專利名稱：一種移動終端加入域和獲取權(quán)限對象的方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及移動通信系統(tǒng)中的DRM(Digital Rights Management，數(shù)字版權(quán)管理)技術(shù)，特別涉及移動終端加入由數(shù)字信息產(chǎn)品的內(nèi)容發(fā)行者設(shè)定的加入域和從發(fā)行者處獲取權(quán)限對象的方法。
背景技術(shù)：
DRM是實現(xiàn)具有版權(quán)的數(shù)字信息產(chǎn)品通過網(wǎng)絡(luò)銷售的前提條件，采用數(shù)字版權(quán)保護技術(shù)可有效地防止通過網(wǎng)絡(luò)和計算機非法復(fù)制、拷貝、傳送數(shù)字信息產(chǎn)品。數(shù)字信息產(chǎn)品的內(nèi)容發(fā)行者(Rights Issuer，RI)將數(shù)字信息加密后上傳到網(wǎng)絡(luò)，用戶將加密的數(shù)字信息下載到終端設(shè)備上的版權(quán)代理服務(wù)器(DRMAgent)中，用戶如果要使用下載的數(shù)字信息，再通過網(wǎng)絡(luò)向RI請求該數(shù)字信息產(chǎn)品的權(quán)限對象(Rights Object，RO)，RO中包括解密數(shù)據(jù)的密鑰，如果是一次性付費的產(chǎn)品，DRM Agent利用該密鑰解密數(shù)字信息后，用戶就可以使用了，如果需要對用戶操作權(quán)限進行控制，RO中還包括該數(shù)字信息的權(quán)限管理信息，DRM Agent根據(jù)這些限制條件管理用戶對數(shù)字信息的具體使用，現(xiàn)有技術(shù)中，對數(shù)字產(chǎn)品的限制控制一般包括使用的次數(shù)、預(yù)覽次數(shù)、每一預(yù)覽的限定時間以及使用期限等。
由于移動通信技術(shù)的發(fā)展，越來越多的用戶開始使用移動終端從網(wǎng)絡(luò)下載數(shù)字信息，現(xiàn)有的移動通信系統(tǒng)中有關(guān)DRM的協(xié)議中，盡管在4-pass注冊協(xié)議規(guī)定的終端開戶和注冊流程中，為防止非法終端和非法RI，要求移動終端和RI必須進行雙向的證書認證，即DRMAgent與RI相互提供本方證書，也同時認證對方證書的正確性與有效性，并使用證書狀態(tài)查詢(Online Certificate StatusProtocol，OCSP)來鑒別RI證書的有效性。但是在終端向RI取得RO的2-pass協(xié)議流程和1-pass協(xié)議流程中，以及加入域的2-pass協(xié)議流程中，沒有涉及對雙方證書有效性(即證書重發(fā)狀態(tài))的驗證，詳細說明如下如圖1所示，為移動終端主動向RI獲取RO的2-pass協(xié)議流程，包括如下步驟S11、DRM Agent向RI發(fā)送RO請求(RO Request)消息；RO請求消息中攜帶了移動終端用戶選擇數(shù)字信息的標識信息和使用方式。
S12、RI向移動終端的DRMAgent返回RO響應(yīng)(RO Response)消息；RO響應(yīng)消息中攜帶了RI根據(jù)移動終端用戶選擇的使用方式生成對應(yīng)的RO，DRM Agent收到RO后，根據(jù)該RO控制對應(yīng)的數(shù)字信息的使用。
有時，RI推行優(yōu)惠活動或根據(jù)終端用戶的使用累計情況進行贈送時，RI希望向移動終端主動派發(fā)RO，同時提示用戶下載對應(yīng)數(shù)字信息的具體地址，1-pass協(xié)議規(guī)定了相應(yīng)的流程，如圖2所示，該流程僅包括如下一個步驟S21、RI向移動終端的DRM Agent發(fā)送RO響應(yīng)消息，該響應(yīng)消息中攜帶了被派發(fā)的RO；RI一般通過短信方式向用戶發(fā)送下載對應(yīng)數(shù)字信息的具體地址，也可采用其他任何通訊方式通知用戶。
移動終端用戶還可以通過2-pass協(xié)議規(guī)定的流程請求加入到一個域中，該域是RI為某個類似團購的行為建立的成員組，具有唯一的域標識，移動終端用戶如果是該成員組的組員，則可以通過加入域取得特定數(shù)字信息的RO，如圖3所示，移動終端通過如下步驟請求加入到一個域中S31、DRM Agent向RI發(fā)送加入域請求(Join Domain Request)消息；移動終端用戶通過DRM Agent選擇加入域的操作并根據(jù)提示輸入域標識，DRM Agent向RI發(fā)送加入域請求消息，該請求消息中攜帶了移動終端用戶的標識信息和加入域的域標識。
S32、RI向移動終端的DRM Agent返回加入域響應(yīng)(Join Domain Response)消息；RI根據(jù)移動終端用戶的標識信息驗證該用戶是否為加入域的成員，如果是，將該成員標識為已經(jīng)成功加入域的成員，并在加入域響應(yīng)消息中攜帶該域密碼，如果該用戶不是加入域的成員則在加入域響應(yīng)消息中攜帶拒絕信息。域密碼由RI在建立域時對應(yīng)生成并保存，用戶收到域密碼后，再通過發(fā)起的2-pass協(xié)議流程向RI取得對應(yīng)數(shù)字信息的RO，具體包括如下步驟S33、DRM Agent向RI發(fā)送RO請求消息，該請求消息中攜帶了域標識；S34、RI向移動終端的DRMAgent返回加入域RO響應(yīng)消息；RI判斷該終端用戶是否已經(jīng)成功加入域中，如果是則在RO響應(yīng)消息中攜帶利用域密碼加密的加入域RO，DRM Agent收到RO后，利用域密碼解密加入域RO，并根據(jù)該加入域RO控制移動終端用戶使用對應(yīng)的數(shù)字信息；否則在加入域RO響應(yīng)消息中攜帶拒絕信息。
