IP数据传输中条件接入系统的重要性

     上世纪的最后五年，以互联网为代表的数字新媒体取得了巨大的发展；而世纪末宽带网络的出现和发展，更使得数字媒体具备了包容以电视为代表的传统媒体的能力。数字媒体具备形式丰富、信息量大、传输质量高、信息复制和传输的成本低等诸多优点，但同时也面临两大挑战：

其一，在数字信息爆炸的形势下，个性化信息定制的能力越来越成为信息服务商和每个信息最终用户所密切关注的问题。数字媒体带给信息用户的，从形式上看有实时数据、计算机文件、音视频流媒体等；从内容上看有数字报纸、金融证券行情、新闻、电影电视节目等。这些数字信息品种非常繁杂，数量非常巨大。并非所有的信息对所有的用户都是有价值的。每个人的信息需求千差万别，只有人们自己感兴趣的、需要的信息，对他来说才是有用的、有价值的。相反，那些不感兴趣、不需要的信息，对他来说形同垃圾，是没用的、是有负价值的。比如，你只想知道上海申花和上海国际上周足球比赛的结果，得到的却是包括CNBA和排球比赛成绩在内的各种体育信息。那么，除了“2:2”这三个字节的信息是有价值的以外，其他成千上万条信息都是没用的，而且要注意到，它们的价值是负的。因为你需要花费若干不必要的时间和精力，从这一大堆信息垃圾中搜索到你需要的这三个字节。在这种情况下，个性化信息定制的能力，开始成为各数字媒体经营商关注的核心竞争力之一，与以前所关注的信息多样性、信息实时性并列，甚至更重要。

其二，与个性化伴生的信息安全问题。在满足了用户的个性化信息需求以后，每个用户所获得的信息，都跟自己的定制有关，也就跟自己为定制这些信息所缴纳的费用有关。“用户为自己定制的信息付了钱”，这句话有两重含义，其一是意味着这个用户可以开始接收这些信息了，其二是说他不可以接收那些自己没有为之付费的信息。因此，信息安全的问题便被提了出来。为确保自己的经济利益，每个信息服务提供商都期望信息传输系统能够提供一种安全机制，确保自己发出的每一比特信息，都准确无误地发到那些忠实的、付费的客户手中；同时，确保那些未付费的、或者成心要盗用信息的，从同一条传输通路上，得不到一丁点他无权得到的信息。

个性化和信息安全这两大挑战，催生了“条件接入系统（CAS）”，并使其成为保证数字媒体机器平滑可靠运转所必需的核心部件。

 

2　条件接入系统的发展趋势

　　条件接入（Conditional Access ）系统是用来控制订户对广播服务或节目进行接收的系统，即订户只能收看经过授权的广播服务或者节目。早期主要应用在电视台的电视广播系统中对用户进行授权控制及授权管理，从而实现数据广播系统的有偿服务。条件接入技术已经开始逐步应用于IP组播/广播网络。

　　1985年美国的一家电视台使用了第一代的CA系统。这个CA系统主要是为模拟系统设计的，对模拟信号加扰。采用了可寻址的模拟解码器，依赖于头端的设备及解扰器，比较容易被破解和复制。

　　1995年开始，出现了第二代CA系统，采用加扰控制字加密传输，用户端使用IC卡解密，安全性较高，但这种系统主要是为数字电视设计的，只能对数字视频进行加解扰，无法对IP包数据操作，有一定的局限性。

　　随着因特网和卫星技术的广泛应用，各种数据业务开展的如火如荼，数据内容的格式也很多，由于带宽的限制，视频流的节目大多采用MPEG-4格式的流媒体传输。而因特网和卫星广播是一个开放的体系，无法对传输的数据提供安全方面的措施，任何传输中的数据都可能被别人侦测、窃取到。因此，传输有价值的数据内容就需要有安全的机制来实现保护功能。

