DE60036086T2

DE60036086T2 - Berechtigung und zugriffskontrolle von in set-top geräten vorhandenen programmobjekten

Info

Publication number: DE60036086T2
Application number: DE60036086T
Authority: DE
Inventors: Reem Horsham SAFADI; Lawrence Landsdale VINCE
Original assignee: Arris Technology Inc; General Instrument Corp
Current assignee: Arris Technology Inc
Priority date: 1999-02-24
Filing date: 2000-02-03
Publication date: 2008-05-21
Anticipated expiration: 2020-02-04
Also published as: EP1155359A1; DE60036086D1; US6256393B1; EP1155359B1; WO2000050978A1; US6742121B1; BR0008502A; CA2361757A1; AU2755000A

Description

Technisches Gebiet der Erfindung
Die vorliegende Erfindung betrifft im allgemeinen ein Verfahren für das Bereitstellen einer Autorisierung, Authentifizierung und Zugriffskontrolle von bzw. auf „ausführbaren Code" oder ein „Softwareobjekt", das Anwendungscodes, Betriebssysteme und verknüpfte Komponenten (zum Beispiel dynamische Verknüpfungsbibliotheken DLLs) BIOS, virtuelle Java-Maschine (JVM), Java-Anwendungen und -applets, usw., die in Set-Top Terminals gespeichert sind, beinhaltet, jedoch nicht hierauf beschränkt ist.
Technischer Hintergrund der Erfindung
Da digitale Set Top Terminals (das DCT5000+ von General Instrument zum Beispiel) die Fähigkeit beinhalten, verschiedene Betriebssysteme, DLLs, JVMs (einschließlich Windows CE) herunterzuladen, benötigen Mehrsystem-Kabelnetzbetreiber (MSOs) einen Mechanismus, der es ihnen erlaubt, die Steuerung der Merkmale und Anwendungen, die innerhalb dieses Set Top Terminals ablaufen, beizubehalten. Genauer gesagt, möchten die MSOs die Fähigkeit haben, auf Steuerdienste und die verknüpfte Verwendung von Softwareobjekten in Set Top Terminals zuzugreifen.
Ein bekannter Versuch, die Authentizität von Codeobjekten für die PC-Umgebung anzusprechen, ist die „Authenticode" Fähigkeit von Microsoft. Dieses Produkt ermöglicht es Softwareanbietern, eine digitale Signatur für veröffentlichten ausführbaren Code zu erlangen. Authenticode stellt eine digitale Signatur mit nur einem Unterzeichner bereit, der Code ist mit dem privaten Schlüssel (der nicht veröffentlicht wurde) von Microsoft signiert und wird überprüft mit dem öffentlichen Schlüssel von Microsoft, der mit dem Authenticode Verifikationscode im Betriebssystem gebündelt ist. Während Authenticode digitalen Signaturschutz für ausführbaren Code bereitstellt, stellt es jedoch keine Mittel zum Bestimmen der Zugriffsanforderungen an den ausführbaren Code für Zugriffssteuerungszwecke (und Einnahmenerzeugungszwecke) bereit und ist nur bei ausführbarem Code anwendbar.
Ein zweiter bekannter Versuch, die Steuerung von Java Applets zu behandeln ist „Java Security", die dafür vorgesehen ist, Applets davon abzuhalten, Dateien auf einem Clientsystem zu untersuchen oder zu verändern oder von der Nutzung von Netzwerkverbindungen abzuhalten, um Dateischutz oder Datengeheimhaltungsmaßnahmen zu umgehen. Wie im Fall mit Authenticode bietet Java Security jedoch keine Authentifizierung irgendwelcher Softwareobjekte, es sei denn, sie ist Java-basiert, noch bietet sie die Verknüpfung mit Zugriffsanforderungen für die Zugriffssteuerungs- und Einkommenserzeugungszwecke.
Obgleich jedes der oben beschriebenen Produkte versucht, den Schutz und die Steuerung von Softwareobjekten in einer PC-Umgebung gegenüber nicht autorisierter Verwendung durch ein gegebenes Set Top Terminal zu behandeln, behandeln sie nicht vollständig die Probleme, die mit der Autorisierung, Authentifizierung und der Zugriffskontrolle verbunden und stellen somit keine optimale Lösung, welche die MSO-Anforderungen erfüllt, bereit.
Zusammenfassung der Erfindung
Da Set Top Terminals bzw. Decoder Terminals eine Rechenumgebung für Unterhaltungszwecke durch Verwenden von herunterladbaren Softwareobjekten, wie zum Betriebssystemen, Bibliotheken, virtuellen Java Maschinen, Anwendungen, Applets, usw. voraussetzen, wird es entscheidend, das Softwareobjekt zu schützen und zu steuern, um es vor nicht autorisierter Verwendung durch ein gegebenes Set Top Terminal zu schützen. In Übereinstimmung mit dem vorgeschlagenen Konzept muß nicht nur die Identität von jedem Softwareobjekt authentifiziert werden, sondern ebenso ist die Verwendung der MSO-Steuerung über Autorisierungserlaubnisse zusammen mit der Steuerung, mit welcher Set Top Terminal Ressourcen ein gegebenes Softwareobjekt verwenden kann, ausgesetzt. Diese Maßnahmen ergänzen diejenigen der Objektvalidierung und Verifizierung und stellen sicher, daß Softwareobjekte, die nicht authentifiziert wurden, nicht verwendet werden. In dem Ausmaß, wie diese Maßnahmen verwendet werden, ist das Set Top Terminal nicht länger Problemen ausgesetzt, die mit Objekten verknüpft sind, die nicht den Sicherheitsdesignregeln folgen oder im schlimmsten Fall, die mit einem Virus kontaminiert sein können, von dem anzunehmen ist, daß er eine Beschädigung des Netzwerkes des MSO und der verknüpften Set Top Terminals verursachen kann.
Aspekte der Erfindung sind in den begleitenden Zeichnungen festgelegt.
