Phân tích các vấn đề bảo mật trong hệ thống cung cấp dịch vụ IPTV

MỤC LỤC THUẬT NGỮ VÀ CÁC TỪ VIẾT TẮT Thuật ngữ Tiếng anh Tiếng việt AES Advanced encryption standard Mã hóa bảo mật cấp cao ATSC Advanced Television Systems Committee Ủy ban truyền hình Hoa kỳ BRAS Broadband Remote Access Server Server quản lý truy cập băng rộng từ xa CA Certification Authority Người cấp chứng thực số CAS Conditional access systems Hệ thống quản lý truy cập CPS Content protection systems Hệ thống bảo vệ nội dung số DES Data Encryption Standard Chuẩn mã hóa bảo mật dữ liệu DHCP Dynamic Host Configuration Protocol Cấp phát cấu hình đầu cuối kết nối động DRM Digital Rights Management Hệ thống quản lý bản quyền nội dung số DSL Digital subscriber line (ADSL, ADSL2, ADSL+, ADSL2+) Đường thuê bao số DSLAM Digital Subscriber Line Access Multiplexer Thiết bị ghép kênh trụy cập thuê bao số DSM Digital storage Media Giao thức điều khiển dòng truyền video DVI Digital Visual Interface Giao diện kết nối video số DVR Digital Video recoder Thiết bị ghi Video số EPG Electronic Program Guide Bảng hướng dẫn chương trình FTTx Fiber to the x Hệ thống truyền dẫn thuê bao quang H.264/ AVC H.264/ AVC is a standard for video compression Chuẩn định dạng Video được xây dựng trên hợp tác giữa tổ chức ITU-T Video Coding Experts Group (VCEG) kết hợp với ISO/IEC Moving Picture Experts Group (MPEG) HD High Definition Truyền hình phân giải cao HFC Hybrid Fibre-Coaxial Truyền dẫn quang lai HIS High-speed Internet access Truy cập Internet tốc độ cao IEEE Institute of Electrical and Electronics Engineers Viện nghiên cứu công nghệ điện và điện tử IGMP Internet Group Membership Protocol Giao thức nhóm truyền dẫn quảng bá IP Intellectual Property Bản quyền sở hữu trí tuệ IPTV Internet Protocol Television Truyền hình qua giao thức Internet IRD Integrated Receiver Decoder Thiết bị thu nhận giải mã vệ tinh ISMACRYP Internet Streaming Media Alliance Encryption and Authentication Công nghệ mã khóa chứng thực của tổ chức ISMA KMS Key management systems Hệ thống quản lý khóa LAN Local Area Network Mạng cục bộ MPEG Moving Picture Experts Group Nhóm phát triển tiêu chuẩn nén và định dạng cho hình ảnh MSDP Multicast source discovery protocol Giao thức chia sẻ định tuyến Multicast NTSC National Television System Committee Chuẩn truyền hình tương tự NTSC PAL Phase Alternating Line Chuẩn truyền hình tương tự PAL PIM Protocol Independent Multicast Phương thức Multicast độc lập giao thức PVR Personal Video Recorder Thiết bị ghi video cá nhân RSA Rivest, Shamir and Adleman Mã khóa công khai RTCP RTP Control Protocol Giao thức điều khiển RTP RTP Real-time Transport Protocol Giao thức truyền dẫn thời gian thực RTSP Real Time Streaming Protocol Giao thức streaming video thời gian thực SSL Secure socket layer Lớp socket bảo mật STB Set Top Box Thiết bị thuê bao thu nhận giải mã nội dung TCP Transmission Control Protocol Bộ giao thức truyền dẫn gói trong mạng IP TLS Transport Layer Security Lớp truyền dẫn bảo mật TS Transport Stream Dòng truyền Video UDP User Datagram Protocol Giao thức truyền dẫn gói người dùng VLAN Virtual Local Area Network Mạng LAN ảo VOD Video On Demand Truyền hình theo yêu cầu VoIP Voice-over IP Thoại qua mạng IP WAN Wide area network Mạng diện rộng WiMAX Worldwide Interoperability for Microwave Access Truy cập không dây công nghệ Wimax DANH MỤC BẢNG Bảng 6.1 – Biện pháp bảo mật cho hệ thống quản lý khóa 115 Bảng 6.2 – Các phương pháp bảo mật cho các phương tiện mang tin vật lý 115 Bảng 6.3 – Các phương pháp bảo vệ hệ thống mã hóa MPEG và hệ thống chuyển mã 116 Bảng 6.4 – Các phương pháp bảo mật cho Content management server 117 Bảng 6.5 – Các phương pháp bảo vệ hệ thống lưu trữ Video repository 119 Bảng 6.6 – Các phương pháp bảo vệ Video repository disk 119 Bảng 6.7 – Các phương thức bảo vệ lớp DRM 122 Bảng 6.8 – Các phương pháp bảo vệ DRM web service 123 Bảng 6.9 - Phương pháp bảo vệ DRM disk 124 Bảng 6.10 - Cách bảo mật hệ thống ACL đảm bảo tính bảo mật, thống nhất và tính liên tục của dịch vụ 130 Bảng 6.11 - Cách bảo mật hệ thống định tuyến đảm bảo tính bảo mật, thống nhất và tính liên tục của dịch vụ 131 Bảng 6.12 - Phương thức tách biệt các thuê bao đảm bảo tính bảo mật, thống nhất và tính liên tục của dịch vụ 132 Bảng 6.13 - Chức năng QoS đảm bảo tính bảo mật, thống nhất và tính liên tục của dịch vụ 133 Bảng 6.14 - Giải pháp mạng ảo đảm bảo tính bảo mật, thống nhất và tính liên tục của dịch vụ 134 DANH MỤC HÌNH VẼ Hình 2.1: Kiến trúc hệ thống IPTV 13 Hình 2.2: Mô hình chức năng hệ thống IPTV 16 Hình 2.3: Khối chức năng cụ thể IPTV 18 Hình 2.4: Cấu trúc tổng thể hệ thống IPTV 19 Hình 2.5: Cấu trúc Middleware 22 Hình 2.6: Phương thức truyền Unicast 23 Hình 2.7: Phương thức truyền Multicast 24 Hình 2.8: Mô hình tập trung 25 Hình 2.9: Mô hình Phân tán 25 Hình 2.10: Mô hình P2P 26 Hình 2.11: Cấu trúc IP Set-Top-Box 28 Hình 2.12: Quá trình xử lý trong Set-Top-Box 28 Hình 3.1: Ví dụ phân bố các VLAN trong đường truyền dẫn dịch vụ 30 Hình 3.2: Cấu trúc gói tin VLAN tiêu chuẩn IEEE 802.1Q 31 Hình 3.3: Cấu trúc gói tin IGMP V2 32 Hình 3.4: Truyền dẫn các gói tin IGMP v2 giữa DSLAM và STB 34 Hình 3.5: Cấu trúc gói tin IGMP V3 35 Hình 3.6: Truyền dẫn các gói tin IGMP v3 giữa DSLAM và STB 36 Hình 3.7: Cấu trúc gói tin RTP – RFC 3550 37 Hình 3.8: Ví dụ về sự hoạt động RTSP 38 Hình 3.9: Sử dụng Ismacryp 40 Hình 3.10: Chức năng của DSLAM 42 Hình 4.1: Một số chọn lựa để bảo vệ tài nguyên số 45 Hình 4.2: Một số loại hình truy cập từ phía người sử dụng 46 Hình 4.3: DRM Domain 47 Hình 4.4: Giá trị theo thời gian của nội dung số 48 Hình 4.5: Ví vụ về quá trình thực hiện chữ ký số 54 Hình 4.6: Tương tác giữa DRM và Middleware trong mạng IPTV 58 Hình 4.7: Các thành phần của hệ thống DRM 60 Hình 5.1: Các tài nguyên thông tin tại home-end 64 Hình 5.2: Các nguy cơ bảo mật được tìm thấy 65 Hình 5.3: Các thông tin tài nguyên trong hệ thống DRM và VOD 66 Hình 5.4: Các nguy cơ bảo mật trong hệ thống DRM và VOD 66 Hình 5.5: Phân chia các nguy cơ trong mạng IPTV 68 Hình 5.6: Mô hình cấp cao của hệ thống IPTV 78 Hình 6.1: Hệ thống IPTV Head-end 112 Hình 6.2: Các lớp bảo mật tại Head-end 113 Hình 6.3: Các lớp bảo mật – Truy cập trực tiếp tới DRM 121 CHƯƠNG 1: GIỚI THIỆU ĐỀ TÀI 1.1. Tổng quan về đề tài Công nghiệp truyền hình trải qua nhiều thập kỷ phát triển biến đổi liên tục không ngừng, từ cách thức sản xuất chương trình đến các phương thức phân phối nội dung chương trình truyền hình đến người xem. Người xem ngày càng được thưởng thức các chương trình với kỹ thuật hình ảnh đẹp hơn, nhiều thông tin hơn, thêm vào đó người xem có thể chủ động với khả năng tương tác trực quan hơn. Theo thời gian, ngành công nghiệp đã chứng kiến sự ra đời các mạng lưới truyền hình mới rộng lớn hơn, nội dung phong phú hơn: Hệ thống truyền hình vệ tinh, hệ thống truyền hình cáp, và gần đây là sự ra đời của truyền hình phân giải cao HD (High Definition TV) đã nâng chất lượng nội dung và khả năng truyền tải của hệ thống truyền hình lên một cấp độ mới trong việc ứng dụng các công nghệ hàng đầu trong ngành thông tin và truyền thông vào phục vụ cuộc sống. Việc phát sóng các chương trình truyền hình phân dải cao HD được xem là xu thế nhắm đến của ngành công nghiệp truyền hình trong những năm tới trên phạm vi toàn thế giới. Hệ thống truyền hình IPTV - Internet Protocol Television ra đời trong xu hướng phát triển công nghệ đó và trở thành thuật ngữ hiện nay được sử dụng ngày càng phổ biến cũng có thể sẽ là sự lựa chọn tương lai của ngành công nghệp này. IPTV thực chất là hệ thống sản xuất truyền tải các chương trình truyền hình (hình ảnh và âm thanh) thông qua việc đóng gói và truyền tải các gói tin trong mạng IP, sử dụng giao thức truyền dẫn trong mạng IP (Internet Protocol). Xu hướng xây dựng các hệ thống truyền hình mới IPTV được hình thành hiện nay, do những yếu tố chủ yếu sau: Sự phát triển nhanh của khoa học kỹ thuật trong lĩnh vực điện tử, tin học trong những năm qua cho phép thực hiện các chương trình truyền hình bằng các trang thiết bị kỹ thuật số, trên nền tảng công nghệ thông tin trở nên ngày càng phổ biến. Việc ứng dụng các kỹ thuật mới này khiến việc sản xuất các chương trình trở lên nhanh hơn, chất lượng cao hơn và sản phẩm sau khi sản xuất dễ dàng thích ứng để cung cấp đến các khu vực dịch vụ khác nhau: Ứng dụng xem video trên máy tính, trên điện thoại di động, các thiết bị cầm tay di động PDA thế hệ mới,… Công nghệ truyền dẫn phát triển, cùng với sự phát triển nhanh chóng của các công nghệ nén và giải nén hình ảnh âm thanh kéo theo khả năng phân phối các nội dung Video trên các dòng truyền IP trở nên dễ dàng thực hiện được. Xu hướng sử dụng các sản phẩm đa chức năng, các hệ thống dịch vụ tích hợp trên nền dịch vụ gốc (dịch vụ gia tăng – Value Add) phát triển ngày càng mạnh đáp để ứng nhu cầu ngày càng tăng của người dùng. Các hãng cung cấp thiết bị đầu cuối hiện đang tích cực nghiên cứu cho ra các các thiết bị đa chức năng, có khả năng thực hiện "Triple play" cho Voice, Data, và Video, tất cả thông qua giao tiếp truyền dẫn phổ thông và rộng lớn nhất hiện nay: Giao tiếp IP. Hệ thống IPTV cũng cho phép thực hiện các chương trình truyền hình tương tác hơn, phong phú hơn rất nhiều nếu so sánh với các thế hệ truyền hình trước đó. Người xem truyền hình sẽ chủ động hơn trong nhu cầu xem các chương trình của mình. Hơn nữa với khả năng tương tác mạnh, lần đầu tiên người xem có thể tham gia luôn vào trong phần trình diễn chương trình truyền hình của nhà cung cấp dịch vụ IPTV. Việc tận dụng các cơ sở hạ tầng mạng sẵn có để truyền tải nội dung có ý nghĩa quan trọng trên quan điểm đầu tư đối với các nhà cung cấp dịch vụ nội dung. Các nhà cung cấp dịch vụ chỉ cần mua lại một phần dải thông mạng của các nhà cung cấp dịch vụ mạng sẵn có mà không cần đầu tư xây dựng một hạ tầng mạng mới. Hơn nữa, mạng IP hiện là mạng kết nối rộng khắp thế giới, khiến việc truyền tải nội dung không bị ảnh hưởng nhiều bởi ngăn cách địa lý, vùng miền. Một hệ thống sản xuất và cung cấp nội dung chất lượng cao hơn, nhanh hơn và đáp ứng tốt nhu cầu về chất lượng đang ngày càng phát triển của người xem, thêm vào đó là khả năng tiếp cận người tiêu dùng rộng lớn của IPTV cũng là đích đến mong muốn của tất cả các công ty, tổ chức truyền thông nói chung trên thế giới. Vì vậy việc xây dựng các hệ thống IPTV mới là mong muốn hường đến của các công ty này. Do những lợi điểm nêu trên, hệ thống IPTV ra đời và phát triển mạnh trong thời gian gần đây là yêu cầu phát triển khách quan trong ngành công nghiệp truyền hình. Để đảm bảo mô hình kinh doanh dịch vụ IPTV đem lại hiệu quả và hợp lệ, các nhà cung cấp dịch vụ IPTV cần đảm bảo hệ thống cung cấp dịch vụ phải thực hiện được khả năng cung cấp dịch vụ ổn định liên tục trong diện rộng, bảo mật tránh hiện tượng xao chép, trộm cắp, tái phân phối nội dung phi pháp, sử dụng không bản quyền các nội dung số. Luận văn này tập trung đi vào tìm hiểu, phân tích kiến trúc hệ thống mạng dịch vụ IPTV, các điểm yếu trong bảo mật hiện nay của các hệ thống IPTV để từ đó đưa ra các phương án nhằm giảm tối đa các nguy cơ về bảo mật trong hệ thống mạng dịch vụ này. 1.2. Mục tiêu, đối tượng và phạm vi nghiên cứu Mục tiêu đề tài: Mục tiêu chính của đề tài là tìm hiểu các điểm yếu bảo mật trong một hệ thống mạng IPTV tiêu chuẩn, từ đó đưa