導航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)信息安全機制解析

文檔作者：張艷霞1，李洪2。陳軍3，楊曉光3 文檔來源： 1．中國電信股份有限公司 2．中國電信集團公司網(wǎng)絡(luò)運行維護事業(yè)部 3．中國電信股份有限公司北京研究院		點擊數(shù)：	更新時間： 2022年08月27日
下載地址：點擊這里	文件大?。?367.90 KB 共5頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預(yù)覽 [文件共5頁]

本文件共5頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：367.90 KB 共5頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：沿?；痣姀S入廠煤與入爐煤存在熱值差的原…

上一篇：電力安全風險現(xiàn)場監(jiān)控系統(tǒng)的設(shè)計

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

豢鬻瞄|；』筌警：』立≥主≥蘭塵』|j¨：ji¨|¨il Ijji|：；“；j
網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)信息安全機制解析
張艷霞1，李洪2。陳軍3，楊曉光3
(1．中國電信股份有限公司上海研究院上海200122；
2．中國電信集團公司網(wǎng)絡(luò)運行維護事業(yè)部北京100032；
3．中國電信股份有限公司北京研究院北京100035)
摘要：信息安全機制是網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)安全體系中的核心部分，其安全性包括業(yè)務(wù)數(shù)據(jù)安全性和音視頻
媒體數(shù)據(jù)安全性．對此，業(yè)界有多種解決方案和算法標準，選擇了監(jiān)控業(yè)界兩個代表性網(wǎng)絡(luò)視頻監(jiān)控標準的信
息安全機制進行解讀，分析了主流解決方案和算法，最后提出了通用的視頻監(jiān)控的信息安全機制建議。
關(guān)鍵詞：網(wǎng)絡(luò)視頻監(jiān)控；數(shù)據(jù)安全；加密；信令
doi：10．3969／j．issn．1000—0801．2013．08．011
n ● T n J● 一●J l I ● ● TT 1 ●
K-eSearCn 0n lmormanon SeCUrltV TⅥ．eCnamSm U Sen ln
Network Video SurveiUance Svstem
zhang YaJlxial，Li Hon礦，chen Jun3，Yang xiaoguan93
(1．shaIlghai Research Institute of China Telecom Co．，Ltd．，shaJlgIlai 200122，China；
2．Network Operation＆Maintenance Division，China Telecom Corporation，Beijing l()0032，China；
3．Beijing Research Institute of China Telecom Co．，Ltd．，Beijing 100035，China)
Abstract：Infomation security mechanism is a key part of security network video sunreiUance system，including
senrice data security and multimedia data security，and there are a lot of security solutions and specifications now．
