专利名称：在数字权限管理(drm)系统中数字许可证与用户相捆绑和用户与多个计算设备相捆绑的制作方法
技术领域：
本发明涉及一种诸如在数字内容中实现权限的数字权限管理(DRM)系统的系统。尤其是，本发明涉及一种允许仅仅只根据由数字内容的用户所获得的许可证权限指定的参数在一个计算设备上访问加密的数字内容的执行系统。更具体的说，本发明涉及提供一个捆绑一个用户和将该用户与一个或多个计算设备相捆绑的数字许可证。
背景技术：
正如所知道的那样，且现在参考
图1，数字权限管理(DRM)和执行系统与数字内容12相结合是非常可取的，数字内容可以包括数字语音、数字视频、数字文字、数字数据、数字多媒体等等，其中这类数字内容12是要发行给用户的。一旦用户接受到，这些用户在就可以利用诸如个人电脑等等的媒体播放器这类适用的重现设备来重现或“播放”该数字内容。
典型的是，发行这类数字内容12的内容拥有者希望能限制用户对这类发行的数字内容12的作为。例如，内容的拥有者可能希望能限制用户向第二个用户拷贝和再发行该内容，或者可能希望允许已发行的数字内容只能播放有限的次数，只能播放限定的总的时间，只能在限定型号的机器上进行播放，只能在限定型号的媒体播放器上进行播放，只能由限定类型的用户来播放，等等。
然而，在已经发行之后，这类内容拥有者要对数字内容12进行任何的控制几乎是不可能的。一种DRM系统10，它允许控制任意格式的数字内容12的重现或播放，其中，这种控制是灵活的并且可以由该数字内容的内容拥有者来定义。典型的是，内容12可以采用任何合适的发行渠道以包13的形式发行给用户。用于发行的数字内容包13可以包括采用一个对称加密/解密密钥(KD)加密的数字内容12，(即，(KD(CONTENT))，以及识别该内容、如何获取一个适用于该内容的许可证，以及等等其它信息。
基于信用的DRM系统10允许一个数字内容12的拥有者指定一些许可证规则，这些规则是允许在用户计算设备14上重现这类数字内容12之前以及在这类数字内容12的使用过程中都必须满足的。这类许可证规则可以包括上述的时间要求，并且将其嵌入在一个数字许可证16中，用户/用户计算设备14(下文中，该术语是可以相互交换的，除非环境另有需要)必须从内容拥有者或其代理人那里才能获得该许可证。这类许可证16也可以包括解密密钥(KD)，可用于解密也许是根据由用户计算设备可解密的密钥所加密的数字内容，并且是由许可证颁发者签名的。因为内容12需要用于访问它的许可证16，那样，内容12就可以自由地发行。很显然，该许可证16必须在某种程度上是有范围的，或者是直接地或间接地“捆绑”在一个需要重现该内容12的计算设备14上。否则，该许可证16也就可能潜在地被无限数量地拷贝到要重现相应内容12的有限数量的其它设备14上。
一件数字内容12的内容拥有者必须相信用户的计算设备14能够遵守在许可证16中由该内容拥有者所指定的规则和要求，即，数字内容12只能在满足许可证16中的规则和要求才能重现。于是，较佳的是，用户计算设备14提供一个确认的元件和机制18，除非根据在与数字内容12有关的许可证16中所嵌入的并且用户可以获得的许可证规则，否则就不能重现数字内容12。
委托元件18一般具有一个许可证鉴别器20，它可以确定该许可证16是否有效，审查在该有效许可证16中的规则和要求，并且在其它事情中以搜索的方式根据所审查的许可证规则和要求来确定是否要求用户具有重现所请求的数字内容12的权限。应该理解的是，在DRM系统10中，可以相信许可证20鉴别器20能够根据在许可证16中的规则和要求来满足数字内容12拥有者的希望，以及用户不应该能够较容易的变更这类委托元件，以满足任何目的，恶意的或者其它的。当然，如果需要的话，委托元件18能够了解外部机构对所发行许可证的确认以及能够证实各种机构的身份。例如，外部机构、用户、应用程序、以及机制。
应该理解的是，在许可证16中的规则和要求可以指定用户是否可以根据几种因素中的任何因素具有重现数字内容12的权力，这几种因素可以包括用户是谁、用户在哪儿、用户所使用的是哪一种计算设备、什么重现应用程序来调用DRM系统，数据、时间等等。另外，许可证16的规则和要求可以将许可证16限制于，例如，预定数量的使用、播放，或者预定的播放时间。
可以根据任何合适的语言和语法来指定在许可证16中的规则和要求。例如，可以简单地限制语言所以必须满足的特性和数值(例如，DATE必须大于X)，或要求语言具有根据所指定的原本(例如，如果DATE大于X，则做...)的功能性能。
一旦许可证鉴别器20确定了该许可证16是有效的并且用户满足了其中的规则和要求，随之就能够重现该数字内容12。尤其是，要重现内容12，就必须从许可证16获得解密密钥(KD)并且应用于来自内容包13的(KD(CONTENT))，从而产生真实的内容12，因此，事实上重现了真实的内容12。该委托元件18也可以要求验证和追踪计算设备14环境的动态方面，例如，应用程序正在对内容进行重现。
典型的是，为了能结合委托元件18来执行加密的功能，包括上述的将(KD)应用于(KD(content))以及所有的其它加密功能，该委托元件18就必须具有一个黑盒子22。正如采用许可证鉴别器20那样，在DRM系统10中，相信该黑盒子22能够根据在许可证16中的规则和要求来满足数字内容12拥有者的希望，以及用户不应该能够容易地变更这类委托元件，以满足任何目的，恶意的或者其它的。黑盒子22也是作为一个许可证执行器来工作，尤其是保证内容12仅仅只能在用户的计算设备14中解密和传递合适的重现代码。
典型的是，希望该黑盒子22能够执行对称的(单个密钥)和非对称(公钥-私钥对)密码的两种加密和/或解密的方法。尤其是，以上所讨论的解密密钥(KD)一般是一个对称的密钥并因此可以采用由另一个对称密钥或一个公钥或一个私钥加密的加密形式来传输。于是，要解密(KD(content))，以及，例如，是在(KD)是由一个公钥(PU)加密的(即，(PU(KD))的情况下，该黑盒子22就必须首先获得对应于(PU)的私钥(PR)，并且非对称地将(PR)应用于(PU(KD))，从而产生(KD)，随后必须对称地将(KD)应用于(KD(content))以产生内容。
