其信息安全技術(shù)要求的主要內容總結如下。
- 公鑰基礎設施，包括證書(shū)認證機構（CA）和3種證書(shū)類(lèi)型（用戶(hù)證書(shū)、設備證書(shū)和CA證書(shū)），證書(shū)的載體可通過(guò)移動(dòng)存儲介質(zhì)、硬盤(pán)、智能卡、USBKey、專(zhuān)用加密設備，其中USBKev為USB接口帶有算法的令牌，專(zhuān)用加密設備如加密機，用于產(chǎn)生、存儲和管理密鑰和公鑰證書(shū)。
- 用戶(hù)身份認證可采用USBKev、靜態(tài)口令、動(dòng)態(tài)口令、智能卡、人體生物特征等。
- 對標準SIP設備的認證，采用數字證書(shū)的認證方式。
- 在數據的加密保護方面，針對靜態(tài)存儲文件、傳輸內容、信令數據定義了可支持的加密算法：DES、3DES、AES（advancedencryptionstandard，高級加密標準）（128bit）、RSA（1024b“或2048bit）、安全多用途網(wǎng)際郵件擴充協(xié)議（s/MIME）等。
- 對信息的完整性采用數字摘要、數字時(shí)間戳及數字水印等技術(shù)防止信息的完整性被破壞。數字摘要支持信息摘要5（MD5）、安全散列算法1（SHA-1）、安全散列算法256（SHA-256）等算法。
上述兩個(gè)標準對業(yè)界視頻監控數據安全機制的實(shí)現有著(zhù)重要的指導意義，涵蓋了監控業(yè)界主流解決方案。
4.視頻監控信息安全機制的對比
以業(yè)界一個(gè)典型安全的監控系統廠(chǎng)商為例。通常其會(huì )支持多種信息安全方案，包括視頻編解碼算法支持高等級加密算法；支持傳輸數據加密，防止惡意登錄后的瀏覽；圖像碼流包含數字水印，防止替換和篡改；在信息安全傳輸協(xié)議方面通常支持HTTPS傳輸，確保傳輸安全等。監控廠(chǎng)商采用哪一種信息安全機制標準。與監控系統的實(shí)際應用場(chǎng)景和系統架構有密切關(guān)系。
以ONVIF規范為例，ONVIF規范核心聚焦點(diǎn)在于網(wǎng)絡(luò )視頻傳送設備與網(wǎng)絡(luò )視頻客戶(hù)端之間的接口。因此其典型應用場(chǎng)景是：
- 前端監控設備PU上線(xiàn)后，向平臺CMU發(fā)送hello消息；
- 平臺CMU需要搜尋設備時(shí)，向前端監控設備PU發(fā)送probe消息；
- 平臺CMU與前端監控設備PU進(jìn)行信令交互，請求能力集，獲取配置；
- 客戶(hù)端CU上線(xiàn)，向平臺CMU注冊，建立連接；
- 平臺CMU與客戶(hù)端CU進(jìn)行信令交互。傳輸設備列表；
- 在平臺CMU的協(xié)調下，客戶(hù)端CU同前端監控設備PU建立連接傳輸碼流。
由上述場(chǎng)景可見(jiàn)，ONVIF平臺CMU的功能在于協(xié)調CU同前端監控設備PU建立連接傳輸碼流，其針對信息安全的研究也主要側重于系統信息安全認證和獲取，包括業(yè)務(wù)信令數據的安全認證、密鑰生成和證書(shū)下載功能，為此，ONVIF定義了用戶(hù)證書(shū)和生成機制，以實(shí)現客戶(hù)端與網(wǎng)絡(luò )視頻產(chǎn)品之間安全的授權訪(fǎng)問(wèn)。
此外，在協(xié)議架構方面，ONVIF是基于WebServices協(xié)議的，因此其在信息的安全傳輸方面使用IEEE802.1x驗證服務(wù)器和HTTPS保護機制，以保證信息點(diǎn)到點(diǎn)的安全傳輸。由于ONVIF平臺不負責音視頻媒體流的轉發(fā)，是客戶(hù)端到攝像頭點(diǎn)到點(diǎn)直連訪(fǎng)問(wèn)音視頻，因此，ONVIF信息安全標準不涉及音視頻媒體數據的加密、完整性保護和傳輸。
