導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)信息安全機(jī)制解析

文檔作者：張艷霞1，李洪2。陳軍3，楊曉光3 文檔來源： 1．中國(guó)電信股份有限公司 2．中國(guó)電信集團(tuán)公司網(wǎng)絡(luò)運(yùn)行維護(hù)事業(yè)部 3．中國(guó)電信股份有限公司北京研究院		點(diǎn) 擊數(shù)：	更新時(shí)間： 2022年08月27日
下載地址：點(diǎn)擊這里	文件大小： 367.90 KB 共5頁(yè)	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共5頁(yè)]

本文件共5頁(yè)，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?67.90 KB 共5頁(yè) 文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：沿海火電廠入廠煤與入爐煤存在熱值差的原…

上一篇：電力安全風(fēng)險(xiǎn)現(xiàn)場(chǎng)監(jiān)控系統(tǒng)的設(shè)計(jì)

文本預(yù)覽

僅提取頁(yè)面文字內(nèi)容，供快速閱讀使用。

豢鬻瞄|；』筌警：』立≥主≥蘭塵』|j¨：ji¨|¨il Ijji|：；“；j
網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)信息安全機(jī)制解析
張艷霞1，李洪2。陳軍3，楊曉光3
(1．中國(guó)電信股份有限公司上海研究院上海200122；
2．中國(guó)電信集團(tuán)公司網(wǎng)絡(luò)運(yùn)行維護(hù)事業(yè)部北京100032；
3．中國(guó)電信股份有限公司北京研究院北京100035)
摘要：信息安全機(jī)制是網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)安全體系中的核心部分，其安全性包括業(yè)務(wù)數(shù)據(jù)安全性和音視頻
媒體數(shù)據(jù)安全性．對(duì)此，業(yè)界有多種解決方案和算法標(biāo)準(zhǔn)，選擇了監(jiān)控業(yè)界兩個(gè)代表性網(wǎng)絡(luò)視頻監(jiān)控標(biāo)準(zhǔn)的信
息安全機(jī)制進(jìn)行解讀，分析了主流解決方案和算法，最后提出了通用的視頻監(jiān)控的信息安全機(jī)制建議。
關(guān)鍵詞：網(wǎng)絡(luò)視頻監(jiān)控；數(shù)據(jù)安全；加密；信令
doi：10．3969／j．issn．1000—0801．2013．08．011
n ● T n J● 一●J l I ● ● TT 1 ●
K-eSearCn 0n lmormanon SeCUrltV TⅥ．eCnamSm U Sen ln
Network Video SurveiUance Svstem
zhang YaJlxial，Li Hon礦，chen Jun3，Yang xiaoguan93
(1．shaIlghai Research Institute of China Telecom Co．，Ltd．，shaJlgIlai 200122，China；
2．Network Operation＆Maintenance Division，China Telecom Corporation，Beijing l()0032，China；
3．Beijing Research Institute of China Telecom Co．，Ltd．，Beijing 100035，China)
Abstract：Infomation security mechanism is a key part of security network video sunreiUance system，including
senrice data security and multimedia data security，and there are a lot of security solutions and specifications now．
Tho typical specifications on the network video suⅣeiⅡance system were selected to analyze their i幽瑚ation
