專利名稱：虛擬專用網(wǎng)絡(luò)上的數(shù)字權(quán)利管理系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及虛擬專用網(wǎng)絡(luò)，更具體地說(shuō)，涉及其中的數(shù)字權(quán)利的管理。
背景技術(shù)：
分組數(shù)據(jù)網(wǎng)絡(luò)，比如因特網(wǎng)已成為數(shù)字內(nèi)容或軟件的最有效的發(fā)行渠 道之一。但是，分組數(shù)據(jù)網(wǎng)絡(luò)的使其適合于分發(fā)數(shù)字內(nèi)容和軟件的特征也 提供盜用和誤用數(shù)字內(nèi)容和軟件的大量機(jī)會(huì)。鑒于在具有桌上型PC等的 分組數(shù)據(jù)網(wǎng)絡(luò)內(nèi)，易于發(fā)生數(shù)字內(nèi)容和軟件的復(fù)制、改變、毀損和分發(fā)， 必需保護(hù)數(shù)字內(nèi)容和軟件。要求數(shù)字權(quán)利管理(DRM)解決該問(wèn)題。
圖1圖解說(shuō)明了分布在諸如因特網(wǎng)主干網(wǎng)之類分組數(shù)據(jù)網(wǎng)絡(luò)內(nèi)的虛擬 專用網(wǎng)絡(luò)(VPN)的方框圖。如圖所示，VPN-A由用長(zhǎng)虛線表示的隧道 (tunnel)連接，所述長(zhǎng)虛線代表處理器Al、 A2和A3之間的安全通信。 類似地，VPN-B由用處理器Bl、 B2和B3之間的短虛線表示的安全隧道 連接。
VPN網(wǎng)絡(luò)A和B位于公司或機(jī)構(gòu)中，所述公司或機(jī)構(gòu)位于不同的位 置。圖1中圖解說(shuō)明的VPN體系結(jié)構(gòu)允許公司或機(jī)構(gòu)的雇員或成員在通 過(guò)主干分組數(shù)據(jù)網(wǎng)絡(luò)，由安全隧道連接到公司或機(jī)構(gòu)的VPN之后，跨越 公司或機(jī)構(gòu)的局域網(wǎng)(LAN)工作。
由于數(shù)字權(quán)利和包括視頻、音頻文檔和文件的數(shù)字內(nèi)容在VPN中和VPN之間傳輸，因此VPN，例如圖1中圖解說(shuō)明的VPN的操作需要DRM。 VPN中和VPN之間對(duì)DRM的要求有兩方面，即(1) VPN及它們的 應(yīng)用的部署，和(2) DRM的部署對(duì)諸如因特網(wǎng)之類分組數(shù)據(jù)網(wǎng)絡(luò)中的主 干網(wǎng)的影響。
實(shí)際上，在它們的部署中，DRM和VPN相互作用。例如，公司或機(jī) 構(gòu)可能需要保持在VPN內(nèi)產(chǎn)生和/或使用的內(nèi)部數(shù)字內(nèi)容(IDC)的秘密。 另一個(gè)例子是當(dāng)公司或機(jī)構(gòu)向客戶銷售包含數(shù)字權(quán)利(例如使用軟件的許 可證)的產(chǎn)品，并希望監(jiān)視在客戶的VPN中，該許可證的使用時(shí)。目前， 本領(lǐng)域的狀態(tài)是還沒(méi)有令人滿意地解決VPN中和VPN之間的DRM。
目前，VPN的IDC的數(shù)字保護(hù)不足，這導(dǎo)致易于發(fā)生濫用。此外， 在一些情況下，IDC要求VPN內(nèi)的特殊數(shù)字保護(hù)，例如當(dāng)只允許少數(shù)頂 級(jí)管理員訪問(wèn)高度機(jī)密的文檔時(shí)。在沒(méi)有恰當(dāng)?shù)臄?shù)字保護(hù)的情況下，高度 機(jī)密的文檔易于被其它人看到，并流出VPN之外。
對(duì)VPN中數(shù)字權(quán)利的使用的限制一般過(guò)于嚴(yán)格或者過(guò)于寬松。例如， VPN的操作員可能希望從數(shù)字權(quán)利頒發(fā)者(issuer)購(gòu)買某一產(chǎn)品的許多 許可證，并想把許可證安裝在VPN的任意一臺(tái)機(jī)器中。特別地，該操作 員不想要數(shù)字權(quán)利頒發(fā)者知道VPN的結(jié)構(gòu)。但是，在數(shù)字權(quán)利頒發(fā)者一 般提供只可安裝在用戶的VPN的特定機(jī)器上的許可證的情況下，數(shù)字權(quán) 利頒發(fā)者不得不確保在VPN中用戶遵守許可協(xié)議。在特定機(jī)器上安裝的 要求必定向數(shù)字權(quán)利頒發(fā)者提供關(guān)于用戶網(wǎng)絡(luò)的一些信息。此外，如果用 戶想把許可證從某一特定機(jī)器轉(zhuǎn)移到另 一特定機(jī)器上，那么用戶必須通報(bào) 頒發(fā)者，以獲得許可。該程序?qū)τ脩魜?lái)說(shuō)是不想要的。從而，對(duì)用戶來(lái)說(shuō)， 對(duì)數(shù)字權(quán)利的使用的限制過(guò)于嚴(yán)格。另一方面，數(shù)字權(quán)利頒發(fā)者會(huì)試圖勸 說(shuō)用戶購(gòu)買可安裝在VPN中的任意地方的許多無(wú)限制許可證。這種情況 下，用戶可能同意有可能更昂貴的許可條款。但是，數(shù)字權(quán)利頒發(fā)者實(shí)際 上不能明確地管理數(shù)字權(quán)利的使用，這意味著大量的許可證可能被安裝在 VPN中，并且許可證能夠容易地散布到VPN外面，這是對(duì)數(shù)字權(quán)利的使 用的控制過(guò)于寬;f^的典型。VPN的操作員通常不能有效地管理VPN中數(shù)字權(quán)利的使用，尤其當(dāng) VPN包含大量的客戶機(jī)和多種數(shù)字權(quán)利時(shí)更是如此。這導(dǎo)致易于忽視關(guān)于 數(shù)字權(quán)利的限制的情形。

發(fā)明內(nèi)容
