ES2312483T3 - Arquitectura de difusion segura de datos por paquetes. - Google Patents
Arquitectura de difusion segura de datos por paquetes. Download PDFInfo
- Publication number
- ES2312483T3 ES2312483T3 ES01984286T ES01984286T ES2312483T3 ES 2312483 T3 ES2312483 T3 ES 2312483T3 ES 01984286 T ES01984286 T ES 01984286T ES 01984286 T ES01984286 T ES 01984286T ES 2312483 T3 ES2312483 T3 ES 2312483T3
- Authority
- ES
- Spain
- Prior art keywords
- data
- encrypted
- header
- encryption
- fragment
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0245—Filtering by information in the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
- H04L69/166—IP fragmentation; TCP segmentation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
- H04L2463/101—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying security measures for digital rights management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)
Abstract
Método para la transmisión basada en paquetes seguros de datos de contenidos desde una estación de cabecera (1; 4; 74, 83) hacia al menos un cliente (3; 78 a 81), a través de al menos una red (2; 77, 82) a la cual se conectan la estación de cabecera (1; 4; 74, 83) y el cliente (3; 78 a 81), que comprende: - recuperar un paquete de datos no codificados que comprende una carga útil sin cifrar; - dividir la carga útil sin cifrar en dos o más fragmentos (50, 51); - aplicar un algoritmo de cifrado a cada fragmento (50, 51) para generar fragmentos cifrados (52, 53); - generar una cabecera de cifrado (54, 55) para cada fragmento cifrado (52, 53); - componer un paquete con datos cifrados para cada fragmento cifrado (52, 53), comprendiendo el fragmento (52, 53), la cabecera de cifrado (54, 55) para el fragmento (52, 53) y una cabecera de paquete de datos (56, 57); y - transmitir cada uno de los paquetes compuestos (3; 78 a 81) de este modo al cliente.
Description
Arquitectura de difusión segura de datos por
paquetes.
La invención se refiere al campo de la emisión
basada en paquetes seguros, tanto emisión múltiple como emisión
unitaria, de datos de contenidos, y más concretamente al campo del
cifrado de datos codificados en paquetes. También se refiere al
campo de la transmisión de claves de cifrado, información de
autorización e información que especifica cómo recuperar claves e
información de autorización, desde la estación de cabecera de
emisión/emisión múltiple hacia los usuarios de los contenidos.
La invención se refiere a un método para la
transmisión basada en paquetes seguros de datos de contenidos desde
una estación de cabecera hacia al menos un cliente, a través de al
menos una red a la cual se conectan la estación de cabecera y el
cliente.
El cifrado y la emisión de contenidos se conocen
del campo de la emisión de televisión. Con la llegada de Internet,
se inició la emisión de contenidos a través de este medio,
utilizando los protocolos estándar definidos para Internet. Los
contenidos transmitidos a través Internet deben estar además
cifrados para evitar su visionado ilegal. Los receptores de los
contenidos (clientes) son típicamente PC (ordenadores personales),
que realizan múltiples tareas. Es importante que el proceso de
cifrado no tenga demasiado impacto sobre el rendimiento del PC del
cliente. También es muy importante que el mecanismo de descifrado
sea independiente de las tarjetas de red y de las aplicaciones. Si
esto se consigue, se producirá una reducción de costes significativa
para el proveedor del sistema de descifrado. La aplicación sólo
tiene que estar adaptada para nuevos sistemas operativos y se puede
utilizar por tanto en cualquier configuración de hardware de
interfaz de red y de software de procesamiento de datos para
cualquier aplicación de emisión múltiple o unitaria.
Para poder descifrar la información cifrada, se
deben enviar las claves de cifrado al cliente (receptor y
visionador de los contenidos). Para poder determinar si un cliente
está autorizado para utilizar o visualizar los contenidos, se deben
enviar las condiciones de acceso de los contenidos al cliente. En el
entorno de la emisión de televisión, se envía esta información como
parte de los contenidos utilizando un tipo especial de mensaje, el
Mensaje de Control de Autorización (ECM). Un mensaje de este tipo
contiene las claves de cifrado y las condiciones de acceso del
programa.
Además del ECM, también se tienen que enviar
Mensajes de Gestión de Autorización (EMM) a los clientes. Un EMM es
un mensaje que establece el perfil de acceso de un visionador, en
otras palabras, que autoriza al cliente a descodificar un servicio
particular.
A partir del documento "Kent BBN Corp R
Atkinson @Home Network S: (Carga útil de Seguridad Encapsulada para
IP (ESP); rfc2406.txt) estándar IETF, Grupo de Trabajo en Ingeniería
de Internet, IETF, CH, Noviembre 1998 (1998-11),
XP015008190 ISSN:0000-0003" se da a conocer una
cabecera de Carga útil de Seguridad Encapsulada (ESP) diseñada para
proporcionar una mezcla de servicios de seguridad sobre IPv4 e IPv6.
Se pueden facilitar servicios de seguridad entre un par de
servidores en comunicación, entre un par de puertas de enlace de
seguridad en comunicación, o entre una puerta de enlace de
seguridad y un servidor. Se inserta la cabecera ESP después de la
cabecera IP y antes de la cabecera del protocolo de la capa superior
(modo transporte) o antes de la cabecera IP encapsulada (modo
túnel).
La invención da a conocer un método del tipo
mencionado anteriormente para la transmisión basada en paquetes
seguros de datos de contenidos desde una estación de cabecera hacia
al menos un cliente, que comprende:
- -
- recuperar un paquete de datos no codificados que comprende una carga útil sin cifrar;
- -
- dividir la carga útil sin cifrar en dos o más fragmentos;
- -
- aplicar un algoritmo de cifrado a cada fragmento para generar fragmentos cifrados;
- -
- generar una cabecera de cifrado para cada fragmento cifrado;
- componer un paquete con datos cifrados para cada fragmento cifrado, comprendiendo el fragmento, la cabecera de cifrado y una cabecera de paquete de datos para el fragmento; y
- -
- transmitir cada uno de los paquetes compuestos de este modo al cliente.
De este modo, debido a que la carga útil sin
cifrar se divide en fragmentos y que se genera un paquete de datos
cifrados para cada fragmento, un cliente que recibe el paquete de
datos cifrados no tendrá que utilizar una memoria intermedia para
recoger la totalidad de la carga útil cifrada antes de iniciar el
descifrado de los datos cifrados. En su lugar, el cliente puede
descifrar cada fragmento a medida que éste llega, lo que requiere
menos recursos de los disponibles en el cliente y acelera el proceso
de descifrado.
En una realización preferente, la cabecera de
cifrado de al menos un fragmento dispone de información relativa a
la longitud del paquete de datos no codificados y de información
relativa a una suma de verificación de la carga útil sin cifrar,
para facilitar el reensamblaje del paquete de datos no codificados
en el cliente.
A partir de esta información, se puede componer
una nueva cabecera en el cliente, antes de que lleguen todos los
fragmentos que comprenden la carga útil cifrada. Se puede pasar el
fragmento que comprende esta nueva cabecera de forma inmediata al
software estándar para reensamblar los fragmentos de un paquete de
datos no codificados, eliminando de este modo la necesidad de algún
tipo de software especial para llevar a cabo esta tarea para los
paquetes con datos cifrados en la pila de protocolos.
Un descifrado rápido y un requerimiento bajo de
recursos por parte del cliente representan además ventajas
inherentes del sistema del tipo mencionado anteriormente de acuerdo
con la invención, en el que el cliente comprende una unidad de
descifrado para generar datos no codificados mediante el descifrado
de datos cifrados comprendidos en los paquetes de datos recibidos y
para generar fragmentos de paquete de datos a partir de los datos
no codificados. Como el cliente es capaz de componer los paquetes de
datos a partir de fragmentos de paquete de datos, se pueden
ensamblar directamente los fragmentos de paquete de datos en
paquetes de datos no codificados después del descifrado.
A continuación se describirá la invención con
más detalle en relación a los dibujos adjuntos, de los cuales:
la figura 1 representa una visión general de una
realización del sistema de acuerdo con la invención, adecuada para
la emisión múltiple,
la figura 2 representa un diagrama de
componentes de una estación de cabecera en una realización del
sistema de acuerdo con la invención, la cual es adecuada para
llevar a cabo un método para la emisión basada en paquetes seguros
de datos de acuerdo con la invención,
la figura 3 representa un diagrama de
componentes de un cliente de acuerdo con la invención,
la figura 4 representa un diagrama de flujo con
etapas seleccionadas en el proceso de cifrado,
la figura 5 representa la generación de paquetes
con datos cifrados utilizando un método de acuerdo con la
invención,
la figura 6 representa un diagrama de flujo con
etapas seleccionadas en el proceso de descifrado,
la figura 7 representa la generación de un
fragmento de paquete de datos no codificados a partir de un paquete
con datos cifrados utilizando un método de acuerdo con la
invención,
la figura 8 representa un diagrama de visión
general de una realización de un sistema de acuerdo con la invención
que utiliza emisión múltiple por satélite en el cual se puede
implementar descifrado de cliente final o descifrado de puerta de
enlace,
la figura 9 representa un diagrama de descifrado
de cliente final en un entorno combinado de satélite e Internet.
Esta descripción detallada proporcionará una
visión general del funcionamiento de un sistema para la transmisión
basada en paquetes seguros de datos de contenidos de acuerdo con la
invención. A continuación se describirá con detalle el
funcionamiento de los subsistemas de cifrado y descifrado del
sistema y la aplicación del método de acuerdo con la invención para
llevar a cabo el cifrado y el descifrado de paquetes IP.
La descripción cubrirá además el formateo de
mensajes IPEMM, IPECM y de información IP. Estos mensajes se
utilizan en esta realización para autorizar a un cliente a hacer uso
de un servicio particular, para recibir datos pertenecientes a un
servicio particular, y para identificar el servicio y habilitar al
cliente para recibir los mensajes de acceso condicional del
servicio, respectivamente. La descripción se extenderá
adicionalmente sobre el método que se utiliza para transferir los
mensajes de acceso condicional al cliente.
