DE60131990T2

DE60131990T2 - Vorrichtung und verfahren zur selektiven verschlüsselung von über ein netzwerk zu übertragenden multimediadaten

Info

Publication number: DE60131990T2
Application number: DE60131990T
Authority: DE
Inventors: Brad Lynden KOLLMYER; Brian Seattle BAKER; Eric Ann Arbor SHAPIRO; Aric Mercer Island KOLLMYER; Mike Gainesville RUTMAN; Duncan Santa Monica MACLEAN; Dan Ann Arbor ROBERTSON; Neal Yorba Linda TAYLOR; Dick Ann Arbor HUNSCHE; Amanda Reston WALKER
Original assignee: Widevine Technologies Inc
Current assignee: Widevine Technologies Inc
Priority date: 2000-09-06
Filing date: 2001-09-06
Publication date: 2009-01-02
Anticipated expiration: 2021-09-07
Also published as: EP1916818A2; DE60131990T3; EP1317839A2; CY1107275T1; JP2004511931A; PT1317839E; WO2002021761A2; US7376831B2; DE60131990D1; US7165175B1; US20070101123A1; ATE381840T1; ES2296798T3; EP1317839B1; EP1916818A3; WO2002021761A3; DK1317839T3; EP1317839B2; AU2001288755A1

Description

Hintergrund der Erfindung
1. Gebiet der Erfindung
Die vorliegende Erfindung betrifft im Allgemeinen eine Übertragung von Daten über ein Netzwerk und insbesondere eine Vorrichtung, ein System und ein Verfahren zum selektiven Verschlüsseln und Entschlüsseln von verschiedenen Teilen von Daten, welche über ein Netzwerk gesendet werden.
2. Beschreibung des Stands der Technik
Vernetzung, heute veranschaulicht durch das Internet, begann als ein Weg für Benutzer, um text-basierte Informationen und Dateien zu teilen. Die Technologie ist jedoch weit jenseits von Text vorangeschritten. Das Internet kann verwendet werden, um Videokonferenzen zu führen, wobei die Teilnehmer der Konferenz einander in Echtzeit auf ihren Computerbildschirmen oder Netzwerk verbundenen Konferenz-Vorrichtungen sehen können. Internet-Benutzer können live Videomaterial von Ereignissen anschauen, wenn sie sich ereignen, oder vorher aufgezeichnete Programmierungen „auf Anfrage" ansehen, d. h. wann immer sie wünschen statt nach einem Rundfunk-Zeitplan,
Um zu verstehen, wie ein Video- oder Multimediainhalt über das Internet übertragen wird, ist es zunächst notwendig, das Konzept des Streamings zu verstehen. Streaming löst ein lang bestehendes Problem, welches darin besteht, Medieninformationen über das Internet zu übertragen: Multimedia-Dateien sind ziemlich groß und die meisten Benutzer haben Netzwerk-Verbindungen mit relativ niedriger Bandbreite. Ein Senden von Videos in Rundfunkqualität oder Audiodaten in CD-Qualität über das Internet in nie einfach oder praktisch gewesen. Es könnte Stunden dauern, eine einzige Audio- oder Video-Datei über das Netzwerk zu dem Computer von jemandem zu senden. Die Person an dem anderen Ende musste warten, bis die gesamte Datei heruntergeladen war, bevor die Wiedergabe beginnen konnte. Die Wiedergabe konnte nur ein paar Minuten dauern.
Es ist lange möglich gewesen die Menge an benötigten Daten, um Multimediadaten-Material zu übertragen, zu reduzieren. Ein Weg ist die Auflösung, die Rahmenrate oder Abtastrate der übertragenen Daten zu reduzieren, was den Nebeneffekt einer Verringerung der wahrgenommenen Qualität von Audio- oder Videoinhalt hat. Ein weiteres allgemein verwendetes Verfahren ist es, eine Datenkompression auf die Daten anzuwenden, um Redundanzen zu reduzieren und nur die am unverzichtbarsten Daten einer Multimediadatei zu bewahren. Durch Kombinieren dieser beiden Techniken ist es möglich, Multimediadateien von angemessener Qualität herzustellen, die über eine typische Internetverbindung übertragen werden können, in Zeitrahmen, die ähnlich der Laufzeit des Medieninhalts selbst sind, d. h. Minuten statt Stunden. Die aktuelle Qualität von heruntergeladenem Multimediamaterial variiert abhängig von verfügbaren Netzwerkbandbreiten und der Bereitschaft des Benutzers, darauf zu warten, dass es ankommt; es ist möglich, die Qualität gegen die Dateigröße abzuwägen und Inhaltsversionen höherer Qualität für Benutzer mit mehr Bandbreite herzustellen.
Wenn die Datenmenge pro Sekunde Multimediainhalt gleich oder weniger als die Menge an Bandbreite ist, die dem Netzwerk-Benutzer zur Verfügung steht, kann Streaming stattfinden. Streaming ist im Wesentlichen „zeitsynchrone (just-intime)" Übermittlung von Multimediadaten. Der Benutzer braucht nicht darauf zu warten, dass die gesamte Datei ankommt, bevor sie/er damit beginnen kann, sie anzusehen, noch braucht sie/er ein großes Stück des Speichers ihres/seines Computers zu reservieren. Wenn sie an dem Computer des Clients ankommt, werden die Multimediadaten typischerweise in einem Puffer gespeichert, der imstande ist, mehrere Sekunden lang Daten zu halten, um Unterbrechungen in der Wiedergabe zu verhindern, die durch unregelmäßige Netzwerkverbindungen verursacht werden. Wenn der Puffer anfangs gefüllt wird, was eher in Sekunden als in Minuten oder Stunden geschieht, beginnt die Wiedergabe und individuelle Rahmen von Video und/oder Audiosegmenten werden von dem Puffer erhalten, decodiert und auf dem Videomonitor des Clients dargestellt, durch das Soundsystem des Clients abgespielt oder anderweitig über die mit dem Netzwerk des Clienten verbundenen Vorrichtung zurückgespielt. Nachdem die Daten gespielt worden sind, werden sie in vielen Fällen verworfen und müssen wieder übertragen werden, wenn der Benutzer einen vorherigen Teil des Programms noch einmal sehen möchte.
Das weltweite Netz („WEB") arbeitet mit einem Client/Server-Modell, das bedeutet ein Benutzer (d. h. ein Client) führt eine Software auf seinem/ihren Personalcomputer oder einer anderen Netzwerkvorrichtung (wie eine Netzwerkanwendung oder ein Internetbetriebsfähiges drahtloses Telefon) aus, welche betriebsfähig sind, auf die Ressourcen eines Netzwerkservers zuzugreifen. Der Server kann vielen verschiedenen Benutzern erlauben, auf seine Ressourcen zur gleichen Zeit zuzugreifen, und braucht nicht reserviert zu sein, um Ressourcen einem einzigen Benutzer bereitzustellen. In diesem Modell läuft die Software des Clients, z. B. eines Browsers oder Spielers, auf dem Computer eines Benutzers. Wenn ein Benutzer einen Video- oder anderen Multimediainhalt aus dem Web anfordert, kontaktiert die Software seines/ihres Clients den Webserver, der die erwünschte Information oder Ressourcen enthält, und sendet eine Anfragenachricht. Der Web-Server lokalisiert und sendet die angeforderte Information an den Browser oder Spieler, welcher die Ergebnisse durch Interpretieren der erhaltenen Daten als geeignet anzeigt, z. B. indem er sie als Video auf der Computeranzeige anzeigt.
