專利名稱：時(shí)間驗(yàn)證系統(tǒng)的制作方法
背景技術(shù)：
本發(fā)明涉及一個(gè)用于時(shí)間驗(yàn)證的系統(tǒng)，包括一個(gè)終端，它帶有可以調(diào)諧到多個(gè)不同載頻的裝置；一個(gè)授權(quán)裝置，例如一塊智能卡，可以與該終端和裝置進(jìn)行通信，使用具有一個(gè)載頻的已調(diào)制信號(hào)，以向該終端發(fā)送時(shí)間戳。本發(fā)明還涉及在這種系統(tǒng)中的終端和授權(quán)裝置。本發(fā)明還涉及一段計(jì)算機(jī)程序，用于裝載到一個(gè)可編程裝置(例如一塊智能卡)，以便用它來作為在這種系統(tǒng)中的授權(quán)裝置。
當(dāng)這種系統(tǒng)中的終端用戶僅僅被授權(quán)在一定時(shí)間內(nèi)使用該終端時(shí)，在該終端中關(guān)于當(dāng)前時(shí)間的表示必須被驗(yàn)證，以檢查當(dāng)前時(shí)間是否符合規(guī)定的時(shí)間。某些系統(tǒng)僅使用各種時(shí)間戳來記載時(shí)間。其他系統(tǒng)可能在終端中含有一個(gè)時(shí)鐘，以便記載時(shí)間。通過互相對(duì)照檢查根據(jù)時(shí)鐘以及時(shí)間戳的時(shí)間，就能驗(yàn)證這兩個(gè)時(shí)間。
然而現(xiàn)有的時(shí)間驗(yàn)證系統(tǒng)通常是不可靠的。為了降低系統(tǒng)的復(fù)雜性和成本，通常只有授權(quán)系統(tǒng)被賦予防篡改的安全性。各終端通常是采用標(biāo)準(zhǔn)型，不能抗御攻擊。在終端中的時(shí)鐘可能被設(shè)置到一個(gè)不同的時(shí)間，也可能被調(diào)慢或被調(diào)快。在一種“欺騙性的”攻擊中，被發(fā)送到終端的時(shí)間戳可能被延遲記錄和重放。
在根據(jù)本發(fā)明的系統(tǒng)一個(gè)優(yōu)選實(shí)施例中，在多個(gè)不同的載頻上發(fā)送時(shí)間戳，上述多個(gè)載頻的數(shù)目超過一個(gè)終端能同時(shí)調(diào)諧到的載頻的數(shù)目。這就使得在幾個(gè)不同的載頻上發(fā)送偽時(shí)間戳變?yōu)椴豢尚小?br> 在根據(jù)本發(fā)明的系統(tǒng)另一個(gè)優(yōu)選實(shí)施例中，每一個(gè)時(shí)間戳都包括一個(gè)用以標(biāo)識(shí)載頻的字段、一個(gè)表示日期的字段、一個(gè)表示時(shí)間的字段，以及一個(gè)已加密的簽名。這個(gè)簽名為智能卡提供了又一種途徑，用以驗(yàn)證一個(gè)真實(shí)的時(shí)間戳是否已經(jīng)被發(fā)送到該終端。
在根據(jù)本發(fā)明的系統(tǒng)一個(gè)有利的實(shí)施例中，授權(quán)裝置包括用以隨機(jī)地選擇一個(gè)要調(diào)諧到的載頻，以便取出一個(gè)時(shí)間戳的裝置。因此，甚至在理論上也不可能事先預(yù)測哪一個(gè)載頻將被選擇用以取出時(shí)間戳。
圖2表示根據(jù)本發(fā)明的系統(tǒng)的一個(gè)實(shí)施例的示意圖。
圖3用實(shí)例來說明一個(gè)時(shí)間戳。
圖4表示在根據(jù)本發(fā)明的系統(tǒng)中所進(jìn)行的處理的流程圖。