　　技术的发展和市场的需要都要有新的CA系统来对信息进行保护，目前的发展趋势是基于IP的条件接入系统，可应用于广阔的因特网以及卫星数据广播。用于保护IP数据传输的条件接入系统有着自己的特色：可对任何组播网络上的内容进行保护；可对多个IP流进行快速加密；支持动态的用户管理；可与IP内容管理/节目编排系统集成；采用自主知识产权的软件和基于智能卡的加密技术。

上海维赛特网络系统有限公司所使用的DVB/IP系统就很好地实现了系统安全的保障，它具有以下重要的功能特征：基于IP数据流，可适用于任何的IP系统；采用智能IC卡存储密钥和算法，并进行解密计算，实现高安全性；授权机制采用独家先进算法，占用带宽小，授权速度快（占用100Kbps带宽时，在平均30s左右的时间内，为10万用户授权）；具有开放的软件接口，可以和各类数字信息传输平台，及各类订户管理系统结合使用。

 

3　条件接入系统在IP数据广播中的系统运转机理

     上海维赛特网络系统有限公司所使用的条件接入系统为数字内容在以卫星方式传输的应用中提供了安全保障，它可以和流式数据无缝集成，如各种视频流、音频流和数据流等。可应用于远程教育、企业培训、证券信息的实时广播、商务电视和数据缓存等业务。它通过与SMS系统的结合，采用一些独特的算法，完成极高效率的用户授权，从而实现了数字信息服务的个性化、差异化；它以智能IC卡为基础，实现了高强度的信息加密，保证了信息的安全传输和系统的安全运行。条件接入系统分成两部分：一是位于数字信息服务供应商的前端子系统；二是位于最终信息使用者的用户子系统。

     前端子系统的运转模型（见图1）：

       

     前端子系统主要有授权管理系统、IP加密网关两大功能模块。

     图中信息发送系统根据信息分组设置，从数据源（可以是本地的，也可以是异地地；可以是静态的文件，也可以是实时的数据流）中调用信息，封装在IP包内发出。信息目标地址包括目标IP地址和UDP端口二个要素，不同分组的地址也不相同。

     授权管理系统根据信息分组信息和用户信息（从订户管理系统-如pSMS-中获得）相对应，生成出授权表。授权表的含义就是标明哪个用户有权接收哪些信息。

     IP加密网关是一个基于IP包的加密授权系统。它通过SAS从数据库中获取用户、节目及授权表（即用户对节目的接收权限），并以此生成ECM、EMM等信息；同时，对收到的IP明文使用不同的密钥进行加密（加密密钥按照一定的频率随机变化），并将IP密文和ECM、EMM等信息以特定的方式广播出去，供用户端接收。

     IP加密网关对IP包的加密格式遵循RFC有关IPSEC的标准，同时借鉴DVB-CAS体系的多级密钥加密机制，安全可靠。

     用户端子系统的运转模型（见图2）：

      

     用户端子系统，主要包括数据接收引擎、智能IC卡、解密引擎三个功能模块。

     数据接收引擎从物理通道中收到广播数据以后，进行解析，根据各数据包包头将其分门别类，把EMM和ECM提交给智能IC卡，把IP密文提交给解密引擎。

     智能IC卡根据EMM和ECM，以及自身存储的信息（密钥和算法）进行运算，得出解密密钥，并送到解密引擎。

     解密引擎利用智能IC卡提供的解密密钥，对IP密文进行解密运算，并输出IP明文到对应的上层数据接收/解释程序。

     前面笔者主要从各功能模块逻辑运行的角度，解释了条件接入系统的各主要组件，及其运转情况。下面笔者从该系统的物理结构的角度，来分析和理解如何实现一个完整的条件接入系统。

     前端的物理结构（见图3）：

         

     条件接入系统前端各个功能模块大致运行在两台计算机上：一是控制机；二是IP加密网关。

     前端控制机是一台运行Windows操作系统的电脑，主要运行授权管理系统，通过人机交互，把录入的授权信息收集整理到对应的数据库表格中。

     IP加密网关是完成IP加密和控制条件访问的实现者。它应是一台运行WindowsNT或Windows2000的计算机，其上面的各个部件都要求能够长期稳定地运行。这些部件包括：密钥发生器、授权表生成系统（生成EMM和ECM）、授权表发送系统、加密引擎等。其中，加密引擎是运行在核心态的，其在Windows网络架构中的地位是一个协议，其他的部件运行在用户态。

