CN1859149A - 流媒体业务服务的实现方法 - Google Patents

Abstract

本发明公开一种流媒体业务服务的实现方法，该方法主要包括：用户端向业务提供商发起流媒体内容服务请求；业务提供商指示用户端向宽带运营支撑系统发起认证；用户端向宽带运营支撑系统发起认证；宽带运营支撑系统对用户端进行认证，若认证通过，向该用户端提供业务提供商提供的内容服务，否则，拒绝用户端服务请求。本发明通过对用户认证可保证用户的真实性，而且不受到域名和用户浏览器的限制，从而实现有效防止用户盗链访问。

Description

流媒体业务服务的实现方法

技术领域

本发明涉及流媒体业务技术，更具体的说，本发明涉及一种流媒体业务服务的实现方法。

背景技术

随着网络带宽的不断提高和增值业务的发展，以交互式网络电视IPTV、“下载”以及“网络游戏”等宽带业务为代表的流媒体类业务越来越普遍，目前，对于流媒体业务内容，用户在登录网络后即可获取相应的流媒体服务，但当前流媒体服务中普遍存在一个防止盗链访问的问题，所谓盗链访问，就是非法用户通过窃取合法用户的访问链接，达到免费访问业务服务提供商提供的内容，非法获得额外服务的功能。

目前实现流媒体服务的方法中对于盗链访问的问题主要有如下两种解决方式：

第一种防止盗链访问的方式主要是通过动态产生访问链接实现，即用户访问流媒体业务内容的信息不出现在超文本标识语言(HTML，Hyper TextMarkup Language)页面的链接信息上，在用户访问内容的时候，由后台的程序根据用户访问的信息自动生成链接信息，然后提交给服务器为用户提供访问。这种方法处理起来最简单，用户不能看到内容链接的信息，因此无法通过简单的“复制”“粘贴”方法把链接信息发布到其他地方，但对于技术能力较高的用户讲，该方法很容易被破解，对用户身份及该用户访问的流媒体业务内容都无法进行有针对性的预防。

另外一种防止盗链访问的方式则是通过cookie技术实现防盗链，使用cookie技术，用户的唯一标识是Cookie中的sessionID，当用户访问内容的时候，系统会首先判断用户的SessionID是否与上次访问中记录的一致，然后根据记录信息判断是否可以为用户提供服务。使用Cookie的方法比较简单，但受限于Cookie本身的机制，即要求所有提供服务的运营商必须域名一致，开展业务的时候受到较多限制。另外如果用户的浏览器设置为禁用cookie，则该方法就不能正常使用。

发明内容

本发明解决的技术问题是提供一种流媒体服务的实现方法，以保证用户的真实性，而且不受到域名和用户浏览器的限制，从而实现有效防止用户盗链访问。

为解决上述问题，本发明的一种流媒体服务的实现方法，应用于流媒体服务系统中，所述流媒体服务系统包括用户端、提供内容的业务提供商以及网络运营商的宽带运营支撑系统，该方法包括：

a、用户端向业务提供商发起流媒体内容服务请求；

b、业务提供商指示用户端向宽带运营支撑系统发起认证；

c、用户端向宽带运营支撑系统发起认证；

d、宽带运营支撑系统对用户端进行认证，若认证通过，向该用户端提供业务提供商提供的内容服务，否则，拒绝用户端服务请求。

其中，步骤c包括：

用户端连接到宽带运营支撑系统；

宽带运营支撑系统指示用户端提交经证书授权中心使用该宽带运营支撑系统的私钥签发的用户属性令牌；

用户端向宽带运营支撑系统提交经所述证书授权中心签发的用户属性令牌；

步骤d判断用户是否认证通过包括：

宽带运营支撑系统通过证书授权中心检验所述用户属性令牌，以判断用户是否合法，若合法，判断用户认证通过，否则，判断用户认证不通过。

相应地，本发明的另一种流媒体服务的实现方法，应用于流媒体服务系统中，所述流媒体服务系统包括用户端、提供内容的业务提供商、提供内容分发的内容分发系统以及宽带运营支撑系统，该方法包括：