本發(fā)明是一種VPN之內(nèi)和之間的DRM系統(tǒng)，所述DRM系統(tǒng)管理數(shù) 字權(quán)利用戶(DRU)和數(shù)字權(quán)利頒發(fā)者的VPN之內(nèi)和之間的數(shù)字權(quán)利。 本發(fā)明利用VPN內(nèi)結(jié)合在一起的數(shù)字權(quán)利策略管理器(DRPM),數(shù)字 權(quán)利部署服務(wù)器(DRDS)，和數(shù)字權(quán)利倉(cāng)庫(kù)(DRR)或存儲(chǔ)器，內(nèi)部和 外部地為DRU和數(shù)字權(quán)利頒發(fā)者管理數(shù)字權(quán)利。內(nèi)部DRU在包含DRPM 的VPN之內(nèi)，所述DRPM管理向DRU的數(shù)字權(quán)利的分發(fā)，外部DRU在 包含DRPM的VPN之外，所述DRPM管理向DRU的數(shù)字權(quán)利的分發(fā)。 外部DRU可以在VPN之內(nèi)，或者在任意VPN之外，并且可通過(guò)安全鏈 路與包含內(nèi)部DRU的VPN連接。
DRPM管理的數(shù)字權(quán)利或者由DRPM產(chǎn)生，或者從另一 VPN的DRR 中的存儲(chǔ)器或獨(dú)立于任意DRPM工作的外部數(shù)字權(quán)利來(lái)源輸入。DRPM 控制DRR中數(shù)字權(quán)利的存儲(chǔ)。DRPM從數(shù)字內(nèi)容和至少一個(gè)控制數(shù)字權(quán) 利的策略產(chǎn)生數(shù)字權(quán)利，并把產(chǎn)生的數(shù)字權(quán)利存儲(chǔ)在DRR中。數(shù)字內(nèi)容 包括(但不限于)視頻、音頻、文檔或文件至少之一。數(shù)字權(quán)利可從IDC 產(chǎn)生，并且由內(nèi)部DRU使用。
DRPM還產(chǎn)生與數(shù)字權(quán)利的管理、產(chǎn)生、再生、分發(fā)和使用相關(guān)的策 略。例如(但不限于)，數(shù)字權(quán)利的產(chǎn)生和分發(fā)可以是基于時(shí)間的，即定 期地，例如每月發(fā)布數(shù)字權(quán)利。但是，顯然DRPM可被編程為執(zhí)行不同形 式的數(shù)字權(quán)利的管理、產(chǎn)生、再生、分發(fā)和使用，以及產(chǎn)生數(shù)字權(quán)利內(nèi)的 內(nèi)容，以詳細(xì)指示如何使用數(shù)字內(nèi)容。
內(nèi)部或外部DRU可與DRDS連接，并請(qǐng)求數(shù)字權(quán)利的下載。為了具 有足夠的安全性，DRU到DRDS的連4^求DRU的發(fā)汪。可按照不同的 方式執(zhí)行驗(yàn)證，例如通過(guò)安全連接，或者由在VPN之內(nèi)或者之外的認(rèn)證機(jī)構(gòu)(CA)頒發(fā)給DRU的證書。內(nèi)部或外部CA才艮據(jù)不構(gòu)成本發(fā)明的一 部分的公知程序，應(yīng)DRU的請(qǐng)求提供證書。DRDS把DRU的證書請(qǐng)求傳 送給CA，并把從CA接收的證書發(fā)送給DRU。在DRDS和外部DRU之 間的連接的情況下，保證連接的安全，例如借助諸如安全套接字層(SSL) 之類的隧道效應(yīng)技術(shù)，但是顯然本發(fā)明并不局限于使連接安全的任意特定 技術(shù)。此外，最好根據(jù)VPN內(nèi)的安全要求，使DRDS和內(nèi)部DRU之間的 連接安全可靠。
在未被提供諸如許可證之類正確的數(shù)字權(quán)利的情況下，DRU不能使用 數(shù)字內(nèi)容，例如IDC。數(shù)字權(quán)利規(guī)定使用的條件，例如哪里和誰(shuí)能使用數(shù) 字權(quán)利，數(shù)字權(quán)利可被使用多長(zhǎng)時(shí)間，在數(shù)字權(quán)利被使用之后做什么。借 助數(shù)字權(quán)利規(guī)定的條件，防止DRU濫用數(shù)字權(quán)利。
根據(jù)本發(fā)明的一個(gè)方面，提供一種用于在第一虛擬專用網(wǎng)絡(luò)中控制將 數(shù)字權(quán)利分發(fā)到至少一個(gè)數(shù)字權(quán)利用戶的管理器，所述管理器被配置為 與第二虛擬專用網(wǎng)絡(luò)中的另外的、不同的管理器進(jìn)行合作以便獲得來(lái)自所 述第二虛擬專用網(wǎng)絡(luò)的所述數(shù)字權(quán)利。
根據(jù)本發(fā)明的另外的方面，提供一種用于控制將數(shù)字權(quán)利分發(fā)給第一 虛擬專用網(wǎng)絡(luò)中的至少一個(gè)數(shù)字權(quán)利用戶的管理器，所述管理器被配置 為與所述第一虛擬專用網(wǎng)絡(luò)中的另外的、不同管理器進(jìn)行合作以^更從第 二虛擬專用網(wǎng)絡(luò)提供所述數(shù)字沖又利。
根據(jù)本發(fā)明的另外的方面，提供一種網(wǎng)絡(luò)，包括第一和第二虛擬專用 網(wǎng)絡(luò)，所述第一虛擬專用網(wǎng)絡(luò)包括存儲(chǔ)器、與至少一個(gè)數(shù)字權(quán)利用戶耦接 以及與所述存儲(chǔ)器耦接、被配置為把數(shù)字權(quán)利分發(fā)給所述至少一個(gè)數(shù)字權(quán) 利用戶的服務(wù)器，以及與所述服務(wù)器和所述存儲(chǔ)器耦接的如上所述的管理 器。
根據(jù)本發(fā)明的另外的方面，提供一種用于在第 一虛擬專用網(wǎng)絡(luò)中控制 將數(shù)字權(quán)利分發(fā)給至少一個(gè)數(shù)字權(quán)利用戶的方法，所述方法包括向第二 虛擬專用網(wǎng)絡(luò)請(qǐng)求所述數(shù)字權(quán)利；和接收來(lái)自所述第二虛擬專用網(wǎng)絡(luò)的所 述數(shù)字權(quán)利。根據(jù)本發(fā)明的另外的方面，提供一種用于控制將數(shù)字權(quán)利分發(fā)給第一
