MXPA05004951A - Renovacion de certificado en una infraestructura de autorizacion de certificado. - Google Patents

Abstract

Un sistema que utiliza certificados digitales que tienen intervalos de validez que se traslapan. Los certificados que se traslapan pueden ser utilizados en una red jerarquica de autoridades de certificacion con el objeto de obtener beneficios, tales como el aumento del uso de todos los certificados en la cadena de certificados; reducir/eliminar las actualizaciones/descarga de los certificados a una poblacion grande; solamente reemplazar el numero minimo de certificados en la jerarquia de confianza para re-establecer la cadena de certificados; reducir la complejidad de mantener la anidacion de certificados en un proceso de generacion de certificados; reducir el riesgo de la interrupcion de servicio; y controlar el grado de tecnologia mas vieja en circulacion y reducir el riesgo asociado con los productos mas viejos que son mas susceptibles a los ataques. Se describe el proceso de renovacion del certificado de una modalidad preferida.

Description

RENOVACIÓN DE CERTIFICADO EN UNA INFRAESTRUCTURA DE AUTORIZACIÓN DE CERTIFICADO Campo del Invento La presente invención se refiere en general a la seguridad de la información digital y más específicamente, a un sistema de certificación para la transferencia de información.

Antecedentes del Invento La información digital se ha vuelto cada vez más importante en todos los aspectos del comercio, educación, gobierno, entretenimiento y administración. En muchas de estas aplicaciones es crítica la capacidad para asegurar la privacidad, integridad y autenticidad en la información. Como resultado, han sido desarrollados varios mecanismos de seguridad digital para mejorar la seguridad. Un método para la seguridad digital que se utiliza generalmente es para la autorización de certificados (CA) para emitir un certificado al propietario del certificado. El propietario entonces puede proporcionar el certificado a una tercera parte como una prueba por parte de la CA de que el propietario que está nombrado en el certificado es de hecho la persona, entidad, máquina, usuario de la dirección de correo electrónico, etc., que está estipulado en el certificado. Y que una clave pública en un certificado es, de hecho la clave pública del poseedor. Las personas, aparatos, procesos y otras entidades que tienen tratos con el poseedor del certificado pueden depender del certificado, de acuerdo con la declaración de práctica de certificación de las CAs .

Generalmente la CA crea un certificado firmando digitalmente con su propia clave privada, identificando la información presentada a la CA junto con la clave pública del poseedor quien busca el certificado. Un certificado generalmente tiene u periodo de validez limitado, y puede ser revocado antes en el evento de un compromiso de la clave privada correspondiente del poseedor del certificado, u otro evento que se puede revocar. Un método estandarizado para la seguridad digital en la actualidad es al que nos referimos como una infraestructura de clave pública (PKI) . La PKI proporciona el uso de certificados digitales para autentificar la identidad del poseedor del certificado o para autentificar o certificar otra información. Generalmente, un certificado PKI incluye una recolección de información a la cual está adjunta una firma digital. Una CA en la que confia la comunidad o los usuarios del certificado, adjunta su firma digital y emite los certificados a varios usuarios y/o aparatos dentro de un sistema. Si un certificado ha expirado, se puede obtener otro certificado yendo a través de los pasos correctos para hacer contacto con la CA y obtener otro certificado válido. Este método puede funcionar bien en los casos en que, por ejemplo, los certificados son asignados a usuarios y un usuario es responsable de obtener, actualizar (por ejemplo, cuando cambia la información de identificación del usuario) , y renovar ese certificado del usuario. Sin embargo, la generación, transmisión, y actualización de los certificados en asociación con los aparatos de hardware (es decir, los aparatos de hardware están cada uno asociados con un certificado) , puede presentar problemas en la administración, transmisión, control, uso del certificado, etc., especialmente en donde el número de aparatos es grande.

Sumario del Invento La presente invención permite que sean utilizados certificados que tienen una validez que se traslapa. Los certificados que se traslapan pueden ser usados en una red jerárquica de autoridades de certificado con el objeto de obtener beneficios, tales como aumentar el uso de todos los certificados en la cadena de certificados; reducir/eliminar las actualizaciones/descargas de certificados a una población grande; solamente reemplazar el número mínimo de certificados en la jerarquía de confianza para re-establecer la cadena de certificados; reducir la complejidad de mantener un certificado que se anida en el proceso de generación de certificados; reducir el riesgo de la interrupción de servicio y controlar el grado de tecnología anterior en circulación y para reducir el riesgo asociado con productos más antiguos que son más susceptible a los ataques. Se describe un proceso de renovación de certificado de una modalidad preferida.

En una modalidad de la presente invención se proporciona un método para proporcionar un certificado en un sistema de seguridad digital, comprendiendo el método recibir un primer certificado que incluye un primer periodo de validez; recibir un segundo certificado que incluye un segundo periodo de validez, en donde el segundo periodo de validez se traslapa con el primer periodo de validez en donde los periodos no son el mismo; y proporcionar uno de los certificados a un aparato.

Breve Descripción de las Figuras La figura 1 muestra una jerarquía de confianza de acuerdo con una modalidad preferida de la presente invención; La figura 2 ilustra una línea de tiempo que muestra el uso de certificados con períodos de validez que se traslapan; La figura 3 muestra una línea de tiempo en donde se realiza una operación de nueva codificación en la CA Raíz; y La figura 4 ilustra un flujo de mensajes de alto nivel de un proceso de renovación de certificados .

Descripción Detallada del Invento Una modalidad preferida de la presente invención está diseñada para proporcionar certificados en un sistema de distribución de contenido digital en donde se les ha concedido permiso, a muchos aparatos del usuario para tener acceso, reproducir o presentar de otro modo el contenido digital. Por ejemplo, un video digital puede ser distribuido por medio de enlaces de comunicación de satélite, cable, fibra óptica y otros medios de comunicación utilizando redes digitales tales como la Internet, intranets corporativas o de campo, redes de área local, etc. Finalmente, el video digital es presentado a un usuario o visor de modo que el usuario pueda reproducir el contenido de imagen y audio en un sistema de entretenimiento doméstico, un sistema de cómputo u otro sistema de presentación . En la aplicación del video digital, el aparato realiza la descodificación, desencriptación y otro procesamiento del contenido, de modo que pueda ser presentado a las bocinas de audio y a una pantalla es al que nos referimos como una "caja de descodificador" .

