CN102279908B

CN102279908B - 一种数字内容的保护方法及***

Info

Publication number: CN102279908B
Application number: CN201010195317.7A
Authority: CN
Inventors: 蔡宁宁; 胡胜发
Original assignee: Anyka Guangzhou Microelectronics Technology Co Ltd
Current assignee: Guangzhou Ankai Microelectronics Co.,Ltd.
Priority date: 2010-06-08
Filing date: 2010-06-08
Publication date: 2014-03-12
Anticipated expiration: 2030-06-08
Also published as: CN102279908A

Abstract

本发明适用于信息安全领域，提供了一种数字内容的保护方法，该方法包括：终端设备的核心处理器产生数字签名，并对数字签名进行加密后，发送至SP；SP对数字签名进行解密，并产生SP随机数，将设备标识号、本地随机数以及SP随机数组成密钥，对数字内容进行加密，并在数字内容的约定头部添加包括加密标识和密钥确定算法的加密信息字段；SP将添加了加密信息字段的数字内容以及SP随机数分开发送至终端设备；终端设备的核心处理器根据密钥确定算法从本地搜索可以对该加密的数字内容进行解密的密钥组合，并采用密钥组合对加密的数字内容进行解密处理。本发明可提高加密数字内容的破解难度，提高数字内容的安全性，达到保护数字内容的目的。

Description

一种数字内容的保护方法及***

技术领域

本发明属于数字内容授权应用领域，尤其涉及一种数字内容的保护方法及***。

背景技术

随着互联网和电子科技的高速发展，数字内容作为服务标的物的应用越来越广泛，但却因为数字内容的复制无法有效控制，如何限制非授权用户使用和保护数字内容提供商版权权益，是当前数字内容授权认证主要问题。

常见的数字内容包括音视频流，电子书等等。数字内容供应商为了维护自己的版权，开发出各种加密技术和限制应用等手段，但都没有达到预期的效果。

现在电子内容版权的保护主要方法有：

1、在授权内容里添加唯一数字签名，发生侵权时，追踪原始拷贝的来源；弊端是只能是事后追查，不能从源头上堵截。

2、对授权内容使用进行加密，通过在线绑定用户，使得用户只能在线使用；弊端是用户必须在线，不适合本地性质的数字内容服务。

3、对授权内容加密，通过控制分发密钥的方法，分发给用户；弊端是用户故意分享密钥，版权将无法保护。

4、在功能应用性软件里，添加设备识别信息，绑定使用设备；弊端是软件自带识别信息，盗版用户完全可以跟踪内存指令跳转信息，进行破解。

5、授权内容的加密方式，与终端设备的内嵌密钥唯一绑定；但涉及到用户设备密钥向外传播的过程，弊端是一旦用户终端的密钥被截取一次，那么就永远可以用该设备进行购买正版内容，将授权内容破解之后，就可以无限制的非法分发出去。

还有其他的终端绑定方法，但大都是需要每一个终端需要在认证中心建立终端授权帐号，通过认证中心对帐号的管理，再进行授权内容的加密发布；弊端这个认证服务中心很难适应层出不穷的终端设备发展。

综上所述，现有的数字内容的保护方法还是存在破解的难度小，安全性低的问题。

发明内容

本发明实施例的目的在于提供一种数字内容的保护方法，旨在提高数字内容被破解的难度，提高数字内容的安全性的问题。

本发明实施例是这样实现的，一种数字内容的保护方法，所述方法包括下述步骤：

终端设备的核心处理器产生数字签名，并对数字签名进行加密处理，得到加密的数字签名，将加密的数字签名发送至数字内容提供方SP；

SP对接收的加密的数字签名进行解密处理，得到解密的数字签名，所述解密的数字签名包括设备标识号和本地随机数；

SP产生SP随机数，并将设备标识号、本地随机数以及SP随机数组合成密钥，对用户指定的数字内容进行加密处理，并在数字内容的约定头部添加加密信息字段，得到加密的数字内容，所述加密信息字段包括加密标识和密钥确定算法；

SP将添加了加密信息字段的加密的数字内容以及产生的SP随机数分开发送至终端设备；

终端设备的中间服务程序对加密信息字段进行解析，得到加密标识和密钥确定算法，并将密钥确定算法提供给终端设备的核心处理器；

终端设备的核心处理器根据密钥确定算法从本地搜索可以对该加密的数字内容进行解密的密钥组合，所述密钥组合包括本地随机数、SP随机数以及设备标识号，并采用搜索到的密钥组合在硬件层或者驱动层对加密的数字内容进行解密处理，在解密成功时，允许用户访问数字内容，在解密失败时，拒绝用户访问数字内容。