虛擬專用網(wǎng)絡(luò)中的至少一個(gè)數(shù)字權(quán)利用戶的方法，所述方法包括接收來(lái) 自所述第一虛擬專用網(wǎng)絡(luò)中的管理器的對(duì)數(shù)字權(quán)利的請(qǐng)求；和將來(lái)自第二 虛擬專用網(wǎng)絡(luò)中的存儲(chǔ)器的所述數(shù)字權(quán)利提供給所述第一虛擬專用網(wǎng)絡(luò) 中的管理器。
本發(fā)明的網(wǎng)絡(luò)包括至少一個(gè)數(shù)字權(quán)利用戶，每個(gè)數(shù)字權(quán)利用戶是數(shù)字 權(quán)利的用戶；和至少一個(gè)虛擬專用網(wǎng)絡(luò)，每個(gè)虛擬專用網(wǎng)絡(luò)包括數(shù)字權(quán)利 的存儲(chǔ)器，與至少一個(gè)數(shù)字權(quán)利用戶以及與所述存儲(chǔ)器耦接、把數(shù)字權(quán)利 分發(fā)給至少一個(gè)數(shù)字權(quán)利用戶的服務(wù)器，以及與所述服務(wù)器和與所述存儲(chǔ) 器藕接、控制保存在所述存儲(chǔ)器中的數(shù)字權(quán)利向至少一個(gè)數(shù)字權(quán)利用戶的 提供的數(shù)字權(quán)利管理器。所述至少一個(gè)數(shù)字權(quán)利用戶可以在至少一個(gè)虛擬 專用網(wǎng)絡(luò)之外或之內(nèi)。所述至少一個(gè)數(shù)字權(quán)利用戶可以是一個(gè)以上的數(shù)字 k利用戶，其中至少一個(gè)數(shù)字^L利用戶在至少一個(gè)虛擬專用網(wǎng)絡(luò)之內(nèi)，并 且至少一個(gè)數(shù)字權(quán)利用戶在至少一個(gè)虛擬專用網(wǎng)絡(luò)之外。每個(gè)管理器可管 理網(wǎng)絡(luò)之內(nèi)的數(shù)字內(nèi)容，包括數(shù)字權(quán)利。數(shù)字內(nèi)容可包括視頻、音頻、文 檔或文件至少之一。管理器可從數(shù)字內(nèi)容和至少一個(gè)控制數(shù)字權(quán)利的策略 產(chǎn)生數(shù)字權(quán)利，并把產(chǎn)生的數(shù)字權(quán)利存儲(chǔ)在存儲(chǔ)器中。至少一個(gè)策略還可 包括和保存在存儲(chǔ)器中的數(shù)字權(quán)利的管理、產(chǎn)生、再生、使用相關(guān)或和服 務(wù)器把所述數(shù)字權(quán)利分發(fā)給至少一個(gè)用戶相關(guān)的條件。策略可以是管理何 時(shí)、如何產(chǎn)生、再生、分發(fā)、使用或管理數(shù)字權(quán)利至少之一的一組規(guī)則。 關(guān)于數(shù)字權(quán)利的管理、產(chǎn)生、再生、使用或分發(fā)的條件可能取決于至少一 個(gè)用戶請(qǐng)求數(shù)字權(quán)利的時(shí)間。在把數(shù)字權(quán)利分發(fā)給用戶之前，每個(gè)用戶可 由服務(wù)器發(fā)逸為數(shù)字權(quán)利的合法用戶。認(rèn)證機(jī)構(gòu)可向至少一個(gè)用戶中的每 個(gè)用戶提供證書；其中至少一個(gè)用戶中的每個(gè)用戶的證書可被呈遞給服務(wù) 器，當(dāng)用戶呈遞的證書證明該用戶是所請(qǐng)求的數(shù)字權(quán)利的合法用戶時(shí)，在 管理器的控制下，所述服務(wù)器把數(shù)字權(quán)利分發(fā)給呈遞用戶證書的每個(gè)用 戶。認(rèn)證機(jī)構(gòu)可以在至少一個(gè)虛擬專用網(wǎng)絡(luò)之內(nèi)或之外。在至少一個(gè)虛擬 專用網(wǎng)絡(luò)之外的至少 一個(gè)數(shù)字權(quán)利用戶可以在另 一虛擬專用網(wǎng)絡(luò)中，并且虛擬專用網(wǎng)絡(luò)可由至少一個(gè)安全鏈路連接起來(lái)。在至少一個(gè)虛擬專用網(wǎng)絡(luò)
之外的外部數(shù)字權(quán)利來(lái)源可由其提供數(shù)字權(quán)利；并且其中外部數(shù)字權(quán)利來(lái) 源與之耦接的至少一個(gè)虛擬專用網(wǎng)絡(luò)的至少一個(gè)管理器可控制從外部數(shù) 字權(quán)利來(lái)源接收的數(shù)字權(quán)利的保存和向至少一個(gè)用戶的外部數(shù)字權(quán)利的 提供。外部數(shù)字外又利來(lái)源可與至少一個(gè)數(shù)字網(wǎng)絡(luò)的操作無(wú)關(guān)地工作。
在包括至少 一個(gè)數(shù)字權(quán)利用戶(每個(gè)數(shù)字權(quán)利用戶是數(shù)字權(quán)利的用 戶)和至少一個(gè)虛擬專用網(wǎng)絡(luò)的網(wǎng)絡(luò)中，所述虛擬專用網(wǎng)絡(luò)包括數(shù)字權(quán)利 的存儲(chǔ)器，與至少一個(gè)數(shù)字權(quán)利用戶以及與所述存儲(chǔ)器耦接、把數(shù)字權(quán)利 分發(fā)給至少一個(gè)數(shù)字權(quán)利用戶的服務(wù)器，以及與所迷服務(wù)器和所述存儲(chǔ)器 耦接的數(shù)字權(quán)利管理器，根據(jù)本發(fā)明的數(shù)字權(quán)利的分發(fā)方法包括所述至少 一個(gè)用戶中的至少一個(gè)用戶向服務(wù)器請(qǐng)求數(shù)字權(quán)利；響應(yīng)來(lái)自至少一個(gè)用 戶的請(qǐng)求，管理器可控制從存儲(chǔ)器向服務(wù)器的數(shù)字權(quán)利的提供，所述服務(wù) 器把數(shù)字權(quán)利分發(fā)給請(qǐng)求數(shù)字權(quán)利的至少一個(gè)用戶。