■ 文/鄭州信大捷安信息股份有限公司 洪磊
關(guān)鍵字:雪亮工程 信息安全 密鑰體系 綜治
“雪亮工程”,即公共安全視頻監(jiān)控建設(shè)聯(lián)網(wǎng)應(yīng)用,是指以“全域覆蓋、全網(wǎng)共享、全時(shí)可用、全程可控”為總目標(biāo),推動(dòng)重點(diǎn)公共區(qū)域、重點(diǎn)行業(yè)、領(lǐng)域的視頻監(jiān)控系統(tǒng)建設(shè),指導(dǎo)、監(jiān)督治安保衛(wèi)重點(diǎn)單位公共安全視頻監(jiān)控系統(tǒng)建設(shè);推動(dòng)公共安全視頻監(jiān)控系統(tǒng)聯(lián)網(wǎng),整合各類(lèi)視頻圖像資源;開(kāi)展視頻圖像信息在治安防控、城鄉(xiāng)社會(huì)治理、智能交通、服務(wù)民生、生態(tài)建設(shè)與保護(hù)等領(lǐng)域應(yīng)用;充分發(fā)揮人民群眾利用視頻監(jiān)控系統(tǒng)在社會(huì)治安綜合治理和平安建設(shè)中的作用。
視頻監(jiān)控系統(tǒng)(特別是智能攝像機(jī))作為“物聯(lián)網(wǎng)之眼”已經(jīng)在諸多領(lǐng)域廣泛應(yīng)用,其安全問(wèn)題也成為公共信息安全的焦點(diǎn)所在,特別是重點(diǎn)單位、重點(diǎn)行業(yè)、重點(diǎn)部位的公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全問(wèn)題,將直接關(guān)系到國(guó)家和社會(huì)的公共安全。
國(guó)家對(duì)雪亮工程的信息傳輸、交換、控制技術(shù)及信息安全等均制定了相關(guān)國(guó)家標(biāo)準(zhǔn)。如GB/T 28181-2016 標(biāo)準(zhǔn)就規(guī)定了公共安全視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)的互聯(lián)結(jié)構(gòu),傳輸、交換、控制的基本要求和安全性要求,以及控制、傳輸流程和協(xié)議接口等技術(shù)要求, 適用于公共安全視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)的方案設(shè)計(jì)、系統(tǒng)檢測(cè)、驗(yàn)收以及與之相關(guān)的設(shè)備研發(fā)與生產(chǎn)。
而GB 35114-2017標(biāo)準(zhǔn)規(guī)定了公共安全領(lǐng)域視頻監(jiān)控聯(lián)網(wǎng)視頻信息以及控制信令信息安全保護(hù)的技術(shù)要求,包括公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全系統(tǒng)的互聯(lián)結(jié)構(gòu)、證書(shū)和密匙要求、基本功能要求、性能要求等,適用于公共安全領(lǐng)域視頻監(jiān)控系統(tǒng)的信息安全方案設(shè)計(jì)、系統(tǒng)檢測(cè)、驗(yàn)收以及與之相關(guān)的設(shè)備研發(fā)與檢測(cè)。
本文主要基于以上2個(gè)技術(shù)標(biāo)準(zhǔn),并參考公安行業(yè)和電子政務(wù)相關(guān)邊界接入、信息安全等標(biāo)準(zhǔn)和規(guī)范,提出雪亮工程適用的信息安全體系及其典型技術(shù)實(shí)現(xiàn)方法。
參考政策及技術(shù)規(guī)范和要求:
◆《關(guān)于加強(qiáng)公共安全視頻監(jiān)控建設(shè)聯(lián)網(wǎng)應(yīng)用工作的若干意見(jiàn)》(發(fā)改高技[2015]996號(hào))
◆《公安信息通信網(wǎng)邊界接入平臺(tái)安全規(guī)范(試行)—視頻接入部分》(公科信[2011]5號(hào))
◆《全國(guó)公安移動(dòng)警務(wù)建設(shè)總體技術(shù)方案(2016版)》
◆《公共安全視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)信息傳輸、交換、控制技術(shù)要求》(GB/T 28181-2016)
