微型机与应用
MICROCOMPUTER & ITS APPLICATIONS
2000　Vol.19　No.6　P.22-24




基于IEEE 1394数字传输的内容保护方案
王挺　吕述望
摘要：1394技术以及Intel等公司联合提出的、基于IEEE 1394数字传输系统的内容保护方案的工作原理和基本内容。
关键词：IEEE 1394技术 数字传输内容保护 密码技术
　　近来，微软公司的“维纳斯”计划和中国科学院的“女娲”计划在国内炒作得沸沸扬扬。但不管怎样，后PC时代的到来，数字化的信息家电将成为一个发展趋势，1394将成为数字设备的一种标准配制。其中，数字媒体的版权保护，特别是对数字媒体在各类数字设备（信息家电）间传播过程的保护，将成为一个非常重大的课题。
　　基于1394技术的数字传输内容保护系统的设计与实现具有极大的市场潜力，毫无疑问地会吸引企业界和学术界的高度重视。下面就对其有关问题做简要论述。
1  1394技术
　　IEEE 1394是电气和电子工程师协会颁布的高速串行连接标准，它使各种系统和设备间高速、可靠和便捷地传送数字视频和音频。1394又称作i.Link或FireWire，是一种便捷的I／O接口，不需要专门的硬件设备捕获、编辑或记录视频，允许多达63种数字设备（各类信息家电或计算机外设）的连接，具有可伸缩的结构和“热拔插”功能，设计者和用户可随时对系统或设备进行剪裁。1394与USB有类似之处，但适用于更高速率的视频领域。目前标准中规定的传输率为100～800Mb／s，正在研究1600Mb／s以上的速率。在IEEE1394.1995标准基础上，其增强版本的P1394a于1998年末由IEEE着手审议，后继版本P1394b也已于1999年中期递交讨论。
　　以往，微机（PC）和消费电子产品（CE）分属于不同的领域，二者通常是采用较低“品质”的模拟连接器进行连接。如要用PC制做影视节目，就必须采用昂贵的模拟视频捕获卡以及NTSC制式的重放设备。如果采用1394技术，用户就可通过PC直接控制CE和PC外围设备、编辑音频／视频信息、将外围设备连入Internet网等，并且不会发生质量上的损耗。市场上现已有带1394接口的数字摄像机、数字卫星接收机和数字录像机等产品，预计数字电视、数字机顶盒、DVD机及扫描仪、打印机等也很快将采用1394技术。1394技术将对未来的计算、消费电子和通信系统产生深远的影响。
2  数字传输系统内容保护
　　DTCP要实现以下目标：
　　(1)能够为IEEE 1394总线上传输的版权音频／视频内容提供足够的安全保护，非法设备无法发送和接收有关内容；
　　(2)能够构造一个高效、可靠、安全的系统环境，所有的PC和CE设备可以正常运转。附加的安全设施对设备性能的影响尽可能小，且尽可能地便宜；
　　(3)能够保证系统的灵活性、可扩展性和可更新性；
　　(4)尽可能地为所有合法用户提供方便的操作，不给用户增加额外的负担；
　　(5)所有的知识产权都需经过适当的方式进行审核；
　　(6)所有的实现方案的设备能够获得进／出口许可，可以在市场上自由买卖。
为此，该方案的实现是建立在一定强度的密码技术之上的。所有的设备在生产制造时都附加一个唯一的密码“部件”，实现认证机制。在版权内容发送和接收之前首先进行认证过程，以保证设备身份的合法性，同时进行密钥交换。发送的内容经过加密处理，防止非法拷贝。系统的使用和密钥的管理都经过相应机构的审核。系统工作流程如图1所示。

图1  系统工作流程
　　(1)源设备首先发出初始帧，其中的加密模式批示符EMI标记内容受保护状态如：“copy once”、“copy never”或“no more copies”；
　　(2)接收设备收到初始帧后，首先查看EMI的有关内容保护标记。如果是“Copy never”，接收设备则向源设备发送请求帧，要求完全认证和密钥交换（Full AKE）方案；如果是“copy once”、“no more copies”，则可根据本地设备的能力要求完全认证和密钥交换方案或有限认证和密钥交换方案(Restricted AKE)；如已认证完毕，可直接进行第4步；
　　(3)源设备收到认证请求帧后，决定接收设备的认证类型；
