权限服务器和权限发布方法 【技术领域】
本发明涉及一种权限服务器和权限发布方法。特别涉及一种用于支持安全地实现向他人赠送有关数字内容的使用权限的系统和方法。
技术背景
随着数字技术的发展，对数字内容(Digital Contents)的版权保护技术得到了很大的发展。其中之一就是人们熟知的数字版权管理(DigitalRights Management，DRM)技术。
数字版权管理技术的一种实现方式是：将数字内容进行加密，然后向用户提供加密后的数字内容，用户通过其它途径购得包含解密该数字内容所必需的使用权限，利用该使用权限解密该加密数字内容进行正常播放。
数字内容不仅具有个人观赏和收藏的价值，同时也具有馈赠的价值。
众所周知，对于实物馈赠，赠送方需要直接将馈赠物赠送给被赠送方。但对于数字内容，赠送方完全不必将馈赠物本身赠送给被赠送方，而仅仅将用来解密受版权保护的数字内容的使用权限赠送给被赠送方即可，版权保护数字内容本身完全可以由被赠送方自行获得。
申请号为[200610078266.3]的专利申请中介绍了一种实现使用权限馈赠的方法。其具体实现方式是：赠送方向权限服务器发送数字内容使用权限赠送信息；权限服务器根据所述使用权限赠送消息获取赠送方欲赠送的使用权限，以此生成权限对象获取协议触发器(中间权限)发送给被赠送方；被赠送方利用该权限对象获取协议触发器从权限服务器中获取权限对象，按照该权限对象中规定的使用权限使用所述数字内容。
根据该专利申请中提出的技术，能够非常方便地实现赠送方将自已拥有的使用权限转赠与被赠送方。但其有一定的安全隐患。由于只要通过中间权限即能够得到最终的使用权限，进而能够解密数字内容，因此，如果发生操作错误或中间权限被盗遗失等问题，将导致数字内容的直接遗失。
为此，需要一种能够保证安全地将使用权限传递给正确的被赠送方的方法。
【发明内容】
本发明要解决的技术问题是提供一种能够保证安全地将使用权限由赠送方传递给被赠送方的系统和方法，使得在能够便捷地实现使用权限的赠送操作的同时，还能保证赠送过程的安全性，使得使用权限能够安全地被送达到正确的被赠送方。
本发明提供一种权限服务器，用于向赠送方指定的被赠送方发送赠送的权限信息，其包括接收单元，用于接收赠送方发出的赠送请求，其特征在于，还包括：关键字生成单元，响应所述赠送请求生成关键字；权限加密单元，使用所述关键字对所述赠送的权限信息进行加密，生成加密权限信息；以及权限对象发送单元，发送包括所述加密权限信息和用于获得所述关键字的信息的权限对象。。
按照本发明，被赠送者仅通过与服务器进行一次通信就能够获得被赠送的权限信息，从而减少了与服务器之间通信的次数。
本发明的权限服务器，优选的是，还包括权限对象合成单元，将所述加密权限信息和所述用于获得所述关键字的信息以及所述权限信息的加密算法合成为一个权限对象，交由所述权限对象发送单元发送。
按照本发明，能够减小服务器发送的数据量。
在一种优选实施方案中，权限服务器通过请求接收单元接收到赠送方提出的赠送使用权限请求，包括：被赠送方定位信息(如邮件地址)，对被赠送方进行身份认证的方法，以及使用权限索引信息。权限服务器通过权限生成单元生成赠送权限信息，并且根据赠送方指定的身份认证方法，由关键字生成单元生成相应的加密关键字对该权限信息进行加密，并且通过权限对象合成单元将加密后的权限信息、身份认证方法标识、身份认证所需要的相应数据及加密算法标识等相关数据合成为一个独立的权限对象，然后通过权限对象发送单元发送给被赠送方终端设备。
本发明提供一种权限发布方法，用于向赠送方指定的被赠送方发送赠送权限信息，其包括接收处理，用于接收赠送方发出的赠送请求，其特征在于，还包括：关键字生成处理，响应所述赠送请求生成关键字；权限加密处理，使用所述关键字对所述赠送的权限信息进行加密，生成加密权限信息；以及权限对象发送处理，发送包括所述加密权限信息和用于获得所述关键字的信息的权限对象。