◆《公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全技術(shù)要求》(GB 35114-2017)
◆《信息安全技術(shù) 電子政務(wù)移動(dòng)辦公系統(tǒng)安全技術(shù)規(guī)范 》(GB/T 35282-2017)
公共安全視頻監(jiān)控聯(lián)網(wǎng)應(yīng)用橫向覆蓋全省(或全市)社會(huì)面視頻監(jiān)控、公安視頻監(jiān)控、綜治視頻監(jiān)控等。因各行業(yè)、各單位網(wǎng)絡(luò)安全級(jí)別的差異性,網(wǎng)絡(luò)安全防范措施也不盡相同,網(wǎng)絡(luò)風(fēng)險(xiǎn)比較難以管控。安全風(fēng)險(xiǎn)控制難點(diǎn)舉例如下:
視頻應(yīng)用區(qū)別于WEB、數(shù)據(jù)庫(kù)等其他應(yīng)用的主要特點(diǎn)在于其傳輸?shù)膬?nèi)容為二進(jìn)制圖像數(shù)據(jù)流,因此,如何有效防止違法的病毒、木馬數(shù)據(jù)嵌入視頻應(yīng)用中傳輸成為必須解決的問(wèn)題。
由于視頻監(jiān)控的訪(fǎng)問(wèn)具有雙向性,即部分視頻專(zhuān)網(wǎng)視頻監(jiān)控需要對(duì)外向其他政法單位提供訪(fǎng)問(wèn)權(quán),公安視頻專(zhuān)網(wǎng)及公安信息網(wǎng)也需要訪(fǎng)問(wèn)大量一、二、三類(lèi)視頻監(jiān)控資源,如何有效防止黑客程序利用視頻通道泄露內(nèi)網(wǎng)敏感數(shù)據(jù)也必須妥善解決。
由于行業(yè)特殊性,早期視頻監(jiān)控多為獨(dú)立建設(shè)、小規(guī)模聯(lián)網(wǎng)應(yīng)用,始終沒(méi)有制定全國(guó)性的統(tǒng)一互聯(lián)標(biāo)準(zhǔn),導(dǎo)致各視頻廠(chǎng)家協(xié)議差異性較大,相互不兼容現(xiàn)象普遍,安全控制難度大。
針對(duì)以上安全防控點(diǎn)的分析,并結(jié)合雪亮工程層級(jí)架構(gòu),將其信息安全防控歸結(jié)為終端安全、網(wǎng)絡(luò)傳輸安全、平臺(tái)安全、應(yīng)用安全等四個(gè)方面,其核心信息安全需求可歸納為:
◆用戶(hù)及設(shè)備身份認(rèn)證需求
◆信令及視頻數(shù)據(jù)完整性需求
◆視頻數(shù)據(jù)來(lái)源的可追溯性需求
◆視頻數(shù)據(jù)的機(jī)密性需求
公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全系統(tǒng)定義:公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全系統(tǒng)由安全前端設(shè)備、安全用戶(hù)終端、視頻安全密鑰服務(wù)系統(tǒng)、視頻安全管理平臺(tái)四部分組成。各部分以傳輸網(wǎng)絡(luò)為基礎(chǔ),通過(guò)會(huì)話(huà)通道協(xié)議、媒體流通協(xié)議和證書(shū)通道協(xié)議連接。
視頻安全密鑰服務(wù)系統(tǒng)定義:視頻安全密鑰服務(wù)系統(tǒng)指具備用戶(hù)和設(shè)備身份證書(shū)的制發(fā)功能,為視頻監(jiān)控安全管理平臺(tái)提供證書(shū)查詢(xún)和驗(yàn)證等服務(wù),并完成對(duì)對(duì)稱(chēng)密鑰管理的系統(tǒng)。
視頻監(jiān)控安全管理平臺(tái)定義:視頻監(jiān)控安全管理平臺(tái)指由具有安全功能的中心信令控制服務(wù)器、具有安全功能的媒體服務(wù)器、信令安全路由網(wǎng)關(guān)等功能體組成。具備用戶(hù)身份認(rèn)證、設(shè)備身份認(rèn)證、密鑰管理、權(quán)限管理、簽名驗(yàn)簽、加密解密、訪(fǎng)問(wèn)控制、審計(jì)、加密視頻數(shù)據(jù)實(shí)時(shí)點(diǎn)播/歷史回放/存儲(chǔ)/下載/分發(fā)/導(dǎo)出、視頻數(shù)據(jù)源抗抵賴(lài),控制信令的完整性驗(yàn)證等功能。