所述至少一個(gè)數(shù)字外又 利用戶可以在至少一個(gè)虛擬專用網(wǎng)絡(luò)之外或之內(nèi)。所述至少一個(gè)數(shù)字權(quán)利 用戶可以是一個(gè)以上的數(shù)字權(quán)利用戶，其中至少 一個(gè)數(shù)字權(quán)利用戶在至少 一個(gè)虛擬專用網(wǎng)絡(luò)之內(nèi)，并且至少一個(gè)數(shù)字權(quán)利用戶在至少一個(gè)虛擬專用 網(wǎng)絡(luò)之外。管理器可管理網(wǎng)絡(luò)之內(nèi)的數(shù)字內(nèi)容，包括數(shù)字權(quán)利。數(shù)字內(nèi)容 可包括視頻、音頻、文檔或文件至少之一。管理器可根據(jù)數(shù)字內(nèi)容和至少 一個(gè)控制數(shù)字權(quán)利的策略產(chǎn)生數(shù)字權(quán)利，并把產(chǎn)生的數(shù)字權(quán)利存儲(chǔ)在存儲(chǔ) 器中。所述至少一個(gè)策略還可包括和保存在存儲(chǔ)器中的數(shù)字權(quán)利的管理、 產(chǎn)生、再生、使用相關(guān)或和服務(wù)器把所述數(shù)字權(quán)利分發(fā)給至少一個(gè)用戶相 關(guān)的條件。策略可以是管理何時(shí)、如何產(chǎn)生、再生、分發(fā)、使用或管理數(shù) 字權(quán)利，和在數(shù)字權(quán)利中應(yīng)定義什么內(nèi)容中的至少之一的一組規(guī)則。關(guān)于 數(shù)字權(quán)利的管理、產(chǎn)生、再生、使用或分發(fā)的條件可能取決于至少一個(gè)用 戶請(qǐng)求數(shù)字權(quán)利的時(shí)間。在把數(shù)字權(quán)利分發(fā)給用戶之前，每個(gè)用戶可由服 務(wù)器驗(yàn)證為數(shù)字權(quán)利的合法用戶。認(rèn)證機(jī)構(gòu)可向至少一個(gè)用戶中的每個(gè)用 戶提供證書；其中至少一個(gè)用戶中的每個(gè)用戶的證書可凈皮呈遞給服務(wù)器， 當(dāng)用戶呈遞的證書證明該用戶是所請(qǐng)求的數(shù)字權(quán)利的合法用戶時(shí)，在管理器的控制下，所述服務(wù)器把數(shù)字權(quán)利分發(fā)給呈遞用戶證書的每個(gè)用戶。外 部數(shù)字權(quán)利來(lái)源可在至少一個(gè)虛擬專用網(wǎng)絡(luò)之外，所述外部數(shù)字權(quán)利來(lái)源
可向所述至少一個(gè)專用網(wǎng)絡(luò)提供數(shù)字權(quán)利；并且其中外部數(shù)字權(quán)利來(lái)源與 之耦接的至少一個(gè)虛擬專用網(wǎng)絡(luò)的至少一個(gè)管理器可控制從外部數(shù)字權(quán) 利來(lái)源接收的數(shù)字權(quán)利的*和向至少一個(gè)用戶的外部數(shù)字權(quán)利的提供。 認(rèn)證機(jī)構(gòu)可以在虛擬專用網(wǎng)絡(luò)之內(nèi)或之外。外部數(shù)字權(quán)利來(lái)源可與至少一 個(gè)數(shù)字網(wǎng)絡(luò)的操作無(wú)關(guān)地工作。
在包括至少 一個(gè)數(shù)字權(quán)利用戶(每個(gè)數(shù)字權(quán)利用戶是數(shù)字權(quán)利的用 戶)、頒發(fā)數(shù)字權(quán)利的數(shù)字權(quán)利頒發(fā)者虛擬專用網(wǎng)絡(luò)和包括至少一個(gè)數(shù)字 權(quán)利用戶的數(shù)字權(quán)利用戶虛擬專用網(wǎng)絡(luò)的網(wǎng)絡(luò)中，每個(gè)虛擬專用網(wǎng)絡(luò)包括 數(shù)字權(quán)利的存儲(chǔ)器，與至少一個(gè)數(shù)字權(quán)利用戶以及與所述存儲(chǔ)器耦接、把 數(shù)字權(quán)利分發(fā)給至少一個(gè)數(shù)字權(quán)利用戶的服務(wù)器，和與所述服務(wù)器以及與 所述存儲(chǔ)器耦接的數(shù)字權(quán)利管理器，根據(jù)本發(fā)明的數(shù)字權(quán)利的分發(fā)方法包 括所述至少一個(gè)用戶中的至少一個(gè)用戶向數(shù)字權(quán)利用戶虛擬專用網(wǎng)絡(luò)的 服務(wù)器請(qǐng)求數(shù)字權(quán)利；數(shù)字權(quán)利用戶虛擬專用網(wǎng)絡(luò)的數(shù)字權(quán)利管理器向數(shù) 字權(quán)利頒發(fā)者虛擬專用網(wǎng)絡(luò)請(qǐng)求數(shù)字權(quán)利；數(shù)字權(quán)利頒發(fā)者虛擬專用網(wǎng)絡(luò) 把數(shù)字權(quán)利傳送給數(shù)字權(quán)利用戶虛擬專用網(wǎng)絡(luò)；數(shù)字^l利用戶虛擬專用網(wǎng) 絡(luò)把數(shù)字權(quán)利傳送給數(shù)字權(quán)利的至少一個(gè)用戶。響應(yīng)從數(shù)字權(quán)利頒發(fā)者虛 擬專用網(wǎng)絡(luò)收到數(shù)字權(quán)利，數(shù)字權(quán)利用戶虛擬專用網(wǎng)絡(luò)可把數(shù)字權(quán)利從數(shù) 字權(quán)利管理器傳送給存儲(chǔ)器，從存儲(chǔ)器傳送給服務(wù)器，并從服務(wù)器傳送給 數(shù)字權(quán)利的至少一個(gè)用戶。響應(yīng)關(guān)于數(shù)字權(quán)利的請(qǐng)求，數(shù)字權(quán)利頒發(fā)者虛 擬專用網(wǎng)絡(luò)可把所述請(qǐng)求從服務(wù)器傳送給產(chǎn)生數(shù)字權(quán)利的管理器；管理器 產(chǎn)生的數(shù)字權(quán)利從管理器被傳送給存儲(chǔ)器；數(shù)字權(quán)利可從存儲(chǔ)器傳送給服 務(wù)器；并且數(shù)字權(quán)利可從服務(wù)器傳送給數(shù)字權(quán)利用戶虛擬專用網(wǎng)絡(luò)的管理 器。


