用于访问受保护内容的以太网解码器装置和方法
【专利摘要】本发明旨在通过提出一种对于客户端具有易于分发能力的内容保护层来解决部署昂贵硬件的问题。该目的通过一种用于解扰访问受控的音频/视频内容流的网络装置来实现，所述网络装置被配置成连接到网络路由器，包括：存储器，用于存储该网络装置所特有的唯一地址UA；网络输入/输出接口；解扰器，用于解扰所述音频/视频内容流；和水印引擎，配置为通过应用该唯一地址为解扰后的音频/视频内容流加水印。本发明的另一个目的是一种用于通过多媒体接收装置在本地或漫游模式下访问加扰的音频/视频内容流的方法，该多媒体接收装置经由IP网络连接到一网络路由器，该网络路由器具有连接到所述网络装置的IP端口。
【专利说明】用于访问受保护内容的以太网解码器装置和方法
【技术领域】
[0001]本发明涉及多媒体接收装置的领域，具体地，涉及基于IP协议的以太网通信层的装置以及由多媒体接收装置访问受保护内容的方法。
【背景技术】
[0002]当今IP协议被广泛用于分发多媒体内容，例如音频、视频。大型数据库可在线访问并允许流直播或点播内容。使用因特网通信协议将这些内容以单播或多播模式流式传输。
[0003]为了快速实现此意图，供应商正使用广泛接受的标准，并依赖于基于软件的安全性来保护他们的内容。即使他们接受有限的安全级别，他们也想避免部署特别和昂贵的硬件，例如机顶盒和/或CAM(条件访问模块)装置。
[0004]文献US7406598涉及一种安全内容分发的方法和系统，公开了一种系统级芯片(SOC)装置，包括外部输出端和外部输入端。在正常模式的操作期间，第一安全存储位置可操作地脱离SOC装置的所有外部输出端。通过从所有外部输出端脱离，可防止存储在第一安全装置的数据的表示被提供给外部输出端。解密引擎也包括在所述系统级芯片上，包括第一数据输入端、耦合到第一安全存储位置的第一部分的私钥输入端、以及耦合到第二安全位置的输出端。基于在私钥输入端处接收的私钥，解密引擎可操作地从在第一数据输入端处接收的数据确定解密的数据。解密引擎可进一步操作以将所述解密的数据只写入到第一安全存储器位置和第二安全位置。该系统还包括解扰器，该解扰器的输出端耦接到水印模块，该水印模块可用于对来自解扰器的输出端的图像数据提供水印。
【发明内容】
[0005]本发明旨在通过提出一种对于客户端具有易于分发能力的内容保护层来解决部署昂贵硬件的问题。
[0006]该目的通过一种用于解扰访问受控的音频/视频内容流的网络装置来实现，所述网络装置被配置成连接到网络路由器，其特征在于所述网络装置包括:
[0007]-存储器，用于存储网络装置所特有的唯一地址UA，
[0008]-网络输入/输出接口，
[0009]-解扰器，用于解扰音频/视频内容流，
[0010]-水印引擎，配置为根据所述唯一地址UA为解扰后的音频/视频内容流加水印。
[0011]本发明的另一个目的是一种用于通过使用多媒体接收装置经由IP网络访问加扰的音频/视频内容流的方法，该多媒体接收装置连接到与网络装置关联的网络路由器，所述网络装置通过存储在所述网络装置的存储器中的唯一地址进行识别，所述方法包括以下步骤:
[0012]-在多媒体接收装置显示的加扰音频/视频内容的列表上选择一加扰的音频/视频内容流，所述音频/视频内容流通过至少一个内容提供商服务器在IP网络上可用，[0013]-由多媒体接收装置通知网络装置所选择的音频/视频内容流，
[0014]-将网络装置连接到内容提供商服务器，以获得所选择的加扰的音频/视频内容流，
[0015]-将网络装置安全地连接到条件访问系统服务器以把所述唯一地址发送给所述服务器，
[0016]-获得所选择的加扰的音频/视频内容流的访问权，
[0017]-由网络装置使用所获得的访问权对加扰的音频/视频内容流进行解扰，
[0018]-对全部或部分的解扰的音频/视频内容流加水印，以嵌入识别所述网络装置的所述唯一地址，从而获得个性化的解扰的音频/视频内容流，
[0019]-将所述个性化的解扰的音频/视频内容流发送到所述多媒体接收装置。
[0020]优选地为可拆卸硬件加密狗(dongle)的形式的所述网络装置包括以太网连接端，以允许将其插入到路由器的适当的以太网连接器中。该加密狗负责与服务器进行通信、请求用户所期望的内容、提供其唯一地址UA、接收受保护的内容、去除保护、添加水印和将加了水印的内容经由以太网网络提供给多媒体接收装置。
