CN101084482A - 电子软件分配方法及使用以硬件识别为基础的数字权利管理方法的*** - Google Patents

Abstract

本发明提供一种用于以数字方式分配软件应用程序的电子软件分配(ESD)方法。该方法由接收一组使用者数据开始，且接着自使用者数据产生一具有一硬件识别属性的数字硬件签名。该数字硬件签名接着经附加至软件应用程序以产生一软件应用程序封装。数字硬件签名保证该软件应用程序封装仅在一具有一匹配的硬件识别属性的硬设备上为完全可执行的。

Description

电子软件分配方法及使用以硬件识别为基础的数字权利管理方法的***

本发明涉及同一天在美国申请的名称为“以硬件识别为基础的数字权利管理***”(律师案卷号NO.PA2804US)的美国专利申请NO._ _ _ _ _ _ _ _ _ _ _。

技术领域

本发明一般而言涉及电子软件分配(ESD)的领域，特别是涉及关于用于以数字方式分配具有由数字权利管理(DRM)技术提供的安全特征的软件应用程序的方法。

背景技术

电子软件分配(ESD)用于以电子方式分配软件产品的产品分配方法。ESD正快速成为分配数字内容的较佳且主要的方法。ESD的中心问题是数字权利管理(DRM)，其在最广泛的定义中包括任何权利的所有数字管理，而不仅是数字权利的管理。由DRM引起的挑战不同于在传统权利管理中发现的挑战。传统权利管理通常包括体现于某些有形媒体中的内容，该有形媒体具有难以改变的某种程度的实体性且因此对该内容的未经授权的利用提供某些阻障。相反，数字媒体向体现于其中的内容的未经授权的利用提供很少的阻障。因此，允许产生数字内容的相同技术亦使得复制该内容极其容易。此外，因为数字复本通常与原作相同，所以连续的产生不遭受品质的损坏或降级，进一步使得容易做出对数字内容的未经授权的复制成为可能。由于未经授权的复制，卖给单一用户的软件可能最终在许多未经授权的使用者手中且藉由所述使用者使用。此可经由软件的伪复本的未经授权的生产及分配或经由诸如众人间不道德的共享的在个体层次上的文件分配而发生。

除授权问题(例如，未经授权的复制)以外，经由网络通信的数字内容亦面临鉴认问题。网络通信的数字内容(例如)经由窃听、更改、模仿及欺骗而受到第三方篡改。鉴认问题是因特网上特别严重的问题。因特网使用传输控制协议/因特网协议(TCP/IP)来允许经由各种中间计算机及独立网络将信息自源计算机投送至目的计算机。因特网的投送特征使第三方可能干扰通信。

因此将了解，若将存在基于有价值的数字内容的分配的可行贸易，则需要保持或强制执行对数字内容财产控制的方法。电子软件分配已利用DRM方法来使用包括软件解决方案及硬件解决方案两者的各种技术来应对以上挑战。现有的数字权利管理(DRM)方法集中于安全及加密作为防止或阻挠未经授权复制的方法。

图1示出了一典型ESD程序的一般概念，该ESD程序使用一用于保护一软件应用程序免于未经授权的使用的DRM方法。根据此程序，软件应用程序由供货商加密。除非被解密，已加密的软件应用程序完全不可用或仅可以有限形式使用。在步骤100，使用者接收已加密的软件应用程序的复本。为了充分使用该软件应用程序，使用者在步骤102中获得对已加密的软件应用程序的适当数字权利。数字权利一般由诸如供货商的权利发行者(issuer)来发行，且含有用以解密已加密的软件应用程序的方法或信息。一旦自权利发行者获得所需的数字权利，使用者便在步骤104中解密已加密的软件应用程序。在步骤106中，已解密的软件应用程序可用以供适当地使用，例如，该应用程序可在适当的使用者硬件上执行。

各种方法可用于实施以上一般概念，具体而言是加密及解密。一般使用称为公开/私密密钥密码学的一组公认技术及标准来完成软件应用程序的加密。以下简要解释所述技术。

图2示出了此实施例的一先前技术实例。首先，如在步骤200中指示，数字内容的出版者或供货商用加密及/或数字签名来密封该数字内容。在步骤202，已加密的数字内容经由电子分配信道(例如，网络、电子邮件、使用者网络(Usenet)、文件传输协议(ftp)、密致光盘-只读存储器(CD-ROM)等等)而循环或分配。在步骤204，一旦获得已加密的数字内容的复本，使用者便自DRM服务器请求通常呈数字证书形式的权利。在步骤206，一旦验证了使用者的授权状态，DRM服务器便向使用者发行含有所要求的解密密钥、证书及使用说明书的权利。在步骤208，使用者接着使用所要求的数字权利中所含的解密信息来解密数字内容。最后在步骤210，使用者能够在适当的使用者硬件上存取已解密的数字内容。

