DE69926970T2

DE69926970T2 - Selbstschützende Dokumente

Info

Publication number: DE69926970T2
Application number: DE69926970T
Authority: DE
Inventors: Prasad Ram; Thanh T. Ta; Xin Wang
Original assignee: Contentguard Holdings Inc
Current assignee: Contentguard Holdings Inc
Priority date: 1998-10-23
Filing date: 1999-10-22
Publication date: 2006-02-23
Also published as: EP0999488A2; EP0999488B1; ES2248952T3; JP4235691B2; US20020194485A1; DE69926970D1; JP4304220B2; ATE303630T1; US6519700B1; EP0999488A3; JP2000137649A; JP2007328798A; US6763464B2; EP1612641A3; EP1612641A2; DE69926970T8

Description

Die Erfindung bezieht sich auf die Verwaltung von Dokumenten-Rechten, und, insbesondere, auf ein selbstschützendes Dokumenten-Schema, das einen elektronischen Dokumenten-Schutz ohne das Erfordernis einer zusätzlichen Software- oder Hardware-Unterstützung für den Schutz ermöglicht.
Eine der wichtigsten Aufgaben, die die umfangreiche Verteilung von digitalen Dokumenten über Electronic Commerce verhindert, ist das derzeitige Fehlen eines Schutzes der Rechte an geistigem Eigentum der Inhalte von Besitzern während der Verteilung und der Verwendung dieser digitalen Dokumente. Bemühungen, dieses Problem zu lösen, sind als „Intellectual Property Rights Management" („IPRM"), „Digital Property Rights Management" („DPRM"), „Intellectual Property Management" („IPM"), „Rights Management" („RM"), und „Electronic Copyright Management" („ECM") bezeichnet worden.
Ein Dokument ist, entsprechend dem Ausdruck, wie er hier verwendet wird, irgendeine Einheit von Informationen, die Gegenstand einer Verteilung oder Übertragung ist, einschließlich, allerdings nicht darauf beschränkt, der Korrespondenz, von Büchern, Magazinen, Journalen, Zeitungen, anderen Papieren, Software, Fotografien und anderen Bildern, Audio- und Video-Clips und anderen Multimedia-Präsentationen. Ein Dokument kann in gedruckter Form auf Papier ebenso wie als digitale Daten auf einem Speichermedium, oder in irgendeiner anderen bekannten Art und Weise auf einer Vielzahl von Medien, ausgeführt werden.
In der Welt der gedruckten Dokumente wird eine Arbeit, erzeugt durch einen Autor, gewöhnlich zu einem Verleger geliefert, der zahlreiche Kopien der Arbeit formatiert und druckt. Die Kopien werden dann über einen Verteiler zu Bücherläden oder anderen Einzelhandelsläden geschickt, von wo die Kopien durch Endbenutzer erworben werden.
Während die niedrige Qualität eines Kopierens und die hohen Kosten eines Verteilens von gedrucktem Material als Abwehrmittel gegen das illegale Kopieren der meisten, gedruckten Dokumente gedient haben, ist es bis jetzt sehr einfach gewesen, nicht geschützte, elektronische Dokumente zu kopieren, zu modifizieren und wieder zu verteilen. Dementsprechend ist ein bestimmtes Verfahren zum Schützen elektronischer Dokumente notwendig, um es schwerer zu machen, sie illegal zu kopieren. Dies wird als ein Abwehrmittel für ein Kopieren dienen, gerade dann, wenn es noch möglich ist, zum Beispiel, Hardkopien von gedruckten Dokumenten herzustellen und sie in der alten Art und Weise zu duplizieren.
Mit gedruckten Dokumenten ist ein zusätzlicher Schritt eines Digitalisierens des Dokuments vorhanden, bevor es elektronisch weiter verteilt werden kann; dies dient als ein Abwehrmittel. Allerdings ist weit verbreitet erkannt worden, dass keine brauchbare Art und Weise vorhanden ist, um Leute daran zu hindern, nichtautorisierte Verteilungen von elektronischen Dokumenten mit derzeitigen Rechen- und Kommunikationssystemen für allgemeine Zwecke, wie beispielsweise Personalcomputern, Workstations und anderen Vorrichtungen, die über Local Area Networks (LANs) Intranets und das Internet verbunden sind, vorzunehmen. Viele Versuche, um auf einer Hardware basierende Lösungen zu schaffen, um ein nichtautorisiertes Kopieren zu verhindern, haben sich als nicht erfolgreich erwiesen.
Zwei Grundschemata sind eingesetzt worden, um zu versuchen, das Problem des Dokumenten-Schutzes zu lösen: sichere Behälter und zuverlässige Systeme.
Ein „sicherer Behälter" (oder einfach ein verschlüsseltes Dokument) bietet eine Art und Weise, die Inhalte des Dokuments verschlüsselt zu halten, bis ein Satz von Autorisierungs-Bedingungen erfüllt ist, und bestimmte Copyright-Bedingungen erfüllt sind (z.B. Bezahlung für die Benutzung). Nachdem die verschiedenen Bedingungen und Bestimmungen mit dem Dokumenten-Verleger vereinbart sind, wird das Dokument an den Benutzer in einer klaren Form freigegeben. Kommerzielle Produkte, wie beispielsweise Cryptolopes von IBM und Digiboxes von Inter Trust, fallen in diese Kategorie. Deutlich liefert die Maßnahme eines sicheren Behälters eine Lösung, um das Dokument während eines Versendens über nicht sichere Kanäle zu schützen, liefert allerdings keinen Mechanismus, um legitimierte Benutzer daran zu hindern, das klare Dokument zu erhalten und dann unter Verletzungen des geistigen Eigentums des Benutzers des Inhalts zu verwenden und weiter zu verteilen.
Kryptographische Mechanismen werden typischerweise dazu verwendet, Dokumente zu verschlüsseln (oder „zu chiffrieren"), die dann verteilt oder öffentlich gespeichert werden, und letztendlich privat durch autorisierte Benutzer entschlüsselt werden. Dies bil det eine Grundform eines Schutzes während einer Dokumenten-Verteilung von einem Dokumenten-Verteiler an einen vorgesehenen Benutzer über ein öffentliches Netzwerk, ebenso wie während einer Dokumenten-Speicherung auf einem nicht sicheren Medium.
In der Maßnahme des „zuverlässigen Systems" ist das gesamte System dafür verantwortlich, eine nicht autorisierte Benutzung und Verteilung des Dokuments zu verhindern. Ein Aufbauen eines zuverlässigen Systems umfasst gewöhnlich das Einführen einer neuen Hardware, wie beispielsweise eines sicheren Prozessors, eines sicheren Speichers und von sicheren Wiedergabe-Vorrichtungen. Dies erfordert auch, dass alle Software-Anwendungen, die auf zuverlässigen Systemen laufen, so zertifiziert sind, dass sie zuverlässig sind. Während das Aufbauen von zuverlässigen Systemen, die gegen einen Eingriff gesichert sind, noch eine reale Herausforderung bei existierenden Technologien sind, vermitteln derzeitige Markt-Trends, dass offene und nicht zuverlässige Systeme, wie beispielsweise PC's und Workstations, die vorherrschende System werden, die dazu verwendet werden, um auf durch Copyright geschützte Dokumente zuzugreifen. In diesem Sinne sind existierende Rechenumgebungen, wie beispielsweise PC's und Workstations, ausgerüstet mit populären Betriebssystemen (z.B. Windows und UNIX) und Wiedergabe-Anwendungen (z.B. Microsoft Word) nicht zuverlässige Systeme und können nicht ohne ein wesentliches Verändern deren Architekturen zuverlässig gemacht werden.
Dementsprechend muss man, obwohl bestimmte, zuverlässige Komponenten eingesetzt werden können, fortfahren, auf verschiedenen unbekannten und unzuverlässigen Elementen und Systemen zu arbeiten. Auf solchen Systemen werden häufig, obwohl erwartet wird, dass sie sicher sind, unerwartete Fehler und Schwächen vorgefunden und ausgenutzt.
Dabei ist eine Anzahl von Punkten bei der Verwaltung von Rechten vorhanden: Authentifizierung, Autorisierung, Abrechnung, Bezahlung und Finanzabwicklung, Spezifikation von Rechten, Verifizierung von Rechten, Durchsetzung von Rechten und Schutz von Dokumenten. Der Schutz von Dokumenten ist eine besonders wichtige Aufgabe. Nachdem ein Benutzer die Rechte des Besitzers des Inhaltes anerkannt hat und ihm erlaubt worden ist, dass er einen bestimmten Vorgang in Bezug auf ein Dokument durchführt (z.B. es zu drucken, es auf einem Bildschirm anzusehen, die Musik abzuspielen oder die Software auszuführen), wird das Dokument dahingehend angenommen, dass es in Klarschrift, oder nicht verschlüsselt, vorhanden ist. Einfach ausgedrückt ist das Problem des Dokumenten-Schutzes dasjenige, zu verhindern, dass die Rechte des Eigentümers des Inhaltes dann beeinträchtigt werden, wenn sich das Dokument in dem verwundbarsten Zustand befindet: gespeichert in einer klar lesbaren Form auf einer Maschine innerhalb der Kontrolle des Benutzers. Gerade dann, wenn Dokumente sicher von einem Verteiler zu einem Benutzer geliefert werden (typischerweise in einer verschlüsselten Form), muss es in eine Präsentations-Datenform gestaltet werden, bevor der Benutzer das Dokument ansehen oder in anderer Weise bearbeiten kann. Dementsprechend ist es, um das höchste Niveau eines Schutzes zu erreichen, wichtig, die Inhalte des Dokuments so umfangreich wie möglich zu schützen, während sie dem Benutzer in einer späten Stufe aufgedeckt werden, und in einer Form, die schwierig in einer nutzbaren Form wiederherzustellen ist.
