上世紀(jì)的最后五年，以互聯(lián)網(wǎng)為代表的數(shù)字新媒體取得了巨大的發(fā)展；而世紀(jì)末寬帶網(wǎng)絡(luò)的出現(xiàn)和發(fā)展，更使得數(shù)字媒體具備了包容以電視為代表的傳統(tǒng)媒體的能力。數(shù)字媒體具備形式豐富、信息量大、傳輸質(zhì)量高、信息復(fù)制和傳輸?shù)某杀镜偷戎T多優(yōu)點(diǎn)，但同時(shí)也面臨兩大挑戰(zhàn)：

其一，在數(shù)字信息爆炸的形勢(shì)下，個(gè)性化信息定制的能力越來越成為信息服務(wù)商和每個(gè)信息最終用戶所密切關(guān)注的問題。數(shù)字媒體帶給信息用戶的，從形式上看有實(shí)時(shí)數(shù)據(jù)、計(jì)算機(jī)文件、音視頻流媒體等；從內(nèi)容上看有數(shù)字報(bào)紙、金融證券行情、新聞、電影電視節(jié)目等。這些數(shù)字信息品種非常繁雜，數(shù)量非常巨大。并非所有的信息對(duì)所有的用戶都是有價(jià)值的。每個(gè)人的信息需求千差萬別，只有人們自己感興趣的、需要的信息，對(duì)他來說才是有用的、有價(jià)值的。相反，那些不感興趣、不需要的信息，對(duì)他來說形同垃圾，是沒用的、是有負(fù)價(jià)值的。比如，你只想知道上海申花和上海國際上周足球比賽的結(jié)果，得到的卻是包括CNBA和排球比賽成績?cè)趦?nèi)的各種體育信息。那么，除了“2:2”這三個(gè)字節(jié)的信息是有價(jià)值的以外，其他成千上萬條信息都是沒用的，而且要注意到，它們的價(jià)值是負(fù)的。因?yàn)槟阈枰ㄙM(fèi)若干不必要的時(shí)間和精力，從這一大堆信息垃圾中搜索到你需要的這三個(gè)字節(jié)。在這種情況下，個(gè)性化信息定制的能力，開始成為各數(shù)字媒體經(jīng)營商關(guān)注的核心競(jìng)爭(zhēng)力之一，與以前所關(guān)注的信息多樣性、信息實(shí)時(shí)性并列，甚至更重要。

其二，與個(gè)性化伴生的信息安全問題。在滿足了用戶的個(gè)性化信息需求以后，每個(gè)用戶所獲得的信息，都跟自己的定制有關(guān)，也就跟自己為定制這些信息所繳納的費(fèi)用有關(guān)。“用戶為自己定制的信息付了錢”，這句話有兩重含義，其一是意味著這個(gè)用戶可以開始接收這些信息了，其二是說他不可以接收那些自己沒有為之付費(fèi)的信息。因此，信息安全的問題便被提了出來。為確保自己的經(jīng)濟(jì)利益，每個(gè)信息服務(wù)提供商都期望信息傳輸系統(tǒng)能夠提供一種安全機(jī)制，確保自己發(fā)出的每一比特信息，都準(zhǔn)確無誤地發(fā)到那些忠實(shí)的、付費(fèi)的客戶手中；同時(shí)，確保那些未付費(fèi)的、或者成心要盜用信息的，從同一條傳輸通路上，得不到一丁點(diǎn)他無權(quán)得到的信息。

個(gè)性化和信息安全這兩大挑戰(zhàn)，催生了“條件接入系統(tǒng)（CAS）”，并使其成為保證數(shù)字媒體機(jī)器平滑可靠運(yùn)轉(zhuǎn)所必需的核心部件。

 

2　條件接入系統(tǒng)的發(fā)展趨勢(shì)

