劉彧 海南省瓊海市公安局

引言

目前國(guó)內(nèi)視頻監(jiān)控系統(tǒng)逐步應(yīng)用在公安、應(yīng)急、智慧城市等領(lǐng)域。目前視頻會(huì)議系統(tǒng)在前端視頻圖像監(jiān)控設(shè)備及后端數(shù)據(jù)中心均已配置了相應(yīng)的安全防護(hù)措施（前端設(shè)備進(jìn)行終端準(zhǔn)入管理，數(shù)據(jù)中心業(yè)務(wù)系統(tǒng)達(dá)到等保三級(jí)），視頻圖像數(shù)據(jù)的傳輸主要還是租用運(yùn)營(yíng)商光纖線路傳輸，在重大安保項(xiàng)目中，任務(wù)保障期間視頻圖像信息比較敏感，但光纖傳輸鏈路尚未進(jìn)行有效的保護(hù)，敏感視頻圖像傳輸線路存在一定的風(fēng)險(xiǎn)。因此，迫切需要解決視頻監(jiān)控圖像的傳輸安全。

一、安保視頻監(jiān)控系統(tǒng)現(xiàn)狀和安全需求

（一）系統(tǒng)現(xiàn)狀

視頻監(jiān)控系統(tǒng)在安保任務(wù)中擔(dān)負(fù)了重要角色。系統(tǒng)接入關(guān)系如圖1所示。

（二）光纖網(wǎng)絡(luò)安全現(xiàn)狀

目前光纖網(wǎng)絡(luò)具備一定的防御措施，能夠防止黑客竊取網(wǎng)絡(luò)數(shù)據(jù)，但是隨著科學(xué)技術(shù)和光纖技術(shù)的發(fā)展，通過(guò)使用各種各樣的手段，能夠針對(duì)光纖通信網(wǎng)絡(luò)進(jìn)行竊聽(tīng)。目前竊聽(tīng)手段大致上可以分成為兩種，即侵入式和非侵入式。區(qū)別是侵入式需要切割光纖，而非侵入式的不需要切斷光纖，但是這兩種方式的使用都是為了達(dá)到竊聽(tīng)的目的。

重大安保中視頻信息中涉及到敏感信息，保密要求高。一般在視頻監(jiān)控系統(tǒng)前端和后臺(tái)已采取了安全措施，如安全審計(jì)和防泄密措施。但光纖傳輸線路是租用電信的光纖線路，目前暫未采取有效安全保密措施。

二、量子保密通信技術(shù)原理

量子通信作為量子信息科學(xué)的重要分支，是利用量子態(tài)作為信息載體來(lái)進(jìn)行信息交互的通信技術(shù)。現(xiàn)階段，量子通信的典型應(yīng)用形式包括量子密鑰分發(fā)（Quantum Key Distribution，QKD）和量子隱形傳態(tài)（QuantumTeleportation，QT）等。

量子密鑰分發(fā)是最先實(shí)用化的量子信息技術(shù)，是量子通信的重要方向。量子密鑰分發(fā)可以在空間分離的用戶之間以信息理論安全的方式共享密鑰。本文的量子保密通信是指以具備信息理論安全性證明的QKD技術(shù)作為密鑰分發(fā)功能組件，結(jié)合適當(dāng)?shù)拿荑€管理、安全的密碼算法和協(xié)議而形成的加密通信安全解決方案。

量子密鑰分發(fā)（QKD）利用了量子的測(cè)不準(zhǔn)、不可分割和不可復(fù)制特性，實(shí)現(xiàn)隨機(jī)數(shù)的遠(yuǎn)距離安全分發(fā)。經(jīng)典光通信是依靠光束的通斷來(lái)攜帶信息，而一個(gè)光束中有億萬(wàn)的光子組成。量子密鑰分發(fā)則是在單光子層面進(jìn)行端到端交互，實(shí)現(xiàn)兩端對(duì)稱的隨機(jī)數(shù)安全生成而不會(huì)被截獲（一旦有探測(cè)，會(huì)干擾光子的量子態(tài)，從而被接收端發(fā)現(xiàn)）。

基于QKD分發(fā)的量子密鑰，相比目前傳統(tǒng)的密鑰，優(yōu)勢(shì)體現(xiàn)在兩個(gè)方面：（1）密鑰分發(fā)安全性由量子力學(xué)保證，一旦有惡意探測(cè)會(huì)立刻發(fā)現(xiàn)，具有高安全性；（2）QKD分發(fā)的量子密鑰具有密鑰自身長(zhǎng)度對(duì)應(yīng)的信息量，質(zhì)量高。