本发明的权限发布方法，优选的是，还包括权限对象合成处理，将所述加密权限信息和所述用于获得所述关键字的信息以及所述权限信息的加密算法合成为一个权限对象，交由所述权限对象发送处理发送。
在一种优选实施方案中，赠送方在向权限服务器申请向被赠送方赠送使用权限的同时，提出数个需要被赠送方回答的问题，以及其答案。权限服务器在接收到上述请求信息后，生成相应的权限信息，同时使用赠送方提供的答案获得加密该权限信息的加密关键字，使用该加密关键字对权限信息进行加密。然后将加密权限信息与赠送方提供的数个问题进行捆绑后形成一个权限对象，将该权限对象发放给被赠送方。被赠送方在收到权限对象后，通过回答该问题，获得答案，从而获得解密关键字加密权限信息进行解密后获得最终的权限信息。
在另一种优选实施方案中，赠送方在向权限服务器申请向被赠送方赠送使用权限的同时，提出需要验证被赠送方的数字身份证书。权限服务器在接收到上述请求后，生成相应的权限信息，并且从认证中心取得被赠送方的数字证书，根据该数字证书生成加密和解密该权限信息的关键字。然后，使用加密关键字对使用权限进行加密后发放给被赠送方。被赠送方在收到该权限信息后，根据自己的数字证书生成解密关键字，并使用该关键字对加密的权限信息进行解密，从而获得最终的权限信息。
在另一种优选实施方案中，赠送方在向权限服务器申请向被赠送方赠送使用权限的同时，提出需要通过验证码的验证才能够完成赠送过程。权限服务器在收到上述请求后，生成相应的权限信息，并且随机生成一个验证码，并且将该验证码发送给赠送方，有赠送方通过其他渠道传送给被赠送方。同时，根据该验证码生成加密该权限信息的关键字，对权限信息进行加密发送给被赠送方。被赠送方在收到该权限信息后，使用通过其它渠道已经获得的验证码生成解密关键字，对加密权限信息进行解密，从而获得最终的权限信息。
并且，对于权限信息的加密过程，可以根据赠送方决定赠送的权限种类的不同，如赠送一定期间的使用权限、一定次数的使用权限或者指定录制/保存/拷贝等操作可否的使用权限等，决定加密权限信息的全部或者相应的一部分。
由上述技术方案可以看出，本发明中的赠送过程，并不是将中间权限在没有保护的情况下直接发送给被赠送方，而是将最终的权限信息进行加密后发送给被赠送方，被赠送方在接收到该加密权限信息后，需要按照赠送方设置的验证方法对其身份进行验证并且通过后才可以对加密权限信息进行解密，从而获得最终的权限信息。这样就能够避免由于操作错误、权限遗失或者权限被盗时蒙受不必要的损失，同时，也由于最终的权限信息是被加密后直接发送到被赠送方，因此避免了再次对权限服务器的访问，从而减少了对服务器的压力。
【附图说明】
图1是本发明的系统构成图。
图2是本发明的处理流程图。
图3是实施例1中赠送方提交的赠送信息。
图4是实施例1中的权限对象内容。
图5是实施例2中赠送方提交的赠送信息。
图6是实施例2中的权限对象内容。
图7是实施例3中赠送方提交的赠送信息。
图8是实施例3中的权限对象内容。
图9是权限种类说明。
【具体实施方式】
下面参考附图，详细说明本发明的具体实施方式。
图1是本发明的系统构成图。其中：
101为请求接收单元，用来在权限服务器中接收赠送方数字终端设备发送来的权限赠送信息；
102为关键字生成单元，用来根据赠送方提供的数据生成加密权限信息所必需的关键字，或者随机生成加密权限信息所必需的关键字；
103为权限生成单元，用来生成使用版权保护数字内容的最终权限信息；
104为权限加密单元，使用关键字生成单元(102)生成的关键字对权限生成单元(103)生成的权限信息进行加密；