ra các nguyên tắc, công cụ cần thực hiện nhằm đảm bảo bảo mật cho hệ thống mạng IPTV. Đối tượng và phạm vi nghiên cứu của đề tài: Đối tượng của đề tài là các vấn đề liên quan đến bảo mật của hệ thống mạng dịch vụ truyền hình internet - IPTV. Hệ thống mạng truyền hình IPTV trong đề tài này được nghiên cứu theo cách phân chia các thành phần cụ thể, phân tích mối quan hệ giữa các thành phần đó, từ đó đưa ra các nguy cơ có thể xảy ra đối với các hệ thống này. Phạm vi nghiên cứu bao gồm các hệ thống, công nghệ có liên quan đến triển khai một hệ thống IPTV thực tế như: Công nghệ nén mã hóa Video; Công nghệ mã khóa; các công nghệ đảm bảo bản quyền nội dung số; công nghệ truyền dẫn mạng truy cập thuê bao băng rộng; Công nghệ bảo mật ứng dụng vào trong hệ thống truyền hình. 1.3. Bố cục của đề tài Đề tài gồm các phần chính sau: Chương 1: Giới thiệu đề tài Phần này trình bày tổng quan, mục đích và yêu cầu của các phần được nghiên cứu trong luận văn. Phần này cũng trình bày về phạm vi và đối tượng của đề tài. Chương 2: Cấu hình hệ thống IPTV Phần này đi vào tìm hiểu cấu hình và vận hành hệ thống mạng IPTV tiêu chuẩn, từ đó có được các khái niệm cơ bản về hệ thống mạng dịch vụ IPTV. Chương 3: Mạng truyền dẫn IPTV – Các giao thức sử dụng Phần này tập trung tìm hiểu phương thức truyền dẫn phân phối dịch vụ IPTV, các giao thức chính sử dụng trong truyền dẫn dịch vụ IPTV. Chương 4: Tổng quan các vấn đề bảo mật và các công nghệ trong bảo mật hệ thống IPTV Phần này đi vào tìm hiểu một số khái niệm bảo mật, bản quyền nội dung số và các công nghệ nền tảng hỗ trợ đảm bảo bảo mật hệ thống mạng IPTV. Chương 5: Các nguy cơ bảo mật trong triển khai hệ thống mạng dịch vụ IPTV hiện nay Phần này đi vào phân tích cụ thể các nguy cơ, các lỗ hổng bảo mật có thể xảy ra đối với từng phần trong hệ thống mạng IPTV. Phần này cũng miêu tả một số phương pháp có thể phá hỏng tính bảo mật trong hệ thống mạng IPTV. Chương 6: Các giải pháp cho các nguy cơ tấn công bảo mật Trên cơ sở các điểm yếu của hệ thống IPTV được phân tích trong Phần 5, Phần 6 này đưa ra một số các phương pháp nhằm đảm bảo bảo mật cho hệ thống mạng IPTV đồng thời đưa ra đánh giá về hiệu quả của từng phương pháp bảo mật đối với các nguy cơ bảo mật cụ thể trong hệ thống. Chương 7: Kết luận và hướng phát triển CHƯƠNG 2: CẤU HÌNH HỆ THỐNG IPTV Trong phần này tập trung đi vào phân tích các thành phần cơ bản nhất của các hệ thống IPTV thường được sử dụng để triển khai ngày nay. Từ các thành phần cơ bản này, các yếu tố về bảo mật trong hệ thống IPTV sẽ được trình bày kỹ tại các phần tiếp theo. 2.1. Kiến trúc hệ thống IPTV 2.1.1 Kiến trúc thượng tầng hệ thống IPTV Một hệ thống IPTV về tổng quát bao gồm 4 khu vực chính đại diện cho những chức năng khác nhau và có mối liên hệ với nhau được mô tả như Hình 2.1 sau đây, bao gồm: Hình 2.1: Kiến trúc hệ thống IPTV Nhà cung cấp nội dung (Content Provider): Đây là đơn vị sản xuất, mua/bán trao đổi các nội dung chương trình, từ đó cung cấp các gói nội dung này cho các nhà cung cấp dịch vụ IPTV. Các Nhà cung cấp nội dung sử dụng các phương tiện lưu trữ như: Băng Video (tape), Băng đĩa từ, Băng/Đĩa quang, đĩa cứng… hoặc sử dụng hệ thống sẵn có của mình để đưa (feed) các nội dung chương trình đến các nhà cung cấp dịch vụ IPTV. Các Feed có thể được thực hiện thông qua Vệ tinh (satellite), IPTV, hay bất kỳ một hệ thống mạng truyền hình mà họ có. Trong trường hợp các Feed được sử dụng, Nhà cung cấp dịch vụ IPTV phải có cơ sở hạ tầng để thu nhận nội dung. Nhà cung cấp dịch vụ IPTV (IPTV Service Provider): Đơn vị cung cấp dịch vụ IPTV cho người dùng. Khu vực này thực hiện chức năng tổng hợp các tài nguyên nội dung, sau đó các nội dung chương trình (Content) được đóng gói thành các gói IP, truyền nội dung đến người dùng thông qua Nhà cung cấp dịch vụ mạng. Việc tổng hợp các nội dung được thực hiện thông qua các hợp đồng cung cấp nội dung với các nhà cung cấp nội dung chương trình. Trong hợp này, các điều khoản về sử dụng và phân phối theo bản quyền tác giả được đề cập để đảm bảo các nội dung chương trình được sử dụng hợp pháp, đúng mục đích. Các nhà cung cấp dịch vụ luôn ở vị trí trung gian giữa nhà cung cấp dịch vụ IPTV và người dùng cuối. Nhà cung cấp dịch vụ mạng truyền dẫn (Network Provider): Đơn vị cung cấp dịch vụ hệ thống mạng kết nối, quản lý dịch vụ truyền dẫn với công nghệ được nghiên cứu đảm bảo cho dịch vụ IPTV, theo yêu cầu của nhà cung cấp dịch vụ IPTV. Như đã trình bày trong phần ưu điểm của một hệ thống IPTV, bất kỳ một hệ thống mạng nền tảng IP nào cũng có thể sử dung để cung cấp dịch vụ IPTV, chỉ cần hạ tầng mạng đảm bảo dải thông yêu cầu của nhà cung cấp dịch vụ IPTV. Ví dụ: Hệ thống mạng LAN, WAN, Internet, Mobile Phone Network,…. Chính lợi điểm này, các nhà cung cấp dịch vụ IPTV có thể làm việc với nhiều nhà cung cấp dịch vụ mạng khác nhau, cho phép họ tiếp cận người dùng rộng lớn hơn, đối với một nguồn vào nội dung (Content). Người dùng dịch vụ (Subcriber): Hệ thống đầu cuối dịch vụ cung cấp cho người sử dụng cho dịch vụ IPTV. Khu vực bao gồm các hệ thống thu nhận, biên dịch/giải mã và đưa ra Video/Audio hiển thị trên màn ảnh thuê bao. Khu vực này chiếm tỷ trọng lớn trong việc phát triển hệ thống IPTV. Các khu vực trên có thể cùng do một nhà cung cấp thực hiện hoặc có thể do các nhà cung cấp khác nhau thực hiện, tùy theo quy mô và nhu cầu của hệ thống cần có. Đối với các tổ chức nhà nước, an ninh, quốc phòng có thể triển khai hệ thống IPTV chỉ với 3 khu vực đầu tiên để cung cấp nội dung đến những người có liên quan. Đối với các đơn vị kinh doanh dịch vụ, hệ thống thông thường bao gồm cả 4 khu vực trên. Mô hình đưa ra ở trên chỉ là mô hình cơ bản chung nhất. Hiện nay trên thế giới còn nhiều mô hình khác nhưng chủ yếu là sự kết hợp khác nhau hoặc sự giảm thiểu các khu vực chính trên, tùy theo mục đích triển khai. 2.1.2 Các dịch vụ IPTV Các nhà cung cấp dịch vụ IPTV có thể cung cấp nhiều loại hình dịch vụ khác nhau, tùy theo khả năng cung cấp và mục đích cung cấp. Các dịch vụ thông dụng nhất gồm có: Truyền hình IPTV (Content Broadcast), VOD (Video On Demand) – Dịch vụ truyền hình theo yêu cầu (Thư viện phim, phóng sự, tư liệu…), hay hệ thống Game khi sử dụng dịch vụ IPTV với tính năng tương tác. Truyền hình quảng bá IPTV (Broadcast): Là dịch vụ cung cấp các chương trình dạng truyền hình, các phóng sự, tin tức, games show,…. Với loại hình dịch vụ này, các nhà cung cấp dịch vụ IPTV sử dụng quỹ thời gian để đưa ra các chương trình, phát trên mạng IPTV sử dụng giao thức phát quảng bá – Multicast/broadcast. Với IPTV, người dùng có thể dễ dàng chọn lựa chương trình xem, tùy chọn ghi lưu các chương trình ưa thích và đặc biệt số lượng kênh chương trình là rất lớn so với các hệ thống truyền hình thông thường hiện nay. Truyền hình theo yêu cầu – VOD: Thường ứng dụng trong dịch vụ IPTV cung cấp thuê bao đến người xem chương trình có trả phí. Phương thức truyền dẫn Unicast được sử dụng cho từng thuê bao, cho phép người xem có thể độc lập chọn lựa chương trình, film hay Video Clip trong các thư viện khổng lồ của nhà cung cấp. Phương thức cung cấp dịch vụ này yêu cầu dải thông truyền dẫn cao vì mỗi người dùng cuối chiếm lĩnh một dải thông độc lập của nhà cung cấp dịch vụ. Tùy theo yêu cầu, các nhà cung cấp dịch vụ IPTV có thể cung cấp đồng thời 2 loại hình dịch vụ trên. 2.1.3. Mô hình chức năng của hệ thống dịch vụ IPTV Một hệ thống dịch vụ IPTV có thể phân ra thành các bộ phận chức năng cơ bản cho phép xác định cụ thể chức năng của từng khu vực riêng biệt. Hình 2.2 dưới đây là một trong những cách chung nhất để định nghĩa hệ thống IPTV chia thành 6 khu vực chức năng khác nhau. Hình 2.2: Mô hình chức năng hệ thống IPTV Các khối chức năng chính trên hô hình trên gồm: Khối cung cấp nội dung - Content provisioning, Khối truyền tải nội dung- content delivery, Hệ thống điều khiển mạng dịch vụ IPTV - IPTV control, Khối IPTV transport, Khối người dùng cuối - subscriber và khối thực hiện chức năng bảo mật – security. Khối cung cấp nội dung - content provisioning: Tất cả các nội dung chương trình, trong loại hình dịch vụ quảng bá (broadcast) hay VOD đều được đưa qua hệ thống xử lý này. Tại đây, hệ thống thực hiện chức năng mã hóa (tiếp nhận dữ liệu-ingest, chuyển mã - transcoder, mã hóa - encoder) thành các luồng Video số thích hợp cho truyền dẫn trong mạng IP. Trong quá trình này, các nội dung có thể được dựng hay biên tập lại (ví dụ để tăng giá trị nội dung, quảng cáo, đưa logo, thương hiệu…) và thực hiện các chức năng đảm bảo bảo mật thông qua phương thức Watermarking hay DRM Encryption. Khối truyền tải nội dung- content delivery: Khối này thực hiện nhiệm vụ truyền tải các dòng video đã được mã hóa ở trên đến người xem. Các thông tin về địa chỉ người xem nhận được thông qua hệ thống điều khiển IPTV và các khu vực phụ trợ khác. Khối chức năng này bao gồm hệ thống lưu trữ, hệ thống đệm chương trình (Cache) hay các thiết bị ghi video số DVR (Digital Video Recoder). Khi người xem yêu cầu đến trung tâm dịch vụ IPTV, yêu cầu dịch vụ được chuyển tới các khu vực chức năng này để cung cấp dòng Video đúng theo yêu cầu. Hệ thống điều khiển mạng dịch vụ IPTV - IPTV control: Đây được coi là khối trung tâm của hệ thống IPTV. Khối này có nhiệm vụ kết nối các khối chức năng khác nhau để đảm bảo cho hệ thống cung cấp dịch vụ ổn định, bảo mật, đúng chức năng. Đối với vấn đề bảo mật hệ thống, khối này có vai trò rất quan trọng để đưa đến các phương thức bảo mật tối ưu cho hệ thống. Khối này cũng có nhiệm vụ tạo ra các giao diện cho phép người dùng dễ dàng chọn lựa nội dung muốn xem. Hệ thống điều khiển mạng IPTV còn có chức năng vận hành điều khiển hệ thống DRM. Khối người dùng cuối – subscriber: Bao gồm tập hợp các thành phần chức năng và tác vụ giúp cho người dùng cuối có thể truy nhập các nội dung IPTV. Một số chức năng hỗ trợ việc giao tiếp với khối IPTV Transport để thực hiện quá trình truyền dẫn đến trung kế dịch vụ của nhà cung cấp dịch vụ truyền dẫn. Một số chức năng khác trong khối chức năng này như cung cấp Web Server cho kết nối với các phần mềm Middle Ware Server tại trung tâm dịch vụ và lưu trữ thông tin bảo mật DRM. Khối thực hiện chức năng bảo mật – Security: Tất cả các khối chức năng trong hệ thống IPTV đều được hỗ trợ bởi các phương thức bảo mật, với những cấp độ khác nhau. Khối cung cấp nội dung bao gồm các mã khóa bảo mật của chủ sở hữu nội dung chương trình. Mỗi khối chức năng có thể bao gồm nhiều thành phần chức năng khác nhau. Ví dụ Khối chức năng điều khiển dịch vụ IPTV bao gồm các thành phần trung gian (Middleware) và các bộ phận của DRM (Digital Rights Management). Các thành phần chức năng trong các khối chức năng có liên hệ mật thiết với nhau như Hình 2.3 dưới đây: Hình 2.3: Khối chức năng cụ thể IPTV 2.2. Kiến trúc cụ thể hệ thống IPTV Hệ thống IPTV gồm 3 phần chính sau: Hệ thống thiết bị Head-end: Bao gồm hệ thống cơ sở hạ tầng thu thập nội dung các chương trình (Content Feeds) và xử lý trực tiếp để đưa sản phẩm nội dung phân phối vào trong hệ thống mạng IPTV đến người dùng cuối. Các nội dung bao gồm nội dung được cung cấp bởi các nhà sản xuất chương trình khác đã được mua lại có bản quyền hoặc các chương trình có bản quyền do chính nhà cung cấp dịch vụ IPTV sản xuất. Home–End: Bao gồm thiết bị thu nhận dữ liệu như Modem, và các thiết bị giải mã và hiển thị