CN106604070A - 云环境下流媒体的分布式密钥管理系统与密钥管理方法 - Google Patents

Abstract

本发明公开了一种云环境下流媒体的分布式密钥管理系统和密钥管理方法。该密钥管理系统设置于第一云安全边界内并包括认证授权模块、流媒体加密模块以及设置于第二云安全边界内的密钥管理模块。在密钥管理模块中还设置有具有第三云安全云安全边界的密钥存储与恢复服务器群。本发明能实现用户对存储密钥的服务器的间接访问，在极大的提高了密钥管理安全性的同时也极大的提高了应对大用户量、多流媒体业务量及多流媒体业务类型等复杂的数字版权保护的环境的能力，并且不依赖于智能卡等硬件设备及第三方证书还能降低流媒体业务提供商的成本。

Description

云环境下流媒体的分布式密钥管理系统与密钥管理方法

技术领域

本发明涉及网络通信安全技术领域，尤其涉及一种云环境下流媒体的分布式密钥管理系统与密钥管理方法。

背景技术

随着互联网技术的发展，数字媒体的内容越来越丰富，其传播范围也越来越广泛。在人们的日常生活中，数字媒体的作品无处不在，无论是一副简单的漫画、一本有趣的小说还是一部好看的电影，这些作品都凝聚了创作者的心血。为了维护创作者的版权，数字版权管理(DRM，Digital Right Management)技术应运而生。但与此同时，盗版技术的发展也给DRM技术带来了威胁。

现有DRM技术的基本思想是通过加密算法并利用密钥来加密或混淆要保护的内容，只有当用户端具有请求获取数字媒体内容的权限时，DRM管理中心才会将密钥传送到用户端终端来解密受保护的内容。在大多数有效的加密算法公开的情况下，密钥管理作为DRM技术中的一个重要环节，它把对大量数据的保护归结为对若干参量(即密钥)的保护，因此，密钥管理是DRM技术中的重中之重。

目前已经提出了多种密钥管理标准。例如在数字电视广播条件接收系统规范系统中，使用控制字(CW，Control Word)加扰需要保护的视频，然后使用业务密钥(SK，ServiceKey)加密控制字，在每个使用该系统的用户端的机顶盒中都安装有用户自己的智能卡以存储个人密钥，DRM系统向用户端发送业务密钥之前会使用相应的用户端个人密钥加密业务密钥，用户端机顶盒在接收到被加密的业务密钥和控制字时，会使用智能卡先解密出业务密钥再用业务密钥解密出控制字，最后使用控制字解扰视频得到清晰的视频数据。同样的，在可下载系统中用户端终端中使用的是终端安全芯片(terminal secure chipset)来实现对密钥的管理，而互联网电视使用的是公钥基础设施(PKI，Public Key Infrastructure)颁发许可证来实现对密钥的管理。可以看出，现行的标准中的密钥管理系统较为依赖用户端终端中的硬件或是第三方提供证书，这样对于运营商而言需要增加成本。

另一方面，在现行的密钥管理模式中，用户端需要直接访问多个存储密钥份额的服务器才能获取密钥，因为用户端可以直接访问存储密钥份额的服务器的，所以降低了密钥存储和传输过程中的安全性。同时，在用户端直接访问多个服务器以获取密钥的过程中，因用户端计算能力不足以及信息传递路径上的时间延迟，也大大影响了用户的体验。

近年来，随着云技术的发展，使得DRM技术对数字版权的保护所面临的环境更加复杂，亟需一种能够针对大用户量、多流媒体业务量及多流媒体业务类型，且不依赖于智能卡等硬件设备及第三方证书以降低流媒体业务提供商成本的对密钥进行安全高效管理的系统来应对云环境下的流媒体的数字版权保护问题。

发明内容

本发明所要解决的技术问题之一是需要提供一种能够针对大用户量、多流媒体业务量及多流媒体业务类型，且不依赖于智能卡等硬件设备及第三方证书以降低流媒体业务提供商成本的对密钥进行安全高效管理的系统。