Sin embargo, puede ser empleado cualquier tipo de aparato que procesa el contenido para la presentación (por ejemplo, un asistente personal digital, teléfono celular, un reproductor de corrientes de video, etc.). Adicionalmente , el nivel del aparato puede incluir aparatos de control para facilitar la trasferencia de información, arbitrar los recursos de red, procesos de actualización y aparatos, etc. Aunque la presente invención se describe principalmente haciendo referencia a un escenario de distribución de video digital, se deberá apreciar que otros escenarios y aplicaciones se pueden beneficiar del uso de las diferentes características de la presente invención . La figura 1 ilustra la adaptación básica de una jerarquía de confianza adecuada para el uso con la presente invención. En la figura 1, la jerarquía de confianza 100 incluye tres niveles de participantes en una organización de red incluyendo los sitios del fabricante de los descodificadores y los descodificadores o aparatos mismos . Un primer nivel, o el nivel raíz incluye el operador de red 110. El operador de red es responsable de emitir el certificado de nivel raíz al nivel de fabricación de la jerarquía. En general, el operador de red puede ser cualquier entidad lo suficientemente autorizada y con confianza para llevar a cabo los servicios de certificación. El operador de red también debe de establecer la entidad fisica de los fabricantes y debe establecer finalmente, el control y asegurar la integridad de los certificados distribuidos en la jerarquía. En la aplicación del descodificador, por ejemplo, un operador de red puede establecer o dar permiso por medio de un distribuidor principal de medios. El segundo nivel de participantes pueden ser fabricantes de los descodificadores u otros aparatos de reproducción. En un tercer nivel son los aparatos fabricados los que generalmente residen en el hogar del consumidor o, como es el caso de los aparatos portátiles, son mantenidos por la persona del usuario. Una vez que los fabricantes, tal como el 120, 122 y 124 son identificados físicamente con el operador de red (por ejemplo, la autoridad de certificación raíz ("CA Raíz")), certifica cada clave pública del fabricante emitiendo un certificado único del fabricante. La CA Raiz también publica su certificado a los fabricantes. Cada fabricante utiliza su clave certificada para crear certificados de aparatos para los aparatos, tales como los aparatos del 130 al 140 de la figura 1. Un fabricante es responsable de crear certificados de los aparatos y también de cargar en los códigos/certificados de los aparatos, el propio del certificado del fabricante y el certificado de los CAs Raiz a un aparato en la instalación de fabricación. Por ejemplo, a un aparato 130 se le emite un certificado del aparato único para el aparato 130. El aparato 130 también tendrá un certificado del fabricante 120 y un certificado de nivel raiz del operador de red 110. De un modo similar, los aparatos 132 y 134 también incluyen certificados del fabricante 120 y el operador de red 100. Los aparatos 136, 138 y 140 incluyen certificados del fabricante 124 y del operador de red 110. En una modalidad preferida, a los certificados se les da un nivel que tiene un periodo de validez que se traslapa con los certificados de otros niveles. Específicamente, un certificado asunto materia en un nivel más bajo (asunto materia), tal como un nivel del fabricante, puede tener un período de validez que se traslapa con uno o más certificados de nivel raíz (emisor) desde el cual no se emitió dicho certificado. Por ejemplo, supongamos que el primer certificado raíz es utilizado para proporcionar un código para un primer certificado del fabricante. En un momento posterior, el primer certificado raíz será renovado, de modo que se encuentre en su lugar un certificado raíz renovado. Sin embargo, el certificado del fabricante emitido con el primer certificado raíz todavía es válido aunque haya sido emitido el · certificado raíz renovado que ahora es utilizado para crear todos los certificado subsecuentes del fabricante y el aparato. De un modo similar, los certificados del aparato se pueden traslapar con los certificados raíz y del fabricante. En una modalidad preferida, a los aparatos se les emiten certificados del aparato con períodos de validez que se anticipa que sean más largos que el tiempo de vida de operación del aparato. Por ejemplo, en la modalidad preferida, se utiliza un periodo de 20 años. Cuando expira un certificado del aparato, ese aparato ya no se puede operar. El periodo de 20 años es seleccionado como un tiempo lo suficientemente largo, de modo que el aparato será más probable que se haya vuelto obsoleto por la tecnología nueva. O el aparato puede fallar, ya sea electrónica o mecánicamente, o el tiempo de vida del aparato sería excedido por otras razones . En otras palabras, en la modalidad preferida se supone que los certificados del aparato no necesitarán ser renovados . Otras modalidades pueden permitir que los certificados del aparato puedan ser renovados y pueden tener períodos de validez variables para los certificados o pueden proporcionar otras variaciones . El período de validez seleccionado puede depender de un número de factores, tales como la fuerza de la tecnología de encriptación utilizada, es decir, la fuerza de la clave privada usada para la firma del certificado y el deseo de minimizar el tráfico en la red o para reducir la carga de operación para las autoridades de certificación. El tiempo más largo o más frecuente en que se ha utilizado un certificado y su información asociada (por ejemplo, una clave privada), es más susceptible de perderse o se puede descubrir. Por lo tanto, la restricción del tiempo de vida del certificado podría ser utilizada para controlar el grado de la tecnología más vieja en circulación, o para reducir el riesgo asociado con productos más viejos que son más susceptibles a los ataques. Sin embargo, el tiempo de vida más corto se define, como que se necesitaría llevar a cabo una renovación, o nuevo registro del certificado con mayor frecuencia, lo cual aumentaría el costo de operación de una autoridad de certificación. Esto también podría complicar el protocolo de mensajes que necesita ser construido en el sistema para generar la alerta de la expiración del certificado. Los certificados de los fabricantes son renovados después de un período de dos años y son válidos por 20 años. Observar que cualesquiera períodos de validez, intervalos u otros valores o rangos específicos aquí explicados, pueden variar con modalidades diferentes . Los periodos de validez pueden ser eternos, de diez años, meses, días, minutos, etc. Los períodos pueden ser seleccionados de acuerdo con las políticas deseadas del certificado, las selecciones de diseño, o por otras razones . Al final de cada período de renovación de dos años, el fabricante debe obtener un certificado del operador de red. Durante el período de dos años, el fabricante puede emitir certificados del aparato de acuerdo con el certificado del fabricante actual en ese momento . De modo similar, el operador de red o el CA Raíz renueva sus certificados raíz cada 2 años. Tanto en los niveles del fabricante como el del operador de red, los certificados son emitidos con una clave diferente cada 30 años o después de 15 períodos de renovación de 2 años. Como se mencionó, este método da como resultado que los certificados de niveles más bajos (asunto materia) se traslapan con los certificados de los niveles más altos (emisor) . Los detalles e implicaciones de este método de traslape se describen más adelante.

