CN1744511A

CN1744511A - 一种流媒体服务请求认证方法和系统

Info

Publication number: CN1744511A
Application number: CN 200510086575
Authority: CN
Inventors: 王晔; 夏正勋; 任军
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2005-10-10
Filing date: 2005-10-10
Publication date: 2006-03-08
Anticipated expiration: 2025-10-10
Also published as: CN100373853C

Abstract

本发明涉及一种流媒体服务请求认证方法和系统，其特点在于，扩展统一资源定位器的请求字段，引入系统约定密钥对所述请求字段加密生成校验字段，使媒体内容服务器通过所述请求字段和所述校验字段对流媒体服务请求进行认证，从而防止未经授权的终端对媒体服务的访问，克服容服务器容易受到攻击的问题。

Description

一种流媒体服务请求认证方法和系统

技术领域

本发明涉及多媒体技术领域，涉及一种利用URL(统一资源定位器)请求进行流媒体服务认证的方法和系统。

背景技术

随着网络技术的发展，一种新的媒体技术应运而生，这就是流媒体技术。流媒体是指在网络中使用流式传输技术的连续时基媒体，如音频、视频或多媒体文件。流媒体技术越来越多地应用在音视频点播、监控等领域，如图1所示，通常一套流媒体系统在逻辑上包含客户端101、102、媒体内容服务器103(提供流媒体数据服务)、门户服务器104、105(为流媒体客户端提供流媒体访问路径，可能有多个不同的门户)，流媒体客户端通常从门户服务器获得流媒体访问路径，然后通过访问路径获取流媒体数据(访问路径例如：rtsp：//www.zte.com.cn/sample.3gp)，流程如图2所示，包括：

步骤201，用户请求媒体资源的url；

步骤202，将相应的url返回给终端；

步骤203，终端向媒体内容服务器发送媒体服务请求；

步骤204，媒体内容服务器向终端返回服务信息。

这种流媒体服务请求认证的方法存在以下的不足：

1、媒体内容服务器不再进行认证，这样只要知道媒体访问路径，未经授权的终端也可以访问媒体服务。

2、媒体内容服务器容易受到Replay攻击(攻击者可能截取一次媒体请求，然后利用这些信息不停的请求相同的URL，导致运营商的服务系统崩溃)。

发明内容

本发明所要解决的技术问题是提供一种流媒体服务请求认证方法和系统，解决现有技术易受攻击且未经授权的终端也可以访问媒体服务的问题。

为达到上述目的，本发明提供了一种流媒体服务请求认证方法，其特点在于，扩展统一资源定位器的请求字段，引入系统约定密钥对所述请求字段加密生成校验字段，使媒体内容服务器通过所述请求字段和所述校验字段对流媒体服务请求进行认证，从而防止未经授权的终端对媒体服务的访问。

上述的方法，其特点在于，进一步包括如下步骤：步骤一、客户端访问门户服务器，请求相应媒体服务的统一资源定位器；步骤二、所述门户服务器根据所述客户端请求的时间，生成服务请求有效时间信息；步骤三、所述门户服务器将所述时间信息和标记所述门户服务器的身份的特征信息加入作为请求字段的流媒体资源请求的统一资源定位器中，并结合门户服务器与访问服务器协商的密钥对所述统一资源定位器进行校验运算，并将校验运算结果加入所述校验后的统一资源定位器中；步骤四、所述客户端根据所述校验后的统一资源定位器向所述媒体内容服务器请求流媒体服务；步骤五、所述媒体内容服务器根据所述时间信息和所述校验运算结果允许或拒绝向客户端提供服务。

上述的方法，其特点在于，所述步骤五进一步包括：步骤a，所述媒体内容服务器接收所述校验后的统一资源定位器请求，判断所述时间信息是否当前有效，是则执行步骤b，否则则拒绝服务；步骤b，所述媒体内容服务器保存所述校验运算结果，并对所述校验后的统一资源定位器重新进行校验运算，并将重新校验运算的新结果与所述校验运算结果进行比较，判断所述新结果与所述校验运算结果是否一致，是则向客户端提供服务，否则拒绝服务。

