网络视频监控系统信息安全机制解析

【安防在线 www.anfang.cn】
　　1.引言

　　网络视频监控系统是基于IP网的图像远程监控、传输、存储、管理的视频监控系统，将分散、独立的图像采集点进行联网，实现跨区域的统一监控、统一存储、统一管理、资源共享。

　　典型网络视频监控系统主要由前端监控设备(摄像机、视频服务器/编码器)、监控中心(中心服务器)、监控客户端(监控工作站)3部分组成。通过对网络视频监控系统所面临的安全状况的分析，网络视频监控系统的安全性在总体结构上分为4个层次：物理安全、接入安全、传输和网络安全、业务安全和数据安全。

　　其中，网络视频监控系统数据安全是指应对用户和权限等业务信息和音视频媒体信息有加密保护措施，包括业务数据的安全性和媒体数据的安全性，业务数据包括用户信息、实时浏览、存储、回放以及数据配置(如设备信息查询、云台功能查询、通道名称设置)等;媒体数据包括各通道传输的视频数据、音频数据以及静态的录像文件等。

　　视频监控系统面临的数据安全威胁大体分类如下：

　　拒绝服务攻击。导致视频监控系统的业务系统无法正常提供服务：

　　漏洞威胁攻击，导致视频监控系统的业务系统无法正常提供服务，数据安全(机密性、完整性和可用性)被破坏：

　　病毒蠕虫，带来的数据完整性和可用性损失以及可能的网络可用性损失;

　　口令猜测，导致视频监控系统的资源被滥用、业务系统等无法正常提供服务，数据安全(机密性、完整性和可用性)受到破坏;

　　视频监控系统的信令，视频数据的不安全远程传输，导致数据安全(机密性、完整性和可用性)受到破坏。

　　针对上述数据安全威胁，在数据安全的具体技术和设备要求方面，监控业界不同公司的安全策略不同，下面针对业界关于网络视频监控系统的数据安全机制和方案进行分析。

　　2.视频监控系统的信息安全分类

　　通常，视频监控系统业务数据和媒体数据采用分离的通道进行操作，其传输通道类型可分为信令流和媒体流。

　　(1)信令流加密

　　业务数据加密是指每个控制命令或者参数设置命令都必须进行加密处理，采取加密业务信令通道的办法来保证信息的安全性，保证数据鉴别、防篡改、防窥视、鉴别来源、防止非法访问、防伪造。

　　系统对信令进行加密，所有信令都使用加密技术，为了支持加密技术，需增加会话准备操作，进行握手交换标识，以读取密码生成密钥，进而对分组进行加密。

　　(2)媒体流加密

　　对于视频流的实时加密流程与信令流类似，同样需要进行交换标识，以读取密码生成密钥。

　　视频流和视频控制信令应以不同的物理通道进行传输，视频控制信令通过信令流传输，视频流通过媒体流传输。

　　视频控制协议是视频监控终端与视频设备(视频管理服务器/监控平台、DVR、摄像头等设备)间的控制指令集，即建立视频监控图像连接的基本指令集。为保证通信中指令集不包含网络攻击指令、其他非法字符集或嵌入机密数据向外泄露。视频传输系统应具备视频协议安全控制功能，对所有视频监控交互指令进行严格安全过滤，阻断非法数据传输和网络攻击的入侵。

　　3.视频监控信息安全机制的标准情况

　　针对网络视频监控系统安全机制，业界主要有ONVIF(OpenNetworkVideoInterfaceForum，开放型网络视频产品接口开发论坛)、中华人民共和国公安部(以下简称公安部)《城市监控报警联网系统技术标准安全技术要求》、CCSA《电信网视频监控系统安全要求》等标准，此外运营商和厂商各自制定了针对自己系统的安全标准和解决方案，其中ONVIF和《城市监控报警联网系统技术标准安全技术要求》是业界采用比较多的监控标准。

　　ONVIF成立于2008年5月。由安讯士网络通讯公司联合博世集团及索尼公司三方携手共同成立，关注IP视频监控，目标是实现一个网络视频框架协议，使不同厂商所生产的网络视频产品(包括摄录前端、录像设备等)完全互通。ONVIF规范向视频监控引入了WebServices的概念。设备的实际功能均被抽象为WebServices的服务，视频监控系统的控制单元以客户端的身份出现，通过Web请求的形式完成控制操作。

　　由于ONVIF基于WebServices，WebServices主要利用HTTP和SOAP使数据在Web上传输，其在信息安全方面主要有以下要求：

　　获取或设置访问安全策略;

　　服务器端HTTPS(securehypertexttransferprotocol，安全超文本传输协议)认证;

　　客户端HTTPS认证;

　　密钥生成和证书下载功能;

　　IEEE802.1xsupplicant认证;

　　IEEE802.1xCA认证：

　　IEEE802.1x配置。

　　在信息安全性方面，ONVIF规范支持摘要认证和WS一安全框架。

　　在用户认证方面，最基本验证包括HTTP摘要认证和WSS摘要认证(用户名令牌描述(usernametokenprofile))，高级验证包括TLS-basedaccess。

