CN101094394A - 一种保证视频数据安全传输的方法及视频监控系统 - Google Patents

Abstract

本发明涉及一种视频监控系统中数据安全传输的方法，以及一种视频监控系统。通过建立注册服务器和AAA认证中心的方式，采用统一的认证方式，对接入视频监控系统的各个实体进行安全有效认证。其次保证视频数据的保密传输，实现独立于视频编解码的保密传输的方法。实现加密数据和密钥的分别传输，并采用层次化注册服务器配置形式完成加密密钥的分发和动态更新。适用于网络视频监控系统的视频数据安全传输。

Description

一种保证视频数据安全传输的方法及视频监控系统

技术领域

本发明涉及监控技术和多媒体通信领域，尤其涉及一种视频监控系统中数据安全传输的方法，以及一种视频监控系统。

背景技术

随着社会信息化程度的不断提高，社会各行各业需要实施远程视频监控的范围大大增加，对远程视频监控系统的要求也日益增高。视频监控经历了模拟图像监控、基于PC的数字化视频监控和网络视频监控等阶段。网络视频监控系统实现对大量视频数据实时和无地域性阻碍的传输，从而达到资源共享，为各级管理人员和决策者提供方便、快捷、有效的服务。

网络视频监控系统主要由视频监控前端、视频监控客户端和视频服务器等构成，如图1。传统的网络视频监控系统采用视频监控服务器为核心集中式的组网方式，视频监控服务器负责向客户端转发从监控前端获得的音视频流和控制信令，视频录像的存储也都是放在视频服务器中。这种C/S结构的组网方式的缺点是过度依赖于视频监控服务器，对视频监控服务器的性能和可靠性要求高，服务器成为整个系统的瓶颈。为了克服这些缺点，采用对等式P2P(Peerto Peer)的方式，音视频信息流可以不经过视频服务器，在视频监控前端和视频监控客户端之间借助对等网络P2P技术进行交互。这种方式减少对服务器的依赖，降低对服务器的可靠性要求。同时由于真正实现视频录像的分布存储、视频分析的分布协作，因此可以大大节省服务器资源和网络带宽资源。但是由于视频数据从监控前端直接传输到视频监控客户端，需要保证网络中传输的视频数据不能被窃听、未被篡改、没有被仿造。随着对保密性和安全性要求的提高，因此如何保证视频监控数据的安全保密传输成为视频监控的一个重要问题。

网络数字监控系统实现跨区域、全球范围内的统一监控、统一存储、统一管理、资源共享。目前视频监控前端主要由各种专用摄像机及报警器等构成。由于各个生产厂家的不同，视频监控前端的编码方式不统一，由最初的MPEG-1、MPEG-2发展到现在的MPEG-4、H.264等等。另外视频监控系统存在认证不统一的问题，主要表现在视频监控客户端的用户认证采用不同的技术，用户需要安装大量的客户端工具，才能完成各种前端产品的认证。要保证网络视频监控的安全，一是要保证接入安全，需要对接入视频监控系统的客户和监控前端进行安全认证；二是保证视频数据的保密传输，建立独立于视频编解码的保密传输的方法。

视频监控系统中，当终端用户需要访问视频监控前端时，首先通过网络接入设备的接入认证，即注册到服务器中，在此过程中会确认用户身份，保证只有合法用户才能接入系统；其后根据用户被授予的权限，确定用户是否具有这种访问权限，保证只有合法授权的用户才能获得这种访问能力；在用户使用网络资源的过程中，系统还会把用户使用资源的各种原始信息保存起来，实时或事后计算用户的网络资源使用费用。在实际环境中，视频监控服务常常由多服务商共同提供，此时监控设备管理权并不统一，我们需要从用户的角度考虑系统的可扩展性，为用户提供访问不同服务提供商的监控设备的能力。