In einer bestimmten Ausführungsform der Erfindung erzeugt ein Verfahren zum Bereitstellen der Autorisierung und der Zugriffssteuerung auf Softwareobjekte, die in digitalen Set Top Terminals gespeichert sind, einen Fingerabdruck (Signatur) für jedes Softwareobjekt, assoziiert jeden Fingerabdruck mit einer Dienst- bzw. Servicestufe, codiert jede Verknüpfung und erzeugt eine Verknüpfungstabelle, welche die Information erhält, die von dem Codierschritt erzeugt wurde (man bemerke, daß diese Tabelle aus ein oder mehreren Verknüpfungseinträgen bestehen kann). Zusätzlich sendet das Verfahren die Verknüpfungstabelle zum digitalen Set Top Terminal und überträgt ebenso eine Nachricht zu dem digitalen Set Top Terminal, die anzeigt, welche Softwareobjekte das Set Top Terminal verwenden kann. Schließlich stellt das vorgeschlagene Verfahren eine Systemroutine am digitalen Set Top Terminal bereit, die aufgerufen wird, bevor das Herunterladen des Objekts aufgenommen wird, sobald das Softwareobjekt heruntergeladen wurde oder optional, wann immer das Softwareobjekt verwendet werden soll (oder „aufgerufen" wird, falls es ausführbarer Code ist). Die Systemroutine verwendet die Verknüpfungstabelle, um die Authentizität des Objekts zu validieren (authentifiziert sie) und um zu bestimmen, ob das Softwareobjekt, das verwendet werden soll, mit einer entsprechenden Servicestufe, für die das Set Top Terminal autorisiert ist, entspricht, falls nicht, wird das Herunterladen des Softwareobjekts (oder die Verwendung) nicht erlaubt. Wenn jedoch das herunterzuladende Softwareobjekt (oder das zu verwendende) mit einer Servicestufe bzw. einem Servicegrad verknüpft ist, für den das Set Top Terminal autorisiert wurde, wird das Herunterladen (oder die Verwendung) des Objekts erlaubt. In einer anderen Ausführungsform der Erfindung wurde das Softwareobjekt vor den zitierten Schritten verifiziert und validiert.
In Übereinstimmung mit noch einer anderen Ausführungsform der Erfindung zeigt die übertragene Nachricht weiterhin an, welche Set Top Terminal Ressourcen das Softwareobjekt oder das Set Top als Ganzes autorisiert verwenden darf.
Noch ein weiterer Vorteil, der von einer anderen Ausführungsform der vorliegenden Erfindung bereitgestellt wird, ist der daß, falls das Softwareobjekt, das aufgerufen werden soll, den korrekten Fingerabdruck enthält und die Autorisierungsrechte mit den Autorisierungsanforderungen, die mit dem Softwareobjekt verknüpft sind, übereinstimmen, das Verfahren weiterhin bestimmt, ob die Verwendung von Set Top Terminal Ressourcen autorisiert wurde. In einer Ausführungsform stellt das Verfahren weiterhin eine zweite Systemroutine an dem digitalen Set Top Terminal zur Verfügung, wenn festgestellt wurde, daß die Verwendung einer Set Top Terminal Ressource angefragt wurde, und die zweite Systemroutine verwendet die übertragenen Nachrichten, um zu bestimmen, ob das Softwareobjekt die angeforderte Set Top Terminal Ressource verwenden darf. In dem Fall, bei dem die Ressource als impulsautorisierbare Ressource (durch deren Verknüpfung mit eine Impulsstufe in der Nachricht) autorisiert ist, wird dem Benutzer gestattet, eine Impulsautorisierung (umgehend) dieser Ressource anzufordern und es wird vermieden, daß der Teilnehmer (Benutzer) das Kundenservicecenter des MSO für solch eine Autorisierung anrufen muß. Ein weiteres vorteilhaftes Merkmal einer Ausführungsform der Erfindung ist, daß, falls das zu verwendende Softwareobjekt den korrekten Fingerabdruck nicht enthält, das Softwareobjekt nicht ausgeführt wird.
Kurze Beschreibung der Figuren
1 ist ein vereinfachtes Blockdiagramm, das die logischen Pfade eines Kabelsystems darstellt, die für die Beschreibung der Erfindung wichtig sind.
2 ist ein vereinfachtes Flußdiagramm, das die Schritte darstellt, die von einem Mehrsystemkabelnetzbetreiber (MSO) durchgeführt werden, um eine Autorisierungs- und Zugriffssteuerung auf Softwareobjekte in Set Top Terminals bereitzustellen.
3 ist ein vereinfachtes Flußdiagramm, das die Schritte darstellt, die von einer Bedingungszugriffsroutine (CA) in einem Set Top Terminal mit Aufrufen des Softwareobjekts durchgeführt werden.
4 ist ein vereinfachtes Flußdiagramm, das die zusätzlichen Schritte darstellt, die von einer zweiten Bedingungszugriffsroutine (CA) in einer anderen Ausführungsform der Erfindung durchgeführt werden.
Detaillierte Beschreibung der Erfindung
Mehrsystemkabelnetzbetreiber müssen die Zugriffssteuerungsfähigkeiten erweitern, d.h. die Fähigkeit, auf Softwareobjekte in Set Top Terminals zuzugreifen und sie zu verwenden, welche in der Lage sind, solche Objekte herunterzuladen und später diese Objekte zu verwenden, wenn ihr Herunterladen und ihre Verwendung autorisiert wird und die Objekte die Authentifizierungsüberprüfung bestehen, zu steuern.
Die Zugriffssteuerung auf ein Softwareobjekt in Übereinstimmung mit einem Aspekt der Erfindung besteht aus drei Teilen. Der erste legt die Zugriffsanforderungen für einen bestimmten Dienst (und verknüpfte Objekte) fest und der zweite legt die Autorisierungsrechte für ein bestimmtes Set Top Terminal fest, um auf diese Dienste (und die verknüpften Objekte) zuzugreifen. Der dritte stellt zusätzliche Identifizierungsinformation bereit, um dem Set Top Terminal zu ermöglichen, die Objekte vor ihrer Verwendung zu authentifizieren. Die Zugriffsanforderungen können als das Schloß betrachtet werden und die Autorisierungsrechte können als der Schlüssel betrachtet werden. Wenn die Autorisierungsrechte mit den Zugriffsrechten übereinstimmen (und keine elterliche Kontrolle erforderlich ist), wird dem Set Top Terminal erlaubt, auf den Dienst (und die verknüpften Objekte) zuzugreifen.
Es gibt zwei Nachrichtentypen, welche die Zugriffssteuerfunktion erleichtern. Als erstes liefert die Berechtigungssteuernachricht (ECM) die Berechtigungssteuerstruktur (ECS) (wird unten weiter erläutert), die den Berechtigungssteuereintrag (ECR) (ebenso unten erklärt) für die verknüpften Objekte enthält und die Berechtigungsinformation auflistet, die für die Programmbetrachtung oder die Verwendung des Objekts (der Objekte) notwendig ist. Die zweite Nachricht, die Berechtigungsverwaltungsnachricht (EMM), liefert die Berechtigungen, die von einem Benutzer gekauft oder ihm gewährt wurden. Die Funktionen aller dieser Nachrichten werden unten detaillierter beschrieben.
