孫 庭，姚輝軍，莊 崟

（江蘇省廣電有線信息網(wǎng)絡(luò)股份有限公司南京分公司，江蘇 南京 210000）

基于廣電網(wǎng)絡(luò)的智能終端安全解決方案

孫 庭，姚輝軍，莊 崟

（江蘇省廣電有線信息網(wǎng)絡(luò)股份有限公司南京分公司，江蘇 南京 210000）

介紹了一種良好健全的端到端的安全解決方案，按終端種類的不同，可分為智能機(jī)頂盒和電視一體機(jī)安全。按安全管控環(huán)節(jié)可分為防刷機(jī)管控、應(yīng)用安全、商城安全、系統(tǒng)安全等。主要采用了前端管控到終端加密的端到端解決方案，安全廠商提供安全服務(wù)器和加密算法，對(duì)終端進(jìn)行安全加密、數(shù)字簽名。在終端通過高安芯片，智能卡對(duì)傳輸密鑰進(jìn)行還原，然后使用密鑰對(duì)終端系統(tǒng)、商城、應(yīng)用等進(jìn)行校驗(yàn)，確保校驗(yàn)對(duì)象和終端的完全匹配及其自身正確合法，終端預(yù)存key和傳輸key就是該方案的核心。最后還介紹了該方案的實(shí)施方式以及生產(chǎn)流程。

NGB；一體機(jī)和智能機(jī)頂盒安全；數(shù)字簽名；密鑰傳輸

隨著智能終端接入技術(shù)的發(fā)展和Android系統(tǒng)的推廣，廣電網(wǎng)絡(luò)中基于智能操作系統(tǒng)的終端機(jī)頂盒和電視一體機(jī)已經(jīng)大面積出現(xiàn)，智能和開放的操作系統(tǒng)為廣電運(yùn)營(yíng)商提供了大量的應(yīng)用，同時(shí)也方便了病毒編寫，也使網(wǎng)絡(luò)攻擊更加靈活。智能機(jī)頂盒、電視一體機(jī)等終端運(yùn)行在不同程度的開放環(huán)境下，需要應(yīng)對(duì)來自應(yīng)用、網(wǎng)絡(luò)多方面的威脅[1-4]。

1 安全機(jī)制分析

首先以Android為例來分析嵌入式智能操作系統(tǒng)。操作系統(tǒng)本身是權(quán)限分立的，在這類系統(tǒng)中，每個(gè)應(yīng)用都以唯一的系統(tǒng)識(shí)別身份運(yùn)行，系統(tǒng)的各部分也分別使用各自獨(dú)立的識(shí)別方式，將應(yīng)用與應(yīng)用、應(yīng)用與系統(tǒng)隔離開。

Android的系統(tǒng)架構(gòu)和其操作系統(tǒng)一樣，采用了分層的架構(gòu)。Android分為4個(gè)層，從高層到低層分別是應(yīng)用程序?qū)?、?yīng)用程序框架層、系統(tǒng)運(yùn)行庫(kù)層和Linux內(nèi)核層。安全分為代碼安全、接入權(quán)限、權(quán)限驗(yàn)證、數(shù)字簽名、網(wǎng)絡(luò)安全、數(shù)據(jù)庫(kù)安全、虛擬機(jī)和文件訪問控制。

對(duì)Android操作系統(tǒng)的安全機(jī)制的闡釋如表1所示。

通過分析如上各個(gè)層級(jí)的安全控制，在終端安全管控上，認(rèn)為數(shù)字簽名是核心，更適合端到端的安全管控，而簽名的核心就是密鑰的管理，也就是密鑰的下發(fā)和保持形式。

