专利名称：将数据传输限制于局域网内的制作方法
技术领域：
本发明涉及一种用于将数据传输限制于在位于完全相同的局域网内的主机之间的技术。尤其，本发明涉及一种禁止从一个局域网向另一局域网、广域网或者公众网传输数据的技术。
背景技术：
数字技术中的技术现状允许在本地环境设备之间或者通过像例如因特网等公众网连接的消费者之间传输诸如电影、音乐、视频游戏、软件等等内容。不像随每个顺次复制而劣化的模拟复制那样，给定内容的数字复制保持得与原本一样好。因此，内容产业正在寻求全面复制保护设备，该全面复制保护设备限定根据法律规范复制内容的技术可能性。
由于数字家庭网络变得愈来愈普遍，所以有必要将复制保护应用于消费者领域中的内容。存在某些类型的数字网络技术，例如DTCP具有(数字传输内容保护)的IEEE1394，用来为数字家庭网络中具有商业价值的内容提供安全的本地环境。但是，这种措施部分地依赖于其所能接受的网络技术的物理限制。利用那些使用IP(因特网协议)的其他网络技术，更难以将限制的应用规则用于用户的家庭网络。
复制保护系统的一个普通组成部分是网络“链路加密”。在这种系统中，要交换复制保护内容的网络设备首先证实彼此适用于链路加密系统，然后才在网络上执行内容交换，因此只有事先认证的设备才能有效地解密和使用内容。
各个复制保护系统不能完全地解决所有存在的威胁、例如像“市郊住宅区威胁”，其中两个用户确实连接相同IP子网上的设备来交换内容。也不能防止“通道威胁”，其中利用相同或者不同的网络协议压缩原始网络协议，以用于突破本地网限制。
除了使高质量内容的任意未经授权的重新分配停止之外，尤其在涉及机密数据时，大多数企业和个体用户通常有兴趣防止在它们信任的局部领域的界限之外进行任何未经授权的数据传输。由于复制保护内容的欺诈性发送在消费者领域是主要的议题，所以需要装置用来在消费者域中禁止不合规定的数据传输。
发明内容
因此，本发明的目标是提供一种技术，以用于禁止经由网络连接的未经授权的数据传输。
上述目标通过在独立权利要求中所述的本发明来实现。
本发明包括一种用于执行将数据传输限制于专用局域网内的设备的方法，该方法具有以下步骤识别在发生数据请求时提供数据的设备的源网络地址，验证所述源网络地址是专用本地网地址，识别用于接收所述数据的设备的目标网络地址，验证所述目标网络地址是专用局域地址，验证所述源网络地址与所述目标网络地址属于相同的专用局域网，和只针对所有三个被证实的验证来实现数据传输。
另外，本发明通过数据传输限制软件程序产品来表示，其包括一系列物理状态元素，所述物理状态元素适应于由网络节点的数据处理装置(例如专用局域网中的主机或者其他设备等等)来处理，使得在网络上或者在网络中的设备内实现按照本发明所述的方法。
也可以通过用于专用局域网中的主机来实现上述目标，所述主机具有用于提供数据的数据提供单元，其中所述数据的传输被限制于主机所连接到的专用局域网；和网络连接参数检查装置，其用于根据本发明所述的方法检查数据传输的容许性。
另外，有利地通过专用局域网来实现上述目标，所述专用局域网包括数据传输限制装置，以用于根据本发明所述的方法来限制数据从网络的第一节点传输到网络的第二节点。
本发明有利地利用了连接于专用局域网的任一设备通过它的网络地址在其中是唯一可识别的，用于以最小技术耗费实现使用权和接入权限制以及数据安全策略。当数据源设备和数据宿设备都被连接于相同的局域网时，数据传输路径被局限在给定的专用局域网内。
本发明的其他有利特征在相应的从属权利要求中提出。
当验证源网络地址不是专用局域网地址或者目标网络地址不是专用局域网地址时，通过禁止数据传输，成功地阻止数据传输到公众网或广域网。为了防止数据通过其他局域网或者本发明局域网的其他子网传输，当证实源网络地址和目标网络地址属于不同的网络或者本地网的不同子网时，优选地禁止数据传输。
为了防止数据包中本地网目标地址的任何改变，在实现数据传输之前，优选地保护网络连接参数，由此可以通过应用像IPsec认证报头协议的标准保护协议有效地执行该保护。