Im folgenden wird ein Abriß bereitgestellt, wie Softwareobjekte zum Ablaufen autorisiert werden (Post Authentifizierung). Alle Softwareobjekte, die nicht in dieser Art und Weise autorisiert (und authentifiziert) sind, werden von dem Set Top Terminal nicht genutzt werden können. Im Fall, daß alle präventiven Maßnahmen, die dafür vorgesehen sind, nicht autorisierte Softwareobjekte von dem Set Top Terminal fernzuhalten, versagen, hilft dieser Ansatz bei der Erfassung solcher Anwendungen und beim Verhindern ihrer Nutzung oder Ausführung.
Bei dem digitalen Set Top Terminal muß die Verwendung aller Softwareobjekte (einschließlich Anwendungen, die mit einem gegebenen Dienst verknüpft sind) durch das Zugriffssteuerungssystem autorisiert sein. Das Softwareobjekt, das entweder auf Wunsch des Teilnehmers oder des MSO spezifiziert ist, weist herunterladbaren Code oder Daten auf, die im Set Top Terminal verwendet werden können.
Als erstes, wie im Blockdiagramm von 1 dargestellt, verwendet eine Objektauthentifizierungssignatur eine Richtung bei 300 (OASD) entweder einen nationalen Zugriffcontroller 310 (NAC) (in dem nationalen Steuerszenario) oder einen lokalen Zugriffscontroller 320 (LAC) (im lokalen Steuerszenario), um mit einer Anzahl von Set Top Terminals 350a, 350b, usw. zu wechselwirken. Die Details der Wechselwirkungen von jedem dieser Vorrichtungen werden unten in Verbindung mit der detaillierten Beschreibung der Erfindung beschrieben.
Im Flußdiagramm von 2 wird in Schritt ein „Fingerabdruck", d.h. eine digitale Signatur, für jedes Softwareobjekt (zum Beispiel Anwendungen OSs, DLLs, JVMs, Java-Anwendungen und -applets, usw.) erzeugt. Der Fingerabdruck (Signatur) des Softwareobjekts dient als eindeutiger Berechtigungssteuereintrag (ECR). Beispielsweise ist jedes Softwareobjekt, das der MSO in dieser Kategorie plazieren möchten, d.h. unter Zugriffssteuerung, mit einem „Fingerabdruck" verknüpft. Man bemerke, daß der Fingerabdruck einfach ein Kern oder Startpunkt für einen Schlüssel sein kann, der mittels bekannter Maßnahmen verschlüsselt werden könnte, oder er könnte ein Wert sein, der aus einem ursprünglichen Wert durch Verarbeitung von diesem als ein Bild oder auf andere Weise abgeleitet wird (d.h. der Fingerabdruck kann Objektgröße, Prüfsumme, usw. beinhalten).
Genauer gesagt, kann der Fingerabdruck (eine digitale Signatur) erzeugt werden durch eine Software/HW Ojektauthentifizierungs/Signatur-Einrichtung (OASD). Dies wird durchgeführt, nachdem das Softwareobjekt verifiziert und validiert wird (entweder durch Inspektion, Testen, usw. – die Details hiervon sind außerhalb des Schutzbereichs dieser Erfindung). Die Absicht der Softwareverifikation und Validierung ist es, sicherzustellen, daß das Design und die Implementierung des Objekts einer vorbestimmten Gruppe von Regeln und Anforderungen folgt, die für Sicherheitszwecke errichtet wurden. Dies kann durchgeführt werden unter Vertrag mit dem MSO (Details hiervon liegen außerhalb des Schutzbereichs dieser Anmeldung). Die Signatur kann basiert sein auf einem eindeutigen Objektidentifizierer (der MSO-spezifisch oder nicht sein kann) und einem kryptographischen CRC des Objekts basieren und dient als eine Form der Zertifizierung, die eindeutig für das Softwareobjekt selbst ist (verschiedene konventionelle Signiertechniken können eingesetzt werden, wobei die Details hiervon außerhalb des Schutzbereichs dieser Anmeldung liegen). Wenn verschiedene Softwareobjekte mit einem Dienst verknüpft sind, kann jeder mit einer Signatur verknüpft sein und dann eine Gesamtsignatur für das gesamte Softwarepaket bereitgestellt werden, wann immer die Authentifizierung dieser Verknüpfung höheren Grades gewünscht wird.
Weiter geht es mit Schritt 20 von 2, wo jeder Fingerabdruck jedes Softwareobjekts dann mit einer Servicestufe verknüpft wird. Sowohl Satelliten- als auch Kabelzugriffssteuersysteme verwenden das Konzept der „Stufenbildung" Für audio-visuelle Dienste ist eine Stufe eine logische Gruppe aus Programmen oder Diensten (der degenerierte Fall ist ein einzelnes Programm oder Dienst). Das Gruppieren wird erzeugt, um die Steuerung des Benutzerzugriffs (des Teilnehmerzugriffs) auf diese Gruppe aus Diensten, basierend auf dem Teilnehmerprofil des MSO (d.h. welche Dienste wurden von einem gegebenen Verbraucher abonniert) zu erleichtern. Die Zugriffsrechte des Benutzers würden eine große Speichermenge im Set Top Terminal erfordern, wenn die Zugriffsrechte als getrennte Anzeiger für jedes und alle verfügbaren Programme oder Objekte gespeichert würde. Die Stufen werden typischerweise als einzelne binäre Zahlen (Bits) dargestellt, die dynamisch festgelegt und neu festgelegt werden können. Da jede Stufe (oder Gruppe) als einzelnes Bit dargestellt wird und die Stufen als relevant für den an einem gegebenen Zeitpunkt angebotenen Dienst festgelegt werden, bieten sie die kompakteste Darstellung, die für die Zugriffsrechte des Benutzers möglich ist (Kompaktheit ist sehr wichtig, da die Zugriffsrechte im sicheren Speicher gehalten werden müssen, der begrenzt ist, und da sie häufig übertragen werden müssen und somit die Bandbreitenanforderungen minimiert werden). Ein oder mehrere Objekte können mit einem gegebenen Dienst/Anwendung verknüpft sein und den entsprechenden Stufen zugewiesen sein. Zusätzlich, während solche Autorisierungsrechte auf einem Server am anderen Ende des Netzwerks gespeichert sein können (im Gegensatz zur Speicherung im Set Top Terminal), wo ein Set Top Terminal seine Rechte abfragen kann durch Kommunikation mit dem Server in Echtzeit, ist es typischerweise von Vorteil, diese Information innerhalb der Set Top Terminals zu verteilen aus Gründen der Sicherheit, der Robustheit, der Leistung sowie der Minimierung von Effekten des Ausfalls eines einzelnen Punktes. Sobald das Ereignis (oder das „Programm") endet oder sobald das (die) Objekt(e) nicht länger als Teil eines bestimmten Dienstes angeboten wird (werden), wird die Stufendefinition aktualisiert, um diese Veränderung zu berücksichtigen. Die Autorisierungsstufen, für die der Teilnehmer autorisiert ist, werden in einer entsprechenden Berechtigungsverwaltungsnachricht (EMM) weitergeleitet (detaillierter in der Beschreibung von 1, Schritt 50 beschrieben).