　　條件接入（Conditional Access ）系統(tǒng)是用來控制訂戶對(duì)廣播服務(wù)或節(jié)目進(jìn)行接收的系統(tǒng)，即訂戶只能收看經(jīng)過授權(quán)的廣播服務(wù)或者節(jié)目。早期主要應(yīng)用在電視臺(tái)的電視廣播系統(tǒng)中對(duì)用戶進(jìn)行授權(quán)控制及授權(quán)管理，從而實(shí)現(xiàn)數(shù)據(jù)廣播系統(tǒng)的有償服務(wù)。條件接入技術(shù)已經(jīng)開始逐步應(yīng)用于IP組播/廣播網(wǎng)絡(luò)。

　　1985年美國的一家電視臺(tái)使用了第一代的CA系統(tǒng)。這個(gè)CA系統(tǒng)主要是為模擬系統(tǒng)設(shè)計(jì)的，對(duì)模擬信號(hào)加擾。采用了可尋址的模擬解碼器，依賴于頭端的設(shè)備及解擾器，比較容易被破解和復(fù)制。

　　1995年開始，出現(xiàn)了第二代CA系統(tǒng)，采用加擾控制字加密傳輸，用戶端使用IC卡解密，安全性較高，但這種系統(tǒng)主要是為數(shù)字電視設(shè)計(jì)的，只能對(duì)數(shù)字視頻進(jìn)行加解擾，無法對(duì)IP包數(shù)據(jù)操作，有一定的局限性。

　　隨著因特網(wǎng)和衛(wèi)星技術(shù)的廣泛應(yīng)用，各種數(shù)據(jù)業(yè)務(wù)開展的如火如荼，數(shù)據(jù)內(nèi)容的格式也很多，由于帶寬的限制，視頻流的節(jié)目大多采用MPEG-4格式的流媒體傳輸。而因特網(wǎng)和衛(wèi)星廣播是一個(gè)開放的體系，無法對(duì)傳輸?shù)臄?shù)據(jù)提供安全方面的措施，任何傳輸中的數(shù)據(jù)都可能被別人偵測(cè)、竊取到。因此，傳輸有價(jià)值的數(shù)據(jù)內(nèi)容就需要有安全的機(jī)制來實(shí)現(xiàn)保護(hù)功能。

　　技術(shù)的發(fā)展和市場(chǎng)的需要都要有新的CA系統(tǒng)來對(duì)信息進(jìn)行保護(hù)，目前的發(fā)展趨勢(shì)是基于IP的條件接入系統(tǒng)，可應(yīng)用于廣闊的因特網(wǎng)以及衛(wèi)星數(shù)據(jù)廣播。用于保護(hù)IP數(shù)據(jù)傳輸?shù)臈l件接入系統(tǒng)有著自己的特色：可對(duì)任何組播網(wǎng)絡(luò)上的內(nèi)容進(jìn)行保護(hù)；可對(duì)多個(gè)IP流進(jìn)行快速加密；支持動(dòng)態(tài)的用戶管理；可與IP內(nèi)容管理/節(jié)目編排系統(tǒng)集成；采用自主知識(shí)產(chǎn)權(quán)的軟件和基于智能卡的加密技術(shù)。

上海維賽特網(wǎng)絡(luò)系統(tǒng)有限公司所使用的DVB/IP系統(tǒng)就很好地實(shí)現(xiàn)了系統(tǒng)安全的保障，它具有以下重要的功能特征：基于IP數(shù)據(jù)流，可適用于任何的IP系統(tǒng)；采用智能IC卡存儲(chǔ)密鑰和算法，并進(jìn)行解密計(jì)算，實(shí)現(xiàn)高安全性；授權(quán)機(jī)制采用獨(dú)家先進(jìn)算法，占用帶寬小，授權(quán)速度快（占用100Kbps帶寬時(shí)，在平均30s左右的時(shí)間內(nèi)，為10萬用戶授權(quán)）；具有開放的軟件接口，可以和各類數(shù)字信息傳輸平臺(tái)，及各類訂戶管理系統(tǒng)結(jié)合使用。

 