Bei den bekannten Maßnahmen einer elektronischen Dokumenten-Verteilung, die eine Verschlüsselung einsetzt, wird ein verschlüsseltes Dokument in mehreren, separaten Schritten gestaltet. Zuerst wird das verschlüsselte Dokument durch den Benutzer empfangen. Als zweites setzt der Benutzer seinen privaten Schlüssel (in einem Kryptosystem mit öffentlichem Schlüssel) ein, um die Daten zu entschlüsseln und den klaren Inhalt des Dokuments abzuleiten. Schließlich wird der klare Inhalt weiter zu einer Wiedergabe-Anordnung geführt, die das mittels Computer lesbare Dokument in das fertig gestellte Dokument überführt, entweder zum Betrachten auf dem Computer-Bildschirm des Benutzers oder zum Drucken als Hardkopie. Der klare Inhalt ist für eine Wiedergabe bzw. Gestaltung erforderlich, da, in den meisten Fällen, die Wiedergabe-Anwendung ein Produkt einer dritten Partei ist (wie beispielsweise Microsoft Word oder Adobe Acrobat Reader), die erfordert, dass das Eingabe-Dokument in einem spezifischen Format vorliegt. Es sollte ersichtlich werden, dass dann, zwischen dem zweiten und dem dritten Schritt, das zuvor geschützte Dokument verwundbar ist. Es ist entschlüsselt worden, befindet sich allerdings noch in einer klaren, elektronischen Form auf dem Computer des Benutzers gespeichert. Wenn der Benutzer unachtsam ist oder ansonsten dahingehend motiviert ist, Gebühren zu minimieren, kann das Dokument leicht weiter verteilt werden, ohne die notwendigen Erlaubnisse von dem Besitzer des Inhalts zu erhalten.
Dementsprechend wäre es vorteilhaft, ein elektronisches Dokumenten-Verteilungsschema zu schaffen, das die Nachteile von bekannten Systemen minimiert.
Die WO 98/11690 offenbart ein selbst entschlüsselndes, digitales Informations-System und ein Verfahren, umfassend eine Struktur von digitalen Informationen, die eine verschlüsselte Daten-Datei (54), einen Unwrap-Vorgang (50) zum Identifizieren von Stellen anderer gespeicherter Bereiche der digitalen Informationen und zum Extrahieren eines Programms, das mit dem Betriebssystem kommunizieren wird, und eine Treiber-Anwendung (52), wobei eine Funktion der Treiber-Anwendung (52) diejenige ist, alle Aufrufe von dem Betriebssystem, um auf Dateien zuzugreifen, abzufangen, umfasst.
Es ist die Aufgabe der vorliegenden Erfindung, ein Schema zu schaffen, das dazu geeignet ist, zu verhindern, dass Benutzer eine nutzbare Form eines elektronisch verteilten Dokuments während der Entschlüsselungs- und/oder Wiedergabe-Vorgänge erhalten.
Diese Aufgabe wird durch den Gegenstand der unabhängigen Ansprüche 1, 9 und 11 gelöst.
Bevorzugte Ausführungsformen sind in den abhängigen Ansprüchen definiert.
Das vorliegende, selbstschützende Dokument (self-protecting document – „SPD") ist nicht Gegenstand der vorstehend angegebenen Nachteile des Stands der Technik. Durch Kombinieren eines verschlüsselten Dokuments mit einem Satz von Genehmigungen und einem ausführbaren Code-Segment, das das meiste der Software umfasst, notwendig dazu, das verschlüsselte Dokument zu extrahieren und zu benutzen, führt das selbstschützende Dokument einen Schutz von Dokumenten-Inhalten ohne das Erfordernis nach einer zusätzlichen Hardware und Software durch.
Das SPD-System wird zwischen einem Inhalt-Urheber (analog zu dem Autor und dem Verleger des traditionellen Modells) und einem Inhalt-Verteiler aufgeteilt. Der Autor/Verleger erzeugt das originale Dokument und entscheidet, welche Rechte zugelassen werden. Der Verteiler gestaltet dann des Dokument kundenspezifisch für die Benutzung durch verschiedene Benutzer, was über die kundenspezifische Wiedergabe sicherstellt, dass die Benutzer nicht die Genehmigungen, die sie erworben haben, überschreiten.
An dem System des Benutzers wird das selbstschützende Dokument zu dem letzten, möglichen Zeitpunkt entschlüsselt. In einer Ausführungsform der Erfindung sind auch verschiedene Wiedergabe-Einrichtungen innerhalb des SPD vorgesehen, so dass die Benutzung des SPD nicht auf einer externen Anwendung beruhen muss, die nicht vertrauenswürdig sein könnte (und die zu einer nichtautorisierten Benutzung einladen könnte). In einer alternativen Ausführungsform werden Schnittstellen und Protokolle für eine Wieder gabe-Anwendung durch einen Dritten spezifiziert, um mit dem SPD in Wechselwirkung zu treten, um so eine vertrauensvolle Wiedergabe vorzusehen.
In einer Ausführungsform der Erfindung wird das verschlüsselte Dokument durch das System des Benutzers entschlüsselt, während es gleichzeitig mit einem Schlüssel „polarisiert wird", der, zumindest teilweise, von dem Zustand des Systems des Benutzers abhängig ist. Die Polarisierung kann kryptographisch weniger sicher als die Verschlüsselung, die für die Verteilung verwendet ist, sein, dient allerdings dazu, von einem beiläufigen Kopieren abzuhalten. In dieser Ausführungsform wird eine Depolarisierung während oder nach dem Wiedergabe-Vorgang durchgeführt, um so zu bewirken, dass irgendeine Zwischenform des Dokuments im Wesentlichen unbrauchbar ist.
1 zeigt ein Blockdiagramm eines oberen Niveaus, ein Modell für die Erzeugung und kommerzielle Verteilung von elektronischen Dokumenten in entweder einer sicheren oder einer unsicheren Umgebung darstellend;
2 zeigt ein Flussdiagramm, das die Entschlüsselung von geschützten, elektronischen Dokumenten gemäß dem Stand der Technik darstellt;
3 zeigt ein Flussdiagramm, das die Entschlüsselung von geschützten, elektronischen Dokumenten gemäß einer einfachen Ausführungsform der Erfindung darstellt;
4 zeigt ein Flussdiagramm, das die Entschlüsselung von geschützten, elektronischen Dokumenten gemäß einer bevorzugten Ausführungsform der Erfindung darstellt;
5 zeigt ein funktionales Blockdiagramm, das die Daten-Strukturen darstellt, die in einem selbstschützenden Dokument, gemäß einer Ausführungsform der Erfindung, vorhanden sind;
6 zeigt ein Flussdiagramm, das die Erzeugung und kundenspezifische Anpassung eines selbstschützenden Dokuments gemäß einer Ausführungsform der Erfindung darstellt;
7 zeigt ein Flussdiagramm, aus der Perspektive eines Benutzers, das die Vorgänge darstellt, die beim Handhaben und bei der Verwendung eines selbstschützenden Dokuments, gemäß der Erfindung, durchgeführt werden;
8 zeigt eine graphische Darstellung, die mehrere, mögliche Pfade zwischen einem nicht wiedergegebenen und einem verschlüsselten Dokument, und wiedergegebenen und entschlüsselten Präsentations-Daten, zeigt;
9 zeigt ein Flussdiagramm, das einen Polarisations-Vorgang gemäß der Erfindung darstellt, in dem Dokument-Format-Informationen in klarer Darstellung zum Wiedergeben verbleiben.
1 stellt ein funktionales Modell eines oberen Niveaus für ein System für die elektronische Verteilung von Dokumenten dar, das, wie vorstehend definiert ist, eine Korrespondenz, Bücher, Magazine, Journale, Zeitungen, andere Papiere, eine Software, Audio- und Video-Clips, und andere Multimedia-Darstellungen umfassen kann.
Ein Autor (oder Verleger) 110 erzeugt einen originalen Inhalt 112 eines Dokuments und führt ihn weiter zu einem Verteiler 114 für eine Verteilung. Obwohl es nicht vorgesehen ist, dass der Autor auch Dokumente direkt verteilen kann, ohne eine andere Partei als einen Verteiler einzusetzen, ist die Aufteilung der Arbeit, wie sie in 1 angegeben ist, effizienter, da sie dem Autor/Verleger 110 ermöglicht, sich auf die Erzeugung des Inhalts zu konzentrieren, und nicht auf die mechanischen und banalen Funktionen, die durch den Verteiler 114 übernommen werden. Weiterhin würde eine solche Aufteilung dem Verteiler 114 ermöglichen, Ökonomien in Bezug auf den Maßstab durch Einbeziehen einer Anzahl von Autoren und Verlegern (einschließlich des dargestellten Autors/Verlegers 110) zu realisieren.