In einer bevorzugten Ausführungsform der Erfindung gibt es zwei Typen von Stufen, die erste, eine Subskriptionsstufe, die mit einem Dienst (und korrespondierenden Objekten) verknüpft ist, die über eine Zeitdauer anhält und die vor der tatsächlichen Verwendung verkauft wird. Die zweite, eine Impuls Pay Per Use Stufe (IPPU, analog zur Impuls Pay Per View für Videoprogramme) erlaubt einen impulsiven Kauf eines Objekts oder einer Gruppe von Objekten; die mit einem gegebenen Dienst/Anwendung verknüpft sind und können eine Zeitdauer haben, die mit ihnen verknüpft ist. Es versteht sich für den Fachmann, daß andere Verwendungen, Kombinationen oder Bedingungen auf diesen zwei Stufen aufgebaut werden können.
Es wird erneut auf Schritt 20 in 2 verwiesen, wo der Fingerabdruck für die Dienststufenverknüpfung von dem Zugriffscontroller des MSO (Zugriffscontroller (AC) für die nationale Steuerung oder digitaler Zugriffscontroller (DAC) für die lokale Steuerung) zugewiesen werden kann über die Hinzufügung eines entgegengesetzten CA (Bedingungszugriff) Signaturfunktionalität, die spezifisch für Objekte ist, die mit dem Netzwerk des MSO verknüpft sind. Diese Funktion kann erleichtert werden durch OASD, wenn sie als eine begrenzende Vorrichtung für AC oder DAC des MSO dient. Wie vorher erwähnt, kann die OASD Funktionalität in einem unabhängigen Gerät (Software und Hardware) verkörpert sein, die wiederum mit dem AC oder dem DAC kommunizieren würde, um die Zugriffsanforderungszuweisungen (entsprechend der Stufen für dieses Objekt) zu erhalten.
Die zusätzliche MSO-spezifische Signatur nimmt die Signatur eines vorher signierten Objekts ein (d.h. den Fingerabdruck oder die „digitale Signatur", die von dem OASD erzeugt wurde), und fügt hieran einen eindeutigen Objektidentifizierer (falls ein MSO-spezifischer Objektidentifizierer erforderlich ist). Es wird ebenso irgendeiner oder mehrere der Berechtigungsverbindungsbits hinzugefügt, welche die Zugriffsanforderungen festlegen, die mit dem entsprechenden Softwareobjekt verknüpft sind und eine umhüllende Signatur für die gesamte Struktur, hier als die Berechtigungssteuerungsstruktur (ECS) bezeichnet. Diese eindeutige und geheime Codierung der ECS ist in Schritt 30 gezeigt. Die ECS kann die Zugriffsanforderungen für das Objekt und verknüpfte Ressourcen enthalten oder sie kann in zwei ECSs partitioniert sein, eine für die Zugriffsanforderungen für das Objekt und eine für die Ressourcen. Der letztere Ansatz ist typischerweise ein geeigneterer Ansatz, da die Ressourcenautorisierung unabhängig von einem gegebenen Objekt ist und auf einer Set Top weiten Basis durchgeführt wird. Es kann jedoch jeder Ansatz verwendet werden (d.h. eine kombinierte ECS oder zwei getrennte ECSs) und hat keinen Einfluß darauf, wie die Autorisierungsschritte durchgeführt werden.
Die kostenpflichtige und kostenfreie Verwendungsperiode kann zusammen mit globalen Set Top Terminal Ressourcen Beschränkungen beispielsweise durch diese Einrichtung zugewiesen, wie von der AC oder DAC spezifiziert wird (die wiederum über die Abrechnungssystemschnittstelle spezifiziert sein kann). Diese Parameter werden ebenso als Teil der ECS innerhalb der ECM weitergeleitet.
Die Funktionalität der OASD und der Signierung und der Erzeugung der ECS (Schritte 10 bis 30) der MSO kann in einer einzelnen Vorrichtung kombiniert sein, beschränkt auf die AC oder die DAC, wie die bevorzugte Ausführungsform, da es der einfachere Fall ist. So oder so, die Partitionierung des physikalischen Produkts sollte die funktionalen Schritte nicht verändern, die notwendigerweise durchgeführt werden (es kann jedoch diese Schritte optimieren).
Weiter geht es mit Schritt 40 von 2, wo beim MSO die Sammlung eindeutiger ECSs eine Verknüpfungstabelle bilden, die bei der nationalen oder lokalen Download-Funktion (Downloader) verfügbar gemacht wird, die mit dem AC oder dem DAC verknüpft ist und auf das digitale Set Top Terminal heruntergeladen wird (entweder in seiner Gesamtheit oder ein Eintrag zu einem Zeitpunkt in einer geeigneten Nachricht, wenn sie heruntergeladen wird). Wann immer der Downioader geschützte Softwareobjekte herunterlädt, stellt er dem digitalen Set Top Terminal die geheime „Softwareobjektfingerabdruck für die Dienststufenverknüpfung" (ECS) zur Verfügung, die vorzugsweise durch bekannte Methoden vor der Übertragung codiert wurde. Der Downloader lädt das Softwareobjekt in einer Karussellart herunter, während der ECS in dem verknüpften ECM unabhängig gesendet werden kann. Es versteht sich für den Fachmann, daß diese Unabhängigkeit eine zusätzliche Sicherheitsmaßnahme bereitstellt.
