此篇文章发布距今已超过134天，您需要注意文章的内容或图片是否可用！
视频监控系统在经济领域应用广泛，面临的安全风险与威胁也日趋增多。基于国产密码技术设计安全的视频监控系统，是抵御攻击的根本手段。针对视频监控系统面临的各项安全威胁，提出一种基于标识密码的视频监控系统安全加固方案，基于 SM9 算法设计安全接入认证协议和密钥协商协议，在此基础上利用 SM3、SM4 算法实现信令加固和视频数据安全保护。有效实现了视频监控系统的安全防护，同时避免了频繁数字证书交换与认证带来的效率问题，适用于大规模、高安全要求的视频监控系统。近年来，芯片技术、视频压缩编码技术、多媒体网络传输等关键技术的高速发展，使得视频监控系统逐步走向“高清化、网络化、智能化”，应用领域也从军事、能源、金融、电信等传统领域推广到医疗、教育、企业、商贸、社区、个人家庭等新兴领域。随着产业规模的不断壮大，针对用户隐私和基础网络环境的安全攻击不断增多，对于视频监控系统进行安全设计势在必行。密码技术是信息安全的根本，是实现安全视频监控系统的技术保障。基于具有自主知识产权、完全自主可控的国产密码技术进行安全视频监控系统的设计与研究，可以有效避免由于国际密码技术中植入的“后门系统”所带来的安全风险，成为近几年国内研究者们的重点研究目标。目 前 公 开 文 献 主 要 基 于 国 密 算 法 SM2、SM3、SM4 实现视频监控系统安全增强。张正强等人提出了一种视频监控系统联网应用安全加固方案，基于国密算法 SM2、SM3、SM4 实现了视频监控前端设备接入认证、信令安全防护、音视频安全防护。唐悦 结合 GB 35114—2017《公共安全视频监控联网信息安全技术要求》标准，分别针对公共安全视频监控系统和个人安全视频监控系统提出了设计方案，基于数字证书的身份证书认证机制，利用国密 SM2、SM3算法实现前端设备的身份认证，利用 SM4 算法对视频数据进行端到端加密保护。上述方案均须引入数字证书管理系统，随着监控设备大规模部署，将面临海量证书的管理问题，而频繁的证书交换与认证会降低系统的运行效率 。Shamir于 1984 年 首 次 提 出 标 识 密 码（Identity-Based Cryptography，IBC） 理 念， 直接将用户邮箱、地址等身份标识用作公钥，无需数字证书即可确保公钥的可靠性，解决了数字证书颁发和验证引起的效率问题，使得密码方案更加轻便高效。自此之后，对标识密码学的研究范围不断扩展，许多研究者进一步为标识密码引入更为丰富的功能与安全属性。标识签密、层次式标识密码等不同概念的相继提出，满足了不同的应用场景与安全需求。2020 年，我国自主设计的标识密码 SM9 成为国家标准，并被采纳成为国际标准，直接推动标识密码走向更为广泛的应用。本文主要针对视频监控系统面临的各类安全威胁，提出一种视频监控系统安全加固方案，基于国密标识密码算法 SM9，结合国密杂凑算法 SM3 和对称加密算法 SM4，保障视频监控系统中前端数据采集、数据传输、后台数据处理等过程的安全。本节从视频监控系统安全威胁、标识密码两个方面开展相关工作介绍。典型的视频监控系统由视频监控前端、视频监控传输网络、视频监控后台和视频监控应用组成，如图 1 所示。（1）视频监控前端。前端设备一般采用嵌入式操作系统，存在操作系统漏洞、监控业务信令缺乏保护、登录认证方式不安全等问题，前端设备易被劫持和替换，导致数据泄露、丢失、篡改及被恶意操控。（2）视频监控传输网络。视频数据与信令信息采用明文的形式传输，存在被恶意窃取、篡改、伪造等安全威胁。（3）视频监控后台。后台管理系统一般基于用户名 / 口令的方式进行认证，易被攻击者破解，导致视频数据被非法访问、篡改。