nội dung như STB (Set Top Box) hay Computer. Tại khu vực này, các nội dung chứa DRM được giải mã và hiển thị cho người xem. Hệ thống mạng truyền dẫn IPTV: Bao gồm hạ tầng trang thiết bị mạng cho truyền dẫn nội dung chương trình, điều khiểu mạng IPTV từ nhà cung cấp dịch vụ đến người dùng cuối. Sơ đồ tổng thể một hệ thống IPTV với những thành phần cơ bản có thể biểu diễn như Hình 2.4 sau đây: Hình 2.4: Cấu trúc tổng thể hệ thống IPTV 2.2.1. Hệ thống thiết bị Head-end Head-end là phần thiết bị trung tâm của hệ thống IPTV. Head-end bao gồm nhiều loại thiết bị khác nhau gồm: Các thiết bị thu nhận nội dung; các thiết bị mã hóa chỉnh sửa nội dung, các thiết bị phân phối nội dung đến các thuê bao của mạng. Trong mạng IPTV, các Head-end được xây dựng tại trung tâm dịch vụ và các điểm phân phối khu vực/vùng miền tại các khu vực khác nhau trong toàn hệ thống. Head-end cũng có nhiệm vụ thu nhận các yêu cầu của thuê bao để đưa nội dung yêu cầu đến Set top boxes của các thuê bao. Sau đây là một số loại thiết bị chính phần Head-end. *) Đầu vào nội dung chương trình – Content Input - Các thiết bị thu vệ tinh - Integrated Receiver Decoder (IRD), có thể nội dung thu được chuyển thành tín hiệu video thuần túy dưới dạng thành analog hoặc digital hoặc dữ liệu số đã được mã hóa; - Các nội dung kênh chương trình được mua lại từ các nhà cung cấp nội dung khác. - Các nội dung đã được mã hóa và sẵn sàng để đưa tới khu vực đóng gói truyền đi. - Các kênh truyền hình quảng bá thông thường, định dạng NTSC, PAL hay ATSC. - Các nội dung lưu trữ trong các phương tiện lưu trữ như: Băng từ, đĩa quang, đĩa cứng,… - Hệ thống các nội dung quảng cáo của các đơn vị thuê quảng cáo trên hệ thống IPTV. *) Hệ thống mã hóa Video - Video Encoder: Hiện nay, các nội dung của hệ thống mạng IPTV thường được xử lý bởi quá trình mã hóa dữ liệu Video/Audio theo các chuẩn MPEG trước khi đưa đến khu vực đóng gói IP để đưa nội dung đến thuê bao. Hiện nay có nhiều chuẩn MPEG khác nhau đã được nghiên cứu phát triển cho mã hóa video/audio, thông dụng nhất cho ứng dụng IPTV là MPEG-2, MPEG-4 hay H.264, AVC codec. *) Đóng gói gói tin IP: Các nội dung sau khi mã hóa được đưa tới khu vực đóng gói thành các gói tin IP. Các dòng video sau mã hóa video Transport Stream (TS) được đóng gói thành các gói tin IP trước khi có thể truyền đi trong mạng IP. *) Hệ thống chuyển mã Video – Video Transcoder: Các bộ này có nhiệm vụ chuyển đổi định dạng Video theo các codec khác nhau, tùy vào mục đích sử dụng của hệ thống mạng. Các bộ này cung cấp chức năng thích nghi các nguồn nội dung sẵn với các codec khác nhau chuyển đổi codec về một dạng chung nhất (MPEG2, MPEG-4 hoặc H.264) cho phép phía thuê bao với Set Top Boxes với codec nhất định có thể giải mã và xem được chương trình. *) Content Management Server – Server quản lý nội dung: Server này có nhiệm vụ quản lý nội dung chương trình, đưa các nội dung chương trình cần phát đến Video server hoặc các lưu trữ trên hệ thống lưu trữ. *) Hệ thống lưu trữ video: Đây là hệ thống cung cấp chức năng lưu trữ tất cả các nội dung Video cần cung cấp dịch vụ đến thuê bao. Bao gồm các thư viện nội dung video/Audio. *) Digital Rights Management - DRM: Khối này thực hiện chức năng bảo mật và đảm bảo các nội dung được cung cấp có bản quyền tác giả. Khối này có chức năng đảm bảo quyền truy cập của những thuê bao hợp lệ đến từng nguồn tài nguyên chương trình cụ thể, tùy theo cấp độ đăng ký dịch vụ của từng thuê bao. *) Video streaming server: Server chịu trách nhiệm tiếp nhận yêu cầu từ thuê bao truy cập đưa để đưa các dòng Video stream đến thuê bao theo giao thức TCP/IP hay UDP. Định dạng video streaming có thể là MPEG-2, MPEG-4, H.264, AVC hay bất kỳ một codec nào phù hợp với hệ thống IPTV cung cấp. *) Thiết bị giao tiếp thuê bao - Subscriber Interaction, Middleware servers: Đây là phần trung gian cho phép giao tiếp giữa người dùng thuê bao và hệ thống cung cấp dịch vụ IPTV. Các STB (Set Top Box) kết nối đến Middleware servers để đưa yêu cầu về nội dung thuê bao muốn xem. Một trình duyệt trong STB sẽ kết nối đến Middleware servers để lấy các thông tin chương trình, sau đó gửi yêu cầu của người xem đến Middleware Servers. Phần này được biểu diễn như Hình 2.5 sau đây: Hình 2.5: Cấu trúc Middleware 2.2.2. Hệ thống mạng truyền dẫn IPTV Nội dung chương trình từ Head-end đưa ra hệ thống mạng đến các STB – Set Top Box theo một trong 2 cách: truyền theo phương thức Unicast hoặc Multicast. Unicast: Theo cách này, dữ liệu video được truyền đến một thuê bao cụ thể. Phương thức truyền này cho phép thuê bao có thể chọn lựa chương trình muốn xem từ bảng hướng dẫn nội dung của nhà cung cấp dịch vụ IPTV. Yêu cầu được gửi đi từ STB đến Video –On- Demand server (theo yêu cầu). Phương pháp truyền Unicast hạn chế số người truy cập tại cùng một thời điểm do mỗi thuê bao sẽ chiếm dụng 1 phần dải thông nhất định. Unicast được sử dụng trong cung cấp dịch vụ VOD (Video On Demand -truyền hình theo yêu cầu). Sơ đồ phương thức truyền Unicast được biểu diễn như Hình 2.6 sau: Hình 2.6: Phương thức truyền Unicast Multicast: Theo phương thức này, một nội dung chương trình được truyền đồng thời đến cho nhiều thuê bao cùng lúc. Phương pháp này không hạn chế số lượng dải thông chiếm dụng bởi số thuê bao trong cùng nhóm nhận thông tin. Phương thức này thường được sử dụng với hình thức các kênh truyền hình quảng bá (Broadcast). Sơ đồ truyền tin của phương thức truyền dẫn này có thể biểu diễn như Hình 2.7 sau: Hình 2.7: Phương thức truyền Multicast Để đảm bảo an toàn thông tin truy nhập cũng như đảm bảo bản quyền, các hệ thống mạng IPTV thường được thực hiện bởi các mạng LAN ảo – VLAN, theo tiêu chuẩn IEEE 802.1Q/P. Trong phương thức truyền Multicast, giao thức IGMP (Internet Group Membership Protocol) được sử dụng để truyền các gói tin quảng bá ra một nhóm các địa chỉ thuê bao yêu cầu từ mạng. Trong truyền dẫn mạng IPTV, nội dung chương trình cần được truyền đi đảm bảo thời gian thực – Realtime, do đó các giao thức truyền gói UDP thông qua RTP và RTSP thường được sử dụng. Các mô hình phân phối của các hệ thống IPTV hiện nay: Công nghệ IPTV hiện nay thường được xây dựng với hệ thống phân phối tập trung, phân tán hoặc theo mô hình mạng ngang hàng P2P (Peer to Peer). Mô hình tập trung: Hình 2.8: Mô hình tập trung Mô hình có thể biểu diễn như Hình 2.8. Trong mô hình này, nội dung được phát tập trung từ một trung tâm đến các thuê bao. Đặc điểm của mô hình này là: Dễ dàng thiết lập hệ thống. Giá thành rẻ. Hạn chế về băng thông truyền dẫn. Quy mô hệ thống nhỏ nên giới hạn số lượng thuê bao. Mô hình phân tán: Hình 2.9: Mô hình Phân tán Mô hình này được biểu diễn như Hình 2.9. Với mô hình phân tán, các nội dung được phân tán trong các trung tâm phân phối khu vực/vùng miền với hệ thống lưu trữ riêng khác nhau. Khi xuất hiện yêu cầu dịch vụ từ một thuê bao, hệ thống tự động tìm và gán quyền cấp dịch vụ cho trung tâm gần nhất. Đặc điểm của mô hình này là: Hệ thống lớn bao gồm nhiều hệ thống nhỏ hơn có trao đổi nội dung thường xuyên với nhau. Yêu cầu cần đồng bộ về nội dung. Triển khai với chi phí cao. Cần có hệ thống bảo trì thường xuyên. Tính tin cậy cao. Băng thông lớn, có thể mở rộng phát triển không giới hạn. Mô hình mạng Ngang hàng P2P: Hình 2.10: Mô hình P2P Mô hình có thể biểu diễn như Hình 2.10. Mô hình này có cơ chế thực hiện việc truyền tải nội dung, lưu trữ đệm trong các hệ thống máy kết nối trong mạng. Theo phương pháp này, dải thông hệ thống được tiết kiệm tối đa với hiệu suất cao. Xây dựng hệ thống cần tính toán Topo giữa các nút mạng ngang hàng và khảo sát được tính hiệu quả truyền tải nội dung. Mạng truy cập: Hiện nay, các công nghệ mạng truy cập dành cho các mạng IPTV thông thường là các loại mạng truy cập sau: xDSL (ADSL, ADSL2, ADSL+, ADSL2+); HFC; FTTx; WiMAX… Đây là._. các phương thức truy cập thông dụng cho các dịch vụ băng rộng Broad-band hiện nay. 2.2.3. Các thiết bị thiết lập thuê bao – Home End Home-End bao gồm một số thiết bị đầu cuối mạng hay điểm truy nhập mạng. Đầu cuối mạng này sẽ được kết nối đến một Modem để chuyển các dữ liệu thành các gói tin IP. Trong một số trường hợp, một bộ chia -Splitter có thể được sử dụng khi nhà cung cấp dịch vụ IPTV sử dụng hạ tầng mạng điện thoại để cung cấp dịch vụ đến thuê bao. Trong hệ thống các thiết bị home-end, một Gateway có thể được sử dụng để chia tách các dịch vụ nền tảng IP như: Video, Voice, Data. Các Gateway này có thể có chức năng DHCP và có Firewall. Bộ thu Set Top Box –STB là thiết bị cơ bản của các hệ thống IPTV, được cung cấp bởi các nhà cung cấp dịch vụ IPTV. Thuê bao được nhà cung cấp dịch vụ IPTV khuyến cáo sử dụng đúng loại có thể giải mã tốt dòng truyền Video do họ cung cấp. Trong trường hợp sử dụng các máy tính với bộ codec được cài đặt phù hợp, việc kết nối xem nội dung chương trình được thực hiện mà không cần STB. IP-Based Set-top-Box: Đây là thiết bị dùng để kết nối hệ thống IPTV Head-end với Monitor hiển thị, Tivi. Chức năng của các STB là biên dịch các yêu cầu của thuê bao thành các gói tin IP và gửi yêu cầu này đến Head-end của nhà cung cấp dịch vụ IPTV cho nội dung chương trình cần xem. Hình 2.11 dưới đây biểu diễn kiến trúc chung của một IP Set-Top-Box: Hình 2.11: Cấu trúc IP Set-Top-Box Các thành phần của một STB bao gồm: (i) Hardware CPU (ii) Hệ thống lõi (iii) Bộ phận ngoại vi (v) Bộ xử lý codec MPEG-2 hay MPEG-4: (vi) Operating System và OS Drivers (vii) Middleware Client (viii) Video Capture – Decode (ix) Web Browser (x) Instant Message Client (xi) Email Client Các quá trình xử lý trong STB có thể biểu diễn như sau: Hình 2.12: Quá trình xử lý trong Set-Top-Box Quá trình xử lý bắt đầu với yêu cầu cấp địa chỉ IP và sau đó là quá trình nhận nội dung đã yêu cầu. Trong Hình 2.12, Web browse sẽ chuyển yêu cầu tới hệ thống Middleware client. Sau đó Middleware client sẽ gửi chuyển tiếp yêu cầu đến Middleware server. Middleware server kết nối đến khu vực kiểm tra khóa bảo mật và truy cập nội dung, tạo khóa mã hóa để đưa vào mã hóa cùng các dòng Video. Các dòng Video nhận được được giải mã thành tín hiệu Video chuẩn PAL hay NTSC nguyên thủy hay dưới dạng tín hiệu số phân giải cao (DVI, XVGA, HDMI, Component) trước khi đưa đến màn hình hay TV để hiển thị nội dung. Nhìn chung, một hệ thống IPTV thông thường sẽ bao gồm các thành phần chính như đã nêu ở trên. Một số nhà cung cấp dịch vụ IPTV có thể kết hợp một vài chức năng ở trên để xử lý chung trên một Video Server. Trong hệ thống mạng IPTV, có thể thấy được vai trò rất quan trọng của các hệ thống hạ tầng mạng truyền dẫn, tại đó dịch vụ được cung cấp đến thuê bao trong phạm vi rộng và thực hiện quản lý toàn bộ quá trình truyền dẫn, tài nguyên dải thông mạng. Phần tiếp theo xin được trình bày chi tiết các giao thức chính được sử dụng phổ biến trong các mạng IPTV ngày nay. CHƯƠNG 3: MẠNG TRUYỀN DẪN IPTV – CÁC GIAO THỨC SỬ DỤNG Nội dung chương trình (Content) sau khi rời khỏi khu vực Head-end sẽ được truyền theo một trong 2 dạng: Unicast trực tiếp tới từng thuê bao hoặc được truyền theo Multicast đến một nhóm thuê bao nhất định. Mạng truyền dẫn dịch vụ IPTV cung cấp trên nền mạng truyền dẫn chung được thực hiện bởi nhiều cơ chế khác nhau nhằm đảm bảo truyền các dòng dữ liệu video đến thuê bao và người xem một cách ổn định, an toàn và bảo mật. Một trong những cơ chế thường được sử dụng là mạng LAN ảo - Virtual Local Area Networks (VLANs). Công nghệ này được sử dụng để phân đoạn các dịch vụ và phân bố tách biệt băng thông cho các dịch vụ khác nhau trên cùng một đường truyền dẫn chung, đồng thời giảm thiểu truy nhập trái phép cũng như cung cấp các công cụ điều khiển luồng rất hữu ích cho quản lý hệ thống truyền dẫn. 3.1. Mạng LAN ảo - VLANs (Virtual Local Area Networks) Trên đường truyền kết nối từ một nhà cung cấp dịch vụ đến thuê bao, do sử dụng phương tiện truyền dẫn chung cho nhiều loại hình dịch vụ nên tồn tại một số mạng VLAN khác nhau như Hình 3.1 như sau: Hình 3.1: Ví dụ phân bố các VLAN trong đường truyền dẫn dịch vụ Thông thường, mỗi đường truyền dẫn sẽ được chia sẻ cho một số dịch vụ như: truy cập internet tốc độ cao - High-speed Internet access (HIS), voice-over IP (VoIP), IPTV và một vài dịch vụ kèm theo khác được cung cấp bởi nhà cung cấp dịch vụ. VLAN được xây dựng trên nền tảng tiêu chuẩn IEEE 802.1Q/P. Hình 3.2 sau biểu diễn một IP Frame tiêu chuẩn có kết hợp với VLAN Tag. VLAN Tag sẽ bao gồm một trường dữ liệu 12-bit gọi là VLAN Identifier. Hình 3.2: Cấu trúc gói tin VLAN tiêu chuẩn IEEE 802.1Q Trong hệ thống IPTV, VLAN được phân thành 2 dạng chính: Customer VLANs (C-VLAN) và Multicast VLANs (MC-VLAN), tùy thuộc vào kiểu truyền dẫn được sử dụng. MC-VLAN thông thường được sử dụng để quảng bá hay broadcast các dòng video stream, các dữ liệu cho Update Set-top Box, hoặc các ứng dụng khác và thường được áp dụng cho mạng dịch vụ có số lượng người xem nhiều. 