专利名称：一种用于通过网络提供加密内容并且对该内容进行解密的系统，设备和方法
技术领域：
本发明涉及一种用于对经由网络接收的加密内容进行解密的设备及方法。本发明还涉及一种用于通过网络提供加密内容和对该内容进行解密的系统，该系统包括用于提供加密的网络内容的服务器，用于对加密的网络内容进行解密的设备和用于提供解密密钥的存储介质(例如，记录载体或者记录介质)，以及相应的的方法和软件程序。
背景技术：
现今，在例如通过光盘或者互联网发布内容时，内容保护成为内容供应商主要关心的问题之一。Sapphire系统提供了精密的保护机制，并且被引入CD2标准。在Sapphire系统中，对盘上的内容(即A/V流、文件等等)进行加密，并且在Sapphire密钥箱(key locker)中，将对应的解密密钥作为资产密钥(Asset Key)进行存储。
第03102257.7号欧洲专利申请描述了用于利用上述提及的Sapphire系统保护机制来读取和保护网络数据的盘播放器(disc player)、记录载体以及方法，其中网络数据与存储在记录载体中的数据有关。
图1是举例说明包括第03102257.7号专利申请的盘播放器、盘以及服务器的系统的示意性框图。图1的系统包括盘播放器11、盘(disc)12以及网络单元13(例如，服务器)，所示网络单元用于提供与存储在盘12中的盘数据122有关的网络数据。该网络单元13经由互联网与盘播放器11连接。如2图中详细示出的那样，除盘数据122之外，盘12上还存储有密钥箱121。图2示出了举例说明密钥箱内容的表。在Sapphire系统中，该密钥箱121通常是包括四列的表，四列为用作盘播放器运行的应用程序的标识、并用于限制对密钥箱子集的访问的应用程序ID；用作以相同密钥加密的、以及具有相同使用权的(一组)文件的标识的资产ID(Asset ID)；用作解密密钥的资产密钥，该密钥需要对公众保密；以及权利字符串(rightstring)，其具有未定义格式以及可变长度。在图1中所示的系统中，权利字符串包括像网络单元13的URL那样的网络标识符，并且包括用作对网络数据进行解密的解密密钥的资产密钥。
盘播放器11包括两部分用于从记录载体12读取数据的驱动器111以及应用单元(Application unit)112。应用单元112由检验元件、访问元件以及解密元件组成。在此欧洲专利申请中，应用单元112的访问元件首先从网络单元13发送对特定网络数据的请求。然后，驱动器111根据其应用程序ID从记录载体中检索权利字符串，并且向应用单元112发送检索到的权利字符串。应用单元112的检验元件检验存储在权利字符串中的URL是否与提供网络数据的特定网络单元13的URL匹配。倘若如此，应用单元112的解密元件用存储在权利字符串中的解密密钥对网络单元13提供的加密网络数据进行解密。若非如此，驱动器111将再次检索权利字符串，并且将再一次执行如上的整个过程。
通过现有技术可以看出，应用单元使用与资产密钥相同的解密密钥对网络内容进行解密。通常，应用单元是一个用于执行(软件)应用程序的硬件，该应用程序与在计算机上运行的操作系统(OS)或者软件的情况相似。在该情况下，应用单元中运行的应用程序容易遭到攻击/入侵，就象黑客对在计算机上运行的软件所做的那样。因此，访问解密密钥相对容易，解密密钥由应用单元用于对网络内容进行解密，并且应该对公众保密，且防止密钥被公开。
发明内容
因此，本发明的一个目的在于提供一种用于通过网络提供加密内容并对该内容进行解密的系统，设备和方法，它能够有效地减少密钥受到攻击的可能性。
根据本发明的第一方面，此目的通过提供一种用于对经由网络接收的加密内容进行解密的设备来实现，该设备包括应用单元，用于经由网络接收加密内容和加密的第一密钥，其中第一密钥与内容的加密相关联，并且专用的第二密钥与第一密钥的加密相关联；以及密钥管理单元，用于从存储介质中获得专用的第二密钥，并且利用专用的第二密钥对加密的第一密钥进行解密，以便向应用单元提供第一密钥来对加密内容进行解密。