在信息安全體系中，信息安全主要依托密碼技術(shù)實(shí)現(xiàn)，而密碼技術(shù)大致包含協(xié)議、算法和密鑰，按照柯克霍夫原則，密碼的協(xié)議和算法都是可以公開(kāi)的，而密鑰是要絕對(duì)保證安全的。由此可見(jiàn)，密碼安全的核心是密鑰的安全。密鑰本質(zhì)上是一個(gè)隨機(jī)數(shù)，而量子密鑰分發(fā)解決的就是隨機(jī)數(shù)的安全生成與分發(fā)。

量子保密通信是在抗量子攻擊等特定需求下的全新、有效的密碼學(xué)補(bǔ)充手段，依據(jù)結(jié)合方式的不同，量子保密通信系統(tǒng)可具有多種類型。QKD 與其他能夠抵抗量子計(jì)算攻擊的對(duì)稱密鑰加密算法結(jié)合使用，可實(shí)現(xiàn)支持大帶寬業(yè)務(wù)、具備前向安全性的量子保密通信系統(tǒng)。

三、視頻監(jiān)控關(guān)鍵鏈路量子安全加密應(yīng)用研究

研究結(jié)合量子通信技術(shù)，在視頻監(jiān)控系統(tǒng)的傳輸鏈路中，針對(duì)監(jiān)控中心與監(jiān)控匯聚點(diǎn)之間的關(guān)鍵光纖鏈路，基于在線量子密鑰，針對(duì)鏈路上傳輸?shù)乃袛?shù)據(jù)信息，包括前端采集的視頻流和視頻監(jiān)控控制消息等，實(shí)現(xiàn)鏈路加密傳輸。采用共用光纖（單纖）構(gòu)建QKD網(wǎng)絡(luò)的方式，實(shí)現(xiàn)經(jīng)典網(wǎng)絡(luò)和量子信號(hào)共纖傳輸。

QKD網(wǎng)絡(luò)為量子安全路由器提供量子加密密鑰，量子安全路由器通過(guò)硬件加密模塊，使用量子加密密鑰對(duì)數(shù)據(jù)進(jìn)行透明加密，能保障視頻等大數(shù)據(jù)量透明加密要求。

共用光纖構(gòu)建QKD網(wǎng)絡(luò)主要采用波分復(fù)用技術(shù)，實(shí)現(xiàn)經(jīng)典網(wǎng)絡(luò)和量子信號(hào)在同一根光纖中傳輸。經(jīng)典量子波分復(fù)用終端最多可在一根光纖中實(shí)現(xiàn)1550nm、1570nm、1310nm、1270nm、1290nm共5個(gè)波長(zhǎng)光信號(hào)的傳輸，其中1550nm波長(zhǎng)是QKD設(shè)備的量子信號(hào)光，1570nm是QKD設(shè)備的量子同步光，1310nm、1270nm、1290nm三個(gè)波長(zhǎng)可用于經(jīng)典信號(hào)傳輸。

監(jiān)控中心到監(jiān)控匯聚點(diǎn)為單根光纖，經(jīng)典網(wǎng)絡(luò)和量子網(wǎng)絡(luò)共纖原理及波長(zhǎng)劃分如圖2所示，量子同步光和信號(hào)光使用1550nm、1570nm兩個(gè)波長(zhǎng)，業(yè)務(wù)和經(jīng)典協(xié)商共同使用1310nm、1270nm、1290nm中的兩個(gè)波長(zhǎng)分別作為上下行鏈路，經(jīng)典網(wǎng)絡(luò)波長(zhǎng)不與QKD設(shè)備的量子信號(hào)光和同步光沖突。

利用單纖構(gòu)建QKD網(wǎng)絡(luò)組網(wǎng)方案如圖3所示，該方案中在監(jiān)控中心和監(jiān)控匯聚點(diǎn)各部署一套量子密鑰生成與管理終端（QKD設(shè)備）和波分復(fù)用設(shè)備，在匯聚端部署一臺(tái)光量子交換機(jī)，光量子交換機(jī)實(shí)現(xiàn)監(jiān)控中心與監(jiān)控匯聚點(diǎn)之間的量子光纖線路切換。

在監(jiān)控中心配置量子通信網(wǎng)元管理系統(tǒng)，對(duì)量子保密通信網(wǎng)絡(luò)中密鑰生成流程和密鑰中繼路由等業(yè)務(wù)進(jìn)行管控，對(duì)量子通信設(shè)備的運(yùn)行進(jìn)行監(jiān)控和管理。

