上世紀的最后五年，以互聯網為代表的數字新媒體取得了巨大的發展；而世紀末寬帶網絡的出現和發展，更使得數字媒體具備了包容以電視為代表的傳統媒體的能力。數字媒體具備形式豐富、信息量大、傳輸質量高、信息復制和傳輸的成本低等諸多優點，但同時也面臨兩大挑戰：

其一，在數字信息爆炸的形勢下，個性化信息定制的能力越來越成為信息服務商和每個信息最終用戶所密切關注的問題。數字媒體帶給信息用戶的，從形式上看有實時數據、計算機文件、音視頻流媒體等；從內容上看有數字報紙、金融證券行情、新聞、電影電視節目等。這些數字信息品種非常繁雜，數量非常巨大。并非所有的信息對所有的用戶都是有價值的。每個人的信息需求千差萬別，只有人們自己感興趣的、需要的信息，對他來說才是有用的、有價值的。相反，那些不感興趣、不需要的信息，對他來說形同垃圾，是沒用的、是有負價值的。比如，你只想知道上海申花和上海國際上周足球比賽的結果，得到的卻是包括CNBA和排球比賽成績在內的各種體育信息。那么，除了“2:2”這三個字節的信息是有價值的以外，其他成千上萬條信息都是沒用的，而且要注意到，它們的價值是負的。因為你需要花費若干不必要的時間和精力，從這一大堆信息垃圾中搜索到你需要的這三個字節。在這種情況下，個性化信息定制的能力，開始成為各數字媒體經營商關注的核心競爭力之一，與以前所關注的信息多樣性、信息實時性并列，甚至更重要。

其二，與個性化伴生的信息安全問題。在滿足了用戶的個性化信息需求以后，每個用戶所獲得的信息，都跟自己的定制有關，也就跟自己為定制這些信息所繳納的費用有關。“用戶為自己定制的信息付了錢”，這句話有兩重含義，其一是意味著這個用戶可以開始接收這些信息了，其二是說他不可以接收那些自己沒有為之付費的信息。因此，信息安全的問題便被提了出來。為確保自己的經濟利益，每個信息服務提供商都期望信息傳輸系統能夠提供一種安全機制，確保自己發出的每一比特信息，都準確無誤地發到那些忠實的、付費的客戶手中；同時，確保那些未付費的、或者成心要盜用信息的，從同一條傳輸通路上，得不到一丁點他無權得到的信息。

個性化和信息安全這兩大挑戰，催生了“條件接入系統（CAS）”，并使其成為保證數字媒體機器平滑可靠運轉所必需的核心部件。

 

2　條件接入系統的發展趨勢

　　條件接入（Conditional Access ）系統是用來控制訂戶對廣播服務或節目進行接收的系統，即訂戶只能收看經過授權的廣播服務或者節目。早期主要應用在電視臺的電視廣播系統中對用戶進行授權控制及授權管理，從而實現數據廣播系統的有償服務。條件接入技術已經開始逐步應用于IP組播/廣播網絡。

　　1985年美國的一家電視臺使用了第一代的CA系統。這個CA系統主要是為模擬系統設計的，對模擬信號加擾。采用了可尋址的模擬解碼器，依賴于頭端的設備及解擾器，比較容易被破解和復制。

　　1995年開始，出現了第二代CA系統，采用加擾控制字加密傳輸，用戶端使用IC卡解密，安全性較高，但這種系統主要是為數字電視設計的，只能對數字視頻進行加解擾，無法對IP包數據操作，有一定的局限性。

　　隨著因特網和衛星技術的廣泛應用，各種數據業務開展的如火如荼，數據內容的格式也很多，由于帶寬的限制，視頻流的節目大多采用MPEG-4格式的流媒體傳輸。而因特網和衛星廣播是一個開放的體系，無法對傳輸的數據提供安全方面的措施，任何傳輸中的數據都可能被別人偵測、竊取到。因此，傳輸有價值的數據內容就需要有安全的機制來實現保護功能。

