基于主机的内容安全与保护的制作方法

基于主机的内容安全与保护的制作方法
【专利摘要】本文涉及基于主机的内容安全与保护。通过用作在与两个或多个用户相关的两个或多个用户装置之间的媒介物或主机的第三方装置（例如，认证授权机构（CA））实现安全。可使用很多安全措施，确保保护与指定用户相关的内容和/或身份，包括以每个通信或内容为基础。各种认证、授权以及审计（AAA）协议可用于在系统内控制在各个用户之间的内容和/或身份的各自共享，并且可在各自不同的时间，通过与不同的用户配对不同的方式，动态分配这种AAA协议。此外，相对于用于控制在用户之间的内容和/或身份的安全性的数字版权管理（DRM），第三方装置（例如，媒介物）和/或任何相应用户可建立特定的规则，用于进行安全的内容和/或身份通信。
【专利说明】基于主机的内容安全与保护
[0001]交叉引用相关专利/专利申请
[0002]优先权声明
[0003]本申请要求以下美国临时专利申请的优先权，该案之全文在此并入本文中，以作参考，并且实际上构成本申请的一部分:
[0004]1.于 2012 年 10 月 29 日提交的题为 “Host based content security andprotection”的未决的美国临时专利申请序列号61/719，721。
【技术领域】
[0005]本发明总体上涉及通信系统；更具体而言，涉及在这种通信系统内在各种通信装置之间的通信的安全与保护。
【背景技术】
[0006]数据通信系统已经持续发展了多年。在某些类型的系统内，在不同的各方之间可共享某些类型的内容。例如，在可在各自不同的用户之间执行的某种社交网络的背景下，为可由用户通过这种社交网络共享的内容提供很少(如果有的话)的安全或安全保证，甚至不提供安全或安全保证。同样，在用户与这种系统相互作用时，会不幸地损害某些个人信息。一般而言，目前的技术水平未提供在与各种形式的计算机网络(包括支持社交网络的那些计算机网络)相互作用时可保护内容的适当或合意的方式。除了未提供保护内容的适当或合意的方式，在处理各种形式的计算机网络(包括支持社交网络的那些计算机网络)期间相互作用时，也未适当或合意地保护身份。

【发明内容】

[0007]根据本发明的一个方面，提出一种设备，包括:第一通信装置，其与第一用户对应；第二通信装置，其与第二用户对应；以及第三通信装置，用于:作为用于与在第一通信装置与第二通信装置之间的每个通信相关的数字版权管理(DRM)的认证授权机构进行操作；作为将公共密钥基础设施(PKI)用于第一通信装置与第二通信装置的认证授权机构进行操作；以及使用认证、授权以及审计(AAA)协议，来实现与在第一通信装置与第二通信装置之间传送的媒体相关的安全经济交易。
[0008]根据本发明的该方面的一种实施方式，其中:在第一时间或时间段内，第三通信装置作为用于与在第一通信装置与第二通信装置之间的每个通信相关的DRM的认证授权机构进行操作；以及在第二时间或时间段内，第三通信装置作为用于与在第一通信装置与第四通信装置之间的每个通信相关的DRM的认证授权机构进行操作。
[0009]根据本发明的该方面的一种实施方式，其中:在第一时间或时间段内，第三通信装置为第一通信装置授予第一安全密钥并且为第二通信装置授予第二安全密钥；以及在第二时间或时间段内，第三通信装置撤回第一通信装置的第一安全密钥和第二通信装置的第二安全密钥中的至少一个，并且为第四通信装置授予第三安全密钥。[0010]根据本发明的该方面的一种实施方式，其中:第一通信装置与第二通信装置中的至少一个包括作为嵌入式安全部件(eSE)进行操作的硬件。
[0011]根据本发明的该方面的一种实施方式，其中:第一通信装置、第二通信装置以及第三通信装置在通信系统内操作，通信系统是卫星通信系统、无线通信系统、有线通信系统、光纤通信系统以及移动通信系统中的至少一个。
[0012]根据本发明的另一方面，提出一种设备，包括:第一通信装置，其与第一用户对应；第二通信装置，其与第二用户对应；以及第三通信装置，其作为用于与在第一通信装置与第二通信装置之间的每个通信相关的数字版权管理(DRM)的认证授权机构进行操作。
[0013]根据本发明的该另一方面的一种实施方式，其中:在第一时间或时间段内，第三通信装置作为用于与在第一通信装置与第二通信装置之间的每个通信相关的DRM的认证授权机构，进行操作；以及在第二时间或时间段内，第三通信装置作为用于与在第一通信装置与第四通信装置之间的每个通信相关的DRM的认证授权机构，进行操作。
[0014]根据本发明的该另一方面的一种实施方式，其中:在第一时间或时间段内，第三通信装置为第一通信装置授予第一安全密钥并且为第二通信装置授予第二安全密钥；以及在第二时间或时间段内，第三通信装置撤回第一通信装置的第一安全密钥和第二通信装置的第二安全密钥中的至少一个，并且为第四通信装置授予第三安全密钥。
[0015]根据本发明的该另一方面的一种实施方式，其中:第三通信装置作为将公共密钥基础设施(PKI)用于第一通信装置与第二通信装置的认证授权机构进行操作。
