性过程来生成推导的密钥，该推导的密钥可以被提供给重放设备以促进经加密的内容的重放。
[0048]图1中示出了根据本发明的实施例的包括跨多个CA服务器的同步的密钥生成的CA系统。CA系统10包括多个重放设备12，所述重放设备12可以从流式传输服务器系统14请求内容的流式传输(注意，由于可缩放性原因，可以有多个流式传输服务器)。在许多实施例中，流式传输服务器系统使用由CA系统提供的一个或多个推导的密钥在分发之前加密内容。在其他实施例中，流式传输服务器系统可以使用一个或多个内容密钥来生成一个或多个推导的密钥，并且使用推导的密钥来加密内容。它可以是按需内容的预先加密或实况内容的实时加密。如上所述，密钥管理CA服务器16可以生成至少一个内容密钥，并且可以使用内容密钥来生成推导的密钥，该推导的密钥被提供给流式传输服务器系统14，以在内容的加密中使用。在多个实施例中，密钥管理CA服务器16将至少一个内容密钥提供给流式传输服务器系统，并且流式传输服务器系统可以生成推导的密钥，以利用该推导的密钥来加密内容。在更进一步的实施例中，密钥管理CA服务器16生成推导的密钥，并且使用推导的密钥来加密内容。至少一个内容密钥可以与由密钥管理CA服务器16维护的密钥管理数据库17内的内容的标识符(资产ID)相关联。
[0049]当重放设备12从流式传输服务器系统14请求内容时，重放设备从CA服务器18请求密钥，以使得能够重放从流式传输服务器系统接收到的经加密的内容。响应于密钥请求，CA服务器18从密钥管理CA服务器16请求内容密钥。密钥管理CA服务器16可以查询密钥管理数据库17，以检索适当的内容密钥。在本发明的多个实施例中，利用使用不同的内容密钥生成的推导的密钥来加密一段内容的不同的部分。CA服务器18可以将标识一段内容的资产标识符并且可选地将该段内容内的重放位置、该段内容内的内容密钥起始位置、或其他内容密钥标识符提供给密钥管理CA服务器16，以标识要检索的正确的内容密钥。
[0050]可以按各种方式(包括但不限于从内容文件的开始的字节偏移、自从该段内容的开始的秒数、或绝对时间(例如，对于实况实时内容))来定义重放位置。本领域技术人员将认识到，用于定义一段内容或包含一段内容的文件(或文件组)内的位置的替代的度量可以用于本发明的实施例，包括本领域中已知的其它度量。
[0051]可以在适合于具体应用的各种准则中的任意一种下确定内容密钥区间，诸如但不限于，内容密钥有效和/或被流式传输服务器或密钥管理CA服务器在生成用于内容的加密的推导的密钥中使用的时间段。在一些实施例中，可以在一段内容的重放持续时间的环境内定义内容密钥区间(例如，从该段内容的开始到内容的呈现达300秒，从该段内容开始300秒到从该段内容开始600秒)ο在其他实施例中，可以实时地定义内容密钥区间(例如，2014年10月31日12AM到2014年11月I日12AM，UTC)。在许多实施例中，一段内容内的每个内容密钥区间的开始可被称为内容密钥起始位置。类似于重放位置，可以按各种方式(包括但不限于与内容文件的开始处的字节偏移，自从该段内容的开始的秒数、或绝对时间(例如，对于实况实时内容))来定义内容密钥起始位置。
[0052]将内容密钥提供给CA服务器18，并且CA服务器可以开始生成推导的密钥，该推导的密钥被提供给重放设备12，以使得能够重放正在由流式传输服务器系统14流式传输的经加密的内容。
[0053]在多个实施例中，作出密钥请求的重放设备12标识内容、内容的类型以及内容内的重放位置。代替从密钥管理数据库17检索正在被请求的密钥，可以由CA服务器18与由CA服务器从密钥管理CA服务器检索的内容密钥一起，使用包括(但不限于)由重放设备提供的信息的信息来生成推导的密钥。在进一步的实施例中，CA服务器只需要从密钥管理CA服务器接收一次特定内容密钥，并且可以存储内容密钥，用于随后在响应来自重放设备的对于从相同内容密钥生成的推导的密钥的任意数量的请求中使用。
[0054]在许多实施例中，也向每个CA服务器分配许可证密钥。在其他实施例中，CA服务器维护许可证密钥(其对于特定段内容可能不是唯一的)的副本。
[0055]在根据本发明的实施例的CA系统中利用的重放设备可以是可以被用来在IPTV系统上重放内容的任意类型的消费电子设备，包括(但不限于)个人计算机、平板计算机、移动电话、连接因特网的电视机、连接因特网的光盘播放器、平板、游戏控制台和机顶盒。
[0056]在本发明的多个实施例中，CA服务器可以被配置在两层或更多层中，以扩展负载平衡能力，以使第一层中直接与密钥管理CA服务器通信的一个或多个CA服务器可以向第二层中的其他CA服务器分发内容密钥(对于额外的层，依此类推)。图1A中示出了根据本发明的实施例的CA系统，包括用于同步的密钥分发的两层CA服务器。在所示的实施例中，重放设备12’可以从第二层的CA服务器18’请求推导的密钥。第二层CA服务器18’可以从第一层CA服务器19’请求内容密钥。第一层CA服务器19’可以从密钥管理CA服务器16’请求内容密钥。对推导的密钥的请求可以类似于图1中示出的由重放设备作出的对推导的密钥的请求，并且对内容密钥的请求可以类似于由图1中的CA服务器作出的对内容密钥的请求。CA服务器18’和19’请求内容密钥的密钥区间可以相同或可以不同。虽然在图1A中示出了具体数量的服务器，但是本领域技术人员将认识到，根据本发明的实施例，可以利用任意数量的服务器和服务器层数来分发密钥请求，并在适合于具体应用的CA系统中同步密钥生成。