Die Anmelder haben bemerkt, daß in einer alternativen Ausführungsform der Erfindung, wenn die Autorisierung nicht erforderlich ist, die ECS effektiv nur aus der ECR bestehen kann (d.h. Schritt 20 von 2 wird nicht durchgeführt). Die ECS in solch einer Ausführungsform wird huckepack auf das heruntergeladene Objekt gepackt. Das Set Top Terminal untersucht die ECS, um den Authentifizierungscheck durchzuführen. Die Set Top Download Funktion lädt die ersten NBytes des Objekts herunter (wie durch die Kopfzeileninformation, die das heruntergeladene Objekt begleitet, angezeigt) und ignoriert die hinterhergezogenen Bytes, die den ECS aufweisen. Die bevorzugte Ausführungsform, die oben beschrieben wurde, ist jedoch für die Ausführungsform aus zwei Gründen vorteilhaft: erstens, die Kopplung der ECS mit dem Objekt entfernt eine wünschenswerte Sicherheitsmaßnahme und zweitens, diese Ausführungsform fügt eine inkonsistente Verarbeitung zwischen einem ECS, das nur das ECR und einem, welches die Service- bzw. Dienststufenverknüpfung enthält, ein. Die bevorzugte Ausführungsform beschränkt jedoch nicht, wie das ECS weitergeleitet werden kann, noch beschränkt es das ECS auf den Nachrichtentyp, der es spezifiziert (EMM oder irgendeine andere Steuernachricht).
In Schritt 40 von 2 kann der Downloader Teil der AC oder DAC sein, da sie als eine Softwareaufgabe angesehen werden kann oder alternativ sie von dem DAC getrennt werden kann, d.h. ein Softwaretask läuft auf seiner eigenen HW-Plattform ab..
Der MSO steuert dann unter Verwendung des AC oder des DAC (beide sind HW und SW Vorrichtungen) über Parametereinstellungen vom Abrechnungssystem und basierend auf dem Kundenprofil den Zugriff des Set Top Terminals auf einen spezifischen Dienst und ein verknüpftes Objekt oder eine Gruppe von Objekten durch Verwenden der vorher erwähnten Berechtigungsverwaltungsnachrichten (EMMs), die für dieses Set Top Terminal spezifisch sind. Diese Nachrichten legen ebenso fest, ob im Set Top Terminal gestattet ist, das Softwareobjekt zu verwenden und kann ebenso spezifizieren, welche Set Top Terminal Ressourcen (zum Beispiel Kommunikationsports, Druckeranschluß, Tastatur, usw.) das Objekt verwenden darf (wenn die Teilnehmergradsteuerung gewünscht ist). Zusätzlich kann der AC oder der DAC selektiv eine Impulsautorisierungsstufe zuweisen (und die Einstellung über dieselbe Nachricht weiterleiten), um die unmittelbare Autorisierung der angeforderten Ressource zu erleichtern, wenn der Teilnehmer explizit anfordert, daß die Ressource autorisiert sein soll. In dem Fall, wo eine Ressource als eine impulsautorisierbare Ressource autorisiert wird (durch Verknüpfen dieser mit einer Impulsstufe in der Nachricht), kann der Benutzer eine Impulsautorisierung (d.h. sofort) dieser Ressource anfordern, wodurch vermieden wird, daß der Teilnehmer (der Benutzer) den MSO für solch eine Autorisierung anrufen muß.
Schließlich sendet in Schritt 50 der AC oder der DAC die EMMs zu jedem Set Top Terminal, um ihm zu erlauben, das Objekt (die Objekte) herunterzuladen und zu verwenden (genauer gesagt, wenn die Ressourcensteuerung für ein einzelnes Objekt global für alle Set Tops gewünscht ist, kann die Erlaubnisliste für die Ressourcensteuerung in dem ECS residieren, anderenfalls werden die Erlaubnisnachrichten (Zugriffsrechte) individuell in einem EMM zu jedem Set Top weitergeleitet). Der Zugriffscontroller (oder DAC) sendet dann die Berechtigung zu dem Set Top Terminal, das autorisiert ist, diesen Dienst und verknüpfte Objekte zu empfangen (wieder werden diese Berechtigungen in den vorher beschriebenen EMMs zugewiesen).
Eine Systemroutine wird erzeugt und im Set Top Terminal bereitgestellt und wird aufgerufen, wann immer das Set Top Terminal die Autorisierungsrechte und die Authentizität der Softwareobjekte, die mit dem angeforderten Dienst verknüpft sind, überprüft. Diese Systemroutine kann Teil eines Kerncodes (BIOS) im Set Top Terminal sein. Sie kann ebenso innerhalb des Betriebssystems (OS) oder innerhalb von Middleware bereitgestellt werden. Wenn das Betriebssystem, beispielsweise die JVM, heruntergeladen wird, wird die residente Routine aufgerufen, um die Autorisierungsrechte vor dem Herunterladen zu überprüfen und, falls dies der Fall ist, diese Objekte nach dem Herunterladen authentifizieren. Eine zweite Autorisierungsstufe kann ebenso (für einige Objekte) vorhanden sein, um zu prüfen, ob die Verwendung/Aufruf dieser Objekte erlaubt ist. Sobald das Betriebssystem geladen wird, ruft jede nachfolgende Objektverwendung, die das Betriebssystem über die JVM involviert, die äquivalente Autorisierung und die Authentifizierungsroutine in dem OS auf.
Genauer gesagt, authentifiziert und autorisiert das Set Top Terminal ein heruntergeladenes Objekt unter Verwendung der EMMs und ECMs, die mit einem gegebenen Set Top Terminal bzw. Objekt verknüpft sind. Das Set Top kann die Autorisierungsrechte gegenüber den Autorisierungsanforderungen des Softwareobjekts vor dem Herunterladen des Objekts, beim Herunterladen des Objekts oder wann immer das Objekt verwendet werden soll, prüfen. Nachfolgende Autorisierungsüberprüfungen sind optional. 3 ist ein Flußdiagramm, das die Schritte darstellt, die beim Set Top Terminal beim Aufruf des Softwareobjekts durchgeführt werden.