为了解决上述技术问题，本申请的实施例首先提供了一种云环境下流媒体的分布式密钥管理系统，该密钥管理系统设置于第一云安全边界内，该系统包括认证授权模块，设置为接收用户端发送的业务请求，对用户端的权限进行认证，并生成与业务请求对应的会话密钥，通过安全通道将会话密钥反馈至请求业务的用户端，同时将会话密钥与业务请求转发至密钥管理模块；流媒体加密模块，设置为接收流媒体提供方发送的流媒体文件加密请求，并将加密请求转发至密钥管理模块；以及密钥管理模块，其设置于第二云安全边界内，设置为基于加密请求生成业务密钥，并将包括业务密钥的反馈信息发送至流媒体加密模块，以供流媒体加密模块利用业务密钥对流媒体文件进行加密；其中，密钥管理模块还设置为对业务密钥进行分布式存储，并对分布式存储的业务密钥进行恢复，利用会话密钥对恢复得到的业务密钥进行加密，并通过安全通道将加密后的业务密钥发送至请求业务的用户端。

优选的，密钥管理模块包括密钥生成与控制服务器，其与设置于第二云安全边界上的边界控制器相连接，设置为监听流媒体加密模块的加密请求，生成与加密请求对应的业务密钥，并将包括业务密钥的反馈信息发送至流媒体加密模块；同时通过安全通道将业务密钥以设定的份额分配给密钥存储与恢复服务器群中的若干个服务器；密钥存储与恢复服务器群，其设置于第三云安全边界内，设置为接收并存储密钥生成与控制服务器为其分配的设定份额的业务密钥。

优选的，加密请求包括服务号与流媒体文件的业务号，反馈信息包括业务密钥、校验信息以及流媒体文件的业务号。

优选的，密钥生成与控制服务器还设置为，在向密钥存储与恢复服务器群中的若干个服务器分配设定份额的业务密钥时，同步发送流媒体文件的业务号；计算插值参数并将插值参数广播至密钥存储与恢复服务器群。

优选的，密钥生成与控制服务器还设置为，接收认证授权模块发送的会话密钥与业务请求，根据业务请求确定需要恢复的业务密钥，选取并指定用于恢复业务密钥的密钥存储与恢复服务器，同时以广播的形式将包括会话密钥的指示信息发送至密钥存储与恢复服务器群；

密钥存储与恢复服务器群中的若干个密钥存储与恢复服务器存储有业务密钥的份额，若干个密钥存储与恢复服务器设置为通过安全通道将其各自的份额发送至被指定的用于恢复业务密钥的密钥存储与恢复服务器，该被指定的密钥存储与恢复服务器设置为基于接收的各份额并结合自身的份额与插值参数对业务密钥进行恢复，利用会话密钥加密恢复得到的业务密钥并将加密后的业务密钥发送至密钥生成与控制服务器；

密钥生成与控制服务器还设置为通过安全通道将加密后的业务密钥发送至请求业务的用户端。

优选的，指示信息包括会话密钥、用于恢复业务密钥的密钥存储与恢复服务器的ID、需要提供份额的若干个密钥存储与恢复服务器的集合与流媒体文件的业务号。

优选的，密钥管理模块还包括业务类型选择服务器，设置于第二云安全边界上的边界控制器与密钥生成与控制服务器之间，设置为接收认证授权模块发送的会话密钥与业务请求或流媒体加密模块发送的加密请求，根据业务请求或加密请求中所包括的服务号来判断业务类型。

优选的，密钥管理系统还包括密钥输出控制模块，其包括由若干个密钥输出控制服务器组成的服务器群，设置于第四云安全边界内；设置为在密钥管理系统响应用户端的业务请求时，接收密钥管理模块发送的加密后的业务密钥，并通过安全通道将加密后的业务密钥发送至请求业务的用户端。

本发明还提供了一种云环境下流媒体的分布式密钥管理管理方法，包括密钥生成与控制服务器初始化Socket实例，监听端口，等待流媒体加密模块的加密请求；密钥生成与控制服务器与流媒体加密模块建立连接并接收加密请求；密钥生成与控制服务器生成与加密请求对应的业务密钥及校验信息，并将包括业务密钥、流媒体文件的业务号与校验信息的反馈信息发送至流媒体加密模块；流媒体加密模块利用业务密钥对流媒体文件进行加密；密钥生成与控制服务器通过选取域中的多项式将业务密钥划分为若干个设定的份额，并通过安全通道将业务密钥的设定的份额分配给密钥存储与恢复服务器群中的若干个服务器；密钥生成与控制服务器计算插值参数并将插值参数广播至密钥存储与恢复服务器群；密钥存储与恢复服务器群存储业务密钥的若干个设定的份额与插值参数。

