硕士论文-IPTV网络的安全体系研究.pdf

上海交通大学 硕士学位论文 iptv网络的安全体系研究 姓名：张冠津 申请学位级别：硕士 专业：电子与通信工程 指导教师：范磊 20080801 上海交通大学工程硕士学位论文 abstract i iptv 网络的安全体系研究 摘 iptv 网络的安全体系研究 摘 要要 iptv（tv over internet protocol）即交互式网络电视，能够向家庭用户提供 包括上网、有线电视、数字电视在内的多种交互式服务的崭新技术。然而传统的互联 网（ip）与传统的广电网（tv）由于其历史发展、业务定位、社会角色的不同，导致 了他们在安全理念上存在巨大的差异，这也对 iptv 网络的安全提出了更高要求。本 论文正是从这点出发，对 iptv 网络安全体系进行研究。 本文针对目前 iptv 网络的安全体系存在的问题为需求进行研究。首先介绍了 iptv 技术和网络，并分析了当前的 iptv 体系存在的安全问题，进而提出了对 iptv 网络进行优化管理的策略控制方法，从而达到增强 iptv 网络安全性降低受攻击风险 的目标。 全球的影视、音乐、软件等媒体行业都面临着盗版的威胁，已经影响到了相关行 业的持续发展。而 iptv 的版权保护问题在这样的背景下面显得格外的突出，如何为 iptv 提供一个安全可行有效的解决方案成为当今一大难点。本文从当前网络实际应 用出发，提出了一个具有安全性、扩展性和兼容性 drm 体系，适用于 iptv drm 网络 的接入与应用，可以有效促进数字版权管理在 iptv 行业的应用。 建立了一套可用于 iptv 网络的安全评估体系， 能够为 iptv 的安全运行与持续发 展提供支撑。最后对今后 iptv 网络安全体系所面临的几个问题作出展望。 关键词：iptv，广播，qos，drm 关键词：iptv，广播，qos，drm 上海交通大学工程硕士学位论文 abstract ii research on the security for iptv network abstract iptv (tv over internet protocol technology) supports the transmission of standard television video programs over the internet and internet protocol (ip). iptv allows a television service to be integrated with a broadband internet services and share the same home internet connections.and ip network is much different from tv(television) network in history, market, and social status,which leaders to great differences in security theory. this paper presents the basic structure of iptv network and research on the securtity of iptv network and drm(digital rights management) this article is foundational research to meet this requirement. in this paper, the current iptv network security system for the existing problems need to study. first introduced the iptv technology and network, and the analysis of the current iptv system of security problems and then put the iptv network management to optimize the control strategy to achieve enhanced iptv network security to reduce the risk of attacks on the goal. the global film and television, music, software and other media industries are faced with the threat of piracy has affected the sustained development of related industries. iptv and copyright protection issues in such a background below is particularly prominent, how to iptv to provide a