一个安全数据通道将许可证数据从信源发送给接收器，并将其存储在接收器的存储器中。许可证数据作为纯文本永远不会泄漏出去。

另外，通过使用Diffie-Hellman密钥一致性协议打开安全容器和接收器之间的安全连接，就能够使用普通的开启信源方法来打开一个安全连接。

另外，也可使用CPRM来打开安全容器和接收器之间的安全连接。使用CPRM允许在所有兼容CPRM的环境中使用该系统，包括SD卡。

用于保存许可证的另一种方法包括下列步骤：(a)通过信源和接收器进行相互验证，(b)将有关接收器的公共密钥发送给信源，(c)将使用有关接收器的公共密钥加密的许可证从信源发送给接收器，和(d)接收器使用有关接收器的私密密钥解密许可证。在该情况下，当通过安全容器和信源成功进行了相互验证时，将有关设备的公共密钥发送给信源。信源使用接收的公共密钥对许可证数据进行加密，并将加密的数据发送给安全容器。然后安全容器将接收的数据存储在内部存储器中。

也可结合地使用上述的实施例。

因此，为了在安全容器中保存许可证，将许可证数据从信源安全地发送给接收器，并将其安全的保存在接收器的存储器中。许可证数据作为纯文本永远不会被泄漏。

(本发明的有益效果)

因此，借助本发明能够自由播放合法获得的内容，而不会被限制使用专用重放硬件或具有唯一ID的兼容PC硬件，并通过提供加密算法和安全存储和传送数字许可证数据的协议确保了许可证数据的安全管理。

另外，对于系统唯一的密钥可用于内容加密，由此能够对数据偷盗和篡改提供加强的保护。另外，系统制造商或可信的第三方能够识别出对安全容器或存储在其中的数字许可证数据的篡改或滥用。

另外，本发明可用于连线和未连线的所有类型的媒体发布，并且不局限于任何特定的平台或媒体类型。除了数字内容和媒体权限保护外，本发明还可应用于软件、编程发布和其它基于许可证的保护方案。

(工业应用)

本发明可用于数据保护管理设备和数据保护管理方法。

Claims (20)

1.一种数据保护管理系统，允许在保护和管理通信数据的同时，在发送器和接收器之间进行许可证和加密内容的数据通信，所述数据保护管理系统包括：

会话管理器，用于执行从发送器获取许可证和加密内容的处理；

许可证管理引擎，用于存储和管理通过会话管理器获取的许可证；和

存储器，用于存储许可证；

其中当接收到询问时，其为用于许可证验证的请求，会话管理器产生一个校验许可证的证书并将产生的证书发送给接收器。

2.如权利要求1所述的数据保护管理系统，还包括使用规则管理器，用于确定与许可证相关的使用规则，并应用使用规则以处理许可证和内容中的至少一个。

3.如权利要求1所述的数据保护管理系统，其中所述会话管理器对证书进行加密。

4.如权利要求1所述的数据保护管理系统，其中所述会话管理器将一任选项从许可证添加至证书。

5.如权利要求4所述的数据保护管理系统，其中使用包含在许可证中的密钥来加密所述任选项数据。

6.如权利要求2所述的数据保护管理系统，其中使用规则包括用于根据许可证确定将被添加到证书中的数据的信息。

7.如权利要求1所述的数据保护管理系统，其中当从接收器接收到许可证变化时，会话管理器在变化之前从许可证管理引擎读取许可证，改变许可证，并将改变的许可证保存在许可证管理引擎中。

8.如权利要求1所述的数据保护管理系统，其中会话管理器使用所述密钥来解密内容。

9.如权利要求1所述的数据保护管理系统，其中会话管理器对解密的内容重新进行加密。

10.如权利要求9所述的数据保护管理系统，其中用于进行重新加密的密钥是根据来自发送器的信息产生的。

11.一种数据保护管理方法，允许在保护和管理通信数据的同时，在发送器和接收器之间进行许可证和加密内容的数据通信，所述数据保护管理方法包括：

用于执行从发送器获取许可证和加密内容的处理的会话步骤；

用于存储和管理通过会话管理器获取的许可证的步骤；

用于存储解密加密的内容所需的密钥的步骤；和

用于存储许可证的步骤；

其中当接收到询问时，其为用于许可证验证的请求，会话步骤产生一个校验许可证的证书并将该产生的证书发送给接收器。

12.如权利要求11所述的数据保护管理方法，还包括用于确定与许可证相关的使用规则的步骤，和应用使用规则以处理许可证和内容中的至少一个的步骤。

13.如权利要求11所述的数据保护管理方法，其中所述会话步骤对证书进行加密。

14.如权利要求11所述的数据保护管理方法，其中所述会话步骤将一任选项从许可证添加至证书。

15.如权利要求14所述的数据保护管理方法，其中使用包含在许可证中的密钥来加密所述任选项数据。

16.如权利要求12所述的数据保护管理方法，其中使用规则包括用于根据许可证确定将被添加到证书中的数据的信息。

17.如权利要求11所述的数据保护管理方法，其中会话步骤包括：当从接收器接收到许可证变化时，在变化之前从许可证管理引擎读取许可证，改变许可证，并将改变的许可证保存在许可证管理引擎部分中。

18.如权利要求11所述的数据保护管理方法，其中会话步骤使用所述密钥来解密内容。

19.如权利要求18所述的数据保护管理方法，其中会话步骤对解密的内容重新进行加密。

20.如权利要求19所述的数据保护管理方法，还包括根据来自发送器的信息产生用于进行重新加密的密钥的步骤。

Images