CN110768973A - 一种基于gb35114标准的信令安全测评系统及方法 - Google Patents

Abstract

本发明公开了一种基于GB35114标准的信令安全测评系统及方法，系统包括：主控管理装置、密码用户管理装置、密钥生成存储装置、密钥备份恢复装置、密钥归档装置、密钥处理装置、密钥审计装置、密钥运算代理装置、密码运算装置、密码存储装置。方法是分析受测项发送的信令消息是否符合GB35114规定的平台间认证、安全设备的单向证书认证、安全设备的双向证书认证消息规范；注册/注销信令的信令流程消息的上联、下联调测。本发明解决了公安安全监控联网建设中没有工具来公平、方便地评估不同厂家的系统、设备是否能够符合标准以支持互联共享的难题，解决了相关产品开发厂商没有安全信令调测工具难以开发出符合标准的产品的问题。

Description

一种基于GB35114标准的信令安全测评系统及方法

技术领域

本发明属于公共安防监控技术领域，尤其涉及一种基于GB35114标准的信令安全测评系统及方法。

背景技术

目前，进入数字高清时代，视频监控实现了数字化、网络化之后就出现了网络安全问题。尤其是目前在大规模联网、云计算和人工智能的新技术普及应用的背景下，视频监控系统所面临的安全威胁和手段发生了巨大的变化，目前安全态势严峻。《GB 35114-2017公共安全视频监控联网信息安全技术要求》规定了公共安全领域视频监控联网视频信息以及控制信令信息安全保护的技术要求，为各监控设备及监控系统提供了准侧。数字证书是指CA机构发行的一种电子文档，是一串能够表明网络用户身份信息的数字，提供了一种在计算机网络上验证网络用户身份的方式，数字证书又称为数字标识。数字证书对网络用户在计算机网络交流中的信息和数据以加密或解密的形式保证了信息和数据的完整性和安全性。数字签名使用了公钥加密领域的技术，用于鉴别数字信息。一套数字签名通常定义两种互补的运算，一个用于签名，另一个用于验证。只有信息的发送者才能产生的别人无法伪造的一段数字串，这段数字串也是对信息的发送者发送信息真实性的一个有效证明，在安防领域利用此技术能够防止数据泄密、数据篡改和身份假冒，保证信息的保密性、完整性和真实性。身份认证也称为“身份鉴别”，是指在计算机及计算机网络系统中确认操作者身份的过程，确定用户是否具有对某种资源的访问和使用权限，使计算机和网络系统的访问策略能够可靠、有效地执行，防止攻击者假冒合法用户获得资源的访问权限，保证系统和数据的安全，以及授权访问者的合法利益。在监控系统中，能够利用身份认证技术只允许通过认证的设备接入系统以防止非法用户的入侵，保障系统安全。

目前与本发明接近的技术有GB/T28181《安全防范视频监控联网系统信息传输、交换、控制技术要求》(以下简称GB/T28181)符合性测试技术，其针对GB/T 28181的信令要求规定了测试对象、测试方法和测试内容以确保安全防范视频监控联网系统信息传输即网络视频在安防市场的应用接口标准的将不同厂商生产的网络视频产品能够互联互通。GB/T28181符合性测试技术的工作拓扑图和工作流程图分别如图1和2所示：现有技术的工作步骤为：

1.分别配置测试服务器上的调测工具和受测设备，使其能够通过网络交换机互连互通；将受测设备注册至测试服务器，受测设备可为标准IPC、标准NVR、受测平台、标准解码器，通过测试服务器上的调测工具可观察受测设备是否能够成功在注册或者注销；

2.在调测工具页面中信令消息栏观察受测设备是否能够正常发送心跳消息，保持在线状态；

3.在调测工具页面中分别点击校时、设备目录查询、实时点播、设备遥控、录像的按钮，将控制信令发送至受测设备，在信令栏观测受测设备是否能够正常返回消息，在视频播放页观测视频流是否与控制信令同步；