仅仅通过权限控制不能够保证实现视频数据的安全，这是因为多媒体数据本身没有被加密，因此需要对视频数据进行加密传输。由于视频监控前端的编码方式不统一，而视频数据具有数据量大、冗余度高、实时性要求高等特点，压缩后的视频数据要求具有数据位置索引、编码率可控等功能。因此在考虑加密方案时，首先要求计算简捷，处理速度高。其次要求加解密前后的数据量保持不变，即压缩率不变性。最后保证加解密前后的视频数据的格式信息保持不变，即数据格式不变性。目前视频加密算法主要有三类：一是直接加密算法，这类算法将视频数据当作普通二进制数据，使用传统的密码算法如DES、IDEA、RSA等来加密。这些方法利用了传统密码的高强度的优点，来满足高安全性要求。二是选择性加密算法，只加密实际数据，要求与视频数据的格式相结合，并且可以根据安全性水平要求的不同，选择加密不同的敏感数据，从而可以满足不同的需要。这类加密方法一般速度很快，能够满足实时性要求。三是具有压缩编码功能的加密算法，这类算法通常是将编码过程和加密过程相结合，使得二者同时进行。

目前，常见的密码体制主要分为两大类：私用密钥体制和公开密钥体制。私用密钥体制又称对称密钥体制，这种加密技术的特点是数学运算量小，加密速度快，易于处理，但密钥的分发和管理比较困难，一旦密钥泄露，那么以后的秘密通信也就难以保证了。公开密钥体制也称非对称密钥体制，公开密钥体制最大的优点就是不需要对密钥通信进行保密；公开密钥体制的缺陷在于其加密和解密的运算时间比较长，这在一定程度上限制了它的应用范围。由此可见，根据应用的需要，研究适当的加密方法并进行有效地密钥分发与管理是加密传输中的重要问题。

发明内容：

本发明的目的在于提供一种视频监控系统中数据安全传输的方法，针对视频加密传输的问题，建立合理有效的视频数据加密方法体系，保证视频数据安全、实时性传输。

本发明的另一目的在于针对视频监控系统存在认证不统一的问题，基于标准协议，采用统一的认证、授权和计费服务，提供统一的会话建立过程，统一的能力描述。

本发明还针对密钥分发问题，提出层次化的密钥分发的方法，并进行动态密钥更新。

本发明还提供了一种实现上述方法的视频监控系统。

本发明的保证视频数据安全传输的方法，其步骤包括：

1.注册服务器注册视频监控前端和视频监控客户端，允许其接入视频监控系统；

2.对视频监控前端发出的视频数据进行加密，并产生密钥；

3.加密的视频数据直接发送至视频监控客户端；

4.密钥通过注册服务器发送至视频监控客户端；

5.视频监控客户端通过密钥对视频数据进行解密，得到解密后的视频数据。

设置监控前端代理模块，该代理模块提供对前端的统一接口；由代理模块对视频监控客户端的视频数据进行加密，并发送至客户端。

视频监控前端注册的过程为：视频监控前端通过代理模块向注册服务器申请注册，注册服务器将视频监控前端的注册信息转发至AAA中心进行认证，认证成功后，注册服务器注册该视频监控前端，允许其接入视频监控系统；视频监控客户端注册的过程为：视频监控客户端向注册服务器申请注册，注册服务器将视频监控客户端的注册信息转发至AAA中心进行认证，认证成功后，注册服务器注册该视频监控客户端，允许其接入视频监控系统。

所述视频监控前端发送的视频数据为压缩编码的视频码流；视频监控客户端对收到的视频数据解密后得到原始的视频码流，再进行解码，得到视频图像。

本发明通过对称直接加密算法对前端发出的视频数据进行加密。

监控代理模块定期产生密钥，并为每个密钥赋予唯一的序列号，序列号和密钥一起通过注册服务器发送到客户端；加密的视频数据加入所用密钥的序列号，由监控代理模块发送至客户端；客户端通过序列号取出密钥，对视频数据进行解密。

所述视频数据以视频数据包为单位，按照分组进行加密，每一加密单位均有各自的密钥。

所述注册服务器包括若干层注册服务器，其顶层为中心服务器，底层为域内注册服务器；上层服务器与下层服务器为树状信任连接；视频监控系统的监控代理服务器和客户端分别处于各个域中，每一域内有一个域内注册服务器；所述密钥通过本域的注册服务器或上层服务器发送至客户端。

