1 方案背景

1.1 應(yīng)用背景

近年來，隨著“智慧城市”、“平安城市”、“雪亮工程”等重大項目的推進(jìn)，以及各重要涉密單位對自身安全的重視，以網(wǎng)絡(luò)攝像機(jī)為核心的視頻監(jiān)控系統(tǒng)作為維護(hù)公共安全的“數(shù)據(jù)探針”，被越來越多地部署到城市的各角落，形成了對公共安全要害部位的視頻監(jiān)控覆蓋，大大提高了機(jī)關(guān)維護(hù)社會治安和應(yīng)對突發(fā)事件的能力和水平。經(jīng)過多年建設(shè)，近億級的攝像頭已形成了覆蓋城鄉(xiāng)的“天網(wǎng)”。視頻監(jiān)控系統(tǒng)的應(yīng)用場景覆蓋、政府、金融、鐵路、電力等眾多行業(yè)和領(lǐng)域。

1.2 視頻監(jiān)控系統(tǒng)的安全現(xiàn)狀

由于現(xiàn)有的視頻監(jiān)控系統(tǒng)普遍缺乏有效的安全防護(hù)機(jī)制，導(dǎo)致視頻監(jiān)控系統(tǒng)安全事件頻發(fā)，嚴(yán)重威脅個人、企業(yè)，乃至國家安全，其中主要存在的安全隱患包括：

• 缺少對口令探測攻擊、漏洞攻擊等常見攻擊的有效防護(hù)；
• 視頻數(shù)據(jù)和控制數(shù)據(jù)，采用明文傳輸，易被攻擊者攔截、還原；
• 缺少設(shè)備入網(wǎng)身份鑒別機(jī)制，無法阻止非法設(shè)備接入網(wǎng)絡(luò)；
• 無法保證視頻數(shù)據(jù)被替換或者惡意篡改。

在監(jiān)控攝像頭大量部署的背景下，視頻傳輸安全的問題日益凸顯，如何有效保證視頻監(jiān)控系統(tǒng)的安全，已經(jīng)是刻不容緩急需解決的問題。

2 視頻安全傳輸解決方案

2.1 技術(shù)思路

• 在視頻采集端，提供視頻安全模塊，將其串接在視頻網(wǎng)絡(luò)中，對視頻攝像頭等采集端設(shè)備進(jìn)行接入身份認(rèn)證，并對視頻數(shù)據(jù)進(jìn)行加密，從源頭保障數(shù)據(jù)安全；
• 在視頻管理中心的出入口處，配置視頻安全網(wǎng)關(guān)，提供視頻數(shù)據(jù)的加解密功能，并保護(hù)視頻管理中心網(wǎng)絡(luò)免受非法攻擊侵害；
• 在視頻管理中心的網(wǎng)絡(luò)中，部署密鑰管理系統(tǒng)，科學(xué)、安全地解決各類終端、各級系統(tǒng)之間的密鑰產(chǎn)生與分發(fā)、身份認(rèn)證等安全需求。

2.2 解決方案

傳統(tǒng)的視頻監(jiān)控網(wǎng)絡(luò)，一般包括視頻攝像機(jī)、視頻服務(wù)器、存儲系統(tǒng)等部分。視頻安全傳輸系統(tǒng)，在傳統(tǒng)視頻監(jiān)控網(wǎng)絡(luò)的基礎(chǔ)之上，整合了視頻安全模塊、視頻安全網(wǎng)關(guān)和密鑰管理服務(wù)器三個設(shè)備。其主要組成結(jié)構(gòu)如下圖所示：

圖 1 視頻安全傳輸系統(tǒng)組成結(jié)構(gòu)圖

2.3 方案說明

（1）視頻安全模塊

視頻安全模塊，串接在臨近監(jiān)控攝像頭的網(wǎng)絡(luò)中，能夠?qū)z像頭的傳輸數(shù)據(jù)進(jìn)行加密，并保護(hù)攝像頭不收非法攻擊的侵害，亦能防止攝像頭被非法替換。

（2）視頻安全網(wǎng)關(guān)

視頻安全網(wǎng)關(guān)，部署于視頻管理中心網(wǎng)路的出入口，對進(jìn)出流量進(jìn)行加密和解密，并可防止非法流量通過。

（3）密鑰管理服務(wù)器

密鑰管理服務(wù)器，部署于視頻管理中心的內(nèi)部網(wǎng)絡(luò)中，對視頻安全網(wǎng)關(guān)和視頻安全模塊，提供密鑰管理功能，包括初始密鑰的生成，密鑰的分發(fā)、更新、歸檔，以及基于密鑰的身份認(rèn)證等功能。