4.当受测设备对GB/T28181所规定的各项要求和指令均能做出正确操作，则说明受测设备是符合GB/T28181的。

现有信令安全符合性测试工具及技术，存在以下缺点：

1.公共安防监控安全隐患大：未经过标准认证的设备接入公共安防监控系统，视频监控设备暴露严重，极易被不法分子入侵，造成数据泄露，对群众的安全、公安部门及政府的公信力都有极大的影响。

2.公共安全视频联网整合工作困难：现有技术及工具中没有针对GB35114中所规定的信令安全相关的符合性测试工具，使各生产单位、检测机构、建设单位无据可依，自成一家，极易造成市场产品混乱，也会给全国视频安全联网的建设提出带来极大的挑战。

信令安全测评工具技术处于空白：现有技术只存在针对标准SIP协议的符合性测试，支持RF3261或者GB/T28181，对GB35114并不支持，SIP Session Initiation Protocol会话初始协议，是由IETF(Internet Engineering Task Force，因特网工程任务组)制定的多媒体通信协议，它是一个基于文本的应用层控制协议，用于创建、修改和释放一个或多个参与者的会话。SIP协议是一个应用层的信令控制协议，用于创建、修改和释放一个或多个多媒体会话，也能够邀请参与者加入到一个现有的会话。SIP会话使用四个组件：SIP用户代理、SIP注册服务器、SIP代理服务器和SIP重定向服务器。

为了解决现有公安视频监控网络中关于信令安全存在的诸多乱象，GB35114《公共安全视频监控联网信息安全技术要求》的应用迫在眉睫。

发明内容

本发明的目的在于提供一种能够克服上述技术问题的基于GB35114标准的信令安全测评系统及方法，

本发明所述一种基于GB35114标准的信令安全测评系统包括：主控管理装置、密码用户管理装置、密钥生成存储装置、密钥备份恢复装置、密钥归档装置、密钥处理装置、密钥审计装置、密钥运算代理装置、密码运算装置、密钥存储装置；主控管理装置分别与密码用户管理装置、密钥生成存储装置、密钥备份恢复装置、密钥归档装置、密钥处理装置、密钥审计装置、密钥运算代理装置连接；密钥运算代理装置与密码运算装置连接，密钥生成存储装置与密钥存储装置连接。

主控管理装置：用于管理调度并能完成策略配置、密钥分发、查询的生命周期管理密钥管理。

密码用户管理装置：用于完成用户及权限管理并通过对用户的鉴别授权相关操作。

密钥生成存储装置：用于密钥生成并将生成的密钥存储在密钥存储装置中。

密钥备份恢复装置：用于在权限验证通过后实现密钥的异机和异地的备份恢复。

密钥归档装置：用于将过期的密钥根据密码策略实现归档保存。

密钥处理装置：用于对密钥进行处理，处理请求由主控管理装置发送给密码运算装置完成。

密钥审计装置：用于对密钥操作及其内容进行审计并支持审计信息备份且审计信息不能修改和删除。

密钥运算代理装置：用于实现主控管理装置与密钥运算装置的代理交互。

密码运算装置：用于完成密码的加解密、认证计算的核心运算。

密钥存储装置包括安全密码设备物理安全存储装置和密码部件设备外密钥密文存储装置。

本发明所述一种基于GB35114标准的信令安全测评方法的步骤如下：

步骤1，启动安全信令测评系统，检测IC卡是否正常插入以及卡中数据信息是否正确；

步骤2，校验IC卡成功后，启动安全信令测评系统，并进行PCIE密码卡初始化操作，启动完成；

步骤3，利用安全信令测评系统检测受测设备能否对具有安全功能的标准设备的设备基本信息、属性信息进行查看和编辑且添加、修改后信息能够生效；受测设备即受测编码设备。

步骤4，利用安全信令测评系统检测受测设备能否与标准设备进行单向设备身份认证，且认证流程符合GB 35114中的相关规定，验证过程中需要PCIE密码卡提供生成随机数、签名/验签、生成VKEK、对数据进行Base64编码的功能支持；利用安全信令测评系统检测受测设备能否与标准设备进行单向设备身份认证，且认证流程符合GB 35114中的相关规定的检测包括以下步骤：