Tho typical specifications on the network video suⅣeiⅡance system were selected to analyze their i幽瑚ation
security mechanism and the encryption algorithm，and the suggestions on common data pmtection mechanism were
舀Ven out．
1【ey words：network video surveillance，data security，encryption，signaling
1 引言
網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)是基于IP網(wǎng)的圖像遠程監(jiān)控、傳
輸、存儲、管理的視頻監(jiān)控系統(tǒng)，將分散、獨立的圖像采集
點進行聯(lián)網(wǎng)，實現(xiàn)跨區(qū)域的統(tǒng)一監(jiān)控、統(tǒng)一存儲、統(tǒng)一管
理、資源共享。
典型網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)主要由前端監(jiān)控設(shè)備(攝像機、
視頻服務(wù)器／編碼器)、監(jiān)控中心(中心服務(wù)器)、監(jiān)控客戶
端(監(jiān)控工作站)3部分組成。通過對網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)所
面臨的安全狀況的分析，網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)的安全性在總
體結(jié)構(gòu)上分為4個層次：物理安全、接入安全、傳輸和網(wǎng)絡(luò)
安全、業(yè)務(wù)安全和數(shù)據(jù)安全。
其中．網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)數(shù)據(jù)安全是指應(yīng)對用戶和權(quán)
限等業(yè)務(wù)信息和音視頻媒體信息有加密保護措施，包括業(yè)
務(wù)數(shù)據(jù)的安全性和媒體數(shù)據(jù)的安全性，業(yè)務(wù)數(shù)據(jù)包括用戶
信息、實時瀏覽、存儲、回放以及數(shù)據(jù)配置(如設(shè)備信息查
詢、云臺功能查詢、通道名稱設(shè)置)等；媒體數(shù)據(jù)包括各通
道傳輸?shù)囊曨l數(shù)據(jù)、音頻數(shù)據(jù)以及靜態(tài)的錄像文件等。
萬方數(shù)據(jù)
■ 專題：照務(wù)平套安全
視頻監(jiān)控系統(tǒng)面臨的數(shù)據(jù)安全威脅大體分類如下：
·拒絕服務(wù)攻擊。導致視頻監(jiān)控系統(tǒng)的業(yè)務(wù)系統(tǒng)無法
正常提供服務(wù)：
·漏洞威脅攻擊，導致視頻監(jiān)控系統(tǒng)的業(yè)務(wù)系統(tǒng)無法
正常提供服務(wù)，數(shù)據(jù)安全(機密性、完整性和可用
性)被破壞：
·病毒蠕蟲，帶來的數(shù)據(jù)完整性和可用性損失以及可
能的網(wǎng)絡(luò)可用性損失；
．口令猜測，導致視頻監(jiān)控系統(tǒng)的資源被濫用、業(yè)務(wù)
系統(tǒng)等無法正常提供服務(wù)，數(shù)據(jù)安全(機密性、完整
性和可用性)受到破壞；
．視頻監(jiān)控系統(tǒng)的信令，視頻數(shù)據(jù)的不安全遠程傳
輸，導致數(shù)據(jù)安全(機密性、完整性和可用性)受到
破壞。
