CN110519211A - 一种基于设备身份认证的视频监控安全认证采集系统及方法 - Google Patents

Abstract

本发明公开了一种基于设备身份认证的视频监控安全认证采集系统及方法，该系统的视频数据采集端采用固定式加密摄像头与可移动式加密摄像头相结合的方式，固定式加密摄像头和可移动式加密摄像头的相互配合，共同完成整个区域的全局监控，减少监控盲区和细节区域不能被检测到的问题的出现，保证监控的准确性、实时性、完整性和安全性；本发明采用混合设备认证机制即固定式加密摄像头与安全网关之间采用轻量级的单向设备认证，固定式加密摄像头和可移动式加密摄像头之间采用轻量级的双向设备接入认证，采用分簇的思想,将固定式摄像头设备作为簇头，在保证设备接入安全性的同时降低计算开销，减小安全网关的数据处理压力。

Description

一种基于设备身份认证的视频监控安全认证采集系统及方法

技术领域

本发明属于电力系统监控领域，特别涉及一种基于设备身份认证的视频监控安全认证采 集系统及方法。

背景技术

近年来，我国的智能电网发展迅猛，传统电网已逐渐向智能电网转变，然而这种转变使 得电网的整个控制系统由封闭稳定状态变为开放多变状态，黑客攻击和网络病毒等都会对电 网系统产生危害，影响国家关键基础设施的安全。发电厂作为智能电网的重要组成部分，其 监控系统极大提高了发电厂的生产效率和自动化水平，监控系统的安全性直接影响整个智能 电网的建设和发展。如今的发电厂已有统一的视频监控系统，但大多数发电厂的视频监控系 统智能化程度低，监控数据的传输往往采用明文的形式，设备的接入认证方面安全性尚不到 位，很容易出现设备的非法接入和非法替换，视频数据被黑客窃取等安全问题，数据安全无 法得到保障，无法从根本上满足智能电网未来发展的要求。

发明内容

本发明针对发电厂端的视频监控系统智能化程度低和安全性差的问题，提出了一种基于 设备身份认证的视频监控安全认证采集系统及方法。

一种基于设备身份认证的视频监控安全认证采集系统，包括依次相连的加密摄像头模块、 安全网关以及数据存储器；

加密摄像头模块采集数据将采集的数据进行加密后通过安全网关传输至数据存储器；

其中，加密摄像头模块包括固定式加密摄像头和可移动式加密摄像头，所述固定式加密 摄像头固定安装在待监控区域，固定式加密摄像头与安全网关进行有线连接，可移动式加密 摄像头与固定摄像头进行无线连接；

所述固定式加密摄像头与安全网关之间采用单向接入认证，所述固定式加密摄像头与可 移动式加密摄像头之间采用双向接入认证。

可移动式加密摄像头通过固定摄像头接入安全网关；

进一步地，所述安全网关为采用国密SM2数字签名算法的可信设备，用于验证接收到 的加密视频数据的真伪，识别并阻断被攻击者篡改过的视频数据的传输。

进一步地，所述可移动式加密摄像头与固定式加密摄像头之间通过WiFi进行连接和通信， 所述视频内容存储器与安全网关进行有线连接。

所述视频内容存储器与安全网关直接相连，方便后续接入模块对视频数据的访问。

一种基于设备身份认证的视频监控安全认证采集方法，其特征在于，利用上述的基于设 备身份认证的视频监控安全认证采集系统进行数据采集，通过安全网关将采集的数据存储至 数据存储器。

进一步地，所述固定式加密摄像头与安全网关进行单向接入认证过程如下：

步骤Al：固定式加密摄像头根据哈希函数h、随机数R_i、表示自身身份的ID_si以及安全网 关认证固定式加密摄像头所使用的密钥K_i，计算H_si＝h(ID_si)，；

步骤A2：固定式加密摄像头向安全网关申请设备接入并发送自身的身份信息{ID_si，M_si，R_i}；

步骤A3：安全网关收到固定式加密摄像头发送过来的身份信息后，根据固定式加密摄像 头的ID_si查找该设备所使用的加密密钥K_i，然后使用K_i解密M_si得到m_si，将m_si与R_i进行异或 得到的H_si′与接收到的H_si进行对比，若相同，则认证该固定式加密摄像头为合法设备，否则 认证不通过，断开连接。