在上述三個流程中，移動終端和RI都不能驗證對方證書的有效性，造成證書有效性驗證不完整，無法實現(xiàn)完整的安全體系，造成系統(tǒng)安全漏洞，并且存在廢棄證書接入RI獲得RO的可能。

發(fā)明內(nèi)容
本發(fā)明提供一種移動終端獲取權(quán)限對象和加入域的方法及系統(tǒng)，以解決現(xiàn)有DRM系統(tǒng)中安全性較差的問題。
一種移動終端獲取權(quán)限對象的方法，包括如下步驟A1、發(fā)行者(RI)向在線證書狀態(tài)查詢(OCSP)響應(yīng)器發(fā)送包括RI證書的認證請求消息；A2、OCSP響應(yīng)器向RI返回包括RI證書有效性認證結(jié)果和OCSP響應(yīng)器數(shù)字簽名的認證響應(yīng)消息；A3、RI向移動終端的版權(quán)代理模塊(DRMAgent)發(fā)送包括權(quán)限對象(RO對象)并攜帶全部所述認證響應(yīng)消息的RO響應(yīng)消息；A4、DRM Agent接收所述RO響應(yīng)消息，根據(jù)OCSP響應(yīng)器數(shù)字簽名確認OCSP響應(yīng)器合法，并根據(jù)所述RI證書有效性認證結(jié)果確認RI證書有效后，獲取所述RO對象。
所述方法還包括步驟A0、DRM Agent向RI發(fā)送包括DRM Agent證書的RO請求消息。
所述的方法中，還可以通過以下步驟認證DRM Agent證書所述步驟A1、所述認證請求消息中同時包括所述DRM Agent證書；所述步驟A2、所述認證響應(yīng)消息中同時包括所述DRM Agent證書的有效性認證結(jié)果；以及所述步驟A3、RI根據(jù)所述DRM Agent證書的有效性認證結(jié)果確認DRMAgent證書有效后，再發(fā)送所述RO響應(yīng)消息。
或者，通過所述步驟A0和A1之間的以下步驟認證DRM Agent證書RI向OCSP響應(yīng)器發(fā)送包括DRM Agent證書的認證請求消息；OCSP響應(yīng)器向RI返回包括DRM Agent證書有效性認證結(jié)果的認證響應(yīng)消息；RI根據(jù)所述DRM Agent證書有效性認證結(jié)果確認終端合法后，執(zhí)行步驟A1。
所述的方法中，DRM Agent與RI之間、和/或RI與OCSP響應(yīng)器之間在交互每一個消息時，發(fā)送方生成發(fā)送方數(shù)字簽名并寫入所述消息一起發(fā)送給接收方，接收方根據(jù)所述發(fā)送方數(shù)字簽名驗證發(fā)送方合法后，再進行后續(xù)處理。
本發(fā)明還提供一種基于同一構(gòu)思的移動終端用戶加入域的方法，包括如下步驟B1、移動終端的DRMAgent向RI發(fā)送包括移動終端用戶標識和加入域標識的加入域請求消息；B2、RI根據(jù)所述用戶標識和加入域標識確認該用戶為該加入域的成員后，向OCSP響應(yīng)器發(fā)送包括RI證書的認證請求消息，并將該用戶標識為加入成員；B3、OCSP響應(yīng)器向RI返回包括RI證書有效性認證結(jié)果和OCSP響應(yīng)器數(shù)字簽名的認證響應(yīng)消息；B4、RI向DRMAgent發(fā)送包括所述加入域的域密碼并攜帶全部所述認證響應(yīng)消息的加入域響應(yīng)消息；B5、DRM Agent接收所述加入域響應(yīng)消息，根據(jù)OCSP響應(yīng)器數(shù)字簽名確認OCSP響應(yīng)器合法，并根據(jù)所述RI證書有效性認證結(jié)果確認RI證書有效后，獲取所述域密碼。
所述加入域請求消息中同時包括所述DRMAgent證書。并且所述步驟B2、所述認證響應(yīng)消息中同時包括所述DRM Agent證書的有效性認證結(jié)果；以及所述步驟B3、RI根據(jù)所述DRM Agent證書的有效性認證結(jié)果確認DRMAgent證書有效后，再發(fā)送所述加入域響應(yīng)消息。
或者，所述步驟B1和B2之間還包括如下步驟RI向OCSP響應(yīng)器發(fā)送包括DRMAgent證書的認證請求消息；OCSP響應(yīng)器向RI返回包括DRM Agent證書有效性認證結(jié)果的認證響應(yīng)消息；RI根據(jù)所述DRM Agent證書有效性認證結(jié)果確認終端合法后，執(zhí)行步驟B2。
步驟B5之后還包括如下步驟DRM Agent向RI發(fā)送包括域標識和用戶標識的加入域RO請求消息；RI確認該用戶為加入成員后，向DRM Agent返回加入域RO響應(yīng)消息，該加入域RO響應(yīng)消息包括利用域密碼進行加密的加入域RO；DRM Agent接收所述加入域RO響應(yīng)消息，獲取所述加入域RO并利用所述域密碼解密。
或者，根據(jù)本發(fā)明提供的RO獲取方法從RI獲取需要的加入域RO。