[0016]根据本发明的该另一方面的一种实施方式，其中:第三通信装置使用认证、授权以及审计(AAA)协议，来实现与在第一通信装置与第二通信装置之间传送的媒体相关的安全经济交易。
[0017]根据本发明的该另一方面的一种实施方式，其中:第一通信装置与第二通信装置中的至少一个包括作为嵌入式安全部件(eSE)进行操作的硬件。
[0018]根据本发明的该另一方面的一种实施方式，其中:在由第三通信装置认证第一通信装置或第二通信装置之前，第三通信装置将文件的降低质量预览提供给第一通信装置或第二通信装置；以及在由第三通信装置认证第一通信装置或第二通信装置之后，第三通信装置将完整质量版本的文件提供给第一通信装置或第二通信装置。
[0019]根据本发明的该另一方面的一种实施方式，其中:第一通信装置、第二通信装置以及第三通信装置在通信系统内操作，通信系统是卫星通信系统、无线通信系统、有线通信系统、光纤通信系统以及移动通信系统中的至少一个。
[0020]根据本发明的又一方面，提出一种用于操作第一通信装置的方法，方法包括:操作第一通信装置，作为用于与在第二通信装置与第三通信装置之间的每个通信相关的数字版权管理(DRM)的认证授权机构；其中，第二通信装置与第一用户对应；以及第三通信装置与第二用户对应。
[0021]根据本发明的该又一方面的一种实施方式，其中:在第一时间或时间段内，操作第一通信装置，作为用于与在第二通信装置与第三通信装置之间的每个通信相关的DRM的认证授权机构进行操作；以及在第二时间或时间段内，操作第一通信装置，作为用于与在第二通信装置与第三通信装置之间的每个通信相关的DRM的认证授权机构进行操作。
[0022]根据本发明的该又一方面的一种实施方式，进一步包括:操作第一通信装置，作为将公共密钥基础设施(PKI)用于第二通信装置与第三通信装置的认证授权机构；在第一时间或时间段内，操作第一通信装置，用于为第二通信装置授予第一安全密钥并且为第三通信装置授予第二安全密钥；以及在第二时间或时间段内，操作第一通信装置，用于撤回第二通信装置的第一安全密钥以及第三通信装置的第二安全密钥中的至少一个，并且为第四通信装置授予第三安全密钥。
[0023]根据本发明的该又一方面的一种实施方式，进一步包括:操作第一通信装置，使用认证、授权以及审计(AAA)协议，来实现与在第二通信装置与第三通信装置之间传送的媒体相关的安全经济交易。
[0024]根据本发明的该又一方面的一种实施方式，其中:第二通信装置与第三通信装置中的至少一个包括作为嵌入式安全部件(eSE)进行操作的硬件。
[0025]根据本发明的该又一方面的一种实施方式，进一步包括:在由第一通信装置认证第二通信装置或第三通信装置之前，操作第一通信装置，将文件的降低质量预览提供给第二通信装置或第三通信装置；以及在由第一通信装置认证第二通信装置或第三通信装置之后，操作第一通信装置，以将完整质量版本的文件提供给第二通信装置或第三通信装置。
[0026]根据本发明的该又一方面的一种实施方式，其中:第一通信装置、第二通信装置以及第三通信装置在通信系统内操作，通信系统是卫星通信系统、无线通信系统、有线通信系统、光纤通信系统以及移动通信系统中的至少一个。
【专利附图】

【附图说明】
[0027]图1与图2示出了通信系统的各种实施方式；
[0028]图3示出了作为在通信装置之间的各个通信的安全授权机构进行操作的第三方的一个实施方式；
[0029]图4示出了在各种通信装置之间的动态安全密钥分配的一个实施方式；
[0030]图5示出了在各种通信装置之间的安全密钥授予的一个实施方式；
[0031]图6示出了将至少一个认证、授权以及审计(AAA)协议用于在通信装置之间的各种通信的一个实施方式，其中，各种不同的AAA协议(例如，RADIUS、Diameter、及其他)用于各种不同的通信；
[0032]图7示出了对在通信装置之间的各种通信的动态AAA协议分配的一个实施方式；
[0033]图8示出了在各种通信装置之间的内容预览、安全认证以及选择性的完整内容供应的一个实施方式；
[0034]图9与图10示出了用于操作一个或多个通信装置的方法的各种实施方式。【具体实施方式】
[0035]在通信系统内，在其中的各种通信装置之间传输信号。数字通信系统的目标在于，无误差地或者通过可接受的低误差率地将数字数据从一个位置或子系统中传输到另一个位置或子系统中。如图1中所示，可在多种通信系统内通过多种通信信道传输数据:磁性介质、有线、无线、纤维、铜以及其他类型的介质。
[0036]图1与图2分别示出了通信系统100和200的各种实施方式。
[0037]参照图1，通信系统100的该实施方式为通信信道199，该通信信道将位于通信信道199的一端的通信装置110(包括具有编码器114的发送器112并且包括具有解码器118的接收器116)通信耦接至位于通信信道199的另一端的另一个通信装置120 (包括具有编码器128的发送器126并且包括具有解码器124的接收器122)。在一些实施方式中，通信装置110和120中的任一个可仅仅包括发送器或接收器。可通过几种不同类型的介质来实现通信信道199 (例如，使用卫星碟形天线132和134的卫星通信信道130、使用塔142和144和/或本地天线152和154的无线通信信道140、有线通信信道150和/或使用电-光接口(E/0)162和光-电接口(0/E)164的光纤通信信道160)。此外，可实现多种类型的媒体，并且这些媒体连接在一起，从而形成通信信道199。