在本发明实施例中，在用户定制电子内容时，通过终端设备的GCAPU对包括设备ID号和本地随机数的数字签名进行加密处理，再向SP传播；在SP向终端设备传播电子内容时，与作为部分密钥的SP随机数分开传播；在用户解密电子内容时，通过终端设备的GCAPU从本地搜索可以对加密的数字内容进行解密的由本地随机数、SP随机数以及设备ID号组成的密钥组合，并采用搜索到的密钥组合在硬件层或者驱动层对加密的数字内容进行解密处理。整个过程从定制电子内容到电子内容应用，仅仅在SP在加密时和GCAPU在解密时才出现完整的密钥组合，从而极大的提高了加密数字内容的破解难度，提高数字内容的安全性，达到保护数字内容的目的。

附图说明

图1是本发明实施例提供的数字内容的保护***的结构框图；

图2是本发明第一实施例提供的数字内容的保护方法的实现流程图；

图3是本发明第二实施例提供的数字内容的保护方法的实现流程图；

图4是本发明第三实施例提供的数字内容的保护方法的实现流程图；

图5是本发明第四实施例提供的数字内容的保护方法的实现流程图；

图6是本发明第五实施例提供的数字内容的保护方法的实现流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

在本发明实施例中，终端设备通过其核心处理器对包括设备标识号和本地随机数的数字签名进行加密后，将加密后的数字签名发送至数字内容提供方；数字内容提供方对加密的数字签名进行解密，得到解密的包括设备ID号和本地随机数的数字签名，同时产生SP随机数；数字内容提供方将设备ID号、本地随机数以及SP随机数组合成密钥，采用密钥对用户请求的数字内容进行加密处理，并在数字内容的约定头部添加包括加密标识和密钥确定算法的加密信息字段，将加密的数字内容发送至终端设备；终端设备的核心处理器根据密钥确定算法从本地搜索可以对该加密的数字内容进行解密的密钥组合，并采用该密钥组合对加密的数字内容进行解密处理；在解密成功时，允许用户访问数字内容，在解密失败时，拒绝用户访问数字内容。由于采用密钥切分和加密传播，密钥随机化，密钥限制读取等操作，消除了在传播途径截取密钥的可能性，从而极大的提高了加密数字内容的破解难度，提高数字内容的安全性，达到保护数字内容的目的。

图1示出了本发明实施例提供的数字内容的保护方法所采用的数字内容保护***的结构，为了便于说明，仅示出了与本发明实施例相关的部分。

该数字内容的保护***包括终端设备、数字内容提供方(Service Provider，SP)以及第三方加密方法备案服务(Encryption & Authentication Server，EAS)***。

终端设备的GCAPU所使用的任何数字签名加密算法对应的解密算法均需要在EAS***进行分类注册，并通过EAS***对终端设备的解密算法进行维护。同时SP也必须在EAS***进行注册，并在SP注册成功后，EAS***向SP下发合法使用证书。SP在接收到终端设备发送的加密的数字签名时，将加密的数字签名发送到EAS***，同时附加上SP的合法使用证书。EAS***在接收到SP发送的加密的数字签名时，根据附加的合法使用证书对SP的身份进行验证，如果验证通过，则采用终端设备在EAS***中注册的解密算法对加密的数字签名进行解密处理，得到解密后的数字签名，并将解密后的数字签名发送至SP，以通过EAS***对加密的数字签名进行解密，提高数字签名的安全性。

实施例1：

图2示出了本发明第一实施例提供的数字内容的保护方法的实现流程，详述如下：

1、终端设备的核心处理器产生数字签名，并对数字签名进行加密处理，得到加密的数字签名。

其中数字签名包括设备标识(Identify Number，ID)号(也称为设备身份认证号)和本地随机数。其中设备ID号用于标记唯一的终端设备核心处理器。该设备ID号由若干个比特长度的二进制码组成。核心处理器在出厂时，均会一次性编程烧入设备ID号，在核心处理器出厂后，该设备ID号将无法更改。其中设备ID号的字段主要包括两部分，即设备类型和设备序列号。该设备ID号可以是设备类型和设备序列号的直接组合，也可以是设备类型和设备序列号的简单变换。

在本发明实施例中，在用户需要从SP购买指定的数字内容时，终端设备向SP发起交易请求，并向SP付费。在用户付费成功后，SP操作终端设备，以使终端设备通过其核心处理器(Genera Central Application Processor Unit，GCAPU)产生用于本次交易的数字签名，并通过其GCAPU对产生的数字签名进行加密处理，得到加密的数字签名。

