CN101140602B

CN101140602B - 通过再次授权生成权限对象的方法和设备

Info

Publication number: CN101140602B
Application number: CN2007100904951A
Authority: CN
Inventors: 姜甫暻; 李载元
Original assignee: Samsung Electronics Co Ltd
Current assignee: Samsung Electronics Co Ltd
Priority date: 2006-09-04
Filing date: 2007-04-12
Publication date: 2010-05-26
Anticipated expiration: 2027-04-12
Also published as: CN101140602A; US8220059B2; KR100823279B1; US20080060053A1; KR20080021423A

Abstract

提供一种用于通过再次授权生成权限对象的方法和设备。所述方法包括：第二装置与从权限发行方(RI)接收第一授权信息的第一装置相互认证；从第一装置接收第一权限对象；从第一装置接收第二授权信息；基于第二授权信息生成第三授权信息；使用第二授权信息将第一RO改为第二RO；和将第三授权信息和第二RO发送到未授权装置。

Description

通过再次授权生成权限对象的方法和设备

本申请要求于2006年9月4日在韩国知识产权局提交的第10-2006-0084827号韩国专利申请的优先权，该公开完全包含于此，以资参考。

技术领域

与本发明一致的设备和方法涉及利用数字权限管理(DRM)的内容使用，更具体地说，涉及通过再次授权生成权限对象(RO)。

背景技术

在现有技术的DRM系统中，内容提供方或者权限发行方加密并随后发送内容，以便控制对内容的使用。此外，包括相应内容的使用规则的RO被发行，以便保护作者的权益。因此，DRM装置被设计为强制地遵循包括在RO中的使用规则。

图1是示出现有技术内容的RO的生成和分发。域中的装置D1、D2、D3和D4的每一个都经过相应服务提供方的注册处理，以便注册为域中的成员。因此，装置D1、D2、D3和D4可与其他装置共享内容和RO。这里，一个代表装置D1可通过发送内容和RO与其余装置D2、D3和D4共享内容。随后，其余装置D2、D3和D4依靠使用服务提供方的信息接收的内容和RO，并使用接收的内容和RO。

如图1中所示，执行一种通过使用域共享内容的权限信息(即，RO)的方法。

首先，四个装置被包括在一个域中，并且在基于服务器的域技术中，内容服务器包括：用于生成加密的内容的路由证书和服务提供方证书、用于使用加密的内容的加密密钥和包括使用规则的RO。路由证书是用于检查授权系统的来自证书发行方的证书。服务提供方证书是表示服务提供方的公钥被证书发行方授权的证书。

参照图1，在操作S1，在RI中注册装置D1、D2和D3，并且所述装置D1、D2和D3加入域。装置D1在操作S2从RI获得内容和RO，并且在操作S3将获得的内容和RO发送到装置D2和D3。同时，即使当装置D1在操作S4将内容和RO发送到装置D4时，由于装置D4还没有在RI中注册，所以需要在RI中注册和加入域的处理。

现在将详细描述生成加密的内容的RO的处理。服务提供方使用内容打包处理来生成加密的内容和RO。RO包括用于加密内容的内容加密密钥(CEK)和使用规则。在生成RO的同时，使用请求内容的装置D1的密钥对诸如CEK等的重要信息加密。因此，可仅通过使用装置D1自身的密钥来获得用于解密内容的密钥，因此，仅有装置D1可使用该内容。

此外，由私钥签署RO，装置D1使用由装置D1自身所有的路由证书来确认RI的签名。如果RI的签名不正确，则装置D1不能使用相应的RO。

现在将描述使用生成的内容和RO的处理。为了接收内容和RO的装置使用相应的内容，所述装置应当在接收到的RO上检查RI的签名，解密所述RO的权限加密密钥(REK)，并使用REK解密CEK。随后，使用CEK对内容解密，以便根据RO所有的使用规则来使用内容。

如上所述，在基于服务器的再次分发中，为了再次分发应当由RI再次发行RO。

因此，当使用本地域管理器再次分发内容时，可发生以下问题。首先，当本地域管理器将包括在发行给其自身的RO中的密钥改变为域密钥以便与域中的其他装置共享该密钥时，服务提供方的签名不再有效。结果，服务提供方失去了控制由本地域管理器改变的内容的授权，因此，可分发未授权的内容。