在使用上述DRM技术的电子软件分配方法中通常出现两个问题。第一，诸如含有解密信息的数字证书的数字权利一经发行，其自身为不受保护的。具有含有解密信息的数字证书的复本的任何人均可使用该复本来解密已加密的数字内容，该数字内容通常被自由分配或至少经受未经授权的分配。地下制造商往往非法复制数字内容并向其用户提供解密信息。在较小规模上，不道德的使用者亦可未经授权便将解密信息传递至其它人。第二，数字证书通常涉及输入并验证长的文数字密钥或密码，从而产生有些不舒适的使用者体验且阻止了自动化。

考虑到电子软件分配(ESD)在涉及数字内容的贸易中起至关紧要的作用，需要具有一种ESD方法或***，其提供稳固的内容保护，而同时提供更好的自动化及更舒适的使用者体验。

发明内容

本发明提供一种电子软件分配(ESD)方法。该方法藉由接收一组使用者数据开始，自该组数据可判定一硬件识别属性。接着产生一具有该硬件识别属性的数字硬件签名且将其附加至一软件应用程序，以产生一软件应用程序封装，该软件应用程序封装仅在一具有一匹配的硬件识别属性的硬设备上为完全可执行的。在一实施例中，数字硬件签名与软件应用程序合并以使得，即使主要程序代码组份未经加密或解密，也不可独立执行该软件应用程序。一旦完成，便分配该软件应用程序封装。软件应用程序封装可用各种形式加以分配，包括：可下载的可执行文件、CD-ROM上的复本，或抽取式ROM或RAM卡上的复本。

在一实施例中，为了产生数字硬件签名而自动判定硬件识别属性。举例而言，硬件识别属性可储存于硬设备中且通过电子方法来自动判断并通信。或者，藉由使一使用者识别与一数据库匹配来判定硬件识别属性，该数据库含有对与各个使用者识别相关联的硬件识别属性的纪录。诸如网页浏览器的使用者接口用于输入使用者数据。使用者接口最好布署于销售点处，在该销售点处购买软件封装的复本的零售商或消费者可输入使用者数据。该方法特别适用于分配用于诸如个人数字助理(PDA)或掌上型游戏机的掌上型设备的软件应用程序。

本揭示内容亦提供一种电子分配(ESD)***，该***包括：一使用者接口，其用于接收一组使用者数据，自该组数据可判定硬件识别属性；及一服务器***，其用于一旦自使用者接口接收到一请求，便产生基于该组使用者数据的数字硬件签名，且用于附加数字硬件签名至软件应用程序组份以形成软件应用程序封装。该***亦包括一用于分配软件应用程序封装的分配信道。

在一实施例中，该服务器***包括一储存软件应用程序组份的电子软件分配服务器，及一储存用于产生数字硬件签名的私密密钥的数字签名服务器。该数字签名服务器经组态以传回所产生的数字硬件签名至电子软件分配服务器，以形成软件应用程序封装。

本发明亦提供一种由零售商或供货商在销售点处用来出售软件应用程序的电子软件分配(ESD)方法。该方法藉由接收一组使用者数据开始，自该组数据可判定硬件识别属性。接着发送一请求至服务器***以产生具有硬件识别属性的数字硬件签名。接着产生一具有主要程序代码组份及附加至该主要程序代码组份的数字硬件签名的软件应用程序封装且自服务器***接收该软件应用程序封装。软件应用程序封装仅在一具有一匹配的硬件识别属性的硬设备上为完全可执行的。

如本文中所揭示，电子分配方法使用DRM管理技术，该DRM管理技术利用数字密码签名来执行对数字密码签名的唯一″反向确认″。因为硬件签名经附加至软件应用程序的主要程序代码组份以形成软件应用程序封装，所以授权一使用者使用软件应用程序不需要独立的DRM证书。数字硬件签名确认的简单性使向经授权的硬设备启用唯一的封装软件应用程序的自动化DRM方法或***为可能。因此，不要求使用者记得或输入许可密钥或许可码。此外，根据本发明，尽管仍可使用加密，但是维护数字权利不再要求加密软件应用程序的主要程序代码组份。