其中终端设备的GCAPU包括中央处理器(Central Processor Unit，CPU)和底层驱动程序组。其中底层驱动程序组主要包括CPU驱动组。另外底层驱动程序组可扩展包括协助处理单元和协助处理单元驱动组。

其中数字内容包括但不限于音视频流、电子书等。

在本发明实施例中，在通过终端设备的GCAPU对数字签名进行加密处理时，可以采用现有技术提供的任意一种加密算法，但为了提高加密的数字签名的破解难度，需要采用较复杂的加密算法对数字签名进行加密，使得一般的终端设备难以采用与加密算法对应的解密算法对加密的数字签名进行解密处理。

2、终端设备将加密的数字签名发送至SP，以向SP请求下载指定的数字内容。

3、SP对接收的加密的数字签名进行解密处理，得到包括设备ID号和本地随机数的数字签名。

采用SP端负责数字签名的解密的***中，主要依靠非对称性加密算法，终端设备采用私钥对包括设备ID号和本地随机数的数字签名进行加密，SP用公钥对加密的数字签名进行解密，或者终端设备和SP端使用共同密钥，并由终端设备另外提供其他解密信息来帮助SP进行解密。

4、SP产生SP随机数，并将设备ID号、本地随机数以及SP随机数组合成密钥，采用该密钥对用户指定的数字内容进行加密处理，在数字内容的约定头部添加加密信息字段，得到加密的数字内容。

其中加密信息字段包括加密标识和密钥确定算法。该加密标识的值为布尔型，用于标识该数字内容是否已加密。该密钥确定算法用于终端设备确定对该加密的数字内容进行解密的密钥组合。

在本发明实施例中，在将设备ID号、本地随机数以及SP随机数组合成的密钥对用户指定的数字内容进行加密处理时，可以采用现有技术提供的任意一种加密算法，在此不再赘述。

5、SP将添加了加密信息字段的加密的数字内容以及产生的SP随机数分开发送至终端设备。

其中将加密的数字内容以及产生的SP随机数分开发送是指将加密的数字内容以及SP随机数通过不同的传输信道进行发送，或者错开时间发送。这样可以增加非法用户截取加密的数字内容以及产生的SP随机数的难度。

6、终端设备的中间服务程序对加密信息字段进行解析，得到加密标识和密钥确定算法，并将密钥确定算法提供给终端设备的GCAPU。

7、终端设备的GCAPU根据密钥确定算法从本地搜索可以对该加密的数字内容进行解密的密钥组合。其中密钥组合包括本地随机数、SP随机数以及设备ID号。

在本发明实施例中，当终端设备的GCAPU产生本地随机数时，将该本地随机数在终端设备中进行注册，同时，当接收到SP发送的SP随机数时，将该SP随机数在终端设备中进行注册。在GCAPU搜索密钥组合时，从在本地注册的本地随机数中搜索构成密钥组合的本地随机数，从本地注册的SP随机数中搜索构成密钥组合的SP随机数，并将搜索到的本地随机数和SP随机数结合设备ID号作为密钥组合，根据密钥确定算法判断该搜索到的密钥组合是否可以对该加密的数字内容进行解密，如果是，则执行步骤8，否则GCAPU继续从本地搜索密钥组合，直到搜索到按照密钥确定算法判定可以对该加密的数字内容进行解密的密钥组合，或者按照密钥确定算法，搜索到的所有密钥组合均不能对该加密的数字内容进行解密为止。

为加快密钥组合的搜索速度，GCAPU在搜索密钥组合时，如果用户是第一次访问该数字内容，则采用最近注册信息搜索方式进行搜索，如果搜索到可以成功解密该加密的数字内容的密钥组合，则建立数字内容与密钥组合的关联关系；对于曾经访问过的数字内容，则优先查询该数字内容的关联密钥组合。

由于终端设备可能从SP下载了多个加密的数字内容，以及误操作导致终端注册中包含多余的本地随机数和SP随机数时，密钥组合的搜索往往根据最近注册随机数进行一次尝试，例如在终端设备本地注册了2个本地随机数分别为1、2、和2个SP随机数分别为A、B，设备ID号为a，则由本地随机数、SP随机数、设备ID号组成的密钥组合包括＜2、B、a＞、＜2、A、a＞、＜1、B、a＞、＜1、A、a＞四种情况。终端设备的GCAPU依次按照先本地随机数，后SP随机数，结合设备ID号尝试密钥组合，直到找到正确密钥或者穷举完毕所有密钥组合为止。