3.2. Giao thức IGMP - Internet group membership protocol Sự phát triển của giao thức IGMP trải qua thời gian đã update lên những phiên bản mới khác nhau, ngày càng phù hợp hơn cho ứng dụng quảng bá. Dưới đây xin trình bày các phiên bản phổ thông thường được sử dụng trong các hệ thống hiện nay. 3.2.1. IGMP V2 Có 2 thành phần chính tham dự trong quá trình truyền dẫn sử dụng IGMP là IGMP Routers và IGMP hosts. IGMP routers tiếp nhận yêu cầu tham gia hay rời khỏi dòng truyền multicast từ thuê bao và xác định dòng truyền đó có thể được sử dụng để đáp ứng yêu cầu tới thuê bao hay không. Giao thức này có thể được phát triển hay tối ưu theo một số quy tắc phù hợp với mô hình kinh doanh của nhà cung cấp dịch vụ IPTV. IGMP hosts gửi thông tin yêu cầu đến IGMP router để tham gia hay rời khỏi một kênh TV quảng bá nào đó. Yêu cầu có thể là: JOIN, LEAVE hoặc các truy vấn QUERY đến các thông tin liên quan đến quá trình truyền dẫn. Mỗi kênh TV Multicast sẽ bao gồm một nhóm IP Multicast được truyền trong mỗi MC-VLAN. IGMP cho phép DSLAM và mạng IPTV xác định set top box nào sẽ nhận stream. Cấu trúc gói IGMP V2 được mô tả như Hình 3.3 dưới: Hình 3.3: Cấu trúc gói tin IGMP V2 Cấu trúc gói tin IGMP V2 bao gồm trường mô tả loại (type) gói, thời gian phản hồi tối đa, Checksum và nhóm địa chỉ (group address). Trường type là trường mô tả loại gói tin, một trong các lựa chọn gồm: IGMP membership query, IGMPv1 membership report, DVMRP, PIM version 1, Cisco trace messages, IGMPv2 membership report , IGMPv2 leave group, Multicast traceroute response, Multicast traceroute, IGMPv3 membership report, Multicast router advertisement, Multicast router solicitation, Multicast router termination, Reserved for experimentation. Trường Max Response Time - thời gian đáp ứng tối đa: được sử dụng trong gói tin truy vấn membership query QUERY, mô tả khoảng thời gian phản hồi yêu cầu tối đa cần đáp ứng. Thay đổi giá trị này cho phép tăng hay giảm mức độ đường truyền cung cấp khi một thuê bao ra khỏi nhóm multicast. Checksum: là giá trị sử dụng để đảm bảo bên nhận gói nhận được đủ và chính các các thông tin trong gói tin, đồng thời tăng khả năng chống lỗi truyền dẫn. Group address: nhóm địa chỉ dùng để định nghĩa một nhóm multicast. Các gói tin thường được sử dụng trong giao thức IGMP V2: (i) Membership Report: (ii) Leave Group (iii) Membership Query (iv) General Query (v) Group-specific Query Set top box phải tuân thủ quá trình đăng ký IGMP V2 để ra nhập một kênh Multicast. Hình 3.4 dưới đây là một ví dụ về trao đổi dữ liệu giữa Set top Box và một DSLAM hay Router. Khi một thuê bao muốn gia nhập một kênh quảng bá, Set top box sẽ gửi bản báo cáo thành viên đến nhóm muốn gia nhập. Khi Musticast router nhận được yêu cầu, sẽ bắt đầu truyền dòng stream tới giao diện, cho phép Set top box được xác thực và gia nhập vào nhóm. Khi một thuê bao hay Set top box muốn rời khỏi một kênh multicast, Set top box sẽ gửi bản tin yêu cầu rời khỏi kênh đến Multicast router, bao gồm Group address của kênh. Router sẽ gửi group-specific query để xác định có Set top box nào không còn nhận stream. Request này sẽ có giá trị Maximum Response Time cho các phản hồi từ phía các Set top box. Nếu không phản hồi nào nhận được trong khoảng thời gian này, router sẽ dừng gửi các gói tin đến nhóm hiện tại. Hình 3.4: Truyền dẫn các gói tin IGMP v2 giữa DSLAM và STB Dịch vụ IPTV yêu cầu băng thông truyền dẫn ngày càng lớn. Một kênh SD sẽ có băng thông khoảng 3Mbps trong khi một kênh HD là 6 đến 10Mbps. Số kênh phát triển từ các nhà cung cấp dịch vụ đang tăng một cách nhanh chóng trong khi nhu cầu truyền theo yêu cầu theo phương thức truyền dẫn phân phối Unicast cũng ngày càng tăng. Do đó các nhà nghiên cứu đưa vào sử dụng giao thức mới cải tiến hơn để đáp ứng nhu cầu này - giao thức IGMP V3. Giao thức này có thêm tính năng Source-Specific Multicast (SSM), cũng được hiểu là Single-Source Multicast. 3.2.2. IGMP V3 Có 2 loại gói tin chính được định nghĩa trong RFC 3376: Type 0 × 11 Membership query và Type 0 × 22 version 3 membership report. Ví dụ cấu trúc một gói tin Membership Query: Hình 3.5 dưới mô tả một gói tin IGMP V3 Membership query. Có 3 tùy chọn cho gói tin Membership Query Message trong IGMP V3: General query, Group-specific query, Group- and source-specific query. Hình 3.5: Cấu trúc gói tin IGMP V3 Truyền và nhận gói trong IGMP V3: Khi một Set top box được hỗ trợ giao thức IGMP V3, dòng truyền các gói tin trong giao thức IGMP V3 được mô tả như Hình 3.6 như dưới đây: Hình 3.6: Truyền dẫn các gói tin IGMP v3 giữa DSLAM và STB • JOIN: Cũng giống như trong IGMP V2, multicast router sẽ thêm địa chỉ của Set top box vào danh sách nhóm multicast. • LEAVE: Set top box gửi một bản tin thông báo sự thay đổi trạng thái - state change record message, trong đó tự báo không có yêu cầu nhận stream nữa. Router sẽ gửi Query đến mạng để xác định xem còn Set top Box nào có yêu cầu nhận stream nữa hay không. • QUERY: Những QUERY này dùng để xác định Set top Box nào đang avaible. 3.3. Giao thức RTP và RTSP Các giao thức này thông thường được sử dụng để hỗ trợ phương thức truyền Unicast với các tính năng điều khiển VCR-like functions để stop, forward và pause streams. 3.3.1. Real-time transport protocol – RTP RTP được sử dụng cho truyền dẫn đầu cuối đến đầu cuối (End-To-End) dòng Video stream trong hệ thống IPTV. Giao thức này được sử dụng trong cả hai loại hình phần phối Unicast và Multicast, được mô tả trong RFC 3550. RTP không liên quan tới chức năng xác định và quản lý đường truyền hay chức năng đảm bảo chất lượng dịch vụ QoS. Các chức năng này được cung cấp bởi các thành phần khác trong cấu hình hệ thống IPTV, gồm DSLAM và các hệ thống chuyển mạch Switcher. Trong khi đó RTCP cho phép theo dõi quá trình truyền dữ liệu và cung cấp một số chức năng xác định khác cho hệ thống IPTV. Không có bất kỳ một cổng chuẩn hóa nào được dùng riêng cho giao thức RTP, tuy nhiên các cổng thường được sử dụng nằm trong khoảng 16384–32767 cho Gnome meeting; 5000–5003 và 5010–5013 dùng cho Real-time transport; 6970–6999, dùng cho RTP ChatAv; 16384–16403 và 16384–32767 dùng cho RP. Cấu trúc tiêu chuẩn của gói tin RTP được định nghĩa trong RFC 3550 có thể được mô tả như Hình 3.7 sau: Hình 3.7: Cấu trúc gói tin RTP – RFC 3550 3.3.2. RTSP RTSP thường được sử dụng với các cổng liệt kê như dưới đây: • rtsp 554/tcp real-time stream control protocol; • rtsp 554/udp real-time stream control protocol; • rtsp-alt 8554/tcp RTSP alternate (see port 554); • rtsp-alt 8554/udp RTSP alternate (see port 554). Các lệnh RTSP: Tập lệnh trong RTSP tương tự như trong các giao thức có cú pháp HTTP, tuy nhiên RTSP thêm vào một số lệnh REQUEST khác. HTTP là giao thức phi trạng thái trong khi RTSP là giao thức trạng thái đầy đủ (Statefull). Các lệnh thường được sử dụng trong RTSP gồm: Describe, Announce, Set-up, Play, Pause, Teardown, Get parameter, Redirect, Record. Set top Box nhận được mô tả phiên RTSP từ VOD web server, sẽ gửi lênh RTSP tới Media Server, cho phép khởi tạo phiên làm việc, playing, tạm dừng hay kết thúc phiên. Quá trình thực hiện truyền nhận lệnh trong RTSP được mô tả như Hình 3.8 sau đây: Hình 3.8: Ví dụ về sự hoạt động RTSP 3.4. Ismacryp Liên minh ISMA đã phát triển hệ thống mã hóa và giải thuật cho xác thực/chứng thực, đặt tên là ISMACRYP. Tiêu chuẩn mã hóa và chứng thực này được sử dụng để mã hóa và xác thực cho các nội dung streaming thông qua IP, hoàn toàn độc lập với các Media players, DRM systems, key management schemes… Tiêu chuẩn này hỗ trợ một dải các định dạng mã hóa video khác nhau bên cạnh MPEG-4. Công nghệ sử dụng trong tiêu chuẩn này là Advanced encryption standard (AES). Advanced encryption standard (AES) là chuẩn mã hóa được sử dụng rộng rãi trong lĩnh vực điện tử viễn thông ngày nay. AES là thuật toán mã hóa đối xứng khối block cipher 128-bit được phát triển bởi Vincent Rijmen, Joan Daemen và được sự hỗ trợ của chính phủ Mỹ xem như một thuật toán thay thế DES – thuật toán chỉ cho phép thực hiện mã hóa với khóa tối đa chiều dài 56 bits. Chi tiết về các giải thuật mã khóa này được đề cập chi tiết hơn trong các phần sau. ISMACRYP hỗ trợ kết nối 2 chiều. Hình 3.9 dưới đây mô tả nội dung của ISMACRYP theo cách ISMACRYP chia nội dung ban đầu thành các phần nhỏ hơn và các phần này được mã hóa cho sử dụng trong tương lai. Việc truy cập đến phần mã hóa được thực hiện bởi giao thức RTP. Nhà cung cấp dịch vụ IPTV có thể giải mã nội dung tại Head-end và tự mã hóa bởi một trình ứng dụng cung cấp chức năng DRM của họ. Cách tiếp cận này tương thích với các hệ thống quản lý mã hóa bảo mật khác nhau (Key management systems (KMSs)), như vậy tăng tính linh hoạt cho hệ thống. Hình 3.9: Sử dụng Ismacryp 3.5. PIM – Protocol Independent Multicast PIM – Protocol Independent Multicast được sử dụng để đưa ra các yêu cầu trong mạng IPTV cũng như yêu cầu cho chuyển tiếp dòng dữ liệu Multicast. Thông thường giao thức này hay được sử dụng trong bộ giao thức định tuyến Multicast bao gồm các chế độ: PIM-DM, PIM-SM và PIM-SSM. (i) PIM-DM Protocol-independent multicast – dense mode. Chế độ này được sử dụng trong các ứng dụng Multicast trong mạng LAN. (ii) PIM-SM Protocol-independent multicast – sparse mode. PIM-SM sử dụng điểm gặp - rendezvous point (RP) – tại đó các nhà cung cấp dịch vụ Multicast sử dụng để đăng ký phiên thực hiện. RP duy trì bảng chứa các thông tin về nguồn nội dung và thông tin nhóm quảng bá. Khi một trạm yêu cầu một phiên Multicast, trạm đó gửi yêu cầu gia nhập tới gateway đối với nhóm quảng bá đó. Bộ định tuyến sẽ tạo ra một đường đi tới RP nơi có chứa bảng thông tin theo yêu cầu. (iii) PIM-SSM Protocol-independent multicast – source-specific multicast: PIM-SSM không dựa trên sự sử dụng RP. PIM-SSM dựa trên cách tiếp cận một –nhiều (one-to-many), tương thích với hệ thống IPTV, đặc biệt cho các kênh TV quảng bá. Chế độ này được sử dụng để tạo ra cây đường đi ngắn nhất - shortest-path trees (SPTs). 