[0021]尽管本发明的加密狗与文献US7406598的系统级芯片具有一些共有的特征，但是该加密狗还适于解决通过以太网连接或IP端口的媒体内容实时流传输的问题。此外，文献US7406598的系统级芯片被局限于用于其中外部输入端和输出端是受保护的存储位置的内容分发。
【专利附图】
【附图说明】
[0022]通过后面参照附图的详细描述，可以更好地理解本发明，所述附图以非限制性的例子给出。
[0023]图1示出了多媒体接收装置访问内容流的本地模式的框图，该多媒体接收装置连接到与网络装置关联的网络路由器。
[0024]图2示出了多媒体接收装置访问内容流的漫游模式的框图，该多媒体接收装置连接到与网络装置关联的网络路由器。
【具体实施方式】
[0025]本发明的网络装置D可以被配置为可移除的硬件加密狗，其连接至作为用户的网络的一个部件的标准路由器RT的IP端口之一。所述加密狗的功能可以概括如下:
[0026]-提供安全的唯一地址UA，
[0027]-接收受保护的内容流，
[0028]-移除内容流的保护，
[0029]-根据唯一地址添加水印，
[0030]-使加了水印的内容对于多媒体接收装置可用。
[0031]内容流的保护可以根据不同的方式除去。第一种方式是对内容进行解扰。用于解扰该内容的密钥可在预定时段(例如一天)内请求一次或相对于每个内容流进行请求。为了接收正确的解扰密钥，加密狗D应提供其唯一地址UA，该唯一地址UA在加密狗与用户标识一起注册的条件访问系统服务器CAS或其它服务器的数据库中进行验证。如果唯一地址UA被CAS服务器认为是有效的，则解扰密钥被发送到加密狗D。根据一个实施例，该密钥以明文发送，或者可以通过加密狗D的个人密钥加密。出于此目的，CAS服务器的数据库对于每个UA包含一个加密狗D的个人密钥。
[0032]根据另一实施例，通过加密狗D的个人密钥对内容本身进行加密。在这种情况下，加密后的内容仅专用于给定的加密狗D。
[0033]保护内容的另一种方式是使用由Medialive开发的在W003/063445中公开的方法。通过在特定位置移除一些数据破坏初始内容，并且移除的数据(其代表内容的少量百分比)形成了补充信息。被破坏的内容使用单播或组播的方式发送给全部用户，并且针对特定加密狗加密的所述补充信息在该加密狗请求时被发送。
[0034]在移除保护层的同时，加密狗D添加水印以识别已经去除了保护的加密狗D。可以使用例如由Civolution根据W001/28230开发的普通技术。该加密狗D提供可由网络内的任何装置访问的输出。在例如通过无线协议(无线保真，WiFi)连接到路由器的情况下，多媒体接收装置MRD作为电视机通过WiFi连接接收来自加密狗D的内容流的数据包。
[0035]该多媒体接收装置MRD还可以包括作为加密狗D(或系统)的特征的自适应流式传输特征:如果在低带宽网络上观看内容，则加密狗D或系统将通过改变分辨率、质量或压缩因子以适应流式内容的带宽。可以根据以下模式执行自适应流式传输:
[0036]-在加密狗D的输入端，进入加密狗D的内容流的高吞吐量通过中间缓冲和使用握手机制来自动降低。
[0037]-在加密狗D的输出端，解扰的加了水印的内容流的吞吐量、分辨率、质量或压缩因子被调整以适应于网络带宽性能。
[0038]-在透明模式下，经过加密狗D的内容流被控制并被调整以适应于从内容提供商到多媒体接收装置MRD的网络能力。
[0039]加密狗D可以被配置成并行地处理几个内容流。在这种情况下，加密狗D能同时存储几个内容解扰密钥，并且能够获得两个(或更多个)受保护的流，由解扰器去除所接收的流的保护，由水印引擎嵌入水印并将这些解扰的加了水印的流提供到与网络连接的多媒体接收装置MRD。
[0040]一些网络装置符合标准以太网供电(或PoE或IEEE802.3af标准)。加密狗将优选地通过PoE供电以避免额外的变压器。对加密狗进行供电和连接的另一种方式是通过通用串行总线(USB)接口。在该情况下，主机装置(网络路由器RT)设置有网络连接和产生USB接口和所述网络连接之间的网关的特定软件应用。在另一构造中，个体供电的加密狗D还可以使用与网络路由器RT的无线网络连接，例如WiFi或3G/4G。
