蘇威積 黎雷蕾 李 劍

1(北京航天愛威電子技術(shù)有限公司 北京 100854)2(北京郵電大學計算機學院 北京 100876)

隨著互聯(lián)網(wǎng)+的發(fā)展，人們的生活已經(jīng)與網(wǎng)絡(luò)休戚相關(guān).互聯(lián)網(wǎng)的出現(xiàn)極大地方便了人們的生活，但是與之伴隨的就是人們的隱私都曝光在互聯(lián)網(wǎng)中，互聯(lián)網(wǎng)時代的信息安全已經(jīng)成為了人們高度關(guān)注的社會性焦點問題.

在人們的正常社會生活中，視頻監(jiān)控扮演了一個重要角色，它不僅保障了人們生命財產(chǎn)安全，而且可以作為裁決糾紛的重要證據(jù).但是傳統(tǒng)的視頻監(jiān)控系統(tǒng)多是采用模擬線路，任何信息對于任何人都是可見的.隨著網(wǎng)絡(luò)傳輸速度的提升，數(shù)字線路逐漸取代了模擬線路.由于某些歷史原因，數(shù)字線路傳輸?shù)拇a流一般采用公開的協(xié)議進行編解碼，對于收取碼流方，也沒有進行相應(yīng)的身份驗證，導致碼流容易被第三方截獲甚至篡改，留下了極大的安全隱患.

針對視頻監(jiān)控中無法保證傳輸音像的安全性，本文提出了一種基于CA認證的視頻監(jiān)控模型，對于任何接入視頻監(jiān)控網(wǎng)的用戶都進行CA數(shù)字證書認證，若是非法用戶，則停止傳輸視頻碼流，防止信息被第三方竊取.對于傳輸?shù)臄?shù)據(jù)，采用MD5驗證其完整性，防止信息被第三方篡改.本文提出的模型，能夠極大地提升現(xiàn)有視頻監(jiān)控系統(tǒng)的安全性.

1 相關(guān)工作

1.1 數(shù)據(jù)安全種類

數(shù)據(jù)安全性可以分為2個方面：數(shù)據(jù)的靜態(tài)安全和數(shù)據(jù)的動態(tài)安全.所謂數(shù)據(jù)的靜態(tài)安全指的是存儲在存儲設(shè)備中的數(shù)據(jù)安全性；數(shù)據(jù)動態(tài)安全指的是數(shù)據(jù)在傳輸過程中的保密性和完整性[1]，本文所提出的基于CA認證的視頻監(jiān)控模型就是一種確保數(shù)據(jù)動態(tài)安全的策略.

1.2 CA認證體制

CA(Certificate Authority)認證,全稱為電子商務(wù)認證授權(quán)機構(gòu)，也被稱為電子商務(wù)認證中心，負責為每一個使用公開密鑰的用戶發(fā)放一個數(shù)字證書.其會對發(fā)放的每個數(shù)字證書進行數(shù)字簽名，第三方無法偽造或者篡改證書，從而驗證證書持有者的身份和公鑰的所有權(quán).本模型采用單一CA認證的模式,保證了所有用戶使用的證書都是一致的,一旦發(fā)現(xiàn)不合法證書直接中斷連接,能夠減少信息量的泄露[2-10].

CA認證一般分為第三方CA或者自建型CA 2種，本模型采用的是自建型CA，相比于第三方的CA認證，自建型CA可以擁有更快的響應(yīng)速度和自主性，并且自建型CA費用將會低于第三方CA.但自建型CA需要自主搭建服務(wù)器，并且需要考慮靜態(tài)的數(shù)據(jù)安全性，如果采用的規(guī)模較小，可以選擇第三方CA，能夠減少維護的成本.若模型用于大規(guī)模的視頻監(jiān)控網(wǎng)，出于可維護性和維護成本，明顯自建型CA比較有優(yōu)勢[11-15].

2 模型說明

2.1 功能模塊說明

本文提出的模型主要分為客戶終端、視頻終端、轉(zhuǎn)發(fā)服務(wù)器及CA認證服務(wù)器，如圖1所示.

