視音頻內(nèi)容分發(fā)數(shù)字版權(quán)管理（DRM）技術(shù)應(yīng)用實施指南（2023版）

技術(shù)應(yīng)用實施指南

版）國家廣播電視總局2023

年

12

月

（DRM，DigitalRights

Management（GY/T為指導(dǎo)視音頻內(nèi)容提供與服務(wù)提供等環(huán)節(jié)行業(yè)機構(gòu)、智能終端設(shè)備和芯片制造商、DRM

II

GB/T

32907—2016

GB/T

35276—2017

GB/T

37092—2018

GB/T

39786—2021

GY/T

GY/T

257.1—2012

GY/T

GY/T

299.1—2016

第1部分：視頻（本文稱：AVS2標準）GY/T

視音頻內(nèi)容分發(fā)數(shù)字版權(quán)管理 有線數(shù)字電視數(shù)字版權(quán)管理系統(tǒng)集GY/T

GY/T

GY/T

GY/T

ISO/IEC

信息技術(shù)

運動圖像及其伴音信息的通用編碼

統(tǒng)（Information

technology—Generic

coding

of

moving

and

associated

information

Part

1:

ISO/IEC

式（Information

technology—Coding

of

audio-visual

objects

Part

12:

ISO

file

ISO/IEC

信息技術(shù)

多媒體應(yīng)用格式（MPEG-A）

第19部分：分段媒

technology—Multimedia

application

format(MPEG-A)

Part

19:

Common

application

format

(CMAF)

for

ISO/IEC

23009-4:2018

（Information

technology

Dynamic

adaptive

over

HTTP(DASH)-

Part

encryption

and

authentication）（本文稱：DASH）

3.1

密分發(fā)和安全授權(quán)，只有可信的DRM客戶端才能按照內(nèi)容授權(quán)許可規(guī)則解密和播放內(nèi)容，防圖1

DRM

DRM服務(wù)端包括內(nèi)容加密、密鑰管理、密鑰網(wǎng)關(guān)、內(nèi)容授權(quán)、證書管理等核心模塊。內(nèi)并接收內(nèi)容授權(quán)模塊的密鑰查詢；內(nèi)容授權(quán)模塊接收DRM客戶端的請求，從密鑰網(wǎng)關(guān)模塊查的DRM客戶端；證書管理模塊負責為內(nèi)容加密、密鑰管理、密鑰網(wǎng)關(guān)、內(nèi)容授權(quán)等模塊以及圖2

DRM

DRM客戶端集成在視音頻播放終端中（本文簡稱：終端，包括但不限于智能機頂盒、智權(quán)許可證后，DRM客戶端按照內(nèi)容授權(quán)許可證規(guī)定的規(guī)則解密內(nèi)容加密密鑰，用內(nèi)容加密密3.2

為規(guī)范視音頻內(nèi)容分發(fā)DRM技術(shù)應(yīng)用部署，國家廣播電視總局于2021年發(fā)布《視音頻內(nèi)容分發(fā)數(shù)字版權(quán)管理標準體系》（廣電辦發(fā)〔2021〕45號），其中6項標準已正式發(fā)布，視圖3

GY/T

277—2019規(guī)定了視音頻內(nèi)容分發(fā)數(shù)字版權(quán)管理的邏輯架構(gòu)、技術(shù)機制、內(nèi)容加GY/T

333—2020規(guī)定了有線數(shù)字電視DRM系統(tǒng)集成框架、內(nèi)容加密、密鑰管理、內(nèi)容授GY/T

246—2020規(guī)定了IPTV數(shù)字版權(quán)管理系統(tǒng)集成框架、直播內(nèi)容加密與授權(quán)、點播GY/T

GY/T

335—2020規(guī)定了GY/T

GY/T

336—2020規(guī)定了視音頻內(nèi)容分發(fā)數(shù)字版權(quán)管理系統(tǒng)功能、性能、標準符合性測3.3

視音頻內(nèi)容分發(fā)

DRM

技術(shù)支持服務(wù)提供方加密授權(quán)和內(nèi)容提供方加密授權(quán)兩種模式，

圖4

圖5

DRM

4.1

TSPMT

ChinaDRM

video_format

0101b（0x05）

AVS3

（Content

Encryption

Information，CEI，對基本碼流的幀編碼數(shù)據(jù)進加密，內(nèi)容加采用

SM4

加密算視音頻內(nèi)容分發(fā)DRM技術(shù)的應(yīng)用部署需要視音頻內(nèi)容提供方、服務(wù)提供方、智能終端設(shè)備制造商、芯片制造商、DRM客戶端軟件開發(fā)包提供方、證書管理機構(gòu)以及評估認證機構(gòu)等圖6