[0041]根据一个实施例，加密狗D可包括用于存储内容的内部存储器、或由存储卡(例如MicroSD卡或其它标准类型的存储卡)组成的外部存储器。这种配置允许把个人视频记录器(PVR)的功能(记录、播放、暂停、慢/快进和慢/快退)增加到加密狗D，加密狗D中存储的内容可以被本地或远程的多媒体接收装置(MRD，RMRD)随机访问。
[0042]图1的框图示出了多媒体接收装置MRD(例如电视机或个人计算机PC)在本地访问内容流的第一模式，其中多媒体接收装置连接到与网络装置或加密狗D关联的网络路由器RT。该内容流通过分发加扰的音频/视频内容流的一个或多个内容提供商(CP1、CP2、CP3)在IP网络上可用。内容也可以以加扰形式存储在本地或远程硬盘HD上并且在网络上可用。条件访问系统服务器CAS包括一起存储网络装置D的唯一地址UA以及用户标识数据的数据库，所述唯一地址UA用于在网络上识别网络装置D。仅当用户受益于适当的访问权时，存储在网络装置D的存储器中的唯一的地址UA允许在网络上获得加扰的流。
[0043]用户在经由多媒体接收装置MRD的用户接口显示的在网络上可用的加扰音频/视频内容的列表上选择一加扰的音频/视频内容流。根据图1表示的本地模式，网络装置D通过使用标准域名系统(DNS)协议找到内容提供商服务器(CP1、CP2、CP3)和条件访问系统服务器CAS，并且发送适当的请求以获得所选择的流和相应的访问权。加密狗D的唯一地址UA允许从提供加扰内容流的访问权的运营商的条件访问服务器CAS获得必要的访问权。路由器RT被优选地配置成以特定周期改变或者在每次会话改变的动态IP地址，而不是静态IP地址。
[0044]所述网络装置(加密狗D)至条件访问系统服务器CAS的连接通过创建加密的VPN(虚拟专用网络)隧道来确保安全。每个网络路由器RT分别与加密狗D和CAS服务器互相认证，从而用于对流进行解扰的全局或唯一的密钥经由加密的VPN隧道从CAS服务器通过网络路由器RT被发送到网络装置D。解扰密钥通常在加密的VPN隧道中以明文形式发送。
[0045]访问权可以通过用户即兴购买(IPPV)、一个或一组内容的按次即兴购买或者通过订阅一个或多个组或类别的内容而获取。
[0046]由于集成在加密狗D中的解扰器，解扰所接收的内容并通过全部或部分地应用加密狗D的唯一地址UA对内容加水印，以节省处理负载和时间。例如，这种加水印防止内容的匿名拷贝以及通过因特网向第三方进行内容的分发。因此，对于担当内容流的源的给定网络路由器RT，内容被个性化。由此可以识别拷贝的来源并且可以将相应的加密狗D列入黑名单或从网络中拒绝。
[0047]图2所示的第二访问模式可以由远程多媒体接收装置RMRD远程地执行，远程多媒体接收装置RMRD例如是智能电话、平板PC、个人计算机等或任何能够连接到公共网络(例如因特网)的用户单元。这种模式也被称为漫游模式，其中无论远程多媒体接收装置RMRD相对于网络路由器RT的位置是怎样的，用户连接到加扰内容流。
[0048]通过有线或无线方式经由因特网服务提供商(ISP)将装置连接到因特网的用户将由ISP分配一个数字IP地址。该地址可以是静态的或者动态的，即，它在因特网上从一个会话到下一个会话之间改变。如果需要能够从另一个位置访问远程计算机或其它网络装置，静态数字地址不便于记忆；不可预测地改变的地址使得无法实现连接。
[0049]在这种情况下，网络路由器RT的IP地址是通过使用称为动态DNS (域名系统)服务(DDNS)的服务确定的。DDNS提供商为用户分配静态主机名；每当用户被分配新的IP地址时，通过在该地址处的配备有加密狗D的网络路由器RT上运行的软件(执行RFC2136协议或其它协议)把该新的IP地址传送给DDNS提供商。DDNS提供商将主机名和该地址之间的关联分配给因特网DNS服务器，使得DNS查询被解析。最终结果是，漫游用户可以例如通过网站“username, ddnsservice.0rg”而不是未知的变化的IP地址与他家中的网络路由器进行通信。所述主机名被解析为在家中的网络路由器RT的当前地址，对用户而言DNS查询是透明的。加密狗D经由网络路由器RT与DDNS提供商之间的通信优选地通过使用例如传输层安全(TLS)或安全套接字层(SSL)的协议来确保安全。远程多媒体接收装置RMRD使用当前在远程位置使用的因特网服务提供商(ISP)的标准DNS服务器来解析“username,ddnsservice.0rg”域名。为了最小化用户对网络路由器RT的设置，网络装置或加密狗D在DDNS提供商的服务器上自动更新IP地址。
