视频信息安全设计方案

《视频信息安全设计方案》由会员分享，可在线阅读，更多相关《视频信息安全设计方案（20页珍藏版）》请在装配图网上搜索。

1、-城市视频监控联网系统信息平安设计方案二一五年十一月目录1 工程背景12 信息平安相关知识12.1 信息平安效劳与机制2 平安效劳2 平安机制32.2 平安体系架构3 网络平安根本模型3 信息平安框架32.3 信息平安起因4 技术缺陷4 管理缺陷52.4 网络攻击方式5 口令攻击5 软件攻击6 窃听攻击7 欺诈攻击7 病毒攻击8 拒绝效劳攻击82.5 信息平安后果92.6 信息平安技术92.6.1 PKI体系9 用户身份认证12 认证机制13 认证协议153 联网视频信息的特点173.1 系统多级架构173.2 网络状况复杂173.3 视频数据量大174 视频系统信息平安分类174.1 信令加

2、密184.2 媒体流加密185 平安系统的实现185.1 认证中心185.2 视频平安平台185.3 系统评价186 系统建成预期效果197 平安技术展望19. z.-1 工程背景互联网、大数据时代虽然带来了安防行业新的机遇与信息面貌，但是伴随信息聚集性越来越高，云平安问题也带来了新的挑战。对不法分子来说，只要击破云效劳器，意味着可以获得更多的资源，例如iCloud泄露门，12306信息泄露，携程信息泄露等。海康威视“平安门事件，对正在大力开展信息经济与互联网经济的中国，提出了信息平安的极大思考。信息平安任重而道远，千里之堤，毁于蚁穴。所以在信息平安上，应仔细排查平安隐患，防患于未然。公开数据

3、显示，有74.1%的网民在过去半年内遇到网络信息平安事件。有专家估计，中国每年因网络信息平安问题造成的经济损失高达数百亿美元。在今年的全国两会上，中国移动*公司总经理钟天华代表建议，加快制定网络信息平安法，从监管主体、设施平安、运行平安、信息平安、法律责任等方面标准网络信息平安。各省城市视频监控联网系统共享平台已根本建立完成，标准基于国标GB/T 28181，但对于视频信息平安的要求没有严格要求。在国家对网络和信息平安高度重视的当下，扮演政府、企业、社区“守门人角色的安防行业，实现自主可控异常重要。需要一套完整解决方案。2 信息平安相关知识网络信息平安是一个关系国家平安和主权、社会稳定、民族文

4、化继承和发扬的重要问题。其重要性，正随着全球信息化步伐的加快越来越重要。网络信息平安是一门涉及计算机科学、网络技术、通信技术、密码技术、信息平安技术、应用数学、数论、信息论等多种学科的综合性学科。它主要是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络效劳不中断。2.1 信息平安效劳与机制2.1.1 平安效劳信息平安效劳产生的根底是整个网络系统需要躲避平安风险、控制平安本钱以及保障业务持续性。从实践环节看，信息平安效劳是由参与通信的开放系统的*一层(OSI)所提供的效劳，它确保了该系统或数据传输具有足够的平安性。结合信

5、息平安的根本要素，明确五大类平安效劳，即鉴别、访问控制、数据完整、数据*、抗抵赖。2.1.1.1 鉴别效劳authentication主要用来鉴别参与通信的对等实体和数据源，确认其合法性、真实性。2.1.1.2 访问控制效劳access control用于防止未授权用户非法使用资源。包括用户身份认证，用户权限确认。2.1.1.3 数据完整性效劳integrity用于对付主动威胁，阻止非法实体对通信双方交换数据的改动和删除。2.1.1.4 数据*性效劳confidentiality防止系统内交换数据被截获或非法存取而造成泄密，提供加密保护。2.1.1.5 抗抵赖性效劳no-repudiation

6、防止发送方发送数据后否认自己发送过此数据，接收方接收后否认收到过此数据或伪造接收数据。2.1.2 平安机制2.2 平安体系架构2.2.1 网络平安根本模型网络平安根本模型包括通信主体双方、攻击者和可信第三方，通信双方在网络上传输信息，需要先在发收之间建立一条逻辑通道。这就要先确定从发送端到接收端的路由，再选择该路由上使用的通信协议，如TCP/IP。为了在开放式的网络环境中平安地传输信息，需要对信息提供平安机制和平安效劳。信息的平安传输包括两个根本局部：一是对发送的信息进展平安转换，如信息加密以便到达信息的*性，附加一些特征码以便进展发送者身份验证等；二是发送双方共享的*些秘密信息，如加密密钥，

