一、概述 條件接收CA(Conditional Access)系統是一個綜合性系統,系統涉及到多種技術,包括加解密技術、加解擾技術、編碼技術、復用技術、智能卡技術、網絡技術、接收技術,此外還涉及到用戶管理、節目管理、收費管理等信息管理技術。 條件接收是數字電視加密控制的核心技術保證,為數字電視的運營提供了必要的技術手段,使擁有授權的用戶合法的使用某一項業務,而未經授權的用戶不能使用這一業務。 條件接收系統是基于MPEG-2和DVB標準開發設計的,并符合廣電總局制定的數字電視廣播條件接收系統規范。 數字視頻廣播標準DVB(Digitial Video Broadcast)是數字電視的通用國際標準,DVB標準以MPEG-2編碼系統為基礎,用MPEG-2數據包結構作為數據容器,并使用嚴格的DVB服務信息格式,有效地、方便地實現了多種媒體之間的傳輸,并實現它們之間的數字信號轉換。應用領域涉及到衛星傳輸、電纜傳輸、地面傳輸。 DVB有兩種加擾方式,即同密(SimulCrypt)和多密(MultiCrypt)。同密要求前端可以使用多個CA系統,每個CA系統可以使用不同的加密系統加密各自的相關信息,但對節目內容的加擾必須采用同一個加擾算法和加擾控制字,這樣可以保證接收端使用不同的接收設備而同時又能接收相同的數字電視節目。使用同密技術后,可以方便多級運營商的管理,為多級運營商選擇條件接收系統提供了靈活性。而多密技術主要是針對接收端而言的,用戶可以采用多密的方式接收不同的加擾/加密系統所加密的不同的節目。由于DVB中的同密與多密都規定了標準接口,從而方便了多個CA系統的集成,也方便了用戶。 目前在國際上占主流的有歐洲的DVB標準、北美國家的ATSC標準及日本的ISDB標準。在這三種標準中對于CA部分都作了簡單的規定,并提出了三種不同的加擾方式。歐洲DVB組織提出了一種稱之為通用加擾算法(Common Scrambling Algorithm)的加擾方式,由DVB組織的四家成員公司授權,ATSC組織使用了通用的三迭DES算法,而日本使用了松下公司提出的一種加擾算法。 二、條件接收系統原理 在講述原理之前,先了解兩個在CA設備中容易混淆的概念:一個是加解擾(Scrambling-Descrambling),另一個是加解密(Encryption-Decryption)。加解擾技術被用來在發送端CA系統的控制下改變或控制被傳送的服務(節目)的某些特征,使未被授權的用戶無法獲取該服務提供的利益;而加密技術被用來在發送端提供一個加密信息,使被授權的用戶端解擾器能以此來對數據解密,該信息受CA系統控制,并以加密形式配置在傳輸流信息中以防止非授權用戶直接利用該信息進行解擾,不同的CA系統管理和傳送該信息的方法有很大不同。 簡單地說就是:加擾是通過控制字(CW,Control word)對傳輸流進行按位加密的過程,而加密部分實際完成對控制字(CW)的保護。這兩種技術是CA系統重要的組成部分,在技術上有相似之處,但在CA系統標準中是獨立性很強的兩個部分。 在目前各標準組織提出的條件接收標準中,加擾部分往往力求統一,而在加密部分則一般不作具體規定,是由各廠商定義的部分。 條件接收的核心是控制字CW傳輸的控制。在采用MPEG-2標準的數字電視系統中,與節目流條件接收系統相關的有兩個數據流:授權控制信息 ECM(Entitle Control Message)和授權管理信息EMM(Entitle Manage Message)。由業務密鑰SK(Service Key)加密處理后的CW在ECM中傳送,ECM中還包括節目來源、時間、內容分類和節目價格等節目信息。對CW加密的SK在EMM中傳送,而SK在傳送前要經過用戶個人分配密鑰PDK(Personal Distribute Key)的加密處理,EMM中還包含地址、用戶授權信息。 