根据本发明的第二方面，提供了一种用于提供加密内容并且对该加密内容进行解密的系统，该系统包括用于提供加密内容的服务器，用于对加密内容进行解密的设备和存储介质，其中，服务器还设置为包括接收器，用于从用于解密的设备接收内容下载请求；发生器，用于响应请求生成第一密钥；加密器，用于利用第一密钥来对内容加密以便提供加密内容，并且利用专用的第二密钥来对第一密钥加密以便提供加密的第一密钥；以及发送器，用于发送加密内容以及加密的第一密钥；并且用于对加密内容进行解密的设备还设置为包括应用单元，用于经由网络接收加密内容和加密的第一密钥，其中第一密钥与内容的加密相关联，而专用的第二密钥与第一密钥的加密相关联；以及密钥管理单元，用于从存储介质中获得专用的第二密钥，并且利用专用的第二密钥对加密的第一密钥进行解密，以便向应用单元提供第一密钥以对加密内容进行解密。
根据本发明的第三方面，提供了一种对经由网络接收的内容进行解密的方法，该方法包括以下步骤经由网络接收加密内容和加密的第一密钥，其中第一密钥与内容的加密相关联，并且专用的第二密钥与第一密钥的加密相关联；从存储介质中获得专用的第二密钥；并且利用专用的第二密钥对加密的第一密钥进行解密，以便向应用单元提供第一密钥以对加密内容进行解密。
根据本发明的第四方面，提供了一种对经由网络接收的内容进行解密的计算机程序，该计算机程序包括第一软件部分，用于经由网络接收加密内容和加密的第一密钥，其中第一密钥与内容的加密相关联，并且专用的第二密钥与第一密钥的加密相关联；第二软件部分，用于从存储介质中获得专用的第二密钥，并且利用专用的第二密钥对加密的第一密钥进行解密，以便向应用单元提供第一密钥以对加密内容进行解密。
申请人注意到，密钥管理单元(例如，驱动器)基本上是一个由设备使用的部件，具有其自身的一致性规则(例如，遵照Sapphire系统的规则)，并且经由安全认证通道(SAC)具有其本身和应用单元之间的接口，安全认证通道由Sapphire系统预先定义。因此，作为单个部件的密钥管理单元非常难于受到象应用单元所发生的那样的攻击。
根据本发明的解密系统、设备和方法，第二密钥(即，资产密钥)是对应用单元保密的，应用单元只使用响应内容下载请求而随机生成的第一密钥，而密钥管理单元是知道资产密钥的唯一单元，这比应用单元相对安全且更加稳定。鉴于此，本发明的设备和方法更加有效地防止内容保护密钥(例如，资产密钥)受到攻击。
现在参照附图通过举例来讨论本发明的实施例，其中相同的附图标号涉及相同的部分，并且其中图1是举例说明根据现有技术对网络数据进行解密的系统的结构示意框图，其中系统包括盘播放器、服务器和记录载体；图2示出了存储在图1的记录载体上的密钥箱的表；图3是举例说明根据本发明第一实施例对网络数据进行解密的系统的结构示意框图，其中系统包括盘播放器、服务器和记录载体；以及图4是举例说明根据本发明第二实施例对网络数据进行解密的系统的结构示意框图，其中系统包括盘播放器、服务器和记录载体。
具体实施例方式
在图3中，示出了根据本发明第一实施例的用于提供网络数据并且对网络数据进行解密的系统的结构。该系统包括用于提供加密内容的服务器31，用于对加密内容进行解密的盘播放器32，以及用于存储如图2所示的密钥箱121以及盘数据122的盘33，其中盘播放器32经由网络与服务器31连接，并且服务器共享有关存储在盘上的密钥箱的信息。服务器还包括接收器(图中未示出)，用于从盘播放器接收下载与盘数据有关的网络内容的请求，其中优选的是，当盘上存储了各种盘应用程序(例如多个Java应用程序包)的情况下，该请求包括应用程序ID(例如，图2的密钥箱中的应用程序ID 2)；发生器311，用于响应于请求随机地生成口令(pass phase)；加密器312，用于利用口令对所请求的网络内容进行加密，该网络内容存储在内容库313中，然后使用从与盘共享的密钥箱中选出的资产密钥，例如图2所示的密钥箱中的资产密钥ASDF1234，对口令进行加密(为了区别存储在密钥箱中的其他资产密钥，以下将该资产密钥称作专用资产密钥(dedicated asset key)。还可以选择该专用资产密钥对其他随机生成的口令进行加密)；以及发送器，用于发送加密内容、加密的口令以及与专用资产密钥相关联的资产ID，例如图2中的资产ID 80。