[0038]要注意的是，在不背离本发明的范围和精神的情况下，这种通信装置110和/或120可为静止或移动型。例如，可在固定的位置内实现通信装置110和/或120，或者通信装置110和/或120可为移动通信装置，该移动通信装置能够与不止一个网络接入点(例如，在包括一个或多个无线局域网(WLAN)的移动通信系统的背景下的各个不同的接入点(AP)、在包括一个或多个卫星的移动通信系统的背景下的各个不同的卫星、或者通常为在包括一个或多个网络接入点的移动通信系统的背景下的各个不同的网络接入点，通过这些网络接入点，可使用通信装置110和/或120实现通信)相关联和/或进行通信。
[0039]为了减少在通信系统内不合意地发生的传输误差，通常使用误差校正与信道编码方案。通常，这些误差校正与信道编码方案包括在通信信道199的发送器端使用编码器以及在通信信道199的接收器端使用解码器。
[0040]在任何这种所需的通信系统(例如，包括根据图1所描述的那些变化)、任何信息储存装置(例如，硬盘驱动器(HDD)、网络信息储存装置和/或服务器等)或需要进行信息编码和/或解码的任何应用程序中，可使用所描述的各种类型的ECC代码中的任一个。
[0041]一般而言，在考虑将视频数据从一个位置或子系统传送到另一个位置或子系统的通信系统时，视频数据编码通常可被视为在通信信道199的发送端执行，并且视频数据解码通常可被视为在通信信道199的接收端执行。
[0042]而且，虽然该示图的实施方式显示了能够在通信装置110和120之间进行的双向通信，但是自然要注意的是，在一些实施方式中，通信装置110可仅仅包括视频数据编码功能，并且通信装置120可仅仅包括视频数据解码功能，反之亦然(例如，在单向通信实施方式中，例如根据视频广播实施方式)。
[0043]参照图2的通信系统200，在通信信道299的发送端，将信息比特位201 (例如，在一个实施方式中，具体与视频数据对应)提供给发送器297，该发送器可操作，以使用编码器和符号映射器220 (可将其分别视为不同的功能块222和224)来执行这些信息位201的编码，从而生成提供给发送驱动器230的一系列离散值调制符号203，该发送驱动器使用DAC(数模转换器)232来生成连续时间发送信号204并且使用发送滤波器234来生成与通信信道299基本上一致的经滤波的连续时间发送信号205。在通信信道299的接收端，将连续时间接收信号206提供给包括接收滤波器262 (该滤波器生成经滤波的连续时间接收信号207)的AFE (模拟前端)260和ADC (模数转换器)264 (其生成离散时间接收信号208)。度量发生器270计算度量209 (例如，在符号和/或比特的基础上，例如LLR)，解码器280使用该度量对离散值调制符号和在其中编码的信息位进行最佳估算210。
[0044]在发送器297与接收器298中的每一个内，可在其中实现各种部件、框块、功能块、电路等的任何所需的整合。例如，该示图示出了包括编码器和符号映射器220以及其中所有相关的相应部件的处理模块280a，并且处理模块280被显示为包括度量发生器270和解码器280以及其中所有相关的相应部件。这种处理模块280a和280b可为各自的集成电路。当然，在不背离本发明的范围和精神的情况下，可交替地执行其他界限与分组。例如，在发送器297内的所有部件可包含在第一处理模块或集成电路内，并且在接收器298内的所有部件可包含在第二处理模块或集成电路内。或者，在其他实施方式中，在发送器297和接收器298中的每一个内的部件可进行任何其他组合。
[0045]与前一个实施方式一样，这种通信系统200可用于视频数据的通信，将该视频数据从一个位置或子系统传送到另一个位置或子系统(例如，通过通信信道299从发送器297传送到接收器298)。要注意的是，使用任何通信链路、网络、介质、方式等(包括在图1中所描述的那些及其等同物)，可在本文中在各自不同的装置之间实现各自的任何通信。
[0046]—般而言，在本文中提出了一种新型方法，通过该方法，个人数字版权管理(DRM)方案允许保护与多种不同形式的计算机网络(包括支持社交网络的那些计算机网络)的任一个的不同用户相关的内容、身份等。例如，某些社交联网网络可与Facebook、Linkedln、MySpace等相关并且通常与通过多种网络(例如，因特网、云等)的任一个托管的任何数据网络或数据组相关。在这种情况下，可使用DRM，以允许一个特定的用户的内容或身份被一个或多个其他用户访问。然而，在本文中可理解的是，可支持对使用或访问内容或身份的时间、时期等进行控制、限制、监控等的能力。例如，用户可对仅仅由一个或多个其他单独的用户共享的内容提供控制。