105为权限对象合成单元，用来将加密权限信息与其它需要传送给被赠送方的信息(如：身份认证方法、身份认证所需要的数据及采用的加密算法等信息)合成为权限对象；
106为权限对象发送单元，通过网络将权限对象发送给被赠送方；也可以被用来向赠送方发送必要的信息；
图2是本发明处理流程图。其中：
201为赠送信息接收处理，权限服务器中完成接收赠送信息的处理过程；
202为关键字生成处理，实现生成关键字的处理过程；
203为权限查询生成处理，实现权限信息的查询或者生成处理；
204为权限加密处理，实现对权限信息的加密处理；
205为权限对象合成处理，实现将加密权限信息及其他需要传递给被赠送方的信息合成为一个权限对象的处理；
206为权限对象发送处理，实现将权限对象传递给被赠送方；
图3是在实施例1中赠送方提交给权限服务器的赠送信息。其中：
301为被赠送方姓名，作为标识被赠送方的参数之一；
302为被赠送方的邮件地址，作为标识被赠送方的参数之一，同时也作为权限服务器发送权限对象的目的地址；
303为赠送方ID，用来确认赠送方的身份及作为在权限服务器上查找相应权限的参数；
304为赠送方身份证书，也是用来确认赠送方的身份及作为在权限服务器上查找相应权限的参数；
305为权限购买信息，作为在权限服务器上生成相应权限的参数；
306为权限ID，代表一个实际的使用权限本身；
307为身份认证方法，由赠送方指定，作为对被赠送方进行身份认证的方法标识；
308为赠送方设置的第一个问题，用来对被赠送方进行身份确认；
309为赠送方设置的第一个问题的答案，该答案作为生成加密关键字的参数之一；
310为赠送方设置的第二个问题，用来对被赠送方进行身份确认；
311为赠送方设置的第二个问题的答案，该答案作为生成加密关键字的参数之一；
312为赠送方设置的第三个问题，用来对被赠送方进行身份确认；
313为赠送方设置的第三个问题的答案，该答案作为生成加密关键字的参数之一；
图4是实施例1中的权限对象内容。其中：
401为加密权限，用来承载实际的加密权限信息；
402为身份认证方法，用来指定对被赠送方进行身份认证的方法，与赠送方在赠送信息中指定的身份认证方法(307)一致；
403-405为问题一至问题三，与赠送方设置的三个问题(308、310、312)一致；
406为加密方法，用来标示对权限信息实施加密时所采用的方法，本例中采用AES方法进行加密，但其他所有加密方法都可以被采用；
图5是在实施例2中赠送方提交给权限服务器的赠送信息。其中：
501-502与301-302相同；
503-506与303-306相同
507与307相同。
图6是实施例2中的权限对象内容。其中：
601-602与401-402相同；
603与406相同
图7是在实施例3中赠送方提交给权限服务器的赠送信息。其中：
701-707与501-507相同。
图8是实施例3中的权限对象内容。其中：
801-803与601-603相同。
图9是权限种类说明。其中：
901为基于次数的权限。当该项被指定时，被赠送方能够播放的次数不超过指定的次数；
902为基于时长的权限。当该项被指定时，被赠送方能够播放的总时间不超过指定的时间；
903为基于质量的权限。当该项被指定时，被赠送方能够以不高于指定质量的播放质量播放数字内容；
904为基于用户的权限。该项指定能够播放数字内容的用户；
905为基于设备的权限。该项指定能够播放数字内容的设备；
906为录制/保存的权限。该项决定被赠送方能否录制或者保存数字内容；
为了便于理解，以下结合附图通过三个具体实施例对本发明进行详细说明。
<实施例1>