security mechanism and the encryption algorithm，and the suggestions on common data pmtection mechanism were
舀Ven out．
1【ey words：network video surveillance，data security，encryption，signaling
1 引言
網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)是基于IP網(wǎng)的圖像遠(yuǎn)程監(jiān)控、傳
輸、存儲(chǔ)、管理的視頻監(jiān)控系統(tǒng)，將分散、獨(dú)立的圖像采集
點(diǎn)進(jìn)行聯(lián)網(wǎng)，實(shí)現(xiàn)跨區(qū)域的統(tǒng)一監(jiān)控、統(tǒng)一存儲(chǔ)、統(tǒng)一管
理、資源共享。
典型網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)主要由前端監(jiān)控設(shè)備(攝像機(jī)、
視頻服務(wù)器／編碼器)、監(jiān)控中心(中心服務(wù)器)、監(jiān)控客戶
端(監(jiān)控工作站)3部分組成。通過對(duì)網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)所
面臨的安全狀況的分析，網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)的安全性在總
體結(jié)構(gòu)上分為4個(gè)層次：物理安全、接入安全、傳輸和網(wǎng)絡(luò)
安全、業(yè)務(wù)安全和數(shù)據(jù)安全。
其中．網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)數(shù)據(jù)安全是指應(yīng)對(duì)用戶和權(quán)
限等業(yè)務(wù)信息和音視頻媒體信息有加密保護(hù)措施，包括業(yè)
務(wù)數(shù)據(jù)的安全性和媒體數(shù)據(jù)的安全性，業(yè)務(wù)數(shù)據(jù)包括用戶
信息、實(shí)時(shí)瀏覽、存儲(chǔ)、回放以及數(shù)據(jù)配置(如設(shè)備信息查
詢、云臺(tái)功能查詢、通道名稱設(shè)置)等；媒體數(shù)據(jù)包括各通
道傳輸?shù)囊曨l數(shù)據(jù)、音頻數(shù)據(jù)以及靜態(tài)的錄像文件等。
萬(wàn)方數(shù)據(jù)
■ 專題：照務(wù)平套安全
視頻監(jiān)控系統(tǒng)面臨的數(shù)據(jù)安全威脅大體分類如下：
·拒絕服務(wù)攻擊。導(dǎo)致視頻監(jiān)控系統(tǒng)的業(yè)務(wù)系統(tǒng)無(wú)法
正常提供服務(wù)：
·漏洞威脅攻擊，導(dǎo)致視頻監(jiān)控系統(tǒng)的業(yè)務(wù)系統(tǒng)無(wú)法
正常提供服務(wù)，數(shù)據(jù)安全(機(jī)密性、完整性和可用
性)被破壞：
·病毒蠕蟲，帶來的數(shù)據(jù)完整性和可用性損失以及可
能的網(wǎng)絡(luò)可用性損失；
．口令猜測(cè)，導(dǎo)致視頻監(jiān)控系統(tǒng)的資源被濫用、業(yè)務(wù)
系統(tǒng)等無(wú)法正常提供服務(wù)，數(shù)據(jù)安全(機(jī)密性、完整
性和可用性)受到破壞；
．視頻監(jiān)控系統(tǒng)的信令，視頻數(shù)據(jù)的不安全遠(yuǎn)程傳
輸，導(dǎo)致數(shù)據(jù)安全(機(jī)密性、完整性和可用性)受到
破壞。
針對(duì)上述數(shù)據(jù)安全威脅，在數(shù)據(jù)安全的具體技術(shù)和設(shè)
備要求方面，監(jiān)控業(yè)界不同公司的安全策略不同，下面針對(duì)
業(yè)界關(guān)于網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)的數(shù)據(jù)安全機(jī)制和方案進(jìn)行
分析。
2視頻監(jiān)控系統(tǒng)的信息安全分類
通常．視頻監(jiān)控系統(tǒng)業(yè)務(wù)數(shù)據(jù)和媒體數(shù)據(jù)采用分離的