同时，对前端设备缺乏强认证机制，存在非法或仿冒前端设备接入威胁。（4）视频监控应用。视频监控应用存在弱口令、系统漏洞等安全风险，易导致数据泄露、非法访问和系统远程控制等安全问题。自提出标识密码概念以来，研究者们针对标识密码开展了大量的研究工作，逐步解决了单一私钥生成机构（Private Key Generator，PKG）密码计算开销过高、标识密码计算开销随节点深度增长、前向安全 等关键问题，标识密码已逐步走向应用阶段。其中，我国自主研发的标识密码算法 SM9 在物联网安全、智能变电站安全防护、区块链隐私保护和移动互联网身份认证等领域均取得了广泛的应用。SM9 算法具体包括数字签名算法、密钥交换算法、密钥封装机制和公钥加密算法，具有可证明的安全性。与传统公钥基础设施（Public Key Infrastru cture，PKI）体系相比，标识密码技术无需证书管理系统和认证中心，就可为视频监控系统提供更加简洁高效的密码方案，利用身份标识即公钥的特点，可实现无需证书交换的安全接入认证及密钥协商，提高前端设备 / 终端用户的接入认证效率，实现视频数据端到端加密保护。本文提出的视频监控系统安全加固方案涵盖终端用户和前端设备等实体的安全接入认证、视频监控业务信令加固、音视频数据信源保护等方面。涉及的密码符号说明如表 1 所示。根据标识密码体制，需要根据各实体的密码标识产生签名公私钥和加密公私钥。密钥生成主要分为主密钥生成和实体公私钥生成两步。（1）主密钥生成。签名主私钥和加密主私钥均采用噪声源芯片生成素数随机数 ks ∈ [1,n-1]，ke ∈ [1,n-1]，计算（2）实体公私钥生成。以摄像头 A 为例，假设标识为计算 A 的签名私钥首先选择并公开用一个字节表示的私钥生成函数识别符 hid；其次在有限域上计算非零元素其中为辅助密码函数，计算元素最后计算计算 A 的加密私钥首先在有限域上计算非零元素其次计算元素最后计算安全接入包括前端设备和用户的安全接入，以实体 A 接入视频监控管理系统为例，密码方案选定曲线的基点为 G(x,y)，实体 A 的标识为，签名私钥为存在接入认证网关的标识为签名私钥为存在认证流程如图 2 所示，实体 A 在发送接入请求时利用签名私钥对请求消息进行签名，得到签名值然后将消息 和签名值发送给接入认证网关。签名值计算过程为：产生随机数计算点先计算哈希值然后计算群中的元素（其中 x 取值由选定基点 G(x,y)确 定）， 最 后 得 到 签 名 值网关收到实体 A 的消息和签名后，首先使用实体 A 的公钥对消息和签名值进行验证，验证通过可确认实体 A 的身份。验证过程为：计算消息的哈希值然 后 用实体A的公钥计 算并将计算结果与进 行 比 较， 由 于所以因 此， 如 果与相等，则验证成功。网关随后使用签名私钥对响应消息进行签名，即产生随机数计算响应消息 M2 的哈希值计算元素然后将消息和签名值发送给实体A，实体 A 收到响应消息后采用同样的方法对网关进行身份验证。视频数据在采集和传输过程中通常采用信源加密的方式实现数据保护。前端设备进行视频数据采集时，首先利用标识密码算法与视频监控管理平台协商产生消息保护密钥（Message Encryption and Authentication Key，MEAK），该 密 钥 可 作 为 视 频 密 钥 加 密 密 钥（Video Key Encryption Key，VKEK）；其次生成随机数作为视频加密密钥（Video Encryption Key，VEK），采集视频数据后将其编码为网络数据包，使用视频加密密钥对数据包进行加密封装，使用 VKEK对 VEK 加密封装后发送至视频监控管理平台，加密采用 SM4 算法。