為實現(xiàn)本發(fā)明所述方法，本發(fā)明還提供一種數(shù)字信息版權(quán)管理系統(tǒng)，包括設(shè)置在移動終端上的版權(quán)代理(DRM Agent)服務(wù)器、通過移動通信網(wǎng)絡(luò)連接所述DRM Agent服務(wù)器的RI服務(wù)器和通過移動通信網(wǎng)絡(luò)連接所述RI服務(wù)器的OCSP響應(yīng)器；所述DRM Agent包括代理安全模塊，用于為發(fā)送給所述RI服務(wù)器的消息進行數(shù)字簽名；或者，驗證來自所述RI服務(wù)器并帶有數(shù)字簽名的消息的合法性；所述RI服務(wù)器包括RI安全模塊，用于為發(fā)送給所述DRM Agent服務(wù)器或所述OCSP響應(yīng)器的消息進行數(shù)字簽名；或者，驗證來自所述DRM Agent服務(wù)器或所述OCSP響應(yīng)器并帶有數(shù)字簽名的消息的合法性；所述OCSP響應(yīng)器包括OCSP安全模塊；用于為發(fā)送給所述RI服務(wù)器的消息進行數(shù)字簽名；或者，驗證來從所述RI服務(wù)器并帶有數(shù)字簽名的消息的合法性。
所述DRM Agent還包括用于收發(fā)消息的代理接口模塊和執(zhí)行數(shù)字信息版權(quán)管理的代理控制模塊，分別連接所述代理安全模塊；所述代理控制模塊將發(fā)給所述RI服務(wù)器的消息送入所述代理安全模塊進行數(shù)字簽名后，通過所述代理接口模塊發(fā)送；或者，所述代理接口模塊將從所述RI服務(wù)器接收的帶有數(shù)字簽名的消息送入所述代理安全模塊，所述代理安全權(quán)模塊根據(jù)所述數(shù)字簽名確認該數(shù)字簽名的生成方身份合法后，將所述消息送入所述代理控制模塊進行處理；和/或所述RI服務(wù)器還包括用于收發(fā)消息的RI接口模塊和執(zhí)行RO或加入域管理的RI控制模塊，分別連接所述RI安全模塊；所述RI控制模塊將發(fā)給所述RI服務(wù)器或所述OCSP響應(yīng)器的消息送入所述RI安全模塊進行數(shù)字簽名后，通過所述RI接口模塊發(fā)送；或者，所述RI接口模塊將從所述RI服務(wù)器或所述OCSP響應(yīng)器接收的帶有數(shù)字簽名的消息送入所述RI安全模塊，所述RI安全權(quán)模塊根據(jù)所述數(shù)字簽名確認該數(shù)字簽名的生成方身份合法后，將所述消息送入所述RI控制模塊進行處理；和/或所述OCSP響應(yīng)器還包括用于收發(fā)消息的OCSP接口模塊和認證RI證書和/或DRM Agent證書有效性的OCSP認證模塊，分別連接所述OCSP安全模塊；所述OCSP控制模塊將發(fā)給所述RI服務(wù)器的消息送入所述OCSP安全模塊進行數(shù)字簽名后，通過所述OCSP接口模塊發(fā)送；或者，所述OCSP接口模塊將從所述RI服務(wù)器接收的帶有數(shù)字簽名的消息送入所述OCSP安全模塊，所述OCSP安全權(quán)模塊根據(jù)所述數(shù)字簽名確認該數(shù)字簽名的生成方身份合法后，將所述消息送入所述OCSP控制模塊進行處理。所述OCSP認證模塊中還包括認證用的RI證書撤銷列表和/或DRM Agent證書撤銷列表。
本發(fā)明的有益效果如下本發(fā)明針對DRM系統(tǒng)中，在申請RO的2-pass，1-pass以及加入域的2-pass協(xié)議規(guī)定的流程中，增加RI證書的認證流程，并進一步增加了DRM Agent證書有效性認證流程，消除了DRM系統(tǒng)的安全漏洞，完善了整個安全體系。


圖1為現(xiàn)有由移動終端發(fā)起的向RI請求RO的2-pass協(xié)議流程；圖2為現(xiàn)有由RI主動發(fā)起的向移動終端派發(fā)RO的1-pass協(xié)議流程；圖3為現(xiàn)有的由移動終端發(fā)起的向RI請求加入域的2-pass協(xié)議流程；圖4為本發(fā)明所述由移動終端發(fā)起的向RI請求RO的方法流程，其中，RI向移動終端發(fā)送RO之前，請求OCSP響應(yīng)器請求驗證RI證書的有效性；圖5為本發(fā)明所述由RI主動發(fā)起的向移動終端派發(fā)RO的方法流程，其中，RI向移動終端派發(fā)RO之前，請求OCSP響應(yīng)器請求驗證RI證書的有效性；圖6為本發(fā)明所述由移動終端發(fā)起的向RI請求加入域的方法流程，其中，RI向移動終端發(fā)送域密碼之前，請求OCSP響應(yīng)器請求驗證RI證書的有效性；圖7為實施例四所述的一種DRM系統(tǒng)結(jié)構(gòu)示意圖。
具體實施例方式
本發(fā)明所述方法的目的在于優(yōu)化DRM系統(tǒng)中，移動終端發(fā)起向RI申請RO的2-pass協(xié)議流程、由RI主動發(fā)起的向移動終端派發(fā)RO的1-pass以及由移動終端發(fā)起的加入域的2-pass協(xié)議流程，在這三個流程中增加RI證書和/或DRM Agent證書的有效性認證。
為實現(xiàn)該方法，本發(fā)明使用OCSP認證方式，在上述三個流程中加入RI請求OCSP響應(yīng)器(Responder)驗證RI證書有效性的步驟，以保證RI的合法行。進一步，還增加了RI請求OCSP響應(yīng)器驗證移動DRM Agent證書有效性的步驟，以保證移動終端的合法性，從而在上述三個流程中實現(xiàn)完整的證書驗證體系。
首先，說明本發(fā)明所述方法涉及到的幾個概念1、DRM Agent證書DRM Agent證書，也稱為終端證書、終端用戶證書等，是移動終端用戶合法身份的唯一證明，其中包括一個唯一的用戶私鑰，該用戶私鑰對應(yīng)一個公開的用戶公鑰。
