一種視頻監(jiān)控系統(tǒng)聯(lián)網(wǎng)應(yīng)用安全加固方案*

張正強(qiáng)，吳 震，曾 兵，沈 宜，李 斌

（成都三零凱天通信實(shí)業(yè)有限公司，四川 成都 610041）

0 引 言

在九部委共同頒布的《關(guān)于加強(qiáng)公共安全視頻監(jiān)控建設(shè)聯(lián)網(wǎng)應(yīng)用工作的若干意見》[1]中提到：到2020年要基本實(shí)現(xiàn)“全域覆蓋、全網(wǎng)共享、全時(shí)可用、全程可控”的公共安全視頻監(jiān)控建設(shè)聯(lián)網(wǎng)應(yīng)用，在加強(qiáng)治安防控、優(yōu)化交通出行、服務(wù)城市管理、創(chuàng)新社會(huì)治理等方面取得顯著成效。其中，全網(wǎng)共享要求以公安機(jī)關(guān)視頻圖像共享平臺(tái)為核心，分級(jí)有效整合各類視頻圖像資源，促進(jìn)點(diǎn)位互補(bǔ)、網(wǎng)絡(luò)互聯(lián)、平臺(tái)互通，逐步對(duì)接基層綜合服務(wù)管理平臺(tái)，最大限度實(shí)現(xiàn)公共區(qū)域視頻圖像資源的聯(lián)網(wǎng)共享。

全網(wǎng)共享后的視頻資源在使用過程中需要達(dá)到全程可控，具體是指公共安全視頻監(jiān)控系統(tǒng)聯(lián)網(wǎng)應(yīng)用要實(shí)現(xiàn)重要視頻圖像信息不失控，敏感視頻圖像信息不泄露。但是，隨著安防系統(tǒng)的IT化發(fā)展的趨勢(shì)，在大量視頻采集設(shè)備聯(lián)網(wǎng)后，將存在安全隱患或遭到網(wǎng)絡(luò)攻擊?；ヂ?lián)網(wǎng)及相應(yīng)技術(shù)的飛速發(fā)展為安防系統(tǒng)建設(shè)提供了方便，但同時(shí)給這個(gè)系統(tǒng)帶來了許多安全隱患，這是由互聯(lián)網(wǎng)的公開性所決定的。

1 視頻監(jiān)控系統(tǒng)面臨的安全威脅

通過分析近年爆發(fā)的視頻監(jiān)控系統(tǒng)安全事件，總結(jié)視頻監(jiān)控系統(tǒng)面臨的安全威脅，其主要體現(xiàn)在視頻采集設(shè)備自身存在的漏洞和視頻信息的安全性未得到有效保護(hù)。

針對(duì)前端設(shè)備的安全威脅主要包括設(shè)備劫持或替換、協(xié)議攻擊以及視頻資源非法訪問三類。

（1）設(shè)備劫持和替換：前端視頻采集設(shè)備（主要是網(wǎng)絡(luò)攝像機(jī)）均采用嵌入式操作系統(tǒng)，系統(tǒng)軟件在啟動(dòng)及運(yùn)行過程中未針對(duì)性進(jìn)行安全防護(hù)，無法確?；A(chǔ)運(yùn)行環(huán)境可信，黑客可通過植入病毒、木馬等手段入侵前端設(shè)備，造成設(shè)備被非法控制成為“肉雞”；同時(shí)，前端設(shè)備不具備標(biāo)識(shí)身份的唯一證明，設(shè)備容易被惡意替換。這不僅可導(dǎo)致視頻監(jiān)控系統(tǒng)無法正常運(yùn)行，還存在將整個(gè)視頻監(jiān)控系統(tǒng)作為攻擊源，對(duì)網(wǎng)絡(luò)上的其他設(shè)備和服務(wù)器發(fā)起攻擊的風(fēng)險(xiǎn)。2016年底，美國爆發(fā)的大規(guī)模DDoS攻擊致癱整個(gè)互聯(lián)網(wǎng)，就是由該安全漏洞觸發(fā)的，影響極為惡劣。

（2）協(xié)議攻擊：監(jiān)控業(yè)務(wù)信令由于缺乏完整性保護(hù)機(jī)制，可通過仿造或纂改通信協(xié)議，非法控制設(shè)備，擾亂正常業(yè)務(wù)流程。

（3）視頻資源非法訪問：大多數(shù)監(jiān)控前端設(shè)備的登錄方式為用戶名/口令的認(rèn)證方法，容易遭受到字典掃描和暴力破解攻擊，安全性差，視頻資源面臨被非法訪問風(fēng)險(xiǎn)。