In 3 ist Schritt 100 die Herunterladeanforderung. Folglich ruft in Schritt 110 das BIOS, das Betriebssystem und/oder die virtuelle Java Maschine (JVM), wenn das Herunterladen oder die Verwendung eines Softwareobjekts angefordert wird, die Set Top CA-Routine für eine Authentifizierungs- und Autorisierungsüberprüfung auf. Die Verwendung oder der Start des Objekts wird nur erlaubt, wenn die Überprüfung erfolgreich ist. Der CA-Check wird erleichtert durch den sicheren Prozessor. Zusätzlich kann ein Laufzeitmerkmal implementiert werden, wo immer der sichere Prozessor die Objektlaufzeit aufzeichnet und dessen Ablauf überprüft, beginnend beispielsweise mit der ersten Verwendung (d.h. das erste Mal, wo der sichere Prozessor bei der Authentifizierung und Autorisierung des Objekts beteiligt war). Wenn abgelaufen, kann das Betriebssystem oder die JVM unterbrochen werden, um das Objekt (die Objekte) zu deaktivieren/zu löschen. Falls eine der Überprüfungen fehlschlägt, kann das Set Top Terminal die Ergebnisse in einem Bericht zurück an den Zugriffscontroller schreiben. Das Merkmal ist wieder eine Kombination von Software- und Hardwarefunktionen.
Genauer gesagt, wird in Schritt 120 von 3 eine Bestimmung durchgeführt, ob oder ob nicht die Notwendigkeit besteht, die Autorisierungsrechte zu überprüfen. Falls nicht, wie in 3 gezeigt, kann in Schritt 130 das Softwareobjekt vor jeder Autorisierung auf das Set Top Terminal heruntergeladen werden. Falls dies so ist, wird jedoch in Schritt 200 die Bedingungszugriffsroutine (CA) vor dem Herunterladen des Objekts bestimmen können, ob das Set Top Terminal autorisiert ist, das Objekt herunterzuladen. Dieser Schritt ist optional und kann von der Natur des Softwareobjekts abhängen (d.h. einige Objekte sind notwendig und müssen keine vorherige Autorisierung erfordern). Wenn der Schritt durchgeführt wird und wenn die Feststellung getroffen wird, daß das Set Top Terminal autorisiert ist, das Objekt herunterzuladen, setzt der Prozeß mit Schritt 210 fort. Wenn jedoch eine Feststellung in Schritt 200 gemacht wird, daß das Set Top Terminal nicht autorisiert ist, das Objekt herunterzuladen, setzt der Prozeß mit Schritt 150 fort, wo das Objekt nicht verwendet wird.
In Schritt 210 wird das Softwareobjekt auf das Set Top Terminal heruntergeladen und der Prozeß setzt mit Schritt 150 für die Authentifizierung fort, was unten detaillierter beschrieben ist.
Alternativ wird, wenn eine Feststellung in Schritt 120 getroffen wird, daß es nicht notwendig ist, die Autorisierungsrechte zu überprüfen, das Softwareobjekt wieder heruntergeladen (Schritt 130) und wie in Schritt 140 gezeigt ist, bestimmt die Bedingungszugriffsroutine (CA), ob das Set Top Terminal autorisiert ist, das Softwareobjekt zu verwenden/zu starten. Basierend auf dieser Feststellung kann das Softwareobjekt verwendet oder nicht verwendet werden. Alle nicht autorisierten Softwareobjekte werden keine entsprechende Stufenverknüpfung haben. Die codierte „Fingerabdruck des Softwareobjekts zum Stufenwert"-Verknüpfung (ECS) des Softwareobjekts (oder der „Anwendung" in diesem Beispiel) ist nur dem MSO bekannt und ist per Definition für jedes Softwareobjekt eindeutig und wird geschützt. Folglich, wenn in Schritt 140 eine Bestimmung durchgeführt wird, daß das Set Top Terminal nicht autorisiert wurde, das Softwareobjekt zu verwenden/starten, setzt der Prozeß mit Schritt 140 fort, wo das Softwareobjekt nicht heruntergeladen (oder verendet) wird. Wenn die Stufe, die dem Softwareobjekt entspricht, jedoch autorisiert wurde, setzt der Prozeß mit Schritt 150 fort. Der Schritt 150 prüft die CA-Routine erneut mit der Unterstützung des sicheren Prozessor, um zu sehen, ob das Softwareobjekt die entsprechende Fingerabdruckverknüpfung hat. Abhängig vom Ergebnis kann das Softwareobjekt verwendet werden oder nicht. Beispielsweise werden alle nicht autorisierten Softwareobjekte keinen entsprechenden Fingerabdruck haben (da ein nicht autorisiertes Softwareobjekt den entsprechenden ECR Wert nicht „raten" kann). In diesem Fall setzt der Prozeß mit Schritt 160 fort, wo das Softwareobjekt nicht verwendet wird. Der geschützte Fingerabdruck des Softwareobjekts ist nur dem MSO bekannt und per Definition für jedes Softwareobjekt eindeutig. Falls das Softwareobjekt die entsprechende Fingerabdruckverknüpfung hat, setzt das Verfahren jedoch mit Schritt 170 fort, wo das Set Top Terminal das heruntergeladene Objekt autorisiert und authentifiziert.
Es versteht sich für den Fachmann, daß jeder der Autorisierungsschritte, die in den Schritten 140 und 200 von 3 dargestellt sind, optional sind und nicht notwendigerweise durchgeführt werden. Zusätzlich, obgleich die Autorisierungsüberprüfung, die in Schritt 200 durchgeführt wird, mit Schritt 210 fortsetzt und dann zur Authentifizierung von Schritt 150 fortsetzt, könnten zusätzliche nachfolgende Überprüfungen durch die CA-Routine durchgeführt werden und liegen innerhalb des Schutzbereichs der Erfindung.
Zusätzlich kann in einer zweiten Ausführungsform der Erfindung, wenn das Softwareobjekt die Verwendung einer gegebenen Set Top Terminal Ressource erfordert, ein ähnlicher Überprü fungsprozeß erfolgen, um zu bestimmen, ob das Softwareobjekt die Erlaubnis hat, die erforderlichen Ressourcen zu verwenden. Diese Erlaubnisse (Autorisierungsrechte) können mit einem gegebenen Objekt für alle Set Top Terminal verknüpft sein oder können mit einem gegebenen Objekt für ein spezifisches Set Top Terminal verknüpft sein. Die Autorisierungsrechte, um die Set Top Terminal Ressourcen zu verwenden, werden in einer ähnlichen Weise über die EMMs weitergeleitet.
Wie oben erwähnt, können die Autorisierungsrechte ebenso als Impulsstufen bestimmt werden, um anzuzeigen, daß der Teilnehmer die unmittelbare Autorisierung der impulsautorisierbaren Ressourcen anfordern kann. Das Set Top überprüft wiederum die Anforderung in einer ähnlichen Weise und falls der Impuls eingestellt ist, registriert, daß die Autorisierung stattgefunden hat (für mögliche nachfolgende Abrechnungszwecke).
