DE10297223T5

DE10297223T5 - Verfahren zur Gewährleistung einer Datenbanksicherheit

Info

Publication number: DE10297223T5
Application number: DE10297223T
Authority: DE
Inventors: Richard Forest Grove Mangold; Curtis Lake Oswego Jutzi; Ajit Hillsboro Joshi
Original assignee: Intel Corp
Current assignee: Intel Corp
Priority date: 2001-09-17
Filing date: 2002-08-08
Publication date: 2004-09-02
Also published as: US20030056210A1; WO2003025720A3; CN1310107C; GB2396937A; TWI243296B; GB0407049D0; US6938015B2; CN1555518A; HK1062593A1; WO2003025720A2; GB2396937B

Abstract

System umfassend:
einen Server-Computer;
ein erstes Übertragungsmedium, das mit dem Server-Computer gekoppelt ist; und
einen Client-Computer, der mit dem ersten Übertragungsmedium gekoppelt ist, wobei der Client-Computer eine Sicherheitskomponente umfaßt, die einen exklusiven Zugang zu einem Protokoll hat, das im Client-Computer gespeichert ist.

Description

Copyright-Hinweis
Dieses Dokument enthält Material, das dem Urheberrechtsschutz unterliegt. Der Urheberrechtsinhaber hat keine Einwände gegen eine Faksimilewiedergabe der Patentoffenbarung durch bestimmte Personen, wenn sie bezüglich der Patentakten oder -unterlagen des Patent- und Markenamtes erfolgt, behält sich jedoch ansonsten alle Urheberrechte vor.
Gebiet der Erfindung
Die vorliegende Erfindung betrifft Computersysteme. Insbesondere betrifft die vorliegende Erfindung die Sicherheit von Datenbanken.
Hintergrund
Ein Aufsatzgerät ist eine Vorrichtung, die dazu geeignet ist, Audio- und Videoinhalte abzuspielen. Aufsatzgeräte beinhalten typischerweise ein Journal gebührenpflichtiger und nicht gebührenpflichtiger Aktivitäten, das häufig zu einer zentralen Datenbank in einem Servercomputer übertragen wird. In Aufsatzgeräten ablaufende gebührenpflichtige Aktivitäten erfordern häufig gesicherte Transaktionen. Typischerweise wird das Journal der Aktivitäten lokal auf der Festplatte des Aufsatzgerätes gespeichert. Jedoch sind die meisten Aufsatzgeräte ungesicherte Umgebungen, die einem Systemnutzer zugänglich sind. Folglich kann ein Nutzer eines Aufsatzgerätes einfach auf das Journal der gebührenpflichtigen Aktivitäten zugreifen, um das Journal zu verändern, womit somit der durch den Server zur Verfügung gestellte Dienst möglicherweise betrogen werden kann.
Kurzbeschreibung der Zeichnungen
Die vorliegende Erfindung wird anhand der nachfolgend angegebenen detaillierten Beschreibung und den begleitenden Zeichnungen verschiedener Ausführungsformen der Erfindung umfassend verständlich werden. Die Zeichnungen sollten jedoch nicht als eine Beschränkung der Erfindung auf bestimmte Ausführungsformen angesehen werden, sondern sind lediglich zur Erläuterung und für ein besseres Verständnis angegeben.
1 veranschaulicht eine Ausführungsform eines Systems;
2 ist ein Blockdiagramm einer Ausführung eines Computersystems;
3 ist ein Blockdiagramm einer Ausführungsform einer Ursprungsvorrichtung und einer Empfangsvorrichtung;
4 ist ein Flußdiagramm einer Ausführungsform der Funktionsweise einer Empfangsvorrichtung;
5 ist ein Flußdiagramm einer Ausführungsform zur Generierung eines Protokolls; und
6 ist ein Flußdiagramm einer Ausführungsform für ein sicheres Übertragen eines Protokolls.
Detaillierte Beschreibung
Es wird ein Verfahren zur Gewährleistung einer sicheren Speicherung und Übertragung von Datenbanken und Protokollen beschrieben. Gemäß einer Ausführungsform ist ein Gebührenprotokoll sicher in bzw. bei einem Client-Computersystem gespeichert. Entscheidet sich ein Nutzer am Client-Rechner dafür Inhalte abzuspielen, die ursprünglich von einem Ursprungsgerät über ein Übertragungsmedium erhalten wurden, wird ein Gebührendatensatz zu einer Sicherheitskomponente im Client übertragen. Bei einer Ausführungsform zeigt der Gebührendatensatz an, daß dem Client-Nutzer für den Empfang des Inhalts eine Gebühr berechnet werden sollte. Der Gebührendatensatz wird am Client in ein Protokoll eingegeben. Das Protokoll wird beim Client verschlüsselt, signiert und gespeichert.
