专利名称：用于提供edrm保护的数据对象的方法和系统的制作方法
技术领域：
本发明涉及用于为用户提供EDRM (Enterprise Digital Rights Management,企业数字版权管理)保护的数据对象的一种方法和一种系统。
背景技术：
企业数字版权管理(EDRM)与其存储地点无关地提供对于数据对象的访问保护。EDRM保护的数据对象可以由授权的应用者或用户并且按照其对此适用的访问权来打开并且随后进行处理。这与数据对象存储在什么存储地点或曾以何种方式传输无关地来进行。因此，没有授权的第三方或没有访问数据对象的访问权的局外人不能例如用数据对象的副本来获得任何东西，即第三方不能访问EDRM保护的数据对象，其中所述数据对象由第三方或局外人譬如通过电子邮件接收或其在所找到的USB棒上发现。·然而为了使用这样的企业数字版权管理(EDRM),必须将相应的应用或应用程序专门与此相匹配，即必须将应用程序扩展EDRM功能性。因此为了使用EDRM只能使用专门的为此匹配的应用程序。在EDRM系统中，数据对象的、尤其是文件的发行者在其释放数据对象之前对数据对象进行编码，并且附加地为特殊的用户或用户组发放对于数据对象的访问权。于是，该编码的数据对象、包括所属的访问权被传输给EDRM服务器。数据对象或文件的发行者生成含有用户或用户组的访问权的所谓的发行许可证(IL)。发行许可证IL例如可以说明，哪个用户或哪个用户组允许读取、打印或存储数据对象。发行许可证IL附加地含有已由相应数据对象DO的发行者用于数据对象的编码的对称密码密钥。由于用于数据对象的编码的对称密码密钥DK是保密的信息，因此利用EDRM服务器的公共密钥Kpub对由数据对象的产生者或发行者所生成的发行许可证IL进行编码，并且数据对象DO的发行者对发行许可证进行签名。可以随机或伪随机地产生用于数据对象DO的编码的文件密钥DK。从可以在管理上规定的访问控制清单ACL(Access ControI List,访问控制清单)中得出了针对不同访问类型的不同用户或用户组的授权。访问控制清单ACL说明了，哪些用户具有对于相应数据对象DO的哪些访问权。在由数据对象发行者向EDRM服务器传输了发行许可证IL之后，在EDRM服务器方验证签名，并且随后在EDRM服务器方对编码传输的发行许可证IL进行译码。EDRM服务器存储了所传输的信息，即尤其是文件密钥DK和访问控制清单ACL。例如当有人员离开项目或由更新的版本代替数据对象DO时，可以由数据对象发行者改变发行许可证IL。为了利用EDRM保护的数据对象D0，应用者或用户可以经由EDRM客户端来访问EDRM服务器，以便例如处理EDRM保护的数据对象。EDRM客户端与EDRM服务器进行通信，以便获得对称的文件密钥DK，和以便确定以所谓的终端用户许可证EUL形式的当前数据对象的访问权。该终端用户许可证EUL由EDRM服务器在用户面对EDRM服务器进行鉴权之后才建立并且传送给对应的EDRM客户端。EDRM客户端向负责遵守访问权的有EDRM能力的应用程序转交所确定的访问权。用数据对象密钥DK对数据对象DO进行译码同样如稍后可能需要的数据对象的重新编码那样由EDRM客户端来进行。数据对象密钥DK可以由EDRM客户端例如通过代码迷惑(Code Obfuscation,代码迷惑)等本身对具有管理权的用户或应用者保密。同样可将数据对象密钥在EDRM客户端中保管在安全的存储区中，或也借助硬件安全模块(例如TPM可信平台模块)来保管。不过常规的EDRM系统不支持由例如在具有不同EDRM系统的不同企业中工作的用户来访问数据对象D0。例如在不同企业的合资进程中，这样的用户或应用的一体化或合作用常规的EDRM系统是不可能的。