3.6. MSDP - Multicast source discovery protocol MSDP được sử dụng để kết nối chia sẻ các cây định tuyến. MSDP hỗ trợ các giao thức PIM-SM, PIM-DM và một số giao thức khác. MSDP sử dụng các điểm RP độc lập, tránh sự lệ thuộc vào các điểm RP bên ngoài và tăng tính linh hoạt cho giao thức. Giao thức này cho phép các domain tìm ra các nguồn nội dung tồn tại trong các domain khác. MSDP chia sẻ thông tin về các nguồn nội dung cho một nhóm quảng bá nào đó, nhờ sử dụng gói tin source-active (SA). Gói tin SA chứa thông tin về nguồn nội dung cũng như thông tin về nhóm phục vụ cho các RP. 3.7. DSM-CC - Digital storage Media Command and Control DSM-CC được sử dụng để thực thi điều khiển các kênh cho Video stream, đặc biệt cho cung cấp chức năng điều khiển dạng VCR (fastforward, rewind, pause,...). DSM-CC có thể làm việc tương thích với các giao thức trong mạng IPTV như RSVP, RTSP và RTP. Tiêu chuẩn này dựa trên mô hình 3 thành phần: client, server, Session and Resource Manager (SRM). SRM xác định và quản lý các tài nguyên mạng như thông tin kênh, băng thông, địa chỉ mạng,… 3.8. DSLAM - Digital Serial Line Access Multiplexer DSLAM gồm một số lượng các modem DSL tiếp nhận các phiên làm việc từ các thuê bao. Nhờ DSLAM tất cả các phiên làm việc được thực hiện đồng thời trên đường trục – backbone- kết nối đến mạng truyền dẫn chung của mạng. DSLAM là một trong những thành phần cuối cùng được quản lý bởi hệ thống IPTV. Thuê bao không có kết nối truy cập trực tiếp về vật lý đến DSLAM. Hình 3.10 dưới đây cho thấy cách DSLAM cung cấp dịch vụ băng rộng như High-speed Internet, VoIP và IPTV VLANs đến thuê bao. Hình 3.10: Chức năng của DSLAM - Một PVC sử dụng cho truy cập Internet tốc độ cao. - Các PVC còn lại sử dụng cho các dịch vụ IPTV, VoIP, Quản lý mạng. Các DSLAMs hiện đại ngày nay có thể tập hợp tất cả các phiên làm việc vào trong một đường tín hiệu truyền dẫn và trực tiếp thông qua giao thức TCP/IP (hoặc các giao thức khác) để truyền trong mạng truyền dẫn. DSLAM dựa trên đặc tính của thoại để điều chế với băng tần thấp, trong khi dữ liệu tốc độ cao sử dụng trên băng tần cao hơn. Vì vậy với việc phân chia điều chế này, DSLAM có thể đồng thời quản lý cả dịch vụ thoại cùng với các dịch vụ dữ liệu khác. DSLAM sử dụng kỹ thuật nối cầu Ethernet. Làm việc bằng cách thêm vào các gói tin đầu vào các VLAN-ID đại diện cho một nhóm. VLAN-ID dựa trên tiêu chuẩn 802.1Q và được sử dụng bởi DSLAM để đảm nhận các quá trình chuyển tiếp thông tin. Theo bảng chuyển tiếp dữ liệu, DSLAM sẽ gửi gói tin đến các cổng khác nhau, do đó sẽ luôn luôn tách biệt dòng truyền giữa các VLAN với nhau. Ở phần này nội dung luận văn tập trung vào tìm hiểu chi tiết các giao thức cụ thể được sử dụng trong hệ thống mạng IPTV. Trên cơ sở các nội dung cơ bản đó, việc phân tích cụ thể các đặc tính có liên quan đến bảo mật trong hệ thống mạng IPTV – chủ đề chính của luận văn này, sẽ được thực hiện tại các phần sau. Trong phần tiếp theo, những vấn đề liên quan đến quá trình thực hiện bảo mật trong hệ thống mạng IPTV được định nghĩa và xác định cụ thể hơn. CHƯƠNG 4: TỔNG QUAN CÁC VẤN ĐỀ BẢO MẬT VÀ CÁC CÔNG NGHỆ TRONG BẢO MẬT HỆ THỐNG IPTV Trong mô hình kinh doanh dịch vụ IPTV, nhà cung cấp dịch vụ IPTV cung cấp dịch vụ video streaming tới các thuê bao và có liên quan trực tiếp đến các nhà quảng cáo. Các nhà sở hữu nội dung - chủ sở hữu thực sự của các nội dung phân phối đến người xem – cung cấp bản quyền phân phối nội dung cho các nhà cung cấp dịch vụ IPTV để phân phối đến thuê bao trong từng khu vực cụ thể. Do đó nhà cung cấp dịch vụ IPTV phải đảm bảo các nội dung được truyền tải tới người xem đúng theo bản quyền được cấp bởi nhà sở hữu nội dung đã cung cấp cho họ. Quá trình này được thực hiện bởi công nghệ quản lý bản quyền số - Digital Rights Management (DRM). Phần này sẽ đi vào khái quát một số nội dung chính của khái niệm bản quyền sở hữu trí tuệ (Intellectual Property (IP)) trong quản lý bản quyền nội dung số và một số công nghệ hiện nay có thể được sử dụng trong hệ thống mạng IPTV để đảm bảo bảo mật cho các nội dung số. DRM được thực hiện với sự hỗ trợ chính bởi các công nghệ mã hóa, do vậy trong phần này xin được đề cập tới một số công nghệ mã hóa thường được ứng dụng trong các hệ thống IPTV hiện nay. 4.1. Bản quyền sở hữu trí tuệ Intellectual Property (IP) trong quản lý nội dung số Intellectual Property (IP) là thuật ngữ được sử dụng để mô tả các quyền hợp pháp cho sở hữu trí tuệ, các phát minh sáng chế trong công nghệ cũng như trong sản xuất kinh doanh. IP được dùng để ngăn cản sự đánh cắp hoặc sử dụng trái phép các sản phẩm trí tuệ - ở đây là các nội dung chương trình - trong khi cung cấp sự hỗ trợ hợp pháp cho phát triển các mô hình kinh doanh dựa trên các sản phẩm này. Bản quyền IP bao gồm một số nội dung như: Copyright, Patents, Trademarks và Design rights. Bộ phận đóng vai trò quan trọng nhất trong việc phân phối nội dung thông qua IPTV là copyright. Copyright gìn giữ các nội dung khỏi việc xao chép trái phép cũng như các hoạt động khác như: làm giả, đưa nội dung ra công chúng trái phép, quảng bá – Broadcasting - và chỉnh sửa nội dung. Luật bản quyền tác giả copyright đã được thực hiện ở hầu hết các nước trên thế giới ngày nay. Trong mạng IPTV có nhu cầu lớn về bảo mật nội dung. Có một số lượng lớn các người sử dụng mong muốn bẻ gẫy hàng rào bảo mật để truy cập đến các nội dung số trong hệ thống, sau đó cung cấp lại hoặc bán các nội dung này trái phép, không có bản quyền. Một cơ chế phù hợp cần được triển khai cho mỗi hệ thống IPTV đảm bảo tương thích với cam kết bản quyền giữa chủ sở hữu nội dung và nhà phân phối nội dung. Hệ thống đảm bảo bản quyền IP trong hệ thống IPTV được hỗ trợ bởi một số công nghệ, bao gồm DRM và các công nghệ truy cập. DRM bao gồm một tập các cơ chế cho phép chủ sở hữu bản quyền nội dung quản lý tài nguyên nào đang được truy cập bởi đối tượng nào – thuê bao của một hệ thống IPTV hay thậm chí nhà cung cấp dịch vụ IPTV nào. Thông qua DRM, người sở hữu bản quyền nội dung có thể đưa ra các quy tắc có thể áp dụng cho các đối tác phân phối nội dung chương trình của mình. DRM và công nghệ đảm bảo quyển tác giả IP thường được thực hiện thông qua phần mềm và các phần mềm này phải có đảm bảo về tính an toàn bảo mật nhất định. Các phần mềm này được xây dựng và phát triển như các phần mềm khác nên có thể cho phép các truy cập trái phép vào các nội dung chương trình. Nhà cung cấp dịch vụ IPTV phải đảm bảo các dịch vụ được cung cấp trong thị trường hợp pháp. Các nội dung số đưa vào trong thị trường hợp pháp cần được hỗ trợ bởi dấu đánh dấu - Watermarks để đảm bảo vấn đề hợp lệ trong sử dụng dịch vụ. Hơn nữa, chức năng Fingerprinting cũng phải được ứng dụng vào hệ thống nhằm đơn giản hóa quá trình xác định sự sao chép trái phép. Khi nội dung được đưa ra thị trường, DRM và các công nghệ đảm bảo bảo mật khác phải được triển khai để đảm bảo các nội dung cung cấp được bảo mật đối với sự truy cập trái phép. Một số chọn lựa bảo mật có thể được mô tả như Hình 4.1 dưới đây: Hình 4.1: Một số chọn lựa để bảo vệ tài nguyên số Một trong những lợi điểm của DRM và các công nghệ quản lý truy cập là tính mềm dẻo. Nhà sở hữu nội dung có nhu cầu phân phối nội dung của họ trên nhiều loại hình khác nhau, ví dụ: Âm nhạc, phim ảnh hay sách, DRM có thể được sử dụng để quản lý truy cập cho tất cả các loại hình này. Trong bối cảnh hội nhập dịch vụ, người dùng có thể truy cập các nội dung số thông qua nhiều loại hình và phương tiện khác nhau, và nhà cung cấp dịch vụ cũng cung cấp nhiều gói dịch vụ đồng thời, DRM có thể được sử dụng cho phép người dùng truy cập mềm dẻo theo nhiều cách khác nhau các nội dung. Như Hình 4.2 dưới đây, nhà cung cấp dịch vụ phải chuẩn bị cơ sở hạ tầng để cung cấp một số loại hình thông tin trên một số công nghệ truy cập khác nhau. Thuê bao có thể xem dở một đoạn tin tức hoặc một bộ phim bằng điện thoại di động và họ sau đó có thể về nhà xem tiếp các nội dung đó thông qua Set top box. Hình 4.2: Một số loại hình truy cập từ phía người sử dụng Khu vực bảo mật này cũng cung cấp cái nhìn rõ ràng hơn về tính không an toàn của hệ thống. Thậm chí nếu một Set top box bị mất quyền quản lý, khi đó toàn bộ khu vực sẽ bị hổng bảo mật. Kẻ xâm phạm có thể tận dụng các kẽ hở bảo mật trong Set top box để lấy được các nội dung số. Kẻ xâm phạm khi đó cũng có nhiều thời gian để thực hiện việc việc trộm cắp nội dung mà không bị ngăn cản. Một khi các kẽ hở trong Set top box được phát hiện, kẻ truy cập trái phép có thể kế thừa để thực hiện tác vụ trên một số lượng lớn Set top box khác mà không bị phát hiện. Hình 4-3 dưới đây mô tả các thành phần được bảo mật trong DRM Domain. Hình 4.3: DRM Domain Một nguy cơ khác trong hệ thống phân phối IPTV là việc phân phối lại các nội dung số do kẻ try cập trái phép thực hiện. Kẻ xâm phạm có thể sử dụng Set top box như là một điểm phân phối cho các nội dung, tạo ra các bản sao nội dung mà Set top box nhận được. Cần chú ý là kẻ xâm phạm cần 3 thành phần khác nhau trong hệ thống để đảm bảo quyền truy cập đến nội dung: Encryption cipher - Giải thuật mã hóa (thuật toán thực hiện trong Set top Box), Decryption key - Khóa giải mã (tạo ra bởi DRM Server và được gửi tới Set top Box), và Cipher text - Nội dung đã được mã hóa. Các thành phần này cần phải có để truy cập được một file mã hóa. Người xâm phạm cần ít nhất 2 trong 3 thành phần trên để có thể truy cập nội dung, thông thường là Cipher và Cipher text. Một hệ thống DRM triển khai cần phù hợp với giá trị của nội dung truyền tải cũng như xác xuất và mong muốn truy cập đối với các nội dung đó. Cách thông thường được sử dụng là phân tích giá trị theo thời gian của các nội dung số (Time Value of Digital Assets). Theo thời gian, giá trị của các nội dung số dần bị giảm đi. Sự giảm đi này có liên quan đến khái niệm Long Tail. Trong một khoảng thời gian nhất định, nội dung số được ít người quan tâm và gần như không nhu cầu để thực hiện truy cập trái phép hay phá vỡ hàng rào bảo mật. Các nội dung bắt đầu tại các điểm khác nhau trên đường cong, các nội dung có giá trị lớn - blockbusters bắt đầu với giá trị (intrinsic) cao và gần với điểm yêu cầu truy cập ngay lập tức (immediate); trong khi các thông tin về thời sự và thời tiết bắt đầu với giá trị thấp và đã nằm trong dải long-timeframe. Theo thời gian giá trị của các nội dung dần giảm đi, một blockbusters (nội dung thu hút người xem nhiều) từ năm 1998 sẽ không còn nhiều giá trị tại thời điểm năm 2008. Hình 4.4 sau cho biểu diễn quy luật này. Hình 4.4: Giá trị theo thời gian của nội dung số (Biểu đồ trích từ Alcatel-Lucent Bell Labs) Theo thời gian, hệ thống DRM có thể bị phá vỡ do phần mềm thực hiện chức năng DRM không đủ an toàn hoặc do ứng dụng các cơ chế mã hóa đã lỗi thời dễ dàng bị phá vỡ. Theo thời gian, các giải thuật sẽ trở nên yếu đi và nội dung cũng dần mất đi giá trị. Một số hệ thống DRM khác nhau đã được triển khai thời gian qua đã được phát hiện có các lỗ hổng bảo mật. Sử dụng có bản quyền - Fair Use Sử dụng có bản quyền là nội dung có trong các luật bản quyền của các nước, cho phép sử dụng có giới hạn các sản phẩm dịch vụ bản quyền mà không có sự cho phép cụ thể của người sở hữu bản quyền nội dung. Những năm gần đây, một số nhà sở hữu nội dung và các nhà phân phối nội dung đi đến quyết định sử dụng hệ thống DRM để hạn chế truy cập trái phép đến nội dung, và sự hạn chế truy cập này dẫn tới việc một số người dùng không thể truy cập nội dung như thông thường được nữa. Ví dụ, một số đĩa CD có thể sẽ không đọc được trên các đầu đọc đĩa trên xe hơi bởi vì đĩa đó có DRM cho nội dung âm nhạc chứa cung cấp; một số đĩa DVD lại được sử dụng kết hợp với DRM hạn chế khả năng truy cập theo từng vùng, lãnh thổ; các file cac nhạc download từ mạng chỉ có thể play được trên một số thiết bị cầm tay. Sự thay đổi về truy cập với sự tác động của DRM này tạo ra sự phẫn nộ trong giới người dùng. Điều mà người dùng mong muốn là file nội dung có thể chạy được trên bất kỳ thiết bị nào mà không cần phải đăng ký trước. Điều này tương tự như việc sử dụng băng cassette và đĩa CD trước đây. Tuy nhiên chính điều đó lại tác động đến người sở hữu nội dung khi tạo ra kẽ hở lớn cho những kẻ trộm cắp nội dung và khả năng sao chép trên diện rộng các nội dung bản quyền. 