1.引言
收集视频监控系统是基于IP网的图象长途监控、传输、存储、治理的视频监控系统，将分离、自力的图象汇集点进行联网，实现跨区域的统一监控、统一存储、统一治理、资本共享。
典型收集视频监控系统首要由前端监控设备(摄像机、视频办事器/编码器)、监控中间(中间办事器)、监控客户端(监控工作站)3部门构成。经由过程对收集视频监控系统所面对的安然状况的阐发，收集视频监控系统的安然性在整体布局上分为4个层次：物理安然、接进安然、传输和收集安然、营业安然和数据安然。
此中，收集视频监控系统数据安然是指应对用户和权限等营业信息和音视频媒体信息有加密呵护办法，包含营业数据的安然性和媒体数据的安然性，营业数据包含用户信息、及时浏览、存储、回放和数据建设(如设备信息查询、云台功能查询、通道名称设置)等;媒体数据包含各通道传输的视频数据、音频数据和静态的录相文件等。
视频监控系统面对的数据安然威胁大年夜体分类以下：
拒尽办事报复打击。导致视频监控系统的营业系统没法正常供给办事：
缝隙威胁报复打击，导致视频监控系统的营业系统没法正常供给办事，数据安然(奥秘性、完全性和可用性)被粉碎：
病毒蠕虫，带来的数据完全性和可用性损掉和可能的收集可用性损掉;
口令猜想，导致视频监控系统的资本被滥用、营业系统等没法正常供给办事，数据安然(奥秘性、完全性和可用性)遭到粉碎;
视频监控系统的信令，视频数据的不服安长途传输，导致数据安然(奥秘性、完全性和可用性)遭到粉碎。
针对上述数据安然威胁，在数据安然的具体手艺和设备要求方面，监控业界不合公司的安然策略不合，下面针对业界关于收集视频监控系统的数据安然机制和方案进行阐发。
2.视频监控系统的信息安然分类
凡是，视频监控系统营业数据和媒体数据采取分手的通道进行把持，其传输通道类型可分为信令流和媒体流。
(1)信令流加密
营业数据加密是指每个节制号令或参数设置号令都必需进行加密措置，采纳加密营业信令通道的编制来包管信息的安然性，包管数据辨别、防窜改、防窥视、辨别来历、避免不法拜候、防捏造。
系统对信令进行加密，所有信令都利用加密手艺，为了撑持加密手艺，需增加会话预备把持，进行握手互换标识，以读取暗码生成密钥，进而对分组进行加密。
(2)媒体流加密
对视频流的及时加密流程与信令流近似，一样需要进行互换标识，以读取暗码生成密钥。
视频流和视频节制信令应以不合的物理通道进行传输，视频节制信令经由过程信令传播输，视频畅经由过程媒体传播输。
视频节制和谈是视频监控终端与视频设备(视频治理办事器/监控平台、DVR、摄像甲等设备)间的节制指令集，即成立视频监控图象连接的根基指令集。为包管通信中指令集不包含收集报复打击指令、其他不法字符集或嵌进奥秘数据向外泄漏。视频传输系统应具有视频和谈安然节制功能，对所有视频监控交互指令进行严格安然过滤，阻断不法数据传输和收集报复打击的进侵。
3.视频监控信息安然机制的尺度环境
针对收集视频监控系统安然机制，业界首要有ONVIF(Open Network Video Inte***ce Forum，开放型收集视频产品接口开***坛)、中华人平易近共和国公安部(以下简称公安部)《城市监控报警联网系统手艺尺度安然手艺要求》、CCSA《电信网视频监控系统安然要求》等尺度，别的运营商和厂商各自拟定了针对本身系统的安然尺度和解决方案，此中ONVIF和《城市监控报警联网系统手艺尺度安然手艺要求》是业界采取比较多的监控尺度。
ONVIF成立于2008年5月。由安讯士收集通信公司结合博世集体及索尼公司三方联袂共同成立，存眷IP视频监控，方针是实现一个收集视频框架和谈，使不合厂商所出产的收集视频产品(包含摄录前端、录相设备等)完全互通。ONVIF规范向视频监控引进了Web Services的概念。设备的实际功能均被抽象为Web Services的办事，视频监控系统的节制单位以客户端的身份呈现，经由过程Web要求的情势完成节制把持。
因为ONVIF基于Web Services，Web Services首要操纵HTTP和SOAP使数据在Web上传输，其在信息安然方面首要有以下要求：
获得或设置拜候安然策略;
办事器端HTTPS(secure hypertext transfer protocol，安然超文本传输和谈)认证;
客户端HTTPS认证;
密钥生成和证书下载功能;
IEEE 802.1x supplicant认证;
IEEE 802.1x CA认证：
IEEE 802.1x建设。
在信息安然性方面，ONVIF规范撑持摘要认证和WS一安然框架。