还提供了一种云环境下流媒体的分布式密钥管理管理方法，包括，认证授权模块接收用户端发送的业务请求，对用户端的权限进行认证，并生成与业务请求对应的会话密钥；认证授权模块通过安全通道将会话密钥反馈至请求业务的用户端；认证授权模块将会话密钥与业务请求转发至密钥生成与控制服务器；密钥生成与控制服务器根据业务请求确定需要恢复的业务密钥，选取并指定用于恢复业务密钥的密钥存储与恢复服务器；密钥生成与控制服务器以广播的形式将会话密钥、用于恢复业务密钥的密钥存储与恢复服务器的ID、需要提供份额的若干个密钥存储与恢复服务器的集合与流媒体文件的业务号发送至密钥存储与恢复服务器群；其中，密钥存储与恢复服务器群中包括存储有业务密钥的份额的若干个密钥存储与恢复服务器；各密钥存储与恢复服务器通过安全通道将其各自的份额发送至被指定的用于恢复业务密钥的密钥存储与恢复服务器；用于恢复业务密钥的密钥存储与恢复服务器基于接收的份额并结合自身的份额与差值参数对业务密钥进行恢复；用于恢复业务密钥的密钥存储与恢复服务器利用会话密钥加密恢复得到的业务密钥并将加密后的业务密钥发送至密钥生成与控制服务器；密钥生成与控制服务器通过安全通道将加密后的业务密钥发送至请求业务的用户端。

与现有技术相比，上述方案中的一个或多个实施例可以具有如下优点或有益效果：

本发明的云环境下流媒体的分布式密钥管理系统和密钥管理方法，实现了用户端对存储密钥的服务器的间接访问，提高了密钥管理安全性，增强了密钥管理系统在应对大用户量、多流媒体业务量及多流媒体业务类型等复杂的数字版权保护的环境的能力。由于本密钥管理系统不依赖智能卡等硬件设备及第三方证书，有利于降低流媒体业务提供商的成本。

本发明的其他优点、目标，和特征在某种程度上将在随后的说明书中进行阐述，并且在某种程度上，基于对下文的考察研究对本领域技术人员而言将是显而易见的，或者可以从本发明的实践中得到教导。本发明的目标和其他优点可以通过下面的说明书，权利要求书，以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本申请的技术方案或现有技术的进一步理解，并且构成说明书的一部分。其中，表达本申请实施例的附图与本申请的实施例一起用于解释本申请的技术方案，但并不构成对本申请技术方案的限制。

图1为根据本发明一实施例的云环境下流媒体的分布式密钥管理系统的结构示意图；

图2为根据本发明另一实施例的云环境下流媒体的分布式密钥管理方法的流程示意图；

图3为根据本发明又一实施例的云环境下流媒体的分布式密钥管理方法的流程示意图；

图4为根据本发明再一实施例的云环境下流媒体的分布式密钥管理系统的结构示意图。

具体实施方式

以下将结合附图及实施例来详细说明本发明的实施方式，借此对本发明如何应用技术手段来解决技术问题，并达成相应技术效果的实现过程能充分理解并据以实施。本申请实施例以及实施例中的各个特征，在不相冲突前提下可以相互结合，所形成的技术方案均在本发明的保护范围之内。

实施例一：

图1为根据本发明的实施例一的云环境下流媒体的分布式密钥管理系统的结构示意图，如图1所示，整个云环境下流媒体的分布式密钥管理系统设置在第一云安全边界1内，与云环境下流媒体的分布式密钥管理系统进行通信的有请求流媒体服务的用户群和提供流媒体服务的流媒体提供方。

在本发明的实施例中，云安全边界指的是多个不同网络之间的分界线，它在网络内部与外部之间构建安全防护。如果需明确哪些网络边界需要防护，可以通过云安全分区设计来确定，即根据业务和信息敏感度定义安全资产，再对安全资产定义安全策略和安全级别，对于安全策略和级别相同的安全资产，就可以认为属于同一安全区域。通过在云安全边界上设置边界控制器来控制对云安全边界内部网络的访问，特殊的，根据在实际应用中对安全资产的保护方式，也存在能通过边界控制器但不能进入云安全边界保护的区域内部的访问请求的情况，这需要设计者根据实际问题来对边界控制器进行设置，详见下文。

