一种视频信息加密与视频终端安全认证系统、认证方法及其应用

摘要

本发明公开一种视频信息加密与视频终端安全认证系统、认证方法及其应用，系统包括安全视频监控终端模块和安全视频接入网关模块；安全视频监控终端模块是在IP摄像头或NVR上内嵌实现了商密SM1算法的安全芯片，实现安全视频监控终端模块和安全视频接入网关模块之间数据加密传输和身份认证；安全视频接入网关模块包括接入网关模块、视频数字证书模块、接入认证模块和基于PCI接口的商密硬件加密卡；安全视频接入网关模块建立视频监控终端硬件特征信息库，确保只有注册的合法视频监控终端才能接入安全视频接入网关模块。本发明认证系统设备少、安全高效、实施方便、费用低廉，能保证视频信息的安全和视频信息传输效率；具有广泛的应用前景。

说明书

技术领域

本发明涉及视频监控领域，尤其涉及一种基于商密算法的视频信息加密与视频终端安全认证系统、认证方法及其应用。

背景技术

视频监控作为视频信息的重要来源，越来越广泛地被各行业用来对重点部门或重要场所进行实时监控，管理部门通过视频监控可以获得有效的视频信息，对突发异常事件的过程进行及时的监视和记录，以便高效、及时地指挥布置、处理案件等。目前视频监控已从传统的模拟闭路电视监控系统发展到现在的基于IP网络的高清数字视频监控，其最大的特点是将视频信息压缩、编码后，转换为基于TCP/IP标准的数据包，通过以太网接口或光纤接口接入网络，实现视频的远程实时浏览和监控数据远程存储。

基于IP的网络高清数字视频监控系统在带来便利的同时也带来了对视频信息安全性的担忧，主要包括以下风险和问题：

1、不可信视频监控终端接入：监控终端种类繁多、通常散布在户外，监管困难，很容易被破坏、劫持；监控终端能直接连接到视频内网，缺乏有效的终端接入认证，非法终端可以通过仿冒成合法终端接入内网，实施内网攻击。

2、不可信网络传输：视频监控系统越来越多地使用互联网作为接入链路，网络中数据明文传输，很容易造成用户隐私泄露或者数据被篡改。

3、非法的访问控制：非法用户通过控制视频终端渗透接入到视频监控网络，对视频监控网络中其他监控终端实施攻击，这样，被非法访问的监控终端就成了黑客攻击内网的跳板。来自视频管理中心的控制信令如果本身有病毒，通过下访可以破坏监控终端。大量终端被控制，通过非法访问可以发起DDOS攻击。

针对视频监控终端的安全事件频发，人们越来越多地关注视频监控的安全。如何保障视频监控终端的安全访问，以及视频信息的安全传输，成为视频监控应用过程中的重要问题。

由于视频数据流具有传输数据量大、实时性要求高，这使得传统的加密方法不适用视频信息的加密。视频信息加密方法需在加密资源开销和安全强度之间寻求平衡点，合理利用视频信息自身的数据结构特点，实现既保证监控系统的工作效率，又保证系统的安全。

发明内容

发明目的：为克服现有技术不足，针对现有基于IP的数字视频监控系统存在的安全风险，以及现有视频加密传输方法无法同时兼顾视频信息安全性与操作时效性的问题，本发明旨于提供一种基于商密算法的视频信息加密与视频终端安全认证系统及方法。

技术方案：为解决上述技术问题，本发明采用如下技术方案：

一种视频信息加密与视频终端安全认证系统，包括安全视频监控终端模块和安全视频接入网关模块；所述安全视频监控终端模块是在IP摄像头或NVR上实现了内嵌商密SM1算法的安全芯片，实现安全视频监控终端模块和安全视频接入网关模块之间数据加密传输和身份认证；所述安全视频接入网关模块包括接入网关模块、视频数字证书模块、接入认证模块和基于PCI接口的商密硬件加密卡；安全视频接入网关模块建立视频监控终端硬件特征信息库，确保只有注册的合法视频监控终端才能接入安全视频接入网关模块。

