CN102685117A - 一种组播安全管理方法及装置 - Google Patents

Abstract

本发明提供一种组播安全管理方法，VM接收用户发送的交换机标识以及用户接入该交换机的端口号；VM接收用户的点播请求，根据点播的视频流将对应的组播地址发送给用户；VM在本地生成表项，该表项包括用户信息、接入交换机标识、接入端口号、加入组播IP地址；VM接收交换机发送的鉴权请求，该鉴权请求包括用户信息、接入交换机标识以及接入端口号；VM将鉴权请求中包括的信息和本地对应的表项进行匹配，如果所有信息都匹配，发送合法用户的鉴权响应；如果不是所有信息都匹配，发送非法用户的鉴权响应。本发明同时提供基于同样思想的VM和接入交换机。通过使用本发明提供的方法和装置，可以有效的制止视频监控网络中非法用户对组播数据的非法点播。

Description

一种组播安全管理方法及装置

技术领域

本发明涉及组播管理技术，尤其涉及在视频监控的组网环境下的组播安全管理的技术。

背景技术

随着视音频编解码技术和网络存储技术的发展，将摄像机的图像数据数字化，并在Internet网络上传输、存储形成了数字视频监控技术。

现有的综合数字监控存储管理系统如图1所示，包括：编码器(Encoder，简称EC)、视频管理服务器(Video Management，简称VM)、视频客户端(VideoClient，简称VC)和存储单元(Storage unit)以及相应的软件管理系统及网络传输设备。可以看到，EC数量众多，分布广泛，通常与VM以及VC需要通过网络来传输视频数据，在视频监控系统中，为了节约网络带宽，经常采用组播方式发送实时视频数据，而接收者只需要加入相应的组播组即可接收到视频数据，组播的应用节约了网络的带宽，但是，同时也带来了安全管理问题。

如图2所示的应用环境中，用户A是合法用户，而用户B是非法用户，但如果用户B接入网络后，与用户A在同一个交换机的同一个VLAN下，那么此非法用户B可以通过在自己的网口抓IGMP协议包的方法得到合法用户A正在接收的流量组播IP地址，然后发送对应的组播加入请求报文，进行流量窃听；或者该非法用户B直接通过发送海量的组播加入请求报文，进行组播组的扫描加入，将整网中的组播流都引到其接收端口上进行窃听；甚至直接窃取合法用户A的IP地址，仿冒合法用户A进行加入组播，获取视频监控信息，上述做法均会给视频监控组网带来安全隐患。

发明内容

有鉴于此，本申请提供一种组播安全管理方法，应用于包括有视频管理服务器VM、接入交换机和若干用户的视频监控网络中，所述方法包括：

A接入交换机向与自身连接的用户下发带有交换机标识和用户接入端口号的报文，其中，所述交换机标识以及用户接入端口号经由用户发送至VM以供其保存在本地；

B接入交换机收到用户的组播点播请求报文，将该用户的信息以及交换机标识以及用户接入端口号携带在鉴权请求报文中发送给VM进行鉴权；

C接入交换机收到VM的鉴权响应报文后，根据该鉴权响应报文携带的鉴权结果确定用户是否合法，如果是合法用户，则转发其点播请求报文，如果为非法用户，则禁止转发其点播请求报文。

基于同样的发明思想，本发明还提供一种组播安全管理方法，该方法应用于视频管理服务器，所述视频管理服务器VM接收用户发送的交换机标识以及用户接入该交换机的端口号；VM接收用户的视频点播请求，根据点播的视频流将对应的组播IP地址发送给用户；VM在本地生成用户组播表项，该表项包括用户信息、接入交换机标识、接入端口号、加入组播IP地址；VM接收交换机发送的鉴权请求，该鉴权请求包括用户信息、接入交换机标识、接入端口号、加入组播IP地址，VM将鉴权请求中包括的信息和本地对应的用户组播表项进行匹配，如果所有信息都匹配，发送合法用户的鉴权响应报文；如果不是所有信息都匹配，发送非法用户的鉴权响应报文。

本发明还提供一种接入交换机，应用于包括有VM和若干用户的视频监控网络中，所述交换机包括：

信息下发模块，向与自身连接的用户下发所述接入交换机的标识和用户接入端口号，其中，所述交换机标识以及用户接入端口号经由用户发送至VM供其保存在本地；

发送模块，将点播组播的用户信息携带在鉴权请求报文中发送给VM；

侦听模块，接收用户的组播点播请求报文，获取用户信息，并发送给发送模块；

处理模块，根据收到的VM的鉴权响应报文中的鉴权结果，对接入的用户的组播点播请求报文进行处理：如果是合法用户，转发其点播请求报文，如果是非法用户，禁止转发其点播求报文呢。