上述的方法，其特点在于，在所述步骤三中还包括，在所述流媒体资源请求的统一资源定位器加入扩展信息，以利于媒体内容服务器与门户服务器的信息传递。

上述的方法，其特点在于，在所述步骤五中还包括，所述媒体内容服务器判断所述扩展信息是否为约定的信息，是则保存所述扩展信息，以便于以后的统计查询；否则拒绝服务。

上述的方法，其特点在于，所述扩展信息为计费字段信息，以利于计费方式的多样化。

上述的方法，其特点在于，所述扩展信息为终端用户信息，在用户访问门户服务器时由门户服务器取得，以区分用户的身份，方便统计。

上述的方法，其特点在于，所述扩展信息为栏目名称信息，以利于服务提供商根据用户访问情况调整服务内容。

上述的方法，其特点在于，所述服务请求有效时间为一分钟。

为了更好的实现本发明的目的，本发明还提供了一种流媒体服务请求认证系统，其特点在于，包括：客户端、门户服务器和媒体内容服务器；所述门户服务器扩展所述客户端请求的统一资源定位器的请求字段，引入系统约定密钥对所述请求字段加密生成校验字段；所述媒体内容服务器通过所述请求字段和所述校验字段对流媒体服务请求进行认证，从而防止只知道媒体访问路径而未经授权的终端对媒体服务的访问。

本发明与通常流服务请求认证的方法相比，具有以下优点：

1、通过在扩展字段增加信息可以使URL的信息量增大，而不仅是一个请求。例如，可以携带门户的信息以区分不同门户的业务系统，携带计费信息以提供不同计费方式等。

2、可以通过检查时间戳和有效时间，保证URL的时效性，对于过期的URL将拒绝提供服务，防止用户的重复访问或者分发有效请求。

3、通过校验运算保证URL的完整性。例如：如果URL中携带有用的客户信息例如付费信息被恶意修改，会带来客户的损失。使用本发明方法可以防止此类事件，给运营商提供准确的话单信息。

4、保证了URL的可靠性和真实性。因为密钥是媒体内容服务器和门户服务器约定的，杜绝了非授权的门户服务器或客户端伪造URL或盗用URL来获取服务的可能性。同时，也避免利用URL请求方式对服务器发起恶意的风暴攻击。这样既保证了服务器的效能，也保护了服务器的安全。

附图说明

图1流媒体系统应用环境示意图；

图2现有的请求服务步骤流程图；

图3本发明请求服务认证步骤流程图；

图4本发明一种具体实施流程图。

具体实施方式

下面结合附图进一步详细说明本发明的具体实施例。

本发明提供了一种流媒体请求服务认证系统和方法，此方法可避免通常流服务请求认证方法的不足。本发明通过扩展URL的请求字段，并且引入了系统约定密钥，对请求字段加密生成校验字段，保证URL的安全，有效，可靠。图3本发明方法的请求服务认证步骤流程图，包含以下步骤：

步骤301、客户端访问门户服务器，请求相应媒体服务的URL；

步骤302、门户服务器根据客户端请求的时间，生成服务请求有效时间信息。

步骤303、门户服务器将步骤二中生成的信息和标记门户服务器身份的特征信息等其它扩展信息加入流媒体资源请求URL中，并结合门户服务器与访问服务器协商的密钥对URL进行校验运算，并将运算结果加入URL中。

步骤304、客户端根据此URL向媒体内容服务器请求流媒体服务。

步骤305、媒体内容服务器接收到URL请求后，根据URL中的服务请求有效时间信息是否当前有效，如果有效时间已过则拒绝服务。

步骤306、媒体内容服务器保存URL中的校验运算结果，根据自身存储的与访问服务器对应的密钥，对URL重新进行校验运算，将结果与URL中自带的校验运算结果做比较，如果不一致则拒绝服务，一致则向客户端提供服务。

为增强本发明的适用性，本发明还可以做进一步的扩展，在请求URL的扩展字段中，还可以增加说明信息以增大其信息量，有利于媒体内容服务器与门户服务器的信息传递。例如，增加计费字段信息以利于计费方式的多样化；增加终端用户信息(在用户访问门户服务器时，门户服务器可以取得)以区分用户的身份，方便统计；增加栏目名称信息，利于SP(服务提供商)根据用户访问情况调整服务内容，等等。要实现以上内容，只需在本发明的步骤二和步骤五增加以下步骤。