[0047] 根据在本文中可实现这种安全的新型方式，可实现安全，据此，用户可签署其内容的单独副本，并且为其选择共享的任何内容及其身份建立DRM。要注意的是，通过单独地签署内容本身，可实现这种安全。换言之，每个单独的内容部分可由一个特定的用户进行数字签署，试图确保内容和/或该用户的身份的安全性。此外，根据多个考虑(例如，与选择与另一用户对应或操作的另一个装置的位置共享内容的用户对应或操作的装置的邻近性、与用户对应的或操作的装置与一个特别可操作的装置的邻近性【例如，接入点(AP)、全球定位系统(GPS)、跟踪系统等】等)，内容的某些使用许可、访问许可等可具有条件。
[0048]在某些实施方式中，内容的托管实体(例如，Facebook、Linkedln、MySpace等)可向用户索要额外的费用，或者提供一种可选形式的服务(例如，保险费(premium)形式的服务)，以为指定的用户内容和/或身份提供安全访问。
[0049]可使用多种方式，通过这些方式，可实现这种安全性，包括为在系统内的不同用户使用单独的以及各自的安全私人密钥。例如，将内容解锁的共享密钥可与Diffie-Hellman密钥交换机构或其他密钥验证等交换。可使用信任模型的网络(例如，据此，第三方，例如，Facebook、Linkedln、MySpace等)。这种第三方可操作以验证每个用户(例如，在云内实现的第三方(例如，Facebook、Linkedln、MySpace等)可为Root认证授权机构(CA)或具有带有该第三方证书链的任何其他授权证书)。内容的制造商与用户可运行，并且在双方提供用户的真实性时，允许第三方进一步保持其位置，作为受信任的第三方。
[0050]在本文中可理解的是，在本文中实现安全性，这不必与安全套接层(SSL)和传输层的安全问题完全一样(例如，甚至可视为相反)。例如，根据基于SSL的操作，由受信任的CA认证网站，但是该网站本身没有机构来认证单独的以及各自的用户或从其中提供的内容。在本文中，以单独用户为基础，可为每条内容和/或身份进行认证，并且实现对作为已经提供或发布了这种内容的在云中的另一个用户的内容提供商进行监控和跟踪的能力。
[0051]相对于不断增长的数字世界，可理解的是，在该数字世界中，可通过各种网络传输越来越多的有时高度隐私的信息。可将极高级别的内容保护与DRM看成在包括高价值(例如，病历卡、DNA结果等)的内容的个人内容被公开托管的某些情况下必不可少。此外，在数字时代，对于有价值的数字内容(例如，出生证明、社会保险文件、各种许可证、护照、签证、安全检查等)，这种DRM以及安全内容的应用很重要。
[0052]在本发明的至少一个实施方式、各个方面和/或其等同物中，可使用以相关的方式工作以创建用于安全访问内容和交易的一个或多个随时间变化的信任关系的一组或多组Crypto++? (例如，密码算法的开放源码C++类别库)和协议组，来实现特定的DRM方案。由eSE (安全元件)提供时间(例如，安全时钟)。这可用于保存病历本并且在公共云服务器中托管信息(有时为非常私人的信息)的世界中跟踪个人的其他保密信息(例如，警察纪律、税务信息等)。信息可用于每一方，但是要经过信息所有者的准许并批准。例如，不能授权保险公司获得特定的个人记录，除非特定的个人明确允许其使用这种信息。在保护信息与隐私权的未来信息时代，使用一组或多组协议和DRM，变得很重要。
[0053]所使用的安全硬件通信装置(例如，eSE或在其内包括至少一个安全部件的通信装置)可用作一种机构，通过该机构，可避免或消除假身份。例如，根据某些社会媒体网络站点(例如，Facebook)，与其相关的一个最大的安全问题就是虚假或伪造的身份。在移动通信装置(例如，移动电话、平板电脑、膝上型电脑、个人数字助理、触摸板装置等)内使用的安全硬件(例如，eSE)可用于保护这种社交媒体网络站点的用户的身份。例如，使用这种安全硬件装置，可确保安全的身份以及从该安全的硬件装置中提供给社交媒体网络站点的并且通过该网络站点提供的内容的完整性。社交媒体网络服务提供商或任何其他云服务用户可使用这种预授权的eSE信息,来验证在指定的一组(例如，Facebook)内的任何一个或多个用户或者服务提供商的内容和/或身份。例如，这种身份和/或内容信息由操作人员进行数字签署，并且包括所有所需要的住宅信息。然后，第三方提供商(例如，Facebook应用程序、云应用程序等)可通过在安全硬件(例如，通过eSE)和应用程序/服务提供商之间的安全信道来读取并验证该信息。通过使用安全硬件，可产生阴影身份，以能够保护用户隐私(例如，身份、内容等)。在这种情况下，用户的真实身份可保持在安全硬件内，并且仅仅将有效的阴影身份提供给不同的服务提供商/应用程序，这些服务提供商/应用程序可确认或证实这与有效人员对应或者就是有效人员。