針對上述數(shù)據(jù)安全威脅，在數(shù)據(jù)安全的具體技術(shù)和設(shè)
備要求方面，監(jiān)控業(yè)界不同公司的安全策略不同，下面針對
業(yè)界關(guān)于網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)的數(shù)據(jù)安全機制和方案進行
分析。
2視頻監(jiān)控系統(tǒng)的信息安全分類
通常．視頻監(jiān)控系統(tǒng)業(yè)務(wù)數(shù)據(jù)和媒體數(shù)據(jù)采用分離的
通道進行操作，其傳輸通道類型可分為信令流和媒體流。
(1)信令流加密
業(yè)務(wù)數(shù)據(jù)加密是指每個控制命令或者參數(shù)設(shè)置命令
都必須進行加密處理，采取加密業(yè)務(wù)信令通道的辦法來保
證信息的安全性，保證數(shù)據(jù)鑒別、防篡改、防窺視、鑒別來
源、防止非法訪問、防偽造。
系統(tǒng)對信令進行加密，所有信令都使用加密技術(shù)，為
了支持加密技術(shù)，需增加會話準備操作，進行握手交換標
識，以讀取密碼生成密鑰，進而對分組進行加密。
(2)媒體流加密
對于視頻流的實時加密流程與信令流類似，同樣需要
進行交換標識，以讀取密碼生成密鑰。
視頻流和視頻控制信令應(yīng)以不同的物理通道進行傳
輸，視頻控制信令通過信令流傳輸，視頻流通過媒體流
傳輸。
視頻控制協(xié)議是視頻監(jiān)控終端與視頻設(shè)備(視頻管理
服務(wù)器／監(jiān)控平臺、DVR、攝像頭等設(shè)備)間的控制指令集，
即建立視頻監(jiān)控圖像連接的基本指令集。為保證通信中指
令集不包含網(wǎng)絡(luò)攻擊指令、其他非法字符集或嵌入機密數(shù)
據(jù)向外泄露．視頻傳輸系統(tǒng)應(yīng)具備視頻協(xié)議安全控制功
能．對所有視頻監(jiān)控交互指令進行嚴格安全過濾，阻斷非
法數(shù)據(jù)傳輸和網(wǎng)絡(luò)攻擊的入侵。
3視頻監(jiān)控信息安全機制的標準情況
針對網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)安全機制．業(yè)界主要有ONVIF
(0Den Network Video Inte血ce Fomm，開放型網(wǎng)絡(luò)視頻產(chǎn)
品接口開發(fā)論壇)、中華人民共和國公安部(以下簡稱公安
部)《城市監(jiān)控報警聯(lián)網(wǎng)系統(tǒng)技術(shù)標準安全技術(shù)要求》、
CCSA《電信網(wǎng)視頻監(jiān)控系統(tǒng)安全要求》等標準，此外運營
商和廠商各自制定了針對自己系統(tǒng)的安全標準和解決方
案，其中0NVIF和《城市監(jiān)控報警聯(lián)網(wǎng)系統(tǒng)技術(shù)標準安全
技術(shù)要求》是業(yè)界采用比較多的監(jiān)控標準。
0NVIF成立于2008年5月．由安訊士網(wǎng)絡(luò)通訊公司
聯(lián)合博世集團及索尼公司三方攜手共同成立，關(guān)注IP視
頻監(jiān)控，目標是實現(xiàn)一個網(wǎng)絡(luò)視頻框架協(xié)議，使不同廠商
所生產(chǎn)的網(wǎng)絡(luò)視頻產(chǎn)品(包括攝錄前端、錄像設(shè)備等)完全
互通。ONVIF規(guī)范向視頻監(jiān)控引入了Web Services的概
念．設(shè)備的實際功能均被抽象為Web Services的服務(wù)，視
頻監(jiān)控系統(tǒng)的控制單元以客戶端的身份出現(xiàn)，通過Web
請求的形式完成控制操作。
由于0NVIF基于Web Services．Web SeⅣices主要利
用H哪P和SOAP使數(shù)據(jù)在Web上傳輸，其在信息安全
方面主要有以下要求：