步骤4.1,，在受测设备发送的Register注册消息中，是否存在Authorization字段，值为Capability，携带参数algorithm、keyversion，参数algorithm的值分为四部分，中间以分号分割，多种算法之间用逗号分隔，keyversion密钥版本号格式是否正确；

步骤4.2，安全信令测评系统利用底层安全芯片生成随机数random1伴随401挑战响应发送至受测设备；

步骤4.3，受测设备调用自身安全接口产生random2，利用以下公式(1)生成签名数据：

sign1＝sign(random2+random1+安全信令测评工具所在服务器ID)……公式(1),

公式(1)中，sign为签名操作，sign1为签名结果；

步骤4.4，受测设备应重新向安全信令测评系统发送Register请求，将Authorization取值为Unidirection，代表此为单向认证，携带random1、random2、serverid、sign1、algorithm字段；

步骤4.5，安全信令测评系统收到请求后，校验消息体格式的正确性，校验签名数据的有效性，校验random1的有效性，校验服务器ID是否与自身相符，利用设备证书校验sign1签名结果的正确性；

步骤4.6，校验成功后说明受测设备身份合法，则可向受测设备发送成功响应200OK消息，携带利用cryptkey参数，cryptkey利用以下公式(2)生成：

cryptkey＝Base64[公钥_受测设备(VKEK)]……公式(2),

公式(2)中，VKEK为视频密钥加密密钥(Video Key Encryption Key)，Base64为GB35114规定的一种编码方式。

步骤5，利用安全信令测评系统检测受测设备能否与标准设备进行双向设备身份认证，且认证流程符合GB 35114中的相关规定，验证过程中生成随机数、签名/验签、生成VKEK、对数据进行Base64编码的功能由PCIE密码卡内部完成；利用安全信令测评系统检测受测设备能否与标准设备进行双向设备身份认证，且认证流程符合GB 35114中的相关规定的检测包括以下步骤：

步骤5.1，在受测设备发送的Register注册消息中，是否存在Authorization字段，值为Capability，携带参数algorithm、keyversion，参数algorithm的值分为四部分，中间以分号分割，多种算法之间用逗号分隔，keyversion密钥版本号格式是否正确；

步骤5.2，安全信令测评系统利用底层安全芯片生成随机数random1伴随401挑战响应发送至受测设备；

步骤5.3，受测设备调用自身安全接口产生random2，利用下面公式(1)生成签名数据：

sign1＝sign(random2+random1+安全信令测评工具所在服务器ID)……公式(1)，

公式(1)中，sign为签名操作，sign1为签名结果；

步骤5.4，受测设备应重新向安全信令测评系统发送Register请求，将Authorization取值为Bidirection，表示为双向认证，携带random1、random2、serverid、sign1、algorithm字段；

步骤5.5，安全信令测评系统收到请求后，校验消息体格式的正确性，校验签名数据的有效性，校验random1的有效性，校验服务器ID是否与自身相符，利用设备证书校验sign1签名结果的正确性；

步骤5.6，校验成功后说明受测设备身份合法，则可向受测设备发送成功响应200OK消息，携带利用cryptkey和sign2，cryptkey和sign2分别利用下面公式(2)、公式(3)生成：

cryptkey＝Base64[公钥_受测设备(VKEK)]……公式(2)，

公式(2)中，VKEK为视频密钥加密密钥(Video Key Encryption Key)，Base64为GB35114规定的一种编码方式。

sign2＝sign(random1+random2+受测设备ID+cryptkey)……公式(3)，

公式(3)中，sign为签名操作，sign2为签名结果；

步骤5.7，受测设备在收到200OK消息后，校验安全信令测评系统签名的有效性；校验random2有效性；校验受测设备ID与自身是否相符；用安全信令测评系统的证书校验sign2签名结果；校验成功，进行正常后续流程；校验失败，发送拒绝服务应答。

步骤6，利用安全信令测评系统检测平台与受测设备、标准设备与受测设备的交互过程中，控制信令的算法和编码规则是否符合标准，控制信令的认证流程和方法规定是否符合GB35114中的规定，验证过程中生成/校验签名结果、Base64编码的功能由PCIE密码卡完成；受测设备既能够发送控制信令也能够接受控制信令，在检测中，要同时检测发送控制信令和校验控制信令的功能，在检测过程中仅区分发送方和接收方，利用安全信令测评系统检测平台与受测设备、标准设备与受测设备的交互过程中，控制信令的算法和编码规则是否符合标准，控制信令的认证流程和方法规定的检测包括以下步骤：