在用户认证方面，最根基验证包含HTTP摘要认证和WSS摘要认证(用户名令牌描述(username token profile))，高级验证包含TLS-based access。
在用户认证经由过程后，经由过程“获得或设置拜候安然策略”实现基于用户的权限节制，以授权其能拜候的前端监控设备。
用户名令牌描述必需利用随机数和时候戳作为定义(按照WS-usemame token)，因为系统为每个摄像头设备供给不合证书不太实际，是以系统对客户端利用用户名令牌描述和首要权限验证，如许就需利用暗码加密算法，算法首要采取SHA-1函数和HMAC算法。举例来讲，某一用户A，其用户名令牌为UA，P-UA，该用户要拜候的终端设备为NEP，则PE_UA=base64(HMAC-SHA-1(UA+P_UA，NEP+“0NVIF password”))即为其客户端建设的用户证书和设备权限验证，此中HMAC_SHA-1是一种安然的基于加密散列(Hash)函数和共享密钥的动静认证和谈，它可以有效地避免数据在传输过程中被截获和窜改。保护了数据的完全性、靠得住性和安然性。
在信息的安然通信层面，0NVIF规范定义了两种通信层面的安然架构：传输层安然(transpon layer security，TLS)和动静层安然。
传输层安然和谈用于呵护0NⅥF供给的所有办事。同时还需要呵护媒体流的RTP(real.time tmsport protocol，及时传输和谈)，RTSP/HTTPS。
设备应当撑持TLS 1.0、TLS 1.1，可以撑持TLS 1.2;加密算法撑持TLS_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_WITH_SHA。
客户端应撑持TLS 1.1、TLS 1.0，加密算法撑持TLS_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_NULL_SHA。
办事器端认证：设备撑持X.509(X.509是由国际电信联盟(ITU-T)拟定的数字证书尺度)办事器认证。RSA key长度起码为l024 bit：客户端撑持TLS办事器认证。
客户端认证：撑持哪的设备应当撑持客户端认证，客户端认证功能可以在设备治理号令中避免和启用。撑持TLS的设备应当在证书要求中撑持R5A认证类型。并且应当撑持RSA客户端认证和签名验证。
信息层面的安然。规范采取基于端口的安然框架IEEE 802.1x， 撑持EAP-PEAP/MSCHAPv2、EAP-MD5、EAP-TLS和EAP-TLS。TLS承诺点对点的保密性和完全性，可是在有中间通信节点的环境下，TLS不克不及供给端到端的安然，别的，为了实现用户根基权限节制，Web Services需要验证每个SOAP动静的来历。
在信息安然方面，公安部《城市监控报警联网系统手艺尺度安然手艺要求》对此有具体的信息安然章节要求，该尺度是由全国安然防备报警系统尺度化手艺委员会拟定的，其成立于1987年，负责我国安然防备手艺范畴国度尺度、行业尺度的拟定、修订工作和对口国际电工委员会/报警手艺委员会(IEC/TC79)的工作。
其信息安然手艺要求的首要内容总结以下。
公钥根本举措措施，包含证书认证机构(CA)和3种证书类型(用户证书、设备证书和CA证书)，证书的载体可经由过程移动存储介质、硬盘、智能卡、USBKey、专用加密设备，此中USBKev为USB接口带有算法的令牌，专用加密设备如加密机，用于产生、存储和治理密钥和公钥证书。
用户身份认证可采取USBKev、静态口令、动态口令、智能卡、人体生物特点等。
对尺度SIP设备的认证，采取数字证书的认证编制。
在数据的加密呵护方面，针对静态存储文件、传输内容、信令数据定义了可撑持的加密算法：DES、3DES、AES(advanced encryption standard，高级加密尺度)(128 bit)、RSA(1024 b“或2048 bit)、安然多用处网际邮件扩充和谈(s/MIME)等。
对信息的完全性采取数字摘要、数字时候戳及数字水印等手艺避免信息的完全性被粉碎。数字摘要撑持信息摘要5(MD5)、安然散列算法1(SHA-1)、安然散列算法256(SHA-256)等算法。
上述两个尺度对业界视频监控数据安然机制的实现有着首要的指导意义，涵盖了监控业界主流解决方案。
4.视频监控信息安然机制的对比
