專利名稱：獲取域許可的方法、設(shè)備及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及數(shù)字版權(quán)管理技術(shù)領(lǐng)域，尤其涉及獲取域許可的方法、設(shè)備及 系統(tǒng)。
背景技術(shù)：
數(shù)字版權(quán)管理(Digital Rights Management, DRM)主要通過權(quán)利限制和 內(nèi)容保護(hù)方案控制數(shù)字內(nèi)容的使用，保護(hù)內(nèi)容所有者的合法權(quán)益。用戶從網(wǎng)絡(luò) 或其他設(shè)備處獲取數(shù)字內(nèi)容，該數(shù)字內(nèi)容一般是加密的，并和其他一些信息(如 內(nèi)容的加密算法)共同構(gòu)成一個(gè)內(nèi)容數(shù)據(jù)包。 一個(gè)內(nèi)容數(shù)據(jù)包可能對應(yīng)有一個(gè) 或多個(gè)許可，許可中包括內(nèi)容解密密鑰及對應(yīng)的權(quán)限。設(shè)備只有同時(shí)擁有內(nèi)容 數(shù)據(jù)包和許可，才能正常使用數(shù)字內(nèi)容。DRM設(shè)備通過許可獲取內(nèi)容的解密 密鑰，進(jìn)而解密數(shù)字內(nèi)容。許可中包含有權(quán)利、限制等信息，權(quán)利指示設(shè)備可 以干什么，比如說允許設(shè)備打印、瀏覽等，而限制則指示設(shè)備在什么條件下可 以干，比如說最多允許瀏覽幾次等。DRM設(shè)備必須根據(jù)許可證所要求的權(quán)限 來執(zhí)行相應(yīng)的操作。
域是一組DRM設(shè)備的集合，例如，用戶為自己家建立一個(gè)域，并將家中 的所有設(shè)備加入到這個(gè)域中。用戶可以為某個(gè)域購買域許可，該域許可可以被 域中的設(shè)備使用，從而方便內(nèi)容在域中的共享，不需要每個(gè)域成員都單獨(dú)去購 買域許可。
OMA DRM2.0 ( Open Mobile Alliance,開放移動(dòng)聯(lián)盟)標(biāo)準(zhǔn)定義了 一種域 模型，由許可服務(wù)器(Rights Issuer, RI)負(fù)責(zé)管理域，設(shè)備向RI請求加入/ 離開域，加入域后，設(shè)備可以向RI請求獲取域許可。
OMADRM2.0標(biāo)準(zhǔn)中，終端設(shè)備加入域的處理流程如圖1所示，包括
步驟10、終端設(shè)備向RI發(fā)送一條加入域請求消息，該請求消息中包含域 ID,用來指示設(shè)備想要加入哪個(gè)域。
步驟11、 RI收到請求消息后，可選的可以向一個(gè)OCSP (OMA Online Certificate Status Protocol, OMA在線證書狀態(tài)協(xié)議)服務(wù)器請求獲取OCSP響 應(yīng)。OCSP作為一個(gè)第三方，用于驗(yàn)證RI的合法性。
步驟12、 OCSP服務(wù)器向RI返回OCSP響應(yīng)消息。
步驟13、 RI將終端設(shè)備加入到域中，并向終端設(shè)備返回一條加入域響應(yīng) 消息，該加入域響應(yīng)消息中攜帶域相關(guān)信息，如域ID、域密鑰(所有的域成員 共享同一個(gè)域密鑰)。如果RI在步驟12獲取了 OCSP響應(yīng)，則在加入域響應(yīng) 消息中攜帶OCSP響應(yīng)信息。終端設(shè)備記錄域相關(guān)信息，完成加入域的過程。
終端設(shè)備后續(xù)向RI購買域許可時(shí)，上報(bào)域的ID, RI用域密鑰對域許可加 密后傳給設(shè)備。終端設(shè)備可以使用該域許可，并且域許可可以在域成員之間分 發(fā)，由于各個(gè)域成員都擁有域密鑰，因此可以使用該域許可。
OMA DRM2.0標(biāo)準(zhǔn)的后續(xù)版本中定義了 一個(gè)新的域管理模型，如圖2所 示，其中,域管理器(Domain Authority/Domain Enforcement Agent, DA/DEA) 管理負(fù)責(zé)管理域成員。設(shè)備(DRM Agent)向DA/DEA加入域/離開域，設(shè)備 加入域后，可以向RI請求域許可。RI向DA/DEA請求域相關(guān)信息，如域密鑰 等，隨后生成域許可發(fā)送給設(shè)備。
發(fā)明人經(jīng)過分析，發(fā)現(xiàn)現(xiàn)有技術(shù)存在如下不足之處
設(shè)備到RI或DA/DEA去加入/離開域，從而使得RI或DA/DEA能夠清楚 地獲知一個(gè)域的組成情況，這不利于用戶隱私的保護(hù)。域成員從RI獲取域許 可時(shí)，用本設(shè)備的證書和許可服務(wù)器交互，從而使得許可服務(wù)器可以根據(jù)設(shè)備 的請求間接的獲知域的信息，同樣不利于用戶隱私的保護(hù)。并且，現(xiàn)有技術(shù)中 的RI和DA/DEA都位于網(wǎng)絡(luò)側(cè)，不便于用戶對域進(jìn)行管理，對于那些沒有遠(yuǎn) 程連接能力的設(shè)備來說，加入/離開域也比較復(fù)雜。
另外，發(fā)明人也發(fā)現(xiàn)存在如下技術(shù)需求許可服務(wù)器在向設(shè)備發(fā)放域許可
前，需要驗(yàn)證設(shè)備是否為域成員，而在現(xiàn)有技術(shù)中對于許可服務(wù)器如何驗(yàn)證設(shè) 備確實(shí)是某個(gè)域的域成員，還未有具體的解決方案。

發(fā)明內(nèi)容
本發(fā)明實(shí)施例提供一種獲取域許可的方法、設(shè)備及系統(tǒng)，用于對域外設(shè)備 隱藏域內(nèi)設(shè)備的組成情況，保護(hù)用戶的隱私。
本發(fā)明實(shí)施例提供一種獲取域許可的方法，該方法包括
終端設(shè)備向許可服務(wù)器發(fā)送獲取域許可的請求消息，所述請求消息用域管
理器提供的簽名密鑰進(jìn)行簽名；
所述許可服務(wù)器接收到所述請求消息后，用所述域管理器提供的域公鑰對 所述請求消息的簽名進(jìn)行驗(yàn)證；
所述許可服務(wù)器在所述驗(yàn)證通過后，提供所述域許可。
本發(fā)明實(shí)施例還提供一種域管理器，包括
生成單元，用于建立域，并生成域公鑰和簽名密鑰；
第一存儲(chǔ)單元，用于存儲(chǔ)所述域公鑰和簽名密鑰；
第一發(fā)送單元，用于向終端設(shè)備提供簽名密鑰，向許可服務(wù)器或域管理中 心提供域公鑰。
本發(fā)明實(shí)施例還提供一種終端設(shè)備，包括
第二接收單元，用于接收域管理器提供的簽名密鑰和許可服務(wù)器提供的域 許可；