步骤6.1，信令发送方发送请求信令时对相关信息做数字摘要生成nonce字段并携带至消息体中发送至信令接收方；

控制信令认证消息体生成说明：注册成功后，信令发送方与信令接收方进行交互时，采用基于带密钥的杂凑方式保障信令来源安全，对除REGISTER消息以外的消息做带密钥的杂凑，启用Date字段，扩展信令消息头域，在头域中增加Note字段，值为Digest，有两个参数nonce,algorithm，消息格式和nonce的值为：

消息格式：Note:Digest nonce＝""，algorithm＝

nonce＝base64[algorithm[METHOD+From+to+CallID+Date+消息体]]，

其中，METHOD、From、To、Call-ID，Date、消息体分别提取自信令消息中，algorithm为做数字摘要的算法，base64为一种编码模式，nonce为摘要值；

步骤6.2，信令接收方对控制信令中的消息进行验证，比对date与当前时间，当时间之差在有效区间内则提取METHOD、From、To、Call-ID，Date、消息体、nonce、algorithm，使用algorithm算法对METHOD、From、To、Call-ID，Date和消息体做摘要运算，得到结果nonce；

步骤6.3，分别检测受测设备的校时、心跳、设备目录查询、实时点播、设备遥控、录像、历史视频检索、回放及回放控制、报警设备布撤防、报警、报警复位、设备信息查询、设备状态查询、下载、设备远程启动的控制信令消息是否符合GB35114规范。

步骤7：当经过安全信令测评系统检测，安全信令均符合GB35114要求，说明受测设备的安全信令符合GB35114标准。

本发明的优越效果如下：

1.本发明能够分析受测项发送的信令消息是否符合GB35114规定的平台间认证、安全设备的单向证书认证、安全设备的双向证书认证消息规范；包括注册/注销信令的信令流程消息的上联、下联调测。

2.本发明能够验证受测项发送的控制信令是否符合国标规定的完整性要求以及其是否能够解析带认证消息的控制信令，项目包括：校时、心跳、设备目录查询、实时点播、设备遥控、录像、历史视频检索、回放及回放控制、报警设备布撤防、报警、报警复位、设备信息查询、设备状态查询、下载、设备远程启动的信令流程消息的上联、下联调测。

3.本发明能够检验受测项是否能够解析密钥更新的安全信令。

4.本发明具备完善的信令数据测试集，涉及正向用例测试集和负向用例测试集，能够对设备进行完整、全面、准确的测试，并能够帮助受测项快速定位错误点，提高开发效率。

5.本发明解决了公安安全监控联网建设中没有工具来公平、方便地评估不同厂家的系统、设备是否能够符合标准以支持互联共享的难题，同时解决了相关产品开发厂商没有安全信令调测工具难以开发出符合标准的产品的问题，为检测机构、各地公共安全视频监控系统建设单位、设备生产单位和系统厂商的标准符合性测试工作提供了强大的工具支持。

6.采用面向服务的设计架构，以基本的服务组成系统的基础业务，安全信令测评系统以公共安全视频监控联网规范性指导意见为指导，以技术标准、业务应用关键技术研究为基础进行设计开发。

7.本发明依据国标要求校验受测项的安全认证能力，能够分析受测项发送的信令消息是否符合GB35114规定的平台间认证、安全设备的单向证书认证、安全设备的双向证书认证消息规范；其次，能够验证受测项发送的控制信令是否符合国标规定的完整性要求以及其是否能够正确解析带认证消息的控制信令，并检验受测项是否能够解析密钥更新的安全信令；同时，本发明还具备完善的测试数据集保证测评的准确性和全面性。