为了改善用于执行数据或者内容复制保护的系统，在第一步骤中有利地检查要传输的数据，看它们是否需要被限制于专用局域网，并且当不需要限制时，在不限制于局域网或者子网的情况下实现数据传输。
在下面的描述中，根据特殊实施方案并借助于附图对本发明进行更详细的说明。
图1示出在复制保护系统中本发明的应用例，图2示出通过实施本发明方法在图1所示的系统中执行复制保护的方法步骤的流程图，图3示出根据本发明实施方案所述的程序步骤的流程图，图4示出针对连接于公众网的IPv4家庭网络的典型数据传输情形，图5示出用于在IPv4家庭网络内数据传输限制的本发明应用的流程图，图6示出连接于公众网的IPv6家庭网络的典型数据传输情形，和图7示出用于在IPv6家庭网络内数据传输限制的本发明应用的流程图。
具体实施例方式
图1通过例子说明了构成本发明基础的问题定义。源设备3经由局域网1为一个或者多个宿设备(sink device)4和5提供数据。为此，这两类设备、即源设备和宿设备都配备有网络接口，允许经由网络连接发送和/或接收数据。该设备可以是任意类型的电子设备，例如像卫星电视接收机、DVD(数字多功能光碟)播放器、数据盘、音频或者视频系统、计算机、可携式摄像机等消费品，也可以是电冰箱、炉子等等。源设备能够从局域网内，例如从硬盘或者从诸如DVD或者广播站等外部源存取数据或者内容。在专用域中连接消费品的相应网络被称为由多个专用局域网构成的消费域网或者家庭网络。
在图1的表示中，卫星电视接收机3用作源设备，该源设备被要求经由局域网1向每个用作宿设备的记录器4和/和显示设备5传输复制保护内容流。由于使用权不允许向其他用户分发该数据，所以必须禁止向不同的网络2，例如向不同用户的另一本地网或者诸如因特网的公众网或者广域网的任何数据传输。将数据传输限制于局域网内不仅应用于复制保护的数据，而且应用于不被分发到本地网外部的任何地方的任何数据。这可以仅仅应用于诸如机密数据的一些特殊数据，也可应用于从局域网1外部的数据宿到局域网1内部的数据源3所请求的所有数据。因此，不仅出于内容复制保护而且出于一般数据安全考虑，需要将数据传输仅仅限制于给定的局域网内。
作为复制保护系统的部分，源设备3和宿设备4和/或5将建立信任用以交换内容。这可以通过认证和/或内容加密的密匙交换来实现。如图2所示，通过虚线示出的本发明可组成相应的复制保护系统中这一信任建立过程的一部分。
一旦在步骤S0中接收到传送内容的请求，被定义为向网络提供内容的源设备首先在步骤S1中检查被定义为经由网络接收相应内容的设备的宿设备有资格接收该内容。如果有资格接收，那么允许进行内容传输。如果宿设备没有资格接收内容，则将不允许进行内容传输，并且在步骤S4中中止该内容传输。
版权限制典型地要求使用内容的权限仅限于被授权的用户。在未经授权的用户范围内复制内容或者向这种用户分发内容是不允许的。要求内容保留在被授权的用户域内。在给定的情况下，用户域通过由例如给定的人或者家庭拥有的其个人专用网，由一组设备组成的LAN(局域网)来表示。根据本发明，在步骤S2中检查网络连接，接下来在步骤S3中验证连接的两端，即源设备以及宿设备位于相同的LAN内。在验证是否定时，在步骤4中中止内容传输。对于验证是肯定的时，该过程继续进行步骤S5，在该步骤中保护网络内容参数以防通过规避方法和设备而操纵。
在步骤S6中检查是否需要内容加密，如果需要，那么在最终在步骤S8中开始内容传输之前，在步骤S7中相应地保护内容流。如果不需要加密，那么过程直接从步骤S6进行到步骤S8。
应该注意的是，上述程序只应用于传输被限制在局域网内的数据。因此，如果要传输的数据要求限制于局域网中，则在第一步骤中预先检查该要传输的数据。如果不要求相应地将数据限制于局域网，则在不限制于局域网的情况下实现数据传输。
