雪亮工程信息安全技術(shù)標(biāo)準(zhǔn)與實現(xiàn)探討

■ 文/鄭州信大捷安信息股份有限公司 洪磊

關(guān)鍵字：雪亮工程 信息安全 密鑰體系 綜治

1 引言

“雪亮工程”，即公共安全視頻監(jiān)控建設(shè)聯(lián)網(wǎng)應(yīng)用，是指以“全域覆蓋、全網(wǎng)共享、全時可用、全程可控”為總目標(biāo)，推動重點公共區(qū)域、重點行業(yè)、領(lǐng)域的視頻監(jiān)控系統(tǒng)建設(shè)，指導(dǎo)、監(jiān)督治安保衛(wèi)重點單位公共安全視頻監(jiān)控系統(tǒng)建設(shè)；推動公共安全視頻監(jiān)控系統(tǒng)聯(lián)網(wǎng)，整合各類視頻圖像資源；開展視頻圖像信息在治安防控、城鄉(xiāng)社會治理、智能交通、服務(wù)民生、生態(tài)建設(shè)與保護(hù)等領(lǐng)域應(yīng)用；充分發(fā)揮人民群眾利用視頻監(jiān)控系統(tǒng)在社會治安綜合治理和平安建設(shè)中的作用。

視頻監(jiān)控系統(tǒng)(特別是智能攝像機(jī))作為“物聯(lián)網(wǎng)之眼”已經(jīng)在諸多領(lǐng)域廣泛應(yīng)用，其安全問題也成為公共信息安全的焦點所在，特別是重點單位、重點行業(yè)、重點部位的公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全問題，將直接關(guān)系到國家和社會的公共安全。

2 相關(guān)政策和標(biāo)準(zhǔn)

國家對雪亮工程的信息傳輸、交換、控制技術(shù)及信息安全等均制定了相關(guān)國家標(biāo)準(zhǔn)。如GB/T 28181-2016 標(biāo)準(zhǔn)就規(guī)定了公共安全視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)的互聯(lián)結(jié)構(gòu)，傳輸、交換、控制的基本要求和安全性要求，以及控制、傳輸流程和協(xié)議接口等技術(shù)要求， 適用于公共安全視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)的方案設(shè)計、系統(tǒng)檢測、驗收以及與之相關(guān)的設(shè)備研發(fā)與生產(chǎn)。

而GB 35114-2017標(biāo)準(zhǔn)規(guī)定了公共安全領(lǐng)域視頻監(jiān)控聯(lián)網(wǎng)視頻信息以及控制信令信息安全保護(hù)的技術(shù)要求，包括公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全系統(tǒng)的互聯(lián)結(jié)構(gòu)、證書和密匙要求、基本功能要求、性能要求等，適用于公共安全領(lǐng)域視頻監(jiān)控系統(tǒng)的信息安全方案設(shè)計、系統(tǒng)檢測、驗收以及與之相關(guān)的設(shè)備研發(fā)與檢測。

本文主要基于以上2個技術(shù)標(biāo)準(zhǔn)，并參考公安行業(yè)和電子政務(wù)相關(guān)邊界接入、信息安全等標(biāo)準(zhǔn)和規(guī)范，提出雪亮工程適用的信息安全體系及其典型技術(shù)實現(xiàn)方法。

參考政策及技術(shù)規(guī)范和要求：

◆《關(guān)于加強(qiáng)公共安全視頻監(jiān)控建設(shè)聯(lián)網(wǎng)應(yīng)用工作的若干意見》（發(fā)改高技[2015]996號）

◆《公安信息通信網(wǎng)邊界接入平臺安全規(guī)范（試行）—視頻接入部分》（公科信[2011]5號）

◆《全國公安移動警務(wù)建設(shè)總體技術(shù)方案（2016版）》

◆《公共安全視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)信息傳輸、交換、控制技術(shù)要求》（GB/T 28181-2016）

◆《公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全技術(shù)要求》（GB 35114-2017）