1) 客戶終端由客戶使用的設(shè)備與USB KEY構(gòu)成，對于每個合法用戶，都會分配其一個合法賬戶ID和與之對應(yīng)的USB KEY，用戶登錄時，必須連接USB KEY與用戶設(shè)備，此時根據(jù)預先設(shè)置的程序結(jié)合USB KEY的編號和對應(yīng)的用戶ID，為了增強保密性可由系統(tǒng)根據(jù)時間戳等生成一個隨機的128 b 數(shù)據(jù)，客戶終端可以根據(jù)這3個值生成對應(yīng)的數(shù)字簽名.

2) 客戶終端與轉(zhuǎn)發(fā)服務(wù)器建立連接，將數(shù)字簽名及用戶的賬號ID和所用的隨機128 b數(shù)據(jù)發(fā)送給轉(zhuǎn)發(fā)服務(wù)器，轉(zhuǎn)發(fā)服務(wù)器獲取到客戶終端發(fā)送的數(shù)據(jù)后進行二次加密，之后將密文傳給CA認證服務(wù)器.

3) CA認證服務(wù)器獲取了密文后，用自己持有的私鑰對密文進行一次解密，將獲取的用戶賬號ID、隨機字符串和CA根證書進行比對，驗證數(shù)字簽名無誤后，返回驗證結(jié)果給轉(zhuǎn)發(fā)服務(wù)器,同時CA認證服務(wù)器摧毀隨機數(shù)和數(shù)字簽名，不進行記錄.

4) 轉(zhuǎn)發(fā)服務(wù)器接收從CA認證服務(wù)器上發(fā)送回來的結(jié)果，若驗證有誤，直接中斷與客戶端的通信.若驗證正確，轉(zhuǎn)發(fā)服務(wù)器將客戶端所需的數(shù)據(jù)傳回.

5) 每隔一段時間，客戶終端必須向轉(zhuǎn)發(fā)服務(wù)器發(fā)送心跳認證包，里面包含采用時間戳計算的隨機數(shù)，轉(zhuǎn)發(fā)服務(wù)器再次向CA認證服務(wù)器進行認證，一旦認證失敗，轉(zhuǎn)發(fā)服務(wù)器認為客戶終端遭到攻擊，立即中斷通信.

6) 視頻采集終端與轉(zhuǎn)發(fā)服務(wù)器是多對1的連接方式，并且與CA認證服務(wù)器保持認證狀態(tài).這樣保證了視頻采集終端只能與轉(zhuǎn)發(fā)服務(wù)器進行通信，從而避免了終端被直接竊取碼流信息.

圖1 基于CA認證的視頻監(jiān)控模型

2.2 CA認證模塊運行說明

對于本模型而言，其中最為重要的就是CA認證流程設(shè)計與實現(xiàn).圖2說明了CA認證在本模型中的實現(xiàn)原理.

圖2 CA認證過程

1) 轉(zhuǎn)發(fā)服務(wù)器發(fā)送到CA認證服務(wù)器的信息采用加密傳輸，CA認證服務(wù)器獲取到密文后將會用自己的私鑰進行解密，從而獲取轉(zhuǎn)發(fā)服務(wù)器轉(zhuǎn)發(fā)的數(shù)字簽名、用戶ID和生成簽名所有的隨機數(shù).

2) CA認證服務(wù)器根據(jù)用戶ID和數(shù)字簽名進行反簽名解密操作，將解密后的隨機字符串與步驟1)中的字符串進行比對.

3) 若步驟2)比對成功，那么發(fā)送比對成功結(jié)果到轉(zhuǎn)發(fā)服務(wù)器；若比對不成功，也將比對不成功的結(jié)果發(fā)送到轉(zhuǎn)發(fā)服務(wù)器，無論比對結(jié)果如何，CA認證服務(wù)器都將數(shù)據(jù)進行銷毀操作.