第二存儲(chǔ)單元，用于存儲(chǔ)所述簽名密鑰和域許可； 簽名單元，用于用所述簽名密鑰對獲取域許可的請求消息進(jìn)行簽名； 第二發(fā)送單元，用于向許可服務(wù)器發(fā)送所述請求消息。 本發(fā)明實(shí)施例還提供一種許可服務(wù)器，包括
第三接收單元，用于接收域管理器提供的域公鑰和終端設(shè)備發(fā)送的獲取域 許可的請求消息，所述請求消息用域管理器提供的簽名密鑰進(jìn)行簽名； 驗(yàn)證單元，用于用所述域公鑰對所述請求消息的簽名進(jìn)行驗(yàn)證；
第三發(fā)送單元，用于在所述驗(yàn)證通過后，提供所述域許可。
本發(fā)明實(shí)施例還提供一種數(shù)字版權(quán)管理系統(tǒng)，包括 域管理器，用于提供簽名密鑰和域公鑰；
終端設(shè)備，用于接收所述簽名密鑰，發(fā)送獲取域許可的請求消息，所述請 求消息用所述簽名密鑰進(jìn)行簽名；以及，接收域許可；
許可服務(wù)器，用于接收所述域公鑰和所述請求消息，用所述域公鑰對所述 請求消息的簽名進(jìn)行驗(yàn)證；在所述驗(yàn)證通過后，提供所述域許可。
本發(fā)明實(shí)施例中，由于終端設(shè)備用域管理器向其提供的簽名密鑰，對向許 可服務(wù)器發(fā)送的獲取域許可的請求消息進(jìn)行簽名；而所述許可服務(wù)器在接收到 所述請求消息后，用所述域管理器向其提供的域公鑰對所述請求消息的簽名進(jìn) 行驗(yàn)證，因此在進(jìn)行驗(yàn)證時(shí)，許可服務(wù)器無法確定所述請求消息的實(shí)際發(fā)送設(shè) 備；許可服務(wù)器在所述驗(yàn)證通過后提供所述域許可，因此，終端設(shè)備無需泄露 設(shè)備身份即可從許可服務(wù)器獲取域許可，從而可以對終端設(shè)備所在域的域外設(shè) 備屏蔽域內(nèi)設(shè)備的組成情況，保護(hù)用戶的隱私。另外，許可服務(wù)器通過用域管 理器向其提供的域公鑰對所述請求消息的簽名進(jìn)行驗(yàn)證，可以在所述驗(yàn)證通過 后確定終端設(shè)備為域成員設(shè)備。


圖1為背景技術(shù)中OMADRM2.0標(biāo)準(zhǔn)中設(shè)備加入域的處理流程圖； 圖2為背景技術(shù)中OMA DRM2.0標(biāo)準(zhǔn)的后續(xù)版本中定義的一個(gè)新的域管 理模型示意圖3為本發(fā)明實(shí)施例中一種域管理系統(tǒng)的結(jié)構(gòu)模型示意圖； 圖4為本發(fā)明實(shí)施例中一種獲取域許可的處理流程圖； 圖5為本發(fā)明實(shí)施例中終端設(shè)備加入域成為一個(gè)普通域成員設(shè)備或高級域 成員設(shè)備的示意圖6為本發(fā)明實(shí)施例中域管理器建立域的處理流程圖7為本發(fā)明實(shí)施例中終端設(shè)備加入域的處理流程圖8為本發(fā)明實(shí)施例中終端設(shè)備離開域的處理流程圖9為本發(fā)明實(shí)施例中普通域成員設(shè)備向域管理器請求升級為高級域成員 設(shè)備的處理流程圖10為本發(fā)明實(shí)施例中高級域成員設(shè)備向域管理器請求降級為普通域成 員設(shè)備的處理流程圖11為本發(fā)明實(shí)施例中域管理器觸發(fā)終端設(shè)備加入域、離開域、進(jìn)行域 成員升級或降級處理的流程圖12為本發(fā)明實(shí)施例中高級域成員設(shè)備向許可服務(wù)器請求獲取域許可的 處理流程圖13為本發(fā)明實(shí)施例中一個(gè)具體實(shí)例中獲取域許可的處理流程圖； 圖14a、圖14b、圖14c、圖14d、圖14e、圖14f為本發(fā)明實(shí)施例中域管 理器的結(jié)構(gòu)示意圖15a、圖15b為本發(fā)明實(shí)施例中終端設(shè)備的結(jié)構(gòu)示意圖16為本發(fā)明實(shí)施例中許可服務(wù)器的結(jié)構(gòu)示意圖17a、圖17b為本發(fā)明實(shí)施例中數(shù)字版權(quán)管理系統(tǒng)的結(jié)構(gòu)示意圖。
具體實(shí)施例方式
以下結(jié)合附圖對本發(fā)明實(shí)施例方法進(jìn)行詳細(xì)說明。
本發(fā)明實(shí)施例中， 一種域管理系統(tǒng)的結(jié)構(gòu)模型如圖3所示，其中，域管理 器位于本地側(cè)，負(fù)責(zé)管理本地的域成員設(shè)備。許可服務(wù)器和域管理中心位于網(wǎng) 絡(luò)側(cè)，在建立域時(shí)，域管理器與域管理中心交互，將域的信息，如域ID、域密 鑰注冊到域管理中心。終端設(shè)備可以向域管理器加入/離開域，域管理器不需要 將終端設(shè)備的信息上報(bào)給網(wǎng)絡(luò)側(cè)設(shè)備。終端設(shè)備可以向許可服務(wù)器去請求域許 可，許可服務(wù)器從域管理中心處獲取域的信息，然后生成域許可返回給終端設(shè)
備。當(dāng)然，在域管理中心上也可以自己建立域和維護(hù)域信息，此時(shí)域管理中心
的角色相當(dāng)于現(xiàn)有技術(shù)中的DA/DEA。
圖3所示域管理系統(tǒng)可以保證終端設(shè)備在加入/離開域時(shí)，網(wǎng)絡(luò)側(cè)設(shè)備(如 許可服務(wù)器、域管理中心)無法獲知域的組成情況，進(jìn)一步的，為了使許可服 務(wù)器在域成員向許可服務(wù)器請求域許可時(shí)，不能根據(jù)設(shè)備的請求間接的獲知域 的信息，保護(hù)用戶的隱私， 一個(gè)實(shí)施例中， 一種獲: 又域許可的處理流程如圖4 所示，包括
步驟40、終端設(shè)備向許可服務(wù)器發(fā)送獲取域許可的請求消息，該請求消息 用域管理器提供的簽名密鑰進(jìn)行簽名；
步驟41、許可服務(wù)器接收到該請求消息后，用域管理器提供的域公鑰對該 請求消息的簽名進(jìn)行驗(yàn)證；
步驟42、許可服務(wù)器在驗(yàn)證通過后，提供所述域許可。
圖4所示流程中的實(shí)體還可以包括一域管理中心，與許可服務(wù)器為不同的 實(shí)體。許可服務(wù)器負(fù)責(zé)發(fā)放域許可，域管理中心負(fù)責(zé)和域管理器完成注冊，交 互域相關(guān)信息。域管理器建立域并生成域相關(guān)信息，域相關(guān)信息包括域7>鑰， 域管理器需要向域管理中心注冊新建立的域，在注冊的過程中將域公鑰上報(bào)給 域管理中心，該域公鑰用于后續(xù)域管理器或域成員設(shè)備購買域許可時(shí)，驗(yàn)證對 方是否是合法的域成員設(shè)備，例如，許可服務(wù)器發(fā)放域許可前，先從域管理器 獲取域公鑰，用域公鑰驗(yàn)證請求獲取域許可的終端設(shè)備是否為域成員設(shè)備。當(dāng) 然，許可服務(wù)器與域管理中心也可以為同一實(shí)體，許可服務(wù)器既用于發(fā)放域許 可，也用于和域管理器完成注冊，并互域相關(guān)信息，域管理器直接將域公鑰發(fā) 送給許可服務(wù)器。