7、除了对可信任的第三方外，对其他用户是*的。为了使信息平安传输，通常需要一个可信任的第三方，其作用是负责向通信双方分发秘密信息，以及在双方发生争议时进展仲裁。一个平安的网络通信必须考虑以下内容：u 实现与平安相关的信息转换的规则或算法u 用于信息转换算法的密码信息如密钥u 秘密信息的分发和共享u 使用信息转换算法和秘密信息获取平安效劳所需的协议2.2.2 信息平安框架2.2.2.1 物理平安进入办公室需经人脸识别门禁系统确认后才能翻开办公室门，出办公室门需按出门按钮。2.2.2.2 通信和网络平安能完成对出入办公室人员的授权管理，能对进出办公室人员的历史出入记录进展查询及输出。2.2.2.3 运

8、行平安2.2.2.4 信息平安2.3 信息平安起因首先，视频监控网络平安问题是现实存在的，在互联网传输中不加密问题更甚。即便是美国国防部内部网络都曾被黑客入侵，何况是民用监控。其次，视频监控网络平安问题是普遍存在的，并非只海康威视一家。此前便有报道，只要在Google中搜索简单的关键字，就可以无阻碍地连入全球超过1000个没有保护措施的监控摄像头。用户对网络平安重视程度不够，缺乏平安意识，在安装完监控产品之后，没有对密码进展修改，实际上只要用户按照产品说明书的说明修改了初始默认密码，就能很大程度上防止网络平安隐患。第三，在视频传输中，利用公安专用通信网*性最正确，其次为视频图像专网，再次为虚拟

9、专用网VPN，VirtualPrivateNetwork，未加密的公网传输，包括移动互联网传输*性是很差的。目前平安城市视频监控系统承载网络主要是公安专用通信网和视频虚拟专网两种。现有系统的承载网络情况复杂，平台部署在不同的承载网络上。虚拟专用网通常是在公用网络上建立的专用网络，是为特别用户设置的加密通讯网络，而平安城市视频监控系统汇接的社会图像资源是通过多种方式接入到各级共享平台，虽然在接入时会采取一些平安接入措施，但仍很难防止被非法侵入。未加密的公网传输毫无*性可言。除了接入网络的设备会受到网络平安隐患威胁外这一无法回避的因素外，安防企业多是习惯于用局域网或者专网视角来对待问题。2.3.1

10、 技术缺陷互联网使用的通讯协议是TCPIPTCPIP在最初的设计时主要考虑的是如何实现网络连接并没有充分考虑到网络的平安问题而TCPIP协议是完全公开的，这就导致入侵者可以利用TCPIP协议的漏洞对网络进展攻击。另外计算机使用的操作系统比方说目前仍普遍使用的微软windows操作系统在设计上也存在平安漏洞，用户经常需要更新下载它的平安补丁以修补它的平安漏洞。其他的技术缺陷还包括应用程序的编写对平安性考虑缺乏网络通讯设备包括路由器、交换机存在平安的缺陷等等这些技术上的缺陷都容易被入侵者利用从而构成平安威胁。2.3.2 管理缺陷由于网络使用单位的负责人、网络管理员思想上不重视或者疏忽没有正视黑客入

11、侵所造成的严重后果没有投入必要的人力、物力和财力来加强网络的平安性，没有采取有效的平安策略和平安机制缺乏先进的网络平安技术、工具、手段和产品等等，这也导致了网络的平安防范能力差。主要有以下几个方面：l 内部管理漏洞。缺乏健全的额管理制度或制度执行不力，给内部人员违规或犯罪留下时机。与外部威胁相比，来自内部的攻击和犯罪更难防范，而且是网络平安的主要来源，据统计，大约80%的平安威胁来自系统内部。l 动态环境变化。单位变化，人员流动，原有内部人员对网络的破坏。l 社会问题、道德问题和立法问题。2.4 网络攻击方式互联网技术在飞速开展的同时黑客技术也在飞速开展，网络世界的平安性不断地在受到挑战。对于