4.2. Các công nghệ hỗ trợ hệ thống bảo mật mạng IPTV Các công nghệ hỗ trợ cho bảo mật các nội dung số dựa trên 2 loại mã hóa khác nhau sau: 4.2.1. Mã hóa đối xứng - Symmetric Key Cryptography Mã hóa khóa bí mật - Secret key cryptography hay mã hóa đối xứng - symmetric key cryptography là phương pháp bảo vệ dữ liệu trong đó một khóa bí mật được sử dụng cho cả quá trình mã hóa và quá trình giải mã nội dung. Khóa sau đó được chia sẻ sử dụng các phương thức khác nhau để tránh sự can thiệp lấy trộm khóa. Mã hóa đối xứng sử dụng bao gồm RSA, DES, 3DES, RC6, Twofish and Rijndael. Phương thức mã hóa đối xứng Symmetric cryptography có một số ưu điểm bao gồm tốc độ thực hiện ( khoảng 10 lần nhanh hơn phương pháp mã hóa bất đối xứng), độ an toàn của các giải thuật và khả thi cho triển khai. Vấn đề chính đối với công nghệ mã hóa này là quá trình quản lý khóa – Key/phân phối khóa và quá trình cập nhật, cũng như khả năng nâng cấp công nghệ cho hạ tầng hệ thống. Trong hệ thống IPTV, sẽ không đảm bảo an toàn nếu chỉ triển khai hệ thống mã hóa đối xứng cho tất cả các nội dung vì tại một số điểm nào đó, các khóa cần được tạo mới và truyền qua cùng mạng như truyền dẫn nội dung thông thường. Một kẻ xâm nhập có có can thiệp vào đường truyền mã khóa để dễ dàng lấy được khóa và có thể truy cập các nội dung mã hóa. 4.2.2. Mã hóa bất đối xứng - Asymmetric Key Cryptography Mã hóa công khai hay mã hóa bất đối xứng là phương pháp mã hóa bảo vệ dữ liệu trong đó một cặp khóa toán học được truyền đi với chức năng giống nhau. Whitfield Diffie và Martin Hellman là những người đi tiên phong trong công nghệ này từ năm 1976. Bất kỳ một người dùng hay hệ thống có liên quan trong quá trình truyền tin sẽ có một cặp khóa: một khóa gọi là khóa bí mật - private key và khóa kia là khóa công khai – Public key. Nếu người dùng hay hệ thống muốn nhận được nội dung đã mã hóa, người gửi được cấp một bản sao khóa công khai. Khóa này có thể được truyền đi theo bất kỳ phương tiện truyền dẫn nào. Việc truyền các khóa công khai sẽ không ảnh hưởng đến tính an toàn của dữ liệu bởi vì khóa bí mật private key không thể bị lộ như đối với khóa công khai (với một chiều dài khóa xác định, mức độ phức tạp sẽ lớn và kẻ xâm nhập không thể đoán ra khóa bí mật được). Các nội dung được mã hóa bởi người gửi với khóa công khai của bên nhận chỉ có thể được giải mã nếu sử dụng mã hóa bí mật của bên gửi. Mã hóa bất đối xứng có một số lợi điểm rõ ràng như khả năng quản lý khóa-key, quá trình phân phối khóa và khả năng nâng cấp mở rộng hệ thống. Một số nhược điểm của phương thức mã hóa này là tài nguyên hệ thống cần nhiều nếu so sánh với phương pháp mã hóa đối xứng, làm giảm tốc độ xử lý của hệ thống. Cả hai phương thức mã hóa đối xứng và bất đối xứng có thể dễ dàng kết hợp với nhau trong hệ thống IPTV. 4.2.3. Mã hóa lai - Hybrid._.mạng vật lý được bảo vệ ở đó các cấu hình logic để xâm nhập hệ thống có thể bị phát hiện và ngăn chặn. Đây là bức tường chính của nhà cung cấp dịch vụ IPTV để ngăn chặn các truy cập trái phép. Có 3 chức năng chính trong DSLAM: 1. IP concentration. Chức năng này tập hợp các dữ liệu nhận được bởi các chức năng khác và sự chuẩn bị dữ liệu cho truyền dẫn. 2. IP services. Chức năng này cung cấp các chức năng mở rộng về IP và bao gồm các khu vực chẳng hạn như routing và bridging. Các chức năng lớp 2 và lớp 3 được thực hiện bởi chức năng này. Hầu hết các cơ chế bảo mật trong hệ thống DSLAM được thực hiện bởi chức năng này. 3. DSL line service. Chức năng này cung cấp các chức năng xử lý về đường truyền thuê bao vật lý và quản lý các thiết bị đầu cuối thuê bao. Hầu hết các đặc điểm bảo mật chính trong hệ thống DSLAM nằm trong chức năng IP Service. Các đặc tính chính cần xem xét như sau: 6.3.1.1 Access và Session control DSLAM hỗ trợ một tập các cơ chế chứng thực thuê bao khác nhau cũng như khả năng kiểm tra phiên giao dịch – một chức năng rất quan trọng trong xác thực cho một STB trong hệ thống IPTV. Sử dụng các thông tin định danh của thuê bao trên STB, các thuê bao được chứng thực thông qua hệ thống cơ sở dữ liệu người dùng được lưu trên DSLAM hay trên một RADIUS server bên ngoài. DSLAM có thể trao đổi các thông tin cơ sở dữ liệu người dùng vớiư RADIUS server hoặc với Middleware server. Thuê bao và các dữ liệu về đường truyền vật lý có thể được xem xét trong quá trình chứng thực. Chỉ những cổng vật lý đã được đăng kỹ được quyền truy cập các thông tin trên mạng dịch vụ cũng như truy cập đến hệ thống Head-end. Cơ chế này sẽ giảm thiểu phần lớn các truy cập trái phép đến hệ htống mạng. Có mối liên hệ một một giữa các cổng vật lý và các thuê bao. Bất kỳ kẻ tấn công nào cũng phải được chứng thực qua nhờ sử dụng các cổng vật lý hợp lệ. DSLAM có thể kiểm tra tính hợp lệ của các người dùng truy cập trên cơ sở địa chỉ MAC, cũng như sử các cơ chế chứng thực phổ thông khác chẳng hạn như: giao thức bắt tay, chứng thực địa chỉ IP và giao thức chứng thực PPP. Khi mỗi cổng được liên kết với một địa chỉ MAC của thuê bao, do đó không thể giả mạo thuê bao từ các đường truyền khác nhau. Trong môi trường IP sẽ dễ dàng việc giả mạo các gói tin hơn hay dễ dàng thực hiện tấn công một phiên giao dịch IP. Tuy nhiên quá trình xác thực cung cấp bởi DSLAM sẽ loại trừ kiểu tấn công này. Hệ thống IPTV bao gồm hàng nghìn các thuê bao. Thông thường có từ 5,000 đến 10,000 thuê bao đối mỗi DSLAM, và cách thực tế duy nhất khả thi để quản lý địa chỉ IP là sử dụng giao thức DHCP. Khi DHCP được sử dụng, DSLAM có thể sử dụng trường thông tin DHCP Option 82 để đưa vào các thông tin dữ liệu có liên quan đến đường truyền vật lý. Quá trình chứng thực với một STB chủ yếu thực hiện thông qua giao thức DHCP option 82. DHCP option 82 nghe ngóng các yêu cầu DHCP từ các thuê bao và chèn các thông tin xác định đường truyền vật lý trong trường option 82 của gói tin DHCP. Thông tin này thông thường bao gồm: access node ID, shelf ID, slot ID và cuối cùng là line ID. Trường thông tin này được sử dụng để xác định thuê bao và gán (hoặc từ chối gán) địa chỉ IP hợp lệ cho thuê bao để truy cập dịch vụ. Nếu một thuê bao cố gắng làm sai quá trình chứng thực của DSLAM, hệ thống sẽ dễ dàng nhận ra các tham số đã được chỉnh sửa bởi thởi thuê bao này. DHCP option 82 là một cơ chế rất mạnh để đảm bảo điều khiển truy cập đến hệ thống mạng dịch vụ. Các địa chỉ MAC đã được chứng thực có thể lưu lại với thông tin về đường thuê bao vật lý, cho phép mỗi thuê bao có một số lượng nhỏ các thiết bị mạng đã được tiền chứng thực để truy cập mạng. Mỗi khi một địa chỉ mạng mới cố gắng truy cập mạng, hệ thống sẽ hỏi các thông tin cho chứng thực (user name, password) trước khi thêm địa chỉ MAC đó vào trong hệ thống cơ sở dữ liệu. Khi được triển khai đúng đắn, DHCP option 82 sẽ loại trừ hầu hết các cơ hội để tấn công giả mạo IP cũng như địa chỉ IP. DSLAM cũng có thể cung cấp các bộ lọc với các quy tắc lọc được cung cấp bới gateway. Đặc biệt DSLAM có thể quản lý loại yêu cầu được gửi từ các STB thông qua các mạng VLAN khác nhau. Ví dụ DSLAM có thể được cấu hình để chỉ cho phép các yêu cầu dịch vụ HTTP, HTTPS, DHCP, DNS và RTSP từ STB. Bằng cách loại bỏ tất cả các yêu cầu đến các cổng không cần thiết, DSLAM có thể bảo vệ phần còn lại của hệ thống khỏi các tấn công DOS. Bảng 6.10 sau cho thấy tác dụng của phương thức bảo mật với ACL nhằm đảm bảo tính bảo mật, thống nhất và khả năng cung cấp dịch vụ liên tục: Bảng 6.10 - Cách bảo mật hệ thống ACL đảm bảo tính bảo mật, thống nhất và tính liên tục của dịch vụ Bảo mật Thống nhất Tính liên tục dịch vụ Điều khiển truy cập và phiên truyền dẫn DHCP option 82 Giảm thiểu nguy cơ làm giả địa chỉ MAC, địa chỉ IP. Kẻ tấn công không thể giả mạo các địa chỉ hợp lệ để tấn công Head-end và chỉnh sử các thông tin. Kẻ tấn công không thể giả mạo các địa chỉ hợp lệ để tấn công từ chối dịch vụ DOS. 6.3.1.2. Định tuyến - routing Nhà cung cấp dịch vụ có thể sử dụng định tuyến lớp 3 tĩnh, động hoặc theo các chính sách bởi nhà cung cấp dịch vụ. Định tuyến dựa trên chính sách được thực hiện bằng cách sử dụng một số miền địch tuyến ảo Virtual routing domains (VRDs). Mỗi VRD được sử dụng để cung cấp quyết định định tuyến cho các gói tin thuê bao và dựa trên các thành phần định tuyến VRD để xác định thuê bao thuộc về cây định tuyến nào. Với phương thức định tuyến cơ bản, các gói tin có thể được phân đoạn chỉ trong các miền hợp lệ, đảm bảo rằng chỉ các thành phần mạng đã được chứng thực được phép truyền dẫn trong IPTV VRD. Các STB không được chứng thực sẽ không thể gửi các gói tin trong mạng IPTV. Điều này cũng bao gồm trường hợp kẻ tấn công cố gắng truy cập mạng dịch vụ bằng cách tấn công một đường truyền vật lý. Bảng 6.11 sau cho thấy tác dụng của phương thức định tuyến nhằm đảm bảo tính bảo mật, thống nhất và khả năng cung cấp dịch vụ liên tục: Bảng 6.11 - Cách bảo mật hệ thống định tuyến đảm bảo tính bảo mật, thống nhất và tính liên tục của dịch vụ Bảo mật Thống nhất Tính liên tục dịch vụ Định tuyến Tạo ra các miền VRDs giảm thiểu các nguy cơ truy cập trái phép đến các thông tin. Trong VRDs, các thông tin được bảo vệ khỏi các quá trình chỉnh sửa thay đổi. Mỗi VRD được gán một lức dải thông nhất định và hoạt động với các tham số QoS. 6.3.1.3. Tách biệt các thuê bao Với các nguy cơ xảy ra từ các viruses và worms, cùng với các nguy cơ hiển nhiên của việc kẻ tấn công sử dụng một STB để tấn công các STB lân cận, cần phải tách biệt các người dùng trong mạng dịch vụ cung cấp. Chức năng tách biệt các người dùng đảm bảo rằng các người dùng không thể truy cập các STB của người dùng khác, giảm các ảnh hưởng của quá trình lây nhiễm hàng loạt các đầu cuối trong mạng bởi Virus, worm. Nếu kẻ tấn công có thể lấy được quyền điều khiển của một STB, khi đó kẻ tấn công này cũng không thể kết nối đến các STB khác trong cùng mạng để thực hiện tấn công được. Do các gói tin truyền giữa các STb là không hợp lệ và bị loại bỏ bởi DSLAM, do đó cũng không ảnh hưởng đến truyền dẫn dịch vụ trong mạng. Bảng 6.12 sau cho thấy tác dụng của phương thức tách biệt các thuê bao nhằm đảm bảo tính bảo mật, thống nhất và khả năng cung cấp dịch vụ liên tục: Bảng 6.12 - Phương thức tách biệt các thuê bao đảm bảo tính bảo mật, thống nhất và tính liên tục của dịch vụ Bảo mật Thống nhất Tính liên tục dịch vụ Tách biệt người sử dụng STB