Der Verteiler 114 führt dann den modifizierten Inhalt 116 zu einem Benutzer 118 weiter. In einem typischen, elektronischen Verteilungs-Modell stellt der modifizierte Inhalt 116 eine verschlüsselte Version des originalen Inhalts 112 dar; der Verteiler 114 verschlüsselt den originalen Inhalt 112 mit dem öffentlichen Schlüssel des Benutzers 118, und der modifizierte Inhalt 116 wird nur für den einzelnen Benutzer 118 kundenspezifisch angepasst. Der Benutzer 118 ist dann in der Lage, seinen privaten Schlüssel zu verwenden, um den modifizierten Inhalt 116 zu entschlüsseln und den originalen Inhalt 112 anzusehen.
Eine Bezahlung 120 für den Inhalt 112 wird von dem Benutzer 118 zu dem Verteiler 114 über eine Verrechnungsstelle 122 übermittelt. Die Verrechnungsstelle 122 sammelt Anforderungen von dem Benutzer 118 und von anderen Benutzern, die wünschen, ein bestimmtes Dokument anzusehen. Die Verrechnungsstelle 122 sammelt auch Bezahlungs-Informationen, wie beispielsweise Belastungsabwicklungen, Kreditkarten-Transaktionen oder andere, bekannte, elektronische Bezahlungsschemata, und führt die gesammelten Bezahlungen des Benutzers als eine Bezahlungseinheit 124 zu dem Vertei ler 114 weiter. Natürlich wird erwartet, dass die Verrechnungsstelle 122 einen Teil der Bezahlung 120 des Benutzers erhalten wird. Daraufhin erhält der Verteiler 114 einen Teil der Bezahlungseinheit 124 und führt eine Bezahlung 126 (einschließlich Lizenzgebühren) zu dem Autor und dem Verleger 110 weiter. In einer Ausführungsform dieses Schemas erwartet der Verteiler 114 ein Bündel von Benutzer-Anforderungen nach einem einzelnen Dokument ab, bevor irgendwas abgeschickt wird. Wenn dies vorgenommen ist, kann ein einzelnes Dokument mit einem modifizierten Inhalt 116 für eine Entschlüsselung durch alle anfordernden Benutzer erzeugt werden. Diese Technik ist ausreichend im Stand der Technik bekannt.
Zwischenzeitlich wird, zu dem Zeitpunkt, zu dem der Benutzer 118 ein Dokument anfordert (oder benutzt), eine Verrechnungs-Nachricht 128 zu einem Rechnungsprüfungs-Server 130 geschickt. Der Rechnungsprüfungs-Server 130 stellt sicher, dass jede Anforderung durch den Benutzer 118 zu einem Dokument passt, das durch den Verteiler 114 geschickt ist; Verrechnungs-Informationen 131 werden durch den Rechnungsprüfungs-Server 130 direkt von dem Verteiler 114 empfangen. Irgendwelche Unstimmigkeiten werden über einen Bericht 132 zu der Verrechnungsstelle 122 geschickt, die dann die Bezahlungseinheiten 124, vorgenommen zu dem Verteiler 114 hin, einstellen kann. Dieses Verrechnungs-Schema ist vorhanden, um die Möglichkeit eines Betrugs in diesem elektronischen Dokumenten-Verteilungs-Modell zu verringern, ebenso wie irgendwelche zeitabhängigen Benutzungs-Erlaubnisse zu handhaben, die zu Berechnungen führen können, die in Abhängigkeit von der Dauer oder einer anderen Umfang einer Benutzung variieren.
Das vorstehende Modell für Electronic Commerce in Dokumenten, dargestellt in 1, ist heutzutage in Benutzung. Wie im Detail nachfolgend dargestellt werden wird, ist es ebenso bei dem System und dem Verfahren, die hier für die Verteilung der selbstschützenden Dokumente angegeben sind, anwendbar.
In 2 nun sind die Schritte, durchgeführt durch den Benutzer 118 (1), in einem System nach dem Stand der Technik für eine elektronische Dokumenten-Verteilung dargestellt. Wie vorstehend diskutiert ist, werden kryptographische Mechanismen typischerweise dazu verwendet, Dokumente zu verschlüsseln. Diese verschlüsselten Dokumente werden dann verteilt und öffentlich gespeichert und privat durch autorisierte Benutzer dechiffriert. Dies führt zu einer Grundform eines Schutzes während einer Dokumenten-Lieferung von einem Dokumenten-Verteiler aus zu einem bestimmten Benutzer über ein öffentliches Netzwerk, ebenso wie während einer Dokumenten-Speicherung auf einem unsicheren Medium.
Zu Anfang wird ein verschlüsseltes Dokument 210 durch den Benutzer 118 empfangen und zu einem Entschlüsselungs-Schritt 212 geführt. Wie es im Stand der Technik bekannt ist, empfängt der Entschlüsselungs-Schritt 212 den privaten Schlüssel des Benutzers 118, der lokal an dem Computer des Benutzers gespeichert ist oder durch den Benutzer dann eingegeben wird, wenn er benötigt wird. Das Dokument 210 wird entschlüsselt, was zu einem klaren Inhalt 216, ähnlich oder identisch zu dem originalen Inhalt 112 (1), führt.
Das klare Dokument 216 wird zu einer Gestaltung- bzw. Wiedergabe-Anwendung 218 geführt, die Präsentations-Daten 220, oder eine nutzbare Version des originalen Inhalts 112 des Dokuments, konstruiert. In typischen Systemen dieser Art sind die Präsentations-Daten 220 Daten, die unmittelbar zur Anzeige auf einem Video-Schirm, zum Drucken als eine Hardkopie, oder für eine andere Benutzung, in Abhängigkeit von dem Dokumenten-Typ, geeignet sind.
Wie vorstehend diskutiert ist, ist das Dokument in Systemen ähnlich diesem gefährdet. Der klare Inhalt 216 kann kopiert, gespeichert oder weiter zu anderen Benutzern, ohne die Kenntnis oder die Zustimmung des Verteilers 114 oder des Autors/Verlegers 110 weitergeführt werden. Auch ein legitimierter Benutzer kann der Versuchung unterliegen, die Lizenzgebühren durch Erfassen des Dokuments in der klaren Form, um es weiter zu verteilen oder zu verwenden, ohne das geistige Eigentum der Inhalts-Eigner zu honorieren, zu minimieren. Wie vorstehend diskutiert ist, ist die vorliegende Erfindung auf ein Schema, um einen solchen Benutzer davor abzuhalten, eine nützliche Form des Dokuments während des Wiedergabe-Vorgangs auf dem System des Benutzers zu erhalten, gerichtet.
Dementsprechend geben das System und das Verfahren der vorliegenden Erfindung ein alternatives Schema zum Handhaben von verschlüsselten Dokumenten an dem System des Benutzers 118 an. Eine einfache Ausführungsform dieses Schemas ist in 3 dargestellt.
3 sieht ähnlich zu 2 dahingehend aus, dass ein verschlüsseltes Dokument 310 zu einem Entschlüsselungs-Schritt 312 (der einen privaten Schlüssel 314 verwendet) und einer Wiedergabe-Anwendung 316, was zu Präsentations-Daten 318 führt, weitergeführt wird. Allerdings ist eine zusätzliche Ebene eines Schutzes durch den Schutzmantel 320 vorgesehen. Der Schutzmantel 320 ermöglicht, dass das Dokument 310, ohne jemals einen klaren Inhalt zu belassen (wie in dem klaren Inhalt 216 der 2), der dahingehend verfügbar ist, begutachtet bzw. angesehen zu werden, entschlüsselt und wiedergegeben werden kann. Dies wird durch Einschließen von Entschlüsselungs- und Wiedergabe-Elementen innerhalb des Dokuments 310 durchgeführt, wie nachfolgend unter Bezugnahme auf 5 beschrieben werden wird. Die umfassten Entschlüsselungs- und Wiedergabe-Elemente sind dazu geeignet, den Eingriff des Benutzers mit der SPD zu begrenzen, was bestimmte Vorgänge (wie beispielsweise Sichern des Dokuments oder Durchführen von Kürzungs- und Anpassungs-Vorgängen) gemäß den Zulassungen des Benutzers zu verhindern.
4 zeigt eine anspruchsvollere Version. Das Schema der 4 umfasst einen Zwischen-„Polarisierungs"-Schritt, angepasst so, um das Dokument zu sichern, nachdem es entschlüsselt worden ist, allerdings bevor es wiedergegeben ist. Zuerst werden die Inhalte 410 des verschlüsselten Dokuments zu einem Polarisierer 412 geführt. Der Polarisierer 412 empfängt den privaten Schlüssel 414 des Benutzers und entschlüsselt, über einen Entschlüsselungs-Schritt 416, die Inhalte 410 des Dokuments. Gleichzeitig empfängt der Polarisierer 412 einen Polarisierungs-Schlüssel 418 von dem System des Benutzers.