12、黑客来说要进入普通人的电脑非常容易。只果你要上网就免不了遇到病毒和黑客。下面列举一些黑客常用攻击手段：2.4.1 口令攻击口令攻击就是通过窃取口令的方式进展破坏的活动，口令攻击是比拟常用的一种攻击方式。在现实生活中由于用户名和密码被盗造成损失的例子有很多，一旦用户名和密码被盗入侵者还可以冒用此用户的名义对系统进展进一步的破坏和攻击从而给用户本身或者整个系统造成非常大的损失。就目前的黑客技术来说用户名和密码的盗取对黑客不再是有难度的事情，黑客盗取口令的方法有很多。比方说，有的黑客通过FTP、TFTP和Telnet等工具可以搜集用户账户资料、获得口令文件，然后对1：3令文件进展解密来获得口令。或者

13、如果用户的口令设置缺乏平安性可能被轻易地被“字典攻击猜到用户的El令。“字典攻击就是通过编写一个应用程序根据一定的规律由应用程序自动反复地去尝试口令强行破解用户口令。字典攻击要求黑客要有足够的耐心和时间但对那些口令平安系数极低的用户，只要短短的几分钟甚至数十秒就可以被破解。2021年11月，知名专业平安SecurityStreetRapid公布了3个RTSP平安漏洞，编号分别为：CVE-2021-4878、CVE-2021-4879及CVE-2021-4880。这三个漏洞均为监控设备对RTSP请求处理不当导致的缓冲区溢出漏洞。通过该漏洞，攻击者只要知道设备的IP地址，即可采用电脑对设备进展拒绝

14、效劳攻击，从而导致设备瘫痪或被攻击者接收。弱口令。弱口令是指容易被攻击者猜想到或被破解工具破解的口令。此次媒体报道中提及的弱口令问题主要是由于未修改设备初始密码或设备密码过于简单导致的平安问题。弱口令问题普遍存在，主要的解决方式是建立严格、标准化的口令管理流程和管理机制。2.4.2 软件攻击软件攻击有时又叫漏洞攻击许多系统包括计算机系统、网络系统都有这样那样的平安漏洞(Bug)和后门(backdoor)。特别是计算机系统在安装好操作系统后出现漏洞和缺陷的可能性是最大的，这些漏洞需要厂商发布补丁(patch)程序来进展修补。各个硬件厂商和软件厂商，包括微软在内都在不断地发布自己的补丁这要求用户及

15、时的去下载这些补丁进展系统更新操作。如果系统管理人员没有对网络和操作系统的漏洞及时打补丁入侵者就可以很容易利用这些公开的漏洞，侵入系统从而对整个网络带来灾难性的后果。软件攻击除了利用系统的漏洞外还可以利用一些后门程序。后门，就是秘密入口。比方说在程序开发阶段，程序员可能会设置一些后门以便于测试、修改和增强模块功能。正常情况下，程序开放完成后需要去掉各个模块的后门，不过有时由于疏忽或者其他原因，比方说如保存后门便于日后访问、测试或维护后门没有去掉，一些别有用心的人就会利用专门的扫描工具发现并利用这些后门，然后进入系统并发动攻击。国内的安防产品的漏洞问题由来已久，主要原因在于社会和国家对信息化依赖

16、越来越高。境外恶意攻击者一般会对网络进展扫描，发现系统存在弱口令问题后会利用其中未修复的平安漏洞进展攻击，然后植入后门软件进展长期控制。所有暴露在互联网环境下的设备都会面临黑客攻击的风险，很多用户缺乏平安意识，在平安上考虑缺乏也导致容易出现平安漏洞。2.4.3 窃听攻击网络窃听是最直接的获取数据的手段如果在共享的网络通道上，用没有加密的明文传输敏感数据这些信息很可能被窃听和监视。窃听者可以采用如sniffef等网络协议分析工具，非常容易地在信息传输过程中获取所有信息的内容，这些信息包括账号密码等重要信息。一旦入侵者监听到用户传输的口令就可以利用口令入侵到系统中。比方说政府部门内部的普通工作人员

17、如果通过内部网络窃听手段。获取了领导的账号和密码，从而可以利用这些密码查阅只能由领导查阅的秘密文件等。这类方法有一定的局限性，但危害性较大监听者往往能够获得其所在网段的所有用户账号和口令对内部网络平安威胁巨大，因为内网数据往往是非常高的如果被非法窃听而导致信息泄露，将对国家造成非常大的损失。2.4.4 欺诈攻击欺诈攻击是利用假冒方式骗取连接和信息资源、损害企业的声誉和利益的方式。比方说黑客在被攻击主机上启动一个可执行程序该程序显示一个伪造的登录界面。当用户在这个伪装的界面上键入登录信息后黑客程序会将用户输入的信息传送到攻击者主机然后关闭界面给出提示错误要求用户重新登录。此后才会出现真正的登录界