các các thiết bị khác được an toàn cách biệt với các truy cập từ các thuê bao khác Kẻ tấn công không thể thực hiện truy cập các STB từ một STB bất kỳ để thực hiện thao túng STB ở xa. Các kẻ tấn công không thể giả mạo để thực hiện tấn công từ chối dịch vụ DOS trên các thiết bị và đầu cuối thuê bao khác. 6.3.1.4. Quản lý chất lượng dịch vụ DSLAM có thể phân loại các dải thông để đảm bảo QoS của dịch vụ đạt được trên các đường truyền. Quy tắc trên DSLAM đảm bảo các dịch vụ thiết yếu quan trọng luôn được cung cấp. Chức năng này cung cấp sự bảo vệ thêm cho hệ thống khỏi các tấn công DOS từ các thuê bao cố gắng dành hết các dải thông dịch vụ từ head-end. Các phiên truyền dẫn được điều khiển đảm bảo luôn có một lượng dải thông tối thiểu cho mỗi dịch vụ quan trọng thiết yếu. Trong khi thiết kế triển khai DSLAM và các yêu cầu về dải thông dịch vụ, người thiết kế cần xác định được mức dải thông lớn nhất mỗi STB có thể yêu cầu. Mọi cố gắng sử dụng nhiều hơn giải thông được phép sẽ bị loại trừ do chức năng đảm bảo QoS tỏng các hệ thống DSLAM. Trong hệ thống IPTV, cần thiết phải đảm bảo các người dùng không thể thực hiện tấn công Flood bằng cách gửi đi rất nhiều các yêu cầu đến head-end. Một giải thông tối thiểu cần được dành ra để đảm bảo tất cả các người dùng có thể kết nối đến Head-end tại bất kỳ thời điểm nào để truy cập dịch vụ. Hơn nữa các nội dung quảng bá gửi đi bởi head-end cần có một mức giải thông tối thiểu đến thỏa mãn cấp chất lượng của người xem. Bảng 6.13 sau cho thấy tác dụng của phương thức QOS nhằm đảm bảo tính liên tục dịch vụ: Bảng 6.13 - Chức năng QoS đảm bảo tính bảo mật, thống nhất và tính liên tục của dịch vụ Bảo mật Thống nhất Tính liên tục dịch vụ Quản lý chất lượng dịch vụ QoS -- -- Kẻ tấn công không thể sử dụng toàn bộ dải thông nhằm tấn công từ chối dịch vụ DOS. 6.3.1.5. Mạng ảo và mạng kết nối thuê bao ảo Khi mạng ảo virtual private networks (VPNs và VLANs) được sử dụng để truyền các thông tin giá trị sử dụng nền tảng mạng công cộng, các dữ liệu được bảo vệ khỏi các truy cập trái phép. Trong mạng VPN, một nhóm các thành phần mạng đã được chứng thực được phép truy cập đến nội dung. Các mạng ảo có thể được sử dụng để tách biệt các giải thông IPTV khỏi tất cả các loại hình dịch vụ khác thông qua DSLAM. Với chức năng QoS và DSLAM, các dải thông có thể được điều khiển đảm bảo loại trừ các tấn công từ chối dịch vụ. VLAN hoặc VPNs có thể được sử dụng để chia tách các giải thông truyền dẫn giữa các dịch vụ khác nhau như: IPTV, VoIP, Internet access, control, … Trong mỗi mạch vòng thuê bao, các quy tắc và các cơ chế bảo mật khác nhau có thể được triển khai, các dải thông nhất định có thể bị khóa và giảm thiểu các nhiễu trong mạng. Ví dụ trong VLAN dùng trong IPTV, các cơ chế bảo mật có thể được triển khai để đảm bảo chỉ các yêu cầu giao thức HTTPS được truyền từ STB đến Head-end. Tùy thuộc vào loại thiết bị, chức năng này có thể triển khai sử dụng các hệ thống lọc lớp 2 hoặc lớp 3 – chức năng này liên kết đến các yêu cầu về bảo mật cũng như các khả năng bảo mật của thiết bị. Bảng 6.14 sau cho thấy tác dụng của hệ thống mạng ảo nhằm đảm bảo tính bảo mật, thống nhất, và liên tục dịch vụ: Bảng 6.14 - Giải pháp mạng ảo đảm bảo tính bảo mật, thống nhất và tính liên tục của dịch vụ Bảo mật Thống nhất Tính liên tục dịch vụ Mạng ảo & Mạng truy cập thuê bao ảo Các thông tin được phân đoạn cho phép bảo vệ tốt hơn cho tính bảo mật của thông tin. Cung cấp khả năng hạn chế kiểu loại dữ liệu truyền dẫn được phép, giảm thiểu loại tấn công làm ảnh hưởng đến tính thống nhất của dữ liệu và hệ thống. Các dòng truyền được phân đoạn, giảm thiểu khả năng tấn công flooding. 6.3.1.6. Giao thức chứng thực 802.1X Authentication IEEED phát triển một tiêu chuẩn cho mạng cục bộ LAN và MAN, thực hiện chức năng điều khiển truy cập mạng thông quá các cổng dịch vụ. Rất nhiều các mạng có một số lượng các cổng vật lý có thể bị tấn công bới các truy cập trái phép. Các cổng vật lý này được sử dụng để truy cập và cần các điều khiển logic hợp lệ để hạn chế các hiểm nguy về bảo mật. Mục đích của tiêu chuẩn này là cho phép hạn chế truyền dẫn giữa các kết nối mới và thực hiện kiểm tra đầu cuối mới này cho đến khi qua bước chứng thực và cho phép sử dụng dịch vụ. Các thiết bị kết nối được gọi là supplicants, bên chứng thực gọi là authenticators (trường hợp này là DSLAM) và có một server cho chứng thực để đưa ra các quyết định chứng thực (trường hợp này là RADIUS server sử dụng EAP). Supplicant bắt đầu với yêu cầu 802.1X sử dụng EAPoL. Yêu cầu này được nhận bởi authenticators và gửi đến authentication server sử dụng EAP/RADIUS. Một khi authentication server xác nhận các thông tin chứng thực là hợp lệ và chứng thực thành công cho Supplicant, cấu hình Port lúc đó sẽ được điều chỉnh và gán quyền truy cập dịch vụ cho thuê bao. 6.3.2. Firewalls Firewall là thành phần cần có để bảo vệ các dải thông từ DSLAM đến Middleware server. Thậm chí nếu gateway khu vực truy cập thuê bao và DSLAM đang khóa các yêu cầu từ các cổng không được chứng thực, có một số nguy cơ theo đó kẻ tấn công vẫn có thể thay đổi các cơ chế trên. Trước khi đi vào mạng Home-end, một hệ thống firewall phải được triển khai để lọc tất cả các yêu cầu và chỉ cho phép các yêu cầu đến Middleware server. Cơ chế bảo mật trong các Web server cung cấp chức năng bảo vệ cho cổng 80/443 tuy nhiên đối với các cổng khác vẫn có nguy cơ bị tấn công. 6.4. Hệ thống thiết bị đấu cuối home-end Hệ thống home-end cho thấy một số khó khăn trong việc quản lý các vấn đề bảo mật trong mạng IPTV. Các thành phần ngoài tầm kiểm soát của nhà cung cấp dịch vụ IPTV và các phần cứng đối diện trước nguy cơ bị chỉnh sửa bởi kẻ tấn công. Các phương pháp đã được triển khai tại các thiết bị home-end với mục đích làm chậm các cuộc tấn công và khóa các cuộc tấn công tầm thường ở mức độ đơn giản. Các cơ chế bảo mật mạnh hơn được sử dụng trong hệ thống mạng truyền dẫn. Cũng cần lưu ý là STB có truy cập ảo đến các hệ thống lưu trữ nội dung tại trung tâm dịch vụ IPTV thông qua các yêu cầu hợp lệ. Nếu kẻ tấn công lấy được quyền điều khiển STB thông qua mạng Internet, họ có thể lấy được các nội dung từ STB. 6.4.1. Residential Gateway Residential gateway – Gateway khu vực truy cập thuê bao – tập trung các dịch vụ khác nhau được cung cấp đến thuê bao vào trên một đường truyền dẫn duy nhất. Residential gateway có một số các cơ chế bảo mật cơ bản bao gồm các chức năng lọc cũng như khả năng thực hiện QoS. Residential gateway chia sẻ các kết nối cục bộ bao gồm VoIP phones, high-speed Internet access và IPTV services. 6.4.1.1. Filtering Residential gateway có thể được cấu hình để lọc các gói tin và chỉ cho phép các yêu cầu hợp lệ từ các thiết bị Home-end tới Head-end. Đặc biệt, các filter có thể khóa bất kỳ một giải thông truyền dẫn nội dung nào không phù hợp với loại dải thông truyền hợp lệ (ví dụ 80, 443 và RSTP). Chức năng này giảm thiểu nguy cơ sâu máy tính worms hoặc viruses gây lây nhiễm cho một diện số lượng lớn các STB để thực hiện tấn công DOS đối với head-end. Các bộ lọc cũng có thể sử dụng để khóa các cố gắng truy cập trái phép từ head-end tới STB hay các thiết bị khác tại Home-end. Chức năng này loại bỏ khả năng bị tấn công thông qua các công cụ Port scan. 6.4.1.2. QoS Quản lý chất lượng dịch vụ QoS có thể được thực hiện trên residential gateway để hỗ trợ tăng cường cho vấn đề bảo mật. Các dòng truyền nội dung yêu cầu một mức giới hạn các dải thông để truyền dẫn. Nếu một STB bị nhiễm bởi sâu hay virus và cố gắng gửi đi một số lượng lớn các dữ liệu qua cổng hợp lệ (80, 443, RSTP), khi đó QoS sẽ hạn chế dải thông và sẽ hạn chế mức độ của cách tấn công này. Quá trình thực hiện QoS có thể thực hiện lại nhiều lần tại nhiều điểm giữa Home-end và head-end, đặc biệt tại DSLAM và firewall. 6.4.2. Set top box STB thông thường là các phần cứng tích hợp trên một IC. Có một số giới hạn đối với các STB dựa trên nền tảng PC. STB cũng có các nguy cơ về bảo mật như việc truy cập trái phép nội dung số hoặc sự đánh cắp các khóa mã khóa bảo mật. Kẻ tấn công có thể tháo rời các thành phần phần cứng để tìm ra các điểm yếu trong hệ thống STB, và trong một số trường hợp có thể chế tạo hoặc lập trình lại các chương trình bên trong STB để tạo ra các kẽ hở. Các PC cho phép truy cập dễ dàng hơn đến các khóa và nội dung, khi kẻ tấn công có quyền điều khiển toàn bộ hệ thống và chỉ cần thực hiện các thao tác đơn giản trên STB là có thể lấy được các khóa được lưu trữ trong bộ nhớ hoặc các nội dung ghi nhớ đệm trong quá trình giải mã. STB được thiết kế để chứa đựng các hệ điều hành và các chương trình sử dụng các thành phần phần cứng. Một trong những thành phần chính trong STB là bộ nhớ Flash. Flash memory là loại bộ nhớ có thể dễ dàng bị bị xóa điện và tái lập trình. Các thành phần này có thể được sử dụng để lưu các mã chương trình và khóa. Các thông tin có thể được lưu lại ngay cả khi STB ngắt kết nối khỏi nguồn điện. Trong quá trình thiết kế mạng IPTV, các chuyên gia bảo mật cần đảm bảo chọn được các STB có cấu trúc có thể chấp nhận được và có các chức năng bảo mật nhất định, đảm bảo bảo vệ hệ thống khỏi các tấn công. Khi so sánh các model sản phẩm khác nhau, các chuyên gia bảo mật cần xác định các nguy cơ trong mỗi STB và xác định chất lượng của các model này trong việc bảo vệ khỏi các cuộc tấn công. Các hệ điều hành trong các STB cần được làm kiên cố hóa chặt chẽ theo các khuyến cáo của nhà sản xuất. Các cổng truyền dẫn không cần thiết phải được vô hiệu hóa để tránh khả năng bị truy cập trái phép. 6.4.2.1. Bộ xử lý bảo mật Một số hãng sản xuất STB có thể tạo ra các cơ chế bảo mật trong Chipset để bảo vệ các chương trình bên trong. Chức năng này cho phép bảo mật các thông tin được lưu trữ. Kẻ tấn công không thể thực hiện thu bắt các thông tin được lưu trữ trong các vùng nhớ. Trong một số loại sản phẩm, sự khóa các bộ nhớ flash có thể bảo vệ khỏi các tấn công xóa hoặc cấy các chương trình độc hại. Việc khóa này luôn đảm bảo STB chạy các ứng dụng theo đúng chức năng ban đầu. Các cơ chế khác có thể sử dụng bao gồm các cơ chế chứng thực giữa flash và CPU. Mỗi thành phần có thể được kiểm tra hợp lệ và cung cấp các thông tin chứng thực. Quá trình chứng thực này đảm bảo các hoạt động sai thông qua sự thao túng của kẻ tấn công bị kiểm tra ngăn chặn. Cũng có các cơ chế chống đọc đảm bảo không thể đọc được các bộ nhớ, hay xao chép các dữ liệu, do đó đảm bảo an toàn về bản quyền nội dung cũng như các chương trình lập trình. Nói chung các thành phần trong hệ thống được thực hiện dưới dạng nhúng vào trong các chip vi xử lý. Các thành phần xử lý bảo mật nhúng trong chíp bao gồm: • Processors – bộ xử lý; • Tamper detection system – hệ thống phát hiện sự thâm nhập; • Key storage section – thành phần lưu trữ khóa; • Boot protection information – các thông tin khởi động; • Access controls – điều khiển truy cập; • Cryptographic engines – hệ thống xử lý mã khóa; • secure channel – kênh bảo mật. Hệ thống phát hiện sự xâm nhập là cơ chế phát triển thêm cho phép phát hiện các quá trình thay đổi thao túng trên phần cứng. Nếu bộ xử lý bị tháo rời khỏi bản mạch hoặc kẻ tấn công cố gắng truy cập vào các thành phần vật lý, các thành phần sẽ bị lỗi và sự hoạt động của STB sẽ bị dừng. Kênh bảo mật được sử dụng để trao đổi thông tin với các bộ xử lý. Các nội dung được mã khóa được gửi đến các