CN100437422C - 软件使用权加密保护的系统和方法 - Google Patents

Abstract

本发明提供一种对软件使用权进行加密和保护的方法和系统，该方法包括步骤：生成用户密钥对，该用户密钥对包括相互对应的用户公钥和用户私钥，将生成的所述用户私钥存放在存储装置中，所述用户私钥和所述存储装置是唯一对应的，并且所述存储装置中的用户私钥是不可复制的；获取唯一性证书，该证书用于证明所述用户私钥以及存储该用户私钥的存储装置是唯一的；将用户公钥信息包含在软件中；软件运行时，读取该软件中的所述用户公钥信息，并根据该用户公钥信息验证存储装置是否是所述的包括该用户私钥的存储装置。该方法以及使用该方法的系统能够对软件的使用权进行有效的保护。

Description

软件使用权加密保护的系统和方法

技术领域

本发明涉及软件的加密保护领域，特别是涉及一种对软件使用权进行加密和保护的系统和方法。

背景技术

目前采用的加密方法主要分为两大类，即加密狗方式和钥匙盘方式。

加密狗是目前比较流行的一种加密工具。它包含安装在计算机并行口或USB口上的硬件，以及一套适用于各种语言的接口软件和工具软件。加密狗一般都有几十或几百字节的非易失性存储空间可供读写，有的内部还增添了一个单片机。软件运行时通过向并口(或USB接口)写入一定数据，判断从并口(或USB接口)返回的密码数据正确与否来检查加密狗是否存在。这种方式不易被硬解密，因而具有加密可靠的优点。但它的缺点是，由于各种加密狗在读取用户购买软件时，需要同时购买与该软件配套的软件狗，若同时购买了几种带加密狗的软件，则需要在使用不同软件或更换计算机时更换与所用软件配套的软件狗，这样不但给用户增加了很多麻烦，而且提高了用户的使用成本。

所谓钥匙盘方式就是把密码信息保存在一种很难被复制的软件盘片里，软件在运行时要校验这些信息。这种软盘就好像一把钥匙一样，所以被人习惯称为钥匙盘。它也是目前流行的一种加密工具。用户通过把钥匙盘插入计算机软驱，软件验证密码信息从而检验用户的身份是否合法。此种方式加密简便，成本低，用户使用方便。但此种方式存在一大缺陷是易被硬解密，也就是易被非法者生成相同的钥匙盘而作为正版出售，而且可能会出现盘片因经常使用磨损造成信息丢失最终导致钥匙盘不能使用的问题。

关于加密算法

加密算法主要分为两类，即对称加密算法(Symmetric Algorithm)和非对称加密算法(Asymmetric Algorithm)，后者的安全性能更好。

非对称加密算法需要两个密钥：公钥(public key)和私钥(private key)，公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密；如果用私钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫做非对称加密算法。利用非对称加密的这种特性，可以利用公开的公钥对文件进行加密，这样正常情况下就只有那些知道对应私钥的人才能对该文件进行解密。非对称加密算法有多种，包括DSA、Diffie-Hellman、RSA算法等，其中RSA算法是比较有代表性的一种，这种算法是基于大数不可能被质数分解假设的公钥体系，简单说就是找两个很大的质数。这种加密手段是一种加密强度较高的金融级别加密。

现有的加密算法主要用于保证网络的安全验证，但还没有一种方案用于软件使用权的保护。

关于数字证书

数字证书是标志用户身份信息的一系列数据，用来识别用户的身份。数字证书是由权威认证的第三方机构即CA(Certification Authority)中心签发的，以数字证书为核心的加密技术可以对信息进行加密和解密、数字签名和签名验证，确保信息的机密性、完整性，以及交易实体身份的真实性，签名信息的不可否认性，从而保障应用的安全性。