本揭示内容的其它特征及优势将自以下结合附图的详细描述变得更易理解。

附图说明

图1示出了根据先前技术的使用用于保护软件应用程序免于未经授权的使用的DRM方法的ESD程序。

图2示出了根据先前技术的图1的ESD程序的一实施例。

图3为根据本发明的一实施例的ESD方法的流程图表示。

图4为根据本发明的使用网络上的服务器的ESD方法的例示性实施例的示意说明。

图5为在开发可使用根据本发明的ESD方法来分配的防复制的软件应用程序时所使用的DRM方法的一实施例的示意说明。

附图符号说明

400                        网络

402                        ESD服务器

404                        签名服务器

406                        使用者接口

408                        便携式设备

500                        软件应用程序

502                        主要程序代码组份

504，506，508，510，512    签名资源

514                        硬件识别

具体实施方式

本发明提供使用基于硬件识别的数字权利管理的ESD方法及***。图3以流程图的形式提供一例示性DRM方法的概观。在步骤300提供一具有一主要程序代码组份的软件应用程序。在步骤302产生一包括一硬件识别属性的安全组份。接着在步骤304附加该安全组份至该主要程序代码组份以形成一软件应用程序封装。在步骤306，将该软件应用程序封装安装于一硬设备上，藉此安全组份工作以使得：若该硬件识别属性亦存在于该硬设备中，则启用该软件应用程序，且若该硬件识别属性不在硬件识别设备中，则禁用该软件应用程序。

以下讨论DRM方法及***的代表性实施例以说明本发明。所揭示的方法及***不应理解为以任何方式进行限制。尽管所述实例使用呈可执行PalmOS资源文件(.prc)的格式的软件应用程序，但是根据本揭示内容的方法及***不限于此文件类型。

图4为使用用于实施本发明的ESD方法的网络上的服务器的例示性ESD方法的示意说明。ESD***包括网络400，其可为任何类型的电子通信网路，但最好为基于因特网的网络。ESD***进一步包括ESD服务器402、签名服务器404及一使用者接口406。例示性ESD***将软件应用程序分配至与一便携式设备408相关联的用户(未图标)。

在一实施例中，ESD服务器402储存已由一个或多个开发者开发的未封装的应用程序的集合(图4中未图示)。每一未封装的应用程序具有一包括应用程序代码及数据资源的主要程序代码组份。所述未封装的应用程序是没有任何安全组份的准***型(bare-bones)应用程序或部分安全的应用程序。

在一说明性过程中，图4中的DRM***如下封装预定的软件应用程序。ESD服务器402接收购买信息及一组使用者数据，自该组数据可判定硬件识别属性。ESD服务器402接着发送对硬件签名的请求至签名服务器404。硬件签名请求包括使用者数据且指定哪一软件应用程序已被预定。一旦接收到硬件签名请求，签名服务器404便首先判定硬件识别属性(若ESD服务器402尚未判定该硬件识别属性)且接着产生基于该组使用者数据的数字硬件签名。如此产生的数字硬件签名包括硬件识别属性。参看图5在本揭示内容的随后部分中描述产生数字硬件签名的细节。

接下来，签名服务器404将所产生的数字硬件签名传回至ESD服务器402。一旦接收到数字硬件签名，ESD服务器402便将数字硬件签名附加至预定的软件应用程序以形成软件应用程序封装。仅当硬设备具有匹配的硬件识别属性时，如此封装的软件应用程序才可在硬设备上执行。随后将参看图5说明如此封装的软件应用程序的一实例。

最后，ESD服务器402分发或分配软件应用程序封装至预期方，诸如软件的购买者或使用者。视设置而定，可将软件应用程序封装直接发送至预期购买者或发送至零售商。可使用各种类型的分配通道。最直接的分配信道是使用网络400自身来以电子方式传递软件应用程序封装。举例而言，因为ESD服务器402需要接收使用者数据，所以其较佳连接至可由零售商或用户(软件应用程序的使用者或购买者)在一销售点406存取的使用者接口，诸如网页浏览器。当使用网页浏览器作为使用者界面时，可经由网络400下载软件应用程序封装。然而，为了更加已知的分配，亦可将软件应用程序封装储存于数字媒体中，诸如CD-ROM或ROM或RAM卡(诸如安全数字(SD)或多媒体控制(MMC)闪存卡)。

应了解，网络400的使用对于接收购买信息及该组使用者数据(自该组数据可判定硬件识别属性)而言是较佳的，但其是可选的。亦可经由其它方法(诸如电话、传真机或常规邮递)接收此信息及数据。

在一实施例中，为了产生硬件签名而自动判定硬设备的硬件识别属性。举例而言，当硬设备408经由网络400连接时，可电子地且自动地检测储存于ROM中的序号。或者，可基于提供至服务器(ESD服务器402或签名服务器404)的使用者信息来判定硬件识别属性。为完成此过程，服务器402、404维护一含有使硬设备与使用者信息相关联的纪录的数据库。在将含有使用者识别的使用者信息提供至服务器402、404之后，藉由使该使用者识别与数据库匹配来判定硬件识别属性。