赠送信息接收处理(201)通过请求接收单元(101)接收到赠送方提交的赠送请求。赠送请求中包含下列内容(如图3所示)：
(1)被赠送方姓名(301)，作为标识被赠送方的参数之一；
(2)被赠送方邮箱(302)，作为标识被赠送方的参数之一，同时也作为权限服务器发送权限对象的目的地址；
(3)赠送方ID(303)、赠送方身份证书(304)、权限购买信息(305)或者权限ID(306)中的任意一个，被用来作为查询或者生成权限信息的参数；
(4)身份认证方法(307)，指定对被赠送方进行身份认证的方法。本例中使用QA法，即由赠送方提供问题(集)，被赠送方回答的方式进行身份确认；
(5)问题(集)(308、310、312)，提交的问题随意，但以被赠送方知晓并且仅有被赠送方知晓的问题比较合适。问题(集)将被发送给被赠送方，由被赠送方回答下列问题，以便进行身份认证。问题例子如下：
问题1：我的汽车是什么牌子的？
问题2：我的手机号码是多少？
问题3：你的孩子小名叫什么？
问题的数量不限，但每次以3个左右为宜。
(6)答案(集)(309、311、313)，赠送方对提交的问题给出正确的答案，该答案用来在关键字生成单元(102)生成压缩权限信息的关键字。但该答案不会被发送到被赠送方。答案内容例子如下：
答案1：宝马
答案2：13911112222
答案3：宝宝
请求信息当中的答案被传送至关键字生成单元(102)，关键字生成处理(202)在该单元中根据赠送方提供的答案生成权限加密所需要的关键字，并且将该关键字传送至权限加密单元(104)；同时，请求接收单元(101)将权限索引信息传送至权限生成单元(103)，权限查询生成处理(203)根据权限索引信息进行处理，如果权限索引信息为赠送方ID(303)，则根据赠送方ID(303)查找到相应的权限信息；如果权限索引信息为赠送方身份证书(304)，则根据赠送方身份证书(304)查找到相应的权限信息；如果权限索引信息为权限购买信息(305)，则根据权限购买信息(305)生成相应的权限信息；如果权限索引信息为权限ID(306)，则根据权限ID(306)查找到相应的权限信息；然后，将权限信息传送至权限加密单元(104)。权限加密处理(204)通过权限加密单元(104)使用关键字生成单元(102)生成的加密关键字对权限信息进行加密处理得到加密权限信息。具体的加密方法请参见后文[有关权限信息的加密方法]。权限加密单元(104)可以选择任何一种可行的加密算法进行加密。并且将该权限信息传送至权限对象合成单元(105)。权限对象合成处理(205)通过权限对象合成单元(105)将下列信息合成为一个权限对象，如图4所示，其具体内容如下：
(1)权限加密单元(104)生成的加密权限信息(401)；
(2)请求接收单元(101)传送来的赠送方指定的被赠送方身份认证方法(402)；
(3)请求接收单元(101)传送来的赠送方指定的问题(集)(403-405)；
(4)权限加密单元(104)传送来的具体加密算法(406)。
权限对象可以为XML形式，也可以为其他自定义格式。
然后，权限对象发送处理(206)从权限对象合成单元(105)中得到该权限对象后，通过权限对象发送单元(106)，将其发送给被赠送方。
被赠送方接收到该权限对象后，从权限对象中分离出下列部分：
(1)加密权限信息(401)；
(2)被赠送方身份认证方法(402)；
(3)赠送方提交的问题(集)(403-405)；
(4)权限信息的加密算法(406)
然后，被赠送方根据身份认证方法标识回答预设问题后获得答案(集)，以此生成解密关键字，对加密权限信息进行解密后，获得最终权限信息。
<实施例2>
赠送信息接收处理(201)通过请求接收单元(101)接收到赠送方提交的赠送请求。赠送请求中包含下列内容(如图5所示)：