在本发明实施例中，核心处理器产生的数字签名中所包含的本地随机数的明文信息，除了终端设备中负责加密和解密模块之外，该终端设备上其他任何应用程序都无法读取。

终端设备中负责加密和解密模块是GCAPU中所包括的一个芯片电路功能模块，或者是与CPU紧密相关的***硬件电路，或者是由CPU调度的存储设备底层驱动程序。GCAPU在本地搜索注册列表中的本地随机数和SP随机数，结合设备ID号，根据密钥确定算法从组成的密钥组合中搜索正确密钥，并采用该密钥对加密的数字内容进行解密，在解密后，由GCAPU向上层应用程序提供透明的该数字内容的数据流。

该终端设备上其他任何应用程序都无法读取到本地随机数的明文信息，从而极大的提高了加密的数字内容的安全性。

8、GCAPU采用搜索到的密钥组合在硬件层或者驱动层对加密的数字内容进行解密处理，在解密成功时，允许用户访问数字内容，在解密失败时，拒绝用户访问数字内容。

在本发明实施例中，由于需要结合本地随机数对加密的数字内容进行解密处理，而且对数字签名的加密处理以及对加密的数字内容的解密处理均由终端设备的硬件层或者驱动层完成，从而极大的提高了加密数字内容的破解难度，提高数字内容的安全性，达到保护数字内容的目的。

实施例二：

图3示出了本发明第二实施例提供的数字内容的保护方法的实现流程，详述如下：

为了进一步提高包括设备ID号和本地随机数的数字签名的破解难度，隔离SP与终端设备供应商之间的加解密算法的联通关系，降低终端设备的加密算法的复杂度，便于终端设备中的加密算法的升级和维护，减少SP解密数字签名的计算负担，在本发明实施例中，通过EAS***对数字签名进行解密。

其中EAS***是一种具有强大的解密运算能力和安全通知能力，用于对数字签名进行解密的***。在通过EAS***对数字签名进行解密时，由于其具有强大的解密运算能力，因此，可以运行复杂的解密运算。而普通终端设备在没有其他辅助信息条件下，仅能通过大量的迭代穷举运算来破解，得到解密的数字签名，当采用复杂的加密算法时，这种解密方法的运算量过大，导致普通终端设备难以实现解密。

在本发明实施例中，在采用EAS***对数字签名进行解密之前，GCAPU所使用的任何数字签名加密算法对应的解密算法均需要在EAS***进行注册或者分类注册，并通过EAS***对终端设备的解密算法进行维护。这样当加密技术更新时，EAS***只要向注册的终端设备制造商发布新的加密技术，终端设备制造商确定注册新的加密算法后，即可使用新的加密算法对数字签名进行加密，这样即时破解技术不断发展，加密技术更新周期再快，EAS***也可以追踪到最新最合适的加密算法，并将加密算法发布给注册的终端设备制造商，从而便于加密算法的升级和维护。在本发明实施例中，由于从数学范围内描述解码时，可能会有无穷多的解，当通过算法就可以保证对数字签名进行解密时可以得到全范围内的唯一解时，则只要将GCAPU所使用的数字签名加密算法对应的该解密算法在EAS***进行注册，此时，所有的终端设备都必须采用同样的加密算法。

但是通过算法来保证对数字签名进行解密时可以得到全范围内的唯一解时，为了保证数字签名的安全性，该加密的数字签名长度必须很长，从而导致解密时的运算量巨大，此时为了在保证数字签名的安全性的同时减少解密时的运算量，可以将GCAPU所使用的任何数字签名加密算法对应的该解密算法在EAS***进行分类注册。

GCAPU所使用的任何数字签名加密算法对应的解密算法在EAS***进行分类注册时，对于同型号的终端设备采用相同的加密算法。对于同型号(请问同类型和同一型号是两个不同的技术术语吗？)不同序列号的GCAPU产生的数字签名，在EAS端进行解密后，可以得到约定域内序列号和本地随机数有唯一的解，但允许不同型号的GCAPU产生的数字签名的解密结果有交集。

这样，当SP将加密的数字签名发送至EAS***时，同时向EAS***发送终端设备类型，这样EAS***在对加密的数字签名进行解密时，即使不同型号的GCAPU产生的数字签名的解密结果有交集，但由于对于同型号不同序列号的GCAPU产生的数字签名，在EAS端进行解密后，可以得到约定域内序列号和本地随机数有唯一的解，因此，EAS可以通过终端设备的类型来大幅度缩小搜索范围，减轻反查询搜索运算负担。同时SP也必须在EAS***进行注册，并在SP注册成功后，EAS***向SP下发合法使用证书。