18、面这就是欺诈攻击的一种方式。再比方说，黑客可以制作自己的网页一旦用户点击了假冒地址进入到这个网页后，如果用户此时输入银行账号、密码、验证码后，该假冒网页会提示验证码错误随后再转向正常的网页这样黑客就巧妙地从中获取了用户的*信息。2.4.5 病毒攻击计算机病毒实际上是一段可执行程序，为什么称之为病毒，主要是因为它和现实世界的病毒一样具有传染性潜伏性和破坏性。在越来越依赖网络的今天由于病毒导致的系统破坏将带来巨大的损失。计算机病毒对计算机的影响是灾难性的。从20世纪80年代起计算机使用者就开场和计算机病毒斗争，特别是随着近年互联网的开展网络应用的普及、人们对计算机的依赖程度的不断提高这一切为病毒的

19、传播提供了方便的渠道，同时也使计算机病毒的种类迅速增加扩散速度大大加快受感染的范围越来越广，病毒的破坏性也越来越严重。以前病毒的传播方式主要是单机之问通过软盘介质传染而现在病毒可以更迅速地通过网络共享文件、电子及互联网在全世界范围内传播2.4.6 拒绝效劳攻击DOS(denial-of-service)攻击，简称DoS攻击是通过向攻击目标施加超强力的效劳要求要求被攻击目标提供超出它能力范圉的效劳，从而引起的攻击目标对正常效劳的拒绝或效劳性能大大降低。简单的说拒绝效劳攻击就是想方法将被攻击的计算机资源或网络带宽资源耗尽导致网络或系统不胜负荷以至于瘫痪而停顿提供正常的效劳。DoS攻击由于可以通过使

20、用一些公开的软件和工具进展攻击，因而它的发动较为简单拒绝效劳的攻击方式是：用户发送许多要求确认的信息到效劳器使效劳器里充满着这种大量要求回复的无用信息所有的信息都有需回复的虚假地址而当效劳器试图回传时却无法找到用户。效劳器于是暂时等候，然后再切断连接。效劳器切断连接时黑客再度传送新一批需要确认的信息，这个过程周而复始最终导致效劳器资源耗尽而瘫痪。2.5 信息平安后果在现代网络信息社会环境下由于存在各种各样的平安威胁，比方病毒、误操作、设备故障和黑客攻击等，从而可能会造成重要数据文件的丧失。平安问题具体的后果包括：l 企业的资料被有意篡改，的页面被丑化或者修改。比方说，在被攻击的首页上贴上谣言、

21、黄色图片或反动言论从而造成法律上和政治上的严重后果。l 破坏计算机的硬件系统，比方说磁盘系统从而造成文件永久丧失。l 使得商业*或技术成果泄露或者被散播。l 平安问题还可能使得效劳被迫停顿，并给客户层带来效劳质量低劣的印象，使得企业形象被破坏，从而造成恶劣影响和难以挽回的损失。2.6 信息平安技术2.6.1 PKI体系公钥密码体制分为三个局部，公钥、私钥、加密解密算法，它的加密解密过程如下：加密：通过加密算法和公钥对内容(或者说明文)进展加密，得到密文。加密过程需要用到公钥。 解密：通过解密算法和私钥对密文进展解密，得到明文。解密过程需要用到解密算法和私钥。注意，由公钥加密的内容，只能由私钥进

22、展解密，也就是说，由公钥加密的内容，如果不知道私钥，是无法解密的。公钥密码体制的公钥和算法都是公开的(这是为什么叫公钥密码体制的原因)，私钥是*的。大家都以使用公钥进展加密，但是只有私钥的持有者才能解密。在实际的使用中，有需要的人会生成一对公钥和私钥，把公钥发布出去给别人使用，自己保存私钥。2.6.1.1 证书认证机构CA认证授权机构CA, Certificate Authority，也称为电子认证中心，是负责发放和管理数字证书的权威机构，并作为网络活动中受信任的第三方，承当公钥体系中公钥的合法性检验的责任。CA中心为每个使用公开密钥的用户发放一个数字证书，数字证书的作用是证明证书中列出的用户

