1.引言
網(wǎng)絡視頻監(jiān)控系統(tǒng)是基于IP網(wǎng)的圖像遠程監(jiān)控、傳輸、存儲、管理的視頻監(jiān)控系統(tǒng)，將分散、獨立的圖像采集點進行聯(lián)網(wǎng)，實現(xiàn)跨區(qū)域的統(tǒng)一監(jiān)控、統(tǒng)一存儲、統(tǒng)一管理、資源共享。
典型網(wǎng)絡視頻監(jiān)控系統(tǒng)主要由前端監(jiān)控設備（攝像機、視頻服務器/編碼器）、監(jiān)控中心（中心服務器）、監(jiān)控客戶端（監(jiān)控工作站）3部分組成。通過對網(wǎng)絡視頻監(jiān)控系統(tǒng)所面臨的安全狀況的分析，網(wǎng)絡視頻監(jiān)控系統(tǒng)的安全性在總體結構上分為4個層次：物理安全、接入安全、傳輸和網(wǎng)絡安全、業(yè)務安全和數(shù)據(jù)安全。
其中，網(wǎng)絡視頻監(jiān)控系統(tǒng)數(shù)據(jù)安全是指應對用戶和權限等業(yè)務信息和音視頻媒體信息有加密保護措施，包括業(yè)務數(shù)據(jù)的安全性和媒體數(shù)據(jù)的安全性，業(yè)務數(shù)據(jù)包括用戶信息、實時瀏覽、存儲、回放以及數(shù)據(jù)配置（如設備信息查詢、云臺功能查詢、通道名稱設置）等；媒體數(shù)據(jù)包括各通道傳輸?shù)囊曨l數(shù)據(jù)、音頻數(shù)據(jù)以及靜態(tài)的錄像文件等。
視頻監(jiān)控系統(tǒng)面臨的數(shù)據(jù)安全威脅大體分類如下：
- 拒絕服務攻擊。導致視頻監(jiān)控系統(tǒng)的業(yè)務系統(tǒng)無法正常提供服務；
- 漏洞威脅攻擊，導致視頻監(jiān)控系統(tǒng)的業(yè)務系統(tǒng)無法正常提供服務，數(shù)據(jù)安全（機密性、完整性和可用性）被破壞；
- 病毒蠕蟲，帶來的數(shù)據(jù)完整性和可用性損失以及可能的網(wǎng)絡可用性損失；
- 口令猜測，導致視頻監(jiān)控系統(tǒng)的資源被濫用、業(yè)務系統(tǒng)等無法正常提供服務，數(shù)據(jù)安全（機密性、完整性和可用性）受到破壞；
- 視頻監(jiān)控系統(tǒng)的信令，視頻數(shù)據(jù)的不安全遠程傳輸，導致數(shù)據(jù)安全（機密性、完整性和可用性）受到破壞。
針對上述數(shù)據(jù)安全威脅，在數(shù)據(jù)安全的具體技術和設備要求方面，監(jiān)控業(yè)界不同公司的安全策略不同，下面針對業(yè)界關于網(wǎng)絡視頻監(jiān)控系統(tǒng)的數(shù)據(jù)安全機制和方案進行分析。
2.視頻監(jiān)控系統(tǒng)的信息安全分類
通常，視頻監(jiān)控系統(tǒng)業(yè)務數(shù)據(jù)和媒體數(shù)據(jù)采用分離的通道進行操作，其傳輸通道類型可分為信令流和媒體流。
（1）信令流加密
業(yè)務數(shù)據(jù)加密是指每個控制命令或者參數(shù)設置命令都必須進行加密處理，采取加密業(yè)務信令通道的辦法來保證信息的安全性，保證數(shù)據(jù)鑒別、防篡改、防窺視、鑒別來源、防止非法訪問、防偽造。
系統(tǒng)對信令進行加密，所有信令都使用加密技術，為了支持加密技術，需增加會話準備操作，進行握手交換標識，以讀取密碼生成密鑰，進而對分組進行加密。
（2）媒體流加密
對于視頻流的實時加密流程與信令流類似，同樣需要進行交換標識，以讀取密碼生成密鑰。
視頻流和視頻控制信令應以不同的物理通道進行傳輸，視頻控制信令通過信令流傳輸，視頻流通過媒體流傳輸。
視頻控制協(xié)議是視頻監(jiān)控終端與視頻設備（視頻管理服務器/監(jiān)控平臺、DVR、攝像頭等設備）間的控制指令集，即建立視頻監(jiān)控圖像連接的基本指令集。為保證通信中指令集不包含網(wǎng)絡攻擊指令、其他非法字符集或嵌入機密數(shù)據(jù)向外泄露。視頻傳輸系統(tǒng)應具備視頻協(xié)議安全控制功能，對所有視頻監(jiān)控交互指令進行嚴格安全過濾，阻斷非法數(shù)據(jù)傳輸和網(wǎng)絡攻擊的入侵。
3.視頻監(jiān)控信息安全機制的標準情況
針對網(wǎng)絡視頻監(jiān)控系統(tǒng)安全機制，業(yè)界主要有ONVIF（OpenNetworkVideoInterfaceForum，開放型網(wǎng)絡視頻產(chǎn)品接口開發(fā)論壇）、中華人民共和國公安部（以下簡稱公安部）《城市監(jiān)控報警聯(lián)網(wǎng)系統(tǒng)技術標準安全技術要求》、CCSA《電信網(wǎng)視頻監(jiān)控系統(tǒng)安全要求》等標準，此外運營商和廠商各自制定了針對自己系統(tǒng)的安全標準和解決方案，其中ONVIF和《城市監(jiān)控報警聯(lián)網(wǎng)系統(tǒng)技術標準安全技術要求》是業(yè)界采用比較多的監(jiān)控標準。
