DE69904744T2

DE69904744T2 - Zuteilung des zugriffs auf einen datensatz

Info

Publication number: DE69904744T2
Application number: DE69904744T
Authority: DE
Inventors: R. Diaz; Ellen Heinen; J. Heinen; M. Kawell
Original assignee: Adobe Systems Inc
Current assignee: Adobe Inc
Priority date: 1998-10-07
Filing date: 1999-10-07
Publication date: 2003-10-23
Anticipated expiration: 2019-10-08
Also published as: JP4527882B2; DE69904744D1; JP2002527009A; WO2000020950A1; EP1125182A1; US20050220296A1; US20070277246A1; EP1125182B1; US7249382B2; US8046840B2; AU1105600A; US7516327B2; US20090183005A1

Description

Hintergrund der Erfindung

Ein Computerdatensatz wie eine Datei, enthaltend den Text eines Buches oder eine Anordnung von Daten, repräsentierend eine Audio- oder Video-Aufbereitung oder -Aufzeichung, kann kopiert und verteilt werden mittels Wechselmedien wie eine Floppy-Disk oder eine CD-ROM oder über ein Computernetz wie das Internet. In einigen Fällen ist vorgesehen, dass ein Datensatz frei zu kopieren und zu verteilen ist, wobei es eine geringe oder keine Kontrolle über den Zugriff auf den Datensatz gibt. In anderen Fällen wird eine Kontrolle über den Zugriff durch physikalische Mittel versucht, wie durch Ausüben einer gewissen Kontrolle über die Anzahl von hergestellten Wechselmedien, oder durch Kopierschutzmethoden, welche die Möglichkeit eines Computers zur Herstellung einer Kopie des Datensatzes erschweren.
Wie es in Fig. 1 gezeigt ist, wird, bei bestehenden Verteilungssystemen für ein elektronisches Buch, ein Datensatz, der die Inhalte eines Buches ("Buchdaten") repräsentiert, von einer zentralen Quelle (beispielsweise über eine Netzverbindung) zu Buchleseeinrichtungen (d. h. Buchbetrachtungseinrichtungen) in einer Netzknoten-Stern-Anordnung kopiert.
Die internationale Patentveröffentlichung Nr. WO-A-98,08344 beschreibt ein Veröffentlichungs- und Verteilungssystem für elektronische Publikationen für eine Verbreitung von schriftlichen Materialien, die auf einem portablen elektronischen Buch gelesen werden können. Ein Hauptcomputer enthält einen Bestand an schriftlichen Materialien in elektronischer Form, die ausgewählt und dann in den Speicher des portablen elektronischen Buches heruntergeladen werden können. Der Hauptcomputer verfolgt die Transaktionen und kodiert die Daten vor dem Herunterladen unter Verwendung eines Verschlüsselungssystems, das eine Sicherheitsnummer involviert, die einzigartig für das portable elektronische Buch ist. Die verschlüsselten Daten können nicht entschlüsselt werden bis diese sich im Speicher des portablen elektronischen Buches befinden. Auf einen Empfang der verschlüsselten Daten hin entschlüsselt das portable elektronische Buch die Daten und kann den Text des Originalmaterials auf dessen Anzeigebildschirm anzeigen. Es gibt einen nichtflüchtigen elektronischen Speicherraum zum Speichern von Publikationen in dem portablen elektronischen Buch.
Die europäische Patentanmeldung Nr. EP-A-0,695,997 beschreibt ein Verfahren der symmetrischen Verschlüsselung mit ersten und zweiten Schlüsseln, um einen sicheren Zugriff auf Information bereitzustellen, zugänglich für eine Aufteilung unter einer dynamisch sich verändernden Gruppe von autorisierten Benutzern in einem Netz umfassend einen Server. Eine einfache Kopie der Information, die mit dem ersten Schlüssel des Servers verschlüsselt ist, ist an einem Ort gespeichert, der allen Netzbenutzern zugänglich ist. Der zweite Schlüssel ist ein privater Schlüssel eines autorisierten Benutzers und wird von dem Server verwendet, um den ersten Schlüssel zu verschlüsseln. Der verschlüsselte erste Schlüssel wird dann durch den Server an einem Speicherort gespeichert, auf den durch den autorisierten Benutzer zugegriffen werden kann. Der Benutzer greift auf den Speicherort zu, erhält den verschlüsselten ersten Schlüssel und benutzt seinen privaten zweiten Schlüssel, um den ersten Schlüssel zu entschlüsseln und dadurch wiederzugewinnen. Der Benutzer entschlüsselt dann die gespeicherte Information unter Verwendung des wiedergewonnenen ersten Schlüssels.
Die europäische Patentanmeldung Nr. EP-A-0,715,245 beschreibt ein System zum Kontrollieren der Benutzung und Verteilung von digitalen Werken, bei welchem der Eigentümer eines digitalen Werks Benutzungsrechte diesem Werk anfügt. Benutzungsrechte werden durch den "Eigentümer" eines digitalen Werks "Käufern" des digitalen Werks gewährt. Die Benutzungsrechte definieren, wie ein digitales Werk verwendet werden kann und durch den Käufer weiter verteilt werden kann. Jedes Recht weist damit verbunden gewisse optionale Spezifikationen auf, welche grob die Konditionen und Gebühren angeben, unter welchen das Recht ausgeübt werden kann. Digitale Werke werden an einem Verwahrungsort gespeichert. Ein Verwahrungsort verarbeitet jede Anfrage nach einem Zugriff auf ein digitales Werk durch Prüfen der entsprechenden Benutzungsrechte. Abspieleinrichtungen für digitale Werke, die mit dem das Werk enthaltenden Verwahrungsort gekoppelt sind, werden dazu verwendet, das Werk wiederzugeben, anzuzeigen oder auszudrucken. Ein Zugriff auf digitale Werke zum Zwecke eines Transports zwischen Verwahrungsorten (z. B. Kopieren, Entleihen oder Übertragen) wird ausgeführt unter Verwendung eines Digitalwerk-Transportprotokolls. Ein Zugriff auf digitale Werke für die Zwecke einer Wiedergabe durch eine Digitalwerk-Abspieleinrichtung (z. B. Drucken, Anzeigen oder Ausführen) wird ausgeführt unter Verwendung eines Digitalwerk- Wiedergabeprotokolls. Der Zugriff wird verweigert oder gewährt abhängig davon, ob der anfragende Verwahrungsort die benötigten Benutzungsrechte besitzt.
Das US-Patent Nr. US-A-5,734,823 beschreibt ein Informationsverteilungssystem, welches eine zentrale Informationsbank und eine zentrale Transaktionsdatenbasis enthält, die mit Verkaufsortliefersystemen gekoppelt sind. Information fließt zwischen jedem Verkaufsortliefersystem und der zentralen Informationsbank und zentralen Transaktionsdatenbasis über ein Kommunikationsnetz wie das Telefonnetz, ein Satellitennetz oder irgendein anderes Netz, welches zur Informationsübertragung geeignet ist. Die Verkaufsortliefersysteme können eine oder mehrere Formen annehmen, einschließlich eines Einkaufsortliefersystems, eines Mietortfiefersystems, eines "Buchbank"- Untersystems, eines Werbeliefersystems oder irgendeiner Kombination derartiger Systeme.
Die internationale Patentveröffentlichung Nr. WO-A-96,27155 beschreibt Systeme und Verfahren für einen elektronischen Handel einschließlich einem sicheren Transaktionsmanagement und einem elektronischen Rechteschutz. Elektronische Geräte wie Computer, die entsprechend den beschriebenen Systemen eingesetzt werden, tragen dazu bei, sicherzustellen, dass nur in autorisierten Weisen auf Information zugegriffen wird und Information verwendet wird, und bewahren die Integrität, Verfügbarkeit und/oder Vertraulichkeit der Information. Sichere Untersysteme, die mit derartigen elektronischen Geräten verwendet werden, stellen eine verteilte virtuelle Verteilungsumgebung bereit, die eine sichere Kette der Handhabung und Kontrolle durchsetzen kann, beispielsweise um die Verwendung von elektronisch gespeicherter oder verbreiteter Information zu steuern und/oder zu messen oder anderweitig zu überwachen. Eine derartige virtuelle Verteilungsumgebung kann dazu verwendet werden, die Rechte von verschiedenen Teilnehmern in elektronischen Handel und bei anderen elektronischen oder elektronisch unterstützten Transaktionen zu schützen.