2、RI證書RI證書是每一個RI合法身份的唯一證明，其中包括一個唯一RI私鑰和證書標識，該RI私鑰對應(yīng)一個公開的RI公鑰。
3、OCSP響應(yīng)器證書OCSP響應(yīng)器證書是OCSP響應(yīng)器合法身份的證明，其中包括一個唯一響應(yīng)器私鑰，該響應(yīng)器私鑰對應(yīng)一個公開的響應(yīng)器公鑰。
4、OCSP認證方法是指利用OCSP響應(yīng)器認證RI證書有效性的方法，OCSP響應(yīng)器上建立有RI證書撤銷列表并及時進行更新，RI證書撤銷列表用于登記被撤銷而失效的RI證書標識，OCSP響應(yīng)器查詢當前的RI證書撤銷列表來驗證RI證書的有效性。
5、利用數(shù)字簽名進行身份驗證數(shù)字簽名可以用于信息接收方對信息發(fā)送方的身份進行合法性認證，例如信息發(fā)送方利用自己的私鑰和要發(fā)送的完整信息生成數(shù)字簽名，將數(shù)字簽名和信息一起發(fā)送給接收方，接收方利用公開的公鑰解密數(shù)字簽名，從中得到驗證信息，如果驗證信息和接收到的信息相同，則表明信息的發(fā)送方是合法可信的。
下面以具體實施例并結(jié)合附圖詳細說明本發(fā)明。
實施例一如圖4所示，實施例一以現(xiàn)有由移動終端發(fā)起的向RI請求RO的2-pass協(xié)議流程為基礎(chǔ)，增加了RI請求OCSP響應(yīng)器驗證RI證書有效性的步驟S41、DRM Agent向RI發(fā)送RO請求消息；RO請求消息中攜帶了DRM Agent證書、移動終端用戶選擇的數(shù)字信息的標識信息和使用方式，以及DRM Agent利用用戶私鑰和完整的RO請求消息生成用戶數(shù)字簽名。
S42、RI向OCSP響應(yīng)器發(fā)送OCSP請求(OCSP Request)消息請求驗證RI證書的有效性；RI收到移動終端發(fā)送的RO請求消息后，先利用用戶公鑰和用戶數(shù)字簽名驗證終端身份是否合法，驗證方法為利用用戶公鑰解密數(shù)字簽名，得到驗證的完整消息，并與實際接收到的消息進行比較，如果不相同則認為該RO請求消息來自非法終端，不予回復(fù)。反之如果相同則認為RO請求消息來自合法終端，然后向OCSP響應(yīng)器發(fā)送OCSP請求消息，該消息中攜帶了RI證書和利用RI私鑰和完整的OCSP請求消息生成的RI數(shù)字簽名。
S43、OCSP響應(yīng)器向RI返回OCSP認證響應(yīng)(OCSP Response)消息；OCSP響應(yīng)器仍然首先利用RI公鑰驗證RI數(shù)字簽名，來判斷RI的合法性，拒絕回復(fù)不合法的RI，對合法的RI則再根據(jù)RI證書撤銷列表對該RI證書的有效性進行認證。
OCSP將認證結(jié)果寫入OCSP Response認證響應(yīng)消息，再利用響應(yīng)器私鑰和完整的OCSP認證響應(yīng)消息生成OCSP數(shù)字簽名并寫入該OCSP認證響應(yīng)消息中，然后將攜帶有認證結(jié)果和OCSP數(shù)字簽名的OCSP認證響應(yīng)消息發(fā)送給RI。
S44、RI向移動終端的DRM Agent返回RO響應(yīng)消息；RI收到OCSP認證響應(yīng)消息后，完成下列操作1)、生成DRM Agent請求的RO并寫入RO響應(yīng)消息；2)、將攜帶OCSP數(shù)字簽名的OCSP認證響應(yīng)消息作為一個參數(shù)直接寫入RO響應(yīng)消息；3)、利用RI私鑰和完整的RO響應(yīng)消息再生成RI數(shù)字簽名，并將RI數(shù)字簽名寫入RO響應(yīng)消息，然后將RO響應(yīng)消息發(fā)送給DRM Agent。
DRM Agent收到RO響應(yīng)消息后，完成如下操作1)、利用RI公鑰和RI數(shù)字簽名驗證RI身份，如果合法則繼續(xù)，否則結(jié)束；2)、利用響應(yīng)器公鑰和OCSP數(shù)字簽名驗證OCSP響應(yīng)器身份的合法性，如果合法則繼續(xù)，否則結(jié)束；3)、判斷RI證書的認證結(jié)果是否為有效，如果證書有效，則從RO響應(yīng)消息中獲取RO，否則結(jié)束。
從上述步驟中，移動終端側(cè)的DRM Agent只有確認了RO響應(yīng)消息來自合法的RI，并且RI證書有效的認證結(jié)果來自合法的OCSP響應(yīng)器，才允許終端用戶使用下載的數(shù)字信息，保證了數(shù)字信息來源的合法性和安全性。
進一步在步驟S42中，RI發(fā)送給OCSP響應(yīng)器的認證請求消息中還可以攜帶終端證書，請求OCSP響應(yīng)器對DRM Agent證書進行認證，同樣，OCSP響應(yīng)器將DRM Agent證書的認證結(jié)果攜帶在OCSP認證響應(yīng)消息中返回給RI，RI再根據(jù)DRM Agent證書的認證結(jié)果決定是否向該終端發(fā)送RO響應(yīng)消息。
或者，RI在完成步驟S42之前，先向OCSP響應(yīng)器發(fā)送攜帶終端證書的認證請求消息，請求OCSP響應(yīng)器對DRM Agent證書進行認證，OCSP響應(yīng)器將DRMAgent證書的認證結(jié)果攜帶在OCSP認證響應(yīng)消息中返回給RI，如果DRM Agent證書的認證結(jié)果為有效，RI再進行步驟S42進行RI證書的認證。