本发明还提供一种VM，应用于包括接入交换机和若干用户的视频监控网络中，所述VM包括：

注册模块，接收来自用户的携带有接入交换机识别信息和接入端口号的报文，并通知记录模块记录上述信息；

记录模块，记录合法用户携带的交换机识别信息和接入端口号，记录合法用户点播的组播IP地址；

鉴权模块，根据记录模块记录的用户信息以及合法用户点播的组播IP地址，核对接入交换机发送的鉴权请求报文中的用户信息、接入交换机的识别信息以及接入端口号与上述记录的用户信息是否一致，确认所述用户是否是合法用户，并将鉴权结果携带在鉴权响应报文中发送给所述接入交换机，供其作为是否转发其点播请求报文的判断依据。

本申请通过上述方案，接入交换机上和VM上配合完成合法用户的鉴定和区分，使非法接入网络的用户无法接收到非法点播的组播信息，从而保护了合法用户的权益，维护了视频监控网络中组播数据的安全。

附图说明

图1是现有技术中的视频监控组网图。

图2是本申请的一种实施方式的流程图。

图3是本申请的又一种实施方式的流程图。

图4是本申请的一种实施方式的应用场景图。

图5是本申请的一种接入交换机。

图6是本申请的一种VM。

具体实施方式

以下结合附图描述本发明具体实施方式。

参考图2，步骤201，接入交换机向与自身连接的用户下发带有交换机标识和用户接入端口号的报文，其中所述交换机标识以及用户接入端口号经由用户注册过程保存至视频管理服务器VM。

当用户接入网络时，接入交换机向用户下发携带有接入交换机的标识信息和接入端口号的报文，使用户在向VM发送报文时携带上述信息，这里用户发送的报文可以是用户向VM发送的注册报文，也可以是用户和VM之间定制的私有报文，甚至可以借用用户的业务类报文。其中，接入交换机的标识可以是交换机名称或者是交换机的MAC地址，该信息可以通过用户与交换机之间定制的私有报文完成传递，也可以通过用户与接入交换机之间的其他交互报文中获取。

VM接收来自用户的报文，根据报文中携带接入交换机的唯一标识以及用户接入交换机的接入端口号信息，VM上记录合法用户的相关信息，建立用户信息表，该用户信息表记录了合法用户的IP地址，接入交换机及接入端口号等信息。

步骤202，接入交换机收到用户的加入组播组的请求报文，获取用户的信息，并将该用户信息、交换机标识以及用户接入端口号携带在鉴权请求报文中发送给VM进行鉴权。

在接入交换机上启用管理IP地址，并使能IGSP(Internet GroupManagement Protocol Snooping，互联网组管理协议窥探)。当接入交换机收到用户的组播加入请求报文，请求加入第一组播组时，交换机通过侦听，记录用户的IP地址和请求加入的组播IP地址，随后，接入交换机和VM之间启用私有消息机制，将侦听到用户的源和目的IP地址信息以及用户接入端口号通过鉴权请求报文发送至VM，请求鉴权。

步骤203，接入交换机收到VM的鉴权响应报文后，根据该鉴权响应报文携带的鉴权结果确定用户是否合法，如果是合法用户，则转发其点播请求报文，如果为非法用户，则禁止转发其点播请求报文。

VM查找用户信息表，确认用户是否是合法用户，并将鉴权结果携带在鉴权响应报文中发送给接入交换机。VM接收到接入交换机的鉴权请求报文，通过与本地数据库中保存的合法的用户信息进行比对，可以确认用户为注册用户，且申请的组播组也是合法的，即鉴权请求报文的携带的用户信息与点播的组播IP地址必须同时与VM本地数据库中的信息一致，才可认为是合法用户，否则即使用户为注册用户，但请求的组播IP地址并未显示在数据库的条目中，也会认为是用户是非法用户。

这样，即使非法用户仿冒合法用户，冒用合法用户的IP地址进行流量窃取，但VM记录的合法用户的接入交换机和端口标识均与之不一致，VM仍能够区分出非法用户。

基于同样的发明思想，在本发明的一种实施例中，还提供一种组播安全管理方法，该方法应用于视频管理服务器，所述方法如图4所述，包括：

步骤301，VM接收用户发送的交换机标识以及用户接入该交换机的端口号。

当用户接入网络时，接入交换机上启用所述用户的配置，配置信息包括用户信息以及接入端口号等，接入交换机向用户下发携带有接入交换机的标识信息和接入端口号的报文，使用户在向VM发送的报文中携带上述信息，这里的报文可以是用户向VM发送的注册报文，也可以是用户和VM之间定制的私有报文。其中，接入交换机的标识可以是交换机名称或者是交换机的MAC地址，该信息可以通过用户与交换机之间定制的私有报文完成传递，也可以通过用户与接入交换机之间的其他交互报文中获取。