圖i圖解說(shuō)明其中可實(shí)踐本發(fā)明的那種現(xiàn)有vpn。圖2圖解說(shuō)明根據(jù)本發(fā)明的包括VPN的網(wǎng)絡(luò)的方框圖。 圖3圖解說(shuō)明根據(jù)本發(fā)明的，具有根據(jù)本發(fā)明的數(shù)字權(quán)利頒發(fā)者VPN 和用戶VPN的網(wǎng)絡(luò)。
圖4圖解說(shuō)明根據(jù)本發(fā)明的，向內(nèi)部DRU分發(fā)數(shù)字權(quán)利的VPN的操作。
圖5圖解說(shuō)明根據(jù)圖3的網(wǎng)絡(luò)的操作。 附圖中，相同的附圖標(biāo)記表示相同的部分。
具體實(shí)施例方式
圖2圖解說(shuō)明根據(jù)本發(fā)明的網(wǎng)絡(luò)10。網(wǎng)絡(luò)IO由在本發(fā)明的實(shí)踐中使 用的一組(#s 1-N ) VPN 12組成。VPN 12經(jīng)由安全隧道16，通過(guò)分組數(shù) 據(jù)網(wǎng)絡(luò)14互連，分組數(shù)據(jù)網(wǎng)絡(luò)14可以是任意已知設(shè)計(jì)，例如因持網(wǎng)。
網(wǎng)絡(luò)10實(shí)現(xiàn)DRU之間的數(shù)字權(quán)利的分發(fā)，所述DRU或者是位于具 有控制數(shù)字權(quán)利的分發(fā)的DRPM 34的VPN 12內(nèi)的內(nèi)部DRU 18，或者是 位于另一VPN 12內(nèi)的或在任意VPN之外并通過(guò)外部網(wǎng)絡(luò)22與具有控制 數(shù)字權(quán)利的分發(fā)的DRPM 34的VPN 12連接的外部DRU 20。在具有控制 數(shù)字權(quán)利的分發(fā)的DRPM 34的VPN之外的DRU 20之間的連接經(jīng)由安全 鏈路24實(shí)現(xiàn)，安全鏈路24可使用任何已知的安全措施，例如(但不限于) 安全套接字層(SSL )。
主要關(guān)于弁1VPN12，參考圖2說(shuō)明本發(fā)明提供的DRM。但是，應(yīng)明 白#s 2-N VPN 12可具有相同的體系結(jié)構(gòu)。每個(gè)VPN 12可包含至少一個(gè)內(nèi) 部DRU 18。DRR 30保存由內(nèi)部DRU 18和外部DRU 20使用的數(shù)字權(quán)利。 DRDS 32與DRR 30和DRPM耦接，并在DRPM 34的控制下，把數(shù)字權(quán) 利分發(fā)給至少一個(gè)內(nèi)部DRU 18或外部DRU 20。
DRPM34實(shí)現(xiàn)DRM的提供方面的多種功能。首先，DRPM 34控制 通過(guò)DRDS 32，保存在DRR 30中的數(shù)字權(quán)利向內(nèi)部和外部DRU 18和20 的提供。其次，DRPM34從數(shù)字內(nèi)容，例如(但不限于)IDC 40產(chǎn)生數(shù) 字權(quán)利，IDC 40可以是(但不限于)包含在VPN 12內(nèi)的任意地方或者來(lái)自外部的數(shù)字內(nèi)容來(lái)源的音頻、視頻、文檔或文件。第三，DRPM34建立 并實(shí)現(xiàn)至少一個(gè)控制數(shù)字權(quán)利的策略。最后，所述至少一個(gè)策略包含和數(shù) 字權(quán)利的管理、產(chǎn)生、再生、使用或分發(fā)相關(guān)的條件。
DRPM 34進(jìn)行的數(shù)字權(quán)利的分發(fā)是一種控制功能，所述控制功能包括 控制如何及何時(shí)從DRR 30中的存儲(chǔ)器DRDS 32提供數(shù)字權(quán)利的條件，在 請(qǐng)求DRU的驗(yàn)證之后，數(shù)字權(quán)利從DRDS 32被分發(fā)給內(nèi)部DRU 18或者 外部DRU 20。在推送(push)操作中，如同下面涉及數(shù)字權(quán)利的使用參 考圖3和4說(shuō)明的那樣，或者內(nèi)部DRU 18或者外部DRU20連接DRDS， 并向請(qǐng)求DUR18或20請(qǐng)求數(shù)字權(quán)利的下載。在數(shù)字權(quán)利的拖拉(pull) 操作中，如同參考圖5所述那樣，從數(shù)字權(quán)利頒發(fā)者VPN 12到用戶VPN 12中的外部DRU20，用戶VPN向DRPM34發(fā)送關(guān)于數(shù)字權(quán)利的請(qǐng)求。
內(nèi)部DRU 18或外部DRU 20與提供數(shù)字權(quán)利的DRDS 32的連"^求 驗(yàn)證。在請(qǐng)求數(shù)字權(quán)利的時(shí)候，由DRDS32借助安全的方式進(jìn)行IHi，例 如使用加密或呈公共密鑰形式的有效證書的呈遞，或者任意其它已知的驗(yàn) 證機(jī)制。
當(dāng)證書被用于驗(yàn)證時(shí)，DRDS 32利用內(nèi)部i^證機(jī)構(gòu)42或者外部認(rèn)證 機(jī)構(gòu)44驗(yàn)證請(qǐng)求數(shù)字權(quán)利的單獨(dú)DRU 18和DRU 20。只要請(qǐng)求DRU 18 或20呈遞有效證書和有效的數(shù)字簽名(由從CA獲得的公共密鑰核實(shí))， 就完成驗(yàn)證。該發(fā)逸程序基于公共密鑰基礎(chǔ)結(jié)構(gòu)。于是匹配公共密鑰，從 CA獲得的保存在每個(gè)DRU 18中的專用密鑰允許完成驗(yàn)證。