Informationen in dem Web werden mittels Internetadresse (URL) adressiert. Eine URL bestimmt das Protokoll, welches verwendet werden soll, um auf die benötigten Informationen zuzugreifen (üblicherweise http, das Hyper Text Transfer Protokoll), die Adresse oder den Internetnamen des Hosts, der die Informationen enthält, jegliche Authentifizierungsinformationen, die benötigt werden, um den Zugang zu den Informationen (wie eine Benutzer-ID und ein Passwort) zu erhalten, eine optionale TCP/IP Portnummer, falls die Ressource für das spezifizierte Protokoll auf dem Standardport nicht verfügbar ist, und einen Pfad zu der erwünschten Information in einer virtuellen Hierarchie, welche durch den Serverbetreiber gestaltet ist. Zusätzlich kann die URL Informationen enthalten, die von dem Benutzer eingegeben werden, wie Abfragetext für eine Datenbanksuche. URLs können auf vielen Wegen spezifiziert werden, einschließlich, aber nicht begrenzt auf Eintippen derselben in einen Web-Client, durch Anklicken eines „Hyperlinks", in einigen anderen Web-Dokumenten durch Auswahlen eines „Lesezeichens" in einem Web-Browser, um auf die vorher besuchte Seite zurückzukehren, oder durch Ausfüllen eines Web-Formulars und Übermitteln desselben an einen Server.
Wenn eine Anfrage für eine spezielle URL getätigt wurde, wird die Anfrage unter Verwendung des Protokolls, welches in der URL, wie http, angezeigt ist, an den entsprechenden Server geschickt und die angeforderten Daten (oder eine Fehlermeldung, wenn die Anfrage nicht erfüllt werden kann) werden durch dasselbe Verfahren zurückgeschickt. Jedoch werden http oder andere Web-Protokolle auf den fundamentalen Internetprotokollen gebildet, wie TCP (Transmission Control Protocol) oder UDP (User Datagram Protocol). Die Protokolle, die für Streaming Medien verwendet werden, werden auf diesen fundamentalen Protokollen auf die gleiche Weise gebildet, wie andere höhere Protokolle (high-level protocols), wie http. Es ist Wesentlich, zu erkennen, dass der gesamte Internetverkehr durch eine relativ geringe Anzahl von niedrigen, fundamentalen Protokollen wie TCP und UDP ausgeführt wird, die verwendet werden, um die Verbindung zwischen den Computer aufzubauen, die das höhere Protokoll tragen. Beim Streaming von Multimediainhalt, kann der Server dann entweder TCP oder UDP verwenden.
RTP (Real Time Protocol), RTSP (Real-Time Streaming Protocol) und RTCP (Real-Time Control Protocol) sind drei von den vielen möglichen Streaming Medien-Protokollen, die auf den niedrigen Protokollen des Internets gebaut werden können. Tatsächlich liefern RTP, RTSP und RTCP komplementäre Funktionen und werden meistens zusammen als Teil von einigen der üblicheren Streaming-Implementationen verwendet. RTSP wird verwendet, um Streaming-Verbindungen zwischen einem Server und einem Client aufzubauen und zu verwalten, RTP wird verwendet, um aktuelle Multimedia-Daten zu übermitteln und RTCP stellt eine Zeitvorgabe und andere Steuersignale zwischen den Client und dem Streaming Server bereit. Oft wird ein RTP auf den UDP gesendet, ein low-overhead Protokoll, welches die Daten so schnell wie möglich übermittelt. aber nicht garantiert, dass jedes einzelne Datenstück (ein „Paket" in der Netzwerkterminologie) aktuell an seinem Bestimmungsort ankommen wird. RTCP-Pakete werden ineinander bzw. verschachtelt (interleaved) mit den Daten oder parallel mit dem RTP-Medien-Kanal über TCP gesendet.
Ein ernster Nachteil der Verwendung des Internets für die Verteilung von Streamingdaten ist, dass die notwendigen Daten oft durch Netzwerke und Systeme laufen, die nicht durch den Sender der Daten auf dem Weg zu dem Client gesteuert werden. Wenn die Daten einmal das geschützte Netzwerk des Senders verlassen haben, sind sie anfällig für Unterbrechungen. Das ist insbesondere bedenklich, wenn geschützte Daten, wie ein Spielfilm, über das Netzwerk übertragen werden, sei es das öffentliche Internet oder ein privates Internet von Dritten. Die Daten können potentiell unterbrochen werden und an irgendeinem Punkt kopiert werden, wenn sie über diese Netzwerke übertragen werden. Ohne irgendeinen Schutz der Daten vor Unterbrechung und nicht autorisierter Vervielfältigung wird das Internet nie die Sicherheit bieten, die es Copyright-Besitzern ermöglicht, ihre Arbeiten sicher über das Netzwerk zu verteilen.
Verschlüsselung ist ein Weg, um dieses Ergebnis zu erreichen. Verschlüsselung liefert einen Weg um Informationen derart zu verschlüsseln, dass nur der dafür vorgesehene Empfänger sie sehen kann. Während jeder die Daten erhalten kann, wird es nur dem legitimen Empfänger möglich sein, sie zu entschlüsseln, die originale Meldung oder Medieninhalt zu erhalten und anzuzeigen. Viele Verschlüsselungslösungen sind entwickelt worden, um diese Art von Sicherheit bereitzustellen. Zum Beispiel eine Software, die als VPN (Virtual Private Network) bezeichnet wird, erlaubt einer Gruppe von Computern, die mit dem Internet verbunden sind, sich so zu verhalten, als waren sie mit einem physikalisch sicherem lokalen Netwerk verbunden, unter der Verwendung von Verschlüsselung, um sicherzustellen, dass nur Computer auf dem VPN auf die privaten Netzwerkressourcen zugreifen können. Andere Verschlüsselungs-Anwendungen, um eine private Kommunikation über das Internet zu ermöglichen, schließen PDG (Preety Good Privacy), IPSec (EP Security) und SSL (Secure Sockets Layer) ein, sind aber nicht darauf begrenzt.
Organisationen, oftmals Unternehmen, aber nicht auf diese begrenzt, schützen ihre gesicherten Daten durch die Verwendung von Firewalls. Jedes Mal, wenn ein Unternehmen sein internes Computernetzwerk oder lokales Gebietsnetzwerk (LAN) mit dem Internet verbindet, sieht es sich ähnlichen Problemen mit einer Unterbrechung der privaten Daten gegenüber. Während Verschlüsselung verwendet wird, um sicher zu stellen, dass Daten, die durch das öffentliche Internet gesendet werden, nur dafür vorgesehenen Empfängern zugänglich sind, zielen Firewalls darauf ab, geschützte Informationen sicher auf einem LAN zu behalten, das mit dem Internet verbunden ist, um unautorisierten Benutzern den Zugriff auf Informationen über das öffentliche Internet zu verweigern, die auf einem internen Netzwerk gespeichert sind. Aufgrund der öffentlichen Natur des Internets ist jedes LAN, das mit ihm verbunden ist, anfällig auf Attacken von außen. Firewalls erlauben jedem auf dem geschützten LAN, auf das Internet so zuzugreifen, wie es die Firewall-Konfiguration ermöglicht, während Hacker im Internet davon abgehalten werden, Zugriff zu dem LAN zu erhalten und Informationen zu stehlen und/oder löschen oder anderweitig wertvolle Daten zu zerstören.
Firewalls sind Vorrichtungen für spezielle Zwecke, die auf Routern, Servern und spezialisierter Software aufgebaut werden. Eine der einfachsten Arten von Firewalls verwendet Paket-Filtern. Beim Paket-Filtern tastet jeder Router jedes Paket von Daten, das zwischen dem Internet und dem LAN fließt, durch Untersuchen der Kopfdatei ab. Jedes TCP/IP Paket hat eine Kopfdatei, die die IP-Adresse des Senders und auch des Empfängers als auch die Portnummer der Verbindung und andere Informationen enthält. Durch die Untersuchung der Kopfzeile und insbesondere der Portnummer, kann der Router mit einem ausreichenden Wert an Genauigkeit die Art des Internetdienstes bestimmen, für die jedes Paket verwendet wird. Jeder Internetdienst, einschließlich http (das Netz), FTP (File Transfer Protokoll), Telnet, rlogin und viele andere, hat eine Standard Portnummer, die üblicherweise für die meisten Zugriffe auf den Service verwendet wird. Während jede Portnummer für jeden Dienst verwendet werden kann, ist es bequemer für Benutzer, die Standart Portnummer zu verwenden und virtuell tun dies alle Internetdienste, die für den Zugang durch die Öffentlichkeit vorgesehen sind. Wenn ein Router einmal weiß, für welchen Client und welchen Dienst ein Paket vorgesehen ist, kann er einfach außerhalb den Zugriff auf Hosts und Dienste blockieren, welche ein öffentlicher Internetbenutzer nicht verwenden können soll. System Administratoren setzen die Regeln fest, um zu bestimmen, welche Pakete in dem Netzwerk erlaubt sein sollen und welche blockiert werden sollen.