Con el método de tres niveles de la modalidad preferida, los certificados del operador de red y el fabricante son renovados cada dos años y se vuelven a codificar cada 30 años . El operador de red considerado como la Autoridad de Certificación raíz (CA) en la jerarquía de confianza, y renueva y/o vuelve a emitir su certificado raiz cada dos años mediante la propia autentificación con la misma clave raíz siempre que la clave se haya estado usando por menos de 30 años. La CA raíz utiliza un proceso de renovación de nueva codificación. Los fabricantes son "CA" o entidades CA de nivel medio y renuevan sus certificados del CA raíz cada dos años sin tener que cambiar la clave siempre que la clave haya estado en uso por menos de 30 años. Para limitar el uso de la misma clave para generar certificados de aparatos por no más de 50 años, el CA del Fabricante utiliza el proceso de renovación de nueva codificación después de 15 renovaciones. Este procedimiento da como resultado que la misma clave está siendo usada por no más de 50 años, por un período tal como de 30 años para las nuevas codificaciones, más de 20 años de tiempo de vida de una clave emitida al final de un periodo de 30 años. El certificado de la entidad final (aparato) no necesita ser renovado debido al periodo de validez traslapado original que proporciona un periodo de validez suficiente para cubrir el tiempo de vida de operación esperado del aparato.

Operador de Red — Identificación Física La identificación física y la certificación del fabricante es realizada por el operador de red para establecer la identidad verdadera de cada fabricante. Una vez que se ha realizado la identificación física, el operador de red tiene algún aseguramiento de que los canales de comunicación electrónicos conocidos (por ejemplo, la dirección de correo electrónico, Sistema de Nombre de Campo (DNS) , etc.) son medios confiables para ponerse en contacto con el fabricante. El proceso de certificación para el operador de red quien opera el CA raíz y certifica el CA del fabricante, incluye (1) un proceso de registro (administrativo) y (2) un proceso de administración de certificado (técnico) .

En el proceso de registro el operador de red puede recibir y verificar los documentos de papel notarizados y firmados u otras credenciales . Se puede obtener cualquier tipo de información generalmente aceptada o documentos oficiales u otra información y utilizarla para este propósito. La aprobación y emisión del certificado del fabricante es contingente al momento que está siendo identificado a la satisfacción del operador de red. En el proceso de administración del certificado, el certificado electrónico es creado y emitido. El certificado también es grabado y rastreado a través del tiempo de vida del certificado. El proceso de administración incluye el control y administración del certificado, tal como renovaciones, revocaciones y otro mantenimiento. En muchos casos un operador de red podría ya haber establecido relaciones comerciales con los fabricantes antes del despliegue de una red de distribución y otros aparatos del usuario final. Debido a estas relaciones existentes, el proceso de validación y registro se puede simplificar de manera importante. Sin embargo, cuando un nuevo fabricante llega a ser un miembro de la red, cuando un fabricante existente encarga por fuera sus actividades seguras a una tercera parte, y en otros casos en donde el fabricante es presentado a los operadores de red, generalmente se conducirán a través de la identificación física y el proceso de registro. Este proceso comprende generalmente, la presencia personal del representante del fabricante y un representante del operador de red. Por ejemplo, un representante del fabricante podría visitar a un oficial u operador de seguridad para presentar una solicitud de certificado. Se puede utilizar un formato Estándar de Sintaxis de Solicitud de Certificación PKCS#10, (ver por ejemplo, el formato hhtp: //w w.rsasecurity. com/rsalabs/pkcs/) , para presentar la solicitud de certificado y se puede utilizar un formato PKCS#7 para recibir el certificado. Este proceso de registro puede requerir que el representante de un fabricante pruebe la identidad personal del representante, la identidad de la compañía y el empleo del representante con una autorización por parte de la compañía para realizar la transacción. Aunque este método es relativamente directo requiere que el representante de un fabricante visite personalmente a una oficina de administración del operador de red y puede ser inconveniente. Otro método utiliza comunicaciones electrónicas en vez de presentaciones personales. El operador de red envía una forma de solicitud a un fabricante nuevo por medio de un correo electrónico, fax, u otro canal. Al fabricante se le requiere presentar la información que se muestra en la tabla 1, siguiente .

Información de Organización del CA del Fabricante : Nombre de la organización Domicilio de la organización Número de Identificación Fiscal de la Organización u otros documentos que puedan probar la entidad comercial Información de contactos personales: ID de la Compañía y/o licencia de conducir, pasaporte u otros medios de identificación Dirección de correo electrónico Número telefónico de oficina Referencias de empleo Carta de autorización de un oficial de la compañía TABLA 1 Para completar la forma de solicitud es notarizada, luego enviada a las oficinas del operador de red por medios preferidos, tales como por fax, correo electrónico encriptado, un enlace seguro, tal como una red privada virtual (VPN) , etc. Naturalmente, se pueden utilizar según se desee cualesquiera medios de comunicación adecuados. El fabricante debe de tener una autoridad de certificación del fabricante (CA) para mantener y salvaguardar las copias de todos los documentos presentados . Algo de la información será necesaria nuevamente para presentar una solicitud del certificado al Operador de Red. El administrador (u oficial de seguridad) debe validar toda la información proporcionada por un CA del Fabricante. El fabricante debe de generar electrónicamente y transmitir las solicitudes de certificado al operar de red CA, o la CA Raíz. Una solicitud de certificado puede incluir información básica, tal como la clave pública CA del fabricante y la información de identidad de fabricante enviada anteriormente. La solicitud es firmada por medio de la clave privada del CA del Fabricante para probar que tiene una clave pública correspondiente. El operador de red compara la información recibida en la solicitud de certificado con un documento de papel que incluye la información de la Tabla 1. Si la información coincide, el CA Raíz firma el certificado del fabricante, autentificando de este modo la identidad del solicitante. Además, el CA Raíz puede "sellar" el certificado con una fecha de expiración. El certificado puede ser enviado directamente al CA del Fabricante.