工作原理：本发明基于商密算法的视频信息加密与视频终端安全认证系统在视频监控终端将视频信息分为控制信令和视频流数据，采用SM2算法和数字证书技术对视频终端进行身份认证，采用商密SM1算法对视频控制信令信息加密传输，采用SM2算法构建视频流数据安全传输通道，避免视频监控终端的非法接入和非法访问，消除视频信息在网络传输过程中可能存在的隐私泄露和数据被篡改的隐患。视频接入网关采用PCI接口的硬件加密卡，实现视频信息的加解密，确保数据在传输到内网之前不被非法篡改；同时在视频接入网关上建立可信任视频监控终端的终端硬件特征信息库，依据硬件特征信息对接入的视频监控终端进行身份认证。

所述安全芯片采用SPI接口或SD接口标准与视频终端集成；SPI接口信号线少，协议简单，安全性强，安全芯片采用SPI接口集成在视频终端主板上，可保证安全芯片不被非法终端利用。SD接口通用性强，可方便的集成与各类视频监控终端。

所述安全芯片具有唯一序列号；能够确保视频终端的唯一性，保证非法终端无法冒充合法终端接入。

所述安全视频接入网关模块采用专用视频终端安全认证协议，实现安全视频监控终端的身份认证、密钥协商，以及数据传输的安全通道的建立。

一种视频信息加密与视频终端安全认证方法，包括以下步骤：

1)、将视频信息分为控制信令数据和视频流数据；

2)、在视频监控终端和视频接入网关之间分别建立两条传输通道，一条control通道用于传输控制信令数据，一条data通道用于传输视频流数据；

3)、在control通道建立时，基于数字证书，采用SM2算法对control通道的收、发双方进行身份认证；认证通过后，调用安全芯片内的商密SM1算法对要传输的控制信令进行加密，然后经由control通道传输；

4)、在data通道建立时，采用SM2算法对data通道的收、发双方进行身份认证；认证通过后，双方协商出一个随机数，利用随机数对视频流数据进行抑或运算，随机数每隔指定时间重新协商，以此实现视频流数据安全传输。

上述视频信息加密与视频终端安全认证方法将视频信息分为控制信令数据和视频流数据，并使用两个通道进行传输；不仅能保证视频信息的安全，又能保证视频信息传输效率。

视频监控终端模块与视频管理中心之间的视频控制信令处理流程包括以下步骤：

步骤1，安全视频监控终端模块请求链接安全视频接入网关模块建立control通道，链接请求中包含视频监控终端的数字证书和硬件特征信息；

步骤2，安全视频接入网关模块接收到安全视频监控终端模块发来的链接请求，解析链接请求中的视频监控终端数字证书和视频监控终端硬件特征信息，对视频监控终端进行身份认证；保证接入视频管理中心的视频监控终端身份合法可信；

步骤3，认证通过后进行对称密钥协商，并建立control通道；

步骤4，安全视频监控终端模块利用协商好的对称密钥，调用加密芯片上的商密算法SM1，加密控制信令数据，通过control通道将加密的控制信令传输给安全视频接入网关模块；

步骤5，安全视频接入网关模块接收到加密的视频控制信令后，利用协商好的对称密钥，调用硬件加密卡上的商密算法SM1，解密控制信令，然后将解密后的视频控制信令转发给视频管理中心，完成控制信令的安全传输。

视频监控终端发给视频管理中心的视频流数据处理流程如下：

步骤1，视频管理中心通过control通道发送请求视频流数据的视频控制信令给安全视频监控终端模块；

步骤2，安全视频监控终端模块收到请求视频流数据的控制信令后，链接安全视频接入网关模块，请求建立data通道，请求内容包括视频监控终端的数字证书及硬件特征信息；

步骤3，安全视频接入网关模块接收到安全视频监控终端模块发来的链接请求，解析链接请求中的数字证书及视频监控终端硬件特征信息，对安全视频监控终端模块进行身份认证；

步骤4，认证通过后，进行协商随机数协商，并建立data通道；

步骤5，安全视频监控终端模块利用协商好的随机数对采集到的视频流数据进行抑或运算，将计算后的密文视频流数据通过data通道发送给网关；

步骤6，网关接收到密文视频流数据，利用协商好的随机数对密文视频流数据进行抑或运算，得到明文视频流数据，然后将明文视频流数据转发给视频管理中心，完成视频流数据的安全传输。

采用基于数字证及硬件特征信息的方式进行视频监控终端身份认证，采用专用视频终端安全认证协议建立视频信息安全传输通道，采用国密算法进行视频信息加密，并将视频流数据与控制信令数据分通道传输，解决了现有视频监控系统中终端身份认证和视频信息保密方面的安全隐患。