公安部《城市監控報警聯(lián)網(wǎng)系統標準》行業(yè)標準對全國平安城市工程的建設和監控系統相關(guān)設備的開(kāi)發(fā)起著(zhù)規定指導性的作用，需涵蓋國內絕大部分安全防范用視頻監控系統的技術(shù)要求，因此該系列標準針對城市監控報警聯(lián)網(wǎng)系統，從視頻編解碼、信息傳輸和控制、視頻的存儲和播放、平臺系統、卡口監控和比對、設備接人和使用、安全和測試、工程驗收等做了較為技術(shù)性的詳盡要求。
因此，與ONVIF規范不提供完全的服務(wù)器端證書(shū)機構（CA）不同，公安部《城市監控報警聯(lián)網(wǎng)系統技術(shù)標準安全技術(shù)要求》定義了基于專(zhuān)門(mén)證書(shū)認證機構認證體系，定義了3種證書(shū)類(lèi)型（用戶(hù)證書(shū)、設備證書(shū)和CA證書(shū)），并統一了證書(shū)的格式，定義了證書(shū)的載體。用戶(hù)可采用公安部、國家密碼管理局等國家有關(guān)機構認證通過(guò)的硬件加密機（即黑盒子），用于產(chǎn)生、存儲和管理密鑰和公鑰證書(shū)。
此外，與ONVIF規范側重于業(yè)務(wù)信令數據的安全認證不同，《城市監控報警聯(lián)網(wǎng)系統技術(shù)標準安全技術(shù)要求》在業(yè)務(wù)信令數據和音視頻媒體數據加密和完整性方面皆定義了可支持的加密算法要求。
5.監控系統采用的主流算法
從具體的加密算法方面。針對信令流和媒體流加密，監控系統一般使用DES、3DES、AES（128bit）、RSA（1024bit或2048bit）等加密算法。
DES、3DES是對稱(chēng)加密算法，即加密和解密使用相同密鑰的算法。DES使用一個(gè)56bit的密鑰，3DES使用兩個(gè)獨立密鑰對明文運行DES算法3次，從而得到112bit有效密鑰強度：一般監控系統可采用DES、3DES算法保證信令流和媒體流的安全性。
AES為對稱(chēng)加密算法，支持長(cháng)度為128bit、192bit和256bil的密鑰長(cháng)度。其中128bit密鑰長(cháng)度的AES是最常采用的版本。也是監控系統中采用較多的一種算法。
RSA是非對稱(chēng)加密算法。是目前最優(yōu)秀的公鑰方案之一，但是RSA的缺點(diǎn)是運算代價(jià)很高，尤其是速度較慢，較對稱(chēng)密碼算法慢幾個(gè)數量級，因此RSA一般用于對AES密鑰的安全傳輸。由于A(yíng)ES加密算法是公開(kāi)的，信息的保密依賴(lài)于A(yíng)ES密鑰的保密，因此，對于A(yíng)ES密鑰的安全傳輸，可采用RAS非對稱(chēng)加密算法。
監控系統中的數據除了通過(guò)信令流和媒體流傳輸外，還有很多靜止的數據，如存儲的錄像文件、音頻數據，為保證安全性，同樣也需要加密處理。針對錄像文件加密的方法有很多，可采用3DES、AES（128bit）、SCB2等。
此外，在監控系統中。為了確保圖片和視頻數據的安全可靠，監控系統可采用數字摘要、數字時(shí)間戳及數字水印等技術(shù)防止信息的完整性被破壞。
數字摘要就是采用單項散列函數將需要加密的明文“摘要”成一串固定長(cháng)度（128bit）的密文，數字摘要可采用信息摘要5（MD5）、安全散列算法1（SHA-1）、安全散列算法256（SHA-256）等算法。