safe and feasible and effective solutions to become a major difficult today. this article from the practical application of the current network, raised a security, scalability and compatibility drm system, applied to iptv drm network access and applications can be effective in promoting digital rights management in the iptv industry applications. the establishment of a set of iptv network can be used to assess the security system, for iptv to the safe operation and sustainable development to provide support. finally, the future iptv network security system several problems faced by the prospects. keywords:iptv, broadcast, qos, drm 上海交通大学工程硕士学位论文 abstract iii 符号说明符号说明 adsl:asymmetric digital subscriber line，非对称数字用户线 ca：certificate authority(数字证书认证中心)，是指发放、管理、废除数字证 书的机构。 ces：content encryption system 内容封装系统 cms：certification management system 证书管理系统 drm：digital right management 数字版权管理 dsl: digital subscriber line 数字用户线路 ip: internet protocol 英特网协议 iptv：tv over internet protocol 即交互式网络电视 kms：key management system 密钥管理系统 omm：operate & maintenance management 操作和维护管理 pki：public key infrastructure公开密钥管理基础设施 qos： quality of service .是服务质量 ri：rights issuer 版权号 rsa：目前应用最广泛的一种公钥算法，可以用来进行加密或签名 stb：set top box 机顶盒 ssl:：secures ocketsl ayer(安全套接层协议)，ssl协议在client和server之 间建立安全通道 vod： vedio on demand. 视频点播 上海交通大学工程硕士学位论文 绪论 第 1 页 第一章第一章 绪绪 论论 1.1 本论文研究背景 1.1 本论文研究背景 iptv（tv over internet protocol）即交互式网络电视，是一种能够向家庭用 户提供包括上网、有线电视、数字电视在内的多种交互式服务的崭新技术。目前，我 国电视用户数已经超过 3 亿，宽带用户数和手机用户数也处于高速增长中，随着用户 对服务质量要求越来越高，用户消费水平的逐步提高，iptv 的消费市场也在国内快 速发展起来。iptv 新业务的快速增长，推动了通信信息技术和网络技术的迅速发展， 给当今通信网络的容量、速度、质量、数字版权以及服务种类等提出了很高的要求， 促进了宽带骨干通信网和宽带城域网的大规模建设，并给整个通信网络的体系架构、 技术模式、实现方式等诸多方面都带来了深远的影响。 iptv是最近几年来比较热的一个话题。除了媒体一直在炒作以外，政府、运营 商、标准化组织、设备生产厂家以及用户都很关注。用户关注 iptv 能否给改变现有 的电视观看模式；设备生产厂商关注标准制订以及机顶盒、组播设备等研发；标准化 组织正在制订框架、编码等标准；运营商在城域网开展运营试验；政府关注iptv的安 全以及管制等内容。 由于 iptv 业务承载网络直接与 internet 等网络互联， 以 ip 网络作为基础承载 网，因此面临着 ip 网络所具有的各种网络安全风险。包括网络非法入侵、拒绝服务 攻击、路由欺骗、qos 服务破坏以及对网络管理、控制协议进行网络攻击、非法内容 使用等，故 iptv 承载网络的安全建设实现方式应包括物理安全、网络设备的安全加 固、网络边界安全访问控制、数字版权管理、内容安全等。 当前，iptv很多研究和试验工作在紧锣密鼓地展开，但是iptv业务大规模开展 还或多或少存在问题。目前iptv存在的问题主要包括产业政策不明朗、编码方案尚未 选定、 标准没有完全制订、 设备商在研发阶段、 网络服务质量保障、 网络安全保障等。 