图5为在开发可使用图4所说明的ESD方法来分配的防复制的软件应用程序时所使用的DRM方法的一实施例的示意说明。在此特定实例中，软件应用程序500为可再现于具有Palm操作***(Palm OS)或兼容操作***的任何电子设备上的可执行的PalmOS资源文件封装。传统上已使用用于具有68K系列处理器的掌上型设备的基于68K的应用程序接口(API)来开发Palm OS应用程序。随后的Palm OS版本(版本5或更高)经设计用于具有基于ARM处理器的掌上型设备。根据本揭示内容，软件应用程序500不限于用于任何特定硬件架构的应用程序且可经设计成适于包括经典68K架构及基于ARM的架构的任何Palm架构。

软件应用程序500包括主要程序代码组份502，其为应用程序代码及数据资源的集合。俗语任何PalmOS资源文件，软件应用程序500亦可包括PRC标头及PRC资源标头；为清楚起见，图5中省略所述标头。

软件应用程序500进一步包括多个签名资源504、506、508、510及512(分别为签名资源0、1、2、3、4)。详细地说，硬件签名512(签名资源4)在所述签名资源中，其包括硬件识别属性的安全组份。以下描述硬件签名512(签名资源4)，而在此揭示内容的随后部分中讨论其它签名资源。

在一实施例中，硬件签名512为自一杂凑及一密钥产生的加密数字签名。硬件签名512包括诸如序号或型号的硬件识别属性，该硬件识别属性可至少部分地识别待被授权执行软件应用程序500的特定硬设备(图5中未图示)。可自硬件识别514或购买信息510或两者的组合来判定该硬件识别属性。

类似于其它签名资源组份，硬件签名512经附加至主要程序代码组份502以形成封装的软件应用程序500。此不同于现有技术，现有技术使用某种″设备节点″形式来将应用程序连接至使用者的硬设备且要求使用者自密钥发行者分别获得一DRM证书及一DRM私密密钥。反之，硬件签名512成为封装的软件应用程序500的一部分且形成如本文所述用以验证经授权的硬设备的反向签名确认机制的基础。应注意，尽管可对软件应用程序500加密，但是不要求对软件应用程序500加密。

在软件应用程序500已安装于诸如Palm设备(图5中未图示)的硬设备上之后，一经执行，软件应用程序500便自动验证硬件签名512是否可藉由特定硬设备加以确认。若该确认成功，则启用软件应用程序500，意味其完全工作。然而，若确认不成功，则禁用软件应用程序500，意味执行终止或软件应用程序500进入提供少于完全功能性的受限模式。

仅可用一匹配用于产生硬件签名512的密钥的确认密钥来确认例示性硬件签名512。在某些实施例中，设计用于产生硬件签名512的签名/确认密钥对，以使得仅可在具有特定硬件识别属性的硬设备上找到匹配的确认密钥。因此，若硬件识别属性亦存在于硬设备中，则启用软件应用程序500(意即，完全可执行)，且若硬件识别属性不在硬设备中，则禁用软件应用程序500(完全不可执行或仅部分可执行)。应了解，因为硬件签名512受具有特定硬件识别属性的硬设备的约束，所以仅当藉由具有特定硬件识别属性的硬设备执行软件应用程序500的复本时，才将启用软件应用程序500的复本。

在其它实施例中，硬件签名512是使用私密密钥所产生且藉由储存于硬设备上的公开密钥加以确认。硬件签名512包括一包括硬件识别属性的数据流，且仅当相同的硬件识别属性存在于硬件上时才可被确认。在所述实施例中，不要求确认密钥包括硬件识别属性。相同的确认密钥可由许多硬设备共享。因此，所述实施例中的特定硬件安全性来自一安全私密密钥及硬件签名512的数据流的硬件特殊性。

标准密码学技术可用于使硬件识别属性与硬件签名512相关联。举例而言，可使用包括若干硬件识别属性的硬件识别来识别硬设备。一文字数字符串可自硬件识别属性加以判定且被包括作为待确认的签名数据流的一部分。或者，签名密钥可经判定以使得其皆包括来自硬设备的若干硬件识别属性中的该或所述相同硬件识别属性。

应了解，不要求硬件识别属性自身为文数字符串，也不要求硬件识别属性自身确实构成安全组份、硬件签名或密钥的一部分。词组″包括硬件识别属性″或″具有硬件识别属性″仅意味使用硬件识别属性来判定安全组份、硬件签名或密钥为一输入且因此与硬件识别属性相关联。举例而言，包括硬件识别属性的硬件签名意味使用某一算法来判定硬件签名(其是数据流)以使得硬件签名为硬件识别属性的函数，或加密用于硬件签名的相应签名密钥且仅可藉由使用经判定为硬件识别属性的函数的另一密钥来解密该签名密钥。硬件识别属性不必为文数字符串，但必须含有能够唯一判定文数字符串的适当信息。

然而，在较简单的形式中，硬件识别属性确实可为文数字符串或甚至为诸如序号的直接数字。在此情况下，硬件识别属性可直接***签名数据流中以被确认。或者，所述密钥的一可简单地为与该序号相同的数字，或至少并入该序号作为密钥的一部分，而使用标准密码学技术自该第一密钥判定该密钥对中的另一密钥。