进一步地，固定式加密摄像头与可移动式加密摄像头之间进行双向接入认证的过程如下：

步骤B1：安全网关记录已成功接入的固定式加密摄像头的身份ID_si，并分发给待认证和 组队的可移动式加密摄像头；同时安全网关会将待认证和组队的可移动式加密摄像头的身份 信息ID发送给已认证成功的固定式加密摄像头；

安全网关预先知道所有可移动式加密摄像头的身份信息；

当固定式加密摄像头和可移动式加密摄像头完成双向认证并进行连接后，固定式加密摄 像头会将该可移动式加密摄像头的ID信息反馈给安全网关，安

全网关在可移动加密摄像头ID信息表相应的ID信息后添加标记信息，表示该可移动加 密摄像头已连接。对于未成功接入的可移动加密摄像头，安全网关会将其ID再次分发给已认 证成功的固定式加密摄像头，着重搜索未接入的可移动加密摄像头。

步骤B2：以身份信息为ID_si的固定式加密摄像头作为簇头设备，向半径为100米圆形区 域范围内的可移动式加密摄像头设备广播组队信息；

步骤B3：半径为100米圆形区域范围内的可移动式加密摄像头接收到组队信息后，向该 固定式加密摄像头发送请求加入设备组的请求信息和身份信息，可移动式加密摄像头的身份 信息为ID_mi；

步骤B4：身份信息为ID_si的固定式加密摄像头接收到请求信息和身份信息，查找ID_mi在 设备信息表里是否存在，若存在则计算ms1＝(ID_si||GID||ID_mi)，采用轻量级的加密算法 XXTEA加密ms1得到密文信息ms2，并利用哈希函数f计算ms3＝f(ms2)，向接收到请求信息 的可移动式加密摄像头发送组队信息{ms2||ms3}；

步骤B5：身份信息为ID_mi的可移动式加密摄像头接收到组队信息后，首先判断 ms3＝f(ms2)是否成立，若成立说明信息未被篡改，接着使用XXTEA解密ms2得到 ms1′＝(ID_si′||GID′||ID_mi′)，判断ID_si′是否存在于已认证的固定式加密摄像头的身份信息表 里，若存在，则验证ID_mi′＝ID_mi是否成立，若成立，则簇头设备在可移动式加密摄像头中验 证通过；

步骤B6：作为簇头设备的固定式加密摄像头验证通过后，身份信息为ID_mi的可移动式加 密摄像头计算ms4＝(ID_mi||GID||ID_si)，采用轻量级的加密算法XXTEA加密ms4得到密文信息 ms5并利用哈希函数f计算ms6＝f(ms5)，向身份信息为ID_si的固定式加密摄像头发送验证信 息{ms5||ms6}；

步骤B7：身份信息为ID_si的固定式加密摄像头加收到验证消息{ms5||ms6}，判断ms6＝f(ms5)是否成立，若成立说明信息未被篡改，接着使用XXTEA解密ms5得到 ms4′＝(ID_si′||GID′||ID_mi′)，判断ID_mi′＝ID_mi与ID_si′＝ID_si是否成立，若成立则该可移动设 备验证通过。

可移动式加密摄像头不是接入的安全网关，它接入的是固定式加密摄像头，固定式加密 摄像头作为一个中介(或簇头)，这样减少安全网关的通信压力。

有益效果

本发明提供了一种基于设备身份认证的视频监控安全认证采集系统及方法，该系统的视 频数据采集端采用固定式加密摄像头与可移动式加密摄像头相结合的方式，固定式加密摄像 头和可移动式加密摄像头的相互配合，共同完成整个区域的全局监控，减少监控盲区和细节 区域不能被检测到的问题的出现，保证监控的准确性、实时性、完整性和安全性；本发明采 用混合设备认证机制即固定式加密摄像头与安全网关之间采用轻量级的单向设备认证，固定 式加密摄像头和可移动式加密摄像头之间采用轻量级的双向设备接入认证，采用分簇的思想， 将固定式摄像头设备作为簇头，在保证设备接入安全性的同时降低计算开销，减小安全网关 的数据处理压力。采用安全网关验证接收到的视频数据并及时阻断被篡改的视频信息的传输， 有效地保证接收的视频数据的真实性，提高视频信息采集过程的安全。

