CN113014590A

CN113014590A - 一种加密流媒体网络流量的解密方法和装置

Info

Publication number: CN113014590A
Application number: CN202110249218.0A
Authority: CN
Inventors: 方顺建; 付明卫; 唐浩; 卢文朋
Original assignee: Zhongdian Jizhi Hainan Information Technology Co Ltd
Current assignee: Jizhi Hainan Information Technology Co ltd
Priority date: 2021-03-08
Filing date: 2021-03-08
Publication date: 2021-06-22
Anticipated expiration: 2041-03-08
Also published as: CN113014590B

Abstract

本发明公开了一种加密流媒体网络流量的解密方法，包括以下步骤：步骤S1：音视频媒体索引文件识别和信息回传，解密密钥识别和信息回传,音视频媒体分段内容识别和信息回传；步骤S2：接收流量审计设备回传的索引文件信息，提取索引文件中每个媒体分段的路径标识，涉及高速网络流量深度分析‑音视频流媒体还原‑加密流媒体内容还原技术领域。该加密流媒体网络流量的解密方法本方案面向旁路部署形式的网络流量审计需求，具有很强的实时性，能够实时构建索引、查询索引，实现内容解密，以便及时发现网络流量中存在的有害信息、泄密隐患等，以便用户能够及时采取相应措施。

Description

一种加密流媒体网络流量的解密方法和装置

技术领域

本发明涉及高速网络流量深度分析-音视频流媒体还原-加密流媒体内容还原技术领域，具体为一种加密流媒体网络流量的解密方法和装置。

背景技术

随着Internet的飞速发展和网上多媒体应用的普及，数字版权和隐私权的保护已成了一个愈来愈令人关注的问题，媒体资源的版权保护也就成了一个热点的研究课题，而加密技术是保护媒体资源安全最重要的技术手段之一，越来越多的音视频服务提供商正转变为付费服务，付费观看音视频是很多服务商的核心业务，通过音视频付费服务，能够有效阻止视频被非法录制传播，使得被保护的音视频不能被轻易地非法下载，从而保护视频服务商的合法权益，同时，多媒体技术的快速发展和日益增长的人均带宽，使得互联网单体资源的体积越来越大，为了充分利用带宽资源、提高用户体验，互联网内容提供商使用了非常多的传输优化技术，加速网络内容的传输，提升终端用户的体验，碎片化传输应运而生，其本质是将体积较大的数据在应用层上化整为零，分片传输，因此，以HLS协议(苹果公司提出的一套基于HTTP的流媒体传输协议HTTP Live Streaming，可以实现动态码率自适应技术，主要用于PC和Apple终端的音视频服务)为代表的碎片化传输的流媒体加密技术应运而生。

但是，网络中充斥着暴力、反动、色情等不良音视频内容，为了能够审查网络中存在的不良音视频流量，限制不良音视频的传播，目前的网络流量审计设备都是以旁路形式部署，主要面向明文传输的内容，流媒体加密技术给音视频内容的审查带来巨大挑战，专利CN200910237597.0《一种流媒体数据传输的系统、方法及装置》提出了一种基于“客户端—服务器”模型的流媒体加密、解密方法，对客户端请求服务端的音视频内容时的加密、解密方案进行了详细介绍，站在提供音视频服务的角度进行了阐述，专利CN201210022359.X《一种流媒体的加密、解密方法和装置》从音视频切片的角度，对音视频的加密、解密流程进行了阐述，是一种碎片化音视频传输的加解密方法，专利CN201611192815.X《一种基于HLS协议的细粒度流媒体视频加密,解密方法》提出了一种对HLS协议流媒体加密的一种优化算法，使用视频分片加密、索引文件加密、索引密钥加密三层加密算法提高流媒体传输的安全性。

以上技术方案大都从提供服务的角度对流媒体音视频加密进行阐述，客户端通过服务授权，从服务端获取解密密钥，按照服务端约定的流程即可完成视频内容解密，从网络流量审查的角度，处在中间节点的流量审计设备是被动获取网络流量的，无法与服务端交互取得授权，因此以上流媒体加解密算法无法应用于旁路流量审计系统：