在较复杂的形式中，硬件识别属性可直接并入硬件签名或确认该硬件签名的密钥中。举例而言，在使用硬设备的序号作为硬件识别属性的情况下，确认硬件签名的密钥可为授权密钥，其不同于该序号或甚至与序号没有直接关系，但其仍间接地并入该序号。举例而言，加密用于确认硬件签名的授权密钥以使得硬件识别的序号充当用以解密该授权密钥的解密密钥(或至少构成解密密钥的一部分)，其又用于解密该硬件签名。使用此间接的方法将硬件识别属性并入硬件签名中可提供更大的灵活性。

举例而言，在某些情况下，因为经授权的使用者已丢失先前经授权的硬设备或已升级为新硬设备，所以该使用者需要使用不同的硬设备。在所述情况下，使用者仅需要自供货商获得新的加密的授权密钥且不必获得全新的软件应用程序封装，可使用新硬设备的硬件识别属性(在此实例中为序号)来解密该新的加密的授权密钥。比较而言，若硬件识别属性(例如，序号)已直接用作硬件签名的确认密钥，则在上述情况中使用者将必须获得包括新硬件签名的新软件应用程序封装。

在一实施例中，用于产生硬件签名的签名密钥为私密密钥，而用于确认硬件签名的确认密钥为公开密钥。任何适当的密码技术可用于本揭示内容的DRM方法所必需的加密/解密。一适当的实例为来自RSA安全实验室(RSASecurity)的工业标准及工业级公开密钥密码学标准(PKCS)。如密码学技术中已知，加密是将信息自原始形式变换为除预期接收者以外任何人均难以理解的形式的过程。解密是将已加密的信息变换回至原始可理解的形式的过程。加密及解密是使用密码算法对数字内容执行的数学运算，其是数学函数。加密函数及其匹配的解密函数为相关的数学运算。在基于密钥的密码学中，仅可用权利密码算法及权利密码密钥两者的组合来执行加密或解密。密码密钥为长的数字。因为密码算法自身通常为广泛已知的，所以将已加密的信息保密的能力不基于特定密码算法的保密而基于密码密钥的保密，该密码密钥必须与该算法一起使用以产生加密结果或解密先前已加密的信息。

对称密钥加密及非对称加密皆可使用，但是非对称加密较佳。因为后者使用一对两个不同的密钥(一个为公开的，而另一个保密(私密))，所以该方法亦称作公开密钥/私密密钥加密。该对密钥，即公开密钥及私密密钥，与一需要以电子方式鉴认其识别码或者需要签名或加密数据的实体相关联。用该对中的一个密钥加密的数据仅可用该对中匹配的密钥来解密。用正确的密钥来解密是简单的。没有正确的密钥的解密很困难，且在某些情况中实际上是不可能的。如此项技术中所熟知，与内容加密相关联或除内容加密之外，基于密钥的密码学亦用于数字签名及数字证书。为此目的，私密密钥已知上用于签名功能，而公开密钥用于确认功能。更具体而言，在数字签名的已知应用中，公众使用公开密钥来验证已使用相应私密密钥执行签名的实体的识别。然而，在本发明的一较佳实施例中，应用一反向验证过程。具体而言，私密密钥用于签名一硬件签名，而公开密钥用于反向验证公开密钥的″所有者″的识别码，而不是验证已执行该签名的实体的识别码。因为公开密钥的″所有者″与硬设备(公开密钥位于该硬设备中)相关联，所以本发明利用公开密钥的实体性。

硬设备(其硬件识别属性用于产生硬件签名)可为能够执行给有适当授权的软件应用程序的任何电子设备，诸如个人计算机(PC)、掌上型计算机、游戏机或便携式游戏机。或者，硬设备(其硬件识别属性用于产生硬件签名)可为储存软件应用程序的储存设备，诸如抽取式ROM卡或RAM卡。在某些实施例中，当储存软件应用程序的抽取式储存设备连接至一主机硬设备时，软件应用程序在该主机硬设备上执行。

在某些实施例中，硬件识别属性最好能够唯一验证一硬件组中的每一硬设备。该硬件组可包含一起卖给单一用户的一组设备、一特定硬设备模型、某一类硬设备，或可广泛包括适于执行软件应用程序的所有硬设备。在所述实施例中，在意欲在一硬件组的任何成员上执行软件应用程序的情况下，可使用该硬件组或硬件域所共有的硬件识别属性。

硬件识别属性最好存在于硬设备自身上或可自硬设备自身加以判定。举例而言，硬件识别属性可为储存于硬设备上的一片电子数据。所储存的数据最好为持久的以使得其不易改变。举例而言，持久的属性可为储存于硬设备的ROM存储组件中的序号。硬件识别属性进一步最好在制造硬设备期间产生且随后难以进行修改。