本发明的视频监控系统，包括

注册服务器；

与注册服务器网络连接的视频监控前端和客户端；

前端和客户端通过网络连接

加密模块，对前端视频数据进行加密并产生密钥；

加密的视频数据由视频监控前端发送至客户端；

密钥通过注册服务器发送至客户端。

上述系统还包括AAA中心，与注册服务器相连。

上述系统包括前端代理模块，所述加密模块设于该代理模块，代理模块具有面向前端的统一接口；代理模块分别与注册服务器和客户端通过网络连接。

所述注册服务器包括若干层，其顶层为中心注册服务器，底层为域内注册服务器；上层注册服务器与下层注册服务器为树状信任结构；代理模块与客户端均属于某一域，每一域内有一个域内注册服务器。

本发明通过建立注册服务器和AAA认证中心的方式，采用统一的认证方式，实现所有接入实体的安全有效认证。其次通过注册服务器实现加密数据和密钥的分别传输，加密数据在视频监控前端和视频监控客户端采用P2P的方式传输，而密钥通过注册服务器在安全信道上实现密钥的分发。最后注册服务器采用层次化的结构形式，实现加密密钥的动态更新，该方法能有效的避免集中式注册的密钥分发服务器单点失效问题。

附图说明

图1是网络视频监控系统一般结构示意图。

图2是视频监控系统认证模块结构图。

图3是视频加密数据与密钥分离示意图。

图4密钥格式和数据包格式图。

图5是视频数据加密传输过程图。

图6是注册服务器层次构造图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图对本发明进一步详细说明。本发明基于网络视频监控体系，图1是现有的网络视频监控系统一般结构示意图。主要包括视频监控前端、视频监控客户端和视频服务器。视频监控前端可以接入各种生产厂家的不同的摄像机及报警器等，其视频编码方式可能不统一。视频监控客户端可以是任何可联网的信息终端，PC机、手机、PDA、或者笔记本电脑等。视频服务器提供视频用户管理、业务管理等服务。本发明实现网络视频监控系统中各种不同实体的有效统一认证及实现视频数据的安全传输。

为了实现各个实体的统一认证，建立了注册服务器和AAA认证服务器，如图2所示。由于接入的视频监控前端的不同，视频监控前端的编码方式、接口及功能不尽相同，故加入监控代理模块，它提供统一的接口，实现视频监控系统中前端实体的统一接入。当视频监控前端接入系统后，首先要向注册服务器进行注册，注册服务器再转发到认证授权计费AAA(Authentication、Authorization and Accounting)中心来进行认证。如果允许接入系统，AAA中心返回认证成功消息，注册服务器为其进行注册。如果不允许接入系统则返回失败消息，监控前端则不能联入视频监控系统。同样当视频监控客户端要接入视频监控系统时也要进行注册认证，认证成功方可接入视频监控系统。当监控前端和监控客户端都注册成功后，注册服务器为它们提供会话标识，然后它们才能进行视频请求操作。注册服务器可以采用会话初始协议SIP(Session Initiation Protocol)方式实现，会话初始协议SIP是由互联网工程任务组IETF提出的一个应用层信令协议，用来创建、修改以及终止有一个或多个参与者的会话进程，并可在会话中邀请其它参与者加入。AAA认证中心可以采用远程用户拨号认证系统RADIUS，或者Diameter实现，Diameter以Internet协议安全IPSec为基础，能提供良好的安全性保障。

