IP数据传输中条件接入系统的重要性

摘　要：

摘　要：条件接入系统，是数字媒体的基本结构部件。它确保数字信息在传输通路中的安全流动，确保每个终端信息用户得到自己定制的信息。在基于IP数据流广播中应用的条件接入系统，可采用智能IC卡作为确保系统安全和信息安全的核心部件，并可被广泛地应用于各种网络平台，用以保障数据广播、在线交易等各类信息应用服务安全可靠地运行。

关键词：

关键词：条件接入系统　订户授权系统　IP数据传输

     1　数字媒体面临的挑战

     上世纪的最后五年，以互联网为代表的数字新媒体取得了巨大的发展；而世纪末宽带网络的出现和发展，更使得数字媒体具备了包容以电视为代表的传统媒体的能力。数字媒体具备形式丰富、信息量大、传输质量高、信息复制和传输的成本低等诸多优点，但同时也面临两大挑战：

其一，在数字信息爆炸的形势下，个性化信息定制的能力越来越成为信息服务商和每个信息最终用户所密切关注的问题。数字媒体带给信息用户的，从形式上看有实时数据、计算机文件、音视频流媒体等；从内容上看有数字报纸、金融证券行情、新闻、电影电视节目等。这些数字信息品种非常繁杂，数量非常巨大。并非所有的信息对所有的用户都是有价值的。每个人的信息需求千差万别，只有人们自己感兴趣的、需要的信息，对他来说才是有用的、有价值的。相反，那些不感兴趣、不需要的信息，对他来说形同垃圾，是没用的、是有负价值的。比如，你只想知道上海申花和上海国际上周足球比赛的结果，得到的却是包括CNBA和排球比赛成绩在内的各种体育信息。那么，除了“2:2”这三个字节的信息是有价值的以外，其他成千上万条信息都是没用的，而且要注意到，它们的价值是负的。因为你需要花费若干不必要的时间和精力，从这一大堆信息垃圾中搜索到你需要的这三个字节。在这种情况下，个性化信息定制的能力，开始成为各数字媒体经营商关注的核心竞争力之一，与以前所关注的信息多样性、信息实时性并列，甚至更重要。

其二，与个性化伴生的信息安全问题。在满足了用户的个性化信息需求以后，每个用户所获得的信息，都跟自己的定制有关，也就跟自己为定制这些信息所缴纳的费用有关。“用户为自己定制的信息付了钱”，这句话有两重含义，其一是意味着这个用户可以开始接收这些信息了，其二是说他不可以接收那些自己没有为之付费的信息。因此，信息安全的问题便被提了出来。为确保自己的经济利益，每个信息服务提供商都期望信息传输系统能够提供一种安全机制，确保自己发出的每一比特信息，都准确无误地发到那些忠实的、付费的客户手中；同时，确保那些未付费的、或者成心要盗用信息的，从同一条传输通路上，得不到一丁点他无权得到的信息。

个性化和信息安全这两大挑战，催生了“条件接入系统（CAS）”，并使其成为保证数字媒体机器平滑可靠运转所必需的核心部件。

2　条件接入系统的发展趋势

　　条件接入（Conditional Access ）系统是用来控制订户对广播服务或节目进行接收的系统，即订户只能收看经过授权的广播服务或者节目。早期主要应用在电视台的电视广播系统中对用户进行授权控制及授权管理，从而实现数据广播系统的有偿服务。条件接入技术已经开始逐步应用于IP组播/广播网络。

　　1985年美国的一家电视台使用了第一代的CA系统。这个CA系统主要是为模拟系统设计的，对模拟信号加扰。采用了可寻址的模拟解码器，依赖于头端的设备及解扰器，比较容易被破解和复制。

　　1995年开始，出现了第二代CA系统，采用加扰控制字加密传输，用户端使用IC卡解密，安全性较高，但这种系统主要是为数字电视设计的，只能对数字视频进行加解扰，无法对IP包数据操作，有一定的局限性。

　　随着因特网和卫星技术的广泛应用，各种数据业务开展的如火如荼，数据内容的格式也很多，由于带宽的限制，视频流的节目大多采用MPEG-4格式的流媒体传输。而因特网和卫星广播是一个开放的体系，无法对传输的数据提供安全方面的措施，任何传输中的数据都可能被别人侦测、窃取到。因此，传输有价值的数据内容就需要有安全的机制来实现保护功能。