该数字内容的保护方法的实现流程如下：

1、终端设备通过其核心处理器产生数字签名，并对数字签名进行加密处理，得到加密的数字签名。其具体步骤如上所述，在此不再赘述。

2、终端设备将加密的数字签名发送至SP，并向SP提供终端设备的类型信息，以向SP请求下载指定的数字内容。

3、SP将该加密的数字签名和终端类型发送至EAS***，并从EAS***接收解密的数字签名。

在本发明实施例中，在EAS***进行单一注册的GCAPU所使用的数字签名加密算法对应的解密算法，在理论上保证了加密数字签名的求解能够在全范围的搜索到唯一的解，得到包括设备ID号和本地随机数的数字签名明文。

在本发明另一实施例中，在EAS***进行分类注册的GCAPU所使用的数字签名加密算法对应的解密算法为简单的反查询法，EAS***通过SP传送来的终端设备的类型来大幅度缩小搜索范围，减轻反查询运算负担。EAS***将反查询的到结果返回给SP，该结果即为包括设备ID号和本地随机数的数字签名明文。

4、SP产生SP随机数，并将设备ID号、本地随机数以及SP随机数组合成密钥，采用该密钥对用户指定的数字内容进行加密处理，在数字内容的约定头部添加加密信息字段，得到加密的数字内容。其中加密信息字段包括加密标识和密钥确定算法。其具体过程如上所述，在此不再赘述。

5、SP将添加了加密信息字段的加密的数字内容以及产生的SP随机数分开发送至终端设备。其具体过程如上所述，在此不再赘述。

7、终端设备的GCAPU根据密钥确定算法从本地搜索可以对该加密的数字内容进行解密的密钥组合。其中密钥组合由本地随机数、SP随机数以及设备ID号组成。其具体步骤如上所述，在此不再赘述。

8、GCAPU采用搜索到的密钥组合在硬件层或者驱动层对加密的数字内容进行解密处理，在解密成功时，允许用户访问数字内容，在解密失败时，拒绝用户访问数字内容。其具体内容如上所述，在此不再赘述。

在本发明实施例中，通过EAS***对加密的数字签名进行解密处理，从而可以隔离SP和终端设备供应商之间的加解密方法的联通关系，有效的保护了终端设备的加密方法的安全性。由于GCAPU所使用的任何数字签名加密算法对应的解密算法均需要在EAS***进行分类注册，从而当加密技术更新时，EAS***只要向注册的终端设备制造商发布新的加密技术，终端设备制造商确定注册新的加密算法后，即可使用新的加密算法对数字签名进行加密，从而便于加密算法的升级和维护。另外由于SP不再需要对加密的数字签名进行解密，从而减少了SP的解密计算负担，减少终端设备制造商和SP相互直接解密技术升级维护费用。

实施例三：

图4示出了本发明第三实施例提供的数字内容的保护方法的实现流程，详述如下：

1、终端设备通过其GCAPU产生数字签名，并对数字签名进行加密处理，得到加密的数字签名。其具体步骤如上所述，在此不再赘述。

3、SP将该加密的数字签名发送至EAS***，并从EAS***接收解密的数字签名。该解密后的数字签名包括设备ID号和本地随机数。

在本发明另一实施例中，该步骤也可以替换为SP对接收的加密的数字签名进行解密处理，得到包括设备ID号和本地随机数的数字签名。

4、SP产生SP随机数，并将设备ID号、本地随机数以及SP随机数组合成密钥，采用该密钥对用户指定的数字内容进行加密处理，并在数字内容的约定头部添加加密信息字段，得到加密的数字内容。

其中加密信息字段包括的密钥确定算法为加密对照信息。该加密标识的值为布尔型，用于标识该数字内容是否已加密。加密对照信息包括参考信息明文、以及采用加密算法对该参考信息进行加密处理后得到的密文信息。其中对该参考信息进行加密处理所采用的加密算法与对用户指定的数字内容采用的加密算法相同。参考信息可以是从数字内容中摘取的部分信息，也可以为没有特征标识的一段二进制码流，甚至可以是没有特征标识的一段随机数，在此不做限定。

6、终端设备的中间服务程序对加密信息字段进行解析，得到加密标识和加密对照信息，并将加密对照信息提供给终端设备的GCAPU。

7、终端设备的GCAPU从本地搜索密钥组合，并采用搜索到的密钥组合对加密信息字段包括的加密对照信息中的密文信息进行解密，得到明文信息。其中密钥组合由本地随机数、SP随机数以及设备ID号组成。