附图说明

图1是本发明的系统框架示意图；

图2是本发明的混合设备接入认证的单向设备接入认证流程图；

图3是本发明的混合设备接入认证的双向设备接入认证流程图。

具体实施方式

下面将结合本发明的附图，对本发明的实施方式中的技术和优势进行完整地描述。

如附图1所示，一种基于设备身份认证的视频监控安全认证采集系统，包括依次相连的 加密摄像头模块、安全网关以及数据存储器；

加密摄像头模块采集数据将采集的数据进行加密后通过安全网关传输至数据存储器；

其中，加密摄像头模块包括固定式加密摄像头和可移动式加密摄像头，所述固定式加密 摄像头固定安装在待监控区域，固定式加密摄像头与安全网关进行有线连接，可移动式加密 摄像头与固定摄像头进行无线连接；

所述固定式加密摄像头与安全网关之间采用单向接入认证，所述固定式加密摄像头与可 移动式加密摄像头之间采用双向接入认证。

可移动式加密摄像头通过固定摄像头接入安全网关；

所述安全网关为采用国密SM2数字签名算法的可信设备，用于验证接收到的加密视频 数据的真伪，识别并阻断被攻击者篡改过的视频数据的传输。

所述可移动式加密摄像头与固定式加密摄像头之间通过WiFi进行连接和通信，所述视频 内容存储器与安全网关进行有线连接。

所述视频内容存储器与安全网关直接相连，方便后续接入模块对视频数据的访问。

固定式的加密摄像头安装在发电厂内一些需要重点监控的位置，保证监控的实时性和安 全性；可移动式加密摄像头有多种形式，比如智能监控机器人等，在事先设定好的活动范围 内负责一些细节区域或者固定式加密摄像头的盲区的监控，保证监控的准确性和完整性。通 过移动式和固定式加密摄像头的协同配合，共同完成整个区域的全局监控。所述加密摄像头 采用网络摄像头与加密芯片相结合的方式，在网络摄像头模块处理完视频数据之后，通过加 密摄像头内部的加密芯片直接对视频监控数据进行加密，加密芯片可选择集成了多种国际主 流的加密算法和国密算法的安全芯片，如TF32A09。所述的固定式加密摄像头和可移动式加 密摄像头在设备接入之初都要向安全网关申请一个独一无二的身份ID，并生成对应的加密密 钥保存至安全网关。

一种基于设备身份认证的视频监控安全认证采集方法，利用上述的基于设备身份认证的 视频监控安全认证采集系统进行数据采集，通过安全网关将采集的数据存储至数据存储器。

如图2所示，固定式加密摄像头与安全网关进行单向接入认证过程如下：

步骤A1：固定式加密摄像头根据哈希函数h、随机数R_i、表示自身身份的ID_si以及安全网 关认证固定式加密摄像头所使用的密钥K_i，计算H_si＝h(ID_si)，

步骤A2：固定式加密摄像头向安全网关申请设备接入并发送自身的身份信息{ID_si，M_si，R_i}；

步骤A3：安全网关收到固定式加密摄像头发送过来的身份信息后，根据固定式加密摄像 头的ID_si查找该设备所使用的加密密钥K_i，然后使用K_i解密M_si得到m_si，将m_si与R_i进行异或 得到的H_si′与接收到的H_si进行对比，若相同，则认证该固定式加密摄像头为合法设备，否则 认证不通过，断开连接。

如图3所示，固定式加密摄像头与可移动式加密摄像头之间进行双向接入认证的过程如 下：

步骤B1：安全网关记录已成功接入的固定式加密摄像头的身份ID_si，并分发给待认证和 组队的可移动式加密摄像头；同时安全网关会将待认证和组队的可移动式加密摄像头的身份 信息ID发送给已认证成功的固定式加密摄像头；