在步骤302中，生成时间信息后，根据系统约定生成其它需要携带的信息字段，与时间信息一起传递给步骤303；

在步骤305中，判定有效时间后，继续根据其他信息字段判定是否是约定的信息，是则保存相应信息，便于以后的统计查询；否则拒绝服务。

通过这样的扩展，可以更好的在媒体内容服务器和门户服务器之间建立信息传递的通道，而不需要通过其他的设备，减小了系统的复杂性。

如图1的应用环境示意图，本发明提供一套流媒体系统服务请求的认证系统，有三个部分：客户端、门户服务器和媒体内容服务器。其中门户服务器中保存流媒体系统用户的相关信息，方便门户服务器对用户信息进行认证。客户端通过访问门户服务器浏览媒体内容，访问媒体文件，请求媒体服务的URL，门户服务器根据请求作出响应，返回相应的URL给客户端，客户端根据此URL向媒体内容服务器请求流媒体服务。

为了更具体说明本发明公开方法的实施可操作性，假定媒体内容服务器的IP地址为202.108.33.20，客户端通过RTSP/RTP/RTCP协议与媒体内容服务器通讯，媒体内容服务器的RTSP服务端口号为554(RTSP服务的默认端口)。媒体内容服务器与门户服务器约定密钥为123456789(此约定密钥在实际施实中长度可变，内容可变)，为进一步保护服务器的安全，内容服务器与门户服务器可以定期或通过实时协商方法约定更改密钥。

如图4所示，本发明的具体实施步骤如下：

步骤401、用户通过客户端(可以是手机或PC等等流媒体终端)访问门户服务器，浏览媒体文件，选中一个媒体文件，请求播放。

步骤402、门户服务器接收到客户端请求，生成一个源URL：“rtsp：//202.108.33.20/movie/3.3gp？time＝20050603090230+08&life＝60”；其中，time字段为时间戳，具体含义为“YYYYMMDDHHMMSS+时区”，life字段为此url的有效时间，在‘？’后面的内容都为URL的说明字段，此例主要说明时间戳和有效时间。它还可以由门户服务器根据媒体信息和客户信息按照预定要求生成。例如，可以加上请求流服务的门户服务器信息，加入类似“sp＝1001”的字段即可，如果有两个门户服务器，可以用此字段来区分；还可以加入类似“bill＝100”的字段，它表示本次服务计费为1元，来携带计费信息。

步骤403、门户服务器结合与媒体内容服务器协商的密钥，对源URL进行校验运算。本例中门户服务器截取源URL的”rtsp：//202.108.33.20/”之后的内容”movie/3.3gp？time＝20050603090230+08&life＝60”，并在最后加入其约定密钥：”12345678”，得到以下的字串，即：“movie/3.3gp？time＝20050603090230+08&life＝6012345678”然后对以上字串进行加密运算，例如可以使用md5加密和base64编码，得到一串经过编码的校验信息：“MGRjNzE2N2I2NGZkNTY20TQ4ZjIyM2ExMjk1YTEzYmU＝”。为增强本发明的灵活性、实用性，对源URL进行校验运算时，可以取源URL的特定一部分或全部，也可以采用其它校验或加密算法，只要门户服务器与媒体内容服务器协商一致即可(对于不同的门户服务器，还可以协商不同的密钥)。

步骤404、门户服务器将校验信息加在源URL后，形成新的请求URL：“rtsp：//202.108.33.20/movie/3.3gp？time＝20050603090230+08&life＝60&crypt＝MGRjNzE2N2I2NGZkNTY20TQ4ZjIyM2ExMjk1YTEzYmU＝”，返回给用户。

步骤405、客户端收到门户返回的URL，用此URL向媒体内容服务器发起媒体服务请求。

步骤406、媒体内容服务器收到请求URL后，从请求URL：“rtsp：//202.108.33.20/movie/3.3gp？time＝20050603090230+08&life＝60&crypt＝M6RjNzE2N2I2NGZkNTY20TQ4ZjIyM2ExMjk1YTEzYmU＝”找到time字段值和life字段值，判断其当前时间与time时间戳的时间差是否小于life的值，即1分钟(此时间值也可以配置)，如果用户在1分钟后提交请求，则此url已经失效，服务器拒绝提供服务。这样，可以有效的防止Replay攻击。