黑盒子22可以一种秘密的方式来提供的并且还可以不公开其秘密的方式委托给任何人或任何事情。于是，该秘密是直接或间接加密内容密钥(KD)的基础，并且该黑盒子22只能作为一种秘密的承载体来解密内容的密钥(KD)。于是，许可证16可以具有根据该秘密所加密的(KD)，并且因此可以与黑盒子22捆绑或者结合在一起。典型的是，该秘密是一个密钥对(PU-BB，PR-BB)中的私钥(PR-BB)，这对黑盒子22来说是唯一的或者近似唯一的，并且黑盒子22所对应的公钥(PU-BB)可用于直接或间接地加密(KD)。极为重要的是，黑盒子22必须能够隐藏(PR-BB)和能够防止相同的和相关的密码代码的暴露和篡改，并因此能够采用适当迷惑和自保护的方式将(PR-BB)和这类代码嵌入或包装在黑盒子22中。
为了防止无限制的重现，黑盒子22可以与一个特殊的硬件机械捆绑在一起。典型的是，这类捆绑是通过将硬编码机器特性嵌入在黑盒子22并且在运行时鉴别这种机器的特性来获得的。黑盒子22也可以委托给密码鉴别的其它软件元件，典型的是，通过检验所提供的数字签名，并因此能够确保在用户计算设备14上的委托系统18的其它元件以及诸如许可证16所提供的项目不会被篡改。
典型的是，各个黑盒子22都会包含着一个数字黑盒子的证书载有(PU-BB)、一个唯一的ID、一个版本编号、也许还有其它鉴别的内容。于是，黑盒子证书22可通过(PU-BB)和(PR-BB)的对应性与黑盒子22捆绑在一起。许可证16的颁发者可以根据其中黑盒子22的证书和其内容来决定是接受还是拒绝来自委托元件18对许可证16的请求。在根据黑盒子证书拒绝请求的事件中，在接收请求之前，一般必须采用相应较新的黑盒子证书安装于一个较新的黑盒子22上。当然，也可以出于其它原因来安装一个新的黑盒子22，新的黑盒子的初始化安装可以与委托元件18其余部分的安装分开，也可以与没有被激励的委托元件其余部分一起安装，等等。
正如以上所阐述的那样，DRM许可证16必须以某种方法，直接地或间接地，与需要重现相应内容12的计算设备14捆绑在一起。同时，与一个指定计算设备的直接捆绑是较简单的，这情况可以是指定计算设备14的用户也具有其它计算设备14并且希望根据对其它计算设备的许可证来重现内容12。例如，用户可以希望在家庭或办公室里的桌上计算机和便携式计算机上进行重现音乐作品的工作。于是，就需要提供一种方法和机制，将一个数字许可证16与用户相捆绑，而不是与一个指定计算设备16相捆绑。更具体的说，就提供具有一种方法和机制，能够将一个数字许可证16捆绑一个代表用户的数字目标，例如，一个用户证书。
当然，具有这类用户目标/证书的用户能够将用户目标/证书和许可证拷贝给无限数量的重现其中相应内容12的其它计算设备14。因此，就需要提供一种方法和机制，通过其中的用户目标/证书将用户与多个指定计算设备中的每一个设备相捆绑，同时，可以将指定计算设备14的数量限制在捆绑了任何特定用户目标/证书的设备。于是，许可证16将捆绑在多个计算设备14中的每一个设备上。
发明内容
本发明至少能部分满足以上的需要，在本发明中，一个DRM系统允许一个用户可以根据一个相应的数字许可证在多个计算设备上重现数字内容，其中，许可证是与内容和用户相捆绑的。
在该系统中，在计算设备中的第一个设备上的一个第一委托元件执行适用于计算设备中的第一设备的加密和DRM校验和执行，以及与其相捆绑，并且与计算设备中的第一设备有关的第一用户-机器证书可与用户相捆绑。相应地，在计算设备中的第二个设备上的一个第二委托元件执行适用于计算设备中的第二设备的加密和DRM校验和执行，以及与其相捆绑，并且与计算设备中的第二设备有关的第二用户-机器证书可与用户相捆绑。于是，第一委托元件可以利用第一用户-机器证书和许可证来获得适用于在计算设备中的第一设备上重现的内容，并且第二委托元件可以利用第二用户-机器证书和相同的许可证来获得适用于在计算设备中的第二设备上重现的内容。
为了提供一个用户-机器证书，可以接受用户对有关一个指定计算设备的用户-机器证书的请求，其中该请求可以包括一个用户的标识符(ID)和一个与计算设备有关的计算设备证书。计算设备证书包括一个与此相关联的公钥(PU-x)。基于用户的ID，就可以确定在一个用户-机器数据库中用户是否已经有一个记录。如果没有记录，则在数据库中创建适用于用户的记录，该记录包括用户的ID以及适用于用户的一个公钥/私钥对(PU-USER，PR-USER)。如果已经有了记录，就定位在数据库中的适用于用户的记录上。
可以从计算设备证书中获得(PU-x)，并根据(PU-x)来加密(PR-USER)从而产生(PU-x(PR-USER))，并且(PU-USER)和(PU-x(PR-USER)组成了将要提供的用户-机器证书。所形成的用户-机器证书随后可返回给用户。
假定内容可以根据内容密钥(KD)来加密，以产生(KD(content))，许可证包括根据(PU-USER)加密的(KD)，从而产生了(PU-USER(KD))，以及计算设备的一个委托元件具有一个对应于(PU-x)的私钥(PR-x)，该委托元件能够加密适用于在计算设备上重现的内容，其方法是，将(PR-x)应用于来自用户-机器证书的(PU-x(PR-USER))以获得(PR-USER)，将(PR-USER)应用于来自许可证的(PU-USER(KD))以获得(KD)，以及将(KD)应用于(KD(content))以获得内容。
附图的简要说明当结合附图阅读时，就能较好地理解上述内容以及以下本发明实施例的详细描述。为了便于说明本发明，附图显示了当前的一些较佳的实施例。然而，应该理解的是，本发明并不限制于这里所显示的精确结构和手段。附图包括；图1是显示一例基于委托系统的执行结构的方框图；图2是表示一个通用计算机系统的方框图，其中，本发明的各方面和/或其部分可以被结合在一起；
图3是显示内容与一个许可证相捆绑，许可证与一个用户相捆绑，用户证书与一个黑盒子相捆绑，以及一个黑盒子与一个结合图1所示结构的计算设备相捆绑的方框图；图4是显示内容与一个许可证相捆绑，许可证与多个用户-机器证书相捆绑，各个用户-机器证书与一个黑盒子相捆绑，以及各个黑盒子与根据本发明一个实施例的一个计算设备相捆绑的方框图；图5是显示根据本发明一个实施例在获得图4所示用户-机器证书的过程中所执行的关键步骤的流程图；以及，图6是显示根据本发明一个实施例在代表用户获得许可证的过程中所执行的关键步骤的流程图。