·獲取或設(shè)置訪問安全策略；
·服務(wù)器端H7I’I甲lS(secure hypercext tmnsfer protoc01，
安全超文本傳輸協(xié)議)認證；
·客戶端H7兀碼認證；
·密鑰生成和證書下載功能；
-IEEE 802．1x supplicant認證；
·IEEE 802．1x CA認證：
-IEEE 802．1x配置。
在信息安全性方面，ONVIF規(guī)范支持摘要認證和WS一
安全框架。
在用戶認證方面，最基本驗證包括H7I耶摘要認證和
WSS摘要認證(用戶名令牌描述(usemame token pr曲le))，
高級驗證包括TLs-based access。
在用戶認證通過后，通過“獲取或設(shè)置訪問安全策
略”實現(xiàn)基于用戶的權(quán)限控制．以授權(quán)其能訪問的前端
監(jiān)控設(shè)備。
萬方數(shù)據(jù)
蒸：睦囊塑鍪豳
用戶名令牌描述必須使用隨機數(shù)和時間戳作為定義
(根據(jù)WS．usemame token)，因為系統(tǒng)為每個攝像頭設(shè)備提
供不同證書不太現(xiàn)實，因此系統(tǒng)對客戶端使用用戶名令牌
描述和主要權(quán)限驗證，這樣就需使用密碼加密算法，算法
主要采用SHA．1函數(shù)和HMAC算法。舉例來說，某一用戶
A，其用戶名令牌為UA，P-UA，該用戶要訪問的終端設(shè)備
為NEP，則PE』A=base64(HMAC-sHA-1(UA+P-UA，
NEP+“0NVIF password”))即為其客戶端配置的用戶證書
和設(shè)備權(quán)限驗證，其中HMAC．SHA．1是一種安全的基于
加密散列(Hash)函數(shù)和共享密鑰的消息認證協(xié)議，它可以
有效地防止數(shù)據(jù)在傳輸過程中被截獲和篡改．維護了數(shù)據(jù)
的完整性、可靠性和安全性。
在信息的安全通信層面，0NVIF規(guī)范定義了兩種通信
層面的安全架構(gòu)：傳輸層安全(t舢spon layer security，TLS)
和消息層安全。
傳輸層安全協(xié)議用于保護0NⅥF提供的所有服務(wù)．同
時還需要保護媒體流的RTP(real．time tmsport protocol，實
時傳輸協(xié)議)，R，IIsP／H1．ITlS。
·設(shè)備應(yīng)該支持TLS 1．0、TLs 1．1．可以支持哪!．2：加
密算法支持TLs—RsA．．WⅡH_AESj28一CBCISHA、
’n。s-RSA—W刪一NULI。SHA。
·客戶端應(yīng)支持’I瞄1．1、’IB 1．0，加密算法支持TLS—
RSA-_WrrI{一AEs-128_CBC-sHA、TLS—RSA-WⅡ‘H_
NULL-sHA。
·服務(wù)器端認證：設(shè)備支持X．509(X．509是由國際電
信聯(lián)盟(IfITU-T)制定的數(shù)字證書標準)服務(wù)器認證．
RsA kev長度至少為l 024 bit：客戶端支持TLs服
務(wù)器認證。
·客戶端認證：支持哪的設(shè)備應(yīng)該支持客戶端認
證，客戶端認證功能可以在設(shè)備管理命令中禁止和
啟用。支持’TLs的設(shè)備應(yīng)該在證書請求中支持R5A
認證類型。而且應(yīng)該支持RSA客戶端認證和簽名
驗證。
信息層面的安全。規(guī)范采用基于端口的安全框架
IEEE 802．1x， 支持EAP-PEAP／MSCHAPv2、EAP-MD5、
EAP-TLS和EAP唧LS。TLS允許點對點的保密性和完整
性，但是在有中間通信節(jié)點的情況下，TLs不能提供端到端
的安全，此外，為了實現(xiàn)用戶基本權(quán)限控制，Web Sen，ices需
要驗證每個SOAP消息的來源。
在信息安全方面，公安部《城市監(jiān)控報警聯(lián)網(wǎng)系統(tǒng)技