通道進(jìn)行操作，其傳輸通道類型可分為信令流和媒體流。
(1)信令流加密
業(yè)務(wù)數(shù)據(jù)加密是指每個(gè)控制命令或者參數(shù)設(shè)置命令
都必須進(jìn)行加密處理，采取加密業(yè)務(wù)信令通道的辦法來保
證信息的安全性，保證數(shù)據(jù)鑒別、防篡改、防窺視、鑒別來
源、防止非法訪問、防偽造。
系統(tǒng)對(duì)信令進(jìn)行加密，所有信令都使用加密技術(shù)，為
了支持加密技術(shù)，需增加會(huì)話準(zhǔn)備操作，進(jìn)行握手交換標(biāo)
識(shí)，以讀取密碼生成密鑰，進(jìn)而對(duì)分組進(jìn)行加密。
(2)媒體流加密
對(duì)于視頻流的實(shí)時(shí)加密流程與信令流類似，同樣需要
進(jìn)行交換標(biāo)識(shí)，以讀取密碼生成密鑰。
視頻流和視頻控制信令應(yīng)以不同的物理通道進(jìn)行傳
輸，視頻控制信令通過信令流傳輸，視頻流通過媒體流
傳輸。
視頻控制協(xié)議是視頻監(jiān)控終端與視頻設(shè)備(視頻管理
服務(wù)器／監(jiān)控平臺(tái)、DVR、攝像頭等設(shè)備)間的控制指令集，
即建立視頻監(jiān)控圖像連接的基本指令集。為保證通信中指
令集不包含網(wǎng)絡(luò)攻擊指令、其他非法字符集或嵌入機(jī)密數(shù)
據(jù)向外泄露．視頻傳輸系統(tǒng)應(yīng)具備視頻協(xié)議安全控制功
能．對(duì)所有視頻監(jiān)控交互指令進(jìn)行嚴(yán)格安全過濾，阻斷非
法數(shù)據(jù)傳輸和網(wǎng)絡(luò)攻擊的入侵。
3視頻監(jiān)控信息安全機(jī)制的標(biāo)準(zhǔn)情況
針對(duì)網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)安全機(jī)制．業(yè)界主要有ONVIF
(0Den Network Video Inte血ce Fomm，開放型網(wǎng)絡(luò)視頻產(chǎn)
品接口開發(fā)論壇)、中華人民共和國(guó)公安部(以下簡(jiǎn)稱公安
部)《城市監(jiān)控報(bào)警聯(lián)網(wǎng)系統(tǒng)技術(shù)標(biāo)準(zhǔn)安全技術(shù)要求》、
CCSA《電信網(wǎng)視頻監(jiān)控系統(tǒng)安全要求》等標(biāo)準(zhǔn)，此外運(yùn)營(yíng)
商和廠商各自制定了針對(duì)自己系統(tǒng)的安全標(biāo)準(zhǔn)和解決方
案，其中0NVIF和《城市監(jiān)控報(bào)警聯(lián)網(wǎng)系統(tǒng)技術(shù)標(biāo)準(zhǔn)安全
技術(shù)要求》是業(yè)界采用比較多的監(jiān)控標(biāo)準(zhǔn)。
0NVIF成立于2008年5月．由安訊士網(wǎng)絡(luò)通訊公司
聯(lián)合博世集團(tuán)及索尼公司三方攜手共同成立，關(guān)注IP視
頻監(jiān)控，目標(biāo)是實(shí)現(xiàn)一個(gè)網(wǎng)絡(luò)視頻框架協(xié)議，使不同廠商
所生產(chǎn)的網(wǎng)絡(luò)視頻產(chǎn)品(包括攝錄前端、錄像設(shè)備等)完全
互通。ONVIF規(guī)范向視頻監(jiān)控引入了Web Services的概
念．設(shè)備的實(shí)際功能均被抽象為Web Services的服務(wù)，視
頻監(jiān)控系統(tǒng)的控制單元以客戶端的身份出現(xiàn)，通過Web
請(qǐng)求的形式完成控制操作。
由于0NVIF基于Web Services．Web SeⅣices主要利
用H哪P和SOAP使數(shù)據(jù)在Web上傳輸，其在信息安全
方面主要有以下要求：
·獲取或設(shè)置訪問安全策略；
·服務(wù)器端H7I’I甲lS(secure hypercext tmnsfer protoc01，
安全超文本傳輸協(xié)議)認(rèn)證；
·客戶端H7兀碼認(rèn)證；
·密鑰生成和證書下載功能；
-IEEE 802．1x supplicant認(rèn)證；
·IEEE 802．1x CA認(rèn)證：
-IEEE 802．1x配置。
在信息安全性方面，ONVIF規(guī)范支持摘要認(rèn)證和WS一
安全框架。