為實現(xiàn)上述DRM Agent證書的認證，OCSP響應(yīng)器側(cè)需要建立DRM Agent證書撤銷列表并及時進行更新。
實施例二如圖5所示，實施例二是以現(xiàn)有RI向移動終端派發(fā)RO的1-pass協(xié)議流程為基礎(chǔ)，增加了驗證RI有效性的步驟，與實施例一相比，不需要DRM Agent向RI發(fā)送RO請求消息，其它步驟和實施例一中相同，具體為S51、RI向OCSP響應(yīng)器發(fā)送OCSP請求消息請求驗證RI證書的有效性；RI向OCSP響應(yīng)器發(fā)送OCSP請求消息，該消息中攜帶了RI證書，以及利用RI私鑰生成的RI數(shù)字簽名。
S52、OCSP響應(yīng)器向RI返回OCSP Response認證響應(yīng)消息；OCSP響應(yīng)器首先利用RI公鑰和RI數(shù)字簽名對RI身份進行合法性認證，如果合法再根據(jù)RI證書撤銷列表判斷該RI證書的有效性，反之不予回復(fù)。
OCSP響應(yīng)器將認證結(jié)果寫入OCSP Response認證響應(yīng)消息，再利用響應(yīng)器私鑰生成OCSP數(shù)字簽名并寫入該OCSP認證響應(yīng)消息中，然后將攜帶有認證結(jié)果和OCSP數(shù)字簽名的OCSP認證響應(yīng)消息發(fā)送給RI。
S44、RI向DRM Agent發(fā)送RO響應(yīng)消息；RI收到攜帶OCSP數(shù)字簽名的OCSP認證響應(yīng)消息后，完成下列操作1)、將要派發(fā)的RO寫入RO響應(yīng)消息；2)、將攜帶OCSP數(shù)字簽名的OCSP認證響應(yīng)消息作為一個參數(shù)直接寫入RO響應(yīng)消息；3)、利用RI私鑰和完整的RO響應(yīng)消息生成的RI數(shù)字簽名寫入RO響應(yīng)消息，然后將RO響應(yīng)消息發(fā)送給移動終端的DRM Agent。
DRM Agent收到RO響應(yīng)消息后，完成下列操作1)、利用RI公鑰和RI數(shù)字簽名驗證RI身份，如果合法則繼續(xù)，否則結(jié)束；2)、利用響應(yīng)器公鑰和OCSP數(shù)字簽名驗證OCSP響應(yīng)器身份的合法性，如果合法則繼續(xù)，否則結(jié)束；
3)、判斷RI證書的認證結(jié)果是否為有效，如果證書有效，則從RO響應(yīng)消息中獲取派發(fā)的RO，否則結(jié)束。
本實施例中，由于是RI主動向移動終端派發(fā)RO，不需要增加驗證DRMAgent證書是否有效的步驟。
實施例三如圖6所示，實施例三以現(xiàn)有的移動終端向RI請求加入域的2-pass協(xié)議流程為基礎(chǔ)，增加RI證書的認證步驟，具體包括S61、DRM Agent向RI發(fā)送加入域請求消息；移動終端用戶通過DRM Agent選擇加入域的操作并根據(jù)提示輸入加入域標識，DRM Agent則向RI發(fā)送加入域請求消息，該請求消息中攜帶了移動終端用戶的標識信息、加入域標識以及利用用戶私鑰和完整的加入域請求消息生成的用戶數(shù)字簽名。
S62、RI向OCSP響應(yīng)器發(fā)送OCSP請求消息，請求驗證RI證書的有效性；RI收到移動終端發(fā)送的加入域請求消息后，利用用戶公鑰和用戶數(shù)字簽名驗證終端用戶身份的合法性，拒絕回復(fù)非法終端，對于通過驗證的合法終端用戶，RI根據(jù)移動終端用戶的標識信息驗證該用戶是否對應(yīng)的加入域的成員，如果是，將該成員標識為已經(jīng)成功加入域的成員，然后向OCSP響應(yīng)器發(fā)送OCSP請求消息，該消息中攜帶了RI證書和生成的RI數(shù)字簽名。
S63、OCSP響應(yīng)器向RI返回OCSP Response認證響應(yīng)消息；OCSP響應(yīng)器首先利用RI公鑰和RI數(shù)字簽名驗證RI合法后，再根據(jù)RI證書列表判斷該RI證書的有效性，并將認證結(jié)果寫入OCSP認證響應(yīng)消息，將OCSP數(shù)字簽名后該OCSP認證響應(yīng)消息中發(fā)送給RI。
S64、RI向移動終端的DRMAgent返回加入域響應(yīng)消息；RI收到攜帶第三數(shù)字簽名的加入域響應(yīng)消息后，完成下列操作1)、將要域密碼寫入加入域響應(yīng)消息；2)、將攜帶OCSP數(shù)字簽名的OCSP認證響應(yīng)消息作為參數(shù)直接寫入加入域響應(yīng)消息；3)、利用RI私鑰和該加入域響應(yīng)消息再生成RI數(shù)字簽名寫入加入域響應(yīng)消息，然后將加入域響應(yīng)消息發(fā)送給DRM Agent。
DRM Agent收到加入域響應(yīng)消息后，完成下列操作1)、利用RI公鑰和RI數(shù)字簽名驗證RI身份，如果合法則繼續(xù)，否則結(jié)束；2)、利用響應(yīng)器公鑰和OCSP數(shù)字簽名驗證OCSP響應(yīng)器身份的合法性，如果合法則繼續(xù)，否則結(jié)束；3)、判斷RI證書的認證結(jié)果是否為有效，如果證書有效，則從RO響應(yīng)消息中獲取域密碼，否則結(jié)束。
至此，DRMAgent確認RI證書有效的認證結(jié)果來自合法的OCSP響應(yīng)器時，才從RO響應(yīng)消息中獲取域密碼，保證了域密碼來源的合法性和安全性。