本发明方法的更详细说明将在图3中给出。例如响应于数据传输请求在步骤S1-0中开始程序之后，随后的步骤S1-1涉及验证用作数据传输的源设备的本地主机的适当性。如果检测到本地主机被连接到公众网或者WAN(广域网)，那么将不允许传输数据，并且在步骤S1-6中中止该数据传输。在另外的情况下，接下来在步骤S1-2中验证用作相应的数据传输的宿设备的主机的适当性。如果由此检测到宿设备不在局域网中，那么将再次不允许传输数据，这表示将在步骤S1-6中中止该数据传输。如果宿设备位于局域网中，那么在步骤S1-3中最终验证源和目的设备的相对位置的适当性。该步骤可选地也可以包含在步骤S1-2中。如果宿设备与源设备不在相同的局域网中，那么将在步骤S1-6中止数据传输。虽然本发明基于根据源设备和宿设备两者的网络地址来允许或者不允许数据传输，但是应该保护这些以防通过规避方法和设备而操纵，这是步骤S1-4的内容。可以已经通过保护数据包中的局域网目标地址以防操纵来实现相应的保护网络连接参数。步骤S1-5涉及回到处理数据传输的程序。
根据图3的以上描述全面详细地说明了本发明方法。对于将该方法应用于特定网络、如IPv4或者IPv6家庭网络时，必须对单个步骤进行具体化。
图4示出IPv4家庭网络的主要配置。路由器6将家庭网络与诸如WAN或者因特网的接入网2进行分离。当家庭网络中的用户连接到例如因特网时，建立了到因特网服务供应商(ISP)的连接。因此，该ISP分配单个IP地址给路由器。该路由器利用DHCP(动态主机配置协议)依次自动地给连接在家庭网络中的设备分配专用范围中的IP地址。利用专用范围网络地址的家庭网络被定义为专用局域网。为了遵守版权保护和/或禁止从专用网到外部宿设备的任何数据传输，没有任何数据传输将被路由到本地家庭网络之外。在被寻址到另一本地地址的本地网中所产生的数据业务将不会被路由到WAN或者因特网。在本地网中所产生的数据传输将只允许到达相同的本地网的主机。
图5示出IPv4单路广播(unicast)情形的本发明的说明。当宿设备从源设备请求诸如内容流的数据时，程序开始于步骤S2-0。在步骤S2-1中检查本地源地址、即局域网中源设备的网络地址的可允许性。对于可允许的情况，本地源地址必须位于其中一个专用范围中，也就是说具有如在“IETF RFC 3330，专用IPv4地址，2002年9月”(由此被包括以作为参考)中所定义的前缀10/8、172.16/12、或者192.168/16。如果本地源地址不位于其中一个专用范围之中，那么在步骤S2-6中中止数据传输。
由于目标地址，即在局域网中宿设备的网络地址也必须是可允许的，步骤S2-2接着检查它是否处于该专用范围中。如果目标地址没有处于该专用范围中，则在步骤S2-6中中止数据传输。
对于单路广播数据传输，目标地址必须与本地源地址处于相同的网络或者子网中。因此，步骤S2-3检查本地源地址和目标地址是否位于相同的网络或者子网中。如果不是，那么在步骤S2-6中中止数据传输。包括处于本地家庭网络之外的目标并跳过步骤S2-2的广播和多路广播数据传输现在被限制于源设备作为主机的网络内的目标地址。
在继续进行要求在步骤S2-5中完成数据传输的其他过程之前，步骤S2-4应用IPsec认证报头协议，以用于防止操纵本地源和目标IP地址。该IPsec认证报头协议在“IBTF RFC 2402，IP认证报头，1998年11月”中进行了描述，并且从而被包括作为参考。
在图6中说明了本发明在IPv6家庭网络的应用。利用IPv6两类本地地址，则必须考虑链路本地地址和地点本地地址。链路本地地址具有前缀FE80::s:i:j:m:n，其中s是32位子网编号，i:j:m:n是64位接口编号。链路本地地址只在一个子网内是唯一的。因此，具有链路本地地址的IP包将不由路由器传递。通过前缀FEC0::s:i:j:m:n表征的地点本地地址不能从本地网外部来访问，但是可以从本地网中的不同子网来访问。例如在被寻址到另一本地地址的本地网的子网中所产生的数据业务将不会被路由到不同的子网或者例如像因特网的WAN。将只允许把在本地网的子网中所产生的数据传输到相同子网的主机。