(1)被赠送方姓名(501)，作为标识被赠送方的参数之一；
(2)被赠送方邮箱(502)，作为标识被赠送方的参数之一，同时也作为权限服务器发送权限对象的目的地址；
(3)赠送方ID(503)、赠送方身份证书(504)、权限购买信息(505)或者权限ID(506)中的任意一个，被用来作为查询或者生成权限信息的参数；
(4)身份认证方法(507)，指定对被赠送方进行身份认证的方法。本例中使用数字身份证书进行身份认证。
上述请求信息通过赠送信息接收处理(201)由请求接收单元(101)接收后，关键字生成处理(202)根据其身份认证方法的指示为数字身份证书，向权限认证中心申请获得被赠送方的数字身份证书，根据该身份证书，在关键字生成单元(102)中生成加密关键字，传送至权限加密单元(104)。同时，请求接收单元(101)将权限索引信息传送至权限生成单元(103)，权限查询生成处理(203)根据权限索引信息进行处理，如果权限索引信息为赠送方ID(503)，则根据赠送方ID(503)查找到相应的权限信息；如果权限索引信息为赠送方身份证书(504)，则根据赠送方身份证书(504)查找到相应的权限信息；如果权限索引信息为权限购买信息(505)，则根据权限购买信息(505)生成相应的权限信息；如果权限索引信息为权限ID(506)，则根据权限ID(506)查找到相应的权限信息；然后，将权限信息传送至权限加密单元(104)。权限加密处理(204)通过权限加密单元(104)使用关键字生成单元(102)生成的加密关键字对权限信息进行加密处理得到加密权限信息。具体的加密方法请参见后文[有关权限信息的加密方法]。权限加密单元(104)可以选择任何一种可行的加密算法进行加密。并且将该权限信息传送至权限对象合成单元(105)。权限对象合成处理(205)通过权限对象合成单元(105)将下列信息合成为一个权限对象，如图6所示，其具体内容如下：
(1)权限加密单元(104)生成的加密权限信息(601)；
(2)请求接收单元(101)传送来的赠送方指定的被赠送方身份认证方法(602)；
(3)权限加密单元(104)传送来的具体加密算法(603)。
权限对象可以为XML形式，也可以为其他自定义格式。
然后，权限对象发送处理(206)从权限对象合成单元(105)中得到该权限对象后，通过权限对象发送单元(106)，将其发送给被赠送方。
被赠送方接收到该权限对象后，从权限对象中分离出下列部分：
(1)加密权限信息(601)；
(2)被赠送方身份认证方法(602)；
(3)权限信息的加密算法(603)
然后，被赠送方根据身份认证方法标识提取自己的数字身份证书，以此生成解密关键字，对加密权限信息进行解密后，获得最终权限信息。
<实施例3>
赠送信息接收处理(201)通过请求接收单元(101)接收到赠送方提交的赠送请求。赠送请求中包含下列内容(如图7所示)：
(1)被赠送方姓名(701)，作为标识被赠送方的参数之一；
(2)被赠送方邮箱(702)，作为标识被赠送方的参数之一，同时也作为权限服务器发送权限对象的目的地址；
(3)赠送方ID(703)、赠送方身份证书(704)、权限购买信息(705)或者权限ID(706)中的任意一个，被用来作为查询或者生成权限信息的参数；
(4)身份认证方法(707)，指定对被赠送方进行身份认证的方法。本例中使用验证码进行身份认证。