數字時(shí)間戳是用來(lái)證明消息的收發(fā)時(shí)間的，用戶(hù)首先將需要加時(shí)間戳的文件經(jīng)加密后形成文檔，然后將摘要發(fā)送到專(zhuān)門(mén)提供數字時(shí)間戳服務(wù)的權威機構，該機構對原摘要加上時(shí)間后，進(jìn)行數字簽名，用私鑰加密，并發(fā)送給原用戶(hù)。
數字水印技術(shù)。即在抓拍照片或視頻編碼過(guò)程中加入隱藏標記，防止該照片或視頻在傳輸、存儲、處理過(guò)程中被惡意篡改，確保數據的保密性，水印制作方案采用密碼學(xué)中的加密體系來(lái)加強，在水印嵌入、提取時(shí)采用一種密鑰甚至幾種密鑰聯(lián)合使用。
在數據安全傳輸協(xié)議方面，監控系統通常用到HTTPS、IEEE802.1x（基于端口的網(wǎng)絡(luò )接人控制）協(xié)議、TLS協(xié)議、SRTP（securereal-timetransportprotocol，安全實(shí)時(shí)傳輸控制協(xié)議）。
HTTPS是監控系統中應用較多的安全傳輸協(xié)議，是由SSL+HTTP構建的可進(jìn)行加密傳輸、身份認證的網(wǎng)絡(luò )協(xié)議，一般應用于業(yè)務(wù)數據信令流的加密。
IEEE802.1x協(xié)議使用標準安全協(xié)議（如RADIUS）提供集中的用戶(hù)標識、身份驗證、動(dòng)態(tài)密鑰管理和記賬，客戶(hù)端通過(guò)認證獲得身份驗證。為會(huì )話(huà)生成唯一密鑰，該密鑰可用于監控系統消息安全傳輸。
TLS協(xié)議使得當服務(wù)器和客戶(hù)機進(jìn)行通信時(shí)，確保沒(méi)有第三方能竊聽(tīng)或盜取信息。TLS協(xié)議包括TLS記錄協(xié)議和TLS握手協(xié)議：TLS記錄協(xié)議可使用如數據加密標準（DES）保證連接安全。TLS握手協(xié)議使服務(wù)器和客戶(hù)機在數據交換之前進(jìn)行相互鑒定，并協(xié)商加密算法和密鑰。視頻流在傳輸層的加密也可使用SRTP對傳輸通道進(jìn)行加密，SRTP是在RTP基礎上所定義的一個(gè)協(xié)議，旨在為單播和多播應用程序中的實(shí)時(shí)傳輸協(xié)議的數據提供加密、消息認證、完整性保護和重放保護功能。
6.安全機制的應用建議
通常，一個(gè)監控系統應根據加密等級和系統架構的不同采用相應的安全機制。
對于一般的安全監控系統。要求支持業(yè)務(wù)數據訪(fǎng)問(wèn)權限進(jìn)行安全認證和授權，實(shí)現業(yè)務(wù)信令流的加密和傳輸。訪(fǎng)問(wèn)權限的安全認證可采用口令、數字證書(shū)或數字摘要等標準算法，信令流的加密算法根據業(yè)界標準可采用DES、3DES、AES（128bit）等算法，信令流的安全傳輸可根據監控架構協(xié)議采用不同的通信安全協(xié)議，如HTTPS、IEEE802.1x等。
對于需要高度安全和保密的系統，不但需要支持信令流的加密，還需要對傳輸的媒體流進(jìn)行加密，一般廠(chǎng)商的視頻編解碼芯片均可支持高等級音視頻加密算法，如DES、3DES、AES（128bit）等。此外，視頻加密可以采用視頻關(guān)鍵幀或全數據加密兩種方式。關(guān)鍵幀是反映一組鏡頭中的主要信息內容的一幀圖像，由于視頻監控系統攝像頭一般是固定安裝的，其所涉及的場(chǎng)景范圍有限，因此，各幀圖像冗余信息很多，采用全數據視頻流加密耗費芯片資源，加密費用很高，采用關(guān)鍵幀加密可以減少很多工作量。
媒體流和信令流數據的加密，不論采用何種加密算法，均涉及密鑰的管理問(wèn)題。