當(dāng)DRU 18或20發(fā)送請(qǐng)求時(shí)，DRU把其證書(包含公共密鑰)和數(shù) 字簽名(被簽署DRU專用密鑰)附在所述請(qǐng)求上。DRDS 32接收請(qǐng)求， 并利用呈遞的證書(即公共密鑰)核實(shí)數(shù)字簽名。如果通過(guò)核實(shí)，那么在 DRDS 32必須連接到CA，以確保DRU發(fā)送的證書是有效證書(例如未 到期)之前，DRU被驗(yàn)證。該^i程序基于公共密鑰基礎(chǔ)結(jié)構(gòu)。
如上所述，保存在DRR 30中的數(shù)字權(quán)利一般由DRPM 34根據(jù)IDC 40 產(chǎn)生。但是，另一方面，保存在DRR30中的數(shù)字權(quán)利可從弁2-N VPN 12， 或者從獨(dú)立的數(shù)字權(quán)利來(lái)源50獲得，所述獨(dú)立的數(shù)字權(quán)利來(lái)源50可以是獨(dú)立于任意DRPM34，許可、產(chǎn)生或者以其它方式提供數(shù)字權(quán)利，以<更存 儲(chǔ)在DRR 30中的任意數(shù)字權(quán)利發(fā)行實(shí)體。
保存在DRR30中的數(shù)字權(quán)利具有相關(guān)的使用條件。使用條件是(但 不限于)哪里和誰(shuí)可使用數(shù)字權(quán)利，數(shù)字權(quán)利可使用多長(zhǎng)時(shí)間，以及在數(shù) 字權(quán)利被使用之后發(fā)生什么事。使用條件防止DRU 18和20濫用所定義并 保存在DRR 30中的數(shù)字權(quán)利。
本發(fā)明有許多優(yōu)點(diǎn)。數(shù)字權(quán)利管理和VPN安全管理和網(wǎng)絡(luò)操作結(jié)合 在一起。數(shù)字權(quán)利頒發(fā)者和DRPM 34—道工作，產(chǎn)生并控制由DRU 18 和20使用的數(shù)字權(quán)利。VPN的操作員#械予通過(guò)與DRPM 34 —道工作， 管理數(shù)字權(quán)利，以及通過(guò)VPN把數(shù)字權(quán)利分發(fā)給客戶機(jī)的能力。與保存 在DRR 30中的數(shù)字權(quán)利相關(guān)的IDC 40在VPN 12之內(nèi)和之間受到保護(hù)。
本發(fā)明的網(wǎng)絡(luò)提供不同情況下的操作。首先，數(shù)字權(quán)利的頒發(fā)者，例 如數(shù)字權(quán)利來(lái)源50和DRU 20不必具有VPN。其次，數(shù)字權(quán)利來(lái)源不必 與VPN相關(guān)，例如與所有VPN分離的獨(dú)立的數(shù)字權(quán)利來(lái)源50，并且至少 一些DRU在VPN12之內(nèi)，例如DRU18。第三，數(shù)字權(quán)利頒發(fā)者可在具 有控制數(shù)字權(quán)利的存儲(chǔ)、產(chǎn)生、再生(recreation)、分發(fā)和使用條件等 DRPM 34的VPN之內(nèi)，而DRU只是外部DRU 20 (當(dāng)在VPN不存夸任 何DRU 18時(shí)存在這種情形)。最后，數(shù)字權(quán)利頒發(fā)者可與VPN 12相關(guān) 聯(lián)，至少一些DRU是內(nèi)部DRU18。
本發(fā)明可被實(shí)踐成以致不是所有VPN都包含圖2的#1 VPN 12的所有 實(shí)體。此外，本發(fā)明的部署是一件簡(jiǎn)單的事情，它利用了現(xiàn)有的VPN，例 如圖1的現(xiàn)有技術(shù)中的VPN。
圖3圖解說(shuō)明了根據(jù)本發(fā)明在兩個(gè)VPN 12之間的數(shù)字權(quán)利分發(fā)的例 子。數(shù)字權(quán)利頒發(fā)者VPN 12起給用戶VPN 12數(shù)字權(quán)利的來(lái)源的作用。 如圖所示，在數(shù)字權(quán)利頒發(fā)者VPN的DRPM 34控制下，從DRR 30中的 存儲(chǔ)器中取回保存在數(shù)字權(quán)利頒發(fā)者VPN 12的DRR 30中的數(shù)字權(quán)利， 并由DRDS 32通過(guò)網(wǎng)絡(luò)14中的安全鏈路16，將其分發(fā)給用戶VPN的 DRPM 34。當(dāng)在數(shù)字權(quán)利頒發(fā)者VPN的DRPM的控制下，用戶VPN的DRDS 32收到數(shù)字權(quán)利時(shí)，所述數(shù)字權(quán)利被保存在用戶VPN 12的DRR 30 中，以便由用戶VPN的DRU使用。
在利用任意已知的^Ht機(jī)制驗(yàn)證用戶VPN 12中的請(qǐng)求DRU 18之后， 在DRDS 32的控制下取回保存在用戶VPN 12的DRR 30中的數(shù)字權(quán)利。 如圖所示，數(shù)字權(quán)利頒發(fā)者VPN 12的CA 42產(chǎn)生用于驗(yàn)證數(shù)字權(quán)利頒發(fā) 者和用戶VPN中的每個(gè)DRU 18的證書。數(shù)字權(quán)利頒發(fā)者VPN的DRPM 34產(chǎn)生并管理給數(shù)字權(quán)利頒發(fā)者VPN 12內(nèi)的DRU 18和給用戶VPN 12 內(nèi)的實(shí)際DRU 18 (用戶VPN 12在數(shù)字權(quán)利頒發(fā)者VPN之外)的數(shù)字權(quán) 利。數(shù)字權(quán)利頒發(fā)者VPN的DRPM 34產(chǎn)生并管理用于保護(hù)數(shù)字權(quán)利頒發(fā) 者VPN的IDC (未示出)的數(shù)字權(quán)利。用戶VPN 12的DRPM34產(chǎn)生并 管理保護(hù)用戶VPN的IDC的數(shù)字權(quán)利。于是看出數(shù)字權(quán)利頒發(fā)者VPN向 用戶VPN 12中的一組DRU 18提供數(shù)字權(quán)利。