再次参看图5，软件应用程序500亦包括一特定资源506(签名资源1)，为此实例将其称作Requires_Hardware_Signature(要求_硬件_签名)。特定资源506的存在指示该操作***确认硬件签名512。当第一次开始软件应用程序500时，至少执行一次硬件签名确认。在一实施例中，特定资源506指示操作***在执行软件应用程序500期间周期性地确认硬件签名512。此保证软件应用程序500继续在经授权的硬设备上执行，且(例如)尚未在经授权的硬设备上开始且随后转移或复制至未经授权的硬设备。或者，在授权硬设备为抽取式设备的情况下，此保证授权硬设备继续存在且在软件应用程序500已开始后未被移除。

特定资源506可进一步包括关于软件应用程序500的版本、硬件及硬件签名512的信息。特定资源506可进一步包括允许类型信息。举例而言，可将为允许类型信息所保留的字节设定为不同值以指示各种允许类型，其包括以下类型或其组合：

a.″不允许″，其中永久禁用软件应用程序；

b.″要求设备签名″，其中指示操作***在执行软件应用程序的硬设备中查找匹配的密钥以确认该硬件签名；

c.″要求卡签名″，其中指示操作***在ROM卡或RAM卡中查找匹配的密钥以确认该硬件签名，软件应用程序储存于该ROM卡或RAM卡上；

d.″允许设备锁定或卡锁定功能″，其中指示操作***在正在执行的硬设备中或在ROM卡或RAM卡中查找匹配的密钥以确认硬件签名；以及

e.″允许任何锁定类型″，其中指示操作***在至少部分用以执行软件应用程序的任何硬设备中查找匹配的密钥。

特定资源506亦可包括指令，其关于若硬件签名确认失败，则软件应用程序500应怎样工作。举例而言，可将为此信息所保留的字节设定为不同值以指示操作***终止软件应用程序500、重设执行软件应用程序500的硬设备、终止软件应用程序500并重设硬设备，或以诸如降级示出了模式的受限方式执行软件应用程序500。

如密码学中已知，除密钥之外，产生数字签名还需要杂凑。数字签名本质上是连同其它信息一起的已加密杂凑，诸如杂凑算法。通常使用对数据组进行运算的称作杂凑法的数学函数来产生杂凑。杂凑是数据组的数学表示且因此通常称作数据摘要或讯息摘要。杂凑是固定长度的数字。杂凑值对于经杂凑的数据而言是唯一的。数据中的任何改变，即使是删除或改变单一字符，会导致不同的杂凑值。最常使用的杂凑算法产生″单向杂凑″，因为虽然杂凑是由经杂凑的数据组产生，但是实际上不可自该杂凑推断经杂凑的数据的内容。

如此项技术中已知，杂凑法可作为独立步骤或作为签名或确认步骤的组成部分被执行。

在一实施例中，使用包含应用程序签名的数据组的杂凑来产生硬件签名512，该签名是在软件应用程序500的主要程序代码组份上签名的数字签名。应用程序签名亦经附加至封装的软件应用程序500且成为封装的软件应用程序500的一部分。以下进一步讨论根据本发明的此应用程序签名的产生及其与硬件签名的关系。

再次参看图5，软件应用程序500包括应用程序签名508(签名资源2)，可使用诸如非对称公开/私密密钥法的标准密码学技术来产生该应用程序签名。应用程序签名508可用于保护主要程序代码组份502(应用程序代码及数据资源)的完整性。在一实施例中，使用所选择的算法来基于应用程序杂凑及预定的私密密钥而产生应用程序签名508。应用程序杂凑是自主要程序代码组份502的至少一部分所产生的加密杂凑。指示执行软件应用程序500的硬设备的操作***确认应用程序签名508，以保证软件应用程序500自被签名以来未受到篡改或修改。用以产生用于硬件签名的杂凑的数据组视情况亦可包括购买信息510，如图4示出了的例示性DRM***中所说明，其是由零售商或购买者所提供。

在另一实施例中，使用一些应用程序细节(诸如应用程序名称、版本及创作者ID)来产生杂凑，且使用所产生的杂凑自大量密钥选择一密钥对。使用此方法，用于应用程序签名的密钥对至少部分地由应用程序细节所判定，且不同的密钥对可用于不同类型的应用程序。因为两个应用程序较不可能使用相同的密钥对，所以此增加了安全性。若一密钥对受到危害，则不是所有的应用程序均受到破坏。