发明的具体描述计算机环境图1和以下的讨论试图对适用于实现本发明和/或部分实现本发明的计算机环境提供一个简洁的一般描述。虽然并不要求，本发明的描述是基于计算机可执行的指令的一般环境，例如，可以由诸如一个客户机服务站或一个服务器之类的计算机所执行的程序模块。一般来说，程序模块可以包括例程、程序、对象、组件、数据结构、以及其它能够执行特殊的任务或实现特殊的抽象数据类型等等。此外，应该理解的是，本发明和/或其部分可以采用其它计算机系统结构来实现，包括，手持设备、多处理器系统、基于微处理器或可编程消费电子装置、网络PC、小型计算机、大型计算机、以及其它等等。本发明也可以分布式计算环境来实现，在该环境中，任务是由通过通讯网络或其它数据传输媒介连接的远程处理设备来完成的。在分布式计算环境中，程序模块可以设置在包括存储器存储设备的本地和远程计算机存储设备中。
正如图2所示，一个典型的通用计算系统包括一个常规的个人计算机120或其它类似的，该个人计算机可包括一个处理单元121、一个系统存储器122，以及一个系统总线123，该总线将包括系统存储器的各种系统元件与处理单元121相耦合。系统总线123可以是几种总线结构中的任何一种结构，总线结构包括一种存储器总线或存储器控制，一种外围总线，以及一种使用多种总线结构中的任何一种总线的本地总线。系统存储器包括只读存储器(ROM)124和随机存储器(RAM)125。基本输入/输出系统126(BIOS)存储于ROM 124中，包含了存储于ROM中基本例程，该基本例程有助于在诸如启动的过程中个人计算120内部各个元件之间的信息传递。
个人计算机120还可以包括一个适用于读写硬盘(未显示)的硬盘驱动器127，一个适用于读写可移动磁盘129的磁盘驱动器128，以及一个适用于读写可移动光盘131(例如，CD-ROM或其它光媒介)的光盘驱动器130。硬盘驱动器127、磁盘驱动器128，以及光盘驱动器130可以分别通过一个硬盘驱动器接口132，一个磁盘驱动器接口133和一个光盘驱动器接口134与系统总线123相连接。驱动器和它们所相关的计算机可读媒介提供了计算机可读性指令、数据结构、程序模块和其它适用于个人计算120的数据的非易失性存储。
尽管这里所讨论的典型环境采用了一个硬盘，一个可移动磁盘129，以及一个可移动光盘131，应该理解的是，在典型的操作环境中也可以使用能够存储计算机可访问数据的其它类型的计算机可读媒介。这类其它类型的媒介包括磁带盒、闪存存储卡、数字视频盘、Bernoulli盒、随机存取存储器(RAM)、只读存储器(ROM)，以及其它等等。
在硬盘、磁盘129、光盘131、ROM 124和RAM 125中可以存储多个程序模块，包括，一个操作系统135、一个和多个应用程序136，以及其它程序模块137和程序数据138。用户可以通过诸如键盘140和指点器件142之类的输入设备将命令和信息输入个人计算机120。其它输入设备(未显示)可以包括麦克风、操纵杆、游戏垫、卫星式转盘、扫描仪，以及其它等等。上述和其它输入设备通常都通过一个与系统总线相耦合的串行口接口146与处理单元121相连接，但是也可以采用其它接口，例如，并行口，游戏口和通用串行总线(USB)。监视器147和其它类型的显示设备也可以通过诸如视频接口148之类的接口与系统总线123相连接。除了监视器147之外，个人计算机一般包括其它外围输出设备(未显示)，例如，扬声器和打印机。图2所示的典型系统也包括了一个主机适配器155、一个小型计算机系统接口(SCSI)总线156、以及一个与SCSI总线156相连接的外部存储设备162。
个人计算机120可以在网络环境中操作，在该环境中通过逻辑连接来使用一台或多台远程计算，例如，远程计算机149。该远程计算机149可以是另一台个人计算机、服务器、路由器、网络PC、对等设备或其它公共的网络节点，并且一般可包括许多和所有与个人计算机120相关的上述元件，尽管在图2中只是说明的一种存储器存储设备150。图2所说明的逻辑连接可包括局域网络(LAN)151和广域网络(WAN)152。这类网络环境在办公室中是常见的，例如，企业范围的计算机网络，企业内联网和因特网。个人计算机120也可以作为一个主机，该主机是相对于诸如另一台个人计算120、诸如一个便携式播放器和便携式数字助理等之类一个多功能专用设备以及其它等等为客户机的，因此在一些事情中，主机可向客户机下载数据和/或从客户机上传数据。
当用于LAN网络环境中时，个人计算机120可通过网络接口和适配器1530与LAN 151相连接。当用于WAN网络环境中时，个人计算120一般都包括一个调制解调器154和其它用于通过广域网，诸如因特网152建立通讯的设备。调制解调器154可以是内置的或者是外置的，可以通过用户输入接口146与系统总线123相连接。在网络环境中，所描述的程序模块与计算机110或者它的一部分有关的，该程序模块可以存储在远程存储器存储设备中。应该理解的是，所显示的网络连接都是用于举例，并且也可以使用其它在计算机之间建立通讯连接的方法。
黑盒子22与计算设备14相捆绑正如以上所阐述的，在DRM系统中，所提供的各种计算设备都具有一个黑盒子22，以实现密码和DRM执行功能。现在再参考图3，可以看到，在本发明的一个实施例中，所提供的适用于各种计算设备14的黑盒子22都具有一个唯一的适用于对称加密和解密的公钥/私钥对(PU-BBx，PR-BBx)。特别是，(PR-BBx)是嵌入和封装在黑盒子22中，并具有适当的迷惑和自保护的功能，在相对应的黑盒子证书24中提供了(PU-BBx)，该证书是由一个适当的DRM服务器结合黑盒子22的发行来颁发的。正如以上所阐述的，通过(PU-BB)和(PR-BB)的相对应，将黑盒子证书22与黑盒子22捆绑在一起。
为了能防止无限制的重现，通过将机器特性硬编码到黑盒子22内，使得黑盒子22可以与计算设备14相捆绑，并且在运行时鉴别这种机械性能。典型的是，机器特性可以是来自于计算设备14的被编码成唯一标识计算设备14的硬件ID(HWID)的一种或多种标志。
应该理解的是，除了(PU-BB)以外，黑盒子证书24其中还可以包括计算设备14的HWID。黑盒子证书24还可以包括一个黑盒子22的唯一ID、一个黑盒子22的版本序号，以及也许其它与黑盒子22相关的证书内容。
黑盒子证书24可以采用发行黑盒子22和黑盒子证书24(PR-DRMx)的DRM服务器26的私钥来签署。该签名是基于至少有部分黑盒子证书24内容的散列值，并且可以通过相对应的公钥(PU-DRMx)的应用得到验证。如该内容被更改了，则该签名就不能通过验证。典型的是，由颁发者所颁发的黑盒子证书24可包括从一个委托的最初授权追溯到一个最初证书的证书链。
总而言之，对于在DRM系统10中的各个计算设备14来说，通过基于来自计算设备14标志的一个HWID捆绑着黑盒子22，并且通过(PU-BBx)和(PR-BBx)以及也通过其中包括HWID而将黑盒子证书24与黑盒子相捆绑。