数字证书采用上述的公钥密码体制，即利用一对互相匹配的密钥进行加密、解密。每个用户拥有一把仅为本人所掌握的私有密钥(私钥)，用它进行解密和签名；同时拥有一把公共密钥(公钥)并可以对外公开，用于加密和验证签名。在公开密钥密码体制中，常用的一种是RSA体制。数字证书的格式一般采用X.509国际标准。

发明内容

本发明的目的是克服现有软件狗通用性差，成本较高的缺点，提供一种对软件使用权进行加密和保护的装置和方法。

为实现上述目的，本发明提供一种对软件使用权进行加密和保护的方法，该方法包括：

a)生成用户密钥对(User keypair)，该用户密钥对包括相互对应的用户公钥(Public Key)和用户私钥(Private Key)，至少将生成的所述用户私钥存放在存储装置中，所述用户私钥和所述存储装置是唯一对应的，并且所述存储装置中的用户私钥是不可复制的；

b)获取唯一性证书，该证书用于证明所述用户私钥与存储该用户私钥的存储装置是唯一对应的；

c)将用户公钥信息包含在软件中；

d)软件运行时，读取该软件中的所述用户公钥信息，并根据该用户公钥信息验证存储装置是否是所述的包括该用户私钥的存储装置。

为实现上述目的，本发明提供一种实现上述对软件使用权进行加密和保护的方法的系统，所述软件包括用户公钥的用户公钥信息，所述系统包括：

存储装置，用于至少存储与所述用户公钥相互对应的用户私钥，所述用户私钥是唯一的，所述存储装置与该用户私钥是唯一对应的，并且所述存储装置中的用户私钥是不可复制的，所述用户私钥与存储该用户私钥的存储装置的唯一对应由唯一性证书来证明；

用户私钥验证模块，该验证模块包含在软件中，用于读取该软件中的所述用户公钥信息，并根据该用户公钥信息验证存储装置是否是所述的包括该用户私钥的存储装置。

为实现上述目的，本发明提供一种对软件使用权进行加密保护的装置，该装置包括存储单元，其中，所述存储单元中至少存储所述用户私钥，与该用户私钥相互对应的用户公钥被包含在所述软件中，所述用户私钥和所述存储装置是唯一对应的，并且所述存储装置中的用户私钥是不可复制的，所述用户私钥与存储该用户私钥的存储装置的唯一对应由唯一性证书来证明。

本发明提供的对软件使用权进行加密保护的系统和方法的优点是，用户可以不必使用通用性差的加密狗，因而节约了成本，提高了操作简易性，并且对软件使用权的唯一性进行了保护。

附图说明

图1是根据本发明的对软件使用权进行加密和保护的方法的流程图；

图2是根据本发明优选实施方式的步骤a)的一种实现步骤；

图3是根据本发明优选实施方式的步骤a)的另一种实现步骤；

图4是根据本发明优选实施方式的对软件使用权进行加密和保护的方法的流程图；

图5是根据本发明优选实施方式的根据软件中包含的用户公钥信息验证存储装置是否是所述的包括该用户私钥的存储装置的流程图；

图6是根据本发明优选实施方式用户私钥验证模块的组成框图；

图7是根据本发明优选实施方式的软件的工作过程。

具体实施方式

下面将结合附图对本发明的具体实施方式进行详细描述。

图1为根据本发明的对软件使用权进行加密保护的方法的流程图。图中，本发明所提供的方法包括步骤：

a)生成用户密钥对(User keypair)，该用户密钥对包括相互对应的用户公钥(Public Key)和用户私钥(Private Key)，至少将生成的所述用户私钥存放在存储装置中，所述用户私钥和所述存储装置是唯一对应的，并且所述存储装置中的用户私钥是不可复制的；

c)将用户公钥信息包含在软件中；

d)软件运行时，读取该软件中的所述用户公钥信息，并根据该用户公钥信息验证存储装置是否是所述的包括该用户私钥的存储装置。

所述的存储装置的最基本特性是，能够存储数据，仅能够在该存储装置内部处理该存储的数据，并且能够防止外部设备对该数据进行复制。所述的存储装置可以是能够通过计算机串口、并口或者USB口连接的现有的能够满足上述条件的装置，例如IC卡、嵌入在个人数字助理(PDA)或者计算机中的特定硬件，而优选情况下可以采用USBKey，或者内部电路与USBKey相同而接口不同的存储装置。