在用戶認(rèn)證方面，最基本驗(yàn)證包括H7I耶摘要認(rèn)證和
WSS摘要認(rèn)證(用戶名令牌描述(usemame token pr曲le))，
高級(jí)驗(yàn)證包括TLs-based access。
在用戶認(rèn)證通過后，通過“獲取或設(shè)置訪問安全策
略”實(shí)現(xiàn)基于用戶的權(quán)限控制．以授權(quán)其能訪問的前端
監(jiān)控設(shè)備。
萬(wàn)方數(shù)據(jù)
蒸：睦囊塑鍪豳
用戶名令牌描述必須使用隨機(jī)數(shù)和時(shí)間戳作為定義
(根據(jù)WS．usemame token)，因?yàn)橄到y(tǒng)為每個(gè)攝像頭設(shè)備提
供不同證書不太現(xiàn)實(shí)，因此系統(tǒng)對(duì)客戶端使用用戶名令牌
描述和主要權(quán)限驗(yàn)證，這樣就需使用密碼加密算法，算法
主要采用SHA．1函數(shù)和HMAC算法。舉例來說，某一用戶
A，其用戶名令牌為UA，P-UA，該用戶要訪問的終端設(shè)備
為NEP，則PE』A=base64(HMAC-sHA-1(UA+P-UA，
NEP+“0NVIF password”))即為其客戶端配置的用戶證書
和設(shè)備權(quán)限驗(yàn)證，其中HMAC．SHA．1是一種安全的基于
加密散列(Hash)函數(shù)和共享密鑰的消息認(rèn)證協(xié)議，它可以
有效地防止數(shù)據(jù)在傳輸過程中被截獲和篡改．維護(hù)了數(shù)據(jù)
的完整性、可靠性和安全性。
在信息的安全通信層面，0NVIF規(guī)范定義了兩種通信
層面的安全架構(gòu)：傳輸層安全(t舢spon layer security，TLS)
和消息層安全。
傳輸層安全協(xié)議用于保護(hù)0NⅥF提供的所有服務(wù)．同
時(shí)還需要保護(hù)媒體流的RTP(real．time tmsport protocol，實(shí)
時(shí)傳輸協(xié)議)，R，IIsP／H1．ITlS。
·設(shè)備應(yīng)該支持TLS 1．0、TLs 1．1．可以支持哪!．2：加
密算法支持TLs—RsA．．WⅡH_AESj28一CBCISHA、
’n。s-RSA—W刪一NULI。SHA。
·客戶端應(yīng)支持’I瞄1．1、’IB 1．0，加密算法支持TLS—
RSA-_WrrI{一AEs-128_CBC-sHA、TLS—RSA-WⅡ‘H_
NULL-sHA。
·服務(wù)器端認(rèn)證：設(shè)備支持X．509(X．509是由國(guó)際電
信聯(lián)盟(IfITU-T)制定的數(shù)字證書標(biāo)準(zhǔn))服務(wù)器認(rèn)證．
RsA kev長(zhǎng)度至少為l 024 bit：客戶端支持TLs服
務(wù)器認(rèn)證。
·客戶端認(rèn)證：支持哪的設(shè)備應(yīng)該支持客戶端認(rèn)
證，客戶端認(rèn)證功能可以在設(shè)備管理命令中禁止和
啟用。支持’TLs的設(shè)備應(yīng)該在證書請(qǐng)求中支持R5A
認(rèn)證類型。而且應(yīng)該支持RSA客戶端認(rèn)證和簽名
驗(yàn)證。
信息層面的安全。規(guī)范采用基于端口的安全框架
IEEE 802．1x， 支持EAP-PEAP／MSCHAPv2、EAP-MD5、
EAP-TLS和EAP唧LS。TLS允許點(diǎn)對(duì)點(diǎn)的保密性和完整
性，但是在有中間通信節(jié)點(diǎn)的情況下，TLs不能提供端到端
的安全，此外，為了實(shí)現(xiàn)用戶基本權(quán)限控制，Web Sen，ices需
要驗(yàn)證每個(gè)SOAP消息的來源。
在信息安全方面，公安部《城市監(jiān)控報(bào)警聯(lián)網(wǎng)系統(tǒng)技
術(shù)標(biāo)準(zhǔn)安全技術(shù)要求》對(duì)此有具體的信息安全章節(jié)要求，
該標(biāo)準(zhǔn)是由全國(guó)安全防范報(bào)警系統(tǒng)標(biāo)準(zhǔn)化技術(shù)委員會(huì)制
定的，其成立于1987年，負(fù)責(zé)我國(guó)安全防范技術(shù)領(lǐng)域國(guó)家
標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)的制定、修訂工作和對(duì)口國(guó)際電工委員會(huì)／