術(shù)標準安全技術(shù)要求》對此有具體的信息安全章節(jié)要求，
該標準是由全國安全防范報警系統(tǒng)標準化技術(shù)委員會制
定的，其成立于1987年，負責我國安全防范技術(shù)領(lǐng)域國家
標準、行業(yè)標準的制定、修訂工作和對口國際電工委員會／
報警技術(shù)委員會(IEC／rI'C79)的工作。
其信息安全技術(shù)要求的主要內(nèi)容總結(jié)如下。
·公鑰基礎(chǔ)設(shè)施，包括證書認證機構(gòu)(CA)和3種證
書類型(用戶證書、設(shè)備證書和CA證書)，證書的
載體可通過移動存儲介質(zhì)、硬盤、智能卡、USBKey、
專用加密設(shè)備，其中USBKev為USB接口帶有算法
的令牌，專用加密設(shè)備如加密機，用于產(chǎn)生、存儲和
管理密鑰和公鑰證書。
·用戶身份認證可采用USBKev、靜態(tài)口令、動態(tài)口
令、智能卡、人體生物特征等。
·對標準SIP設(shè)備的認證，采用數(shù)字證書的認證方式。
·在數(shù)據(jù)的加密保護方面，針對靜態(tài)存儲文件、傳輸
內(nèi)容、信令數(shù)據(jù)定義了可支持的加密算法：DES、
3DES、AES(advanced enc聊tion starIdard，高級加密
標準)(128 bit)、RSA(1 024 b“或2 048 bit)、安全
多用途網(wǎng)際郵件擴充協(xié)議(s／MIME)等。
·對信息的完整性采用數(shù)字摘要、數(shù)字時間戳及數(shù)字
水印等技術(shù)防止信息的完整性被破壞。數(shù)字摘要支
持信息摘要5(MD5)、安全散列算法1(SHA．1)、安
全散列算法256(SHA．256)等算法。
上述兩個標準對業(yè)界視頻監(jiān)控數(shù)據(jù)安全機制的實現(xiàn)
有著重要的指導意義，涵蓋了監(jiān)控業(yè)界主流解決方案。
4視頻監(jiān)控信息安全機制的對比
以業(yè)界一個典型安全的監(jiān)控系統(tǒng)廠商為例。通常其會
支持多種信息安全方案，包括視頻編解碼算法支持高等級
加密算法；支持傳輸數(shù)據(jù)加密，防止惡意登錄后的瀏覽；圖
像碼流包含數(shù)字水印，防止替換和篡改；在信息安全傳輸
協(xié)議方面通常支持H‘I四S傳輸，確保傳輸安全等。
監(jiān)控廠商采用哪一種信息安全機制標準。與監(jiān)控系統(tǒng)
的實際應(yīng)用場景和系統(tǒng)架構(gòu)有密切關(guān)系。
以0NVIF規(guī)范為例，0NVIF規(guī)范核心聚焦點在于網(wǎng)
絡(luò)視頻傳送設(shè)備與網(wǎng)絡(luò)視頻客戶端之間的接口．因此其典
型應(yīng)用場景是：
·前端監(jiān)控設(shè)備PU上線后．向平臺CMU發(fā)送heⅡo
消息；
萬方數(shù)據(jù)
■ 專題：照務(wù)平套安全
·平臺CMU需要搜尋設(shè)備時．向前端監(jiān)控設(shè)備PU發(fā)
送probe消息；
·平臺CMU與前端監(jiān)控設(shè)備PU進行信令交互，請求
能力集，獲取配置：
·客戶端CU上線，向平臺CMU注冊，建立連接：
·平臺CMU與客戶端CU進行信令交互．傳輸設(shè)備
列表：
·在平臺CMU的協(xié)調(diào)下．客戶端CU同前端監(jiān)控設(shè)備
PU建立連接傳輸碼流。
由上述場景可見，ONVIF平臺CMU的功能在于協(xié)調(diào)
CU同前端監(jiān)控設(shè)備PU建立連接傳輸碼流，其針對信息安
全的研究也主要側(cè)重于系統(tǒng)信息安全認證和獲取，包括業(yè)
務(wù)信令數(shù)據(jù)的安全認證、密鑰生成和證書下載功能，為此，