Jede dieser Optionen ist in 4 gezeigt, wo in Schritt 122 eine Feststellung durchgeführt, ob eine Set Top Terminal Ressource vom Softwareobjekt angefordert wird (falls das Softwareobjekt die Ressourcenverwendung über das OS angefordert hat). Falls Schritt 122 feststellt, daß keine gültige Set Top Terminal Ressource angefordert wurde, wird keine weitere Maßnahme durchgeführt.
Wenn jedoch Schritt 122 feststellt, daß eine gültige Set Top Terminal Ressource angefordert wurde, setzt der Prozeß 124 fort, indem das OS den mit der angeforderten Set Top Terminal Ressource verknüpften Treiber aufruft. In Schritt 126 ruft der verknüpfte Treiber (mit der ersten Verwendung der Ressource) eine „zweite Bedingungszugriffsroutine" auf (die Teil des BIOS oder des Betriebssystems sein kann), um festzustellen, ob es dem aufgerufenen Softwareobjekt erlaubt ist, diese Ressource zu verwenden. Genauer gesagt, ruft die Treiberroutine die zweite Zugriffssteuerungsroutine auf, die in Verbindung mit dem sicheren Prozessor bestimmt, ob das Softwareobjekt die angefragte Ressource verwenden kann (d.h. bestimmt, ob sie für solch eine Verwendung autorisiert ist.). Die Ressourcenverwendungsautorisierungsrechte sind ebenso im sicheren Speicher gespeichert. Genauer gesagt, wird in Schritt 128 festgestellt, ob die EMM eine Erlaubnis bereitgestellt hat, die angeforderte Ressource zu verwenden. Falls die EMM keine solche Erlaubnis bereitgestellt hat, verbietet der Prozeß der nachgefragten Ressource (Schritt 130) (d.h. die Steuerung geht zurück zum Treiber und dann zum OS mit einem negativen Ergebnis, welches anzeigt, daß die Verwendung der angefragten Ressource nicht erlaubt ist. Falls jedoch das EMM die Erlaubnis bereitgestellt hat, wird die Verwendung der angefragten Set Top Ressource in Schritt 132 gestattet.
Zusätzlich, in dem Fall, wo die Erlaubnisse als Impulsstufen eingestellt werden (erfordern eine explizite Anforderung von dem Benutzer, um die Autorisierung u bewirken), gewährt die Routine die Autorisierung und trägt die Impulsanfrage in den sicheren Prozessor ein (für mögliche nachfolgende Berechnungszwecke über einen Rückberichtsmechanismus an die AC oder die DAC).
In noch einem weiteren Aspekt der bevorzugten Ausführungsform der Erfindung kann der Treiber, der mit einer angeforderten Ressource verknüpft ist, die zweite CA-Routine nur mit der ersten Verwendung der Ressource durch das Softwareobjekt aufrufen, während nachfolgende Aufrufe der zweiten Bedingungszugriffsroutine optional sind.
Schließlich versteht es sich für den Fachmann, daß verschiedene Verfahren implementiert sein können, um jeden Versuch, die oben beschriebenen Prozesse zu umgehen, zu erfassen. Diese Verfahren können periodische Hintergrundüberprüfungen des Softwareobjektspeichers, des Fingerabdrucks (der Speichergröße, Prüfsumme usw. enthalten kann), einschließlich des Set Top Terminalkern BIOS, Betriebssystems usw. auf vorberechnete und geschützte Werte für jeden hiervon beinhalten. Genauer gesagt, kann beispielsweise der sichere Prozessor des Set Top Terminals in Verbindung mit dem Benutzerprozessor eine Speicherprüfsumme auf verschiedenen kritischen Komponenten der Software durchführen. Dies kann erfolgen, wann immer der Benutzerprozessor und der sichere Prozessor genügend Leerlaufzeit haben, um diese Funktion durchzuführen, um negative Leistungsauswirkungen auf andere Funktionen zu minimieren. Er kann ebenso auf Anforderung des Betreibers über eine empfangene Befehlsnachricht (von dem Controller des MSO) aufgerufen werden, in dem Fall, daß der MSO die Integrität der Software als Teil eines Problembehebungs- oder Überwachungsprozeß überprüfen möchte. Der sichere Prozessor hat die kryptographische Prüfsumme der zu überprüfenden Softwarekomponente zu prüfen. Der Benutzerprozessor unter der Steuerung des Betriebssystems leitet die Speichersegmente, welche dieses Objekt aufweisen, zu dem sicheren Prozessor weiter.
Falls der sichere Prozessor bestimmt, daß die Überprüfung fehlgeschlagen ist, kann er den Status in einem verschlüsselten Format verkörpert, der in eine Nachricht eingeschlossen wird, die zu dem Controller des MSO gesendet wird. Die Zuverlässigkeit des Benutzerprozessor kann für diesen Zweck minimiert werden, um sicherzustellen, daß diese Operationen nicht abgefangen bzw. abgehört werden können. Zusätzlich, falls der Betrugsversuch oder ein Übertragungsfehler (in jedem Fall eine „Abweichung") erfaßt wird, können zusätzliche Indikationen bereitgestellt werden, beispielsweise das Anzeigen der eindeutigen Adresse des Set Top Terminals für die MSO/Kopfende, um alle oder einige der Dienste des Teilnehmers abzuschalten, um einem lokalen oder nationalen Zugriffssteuerungszentrum das Ereignis mitzuteilen, die Zeit, die eindeutige Set Top Terminal Adresse, den geographischen Ort, usw.
Obgleich verschiedene Ausführungsformen speziell dargestellt und hier beschrieben wurden, versteht es sich, daß Modifikationen und Variationen der vorliegenden Erfindung von den obigen Lehren abgedeckt sind und innerhalb des Bereichs der angefügten Ansprüche liegen, ohne vom Schutzbereich der Erfindung abzuweichen.

Claims

Verfahren zum Bereitstellen einer Autorisierung und einer Zugriffssteuerung von Softwareobjekten, die in digitalen Set-Top Terminals residieren, das die Schritte aufweist: Erzeugen eines Fingerabdruckes für jedes Softwareobjekt, Verknüpfen jedes Fingerabdruckes mit einer Serviceschicht (service tier), Codieren jeder Verknüpfung, die in dem Verknüpfungsschritt durchgeführt wurde, Erzeugen einer Verknüpfungstabelle, die die Information enthält, die in dem Codierungsschritt erzeugt wurde, Herunterladen der Verknüpfungstabelle auf das digitale Set-Top Terminal, Senden einer Nachricht, die eine Anzeige bereitstellt, welche Software das Set-Top Terminal verwenden kann, zu dem digitalen Set-Top Terminal, Bereitstellen einer Systemroutine an dem digitalen Set-Top Terminal, die aufgerufen wird, wann immer ein Softwareobjekt heruntergeladen wurde oder benutzt werden soll, wobei die Systemroutine die Verknüpfungstabelle verwendet, um zu bestimmen, ob das Softwareobjekt, das aufgerufen wird, für das Set-Top Terminal autorisiert wurde, und wobei eine Impulsautorisierungsserviceschicht zugewiesen werden kann, um die unmittelbare Autorisierung einer Ressource zu erleichtern.