報(bào)警技術(shù)委員會(huì)(IEC／rI'C79)的工作。
其信息安全技術(shù)要求的主要內(nèi)容總結(jié)如下。
·公鑰基礎(chǔ)設(shè)施，包括證書認(rèn)證機(jī)構(gòu)(CA)和3種證
書類型(用戶證書、設(shè)備證書和CA證書)，證書的
載體可通過移動(dòng)存儲(chǔ)介質(zhì)、硬盤、智能卡、USBKey、
專用加密設(shè)備，其中USBKev為USB接口帶有算法
的令牌，專用加密設(shè)備如加密機(jī)，用于產(chǎn)生、存儲(chǔ)和
管理密鑰和公鑰證書。
·用戶身份認(rèn)證可采用USBKev、靜態(tài)口令、動(dòng)態(tài)口
令、智能卡、人體生物特征等。
·對(duì)標(biāo)準(zhǔn)SIP設(shè)備的認(rèn)證，采用數(shù)字證書的認(rèn)證方式。
·在數(shù)據(jù)的加密保護(hù)方面，針對(duì)靜態(tài)存儲(chǔ)文件、傳輸
內(nèi)容、信令數(shù)據(jù)定義了可支持的加密算法：DES、
3DES、AES(advanced enc聊tion starIdard，高級(jí)加密
標(biāo)準(zhǔn))(128 bit)、RSA(1 024 b“或2 048 bit)、安全
多用途網(wǎng)際郵件擴(kuò)充協(xié)議(s／MIME)等。
·對(duì)信息的完整性采用數(shù)字摘要、數(shù)字時(shí)間戳及數(shù)字
水印等技術(shù)防止信息的完整性被破壞。數(shù)字摘要支
持信息摘要5(MD5)、安全散列算法1(SHA．1)、安
全散列算法256(SHA．256)等算法。
上述兩個(gè)標(biāo)準(zhǔn)對(duì)業(yè)界視頻監(jiān)控?cái)?shù)據(jù)安全機(jī)制的實(shí)現(xiàn)
有著重要的指導(dǎo)意義，涵蓋了監(jiān)控業(yè)界主流解決方案。
4視頻監(jiān)控信息安全機(jī)制的對(duì)比
以業(yè)界一個(gè)典型安全的監(jiān)控系統(tǒng)廠商為例。通常其會(huì)
支持多種信息安全方案，包括視頻編解碼算法支持高等級(jí)
加密算法；支持傳輸數(shù)據(jù)加密，防止惡意登錄后的瀏覽；圖
像碼流包含數(shù)字水印，防止替換和篡改；在信息安全傳輸
協(xié)議方面通常支持H‘I四S傳輸，確保傳輸安全等。
監(jiān)控廠商采用哪一種信息安全機(jī)制標(biāo)準(zhǔn)。與監(jiān)控系統(tǒng)
的實(shí)際應(yīng)用場(chǎng)景和系統(tǒng)架構(gòu)有密切關(guān)系。
以0NVIF規(guī)范為例，0NVIF規(guī)范核心聚焦點(diǎn)在于網(wǎng)
絡(luò)視頻傳送設(shè)備與網(wǎng)絡(luò)視頻客戶端之間的接口．因此其典
型應(yīng)用場(chǎng)景是：
·前端監(jiān)控設(shè)備PU上線后．向平臺(tái)CMU發(fā)送heⅡo
消息；
萬(wàn)方數(shù)據(jù)
■ 專題：照務(wù)平套安全
·平臺(tái)CMU需要搜尋設(shè)備時(shí)．向前端監(jiān)控設(shè)備PU發(fā)
送probe消息；
·平臺(tái)CMU與前端監(jiān)控設(shè)備PU進(jìn)行信令交互，請(qǐng)求
能力集，獲取配置：
·客戶端CU上線，向平臺(tái)CMU注冊(cè)，建立連接：
·平臺(tái)CMU與客戶端CU進(jìn)行信令交互．傳輸設(shè)備
列表：
·在平臺(tái)CMU的協(xié)調(diào)下．客戶端CU同前端監(jiān)控設(shè)備
PU建立連接傳輸碼流。
由上述場(chǎng)景可見，ONVIF平臺(tái)CMU的功能在于協(xié)調(diào)
CU同前端監(jiān)控設(shè)備PU建立連接傳輸碼流，其針對(duì)信息安
全的研究也主要側(cè)重于系統(tǒng)信息安全認(rèn)證和獲取，包括業(yè)
務(wù)信令數(shù)據(jù)的安全認(rèn)證、密鑰生成和證書下載功能，為此，
0NVIF定義了用戶證書和生成機(jī)制，以實(shí)現(xiàn)客戶端與網(wǎng)絡(luò)
視頻產(chǎn)品之間安全的授權(quán)訪問。
此外。在協(xié)議架構(gòu)方面，ONVIF是基于Web Sen『ices