Dieser Polarisierungs-Schlüssel 418 wird durch den Polarisierer 412 verwendet, um das Dokument in eine Version, die polarisierte Inhalte 420 besitzt, zu transformieren. Alle diese Vorgänge können offen stattfinden, ohne irgendeine Art eines Schutzmechanismus, vorausgesetzt, dass der Polarisierer 412 nicht eine klare Version des Dokuments zwischen der Entschlüsselung davon und der Polarisierung davon speichert.
In einer Ausführungsform der Erfindung stellt der Polarisierungs-Schlüssel 418 eine Kombination von Daten-Elementen, genommen von dem internen Zustand des Systems des Benutzers, wie beispielsweise das Datum und die Tageszeit, die seit dem letzten Tastenanschlag abgelaufene Zeit, die Geschwindigkeit und die Seriennummer des Prozessors, und irgendwelche anderen Informationen, die wiederholbar von dem System des Benutzers abgeleitet werden können, genommen werden. Es ist nützlich, solche über die Zeit abgeleitete Informationen in den Polarisierungs-Schlüssel 418 einzuschließen, so dass die Überwachung und die Belegung von polarisierten Inhalten 420 nützlich sein wür de. Weiterhin würde eine Wiedergabe des polarisierten Dokuments nicht möglich sein, da sich die Systemzeit zu sehr geändert haben würde.
Dann werden erneut innerhalb einer Schutzhülle 422 die polarisierten Inhalte 420 zu einer Wiedergabe-Anwendung 424 geführt. Wie vorstehend diskutiert ist, sind typische Wiedergabe-Anwendungen Anwendungen von Dritten, wie beispielsweise Microsoft Word oder Adobe Acrobat Reader. Allerdings ist es wahrscheinlich, dass solche externen Wiedergabe-Anwendungen nicht in der Lage sein werden, die polarisierten Inhalte 420, wie die Inhalte, irgendwelche Formatier-Code zu verarbeiten, und andere Cues, verwendet durch die Wiedergabe-Einrichtung, werden in dem Polarisierungs-Vorgang verschlüsselt worden sein.
Demzufolge muss die Wiedergabe-Anwendung 424 kommutativ (oder zumindest Fehlertolerant) sein oder sie muss polarisierte Inhalte 420 empfangen, die weitgehend vollständig und durch die Anwendung verarbeitbar sind. Die letztere Möglichkeit wird nachfolgend, in Verbindung mit 9, diskutiert werden.
Die Ausgabe der Wiedergabe-Anwendung sind polarisierte Präsentations-Daten 426, die durch die Wiedergabe-Anwendung 424 formatiert worden sind, allerdings noch polarisiert sind, und demzufolge nicht durch den Benutzer lesbar sind. Die polarisierten Präsentations-Daten 426 werden zu einem Depolarisierer 428 geführt, der den Polarisierungs-Schlüssel 418 empfängt und die originale Form des Dokuments wieder als Präsentations-Daten 430 speichert. In einer Ausführungsform der Erfindung wird die Depolarisierungs-Funktion mit der Wiedergabe- oder Anzeige-Funktion kombiniert. In diesem Fall werden die polarisierten Präsentations-Daten 426 direkt durch eine Anzeige-Vorrichtung empfangen, die getrennt von dem System des Benutzers vorliegen kann und Daten über einen Kommunikations-Kanal empfangen kann.
Eine Erzeugung des Polarisierungs-Schlüssels 418, die Wiedergabe-Anwendung 418 und der Depolarisierungs-Schritt 428 sind alle Elemente der Schutzhülle 422; diese sind fälschungsresistente Programm-Elemente. Es ist vorgesehen, dass alle Rechenschritte, die innerhalb der Schutzhülle 422 auftreten, nur lokale Daten verwenden werden und nicht temporäre Daten zu irgendeinem global zugänglichen Speichermedium oder einem Speicherbereich speichern werden; nur die expliziten Ergebnisse werden von der Schutzhülle 422 ausgegeben. Diese Maßnahme wird Benutzer daran hindern, einfach Be triebssystem-Eintrittspunkte zu modifizieren oder System-Ressourcen auszuwaschen, um so Zwischendaten abzufangen und zu nutzen.
Es sollte angemerkt werden, dass die Präsentations-Daten 430 der 4, in alternativen Ausführungsformen der Erfindung, entweder vorrichtungsunabhängig oder vorrichtungsabhängig sein können. In dem vorrichtungsunabhängigen Fall ist typischerweise eine zusätzliche Verarbeitung durch einen Vorrichtungs-Treiber (wie beispielsweise einen Anzeige-Treiber oder einen Drucker-Treiber) notwendig, um den Wiedergabe-Vorgang abzuschließen. In dem derzeit bevorzugten, vorrichtungsabhängigen Fall sind die vorrichtungsspezifischen Modifikationen in Bezug auf die Präsentations-Daten bereits vorgenommen worden (entweder in der Wiedergabe-Anwendung 424 oder dem Depolarisierungs-Schritt 428) und die Präsentations-Daten 430 können direkt zu der erwünschten Ausgabe-Vorrichtung geschickt werden.
Die Entschlüsselungs-Schemata, beschrieben unter Bezugnahme auf die 3 und 4 vorstehend, werden durch eine eindeutige Dokumenten-Struktur ermöglicht, die im Detail in 5 dargestellt ist. Wie vorstehend diskutiert ist, erfordern bestimmte Operationen, durchgeführt durch das System und das Verfahren der Erfindung, zuverlässige Komponenten. Eine Art und Weise, um sicherzustellen, dass ein bestimmter, nicht modifizierter Code verwendet wird, um die zuverlässigen Aspekte der Erfindung durchzuführen, ist diejenige, den Code zusammen mit den Dokumenten zu liefern. Die verschiedenen Komponenten eines selbstschützenden Dokuments gemäß der Erfindung sind in 5 dargestellt.
Das Problem eines Dokumenten-Schutzes wird durch die Erfindung ohne irgendwelche Annahmen über das Vorhandensein von gesicherten Hardware-Einheiten oder Software-Modulen in dem System des Benutzers vorgenommen. Dies wird durch Hervorheben eines Dokuments, dass es ein aktives Meta-Dokumenten-Objekt ist, durchgeführt. Inhalts-Eigner (d.h. Autoren oder Verleger) hängen Rechte an ein Dokument an, die die Typen von Benutzungen, die notwendigen Autorisierungen und die zugeordneten Gebühren spezifizieren, und ein Software-Modul, das die Zulassungen, erteilt dem Benutzer, durchsetzt. Diese Kombination des Dokuments, der zugeordneten Rechte und der angehängten Software-Module, die die Rechte durchsetzen, ist das selbstschützende Dokument (Self-Protecting Document – „SPD") der Erfindung. Ein selbstschützendes Dokument verhindert die nicht autorisierte und unkontrollierte Benutzung und Verteilung des Dokuments, um dadurch die Rechte der Inhalts-Eigner zu schützen.
Das selbstschützende Dokument 510 umfasst drei funktionale Hauptsegmente: ein ausführbares Code-Segment 512 enthält bestimmte Bereiche eines ausführbaren Codes, notwendig, um dem Benutzer zu ermöglichen, das verschlüsselte Dokument zu verwenden; ein Rechte- und Genehmigungssegment 514 enthält Daten-Strukturen, die für verschiedene Niveaus eines Zugriffs repräsentativ sind, die für verschiedene Benutzer zugelassen werden; und ein Inhaltssegment 516 umfasst den verschlüsselten Inhalt 116 (1), von dem angenommen wird, dass er durch den Benutzer betrachtet wird.
In einer bevorzugten Ausführungsform der Erfindung umfasst das Inhaltssegment 516 des SPD 510 drei Unterabschnitte: Dokumenten-Meta-Informationen 518 (umfassend, allerdings nicht darauf beschränkt, den Titel des Dokuments, das Format und ein Revisions-Datum), Rechte-Label-Informationen 520 (wie beispielsweise einen Copyright-Hinweis, angehängt an den Text, ebenso wie Rechte- und Erlaubnis-Informationen) und den geschützten Inhalt 520 (das verschlüsselte Dokument selbst).
In einer Ausführungsform der Erfindung umfasst das Rechte- und Erlaubnis-Segment 514 Informationen über spezifische Rechte jedes autorisierten Benutzers. Eine Liste von Zeitpunkten und Bedingungen kann an jedes Benutzungsrecht angehängt werden. Zum Beispiel kann dem Benutzer John Doe das Recht gegeben werden ein bestimmtes Dokument anzusehen, und es zweimal zu drucken, für Kosten von $10. In diesem Fall identifiziert das Rechte- und Erlaubnis-Segment 514 John Doe, ordnet ihm zwei Rechte zu (ein Recht zum Ansehen und ein Recht zum Drucken) und spezifiziert Zeitpunkte und Bedingungen, umfassend den Preis ($10) und eine Begrenzung in Bezug auf das Drucken (zweimal). Das Rechte- und Erlaubnis-Segment 514 kann auch Informationen über andere Benutzer umfassen.
