用于安全水印的同态加密的制作方法

专利名称：用于安全水印的同态加密的制作方法
技术领域：
本发明一般属于数据安全传输领域。更具体地，本发明涉及用于 在电子音乐分发系统内的媒体信号中嵌入水印的方法和装置，并且更 具体地，涉及用于电子音乐分发系统中安全水印的同态加密。
背景技术：


图1中说明了用于分发音乐数据的常规电子音乐分发(EMD)系统 100。 EMD系统100包括服务器102、客户端118以及诸如因特网的 分发网络116。通常，服务器102通过使用会话密钥数据对内容数据 和诸如版权信息的内容信息进行加密，其中，在内容提供方和经由分 发网络116请求内容的用户之间进行相互鉴权之后获得会话密钥数 据。将加密信息传送到客户端118，随后，客户端118对加密信息进 行解密以便获得所请求的内容。
更具体地，在对从客户端118经由网络116发送到服务器102的 内容请求进行鉴权之后，内容提供方104将所请求的内容106发送到 水印引擎IIO，并且将内容信息108发送到有效载荷装置112。内容 信息108可以包括连续复制管理系统(SCMS)信息、用于将版权信息 嵌入内容数据中的数字水印信息以及用于将版权信息嵌入服务器102 的传输协议中的信息。
有效载荷装置112对将要嵌入的适当有效载荷进行计算，并且将 有效载荷pL传送到水印引擎110。水印引擎将有效载荷pL嵌入内容 106中。随后，加密装置114对来自水印引擎110的合并数据进行加 密。通常，通过单独一个加密密钥对合并数据进行加密。随后，在因 特网116上将加密信号E(y)发送到客户端118。随后，客户端118在 解密装置120中对加密信号E(y)进行解密。随后，将加有水印但已解 密的内容存储在用户数据库122中供用户使用。
目前，服务器处理在3GHz奔腾IV处理器上以大约40倍实时运 行。虽然在很多情况下，这是可接受的，但是对于需要数百万次同时 接入的大量内容分发来说，这可能是不够的。在这种情况下，期望具 有用于多播和缓存可能的固定低复杂度服务器。如果在客户端进行水 印嵌入，就可以获得所期望实现的诸如服务灵活性的这些和其它特 征。然而， 一般地，客户端嵌入将使得水印系统易受黑客攻击，并且 因此应该避免客户端嵌入。特别地，如果允许客户对被水印标记和未 被水印标记的内容进行处理，就非常容易恶意地移除或者修改水印， 并且甚至估计潜在的算法。总之，需要通过提供密码安全嵌入解决方 案来实现的客户端嵌入。
在Roland Parviainen和Peter Parnes在德国达姆施i荅特CMS2001 会议上提交的"Large scale distributed watermarking of multicast media through encryption"中公开了一种用于安全水印嵌入的解决方案，其 也被称为水印加密(watercrypt)。该想法是给两个加密媒体流和x2分 别装配水印^和^。在逐帧(分组)的基础上进行加密和水印处理，艮口， 得到可能提取出水印W或化的一个分组。以不同密钥《[/]对每个分 组进行加密。因此，需要总共2*个随机加密密钥&[1]、 &[2]、…、 《[2/t]。将x,和x,都发送给每个用户。
给每个用户唯一的解密密钥序列&[/]，解密密钥序列&[0确定 了对信号;c,和A进行解密的顺序。如果将x,和&编码为二进制"0"和 "1"，这种水印就可以携带总共7V4比特信息。这种方法的缺点是 两方仅通过连接交替字段就可以容易地对两个解密序列进行合并，以 生成无效的有效载荷或者指向另一个客户的新且有效的有效载荷。这 种攻击可能危及整个系统的安全，并且使该算法对于诸如EMD的应
用不适用o