Proxy Server werden üblicherweise in Verbindung mit Firewalls verwendet. Ein Proxy Server ist eine Software-Schnittstelle, die auf einem Computer läuft, der sowohl für das geschützte LAN als auch für das Internet zugreifbar ist. Jeder Zugriff auf das Internet von dem LAN muss durch den Proxy-Server gehen, wie auch jeder Zugriff auf das LAN von dem öffentlichen Internet. Wenn ein Computer auf dem LAN eine Internetressource wie eine Webseite anfordert, wird die Anforderung an den Proxy-Server gesendet. Der Proxy-Server macht dann die Anforderung an die Internetressource und leitet alle zurückgegebenen Daten an den originalen Anfrager auf dem LAN weiter. Da das Internet und das LAN sich nur an einem einzigen Punkt des Proxy-Servers berühren, der als Vermittler fungiert, schließt das Schützen des Netzwerks nur einen Computer ein, und nicht dutzende oder hunderte. Proxy-Server werden häufig durch Arbeitgeber verwendet, um zu steuern und zu überwachen, wie ihre Arbeitnehmer das Internet verwenden, und auch, um Eindringungsversuche von dem Internet zu verhindern.
NAT, der Begriff, der für Netzwerke verwendet wird, die Netzwerkadressen-Übersetzung verwenden, verkomplizieren auch die Übertragung von Internetdaten. In einem NAT wird ein privat adressiertes Netwerk getrennt von dem Internet durch einen NAT-Router aufgebaut. Dieser Router wiederum hat eine Adresse auf dem öffentlichen Internet. Durch Übersetzen der Adressen auf dem öffentlichen Netzwerk in Adressen, die in dem öffentlichen Internet erkennbar sind und umgekehrt, erleichtert der NAT Router die Internet Verbindbarkeit für die privaten Netzwerkmaschinen. NATs werden oft verwendet, wo begrenzte Anzahlen von öffentlichen Adressen im Vergleich zu der Anzahl von Benutzern (ein Benutzer kann ein NAT für mehrere Maschinen verwenden, die eine Kabelmodem-Verbindung teilen) verfügbar sind, oder in Verbindung mit Firewalls und/oder Proxies, um dem privaten Netzwerk eine Extra-Schicht an Sicherheit zu liefern.
Datenpakete können typischerweise in zwei Teile geteilt werden, die Dateikopf- und die Nutzdatenteile. Der Dateikopf ist der Bereich des Pakets, welcher Routing und andere Konfigurationsinformationen einschließt. Die Nutzdaten sind der Bereich des Datenpakets, der die Daten von Interesse ist, im beispielhaften Fall: Multimediainhalt. In einem Netzwerkpaket enthält der Dateikopf zum Beispiel Daten zur Verwendung durch Netzwerk-Router zur Übermittlung des Pakets zu seinem finalen Bestimmungsort sowie auch andere Daten über das Paket, wie Größe und Formatierungsinformationen. In einem beispielhaften RTP-Paket enthält der Dateikopf Kanalinformationen sowie auch andere Informationen, die von dem Spieler gebraucht werden, um die RTP (Medieninhalt) Nutzdaten zu leiten. Einige komplexe Pakete können mehrfache Dateiköpfe und diverse Nichtnutzdaten-Informationen enthalten und werden nachfolgend als Nicht-Nutzlast-Teil bezeichnet.
Viele aktuelle Verschlüsselungs-Verfahren, wie IPsec, verschlüsseln Daten viel zu willkürlich, wobei nicht nur die Nutzdaten, sondern auch Bereiche des Dateikopfes und Nicht-Nutzdaten-Teile verschlüsselt werden. Nur die Routing-Information bleibt unverschlüsselt, wodurch die Information, die für die Firewalls, Proxies und/oder Nats benötigt wird erhalten wird, um die verschlüsselten Pakete entsprechend weiterzuleiten, was das Paket stoppen wird, ehe es ein privates oder geschütztes Netzwerk durchqueren kann. Andere Lösungen stellen unzureichende Verschlüsselung bereit, um die Integrität der Daten über das öffentliche Netz sicher zu stellen. Einige Streaming-Medien Verschlüsselungs-Lösungen befassen sich mit dem Problem durch Platzieren des Verschlüsselungs-Systems auf einer Server-Maschine in Form von spezieller Software, die die Streaming-Medien verschlüsselt, bevor sie in Pakete zur Netzwerk-Übertragung konvertiert werden. Obwohl dies in Paketen resultiert, die oft erfolgreich durch Proxy-Server und Firewalls laufen können, ist diese Strategie begrenzend. Dies ist so, da diese Lösung eine Modifikation des Streaming-Servers und oft das Hinzufügen von zusätzlichen Streaming-Servern oder Verarbeitungs-Kapazität benötigt, um die steigende Arbeitslast zu handhaben, die die Verschlüsselung ausmacht. Die Lösung muss auch für jede unterstützte Streaming-Server-Plattform umgearbeitet werden.
US 5640456 offenbart eine Computer-Netzwerk-Verschlüsselungs/Entschlüsselungs-Vorrichtung, die selektiv nur den Datenanteil eines Datenpakets gemäß Informationen, die aus dem Dateikopf des Datenpakets extrahiert wurden, verschlüsselt oder entschlüsselt.
Kurze Zusammenfassung der Erfindung
Die vorliegende Erfindung möchte eine Vorrichtung und ein Verfahren bereitstellen, das nur den Nutzdaten (z. B. Medieninhalt) Anteil von Daten untersucht, garst und selektiv verschlüsselt, wobei ein Nicht-Nutzdaten-Anteil intakt bleibt, so das die Daten Firewalls, Proxies und NATs überwinden können, ohne dass die Firewalls, Proxies oder NATs modifiziert werden müssen, um den verschlüsselten Daten zu entsprechen. Die Erfindung kann sicherstellen, dass ein Anteil des Datenstroms, den Firewalls, Proxies und NATs benötigen, um die Daten sauber zu den beabsichtigten Empfangern (z. B. einen Client-Computer) zu übertragen, nicht verschlüsselt wird.
Gemäß der vorliegenden Erfindung, wird eine Vorrichtung bereitgestellt zum selektiven Verschlüsseln von Daten zur Übertragung über ein Netzwerk zwischen einem Server und einem Client, wobei die Vorrichtung umfasst: Mittel zum Parsen von Daten in einen Nutzdaten-Anteil und einen Nicht-Nutzdaten-Anteil; Mittel zum Verschlüsseln der Nutzdaten der Daten; und Mittel zum Verbinden des Nutzdaten-Anteils der Daten mit dem Nicht-Nutzdaten-Anteil der Daten, wobei das Mittel zum Verschlüsseln derart angeordnet ist, dass es einen vorher festgelegten Datentyp in dem Nutzdaten-Anteil erkennt, um festzustellen, ob der Nutzdaten-Anteil zu verschlüsseln ist und der Nicht-Nutzdaten-Anteil der Daten mehr als Routing-Information enthält. Entsprechende Verfahren zum selektiven Verschlüsseln und Entschlüsseln von Daten sind auch offenbart.
Falls das Mittel zum Verschlüsseln daher keinen Datentyp sehen kann, welchen es besonders erkennt, dann ignoriert es sie, aber falls das Mittel zum Verschlüsseln einen Datentyp sieht, welchen es erkennt (z. B. Multimediainhalt), dann verschlüsselt es selektiv nur den erkannten Anteil des Datenstroms.
Kurze Beschreibung der verschiedenen Ansichten der Zeichnungen
Die begleitenden Zeichnungen, die in der Beschreibung enthalten sind und einen Teil von dieser darstellen, stellen mindestens eine exemplarische Ausführungsform der Erfindung dar und erklären zusammen mit der Beschreibung verschiedene Vorteile und Prinzipien der Erfindung. In den Zeichnungen zeigen:
1 eine Darstellung eines beispielhaften Computersystems, auf dem eine Verschlüsselungsbrücke implementiert werden kann.