圖1中的終端1被連接到一個(gè)衛(wèi)星天線2。終端1被用來調(diào)諧到一個(gè)載頻，并且使得在這個(gè)頻率上發(fā)送的信息可用于電視機(jī)3。從廣播臺(tái)4經(jīng)由衛(wèi)星6向接收機(jī)廣播信息。廣播臺(tái)4在多個(gè)不同的載頻上廣播信息。廣播臺(tái)4可能以數(shù)字或模擬形式向終端1廣播信息。該信號(hào)可以被壓縮或加密，以防止其內(nèi)容被非正式用戶訪問。
雖然圖1表示一個(gè)利用衛(wèi)星通信的付費(fèi)電視系統(tǒng)，但是本發(fā)明并不局限于經(jīng)由衛(wèi)星的廣播。其他付費(fèi)電視系統(tǒng)使用光纖或電纜網(wǎng)絡(luò)。使用天線來發(fā)送和接收信號(hào)的地面廣播的付費(fèi)電視系統(tǒng)也可以使用本發(fā)明。此外，例如來自視頻磁帶或DVD盤片的記錄信號(hào)也可以向調(diào)諧器播放。在這種情況下，視頻信號(hào)被重放裝置(例如視頻記錄器)所使用，該重放裝置可以被視為廣播臺(tái)4，產(chǎn)生具有一個(gè)載頻的調(diào)制信號(hào)。在每一種情況下，終端1都包括或者被連接到適當(dāng)?shù)难b置，用以調(diào)諧到該載頻，并取出所發(fā)送的信息。
為了避免擁有終端1但是沒有辦理預(yù)訂的人接收該信息，廣播機(jī)構(gòu)發(fā)售一種像圖1中的智能卡那樣的授權(quán)裝置6。還可以使用一種類似于智能卡那樣的裝置，例如發(fā)射應(yīng)答密鑰。如上所述，被發(fā)送到終端1的信息在發(fā)送之前可以被加密或被壓縮。授權(quán)裝置6可以包括一組密鑰，以便讓終端1進(jìn)行解壓縮或解密。還可以設(shè)想將加密、壓縮和加擾組合在一起，在這種情況下，授權(quán)裝置6和終端1必須進(jìn)行多種處理，以便使廣播信息變?yōu)橛脩艨捎玫摹?br> 為了更詳細(xì)地說明本系統(tǒng)的各部件，請(qǐng)參看圖2。這里，終端1含有裝置7，7’，用以調(diào)諧到一個(gè)載頻。在所示的實(shí)施例中，在任何一段時(shí)間內(nèi)，終端1都可以調(diào)諧到兩個(gè)不同的頻率。雖然它們可能是在一個(gè)單獨(dú)的調(diào)諧電路中的子電路，但是在此表示為兩個(gè)裝置7，7’。廣播臺(tái)4在一個(gè)或多個(gè)載頻a-e上向終端1廣播信息。再有，只要這些信號(hào)被用來產(chǎn)生具有確定的載頻的已調(diào)制信號(hào)，那么如何實(shí)現(xiàn)發(fā)送是不重要的。
時(shí)間戳連同用戶感興趣的信息一起發(fā)送。因此，信息是與它可以被終端1的用戶使用的時(shí)間聯(lián)系在一起的。由此，使得將對(duì)信息的訪問限制在某一段時(shí)間內(nèi)成為可能。此外，也防止了在以后的時(shí)間里記錄和重放該信號(hào)。終端1必須取出時(shí)間戳，后者也被納入到以多個(gè)可用的載頻a-e為特征的一個(gè)或多個(gè)已調(diào)制信號(hào)之中。跟時(shí)間有關(guān)的訪問控制是基于這樣的事實(shí)，即，只有已被授權(quán)的終端1可以在正確的時(shí)間調(diào)諧到正確的載頻，以便取出一個(gè)時(shí)間戳，這將在下文中加以說明。
由于在圖2的實(shí)例中的終端1可以同時(shí)調(diào)諧到兩個(gè)不同的載頻，所以，使用至少3個(gè)不同的載頻來分配時(shí)間戳是有利的。如果不在所有的載頻上同時(shí)發(fā)送時(shí)間戳，而是使用不同的載頻來發(fā)送，那么由終端調(diào)諧裝置7，7’在各載頻a-e之間重復(fù)地進(jìn)行切換將是必要的。