发明内容
因此本发明的任务是，提出用于提供EDRM保护的数据对象的一种方法和一种系统，该方法和系统允许由不同机构的用户分散地访问EDRM保护的数据对象。根据本发明，通过具有权利要求I中所说明特征的方法来解决该任务。本发明提出一种用于为用户提供至少一个EDRM (企业数字版权管理)保护的数据 对象DO的方法，其中根据对于包含在EDRM保护的数据对象DO中的至少一个或多个数据对象的子访问权Pi,形成对于EDRM保护的数据对象DO的访问权DP。在本发明方法的一种实施形式中，借助访问权推导函数TOF (策略推导函数)根据访问权Pi由用户的客户端计算机计算出对于EDRM保护的数据对象DO的访问权DP。在本发明方法的一种可能的实施形式中，由逻辑运算函数形成访问权推导函数PDF。在本发明方法的一种可能的实施形式中，逻辑的访问权推导函数PDF形成子访问权？1的交集。在本发明方法的另一实施形式中，逻辑的访问权推导函数PDF形成子访问权PJA并集。在本发明方法的另一实施形式中，逻辑的访问权推导函数PDF形成子访问权PJA差集。在本发明方法的一种可能的实施形式中，通过由不同的EDRM服务器所读出的子访问权的多数决定来形成访问权推导函数HF。在本发明方法的一种实施形式中，由用户的客户端计算机根据子密钥Ki计算出EDRM保护的数据对象DO的数据对象密钥DK。在本发明方法的一种实施形式中，用计算出的数据对象密钥DK对由客户端计算机所产生的数据对象DO进行编码。在本发明方法的一种实施形式中，借助密钥推导函数KDF计算出数据对象密钥DK0在本发明方法的一种实施形式中，密钥推导函数KDF是逻辑运算函数。在本发明方法的另一可能的实施形式中，密钥推导函数KDF是级联函数。在本发明方法的另一可能的实施形式中，密钥推导函数KDF是哈希函数。在本发明方法的另一可能的实施形式中，密钥推导函数KDF具有不同函数的、尤其是级联函数、哈希函数和逻辑运算函数的运算。在本发明方法的一种实施形式中，由不同的EDRM服务器提供用于访问包含在EDRM保护的数据对象中的数据对象的子访问权Pi和用于计算数据对象密钥的子密钥K。
在本发明方法的一种实施形式中，在进行了用户面对相应EDRM服务器的鉴权之后，根据用户的询问，在说明数据对象DO的文件标识D-ID的情况下，由EDRM服务器向用户的客户端计算机传输子访问权Pi和子密钥I。在本发明方法的一种实施形式中，对于由用户的客户端计算机所产生的数据对象D0,生成说明用户或用户组对于所产生的数据对象DO的访问权Pi的所属权限对象R0。在本发明方法的一种实施形式中，属于数据对象DO的权限对象RO用EDRM服务器的公共密钥Kpub被编码，并且与由计算出的数据对象密钥DK编码的数据对象DO的数据内容DI和数据对象的文件标识D-ID —起以签名的方式传输给相应的EDRM服务器。在本发明方法的一种实施形式中，EDRM服务器在验证所接收的签名之后用EDRM服务器的私有密钥Kphv对编码传输的权限对象RO进行译码，并且存储所译码的权限对象RO0 在本发明方法的一种实施形式中，EDRM服务器在验证所接收的签名之后用数据对象的数据对象密钥DK对编码传输的数据对象DO的数据内容进行译码，并且存储所译码的数据内容。在本发明方法的一种实施形式中，EDRM服务器将数据对象的已译码的数据内容或仍编码的数据内容存储在自身处。在本发明方法的一种替代的实施形式中，EDRM服务器将数据对象的已译码的数据内容存储在文件服务器中。在本发明方法的一种实施形式中，由文件形成数据对象D0。在本发明方法的一种替代的实施形式中，由软件元件形成数据对象D0。