Gemäß einer anderen Ausführungsform wird das Gebührenprotokoll sicher zu einem Server übertragen. Eine Gebührenkomponente im Client empfängt das Protokoll von der Sicherheitskomponente. Die Gebührenkomponente überträgt das Protokoll zu einer Gebührenkomponente im Server. Das Gebührenprotokoll wird nachfolgend an einer Sicherheitskomponente im Server empfangen, wo es entschlüsselt, verifiziert und in einer Datenbank gespeichert wird. Nachfolgend überprüft die Sicherheitskomponente die Gültigkeit eines mit dem Protokoll empfangenen Tokens. Als ein Ergebnis wird das Protokoll validiert und das Token mit einem in der Datenbank gespeicherten Token verglichen. Bei einer weiteren Ausführungsform werden danach ein neues Protokoll und ein neues Token erzeugt und zum Client übertragen. Das neue Token wird in der Datenbank für nachfolgende Vergleiche gespeichert.
In der folgenden Beschreibung werden verschiedene Einzelheiten dargelegt. Für den Fachmann ist jedoch offensichtlich, daß die vorliegende Erfindung ohne diese speziellen Einzelheiten ausgeführt werden kann. Bei anderen Beispielen werden gut bekannte Strukturen und Vorrichtungen in der Form von Blockdiagrammen und nicht im Detail gezeigt, um eine Verschleierung der vorliegenden Erfindung zu vermeiden.
Eine Bezugnahme in der Beschreibung auf „eine einzige Ausführungsform" oder „eine Ausführungsform" bedeutet, daß ein bestimmtes Merkmal, eine bestimmte Struktur oder Eigenschaft, die im Zusammenhang mit der Ausführungsform beschrieben ist, von zumindest einer Ausführungsform der Erfindung umfaßt ist. Das Auftreten des Textes „in einer Ausführungsform" an verschiedenen Stellen in der Beschreibung bedeutet nicht notwendigerweise, daß sich diese Textstellen alle auf dieselbe Ausführungsform beziehen.
Einige Abschnitte der nachfolgenden detaillierten Beschreibung sind als Algorithmus und symbolische Darstellungen von Operationen auf Datenbits in einem Computer-Speicher dargestellt. Diese algorithmischen Beschreibungen und Darstellungen sind die Mittel, die von Fachleuten auf dem Gebiet der Datenverarbeitung verwendet werden, um anderen Fachleuten den Inhalt ihrer Arbeit in der effizientesten Weise mitzuteilen. Ein Algorithmus ist hier und im allgemeinen als eine selbstkonsistente Folge von Schritten, die zu einem gewünschten Resultat führen, konzipiert. Die Schritte sind solche, die physikalische Manipulationen physikalischer Größe erfordern. Für gewöhnlich, jedoch nicht notwendigerweise, nehmen diese Größen die Form elektrischer oder magnetischer Signale an, die dazu geeignet sind, gespeichert, übertragen, kombiniert, verglichen und in anderer Weise manipuliert zu werden. Es hat sich zuweilen, hauptsächlich aus Gründen einer allgemeinen Verwendung, als praktisch erwiesen, auf diese Signale als Bits, Werte, Elemente, Symbole, Schriftzeichen, Ausdrücke, Zahlen oder dergleichen Bezug zu nehmen.
Man vergegenwärtige sich jedoch, daß alle diese und ähnliche Ausdrücke den geeigneten physikalischen Größen zuzuordnen sind und lediglich geeignete, diesen Größen auferlegte Kennzeichnungen darstellen. Sofern nicht anders erläutert und wie sich offensichtlich aus der folgenden Erläuterung ergibt, beziehen sich in der gesamten Beschreibung Erläuterungen, bei welchen Ausdrücke wie „verarbeiten", „berechnen", „kalkulieren", „bestimmen", „anzeigen" oder dergleichen verwendet werden, auf die Wirkung und die Prozesse eines Computersystems oder einer ähnlichen elektronischen Berechnungsvorrichtung, mit der Daten, die als physikalische (elektronische) Größen in den Registern und Speichern des Computersystems dargestellt sind, in andere Daten, die in ähnlicher Weise als physikalische Größen in den Speichern oder Registern oder anderen derartigen Informationsspeichern, Übertragungs- oder Anzeigevorrichtungen des Computersystems dargestellt sind, manipuliert und übertragen werden.
Die vorliegende Erfindung betrifft auch eine Vorrichtung zur Durchführung der hier dargestellten Operationen. Diese Vorrichtung kann speziell für die erforderlichen Zwecke konstruiert sein, oder kann einen allgemein verwendbaren Computer umfassen, der durch ein im Computer gespeichertes Computerprogramm selektiv aktiviert oder rekonfiguriert wird. Ein derartiges Computerprogramm kann in einem computerlesbaren Speichermedium, wie beispielsweise, jedoch nicht darauf beschränkt, irgendeiner Art einer Platte einschließlich von Floppydisks, optischen Platten, CD-ROMs und magnetooptischen Platten, Nur-Lese-Speichern (ROMs), Direktzugriffsspeichern (RAMs), EPROMs, EEPROMs, magnetischen oder optische Karten, oder jeder Art eines Mediums zum Speichern elektronischer Befehle und wobei jedes mit einem Computerbussystem gekoppelt ist, gespeichert sein.