針對(duì)視頻數(shù)據(jù)的安全威脅主要包括視頻數(shù)據(jù)竊取和視頻數(shù)據(jù)篡改兩類。

（1）視頻數(shù)據(jù)竊?。阂曨l在傳輸過程中采用網(wǎng)絡(luò)旁路或通過非法途徑從后臺(tái)下載的方式截獲視頻數(shù)據(jù)。

（2）視頻數(shù)據(jù)篡改：由于視頻數(shù)據(jù)是明文傳輸且編碼方式具有標(biāo)準(zhǔn)化特征，攻擊者可通過偽造相同編碼格式視頻數(shù)據(jù)替換原有采集視頻數(shù)據(jù)，導(dǎo)致視頻數(shù)據(jù)被篡改。

因此，針對(duì)視頻監(jiān)控領(lǐng)域暴露的安全威脅，需要綜合運(yùn)用密碼技術(shù)、數(shù)字身份認(rèn)證技術(shù)和可信計(jì)算技術(shù)，從系統(tǒng)層面制定安全解決方案，保障視頻數(shù)據(jù)在采集、傳輸、存儲(chǔ)、查看等各個(gè)環(huán)節(jié)的安全，從而構(gòu)建安全的視頻監(jiān)控系統(tǒng)。

2 安全方案設(shè)計(jì)

整個(gè)安全方案基于通用視頻監(jiān)控系統(tǒng)產(chǎn)品，通過對(duì)前端攝像機(jī)和后端通用平臺(tái)進(jìn)行安全加固來實(shí)現(xiàn)，如圖1所示。其中，監(jiān)控前端攝像機(jī)集成安全中間件軟件實(shí)現(xiàn)設(shè)備的可信啟動(dòng)，設(shè)備基于數(shù)字證書的身份認(rèn)證，監(jiān)控業(yè)務(wù)信令的完整性保護(hù)，采集音視頻數(shù)據(jù)的完整性或機(jī)密性保護(hù)等；在監(jiān)控后端視頻監(jiān)控管理中心增加安全管理服務(wù)平臺(tái)，并集成對(duì)應(yīng)的安全服務(wù)中間件軟件，實(shí)現(xiàn)對(duì)設(shè)備身份數(shù)字證書的管理及認(rèn)證、密鑰資源的管理及分發(fā)、攝像機(jī)運(yùn)行策略的管理以及音視頻數(shù)據(jù)解密展示等。通過實(shí)施這些安全加固措施，可增強(qiáng)攝像機(jī)自身的安全性，實(shí)現(xiàn)攝像機(jī)的接入控制，保護(hù)監(jiān)控業(yè)務(wù)信令的完整性，保護(hù)音視頻數(shù)據(jù)的完整性、機(jī)密性，從整體上提升聯(lián)網(wǎng)視頻監(jiān)控系統(tǒng)的安全性，有效防范、抵御目前監(jiān)控系統(tǒng)中面臨的木馬病毒、數(shù)據(jù)被篡改、數(shù)據(jù)被非法訪問等安全威脅。

2.1 視頻監(jiān)控前端設(shè)備可信安全防護(hù)

基于可信計(jì)算原理[2]，在網(wǎng)絡(luò)攝像機(jī)操作系統(tǒng)中內(nèi)置可信運(yùn)行控制軟件模塊，實(shí)現(xiàn)監(jiān)控前端設(shè)備程序進(jìn)程、關(guān)鍵文件數(shù)據(jù)以及網(wǎng)絡(luò)訪問保護(hù)，及時(shí)檢測并阻斷非授權(quán)程序在監(jiān)控前端設(shè)備上運(yùn)行?？尚胚\(yùn)行控制軟件基于國密密碼算法（SM2[3]、SM34]及SM4[5]）由網(wǎng)絡(luò)訪問控制模塊、運(yùn)行控制模塊、審計(jì)管理模塊等功能模塊組成，其軟件組成結(jié)構(gòu)如圖2所示。

圖1 視頻監(jiān)控安全方案

圖2 可信運(yùn)行控制軟件組成結(jié)構(gòu)

（1）網(wǎng)絡(luò)訪問控制模塊主要根據(jù)策略對(duì)攝像機(jī)網(wǎng)絡(luò)訪問行為進(jìn)行控制，主要功能包括網(wǎng)絡(luò)訪問控制和網(wǎng)絡(luò)端口控制。管理員可以通過安全管理系統(tǒng)配置攝像機(jī)網(wǎng)絡(luò)訪問策略。網(wǎng)絡(luò)訪問控制模塊根據(jù)策略確定攝像機(jī)網(wǎng)絡(luò)訪問權(quán)限以及相應(yīng)端口的開啟或關(guān)閉。