用户与计算设备14上的黑盒子22相捆绑在本发明的一个实施例中，并仍参考图3，向用户提供了表示该用户与一个特定的计算设备上的黑盒子22相捆绑的数字对象。特别是，该数字对象是一个数字用户证书28或者类似物，它可以在其中包括适用于进行非对称加密和解密的一个唯一的公钥/私钥对(PU-USER，PR-USER)。很显然，可根据黑盒子公钥(PU-BBx)来加密在用户证书28中的(PR-USER)，从而产生(PU-BBx(PR-USER))。因此，只有具有相对应的(PR-BBx)的黑盒子22才能获得(PR-USER)，它通过将(PR-BBx)应用于(PU-BBx(PR-USER))从而揭示该(PR-USER)。于是，用户就可以通过该用户的用户证书28中的(PU-BBx(PR-USER))与具有相对应的(PR-BBx)相捆绑。
当然，根据需要，(PU-USER)可作为一个公钥放置在没有加密的用户证书28中。用户证书24也可以包括一个唯一的ID，并且也许可包括与该用户相关的其它证书内容，例如，用于用户的系统ID。用户证书是由发行这类用户证书28的DRM服务器26的私钥(PR-DRMx)来签署，其中该服务器可以是也可以不是发行黑盒子证书24和黑盒子22的DRM服务器26的。正如以上所阐述的，该签名是基于至少有部分黑盒子证书24内容的散列值，并且可以通过相对应的公钥(PU-DRMx)的应用得到验证。如该内容被更改了，则该签名就不能通过验证。典型的是，正如以上所阐述的，由颁发者所颁发的用户证书28可包括从一个委托的最初授权追溯到一个最初证书的证书链。
总而言之，此时，一个特定的用户证书28通过其中具有的(PU-BBx(PR-USER))与一个拥有(PR-BBx)的特定的黑盒子22相捆绑，以及一个特定的黑盒子22与一个特定的计算设备14相捆绑。因此，这类特定的用户证书28就与特定的计算设备相捆绑并且只有与其相结合才能得到应用。
一个许可证16与一个用户相捆绑在本发明的一个实施例中，以及仍参考图3，一个对应于一段内容的许可证16通过其用户证书18与一个特定的用户相捆绑。特别是，该许可证包括一个对称密钥(KD)，利用该密钥可以加密相对应的内容12(以及利用该密钥可以将内容12与许可证16相捆绑)，其中，在许可证16中的(KD)可根据用户公钥(PU-USER)来加密，从而产生(PU-USER(KD))。因此，只有具有相对应的(PR-USER)的用户和用户证书28才能获得(KD)，它通过将(PR-USER)应用于(PU-YSER(KD))从而揭示该(KD)。当然，黑盒子22可以代表用户来执行实际的加密功能。于是，该许可证16可以通过(PU-USER(KD))与具有相对应的(PR-USER)的用户和用户证书相捆绑。
正如以上所阐述的，许可证16也可以包括一个唯一的ID，以及也许还可以包括与重现相对应的内容12相关的其它许可证内容，例如，一个用于内容12的内容ID、使用权限、以及在内容可以加密和重现之前必须满足的款项和条件。另外，该许可证16是由发行这类许可证16的DRM服务器26的私钥(PR-DRMx)来签署，其中该服务器可以是也可以不是发行黑盒子证书24和黑盒子22的DRM服务器26。正如以上所阐述的，该签名是基于至少有部分许可证16内容的散列值，并且可以通过相对应的公钥(PU-DRMx)的应用得到验证。如该内容被更改了，则该签名就不能通过验证。典型的是，正如以上所阐述的，由颁发者所颁发的许可证16可包括从一个委托的最初权限追溯到一个最初证书的证书链。
总而言之，此时，一个特定的许可证16通过其中具有的(PU-BBx(KD))与一个拥有(PR-USER)的特定的用户和用户证书28相捆绑，以及一个特定的用户证书28可通过所具有(PUBBx(PR-USER))与一个拥有(PR-BBx)的黑盒子22与一个特定的计算设备14相捆绑，以及该特定的黑盒子22与一个特定的计算设备14相捆绑，因此，很显然，这类特定的许可证16就与特定的计算设备14相结合才能得到应用。然而，正如以下所详细阐述的那样，在本发明的一个实施例中，该特定的许可证16可以与多个特定的计算设备14相结合得到应用。
一个用户与多个计算设备14相捆绑在本发明的一个实施例中，且现在仍参考图4，向用户提供的用户证书28是基于一个公钥/私钥对(PU-USER，PR-USER)的用户-机器证书28，对用户来说，该密钥对是唯一的且通过黑盒子22捆绑着一个特定的计算设备14。很显然，且在本发明的一个实施例中，可以提供多个用户-机器证书28将用户与多个计算设备14相捆绑。
于是，对于捆绑用户的第一黑盒子22(BB1)来说，所提供的第一用户机器证书28其中包括(PU-USER，PR-USER)，其中，可根据黑盒子的公钥(PU-BB1)来加密在证书28中的(PR-USER)，以产生(PU-BB1(PR-USER))。因此，只有具有(PR-BB1)的BB1才能从第一用户-机器证书28中获得(PR-USER)。
同样，对应于捆绑用户的第二黑盒子22(BB2)来说，所提供的第二用户-机械证书28其中包括同样的(PU-USER，PR-USER)。然而，在第二用户-机械证书28中，是根据黑盒子的公钥(PU-BB2)来加密在证书28中的(PR-USER)，以产生(PU-BB2(PR-USER))。因此，只有具有(PR-BB2)的BB2才能从第二用户-机器证书28中获得(PR-USER)。
现在应该理解的是，在本发明中，可以提供多个这类用户-机器证书28，将由(PU-USER，PR-USER)所表示的用户与多个黑盒子22相捆绑，且各个黑盒子分别安装在各个计算设备14上。于是，现在，应该理解的是，一个特定的许可证16与由(PU-USER，PR-USER)所表示的一个特定用户相捆绑，其中，用户可以具有一个或多个用户-机器证书28且每个证书具有(PR-USER)，以及其中，许可证16可具有(PU-USER(KD))。每个用户-机器证书28通过其中具有的(PU-BBx(PR-USER))与一个拥有(PR-BBx)的特定的黑盒子22相捆绑，并且每个特定的黑盒子22与一个特定的计算设备14相捆绑。因此，通过具有每个拥有(PR-USER)的用户-机器证书28，特定的许可证16可以与每一个所对应的计算设备14相捆绑，并因此只有在每一个这类所对应的计算设备14上重现所对应的内容12才能使用。