被連接到終端1的授權(quán)裝置6包括一個(gè)帶有相關(guān)存儲(chǔ)器的微控制器8，它選擇準(zhǔn)備調(diào)諧于其上的頻率，以便取出時(shí)間戳。授權(quán)裝置6備有用于選擇頻率的規(guī)則。這些規(guī)則是保密的。還有可能向裝置6提供一個(gè)隨機(jī)數(shù)發(fā)生器，使得要想猜出下一步在載頻a-e中哪一個(gè)將被選中，從理論上說是不可能的。
終端1，或者授權(quán)裝置6，包括一個(gè)實(shí)時(shí)時(shí)鐘9。時(shí)鐘9使用跟廣播機(jī)構(gòu)用于時(shí)間戳的相同的格式和參考時(shí)間來記載時(shí)間。第1個(gè)被取出的時(shí)間戳被用來以正確的時(shí)間起動(dòng)時(shí)鐘9。實(shí)時(shí)時(shí)鐘9的用途是允許終端1的用戶在一定的時(shí)間或者在一定的時(shí)間間隔內(nèi)進(jìn)行訪問。這取決于由廣播機(jī)構(gòu)所設(shè)定的預(yù)訂條件。將根據(jù)實(shí)時(shí)時(shí)鐘9的時(shí)間跟允許訪問的時(shí)間進(jìn)行對(duì)照檢查。這樣一來，已經(jīng)付款僅收看一個(gè)電視節(jié)目一次的人，就不能在以后的某個(gè)時(shí)間再記錄該信號(hào)以供重放。
在已經(jīng)設(shè)置實(shí)時(shí)時(shí)鐘9之后，為了確信它沒有受到篡改，對(duì)它進(jìn)行定期檢查是有利的。使用隨后取出的各時(shí)間戳，就能容易地做到這一點(diǎn)。然后，將根據(jù)這些時(shí)間戳的時(shí)間與根據(jù)實(shí)時(shí)時(shí)鐘9的時(shí)間進(jìn)行比對(duì)。若時(shí)間差落在一定的時(shí)間窗口之外，則終端1就停止工作。時(shí)間窗口容許在比對(duì)中的不精確性以及由于信號(hào)處理和傳輸不可避免的時(shí)間延遲。根據(jù)實(shí)時(shí)時(shí)鐘9來進(jìn)行時(shí)間驗(yàn)證保證了一個(gè)收看者不能將時(shí)鐘9倒撥回去將一個(gè)已記錄的信號(hào)看第二遍。
在通常情況下，當(dāng)用戶需要訪問被包含在具有一個(gè)載頻的一個(gè)或多個(gè)已調(diào)制信號(hào)之中的信息時(shí)，終端1包括裝置10，用于允許使用該終端，它選擇性地令該信息變?yōu)榭晒┮粋€(gè)已授權(quán)的用戶使用。通常，這些裝置10將采取具有相關(guān)存儲(chǔ)器的微控制器的形式。
這些裝置10可以多種方式來支持對(duì)信息的選擇性的訪問，這取決于特定的系統(tǒng)。在一個(gè)簡單的實(shí)施例中，當(dāng)用戶未經(jīng)授權(quán)時(shí)終端將被徹底地關(guān)閉，并且當(dāng)用戶被授權(quán)時(shí)接通電源?？晒┻x擇地，對(duì)某些信道的訪問將被阻止或被允許，這取決于該用戶授權(quán)過程的結(jié)果。作為另一個(gè)可供選擇的方案，來自廣播臺(tái)4的信息可以被加密、編碼或者加擾。當(dāng)已經(jīng)確定該用戶已被授權(quán)訪問該信息時(shí)，用于允許使用該終端的裝置10包括用于對(duì)信息進(jìn)行解密、解碼或解擾的模塊。