監(jiān)控匯聚點(diǎn)至監(jiān)控中心之間的經(jīng)典網(wǎng)絡(luò)和量子網(wǎng)絡(luò)共用單根光纖線路傳輸，監(jiān)控中心和監(jiān)控匯聚點(diǎn)增加量子安全路由器，量子安全路由器以旁路方式與原有路由器相連（路由器配置參數(shù)需同步更改），不改變現(xiàn)有傳輸架構(gòu)，在信息傳輸鏈路上構(gòu)建IPSec VPN通道，實(shí)現(xiàn)監(jiān)控中心和監(jiān)控匯聚點(diǎn)之間數(shù)據(jù)傳輸加密。

項(xiàng)目實(shí)施建設(shè)后，針對(duì)量子密鑰成碼率和量子通信安全性進(jìn)行了測(cè)試，具體如下：

1.測(cè)試數(shù)據(jù)

量子信道分發(fā)分發(fā)量子密鑰，平均成碼率在2～14kbps，具體測(cè)試數(shù)據(jù)見(jiàn)表1。

?

2.量子通信安全性測(cè)試

（1）通信原理安全性測(cè)試

通過(guò)對(duì)量子保密通信業(yè)務(wù)邏輯的梳理，整體業(yè)務(wù)流依托運(yùn)營(yíng)商基礎(chǔ)光纖，主要分為傳統(tǒng)光纖傳輸及量子密鑰傳輸。傳統(tǒng)光纖傳輸承載：IPSecVPN隧道加密的流量、量子密鑰分發(fā)協(xié)商的數(shù)據(jù)；量子安全傳輸IPSecVPN所用到的密碼，當(dāng)前業(yè)務(wù)配置每分鐘更換一次IPSecVPN隧道密碼。在IPSecVPN隧道承載業(yè)務(wù)流量數(shù)據(jù)可有效保護(hù)業(yè)務(wù)數(shù)據(jù)的機(jī)密性及完整性。整體的量子保密通信業(yè)務(wù)流中，業(yè)務(wù)數(shù)據(jù)是在IPSecVPN隧道中傳輸?shù)模诿糠昼姼鼡Q一次密鑰的前提下，即使遭受攻擊者非法監(jiān)聽(tīng)也無(wú)法進(jìn)行及時(shí)破解，保證了業(yè)務(wù)數(shù)據(jù)傳輸?shù)臋C(jī)密性。量子密鑰是基于量子密鑰分發(fā)的安全性，無(wú)法被監(jiān)聽(tīng)截取，保證了IPSecVPN協(xié)商密鑰的安全性。

（2）通信設(shè)備安全性測(cè)試

針對(duì)量子保密通信系統(tǒng)的：安全功能要求、身份鑒別、數(shù)據(jù)保護(hù)、安全管理、審計(jì)、簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議的保護(hù)、單播逆向路徑轉(zhuǎn)發(fā)功能、遠(yuǎn)程管理安全、可靠性、路由認(rèn)證、安全保證要求，總體符合系統(tǒng)安全要求。

（3）通信隧道安全測(cè)試

根據(jù)量子保密通信系統(tǒng)配置：每個(gè)小時(shí)（3600s）取1K量子密鑰，1K量子密鑰可分為64組，每分鐘更換一次密鑰，判斷量子加密設(shè)備具有保障業(yè)務(wù)數(shù)據(jù)傳輸安全的能力。

且在真實(shí)的業(yè)務(wù)抓取過(guò)程中99.997%為業(yè)務(wù)IPSecVPN加密的ESP流量。

四、量子保密通信系統(tǒng)應(yīng)用場(chǎng)景介紹

（一）終端量子安全服務(wù)場(chǎng)景

各類移動(dòng)終端用戶的網(wǎng)絡(luò)安全防護(hù)已成為當(dāng)前關(guān)注的熱點(diǎn)問(wèn)題之一，利用量子密鑰分發(fā)自身的獨(dú)特優(yōu)勢(shì)，同時(shí)結(jié)合密鑰分發(fā)中心，可以將QKD生成的量子密鑰應(yīng)用于移動(dòng)終端側(cè)，保障端到端及端到服務(wù)器的通信安全，可在移動(dòng)辦公、物聯(lián)網(wǎng)、視頻監(jiān)控等多種場(chǎng)景中進(jìn)行應(yīng)用。