thành phần, các đường ra từ vi xử lý cũng được bảo vệ theo cách tương tự. Giải mã và các khóa bí mật được lưu và sử dụng chỉ trong các thành phần bảo đảm của bộ xử lý. Nếu DRM hay Middleware server gửi một khóa mã khóa đối xứng bởi khóa công khai của STB, các gói tin này sẽ nhận được bởi STB theo dạng đã được mã khóa và sẽ gửi đến bộ xử lý bảo mật để giải mã và lưu lại cho sử dụng về sau. Các hệ thống thực hiện mã khóa được sử dụng để tăng cường khả năng xử lý mã khóa và đảm bảo môi trường công việc an toàn cho các thông tin bảo mật. các nội dung mã khóa được gửi tới bộ xử lý bảo mật thông qua kênh bảo mật và được giải mã khóa thông qua các khóa đối xứng. Các khóa không bao giờ rới khỏi bộ xử lý dưới dạng thô không mã hóa – clearntext, do đó không có khả năng kẻ tấn công có thể lấy được nội dung nguyên thủy. Mục đích chính của các bộ xử lý là để bảo vệ các thông tin và dữ liệu quan trọng. Các dữ liệu mã khóa nhận được, giải mã và thực hiện bởi bộ xử lý an toàn. Các bộ nhớ cũng được mã hóa cũng như các dữ liệu được điều khiển bởi các bộ xử lý. Do đó không có cơ hội để kẻ tấn công có thể lấy được các nội dung nguyên gốc. Tất cả các thành phần trong hệ thống đã được mã khóa. 6.4.2.2. DRM DRM Client được thực hiện bởi quá trình trao đổi khóa và kiểm tra. Trong môi trường máy tính, DRM client có các tùy chọn hạn chế để quản lý và bảo vệ khóa, như trong phần lớn trường hợp hợp sẽ được lưu trong các bộ nhớ hệ thống. DRM client cũng tham dự vào quá trình kiểm tra trao đổi khóa PKI, bao gồm quá trình đưa ra chứng thực số của STB, các thông tin kiểm tra mã khóa (thông qua bộ xử lý bảo mật) và quá trình kiểm tra các thông tin về tính hợp lệ từ DRM server và Middleware server. Các DRM client và Web browser phải được cấu hình đúng đắn để kiểm tra các thông tin PKI. Danh mục các chứng thực số hết hạn – CRL - và không còn hợp lệ cần được download về và kiểm tra thường xuyên bởi hệ thống. CRL phải được ký bởi CA hợp lệ, nhưng các chứng thực gốc CA cần được lưu trong một hệ thống bảo mật an toàn trong STB và bảo vệ khỏi sự thay đổi các thông tin này. Kẻ tấn công có thể giả mạo các chứng thực CA để giả mạo STB để có được các chứng thực hợp lệ từ Middleware server hay Middleware. Trong tình huống tương tự, các chứng thực số từ STB và các khóa bí mật cần được lưu trữ trong các khu vực an toàn trong STB để tránh sự can thiệp trái phép. 6.4.2.3. Bảo vệ đầu ra Các kẻ tấn công có thể cố gắng lấy được quyền điều khiển STB để lấy ra các thông tin cũng như các nội dung. Các đường ra của STB có thể bị can thiệp để tái phân phối trái phép các nội dung số. Các đầu ra cần được bảo vệ theo các tiêu chuẩn quốc tế sau: • High-bandwidth digital content protection (DHCP): High-bandwidth digital content protection (HDCP) được sử dụng để bảo vệ các nội dung số khỏi quá trình xao chép xử lý và tái phân phối nội dung. Tiêu chuẩn này áp dụng cho các đầu ra số từ DVI và HDMI. DHCP cung cấp các cơ chế chứng thực để khóa các đường ra phân giải cao đến các thiết bị không được chứng nhận. DHCP làm việc bằng cách cung cấp một tập 40 khóa cho mỗi thiết bị. Các khóa chiều dài 56 bits. Một vector phụ trợ Key selection vector (KSV) được gán cho mỗi thiết bị và được sử dụng bởi các bộ thu và STB để trao đổi các thông tin về tính hợp lệ và chọn ra các khóa mã khóa DHCP. • Digital transmission content protection: Transmission content protection (DTCP) được sử dụng để cho phép kết nối các thành phần trong hệ thống Home-end. Phương thức kết nối này cho phép set top boxes, personal computers, media consoles và các thiết bị khác sử dụng USB, PCI, Bluetooth, Firewire và IP. Đường ra STB sẽ bị hạn chế bởi các thành phần được chứng nhận DTCP. Phương thức này giảm thiểu các nguy cơ trộm cắp các nội dung số. 6.5. Tổng hợp Xem xét tất cả các thành phần cần thiết cho hoạt động của hệ thống dịch vụ IPTV có thể thấy rất nhiều các điểm yếu cũng như nguy cơ bảo mật trong quá trình triển khai xây dựng hệ thống IPTV. Hầu hết các ứng dụng được sử dụng trong hệ thống IPTV sẽ chạy trên các hệ điều hành đã phổ thông trên thị trường hiện nay. Các hệ điều hành và các ứng dụng có thể mang đến một số lượng lớn các điểm yếu bảo mật, và thông thường các điểm yếu này không thường xuyên được vá lỗi bởi các nhà cung cấp mà cần đến sự thực hiện của đội ngũ làm việc vận hành để đảm bảo bảo vệ hệ thống dịch vụ này. Tất cả các thành phần phải chạy và được thử nghiệm qua các quá trình trước khi thực hiện vào hệ thống cung cấp dịch vụ. Với khả năng và sự khéo léo trong xử lý của các kẻ tấn công và các điểm yếu liên quan đến các công nghệ mới ra đời, bảo mật trong hệ thống IPTV sẽ thay đổi và sự phát triển nhanh chóng của các hệ thống mới trong khi các công nghệ bảo mật không được cập nhập kịp thời làm tăng khả năng của các kẻ tấn công trong việc xâm nhập các hệ thống. Việc thực hiện một hệ thống chặt chẽ dựa trên các kinh nghiệm về bảo mật sẽ làm giảm các nguy cơ bị tấn công và cho phép hệ thống dịch vụ IPTV được triển khai như là một dịch vụ mới và linh động đến người dùng. Hệ thống IPTV phải được bảo vệ sử dụng cách tiếp cận đầu cuối đến đầu cuối. Hacker sẽ cố gắng tấn công vào hạ tầng mạng để có được truy cập đến các nội dung và các thông tin từ thuê bao dựa trên khai thác các điểm yếu bảo mật. Các thành phần trong hệ thống Head-end có một số các điểm yếu kế thừa từ các hệ điều hành sử dụng cho các ứng dụng mạng IPTV và trong các thiết bị truyền dẫn. Dải thông trong hệ thống head-end phải bị hạn chế cho các VLAN cụ thể, và tất cả các thành phần phải được cập nhập với các bản vá lỗi mới nhất một cách thường xuyên. Hệ thống IPTV cho phép các người dùng có mức độ kết nối lớp cao với các ứng dụng trong mạng IPTV. Một số trong các ứng dụng sử dụng các giao thức HTTP và TFTP. Đã có các điểm yếu đã được công bố trong các giao thức này, kẻ tấn công có thể khai thác các điểm yếu đó để lấy được quyền điều khiển cho Server cũng như các chương trình ứng dụng cụ thể. Hệ thống home-end cũng có nguy cơ bị tấn công flood các gói tin hàng loạt đến các máy tính trong mạng hoặc các STB. STB đã được cải tiến để bao gồm các ổ cứng và hệ điều hành nhằm tăng tính tương tác cho dịch vụ, tuy nhiên chính sự phát triển này làm tăng các mối nguy cơ bị tấn công bởi hacker. Từ góc độ nhà cung cấp dịch vụ, STB phải được coi là thành phần kém bảo mật trong hệ thống mạng dịch vụ. Đã có các trường hợp các người dùng thay đổi cấu hình của modem và trộm cắp dịch vụ. Các điều khiển cũng cần được triển khai để phát hiện các truy cập, và các thủ tục cần được thực hiện khi có xung đột xảy ra để ngăn chặn các đối tượng tấn công. Tất cả các kết nối cần được theo dõi để đảm bảo các thuê bao không tái phân phối các nội dung mà họ nhận được. Trong phần lớn trường hợp các dòng truỳen sẽ được gửi cùng trên một đường truyền, như vậy tạo ra khả năng phát hiện xâm nhập. Các thuê bao sẽ cần được cảnh báo cũng như hướng dẫn để hiểu được các nguy cơ từ vấn đề bảo mật xảy ra với STB. Các thuê bao có thể có khả năng nhận biết sự tấn công cơ bản. Các thuê bao cũng cần phải hiểu được trách nhiệm của họ trong việc quản lý thông tin thuê bao, mã số PIM, và chịu trách nhiệm về việc các nội dung được ghi và lấy ra khỏi STB. CHƯƠNG 7: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN 7.1. Kết luận Công nghệ truyền hình Internet IPTV đang ngày càng phát triển mạnh như là sự thay thế các mạng truyền hình truyền thống. Hệ thống mạng truyền hình IPTV có nhiều lợi điểm to lớn như tính đa dạng và linh hoạt trong cung cấp dịch vụ, tính tương tác người dùng mạnh, đáp ứng nhu cầu truyền hình theo yêu cầu (Video On Demand) – các đặc điểm mà các mạng truyền hình trước đây không có được. Hơn nữa ngày nay, hầu hết các đầu cuối người dùng đều áp dụng công nghệ truyền dẫn và xử lý trao đổi thông tin qua IP, do đó việc xây dựng hệ thống dịch vụ IPTV cho phép tiếp cận trên diện rộng các đối tượng thuê bao khác nhau. Tuy nhiên, khi xem xét tất cả các thành phần cần thiết cho hoạt động của hệ thống dịch vụ IPTV có thể dễ dàng nhận thấy hàng trăm thậm chí hàng nghìn các điểm yếu cũng như nguy cơ bảo mật trong quá trình triển khai xây dựng hệ thống lần đầu. Một hệ thống IPTV bảo mật với giá thành phải chăng có thể thực hiện bằng cách nắm bắt và hiểu rõ các công nghệ có liên quan cũng như quá trình truyền thông tin giữa các thành phần của hệ thống dịch vụ. Các chuyên gia về bảo mật phải xem xét tác động của các tác vụ thêm vào hay bỏ đi các chức năng bảo mật và phải biết được các nguy cơ tiềm tàng có thể xảy ra đối với hệ thống mạng dịch vụ triển khai. Nhà cung cấp dịch vụ IPTV phải có kế hoạch xây dựng triển khai hệ thống với khả năng bảo mật nhất định để đảm bảo an toàn cho các tài nguyên số và đảm bảo thu được lợi nhuận hợp lý từ nguồn đầu tư của mình. Việc nghiên cứu và tiếp tục phát triển các công nghệ bảo mật cho hệ thống mạng dịch vụ IPTV vẫn cần được thực hiện thường xuyên liên tục. Không một hệ thống DRM, mã khóa, hay CAS nào có thể đảm bảo an toàn liên tục trong một thời gian dài. Công nghệ luôn phát triển kéo theo sự phát triển của các công nghệ xử lý mới, khiến cho các công nghệ mã khóa bảo mật cũng như các cơ chế bảo mật cũ trở lên lỗi thời và không còn phù hợp nữa. Các hệ thống bảo mật mới, các cơ chế mã khóa mới cần được triển khai để liên tục cập nhập và khắc phục các sự cố xảy ra trong quá trình khai thác dịch vụ. Mục tiêu của luận văn này chủ yếu đi vào phân tích và làm nổi bật các điểm yếu bảo mật, các nguy cơ hiện hữu trong hệ thống cung cấp dịch vụ IPTV hiện nay và đưa ra một số phương pháp và công nghệ thường được sử dụng để đảm bảo bảo tính bảo mật cho các hệ thống IPTV này. 7.2. Hướng phát triển đề tài Một số hướng phát triển của đề tài như sau: - Nghiên cứu sâu về cơ chế mã khóa AES và ứng dụng của phương pháp mã khóa này trong mạng dịch vụ IPTV. - Xây dựng danh mục kiểm tra chi tiết (checklist) về các vấn đề bảo mật cho một hệ thống mạng IPTV tiêu chuẩn, từ đó tạo ra một chu trình chuẩn cho kiểm tra các vấn đề bảo mật. - Nghiên cứu sâu hơn cơ chế phát hiện xâm nhập và bảo vệ bảo mật trong hệ thống mạng IPTV (IDS/IPS). - Nghiên cứu và tìm hiểu tính tương tác người dùng trong hệ thống mạng truyền hình IPTV, các công nghệ và kỹ thuật cụ thể cần triển khai để thực hiện chương trình tương tác. TÀI LIỆU THAM KHẢO Tiếng Anh [1] ATIS-0800007 (2007), ‘IPTV High Level Architecture’, ATIS-IIF. [2] Fenner, W. (1997), ‘Internet Group Management Protocol, Version 2’, IETF. [3] Gilbert Held (2006), ‘Understanding IPTV’, AUERBACH PUBLICATIONS. [4] Internet Streaming Media Alliance (2005), ‘Encryption and Authentication, Version 1.1’. [5] IETF (1998), ‘Real Time Streaming Protocol (RTSP)’. [6] IETF (1998), ‘Protocol Independent Multicast (PIM)’. [7] IETF (2002), ‘Internet Group Management Protocol, Version 3’. [8] IETF (2002), ‘RTP:a Transport Protocol for Real-Time Applications’. [9] IETF (2003), ‘Multicast Source Discovery Protocol (MSDP)’. [10] Institute of Electrical and Electronics Engineers (2005), ‘802.1Q – Virtual LANs’. [11] International Telecommunication Union (1997), ITU-T Recommendation X.509. [12] Johan Hjelm (2008), ‘Why IPTV? Interactivity, Technologies and Services’, A John Wiley and Sons, Ltd, Publication. [13] Ramachandran, K. (2002), ‘Spoofed IGMP Report Denial of Service Vulnerability’. [14] Website: [15] Website: [16] Website [17] Website [18] Website: ._.