視頻聯(lián)網(wǎng)監(jiān)控系統(tǒng)的安全目標(biāo)是“構(gòu)建具有安全功能的監(jiān)控聯(lián)網(wǎng)安全系統(tǒng),能夠保障視頻數(shù)據(jù)及控制信令信息真實(shí)性、完整性、保密性”。
GB 35114-2017標(biāo)準(zhǔn)的核心是通過(guò)國(guó)家商用密碼技術(shù)和服務(wù)來(lái)保障視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)的安全。密碼應(yīng)用技術(shù)體系如下圖所示:
圖1 密鑰應(yīng)用技術(shù)體系框架圖
GB 35114-2017標(biāo)準(zhǔn)涉及的密碼應(yīng)用技術(shù)有:密碼資源、密碼支撐、 密碼服務(wù)、密碼應(yīng)用和密鑰管理。下面簡(jiǎn)單分析其技術(shù)原理。
密碼資源層主要包含相關(guān)密碼算法和硬件算法芯片等。視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)中配置的算法包括:
非對(duì)稱(chēng)算法:SM2橢圓曲線(xiàn)密碼算法,用于身份認(rèn)證、數(shù)字簽名和密鑰協(xié)商。
對(duì)稱(chēng)算法:SM1、SM4分組密碼算法OFB(密文輸出反饋模式)用于視頻數(shù)據(jù)的加密保護(hù);SM4的ECB模式用于密鑰協(xié)商保護(hù)。
雜湊算法:SM3密碼雜湊算法,用于完整性校驗(yàn)。
隨機(jī)數(shù)發(fā)生算法:通過(guò)GM/T 005-2012隨機(jī)數(shù)檢測(cè)方法檢測(cè)的發(fā)生算法。
視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)使用的密鑰包括簽名公私鑰、加密公私鑰、視頻加密密鑰和視頻密鑰加密密鑰。密鑰管理功能主要由視頻監(jiān)控安全管理平臺(tái)承擔(dān),對(duì)各類(lèi)密鑰進(jìn)行全生命周期的管理。
視頻安全密鑰服務(wù)系統(tǒng)僅提供用戶(hù)和設(shè)備身份證書(shū)的制發(fā),為視頻監(jiān)控安全管理平臺(tái)提供證書(shū)查詢(xún)和驗(yàn)證等服務(wù)。
視頻監(jiān)控安全管理平臺(tái)完成身份認(rèn)證、密鑰管理、權(quán)限管理、簽名驗(yàn)簽、加密解密、訪(fǎng)問(wèn)控制、審計(jì)等功能。
密碼支撐層提供密碼資源調(diào)用,由安全芯片、密碼模塊和服務(wù)器密碼機(jī)、云密碼機(jī)等密碼工程產(chǎn)品組成。
GB 35114-2017標(biāo)準(zhǔn)推薦采用國(guó)密算法,硬件形態(tài)可以是芯片、TF加密卡、安全USBkey等形式,配合安全接入及認(rèn)證管理模塊完成設(shè)備身份認(rèn)證、視頻簽名、視頻解密等信息安全運(yùn)算。
對(duì)于具有安全功能的前端設(shè)備和具有安全功能的用戶(hù)終端,可以按需使用安全芯片和其他形式封裝的密碼模塊(如安全TF卡、安全貼膜卡和安全USB Key等)。
對(duì)于視頻監(jiān)控管理平臺(tái)、流媒體服務(wù)器、存儲(chǔ)服務(wù)器、解碼器等,可以部署服務(wù)器密碼機(jī),對(duì)于部署于云平臺(tái)的視頻監(jiān)控平臺(tái)及應(yīng)用系統(tǒng),則可以選用云密碼機(jī)。應(yīng)用系統(tǒng)通過(guò)集成SDK遠(yuǎn)程調(diào)用密碼機(jī)提供的密碼服務(wù)。
圖2 硬件形態(tài)
密碼服務(wù)層(即密碼API層),為上層應(yīng)用提供標(biāo)準(zhǔn)的密碼服務(wù)接口,接口的形式遵循業(yè)界的標(biāo)準(zhǔn),可以提供更好的兼容性和適用性。密碼支撐模塊提供的API接口支持SDF(國(guó)密)、PKCS11(RSA公司)和CSP(微軟)中的至少一種。
圖3 視頻安全密鑰服務(wù)系統(tǒng)圖
