專利名稱：一種數(shù)字版權(quán)管理方法及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及多媒體技術(shù)領(lǐng)域，尤其涉及一種數(shù)字版權(quán)管理方法及系統(tǒng)。
背景技術(shù)：
隨著數(shù)字媒體和網(wǎng)絡(luò)技術(shù)的快速發(fā)展，數(shù)字內(nèi)容的應(yīng)用，例如數(shù)字媒體內(nèi)容的應(yīng) 用越來越廣泛，豐富了人們的娛樂和生活。但是，由于數(shù)字內(nèi)容存在易復(fù)制的特點(diǎn)，在商業(yè) 利益的驅(qū)使下，盜版和拷貝現(xiàn)象嚴(yán)重，對(duì)數(shù)字媒體原創(chuàng)者、內(nèi)容提供商、服務(wù)商和運(yùn)營(yíng)商等 數(shù)字內(nèi)容所有者的利益提出了嚴(yán)峻挑戰(zhàn)。這就要求數(shù)字內(nèi)容提供商和運(yùn)營(yíng)商必須在滿足授 權(quán)用戶需求的同時(shí)，保護(hù)其產(chǎn)品免遭非授權(quán)用戶的使用和共享，這種技術(shù)就是數(shù)字版權(quán)管 理(Digital Rights Management, DRM)技術(shù)。 DRM技術(shù)是指數(shù)字內(nèi)容在生產(chǎn)、傳播、銷售和使用過程中對(duì)其知識(shí)產(chǎn)權(quán)保護(hù)與管 理的技術(shù)，它通過在數(shù)字空間里，不可偽造地認(rèn)證用戶、授予用戶權(quán)利范圍、規(guī)范用戶的行 為方式來保障數(shù)字內(nèi)容的所有者和經(jīng)營(yíng)者的權(quán)利及利益。DRM技術(shù)的具體應(yīng)用可以包括 eBook、視頻、音頻、圖片、安全文檔等數(shù)字內(nèi)容的保護(hù)。應(yīng)用DRM技術(shù)的目的是保護(hù)數(shù)字內(nèi) 容的版權(quán)，從技術(shù)上防止對(duì)數(shù)字內(nèi)容的非法復(fù)制，或在一定程度上提高復(fù)制的技術(shù)和成本 門檻，使非法復(fù)制變得困難。DRM涉及到的主要技術(shù)包括數(shù)字水印、內(nèi)容和設(shè)備的數(shù)字標(biāo) 識(shí)、身份認(rèn)證、內(nèi)容加密、內(nèi)容安全分發(fā)、電子交易等。 現(xiàn)有的數(shù)字版權(quán)管理方法中，在客戶端設(shè)備上保存該客戶端的私鑰，服務(wù)器將加 密的數(shù)字內(nèi)容分發(fā)給客戶端設(shè)備；為了解密該數(shù)字內(nèi)容，客戶端設(shè)備向服務(wù)器獲取授權(quán)信 息，授權(quán)信息主要包括服務(wù)器使用該客戶端設(shè)備公鑰加密了的內(nèi)容加密密鑰；客戶端設(shè) 備接收所述授權(quán)信息，使用所述公鑰對(duì)應(yīng)的私鑰解密所述授權(quán)信息，得到內(nèi)容加密密鑰，使 用所述內(nèi)容加密密鑰解密所述解密的數(shù)字內(nèi)容，得到具體的數(shù)字內(nèi)容。 上述數(shù)字版權(quán)管理方法主要是基于客戶端設(shè)備的數(shù)字版權(quán)管理，主要靠客戶端設(shè) 備來控制版權(quán)對(duì)象的使用，只要客戶端設(shè)備獲得合法的數(shù)字內(nèi)容和授權(quán)信息就可以正常使 用數(shù)字內(nèi)容，如果客戶端設(shè)備被非法用戶盜用，則此非法用戶可以繼續(xù)使用客戶端設(shè)備中 存在的數(shù)字內(nèi)容和授權(quán)信息，并繼續(xù)使用該設(shè)備購(gòu)買和消費(fèi)版權(quán)內(nèi)容，因此，并未對(duì)數(shù)字內(nèi) 容的版權(quán)達(dá)到好的控制效果。

發(fā)明內(nèi)容
有鑒于此，本發(fā)明要解決的技術(shù)問題是，提供一種數(shù)字版權(quán)管理方法及系統(tǒng)，能夠
更好的對(duì)數(shù)字內(nèi)容的版權(quán)進(jìn)行控制。 為此，本發(fā)明實(shí)施例采用如下技術(shù)方案 本發(fā)明實(shí)施例提供一種數(shù)字版權(quán)管理方法，將客戶端設(shè)備的私鑰拆分為第一子私 鑰和第二子私鑰，分別存儲(chǔ)于客戶端設(shè)備中的安全存儲(chǔ)設(shè)備以及可連接于客戶端設(shè)備的便 攜設(shè)備；該方法還包括 向服務(wù)器發(fā)送密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶用戶所希望處理的數(shù)字內(nèi)容的標(biāo)識(shí)
4信息； 接收服務(wù)器返回的使用客戶端設(shè)備的公鑰加密后的內(nèi)容密鑰，所述內(nèi)容密鑰由服 務(wù)器根據(jù)所述數(shù)字內(nèi)容的標(biāo)識(shí)信息查找得到； 分別獲取所述安全存儲(chǔ)設(shè)備以及所述便攜設(shè)備中存儲(chǔ)的子私鑰； 利用所述子私鑰恢復(fù)客戶端設(shè)備的私鑰，使用所述私鑰對(duì)所述加密后的內(nèi)容密鑰
進(jìn)行解密，得到內(nèi)容密鑰； 使用所述內(nèi)容密鑰對(duì)用戶所希望處理的數(shù)字內(nèi)容進(jìn)行解密，得到數(shù)字內(nèi)容。