上述视频信息加密与视频终端安全认证系统应用于需要采集视频信息的领域。

所述需要采集视频信息的领域包括智能交通、智慧城市或智能电网。应用于智能交通领域时，应用在未采取相关安全防范措施的电子警察、视频监控、卡口监控和违停抓拍摄像头；通过对摄像头内嵌一颗安全芯片，实现对接入到视频内网的摄像头进行严格的身份认证，对视频信息进行加密传输，可以有效的保障智能交通视频内网的安全，正真做到安全到边。

本发明未提及的技术均为现有技术。

有益效果：本发明视频信息加密与视频终端安全认证系统、认证方法及其应用，安全认证系统设备较少、安全高效、实施方便、费用低廉，认证方法不仅能保证视频信息的安全，又能保证视频信息传输效率；认证系统可应用于一系列需要采集视频信息的诸多领域，具有广泛的应用前景。

附图说明

图1为本发明视频信息加密与终端安全认证系统拓扑结构示意图；

图2为本发明建立control通道，并进行控制信令交互的流程图；

图3为本发明建立control通道的专用视频终端安全认证协议工作流程图；

图4为本发明控制信令加密示意图；

图5为本发明建立data通道，并进行视频流数据传输的流程图；

图6为本发明建立data通道的专用视频终端安全认证协议工作流程图。

具体实施方式

为了更好地理解本发明，下面结合实施例进一步阐明本发明的内容，但本发明的内容不仅仅局限于下面的实施例。

实施例1

如图1-6所示，一种视频信息加密与视频终端安全认证系统，包括安全视频监控终端模块和安全视频接入网关模块；安全视频监控终端模块是在IP摄像头或NVR上内嵌实现了商密SM1算法的安全芯片，实现安全视频监控终端模块和安全视频接入网关模块之间数据加密传输和身份认证；所述安全视频接入网关模块包括接入网关模块、视频数字证书模块、接入认证模块和基于PCI接口的商密硬件加密卡；安全视频接入网关模块建立视频监控终端硬件特征信息库，确保只有注册的合法视频监控终端才能接入安全视频接入网关模块；安全芯片采用SPI接口或SD接口标准与视频终端集成；安全芯片具有唯一序列号；安全视频接入网关模块采用专用视频终端安全认证协议，实现安全视频监控终端的身份认证、密钥协商，以及数据传输的安全通道的建立。

上述视频信息加密与视频终端安全认证系统的认证方法，包括以下步骤：

1)、将视频信息分为控制信令数据和视频流数据；

2)、在视频监控终端和视频接入网关之间分别建立两条传输通道，一条control通道用于传输控制信令数据，一条data通道用于传输视频流数据；

3)、在control通道建立时，基于数字证书，采用SM2算法对control通道的收、发双方进行身份认证；认证通过后，调用安全芯片内的商密SM1算法对要传输的控制信令进行加密，然后经由control通道传输；

4)、在data通道建立时，采用SM2算法对data通道的收、发双方进行身份认证；认证通过后，双方协商出一个随机数，利用随机数对视频流数据进行抑或运算，随机数每隔指定时间重新协商，以此实现视频流数据安全传输。

视频监控终端模块与视频管理中心之间的视频控制信令处理流程包括以下步骤：

步骤1，安全视频监控终端模块请求链接安全视频接入网关模块建立control通道，链接请求中包含视频监控终端的数字证书和视频监控终端硬件特征信息；

步骤2，安全视频接入网关模块接收到安全视频监控终端模块发来的链接请求，解析链接请求中的视频监控终端数字证书和硬件特征信息，对视频监控终端进行身份认证；

步骤3，认证通过后进行对称密钥协商，并建立control通道；

步骤4，安全视频监控终端模块利用协商好的对称密钥，调用加密芯片上的商密算法SM1，加密控制信令数据，通过control通道将加密的控制信令传输给安全视频接入网关模块；

步骤5，安全视频接入网关模块接收到加密的视频控制信令后，利用协商好的对称密钥，调用硬件加密卡上的商密算法SM1，解密控制信令，然后将解密后的视频控制信令转发给视频管理中心，完成控制信令的安全传输。