本发明还提出一种用于为用户提供EDRM保护的数据对象的系统，其中根据对于包含在相应EDRM保护的数据对象DO中的至少一个或多个数据对象的子访问权Pi,形成对EDRM保护的数据对象DO的访问权DP。在本发明系统的一种实施形式中，由用户的客户端计算机借助访问权推导函数PDF根据由不同的EDRM服务器所提供的子访问权Pi计算出对于EDRM保护的数据对象DO的访问权DP。在本发明系统的一种实施形式中，由用户的客户端计算机借助密钥推导函数KDF根据由不同EDRM服务器读出的子密钥Ki计算出EDRM保护的数据对象的数据对象密钥DK。在本发明系统的一种可能的实施形式中，客户端计算机经由数据网络与EDRM服务器连接。
在下面，参照
了用于提供EDRM保护的数据对象的本发明方法和本发明系统的优选的实施形式。图I示出用于示出为了提供EDRM保护的数据对象的本发明系统的实施例的简 图2示出用于示出在本发明方法中的步骤的信号 图3示出用于示出在本发明方法中的步骤的另一信号 图4示出用于示出在本发明方法中的另一步骤的另一信号图。
具体实施例方式如从图I中可以看出的那样，在图I中所示的实施例中用于提供EDRM保护的数据对象的本发明系统I具有数据网络2，应用者或用户4的至少一个客户端计算机3连接到该数据网络2。此外，在图I中所示的实施例中设置两个EDRM服务器5A，5B。EDRM服务器5的数量可以变化。在其它的实施例中，例如EDRM服务器5的数量可以多于两个。在本发明系统I的图I中所示的实施例中，还将文件服务器6连接到网络2上。网络2可以是任意的网络,例如也可以是由多个网络组合成的网络。网络2可以例如是因特网。网络2也可以是局域网(LAN)或广域网(WAN)。客户端计算机3以及EDRM服务器5和文件服务器6经由接口与数据网络2相连接。接口可以是无线的或有线的。客户端计算机3可以是固定设备，但是也可以是移动的终端设备。在系统I中，根据对于包含在相应EDRM保护的数据对象DO中的至少一个或多个数据对象的子访问权Pi,形成对于EDRM保护的数据对象DO的访问权DP。在此，由用户4的客户端计算机3借助访问权推导函数PDF (Policy DerivationFunction,策略推导函数)根据子访问权Pi计算出对于EDRM保护的数据对象DO的访问权DP。由不同的EDRM服务器5A、5B提供这些子访问权Pp访问权推导函数PDF可以是逻辑运算函数。在一种可能的实施形式中，由子访问权？1的交集、即由子访问权？1的逻辑“与”运算来形成逻辑访问权推导函数roF。这意味着，由多个子策略提供访问权
dp = P1rip2 n- pn。在另一实施形式中，由子访问权Pi的并集来形成逻辑访问权推导函数roF，即将子访问权Pi彼此进行逻辑“或”运算。在此情况下必须由子策略中的一个来提供访问权
DP = P1 u F*2 U Pn。在本发明系统的另一实施形式中，由子访问权Pi的差集来形成逻辑访问权推导函数HF。这意味着，访问权由第一子策略P1提供，而不由第二子策略P2提供
dp = P1Av在另一可能的实施形式中，通过由不同EDRM服务器5所读出的子访问权Pi的多数决定来形成访问权推导函数HF。如果例如存在两个EDRM服务器5A、5B，则在该实施例中多于50%的、即两个EDRM服务器5A、5B必须提供访问权。如果存在三个EDRM服务器，则三个EDRM服务器中的至少两个必须提供访问权。因此可以否决由于暂时的失效而没有实现全部授权更新的、但是在这期间重新输出终端用户许可证(EUL)的EDRM服务器5。也可以由EDRM客户端计算机3在此情况下忽视EDRM服务器5的失效(与子访问权的纯粹的“与”运算相反)。在一种可能的实施形式中，客户端计算机3具有不同的访问权推导函数TOF，应用者4可以从这些访问权推导函数PDF中选择,或应用者4可以选择这些访问权推导函数PDF0在本发明系统I的一种实施形式中，由用户4的客户端计算机3借助密钥推导函数KDF (Key Derivation Function,密钥推导函数)根据由不同EDRM服务器5A, 5B所读出的子密钥Ki计算出EDRM保护的数据对象DO的数据对象密钥DK。用计算出的数据对象密钥DK对由客户端计算机3所产生的数据对象DO进行编码。、