Cadena de Validación de Certificados Una modalidad de la presente invención utiliza certificados digitales en cumplimiento con el estándar X.509 Versión 3. Ver por ejemplo, la "Infraestructura de Clave Pública Internet X.509", Enero, 1999. Se utilizan tres tipos de certificados de la manera siguiente: (1) certificados de CA Raíz autofirmados , (2) certificados CA del fabricante y (3) certificado del aparato . La cadena comienza con un certificado de entidad final en el nivel más bajo de la jerarquía de confianza seguido por una sucesión de uno o más certificados CA de nivel medio (es decir, certificados del fabricante) , en donde cada certificado CA es el original (emisor) del certificado anterior (asunto materia) , terminando en un certificado raíz autofirmado en el nivel superior, o primer nivel. Otras modalidades pueden utilizar cualquier número y tipo de niveles en una j erarquía . Con el objeto de limitar los riesgos que se presentan sobre la marcha en el sistema, se utiliza el proceso de validación de certificado que se define a continuación, para evitar que un equipo no autorizado y entidades asociadas (por ejemplo, proveedores de equipo) vuelvan a entrar a la red. El proceso de validación del certificado trata de asegurar que cada firma de la cadena de certificados es verificada, y que el período de validez de cada certificado de la cadena de certificados es revisada, y que se realizan las revisiones de revocación . del certificado . La verificación de firma del certificado es utilizada para revisar la validez de un certificado de un aparato o una entidad final. Un certificado del Fabricante es utilizado para verificar la firma en el certificado de la entidad final, y un certificado raíz se utiliza para verificar la firma en el certificado del fabricante . En una aplicación de distribución de contenido de video digital, la red de distribución generalmente comprende solamente un número pequeño de nodos de distribución o equipo de "usuario final". Por ejemplo, el número de instalaciones de usuarios finales puede ser del orden de docenas. En este caso, el uso del mecanismo de revocación de certificados para resolver el problema asociado con los tiempos de vida más largos, no ocasionará que el tamaño de la base de datos de revocación de certificados aumente de manera importante. Por lo tanto, todos los certificados pueden tener un tiempo de vida relativamente largo, tal como de 20 años como un valor por omisión (default) . En general, el reemplazo del certificado después de su fecha de expiración podría ser un proceso manual. Sin embargo, si un CA Fabricante desea definir sus certificados con un tiempo de vida corto, entonces se puede necesitar un mecanismo automático que sea diseñado en su equipo para rastrear el tiempo de expiración del certificado, de modo que todos los aparatos pudieran obtener sus nuevos certificados en un tiempo anterior a la fecha de expiración de los anteriores . También se puede originar una alerta para el fabricante y enviarla por la red a los aparatos, de modo que el usuario del aparato pueda tomar las acciones apropiadas, tales como la obtención de un certificado renovado, intercambio del aparato, etc. En una modalidad preferida de la presente invención, no se requiere la anidación de la validación del período de validez. Sin embargo, se realiza en el punto una revisión simple de validez del certificado para asegurarse que todos los certificados de la cadena de certificados son válidos en el momento cuando se realiza la revisión. Después de 60 días de la expiración de cualquier certificado de la cadena de certificados, debe de cesar cualesquiera aplicaciones, procesos, procedimientos, etc., ya sea normales o automáticos que utilizan el certificado expirado. Observar que otras modalidades pueden utilizar diferentes métodos para un periodo de "gracia" para la expiración tales como no permitir que los certificados expirados sean utilizados por cualquier duración del tiempo después de la expiración. Una razón para permitir el periodo de gracia en la modalidad preferida, es evitar los resultados severos tales como la detención repentina de la producción de un fabricante. Este método puede proporcionar una alerta al fabricante cuando se está aproximando la expiración. Se pueden tomar otras acciones, tales como la notificación adicional a un fabricante, la restricción de la participación en el sistema de distribución, la puesta en vigor legal, etc., si los certificados no son actualizados. Generalmente, la extracción física del equipo con los certificados revocados es solamente práctica en sistemas o redes pequeñas con un número de aparatos que se puede manejar. En el caso de redes más grandes con muchos aparatos, se puede utilizar un proceso de revocación del certificado para desactivar electrónicamente un aparato que ya no está certificado. Una modalidad preferida utiliza un proceso de revocación del certificado que es parte del estándar PKI, en el cual se generan solicitudes de revocación del proceso de las autoridades de Certificación, y se mantienen Listas de Revocación de Certificados (CRLs) . Se utiliza un estándar X.509 CRL . Observar que la presente invención intenta minimizar el tráfico de la red reduciendo la necesidad de transferir certificados, crear CRLs y transferir otra información. Un medio para que esto sea logrado es con la creación de nuevos certificados en intervalos fijos, relativamente largos y permitiendo que los certificados creados con los certificados de los emisores anteriores, se mantengan válidos . Un certificado de CA del Fabricante puede llegar a ser inválido antes de la expiración normal de su periodo de validez. El operador de red puede suspender o revocar cualquier certificado emitido a los CAs de los Fabricantes, si el operador de red considera, por ejemplo, que se han perdido las claves privadas del fabricante, que se ha utilizado de una manera no autorizada, o comprometido de otra manera. Bajo dichas circunstancias, el CA revoca el certificado de los CAs de los Fabricantes, incluyendo un número de serie de certificado en el siguiente CRL programado. De un modo similar, un CA del Fabricante puede revocar cualquier aparato individual, si la clave del aparato puede haber sido comprometida. El CRL puede ser almacenado y distribuido a otras partes quienes pueden desear revisar el certificado contra los CRLs . Si un certificado CA del Fabricante es revocado, al fabricante se le requiere ir a través del proceso de registro inicial con el operador de red, tal y como se describió anteriormente, para obtener un nuevo certificado. Después de recibir un nuevo certificado, el CA del fabricante vuelve a emitir certificados a todos los aparatos asociados con el fabricante. De otro modo, todos los certificados de los aparatos son revocados de manera inherente .

