專利名稱：：簽名和認證設備及方法和相應的產(chǎn)品的制作方法
技術領域：
：本發(fā)明涉及簽名(signing)和認證(authentication)設備及方法和相關產(chǎn)品，特別用于DVB(數(shù)字視頻廣播)/MPEG(運動圖像專家組)數(shù)字流，尤其針對MHP(多媒體家庭平臺)標準。
背景技術：
：因此，其特別涉及數(shù)字電視領域。數(shù)字電視環(huán)境包括對不同種類數(shù)據(jù)的廣播或流式傳輸(streaming)，例如，不同種類的數(shù)據(jù)包括視聽內(nèi)容(典型為MPEG音頻/視頻)、互動內(nèi)容、觸發(fā)、節(jié)目專用信息(與所發(fā)送的節(jié)目有關的專用信息，簡寫為“PSI”)、服務信息(使接收器能夠自動配置、使用戶能夠通過EPG-電子節(jié)目指南對服務進行瀏覽的補充信息，簡寫為“SI”)、專用數(shù)據(jù)、信令等。通常，將與內(nèi)容(即PSI、SI和一些專用數(shù)據(jù))的源、宿和結構有關的信息整合在信令中。這些數(shù)據(jù)通常通過MPEG-2傳送流進行傳送，所述MPEG-2傳送流由在PES(分組單元流)中傳送的視聽流和在MPEG-2部分中傳送的其他信息(信令、PSI、SI、互動內(nèi)容…)構成。一些數(shù)字廣播網(wǎng)絡和寬帶網(wǎng)絡或多或少地容易受到電子欺騙的攻擊。具有良好技術裝備的盜版者可以在網(wǎng)絡中解譯數(shù)據(jù)、對其進行修改并重新廣播(或重新流式傳輸)這些數(shù)據(jù)。陸地和微波廣播網(wǎng)絡比衛(wèi)星或有線網(wǎng)絡更容易受到攻擊。因此，問題在于確保MPEG-2網(wǎng)絡上的數(shù)字數(shù)據(jù)傳輸?shù)陌踩浴Ｊ聦嵣?，如視聽?nèi)容、PSI和PI等所列出的一些數(shù)據(jù)項是純廣播內(nèi)容，所以對其的盜版會引起用戶的煩惱，但至少不會對其有錢財影響。但是，具有返回信道的交互終端可以運行t-commerce(電視商務)或家庭銀行應用程序。對這種應用程序的電子欺騙不僅會令用戶非常憤怒，而且可能會耗費其大量金錢。如DVB多媒體家庭平臺等互動系統(tǒng)規(guī)定了如何認證廣播應用程序，并且其規(guī)定了如何保護通過返回信道傳送的數(shù)據(jù)內(nèi)容。但是，欺騙操作仍然是可能的，因為可以通過適當?shù)姆绞礁淖冃帕?，從而取消、替換或添加內(nèi)容，而不會有任何明顯的區(qū)別。于是，不僅試圖提供對內(nèi)容的認證，還試圖提供對信令本身的認證，例如，特別是針對根據(jù)ATVEF(表示高級電視增強論壇)標準而構建的流。但是，這種方法引起了針對DVB數(shù)字流的特殊問題，因為通常在網(wǎng)絡頭端(head-end)中對流進行重新復用。因此，由于網(wǎng)絡要求，PID(分組標識符)甚或如PMT(表示節(jié)目映射表，每個節(jié)目一個表格，除與該節(jié)目有關的專用信息之外，可能指示構成該節(jié)目的PES的PID)等表格的內(nèi)容存在被修改的危險。這將意味著再次計算所有散列碼和簽名，其涉及將專用密鑰賦予每個復用器以計算適當?shù)暮灻，F(xiàn)在，用于向每個復用器提供已驗證密鑰對的成本將是巨大的。開發(fā)這種信令認證策略的技術人員已經(jīng)發(fā)現(xiàn)了這種情況。
發(fā)明內(nèi)容本發(fā)明涉及一種設備，用于對要通過通信網(wǎng)絡進行傳輸?shù)臄?shù)字流進行簽名，適用于DVB數(shù)字流認證，尤其針對MHP應用程序，并使得通信更加安全。還涉及一種對應的方法、以及一種設備和一種相關解碼器和一種用于對通過通信網(wǎng)絡接收到的數(shù)字流進行認證的方法，以及對應的軟件和數(shù)字流。因此，本發(fā)明應用于一種設備，通過產(chǎn)生通過應用于數(shù)字流的加密而獲得的、要并入所述數(shù)字流中的至少一個簽名，對要通過通信網(wǎng)絡傳輸?shù)臄?shù)字流進行簽名。這些數(shù)字流中的每一個均包括幾個信息實體，這些實體包括-內(nèi)容，至少與視聽信息相關；-以及至少一個信令，由與所述內(nèi)容的源、宿和結構相關的信息集合構成，所述信令包含被稱為描述符的必要數(shù)據(jù)結構，并主要通過被稱為表格的已排列編組構建。根據(jù)本發(fā)明，所述簽名設備用于將加密至少應用于所述信令，更具體地，應用于所述信令的描述符中有選擇確定的描述符，被稱為認證描述符。所以，與如果信令已經(jīng)被簽名將采用的自然解決方案，即對整個部分(信令的子表格，具有有限大小)應用認證處理相反，選擇信令的特定描述符，以進行認證。這種令人驚訝的解決方案的直接優(yōu)點在于，對于簽名，能夠選擇重新復用步驟并未觸及的描述符。因此，可以非常有效地實現(xiàn)防止惡意修改的保護，同時避免由于網(wǎng)絡頭端中的重新復用而給認證處理帶來的巨大復雜性。