4.2

DRM

DRM服務(wù)端的內(nèi)容加密、密鑰管理、密鑰網(wǎng)關(guān)、內(nèi)容授權(quán)等核心功能，部署在各級廣播供方應(yīng)協(xié)同開展內(nèi)容加密、密鑰管理、密鑰網(wǎng)關(guān)、內(nèi)容授權(quán)等DRM服務(wù)端功能的集成部署，

支持采用TS、HLS、DASH、CMAF等視音頻內(nèi)容封裝格式進行加密內(nèi)容封裝傳輸，以實現(xiàn)頻道表1

277—2019

1）。GY/T

HLSm3u8

文件的#EXT-X-KEY

字段描述加密的基本信

A.1。TS

切片加密方法與頻道播出的

TS

加密DASHMPD

文件中包含

字段，描述

otection

schemeIdUri

切片采用

SM4

法加密，具體

GY/T

2019

CMAFm3u8

文件的#EXT-X-KEY

字段描述加密的基本信

TS

PMT

ChinaDRM

video_format

0101b（0x05）

AVS3

碼；在基本碼流的擴展數(shù)據(jù)中增加內(nèi)容加密信

SM4

GY/T

ISO

基于

ISO

23001-7:2016

對視音頻內(nèi)容加密，nBox

SystemID

GY/

6.3.3

TS、HLS、DASH、CMAF

AVS+、AVS2、AVS3

（3

GY/T

7.1

GY/T

6.2

00

00

00、00

00

01、00

00

02、00

00

可通過變換初始向量的方式避免起始碼二義沖突，同時將

GY/T

中表

規(guī)定的內(nèi)

（11）硬件密碼模塊應(yīng)符合

GB/T

37092—2018

規(guī)定的二級或更高安全級別，且具備商（2持AVS+、AVS2、AVS3合GY/T（4）點播內(nèi)容加密應(yīng)符合GY/T

（5）點播內(nèi)容加密任務(wù)管理應(yīng)符合GY/T

（6）內(nèi)容加密后的編碼數(shù)據(jù)應(yīng)避免出現(xiàn)00

00

00、00

00

01、00

00

02、00

00

03?？赏ㄟ^變換初始向量的方式避免起始碼二義沖突，同時將GY/T

277—2019中表1規(guī)定的內(nèi)容（7）點播內(nèi)容加密的公私鑰對在硬件密碼模塊中生成，私鑰安全存儲在硬件密碼模塊（9）點播內(nèi)容加密私鑰、內(nèi)容加密密鑰、會話密鑰、臨時密鑰等不將明文暴露在硬件

GY/T

7.1

GY/T

7.2

（8）密鑰管理組件私鑰、內(nèi)容加密密鑰、會話密鑰、臨時密鑰等不將明文暴露在硬件（10）硬件密碼模塊應(yīng)符合

GB/T

37092—2018

規(guī)定的二級或更高安全級別，且具備商

GY/T

9.2

GY/T

9.3

（8）密鑰網(wǎng)關(guān)私鑰、內(nèi)容加密密鑰、會話密鑰、臨時密鑰等不將明文暴露在硬件密碼（10）硬件密碼模塊應(yīng)符合

GB/T

37092—2018

規(guī)定的二級或更高安全級別，且具備商DRM

DRM

DRM

DRM

GY/T

GY/T

9.3

（7）內(nèi)容授權(quán)的私鑰、內(nèi)容加密密鑰、會話密鑰、臨時密鑰等不將明文暴露在硬件密

GB/T

37092—2018

4.3

DRM

DRM

DRM

程中的安全。DRM

GY/T

DRM

DRM

DRM

DRM

GY/T

7.3

表2

表2

DRM

全級別DRM客戶端解密播放，1080P內(nèi)容授權(quán)給硬件安全級別以上的DRM客戶端解密播放，軟4.4

DRM

節(jié)標準化規(guī)范化的重要保障，包括：DRM

DRM

DRM

技術(shù)與產(chǎn)品安全評估依據(jù)

335—2020、GY/T

進行，為

DRM

DRM

DRM

DRM

4.5

GY/T

277-2019

服務(wù)端證書簽發(fā)、DRM

DRM

GY/T

336-2020

DRM

DRM

DRM

5.1

277—2019、GY/T

333—2020、GY/T

246—2020、GY/T

334—2020、GY/T

335—2020、GY/T

336—2020

等標準進行視音頻內(nèi)容分發(fā)