在保证视频监控实体的有效认证后，保证视频监控数据从视频监控前端到视频监控客户端的安全传输的一个重要手段是对视频数据进行加密。由于视频数据具有数据量大、实时性的特点，要求加密算法简单高效；同时由于视频监控前端编码方式等的不统一，要求视频加密独立于视频编码方式、具有通用性。因此本发明视频监控数据采用简单的对称直接加密算法，加密过程采用简单的替代方法进行加密，加密速度快，易于处理。但对称加密算法的密钥的分发是一个重要的问题，密钥的泄漏将致使视频数据的安全性受到威胁。为了解决这个问题，本发明采用注册服务器分发密钥的方式。图3是视频监控加密传输的示意图。前端代理负责视频数据加密并产生密钥，视频监控客户端负责视频数据解密。注册服务器负责密钥的分发，它负责将监控前端产生的密钥通过安全通道传输到视频监控客户端，图中虚线即为密钥安全传输通道。而加密的视频数据的传输采用P2P的方式，即视频数据直接从前端代理传输到视频监控客户端，图中实线是加密视频数据传输通道，它建立在非安全信道上。因此通过这种加密数据和密钥分别传输的方式，既保证了视频数据的实时传输，又保证密钥分发的安全性。

前端代理采用的加密算法独立于视频编码器和解码器的软件或硬件，这样不需修改编码模块或解码模块，具有通用性。经过压缩编码的视频码流经过加密得到仍然符合标准的视频密文码流，密文码流经解密模块恢复成原始的视频码流，然后经过解码器就可以得到正确的视频图像。如果密文码流没有被解密或没有获得正确的解密密钥，经过解码器只能得到加密的视频图像，不能看到原始视频图像。针对监控视频数据实时性要求高的特点，本发明采用简单的分组替换的加密方法，加密和解密过程设计为以实时传输协议RTP(Real-timeTransport Protocol)视频数据包为单位，以分组为单位使用分组密码算法加密。通常分组大小以64bits、128bits、192bits、256bits为单位进行加密。前端代理定期产生密钥，并给每个密钥赋予一个唯一的序列号，然后将密钥和其序列号通过注册服务器传输到视频监控客户端，此传输建立在安全传输通道上。数据包在前端代理进行加密，同时加入本次使用加密密钥的序列号，然后直接发送到视频监控客户端，此传输建立在非安全传输通道上。图4显示了密钥和加密数据包的格式。

因此在监控前端进行加密的具体过程为：1)取系统时钟逆序产生用于加密的密钥K，并且每个密钥赋予唯一序列号，这样保证密钥能定时更新而且防止重复。2)将密钥K通过注册服务器传输到视频监控客户端。3)前端代理利用替代加密算法对数据进行加密，形成密文M。4)在密文M前附加此次加密的密钥序列号。5)将数据密文M传递给视频监控客户端。视频监控客户端解密过程为：1)检查密钥序列号。2)通过密钥序列号，从本地取出通过注册服务器获得的密钥。3)利用该密钥进行解密。图5显示了视频数据的加密和解密的整个过程。

监控代理生成的密钥具有一定的生命期，在一定的时间间隔内重新生成新密钥的过程称为“动态密钥更新”或“密钥重新生成”。密钥生命期设置决定了在特定的时间间隔之后，将强制生成新密钥。动态密钥更新，指在通信过程中，数据流被划分成一个个“数据块”，每一个“数据块”都使用不同的密钥加密，这可以保证万一攻击者中途截取了部分通信数据流和相应的密钥后，也不会危及到所有其余的通信信息的安全。动态密钥更新决定了一次通信中，新密钥产生的频率。根据对安全性要求的不同，动态更新的频率不同。如果使用一个独立的注册服务器进行密钥分发，服务器可能成为攻击者的主要攻击目标，一旦服务器崩溃坏了，则整个系统都停止工作，造成单点失效问题。为了克服这些弱点，本发明采用层次化的注册服务器配置策略，密钥分发通过层次化的模型进行分发和管理。图6是层次化的注册服务器配置示意图。顶层是中心注册服务器，下面是第二层注册服务器，依次类推，最后是底层注册服务器，即域内注册服务器。各个层次的注册服务器之间采用树状信任结构。视频监控系统中的各个实体将被划分到不同的域中，每个域里只有一个注册服务器，本域内的实体可以通过本域注册服务器分发加密密钥，也可以通过本域服务器的上层注册服务器分发密钥。采用本层次模型好处是：首先将不同的实体按照一定的规则划分成不同的域，各域设置自己的本域注册服务器，可以避免采用单一的注册服务器带来的潜在威胁，即使一个域中注册服务器被攻击并不影响其它注册服务器的工作。其次严格层次结构缓解了单个注册服务器密钥分发的压力。第三通过中心注册服务器可以将不同域的密钥分发工作联系起来，并且减少密钥分发次数。最后对于视频监控终端用户是透明，用户可以与本域其它用户通信，也可以通过授权服务器授权访问其它域中的服务。

