基于公普加密的安全視頻監(jiān)控系統(tǒng)的設(shè)計

劉艷層，袁鵬，尹嚴(yán)研

（北京京航計算通訊研究所，北京市100074）

1 引言

目前，網(wǎng)絡(luò)視頻監(jiān)控技術(shù)不斷發(fā)展，其關(guān)注的重點在于系統(tǒng)功能的實現(xiàn)，主要包括視頻圖像的采集、存儲和如何實現(xiàn)網(wǎng)絡(luò)傳輸。其安全則由于技術(shù)限制（實時視頻大數(shù)據(jù)的加密瓶頸）和準(zhǔn)備不足成為行業(yè)產(chǎn)品廠商的短板甚至是盲區(qū)，造成了目前的視頻監(jiān)控系統(tǒng)自身安全保障的缺失。因此，研發(fā)實現(xiàn)更加可靠、更加安全且完全自主可控的網(wǎng)絡(luò)視頻監(jiān)控產(chǎn)品勢在必行。

2 安全視頻監(jiān)控系統(tǒng)的組成

加密監(jiān)控主要包括前端安全視頻采集接入和后端服務(wù)中心管理兩大部分。

系統(tǒng)首先利用前端的視頻采集設(shè)備，包括高清安全網(wǎng)絡(luò)攝像機(jī)，將視頻數(shù)據(jù)采集并加密后，通過視頻專網(wǎng)傳輸?shù)胶蠖斯芾碇行?。然后通過管理中心的視頻管理主服務(wù)器、流媒體服務(wù)器、存儲服務(wù)器、安全解碼器、CA 認(rèn)證服務(wù)器及安全工作站等后端管理設(shè)備對視頻數(shù)據(jù)進(jìn)行安全的客戶端瀏覽、集中存儲、電視墻觀看等具體應(yīng)用。安全視頻監(jiān)控系統(tǒng)結(jié)構(gòu)如圖1所示。

圖1 安全視頻監(jiān)控系統(tǒng)結(jié)構(gòu)圖

3 安全視頻監(jiān)控系統(tǒng)的工作原理

安全視頻監(jiān)控系統(tǒng)內(nèi)各設(shè)備通過內(nèi)置加密模塊，在CA 服務(wù)器的支持下，利用公鑰協(xié)商方式協(xié)商出視頻密鑰加密密鑰，然后使用對稱算法加密傳輸視頻數(shù)據(jù)。

具體工作原理如下所示：

①密鑰協(xié)商。存儲服務(wù)器和加固攝像機(jī)建立視頻連接時，每24 小時進(jìn)行1 次密鑰協(xié)商，協(xié)商成功后更換視頻密鑰加密密鑰。密鑰協(xié)商基于公鑰密碼算法，在CA 服務(wù)器的支撐下進(jìn)行。

②加密傳輸。密鑰協(xié)商成功后，加固攝像機(jī)使用本地生成的視頻加密密鑰加密視頻數(shù)據(jù)，視頻加密密鑰（VEK）由交互的視頻密鑰加密密鑰（VKEK）加密后也隨碼流一起傳輸，視頻加密密鑰（VEK）每1 小時更新一次。在視頻監(jiān)控網(wǎng)絡(luò)中傳輸時，視頻數(shù)據(jù)以加密形態(tài)出現(xiàn)。

