双向数字电视网安全解决方案设计与实现.docVIP

双向数字电视网安全解决方案设计与实现 　　【编者按】随着“三网融合”的快速发展，耒来各种互联网公网业务，如网络视频、视频化的互联网服务等将逐渐迁移至广电网络的物理承载平台。此外，在广电内部，随着有线双向网改及增值业务的快速发展，也对内容安全传输提出了新的要求从技术角度而言，目前有线单向广播网络环境下的条件接收体系已不能适应新的双向网络环境及业务模式，如何保障双向网络环境下有线业务的安全运营，并与互联网公网业务的安全保护无缝对接，成为目前有线运营商面临的一个新课题。为此，本文作者基于数字版权管理(DRM)技术提出一种双向数字电视安全解决方案，希望能够为业内同行提供有益借鉴，同样欢迎您的睿智观点，来稿请发wang_yun@； 　　 　　DRM解决方案 　　 　　在双向数字电视网络环境中。内容发布者和终端用户之间存在两条传输信道：一条传输信道为传统的单向广播HFC信道；另一条为经过双向化改造后增加的双向IP信道，如图1所示。其传输流程为：运营商将节目内容打包成MPEG TS流，以广播方式发送给终端用户；终端用户与内容提供者之间通过IP通道完成认证授权及许可证申请。以保障内容传输的安全性。 　　与其他安全解决方案相比，采用基于数字版权管理(DIM)技术的双向数字电视安全解决方案，在实现对双向数字内容端到端安全传输及存储的基础上，还可实现对数字内容权限的使用控制。 　　 　　目前DRM的实现主要采用两类技术：数字水印技术及数据加密技术。其中数字水印技术尚不成熟，且只能在发现盗版后用于取证或追踪，不能在事前防止盗版。数据加密型DRM技术的核心思想是对数字内容进行加密，只有授权用户才能获得内容解密的密钥正常收看。鉴于此，当前国内外多数公司及研究机构的DRM系统均采用了基于数据加密的技术。 　　本文介绍的双向数字电视DRM安全解决方案的主要技术原理为：基于数据加密DRM技术，结合证书认(PKI／CA)，通过为终端设备及前端服务器签发数字证书，在运营商与用户之间及用户与用户之间建立信任体系；通过多层密钥体系，使用非对称密码算法进行身份认证、内容密钥的安全分发和协商；使用对称密码算法将数字内容加密为媒体文件密文后，通过直播、点播等业务模式，分发给终端用户，并控制数字内容在终端的合理使用。 　　 　　解决方案 　　 　　1　体系架构 　　双向数字电视安全方案的系统架构如图2所示。 　　整体系统由下列模块组成： 　　证书中心(CA)：为前端授权管理系统及终端签发数字证书。建立基于PKI的信任体系，终端及授权管理系统通过证书交换和密钥协商完成双向身份认证和安全通道建立； 　　授权管理系统：为终端生成许可证，认证终端的身份，并为终端进行安全授权； 　　密码管理系统：生成各种密钥，并实现对内容的加密(对于直播内容进行在线实时加密，对于点播内容，进行离线预加密)； 　　DRM代理：设备中的可信实体，实施对内容的许可和限制，并控制对内容的使用，严格按照权限对数字内容进行操作； 　　内容分发服务器：存储并管理加密的数字内容，并按照不同业务模式分发内容。 　　 　　2　密钥体系 　　为了充分保证业务的安全性，该方案结合PKI非对称密码体系，建立了多层密钥体系，其中最上面两层为设备公私钥对及用户密钥。对于诸如机顶盒的终端设备，在初始化时生成公私钥对，其中私钥存储于终端，公钥通过安全通道传送到前端CA中心申请终端证书，终端的设备公钥及证书全部由前端服务器维护。采用这种方案时，必须对用户的智能卡进行初始化操作，以在智能卡内写入用户密钥或域密钥，并使服务端的用户密钥，域密钥与智能卡之间建立一一对应关系。 　　对于直接加密内容的密钥。根据内容类型的不同，可采用不同的密钥体系：当数据内容为TS流或流文件时，密钥方案采用类CAS的实时加扰密钥体系：即使用控制字(CW)加扰内容后，再使用业务密钥(SK)加密传输CW，加密的CW和节目控制数据被封装在ECM中，随内容数据一起广播。业务密钥被用户密钥(PK)，域密钥(DK)加密，封装在EMM中广播下发，或通过双向IP信道端对端下发。其原理如图3所示。 　　当数据内容为非Ts流型数据(如图像、动画数据)时，则采用对称密钥型密钥体系：即使用内容加密密钥(CEK)直接加密内容数据，内容加密密钥被封装在权限对象中使用用户密钥(PK)／域密钥(DK)加密，通过双向IP通道端对端下发，工作原理如图4所示。 　　 　　3　数据封装 　　针对不同的内容类型，可采用不同的数据加密及封装方式：对于TS流媒体内容，对TS报文进行逐个加密(只加密TS报文负荷的184字节)，直接与其他TS流复用后进行广播分发；对于非TS流文件(如动画、图片内容)，则对其连续加密后，打包成TS流进行循环广播。