其中，所述便攜設(shè)備中還保存客戶端設(shè)備對(duì)數(shù)字內(nèi)容的處理記錄；
相應(yīng)的，該方法還包括 將便攜設(shè)備中的所述處理記錄發(fā)送給服務(wù)器。
向服務(wù)器發(fā)送密鑰請(qǐng)求之前進(jìn)一步包括 接收服務(wù)器發(fā)來的使用內(nèi)容密鑰加密后的數(shù)字內(nèi)容。
所述安全存儲(chǔ)設(shè)備為SAM ;所述便攜設(shè)備為智能卡。
獲取便攜設(shè)備中存儲(chǔ)的子私鑰之前進(jìn)一步包括 檢測(cè)到便攜設(shè)備與客戶端設(shè)備連接時(shí)，對(duì)相應(yīng)的便攜設(shè)備進(jìn)行安全認(rèn)證，并確定 所述便攜設(shè)備通過所述安全認(rèn)證；和/或，接收便攜設(shè)備的安全認(rèn)證，并確定通過所述便攜 設(shè)備的安全認(rèn)證。 本發(fā)明實(shí)施例還提供一種數(shù)字版權(quán)管理系統(tǒng)，將客戶端設(shè)備的私鑰拆分為第一子 私鑰和第二子私鑰，分別存儲(chǔ)于客戶端設(shè)備中的安全存儲(chǔ)設(shè)備以及可連接于客戶端設(shè)備的 便攜設(shè)備；該系統(tǒng)還包括 第一發(fā)送單元，用于向服務(wù)器發(fā)送密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶用戶所希望處 理的數(shù)字內(nèi)容的標(biāo)識(shí)信息； 第一接收單元，用于接收服務(wù)器返回的使用客戶端設(shè)備的公鑰加密后的內(nèi)容密 鑰，所述內(nèi)容密鑰由服務(wù)器根據(jù)所述數(shù)字內(nèi)容的標(biāo)識(shí)信息查找得到； 獲取單元，用于分別獲取所述安全存儲(chǔ)設(shè)備以及所述便攜設(shè)備中存儲(chǔ)的子私鑰；
第一解密單元，用于利用所述子私鑰恢復(fù)客戶端設(shè)備的私鑰，使用所述私鑰對(duì)所 述加密后的內(nèi)容密鑰進(jìn)行解密，得到內(nèi)容密鑰； 第二解密單元，用于使用所述內(nèi)容密鑰對(duì)用戶所希望處理的數(shù)字內(nèi)容進(jìn)行解密， 得到數(shù)字內(nèi)容。 其中，所述便攜設(shè)備中還保存客戶端設(shè)備對(duì)數(shù)字內(nèi)容的處理記錄；
相應(yīng)的，還包括 第二發(fā)送單元，用于將便攜設(shè)備中的所述處理記錄發(fā)送給服務(wù)器。
還包括 第二接收單元，用于接收服務(wù)器發(fā)來的使用內(nèi)容密鑰加密后的數(shù)字內(nèi)容。
所述安全存儲(chǔ)設(shè)備為SAM ;所述便攜設(shè)備為智能卡。
還包括 認(rèn)證單元，用于檢測(cè)到便攜設(shè)備與客戶端設(shè)備連接時(shí)，對(duì)相應(yīng)的便攜設(shè)備進(jìn)行安 全認(rèn)證，并確定所述便攜設(shè)備通過所述安全認(rèn)證；和/或，接收便攜設(shè)備的安全認(rèn)證，并確 定通過所述便攜設(shè)備的安全認(rèn)證。
對(duì)于上述技術(shù)方案的技術(shù)效果分析如下 客戶端設(shè)備將私鑰拆分為第一子私鑰和第二子私鑰，分別存儲(chǔ)于安全存儲(chǔ)設(shè)備和 便攜設(shè)備中，從而，當(dāng)需要使用客戶端設(shè)備的私鑰時(shí)，需要客戶端設(shè)備分別到所述安全存儲(chǔ) 設(shè)備以及便攜設(shè)備中獲取所述子私鑰，并利用子私鑰恢復(fù)客戶端設(shè)備私鑰，之后，客戶端設(shè) 備才能使用該私鑰對(duì)加密后的內(nèi)容密鑰進(jìn)行解密，得到內(nèi)容密鑰，進(jìn)而再解密得到數(shù)字內(nèi) 容，通過對(duì)客戶端設(shè)備私鑰的控制，使得非授權(quán)用戶無法直接通過使用客戶端設(shè)備而直接 獲取到所述私鑰，從而增加了非授權(quán)用戶獲取到數(shù)字內(nèi)容的難度，提高了對(duì)數(shù)字內(nèi)容版權(quán) 的控制效果。


圖1為本發(fā)明實(shí)施例一種數(shù)字版權(quán)管理方法流程示意圖；
圖2為本發(fā)明實(shí)施例另一種數(shù)字版權(quán)管理方法流程示意圖；
圖3為本發(fā)明實(shí)施例一種數(shù)字版權(quán)管理系統(tǒng)結(jié)構(gòu)示意圖。
具體實(shí)施例方式
以下，結(jié)合附圖詳細(xì)說明本發(fā)明實(shí)施例數(shù)字版權(quán)管理方法及系統(tǒng)的實(shí)現(xiàn)。
圖1為本發(fā)明實(shí)施例一種數(shù)字版權(quán)管理方法流程示意圖，在該方法中，客戶端設(shè)
備將自身對(duì)應(yīng)的私鑰拆分為第一子私鑰和第二子私鑰，分別存儲(chǔ)于客戶端設(shè)備中的一安全
存儲(chǔ)設(shè)備以及可連接于客戶端設(shè)備的便攜設(shè)備。
如圖1所示，該方法還包括 步驟101 :向服務(wù)器發(fā)送密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶用戶所希望獲取的數(shù)字 內(nèi)容的標(biāo)識(shí)信息； 步驟102 :接收服務(wù)器返回的使用客戶端設(shè)備的公鑰加密后的內(nèi)容密鑰，所述內(nèi) 容密鑰由服務(wù)器根據(jù)所述數(shù)字內(nèi)容的標(biāo)識(shí)信息查找得到； 步驟103 :分別獲取所述安全存儲(chǔ)設(shè)備以及所述便攜設(shè)備中存儲(chǔ)的子私鑰；