图2是根据本发明的优选实施方式的步骤a)的一种实现步骤。

在步骤a1，先在存储装置外部由计算机生成一对密钥(即所述的“用户密钥对”)，该密钥对包括用户私钥和用户公钥。生成该密钥对的方法可以利用现有的比较流行的加密算法，例如RSA(Rivest-Shamir-Adleman)算法等；

在步骤a2，至少将生成的用户私钥导入存储装置中；

在步骤a3，将所述存储装置之外的用户私钥销毁，以确保该私钥的唯一性。

对于上述步骤a2，为确保导入到所述存储装置中的用户私钥不会被轻易删除，可以为该存储装置增加密码登陆功能，即需要使用该存储装置时都需要输入预先设定的密码；或者在优选情况下，可以直接将所述用户私钥固化在所述存储装置中。

在上述情况下，仅仅是所述用户私钥存放在所述存储装置中，而由于所述用户公钥是公开的，因此可以通过网络下载、电话通知等手段获得用户公钥。

图3是根据本发明的优选实施方式的步骤a)的另一种实现步骤。

在步骤a1’，在存储装置中生成用户密钥对，所述用户密钥对包括用户私钥和用户公钥；

在步骤a2’，把所述用户公钥取出。

在上述情况下，私钥和公钥是共同存在于所述的存储装置中的。同样，为保护该用户私钥不被删除，可以对该存储装置增加密码登陆功能，而优选情况下，可以将所述用户私钥是固化在所述的存储装置中。

步骤a)中所谓的“不可复制”，主要包含下列四种含义：

1)存储所述用户私钥的存储装置不响应外部的复制指令，例如“copy”、“read privateKey”或“export privateKey”等指令，该方法保证了所述用户私钥不会被“软复制”；

2).通过破坏性手段，即将所述存储装置的硬件结构进行拆装也不能对所述用户私钥进行复制，该方法保证了所述用户私钥不会被“硬复制”；

3).利用与该用户私钥对应的用户公钥也不能轻易地得到该用户私钥，即优选情况下采用安全性较高的算法，例如“RSA”算法等，该方法保证了所述用户私钥不会被“解密复制”。

4).所述用户私钥只能在与之对应的唯一的存储装置中运行，不能在所述存储装置外部运行。

优选情况下，上述方法结合使用，这样就会大大提高安全性。由于上述的技术对于本领域内技术人员来说都是公知的，因此这里将不再详述。

此外，需要理解的是，所谓“用户私钥和所述存储装置是唯一对应的”是指包含有所述用户私钥的存储装置是唯一的，该用户私钥的使用权仅随该存储装置的转移而转移。为保证该存储有所述用户私钥的存储装置的唯一性，制作该用户私钥时可以由软件开发商进行监督，这里所述的软件开发商可以是一个或多个。

对于步骤c)，这里所述的“软件”是广义上的软件，并不仅仅指开发商开发的能够实现某一功能的核心程序，还包括与此核心程序相关的信息文件等。例如，通常情况下，开发商会在其核心程序上附带与此核心程序相关的证书，因此这里所述的“软件”是指包括核心程序以及与该核心程序相关的一些信息的集合。所述用户公钥可以结合在该核心程序中，也可以包含在与该核心程序相关的其它信息中，例如可以包含在开发商提供的证书(这里称为“开发商证书”)。此外，这里所述的“用户公钥信息”可以指用户公钥本身，也可以是用户公钥的各种变形，而通过对这些变形进行运算就可以得到所述用户公钥本身。根据本发明，可以将所述用户公钥信息和一些软件相关信息(例如软件使用权限授权书)一同存放在软件开发商提供的“开发商证书”中。为增加安全性，在通常情况下，软件开发商会利用自己的一个密钥对(这里称为“开发商密钥对”)中的“开发商私钥”对该捆绑在一起的所述用户公钥和软件相关信息或包含有所述公钥信息的“开发商证书”进行签名，这样软件运行时，需要利用公开的“开发商公钥”对经过“开发商私钥”签名的信息进行认证，若认证通过，则可以得到所述的用户公钥信息和/或软件相关信息，例如软件使用授权书。