2 ein Flussdiagramm eines beispielhaften Verschlüsselungs-Prozesses.
3 ein Flussdiagramm eines beispielhaften Entschlüsselungs-Prozesses.
4 ein exemplarisches Diagramm eines Shims, der in einer Windows^TM Sockets Netzwerk-Architektur verwendet wird.
5 ein exemplarisches Diagramm eines Shims, welcher in einem Stream-basierten Netzwerk-Architektur verwendet wird.
Detaillierte Beschreibung der Erfindung
Die folgende detaillierte Beschreibung bezieht sich auf die begleitenden Zeichnungen, die eine exemplarische Ausführungsform der vorliegenden Erfindung darstellen. Weitere Ausführungsformen sind möglich und Modifikationen können an den exemplarischen Ausführungsformen vorgenommen werden, ohne von dem Geist und dem Gegenstand der Erfindung abzuweichen. Deshalb ist die folgende detaillierte Beschreibung nicht als Begrenzung der Erfindung gemeint. Vielmehr ist der Gegenstand der vorliegenden Erfindung durch die angefügten Ansprüche definiert.
1 zeigt eine Darstellung eines beispielhaften Computersystems 100, welches eine Verschlüsselungsbrücke (auch als „EB" bezeichnet) 110 der Erfindung einschließt, angeordnet zwischen dem Streaming-Server 120, der Medienströme (Nutzdaten) 170 bereit stellt, und einem Netzwerk von außerhalb, wie ein Internet 130, und einem Benutzer- oder Client-Computer 140. Die EB 110 arbeitet derart, dass wenn Daten durch die EB 110 gesendet werden, nur ausgewählte Anteile der Daten (z. B. Multimedia-Daten) verschlüsselt werden. Die EB 110 kann eingerichtet werden, so dass sie auch andere Daten verschlüsselt. Z. B. kann die EB 110 konfiguriert werden, Daten zu verschlüsseln/entschlüsseln, welche elektronische Bücher, mediale Aufzeichnungen oder Bilder, Finanz-Daten oder jegliche anderen Daten, die eine sichere Übertragung über ein Netzwerk benötigen, einschließen, aber nicht darauf beschränkt sind.
Die EB 110, die eine einzelne Maschine oder eine Ansammlung von Maschinen darstellen kann, ist zwischen Servern 120 und dem Internet 130 angeordnet. Jegliche entsprechenden Daten, die sich von den Servern 120 und dem Internet 130 über die EB 110 bewegen, müssen durch Verschlüsselung sicher gemacht werden; Verkehr zwischen der EB 110 und den Servern 120, muss jedoch nicht verschlüsselt werden, da er in einer „Sicherheitszone" ist, da er nicht dem außen liegenden Netzwerk ausgesetzt ist. Datenkanäle 150 können Steuerdaten, wie Pause, Abspielen und Zurückspulen oder Geschwindigkeitsmodulationsdaten für Streaming-Server 120, darstellen oder können für komplexere Datenformen oder Überwachung verwendet werden. Zusätzlich können die Datenkanäle 150 verwendet werden, um diese Überwachungsdaten anderen Maschinen auszuhändigen, wie E-Kommerz oder Qualitätsüberwachungs-Server für Dienste, die nicht auf den Stream-Verschlüsselungs-Prozess bezogen sind.
Die EB 110 leitet Daten an den Netzwerk-Client 140 weiter und stellt für die Dateneigentümer oder Inhaltslieferer (z. B. Yahoo, Inc., AOL, Inc., usw.) sicher, dass die Daten von ihren Streaming-Servern 120 sicher verschlüsselt werden, wenn sie das Internet 130 durchlaufen, und dass die Daten, wenn sie einmal auf der Client-Maschine 140 sind, schwierig zu kopieren sind. Sicherheit auf der Client-Maschine 140 kann durch mehrere Techniken erreicht werden, einschließlich, aber nicht begrenzt auf, Überprüfen und Verhindern von bekannten Piraten-Techniken und Überwachung der Client-Maschine 140 auf verdächtiges Verhalten. Die Streaming-Server 120 und die Clients 140 sind endgültige Quellen bzw. Bestimmungsorte von Datenströmen (z. B. Multimedieninhalt) 170 und Datenkanäle (z. B. Steuerdaten) 150, die über den EB 110 transportiert werden. Ein zusätzlicher Daten-Anwender (z. B. ein e-Kommerz-System, Qualitätsüberwachungssystem, usw.) 160 kann mit der EB 110 verbunden werden, was weiter unten beschrieben wird.
Der Streaming-Server 120 Betreiber (z. B. Inhaltseigner oder Dienstlieferanten für Inhaltseigner) sind die ersten Verbraucher des Systems, welche den Inhalt zur Übertragung liefern, der von dem Client 140 über ein Netzwerk, wie das Internet 130, angefordert wird. Zum Zwecke dieses Beispiels ist der Client 140 mit einer Medien-Wiedergabe-Software ausgestattet. Bei diesem Beispiel kann die Medien-Wiedergabe-Software die Apple Computer Quicktime^TM Player, Real Player^TM der Windows Media Player^TM oder jeder weiteren Software, die imstande ist, Multimedienstroms wiederzugeben, sein. Das Internet 130 ist ein öffentliches Netzwerk. Der Daten-Anwender 160 ist zum Beispiel ein e-Kommerz-System oder ein anderes außen liegendes Überwachungs- und Datensystem, das ein Verbraucher auswählen kann, um es in Konjunktion mit einer Streaming-Sicherheits-Lösung zu verwenden.
2 ist ein Flussdiagramm eines exemplarischen Verschlüsselungsprozesses der Erfindung zum Parsen oder selektiven Verschlüsseln von Daten, die über ein öffentliches Netzwerk zwischen einem Server und einem Client gesendet werden. Dieser Prozess umfasst Erkennen eines neuen Datenstroms, der an der EB 210 ankommt; Bestimmen, ob die Daten 220 zu verschlüsseln sind; Ignorieren und Vorbeilassen des Datenstroms, falls er nicht verschlüsselt werden muss 222; Bestimmen, ob ein Shim auf dem Client/Ziel 230 vorhanden ist; den Shim anwenden, wenn er noch nicht vorhanden ist 232; Feststellen, ob ein Verschlüsselungsschlüssel aktuell ist 240; Tauschen des/der Verschlüsselungsschlüssel mit dem Shim des Clients, falls der Schlüssel nicht aktuell war 242; Parsen von Daten in Nutzdaten und Nicht-Nutzdaten-Anteile 250; Verschlüsseln des Nutzdatenteils unter Verwendung des ausgetauschten Schlüssels 260; Weiterleiten der Daten, bestehend aus Nutzdaten- und Nicht-Nutzdaten-Anteilen über das Netzwerk 270; Ermitteln, ob die verarbeiteten Daten die letzten in dem Strom sind 280; Empfangen eines Feedback von dem Shim, wenn die Daten nicht der finale Anteil des Stroms sind 282; Bestimmen, ob der Client gefährdet ist 284 (z. B. gehackt wird oder die Daten, die Sicherheit benötigen, anderweitig einem Risiko ausgesetzt sind); Herunterfahren des Datenstroms, wenn der Client gefährdet ist 286; Wiederaufnahme des Parsens des aufgebauten Stroms, wenn der Client nicht gefährdet ist 288; und Beenden der Streaming-Sitzung, wenn die Daten die letzten in dem Strom waren 290.
Vorteile des EB-Systems schließen ein: die EB passt sich dem Streaming-Server des Verbrauchers mit minimalen Integrationskosten an; es besteht kein Bedarf das Serversystem zu modifizieren, damit die EB arbeitet; die EB ist sowohl für die Client-Software als auch für das Streaming-Server-System transparent, indem die Clientsoftware mit dem Server zu kommunizieren scheint, ohne eine unerwartete Vermittlung oder Server, die Daten zu Clients schicken, ohne Erfassen des anhaltenden Verschlüsselungsprozesses.