協(xié)議的，因此其在信息的安全傳輸方面使用IEEE 802．1x
驗(yàn)證服務(wù)器和HrITllPS保護(hù)機(jī)制．以保證信息點(diǎn)到點(diǎn)的安
全傳輸。由于0NVIF平臺(tái)不負(fù)責(zé)音視頻媒體流的轉(zhuǎn)發(fā)，
是客戶端到攝像頭點(diǎn)到點(diǎn)直連訪問音視頻，因此，ONVIF
信息安全標(biāo)準(zhǔn)不涉及音視頻媒體數(shù)據(jù)的加密、完整性保
護(hù)和傳輸。
公安部《城市監(jiān)控報(bào)警聯(lián)網(wǎng)系統(tǒng)標(biāo)準(zhǔn)》行業(yè)標(biāo)準(zhǔn)對(duì)全
國(guó)平安城市工程的建設(shè)和監(jiān)控系統(tǒng)相關(guān)設(shè)備的開發(fā)起著
規(guī)定指導(dǎo)性的作用，需涵蓋國(guó)內(nèi)絕大部分安全防范用視頻
監(jiān)控系統(tǒng)的技術(shù)要求，因此該系列標(biāo)準(zhǔn)針對(duì)城市監(jiān)控報(bào)警
聯(lián)網(wǎng)系統(tǒng)，從視頻編解碼、信息傳輸和控制、視頻的存儲(chǔ)和
播放、平臺(tái)系統(tǒng)、卡口監(jiān)控和比對(duì)、設(shè)備接人和使用、安全
和測(cè)試、工程驗(yàn)收等做了較為技術(shù)性的詳盡要求。
因此，與0NVIF規(guī)范不提供完全的服務(wù)器端證書機(jī)構(gòu)
(CA)不同，公安部《城市監(jiān)控報(bào)警聯(lián)網(wǎng)系統(tǒng)技術(shù)標(biāo)準(zhǔn)安全
技術(shù)要求》定義了基于專門證書認(rèn)證機(jī)構(gòu)認(rèn)證體系，定義
了3種證書類型(用戶證書、設(shè)備證書和CA證書)，并統(tǒng)一
了證書的格式，定義了證書的載體．用戶可采用公安部、國(guó)
家密碼管理局等國(guó)家有關(guān)機(jī)構(gòu)認(rèn)證通過的硬件加密機(jī)(即
黑盒子)，用于產(chǎn)生、存儲(chǔ)和管理密鑰和公鑰證書。
此外，與ONVIF規(guī)范側(cè)重于業(yè)務(wù)信令數(shù)據(jù)的安全認(rèn)
證不同，《城市監(jiān)控報(bào)警聯(lián)網(wǎng)系統(tǒng)技術(shù)標(biāo)準(zhǔn)安全技術(shù)要求》
在業(yè)務(wù)信令數(shù)據(jù)和音視頻媒體數(shù)據(jù)加密和完整性方面皆
定義了可支持的加密算法要求。
5監(jiān)控系統(tǒng)采用的主流算法
從具體的加密算法方面。針對(duì)信令流和媒體流加密，監(jiān)
控系統(tǒng)一般使用DES、3DES、AES(128 bit)、RSA(1 024 bit
或2 048 bit)等加密算法。
DES、3DES是對(duì)稱加密算法．即加密和解密使用相同
密鑰的算法．DES使用一個(gè)56 bit的密鑰，3DES使用兩個(gè)
獨(dú)立密鑰對(duì)明文運(yùn)行DES算法3次，從而得到112 bit有
效密鑰強(qiáng)度：一般監(jiān)控系統(tǒng)可采用DES、3DES算法保證信
令流和媒體流的安全性。
AES為對(duì)稱加密算法，支持長(zhǎng)度為128 bit、192 bit和
256 bil的密鑰長(zhǎng)度．其中128 bit密鑰長(zhǎng)度的AES是最常
采用的版本。也是監(jiān)控系統(tǒng)中采用較多的一種算法。
RSA是非對(duì)稱加密算法。是目前最優(yōu)秀的公鑰方案之
一，但是RSA的缺點(diǎn)是運(yùn)算代價(jià)很高，尤其是速度較慢，
較對(duì)稱密碼算法慢幾個(gè)數(shù)量級(jí)，因此RSA一般用于對(duì)
AES密鑰的安全傳輸。由于AES加密算法是公開的，信息
的保密依賴于AES密鑰的保密，因此，對(duì)于AES密鑰的安
全傳輸，可采用RAS非對(duì)稱加密算法。
監(jiān)控系統(tǒng)中的數(shù)據(jù)除了通過信令流和媒體流傳輸外，
還有很多靜止的數(shù)據(jù)，如存儲(chǔ)的錄像文件、音頻數(shù)據(jù)，為保
證安全性，同樣也需要加密處理．針對(duì)錄像文件加密的方
法有很多，可采用3DES、AES(128 bit)、SCB2等。
此外，在監(jiān)控系統(tǒng)中．為了確保圖片和視頻數(shù)據(jù)的安