終端設(shè)備可以向域管理器請求加入域成為 一個(gè)域成員設(shè)備，后續(xù)域成員設(shè) 備可以向許可服務(wù)器請求獲取域許可。當(dāng)加入域時(shí)，終端設(shè)備獲取一個(gè)簽名密 鑰，該簽名密鑰用來對獲取域許可的請求消息進(jìn)行簽名。 一種實(shí)現(xiàn)方式是，所 有的域成員設(shè)備都可以共享同一個(gè)簽名密鑰，例如，域管理器在建立域時(shí)生成
一對公私鑰對，其中的公鑰即為域公鑰，其中的私鑰即為簽名密鑰，在這種方 案下，后續(xù)無法得知究竟是哪個(gè)域成員為域購買了許可。另一種實(shí)現(xiàn)方式是，
每個(gè)域成員設(shè)備獲取不同的簽名密鑰，此時(shí)可以采用群簽名的思想域管理器 在建立域時(shí)生成域公鑰，提供給域管理中心，在某個(gè)終端設(shè)備想要成為域成員 設(shè)備時(shí)，域管理器幫助該終端設(shè)備生成一對公私鑰，其中的私鑰即為該域成員 設(shè)備所擁有的簽名密鑰。由于許可服務(wù)器或域管理中心只有域公鑰，通過該域 公鑰，可以對不同簽名密鑰簽名的數(shù)據(jù)進(jìn)行驗(yàn)證，但是通過域公鑰本身無法檢 查出該簽名是由哪個(gè)域成員簽發(fā)的，從而保證了對域內(nèi)組織結(jié)果的隱藏。另一 方面，域管理器可以通過檢查簽名判斷出該域許可是由哪個(gè)設(shè)備獲取的，實(shí)現(xiàn) 可追蹤性。本發(fā)明實(shí)施例中以后一種實(shí)現(xiàn)方式為例進(jìn)行詳細(xì)說明。
一個(gè)實(shí)施例中，如圖5所示，終端設(shè)備可以向域管理器請求加入域成為一 個(gè)普通域成員設(shè)備，普通域成員設(shè)備不能直接向許可服務(wù)器去獲取域許可，而 只能從域管理器處獲取域許可?？蛇x的，普通域成員設(shè)備也可以從其它域成員 處獲取域許可。終端設(shè)備也可以向域管理器請求加入域成為 一個(gè)高級域成員設(shè) 備，或者一個(gè)普通域成員設(shè)備向域管理器請求升級成高級域成員設(shè)備。高級域 成員設(shè)備可以向許可服務(wù)器去獲取域許可。高級域成員設(shè)備可以獲取一個(gè)簽名 密鑰，該簽名密鑰用來對請求域許可的信息進(jìn)行簽名。簽名密鑰可以是域管理 器在建立域時(shí)生成的私鑰，也可以是域管理器為終端設(shè)備生成的私鑰。
下面分別介紹本發(fā)明實(shí)施例中各個(gè)實(shí)體間進(jìn)行交互的主要流程，并在各個(gè) 流程中，以基于身份的群簽名算法為例具體說明本發(fā)明實(shí)施例方法的實(shí)施，當(dāng) 然，本發(fā)明實(shí)施例方法也可以采用其它算法來實(shí)施，其處理流程類似。下面將 本發(fā)明實(shí)施例中使用的部分?jǐn)?shù)學(xué)符號介紹如下
q為一個(gè)長度大約171位的大素?cái)?shù)，Ztq表示整數(shù)模q構(gòu)成的乘法群，Gl 是一個(gè)由超橢圓曲線上的點(diǎn)P生成的階為q的循環(huán)加群，GDH問題在其上是 一個(gè)困難問題，G2是一個(gè)階為q的循環(huán)乘群。雙線性對e: Gl xGl-〉 G2。 Hl， H2為兩個(gè)密碼學(xué)雜湊算法，Hl: {0, l}*xGl-〉Z*q， H2: {0, 1}* x
Gl畫〉G2。
一個(gè)實(shí)施例中，域管理器建立域的處理流程如圖6所示，包括
步驟60、域管理器在本地建立域，建立域主要包括生成一個(gè)域公鑰。域管 理器隨機(jī)選擇一個(gè)整數(shù)sEZ*q，計(jì)算Ppub二sP,貝'J Ppub為該域的域公鑰，系 統(tǒng)參數(shù)為params={Gl,G2,e,q,P,Ppub,Hl,H2}，其中Gl、 G2、 e、 q、 P、 Hl、 H2為采用本系統(tǒng)的實(shí)體所公知的，s為域的私鑰。
步驟61、域管理器向域管理中心請求注冊一個(gè)域，在該請求消息中包含域 公鑰。請求消息中可以包括域名或域ID,用來標(biāo)識(shí)該域，當(dāng)然，也可以直接用 域公鑰來標(biāo)識(shí)該域。請求消息中還可以包括其它的域信息，例如域許可的加密 密鑰、域的有效期、域大小等，域管理中心記錄域公鑰以及其它的域信息。
步驟62、域管理中心向域管理器返回一個(gè)響應(yīng)消息。如果在步驟61的請 求消息中沒有包含域名或域ID,則域管理中心可以為該域生成對應(yīng)的域名或域 ID，通過響應(yīng)消息傳給域管理器。域管理器才艮據(jù)響應(yīng)消息判斷完成建立域的過 程。
一個(gè)實(shí)施例中，終端設(shè)備加入域的處理流程如圖7所示，包括
步驟70、終端設(shè)備向域管理器請求加入域?？蛇x的，加入域請求消息中可 以攜帶設(shè)備的身份信息。
步驟71、域管理器判斷是加入一個(gè)普通域成員設(shè)備還是高級域成員設(shè)備， 如果在加入域請求消息中包含對應(yīng)的標(biāo)識(shí)信息，則根據(jù)該標(biāo)識(shí)信息來判斷；否 則，可以提示用戶由用戶來選擇，域管理器根據(jù)用戶指示來判斷。域管理器在 將終端設(shè)備加入域成為普通域成員設(shè)備或高級域成員設(shè)備后，在本地記錄終端 設(shè)備的設(shè)備信息。域管理器向終端設(shè)備發(fā)送加入域響應(yīng)消息，終端設(shè)備在接收 到加入域響應(yīng)消息后，在本地存儲(chǔ)域相關(guān)信息。
可選的，在加入域響應(yīng)消息中可以攜帶參數(shù)用來指示一些限制條件，限制 終端設(shè)備作為域成員設(shè)備的行為，包括限制終端設(shè)備只能在某些時(shí)間段內(nèi)作 為域成員設(shè)備獲取和/或使用域許可、限制終端設(shè)備總的獲取和/或使用域許可
的次數(shù)、限制終端設(shè)備在一個(gè)時(shí)間長度內(nèi)獲取和/或使用域許可的次數(shù)、限制終 端設(shè)備使用域許可的總的時(shí)間長度、限制終端設(shè)備單位時(shí)間內(nèi)使用域許可的時(shí) 間長度、限制終端設(shè)備消費(fèi)域許可對應(yīng)內(nèi)容的等級其中之一或任意組合。該參 數(shù)可以作為單獨(dú)的參數(shù)傳給終端設(shè)備，由終端設(shè)備在本地保存，也可以和其它
參數(shù)按照規(guī)則綁定在一起，例如定義ID—dllrolelltime,其中id為終端設(shè)備的身 份，例如設(shè)備標(biāo)識(shí)符，role為對終端設(shè)備的限制條件，time為終端設(shè)備作為域 成員的有效期，ll是連接符。當(dāng)終端設(shè)備和域管理器或其它域成員設(shè)備交互時(shí)， 將ID提供給對方，從而使對方可以驗(yàn)證終端設(shè)備是否為域成員設(shè)備，當(dāng)前是 否能夠進(jìn)行對應(yīng)的交互。
