密钥起始位置是在所述第一内容密钥起始位置之后的预定的内容密钥区间;使用所述第三重放位置确定所述一段内容内的第三推导的密钥起始位置，其中，所述第三推导的密钥起始位置在所述第三重放位置之前，所述第三推导的密钥起始位置是在所述第二推导的密钥起始位置之后的预定的推导的密钥区间，并且所述第三推导的密钥起始位置在所述第二内容密钥起始位置的预定的内容密钥区间内；确定与所述第一资产标识符和第二内容密钥起始位置相关联的第二内容密钥是否存储在存储器中；当所述第二内容密钥存储在存储器中时，使用所述第一资产标识符和所述第二内容密钥起始位置，从存储器中检索所述第二内容密钥；使用至少所述第二内容密钥和所述第三推导的密钥起始位置，生成第三推导的密钥；以及，响应于所述对第三推导的密钥的请求，发送所述第三推导的密钥。
[0022]在更进一步的实施例中，密钥推导应用还指示处理器:当所述第二内容密钥未存储在存储器中时，发送对第二内容密钥的请求，接收所述第二内容密钥，将所述第二内容密钥存储在存储器中，并且将所述第二内容密钥与所述第一资产标识符和所述第二内容密钥起始位置相关联，其中，该请求包括所述第一资产标识符和第二内容密钥起始位置。
[0023]在再一个实施例中，所述第一内容密钥起始位置指定使用利用所述第一内容密钥生成的至少一个推导的密钥加密的所述内容的一部分的起始位置，并且所述第一推导的密钥起始位置指定使用所述第一推导的密钥加密的所述内容的一部分的起始位置。
[0024]在进一步的额外的实施例中，所述密钥推导应用指示所述处理器使用至少所述第一内容密钥和所述第一重放位置来生成第一推导的密钥还包括所述密钥推导应用指示所述处理器使用至少所述第一内容密钥、所述第一重放位置以及向多个条件访问服务器颁发的许可证密钥来生成第一推导的密钥。
[0025]在再一个额外的实施例中，所述对第一推导的密钥的请求还包括所述内容的类型，并且所述密钥推导应用指示所述处理器使用至少所述第一内容密钥和所述第一重放位置来生成第一推导的密钥还包括所述密钥推导应用指示所述处理器使用至少所述第一内容密钥、所述第一重放位置以及所述内容的类型来生成第一推导的密钥。
[0026]在进一步的额外的实施例中，所述密钥推导应用指示所述处理器使用至少所述第一内容密钥和所述第一重放位置来生成第一推导的密钥还包括所述密钥推导应用指示所述处理器使用至少所述第一内容密钥、所述第一重放位置以及推导的密钥到期时间来生成第一推导的密钥。
[0027]在另一个额外的实施例中，所述密钥推导应用指示所述处理器使用至少所述第一内容密钥和所述第一重放位置来生成第一推导的密钥还包括所述密钥推导应用指示所述处理器使用至少所述第一内容密钥、所述第一重放位置以及资产标识符来生成第一推导的密钥。
[0028]在再一个实施例中，密钥推导应用还指示处理器接收标识要在生成所述第一推导的密钥中使用的所述算法的推导算法标识符。
【附图说明】
[0029]图1概念地示出了根据本发明的实施例的分布式或分层条件访问(CA)系统，包括跨多个CA服务器的同步的密钥生成。
[0030]图1A概念地示出了根据本发明的实施例的分布式CA系统，包括用于同步的密钥分发的两层CA服务器。
[0031]图2示出了根据本发明的实施例的被配置成生成推导的密钥的计算设备。
[0032]图3是示出了根据本发明的实施例的用于生成推导的密钥的过程的流程图。
[0033]图4是概念地示出了根据本发明的实施例的用于生成推导的密钥的确定性过程的框图。
[0034]图5概念地示出了根据本发明的实施例的正在进行的使用内容密钥的序列来生成推导的密钥，每个内容密钥对于预定的重放区间有效。
[0035]图5A概念地示出了根据本发明的实施例的一段内容内的一系列内容密钥起始位置和推导的密钥起始位置。
[0036]图6概念地示出了根据本发明的实施例的另一个条件访问(CA)系统，包括跨多个CA服务器和重放设备的同步的密钥生成。
[0037]图7是示出了用于由流式传输服务器生成推导的密钥并且使用推导的密钥来加密内容的过程的流程图。
[0038]图8是示出了由流式传输服务器从密钥管理CA服务器请求推导的密钥并且使用推导的密钥来加密内容的过程的流程图。
[0039]图9是示出了由重放设备从CA服务器请求推导的密钥并使用推导的密钥来解密内容的过程的流程图。
【具体实施方式】
[0040]现在转向附图，示出了根据本发明的实施例的用于跨多个条件访问(CA)服务器的同步的密钥生成的系统和方法。在传统的CA系统中，由CA系统生成的密钥可以存储在数据库中。随着使更多的内容可用，数据库增长。实况流式传输内容的提供可能特别有问题，因为可能需要频繁地向数据库添加新密钥。在许多情况下，使用由加利福尼亚州库佩蒂诺市的苹果公司开发的HTTP实况流式传输(HLS)系统提供的实况流涉及大约每几分钟(或者甚至几秒)改变用于访问流式传输的内容的密钥。类似地，MPEG-DASH允许频繁的密钥改变(也叫做“密钥轮换”)。这和利用与内容在带内递送的ECM的传统的CA系统形成对比。传统的CA系统通常是集中的，无需频繁地向其他位置(诸如区域性的头端)分发密钥。在其他实施例中，添加这样的密钥会导致包含密钥的数据库的大小随着时间变得庞大。随着数据库增长，CA服务器查询数据库所耗费的时间将通常随着时间而增加。此外，重放设备可以从多个CA服务器请求访问实况流式传输内容的密钥。因此，当在密钥正在被生成时所有服务器都正在试图从数据库获得密钥的副本时，密钥数据库会变为单竞争点。此单竞争点会导致负载平衡可缩放性被限制。始终使所有CA服务器同步也成为问题。此外，当设备的总数或内容量增长时，密钥管理流量会显著地增加。