DRM Agent收到域密碼后，再通過發(fā)起2-pass協(xié)議流程向RI取得對應(yīng)的加入域RO，具體包括如下步驟S65、DRMAgent向RI發(fā)送RO請求消息，該請求消息中攜帶了域標識；S66、RI向移動終端的DRM Agent返回RO響應(yīng)消息；RI判斷該移動終端用戶是否已經(jīng)被標識為對應(yīng)域的加入成員，如果是則在RO響應(yīng)消息中攜帶利用與密碼加密了的加入域RO，DRM Agent收到RO后，利用與密碼解密獲取加入域RO，用來控制用戶對數(shù)字信息的使用；如果RI判斷該移動終端用戶還沒有成功加入，則在RO響應(yīng)消息中攜帶拒絕信息。
上述步驟S65和步驟S66利用現(xiàn)有2-pass協(xié)議流程，為進一步增加安全性，還可以利用本發(fā)明所述的實施例一，再次增加對RI證書和/或DRM Agent證書進行有效性驗證的步驟，具體實現(xiàn)細節(jié)和實施例一中相同，這里不再贅述。
本發(fā)明針對DRM系統(tǒng)中，在申請RO的2-pass，1-pass以及加入域的2-pass協(xié)議規(guī)定的流程中，增加RI證書的認證流程，補充了證書有效性認證的完整性，消除了DRM系統(tǒng)的安全漏洞，并進一步增加了DRMAgent證書有效性認證流程，完善了整個安全體系。
實施例四為實現(xiàn)本發(fā)明方法，本發(fā)明還公開一種DRM系統(tǒng)，如圖7所示，現(xiàn)有移動通信領(lǐng)域的DRM系統(tǒng)包括設(shè)置在移動終端上的版權(quán)代理服務(wù)器(DRMAgent)、通過移動通信網(wǎng)絡(luò)連接DRM Agent的RI服務(wù)器和通過移動通信網(wǎng)絡(luò)連接RI服務(wù)器的OCSP響應(yīng)器；其中DRM Agent包括用于收發(fā)消息的代理(Agent)接口模塊和代理(Agent)控制模塊；RI服務(wù)器包括用于收發(fā)消息的RI接口模塊和RI控制模塊；OCSP響應(yīng)器包括用于收發(fā)消息的OCSP接口模塊和OCSP認證模塊；為實現(xiàn)本發(fā)明所述方法，需要分別在DRM Agent、RI服務(wù)器和OCSP響應(yīng)器上設(shè)置用于生成數(shù)字簽名或驗證數(shù)字簽名的安全模塊，安全模塊中存儲有加解密數(shù)字簽名的私鑰和對應(yīng)的公鑰，在接口模塊發(fā)送消息時，為消息生成數(shù)字簽名后發(fā)送給接口模塊；在接口模塊接收到消息時，負責(zé)驗證RI和/或OCSP響應(yīng)器身份的合法性，以保證消息來源的可靠性和安全性。分別描述如下DRM Agent的Agent安全模塊連接在Agent接口模塊和Agent控制模塊之間；Agent控制模塊將發(fā)給RI服務(wù)器的消息送入Agent安全模塊進行數(shù)字簽名后，通過Agent接口模塊發(fā)送；或者，Agent接口模塊將從RI服務(wù)器接收的帶有數(shù)字簽名的消息送入Agent安全模塊，Agent安全模塊根據(jù)數(shù)字簽名確認該數(shù)字簽名的生成方身份合法后，將消息送入Agent控制模塊進行處理；Agent控制模塊連接到移動終端的顯示模塊，用以顯示操作界面。
RI服務(wù)器的RI安全模塊連接在RI接口模塊和RI控制模塊之間；RI控制模塊將發(fā)給RI服務(wù)器或OCSP響應(yīng)器的消息送入RI安全模塊進行數(shù)字簽名后，通過RI接口模塊發(fā)送；或者，RI接口模塊將從RI服務(wù)器或OCSP響應(yīng)器接收的帶有數(shù)字簽名的消息送入RI安全模塊，RI安全權(quán)模塊根據(jù)數(shù)字簽名確認該數(shù)字簽名的生成方身份合法后，將消息送入RI控制模塊進行處理；OCSP響應(yīng)器的OCSP安全模塊連接在OCSP接口模塊和OCSP認證模塊之間；OCSP控制模塊將發(fā)給RI服務(wù)器的消息送入OCSP安全模塊進行數(shù)字簽名后，通過OCSP接口模塊發(fā)送；或者，OCSP接口模塊將從RI服務(wù)器接收的帶有數(shù)字簽名的消息送入OCSP安全模塊，OCSP安全權(quán)模塊根據(jù)數(shù)字簽名確認該數(shù)字簽名的生成方身份合法后，將消息送入OCSP控制模塊進行處理。OCSP認證模塊中還包括認證用的RI證書撤銷列表和DRM Agent證書撤銷列表。
具體實現(xiàn)細節(jié)在實施例一、實施例二和實施例三中都有詳細描述，這不再贅述。
顯然，本領(lǐng)域的技術(shù)人員可以對本發(fā)明進行各種改動和變型而不脫離本發(fā)明的精神和范圍。這樣，倘若本發(fā)明的這些修改和變型屬于本發(fā)明權(quán)利要求及其等同技術(shù)的范圍之內(nèi)，則本發(fā)明也意圖包含這些改動和變型在內(nèi)。
權(quán)利要求
1.一種移動終端獲取權(quán)限對象的方法，其特征在于，包括如下步驟A1、發(fā)行者(RI)向在線證書狀態(tài)查詢(OCSP)響應(yīng)器發(fā)送包括RI證書的認證請求消息；A2、OCSP響應(yīng)器向RI返回包括RI證書有效性認證結(jié)果和OCSP響應(yīng)器數(shù)字簽名的認證響應(yīng)消息；A3、RI向移動終端的版權(quán)代理模塊(DRM Agent)發(fā)送包括權(quán)限(RO)對象并攜帶全部所述認證響應(yīng)消息的RO響應(yīng)消息；A4、DRM Agent接收所述RO響應(yīng)消息，根據(jù)OCSP響應(yīng)器數(shù)字簽名確認OCSP響應(yīng)器合法，并根據(jù)所述RI證書有效性認證結(jié)果確認RI證書有效后，獲取所述RO對象。