图6的表示说明了这种情形。作为例如内容流的数据由卫星电视接收机3产生，该卫星电视接收机用作具有子网编号0的子网中的源设备。当由相同子网中的宿设备，例如用来显示内容流的电视机5请求内容流时，数据传输可被允许，并且因此被路由器6路由。如果宿设备处于不同的子网中，像电视机9处于具有编号1的子网中，经由路由器8的相应数据传输将会被禁止。类似地，经由路由器6向例如位于公众网2中的电视机7的宿设备的数据传输将会被禁止。
图7示出针对Ipv6单路广播情形的本发明说明。当宿设备从源设备请求诸如内容流的数据时，程序开始于S3-0。首先在步骤S3-1中检查本地源地址是否处于链路本地或者地点本地单路广播地址范围中。如果不是，那么在步骤S3-6中中止数据传输。否则，程序继续步骤S3-2，其中检查目标地址是否为链路本地或者地点本地地址，由于这对单路广播传输是必需的。可以允许在本地网内例如向不同子网的多路广播传输。如果目标地址证实是不同类型的，则在步骤S3-6中中止数据传输。否则，下一步骤S3-3检查源本地和目标地址两者是否都属于相同的子网。对于多路广播传输可以绕过该步骤。如果它们不是，则随后在步骤S3-6中中止数据传输。否则，在步骤S3-5中继续数据传输之前，可以在步骤S3-4中通过应用IPsec认证报头协议来防止本地源和目标地址IP地址的操纵。
权利要求
1.用于执行将数据传输限制于专用局域网(1)内的设备的方法，该方法包括以下步骤-识别在发生数据请求时提供数据的设备的源网络地址，-验证(S1-1)该源网络地址是专用本地网地址，-识别用于接收所述数据的设备的目标网络地址，-验证(S1-2)该目标网络地址是专用局域网地址，-验证(S1-3)该源网络地址与该目标网络地址属于相同的专用局域网，-只对于所有三个被证实的验证实现数据传输。
2.按照权利要求1所述的方法，其特征在于，当验证所述源网络地址不是专用局域网地址，或者所述目标网络地址不是专用局域网地址时，禁止数据传输。
3.按照权利要求1或者2所述的方法，其特征在于，当验证所述源网络地址和所述目标网络地址属于专用局域网内的不同网络或子网时，禁止数据传输。
4.按照权利要求1至3之一所述的方法，其特征在于，该方法另外还包括步骤(S1-4)，用于保护数据包中的本地网目标地址以防被操纵。
5.按照权利要求4所述的方法，其特征在于，用于保护数据包中的本地网目标地址以防被操纵的步骤(S1-4)包括应用IPsec认证报头协议。
6.按照权利要求1至5之一所述的方法，其特征在于，在第一步骤中，检查要传输的数据是否需要限制于专用局域网，并且在不需要限制时，无需限制于所述专用本地网而实现数据传输。
7.数据传输限制软件程序产品，其包括一系列物理状态元素，所述物理状态元素适应于由网络节点的数据处理装置来处理，使得在专用本地网上或者在网络中的设备内实现按照权利要求1至6之一所述的方法。
8.用于专用局域网中的主机(3，4，5)，所述主机包括-数据提供装置，用于提供其传输被限制于主机所连接到的专用局域网的数据，-网络连接参数检查装置，其用于根据权利要求1至6之一所述方法检查数据传输的容许性。
9.专用局域网(1)，其包括数据传输限制装置，用于根据权利要求1至6之一所述的方法限制数据从网络的第一节点传输到网络的第二节点。
全文摘要
本发明提供一种系统，该系统执行将数据传输限制于专用局域网(1)内的设备，具有以下步骤识别在发生数据请求时提供数据的设备的源网络地址，验证(S1－1)所述源网络地址是专用本地网地址，识别用于接收所述数据的设备的目标网络地址，验证(S1－2)所述目标网络地址是专用局域地址，验证(S1－3)所述源网络地址与所述目标网络地址属于相同的专用局域网，和只对于所有三个被证实的验证来实现数据传输。
文档编号H04L12/64GK1792075SQ200480013613
公开日2006年6月21日 申请日期2004年5月7日 优先权日2003年5月19日
发明者P·叙奇 申请人:索尼德国有限责任公司