步驟104 :利用所述子私鑰恢復(fù)客戶端設(shè)備的私鑰，使用所述私鑰對(duì)所述加密后 的內(nèi)容密鑰進(jìn)行解密，得到內(nèi)容密鑰； 步驟105 :使用所述內(nèi)容密鑰對(duì)用戶所希望獲取的數(shù)字內(nèi)容進(jìn)行解密，得到數(shù)字 內(nèi)容。 圖1所示的本發(fā)明實(shí)施例數(shù)字版權(quán)管理方法，客戶端設(shè)備將私鑰拆分為第一子私 鑰和第二子私鑰，分別存儲(chǔ)于安全存儲(chǔ)設(shè)備和便攜設(shè)備中，從而，當(dāng)需要使用客戶端設(shè)備的 私鑰時(shí)，需要客戶端設(shè)備分別到所述安全存儲(chǔ)設(shè)備以及便攜設(shè)備中獲取所述子私鑰，并利 用子私鑰恢復(fù)客戶端設(shè)備私鑰，之后，客戶端設(shè)備才能使用該私鑰對(duì)加密后的內(nèi)容密鑰進(jìn) 行解密，得到內(nèi)容密鑰，進(jìn)而再解密得到數(shù)字內(nèi)容，通過對(duì)客戶端設(shè)備私鑰的控制，使得非 授權(quán)用戶無法直接通過使用客戶端設(shè)備而直接獲取到所述私鑰，從而增加了非授權(quán)用戶獲 取到數(shù)字內(nèi)容的難度，提高了對(duì)數(shù)字內(nèi)容版權(quán)的控制效果。 在圖1所示數(shù)字版權(quán)管理方法的基礎(chǔ)上，通過圖2對(duì)本發(fā)明數(shù)字版權(quán)管理方法的 實(shí)現(xiàn)進(jìn)行更加詳細(xì)的說明。如圖2所示，包括 步驟201 :服務(wù)器為客戶端設(shè)備隨機(jī)產(chǎn)生一對(duì)公私鑰，所述公鑰與客戶端設(shè)備標(biāo)識(shí)對(duì)應(yīng)存儲(chǔ)于服務(wù)器中；所述私鑰發(fā)送給客戶端設(shè)備。 所述公私鑰是用來進(jìn)行加解密的密鑰。公鑰和私鑰成對(duì)出現(xiàn)；用公鑰加密的數(shù)據(jù) 只有對(duì)應(yīng)的私鑰可以解密；用私鑰加密的數(shù)據(jù)只有對(duì)應(yīng)的公鑰可以解密。公私鑰對(duì)可以 利用RSA算法、DSA(Digital Signature Algorithm,數(shù)字簽名算法)算法、ECC(Elliptic Curves Cryptography,橢圓曲線密碼編碼學(xué))算法等產(chǎn)生。 其中，由于服務(wù)器所連接或管理的客戶端設(shè)備的數(shù)量一般大于l，而所述公私鑰一 般與客戶端設(shè)備相對(duì)應(yīng)，因此，在實(shí)現(xiàn)時(shí)最好為每一客戶端設(shè)備分配唯一的標(biāo)識(shí)，從而將公 鑰與客戶端設(shè)備標(biāo)識(shí)對(duì)應(yīng)存儲(chǔ)，以便服務(wù)器在后續(xù)使用某一客戶端設(shè)備的公鑰進(jìn)行內(nèi)容密 鑰的加密時(shí)，服務(wù)器能夠準(zhǔn)確獲取到客戶端設(shè)備對(duì)應(yīng)的公鑰。 所述客戶端設(shè)備是能夠處理數(shù)字內(nèi)容的設(shè)備。例如，所述數(shù)字內(nèi)容為壓縮編碼后 的視頻和音頻構(gòu)成的數(shù)字電影數(shù)據(jù)時(shí)，所述客戶端設(shè)備可以是數(shù)字電影放映設(shè)備(負(fù)責(zé)解 碼還原數(shù)字電影數(shù)據(jù))。 步驟202 :客戶端設(shè)備將所述私鑰拆分為第一子私鑰和第二子私鑰，將所述子私
鑰分別存儲(chǔ)于客戶端設(shè)備中的安全存儲(chǔ)設(shè)備以及可連接于客戶端設(shè)備的便攜設(shè)備。 所述私鑰在實(shí)際應(yīng)用中即為一串二進(jìn)制數(shù)，對(duì)其進(jìn)行拆分和恢復(fù)的方法可以在實(shí)
際應(yīng)用中自主設(shè)定，這里并不限制。這里，對(duì)本步驟和步驟209中如何進(jìn)行私鑰的拆分和恢
復(fù)的實(shí)現(xiàn)方法進(jìn)行舉例說明 方法一 (1)計(jì)算所述私鑰的hash值，該hash值用于在步驟209中通過子私鑰恢復(fù)所述私 鑰時(shí)進(jìn)行私鑰的校驗(yàn)。 其中，計(jì)算私鑰的hash值可以使用現(xiàn)有技術(shù)中相應(yīng)的計(jì)算方法，這里不再贅述。
(2)將hash值按字節(jié)序列一分為二 (例如各1/2，比例可變)，得到hash值字節(jié)序 列A和hash值字節(jié)序列B。 (3)將密鑰按字節(jié)序列一分為二 (例如各1/2，比例可變)，得到私鑰字節(jié)序列a和
私鑰字節(jié)序列b。這里的私鑰字節(jié)序列a和b即可以相當(dāng)于所述第一子私鑰和第二子私鑰。 (4) hash值字節(jié)序列A和私鑰字節(jié)序列b存放在SAM中。 (5) hash值字節(jié)序列B和私鑰字節(jié)序列a存放在USB Key中。 通過以上步驟即實(shí)現(xiàn)了私鑰的拆分，當(dāng)進(jìn)行私鑰的恢復(fù)時(shí)，執(zhí)行步驟(6): (6)對(duì)hash值字節(jié)序列A、 hash值字節(jié)序列B、私鑰字節(jié)序列a和私鑰字節(jié)序列
b進(jìn)行逆向還原并合并，得到所述私鑰和所述hash值，使用hash值對(duì)合并后的私鑰進(jìn)行校