Proceso y Política de Renovación de Certificados Existen dos escenarios básicos de la renovación de certificados de la manera siguiente: (1) la creación de un nuevo certificado con el mismo nombre, clave u otra información que el anterior, pero un periodo de validez prorrogado nuevo, y con un número de serie nuevo; y (2) crear un nuevo certificado con una nueva clave pública diferente (correspondiente a una nueva clave privada correspondiente) , y un número de serie diferente, y un periodo de validez diferente. Esta segunda forma de renovación también es conocida como el proceso de "nueva codificación" . Una revisión en el punto simple de validez de certificado es realizada para asegurarse que todos los certificados de la cadena de certificados son válidos en el momento cuando es realizada la revisión. Por lo tanto, maximizando el periodo de validez de traslape de todos los certificados, se podrían reducir los costos de operación debidos al proceso de renovación frecuente de certificados para una población grande (tal como una población de aparatos), la cual es evitada. Una modalidad preferida de la presente invención permite la complejidad reducida de anidación de certificados utilizando las políticas de certificados que establecen en la tabla II. 1. Las renovaciones /nuevas emisiones del certificado, CA Raíz cada dos años siempre que la clave haya estado en uso por menos de 30 años. De otra manera se realiza la renovación con la nueva codificación . 2. Los CA Fabricantes renuevan sus certificados del CA Raíz cada dos años, sin tener que cambiar su clave cuando la clave ha estado en uso por menos de 30 años. De otro modo, se realiza la renovación como una nueva codificación. 3. Todos los CAs deben utilizar siempre su clave/certificado actualizado más reciente en la operación de la nueva generación de certificados. 4. Los certificados del aparato tienen un período de validez de 20 años. TABLA II La figura 2 ilustra los períodos de traslape de la validez de certificados. En la figura 2, el diagrama 200 incluye lineas de tiempo separadas para cada uno de los tres empates o niveles en la jerarquía de confianza. El primer nivel 210 corresponde al CA Raíz, o certificados del operador de red. El segundo nivel 220 corresponde a los certificados del CA del Fabricante. El tercer nivel 230 corresponde a certificados del aparato. El Rcertl certificado en el 212 incluye una clave pública de RK1 que es utilizada para verificar la firma del CA Raíz en los certificados del fabricante, tal como en el Mcertl . La clave pública del fabricante proporcionada con el Mcertl. El Mcertl es proporcionado por el CA Raíz y firmado por la clave privada del RK1. La clave privada del MK1 es utilizada para firmar los certificados del aparato. La Mcertl también es válida por 20 años. Finalmente, la clave privada del MK1 es utilizada para firmar el Dcertl . El Dcertl incluye la clave pública del DK1. Tanto las claves públicas como privadas del DK1 son creadas por un fabricante y proporcionadas a aparatos específicos en el momento de la manufactura. En una modalidad preferida, el certificado del aparato y la clave privada pueden ser actualizados, de ser necesario . Tal y como se muestra en el primer nivel 210, como expira cada periodo de renovación de cada 2 años para los certificados del CA raíz, un nuevo certificado es creado (RKl/Rcertl, RKl/Rcert2, R 1/Rcert3, . ) utilizando la misma clave RK1. Al final del periodo de validez del 15A certificado, en el 214, se utiliza una nueva clave RK2 para continuar generando certificados (R 2 /RcertlG . RK2/Rcertl7, . . . ) .

Durante un período de 2 años antes de la renovación del certificado raíz, el certificado raíz puede ser utilizado para generar cualquier número de certificados del fabricante. Otras modalidades pueden imponer restricciones, tales como el número o tipo límite, en los certificados que son emitidos utilizando los certificados raíz. Conforme son renovados los certificados raíz sucesivos con el paso del tiempo, un certificado raíz que está siendo utilizado actualmente por el CA Raíz, ya no será necesariamente el certificado raíz en la cadena de un certificado del fabricante o aparato, ya que los certificados del fabricante y/o aparato pueden haber sido creados utilizando un certificado raiz anterior. De un modo similar, un certificado de un aparato válido puede ya no tener el certificado del fabricante correspondiente en su cadena. Sin embargo, aunque los certificados raiz actuales puede no estar en una cadena de certificados del fabricante/aparato particular, los certificados raiz anteriores (por ejemplo, certificados no actuales) serán todavía válidos debido a sus periodos de validez en progreso que se pueden traslapar con los períodos de validez de los certificados actuales . Una situación similar existe con los certificados del fabricante con respecto a los certificados del aparato. Otras modalidades pueden exhibir relaciones entre certificados entre cualquier número de niveles.