在本发明的实施例中，在第一云安全边界1上设置有第一边界控制器，允许用户群中具有权限的用户以及流媒体提供商进入第一云安全边界内，其中用户群设置于用户群云安全边界内，在用户群云安全边界上设置有用户边界控制器，该用户边界控制器允许本发明的分布式密钥管理系统生成用户的业务请求信息对应的反馈信息进入用户群云安全边界内部。在第一云安全边界内，该密钥管理系统进一步划分为：认证授权模块11，流媒体加密模块12与密钥管理模块13。

如图1所示，密钥管理模块13设置于第二云安全边界2内，在第二云安全边界上设置有第二边界控制器，通过设置访问权限，该第二边界控制器允许认证授权模块11以及流媒体加密模块12生成的数据信息进入第二云安全边界2内部，但禁止用户和流媒体提供方进入第二云安全边界2内部，有效地提高了密钥管理模块的安全防护能力。其中，流媒体提供方设置于流媒体云安全边界内，在流媒体云安全边界上还设置有流媒体边界控制器，该流媒体边界控制器允许本发明的分布式密钥管理系统生成的进入流媒体边界提取流媒体文件用于加密。

需要说明的是，用户群中具有权限的用户以及流媒体提供方经第一边界控制器授权进入第一云安全边界内部后，还需要经第二边界控制器授权才能访问认证授权模块11和流媒体加密模块12。在第二云安全边界内，密钥管理模块13进一步划分为密钥生成与控制服务器131(Distributed Key Distribution Center，DKDC)、密钥存储与恢复服务器群132及业务类型选择服务器133。

进一步如图1所示，密钥存储与恢复服务器群132设置于第三云安全边界3内，在第三云安全边界3上设置有第三边界控制器，通过设置访问权限，该第三边界控制器只允许密钥生成与控制服务器131生成的数据信息进入第三云安全边界内部。

图2为根据本发明实施例一的云环境下流媒体的分布式密钥管理方法的流程示意图，以下结合图1和图2说明本发明实施例一中业务密钥的生成与业务密钥的分布式存储的过程。

在步骤S210中，密钥生成与控制服务器131初始化Socket实例，监听端口，等待流媒体加密模块12的加密请求，该加密请求具有进入第二云安全边界的权限。

如果流媒体提供方需要对流媒体文件进行加密以获得数字版权的保护，其首先将需要进行数字版权保护的流媒体文件通过用于传输文件的，流媒体提供方与流媒体的分布式密钥管理系统之间的安全通道传输至第一云安全边界1的第一边界控制器处，第一边界控制器对该流媒体提供方的权限进行验证，若该流媒体提供商具有使用分布式密钥管理系统的权限，则第一边界控制器允许该流媒体提供方提供的流媒体文件进入第一云安全边界内部。流媒体加密模块12基于该流媒体文件生成加密请求。

需要注意的是，进入第一云安全边界内部的流媒体文件需要经第二云安全边界上的第二边界控制器进行权限审核，当该流媒体文件具有通过第二边界控制器所需要的权限时，流媒体加密模块12(流媒体加密服务器)将待加密的流媒体文件进行暂存。

在步骤S220中，密钥生成与控制服务器131在监听到流媒体加密模块12的加密请求后即与流媒体加密模块12建立连接并接收其发送的加密请求，该加密请求中包括有流媒体文件的服务号和业务号。密钥生成与控制服务器231通过服务号能够判断出业务的类型，例如是点播、直播或者是其他业务等。通过流媒体文件的业务号能够确定待加密流媒体文件的端口号(Port ID，PID)。

在步骤S230中，密钥生成与控制服务器131生成与加密请求对应的业务密钥及校验信息，并将包括业务密钥、流媒体文件的业务号与校验信息的反馈信息通过第二边界控制器发送至流媒体加密模块12。

具体的，密钥生成与控制服务器131根据获取的流媒体文件的PID，生成对应的业务密钥及其校验信息，该校验信息用于对业务密钥进行校验。

在步骤S240中，流媒体加密模块12利用业务密钥对暂存的流媒体文件进行加密。

在本发明的一个实施例中，流媒体加密模块12采用云平台中常用的Spark架构对流媒体文件进行加密处理。同时，根据流媒体加密模块12对流媒体文件进行加密的速度的要求，上述交互过程采用基于TCP的交互。

进一步地，流媒体加密模块12将加密后的流媒体文件传送回流媒体提供商服务器进行存储。

在步骤S250中，在密钥生成与控制服务器131生成业务密钥后，将对业务密钥进行分布式存储。分布式存储将业务密钥划分为多个密钥份额，分别存储在多个不同的服务器，可以提高存储的安全性。