在iptv业务推广以前上述诸多问题都需要一一解决， 其中安全保障问题是最关键问题 上海交通大学工程硕士学位论文 绪论 第 2 页 之一，本文主要讨论iptv网络的安全相关问题。 1.2 本论文研究的成果和贡献 1.2 本论文研究的成果和贡献 本文作者经过工作和研究，在以下几个方面取得了一些成果： 1、提出了一种用私网代替公网地址的方案，对电信 iptv 网络进行普通数据业 务和 iptv 分隔，降低共享网络风险，保证 iptv 数据传输，对 iptv 的安全应用具有 较高的实用价值。 2、在电信 iptv 网络基础上，合理配置网络资源，利用组播原理给出了一种对 非法连接进行分析和控制的方案。 3、在现有电信 iptv 网络基础上防止蠕虫病毒攻击的方案，并实现了对各种级 别业务的保护与恢复功能。 4、对 iptv 内容版权保护方面进行探讨，并选择出一种适应当前 iptv drm 的技 术解决方案。 1.3 本论文的结构安排 1.3 本论文的结构安排 本论文可以分为三个部分： 当前 iptv 网络的安全体系进行研究。 讨论 iptv drm 技术解决方案。 iptv 网络安全体系的测试。 第一章，介绍了本论文研究的背景、成绩和贡献。 第二章，论述 iptv 技术的基本理论。 第三章，当前 iptv 网络的安全体系进行研究。 第四章，讨论 iptv drm 技术解决方案。 第五章，iptv 网络安全评估体系。 第六章，iptv 网络安全体系的总结与展望。 上海交通大学工程硕士学位论文 第二章 iptv 技术简介 第 3 页 第二章 iptv 技术简介 第二章 iptv 技术简介 本章首先简单地介绍了 iptv 的基本概念， 以及 iptv 技术的三个系统前端系 统、传送网络、接收系统。最后介绍了 iptv 关键技术，包括宽带接入技术、ip 组播 路由技术、数字编码技术。 2.1 iptv 的基本概念 随着宽带在中国的普及，伴随着 internet 社会化时代的到来，人们对 internet 的需求不再是单一的上网冲浪和浏览新闻，而是对网络提出了更高的要求。随着 ip 多媒体技术日渐成熟，数字技术和计算机技术日益与家电产品结合，融合多媒体内容 平台、宽带网络平台以及数字 iptv 终端平台的、全心的宽带宽带服务模式将成为通 讯行业的下一个极具前景的产业。而 iptv 正是基于这样的时代背景下的产物，也可 以预计 iptv 在中国的发展潜力是巨大的。 iptv（tv over internet protocol）即交互式网络电视，它是一种利用宽带来 传输有线电视的节目，集互连网、多媒体、通讯等多种技术于一体，能够向家庭和单 位用户提供包括上网、有线电视、数字电视在内的多种交互式服务的崭新技术。其主 要特点在于交互性和实时性。实时性在于能够实时地向人们提供电视节目。交互性在 于能够满足人们的各种需求， 如视频点播、 个人视频录制、 电视广告、 在线游戏等等。 2.2 iptv 技术概要 iptv技术是一项系统技术。它能使音、视频内容节目或信号，以 ip 包的方式， 在不同物理网络中，被安全、有效且保质地传送或分发给不同用户。它包括音、视频 编解码技术、 音、 视频服务器和存储阵列技术、 ip 单播(unicast)和组播(multicast) 技术、ip qos 技术、 ip 信令技术（如 sip 技术） 、内容分送网络(cdn)技术、数字版 权管理(drm)技术、ip 机顶盒与 epg 技术、用户管理和收费系统技术等。它还涉及各 种不同的宽带接入网络技术，如 cable modem 网络技术、以太网络技术和 adsl 网络 技术。iptv系统技术能用来提供将视、音频流媒体节目，如 ip 电视节目，从节目中 上海交通大学工程硕士学位论文 第二章 iptv 技术简介 第 4 页 心（first mile）播出，并通过骨干网、城域网和宽带接入网（last mile）传输， 直到被用户接收端到端的完整技术解决方案。 一个端到端的iptv系统一般具有节目采 集、存储和服务、节目传送网络、用户接收端四个部件。 2.2.1 前端系统 2.2.1 前端系统 iptv前端一般要完成节目采集与存储和服务二项功能。 节目采集包含节目的接收 （如从卫星、catv 网、地面无线和 ip/atm 网络等） 、节目的压缩编码或转换编码 （transcoding）及格式化、加密和 drm 打包、以及节目生成等。节目存储和服务则 完成对经节目采集程序处理后生成的节目进行大规模存储或播送。 这里的播送服务 不仅是要将加密的视音频流媒体节目，以 ip 包单播或组播的方式，从视频服务器播 送出去，而且还要对用户或用户终端设备进行认证（authentication） ，并从 drm 授 权/密钥服务器(drm license server)，向被认证的用户或用户终端设备传送 drm 授 权/密钥，使用户能够对已接收的加密视音频流媒体节目进行解密和播放。iptv所使 用的 drm 技术，与传统的条件接收技术相比，具有二个基本的不同之处。一是，前者 是对视音频流媒体内容本身进行加密， 而后者是对连接/传输层如 mpeg2 系统复用层/ 流进行加密；二是，前者的 drm 授权/密钥一般不与被加密的视音频流媒体节目流一 起传送，而后者的密钥如 ecm 必须与被加密的视音频流媒体节目流一起传送。 