In einer alternativen Ausführungsform umfasst das Rechte- und Erlaubnis-Segment 514 nur eine Verknüpfung zu externen Informationen, die Informationen über Rechte spezifizieren. In einem solchen Fall werden die tatsächlichen Rechte und Erlaubnisse irgendwo gespeichert, zum Beispiel an einem vernetzten Erlaubnis-Server, der zu jedem Zeitpunkt abgefragt werden muss, zu dem das Dokument verwendet werden soll. Diese Maßnahmeführt zu dem Vorteil, dass Rechte und Erlaubnisse dynamisch durch die Inhalts-Eigner aktualisiert werden können. Zum Beispiel kann der Preis für ein Ansehen erhöht werden, oder Rechte eines Benutzers können beendet werden, falls eine nicht autorisierte Benutzung erfasst worden ist.
In jedem Szenarium wird das Rechte- und Erlaubnis-Segment 514 kryptographisch signiert (durch Verfahren, die im Stand der Technik bekannt sind), um ein unbefugtes Hantieren mit den spezifischen Rechten und Erlaubnissen zu verhindern; es kann auch verschlüsselt werden, um zu verhindern, dass der Benutzer direkt die Rechte und Erlaubnisse von sich selbst und anderen betrachtet.
Das ausführbare Code-Segment 512, auch bezeichnet als die „SPD Kontrolle", enthält auch verschiedene Unterabschnitte, wobei jeder davon ein Software-Modul zumindest teilweise innerhalb des ausführbaren Code-Segments aufweist. In einer Ausführungsform der Erfindung wird eine Java Programmiersprache für die SPD Kontrolle verwendet; allerdings ist vorgesehen, dass irgendeine plattform-unabhängige oder plattform-spezifische Sprache, entweder interpretiert oder zusammengestellt, in einer Ausführung dieser Erfindung verwendet werden kann.
Eine Rechte-Durchsetzungs-Einrichtung 524 ist vorhanden, um die Identität des Benutzers zu verifizieren, eine angeforderten Vorgang durch den Benutzer mit solchen Vorgängen zu vergleichen, die in dem Rechte- und Erlaubnis-Segment 514 aufgeführt sind, und um den angeforderten Vorgang in Abhängigkeit von den spezifizierten Rechten zuzulassen oder zu verweigern. Die Betriebsweise der Rechte-Durchsetzungs-Einrichtung 524 wird in weiterem Detail, nachfolgend, in Verbindung mit 7, diskutiert werden.
Eine gesicherte Polarisierungs-Engine 526 ist auch innerhalb des ausführbaren Code-Segments 512 vorhanden; sie dient dazu, die Daten entsprechend dem System-Zustand (oder dem Polarisierungs-Schlüssel) zu lesen und zu polarisieren, wie dies vorstehend diskutiert ist. In einer bevorzugten Ausführungsform der Erfindung arbeitet die Polarisierungs-Engine 526 unter dem Dokument, bevor es gespeichert oder entschlüsselt wird, so dass das Dokument niemals in der klaren Form auf dem System des Benutzers gespeichert wird. Die Polarisierungs-Engine 526 ist gesichert, das bedeutet sie ist kryptographisch signiert und verschlüsselt, um einen unerlaubten Eingriff, ein Reverse-Engineering, und ein Zerlegen zu verhindern.
Eine Gegenstück-Depolarisierungs-Engine 528 ist auch enthalten, um die Erzeugung von klaren Präsentations-Daten von dem polarisierten Inhalt zu ermöglichen (siehe 4). Die Depolarisierungs-Engine umfasst einen Satz von sicheren Fenster-Objekten, was eine relativ manipuliersichere Schnittstelle zu der wiedergebenden API (application programm interface – Anwnedungs-Programm-Schnittstelle) des Systems des Benutzers schafft. Die sicheren Fenster-Objekte sind dafür resistent, dass sie abgefangen werden, um dadurch die Möglichkeit zu verringern, dass das Dokument, in seiner klaren Form, durch Abfangen und Empfangen der Daten, vorgesehen für das Betriebsprogramm, rekonstruiert werden kann.
Eine Gegenstück-Depolarisations-Engine 528 ist auch umfaßt, um die Erzeugung von klaren Präsentations-Daten von dem polarisierten Inhalt zu ermöglichen (siehe 4). Die Depolarisations-Engine 528 liefert eine relativ manipuliersichere Schnittstelle zu der logischen oder physikalischen Ausgabevorrichtung (z.B. Anzeigevorrichtung des Benutzers). Die Eingabe zu der Depolarisations-Engine 528 sind polarisierte Präsentations-Daten. Deshalb wird, wenn diese Daten abgefangen werden, sie nicht irgendeinen klaren Inhalt ohne eine weitere Depolarisation, die, zum Beispiel, von dem System-Zustand des Benutzers abhängt, aufdecken.
Ein sicherer Betrachter 530 ist optional in dem ausführbaren Code-Segment 512 umfaßt. Der sichere Betrachter 530 wird dazu verwendet, nur solche Niveaus eines Zugangs zuzulassen, die entsprechend dem Rechte- und Zulassungs-Segment 514 zugelassen sind. Zum Beispiel wird, falls der Benutzer nur ausreichende Rechte zum Betrachten eines Dokuments erworben hat (und nicht dazu, es zu sichern oder es zu Drucken), der Betrachter nicht dem Benutzer erlauben, es zu sichern, zu drucken oder die standardmäßigen Cut-and-Paste-Operationen, möglich in den meisten modernen Betriebssystemen, durchzuführen.
Schließlich ist eine Wiedergabe-Engine innerhalb des ausführbaren Code-Segments 512 umfaßt oder es wird darauf Bezug genommen. Die Wiedergabe-Engine 532 muß nicht sicher sein. Dementsprechend kann der Code für die Wiedergabe-Engine 532 innerhalb des SPD-Applet umfaßt sein oder kann alternativ von einer bestimmten anderen Stelle aufgesucht werden (über eine sichere Verbindung). In jedem Fall ist die Wiedergabe-Engine 532 so angepaßt, um Inhalte eines polarisierten Dokuments und erzeugte, polarisierte Präsentations-Daten davon zu empfangen (siehe 4).
Die vorstehenden Aspekte und Elemente des selbstschützenden Dokuments 510 werden in weiterem Detail nachfolgend, in Verbindung mit dem Betrieb des Systems, diskutiert.
6 stellt die Schritte dar, die dann durchgeführt werden, wenn ein selbstschützendes Dokument 510 erzeugt und verteilt wird. Ein allgemeines SPD 610 umfasst keine benutzerspezifischen Rechte-Informationen und ist nicht für irgendeinen bestimmten Benutzer verschlüsselt. Das allgemeine SPD 610 wird aus drei Elementen erzeugt: dem Inhalt 612 des originalen Dokuments, in klarer (unverschlüsselter) Form; einer Hoch-Niveau-Rechte-Spezifikation 614 und einem optionalen Wasserzeichen 616.
Der Inhalt 612 wird vorverarbeitet (Schritt 618), um das Dokument so, wie es durch den Autor oder den Verleger erwünscht ist, anzuordnen. Zum Beispiel können eine bevorzugte Seitengröße, ein Schriftzeichensatz und Seiten-Layout ausgewählt werden. Der Inhalt 612 ist im Wesentlichen in dem Inhalt-Vorverarbeitungs-Schritt „vorgestaltet", so dass er in einem Format vorhanden sein wird, das mit Systemen des Benutzers und dem SPD kompatibel ist. Zum Beispiel kann der Inhalt 612 von Microsoft Word („.DOC") oder Adobe Acrobat („.PDF") Format zu einem unterschiedlichen Format umgewandelt werden, das spezifisch dazu angepasst ist, durch die Wiedergabe-Engine 532 gelesen zu werden (5). In einer Ausführungsform der Erfindung werden mehrere Versionen des Inhalts 612 durch den Inhalt-Vorverarbeitungs-Schritt erzeugt und in dem allgemeinen SPD 610 gespeichert; diese unterschiedlichen Versionen können dann getrennt durch den Benutzer entsprechend seinen Erfordernissen erworben werden.
Die Hoch-Niveau-Rechte-Spezifikation 614 gibt an, welche Kombinationen von Zugangsrechten zulässig sind. Eine solche Rechte-Spezifikation ist auf ein bestimmtes Dokument zugeschnitten und ist dazu geeignet, unterschiedliche Gruppen von Rechten für unterschiedliche Klassen ausgabeseitiger Benutzer zu beschreiben. Zum Beispiel kann einem Verleger das Recht gegeben werden, bis zu 100.000 Kopien eines Dokuments unter einer Gebühr von $1,00 pro Kopie zu verteilen, wobei zusätzliche Kopien eine Gebühr von $2,00 erzielen. Ähnlich kann Benutzern die Option gegeben werden, eine Version des Dokuments zu erwerben, die nach einem Monat, einem Jahr, oder niemals „ausläuft". Verschiedene, mögliche Einschränkungen werden unter Bezugnahme auf ein detailliertes Beispiel, das nachfolgend angegeben ist, beschrieben.