A、用户端向业务提供商发起流媒体内容服务请求；

B、业务提供商指示用户端向宽带运营支撑系统发起认证；

C、用户端向宽带运营支撑系统发起认证；

D、宽带运营支撑系统对用户身份进行认证，并在认证通过后生成本次内容服务的验证信息返回给用户端，指示用户端重定向到内容分发系统；

E、用户端携带本次内容服务的验证信息重定向到内容分发系统；

F、内容分发系统获取所述对本次内容服务的验证信息，向宽带运营支撑系统请求认证；

G、宽带运营支撑系统对用户本次内容服务进行认证，若认证通过，向该用户端提供该用户请求的业务提供商提供的内容服务，否则，拒绝用户端服务请求。

其中，步骤C包括：

用户端连接到宽带运营支撑系统；

宽带运营支撑系统指示用户端提交经证书授权中心使用该宽带运营支撑系统的私钥签发的用户属性令牌；

用户端向宽带运营支撑系统提交经所述证书授权中心签发的用户属性令牌；

步骤D判断用户是否认证通过包括：

宽带运营支撑系统通过证书授权中心检验所述用户属性令牌，以判断用户是否合法，若合法，判断用户认证通过，否则，判断用户认证不通过。

其中，所述对本次内容服务的验证信息通过证书授权中心使用该宽带运营支撑系统的私钥签发；

所述步骤G对用户本次内容服务请求进行认证包括：

宽带运营支撑系统通过证书授权中心检验所述对本次内容服务的验证信息，以判断本次内容服务是否合法，若合法，判断认证通过，否则，判断认证不通过。

其中，步骤F包括：

内容分发系统对用户的服务请求进行调度，由距离用户最近的内容分发服务器。

最终向用户提供服务的内容分发服务器获取所述对本次服务的验证信息，向宽带运营支撑系统请求认证。

其中，所述对本次内容服务的验证信息包含有用户访问时间限制信息，步骤G进行验证时，若验证时间超过所述用户访问时间限制后，则判断认证失败。

其中，所述对本次内容服务的验证信息包含有用户访问次数限制信息，步骤G进行验证时，若用户访问次数超过所述用户访问次数限制，则判断认证失败。

与现有技术相比，本发明具有以下有益效果：

本发明在用户端向业务提供商发起流媒体内容服务请求后，业务提供商指示用户端向宽带运营支撑系统发起认证，并由宽带运营支撑系统对用户端进行认证，只有在认证通过后才允许向用户端提供业务提供商提供的内容服务，能保证用户的真实性，而且不受到域名和用户浏览器的限制，可有效防止盗链访问，保护业务服务提供者的权益。

附图说明

图1是本发明流媒体业务服务实现方法的第一实施例的流程示意图；

图2是本发明流媒体业务服务实现方法的第二实施例的流程示意图；

图3是本发明流媒体业务服务实现方法的第三实施例的流程示意图。

具体实施方式

防止用户盗链访问，必须做到以下两点：第一、保证用户的唯一和真实性。即对一个用户而言，在同一时间内，系统内只能有一个在线记录，而且用户访问业务的过程中，用户的身份必须是真实可靠的；第二、用户的每次访问请求必须是独特的，不可复制的。也就是说，一旦用户使用某个链接访问了内容，则同样的链接再次使用即为无效。

本发明中通过对用户认证的方式对用户身份和用户访问的内容进行认证，可达到上述两点要求，下面以具体实施例进行详细说明。

不失一般性，本发明中可采用CA认证方式进行认证，使用CA技术可保证用户的唯一性和真实性，并可对用户的链接访问内容进行认证处理，下面简单介绍一下CA技术。

CA是Certificate Authority的缩写，是证书授权的意思。在电子商务系统中，所有实体的证书都是由证书授权中心既CA中心分发并签名的。一个完整、安全的电子商务系统必须建立起一个完整、合理的CA体系。CA体系由证书审批部门和证书操作部门组成。

为保证网上数字信息的传输安全，除了在通信传输中采用更强的加密算法等措施之外，必须建立一种信任及信任验证机制，即参加电子商务的各方必须有一个可以被验证的标识，这就是数字证书。数字证书是各实体(持卡人/个人、商户/企业、网关/银行等)在网上信息交流及商务交易活动中的身份证明。该数字证书具有唯一性。它将实体的公开密钥同实体本身联系在一起，为实现这一目的，必须使数字证书符合X.509国际标准，同时数字证书的来源必须是可靠的。这就意味着应有一个网上各方都信任的机构，专门负责数字证书的发放和管理，确保网上信息的安全，这个机构就是CA认证机构。各级CA认证机构的存在组成了整个电子商务的信任链。如果CA机构不安全或发放的数字证书不具有权威性、公正性和可信赖性，电子商务就根本无从谈起。