Die hier dargestellten Algorithmen und Darstellungen stehen nicht inhärent in Bezug zu irgendeinem speziellen Computer oder einer anderen Vorrichtung. Verschiedene allgemein verwendbare Systeme können mit Programmen gemäß der hier dargelegten Lehre verwendet werden, oder es kann sich als zweckmäßig erweisen, eine spezialisiertere Vorrichtung zu konstruieren, um die erforderlichen Verfahrensschritte auszuführen. Die für eine Vielzahl dieser Systeme erforderliche Struktur wird sich anhand der nachfolgenden Beschreibung zeigen. Zusätzlich wird die vorliegende Erfindung nicht mit Bezugnahme auf irgendeine spezielle Programmiersprache beschrieben. Es ist verständlich, daß eine Vielzahl von Programmiersprachen verwendet werden kann, um die Lehre der Erfindung, wie sie hier beschrieben wird, zu implementieren.
Die Befehle der Programmiersprache(n) können durch eine oder mehrere Verarbeitungsvorrichtungen ausgeführt werden (z. B. Prozessoren, Kontroller, Steuerungsverarbeitungseinheiten (CPUs), Ausführungskerne, etc.).
1 veranschaulicht eine Ausführungsform des Systems 100. Das System 100 umfaßt ein Computersystem 110 und ein Computersystem 120, die über ein Rundfunkübertragungsmedium 130 gekoppelt sind. Bei einer Ausführungsform arbeitet das Computersystem 110 als eine Ursprungsvorrichtung, die einen Inhalt zu einem Computersystem 120 sendet, das als Empfangsvorrichtung arbeitet. Der Inhalt können beispielsweise eine Datendatei, ein ausführbares Streamer-Audio und -Video oder irgendwelche andere digitalen Objekte sein. Der Inhalt wird über das Datenübertragungsmedium 130 gesendet.
Das Datenübertragungsmedium 130 kann eines vieler Medien sein, wie beispielsweise eine Satellitenübertragung, eine interne Netzverbindung, eine Internetverbindung oder eine andere Verbindung. Das Übertragungsmedium 130 kann mit einer Mehrzahl von Untrusted-Routern (nicht gezeigt) und Schaltern (nicht gezeigt) verbunden sein, die die Integrität des Objektes, das übertragen wird, beinhalten können.
Gemäß einer Ausführungsform ist das Computersystem 110 ein Server-Computer während das Computersystem 120 ein Client-Aufsatzgerät ist. Bei einer weiteren Ausführungsform ist das Aufsatzgerät für das Kabelfernsehen oder digitale Satellitendienste implementiert, die Inhalte vom Computersystem 110 empfangen. Jedoch kann das Computersystem 120 bei anderen Ausführungsformen ein Personal-Computer (PC) sein, der mit einem Computersystem 110 gekoppelt ist, wobei das Übertragungsmedium das Internet ist.
Das System 100 umfaßt ebenfalls einen Transaktionsverarbeitungsserver 150, der mit dem Computersystem 120 über ein sicheres Übertragungsmedium 140 gekoppelt ist. Der Transaktionsverarbeitungsserver 150 empfängt Gebührenprotokollinformationen vom Computersystem 120. Gemäß einer Ausführungsform ist das Übertragungsmedium 140 ein sicherer Hintergrundkanal, bei dem kryptografische Standartverfahren verwendet werden, um Übertragungen zwischen der Empfangsvorrichtung 120 und dem Transaktionsverarbeitungsserver 150 zu sichern.
2 ist ein Blockdiagramm einer Ausführungsform eines Computersystems 200. Das Computersystem 200 kann als Computersystem 110, Computersystem 120 oder als Verarbeitungsserver implementiert sein (die alle in 1 gezeigt sind). Das Computersystem 200 umfaßt einen Prozessor 201, der Datensignale verarbeitet. Der Prozessor 201 kann ein CISC- (Complex Instruction Set Computer)-Mikroprozessor, ein RISC-(Reduced Instruction Set Computing)-Mikroprozessor, ein VLIW (Very Long Instruction Word) -Mikroprozessor, ein Prozessor, bei dem eine Kombination von Befehlssätzen implementiert ist, oder eine andere Prozessorvorrichtung sein.
Bei einer Ausführungsform ist der Prozessor 201 ein Prozessor der Pentium^®-Familie von Prozessoren, umfassend die Pentium^®II-Familie und Mobile Pentium^® und Pentium^®II-Prozessoren, die von der Intel Corporation, Santa Clara, Kalifornien erhältlich sind. Alternativ können andere Prozessoren verwendet werden. 2 zeigt ein Beispiel eines Computersystems 200, bei dem ein Computer mit einem einzigen Prozessor verwendet wird. Für Fachleute ist jedoch verständlich, daß das Computersystem 200 auch unter Verwendung von mehreren Prozessoren implementiert sein kann.
Der Prozessor 201 ist mit einem Prozessorbus 210 gekoppelt. Der Prozessorbus 210 überträgt Datensignale zwischen dem Prozessor 201 und anderen Komponenten im Computersystem 200. Das Computersystem 200 umfaßt ebenfalls einen Speicher 213. Bei einer Ausführungsform ist der Speicher eine DRAM (Dynamic Randon Access Memory)-Vorrichtung. Jedoch kann der Speicher 213 bei anderen Ausführungsformen eine SRAM (Static Random Access Memory)-Vorrichtung oder eine andere Speichervorrichtung sein.