Por lo tanto, se realiza la revisión de validez del certificado en forma de puntos en un certificado del fabricante o del aparato que utiliza certificados raíz y/o del fabricante anteriores en su cadena y que serán válidos todavía. La revisión en forma de punto puede ser realizada por medio del software, el hardware o una combinación de ambos (u otro proceso, tal como manualmente, etc.) para determinar si la cadena de certificados es válida en un cierto punto del tiempo. Esta es una manera rápida de realizar una revisión de validez que no requiere el uso extenso del ancho de banda de la red. En la operación normal del sistema, cada aparato está asociado solamente con una cadena de certificados que no necesita ser actualizada, ya que se espera que la cadena de certificado durará más allá del tiempo de vida de los aparatos . Otras modalidades pueden utilizar métodos diferentes para certificados de los aparatos, incluyendo certificados que se pueden renovar . En el paso 222 el certificado del fabricante Mcertl5 emite la clave raíz K1. El fabricante utiliza la clave privada del MK1 para firmar el Dcertm-1. En el paso 214 ocurre una nueva codificación en el CA raíz. La nueva clave raíz es designada como RK2. Los certificados del fabricante firmados utilizando la R 2 incluyen una nueva clave del fabricante, MK2 , como se muestra al inicio del paso 224. Los certificados del aparato con el MK2 también incluyen certificados raiz firmados con el RK2 en su cadena de certificados. Por lo tanto, el último certificado raiz que utiliza el RK1 es el RcertlS que tiene un periodo de 2 años 213 en el cual emitir los certificados. La expiración del RcertlS se muestra en el paso 216, después de 20 años. Por lo tanto, el certificado del aparato Dcertm-1 en el paso 232 no debe expirar después que el 216. En una modalidad preferida, el proceso de nueva codificación del CA Raiz se lleva a cabo después de que la clave ha sido utilizada por 30 años, y debido a que es utilizada una clave más larga y más frecuente, la más susceptible se puede perder o descubrir. Los nuevos certificados son emitidos para los CAs de los Fabricantes por el CA Raiz cuando ocurren las nuevas codificaciones del CA Raiz y se inicia la emisión de los certificados del fabricante con una nueva clave del fabricante. Cuando ocurre la nueva codificación del CA Raiz debido a un compromiso (que puede suceder en cualquier tiempo) cada CA del Fabricante debe enviar inmediatamente una nueva solicitud de certificado al CA Raíz. Los CAs del Fabricante entonces podrían actualizar todos los certificados de los aparatos con los nuevos certificados del fabricante emitidos por el CA Raíz como resultado de la operación de nueva codificación. Al momento de la nueva codificación, el CA Raíz puede identificar y autentificar los CAs del Fabricante, ya sea realizando la identificación física y/o el proceso descrito anteriormente, o si han transcurrido menos de 10 años, debido a que el CA del Fabricante fue identificado como que se requería entonces utilizando los certificados válidos actualmente emitidos al CA del Fabricante por el CA Raíz . La figura 3 ilustra un caso en donde tiene lugar una nueva codificación, pero que no requiere la nueva codificación del fabricante. Por ejemplo, dicha situación puede ocurrir cuando la clave raíz ha estado comprometida y ha sido programada una nueva codificación raíz programada no tomará el por algún tiempo. En la figura 3, el CA Raíz codifica de nuevo la clave raíz de la R 1 a la RK2 en el punto 250. Si clave del CAs del Fabricante está comprometida, entonces el Fabricante puede aplicar su propio certificado de la CA raíz sin cambiar su propia clave (suponiendo que su clave está indicada por el M 1) . Si la nueva codificación es un resultado de que la clave raiz está siendo comprometida, entonces el CA del Fabricante actualiza todos los aparatos que han sido creados bajo el MK1 como un nuevo certificado CA Raiz y un nuevo certificado del Fabricante. Si se realiza el proceso "de nueva codificación" bajo el supuesto de que la clave podría estar comprometida en el futuro, no debido a que ya está completamente comprometida, entonces ningún certificado necesita ser actualizado en los aparatos que ya han sido creados bajo el RK1 y el K1. Cuando cambia el CA del Fabricante y su clave del MK1 al K2 bajo las circunstancias de que la clave está comprometida, los certificados del aparato creados bajo la MK1 necesitan ser revocados. Pero si existe un proceso de "nueva codificación", entonces el CA del Fabricante es realizado bajo el supuesto de que clave podría ser comprometida en el futuro, no debido a que ya está comprometida, entonces los certificados no necesitan ser actualizados en los aparatos que ya fueron creados bajo el MK1. La nueva codificación del aparato también puede ser utilizada para permitir que un aparato recupere la clave comprometida. La nueva codificación del aparato es realizada por el CA del Fabricante asociado con el aparato. El CA del Fabricante genera el par de claves del aparato y emite un nuevo certificado del aparato . La tabla III resume el uso de algunos casos y requerimientos para los escenarios de nueva codificación del certificado.