Verfahren nach Anspruch 1, bei dem weiterhin vor den zitierten Schritten das Softwareobjekt verifiziert und validiert wurde.
Verfahren nach Anspruch 1, das weiterhin die Schritte aufweist: Aufzeichnen einer Lebensdauer des Softwareobjektes und beginnend mit einer ersten Verwendung, Überprüfen der Lebensdauer des Softwareobjektes auf Ablauf.
Verfahren nach Anspruch 3, welches, wenn eine Bestimmung in dem Überprüfungsschritt durchgeführt wird, dass die Softwareobjektlebensdauer abgelaufen ist, weiterhin den Schritt aufweist des Deaktivierens des Softwareobjektes.
Verfahren nach Anspruch 1, das, falls eine Mehrzahl von Softwareobjekten mit einem Dienst verknüpft sind, weiterhin den Schritt aufweist: Erzeugen eines Fingerabdruckes für die Mehrzahl von Softwareobjekten als eine Gruppe.
Verfahren nach Anspruch 1, bei dem die gesendete Nachricht weiterhin anzeigt, welche Set-Top Terminalressourcen das Softwareobjekt autorisiert nutzen kann.
Verfahren nach einem der vorherigen Ansprüche, bei dem die Impulsautorisierungsserviceschicht eine Zeitdauer hat, die hiermit verknüpft ist.
Verfahren nach Anspruch 1, bei dem weiterhin die gesendete Nachricht in dem Übertragungsschritt die Anzeige bereitstellt durch Einstellen der entsprechenden Serviceschichten.
Verfahren nach Anspruch 1, bei dem weiterhin, wenn die Serviceschicht nicht autorisiert wurde, das Softwareobjekt nicht ausgeführt wird.
Verfahren nach Anspruch 1, bei dem weiterhin, wenn die Serviceschicht autorisiert wurde, die Systemroutineüberprüfung bestimmt, ob das Softwareobjekt, das verwendet werden soll, einen entsprechenden Fingerabdrucktest besteht.
Verfahren nach Anspruch 10, bei dem, falls das zu benutzende Softwareobjekt den entsprechenden Fingerabdrucktest besteht, weiterhin der Schritt vorgesehen ist: Bestimmen, ob die Verwendung einer Set-Top Terminalressource angefordert wurde.
Verfahren nach Anspruch 11, bei dem, wenn eine Bestimmung in dem Bestimmungsschritt durchgeführt wird, dass die Verwendung einer Set-Top Terminalressource angefordert wurde, weiterhin der Schritt vorgesehen ist: Bereitstellen einer zweiten Systemroutine an dem digitalen Set-Top Terminal.
Verfahren nach Anspruch 11, bei dem, wenn eine Bestimmung in dem Bestimmungsschritt durchgeführt wird, dass die Verwendung einer Set-Top Terminalressource angefordert wurde, weiterhin der Schritt vorgesehen ist: Bestimmen, ob es das erste Mal ist, dass die Verwendung der Set-Top Terminalressource von dem Softwareobjekt angefordert wurde, wobei, falls es das erste Mal ist, dass die Ressourceverwendung angefordert wurde, eine zweite Systemroutine an dem digitalen Set-Top Terminal bereit gestellt wird.
Verfahren nach Anspruch 12, bei dem die zweite Systemroutine die gesendeten Nachrichten verwendet, um zu bestimmen, ob das Softwareobjekt die angeforderte Set-Top Terminalressource verwenden kann.
Verfahren nach Anspruch 10, bei dem weiterhin, falls das Softwareobjekt, das benutzt werden soll, keinen entsprechenden Fingerabdruck hat, das Softwareobjekt nicht ausgeführt wird.
Verfahren nach Anspruch 1, bei dem der Fingerabdruck des Softwareobjektes, das in dem Set-Top Terminal residiert, periodisch mit einem Referenzwert verglichen wird und eine Anzeige der Abweichung bereit gestellt wird.
System für das Bereitstellen einer Autorisierungs- und Zugriffssteuerung von Softwareobjekten, die in einem digitalen Set-Top Terminal residieren, das aufweist: eine Mehrfachsystemkabeloperatorsite, die aufweist: eine Einrichtung für das Erzeugen eines Fingerabdruckes für jedes Softwareobjekt, eine Einrichtung für das Zuweisen jedes Fingerabdruckes einer Serviceschicht, eine Codiereinrichtung für das Codieren jeder Verknüpfung, die in dem Verknüpfungsschritt vorgenommen wurde, eine Einrichtung für das Erzeugen einer Verknüpfungstabelle/-nachricht, die die Information enthält, die in dem Codierungsschritt erzeugt wurde, eine Einrichtung für das Herunterladen der Verknüpfungstabelle auf das digitale Set-Top Terminal, eine Einrichtung für das Senden einer Nachricht über das Bereitstellen einer Anzeige, welche Software das Set-Top Terminal nutzen kann, zu dem digitalen Set-Top Terminal und wobei das digitale Set-Top Terminal aufweist: eine Systemroutine, die aufgerufen wird, wann immer ein Softwareobjekt heruntergeladen wurde oder verwendet werden soll, wobei die Systemroutine die Verknüpfungstabelle/-nachricht verwendet, um zu bestimmen, ob das aufzurufende Softwareobjekt für das Set-Top Terminal autorisiert wurde, wobei eine Impulsautorisierungsdienstschicht zugewiesen sein kann, um die unmittelbare Autorisierung einer Ressource zu erleichtern.
System nach Anspruch 17, bei dem die Einrichtung für das Erzeugen eines Fingerabdruckes eine unabhängige Software-/HW-Objektautentifizierungs-Unterschriftseinrichtung (OASD) aufweist.
System nach Anspruch 18, bei dem die OASD die Einrichtung für das Zuweisen jedes Fingerabdruckes zu einer Serviceschicht aufweist.