En la figura 1 se representa una realización del
sistema de acuerdo con la invención utilizada para la emisión de
datos, ya sea emisión múltiple, general o unitaria. Ésta comprende
un terminal de transmisión, de aquí en adelante designado como
estación de cabecera (1). Se puede implementar el sistema según una
variedad de formas utilizando una variedad de equipos que van desde
un único dispositivo independiente hasta una serie de ordenadores y
dispositivos conectados en red (LAN, WAN, o enlaces de acceso
telefónico).
La estación de cabecera (1) es el punto en el
cual se reúnen y formatean los contenidos. La estación de cabecera
(1) utiliza un método para la emisión basada en paquetes seguros de
datos de contenidos de acuerdo con la invención para cifrar los
datos de contenidos, generando paquetes con datos cifrados. Los
datos de contenidos cifrados son multiplexados, si es necesario, y
a continuación emitidos. Estas funciones se pueden llevar a cabo en
una ubicación central o en una serie de ubicaciones, realizando cada
una de ellas una cierta función sobre los contenidos.
La salida de la estación de cabecera de emisión
(1) son datos en forma de paquetes, por ejemplo datos IP, con los
contenidos cifrados, los cuales son emitidos a continuación a través
de una red (2) de emisión. Esta puede ser cualquier tipo de red:
satélite, cable, terrestre, DSL (línea digital de abonado),
Internet, LAN, WAN, Inalámbrica (GPRS, UMTS) o cualquier tipo
futuro de red que proporcione acceso a los abonados del operador.
La red (2) de emisión puede ser una interconexión de redes, un grupo
de redes de diferentes tipos conectadas entre sí. El operador se
refiere a la entidad que proporciona un servicio de emisión múltiple
cifrada a abonados autorizados.
Si la red (2) es una red IP, entonces se utiliza
de forma ventajosa el protocolo de emisión múltiple IP para emitir
contenidos a los abonados del operador y no a todos los usuarios de
la interconexión de redes. Los contenidos se emiten por emisión
múltiple y se reciben en los terminales de los abonados, designados
de aquí en adelante como clientes (3). Un cliente (3) puede ser
cualquier dispositivo receptor capaz de recibir las emisiones
múltiples y entregar los contenidos (PC, un descodificador de señal
digital, o cualquier otro terminal). El cliente (3) comprende
típicamente un PC que está equipado con un dispositivo de seguridad
y algún software. El dispositivo de seguridad puede ser una tarjeta
inteligente que haga de interfaz con el PC mediante un lector de
tarjetas inteligentes.
Se ejecuta un software estándar para recibir
datos en forma de paquetes en el cliente (3). Éste comprende un
conjunto de programas para procesar diferentes partes del paquete de
datos. Los programas están dispuestos por capas jerárquicas en una
pila de protocolos de red. Si los datos han sido emitidos de acuerdo
con el protocolo IP, entonces se dice que el programa utilizado
para procesar los paquetes de datos recibidos en el cliente (3)
forma una pila IP. El software en el nivel inferior extrae la
primera cabecera, la cabecera IP, que comprende una dirección IP.
Si un paquete de datos llega al cliente (3) en fragmentos de paquete
de datos, entonces éstos son almacenados en una memoria intermedia,
hasta que se completa todo el paquete. El software en el nivel
superior asegura que los datos se facilitan como entrada al programa
correcto. Este software utiliza una cabecera adicional en el
paquete de datos, codificada de acuerdo con un protocolo de la capa
de transporte, tal como UDP o TCP.
Un cliente (3) en el sistema de acuerdo con la
invención recibe los paquetes de datos emitidos. Tal como se ha
mencionado anteriormente, los paquetes con datos cifrados recibidos
por el cliente (3) han sido generados a partir de un fragmento de
una carga útil sin cifrar, utilizando un método de acuerdo con la
invención. En la realización preferente, se selecciona el tamaño de
fragmento para que se mantenga el tamaño de los paquetes con datos
cifrados por debajo de una unidad máxima de transmisión de la red.
Por lo tanto, no llegarán en fragmentos, eliminando cualquier
necesidad de almacenamiento intermedio.
A continuación, los datos cifrados en los
paquetes son descifrados en el lado del cliente (3) utilizando un
método para procesar paquetes de datos recibidos de acuerdo con la
invención. El cliente (3) comprende una unidad de descifrado para
descifrar los datos cifrados comprendidos en los paquetes de datos
recibidos y para generar fragmentos de paquete de datos a partir de
los datos cifrados, los cuales pueden ser pasados al software de la
pila de protocolos de red. De esta manera, se entregan datos no
codificados de emisión múltiple a una aplicación.
En la figura 2 se representa una realización (4)
de una estación de cabecera de acuerdo con la invención. Ésta
contiene un sistema (5) de cifrado IP. Este sistema (5) es
típicamente un PC en funcionamiento en la estación de cabecera (4)
y puede estar equipado con algún hardware especializado para
realizar el cifrado IP. El sistema (5) de cifrado IP es un conjunto
de software y/o hardware personalizado que tienen la función de
cifrar y gestionar uno o más canales/servicios de emisión múltiple
cifrada. Un servicio está compuesto por uno o más flujos de datos.
Por ejemplo un servicio puede estar compuesto por un flujo1 =
video, flujo2 = audio1, flujo3 = audio2.
El sistema (5) de cifrado puede ser implementado
como un servidor dedicado a las tareas mencionadas anteriormente o
puede ser un programa que se ejecuta en un PC que realiza muchas
otras funciones. El sistema (5) de cifrado se implementa de forma
ventajosa utilizando un buen esquema de redundancia para asegurar
que el sistema (5) de cifrado está siempre disponible para evitar
cualquier interrupción en el servicio.
El sistema (5) de cifrado comprende una unidad
(6) de cifrado. La unidad (6) de cifrado del sistema (5) de cifrado
IP recupera paquetes de datos no codificados que comprenden una
cabecera de paquete de datos no codificados, la cabecera IP, una
dirección, la dirección IP, y una carga útil sin cifrar, y dichos
datos deben ser emitidos por emisión múltiple o unitaria. Estos
paquetes de datos IP se originan en una fuente (7) y pasan a través
de una interfaz (8) hacia la unidad (6) de cifrado. La fuente (7)
puede ser un flujo de datos de emisión multipunto o cualquier otra
fuente de contenidos adecuada. La interfaz (8) se implementa
preferentemente utilizando los protocolos IP/UDP, aunque cualquier
otro protocolo adecuado, por ejemplo IP/TCP, puede ser igualmente
bien utilizado, debido a que la invención no depende de los
protocolos utilizados para la comunicación entre componentes de la
estación de cabecera (4).
La unidad (6) de cifrado se puede implementar
como una tarjeta de hardware separada para mejorar el rendimiento o
como un programa de ordenador que se ejecuta en un servidor. En
cualquier sistema (5) de cifrado puede haber una o más de estas
unidades (6) de cifrado y pueden estar dispuestas en la misma o en
diferentes ubicaciones. La salida de la unidad (6) de cifrado
comprende paquetes IP cifrados.
La unidad (6) de cifrado cifra los datos
utilizando unas claves recibidas desde un gestor (9) de cifrado,
comprendido en el sistema (5) de cifrado. El gestor (9) de cifrado
comprende una función (10) Generadora de Claves, mostrada de forma
simbólica en la figura 2.
El gestor (9) de cifrado es la unidad que
gestiona el proceso de Cifrado. Presenta las siguientes
funciones:
- \bullet
- Especificar periodos de ciclo de Clave (frecuencia con que se cambian las claves).
- \bullet
- Interfaces para el Sistema (13) CA.
- \bullet
- Determinar el Tiempo de Vida de los Paquetes IP transmitidos.
- \bullet
- Enviar mensajes de acceso condicional a los receptores;
- \bullet
- Interfaces para un organizador externo, por ejemplo un sistema externo de gestión de una estación, para recibir avisos. Los avisos se utilizan para definir Flujos de Datos procedentes de un Organizador. Esta es la forma de definir un flujo de datos procedente de un sistema externo.
- \bullet
- Interfaces para adaptadores de red para recibir y enviar datos.
- \bullet
- Cifrado de servicios estáticos que deben ser cifrados.
- \bullet
- Generar y transferir claves a las unidades (6) de cifrado.
Se recurrirá a la Función (10) Generadora de
Claves del gestor (9) de cifrado para generar claves aleatorias de
la longitud requerida en un intervalo establecido. Se ha demostrado
que una realización que proporciona una seguridad adecuada en la
práctica utiliza una Clave de 56 Bits y el Algoritmo Blowfish para
cifrar los datos IP, pero se puede utilizar cualquier algoritmo o
longitud de clave adecuados. El gestor (9) de cifrado puede recibir
avisos desde un organizador local o un sistema (11) externo de
gestión de una estación para cambiar o definir nuevos flujos de
datos en una emisión. Los avisos procedentes del sistema (11)
externo de gestión de estación pasan a través de una interfaz (12)
entre el sistema (11) externo de gestión de una estación y el
gestor (9) de cifrado. La interfaz (12) puede, por ejemplo, utilizar
el protocolo IP/UDP o el protocolo IP/TCP.
La estación de cabecera (4) comprende
adicionalmente un Sistema (13) de Acceso Condicional (CA). El
sistema (13) CA se puede implementar como un conjunto de programas
en el sistema (5) de cifrado o como un sistema independiente
funcionando sobre su propio hardware. El sistema (13) CA comprende
un generador (14) ECM, que genera Mensajes de Control de
Autorización (ECM) que utilizan claves de cifrado y condiciones de
acceso. La función (10) generadora de Claves proporciona al
primero, mientras que un Gestor (15) de Servicio proporciona
al
segundo.
segundo.
Como parte de la invención, estos ECM están
destinados a su transmisión hacia los clientes (3) en forma de
paquetes de datos, designados como IPECM. Mediante la transmisión de
ECM que comprenden información de descifrado en forma de paquetes
de datos, se puede autorizar de forma selectiva a un cliente (3)
para recibir datos pertenecientes a un servicio particular. Sólo si
el cliente (3) está habilitado para extraer la clave y el resto de
la información de descifrado, como el algoritmo utilizado, a partir
de los ECM enviados con un servicio particular, el cliente (3)
puede además descifrar los paquetes con los datos de contenidos
proporcionados como parte del servicio.