步驟71中，如果終端設(shè)備加入域成為一個(gè)普通域成員設(shè)備，可選的，域 管理器可以為終端設(shè)備生成一對公私鑰，用于以后的加密通信。例如，根據(jù)基 于身份的群簽名算法，終端設(shè)備在步驟70的加入域請求消息中攜帶一參數(shù)rP， 其中rEZ《q,為一個(gè)隨機(jī)數(shù)，域管理器計(jì)算私鑰SID=sH2(ID, rP),將SID傳 給終端設(shè)備，其中s為域管理器在建立域時(shí)生成的域私鑰。則終端設(shè)備分配的 公鑰為ID,私鑰為(r,SID),域管理器保存列表(ID, rP，SID)。
如果終端設(shè)備加入域成為一個(gè)高級域成員設(shè)備，則在響應(yīng)消息中可選的可 以包含簽名密鑰，高級域成員設(shè)備收到之后在本地保存該簽名密鑰。根據(jù)基于 身份的群簽名算法，終端設(shè)備選擇兩個(gè)隨機(jī)數(shù)1^,1^2*9, xEZ*q。終端設(shè)備 計(jì)算rxP、 xP,在請求消息中將身份、rP、 rxP和xP傳給域管理器。域管理器 計(jì)算SID二sH2(ID,rP), S=sH2(T,rxP)，其中T為S的有效截止時(shí)間。域管理器 將SID、 S返回給終端設(shè)備，則終端設(shè)備作為高級域成員設(shè)備的公鑰為 (rP，rxP,xP，T ),并由域管理器秘密保存，終端設(shè)備的私鑰為(rx， S )，該對公 私鑰主要用于后續(xù)的簽名和驗(yàn)證。而公鑰ID，私鑰(r， SID)主要用于后續(xù)和 域管理器之間或其它域成員的加密通信。
一個(gè)實(shí)施例中，終端設(shè)備離開域的處理流程如圖8所示，包括
步驟80、終端設(shè)備向域管理器請求離開域。在離開域請求消息中可以包含
終端設(shè)備的身份信息，例如設(shè)備ID或設(shè)備公鑰。
步驟81、域管理器利用域相關(guān)信息，如域公鑰，驗(yàn)證終端設(shè)備是否為一個(gè)
合法的域成員設(shè)備，在驗(yàn)證通過后，域管理器在本地刪除保存的終端設(shè)備的設(shè) 備信息，并返回離開域響應(yīng)消息。終端設(shè)備收到該離開域響應(yīng)消息后，刪除本 地保存的域相關(guān)信息。當(dāng)然，刪除域相關(guān)信息的操作也可以在發(fā)送離開域請求
消息前才丸-f亍。
一個(gè)實(shí)施例中，普通域成員設(shè)備向域管理器請求升級為高級域成員設(shè)備的
處理流程如圖9所示，包括
步驟90、終端設(shè)備向域管理器發(fā)送升級請求消息，在升級請求消息中可以 包含終端設(shè)備的身份信息，如終端設(shè)備的ID或設(shè)備公鑰。
步驟91、域管理器收到升級請求消息后，驗(yàn)證終端設(shè)備是否為一個(gè)合法的 普通域成員設(shè)備，例如可以檢查本地保存的普通域成員列表，判斷請求設(shè)備是 否在列表中。當(dāng)驗(yàn)證通過后，域管理器為終端設(shè)備生成簽名密鑰，通過升級響 應(yīng)消息傳給終端設(shè)備，終端設(shè)備在本地保存該簽名密鑰，升級為高級域成員設(shè) 備。根據(jù)基于身份的群簽名算法，終端設(shè)備選擇一隨機(jī)數(shù)x, xEZ*q。終端設(shè) 備計(jì)算rxP, xP,將rxP, xP以及rP， ID和SID在升級請求消息中傳給域管理 器，其中，ID、 SID等是終端設(shè)備在加入域成為普通域成員設(shè)備時(shí)從域管理器 處獲取的。域管理器驗(yàn)證Sn^sH2(ID,rP)和e(rxP,P"e(xP,rP)是否成立，從而驗(yàn) 證終端設(shè)備是否為一個(gè)有效的域成員設(shè)備。如果成立，計(jì)算S=sH2(T,rxP),其 中T為S的有效截止時(shí)間。域管理器將S返回給終端設(shè)備，則終端設(shè)備簽名相 關(guān)的公鑰為(rP,rxP,xP,T),并由域管理器秘密保存，終端設(shè)備私鑰為(rx， S )。
一個(gè)實(shí)施例中，高級域成員設(shè)備向域管理器請求降級為普通域成員設(shè)備的 處理流程如圖10所示，包括
步驟IOO、終端設(shè)備向域管理器發(fā)送降級請求消息，在降級請求消息中或 以包含終端設(shè)備的身份信息，例如設(shè)備ID或設(shè)備公鑰。
步驟IOI、域管理器收到降級請求消息后，驗(yàn)證終端設(shè)備是否為一個(gè)合法
的高級域成員設(shè)備，例如可以檢查本地保存的高級域成員列表，判斷請求設(shè)備 是否在列表中。如果是，則在本地修改記錄的終端設(shè)備的相關(guān)信息，例如刪除
終端設(shè)備對應(yīng)的簽名密鑰的相關(guān)信息(S, rxp)，將終端設(shè)備記錄為一個(gè)普通
域成員設(shè)備。域管理器向終端設(shè)備返回一個(gè)降級響應(yīng)消息，終端設(shè)備刪除本地 保存的高級域成員設(shè)備的相關(guān)信息，例如刪除對應(yīng)的簽名密鑰的相關(guān)信息
(rxP，xP,T) ， (rx, S )。當(dāng)然，終端設(shè)備也可以在發(fā)送請求消息前就已經(jīng)將對 應(yīng)的信息刪除。
圖7、圖8、圖9、圖10所示流程中，加入域、離開域、升級、降級請求 消息都是由終端終端主動(dòng)發(fā)起，當(dāng)然用戶也可以操作域管理器，由域管理器觸 發(fā)終端設(shè)備加入域、離開域、進(jìn)行域成員升級或降級處理，其處理流程如下圖 11所示
步驟110、域管理器向終端設(shè)備發(fā)送請求加入域、離開域、域成員升級或
域成員降級的觸發(fā)消息。
步驟111、終端設(shè)備判斷是否接受該觸發(fā)請求，終端設(shè)備可以通過人機(jī)界 面提示用戶進(jìn)行選擇。如果接受請求，則終端設(shè)備向域管理器發(fā)送對應(yīng)的加入 域請求消息、離開域請求消息、升級或降級請求消息。
步驟112、域管理器進(jìn)行相應(yīng)處理后，向終端設(shè)備返回對應(yīng)的響應(yīng)消息。
一個(gè)實(shí)施例中，高級域成員設(shè)備向許可服務(wù)器請求獲取域許可的處理流程 如圖12所示，包括
步驟120、高級域成員設(shè)備向許可服務(wù)器發(fā)送獲取域許可的請求消息，在 該請求消息中，包含域名或域ID。終端設(shè)備用簽名密鑰對消息的全部或部分信 息進(jìn)行簽名。終端設(shè)備選取一隨機(jī)數(shù)a，aEZ*q，計(jì)算U=aH2(T,rxP)， V=rxH2(m，U),其中m是消息中需要進(jìn)行簽名的部分。計(jì)算h=Hl(m,U+V)， W=(a+h)S，則五元組(U, V， W， T， rxP)即為對m進(jìn)行的簽名。