（2）運(yùn)行控制模塊主要根據(jù)策略對(duì)攝像機(jī)運(yùn)行應(yīng)用程序行為進(jìn)行控制，包括文件完整性校驗(yàn)、異常程序行為檢測發(fā)現(xiàn)以及攔截等功能。同時(shí)，基于白名單機(jī)制，對(duì)白名單中的文件進(jìn)行保護(hù)，不允許其他程序進(jìn)行篡改，并對(duì)上述兩個(gè)功能的異常操作進(jìn)行審計(jì)。

（3）審計(jì)功能模塊是對(duì)運(yùn)行控制模塊中截獲的異常操作進(jìn)行審計(jì)記錄并生成審計(jì)信息。審計(jì)信息由通信代理客戶端上報(bào)到管理系統(tǒng)，為后端態(tài)勢(shì)分析提供素材支持。

（4）策略配置管理模塊通過建立安全通信鏈路，完成與后端安全管理服務(wù)平臺(tái)通信，實(shí)現(xiàn)攝像機(jī)本地運(yùn)行策略管理功能。

2.2 監(jiān)控前端設(shè)備接入認(rèn)證及信令安全防護(hù)

基于國密公鑰基礎(chǔ)設(shè)施數(shù)字證書認(rèn)證體系（PKI/CA）[6]，監(jiān)控前端設(shè)備使用數(shù)字證書通過安全管理協(xié)議與視頻監(jiān)控安全管理平臺(tái)進(jìn)行相互身份認(rèn)證，包括證書有效性和合法性，同時(shí)在監(jiān)控平臺(tái)記錄相關(guān)認(rèn)證日志。身份認(rèn)證通過后，基于安全管理協(xié)議完成會(huì)話密鑰協(xié)商。該密鑰可以用于監(jiān)控信令完整性保護(hù)，而安全管理協(xié)議實(shí)現(xiàn)可以選擇如下兩種方式。

（1）對(duì)標(biāo)準(zhǔn)網(wǎng)絡(luò)監(jiān)控協(xié)議相關(guān)字段進(jìn)行擴(kuò)展

目前的網(wǎng)絡(luò)攝像機(jī)通常支持的標(biāo)準(zhǔn)協(xié)議有ONVIF、PSIA、HDCCTV、GB/T28181[7]，其中常用的協(xié)議主要是ONVIF和GB/T28181。針對(duì)這兩種監(jiān)控協(xié)議，方案設(shè)計(jì)對(duì)原有接入認(rèn)證信令進(jìn)行擴(kuò)展，通過擴(kuò)展實(shí)現(xiàn)監(jiān)控設(shè)備與監(jiān)控安全管理平臺(tái)（或監(jiān)控信令網(wǎng)關(guān)）的安全認(rèn)證相關(guān)信息交換，完成雙方身份認(rèn)證，同時(shí)使用協(xié)商的會(huì)話密鑰對(duì)后續(xù)每一條監(jiān)控業(yè)務(wù)信令進(jìn)行完整性保護(hù)。認(rèn)證流程如圖3所示。

圖3 安全信令認(rèn)證流程

基于該種方式實(shí)現(xiàn)接入認(rèn)證和信令完整性保護(hù)，需要對(duì)監(jiān)控前端設(shè)備和監(jiān)控集成管理平臺(tái)中信令網(wǎng)關(guān)進(jìn)行安全改造。其中，監(jiān)控前端設(shè)備國密算法通過設(shè)備安全服務(wù)中間件軟件實(shí)現(xiàn)，后端監(jiān)控信令網(wǎng)關(guān)由于接入設(shè)備數(shù)量較多，通過集成PCI-E密碼板卡提供國密算法功能。

（2）基于監(jiān)控安全管理平臺(tái)協(xié)議代理實(shí)現(xiàn)

在不改動(dòng)攝像機(jī)監(jiān)控協(xié)議模塊的基礎(chǔ)上，在監(jiān)控前端設(shè)備植入接入認(rèn)證代理軟件模塊，通過安全管理協(xié)議完成設(shè)備和安全管理平臺(tái)之間的身份認(rèn)證。設(shè)備上線后，主動(dòng)連接安全管理平臺(tái)完成身份認(rèn)證，同時(shí)安全管理平臺(tái)會(huì)定時(shí)根據(jù)平臺(tái)中配置的設(shè)備信息，對(duì)設(shè)備狀況進(jìn)行輪巡檢查，對(duì)巡檢異常設(shè)備及時(shí)生成告警信息，提醒用戶設(shè)備可能存在替換風(fēng)險(xiǎn)，最終確保在線設(shè)備的身份合法性。

2.3 音視頻數(shù)據(jù)安全防護(hù)

攝像機(jī)采集的音視頻數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中是明文傳輸，很容易被截獲或者篡改。針對(duì)不同安全級(jí)別應(yīng)用場景，可分別從視頻數(shù)據(jù)完整性和機(jī)密性兩個(gè)方面進(jìn)行保護(hù)。