[0054]在一个可能的实施方式中，DRM方案可允许使用某种信息的生成(例如，电子书格式的DRM)，以允许对不止一个单独的内容(而非一组内容)(例如,在单独的病历、成绩单、法律记录等内)进行这些安全保护。在这种情况下，除了仅仅一个特定的文件，还可保护较大量的内容(例如，通过加密的形式)。可使用安全播放器(例如，Kindle)，这是因为该特定的安全播放器被实现为包括专门的安全硬件(例如，eSE安全部件)以及受信任并且认证的应用程序(例如，由知名的可信实体签署，例如，第三方服务提供商，例如，Facebook,LinkedIruMySpace等)。可采用根据基于硬件的安全元件(HSE)的解决方案来通过在受保护的硬件中保持密钥安全和签名的安全的操作系统(OS)，可增加安全级别并防止黑客入侵。
[0055]此外，这种技术和概念可扩展为控制对可被访问、下载、打印等的特定部分的内容的次数或访问(例如，提供数量特别限制的媒体的数字副本，每个副本分别具有相同或不同的有效期)。例如，可由安全元件硬件和专用代码(例如，与服务提供商(例如，Facebook)的特定小应用程序一样)实施与给定的内容副本相关的特定约束条件，以进行这种安全记录。这也可扩展为允许一个或多个其他用户有权使用从云中检索的内容，但是未进行本地访问等。此外，在本文中要理解的是，可不同的次数地准许和撤回对内容的安全访问。一般而言，给定的通信装置(例如，在本文中所描述的那些通信装置中的任一个，包括Facebook电话或Facebook小应用程序(可由安全硬件(例如，eSE)签署并验证))可提供安全工具，用于产生、自动签署并托管在各自不同的用户之中和之间分享的这种内容的这种观察器。
[0056]图3示出了作为用于在通信装置之间的各个通信的安全机构进行操作的第三方的一个实施方式300。在该示图中可理解的是，各自不同的通信装置可与各自不同的实体相关联。第一⑶可与第一用户相关联，第二⑶可与第二用户相关联，并且第三⑶可与第三方(例如，服务提供商，例如，Facebook、LinkedIruMySpace等)相关联。第三方进行操作来相对于每个通信或在各个用户(例如，与第一 CD和第二 CD相关联的那些用户)之间提供的各部分内容提供安全。与为网站提供安全认证相比，在本文中提供了一种新型方法，通过该方法，各用户可彼此认证并验证自己。例如，可实现网站或云服务器，以了解或验证不同用户的特定身份，并且网站或云服务器可用作认证授权机构(CA)，以向各用户发布公共和/或私人密钥。此外，要注意的是，人们认为可逐个内容地实现这种安全，从而通过安全地分享的方式签署在用户之间要分享与提供的各部分内容。
[0057]一般而言，与第三⑶相关的第三方装置用作可信实体，作为内容的发送者与接收者，并且该第三方装置在不同的用户之间建立适当形式的安全机构(例如，通过安全密钥，通过预先执行的身份验证等)。
[0058]在该示图中，在通过一个或多个网络传送内容和/或身份时，两个用户通过其各自的通信装置彼此相互作用。在一些实施方式中，任何这种网络可与在图1中所描述的那些通信系统相关联。从某些角度来看，与第三方相关的第三CD可被视为中间信任的第三方，该第三方用于将内容和/或身份配对，将该内容和/或身份从与一个用户相关的一个CD中分享到与另一个用户相关的另一个CD中。当然，要注意的是，在某些实施方式中，内容和身份的这种安全分享可为双向分享。此外，要注意的是，单独的用户可通过服务提供商进行操作，以确保或设置某些规则，通过这些规则，一个或多个其他用户可访问其内容(例如，通过可根据内容、根据用户等改变的一个或多个认证、授权以及审计(AAA)协议)。
[0059]此外，在某些实施方式中，要注意的是，在本文中所提供的这种认证与安全可被视为具有双向性，即，与内容和/或身份的交换相关的双方用户可授权和批准这种安全性并且授权交换。
[0060]图4示出了在各种通信装置之间的动态安全密钥分配的一个实施方式400。在该图中可以看出，相对于不同的时间或时间周期，根据确保在与各自不同的通信装置相关的用户之间安全地共享信息，执行各自不同的操作。在第一时间或时间周期内，将一个或多个安全密钥(例如，根据PKI (公共密钥基础设施))从一个给定的通信装置中分配给一个或多个其他装置。然后，在第二时间或时间周期内，在已经准许安全密钥访问的各个装置之间可进行安全通信。在第三时间或时间周期内，可由用作认证授权机构(CA)的装置撤回给定的一组。[0061]在某些实施方式中，在第四时间或时间周期内，可准许已经从一个装置或另一个安全密钥中撤回的相同安全密钥进入另一个装置。然后，在第五时间或时间周期内，根据与由作为CA进行操作的装置提供的操作相关的DRM，在目前具有安全密钥的那些装置之间，可实现安全通信。
[0062]图5示出了在各种通信装置之间的安全密钥授予的一个实施方式500。通过详细分析该图可以看出，在第一时间或时间周期内，可同意将安全密钥从作为CA进行操作的装置中提供到不止一个装置中。在已经同意将安全提供给这些装置之后，从具有安全密钥的第一装置到具有授权内容的安全通信的安全密钥的那些其他装置，和/或根据由第一装置和/或作为CA进行操作的装置建立的DRM，可实现安全通信。又如在本文中的其他实施方式所表明的那样，要注意的是，作为CA进行操作的装置可用于设置与DRM相关的一个或多个规则，并且试图与其他装置共享内容和/或身份的第一装置可使用与DRM相关的那些相同的规则和/或在某种程度上修改这些规则(例如，忽略某些规则以及某些额外的规定等)。