Un generador (16) EMM en el sistema (13) CA
genera Mensajes de Gestión de Autorización (EMM), también destinados
para ser transmitidos hacia los clientes (3) en forma de paquetes
de datos. Éstos son referidos como IPEMM, y se utilizan para
autorizar y desautorizar a clientes para utilizar un servicio
particular. Los EMM y los ECM se utilizan comúnmente en sistemas de
acceso condicional, que son conocidos en la industria, y que no se
explican en este caso con gran detalle.
El generador (16) EMM recibirá órdenes de
gestión de abonado desde un Sistema (17) local de Gestión de Abonado
(SMS), que contiene detalles del abonado, o desde un SMS (18)
externo que se comunica a través de una interfaz (19) de SMS. Esta
interfaz (19) estará implementada en la mayoría de las realizaciones
utilizando el protocolo IP/TCP o un protocolo de red similar.
Las órdenes de gestión de abonado presentarán el
formato establecido por la implementación exacta del sistema (13)
CA que se utiliza, pero típicamente son órdenes para:
- \bullet
- activar a un abonado;
- \bullet
- desactivar a un abonado;
- \bullet
- añadir una autorización (perfil de acceso);
- \bullet
- eliminar una autorización;
- \bullet
- establecer/reestablecer contraseñas; y
- \bullet
- obtener/introducir crédito para Pago Por Visión (PPV), y órdenes para cualquier otra función que se pueda necesitar para gestionar el módulo de seguridad del sistema (13) CA.
Las interfaces (20, (21) están dispuestas para
la comunicación entre el gestor (15) de servicio y el generador
(14) ECM, y entre el SMS (17) y el generador (16) EMM,
respectivamente. Las interfaces (20, (21) pueden, por ejemplo,
estar implementadas utilizando el Modelo de Objetos de Componentes
Distribuidos, o una interfaz de tipo similar, tal como la
Arquitectura Común de Intermediarios en Peticiones a Objetos.
Los EMM y los ECM son devueltos al gestor de
cifrado (9). El gestor (9) de cifrado añadirá cabeceras de paquete,
información adicional y una suma de verificación para crear los
mensajes IPECM e IPEMM.
Se pasan las claves desde el gestor (9) de
cifrado hasta el generador (14) ECM, y los ECM son devueltos a
través de una interfaz (23). Se pasan los EMM desde el generador
(16) EMM hasta el gestor (9) de cifrado a través de otra interfaz
(24). Estas interfaces (23), (24) se pueden implementar utilizando
los protocolos IP/UDP e IP/TCP. Adicionalmente, también es posible
autentificar y cifrar la comunicación entre el sistema de cifrado
IP (5) y el sistema (13) CA utilizando técnicas conocidas tales como
criptografía de clave pública o cualquier otro esquema
adecuado.
adecuado.
También se crearán mensajes INFO para su
transmisión hacia los clientes en forma de paquetes de datos, para
indicar la ubicación de los IPECM y los IPEMM. De esta manera,
mediante el envío a los clientes (3) de Mensajes de Información que
identifican un servicio y que comprenden información para recibir
mensajes pertenecientes al servicio, los IPEMM y los IPECM sabrán
cómo reconocer los paquetes que codifican los EMM y los ECM. Si se
utiliza el Protocolo de Internet (IP) para generar paquetes de
datos, los paquetes con datos cifrados y los IPEMM y los IPECM
pueden ser identificados de forma sencilla mediante una dirección IP
o un puerto IP. Un cliente (3) reconocerá un paquete de datos como
perteneciente al servicio mediante la dirección de la cabecera IP o
mediante un puerto en la cabecera TCP o UDP.
Se pueden enviar los IPEMM y los IPECM a los
clientes (3) como flujos de datos separados utilizando cualquier
red adecuada. Puede ser la misma red (2) tal como se utiliza para
emitir los contenidos u otra. Es posible enviarlos por separado,
debido a que los mensajes INFO permiten que los clientes (3)
reconozcan los IPEMM y los IPECM.
Para enviar los paquetes de datos que comprenden
los datos de contenidos cifrados y los paquetes de datos que
comprenden los mensajes CA (los IPEMM, los IPECM y los mensajes
INFO), la estación de cabecera (4) presenta una interfaz (25) de
red.
En una realización del método para la emisión
basada en paquetes seguros de datos de contenidos de acuerdo con la
invención, los paquetes de datos que comprenden los mensajes CA
comprenden una dirección y/o puerto (IP) diferentes con respecto a
los paquetes con datos cifrados. Esto permite que los mensajes sean
enviados como flujos de datos separados, es decir, fuera de banda.
También se puede concebir que los mensajes sean enviados fuera de
banda mediante el establecimiento de un indicador en la cabecera de
cada paquete de datos que contiene parte del mensaje. Esto permite
distinguir los mensajes de los paquetes que comprenden datos de
contenidos cifrados.
Es una ventaja tratar de forma separada los
mensajes CA enviados en forma de paquetes de datos, ya que las
claves de descifrado pueden cambiar. Obviamente, debe estar
disponible de una clave nueva en el cliente (3) antes de que los
paquetes con datos cifrados bajo una nueva clave lleguen al cliente
(3), para evitar que el proceso de descifrado se interrumpa.
\newpage
En una realización preferente, un mensaje INFO
transmitido en la red (2) presenta el siguiente formato:
\vskip1.000000\baselineskip
\vskip1.000000\baselineskip
Un ejemplo de un IPECM transmitido en la red (2)
presenta el siguiente formato:
\vskip1.000000\baselineskip
Un ejemplo de un IPEMM transmitido en la red (2)
presenta el siguiente formato:
El Sistema (5) de Cifrado IP comprende una
interfaz (22) entre el gestor (9) de cifrado y la unidad (6) de
cifrado, que utiliza mensajes de los cuales dos importantes son el
mensaje "Define Flujo de Datos" y el mensaje "Define
Clave".
El mensaje "Define Flujo de Datos" define
un único canal de datos de aplicación (contenidos a utilizador por
una aplicación en el cliente (3)) para ser cifrados y distribuidos
por la estación de cabecera (4). Se identifica un único "flujo de
datos" mediante una combinación de una única dirección y puerto
IP. Por ejemplo, los datos que se transmiten a la dirección
224.0.0.1, puerto 1001, pueden ser un único flujo de datos
denominado por ejemplo "Audio". Los datos de la dirección
224.0.0.1, puerto 1002 pueden comprender otro flujo de datos,
denominado por ejemplo "Video". También es posible especificar
todos los puertos, de modo que un flujo de datos se identifique
únicamente mediante la dirección IP. El mensaje puede ser utilizado
tanto para añadir un flujo de datos a un servicio como para
eliminarlo. Se utiliza un mensaje de respuesta desde la unidad de
cifrado (6) para acusar recibo del mensaje "Define Flujo de
Datos".
El mensaje "Define Clave" define la clave a
utilizar en relación a un servicio. La longitud de clave y los
contenidos de clave se especifican en este mensaje. También se
especifican el algoritmo de cifrado y el tiempo de vida para los
paquetes IP generados a partir de esta información, así como
cualquier información adicional. Se utiliza un mensaje de respuesta
desde la unidad (6) de cifrado hasta el gestor (9) de cifrado para
acusar recibo del mensaje "Define Clave".
Tal como se representa en la figura 3, un
Sistema (26) de Descifrado IP del cliente (3) comprende un receptor
(27) IP para recibir datos IP por emisión, ya sea múltiple o
unitaria. El receptor (27) IP puede ser un módem, una interfaz de
red o cualquier otro dispositivo capaz de recibir datos desde la red
(2).
El receptor (27) IP pasa los paquetes de datos
recibidos a la capa (28) NDIS del cliente [NDIS: Especificación de
Interfaz de controlador de Red es una API estándar (interfaz de
programa de aplicación) para controladores de red.] La capa (28)
NDIS ofrece la posibilidad de obtener fragmentos IP antes de que
pasen a una pila (29) IP. Aunque en este caso se especifica la NDIS
como la capa de interfaz de controlador de red preferente, se puede
utilizar cualquier otra capa que proporcione acceso a los fragmentos
IP antes de que éstos sean pasados a la pila (29) IP.
La pila (29) IP tiene la función de recibir los
fragmentos de un paquete IP, almacenarlos temporalmente si es
necesario hasta que se han recibido todos, y a continuación
combinarlos en un paquete IP completo. En esta invención, una
unidad (30) de descifrado intercepta los fragmentos desde la capa
(28) NDIS, antes de que pasen a la pila (29). Cada fragmento es
descifrado y pasado inmediatamente a la pila (29) IP a través de la
capa (28) NDIS, eliminado así la necesidad de realizar el
almacenamiento temporal en la unidad (30) de descifrado.
Este elemento de la invención obliga una carga
de procesamiento muy pequeña impuesta por el proceso de descifrado
al cliente (3). Pasar los fragmentos a la pila (29) IP a través de
la capa (28) NDIS presenta la ventaja de hacer el proceso de
cifrado completo transparente a la pila (29)IP. La pila (29)
IP no tiene que estar personalizada para proporcionar una interfaz
para la unidad (30) de descifrado IP.
Al utilizar el método para la emisión basada en
paquetes seguros de acuerdo con la invención, el tamaño del paquete
IP habrá sido ya ajustado a la unidad máxima de transmisión de la
red (2) de emisión. Los fragmentos con datos cifrados que llegan al
cliente (3), comprenderán de esta manera un paquete IP entero, de
modo que no es necesario realizar almacenamiento intermedio antes
del cifrado.
Otro elemento del Sistema (26) de Descifrado IP
es un gestor (31) de descifrado. Éste procesará los mensajes IPECM,
IPEMM e INFO, recibidos desde la pila (29) IP a través de la
interfaz (32). El gestor (31) de descifrado extraerá los ECM y los
EMM de los IPEMM y los IPECM y los enviará a un elemento de
seguridad. Las claves de descifrado son devueltas por el elemento
de seguridad si el elemento de seguridad está autorizado para
recibir los contenidos.
Se puede implementar el elemento de seguridad
mediante un hardware seguro, o si es factible, mediante un software
seguro. En la realización representada en la figura 3, el elemento
seguro es una tarjeta (33) inteligente, insertada en un lector (34)
de tarjeta inteligente, conectada al cliente (3) a través de una
interfaz (35). La interfaz (35) utiliza un estándar conocido para
el intercambio de datos, por ejemplo, el Interfaz de Componentes
Periféricos o el Bus Serie Universal.