Digital Property Rights Language (DPRL) ist eine Sprache, die dazu verwendet werden kann, Rechte für digitale Arbeiten zu spezifizieren. Sie liefert einen Mechanismus, in dem unterschiedliche Zeitpunkte und Bedingungen spezifiziert werden können und Rechte durchgesetzt werden können. Rechte-Spezifikationen werden als Angaben in DPRL dargestellt. Für Details siehe, zum Beispiel, US-Patent Nr. 5,715,403 für Stefik, mit dem Titel „System for Controlling the Distribution and Use of Digital Works Having Attached Usage Rights Where the Usage Rights are Defined by a Usage Rights Grammar". Ein Durchführen der Rechte und eine Verifizierung der Bedingungen, die diesen Rechten zugeordnet sind, wird unter Verwendung der SPD Technologie durchgeführt.
Unterschiedliche Rechte können für unterschiedliche Teile einer digitalen Arbeit unter Verwendung einer „Arbeit" Spezifikation spezifiziert werden. Innerhalb einer Arbeit-Spezifikation werden unterschiedliche Sätze von Rechten, die auf diese Arbeit anwendbar sind, spezifiziert. Rechte können in benannte Gruppen, bezeichnet als „Rechte-Gruppen", gruppiert werden. Jedes Recht innerhalb einer Rechte-Gruppe ist zu einem Satz von Bedingungen zugeordnet. Bedingungen können von unterschiedlichen Typen sein: Gebühr, die bezahlt werden muss, Zeit einer Benutzung, Typ eines Zugriffs, Typ eines Wasserzeichens, Typ einer Vorrichtung, auf der der Vorgang durchgeführt werden kann, usw.. DPRL ermöglicht unterschiedliche Kategorien von Rechten: Übertragung-Wiedergaberechte, Rechte für eine ableitbare Arbeit, Datei-Verwaltungs-Rechte und Konfigurations-Rechte. Transport-Rechte verwalten die Bewegung einer Arbeit von einem Aufbewahrungsort zu einem anderen. Wiedergaberechte verwalten das Drucken und die Anzeige einer Arbeit, oder, noch allgemeiner, das Übertragen einer Arbeit über einen Transducer zu einem externen Medium (dies umfasst das „Export" Recht, das dazu verwendet werden kann, Kopien in klarer Form vorzunehmen). Rechte für eine ableitbare Arbeit verwalten die Wiederverwendung einer Arbeit beim Erzeugen von neuen Arbeiten. Datei-Verwaltungs-Rechte verwalten das Herstellen und das Wiederspeichern von Sicherungskopien. Schließlich beziehen sich Konfigurations-Rechte auf die Installation einer Software in Aufbewahrungsorten. {XE „Rechte: Kategorien von"}
Eine Spezifikation einer beispielhaften Arbeit in DPRL ist nachfolgend angegeben:
Diese Arbeit-Spezifikation besitzt eine Rechte-Gruppe, bezeichnet als „regulär", die Rechte für standardmäßige Einzelhandels-Editionen eines Buchs mit dem Titel „Zuke-Zack, the Moby Dog Story" spezifiziert. Die Arbeit-Spezifikation drückt Bedingungen für verschiedene Rechte aus: Abspielen, Drucken, Übertragen, Kopieren, Löschen, Sichern und erneutes Speichern. Die Arbeit in dem Beispiel umfasst zwei andere Teile, eine Fotografie und ein Diagramm von Sorten, die von anderen Quellen eingeschlossen sind. Eine „Bündel" Spezifikation bündelt einen Satz von gemeinsamen Bedingungen, die für alle Rechte in der Gruppe gelten. Diese Spezifikation gibt an, dass alle Rechte in der Gruppe bis zum 1. Januar 1998 gültig sind und dass die Gebühr zu Gunsten von „Jones-PBLSH-18546789" gezahlt werden sollte. Die Verrechnungsstelle für diese Transaktion sollte Visa sein. Der nachfolgende Vertrag gilt: die Arbeit kann durch Bezahlen von $1,00 jede Stunde gespielt werden, wobei die Gebühr nach der Sekunde akkumuliert wird; die Arbeit kann auf TrustedPrinter-6 gedruckt werden, der durch „DPT" zertifiziert ist, für eine Gebühr von $10,00 pro Druck; die gedruckte Kopie sollte eine Wasserzeichen-Folge (wie gezeigt) und eine Liste von Token, die „Fingerabdruck" Informationen, bekannt zu dem Zeitpunkt, zu dem es gedruckt ist, angeben, haben; diese Arbeit kann entweder durch Bezahlen von $10,00 oder durch Erwerben eines Verteiler-Zertifikats von Murphy Publishing kopiert werden; und eine unbegrenzte Übertragung, Löschung oder Sicherung dieser Arbeit ist zugelassen (Kosten für eine erneute Speicherung $5,00).
Die Hoch-Niveau-Rechte-Spezifikation 614 ist auch Gegenstand eines Vorverarbeitungs-Schritts (Schritt 620), in dem die Hoch-Niveau-(d.h. durch eine Person lesbare)-Spezifikation in eine effizientere Daten-Struktur-Darstellung zur Benutzung durch die Erfindung zusammengestellt wird.
Das allgemeine SPD 610 wird dann durch Kombinieren des vorverarbeiteten Inhalts 612, der vorverarbeitenden Rechte-Spezifikation 614 und des Wasserzeichens 616 erzeugt. Ein Wasserzeichen kann zu irgendeiner Einrichtung, bekannt im Stand der Technik, hinzugefügt werden; es kann entweder sichtbar oder innerhalb des SPD verdeckt sein. Das allgemeine SPD 610 kann auch optional durch einen Autor/Verleger 110 zum Übertragen zu dem Verteiler 114 (1) verschlüsselt sein.
Das allgemeine SPD 610 wird dann durch den Verteiler 114 empfangen und wird für eine spätere Kundenanpassung gespeichert. Wenn eine Benutzer-Anforderung 624 durch den Verteiler 114 empfangen ist (entweder direkt oder über die Verrechnungsstelle 122 oder eine andere Zwischenstelle), erzeugt der Verteiler 114 einen Satz von Benutzer-Erlaubnissen (Schritt 626), der mit sowohl der Benutzer-Anforderung 624 als auch der Rechte-Spezifikation 614 konsistent ist. Falls kein solcher konsistenter Satz von Erlaubnissen vorhanden ist, dann wird kein weiterer Vorgang zu Gunsten dieses Benutzers durchgeführt (eine andere als eine optionale Hinweis-Nachricht an den Benutzer).
Die Benutzer-Erlaubnisse und der öffentliche Schlüssel 628 des Benutzers werden dann dazu verwendet, ein kundenspezifisches SPD 632 zu erzeugen (Schritt 630), das dazu angepasst ist, durch den Benutzer verwendet zu werden. Die Benutzer-Erlaubnisse von Schritt 626 werden dann in dem Rechte- und Erlaubnis-Segment 514 des SPD 632 gespeichert und der öffentliche Schlüssel 628 des Benutzers wird dazu verwendet, den Inhalt des Inhaltsegments 516 des SPD 632 zu verschlüsseln. Ein Verschlüsselungs-Mechanismus für einen öffentlichen Schlüssel kann dazu verwendet werden, das SPD von der allgemeinen Form zu dem kundenspezifischen SPD 632 zu transformieren. Ein solcher Mechanismus ist dann nützlich, wenn das SPD vertraulich zwischen unterschiedlichen Parteien, z.B. von einem Autor zu einem Verleger zu einem Einzelhandel zu einem Kunden, mit einem Rechte-Schutz an jeder Stufe, übertragen werden muss. Es sollte weiterhin angemerkt werden, dass mehrere Benutzer-Anforderungen zusammengestellt und innerhalb eines einzelnen SPD 632 aufgenommen sein können; dabei sind Techniken, die im Stand der Technik bekannt sind, vorhanden, die in der Lage sind, mehrere öffentliche Schlüssel zu verwenden, um ein Dokument zu verschlüsseln, so dass irgendeiner der privaten Schlüssel des Benutzers dazu verwendet werden kann, es zu entschlüsseln.
Das sich ergebende Kunden-SPD 632 wird dann zu dem Benutzer 118 durch irgendeine verfügbare Einrichtung, wie beispielsweise über ein Computer-Netzwerk, oder gespeichert auf einem physikalischen Medium (wie beispielsweise einer magnetischen oder optischen Platte), übertragen.
Die Vorgänge, durchgeführt dann, wenn ein Benutzer ein SPD empfängt, sind in dem Flussdiagramm der 7 angegeben. Das SPD wird zuerst an dem System des Benutzers empfangen und gespeichert (Schritt 710); in vielen Fällen ist es nicht notwendig, das SPD unmittelbar zu verwenden. Wenn eine Benutzung erwünscht ist, wird der Benutzer zuerst authentifiziert (Schritt 712), typischerweise mit einem Benutzer-Namen und einem Passwort oder Schlüssel. Das System bestimmt dann, welche Aktion durch den Benutzer erwünscht ist (Schritt 714). Wenn eine Aktion ausgewählt ist, verifiziert der Rechte-Durchsetzungs-Schritt der Erfindung (Schritt 716) die Bedingungen, die der erwünschten Aktion zugeordnet sind (wie beispielsweise die Gebühr, die Zeit, das Niveau eines Zugriffs, das Wasserzeichen, oder andere Bedingungen); dies kann lokal über ein SPD-Programm 512 (5) oder durch Zugreifen auf einen Rechte-Durchsetzungs-Server durchgeführt werden.