從上面流程可以看出CA認證服務(wù)器是一個類黑箱的模型，無論是用戶還是第三方都只能通過CA認證服務(wù)器的輸入輸出來判斷CA認證服務(wù)器的運行機制，而CA認證輸入與輸出僅僅與轉(zhuǎn)發(fā)服務(wù)器進行加密通信，從而無法被篡改信息，保證了CA認證的可靠性與準確性.

3 安全分析

從圖1我們可以看出，在模型進行1次完整通信時，有7個步驟可能會被第三方利用從而非法獲取信息，下面我們將逐個分析每個步驟是如何保證通信安全的.

1) USB KEY生成唯一ID.這是模塊中驗證用戶是否合法的唯一標識，作為系統(tǒng)的管理者，必須做到USB KEY與用戶一一對應(yīng)，這屬于安全管理方面的條件，并不屬于模型所需要考慮的條件.對此，進行安全分析時，我們可以默認除了合法用戶外，第三方竊聽者無法擁有正確的與其用戶ID對應(yīng)的USB KEY，這一步驟是安全的.

2) 向指定ID攝像機申請碼流.這是一個請求動作，無論是正常用戶還是第三者都可以向轉(zhuǎn)發(fā)服務(wù)器提出連接請求，這相當于請求連接.第三方唯一能做的就是進行截取-轉(zhuǎn)發(fā)操作來冒充正常用戶請求連接.但是即使第三方通過截取-轉(zhuǎn)發(fā)來獲得了連接的權(quán)限，他也無法通過隨機心跳認證包CA認證，一旦被CA認證服務(wù)器識別，那么轉(zhuǎn)發(fā)服務(wù)器就會停止與其通信.這一步驟是安全的.

3) 申請驗證.由于轉(zhuǎn)發(fā)服務(wù)器與CA服務(wù)器基本上是不變的，所以截取-轉(zhuǎn)發(fā)的意義不大，并且驗證信息采用加密信息，解密私鑰存在于CA認證服務(wù)器，所以這一步驟也是安全的.

4) 攝像機終端的CA認證.攝像機終端屬于嵌入式設(shè)備，只能與轉(zhuǎn)發(fā)服務(wù)器進行連接，通過更改攝像機終端進行信息截取，一是無法采用簡單的截取-轉(zhuǎn)發(fā)方式，二是攝像機一般分布較為分散，從地理分布來看也不適合進行截取.只要攝像機終端認證成功，才能正常工作，獲取碼流.這一步驟也是安全的.

5) 返回認證結(jié)果.返回認證結(jié)果與步驟3)類似，由于采用了隨機數(shù)混淆和公私鑰加密體系，可以有效防止驗證結(jié)果被猜到，從而保證了不會被第三方偽造驗證信息，從而欺騙轉(zhuǎn)發(fā)服務(wù)器.這一步驟是安全的.

6) 從攝像終端獲取碼流.從步驟4)可以看出，若將攝像機終端強制只能與轉(zhuǎn)發(fā)服務(wù)器進行連接，那么這一步驟也是安全的.

7) 轉(zhuǎn)發(fā)碼流給客戶端.為了減小客戶終端的解碼壓力，轉(zhuǎn)發(fā)服務(wù)器沒有對轉(zhuǎn)發(fā)的碼流進行加密操作，這一步驟只能依賴于心跳認證包進行檢測，一旦心跳認證包CA認證失敗，直接終止連接，能保證碼流的安全.若要加強傳輸碼流的安全性，那么我們只要在轉(zhuǎn)發(fā)服務(wù)器加密碼流并在客戶終端解密碼流，這樣可以以犧牲性能為代價增強模型的安全性.

以上，我們分析了模型中所有步驟的安全性，從理論上來說，本文提出的基于CA認證的系統(tǒng)模型是安全的.

4 總 結(jié)

本文提出了一個基于CA認證的視頻監(jiān)控模型，在這個模型中，本文采用CA數(shù)字簽名技術(shù)認證每一個客戶終端與攝像機終端，保證了圖像信息只能被驗證認可設(shè)備獲取，對于其他的第三方無驗證信息的設(shè)備，它們不能獲得或者僅僅能獲得少量圖像信息，從而保證了視頻監(jiān)控網(wǎng)中的信息安全.