此外，在重新復用設備中，甚至在針對簽名，決定保留在重新復用期間將被修改的一些描述符時，與不得不再次對整個部分進行簽名以產(chǎn)生考慮到修改后的描述符的已更新簽名相比，更為輕便和快捷。實際上，利用對已修改描述符的明智選擇，在發(fā)射級獲得的大多數(shù)信息都能夠得到保留，特別是按照由散列得到的未改變摘要值的形式，而只是針對簽名，必須重新計算簽名信息的一小部分?！耙暵犘畔ⅰ北硎疽纛l和/或視頻信息。優(yōu)選地，根據(jù)DVB和MPEG標準，更具體地根據(jù)MHP標準，構建所述數(shù)字流。本發(fā)明的簽名設備可以應用于對MPEG/DVB表格的認證，尤其是用于PSI表格PMT、PAT(節(jié)目訪問表，表示針對每個所發(fā)送的節(jié)目，節(jié)目號與PMT傳送分組的PID之間的鏈接)、CAT(條件訪問表，在至少一個節(jié)目具有條件訪問的情況下，給出了攜帶權利管理消息-EMM的PES的PID)，以及用于DVB-SI表格NIT(網(wǎng)絡信息表)、SDT(服務描述表)、EIT(事件信息表)、TOT(時間偏移量表)、AIT(應用程序信息表)、BAT(束關聯(lián)表)。所述簽名設備也可以應用于基于MPEG2系統(tǒng)(ISO/IEC13818-1)部分語法的任何MPEG/DVB專用表格。有利地，所述簽名設備包括使用戶能夠選擇所述認證描述符的裝置。例如，該用戶是廣播組的成員。則，將所選擇的描述符中的任何一個標識符并入流中，從而當接收器接收到這些流之前，將所使用的描述符通知給接收器，或者在發(fā)射器和接收器之前事先就所選擇的描述符達成一致。另一解決方案在于更系統(tǒng)化地確定所選擇的描述符，例如，按照特定標準版本。優(yōu)選地，所述簽名設備用于-將至少一個最低級簽名描述符中的簽名引入所述數(shù)字流；-以及還將包括與該簽名有關的證書數(shù)據(jù)的至少一個證書描述符；-以及通過將加密應用于所述最低級簽名描述和所述證書描述符的內(nèi)容而得到的至少一個較高級簽名描述符并入所述數(shù)字流。這對于安全、靈活地確保如廣播公司和制造商等多個參與者之間的互操作性非常有意義。實際上，只要提供幾個等級，將能夠?qū)е鹿妹荑€基礎結構(PKI)。于是，建立根證書權限(針對最高級簽名)，以及可選地，建立其他證書權限。優(yōu)選地，所述簽名設備包括用于將所述認證描述符的地址并入所述數(shù)字流的裝置。這是使接收器知道針對簽名而使用的描述的有效方式。于是，有利的是，所述并入裝置用于將至少一個散列描述符引入每個所述數(shù)字流中。所述散列描述符包括通過將散列算法應用于至少一個所述認證描述符而得到的至少一個摘要值(digestvalue)，并將其用于計算所述簽名。所述散列描述符還包括用于計算所述摘要值的所述認證描述符的所述地址。這些方式提高了認證效率，因為其依賴于用于計算簽名并從而用于檢驗其真實性的傳遞中間結果。更具體地，所述并入裝置優(yōu)選地用于根據(jù)樹結構，將所述散列描述符排列在所述數(shù)字流中，通過具有較低等級的至少一個其他所述散列描述符來計算至少一個所述散列描述符。摘要值的嵌套計算能夠逐漸計算由其最終獲得簽名的基本值(即，根摘要值)，同時確保考慮了與多個認證描述符有關的所有必需信息。優(yōu)選地，所述摘要值具有固定的大小，與現(xiàn)有散列算法中的通常情況相同。同樣優(yōu)選的是具有并入裝置的以下實施例，每個表格包括具有有限大小并分配有號碼的至少一個部分，并且每個部分包括將描述符連續(xù)引入該部分的至少一個環(huán)。有利地，這些并入裝置用于規(guī)定屬于給定部分的至少一個給定環(huán)、并具有分別針對這些環(huán)中的每一個的至少一個出現(xiàn)次數(shù)的每個所述認證描述符的地址，通過至少提及-該部分號-以及這些出現(xiàn)次數(shù)。按照這種方式，能夠有效且按照簡單的方式識別針對驗證而使用的描述符的標識。用于尋址的其他可能傳輸信息包括-該部分的版本號，-和/或該部分的類型。在具有所述并入裝置的特定實現(xiàn)中，有利地，所述簽名設備用于將簽名和可能的至少一個摘要值和證書數(shù)據(jù)以專用數(shù)據(jù)的形式引入至少一個特定的部分，所述特定部分與包含所述認證描述符的部分相鏈接。該實現(xiàn)允許將至少一些認證信息與其他信令信號相分離。因此，在優(yōu)選實施例中，所述特定部分用于包含簽名和證書數(shù)據(jù)，有利地，以簽名和證書描述符的形式，以及給出了根摘要值并指向其他部分中的較低級摘要值的根散列描述符。這可能是非常有利的，因為DVB/MPEG-2的結構不允許將描述符設置在部分的開始，而這對于所述部分的整個剩余部分都是有效的。即，所有描述符均位于環(huán)中的某處，這也是不能與所述部分一起直接發(fā)送頂級描述符的原因。在具有特定部分的另一實施例中，不僅將簽名和證書數(shù)據(jù)以及根散列描述符設置在所述特定部分中，而且將所有其他散列描述符設置在所述特定部分中(例如，位于所述部分的頂級)。