DRM

系統(tǒng)規(guī)劃設(shè)計；根據(jù)版權(quán)方要求

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

具備本地儲頻道授許可的能；支首次機獲攜帶集成以云提供密鑰鑰網(wǎng)授權(quán)DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

GY/T

277—2019

要求的

DRM

客戶端運行環(huán)境，并在其中集成

DRM

客戶端功能。終端設(shè)備上

DRM

在終端設(shè)備不具備硬件可信執(zhí)行環(huán)境的情況下，通常采用白盒密碼等技術(shù)實現(xiàn)符合GY/T

277—2019

DRM

DRM

DRM

DRM

DRM

端功能。在該方式下，通常采用白盒密碼等技術(shù)實現(xiàn)符合

GY/T

277—2019

要求的軟件安全

DRM

DRM

DRM

DRM

5.2

DRM

DRM

客戶端集成調(diào)試、DRM

DRM

DRM

DRM

DRM

DRM

客戶端的集成調(diào)試是指在終端設(shè)備中實現(xiàn)視音頻內(nèi)容播放應(yīng)用程序?qū)?/p>

DRM

客戶端功能的調(diào)

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

5.3

DRM

DRM

GY/T

的要求進行系統(tǒng)上線前的標準符合性測試和系統(tǒng)合規(guī)性評估，包括：DRM

DRM

系統(tǒng)試運行后，DRM

系統(tǒng)建設(shè)方可通過

DRM

服務(wù)認證持續(xù)提升視音頻內(nèi)容數(shù)字版權(quán)5.4

DRM

DRM

DRM

DRM

6.1

GY/T

334—2020

GY/T

DRM

GY/T

GY/T

GY/T

GY/T

TS封裝格式

DRM

DRM

DRM

互聯(lián)網(wǎng)電視終端內(nèi)的

DRM

客戶端證書及私鑰應(yīng)采用產(chǎn)線燒寫或在線分發(fā)的方式進行置

DRM

DRM

6.2

DRM

DRM

DRM

DRM

GY/T

DRM

應(yīng)部署內(nèi)容加密、密鑰管理、內(nèi)容授權(quán)功能；可通過部署密鑰網(wǎng)關(guān)功能支持基于

DRM

技術(shù)的創(chuàng)新服務(wù)，如點播GY/T

GY/T

GY/T

CDN

網(wǎng)絡(luò)應(yīng)保留

TS

封裝格式

PMT

表中的

ChinaDRM

描述子，m3u8、MPD

DRM

具備硬件可信執(zhí)行環(huán)境的，應(yīng)在硬件可信執(zhí)行環(huán)境中集

DRM

客戶端；不具備硬件可信執(zhí)行環(huán)境的，應(yīng)在操作

DRM

應(yīng)優(yōu)先采用互聯(lián)網(wǎng)視頻終端設(shè)備內(nèi)置的硬件安全級別以

DRM

客戶端；在未內(nèi)置

DRM

客戶端的設(shè)備中應(yīng)在應(yīng)用

DRM

DRM

DRM

IPTV

DRM

8.1

IPTV

DRM

系統(tǒng)應(yīng)符合

277—2019、GY/T

的規(guī)定，包括

集成播控

DRM

DRM

DRM

播內(nèi)容加密、點播內(nèi)容加密、密鑰管理等子系統(tǒng)；IPTV

集成播控分平臺

DRM

系統(tǒng)應(yīng)包括：直播內(nèi)容加密、點播內(nèi)容加密、密鑰管理、密鑰網(wǎng)關(guān)、內(nèi)容授權(quán)等子系統(tǒng)。IPTV

DRM

系統(tǒng)

IPTV

DRM

受保護視音頻內(nèi)容可由內(nèi)容提供方系統(tǒng)加密，或由

集成播控總平臺、分平臺系統(tǒng)

集成播控總平臺加密，則內(nèi)容提供方或總平臺的內(nèi)容管理應(yīng)與

IPTV

集成播控分平臺的內(nèi)容管理進行交互，同步內(nèi)容唯一標識、加密內(nèi)容地址等相關(guān)信息；IPTV

集成播控總平臺和各IPTV

集成播控分平臺的內(nèi)容管理系統(tǒng)管理各自平臺內(nèi)容唯一標識、內(nèi)容使用規(guī)則、內(nèi)容加

URL

的內(nèi)容通過

IPTV

專網(wǎng)分發(fā)至

集成播控分平臺。IPTV

集成播控分平臺內(nèi)容授權(quán)子系統(tǒng)