2 密鑰管理

需要建立一套基于證書（密鑰）的安全體系，以便提供終端管控的能力基礎(chǔ)[5-10]。終端安全體系采用多級(jí)證書完成，詳見圖1。

表1 Android操作系統(tǒng)的安全機(jī)制構(gòu)成

圖1 終端安全體系采用多級(jí)證書

在智能電視終端系統(tǒng)中，密鑰管理保存有以下幾種方式，分別為OTP安全芯片方式、CA卡方式、USB Dongle方式、Key partion和DCAS方式。對(duì)于智能終端，要按照不同的種類進(jìn)行劃分，選取適當(dāng)?shù)拿荑€安全管理方式，從而解決智能終端刷機(jī)、病毒等的侵害問題。不同的終端需要配備不同的解決方案，例如高安方案、CAS方案、USB dongle、終端下載證書方案等。下面分析不同方案的特點(diǎn)，以便為不同的終端選擇適合的方案。

2.1 高安模式

高安方案，即具備高級(jí)安全特性的方案。采用安全芯片的方式存儲(chǔ)密鑰和驗(yàn)證證書，boot，kernel，sys?tem和recovery的簽名驗(yàn)證均需要通過安全芯片的計(jì)算。其優(yōu)勢(shì)有如下三點(diǎn)：第一，安全芯片保證解擾器外部不再出現(xiàn)明文，高安方案本身具有足夠的抗攻擊能力和抗分析能力；第二，對(duì)于安全芯片，從邏輯設(shè)計(jì)到硬件實(shí)現(xiàn)會(huì)有一系列的要求，即內(nèi)部的KEY不能被外部任何軟件訪問，其存儲(chǔ)密鑰不能被分析獲取，要求JTAG端口關(guān)閉；第三，安全芯片的OTP紀(jì)錄的密鑰和boot，kernel，system，recovery的簽名密鑰一一對(duì)應(yīng)，確保公鑰的安全性，從而保證系統(tǒng)和應(yīng)用的安全控制。

對(duì)于高安原理的解釋，可以用圖2來形象地加以說明。

圖2 高安原理

2.2 CAS模式

CAS模式使用CA卡的控制字作為私鑰。通過加密機(jī)進(jìn)行簽名后的系統(tǒng)和應(yīng)用使用CA卡的私鑰作為驗(yàn)證Key，保證系統(tǒng)和應(yīng)用的管控安全。實(shí)現(xiàn)方式如圖3所示，使用USB dongle的模式存儲(chǔ)私鑰和CAS方式相似，私鑰存儲(chǔ)的位置不同而已。

圖3 CAS模式圖示

2.3 下載證書模式

下載證書模式密鑰更新的方式有以下5個(gè)流程：首先，通過recovery下載到明文密鑰；然后將密鑰通過Key ladder加密；之后將加密后的密鑰寫入Key par?tion，并更新分區(qū)頭信息；之后如果密鑰識(shí)別碼與已有密鑰重復(fù)，替換原有密鑰；全部密鑰寫入完畢后，對(duì)全部密文密鑰做CBC-MAC計(jì)算，將結(jié)果作為簽名存入Key partion尾部。

通過上文的闡述，對(duì)上述3種方案的優(yōu)劣勢(shì)進(jìn)行了歸納，具體如表2所示。

表2 各種方案優(yōu)劣勢(shì)對(duì)比

3 安全管控機(jī)制

下文對(duì)BootLoder安全管控、操作系統(tǒng)管控、終端應(yīng)用管控進(jìn)行進(jìn)一步分析。

3.1 BootLoder安全管控

Bootloader在運(yùn)行之前由已經(jīng)取得的證書密鑰對(duì)其進(jìn)行數(shù)據(jù)完整性驗(yàn)證和數(shù)據(jù)來源可靠性驗(yàn)證，終端軟件平臺(tái)在下載和運(yùn)行之前由Bootloader對(duì)其進(jìn)行數(shù)據(jù)完整性驗(yàn)證和數(shù)據(jù)來源可靠性驗(yàn)證，安全認(rèn)證系統(tǒng)負(fù)責(zé)管理Bootloader的簽名。