[0063]图6示出了将至少一个认证、授权以及审计(AAA)协议用于在通信装置之间的各种通信的一个实施方式600。从该图的顶部部分可以看出，可使用相同的认证、授权以及审计(AAA)协议，用于在由用作CA的一个装置主持的给定系统内在各自所有的装置之间进行通信。
[0064]从该图的底部部分中可以看出，各自不同的AAA协议可分别用于在由用作CA的一个装置的系统内在各自的装置对之间进行通信。
[0065]图7示出了在通信装置之间的各种通信的动态AAA协议分配的一个实施方式700。关于可分别用于在由用作CA的一个装置主持的系统内在各自的装置对之间进行通信的不同的AAA协议的使用，在系统内的任何规定的装置对之间不必始终使用相同的AAA协议。例如，在第一时间，各自的第一 AAA协议可用于规定的一对装置，然后，在第二时间，不同的AAA协议可用于同一对装置。一般而言，在各自不同的时间，各自不同的AAA协议的动态分配和使用可用于各种不同的装置配对。
[0066]图8示出了在各种通信装置之间的内容预览、安全认证以及选择性的完整内容供应的一个实施方式800。在该图中，在由用作CA的一个装置主持的系统内，第一装置可将内容预览(例如，与质量不太完整的内容、降低的质量内容、并非所有的内容等对应)提供给一个不同的用户。
[0067]例如，这种分辨率更低的内容副本可与关键信息的模糊相关，因此，在未适当地认证，但是提供内容预览时，用户不能容易地读取或查看内容。例如，这可使用各种不同的方案中的任一个方案来实现，这些方案包括在数字图像以及视频等内进行边缘检测以及使信息位模糊。然后，经加密的内容和/或关键内容可通过由实现执行内容和/或用户验证和认证的安全硬件(例如，eSE)保护并实施认证/安全的安全软件进行传递，并且如果经授权的话，那么其身份和/或内容可被解密来为接收用户提供完整版本的内容(例如，完整文档内容)。否则，未经适当的安全认证，接收用户可仅仅看见在任何安全认证之前可提供的部分信息(例如，该信息预览)(例如，并且可将该信息不安全地或免费地提供给任何潜在的接收用户)。
[0068]此外，要注意的是，在本文中的各种实施方式涉及在装置之间的内容和/或身份的通信。当然，要注意的是，某些实施方式运作以使用户可在任何指定的时间与指定的装置相关联。此外，指定的用户可在第一时间与第一装置相关联，在第二时间与第二装置相关联，诸如此类。可将在此处的安全性视为在特定的时间使用规定的装置与和用户相关的内容和/或身份相关联的安全性。此外，以单独的内容为基础可使用的适当的DRM可确保可为规定的用户提供由该用户提供的或从该用户中提供的内容和/或身份的安全性和保护。
[0069]图9与图10示出了用于操作一个或多个通信装置的方法的各种实施方式。
[0070]参照图9的方法900，通过操作第一通信装置作为与在第二通信装置与第三通信装置之间的每个通信相关的数字版权管理(DRM)的认证授权机构，方法900开始，如在方框910中所示。然后，以每个单独的通信为基础，通过操作第一通信装置，以在第二通信装置与第三通信装置之间安全地证实每个通信，方法900继续，如在方框920中所示。
[0071]参照图10的方法1000，通过将预览内容从第一通信装置中提供给第二通信装置，方法1000开始，如在方框1010中所示。然后，如在判定方框1020中所示，通过确定是否已经认证第二装置，方法1000继续，如在方框1020中所示。如果确定实际上已经认证第二装置，那么通过将完整版本的内容从第一通信装置中提供给第二通信装置，方法1000继续，如在方框1030中所示。
[0072]然而，如果确定还未认证第二装置，那么可执行多个不同选项中的任何一个。例如,方法1000可继续执行与方框1010相关的操作。可选地，方法1000可结束。在又一个实施方式中，通过在特定的时间段内继续提供内容预览，方法1000可进行操作，并且然后停止提供内容预览(例如，使该内容甚至在预览的格式中都不能进行查看)。
[0073]还要注意的是，在各种类型的通信装置内，可执行根据在本文中的各种方法进行描述的各种操作与功能，例如，使用在其中实现的一个或多个处理器、处理模块等和/或其中的其他部件，这些部件包括一个或多个基带处理模块、一个或多个介质访问控制(MAC)层、一个或多个物理层(PHY)和/或其他部件等。
[0074]在一些实施方式中，根据本发明的各方面和/或在本文中所描述的任何其他操作和功能等或其各自的等同物，这种处理器、电路和/或处理模块等(其可在相同的装置或单独的装置内实现)可执行这种处理，以生成信号，用于与其他通信装置进行通信。在一些实施方式中，由在第一装置内的第一处理器、电路和/或处理模块等以及在第二装置内的第二处理器、电路和/或处理模块等共同进行这种处理。在其他实施方式中，完全由在单一的通信装置内的处理器、电路和/或处理模块等进行这种处理。