8.严格依据《GB 35114-2017公共安全视频监控联网信息安全技术要求》所规定的公共安全领域视频监控联网视频信息以及控制信令信息安全保护的技术要求，提供用户友好的标准化测评工具，配合标准的推广，为检测机构、各地公共安全视频监控系统建设单位、设备生产单位和系统厂商的标准符合性测试工作提供工具支持。

附图说明

图1是现有技术GB/T28181标准符合性测试连接拓扑示意图；

图2是现有技术GB/T 28181标准符合性测试工具工作流程示意图；

图3是本发明所述系统的应用结构示意图；

图4是本发明所述系统的硬件结构示意图；

图5是本发明所述方法的工作原理示意图；

图6是本发明所述方法的流程示意图；

图7是本发明所述方法的平台标准化调测示意图；

图8是本发明所述方法的编码设备标准化调测示意图；

图9是本发明所述方法的解码设备标准化调测示意图。

具体实施方式

下面结合附图对本发明的实施方式进行详细描述。如图4所示，本发明所述一种基于GB35114标准的信令安全测评系统包括：主控管理装置、密码用户管理装置、密钥生成存储装置、密钥备份恢复装置、密钥归档装置、密钥处理装置、密钥审计装置、密钥运算代理装置、密码运算装置、密钥存储装置；主控管理装置分别与密码用户管理装置、密钥生成存储装置、密钥备份恢复装置、密钥归档装置、密钥处理装置、密钥审计装置、密钥运算代理装置连接；密钥运算代理装置与密码运算装置连接，密钥生成存储装置与密钥存储装置连接。

主控管理装置：用于管理调度并能完成策略配置、密钥分发、查询的生命周期管理密钥管理。

密码用户管理装置：用于完成用户及权限管理并通过对用户的鉴别授权相关操作。

密钥生成存储装置：用于密钥生成并将生成的密钥存储在密钥存储装置中。

密钥备份恢复装置：用于在权限验证通过后实现密钥的异机和异地的备份恢复。

密钥归档装置：用于将过期的密钥根据密码策略实现归档保存。

密钥处理装置：用于对密钥进行处理，处理请求由主控管理装置发送给密码运算装置完成。

密钥审计装置：用于对密钥操作及其内容进行审计并支持审计信息备份且审计信息不能修改和删除。

密钥运算代理装置：用于实现主控管理装置与密钥运算装置的代理交互。

密码运算装置：用于完成密码的加解密、认证计算的核心运算。

密钥存储装置包括安全密码设备物理安全存储装置和密码部件设备外密钥密文存储装置。

本发明的待测对象包括NVR、IPC、DVR和视频监控平台，待测对象不同，测试流程有差异，下面以受测编码设备(即受测设备)标准化调测模式为例详细介绍测评工具的技术实现，如图5-9所示，测评工具作为待调测系统上级平台的调测称为上联调测；测评工具作为待调测系统下级平台的调测称为下联调测，设备在调测时注册在调测软件下，均为上联调测。平台标准化调测的功能接口包括注册/注销、校时、心跳、设备目录查询、实时点播、设备遥控、录像、历史视频检索、回放及回放控制、报警设备布撤防、报警、报警复位、设备信息查询、设备状态查询、下载、设备远程启动的信令流程消息的上联、下联调测。编码设备标准化调测的功能接口包括注册/注销、校时、心跳、设备目录查询、实时点播、设备遥控、录像、历史视频检索、回放及回放控制、报警设备布撤防、报警、报警复位、设备信息查询、设备状态查询、下载、设备远程启动的信令流程消息的上联调测；解码设备标准化调测的功能接口包括注册/注销、校时、心跳、设备目录查询、实时点播、设备信息查询、设备状态查询、设备远程启动的信令流程消息的上联调测。

本发明的待测对象包括编码设备、解码设备和视频监控平台，待测对象不同，技术方案相同，下面以平台标准化调测模式为例详细介绍测评工具的技术实现方案，在平台标准化调测模式中，根据平台的部署位置不同为上联调测过程和下联调测过程，本发明在视频监控平台标准化检测中的步骤为：

步骤1，上联调测：

步骤1.1，上联注册流程，即管理平台间认证待调测平台进行上联调测时，先调测上联注册功能，根据预先配置的调测工具的地址、信令认证时效性的参数，向调测工具发起注册过程，待测平台下线时，向调测工具发送注销消息；