ONVIF成立于2008年5月。由安訊士網(wǎng)絡通訊公司聯(lián)合博世集團及索尼公司三方攜手共同成立，關注IP視頻監(jiān)控，目標是實現(xiàn)一個網(wǎng)絡視頻框架協(xié)議，使不同廠商所生產(chǎn)的網(wǎng)絡視頻產(chǎn)品（包括攝錄前端、錄像設備等）完全互通。ONVIF規(guī)范向視頻監(jiān)控引入了WebServices的概念。設備的實際功能均被抽象為WebServices的服務，視頻監(jiān)控系統(tǒng)的控制單元以客戶端的身份出現(xiàn)，通過Web請求的形式完成控制操作。
由于ONVIF基于WebServices，WebServices主要利用HTTP和SOAP使數(shù)據(jù)在Web上傳輸，其在信息安全方面主要有以下要求：
- 獲取或設置訪問安全策略；
- 服務器端HTTPS（securehypertexttransferprotocol，安全超文本傳輸協(xié)議）認證；
- 客戶端HTTPS認證；
- 密鑰生成和證書下載功能；
- IEEE802.1xsupplicant認證；
- IEEE802.1xCA認證；
- IEEE802.1x配置。
- 在信息安全性方面，ONVIF規(guī)范支持摘要認證和WS一安全框架。
- 在用戶認證方面，最基本驗證包括HTTP摘要認證和WSS摘要認證（用戶名令牌描述（usernametokenprofile）），高級驗證包括TLS-basedaccess。
- 在用戶認證通過后，通過“獲取或設置訪問安全策略”實現(xiàn)基于用戶的權限控制，以授權其能訪問的前端監(jiān)控設備。
用戶名令牌描述必須使用隨機數(shù)和時間戳作為定義（根據(jù)WS-usemametoken），因為系統(tǒng)為每個攝像頭設備提供不同證書不太現(xiàn)實，因此系統(tǒng)對客戶端使用用戶名令牌描述和主要權限驗證，這樣就需使用密碼加密算法，算法主要采用SHA-1函數(shù)和HMAC算法。舉例來說，某一用戶A，其用戶名令牌為UA，P-UA，該用戶要訪問的終端設備為NEP，則PE_UA=base64（HMAC-SHA-1（UA+P_UA，NEP+“0NVIFpassword”））即為其客戶端配置的用戶證書和設備權限驗證，其中HMAC_SHA-1是一種安全的基于加密散列（Hash）函數(shù)和共享密鑰的消息認證協(xié)議，它可以有效地防止數(shù)據(jù)在傳輸過程中被截獲和篡改。
維護了數(shù)據(jù)的完整性、可靠性和安全性。
在信息的安全通信層面，0NVIF規(guī)范定義了兩種通信層面的安全架構：傳輸層安全（transponlayersecurity，TLS）和消息層安全。
傳輸層安全協(xié)議用于保護0NⅥF提供的所有服務。同時還需要保護媒體流的RTP（real.timetmsportprotocol，實時傳輸協(xié)議），RTSP/HTTPS。
設備應該支持TLS1.0、TLS1.1，可以支持TLS1.2;加密算法支持TLS_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_WITH_SHA。
客戶端應支持TLS1.1、TLS1.0，加密算法支持TLS_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_NULL_SHA。
服務器端認證：設備支持X.509（X.509是由國際電信聯(lián)盟（ITU-T）制定的數(shù)字證書標準）服務器認證。RSAkey長度至少為l024bit：客戶端支持TLS服務器認證。
客戶端認證：支持哪的設備應該支持客戶端認證，客戶端認證功能可以在設備管理命令中禁止和啟用。支持TLS的設備應該在證書請求中支持R5A認證類型。而且應該支持RSA客戶端認證和簽名驗證。
信息層面的安全。規(guī)范采用基于端口的安全框架IEEE802.1x，支持EAP-PEAP/MSCHAPv2、EAP-MD5、EAP-TLS和EAP-TLS。TLS允許點對點的保密性和完整性，但是在有中間通信節(jié)點的情況下，TLS不能提供端到端的安全，此外，為了實現(xiàn)用戶基本權限控制，WebServices需要驗證每個SOAP消息的來源。
在信息安全方面，公安部《城市監(jiān)控報警聯(lián)網(wǎng)系統(tǒng)技術標準安全技術要求》對此有具體的信息安全章節(jié)要求，該標準是由全國安全防范報警系統(tǒng)標準化技術委員會制定的，其成立于1987年，負責我國安全防范技術領域國家標準、行業(yè)標準的制定、修訂工作和對口國際電工委員會/報警技術委員會（IEC/TC79）的工作。