在圖2的實(shí)例中，用于允許使用該終端的裝置10包括一個(gè)解密器11，它使用被存儲(chǔ)在授權(quán)裝置6之中的一個(gè)密鑰。若授權(quán)裝置6確定終端1的使用應(yīng)當(dāng)失效，則解密過程停止進(jìn)行。當(dāng)允許使用的時(shí)間間隔已過，或者當(dāng)系統(tǒng)受到攻擊時(shí)，就會(huì)出現(xiàn)這種情況。
經(jīng)常地更換用于對(duì)信息進(jìn)行解密的密鑰是有利的。通過以加密的形式發(fā)送新的密鑰，就能做到這一點(diǎn)。由資格管理消息提供用于對(duì)密鑰進(jìn)行解密的裝置，讓用戶在較長的時(shí)間間隔內(nèi)使用。資格管理消息在一定的時(shí)間以內(nèi)是有效的。相應(yīng)地，在資格管理消息上加上時(shí)間戳是有利的，這樣做就能保證它們僅在一段時(shí)間之內(nèi)是可用的，就像對(duì)信息加上時(shí)間戳，以保證它僅在一段時(shí)間內(nèi)是可訪問的一樣。本發(fā)明的一個(gè)實(shí)施例可以容易地包括這種特征，例如，通過將資格管理消息添加到時(shí)間戳之上，或者發(fā)送具有已添加時(shí)間戳的廣播信息的消息。
在圖2中所示的終端1可以同時(shí)調(diào)諧到兩個(gè)載頻，這可以被用來獲得好處。裝置7，7’其中之一可以被用來調(diào)諧到用以取出一個(gè)時(shí)間戳的載頻，同時(shí)，另一個(gè)則繼續(xù)調(diào)諧到發(fā)送信息的載頻。當(dāng)不使用與發(fā)送信息的載頻相同的載頻來廣播時(shí)間戳?xí)r，就能避免向已連接的裝置3傳送的信號(hào)的中斷。可供選擇地，或者附加地，終端1可以具有某種存儲(chǔ)裝置12，用以存儲(chǔ)在解密之前的已解調(diào)信號(hào)，以便在為取出一個(gè)時(shí)間戳所需的短時(shí)間內(nèi)，避免中斷收看。
圖3表示具有4個(gè)字段的時(shí)間戳的一個(gè)實(shí)例。一個(gè)數(shù)據(jù)字段含有日期31，另一個(gè)含有時(shí)間32。當(dāng)然，這兩個(gè)字段可以合并為一個(gè)。第3數(shù)據(jù)字段含有載頻標(biāo)識(shí)33，即關(guān)于哪一個(gè)載頻被用來發(fā)送這個(gè)特定的時(shí)間戳的一種表示。時(shí)間戳的最后一個(gè)字段是一個(gè)加密的簽名34。該簽名是每一個(gè)載頻所專用的。已加密的簽名34的解密給出關(guān)于在該簽名中的其他數(shù)據(jù)31，32，33其中之一或全部的信息。這是對(duì)付偽時(shí)間戳的一種保護(hù)措施，用以進(jìn)一步地增加系統(tǒng)的可靠性。在時(shí)間戳包含一段資格消息的情況下，它可以被納入到在時(shí)間戳中的另一個(gè)字段，這在圖3中沒有示出。
為了歸納上述的各個(gè)重要方面，圖4表示該系統(tǒng)所實(shí)行的時(shí)間驗(yàn)證過程的一個(gè)實(shí)例。在終端1已經(jīng)被接通電源之后，授權(quán)裝置6選擇一個(gè)載頻以供調(diào)諧，以便取出一個(gè)時(shí)間戳。理想地，這是用一個(gè)隨機(jī)數(shù)發(fā)生器來完成的。向終端1發(fā)出關(guān)于時(shí)間戳的請(qǐng)求，連同用于取出這個(gè)時(shí)間戳的待調(diào)諧到的載頻。授權(quán)裝置6保持對(duì)所請(qǐng)求的頻率的跟蹤，使得所請(qǐng)求的頻率能跟被納入到已取出的時(shí)間戳之中的載頻標(biāo)識(shí)33以及已加密的簽名34進(jìn)行比對(duì)。當(dāng)然，當(dāng)授權(quán)裝置6為可靠時(shí)，這些(數(shù)據(jù))應(yīng)當(dāng)相符。