Abriss der Erfindung

In einem Aspekt stellt die vorliegende Erfindung ein Verfahren zur Verwendung bei einer Zuteilung von Zugriff auf einen Datensatz bereit, umfassend: Ermöglichen von mehreren Transfers zwischen Computern einer einzigen Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz, wobei die Transfers über Datenverbindungen erfolgen und einen ersten Transfer zwischen einem ersten Computer und einem zweiten Computer und einen nachfolgenden Transfer zwischen dem zweiten Computer und einen dritten Computer umfassen, wobei jedesmal nur ein Computer die Erlaubnisinstanz einbehält und in der Lage ist, die Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz zu verwenden.
Implementierungen dieses oder eines anderen Aspekts der Erfindung können eines oder mehrere der folgenden Merkmale enthalten. Das Verfahren kann ein Verwenden eines Verschlüsselungsschlüssels zum Behindern eines unautorisierten Zugriffs auf den Datensatz umfassen. Wenigstens einer der Erlaubnistransfers kann den Transfer eines ersten Verschlüsselungsschlüssels umfassen und das Verfahren kann ein Verwenden eines zweiten Verschlüsselungsschlüssels zum Verschlüsseln des ersten Verschlüsselungsschlüssels vor dem Transfer umfassen. Der erste Verschlüsselungsschlüssel kann einen geheimen Schlüssel enthalten und der zweite Verschlüsselungsschlüssel kann einen der Schlüssel in einem öffentlich/privat-Schlüsselsatz enthalten. Das Verfahren kann ein Verwenden einer hochgradig sicheren Schaltungsanordnung umfassen, um dazu beizutragen, dass jedesmal nur einer der Computer die Instanz einbehält und zu deren Verwendung in der Lage ist. Die hochgradig sichere Schaltungsanordnung kann einen Ausweiskartencomputer bzw. "smartcard"-Computer oder einen Entschlüsseler aufweisen. Das Verfahren kann ein Speichern eines Verschlüsselungsschlüssels in der hochgradig sicheren Schaltungsanordnung umfassen und kann ein Verwenden des Verschlüsselungsschlüssels nur in der hochgradig sicheren Schaltungsanordnung umfassen. Das Verfahren kann ein Bestimmen dahingehend umfassen, ob ein Computer dazu autorisiert ist, die Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz zu empfangen, oder, entsprechend einem Ablaufzeitpunkt, ein vorläufiges Leisten wenigstens eines des Transfers umfassen. Die Methode kann, bei dem vorläufigen Transfer, ein Übertragen einer Kopie eines Verschlüsselungsschlüssels von einem Sendercomputer zu einem Empfängercomputer umfassen, und, zum Ablaufzeitpunkt, ein Löschen der Kopie des Verschlüsselungsschlüssels von dem Empfängercomputer umfassen. Das Verfahren kann, bei einem der Transfers, ein Übertragen einer Kopie eines Verschlüsselungsschlüssels von einem Sendercomputer zu einem Empfängercomputer umfassen, und ein Löschen der Kopie des Verschlüsselungsschlüssels von dem Sendercomputer umfassen. Das Verfahren kann ein Verknüpfen wenigstens eines der Transfers mit einem Mittel- bzw. Geldtransfer umfassen, oder ein Unterscheiden zwischen verschiedenen Erlaubnisinstanzen zur Erlangung von Zugriff auf den Datensatz umfassen. Wenigstens einer der Computer kann einen Webservercomputer oder eine Buchbetrachtungseinrichtung aufweisen. Die Buchbetrachtungseinrichtung kann einen Betrachtungsbildschirm und eine Datenkommunikationsschaltungsanordnung aufweisen.
In einem weiteren Aspekt stellt die vorliegende Erfindung ein System zur Verwendung bei einer Zuteilung von Zugriff auf einen Datensatz bereit, umfassend: eine Datenverarbeitungsvorrichtung zum Ermöglichen von mehreren Transfers zwischen Computern einer einzigen Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz, wobei die Transfers über Datenverbindungen erfolgen und einen ersten Transfer zwischen einem ersten Computer und einem zweiten Computer und einen nachfolgenden Transfer zwischen dem zweiten Computer und einem dritten Computer umfassen, wobei jedesmal nur ein Computer die Erlaubnisinstanz einbehält und in der Lage ist, die Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz zu verwenden.
In einem weiteren Aspekt stellt die vorliegende Erfindung auf einem computerlesbaren Medium befindliche Computersoftware bereit, umfassend Instruktionen zur Verwendung bei einer Zuteilung von Zugriff auf einen Datensatz, wobei die Instruktionen einen Computer zu Folgendem veranlassen: Ermöglichen von mehreren Transfers zwischen Computern einer einzigen Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz, wobei die Transfers über Datenverbindungen erfolgen und einen ersten Transfer zwischen einem ersten Computer und einem zweiten Computer und einen nachfolgenden Transfer zwischen dem zweiten Computer und einem dritten Computer umfassen, wobei jedesmal nur ein Computer die Erlaubnisinstanz einbehält und in der Lage ist, die Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz zu verwenden.
Unter den Vorteilen der Ausführungsformen der Erfindung sind einer oder mehrere der folgenden Vorteile. Zugriff auf einen Datensatz (d. h. eine Erlaubnis zur Verwendung des Datensatzes) kann kontrolliert werden ohne die Benutzer (z. B. Verbraucher) des Datensatzes übermäßig zu belasten oder die Skalierbarkeit der Verteilung durch herkömmliche Datenkopiertechniken übermäßig zu behindern. In wenigsten einigen Fällen kann das Erlangen des Datensatzes unter einer Autorisierung einfacher vorgesehen werden als ein Erlangen einer entsprechenden physikalischen Ausführung (z. B. ein Papierbuch oder eine Musik-Compaktdisc), und es kann eine nahezu sofortige Zufriedenstellung für den Endbenutzer erreicht werden. Die Verteilung von Werken (z. B. Büchern, Audioaufzeichnungen, Bildern) kann in der Anzahl begrenzt werden, ohne in herkömmlicher Weise auf eine physikalische Herstellung zu bauen, welche Begrenzung dazu beitragen kann, den Wert der Werke zu bewahren. Es kann eine Berücksichtigung erfolgen betreffend die Anzahl von Endbenutzern, die Zugriff auf einen Datensatz haben. Eine Einheit kann einen Datensatz an einen Endbenutzer verleihen, wie eine Bibliothek ein Buch verleiht. Ein Datensatz kann über eine Datenverbindung übertragen werden, kann jedoch voll verwendbar vorgesehen sein ungeachtet dem Umstand, ob die Datenverbindung zum Zeitpunkt der Verwendung verfügbar ist. Voller oder nahezu voller Nutzen kann aus dem Internet und dem World Wide Web bei der Verteilung von Zugriff auf einen Datensatz gezogen werden.
Weitere Merkmale und Vorteile werden aus der folgenden Beschreibung, einschließlich der Zeichnungen, und aus den Ansprüchen ersichtlich.