0NVIF定義了用戶證書和生成機制，以實現(xiàn)客戶端與網(wǎng)絡(luò)
視頻產(chǎn)品之間安全的授權(quán)訪問。
此外。在協(xié)議架構(gòu)方面，ONVIF是基于Web Sen『ices
協(xié)議的，因此其在信息的安全傳輸方面使用IEEE 802．1x
驗證服務(wù)器和HrITllPS保護機制．以保證信息點到點的安
全傳輸。由于0NVIF平臺不負責音視頻媒體流的轉(zhuǎn)發(fā)，
是客戶端到攝像頭點到點直連訪問音視頻，因此，ONVIF
信息安全標準不涉及音視頻媒體數(shù)據(jù)的加密、完整性保
護和傳輸。
公安部《城市監(jiān)控報警聯(lián)網(wǎng)系統(tǒng)標準》行業(yè)標準對全
國平安城市工程的建設(shè)和監(jiān)控系統(tǒng)相關(guān)設(shè)備的開發(fā)起著
規(guī)定指導性的作用，需涵蓋國內(nèi)絕大部分安全防范用視頻
監(jiān)控系統(tǒng)的技術(shù)要求，因此該系列標準針對城市監(jiān)控報警
聯(lián)網(wǎng)系統(tǒng)，從視頻編解碼、信息傳輸和控制、視頻的存儲和
播放、平臺系統(tǒng)、卡口監(jiān)控和比對、設(shè)備接人和使用、安全
和測試、工程驗收等做了較為技術(shù)性的詳盡要求。
因此，與0NVIF規(guī)范不提供完全的服務(wù)器端證書機構(gòu)
(CA)不同，公安部《城市監(jiān)控報警聯(lián)網(wǎng)系統(tǒng)技術(shù)標準安全
技術(shù)要求》定義了基于專門證書認證機構(gòu)認證體系，定義
了3種證書類型(用戶證書、設(shè)備證書和CA證書)，并統(tǒng)一
了證書的格式，定義了證書的載體．用戶可采用公安部、國
家密碼管理局等國家有關(guān)機構(gòu)認證通過的硬件加密機(即
黑盒子)，用于產(chǎn)生、存儲和管理密鑰和公鑰證書。
此外，與ONVIF規(guī)范側(cè)重于業(yè)務(wù)信令數(shù)據(jù)的安全認
證不同，《城市監(jiān)控報警聯(lián)網(wǎng)系統(tǒng)技術(shù)標準安全技術(shù)要求》
在業(yè)務(wù)信令數(shù)據(jù)和音視頻媒體數(shù)據(jù)加密和完整性方面皆
定義了可支持的加密算法要求。
5監(jiān)控系統(tǒng)采用的主流算法
從具體的加密算法方面。針對信令流和媒體流加密，監(jiān)
控系統(tǒng)一般使用DES、3DES、AES(128 bit)、RSA(1 024 bit
或2 048 bit)等加密算法。
DES、3DES是對稱加密算法．即加密和解密使用相同
密鑰的算法．DES使用一個56 bit的密鑰，3DES使用兩個
獨立密鑰對明文運行DES算法3次，從而得到112 bit有
效密鑰強度：一般監(jiān)控系統(tǒng)可采用DES、3DES算法保證信
令流和媒體流的安全性。
AES為對稱加密算法，支持長度為128 bit、192 bit和
256 bil的密鑰長度．其中128 bit密鑰長度的AES是最常
采用的版本。也是監(jiān)控系統(tǒng)中采用較多的一種算法。
RSA是非對稱加密算法。是目前最優(yōu)秀的公鑰方案之
一，但是RSA的缺點是運算代價很高，尤其是速度較慢，
較對稱密碼算法慢幾個數(shù)量級，因此RSA一般用于對
AES密鑰的安全傳輸。由于AES加密算法是公開的，信息
的保密依賴于AES密鑰的保密，因此，對于AES密鑰的安
全傳輸，可采用RAS非對稱加密算法。
監(jiān)控系統(tǒng)中的數(shù)據(jù)除了通過信令流和媒體流傳輸外，
還有很多靜止的數(shù)據(jù)，如存儲的錄像文件、音頻數(shù)據(jù)，為保
證安全性，同樣也需要加密處理．針對錄像文件加密的方
法有很多，可采用3DES、AES(128 bit)、SCB2等。