Zusätzlich stellt das EB-System Parsen und Verschlüsseln für eine Vielzahl von Datentypen und Ströme zur Verfügung, einschließlich, aber nicht begrenzt auf, Window Media^TM Format und RTP/RTSP unter Verwendung von TCP, TCP/UDP oder hup-Übertragung. Alle Nutzlast-Daten, die über diese Formate gesendet werden, sind verschlüsselt, wenn die Daten von dem Server durch die EB zu dem Client fließen.
Verschlüsselung wird auch durch einen Verschlüsselungsalgorithmus wie DES-X ausgebildet, eine Technik, die im Stand der Technik wohl bekannt ist, und andere Algorithmen können ausgetauscht werden, abhängig von dem Verbraucher und den anderen Bedürfnissen. Das Parsen und Verschlüsselung der Datenströme interferiert nicht mit dem Vermögen der Stroms, durch den Proxy-Server, Firewalls oder NATs zu fließen, die Pakete Parsen, um den Transport von Daten zu einem geschützten LAN zu vereinfachen. Dies ist ein wichtiges Merkmal der Erfindung, da die Anmelder keine Software kennen, die nach dem Inhalt auf einer selektiven Basis Parsen und nachfolgend auf genau dem Nutzdaten-Anteil der Daten agieren wie die vorliegende Erfindung. Außerdem ist äußere Authentifizierung nicht nötig, da die EB den Austausch von Verschlüsselungsschlüsseln direkt mit dem Client handhabt.
Zusätzlich ist die EB skalierbar, um das Hinzufügen von weiteren Verschlüsselungsmaschinen zu ermöglichen, wenn die Bandbreite steigt. Die Verschlüsselungsmaschinen sind skalierbar, um ein Hinzufügen von zusätzlichen Prozessoren und Netzwerk-Karten zu ermöglichen, um eine steigende Bandbreite zu handhaben. Dies ermöglicht dem System ein maximales Wachstum mit einer minimalen Steigerung der physikalischen Größe der EB.
Wenn mehrere Verschlüsselungsmaschinen der EB hinzugefügt werden, wird die Verschlüsselung zwischen diesen Verschlüsselungsmaschinen aufgeteilt, um den Durchsatz zu maximieren. Während sie online ist, kann die EB konfiguriert werden mit: Hinzufüge- oder Entfernungs-Verschlüsselungsmaschinen; Herunterfahren der EB; Verhindern, dass das System neue Ströme empfängt, und Ermöglichen, dass vorhandene Ströme herauslaufen; Lesestatus, um anzuzeigen, dass eine gegebene Verschlüsselungsmaschine nicht länger Ströme anbietet und sicher von dem System entfernt werden kann; und Daten über Streaming-Kapazität, Verwendung und Qualität der Daten, die über die EB übertragen werden erfasst.
Zusätzlich stellen die EB und Shim-Architektur austauschbare Kerne zum Ändern und Aufrechterhalten von Merkmalen wie dem Verschlüsselungsalgorithmus und der Sicherheitsüberwachung der Clientseite zur Verfügung. Ein austauschbarer Kern ist ein modularer Code, der Teilen des gesamten Programms ermöglicht, leicht ausgetauscht zu werden, ohne die verbleibende Funktionalität zu stören. Zum Beispiel ermöglicht die Erfindung der EB, mit einer Vielzahl von Algorithmen zu verschlüsseln, sodass, wenn ein neuer Datenstrom durch die EB aufgebaut wird, ein neuer Verschlüsselungskern zu dem Client gesendet werden könnte, um dem Nutzdatenteil zu ermöglichen, mit einem unterschiedlichen Algorithmus (z. B. Blowfish oder RSA^TM anstatt DES-X) verschlüsselt zu werden. Auf andere Weise dargestellt kann der Verschlüsselungsalgorithmus jederzeit geändert werden, da die Softwarearchitektur völlig austauschbar/auswechselbar ist. Obwohl aktuelle Standard-Protokolle verwendet werden, können sie, wie bei dem Schlüssel-Austauschsystem, jederzeit geändert werden, da diese Architektur auch anstauschbar/auswechselbar ist. Wie bei dem Sicherheitssystem der Clientseite (d. h. Hacker-Erfassung) kann dies auch jederzeit verändert werden, da die Architektur anstauschbar/auswechselbar ist. Jede Kernfunktionalität des Client-Shims ist über diese anstauschbare/auswechselbare Architektur implementiert.
Ein weiterer neuer Aspekt der Erfindung ist die „im Flug"-Verschlüsselung, die die Datenpakete, die über das Netzwerk übertragen werden, für jeden Computer nutzlos machen, der nicht der beabsichtigten Maschine entspricht. Dies wird transparent relativ zu dem Medien-Wiedergabe-Mechanismus (z. B. Medienpieler-Software) und Server getätigt und in Echtzeit getan. Die erstmalige Implementation der Erfindung benötigt DES-X, ein Geschwindigkeitsoptimierungs-Algorithmus, der im Stand der Technik wohlbekannt ist, obwohl dieser über eine austauschbare Kerne-Architektur, wie oben angeführt, gegen einen anderen Algorithmus ausgetauscht werden kann, der den RSA^TM-Algorithmus einschließen kann, aber nicht darauf begrenzt ist, oder den weithin bekannten Blowfish oder Two-Fish-Algorithmus.
Daher stellt die Erfindung eine Software-Brücke bereit, die Netzwerkdaten untersucht, die durchlaufen, Netzwerkdaten garst und nur den relevanten Nutzdatenteil verschlüsselt, den Nicht-Nutzdaten-Anteil belässt, der Daten wie Routing, Größe und weitere Dateikopfdaten enthalten kann, welcher den Nutzdaten-Teil umgibt, ohne ihn zu berühren. In anderen Worten, bestimmte Anteile der Daten werden verschlüsselt und andere Anteile der Daten werden nicht oder brauchen nicht verschlüsselt zu werden. Was die Systeme und Verfahren tun, ist das Netzwerk zu parsen und aktuell auf das Datenformat zu schauen und nur den Anteil der Daten zu verschlüsseln, der in dem beispielhaften Fall Multimedieninhalt enthält. Die Auswählbarkeit der zu verschlüsselnden Daten basiert auf dem Format der gesendeten Daten, die die EB erkennt und auf welche sie entsprechend antwortet. Die EB der Erfindung sitzt zwischen den Servern und Clients und verschlüsselt die Daten. Entschlüsselung findet auf dem Client unter Verwendung des Shims und austauschbarer Kerne statt, wie oben angemerkt. Auf diesem Weg werden die Daten, die auf dem Netzwerk abgefangen werden, verschlüsselt und können von dem Abfänger nicht verwendet werden. Die Daten können nicht vor der Verschlüsselung abgefangen werden, da die EB und der Server über eine sichere Netzwerk-Verbindung verbunden sind.
Wie oben aufgezeigt, kann der verschlüsselte Datenstrom der Erfindung durch einen Proxy-Server, Firewall oder NAT laufen, ohne dass diese Mechanismen modifiziert werden müssen, um den Datenstrom aufzunehmen. Ein Nutzen der Erfindung gegenüber aktuellen Verschlüsselungs-Lösungen ist das Vermögen, verschlüsselte Datenströme herzustellen, die den Proxy-Server, Firewalls und NATs durchqueren können. Dieses Vermögen, Daten herzustellen, die nicht-modifizierte Proxy-Server, Firewalls und NATs durchqueren können, ergibt sich aus dem Vermögen der Erfindung, selektiv Daten in Nutzdaten- und Nicht-Nutzdaten-Teile parsen zu können und nur die Nutzdaten-Anteile zu verschlüsseln, eine Ebene der Auswählbarkeit, die aktuelle Verschlüsselungs-Lösungen nicht bereitstellen können.
Für die Streaming-Server-Betreiber wird dies wesentlich, da viele Heim-, Büro- und andere Netzwerke von dem öffentliche Internet durch Firewalls, Proxy-Server und/oder NAT geschützt oder isoliert sind. Mit aktuellen Verschlüsselungs-Lösungen, die Daten weniger unterscheidbar verschlüsseln, ist es nicht möglich, die Daten über unmodifizierte Firewalls, Proxy-Server und NAT zu übermitteln.