23、合法拥有证书中列出的公开密钥。CA机构的数字签名使得攻击者不能伪造和篡改证书。在SET交易中，CA不仅对持卡人、商户发放证书，还要对获款的银行、网关发放证书。CA是证书的签发机构,它是PKI的核心。CA是负责签发证书、认证证书、管理已颁发证书的机关。它要制定政策和具体步骤来验证、识别用户身份，并对用户证书进展签名，以确保证书持有者的身份和公钥的拥有权。CA 也拥有一个证书内含公钥和私钥。网上的公众用户通过验证 CA 的签字从而信任 CA ，任何人都可以得到 CA 的证书含公钥，用以验证它所签发的证书。如果用户想得到一份属于自己的证书，他应先向 CA 提出申请。在 CA 判明申请者的身份后，便为

24、他分配一个公钥，并且 CA 将该公钥与申请者的身份信息绑在一起，并为之签字后，便形成证书发给申请者。如果一个用户想鉴别另一个证书的真伪，他就用 CA 的公钥对那个证书上的签字进展验证，一旦验证通过，该证书就被认为是有效的。为保证用户之间在网上传递信息的平安性、真实性、可靠性、完整性和不可抵赖性，不仅需要对用户的身份真实性进展验证，也需要有一个具有权威性、公正性、唯一性的机构，负责向电子商务的各个主体颁发并管理符合国内、国际平安电子交易协议标准的电子商务平安证，并负责管理所有参与网上交易的个体所需的数字证书，因此是平安电子交易的核心环节2.6.1.2 数字证书证书实际是由证书签证机关CA签发的对

25、用户的公钥的认证。证书的内容包括：电子签证机关的信息、公钥用户信息、公钥、权威机构的签字和有效期等等。证书的格式和验证方法普遍遵循*.509 国际标准。信息发送者用其私匙对从所传报文中提取出的特征数据或称数字指纹进展RSA算法操作，以保证发信人无法抵赖曾发过该信息即不可抵赖性，同时也确保信息报文在传递过程中未被篡改即完整性。当信息接收者收到报文后，就可以用发送者的公钥对数字签名进展验证。数字证书为实现双方平安通信提供了电子认证。在因特网、公司内部网或外部网中，使用数字证书实现身份识别和电子信息加密。数字证书中含有公钥对所有者的识别信息，通过验证识别信息的真伪实现对证书持有者身份的认证。1. 使

26、用数字证书能做什么?数字证书在用户公钥后附加了用户信息及CA的签名。公钥是密钥对的一局部，另一局部是私钥。公钥公之于众，谁都可以使用。私钥只有自己知道。由公钥加密的信息只能由与之相对应的私钥解密。为确保只有*个人才能阅读自己的信件，发送者要用收件人的公钥加密信件；收件人便可用自己的私钥解密信件。同样，为证实发件人的身份，发送者要用自己的私钥对信件进展签名；收件人可使用发送者的公钥对签名进展验证，以确认发送者的身份。在线交易中您可使用数字证书验证对方身份。用数字证书加密信息，可以确保只有接收者才能解密、阅读原文，信息在传递过程中的*性和完整性。有了数字证书网上平安才得以实现，电子、在线交易和信用

27、卡购物的平安才能得到保证。2.数字证书的类型个人数字证书，主要用于标识数字证书自然人所有人的身份，包含了个人的身份信息及其公钥，如用户*、证件、身份类型等，可用于个人在网上进展合同签定、定单、录入审核、操作权限、支付信息等活动。机构数字证书，主要用于标识数字证书机构所有人的身份，包含机构的相关信息及其公钥，如：企业名称、组织机构代码等，可用于机构在电子商务、电子政务应用中进展合同签定、网上支付、行政审批、网上办公等各类活动。设备数字证书，用于在网络应用中标识网络设备的身份，主要包含了设备的相关信息及其公钥，如：域名、网址等，可用于VPN效劳器、WEB效劳器等各种网络设备在网络通讯中标识和验证设