密碼應(yīng)用層指視頻監(jiān)控聯(lián)網(wǎng)信息安全系統(tǒng)中的密碼應(yīng)用。主要有對(duì)用戶(hù)及設(shè)備進(jìn)行身份認(rèn)證、數(shù)據(jù)安全傳輸、安全存儲(chǔ)、角色授權(quán)和訪(fǎng)問(wèn)控制、簽名和驗(yàn)簽等功能。
安全認(rèn)證:基于PKI公鑰基礎(chǔ)設(shè)施進(jìn)行設(shè)備的身份標(biāo)識(shí)管理和認(rèn)證。對(duì)用戶(hù)、終端、平臺(tái)、信令、網(wǎng)間身份認(rèn)證等,保證行為合法、可追溯。
加密傳輸、存儲(chǔ):保障視頻傳輸、存儲(chǔ)安全。
角色的授權(quán)與訪(fǎng)問(wèn)控制:保障數(shù)據(jù)合規(guī)使用。實(shí)現(xiàn)基于角色的訪(fǎng)問(wèn)控制模型,對(duì)于視頻數(shù)據(jù)進(jìn)行授權(quán)管理和訪(fǎng)問(wèn)控制。
簽名和驗(yàn)簽:保證信令及視頻數(shù)據(jù)完整性。簽名的對(duì)象包括視頻的I幀或其他關(guān)鍵幀,以及視頻的完整數(shù)據(jù)。
視頻監(jiān)控信息安全系統(tǒng)互聯(lián)結(jié)構(gòu)可分為系統(tǒng)內(nèi)聯(lián)網(wǎng)安全結(jié)構(gòu)和系統(tǒng)間聯(lián)網(wǎng)安全結(jié)構(gòu)。
圖4 公共安全視頻監(jiān)控信息安全系統(tǒng)互聯(lián)結(jié)構(gòu)示意圖
圖5 公共安全視頻監(jiān)控系統(tǒng)內(nèi)聯(lián)網(wǎng)安全結(jié)構(gòu)
安全前端設(shè)備:前端設(shè)備是指安裝于視頻監(jiān)控現(xiàn)場(chǎng)的具備信息采集、編碼/處理、存儲(chǔ)、傳輸、安全控制等功能的設(shè)備,安全前端設(shè)備是指集成密碼模塊的前端設(shè)備,具備基于數(shù)字證書(shū)的設(shè)備身份認(rèn)證、視頻簽名、視頻加密等信息安全保護(hù)功能。
安全用戶(hù)終端:具有密碼模塊的PC、智能終端等用戶(hù)終端,具備基于數(shù)字證書(shū)的用戶(hù)身份認(rèn)證、視頻解密等功能。
圖6 安全前端設(shè)備
圖7 安全用戶(hù)終端
視頻安全接入系統(tǒng):為C/S架構(gòu),安全前端設(shè)備安裝安全接入客戶(hù)端,視頻監(jiān)控網(wǎng)絡(luò)的邊界處部署視頻安全接入網(wǎng)關(guān)。解決安全前端設(shè)備產(chǎn)生的視頻數(shù)據(jù)傳輸至視頻監(jiān)控安全管理平臺(tái)過(guò)程中的數(shù)據(jù)保密性和完整性問(wèn)題,通過(guò)身份認(rèn)證、密鑰協(xié)商、數(shù)據(jù)加密等安全機(jī)制,構(gòu)建視頻數(shù)據(jù)的安全傳輸通道。
圖8 視頻安全接入系統(tǒng)
圖9 密碼基礎(chǔ)服務(wù)系統(tǒng)
密碼基礎(chǔ)服務(wù)系統(tǒng):系統(tǒng)提供典型的密碼服務(wù),包括:
◆密碼支撐設(shè)備:在系統(tǒng)中部署服務(wù)器密碼機(jī),以網(wǎng)絡(luò)遠(yuǎn)程調(diào)用的形式為系統(tǒng)中的各業(yè)務(wù)系統(tǒng)提供密碼服務(wù)。密碼服務(wù)API推薦采用國(guó)密SDF標(biāo)準(zhǔn)。
◆密鑰管理系統(tǒng):對(duì)系統(tǒng)中應(yīng)用到的各類(lèi)密鑰提供全生命周期管理服務(wù)。
◆身份認(rèn)證系統(tǒng):基于PKI技術(shù)體系,包括CA、RA、LDAP和人員管理等子系統(tǒng),為設(shè)備和用戶(hù)提供基于數(shù)字證書(shū)的身份認(rèn)證服務(wù)。
視頻監(jiān)控系統(tǒng)的聯(lián)網(wǎng)方式包括級(jí)聯(lián)和互聯(lián)兩種。級(jí)聯(lián)適用于具有上下級(jí)關(guān)系的組織結(jié)構(gòu)中,通常組成樹(shù)形的拓?fù)浣Y(jié)構(gòu),互聯(lián)適用于對(duì)等的組織結(jié)構(gòu)中,通常組成網(wǎng)狀的拓?fù)浣Y(jié)構(gòu)。