步骤1.2，上联MANSCDP消息流程，MANSCDP(Monitoring and Alarming NetworkSystem Control Description Protocol),即监控报警联网系统控制描述协议；

待调测平台进行上联调测时，调测工具向待调测平台发送目录查询、设备信息查询、设备配置查询、预置位查询的MANSCDP消息请求，待调测平台应向调测工具回复目录查询响应、设备信息查询响应、设备配置响应、预置位查询响应，向设备发送单响应请求消息，包括设备配置、PTZ控制、强制关键帧控制的控制消息；

步骤1.3，上联实时点播回放下载流程：

步骤1.3.1，上联A级视频点播回放下载，待调测平台进行上联调测时，调测工具向待调测平台发送实时点播回放下载请求，待调测设备向调测工具回复200OK响应，收到200OK响应后向待调测平台发送ACK请求并通知播放页面插件开始接收媒体流，待调测平台收到ACK请求后开始发送媒体流，结束点播回放下载时，调测工具向待调测平台发送BYE请求，待调测平台收到BYE消息后回复200OK响应并停止发送媒体流；

步骤1.3.2，上联B级签名视频点播回放下载，待调测平台进行上联调测时，调测工具向待调测平台发送实时点播回放下载请求，待调测设备应向调测工具回复200OK响应，收到200OK响应后向待调测平台/设备发送ACK请求并通知播放页面插件开始接收媒体流，待调测平台/设备收到ACK请求后开始发送签名后的媒体流，调测工具能对签名视频流进行解码播放，结束点播回放下载时，调测工具向待调测平台发送BYE请求，待调测平台收到BYE消息后回复200OK响应并停止发送媒体流；

步骤1.3.3，上联B级离线视频验签，待调测平台进行上联调测时，调测工具向待调测平台发送实时视频点播、历史视频回放后，通过Wireshark抓包分析工具导出视频文件；历史视频下载，链路建成后设备发送签名流；

步骤1.3.4，上联C级加密视频点播，待调测平台进行上联调测时，调测工具向待调测平台发送实时点播请求，待调测设备应向调测工具回复200OK响应，测试平台时，SDP消息中需携带公钥证书加密的VKEK以及版本号信息，收到200OK响应后向待调测平台发送ACK请求并通知播放页面插件开始接收媒体流，同时导入VKEK到客户端，待调测平台收到ACK请求后开始发送加密的媒体流，调测工具用加密后的VKEK解密视频密钥并对视频密钥进行解码播放，调测工具结束点播时，调测工具向待调测平台发送BYE请求，待调测平台收到BYE消息后回复200OK响应并停止发送媒体流；

步骤1.4，生成测试报告流程，测试过程记录请求响应消息以及认证结果，并保存到本地文件，通过查看测试过程中记录的请求响应以及认证结果，手动填写检测结果，并生成测试报告保存到本地文件。

步骤2，下联调测；

步骤2.1，下联注册流程，待调测平台进行下联调测时，调测下联注册功能，在调测工具页面上选择注册/注销消息并发送，向待调测平台发起注册过程；

步骤2.2，下联MANSCDP消息流程，待调测平台进行下联调测时，待调测平台向调测工具发送目录查询、设备信息查询、设备配置查询、预置位查询的MANSCDP消息请求，调测工具向待测平台回复目录查询响应、设备信息查询响应、设备配置响应、预置位查询响应，测试平台向测试工具发送单响应请求消息包括设备配置、PTZ控制、强制关键帧控制的控制消息；

步骤2.3，下联实时点播流程，待调测平台进行下联调测时，待调测平台向调测工具发送实时点播请求，调测工具向待调测设备回复200OK响应，待调测平台收到200OK响应后向调测工具发送ACK请求，调测工具收到ACK请求后开始发送媒体流，结束点播时，待调测平台向调测工具发送BYE请求，调测工具收到BYE消息后回复200OK响应并停止发送媒体流；