[0057]密钥管理CA服务器系统16和与密钥管理CA服务器系统通信的CA系统18两者都可被实现为传统服务器计算硬件上的服务器应用。图2中示出了根据本发明的实施例的可以被用来实现密钥管理CA服务器、CA服务器或被配置成生成推导的密钥的重放设备的计算设备。计算系统20包括处理器22、网络接口 24以及存储器26。存储器可包括各种数据和应用，包括(但不限于)密钥推导应用28。在多个实施例中，计算机系统获得许可证密钥30和内容密钥32，并且将它们存储在存储器26中。许可证密钥30和内容密钥32可以与其他信息结合地利用，以生成一个或多个推导的密钥34XA服务器通常被维护在安全位置中和/或它可以利用安全服务器硬件，包括加密的储存器、受保护的RAM、混乱的代码以及其他保护。它也可以利用安全登录和访问控制、多因素认证、智能卡、安全令牌ID和/或适合于根据本发明的实施例的具体应用的要求的任何其他安全技术。
[0058]在各种实施例中，存储器26包括电路，诸如但不限于被配置成存储指令的使用晶体管构建的存储器单元。类似地，处理器22可包括由晶体管(或任何其他器件)形成的被配置成基于存储在存储器中的指令动态地执行动作的逻辑门。在多个实施例中，指令包含在处理器内的逻辑门的配置中以实现和/或执行由指令描述的动作。以这种方式，可以利用通用计算硬件和专用的设备两者来执行此处描述的系统和方法。
[0059]虽然上文参考图1、图1A和图2描述了根据本发明的实施例的涉及同步的密钥生成的CA系统的具体架构，但是也可以利用各种架构中的任意一种，包括将数据或应用存储在盘上或一些其他形式的储存器中、并在运行时加载到易失性存储器中的那些架构，和/或跨多个物理服务器分发的系统。下面进一步讨论根据本发明的实施例的用于推导的密钥生成的方法。也可以利用专门的Hff来推导密钥。
[0060]推导的密钥生成
[0061]在重放期间，由CA服务器响应于来自重放设备的对密钥的请求生成推导的密钥。图3中示出了根据本发明的实施例的用于生成推导的密钥的过程。当重放设备12从CA服务器18请求(42)推导的密钥时，过程40开始。在多个实施例中，作出密钥请求的重放设备12标识内容，可选地标识内容的类型、内容内的重放位置和/或关于内容或密钥的其他信息，如上文进一步地讨论的。CA服务器18可以使用由重放设备在密钥请求中提供的信息来生成推导的密钥。注意，密钥管理CA服务器16也可以执行相同的密钥推导，以便将密钥提供给流式传输服务器(加密器)14。
[0062]在所示实施例中，由CA服务器18用来生成推导的密钥的过程包括从自重放设备12接收到的密钥请求中检索(44)资产ID、重放位置，以及可选地检索内容类型信息。可以利用资产ID并且可选地利用重放位置在存储器中查找(46)内容密钥32。在多个实施例中，特定内容密钥与内容密钥区间(使用利用内容密钥生成的推导的密钥加密的内容的一部分)和指定该段内容内的内容密钥区间的开始的位置的内容密钥起始位置相关联。在这样的实施例中，可以使用重放位置来标识将指示重放位置在该内容密钥区间内的最近的先前内容密钥起始位置。然后，可以使用所标识的内容密钥起始位置来查找内容密钥或可以被用来查找内容密钥的其他密钥标识符。
[0063]在内容密钥32未存储在CA服务器18的存储器中的情况下，那么CA服务器可以使用资产ID(并且可选地使用重放位置、内容密钥起始位置或其他密钥标识符)来从密钥管理CA服务器请求内容密钥32。可以与额外的信息结合地利用内容密钥32来生成(48)推导的密钥34。然后，CA服务器18在被提供给作出密钥请求的重放设备的密钥响应(52)中输出(50)推导的密钥34。在多个实施例中，CA服务器可以将推导的密钥34存储在存储器中，以便它可以响应于来自重放设备的未来的密钥请求而发送推导的密钥。在其他实施例中，CA服务器在响应于密钥请求发送推导的密钥34之后将它从存储器中删除，并且每当它接收到密钥请求时生成推导的密钥34。
[0064]虽然上文参考图3描述了用于使用内容密钥响应于密钥请求向重放设备提供推导的密钥的具体过程，但是可以利用各种过程中的任意一种来使用根据本发明的实施例的密钥推导过程将密钥提供给重放设备。下面进一步描述根据本发明的实施例可以用来生成推导的密钥的具体多段信息。
[0065]如上所述，在密钥请求中由重放设备提供的信息可以与内容密钥结合地利用，以生成可以被重放设备用来解密经由IPTV系统接收到的内容的推导的密钥。被用来生成推导的密钥的具体多段信息通常取决于具体应用的要求。图4中概念地示出了根据本发明的实施例的用于生成推导的密钥的确定性过程。在所示实施例中，使用确定性(单向)过程来生成推导的密钥，该确定性(单向)过程以内容密钥、资产ID、描述内容的元数据(例如，由资产ID所标识的该段内容的内容类型、内容的分辨率、内容流的比特率)、诸如许可证密钥之类的许多CA服务器共有的密码密钥、重放位置以及到期时间作为输入。描述内容类型的元数据也可以指示所标识的内容的递送格式，诸如但不限于视频点播