引言

　　隨著數字電視網絡雙向化改造的快速發展，傳統單向廣播網絡環境下的條件接收體系已不能適應于新的雙向網絡環境和業務模式。為進一步推進數字電視產業的快速發展，迫切需要研發出適應于雙向DTV網絡環境和業務模式的安全解決方案，滿足數字電視雙向DTV業務的運營需求和安全需求。

　　在雙向DTV網絡環境中，內容發布者和終端用戶之間存在兩條傳輸信道，一條傳輸信道是傳統的單向廣播HFC信道，另一條是數字電視網絡雙向化改造后增加的雙向IP信道，如圖1所示。雙向DTV的業務實現中，節目內容打包成MPEG TS流以廣播方式發送給終端用戶，終端用戶與內容提供者之間通過IP通道完成認證授權及許可證申請。

　　本文基于數字版權管理(DRM)技術提出了一種雙向DTV安全解決方案，可以實現對雙向DTV數字內容端到端的安全傳輸和存儲，并能實現對數字內容權限的使用控制。

　　圖1 雙向DTV網絡結構

　　DRM簡介

　　DRM技術可以實現對數字內容進行描述、識別、保護、監控和跟蹤，以達到在數字內容知識產權的整個生命周期內對其進行保護，可以實現對數字內容端到端的安全傳輸和存儲，并能實現對數字內容權限的使用控制。

　　實現DRM主要有兩類技術：一類是數字水印技術，另一類是數據加密技術。數字水印技術尚不成熟，并且只能在發現盜版后用于取證或追蹤，不能在事前防止盜版。以數據加密為核心的DRM 技術，核心思想是把數字內容進行加密，只有授權用戶才能得到內容解密的密鑰。

　　當前國內外多數公司和研究結構的DRM系統都采用基于數據加密的技術。本文也基于數據加密技術，結合數字簽名和證書認證等技術，提出了一種有效地雙向DTV業務的版權保護安全解決方案，可以實現對雙向DTV業務數字內容的管理控制和版權保護。

　　解決方案

　　本文提出的雙向DTV DRM安全解決方案，結合證書認證系統(PKI/CA)，通過為終端設備和前端服務器簽發數字證書，并使用數字證書標識和認證系統中各實體身份，在運營商和用戶之間，以及用戶與用戶之間建立可信的信任體系;并設計實現多層密鑰體系，使用非對稱密碼算法進行身份認證、內容密鑰的安全分發和協商，使用對稱密碼算法把數字內容加密為媒體文件密文，并通過直播、點播等業務模式，分發給終端用戶，并控制保障數字內容在終端的合理使用。

　　系統結構

　　本文提出的雙向DTV DRM安全方案的系統架構如圖2所示：

　　圖2 雙向DTV DRM系統架構

　　本文提出的雙向DTV DRM安全方案由下列模塊組成：

　　證書中心(CA)：為前端授權管理系統和終端簽發數字證書，建立基于PKI的信任體系;終端和授權管理系統通過證書交換和密鑰協商完成雙向身份認證和安全通道建立;

　　授權管理系統：為終端生成許可證，并認證終端的身份，并為終端安全授權;

　　密碼管理系統：生成各種密鑰，并實現內容加密;對于直播內容在線實時加密;對于點播內容，實現離線預加密;

　　DRM代理：設備中的可信實體，實施對內容的許可和限制，控制內容使用。嚴格按照權限對數字內容進行操作;

　　內容分發服務器：存儲并管理加密的數字內容，并按照不同業務模式分發內容;

　　密鑰體系