28、备身份。此外，还有代码签名数字证书，是签发给软件提供者的数字证书，包含了软件提供者的身份信息及其公钥，主要用于证明软件发布者所发行的软件代码来源于一个真实软件发布者，可以有效防止软件代码被篡改。2.6.2 用户身份认证所谓身份认证，就是判断一个用户是否为合法用户的处理过程。最常用的简单身份认证方式是系统通过核对用户输入的用户名和口令，看其是否与系统中存储的该用户的用户名和口令一致，来判断用户身份是否正确。复杂一些的身份认证方式采用一些较复杂的加密算法与协议，需要用户出示更多的信息(如私钥)来证明自己的身份，如Kerberos身份认证系统。身份认证一般与授权控制是相互联系的，授权控制是指一旦用户

29、的身份通过认证以后，确定哪些资源该用户可以访问、可以进展何种方式的访问操作等问题。在一个数字化的工作体系中，应该有一个统一的身份认证系统供各应用系统使用，但授权控制可以由各应用系统自己管理。统一用户管理系统(IDS),实现网上应用系统的用户、角色和组织机构统一化管理，实现各种应用系统间跨域的单点登录和单点退出和统一的身份认证功能，用户登录到一个系统后，再转入到其他应用系统时不需要再次登录，简化了用户的操作，也保证了同一用户在不同的应用系统中身份的一致性。身份认证可分为用户与系统间的认证和系统与系统之间的认证。身份认证必须做到准确无误地将对方识别出来，同时还应该提供双向的认证。目前使用比拟多的是

30、用户与系统间的身份认证，它只需单向进展，只由系统对用户进展身份验证。随着计算机网络化的开展，大量的组织机构涌入国际互联网，以及电子商务与电子政务的大量兴起，系统与系统之间的身份认证也变得越来越重要。身份认证的根本方式可以基于下述一个或几个因素的组合：所知Knowledge：即用户所知道的或所掌握的知识，如口令；所有Possesses：用户所拥有的*个秘密信息，如智能卡中存储的用户个人化参数，访问系统资源时必须要有智能卡；特征Characteristics：用户所具有的生物及动作特征，如指纹、声音、视网膜扫描等。根据在认证中采用的因素的多少，可以分为单因素认证、双因素认证、多因素认证等方法。身份

31、认证系统所采用的方法考虑因素越多，认证的可靠性就越高。2.6.3 认证机制2.6.3.1 基于口令的身份认证机制基于口令的身份认证技术因其简单易用，得到了广泛的使用。但随着网络应用的深入和网络攻击手段的多样化，口令认证技术也不断发生变化，产生了各种各样的新技术。最常采用的身份认证方式是基于静态口令的认证方式，它是最简单、目前应用最普遍的一种身份认证方式。但它是一种单因素的认证，平安性仅依赖于口令，口令一旦泄露，用户即可被冒充；同时易被攻击，采用窥探、字典攻击、穷举尝试、网络数据流窃听、重放攻击等很容易攻破该认证系统。相对静态口令，动态口令也叫一次性口令，它的根本原理是在用户登录过程中，基于用户

32、口令参加不确定因子，对用户口令和不确定因子进展单向散列函数变换，所得的结果作为认证数据提交给认证效劳器。认证效劳器接收到用户的认证数据后，把用户的认证数据和自己用同样的散列算法计算出的数值进展比对，从而实现对用户身份的认证。在认证过程中，用户口令不在网络上传输，不直接用于验证用户的身份。动态口令机制每次都采用不同的不确定因子来生成认证数据，从而每次提交的认证数据都不一样，提高了认证过程的平安性。2.6.3.2 挑战/响应认证机制挑战/响应方式的身份认证机制就是每次认证时认证效劳器端都给客户端发送一个不同的“挑战码，客户端程序收到这个“挑战码，根据客户端和效劳器之间共享的密钥信息，以及效劳器端发

33、送的“挑战码做出相应的“应答。效劳器根据应答的结果确定是否承受客户端的身份声明。从本质上讲，这种机制实际上也是一次性口令的一种。一个典型的认证过程如下列图所示：认证过程为：1) 客户向认证效劳器发出请求，要求进展身份认证；2) 认证效劳器从用户数据库中查询用户是否是合法的用户，假设不是，则不做进一步处理；3) 认证效劳器内部产生一个随机数，作为“挑战码，发送给客户；4) 客户将用户名字和随机数合并，使用单向Hash函数例如MD5算法生成一个字节串作为应答；5) 认证效劳器将应答串与自己的计算结果比拟，假设二者一样，则通过一次认证；否则，认证失败；6) 认证效劳器通知客户认证成功或失败。2.6.

