[發(fā)明專利]一種SIP視頻監(jiān)控系統(tǒng)安全跨域訪問方法

有效

• 申請(qǐng)?zhí)枺?/td>: 200910260082.2
• 申請(qǐng)日: 2009-12-24
• 公開（公告）號(hào): CN101729871A
• 公開（公告）日: 2010-06-09
• 發(fā)明（設(shè)計(jì)）人: 陳朝武;栗紅梅;張本鋒;崔云紅;王建勇;趙惠芳;李碩;劉峰;王學(xué)華
• 申請(qǐng)（專利權(quán)）人: 公安部第一研究所;北京中盾安全技術(shù)開發(fā)公司
• 主分類號(hào): H04N7/18
• 分類號(hào): H04N7/18;H04L29/06
• 代理公司: 北京中海智圣知識(shí)產(chǎn)權(quán)代理有限公司 11282
• 代理人: 齊曉靜

技術(shù)領(lǐng)域

本發(fā)明涉及一種SIP視頻監(jiān)控系統(tǒng)安全跨域訪問方法，屬于通訊和視頻監(jiān)控技術(shù)領(lǐng)域。

技術(shù)背景

目前，SIP(SIP＝會(huì)話初始化協(xié)議(Session?Initiation?Protocol))視頻監(jiān)控系統(tǒng)跨域訪問的結(jié)構(gòu)如圖1所示，域1的用戶1跨域訪問域2的攝像機(jī)2，跨域訪問所交換的信息包括監(jiān)控的實(shí)時(shí)和歷史視音頻、日志信息、對(duì)前端設(shè)備的配置、控制操作等信息，其中視音頻信息一般都是在SIP信令的控制下，通過建立RTP通道來傳輸。大的文件信息在SIP信令的控制下，通過FTP等協(xié)議傳輸，其它較短的信息直接由SIP信令的消息體攜帶。如果攻擊者掌握了SIP信令就可以隨意的操縱RTP、FTP通道，由此可見SIP信令安全對(duì)跨域訪問安全的重要性。

SIP協(xié)議由于采用文本形式表示消息，易于被攻擊者分析、模仿或修改。此外，SIP協(xié)議基于IP傳輸，所有存在于IP協(xié)議中的安全風(fēng)險(xiǎn)同樣存在于SIP協(xié)議中，因此SIP協(xié)議的安全風(fēng)險(xiǎn)較高。SIP視頻監(jiān)控系統(tǒng)跨域訪問時(shí)所面臨的安全威脅，大致有下列5種：

1)拒絕服務(wù)攻擊(Denial?of?Service；DoS)-拒絕服務(wù)攻擊對(duì)SIP域中的SIP代理服務(wù)器或者網(wǎng)關(guān)，發(fā)動(dòng)未被授權(quán)的數(shù)據(jù)封包炸彈，以停止SIP服務(wù)器的正常運(yùn)作。使得跨域訪問不能進(jìn)行。

2)網(wǎng)絡(luò)竊聽(Eavesdropping)-未經(jīng)授權(quán)地?cái)r截跨域訪問的語音數(shù)據(jù)封包或是RTP的媒體數(shù)據(jù)流，而后將所獲得的數(shù)據(jù)進(jìn)行解碼，竊取信息。

3)封包偽裝(Packet?Spoofing)-攻擊者偽裝成合法的跨域?qū)ο髞韨魉唾Y料。

4)重復(fù)傳遞信息(Replay)-攻擊者裝作是跨域?qū)ο螅粩嘀貜?fù)傳送一個(gè)合法的偽造信息給被叫方，致使被叫方的UA重新處理這個(gè)偽造信息。

5)破壞信息完整性(Message?Integrity)-攻擊者在跨域訪問的信息數(shù)據(jù)中插入具有攻擊性質(zhì)的數(shù)據(jù)，破壞通信雙方傳送信息的完整性。

SIP協(xié)議自身利用消息頭和消息體為多媒體會(huì)話提供點(diǎn)到點(diǎn)或端到端的安全機(jī)制。在圖1中路徑D需要實(shí)現(xiàn)端到端的安全，而在路徑A、B和C要實(shí)現(xiàn)每一跳點(diǎn)到點(diǎn)的安全。路徑A和路徑C的安全屬于SIP域內(nèi)安全機(jī)制范疇，這里不做研究。路徑B的安全由通訊和網(wǎng)絡(luò)層安全來完成，SIP重用了HTTP和SMTP的安全模型。當(dāng)然，信息的完全加密將為信令的機(jī)密性提供最好的保護(hù)，同時(shí)還可以保證信息不會(huì)被惡意中間媒介修改。路徑D的安全可以采用應(yīng)用層的S/MIME協(xié)議來完成。

在通訊和網(wǎng)絡(luò)層安全方面，傳輸層安全(Transport?Layer?Security，TLS)提供的是面向連接的傳輸層安全服務(wù)。它工作于TCP層和應(yīng)用程序之間，通過其提供的TLS套接口可以保證數(shù)據(jù)在傳輸過程中的機(jī)密性。該協(xié)議分為上層的TLS?Handshake協(xié)議和下層的TLS?Record協(xié)議。在SIP網(wǎng)絡(luò)中應(yīng)用TLS可以為需要保障逐跳之間安全通信的主機(jī)提供安全服務(wù)，TLS也可為SIP實(shí)體提供對(duì)鄰近的SIP服務(wù)器的鑒別服務(wù)。

TLS機(jī)制最適合沒有事先定義信任關(guān)系的點(diǎn)到點(diǎn)的結(jié)構(gòu)，例如圖1中SIP服務(wù)器1與SIP服務(wù)器2之間。但對(duì)于TLS來說，在SIP服務(wù)器1和SIP服務(wù)器2之間存在大量的并發(fā)，維持很多并發(fā)TLS長(zhǎng)連接，會(huì)帶來很大的開銷，極大的影響系統(tǒng)的性能。

IPSec是一組網(wǎng)絡(luò)層的協(xié)議工具，為IP層提供安全鑒定和加密服務(wù)。在IPSec執(zhí)行中使用三種協(xié)議來完成它的功能，分別是：封裝安全有效載荷協(xié)議(ESP)，它為IPSec提供機(jī)密性的服務(wù)，包括報(bào)文內(nèi)容的機(jī)密性和通信量的機(jī)密性；鑒別首部協(xié)議(AH)，提供鑒別服務(wù)；因特網(wǎng)密鑰交換協(xié)議(IKE)，用于建立一個(gè)共享密鑰策略，為IPSec提供鑒別密鑰信息。基于SIP的通信網(wǎng)絡(luò)如果采用IPSec進(jìn)行安全保護(hù)，能夠很好地進(jìn)行訪問控制，進(jìn)行無連接的完整性檢查，拒絕重放的分組數(shù)據(jù)包攻擊，保證通信的機(jī)密性。IPSec最適宜部署在那種難于直接在SIP應(yīng)用層上增加安全性的情況。但是IPSec網(wǎng)絡(luò)實(shí)施復(fù)雜，實(shí)現(xiàn)代價(jià)較高，同時(shí)IPSec的使用將會(huì)對(duì)網(wǎng)絡(luò)傳輸?shù)男阅墚a(chǎn)生影響。