此外，在監(jiān)控系統(tǒng)中．為了確保圖片和視頻數(shù)據(jù)的安
全可靠，監(jiān)控系統(tǒng)可采用數(shù)字摘要、數(shù)字時間戳及數(shù)字水
印等技術(shù)防止信息的完整性被破壞。
數(shù)字摘要就是采用單項散列函數(shù)將需要加密的明文
“摘要”成一串固定長度(128 bit)的密文，數(shù)字摘要可采用
信息摘要5(MD5)、安全散列算法1(SHA．1)、安全散列算
法256(SHA．256)等算法。
數(shù)字時間戳是用來證明消息的收發(fā)時間的，用戶首
先將需要加時間戳的文件經(jīng)加密后形成文檔，然后將摘
要發(fā)送到專門提供數(shù)字時間戳服務(wù)的權(quán)威機構(gòu)，該機構(gòu)
對原摘要加上時間后，進行數(shù)字簽名，用私鑰加密，并發(fā)
送給原用戶。
數(shù)字水印技術(shù)。即在抓拍照片或視頻編碼過程中加入
隱藏標記，防止該照片或視頻在傳輸、存儲、處理過程中被
惡意篡改，確保數(shù)據(jù)的保密性，水印制作方案采用密碼學
中的加密體系來加強，在水印嵌入、提取時采用一種密鑰
甚至幾種密鑰聯(lián)合使用。
萬方數(shù)據(jù)
一二：墮羹羹鋈
在數(shù)據(jù)安全傳輸協(xié)議方面，監(jiān)控系統(tǒng)通常用到HrITllPS、
IEEE 802．1x(基于端口的網(wǎng)絡(luò)接人控制)協(xié)議、TLs協(xié)議、
SRTP(seeure real．time transpon prococol，安全實時傳輸控制
協(xié)議)。
H‘I耶S是監(jiān)控系統(tǒng)中應(yīng)用較多的安全傳輸協(xié)議，是由
SSL+HrIfllP構(gòu)建的可進行加密傳輸、身份認證的網(wǎng)絡(luò)協(xié)議，
一般應(yīng)用于業(yè)務(wù)數(shù)據(jù)信令流的加密。
IEEE 802．1x協(xié)議使用標準安全協(xié)議(如RADIUS)提供
集中的用戶標識、身份驗證、動態(tài)密鑰管理和記賬，客戶端
通過認證獲得身份驗證。為會話生成唯一密鑰，該密鑰可
用于監(jiān)控系統(tǒng)消息安全傳輸。
TLS協(xié)議使得當服務(wù)器和客戶機進行通信時，確保沒
有第三方能竊聽或盜取信息。7Ⅱ5協(xié)議包括TLS記錄協(xié)議
和TLS握手協(xié)議：7rLS記錄協(xié)議可使用如數(shù)據(jù)加密標準
(DES)保證連接安全。TLS握手協(xié)議使服務(wù)器和客戶機在
數(shù)據(jù)交換之前進行相互鑒定，并協(xié)商加密算法和密鑰。
視頻流在傳輸層的加密也可使用SRTP對傳輸通道進
行加密，SRTP是在RTP基礎(chǔ)上所定義的一個協(xié)議，旨在為
單播和多播應(yīng)用程序中的實時傳輸協(xié)議的數(shù)據(jù)提供加密、
消息認證、完整性保護和重放保護功能。
6安全機制的應(yīng)用建議
通常，一個監(jiān)控系統(tǒng)應(yīng)根據(jù)加密等級和系統(tǒng)架構(gòu)的不
同采用相應(yīng)的安全機制。
對于一般的安全監(jiān)控系統(tǒng)。要求支持業(yè)務(wù)數(shù)據(jù)訪問權(quán)
限進行安全認證和授權(quán)，實現(xiàn)業(yè)務(wù)信令流的加密和傳輸。
訪問權(quán)限的安全認證可采用口令、數(shù)字證書或數(shù)字摘要等
標準算法，信令流的加密算法根據(jù)業(yè)界標準可采用DES、
3DES、AES(128 bit)等算法，信令流的安全傳輸可根據(jù)監(jiān)
控架構(gòu)協(xié)議采用不同的通信安全協(xié)議，如HTrPS、IEEE
802．1x等。
對于需要高度安全和保密的系統(tǒng)，不但需要支持信令