◆《信息安全技術(shù) 電子政務(wù)移動辦公系統(tǒng)安全技術(shù)規(guī)范 》（GB/T 35282-2017）

3 雪亮工程信息安全風(fēng)險分析

公共安全視頻監(jiān)控聯(lián)網(wǎng)應(yīng)用橫向覆蓋全省（或全市）社會面視頻監(jiān)控、公安視頻監(jiān)控、綜治視頻監(jiān)控等。因各行業(yè)、各單位網(wǎng)絡(luò)安全級別的差異性，網(wǎng)絡(luò)安全防范措施也不盡相同，網(wǎng)絡(luò)風(fēng)險比較難以管控。安全風(fēng)險控制難點舉例如下：

3.1 傳輸內(nèi)容安全過濾困難

視頻應(yīng)用區(qū)別于WEB、數(shù)據(jù)庫等其他應(yīng)用的主要特點在于其傳輸?shù)膬?nèi)容為二進(jìn)制圖像數(shù)據(jù)流，因此，如何有效防止違法的病毒、木馬數(shù)據(jù)嵌入視頻應(yīng)用中傳輸成為必須解決的問題。

3.2 防止內(nèi)網(wǎng)泄露機(jī)密信息困難

由于視頻監(jiān)控的訪問具有雙向性，即部分視頻專網(wǎng)視頻監(jiān)控需要對外向其他政法單位提供訪問權(quán)，公安視頻專網(wǎng)及公安信息網(wǎng)也需要訪問大量一、二、三類視頻監(jiān)控資源，如何有效防止黑客程序利用視頻通道泄露內(nèi)網(wǎng)敏感數(shù)據(jù)也必須妥善解決。

3.3 應(yīng)用協(xié)議控制困難

由于行業(yè)特殊性，早期視頻監(jiān)控多為獨立建設(shè)、小規(guī)模聯(lián)網(wǎng)應(yīng)用，始終沒有制定全國性的統(tǒng)一互聯(lián)標(biāo)準(zhǔn)，導(dǎo)致各視頻廠家協(xié)議差異性較大，相互不兼容現(xiàn)象普遍，安全控制難度大。

針對以上安全防控點的分析，并結(jié)合雪亮工程層級架構(gòu)，將其信息安全防控歸結(jié)為終端安全、網(wǎng)絡(luò)傳輸安全、平臺安全、應(yīng)用安全等四個方面，其核心信息安全需求可歸納為：

◆用戶及設(shè)備身份認(rèn)證需求

◆信令及視頻數(shù)據(jù)完整性需求

◆視頻數(shù)據(jù)來源的可追溯性需求

◆視頻數(shù)據(jù)的機(jī)密性需求

4 視頻聯(lián)網(wǎng)監(jiān)控系統(tǒng)信息安全原理

公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全系統(tǒng)定義：公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全系統(tǒng)由安全前端設(shè)備、安全用戶終端、視頻安全密鑰服務(wù)系統(tǒng)、視頻安全管理平臺四部分組成。各部分以傳輸網(wǎng)絡(luò)為基礎(chǔ)，通過會話通道協(xié)議、媒體流通協(xié)議和證書通道協(xié)議連接。

視頻安全密鑰服務(wù)系統(tǒng)定義：視頻安全密鑰服務(wù)系統(tǒng)指具備用戶和設(shè)備身份證書的制發(fā)功能，為視頻監(jiān)控安全管理平臺提供證書查詢和驗證等服務(wù)，并完成對對稱密鑰管理的系統(tǒng)。

視頻監(jiān)控安全管理平臺定義：視頻監(jiān)控安全管理平臺指由具有安全功能的中心信令控制服務(wù)器、具有安全功能的媒體服務(wù)器、信令安全路由網(wǎng)關(guān)等功能體組成。具備用戶身份認(rèn)證、設(shè)備身份認(rèn)證、密鑰管理、權(quán)限管理、簽名驗簽、加密解密、訪問控制、審計、加密視頻數(shù)據(jù)實時點播/歷史回放/存儲/下載/分發(fā)/導(dǎo)出、視頻數(shù)據(jù)源抗抵賴，控制信令的完整性驗證等功能。

視頻聯(lián)網(wǎng)監(jiān)控系統(tǒng)的安全目標(biāo)是“構(gòu)建具有安全功能的監(jiān)控聯(lián)網(wǎng)安全系統(tǒng)，能夠保障視頻數(shù)據(jù)及控制信令信息真實性、完整性、保密性”。