③密文存儲。加密視頻數(shù)據(jù)到達(dá)存儲服務(wù)器后，由存儲服務(wù)器直接以密文方式存入本地。隨同密文一起存儲的還包括用存儲服務(wù)器公鑰加密的視頻密鑰加密密鑰（VKEK）和對應(yīng)的視頻密鑰加密密鑰版本（VKEKVersion）參數(shù)。存儲碼流的開始必須要包含一個（VKEKVersion，VKEK 密文）數(shù)據(jù)包，表明該數(shù)據(jù)包之后的碼流均通過該組VKEK 對VEK 進(jìn)行加密操作，直到出現(xiàn)下一個（VKEKVerison，VKEK 密文）數(shù)據(jù)包，表明新數(shù)據(jù)包之后的VKEK 需要更新。安全監(jiān)控工作站需要調(diào)取歷史數(shù)據(jù)進(jìn)行查看時，存儲服務(wù)器先用私鑰解密出錄像文件中保存的VKEK的原文，并用碼流接收方的公鑰對VKEK 原文重新加密后，和對應(yīng)的VKEKVersion 一起用信令的方式轉(zhuǎn)發(fā)給碼流接收方；錄像文件保持加密形式發(fā)送給碼流接收方；接收方用自己的私鑰解密VKEK 后，用VKEK 解密VEK，從而解密視頻流用于播放。

④加密轉(zhuǎn)發(fā)。安全解碼器、安全監(jiān)控工作站和加固攝像機(jī)之間不直接連接，而是通過存儲服務(wù)器獲得視頻數(shù)據(jù)。安全解碼器、安全監(jiān)控工作站與存儲服務(wù)器建立連接時，存儲服務(wù)器將相關(guān)加固攝像機(jī)的VKEK 和對應(yīng)的VKEKVerison 通過信令方式轉(zhuǎn)發(fā)給安全解碼器、安全監(jiān)控工作站，轉(zhuǎn)發(fā)過程也要執(zhí)行1 次密鑰協(xié)商過程，區(qū)別是視頻加密密鑰不是新生成的，是轉(zhuǎn)發(fā)加固攝像機(jī)的。

⑤設(shè)備認(rèn)證。通過內(nèi)置密碼模塊中公鑰證書有效性的驗證，可以對設(shè)備進(jìn)行有效性驗證。出現(xiàn)設(shè)備失控時，及時在CA服務(wù)器中將其吊銷，即可阻斷該設(shè)備再次入網(wǎng)。

4 安全視頻監(jiān)控系統(tǒng)的設(shè)計

安全視頻監(jiān)控系統(tǒng)的設(shè)計基于目前國內(nèi)完全自主可控且高端成熟的視頻監(jiān)控技術(shù)，并結(jié)合具備高安全性的公普級數(shù)據(jù)加密技術(shù)，設(shè)計和開發(fā)了端到端的完整視頻加密監(jiān)控系統(tǒng)。該系統(tǒng)從攝像機(jī)圖像采集開始到數(shù)據(jù)傳輸、存儲，再到認(rèn)證系統(tǒng)管理下的數(shù)據(jù)解密解碼，在應(yīng)用中形成完整的系統(tǒng)化產(chǎn)品系列，包括加固攝像機(jī)、解密終端以及認(rèn)證管控等應(yīng)用服務(wù)器和客戶端軟件，共同構(gòu)建起基于公普加密算法的高清視頻監(jiān)控系統(tǒng)。以下為系統(tǒng)的硬件設(shè)計、軟件設(shè)計。

4.1 硬件設(shè)計

①電源部分。設(shè)備包括三種供電方式：AC24V，DC12V 和POE。其中，AC24V 和DC12V 支持寬壓±25%輸入范圍，POE支持空閑線和信號線兩種供電類型。不同機(jī)型根據(jù)實際應(yīng)用需求設(shè)計合適的供電方式，電源經(jīng)過浪涌防護(hù)后，通過電源拓?fù)錇檎麄€系統(tǒng)的正常運行提供所需穩(wěn)定的各種電源電壓。

②CMOS 圖像傳感器及其外圍電路部分。該部分實現(xiàn)光電信號的轉(zhuǎn)換，并經(jīng)過其內(nèi)部放大，A/D 轉(zhuǎn)換等處理輸出數(shù)字裸視頻數(shù)據(jù)，向DSP 提供做進(jìn)一步處理。