終端1接收關(guān)于時(shí)間戳的請(qǐng)求，以及用以取出它的相關(guān)的載頻。調(diào)諧裝置7，7’其中之一調(diào)諧到該載頻，并取出該時(shí)間戳。無論是直接地向授權(quán)裝置6發(fā)送時(shí)間戳，還是首先在終端1中對(duì)該簽名進(jìn)行解密，都使用由授權(quán)裝置6提供的一組密鑰。在任何速率上，已解密的簽名34都能證明該時(shí)間戳確實(shí)已經(jīng)從具有所請(qǐng)求的載頻的信號(hào)中取出。隨后就能從該時(shí)間戳中取出時(shí)間32。
若這是第一次取出的時(shí)間戳，則它被用來啟動(dòng)實(shí)時(shí)時(shí)鐘9。然后可以重復(fù)整個(gè)過程以取出第2時(shí)間戳。任何不是第一次取出的時(shí)間戳都可以被用來驗(yàn)證時(shí)間，即，檢查實(shí)時(shí)時(shí)鐘9是否仍被設(shè)置到正確的時(shí)間。由此就能確定根據(jù)實(shí)時(shí)時(shí)鐘9的時(shí)間與根據(jù)最新時(shí)間戳的時(shí)間之間的差值的大小。若這個(gè)(差值的)大小小于一定可允許的窗口，則這個(gè)時(shí)間就是正確的。只要終端1的用戶被授權(quán)在該時(shí)間段接收信息，已接收的信息就能在解密器11中被解密，并且被送往與終端1連接的裝置，例如電視機(jī)3。經(jīng)過一定的時(shí)間延遲之后，時(shí)間驗(yàn)證過程被再次重復(fù)執(zhí)行。
顯而易見，本發(fā)明并不局限于借助于實(shí)例而給出的上述各實(shí)施例，在權(quán)利要求書的范圍內(nèi)，本發(fā)明可以有所改動(dòng)。因此，凡是允許使用具有一個(gè)載頻的已調(diào)制信號(hào)的所有通信方法，都可以在根據(jù)本發(fā)明的系統(tǒng)中使用。是否隨同時(shí)間戳一起發(fā)送信息，以及發(fā)送何種信息都是無關(guān)緊要的。
權(quán)利要求
1.用于時(shí)間驗(yàn)證的系統(tǒng)，包括一個(gè)終端(1)，它具有裝置(7，7’)，用以調(diào)諧到多個(gè)不同的載頻(a-e)；一個(gè)授權(quán)裝置(6)，例如一塊智能卡，它能夠與終端(1)及裝置(2，5)進(jìn)行通信，以使用具有一個(gè)載頻的已調(diào)制信號(hào)，向終端(1)發(fā)送時(shí)間戳，其特征在于，授權(quán)裝置(6)包括裝置(9)，用于選擇一個(gè)要調(diào)諧到的載頻，以便取出一個(gè)時(shí)間戳。
2.根據(jù)權(quán)利要求1所述的系統(tǒng)，其中，以多個(gè)不同的載頻(a-e)發(fā)送時(shí)間戳，所述多個(gè)載頻的數(shù)目超過終端(1)能同時(shí)調(diào)諧到的載頻的數(shù)目。
3.根據(jù)權(quán)利要求1或2所述的系統(tǒng)，其中，時(shí)間戳包括一個(gè)用以標(biāo)識(shí)載頻的字段(33)，一個(gè)表示日期的字段(31)，一個(gè)表示時(shí)間的字段(32)，以及一個(gè)已加密的簽名(34)。