步驟121、許可服務(wù)器收到該請求消息后，獲取相應(yīng)的域公鑰，如果許可 服務(wù)器和域管理中心為同一實(shí)體，獲取域公鑰即為RI從本地提取出該數(shù)據(jù)，
如從本地?cái)?shù)據(jù)庫中提取；如果許可服務(wù)器和域管理中心為不同的實(shí)體，則獲取
域公鑰即為許可服務(wù)器從域管理中心處查詢對應(yīng)域的域公鑰。許可服務(wù)器用域 公鑰驗(yàn)證請求消息的簽名是否合法，許可服務(wù)器在驗(yàn)證通過后可以確定終端設(shè) 備為域成員設(shè)備。根據(jù)基于身份的群簽名算法，許可服務(wù)器需要驗(yàn)證
e(W，P)=e(U+h H2(T,rxP)， Ppub)是否成立，驗(yàn)證e ( V， P ) =e ( H2 ( m, U) ,rxP ) 是否成立，如果都成立，則驗(yàn)證通過，簽名合法。如果簽名合法，則許可服務(wù) 器在響應(yīng)消息中將域許可傳給終端設(shè)備。許可服務(wù)器可以用和終端設(shè)備間的加 密通道將許可加密傳給終端設(shè)備，當(dāng)然，如果域管理器在建立域時(shí)，為域生成 了域許可加密密鑰，并且在注冊時(shí)將該密鑰上報(bào)給域管理中心，則許可服務(wù)器 可以用該域許可加密密鑰加密域許可，將其傳給終端設(shè)備。
圖12所示流程中，許可服務(wù)器直接將域許可發(fā)送給終端設(shè)備，當(dāng)然，在 另外的實(shí)現(xiàn)中，許可服務(wù)器可以在收到請求消息后，可以將域許可傳給域管理 器，許可服務(wù)器可以向域管理中心請求對應(yīng)域管理器的身份和地址，或者在本 地緩存有該信息?？蛇x的，許可服務(wù)器可以向終端設(shè)備返回響應(yīng)消息，通知終 端設(shè)備從域管理器獲取域許可。
對于上述基于身份的群簽名算法中的簽名五元組(U, V, W, T, rxP)， 如果后續(xù)需要驗(yàn)證追蹤該簽名是由哪個(gè)設(shè)備簽發(fā)的，則域管理器可以從許可服 務(wù)器獲取終端設(shè)備獲取域許可的請求消息的簽名，當(dāng)然，該簽名也可以附加在 域許可中隨著域許可一起下發(fā)到域管理器。域管理器根據(jù)該簽名，確定發(fā)送獲 取域許可的請求消息的終端設(shè)備，例如，域管理器打開該簽名，根據(jù)rxP檢索 設(shè)備列表，從而可以找到對應(yīng)的簽名設(shè)備。進(jìn)一步的，域管理器可以計(jì)算等式 e(rxP，P"e(xP,rP)是否成立，等式e(SID，P"e(H2(IDUT,rP),Ppub)是否成立。如果 上述等式成立，則可以確定該簽名是由擁有對應(yīng)簽名密鑰的終端設(shè)備簽發(fā)的， 且該終端設(shè)備無法進(jìn)行抵賴。
一個(gè)實(shí)施例中，為了防止域中設(shè)備變壞后，繼續(xù)用高級域成員的身份去 RI處獲取域許可，域管理器可以嘗試更新密鑰信息，包括域公鑰以及各個(gè)高級
域成員的簽名密鑰。采用這種方法對域內(nèi)成員的影響較大。另一種實(shí)現(xiàn)方式是，
域管理器向許可服務(wù)器或域管理中心提供域成員設(shè)備的撤銷信息；許可服務(wù)器
接收到獲取域許可的請求消息時(shí)，先從本地或域管理中心獲取撤銷信息，并在 根據(jù)撤銷信息確定終端設(shè)備已被撤銷時(shí)，拒絕終端設(shè)備獲取域許可的請求。例 如，域管理器在本地維護(hù)撤銷列表，并且定期或者在列表發(fā)生變化時(shí)，例如在 高級域成員離開域或降級為普通域成員時(shí)將其加入到撤消列表中，或域管理器 可以主動(dòng)將自己不再信任的高級域成員加入到撤消列表中，將該撤銷列表提供 給域管理中心，許可服務(wù)器在驗(yàn)證簽名時(shí)，首先根據(jù)撤銷列表檢查終端設(shè)備是 否已撤銷，如果已撤銷，則拒絕為終端設(shè)備提供服務(wù)。
下面給出一個(gè)獲取域許可的具體實(shí)例，如圖13所示，包括 步驟130、域管理器在本地建立域，生成域公鑰。 步驟131、域管理器向域管理中心注冊域的信息，上報(bào)域的公鑰。 步驟132、域管理器從許可服務(wù)器處獲取域許可。
步驟133、終端設(shè)備請求加入域，域管理器為終端設(shè)備生成一對公私鑰對， 用于后續(xù)的安全通信，終端設(shè)備在本地保存相關(guān)信息，成為普通域成員設(shè)備。
步驟134、終端設(shè)備從域管理器處獲取域許可，終端設(shè)備通過普通域成員 設(shè)備的身份使用該域許可。
步驟135、終端設(shè)備想要為域購買許可，向域管理器請求升級成為高級域 成員設(shè)備，域管理器為終端設(shè)備生成簽名密鑰，將簽名密鑰傳給終端設(shè)備，終 端設(shè)備在本地保存相關(guān)信息，成為高級域成員設(shè)備。
步驟136、終端設(shè)備為域向許可服務(wù)器請求購買域許可，終端設(shè)備用簽名 密鑰對消息進(jìn)行簽名，許可服務(wù)器用域公鑰成功驗(yàn)證簽名后，為終端設(shè)備頒發(fā) 域許可。
基于同一發(fā)明構(gòu)思，本發(fā)明實(shí)施例還提供一種域管理器，其結(jié)構(gòu)如圖14a 所示，包括生成單元140,用于建立域，并生成域公鑰和簽名密鑰；第一存 儲(chǔ)單元141,用于存儲(chǔ)所述域公鑰和簽名密鑰；第一發(fā)送單元142,用于向終
端設(shè)備提供簽名密鑰，向許可服務(wù)器或域管理中心提供域公鑰。
其中，第一發(fā)送單元142可以進(jìn)一步用于在終端設(shè)備加入域時(shí)，向終端設(shè) 備提供所述簽名密鑰。
如圖14b所示， 一個(gè)實(shí)施例中，圖14a所示的域管理器還包括第一接收 單元143,用于接收終端設(shè)備發(fā)送的加入域請求消息；加入域單元144，用于 根據(jù)用戶指示或所述加入域請求消息中的標(biāo)識(shí)信息，將終端設(shè)備加入域成為普 通域成員設(shè)備或高級域成員設(shè)備；此時(shí)，第一存儲(chǔ)單元141進(jìn)一步用于存儲(chǔ)終 端設(shè)備的設(shè)備信息；第一發(fā)送單元142進(jìn)一步用于向終端設(shè)備返回加入域響應(yīng) 消息，并在終端設(shè)備成為高級域成員時(shí)將所述簽名密鑰提供給終端設(shè)備。