　　技术的发展和市场的需要都要有新的CA系统来对信息进行保护，目前的发展趋势是基于IP的条件接入系统，可应用于广阔的因特网以及卫星数据广播。用于保护IP数据传输的条件接入系统有着自己的特色：可对任何组播网络上的内容进行保护；可对多个IP流进行快速加密；支持动态的用户管理；可与IP内容管理/节目编排系统集成；采用自主知识产权的软件和基于智能卡的加密技术。

上海维赛特网络系统有限公司所使用的DVB/IP系统就很好地实现了系统安全的保障，它具有以下重要的功能特征：基于IP数据流，可适用于任何的IP系统；采用智能IC卡存储密钥和算法，并进行解密计算，实现高安全性；授权机制采用独家先进算法，占用带宽小，授权速度快（占用100Kbps带宽时，在平均30s左右的时间内，为10万用户授权）；具有开放的软件接口，可以和各类数字信息传输平台，及各类订户管理系统结合使用。

3　条件接入系统在IP数据广播中的系统运转机理

     上海维赛特网络系统有限公司所使用的条件接入系统为数字内容在以卫星方式传输的应用中提供了安全保障，它可以和流式数据无缝集成，如各种视频流、音频流和数据流等。可应用于远程教育、企业培训、证券信息的实时广播、商务电视和数据缓存等业务。它通过与SMS系统的结合，采用一些独特的算法，完成极高效率的用户授权，从而实现了数字信息服务的个性化、差异化；它以智能IC卡为基础，实现了高强度的信息加密，保证了信息的安全传输和系统的安全运行。条件接入系统分成两部分：一是位于数字信息服务供应商的前端子系统；二是位于最终信息使用者的用户子系统。

     前端子系统的运转模型（见图1）：

     前端子系统主要有授权管理系统、IP加密网关两大功能模块。

     图中信息发送系统根据信息分组设置，从数据源（可以是本地的，也可以是异地地；可以是静态的文件，也可以是实时的数据流）中调用信息，封装在IP包内发出。信息目标地址包括目标IP地址和UDP端口二个要素，不同分组的地址也不相同。

     授权管理系统根据信息分组信息和用户信息（从订户管理系统-如pSMS-中获得）相对应，生成出授权表。授权表的含义就是标明哪个用户有权接收哪些信息。

     IP加密网关是一个基于IP包的加密授权系统。它通过SAS从数据库中获取用户、节目及授权表（即用户对节目的接收权限），并以此生成ECM、EMM等信息；同时，对收到的IP明文使用不同的密钥进行加密（加密密钥按照一定的频率随机变化），并将IP密文和ECM、EMM等信息以特定的方式广播出去，供用户端接收。

     IP加密网关对IP包的加密格式遵循RFC有关IPSEC的标准，同时借鉴DVB-CAS体系的多级密钥加密机制，安全可靠。

     用户端子系统的运转模型（见图2）：

     用户端子系统，主要包括数据接收引擎、智能IC卡、解密引擎三个功能模块。

     数据接收引擎从物理通道中收到广播数据以后，进行解析，根据各数据包包头将其分门别类，把EMM和ECM提交给智能IC卡，把IP密文提交给解密引擎。

     智能IC卡根据EMM和ECM，以及自身存储的信息（密钥和算法）进行运算，得出解密密钥，并送到解密引擎。

     解密引擎利用智能IC卡提供的解密密钥，对IP密文进行解密运算，并输出IP明文到对应的上层数据接收/解释程序。

     前面笔者主要从各功能模块逻辑运行的角度，解释了条件接入系统的各主要组件，及其运转情况。下面笔者从该系统的物理结构的角度，来分析和理解如何实现一个完整的条件接入系统。

     前端的物理结构（见图3）：

     条件接入系统前端各个功能模块大致运行在两台计算机上：一是控制机；二是IP加密网关。

     前端控制机是一台运行Windows操作系统的电脑，主要运行授权管理系统，通过人机交互，把录入的授权信息收集整理到对应的数据库表格中。