[發明專利]一種數字版權保護系統中終端設備可信認證方法

有效

• 申請號: 201510412791.3
• 申請日: 2015-07-15
• 公開（公告）號: CN106656499B
• 公開（公告）日: 2023-05-05
• 發明（設計）人: 石晶;陸驛;孫照焱;陸達
• 申請（專利權）人: 同方股份有限公司;中國新聞出版研究院
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/30;H04L9/40
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種數字版權保護系統中終端設備可信認證方法，它使用由第三方設備認證機構使用的設備認證授權管理系統（A）、終端設備生產廠商使用的設備注冊管理系統(B)、數字版權保護系統運營服務端系統使用的設備身份管理與可信認證系統(C)和數字版權保護系統終端設備端系統使用的設備身份認證管理系統(D)組成的終端設備可信認證與管理系統；所述設備認證授權管理系統（A）由設備授權管理器（1）和設備認證管理器（2）組成；所述設備注冊管理系統(B)由設備注冊管理器（3）組成；所述設備身份管理與可信認證系統(C)由設備身份授權管理器（4）和設備可信認證管理器（5）組成；所述設備身份認證管理系統(D)由身份注冊管理器（6）和身份認證管理器（7）組成；其實施步驟為：

1）設備信息注冊與授權處理：

①設備注冊管理系統(B)中的設備注冊管理器（3）從終端設備獲取設備特征信息，生成設備信息注冊申請數據塊，設備信息注冊申請數據塊中包含設備特征信息、設備公鑰和使用設備私鑰簽名的設備信息注冊申請數據塊的數字簽名；

②設備信息注冊申請數據塊通過設備注冊管理系統(B)和設備認證授權管理系統（A）之間的網絡安全傳輸通道傳遞到設備認證授權管理系統（A）；

③設備認證授權管理系統（A）中的設備授權管理器（1）使用設備信息注冊申請數據塊中的設備公鑰驗證設備信息注冊申請數據塊的數字簽名，確認設備信息注冊申請數據塊的合法性和完整性；如通過數字簽名驗證，則生成設備唯一標識DevID和與DevID一一對應的加密密鑰Kd，并使用加密密鑰Kd和對稱加密算法對設備信息注冊申請數據塊中的設備特征信息進行加密處理，得到設備特征信息密文；設備唯一標識DevID和加密密鑰Kd保存在設備認證授權管理系統（A）中；

④設備認證授權管理系統（A）中的設備授權管理器（1）生成終端設備的設備證書（8），設備證書（8）包含設備唯一標識DevID、設備公鑰、設備特征信息密文、授權系統公鑰和使用授權系統私鑰簽名的設備證書（8）的數字簽名；

⑤終端設備的設備證書（8）將通過設備注冊管理系統(B)和設備認證授權管理系統（A）之間的網絡安全傳輸通道傳遞到終端設備，并存儲在終端設備上；

2）設備身份注冊與授權處理：

①設備身份認證管理系統（D）的身份注冊管理器（6）從數字版權保護系統終端設備端系統獲取設備的用戶身份信息、設備特征信息和設備證書（8），使用設備證書（8）中的授權系統公鑰驗證設備證書（8）的數字簽名，確認設備證書（8）的合法性和完整性；如通過數字簽名驗證，生成設備身份注冊申請數據塊，設備身份注冊申請數據塊內包含用戶身份信息、設備特征信息、設備證書和使用設備私鑰簽名的設備身份注冊申請數據塊的數字簽名；

②設備身份注冊申請數據塊通過設備身份認證管理系統（D）和設備身份管理與可信認證系統（C）之間的網絡安全傳輸通道傳遞到設備身份管理與可信認證系統（C）；

③設備身份管理與可信認證系統（C）中的設備身份授權管理器（4）使用設備身份注冊申請數據塊內設備證書（8）中的設備公鑰驗證設備身份注冊申請數據塊的數字簽名，確認設備身份注冊申請數據塊的合法性和完整性；如通過數字簽名驗證，設備身份授權管理器（4）從數字版權保護系統運營端系統獲取設備的用戶身份信息，與設備身份注冊申請數據塊中的用戶身份信息進行比對，如果數據一致，生成設備信息認證申請數據塊，設備信息認證申請數據塊包含設備身份注冊申請數據塊中的設備特征信息、設備證書、運營系統公鑰和使用運營系統私鑰簽名的設備信息認證申請數據塊的數字簽名；