驗(yàn)，以保證合并后得到的私鑰的完整性。
方法二 (1)首先對(duì)私鑰進(jìn)行一種弱加密，例如可采用base64算法等，將私鑰轉(zhuǎn)換為可見 字符(亂碼)。 (2)對(duì)得到的所述可見字符進(jìn)行hash計(jì)算(或MD5計(jì)算等)，得到相應(yīng)的校驗(yàn)碼 (即對(duì)應(yīng)方法一中的hash值)。 (3)同方法一進(jìn)行拆分驗(yàn)證碼和轉(zhuǎn)換后得到的所述可見字符。 進(jìn)而，步驟209中進(jìn)行私鑰的恢復(fù)時(shí)，除了需要組合得到可見字符，對(duì)組合得到的
可見字符進(jìn)行校驗(yàn)，校驗(yàn)通過后，還需要對(duì)所述可見字符進(jìn)行base64的反計(jì)算，從而得到
7私鑰。 其中，所述安全存儲(chǔ)設(shè)備可以為硬盤等存儲(chǔ)設(shè)備，優(yōu)選地，可以為SAM(Secure Access Module,安全訪問模塊)；所述便攜設(shè)備可以為USB Key(電子鑰匙)等智能卡設(shè) 備。進(jìn)而，所述安全存儲(chǔ)設(shè)備也可以使用內(nèi)置于客戶端設(shè)備中的所述智能卡設(shè)備等實(shí)現(xiàn)。 USB Key的選型可以采用高速的32位RISC處理器的高安全SOC芯片，具備高處理能力、高 安全性、低功耗、低成本等特點(diǎn)，SAM和USB Key都可以是符合IS0-7816國(guó)際標(biāo)準(zhǔn)的安全設(shè) 備。當(dāng)然，在不同的應(yīng)用環(huán)境中，所述安全存儲(chǔ)設(shè)備和便攜設(shè)備也可以使用符合其他安全標(biāo) 準(zhǔn)的安全設(shè)備，這里并不限制。 其中，步驟201和步驟202可以認(rèn)為是準(zhǔn)備步驟。也即一般在客戶端設(shè)備首次連 接到服務(wù)器時(shí)，由服務(wù)器進(jìn)行了客戶端設(shè)備公私鑰的產(chǎn)生和存儲(chǔ)后，后續(xù)步驟203 211只 要相應(yīng)讀取所述公私鑰即可，而無須每次執(zhí)行步驟203以及以后的步驟時(shí)，都重新執(zhí)行步 驟201和步驟202。而且，一般客戶端設(shè)備的公私鑰確定，并分別由服務(wù)器和客戶端設(shè)備進(jìn) 行存儲(chǔ)后，就不再隨意變化。當(dāng)然，如果后續(xù)需要更新某一客戶端設(shè)備的公私鑰，使用上述 步驟201和步驟202也可以實(shí)現(xiàn)。 步驟203 :服務(wù)器將通過內(nèi)容密鑰加密后的數(shù)字內(nèi)容發(fā)送給客戶端設(shè)備，并將數(shù) 字內(nèi)容與所述內(nèi)容密鑰進(jìn)行對(duì)應(yīng)存儲(chǔ)。 其中，服務(wù)器對(duì)不同的數(shù)字內(nèi)容進(jìn)行加密時(shí)可以使用相同的內(nèi)容密鑰，也可以使 用不同的內(nèi)容密鑰，這里并不限定。但是，服務(wù)器需相應(yīng)保存數(shù)字內(nèi)容與內(nèi)容密鑰之間的對(duì) 應(yīng)關(guān)系，以便后續(xù)步驟中客戶端設(shè)備獲取自身的數(shù)字內(nèi)容所對(duì)應(yīng)的內(nèi)容密鑰時(shí)，服務(wù)器能 夠根據(jù)數(shù)字內(nèi)容的標(biāo)識(shí)信息獲取到對(duì)應(yīng)的內(nèi)容密鑰。當(dāng)然，如果服務(wù)器只使用一個(gè)內(nèi)容密 鑰對(duì)所有的數(shù)字內(nèi)容進(jìn)行加密，則服務(wù)器只需要保存該內(nèi)容密鑰即可，而并不需要與數(shù)字 內(nèi)容進(jìn)行對(duì)應(yīng)存儲(chǔ)。 其中，本步驟的服務(wù)器發(fā)送數(shù)字內(nèi)容的操作可以由客戶端設(shè)備請(qǐng)求，也可以由服 務(wù)器自主發(fā)送，這里并不限定。步驟203和后續(xù)步驟之間也不具有固定的執(zhí)行順序，也即 服務(wù)器可以隨時(shí)將加密后的數(shù)字內(nèi)容發(fā)送給客戶端設(shè)備。但是，需要注意的是，對(duì)于同一數(shù) 字內(nèi)容來說，只有步驟203中服務(wù)器將該數(shù)字內(nèi)容發(fā)送給客戶端設(shè)備之后，后續(xù)步驟204中 用戶才能對(duì)該數(shù)字內(nèi)容進(jìn)行請(qǐng)求及解密等處理，也即對(duì)于同一數(shù)字內(nèi)容而言，必須執(zhí)行完 步驟203之后，才能執(zhí)行后續(xù)的步驟。 步驟204 :客戶端設(shè)備接收用戶關(guān)于數(shù)字內(nèi)容的處理請(qǐng)求，獲取所述數(shù)字內(nèi)容的 標(biāo)識(shí)信息。 具體的，例如所述數(shù)字內(nèi)容為多媒體數(shù)據(jù)，則所述處理請(qǐng)求可能為播放或者下載 等，此時(shí)，客戶端設(shè)備需要接收到所述數(shù)字內(nèi)容的標(biāo)識(shí)信息。例如，當(dāng)所述數(shù)字內(nèi)容為多媒 體數(shù)據(jù)時(shí)，所述標(biāo)識(shí)信息可以為播放場(chǎng)次信息、或播放檔期信息、或播放場(chǎng)次加播放檔期