這對于DVB/MPEG-2是可能的，因為尋址機制允許對表格中的描述符進行直接尋址。本發(fā)明還涉及一種對應于上述設備的方法，用于通過根據(jù)本發(fā)明的簽名設備的任意實施例來執(zhí)行。本發(fā)明的另一目的是一種用于通過檢查并入在數(shù)字流中的至少一個簽名對通過通信網(wǎng)絡接收到的所述數(shù)字流進行認證的設備。這些數(shù)字流中的每一個均包括幾個信息實體，這些實體包括-內(nèi)容，至少與視聽信息相關；-以及至少一個信令，由與所述內(nèi)容的源、宿和結構相關的信息集合構成，所述信令包含被稱為描述符的必要數(shù)據(jù)結構，并主要通過被稱為表格的已排列編組構建。根據(jù)本發(fā)明，所述認證設備用于將認證至少應用于所述信令，更具體地，應用于所述信令的描述符中有選擇確定的描述符，被稱為認證描述符，由其計算所述簽名。優(yōu)選地，所述認證設備應用于包括通過根據(jù)本發(fā)明的簽名設備所產(chǎn)生的簽名的數(shù)字流。本發(fā)明還涉及一種解碼器，其特征在于其包括根據(jù)本發(fā)明的認證設備。本發(fā)明的另一目的是一種對應于本發(fā)明的認證設備的認證方法，優(yōu)選地用于通過根據(jù)本發(fā)明的認證設備的任意實施例來執(zhí)行。本發(fā)明還涉及一種計算機程序產(chǎn)品，包括當在計算機上執(zhí)行該程序時，用于執(zhí)行根據(jù)本發(fā)明的簽名或認證方法的步驟的程序代碼指令。術語“計算機程序產(chǎn)品”應當被理解為包括計算機程序的任何物質(zhì)化，不僅涉及存儲支持(磁帶、盤、…)，還涉及信號(電信號、光信號、…)。本發(fā)明還應用于一種包括幾個信息實體的數(shù)字流，這些實體包括-內(nèi)容，至少與視聽信息相關；-以及至少一個信令，由與所述內(nèi)容的源、宿和結構相關的信息集合構成，所述信令包含被稱為描述符的必要數(shù)據(jù)結構，并主要通過被稱為表格的已排列編組構建，-將至少一個簽名并入所述數(shù)字流。根據(jù)本發(fā)明，根據(jù)所述信令，計算所述簽名，更具體地，根據(jù)所述信令的描述符中有選擇地確定的描述符，被稱為認證描述符。優(yōu)選地，通過要求保護的簽名設備的任意實施例產(chǎn)生所述數(shù)字流。通過以下參考附圖的非限制性實施例，將更好地理解和示出本發(fā)明，其中-圖1是根據(jù)本發(fā)明的簽名設備和對應的認證設備的示意圖；-圖2示出了DVB/MPEG-2單元流，包括視聽和專用數(shù)據(jù)流以及相關表格(PAT、PMT和AIT)，并指出了表格和流之間的鏈接；-以及圖3詳細示出了圖2所示的一些表格(PMT和AIT)，與單元流相關，以及與應用程序信息和應用程序流相關。具體實施例方式數(shù)字流10的發(fā)射器1通過網(wǎng)絡5向具有解碼能力的接收器2發(fā)送這些流10(圖1)。發(fā)射器1典型地用于廣播流10，例如，網(wǎng)絡5是寬帶或廣播網(wǎng)絡，以及特別是有線或衛(wèi)星網(wǎng)絡。在另一實施例中，網(wǎng)絡5由因特網(wǎng)構成。在所示情況下，數(shù)字流10由DVB/MPEG-2流構成，從而特別包括內(nèi)容和與之相關的信令數(shù)據(jù)。信令主要由表格構成，并包括描述符。流10可以符合MHP標準。發(fā)射器1包括簽名設備11，用于對要發(fā)送的數(shù)字流10進行簽名；以及用戶接口15，特別用于使如廣播公司等發(fā)送者能夠控制簽名處理。簽名設備11用于對信令進行簽名，不僅是內(nèi)容。其包含選擇模塊12，使用戶通過用戶接口15選擇信令的一些描述符，稱為認證描述符，用于信令認證。因此，對其進行加密，以獲得相關簽名。簽名設備11還包含并入模塊13，能夠?qū)⒄J證描述符的地址并入所發(fā)送的數(shù)字流10。每個接收器2包括認證設備21，能夠檢查所接收到的簽名，尤其是用于信令認證的簽名。認證設備21能夠考慮流10中所指示的用于認證的認證描述符。現(xiàn)在，將對特別感興趣的示例進行描述。發(fā)送數(shù)字電視服務(互動或非互動)信號的重要入口點是在MPEG-2系統(tǒng)標準(ISO/IEC13818-1)中所規(guī)定的PMT(節(jié)目映射表)。在發(fā)送互動MHP應用程序的信號的情況下，PMT包含傳送AIT(應用程序信息表)的流的位置和傳送應用程序代碼和數(shù)據(jù)的流的位置(對DSM-CCDSI消息的指針，DSM-CC表示“下載服務啟動”，ISO/IEC13818-6國際標準)，如圖2和圖3所示。以下的技術方案能夠保護互動MHP應用程序的信令數(shù)據(jù)，從而使解碼平臺能夠檢查其在傳送網(wǎng)絡上是否已經(jīng)被修改。此外，MPEG-2系統(tǒng)標準禁止對PMT的加擾，所以這里并未考慮加擾。信令的保護基于散列碼、簽名和證書。通過規(guī)定三個新的描述符來進行這些密碼消息的編碼，分別包含以上對象●hash_descriptor●signature_descriptor●certificate_descriptor.