IPTV

IPTVIPTV

集成播控總分平臺如需對加密內(nèi)容進行再次審核，則內(nèi)容審核系統(tǒng)應(yīng)從第三方證書管

URL

內(nèi)容管理系統(tǒng)獲取待審核內(nèi)容的唯一標識、內(nèi)容地址等，按照

GY/T

277—2019

9.3

規(guī)定

DRM

8.2

IPTV

IPTV

GY/T

277—2019GY/T

246—2020GY/T

335—2020GY/T

336—2020IPTV

應(yīng)部署內(nèi)容加密、密鑰管理、密鑰網(wǎng)關(guān)、內(nèi)容授權(quán)

IPTV

CDN

TS

PMT

IPTV

DRM

IPTV

DRM

IPTV

IPTV

DRM

IPTV

集成播控總、分平臺應(yīng)加強

DRM

技術(shù)在超高清頻道和高質(zhì)量視聽內(nèi)容點播服務(wù)方容，逐步提升

IPTV

超高清內(nèi)容保護力度。支持

集成播控總、分平臺采用密鑰網(wǎng)關(guān)等DRM

DRM

CDN

網(wǎng)絡(luò)升級改造，支持采用

DRM

技術(shù)加密保護的

IPTV

直播和點播內(nèi)容傳輸分發(fā)；

DRM

IPTV

DRM

9.1

DRM

DRM

GY/T

277—2019、GY/T

的規(guī)定。DRM

DRM

DRM

DRM

應(yīng)在直播編碼環(huán)節(jié)增加內(nèi)容加密功能以支持頻道節(jié)

277—2019

333—2020

335—2020

336—2020

PMT

DRM

密和從對密鑰密鑰內(nèi)容進行

DRM

在采用廣播方式進行數(shù)字電視傳輸流分發(fā)且具備

IP

通信鏈路的場景下，直播

DRM

系統(tǒng)

9.2

DRM

DRM

DRM

GY/T

DRM

bit32uimsbfPSSH

32uimsbf0x70

73

73

68Versionuimsbf

0x0124uimsbf

00

00SystemId128uimsbf32uimsbfKID16uimsbfDataSize32uimsbfuimsbf

A.1

HLS

采用

HLS

協(xié)議的視音頻內(nèi)容點播

DRM

系統(tǒng)按照

277—2019

6.2

節(jié)的規(guī)定對數(shù)字電

m3u8

#EXT-X-KEY

URI

#EXT-X-KEY

URI

URI

base64

A.1

PSSH

A.1

PSSH

Size

PSSH

PSSH

JSON

versionstringstringkidsstring

stringintegerstringextsstring

A.2

contentID：內(nèi)容標識，base64

kids：密鑰標識數(shù)組，base64

"version":

"V1.0","contentID":

"kids":

"base64_string"

"enschema":

"playIndex":

"exts":

"string"{"version":"V1.0","contentID":"c2Zhc1JBZXV5SEpGU0pB","kids":["u76mh6/tuJCJzYiJvcu8dw=="],"enschema":"sm4c"}

A.1

0000008b70737368000000003d5e6d359b9a41e8b843dd3c6e72c42c0000006b7b2276657273696f6e223a2256312e30222c22636f6e74656e744944223a2263325a6863314a425a5856355345704755307042222c226b696473223a5b227537366d68362f74754a434a7a59694a7663753864773

base64

AAAAi3Bzc2gAAAAAPV5tNZuaQei4Q908bnLELAAAAGt7InZlcnNpb24iOiJWMS4wIiwiY29udGVudElEIjoiYzJaaGMxSkJaWFY1U0VwR1UwcEIiLCJraWRzIjpbInU3Nm1oNi90dUpDSnpZaUp2Y3U4ZHA.2

于DASH合GY/T

277—2019中6.3.2時表示采用SM4-CTR加密；保護模式信息盒(‘sinf’)中的模式類型盒(‘schm’)中的模式

a)

的value的scheme_type字，schemeIdUri為“urn:mpeg:dash:mp4protection:2011”，cenc:default_KID為內(nèi)容加密密鑰標識KID，

value="sm4c"

on:2011"

b)

c6e72c42c"><cenc:pssh>AAAAi3Bzc2gAAAAAPV5tNZuaQei4Q908bnLELAAAAGt7InZlcnNpb24iOiJWMS4wIiwiY29udGVudElEIjoiYzJaaGMxSkJaWFY1U0VwR1UwcEIiLCJraWRzIjpbInU3Nm1oNi90dUpDSnpZaUp2Y3U4ZHc9PSJdLCJlbnNjaGVtYSI6InNtNGMifQ==</cenc:pssh></ContentProtecA.3