Der Speicher 213 kann Befehle und Code speichern, die/der durch Datensignale dargestellt werden/ist, die durch den Prozessor 201 ausgeführt werden können. Gemäß einer Ausführungsform befindet sich ein Cache-Speicher 202 im Prozessor 201 und speichert Datensignale, die ebenfalls im Speicher 213 gespeichert werden. Der Cache 202 beschleunigt die Speicherzugriffe durch den Prozessor 201, indem seine Zugriffsgebundenheit ausgenutzt wird. Bei einer anderen Ausführungsform befindet sich der Cache 202 außerhalb des Prozessors 201.
Das Computersystem 200 umfaßt des weiteren einen Brücken-/Speicher-Kontroller 211, der mit dem Prozessorbus 210 und dem Speicher 213 gekoppelt ist. Der Brücken-/Speicher-Kontroller 211 leitet Datensignale zwischen dem Prozessor 201, dem Speicher 213 und anderen Komponenten im Computersystem 200 und überbrückt die Datensignale zwischen dem Prozessorbus 210, dem Speicher 213 und einem ersten Eingangs-/Ausgangs-(I/O)-Bus 220. Bei einer Ausführungsform kann der I/O-Bus 220 ein einzelner Bus oder eine Kombination mehrerer Busse sein.
Bei einer weiteren Ausführungsform kann der I/O-Bus 220 eine Peripherkomponentenverbindung (Peripheral Component Interconnet) sein, die mit einem Bus gemäß der Specification Revision 2.1 verbunden ist, der von der PCI Special Interest Group in Portland, Oregon entwickelt wurde. Bei einer anderen Ausführungsform kann der I/O-Bus 220 ein PCMCIA (Personal Computer Memory Card International Association)-Bus sein, der von der PCMCIA in San Jose, Kalifornien entwickelt wurde. Alternativ können andere Busse verwendet werden, um den I/O-Bus zu implementieren. Der I/O-Bus 220 stellt Kommunikationsverbindungen zwischen den Komponenten im Computersystem 200 bereit.
Ein Netz-Controller 221 ist mit dem I/O-Bus 220 gekoppelt. Der Netz-Controller 221 verbindet das Comutersystem 200 mit einem Computernetz (nicht gezeigt in 2) und unterstützt die Kommunikation zwischen den Maschinen. Ein Bildanzeigevorrichtungs-Kontroller 222 ist ebenfalls mit dem I/O-Bus 220 gekoppelt. Der Bildanzeigevorrichtungs-Kontroller ermöglicht die Kopplung einer Bildanzeigevorrichtung mit dem Computersystem 200 und dient als eine Schnittstelle zwischen der Bildanzeigevorrichtung und dem Computersystem 200.
Bei einer Ausführungsform ist der Bildanzeigevorrichtungs-Kontroller 222 eine MDA(Adapter für monochrome Anzeigen)-Karte. Bei anderen Ausführungsformen kann der Bildanzeigevorrichtungs-Kontroller 222 eine CGA-(Farbgrafikadapter)-Karte, eine EGA(Adapter für erweiterte Grafik)-Karte, eine XGA-(erweitertes Grafik-Array)-Karte oder ein anderer Bildanzeigevorrichtungs-Kontroller sein.
Die Bildanzeigevorrichtung kann ein Fernsehgerät, ein Computermonitor, ein Flachbildschirm oder eine andere Bildanzeigevorrichtung sein. Die Bildanzeigevorrichtung empfängt Datensignale vom Prozessor 201 durch den Bildanzeigevorrichtungs-Kontroller 222 und zeigt dem Benutzer des Computersystems 200 die Informationen und Datensignale an. Eine Videokamera 223 ist mit dem I/O-Bus 220 ebenfalls gekoppelt.
Das Computersystem 200 umfaßt einen zweiten I/O-Bus 230, der mit dem I/O-Bus 220 über eine Busüberbrückung 224 verbunden ist. Die Busüberbrückung 224 hat die Funktion, Datensignale zwischen dem I/O-Bus 220 und dem I/O-Bus 230 zu puffern und zu überbrücken. Der I/O-Bus 230 kann ein einzelner Bus oder eine Kombination mehrerer Busse sein. Bei einer Ausführungsform ist der I/O-Bus 230 ein Bus gemäß der ISA-(Industry Standart Architectu re)-Specification Revision 1.Oa, der von International Business Machines in Armonk, New York entwickelt wurde. Jedoch können ebenso andere Busstandards verwendet werden, wie beispielsweise der EISA-(Extended Industry Standard Architecture)-Specification Revision 3.12, der von Compaq Computer entwickelt wurde, sowie andere.
Der I/O-Bus 230 stellt Kommunikationsverbindungen zwischen den Komponenten im Computersystem 200 bereit. Eine Datenspeichervorrichtung 231 ist mit dem I/O-Bus 230 gekoppelt. Die I/O-Vorrichtung 231 kann ein Festplattenlaufwerk, ein Floppydisk-Laufwerk, eine CD-ROM-Vorrichtung, eine Flash-Speichervorrichtung oder eine andere Massenspeichervorrichtung sein. Eine Tastatur-Schnittstelle 232 ist ebenfalls mit dem I/O-Bus 230 gekoppelt. Die Tastatur-Schnittstelle 232 kann ein Tastatur-Kontroller oder eine andere Tastatur-Schnittstelle sein.