這里針對單獨認證的每個部分，單獨引入hash_descriptor字段，并且我們下面將考慮表格的這個給定部分，無論該表格由多個部分或者只由一個部分構成。另一方面，signature_descriptor字段應用于表格中的所有hash_descriptor字段，以及certificate_descriptor字段涉及該表格中的所有signature_descriptor字段。對hash_descriptor的說明hash_descriptor可以位于AIT或PMT(或任何其他要認證的MPEG-2表格)的環(huán)中。更具體地，其位于包括要認證的描述符的每個描述符環(huán)中。環(huán)中的位置并不重要，因為hash_descriptor包括能夠惟一尋址每個描述符的descriptor_address字段。hash_descriptor包含散列碼，也稱為摘要值，根據(jù)descriptor_address所指向的描述符進行計算。在AIT或PMT的情況下，其只包括跟隨在與hash_descriptor相同的環(huán)(loop)中的描述符。所指向的描述自身可以位于hash_descriptor字段中，從而能夠?qū)崿F(xiàn)類似遞歸的計算處理。hash_descriptor的語法如下　　hash_descriptor(){<!--SIPO<DPn="8">--><dpn="d8"/>　　descriptor_tag8uimsbf　　descriptor_length8uimsbf　　digest_count16uimsbf　　for(i＝0；i＜digest_count；i++){　　digest_type8uimsbf　　descriptor_count8uimsbf　　for(j＝0；j＜descriptor_count；j++){　　descriptor_address40uimsbf　　}　　for(j＝0；j＜digest_length；j++){　　digest_byte8bslbf　　}　　}　　}其中“uimsbf”和“bslbf”分別表示“無符號整數(shù)最高有效位優(yōu)先”和“位串最左位優(yōu)先”。descriptor_taghash_descriptor的標簽。descriptor_lengthhash_descriptor的長度。digest_count此16位數(shù)值識別此散列描述符中的摘要值的數(shù)量。digest_type此8位數(shù)值識別可能用于相關描述符的摘要算法。在表1中給出了其允許值，其中在RFC1321(RFC表示請求注解；http://www.ietf.org/rfc/rfc1321.txt)中定義了MD-5(MD表示“消息摘要”)，以及在FIPS-180-1(FIPS公開180-1安全散列標準，國家標準和技術學院，1994年；http://www.itl.nist.gov/fipspubs/fip180-1.htm)中定義了SHA-1(SHA表示“安全散列算法”)。表1-摘要算法的允許值值摘要長度算法00非認證116MD-5220SHA-1其他保留descriptor_count此16位數(shù)值識別與摘要值相關的描述符的數(shù)量。此字段的數(shù)值應當大于零。descriptor_address這是部分中的描述符的普通地址，稍后將進行詳細的解釋。digest_length此整數(shù)值給出了每個摘要值的字節(jié)數(shù)。其依賴于如圖1所示的摘要類型。digest_byte此8位數(shù)值保持摘要值的一個字節(jié)。對signature_descriptor的說明該描述符的語法如下signature_descriptor(){descriptor_tag8uimsbfdescriptor_length8uimsbfsignature_id8uimsbfsignature_length8uimsbffor(i＝0；i＜N；i++){signaturespecificdata}}descriptor_tagsignature_descriptor的標簽。descriptor_lengthsignature_descriptor的長度。signature_id此ID(表示“標識符”)使其能夠具有來自多于一個權威機構的簽名。signature_length指示跟隨環(huán)(followingloop)的長度。字段“signaturespecificdata”包含以下ASN.1，ASN.1結構(表示“摘要語法注釋一”語言)，是BER(基本編碼規(guī)則)和DER(區(qū)分編碼規(guī)則)結構的組合Signature::＝SEQUENCE{certificateIdentifierAuthorityKeyIdentifier，hashSignatureAlgorithmHashAlgorithmIdentifier，signatureValueBITSTRING}certificateIdentifier如ITU-TX.509擴展(代表國際電信聯(lián)盟-電信標準部分，建議X.509目錄認證框架，1997年)中所定義，與AuthorityKeyIdentifier字段有關。