盘播放器32包括应用单元321，用于接收来自于服务器31的加密内容、加密的口令以及关联的资产ID，并且用于利用口令对加密内容进行解密；驱动器322，用于根据关联的资产ID从存储在盘33中的密钥箱121中检索专用资产密钥，并且利用专用资产密钥对加密的口令进行解密，以便向应用单元提供口令。
应用单元322还包括访问元件，用于接收来自于服务器的加密内容、加密的口令以及资产ID，向驱动器发送加密的口令并且接收来自于驱动器的解密的口令；以及解密元件，用于使用解密的口令对加密内容进行解密。驱动器322还包括访问元件，用于根据资产ID从存储在盘上的密钥箱中检索专用资产密钥，并且将解密的口令经由安全认证通道(SAC)传送到应用单元；以及解密元件，用于利用检索的专用资产密钥对从应用单元接收的加密的口令进行解密。
下面将描述本发明第一实施例的系统提供网络数据并且对网络数据进行解密的过程首先，应用单元的访问元件向服务器发送内容下载请求。然后，服务器响应于该请求随机地生成口令。这里，内容下载请求对于随机口令的生成过程来说是可选的，并且服务器能够以时间为基础来生成口令。然后，服务器利用口令对所请求的网络内容进行加密，并且利用专用资产密钥对口令进行加密。
将包括资产ID、加密的口令以及加密内容的数据发送到应用单元，其中将资产ID以及加密的口令发送到驱动器。驱动器从应用单元接收加密的口令以及资产ID，然后根据资产ID从盘上的密钥箱中检索资产密钥。然后，驱动器利用检索的资产密钥对口令进行解密，并且经由SAC向应用单元发送解密的口令。最后，应用单元使用由驱动器发送的解密的口令对加密内容进行解密。
从上文的描述可以看出，在对经由网络接收的内容进行解密的整个过程中，应用单元不是直接地保存和处理资产密钥。相反，应用单元使用随机生成的口令对网络内容进行解密。因此，从应用单元中能够检索出资产密钥的可能性基本上是零。此外，由于本发明的上述实施例不使用存储在盘上的密钥箱中的权利字符串字段，所以权利字符串的列是空的。是否使用权利字符串字段取决于各应用程序。
在图4中示出了根据本发明第二实施例的用于提供网络数据并且对网络数据进行解密的系统的结构。图3和4的系统之间的差异在于图4的应用单元421的发生器311还生成符合预定义数据结构的测试序列(即，位序列)，诸如序列长度、特定位的定义，并且应用单元421还包括检索元件，用于为解密元件检索口令以便对网络内容进行解密。
下面将描述根据本发明第二实施例的、由图4的系统提供网络数据并且对网络数据进行解密的过程。
在图4中，应用单元421的访问元件向服务器31发送内容下载请求。然后，服务器的发生器311响应于该请求随机地产生口令和测试序列。如上所述，该请求对于口令的生成来说是可选的，并且发生器能够以时间为基础生成数据。服务器的加密元件312利用生成的口令对存储在内容库313中的内容进行加密，然后利用专用资产密钥对口令以及测试序列进行加密，该专用资产密钥是从与盘33共享的密钥箱信息中选出来的。服务器的发送器(图4中未示出)向盘播放器32发送加密内容、加密的口令以及测试序列。
盘播放器的应用单元421的访问元件向驱动器322转送加密的口令和测试序列。驱动器322的访问元件从存储在盘33上的密钥箱121中读取与应用程序ID相关联的条目中的所有资产密钥，并且所读取的资产密钥包括专用资产密钥，该专用资产密钥由服务器选择以便对口令和测试序列进行加密。然后，驱动器的解密元件利用每个读取的资产密钥对口令和测试序列进行解密，以便向应用单元421提供相对于每个资产密钥的多对解密的口令和测试序列。在应用单元421的访问元件从驱动器收到多对解密的口令和测试序列之后，应用单元421的检索元件检索一对解密的口令和测试序列，其中解密的测试序列符合预定义的数据结构。然后，应用单元的解密元件使用检索的口令对从服务器收到的加密内容进行解密。