全可靠，監(jiān)控系統(tǒng)可采用數(shù)字摘要、數(shù)字時(shí)間戳及數(shù)字水
印等技術(shù)防止信息的完整性被破壞。
數(shù)字摘要就是采用單項(xiàng)散列函數(shù)將需要加密的明文
“摘要”成一串固定長(zhǎng)度(128 bit)的密文，數(shù)字摘要可采用
信息摘要5(MD5)、安全散列算法1(SHA．1)、安全散列算
法256(SHA．256)等算法。
數(shù)字時(shí)間戳是用來證明消息的收發(fā)時(shí)間的，用戶首
先將需要加時(shí)間戳的文件經(jīng)加密后形成文檔，然后將摘
要發(fā)送到專門提供數(shù)字時(shí)間戳服務(wù)的權(quán)威機(jī)構(gòu)，該機(jī)構(gòu)
對(duì)原摘要加上時(shí)間后，進(jìn)行數(shù)字簽名，用私鑰加密，并發(fā)
送給原用戶。
數(shù)字水印技術(shù)。即在抓拍照片或視頻編碼過程中加入
隱藏標(biāo)記，防止該照片或視頻在傳輸、存儲(chǔ)、處理過程中被
惡意篡改，確保數(shù)據(jù)的保密性，水印制作方案采用密碼學(xué)
中的加密體系來加強(qiáng)，在水印嵌入、提取時(shí)采用一種密鑰
甚至幾種密鑰聯(lián)合使用。
萬(wàn)方數(shù)據(jù)
一二：墮羹羹鋈
在數(shù)據(jù)安全傳輸協(xié)議方面，監(jiān)控系統(tǒng)通常用到HrITllPS、
IEEE 802．1x(基于端口的網(wǎng)絡(luò)接人控制)協(xié)議、TLs協(xié)議、
SRTP(seeure real．time transpon prococol，安全實(shí)時(shí)傳輸控制
協(xié)議)。
H‘I耶S是監(jiān)控系統(tǒng)中應(yīng)用較多的安全傳輸協(xié)議，是由
SSL+HrIfllP構(gòu)建的可進(jìn)行加密傳輸、身份認(rèn)證的網(wǎng)絡(luò)協(xié)議，
一般應(yīng)用于業(yè)務(wù)數(shù)據(jù)信令流的加密。
IEEE 802．1x協(xié)議使用標(biāo)準(zhǔn)安全協(xié)議(如RADIUS)提供
集中的用戶標(biāo)識(shí)、身份驗(yàn)證、動(dòng)態(tài)密鑰管理和記賬，客戶端
通過認(rèn)證獲得身份驗(yàn)證。為會(huì)話生成唯一密鑰，該密鑰可
用于監(jiān)控系統(tǒng)消息安全傳輸。
TLS協(xié)議使得當(dāng)服務(wù)器和客戶機(jī)進(jìn)行通信時(shí)，確保沒
有第三方能竊聽或盜取信息。7Ⅱ5協(xié)議包括TLS記錄協(xié)議
和TLS握手協(xié)議：7rLS記錄協(xié)議可使用如數(shù)據(jù)加密標(biāo)準(zhǔn)
(DES)保證連接安全。TLS握手協(xié)議使服務(wù)器和客戶機(jī)在
數(shù)據(jù)交換之前進(jìn)行相互鑒定，并協(xié)商加密算法和密鑰。
視頻流在傳輸層的加密也可使用SRTP對(duì)傳輸通道進(jìn)
行加密，SRTP是在RTP基礎(chǔ)上所定義的一個(gè)協(xié)議，旨在為
單播和多播應(yīng)用程序中的實(shí)時(shí)傳輸協(xié)議的數(shù)據(jù)提供加密、
消息認(rèn)證、完整性保護(hù)和重放保護(hù)功能。
6安全機(jī)制的應(yīng)用建議
通常，一個(gè)監(jiān)控系統(tǒng)應(yīng)根據(jù)加密等級(jí)和系統(tǒng)架構(gòu)的不
同采用相應(yīng)的安全機(jī)制。
對(duì)于一般的安全監(jiān)控系統(tǒng)。要求支持業(yè)務(wù)數(shù)據(jù)訪問權(quán)
限進(jìn)行安全認(rèn)證和授權(quán)，實(shí)現(xiàn)業(yè)務(wù)信令流的加密和傳輸。
訪問權(quán)限的安全認(rèn)證可采用口令、數(shù)字證書或數(shù)字摘要等
標(biāo)準(zhǔn)算法，信令流的加密算法根據(jù)業(yè)界標(biāo)準(zhǔn)可采用DES、
3DES、AES(128 bit)等算法，信令流的安全傳輸可根據(jù)監(jiān)
控架構(gòu)協(xié)議采用不同的通信安全協(xié)議，如HTrPS、IEEE
802．1x等。
對(duì)于需要高度安全和保密的系統(tǒng)，不但需要支持信令
