隨著數(shù)字電視網絡雙向化改造的快速發(fā)展，傳統(tǒng)單向廣播網絡環(huán)境下的條件接收體系已不能適應于新的雙向網絡環(huán)境和業(yè)務模式。為進一步推進數(shù)字電視產業(yè)的快速發(fā)展，迫切需要研發(fā)出適應于雙向DTV網絡環(huán)境和業(yè)務模式的安全解決方案，滿足數(shù)字電視雙向DTV業(yè)務的運營需求和安全需求。

　　在雙向DTV網絡環(huán)境中，內容發(fā)布者和終端用戶之間存在兩條傳輸信道，一條傳輸信道是傳統(tǒng)的單向廣播HFC信道，另一條是數(shù)字電視網絡雙向化改造后增加的雙向IP信道，如圖1所示。雙向DTV的業(yè)務實現(xiàn)中，節(jié)目內容打包成MPEGTS流以廣播方式發(fā)送給終端用戶，終端用戶與內容提供者之間通過IP通道完成認證授權及許可證申請。

　　本文基于數(shù)字版權管理(DRM)技術提出了一種雙向DTV安全解決方案，可以實現(xiàn)對雙向DTV數(shù)字內容端到端的安全傳輸和存儲，并能實現(xiàn)對數(shù)字內容權限的使用控制。

　　DRM簡介

　　DRM技術可以實現(xiàn)對數(shù)字內容進行描述、識別、保護、監(jiān)控和跟蹤，以達到在數(shù)字內容知識產權的整個生命周期內對其進行保護，可以實現(xiàn)對數(shù)字內容端到端的安全傳輸和存儲，并能實現(xiàn)對數(shù)字內容權限的使用控制。

　　實現(xiàn)DRM主要有兩類技術：一類是數(shù)字水印技術，另一類是數(shù)據加密技術。數(shù)字水印技術尚不成熟，并且只能在發(fā)現(xiàn)盜版后用于取證或追蹤，不能在事前防止盜版。以數(shù)據加密為核心的DRM技術，核心思想是把數(shù)字內容進行加密，只有授權用戶才能得到內容解密的密鑰。

　　當前國內外多數(shù)公司和研究結構的DRM系統(tǒng)都采用基于數(shù)據加密的技術。本文也基于數(shù)據加密技術，結合數(shù)字簽名和證書認證等技術，提出了一種有效地雙向DTV業(yè)務的版權保護安全解決方案，可以實現(xiàn)對雙向DTV業(yè)務數(shù)字內容的管理控制和版權保護。

　　解決方案

　　本文提出的雙向DTVDRM安全解決方案，結合證書認證系統(tǒng)(PKI/CA)，通過為終端設備和前端服務器簽發(fā)數(shù)字證書，并使用數(shù)字證書標識和認證系統(tǒng)中各實體身份，在運營商和用戶之間，以及用戶與用戶之間建立可信的信任體系;并設計實現(xiàn)多層密鑰體系，使用非對稱密碼算法進行身份認證、內容密鑰的安全分發(fā)和協(xié)商，使用對稱密碼算法把數(shù)字內容加密為媒體文件密文，并通過直播、點播等業(yè)務模式，分發(fā)給終端用戶，并控制保障數(shù)字內容在終端的合理使用。

　　本文提出的雙向DTVDRM安全方案由下列模塊組成：

　　證書中心(CA)：為前端授權管理系統(tǒng)和終端簽發(fā)數(shù)字證書，建立基于PKI的信任體系;終端和授權管理系統(tǒng)通過證書交換和密鑰協(xié)商完成雙向身份認證和安全通道建立;

　　授權管理系統(tǒng)：為終端生成許可證，并認證終端的身份，并為終端安全授權;

　　密碼管理系統(tǒng)：生成各種密鑰，并實現(xiàn)內容加密;對于直播內容在線實時加密;對于點播內容，實現(xiàn)離線預加密;