现在，应该理解的是，通过许可证16将内容12与一个用户相捆绑而不是与一个特定计算设备14相捆绑的能力允许该用户可以在多个计算设备14上来重现内容12。另外，这类捆绑允许用户在满足许可证16中所指定条件的同时可以在多个计算设备14上移动内容。于是，用户可以很少限制所需重现的内容12，并且该内容12在系统10中仍是安全的。
获得用户-机器证书28在本发明的一个实施例中，通过请求由用户-机器证书服务器30发行的能够访问一个用户-机器数据库32的用户-机器证书28，可以获得一个采用多种方法将一个用户与一个特定的计算设备14相捆绑的用户-机器证书28(图4)。值得注意的是，该数据库32是一个专用的数据库32或者可以是一个大型数据库的一部分，例如，一个系统范围内的用户数据库或者目录。
一般来说，该请求可标识用户和计算设备14，以及用户-机器证书服务器30可根据在用户-机器数据库32中的有关用户的信息来创建用户-机器证书28。如果用户在第一次获得一个用户-机器证书28，则会稍微改变一下处理过程，在该过程中，用户-机器证书服务器30必须首先在用户-机器数据库32中创建有关用户的信息。
特别是，现在参考图5，可以看到，在用户-机器证书服务器30接受来自用户对有关特定计算设备14的用户-机器证书28的请求时，就开始该处理过程(步骤501)。可以理解的是，该请求可以由用户提出或者可以由在特定计算设备14上的委托元件18/黑盒子22代表用户和根据用户的命令来提出。很显然，服务器30所接受到的申请包括指定计算设备14的黑盒子22(这里是BB1)的黑盒子证书24，以及该用户的身份(ID)。值得注意的是，用户的ID可以是不背离本发明的精神和范围的任何合适的ID，只要该ID可以对服务器30唯一地表示用户。例如，该ID可以是一个电子邮件的地址、网络的标识符、服务器的标识符、系统的标识符、生物标识符，以及其它等等。
根据ID，服务器30可以参考数据库32来确定用户是否原先已经获得了用户-机器证书28(步骤503)。如果肯定的话，则数据库32应该能查找对应于该用户和具有ID的记录。如果否定的话，则数据库就不应该具有任何对应于用户和具有ID的这类记录。
假定在数据库32中没有用户的这类记录，则用户30就转入在数据库中创建适用于用户的这类记录。特别是，服务器30创建一个适用于用户的公钥/私钥对(PU-USER，PR-USER)(步骤505)，并且在数据库32的一个新记录中存储适用于用户的公钥/私钥对(PU-USER，PR-USER)和ID，以及以下所要阐述的有关的其它信息(步骤507)。
之后，服务器30就为用户创建所申请的用户-机器证书28，其步骤，从所提交的黑盒子证书24中获得(PU-BB1)(步骤509)，根据(PU-BB1)加密用于用户的(PR-USER)以产生(PU-BB1(PR-USER))(步骤511)，将(PU-USER)和(PU-BB1(PR-USER))以及与包括用户ID的其它信息一起放置于为用户新创建的用户-机器证书28中(步骤513)，并随后采用(PR-DRMx)来签署新创建的用户-机器证书28(步骤515)以及也许附加一个适用于验证目的的证书链。随后，将新创建的用户-机器证书28返回至申请用户(步骤517)。
在本发明的一个实施例中，用户所接受到的用户-机器证书28是一个XML/XrML相兼容的文档，它可以包括-ISSUEDTIME-创建证书28的时间。
-VALIDITYTIME-证书28成为有效证书的时间持续期。
-DESCRIPTOR-用于证书28的唯一标识符。
-ISSUER-服务器30，可由(PU-DRMx)来标识。
-DISTRIBUTION POINT-服务器28的地址。
-ISSUEDPRINCIPALS-(PU-USER)。
-SECURITYLEVELs-表示证书28是永久的还是暂时的标志，和/或创建ISSUEDPRINCIPALs ID时的标志。
-FEDERATIONPRINCIPALS-(PU-BB1(PR-USER))-SIGNATURE-基于(PR-DRMx)和至少上述信息的一部分。
如果以后，用户-机器证书服务器30接受到用户对有关另一特定计算设备14的用户机械证书28的另一请求，如同在步骤501，这时，服务器30所接受到的申请可以包括该指定计算设备14的黑盒子22的黑盒子证书24(这里是BB2)，以及用户的身份(ID)。然而，这时，服务器30参考数据库32来确定用户是否原先已经获得过用户-机器证书28，如同在步骤503，可在数据库32中发现一个相对应用户和具有ID的记录。因此，服务器30将在数据库32中适用于用户的记录中检索(PU-USER)和(PR-USER)(步骤519)。
之后，正如以上所阐述的，服务器32就为用户创建所申请的用户-机器证书28，其步骤，从所提交的黑盒子证书24中获得(PU-BB1)，如同步骤509，根据(PU-BB1)加密适用于用户的(PR-USER)以产生(PU-BB1(PR-USER))，如同步骤511，将(PU-USER)和(PU-BB1(PR-USER))以及与包括用户ID的其它信息一起放置于为用户新创建的用户-机器证书28中，如同步骤513，并随后采用(PR-DRMx)来签署新创建的用户-机器证书28，如同步骤515，以及也许还附加了一个适用于验证目的的证书链。随后，在步骤517将新创建的用户-机器证书28返回至申请用户。
现在，应该理解的是，用户可以从服务器30获得用户-机器证书28的序号，其中所有所获得的证书20都可以共享一个公共的(PU-USER)和(PR-USER)，但是其中，在各个证书28中(PR-USER)是采用一个不同的黑盒子22的(PR-BBx)加密的，从而将这类证书28与该黑盒子22相捆绑。于是，由用户提交用户任何的用户-机器证书28就可获得一个许可证16，并且可利用(PR-USER)与用户相捆绑。此外，该许可证可以与用户的所有用户-机器证书32相捆绑，从而可以与所有相对应的计算设备14相捆绑，且因此适用于在每一个这类相对应的计算设备14上重现相对应的内容。