流的加密，還需要對傳輸?shù)拿襟w流進行加密，一般廠商的
視頻編解碼芯片均可支持高等級音視頻加密算法，如
DES、3DES、AES(128 bit)等。此外，視頻加密可以采用視頻
關(guān)鍵幀或全數(shù)據(jù)加密兩種方式。關(guān)鍵幀是反映一組鏡頭中
的主要信息內(nèi)容的一幀圖像，由于視頻監(jiān)控系統(tǒng)攝像頭一
般是固定安裝的，其所涉及的場景范圍有限，因此，各幀圖
像冗余信息很多，采用全數(shù)據(jù)視頻流加密耗費芯片資源，
加密費用很高，采用關(guān)鍵幀加密可以減少很多工作量。
媒體流和信令流數(shù)據(jù)的加密，不論采用何種加密算
法，均涉及密鑰的管理問題。
在不采用專門證書認證機構(gòu)的認證體系下，監(jiān)控平
臺、前端監(jiān)控設(shè)備、監(jiān)控客戶端必須具備采用統(tǒng)一的加解
密模塊和密鑰產(chǎn)生模塊的能力，為了調(diào)試或其他選擇，視
頻監(jiān)控平臺、監(jiān)控終端和客戶端都必須支持統(tǒng)一的開關(guān)，
方便開啟或關(guān)閉命令加密功能。
考慮到視頻監(jiān)控平臺可分為多級監(jiān)控平臺，因此不同
的監(jiān)控平臺的服務(wù)器應(yīng)該使用不同的密鑰，每個監(jiān)控平臺
服務(wù)器定期隨機產(chǎn)生一個密鑰，該監(jiān)控平臺服務(wù)器下的所
有終端設(shè)備可以獲得該密鑰，終端設(shè)備使用該密鑰對發(fā)送
出去的數(shù)據(jù)加密，對接收的數(shù)據(jù)解密，保障信息在傳輸過
程中的安全性。
視頻監(jiān)控系統(tǒng)之間需要經(jīng)過信任操作才能互通，一般
的信任操作由雙方執(zhí)行，請求方信任受信方，受信方的請
求可以被請求方接受。對等地，受信方也要執(zhí)行信任操作，
以監(jiān)控系統(tǒng)通常采用的AES加密為例，其原理如下。
視頻監(jiān)控平臺服務(wù)器定期隨機產(chǎn)生一個AES加密／解
密密鑰．分別使用各個終端或客戶端用戶密碼對AES加密
密鑰進行加密，形成傳輸密鑰發(fā)往各個設(shè)備，各個設(shè)備對
傳輸密鑰的內(nèi)容進行解密，即可獲取AES加密／解密密鑰。
在以后的監(jiān)控過程中．所有設(shè)備就可以使用該AES加密／
解密密鑰對信令和媒體碼流進行加密和解密。
對于監(jiān)控系統(tǒng)中靜止的數(shù)據(jù)，如存儲的錄像文件、音
頻數(shù)據(jù)，為保證安全性，需要加密處理，可采用通用的針對
錄像文件加密的方法，如3DES、AES(128 bit)、SCB2等。
為了確保圖片和視頻數(shù)據(jù)的安全可靠，監(jiān)控系統(tǒng)還可
采用數(shù)字摘要、數(shù)字時間戳及數(shù)字水印等技術(shù)防止信息的
完整性被破壞。
7 結(jié)束語
綜上所述．網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)的安全性是個復(fù)雜的體
系．要保證視頻監(jiān)控的安全運行，還需要考慮多級安全認
證機制、關(guān)鍵數(shù)據(jù)容災(zāi)，備份、網(wǎng)絡(luò)私密保護(VLAN廠vPN)、
網(wǎng)元自動化運行管理等多種因素。本文針對監(jiān)控系統(tǒng)中最
關(guān)鍵的數(shù)據(jù)安全，選擇監(jiān)控業(yè)界兩個代表性標準的信息安
全機制進行解讀．對主流解決方案進行了對比，分析了監(jiān)
控系統(tǒng)采用的主流算法，最后提出了視頻監(jiān)控的安全機制
應(yīng)用建議。

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

03-05