起始控制字(CW)作為解擾密鑰使用。解擾密鑰是系統安全的基本要素。為此對CW本身(以及系統數據的其他部分)要用一個加密密鑰通過加密算法對它進行加密保護,這個加密密鑰只是一個用來變化加密算法結果的任意數。固定這個密鑰是不適用的(安全性差),應當采用變化密鑰,通過CA控制器用人工的或其他自然方式產生新的隨機數。在具體應用中,通常由服務提供商產生用來控制其提供的服務,所以把它稱為業務密鑰SK。SK的使用和用戶付費條件有關。 CW雖已由SK加密,但這個密鑰如果還是可以讓任何人讀取,網絡運營商還是難以控制到特定的用戶,安全性還是存在問題,必須對SK再進行加密保護。由于共用網絡尋址模式中數據包是按用戶地址傳送的,每個終端設備有一個不重復的惟一的地址碼,就可以采用地址碼來對SK加密。 在實際使用中,終端設備的地址一般是公開的,且基本不變,所以往往用和這個地址碼相關聯的一個數列來進行加密,稱為個人分配密鑰(PDK)。PDK一般由CA系統設備自動產生并嚴格控制,在終端設備處該序列數一般由網絡運營商通過CA系統提供的專用設備燒入解擾器的PROM中,不能再讀出。一套CA系統往往為每個用戶分配好幾個PDK,以滿足豐富的業務需求。 運營商對終端用戶的加密授權方式有很多種,而智能卡授權方式是目前機頂盒市場的主流,也被我國廣電總局確定為我國入網設備的標準配件。 三、條件接收系統組成 條件接收系統主要由以下幾個部分組成:集成管理系統(IMS)、節目管理系統(PMS)、用戶管理系統(SMS)、前端條件接收系統(CAS)、電子節目指南系統(EPG)、復用加擾處理系統、接收端CA系統、智能卡發行與管理系統。 (1)集成管理系統(IMS):設置系統參數,連接系統中各組成部分,管理和控制系統的執行。 (2)節目管理系統(PMS):對節目進行定義、編輯、編排、查詢,產生節目時間表。 (3)用戶管理系統(SMS):對用戶信息、用戶設備信息、節目預定信息、用戶授權信息、財務信息等進行處理、維護和管理,同時可為其他子系統提供用戶授權管理的基本數據。 (4)前端條件接收系統(CAS):完成用戶授權控制信息(ECM)及用戶授權管理信息(EMM)的獲取、生成、加密、發送等處理。 (5)電子節目指南(EPG)系統:自動提取節目數據庫中的節目描述信息,并轉化為DVB的業務信息(SI),同時按一定的周期發送這些信息給復用器。 (6)復用加擾處理系統:定義了同密同步器(SCS)、授權管理信息發生器(EMMG)、業務信息發生器(SIG)的接口,加擾采用了標準的DVB加擾算法。 (7)接收端CA系統:接收并處理前端CA系統發送來的ECM,EMM信息,并通過標準的通信接口與智能卡進行數據交互,獲取解擾控制字,傳給解擾器完成解擾工作,同時提供有關CAS的輔助信息給接收設備,供接收設備顯示。 (8)智能卡發行系統:發行CA系統中所需的各種智能卡,包括系統母卡、系統鑰匙卡、系統控制卡、用戶接收卡等。針對上述各種智能卡,分別設計了不同的卡發行系統,這些系統包括:母卡密鑰發行系統、母卡授權發行系統、系統卡發行系統、用戶接收卡發行系統、用戶接收卡授權編輯系統等。 四、條件接收系統功能 1.提供多種授權方式 (1)節目定期預訂(SubscrIPtion) 節目定期預訂又可以細分為分類分級方式和節目組合方式。分類分級方式用于創建嵌套訂購的產品。用戶購買節目時可以自己挑選想要收看的類,并在類中指定想要的級。也就是選定想要收看的產品。節目提供商添加相應的授權,通過EMM發送到用戶的智能卡中,智能卡存儲該授權。用戶收看節目時只有節目的類等于卡中授權的類,并且小于等于卡中授權的級時,才可以收看該節目。節目提供商需要定義的不同產品來對應各類各級。分類分級方式雖然可以提供給用戶比較自由的選擇空間,但還是不夠靈活。