Kurze Beschreibung der Zeichnungen

Fig. 1 ist ein Blockdiagramm eines Buchdatenverteilungssystems nach dem Stand der Technik, bei welchem Buchleseeinrichtungen Buchdaten direkt von einer zentralen Quelle empfangen.
Fig. 2 ist ein Blockdiagramm eines Buchdatenverteilungssystems, bei welchem Buchdaten von einem Herausgebercomputer zu Verteilercomputern zu Händlercomputern zu Endbenutzercomputern weitergegeben werden.
Fig. 3 ist ein Blockdiagramm von Erlaubnistransfers zwischen Herausgeber-, Verteiler-, Händler- und Endbenutzercomputern.
Fig. 4 ist ein Blockdiagramm von Transfers von Erlaubnisdaten zwischen Benutzercomputern.
Fig. 5 ist ein Flussdiagramm einer Benutzungserlaubnistransferprozedur.
Fig. 6 ist ein Blockdiagramm eines Ausweiskartencomputers.
Fig. 7 ist ein Blockdiagramm von Gruppen und privaten Schlüsseln.
Fig. 8-11 sind Blockdiagramme von Datenflüssen bei einer Benutzungserlaubnistransferprozedur.
Fig. 12-14 sind Flussdiagramme einer Benutzungserlaubnistransferprozedur.
Fig. 15 ist eine Darstellung einer Buchbetrachtungseinrichtung.

