陳俊彥，張紅梅

（桂林電子科技大學，桂林 541004）

引 言

隨著網(wǎng)絡攝像頭廣泛進入軍事監(jiān)控、路口交通監(jiān)控等領域，圖像數(shù)據(jù)的安全問題也越來越受到人們的關注[1]。由于網(wǎng)絡攝像頭的圖像數(shù)據(jù)與控制信息是通過Internet傳輸，一些不法分子便容易利用網(wǎng)絡黑客技術入侵網(wǎng)絡攝像頭或監(jiān)控中心系統(tǒng)，竊取或篡改攝像頭控制信息或圖像數(shù)據(jù)，造成攝像頭失去監(jiān)控的能力。當前，網(wǎng)絡攝像頭的數(shù)據(jù)保護主要通過內置的數(shù)字化壓縮控制器和基于Web的操作系統(tǒng)對視頻數(shù)據(jù)進行壓縮加密[2]，但由于該方法只加密TCP／IP協(xié)議中應用層的數(shù)據(jù)，且解密插件需向客戶公開，在某些對安全性要求較高的應用場合，如交通監(jiān)控系統(tǒng)、軍事監(jiān)控系統(tǒng)等，不法分子易通過網(wǎng)絡入侵技術竊取或篡改數(shù)據(jù)信息，圖像數(shù)據(jù)的可靠性難以得到保證。同時，由于圖像數(shù)據(jù)是在標準的互聯(lián)網(wǎng)通信協(xié)議進行傳輸，傳輸協(xié)議為TCP／IP協(xié)議中的TCP和UDP，監(jiān)控系統(tǒng)或網(wǎng)絡攝像頭易受到不法分子的網(wǎng)絡攻擊，造成系統(tǒng)癱瘓。

針對上述網(wǎng)絡攝像頭數(shù)據(jù)保護的缺陷，本文介紹了一種網(wǎng)絡攝像頭加密設備的設計，并提出一種網(wǎng)絡傳輸層安全技術，利用DES加密算法對TCP／IP協(xié)議中傳輸層的首部字段和應用層數(shù)據(jù)段進行加密，同時將傳輸層的TCP／UDP協(xié)議轉換為自擬的SDTCP／SDUDP協(xié)議，防止入侵者輕易地拆解IP數(shù)據(jù)包，以及防范各類運輸層或應用層的攻擊，從而更有效地保證數(shù)據(jù)的安全。

1 系統(tǒng)硬件設計

在網(wǎng)絡攝像頭傳輸層安全技術的設計中，數(shù)據(jù)處理模塊采用了雙網(wǎng)絡接口的網(wǎng)絡攝像頭加解密設備。該設備擁有兩個以太網(wǎng)RJ－45接口，一個網(wǎng)絡接口接入網(wǎng)絡攝像機或監(jiān)控中心系統(tǒng)，另一個接入Internet網(wǎng)絡。在一個網(wǎng)絡接口接收的數(shù)據(jù)經(jīng)處理后可立即由另一個網(wǎng)絡接口發(fā)送出去，這樣可以保證由網(wǎng)絡攝像機發(fā)送的數(shù)據(jù)經(jīng)加密后通過另一個網(wǎng)絡接口實時傳輸?shù)骄W(wǎng)絡中。設備硬件連接圖如圖1所示。

圖1 設備硬件連接圖

由圖1可知，兩個網(wǎng)絡攝像頭加解密設備之間的通信協(xié)議為SDTCP／SDUDP，監(jiān)控中心或網(wǎng)絡攝像頭與加解密設備之間的通信協(xié)議為TCP／UDP。監(jiān)控中心或網(wǎng)絡攝像頭不是直接接入Internet網(wǎng)絡，而是連接在加解密設備上，再由加解密設備連入Internet網(wǎng)絡。網(wǎng)絡攝像頭采集的圖像數(shù)據(jù)信息使用TCP／UDP協(xié)議發(fā)送至加解密設備后，經(jīng)過協(xié)議轉換和數(shù)據(jù)加密，在Internet網(wǎng)絡中使用SDTCP／SDUDP協(xié)議傳輸?shù)奖O(jiān)控中心。在監(jiān)控中心的加解密設備接收到SDTCP／SDUDP協(xié)議的數(shù)據(jù)后，就將數(shù)據(jù)解密并轉換為TCP／UDP協(xié)議，隨后發(fā)送至監(jiān)控中心。若Internet網(wǎng)絡中出現(xiàn)入侵者，由于入侵者使用的是TCP／UDP協(xié)議，加解密設備收到Internet網(wǎng)絡的TCP／UDP協(xié)議包將立即丟棄，防止入侵者與監(jiān)控中心或網(wǎng)絡攝像頭通信，因此入侵者的攻擊將不會影響監(jiān)控中心或網(wǎng)絡攝像頭。