以业界一个典型安然的监控系统厂商为例。凡是其会撑持多种信息安然方案，包含视频编解码算法撑持高等第加密算法;撑持传输数据加密，避免歹意登录后的浏览;图象码流包含数字水印，避免替代和窜改;在信息安然传输和谈方面凡是撑持HTTPS传输，确保传输安然等。监控厂商采取哪一种信息安然机制尺度。与监控系统的实际利用处景和系统架构有紧密密切关系。
以ONVIF规范为例，ONVIF规范核心聚核心在于收集视频传送设备与收集视频客户端之间的接口。是以其典型利用处景是：
前端监控设备PU上线后，向平台CMU发送hello动静;
平台CMU需要搜索设备时，向前端监控设备PU发送probe动静;
平台CMU与前端监控设备PU进行信令交互，要求能力集，获得建设：
客户端CU上线，向平台CMU注册，成立连接：
平台CMU与客户端CU进行信令交互。传输设备列表：
在平台CMU的调和下，客户端CU同前端监控设备PU成立连接传输码流。
由上述场景可见，ONVIF平台CMU的功能在于调和CU同前端监控设备PU成立连接传输码流，其针对信息安然的研究也首要侧重于系统信息安然认证和获得，包含营业信令数据的安然认证、密钥生成和证书下载功能，为此，ONVIF定义了用户证书和天朝气制，以实现客户端与收集视频产品之间安然的授权拜候。
别的，在和谈架构方面，ONVIF是基于Web Services和谈的，是以其在信息的安然传输方面利用IEEE 802.1x验证办事器和HTTPS呵护机制，以包管信息点到点的安然传输。因为ONVIF平台不负责音视频媒体流的转发，是客户端到摄像头点到点直连拜候音视频，是以，ONVIF信息安然尺度不触及音视频媒体数据的加密、完全性呵护和传输。
公安部《城市监控报警联网系统尺度》行业尺度对全国安然城市工程的扶植和监控系统相干设备的开倡议着划定指导性的感化，需涵盖国内尽大年夜部门安然防备用视频监控系统的手艺要求，是以该系列尺度针对城市监控报警联网系统，从视频编解码、信息传输和节制、视频的存储和播放、平台系统、卡口监控和比对、设备接人和利用、安然和测试、工程验收等做了较为手艺性的详实要求。
是以，与ONVIF规范不供给完全的办事器端证书机构(CA)不合，公安部《城市监控报警联网系统手艺尺度安然手艺要求》定义了基于专门证书认证机构认证系统，定义了3种证书类型(用户证书、设备证书和CA证书)，并统一了证书的格局，定义了证书的载体。用户可采取公安部、国度暗码治理局等国度有关机构认证经由过程的硬件加密机(即黑盒子)，用于产生、存储和治理密钥和公钥证书。
别的，与ONVIF规范侧重于营业信令数据的安然认证不合，《城市监控报警联网系统手艺尺度安然手艺要求》在营业信令数据和音视频媒体数据加密和完全性方面皆定义了可撑持的加密算法要求。
5.监控系统采取的主流算法
从具体的加密算法方面。针对信令流和媒体流加密，监控系统一般利用DES、3DES、AES(128 bit)、RSA(1024 bit或2048 bit)等加密算法。
DES、3DES是对称加密算法，即加密和解密利用不异密钥的算法。DES利用一个56 bit的密钥，3DES利用两个自力密钥对明文运行DES算法3次，从而获得112 bit有效密钥强度：一般监控系统可采取DES、3DES算法包管信令流和媒体流的安然性。
AES为对称加密算法，撑持长度为128 bit、192 bit和256 bil的密钥长度。此中128 bit密钥长度的AES是最常采取的版本。也是监控系统中采取较多的一种算法。
RSA长短对称加密算法。是今朝最优良的公钥方案之一，可是RSA的错误谬误是运算代价很高，特别是速度较慢，较对称暗码算法慢几个数量级，是以RSA一般用于对AES密钥的安然传输。因为AES加密算法是公开的，信息的保密依托于AES密钥的保密，是以，对AES密钥的安然传输，可采取RAS非对称加密算法。
监控系统中的数据除经由过程信令流和媒体传播输外，还有良多静止的数据，如存储的录相文件、音频数据，为包管安然性，一样也需要加密措置。针对录相文件加密的编制有良多，可采取3DES、AES(128 bit)、SCB2等。
别的，在监控系统中。为了确保图片和视频数据的安然靠得住，监控系统可采取数字摘要、数字时候戳及数字水印等手艺避免信息的完全性被粉碎。
数字摘要就是采取单项散列函数将需要加密的明文“摘要”成一串固定长度(128 bit)的密文，数字摘要可采守信息摘要5(MD5)、安然散列算法1(SHA-1)、安然散列算法256(SHA-256)等算法。
数字时候戳是用来证实动静的收发时候的，用户起首将需要加时候戳的文件经加密后构成文档，然后将摘要发送到专门供给数字时候戳办事的权势巨子机构，该机构对原摘要加上时候后，进行数字签名，用私钥加密，并发送给原用户。