信息等。 在具體實(shí)現(xiàn)中，客戶端設(shè)備可以為用戶提供選擇界面，將各種數(shù)字內(nèi)容的標(biāo)識(shí)信 息等放置于選擇界面中，從而用戶只要選擇所希望處理的數(shù)字內(nèi)容，客戶端設(shè)備即可根據(jù) 用戶的選擇獲取所述數(shù)字內(nèi)容的標(biāo)識(shí)信息。 步驟205 :客戶端設(shè)備向服務(wù)器發(fā)送密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶用戶所希望 處理的數(shù)字內(nèi)容的標(biāo)識(shí)信息。
客戶端設(shè)備發(fā)送所述密鑰請(qǐng)求的目的在于向服務(wù)器請(qǐng)求用戶所希望處理的數(shù)字 內(nèi)容對(duì)應(yīng)的內(nèi)容密鑰。 所述密鑰請(qǐng)求如何實(shí)現(xiàn)，可以根據(jù)實(shí)際應(yīng)用中客戶端設(shè)備與服務(wù)器之間的連接關(guān) 系和所使用的通信協(xié)議等具體設(shè)定，這里并不限定。 步驟206 :服務(wù)器接收到所述密鑰請(qǐng)求，根據(jù)所述數(shù)字內(nèi)容的標(biāo)識(shí)信息查找得到 該數(shù)字內(nèi)容對(duì)應(yīng)的內(nèi)容密鑰。 其中，步驟203中服務(wù)器在使用內(nèi)容密鑰對(duì)所述數(shù)字內(nèi)容進(jìn)行加密時(shí)，會(huì)相應(yīng)存 儲(chǔ)數(shù)字內(nèi)容與數(shù)字內(nèi)容之間的對(duì)應(yīng)關(guān)系，則本步驟中可以直接從所述對(duì)應(yīng)關(guān)系中即可查找 數(shù)字內(nèi)容所對(duì)應(yīng)的內(nèi)容密鑰。 所述內(nèi)容密鑰可以但不限于是服務(wù)器隨機(jī)產(chǎn)生的一個(gè)128位AES(TheAdvanced Encryption Standard,高級(jí)加密標(biāo)準(zhǔn))對(duì)稱密鑰，可以采用CBC(cipherblock chaining,密 碼段鏈接)模式加密數(shù)字內(nèi)容。本發(fā)明實(shí)施例所述內(nèi)容密鑰只要是使用對(duì)稱加密得到的對(duì) 稱密鑰，且具有唯一性即可。 步驟207 :服務(wù)器使用客戶端設(shè)備對(duì)應(yīng)的公鑰對(duì)查找到的所述數(shù)字內(nèi)容對(duì)應(yīng)的內(nèi) 容密鑰進(jìn)行加密，將加密后的內(nèi)容密鑰發(fā)送給客戶端設(shè)備。 其中，在服務(wù)器和客戶端設(shè)備之間進(jìn)行通信時(shí)，一般需要根據(jù)通信協(xié)議進(jìn)行數(shù)據(jù) 的打包和解包處理，例如，在進(jìn)行數(shù)字電影數(shù)據(jù)的傳輸時(shí)，可以依據(jù)相應(yīng)的DCI (Digital Cinema Initiatives,數(shù)字電影規(guī)范)來實(shí)現(xiàn)，這里不贅述。 其中，步驟201中服務(wù)器在為客戶端設(shè)備生成公私鑰對(duì)時(shí)，已經(jīng)記錄了客戶端設(shè) 備與公鑰之間的對(duì)應(yīng)關(guān)系，從而本步驟中，服務(wù)器直接查詢?cè)搶?duì)應(yīng)關(guān)系，即可得到客戶端設(shè) 備對(duì)應(yīng)的公鑰，從而對(duì)所述內(nèi)容密鑰進(jìn)行加密。 其中，當(dāng)服務(wù)器與客戶端設(shè)備之間不存在連接通路時(shí)，可以通過所述便攜設(shè)備或 者其他移動(dòng)硬盤等進(jìn)行所述服務(wù)器與客戶端設(shè)備之間的信息傳輸，此時(shí)，服務(wù)器也需要包 括能夠連接所述便攜設(shè)備的端口，以便與所述便攜設(shè)備進(jìn)行數(shù)據(jù)交互。從而可以使得服務(wù) 器和客戶端設(shè)備之間不一定非要彼此連接，也能實(shí)現(xiàn)所述數(shù)據(jù)交互。 所述客戶端設(shè)備和服務(wù)器之間存在連接時(shí)，兩者之間的數(shù)據(jù)交互可以通過網(wǎng)絡(luò)等 實(shí)現(xiàn)，所述網(wǎng)絡(luò)可以是互聯(lián)網(wǎng)、無線通信網(wǎng)絡(luò)等。 步驟208 :客戶端設(shè)備接收所述加密后的內(nèi)容密鑰，檢測(cè)是否已與便攜設(shè)備連接， 如果是，執(zhí)行步驟209 ;如果否，返回繼續(xù)檢測(cè)，直到檢測(cè)結(jié)果為是。 但是對(duì)于通過多次檢測(cè)后檢測(cè)結(jié)果才從否轉(zhuǎn)變?yōu)槭菚r(shí)，可以確定便攜設(shè)備是剛剛
連接到客戶端設(shè)備，此時(shí)，為了進(jìn)一步提高信息的安全性，客戶端設(shè)備與便攜設(shè)備之間一般
可以進(jìn)行安全認(rèn)證，此時(shí)，步驟208和步驟209之間進(jìn)一步可以包括 客戶端設(shè)備和便攜設(shè)備相互進(jìn)行安全認(rèn)證，并確定安全驗(yàn)證通過。 具體的，對(duì)于客戶端設(shè)備來說，該步驟為客戶端設(shè)備對(duì)相應(yīng)的便攜設(shè)備進(jìn)行安全
認(rèn)證，并確定所述便攜設(shè)備通過所述安全認(rèn)證；和/或，客戶端設(shè)備接收便攜設(shè)備的安全認(rèn)
證，并確定通過所述便攜設(shè)備的安全認(rèn)證。 所述客戶端設(shè)備對(duì)相應(yīng)的便攜設(shè)備進(jìn)行安全認(rèn)證，并確定所述便攜設(shè)備通過所述 安全認(rèn)證可以為