　　(4)启动相应认证和密钥交换进程，获得内容密钥（Content Key），用以加密随后进行的内容发送。
　　从上可以看到，系统涉及以下几个方面内容：(1)拷贝控制信息(Copy control information)；(2)认证和密钥交换(AKE)；(3)内容加密(Content cipher)；(4)系统更新(System renewability)。下面分别予以介绍。
2.1 拷贝控制信息CCI
　　内容的所有者可决定内容的拷贝限制CCI：“copy once”、“copy never”或“copy free”等。
　　CCI信息嵌入传输内容帧中，许多信息格式如MPEGII中有字段指定相应的CCI。CCI信息任何人都无法修改，同时用加密模式指示符EMI表示相应的CCI信息。对于IEEE 1394，EMI设定为帧头同步字段的最高2bit。这样比特流记录设备（如数字录像机）可直接得到CCI信息。如果EMI被改动，发送内容无法正常恢复。
2.2 认证和密钥交换AKE
2.2.1 完全认证和密钥交换
　　所有设备都由DTLA发放唯一的公／私密钥对和数字设备证书。私钥存放在设备中，并受到严格保护，不得泄露。数字设备证书也存放在设备中，在认证过程中使用。Full AKE采用基于公钥的数字签名标准DSS和Diffie－Hellman密钥交换算法DH。DSS用于保证数据的完整性。DH用于传输会话密钥，用于二方或多方生成共享密钥。
　　安全认证由接收设备首先向源设备发出请求，然后交换设备证书和随机challenge；之后，双方计算DH第一阶段的数值。最后交换包含如下内容的签名信息：对方设备发来的challenge、DH第一阶段的值、设备中存储的系统最新更新信息（SRM）版本号。以上认证过程很简单。SRM中含有被取消的设备证书列表，在认证过程中，设备将查询列表，确定对方的合法性。这种做法，可有效防止盗版设备的非法使用。全认证过程如图2所示。

图2  全认证过程
2.2.2 有限认证和密钥交换
　　有限认证和密钥交换用来在设备间交换“copy once”、“copy no more”内容。如数字录像机等计算能力有限、依赖于共享秘密和Hash函数作用于随机challenge。
有限认证由接收设备首先发出请求，之后源设备要求对方发送设备ID；源设备收到ID后，生成一串随机challenge再发送给接收设备。收到challenge后，接收设备使用相应的密钥（由DTLA签发的服务密钥，service key）计算一个对应的值再发送给源设备。此时，源设备自身的服务密钥和接收方的设备ID对challenge也计算出1个相应的数值，与刚收到的值进行比较，如果二者符合，则完成认证。之后，源设备和接收设备再计算出1个认证密钥(Authorization Key)。
2.3 公共密钥生成
　　公共密钥生成适用于以上二种认证方式。源设备生成1个随机串作为交换密钥，并使用它自己计算出的认证密钥加密，发送给接收设备。接收设备收到后再使用它自己计算出的认证密钥解密，然后得到公共密钥，即内容加密密钥（content key）用于加密版权内容信息流。
2.4 内容加密
　　密码用来加密受保护的内容，不仅需要安全高效，而且要在PC和CE同时实现。为保证互操作性，所有的设备必须支持基本密码方案（Baseline Cipher），同时也可以支持其它密码。密码使用C－CBC工作模式，有效防止已知明文攻击或密钥穷举攻击。
　　采用M6和改进的Blowfish作为基本加密密码，DES等作为可选密码。
2.5 系统更新
　　支持全认证的设备可以接收和处理SRMs。这种系统更新能力可及时废除非法的设备ID，可以保证系统长期的完整性。
　　SRMs可以通过许多途径进行修改。由于系统是通过网络系统连接，并且始终是运行的。一个有效的SRM新版本会很快通知到所有设备。SRM主要内容包括：
　　(1)不断递增的系统更新版本号，保证始终使用最新的SRM；
　　(2)认证废弃表（CRL），记录那些不安全的或非法的设备信息。对于存储能力有限的设备，应首先优先记录那些可能威胁最大的设备信息；
　　(3)由DTLA对以上信息的数字签名，保证SRM的完整性。
3  密码技术
3.1 基于椭圆曲线的DSA、DH