Detaillierte Beschreibung

Fig. 2 stellt ein gesteuertes Datenverteilungssystem 10 dar, bei welchem ein Datensatz wie Daten enthaltend den Text eines Buches ("Buchdaten") von einem Sendercomputer (z. B. Händlercomputer 12) zu einem Empfängercomputer (z. B. Endbenutzercomputer 14) entsprechend Verteilungssteuerparametern verteilt wird, die wenigstens teilweise durch einen Ursprungscomputer (z. B. Herausgebercomputer 16) bestimmt werden, ungeachtet des Umstands, ob der Ursprungscomputer zum Zeitpunkt der Verteilung von dem Sendercomputer zu dem Empfängercomputer verfügbar ist. Die Verteilung ist somit nicht lediglich bequem sondern auch privat, da in wenigstens einigen Fällen die einzigen Computer, die jemals irgendeine Information über eine bestimmte Verteilungsinstanz besitzen, der Sendercomputer und der Empfängercomputer sind.
Fig. 3 zeigt ein allgemeines Beispiel, bei welchem eine Originalkopie 18 eines Buchdatensatzes bei dem Herausgebercomputer gespeichert ist, welcher Erlaubnisdaten 20 zum Erlauben von Zugriff auf den Buchdatensatz für bis zu 10.000 Endbenutzercomputer (z. B. Buchlesecomputer) besitzt. In einem solchen Fall stellt der Herausgebercomputer einem Verteilercomputer 22 eine Kopie 24 des Buchdatensatzes sowie Erlaubnisdaten 26 zum Erlauben von Zugriff durch 1.000 Endbenutzercomputer bereit, was den Herausgebercomputer mit Erlaubnisdaten zum Erlauben von Zugriff durch 9.000 Endbenutzercomputer belässt. Ferner stellt der Verteilercomputer wiederum dem Händlercomputer eine Kopie 28 des Buchdatensatzes sowie Erlaubnisdaten 30 zum Erlauben von Zugriff durch 50 Endbenutzercomputer bereit, und der Händlercomputer stellt dem Endbenutzercomputer 14 eine Kopie 32 des Buchdatensatzes sowie Erlaubnisdaten 34 zum Erlauben von Zugriff bereit. Die Herausgeber-, Verteiler-, Händler- und Endbenutzercomputer bilden somit ein Verteilungsnetz, in welchem die Erlaubnis von dem Herausgebercomputer zu Endbenutzercomputern verteilt wird, wie gedruckte Bücher von einem Druckherausgeber zu Verbrauchern in einem Verteilungssystem für gedruckte Bücher verteilt werden: ein erlaubter Zugriff kann betrachtet werden als eine feste Ressource, derart, dass die maximale Anzahl von Endbenutzercomputern, denen die Erlangung von Zugriff auf den Buchdatensatz ermöglicht wird, nicht durch die Verteilung beeinflusst wird.
Wie es in Fig. 4 gezeigt ist, muss die kontrollierte Verteilung wie oben beschrieben nicht in einer Hierarchie stattfinden (z. B. von einem Herausgebercomputer hinab zu Endbenutzercomputern), und kann zwischen irgendwelchen zwei Computern stattfinden, die gemäß einer Benutzungserlaubnistransferprozedur 36 arbeiten, die in Fig. 5 dargestellt ist (ein detaillierteres Beispiel wird unten in Verbindung mit den Fig. 8-14 beschrieben). Am Sendercomputer (z. B. Benutzer A's Computer 38) wird bestimmt, ob der Empfängercomputer (z. B. Benutzer B's Computer 40) durch eine Organisation zertifiziert wurde, die Einrichtungen zertifiziert, welche zur Nutzung von Datensätzen vorgesehen sind, und somit autorisiert ist, Zugriff auf den Datensatz (z. B. den Satz 42) gewährt zu bekommen (Schritt 1010). Der Zweck der Organisation ist es, dazu beizutragen, zu gewährleisten, dass nur Einrichtungen, die sich nach den Regeln der Organisation richten, die Erlaubnis gegeben wird, Zugriff auf Datensätze zu erlangen, die der Organisation zugeordnet sind. Beispielsweise könnte die Organisation eine Einrichtung nicht zertifizieren, welcher eine hochgradig sichere Uhr oder ein hochgradig sicherer Programmspeicher fehlt, oder für welche es sich nicht gezeigt hat, dass Verschlüsselungswerkzeuge zuverlässig verwendet werden.
Falls der Empfängercomputer zertifiziert wurde, überträgt der Sendercomputer Erlaubnisdaten (z. B. Benutzungserlaubnisdaten B basierend auf Benutzungserlaubnisdaten A) in einer hochgradig sicheren Weise zu dem Empfängercomputer (Schritt 1020). Falls eine Kopie des Datensatzes am Sendercomputer gespeichert ist, kann eine Kopie des Datensatzes (z. B. Datensatz 44) in einer hochgradig sicheren Weise von dem Sendercomputer zu dem Empfängercomputer übertragen werden (Schritt 1030). Der Empfängercomputer erlangt Zugriff auf den Datensatz entsprechend den Erlaubnisdaten (Schritt 1040).
Es ist bedeutend, dass die Formulierung und Übertragung der Erlaubnisdaten in einer hochgradig sicheren Weise bewerkstelligt werden, weil die Kontrolle über die Verteilung davon abhängt, dass eine derartige Formulierung und Übertragung nur unter autorisierten Bedingungen durchgeführt wird. Wenngleich es unmöglich sein kann, unautorisierte Handlungen durch bestimmte Täter mit erheblichen Ressourcen (z. B. professionelle Piraten) vollständig zu blockieren, so kann eine hohe Sicherheit effektiv sein, um dazu beizutragen, andere (z. B. studentische Hacker) zu entmutigen, und dazu beizutragen, zu verdeutlichen, dass die Verteilung kontrolliert beabsichtigt ist und es nicht beabsichtigt ist, den Datensatz dem öffentlichen Bereich hinzuzufügen.
Um zu einer Gewährleistung einer hohen Sicherheit beizutragen, kann jeder der Sendercomputer und Empfängercomputer auf Verschlüsselungseinrichtungen beruhen, die als geheime Schlüssel und öffentlich/privat-Schlüsselsätze bekannt sind, und können einen hochgradig sicheren Mechanismus enthalten, der einen oder mehrere der Schlüssel oder Schlüsselsätze, oder verschlüsselte oder unverschlüsselte Daten, oder beides handhaben kann. Ein geheimer Schlüssel (auch als ein symmetrischer Schlüssel bekannt), ist eine Folge von Daten (z. B. 40 bit), die dazu verwendet werden kann, andere Daten in einer Weise zu verschlüsseln, die ein Entschlüsseln der anderen Daten unter Verwendung des gleichen geheimen Schlüssels erlaubt. Ein öffentlich/privat-Schlüsselsatz enthält zwei Folgen von Daten (z. B. jeweils 1024 bit), die nicht voneinander abgeleitet werden können und die derart zusammenpassen, dass andere Daten, die unter Verwendung eines der zwei Folgen verschlüsselt wurden, nur unter Verwendung der anderen der zwei Folgen entschlüsselt werden können. Typischerweise wird einer der zwei Schlüssel ("öffentlicher Schlüssel") nicht geheim gehalten und der andere der zwei Schlüssel ("privater Schlüssel") wird streng geheim gehalten. Siehe: Public Key Cryptography Standards, RSA Laboratories, Security Dynamics, Inc., Nov. 1993, und RSA Public Key Crypto System, RSA Data Security Division, Security Dynamics, Inc., 1982.
Ein herkömmlicher Universalcomputer kann dazu benutzt werden, den geheimen Schlüssel und den öffentlich/privat-Schlüsselsatz zu erzeugen, der in herkömmlichen Computerdateien gespeichert werden kann, wie es Daten können, die durch Verwenden eines oder mehrerer der Schlüssel verschlüsselt wurden oder dazu vorgesehen sind. In wenigstens einigen Fällen ist die Sicherheit gesteigert, falls der hochgradig sichere Mechanismus die Schlüssel handhabt und einen Ausweiskartencomputer 46 (Fig. 6) enthält (z. B. ein Gemplus GemXpresso), der physikalisch versiegelt ist, um einen unautorisierten Zugriff auf interne Komponenten zu erschweren, und der eine Verbindungsschaltungsanordnung 48 aufweist, die das einzig autorisierte Mittel zum Austauschen von Daten mit einer Schaltungsanordnung außerhalb des Ausweiskartencomputers bereitstellt. Der Ausweiskartencomputer besitzt auch einen Programmspeicher 50, einen Datenspeicher 52 sowie einen Prozessor 54, der mit der Verbindungsschaltungsanordnung kommuniziert und gemäß in dem Programmspeicher gespeicherter Software arbeitet, um einen öffentlich/privat- Schlüsselverschlüsseler 56, einen öffentlich/privat-Schlüsselentschlüsseler 58, einen Geheimschlüsselverschlüsseler 60 und einen Geheimschlüsselentschlüsseler 62 zu implementieren. Eine Erlaubnisdatenbank 64, ein öffentlicher Schlüssel 66, ein privater Schlüssel 68 und eine digitale Signatur 70 werden in dem Datenspeicher gespeichert (z. B. wenn der Ausweiskartencomputer hergestellt wird). Die digitale Signatur (auch als der verschlüsselte Auszug bezeichnet) ist das Ergebnis, welches gebildet wird durch Erzeugen einer Auszugversion des öffentlichen Schlüssels (z. B. durch Anwenden einer Hashfunktion auf den öffentlichen Schlüssel) und dann Verwenden eines privaten Gruppenschlüssels (Fig. 7), um die Auszugversion zu verschlüsseln.