④設備信息認證申請數據塊將通過設備身份管理與可信認證系統（C）和設備認證授權管理系統（A）之間的網絡安全傳輸通道傳遞到設備認證授權管理系統（A）；

⑤設備認證授權管理系統（A）的設備認證管理器（2）使用設備信息認證申請數據塊中的運營系統公鑰驗證設備信息認證申請數據塊的數字簽名，確認設備信息注冊申請數據塊的合法性和完整性；如通過數字簽名驗證，使用保存在設備認證授權管理系統（A）中的與設備證書（8）中設備唯一標識DevID對應的加密密鑰Kd對設備證書中的設備特征信息密文進行解密處理，得到設備特征信息明文，將設備特征信息明文與設備信息認證申請數據塊中的設備特征信息進行比對，如果數據一致，生成設備身份注冊應答數據塊，設備身份注冊應答數據塊內包含設備特征信息、設備證書（8）和使用授權系統私鑰簽名的設備身份注冊應答數據塊的數字簽名；

⑥設備身份注冊應答數據塊將通過設備身份管理與可信認證系統（C）和設備認證授權管理系統（A）之間的網絡安全傳輸通道傳遞到設備身份管理與可信認證系統（C）；

⑦設備身份管理與可信認證系統（C）中的設備身份授權管理器(4)使用設備身份注冊應答數據塊內容及設備證書（8）中的授權系統公鑰驗證設備身份注冊應答數據塊的數字簽名，確認設備信息注冊應答數據塊的合法性和完整性；如通過數字簽名驗證，則生成唯一的設備身份標識DevUID和與DevUID一一對應的加密密鑰Ku，并使用加密密鑰Ku和對稱加密算法分別對設備身份注冊申請數據塊中的設備特征信息和用戶身份信息進行加密處理，得到設備特征信息密文和用戶身份信息密文；設備身份標識DevUID和加密密鑰Ku保存在設備身份管理與可信認證系統（C）中；

⑧設備身份管理與可信認證系統（C）中的設備身份授權管理器（4）生成設備身份憑證（9），設備身份憑證（9）包含身份標識DevUID、設備證書、設備特征信息密文、用戶身份信息密文、運營系統公鑰和使用運營系統私鑰簽名的設備身份憑證的數字簽名；

⑨設備身份憑證（9）通過設備身份管理與可信認證系統（C）和設備身份認證管理系統（D）之間的網絡安全傳輸通道傳遞到終端設備，并存儲在終端設備上；

3）終端設備的可信認證處理：

①設備身份認證管理系統（D）的身份認證管理器（7）從數字版權保護系統終端設備端系統獲取設備的用戶身份信息、設備特征信息和設備身份憑證（9），使用設備身份憑證（9）中的運營系統公鑰驗證設備身份憑證（9）的數字簽名，確認設備身份憑證（9）的合法性和完整性；如通過數字簽名驗證，生成設備身份認證憑證數據塊，設備身份認證憑證數據塊內包含用戶身份信息、設備特征信息、設備身份憑證（9）和使用設備私鑰簽名的設備身份認證憑證數據塊的數字簽名；

②設備身份認證憑證數據塊通過設備身份認證管理系統（D）和設備身份管理與可信認證系統（C）之間的網絡安全傳輸通道傳遞到設備身份管理與可信認證系統（C）；

③設備身份管理與可信認證系統（C）中的設備可信認證管理器（5）使用設備身份認證憑證數據塊內設備證書中的設備公鑰驗證設備身份認證申請數據塊的數字簽名，確認設備身份認證憑證數據塊的合法性和完整性；如通過數字簽名驗證，使用保存在設備身份管理與可信認證系統（C）中的與設備身份憑證（9）中設備身份標識DevUID對應的加密密鑰Ku，分別對設備身份憑證（9）中的設備特征信息密文和用戶身份信息密文進行解密處理，得到設備特征信息明文和用戶身份信息明文，將設備特征信息明文和用戶身份信息明文分別與設備身份信息認證憑證數據塊中的設備特征信息和用戶身份信息進行比對，如果數據一致，設備身份管理與可信認證系統（C）實現了對終端設備的設備身份的可信認證。