　　技術的發展和市場的需要都要有新的CA系統來對信息進行保護，目前的發展趨勢是基于IP的條件接入系統，可應用于廣闊的因特網以及衛星數據廣播。用于保護IP數據傳輸的條件接入系統有著自己的特色：可對任何組播網絡上的內容進行保護；可對多個IP流進行快速加密；支持動態的用戶管理；可與IP內容管理/節目編排系統集成；采用自主知識產權的軟件和基于智能卡的加密技術。

上海維賽特網絡系統有限公司所使用的DVB/IP系統就很好地實現了系統安全的保障，它具有以下重要的功能特征：基于IP數據流，可適用于任何的IP系統；采用智能IC卡存儲密鑰和算法，并進行解密計算，實現高安全性；授權機制采用獨家先進算法，占用帶寬小，授權速度快（占用100Kbps帶寬時，在平均30s左右的時間內，為10萬用戶授權）；具有開放的軟件接口，可以和各類數字信息傳輸平臺，及各類訂戶管理系統結合使用。

 

3　條件接入系統在IP數據廣播中的系統運轉機理

     上海維賽特網絡系統有限公司所使用的條件接入系統為數字內容在以衛星方式傳輸的應用中提供了安全保障，它可以和流式數據無縫集成，如各種視頻流、音頻流和數據流等?？蓱糜谶h程教育、企業培訓、證券信息的實時廣播、商務電視和數據緩存等業務。它通過與SMS系統的結合，采用一些獨特的算法，完成極高效率的用戶授權，從而實現了數字信息服務的個性化、差異化；它以智能IC卡為基礎，實現了高強度的信息加密，保證了信息的安全傳輸和系統的安全運行。條件接入系統分成兩部分：一是位于數字信息服務供應商的前端子系統；二是位于最終信息使用者的用戶子系統。

     前端子系統的運轉模型（見圖1）：

       

     前端子系統主要有授權管理系統、IP加密網關兩大功能模塊。

     圖中信息發送系統根據信息分組設置，從數據源（可以是本地的，也可以是異地地；可以是靜態的文件，也可以是實時的數據流）中調用信息，封裝在IP包內發出。信息目標地址包括目標IP地址和UDP端口二個要素，不同分組的地址也不相同。

     授權管理系統根據信息分組信息和用戶信息（從訂戶管理系統-如pSMS-中獲得）相對應，生成出授權表。授權表的含義就是標明哪個用戶有權接收哪些信息。

     IP加密網關是一個基于IP包的加密授權系統。它通過SAS從數據庫中獲取用戶、節目及授權表（即用戶對節目的接收權限），并以此生成ECM、EMM等信息；同時，對收到的IP明文使用不同的密鑰進行加密（加密密鑰按照一定的頻率隨機變化），并將IP密文和ECM、EMM等信息以特定的方式廣播出去，供用戶端接收。

     IP加密網關對IP包的加密格式遵循RFC有關IPSEC的標準，同時借鑒DVB-CAS體系的多級密鑰加密機制，安全可靠。

     用戶端子系統的運轉模型（見圖2）：

      

     用戶端子系統，主要包括數據接收引擎、智能IC卡、解密引擎三個功能模塊。

     數據接收引擎從物理通道中收到廣播數據以后，進行解析，根據各數據包包頭將其分門別類，把EMM和ECM提交給智能IC卡，把IP密文提交給解密引擎。

     智能IC卡根據EMM和ECM，以及自身存儲的信息（密鑰和算法）進行運算，得出解密密鑰，并送到解密引擎。

     解密引擎利用智能IC卡提供的解密密鑰，對IP密文進行解密運算，并輸出IP明文到對應的上層數據接收/解釋程序。

     前面筆者主要從各功能模塊邏輯運行的角度，解釋了條件接入系統的各主要組件，及其運轉情況。下面筆者從該系統的物理結構的角度，來分析和理解如何實現一個完整的條件接入系統。

     前端的物理結構（見圖3）：

         

     條件接入系統前端各個功能模塊大致運行在兩臺計算機上：一是控制機；二是IP加密網關。

     前端控制機是一臺運行Windows操作系統的電腦，主要運行授權管理系統，通過人機交互，把錄入的授權信息收集整理到對應的數據庫表格中。

     IP加密網關是完成IP加密和控制條件訪問的實現者。它應是一臺運行WindowsNT或Windows2000的計算機，其上面的各個部件都要求能夠長期穩定地運行。這些部件包括：密鑰發生器、授權表生成系統（生成EMM和ECM）、授權表發送系統、加密引擎等。其中，加密引擎是運行在核心態的，其在Windows網絡架構中的地位是一個協議，其他的部件運行在用戶態。