Se envía la información, incluyendo las claves
de descifrado, desde el gestor (31) de descifrado hacia la unidad
(30) de descifrado, a través de una interfaz (36), utilizando un
método de comunicación de bajo nivel, tal como IOCTL, para ser
utilizado en el descifrado de los fragmentos IP.
El gestor (31) de descifrado utiliza los
mensajes INFO que recibe para localizar los IPEMM, los IPECM y los
contenidos cifrados. La información que se envía a la unidad (30) de
descifrado desde el gestor (31) de descifrado, a través de la
interfaz (36) comprende direcciones IP, puertos IP y claves.
Una vez que los fragmentos IP descifrados han
sido ensamblados de nuevo como paquetes IP por la pila (29) IP, se
procesan estos paquetes IP y se pasan los contenidos no codificados
a una aplicación (37) o a unas aplicaciones en el cliente (3) que
utilizan los contenidos emitidos. Los contenidos se pueden utilizar
para su visualización, almacenamiento en un medio de
almacenamiento, reformateo o para cualquier otra acción sobre los
contenidos o para pasar los contenidos a cualquier otro dispositivo
o aplicación. El proceso de descifrado completo es invisible o
transparente a las aplicaciones (37).
La interfaz (36) dispuesta entre el gestor (31)
de descifrado y la unidad (30) de descifrado hace uso de mensajes,
de los cuales los dos más importantes son el mensaje "Define Flujo
de Datos", para definir un flujo de datos de contenidos para un
servicio, y el mensaje "Define Clave" para comunicar una nueva
clave a la unidad (30) de descifrado. En la realización preferente,
el formato de los mensajes "Define Flujo de Datos" y de los
mensajes "Define Clave" es substancialmente el mismo que el de
los mensajes idénticamente denominados utilizados para la
comunicación entre la unidad (6) de cifrado y el gestor (9) de
cifrado del sistema (5) de cifrado IP. Se prevén mensajes
adicionales entre el gestor (31) de descifrado y la unidad (30) de
descifrado, dependiendo de la configuración particular del cliente
(3), aunque esos mensajes no son esenciales para la presente
invención.
A continuación se describirá de forma más
completa el método para la emisión basada en paquetes seguros de
datos de contenidos desde una estación de cabecera (1); (4) hasta
los clientes (3) en relación a las figuras 4 y 5. La figura 4
representa una selección de etapas de procesamiento llevadas a cabo
en la estación de cabecera (1); (4). La figura 5 representa los
diferentes componentes de un paquete IP no codificado y del paquete
IP generado con datos cifrados.
Una etapa (38) llevada a cabo en la estación de
cabecera (1); (4) comprende la recepción de datos CA, que
comprenden una clave de cifrado, en la estación de cabecera (1);
(4), a partir de la cual se extraen los datos del servicio. La
unidad (6) de cifrado recibe los datos del servicio, es decir, la
dirección IP, el puerto, las claves de cifrado y el tipo de
algoritmo, desde el gestor (9) de cifrado. Esto ocurre de forma
periódica a medida que cambian las claves o la configuración del
servicio.
En una etapa (39) posterior, se actualiza una
tabla (40) de consulta en la unidad (6) de cifrado utilizando los
datos del servicio recibidos. Esta tabla (40) de consulta puede
comprender datos del servicio para varios flujos de datos,
adecuando así la estación de cabecera (1); (4) para el cifrado de
datos procedentes de múltiples fuentes y/o múltiples flujos de
datos procedentes de una fuente.
La estación de cabecera (1); (4) recupera un
paquete de datos no codificados, que ha sido enviado por la fuente
(7). El paquete de datos no codificados comprende una cabecera de
paquete de datos no codificados, que en este caso consiste en una
cabecera (48) IP con una dirección IP y una cabecera de protocolo de
capa (49) de transporte (UDP o TCP). El paquete de datos no
codificados comprende además una carga útil sin cifrar. Utilizando
técnicas conocidas, los fragmentos de este paquete de datos son
almacenados en una memoria intermedia cuando llegan a la estación
de cabecera (1); (4) y se construye el paquete IP no codificado.
En otra etapa (42), se extraen la dirección IP
y/o el puerto IP de la cabecera (48) IP del paquete de datos no
codificados, para permitir la localización en la tabla (40) de
consulta de los datos de cifrado relevantes, esencialmente la clave
de cifrado y el algoritmo a utilizar. Esta comprobación de la tabla
(40) de consulta se simboliza en la etapa (43).
En otra etapa (44), el paquete de datos IP es
refragmentado. Esto significa que la carga útil sin cifrar se
divide en uno o más fragmentos, a los que se les aplica el algoritmo
de cifrado en una etapa (45) posterior. Con fines ilustrativos, la
carga útil sin cifrar en el paquete de datos no codificados de la
figura 5 se divide en dos fragmentos (50); (51). Los fragmentos
cifrados resultantes se indican mediante los numerales de referencia
(52) y -, respectivamente.
En la realización preferente, se selecciona el
tamaño de los fragmentos (50), (51) para mantener el tamaño de los
paquetes con datos cifrados, que se crean como resultado del
proceso, por debajo de una unidad máxima de transmisión de la red
(2) de emisión. Por lo tanto, el método tiene en cuenta cualquier
longitud suplementaria añadida a los datos como resultado del
proceso de cifrado. Esto proporciona una ventaja en transmisión,
debido a que los paquetes con datos cifrados compuestos utilizando
el método de la invención no necesitan ser fragmentados de nuevo
después de haber sido enviados hacia su destino a través de la red
(2) de emisión.
Una etapa (46) importante en el método de
acuerdo con la invención es la generación de una cabecera (54),
(55) de cifrado para cada fragmento cifrado (52), -. La cabecera
(54), (55) de cifrado es añadida al respectivo fragmento (52), -
cifrado para formar una nueva carga útil para el paquete que se va a
generar.
Si se determina que el tamaño de los datos de un
paquete que comprende toda la carga útil cifrada y la cabecera de
cifrado puede exceder una unidad máxima de transmisión de la red (2)
de emisión, la carga útil del paquete de datos no codificados
recibido desde la fuente (7) se habrá dividido en al menos dos
fragmentos en la etapa (44). En la realización preferente de la
invención, la cabecera (54) de cifrado del primer fragmento (50)
contiene la suma de verificación UDP o TCP y la longitud del paquete
de datos original.
Debido a que la cabecera de cifrado para al
menos un fragmento está provista con información relativa a la
longitud del paquete de datos no codificados y con información
relativa a una suma de verificación de la carga útil sin cifrar, el
reensamblaje del paquete de datos no codificados en uno de los
clientes (3) se hace mucho más sencilla. El paquete con los datos
cifrados llega al cliente (3) en fragmentos, que pueden ser cifrados
directamente a su llegada y pasados a la pila (29) IP, en lugar de
ser almacenados en una memoria intermedia de forma separada hasta
llegan todos los fragmentos de un paquete con datos cifrados. De ese
modo, se ahorra en espacio de memoria intermedia y en coste de
rendimiento en el lado de la descifrado. El software de la pila
(29) IP puede reensamblar el paquete de datos no codificados. Para
esto, la suma de verificación y la longitud de paquete deben estar
contenidas en el primer
fragmento.
fragmento.
La cabecera (55) de cifrado generada en la
estación de cabecera (1); (4) para el otro fragmento - cifrado
contiene el fragmento desfasado del fragmento (51) no codificado. De
este modo, se proporciona información en la cabecera de cifrado
para cada fragmento adicional, que comprende un fragmento desfasado
adicional con respecto al primer fragmento (50). Cada paquete con
datos cifrados generado a partir del fragmento adicional del
paquete de datos no codificados se puede descifrar de forma
inmediata al llegar y transferir a la pila (29) IP, donde se
reensambla el paquete de datos no codificados completo.
Para que el cliente (3) pueda distinguir el
paquete con los datos cifrados generados a partir del primer
fragmento (50) de aquellos generados a partir de fragmentos
adicionales, se proporciona un indicador en la cabecera (54), (55),
de cifrado indicando si el paquete comprende datos cifrados
procedentes del primer fragmento o de un fragmento adicional de una
carga útil sin cifrar. Esto significa además que la cabecera de
cifrado puede ser más pequeña, debido a que se utilizará un campo
de datos de la cabecera de cifrado o bien para codificar la
longitud y la suma de verificación de la carga útil sin cifrar, o
bien el valor del desfase.
Aunque se prefiere el descifrado "por debajo
de la pila", es decir, antes de que los paquetes con datos
cifrados pasen a través de la pila (29) IP en el cliente (3), no se
excluye la descifrado "por encima de la pila". En la
realización preferente de la invención, se codifica información, en
la cabecera (54), (55) de cifrado para cada fragmento, que
represente la longitud del fragmento antes de su cifrado y la
longitud suplementaria añadida por el algoritmo de cifrado. Con
esta información, se pueden modificar las cabeceras de los
protocolos estándar (IP/TCP, IP/UDP) en el cliente (3), para
asegurar que la carga útil (52), - cifrada y la cabecera (54), (55)
de cifrado del paquete con datos cifrados sean extraídas
correctamente en el cliente (3).
En la realización preferente de la invención, se
puede escoger el algoritmo de cifrado utilizado por la unidad (6)
de cifrado de entre varias alternativas disponibles, al igual que la
longitud de la clave. Por lo tanto, se dotará a las cabeceras (54),
(55) de cifrado con información que especifique el algoritmo de
cifrado aplicado a los fragmentos (50), (51).
Volviendo a la figura 4, una última etapa (47)
simbolizada comprende la composición de un paquete con datos
cifrados. Se modifican las sumas de verificación y la longitud de la
Cabecera de Fragmento IP en base a la nueva carga útil (52), (53)
del fragmento de datos cifrados y de la cabecera (54), (55) de
cifrado. Se añade la cabecera de fragmento, que comprende una
cabecera (56), (57) IP y una cabecera (58) de protocolo de capa de
transporte para el primer fragmento (52) cifrado, a la nueva carga
útil, para completar los paquetes con datos cifrados. Los paquetes
compuestos con datos cifrados de este modo son transmitidos a
continuación a los clientes (3). Dependiendo de si se emiten los
paquetes por emisión general, múltiple o unitario, se codifica la
dirección adecuada en la cabecera (56), (57) IP, utilizando las
posibilidades proporcionadas por el estándar.