3.2 操作系統(tǒng)管控

操作系統(tǒng)管控可以用圖4進(jìn)行闡釋。

圖4 操作系統(tǒng)管控

操作系統(tǒng)管控的流程是這樣的：首先上電啟動(dòng)到Boot鏡像的簽名校驗(yàn)，Boot依次校驗(yàn)Key partion/kernel/ System/Recovery分區(qū)，簽名校驗(yàn)算法采用CBC-MAC；Key partion分區(qū)簽名校驗(yàn)Public Key存儲(chǔ)在OTP中，不可更新，Key partion分區(qū)中的密鑰已密文存儲(chǔ)；Key par?tion分區(qū)的簽名由Recovery完成。Recovery下載明文的密鑰，然后由Keyladder模塊加密，最后將全部密鑰做簽名，將分區(qū)頭、簽名和密文密鑰寫入Flash。Boot從參數(shù)區(qū)讀取AES CBC key，對(duì)其他分區(qū)做簽名校驗(yàn)。AESCBC簽名校驗(yàn)可使用硬件進(jìn)行。System分區(qū)采用偽隨機(jī)抽樣，加速讀取。這樣就完成了操作系統(tǒng)管控。

3.3 終端應(yīng)用管控

終端應(yīng)用管理采用APK加密方式，防止應(yīng)用非法安裝、卸載和傳播，如圖5所示。應(yīng)用安裝的時(shí)候需要驗(yàn)證通過然后繼續(xù)工作，APK的簽名由簽名服務(wù)器完成，在終端通過內(nèi)置的校驗(yàn)?zāi)K算法加私鑰Key完成驗(yàn)證，保障應(yīng)用安全，支持二次簽名。

圖5 終端應(yīng)用管控

在此過程當(dāng)中，需要加以說明的是：簽名校驗(yàn)在Android APK安裝代碼中增加，支持簽名逐級(jí)檢測(cè)。另外為了防止APK擴(kuò)散，APK以密文存儲(chǔ)。

4 方案實(shí)施

廣電的智能終端分為電視一體機(jī)和智能終端機(jī)頂盒，不同的智能終端可選擇不同的密鑰方案，對(duì)應(yīng)安全管控機(jī)制進(jìn)行實(shí)施。電視一體機(jī)一般采用CAS方案和終端下載正式方案；Android智能機(jī)頂盒多采用高安方案和終端下載證書方案。

4.1 一體機(jī)安全特點(diǎn)

一體機(jī)安全特點(diǎn)是運(yùn)行于廣電外網(wǎng)，經(jīng)外網(wǎng)入內(nèi)網(wǎng)獲取數(shù)據(jù)內(nèi)容，在此環(huán)境下，智能一體機(jī)是暴露在開放的互聯(lián)網(wǎng)網(wǎng)絡(luò)上的，容易受到網(wǎng)絡(luò)病毒的侵襲，由于一體機(jī)并非由廣電發(fā)放，在ROOT管控和系統(tǒng)管控上力度不強(qiáng)，所以需要在APP上進(jìn)行端到端的安全管控。關(guān)于電視一體機(jī)的安全機(jī)制，一般包括應(yīng)用商店鑒權(quán)認(rèn)證、APK管控、密鑰管理和應(yīng)用權(quán)限管理。

4.2 智能機(jī)頂盒安全特點(diǎn)

智能機(jī)頂盒特點(diǎn)是運(yùn)行于廣電內(nèi)網(wǎng)，既要保障終端的穩(wěn)定運(yùn)行，又要保障應(yīng)用安全，所以建議的安全控制點(diǎn)中，高安方案應(yīng)使用智能卡作為密鑰存儲(chǔ)介質(zhì)，使用安全芯片存儲(chǔ)密鑰；應(yīng)用安全包括存儲(chǔ)數(shù)據(jù)加密、存儲(chǔ)應(yīng)用加密、通信過程加密，簽名機(jī)在boot，kernel，sys?tem和recovery上簽名，且為應(yīng)用獨(dú)立簽名；服務(wù)器安全包括服務(wù)器攻擊源定位，機(jī)卡綁定，實(shí)現(xiàn)精確管控。