網(wǎng)絡攝像頭加解密設備硬件結構如圖2所示。

圖2 網(wǎng)絡攝像頭加解密設備硬件結構框圖

設備主要由電源電路模塊、主控制器電路模塊、以太網(wǎng)通信電路模塊和其他外設接口電路模塊組成。主控制器采用恩智浦公司基于ARM Cortex－M3架構的LPC1768微處理器，主頻最高達到100MHz，為實時傳輸圖像數(shù)據(jù)流提供了性能保證。同時，該處理器內帶512KB Flash和64KB SRAM，還擁有串口、以太網(wǎng)、USB等多個接口[3]。以太網(wǎng)通信電路模塊由兩個網(wǎng)絡接口模塊組成，一個模塊是以太網(wǎng)PHY控制器DP83848，接入LPC1768微處理器的以太網(wǎng)接口；另一個模塊是以太網(wǎng)MAC控制器DM9000。在系統(tǒng)中還加入了串口、JTAG和I／O等外設接口電路，用于下載和調試程序。

2 網(wǎng)絡攝像頭傳輸層安全技術

本文提出一種網(wǎng)絡傳輸層安全技術，利用DES加密算法[4]對TCP／IP協(xié)議中傳輸層的首部字段和應用層數(shù)據(jù)段進行加密，同時將傳輸層的TCP／UDP協(xié)議轉換為自擬的SDTCP／SDUDP協(xié)議。

2.1 傳輸層協(xié)議轉換

傳輸層為應用進程之間提供端到端的邏輯通信。運輸層包括兩種不同的運輸協(xié)議：面向連接的傳輸控制協(xié)議TCP和無連接的用戶數(shù)據(jù)報協(xié)議UDP[5]。根據(jù)TCP和UDP原有的協(xié)議，本文提出了一種自擬的SDTCP（Self－Define User Datagram Protocol）和 SDUDP（Self－Define Transmission Control Protocol）協(xié)議，重新定義了TCP和UDP的首部格式并對首部數(shù)據(jù)進行加密。同時，考慮到DES加密算法屬于對稱密碼加密體制，如果長時間使用同一個密鑰，容易被攻擊者破解，因此在傳輸層首部加入了密鑰選擇字段，隨機選擇DES密鑰，增強系統(tǒng)的可靠性。這樣，經(jīng)過傳輸層協(xié)議轉換后，可以防止入侵者輕易地拆解IP數(shù)據(jù)包，以及防止各類運輸層或應用層的攻擊。

2.1.1 SDUDP

在UDP中，首部字段有8個字節(jié)，包括源端口號、目的端口號、數(shù)據(jù)長度和校驗和[6]。SDUDP協(xié)議重新定義了UDP的首部格式，如圖3所示。

圖3 SDUDP報文的首部格式

① 數(shù)據(jù)長度：SDUDP用戶數(shù)據(jù)報的長度，其最小值為10，僅有首部，最大值為1 510。共占11位。

② 密鑰選擇：用于選擇DES加密算法的密鑰，共占5位。在設備的Flash中存放32組密鑰并按順序進行編號管理，該字段的數(shù)值即選擇密鑰的編號，系統(tǒng)根據(jù)該字段的數(shù)值來選擇使用哪組密鑰進行數(shù)據(jù)加解密。該字段數(shù)值由系統(tǒng)隨機產生，保證了密鑰的保密性。

③ 校驗和：檢測數(shù)據(jù)報在傳輸中是否有錯，如果發(fā)生錯誤就丟棄。

④ 加密的源端口號與目的端口號：將UDP報文中的源端口號和目的端口號經(jīng)64位DES加密算法加密后放在該字段中。UDP報文中的源端口號和目的端口號共有32位，在加密時后32位填充0。