如圖14c所示， 一個(gè)實(shí)施例中，圖14b所示的域管理器中，第一接收單元 143進(jìn)一步用于接收已成為普通域成員設(shè)備的終端設(shè)備發(fā)送的升級請求消息； 此時(shí)，域管理器可以進(jìn)一步包括升級單元145,用于在確定終端設(shè)備為普通 域成員設(shè)備后，將終端設(shè)備升級為高級域成員設(shè)備；第一發(fā)送單元142進(jìn)一步 用于向終端設(shè)備返回升級響應(yīng)消息，將所述簽名密鑰提供給終端設(shè)備。
如圖14d所示， 一個(gè)實(shí)施例中，圖14b所示的域管理器中，第一接收單元 143進(jìn)一步用于接收已成為高級域成員設(shè)備的終端設(shè)備發(fā)送的降級請求消息； 此時(shí)，域管理器可以進(jìn)一步包括降級單元146,用于在確定終端設(shè)備為高級 域成員設(shè)備后，將終端設(shè)備降級為普通域成員設(shè)備；第一發(fā)送單元142進(jìn)一步 用于向終端設(shè)備返回降級響應(yīng)消息。
如圖14e所示， 一個(gè)實(shí)施例中，圖14b所示的域管理器中，第一接收單元 143可以進(jìn)一步用于接收終端設(shè)備發(fā)送的離開域請求消息；此時(shí)，域管理器還 可以進(jìn)一步包括第一刪除單元147，用于在確定終端設(shè)備為域成員設(shè)備后， 在本地刪除終端設(shè)備的設(shè)備信息；第一發(fā)送單元142可以進(jìn)一步用于向終端設(shè) 備返回離開域響應(yīng)消息。
如圖14f所示， 一個(gè)實(shí)施例中，圖14b所示的域管理器中，第一接收單元 143進(jìn)一步用于接收許可服務(wù)器提供的終端設(shè)備獲取域許可的請求消息中的簽
名；此時(shí)，域管理器可以進(jìn)一步包括第一確定單元148,用于根據(jù)所述請求 消息的簽名，確定發(fā)送所述請求消息的終端設(shè)備。
第一發(fā)送單元142可以進(jìn)一步用于向許可服務(wù)器或域管理中心提供域成員 設(shè)備的撤銷信息。
基于同一發(fā)明構(gòu)思，本發(fā)明實(shí)施例還提供一種終端設(shè)備，其結(jié)構(gòu)如15a所 示，包括第二接收單元150，用于接收域管理器提供的簽名密鑰和許可服務(wù) 器提供的域許可；第二存儲(chǔ)單元151，用于存儲(chǔ)所述簽名密鑰和域許可；簽名 單元152,用于用所述簽名密鑰對獲取域許可的請求消息進(jìn)行簽名；第二發(fā)送 單元153,用于向許可服務(wù)器發(fā)送所述請求消息。
第二發(fā)送單元153可以進(jìn)一步用于向域管理器發(fā)送加入域請求消息，所述 加入域請求消息中包括加入域成為普通域成員設(shè)備或高級域成員設(shè)備的標(biāo)識(shí) 信息；此時(shí)，第二接收單元150可以進(jìn)一步用于接收域管理器返回的加入域響 應(yīng)消息，在成為高級域成員時(shí)接收所述簽名密鑰；第二存儲(chǔ)單元151可以進(jìn)一 步用于在接收到加入域響應(yīng)消息后，在本地存儲(chǔ)域相關(guān)信息。
第二發(fā)送單元153可以進(jìn)一步用于在成為普通域成員設(shè)備后，向域管理器 發(fā)送升級請求消息；此時(shí)第二接收單元150進(jìn)一步用于接收域管理器返回的升 級響應(yīng)消息及所述簽名密鑰。
如圖15b所示， 一個(gè)實(shí)施例中，圖15a所示的終端設(shè)備中，第二發(fā)送單元 153可以進(jìn)一步用于在成為高級域成員設(shè)備后，向域管理器發(fā)送降級請求消息； 此時(shí)，第二接收單元150進(jìn)一步用于接收域管理器返回的降級響應(yīng)消息；終端 設(shè)備可以進(jìn)一步包括第二刪除單元154，用于在本地刪除簽名密鑰。
第二發(fā)送單元153可以進(jìn)一步用于向域管理器發(fā)送離開域請求消息；此時(shí) 第二接收單元150可以進(jìn)一步用于接收域管理器返回的離開域響應(yīng)消息；第二 刪除單元154進(jìn)一步用于在向域管理器請求離開域之前或接收到離開域響應(yīng)消 息之后，在本地刪除域相關(guān)信息。
基于同一發(fā)明構(gòu)思，本發(fā)明實(shí)施例還提供一種許可服務(wù)器，其結(jié)構(gòu)如16
所示，包括第三接收單元160，用于接收域管理器提供的域公鑰和終端設(shè)備 發(fā)送的獲取域許可的請求消息，所述請求消息用域管理器提供的簽名密鑰進(jìn)行 簽名；驗(yàn)證單元161,用于用所述域公鑰對所述請求消息的簽名進(jìn)行驗(yàn)證；第 三發(fā)送單元162,用于在所述驗(yàn)證通過后，提供所述域許可。
第三發(fā)送單元162可以進(jìn)一步用于向域管理器提供所述請求消息的簽名。
第三接收單元160可以進(jìn)一步用于接收域管理器提供的域成員設(shè)備的撤銷 信息；此時(shí)，第三發(fā)送單元162進(jìn)一步用于在根據(jù)所述撤銷信息確定終端設(shè)備 已被撤銷時(shí)，向終端設(shè)備發(fā)送拒絕獲取域許可的響應(yīng)消息。
基于同一發(fā)明構(gòu)思，本發(fā)明實(shí)施例還提供一種數(shù)字版權(quán)管理系統(tǒng)，其結(jié)構(gòu) 如17a所示，包括域管理器170,用于提供簽名密鑰和域公鑰；終端設(shè)備171， 用于接收所述簽名密鑰，發(fā)送獲取域許可的請求消息，所述請求消息用所述簽 名密鑰進(jìn)行簽名；以及，接收域許可；許可服務(wù)器172,用于接收所述域公鑰 和所述請求消息，用所述域公鑰對所述請求消息的簽名進(jìn)行驗(yàn)證；在所述驗(yàn)證 通過后，提供所述域許可。
如圖17b所示，圖17a所示的數(shù)字版權(quán)管理系統(tǒng)可以進(jìn)一步包括域管理 中心173,用于接收域公鑰，并向許可服務(wù)器提供域公鑰。
本領(lǐng)域普通技術(shù)人員可以理解上述實(shí)施例方法中的全部或部分步驟是可 以通過程序來指令相關(guān)的硬件完成，該程序可以存儲(chǔ)于一計(jì)算機(jī)可讀存儲(chǔ)介質(zhì) 中，存儲(chǔ)介質(zhì)可以包括ROM、 RAM、磁盤或光盤等。
本發(fā)明實(shí)施例中，由于終端設(shè)備用域管理器向其提供的簽名密鑰，對向許 可服務(wù)器發(fā)送的獲取域許可的請求消息進(jìn)行簽名；而所述許可服務(wù)器在接收到 所述請求消息后，用所述域管理器向其提供的域公鑰對所述請求消息的簽名進(jìn) 行驗(yàn)證，因此在進(jìn)行驗(yàn)證時(shí)，許可服務(wù)器無法確定所述請求消息的實(shí)際發(fā)送設(shè) 備；許可服務(wù)器在所述驗(yàn)證通過后提供所述域許可，因此，終端設(shè)備無需泄露 設(shè)備身份即可從許可服務(wù)器獲取域許可，從而可以對終端設(shè)備所在域的域外設(shè) 備屏蔽域內(nèi)設(shè)備的組成情況，保護(hù)用戶的隱私。另外，許可服務(wù)器通過用域管