　　方案中采用了基于椭圆曲线的DSA、DH，椭圆曲线密码ECC是基于过椭圆曲线解离散对数的困难性，与其它的公钥密码体制相比，它能以较短的密钥长度提供较高的安全性；同时也减少了资源开销。系统中，有限域设为GF(p)，p为大素数。过素数域的椭圆曲线设为E(Fp)，满足以下方程式：
y＾2＝x＾3＋ax＋b a，b，x，y ∈Fp
　　基于椭圆曲线的DSA、DH，在椭圆曲线上选择1个基点G，公开密钥Y1和私有密钥Y－1满足以下关系：
Y1＝Y－1G overE(Fp)
　　ECC DSA和ECC DH的具体描述可参见有关规范说明。
3.2 基本密码和C－CBC模式
　　方案采用M6和改进的Blowfish作为基本加密密码。M6是一种基于伪随机置换的分组加密算法，它已被日本数字卫星广播系统采纳为加密标准。同类型的算法有MD5和SHA－1。算法的基本操作为32b的加法、异或和循环移位，可取得较好的非线性和雪崩效应。M6用硬件实现非常简单，规模很小。M6算法中没有采用查询表，软件实现的代码量也极少。M6的密钥长度可变（40～64b），主要是考虑出口限制的因素。
　　Blowfish也是一种密钥长度可变的分组加密算法。方案中对该算法进行了改进，提高了算法在PC上的性能，并降低了复杂性以减少在CE上的实现成本。主要体现在将算法的轮数降至8轮，S－盒减为1个。此外还考虑采用静态S－盒，以减少密钥调度的开销。以上做法对安全性的影响，目前还在评估之中。
　　基本密码都采用如图3所示的C－CBC工作模式。与普通的CBC模式相比，在密文反馈上增加了1个秘密的转换函数f，这样可隐藏输入／输出的关系，有效对付已知明文攻击和密钥穷举攻击，增加了安全性。

图3  C－CBC模式
4  结束语
　　通过对Intel等公司提出的方案分析，可以注意到以下几个问题：
　　(1)没有重新设计新的密码算法和协议，而是采用在机要部门广泛应用、久经考验的、比较成熟的密码方案，这样做无疑是想减少风险。
　　(2)采用基于椭圆曲线的密码算法。用较短的密钥长度获得较高的安全性，同时，也可提高性能、降低设备的成本。
　　(3)基本密码(用于内容加密)的选择或改进，在突出算法效率的前提下，强调软／硬件实现的简洁性。
　　(4)通信协议的设计有相当的灵活性和可扩展性。
　　可以预料，随着数字化技术、通信技术及计算机技术的进一步发展，数字化的信息家电将溶入我们的日常生活之中，1394将成为数字设备的一种标准配制。基于1394的数字传输内容保护方案的研究与设计也势必成为热点课题。
王挺（中国科学院信息安全国家重点实验室100039）
吕述望（中国科学院信息安全国家重点实验室100039）
参考文献
1，Traw B，Smyers S．Content Protection for Digital Transmission System．5C Compromise Proposal Version ．91，1998；（2）
2，Pearson B．1394 Digital Content Protection：How Does It Work﹖．Multimedia System Design，1997；（10）
3，Pearson B． Protocol Enhancements In P1394a And Why They are Important For 1394．Devices In A PC Environment，Rev 1．0，1998；（1）
4，Lambert P．Elliptic Curve Cryptography Delivers High Performance and Security for E Commerce．Computer Security Journal，1998；8（4）
5，Traw B．1394－Based digital Content Protectionan Intel proposal．http：／／www．zettweb．com
6，Pearson B．USB and 1394 living together in harmony．http：／／www．zettweb．com
收稿日期：1999－12－20