3　條件接入系統(tǒng)在IP數(shù)據(jù)廣播中的系統(tǒng)運(yùn)轉(zhuǎn)機(jī)理

     上海維賽特網(wǎng)絡(luò)系統(tǒng)有限公司所使用的條件接入系統(tǒng)為數(shù)字內(nèi)容在以衛(wèi)星方式傳輸?shù)膽?yīng)用中提供了安全保障，它可以和流式數(shù)據(jù)無縫集成，如各種視頻流、音頻流和數(shù)據(jù)流等。可應(yīng)用于遠(yuǎn)程教育、企業(yè)培訓(xùn)、證券信息的實(shí)時(shí)廣播、商務(wù)電視和數(shù)據(jù)緩存等業(yè)務(wù)。它通過與SMS系統(tǒng)的結(jié)合，采用一些獨(dú)特的算法，完成極高效率的用戶授權(quán)，從而實(shí)現(xiàn)了數(shù)字信息服務(wù)的個(gè)性化、差異化；它以智能IC卡為基礎(chǔ)，實(shí)現(xiàn)了高強(qiáng)度的信息加密，保證了信息的安全傳輸和系統(tǒng)的安全運(yùn)行。條件接入系統(tǒng)分成兩部分：一是位于數(shù)字信息服務(wù)供應(yīng)商的前端子系統(tǒng)；二是位于最終信息使用者的用戶子系統(tǒng)。

     前端子系統(tǒng)的運(yùn)轉(zhuǎn)模型（見圖1）：

       

     前端子系統(tǒng)主要有授權(quán)管理系統(tǒng)、IP加密網(wǎng)關(guān)兩大功能模塊。

     圖中信息發(fā)送系統(tǒng)根據(jù)信息分組設(shè)置，從數(shù)據(jù)源（可以是本地的，也可以是異地地；可以是靜態(tài)的文件，也可以是實(shí)時(shí)的數(shù)據(jù)流）中調(diào)用信息，封裝在IP包內(nèi)發(fā)出。信息目標(biāo)地址包括目標(biāo)IP地址和UDP端口二個(gè)要素，不同分組的地址也不相同。

     授權(quán)管理系統(tǒng)根據(jù)信息分組信息和用戶信息（從訂戶管理系統(tǒng)-如pSMS-中獲得）相對(duì)應(yīng)，生成出授權(quán)表。授權(quán)表的含義就是標(biāo)明哪個(gè)用戶有權(quán)接收哪些信息。

     IP加密網(wǎng)關(guān)是一個(gè)基于IP包的加密授權(quán)系統(tǒng)。它通過SAS從數(shù)據(jù)庫中獲取用戶、節(jié)目及授權(quán)表（即用戶對(duì)節(jié)目的接收權(quán)限），并以此生成ECM、EMM等信息；同時(shí)，對(duì)收到的IP明文使用不同的密鑰進(jìn)行加密（加密密鑰按照一定的頻率隨機(jī)變化），并將IP密文和ECM、EMM等信息以特定的方式廣播出去，供用戶端接收。

     IP加密網(wǎng)關(guān)對(duì)IP包的加密格式遵循RFC有關(guān)IPSEC的標(biāo)準(zhǔn)，同時(shí)借鑒DVB-CAS體系的多級(jí)密鑰加密機(jī)制，安全可靠。

     用戶端子系統(tǒng)的運(yùn)轉(zhuǎn)模型（見圖2）：

      

     用戶端子系統(tǒng)，主要包括數(shù)據(jù)接收引擎、智能IC卡、解密引擎三個(gè)功能模塊。

     數(shù)據(jù)接收引擎從物理通道中收到廣播數(shù)據(jù)以后，進(jìn)行解析，根據(jù)各數(shù)據(jù)包包頭將其分門別類，把EMM和ECM提交給智能IC卡，把IP密文提交給解密引擎。

     智能IC卡根據(jù)EMM和ECM，以及自身存儲(chǔ)的信息（密鑰和算法）進(jìn)行運(yùn)算，得出解密密鑰，并送到解密引擎。

     解密引擎利用智能IC卡提供的解密密鑰，對(duì)IP密文進(jìn)行解密運(yùn)算，并輸出IP明文到對(duì)應(yīng)的上層數(shù)據(jù)接收/解釋程序。