概括的讲，已经公开了用于提供网络数据并且对网络数据进行解密的系统、设备和方法。应该理解的是，本领域技术人员可以对本发明做出任何修改、添加和补充，这些内容都落入在所附权利要求书中要求的保护范围。
举例来说，根据第二实施例，服务器31的加密元件利用专用资产密钥对测试序列进行加密。然而，本领域技术人员可以料想到加密元件还可以利用口令对测试序列进行加密。在该情况下，驱动器322的解密元件只利用每个读取的资产密钥对加密的口令进行解密，并且向应用单元421的访问元件提供多个解密的口令。然后，应用单元的解密元件利用每个解密的口令对加密的测试序列进行解密，并且向检索元件提供多对解密的测试序列和口令，以便检索一对解密的测试序列和口令，其中测试序列符合预定义的数据结构。然后，应用单元的解密元件利用检索的口令对从服务器下载的加密内容进行解密。
此外，在本发明的所有实施例中，由口令对网络内容进行加密，并且由专用资产密钥对口令进行加密。本领域技术人员应该理解的是，可以使用任何替代方式来执行对网络内容和口令的加密。例如，网络内容不是全部通过内容保护密钥(例如专用资产密钥)来加密，而只是部分被加密，例如只有文件首部/重要参数/或者特定部分被加密，同时口令不仅包括加密内容保护密钥，而且还包括某些表明哪部分内容被加密的数据。
此外，在实施例中，用于对网络数据进行解密的设备是盘播放器。然而，所有本领域技术人员都可以预想到其他设备，诸如具有用于读取存储在存储介质上的数据的驱动器的计算机。盘播放器的驱动器功能还可以利用压缩闪卡(例如智能卡或者USB记忆棒)形式的密钥管理单元来实现，或者利用附属于记录载体的芯片(所谓的盘上芯片“Chip-in-Disc”技术)来实现。
权利要求
1.一种用于对经由网络接收的加密内容进行解密的设备，包括应用单元，用于经由所述网络接收所述加密内容和加密的第一密钥，其中所述第一密钥与所述内容的加密相关联，而专用的第二密钥与所述第一密钥的加密相关联；以及密钥管理单元，用于从存储介质中获得所述专用的第二密钥，并且利用所述专用的第二密钥对所述加密的第一密钥进行解密，以便向所述应用单元提供所述第一密钥对所述加密内容进行解密。
2.如权利要求1所述的设备，其中所述应用单元还被设置为经由所述网络接收索引。
3.如权利要求2所述的设备，其中所述索引是对应于所述专用的第二密钥的数据。
4.如权利要求3所述的设备，其中所述密钥管理单元还被设置为根据所述索引从所述存储介质中检索所述专用的第二密钥。
5.如权利要求4所述的设备，其中所述应用单元包括第一访问元件，用于经由所述网络接收所述加密内容、所述加密的第一密钥和所述索引，将所述加密的第一密钥和所述索引转发给所述密钥管理单元；以及第一解密元件，用于利用来自于所述密钥管理单元的所述第一密钥对所述加密内容进行解密。
6.如权利要求5所述的设备，其中所述驱动器包括第二访问元件，用于根据所述索引从所述存储介质中检索所述专用密钥；第二解密元件，用于利用来自于所述第二访问元件的所述专用的第二密钥对所述加密的第一密钥进行解密，并且向所述第二访问元件提供所述第一密钥，以便将其转发给所述应用单元。
7.如权利要求2所述的设备，其中所述索引是加密的数据，该数据符合预定义的数据结构。
8.如权利要求7所述的设备，其中所述密钥管理单元还被设置为从所述存储介质读取多个第二密钥，其中所述多个第二密钥包括所述专用的第二密钥，并且利用每个所述第二密钥对所述加密的第一密钥和所述索引进行解密，以便提供多对解密的第一密钥和解密的索引。
9.如权利要求8所述的设备，其中所述应用单元还被设置为根据所述预定义的数据结构、从所述密钥管理单元中检索一对解密的索引和解密的第一密钥，并且利用所述检索的第一密钥对所述加密内容进行解密。
10.如权利要求9所述的设备，其中所述应用单元包括第一访问元件，用于经由所述网络接收所述加密内容、所述加密的第一密钥和所述索引，将所述加密的第一密钥和所述索引转发给所述密钥管理单元，并且接收来自于所述密钥管理单元的所述多对解密的索引和解密的第一密钥；以及第一检索元件，用于根据所述预定义的数据结构检索一对解密的索引和解密的第一密钥；以及第一解密元件，用于利用所述检索的第一密钥对所述加密内容进行解密。