其次，服务提供方不能确定由本地域管理器任意构成的域，因此不能确定在哪个域中使用内容、哪些装置使用内容、在何种约束条件下使用内容等。

再次，所述域中的装置(包括渲染装置)应当知道本地域管理器的公钥以便使用接收到的内容和RO，并且应当每次都验证本地域管理器的证书的有效性。也就是说，当本地域管理器被攻击时，可发生无限制地再次分发。

此外，在开放移动联盟(OMA)DRM环境中，每个装置从RI接收用RI的密钥签署的RO，以便能够使用内容。因此，每个装置可使用RI自身所有的密钥来授权接收的RO。即，所有装置应当具有RI的密钥。

发明内容

本发明示例性实施例克服上述缺点和以上没有描述的缺点。此外，本发明不需要克服上述缺点，并且本发明的示例性实施例可以不克服上述任何问题。

本发明的一方面提供了一种用于通过使用邻近终端或者本地服务器获得用户请求的内容的移动终端。

根据本发明的一方面，提供了一种通过再次授权生成RO的方法，所述方法包括：第一装置与从RI接收第一授权信息的代表装置相互认证；从代表装置接收第一RO；从代表装置接收第二授权信息；基于第二授权信息生成第三授权信息；使用第二授权信息将第一RO改为第二RO；和将第三授权信息和第二RO发送到未授权装置。

所述方法可还包括：第一装置与RI相互认证；从RI接收第三RO；从RI接收第一授权信息；和使用第一授权信息将第三RO改为第一RO。

代表装置可被包括在与RI和第一装置相同的域中。未授权装置可以不包括在与第一装置相同的域中。

所述方法可还包括将可被用作第二RO的内容发送到未授权装置。

根据本发明的另一方面，提供一种通过再次授权生成RO的设备，所述设备包括：控制单元，与从RI接收第一授权信息的代表装置相互认证，并管理从代表装置接收的第一RO；再次授权存储单元，存储基于从代表装置接收的第二授权信息生成第三授权信息；权限对象生成单元，使用第二授权信息将第一RO改为第二RO；和收发器，将第三授权信息和第二RO发送到未授权装置。

根据本发明的另一方面，提供了一种通过再次授权生成RO的设备，所述设备包括：控制单元，与RI相互认证并管理从RI接收的第一RO；再次授权存储单元，存储基于从RI接收的第一授权信息生成第二授权信息；权限对象生成单元，使用第一授权信息将第一RO改为第二RO；和发送机将第二授权信息和第二RO发送到第一装置，其中，第一装置包括在与所述设备相同的域中。

附图说明

通过以下参照附图对本发明示例性实施例的详细描述，本发明的以上和其他方面将变得更加清楚，其中：

图1是示出现有技术内容的RO的生成和分发的示图；

图2是示出根据本发明示例性实施例的生成临时RO的处理的流程图；

图3是示出根据本发明示例性实施例的RO的生成的示图；

图4是示出根据本发明示例性实施例的代表装置的框图；

图5是示出根据本发明示例性实施例的代理权证书的示图；

图6是示出根据本发明示例性实施例的第一装置的示图；

图7是示出根据本发明示例性实施例的在第一装置中生成的临时RO的示图；

图8是示出根据本发明示例性实施例的注册装置和生成临时RO的处理的流程图；和

图9是示出根据本发明另一示例性实施例的RO的生成的示图。

具体实施方式

以下，将参照示出本发明示例性实施例的附图更加全面地描述本发明。在附图中，相同的标号指示相同的组件。

图2是示出根据本发明示例性实施例的生成临时RO的处理的流程图。

在当前示例性实施例中，RI 100被包括在与代表装置200和第一装置300相同的域中，第二装置400是外部装置，不包括在相同的域中。

通过使用图2所示的当前示例性实施例，拥有获得的预定内容和请求执行预定内容的RO的特定用户将权限对象再现为替代RO，从而其他装置可使用该RO。为了防止未授权地再现替代RO，RI 100可仅准许被授予授权信息的装置生成第二RO。因此，方便使用预定的内容，并且可保护预定的内容。