Der öffentlich/privat-Schlüsselsatz jedes Ausweiskartencomputers ist verschieden (d. h. einzigartig), jedoch ist der private Gruppenschlüssel der gleiche für jeden Ausweiskartencomputer in einer Gruppe. In einer speziellen Ausführungsform speichert der Ausweiskartencomputer auch eine Identifikation der Einheit, welcher der Ausweiskartencomputer zugeordnet ist, falls die Einheit ein Herausgeber, Verteiler oder Händler ist, und speichert stattdessen eine anonyme Seriennummer, falls die Einheit ein Endbenutzer (z. B. ein Verbraucher) ist, um dazu beizutragen, die Privatsphäre des Endbenutzers zu schützen. In alternativen Versionen der speziellen Ausführungsform wird die digitale Signatur ergänzt oder ersetzt durch ein digitales Zertifikat, welches das Ergebnis ist, das durch Verwenden des privaten Gruppenschlüssels zum Verschlüsseln der Identifikation geschaffen wird.
Der Ausweiskartencomputer kann dazu geeignet sein, Softwareprogramme auszuführen, die gemäß einer als Java bekannten Programmiersprache formatiert sind.
In einer speziellen Ausführungsform wird nur der Herausgebercomputer mit einem Geheimschlüssel-Verschlüsseier versehen (z. B. weil die anderen Computer nicht Urheber von verschlüsselten Datensätzen sind) und ist nur der Endbenutzercomputer mit dem Geheimschlüssel-Entschlüsseler versehen (z. B. weil die anderen Computer die Datennetze nicht anzeigen oder die Datensätze in anderer Weise signifikant nutzen).
Die Fig. 8-14 stellen ein detailliertes Beispiel 72 der Benutzungserlaubnis- Transferprozedur dar. Ein geheimer Schlüssel 74 (z. B. eine zufällig erzeugte 40- bit-Zahl) wird zum Verschlüsseln von Buchdaten 76 verwendet, um mit dem geheimen Schlüssel verschlüsselte Buchdaten 78 zu erzeugen (Schritt 2010), die an einem Sendercomputer gespeichert werden (Schritt 2020). (In einer speziellen Ausführungsform wird der geheime Schlüssel auch den mit dem geheimen Schlüssel verschlüsselten Buchdaten angefügt).
Der verschlüsselte Auszug und der einzigartige öffentliche Schlüssel des Empfängercomputers werden von dem Empfängercomputer zu dem Sendercomputer übertragen (Schritte 2050, 2060). An dem Sendercomputer wird ein öffentlicher Gruppenschlüssel 84 dazu verwendet, den verschlüsselten Auszug zu entschlüsseln, um ein Entschlüsselungsergebnis 86 zu erzeugen (Schritt 2070), und ein Auszugergebnis 88 wird aus dem einzigartigen öffentlichen Schlüssel des Empfängers erzeugt (Schritt 2080). An dem Sendercomputer wird das Auszugsergebnis mit dem Entschlüsselungsergebnis verglichen, um zu bestimmen, ob der Empfängercomputer wie oben beschrieben zertifiziert wurde und daher autorisiert ist. Buchdaten zu empfangen (Schritt 2090), und falls bestimmt wird, dass der Empfängercomputer nicht zertifiziert wurde, werden die Anfragen des Empfängercomputers nach Buchdaten zurückgewiesen (Schritt 2100).
Wie es in Fig. 10 gezeigt ist, werden eine Anfrage nach Buchdaten 90 und der einzigartige öffentliche Schlüssel des Empfängercomputers von dem Empfängercomputer zu dem Sendercomputer übertragen (Schritte 2110, 2120). (In einer speziellen Ausführungsform wird die Anfrage an dem Empfangscomputer mit einer einzigartigen Anfragenseriennummer und mit einer Anfrageablaufzeit wie 60 Sekunden verbunden, so dass die Anfrage zu dem Anfrageablaufzeitpunkt storniert wird, falls eine Antwort von dem Sendercomputer nicht rechtzeitig empfangen wird, und jede Antwort von dem Sendercomputer auf die Anfrage wird mit der gleichen einzigartigen Anfragenseriennummer verbunden, so dass die Antwort an die Anfrage an dem Empfängercomputer angepasst werden kann). An dem Sendercomputer werden mit einem geheim Schlüssel verschlüsselte Buchdaten und ein geheimer Schlüssel und ein Beleg entsprechend der Anfrage ausgewählt (Schritt 2130) und der einzigartige öffentliche Schlüssel des Empfängers wird dazu verwendet, einen mit einem öffentlichen Schlüssel verschlüsselten geheimen Schlüssel und einen Beleg 94 zu erzeugen (Schritt 2140), der zusammen mit den mit dem geheimen Schlüssel verschlüsselten Buchdaten von dem Sendercomputer zu dem Empfängercomputer übertragen wird (Schritte 2150, 2160).
An dem Empfängercomputer (Fig. 11) wird der einzigartige private Schlüssel des Empfängers dazu verwendet, einen geheimen Schlüssel und Beleg 98 zu erzeugen (Schritt 2180), und der geheime Schlüssel wird dazu verwendet, nicht- verschlüsselte Buchdaten 100 aus den mit dem geheimen Schlüssel verschlüsselten Buchdaten zu erzeugen (Schritt 2190).
An dieser Stelle können die nicht-verschlüsselten Buchdaten angezeigt oder anderweitig an dem Empfängercomputer verwendet werden.
In wenigstens einigen Fällen kann es vorteilhaft sein, wenn die unverschlüsselten Buchdaten in einem Format (z. B. einer Version eines als "Portable Document Format" oder "PDF" bekannten Version eines Adobe-Formats) vorliegen, welches es erlaubt, die Daten in einer bestimmten Weise (z. B. durch Adobe- Anzeigesoftware) anzuzeigen, ein Drucken der Daten oder Umformatieren der Daten jedoch schwierig oder unmöglich macht. Siehe: Portable Document Format Reference Manual, Version 1.2, November 1996, Adobe Systems, Inc. Somit kann der Urheber der unverschlüsselten Buchdaten (z. B. ein Herausgeber) ein großes Maß an Vertrauen darin besitzen, dass die Integrität der Buchdaten die Verteilung übersteht und dass die Buchdaten entsprechend den Vorstellungen des Urhebers angezeigt werden (z. B. mit den beabsichtigten Schriftarten und Schriftgrößen und mit den beabsichtigten Zeilen- und Seitenwechseln).
Die Benutzungserlaubnis-Transferprozedur kann angewendet werden, wenn eine Erlaubnis zur Benutzung eines Datensatzes verliehen (z. B. durch eine Bibliothek), verleast, weggegeben (z. B. als ein Geburtstagsgeschenk) oder verkauft (z. B. durch einen Buchhändler) wird. Falls die Erlaubnis verliehen oder verleast wird, so spezifiziert die Prozedur auch, dass der geheime Schlüssel mit passenden Ablaufzeiten 1025 und 102R verbunden wird (z. B. jeweils entsprechend einer zweiwöchigen Periode) an dem Sender- bzw. Empfängercomputer, so dass der geheime Schlüssel an dem Sendercomputer nicht verwendet werden kann, (und deshalb der Datensatz nicht verwendet werden kann) bis die Ablaufzeit 102S erreicht ist, und an dem Empfängercomputer nur verwendet werden kann, bis die Ablaufzeit 102R erreicht ist. Auf diese Weise wird die Erlaubnis effektiv von dem Empfängercomputer zu dem Sendercomputer zurückgegeben, wenn der Ablaufzeitpunkt erreicht ist. Falls der Sendercomputer oder der Empfängercomputer Erlaubnisdaten für mehrere Endbenutzercomputer für den gleichen Datensatz besitzt (z. B. in dem Fall einer Bibliothek, die dazu in der Lage ist, an mehrere Endbenutzercomputer zu verleihen), werden die passenden Seriennummern 104S und 104R in jeder Leih- oder Leasing-Transaktion bewahrt, so dass verschiedene Erlaubnisinstanzen voneinander unterschieden werden können. Der Beleg spezifiziert die Ablaufzeiten und die Seriennummern und spezifiziert außerdem eine Quantität 106, falls der Empfängercomputer mit Erlaubnisdaten zum Erlauben einer Erlangung von Zugriff auf den Datensatz für mehr als einen Endbenutzercomputer zu versehen ist (z. B. wenn ein Herausgebercomputer einen Verteilercomputer mit Erlaubnisdaten bezüglich 50 Endbenutzercomputern versorgt). Der Beleg kann auch spezifizieren, ob der Empfängercomputer während der Dauer der Leihe oder des Leasings berechtigt ist, als ein Sendercomputer für den spezifizierten Datensatz in einer anderen Benutzungserlaubnis-Transferprozedur mit einem anderen Empfängercomputer zu dienen (z. B. effektiv die Erlaubnis weiter zu verleihen oder weiter zu verleasen).