量子密鑰分發(fā)網(wǎng)絡(luò)結(jié)合用于管理QKD網(wǎng)絡(luò)產(chǎn)生的量子密鑰的量子安全服務(wù)密鑰分發(fā)中心，以及靠近后端的量子密鑰更新終端設(shè)備，可將量子密鑰分發(fā)網(wǎng)絡(luò)產(chǎn)生的對(duì)稱量子密鑰充注到終端的安全存儲(chǔ)介質(zhì)（例如SD卡、SIM卡、U盾、安全芯片、軟件密碼模塊等），用于其通信過(guò)程中的鑒權(quán)和會(huì)話加密。相對(duì)于傳統(tǒng)的KDC方案，可保證會(huì)話密鑰的前向安全性；相比傳統(tǒng)的公鑰基礎(chǔ)設(shè)施（PKI）方案，則可保證身份認(rèn)證和會(huì)話密鑰協(xié)商過(guò)程能夠抵抗量子計(jì)算攻擊。

（二）骨干網(wǎng)保護(hù)場(chǎng)景

量子密鑰分發(fā)網(wǎng)絡(luò)（QKD）可用于為骨干網(wǎng)節(jié)點(diǎn)之間通信提供安全服務(wù)，目前骨干網(wǎng)多采用波分復(fù)用技術(shù)建設(shè)，光纖中波道數(shù)較多，除已經(jīng)使用的業(yè)務(wù)波道以及預(yù)留的保護(hù)波道和備用波道外，一般還有剩余的波道可以使用，可以利用這些多余的波長(zhǎng)來(lái)搭建QKD鏈路，通過(guò)QKD鏈路產(chǎn)生的量子密鑰對(duì)業(yè)務(wù)通道進(jìn)行高安全的加密，將QKD生成的量子密鑰應(yīng)用于傳輸設(shè)備間業(yè)務(wù)數(shù)據(jù)的加密，而QKD系統(tǒng)所需的量子信道、協(xié)商信道以及承載業(yè)務(wù)的經(jīng)典數(shù)據(jù)信道，可通過(guò)波分復(fù)用的方式實(shí)現(xiàn)共纖傳輸。

（三）關(guān)鍵基礎(chǔ)設(shè)施控制和數(shù)據(jù)采集場(chǎng)景

量子保密通信可用于保護(hù)關(guān)鍵設(shè)施中的數(shù)據(jù)采集于監(jiān)控系統(tǒng)數(shù)據(jù)通信安全性，關(guān)鍵基礎(chǔ)設(shè)施對(duì)于社會(huì)經(jīng)濟(jì)的正常運(yùn)行發(fā)揮著重要作用，其安全性和可靠性通常依賴于其通信基礎(chǔ)設(shè)施子系統(tǒng)。這些通信子系統(tǒng)中信息機(jī)密性、真實(shí)性和完整性均十分重要，例如鐵路的信令控制系統(tǒng)、供水控制系統(tǒng)，可通過(guò)QKD分發(fā)的密鑰對(duì)關(guān)鍵信息進(jìn)行保護(hù)。

五、結(jié)語(yǔ)

重大安保應(yīng)用量子通信保密系統(tǒng)保障了視頻監(jiān)控圖像傳輸安全。在示范成功實(shí)施后，可以在以下兩個(gè)方面擴(kuò)展示范應(yīng)用，全面保障適配監(jiān)控系統(tǒng)安全：（1）在量子通信網(wǎng)絡(luò)覆蓋方面，從試點(diǎn)的點(diǎn)對(duì)點(diǎn)量子密鑰分發(fā)，擴(kuò)展到網(wǎng)絡(luò)的量子密鑰分發(fā)。（2）將量子密鑰向視頻前端延伸，擴(kuò)展到視頻監(jiān)控終端，可使視頻監(jiān)控終端基于量子密鑰進(jìn)行應(yīng)用加密，保障視頻信息從攝像頭到后端服務(wù)器之間的安全傳輸。

基于以上考慮，建議擴(kuò)大應(yīng)用在更多重點(diǎn)敏感安防區(qū)域，通過(guò)對(duì)關(guān)鍵視頻圖像進(jìn)行量子加密，以保障圖像數(shù)據(jù)傳輸安全，有效防止光纖傳輸線路被監(jiān)聽(tīng)、敏感視頻數(shù)據(jù)被竊??；同時(shí)可將量子認(rèn)證增強(qiáng)、量子加密等功能與視頻監(jiān)控前端硬件、后端視頻承載平臺(tái)軟件進(jìn)行應(yīng)用結(jié)合，形成在可推廣、可復(fù)制的經(jīng)驗(yàn)，將科技創(chuàng)新和信息安全有效結(jié)合。