Se describirá de forma más completa el método
para procesar paquetes de datos cifrados en relación a las figuras
6 y 7. La figura 6 representa varias etapas de procesamiento
llevadas a cabo en un cliente (3). La figura 7 representa como se
procesa un paquete con datos cifrados, por ejemplo el paquete que
comprende el primer fragmento (52) cifrado de la figura 5, para
generar un fragmento de paquete de datos no codificados, que puede
pasarse a la pila (29) IP en el cliente (3).
Una etapa (59) de regreso se produce
periódicamente cuando la unidad (30) de descifrado recibe datos (60)
de servicio, por ejemplo, dirección IP, puerto, claves de cifrado y
tipo de algoritmo, procedentes del gestor (31) de descifrado. Esta
etapa (59) se produce siempre que se cambian las claves o la
configuración de servicio.
La unidad (30) de descifrado mantiene una tabla
(62) de consulta para los servicios que ésta puede descifrar. Esta
tabla (62) se actualiza con los nuevos datos (60) de servicio. Tal
como se ha explicado en la descripción de la figura 3, el gestor
(31) de descifrado genera estos datos (60) en cooperación con un
elemento seguro, a partir de los mensajes de acceso condicional
recibidos en forma de paquetes de datos por el cliente.
Un paquete de datos o un fragmento de paquete de
datos con datos cifrados es recibido en uno de los clientes (3) y
recibido por la unidad (30) de descifrado a través de la capa (28)
NDIS. En relación a la figura 7, el paquete con datos cifrados que
se facilita como un ejemplo, comprende una cabecera (67) IP, una
cabecera (68) de protocolo de capa de transporte, que puede ser una
cabecera TCP o UDP, una cabecera (69) de cifrado y una carga útil
(70) cifrada. Se debe observar que, tal como se ha explicado en la
descripción de la figura 5, la cabecera de protocolo de capa (68)
de transporte no necesita estar contenida en cada paquete con datos
cifrados.
En una etapa (63) posterior del método, la
unidad (30) de descifrado extrae la cabecera (69) de cifrado y la
dirección IP. También obtiene el puerto de destino para el fragmento
de paquete de datos no codificados a partir de la cabecera (69) de
cifrado.
En la realización preferente de la invención, la
tabla (62) de consulta asocia las direcciones IP y/o los puertos
IP, especificados en los paquetes de datos recibidos con claves para
descifrar la carga útil (70) cifrada. Utilizando la dirección IP y
el puerto IP, la unidad (30) de descifrado recupera la información
de descifrado, incluyendo la clave de descifrado de la tabla (62)
de consulta, en una etapa (64) posterior del método.
En la realización preferente, una serie de
claves son válidas en cualquier momento, y un indicador de clave o
un indicador en la cabecera (69) de cifrado indica cual de éstas
debe ser recuperada de la tabla (62) de consulta. Por ejemplo, si
existen dos claves válidas en cualquier momento, los datos (60) de
servicio indicarán la que es impar y la que es par. Un indicador en
la cabecera (69) de cifrado indicará si se ha cifrado la carga útil
(70) cifrada con la clave impar o par. Esto presenta la ventaja de
que los ECM no tienen que estar incluidos en el flujo de datos de
contenidos u ordenados en el flujo de paquetes con datos cifrados.
Si una clave sólo es válida en cualquier momento, ésta tiene que
llegar a la unidad (30) de descifrado exactamente entre el último
paquete con datos cifrados según la clave anterior y el primer
paquete con datos cifrados según la nueva clave.
Posteriormente, se aplica el algoritmo de
descifrado a la carga útil (70) cifrada, para generar datos (71) no
codificados. También se genera una cabecera de paquete de datos no
codificados. En el ejemplo de la figura 7, ésta comprende una
cabecera (72) IP y una cabecera de protocolo de capa (73) de
transporte. Utilizando información codificada en la cabecera (69)
de cifrado, se incluye un puerto de destino en la cabecera (73) TCP
o UDP del fragmento de paquete de datos no codificados, de forma que
los datos (71) no codificados serán facilitados como entrada para
la aplicación (37) correcta.
Si el paquete con datos cifrados es el primero
de un grupo de fragmentos relacionados, la cabecera (69) de cifrado
estará dotada con información relativa a la longitud del paquete de
datos no codificados e información relativa a una suma de
verificación de la carga útil sin cifrar. Esta información se extrae
de la cabecera (69) de cifrado por la unidad (30) de descifrado, y
se utiliza para generar la cabecera (73) de protocolo de capa de
transporte, para permitir el reensamblaje del paquete de datos no
codificados a partir de los fragmentos de paquete de datos no
codificados en la pila (29) IP.
Si el paquete con datos cifrados no es el
primero de un grupo de fragmentos relacionados, la cabecera (69) de
cifrado estará dotada con información que comprende un desfase del
fragmento adicional con respecto al primer fragmento. La unidad
(30) de descifrado incluirá este valor del desfase en la cabecera
(72) IP del fragmento de paquete de datos no codificados que
genera, permitiendo así la concatenación del grupo de fragmentos
relacionados entre si para formar un paquete IP no codificado en la
pila (29) IP. Es una característica muy ventajosa de la invención
que el almacenamiento en una memoria intermedia de los fragmentos de
paquete de datos necesitados para la concatenación se realice de
ese modo en la pila (29) IP. La unidad (30) de descifrado puede
pasar cada fragmento de paquete de datos no codificados, utilizando
el método de la invención, a la pila (29) IP a través de la capa
(28) NDIS, tan pronto como se genera el fragmento de paquete de
datos no codificados.
La tabla, a continuación, especifica una
implementación ventajosa del formato de cabecera de cifrado
utilizado en el sistema de acuerdo con la invención.
Aunque la invención se especifica en este caso
para paquetes IP, el método se puede aplicar a cualquier otro
protocolo en el cual un mensaje ha de ser dividido en partes,
enviado a través de una red y reconstruido en un sistema receptor o
terminal, el cliente. Algunos ejemplos son, paquetes de datos
enviados sobre una red de telefonía inalámbrica tal como GPRS o
UMTS. El sistema (26) de descifrado IP puede ser implementado en
cualquier terminal designado para recibir paquetes IP. Como ejemplos
se incluyen teléfonos móviles, Asistentes Digitales Personales,
dispositivos electrodomésticos con capacidades IP tales como
reproductores DVD, Grabadores Personales de Video Digital, etc. El
mecanismo de envío de mensajes INFO, IPEMM y IPECM fuera de banda,
es decir, de forma separada del flujo de paquetes con datos
cifrados, se puede aplicar igualmente sobre cualquier red que envíe
paquetes IP cifrados en un servicio de emisión o emisión
múltiple.
Se pueden expandir los mensajes INFO/IPECM para
contener más información acerca de los servicios que son emitidos,
ya sea por emisión múltiple o unitaria. Utilizando este método se
puede emitir información de eventos sobre eventos en un servicio,
del tipo Guía de Programación para emisiones IP cifradas y emisiones
múltiples IP cifradas. Debido a su naturaleza compactada este tipo
de información puede ser útil en un servicio de emisión donde se
limita el ancho de banda, espacio de aplicación en el cliente
receptor y el tamaño de la pantalla del cliente, tal como una red
de telefonía móvil.
Las figuras 8 y 9 representan dos
configuraciones diferentes de ejemplos del sistema de acuerdo con la
invención. Se describirán dos formas diferentes de implementar el
sistema de la configuración de la figura 8. Los tres ejemplos
proporcionados a continuación sirven simplemente para ilustrar las
muchas posibles aplicaciones para el sistema de acuerdo con la
invención. La invención, por supuesto, no está limitada a estos tres
ejemplos.
La figura 8 representa una realización, en la
que la estación de cabecera incluye un primer ordenador (74), que
comprende el sistema (5) de cifrado IP. Los paquetes de datos
cifrados se generan en este ordenador (74). La atención y
facturación al Cliente se gestiona desde un segundo ordenador (75),
que puede servir, por ejemplo, como el SMS (18) externo o como el
sistema (11) externo de gestión de una estación de la figura 2,
controlando quién tiene acceso a qué servicio, a través de los
mensajes INFO o EMM emitidos desde la estación de cabecera (74). Un
servidor (76) de contenidos digitales constituye la parte recíproca
de la fuente (7) de la figura 2.
Se emiten los paquetes de datos cifrados a
través de una primera red (77) hasta un cliente (78) receptor.
Otros clientes (79) a (81) están conectados al cliente (78) receptor
a través de una segunda red (82). En esta figura, la primera red
(77) representa una red por satélite y la segunda red (82)
representa una interconexión de redes, una red de cable, una red
DSL, una red terrestre o una red inalámbrica. Por supuesto, se
pueden utilizar las redes (77), (82) en cualquier orden siendo, por
ejemplo, la primera red (77) una interconexión de redes y la
segunda (82) una red inalámbrica, etc.
La forma más básica del sistema es, tal como se
describe en la realización preferente, la que realiza el descifrado
en los clientes finales (79) a (81). Es decir, sin realizar
descifrado intermedio antes de que los datos lleguen al
cliente.
En una segunda configuración, los contenidos
pueden atravesar más de un tipo de red, siendo descifrados por un
sistema (26) de descifrado IP comprendido en el cliente (78)
receptor, y a continuación emitidos o emitidos en modo múltiple no
codificados en la segunda red (82).
En otra configuración, los contenidos pueden
atravesar más de un tipo de red antes de alcanzar uno de los
clientes (79) a (81). Los contenidos se descifran por un sistema
(26) de descifrado IP comprendido en el cliente receptor (78),
después de haber sido recibidos a través de la primera red (77). Sin
embargo, en vez de haber sido pasados de manera directa, los datos
no codificados son cifrados de nuevo utilizando el método de la
invención en un ordenador (83) que comprende un (5) sistema de
cifrado, antes de ser emitidos en modo múltiple en la red (82)
final, tal como se representa en la figura 9. En esta figura, la
primera red es la red (77) por satélite, y la segunda red (82) es
una interconexión de redes, red por cable, red DSL, red terrestre o
inalámbrica. Por supuesto, se pueden utilizar las redes en cualquier
orden.