[0075]在本文中可使用的术语“大致”和“大约”为其相应的术语提供行业内可接受的容差和/或物件之间的相关性。这种行业内可接受的容差的范围从不到1%到50%，并且对应于但不限于部件值、集成电路处理变化、温度变化、升降时间和/或热噪声。在物件之间的这种相关性的范围从几个百分比的差别到大幅的差别。在本文中还可使用的术语“可操作地耦接到”、“耦接到”、和/或“耦接”包括在物件之间的直接耦接和/或在物件之间通过中间物件(例如，物件包括但不限于元件、部件、电路和/或模块)进行间接耦接，其中，对于间接耦接而言，中间物件未修改信号信息，但是可调整其电流电平、电压电平和/或功率电平。在本文中可进一步使用的推断耦接(即，一个部件与另一个部件通过推断耦接)包括在两个物件之间进行直接和间接耦接，其方式与“耦接到”相同。在本文中甚至可进一步使用的术语“可操作到”或“可操作地耦接到”表示物件包括一个或多个功率连接、输入、输出等，以便在激活时，执行其一个或多个相应的功能，并且可进一步包括推断耦接到一个或多个其他的物件。在本文中依然可进一步使用的术语“相关联”表示单独的物件和/或嵌入另一个物件内的一个物件进行直接和/或间接耦接。在本文中可使用的术语“有利地比较”表示在两个或多个物件、信号等等之间的比较提供所需要的关系。例如，在所需要的关系为信号I的幅度比信号2的幅度更大时，在信号I的幅度比信号2的幅度更大或信号2的幅度比信号I的幅度更小时，可实现有利的比较。
[0076]在本文中还可使用的术语“处理模块”、“模块”、“处理电路”、和/或“处理单元”(例如，包括可操作、实现和/或用于进行编码、用于进行解码、用于进行基带处理等的各种模块和/或电路)，可为一个处理装置或多个处理装置。这种处理装置可为微处理器、微控制器、数字信号处理器、微计算机、中央处理单元、现场可编程门阵列、可编程逻辑装置、状态机、逻辑电路、模拟电路、数字电路、和/或根据电路的硬编码和/或操作指令操纵(模拟或数字)信号的任何装置。处理模块、模块、处理电路和/或处理单元可具有相关的存储器和/或集成存储器部件，其可为单个存储器装置、多个存储器装置、和/或处理模块、模块、处理电路和/或处理单元的嵌入式电路。这种存储器装置可为只读存储器(ROM)、随机存取存储器(RAM)、易失性存储器、非易失性存储器、状态机、动态存储器、闪速存储器、高速存储器、和/或储存数字信息的任何装置。要注意的是，如果处理模块、模块、处理电路和/或处理单元包括一个以上的处理装置，那么可集中定位(例如，通过有线和/或无线总线结构直接耦接在一起)或分布定位(例如，通过局域网和/或广域网进行间接耦接，从而进行云计算)这些处理装置。而且，要注意的是，如果处理模块、模块、处理电路和/或处理单元通过状态机、模拟电路、数字电路、和/或逻辑电路执行其一个或多个功能，那么储存相应的操作指令的存储器和/或存储器部件可嵌入包括状态机、模拟电路、数字电路、和/或逻辑电路的电路内或位于该电路的外部。依然要注意的是，存储器部件可储存并且处理模块、模块、处理电路和/或处理单元执行硬编码的和/或操作的指令，这些指令与在一个或多个图中所阐述的至少一些步骤和/或功能相应。这种存储器装置或存储器部件可包含在制品内。
[0077]上面已经借助于阐述规定的功能和其关系的性能的方法步骤，描述了本发明。为了便于描述，在本文中已经任意地限定了这些功能性构件和方法步骤的界限和顺序。只要适当地执行所规定的功能和关系，就可限定替代的界限和顺序。因此，任何这种替代的界限或顺序在所要求的本发明的范围和精神内。而且，为了便于描述，已经任意地限定了这些功能性构件的界限。只要适当地执行某些重要的功能，就可限定替代的界限。同样，在本文中也已经任意地限定了流程图方框，以阐述某些重要的功能。在使用的程度上，可另外限定流程图方框的界限和顺序，并且这些界限和顺序依然执行某个重要的功能。因此，功能性构件和流程图方框的这种替换的定义在所要求的本发明的范围和精神内。本领域的技术人员还会认识到，如图所示，或通过离散元件、专用集成电路、执行适当的软件的处理器等或其任意组合，可实现在其内的功能性构件以及其他阐述性方框、模块和部件。
[0078]在一个或多个实施方式中，还已经至少部分描述了本发明。本发明的一个实施方式在本文中用于阐述本发明、本发明的一个方面、其功能、其概念、和/或其实例。设备、制品、机器、和/或体现本发明的工序的物理实施方式可包括根据在本文中所讨论的一个或多个实施方式进行描述的方面、功能、概念、和/或实例等中的一个或多个。而且，在所有图中，这些实施方式可包含可使用相同或不同的参考数字的具有相同或相似名称的功能、步骤、模块等，同样，这些功能、步骤、模块等可为相同或相似的或不同的功能、步骤、模块等坐寸O
[0079]除非明确规定相反，否则在本文中所示的任何一幅图中，发送给部件的信号、从部件中发送的信号、和/或在部件之间的信号可为模拟或数字、连续时间或离散时间、以及单端或差分信号。例如，如果将信号路径显示为单端路径，那么该信号路径也表示差分信号路径。同样，如果将信号路径显示为差分路径，那么该信号路径也表示单端信号路径。本领域的技术人员会认识到，虽然在本文中描述一个或多个特定的架构，但是也可实现其他架构，这些架构使用未明确显示的一个或多个数据总线、在部件之间的直接连接、和/或在其他部件之间的间接耦接。