Wenn ein Benutzer zum Beispiel Daten von einem Streaming-Server anfordert, ist dieser Datenstrom in Paketen organisiert, die spezifische Daten zum Identifizieren der Zielbenutzer aufweisen. Ohne sorgfältiges Parsen der Daten in Nutzdaten und Nicht-Nutzdaten-Anteile werden die benutzer-spezifischen Daten leicht während des Verschlüsselungsprozesses beschädigt oder durcheinander gebracht, was es für die Firewall, Proxy-Server oder NAT unmöglich macht, die Daten an den anfragenden Benutzer zu übertragen. Im Gegenteil hierzu trennt die vorliegende Erfindung genau den Nutzdaten- und Nicht-Nutzdaten-Anteil und verschlüsselt nur den Nutzdaten-Teil, sodass die Daten der Firewall, Proxy-Server oder NAT unverändert erscheinen, die nur den Nicht-Nutzdaten-Teil benötigen, um die Übertragung an den Benutzer, der den Datenstrom anfordert, zu bewirken.
Eine Firewall zum Beispiel bemerkt oder versucht nicht, den verschlüsselten Datenstrom zu blockieren, da die Transport-Protokolle nicht das Vorkommen des Nutzdaten-Anteils definieren, sondern nur das Vorkommen des Nicht-Nutzdaten-Teils. Die Firewall schaut nach dem Nicht-Nutzdaten-Teil einschließlich, aber nicht begrenzt auf, Größe, Routing und Dateikopfdaten. Wenn der Nicht-Nutzdaten-Teil der Daten den Datenstrom als eine Antwort auf eine Anforderung eines Verwenders identifiziert, dann bestimmt die Firewall, dass der Datenstrom nicht im Ursprung schadhaft ist und wird nicht verhindern, dass er durchgeht. – Wenn es der Firewall jedoch nicht möglich ist, den Nicht-Nutzdaten-Anteil zu parsen oder sie den Nicht-Nutzdaten-Anteil nicht erkennt, dann werden die Daten davon abgehalten, durchzulaufen.
Bei den bestehenden Verschlüsselungslösungen, bei welchen der gesamte Datenanteil von Paketen verschlüsselt ist sind spezielle Modifikationen in jeder Firewall, Proxy-Server oder NAT, die der Datenstrom möglicherweise durchlaufen wird, nötig. Das bedeutet, dass die Firewall, Proxy-Server oder NATs upgedated werden müssen, um die verschlüsselten Daten zu identifizieren. Die vorliegende Erfindung benötigt keine Modifikationen der Firewalls, Proxy-Server oder NATs, welche bereits angewendet werden, da sie selektiv die Datenpakete verschlüsselt, wobei die Anteile, welche wichtig für Firewalls, Proxy-Server oder NATs sind, unverändert belassen werden, so dass die Firewall, Proxy-Server oder NAT den Datenstrom zu dem beabsichtigen Ziel durchlaufen können.
Es gibt einige bestehende Verschlüsselungslösungen, die nur den Medienanteil des Datenstroms verschlüsseln, indem die Verschlüsselungssoftware auf dem Streaming-Server plaziert wird als ein Plug-In für eine Streaming-Server-Software, wobei eine starke Verarbeitungslast auf den Streaming-Server übertragen wird. Dies ist das Gegenteil des Nutzens der Erfindung, da die Erfindung mit mehreren Streaming-Servern verwendet werden kann, ohne dass eine Modifikation des Streaming-Servers nötig wäre und dass Verschlüsselung bereitgestellt wird, ohne die Verarbeitungsleistung des Streaming-Servers zu beeinträchtigen.
Ein weiteres Merkmal der Erfindung ist es, ein System bereitzustellen, welches unabhängig in Bezug auf das verwendete Medienformat ist. Das bedeutet, die Erfindung arbeitet eher auf Grundlage eines Datenprotokolls als eines Dateiformats. Multimedien-Streaming über Netzwerke wird über verschiedene Protokolle durchgeführt. Die Erfindung erfasst das Streaming-Protokoll und agiert eher auf den Daten als auf der benötigen speziellen Identifikation des Dateiformats, welches übertragen wird. Die Erfindung ist auch unabhängig in Bezug auf das Betriebssystem auf der Server-Maschine, da die Erfindung keinen direkten Zugriff auf die Server-Maschinen benötigt, die Erfindung benötigt lediglich, dass die Datenströme von dem Streaming-Server durch die EB laufen.
Die Erfindung stellt weiter ein Client-System bereit, welches auch Entschlüsselungs-Shim oder einfach Shim bezeichnet wird. welches ein Stück einer transparenten Software ist, welche heruntergeladen oder auf der Client-Maschine (z. B. Personal-Computer, Netzwerk-Anwendung oder andere netzwerktauglichen Vorrichtung) vorinstalliert ist, und verwendet wird, um eingehende Datenströme von der EB auf ihrem Weg zu der Medienplayer-Software zu entschlüsseln. 3 ist ein Flussdiagramm eines exemplarischen Entschlüsselungsprozesses der Entschlüsselungs-Shim-Software auf der Client-Maschine. Der Prozess umfasst Datenströme, wenn sie eingeleitet werden 310; Erfassen, ob die Daten ein verschlüsselter Strom ist 320; Ignorieren des Stroms, wenn er keine verschlüsselten Daten ist 322; Erfassen, ob der Verschlüsselungsschlüssel aktuell ist 330; Aushandeln eines Schlüssels mit einer Verschlüsselungsbrücke/quelle, wenn der Schlüssel nicht aktuell ist 340; Parsen der Daten in Nutzdaten- und Nicht-Nutzdaten-Anteile 350; Entschlüsseln nur des Nutzdaten-Anteils 360; Weitergeben der Daten in einen Betrieb auf höherer Ebene (z. B. den Medienspieler) 370; Erfassen ob die Daten der letzte Teil eines Stroms sind 380; Untersuchen der Betriebsumgebung auf Sicherheit 382; Erfassen, ob die Clientumgebung. beeinträchtigt (gehackt, usw.) ist 384; Herunterfahren des Datenstroms, falls der Client beeinträchtigt ist 385; und Beenden des Stroms, wenn die Daten der letzte Teil des Stroms waren 390.
Entschlüsselung wird durchgeführt durch Hinzufügen eines Entschlüsselungs-Shims 420 in einen Layered Service Provider 410 in einer Windows^TM Sockets Netzwerk Architektur, wie in 4 gezeigt, oder einem Stream-Plugin 510 in einer Stream-basierten Netzwerk-Architektur, wie in 5 gezeigt. 4 ist ein exemplarisches Diagramm einer Windows^TM Sockets Netzwerk Architektur. In der Windows^TM Netzworking Architektur ist ein Entschlüsselungs-Shim 420 der höchste Layered Service Provider (LSP), sodass ein zusätzlicher LSP nicht lediglich entschlüsselte Daten hinaus in eine unsichere Umgebung spulen kann. Dies kann auch auf weitere Socket-basierte Networking-Protokolle ausgedehnt werden. 5 ist ein exemplarisches Diagramm einer Stream-basierten Netzwerk- Architektur. Das Diagramm stellt die Plazierung des Shims der Erfindung 520 innerhalb einer Stream-basierten Architektur 510 dar, so wie es durch Verkörperungen von Mac OS^TM und in einigen Unix-Versionen eingesetzt wird.
Wenn ein Benutzer Daten anfordert, die durch die EB der Erfindung verschlüsselt sind, wird eine transparente Software über eine Active-X^TM-Steuerung installiert, ein wohl dokumentiertes Mittel, um ausführbare Programme an einen Windows^TM-Computer zu übermitteln. Die Installation des Entschlüsselungs-Shims ist transparent für den Benutzer und bewirkt keinen Rebnot, Neustart des Browsers des Benutzers oder benötigt Benutzer-Interaktion. Einige Ausnahmen sind das Mac OS^TM und Windows NT^TM oder Windows 2000^TM in sicheren Umgebungen oder Linux oder Unix-basierte Clientmaschinen, da eine transparente Installation administrative Benutzerprivilegien auf der Clientmaschine benötigt und das Vermögen der Clientmaschine, Programme über den Active-X^TM-Mechanismus zu empfangen.