借助密钥推导函数KDF计算出该数据对象密钥DK。在一种可能的实施形式中，密钥推导函数KDF是逻辑运算函数。该逻辑运算函数例如可以是“异或”运算。在另一实施形式中，密钥推导函数KDF是在其中相继附接不同密钥Ki的级联函数。在另一实施形式中，所采用的密钥推导函数KDF是哈希函数，尤其是MD5、SHA-I或SHA256哈希函数。此外，密钥推导函数KDF可以通过不同类型的不同函数的运算、例如哈希函数和密钥的逻辑运算(例如 SHA256 (K1 XOR K2))来形成。针对对于EDRM保护的数据对象DO的访问权DP的确定，根据在多个EDRM服务器5处的子访问权Pi,—般适用
DP = PDF (P1, P2, , Pn)。对于从可由不同EDRM服务器5读出的多个子密钥Ki中计算出具有密钥推导函数KDF的数据对象密钥DK，一般适用
DK = KDF (K1, K2, , KnX 用于访问包含在EDRM保护的数据对象DO中的数据对象的子访问权Pi和用于计算数据对象密钥DK的子密钥Ki由不同的EDRM服务器5读出。在本发明系统I的一种可能的实施形式中，在进行了用户面对相应EDRM服务器5的鉴权之后，根据用户的询问，在说明数据对象的文件标识D-ID的情况下，由EDRM服务器5向用户的客户端计算机3传输子访问权Pi和子密钥K”在此，对于由用户4的客户端计算机3所产生的数据对象D0，可以生成说明了用户或用户组对于所产生的数据对象的访问权Pi的所属权限对象R0。属于数据对象DO的权限对象DO可以优选用EDRM服务器5的公共密钥Kpub编码地与由计算出的数据对象密钥DK编码的数据对象DO的数据内容DI和数据对象的文件标识D-ID —起以签名的方式传输给相应的EDRM服务器5。EDRM服务器5在验证所接收的签名之后用私有密钥&&对编码传输的权限对象RO进行译码，并存储所编码的权项对象R0。此外，EDRM服务器5在验证所接收的签名之后用相应数据对象的数据对象密钥DK对编码传输的数据对象DO的数据内容进行译码，并存储所译码的数据内容。EDRM服务器5，例如图I中的EDRM服务器5A或5B，可将数据对象DO的所译码的数据内容在自身处存储在存储单元中，或存储在图中所示的文件服务器6中。在如图I中所示的本发明系统I中，可将关于数据对象的EDRM保护的控制划分到多个参与者上。尤其可能的是，没有EDRM服务器5单独拥有文件密钥DK。这尤其是对于在其中跨组织地建立和交换EDRM保护的数据对象DO的协作的使用环境或应用是有利的。在此情况下，参与者不单独具有关于哪个用户或用户组可以访问数据对象DO的控制。数据对象DO例如是文件。此外可能的是，数据对象DO是软件元件。该软件元件例如是可实施的程序代码。此外，软件元件也可能是虚拟机(VM)，尤其是虚拟箱。在本发明系统I中还确保了，由于在一个EDRM服务器5上的配置错误，而不能回避在另一个EDRM服务器上预先规定的一定限制。图2示出用于示出本发明方法的方法步骤的信号图。图2中示出了，可以如何由本发明的系统I和方法通过存放子信息、尤其是子策略或子访问权Pi和子密钥Ki来保护数据对象。数据对象出版者或数据对象发行者(DO-I)产生数据对象D0。