数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的私有密钥(私钥)，用它进行解密和签名；同时设定一把公共密钥(公钥)并由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。

在公开密钥密码体制中，常用的一种是RSA体制。其数学原理是将一个大数分解成两个质数的乘积，加密和解密用的是两个不同的密钥。即使已知明文、密文和加密密钥(公开密钥)，想要推导出解密密钥(私密密钥)，在计算上是不可能的。按现在的计算机技术水平，要破解目前采用的1024位RSA密钥，需要上千年的计算时间。

参考图1，该图是本发明流媒体业务服务的实现方法第一实施例流程图。

本实施例中流媒体系统包括用户端、提供内容的业务提供商以及网络运营商的宽带运营支撑系统(本实施例中简称为BSSP)，用户端通常包括该用户使用的浏览器及终端设备，所述宽带运营支撑系统功能是完成宽带网络的“一点接入，一点认证、一点退出和统一计费”功能。本发明中所述宽带运营支撑系统可包括一个认证中心，该认证中心也可独立于宽带运营支撑系统，本实施例中具体实现时所述认证中心可采用CA技术的证书授权中心，实现流媒体业务服务包括如下步骤：

步骤101、102，用户访问流媒体内容，用户端的浏览器向业务提供商请求内容服务；

步骤103，业务提供商指示用户提交用户的用户属性令牌；

步骤104，用户端浏览器向业务提供商提交用户属性令牌；

步骤105，步骤106，业务提供商提取用户的属性令牌，请求宽带运营支撑系统对用户属性令牌进行认证；

步骤107、108、109及110，宽带运营支撑系统通过证书授权中心检验所述用户属性令牌，以判断用户是否合法，若合法，判断用户认证通过，可向用户提供请求的SP的内容服务，否则，判断用户认证不通过，拒绝用户请求。

参考图2，该图是本发明流媒体业务服务的实现方法第二实施例流程图。

本实施例应用的网络环境同第一实施例，具体实现时，包括如下步骤：

步骤s101、s102，用户访问流媒体内容，用户端的浏览器向业务提供商请求内容服务；

步骤s103，业务提供商指示用户向宽带运营支撑系统进行认证；

步骤s104，用户端浏览器把用户的访问重定向到宽带运营支撑系统；

步骤s105，宽带运营支撑系统指示用户端提交经证书授权中心使用该宽带运营支撑系统的私钥签发的用户属性令牌，用户属性令牌是CA系统对用户属性信息签名后的结果，CA认证中心对该签名进行确认，就可以验证用户的合法性；

步骤s106，用户端向宽带运营支撑系统提交经所述证书授权中心签发的用户属性令牌；

步骤s107，步骤108，宽带运营支撑系统通过证书授权中心检验所述用户属性令牌，以判断用户是否合法，若合法，判断用户认证通过，生成对用户访问内容的验证码，所述的验证码可由证书授权中心签发，也可采用其他方式生成，这里不再详细描述；

步骤s109，返回用户端浏览器所述的验证码，指示用户重定向到业务提供商；

步骤s110，用户端携带所述的验证码，访问业务提供商；

步骤s111、步骤s112，业务提供商从用户的访问信息中获取所述的验证码并提交给宽带运营支撑系统，向宽带运营支撑系统发起认证；

步骤s113，在认证通过后宽带运营支撑系统返回业务提供商认证通过；

步骤s114、步骤s115，业务提供商向用户提供服务，用户端的浏览器向用户提供点播的业务。

在具体的网络环境中，流媒体服务系统也可能包括内容分发系统，也即本发明的应用场景是与MDN系统相关联的，MDN系统是内容分发系统，其主要功能是把多媒体内容分发到离用户最近的服务器，减少骨干网络带宽，提高用户访问媒体的速度。

参考图3，该图是本发明流媒体业务服务的实现方法的第三实施例流程图。

本实施中同样采用了CA技术进行认证，具体的，本实施中使用CA技术实现对用户身份的确认，防止身份冒用和多个用户使用同一个帐户登录，另外使用CA签名用户的访问信息，对用户的内容访问进行认证，保证认证过程的安全性，以下具体进行说明，主要包括以下步骤：