在整个条件接入系统的前端子系统中，IP加密网关处于核心地位， 它应能监测并显示各种状态信息，包括系统信息和各模块工作状态。

     跟前端子系统相比，用户端的情况要稍微复杂一些。特别是考虑到不同的应用环境，结构也不太一样，有多种不同的实现方式。在此仅列举列举一种将条件接入系统（IC卡除外）完全封装在接收设备驱动程序里面的应用情况，其实现的结构见图4：

      

     在这种实现方式下，被包裹在驱动程序中的条件接入系统用户端子系统主要包含两个部分：一是控制作用的数据过滤/派发部件，它过滤混合数据，将提取出的EMM、ECM提交给智能卡，而将IP密文提交给解密引擎；二是解密引擎，包含一组用于解密的函数的库，用来对IP密文进行解密，解密后的IP明文提交上层程序使用。

 

3　条件接入系统在IP数据广播系统的用户端可能出现的三种应用

　　条件接入系统在用户端的使用非常简单，但由于终端用户可能会有不同的对象，如个人用户、企业用户和小运营商的区别。因此，笔者详细描述条件接入系统针对不同用户对象的三种不同应用。前端发出的加密数据流传输到用户端后，根据不同的实际运营情况，可能有三种应用结构。

3.1　加密内容组播应用

　　这种应用情况下，终端用户一般为个人用户，每个用户使用智能卡作身份认证。各种内容从前端加密后发出，经过各种组播网络的传输，加密内容到达终端用户，用户使用条件接入系统的接收端软件和智能卡，就可以接收自己订阅的各种内容。

　　这种应用是较为普遍的应用情况，加密的数据流可以经过各种网络（有线网、卫星、因特网、XDSL和无线等），如上海维赛特网络系统有限公司就采用了卫星网络的方式，用户是可以分布在世界各地的不同地方。可以应用适用的数据服务也是多样化的，可以是远程教育、金融股市实时行情、网站内容缓存和视频广播等。

　　流程如下图所示：

3.2　解密后内容的组播应用

　　这种应用情况主要是为终端用户是企业用户而设计的。企业用户使用pGuard接收端和智能卡设备，从外部网将加密内容接收下来，解密后在企业局域网上组播，让各个员工都可以收到。

　　这种应用具有特定的用户群，学习型的企业用户较为倾向于这种应用。前端可能是跨国公司的总部，发出的加密数据流经过各种网络（有线网、卫星、因特网、XDSL和无线等），最终到达分布在世界各地的各个分公司。这种应用可以适用的数据服务也是多样化的，可以是培训、视频会议、远程数据缓存和信息亭服务等。

　　流程如下图所示：

　　

3.3　解密后内容的再加密应用

　　在这种应用情况下，主要是针对分级的运营商设计的。大运营商将各种内容加密后从前端发出，经过各种组播网络后到达各地的小运营商处。小运营商使用pGuard接收端和智能卡将加密内容接收下来，将内容解密后，小运营商根据需要将内容进行整理、编辑，然后再使用pGuard前端系统将内容加密后发出。经过再加密的内容通过各种网络到达终端用户，终端用户使用pGuard接收端和智能卡将内容接收下来，用户就可以享受到丰富的数据信息了。

　　已经有众多分支结构的全国性运营商较为倾向于这种应用，因为可以覆盖大面积的地区。前端可能是全国性的运营商，发出的加密数据流经过各种网络（有线网、卫星、因特网、XDSL和无线等），最终到达分布在各地的分支，由这些分支机构对这些内容进行选择和整理，对本地用户进行分发。这种应用可以适用大多数的数据服务，可以是远程教育、股市行情、培训、视频会议、远程数据缓存和信息亭服务等。

　　流程如下图所示：