Niv Ahituv、 Yeheskel Lapid以及Seev Neumann在1987年第30 巻第9期ACM通讯的"Processing Encrypted Data"中公开了可以用 于在安全域嵌入水印的另一构架。在该文章中，讨论了为通过减法 或加法更新某银行账户结余而处理加密数据的想法。他们建议使用 满足下列规则的同态加密函数
A^M + ^-^^ + ^W),以及 ￡A(axS) = j^(j)xa 。
然而，该解决方法缺乏基于特定算法的实际实现。此外，所公开 的方法假设了一种模运算，无法在溢出条件下进行工作。
因此， 一种用于嵌入水印的改进方法是有利的，尤其是允许在分 发系统的不信任客户端处安全嵌入水印的方法和系统将会是有利的。
发明概述
因此，本发明优选地寻求减轻、减弱或消除本领域内一个或多个 上述缺陷以及单个或任意组合的缺点，并通过提供如所附发明权利要 求所述的用于在分发系统的客户端安全地嵌入水印的设备、方法、计 算机可读介质以及媒体信号，来至少部分地解决至少上述提到的问 题。
如本发明所述的一般解决办法提供了在不信任设备中嵌入安全 水印的构架。
根据本发明的各方面，公开了用于在设备内将水印嵌入到媒体信 号中的方法、装置以及计算机可读介质。
根据本发明的一个方面，提供了用于在设备内将水印嵌入媒体信 号中的方法。该方法包括提供该媒体信号的至少部分加密的媒体信 号，其中使用第一加密密钥kl进行加密；提供至少部分加密的水印 信号，其中使用第二加密密钥k2进行加密；在合并器中合并至少部 分加密的媒体信号和至少部分加密的水印信号，以便获得加密的合并 媒体信号；并且通过使用第三解密密钥k3解密所述加密的合并媒体 信号来获得解密的媒体信号。
根据本发明的另一方面，提供了用于在设备内将水印嵌入媒体信 号中的系统。该系统包括用于提供该媒体信号的至少部分加密的媒 体信号的装置，其中使用第一加密密钥kl来进行加密；用于提供至 少部分加密的水印信号的装置，其中使用第二加密密钥k2进行加密； 用于在合并器中将至少部分加密的媒体信号与至少部分加密的水印 信号合并以便获得加密的合并媒体信号的装置；以及用于通过使用第
三解密密钥k3来解密所述加密的合并媒体信号以获得解密的媒体信 号的装置。
根据本发明的另一方面，提供了含有用于由计算机处理来在设备 内将水印嵌入媒体信号中的计算机程序的计算机可读介质。该计算机 程序包括用于提供所述媒体信号的至少部分加密的媒体信号的第一 代码段，其中使用第一加密密钥kl进行加密；用于提供至少部分加 密的水印信号的第二代码段，其中使用第二加密密钥k2进行加密； 用于在合并器中将至少部分加密的媒体信号与至少部分加密的水印 信号合并以便获得加密的合并媒体信号的第三代码段；以及用于通过 使用第三解密密钥k3对所述加密的合并媒体信号进行解密来获得解 密的加水印的媒体信号y的第四代码段。
根据本发明的另一方面，提供了一种媒体信号。更具体地，提供 了加密的合并媒体信号，其包括以下信号的合并使用第一加密密钥 kl进行加密的、媒体信号的至少部分加密的媒体信号，使用第二加 密密钥k2进行加密的、至少部分加密的水印信号；其中所述合并信 号是可解密的，以通过使用第三解密密钥k3对所述加密的合并媒体 信号进行解密来提供解密的媒体信号，使得所述媒体信号具有嵌入其 中的解密的水印。
本发明相对于现有技术至少具备的优势是，其允许在分发系统的 客户端添加为内容添加水印，而即使客户是不受信任的客户，也不会 有客户能从该客户接收到的内容中移除水印的风险。
附图简要说明
可以参考所附各图，从本发明各实施例的下列说明中能够清楚地 阐明本发明的这些以及其它方面、特点和优势，其中 图1是已知的电子音乐分发系统的示意图2是根据本发明一个实施例的电子音乐分发系统的示意图； 图3是说明根据本发明另一实施例使用Paillier方法的同态加密 的流程图4是说明根据本发明另一实施例使用El Gamal方法的同态加