Zusätzlich kann die Tastatur-Schnittstelle 232 eine zweckgebundene Vorrichtung sein oder kann sich in einer anderen Vorrichtung wie beispielsweise einem Bus-Kontroller oder einem anderen Controller befinden. Die Tastaturschnittstelle 232 erlaubt ebenfalls das Ankoppeln einer Tastatur an das Computersystem 200 und überträgt Datensignale von der Tastatur zum Computersystem 200. Ein Audio-Kontroller ist ebenfalls mit dem I/O-Bus 230 gekoppelt. Der Audio-Kontroller 233 hat die Funktion das Aufzeichnen und Abspielen von Tönen zu koordinieren.
Gemäß einer Ausführungsform wird die Sicherheit für in einem Protokoll oder in einer Datenbank in einer unsicheren Umgebung gespeicherte Daten gewährleistet. 3 ist ein Blockdiagramm einer Ausführungsform des Computersystems 120 und des Verarbeitungs-Servers 150, die über einen sicheren Hintergrundkanal gekoppelt sind. Bezug nehmend auf 3 umfaßt das Computersystem 120 eine Wiederabspielkomponente 322, eine Sicherheitskomponente 324, eine Datenbank (oder Protokoll) 326 und eine Gebührenkomponente 328.
Gemäß einer Ausführungsform spielt das Computersystem 120 Mediendaten (z. B. Musik- und Videoinhalte), die vom Ursprungscomputersystem 110 empfangen wurden, ab. Jedoch ist das Computersystem 120 typischerweise eine unsichere Umgebung, in welcher es typischerweise nicht wünschenswert ist, Daten zu halten, die für den die Transaktion bearbeitenden Server 150 vertraulich sind, da der Besitzer des Computersystems 120 Zugang zu allen Daten auf der Plattform hat.
Die Wiederabspielkomponente 322 ist so implementiert, daß damit der vom Ursprungscomputersystem 110 empfangene Inhalt abgespielt werden kann. Beispielsweise kann die Wiederabspielkomponente 322 das Wiederabspielen eines Films, der am Computersystem 120 empfangen wurde, starten. Bei einer Ausführungsform erzeugt die Wiederabspielkomponente 322 einen Gebührendatensatz, der gegebenenfalls zum die Transaktion bearbeitenden Server 150 übertragen wird, um dem Besitzer des Computersystems 120 später eine Rechnung zu stellen.
Bei einer weiteren Ausführungsform ist die Wiederabspielkomponente 322 durch Software implementiert und befindet sich als Befehlssequenzen im Speicher 213 (2). Jedoch ist es für einen Fachmann verständlich, daß die Module durch Hardware als mit dem I/O-Bus 220 (2) gekoppelte Komponenten oder durch eine Kombination aus Hardware und Software implementiert sein können.
Mit der Sicherheitskomponente 324 werden Gebührendatensatzeinträge, die im Protokoll 326 gespeichert sind, verschlüsselt. Des weiteren gibt die Sicherheitskomponente 324 jedes mal dann Gebühreneinträge in das Protokoll 326 ein, wenn ein gebührenpflichtiger Inhalt bei der Wiederabspielkomponente 322 abgespielt wird. Gemäß einer Ausführungsform ist die Sicherheitskomponente 324 eine manipulationsresistente Komponente, bei der ein Authentifikationsprotokoll mit öffentlichem Schlüssel und ein Verschlüsselungsprotokoll mit symmetrischem Schlüssel verwendet werden, um die Gebührendatensätze zu verschlüsseln. Das Protokoll 326 ist ein Aktivitäts-Journal für das Computersystem 110. Bei einer Ausführungsform speichert das Protokoll 326 alle Gebührendatensatzeinträge im Datenspeicher 231 des Computersystems 120. Das Protokoll 326 kann regelmäßig durch die Sicherheitskomponente 324 aktualisiert werden.
Gemäß einer Ausführungsform ist die Sicherheitskomponente 324 die einzige Komponente im Computersystem 120, die über das Protokoll 326 unterrichtet ist. Somit sorgt die Sicherheitskomponente 324 für die sichere Speicherung der Daten des Protokolls 326 im Computersystem 120, ohne daß der Besitzer der Plattform Zugriff auf die Daten hat. Bei einer weiteren Ausführungsform ist das Protokoll 326 an verschiedenen Orten des Datenspeichers 231 gespeichert. Die Gebührenkomponente 328 überträgt das Protokoll 326 zum Server 150, der die Transaktion bearbeitet.
Gemäß einer Ausführungsform wird das Protokoll 326 zum Server 150, der die Transaktion bearbeitet, zu regelmäßig festgesetzten Intervallen übertragen. Bei anderen Ausführungsformen wird das Protokoll 326 jedoch von der Gebührenkomponente 328 auf Anfrage vom Server 150, der die Transaktion bearbeitet, überrragen. Bei einer anderen Ausführungsform wird das Protokoll 326 vor einer Übertragung zum Server 150, der die Transaktion bearbeitet, ein weiteres Mal verschlüsselt.