具体的，密钥生成与控制服务器131通过选取域中的多项式将业务密钥划分为若干个设定的份额，并通过密钥管理模块13内部的，密钥生成与控制服务器131与密钥存储与恢复服务器群132之间的安全通道将业务密钥的设定的份额分配给密钥存储与恢复服务器群132中的若干个服务器。

首先，密钥生成与控制服务器131通过选取域GF(q)中的多项式将业务密钥划分为若干个设定的份额。例如，可以根据如表达式(1)所示的多项式对份额进行划分：

f(x)＝a₀+a₁x+...+a_k-1x^k-1 (1)

其中，a₀＝s,s表示业务密钥，k表示门限值，该表达式的含义是：通过对式中x进行赋值将业务密钥s划分为若干份额，即有多少个x参与赋值，则将业务密钥s划分为多少个份额，而门限值k表示恢复业务密钥s所需的最少份额数。

然后，密钥生成与控制服务器131在域GF(q)中选取n个数{x₁,x₂,...,x_n}，根据这n个数计算n个业务密钥份额{f(x₁),f(x₂)...,f(x_n)}。

最后，密钥生成与控制服务器131通过密钥管理模块13内部的安全通道将业务密钥的设定的份额分配给密钥存储与恢复服务器群中的n个服务器。

在步骤S260中，密钥生成与控制服务器131计算插值参数，即拉格朗日插值算法中的插值参数，并将插值参数也传递给存储与恢复服务器群才能完成密钥的分配。具体的，根据表达式(2)计算拉格朗日插值参数，

在本发明的实施例中，利用密钥生成与控制服务器直接将插值参数计算出。需要说明的是，在现有技术中，若用户需要得到该拉格朗日参数，用户端服务器需要对选取的n个数{x₁,x₂,...,x_n}代入表达式(2)进行计算，所以采用本发明的密钥管理方法，能够有效缓解需要获取流媒体文件的用户端服务器的计算压力，这也解决了用户端服务器计算能力不足导致客户体验度差的问题。

计算得到的插值参数由密钥生成与控制服务器131通过广播方式发送至密钥存储与恢复服务器群中的各服务器。

最后，在步骤S270中，由密钥存储与恢复服务器群存132储业务密钥的若干个设定的业务密钥份额和插值参数。

在本发明的实施例一生成业务密钥并将生成的业务密钥进行安全存储的系统和方法中，由密钥生成与控制服务器直接计算恢复密钥所需的插值参数并广播给密钥存储与恢复服务器群，避免了用户端服务器计算能力不足导致的计算插值参数慢的问题。

图3为根据本发明又一实施例的云环境下流媒体的分布式密钥管理方法的流程示意图，以下结合图1和图3说明本发明实施例一中业务密钥的恢复与安全分发的过程。

如果用户请求的流媒体文件的相关业务是采用实施例一中的密钥管理系统进行加密后的，则用户需要得到加密该流媒体文件的业务密钥才能获取相关服务，即用户需要向密钥管理系统的认证授权模块11发送业务请求。

如图3所示，在步骤S310中，认证授权模块11接收用户的业务请求，对用户的权限进行认证，并生成与业务请求对应的会话密钥。

具体的，用户的业务请求需要通过第一云安全边界的第一边界控制器进行身份认证后才能进入第一云安全边界内部，即用户进入第一云边界的条件是，该用户需要有一个安全的身份验证信息。当该业务请求进入第一云安全边界内部后还需要通过第二云安全边界的第二边界控制器的授权才能访问认证授权模块11，但该业务请求不能进入第二云安全边界内部，即业务请求通过第二边界控制器2的条件是，用户需要具有对资源进行访问的权限。

认证授权模块11对用户的权限进行认证主要是判断用户是否具有对其请求的具体的流媒体文件对应的权限，例如判断用户是否具有有效的授权证书。

用户的业务请求中一般包括流媒体文件的服务号、业务号和用户的ID等信息，其中流媒体文件的服务号以及业务号告知认证授权模块11用户请求的是哪些流媒体文件，用户的ID告知认证授权模块11将与用户的业务请求对应的会话密钥返回给谁。

在步骤S320中，认证授权模块11通过用于传输会话密钥的，流媒体的分布式密钥管理系统与用户群之间的安全通道将会话密钥反馈至请求业务的用户端，并由用户端存储该会话密钥。