其識別攜帶有用于檢驗簽名的已驗證公共密鑰的證書AuthorityKeyIdentifier::＝SEQUENCE{keyIdentifierKeyIdentifier可選，authorityCertIssuer[1]GeneralNames可選，authorityCertSerialNumber[2]CertificateSerialNumber可選}實施不需要使用AuthorityKeyIdentifier的可能出現(xiàn)的密鑰標識符元素(“keyIdentifier”)。AuthorityKeyIdentifier結構包含權限證書發(fā)布者標識(authorityCertIssuer)和相應的權限證書序列號元素(authorityCertSerialNumber)。authorityCertIssuer字段包含字段“directoryName”，給出了攜帶有用于檢查簽名的公共密鑰的證書的發(fā)布者名稱(并因而等于用在MHP中的字段issuerName)。hashSignatureAlgorithm此字段識別所使用的散列算法。由于涉及計算簽名所需的加密算法，已經(jīng)在證明相關密鑰的證書中對其進行了描述(在SubjectKeyInfo字段中)。因此，只需要散列算法的標識。所支持的算法是MD5和SHA-1，其中經(jīng)典地通過下式給出標識符(參見RFC2379)md5OBJECTIDENTIFIER::＝{iso(1)member-body(2)US(840)rsadsi(113549)digestAlgorithm(2)5}sha-1OBJECTIDENTIFIER::＝{iso(1)identified-organization(3)oiw(14)secsig(3)algorithm(2)26}signatureValue簽名的數(shù)值，依賴于MHP規(guī)范的選擇。對certificate_descriptor的說明與經(jīng)典的PKI技術一樣，該描述符包含遞歸使用的幾個證書。特別地，將葉證書首先設置在certificate_descriptor中，而最后指示僅針對一致性而包括在其中的根證書。名稱為CertificateFile的文件包含在certificate_descriptor中所提及的證書鏈中的所有證書，一直到根證書，并包括根證書。在ETSITS102812V1.1.1(表示“歐洲電信標準學院，技術規(guī)范”)中定義了用于編碼證書的簡檔表(profile)。certificate_descriptor規(guī)定如下　　certificate_descriptor(){　　descriptor_tag8uimsbf　　descriptor_length8uimsbf　　signature_id8uimsbf<!--SIPO<DPn="12">--><dpn="d12"/>　　certificate_here_flag1bslbf　　reserved7bslbf　　if(certificate_here_flag＝＝1){　　certificate_cout16uimsbf　　for(i＝0；i＜certificate_count；i++){　　certificate_length24uimsbf　　certificate()　　}　　}　　}descriptor_tagcertificate_descriptor的標簽。descriptor_lengthcertificate_descriptor的長度。signature_id此ID對證書和特定的簽名進行鏈接。certificate_here_flag為位字段，當設置為“1”時，表示證書位于此描述符中。否則，應當使用來自應用程序的證書，必須對鏈接進行定義。certificate_count此16位整數(shù)帶有證書描述符中的證書數(shù)。certificate_length此24位整數(shù)規(guī)定了證書的字節(jié)數(shù)。certificate()此字段帶有由ITU-TX.509定義的單一“證書”數(shù)據(jù)結構。在MHP平臺的情況下，可以使用與用于交互應用程序相同的證書管理。否則，具體建立針對證書管理的機制。MPEG/DVB部分中的描述符的普通尋址(hash_descriptor中的字段“descriptor_address”)現(xiàn)在，將詳細描述尋址MPEG和DVB表格中的描述符的尋址機制?？梢允褂每勺冮L度尋址機制，其能夠以更為緊湊的方式存儲地址。但是，在本實施例中，地址具有40位的恒定長度，使得處理更為容易。查看目前的MPEG和DVB規(guī)范，可以識別三種不同類型的部分。第一部分類型(此后表示為“type0”)具有以下結構，利用這種type0部分構建PAT、CAT和TOT表格type0_section(){table_id…for(i＝0；i＜N；i++){descriptor()}CRC_32}table_id給出了表格的表示和代表“循環(huán)冗余校驗”的CRC。