服务器一侧的性能用户-机器证书服务器30和用户-机器数据库32可以实现下列服务器一侧的性能，其中限额功能-在本发明的一个实施例中，服务器30和数据库32以组合的方式控制用户如何和怎样能够与多个计算设备14相关联。特别是，基于在数据库32中有关用户的信息，例如，已经为该用户颁发了多少用户-机器证书28以及能够为用户颁发多少用户-机器证书28，服务器30能够通过相对应的用户-机器证书28执行与用户相捆绑的计算设备14的最大数量。此外，根据在数据库32中的信息，对何时向用户颁发各个用户-机器证书28，服务器30可以对怎样经常颁发证书的作出限制。值得注意的是，这种最大数量和限制都可以由管理员作为对服务器28的政策来定义，并且服务器必须在数据库32中的用户记录中保留执行该政策的相关信息。当然，这种政策可以是任意复杂的和任何适当的政策，这些都没有背离本发明的精神和范围。作为一个政策的例子来说，它可以是这样一种情况，一个用户可以与计算设备14的最大数量(N)相关，但是该(N)是每隔60天增加1。
预定许可证-为了从许可证颁发者申请许可证，向许可证颁发者提交(PU-USER)，一般来说，是采用证书的形式，例如，用户-机器证书28，并且接受的许可证包括加密适用于相对应的内容12的内容密钥(KD)的(PU-USER)以产生(PU-USER(KD))。这是用户是申请者的情况。然而，对服务器30和数据库32已有具有(PU-USER)用户的记录的情况来说，在本发明的一个实施例中，现在参考图6，不是用户的另一方可以代表用户通过提交适用于用户的(PU-USER)和用户的ID以及和其它合适的信息一起来请求许可证(步骤603)。
假定许可证颁发者是用户-机器证书服务器30或者具有访问该服务器30的服务器，并且所提交的标志是用户的ID，如同步骤603，则服务器30将从用户-机器数据库32根据用户的ID来确定是否存在着适用于该用户的具有(PU-USER)的记录(步骤605)。如果有，则服务器30就从该记录(PU-USER)中获得，(步骤607)，并随后使用该(PU-USER)来加密适用于相对应内容12的内容密钥(KD)以产生(PU-USER(KD))(步骤609)。所创建的许可证16和对应的内容12可以随后转发给用户，该用户可以采用该许可证16在用户已经获得所对应的用户-机器证书28且拥有(PU-USER)的计算设备14上重现这类内容12。特别是，即使用户从来没有请求内容12或许可证16，以及即使用户目前还没有连接着DRM系统的其它部分，也是能进行这种重现。
在一种情况中，服务器30从用户-机器数据库32根据用户的ID确定没有适用于用户的(PU-USER)的记录，如同步骤605，且在本发明的一个实施例中，服务器30可以为用户创建一个新的公钥/私钥对(PU-USER，PR-USER)，并且将其存储于数据库32(步骤611。之后，在步骤609继续处理，在该步骤中，新创建的(PU-USER)用于代表用户来创建许可证16。尽管用户并不具有基于(PU-USER，PR-USER)的任何用户-机器证书28，但是用户只需要对服务器30能识别自己以及申请类似于证书28的证书，如图5所示。
当然，在这种情况下，提交的标志是用户的(PU-USER)，如同步骤601，数据库32并不需要被查询。而是该(PU-USER)可用于代表用户使用该(PU-USER)来加密适用于对应内容12的内容密钥(KD)以产生(PU-USER(KD))来创建许可证16，如同步骤609。正如以前所述，所创建的许可证16和对应的内容12可以随后转发给用户，该用户可以采用该许可证16在用户已经获得所对应的用户-机器证书28且拥有(PU-USER)的计算设备14上重现这类内容12。
临时用户-机器证书28-为了能支持在共享的计算设备14上重现内容12，且在本发明的一个实施例中，服务器30可以在用户申请时根据预定的政策来创建一个临时用户-机器证书28。特别是，这类临时用户-机器证书至具有一个相当短的VALIDITYTIME(有效时间)，也许是在15-30分钟，以及可以将SECURITYLEVEL(安全级别)标志设置为临时。于是，在计算设备上的委托元件18将临时证书28委托成只具有较短的VALIDITYTIME，且可能将临时证书28仅仅只存储于RAM中。于是，在用户脱离公众共享的计算设备14之后，该临时证书28将已经过期或者将很快过期，一旦擦除RAM就会使临时证书丢失。值得注意的是，许可证颁发者也可以根据临时证书28来选择不向用户颁发任何许可证16。
结论尽管本发明特别有利于结合诸如个人计算机14或其它类似设备的计算设备，但是本发明也可以采用任何适当的设备来实现，例如，可以采用服务器、智能设备、网络化的便携式设备等，所有的这些都没有背离本发明的精神和范围。因此，设备14可以解释成包含了DRM系统10所具有的或者在DRM架构中所实现的任何合适的设备。
为执行结合本发明所执行的处理所需的编程都是相当直截了当的且应该在有关编程的出版物上很清晰的。因此，这里并不涉及这类编程。然而，任何特殊的编程都可以在不背离本发明的精神和范围的条件下用于执行本发明。
在上述的描述中，可以看到，本发明包括了一种新的有用的方法和机制，它可以通过用户目标/证书28将数字许可证16与一个用户相捆绑而不是一个特定的计算设备16。另外，本发明包括一种新的有用的方法和机制，它可以通过用户目标/证书28将用户与多个特定计算设备14中的各个设备相捆绑，同时可将特定计算设备14的数量限制在所捆绑的任何特定的用户目标/证书上。于是，一个许可证16可以与多个计算设备14中的各个设备相捆绑。应该理解的是，可以在不背离本发明概念的条件下对上述讨论的实施例作出变化。应该理解的是，本发明并不限制于所披露的特殊实施例，但是本发明旨在覆盖由所附权利要求书所定义的本发明的精神和范围内的各种更改。
权利要求
1.一种数字权利管理(DRM)系统，允许一个用户可根据一个相对应的数字许可证在多个计算设备上重现数字内容，该许可证将内容与该用户相捆绑，该系统包括第一委托元件，在第一计算设备上用于执行加密以及对第一计算设备进行DRM检验和执行，第一委托元件与计算设备的第一计算设备相捆绑；第一用户-机器证书，它与第一计算设备相关联，第一用户-机器证书与用户相捆绑，其中，第一委托元件可以通过第一用户-机器证书和许可证在第一计算设备上获得用于重现的内容；第二委托元件，在第二计算设备上用于执行加密以及对第二计算设备进行DRM检验和执行，第二委托元件与第二计算设备相捆绑；以及，第二用户-机器证书，它与第二计算设备相关联，第二用户-机器证书与用户相捆绑，由此，第二委托元件可以通过第二用户-机器证书和许可证在第二计算设备上获得用于重现的内容。