[0050]网络路由器RT与远程多媒体接收装置RMRD —起工作需要两个先决条件:网络路由器RT的IP地址由与之关联的DDNS服务进行定期更新。当针对内容提供商服务器(CP1、CP2、CP3)的连接请求是由远程多媒体接收装置RMRD执行时，网络路由器RT被配置用于指向网络装置D的端口转发。端口转发可以通过静态配置或通过使用例如UPnP(通用即插即用)的协议执行，在UPnP中网络装置告诉网络路由器RT打开一端口并将其转发给其内部IP地址。
[0051]远程多媒体接收装置RMRD通过使用DNS协议找到网络装置D并执行以下步骤:
[0052]-在加扰的音频/视频内容的列表上选择加扰的音频/视频内容流。该列表或者从网络装置D取回或者直接从网络的内容提供商服务器(CP1、CP2、CP3)取回。网络装置D从内容提供商服务器接收该列表。
[0053]-远程多媒体接收装置RMRD向网络装置D通知所选择的音频/视频内容流，
[0054]-将网络装置D连接到内容提供商服务器(CP1、CP2、CP3)以获得所选择的加扰的
音频/视频内容流，
[0055]-将网络装置D安全地连接到条件访问系统服务器CAS以将唯一地址UA发送给所述服务器，
[0056]-获得所选择的加扰的音频/视频内容流的访问权，
[0057]-由网络装置D通过使用所获得的访问权对加扰的音频/视频内容流进行解扰，
[0058]-对解扰的音频/视频内容流的全部或部分加水印，以嵌入识别网络装置D的唯一地址UA，从而获得个性化的解扰的音频/视频内容流，
[0059]-把所述个性化的解扰的音频/视频内容流发送到远程多媒体接收装置RMRD。
[0060]根据被配置用来提高安全性的一个实施例，网络装置D和远程多媒体接收装置RMRD创建加密的VPN隧道来传送个性化的解扰的音频/视频内容流。这种配置可以允许证明泄露的内容流不是从网络非法捕获的。在本地访问模式，由于本地网络相比于全球网络较少暴露于窃听中，加密的VPN隧道可能不是必需的。
[0061]当远程多媒体接收装置RMRD被连接到网络路由器RT(分别连接到网络装置D)时，在用户用用户名和密码登录后，获得的IP地址与网络装置D的唯一地址UA —起被所述网络装置D发送到条件访问系统CAS的服务器。
[0062]一旦利用适当的访问权和用于接收内容流的输入端口建立了与网络路由器RT或网络装置D的连接，远程多媒体接接收装置RMRD以与在本地模式下的多媒体接收装置MRD类似的方式接收解扰且加入了水印的音频/视频内容流。
[0063]因为网络路由器RT和插入到网络端口中的加密狗D所组成的集合起到了提供私有化内容的媒体播放器的作用，对连接到该网络路由器的其它装置的远程访问也是可能的。例如，由此可访问存储在硬盘HD上或者个人计算机PC中的内容，无论远程多媒体接收装置RMRD的位置怎样。
[0064]通过优选地使用名为实时流传输协议(RTSP)或安全实时流传输协议(RTSPS)的协议，经由网络将音频/视频内容流传输到多媒体接收装置MRD或远程多媒体接收装置RMRD，所述协议是网络控制协议，被设计用于娱乐和通信系统以控制流媒体服务器，即，本发明的网络路由器与加密狗。该协议用于建立和控制端点之间的媒体会话。媒体服务器的客户端(即，远程多媒体接收装置RMRD)被配置为发出视频播放器/记录器的命令，诸如播放、暂停、快进、倒回，以帮助进行服务器(即，网络路由器RT和加密狗D)的内容回放的实时控制。例如，如 Zatto、VLC、Real Player^Flash Player、Windows media player 等的媒体播放器使用RTSP协议。`
【权利要求】
1.一种用于解扰访问受控的音频/视频内容流的网络装置(D)，所述网络装置(D)被配置为连接到网络路由器(RT)，其特征在于所述网络装置包括: -存储器，用于存储网络装置(D)所特有的唯一地址(UA)， -网络输入/输出接口， -解扰器，用于解扰所述音频/视频内容流， -水印引擎,配置为根据所述唯一地址(UA)为解扰后的音频/视频内容流加水印。