2.2.2 传送网络 2.2.2 传送网络 iptv系统的节目传送功能是由 ip 骨干网、ip 城域网、有线电视前端或电信中心 站、以及相应的宽带接入网络完成的。对以 ip 单播或组播方式发送的视音频流媒体 节目流进行路由交换传输， 是 ip 骨干网和 ip 城域网在iptv系统网络中要发挥的基本 功能。一般而言，ip 骨干网和 ip 城域网现有的路由器可以很容易地支持各种不同的 ip 单播路由协议，但它们的许多必须通过升级方能支持 ip 组播路由交换。目前，各 设备厂家普遍支持的 ip 组播协议是 igmpv2。为了保证所传送的iptv节目流的质量和 实时收看性， ip 骨干网和 ip 城域网通常要采用各种不同的 ip qos 技术， 如 diffserv 和 mpls 等。此外，为了提高对iptv节目流点播的响应和传输实时性，以及解决或减 缓iptv点播请求的冲击性和波动性对iptv前端设计容量所造成的压力，ip 骨干网和 上海交通大学工程硕士学位论文 第二章 iptv 技术简介 第 5 页 ip 城域网上普遍采用了内容分送网络技术。 ip 骨干网和 ip 城域网也可以采用不同的 低层物理网，以 ip over sdh/sonet（即 packet over sdh/sonet） 、ip over atm 或 ip over dwdm optical （如千兆/万兆光以太网）的方式提供传输服务。有线电视前 端或电信中心站则根据相应的宽带接入网络，如 cable modem 网络或 dsl 网络，将 ip 视音频流媒体节目流以 ip over docsis 或 ip over dsl 的方式，通过放在有线电 视前端的 cmts 鉴定或电信中心站的 dslam 设备，向用户发送出去。有线电视前端或 电信中心站还往往配备有视音频流媒体节目流内容服务器和 drm 授权/密钥服务器， 具有节目存储和服务功能。 网络电视系统所使用的是以 tcp/ip 协议为主的网络，包括骨干/城域网络、宽带 接入网络和内容分发网络等。骨干/城域网络主要完成视频流在城市范围和城市之间 的传送，目前城域网络主要采用千兆/万兆以太网络，而长距离的骨干网络则较多选 用 sdh 或 dwdm 作为 ip 业务的承载网络。 宽带接入网络主要完成用户到城域网络的连 接，目前常见的宽带接入网络包括 xdsl、lan、wlan 和双向 hfc 等，可以为用户提供 数百 kbps 至 100mbps 的带宽。 内容分发网络是一个叠加在骨干/城域网络之上的应用 系统， 其主要作用是将位于前端的视频内容分布存放到网络的边缘以改善用户获得服 务的质量，减少视频流对骨干/城域网络的带宽压力。 一般而言网络电视系统的前端直接连接在骨干/城域网络上，视频流通过内容分 发网络被复制到位于网络边缘的宽带接入设备或边缘服务器中， 然后通过宽带接入网 络传送到业务的接收端， 由此可以看出网络电视业务中的视频流实际上是通过分布在 全网边缘的各个宽带接入设备或边缘服务器与前端部分共同完成的。 2.2.3 接收系统 2.2.3 接收系统 iptv用户终端设备被用来接收、存储和播放及转发 ip 视音频流媒体节目。基本 型iptv用户终端设备的硬件没有内置 cable modem 或 dsl modem，它只提供一个以太 网接口，与外部的 cable modem 、dsl modem 或以太网 hub 相接。集成式的iptv用户 终端设备则内置 cable modem 或 dsl modem，可与 cable modem 或 dsl 宽带网络直 接相连。高端iptv用户终端设备还带有内置硬盘，可以提供iptv dvr 功能，甚至支 上海交通大学工程硕士学位论文 第二章 iptv 技术简介 第 6 页 持 ieee802.11 无线联网功能,能将受 drm 保护的 ip 视音频流媒体节目通过无线传输 给其它设备,如 pc 机等。 一个iptv用户终端设备必须带有iptv系统所使用的 drm 技术 之客户端软件。为了使iptv系统成为一个开放式的业务平台，iptv用户终端设备通常 还使用了中间件软件。 网络电视系统的接收端包括了计算机、电视、手机和其他智能终端设备。计算机 设备包括了各种台式计算机以及各种可以移动的计算机，如 pda 等，此类设备的特点 是自身具备较强的处理能力，不仅可以独立完成视频解码显示任务，同时还可以安装 其它软件完成信息交互、自动升级和远程管理等功能，如浏览器和终端管理代理等。 电视一般仅具备显示各类模拟和数字视频信号的能力， 目前市场上大多数的模拟电视 需要配备专门的数字视频处理设备，如机顶盒（set top box, stb） ，后才可以完成 数字视频的显示工作。 视频流在到达接收端的各类终端设备经过解码后显示出来， 同时需要接收和显示 的内容还包括了电子节目指南等信息。计算机与节目指南服务器间可以通过标准的 http 协议以 html 格式传输节目指南信息，因此在服务系统中无须进行特殊的处理； 而机顶盒在与节目指南服务器进行信息交换时尽管基本上也采用标准的传输协议和 格式，但是由于机顶盒操作系统和中间件的不同，需要在机顶盒与节目指南服务器间 进行相关的定制工作。