步骤2.4，生成测试报告流程，测试过程记录请求响应消息以及认证结果，并保存到本地文件，通过查看测试过程中记录的请求响应以及认证结果，手动填写检测结果，并生成测试报告保存到本地文件，生成测试报告流程图如图8所示。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明公开的范围内，能够轻易想到的变化或替换，都应涵盖在本发明权利要求的保护范围内。

Claims (5)

1.一种基于GB35114标准的信令安全测评系统，其特征在于，包括：主控管理装置、密码用户管理装置、密钥生成存储装置、密钥备份恢复装置、密钥归档装置、密钥处理装置、密钥审计装置、密钥运算代理装置、密码运算装置、密钥存储装置；主控管理装置分别与密码用户管理装置、密钥生成存储装置、密钥备份恢复装置、密钥归档装置、密钥处理装置、密钥审计装置、密钥运算代理装置连接；密钥运算代理装置与密码运算装置连接，密钥生成存储装置与密钥存储装置连接。

2.一种基于GB35114标准的信令安全测评方法，其特征在于，包括以下步骤：

步骤1，启动安全信令测评系统，检测IC卡是否正常插入以及卡中数据信息是否正确；

步骤2，校验IC卡成功后，启动安全信令测评系统，并进行PCIE密码卡初始化操作，启动完成；

步骤3，利用安全信令测评系统检测受测设备能否对具有安全功能的标准设备的设备基本信息、属性信息进行查看和编辑且添加、修改后信息能够生效；受测设备即受测编码设备；

步骤4，利用安全信令测评系统检测受测设备能否与标准设备进行单向设备身份认证，且认证流程符合GB 35114中的相关规定，验证过程中需要PCIE密码卡提供生成随机数、签名/验签、生成VKEK、对数据进行Base64编码的功能支持；利用安全信令测评系统检测受测设备能否与标准设备进行单向设备身份认证；

步骤5，利用安全信令测评系统检测受测设备能否与标准设备进行双向设备身份认证，且认证流程符合GB 35114中的相关规定，验证过程中生成随机数、签名/验签、生成VKEK、对数据进行Base64编码的功能由PCIE密码卡内部完成；利用安全信令测评系统检测受测设备能否与标准设备进行双向设备身份认证；

步骤6，利用安全信令测评系统检测平台与受测设备、标准设备与受测设备的交互过程中，控制信令的算法和编码规则是否符合标准，控制信令的认证流程和方法规定是否符合GB 35114中的规定，验证过程中生成/校验签名结果、Base64编码的功能由PCIE密码卡完成；

受测设备既能够发送控制信令也能够接受控制信令，在检测中，要同时检测发送控制信令和校验控制信令的功能，在检测过程中仅区分发送方和接收方，利用安全信令测评系统检测平台与受测设备、标准设备与受测设备的交互过程中，控制信令的算法和编码规则是否符合标准；

步骤7，当经过安全信令测评系统检测，安全信令均符合GB35114要求，说明受测设备的安全信令符合GB35114标准。

3.根据权利要求2所述的一种基于GB35114标准的信令安全测评方法，其特征在于，所述步骤4中，认证流程符合GB 35114中的相关规定的检测包括以下步骤：

步骤4.1,，在受测设备发送的Register注册消息中，是否存在Authorization字段，值为Capability，携带参数algorithm、keyversion，参数algorithm的值分为四部分，中间以分号分割，多种算法之间用逗号分隔，keyversion密钥版本号格式是否正确；

步骤4.2，安全信令测评系统利用底层安全芯片生成随机数random1伴随401挑战响应发送至受测设备；

步骤4.3，受测设备调用自身安全接口产生random2，利用以下公式(1)生成签名数据：

sign1＝sign(random2+random1+安全信令测评工具所在服务器ID)……公式(1)

其中，sign为签名操作，sign1为签名结果；

步骤4.4，受测设备应重新向安全信令测评系统发送Register请求，将Authorization取值为Unidirection，代表此为单向认证，携带random1、random2、serverid、sign1、algorithm字段；

步骤4.5，安全信令测评系统收到请求后，校验消息体格式的正确性，校验签名数据的有效性，校验random1的有效性，校验服务器ID是否与自身相符，利用设备证书校验sign1签名结果的正确性；