GB 35114-2017標(biāo)準(zhǔn)的核心是通過國家商用密碼技術(shù)和服務(wù)來保障視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)的安全。密碼應(yīng)用技術(shù)體系如下圖所示：

圖1 密鑰應(yīng)用技術(shù)體系框架圖

GB 35114-2017標(biāo)準(zhǔn)涉及的密碼應(yīng)用技術(shù)有：密碼資源、密碼支撐、 密碼服務(wù)、密碼應(yīng)用和密鑰管理。下面簡單分析其技術(shù)原理。

4.1 密碼資源層

密碼資源層主要包含相關(guān)密碼算法和硬件算法芯片等。視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)中配置的算法包括：

非對稱算法：SM2橢圓曲線密碼算法，用于身份認(rèn)證、數(shù)字簽名和密鑰協(xié)商。

對稱算法：SM1、SM4分組密碼算法OFB（密文輸出反饋模式）用于視頻數(shù)據(jù)的加密保護(hù)；SM4的ECB模式用于密鑰協(xié)商保護(hù)。

雜湊算法：SM3密碼雜湊算法，用于完整性校驗。

隨機(jī)數(shù)發(fā)生算法：通過GM/T 005-2012隨機(jī)數(shù)檢測方法檢測的發(fā)生算法。

4.2 密鑰生命周期管理

視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)使用的密鑰包括簽名公私鑰、加密公私鑰、視頻加密密鑰和視頻密鑰加密密鑰。密鑰管理功能主要由視頻監(jiān)控安全管理平臺承擔(dān)，對各類密鑰進(jìn)行全生命周期的管理。

視頻安全密鑰服務(wù)系統(tǒng)僅提供用戶和設(shè)備身份證書的制發(fā)，為視頻監(jiān)控安全管理平臺提供證書查詢和驗證等服務(wù)。

視頻監(jiān)控安全管理平臺完成身份認(rèn)證、密鑰管理、權(quán)限管理、簽名驗簽、加密解密、訪問控制、審計等功能。

4.3 密碼支撐層

密碼支撐層提供密碼資源調(diào)用，由安全芯片、密碼模塊和服務(wù)器密碼機(jī)、云密碼機(jī)等密碼工程產(chǎn)品組成。

GB 35114-2017標(biāo)準(zhǔn)推薦采用國密算法，硬件形態(tài)可以是芯片、TF加密卡、安全USBkey等形式，配合安全接入及認(rèn)證管理模塊完成設(shè)備身份認(rèn)證、視頻簽名、視頻解密等信息安全運算。

對于具有安全功能的前端設(shè)備和具有安全功能的用戶終端，可以按需使用安全芯片和其他形式封裝的密碼模塊（如安全TF卡、安全貼膜卡和安全USB Key等）。

對于視頻監(jiān)控管理平臺、流媒體服務(wù)器、存儲服務(wù)器、解碼器等，可以部署服務(wù)器密碼機(jī)，對于部署于云平臺的視頻監(jiān)控平臺及應(yīng)用系統(tǒng)，則可以選用云密碼機(jī)。應(yīng)用系統(tǒng)通過集成SDK遠(yuǎn)程調(diào)用密碼機(jī)提供的密碼服務(wù)。

圖2 硬件形態(tài)

4.4 密碼服務(wù)層

密碼服務(wù)層（即密碼API層），為上層應(yīng)用提供標(biāo)準(zhǔn)的密碼服務(wù)接口，接口的形式遵循業(yè)界的標(biāo)準(zhǔn)，可以提供更好的兼容性和適用性。密碼支撐模塊提供的API接口支持SDF（國密）、PKCS11（RSA公司）和CSP（微軟）中的至少一種。

圖3 視頻安全密鑰服務(wù)系統(tǒng)圖

4.5 密碼應(yīng)用層

密碼應(yīng)用層指視頻監(jiān)控聯(lián)網(wǎng)信息安全系統(tǒng)中的密碼應(yīng)用。主要有對用戶及設(shè)備進(jìn)行身份認(rèn)證、數(shù)據(jù)安全傳輸、安全存儲、角色授權(quán)和訪問控制、簽名和驗簽等功能。