34、3.3 EAP认证机制EAPE*tensible Authentication Protocol扩展认证协议在RFC2248中定义，是一个普遍使用的认证机制，它常被用于无线网络或点到点的连接中。EAP不仅可以用于无线局域网，而且可以用于有线局域网，但它在无线局域网中使用的更频繁。EAP实际是一个认证框架，不是一个特殊的认证机制。EAP提供一些公共的功能，并且允许协商所希望的认证机制。这些机制被称为EAP方法。由于EAP方法除了IETF定义了一局部外，厂商也可以自定义方法，因此EAP具有很强的扩展性。IETF的RFC中定义的方法包括EAP-MD5、EAP-OTP、EAP-GTC、EAP-TLS、

35、EAP-SIM和EAP-AKA等。无线网络中常用的方法包括EAP-TLS、 EAP-SIM、 EAP-AKA、 PEAP、LEAP和EAP-TTLS。目前EAP在802.1*的网络中使用广泛，可扩展的EAP方法可以为接入网络提供一个平安认证机制。2.6.3.4 钥认证机制随着网络应用的普及，对系统外用户进展身份认证的需求不断增加，即*个用户没有在一个系统中注册，但也要求能够对其身份进展认证，尤其是在分布式系统中，这种要求格外突出。这种情况下，公钥认证机制就显示出它独特的优越性。公钥认证机制中每个用户被分配给一对密钥，称之为公钥和私钥，其中私钥由用户保管，而公钥则向所有人公开。用户如果能够向验证

36、方证实自己持有私钥，就证明了自己的身份。当它用作身份认证时，验证方需要用户方对*种信息进展数字签名，即用户方以用户私钥作为加密密钥，对*种信息进展加密，传给验证方，而验证方根据用户方预先提供的公钥作为解密密钥，就可以将用户方的数字签名进展解密，以确认该信息是否是该用户所发，进而认证该用户的身份。公钥认证机制中要验证用户的身份，必须拥有用户的公钥，而用户公钥是否正确，是否是所声称拥有人的真实公钥，在认证体系中是一个关键问题。常用的方法是找一个值得信赖而且独立的第三方认证机构充当认证中心Certificate Authority，CA，来确认声称拥有公开密钥的人的真正身份。要建立平安的公钥认证系统

37、，必须先建立一个稳固、健全的CA体系，尤其是公认的权威机构，即“Root CA，这也是当前公钥根底设施PKI建立的一个重点。2.6.4 认证协议许多协议在向用户或设备授权访问和访问权限之前需要认证校验，通常要用到认证相关的机制，前面讨论了常用的认证机制，本节介绍使用这些认证机制的协议，这些协议包括RADIUS、TACACS、Kerberos、LDAP等。RADIUS和TACACS通常用在拨号环境中，Kerberos是在校园网中用的比拟多的协议。LDAP提供一种轻量级的目录效劳，严格来说不能算作一种认证协议，而对用户进展认证授权只是LDAP的一种应用。2.6.4.1 RADIUS认证协议RADI

38、USRemote Authentication Dial In User Service协议最初是由Livingston公司提出的，目的是为拨号用户进展认证和计费。后来经过屡次改良，形成了一个通用的AAA协议。RADIUS协议认证机制灵活，能够支持各种认证方法对用户进展认证。可以采用上述任何一种认证机制。RADIUS是一种可扩展的协议，它进展的全部工作都是基于属性进展的，由于属性可扩展性，因此很容易支持不同的认证方式。RADIUS协议通过UDP协议进展通信，RADIUS效劳器的1812端口负责认证，1813端口负责计费工作。采用UDP的根本考虑是因为NAS和RADIUS效劳器大多在同一个局域网

39、中，使用UDP更加快捷方便。2.6.4.2 TACACS认证协议TACACSTerminal Access Controller Access Control System最先是由BBN为MILNET开发的一种基于UDP的访问控制协议，一些厂商对协议进展了扩展，最终形成了一种新的AAA协议，其中CISCO公司对TACACS协议屡次进展增强扩展，目前成为TACACS+协议，H3C在TACACSRFC1492根底上进展了功能增强，形成了H3C扩展的TACACS协议。无论TACACS、TACACS+还是H3C扩展TACACS协议，其认证、授权和计费是别离的，并且与原始TACACS协议相比，TACAC