例如可以通过用户4在客户端计算机3上产生数据对象。如在图2中所示出的那样，数据对象出版者DO-I在步骤SI中产生数据对象和说明了用户或用户组对于所产生的数据对象DO的子访问权Pi的所属权项对象。权限对象RO可以例如是发行许可证IL。作为权限对象的该发行许可证IL例如包括文件密钥DK和访问控制清单ACL (访问控制清单)，该访问控制清单ACL说明了用户或用户组对于具有确定的文件ID D-ID的相应数据对象的访问权。在步骤S2中，对数据对象DO的数据内容进行编码和签名。例如用EDRM服务器5的公共密钥Kpub对属于数据对象DO的权限对象RO进行编码，并与由计算出的数据对象密钥DK所编码的数据对象DO的数据内容DI以及数据对象DO的文件标识D-ID —起，以签名的方式在步骤S3中传输给相应的EDRM服务器5，例如图2中所示出的EDRM服务器5A。该数据传输例如由客户端计算机3经由网络2向EDRM服务器5A进行。在EDRM服务器5A方，在步骤S4中首先验证所接收的签名，并随后用EDRM服务器5A的私有密钥Klttiv对所传输的权限对象RO或发行许可证IL进行译码。所译码的权限对象RO随后可以存储在EDRM服务器5A中。在另一步骤S5中，EDRM服务器5A存储数据对象的数据对象密钥DK以及所属的访问控制清单ACL。该访问控制清单ACL对哪些用户 具有对于该数据对象DO的哪些访问权进行编码。例如可以由管理者规定访问权或访问控制清单ACL。在图2中所示出的方法步骤S2中，用由客户端计算机3根据子密钥Ki计算出的数据对象密钥DK对由客户端计算机3所产生的数据对象进行编码。例如借助所存储的密钥推导函数KDF计算出该数据对象密钥DK。该密钥推导函数KDF可以是逻辑运算函数。替代地，密钥推导函数KDF也可以是级联函数、哈希函数、也可以是不同密钥推导函数的运算。用EDRM服务器5A的公共密钥Kpub对属于数据对象的权限对象RO或发行许可证IL进行编码，并与由计算出的数据对象密钥DK所编码的数据对象的数据内容以及数据对象的文件标识D-ID —起在步骤S3中以签名的形式传输给EDRM服务器5A。子信息，即子策略或访问权Pi和子密钥Ki,存放或存储在EDRM服务器5A上。图3示出用于示出EDRM保护的数据对象的产生的另一信号图。在步骤S6中，例如企业C中的数据对象生成者(例如应用者4)在其客户端计算机3上生成或产生了具有明确的数据对象标识(D-ID)的数据对象，尤其是文件。该数据对象DO可以由多个子数据对象组成。例如所产生的文件可以包括不同的互相合作的企业A，B的两个子文件Da，Db。在另一步骤S7中，在所示出的示例中，进行应用者4面对第一 EDRM服务器5A的用户识别。该EDRM服务器5A例如可以是企业A的EDRM服务器。在应用者的成功的鉴权之后，应用者或用户在步骤S8中，对于包含在所产生的由文件ID所标识的数据对象DO中的子数据对象Da的终端用户许可证EUL，向EDRM服务器5A传输请求。在另一步骤S9中，EDRM服务器5A确定相应子数据对象的、即子数据对象Da的子密钥Ki和应用者访问权Pl。EDRM服务器5A建立对应的终端用户许可证EUL，并在步骤SlO中向数据对象DO的产生者传输该EUL (Pl，KD0数据对象产生者还在步骤Sll中面对第二 EDRM服务器5B对自己进行鉴权，并随后在步骤S12中借助另一子数据对象Db的数据对象IDb从该第二 EDRM服务器5B请求该另一子数据对象Db的终端用户许可证EUL。在所示出的示例中，所生成的文件DO可以具有由不同的文件ID或数据对象ID D-IDa, D-IDb所标识的两个子文件DA，DB。