In einem Fall des Herausgebens oder Verkaufens ist der Empfängercomputer berechtigt, den geheimen Schlüssel unbegrenzt zu behalten und als ein Sendercomputer in einer nachfolgenden Transaktion zu dienen. Falls am Beginn der Ausführung der Benutzungserlaubnis-Transferprozedur in einen Herausgabe- oder Verkaufskontext der Sendercomputer Erlaubnisdaten zum Erlauben, dass lediglich ein Endbenutzercomputer (z. B. dieser selbst) Zugriff auf den Datensatz erlangt, besitzt, so wird der geheime Schlüssel an dem Sendercomputer gelöscht nachdem der Empfängercomputer mit dem geheimen Schlüssel versehen wurde.
In einem Fall eines Verleasens oder Verkaufens kann die Erlaubnis im Austausch für (Geld)mittel bereitgestellt werden, wobei die Lieferung derselben vollständig unabhängig von der Benutzungserlaubnis-Transferprozedur gehandhabt werden kann oder durch eine weitere Prozedur gehandhabt wird, die mit der Benutzungserlaubnis-Transferprozedur verknüpft ist, um dazu beizutragen, zu gewährleisten, dass die Erlaubnis nicht bereitgestellt wird bevor die Mittel geliefert sind. Der Sendercomputer kann auch eine Überprüfungsdatei erzeugen, um eine Einnahmenverbuchung zu gestatten.
Wenigstens weil der Datensatz, der Zugriff auf den Datensatz oder beides von Computer zu Computer übertragen werden kann (z. B. von Endbenutzercomputer zu Endbenutzercomputer), entsprechend der Benutzungserlaubnis-Transferprozedur, ist der Zugriff oder der Datensatz oder beides vertretbar und besitzen einen Wiederverkaufswert, wie ein Automobil vertretbar ist und einen Wiederverkaufswert besitzt. Die Benutzungserlaubnis-Transferprozedur ermöglicht es beispielsweise einem Endbenutzer, eine Instanz des Zugriffs auf einen Buchdatensatz von einem Händler für 5 Dollar zu kaufen oder zu leasen, sich an dem Buchdatensatz zu erfreuen (z. B. durch Lesen des Textes des Buchdatensatzes), und dann die Zugriffsinstanz einem anderen Endbenutzer zu verkaufen (z. B. für mehr oder weniger als 5 Dollar, abhängig davon, ob die Instanz aus einem Grund wie Knappheit aufgewertet wurde oder aus einem Grund wie einem Mangel an Garantie gegen beschädigte Daten abgewertet wurde).
In wenigstens einigen Fällen ist es vorteilhaft, wenn wenigstens die Überprüfungsdatei, der geheime Schlüssel, der öffentlich/privat-Schlüsselsatz, die Erlaubnisdatenbank, der private Gruppenschlüssel und die Entschlüsseler an jedem Sendercomputer und Empfängercomputer in einer hochgradig sicheren Weise gespeichert und verwendet werden z. B. in einem Ausweiskartencomputer wie oben beschrieben. Falls der Ausweiskartencomputer 46 verwendet wird, so wird die Sicherheit gesteigert, wenn der private Gruppenschlüssel und der einzigartige private Schlüssel des Ausweiskartencomputers niemals in irgendeiner Form außerhalb des Ausweiskartencomputers übertragen werden (d. h. niemals an der Verbindungsschaltungsanordnung dargestellt werden), und wenn die geheimen Schlüssel niemals in unverschlüsselter Form übertragen werden. Der verschlüsselte Datensatz kann separat von den Schlüsseln gespeichert werden (z. B. in einem beständigen Speicher wie einer Festplatte außerhalb des Ausweiskartencomputers aufgrund eines begrenzten Datenspeicherraums innerhalb des Ausweiskartencomputers). Jedenfalls wird die Sicherheit weiter erhöht, wenn der verschlüsselte Datensatz in lediglich einem Teil zu einer Zeit, wenn notwendig, entschlüsselt wird (z. B. eine Seite zu einer Zeit zu Anzeigezwecken).
Die Sicherheit kann auch erhöht werden durch die Verwendung einer sicheren Netzverbindung zwischen dem Sendercomputer und dem Empfängercomputer. Beispielsweise umfasst der Sendercomputer in einer speziellen Ausführungsform einen Webservercomputer, mit welchem der Empfängercomputer verbunden ist über ein Netz, welches sich wenigstens Teilweise nach Internetstandards wie HTML, HTTP und TCP/IP richtet (ein "Internet-Netz"). Siehe: Hyper Text Transfer Protocol-HTTP 1.1 RFC2068. In einem solchen Fall ist die Sicherheit erhöht, wenn die Internet-Netzverbindung zwischen dem Sendercomputer und dem Empfängercomputer entsprechend einem Standard einer sicheren Sockel-Schicht ("SSL") arbeitet. Siehe: Secure Sockets Layer Specifications 3.0, Netscape, Inc. Der Webserver kann als ein anforderungsabhängiges Verteilungszentrum dienen (z. B. für einen Herausgeber, einen Verteiler oder einen Händler), von welchem der Empfängercomputer (z. B. für einen Verteiler, einen Händler oder einen Endbenutzer) Datensätze herunterladen kann, die an dem Empfängercomputer (an welchem z. B. ein Webbrowser läuft) auswählbar sein (z. B. über eine Webseite auf dem Webserver). Der Empfängercomputer kann von dem Sendercomputer Software herunterladen (z. B. Anzeigesoftware oder Software, die wenigstens einen Teil der Benutzungserlaubnis-Transferprozedur implementiert).
Die Verbindung zwischen dem Sendercomputer und dem Empfängercomputer kann durch eine oder mehrere drahtgebundene oder drahtlose Datenübertragungstechnologien bewerkstelligt werden (z. B. Modemanwahl über Telefonleitungen, Mobiltelefon oder Infrarotübertragung).
In einer speziellen Ausführungsform umfasst der Sendercomputer oder der Empfäängercomputer einen Spezialbuchbetrachtungscomputer 110 (Fig. 15) ("Buchleser") wie nun beschrieben. Der Buchleser ist eine handliche batterie betriebene Einrichtung, die dazu verwendet werden kann, Buchdaten (einschließlich Textinformation) klar anzuzeigen, und umfasst einen 32-bit- Mikrocomputer (z. B. einen Philips Semiconductor PR37100MIPS-Prozessor oder einen Intel Strong ARM 1100-Prozessor und UCB1200-Peripheriesteuerchips), auf welchem ein Betriebssystem wie Microsoft Windows CE 2.1 läuft. Ein Hochformat-Flüssigkristallanzeige ("LCD")-Bildschirm 112 mit unterstützender Elektronik (z. B. ein Sharp HR-TFT LQ084V2DS01 8,4 Inch VGA (640 · 480) Reflektions-TFT-Farb-LCD, angesteuert durch einen S-MOS Systems SED1355 Videocontroller-Chip, falls der PR37100-Prozessor verwendet wird) ist auch in dem Buchleser enthalten, dem eine Tastatur und eine Maus fehlt. Der Buchleser besitzt auch einen 4-Leitung-Widerstands-Touchscreen mit Antiblend- Beschichtung, einen 16MB-DRAM, einen 8MB-Flash-ROM für das Betriebssystem und eingebaute Software, einen "compact Plash"-Speicher-Steckplatz mit einer 8MB-Flash-Memory-Karte zur Buchdatenspeicherung und eine IrDA-Infrarot Schnittstelle, die dazu geeignet ist, eingebaute Fähigkeiten des Mikrocomputers für PC-Anschlussmöglichkeiten zu nutzen. Ferner besitzt der Buchleser eine RJ- 11-Telefonbuchse, eine DAA- und Modemschnittstelle unter Verwendung von eingebauten Fähigkeiten des Mikrocomputers und Softmodem-Software für eine direkte Internetverbindung, "Nächste Seite"-, "Vorherige Seite"-, "Menü"-, "Eingabe"- und "Reset"-Druckknöpfe und einen Schiebeschalter mit "Aus"-, "Lesen"-, "Bücher"-, "Bibliothek"- und "Buchladen"-Stellungen. In dem Buchleser sind außerdem vier AA-Batterien enthalten (falls Alkali-Batterien, verwendbar für mehr als 40 Betriebsstunden) und eine Wechselstromadapter-Stromversorgung mit Unterstützung von Stromsparmoden (z. B. des Mikrocomputers), ein Touchscreen-Stift hoher Qualität und ein Ausweiskarten-Steckplatz für den Ausweiskartencomputer.