　　在用户认证通过后，通过”获取或设置访问安全策略”实现基于用户的权限控制，以授权其能访问的前端监控设备。

　　用户名令牌描述必须使用随机数和时间戳作为定义(根据WS-usemametoken)，因为系统为每个摄像头设备提供不同证书不太现实，因此系统对客户端使用用户名令牌描述和主要权限验证，这样就需使用密码加密算法，算法主要采用SHA-1函数和HMAC算法。举例来说，某一用户A，其用户名令牌为UA，P-UA，该用户要访问的终端设备为NEP，则PE_UA=base64(HMAC-SHA-1(UA+P_UA，NEP+”0NVIFpassword”))即为其客户端配置的用户证书和设备权限验证，其中HMAC_SHA-1是一种安全的基于加密散列(Hash)函数和共享密钥的消息认证协议，它可以有效地防止数据在传输过程中被截获和篡改。维护了数据的完整性、可靠性和安全性。

　　在信息的安全通信层面，0NVIF规范定义了两种通信层面的安全架构：传输层安全(transponlayersecurity，TLS)和消息层安全。

　　传输层安全协议用于保护0NⅥF提供的所有服务。同时还需要保护媒体流的RTP(real.timetmsportprotocol，实时传输协议)，RTSP/HTTPS。

　　设备应该支持TLS1.0、TLS1.1，可以支持TLS1.2;加密算法支持TLS_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_WITH_SHA。

　　客户端应支持TLS1.1、TLS1.0，加密算法支持TLS_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_NULL_SHA。

　　服务器端认证：设备支持X.509(X.509是由国际电信联盟(ITU-T)制定的数字证书标准)服务器认证。RSAkey长度至少为l024bit：客户端支持TLS服务器认证。

　　客户端认证：支持哪的设备应该支持客户端认证，客户端认证功能可以在设备管理命令中禁止和启用。支持TLS的设备应该在证书请求中支持R5A认证类型。而且应该支持RSA客户端认证和签名验证。

　　信息层面的安全。规范采用基于端口的安全框架IEEE802.1x，支持EAP-PEAP/MSCHAPv2、EAP-MD5、EAP-TLS和EAP-TLS。TLS允许点对点的保密性和完整性，但是在有中间通信节点的情况下，TLS不能提供端到端的安全，此外，为了实现用户基本权限控制，WebServices需要验证每个SOAP消息的来源。

　　在信息安全方面，公安部《城市监控报警联网系统技术标准安全技术要求》对此有具体的信息安全章节要求，该标准是由全国安全防范报警系统标准化技术委员会制定的，其成立于1987年，负责我国安全防范技术领域国家标准、行业标准的制定、修订工作和对口国际电工委员会/报警技术委员会(IEC/TC79)的工作。

　　其信息安全技术要求的主要内容总结如下。

　　公钥基础设施，包括证书认证机构(CA)和3种证书类型(用户证书、设备证书和CA证书)，证书的载体可通过移动存储介质、硬盘、智能卡、USBKey、专用加密设备，其中USBKev为USB接口带有算法的令牌，专用加密设备如加密机，用于产生、存储和管理密钥和公钥证书。

　　用户身份认证可采用USBKev、静态口令、动态口令、智能卡、人体生物特征等。

　　对标准SIP设备的认证，采用数字证书的认证方式。

　　在数据的加密保护方面，针对静态存储文件、传输内容、信令数据定义了可支持的加密算法：DES、3DES、AES(advancedencryptionstandard，高级加密标准)(128bit)、RSA(1024b”或2048bit)、安全多用途网际邮件扩充协议(s/MIME)等。

　　对信息的完整性采用数字摘要、数字时间戳及数字水印等技术防止信息的完整性被破坏。数字摘要支持信息摘要5(MD5)、安全散列算法1(SHA-1)、安全散列算法256(SHA-256)等算法。

　　上述两个标准对业界视频监控数据安全机制的实现有着重要的指导意义，涵盖了监控业界主流解决方案。

　　4.视频监控信息安全机制的对比

　　以业界一个典型安全的监控系统厂商为例。通常其会支持多种信息安全方案，包括视频编解码算法支持高等级加密算法;支持传输数据加密，防止恶意登录后的浏览;图像码流包含数字水印，防止替换和篡改;在信息安全传输协议方面通常支持HTTPS传输，确保传输安全等。监控厂商采用哪一种信息安全机制标准。与监控系统的实际应用场景和系统架构有密切关系。

　　以ONVIF规范为例，ONVIF规范核心聚焦点在于网络视频传送设备与网络视频客户端之间的接口。因此其典型应用场景是：

　　前端监控设备PU上线后，向平台CMU发送hello消息;

　　平台CMU需要搜寻设备时，向前端监控设备PU发送probe消息;

　　平台CMU与前端监控设备PU进行信令交互，请求能力集，获取配置：

　　客户端CU上线，向平台CMU注册，建立连接：

　　平台CMU与客户端CU进行信令交互。传输设备列表：