La figura 4 ilustra un flujo de mensajes de alto nivel del proceso de renovación de certificados . En la figura 4, el primer paso ocurre cuando el CA del Fabricante (al que nos referimos también como un "Sub" CA) hace una solicitud para un nuevo certificado del CA Raiz. La solicitud se hace utilizando la clave actual de los CAs del Fabricante, MK1. El CA Raiz responde generando y emitiendo una respuesta de certificado como "(MCert_l, RCert_l)", La anotación indica que el certificado emitido incluye un nuevo certificado CA del Fabricante, "MCert_l", y que el certificado CA Raiz, "RCert_l". Luego, se necesita un certificado del aparato (por ejemplo, se ha fabricado un nuevo aparato) del CA del Fabricante. El CA del Fabricante emite una respuesta de certificado como (DCert_l, SCertl, RCertl)" indicando que la respuesta incluye los certificados del CA Raiz, el CA del Fabricante y el aparato. En el paso 302, el símbolo del círculo blanco en la línea del tiempo de los CAs Raíz indica que ha ocurrido la renovación de un certificado del CA Raíz sin una operación de nueva codificación. En este caso, no hay impacto en la operación de los CAs del Fabricante, y el CA del Fabricante puede continuar emitiendo certificados del aparato como es usual. En el paso 304, ocurre una renovación del CA del Fabricante (sin nueva codificación) y el CA del Fabricante obtiene un nuevo certificado del CA Raíz para continuar emitiendo certificados del aparato sin un certificado CA del Fabricante obtenido recientemente y cualesquiera certificados del CA Raíz actuales. Las renovaciones posteriores del certificado por el CA Raíz y el CA del Fabricante proceden de una manera similar. En el paso 306, ocurre una renovación de nueva codificación para el CA del Fabricante. Esto ocasiona un nuevo certificado del CA del Fabricante incluyendo una nueva clave del CA del Fabricante para ser emitida por el CA Raíz al CA del Fabricante. En el paso 308, ocurre la operación de nueva codificación del CA Raíz. Aunque la presente invención ha sido descrita haciendo referencia a modalidades específicas de la misma, estas modalidades son ilustrativas, y no restrictivas de la presente invención. Por ejemplo, aunque se utiliza el sistema P I como la modalidad preferida, otras modalidades pueden utilizar solamente porciones del sistema PKI o pueden utilizar otros sistemas. Aunque se han descrito modalidades especificas con respecto a la red de distribución de video digital, son posibles otras aplicaciones que utilizan diferentes aparatos, organización y números de niveles, etc . Se puede utilizar cualquier número de niveles en la jerarquía de confianza. La jerarquia de confianza no necesita seguir una estructura rígida de nivel mostrada en la figura 1. Por ejemplo, es posible que niveles múltiples de fabricantes (por ejemplo, subsidiarias, afiliados del fabricante), y niveles de raíz y aparatos existan en la misma jerarquía. Pueden existir cualquier cantidad de CAs en cualquiera de los niveles . Otros métodos de seguridad pueden utilizarse en conjunto con las características de las modalidades de la presente invención. En la presente descripción, se proporcionaron numerosos detalles específicos, tales como ejemplos de componentes y/o métodos, para proporcionar un entendimiento completo de las modalidades de la presente invención. Sin embargo, un experto en la técnica reconocerá que una modalidad de la presente invención puede ser practicada sin uno o más de los detalles específicos, o con otros aparatos, sistemas, ensambles, métodos, componentes, materiales, partes y/o similares. En otros casos, no están mostradas o descritas en detalle específicamente estructuras bien conocidas, materiales u operaciones para evitar oscurecer los aspectos de las modalidades de la presente invención. Un "portador legible por computadora" para propósitos de las modalidades de la presente invención, puede ser cualquier medio o transmisión que pueda contener, almacenar, comunicar, propagar o transportar el programa para utilizarlo con o en relación con el sistema de ejecución de instrucciones, el aparato, el sistema o aparato. El transportador legible por computadora puede ser, a modo de ejemplo solamente y no de limitación, un sistema electrónico, magnético, óptico, electromagnético, infrarrojo o semiconductor, un aparato, sistema, dispositivo, medio de propagación, o memoria de computadora. Un "procesador" o "proceso" incluye cualquier mecanismo o componente, sistema de hardware y/o software, o humano que procesa los datos, señales u otra información. El procesador puede incluir un sistema con una unidad central de procesamiento de uso general, unidades de procesamiento múltiples, sistemas de circuito dedicados para lograr la f ncionalidad u otros sistemas. El procesamiento no necesita estar limitado a una localización geográfica o tener limitaciones temporales. Por ejemplo, un procesador puede realizar sus funciones en "tiempo real", "fuera de linea" o en una "modalidad de lote", etc. Las porciones del procesamiento pueden ser realizadas en tiempos diferentes y en localizaciones diferentes, por sistemas de procesamiento diferentes, (o los mismos) . Una referencia en toda esta descripción a "una modalidad", "la modalidad", o "una modalidad especifica" significa que una característica, estructura o características particulares descritas en relación con las modalidades están incluidas por lo menos en una modalidad de la presente invención, y no necesariamente en todas las modalidades. Por lo tanto, las apariciones respectivas de las frases "en una modalidad", o "en la modalidad especifica", en varios lugares en toda esta descripción no se refieren necesariamente a la misma modalidad. Además, las características, estructuras o cualquier modalidad específica de la presente invención, pueden ser combinadas de cualquier manera adecuada con una o más modalidades. Deberá quedar entendido, que son posibles otras variaciones o modificaciones a las modalidades de la presente invención descritas e ilustradas en este documento, a la luz de las enseñanzas del mismo y deberán ser consideradas como parte del espíritu y alcance de la presente invención. Las modalidades de la presente invención pueden ser implementadas utilizando una computadora digital de uso general programada, utilizando circuitos integrados específicos de la aplicación, aparatos lógicos programables , adaptaciones de reguladores programables en el campo, sistemas ópticos, químicos, biológicos, cuánticos, o nanodiseñados , componentes y mecanismos. En general, las funciones de la presente invención. pueden ser logradas por cualesquiera medios conocidos en la técnica. Pueden ser utilizados sistemas de red o distribuidos, componentes y circuitos. La comunicación o transferencia de datos puede ser cableada, inalámbrica o por cualesquiera otros medios . También deberá apreciarse que uno o más de los elementos ilustrados en las figuras/dibujos también pueden ser implementados de una manera más separada o integrada, o todavía pueden ser eliminados o presentados como inoperables en ciertos casos, según sean útiles de acuerdo con una aplicación particular. También se encuentra dentro el espiritu y alcance de la presente invención, implementar un programa o código que pueda ser almacenado en un medio legible por la máquina para permitir que una computadora realice cualquiera de los métodos aquí descritos anteriormente . Adicionalmente, cualesquiera flechas de señal en los dib j os / figuras deben de ser solamente considerados como de ejemplo, y no como limitativos, a menos que se indique específicamente de otro modo. Además, el término "o" como se usa en la presente descripción, generalmente pretende significar "y/o" a menos que se indique de otro modo. Las combinaciones de componentes o pasos también serán consideradas como que han sido anotadas, en donde está previsto que la terminología no se presenta de manera clara, la capacidad para separar o combinar la presente invención. Como se usa en la presente descripción y en las reivindicaciones siguientes, los términos "un", "una", y "el, la" incluye las referencias en plural a menos que el contexto dicte claramente lo contrario. También, como se usa en la presente descripción y en las reivindicaciones siguientes, el significado de "en" incluye, "en" y "sobre" a menos que el contexto dicte claramente lo contrario. La descripción anterior de las modalidades ilustradas de la presente invención, incluye lo que se describió en el Resumen, y no pretenden ser exhaustivas, o limitar la presente invención a las formas precisas aquí descritas . Aunque las modalidades específicas de, y los ejemplos para, la invención están aquí descritos con propósitos únicamente ilustrativos, son posibles varias modificaciones equivalentes que se encuentran dentro del espíritu o alcance de la presente invención, tal como lo reconocerán y apreciarán aquellos expertos en la técnica. Tal y como se indicó, estas modificaciones se pueden hacer a la presente invención a la luz de la descripción anterior de las modalidades ilustradas de la misma, y deberán estar incluidas dentro del espíritu y alcance de la presente invención. Por lo tanto, la presente invención ha sido descrita aquí con referencia a modalidades particulares de la misma, una latitud de modificación, varios cambios y substituciones que se pretenden en las descripciones anteriores, y se deberá apreciar que en algunos casos algunas de las características de las modalidades de la presente invención serán empleadas sin el uso correspondiente de otras características, sin salirse del alcance y espíritu establecidos de la presente invención. Por lo tanto, se pueden hacer muchas modificaciones para adaptar la presente invención a una situación o material particular esencial para el alcance y espíritu de la presente invención. Se pretende que la presente invención no esté limitada a los términos particulares utilizados en las reivindicaciones siguientes y/o a modalidades particulares descritas como la mejor modalidad contemplada para llevar a cabo la presente invención, sino que la presente invención incluirá cualquiera y todas las modalidades equivalentes que se encuentran dentro del alcance de las reivindicaciones adjuntas.