在步骤S8的请求中，传输文件ID D-IDa的第一 EUL，并在步骤S12中传输对于另一 EUL、对于具有ID D-IDb的数据对象Db的请求。在步骤S13中，第二 EDRM服务器5B确定第二数据对象或文件Db的文件密钥K2或子密钥K2以及该第二子数据对象Db的所属访问权P2。第二 EDRM服务器5B例如可以位于第二企业B中。在另一步骤S14中，第二 EDRM服务器5B经由网络2向已生成由两个子文件Da，Db组成的数据对象DO的文件产生者传输所确定的子密钥K2和对于子数据对象DB的访问权P2。该文件产生者例如是基于企业A和企业B的文件来建立文件的另一企业C的应用者。在另一步骤S15中，根据在步骤SlO中和在步骤S14中所接收的对于包含在EDRM保护的数据对象DO中的数据对象Da和数据对象Db的子访问权P1, P2来形成对于数据对象DO的访问权DP。优选借助访问权推导函数PDF根据子访问权P1, P2由在所说明的示例中是数据对象DO的文件产生者的用户4的客户端计算机3计算出对于数据对象DO的访问权DP0该访问权推导函数PDF例如是逻辑运算函数，该逻辑运算函数形成了子访问权P1, P2的交集，或形成子访问权P1, P2的并集，或形成子访问权P1, P2的差集。还可以通过由不同EDRM服务器5A，5B所读出的时间访问权P1和P2的多数决定来形成访问权推导函数HF。在步骤S16中，根据在步骤SlO和S14中所传输的两个子密钥K1, K2计算出EDRM保护的数据对象DO的数据对象密钥DK。随后在步骤S17中，用在步骤S16中计算出的数据对象密钥DK对由数据对象产生者在步骤S16中所产生的数据对象进行编码。在步骤S16中，优选借助所存储的密钥推导函数KDF计算出数据对象密钥DK。该密钥推导函数KDF可·以是逻辑运算函数、级联函数、哈希函数、或不同的这样的函数的运算。随后在步骤S18中，将EDRM保护的数据对象例如存储在相应用户的客户端计算机3的存储区中。如从图3中可以看出的那样，由不同的EDRM服务器5A，5B根据询问读出用于访问包含在EDRM保护的数据对象DO中的两个数据对象DA，DB的子访问权P1, P2和用于计算数据对象密钥DK的所属的子密钥K1和K2。在用户面对相应的EDRM服务器5A，5B进行鉴权之后，才根据用户的询问，在说明相应数据对象的文件标识D-ID的情况下，由EDRM服务器5A，5B向用户或应用者的客户端计算机3传输子访问权P1, P2和子密钥K1, K2。在一种可能的实施形式中，访问权推导函数PDF和密钥推导函数KDF被以公共访问的形式存储在网络2的服务器上并可以在需要时下载。图4示出用于阐述本发明方法的另一步骤的另一信号图。图4示出了，如何可以由用户使用数据对象D0。该用户可以是经由客户端计算机3具有通向EDRM服务器5A，5B的通道的应用者4。用户例如可以是另一企业D的、希望访问由企业C所产生的EDRM保护的数据对象DO的工作人员，该数据对象DO由企业A，B的数据对象Da，Db所组成。在步骤S19中，应用者找到具有确定的数据对象标识D-ID的EDRM保护的数据对象，并且希望访问该数据对象D0，即例如对其进行读取或以其它方式对其进行处理。在步骤S20中应用者面对EDRM服务器5A鉴权之后，应用者在步骤S21中发送用于转让具有标记D-IDa的子文件Da的终端用户许可证EUL的请求。EDRM服务器5A在步骤S22中确定该数据文件Da的文件子密钥K1和子访问权P1，并在步骤S23中向询问的用户传送在终端用户许可证EUL内的所确定的子访问权P1以及子密钥I。该用户在步骤S24中也面对第二 EDRM服务器5B对自身进行鉴权，并在步骤S25中也对于具有文件ID D-IDb的第二子文件Db从第二服务器5B要求终端用户许可证EUL。