在步骤S330中，认证授权模块11将会话密钥和与业务请求对应的流媒体文件的服务号与业务号、用户的ID等信息转发至密钥生成与控制服务器131。

在步骤S340中，密钥生成与控制服务器131根据与业务请求对应的流媒体文件的服务号、流媒体文件的业务号确定需要恢复的业务密钥，选取并指定用于恢复业务密钥的密钥存储与恢复服务器。

在步骤S350中，密钥生成与控制服务器131以广播的形式将包括会话密钥、用于恢复业务密钥的密钥存储与恢复服务器的ID、需要提供份额的若干个密钥存储与恢复服务器的集合与流媒体文件的业务号的指示信息发送至密钥存储与恢复服务器群132，上述指示信息需要具有通过第三云安全边界的第三边界控制器的权限。

在步骤S360中，密钥存储与恢复服务器群132中存储有业务密钥的份额的若干个密钥存储与恢复服务器通过密钥存储与恢复服务器群内部的，各密钥存储与恢复服务器之间的安全通道将其各自的份额发送至被指定的用于恢复业务密钥的密钥存储与恢复服务器。

在步骤S370中，用于恢复业务密钥的密钥存储与恢复服务器基于接收的各份额并结合自己的份额与差值参数恢复得到业务密钥。

具体为，用于恢复业务密钥的密钥存储与恢复服务器接收其他服务器发送来的份额，并据如表达式(3)所示的拉格朗日插值公式计算业务密钥：

在步骤S380中，用于恢复业务密钥的密钥存储与恢复服务器利用会话密钥加密恢复得到的业务密钥并将加密后的业务密钥发送至密钥生成与控制服务器131。

在步骤S390中、密钥生成与控制服务器131通过用于传输业务密钥的，流媒体的分布式密钥管理系统与用户群之间的安全通道将加密后的业务密钥发送至请求业务的用户端。

进一步地，用户在分别得到会话密钥以及加密后的业务密钥后，利用会话密钥对加密后的业务密钥进行解密后，得到业务密钥，再利用业务密钥解密请求的流媒体文件。

还需要说明的是，上述业务密钥的恢复过程基于门限理论进行设计，门限理论如下：假设k，n为正整数且k小于等于n，则一个(k,n)门限方案是指一个使n个参与者共享密钥的方法，即任何k个参与者都能共同计算出密钥，但是任何k-1个参与者都不能计算出密钥，这里的k即为门限值。

在本发明的实施例一的密钥管理系统和方法中，为实现对业务密钥的恢复和安全分发，在消除了用户需要直接访问密钥存储与恢复服务器群中的多个服务器带来的链路时间延迟和用户终端计算能力不足的问题的同时也极大的提高了密钥管理安全性，并且该系统不依赖于智能卡等硬件设备及第三方证书还能降低流媒体业务提供商的成本。

当流媒体服务提供商的业务增加时，为缓解密钥管理模块13的计算压力，在本发明的另一个实施例中，通过增加业务类型选择服务器来实现功能扩展，如图1所示，业务类型选择服务器133设置在第二云安全边界的边界控制器与密钥生成与控制服务器131之间。

在对流媒体文件进行加密时，业务类型选择服务器133接收业务请求或流媒体加密模块12发送的加密请求，对加密请求进行筛选，根据该加密请求中流媒体的业务号来判断流媒体的业务类型，以方便密钥管理模块迅速生成与加密请求对应的业务密钥并发送给流媒体加密模块12。

在对用户的业务请求进行响应时，业务类型选择服务器133接收认证授权模块11发送的会话密钥与转发的业务请求，根据业务请求中所包括的服务号判断业务类型，再将会话密钥和与业务请求对应的流媒体服务号、流媒体业务号、用户的ID及会话密钥信息转发给密钥生成与控制服务器131。

在实际用户进行业务请求时，其业务包括的业务类型众多，通过增加业务类型选择服务器133，根据实际的业务请求情况快速判断流媒体的业务类型，方便密钥生成与控制服务器131根据流媒体的业务类型快速进行相应的密钥管理工作，极大的提高了密钥管理的效率。

实施例二：

当请求服务的用户数量增加时，为进一步为缓解密钥管理模块13的工作压力，通过对密钥生成与控制服务器131的部分功能进行扩展来提升密钥管理系统的性能，如图4所示。

图4为根据本发明再一实施例的云环境下流媒体的分布式密钥管理系统的结构示意图，在图1的基础上，增加密钥输出控制模块134帮助密钥生成与控制服务器131分配采用会话密钥加密后的业务密钥。