首先，在操作S10，RI 100和代表装置200相互认证。随后，在执行认证之后，RI 100在操作S20生成授权信息，并在操作S30将生成的授权信息发送到代表装置200。这里，所述授权信息是用于在生成RO时检验RI 100的许可(consent)的信息。

在操作S40，代表装置200在接收授权信息的同时使用授权信息生成第二RO，并且在操作S50将生成的第二RO发送到第一装置300。代表装置200在操作S60还生成用于再次授权第一装置300生成RO的再次授权信息，并在操作S70将生成的再次授权信息发送到第一装置300。

在操作S80，第一装置300在认证之后使用接收的第二RO，并在操作S90使用接收的再次授权信息生成临时RO。随后，在操作S100中第一装置300将生成的临时RO发送到第二装置400。因此，在操作S110，第二装置400在认证之后使用接收的临时RO。

代表装置200不仅将第二RO发送到第一装置300，还将可生成和发送临时RO的再次授权信息发送到第二装置400，即，外部装置。因此，第二装置400从第一装置300接收临时RO，而不是直接从代表装置200接收临时RO。

图3是示出根据本发明示例性实施例的RO的生成的示图。如图3所示，RI 100授权代表装置200生成第二RO，并且内容提供方150将内容发送到代表装置200。

代表装置200再次授权包括在相同主域(home domain)中的第一装置300，以便在向第一装置300发送内容的同时生成临时RO。第一装置300生成临时RO，并将临时RO发送到没有包括在所述主域中的第二装置400。换句话说，在从代表装置200接收内容和再次授权的同时，第一装置300被用户移动到所述主域之外的域，因此，用户通过第一装置300将所述内容发送到第二装置400，并使用再次授权信息再次签名于所述内容的临时RO。即，通过使用第一装置300所有的再次授权信息再次生成临时RO，并将其发送到第二装置400。

图4是示出根据本发明示例性实施例的代表装置200的框图。如图4所示，代表装置200包括：控制单元210、授权存储单元220、RO生成单元230、编码器/解码器240、再次授权生成单元250和收发器260。控制单元210对RI 100执行认证，并管理从RI 100接收的RO。

如图5所示，授权存储单元220存储从RI 100接收的代理权证书222。即，代表装置200生成成对的与其现有公钥和私钥不同的新的代理权公钥e和N以及私钥d和N，并将从RI 100获得的代理权证书222存储在授权存储单元220中。

图5是示出根据本发明示例性实施例的代理权证书222的示图。如图5所示，代理权证书222包括：关于显示RI的发行方的信息、关于RO的序列号、关于RO的主体(subject)和密钥使用。

代理权证书222还包括：显示关于对内容的下载时间、下载次数等的限制的政策、显示关于再次授权次数的限制的长度约束条件和用于生成RO的代理权公钥e和N。当可被再次授权的链(chain)的长度约束条件的值为3时，代表装置200可再次授权以链的形式连接的两个装置。即，代表装置200再次授权第一装置300生成RO，并且第一装置300再次授权第二装置400再次生成RO。

RO生成单元230使用从RI 100接收的授权信息将RO改为新签署的第二RO，从而其他装置可使用该RO并存储第二RO。

编码器/解码器240向RO生成单元230提供加密RO的功能。

当RI 100再次授权代表装置200时，再次授权生成单元250在给定授权的范围内生成用于生成临时RO的授权，并将该授权发送到第一装置300。因此，代表装置200生成从其自身代理权私钥得来的再次授权密钥v，并将该再次授权密钥v发送到第一装置300。即，代表装置200使用关于再次授权的担保w生成以下再次授权密钥v。

v＝h(w，SN_第一装置)^-d mod N [等式1]

此外，代表装置200使用收发器260将生成的再次授权密钥v、担保w和代理权证书222发送到第一装置300。

收发器260与RI 100交换信息或者将第二RO发送到第一装置300。

图6是示出根据本发明示例性实施例的第一装置300的示图。如图6所示，第一装置300包括：控制单元310、再次授权存储单元320、临时RO生成单元330、编码器/解码器340和收发器360。