在type0部分的情況下，地址中的字節(jié)具有如下含義●第一字節(jié)表格中的部分數(shù)；●第二字節(jié)0；●第三字節(jié)0；●第四字節(jié)i(N)，此字節(jié)尋址type0部分環(huán)中的描述符。第二部分類型(此后表示為“type1”)具有以下結構，利用這種type1部分構建SDT和EIT　　type1_section(){　　table_id　　…　　for(i＝0；i＜N1；i++){　　…　　for(j＝0；j＜N2；j++){　　descriptor()　　}　　}<!--SIPO<DPn="14">--><dpn="d14"/>　　CRC_32　　}●第一字節(jié)表格中的部分數(shù)；●第二字節(jié)0；●第三字節(jié)i(N1)，此字節(jié)尋址type1部分的外環(huán)；●第四字節(jié)j(N2)，此字節(jié)尋址type1部分的內(nèi)環(huán)。第三部分類型(此后表示為“type2”)具有以下結構，利用這種type2部分構建NIT、BAT、PMT和AIT表格　　type2_section(){　　table_id　　…　　for(i＝0；i＜N1；i++){　　descriptor()　　}　　…　　for(j＝0；j＜N2；j++){　　…　　for(k＝0；k＜N3；k++){　　descriptor()　　}　　}　　CRC_32　　}在type2部分的情況下，描述符地址需要五個字節(jié)●第一字節(jié)表格中的部分數(shù)；●第二字節(jié)i(N1)，此字節(jié)尋址type2部分的第一環(huán)；●第三字節(jié)j(N2)，此字節(jié)尋址type2部分的外環(huán)；●第四字節(jié)k(N3)，此字節(jié)尋址type2部分的內(nèi)環(huán)。頂級描述符通過頂級描述符，理解certificate_descriptor和signature_descriptor字段，以及指向具有要認證的描述符的部分中的所有其他hash_descriptor字段的hash_descriptor字段(即，包含根摘要值的hash_descriptor)。在本實施例中，在特定的部分中發(fā)送這些描述符，所述特定的部分與包含要認證的描述符的部分相鏈接。此鏈接特定部分包含與原始部分相同的PID和Table_ID，但通過被稱為“section_syntax_indicator”的特定的指示符與之相區(qū)分。對于所有DVB/MPEG定義部分，將此section_syntax_indicator設置為一，表示部分語法遵循普通部分語法。對于特定擴展，將section_syntax_indicator設置為零，表示專用數(shù)據(jù)出現(xiàn)在給出了特定部分的長度的字段(private_section_length)之后。按照其可以包含頂級信息的方式規(guī)定這些專用數(shù)據(jù)。例如，擴展部分具有以下結構　　extension_section(){　　table_id8uimsbf　　section_syntax_indicator1bslbf　　private_indicator1bslbf　　reserved2bslbf　　private_section_length12uimsbf　　reserved3bslbf　　version_number5uimsbf　　certificate_descriptor()　　signature_descriptor()　　hash_descriptor()　　}在ISO/IEC13818-1中的專用部分定義部分對其進行了規(guī)定的字段private_indicator是針對未來使用的保留位，以及字段“version_number”擴展部分所屬的表格版本(特別參見EN300468V1.3.1-針對“歐洲標準”)。示例以下示例示出了可以如何將AIT的描述符用于簽名。在此示例中，對由幾個部分形成的整個表格進行全局認證，而不是像以前那樣對每個部分進行單獨認證。第一步是選擇要認證的描述符。第二步是利用MD5摘要算法計算這些描述符的散列碼。位于每個包含至少一個認證描述符的環(huán)中的hash_descriptor包含這些描述符的地址和這些描述符的MD5摘要值。由于hash_descriptor是可尋址的，不需要具有環(huán)中特定的位置。按照這種方式，可以針對AIT部分，產(chǎn)生散列碼。