理器向其提供的域公鑰對所述請求消息的簽名進(jìn)行驗(yàn)證，可以在所述驗(yàn)證通過 后確定終端設(shè)備為域成員設(shè)備。
本發(fā)明實(shí)施例中，由于終端設(shè)備向位于本地的域管理器請求加入域、離開 域、進(jìn)行域成員升級或降級處理，因此可以保-〖正終端i殳備在加入域、離開域、 進(jìn)行域成員升級或降級時(shí)，網(wǎng)絡(luò)側(cè)設(shè)備(如許可服務(wù)器、域管理中心)無法獲 知域內(nèi)設(shè)備的組成情況，保護(hù)用戶的隱私。
明的精神和范圍。這樣，倘若對本發(fā)明的這些修改和變型屬于本發(fā)明權(quán)利要求 及其等同技術(shù)的范圍之內(nèi)，則本發(fā)明也意圖包含這些改動(dòng)和變型在內(nèi)。
權(quán)利要求
1、一種獲取域許可的方法，其特征在于，該方法包括終端設(shè)備向許可服務(wù)器發(fā)送獲取域許可的請求消息，所述請求消息用域管理器提供的簽名密鑰進(jìn)行簽名；所述許可服務(wù)器接收到所述請求消息后，用所述域管理器提供的域公鑰對所述請求消息的簽名進(jìn)行驗(yàn)證；所述許可服務(wù)器在所述驗(yàn)證通過后，提供所述域許可。
2、 如權(quán)利要求1所述的方法，其特征在于，所述簽名密鑰是指域管理器 在建立域時(shí)生成的私鑰；或，所述簽名密鑰是指域管理器為終端設(shè)備生成的私 鑰。
3、 如權(quán)利要求1所述的方法，其特征在于，域管理器在終端設(shè)備加入域 時(shí)向終端設(shè)備提供所述簽名密鑰。
4、 如權(quán)利要求3所述的方法，其特征在于，該方法進(jìn)一步包括 終端設(shè)備向域管理器請求加入域，或，域管理器觸發(fā)終端設(shè)備加入域； 域管理器根據(jù)用戶指示或終端設(shè)備發(fā)送的加入域請求消息中的標(biāo)識(shí)信息，將終端設(shè)備加入域成為普通域成員設(shè)備或高級域成員設(shè)備，并存儲(chǔ)終端設(shè)備的 設(shè)備信息；域管理器向終端設(shè)備返回加入域響應(yīng)消息，并在終端設(shè)備成為高級域成員 時(shí)將所述簽名密鑰提供給終端設(shè)備；終端設(shè)備接收到加入域響應(yīng)消息后，在本地存儲(chǔ)域相關(guān)信息。
5、 如權(quán)利要求3所述的方法，其特征在于，域管理器在終端設(shè)備加入域 時(shí)向終端設(shè)備提供獲取和/或使用域許可的限制條件。
6、 如權(quán)利要求5所述的方法，其特征在于，所述限制條件包括終端設(shè)備 獲取和/或使用域許可的時(shí)間段、次數(shù)、時(shí)長、在單位時(shí)長內(nèi)獲取和/或使用 域許可的次數(shù)、在單位時(shí)間內(nèi)獲取和/或使用域許可的時(shí)長、獲取和/或使用域 許可對應(yīng)數(shù)字內(nèi)容的等級其中之一或任意組合。
7、 如權(quán)利要求4所述的方法，其特征在于，該方法進(jìn)一步包括 所述終端設(shè)備成為普通域成員設(shè)備后，向域管理器請求升級為高級域成員設(shè)備，或，域管理器觸發(fā)已成為普通域成員設(shè)備的終端設(shè)備升級為高級域成員 設(shè)備；域管理器確定終端設(shè)備為普通域成員設(shè)備后，將終端設(shè)備升級為高級域成 員設(shè)備，并向終端設(shè)備返回升級響應(yīng)消息，將所述簽名密鑰提供給終端設(shè)備。
8、 如權(quán)利要求4或7所述的方法，其特征在于，該方法進(jìn)一步包括 所述終端設(shè)備成為高級域成員設(shè)備后，向域管理器請求降級為普通域成員設(shè)備，或，域管理器觸發(fā)已成為高級域成員設(shè)備的終端設(shè)備降級為普通域成員 設(shè)備；域管理器確定終端設(shè)備為高級域成員設(shè)備后，將終端設(shè)備降級為普通域成 員設(shè)備，向終端設(shè)備返回降級響應(yīng)消息； 終端設(shè)備在本地刪除簽名密鑰。
9、 如權(quán)利要求3所述的方法，其特征在于，該方法進(jìn)一步包括 終端設(shè)備向域管理器請求離開域，或，域管理器觸發(fā)終端設(shè)備離開域； 域管理器確定終端設(shè)備為域成員設(shè)備后，在本地刪除終端設(shè)備的設(shè)備信息，并向終端設(shè)備返回離開域響應(yīng)消息；終端設(shè)備在向域管理器請求離開域之前或接收到離開域響應(yīng)消息之后，在 本地刪除域相關(guān)信息。
10、 如權(quán)利要求l所述的方法，其特征在于，該方法進(jìn)一步包括所述域 管理器在建立域時(shí)生成域公鑰，并將域公鑰提供給所述許可服務(wù)器或域管理中 心；所述許可服務(wù)器接收到所述請求消息后，從本地或域管理中心獲取域公鑰。
11、 如權(quán)利要求l所述的方法，其特征在于，該方法進(jìn)一步包括 域管理器從許可服務(wù)器獲取所述請求消息的簽名；或者，許可服務(wù)器將所述請求消息的簽名發(fā)送給域管理器； 域管理器根據(jù)所述請求消息的簽名，確定發(fā)送所述請求消息的終端設(shè)備。
12、 如權(quán)利要求l所述的方法，其特征在于，該方法進(jìn)一步包括 域管理器向許可服務(wù)器或域管理中心提供域成員設(shè)備的撤銷信息；許可服務(wù)器接收到所述請求消息時(shí)，先從本地或域管理中心獲取所述撤銷信息，并在 根據(jù)所述撤銷信息確定終端設(shè)備已被撤銷時(shí)，拒絕終端設(shè)備獲取域許可的請 求。
13、 一種域管理器，其特征在于，包括 生成單元，用于建立域，并生成域^H月和簽名密鑰； 第一存儲(chǔ)單元，用于存儲(chǔ)所述域公鑰和簽名密鑰；第一發(fā)送單元，用于向終端設(shè)備提供簽名密鑰，向許可服務(wù)器或域管理中 心提供域公鑰。
14、 如權(quán)利要求13所述的域管理器，其特征在于，第一發(fā)送單元進(jìn)一步 用于在終端設(shè)備加入域時(shí)向終端設(shè)備提供所述簽名密鑰。
15、 如權(quán)利要求14所述的域管理器，其特征在于，還包括 第一接收單元，用于接收終端設(shè)備發(fā)送的加入域請求消息； 加入域單元，用于根據(jù)用戶指示或所述加入域請求消息中的標(biāo)識(shí)信息，將終端設(shè)備加入域成為普通域成員設(shè)備或高級域成員設(shè)備； 所述第一存儲(chǔ)單元進(jìn)一步用于存儲(chǔ)終端設(shè)備的設(shè)備信息； 所述第一發(fā)送單元進(jìn)一步用于向終端設(shè)備返回加入域響應(yīng)消息，并在終端設(shè)備成為高級域成員時(shí)將所述簽名密鑰提供給終端設(shè)備。
