[發明專利]一種SIP視頻監控聯網系統的密鑰管理方法及系統

在審

• 申請號: 201410353115.9
• 申請日: 2014-07-23
• 公開（公告）號: CN104113409A
• 公開（公告）日: 2014-10-22
• 發明（設計）人: 孫利民;呂世超;蘆翔;朱紅松;潘磊;周新運
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04N7/18
• 代理公司: 北京輕創知識產權代理有限公司 11212
• 代理人: 楊立

技術領域

本發明涉及視頻監控聯網領域，尤其涉及一種SIP視頻監控聯網系統的密鑰管理方法及系統。

背景技術

近年來，視頻監控系統已經由原來的模擬監控、數字監控逐步發展升級成完全基于IP網絡的視頻監控系統(IPVS)，并且將SIP作為未來市場網絡視頻監控的主流協議已成為業界共識。基于SIP的安全防范視頻監控聯網系統可謂是今后視頻監控領域發展的主流趨勢。但是，由于IP網絡固有的開放式特點、IP網絡和SIP協議本身存在的安全缺陷以及應用系統的網絡安全隱患，使得整個基于IP的視頻監控系統及其設備都面臨著嚴峻的信息安全風險。除了基本的防止攻擊、防止非法入侵、防病毒等要求之外，還需要保證只有合法用戶才可以訪問和使用視頻監控系統提供的服務。為了實現上述要求，網絡視頻監控業務運營管理系統更需要設計完善的安全性機制，從多方面保證系統的安全性。系統和設備需要從網絡接入安全、傳輸和網絡安全以及數據存儲、訪問安全等層次來保證從硬件到軟件、前端到中心、局部到整體進行全方位、全過程、全時段的信息安全防范。

而且，在一些重點、敏感監控區域(例如銀行、金庫)的視頻監控系統中，視頻圖像如果由于缺少信息安全防護而導致被未經授權的訪問、使用、修改和破壞的話，則將會產生極大的損失。例如攻擊者通過IP網絡，輕而易舉地侵入監控設備，發起例如竊取或篡改監控畫面、對攝像機進行非法操控等攻擊，進而達到窺探隱私、威脅用戶、相關管理部門、政府甚至國家公共安全的目的。

為了防止攻擊者竊取、窺視重點監控區域的視頻圖像，可以在傳輸時先對視頻碼流進行加密處理后再發送，然后在查看時先對視頻碼流進行解密后再播放。這樣一來，即使攻擊者竊取到視頻數據，由于沒有正確的解密密鑰，也無法解密視頻圖像，更不能正常播放視頻。

但是，由于視頻數據量較大，而且需要進行實時加密，這對于前端視頻采集設備(即攝像機)中的加密模塊的處理速度要求較高，所以一般情況下，推薦采用處理速度較快的對稱加密算法加密實時的視頻碼流。由于對稱加密算法的加密和解密密鑰是相同的，因此其安全性完全依賴于密鑰的安全，如果密鑰一旦泄露，那也就意味著未經授權者也能對視頻數據進行解密操作。因此，如果在對稱密鑰的協商、生成、分發、存儲環節中的安全不能得到保障的話，那么對于加密視頻數據的安全也就無從談起了。可以說，基于SIP的安全防范視頻監控聯網系統中的密鑰(尤其是視頻加/解密密鑰)協商、分發是一個極為關鍵的環節。

目前，現有市面上的各大視頻監控廠家的產品或系統中所提供的加密方式，一般都是使用(對稱加密算法)AES協處理器來對視頻進行加密處理，但是其加/解密碼流的密鑰都是預置的，并非實時分發的，其系統可擴展性和靈活性極差。

在方案CN?101729854?A中，雖然提出了一種用于SIP視頻監控系統加解密碼流密鑰實時分發方法。但是其方案的安全性完全依賴于SIP服務器這個第三方控制者來實現間接認證，而攝像機、網絡硬盤錄像機、用戶客戶端并沒有進行直接的雙向認證，也就是一旦SIP癱瘓，那么攝像機、網絡硬盤錄像機、用戶客戶端三者之間就無法繼續進行認證操作了，這在系統魯棒性上是一個致命的缺陷。因此，綜上可知，有必要根據SIP視頻監控聯網系統的應用環境和特點，來重新設計密鑰協商、分發、更新機制，以此來解決最為基礎和重要的密鑰安全問題。

發明內容

本發明所要解決的技術問題是針對現有技術的不足，提供一種SIP視頻監控聯網系統的密鑰管理方法及系統。

本發明解決上述技術問題的技術方案如下：一種SIP視頻監控聯網系統的密鑰管理方法，包括如下步驟：

步驟1：各SIP終端、SIP服務器和認證服務器進行三元對等身份認證，實現SIP終端的入網操作，其中所述SIP終端包括視頻采集設備IPC、視頻存儲設備NVR及用戶客戶端Client；

步驟2：SIP終端分別與SIP服務器進行單播密鑰與安全會話協商，各自獲得與SIP服務器之間的共享單播密鑰；

步驟3：SIP服務器利用相應的共享單播密鑰生成需要進行信息交互的IPC、NVR或Client間的點對點身份認證的認證密鑰及視頻加密密鑰，并建立以時間為索引的密鑰庫；

步驟4：SIP服務器利用相應的共享單播密鑰加密步驟2中所述認證密鑰及視頻加密密鑰，將加密的認證密鑰發送給進行交互的SIP終端，將視頻加密密鑰發送給IPC或Client；

步驟5：進行信息交互的兩個SIP終端利用SIP服務器下發的認證密鑰，生成并交換點到點認證令牌實現雙向身份認證；