     前面筆者主要從各功能模塊邏輯運(yùn)行的角度，解釋了條件接入系統(tǒng)的各主要組件，及其運(yùn)轉(zhuǎn)情況。下面筆者從該系統(tǒng)的物理結(jié)構(gòu)的角度，來分析和理解如何實(shí)現(xiàn)一個(gè)完整的條件接入系統(tǒng)。

     前端的物理結(jié)構(gòu)（見圖3）：

         

     條件接入系統(tǒng)前端各個(gè)功能模塊大致運(yùn)行在兩臺(tái)計(jì)算機(jī)上：一是控制機(jī)；二是IP加密網(wǎng)關(guān)。

     前端控制機(jī)是一臺(tái)運(yùn)行Windows操作系統(tǒng)的電腦，主要運(yùn)行授權(quán)管理系統(tǒng)，通過人機(jī)交互，把錄入的授權(quán)信息收集整理到對(duì)應(yīng)的數(shù)據(jù)庫表格中。

     IP加密網(wǎng)關(guān)是完成IP加密和控制條件訪問的實(shí)現(xiàn)者。它應(yīng)是一臺(tái)運(yùn)行WindowsNT或Windows2000的計(jì)算機(jī)，其上面的各個(gè)部件都要求能夠長期穩(wěn)定地運(yùn)行。這些部件包括：密鑰發(fā)生器、授權(quán)表生成系統(tǒng)（生成EMM和ECM）、授權(quán)表發(fā)送系統(tǒng)、加密引擎等。其中，加密引擎是運(yùn)行在核心態(tài)的，其在Windows網(wǎng)絡(luò)架構(gòu)中的地位是一個(gè)協(xié)議，其他的部件運(yùn)行在用戶態(tài)。

在整個(gè)條件接入系統(tǒng)的前端子系統(tǒng)中，IP加密網(wǎng)關(guān)處于核心地位， 它應(yīng)能監(jiān)測(cè)并顯示各種狀態(tài)信息，包括系統(tǒng)信息和各模塊工作狀態(tài)。

     跟前端子系統(tǒng)相比，用戶端的情況要稍微復(fù)雜一些。特別是考慮到不同的應(yīng)用環(huán)境，結(jié)構(gòu)也不太一樣，有多種不同的實(shí)現(xiàn)方式。在此僅列舉列舉一種將條件接入系統(tǒng)（IC卡除外）完全封裝在接收設(shè)備驅(qū)動(dòng)程序里面的應(yīng)用情況，其實(shí)現(xiàn)的結(jié)構(gòu)見圖4：

      

     在這種實(shí)現(xiàn)方式下，被包裹在驅(qū)動(dòng)程序中的條件接入系統(tǒng)用戶端子系統(tǒng)主要包含兩個(gè)部分：一是控制作用的數(shù)據(jù)過濾/派發(fā)部件，它過濾混合數(shù)據(jù)，將提取出的EMM、ECM提交給智能卡，而將IP密文提交給解密引擎；二是解密引擎，包含一組用于解密的函數(shù)的庫，用來對(duì)IP密文進(jìn)行解密，解密后的IP明文提交上層程序使用。

 

3　條件接入系統(tǒng)在IP數(shù)據(jù)廣播系統(tǒng)的用戶端可能出現(xiàn)的三種應(yīng)用

　　條件接入系統(tǒng)在用戶端的使用非常簡(jiǎn)單，但由于終端用戶可能會(huì)有不同的對(duì)象，如個(gè)人用戶、企業(yè)用戶和小運(yùn)營商的區(qū)別。因此，筆者詳細(xì)描述條件接入系統(tǒng)針對(duì)不同用戶對(duì)象的三種不同應(yīng)用。前端發(fā)出的加密數(shù)據(jù)流傳輸?shù)接脩舳撕螅鶕?jù)不同的實(shí)際運(yùn)營情況，可能有三種應(yīng)用結(jié)構(gòu)。

3.1　加密內(nèi)容組播應(yīng)用

　　這種應(yīng)用情況下，終端用戶一般為個(gè)人用戶，每個(gè)用戶使用智能卡作身份認(rèn)證。各種內(nèi)容從前端加密后發(fā)出，經(jīng)過各種組播網(wǎng)絡(luò)的傳輸，加密內(nèi)容到達(dá)終端用戶，用戶使用條件接入系統(tǒng)的接收端軟件和智能卡，就可以接收自己訂閱的各種內(nèi)容。