Nachdem der letzte Strom vollendet wurde, deinstalliert der Entschlüsselungs-Shim so viel von sich selbst wie möglich, wobei nur eine kleine Schicht übrig bleibt, so dass administrative Benutzerprivilegien für weitere Entschlüsselungen nicht nötig sind. Der Entschlüsselungs-Shim ist in einem flüchtigen Speicher installiert, um die Möglichkeiten eines Eingreifens von Seiten Dritter zu reduzieren.
Nach der Installation entschlüsselt der Entschlüsselungs-Shim nur die Daten, die von der EB der Erfindung kommen, welche zu dem gerichteten Spieler gehen, wie Windows Media^TM Spieler, Quicktime^TM Movie Spieler, Real Player^TM, usw. Die Entschlüsselung beeinflusst keine Daten, die auf andere Anwendungen oder Medienströme gerichtet sind, die nicht durch die EB der Erfindung verschlüsselt sind.
Der Entschlüsselungs-Shim läuft z. B. auf Betriebssystemen wie Windows 95^TM, Windows 98^TM, Windows ME^TM, Windows NT^TM, Windows 2000^TM als auch auf Mac OS^TM und zahlreichen Linux und Unix Distributionen. Wo eine Active-X^TM-basierte Installation möglich ist, kann die Installation des Entschlüsselungs-Shims mit den meisten Browsern wie dem Internet Explorer^TM oder Netscape^TM ausgeführt werden.
In der Zusammenfassung fällt die EB der Erfindung zwischen den Server und Client und garst und verschlüsselt einen ausgewählten Anteil von gestreamten Daten, wie einen Medienanteil. Wenn der Strom eingeleitet wird, wird ein Entschlüsselungskern als Teil eines Stroms an die Clientseite gesendet. Der Client kann dann die hereinkommenden Daten für die Dauer des Stroms entschlüsseln. Wenn ein weiterer Strom eingeleitet wird, findet die Verschlüsselung auf dieselbe Weise statt. Für jeden Strom, kann der Verschlüsselungsschlüssel für die Dauer des Stroms gesendet werden oder während der Stromdauer geändert werden, um die Sicherheit zu erhöhen.
Als ein Beispiel kann ein Client Privilegien anfordern, um die Streamdaten von dem E-Kommerz-System des Dienstprovider zu erhalten. Die nachgestellte (Server-Infrastruktur) des Dienstprovider wird den Streaming-Server authorisieren, einen Strom einzuleiten. Dieser Strom wird durch die EB eingeleitet. Wenn er einmal eingeleitet ist, wird der Strom geparst und selektiv verschlüsselt durch die EB, bevor er durch das Netzwerk läuft. Verschlüsselungsschlüssel werden ausgetauscht, zum Beispiel durch den Diffy-Helman-Mechanismus, welcher in diesem Gebiet bekannt ist. Einzelne Merkmale der Erfindung schließen das Parsen und selektive Verschlüsseln nur des Nutzdaten-Teils des Datenstroms mit ein und das Vermögen, weitere Schlüsselaustausch-Mechanismen und Verschlüsselungs-Algorithmen anzuschließen, sollten Verbraucher oder Sicherheits-Bedürfnisse diktieren.
Es wird für den Fachmann klar sein, dass die Ausführungsformen wie oben beschrieben in vielen verschiedenen Ausführungsformen von Software, Firmware und Hardware in den Einheiten, wie sie in den Figuren dargestellt sind, implementiert werden können. Der aktuelle Software-Code oder spezialisierte Steuer-Hardware, die verwendet wird, um die vorliegende Erfindung zu implementieren ist nicht auf die vorliegende Erfindung begrenzt. Daher wurden der Betrieb und das Verhalten der Ausführungsformen beschrieben, ohne besondere Referenz auf den spezifischen Software-Code oder spezialisierte Hardwarekomponenten, wobei es klar ist, dass es einem Fachmann möglich sein sollte, eine Software und Steuer-Hardware zu gestalten, um die Ausführungsformen auf Grundlage dieser Beschreibung zu implementieren.

Claims

Vorrichtung (110) zum selektiven Verschlüsseln von Daten zur Übertragung über ein Netzwerk (130) zwischen einem Server (120) und einem Client (140), wobei die Vorrichtung umfasst: Mittel zum Parsen von Daten in einen Nutzlast-Anteil und einen Nicht-Nutzlast-Anteil; Mittel zum Verschlüsseln der Nutzlast der Daten; und Mittel zum Verbinden des Nutzlast-Anteils der Daten mit dem Nicht-Nutzlast-Anteil der Daten; dadurch gekennzeichnet, dass das Mittel zum Verschlüsseln derart angeordnet ist, dass es einen vorher festgelegten Datentyp in dem Nutzlast-Anteil erkennt, um festzustellen, ob der Nutzlast-Anteil zu verschlüsseln ist und der Nicht-Nutzlast-Anteil der Daten mehr als Routing-Information enthält.
Vorrichtung gemäß Anspruch 1, wobei die Daten Streaming-Daten umfassen, wie beispielsweise Multimedia-Daten.
Vorrichtung gemäß Anspruch 1 oder 2, wobei der Nicht-Nutzlast-Anteil der Daten zumindest Kopfdaten und/oder Steuerdaten umfasst.
Vorrichtung gemäß einem der vorhergehenden Ansprüche, weiterhin umfassend Mittel zum Senden der kombinierten Nutzlast- und Nicht-Nutzlast-Anteile der Daten über das Netzwerk (130) an den Client (140).
Vorrichtung gemäß einem der vorhergehenden Ansprüche, weiterhin umfassend Mittel zum Empfangen der Daten von dem Server (120), bevor die Daten über das Netzwerk (130) an den Client (140) übermittelt werden.
Vorrichtung gemäß einem der vorhergehenden Ansprüche, weiterhin umfassend Mittel zum Aufbauen eines Datenstroms zwischen dem Server (120) und dem Client (140).
Vorrichtung gemäß einem der vorhergehenden Ansprüche, weiterhin umfassend Mittel zum Aushandeln eines Verschlüsselungsschlüssels mit dem Client (140).
Vorrichtung gemäß Anspruch 7, wobei die Schlüssel-Aushandlung und der Schlüssel-Austausch während der Übermittlung des Stroms stattfinden.
Vorrichtung gemäß Anspruch 8, wobei die Verschlüsselung durch das Verschlüsselungsmittel für den Server (120) erkennbar ist.
Vorrichtung gemäß Anspruch 7, wobei das Mittel zum Aushandeln eines Verschlüsselungsschlüssels angeordnet ist, um festzustellen, ob ein bestehender Verschlüsselungsschlüssel aktuell ist.
Vorrichtung gemäß einem der vorhergehenden Ansprüche, weiterhin umfassend Mittel zum Entschlüsseln des Nutzlast-Anteils der Daten.
Vorrichtung gemäß einem der vorhergehenden Ansprüche, wobei das Mittel zum Parsen angeordnet ist, um die Daten in verschiedene Anteile basierend auf einem Media-Format zu parsen.
Vorrichtung gemäß einem der Ansprüche 1 bis 11, wobei das Mittel zum Parsen angeordnet ist, um die Daten in verschiedene Anteile basierend auf einem Datenprotokoll zu parsen, das zum Übermitteln eines Datenstroms verwendet wird.
Vorrichtung gemäß einem der vorhergehenden Ansprüche, wobei das Mittel zum Verschlüsseln angeordnet ist, um den Nutzlast-Anteil zu verschlüsseln, wenn der erkannte, vorher festgelegte Datentyp Media-Format aufweist.
Vorrichtung gemäß einem der vorhergehenden Ansprüche, wobei die Vorrichtung eine Anwendung umfasst, die einen steckbaren Trägerkörper umfasst, der einen Verschlüsselungs-Algorithmus zum Verschlüsseln des Nutzlast-Anteils der Daten kodiert, wobei es der steckbare Trägerkörper dem Verschlüsselungs-Algorithmus ermöglicht, leicht geändert zu werden.