生成隨機(jī)數(shù)N;
9
所述客戶端設(shè)備通過自身存儲(chǔ)的第一安全認(rèn)證密鑰對(duì)N加密，得到Nl ;并且，所述 便攜設(shè)備使用自身存儲(chǔ)的第二安全認(rèn)證密鑰對(duì)N加密，得到N2 ;
判斷Nl和N2相同時(shí)，則確定便攜設(shè)備通過安全認(rèn)證。 上述是客戶端設(shè)備對(duì)便攜設(shè)備的安全認(rèn)證，可以通過客戶端設(shè)備執(zhí)行上述安全認(rèn) 證過程，或者，當(dāng)客戶端設(shè)備使用具有計(jì)算能力的安全存儲(chǔ)設(shè)備時(shí)，所述第一安全認(rèn)證密鑰 可以存儲(chǔ)于所述安全存儲(chǔ)設(shè)備中，并且，所述安全認(rèn)證過程也可以由安全存儲(chǔ)設(shè)備實(shí)現(xiàn)。
在實(shí)際應(yīng)用中，如果便攜設(shè)備是USB Key等具有計(jì)算能力的智能卡，則所述安全認(rèn)
證也可以是相互的，即便攜設(shè)備也需要對(duì)客戶端設(shè)備進(jìn)行安全認(rèn)證，確定客戶端設(shè)備通過
該安全認(rèn)證。具體的認(rèn)證方法可以和以上客戶端設(shè)備的認(rèn)證方法相似，如 便攜設(shè)備生成隨機(jī)數(shù)N，將該隨機(jī)數(shù)N發(fā)送給安全存儲(chǔ)設(shè)備(或者客戶端設(shè)備)； 安全存儲(chǔ)設(shè)備(或者客戶端設(shè)備)通過自身存儲(chǔ)的第三安全認(rèn)證密鑰對(duì)N加密，
得到N3，將N3返回便攜設(shè)備； 便攜設(shè)備使用自身存儲(chǔ)的第四安全認(rèn)證密鑰對(duì)N加密，得到N4，便攜設(shè)備比較N3
和N4是否相同，如果相同，則確定客戶端設(shè)備通過安全認(rèn)證。 之后，客戶端設(shè)備就可以調(diào)用便攜設(shè)備中的所述第二子私鑰等數(shù)據(jù)了。 另外，SAM和智能卡(如USB Key)之間的認(rèn)證方式可以采用IS07816相關(guān)標(biāo)準(zhǔn)規(guī)
定的安全認(rèn)證協(xié)議。上述兩個(gè)安全設(shè)備在使用前一般需要進(jìn)行匹配注冊(cè)，匹配彼此使用的
認(rèn)證密鑰組和加密算法，也就是說兩個(gè)安全設(shè)備是唯一配對(duì)使用的，需要雙方都具有各自
匹配的密鑰和加密解密算法。兩安全設(shè)備之間通過使用上述的發(fā)送隨機(jī)數(shù)并各自加密解密
比對(duì)的方式來認(rèn)證。 —般智能卡應(yīng)用的認(rèn)證方式是客戶端設(shè)備和智能卡之間的認(rèn)證，客戶端設(shè)備的密
鑰和算法采用軟件方式存儲(chǔ)，容易受到系統(tǒng)級(jí)的安全攻擊，因此，本發(fā)明中所舉例的采用類
似于SAM和智能卡兩個(gè)安全設(shè)備來進(jìn)行子私鑰的存儲(chǔ)，可以大大提升安全性。 步驟209 :分別獲取所述安全存儲(chǔ)設(shè)備以及所述便攜設(shè)備中存儲(chǔ)的子私鑰，利用
所述子私鑰恢復(fù)客戶端設(shè)備的私鑰，使用所述私鑰對(duì)所述加密后的內(nèi)容密鑰進(jìn)行解密，得
到內(nèi)容密鑰。 步驟210 :使用所述內(nèi)容密鑰對(duì)用戶所希望獲取的數(shù)字內(nèi)容進(jìn)行解密，得到數(shù)字 內(nèi)容。 當(dāng)所述內(nèi)容密鑰是128位AES對(duì)稱密鑰時(shí)，本步驟中客戶端設(shè)備使用所述內(nèi)容密 鑰并利用AES-128 CBC模式對(duì)稱算法解密所述數(shù)字內(nèi)容。 步驟211 :根據(jù)用戶關(guān)于數(shù)字內(nèi)容的處理請(qǐng)求，對(duì)步驟209中得到的數(shù)字內(nèi)容進(jìn)行 相應(yīng)處理。 例如，所述數(shù)字內(nèi)容為多媒體數(shù)據(jù)，所述處理請(qǐng)求為對(duì)該數(shù)字內(nèi)容進(jìn)行播放，則本 步驟中客戶端設(shè)備將向用戶播放所述多媒體數(shù)據(jù)。 所述便攜設(shè)備中還可以保存客戶端設(shè)備對(duì)數(shù)字內(nèi)容的處理記錄；相應(yīng)的，所述 數(shù)字版權(quán)管理方法還包括將便攜設(shè)備中的所述處理記錄發(fā)送給服務(wù)器。其中，可以設(shè)定， 只有將便攜設(shè)備中的所述處理記錄發(fā)送給服務(wù)器之后，服務(wù)器才會(huì)向客戶端設(shè)備發(fā)送所述 加密后的內(nèi)容密鑰。這樣通過便攜設(shè)備將客戶端設(shè)備對(duì)數(shù)字內(nèi)容的處理情況及時(shí)準(zhǔn)確地回 傳給服務(wù)器，有利于內(nèi)容提供商和運(yùn)營(yíng)商了解數(shù)字內(nèi)容和版權(quán)信息的使用情況，能夠有效地監(jiān)管數(shù)字版權(quán)的運(yùn)營(yíng)情況，還能提供反映數(shù)字內(nèi)容市場(chǎng)情況的數(shù)據(jù)。此時(shí)，步驟211還包 括客戶端設(shè)備記錄對(duì)所述數(shù)字內(nèi)容的處理記錄到所述便攜設(shè)備。其中，當(dāng)所述數(shù)字內(nèi)容為 媒體文件時(shí)，所述處理記錄即可以為播放日志。