4 ist ein Flußdiagramm der Betriebsweise des Computersystems 120 für eine Ausführungsform, wobei ein Gebühreneintrag im Protokoll 326 gespeichert wird, wenn ein Inhalt für ein Wiederabspielen durch einen Nutzer des Computersystems ausgewählt wurde. Gemäß einer Ausführungsform ist der Inhalt ein Film, den der Nutzer erwerben möchte, um ihn während einer begrenzten Zeitdauer zu sehen (z. B. ein Bezahlfernsehfilm).
Beim Bearbeitungsblock 410 wird ein Gebührendatensatz in Antwort auf ein Auswählen eines Inhalts für ein Wiederabspielen erzeugt. Beim Bearbeitungsblock 420 überträgt eine Wiederabspielkomponente 322 einen Gebührendatensatz zur Sicherheitskomponente 324. Der Gebührendatensatz gibt die Gebühr für das Ansehen des Inhalts an, die dem Besitzer des Computersystems 120 in Rechnung gestellt werden sollte.
Am Bearbeitungsblock 430 gibt die Sicherheitskomponente 324 den Gebührendatensatz in das Protokoll 326 ein. Wie oben beschrieben, ist die Sicherheitskomponente 324 die einzige Komponente im Computersystem 120, die davon Kenntnis hat, wo das Protokoll 326 gespeichert ist, und ist somit die einzige Komponente, die auf das Protokoll 326 zugreifen kann. Beim Bearbeitungsblock 440 wird das Protokoll 326 verschlüsselt. Nachfolgend kann der Inhalt vom Computersystem 320 zum Server 150, der die Transaktion bearbeitet, übertragen werden.
Bezug nehmend auf 3 umfaßt der Server 150, der die Transaktion bearbeitet, eine Gebührenkomponente 318, eine Sicherheitskomponente 314 und eine Datenbank 315. Die Gebührenkomponente 318 empfängt das Protokoll 326 von der Gebührenkomponente 328. Bei einer Ausführungsform überträgt die Gebührenkomponente 318 auch ein neues Protokoll 326 zum Computersystem 120, nachdem sie das bestehende Protokoll empfangen hat. Die Sicherheitskomponente 314 entschlüsselt das Protokoll 326, um seine Integrität zu verifizieren.
Zusätzlich erzeugt die Gebührenkomponente 318, nachdem die Integrität des Protokolls verifiziert wurde und ein Token validiert bzw. bestätigt wurde, ein neues Token (z. B. Zeit- und Datenstempel), das zum Computersystem 120 als Teil des neuen Protokolls übertragen wird. Als ein Ergebnis verifiziert die Sicherheitskomponente 314 die Integrität jedes empfangenen Protokolls 326, indem die Zeit- und Datenstempel überprüft werden. Die Datenbank 315 wird dazu verwendet, das Protokoll 326 und die Tokendaten zu speichern. Gemäß einer Ausführungsform ist die Datenbank 315 eine relationale Datenbank.
5 ist ein Flußdiagramm für eine Ausführungsform zur Erzeugung eines neuen Protokolls beim Computersystem 110. Beim Bearbeitungsblock 510 erzeugt der die Transaktion bearbeitende Server 150 ein neues Protokoll mit Token-Zeit- und Datenstempeln. Wie oben beschrieben, wird ein neues Protokoll erzeugt, wenn der die Transaktion bearbeitende Server 150 ein vorher bestehendes Protokoll vom Computersystem 120 empfängt.
Beim Bearbeitungsblock 520 verschlüsselt und signiert die Sicherheitskomponenete 315 das neue Protokoll 326. Beim Bearbeitungsblock 530 wird das verschlüsselte Protokoll zum Computersystem 120 über das Übertragungsmedium 140 übertragen. Beim Bearbeitungsblock 540 wird das Protokoll 326 zur Sicherheitskomponente 324 gesandt. Beim Bearbeitungsblock 550 validiert die Sicherheitskomponente 324 die Signaturen und die Integrität des Protokolls 326.
Beim Bearbeitungsblock 560 ruft die Sicherheitskomponente 324 das neue Token ab und schreibt das Protokoll 326 in die Festplatte des Computersystems 120 (z. B. dem Datenspeicher 231). Beim Bearbeitungsblock 570 überträgt das Computersystem 120 eine Bestätigung zum die Transaktion bearbeitenden Server 150, mit welcher der Empfang des neuen Protokolls bestätigt wird. Beim Bearbeitungsblock 580 wird das neue Token in der Datenbank 315 gespeichert.
Nachdem das neue Protokoll 326 gespeichert ist, kann darauf durch die Sicherheitskomponente 324 gelegentlich zugegriffen werden, wie oben mit Bezug zu 4 beschrieben wurde. Wie oben erläutert, kann das Protokoll 326 sicher zum die Transaktion bearbeitenden Server 150 bei vorbestimmten Intervallen übertragen werden. 6 ist ein Flußdiagramm einer Ausführungsform zum sicheren Übertragen des Protokolls 326 vom Computersystem 120 zum die Transaktion bearbeitenden Server 150.