步骤407、在时间有效的情况下，媒体内容服务端截取字段并在其配置文件中读入约定密钥，得到：“movie/3.3gp？time＝20050603090230+08&life＝6012345678”，并用与门户服务器一致的校验算法做校验运算，将运算结果与请求中的crypt字段比较，如果值一致，则可判定此url是由业务系统生成的，是可靠的，其携带的信息也是真实可以提供服务；否则，则是非法的或者伪造的，拒绝其请求。这样，就可以有效的防止风暴攻击。

步骤408、媒体内容服务器向客户端提供流媒服务，用户可以通过客户端观看媒体文件。

本发明的服务认证方式是以整个系统为实施基础的，URL由门户服务器动态生成，媒体内容服务器采用约定好的密钥和方法对其进行认证，不需要第三方(例如数据库)，就可以完成对URL的校验，并且有很高的可靠性和安全性。

与通常流服务请求认证的方法相比，本发明具有以下优点：

当然，本发明还可有其它多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims

1、一种流媒体服务请求认证方法，其特征在于，扩展统一资源定位器的请求字段，引入系统约定密钥对所述请求字段加密生成校验字段，使媒体内容服务器通过所述请求字段和所述校验字段对流媒体服务请求进行认证，从而防止未经授权的终端对媒体服务的访问。

2、根据权利要求1所述的方法，其特征在于，进一步包括如下步骤：

步骤一、客户端访问门户服务器，请求相应媒体服务的统一资源定位器；

步骤二、所述门户服务器根据所述客户端请求的时间，生成服务请求有效时间信息；

步骤三、所述门户服务器将所述时间信息和标记所述门户服务器的身份的特征信息加入作为请求字段的流媒体资源请求的统一资源定位器中，并结合门户服务器与访问服务器协商的密钥对所述统一资源定位器进行校验运算，并将校验运算结果加入所述校验后的统一资源定位器中；

步骤四、所述客户端根据所述校验后的统一资源定位器向所述媒体内容服务器请求流媒体服务；

步骤五、所述媒体内容服务器根据所述时间信息和所述校验运算结果允许或拒绝向客户端提供服务。

3、根据权利要求2所述的方法，其特征在于，所述步骤五进一步包括：

步骤a，所述媒体内容服务器接收所述校验后的统一资源定位器请求，判断所述时间信息是否当前有效，是则执行步骤b，否则则拒绝服务；

步骤b，所述媒体内容服务器保存所述校验运算结果，并对所述校验后的统一资源定位器重新进行校验运算，并将重新校验运算的新结果与所述校验运算结果进行比较，判断所述新结果与所述校验运算结果是否一致，是则向客户端提供服务，否则拒绝服务。

4、根据权利要求2所述的方法，其特征在于，在所述步骤三中还包括，在所述流媒体资源请求的统一资源定位器加入扩展信息，以利于媒体内容服务器与门户服务器的信息传递。

5、根据权利要求4所述的方法，其特征在于，在所述步骤五中还包括，所述媒体内容服务器判断所述扩展信息是否为约定的信息，是则保存所述扩展信息，以便于以后的统计查询；否则拒绝服务。

6、根据权利要求5所述的方法，其特征在于，所述扩展信息为计费字段信息，以利于计费方式的多样化。

7、根据权利要求5所述的方法，其特征在于，所述扩展信息为终端用户信息，在用户访问门户服务器时由门户服务器取得，以区分用户的身份，方便统计。

8、根据权利要求5所述的方法，其特征在于，所述扩展信息为栏目名称信息，以利于服务提供商根据用户访问情况调整服务内容。

9、根据权利要求2所述的方法，其特征在于，所述服务请求有效时间为一分钟。

10、一种流媒体服务请求认证系统，其特征在于，包括：客户端、门户服务器和媒体内容服务器；

所述门户服务器扩展所述客户端请求的统一资源定位器的请求字段，引入系统约定密钥对所述请求字段加密生成校验字段；

所述媒体内容服务器通过所述请求字段和所述校验字段对流媒体服务请求进行认证，从而防止只知道媒体访问路径而未经授权的终端对媒体服务的访问。