圖10 公共安全視頻監(jiān)控系統(tǒng)間聯(lián)網(wǎng)安全結(jié)構(gòu)
(1)在組建視頻聯(lián)網(wǎng)體系時(shí),密碼服務(wù)設(shè)施需要進(jìn)行統(tǒng)一的規(guī)劃,保證身份信息和控制策略的跨域查詢(xún)或交換,通??赏ㄟ^(guò)安全接入系統(tǒng)建立互相信任關(guān)系實(shí)現(xiàn)跨域應(yīng)用。
(2)視頻數(shù)據(jù)和控制指令在系統(tǒng)間的傳輸交換,采用安全隔離設(shè)計(jì)進(jìn)行保障。
◆按照信息系統(tǒng)分級(jí)的原則,在視頻監(jiān)控系統(tǒng)中劃分出視頻聯(lián)網(wǎng)交換區(qū),視頻聯(lián)網(wǎng)交換區(qū)和視頻業(yè)務(wù)區(qū)使用單向隔離交換設(shè)備實(shí)現(xiàn)數(shù)據(jù)的單向流通。
◆在單向隔離交換設(shè)備前后,部署視頻訪(fǎng)問(wèn)控制系統(tǒng)(包括管理和代理子系統(tǒng)),對(duì)視頻數(shù)據(jù)和控制指令進(jìn)行協(xié)議剝離和還原封裝,并對(duì)視頻格式和指令內(nèi)容進(jìn)行匹配和分析,防止異常數(shù)據(jù)進(jìn)入到視頻業(yè)務(wù)系統(tǒng)中。
GB/T 28181-2016標(biāo)準(zhǔn)對(duì)SIP注冊(cè)流程分為基本注冊(cè)和基于數(shù)字證書(shū)的雙向認(rèn)證注冊(cè)。
基本注冊(cè)采用IETF RFC3261規(guī)定的基于數(shù)字摘要的挑戰(zhàn)應(yīng)答式安全技術(shù)進(jìn)行注冊(cè)。使用基于用戶(hù)名和密碼,MD5散列計(jì)算、簽名驗(yàn)簽等方式實(shí)現(xiàn)認(rèn)證。
GB 35114-2017標(biāo)準(zhǔn)要求基于數(shù)字證書(shū)的雙向認(rèn)證注冊(cè)。對(duì)RFC3261中定義的REGISTER進(jìn)行了頭域擴(kuò)展,擴(kuò)展了密碼算法和模式描述。在安全前端設(shè)備、安全用戶(hù)終端與視頻安全管理平臺(tái)間進(jìn)行單向、雙向認(rèn)證時(shí),可以協(xié)商密鑰類(lèi)型、算法工作模式等。
認(rèn)證方式改變,要求監(jiān)控廠(chǎng)商針對(duì)GB 35114-2017標(biāo)準(zhǔn),對(duì)相關(guān)設(shè)備信令交互過(guò)程進(jìn)行對(duì)應(yīng)修改,以滿(mǎn)足國(guó)標(biāo)要求。
公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全系統(tǒng)以傳輸網(wǎng)絡(luò)為基礎(chǔ),通過(guò)會(huì)話(huà)通道協(xié)議、媒體流通協(xié)議和證書(shū)通道協(xié)議連接。通過(guò)對(duì)原有SIP協(xié)議認(rèn)證流程的改造和補(bǔ)充,實(shí)現(xiàn)基于數(shù)字證書(shū)的國(guó)密安全認(rèn)證,從而構(gòu)建具有安全功能的公共視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng),保障視頻數(shù)據(jù)及控制信令信息真實(shí)性、完整性、保密性。
本文以GB 35114-2017標(biāo)準(zhǔn)為基礎(chǔ),并結(jié)合國(guó)密算法、PKI公鑰基礎(chǔ)設(shè)施等技術(shù)架構(gòu),提出對(duì)GB 35114-2017標(biāo)準(zhǔn)的嘗試性解讀。希望能為業(yè)內(nèi)同仁進(jìn)行相關(guān)方案制作、系統(tǒng)開(kāi)發(fā)、產(chǎn)品改造等方面提供一定參考,起到拋磚引玉的效果。
中國(guó)安全防范技術(shù)與應(yīng)用2019年2期