4.根據(jù)權(quán)利要求1至3中任何一項(xiàng)所述的系統(tǒng)，其中，授權(quán)裝置(6)包括裝置(8)，用以隨機(jī)地選擇一個(gè)要調(diào)諧到的載頻，以便取出一個(gè)時(shí)間戳。
5.根據(jù)權(quán)利要求1至4中任何一項(xiàng)所述的系統(tǒng)，還包括一個(gè)實(shí)時(shí)時(shí)鐘(9)，它具有用以將時(shí)鐘(9)設(shè)置到從一個(gè)時(shí)間戳中取出的時(shí)間(32)的裝置。
6.根據(jù)權(quán)利要求5所述的系統(tǒng)，具有重復(fù)地取出更多的時(shí)間戳、并將從至少一個(gè)已取出的時(shí)間戳中取出的時(shí)間(32)與根據(jù)實(shí)時(shí)時(shí)鐘(9)的時(shí)間進(jìn)行比對(duì)的裝置。
7.根據(jù)權(quán)利要求6所述的系統(tǒng)，具有裝置(10)，當(dāng)比對(duì)的結(jié)果小于一個(gè)特定的時(shí)間窗口時(shí)，它允許使用終端(1)。
8.根據(jù)前述各項(xiàng)權(quán)利要求中任何一項(xiàng)所述的系統(tǒng)，具有裝置(10)，用于允許在一個(gè)特定的時(shí)間間隔內(nèi)使用終端(1)。
9.根據(jù)前述各項(xiàng)權(quán)利要求中任何一項(xiàng)所述的系統(tǒng)，具有將信息添加到時(shí)間戳，并將二者插入到至少一個(gè)具有一個(gè)載頻的已調(diào)制信號(hào)中的裝置。
10.根據(jù)前述各項(xiàng)權(quán)利要求中任何一項(xiàng)所述的系統(tǒng)，還包括一個(gè)付費(fèi)電視廣播臺(tái)(4)，它具有用于在不同的載頻上向終端(1)進(jìn)行發(fā)射的裝置。
11.根據(jù)權(quán)利要求1至10中任何一項(xiàng)所述的系統(tǒng)之中的終端(1)。
12.根據(jù)權(quán)利要求1至10中任何一項(xiàng)所述的系統(tǒng)之中的授權(quán)裝置(6)，例如一塊智能卡。
13.適于裝入一個(gè)可編程裝置例如一塊智能卡的計(jì)算機(jī)程序，以便在經(jīng)過編程以后，將該可編程裝置用作根據(jù)權(quán)利要求1至10中任何一項(xiàng)所述系統(tǒng)中的授權(quán)裝置(6)。
全文摘要
一種用于時(shí)間驗(yàn)證的系統(tǒng)，包括一個(gè)終端(1)，它具有裝置(7，7’)，用以調(diào)諧到多個(gè)不同的載頻(a－e)；一個(gè)授權(quán)裝置(6)，例如一塊智能卡，它能夠跟終端(1)以及裝置(2，5)進(jìn)行通信，以使用具有一個(gè)載頻的已調(diào)制信號(hào)，向終端(1)發(fā)送時(shí)間戳。授權(quán)裝置(6)包括裝置(8)，用于選擇一個(gè)載頻以供調(diào)諧，以便取出一個(gè)時(shí)間戳。終端(1)以及授權(quán)裝置(6)被提供用于該系統(tǒng)。一段計(jì)算機(jī)程序適于裝入一個(gè)可編程裝置，例如一塊智能卡，它被當(dāng)作一個(gè)授權(quán)裝置(6)，以便在這種系統(tǒng)中使用。
文檔編號(hào)H04N7/167GK1407806SQ0212696
公開日2003年4月2日 申請(qǐng)日期2002年7月25日 優(yōu)先權(quán)日2001年7月26日
發(fā)明者安德魯·奧古斯丁·瓦伊斯 申請(qǐng)人:耶德托存取公司