安全認(rèn)證：基于PKI公鑰基礎(chǔ)設(shè)施進(jìn)行設(shè)備的身份標(biāo)識管理和認(rèn)證。對用戶、終端、平臺、信令、網(wǎng)間身份認(rèn)證等，保證行為合法、可追溯。

加密傳輸、存儲：保障視頻傳輸、存儲安全。

角色的授權(quán)與訪問控制：保障數(shù)據(jù)合規(guī)使用。實現(xiàn)基于角色的訪問控制模型，對于視頻數(shù)據(jù)進(jìn)行授權(quán)管理和訪問控制。

簽名和驗簽：保證信令及視頻數(shù)據(jù)完整性。簽名的對象包括視頻的I幀或其他關(guān)鍵幀，以及視頻的完整數(shù)據(jù)。

5 系統(tǒng)聯(lián)網(wǎng)結(jié)構(gòu)說明

視頻監(jiān)控信息安全系統(tǒng)互聯(lián)結(jié)構(gòu)可分為系統(tǒng)內(nèi)聯(lián)網(wǎng)安全結(jié)構(gòu)和系統(tǒng)間聯(lián)網(wǎng)安全結(jié)構(gòu)。

圖4 公共安全視頻監(jiān)控信息安全系統(tǒng)互聯(lián)結(jié)構(gòu)示意圖

圖5 公共安全視頻監(jiān)控系統(tǒng)內(nèi)聯(lián)網(wǎng)安全結(jié)構(gòu)

5.1 視頻監(jiān)控系統(tǒng)內(nèi)聯(lián)網(wǎng)安全結(jié)構(gòu)

安全前端設(shè)備：前端設(shè)備是指安裝于視頻監(jiān)控現(xiàn)場的具備信息采集、編碼/處理、存儲、傳輸、安全控制等功能的設(shè)備，安全前端設(shè)備是指集成密碼模塊的前端設(shè)備，具備基于數(shù)字證書的設(shè)備身份認(rèn)證、視頻簽名、視頻加密等信息安全保護(hù)功能。

安全用戶終端：具有密碼模塊的PC、智能終端等用戶終端，具備基于數(shù)字證書的用戶身份認(rèn)證、視頻解密等功能。

圖6 安全前端設(shè)備

圖7 安全用戶終端

視頻安全接入系統(tǒng)：為C/S架構(gòu)，安全前端設(shè)備安裝安全接入客戶端，視頻監(jiān)控網(wǎng)絡(luò)的邊界處部署視頻安全接入網(wǎng)關(guān)。解決安全前端設(shè)備產(chǎn)生的視頻數(shù)據(jù)傳輸至視頻監(jiān)控安全管理平臺過程中的數(shù)據(jù)保密性和完整性問題，通過身份認(rèn)證、密鑰協(xié)商、數(shù)據(jù)加密等安全機(jī)制，構(gòu)建視頻數(shù)據(jù)的安全傳輸通道。

圖8 視頻安全接入系統(tǒng)

圖9 密碼基礎(chǔ)服務(wù)系統(tǒng)

密碼基礎(chǔ)服務(wù)系統(tǒng)：系統(tǒng)提供典型的密碼服務(wù)，包括：

◆密碼支撐設(shè)備：在系統(tǒng)中部署服務(wù)器密碼機(jī)，以網(wǎng)絡(luò)遠(yuǎn)程調(diào)用的形式為系統(tǒng)中的各業(yè)務(wù)系統(tǒng)提供密碼服務(wù)。密碼服務(wù)API推薦采用國密SDF標(biāo)準(zhǔn)。

◆密鑰管理系統(tǒng)：對系統(tǒng)中應(yīng)用到的各類密鑰提供全生命周期管理服務(wù)。

◆身份認(rèn)證系統(tǒng)：基于PKI技術(shù)體系，包括CA、RA、LDAP和人員管理等子系統(tǒng)，為設(shè)備和用戶提供基于數(shù)字證書的身份認(rèn)證服務(wù)。

5.2 視頻監(jiān)控系統(tǒng)間聯(lián)網(wǎng)安全結(jié)構(gòu)