Es evidente para aquellos expertos en la técnica
que la invención no se limita a las realizaciones descritas
anteriormente, que pueden ser variadas según varias formas dentro
del alcance de las reivindicaciones adjuntas. Por ejemplo, son
posibles varias configuraciones adicionales del sistema a parte de
aquellas de las figuras 8 y 9. Además, se pueden concebir
variaciones o adiciones a los contenidos de los diferentes mensajes
y cabeceras compuestos en la estación de cabecera, incluyendo
implementaciones que utilizan otros protocolos diferentes a los
protocolos IP/UDP e IP/TCP.
Claims (12)
1. Método para la transmisión basada en paquetes
seguros de datos de contenidos desde una estación de cabecera (1;
4; 74, 83) hacia al menos un cliente (3; 78 a 81), a través de al
menos una red (2; 77, 82) a la cual se conectan la estación de
cabecera (1; 4; 74, 83) y el cliente (3; 78 a 81), que
comprende:
- -
- recuperar un paquete de datos no codificados que comprende una carga útil sin cifrar;
- -
- dividir la carga útil sin cifrar en dos o más fragmentos (50, 51);
- -
- aplicar un algoritmo de cifrado a cada fragmento (50, 51) para generar fragmentos cifrados (52, 53);
- -
- generar una cabecera de cifrado (54, 55) para cada fragmento cifrado (52, 53);
- -
- componer un paquete con datos cifrados para cada fragmento cifrado (52, 53), comprendiendo el fragmento (52, 53), la cabecera de cifrado (54, 55) para el fragmento (52, 53) y una cabecera de paquete de datos (56, 57); y
- -
- transmitir cada uno de los paquetes compuestos (3; 78 a 81) de este modo al cliente.
2. Método, según la reivindicación 1, en el que,
al dividir la carga útil sin cifrar en fragmentos (50, 51), se
selecciona el tamaño del fragmento para mantener el tamaño de los
paquetes con datos cifrados por debajo de una unidad máxima de
transmisión de la red (2; 77, 82).
3. Método, según las reivindicaciones 1 ó 2, que
comprende, además, recuperar datos de acceso condicional
especificados en el paquete de datos no codificados en el que se
utilizan los datos de acceso condicional para generar los
fragmentos cifrados (52, 53).
4. Método, según cualquiera de las
reivindicaciones 1 a 3, en el que, se codifica información en la
cabecera de cifrado (54, 55; 69) para cada fragmento (52, 53)
relacionada con la longitud del fragmento (52, 53) antes del
cifrado y con la longitud suplementaria añadida por el algoritmo de
cifrado.
5. Método, según cualquiera de las
reivindicaciones 1 a 4, en el que, la cabecera de cifrado (54) para
al menos un fragmento (52) dispone de información relacionada con
la longitud del paquete de datos no codificados y de información
relacionada con una suma de verificación de la carga útil sin
cifrar, para facilitar el reensamblaje del paquete de datos no
codificados en el cliente (3; 78 a 81).
6. Método, según cualquiera de las
reivindicaciones 1 a 5, en el que, la cabecera de cifrado (54, 55;
69) comprende un indicador para distinguir paquetes de datos
compuestos a partir de un primer fragmento cifrado (52) de paquetes
de datos compuestos a partir de otros fragmentos cifrados (53)
generados a partir de la misma carga útil sin cifrar como el primer
fragmento cifrado (52).
7. Método, según cualquiera de las
reivindicaciones 1 a 6, en el que, se proporciona información que
comprende un desfase de un fragmento sin cifrar (51) respecto a un
primer fragmento (50) de la carga útil sin cifrar en la cabecera de
cifrado (55) para el fragmento cifrado (53) generado a partir del
fragmento sin cifrar (51).
8. Método, según cualquiera de las
reivindicaciones 1 a 6, en el que, se codifica información que
especifica el algoritmo de cifrado aplicado al fragmento (50, 51)
en la cabecera de cifrado (54, 55).
9. Método, según cualquiera de las
reivindicaciones 1 a 8, que comprende, además, la transmisión de
Mensajes de Gestión de Autorización (EMM) como paquetes de datos,
para autorizar a un cliente (3; 78 a 81) a utilizar un servicio
particular.
10. Método, según cualquiera de las
reivindicaciones 1 a 9, que comprende, además, la transmisión de
Mensajes de Control de Autorización (EMM) como paquetes de datos,
comprendiendo información de descifrado, para autorizar de forma
selectiva a un cliente (3; 78 a 81) para recibir datos
pertenecientes a un servicio particular.
11. Método, según cualquiera de las
reivindicaciones 1 a 10, que comprende, además, la transmisión de
Mensajes de Información como paquetes de datos, identificando un
servicio y comprendiendo información para recibir mensajes
pertenecientes al servicio.
12. Método, según cualquiera de las
reivindicaciones 8 a 11, en el que, cada paquete con datos cifrados
está dotado de una dirección y/o un puerto, en el que se
proporciona una cabecera para cada paquete de datos de mensaje,
cuya cabecera comprende una dirección y/o un puerto diferente.
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US21935300P | 2000-07-14 | 2000-07-14 | |
| US219353P | 2000-07-14 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| ES2312483T3 true ES2312483T3 (es) | 2009-03-01 |
Family
ID=22818937
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| ES01984286T Expired - Lifetime ES2312483T3 (es) | 2000-07-14 | 2001-07-13 | Arquitectura de difusion segura de datos por paquetes. |
Country Status (14)
| Country | Link |
|---|---|
| US (1) | US7739496B2 (es) |
| EP (1) | EP1303940B1 (es) |
| JP (1) | JP4813006B2 (es) |
| CN (1) | CN1465159B (es) |
| AT (1) | ATE405055T1 (es) |
| AU (2) | AU2297402A (es) |
| BR (1) | BR0112510A (es) |
| CA (1) | CA2416092C (es) |
| CY (1) | CY1108561T1 (es) |
| DE (1) | DE60135347D1 (es) |
| ES (1) | ES2312483T3 (es) |
| MX (1) | MXPA03000419A (es) |
| WO (1) | WO2002007378A1 (es) |
| ZA (1) | ZA200300076B (es) |
Families Citing this family (104)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6697489B1 (en) * | 1999-03-30 | 2004-02-24 | Sony Corporation | Method and apparatus for securing control words |
| US7730300B2 (en) | 1999-03-30 | 2010-06-01 | Sony Corporation | Method and apparatus for protecting the transfer of data |
| US7039614B1 (en) | 1999-11-09 | 2006-05-02 | Sony Corporation | Method for simulcrypting scrambled data to a plurality of conditional access devices |
| US7225164B1 (en) * | 2000-02-15 | 2007-05-29 | Sony Corporation | Method and apparatus for implementing revocation in broadcast networks |
| JP2002044135A (ja) * | 2000-07-25 | 2002-02-08 | Mitsubishi Electric Corp | 暗号装置及び暗号通信システム |
| US8127326B2 (en) * | 2000-11-14 | 2012-02-28 | Claussen Paul J | Proximity detection using wireless connectivity in a communications system |
| US6856976B2 (en) * | 2000-12-01 | 2005-02-15 | 900Pennies Incorporated | Secured commercial transaction |
| US6592549B2 (en) | 2001-03-14 | 2003-07-15 | Scimed Life Systems, Inc. | Rapid exchange stent delivery system and associated components |
| US7018795B2 (en) * | 2001-03-23 | 2006-03-28 | Fuji Photo Film Co., Ltd. | Hybridization probe and target nucleic acid detecting kit, target nucleic acid detecting apparatus and target nucleic acid detecting method using the same |
| US7151831B2 (en) | 2001-06-06 | 2006-12-19 | Sony Corporation | Partial encryption and PID mapping |
| US7747853B2 (en) * | 2001-06-06 | 2010-06-29 | Sony Corporation | IP delivery of secure digital content |
| US7895616B2 (en) | 2001-06-06 | 2011-02-22 | Sony Corporation | Reconstitution of program streams split across multiple packet identifiers |
| US7228421B1 (en) * | 2001-06-27 | 2007-06-05 | Cisco Technology, Inc. | Technique for generating control messages with reason information between nodes in a data network |
| US7181616B2 (en) * | 2001-12-12 | 2007-02-20 | Nortel Networks Limited | Method of and apparatus for data transmission |
| US7292690B2 (en) * | 2002-01-02 | 2007-11-06 | Sony Corporation | Video scene change detection |
| US7215770B2 (en) | 2002-01-02 | 2007-05-08 | Sony Corporation | System and method for partially encrypted multimedia stream |
| US7823174B2 (en) | 2002-01-02 | 2010-10-26 | Sony Corporation | Macro-block based content replacement by PID mapping |
| US7155012B2 (en) * | 2002-01-02 | 2006-12-26 | Sony Corporation | Slice mask and moat pattern partial encryption |
| US7765567B2 (en) | 2002-01-02 | 2010-07-27 | Sony Corporation | Content replacement by PID mapping |
| US7302059B2 (en) * | 2002-01-02 | 2007-11-27 | Sony Corporation | Star pattern partial encryption |
| EP1466261B1 (en) | 2002-01-08 | 2018-03-07 | Seven Networks, LLC | Connection architecture for a mobile network |
| US7500102B2 (en) | 2002-01-25 | 2009-03-03 | Microsoft Corporation | Method and apparatus for fragmenting and reassembling internet key exchange data packets |