具体的，该密钥输出控制模块134包括若干个密钥输出控制服务器组成的服务器群，设置于第四云安全边界4内，该第四云安全边界的第四边界控制器设置为只允许密钥生成与控制服务器131和认证授权模块11生成的数据信息进入，即认证授权模块11将会话密钥和与业务请求对应的流媒体文件的服务号与业务号、用户的ID等信息转发至密钥输出控制模块134，由密钥输出控制模块134将经会话密钥加密的业务密钥分配给用户。这里需要说明的是，密钥输出控制模块134不参与业务密钥的生成和存储，其只用于帮助密钥生成与控制服务器131将经会话密钥加密的业务密钥分配给用户，根据实际的网络安全需要，也可以将第四安全边界内的每个密钥输出控制服务器设置在单独的云安全边界内。

通过设置密钥输出控制服务器群，能够有效突破密钥生成与控制服务器131在转发加密的业务密钥时的性能瓶颈，显著地提升密钥管理系统的性能。

另外，容易理解的是，还可以通过增加密钥存储与恢复服务器群132中的服务器的数量实现对密钥存储与恢复服务器群中的服务器的扩展，以便缓解对业务密钥进行存储、恢复以及用会话密钥加密业务密钥时的计算压力，进而提升密钥管理系统的性能。

虽然本发明所揭露的实施方式如上，但所述的内容只是为了便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属技术领域内的技术人员，在不脱离本发明所揭露的精神和范围的前提下，可以在实施的形式上及细节上作任何的修改与变化，但本发明的专利保护范围，仍须以所附的权利要求书所界定的范围为准。

Claims (10)

1.一种云环境下流媒体的分布式密钥管理系统，其特征在于，所述密钥管理系统设置于第一云安全边界内，该系统包括：

认证授权模块，设置为接收用户端发送的业务请求，对所述用户端的权限进行认证，并生成与所述业务请求对应的会话密钥，通过安全通道将所述会话密钥反馈至请求业务的用户端，同时将所述会话密钥与业务请求转发至密钥管理模块；

流媒体加密模块，设置为接收流媒体提供方发送的流媒体文件加密请求，并将所述加密请求转发至所述密钥管理模块；

密钥管理模块，其设置于第二云安全边界内，设置为基于所述加密请求生成业务密钥，并将包括所述业务密钥的反馈信息发送至所述流媒体加密模块，以供所述流媒体加密模块利用所述业务密钥对流媒体文件进行加密；

其中，所述密钥管理模块还设置为对所述业务密钥进行分布式存储，并对分布式存储的业务密钥进行恢复，利用所述会话密钥对恢复得到的业务密钥进行加密，并通过安全通道将加密后的业务密钥发送至请求业务的用户端。

2.如权利要求1所述的系统，其特征在于，所述密钥管理模块包括：

密钥生成与控制服务器，其与设置于第二云安全边界上的边界控制器相连接，设置为监听所述流媒体加密模块的加密请求，生成与所述加密请求对应的业务密钥，并将包括所述业务密钥的反馈信息发送至流媒体加密模块；同时通过安全通道将所述业务密钥以设定的份额分配给密钥存储与恢复服务器群中的若干个服务器；

密钥存储与恢复服务器群，其设置于第三云安全边界内，设置为接收并存储所述密钥生成与控制服务器为其分配的设定份额的业务密钥。

3.如权利要求2所述的系统，其特征在于，所述加密请求包括服务号与流媒体文件的业务号，所述反馈信息包括业务密钥、校验信息以及流媒体文件的业务号。

4.如权利要求2或3所述的系统，其特征在于，所述密钥生成与控制服务器还设置为，在向密钥存储与恢复服务器群中的若干个服务器分配设定份额的业务密钥时，同步发送流媒体文件的业务号；计算插值参数并将所述插值参数广播至所述密钥存储与恢复服务器群。

5.如权利要求2所述的系统，其特征在于，

所述密钥生成与控制服务器还设置为，接收所述认证授权模块发送的会话密钥与业务请求，根据所述业务请求确定需要恢复的业务密钥，选取并指定用于恢复所述业务密钥的密钥存储与恢复服务器，同时以广播的形式将包括所述会话密钥的指示信息发送至密钥存储与恢复服务器群；