3 系統(tǒng)特點

（1）終端適應(yīng)性強(qiáng)，部署靈活

支持各種不同的視頻攝像機(jī)或者其他視頻、圖像采集終端，提供輕量級的視頻安全模塊，可采用透明方式輕松接入網(wǎng)絡(luò)，部署簡單、靈活。

（2）無感知加密傳輸，無需改變原有網(wǎng)絡(luò)結(jié)構(gòu)

視頻安全模塊和視頻安全網(wǎng)關(guān)，均支持透明方式接入網(wǎng)絡(luò)，可對視頻數(shù)據(jù)進(jìn)行無感知加密解密，且無需改變現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)，即可實現(xiàn)對整個視頻系統(tǒng)的加密和安全防護(hù)。

（3）支持國密算法和國密標(biāo)準(zhǔn)，兼容國際算法

系統(tǒng)中的視頻加密傳輸，支持國密的SM2、SM3、SM4等算法，并采用符合國密標(biāo)準(zhǔn)的身份認(rèn)證、密鑰管理、加密解決方案，保證整個系統(tǒng)的合規(guī)性和安全性。同時，兼容國際標(biāo)準(zhǔn)的AES、SHA1、SHA2等國際算法，能滿足各種應(yīng)用場景的不同需求。

4 典型部署

視頻安全傳輸系統(tǒng)，一般需結(jié)合用戶現(xiàn)有的視頻監(jiān)控網(wǎng)絡(luò)情況進(jìn)行部署。系統(tǒng)支持在同一局域網(wǎng)內(nèi)、不同網(wǎng)絡(luò)之間（類似互聯(lián)網(wǎng)），采用透明模式和路由模式部署。不同網(wǎng)絡(luò)環(huán)境中的常見部署方式如下：

• 透明模式部署

常見的視頻監(jiān)控網(wǎng)絡(luò)結(jié)構(gòu)如下圖所示：

圖中，視頻服務(wù)器位于172.168.1.0/24網(wǎng)段，攝像機(jī)處于192.168.1.0/24網(wǎng)段，兩個網(wǎng)段采用路由器連接。視頻服務(wù)器和攝像機(jī)可以相互訪問。

針對以上用戶的網(wǎng)絡(luò)拓?fù)淝闆r，現(xiàn)提出采用透明模式部署的安全傳輸解決方案，其網(wǎng)絡(luò)部署圖如下圖所示：

在該部署模式中，視頻安全網(wǎng)關(guān)透明串接在視頻管理中心路由器的左側(cè)，需分配一個192.168.1.0/24網(wǎng)段的獨立IP地址，用于設(shè)備管理、密鑰管理和身份認(rèn)證；視頻安全模塊透明串接在攝像頭后的網(wǎng)絡(luò)中，并需分配與攝像頭相同網(wǎng)段的獨立IP地址，該IP地址用于視頻安全模塊的設(shè)備管理、密鑰管理和身份認(rèn)證；在視頻管理中心，還需要部署密鑰管理服務(wù)器，用于視頻安全系統(tǒng)的密鑰管理與身份認(rèn)證。

采用透明模式的適應(yīng)性較強(qiáng)，不需要改變用戶的現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)，支持?jǐn)z像機(jī)和視頻服務(wù)器位于同一局域、不同網(wǎng)段的局域網(wǎng)或互聯(lián)網(wǎng)，也支持NAT網(wǎng)絡(luò)等多種網(wǎng)絡(luò)環(huán)境，可對視頻數(shù)據(jù)進(jìn)行無感知加密解密，實現(xiàn)對整個視頻系統(tǒng)的加密和安全防護(hù)。

• 路由模式部署

采用路由模式部署時，攝像機(jī)和視頻服務(wù)器在不同的網(wǎng)段中，視頻安全網(wǎng)關(guān)部署于兩個網(wǎng)絡(luò)的邊界處。常見的路由模式部署結(jié)構(gòu)，如下圖所示：

圖中，視頻安全網(wǎng)關(guān)采用路由模式接入網(wǎng)絡(luò)，具備網(wǎng)絡(luò)路由器的功能，其左右兩側(cè)需要分配兩個不同網(wǎng)段的IP地址，分別為192.168.1.0/24網(wǎng)段和172.16.1.0/24網(wǎng)段；密鑰管理服務(wù)器位于視頻管理中心的172.16.1.0/24網(wǎng)段中。

路由模式是一種比較簡單、常見的部署模式，視頻安全網(wǎng)關(guān)位于不同網(wǎng)段的網(wǎng)絡(luò)邊界處，替代了傳統(tǒng)路由器的位置，在用戶新建視頻監(jiān)控網(wǎng)絡(luò)，或者原有視頻監(jiān)控網(wǎng)絡(luò)就是路由模式時，部署較為方便。