Claims (22)

1. NOVEDAD DE LA INVENCIÓN Habiendo descrito la presente invención, se considera como novedad y por lo tanto, se reclama como propiedad lo contenido en las siguientes :
2. REIVINDICACIONES 1. Un método para proporcionar un certificado en un sistema de seguridad digital, comprendiendo el método: emitir un primer certificado de una primera autoridad de certificados (CA) , en donde la primera CA tiene un primer periodo de validez; emitir un segundo certificado de una segunda CA utilizando por lo menos una porción de la información del primer certificado; y crear un nuevo certificado en la primara CA para ser utilizado en los pasos posteriores de emisión de la primera y segunda Cas, en lugar del primer certificado, caracterizado porque la cadena de validez del segundo certificado permanece válida después de que ha sido realizado el paso de creación de un nuevo certificado . 2. El método de conformidad con la reivindicación 1, caracterizado porque la primera CA incluye un proceso en una primera localiz ción, y en donde la segunda CA incluye un proceso en una localización separada de la primera localización.
3. 3. El método de conformidad con la reivindicación 2, caracterizado porque el segundo proceso recibe un certificado de la CA Raiz del proceso de nivel raiz.
4. 4. El método de conformidad con la reivindicación 3, caracterizado porque el proceso de nivel raiz emitió certificados autentificados .
5. 5. El método de conformidad con la reivindicación 3, caracterizado porque la segunda CA es un fabricante de los aparatos, comprendiendo el método: el uso de una segunda CA para emitir certificados de los aparatos para los aparatos.
6. 6. El método de conformidad con la reivindicación 5, caracterizado porque un aparato incluye un descodificador para la recepción de un contenido digital encriptado .
7. 7. El método de conformidad con la reivindicación 1, caracterizado porque los certificados están de acuerdo con el Estándar X.509.
8. 8. El método de conformidad con la reivindicación 1, el cual comprende además: la renovación del primer certificado.
9. 9. El método de conformidad con la reivindicación 8, caracterizado porque los periodos de validez del primer y segundo certificados tienen cada uno un intervalo y tiempo de inicio previamente determinados .
10. 10. El método de conformidad con la reivindicación 9, caracterizado porque los tiempos de inicio de los certificados renovados están separados por dos años.
11. 11. El método de conformidad con la reivindicación 1, caracterizado porque los periodos de validez son seleccionados para minimizar el tráfico de la red.
12. 12. El método de conformidad con la reivindicación 1, caracterizado porque los periodos de validez son seleccionados para maximizar el tiempo de vida del certificado.
13. 13. El método de conformidad con la reivindicación 12, caracterizado porque la duración de un certificado es de 20 años.
14. 14. El método de conformidad con la reivindicación 1, caracterizado porque un certificado incluye una primera clave criptográfica, comprendiendo el método: proporcionar un certificado de nueva codificación con una segunda clave criptográfica, diferente a la primera clave criptográfica .
15. 15. El método de conformidad con la reivindicación 14, caracterizado porque el certificado de nueva codificación se proporciona después de un intervalo previamente determinado después de que se ha proporcionado el certificado con la primera clave criptográfica.
16. 16. El método de conformidad con la reivindicación 15, caracterizado porque el intervalo previamente determinado es de 30 años.
17. 17. Un método para proporcionar certificados digitales en una jerarquía de confianza, caracterizado porque la jerarquía de confianza incluye un nodo-raíz, un nodo medio acoplado al nodo-raíz, y uno o más aparatos acoplados al nodo medio, comprendiendo el método : generar un certificado de nodo-raíz asociado con el nodo raíz; generar un certificado del nodo medio asociado con un nodo medio determinado utilizando el certificado del nodo raiz; generar un primer y segundo certificados del aparato utilizando el certificado del nodo medio y el certificado del nodo raíz, en donde el primer y segundo certificados de los aparatos tienen períodos de validez que se traslapan, en donde los períodos de validez no son idénticos; y proporcionar el primer y segundo certificados del aparato al primer y segundo aparatos, respectivamente.
18. 18. El método de conformidad con la reivindicación 17, caracterizado porque el paso de generación del certificado del nodo-raíz incluye el subpaso de utilizar un proceso en el nodo-raíz para auto-autentificar el certificado de nodo-raíz.
19. 19. Un aparato para proporcionar un certificado en un sistema de seguridad digital, comprendiendo el aparato: un proceso para emitir un primer certificado de una primera autoridad certificadora (CA) , caracterizado porque la primera CA tiene un primer periodo de validez; un proceso para emitir un segundo certificado de una segunda CA utilizando por lo menos una porción de la información del primer certificado; y un proceso para crear un nuevo certificado en la primera CA para ser utilizado en pasos de emisión posteriores del primer y segundo CA en lugar del primer certificado, caracterizado porque una cadena de validez del segundo certificado permanece válida después de que se ha realizado el paso de creación de un nuevo certificado .
20. 20. El aparato de conformidad con la reivindicación 19, caracterizado porque los periodos de validez son seleccionados de modo que se minimiza el tráfico de la red.
21. 21. El aparato de conformidad con la reivindicación 19, caracterizado porque los periodos de validez son seleccionados para maximizar el tiempo de vida del certificado.
22. 22. Un portador legible por computadora que incluye instrucciones de programa de computadora que instruyen a una computadora a realizar los pasos de : emitir un primer certificado de una primera autoridad certificadora (CA), en donde la primer CA tiene un primer periodo de validez; emitir un segundo certificado de una segunda CA utilizando por lo menos una porción de la información del primer certificado; y crear un nuevo certificado en la primera CA para ser usado en los pasos de emisión posteriores de la primera y segunda CAs en lugar del primer certificado, caracterizado porque la cadena de validez del segundo certificado permanece válida después de que se ha realizado el paso de creación de un nuevo certificado.