控制单元310对代表装置200执行认证，并且管理从代表装置200接收的第二RO。

即，如下所示，通过对从代表装置200接收的代理权证书222进行验证来检查代表装置200的公钥e和N的有效性，并且如下来检验再次授权密钥v的有效性。

v^eh(w，SN_第一装置)＝1mod N [等式2]

当确定再次授权密钥有效时，再次授权存储单元320存储接收的再次授权密钥v和担保w。

临时RO生成单元330使用从代表装置200接收的授权信息生成新签署的临时RO，从而其他装置可使用RO。这里，所述临时RO是被发送到主域以外的装置并且具有与第二RO相比的小授权范围的RO。

即，第一装置300通过临时RO生成单元330生成临时RO，以与作为不包括在主域之内的外部装置的第二装置400共享内容。

编码器/解码器340向临时RO生成单元330提供加密RO的功能。

收发器350与代表装置200交换信息，或者将临时RO发送到未授权装置(在当前示例性实施例中的第二装置400)。

图7是示出根据本发明示例性实施例的在第一装置300中生成的临时RO的示图。

如图7所示，临时RO是由临时权限信息Temp_Right和再次授权代理权签名Sign形成的。

临时权限信息Temp_Right是表示使用内容的许可和约束条件的许可证信息，包括：内容标识符(ID)、RO发行方的序列号、内容加密密钥(CEK)和使用许可/约束条件。

再次授权代理权签名Sign是关于从属装置的再次授权的签名，所述签名签署作为授权信息的临时权限信息Temp_Right。

首先，如图7所示，使用第一装置300中生成的RO第一装置300的私钥签署，并且将该RO发送到第二装置400。

当接收RO的同时，第二装置400使用其自身公钥授权并使用该RO。

此时，第一装置300准备用于表示临时使用许可的临时权限信息Temp_Right，并使用从代表装置200发送并被存储在再次授权存储单元320中的再次授权密钥签署临时权限信息Temp_Right。这里，具体算法是计算k＝h(Temp_Right，r)，y＝tv^k modN，其中，

r＝t^emodN。

此时，可添加接收临时RO的未授权装置(当前示例性实施例中的第二装置400)的ID。

图8是示出根据本发明示例性实施例的注册装置和生成临时RO的处理的流程图。

首先，在操作S210，RI 100生成授权信息。授权信息稍后被发送到代表装置200，从而代表装置200可生成第二RO。为了生成授权信息，执行生成随机数以及计算签字密钥的处理。在生成授权信息之后，在操作S220，代表装置200被认证。代表装置200是可以将第二RO发送到另一装置的装置。可通过使用代表装置200的ID信息来认证该代表装置200。

在代表装置200的认证之后，在操作S230，RI 100将RO发送到代表装置200。发送的RO可以是要求使用已经存储在代表装置200中的内容所需的RO，或者可以是要求使用从内容提供方150直接发送的内容所需的RO。

在操作S230中从RI 100被发送到代表装置200的RO的示例可包括以下内容：

content ID||E(REK，CEK)||E(Device_prv key，REK)||Rights||Sign(RI)||Sign(RI，(R||K))

这里，content ID是内容标识符，REK是RO加密密钥，CEK是内容加密密钥。Device_prv key是代表装置200的私钥，并且所述REK使用所述私钥被加密。此外，Rights是RO，Sign(RI)是签名，以及Sign(RI，(R||K))是签名的验证值。

如上所述，第二RO在使用在认证期间生成的私钥或者预定的私钥被加密之后被发送。

在操作S240，RI 100将授权信息发送到代表装置200。如上所述，授权信息包括请求生成新RO的签名信息。在接收到RO和授权信息时，代表装置200在操作S250生成第二RO。使用授权信息中的密钥信息来生成第二RO。此时，关于授权签名密钥的使用规则信息被一起提供。

在使用上述相同处理生成再次授权信息之后，第一装置300在操作S260被认证。此外，在操作S270，生成的第二RO被发送到第一装置300。第一装置300可通过利用第二RO来使用内容。