圖4圖解說(shuō)明才艮據(jù)本發(fā)明，關(guān)于推送操作的VPN的操作，所述推送 操作把數(shù)字權(quán)利分發(fā)給內(nèi)部DRU 18。第一步是DRR 30向DRPM 34發(fā)送 數(shù)字權(quán)利的再生請(qǐng)求，根據(jù)當(dāng)前發(fā)出請(qǐng)求的內(nèi)部DRU數(shù)字權(quán)利探測(cè)時(shí)間， 發(fā)生所述再生。第二步是控制數(shù)字權(quán)利產(chǎn)生/再生策略的DRPM 34根據(jù)權(quán) 限和產(chǎn)生策略，產(chǎn)生給內(nèi)部DRU 18的數(shù)字權(quán)利，并把數(shù)字權(quán)利保存在DRR 30中。第三步是DRR30把數(shù)字權(quán)利傳送給DRDS32。 IHL之后，DRDS 32把數(shù)字權(quán)利傳送給內(nèi)部DRU 18。
圖5圖解說(shuō)明根據(jù)圖3的網(wǎng)絡(luò)的操作，所述操作涉及從數(shù)字權(quán)利頒發(fā) 者VPN到用戶VPN中的外部DRU的數(shù)字4又利的拖拉。在步驟1，用戶 VPN的DRR向DRPM 34發(fā)送數(shù)字權(quán)利的再生請(qǐng)求(根據(jù)，例如當(dāng)前發(fā) 出請(qǐng)求的內(nèi)部DRU 18數(shù)字權(quán)利探測(cè)時(shí)間)。在步驟2，頒發(fā)者VPN的 DRPM 34把請(qǐng)求轉(zhuǎn)發(fā)給頒發(fā)者VPN的DRDS。在第三步，頒發(fā)者VPN 12 的DRDS 32把請(qǐng)求轉(zhuǎn)發(fā)給它的DRPM 34。在第四步，頒發(fā)者VPN 12的 DRPM 34 (持有數(shù)字權(quán)利和數(shù)字權(quán)利頒發(fā)者VPN的再生策略)根據(jù)數(shù)字 權(quán)利產(chǎn)生策略，產(chǎn)生用于用戶VPN的外部DRU 18的數(shù)字權(quán)利，并把數(shù)字 權(quán)利保存在數(shù)字權(quán)利頒發(fā)者VPN的DRR 30中。在步驟5，頒發(fā)者VPN 12的DRR 30把數(shù)字權(quán)利傳送給數(shù)字權(quán)利頒發(fā)者VPN 12的DRDS 32。在步 驟6,頒發(fā)者VPN 12的DRDS 32把數(shù)字權(quán)利發(fā)送給用戶VPN 12的DRPM 34。在步驟7，用戶VPN 30的DRPM 34把數(shù)字權(quán)利保存在用戶VPN 12 的DRR30中。在步驟8，用戶VPN 12的DRR30把數(shù)字權(quán)利傳送給用戶 VPN的DRDS 32。在步驟9，在驗(yàn)證用戶VPN中的請(qǐng)求數(shù)字權(quán)利的DRU 18之后，用戶VPN 12的DRDS 32把數(shù)字權(quán)利發(fā)送給其中的DRU 18。
作為一種備選方案，用戶VPN的DRPM 34也可代替頒發(fā)者VPN的 DRPM34發(fā)布新的數(shù)字權(quán)利，從而節(jié)省通信費(fèi)用。這種情況下，不需要步 驟2-6。
可用不同的方式實(shí)現(xiàn)DRR30、 DRDS32和DRPM。例如，借助不構(gòu) 成本發(fā)明的一部分的適當(dāng)編程，單個(gè)處理器和相關(guān)的存儲(chǔ)器可實(shí)現(xiàn)DRR 30、 DRDS 32和DRPM 34。
雖然關(guān)于優(yōu)選實(shí)施例說(shuō)明了本發(fā)明，但是在不脫離本發(fā)明的精神和范 圍的情況下，顯然可對(duì)其做出許多修改。所有這些修改落入附加權(quán)利要求 的范圍之內(nèi)。
權(quán)利要求
1.一種用于在第一虛擬專用網(wǎng)絡(luò)中控制將數(shù)字權(quán)利分發(fā)到至少一個(gè)數(shù)字權(quán)利用戶的管理器，所述管理器被配置為與第二虛擬專用網(wǎng)絡(luò)中的另外的、不同的管理器進(jìn)行合作以便獲得來(lái)自所述第二虛擬專用網(wǎng)絡(luò)的所述數(shù)字權(quán)利。
2. 如權(quán)利要求1所述的管理器，被配置為將從所述第二虛擬專用網(wǎng) 絡(luò)所獲得的所述數(shù)字權(quán)利存儲(chǔ)在所迷第一虛擬專用網(wǎng)絡(luò)中的存儲(chǔ)器中。
3. 如權(quán)利要求2所述的管理器，被配置為控制通過(guò)所述第一虛擬專 用網(wǎng)絡(luò)中的服務(wù)器將來(lái)自所述存儲(chǔ)器的所述數(shù)字權(quán)利提供給所述至少一 個(gè)數(shù)字權(quán)利用戶。
4. 如權(quán)利要求3所述的管理器，被配置為取決于所述服務(wù)器驗(yàn)證所 述至少一個(gè)數(shù)字權(quán)利用戶為數(shù)字權(quán)利的合法用戶，控制通過(guò)所述服務(wù)器提供所述數(shù)字權(quán)利。
5. 按照權(quán)利要求4所述的管理器，被配置為取決于所迷服務(wù)器通過(guò) 使用認(rèn)證機(jī)構(gòu)驗(yàn)證所迷至少一個(gè)數(shù)字權(quán)利用戶為數(shù)字權(quán)利的合法用戶，控 制通過(guò)所述服務(wù)器提供所述數(shù)字權(quán)利。
6. 按照前述任一權(quán)利要求所述的管理器，被配置為控制將所述數(shù)字 權(quán)利提供給所述第一虛擬專用網(wǎng)絡(luò)之外的至少一個(gè)數(shù)字權(quán)利用戶。