③DSP 處理器及其外圍電路部分。該部分是加固攝像機(jī)（IPC）的核心部分，主要功能為：第一，對SENSOR 寄存器進(jìn)行配置，采集SENSOR 輸出的圖像數(shù)據(jù)，進(jìn)行視頻處理、視頻編碼、加密以及視頻輸出。第二，對網(wǎng)絡(luò)PHY的寄存器進(jìn)行配置，以及兩者之間的視頻數(shù)據(jù)傳輸。第三，采集音頻信號，并進(jìn)行數(shù)據(jù)處理和輸出；報警輸入輸出控制。第四，控制SD 卡實現(xiàn)視頻數(shù)據(jù)存儲等。上述為DSP 實現(xiàn)的通用功能。同時，設(shè)備的紅外燈控制、濾光片切換、變倍變焦等功能，均由DSP 控制相應(yīng)的外圍驅(qū)動芯片來實現(xiàn)。視頻加密功能通過USB 接口調(diào)用密碼模塊完成。

4.2 軟件設(shè)計

軟件分為用戶接口層、應(yīng)用組件層、設(shè)備驅(qū)動層。

①用戶接口層。用戶接口層提供linux的動態(tài)鏈接庫接口，基于應(yīng)用組件層，完成以下功能。

網(wǎng)絡(luò)服務(wù)：按照加固攝像機(jī)（IPC）網(wǎng)絡(luò)通訊協(xié)議，提供實時或歷史媒體數(shù)據(jù)傳輸、系統(tǒng)管理、功能和設(shè)備的控制等服務(wù)。包括Web 和自主開發(fā)的平臺軟件。

控制臺系統(tǒng)：以文字界面的方式接收用戶輸入，運行特定過程，改變系統(tǒng)狀態(tài)，打印系統(tǒng)的輸出，用于調(diào)試、自動測試等場合。

②應(yīng)用組件層。

抓圖組件：主要用于圖片獲取以及存盤傳輸。

錄像模塊：主要用于錄像控制，包括主碼流、子碼流。

錄像回放模塊：利用Web 開啟回放功能，通過獲取文件信息以及視頻碼流，取出碼流后實時送至解碼模塊進(jìn)行解碼顯示。

日志管理：記錄系統(tǒng)運行期間的信息（如系統(tǒng)操作、配置操作、報警事件、數(shù)據(jù)管理等）。供用戶查看設(shè)備過去時間內(nèi)設(shè)備發(fā)生的變動。

③設(shè)備驅(qū)動層。

加固攝像機(jī)（IPC）：加固攝像機(jī)使用（IPC）box 基礎(chǔ)驅(qū)動框架，集成所有加固攝像機(jī)（IPC）產(chǎn)品型號的資源配置，以及外設(shè)驅(qū)動。

音視頻編碼：音視頻型號相關(guān)的資源配置驅(qū)動。

視頻編碼模塊：數(shù)據(jù)加密主要在視頻數(shù)據(jù)編碼后，調(diào)用加密接口對視頻數(shù)據(jù)進(jìn)行加密，加密后對數(shù)據(jù)根據(jù)協(xié)議進(jìn)行封裝，最后將封裝后的加密數(shù)據(jù)通過網(wǎng)絡(luò)發(fā)送至安全網(wǎng)絡(luò)硬盤錄像機(jī)（NVR）端，進(jìn)行解密。

5 結(jié)語

加密視頻監(jiān)控系統(tǒng)通過公普加密，對國產(chǎn)攝像機(jī)進(jìn)行改造，實現(xiàn)高清視頻“端到端”的全程加密，彌補(bǔ)目前視頻信息數(shù)據(jù)安全方面的不足。通過對敏感視頻內(nèi)容進(jìn)行有效防護(hù)，可以確保視頻數(shù)據(jù)的傳輸、存儲、流轉(zhuǎn)、查閱的安全性、完整性、可信任性及可追溯性，使得視頻信息在各應(yīng)用環(huán)節(jié)始終處于安全狀態(tài)和嚴(yán)密監(jiān)管之下，杜絕視頻圖像被非法竊取、偽造或變造的可能，從而實現(xiàn)視頻監(jiān)控信息數(shù)據(jù)的安全可靠管理。