在步骤d)，如图4所示，当验证存储装置是否是该包括用户私钥的存储装置时，执行下列步骤：

在步骤130，读取软件中的用户公钥信息；

在步骤140，生成一组随机数x1，并将生成的随机数x1发送到存储有所述用户私钥的存储装置；

在步骤150，控制所述存储装置，利用该存储装置中的用户私钥在该存储装置内部对接收到的随机数x1进行签名生成y1，并从所述存储装置中读取该签名生成的数据y1；

在步骤160，利用所述用户公钥对接收到的数据y1进行验证运算生成数据x2；

在步骤170，比较原始的随机数据x1和新生成的数据x2，若x1＝x2，则验证通过，若不相同，则拒绝通过。

此外，为了对存储有所述用户私钥的存储装置的唯一性做出更加可靠的认定，可以利用第三方对所述唯一性进行认定，从而用户可以通过该经过权威认证的唯一性证书来确认自己所使用的用户私钥是否具有唯一性。因此，优选情况下，本发明所提供的对软件使用权进行加密保护的方法进一步包括步骤b)，如图5所示。在步骤b)，获取唯一性证书，该证书用于证明存储在所述存储装置中的与所述用户公钥对应的所述用户私钥是唯一的。唯一性证书的获取可以通过权威数字认证机构CA(Certification Authority)，该机构监督所述用户密钥对的生成，在确认所述用户私钥是唯一的并且存储该用户私钥的存储装置是与所述用户私钥唯一对应时，对与该用户公钥对应的用户私钥发放“唯一性证书”。对与用户公钥对应的用户私钥发放的“唯一性证书”和一般的数字证书是不同的，本发明所述的“唯一性认证”不是证明“证书申请人”与证书中包含公钥的唯一对应关系，而是对所述存储装置中的用户私钥的“独一无二性”进行认证签名。同时，由于所述用户私钥不会被导出，因此这种私钥的使用权利也只能随着所述存储装置的转移而发生转移。所述“唯一性证书”的格式可以是任何公知的数字证书格式，例如X.509格式。该唯一性证书可以存放在所述的存储装置中，也可以通过网络下载等手段来获得。优选情况下，该唯一性证书随所述用户私钥和用户公钥一起存放在所述的存储装置中。

在具有唯一性证书的情况下，对于步骤c)，提供给用户的存储装置中至少包括所述的经过“唯一性”认证的用户私钥，也可以包括所述用户公钥和/或权威认证中心提供的“唯一性证书”。提供给软件开发商的不仅仅是所述的用户公钥，还有经过权威认证机构认证的“唯一性证书”。多家厂商可以根据该“唯一性证书”确认所述用户私钥的唯一性。

根据上述对软件使用权进行加密保护的方法，本发明提供一种对软件使用权进行加密保护的系统。所述系统包括：用户密钥对，包括相互对应的用户私钥和用户公钥，所述用户公钥的用户公钥信息包含在软件中；存储装置，用于至少存储所述的用户私钥，所述用户私钥是唯一的，所述存储装置与该用户私钥是唯一对应的，并且所述存储装置中的用户私钥是不可复制的；用户私钥验证模块，该验证模块包含在软件中，用于读取该软件中的所述用户公钥信息，并根据该用户公钥验证存储装置是否是所述的包括该用户私钥的存储装置。