2.根据权利要求1的网络装置，其特征在于其被配置为可拆卸硬件加密狗，该加密狗适于连接到作为用户网络的一个部件的网络路由器(RT)的以太网端口。
3.根据权利要求1或2的网络装置，其特征在于，与网络路由器(RT)的连接符合PoE或 IEEE802.3af 标准。
4.根据权利要求1或2的网络装置，其特征在于，与网络路由器(RT)的连接是通过通用串行总线(USB)接口建立的。
5.根据权利要求1到4中任一项的网络装置，其特征在于其包括自适应流传输特征，其中通过改变分辨率、质量或压缩因子来适应内容流的带宽。
6.根据权利要要求I到5中任一项的网络装置，其特征在于其被配置为通过同时存储多个内容解扰密钥以解扰要送往水印弓丨擎的多个内容流,来并行处理多个内容流。
7.根据权利要求1到6中任一项的网络装置，其特征在于其包括用于存储内容的内部或外部存储器以及个人视频记录器(PVR)的功能。
8.—种通过使用连接到与根据权利要求1到7中任一项的网络装置(D)关联的网络路由器(RT)的多媒体接收装置(MRD)经由IP网络访问加扰的音频/视频内容流的方法，所述网络装置⑶通过存储在所述网络装置⑶的存储器中的唯一地址(UA)进行识别，该方法包括如下步骤: -在多媒体接收装置(MRD)显示的加扰音频/视频内容的列表上选择一加扰的音频/视频内容流，所述音频/视频内容流通过至少一个内容提供商服务器(CP1、CP2、CP3)而在IP网络上可用， -由多媒体接收装置(MRD)通知网络装置(D)所选择的音频/视频内容流， -将网络装置⑶连接到内容提供商服务器(CP1、CP2、CP3)，以获得所选择的加扰的音频/视频内容流， -将网络装置(D)安全地连接到条件访问系统服务器(CAS)，并且把所述唯一地址(UA)发送到所述服务器(CAS)， -获得所选择的加扰的音频/视频内容流的访问权， -由网络装置(D)通过使用所获得的访问权对加扰的音频/视频内容流进行解扰， -对解扰的音频/视频内容流的全部或部分加水印，以嵌入识别网络装置(D)的所述唯一地址(UA)，从而获得个性化的解扰的音频/视频内容流， -将所述个性化的解扰的音频/视频内容流发送到所述多媒体接收装置(MRD)。
9.根据权利要求8的方法，其特征在于， 多媒体接收装置(MRD)由经由因特网在漫游模式下连接到网络路由器(RT)和网络装置⑶的远程多媒体接收装置(RMR)构成，所述网络路由器(RT)具有链接到动态域名系统(DDNS)服务的IP地址，当针对内容提供商服务器(CP1、CP2、CP3)的连接请求是由通过使用DNS协议寻找网络装置(D)的远程多媒体接收装置(RMRD)执行时，网络路由器(RT)被配置用于指向网络装置⑶的端口转发。
10.根据权利要求8或9的方法，其特征在于，通过使用实时流传输协议(RTSP)或安全实时流传输协议(RTSPS)，经由网络将所述音频/视频内容流传输到多媒体接收装置(MRD)或远程多媒体接收装置(RMRD)。
11.根据权利要求8至10中任一项的方法，其特征在于，通过使用由网络装置(D)从条件访问系统服务器(CAS)安全地接收的解扰密钥对所述音频/视频内容流进行解扰，其中该网络装置(D)记录有用户标识和所述唯一地址(UA)。
12.根据权利要求11的方法，其特征在于，所述网络装置(D)至条件访问系统服务器(CAS)的连接通过创建加密的VPN(虚拟专用网络)隧道来确保安全，网络装置(D)与条件访问系统服务器(CAS)互相认征，允许通过所述条件访问系统服务器(CAS)发送唯一密钥，所述唯一密钥用于由网络装置(D)对加扰的音频/视频内容流进行解扰。
13.根据权利要求9至12中任一项的方法，其特征在于，网络装置(D)和远程多媒体接收装置(RMRD)创建加密的VPN(虚拟专用网络)隧道以传送所述个性化的解扰的音频/视频内容流。
14.根据权利要求9至13中任一项的方法，其特征在于，远程多媒体接收装置(RMRD)是在包括智能电话、平板PC、个人计算机(PC)或能够连接到因特网的任何用户单元的组中选择的。
【文档编号】H04N21/226GK103493497SQ201280019398
【公开日】2014年1月1日 申请日期:2012年4月19日 优先权日:2011年4月19日
【发明者】J·科纳斯, C·尼科拉斯 申请人:纳格拉影像股份有限公司