2.如權(quán)利要求1所述的方法，其特征在于，所述方法還包括步驟A0、DRM Agent向RI發(fā)送包括DRM Agent證書的RO請求消息。
3.如權(quán)利要求2所述的方法，其特征在于，所述步驟A1、所述認證請求消息中同時包括所述DRM Agent證書；所述步驟A2、所述認證響應(yīng)消息中同時包括所述DRM Agent證書的有效性認證結(jié)果；以及所述步驟A3、RI根據(jù)所述DRM Agent證書的有效性認證結(jié)果確認DRMAgent證書有效后，再發(fā)送所述RO響應(yīng)消息。
4.如權(quán)利要求2所述的方法，其特征在于，所述步驟A0和A1之間還包括如下步驟RI向OCSP響應(yīng)器發(fā)送包括DRM Agent證書的認證請求消息；OCSP響應(yīng)器向RI返回包括DRM Agent證書有效性認證結(jié)果的認證響應(yīng)消息；RI根據(jù)所述DRM Agent證書有效性認證結(jié)果確認終端合法后，執(zhí)行步驟A1。
5.如權(quán)利要求3或4所述的方法，其特征在于，DRM Agent與RI之間、和/或RI與OCSP響應(yīng)器之間在交互每一個消息時，發(fā)送方生成發(fā)送方數(shù)字簽名并寫入所述消息一起發(fā)送給接收方，接收方根據(jù)所述發(fā)送方數(shù)字簽名驗證發(fā)送方合法后，再進行后續(xù)處理。
6.一種移動終端用戶加入域的方法，其特征在于，包括如下步驟B1、移動終端的DRM Agent向RI發(fā)送包括移動終端用戶標識和加入域標識的加入域請求消息；B2、RI根據(jù)所述用戶標識和加入域標識確認該用戶為該加入域的成員后，向OCSP響應(yīng)器發(fā)送包括RI證書的認證請求消息，并將該用戶標識為加入成員；B3、OCSP響應(yīng)器向RI返回包括RI證書有效性認證結(jié)果和OCSP響應(yīng)器數(shù)字簽名的認證響應(yīng)消息；B4、RI向DRMAgent發(fā)送包括所述加入域的域密碼并攜帶全部所述認證響應(yīng)消息的加入域響應(yīng)消息；B5、DRM Agent接收所述加入域響應(yīng)消息，根據(jù)OCSP響應(yīng)器數(shù)字簽名確認OCSP響應(yīng)器合法，并根據(jù)所述RI證書有效性認證結(jié)果確認RI證書有效后，獲取所述域密碼。
7.如權(quán)利要求6所述的方法，其特征在于，所述步驟B1、所述加入域請求消息中同時包括所述DRM Agent證書。
8.如權(quán)利要求7所述的方法，其特征在于，所述步驟B2、所述認證響應(yīng)消息中同時包括所述DRM Agent證書的有效性認證結(jié)果；以及所述步驟B3、RI根據(jù)所述DRM Agent證書的有效性認證結(jié)果確認DRMAgent證書有效后，再發(fā)送所述加入域響應(yīng)消息。
9.如權(quán)利要求7所述的方法，其特征在于，所述步驟B1和B2之間還包括如下步驟RI向OCSP響應(yīng)器發(fā)送包括DRM Agent證書的認證請求消息；OCSP響應(yīng)器向RI返回包括DRM Agent證書有效性認證結(jié)果的認證響應(yīng)消息；RI根據(jù)所述DRM Agent證書有效性認證結(jié)果確認DRM Agent合法后，執(zhí)行步驟B2。
10.如權(quán)利要求7、8或9所述的方法，其特征在于，步驟B5之后還包括如下步驟DRM Agent向RI發(fā)送包括域標識和用戶標識的加入域RO請求消息；RI確認該用戶為加入成員后，向DRM Agent返回加入域RO響應(yīng)消息，該加入域RO響應(yīng)消息包括利用域密碼加密了的加入域RO；DRM Agent接收所述加入域RO響應(yīng)消息，獲取所述加入域RO并利用所述域密碼解密。
11.如權(quán)利要求7、8或9所述的方法，其特征在于，步驟B5之后還包括如下步驟B6、DRM Agent向RI發(fā)送包括域標識、用戶標識和DRM Agent證書的加入域RO請求消息；B7、RI確認該用戶為加入成員后，向OCSP響應(yīng)器發(fā)送包括RI證書的認證請求消息；B8、OCSP響應(yīng)器向RI返回包括RI證書的有效性認證結(jié)果和OCSP響應(yīng)器數(shù)字簽名的認證響應(yīng)消息；B9、RI向DRM Agent返回加入域RO響應(yīng)消息，該RO響應(yīng)消息包括利用域密碼進行加密的加入域RO并攜帶完整的所述認證響應(yīng)消息；B10、DRM Agent接收所述加入域RO響應(yīng)消息，根據(jù)OCSP響應(yīng)器數(shù)字簽名確認OCSP響應(yīng)器合法，并根據(jù)所述RI證書有效性認證結(jié)果確認RI證書有效后，獲取所述加入域RO并利用所述域密碼解密。
12.如權(quán)利要求11所述的方法，其特征在于，所述步驟B7、所述認證請求消息中同時包括所述DRM Agent證書；所述步驟B8、所述認證響應(yīng)消息中同時包括所述DRM Agent證書的有效性認證結(jié)果；以及所述步驟B9、RI根據(jù)所述DRM Agent證書的有效性認證結(jié)果確認DRMAgent證書有效后，再發(fā)送所述RO響應(yīng)消息。