這些詞不容易分類，有的本來就是網(wǎng)絡用語，有的是主謂形式的新詞。所表示的意義也是語氣或者表可愛的，類似語氣助詞，語氣略帶埋怨但又很調皮的詞語，也是帶著怒意罵人的較柔和版。一般帶有一點糾結無奈，也有的表示對一件事或事物的贊譽。

同時，修改IP數(shù)據(jù)報首部中的協(xié)議字段，以區(qū)別UDP協(xié)議。本文定義SDUDP的協(xié)議字段值為136。

2.1.2 SDTCP

TCP是TCP／IP體系中非常復雜的一個協(xié)議。由于網(wǎng)絡攝像頭與上位機之間的數(shù)據(jù)傳輸通常采用標準的TCP協(xié)議，因此在SDTCP中并沒有改變TCP的可靠傳輸、流量控制和擁塞控制等的實現(xiàn)方法，而是重新定義了TCP的首部格式。

在標準的TCP協(xié)議的首部格式中，包含了源端口號和目的端口號、序號、確認號、數(shù)據(jù)偏移、緊急指針、窗口、校驗和等信息[6]。為了能使SDTCP的首部還原為TCP的首部，在SDTCP中保留了TCP的首部信息，但這些信息會使用DES加密算法進行加密，防止入侵者竊取。同時，在SDTCP首部加入攝像頭的控制信息。SDTCP報文的首部格式如圖4所示。

圖4 SDTCP報文的首部格式

① 數(shù)據(jù)偏移：指出了SDTCP報文段的首部長度，占4位。該字段的計算單位是32位字（即以4字節(jié)長的字為計算單位）。由于網(wǎng)絡攝像頭使用的TCP協(xié)議在首部通常沒有加入選項字段，因此該字段的值一般為5。

② 密鑰選擇：用于選擇DES加密算法的密鑰，共占5位。與SDUDP協(xié)議的密鑰選擇字段意義一致。

③ 標志位：TCP協(xié)議中的控制標志位，包括緊急URG、確認ACK、推送PSH、復位RST、同步SYN、終止FIN。

④ 校驗和：檢測數(shù)據(jù)報在傳輸中是否有錯，如果發(fā)生錯誤就丟棄。

⑤ 加密的窗口、緊急指針、源端口號和目的端口號：將TCP報文中的窗口、緊急指針、源端口號和目的端口號經(jīng)64位DES加密算法加密后，密文數(shù)據(jù)的前16位放入加密的窗口字段，隨后的16位放入加密的緊急指針字段，最后的32位放入加密的源端口號與目的端口號字段。

⑥ 加密的序號和確認號：將TCP報文中的序號和確認號經(jīng)64位DES加密算法加密后，密文數(shù)據(jù)的前32位放入加密的序號字段，后的32位放入加密的確認號字段。

同時，修改IP數(shù)據(jù)報首部中的協(xié)議字段，以區(qū)別TCP協(xié)議。本文定義SDTCP的協(xié)議字段值為137。

2.2 傳輸層安全技術設計流程

網(wǎng)絡攝像頭傳輸層安全技術算法流程如圖5所示。網(wǎng)絡接口1接入監(jiān)控中心或網(wǎng)絡攝像頭，網(wǎng)絡接口2接入Internet網(wǎng)絡。從網(wǎng)絡接口1接收到的數(shù)據(jù)，經(jīng)過DES加密和協(xié)議轉換后通過網(wǎng)絡接口2發(fā)送至Internet網(wǎng)絡中；從網(wǎng)絡接口2接收到的數(shù)據(jù)，若傳輸層為TCP／UDP協(xié)議則直接丟棄，若為SDTCP／SDUDP則經(jīng)過解密后通過網(wǎng)絡接口1發(fā)送至監(jiān)控中心或網(wǎng)絡攝像頭。