Beim Bearbeitungsblock 610 überträgt die Gebührenkomponente 328 eine Anfrage zur Sicherheitskomponente 324, um das Protokoll 326 zu empfangen. Beim Bearbeitungsblock 620 überträgt die Gebührenkomponente 328 auf ein Empfangen des Protokolls 326 das Protokoll 326 zur Gebührenkomponente 318 im Server 150, der die Transaktion bearbeitet. Beim Bearbeitungsblock 630 überträgt die Gebührenkomponente 318 das Protokoll 326 zur Sicherheitskomponente 314, wo das Protokoll 326 entschlüsselt wird.
Beim Bearbeitungsblock 640 wird das Protokoll 326 in der Datenbank 315 gespeichert. Beim Bearbeitungsblock 650 überprüft die Sicherheitskomponente 314 die Gültigkeit des Tokens des empfangenen Protokolls 326. Als ein Ergebnis validiert die Sicherheitskomponente 314 die Signatur des Protokolls 326 und vergleicht das in der Datenbank 315 gespeicherte Token.
Das Verfahren zum sicheren Speichern und Übertragen eines Gebührenprotokolls umfaßt sowohl Informationen von einem Client als auch einem Server, wodurch ein Fälschen eines Gebührenprotokolls oder einer Datenbank erschwert wird.
Während viele Änderungen und Abwandlungen der vorliegenden Erfindung dem Fachmann ohne Zweifel nach dem Lesen der vorhergehenden Beschreibung verständlich sind, sollte klar sein, daß die speziellen Ausführungsformen lediglich zu Veranschaulichungszwecken gezeigt und beschrieben wurden und keinesfalls beabsichtigt ist, die Beschreibung als eine Beschränkung zu betrachten.
Daher ist nicht beabsichtigt, daß Bezugnahmen auf Einzelheiten verschiedener Ausführungsformen den Umfang der Ansprüche beschränken, die ihrerseits lediglich jene Merkmale wiedergeben, die als die Erfindung anzusehen sind.
Zusammenfassung
Gemäß einer Ausführungsform wird ein System offenbart. Das System umfasst einen Server-Computer, ein Übertragungsmedium, das mit dem Server-Computer gekoppelt ist und einen Client-Computer, der mit dem Übertragungsmedium gekoppelt ist. Der Client-Computer umfaßt eine Sicherheitskomponente, die einen ausschließlichen Zugriff auf ein Protokoll hat, das im Client-Computer gespeichert ist.

Claims

System umfassend: einen Server-Computer; ein erstes Übertragungsmedium, das mit dem Server-Computer gekoppelt ist; und einen Client-Computer, der mit dem ersten Übertragungsmedium gekoppelt ist, wobei der Client-Computer eine Sicherheitskomponente umfaßt, die einen exklusiven Zugang zu einem Protokoll hat, das im Client-Computer gespeichert ist.
System nach Anspruch 1, das des weiteren umfaßt: ein zweites Übertragungsmedium, das mit dem Client-Computer gekoppelt ist; und eine Ursprungsvorrichtung, die mit dem zweiten Übertragungsmedium gekoppelt ist.
System nach Anspruch 2, wobei der Client-Computer des weiteren umfaßt: eine Wiederabspielkomponente, die einen Protokolleintrag zur Sicherheitskomponente auf einen Empfang einer Aufforderung, einen Inhalt abzuspielen, der von der Ursprungsvorrichtung über das zweite Übertragungsmedium empfangen wurde, überträgt; und eine Gebührenkomponente, die das Protokoll zum Server-Computer über das erste Übertragungsmedium überträgt.
System nach Anspruch 3, wobei die Gebührenkomponente das Protokoll zum Server-Computer auf einen Empfang einer Aufforderung vom Server-Computer überträgt.
System nach Anspruch 3, wobei die Gebührenkomponente das Protokoll zum Server-Computer zu vorbestimmten Zeitintervallen überträgt.
System nach Anspruch 1, wobei der Client-Computer ein Personal-Computer ist.
System nach Anspruch 1, wobei der Client-Computer ein Aufsatzgerät ist.
System nach Anspruch 1, wobei der Server-Computer umfaßt: eine Gebührenkomponente, die das Protokoll vom Client-Computer über das erste Übertragungsmedium empfängt; einen zweite Sicherheitskomponente, die die Integrität des Protokolls entschlüsselt und verifiziert; und eine Datenbank, die das Protokoll speichert.
System nach Anspruch 2, wobei das erste Übertragungsmedium einen sicheren Hintergrundkanal umfaßt, der Übertragungen zwischen dem Server-Computer und dem Client-Computer sichert und wobei das zweite Übertragungsmedium ein Rundfunkkanal ist.
System nach Anspruch 2, wobei das zweite Übertragungsmedium eine interne Netzverbindung umfaßt.
System nach Anspruch 2, wobei das zweite Übertragungsmedium eine Satellitenübertragung umfaßt.
Verfahren, umfassend: Erzeugen eines Gebührendatensatzes in einem Computersystem; Empfangen des Gebührendatensatzes an einer Sicherheitskomponente im Computersystem; Einfügen des Gebührendatensatzes in ein Protokoll; und Verschlüsseln des Protokolls.