第二 EDRM服务器5B在步骤S26中确定数据对象Db的子访问权Pi和子密钥Ki,并在步骤S27中在终端用户许可证EUL中向询问的用户传送所述子访问权Pi和子密钥I。在另一步骤S28中，计算用户对于由数据对象DA，Db所组成的EDRM保护的数据对象DO的访问权DP的访问权推导函数HF。根据对于包含在EDRM保护的数据对象DO中的两个数据对象Da，Db的子访问权P1, P2,形成用户对于EDRM保护的数据对象的访问权DP。 在另一步骤S29中，借助密钥推导函数KDF计算出EDRM保护的数据对象DO的数据对象密钥DK。最后在步骤S30中，通过使用所计算出的数据对象密钥DK进行EDRM保护的数据对象的译码。最终在步骤S31中，按照对于该EDRM保护的数据对象所确定的访问权DP,将数据对象DO提供给用户使用。如从图4中可以看出的那样，在访问EDRM保护的数据对象DO时，由两个不同的EDRM服务器5A，5B查询子信息，并对所接收的信息进行运算，以便确定或计算出文件密钥DK和对于EDRM保护的数据对象的访问权DP或文件策略DP。本发明方法可以借助具有用于执行该方法的程序指令的应用程序来实现。在一种可能的实施形式中，该应用程序存储在可以由客户端计算机3的读取单元读取的数据载体上。在一种替代的实施形式中，客户端计算机3经由网络2下载存储在服务器中的应用程序。访问权推导函数PDF和密钥推导函数KDF可以以公共访问的形式存放在服务器上并可以由客户端计算机3下载。访问权推导函数TOF和密钥推导函数KDF可以实现在应用程序中。在本发明系统的一种替代的实施形式中，访问权推导函数PDF和密钥推导函数KDF是保密的或不是可以公共访问的，并且例如在对应的鉴权之后才提供给用户使用。在本发明系统I的一种可能的实施形式中，访问权推导函数PDF和密钥推导函数KDF从硬件方面或在电路技术上实现或固定布线地设置在客户端计算机3的计算单元中。在一种可能的实施形式中，应用者4不能读出实现在其客户端计算机3上的访问权推导函数PDF和密钥推导函数KDF。在一种可能的实施形式中，在系统I中提供的访问权推导函数PDF和提供的密钥推导函数KDF可以以确定的时间间隔改变，即所述函数通过确定的时间间隔替换成另一函数。
权利要求
1.用于为用户提供至少一个EDRM(企业数字版权管理)保护的数据对象的方法， 其中根据对于包含在EDRM保护的数据对象(DO)中的至少一个或多个数据对象的子访问权(Pi)，形成对于EDRM保护的数据对象(DO)的访问权(DP )。
2.按照权利要求I的方法， 其中借助访问权推导函数(PDF)根据子访问权(Pi)由用户的客户端计算机(3)计算出对于EDRM保护的数据对象(DO)的访问权(DP )。
3.按照权利要求2的方法， 其中通过逻辑运算函数形成访问权推导函数(PDF)。
4.按照权利要求3的方法， 其中逻辑的访问权推导函数(PDF)形成子访问权(Pi)的交集，或其中逻辑的访问权推导函数(PDF)形成子访问权(Pi)的并集，或其中逻辑的访问权推导函数(PDF)形成子访问权(Pi)的差集。
5.按照权利要求2的方法， 其中通过由不同EDRM服务器(5A，5B)所读出的子访问权(Pi)的多数决定来形成访问权推导函数(PDF)。
6.按照权利要求I至5的方法， 其中根据子密钥(Ki)由用户的客户端计算机(3)计算出EDRM保护的数据对象(DO)的数据对象密钥(DK)。
7.按照权利要求6的方法， 其中用计算出的数据对象密钥(DK)对由客户端计算机(3)所产生的数据对象(DO)进行编码。
8.按照权利要求6或7的方法， 其中借助密钥推导函数(KDF)计算出数据对象密钥(DK)。