上述请求信息通过赠送信息接收处理(201)由请求接收单元(101)接收后，根据其身份认证方法的指示为验证码，关键字生成处理(202)在关键字生成单元(102)中首先随机一个验证码，并且根据该验证码生成加密关键字，并且将加密关键字传送至权限加密单元(104)；同时将验证码反馈给赠送方，由赠送方以其他方式传送给被赠送方。同时，请求接收单元(101)将权限索引信息传送至权限生成单元(103)，权限查询生成处理(203)根据权限索引信息进行处理，如果权限索引信息为赠送方ID(703)，则根据赠送方ID(703)查找到相应的权限信息；如果权限索引信息为赠送方身份证书(704)，则根据赠送方身份证书(704)查找到相应的权限信息；如果权限索引信息为权限购买信息(705)，则根据权限购买信息(705)生成相应的权限信息；如果权限索引信息为权限ID(706)，则根据权限ID(706)查找到相应的权限信息；然后，将权限信息传送至权限加密单元(104)。权限加密处理(204)通过权限加密单元(104)使用关键字生成单元(102)生成的关键字对权限信息进行加密处理得到加密权限信息。具体的加密方法请参见后文[有关权限信息的加密方法]。权限加密单元(104)可以选择任何一种可行的加密算法进行加密。并且将该权限信息传送至权限对象合成单元(105)。权限对象合成处理(205)通过权限对象合成单元(105)将下列信息合成为一个权限对象，如图8所示，其具体内容如下：
(1)权限加密单元(104)生成的加密权限信息(801)；
(2)请求接收单元(101)传送来的赠送方指定的被赠送方身份认证方法(802)；
(3)权限加密单元(104)传送来的具体加密算法(803)。
权限对象可以为XML形式，也可以为其他自定义格式。
然后，权限对象发送处理(206)从权限对象合成单元(105)中得到该权限对象后，通过权限对象发送单元(106)，将其发送给被赠送方。
被赠送方接收到该权限对象后，从权限对象中分离出下列部分：
(1)加密权限信息(801)；
(2)被赠送方身份认证方法(802)；
(3)权限信息的加密算法(803)
然后，被赠送方根据身份认证方法标识使用通过其他渠道获得的验证码生成解密关键字，对加密权限信息进行解密后，获得最终权限信息。
<其它实施方式>
以上实施例说明了由权限生成单元根据索引信息生成赠送权限信息的例子。但在权限服务器已准备好相应的赠送权限的情况下，也可以不使用该权限生成单元。
另外，以上实施例说明了由权限对象合成单元将加密权限信息与其它需要传送给被赠送方的信息合成为权限对象并由权限对象发送单元发送该权限对象的例子。但也可以直接由权限对象发送单元将加密权限信息和其它需要传送给被赠送方的信息直接发送给被赠送方。
[有关权限信息的加密方法]
在上述三个实施例当中，都涉及到由权限加密处理(204)通过权限加密单元(104)对权限信息进行加密的处理。本发明中，优选采用以下几种方法当中的一种对所述权限信息进行加密。
(1)对权限信息的全部内容进行加密
这种方法是最直接的方法，也是最简单的方法，只要将权限信息作为一个数据整体来进行加密即可。解密后也会直接得到权限信息；
(2)对权限信息当中用来赠送的部分加密
当赠送方将原来属于自己的权利赠送给被赠送方的时候，不会赠送万能使用形式，而是会选择某种指定的使用形式。根据图9，可以设置下述(但不限于此)权限种类：
-赠送一定的使用次数(901)
-赠送一定的使用时长(902)
-规定播放画面质量(903)
-规定能够播放的用户(904)
-规定能够播放的设备(905)
-规定能否录制/保存(906)
等。这种情况下，仅对欲赠送的部分权限进行加密。如仅赠送方选择了[赠送一定的使用次数]时，则，仅对权限信息当中有关使用次数的权限进行加密处理。这样，既可以提高系统的处理速度，也能够减小被赠送方设备的处理负担。
以上，参照附图说明了本发明的优选实施方式，但不言而喻，本发明不限定于这样的例子，在不脱离本发明主旨的范围内可以进行各种变更。