合法用户注册成功后，向VM请求某个视频源(例如某一摄像头的视频)对应的组播IP地址，VM则可以将用户与其希望加入的组播IP地址对应保存起来，等到用户发送加入请求时，可以对这一信息进行验证以进一步提高安全性，比如用户请求了组播IP地址A，但实际上发送的加入请求却指向组播IP地址B，用户这样的行为可能是非法。

步骤302，VM接收用户请求，并将对应的组播IP地址发送给用户。VM在本地生成用户组播表项，该表项包括用户信息、接入交换机标识、接入端口号以及加入组播IP地址。

接入交换机收到用户的加入组播组的请求报文，获取用户的信息，并将该用户信息、交换机标识以及用户接入端口号携带在鉴权请求报文中发送给VM进行鉴权。

步骤303，VM接收交换机发送的鉴权请求，该鉴权请求包括用户信息、接入交换机标识、接入端口号以及加入组播IP地址。

步骤304，VM将鉴权请求中包括的信息和本地对应的用户组播表项进行匹配，如果所有信息都匹配，发送合法用户的鉴权响应报文；如果不是所有信息都匹配，发送非法用户的鉴权响应报文。

接入交换机收到VM的鉴权响应报文后，根据该鉴权响应报文携带的鉴权结果确定用户是否合法，如果是合法用户，则转发其点播请求报文，如果为非法用户，则禁止转发其点播请求报文。需要说明的是，鉴权请求中携带组播IP地址仅仅是一种较佳的实施方式，VM验证了组播IP地址会进一步提高安全性，然而本发明实现过程中并不一定要携带组播IP地址。

下面以图4的组网图为实例进行说明。

图4所示，合法用户A和非法用户B都通过接入交换机接入网络，合法用户A的源IP地址为192.168.1.1，用户B的IP地址为192.168.1.2，他们希望加入的组播组为224.1.1.1。

步骤401：用户A、B接入网络，接入交换机向用户A和B下发交换机的唯一标识信息和各自的接入端口号，因为用户A为合法用户，所以用户A会向VM注册时携带上述信息。

步骤402：用户A向VM注册，成功后才开始请求加入组播组，VM上保留有用户A的注册信息，建立用户信息表，如表1所示：

表1用户信息表

步骤403：此时假设用户A和B都请求加入该组播组，由于用户A是VM授权的，用户B是非法接入的，用户B并没有通过VM的注册。他们向接入交换机发送组播加入请求报文，请求加入组播组224.1.1.1。

步骤404：接入交换机收启用管理IP地址，例如为192.168.1.254，也启用了IGSP，接入交换机此时收到了用户A和B的IGMP Report报文，请求加入组播组224.1.1.1。

步骤405：通过侦听，接入交换机记录2个用户的IP地址和请求加入的组播IP地址，并将用户的源和目的IP发送至VM，请求鉴权。接入交换机与VM间通过定制的私有消息交互鉴权信息，鉴权请求报文中携带的用户信息如下表2所示：

表2鉴权请求报文中包括的用户信息

步骤407：VM接受到接入交换机的鉴权请求报文，通过解析报文，将其中的用户信息与本地数据库中保存的合法用户信息进行比对，可以发现用户A为已注册的合法用户，且申请的组播组也是合法的，即鉴权请求报文的中的用户信息与点播的组播IP地址与VM本地数据库中的信息一致，可认为用户A是合法用户，否则即使用户A已经通过注册，但请求的组播IP地址并未显示在数据库的条目中，也认为是非法。如前所述，组播IP地址未必需要验证，鉴权请求中可以不携带所述组播IP地址。

步骤408：VM确认用户A是合法用户，用户B是非法用户，此时通知接入交换机相应的情况，接入交换机将组播流转发给用户A，而不转发给用户B。这样就完成了防止非法用户窃听的安全隐患。

鉴于与上述相同的发明思想，本申请的一种实施例中提供一种接入交换机，应用于包括有VM和若干用户的视频监控网络中，如图4所示，包括：

信息下发模块，向与自身连接的用户下发所述接入交换机的标识和用户接入端口号，其中，所述交换机标识以及用户接入端口号经由用户向VM发送报文供其保存在本地；

发送模块，将点播组播的用户信息携带在鉴权请求报文中发送给VM；

侦听模块，接收用户的组播点播请求报文，获取用户信息，并发送给发送模块；

处理模块，根据收到的VM的鉴权响应报文中的鉴权结果，对接入的用户的组播点播请求报文进行处理：如果是合法用户，转发其点播请求报文，如果是非法用户，禁止转发其点播求报文呢。