步骤4.6，校验成功后说明受测设备身份合法，则可向受测设备发送成功响应200OK消息，携带利用cryptkey参数，cryptkey利用以下公式(2)生成：

cryptkey＝Base64[公钥_受测设备(VKEK)]……公式(2)

其中，VKEK为视频密钥加密密钥(Video Key Encryption Key)，Base64为GB35114规定的一种编码方式。

4.根据权利要求2所述的一种基于GB35114标准的信令安全测评方法，其特征在于，所述步骤5中，认证流程符合GB 35114中的相关规定的检测包括以下步骤：

步骤5.1，在受测设备发送的Register注册消息中，是否存在Authorization字段，值为Capability，携带参数algorithm、keyversion，参数algorithm的值分为四部分，中间以分号分割，多种算法之间用逗号分隔，keyversion密钥版本号格式是否正确；

步骤5.2，安全信令测评系统利用底层安全芯片生成随机数random1伴随401挑战响应发送至受测设备；

步骤5.3，受测设备调用自身安全接口产生random2，利用下面公式(1)生成签名数据：

sign1＝sign(random2+random1+安全信令测评工具所在服务器ID)……公式(1)

其中，sign为签名操作，sign1为签名结果；

步骤5.4，受测设备应重新向安全信令测评系统发送Register请求，将Authorization取值为Bidirection，表示为双向认证，携带random1、random2、serverid、sign1、algorithm字段；

步骤5.5，安全信令测评系统收到请求后，校验消息体格式的正确性，校验签名数据的有效性，校验random1的有效性，校验服务器ID是否与自身相符，利用设备证书校验sign1签名结果的正确性；

步骤5.6，校验成功后说明受测设备身份合法，则可向受测设备发送成功响应200OK消息，携带利用cryptkey和sign2，cryptkey和sign2分别利用下面公式(2)、公式(3)生成：

cryptkey＝Base64[公钥_受测设备(VKEK)]……公式(2)

其中，VKEK为视频密钥加密密钥(Video Key Encryption Key)，Base64为GB35114规定的一种编码方式，

sign2＝sign(random1+random2+受测设备ID+cryptkey)……公式(3)

其中，sign为签名操作，sign2为签名结果；

步骤5.7，受测设备在收到200OK消息后，校验安全信令测评系统签名的有效性；校验random2有效性；校验受测设备ID与自身是否相符；用安全信令测评系统的证书校验sign2签名结果；校验成功，进行正常后续流程；校验失败，发送拒绝服务应答。

5.根据权利要求2所述的一种基于GB35114标准的信令安全测评方法，其特征在于，所述步骤6中，控制信令的认证流程和方法规定的检测包括以下步骤：

步骤6.1，信令发送方发送请求信令时对相关信息做数字摘要生成nonce字段并携带至消息体中发送至信令接收方；

控制信令认证消息体生成说明：注册成功后，信令发送方与信令接收方进行交互时，采用基于带密钥的杂凑方式保障信令来源安全，对除REGISTER消息以外的消息做带密钥的杂凑，启用Date字段，扩展信令消息头域，在头域中增加Note字段，值为Digest，有两个参数nonce,algorithm，消息格式和nonce的值为：

消息格式：Note:Digest nonce＝""，algorithm＝nonce＝base64[algorithm[METHOD+From+to+CallID+Date+消息体]],

其中，METHOD、From、To、Call-ID，Date、消息体分别提取自信令消息中，algorithm为做数字摘要的算法，base64为一种编码模式，nonce为摘要值；

步骤6.2，信令接收方对控制信令中的消息进行验证，比对date与当前时间，当时间之差在有效区间内则提取METHOD、From、To、Call-ID，Date、消息体、nonce、algorithm，使用algorithm算法对METHOD、From、To、Call-ID，Date和消息体做摘要运算，得到结果nonce；

步骤6.3，分别检测受测设备的校时、心跳、设备目录查询、实时点播、设备遥控、录像、历史视频检索、回放及回放控制、报警设备布撤防、报警、报警复位、设备信息查询、设备状态查询、下载、设备远程启动的控制信令消息是否符合GB35114规范。

Images