　　DRM代理：設備中的可信實體，實施對內容的許可和限制，控制內容使用。

　　嚴格按照權限對數(shù)字內容進行操作;

　　內容分發(fā)服務器：存儲并管理加密的數(shù)字內容，并按照不同業(yè)務模式分發(fā)內容;

　　密鑰體系

　　本文提出的雙向DTVDRM安全解決方案結合PKI非對稱密碼體系，建立了多層密鑰體系。

　　密鑰體系的最上面兩層是設備公私鑰對和用戶密鑰。對于諸如機頂盒的終端設備，在初始化時生成公私鑰對，私鑰在終端安全存儲，公鑰通過安全通道送到前端CA中心申請終端證書，這樣服務端就維護著終端的設備公鑰或證書。在為用戶分發(fā)智能卡時需要初始化智能卡，并在智能卡內寫入用戶密鑰或域密鑰，并且服務端也維護用戶密鑰/域密鑰和智能卡的對應關系。

　　對于直接加密內容的密鑰，根據內容類型的不同，采用不同的密鑰體系：

　　當數(shù)據內容是TS流或流文件時，密鑰方案采用類CAS的實時加擾的密鑰體系：首先使用控制字(CW)加擾內容，再使用業(yè)務密鑰(SK)加密傳輸CW，加密的CW和節(jié)目控制數(shù)據被封裝在ECM中，隨內容數(shù)據一起廣播。業(yè)務密鑰被用戶密鑰(PK)/域密鑰(DK)加密，可以封裝在EMM中廣播下發(fā)，或者通過雙向IP信道端對端下發(fā)，如圖3所示。

　　對于非TS流數(shù)據，如圖像、動畫數(shù)據等，本方案采用對稱密鑰加密的密鑰體系，使用內容加密密鑰(CEK)直接加密內容數(shù)據，內容加密密鑰被封裝在權限對象中使用用戶密鑰(PK)/域密鑰(DK)加密，通過雙向IP通道端對端下發(fā)，如圖4所示。

　　數(shù)據封裝

　　本方案針對不同的內容類型，采用不同的數(shù)據加密及封裝方式。對于TS流媒體內容，逐個TS報文加密，并只加密TS報文負荷的184字節(jié)，并且直接與其它TS流復用進行廣播分發(fā);對于非TS流文件(如動畫、圖片內容)，應連續(xù)加密，打包成TS流循環(huán)廣播。

　　業(yè)務流程

　　文本提出的雙向DTVDRM安全方案可以支持直播、點播等多種業(yè)務模式。不同的業(yè)務模式，具體的業(yè)務流程不同;對于直播業(yè)務，加密方式和業(yè)務流程皆類似于傳統(tǒng)的單向網絡下的電視廣播業(yè)務，其中數(shù)字內容實時加擾，加擾控制字CW加密封裝在ECM中，業(yè)務密鑰加密封裝EMM中，加擾的數(shù)字內容和ECM、EMM一起廣播分發(fā)。當然，EMM也可通過雙向IP網絡在線分發(fā)。

　　本文以點播業(yè)務為例，簡單說明業(yè)務的處理流程：

　　數(shù)字內容在密碼管理系統(tǒng)被預加密，同時把加密密鑰發(fā)送給授權管理系統(tǒng)生成權限許可證，并把加密的數(shù)字內容發(fā)送給內容分發(fā)服務器;用戶在終端點播數(shù)字內容時，首先向授權管理系統(tǒng)請求此數(shù)字內容的權限許可證。此時需要對終端和授權管理系統(tǒng)進行雙向身份認證，并協(xié)商會話密鑰，以建立雙方的安全連接;授權管理系統(tǒng)通過連接保護向終端下發(fā)點播內容的授權許可證，同時要求內容分發(fā)服務器向終端廣播所點播內容;終端DRM代理驗證授權許可證有效性，嚴格按照許可證中的權限許可和限制對內容進行操作，為用戶提供服務。