1.旁路部署的网络流量审计设备，无法感知每一个客户端的所有动作，客户端请求音视频内容时，常以多个会话分别获取索引文件、加密密钥、音视频内容等，处在中间节点的流量审计设备无法以客户端的角色直接获取相关联的内容，进而无法进行解密；

2.网络流量路由、分光、CDN部署等原因，导致一组相关的碎片化音视频相关内容被分散到了多台流量审计设备，流量不完整情况下无法对流媒体进行解密。

发明内容

(一)解决的技术问题

针对现有技术的不足，本发明提供了一种加密流媒体网络流量的解密方法，解决了上流媒体加解密算法无法应用于旁路流量审计的问题。

(二)技术方案

为实现以上目的，本发明通过以下技术方案予以实现：一种加密流媒体网络流量的解密方法，包括以下步骤：

步骤S1：音视频媒体索引文件识别和信息回传，解密密钥识别和信息回传,音视频媒体分段内容识别和信息回传；

步骤S2：接收流量审计设备回传的索引文件信息，提取索引文件中每个媒体分段的路径标识，以媒体分段标识ID为键，以解密密钥标识ID、Method、IV为属性值，写入key-value数据库，建立索引；

步骤S3：接收流量审计设备回传的解密密钥信息，计算解密密钥的URL和客户端IP地址组合后的哈希值，以解密密钥的标识ID为键，以密钥内容为值，写入key-value数据库，建立索引；

步骤S41：对索引文件的URL进行拆分，分别提取其域名、虚拟目录、文件名三个元素；

步骤S42：以”/”为分隔符，将索引文件URL提取的域名、虚拟目录及解密密钥或媒体分段的文件名三者进行拼接，作为结果输出；

步骤S43：将索引文件URL提取的域名、解密密钥或媒体分段的URI进行拼接，作为结果输出；

步骤S44：去掉URL中的协议前缀，将剩余部分作为结果；

步骤S5：接收流量审计设备回传的媒体分段内容信息，提取媒体分段内容的URL，计算媒体分段URL和客户端IP地址组合的哈希值，以媒体分段标识ID为键，检索key-value数据库，获取解密密钥属性值，提取Method、IV及解密密钥标识ID，以解密密钥标识ID为键，检索key-value数据库，获取解密密钥的内容，输入解密密钥内容、IV，根据加密算法Method，调用相关的解密算法库，对媒体分段内容进行解密，获取原始音视频内容。

进一步地，所述S1步骤中索引文件识别和信息回传，根据URL、Content-Type、响应内容等字段的特征，识别媒体分段索引文件，并回传URL、索引文件内容到索引构建节点。

进一步地，所述步骤S1中的解密密钥识别和信息回传，根据URL、Content-Type、应答侧内容等字段的特征，识别解密密钥，并回传URL、密钥内容到索引构建节点。

进一步地，所述步骤S1中的音视频媒体分段内容识别和信息回传，根据URL、Content-Type、响应内容等字段的特征，识别媒体分段内容，并回传URL、媒体分段内容到内容解密节点。

进一步地，所述步骤S2中的接收流量审计设备回传的索引文件信息，从索引文件中提取字段名“EXT-X-KEY”，并提取Method、URI、IV三个属性，并根据步骤S41构建解密密钥URL，计算解密密钥URL和客户端IP地址的组合的哈希值作为解密密钥标识ID KeyID_index；

KeyID_index＝HASH(URL_{key_idx}+ClientIP)。

进一步地，所述步骤S2中的提取索引文件中每个媒体分段的路径标识，根据步骤S41构建媒体分段URL，计算媒体分段URL和客户端IP地址组合的哈希值作为媒体分段标识ID SegID_index；