这里，在使用授权签名签署第二RO之后将第二RO发送到第一装置300的示例包括以下内容：

content ID||E(REK，CEK)||E(Device 1_prv key，REK)||Rights||授权签名||授权签名验证值(R，K)||Re-provider ID

Device 1_prv key是第一装置300的私钥，并且第一装置300通过授权签名来接收第二RO。在操作S210，使用在操作S240发送的授权签名信息生成授权签名和授权签名验证值。

在操作S270之后，第一装置300在接收到第二RO的同时使用RI 100的公钥确定授权签名的有效性。

当代表装置200再次将获得的RO提供给第一装置300时，需要包括在被再次提供的第二RO中的授权签名信息和签署的验证值信息。因此，代表装置200仅再次提供由RI 100允许的信息。

在操作S280，代表装置200将再次授权信息发送到第一装置300。如上所述，再次授权信息包括生成新RO所需的签名信息。在操作S290，在接收RO和再次授权信息的同时，第一装置300生成临时RO。使用再次授权信息中的密钥信息生成所述临时RO。此时，关于再次授权签名密钥的使用规则信息被一起提供。

然后，在操作S300，生成的临时RO被发送到作为外部装置的第二装置400。因此，第二装置400可通过利用临时RO来使用内容。

在操作S300中通过使用授权签名签署临时RO之后发送临时RO的示例包括以下内容：

content ID||E(REK，CEK)||E(Device 2_prv key，REK)||Rights||再次授权签名||再次授权签名验证值(R，K)||Re-provider ID

Device 2_prv key是第二装置400的私钥，第二装置400通过再次授权签名e接收临时RO。使用发送的再次授权信息形成再次授权签名和再次授权签名验证值。

在操作S300之后，第二装置400在接收临时RO的同时使用第一装置300的公钥确定授权签名的有效性。

当第一装置300再次将获得的RO提供给第二装置400时，需要包括在将被再次提供的临时RO中的再次授权签名信息和签署的验证值信息。因此，第一装置300可仅再次提供由代表装置200允许的信息。

根据本发明示例性实施例，用户购买的内容可在不侵害内容提供方150的权力并且在不干涉RI 100和代表装置200的情况下被自由地在各个装置间发送。

即，代表装置200从内容提供方150接收内容，并从RI 100接收关于内容的RO。

此外，当包括在相同域中的第一装置300请求发送内容时，代表装置200将所述内容发送到第一装置300，并且同时发送再次授权信息。

即，当不包括在相同域中的第二装置400为了使用内容而请求第一装置300所有的RO时，第一装置300执行准许第二装置400使用所述RO的操作。

因此，代表装置200从RI 100接收授权信息。所述授权信息包括准许代表装置200代为直接签署内容的信息。代表装置200使用代表装置200的授权信息签署使用RI 100的密钥签署的RO，并生成第二RO。在接收到新生成的第二RO的同时第一装置300还从代表装置200接收再次授权信息。第一装置300使用再次授权信息准备临时RO并生成签名。此外，第一装置300将临时RO发送到作为外部装置的第二装置400。

此时，因为第二装置400不经过直接从RI 100或者代表装置200接收密钥以使用临时RO的处理，可减少通过认证引起的开销。

图9是示出根据本发明另一示例性实施例的RO的生成的示图。权限发行方100和代表装置200相互执行认证。在认证之后，代表装置200从RI 100接收RO和授权信息。随后，包括在与代表装置200相同的域中的第一装置300借助与代表装置200的认证从代表装置200接收第二RO，并且接收再次授权信息。相似地，包括在与第一装置300相同的域中的第二装置400借助与第一装置300的认证从第一装置300接收第三RO，并且接收再次授权信息。此后，不包括在与第二装置400相同的域中的第三装置500借助与第二装置400的认证从第二装置400接收临时RO，并且接收再次授权信息。

如图9所示，不包括在相同域中的第三装置500没有直接从代表装置200接收临时RO，而可以从借助代表装置200和第一装置300接收再次授权信息的第二装置400接收临时RO。