節目組合的方式應運而生,節目提供商可以把他的節目分成不同的節目列表。 (2)節目分次預訂(PPV) 分次預訂的節目是基于節目號實現的條件接收。節目提供商為每個將要播出的節目定義一個節目事件號。在節目播出前節目提供商通過EMM消息或其他的方式通知用戶將要播出的節目及播出時間。用戶通過打電話點播想要收看的節目,節目提供商添加對應的節目事件授權。通過EMM授權發送出去。用戶接收到EMM后把授權存入卡中。到節目播出時,只要用戶卡中存儲的事件號和節目的事件號相同,用戶即可收看。 (3)節目即時購買(IPPV) 不同的節目號及價格,按次記費方式。IPPV數據可經電話或電纜回傳。即時購買的節目是最靈活的收看方式,節目提供商可以為每個即時購買的節目定好收看的費用,預覽時間長度(以控制字計)。節目播出時用戶可以收看一段預覽節目,預覽結束后會在屏幕上顯示該節目的價錢,并詢問用戶是否購買收看該節目。如果用戶選擇購買,并輸入正確的用戶密碼,就完成了節目的購買,而無需提前打電話預定節目。 以上的三種基本形式實際上可以將節目源進行任意定制組合,為不同愛好的觀眾提供最適合其特點的個性化的服務。 2.實現地區的阻塞 節目提供商可以通過使用地區阻塞,禁止指定地區內的用戶收看節目,盡管他們有授權,這種方式是地區阻塞。一般情況下,地區是基于智能卡所有者所在的地理位置來劃分的,智能卡中的每個密鑰集都有自己的GCA,用來指明地理位置。 3.發送EMM 消息 EMM消息可以分為惟一尋址的消息和全局消息。全局消息發給所有屬于該節目提供商的用戶,這個消息將通過在屏顯示(OSD)顯示在用戶的電視上,一般用于發送第二天的節目預報,或者新節目的介紹等內容。 惟一尋址消息意思是這個消息將通過惟一的ID發送給指定的用戶。只在這個用戶的屏幕上顯示節目提供商發送出的消息,其他用戶無法收到這個消息。這種消息適用于通知用戶交費等用途。 節目提供商可以設定消息顯示的時間,比如60秒,用戶可以手動取消它。實際上這是一種廣告或節目通知的手段。 4.發送郵件 郵件可以分為惟一尋址的郵件和全局郵件。用戶收到郵件后,郵件并不馬上顯示在屏幕上而只是提醒用戶有新郵件。只有用戶手動查看郵件時,郵件的內容才會顯示在屏幕上。惟一尋址郵件意思是這個郵件將通過惟一的ID發送給指定的用戶。用戶查看后,郵件并不會丟失而是存儲在機頂盒中,直到用戶手動刪除郵件或者存儲達到最大數目的限制而又收到新郵件時刪除最舊的郵件。 5.不同層次的加擾方式 分別對PES層(Program Elementary Stream)和TS層(Transport Stream)加擾。當對TS加擾時,對視音頻和數據都采用同一個控制字(CW)進行加擾,CW在一個相同PID的ECM流中傳輸;如果對PES加擾,視音頻和其他數據流分別在最基本層次被不同的控制字加擾,而且在不同PID標識的ECM中傳輸。這種不同層次的加擾方式為用戶提供了更多的選擇和靈活性,例如可以在同套流中加入多國語言的支持,滿足不同要求。 6.成人級分類 智能卡嚴格按照成人級分類對密碼進行驗證,保證適當年齡的人群收視適當的節目。 7.指定一機一卡方式 默認情況下,一般不指定這種方式,但如果想禁止用戶持自己的卡而借用他人的機頂盒收看節目,就可以以這種一機一卡方式進行匹配驗證。 8.智能卡認證 智能卡和機頂盒之間的通信是加密的。用來保護智能卡解密出來的傳輸給機頂盒的控制字。此功能將智能卡和機頂盒之間的通信又加了一把鎖,嚴格控制著通信的安全性。 五、條件接收系統特點 (1)加解擾使用DVB Common Scrambling 通用加擾算法。 (2)CW控制字隨機產生,并頻繁變化(每5~10秒鐘改變一次)。 (3)傳輸中的ECM,EMM消息使用了多級密鑰加密保護。 (4)可定期通過空中發送消息改變用戶的多級密鑰、會話密鑰或用戶的有關授權,從而增加了系統的抗攻擊性。 (5)系統結構符合國際DVB SimulCrypt 標準,開放性接口與其他的DVB前端系統連接。 (6)系統擁有獨立的加擾機,可以方便地與其他的不支持DVB Simulcrypt的前端系統連接。 (7)前端系統基于局域網開發,可在網絡環境下靈活配置和使用。 (8)完成多種收視控制和管理功能: 預訂收視:可按頻道、主題級別、分類等授權方式控制用戶的收視。 每視收費:PPV,IPPV等授權方式控制用戶的收視。 免費收視:發送免費收視授權,供指定用戶群免費收視節目。 預覽功能:切換頻道時短時收看。 區域管制:對某一指定范圍的用戶實施收視管制,強制關閉或開啟收視授權。 (9)系統支持廣播郵件(B-Mail)的生成、發送、和接收。 (10)父母鎖定控制:家長可以通過密碼設置,控制節目的收看。 (11)支持機卡配對:未配對的設備無權收視加密節目。 (12)支持防錄制:設置防錄制標記,可控制接收設備錄制節目。 (13)STB程序下載或智能卡加密算法下載:下載應用程序到STB或智能卡上,改變設備的接收和控制功能。 (14)集成了電子節目指南生成系統、節目管理系統、用戶管理系統、機頂盒接收系統,以及多種獨立的智能卡發行與管理系統。 六、條件接收系統安全 一個條件接收系統包括兩個加密子系統,一個是節目加密系統,對播出的節目內容進行加密,習慣上稱為加擾,它的作用是擾亂節目信號,使得未經授權的用戶不能收看加密節目。另一個加密系統是分層密鑰加密系統,其目的是使用一環緊扣一環的層次加密,保護控制字(CW)的安全。 對節目的加擾,采用DVB Common Scrambling 算法,該加擾算法使用的是基于密鑰的算法,控制密鑰是CW,為了保證加擾的安全可靠,CW通常5~10秒變化一次,并且保證充分的隨機性,有效地抵抗黑客的攻擊,由于前端采用了標準的通用加擾算法,從而增強了接收設備的通用性,只要接收設備配備了同樣的解擾算法,并完成了CA系統集成,即具備了收看加擾節目的條件,如果有授權即可收看加擾節目。 而對于分層加密技術,在密碼學中,它已經成為一項公認的成熟的技術。其中控制字(CW)用于加擾節目內容,該密鑰是經SK加密后通過ECM傳送給用戶端的,而SK、PDK、IK(節目發行商密鑰)等依此使用PDK、IK和PPK(個性化密鑰)加密后通過EMM發送到用戶端。在用戶接收端,接收控制智能卡中按照相反的次序依此解開IK、PDK、SK、CW,如果用戶擁有收看節目的授權,將解出CW明文,并傳送給接收設備,由接收設備完成最終的解擾工作。 七、條件接收系統實例介紹 ChinaCrypt是一種以飛利浦公司CryptoWorks為藍本開發出的適用于中國的整套本地化的CA系統。 ChinaCrypt提供不同的專用算法供不同功能使用;密鑰管理基于特定的用戶;在智能卡芯片中內嵌加密協處理器;前端使用“抗破壞設備”,不使用母卡方式;采用主動和即時的防范措施,避免盜版及侵入;密鑰是隨機產生的,密鑰(控制字)產生于用戶端,密鑰由用戶自行管理;在密鑰產生的處理過程中,沒有未加保護的密鑰出現在安全系統外;嚴格的密鑰管理體系,定期更新密鑰。 ChinaCrypt最小系統支持2500用戶,大系統則可以支持600萬以上的用戶,能夠以9萬/小時的速度處理SMS的請求,以2000萬/小時的速度每月刷新EMM,每張卡內有4~8個密鑰集由不同節目提供商使用,批量冗余處理PPV授權數量可達4000萬個。ECM 發生器可處理最多50個 ECM 流/秒,ECM 發生器可并發為多達250個基本流產生加擾用的ECM,使用Mother Card 最多產生3EMM/秒;TRD可以產生 120EMM/秒,對200萬用戶進行惟一尋址的時間僅僅需要415秒,帶寬僅需2.7Mb/s。 |