Vorrichtung gemäß einem der Ansprüche 1 bis 14, wobei die Vorrichtung auf einer Entschlüsselungsbrücke implementiert ist.
Verfahren zum selektiven Verschlüsseln von Daten, die von einer Datenquelle erhalten wurden, wobei die Daten Nutzlast und Nicht-Nutzlast-Anteile umfassen, welche sich voneinander in zumindest einem Merkmal unterscheiden, wobei die erhaltenen Daten nachfolgend über ein Netzwerk an einen Client übertragen werden, wobei das Verfahren umfasst: Parsen der erhaltenen Daten in Anteile, umfassend die Nutzlast- und die Nicht-Nutzlast-Anteile; Erkennen eines vorher festgelegten Datentyps in dem Nutzlast-Anteil, um festzustellen, ob der Nutzlast-Anteil zu verschlüsseln ist, und, falls er zu verschlüsseln ist, Verschlüsseln des Nutzlast-Anteils der erhaltenen Daten; und Übertragen der erhaltenen Daten, einschließend den Nutzlast-Anteil und den Nicht-Nutzlast-Anteil der erhaltenen Daten, über ein Netzwerk an den Client.
Verfahren gemäß Anspruch 17, wobei die Datenquelle ein Server ist.
Verfahren gemäß Anspruch 17 oder 18, welche weiterhin das Ermitteln, ob ein Strom zwischen dem Server und dem Client aufgebaut wurde, umfasst.
Verfahren gemäß Anspruch 17 bis 19, welche weiterhin das Aushandeln eines Verschlüsselungsschlüssels mit dem Client umfasst.
Verfahren gemäß Anspruch 20, wobei die erhaltenen Daten von der Datenquelle Streaming-Daten sind, die während einer Streaming-Sitzung übertragen wurden, und das Aushandeln des Verschlüsselungsschlüssels während der Streaming-Sitzung ausgeführt wird.
Verfahren gemäß Anspruch 20, wobei die erhaltenen Daten von der Datenquelle Streaming-Daten sind, die während einer Streaming-Sitzung übertragen wurden, und das Verfahren weiterhin das Prüfen des Clients während der Streaming-Sitzung und das Beenden der Streaming-Sitzung umfasst, falls der Verschlüsselungsschlüssel auf dem Client ungültig ist.
Verfahren gemäß Anspruch 20, wobei der Verschlüsselungsschlüssel mit einem Entschlüsselungs-Shim auf dem Client ausgehandelt wird.
Verfahren gemäß einem der Ansprüche 17 bis 23, welches weiterhin das Ermitteln, ob die erhaltenen Daten Streaming-Daten sind, umfasst.
Verfahren gemäß Anspruch 24, welches das Parsen, Verschlüsseln und Übertragen der Daten umfasst, falls die Daten Streaming-Daten sind, und Übertragen der Daten, falls die Daten keine Streaming-Daten sind.
Verfahren gemäß einem der Ansprüche 17 bis 25, welches weiterhin das Ermitteln, ob ein Shim auf dem Client vorhanden ist, umfasst.
Verfahren gemäß Anspruch 26, welches weiterhin das Übertragen eines Shims an den Client umfasst, falls ermittelt wird, dass kein Shim auf dem Client vorhanden ist.
Verfahren gemäß einem der Ansprüche 17 bis 27, welches weiterhin das Ermitteln, ob ein Verschlüsselungsschlüssel auf dem Client aktuell ist, umfasst.
Verfahren gemäß einem der Ansprüche 17 bis 28, wobei der Nicht-Nutzlast-Anteil der Daten zumindest Kopfdaten, Steuerdaten oder Routing-Daten umfasst.
Verfahren gemäß einem der Ansprüche 17 bis 29, wobei die von der Datenquelle erhaltenen Daten für die Übertragung an den Client ein Datenpaket-Strom sind, wobei das Verfahren weiterhin das Ermitteln, ob ein Datenpaket das letzte Paket in einem Datenstrom ist, umfasst.
Verfahren gemäß Anspruch 30, welches weiterhin den Erhalt einer Rückmeldung von dem Verschlüsselungs-Shim auf dem Client umfasst, falls ermittelt wird, dass das Datenpaket nicht das letzte Paket in dem Datenstrom ist.
Verfahren gemäß einem der Ansprüche 17 bis 31, welches weiterhin das Ermitteln, ob der Client beeinträchtigt ist, umfasst.
Verfahren gemäß Anspruch 32, welches weiterhin das stetige Parsen, Verschlüsseln und Übertragen der Daten wie zuvor geschildert umfasst, falls ermittelt wird, dass der Client nicht beeinträchtigt ist.
Verfahren gemäß einem der Ansprüche 32 oder 33, welches weiterhin das Beenden des Übertragens an den Client umfasst, falls ermittelt wird, dass der Client beeinträchtigt ist.
Verfahren zum selektiven Entschlüsseln von Streaming-Daten an einen Client, wobei die Streaming-Daten Nutzlast- und Nicht-Nutzlast-Anteile umfassen, welche sich voneinander in zumindest einem Merkmal unterscheiden, wobei die Daten von einer Verschlüsselungsquelle über ein Netzwerk an den Client übertragen werden, wobei das Verfahren umfasst: Erhalten der über das Netzwerk übertragenen Daten; Parsen der Daten in Anteile, umfassend die Nutzlast- und die Nicht-Nutzlast-Anteile; Entschlüsseln des Nutzlast-Anteils der Daten, falls der Nutzlast-Anteil der Daten als ein Ergebnis des Erkennens eines zuvor festgelegten Datentyps in dem Nutzlast-Anteil verschlüsselt wird; und Weiterleiten des entschlüsselten Nutzlast-Anteils der Daten an eine höhere Ebene von Arbeitsprozessen zum Abspielen in dem Client.
Verfahren gemäß Anspruch 35, welches weiterhin das Ermitteln, ob die Daten ein unverschlüsselter Strom sind, umfasst, bevor die Daten in die Nutzlast- und Nicht-Nutzlast-Anteile geparst werden.
Verfahren gemäß Anspruch 36, welches weiterhin das Weiterleiten der Daten an die genannte höhere Ebene von Arbeitsprozessen ohne Parsen und Entschlüsseln umfasst, wenn ermittelt wird, dass die Daten ein unverschlüsselter Strom sind.
Verfahren gemäß Anspruch 35, welches weiterhin das Aushandeln eines Verschlüsselungsschlüssels mit einer Verschlüsselungsquelle umfasst.
Verfahren gemäß Anspruch 38, wobei die Streaming-Daten während einer Streaming-Sitzung von einer Verschlüsselungsquelle übertragen werden und der Entschlüsselungsschlüssel während der Streaming-Sitzung ausgehandelt wird.
Verfahren gemäß Anspruch 38, weiterhin das Beenden eines Stroms umfassend, falls der Entschlüsselungsschlüssel ungültig ist.
Verfahren gemäß einem der Ansprüche 35 bis 40, wobei die Daten von der Verschlüsselungsquelle über das Netzwerk als ein Datenpaket-Strom übermittelt werden, wobei das Verfahren weiterhin das Ermitteln, ob ein Datenpaket durch den Client als letztes Paket in einem Datenstrom erhalten wurde, umfasst.
Verfahren gemäß Anspruch 41, welches weiterhin das Übermitteln einer Rückmeldung an die Verschlüsselungsquelle umfasst, falls ermittelt wird, dass das Paket nicht das letzte Paket in dem Datenstrom ist.
Verfahren gemäß einem der Ansprüche 35 bis 42, welches weiterhin das Ermitteln, ob der Client beeinträchtigt ist, umfasst.
Verfahren gemäß Anspruch 43, welches weiterhin das stetige Parsen, Entschlüsseln und Weiterleiten von Daten, wie zuvor beschrieben, umfasst, falls ermittelt wird, dass der Client nicht beeinträchtigt ist.
Verfahren gemäß Anspruch 43 oder 44, welches weiterhin das Beenden einer Streaming-Sitzung umfasst, falls ermittelt wird, dass der Client beeinträchtigt ist.
Verfahren gemäß Anspruch 45, wobei das Beenden der Streaming-Sitzung das Stoppen der Datenübertragung über das Netzwerk umfasst.