SegID_index＝HASH(URL_{seg_idx}+ClientIP)。

进一步地，所述步骤S3中的哈希值作为解密秘钥的标识ID KeyID_flow；

KeyID_flow＝HASH(URL_{key_flow}+ClientIP)。

进一步地，所述步骤S41中对索引文件的URL进行拆分时，若解密密钥或媒体分段URI为单一文件名，则采用步骤S42进行构建；否则，若URI含有虚拟目录，则采用步骤S43进行构建；否则，URI是绝对路径，采用步骤S44进行构建。

进一步地，所述步骤S5中的哈希值作为媒体分段标识ID SegID_flow；

SegID_flow＝HASH(URL_{seg_flow}+ClientIP)。

本发明还提供一种加密流媒体网络流量的解密装置，包括：流量审计设备、索引构建节点、内容解密节点和key-value数据库，所述流量审计设备的输出端与所述索引构建节点的输入端电性连接，所述流量审计设备的输出单与所述内容解密节点的输入端电性连接，所述索引构件节点的输出端与所述key-value数据库的输入端电性连接，所述key-value数据库的输出端与所述内容解密节点的输入端电性连接。

(三)有益效果

本发明具有以下有益效果：

(1)、该加密流媒体网络流量的解密方法，本方案面向旁路部署形式的网络流量审计需求，具有很强的实时性，能够实时构建索引、查询索引，实现内容解密，以便及时发现网络流量中存在的有害信息、泄密隐患等，以便用户能够及时采取相应措施。

(2)、该加密流媒体网络流量的解密方法，通过自适应多链接、多会话传输，通过设计媒体分段标识ID、解密密钥标识ID的关联方案，将解密密钥存储于键值数据库，能够适应流量分布在多台流量审计设备、多个TCP链接、多个应用层会话的情况，有效解决了流量分散的问题。

当然，实施本发明的任一产品并不一定需要同时达到以上所述的所有优点

附图说明

图1为本发明提供的结构示意图加密流媒体网络流量的解密装置的系统框图；

图2为本发明提供的索引构建过程的流程图；

图3为本发明提供的key-value数据库设备在使用时的安装设备的结构示意图；

图4为图3所示A部的放大图；

图5为图3所示B部的放大图；

图6为图3所示的穿线板部分的结构示意图。

图中：1-柜体、11-柜门、12-装线孔、13-安装孔、2-固定架、21-升降架、22-限位块、3-调节电机、31-调节盘、32-传动轴、33-传动架、34-传动孔、4-限位滑轴、41-限位弹簧、5-穿线板、51-安插孔、52-连接孔、53-限位孔、54-定位槽、6-定位销。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要理解的是，术语“开孔”、“上”、“下”、“厚度”、“顶”、“中”、“长度”、“内”、“四周”等指示方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的组件或元件必须具有特定的方位，以特定的方位构造和操作，因此不能理解为对本发明的限制。

请参阅图1-6，本发明实施例提供一种技术方案：

一种加密流媒体网络流量的解密方法，包括以下步骤：

步骤S2：接收流量审计设备回传的索引文件信息，提取索引文件中每个媒体分段的路径标识-URI，以媒体分段标识ID为键-key，以解密密钥标识ID、Method、IV为属性值-value，写入key-value数据库，建立索引；

步骤S3：接收流量审计设备回传的解密密钥信息，计算解密密钥的URL和客户端IP地址组合后的哈希值，以解密密钥的标识ID为键-key，以密钥内容为值value，写入key-value数据库，建立索引；

步骤S41：对索引文件的URL进行拆分，分别提取其域名-主机名、虚拟目录、文件名三个元素；

步骤S44：去掉URL中的协议前缀，如“http://”，将剩余部分作为结果；

步骤S5：接收流量审计设备回传的媒体分段内容信息，提取媒体分段内容的URL，计算媒体分段URL和客户端IP地址组合的哈希值，以媒体分段标识ID为键-key，检索key-value数据库，获取解密密钥属性值，提取Method、IV及解密密钥标识ID，以解密密钥标识ID为键-key，检索key-value数据库，获取解密密钥的内容，输入解密密钥内容、IV，根据加密算法Method，调用相关的解密算法库，对媒体分段内容进行解密，获取原始音视频内容。