此外，各类终端设备还可以通过网管代理实现远程监控、自动 升级等功能。 2.3 iptv 关键技术 (1)宽带接入技术：快速发展的宽带接入技术，为媒体流的传送提供了通路。 在目前所使用的宽带接入技术中，dsl 是一种能够通过普通电话线提供宽带数据 业务的技术。大家常用的 adsl(asymmetricaldigitalsubscriberline，非对称数字 用户环路)技术可以提供下行 8m 的带宽，itu-t 的 g.992.1 中对 adsl 的标准已经有 详细的定义。而随着技术的快速发展，itu-t 又分别在 2002 年 6 月和 2003 年 1 月推 出了两个新一代 adsl 标准：adsl2(g.992.3)和 adsl2+(g.992.5)。adsl2 支持的最 大上下行速率 1.3m/15m，而 adsl2+支持的最大上下行速率可达 1.3m/24m。更高的带 宽为传输大量的流媒体传输成为可能。 上海交通大学工程硕士学位论文 第二章 iptv 技术简介 第 7 页 (2)ip 组播路由技术：流媒体分发的强大支持。 ip 组播路由技术实现了 ip 网络中点到多点的高效数据传输。可以有效的节约网 络带宽、降低网络负载。组播是一种允许一个或多个发送者(组播源)同时发送相同的 数据包给多个接受者的一种网络技术，是一种能够在不增加骨干网负载的情况下，成 倍增加业务用户数量的有效方案， 因此成为当前大流量视频业务的首选方案。 在 iptv 的应用中，利用 ip 组播路由技术，可以有效的分发媒体流，减少网络流量。目前接 入设备通过 igmpproxy 功能，实现了用户的按需加入、离开等功能，这样既实现了媒 体流的按需分发。而且减少了组播对带宽的过渡占用。随着 ip 组播技术在综合接入 设备上的应用，大多数的设备都支持 igmpsnooping 和 igmpproxy 功能。 igmpsnooping 是解决 ip 组播在二层网络设备上广播泛滥的一种基本解决方法。 通过在二层网络设备上帧听用户端和组播路由设备间的 igmp 协议消息，获取组播业 务的用户列表信息，将组播数据根据当前的用户信息进行转发，从而达到抑制二层组 播泛滥的目的。 igmpproxy 通过代理机制为二层设备的组播业务提供了一种完整的解决方案。实 现了 igmpproxy 的二层网络设备， 对用户侧承担 server 的角色， 定期查询用户信息， 对于网络路由侧又承担 client 的角色，在需要时将当前的用户信息发送给网络。不 仅能够达到抑制二层组播泛滥的目的，更能有效地获取和控制用户信息，同时在减少 网络侧协议消息以降低网络负荷方面起到一定作用。 (3)数字编码技术：传输可靠性的技术支持。 在网络上传输音/视频等多媒体信息要涉及流媒体的可靠实时传输。因此，数字 编解码技术是 iptv 的关键技术之一。目前宽带网络环境下适用的编码标准有： mpeg-4、ac-1 和 h.264 等。mpeg-4 是 iso/iec 标准，由 mpeg 制订，目前应用的是 mpeg-4part2；h.264 是 itu-t 的 vceg 和 iso/iec 的 mpeg 联合视频组 jvt 开发的视 频编码标准，它既是 itu-t 的 h.264，也是 iso/iec 的 mpeg-4part10；ac-1 是微软 的视频编码标准，是 wmv9 向编解码标准组织提交资料后采用的编码标准名称。 而网络带宽的不断提升，例如应用 adsl2 或 adsl2+技术，可以提高用户的上下 上海交通大学工程硕士学位论文 第二章 iptv 技术简介 第 8 页 行速率达到 1.3m/24m。而如果采用 itu-t 的 h.264 或 wmv9 进行媒体流的编码，800k 的码速率已经可以提供接近 dvd 画质质量，完全满足目前用户的要求。因此，两者的 结合为 iptv 媒体流的传输可靠性做出了保证。虽然，目前还没有相应的国家标准规 定 iptv 采用的数字编码技术，但无论是 mpeg-4,h.264,还是 wmv9 编码技术都已经达 到 iptv 应用的要求。如果配合新的宽带接入技术，完全可以实时传输任何编码的流 媒体视频节目。 上海交通大学工程硕士学位论文 第三章 iptv 网络的安全体系 第 9 页 第三章 iptv 网络的安全体系 第三章 iptv 网络的安全体系 本章以实际的运营商 xx 电信 iptv 网络为研究对象。首先对其 iptv 网络架构进 行了描述，然后详细分析了当前 iptv 网络系统安全需求，对 iptv 的网络的安全体系 进行研究，并对具体的安全需求给出了解决方案。 3.1 iptv 网络架构 iptv 平台在总体结构上分为五层：内容运营、业务运营、业务网络、承载网络 和家庭网络。