以下附圖示出了在通常AIT結構中插入hash_descriptor(如ETSITS102812V1.1.1所定義)位數(shù)標識符Application_information_section(){Table_id8uimsbfSection_syntax_indicator1bslbfReserved_for_future_use1bslbf…Common_descriptor_length12uimsbffor(i＝0；i＜N1；i++){//hash_descriptor()//otherdescriptor()}…application_loop_length12uimsbffor(i＝0；i＜N2；i++){application_identifier()application_control_code8uimsbf…application_descriptors_loop_length12uimsbffor(j＝0；j＜N3；j++){//hash_descriptor()//otherdescriptor()}}CRC_3232rpchof}其中“rpchof”表示“余式多項式系數(shù)，最高次數(shù)優(yōu)先”。完整的AIT表格可以由幾個部分構成，與任何DVB/MPEG表格相同。在已經(jīng)計算了表格的所有部分的散列碼之后，必須產(chǎn)生頂級信息。為此，計算考慮了對應表格的所有hash_descriptor字段的頂級hash_descriptor(根摘要值)，其中使用上述描述符尋址機制。下一步是利用與能夠在相應certificate_descriptor的葉證書中找到的公用密鑰相對應的專用密鑰，對此頂級hash_descriptor進行RSA-加密(RSA密碼算法表示Rivest-Shamir-Adleman)。此RSA-加密的結果是存儲在signature_descriptor中的簽名。將這三個頂級描述符存儲在相應表格的所謂擴展部分中。在AIT的情況下，表格ID總是0x74，但PID(分組標識符)是列出在相應服務的PMT中的數(shù)值。包含頂級描述符的擴展部分具有與要認證的AIT相同的PID和表格ID，但將section_syntax_indicator設置為零　　extension_section(){　　table-id(0x74)8uimsbf　　section_syntax_indicator(0x00)1bslbf　　private_indicator1bslbf　　reserved2bslbf　　private_section_length12uimsbf　　reserved3bslbf　　version_number5uimsbf　　certificate_descriptor()　　signature_descriptor()　　hash_descriptor()　　}版本號表示此擴展部分所屬的表格版本。在變體實施例中，所有hash_descriptor字段位于extension_section中的頂級。在實施中，推薦將section_syntax_indicator設置為“不關心”(表示處理流的解復用器通過該位，而與其狀態(tài)為“1”或“0”無關)，從而所需的DVB/MPEG部分本身和extension_section通過解復用器濾波器。按照這種方式，擴展部分中的頂級描述符直接可用，并能夠立即進行認證。權利要求1、一種簽名設備(11)，通過產(chǎn)生通過應用于數(shù)字流(10)的加密而獲得的、要并入所述數(shù)字流(10)中的至少一個簽名，對要通過通信網(wǎng)絡(5)傳輸?shù)臄?shù)字流進行簽名，這些數(shù)字流(10)中的每一個均包括幾個信息實體，所述實體包括-內(nèi)容，至少與視聽信息相關；-以及至少一個信令，由與所述內(nèi)容的源、宿和結構相關的信息集合構成，所述信令包含被稱為描述符的必要數(shù)據(jù)結構，并主要通過被稱為表格的已排列編組構建，其特征在于所述簽名設備(11)用于將加密至少應用于所述信令，更具體地，應用于所述信令的描述符中有選擇地確定的描述符，被稱為認證描述符。2、根據(jù)權利要求1所述的簽名設備，其特征在于根據(jù)DVB和MPEG標準，構建所述數(shù)字流(10)。3、根據(jù)權利要求2所述的簽名設備，其特征在于根據(jù)MHP標準，構建所述數(shù)字流(10)。4、根據(jù)前述權利要求之一所述的簽名設備，其特征在于其包括使用戶能夠選擇所述認證描述符的裝置(12)。5、根據(jù)前述權利要求之一所述的簽名設備，其特征在于其用于將至少一個最低級簽名描述符中的簽名引入所述數(shù)字流(10)，以及還將包括與該簽名有關的證書數(shù)據(jù)的至少一個證書描述符、通過將加密應用于所述最低級簽名描述和所述證書描述符的內(nèi)容而得到的至少一個較高級簽名描述符并入所述數(shù)字流(10)。6、根據(jù)前述權利要求之一所述的簽名設備，其特征在于其包括用于將所述認證描述符的地址并入所述數(shù)字流(10)的裝置(13)。7、根據(jù)權利要求6所述的簽名設備，其特征在于所述并入裝置(13)用于將至少一個散列描述符引入每個所述數(shù)字流(10)中，所述散列描述符包括通過將散列算法應用于至少一個所述認證描述符而得到的至少一個摘要值，并將其用于計算所述簽名，還包括用于計算所述摘要值的所述認證描述符的地址。