步骤201、202，用户访问流媒体内容，用户端的浏览器向业务提供商请求内容服务；

步骤203，业务提供商将用户的请求转化为MDN系统可识别的业务服务信息，并把所述业务服务信息附在重定向到BSSP系统的链接后面；

步骤204，业务提供商返回用户端所述携带业务服务信息的链接信息，以指示用户端的浏览器将用户的访问请求重定向的链接后面；

步骤205，用户端浏览器重定向到BSSP系统，并把所述业务服务信息转发给BSSP系统；

步骤206，BSSP系统保存所述业务服务信息，指示用户端上报保存的用户属性令牌；

步骤207，用户端浏览器向BSSP系统返回用户属性令牌；

步骤208，BSSP交由CA认证中心根据用户的属性令牌判断用户的合法性；

步骤209，若认证通过，则BSSP可根据用户的访问信息和时间生成对用户本次内容服务访问的验证信息，例如指示认证中心签发所述本次内容服务的验证信息；

步骤210，返回用户端所述对本次内容服务的验证信息和前述的业务服务信息，指示用户端重定向到MDN系统；

步骤211，用户端浏览器携带所述的对本次内容服务的验证信息和业务服务信息重定向到MDN系统；

步骤212、213及214，MDN根据用户的信息进行调度，把用户的服务请求转发到离用户最近的服务器，用户最近的服务器获取所述的本次服务的验证信息和业务服务信息，把所述的本次服务的验证信息提交给BSSP系统；

步骤215、216、217及218，BSSP根据所述验证信息进行认证，确认该此内容服务的合法性，并在确认合法后通知MDN认证通过，MDN根据业务服务信息向用户提供请求的服务，用户端的浏览器向用户提供该用户请求的服务。具体认证时对于证书授权中心签发的验证信息同样可交由证书授权中心对本次内容服务的验证信息进行验证以判断本次内容服务是否合法，若合法，判断认证通过，否则，判断认证不通过。

上述本实施例中用户属性令牌是CA系统对用户属性信息签名后的结果，步骤206步获得用户属性令牌，对该签名进行确认，从而可以保证用户的合法性。

具体所述对本次内容服务的验证信息的生成，本实施例中是使用BSSP的私钥对用户访问信息和时间进行签名，签名后的结果就是步骤204提交的本次服务的验证信息，BSSP只需要通过CA技术的证书授权中心系统对所述的验证信息确认合法性，就可以保证在内容重定向过程中没有人进行篡改。

另外，在具体实现时，本实施例中对本次内容服务的验证信息包含用户访问时间限制信息，进行验证时，若验证时间超过所述用户访问时间限制后，则判断认证失败，即如果时间超过合理的重定向时间，则确认本次认证失败。

另外，在具体实现时，亦可以选择使用一次有效的验证信息，即对本次内容服务的验证信息中包含有用户访问次数限制信息，若超过所述访问次数限制，则可判断认证失败，例如限制所述验证信息只能使用一次，则所述验证信息被用于验证后，立即失效，在一定时期内使用相同的验证信息进行验证都视为认证失败。

需要说明的是，本发明中使用BSSP系统的私钥对内容和时间信息进行了签名方法生成对服务的验证信息可保证信息的不可替代，具体实现上还可采用其他类似的方法，但实现上必须解决两个问题，1、需要解决对服务的验证信息的产生问题，这个相对比较容易，只需要在各分布的BSSP服务器上配置共享密钥就可以了，加密的信息中需要保证包含时间信息和内容信息。2、时间同步的问题，需要使用NTP协议实现时间的信息同步，只有时间同步才能实现对服务的验证信息的有效期验证功能。

综上，本发明由于引入经过CA系统签名的用户属性令牌作为用户的标识，能保证用户的真实性，而且不受到域名的限制和用户浏览器的限制。而且安全性高，系统的安全性依靠CA系统的安全性，一般CA系统的安全性远高于普通Cookie系统的安全性，在商务领域应用广泛。可有效防止盗链访问，认证过程于用户浏览器没有关系，对服务的验证信息的产生和验证都在后台进行，而且在向用户提供服务前进行二次认证，确保访问的合法性。另外，本发明还支持流媒体分布式组网，由于可提供用户身份及内容服务的二次认证功能，可以很好的支持分布式组网的流媒体分发系统，不用担心在流媒体服务内容调度的时候被非法盗取链接访问信息。另外，本发明也可支持BSSP系统分布式组网，BSSP系统可以由多台服务器组成，对内容服务的验证信息的生成和验证可以不是同一台设备。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (8)