iptv 平台总体结构示意图如图 1.1 所示： 上海交通大学工程硕士学位论文 第三章 iptv 网络的安全体系 第 10 页 图图 3.1 iptv 平台总体结构平台总体结构 figure 3.1 iptv platform for the structure 增值业务 业务运营 家庭网络 承载网络 内容运营 dslam 组播 单播及直播中继 直播 cpe vs home box home gateway dslam lan switch bras router vdn 增值应用管理 oss/bss stbvms500d dbs500d rpts500d sbs500d nms drm 内容存储 epg 流服务 epg nms drm stb 内容 业务网络 直播服务器 上海交通大学工程硕士学位论文 第三章 iptv 网络的安全体系 第 11 页 在 iptv 系统的布局中，会分为中心节点、边缘节点、家庭网络三部分。其中中 心节点设置在 ip 城域网核心节点，由视频编解码器、中心流媒体服务器、运营管理 平台等组成，它们可以处于相同或不同的物理位置。边缘节点主要由流媒体服务器及 vod 热片、时移片库所需存储系统组成。视频编解码器将来自卫星接收设备、有线电 视选台器、dvd 等视频源设备传送过来的视频流进行压缩、编码，转换为可在网络上 进行传输的包，传送到中心流媒体服务器，再由中心流媒体服务器进行分发，分发到 各个边缘节点流媒体服务器，从而进入到千家万户。在每个家庭网络中，机顶盒将流 媒体服务器传送过来的包进行解码，最终成为 tv 可以播放的视频格式。运营管理平 台包括内容管理平台、业务运营平台两部分，通过互联互通使整个 iptv 流程可以顺 畅、有效的完成。 3.1.1 内容运营平台 3.1.1 内容运营平台 内容运营平台主要包括由内容运营商以及第三方业务提供商建设的相关应用平 台。内容运营平台主要由业务处理系统、运营支撑系统、内容管理系统、话单服务系 统等组成。 内容运营平台主要负责相关视音频节目播放系统和监管系统的建设和管理， 包含 业务逻辑管理和处理、业务数据处理等基本业务处理功能；视音频节目内容的组织、 转播、制作、审核、存储、管理和发布、播出控制、相关视听节目内容的安全等内容 管理功能；系统管理、用户管理、服务管理、业务管理、drm 管理、统计分析、认证 鉴权、计费帐务、对帐结算等有关用户资料及业务资料管理的运营支撑功能；iptv 话单的查询和统计等话单服务功能；以及与其他系统的相关接口功能。 第三方业务提供商相关平台的应用包括游戏、 信息服务、 电子商务、 互动节目等， 这些应用需要发布到上海电信 iptv 平台上，供用户订购后使用。同时，这些业务的 实现需要调用上海电信相关平台功能，如计费系统的能力。 3.1.2 iptv 业务运营平台 3.1.2 iptv 业务运营平台 业务运营平台用于业务运营商对 iptv 用户、内容提供商、业务提供商及其业务 提供的统一管理。包括认证鉴权、内容计费等，并实现与 oss/bss 系统等的互通。业 务运营平台主要由业务处理系统、 内容管理系统、 运营支撑系统、 内容分发系统、 epg 功能软件、机顶盒版本管理系统、话单服务系统、接口系统以及各种业务功能模块等 组成。 业务处理：实现系统管理、计费实现、业务逻辑管理和处理、业务数据处理、话 上海交通大学工程硕士学位论文 第三章 iptv 网络的安全体系 第 12 页 单管理、接口等功能。 内容管理：提供内容操作、内容审批、内容发布、计划安排、广告管理、资费管 理等功能。 运营支撑：实现用户管理、sp 管理、服务管理、drm 管理、系统管理、统计分析、 认证鉴权、计费帐务、对帐结算、外部接口等功能。 内容分发：主要包括内容分发、内容路由、均衡调度、媒体服务等功能。 epg：包括 epg 模板制作、信息收集生成等功能。 机顶盒版本管理软件：实现对终端用户机顶盒的版本管理功能。 话单服务：提供 iptv 话单的查询和统计。 直播中继：在不支持全网组播的情况下，将直播节目，通过 vdn 网络，由中心节 点中继到边缘节点，在今后扩展为三级网络架构的时候，可经一级节点、二级节点层 层中继到边缘节点， 边缘节点再结合网络具体情况以单播或组播的方式为最终用户提 供直播服务。 接口：实现与其他系统的对接。 业务运营平台与其他系统的接口示意图如图 3.2 所示， 业务运营平台实现与 iptv 其他部分的接口： 业务 运营 平台 内容 运营 平台 业务网络 终端 (机顶盒) 承载网络 内容管理、用户管理、 认证鉴权、话单服务、 epg等 机顶盒版本管理、 机顶盒远程管理等 内容分发、内容路由、 均衡调度、媒体服务、 认证鉴权等 组播复制、组播控制等 图图 3.2 业务运营平台与其它系统的接口业务运营平台与其它系统的接口 figure 3.2 platform for business operations and other system interface 3.1.3 iptv 业务网络（vdn） 3.1.3 iptv 业务网络（vdn） 业务网络（vdn）是在现有宽带网络基础上，通过层次化部署流媒体服务器的方 式构建而成的一个分发网络，位于视频源系统和宽带接入网之间，完成视频数据的导 上海交通大学工程硕士学位论文 第三章 iptv 网络的安全体系 第 13 页 入、存储、分发和服务等功能。