安全网关预先知道了所有可移动式加密摄像头的身份信息；

当固定式加密摄像头和可移动式加密摄像头完成双向认证并进行连接后，固定式加密摄 像头会将该可移动式加密摄像头的ID信息反馈给安全网关，安全网关在可移动加密摄像头ID 信息表相应的ID信息后添加标记信息，表示该可移动加密摄像头已连接。对于未成功接入的 可移动加密摄像头，安全网关会将其ID再次分发给已认证成功的固定式加密摄像头，着重搜 索未接入的可移动加密摄像头。

步骤B2：以身份信息为ID_si的固定式加密摄像头作为簇头设备，向半径为100米圆形区 域范围内的可移动式加密摄像头设备广播组队信息；

步骤B3：半径为100米圆形区域范围内的可移动式加密摄像头接收到组队信息后，向该 固定式加密摄像头发送请求加入设备组的请求信息和身份信息，可移动式加密摄像头的身份 信息为ID_mi；

步骤B4：身份信息为ID_si的固定式加密摄像头接收到请求信息和身份信息，查找ID_mi在 设备信息表里是否存在，若存在则计算ms1＝(ID_si||GID||ID_mi)，采用轻量级的加密算法 XXTEA加密ms1得到密文信息ms2，并利用哈希函数f计算ms3＝f(ms2)，向接收到请求信息 的可移动式加密摄像头发送组队信息{ms2||ms3}；

步骤B5：身份信息为ID_mi的可移动式加密摄像头接收到组队信息后，首先判断 ms3＝f(ms2)是否成立，若成立说明信息未被篡改，接着使用XXTEA解密ms2得到 ms1′＝(ID_si′||GID′||ID_mi′)，判断ID_si′是否存在于已认证的固定式加密摄像头的身份信息表 里，若存在，则验证ID_mi′＝ID_mi是否成立，若成立，则簇头设备在可移动式加密摄像头中验 证通过；

步骤B6：作为簇头设备的固定式加密摄像头验证通过后，身份信息为ID_mi的可移动式加 密摄像头计算ms4＝(ID_mi||GID||ID_si)，采用轻量级的加密算法XXTEA加密ms4得到密文信息 ms5并利用哈希函数f计算ms6＝f(ms5)，向身份信息为ID_si的固定式加密摄像头发送验证信 息{ms5||ms6}；

步骤B7：身份信息为ID_si的固定式加密摄像头加收到验证消息{ms5||ms6}，判断ms6＝f(ms5)是否成立，若成立说明信息未被篡改，接着使用XXTEA解密ms5得到 ms4′＝(ID_si′||GID′||ID_mi′)，判断ID_mi′＝ID_mi与ID_si′＝ID_si是否成立，若成立则该可移动设 备验证通过。

可移动式加密摄像头不是接入的安全网关，它接入的是固定式加密摄像头，固定式加密 摄像头作为一个中介(或簇头)，这样减少安全网关的通信压力。

上述的具体实施方式中的实例为本发明较好的实例，不能以此来限制本发明的权力界定 范围，凡在本发明的系统框架的权力要求之内所作的等同修改替换等，均在本发明的保护范 围内。

Claims (6)

1.一种基于设备身份认证的视频监控安全认证采集系统，其特征在于，包括依次相连的加密摄像头模块、安全网关以及数据存储器；

加密摄像头模块采集数据将采集的数据进行加密后通过安全网关传输至数据存储器；

其中，加密摄像头模块包括固定式加密摄像头和可移动式加密摄像头，所述固定式加密摄像头固定安装在待监控区域，固定式加密摄像头与安全网关进行有线连接，可移动式加密摄像头与固定摄像头进行无线连接；

所述固定式加密摄像头与安全网关之间采用单向接入认证，所述固定式加密摄像头与可移动式加密摄像头之间采用双向接入认证。

2.根据权利要求1所述的系统，其特征在于，所述安全网关为采用国密SM2数字签名算法的可信设备，用于验证接收到的加密视频数据的真伪，识别并阻断被攻击者篡改过的视频数据的传输。