7. 按照前述任一權(quán)利要求所述的管理器，被配置為通過(guò)所述第一虛 擬專用網(wǎng)絡(luò)和所述第二虛擬專用網(wǎng)絡(luò)之間的至少一個(gè)安全鏈路從所述第 二虛擬專用網(wǎng)絡(luò)獲得所述數(shù)字權(quán)利。
8. —種用于控制將數(shù)字權(quán)利分發(fā)給第一虛擬專用網(wǎng)絡(luò)中的至少一個(gè)數(shù) 字權(quán)利用戶的管理器，所述管理器被配置為與所述第一虛擬專用網(wǎng)絡(luò)中 的另外的、不同管理器進(jìn)行合作以便從第二虛擬專用網(wǎng)絡(luò)提供所述數(shù)字權(quán) 利。
9. 按照權(quán)利要求8所述的管理器，被配置為將所述數(shù)字權(quán)利存儲(chǔ)在 所述第二虛擬專用網(wǎng)絡(luò)中的存儲(chǔ)器。
10. 如權(quán)利要求9所述的管理器，被配置為控制通過(guò)所述第二虛擬 專用網(wǎng)絡(luò)中的服務(wù)器將來(lái)自所述存儲(chǔ)器的所述數(shù)字權(quán)利提供給所述另外 的、不同管理器。
11. 如權(quán)利要求8至10中任一所述的管理器，被配置為從所述第二 虛擬專用網(wǎng)絡(luò)之內(nèi)的數(shù)字內(nèi)容和至少一個(gè)控制數(shù)字權(quán)利的策略產(chǎn)生數(shù)字 權(quán)利，并把所產(chǎn)生的數(shù)字權(quán)利存儲(chǔ)在所述存儲(chǔ)器中。
12. 如權(quán)利要求8至10中任一所述的管理器，被配置為從外部來(lái)源 獲得所述數(shù)字權(quán)利。
13. —種網(wǎng)絡(luò)，包括第一和第二虛擬專用網(wǎng)絡(luò)，所述第一虛擬專用網(wǎng) 絡(luò)包括存儲(chǔ)器、與至少一個(gè)數(shù)字權(quán)利用戶耦接以及與所述存儲(chǔ)器耦接、被 配置為把數(shù)字權(quán)利分發(fā)給所述至少一個(gè)數(shù)字權(quán)利用戶的服務(wù)器，以及與所 述服務(wù)器和所迷存儲(chǔ)器耦接的如權(quán)利要求1至7中任一所述的管理器。
14. 一種用于在第一虛擬專用網(wǎng)絡(luò)中控制將數(shù)字權(quán)利分發(fā)給至少一個(gè)數(shù)字權(quán)利用戶的方法，所述方法包括向第二虛擬專用網(wǎng)絡(luò)請(qǐng)求所述數(shù)字權(quán)利；和接收來(lái)自所述笫二虛擬專用網(wǎng)絡(luò)的所述數(shù)字權(quán)利。
15. 如權(quán)利要求14所述的方法，還包括 從所述至少 一個(gè)數(shù)字權(quán)利用戶接收對(duì)數(shù)字權(quán)利的請(qǐng)求。
16. 如4又利要求14或15所述的方法，包括 存儲(chǔ)所接收的來(lái)自所述第二虛擬專用網(wǎng)絡(luò)的所述數(shù)字權(quán)利。
17. 如權(quán)利要求16所述的方法，包括 將所存儲(chǔ)的數(shù)字權(quán)利提供給所迷至少一個(gè)數(shù)字權(quán)利用戶。
18. 如權(quán)利要求17所述的方法，包括 驗(yàn)證所述至少一個(gè)用戶為所述數(shù)字權(quán)利的合法用戶。
19. 如權(quán)利要求14到18任一所述的方法，包括 將所述數(shù)字權(quán)利提供給所述虛擬專用網(wǎng)絡(luò)之外的至少一個(gè)數(shù)字權(quán)利用戶。
20. —種用于控制將數(shù)字^5L利分發(fā)給第一虛擬專用網(wǎng)絡(luò)中的至少一個(gè)數(shù)字^k利用戶的方法，所述方法包括接收來(lái)自所述第一虛擬專用網(wǎng)絡(luò)中的管理器的對(duì)數(shù)字權(quán)利的請(qǐng)求；和 將來(lái)自第二虛擬專用網(wǎng)絡(luò)中的存儲(chǔ)器的所述數(shù)字權(quán)利提供給所述第一虛擬專用網(wǎng)絡(luò)中的管理器。
21. 如^又利要求20所述的方法，包括響應(yīng)于接收到對(duì)所述數(shù)字權(quán)利的請(qǐng)求，將所述數(shù)字權(quán)利存儲(chǔ)在所迷存 儲(chǔ)器中。
22. 如權(quán)利要求20或21所述的方法，包括從所述第二虛擬專用網(wǎng)絡(luò)之內(nèi)的數(shù)字內(nèi)容和至少 一個(gè)控制數(shù)字權(quán)利 的策略來(lái)產(chǎn)生所述數(shù)字權(quán)利并存儲(chǔ)所產(chǎn)生的數(shù)字權(quán)利。
23. 如權(quán)利要求20或21所述的方法，包括 從外部來(lái)源獲得所述數(shù)字權(quán)利。
全文摘要
本發(fā)明是一種提供一個(gè)或多個(gè)VPN(12)之內(nèi)，數(shù)字權(quán)利的有效和可控DRM的方法和網(wǎng)絡(luò)。根據(jù)本發(fā)明的網(wǎng)絡(luò)(10)包括至少一個(gè)數(shù)字權(quán)利用戶(18和20)，每個(gè)數(shù)字權(quán)利用戶是數(shù)字權(quán)利的用戶，數(shù)字權(quán)利的DRR(30)，VPN(12)，與至少一個(gè)DRU耦接，并與存儲(chǔ)器耦接，把數(shù)字權(quán)利分發(fā)給至少一個(gè)DRU的DRDS(32)，和與DRDS耦接、控制向至少一個(gè)DRU提供保存在DRR中的數(shù)字權(quán)利的DRPM(34)。
文檔編號(hào)H04L12/56GK101557402SQ200910135119
公開(kāi)日2009年10月14日 申請(qǐng)日期2003年4月11日 優(yōu)先權(quán)日2002年5月28日
發(fā)明者帕特里克·達(dá)爾, 鵬 張, 崢 閆 申請(qǐng)人:諾基亞公司