圖5 網(wǎng)絡攝像頭傳輸層安全技術算法流程圖

3 算法測試

本文算法均在LPC1768實驗板上進行實驗，使用Keil4.0編譯器編譯實現(xiàn)。首先對LPC1768處理器的網(wǎng)絡數(shù)據(jù)處理速度進行了測試。表1列出了開發(fā)板對TCP協(xié)議最大幀（應用層數(shù)據(jù)為1 500字節(jié)）加解密所需用的時間。表2列出了對UDP協(xié)議最大幀（應用層數(shù)據(jù)為1 500字節(jié)）加解密所需用的時間。

由表1和表2可知，加密數(shù)據(jù)所需的時間和解密所需的時間基本相同，這是由于DES的加解密算法都是共用相同的算法過程。UDP協(xié)議由于頭部比TCP協(xié)議小，因此在處理UDP協(xié)議頭部時要比處理TCP協(xié)議頭部時間短些。

表1 加解密TCP協(xié)議最大幀時間

表2 加解密UDP協(xié)議最大幀時間

由于上位機對網(wǎng)絡攝像頭的控制信息較少，因此網(wǎng)絡攝像頭與上位機之間的通信基本為單向傳輸（數(shù)據(jù)由網(wǎng)絡攝像頭發(fā)送至上位機）。通過計算可知道，LPC1768微處理器每秒約可處理78個TCP／UDP協(xié)議最大幀。每個TCP／UDP協(xié)議最大幀可攜帶1.5KB的應用層數(shù)據(jù)，則處理器每秒可處理117KB的數(shù)據(jù)，相當于1Mbps帶寬每秒的最大傳輸量。

根據(jù)上述測試結果，本文采用奇趣果KIWI家用網(wǎng)絡攝像頭進行測試，攝像頭圖像格式設置為720×480，幀結構為25幀／s，最大傳輸速率（占用網(wǎng)絡帶寬）為1Mbps。網(wǎng)絡攝像頭和一臺PC終端通過加解密設備接入路由中。在測試過程中，傳輸?shù)囊曨l并沒有出現(xiàn)丟幀情況，同時，在路由上的其余PC終端不能訪問網(wǎng)絡攝像頭。

通過以上的實驗證明，該系統(tǒng)能實時處理1Mbps帶寬網(wǎng)絡攝像頭的數(shù)據(jù)流量，同時可防止網(wǎng)絡中的其他終端訪問網(wǎng)絡攝像頭，保證了圖像數(shù)據(jù)的私密性。

結 語

目前，網(wǎng)絡攝像頭已越來越多地應用在遠程監(jiān)控、遠程攝像、視頻會議等各個領域中，因此攝像頭數(shù)據(jù)安全越來越受到人們的重視。本文利用低價格、高性能的LPC1768微處理器開發(fā)一種網(wǎng)絡攝像頭的加解密設備，并提出了利用DES加密算法對傳輸層的首部字段和應用層數(shù)據(jù)段進行加密和將傳輸層的TCP／UDP協(xié)議轉換為SDTCP／SDUDP協(xié)議的傳輸層安全技術。實驗證明了該系統(tǒng)能實時處理1Mbps帶寬網(wǎng)絡攝像頭的數(shù)據(jù)流量。通過傳輸層的加密技術對圖像數(shù)據(jù)加密，增加了入侵者竊取圖像數(shù)據(jù)的難度，同時杜絕了黑客對網(wǎng)絡攝像頭或監(jiān)控中心的網(wǎng)絡攻擊。該系統(tǒng)在網(wǎng)絡攝像頭數(shù)據(jù)安全領域具有非常好的市場前景。

[1] 郭秋鑒.基于網(wǎng)絡的攝像頭云臺控制系統(tǒng)[D].西安：西安工業(yè)大學，2011.

[2] 張遠，張首軍，汪俊.基于SOPC的嵌入式網(wǎng)絡攝像頭的設計[J].西北大學學報，2009，39（2）：44－46.

[3] NXP Semiconductors Corp.LPC1769／68／67／66 32－bit ARM Cortex－M3microcontroller product data sheet，2010.

[4] 盧開澄.計算機密碼學[M].北京：清華大學出版社，2000：25－47.

[5] 謝希仁.計算機網(wǎng)絡[M].5版.北京：電子工業(yè)出版社，2008：180－220，287－289.

[6] W Richard Stevens.TCP／IP Illustrated Volume 1：The Protocols[M].北京：人民郵電出版社，2010：240－265.