Der Buchleser ist einem ledergebundenen Buch ähnelnd oder an ein solches erinnernd untergebracht, ist ungefähr 8 Inch hoch und 5,25 Inch breit, und ist so dünn und leichtgewichtig (z. B. etwa 0,7 kg (1,5 Pfund)) wie es im Hinblick auf die einbezogenen Komponenten praktikabel ist. Der LCD-Bildschirm ist vertikal orientiert (d. h. 480 · 640) und ein LCD-Deckring um den LCD-Bildschirm ist so klein wie praktikabel ohne die Haltbarkeit übermäßig zu verschlechtern. Die "Nächste Seite"- und "Vorherige Seite"-Druckknöpfe sind vertieft und im Wesentlichen an der rechten und linken Seite des LCD-Deckrings mittig angeordnet. Der "Menü"-Druckknopf und damit in Beziehung stehende Druckknöpfe sind an der Unterseite des LCD-Deckrings angeordnet. Die Druckknöpfe sind bequem und einfach zu drücken und nahezu völlig geräuschlos, geben jedoch eine signifikante taktile Rückmeldung, wenn diese gedrückt werden. Der Schiebeschalter ist vertieft und auf der rechten Seite des Buchlesers angeordnet. Der Resetknopf ist tief vertieft, so dass ein Kugelschreiber oder ein ähnliches Gerät erforderlich ist, um eine Aktivierung des Resetknopfs zu bewirken. Ein Infrarot-Transceiver-Deckring ist an dem oberen Rand des Buchlesers angeordnet, die RJ-11- und Wechselstromadapter-Buchsen sind an dem unteren Rand des Buchlesers angeordnet und der "compact Flash"- Speichersteckplatz ist auf der Rückseite des Buchlesers angeordnet. Das Äußere des Buchlesers ist aus Magnesium hergestellt, was die Ästhetik und Haltbarkeit des Buchlesers steigert, und ist durch einen angefügten Faltledereinband 114 abgedeckt, um den Buchleser und den LCD-Bildschirm des Buchlesers zu schützen.
Wenigstens in einigen Fällen ist es vorteilhaft, wenn der Buchleser visuell elegant ist, mit feiner Detailgestaltung, prächtig aussehende Materialien (z. B. Leder, Glas, Magnesium) und kunstgummiartige Handgriffe aufweist, und im Wesentlichen wetterfest ist (z. B. Dichtungen um die Anzeige und die Knöpfe herum aufweist) und sehr haltbar ist.
In anderen speziellen Ausführungsformen kann der Sendercomputer oder der Empfängercomputer einen Notebookcomputer oder einen Desktopcomputer umfassen. Jedenfalls kann der hochgradig sichere Mechanismus hochgradig sichere Datendateien oder hochgradig sichere Software oder beides umfassen oder einen Ausweiskartencomputer umfassen (z. B. angefügt an einem seriellen, parallelen, oder USB-Port, eingesteckt in einen PCMCIA-Smartcard-Adapter, oder integriert in Form einer Einrichtung, die an einer Hauptplatine eingebettet ist).
Die Technik (d. h. die oben beschriebenen Prozeduren) können in Hardware oder in Software oder in einer Kombination von beidem implementiert werden. In wenigstens einigen Fällen ist es vorteilhaft, wenn die Technik in Computerprogrammen implementiert ist, die auf programmierbaren Computern ausgeführt werden (z. B. einem PC, auf welchem Microsoft Windows 95, 98 oder NT, oder Macintosh OS läuft, oder einem PC, der dazu geeignet ist), die jeweils einen Prozessor, ein durch den Prozessor lesbares Speichermedium (einschließlich flüchtige und nichtflüchtige Speicher und/oder Speicherungselemente), wenigstens eine Eingabeeinrichtung wie eine Tastatur und wenigstens eine Ausgabeeinrichtung aufweisen. Ein Programmcode wird auf Daten angewandt, die unter Verwendung der Eingabeeinrichtung eingegeben werden, um die oben beschriebenen Methode durchzuführen und um eine Ausgabeinformation zu erzeugen. Die Ausgabeinformation wird auf eine oder mehrere Ausgabeeinrichtungen wie einem Anzeigebildschirm des Computers angewandt.
In wenigstens einigen Fällen ist es vorteilhaft, wenn jedes Programm in einer problemorientierten Prozedur-Programmiersprache oder objektorientierten Programmiersprache wie Java oder C++ implementiert ist, um mit einem Computersystem zu kommunizieren. Die Programme können jedoch, falls gewünscht, in einer Assemblersprache oder Maschinensprache implementiert werden. Jedenfalls kann die Sprache eine kompilierte oder interpretierte Sprache sein.
In wenigstens einigen Fällen ist es vorteilhaft, wenn jedes solche Computerprogramm auf einem Speichermedium oder einer Speichereinrichtung (z. B. ROM oder Magnetdiskette) gespeichert ist, wobei dieses Medium bzw. diese Einrichtung durch einen universellen oder speziellen programmierbaren Computer lesbar ist, um den Computer zu konfigurieren und zu betreiben, wenn das Speichermedium oder die Speichereinrichtung durch den Computer gelesen wird, um die hier beschriebenen Prozeduren druchzuführen. Das System kann auch in Betracht gezogen werden als implementiert als ein computerlesbares Speichermedium, welches mit einem Computerprogramm konfiguriert wird, wobei das so konfigurierte Speichermedium einen Computer dazu veranlasst, in einer spezifischen und vordefinierten Weise zu arbeiten.
Weitere Ausführungsformen liegen im Bereich der nachfolgenden Ansprüche. Beispielsweise kann der Empfängercomputer einen Desktopcomputer oder einen tragbaren Computer umfassen, der eine Schaltungsanordnung aufweist (z. B. einen Kopierschutzstecker bzw. "Dongle", der an einem Port des Computers angefügt ist, oder eine Einsteck- oder PCMCIA-Karte mit in Epoxy eingebetteten Speichereinrichtungen), die dazu beiträgt, wenigstens einige der Funktionen durchzuführen, die von dem wie oben beschriebenen Ausweiskartencomputer durchgeführt werden. In einem solchen Fall kann der Datensatz an dem Anzeigebildschirm des Desktop- oder tragbaren Computers angezeigt werden.
Wenigstens einige der durch den Ausweiskartencomputer durchgeführten Funktionen können stattdessen vollständig oder im Wesentlichen durch Software durchgeführt werden, was keine Gestaltung sein könnte, die so sicher wie die Verwendung des Ausweiskartencomputers ist.
Der Datensatz kann irgendeine Art von Daten enthalten, einschließlich dem Text einer Zeitschrift (z. B. eines Magazins), Audiodaten (z. B. Musik) oder visuelle Daten (z. B. Standbilder oder Video).
Andere Techniken können verwendet werden, um dazu beizutragen, eine unautorisierte Verbreitung des privaten Gruppenschlüssels oder die negativen Auswirkungen einer solchen Verbreitung zu vermeiden. Beispielsweise kann vorgesehen werden, dass der private Gruppenschlüssel lediglich durch eine drahtlose, komplexe Breitband-Transfertechnik abrufbar ist oder in anderer Weise weiter in Hardware geschützt ist, oder nur zeitweise wirksam ist.
Aus einem Grund wie einer Reduktion der Transaktionszeit zwischen dem Sendercomputer und dem Empfängercomputer kann der verschlüsselte Datensatz an einem öffentlich zugänglichen Ort (z. B. im Internet) gespeichert sein, so dass lediglich die Erlaubnisdaten von dem Sendercomputer zu dem Empfängercomputer übertragen werden müssen. In einem solchen Fall kann der verschlüsselte Datensatz frei übertragen und durch jedermann kopiert werden, wobei die Erlaubnisdaten jedoch nur unter der Kontrolle der Benutzungserlaubnis- Transferprozedur übertragen werden.

