数字电视的有条件接收即CA系统是有线电视数字化后广电有线网络运营商实行企业化管理，实现数字电视节目分类经营以及收费管理的基础，是有线网络运营商主营业务长期稳定发展的前提和保证。可见CA系统能否安全可靠关系到运营商今后能否大力推进“三网融合”、开展多业务实现可持续发展战略的关键，是与电信运营商开展竞争立于不败之地的基石。因此，消除传统CA系统在三网融合要求开放情况下的不安全因素，使之稳定可靠运行是我们研究的课题。下面就CA的工作原理、如何提高CA系统的可靠性、实用性及未来CA的发展趋势做一些讨论和研究。
智能卡CA系统的工作原理
图 CA系统原理方框图
如图所示，在信号的发送端（有线电视前端），首先由控制字发生器产生控制字（CW），将它提供给加扰器和控制字加密器。控制字的典型字长为60bit，每隔5～20s改变一次。加扰器根据控制字发生器提供的CW,对来自复用器的TS流进行加扰运算，此时加扰器的输出即为经过扰乱了的TS流，CW就是加扰器所用的密钥。控制字加密器接收到来自控制字发生器产生的CW后，则根据用户授权系统提供的业务密钥（SK）对CW进行加密运算，输出为经过加密后的CW，被称为授权控制信息（ECM）。SK在送给控制字加密器的同时也被提供给了业务密钥加密器。业务密钥加密器接收到SK后，被用户授权系统提供的与PDK（私钥）所对应的公钥进行加密运算，输出为加密后的SK，被称为授权管理信息（EMM）。经过上述过程产生的ECM和EMM均被送至MPEG-2复用器，与被送至同一复用器的加扰数据流复用在一起，通过传输信道传输至接收端（数字电视STB）。
在信号的接收端，经过解调后得到的加扰的TS流送至解复用器，从解复用器解出来的ECM和EMM信号，被分别送至解密模块中的控制字解密器和业务密钥解密器。如果用户已被授权，就可以用智能卡中的这个PDK对EMM解密得到SK，然后用SK对ECM解密得到CW等控制参数。恢复CW的过程十分短暂，一旦接收端恢复出正确的CW后，接收端的解扰器便能正常解扰，将加扰码流恢复成正常码流。
在实际系统中，为了保证更多用户（一个城市）都能收看到数字电视节目，必须要对每个用户授权，每个用户的唯一识别就是有线网络运营商下发给用户的智能卡（SmartCard）ID号，授权时将该卡号ID、授权时间、授权级别等用户信息通过加密写入EMM管理信息中。STB通过寻址获得EMM信息，智能卡对EMM信息解密出SK，然后用SK对ECM解密得到CW等参数，最后实现对TS流解扰。
很显然，由于CA系统采用多级加密体制和安全密钥算法以及高强度的加密，CA系统的运行与管理在通常情况下是非常安全可靠的。但是社会上总会有一些不法分子“黑客”在利益的驱使下，适机寻找智能卡系统的安全缺陷，不断试图破解CA或共享CW为用户提供不付费就能收看数字电视的产品，给有线电视运营商的运营和发展带来巨大威胁，智能卡分卡器和网络共享机顶盒的出现，已经开始给有线电视运营商带来影响。
智能卡CA系统的安全隐患
目前，在广播式的加密数字电视系统中，有线网络运营商多数采用的是上述智能卡系统实现数字电视的条件接收CA。由于智能卡与STB是分离的，使用时将卡插入STB的插槽里，“黑客”非常容易在通讯接口处通过必要的技术手段窃取CW字，这是其一；其二是智能卡共享，即用一块正版智能卡带动两台或两台以上的STB，达到共享智能卡的目的。有的人认为通过“机卡绑定”可以解决，笔者认为，“机卡绑定”仅解决了智能卡本身的非同时共享使用问题，没有从根本上解决CW字共享的问题；还有更严重的是，就是“黑客”直接从STB中盗取CW字破解CA系统。结果即便是采用带有深度温度检测和电压检测功能的高级智能卡，在核心技术人员跳槽、黑客反编译和代码跟踪以及代码开放策略面前也显得束手无策。以上这些做法给有线运营商的正常经营带来巨大的潜在风险。
我们知道，在收看节目时所有STB的CW都是一样的，也就是说，CA系统里对CW的加密算法所有智能卡都是一样的，没有任何差异，因此只要一张智能卡被破解或被“非法复制”，整个CA系统就被宣布告破。一般解决的办法是更换整个系统重新发卡，二是升级CA系统和智能卡的加密算法。可怕的是如果一些CA公司为了降低成本，采用掩膜智能卡，内部加密代码和算法不能被更改，即使能改写，在STB与智能卡通讯的过程中，加密算法也容易被截取，对智能卡CA算法的更换没有可行性，因此一旦智能卡CA被破解只有换卡，对运营商而言损失是巨大的。可见采用智能卡CA系统不论CA公司需要采取何种封闭保密手段，其中将解密算法写入可以随时带走的智能卡中，其安全性越来越不安全，越来越容易受到“黑客”的破解、共享和“非法复制”。这就是当今智能卡CA系统的缺陷和软肋。