5 生產(chǎn)流程

5.1 角色關(guān)系

整個(gè)產(chǎn)業(yè)鏈上的廠商有安全芯片提供商、OS開發(fā)商、APPMarket廠商、眾多的APP應(yīng)用開發(fā)廠商、CA廠商和運(yùn)營(yíng)商等各個(gè)廠商之間的關(guān)系如圖6所示。

圖6 各個(gè)廠商之間角色關(guān)系

5.2 智能終端生產(chǎn)流程

智能終端生產(chǎn)流程如圖7所示。

圖7 智能終端生產(chǎn)流程

5.3 電視一體機(jī)生產(chǎn)流程

電視一體機(jī)生產(chǎn)流程如圖8所示。

圖8 電視一體機(jī)生產(chǎn)流程

6 總結(jié)

通過安全項(xiàng)目的研究形成了電視一體機(jī)、智能終端機(jī)頂盒的安全解決方案。按安全方案的不同，電視一體機(jī)更適用CAS方式的安全模式，Android智能機(jī)頂盒需要防刷機(jī)，推薦使用安全級(jí)別高的安全芯片方案和終端下載證書方案。對(duì)于應(yīng)用商店可以采用用戶驗(yàn)證鑒權(quán)的方式，終端運(yùn)行的應(yīng)用在安裝和升級(jí)均需要安全驗(yàn)證，并能夠靜默安裝，可以強(qiáng)制升級(jí)和刪除。

在本文提出安全解決方案在智能終端和智能一體機(jī)中建立一個(gè)智能終端的可信平臺(tái)。通過增強(qiáng)現(xiàn)有終端體系結(jié)構(gòu)的安全性來保證整個(gè)網(wǎng)絡(luò)的安全。意義就是在網(wǎng)絡(luò)中搭建一個(gè)誠(chéng)信體系，每個(gè)終端具有合法的網(wǎng)絡(luò)身份，并能夠被認(rèn)可，而且終端具有對(duì)惡意代碼（如病毒、木馬）免疫能力。在這樣的環(huán)境中，當(dāng)任何終端出現(xiàn)問題，都能保證合理取證，方便監(jiān)控和管理，達(dá)到客觀可控的要求。

[1]呂品.智能終端與OTT業(yè)務(wù)[J].電視技術(shù)，2012，36（S1）：34-36.

[2] 鄧水森，王立軍.OTT智能終端典型功能及運(yùn)營(yíng)模式探析[J].電視技術(shù)，2013，37（6）：17-20.

[3] 劉九評(píng)，王正軍，汪兵鋒.廣電運(yùn)營(yíng)商OTT策略淺析[J].有線電視技術(shù)，2012（10）：49-53.

[4] 鄭杰.終端智能化后的業(yè)務(wù)合作模式創(chuàng)新[J].電信科學(xué)，2013（4）:18-21.

[5]柏巖.NGB——構(gòu)建炫彩三網(wǎng)融合電視業(yè)務(wù)的基石[J].廣播電視信息，2013（8）:64-67.

[6] 徐光寶，姜東煥，梁向前.一種強(qiáng)前向安全的數(shù)字簽名方案[J].計(jì)算機(jī)工程，2013（9）：167-169.

[7]徐濤.基于數(shù)字簽名技術(shù)下淺析網(wǎng)絡(luò)通信安全技術(shù)[J].數(shù)字技術(shù)與應(yīng)用，2013（7）：179.

[8] 胡穎.公開密鑰加密體系和數(shù)字簽名技術(shù)的研究[J].計(jì)算機(jī)光盤軟件與應(yīng)用，2013（11）:298-300.

[9] 王金彥.淺談數(shù)字簽名技術(shù)的優(yōu)勢(shì)和隱患[J].中小企業(yè)管理與科技，2013（9）：227-228.

TN943；TP334

A

?? 盈

2013-10-29

【本文獻(xiàn)信息】孫庭，姚輝軍，莊崟.基于廣電網(wǎng)絡(luò)的智能終端安全解決方案[J].電視技術(shù)，2014，38（6）.