16、 如權(quán)利要求15所述的域管理器，其特征在于，所述第一接收單元進(jìn) 一步用于接收已成為普通域成員設(shè)備的終端設(shè)備發(fā)送的升級請求消息；所述域管理器進(jìn)一步包括升級單元，用于在確定所述終端設(shè)備為普通域成員設(shè)備后，將終端設(shè)備升 級為高級域成員設(shè)備；所述第一發(fā)送單元進(jìn)一步用于向終端設(shè)備返回升級響應(yīng)消息，將所述簽名 密鑰提供給終端設(shè)備。
17、 如權(quán)利要求15或16所述的域管理器，其特征在于，所述第一接收單 元進(jìn)一步用于接收已成為高級域成員設(shè)備的終端設(shè)備發(fā)送的降級請求消息；所述域管理器進(jìn)一步包括降級單元，用于在確定終端設(shè)備為高級域成員設(shè)備后，將終端設(shè)備降級為 普通域成員設(shè)備；所述第一發(fā)送單元進(jìn)一步用于向終端設(shè)備返回降級響應(yīng)消息。
18、 如權(quán)利要求14所述的域管理器，其特征在于，所述第一接收單元進(jìn) 一步用于接收終端設(shè)備發(fā)送的離開域請求消息；所述域管理器進(jìn)一步包括第一刪除單元，用于在確定終端設(shè)備為域成員設(shè)備后，在本地刪除終端設(shè) 備的設(shè)備信息；所述第 一發(fā)送單元進(jìn)一步用于向終端設(shè)備返回離開域響應(yīng)消息。
19、 如權(quán)利要求13所述的域管理器，其特征在于，所述第一接收單元進(jìn) 一步用于接收許可服務(wù)器提供的終端設(shè)備獲取域許可的請求消息中的簽名；所述域管理器進(jìn)一步包括第一確定單元，用于根據(jù)所述請求消息的簽名，確定發(fā)送所述請求消息的 終端設(shè)備。
20、 如權(quán)利要求13所述的域管理器，其特征在于，所述第一發(fā)送單元進(jìn) 一步用于向許可服務(wù)器或域管理中心提供域成員設(shè)備的撤銷信息。
21、 一種終端設(shè)備，其特征在于，包括第二接收單元，用于接收域管理器提供的簽名密鑰和許可服務(wù)器提供的域 許可；第二存儲(chǔ)單元，用于存儲(chǔ)所述簽名密鑰和域許可；簽名單元，用于用所述簽名密鑰對獲取域許可的請求消息進(jìn)行簽名；第二發(fā)送單元，用于向許可服務(wù)器發(fā)送所述請求消息。
22、 如權(quán)利要求21所述的終端設(shè)備，其特征在于，所述第二發(fā)送單元進(jìn) 一步用于向域管理器發(fā)送加入域請求消息，所述加入域請求消息中包括加入域 成為普通域成員設(shè)備或高級域成員設(shè)備的標(biāo)識(shí)信息；所述第二接收單元進(jìn)一步用于接收域管理器返回的加入域響應(yīng)消息，在成 為高級域成員時(shí)接收所述簽名密鑰；所述第二存儲(chǔ)單元進(jìn)一步用于在接收到加入域響應(yīng)消息后，在本地存儲(chǔ)域 相關(guān)信息。
23、 如權(quán)利要求22所述的終端設(shè)備，其特征在于，所述第二發(fā)送單元進(jìn)一步用于在成為普通域成員設(shè)備后，向域管理器發(fā)送升級請求消息；所述第二接收單元進(jìn)一步用于接收域管理器返回的升級響應(yīng)消息及所述簽名密鑰。
24、 如權(quán)利要求22或23所述的終端設(shè)備，其特征在于，所述第二發(fā)送單 元進(jìn)一步用于在成為高級域成員設(shè)備后，向域管理器發(fā)送降級請求消息；所述第二接收單元進(jìn)一步用于接收域管理器返回的降級響應(yīng)消息；所述終端設(shè)備進(jìn)一步包括第二刪除單元，用于在本地刪除簽名密鑰。
25、 如權(quán)利要求22所述的終端設(shè)備，其特征在于，所述第二發(fā)送單元進(jìn) 一步用于向域管理器發(fā)送離開域請求消息；所述第二接收單元進(jìn)一步用于接收域管理器返回的離開域響應(yīng)消息；所述第二刪除單元進(jìn)一步用于在向域管理器請求離開域之前或接收到離 開域響應(yīng)消息之后，在本地刪除域相關(guān)信息。
26、 一種許可服務(wù)器，其特征在于，包括第三接收單元，用于接收域管理器提供的域公鑰和終端設(shè)備發(fā)送的獲取域 許可的請求消息，所述請求消息用域管理器提供的簽名密鑰進(jìn)行簽名； 驗(yàn)證單元，用于用所述域公鑰對所述請求消息的簽名進(jìn)行驗(yàn)證； 第三發(fā)送單元，用于在所述驗(yàn)證通過后，提供所述域許可。
27、 如權(quán)利要求26所述的許可服務(wù)器，其特征在于，所述第三發(fā)送單元 進(jìn)一 步用于向域管理器提供所述請求消息的簽名。
28、 如權(quán)利要求26所述的許可服務(wù)器，其特征在于，所述第三接收單元 進(jìn)一步用于接收域管理器提供的域成員設(shè)備的撤銷信息；所述第三發(fā)送單元進(jìn)一步用于在根據(jù)所述撤銷信息確定終端設(shè)備已被撤 銷時(shí)，向終端設(shè)備發(fā)送拒絕獲取域許可的響應(yīng)消息。
29、 一種數(shù)字版權(quán)管理系統(tǒng)，其特征在于，包括 域管理器，用于提供簽名密鑰和域公鑰；終端設(shè)備，用于接收所述簽名密鑰，發(fā)送獲取域許可的請求消息，所述請 求消息用所述簽名密鑰進(jìn)行簽名；以及，接收域許可；許可服務(wù)器，用于接收所述域公鑰和所述請求消息，用所述域公鑰對所述 請求消息的簽名進(jìn)行驗(yàn)證；在所述驗(yàn)證通過后，提供所述域許可。
30、 如權(quán)利要求29所述的系統(tǒng)，其特征在于，所述系統(tǒng)還包括 域管理中心，用于接收所述域公鑰，并向許可服務(wù)器提供所述域公鑰。
全文摘要
本發(fā)明公開了一種獲取域許可的方法，該方法包括終端設(shè)備向許可服務(wù)器發(fā)送獲取域許可的請求消息，所述請求消息用域管理器提供的簽名密鑰進(jìn)行簽名；所述許可服務(wù)器接收到所述請求消息后，用所述域管理器提供的域公鑰對所述請求消息的簽名進(jìn)行驗(yàn)證；所述許可服務(wù)器在所述驗(yàn)證通過后，提供所述域許可。本發(fā)明同時(shí)公開一種域管理器、終端設(shè)備、許可服務(wù)器和數(shù)字版權(quán)管理系統(tǒng)。采用本發(fā)明可以對終端設(shè)備所在域的域外設(shè)備隱藏域內(nèi)設(shè)備的組成情況，保護(hù)用戶的隱私。
文檔編號H04L9/32GK101359988SQ20071014345
公開日2009年2月4日 申請日期2007年7月31日 優(yōu)先權(quán)日2007年7月31日
發(fā)明者代錦秀, 周皓雋, 沛 常, 龐遼軍, 胡予濮, 范科峰, 裴慶祺, 馬建峰, 高銘鼎 申請人:華為技術(shù)有限公司;西安電子科技大學(xué)