平台接收数据后先解密获取视频加密密钥，然后利用视频加密密钥解密视频数据包，获取明文视频数据。密钥协商过程包括协商请求、协商应答和协商确认 3 个阶段，以监控摄像头 A 向监控管理平台 B 发起协商为例，密钥协商流程如图 3 所示。（1）协商请求。摄像头 A 产生随机流水号sn 和素数随机数计算点利用管理平台 B（标识为）的加密公钥对和 sn 进行加密得到然后将密文发送给管理平台。（2）协商应答。管理平台收到协商请求后，使用自己的私钥解密密文，获取和sn，然后产生素数随机数计算点利用双方标识计算得到协商密钥利用摄像头 A 的标识产生 A 的加密公钥并对进行加密得到使用协商密钥对 sn+1 进行加密得到 然后将两个密文发送给摄像头 A。（3）协商确认。摄像头接收协商应答包后，使用自己的私钥解密密文获取然后根据双方标识计算得到协商密钥利用协商密钥解密获取sn，判断sn 是否正确，如果正确，使用对 sn+2 进行加密，得到然后将密文发送给管理平台。管理平台接收协商确认包后，利用解密 获取 sn，判断 sn 是否正确，如果正确，则完成协商确认。经过上述协商，双方完成视频密钥加密密钥共享，即可按照视频加密封装协议进行安全传输。信令发送方与接收方经过 2.3 节所述的密钥协商后，采用协商密钥 MEAK 对信令消息 M 进行杂凑运算，得到摘要值然后将发送至对方。接收方收到信令消息后先进行信令完整性验证，验证通过后执行后续操作。方案以国密算法 SM9 为基础，结合 SM3 和SM4 算法，为视频监控系统接入认证、音视频数据传输、信令传输等流程增加了安全加固措施。（1）接入认证防护。利用设备、用户标识作为公钥，基于标识密码实现安全接入双向认证，保证只有合法的用户和设备才能接入系统，采用无证书双向认证机制，系统部署中减少了数字证书管理系统，认证交互过程中减少了数字证书传递，简化系统部署及交互流程。（2）音视频数据传输防护。利用标识算法实现无证书密钥协商，采用标识加密算法实现协商数据传递，既保证了协商数据机密性，又可实现身份认证，防止第三方伪装，协商的同时完成双向密钥确认，增强了可靠性。利用对称算法对视频数据进行信源加密，保证了视频数据端到端安全传输。（3）信令传输防护。利用协商密钥和杂凑算法为信令消息增加校验机制，有效保证信令的完整性。基于本文安全加固方案的视频监控系统模型如图 4 所示。系统由视频监控前端、视频监控后台、用户终端 3 个部分组成，采用 PCI-E密码模块和 USB 认证介质作为实体密码标识，用于存储各实体公私钥，并提供 SM3、SM4 和SM9 密码运算服务，对于前端设备等不便于安装密码模块的，采用密码服务组件提供和密码模块一致的密码功能。（1）视频监控前端。视频监控前端主要是部署于各监控点位的网络摄像机，摄像机通过网络接入视频监控系统，由于前端设备一般采用嵌入式系统，长期处于户外，不便集成硬件密码设备，因此通常采用在摄像机内部署密码服务组件的方式为前端设备提供安全接入认证、视频加密等功能。（2）用户终端。为终端用户分发 USB 身份介质作为密码标识载体，用户访问视频监控系统时须将 USB 身份介质插入台式计算机、便携计算机等设备进行使用。对于手持设备等无法集成 USB 身份介质的，可采用部署密码服务组件的方式提供防护。（3）视频监控后台。在视频监控后台，部署标识密码管理系统为系统提供密码标识管理、密钥生成等功能。在接入管控服务器、平台管理服务器、流媒体服务器等位置部署 PCI-E 密码模块提供密码服务。对于监控大屏等后台应用，也采用 USB 认证介质为用户提供密码标识，在视频解码器部署 PCI-E 密码模块提供视频解密功能。（1）系统初始化。