所述S1步骤中索引文件识别和信息回传，根据URL、Content-Type、响应内容等字段的特征，识别媒体分段索引文件，并回传URL、索引文件内容到索引构建节点。

字段特征包括不限于：

1)URL文件名后缀为“.m3u8”等；

2)Content-Type类型为“vnd.apple.mpegurl”等；

3)响应内容包括“#EXTINF”、“#EXT-X-*”等关键词。

所述步骤S1中的解密密钥识别和信息回传，根据URL、Content-Type、应答侧内容等字段的特征，识别解密密钥，并回传URL、密钥内容到索引构建节点。

字段特征包括不限于：

1)URL文件名后缀为“.key”等；

2)响应内容特征为16字节二进制等。

所述步骤S1中的音视频媒体分段内容识别和信息回传，根据URL、Content-Type、响应内容等字段的特征，识别媒体分段内容，并回传URL、媒体分段内容到内容解密节点。

字段特征包括不限于：

1)URL文件名后缀为“.ts”等；

2)Content-Type类型为“video/mp2t”等；

3)响应内容符合ts文件头部特征等。

所述步骤S2中的接收流量审计设备回传的索引文件信息，从索引文件中提取字段名“EXT-X-KEY”，并提取Method、URI、IV三个属性，并根据步骤S41构建解密密钥URL，计算解密密钥URL和客户端IP地址的组合的哈希值作为解密密钥标识ID KeyID_index；

KeyID_index＝HASH(URL_key__idx+ClientIP)。

所述步骤S2中的提取索引文件中每个媒体分段的路径标识，根据步骤S41构建媒体分段URL，计算媒体分段URL和客户端IP地址组合的哈希值作为媒体分段标识IDSegID_index；

SegID_index＝HASH(URL_{seg_idx}+ClientIP)。

所述步骤S3中的哈希值作为解密秘钥的标识ID KeyID_flow；

KeyID_flow＝HASH(URL_{key_flow}+ClientIP)。

所述步骤S41中对索引文件的URL进行拆分时，若解密密钥或媒体分段URI为单一文件名，则采用步骤S42进行构建；否则，若URI含有虚拟目录，则采用步骤S43进行构建；否则，URI是绝对路径，采用步骤S44进行构建。

所述步骤S5中的哈希值作为媒体分段标识ID SegID_flow；

SegID_flow＝HASH(URL_{seg_flow}+ClientIP)。

通过识别索引文件、解密密钥、媒体分段内容，解析索引文件内容，建立“音视频媒体分段标识ID与解密密钥信息”、“解密密钥标识ID与密钥内容”两层关联关系，构建全局索引，实现加密流媒体相关内容的单点汇聚，完成流媒体的解密。

通过拆分索引文件URL，提取索引文件“EXT-X-KEY”属性，提取媒体分段路径URI，生成媒体分段标识ID、解密密钥标识ID，构建连同解密密钥内容在内三者的两层级联关系，能够与用户访问实际资源计算得到的标识ID达成一致，最终实现根据加密音视频流量信息获取解密密钥，完成内容解密；

全局视角的索引框架，采用全局索引构建索引关系，支持机群式流量接入，能够将分布在多台流量审计设备、多个TCP链接、多个应用层会话中的音视频媒体分段、解密密钥内容进行单节点汇聚，在单台解密节点上还原原始音视频内容。

一种加密流媒体网络流量的解密装置，包括：流量审计设备、索引构建节点、内容解密节点和key-value数据库，所述流量审计设备的输出端与所述索引构建节点的输入端电性连接，所述流量审计设备的输出单与所述内容解密节点的输入端电性连接，所述索引构件节点的输出端与所述key-value数据库的输入端电性连接，所述key-value数据库的输出端与所述内容解密节点的输入端电性连接。