其中，优选情况下，所述存储装置是USBKey，并且所述用户私钥是固化在该USBKey中的，所述USBKey可进一步存储所述用户公钥。

所述用户私钥验证模块由软件开发商包含在所开发的软件中，如图6所示，其包括：用户公钥读取单元，用于读取软件中包含的用户公钥信息；随机数生成单元，用于生成一组随机数x1，并将生成的随机数x1发送到存储有所述用户私钥的存储装置中；控制读取单元，用于控制存储有所述用户私钥的存储装置，使该存储装置中的用户私钥在该存储装置内部对接收到的随机数x1进行签名生成y1，并从所述存储装置中读取该签名后的数据y1；验证单元，用于利用所述用户公钥对接收到的数据y1进行验证生成数据x2；以及，比较单元，用于比较原始的随机数据x1和新生成的数据x2，若x1＝x2，则通过验证，否则结束运行。

优选情况下，本发明提供的系统进一步包括唯一性证书，该唯一性证书是由权威认证机构发布的，其用于证明所述用户公钥对应的用户私钥是唯一的。此时，所述存储装置中可进一步包括该唯一性证书。

根据本发明提供的对软件使用权进行加密和保护的方法，提供一种对软件使用权进行加密和保护的装置，该装置包括存储单元和至少用户密钥对，所述用户密钥对包括相互对应的用户公钥和用户私钥，其中，所述存储单元中至少存储所述用户私钥，所述用户私钥和所述存储装置是唯一对应的，并且所述存储装置中的用户私钥是不可复制的。

优选情况下，所述存储单元是USBKey或内部电路与USBKey相同而接口不同的存储设备。

优选情况下，所述用户私钥固化在所述存储单元中。

优选情况下，所述存储单元中进一步包括所述用户公钥和/或唯一性证书，所述唯一性证书用于证明所述用户公钥对应的用户私钥是唯一的。

下面结合图7对根据本发明优选实施方式的系统以及经过所述用户公钥签名的软件的工作过程进行详细描述。

用户使用开发商提供的软件时，先将所述固化有所述用户私钥的USBKey插入计算机的USB接口中，这时，在步骤100，软件开发商提供的软件首先检验其自己发放的证书，即“开发商证书”是否存在，若存在，则执行步骤110，否则运行结束。

在步骤110，开发商提供的软件利用所述的“开发商公钥”对包含所述用户公钥信息的“开发商证书”进行验证；如前所述，由于“开发商证书”在通常情况下已经经过开发商的“开发商私钥”的签名，因此在步骤120，开发商提供的软件可以判断这些数据是否是经过软件开发商签名的，内容是否经过篡改。

如果验证通过，则执行步骤130，否则运行结束。在步骤130，软件读取经过所述“开发商公钥”验证而得到的用户公钥信息，并且在步骤140，用户私钥验证模块中的随机数生成单元生成一个随机数据块x1，并将该数据块x1发送给所述的存储装置；在步骤150，该验证模块中的控制读取单元控制所述存储装置，使该存储装置中的用户私钥对接收到的随机数x1进行签名生成y1，并从所述存储装置中读取该签名后的数据y1；在步骤160，该用户私钥验证模块中的验证单元利用所述用户公钥对接收到的数据y1进行验证运算生成数据x2；在步骤170，该用户私钥验证模块中的比较单元比较原始的随机数据x1和新生成的数据x2，若x1＝x2，则执行步骤200，即执行软件的正常功能，如果x1不等于x2，则说明所述用户私钥和用户公钥不是对应的，此时拒绝执行软件的正常功能，从而保护了软件。此外，在使用该至少存储有所述用户私钥的存储装置时，可以不用密码验证，这样就简化了操作，方便了使用。

对于上述的运行步骤，步骤100至120是大多数软件开发商通常采用的步骤，因此各开发商可以根据其需要对这些步骤进行修改。

需要理解的是，上述的描述只是根据本发明优选实施方式的运行过程，但并不局限于该过程，任何本领域内技术人员根据本发明不经创造性劳动而做出的修改及变化都包含在本发明的保护范围之内。

Claims (13)