视频监控终端发给视频管理中心的视频流数据处理流程如下：

步骤1，视频管理中心通过control通道发送请求视频流数据的视频控制信令给安全视频监控终端模块；

步骤2，安全视频监控终端模块收到请求视频流数据的控制信令后，链接安全视频接入网关模块，请求建立data通道，请求内容包括视频监控终端的数字证书及硬件特征信息；

步骤3，安全视频接入网关模块接收到安全视频监控终端模块发来的链接请求，解析链接请求中的数字证书及视频监控终端硬件特征信息，对安全视频监控终端模块进行身份认证；

步骤4，认证通过后，进行协商随机数协商，并建立data通道；

步骤5，安全视频监控终端模块利用协商好的随机数对采集到的视频流数据进行抑或运算，将计算后的密文视频流数据通过data通道发送给网关；

步骤6，网关接收到密文视频流数据，利用协商好的随机数对密文视频流数据进行抑或运算，得到明文视频流数据，然后将明文视频流数据转发给视频管理中心，完成视频流数据的安全传输。

如图2所示，本发明安全视频监控终端模块与安全视频接入网关模块之间建立control通道，并进行控制信令交互，具体包括以下步骤：

步骤201，安全视频监控终端模块启动；

步骤202，安全视频监控终端模块建立与安全视频接入网关模块的连接；

步骤203，安全视频接入网关模块基于数字证书和硬件特征信息，对安全视频监控终端模块进行身份认证，认证通过则进行步骤204，否则进行步骤208

步骤204，双方进行对称秘钥协商，如果成功，则完成control通道建立，进行步骤205，否则进行步骤208；

步骤205，双方利用协商好的对称密钥，调用加密芯片或者硬件加密卡中的商密算法SM1对视频控制信令进行加密，并将加密后的控制信令经control通道传输；

步骤206，通信过程中如果出错，则进行步骤208，否则进行步骤207；

步骤207，通信是否继续，如果是则进行步骤205，否则进行步骤208；

步骤208，退出。

如图3所示，本发明安全视频监控终端模块与安全视频接入网关模块之间建立control通道的专用视频终端安全认证协议；具体流程如下：

步骤301，安全视频监控终端模块请求进行安全认证，产生随机数r₁，计算：

将A发送到安全视频接入网关模块。

其中，A为安全视频监控终端模块发给安全视频接入网关模块的安全认证请求报文；|为连接符；CSN为control通道报文序列号，由安全视频监控终端模块随机设置，CSN的引入是为了抗重放攻击；ID为安全视频监控终端模块的硬件特征信息；Cert1为安全视频监控终端模块的数字证书；E_Cert2(r₁)为使用安全视频接入网关模块的SM2公钥对r₁进行加密；为使用SM3哈希算法对上述各项进行摘要，并用安全视频监控终端模块的SM2私钥Skey₁进行签名；

步骤302，安全视频接入网关模块接收到A，验证安全视频监控终端模块的签名，并依据安全视频监控终端模块的硬件特征信息ID及数字证书Cert1，验证安全视频监控终端模块的身份。安全视频接入网关模块使用自己的SM2私钥Skey₂解密得到r₁，同时产生随机数r₂，并合成对称会话密钥：

步骤303，安全视频接入网关模块回复安全视频监控终端模块的请求，计算：

将B发送到安全视频监控终端模块；

其中，B为安全视频接入网关模块发回安全视频监控终端模块的安全认证响应报文；E_Cert1(r₂)为使用安全视频监控终端模块的SM2公钥对r₂进行加密；

为使用SM3哈希算法对上述各项进摘要，并用安全视频接入网关模块的SM2私钥Skey₂进行签名；

步骤304，安全视频监控终端模块接收到B，验证安全视频接入网关模块的签名，并用安全视频监控终端模块的私钥Skey₁解密得到r₂，并合成对称会话密钥：

步骤305，安全视频监控终端模块确认安全视频接入网关模块的回复，计算：

将C发送到安全视频接入网关模块；

其中，C为安全视频监控终端模块对安全视频接入网关模块发回的安全认证响应报文的确认报文；为使用SM3哈希算法对随机数r₁与r₂的抑或进行摘要。

步骤306，安全视频接入网关模块接收到C，提取安全视频监控终端模块发来的安全视频接入网关模块利用收到的r₁和自己产生的r₂计算：

比较安全视频监控终端模块发来的与D是否相同。

若相同，则双方身份认证通过，control通道建立完成，双方持有会话密钥：若不同，则安全视频接入网关模块给出认证失败的信息，并通知安全视频监控终端模块，由安全视频监控终端模块重新发起认证请求。