13.如權(quán)利要求11所述的方法，其特征在于，所述步驟B6和步驟B7之間還包括步驟RI向OCSP響應(yīng)器發(fā)送包括DRM Agent證書的認證請求消息；OCSP響應(yīng)器向RI返回包括DRM Agent證書有效性認證結(jié)果的認證響應(yīng)消息；RI根據(jù)所述DRM Agent證書有效性認證結(jié)果確認終端合法后，執(zhí)行步驟B7。
14.如權(quán)利要求12或13所述的方法，其特征在于，DRM Agent與RI之間、RI與OCSP響應(yīng)器之間在交互每一個消息時，發(fā)送方生成數(shù)字簽名并寫入所述消息一起發(fā)送給接收方，接收方根據(jù)所述數(shù)字簽名驗證發(fā)送方合法后，再進行后續(xù)處理。
15.一種數(shù)字信息版權(quán)管理系統(tǒng)，包括設(shè)置在移動終端上的版權(quán)代理(DRMAgent)服務(wù)器、通過移動通信網(wǎng)絡(luò)連接所述DRM Agent服務(wù)器的RI服務(wù)器和通過移動通信網(wǎng)絡(luò)連接所述RI服務(wù)器的OCSP響應(yīng)器；其特征在于，所述DRM Agent包括代理安全模塊，用于為發(fā)送給所述RI服務(wù)器的消息進行數(shù)字簽名；或者，驗證來自所述RI服務(wù)器并帶有數(shù)字簽名的消息的合法性；所述RI服務(wù)器包括RI安全模塊，用于為發(fā)送給所述DRM Agent服務(wù)器或所述OCSP響應(yīng)器的消息進行數(shù)字簽名；或者，驗證來自所述DRM Agent服務(wù)器或所述OCSP響應(yīng)器并帶有數(shù)字簽名的消息的合法性；所述OCSP響應(yīng)器包括OCSP安全模塊；用于為發(fā)送給所述RI服務(wù)器的消息進行數(shù)字簽名；或者，驗證來從所述RI服務(wù)器并帶有數(shù)字簽名的消息的合法性。
16.如權(quán)利要求15所述的系統(tǒng)，其特征在于，所述DRM Agent還包括用于收發(fā)消息的代理接口模塊和執(zhí)行數(shù)字信息版權(quán)管理的代理控制模塊，分別連接所述代理安全模塊；所述代理控制模塊將發(fā)給所述RI服務(wù)器的消息送入所述代理安全模塊進行數(shù)字簽名后，通過所述代理接口模塊發(fā)送；或者，所述代理接口模塊將從所述RI服務(wù)器接收的帶有數(shù)字簽名的消息送入所述代理安全模塊，所述代理安全權(quán)模塊根據(jù)所述數(shù)字簽名確認該數(shù)字簽名的生成方身份合法后，將所述消息送入所述代理控制模塊進行處理；和/或所述RI服務(wù)器還包括用于收發(fā)消息的RI接口模塊和執(zhí)行RO或加入域管理的RI控制模塊，分別連接所述RI安全模塊；所述RI控制模塊將發(fā)給所述RI服務(wù)器或所述OCSP響應(yīng)器的消息送入所述RI安全模塊進行數(shù)字簽名后，通過所述RI接口模塊發(fā)送；或者，所述RI接口模塊將從所述RI服務(wù)器或所述OCSP響應(yīng)器接收的帶有數(shù)字簽名的消息送入所述RI安全模塊，所述RI安全權(quán)模塊根據(jù)所述數(shù)字簽名確認該數(shù)字簽名的生成方身份合法后，將所述消息送入所述RI控制模塊進行處理；和/或所述OCSP響應(yīng)器還包括用于收發(fā)消息的OCSP接口模塊和認證RI證書和/或DRM Agent證書有效性的OCSP認證模塊，分別連接所述OCSP安全模塊；所述OCSP控制模塊將發(fā)給所述RI服務(wù)器的消息送入所述OCSP安全模塊進行數(shù)字簽名后，通過所述OCSP接口模塊發(fā)送；或者，所述OCSP接口模塊將從所述RI服務(wù)器接收的帶有數(shù)字簽名的消息送入所述OCSP安全模塊，所述OCSP安全權(quán)模塊根據(jù)所述數(shù)字簽名確認該數(shù)字簽名的生成方身份合法后，將所述消息送入所述OCSP控制模塊進行處理。
17.如權(quán)利要求16所述的系統(tǒng)，其特征在于，所述OCSP認證模塊中還包括認證用的RI證書撤銷列表和/或DRM Agent證書撤銷列表。
全文摘要
本發(fā)明涉及移動通信系統(tǒng)中的數(shù)字版權(quán)管理技術(shù)，特別涉及移動終端內(nèi)容發(fā)行者設(shè)定的加入域和從發(fā)行者處獲取權(quán)限對象的方法，以解決現(xiàn)有DRM系統(tǒng)中安全性較差的問題。所述獲取權(quán)限對象的方法和加入域方法中，發(fā)行者RI向OCSP響應(yīng)器請求RI證書的認證并在RO響應(yīng)消息中或加入域響應(yīng)消息中攜帶有效性認證結(jié)果和OCSP響應(yīng)器的數(shù)字簽名，移動終端的DRM Agent根據(jù)OCSP響應(yīng)器數(shù)字簽名確認OCSP響應(yīng)器合法，并確認RI證書有效后，獲取所述RO對象或加入域密碼，保證了RO對象或加入域密碼來源的安全性和可靠性。實現(xiàn)上述方法的系統(tǒng)包括分別設(shè)置有安全模塊的版權(quán)代理服務(wù)器、RI服務(wù)器和OCSP響應(yīng)器。
文檔編號H04L9/32GK1794128SQ20051009029
公開日2006年6月28日 申請日期2005年8月12日 優(yōu)先權(quán)日2005年8月12日
發(fā)明者李益民, 石國欣 申請人:華為技術(shù)有限公司