[0041]根据本发明的实施例的系统和方法可以涉及使用同步的密钥推导以使CA服务器能够以密码安全方式确定性地推导密钥。代替为每一段内容(不管内容类型如何)生成大量的密钥，可以为特定段内容生成较小数量的内容密钥，并且将其放置在密钥管理数据库中。然后，内容密钥可以用来播种确定性过程，该确定性过程可以基于描述特定段内容的多段信息生成多个推导的密钥，所述多段信息可包括(但不限于)下列各项的任意组合:请求的内容、请求的内容的类型(例如，VOD或DTV/实况流)、许可证密钥和/或请求的一段内容内的重放位置。在许多实施例中，CA系统还可以在生成推导的密钥中使用推导的密钥到期时间。在多个实施例中，创建许可证密钥，该许可证密钥被提供给一个或多个CA服务器，以便控制哪些CA服务器被允许执行密钥推导功能。一些CA服务器可以比其他CA服务器得到对更多内容的访问，例如，当不同的区域性的头端只对所有可用的内容的子集具有权限时;或者如果这是托管的CA系统，其中每个CA服务器都代表本地服务操作者。以这种方式，许可证密钥可以被视为分发到在生成推导的密钥中被允许使用许可证密钥的CA服务器的“组”的“组”密钥。根据本发明的实施例，内容密钥和许可证密钥两者都可以在生成推导的密钥中使用。在多个实施例中，许可证密钥只以与通过其分发内容密钥的通信路径分离的带外方式被提供到CA服务器。例如，可以在诸如USB记忆棒之类的外部驱动器上提供许可证密钥，或通过诸如利用PGP(完美隐私)的电子邮件之类的加密的电子邮件来提供许可证密钥。以这种方式，可以防止联络密钥管理服务器以获得内容密钥的恶意或未经授权的设备或服务器生成推导的密钥，因为它不能获得许可证密钥。
[0042]推导的密钥的确定性的本质是使得可以反复地生成推导的密钥，只要生成过程可以访问相同信息。因此，可以构建其中密钥管理CA服务器维护密钥管理数据库、并且多个CA服务器对来自重放设备的密钥请求进行响应的CA系统。以这种方式建造CA系统使得能够在负载平衡配置中使用多个CA服务器，和/或使得能够构建其中密钥管理服务器充当批发CA服务器而一个或多个CA服务器充当零售CA服务器的批发/零售CA系统。在多个实施例中，批发CA服务器负责控制对可以经由不同的零售OTT服务访问的一组内容的访问。在许多情况下，不同的零售OTT服务有权访问经由批发CA服务器可用的全部内容的不同的子集。因此，批发CA服务器可以验证为一段内容请求内容密钥的零售CA服务器具有分发标识的内容的权限。在许多实施例中，批发CA服务器(密钥管理CA服务器)加密所有内容，并且将密钥的子集提供给授权/赋权属于它的最终用户设备的子集的零售CA服务器。在其他实施例中，批发CA服务器将内容或推导的密钥提供给流式传输服务器，并且流式传输服务器使用推导的密钥来加密内容。在进一步的实施例中，批发CA服务器加密一些内容，而流式传输服务器加密一些内容。
[0043 ]当重放设备向零售CA服务器作出密钥请求时，零售CA服务器可以从批发服务器请求适当的内容密钥，并且然后使用包括关于请求的内容内的重放位置的信息的信息来确定性地生成推导的密钥以提供给重放设备。然后，零售CA服务器可以安全地存储内容密钥，避免需要从批发CA服务器和/或密钥管理数据库请求密钥。
[0044]在许多实施例中，在重放期间可以在位置区间上改变内容密钥。改变内容密钥有效地改变密钥推导算法输入，导致旧的推导输入无效。使用预定的区间使得所有CA服务器能够知道在确切的什么情况下开始使用新生成的内容密钥来开始密钥推导。周期性地迫使零售CA服务器从批发CA服务器请求新的内容密钥，通过使旧的内容密钥到期来提供拒绝向内容赋权的机制。通过配置零售CA服务器请求新的内容密钥，可以在新的内容密钥请求时强加内容访问赋权。在许多实施例中，在请求新的内容密钥时，零售CA服务器可以被拒绝给予内容密钥，并且因此不能通过生成推导的密钥来提供对内容的访问。零售CA服务器也可以被配置成在特定时间段内删除内容密钥，迫使零售CA服务器在需要时再次请求内容密钥，作为用于强加零售赋权的另一种机制。
[0045]下面进一步描述根据本发明的实施例的包括同步的密钥生成的CA系统以及用于执行同步的密钥生成的过程。
[0046]包括同步的密钥生成的CA系统
[0047]根据本发明的许多实施例的CA系统涉及可以向接收到来自重放设备的密钥请求的一个或多个CA服务器供应密钥的密钥管理CA服务器。在许多实施例中，使用资产标识符(ID)来引用一段内容，并且由密钥管理CA服务器生成与密钥管理数据库中的资产ID相关联的至少一个内容密钥。密钥管理CA服务器可以使用包括内容密钥的信息来确定性地生成可以在内容的加密中利用的推导的密钥。当由重放设备请求内容时，CA服务器可以从密钥管理CA服务器获得内容密钥，并且然后使用相同的确定