在整個條件接入系統的前端子系統中，IP加密網關處于核心地位， 它應能監測并顯示各種狀態信息，包括系統信息和各模塊工作狀態。

     跟前端子系統相比，用戶端的情況要稍微復雜一些。特別是考慮到不同的應用環境，結構也不太一樣，有多種不同的實現方式。在此僅列舉列舉一種將條件接入系統（IC卡除外）完全封裝在接收設備驅動程序里面的應用情況，其實現的結構見圖4：

      

     在這種實現方式下，被包裹在驅動程序中的條件接入系統用戶端子系統主要包含兩個部分：一是控制作用的數據過濾/派發部件，它過濾混合數據，將提取出的EMM、ECM提交給智能卡，而將IP密文提交給解密引擎；二是解密引擎，包含一組用于解密的函數的庫，用來對IP密文進行解密，解密后的IP明文提交上層程序使用。

 

3　條件接入系統在IP數據廣播系統的用戶端可能出現的三種應用

　　條件接入系統在用戶端的使用非常簡單，但由于終端用戶可能會有不同的對象，如個人用戶、企業用戶和小運營商的區別。因此，筆者詳細描述條件接入系統針對不同用戶對象的三種不同應用。前端發出的加密數據流傳輸到用戶端后，根據不同的實際運營情況，可能有三種應用結構。

3.1　加密內容組播應用

　　這種應用情況下，終端用戶一般為個人用戶，每個用戶使用智能卡作身份認證。各種內容從前端加密后發出，經過各種組播網絡的傳輸，加密內容到達終端用戶，用戶使用條件接入系統的接收端軟件和智能卡，就可以接收自己訂閱的各種內容。

　　這種應用是較為普遍的應用情況，加密的數據流可以經過各種網絡（有線網、衛星、因特網、XDSL和無線等），如上海維賽特網絡系統有限公司就采用了衛星網絡的方式，用戶是可以分布在世界各地的不同地方。可以應用適用的數據服務也是多樣化的，可以是遠程教育、金融股市實時行情、網站內容緩存和視頻廣播等。

　　流程如下圖所示：

3.2　解密后內容的組播應用

　　這種應用情況主要是為終端用戶是企業用戶而設計的。企業用戶使用pGuard接收端和智能卡設備，從外部網將加密內容接收下來，解密后在企業局域網上組播，讓各個員工都可以收到。

　　這種應用具有特定的用戶群，學習型的企業用戶較為傾向于這種應用。前端可能是跨國公司的總部，發出的加密數據流經過各種網絡（有線網、衛星、因特網、XDSL和無線等），最終到達分布在世界各地的各個分公司。這種應用可以適用的數據服務也是多樣化的，可以是培訓、視頻會議、遠程數據緩存和信息亭服務等。

　　流程如下圖所示：

　　

3.3　解密后內容的再加密應用

　　在這種應用情況下，主要是針對分級的運營商設計的。大運營商將各種內容加密后從前端發出，經過各種組播網絡后到達各地的小運營商處。小運營商使用pGuard接收端和智能卡將加密內容接收下來，將內容解密后，小運營商根據需要將內容進行整理、編輯，然后再使用pGuard前端系統將內容加密后發出。經過再加密的內容通過各種網絡到達終端用戶，終端用戶使用pGuard接收端和智能卡將內容接收下來，用戶就可以享受到豐富的數據信息了。

　　已經有眾多分支結構的全國性運營商較為傾向于這種應用，因為可以覆蓋大面積的地區。前端可能是全國性的運營商，發出的加密數據流經過各種網絡（有線網、衛星、因特網、XDSL和無線等），最終到達分布在各地的分支，由這些分支機構對這些內容進行選擇和整理，對本地用戶進行分發。這種應用可以適用大多數的數據服務，可以是遠程教育、股市行情、培訓、視頻會議、遠程數據緩存和信息亭服務等。

　　流程如下圖所示：