Verfahren nach Anspruch 12, das des weiteren das Empfangen einer Anfrage am Computersystem umfaßt, einen Medieninhalt abzurufen, der im Computersystem abzuspielen ist.
Verfahren nach Anspruch 12, das des weiteren das Schreiben des Protokolls in eine Datenspeichervorrichtung im Computersystem umfaßt.
Softwareprodukt mit einem oder mehreren aufzeichenbaren Medien mit darauf ausführbaren Befehlen, die, wenn sie durch eine Bearbeitungsvorrichtung ausgeführt werden, die Bearbeitungsvorrichtung dazu veranlassen: einen Gebührendatensatz in einem Computersystem zu erzeugen; den Gebührendatensatz in einer Sicherheitskomponente im Computersystem zu empfangen; den Gebührendatensatz in ein Protokoll einzufügen; und das Protokoll zu verschlüsseln.
Softwareprodukt nach Anspruch 15, das des weiteren umfaßt, die Bearbeitungsvorrichtung dazu zu veranlassen, eine Aufforderung im Computersystem zu empfangen, einen Medieninhalt abzurufen, der im Computersystem abzuspielen ist.
Softwareprodukt nach Anspruch 15, das des weiteren umfaßt, die Bearbeitungsvorrichtung dazu zu veranlassen, das Protokoll in eine Datenspeichervorrichtung im Computersystem zu schreiben.
Verfahren, umfassend: Empfangen eines verschlüsselten Gebührenprotokolls an einem Server-Computer von einem Client-Computer über einen sicheren Hintergrundkanal; Entschlüsseln des Gebührenprotokolls in der Sicherheitskomponente im Server-Computer; und Speichern des Gebührenprotokolls in einer Datenbank.
Verfahren nach Anspruch 18, das des weiteren ein Testen der Gültigkeit des Gebührenprotokolls umfaßt.
Verfahren nach Anspruch 19, wobei das Testen der Gültigkeit des Gebührenprotokolls umfaßt: Validieren einer digitalen Signatur, um das Gebührenprotokoll zu authentifizieren; und Vergleichen eines ersten in der Datenbank gespeicherten Tokenwertes mit einem zweiten Tokenwert, der im Gebührenprotokoll beinhaltet ist, das über den sicheren Hintergrundkanal empfangen wird.
Verfahren nach Anspruch 20, das des weiteren umfaßt: Erzeugen eines dritten Tokenwertes; Erzeugen eines zweiten Gebührenprotokolls im Server-Computer, das den dritten Tokenwert umfaßt; und Übertragen des zweiten Gebührenprotokolls und des dritten Tokenwertes zum Client-Computer über den sicheren Hintergrundkanal.
Verfahren nach Anspruch 21, das des weiteren umfaßt: Signieren des zweiten Gebührenprotokolls mit einer zweiten digitalen Signatur; und Verschlüsseln des zweiten Gebührenprotokolls vor einem Übertragen des zweiten Gebührenprotokolls zum Client-Computer.
Softwareprodukt mit einem oder mehreren aufzeichenbaren Medien mit darauf gespeicherten ausführbaren Befehlen, die, wenn sie durch eine Bearbeitungsvorrichtung ausgeführt werden, die Bearbeitungsvorrichtung dazu veranlassen: ein verschlüsseltes Gebührenprotokoll in einem Server-Computer von einem Client-Computer über einen sicheren Hintergrundkanal zu empfangen; das Gebührenprotokoll in der Sicherheitskomponente im Server-Computer zu entschlüsseln; und das Gebührenprotokoll in einer Datenbank zu speichern.
Softwareprodukt nach Anspruch 23, das des weiteren umfaßt, die Bearbeitungsvorrichtung dazu zu veranlassen, die Validität des Gebührenprotokolls zu testen.
Softwareprodukt nach Anspruch 24, wobei die Veranlassung der Bearbeitungsvorrichtung dazu, die Validität des Gebührenprotokolls zu testen, die Bearbeitungsvorrichtung des weiteren dazu veranlasst: eine digitale Signatur zu validieren, um das Gebührenprotokoll zu authentifizieren; und einen ersten Tokenwert, der in der Datenbank gespeichert ist, mit einem zweiten Tokenwert zu vergleichen, der im Gebührenprotokoll beinhaltet ist, das über den sicheren Hintergrundkanal empfangen wird.
Softwareprodukt nach Anspruch 25, das des weiteren umfaßt, die Bearbeitungsvorrichtung zu veranlassen: einen dritten Tokenwert zu erzeugen; ein zweites Gebührenprotokoll am Server-Computer zu erzeugen, das den dritten Tokenwertumfaßt; und das zweite Gebührenprotokoll und den dritten Tokenwert zum Client-Computer über den sicheren Hintergrundkanal zu übertragen.
Softwareprodukt nach Anspruch 25, das des weiteren umfaßt, die Bearbeitungsvorrichtung dazu zu veranlassen: das zweite Gebührenprotokoll mit einer zweiten digitalen Signatur zu signieren; und das zweite Gebührenprotokoll vor einem Übertragen des zweiten Gebührenprotokolls zum Client-Computer zu verschlüsseln.