今年CCBN 的主题是高清互动和下一代广播电视网（NGB），也是有线网络下一步的发展目标。推广使用高清互动电视的前提是HFC网络具备上双向传输的条件和使用互动高清STB。目前，业界主流的高清STB由于均采用的是高性能芯片（对标清而然）不仅支持数字电视业务，还可以支持多种业务，如VOD点播、VoIP可视电话、网页浏览、电子支付等双向业务。如果仍然采用上述智能卡CA系统更容易为 “黑客”提供破解CW和网上共享CW提供了方便条件。当然，可采两次认证的方法解决，即CA系统认证和IP网络认证，采取双重认证的方式能进一步提高CA系统的安全性和可靠性。但问题的关键是，目前多数有线电视数字用户并非都是宽带用户，就是说HFC网络必须是双向网络，STB具备上网功能才有可能实现双重认证。显然理论上可行，但当前还不完全具备全面推行双重认证的条件。即使全部实现了双向，广播式的CW也无法针对每个用户个性化，采用智能卡独立于机顶盒的CW共享依然无法避免。
近几年来，智能卡分卡器（CW共享器）销售火爆，现在又出现了过滤取消授权指令的破解卡，利用智能卡的漏洞永久免费收看数字电视节目，让有线运营商感到非常头痛。所以说在提高CA系统的安全可靠性方面应当有所创新。笔者认为采用可下载式无卡CA系统和STB安全芯片的结合将成为未来的发展方向。[page]
可下载式CA解决的主要问题以及实现方法
可下载式CA的概念
可下载式CA系统在加密/解密、用户授权等方面与智能卡CA系统的工作原理是一样的，只是有关的CA私有代码可以从前端下载。这个CA代码可以是STB和智能卡通讯的代码，也可以是算法和密钥。前者叫做下载式智能卡CA，而后者叫做下载式无卡CA。采用下载式无卡CA系统，减少了STB智能卡插座的成本，节约了原材料，也符合国家“低碳节能”战略；直接实现了“机卡绑定”，消除了智能卡与STB之间通讯所带来的不安全隐患，提高了黑客破解CW的成本。
采用无卡CA是技术发展的必然
从芯片技术和CA系统的发展历史上看，不论智能卡CA还是无卡CA，其授权都是与硬件唯一标识相关联，因此CA的安全性与硬件直接关联。每张智能卡都有唯一的序列号ID，并以此作为每个用户的唯一识别符，并成为对用户授权的唯一依据。在早期的STB芯片中为每一颗芯片加入唯一的序列号是昂贵和困难的，随着半导体芯片技术的快速发展，在STB主芯片内部设置唯一标识符已经变得比较容易，因此CA授权的识别符就可以从外部的智能卡转移到STB主芯片内部，CA系统中对用户的唯一识别ID号更容易得到保护，更安全可靠。
动态更新加密算法和密钥优势明显
可下载CA实现了加密算法或动态密钥可随时更换，进一步提高了CW被破解的难度。但是对可下载式无卡CA系统来讲，因为可以实现动态更换CA软件，运营商自己可以掌握和随意生成密钥算法，所以破解这种CA系统没有任何商业价值，因此其加密算法可以采取弱保护、甚至不保护，做到完全开放，这也符合系统开放的发展策略。
安全STB芯片大大增强了下载式无卡CA系统的安全可靠性
目前，随着技术的发展，带有高级安全子系统的STB芯片不断涌现，这为推广使用可下载式无卡CA提供了良好的可靠平台，弥补了下载式无卡CA私有代码缺乏智能卡载体的封闭保护，使这一系统有了更高的安全可靠性。这种高级安全子系统主要包括主芯片内置专用安全CPU，系统支持安全启动、硬件控制字保护、内容保护，JTAG保护；支持AES 和3DES 加解密算法等。最关键的是支持OTP（One Time Programable）存储Unique ID这一功能，在芯片出厂封装之前就写进去，从根本上解决了无卡CA唯一授权ID号的安全问题。所以，破解这种无卡CA只有克隆机顶盒芯片一条路，从能预见到的状况来看，这几乎是不可能的。
结束语
铁岭天光有线网络有限公司已经实现了市城区有线电视数字化30万用户的整体转换，开通了宽带上网和可视电话VoIP业务，实现了“三网融合”，率先使用无卡CA系统，并在《铁岭农村文化资源共享工程》中得到了大量使用，效果良好、安全可靠，节约了大量资金，降低了运营成本，取得了可喜的经济效果。相信在高清互动STB上使用可下载无卡CA系统并以组织的形式加以规范，会有更多的国内有线运营商选择使用。
作者：铁岭天光有线网络有限公司 臧杰