Claims

1. Verfahren zur Verwendung bei einer Zuteilung von Zugriff auf einen Datensatz, umfassend:

Ermöglichen von mehrfachen Transfers zwischen Computern einer einzigen Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz, wobei die Transfers über Datenverbindungen erfolgen und einen ersten Transfer zwischen einem ersten Computer und einem zweiten Computer und einem nachfolgenden Transfer zwischen dem zweiten Computer und einem dritten Computer umfassen, wobei jedes Mal nur ein Computer die Erlaubnisinstanz einbehält und in der Lage ist, die Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz zu verwenden.

2. Verfahren nach Anspruch 1, ferner umfassend:

Verwenden eines Verschlüsselungsschlüssels, um einen unautorisierten Zugriff auf den Datensatz zu behindern.

3. Verfahren nach Anspruch 1, wobei wenigstens einer der Erlaubnistransfers den Transfer eines ersten Verschlüsselungsschlüssels umfasst.

4. Verfahren nach Anspruch 3, ferner umfassend:

Verwenden eines zweiten Verschlüsselungsschlüssels, um den ersten Verschlüsselungsschlüssel vor dem Transfer zu verschlüsseln.

5. Verfahren nach Anspruch 4, wobei der erste Verschlüsselungsschlüssel einen geheimen Schlüssel enthält und der zweite Verschlüsselungsschlüssel einen der Schlüssel in einem öffentlich/privat-Schlüsselsatz enthält.

6. Verfahren nach Anspruch 1, ferner umfassend:

Verwenden einer hochgradig sicheren Schaltungsanordnung, um dazu beizutragen, zu gewährleisten, dass jedes Mal nur einer der Computer die Instanz einbehält und zu deren Verwendung in der Lage ist.

7. Verfahren nach Anspruch 6, wobei die hochgradig sichere Schaltungsanordnung einen Ausweiskartencomputer aufweist.

8. Verfahren nach Anspruch 6, wobei die hochgradig sichere Schaltungsanordnung einen Entschlüsseler aufweist.

9. Verfahren nach Anspruch 6, ferner umfassend:

Speichern eines Verschlüsselungsschlüssels in der hochgradig sicheren Schaltungsanordnung.

10. Verfahren nach Anspruch 9, ferner umfassend:

Verwenden des Verschlüsselungsschlüssels nur in der hochgradig sicheren Schaltungsanordnung.

11. Verfahren nach Anspruch 1, ferner umfassend:

Bestimmen, ob ein Computer dazu autorisiert ist, die Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz zu empfangen.

12. Verfahren nach Anspruch 1, ferner umfassend:

entsprechend einem Ablaufzeitpunkt, vorläufiges Leisten wenigstens eines der Transfers.

13. Verfahren nach Anspruch 12, ferner umfassend:

bei dem vorläufigen Transfer, Übertragen einer Kopie eines Verschlüsselungsschlüssels von einem Sendercomputer zu einem Empfängercomputer, und, zum Ablaufzeitpunkt, Löschen der Kopie des Verschlüsselungsschlüssels von dem Empfängercomputer.

14. Verfahren nach Anspruch 1, ferner umfassend:

bei einem der Transfers, Übertragen einer Kopie eines Verschlüsselungsschlüssels von einem Sendercomputer zu einem Empfängercomputer und Löschen der Kopie des Verschlüsselungsschlüssels von dem Sendercomputer.

15. Verfahren nach Anspruch 1, ferner umfassend:

Verknüpfen wenigstens eines der Transfers mit einem Mitteltransfer.

16. Verfahren nach Anspruch 1, ferner umfassend:

Unterscheiden zwischen verschiedenen Erlaubnisinstanzen zur Erlangung von Zugriff auf den Datensatz.

17. Verfahren nach Anspruch 1, wobei wenigstens einer der Computer einen Webservercomputer aufweist.

18. Verfahren nach Anspruch 1, wobei wenigstens einer der Computer eine Buchbetrachtungseinrichtung auf weist.

19. Verfahren nach Anspruch 18, wobei die Buchbetrachtungseinrichtung einen Betrachtungsbildschirm und eine Datenkommunikationsschaltungsanordnung aufweist.

20. System zur Verwendung bei einer Zuteilung von Zugriff auf einen Datensatz, umfassend:

eine Datenverarbeitungsvorrichtung zum Ermöglichen von mehreren Transfers zwischen Computern einer einzigen Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz, wobei die Transfers über Datenverbindungen erfolgen und einen ersten Transfer zwischen einem ersten Computer und einem zweiten Computer und einen nachfolgenden Transfer zwischen dem zweiten Computer und einem dritten Computer umfassen, wobei jedes Mal nur ein Computer die Erlaubnisinstanz einbehält und in der Lage ist, die Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz zu verwenden.

21. Auf einem computerlesbaren Medium befindliche Computersoftware, umfassend Instruktionen zur Verwendung bei einer Zuteilung von Zugriff auf einen Datensatz, wobei die Instruktionen einen Computer zu Folgendem veranlassen:

Ermöglichen von mehreren Transfers zwischen Computern einer einzigen Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz, wobei die Transfers über Datenverbindungen erfolgen und einen ersten Transfer zwischen einem ersten Computer und einem zweiten Computer und einen nachfolgenden Transfer zwischen dem zweiten Computer und einem dritten Computer umfassen, wobei jedes Mal nur ein Computer die Erlaubnisinstanz einbehält und in der Lage ist, die Erlaubnisinstanz zur Erlangung von Zugriff auf den Datensatz zu verwenden.