另外，便攜設(shè)備將處理記錄發(fā)送給便攜設(shè)備 時(shí)，也可以進(jìn)行加密，密鑰可以使用客戶端設(shè)備的所述私鑰，也可以使用其他密鑰，這里并 不限定。 與上述方法相對(duì)應(yīng)的，本發(fā)明實(shí)施例還提供數(shù)字版權(quán)管理系統(tǒng)，圖3為一種數(shù)字 版權(quán)管理系統(tǒng)結(jié)構(gòu)示意圖，該系統(tǒng)可以設(shè)置于客戶端設(shè)備中。在該系統(tǒng)中，將客戶端設(shè)備的 私鑰拆分為第一子私鑰和第二子私鑰，分別存儲(chǔ)于客戶端設(shè)備中的安全存儲(chǔ)設(shè)備以及可連 接于客戶端設(shè)備的便攜設(shè)備。如圖3所示，該系統(tǒng)還包括 第一發(fā)送單元310，用于向服務(wù)器發(fā)送密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶用戶所希望 處理的數(shù)字內(nèi)容的標(biāo)識(shí)信息； 第一接收單元320，用于接收服務(wù)器返回的使用客戶端設(shè)備的公鑰加密后的內(nèi)容
密鑰，所述內(nèi)容密鑰由服務(wù)器根據(jù)所述數(shù)字內(nèi)容的標(biāo)識(shí)信息查找得到； 獲取單元330，用于分別獲取所述安全存儲(chǔ)設(shè)備以及所述便攜設(shè)備中存儲(chǔ)的子私
鑰； 第一解密單元340，用于利用所述子私鑰恢復(fù)客戶端設(shè)備的私鑰，使用所述私鑰對(duì) 所述加密后的內(nèi)容密鑰進(jìn)行解密，得到內(nèi)容密鑰； 第二解密單元350，用于使用所述內(nèi)容密鑰對(duì)用戶所希望處理的數(shù)字內(nèi)容進(jìn)行解 密，得到數(shù)字內(nèi)容。 優(yōu)選地，所述便攜設(shè)備中還保存客戶端設(shè)備對(duì)數(shù)字內(nèi)容的處理記錄；相應(yīng)的，該系 統(tǒng)還可以包括 第二發(fā)送單元，用于將便攜設(shè)備中的所述處理記錄發(fā)送給服務(wù)器。
如圖3所示，該系統(tǒng)還可以包括 第二接收單元360，用于接收服務(wù)器發(fā)來的使用內(nèi)容密鑰加密后的數(shù)字內(nèi)容。
所述安全存儲(chǔ)設(shè)備為SAM ;所述便攜設(shè)備為智能卡。
優(yōu)選地，如圖3所示，該系統(tǒng)還可以包括 認(rèn)證單元370，用于檢測(cè)到便攜設(shè)備與客戶端設(shè)備連接時(shí)，對(duì)相應(yīng)的便攜設(shè)備進(jìn)行 安全認(rèn)證，并確定所述便攜設(shè)備通過所述安全認(rèn)證；和/或，接收便攜設(shè)備的安全認(rèn)證，并 確定通過所述便攜設(shè)備的安全認(rèn)證。 所述認(rèn)證單元370可以設(shè)置于系統(tǒng)中也可以設(shè)置于所述客戶端設(shè)備的安全存儲(chǔ) 設(shè)備中。 圖3所示的本發(fā)明實(shí)施例數(shù)字版權(quán)管理系統(tǒng)，客戶端設(shè)備將私鑰拆分為第一子私
鑰和第二子私鑰，分別存儲(chǔ)于安全存儲(chǔ)設(shè)備和便攜設(shè)備中，從而，當(dāng)需要使用客戶端設(shè)備的
私鑰時(shí)，需要獲取單元分別到所述安全存儲(chǔ)設(shè)備以及便攜設(shè)備中獲取所述子私鑰，并利用
子私鑰恢復(fù)客戶端設(shè)備私鑰，之后，第一解密單元才能使用該私鑰對(duì)加密后的內(nèi)容密鑰進(jìn)
行解密，得到內(nèi)容密鑰，進(jìn)而第二解密單元再解密得到數(shù)字內(nèi)容，通過對(duì)客戶端設(shè)備私鑰的
控制，使得非授權(quán)用戶無法直接通過使用客戶端設(shè)備而直接獲取到所述私鑰，從而增加了
非授權(quán)用戶獲取到數(shù)字內(nèi)容的難度，提高了對(duì)數(shù)字內(nèi)容版權(quán)的控制效果。 本領(lǐng)域普通技術(shù)人員可以理解，實(shí)現(xiàn)上述實(shí)施例數(shù)字版權(quán)管理的方法的過程可以通過程序指令相關(guān)的硬件來完成，所述的程序可以存儲(chǔ)于可讀取存儲(chǔ)介質(zhì)中，該程序在執(zhí)行時(shí)執(zhí)行上述方法中的對(duì)應(yīng)步驟。所述的存儲(chǔ)介質(zhì)可以如R0M/RAM、磁碟、光盤等。
以上所述僅是本發(fā)明的優(yōu)選實(shí)施方式，應(yīng)當(dāng)指出，對(duì)于本技術(shù)領(lǐng)域的普通技術(shù)人員來說，在不脫離本發(fā)明原理的前提下，還可以做出若干改進(jìn)和潤(rùn)飾，這些改進(jìn)和潤(rùn)飾也應(yīng)視為本發(fā)明的保護(hù)范圍。
權(quán)利要求
一種數(shù)字版權(quán)管理方法，其特征在于，將客戶端設(shè)備的私鑰拆分為第一子私鑰和第二子私鑰，分別存儲(chǔ)于客戶端設(shè)備中的安全存儲(chǔ)設(shè)備以及可連接于客戶端設(shè)備的便攜設(shè)備；該方法還包括向服務(wù)器發(fā)送密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶用戶所希望處理的數(shù)字內(nèi)容的標(biāo)識(shí)信息；接收服務(wù)器返回的使用客戶端設(shè)備的公鑰加密后的內(nèi)容密鑰，所述內(nèi)容密鑰由服務(wù)器根據(jù)所述數(shù)字內(nèi)容的標(biāo)識(shí)信息查找得到；分別獲取所述安全存儲(chǔ)設(shè)備以及所述便攜設(shè)備中存儲(chǔ)的子私鑰；利用所述子私鑰恢復(fù)客戶端設(shè)備的私鑰，使用所述私鑰對(duì)所述加密后的內(nèi)容密鑰進(jìn)行解密，得到內(nèi)容密鑰；使用所述內(nèi)容密鑰對(duì)用戶所希望處理的數(shù)字內(nèi)容進(jìn)行解密，得到數(shù)字內(nèi)容。