　　這種應(yīng)用是較為普遍的應(yīng)用情況，加密的數(shù)據(jù)流可以經(jīng)過各種網(wǎng)絡(luò)（有線網(wǎng)、衛(wèi)星、因特網(wǎng)、XDSL和無線等），如上海維賽特網(wǎng)絡(luò)系統(tǒng)有限公司就采用了衛(wèi)星網(wǎng)絡(luò)的方式，用戶是可以分布在世界各地的不同地方。可以應(yīng)用適用的數(shù)據(jù)服務(wù)也是多樣化的，可以是遠(yuǎn)程教育、金融股市實(shí)時(shí)行情、網(wǎng)站內(nèi)容緩存和視頻廣播等。

　　流程如下圖所示：

3.2　解密后內(nèi)容的組播應(yīng)用

　　這種應(yīng)用情況主要是為終端用戶是企業(yè)用戶而設(shè)計(jì)的。企業(yè)用戶使用pGuard接收端和智能卡設(shè)備，從外部網(wǎng)將加密內(nèi)容接收下來，解密后在企業(yè)局域網(wǎng)上組播，讓各個(gè)員工都可以收到。

　　這種應(yīng)用具有特定的用戶群，學(xué)習(xí)型的企業(yè)用戶較為傾向于這種應(yīng)用。前端可能是跨國公司的總部，發(fā)出的加密數(shù)據(jù)流經(jīng)過各種網(wǎng)絡(luò)（有線網(wǎng)、衛(wèi)星、因特網(wǎng)、XDSL和無線等），最終到達(dá)分布在世界各地的各個(gè)分公司。這種應(yīng)用可以適用的數(shù)據(jù)服務(wù)也是多樣化的，可以是培訓(xùn)、視頻會(huì)議、遠(yuǎn)程數(shù)據(jù)緩存和信息亭服務(wù)等。

　　流程如下圖所示：

　　

3.3　解密后內(nèi)容的再加密應(yīng)用

　　在這種應(yīng)用情況下，主要是針對(duì)分級(jí)的運(yùn)營商設(shè)計(jì)的。大運(yùn)營商將各種內(nèi)容加密后從前端發(fā)出，經(jīng)過各種組播網(wǎng)絡(luò)后到達(dá)各地的小運(yùn)營商處。小運(yùn)營商使用pGuard接收端和智能卡將加密內(nèi)容接收下來，將內(nèi)容解密后，小運(yùn)營商根據(jù)需要將內(nèi)容進(jìn)行整理、編輯，然后再使用pGuard前端系統(tǒng)將內(nèi)容加密后發(fā)出。經(jīng)過再加密的內(nèi)容通過各種網(wǎng)絡(luò)到達(dá)終端用戶，終端用戶使用pGuard接收端和智能卡將內(nèi)容接收下來，用戶就可以享受到豐富的數(shù)據(jù)信息了。

　　已經(jīng)有眾多分支結(jié)構(gòu)的全國性運(yùn)營商較為傾向于這種應(yīng)用，因?yàn)榭梢愿采w大面積的地區(qū)。前端可能是全國性的運(yùn)營商，發(fā)出的加密數(shù)據(jù)流經(jīng)過各種網(wǎng)絡(luò)（有線網(wǎng)、衛(wèi)星、因特網(wǎng)、XDSL和無線等），最終到達(dá)分布在各地的分支，由這些分支機(jī)構(gòu)對(duì)這些內(nèi)容進(jìn)行選擇和整理，對(duì)本地用戶進(jìn)行分發(fā)。這種應(yīng)用可以適用大多數(shù)的數(shù)據(jù)服務(wù)，可以是遠(yuǎn)程教育、股市行情、培訓(xùn)、視頻會(huì)議、遠(yuǎn)程數(shù)據(jù)緩存和信息亭服務(wù)等。

　　流程如下圖所示：