1、一种流媒体业务服务实现方法，应用于流媒体服务系统中，所述流媒体服务系统包括用户端、提供内容的业务提供商以及网络运营商的宽带运营支撑系统，其特征在于，该方法包括：

a、用户端向业务提供商发起流媒体内容服务请求；

b、业务提供商指示用户端向宽带运营支撑系统发起认证；

c、用户端向宽带运营支撑系统发起认证；

d、宽带运营支撑系统对用户端进行认证，若认证通过，向该用户端提供业务提供商提供的内容服务，否则，拒绝用户端服务请求。

2、根据权利要求1所述的流媒体业务服务实现方法，其特征在于，步骤c包括：

用户端连接到宽带运营支撑系统；

宽带运营支撑系统指示用户端提交经证书授权中心使用该宽带运营支撑系统的私钥签发的用户属性令牌；

用户端向宽带运营支撑系统提交经所述证书授权中心签发的用户属性令牌；

步骤d判断用户是否认证通过包括：

宽带运营支撑系统通过证书授权中心检验所述用户属性令牌，以判断用户是否合法，若合法，判断用户认证通过，否则，判断用户认证不通过。

3、一种流媒体业务服务实现方法，应用于流媒体服务系统中，所述流媒体服务系统包括用户端、提供内容的业务提供商、提供内容分发的内容分发系统以及宽带运营支撑系统，其特征在于，该方法包括：

A、用户端向业务提供商发起流媒体内容服务请求；

B、业务提供商指示用户端向宽带运营支撑系统发起认证；

C、用户端向宽带运营支撑系统发起认证；

D、宽带运营支撑系统对用户身份进行认证，并在认证通过后生成本次内容服务的验证信息返回给用户端，指示用户端重定向到内容分发系统；

E、用户端携带本次内容服务的验证信息重定向到内容分发系统；

F、内容分发系统获取所述对本次内容服务的验证信息，向宽带运营支撑系统请求认证；

G、宽带运营支撑系统对用户本次内容服务进行认证，若认证通过，向该用户端提供该用户请求的业务提供商提供的内容服务，否则，拒绝用户端服务请求。

4、根据权利要求3所述的流媒体业务服务实现方法，其特征在于，步骤C包括：

用户端连接到宽带运营支撑系统；

宽带运营支撑系统指示用户端提交经证书授权中心使用该宽带运营支撑系统的私钥签发的用户属性令牌；

用户端向宽带运营支撑系统提交经所述证书授权中心签发的用户属性令牌；

步骤D判断用户是否认证通过包括：

宽带运营支撑系统通过证书授权中心检验所述用户属性令牌，以判断用户是否合法，若合法，判断用户认证通过，否则，判断用户认证不通过。

5、根据权利要求3所述的流媒体业务服务实现方法，其特征在于，所述对本次内容服务的验证信息通过证书授权中心使用该宽带运营支撑系统的私钥签发；

所述步骤G对用户本次内容服务请求进行认证包括：

宽带运营支撑系统通过证书授权中心检验所述对本次内容服务的验证信息，以判断本次内容服务是否合法，若合法，判断认证通过，否则，判断认证不通过。

6、根据权利要求3所述的流媒体业务服务实现方法，其特征在于，步骤F包括：

内容分发系统对用户的服务请求进行调度，由距离用户最近的内容分发服务器向用户提供服务。

向用户提供服务的内容分发服务器获取所述对本次服务的验证信息，向宽带运营支撑系统请求认证。

7、根据权利要求3-6任一项所述的流媒体业务服务实现方法，其特征在于，所述对本次内容服务的验证信息包含有用户访问时间限制信息，步骤G进行认证时，若认证时间超过所述用户访问时间限制后，则判断认证失败。

8、根据权利要求3-6任一项所述的流媒体业务服务实现方法，其特征在于，所述对本次内容服务的验证信息包含有用户访问次数限制信息，步骤G进行验证时，若用户访问次数超过所述用户访问次数限制，则判断认证失败。

Images