加密流媒体的解密主要分为四个节点：

1.流量审计设备负责原始网络流量的处理，识别加密音视频流量三要素，即索引文件、解密密钥、音视频媒体分段，并提取三者的内容；

2.索引构建节点负责两方面索引构建，一是完成索引文件的信息抽取，建立音视频媒体分段标识ID与解密密钥之间的关联，二是完成解密密钥标识ID与密钥内容的关联；

3.内容解密节点，根据音视频媒体分段标识ID检索解密密钥信息，完成音视频内容解密；

4.key-value数据库，负责存储全局索引信息，提供关联信息检索。

索引构建节点主要完成两部分内容的索引构建，如图2所示，一是音视频媒体分段标识ID与索引文件中指示的解密密钥之间的映射，即完成索引文件信息提取和索引构建；

二是建立解密密钥标识ID与解密密钥内容之间的映射。

内容解密节点主要完成媒体分段解密信息的检索，根据检索结果进行内容解密，其中，信息检索分为解密密钥信息检索、解密密钥内容检索两部分。

key-value数据库负责维持音视频媒体分段标识ID与解密密钥信息、解密密钥标识ID与解密密钥两种关联关系，以全局索引的形式，实现分布式机群部署时媒体分段内容、索引文件信息、解密密钥三者之间的全局关联映射，该数据库可采用内存数据库进行设计，以key-value形式维持映射关系；

检索操作：响应索引构建节点、内容解密节点发起的检索请求，根据对应标识ID查询数据库，返回属性值；

写入操作：以相应标识ID为key，属性值为value，写入数据库。

本方案面向旁路部署形式的网络流量审计需求，具有很强的实时性，能够实时构建索引、查询索引，实现内容解密，以便及时发现网络流量中存在的有害信息、泄密隐患等，以便用户能够及时采取相应措施；

自适应多链接、多会话传输，通过设计媒体分段标识ID、解密密钥标识ID的关联方案，将解密密钥存储于键值数据库，能够适应流量分布在多台流量审计设备、多个TCP链接、多个应用层会话的情况，有效解决了流量分散的问题。

key-value数据库设备在使用时数据储存服务器需要使用到安装设备，安装设备包括柜体1，柜体1的一侧设置有柜门11，柜体1的一侧设置有装线孔12，柜体1的内壁的底部固定连接有固定架2，固定架2的内表面滑动连接有升降架21，升降架21的内部与固定架2的内部相互连通，升降架21的顶部固定连接有限位块22，固定架2的内壁的底部固定连接有调节电机3，调节电机3的输出端固定连接有调节盘31，调节盘31的一侧固定连接有传动轴32，传动轴32位于调节盘31的非轴线上，升降架21的底部固定连接有传动架33，传动架33上开设有传动孔34，传动孔34的内表面与传动轴32的表面传动连接，柜体1的内壁的一侧固定连接有限位滑轴4，所述限位滑轴4的外表面套设有限位弹簧41，所述限位弹簧41的一侧固定连接有穿线板5，所述穿线板5的表面与所述限位滑轴4的表面滑动连接，穿线板5的表面分别开设有安插孔51、连接孔52和限位孔53，安插孔51的内部与连接孔52的内部相互连通，连接孔52的内部与限位孔53的内部相互连通。

通过在柜体1内壁的底部设置有能够升降调节的升降架21，升降架21方便底部的调节电机3以及传动结构方便对升降架21的使用高度进行微调，从而方便对不同储存服务器设备的接口高度进行微调，以适应穿线板5的使用高度，穿线板5上的限位孔53的尺寸与接线插头的线材尺寸相适配且小于接线插头的尺寸，方便对安插后的接线插头进行限位和防护，提高接线插头接线连接后的稳定性，防止插头松动。

分层设置的限位孔53结构，更方便线材的排布，使得各部分的接口分布更加均匀有条理，需要对接线插头进行拆卸时，只需要从对应分层的限位孔53的内部拆卸即可。

柜体1的顶部开设有安装孔13，穿线板5的顶部开设有定位槽54，安装孔13的内部与定位槽54的内部相适配，安装孔13的内表面和定位槽54的内表现之间设置有定位销6。