9密的流程图；以及
图5说明了根据本发明另一实施例的计算机可读介质。
具体实施例方式
下面的说明涉及可应用于电子音乐分发系统的本发明的各实施 例。然而，应该理解，本发明不局限于该应用，而可以应用于很多使 用水印技术的其它分发系统，例如图像数据库等。图2说明了根据本 发明一个实施例的电子音乐分发(EMD)系统200的基本结构。虽然后 面讨论的方案基于图2的EMD结构，但也可以将相同的原理应用于 很多其它应用。在EMD环境中，我们作出下列假设。我们有一个由 服务器和客户端组成的媒体分发服务。信任该服务器而不信任该客户 端。该客户端不应访问未加水印的内容也不应访问水印信号。当然， 也可以将本发明应用于所有满足类似假设的系统。
EMD系统200包括但不限于服务器202、客户端218以及诸如 因特网的分发网络216。当客户端218想要请求来自内容提供方的内 容时，客户通过网络216向服务器202发送请求req。例如，客户端 218是用于播放例如通过诸如MP3格式文件可访问的电子音乐或视 频的设备，并且该设备例如由其用户启动来请求由提供方控制服务器 202提供的某段音乐。管理处理器203接收了该请求并且以已知的方 式鉴权该请求，例如，确保识别和/或记账正确的用户，以便进行后 续的音乐段下载。 一旦完成鉴权，内容提供方204以媒体信号x的形 式将所请求内容206发送给加密设备212。加密设备212对该内容206 至少使用第一加密密钥h进行部分加密，得到至少部分加密的媒体 信号cv另外，内容提供方204还将所请求内容的内容信息(媒体信 号x)发送给水印引擎210。水印引擎210获得该内容信息和请求用户 的用户ID，并计算要嵌入的合适载荷。然后，将载荷信息信号w发 送给加密设备214。然后，加密设备214至少使用第二加密密钥k2 对载荷信息信号w进行部分加密，产生部分加密的水印信号cw。正 如下面将详细说明的，服务器202可以使用多种方法来加密内容和载 荷信息。例如，服务器不使用两个加密模块，而可以使用具有至少两
个加密密钥的单一加密设备。然后，服务器202以至少部分加密的形
式，即以安全方式，将至少部分加密的内容Cx和至少部分加密的水
印信息信号 通过网络216发送给客户端218。
接收器219接收了信号q和cw，然后在水印引擎220中将二者 合并。合并这两个至少部分加密的信号q和Cw以便在加密域中产生 加水印的内容。换句话说，客户端水印引擎220执行操作c广合并((v cw)。
然后，在解密设备222中使用第三解密密钥k3对加水印的内容 cy进行解密。从解密设备222得到的解密数据y仅是加水印的内容， 即，通过使用第三解密密钥k3对加密的合并媒体信号Cy进行解密产 生了解密的加水印媒体信号y。客户端使用第三解密密钥k3不能访问 所传输的信号分量x和w。因为分量x和w分别用不同于k3的k,和 k2进行加密，所以对于用户处理来说，他只有密钥k3，不能操纵水印。
然而，解密信号y是加水印的常规媒体信号，其可以用常规方式进行 处理，例如在用户播放单元224中进行处理。
根据本发明的另一实施例，现在描述使用用了 Paillier方法的同 态加密技术来对内容和载荷信息进行加密和解密。图3是说明根据本 发明该实施例的同态加密的流程图。例如，在受信任的服务器202处， 管理处理器203在步骤302中选择了两个素数p和q，并且在步骤304 中推导出K=pq， N=LCM(p-l,q-1)，其中LCM是最小公倍数。然后 将K和N提供给客户端318。然后，在步骤306中，管理处理器203 将K任意分为K=kl+k2。对于一个正整数r<K，加密设备212现在 在步骤308中计算出至少部分加密的内容信号Cx，其中