針對(duì)視頻數(shù)據(jù)機(jī)密性保護(hù)，采用“信源加密”方案，從采集點(diǎn)開始數(shù)據(jù)即為“密態(tài)”，直至視頻查看端才解開為“明態(tài)”，從根本上解決視頻數(shù)據(jù)在采集、傳輸和存儲(chǔ)過程中的安全。音視頻加密由網(wǎng)絡(luò)攝像機(jī)完成，在視頻采集并完成編碼后，進(jìn)行加密處理再發(fā)送，如圖4所示。

圖4 音視頻加密流程

視頻數(shù)據(jù)加密模塊對(duì)音視頻數(shù)據(jù)加密采用阻塞調(diào)用方式，網(wǎng)絡(luò)攝像機(jī)需要緩沖編碼數(shù)據(jù)，按先進(jìn)先出的原則進(jìn)行加密處理。

（1）網(wǎng)絡(luò)攝像機(jī)將編碼完成的音視頻數(shù)據(jù)傳入安全模塊；

（2）安全模塊根據(jù)策略，使用視頻加密密鑰對(duì)采集的視頻數(shù)據(jù)進(jìn)行加密處理，形成密文；

（3）對(duì)視頻密文數(shù)據(jù)和安全協(xié)議使用HMACSM3計(jì)算得到驗(yàn)證信息，按音視頻加密數(shù)據(jù)封裝格式組包；

（4）網(wǎng)絡(luò)攝像機(jī)按原有流程將加密音視頻包分割成網(wǎng)絡(luò)包并發(fā)送；

（5）視頻監(jiān)控展示平臺(tái)通過流媒體服務(wù)器或者直接從監(jiān)控前端設(shè)備獲取到加密視頻流后，通過安全管理協(xié)議從監(jiān)控安全管理平臺(tái)獲取視頻解密密鑰，對(duì)視頻進(jìn)行解密后再進(jìn)行解碼播放或者其他分析處理。

針對(duì)只要求保護(hù)視頻數(shù)據(jù)完整性的場景，只需要通過安全管理平臺(tái)配置視頻加密模塊并關(guān)閉視頻加密處理功能，對(duì)傳入數(shù)據(jù)進(jìn)行HMAC-SM3摘要計(jì)算即可。

3 典型部署

系統(tǒng)典型部署，如圖5所示。

圖5 系統(tǒng)典型部署

（1）在監(jiān)控前端設(shè)備固件中集成安全加固軟件模塊軟件，前端設(shè)備通過更新升級(jí)的方式實(shí)現(xiàn)可信運(yùn)行控制、接入認(rèn)證、信令加固以及視頻數(shù)據(jù)加密功能。

（2）在中心管理平臺(tái)部署監(jiān)控安全管理平臺(tái)，實(shí)現(xiàn)對(duì)接入設(shè)備的安全管理。同時(shí)，在監(jiān)控信令網(wǎng)關(guān)服務(wù)器中集成PCIE硬件加密卡和信令安全中間件（根據(jù)實(shí)際部署需要確定是否需要），實(shí)現(xiàn)對(duì)攝像機(jī)的接入認(rèn)證，監(jiān)控業(yè)務(wù)信令的完整性保護(hù)；

（3）在監(jiān)控客戶端計(jì)算機(jī)中集成硬件解密模塊，實(shí)現(xiàn)對(duì)加密音視頻的解密（主要針對(duì)需要用到視頻解密的場所）。

4 結(jié) 語

本文針對(duì)九部委《關(guān)于加強(qiáng)公共安全視頻監(jiān)控建設(shè)聯(lián)網(wǎng)應(yīng)用工作的若干意見》中提到的“重要視頻圖像信息不失控，敏感視頻圖像信息不泄露”要求，介紹了一種基于國密算法的視頻監(jiān)控系統(tǒng)安全加固方案。通過分析通用視頻監(jiān)控系統(tǒng)面臨的安全威脅，將安全問題聚焦在解決前端攝像機(jī)安全、業(yè)務(wù)信令安全、音視頻數(shù)據(jù)安全三個(gè)方面，并提出了相應(yīng)的解決方案。該方案創(chuàng)新性地將可信計(jì)算技術(shù)應(yīng)用在攝像機(jī)嵌入式操作系統(tǒng)中，增強(qiáng)了前端攝像機(jī)抵御木馬病毒入侵的能力，從源頭解決了視頻監(jiān)控系統(tǒng)面臨的最大風(fēng)險(xiǎn)。此外，由于使用“信源”加密技術(shù)，不影響視頻監(jiān)控系統(tǒng)原有的業(yè)務(wù)流程，可實(shí)施性強(qiáng)，便于推廣。