其中，所述交换机识别信息包括交换机的名称或交换机的MAC地址。

在本发明的一种实施例中，还提供了一种VM，应用于包括接入交换机和若干用户的视频监控网络中，如图5所示，所述VM包括：

注册模块，接收来自用户的携带有接入交换机识别信息和接入端口号的文，并通知记录模块记录上述信息；

记录模块，记录合法用户的注册报文中携带的交换机识别信息和接入端口号，记录合法用户点播的组播IP地址；

鉴权模块，根据记录模块记录的用户信息以及合法用户点播的组播IP地址，核对接入交换机发送的鉴权请求报文中的用户信息、接入交换机的识别信息以及接入端口号与上述记录的用户信息是否一致，确认所述用户是否是合法用户，并将鉴权结果携带在鉴权响应报文中发送给所述接入交换机，供其作为是否转发其点播请求报文的判断依据。

其中，所述VM与所述接入交换机通过私有报文交互信息。

以上所述仅仅为本发明较佳的实现方式，任何基于本发明精神所做出的等同的修改皆应涵盖于本发明的权利要求范围中。

Claims (10)

1.一种组播安全管理方法，应用于包括有视频管理服务器VM、接入交换机和若干用户的视频监控网络中，其特征在于，所述方法包括：

A接入交换机向与自身连接的用户下发带有交换机标识和用户接入端口号的报文，其中，所述交换机标识以及用户接入端口号经由用户发送至VM以供其保存在本地；

B接入交换机收到用户的组播点播请求报文，将该用户的信息以及交换机标识以及用户接入端口号携带在鉴权请求报文中发送给VM进行鉴权；

C接入交换机收到VM的鉴权响应报文后，根据该鉴权响应报文携带的鉴权结果确定用户是否合法，如果是合法用户，则转发其点播请求报文，如果为非法用户，则禁止转发其点播请求报文。

2.根据权利要求1所述的方法，其特征在于，所述交换机标识包括交换机名称或者交换机的MAC地址。

3.根据权利要求1所述的方法，其特征在于，所述鉴权请求报文中进一步携带有用户请求加入的组播IP地址。

4.一种接入交换机，应用于包括有VM和若干用户的视频监控网络中，其特征在于，所述交换机包括：

信息下发模块，向与自身连接的用户下发所述接入交换机的标识和用户接入端口号，其中，所述交换机标识以及用户接入端口号经由用户发送至VM供其保存在本地；

发送模块，将点播组播的用户信息、交换机标识以及用户接入端口携带在鉴权请求报文中发送给VM；

侦听模块，接收用户的组播点播请求报文，获取用户信息并发送给发送模块；

处理模块，根据收到的VM的鉴权响应报文中的鉴权结果，对接入的用户的组播点播请求报文进行处理：如果是合法用户，转发其点播请求报文，如果是非法用户，禁止转发其点播求报文呢。

5.根据权利要求4所述的交换机，其特征在于，所述交换机识别信息包括交换机的名称或交换机的MAC地址。

6.根据权利要求4所述的交换机，其特征在于，所述鉴权请求报文中进一步携带有用户请求加入的组播IP地址。

7.一种VM，应用于包括接入交换机和若干用户的视频监控网络中，其特征在于，所述VM包括：

注册模块，接收来自用户的携带有接入交换机识别信息和接入端口号的报文，并通知记录模块记录上述信息；

记录模块，记录合法用户携带的交换机识别信息和接入端口号；

鉴权模块，组播IP地址核对接入交换机发送的鉴权请求报文中的用户信息、接入交换机的识别信息以及接入端口号与上述记录的是否一致以确认所述用户是否是合法用户，并将鉴权结果携带在鉴权响应报文中发送给所述接入交换机，供其作为是否转发其点播请求报文的判断依据。

8.根据权利要求7所述的VM，其特征在于，其中所述记录模块进一步用于记录合法用户点播的组播IP地址，所述交换机发送的鉴权请求报文中还包括组播IP地址。

9.一种组播安全管理方法，该方法应用于视频管理服务器，其特征在于，所述视频管理服务器VM接收用户发送的交换机标识以及用户接入该交换机的端口号；VM接收用户的视频点播请求，根据点播的视频流将对应的组播IP地址发送给用户；VM在本地生成用户组播表项，该表项包括用户信息、接入交换机标识、接入端口号、加入组播IP地址；VM接收交换机发送的鉴权请求，该鉴权请求包括用户信息、接入交换机标识以及接入端口号VM将鉴权请求中包括的信息和本地对应的用户组播表项进行匹配，如果所有信息都匹配，发送合法用户的鉴权响应报文；如果不是所有信息都匹配，发送非法用户的鉴权响应报文。

10.如权利要求9所述，其中所述鉴权请求中进一步包括用户请求加入的组播IP地址。

Images