3.根据权利要求1所述的系统，其特征在于，所述可移动式加密摄像头与固定式加密摄像头之间通过WiFi进行连接和通信，所述视频内容存储器与安全网关进行有线连接。

4.一种基于设备身份认证的视频监控安全认证采集方法，其特征在于，利用权利要求1-3任一项所述的基于设备身份认证的视频监控安全认证采集系统进行数据采集，通过安全网关将采集的数据存储至数据存储器。

5.根据权利要求4所述的方法，其特征在于，所述固定式加密摄像头与安全网关进行单向接入认证过程如下：

步骤A1：固定式加密摄像头根据哈希函数h、随机数R_i、表示自身身份的ID_si以及安全网关认证固定式加密摄像头所使用的密钥K_i，计算H_si＝h(ID_si)，M_si＝K_i((H_si)⊕R_i)；

步骤A2：固定式加密摄像头向安全网关申请设备接入并发送自身的身份信息{ID_si,M_si,R_i}；

步骤A3：安全网关收到固定式加密摄像头发送过来的身份信息后，根据固定式加密摄像头的ID_si查找该设备所使用的加密密钥K_i，然后使用K_i解密M_si得到m_si，将m_si与R_i进行异或得到的H_si′与接收到的H_si进行对比，若相同，则认证该固定式加密摄像头为合法设备，否则认证不通过，断开连接。

6.根据权利要求5所述的系统，其特征在于，固定式加密摄像头与可移动式加密摄像头之间进行双向接入认证的过程如下：

步骤B1：安全网关记录已成功接入的固定式加密摄像头的身份ID_si，并分发给待认证和组队的可移动式加密摄像头；同时安全网关会将待认证和组队的可移动式加密摄像头的身份信息ID发送给已认证成功的固定式加密摄像头；

步骤B2：以身份信息为ID_si的固定式加密摄像头作为簇头设备，向半径为100米圆形区域范围内的可移动式加密摄像头设备广播组队信息；

步骤B3：半径为100米圆形区域范围内的可移动式加密摄像头接收到组队信息后，向该固定式加密摄像头发送请求加入设备组的请求信息和身份信息，可移动式加密摄像头的身份信息为ID_mi；

步骤B4：身份信息为ID_si的固定式加密摄像头接收到请求信息和身份信息，查找ID_mi在设备信息表里是否存在，若存在则计算ms1＝(ID_si||GID||ID_mi)，采用轻量级的加密算法XXTEA加密ms1得到密文信息ms2，并利用哈希函数f计算ms3＝f(ms2)，向接收到请求信息的可移动式加密摄像头发送组队信息{ms2||ms3}；

步骤B5：身份信息为ID_mi的可移动式加密摄像头接收到组队信息后，首先判断ms3＝f(ms2)是否成立，若成立说明信息未被篡改，接着使用XXTEA解密ms2得到ms1′＝(ID_si′||GID′||ID_mi′)，判断ID_si′是否存在于已认证的固定式加密摄像头的身份信息表里，若存在，则验证ID_mi′＝ID_mi是否成立，若成立，则簇头设备在可移动式加密摄像头中验证通过；

步骤B6：作为簇头设备的固定式加密摄像头验证通过后，身份信息为ID_mi的可移动式加密摄像头计算ms4＝(ID_mi||GID||ID_si)，采用轻量级的加密算法XXTEA加密ms4得到密文信息ms5并利用哈希函数f计算ms6＝f(ms5)，向身份信息为ID_si的固定式加密摄像头发送验证信息{ms5||ms6}；

步骤B7：身份信息为ID_si的固定式加密摄像头加收到验证消息{ms5||ms6}，判断ms6＝f(ms5)是否成立，若成立说明信息未被篡改，接着使用XXTEA解密ms5得到ms4′＝(ID_si′||GID′||ID_mi′)，判断ID_mi′＝ID_mi与ID_si′＝ID_si是否成立，若成立则该可移动设备验证通过。