引言

　　隨著數(shù)字電視網(wǎng)絡(luò)雙向化改造的快速發(fā)展，傳統(tǒng)單向廣播網(wǎng)絡(luò)環(huán)境下的條件接收體系已不能適應(yīng)于新的雙向網(wǎng)絡(luò)環(huán)境和業(yè)務(wù)模式。為進(jìn)一步推進(jìn)數(shù)字電視產(chǎn)業(yè)的快速發(fā)展，迫切需要研發(fā)出適應(yīng)于雙向DTV網(wǎng)絡(luò)環(huán)境和業(yè)務(wù)模式的安全解決方案，滿足數(shù)字電視雙向DTV業(yè)務(wù)的運(yùn)營需求和安全需求。

　　在雙向DTV網(wǎng)絡(luò)環(huán)境中，內(nèi)容發(fā)布者和終端用戶之間存在兩條傳輸信道，一條傳輸信道是傳統(tǒng)的單向廣播HFC信道，另一條是數(shù)字電視網(wǎng)絡(luò)雙向化改造后增加的雙向IP信道，如圖1所示。雙向DTV的業(yè)務(wù)實(shí)現(xiàn)中，節(jié)目內(nèi)容打包成MPEG TS流以廣播方式發(fā)送給終端用戶，終端用戶與內(nèi)容提供者之間通過IP通道完成認(rèn)證授權(quán)及許可證申請。

　　本文基于數(shù)字版權(quán)管理(DRM)技術(shù)提出了一種雙向DTV安全解決方案，可以實(shí)現(xiàn)對雙向DTV數(shù)字內(nèi)容端到端的安全傳輸和存儲(chǔ)，并能實(shí)現(xiàn)對數(shù)字內(nèi)容權(quán)限的使用控制。

　　圖1 雙向DTV網(wǎng)絡(luò)結(jié)構(gòu)

　　DRM簡介

　　DRM技術(shù)可以實(shí)現(xiàn)對數(shù)字內(nèi)容進(jìn)行描述、識別、保護(hù)、監(jiān)控和跟蹤，以達(dá)到在數(shù)字內(nèi)容知識產(chǎn)權(quán)的整個(gè)生命周期內(nèi)對其進(jìn)行保護(hù)，可以實(shí)現(xiàn)對數(shù)字內(nèi)容端到端的安全傳輸和存儲(chǔ)，并能實(shí)現(xiàn)對數(shù)字內(nèi)容權(quán)限的使用控制。

　　實(shí)現(xiàn)DRM主要有兩類技術(shù)：一類是數(shù)字水印技術(shù)，另一類是數(shù)據(jù)加密技術(shù)。數(shù)字水印技術(shù)尚不成熟，并且只能在發(fā)現(xiàn)盜版后用于取證或追蹤，不能在事前防止盜版。以數(shù)據(jù)加密為核心的DRM 技術(shù)，核心思想是把數(shù)字內(nèi)容進(jìn)行加密，只有授權(quán)用戶才能得到內(nèi)容解密的密鑰。

　　當(dāng)前國內(nèi)外多數(shù)公司和研究結(jié)構(gòu)的DRM系統(tǒng)都采用基于數(shù)據(jù)加密的技術(shù)。本文也基于數(shù)據(jù)加密技術(shù)，結(jié)合數(shù)字簽名和證書認(rèn)證等技術(shù)，提出了一種有效地雙向DTV業(yè)務(wù)的版權(quán)保護(hù)安全解決方案，可以實(shí)現(xiàn)對雙向DTV業(yè)務(wù)數(shù)字內(nèi)容的管理控制和版權(quán)保護(hù)。

　　解決方案

　　本文提出的雙向DTV DRM安全解決方案，結(jié)合證書認(rèn)證系統(tǒng)(PKI/CA)，通過為終端設(shè)備和前端服務(wù)器簽發(fā)數(shù)字證書，并使用數(shù)字證書標(biāo)識和認(rèn)證系統(tǒng)中各實(shí)體身份，在運(yùn)營商和用戶之間，以及用戶與用戶之間建立可信的信任體系;并設(shè)計(jì)實(shí)現(xiàn)多層密鑰體系，使用非對稱密碼算法進(jìn)行身份認(rèn)證、內(nèi)容密鑰的安全分發(fā)和協(xié)商，使用對稱密碼算法把數(shù)字內(nèi)容加密為媒體文件密文，并通過直播、點(diǎn)播等業(yè)務(wù)模式，分發(fā)給終端用戶，并控制保障數(shù)字內(nèi)容在終端的合理使用。

　　系統(tǒng)結(jié)構(gòu)

　　本文提出的雙向DTV DRM安全方案的系統(tǒng)架構(gòu)如圖2所示：

　　圖2 雙向DTV DRM系統(tǒng)架構(gòu)

　　本文提出的雙向DTV DRM安全方案由下列模塊組成：

　　證書中心(CA)：為前端授權(quán)管理系統(tǒng)和終端簽發(fā)數(shù)字證書，建立基于PKI的信任體系;終端和授權(quán)管理系統(tǒng)通過證書交換和密鑰協(xié)商完成雙向身份認(rèn)證和安全通道建立;

　　授權(quán)管理系統(tǒng)：為終端生成許可證，并認(rèn)證終端的身份，并為終端安全授權(quán);

　　密碼管理系統(tǒng)：生成各種密鑰，并實(shí)現(xiàn)內(nèi)容加密;對于直播內(nèi)容在線實(shí)時(shí)加密;對于點(diǎn)播內(nèi)容，實(shí)現(xiàn)離線預(yù)加密;

　　DRM代理：設(shè)備中的可信實(shí)體，實(shí)施對內(nèi)容的許可和限制，控制內(nèi)容使用。嚴(yán)格按照權(quán)限對數(shù)字內(nèi)容進(jìn)行操作;

　　內(nèi)容分發(fā)服務(wù)器：存儲(chǔ)并管理加密的數(shù)字內(nèi)容，并按照不同業(yè)務(wù)模式分發(fā)內(nèi)容;

　　密鑰體系