[0080]在描述本发明的各种实施方式时，使用术语“模块”。模块包括功能块，通过硬件使用该功能块，从而执行一个或多个模块功能，例如，处理一个或多个输入信号，以产生一个或多个输出信号。实现模块的硬件本身可结合软件和/或固件进行操作。在本文中所使用的模块可包含一个或多个子模块，这些子模块本身为模块。
[0081]虽然在本文中已经明确地描述了本发明的各种功能和特征的特定组合，但是这些特征和功能也能具有其他组合。本发明不受到在本文中所公开的特定实例的限制，并且明确地包含这些其他的组合。
【权利要求】
1.一种设备，包括: 第一通信装置，其与第一用户对应； 第二通信装置，其与第二用户对应；以及 第三通信装置，用于: 作为用于与在所述第一通信装置与所述第二通信装置之间的每个通信相关的数字版权管理(DRM)的认证授权机构进行操作； 作为将公共密钥基础设施(PKI)用于所述第一通信装置与所述第二通信装置的所述认证授权机构进行操作；以及 使用认证、授权以及审计(AAA)协议，来实现与在所述第一通信装置与所述第二通信装置之间传送的媒体相关的安全经济交易。
2.根据权利要求1所述的设备，其中: 在第一时间或时间段内，所述第三通信装置作为用于与在所述第一通信装置与所述第二通信装置之间的每个通信相关的数字版权管理的所述认证授权机构进行操作；以及在第二时间或时间段内，所述第三通信装置作为用于与在所述第一通信装置与第四通信装置之间的每个通信相关的数字版权管理的认证授权机构进行操作。
3.根据权利要求1所 述的设备，其中: 在第一时间或时间段内，所述第三通信装置向所述第一通信装置授予第一安全密钥并且向所述第二通信装置授予第二安全密钥；以及 在第二时间或时间段内，所述第三通信装置撤回来自所述第一通信装置的所述第一安全密钥和来自所述第二通信装置的所述第二安全密钥中的至少一个，并且向第四通信装置授予第三安全密钥。
4.一种设备，包括: 第一通信装置，其与第一用户对应； 第二通信装置，其与第二用户对应；以及 第三通信装置，其作为用于与在所述第一通信装置与所述第二通信装置之间的每个通信相关的数字版权管理(DRM)的认证授权机构进行操作。
5.根据权利要求4所述的设备，其中: 在第一时间或时间段内，所述第三通信装置作为用于与在所述第一通信装置与所述第二通信装置之间的每个通信相关的数字版权管理的所述认证授权机构，进行操作；以及在第二时间或时间段内，所述第三通信装置作为用于与在所述第一通信装置与第四通信装置之间的每个通信相关的数字版权管理的认证授权机构，进行操作。
6.根据权利要求4所述的设备，其中: 在第一时间或时间段内，所述第三通信装置向所述第一通信装置授予第一安全密钥并且向所述第二通信装置授予第二安全密钥；以及 在第二时间或时间段内，所述第三通信装置撤回来自所述第一通信装置的所述第一安全密钥和来自所述第二通信装置的所述第二安全密钥中的至少一个，并且向第四通信装置授予第三安全密钥。
7.根据权利要求4所述的设备，其中: 在由所述第三通信装置认证所述第一通信装置或所述第二通信装置之前，所述第三通信装置将文件的降低质量的预览提供给所述第一通信装置或所述第二通信装置；以及 在由所述第三通信装置认证所述第一通信装置或所述第二通信装置之后，所述第三通信装置将完整质量版本的所述文件提供给所述第一通信装置或所述第二通信装置。
8.一种用于操作第一通信装置的方法，所述方法包括: 操作所述第一通信装置，以作为用于与在第二通信装置与第三通信装置之间的每个通信相关的数字版权管理(DRM)的认证授权机构；以及其中， 所述第二通信装置与第一用户对应；以及 所述第三通信装置与第二用户对应。
9.根据权利要求8所述的方法，其中: 在第一时间或时间段内，操作所述第一通信装置，以作为用于与在所述第二通信装置与所述第三通信装置之间的每个通信相关的数字版权管理的所述认证授权机构进行操作；以及 在第二时间或时间段内，操作所述第一通信装置，以作为用于与在所述第二通信装置与所述第三通信装置之间的每个通信相关的数字版权管理的所述认证授权机构进行操作。
10.根据权利要求8所述的方法，进一步包括: 操作所述第一通信装置，以作为将公共密钥基础设施(PKI)用于所述第二通信装置与所述第三通信装置的所述认证授权机构； 在第一时间或时间段内，操作所述第一通信装置，以用于向所述第二通信装置授予第一安全密钥并且向所述第三通信`装置授予第二安全密钥；以及 在第二时间或时间段内，操作所述第一通信装置，以用于撤回来自所述第二通信装置的所述第一安全密钥以及来自所述第三通信装置的第二安全密钥中的至少一个，并且向第四通信装置授予第三安全密钥。
【文档编号】H04L9/32GK103795538SQ201310522929
【公开日】2014年5月14日 申请日期:2013年10月29日 优先权日:2012年10月29日
【发明者】亚桑塔·尼马尔·拉贾克鲁纳纳亚克, 威廉·斯图尔特·邦奇, 雅各布·门德 申请人:美国博通公司