穿线板5的表面与柜体1之间设置有定位销6，方便对接线插头完全安装后的穿线板5进行固定，从而保障穿线板5防护时的稳定性，当需要对穿线板5进行活动调节时，将定位销6从上方拔出即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。

以上公开的本发明优选实施例只是用于帮助阐述本发明。优选实施例并没有详尽叙述所有的细节，也不限制该发明仅为所述的具体实施方式。显然，根据本说明书的内容，可作很多的修改和变化。本说明书选取并具体描述这些实施例，是为了更好地解释本发明的原理和实际应用，从而使所属技术领域技术人员能很好地理解和利用本发明。本发明仅受权利要求书及其全部范围和等效物的限制。

Claims

1.一种加密流媒体网络流量的解密方法，其特征在于，包括以下步骤：

步骤S44：去掉URL中的协议前缀，将剩余部分作为结果；

2.根据权利要求1所述的一种加密流媒体网络流量的解密方法，其特征在于：所述S1步骤中索引文件识别和信息回传，根据URL、Content-Type、响应内容等字段的特征，识别媒体分段索引文件，并回传URL、索引文件内容到索引构建节点。

3.根据权利要求1所述的一种加密流媒体网络流量的解密方法，其特征在于：所述步骤S1中的解密密钥识别和信息回传，根据URL、Content-Type、应答侧内容等字段的特征，识别解密密钥，并回传URL、密钥内容到索引构建节点。

4.根据权利要求1所述的一种加密流媒体网络流量的解密方法，其特征在于：所述步骤S1中的音视频媒体分段内容识别和信息回传，根据URL、Content-Type、响应内容等字段的特征，识别媒体分段内容，并回传URL、媒体分段内容到内容解密节点。

5.根据权利要求1所述的一种加密流媒体网络流量的解密方法，其特征在于：所述步骤S2中的接收流量审计设备回传的索引文件信息，从索引文件中提取字段名“EXT-X-KEY”，并提取Method、URI、IV三个属性，并根据步骤S41构建解密密钥URL，计算解密密钥URL和客户端IP地址的组合的哈希值作为解密密钥标识ID KeyID_index；

KeyID_index＝HASH(URL_{key_idx}+ClientIP)。

6.根据权利要求1所述的一种加密流媒体网络流量的解密方法，其特征在于：所述步骤S2中的提取索引文件中每个媒体分段的路径标识，根据步骤S41构建媒体分段URL，计算媒体分段URL和客户端IP地址组合的哈希值作为媒体分段标识ID SegID_index；

SegID_index＝HASH(URL_{seg_idx}+ClientIP)。

7.根据权利要求1所述的一种加密流媒体网络流量的解密方法，其特征在于：所述步骤S3中的哈希值作为解密秘钥的标识ID KeyID_flow；

KeyID_flow＝HASH(URL_{key_flow}+ClientIP)。

8.根据权利要求1所述的一种加密流媒体网络流量的解密方法，其特征在于：所述步骤S41中对索引文件的URL进行拆分时，若解密密钥或媒体分段URI为单一文件名，则采用步骤S42进行构建；否则，若URI含有虚拟目录，则采用步骤S43进行构建；否则，URI是绝对路径，采用步骤S44进行构建。

9.根据权利要求1所述的一种加密流媒体网络流量的解密方法，其特征在于：所述步骤S5中的哈希值作为媒体分段标识ID SegID_flow；

SegID_flow＝HASH(URL_{seg_flow}+ClientIP)。

10.一种加密流媒体网络流量的解密装置，其特征在于，包括：流量审计设备、索引构建节点、内容解密节点和key-value数据库，所述流量审计设备的输出端与所述索引构建节点的输入端电性连接，所述流量审计设备的输出单与所述内容解密节点的输入端电性连接，所述索引构件节点的输出端与所述key-value数据库的输入端电性连接，所述key-value数据库的输出端与所述内容解密节点的输入端电性连接。