9.按照权利要求8的方法， 其中密钥推导函数(KDF)具有逻辑运算函数、级联函数、哈希函数或不同函数的运算。
10.按照权利要求I至9的方法， 其中由不同的EDRM服务器(5A，5B )提供用于访问包含在EDRM保护的数据对象(DO )中的数据对象的子访问权(Pi)和用于计算出数据对象密钥(DK)的子密钥(KiX
11.按照权利要求10的方法， 其中在用户面对相应的EDRM服务器(5A，5B)进行鉴权之后，按照用户的询问，在说明数据对象(DO)的文件标识(D-ID)的情况下，由EDRM服务器(5A，5B)向用户的客户端计算机(3)传输子访问权(Pi)和子密钥(KiX
12.按照权利要求I至11的方法， 其中对于由用户的客户端计算机(3)所产生的数据对象(DO)生成说明用户或用户组对于所产生的数据对象(DO)的访问权(Pi)的所属权限对象(R0)。
13.按照权利要求12的方法， 其中属于数据对象(DO)的权限对象(RO)被用EDRM服务器(5A，5B)的公共密钥(Kpub)进行编码，并与由计算出的数据对象密钥(DK)编码的数据对象(DO)的数据内容(DI)和数据对象的文件标识(D-ID) —起以签名的方式传输给相应的EDRM服务器(5A，5B)。
14.按照权利要求13的方法， 其中EDRM服务器(5A，5B)在验证所接收的签名之后用EDRM服务器(5A，5B)的私有密钥(Klttiv)对编码传输的权限对象(RO)进行译码和存储。
15.按照权利要求14的方法， 其中EDRM服务器(5A，5B)在验证所接收的签名之后用数据对象的数据对象密钥(DK)对编码传输的数据对象(DO)的数据内容进行译码和存储。
16.按照权利要求15的方法， 其中EDRM服务器(5A，5B)将数据对象的已译码的数据内容或数据对象的仍编码的数据内容存储在自身处或存储在文件服务器(6 )中。
17.按照权利要求I至16的方法， 其中由文件或软件元件形成数据对象(D0)。
18.用于为用户提供EDRM保护的数据对象的系统， 其中根据对于包含在相应的EDRM保护的数据对象(DO)中的至少一个或多个数据对象的子访问权(Pi)，形成对于EDRM保护的数据对象(DO)的访问权(DP )。
19.按照权利要求18的系统， 其中由用户的客户端计算机(3)借助访问权推导函数(PDF)根据由不同的EDRM服务器(5A，5B)所提供的子访问权(Pi)来计算对于EDRM保护的数据对象(DO)的访问权(DP)。
20.按照权利要求18和19的系统， 其中由用户的客户端计算机(3)借助密钥推导函数(KDF)根据由不同的EDRM服务器(5A，5B)所提供的子密钥(Ki)来计算EDRM保护的数据对象的数据对象密钥(DK)。
全文摘要
本发明涉及用于为用户提供EDRM保护的数据对象(DO)的一种方法和一种系统，其中根据对于包含在相应的EDRM保护的数据对象(DO)中的至少一个或多个数据对象的子访问权(Pi)，形成对于EDRM保护的数据对象(DO)的访问权(DP)。由用户的客户端计算机(3)借助访问权推导函数(PDF)根据由不同的EDRM服务器(5A，5B)所提供的子访问权(Pi)来计算对于EDRM保护的数据对象(DO)的访问权(DP)。由用户的客户端计算机(3)借助密钥推导函数(KDF)根据由不同的EDRM服务器(5A，5B)所提供的子密钥(Ki)来计算EDRM保护的数据对象(DO)的数据对象密钥(DK)。
文档编号G06F21/00GK102667795SQ201080060184
公开日2012年9月12日 申请日期2010年12月15日 优先权日2009年12月29日
发明者R.法尔克, S.弗里斯, S.泽尔茨扎姆 申请人:西门子公司