| US7480283B1 (en) | 2002-03-26 | 2009-01-20 | Nortel Networks Limited | Virtual trunking over packet networks |
| US8818896B2 (en) | 2002-09-09 | 2014-08-26 | Sony Corporation | Selective encryption with coverage encryption |
| US7360235B2 (en) | 2002-10-04 | 2008-04-15 | Scientific-Atlanta, Inc. | Systems and methods for operating a peripheral record/playback device in a networked multimedia system |
| US8572408B2 (en) * | 2002-11-05 | 2013-10-29 | Sony Corporation | Digital rights management of a digital device |
| US7724907B2 (en) * | 2002-11-05 | 2010-05-25 | Sony Corporation | Mechanism for protecting the transfer of digital content |
| WO2004049737A2 (en) * | 2002-11-25 | 2004-06-10 | Nokia Corporation | System and method for user-initiated group messaging |
| DE50301796D1 (de) * | 2002-11-25 | 2006-01-05 | Siemens Ag | Verfahren und Anordnung zum verschlüsselten Übertragen von Kommunikationsdatenströmen über ein paketorientiertes Kommunikationsnetz |
| US8667525B2 (en) | 2002-12-13 | 2014-03-04 | Sony Corporation | Targeted advertisement selection from a digital stream |
| US8645988B2 (en) | 2002-12-13 | 2014-02-04 | Sony Corporation | Content personalization for digital content |
| EP1439697A1 (fr) * | 2003-01-20 | 2004-07-21 | Thomson Licensing S.A. | Système de reception de données numériques diffusées comprenant un terminal numérique maítre, et au moins un terminal numérique esclave |
| SG129240A1 (en) * | 2003-01-23 | 2007-02-26 | Agency Science Tech & Res | Biodegradable copolymer and nucleic acid delivery system |
| KR100560658B1 (ko) * | 2003-02-17 | 2006-03-16 | 삼성전자주식회사 | 고속의 오프셋 코드북 모드를 위한 암호화 장치 및 그 방법 |
| US7292692B2 (en) * | 2003-03-25 | 2007-11-06 | Sony Corporation | Content scrambling with minimal impact on legacy devices |
| US7530112B2 (en) | 2003-09-10 | 2009-05-05 | Cisco Technology, Inc. | Method and apparatus for providing network security using role-based access control |
| US7286667B1 (en) * | 2003-09-15 | 2007-10-23 | Sony Corporation | Decryption system |
| US7836490B2 (en) | 2003-10-29 | 2010-11-16 | Cisco Technology, Inc. | Method and apparatus for providing network security using security labeling |
| US7346163B2 (en) * | 2003-10-31 | 2008-03-18 | Sony Corporation | Dynamic composition of pre-encrypted video on demand content |
| US7263187B2 (en) * | 2003-10-31 | 2007-08-28 | Sony Corporation | Batch mode session-based encryption of video on demand content |
| US7853980B2 (en) | 2003-10-31 | 2010-12-14 | Sony Corporation | Bi-directional indices for trick mode video-on-demand |
| KR100630680B1 (ko) * | 2004-03-19 | 2006-10-02 | 삼성전자주식회사 | 비대칭 게이트 유전체층을 지닌 비휘발성 메모리 소자 및그 제조 방법 |
| US7711119B2 (en) * | 2004-05-27 | 2010-05-04 | Qualcomm Incorporated | Method and apparatus for transition of encryption key during an ongoing media communication session |
| EP1610516B1 (de) * | 2004-06-23 | 2008-07-09 | e Message, Wireless Information Services Deutschland GmbH | Verfahren und Vorrichtungen zur Verbreitung einer Nachricht über ein Broadcast-Netz |
| US8155117B2 (en) * | 2004-06-29 | 2012-04-10 | Qualcomm Incorporated | Filtering and routing of fragmented datagrams in a data network |
| US20060041741A1 (en) * | 2004-08-23 | 2006-02-23 | Nokia Corporation | Systems and methods for IP level decryption |
| WO2006044547A2 (en) * | 2004-10-15 | 2006-04-27 | Opentv, Inc. | Speeding up channel change |
| US7669244B2 (en) | 2004-10-21 | 2010-02-23 | Cisco Technology, Inc. | Method and system for generating user group permission lists |
| US7877796B2 (en) | 2004-11-16 | 2011-01-25 | Cisco Technology, Inc. | Method and apparatus for best effort propagation of security group information |
| US7886145B2 (en) | 2004-11-23 | 2011-02-08 | Cisco Technology, Inc. | Method and system for including security information with a packet |
| US7721323B2 (en) * | 2004-11-23 | 2010-05-18 | Cisco Technology, Inc. | Method and system for including network security information in a frame |
| US7827402B2 (en) * | 2004-12-01 | 2010-11-02 | Cisco Technology, Inc. | Method and apparatus for ingress filtering using security group information |
| JP4658583B2 (ja) * | 2004-12-13 | 2011-03-23 | 日本放送協会 | 配信システム、配信サーバ、受信装置、配信プログラム、及び受信プログラム |
| US8041190B2 (en) | 2004-12-15 | 2011-10-18 | Sony Corporation | System and method for the creation, synchronization and delivery of alternate content |
| US7895617B2 (en) | 2004-12-15 | 2011-02-22 | Sony Corporation | Content substitution editor |
| US9058292B2 (en) | 2004-12-29 | 2015-06-16 | Intel Corporation | System and method for one step address translation of graphics addresses in virtualization |
| US8438629B2 (en) * | 2005-02-21 | 2013-05-07 | Samsung Electronics Co., Ltd. | Packet security method and apparatus |
| JP4910324B2 (ja) * | 2005-07-21 | 2012-04-04 | ソニー株式会社 | 情報処理装置及び情報処理方法、並びにコンピュータ・プログラム |
| JP4896145B2 (ja) * | 2005-10-26 | 2012-03-14 | トムソン ライセンシング | 複数のセキュリティ・レベルで衛星サービスを配信するシステム及び方法 |
| US8176317B2 (en) * | 2006-01-19 | 2012-05-08 | Helius, Inc. | System and method for multicasting IPSec protected communications |
| US7710958B2 (en) * | 2006-01-20 | 2010-05-04 | Iona Technologies Limited | Method for recoverable message exchange independent of network protocols |
| US8185921B2 (en) | 2006-02-28 | 2012-05-22 | Sony Corporation | Parental control of displayed content using closed captioning |
| RU2339077C1 (ru) * | 2007-03-13 | 2008-11-20 | Олег Вениаминович Сахаров | Способ функционирования системы условного доступа для применения в компьютерных сетях и система для его осуществления |
| CN101252430B (zh) * | 2007-05-10 | 2010-06-23 | 中国科学院研究生院 | 联合信源信道有效用户安全识别方法 |
| KR100840904B1 (ko) * | 2007-06-22 | 2008-06-24 | 주식회사 케이티프리텔 | Ｏｔａ 서비스를 제공하기 위한 시스템 및 그 방법 |
| US7840708B2 (en) * | 2007-08-13 | 2010-11-23 | Cisco Technology, Inc. | Method and system for the assignment of security group information using a proxy |
| US20090089184A1 (en) * | 2007-09-28 | 2009-04-02 | Embarq Holdings Company, Llc | Content portal for media distribution |
| US20090106806A1 (en) * | 2007-10-01 | 2009-04-23 | Lg Electronics Inc. | Broadcast receiver and system information processing method |
| JP2008118706A (ja) * | 2008-01-10 | 2008-05-22 | Nec Corp | 暗号化通信制御方式 |
| JP2009246801A (ja) * | 2008-03-31 | 2009-10-22 | Fujitsu Microelectronics Ltd | 分割されたパケットの暗号化方法、分割暗号化パケットの復号方法、暗号化装置及びプログラム |
| US8880879B2 (en) * | 2008-09-04 | 2014-11-04 | Intel Corporation | Accelerated cryptography with an encryption attribute |
| US9240883B2 (en) | 2008-09-04 | 2016-01-19 | Intel Corporation | Multi-key cryptography for encrypting file system acceleration |
| JP4692600B2 (ja) * | 2008-09-25 | 2011-06-01 | 富士ゼロックス株式会社 | 情報処理装置、通信システム、及びプログラム |
| US9332060B2 (en) * | 2009-12-04 | 2016-05-03 | Telefonaktiebolaget L M Ericsson (Publ) | Methods, secure element, server, computer programs and computer program products for improved application management |
| CN101848049A (zh) * | 2010-03-18 | 2010-09-29 | 鸿富锦精密工业（深圳）有限公司 | 基于数字广播的信息服务系统 |
| US8630412B2 (en) | 2010-08-25 | 2014-01-14 | Motorola Mobility Llc | Transport of partially encrypted media |
| US8533456B2 (en) * | 2010-10-07 | 2013-09-10 | King Saud University | Accelerating stream cipher operations using single and grid systems |
| EP2659423A4 (en) * | 2010-12-31 | 2014-09-17 | Akamai Tech Inc | EXPANSION OF DATA CONFIDENTIALITY IN A GAME APPLICATION |
| CN102752231A (zh) * | 2011-04-22 | 2012-10-24 | 中兴通讯股份有限公司 | 媒体消息安全机制的处理方法和网关设备 |
| EP2710755B1 (en) * | 2011-05-20 | 2018-08-01 | Citrix Systems Inc. | Securing encrypted virtual hard disks |
| US10439996B2 (en) | 2014-02-11 | 2019-10-08 | Yaana Technologies, LLC | Method and system for metadata analysis and collection with privacy |
| US10447503B2 (en) | 2014-02-21 | 2019-10-15 | Yaana Technologies, LLC | Method and system for data flow management of user equipment in a tunneling packet data network |
| US9693263B2 (en) | 2014-02-21 | 2017-06-27 | Yaana Technologies, LLC | Method and system for data flow management of user equipment in a tunneling packet data network |
| US10334037B2 (en) | 2014-03-31 | 2019-06-25 | Yaana Technologies, Inc. | Peer-to-peer rendezvous system for minimizing third party visibility and method thereof |
| US9706372B2 (en) * | 2014-04-03 | 2017-07-11 | General Motors Llc | Secure SMS messaging |
| US9361476B2 (en) * | 2014-05-16 | 2016-06-07 | Safe Text Ltd. | Messaging systems and methods |
| US10285038B2 (en) | 2014-10-10 | 2019-05-07 | Yaana Technologies, Inc. | Method and system for discovering user equipment in a network |
| US10542426B2 (en) | 2014-11-21 | 2020-01-21 | Yaana Technologies, LLC | System and method for transmitting a secure message over a signaling network |