8、根據(jù)權利要求7所述的簽名設備，其特征在于所述并入裝置(13)用于根據(jù)樹結構，將所述散列描述符排列在所述數(shù)字流(10)中，通過具有較低等級的至少一個其他所述散列描述符來計算至少一個所述散列描述符。9、根據(jù)權利要求6到8之一所述的簽名設備，其特征在于每個表格包括具有有限大小并分配有號碼的至少一個部分，并且每個部分包括將描述符連續(xù)引入該部分的至少一個環(huán)，所述并入裝置(13)用于規(guī)定屬于給定部分的至少一個給定環(huán)、并具有分別針對這些環(huán)中的每一個的至少一個出現(xiàn)次數(shù)的每個所述認證描述符的地址，通過至少提及所述部分號以及所述出現(xiàn)次數(shù)。10、根據(jù)權利要求6到9之一所述的簽名設備，其特征在于其用于將所述簽名和可能的至少一個所述摘要值和所述證書數(shù)據(jù)以專用數(shù)據(jù)的形式引入至少一個特定的部分，所述特定部分與包含所述認證描述符的所述部分相鏈接。11、一種簽名方法，通過產(chǎn)生通過應用于數(shù)字流(10)的加密而獲得的、要并入所述數(shù)字流(10)中的至少一個簽名，對要通過通信網(wǎng)絡(5)傳輸?shù)臄?shù)字流進行簽名，這些數(shù)字流(10)中的每一個均包括幾個信息實體，所述實體包括-內(nèi)容，至少與視聽信息相關；-以及至少一個信令，由與所述內(nèi)容的源、宿和結構相關的信息集合構成，所述信令包含被稱為描述符的必要數(shù)據(jù)結構，并主要通過被稱為表格的已排列編組構建，其特征在于所述方法包括將加密至少應用于所述信令的步驟，更具體地，應用于所述信令的描述符中有選擇確定的描述符，被稱為認證描述符，優(yōu)選地，所述簽名方法通過根據(jù)權利要求1到10之一所述的簽名設備(11)來執(zhí)行。12、一種用于通過檢查并入在數(shù)字流(10)中的至少一個簽名對通過通信網(wǎng)絡(5)接收到的所述數(shù)字流(10)進行認證的認證設備(21)，所述數(shù)字流(10)中的每一個均包括幾個信息實體，所述實體包括-內(nèi)容，至少與視聽信息相關；-以及至少一個信令，由與所述內(nèi)容的源、宿和結構相關的信息集合構成，所述信令包含被稱為描述符的必要數(shù)據(jù)結構，并主要通過被稱為表格的已排列編組構建，其特征在于所述認證設備(21)用于將認證至少應用于所述信令，更具體地，應用于所述信令的描述符中有選擇確定的描述符，被稱為認證描述符，由其計算所述簽名，優(yōu)選地，所述認證設備(21)應用于包括通過根據(jù)權利要求1到10之一所述的簽名設備(11)所產(chǎn)生的簽名的數(shù)字流(10)。13、一種解碼器，其特征在于其包括根據(jù)權利要求12所述的認證設備(21)。14、一種用于通過檢查并入在數(shù)字流(10)中的至少一個簽名對通過通信網(wǎng)絡(5)接收到的所述數(shù)字流(10)進行認證的方法，所述數(shù)字流(10)中的每一個均包括幾個信息實體，所述實體包括-內(nèi)容，至少與視聽信息相關；-以及至少一個信令，由與所述內(nèi)容的源、宿和結構相關的信息集合構成，所述信令包含被稱為描述符的必要數(shù)據(jù)結構，并主要通過被稱為表格的已排列編組構建，其特征在于所述認證方法包括將認證至少應用于所述信令的步驟，更具體地，應用于所述信令的描述符中有選擇確定的描述符，被稱為認證描述符，由其計算所述簽名，優(yōu)選地，所述認證方法通過根據(jù)權利要求12所述的認證設備(21)來執(zhí)行。15、一種計算機程序產(chǎn)品，包括當在計算機上執(zhí)行該程序時，用于執(zhí)行根據(jù)權利要求11和14之一所述的方法的步驟的程序代碼指令。16、一種包括幾個信息實體的數(shù)字流(10)，所述實體包括-內(nèi)容，至少與視聽信息相關；-以及至少一個信令，由與所述內(nèi)容的源、宿和結構相關的信息集合構成，所述信令包含被稱為描述符的必要數(shù)據(jù)結構，并主要通過被稱為表格的已排列編組構建，-將至少一個簽名并入所述數(shù)字流(10)，其特征在于根據(jù)所述信令，計算所述簽名，更具體地，根據(jù)所述信令的描述符中有選擇地確定的描述符，被稱為認證描述符，優(yōu)選地，通過根據(jù)權利要求1到10之一所述的簽名設備(11)產(chǎn)生所述數(shù)字流(10)。全文摘要本發(fā)明涉及一種設備和一種方法，用于對數(shù)字流(10)進行簽名，每個數(shù)字流(10)包括與視聽信息有關的內(nèi)容和信令。所述設備將加密應用于信令的有選擇地確定的描述符，稱為認證描述符，以獲得簽名。本發(fā)明還涉及對應的認證設備和方法。應用于對DVB/MPEG數(shù)字流、尤其是針對MHP的認證。文檔編號H04N7/173GK1628447SQ02828988公開日2005年6月15日申請日期2002年11月8日優(yōu)先權日2002年5月22日發(fā)明者拉爾夫·舍費爾,阿蘭·杜蘭德,勞倫特·勒塞納,弗雷德里克·帕斯奎爾申請人:湯姆森許可貿(mào)易公司