本文提出的CA認證服務(wù)器，僅僅與轉(zhuǎn)發(fā)服務(wù)器進行通信，并不與客戶終端及攝像機終端進行通信，一定程度上保證了CA認證服務(wù)器的隱蔽性.而且只需對轉(zhuǎn)發(fā)服務(wù)器進行一定的升級即可，不需要對監(jiān)控網(wǎng)絡(luò)作出大的改動，從而具有實際的工程實現(xiàn)價值.

本文提出的模型僅僅考慮了一臺轉(zhuǎn)發(fā)服務(wù)器的情況，但是在實際應(yīng)用中，轉(zhuǎn)發(fā)服務(wù)器一般都是多臺的.如何讓多臺轉(zhuǎn)發(fā)服務(wù)器能夠負載均衡，并且保證與CA認證服務(wù)器進行驗證安全性，將會是下一步工作所研究的問題.

[1]譚云松. 基于CA認證的遠程數(shù)據(jù)訪問模型[J]. 計算機工程, 2007, 33(19): 168-169

[2]閆煥章. 基于CA認證的電子印章系統(tǒng)的設(shè)計[J]. 數(shù)字技術(shù)與應(yīng)用, 2013, 2: 147-148

[3]崔明磊. 基于CA認證系統(tǒng)的移動代理安全系統(tǒng)的研究[J]. 福建電腦, 2009, 25(9): 126-126

[4]李亞輝. CA認證系統(tǒng)及其應(yīng)用[J]. 現(xiàn)代電子技術(shù), 2006, 29(23): 121-123

[5]董自周, 張維華. 一種簡化的CA認證系統(tǒng)[J]. 武漢理工大學學報: 信息與管理工程版, 2009, 31(1): 34-37

[6]郭靖, 王營冠. 基于openssl的CA認證及SSL加密通信[J]. 現(xiàn)代電子技術(shù), 2012, 35(3): 104-107

[7]彭軍, 王忠, 胡建超. 基于PKI的CA認證系統(tǒng)信任模型的研究[J]. 網(wǎng)絡(luò)安全技術(shù)與應(yīng)用, 2010, 3: 6-9

[8]劉微微, 程海蓉. 信息安全專題介紹之二:公鑰基礎(chǔ)設(shè)施PKI/CA認證安全體系[J]. 計算機輔助工程, 2002, 1: 73-78

[9]雷樹梅. 小型CA認證系統(tǒng)的設(shè)計與實現(xiàn)[D]. 太原: 太原理工大學, 2008

[10]劉國紅, 劉茜. RADIUS結(jié)合PKI/CA認證方式的應(yīng)用探究[J]. 廣西物理, 2006, 27(4): 20-22

[11]崔志斌, 崔宇璇, 王騰飛. 基于CA認證的可信電子病案系統(tǒng)設(shè)計[J]. 中國數(shù)字醫(yī)學, 2017, 12(1): 83-85

[12]郭萍, 傅德勝, 朱節(jié)中, 等. 輕量級可移交CA的MANET網(wǎng)絡(luò)認證體系[J]. 計算機科學, 2017, 44(3): 145-149

[13]林睿, 李豐, 陸國生,等. 基于CA技術(shù)的網(wǎng)絡(luò)信息安全系統(tǒng)設(shè)計與實現(xiàn)[J]. 電子設(shè)計工程, 2017, 25(11): 157-159

[14]靳淑娟, 袁泉. 結(jié)合802.1x的數(shù)字證書認證方法研究與應(yīng)用[J]. 網(wǎng)絡(luò)安全技術(shù)與應(yīng)用, 2017 ,6: 38-39

[15]楊迪, 葉鵬, 黃敬林. CA認證支撐下的電子文件可信服務(wù)研究[J]. 數(shù)字技術(shù)與應(yīng)用, 2017, 5: 63-65