^ 二(l + AT)V'modii:2或 (1)
& 二(l +《)Wd《2 (2) 加密设备214还在步骤310中计算了加密的载荷信息信号cw，其中 cw = (l + A0w/2mod^2或cw=(l + A0w,"mod/C2 。
在通过网络216将Q和Cw发送给客户端218之后，客户端18在 步骤312中合并Cx和Cw，其中c^cvc^(l + AT+Vmod《2。然后， 在步骤314中，客户端218通过下式使用提供给他的解密密钥k3=K 来提取加水印的内容，
Dmod^mod^或者 (c-1)mod^mo^3
網 , A:3 、 乂
注意，在(3)中给出的关系是下列分立的数学恒等式的结果。给 定素数p和q，使得k3:p.q，并且N:LCM(p-l,q画l)， 对于任意Kk3， r服modyfc32^modA;32并且 对于任意整数a<k3 ， (1 + A:3)。 mod A:32 = (1 + Wa)mod 2 。 这样，根据(1)和(2)中Cx的定义
<formula>formula see original document page 12</formula>
如果x+w〈k3，那么(x+w)modk3二x+w。这样，客户端可以解密 加水印的内容。因为客户端218不知道k3是如何被分为kl和k2的， 所以客户端218无法对加密的内容信号和加密的载荷信息信号进行 解密。另外，可以广播加密的内容信号。然后为每个客户端(i)分配一 个唯一的k2(B卩，唯一的k3)。这样，以这个唯一的k2对加密的载荷 信息信号进行加密，使得只有有意为其提供水印的客户能够解密 x+w。
根据本发明的另一实施例，现在将说明使用用了E1 Gamal方法 的同态加密技术对内容和载荷信息进行加密和解密。图4是说明根据 本发明该实施例的同态加密的流程图。例如，在受信任的服务器202 处，管理处理器203在步骤402中选择了随机数r、 kl和g，并在步 骤404中推导出gr和h产g"1。然后，加密设备212在步骤406中计算
了加密的内容信号Cx，其中c^V^，并且将(g、0对提供给客户端。 然后，加密设备214在步骤408中计算了加密的载荷信息信号cw，其 中对于每个客户(i) cw=/^Tgw，其中对于每个客户(i)，服务器选择了
一个k2(i)和一个的')-)tl + A2(0以及A(/)-g"(')，其中k(i)对于客户端己 知。
在通过网络216将(g 0和^发送给客户端218之后，客户端218
在步骤410中合并cx和cw，其中c=cvC;t=(v^).(&o:rgw)=.g，，
其中;K/)、V.W)、然后，客户端在步骤412中计算柳、(g""')并解 密x+w。
为了解密，客户端进行运算
其中，通过对离散指数函数g，进行转换，可以得到x+w。假设x+w 的字长小(也就是说，8-16比特的量级)，则可以通过一个査找表(LUT) 来计算该转换。
在如图5所述的本发明的另一实施例中，示意性说明了计算机可 读介质。计算机可读介质500上面含有用于在设备内将水印嵌入到媒 体信号中的计算机程序510，以便计算机513进行处理。计算机程序 510包括用于提供所述媒体信号x的至少部分加密的媒体信号cx的第 一代码段514，其中使用第一加密密钥kl进行加密；用于提供至少 部分加密的水印信号cw的第二代码段515，其中使用第二加密密钥 K2进行加密；用于在合并器中将至少部分加密的媒体信号q与至少 部分加密的水印信号Cw合并以便获得加密的合并媒体信号Cy的第三 代码段516;以及用于通过使用第三解密密钥k3对所述加密的合并 媒体信号Cy进行解密来获得解密的加水印媒体信号y的第四代码段 517。