40、S+和HWTACACS可以使用TCP作为传输层协议，端口号为49。TACACS+允许任意长度和内容的认证交换，与RADIUS一样，具有很强的扩展性，并且客户端可以使用任何认证机制。由于TACACS+的认证与其他效劳是分开的，所以认证不是强制的，这点与RADIUS是不同的。2.6.4.3 Kerberos认证协议在一个分布式环境中，采用上述两种认证协议时，如果发生账号改动的情况，每台机器上的都要进展相应的账号修改，工作量非常大。Kerberos是MIT为解决分布式网络认证而设计的可信第三方认证协议。Kerberos基于对称密码技术，网络上的每个实体持有不同的密钥，是否知道该密钥便是身份的证明。网

41、络上的Kerberos效劳起着可信仲裁者的作用，可提供平安的网络认证。Kerberos常见的有两个版本：第4版和第5版，目前使用的标准版本是版本5。Kerberos是一种受托的第三方认证效劳，它是建立在Needham和Schroeder认证协议根底上，它要求信任第三方，即Kerberos认证效劳器AS。AS为客户和效劳器提供证明自己身份的票据以及双方平安通信的会话密钥。Kerberos中还有一个票据授予效劳器TGS，TGS向AS的可靠用户发出票据。除客户第一次获得的初始票据是由Kerberos认证效劳器签发外，其他票据都是由TGS签发的，一个票据可以使用屡次直至期限。客户方请求效劳方提供一个效

42、劳时，不仅要向效劳方发送从票据授予效劳器领来的票据，同时还要自己生成一个鉴别码(Authenticator，Ac)一同发送，该证是一次性的。2.6.4.4 LDAP协议LDAPLightweight Directory Access Protocol是基于*.500标准的，但是比*.500简单，并且可以根据需要定制。与*.500不同，LDAP支持TCP/IP，这对访问Internet是必须的。LDAP是一个目录效劳协议，目前存在众多版本的LDAP，而最常见的则是V2和V3两个版本，它们分别于1995年和1997年首次发布。一般在分布式、跨平台认证的场景下，LDAP比前面介绍的认证协议具有一定优

43、势。LDAP协议严格来说并不属于单纯认证协议，对用户进展授权认证是LDAP协议的一个典型应用。例如Microsoft的Windows操作系统就使用了Active Directory Server来保存操作系统的用户、用户组等信息，用于用户登录Windows时的认证和授权。目录效劳其实也是一种数据库系统，只是这种数据库是一种树形构造，而不是通常使用的关系数据库。目录效劳与关系数据库之间的主要区别在于：二者都允许对存储数据进展访问，只是目录主要用于读取，其查询的效率很高，而关系数据库则是为读写而设计的。所以LDAP协议非常适合数据库相对稳定，而查询速度要求比拟高的认证场合。3 联网视频信息的特点3

44、.1 系统多级架构3.2 网络状况复杂3.3 视频数据量大4 视频系统信息平安分类通常，视频监控系统业务数据和媒体数据采用别离的通道进展操作，其传输通道类型可分为信令流和媒体流。视频流和视频控制信令应以不同的物理通道进展传输，视频控制信令通过信令流传输，视频流通过媒体流传输。视频控制协议是视频监控终端与视频设备(视频管理效劳器/监控平台、DVR、摄像头等设备)间的控制指令集，即建立视频监控图像连接的根本指令集。为保证通信中指令集不包含网络攻击指令、其他非法字符集或嵌入*数据向外泄露。视频传输系统应具备视频协议平安控制功能，对所有视频监控交互指令进展严格平安过滤，阻断非法数据传输和网络攻击的入侵。4.1 信令加密业务数据加密是指每个控制命令或者参数设置命令都必须进展加密处理，采取加密业务信令通道的方法来保证信息的平安性，保证数据鉴别、防篡改、防窥视、鉴别来源、防止非法访问、防伪造。系统对信令进展加密，所有信令都使用加密技术，为了支持加密技术，需增加会话准备操作，进展握手交换标识，以读取密码生成密钥，进而对分组进展加密。4.2 媒体流加密对于视频流的实时加密流程与信令流类似，同样需要进展交换标识，以读取密码生成密钥。5 平安系统的实现5.1 认证中心5.2 视频平安平台5.3 系统评价6 系统建成预期效果7 平安技术展望. z.