1.一种对软件使用权进行保护的方法，该方法包括：

a)生成用户密钥对，该用户密钥对包括相互对应的用户公钥和用户私钥，将生成的所述用户私钥存放在存储装置中，所述用户私钥和所述存储装置是唯一对应的，并且所述存储装置中的用户私钥是不可复制的；

b)获取唯一性证书，该证书用于证明所述用户私钥与存储该用户私钥的存储装置是唯一对应的；

c)将用户公钥信息包含在软件中；

d)软件运行时，读取该软件中的所述用户公钥信息，并根据该用户公钥信息，验证存储装置是否是所述的包括该用户私钥的存储装置。

2.根据权利要求1所述的方法，其中，所述步骤a)包括：

步骤a1，在存储装置外部生成一对密钥，该密钥对包括相互对应的用户私钥和用户公钥；

步骤a2，至少将生成的用户私钥导入存储装置中；

步骤a3，将所述存储装置之外的用户私钥销毁，以确保该私钥的唯一性。

3.根据权利要求1所述的方法，其中，所述步骤a)包括：

步骤a1’，在存储装置中生成用户密钥对，该用户密钥对包括相互对应的用户公钥和用户私钥；

步骤a2’，把所述用户公钥导出。

4.根据权利要求1、2或3所述的方法，其中，所述存储装置是USBKey或与USBKey内部电路结构相同而接口不同的存储设备。

5.根据权利要求4所述的方法，其中，所述用户私钥固化在所述存储装置中。

6.根据权利要求1、2或3所述的方法，其中，所述用户私钥固化在所述存储装置中。

7.根据权利要求1所述的方法，其中，所述步骤d)包括：

读取软件中的用户公钥信息；

生成一组随机数x1，并将生成的随机数x1发送到存储有所述用户私钥的存储装置；

利用该存储装置中的用户私钥在该存储装置内部对接收到的随机数x1进行签名生成y1，并从所述存储装置中读取该签名生成的数据y1；

利用所述用户公钥对接收到的数据y1进行验证运算生成数据x2；

比较原始的随机数据x1和新生成的数据x2，若x1＝x2，则验证通过，若不相同，则拒绝通过。

8.根据权利要求1或5所述的方法，其中，进一步在所述存储装置中包括所述用户公钥。

9.一种对软件使用权进行加密和保护的系统，所述软件包括用户公钥的用户公钥信息，所述系统包括：

存储装置，用于至少存储与所述用户公钥相互对应的用户私钥，所述用户私钥是唯一的，所述存储装置与该用户私钥是唯一对应的，并且所述存储装置中的用户私钥是不可复制的，所述用户私钥与存储该用户私钥的存储装置的唯一对应由唯一性证书来证明；

用户私钥验证模块，该验证模块包含在软件中，用于读取该软件中的所述用户公钥信息，并根据该用户公钥信息验证存储装置是否是所述的包括该用户私钥的存储装置。

10.根据权利要求9所述的系统，其中，所述存储装置是USBKey或与USBKey内部电路结构相同而接口不同的存储设备。

11.根据权利要求9或10所述的系统，其中，所述用户私钥固化在所述存储装置中。

12.根据权利要求11所述的系统，其中，所述用户私钥验证模块包括：

用户公钥读取单元，用于读取软件中包含的用户公钥信息；

随机数生成单元，用于生成一组随机数x1，并将生成的随机数x1发送到存储有所述用户私钥的存储装置中；

控制读取单元，用于控制存储有所述用户私钥的存储装置，使该存储装置中的用户私钥在该存储装置内部对接收到的随机数x1进行签名生成y1，并从所述存储装置中读取该签名后的数据y1；

验证单元，用于利用所述用户公钥信息对接收到的数据y1进行验证生成数据x2；以及，

比较单元，用于比较原始的随机数据x1和新生成的数据x2。

13.根据权利要求12所述的系统，其中，所述存储装置中进一步包括所述用户公钥。

Images