Falls der Rechte-Durchsetzungs-Schritt (Schritt 716) fehlschlägt, wird ein Aktualisierungs-Vorgang (Schritt 718) vorgenommen. Der Benutzer kann auswählen, seine Erlaubnisse zu aktualisieren, zum Beispiel durch Autorisieren von zusätzlichen Gebühren. Nach der zufriedenstellenden Verifizierung von Bedingungen wird ein Vor-Audit-Vorgang (Schritt 718) durchgeführt, in dem das SPD-System einen Verifizierungs-Status zu einem Trakking-Service (z.B. dem Audit-Server 130 der 1) einloggt. Der Inhalt wird dann sicher auf dem Bildschirm (Schritt 722) wiedergegeben, wie dies vorstehend diskutiert ist. Wenn der Benutzer fertig ist, wird ein Post-Audit-Vorgang (Schritt 724) durchgeführt, in dem der Umfang einer Benutzung mit dem Tracking-Service aktualisiert wird. Das SPD-System wartet dann auf einen weiteren Vorgang.
Der Schutz, erzielt durch das SPD, wird von der Unfähigkeit des Benutzers abgeleitet, eine nützliche Form des Dokuments an irgendeiner Zwischenstufe während des Wiedergabe-Vorgangs zu erfassen. Dies wird durch Entschlüsseln der Dokumenten-Inhalte in eine klare Form an der spätesten, möglichen Stufe, idealerweise in der letzten Stufe, durchgeführt.
Das SPD-Entschlüsselungs-Modell ist in 8 dargestellt. E bezeichnet die Verschlüsselungs-Funktion, durchgeführt durch den Verleger; D bezeichnet die Entschlüsselung, durchgeführt an dem System des Benutzers, und R bezeichnet die Wiedergabe-Transformation. Viele frühere Systeme verwenden eine erste Sequenz von Transformationen 810, D(E)x)), gefolgt durch R(D(E(x))). Wie zuvor angegeben ist, belässt die frühere Entschlüsselung das Dokument in einem verwundbaren Zustand. Idealerweise werden die Transformationen in der umgekehrten Reihenfolge 812 durchgeführt, R'(E(x)), gefolgt durch D(R'(E(x))). Dies schiebt die Entschlüsselung zu dem spätesten, möglichen Zeitpunkt hinaus.
Die Existenz von R', ein Wiedergabe-Vorgang, der vor einer Entschlüsselung durchgeführt werden kann, wird durch die folgende Gleichung bestimmt: D(R'(E(x))) = R(D(E(x)))
In dem Fall, dass die Verschlüsselungs- und Entschlüsselungs-Funktionen kommutativ sind, das bedeutet E(D(x)) = D(E(x)) für irgendein x, wird die Existenz von R' sichergestellt: R'(y) = E(R(D(y)))für y = E(x)
In der Praxis erfüllen Verschlüsselungs- und Entschlüsselungs-Funktionen in populären, kryptographischen Systemen mit öffentlichem Schlüssel, wie beispielsweise dem RSA System und dem EIGamal diskreten Logarithmus-System, das Kommutations-Erfordernis. Dies bedeutet, dass die Transformation R' dann existiert, wenn diese kryptographischen Systeme für eine Verschlüsselung und Entschlüsselung verwendet werden.
Der Pfad x' = D(R'(E(x))) porträtiert eine ideale SPD Lösung zu einem Dokumenten-Schutz gegen eine nicht autorisierte Dokumenten-Benutzung und Verteilung. Ein Szenarium einer Verteilung und einer Verwendung eines Dokuments kann wie folgt beschrieben werden. Wenn ein Benutzer das Dokument erwirbt, ist das Dokument unter Verwendung einer öffentlichen Information des Benutzers verschlüsselt und wird über einen nicht sicheren Netzwerk-Kanal, wie beispielsweise das Internet, übertragen. Das verschlüsselte Dokument besitzt Rechte-Informationen, die an diese angehängt sind, und ein Schutz-Programm 512, das die Rechte und die Erlaubnisse, die dem Benutzer durch den Inhalt-Eigner erteilt sind, durchsetzt. Unter einer Anforderung des Benutzers für eine Benutzung des Dokuments verifiziert das Programm die Rechte und Erlaubnisse und erzeugt von dem verschlüsselten Dokument das Präsentations-Format des originalen Dokuments. Da irgendeine Zwischenform des Dokuments vor den Endpräsentations-Daten mit privaten Informationen des Benutzers verschlüsselt ist, stellt das SPD-Modell eines Dokumenten-Schutzes sicher, dass irgendeine Zwischenform des Dokuments nicht für andere Systeme, immer wenn es abgefangen wird, nutzbar ist.
Es ist deutlich, dass dieses ideale Modell darauf beruht, ob die Transformation R', die der Wiedergabe-Transformation R entspricht, effizient berechnet werden kann, und insbesondere darauf, ob ein Aufruf der Entschlüsselungs-Funktion D während einer Aus führung von R' notwendig ist oder nicht. Ein trivialer Fall, bei dem R' effizient implementiert werden kann, liegt dann vor, wenn R mit der Verschlüsselungs-Funktion E kommutativ ist. Wenn dies der Fall ist, gilt R'(y) = E(R(D(y))) = R(E(D(y))) = R(y)für y = (E(x). In diesem Fall gilt R' = R.
Ein Betrachten der 8 ergibt, dass viele Zwischenlösungen (z.B. Zwischenlösungen 814, 816 und 818) für das Dokumenten-Schutz-Problem an dem System des Benutzers zwischen den zwei Extrema x' = R(D(E(x)) existieren können, das keinen Schutz an x = D(E(x)), und x' = D(R'(E(x))), besitzt, was einen idealen Schutz besitzt (unter den Annahmen, die vorstehend angegeben sind). Wie in 8 gezeigt ist, kann man unterschiedliche Pfade von dem verschlüsselten Dokument E(x) zu den Präsentations-Daten x' betrachten, die unterschiedlichen Kombinationen von Teil-Wiedergabe-Transformationen und Teil-Entschlüsselungs-Transformationen entsprechen. Wiederum sollte erkannt werden, dass das Verzögern der Entschlüsselung D in irgendeinem Pfad das Niveau eines Schutzes in Bezug auf das Dokument erhöht.
Wie vorstehend diskutiert ist, setzt ein alternatives Verfahren eines Verzögerns einer Entschlüsselung auf den spätestens möglichen Zeitpunkt eine Polarisations-Technik ein, die nur die Dokumenten-Inhalte, nicht das Format oder das gesamte Dokument als ein Ganzes, verschlüsselt. Diese Möglichkeit ist in 9 dargestellt. Beginnend mit dem Inhalt 910 des klaren Dokuments (das, was angemerkt werden sollte, nicht in irgendeiner einzelnen, identifizierbaren Stelle während der Verarbeitung des Benutzers existiert, allerdings in einem Übergangs-Zustand vorliegt, der innerhalb des Schritts 412 der 4 auftritt), wird das Dokument in einen Daten-Teil 914 und einen Format-Teil 916 aufgeteilt (Schritt 912). Der Daten-Teil 914 wird unter Verwendung des Polarisierungs-Schlüssels 920 polarisiert (Schritt 918) und mit dem klaren Format-Teil 919 vereinigt (Schritt 922). Dies führt zu einem polarisierten Inhalt 924, der in polarisierte Darstellungs-Daten ohne zuerst Entschlüsseln des Inhalts gestaltet wiedergegeben werden kann. Es sollte beachtet werden, dass diese Form einer Polarisation weniger sicher als eine Großhandels-Verschlüsselung mit dem Polarisierungs-Schlüssel ist, da eine Menge an Informationen potenziell von dem Layout eines Dokuments, Wortlängen, Zeilenlänge, usw., abgeleitet werden kann; allerdings wird dieses Schema ein nützliches Abwehrmittel darstellen, um eine Copyright-Verletzung zu verursachen.
Während bestimmte, beispielhafte Ausführungsformen der Erfindung im Detail vorstehend beschrieben worden sind, sollte erkannt werden, dass andere Formen, Alternativen, Modifikationen, Versionen und Variationen der Erfindung ebenso arbeiten und für Fachleute auf dem betreffenden Fachgebiet ersichtlich sein werden. Zum Beispiel können die Bereiche der Erfindung, die vorstehend beschrieben worden sind, die als Software-Komponenten beschrieben worden sind, als Hardware ausgeführt werden. Weiterhin können, während bestimmte funktionale Blöcke hier als eine separate und unabhängige Form voneinander beschrieben sind, diese funktionalen Blöcke konsolidiert werden und auf einem einzelnen Computer für allgemeine Zwecke durchgeführt werden, oder können weitenhin in Unterfunktionen so, wie sie im Stand der Technik erkannt werden, unterteilt werden.
Gemäß einer bevorzugten Ausführungsform des Verfahrens zum Erzeugen eines selbstschützenden Dokuments weist der Modifizierungs-Schritt weiterhin den Schritt einer Vorverarbeitung des unverschlüsselten Dokuments auf. Zusätzlich weist es vorteilhafter Weise den Schritt einer kundenspezifischen Anpassung des allgemeinen, selbstschützenden Dokuments auf.