視頻監(jiān)控系統(tǒng)的聯(lián)網(wǎng)方式包括級聯(lián)和互聯(lián)兩種。級聯(lián)適用于具有上下級關(guān)系的組織結(jié)構(gòu)中，通常組成樹形的拓?fù)浣Y(jié)構(gòu)，互聯(lián)適用于對等的組織結(jié)構(gòu)中，通常組成網(wǎng)狀的拓?fù)浣Y(jié)構(gòu)。

圖10 公共安全視頻監(jiān)控系統(tǒng)間聯(lián)網(wǎng)安全結(jié)構(gòu)

（1）在組建視頻聯(lián)網(wǎng)體系時，密碼服務(wù)設(shè)施需要進(jìn)行統(tǒng)一的規(guī)劃，保證身份信息和控制策略的跨域查詢或交換，通?？赏ㄟ^安全接入系統(tǒng)建立互相信任關(guān)系實現(xiàn)跨域應(yīng)用。

（2）視頻數(shù)據(jù)和控制指令在系統(tǒng)間的傳輸交換，采用安全隔離設(shè)計進(jìn)行保障。

◆按照信息系統(tǒng)分級的原則，在視頻監(jiān)控系統(tǒng)中劃分出視頻聯(lián)網(wǎng)交換區(qū)，視頻聯(lián)網(wǎng)交換區(qū)和視頻業(yè)務(wù)區(qū)使用單向隔離交換設(shè)備實現(xiàn)數(shù)據(jù)的單向流通。

◆在單向隔離交換設(shè)備前后，部署視頻訪問控制系統(tǒng)（包括管理和代理子系統(tǒng)），對視頻數(shù)據(jù)和控制指令進(jìn)行協(xié)議剝離和還原封裝，并對視頻格式和指令內(nèi)容進(jìn)行匹配和分析，防止異常數(shù)據(jù)進(jìn)入到視頻業(yè)務(wù)系統(tǒng)中。

6 SIP安全認(rèn)證

GB/T 28181-2016標(biāo)準(zhǔn)對SIP注冊流程分為基本注冊和基于數(shù)字證書的雙向認(rèn)證注冊。

基本注冊采用IETF RFC3261規(guī)定的基于數(shù)字摘要的挑戰(zhàn)應(yīng)答式安全技術(shù)進(jìn)行注冊。使用基于用戶名和密碼，MD5散列計算、簽名驗簽等方式實現(xiàn)認(rèn)證。

GB 35114-2017標(biāo)準(zhǔn)要求基于數(shù)字證書的雙向認(rèn)證注冊。對RFC3261中定義的REGISTER進(jìn)行了頭域擴(kuò)展，擴(kuò)展了密碼算法和模式描述。在安全前端設(shè)備、安全用戶終端與視頻安全管理平臺間進(jìn)行單向、雙向認(rèn)證時，可以協(xié)商密鑰類型、算法工作模式等。

認(rèn)證方式改變，要求監(jiān)控廠商針對GB 35114-2017標(biāo)準(zhǔn)，對相關(guān)設(shè)備信令交互過程進(jìn)行對應(yīng)修改，以滿足國標(biāo)要求。

7 結(jié)語

公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全系統(tǒng)以傳輸網(wǎng)絡(luò)為基礎(chǔ)，通過會話通道協(xié)議、媒體流通協(xié)議和證書通道協(xié)議連接。通過對原有SIP協(xié)議認(rèn)證流程的改造和補(bǔ)充，實現(xiàn)基于數(shù)字證書的國密安全認(rèn)證，從而構(gòu)建具有安全功能的公共視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)，保障視頻數(shù)據(jù)及控制信令信息真實性、完整性、保密性。

本文以GB 35114-2017標(biāo)準(zhǔn)為基礎(chǔ)，并結(jié)合國密算法、PKI公鑰基礎(chǔ)設(shè)施等技術(shù)架構(gòu)，提出對GB 35114-2017標(biāo)準(zhǔn)的嘗試性解讀。希望能為業(yè)內(nèi)同仁進(jìn)行相關(guān)方案制作、系統(tǒng)開發(fā)、產(chǎn)品改造等方面提供一定參考，起到拋磚引玉的效果。