虽然本发明是通过几个具体实施进行说明的，本领域技术人员应当明白，在不脱离本发明范围的情况下，还可以对本发明进行各种变换及等同替代。因此凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种保证视频数据安全传输的方法，其步骤包括：

1)通过注册服务器注册视频监控前端和视频监控客户端，允许其接入视频监控系统；

2)对视频监控前端发出的视频数据进行加密，并产生密钥；

3)加密的视频数据直接发送至视频监控客户端；

4)密钥通过注册服务器发送至视频监控客户端；

5)视频监控客户端通过收到的密钥对视频数据进行解密，得到解密的视频数据。

2.如权利要求1所述的保证视频数据安全传输的方法，其特征在于设置视频监控前端代理模块，该代理模块提供对前端的统一接口；由代理模块对视频监控客户端的视频数据进行加密，并发送至客户端。

3.如权利要求2所述的保证视频数据安全传输的方法，其特征在于所述视频监控前端的注册过程为：视频监控前端通过代理模块向注册服务器申请注册，注册服务器将视频监控前端的注册信息转发至AAA中心进行认证，认证成功后，注册服务器注册该视频监控前端，允许其接入视频监控系统；所述视频监控客户端的注册过程为：视频监控客户端向注册服务器申请注册，注册服务器将视频监控客户端的注册信息转发至AAA中心进行认证，认证成功后，注册服务器注册该视频监控客户端，允许其接入视频监控系统。

4.如权利要求1或2所述的保证视频数据安全传输的方法，其特征在于所述视频监控前端发送的视频数据为压缩编码的视频码流；视频监控客户端对收到的视频数据解密后得到原始的视频码流，再进行解码，得到视频图像。

5.如权利要求1或2所述的保证视频数据安全传输的方法，其特征在于通过对称直接加密算法对视频监控前端发出的视频数据进行加密。

6.如权利要求2所述的保证视频数据安全传输的方法，其特征在于所述视频监控代理模块定期产生密钥，并为每个密钥赋予唯一的序列号，序列号和密钥一起通过注册服务器发送到客户端；加密的视频数据加入所用密钥的序列号，由监控代理模块发送至客户端；客户端通过序列号取出密钥，对视频数据进行解密。

7.如权利要求6所述的保证视频数据安全传输的方法，其特征在于所述视频数据以视频数据包为单位，按照分组进行加密，每一加密单位均有各自的密钥。

8.如权利要求2所述的保证视频数据安全传输的方法，其特征在于所述注册服务器包括若干层注册服务器，其顶层为中心服务器，底层为域内注册服务器；上层服务器与下层服务器为树状信任连接；视频监控系统的监控代理模块和客户端分别处于各个域中，每一域内有一个域内注册服务器；所述密钥通过本域的注册服务器或上层服务器发送至客户端。

9.一种视频监控系统，包括通过网络连接的视频监控前端和视频监控客户端，其特征在于还包括注册服务器，分别与所述视频监控前端和视频监控客户端通过网络连接；加密模块，对前端视频数据进行加密并产生密钥；加密的视频数据由视频监控前端发送至客户端；密钥通过注册服务器发送至客户端。

10.如权利要求9所述的视频监控系统，其特征在于该系统包括AAA中心，与注册服务器相连。

11.如权利要求9所述的视频监控系统，其特征在于该系统包括视频监控前端代理模块，所述加密模块设于该代理模块，代理模块具有面向前端的统一接口；代理模块分别与注册服务器和客户端通过网络连接。

12.如权利要求9或10或11所述的视频监控系统，其特征在于所述注册服务器包括若干层，其顶层为中心注册服务器，底层为域内注册服务器；上层注册服务器与下层注册服务器为树状信任结构；代理模块与客户端均属于某一域，每一域内有一个域内注册服务器。

Images