设备主要包括流媒体服务器和存储设备。 vdn 把视频内容推送到网络边缘，为用户就近提供服务，从而有效提高了服务质 量，降低了骨干网络的传输压力，为 iptv 业务规模应用提供了基础。同时，通过灵 活配置边缘流媒体服务器的方式有效地解决了伸缩性问题。vod 点播业务的实现，直 接借助于 vdn 网络的内容分发调度，用户从最合适的流媒体服务器获取服务。 vdn 实现了下列功能： 内容调度： 根据策略快速调度内容， 使内容分布合理化， 目的是均衡和业务质量。 内容定位：内容定位服务。 服务调度：根据内容位置、距离、带宽、负载实时调度用户服务请求。 vdn 控制层次如图 3.3 所示： 图图 3.3 基于基于 manager/agent 的集散控制结构的集散控制结构 figure 3.3based manager / agent of distributed control structure 3.1.4 iptv 承载网络 3.1.4 iptv 承载网络 承载网络主要基于宽带网络构建， 包括骨干网、 汇聚网和接入网。 如图 3.4 所示， 红色虚线框表示承载网络部分。 manager 统计 调度控制 事务跟踪 数据库 管理接口 通信接口 业务接口 统计 调度控制事务跟踪 数据库 管理接口 通信接口业务接口 内容调度执行 统计 调度控制 事务跟踪 数据库 管理接口通信接口 业务接口 内容调度执行 agent 全网 控制 调度 节点 控制 调度 上海交通大学工程硕士学位论文 第三章 iptv 网络的安全体系 第 14 页 图图 3.4 iptv 承载网络承载网络 figure 3.4 iptv network load 当大规模布点时， iptv 多媒体解决方案综合考虑如下要素， 实现承载网络对 iptv 业务的全面支持。 qos 保障：低丢包率、延迟、抖动；不同业务的优先级保证；高带宽保障。 组播能力：组播协议支持；组播控制管理；频道快速切换；组播转发能力。 安全要素：实现信源合法性及传输安全性等方面的控制；实现对用户及业务提供 商的管理；实现视频业务的隔离。 可靠性要求：节目源的可靠连接；网络可靠性。 3.1.5 iptv 家庭网络 3.1.5 iptv 家庭网络 针对家庭业务日趋丰富的趋势， 家庭业务以及统一接入等方面构建了的功能强大 的网络解决方案。如图 3.5 所示， 上海交通大学工程硕士学位论文 第三章 iptv 网络的安全体系 第 15 页 图图 3.5 iptv 家庭网络家庭网络 figure 3.5 iptv network load 3.2 iptv 系统安全3.2 iptv 系统安全 随着 iptv 业务的开展，网络的逐渐铺设，会出现一个所有系统都会面对的问题， 那就是安全威胁。作为一个在广域网上运行提供服务的系统，安全威胁主要来自两方 面，系统本身的健壮性，抵御外界攻击和突发情况的能力。 根据产生问题的部件，可以大概分为以下几类：操作系统的安全，系统架构的安 全，设备的安全，网络安全，业务安全，内容安全，协议安全，网管安全，环境安全。 3.2.1 操作系统的安全 3.2.1 操作系统的安全 操作系统是整个 iptv 运行的平台，其重要性不言而喻，在操作系统级别上，其 安全需求主要表现在防止非法用户入侵、防病毒、防止数据丢失等，可以从以下几个 方面保障系统的安全性： 系统设置硬件防火墙，所有需要保护的主机设置在防火墙内部，物理上防止恶意 用户发起的非法攻击和侵入。 为业务管理人员建立起身份识别的机制，不同级别的业务管理人员，拥有不同级 别的对象和数据访问权限。 及时更新系统补丁 建立安全传输体系 系统具备完善的日志功能，登记所有对系统的访问记录 上海交通大学工程硕士学位论文 第三章 iptv 网络的安全体系 第 16 页 通过安全的数据备份策略，有效地保障系统数据的安全性 根据操作系统安全配置策略来配置系统环境。 3.2.2 系统架构的安全 3.2.2 系统架构的安全 针对 iptv 体系架构，可建立 iptv 安全模型，分层架构。 管理平台具备双机备份功能， 业务处理机、 epg 服务器、 接口机都支持主备功能。 存储系统能够支持磁盘镜像模式，通过 raid-5 方式保证在硬盘出现灾难性故障 时防止数据丢失，可以最大限度的保证用户数据的可用性和可修复性。 设备应支持 ha（high availability）模式，实现系统热备份，主用系统故障能 够自动切换到备用系统，可提供流媒体服务器多种单元的冗余备份。设备支持用户通 过手工备份功能。 并且备份数据可保存到外部设备中。 同时, 设备可通过分布式部署， 保证系统的安全。epg 服务器、vdn 调度单元、网管均支持分布式处理。 3.2.3 设备安全 3.2.3 设备安全 系统能在常温下每周 724 小时连续不间断工作，稳定性高，故障率低。 保证核心系统（应用软件、硬件、操作系统、数据库）除人为因素或外界因素， 例如误操作、电源故障、环境温度过高等造成的应用软件或系统软件故障、停机外， 在 99.9的时间内都能够正常运作（包括维修时间） ，故障停机时间三个月不超过 2 个小时。 主机的短期故障不会导致告警和业务数据的丢失。 