可以以包括硬件、软件、固件及其任意组合的任何适当形式来实 现本发明。然而，优选地，将本发明实现为在一个或多个数据处理器 和/或数字信号处理器上运行的计算机软件。可以以任何合适的方式 物理地、功能地和逻辑地实现本发明实施例的要素和组件。当然，可 以在单个单元中、在多个单元中或其它功能单元的部分中实现功能。
这样，可以在单个单元中实现本发明，或者可以将本发明物理地和功 能地分布在不同单元和处理器之间。虽然上面参考特定实施例说明了本发明，但这并不表示局限于这 里说明的特定形式。更确切地是，本发明仅受所附权利要求的限定， 并且在这些所附权利要求的范围内，除上述特定实施例以外的其它实 施例都有同等可能性，例如，除上述情况之外的不同分发系统。
在权利要求中，术语"包括"不排除出现其它要素或步骤。此外， 虽然分开进行陈列，但是可以通过例如单个单元或处理器来实现多个 装置、要素或方法步骤。另外，虽然在不同权利要求中可以包括单独 的特征，但也可能将它们有利地组合在一起，并且这些特征包含在不 同的权利要求中并不意味着这些特征的组合不可行和/或不具有优 势。另外，单数表述并不排斥复数的情况。术语"一个"、"第一"、
"第二"等并不排除复数的情况。在权利要求中的参考符号仅作为说 明示例提供，不应将其解释为以任何方式限制权利要求的范围。
权利要求
1、一种用于在媒体信号x中嵌入水印的方法，包括提供所述媒体信号x的至少部分加密的媒体信号cx，其中使用第一加密密钥k1进行加密；提供至少部分加密的水印信号cw，其中使用第二加密密钥k2进行加密；在合并器中将所述至少部分加密的媒体信号cx与所述至少部分加密的水印信号cw合并，以获得加密的合并媒体信号cy；以及通过使用第三解密密钥k3对所述加密的合并媒体信号cy进行解密，来获得解密的加水印的媒体信号y。
2、 如权利要求l所述的方法，其中，所述合并器是乘法器。
3、 如权利要求1所述的方法，其中，所述至少部分加密的水印 信号"中包含的第一水印与所述解密的加水印的媒体信号y中的第 二水印是相同的。
4、 如权利要求l所述的方法，其中，所述第三解密密钥k3不同 于所述第一加密密钥kl，并且不会解密所述至少部分加密的媒体信号Cx。
5、 如权利要求l所述的方法，其中，所述第三解密密钥k3不同 于所述第二加密密钥k2，并且不会解密所述至少部分加密的水印信 号cw。
6、 如权利要求l所述的方法，其中，所述第三解密密钥k3不同 于所述第一加密密钥kl和所述第二加密密钥k2。
7、 如权利要求1或2所述的方法，其中，根据如下关系对所述至少部分加密的媒体信号Cx进行加密c, 二(l + iQV'mod/i:2或c^(l + K)fmodK2 ;其中，N、 K以及r是正整数，并且kl=K-k2是所述第一加密密钥。
8、 如权利要求l、 2或7所述的方法，其中，根据如下关系对所 述至少部分加密的水印信号 进行加密cw =(l + /QV2modis:2或cw =(l + /Ow,*2modA:2;其中N、K以及r是正整数，并且k2-K-kl是所述第二加密密钥。
9、 如权利要求l、 2、 7或8所述的方法，其中，所述获得解密的加水印的媒体信号y包括计算(Cod" —"3、磁3 , 虽3 ^ , W其中^=^~， N是正整数，并且)B-H4^2是所述第三解密密钥。
10、 如权利要求1或2所述的方法，其中，根据如下关系对所述 至少部分加密的媒体信号Cx进行加密其中g和r是正整数，并且kl是所述第一加密密钥。
11、 如权利要求1或2所述的方法，其中，根据如下关系对所述 至少部分加密的水印信号c、v进行加密~ = ;其中，g和r是正整数，并且k2是所述第二加密密钥。