2.如权利要求1所述DRM系统，其特征在于，所述用户具有一对彼此相关的公钥/私钥对(PU-USER，PR-USER)，所述内容可根据一个内容密钥(KD)加密以产生(KD(content))，以及许可证包括可根据(PU-USER)加密的(KD)以产生(PU-USER(KD))，其中所述第一委托元件具有第一对彼此相关的公钥/私钥对(PU-1，PR-1)；所述第一用户-机器证书包括许可证(PU-USER)，并且也包括根据(PU-1)加密的(PR-USER)以产生(PU-1(PR-USER))，其中，所述第一委托元件可以将(PR-1)应用与来自第一用户-机器证书的(PU-1(PR-USER))以获得(PR-USER)，可以将(PR-USER)应用于来自许可证的(PU-USER(KD))以获得(KD)，以及可以将(KD)应用于(KD(content))以获得在第一计算设备上用于重现的内容；所述第二委托元件具有第二对彼此相关的公钥/私钥对(PU-2，PR-2)；以及，所述第二用户-机器证书包括许可证(PU-USER)，并且也包括根据(PU-2)加密的(PR-USER)以产生(PU-2(PR-USER))，其中，所述第二委托元件可以将(PR-2)应用于来自第二用户-机器证书的(PU-2(PR-USER))以获得(PR-USER)，可以将(PR-USER)应用于来自许可证的(PU-USER(KD))以获得(KD)，以及可以将(KD)应用于(KD(content))以获得在第二计算设备上用于重现的内容。
3.如权利要求2所述DRM系统，其特征在于，所述在第一计算设备上的第一委托元件包括一个具有(PR-1)的第一黑盒子和一个具有(PU-1)的第一黑盒子证书；以及，所述在第二计算设备上的第二委托元件包括一个具有(PR-2)的第二黑盒子和一个具有(PU-2)的第二黑盒子证书。
4.如权利要求3所述DRM系统，其特征在于，所述第一计算设备具有一个与之相关的第一硬件ID(HWID)以及所述第一黑盒子证书包括(PU-1)和第一HWID；以及，所述第二计算设备具有一个与之相关的第二硬件ID(HWID)以及所述第二黑盒子证书包括(PU-2)和第二HWID。
5.一种允许用户根据数字许可证在多个计算设备上重现数字内容的方法，所述许可证是与内容和用户相捆绑的，该方法包括在第一计算设备上提供一个第一委托元件，用于执行加密以及对第一计算设备的DRM检验和执行，所述第一委托元件是与第一计算设备相捆绑；提供一个与所述第一计算设备相关联的第一用户-机器证书，所述第一用户-机器证书与用户相捆绑，其中所述第一委托元件可以通过所述第一用户-机器证书和许可证在所述第一计算设备上获得用于重现的内容；在第二计算设备上提供一个第二委托元件，用于执行加密以及对第二计算设备的DRM校验和执行，所述第二委托元件是与第二计算设备相捆绑；提供一个与所述第二计算设备相关联的第二用户-机器证书，所述第二用户-机器证书与该用户相捆绑，其中所述第二委托元件可以通过所述第二用户-机器证书和许可证在所述第二计算设备上获得用于重现的内容。
6.如权利要求5所述方法，其特征在于，所述用户具有一对彼此相关的公钥/私钥对(PU-USER，PR-USER)，所述内容可根据一个内容密钥(KD)加密以产生(KD(content))，以及该许可证包括可根据(PU-USER)加密的(KD)以产生(PU-USER(KD))，该方法包括提供的第一委托元件具有一对彼此相关第一的公钥/私钥对(PU-1，PR-1)提供的第一用户-机器证书包括(PU-USER)，并且也包括根据(PU-1)加密的(PR-USER)以产生(PU-1(PR-USER))，其中，所述第一委托元件可以将(PR-1)应用于来自第一用户-机器证书的(PU-1(PR-USER))以获得(PR-USER)，可以将(PR-USER)应用于来自许可证的(PU-USER(KD))以获得(KD)，以及可以将(KD)应用于(KD(content))以获得在所述第一计算设备上用于重现的内容；提供的第二委托元件具有一对彼此相关的第二公钥/私钥对(PU-2，PR-2)；以及，提供的第二用户-机器证书包括(PU-USER)，并且也包括根据(PU-2)加密的(PR-USER)以产生(PU-2(PR-USER))，其中，所述第二委托元件可以将(PR-2)应用于来自第二用户-机器证书的(PU-2(PR-USER))以获得(PR-USER)，可以将(PR-USER)应用于来自许可证的(PU-USER(KD))以获得(KD)，以及可以将(KD)应用于(KD(content))以获得在所述第二计算设备上用于重现的内容。
7.如权利要求6所述方法，其特征在于，提供的在所述第一计算设备上的所述第一委托元件包括一个具有(PR-1)的第一黑盒子和一个具有(PU-1)的第一黑盒子证书；以及，提供的在所述第二计算设备上的所述第二委托元件包括一个具有(PR-2)的第二黑盒子和一个具有(PU-2)的第二黑盒子证书。
8.如权利要求7所述方法，其特征在于，提供具有一个与之相关的第一硬件ID(HWID)的所述第一计算设备以及所述第一黑盒子证书包括(PU-1)和第一HWID；以及，提供具有一个与之相关的第二硬件ID(HWID)的所述第二计算设备以及所述第二黑盒子证书包括(PU-2)和第二HWID。
9.一种适用于一个用户在多个计算设备上重现数字内容的方法，所述内容根据一个内容密钥(KD)加密以产生(KD(content))，所述用户具有一对彼此相关的公钥/私钥对(PU-USER，PR-USER)，该方法包括获得的许可证包括根据(PU-USER)加密的(KD)以产生(PU-USER(KD))；获得在所述第一计算设备上的一个第一委托元件，用于执行加密以及对第一计算设备进行DRM检验和执行，所述第一委托元件具有一对彼此相关的公钥/私钥对(PU-1，PR-2)；获得一个与所述第一计算设备相关联的第一用户-机器证书，所述第一用户-机器证书包括(PU-USER)，并且也包括根据(PU-1)加密的(PR-USER)以产生(PU-1(PR-USER))；将(PR-1)应用于来自所述第一用户-机器证书的(PU-1(PR-USER))以获得(PR-USER)；将(PR-USER)应用于来自许可证的(PU-USER(KD))以获得在所述第一计算设备上的(KD)；将(KD)应用于(KD(content))以获得在所述第一计算设备上用于重现的内容；获得在所述第二计算设备上的一个第二委托元件，用于执行加密以及对第二计算设备进行DRM检验和执行，所述第二委托元件具有一对彼此相关的公钥/私钥对(PU-2，PR-2)；获得一个与所述第二计算设备相关联的第二用户-机器证书，所述第二用户-机器证书包括(PU-USER)，并且也包括根据(PU-2)加密的(PR-USER)以产生(PU-2(PR-USER))；将(PR-2)应用于来自所述第二用户-机器证书的(PU-2(PR-USER))以获得(PR-USER)；将(PR-USER)应用于来自许可证的(PU-USER(KD))以获得在所述第二计算设备上的(KD)；将(KD)应用于(KD(content))以获得在所述第二计算设备上用于重现的内容。