基于CMAF的視音頻內(nèi)容加密模式采用CTR或CBC模式，具體定義見A.2。加密媒體分塊的

DRM

B.1

本附錄給出了具備IP通信鏈路情況下的直播視音頻內(nèi)容分發(fā)DRM系統(tǒng)設(shè)計參考。具備IP通信鏈路的直播視音頻內(nèi)容分發(fā)DRM系統(tǒng)，內(nèi)容加密密鑰由密鑰管理模塊生成，每次都生成播方式進行數(shù)字電視傳輸流分發(fā)、具備IP回傳鏈路的場景下，直播視音頻內(nèi)容分發(fā)DRM系統(tǒng)設(shè)計見B.2；采用UDP組播方式進行數(shù)字電視傳輸流分發(fā)場景下，直播視音頻內(nèi)容分發(fā)DRM系B.2

容加密信息中的當前密鑰ID發(fā)生改變時，DRM客戶端應(yīng)發(fā)起新的內(nèi)容授權(quán)許可證請求，及時響應(yīng)消息。需要更新許可證時，為避免出現(xiàn)大并發(fā)的情形，DRM客戶端在一個隨機的時間段B.3

UDP

采用UDP組播方式進行數(shù)字電視傳輸流分發(fā)的情況下，視音頻內(nèi)容加密是對數(shù)字電視傳獲取內(nèi)容授權(quán)許可的相關(guān)信息，DRM客戶端按照許可證獲取協(xié)議封裝許可證請求消息從系統(tǒng)配置的URL申請內(nèi)容授權(quán)許可證，并按照內(nèi)容授權(quán)許可證進行內(nèi)容的解密播放；當下一個內(nèi)容加密信息中的當前密鑰ID發(fā)生改變時，DRM客戶端應(yīng)發(fā)起新的內(nèi)容授權(quán)許可證請求，及時響應(yīng)消息。需要更新許可證時，為避免出現(xiàn)大并發(fā)的情形，DRM客戶端在一個隨機的時間段

DRM

DRM

336—2020

DRM

4.應(yīng)支持將使用

DRM

系統(tǒng)的機構(gòu)的

DRM

服務(wù)端組件數(shù)字證書托管到

DRM

服務(wù)端組件云

DRM

D.1

D.2

硬件可信執(zhí)行環(huán)境內(nèi)置

DRM

客戶端的集成方式見圖

客戶端由部署于操作系統(tǒng)

DRM

DRM

DRM

DRM

DRM

DRM

服務(wù)組成。DRM

應(yīng)用編程接口為

DRM

播放應(yīng)用提供證書管理、許可證獲取等功能；DRM

DRM

DRM

應(yīng)用編程接口功能；DRM

DRM

DRM

DRM

DRM

DRM

DRM

TEE

DRM

信應(yīng)用中的

DRM

客戶端功能。在

TVOS

中，DRM

應(yīng)用注冊到

DRM

服務(wù)中，替代

DRM

插件完成DRM

可信應(yīng)用由

TEE

內(nèi)部應(yīng)用編程接口適配層、DRM

客戶端軟件開發(fā)包、DRM

客戶端運

DRM

DRM

DRM

DRM

客戶端功能接口。DRM

GY/T

DRM

GY/T

DRM

DRM

DRM

DRM

DRM

端證書燒寫到安全存儲中；也可在產(chǎn)線使用

DRM

客戶端證書置入接口將

DRM

客戶端私鑰及DRM

D.1

DRM

D.3

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

DRM

頻內(nèi)容的解密。DRM

插件由

DRM

插件接口適配層、DRM

客戶端軟件開發(fā)包、DRM

客戶端運行

DRM

DRMGY/T

附錄

C。DRM

客戶端運行環(huán)境提供密碼算法、隨機數(shù)、安全內(nèi)存、安全時間、安全存儲等安全能力。DRM

GY/T

D.2

DRM

DRM

DRM

DRM

DRM

DRM

DRM

D.4

應(yīng)用內(nèi)置

DRM

客戶端的集成方式見圖

D.3。DRM

客戶端以庫的方式集成到

DRM

播放應(yīng)用中。DRM

播放應(yīng)用調(diào)用

DRM

庫提供的

DRM

應(yīng)用編程接口實現(xiàn)

DRM

功能。DRM

DRM

應(yīng)用編程接口適配層、DRM

客戶端軟件開發(fā)包、DRM

客戶端運行環(huán)境接口適配層等。DRM

應(yīng)用編

DRM

DRM

DRM

DRM

內(nèi)存、安全時間、安全存儲等安全能力。DRM

客戶端運行環(huán)境接口定義見