随着广电行业5G的快速发展，业务IP化、融合化是大势所趋。广电运营商大量的视频服务从自己的传统专网，正在向跨网跨终端的开放互联网服务方式上转移。
但互联网的水潭毕竟不像专网那么清澈，存在各种潜流与漩涡。广电企业原先擅长的内网系统建设模式与习惯，在互联网业务上不可避免的碰到一些技术挑战。
近日，某广电发现其互联网大屏和微信小程序直播业务平台CDN流量暴增。
正常情况下，流量峰值在5G左右，现在增长到49.43G，几乎在一天内暴涨了10倍。从请求次数来看，短短五分钟请求112万次，其中某两个频道请求超过80万次，某个IP请求1107次。短短不到一周，被盗流量就总计185T，总流量是其正常流量的213%。
图一为前后的流量对比，可以明显看出红色区域三天的流量异常激增，以及黄色区域代表的后续封禁省外访问后的下降，但仍高于正常水平。
正常业务流程如下：用户打开小程序选择需要播放的频道，广电后台系统处理鉴权请求，通过后到CDN keyserver拿到一个含有加密串的播放地址，然后返回给用户端，用户端拿到此地址去请求CDN，CDN校验加密串是否合法。
如果合法，CDN将地址传递给二次鉴权中心，检验是否多个人同时访问同一个加密地址，如果少于设定数量，公网IP则被允许通过，否则拒绝。这样在用户鉴权成功的基础上，就可以确保CDN流量不会被盗用。
具体流程如下图所示。
而此次流量暴增的时候，广电后台系统服务器到CDN keyserver的请求次数，由原来17万次暴增近800%，经过仔细排查，发现是广电后台系统被攻破导致，出现了大量如上图红色异常用户。根源在于小程序后台业务请求接口完全是开放的，请求参数没有进行任何用户身份验证。
在与对方技术人员沟通中，发现对方认为微信小程序整个体系都基于HTTPS进行传输，证书互信，数据传输加密，不可能被破解，按照原有内网的方式设计了业务系统。
但是道高一尺，魔高一丈，采用中间人方式进行攻击，这种看起来牢不可破的传输很容易被解密为明文。而互联网上如Fiddler等工具的大量存在，使得这样的攻击成本极低。
下图呈现的就是攻击发生后，通过Fiddler找到获取播放地址的接口后，模拟请求的结果。
应对此次流量剧增的情况，作为流媒体服务方，亦非云先查封除该省外的所有用户，并对请求量过高的IP进行查封，尽力为广电客户挽回损失。
但这种方式只能将盗链流量降一半，还不能彻底解决业务系统被攻破的问题，还会误封一些正常请求的用户。为了补上安全漏洞，向广电建议业务系统接口增加个人信息验证，如与微信openID绑定。
同时，为了更好的协助广电业务系统在开放互联网上安全运行，也可以先构建类似于原有安全、干净的专网传输环境，将各种恶意攻击、劫持等拒之门外，这样在保障网络传输的安全性基础上就可以“平移”原有内网业务系统，复用原有技术、经验与思路，将精力集中于业务的开展。
亦非云创建的虚拟视频专网（VVPN，Virtual Video Private Network），正是在网络层面进行安全防护，建立起一个端到端安全可控的专用视频业务通道。VVPN基于SDN的架构，在虚拟专网基础上从终端到服务端进行网络保护。采用VPN加密客户端与业务服务器的通讯；通过区块链产生的密钥，可以用于VVPN传输中的视频加密，从而保证传输的通信安全。
但互联网的水潭毕竟不像专网那么清澈，存在各种潜流与漩涡。广电企业原先擅长的内网系统建设模式与习惯，在互联网业务上不可避免的碰到一些技术挑战。
作者：亦非云|张晓卫
近日，某广电发现其互联网大屏和微信小程序直播业务平台CDN流量暴增。
正常情况下，流量峰值在5G左右，现在增长到49.43G，几乎在一天内暴涨了10倍。从请求次数来看，短短五分钟请求112万次，其中某两个频道请求超过80万次，某个IP请求1107次。短短不到一周，被盗流量就总计185T，总流量是其正常流量的213%。
图一为前后的流量对比，可以明显看出红色区域三天的流量异常激增，以及黄色区域代表的后续封禁省外访问后的下降，但仍高于正常水平。
图一CDN流量暴增期间的分布图