| US9712649B2 (en) * | 2014-12-29 | 2017-07-18 | Telefonaktiebolaget Lm Ericsson (Publ) | CCN fragmentation gateway |
| US9572037B2 (en) | 2015-03-16 | 2017-02-14 | Yaana Technologies, LLC | Method and system for defending a mobile network from a fraud |
| US10505891B2 (en) | 2015-04-02 | 2019-12-10 | Nicira, Inc. | Security policy selection for machines with dynamic addresses |
| WO2016176661A1 (en) | 2015-04-29 | 2016-11-03 | Yaana Technologies, Inc. | Scalable and iterative deep packet inspection for communications networks |
| CN105187370B (zh) * | 2015-06-05 | 2019-11-12 | 北京奇虎科技有限公司 | 数据处理方法和系统 |
| CN105049941B (zh) | 2015-06-24 | 2017-06-30 | 广州酷狗计算机科技有限公司 | 一种多媒体文件的处理方法及装置 |
| US10567347B2 (en) * | 2015-07-31 | 2020-02-18 | Nicira, Inc. | Distributed tunneling for VPN |
| US10135930B2 (en) | 2015-11-13 | 2018-11-20 | Yaana Technologies Llc | System and method for discovering internet protocol (IP) network address and port translation bindings |
| US10887231B2 (en) * | 2018-05-18 | 2021-01-05 | Juniper Networks, Inc. | Packet fragment forwarding without reassembly |
| US11082411B2 (en) * | 2019-08-06 | 2021-08-03 | Advanced New Technologies Co., Ltd. | RDMA-based data transmission method, network interface card, server and medium |
| US11451585B2 (en) | 2019-11-13 | 2022-09-20 | Juniper Networks, Inc. | Anti-spoof check of IPv4-in-IPv6 fragments without reassembly |
| US11165701B1 (en) | 2020-03-31 | 2021-11-02 | Juniper Networks, Inc. | IPV6 flow label for stateless handling of IPV4-fragments-in-IPV6 |
| US11570283B1 (en) | 2020-07-20 | 2023-01-31 | Juniper Networks, Inc. | IPv6 extension header for stateless handling of fragments in IPv6 |
| US11627185B1 (en) * | 2020-09-21 | 2023-04-11 | Amazon Technologies, Inc. | Wireless data protocol |
| US11062046B1 (en) * | 2021-01-11 | 2021-07-13 | DeCurtis LLC | Self-referencing data encryption |
| CN115378664B (zh) * | 2022-08-02 | 2023-07-18 | 深圳市乐凡信息科技有限公司 | 数据加密传输方法、装置、设备及存储介质 |
Family Cites Families (24)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5742677A (en) * | 1995-04-03 | 1998-04-21 | Scientific-Atlanta, Inc. | Information terminal having reconfigurable memory |
| US5321750A (en) * | 1989-02-07 | 1994-06-14 | Market Data Corporation | Restricted information distribution system apparatus and methods |
| US5396490A (en) * | 1992-03-23 | 1995-03-07 | Motorola, Inc. | Packet reassembly method and apparatus |
| US5276735A (en) | 1992-04-17 | 1994-01-04 | Secure Computing Corporation | Data enclave and trusted path system |
| JPH0653960A (ja) * | 1992-07-28 | 1994-02-25 | Matsushita Electric Works Ltd | Ｈｕｂと管理端末の通信の暗号化装置 |
| US5555266A (en) * | 1993-10-04 | 1996-09-10 | Motorola, Inc. | Method for reducing transmission delays in a packet transmission system |
| US5563946A (en) * | 1994-04-25 | 1996-10-08 | International Business Machines Corporation | Method and apparatus for enabling trial period use of software products: method and apparatus for passing encrypted files between data processing systems |
| US6157719A (en) * | 1995-04-03 | 2000-12-05 | Scientific-Atlanta, Inc. | Conditional access system |
| US5852290A (en) * | 1995-08-04 | 1998-12-22 | Thomson Consumer Electronics, Inc. | Smart-card based access control system with improved security |
| US5790806A (en) * | 1996-04-03 | 1998-08-04 | Scientific-Atlanta, Inc. | Cable data network architecture |
| US5771064A (en) * | 1995-11-29 | 1998-06-23 | Scientific-Atlanta, Inc. | Home communications terminal having an applications module |
| US5970066A (en) * | 1996-12-12 | 1999-10-19 | Paradyne Corporation | Virtual ethernet interface |
| JPH10190704A (ja) * | 1996-12-27 | 1998-07-21 | Nec Eng Ltd | データの暗号化方法、復号化方法、暗号化装置、および復号化装置 |
| US6308328B1 (en) * | 1997-01-17 | 2001-10-23 | Scientific-Atlanta, Inc. | Usage statistics collection for a cable data delivery system |
| US5949795A (en) * | 1997-02-14 | 1999-09-07 | General Instrument Corporation | Processing asynchronous data within a set-top decoder |
| JPH1127311A (ja) * | 1997-06-30 | 1999-01-29 | Canon Inc | 情報処理装置および電子メール方法ならびに記録媒体 |
| JPH1141245A (ja) * | 1997-07-22 | 1999-02-12 | Fujitsu Ltd | 秘匿通信システム |
| WO1999007145A1 (en) * | 1997-08-01 | 1999-02-11 | Scientific-Atlanta, Inc. | Verification of the source of program of information in a conditional access system |
| JP3009876B2 (ja) * | 1997-08-12 | 2000-02-14 | 日本電信電話株式会社 | パケット転送方法および該方法に用いる基地局 |
| US6044403A (en) * | 1997-12-31 | 2000-03-28 | At&T Corp | Network server platform for internet, JAVA server and video application server |
| US6321336B1 (en) * | 1998-03-13 | 2001-11-20 | Secure Computing Corporation | System and method for redirecting network traffic to provide secure communication |
| US6253321B1 (en) * | 1998-06-19 | 2001-06-26 | Ssh Communications Security Ltd. | Method and arrangement for implementing IPSEC policy management using filter code |
| US6321269B1 (en) * | 1998-12-29 | 2001-11-20 | Apple Computer, Inc. | Optimized performance for transaction-oriented communications using stream-based network protocols |
| US6788704B1 (en) * | 1999-08-05 | 2004-09-07 | Intel Corporation | Network adapter with TCP windowing support |
-
2001
- 2001-07-13 DE DE60135347T patent/DE60135347D1/de not_active Expired - Lifetime
- 2001-07-13 CN CN01812781.9A patent/CN1465159B/zh not_active Expired - Lifetime
- 2001-07-13 JP JP2002513154A patent/JP4813006B2/ja not_active Expired - Fee Related
- 2001-07-13 US US10/333,007 patent/US7739496B2/en active Active
- 2001-07-13 MX MXPA03000419A patent/MXPA03000419A/es active IP Right Grant
- 2001-07-13 EP EP01984286A patent/EP1303940B1/en not_active Expired - Lifetime
- 2001-07-13 AU AU2297402A patent/AU2297402A/xx active Pending
- 2001-07-13 BR BR0112510-9A patent/BR0112510A/pt not_active IP Right Cessation
- 2001-07-13 CA CA2416092A patent/CA2416092C/en not_active Expired - Lifetime
- 2001-07-13 AU AU2002222974A patent/AU2002222974B2/en not_active Ceased
- 2001-07-13 AT AT01984286T patent/ATE405055T1/de not_active IP Right Cessation
- 2001-07-13 WO PCT/US2001/041361 patent/WO2002007378A1/en active Application Filing
- 2001-07-13 ES ES01984286T patent/ES2312483T3/es not_active Expired - Lifetime
-
2003
- 2003-01-03 ZA ZA200300076A patent/ZA200300076B/en unknown
-
2008
- 2008-11-06 CY CY20081101265T patent/CY1108561T1/el unknown
Also Published As
| Publication number | Publication date |
|---|---|
| US7739496B2 (en) | 2010-06-15 |
| CA2416092C (en) | 2011-01-04 |
| EP1303940A4 (en) | 2006-08-23 |
| MXPA03000419A (es) | 2003-06-06 |
| JP4813006B2 (ja) | 2011-11-09 |
| DE60135347D1 (de) | 2008-09-25 |
| AU2297402A (en) | 2002-01-30 |
| ATE405055T1 (de) | 2008-08-15 |
| BR0112510A (pt) | 2003-09-02 |
| CA2416092A1 (en) | 2002-01-24 |
| EP1303940B1 (en) | 2008-08-13 |
| US20040064688A1 (en) | 2004-04-01 |
| EP1303940A1 (en) | 2003-04-23 |
| ZA200300076B (en) | 2003-11-03 |
| CN1465159B (zh) | 2010-05-12 |
| AU2002222974B2 (en) | 2006-03-16 |
| CY1108561T1 (el) | 2014-04-09 |
| JP2004504765A (ja) | 2004-02-12 |
| CN1465159A (zh) | 2003-12-31 |
| WO2002007378A1 (en) | 2002-01-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| ES2312483T3 (es) | Arquitectura de difusion segura de datos por paquetes. | |
| JP4086782B2 (ja) | ブロードキャスト・コンテンツへのアクセス | |
| JP3798031B2 (ja) | 個人用プログラムの送受信方法 | |
| ES2204500T3 (es) | Metodo y aparato para transmision cifrada. | |
| KR100782865B1 (ko) | 데이터 전송 제어 방법 및 데이터 전송 시스템 | |
| ES2240751T3 (es) | Dispositivos y metodos de seguridad para proteccion e identificacion de mensajes. | |
| US20020114453A1 (en) | System and method for secure cryptographic data transport and storage | |
| ES2276869T3 (es) | Dispositivos y procesos para transmision e implementacion de instrucciones de control para acceso a funcionalidades de receptores. | |
| AU2002222974A1 (en) | Secure Packet-based Data Broadcasting Architecture | |
| CN1215528A (zh) | 在两个设备之间提供安全通信的方法及该方法的应用 | |
| US20090060184A1 (en) | Systems and Methods for Providing Autonomous Security | |
| KR101038408B1 (ko) | 무선 통신 시스템의 크립토싱크 설계 | |
| MX2007003228A (es) | Sistema y metodo para proveer acceso autorizado a contenido digital. | |
| ES2404041T3 (es) | Sistema y método para proporcionar acceso autorizado a contenido digital | |
| KR19990014887A (ko) | 데이터 송신 장치, 데이터 송신 방법, 데이터 수신 장치, 데이터 수신 방법, 데이터 전송 장치, 및 데이터 전송 방법 | |
| CA2318452A1 (en) | Method and apparatus for conveying a private message to selected members | |
| CN111602113A (zh) | 用于修改真随机数池的密码系统和方法 | |
| ES2302852T3 (es) | Metodo de control de acceso a servicios especificos a traves de un distribuidor. | |
| JPH0646052A (ja) | 高速トランスポートメカニズムにおける暗号化方式 | |
| WO2024157487A1 (ja) | サーバ、通信システム、通信方法及びプログラム | |
| JPH11308209A (ja) | 信号暗号装置及び方法、並びにデータ送信装置及び方法 |