其中采用搜索到的密钥组合对加密信息字段包括的加密对照信息中的密文信息进行解密，得到明文信息的具体步骤如下：

7.1根据本地随机数得到密钥的A系数。举例说明如下：

假设本地随机数为0x3417，则其语义结构为：0x34+0x17，表示从加密对照信息里的第0x34比特开始，选取连续的0x17长度的二进制码，作为32bit位宽的A系数的低位，高位补0。

7.2根据SP随机数得到密钥的B系数。举例说明如下：

假设SP随机数为0x1509，则其语义结构为：0x15+0x09，表示从加密对照信息里的第0x15比特开始，选取连续的0x09长度的二进制码作为32bit位宽的B系数的低位，高位补0。

7.3将设备ID号的二进制码作为密钥的C系数。

7.4将密钥的A系数、B系数以及C系数一起进行空间域转换，分别得到A1系数、B1系数以及C1***。

当空间域转换的系数因子为1，即为A、B、C的原始信息，如果采用其他算式因子，则可以将A1，B1，C1限定在一个范围内，有利于下面方程的求解。这个空间域的转换，没有特定的限制，例如时域到频域的转换，也是可以的。

7.5、将加密对照信息中的密文信息分解成X序列和Y序列，根据方程A1*X²+B1*Y²+＝C1*Z，进行求解Z序列，Z序列即为解码结果明文信息。

例如作为连续的二进制码流看待的加密对照信息的密文，第一个字节、第二个字节的二进制数值分别看成是X(0)、Y(0)，代入方程即可求解得到16比特位宽的Z(0)，Z(0)即为明文的第一、第二字节。加密对照信息的密文的第三、第四字节，分别被看成是X(1)、Y(1)，代入方程即可求解得到16比特位宽的Z(1)，Z(1)即为明文的第三、第四字节，依次类推，这样就可以完整的将加密对照信息的密文全部解码出来。

在本发明另一实施例中，采用搜索到的密钥组合对加密信息字段包括的加密对照信息中的密文信息进行解密，采用线性算法得到明文信息的具体步骤还可以如下：

将本地随机数、SP随机数以及设备ID号进行简单运算、拼接、组合，得到的结果作为密钥索引，用此密钥索引选取密文内容作为密钥种子序列，对加密信息字段包括的加密对照信息中的密文信息进行序列比特异或运算，从而得到明文信息。举例说明如下：

如7.1～7.3获得的A，B，C系数方法相同，空间域的转换为：将B系数的高低位全部对调，即将B***的第0位与第31位进行对调，将第1位与第30位进行对调，依此类推，这样就可以将B系数转换为一个新的B1系数，C系数成为选取滚动系数，用来决定A1的生成，Z(n)＝A1(n)^B1^M(n)，n＝0，1....，A1(0)＝A，C(0)＝C，其中M(n)为密文序列，以4字节为一个单位，3个数据比特异或进行求解Z，解码出来的Z(n)即为明文序列，也是4字节为单位，其中符号“^”表示异或操作。C(n)系数作为选取最低4bit指示了A1(n+1)＝A1(n)＞＞Rc(n)，Rc表示由C系数得到的循环右移次数，同时C(n)的8～4位指示的M(n)的开始的4比特用来决定下一个C系数的生成。C(n+1)＝C(n)＞＞Rm(n)，Rc表示由M密文得到的循环右移次数。这样每4个字节密文所使用的异或因子都不相同，最终顺序的将密文解码成明文。

可以理解，在本发明实施例中，还可以采用现有技术提供的任意一种方式，来实现采用搜索到的密钥组合对加密信息字段包括的加密对照信息中的密文信息进行解密，得到明文信息，在此不再一一举例说明。

8、将解密得到的明文信息与加密对照信息中的参考信息明文进行对比，如果一致，则搜索到可以对该加密的数字内容进行解密的密钥组合，否则，继续搜索密钥组合，重新执行步骤7.1至7.5，得到解密信息，将该解密信息与加密对照信息中的参考信息明文进行对比，直到搜索到可以对该加密的数字内容进行解密的密钥组合，或者搜索到的所有密钥组合均不能对该加密的数字内容进行解密为止。

9、GCAPU采用搜索到的密钥组合在硬件层或者驱动层对加密的数字内容进行解密处理，在解密成功时，允许用户访问数字内容，在解密失败时，拒绝用户访问数字内容。其具体步骤如上所述，在此不再赘述。