流的加密，還需要對(duì)傳輸?shù)拿襟w流進(jìn)行加密，一般廠商的
視頻編解碼芯片均可支持高等級(jí)音視頻加密算法，如
DES、3DES、AES(128 bit)等。此外，視頻加密可以采用視頻
關(guān)鍵幀或全數(shù)據(jù)加密兩種方式。關(guān)鍵幀是反映一組鏡頭中
的主要信息內(nèi)容的一幀圖像，由于視頻監(jiān)控系統(tǒng)攝像頭一
般是固定安裝的，其所涉及的場(chǎng)景范圍有限，因此，各幀圖
像冗余信息很多，采用全數(shù)據(jù)視頻流加密耗費(fèi)芯片資源，
加密費(fèi)用很高，采用關(guān)鍵幀加密可以減少很多工作量。
媒體流和信令流數(shù)據(jù)的加密，不論采用何種加密算
法，均涉及密鑰的管理問題。
在不采用專門證書認(rèn)證機(jī)構(gòu)的認(rèn)證體系下，監(jiān)控平
臺(tái)、前端監(jiān)控設(shè)備、監(jiān)控客戶端必須具備采用統(tǒng)一的加解
密模塊和密鑰產(chǎn)生模塊的能力，為了調(diào)試或其他選擇，視
頻監(jiān)控平臺(tái)、監(jiān)控終端和客戶端都必須支持統(tǒng)一的開關(guān)，
方便開啟或關(guān)閉命令加密功能。
考慮到視頻監(jiān)控平臺(tái)可分為多級(jí)監(jiān)控平臺(tái)，因此不同
的監(jiān)控平臺(tái)的服務(wù)器應(yīng)該使用不同的密鑰，每個(gè)監(jiān)控平臺(tái)
服務(wù)器定期隨機(jī)產(chǎn)生一個(gè)密鑰，該監(jiān)控平臺(tái)服務(wù)器下的所
有終端設(shè)備可以獲得該密鑰，終端設(shè)備使用該密鑰對(duì)發(fā)送
出去的數(shù)據(jù)加密，對(duì)接收的數(shù)據(jù)解密，保障信息在傳輸過
程中的安全性。
視頻監(jiān)控系統(tǒng)之間需要經(jīng)過信任操作才能互通，一般
的信任操作由雙方執(zhí)行，請(qǐng)求方信任受信方，受信方的請(qǐng)
求可以被請(qǐng)求方接受。對(duì)等地，受信方也要執(zhí)行信任操作，
以監(jiān)控系統(tǒng)通常采用的AES加密為例，其原理如下。
視頻監(jiān)控平臺(tái)服務(wù)器定期隨機(jī)產(chǎn)生一個(gè)AES加密／解
密密鑰．分別使用各個(gè)終端或客戶端用戶密碼對(duì)AES加密
密鑰進(jìn)行加密，形成傳輸密鑰發(fā)往各個(gè)設(shè)備，各個(gè)設(shè)備對(duì)
傳輸密鑰的內(nèi)容進(jìn)行解密，即可獲取AES加密／解密密鑰。
在以后的監(jiān)控過程中．所有設(shè)備就可以使用該AES加密／
解密密鑰對(duì)信令和媒體碼流進(jìn)行加密和解密。
對(duì)于監(jiān)控系統(tǒng)中靜止的數(shù)據(jù)，如存儲(chǔ)的錄像文件、音
頻數(shù)據(jù)，為保證安全性，需要加密處理，可采用通用的針對(duì)
錄像文件加密的方法，如3DES、AES(128 bit)、SCB2等。
為了確保圖片和視頻數(shù)據(jù)的安全可靠，監(jiān)控系統(tǒng)還可
采用數(shù)字摘要、數(shù)字時(shí)間戳及數(shù)字水印等技術(shù)防止信息的
完整性被破壞。
7 結(jié)束語(yǔ)
綜上所述．網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)的安全性是個(gè)復(fù)雜的體
系．要保證視頻監(jiān)控的安全運(yùn)行，還需要考慮多級(jí)安全認(rèn)
證機(jī)制、關(guān)鍵數(shù)據(jù)容災(zāi)，備份、網(wǎng)絡(luò)私密保護(hù)(VLAN廠vPN)、
網(wǎng)元自動(dòng)化運(yùn)行管理等多種因素。本文針對(duì)監(jiān)控系統(tǒng)中最
關(guān)鍵的數(shù)據(jù)安全，選擇監(jiān)控業(yè)界兩個(gè)代表性標(biāo)準(zhǔn)的信息安
全機(jī)制進(jìn)行解讀．對(duì)主流解決方案進(jìn)行了對(duì)比，分析了監(jiān)
控系統(tǒng)采用的主流算法，最后提出了視頻監(jiān)控的安全機(jī)制
應(yīng)用建議。

網(wǎng)友評(píng)論 more

電力安全論文最新內(nèi)容

03-05