数字水印手艺。即在抓摄影片或视频编码过程中加进隐躲标识表记标帜，避免该照片或视频在传输、存储、措置过程中被歹意窜改，确保数据的保密性，水印建造方案采取暗码学中的加密系统来加强，在水印嵌进、提取时采取一种密钥乃至几种密钥结合利用。
在数据安然传输和谈方面，监控系统凡是常利用到HTTPS、IEEE 802.1x(基于端口的收集接人节制)和谈、TLS和谈、SRTP(secure real-time transport protocol，安然及时传输节制和谈)。
HTTPS是监控系统中利用较多的安然传输和谈，是由SSL+HTTP构建的可进行加密传输、身份认证的收集和谈，一般利用于营业数据信令流的加密。
IEEE 802.1x和谈利用尺度安然和谈(如RADIUS)供给集中的用户标识、身份验证、动态密钥治理和记账，客户端经由过程认证获得身份验证。为会话生成独一密钥，该密钥可用于监控系统动静安然传输。
TLS和谈使恰当办事器和客户机进行通信时，确保没有第三方能***或盗守信息。TLS和谈包含TLS记实和谈和TLS握手和谈：TLS记实和谈可利用如数据加密尺度(DES)包管连接安然。TLS握手和谈使办事器和客户机在数据互换之进步行彼此鉴定，并协商加密算法和密钥。视频流在传输层的加密也可利用SRTP对传输通道进行加密，SRTP是在RTP根本上所定义的一个和谈，旨在为单播和多播利用法度中的及时传输和谈的数据供给加密、动静认证、完全性呵护和重放呵护功能。
6.安然机制的利用建议
凡是，一个监控系统应按照加密等第和系统架构的不合采取响应的安然机制。
对一般的安然监控系统。要求撑持营业数据拜候权限进行安然认证和授权，实现营业信令流的加密和传输。拜候权限的安然认证可采取口令、数字证书或数字摘要等尺度算法，信令流的加密算法按照业界尺度可采取DES、3DES、AES(128 bit)等算法，信令流的安然传输可按照监控架构和谈采取不合的通信安然和谈，如HTTPS、IEEE802.1x等。
对需要高度安然和保密的系统，不单需要撑持信令流的加密，还需要对传输的媒体流进行加密，一般厂商的视频编解码芯片都可撑持高等第音视频加密算法，如DES、3DES、AES(128 bit)等。别的，视频加密可以采取视频关头帧或全数据加密两种编制。关头帧是反应一组镜头中的首要信息内容的一帧图象，因为视频监控系统摄像头通常为固定安装的，其所触及的场景范围有限，是以，各帧图象冗余信息良多，采取全数据视频流加密破钞芯片资本，加密费用很高，采取关头帧加密可以削减良多工作量。
媒体流和信令流数据的加密，非论采取何种加密算法，均触及密钥的治理标题问题。
在不采取专门证书认证机构的认证系统下，监控平台、前端监控设备、监控客户端必需具有采取统一的加解密模块和密钥产生模块的能力，为了调试或其他选择，视频监控平台、监控终端和客户端都必需撑持统一的开关，便利开启或封锁号令加密功能。
考虑到视频监控平台可分为多级监控平台，是以不合的监控平台的办事器应当利用不合的密钥，每个监控平台办事器按期随机产生一个密钥，该监控平台办事器下的所有终端设备可以获得该密钥，终端设备利用该密钥对发送出往的数据加密，对领受的数据解密，保障信息在传输过程中的安然性。
视频监控系统之间需要颠末信赖把持才能互通，一般的信赖把持由两边履行，要求方信赖受信方，受信方的要求可以被要求方接管。对等地，受信方也要履行信赖把持，以监控系统凡是采取的AES加密为例，其道理以下。
视频监控平台办事器按期随机产生一个AES加密/解密密钥。别离利用各个终端或客户端用户暗码对AES加密密钥进行加密，构成传输密钥发往各个设备，各个设备对传输密钥的内容进行解密，便可获得AES加密/解密密钥。在今后的监控过程中。所有设备便可利用该AES加密/解密密钥对信令和媒体码流进行加密和解密。
对监控系统中静止的数据，如存储的录相文件、音频数据，为包管安然性，需要加密措置，可采取通用的针对录相文件加密的编制，如3DES、AES(128 bit)、SCB2等。为了确保图片和视频数据的安然靠得住，监控系统还可采取数字摘要、数字时候戳及数字水印等手艺避免信息的完全性被粉碎。
7.结束语
综上所述，收集视频监控系统的安然性是个复杂的系统，要包管视频监控的安然运行，还需要考虑多级安然认证机制、关头数据容灾，备份、收集私密呵护(VLAN厂vPN)、网元主动化运行治理等多种身分。本文针对监控系统中最关头的数据安然，选择监控业界两个代表性尺度的信息安然机制进行解读。对主流解决方案进行了对比，阐发了监控系统采取的主流算法，最后提出了视频监控的安然机制利用建议。