实施例四：

图5示出了本发明第四实施例提供的数字内容的保护方法的实现流程，图5所示的方法中前面3个步骤与图2、图3以及图4所示的方法中的前面三个步骤相同，其区别仅在于：

4、SP产生SP随机数，并将设备ID号、本地随机数以及SP随机数组合成密钥，采用该密钥对用户指定的数字内容进行加密处理，并在数字内容的约定头部添加加密信息字段，得到加密的数字内容。该加密信息字段包括加密标识和设备ID号，还包括密钥确定算法或者加密对照信息中的一种。该设备ID号以显式或者隐式的方式包括在加密信息字段中。

6、终端设备的中间服务程序对加密信息字段进行解析，得到加密标识、设备ID号、以及密钥确定算法或者加密对照信息中的一种，并将得到的设备ID号、以及密钥确定算法或者加密对照信息中的一种提供给终端设备的GCAPU。

其中中间服务程序可以是终端设备中用于访问加密的数字内容的应用程序，可以通过该中间服务程序访问从SP下载的数字内容，当从SP下载的数字内容为加密的数字内容时，则中间服务器程序按照约定的协议对该加密的数字内容的约定头部添加的加密信息字段进行解析，得到设备ID号，并将设备ID号提供给终端设备的GCAPU。

7、终端设备的GCAPU根据中间服务程序提供的设备ID号判断是否提供解密服务，如果是本终端的设备ID号，则执行步骤8，否则结束。

8、当中间服务程序将密钥确定算法提供给终端设备的GCAPU时，则终端设备的GCAPU根据密钥确定算法从本地搜索可以对该加密的数字内容进行解密的密钥组合；当中间服务程序将加密对照信息提供给终端设备的GCAPU时，则终端设备的GCAPU根据加密对照信息从本地搜索可以对该加密的数字内容进行解密的密钥组合。其具体步骤如上所述，在此不再赘述。

实施例五：

本发明第五实施例提供的保护方法与图2、图3、图4以及图5所示的方法的区别仅在于，在GCAPU从本地搜索到可以对该加密的数字内容进行解密的密钥组合时，在本地建立该密钥组合和该数字内容之间的关联关系，将该密钥组合作为该加密的数字内容的关联密钥组合，以便在用户下次访问该加密的数字内容时，GCAPU可以优先从关联密钥组合中搜索用于解密该加密的数字内容的密钥组合，从而减少搜索的时间，提高搜索效率。

以下以在图3所示的方法中增加上述步骤后的第五实施例为例进行说明，请参阅图6，为本发明第五实施例提供的数字内容的保护方法的实现流程，图6中前面7个步骤与图3中前面7个步骤一致，在此不再赘述，其还包括下述步骤：

8、在GCAPU从本地搜索到可以对该加密的数字内容进行解密的密钥组合时，在本地建立该密钥组合和该数字内容之间的关联关系。

这样，当用户第一次访问该加密的数字内容时，采用最近注册信息搜索方式进行搜索；对于曾经访问过的数字内容，则优先查询该数字内容的关联密钥组合，这样可以加快密钥组合的搜索速度。

9、GCAPU采用搜索到的密钥组合在硬件层或者驱动层对加密的数字内容进行解密处理，在解密成功时，允许用户访问数字内容，在解密失败时，拒绝用户访问数字内容。其具体内容如上所述，在此不再赘述。

在本发明实施例中，在GCAPU从本地搜索到可以对该加密的数字内容进行解密的密钥组合时，通过在本地建立该密钥组合和该数字内容之间的关联关系，对于曾经访问过的数字内容，则优先查询该数字内容的关联密钥组合，这样可以加快密钥组合的搜索速度。

本领域普通技术人员可以理解，实现上述实施例方法中的全部或部分步骤是可以通过程序来开启相关的硬件或底层驱动来完成，整个解码主体过程嵌入于数据流水中，对终端性能基本不会造成负担。所述的程序可以在存储于一计算机可读取存储介质中，所述的存储介质，如ROM/RAM、磁盘、光盘等。

在本发明实施例中，通过终端设备的GCAPU对包括设备ID号和本地随机数的数字签名进行加密处理，在从SP下载到加密的数字内容时，通过终端设备的GCAPU从本地搜索可以对加密的数字内容进行解密的由本地随机数、SP随机数以及设备ID号组成的密钥组合，并采用搜索到的密钥组合在硬件层或者驱动层对加密的数字内容进行解密处理，从而极大的提高了加密数字内容的破解难度，提高数字内容的安全性，达到保护数字内容的目的。通过EAS***对加密的数字签名解密，从而可以隔离SP和终端设备供应商之间的加解密方法的联通关系，有效的保护了终端设备的加密方法的安全性，便于加密算法的升级和维护，减少终端设备制造商和SP相互直接解密技术升级维护费用。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