2. 根據(jù)權(quán)利要求1所述的方法，其特征在于，所述便攜設(shè)備中還保存客戶端設(shè)備對(duì)數(shù) 字內(nèi)容的處理記錄；相應(yīng)的，該方法還包括將便攜設(shè)備中的所述處理記錄發(fā)送給服務(wù)器。
3. 根據(jù)權(quán)利要求1所述的方法，其特征在于，向服務(wù)器發(fā)送密鑰請(qǐng)求之前進(jìn)一步包括 接收服務(wù)器發(fā)來的使用內(nèi)容密鑰加密后的數(shù)字內(nèi)容。
4. 根據(jù)權(quán)利要求1至3任一項(xiàng)所述的方法，其特征在于，所述安全存儲(chǔ)設(shè)備為安全訪問 模塊SAM ;所述便攜設(shè)備為智能卡。
5. 根據(jù)權(quán)利要求4所述的方法，其特征在于，獲取便攜設(shè)備中存儲(chǔ)的子私鑰之前進(jìn)一 步包括檢測(cè)到便攜設(shè)備與客戶端設(shè)備連接時(shí)，對(duì)相應(yīng)的便攜設(shè)備進(jìn)行安全認(rèn)證，并確定所述 便攜設(shè)備通過所述安全認(rèn)證；和/或，接收便攜設(shè)備的安全認(rèn)證，并確定通過所述便攜設(shè)備 的安全認(rèn)證。
6. —種數(shù)字版權(quán)管理系統(tǒng)，其特征在于，將客戶端設(shè)備的私鑰拆分為第一子私鑰和第 二子私鑰，分別存儲(chǔ)于客戶端設(shè)備中的安全存儲(chǔ)設(shè)備以及可連接于客戶端設(shè)備的便攜設(shè) 備；該系統(tǒng)還包括第一發(fā)送單元，用于向服務(wù)器發(fā)送密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶用戶所希望處理的 數(shù)字內(nèi)容的標(biāo)識(shí)信息；第一接收單元，用于接收服務(wù)器返回的使用客戶端設(shè)備的公鑰加密后的內(nèi)容密鑰，所 述內(nèi)容密鑰由服務(wù)器根據(jù)所述數(shù)字內(nèi)容的標(biāo)識(shí)信息查找得到；獲取單元，用于分別獲取所述安全存儲(chǔ)設(shè)備以及所述便攜設(shè)備中存儲(chǔ)的子私鑰；第一解密單元，用于利用所述子私鑰恢復(fù)客戶端設(shè)備的私鑰，使用所述私鑰對(duì)所述加密后的內(nèi)容密鑰進(jìn)行解密，得到內(nèi)容密鑰；第二解密單元，用于使用所述內(nèi)容密鑰對(duì)用戶所希望處理的數(shù)字內(nèi)容進(jìn)行解密，得到數(shù)字內(nèi)容。
7. 根據(jù)權(quán)利要求6所述的系統(tǒng)，其特征在于，所述便攜設(shè)備中還保存客戶端設(shè)備對(duì)數(shù) 字內(nèi)容的處理記錄；相應(yīng)的，還包括第二發(fā)送單元，用于將便攜設(shè)備中的所述處理記錄發(fā)送給服務(wù)器。
8. 根據(jù)權(quán)利要求6所述的系統(tǒng)，其特征在于，還包括第二接收單元，用于接收服務(wù)器發(fā)來的使用內(nèi)容密鑰加密后的數(shù)字內(nèi)容。
9. 根據(jù)權(quán)利要求6至8任一項(xiàng)所述的系統(tǒng)，其特征在于，所述安全存儲(chǔ)設(shè)備為SAM ;所 述便攜設(shè)備為智能卡。
10. 根據(jù)權(quán)利要求9所述的系統(tǒng)，其特征在于，還包括認(rèn)證單元，用于檢測(cè)到便攜設(shè)備與客戶端設(shè)備連接時(shí)，對(duì)相應(yīng)的便攜設(shè)備進(jìn)行安全認(rèn) 證，并確定所述便攜設(shè)備通過所述安全認(rèn)證；和/或，接收便攜設(shè)備的安全認(rèn)證，并確定通 過所述便攜設(shè)備的安全認(rèn)證。
全文摘要
本發(fā)明公開了一種數(shù)字版權(quán)管理方法及系統(tǒng)，該方法中，將客戶端設(shè)備的私鑰拆分為第一子私鑰和第二子私鑰，分別存儲(chǔ)于客戶端設(shè)備中的安全存儲(chǔ)設(shè)備以及可連接于客戶端設(shè)備的便攜設(shè)備；當(dāng)接收到加密后的內(nèi)容密鑰時(shí)，分別獲取所述安全存儲(chǔ)設(shè)備以及所述便攜設(shè)備中存儲(chǔ)的子私鑰；利用所述子私鑰恢復(fù)客戶端設(shè)備的私鑰，使用該私鑰解密得到內(nèi)容密鑰，進(jìn)而使用該內(nèi)容密鑰進(jìn)行解密得到數(shù)字內(nèi)容，從而使得用戶能夠獲取到所述數(shù)字內(nèi)容。該方法及系統(tǒng)能夠更好的對(duì)數(shù)字內(nèi)容的版權(quán)進(jìn)行控制。
文檔編號(hào)G06F21/00GK101719205SQ200910243529
公開日2010年6月2日 申請(qǐng)日期2009年12月25日 優(yōu)先權(quán)日2009年12月25日
發(fā)明者劉翼光, 吳宏濤, 徐宏, 鮑林岳, 黃昭婷 申請(qǐng)人:國(guó)家廣播電影電視總局電影數(shù)字節(jié)目管理中心