正常业务流程如下：用户打开小程序选择需要播放的频道，广电后台系统处理鉴权请求，通过后到CDN keyserver拿到一个含有加密串的播放地址，然后返回给用户端，用户端拿到此地址去请求CDN，CDN校验加密串是否合法。
如果合法，CDN将地址传递给二次鉴权中心，检验是否多个人同时访问同一个加密地址，如果少于设定数量，公网IP则被允许通过，否则拒绝。这样在用户鉴权成功的基础上，就可以确保CDN流量不会被盗用。
具体流程如下图所示。
图二 CDN盗链流程图
而此次流量暴增的时候，广电后台系统服务器到CDN keyserver的请求次数，由原来17万次暴增近800%，经过仔细排查，发现是广电后台系统被攻破导致，出现了大量如上图红色异常用户。根源在于小程序后台业务请求接口完全是开放的，请求参数没有进行任何用户身份验证。
在与对方技术人员沟通中，发现对方认为微信小程序整个体系都基于HTTPS进行传输，证书互信，数据传输加密，不可能被破解，按照原有内网的方式设计了业务系统。
但是道高一尺，魔高一丈，采用中间人方式进行攻击，这种看起来牢不可破的传输很容易被解密为明文。而互联网上如Fiddler等工具的大量存在，使得这样的攻击成本极低。
下图呈现的就是攻击发生后，通过Fiddler找到获取播放地址的接口后，模拟请求的结果。
图三 模拟请求有线接口的结果
应对此次流量剧增的情况，作为流媒体服务方，亦非云先查封除该省外的所有用户，并对请求量过高的IP进行查封，尽力为广电客户挽回损失。
但这种方式只能将盗链流量降一半，还不能彻底解决业务系统被攻破的问题，还会误封一些正常请求的用户。为了补上安全漏洞，向广电建议业务系统接口增加个人信息验证，如与微信openID绑定。
同时，为了更好的协助广电业务系统在开放互联网上安全运行，也可以先构建类似于原有安全、干净的专网传输环境，将各种恶意攻击、劫持等拒之门外，这样在保障网络传输的安全性基础上就可以“平移”原有内网业务系统，复用原有技术、经验与思路，将精力集中于业务的开展。
亦非云创建的虚拟视频专网（VVPN，Virtual Video Private Network），正是在网络层面进行安全防护，建立起一个端到端安全可控的专用视频业务通道。VVPN基于SDN的架构，在虚拟专网基础上从终端到服务端进行网络保护。采用VPN加密客户端与业务服务器的通讯；通过区块链产生的密钥，可以用于VVPN传输中的视频加密，从而保证传输的通信安全。
服务器端与客户端基于虚拟专网进行采用端到端加密传输机制进行数据通信，由服务器端为每个用户分配接入账号的用户名和密码，并且每个设备的接入账号是唯一的。
这样所有接入广电开放互联网业务的用户，首先将进行网络层面的认证，如果通不过这层认证，将无法访问广电业务服务器，更不会有盗链等常见攻击的存在。
基于VVPN的网络安全，广电业务系统受到了良好的保护，避免受到各种攻击。这样的模式在VVPN落地的河南有线、河北有线、湖南有线等等，取得了不错的防护效果。
此次某广电微信电视业务CDN被盗链，折射出互联网的技术斗争与各种灰色地带，而广电业务要在开放互联网站稳脚跟，就必须要有足够的技术积累同各种恶意群体进行反复的攻防。
而VVPN建立了虚拟视频专网，包含了大量的网络安全保证，在此基础上可以较为容易的把原先广电的内网业务移植到开放的互联网上，希望能为广电业务迈向开放互联网尽绵薄之力。
这样所有接入广电开放互联网业务的用户，首先将进行网络层面的认证，如果通不过这层认证，将无法访问广电业务服务器，更不会有盗链等常见攻击的存在。
基于VVPN的网络安全，广电业务系统受到了良好的保护，避免受到各种攻击。这样的模式在VVPN落地的河南有线、河北有线、湖南有线等等，取得了不错的防护效果。
此次某广电微信电视业务CDN被盗链，折射出互联网的技术斗争与各种灰色地带，而广电业务要在开放互联网站稳脚跟，就必须要有足够的技术积累同各种恶意群体进行反复的攻防。
而VVPN建立了虚拟视频专网，包含了大量的网络安全保证，在此基础上可以较为容易的把原先广电的内网业务移植到开放的互联网上，希望能为广电业务迈向开放互联网尽绵薄之力。