1.一种数字内容的保护方法，其特征在于，所述方法包括下述步骤：

2.如权利要求1所述的方法，其特征在于，终端设备的核心处理器通过其CPU芯片内部的一个功能模块，或者通过与CPU紧密相关的***硬件电路，从本地搜索可以对该加密的数字内容进行解密的密钥组合，并采用该密钥组合对加密的数字内容进行解密，在解密后，向上层应用程序提供透明的该数字内容的数据流。

3.如权利要求1所述的方法，其特征在于，所述SP对接收的加密的数字签名进行解密处理，得到解密的数字签名的步骤替换为：

所述SP将接收的加密的数字签名发送至第三方加密方法备案服务EAS***，并从EAS***接收解密的数字签名。

4.如权利要求1所述的方法，其特征在于，所述密钥确定算法为加密对照信息，所述加密对照信息包括原始信息以及对所述原始信息进行加密得到的密文信息；

所述终端设备的中间服务程序对加密信息字段进行解析，得到加密标识和密钥确定算法，并将密钥确定算法提供给终端设备的核心处理器的步骤替换为：

终端设备的中间服务程序对加密信息字段进行解析，得到加密标识和加密对照信息，并将加密对照信息提供给终端设备的核心处理器。

5.如权利要求4所述的方法，其特征在于，所述终端设备的核心处理器根据密钥确定算法从本地搜索可以对该加密的数字内容进行解密的密钥组合的步骤具体为：

终端设备的核心处理器从本地搜索密钥组合，并采用搜索到的密钥组合对加密信息字段包括的加密对照信息中的密文信息进行解密，得到明文信息；

将解密得到的明文信息与加密对照信息中的原始信息进行对比，如果一致，则搜索到可以对该加密的数字内容进行解密的密钥组合，否则，继续从本地搜索密钥组合，直到搜索到可以对该加密的数字内容进行解密的密钥组合，或者搜索到的所有密钥组合均不能对该加密的数字内容进行解密为止。

6.如权利要求5所述的方法，其特征在于，所述终端设备的核心处理器从本地搜索密钥组合，并采用搜索到的密钥组合对加密信息字段包括的加密对照信息中的密文信息进行解密，得到明文信息的步骤具体为：

根据本地随机数得到密钥的A系数，根据SP随机数得到密钥的B系数，将设备标识号的二进制码作为密钥的C系数；

将密钥的A系数、B系数以及C系数一起进行空间域转换，分别得到A1系数、B1系数以及C1系数；

将加密对照信息中的密文信息分解成X序列和Y序列，根据方程A1*X²+B1*Y²＝C1*Z，进行求解Z序列，Z序列即为解码结果明文信息。

7.如权利要求5所述的方法，其特征在于，所述终端设备的核心处理器从本地搜索密钥组合，并采用搜索到的密钥组合对加密信息字段包括的加密对照信息中的密文信息进行解密，得到明文信息的步骤具体为：

将本地随机数、SP随机数以及设备标识号进行简单运算、拼接、组合，得到的结果作为密钥索引，用此密钥索引选取密文内容作为密钥种子序列，对加密信息字段包括的加密对照信息中的密文信息进行序列比特异或运算，从而得到明文信息。

8.如权利要求1所述的方法，所述加密信息字段还包括设备标识号，所述终端设备的中间服务程序对加密信息字段进行解析，得到加密标识和密钥确定算法，并将密钥确定算法提供给终端设备的核心处理器的步骤具体为：

终端设备的中间服务程序对加密信息字段进行解析，得到加密标识、设备标识号，还包括密钥确定算法或者加密对照信息中的一种，并将得到的设备标识号、以及密钥确定算法或者加密对照信息中的一种提供给终端设备的核心处理器。

9.如权利要求8所述的方法，其特征在于，在终端设备的核心处理器接收到设备标识号、以及密钥确定算法时，所述方法还包括下述步骤：

终端设备的核心处理器根据中间服务程序提供的设备标识号判断是否提供解密服务；

当终端设备的核心处理器判定提供解密服务时，终端设备的核心处理器根据密钥确定算法从本地搜索可以对该加密的数字内容进行解密的密钥组合，或者，根据加密对照信息从本地搜索可以对该加密的数字内容进行解密的密钥组合。

10.如权利要求1至9任一权利要求所述的方法，其特征在于，当终端设备的核心处理器从本地搜索到可以对该加密的数字内容进行解密的密钥组合时，所述方法还包括下述步骤：

在本地建立搜索到的可以对该加密的数字内容进行解密的密钥组合与该数字内容之间的关联关系。