为了更高的安全性，较佳使用私密密钥来产生应用程序签名508且使用公开密钥来确认应用程序签名508。私密密钥可选自谨慎选择且藉由一控制实体保密的大量密钥(a pool of keys)，该控制实体可为开发者、分配者、出版者、零售商，但更佳为具有对多个开发者、分配者、出版者或零售商的集中控制的实体(诸如制造商)。因为本文所述的应用程序签名508的主要功能是验证鉴认而不是授权，所以用于确认应用程序签名508的公开密钥较佳为良好出版的、易存取的且在特定硬设备上没有不必要的限制。

软件应用程序500亦包括跳表504，其是指示软件应用程序的哪些部分可用于产生用于应用程序签名508的杂凑而哪些部分可被跳过的特定资源。用于产生杂凑的部分将被以数字方式签名或″密封″，且在已产生硬件签名508之后，不可加以修改，而被跳过的部分仍可加以修改。举例而言，跳表504识别在应用程序执行期间受到修改且因此必须自应用程序签名508的产生排除的应用程序资源。此应用程序资源的实例为用于保存由使用者提供的注册码的数据资源。

应用资源可经组态以藉由在应用程序资源中植入(plant)数据讯号而被自动包括于跳表504中。举例而言，软件应用程序500可经组态以使得若应程序资源的最高有效位(MSB)被设定为″1″，则其将应用程序资源视为自动在跳表中。另一方面，诸如签名资源的某些应用程序资源可自跳表预先排除且因此总是包括于应用程序签名508的产生中。

可采用额外的步骤来增强软件应用程序500的安全性。举例而言，任何签名资源组份(504、506、508、510及512)，但特别是应用程序签名508及硬件签名512，可与主要程序代码组份502合并，以使得即使主要程序代码组份502未经加密或解密，也不可单独执行主要程序代码组份502。可增加定制程序代码及额外签名以进一步保证软件应用程序500不能被拆开、剥去DRM安全组份(诸如硬件签名512)且接着被重新组合为不受保护的应用程序。举例而言，定制签名可自软件应用程序500内的一或多个数据资源或程序代码资源程序，且包括于软件应用程序500内。当软件应用程序500在硬设备上执行时，该应用程序内的定制程序代码使用API来确认所述定制签名。所述确认可在软件应用程序代码内的各种位置及时间执行，以便使对应用程序代码的篡改愈加困难。

最后，软件应用程序500可封装于任何所要的文件格式或媒体中，诸如CD-ROM上的复本、ROM卡或RAM卡上的复本，或可下载的可执行文件。对于执行Palm OS的掌上型设备上所使用的软件应用程序500而言，经封装的软件应用程序500最好为PalmOS资源文件(.prc)。

如本文所揭示，根据本揭示内容的例示性ESD方法使用DRM技术，该DRM技术唯一地利用数字密码签名来执行与使用数字密码签名的一般已知的已知功能完全相反的功能。虽然使用数字密码签名的已知功能用于接收方来验证单一实体的识别，但是根据本揭示内容的某些DRM技术使用数字密码签名以使得签名方可验证接收实体(具体而言，硬设备)的识别码。若接收实体的公开密钥与由产生硬件签名的签名方所持有的私密密钥匹配，则验证成功。因此，本发明的例示性ESD方法中所使用的某些DRM技术利用接收实体(硬设备)的公开密钥的实体性。

数字密码签名的此唯一的″反向确认″有助于根据本揭示内容的DRM方法的有效性及简单性。因为硬件签名经附加至软件应用程序500的主要程序代码组份502以形成软件应用程序封装，所以授权一使用者使用软件应用程序500不需要独立的DRM证书。数字硬件签名确认的简单性使得无需要求使用者记得或输入许可密钥或许可码便可锁定唯一封装的软件应用程序500至经授权的硬设备的自动DRM方法及***成为可能。此外，不需要加密软件应用程序500的主要程序代码组份502。

在上述的说明中，本揭示内容参考了其特定实施例加以描述，但是本领域的技术人员将了解，本揭示内容不限于所述实施例。上述揭示内容的各种特征及态样可个别地或共同地加以使用。此外，在不偏离本说明书的较广泛精神及范畴的情况下，本揭示内容可由于除本文所述的环境及应用的外的任何数目的环境及应用中。因此，应认为本说明书及图式是说明性的，而非限制性的。将了解，如本文所用的术语″包含″、″包括″、″具有″具体而言希望被当作此项技术的开放式术语。

Claims (33)

1.一种电子软件分配方法，其包含：

接收一组使用者数据，自该组使用者数据可判定一硬件识别属性；

产生一具有该硬件识别属性的数字硬件签名；

附加该数字硬件签名至一软件应用程序以产生一软件应用程序封装，其仅在一具有一匹配的硬件识别属性的硬设备上为完全可执行的；以及

分配该软件应用程序封装。

2.如权利要求1的方法，其中接收该组使用者数据包含读取储存于该硬设备上的该硬件识别属性。

3.如权利要求1的方法，其中该组使用者数据包含一使用者识别，且藉由使该使用者识别与一包含与各个使用者识别相关联的硬件识别属性的数据库匹配来自动判定该硬件识别属性。