所述密钥存储与恢复服务器群中的若干个密钥存储与恢复服务器存储有所述业务密钥的份额，所述若干个密钥存储与恢复服务器设置为通过安全通道将其各自的份额发送至被指定的用于恢复所述业务密钥的密钥存储与恢复服务器，该被指定的密钥存储与恢复服务器设置为基于接收的各份额并结合自身的份额与插值参数对业务密钥进行恢复，利用所述会话密钥加密恢复得到的业务密钥并将加密后的业务密钥发送至密钥生成与控制服务器；

所述密钥生成与控制服务器还设置为通过安全通道将加密后的业务密钥发送至请求业务的用户端。

6.如权利要求5所述的系统，其特征在于，所述指示信息包括会话密钥、用于恢复所述业务密钥的密钥存储与恢复服务器的ID、需要提供份额的若干个密钥存储与恢复服务器的集合与流媒体文件的业务号。

7.如权利要求2或5所述的系统，其特征在于，所述密钥管理模块还包括：

业务类型选择服务器，设置于第二云安全边界上的边界控制器与密钥生成与控制服务器之间，设置为接收所述认证授权模块发送的会话密钥与业务请求或所述流媒体加密模块发送的加密请求，根据所述业务请求或所述加密请求中所包括的服务号来判断业务类型。

8.如权利要求1至7中任一项所述的系统，其特征在于，所述密钥管理系统还包括：

密钥输出控制模块，其包括由若干个密钥输出控制服务器组成的服务器群，设置于第四云安全边界内；设置为在所述密钥管理系统响应所述用户端的业务请求时，接收所述密钥管理模块发送的加密后的业务密钥，并通过安全通道将所述加密后的业务密钥发送至请求业务的用户端。

9.一种基于如权利要求2至7中任一项所述的系统的密钥管理方法，其特征在于，包括：

密钥生成与控制服务器初始化Socket实例，监听端口，等待流媒体加密模块的加密请求；

所述密钥生成与控制服务器与所述流媒体加密模块建立连接并接收加密请求；

所述密钥生成与控制服务器生成与所述加密请求对应的业务密钥及校验信息，并将包括业务密钥、流媒体文件的业务号与校验信息的反馈信息发送至流媒体加密模块；

所述流媒体加密模块利用所述业务密钥对流媒体文件进行加密；

所述密钥生成与控制服务器通过选取域中的多项式将所述业务密钥划分为若干个设定的份额，并通过安全通道将所述业务密钥的设定的份额分配给密钥存储与恢复服务器群中的若干个服务器；

所述密钥生成与控制服务器计算插值参数并将所述插值参数广播至密钥存储与恢复服务器群；

所述密钥存储与恢复服务器群存储所述业务密钥的若干个设定的份额与所述插值参数。

10.一种基于如权利要求2至7中任一项所述的系统的密钥管理方法，其特征在于，包括：

认证授权模块接收用户端发送的业务请求，对所述用户端的权限进行认证，并生成与所述业务请求对应的会话密钥；

所述认证授权模块通过安全通道将所述会话密钥反馈至请求业务的用户端；

所述认证授权模块将所述会话密钥与业务请求转发至密钥生成与控制服务器；

所述密钥生成与控制服务器根据所述业务请求确定需要恢复的业务密钥，选取并指定用于恢复所述业务密钥的密钥存储与恢复服务器；

所述密钥生成与控制服务器以广播的形式将会话密钥、用于恢复所述业务密钥的密钥存储与恢复服务器的ID、需要提供份额的若干个密钥存储与恢复服务器的集合与流媒体文件的业务号发送至密钥存储与恢复服务器群；其中，所述密钥存储与恢复服务器群中包括存储有所述业务密钥的份额的若干个密钥存储与恢复服务器；

各密钥存储与恢复服务器通过安全通道将其各自的份额发送至被指定的用于恢复所述业务密钥的密钥存储与恢复服务器；

所述用于恢复所述业务密钥的密钥存储与恢复服务器基于接收的份额并结合自身的份额与差值参数对业务密钥进行恢复；

所述用于恢复所述业务密钥的密钥存储与恢复服务器利用所述会话密钥加密恢复得到的业务密钥并将加密后的业务密钥发送至所述密钥生成与控制服务器；

所述密钥生成与控制服务器通过安全通道将加密后的业务密钥发送至请求业务的用户端。