因此，RI 100的许可可以在RI 100和代表装置200之间没有交互的情况下被确认，因此，可在不损害内容提供方150的利益的情况下使用内容。

此时，包括在与第二装置400相同的域中的装置(未示出)可以以链的形式被连接在第二装置400和第三装置500之间，以便将RO从RI 100发送到第三装置500。

根据本发明示例性实施例的通过再次授权生成RO的方法可被写为计算机程序。本领域所属普通编程人员可容易地创建实现本发明示例性实施例的代码和代码段。所述计算机程序被存储在计算机可读介质中，并且所述通过再次授权生成RO的方法可通过读取和执行计算机中的计算机可读介质被实施。计算机可读介质的示例包括：磁记录介质、光学记录介质和载波介质。

根据本发明示例性实施例，在以链的形式连接的装置之间通过给RI再次授权权限以产生RO，可与不被包括在与权限发行方相同的域中的装置共享内容。因此，可在没有RI或者代表装置的干预的情况下共享内容，并且可在不损害内容提供方利益的情况下使用内容。

尽管已经参照本发明示例性实施例详细地示出和描述了本发明，但是本领域技术人员应当理解在不脱离由权利要求限定的本发明的精神和范围的情况下，可在形式和细节上做出各种改变。

Claims

1.一种通过再次授权生成权限对象的方法，所述方法包括：

权限发行方和代表装置相互认证；

代表装置从权限发行方接收第三权限对象；

代表装置从权限发行方接收第一授权信息；

代表装置使用第一授权信息将第三权限对象改为第一权限对象；

代表装置产生第二授权信息；

第一装置被认证；

第一装置从代表装置接收第一权限对象；

第一装置从代表装置接收第二授权信息；

第一装置使用第二授权信息将所述第一权限对象改为第二权限对象；和

第一装置将第二权限对象发送到未授权装置。

2.如权利要求1所述的方法，其中，代表装置、权限发行方和第一装置在一个域中。

3.如权利要求2所述的方法，其中，未授权装置不在所述域中。

4.如权利要求1所述的方法，还包括：将可被第二权限对象使用的内容发送到未授权装置。

5.如权利要求1所述的方法，其中，第二授权信息包括生成第二权限对象所需的信息。

6.如权利要求1所述的方法，其中，第二授权信息包括未授权装置的标识符。

7.如权利要求1所述的方法，其中，代表装置基于第一授权信息生成第二授权信息。

8.一种通过再次授权生成权限对象的设备，所述设备包括：

控制单元，与代表装置相互认证并管理从代表装置接收的第一权限对象，所述代表装置从权限发行方接收第一授权信息；

再次授权存储单元，存储从代表装置接收的第二授权信息；

权限对象生成单元，使用第二授权信息将第一权限对象改为第二权限对象；和

收发器，将第二权限对象发送到未授权装置。

9.如权利要求8所述的设备，其中，代表装置通过权限发行方的认证从权限发行方接收第三权限对象和第一授权信息，并且使用第一授权信息将接收的第三权限对象改为第一权限对象。

10.如权利要求9所述的设备，其中，代表装置、权限发行方和所述设备在一个域中。

11.如权利要求10所述的设备，其中，未授权装置不在所述域中。

12.如权利要求9所述的设备，其中，第二授权信息包括生成第二权限对象所需的信息。

13.如权利要求9所述的设备，其中，第二授权信息包括未授权装置的标识符。

14.一种通过再次授权生成权限对象的设备，所述设备包括：

控制单元，与权限发行方相互认证，并管理从权限发行方接收的第一权限对象；

授权存储单元，存储从权限发行方接收的第一授权信息；

再次授权产生单元，产生用于生成给定的授权范围内的临时权限对象的第二授权信息；

权限对象生成单元，使用第一授权信息将第一权限对象改为第二权限对象；和

收发器，将第二授权信息和第二权限对象发送到第一装置，

其中，第一装置和所述设备在一个域内。

15.如权利要求14所述的设备，其中，第一装置接收第二权限对象和第二授权信息，使用第二授权信息将第二权限对象改变为临时权限对象，并将临时权限对象发送到不在所述域中的第二装置。