在系统初始化阶段，先为各设备、用户实体产生密码标识，并与设备识别码或用户信息绑定，完成密码标识分发。标识由 16 位字符编码构成，根据实体类别、部署单位 / 部门、部署位置、设备编号为各实体分配标识，如视频监控前端设备 A 的标识可编码为 FE-1B-BGS-010001，用户张三的标识可编码为 TU-1B-GLY-010005。对于视频监控后台的接入管控服务器、平台管理服务器、流媒体服务器等实体，在标识密码管理系统完成各自的 PCI-E 密码模块注册，根据密码模块标识为其生成公私钥对等资源，并加载至 PCI-E 密码模块，由模块进行安全存储。对于监控前端设备实体，在完成各前端设备注册后，标识密码管理系统根据设备标识生成公私钥对，然后加载至前端设备内部。对于用户实体，在用户注册时标识密码管理系统根据用户标识为用户生成公私钥对，并加载至 USB 身份介质，再将介质分发给用户。（2）系统运行。监控前端设备部署完成后，首先基于 2.1 节所述的安全接入认证流程完成身份认证上线运行，其次根据 2.3 节所述密钥协商流程完成密钥协商，最后进行视频数据采集和加密传输。终端用户接入时，要先完成安全认证后方可访问视频数据。本文方案与文献 [1] 和文献 [2] 相比，没有数字证书管理系统，简化了系统数据交互流程。在安全接入认证阶段，直接将标识作为公钥，减少了数字证书交互，并且采用双向认证机制保证了前端设备 / 终端用户与视频监控管理平台之间相互认证的安全性。在密钥协商阶段，基于标识密码实现了无证书交互的密钥协商，同时完成了协商密钥双向确认。视频监控系统中各个环节均面临不同程度的安全威胁，本文提出了一种基于标识密码的视频监控系统安全加固方案，利用国密算法 SM9实现无证书的安全接入认证和密钥协商，结合国密算法 SM3 和 SM4 实现监控业务信令加固和音视频数据端到端信源保护。全过程无数字证书参与，简化了系统部署及密码管理，适用于大规模、高安全要求的视频监控系统建设。
在系统运行效率方面，PCI-E 密码模块可采用现场可编程门阵列（Field Programmable Gate Array，FPGA）、 片 上 系 统（System on Chip，SoC）等专用硬件实现密码运算引擎，因此效率较高，完全可以满足系统运行需求。监控前端设备和 USB 身份介质受限于体积、功耗，大多采用低功耗嵌入式处理器或 SoC 实现，并不擅长处理较为复杂的密码运算，一般来说，每秒可完成的标识签名或加密运算次数在几次到几十次之间，在实际应用中基本可满足使用需求，但在后续工作中，需要重点研究 IBC 密码高速实现方案，提高签名、加密运算速率，降低接入认证和密钥协商时延，进一步提升系统运行效率。引用格式：周波 , 王曦 , 杜薇 , 等 . 基于标识密码的视频监控系统安全加固方案 [J]. 信息安全与通信保密 ,2024(2):51-59.周 波，男，硕士，工程师，主要研究方向为信息安全与保密通信；
王 曦，男，硕士，工程师，主要研究方向为信息安全与保密通信；
杜 薇，女，硕士，高级工程师，主要研究方向为信息安全与保密通信；
龚昌平，男，硕士，工程师，主要研究方向为信息安全与保密通信。
编辑：陈十九
审核：商密君
大家好，为了更好地促进同业间学术交流，商密君现开启征文活动，只要你对商用密码、网络安全、数据加密等有自己的独到见解和想法，都可以积极向商密君投稿，商密君一定将您的声音传递给更多的人。注：内容均来源于互联网，版权归作者所有，如有侵权，请联系告知，我们将尽快处理。 推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
周飒博客-ZhouSa.com
还没有评论，来说两句吧...