4.如权利要求1的方法，其中经由一使用者接口接收该组使用者数据。

5.如权利要求4的方法，其中该使用者接口包含一网页浏览器。

6.如权利要求1的方法，其中在一销售点自一购买该软件应用程序的一复本的购买者接收该组使用者数据。

7.如权利要求1的方法，其中该硬件识别属性对于该硬设备是唯一的，以使得该软件应用程序仅当安装于该硬设备上时为完全可执行的。

8.如权利要求1的方法，其中使用一杂凑数据组及一第一密钥来产生该数字硬件签名。

9.如权利要求8的方法，其中该数字硬件签名包含一包括该硬件识别属性的数据流。

10.如权利要求8的方法，其中自该软件应用程序的一应用程序签名产生该杂凑数据。

11.如权利要求8的方法，其中藉由一储存于该硬设备上的第二密钥来确认该数字硬件签名。

12.如权利要求8的方法，其中藉由一加密的授权密钥来确认该数字硬件签名，又藉由一储存于该硬设备上的第二密钥来确认该加密的授权密钥。

13.如权利要求1的方法，其中该软件应用程序封装为一可下载的可执行文件。

14.如权利要求13的方法，其中该可执行文件为一PalmOS资源文件(.prc)。

15.如权利要求1的方法，其中该数字硬件签名与该软件应用程序合并以使得，即使该主要程序代码组份未经加密或解密，也不可单独执行该软件应用程序。

16.如权利要求1的方法，其中自动执行产生该数字硬件签名及附加该数字硬件签名至该软件应用程序的步骤。

17.如权利要求1的方法，其中藉由一第一服务器执行接收该组使用者数据的步骤，且藉由一第二服务器执行产生该数字硬件签名的步骤。

18.如权利要求17的方法，其中该第一服务器为一经组态以储存该软件应用程序组份的电子软件分配服务器，且该第二服务器为一经组态以储存用于产生该数字硬件签名的私密密钥的数字签名服务器。

19.如权利要求18的方法，其中该数字签名服务器经组态以将该产生的数字硬件签名传回至该电子软件分配服务器以形成该软件应用程序封装。

20.如权利要求1的方法，其中分配该软件应用程序封装包含直接发送该软件应用程序封装至一购买者。

21.如权利要求1的方法，其中分配该软件应用程序封装包含发送该软件应用程序封装至一零售商。

22.一种电子软件分配***，其包含：

一用于接收一组使用者数据的使用者接口，可自该组使用者数据判定一硬件识别属性；

一服务器***，其经组态以依据一来自该使用者接口的请求而产生一基于该组使用者数据的数字硬件签名，且进一步经组态以附加该数字硬件签名至一软件应用程序组份以形成一软件应用程序封装；以及

一用于分配该软件应用程序封装的分配信道。

23.如权利要求22的电子软件分配***，其中接收该组使用者数据包含读取储存于该硬设备上的该硬件识别属性。

24.如权利要求22的电子软件分配***，其中该组使用者数据包含一使用者识别，且该硬件识别属性藉由使该使用者识别与一包含与各个使用者识别相关联的硬件识别属性的数据库匹配而自动加以判定。

25.如权利要求22的电子软件分配***，其中该使用者接口包含一网页浏览器。

26.如权利要求22的电子软件分配***，其中该硬件识别属性对于该硬设备系唯一的，以使得该软件应用程序仅当安装于该硬设备上时为完全可执行的。

27.如权利要求22的电子软件分配***，其中该服务器***包含一储存该软件应用程序组份的电子软件分配服务器，及一储存用于产生该数字硬件签名的私密密钥的数字签名服务器。

28.如权利要求27的电子软件分配***，其中该数字签名服务器经组态以将该产生的数字硬件签名传回至该电子软件分配服务器以形成该软件应用程序封装。

29.如权利要求1的电子软件分配***，其进一步包含在一抽取式ROM或RAM设备上储存该软件应用程序封装。

30.一种电子软件分配方法，其包含：

接收一组使用者数据，可自该组使用者数据判定一硬件识别属性；

自一服务器***请求一具有该硬件识别属性的数字硬件签名；以及

自该服务器***接收一具有一主要程序代码组份及一附加至该主要程序代码组份的数字硬件签名的软件应用程序封装，该软件应用程序封装仅在一具有一匹配的硬件识别属性的硬设备上为可执行的。

31.如权利要求30的电子软件分配方法，其中经由一网页浏览器执行接收该组使用者数据的步骤。

32.如权利要求30的电子软件分配方法，其中在一零售店执行接收该组使用者数据的步骤。

33.如权利要求30的电子软件分配方法，其中经由一网络执行请求该服务器***以产生该数字硬件签名的步骤。

Images