图4所示的是本发明所述的控制信令加密示意图，加密过程的详细描述如下：

步骤401，对原始的控制信令报文填充1～16字节，使其长度为16的倍数(原始长度为16的倍数时填充16字节)，填充的第一个字节为0x80，后续的填充字节内容为0x0。附加加密报文的头部信息及初始向量IV(IV为16字节随机数，由加密侧随机生成)。

步骤402，使用协商好的会话密钥DK，调用加密芯片或硬件加密卡中的商密算法SM1加密填充后的原始报文+填充报文，完成加密过程。

如图5所示，本发明安全视频监控终端模块与安全视频接入网关模块之间建立data通道，并进行视频流数据传输；具体流程如下：

步骤501，安全视频监控终端模块启动；

步骤502，安全视频监控终端模块建立与安全视频接入网关模块的连接；

步骤503，安全视频接入网关模块基于数字证书和硬件特征信息，对安全视频监控终端模块进行身份认证，认证通过则完成data通道建立，进行步骤504，否则进行步骤509；

步骤504，双方进行随机数协商，如果成功，则进行步骤505，否则进行步骤509；

步骤505，安全视频监控终端模块利用协商好的随机数对视频流数据进行抑或运算，实现视频流数据的安全通信；

步骤506，通信过程中如果出错，则进行步骤509，否则进行步骤507；

步骤507，随机数是否超时，如果超时,则进行步骤504，重新协商随机数，否则进行步骤508；

步骤508，通信是否继续，如果是则进行步骤505，否则进行步骤509；

步骤509，退出。

如图6所示，本发明安全视频监控终端模块与安全视频接入网关模块之间建立data通道的专用视频终端安全认证协议；具体流程如下：

步骤601，安全视频监控终端模块请求进行安全认证，产生随机数r₁，计算：

将A发送到安全视频接入网关模块。

其中，A为安全视频监控终端模块发给安全视频接入网关模块的安全认证请求报文；|为连接符；DSN为data通道报文序列号；ID为安全视频监控终端模块的硬件特征信息；Cert1为安全视频监控终端模块的数字证书；E_Cert2(r₁)为使用安全视频接入网关模块的SM2公钥对r₁进行加密；为使用SM3哈希算法对上述各项进行摘要，并用安全视频监控终端模块的SM2私钥Skey₁进行签名。

步骤602，安全视频接入网关模块接收到A，验证安全视频监控终端模块的签名，并依据安全视频监控终端模块的硬件特征信息ID及数字证书Cert1，验证安全视频监控终端模块的身份。安全视频接入网关模块使用自己的SM2私钥Skey₂解密得到r₁，同时产生随机数r₂。

步骤603，安全视频接入网关模块回复安全视频监控终端模块的请求，计算：

将B发送到安全视频监控终端模块。

其中B为安全视频接入网关模块发回安全视频监控终端模块的安全认证响应报文；E_Cert1(r₂)为使用安全视频监控终端模块的SM2公钥对r₂进行加密；

为使用SM3哈希算法对上述各项进摘要，并用安全视频接入网关模块的SM2私钥Skey₂进行签名。

步骤604，安全视频监控终端模块验证安全视频接入网关模块的签名，并用安全视频监控终端模块的私钥Skey₁解密得到r₂。

步骤605，安全视频监控终模块确认安全视频接入网关模块的回复，计算：

将C发送到安全视频接入网关模块；

其中，C为安全视频监控终端模块对安全视频接入网关模块发回的安全认证响应报文的确认报文；为使用SM3哈希算法对随机数r₁与r₂的抑或进行摘要。

步骤606，安全视频接入网关模块接收到C，提取安全视频监控终端模块发来的安全视频接入网关模块利用收到的r₁和自己产生的r₂计算：

比较安全视频监控终端模块发来的与D是否相同。

若相同，则双方身份认证通过，data通道建立完成，双方持有随机数若不同，则安全视频接入网关模块给出认证失败的信息，并通知安全视频监控终端模块，由安全视频监控终端模块重新发起认证请求。

本发明视频信息加密与视频终端安全认证系统应用于需要采集视频信息的领域；需要采集视频信息的领域包括智能交通、智慧城市或智能电网；应用于智能交通领域时，应用在未采取相关安全防范措施的电子警察、视频监控、卡口监控和违停抓拍摄像头。

以上仅是本发明的优选实施方式，应当指出：对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对各设施位置进行调整，这些调整也应视为本发明的保护范围。