12、 如权利要求10或11所述的方法，其中，所述获得解密的加 水印的媒体信号y包括 其中^-c人，r是正整数，并且《 = *1"2是所述第三解密密钥；以及使用査找表对离散指数函数g，进行求解，以获得所述解密的加 水印的媒体信号y。
13、 如权利要求l所述的方法，其中，在一个设备中执行所述方法，并且其中，所述设备是具有不受信任环境的不受信任设备，和/或其中，所述提供所述媒体信号x的所述至少部分加密的媒体信号Cx包括在所述设备中接收所述媒体信号X的所述至少部分加密的媒 体信号CV并且其中，所述提供所述至少部分加密的水印信号Cw包 括在所述设备中接收所述至少部分加密的水印信号"。
14、 如权利要求1-13所述的方法，包括在独立的时刻通过独 立的信道分别提供所述部分加密的媒体信号CX和所述部分加密的水 印信号CW。
15、 如任一前述权利要求所述的方法，其中，在软件或程序单元中执行所述方法，并且其中，在不受信任的环境中运行所述软件或程序单元。
16、 用于将水印嵌入到媒体信号x中的系统(200)，包括用于提供所述媒体信号X的至少部分加密的媒体信号q的装置(219) ，其中，使用第一加密密钥kl进行加密； 用于提供至少部分加密的水印信号"的装置(219)，其中，使用第二加密密钥k2进行加密；用于在合并器中将所述至少部分加密的媒体信号cx与所述至少部分加密的水印信号Cvv合并以获得加密的合并媒体信号Cy的装置(220) ;以及用于通过使用第三解密密钥k3对所述加密的合并媒体信号cy进 行解密来获得解密的加水印的媒体信号y的装置(222)。
17、 含有用于由计算机处理来将水印嵌入媒体信号x的计算机程序的计算机可读介质，所述计算机程序包括用于提供所述媒体信号X的至少部分加密的媒体信号q的第一 代码段，其中使用第一加密密钥kl进行加密；用于提供至少部分加密的水印信号；的第二代码段，其中使用 第二加密密钥k2进行加密；用于在合并器中将所述至少部分加密的媒体信号CX与所述至少 部分加密的水印信号Cw合并以获得加密的合并媒体信号Cy的第三代 码段；以及用于通过使用第三解密密钥k3解密所述加密的合并媒体信号Cy来获得解密的加水印的媒体信号y的第四代码段。
18、 一种加密的合并媒体信号Cy，包括合并的以下信号 媒体信号X的至少部分加密的媒体信号Cx，其中，使用第一加密密钥kl进行加密，以及至少部分加密的水印信号Cw，其中，使用第二加密密钥k2进行 加密；其中所述合并信号是可解密的，以通过使用第三解密密钥k3对所述 加密的合并媒体信号cy进行解密来提供解密的加水印的媒体信号y， 使得所述加水印的媒体信号y具有嵌入其中的解密的水印。
19、 如权利要求1-15所述的方法在电子音乐分发(EMD)系统(200) 中的使用。
全文摘要
公开了一种用于在媒体信号x中嵌入水印的方法和系统。该方法包括提供所述媒体信号x的至少部分加密的媒体信号c_x，其中使用第一加密密钥k1进行加密；提供至少部分加密的水印信号c_w，其中使用第二加密密钥k2进行加密；在合并器中将所述至少部分加密的媒体信号c_x与所述至少部分加密的水印信号c_w合并，以获得加密的合并媒体信号c_y；以及通过使用第三解密密钥k3对所述加密的合并媒体信号c_y进行解密来获得解密的加水印的媒体信号y。本发明提供了用于在不受信任设备中嵌入安全水印的构架。
文档编号G10L19/018GK101185122SQ200680019169
公开日2008年5月21日 申请日期2006年6月2日 优先权日2005年6月3日
发明者A·A·C·M·卡克尔, A·N·莱马, M·范德维恩, P·T·迪尔斯 申请人:皇家飞利浦电子股份有限公司