微机服务器平均无故障时间（mtbf）大于 5,000 小时，小型机平均无故障时间 （mtbf）大于 10,000 小时，所有主机硬件三年内故障修复时间不超过 30 个小时。 3.3 iptv 网络安全 3.3 iptv 网络安全 iptv 业务承载网络直接与 internet 等网络互联，作为 ip 基础承载网，面临各 种网络安全风险，包括网络设备入侵、拒绝服务攻击、路由欺骗、qos 服务破坏以及 对网络管理、控制协议进行网络攻击等，故 iptv 承载网络的安全建设实现方式应包 括物理安全、网络设备的安全加固、网络边界安全访问控制等内容。 3.3.1 物理安全 3.3.1 物理安全 包括 iptv 承载网络通信线路、物理设备的安全及机房的安全。网络物理层的安 全主要体现在通信线路的可靠性，软硬件设备安全性，设备的备份和容灾能力，不间 断电源保障等。 上海交通大学工程硕士学位论文 第三章 iptv 网络的安全体系 第 17 页 3.3.2 网络设备安全 3.3.2 网络设备安全 iptv 承载网络设备直接暴露在 internet 环境之下，其安全性直接关系到 cn2 网 络的安全性和可用性。同时，作为 ip 承载网，首先必须加强对网络设备的安全配置， 即对网络设备的安全加固，主要包括口令管理、服务管理、交互式访问控制等措施。 口令的安全管理，所有网络设备的口令需要满足一定的复杂性要求；对设备口令 在本地的存储，应采用系统支持的强加密方式；在口令的配置策略上，所有网络设备 口令不得相同，口令必须定时更新等；在口令的安全管理上，为了适应网络设备的规 模化要求， 必须实施相应的用户授权及集中认证单点登录等机制， 不得存在测试账户、 口令现象。 服务管理，在网络设备的网络服务配置方面，必须遵循最小化服务原则，关闭网 络设备不需要的所有服务， 避免网络服务或网络协议自身存在的安全漏洞增加网络的 安全风险。对于必须开启的网络服务，必须通过访问控制列表等手段限制远程主机地 址。在边缘路由器应当关闭某些会引起网络安全风险的协议或服务，如 arp 代理、 cisco 的 cdp 协议等。 控制交互式访问，网络设备的交互式访问包括本地的控制台访问及远程的 vty 终端访问等。网络设备的交互式访问安全措施包括：加强本地控制台的物理安全性， 限制远程 vty 终端的 ip 地址；控制 banner 信息，不得泄露任何相关信息；远程登录 必须通过加密方式，禁止反向 telnet 等。 3.3.3 网络边界安全 3.3.3 网络边界安全 网络安全边界保护的主要手段是通过防火墙或路由器对不同网络系统之间实施 相应的安全访问控制策略， 在保证业务正常访问的前提下从网络层面保证网络系统的 安全性。 iptv 承载网络边界保护措施主要包括以下两点： 通过路由过滤或 acl 的方式隐藏 iptv 承载网路由设备及网管等系统的 ip 地址， 减少来自 internet 或其它不可信网络的安全风险。 在 iptv 承载网络边缘路由器与其它不可信网络出口过滤所有的不需要的网络管 理、控制协议，包括 hsrp、snmp 等。 3.3.4 拒绝服务攻击防范 3.3.4 拒绝服务攻击防范 拒绝服务攻击对 iptv 承载网络的主要影响有：占用 iptv 承载网网络带宽，造成 网络性能的下降；消耗网络设备或服务器系统资源，导致网络设备或系统无法正常提 上海交通大学工程硕士学位论文 第三章 iptv 网络的安全体系 第 18 页 供服务等。 建议 iptv 承载网络采取以下措施实现拒绝服务攻击的防范：实现网络的源 ip 地址过滤，在 iptv 承载网接入路由器对其进行源 ip 地址的检查。关闭网络设备及业 务系统可能被利用进行拒绝服务攻击的网络服务端口及其它网络功能，如 echo、 chargen 服务，网络设备的子网直接广播功能等。通过建立网络安全管理系统平台实 现对拒绝服务攻击的分析、预警功能，从全局的角度实现对拒绝服务攻击的监测，做 到早发现、早隔离。 图 3.6 给出了 iptv 承载网安全建设实现方式图。 图图 3.6 承载网安全建设实现方式承载网安全建设实现方式 figure 3.6 bearer network security-building approach to achieve 3.3.5 信源安全/组播路由安全 3.3.5 信源安全/组播路由安全 尽管组播技术具备开展新业务的许多优势，并且协议日趋完善，但开展组播业务 还面临着组播用户认证、组播源安全和组播流量扩散安全性的问题。 组播源管理：在组播流进入骨干网络前，组播业务控制设备应负责区分合法和非 法媒体服务器，可以在 rp 上对组播源的合法性进行检查，如果发现来自未经授权的 iptv 传送网络iptv 传送网络 流媒体服务器 cpe dslam iptv pop 点 modem tv&stb 禁止反向telnet，支 持静态组播树配置 vpn隔离，路由过滤或acl等方式隐藏iptv承 载网路由设备及网管等系统的ip地址， 减少来 自internet或其它不可信网络的安全风险 支持urpf，源地址过滤，最 小化服务原则，防止dos攻击 vlan/pvc隔离 根据mac地址/option 6