10.一种与一个数字权利管理(DRM)系统相组合的方法，它允许一个特定的用户可根据一个相对应的数字许可证在一个特定计算设备上重现数字内容，该许可证将内容与一个用户相捆绑，该方法提供一个与特定计算设备相关联用户-机器证书并且与该特定用户相捆绑，该方法包括接受所述用户对有关计算设备的所述用户-机器证书的请求，所述请求包括一个所述用户的身份(ID)和一个与所述计算设备相关联的计算设备证书，所述计算设备证书包括一个与所述计算设备相关联的公钥(PU-x)；根据所述用户的ID来确定所述用户在一个用户-机器数据库中是否具有记录；如果没有，就在数据库中为所述用户创建记录，所述记录包括所述用户的ID和一对用于所述用户的公钥/私钥对(PU-USER，PR-USER)；如果已有，则在数据库中寻找所述用户的记录位置；从所述计算设备证书中获得(PU-x)；根据(PU-x)加密(PU-USER)以获得(PU-x(PR-USER))；将(PU-USER)和(PU-x(PR-USER)形成将要提供的用户-机器证书以及，向所述用户返回所形成的用户-机器证书，其中，所述内容根据内容密钥(KD)加密以产生(KD(content))，所述许可证包括根据(PU-USER)加密的(KD)以产生(PU-USER(KD))，以及所述计算设备的一个委托元件具有一个对应于(PU-x)的私钥，并能够通过将(PR-x)应用于来自所述用户-机器证书的(PU-x(PR-USER))以获得(PR-USER)，将(PR-USER)应用于来自许可证的(PU-USER(KD))以获得(KD)，将(KD)应用于(KD(content))以获得用于重现的内容，来加密用于在所述计算设备上重现的内容。
11.如权利要求10所述方法，其特征在于，还包括，在创建所述用户-机器证书的同时，和在试图将所述用户-机器证书有效的过程中，形成所要提供的用户-机器证书。
12.如权利要求10所述方法，其特征在于，还包括，在所要提供的用户-机器证书中形成一个指示所述用户-机器证书是永久的还是临时的标志。
13.如权利要求10所述方法，其特征在于，还包括，在向所述用户返回用户-机器证书之前，签署所形成的用户-机器证书。
14.如权利要求10所述方法，其特征在于，还允许一特定用户根据相对应的数字许可证在多个计算设备中每一个设备上重现所述数字内容，该方法包括接受来自所述用户的多个请求，各项请求用于请求与多个计算设备中的一个特定设备有关的用户-机器证书，所述请求包括用户的身份(ID)和与多个计算设备中的一个特定设备有关的一个计算设备证书，所述计算设备的证书包括一个与所述计算设备中的一个特定设备有关的公钥(PU-x)；对于各项请求基于用户的ID来确定适用于所述用户的一对公钥/私钥对(PU-USER，PR-USER)；从与所述请求相关的所述计算设备证书中获得(PU-x)；根据获得的(PU-x)加密(PU-USER)以产生(PU-x(PR-USER))；将(PU-USER)和(PU-x(PR-USER))形成将要提供的对应于所述申请的用户-机器证书；以及，向所述用户返回所形成的用户-机器证书，其中，所述任何计算设备的一个委托元件，都能够通过将(PR-x)应用于来自所述对应用户-机器证书的(PU-x(PR-USER))以获得(PR-USER)，将(PR-USER)应用于来自许可证的(PU-USER(KD))以获得(KD)，将(KD)应用于(KD(content))以获得用于重现的内容，来加密用于在所述计算设备上重现的内容。
15.如权利要求10所述方法，其特征在于，还包括，根据预先指定的政策来确定用户-机器证书是否要提供给所述用户以及只能在预先指定政策的允许范围的条件下才提供所述用户-机器证书。
16.如权利要求15所述方法，其特征在于，还包括，执行对应于用户-机器证书所提供给的用户的最大数量的所述计算设备。
17.如权利要求15所述方法，其特征在于，还包括，执行如何经常向所述用户提供所述用户-机器证书。
18.一种向请求者提供一个数字许可证的方法，其中请求者可代表所述用户请求所述许可证，以允许所述用户根据所述许可证来重现相对应的数字内容，所述内容可根据内容密钥(KD)加密以产生(KD(content))，该方法包括接受来自所述请求者的用户身份(ID)；根据所述用户的ID从数据库中确定是否对所述用户存在着一个具有用于所述用户(PU-USER)公钥的记录；如果没有，就在数据库中为所述用户创建一个所述用户的记录，所述记录包括所示用户的ID和用于所述用户的一对公钥/私钥对(PU-USER，PR-USER)；如果已有，则在数据库中寻找所述用户的记录位置；采用(PU-USER)来加密适用于内容的内容密钥(KD)以产生(PU-USER(KD))；将(PU-USER(KD))形成将要提供的许可证；以及，向所述用户返回所形成的许可证，其中，所述请求者向所述用户转发所述许可证，以及具有(PR-USER)的用户能够将(PR-USER)和(PU-USER)应用于来自所述许可证的(PU-USER(KD)和将(KD)应用于(KD(content))以获得所述内容来解密所述内容。
全文摘要
在第一计算设备上的一个第一委托元件执行加密、校验以及将与第一计算设备相关联的第一用户－机器证书与一个用户相捆绑。同样，在第二计算设备上的一个第二委托元件执行加密、检验以及将与第二计算设备相关联的第二用户－机器证书也与该用户相捆绑。第一委托元件利用第一用户－机器证书和许可证获得用于在第一计算设备上重现的内容，以及第二委托元件利用第二用户－机器证书和相同许可证获得用于在第二计算设备上重现的内容。
文档编号H04L12/00GK1542582SQ200410008298
公开日2004年11月3日 申请日期2004年2月27日 优先权日2003年2月27日
发明者M·A·德米罗, V·克里施纳斯瓦米, R·U·马拉维亚拉齐切, J·L·曼菲得里, B·瑟布斯, A·纳林, S·布尔尼, M A 德米罗, 妓, 曼菲得里, 锸┠伤雇呙, 马拉维亚拉齐切 申请人:微软公司