Der kundenspezifische Schritt weist vorzugsweise die Unterschritte eines Empfangens einer Anforderung für das Dokument eines Benutzers, Empfangen des öffentlichen Schlüssels eines Benutzers, Erzeugen eines Rechte- und Erlaubnis-Segments, das mit der Dokumenten-Anforderung des Benutzers und der Rechte-Spezifikation übereinstimmend ist, ein Verschlüsseln des Segments des originalen Inhalts, um ein verschlüsseltes Inhalt-Segment zu erzeugen, und Kombinieren des Code-Segments, des Rechte- und Erlaubnis-Segments und des verschlüsselten Inhalts-Segments, um ein kundenangepasstes, selbstschützendes Dokument zu erzeugen, auf.
Gemäß einer bevorzugten Ausführungsform des Verfahrens zum Verwenden eines selbstschützenden Dokuments, das das verschlüsselte Inhalt-Segment eines Systems eines Benutzers besitzt, weist der Schritt eines Modifizierens des Segments des verschlüsselten Inhalts den Schritt eines Transformierens des verschlüsselten Inhalt-Segments über einen Verschlüsselungs-Algorithmus und Einsetzen des Polarisierungs-Schlüssels auf. Weiterhin weist der erneute Verschlüsselungs-Schritt die Unterschritte eines Identifizierens von Daten-Informationen und von Format-Informationen innerhalb des verschlüsselten Inhalt-Segments, Separieren der Daten-Informationen und der Format- Informationen von dem verschlüsselten Inhalt-Segment, Verschlüsseln der Daten-Informationen mit dem Polarisierungs-Schlüssel und Kombinieren der verschlüsselten Daten-Informationen mit den Format-Informationen, um den polarisierten Inhalt zu erzeugen, auf.
Gemäß einer vorteilhaften Ausführungsform weist der Polarisierungs-Schlüssel eine Kombination von Zustands-Informationen, abgeleitet von dem System des Benutzers, auf.

Claims

Selbstschützendes Dokument (510), das als auf einem dinglichen Speichermedium gespeicherte Daten verkörpert ist, wobei das selbstschützende Dokument umfasst: ein verschlüsseltes Inhaltssegment (516), das Daten enthält, die den Inhalt des Dokumentes repräsentieren und einen Datenteil (914) und einen Formatteil (916) enthält; ein Genehmigungssegment (514); gekennzeichnet durch ein Segment mit ausführbarem Code (512), welches ein Polarisationsteilsegment enthält, das angepasst ist, das Inhaltesegment (516) durch Transformieren des Datenteils (914) zu polarisieren, wobei das Polarisationsteilsegment des Weiteren angepasst ist, den polarisierten Datenteil (914) mit dem nichtpolarisierten Formatteil (916) zu verbinden; und wobei die Transformation, die für die Polarisierung des Datenteils (914) verwendet wird, ein Verschlüsselungsschema ist, welches kryptografisch weniger sicher sein kann, als das Verschlüsselungsschema, das zur Erzeugung des verschlüsselten Inhaltesegmentes (516) verwendet wird.
Selbstschützendes Dokument (510) gemäß Anspruch 1 oder 2, wobei das Codesegment (512) umfasst: ein Rechtedurchsetzungsteilsegment (524); ein Wiedergabeteilsegment (Rendering-Teilsegment).
Selbstschützendes Dokument (510) gemäß Anspruch 1 oder 2, wobei das Polarisierungsteilsegment des Weiteren zum Entschlüsseln und zum Wiedergeben der Daten angepasst ist.
Selbstschützendes Dokument (510) gemäß Anspruch 3, wobei das Polarisierungsteilsegment ein Polarisierungssystem (526), ein Wiedergabesystem (532) und ein Depolarisierungssystem (528) umfasst.
Selbstschützendes Dokument (510) gemäß Anspruch 3, wobei das Polarisierungsteilsegment einen computerausführbaren Code enthält, der angepasst ist, das verschlüsselte Inhaltesegment (516) zu modifizieren.
Selbstschützendes Dokument (510) gemäß Anspruch 3, wobei das Polansierungsteilsegment computerausführbaren Code enthält, der angepasst ist, das verschlüsselte Inhaltesegment (516) in ein polarisiertes Inhaltesegment zu modifizieren.
Selbstschützendes Dokument (510) gemäß Anspruch 4, wobei das Wiedergabesystem (532) angepasst ist, polarisierte Dokumenteinhalte zu empfangen und daraus polarisierte Darstellungsdaten zu erzeugen.
Selbstschützendes Dokument (510) gemäß Anspruch 4, wobei das Depolarisierungssystem (528) angepasst ist, polarisierte Darstellungsdaten zu empfangen und ein klares Inhaltesegment zu erzeugen.
Verfahren zum Herstellen eines selbstschützenden Dokumentes (510), welches die folgenden Schritte umfasst: Empfangen eines unverschlüsselten Dokumentes (612); Modifizieren (618) des unverschlüsselten Dokumentes (612), um ein ursprüngliches Inhaltesegment (516) zu erzeugen, welches einen Datenteil (914) und einen Formatteil (916) umfasst; Erzeugen einer Rechtespezifikation (514; 614); Erzeugen eines Codesegmentes (512), welches ein Polarisierungsteilsegment einschließt, das angepasst ist, das Inhaltesegment (516) mittels Transformierens des Datenteils (914) und des Verbindens des polarisierten Datenteils (914) mit dem nichtpolarisierten Formatteil (916) zu polarisieren; wobei die Transformation, die für das Polarisieren des Datenteils (914) benutzt wird, ein Verschlüsselungsschema ist, das kryptografisch weniger sicher sein kann, als das Verschlüsselungsschema, das für das Erzeugen des verschlüsselten Inhaltesegmentes (516) verwendet wird; und Verbinden (622) des ursprünglichen Inhaltesegmentes (516), der Rechtespezifikation (514; 614) und des Codesegmentes (512), um ein allgemeines selbstschützendes Dokument (510; 610) zu erzeugen.
Verfahren gemäß Anspruch 9, wobei der Modifizierungsschritt (618) einen Schritt des Verschlüsselns des unverschlüsselten Dokumentes (612) umfasst.
Verfahren zum Benutzen eines selbstschützenden Dokumentes (510) in einem Benutzersystem (118), wobei das selbstschützende Dokument (510) ein verschlüsseltes Inhaltesegment (516) besitzt, welches einen Datenteil (914) und einen Formatteil (916) hat, wobei das selbstschützende Dokument (510) des Weiteren ein Segment (512) mit ausführbarem Code hat und wobei das Verfahren die folgenden Schritte umfasst: Erhalten eines Polarisationsschlüssels (418; 920); Verändern (918) des verschlüsselten Inhaltesegmentes (516) mit dem Polarisationsschlüssel (418; 920), wobei das Verändern (918) innerhalb eines Polarisierers (412), der in dem Benutzersystem (118) umfasst ist, ausgeführt wird, wobei das Verändern (918) das Erzeugen von polarisiertem Inhalt (420) mittels dem Entschlüsseln des verschlüsselten Inhaltesegmentes (516), dem Polarisieren des Inhaltesegmentes (516) mittels Transformieren des Datenteils (914) und dem Verbinden (922) des polarisierten Datenteiles mit dem nichtpolarisierten Formatteil (916) umfasst; wobei die Transformation, die für das Polarisieren des Datenteils (914) benutzt wird, ein Verschlüsselungsschema ist, welches kryptografisch weniger sicher sein kann, als das Verschlüsselungsschema, welches für das Erzeugen des verschlüsselten Inhaltesegmentes (516) verwendet wird und wobei der Polarisationsschlüssel (418; 920) ein Verschlüsselungsschlüssel des Verschlüsselungsschemas ist, das für das Polarisieren des Datenteils (914) verwendet wird; Bereitstellen des polarisierten Inhaltes (420; 924) an eine Wiedergabeanwendung (Rendering-Anwendung); Wiedergeben, durch die Wiedergabeanwendung, des polarisierten Inhaltes (420; 924), um wiedergegebenen (rendered) polarisierten Inhalt (426) als Ausgabe an ein Ausgabegerät zu erzeugen; Depolarisieren des wiedergegebenen (rendered) polarisierten Inhaltes (426) mit dem Polarisationsschlüssel (418; 920), um wiedergegebenen klaren Inhalt (430) zu erzeugen; und Übermitteln des wiedergegebenen klaren Inhaltes (430) an das Ausgabegerät.
Verfahren gemäß Anspruch 11, wobei der Schritt des Veränderns (918) des verschlüsselten Inhaltesegmentes (516) das Polarisieren des verschlüsselten Inhaltesegmentes (516) mit dem Polarisationsschlüssel (418; 920) zum Erzeugen von polarisiertem Inhalt (420; 924) umfasst.
Verfahren gemäß Anspruch 12, wobei der Schritt des Polarisierens des verschlüsselten Inhaltesegmentes (516) einen Unterschritt des Transformierens des verschlüsselten Inhaltesegmentes (516) mittels eines Entschlüsselungsalgorithmus, welcher den Polarisationsschlüssel (418; 920) verwendet, umfasst.