11.如权利要求10的设备，其中所述密钥管理单元包括第二访问元件，用于从所述存储介质中读取多个第二密钥；以及第二解密元件，用于利用所述多个第二密钥的每一个对所述加密的第一密钥进行解密，并且向所述第二访问元件提供所述多对解密的第一密钥和解密的索引，以便将其转发给所述应用单元。
12.如权利要求7所述的设备，其中所述应用单元还被设置为利用来自于所述密钥管理单元中的所述多个解密的第一密钥对所述索引进行解密，以便提供多对解密的索引和解密的第一密钥，根据所述预定义的数据结构检索一对解密的索引和解密的第一密钥，并且利用所述检索的第一密钥对所述加密内容进行解密。
13.如权利要求12所述的设备，其中所述应用单元包括第一访问元件，用于经由所述网络接收所述加密内容、所述加密的第一密钥和所述索引，将所述加密的第一密钥转发给所述密钥管理单元，并且接收来自于所述密钥管理单元的多个解密的第一密钥；第一解密元件，用于利用来自于所述密钥管理单元的所述多个解密的第一密钥对所述索引进行解密，以便提供多对解密的索引和解密的第一密钥；以及第一检索元件，用于根据所述预定义的数据结构检索一对解密的索引和解密的第一密钥，以便所述第一解密元件利用所述检索的第一密钥对所述加密内容进行解密。
14.如权利要求13所述的设备，其中所述密钥管理单元包括第二访问元件，用于从所述存储介质读取所述多个第二密钥；以及第二解密元件，用于利用所述多个第二密钥的每一个对所述加密的第一密钥进行解密，并且向所述第二访问元件提供所述多个解密的第一密钥，以便将其转发给所述应用单元。
15.一种用于对经由网络接收的加密内容进行解密的计算机程序，包括第一软件部分，用于经由所述网络接收所述加密内容和加密的第一密钥，其中所述第一密钥与所述内容的加密相关联，并且专用的第二密钥与所述第一密钥的加密相关联；以及第二软件部分，用于从存储介质中获得所述专用的第二密钥，并且利用所述专用的第二密钥对所述加密的第一密钥进行解密，以便向所述应用单元提供所述第一密钥以对所述加密内容进行解密。
16.一种包括如权利要求15所述的计算机程序的记录载体。
17.一种用于提供加密内容并且对所述加密内容进行解密的系统，包括用于提供所述加密内容的服务器、用于对所述加密内容进行解密的设备和存储介质，其中，所述服务器还包括接收器，用于接收来自所述解密设备的内容下载请求；发生器，用于响应于所述请求生成第一密钥；加密器，用于利用所述第一密钥对所述内容进行加密以便提供所述加密内容，并且利用专用的第二密钥对所述第一密钥进行加密以便提供加密的第一密钥；以及发送器，用于发送所述加密内容以及所述加密的第一密钥；以及所述解密设备如权利要求1-14中任一权利要求所述。
18.一种对经由网络接收的加密内容进行解密的方法，包括以下步骤经由所述网络接收所述加密内容和加密的第一密钥，其中所述第一密钥与所述内容的加密相关联，而专用的第二密钥与所述第一密钥的加密相关联；从存储介质获得所述专用的第二密钥；以及利用所述专用的第二密钥对所述加密的第一密钥进行解密，以便向所述应用单元提供所述第一密钥以对所述加密内容进行解密。
全文摘要
本发明公开了一种用于通过网络提供加密内容并且对该加密内容进行解密的系统、设备以及方法。本发明的系统包括用于提供加密内容的服务器、用于对加密内容进行解密的设备和存储介质，其中服务器还被设置为包括接收器，用于从用于解密的设备接收内容下载请求；发生器，用于响应于请求生成第一密钥；加密器，用于利用第一密钥对内容进行加密以便提供加密内容，并且利用专用的第二密钥对第一密钥进行加密以便提供加密的第一密钥；以及发送器，用于发送加密内容和加密的第一密钥；并且用于对加密内容进行解密的设备还被设置为包括应用单元，用于经由网络接收加密内容和加密的第一密钥；以及密钥管理单元，用于从存储介质中获得专用的第二密钥。
文档编号H04L9/14GK1728262SQ200410055770
公开日2006年2月1日 申请日期2004年7月29日 优先权日2004年7月29日
发明者彭杨, 金盛, 何达华 申请人:皇家飞利浦电子股份有限公司