公共安全视频监控系统-安全系列篇1：劫持和替换视频流
1979年是中国视频监控公认的起点。经过短短40多年，视频监控系统经历了从模拟监控，数字监控，高清网络监控，到智能监控的发展。
使用单位：非常重要和特殊的单位和部门。
监控系统组成：前端模拟摄像机，后端视频矩阵、磁带录像机和CRT电视墙。
使用单位：金融系统、文物系统、军工、邮政等。
监控系统组成：前端模拟摄像机，后端视频矩阵、DVR、CRT电视墙。
使用单位：金融、公安、能源、交通、教育、电信、机场、海关等；
监控系统组成：前端网络型高清摄像机，后端DVR/DVS、NVR、视频监控服务器，监视器群组/超高分辨率数字拼接墙，网络设备等。
智能监控阶段（2009-至今）
使用单位：安保、交通、能源、环境、政府应急到商业信息显示、广播电视，有效地整合了视频监控信息与业务运行信息，视频应用由事后的调查取证向事前的分析、总结、预警、演练，事中的跟踪、指挥、调度、协调、配合、沟通扩展。
公共安全视频监控系统以网络视频监控系统为基础，是一种通过网络进行视频流传输、存储的视频监控形式。
我国从2003年起开始建设公共安全视频监控系统，着力将网络视频监控用于社会公共安全的保障工作中。2004年初，公安部与科技部启动全国第一批“科技强警”示范城市建设工作，选取全国21个示范城市作为数字化监控系统建设的试点，拉开了公共安全视频防控系统建设的大幕。
以维护国家安全和社会稳定、预防和打击违法犯罪活动为目的，综合应用视音频监控、通信、计算机网络、系统集成等技术，构建具有信息采集、传输、交换、控制、显示、存储、处理等功能的能够实现不同设备及系统间互联、互通、互控的综合网络系统。
公共安全视频监控系统主要组成：前端视频监控设备（网络高清摄像机IPC），传输网络（交换机，路由器等），后端视频监控系统（视频监控平台：信令和媒体服务，存储，监控电视墙，解码器，操作终端等）组成，互联级联。如下图所示：
本文主要针对公共安全视频监控系统的安全进行分析，为了方便研究和分析安全问题，抽象和简化了公共安全视频监控系统。
简化后的视频监控系统包括：网络摄像机IPC，网络传输交换机，视频监控平台三大核心部件。示意图，如下：
1）网络拓扑
试验环境，网络拓扑如下图所示，包括：
-
1台网络摄像机IPC，网络地址：10.0.23.6；
-
1台5口普通交换机，接入：网络摄像机，安全分析设备，视频监控系统设备；
-
1台安全分析设备（PC），网络地址：10.0.23.10，安装安全分析工具：WireShark；
-
1台视频监控系统设备，网络地址：10.0.23.8，安装视频监控系统LiveGBS；
-
视频监控协议：GB/T 28181。
2）视频监控系统配置
-
网络摄像机配置
登录网络摄像机管理页面，配置28181相关参数包括：SIP服务器编号、IP、端口等。如下图所示：
-
视频监控系统配置
进入视频监控系统（这里以LiveGBS为例），配置SIP相关参数。如下图所示：
3. 视频监控协议分析
1) 会话通道协议分析
本文暂略，后续本系列安全篇中再详细分析。
2) 流媒体通道协议分析
a. 准备工作:
-
在视频监控平台执行“视频点播”命令，触发从前端摄像机拉取视频流；
-
在安全分析设备上启用WireShark抓包程序。
b. GB/T 28181视音频封装说明:
接入GB/T 28181视频平台的摄像机IPC需符合下图所示数据封装要求。
c. GB/T 28181音视频数据包分析
注：以下只是从WireShark抓取的音视频数据做GB/T 28181符合性分析，不具体展开细节。因“劫持”和“替换”安全问题验证可在不关注细节的情况下操作。
RTP Payload 中承载的即为 PS 数据，起始的 00 00 01 ba 代表 PS 包的开始。如下图所示：
接下来跳过 9 个字节，暂不考虑它的内容，看第 10 个字节 f8，对应着二进制数据的 1111 1000，它的后三位为 000 为十进制的 0，即接下来没有扩展内容。
接下来遇到了 00 00 01 bb，这时来到了 PS System Header 部分。
System Header 当且仅当数据包为第一个数据包时才存在。这四个字节代表 System Header 的开始，之后紧邻的 00 0c 两个字节表示 System Header 的长度，换算为十进制，即为 12 个字节。
在 System Header 中，可以获取到 PS 中的码流种类（system_id）。在header_length 后的第7个字节就是 stream_id 字段，值为e0,即视频流，下一个stream_id值为c0,为音频流。
接下来是Program Stream Map(PSM)节目映射流，前4字节000001bc,对照stream_id表,第4字节bc对应program_stream_map,即PSM.接下来的001e为header的长度，十进制为30。
往下分析00 14 为 element_stream_map_length（基本流映射长度），也就是20字节,它表示接下来的 20 字节都是用来描述原始流信息的。
根据GB/T 28181的定义，紧接着的1b e0表示h.264编码的视频流。
视频流后的90c0, 代表着其为 G.711 编码的音频流。
接下来可进一步分析PES 包（Header + Body），本篇略。
4. 视频监控安全分析-劫持分析
视频劫持是指正常的监控视频数据被非法非授权的第3方查看的过程。实现对视频的劫持需要两个基础步骤：其一、抓取到监控视频流数据；其二、还原监控视频流数据并正常播放。
通过对GB/T 28181视频流数据分析，要实现视频劫持只需要在安全分析设备上通过网络层欺骗实现对网络摄像机和视频监控系统的欺骗，提取视频流并播放即可。如抓取的视频流数据可以正常播放也可以证明视频流数据未经加密或其他处理。
2）具体实操
实操步骤：
a. 通过安全分析设备实施网络欺骗（具体工具略），改变原视频监控路径从“网络摄像机->交换机->视频监控平台”到“网络摄像机->交换机->安全分析设备->视频监控平台”；
b. 安全分析平台提取视频流数据，无需深度解析包；
c. 将提取的视频流数据，通过流转发到本地的GB/T 28181视频平台，原视频流转发到原视频监控平台；
d. 通过本地的视频流播放器（如VLC），播放本地GB/T 28181视频监控画面。
3）实操效果
原有视频监控平台可正常播放视频监控画面。如下图所示（左，注意时间）：
安全分析设备也可以实时正常播放视频监控画面。如下图所示（右，注意时间）：
视频替换是指正常的从前端摄像机传输到视频监控平台的视频监控画面被非法第3方篡改成非法画面的过程。
通过对GB/T 28181视频流数据分析，我们可以在视频劫持的基础上，拦截从摄像机发出的视频流，使用新的视频流伪造摄像机推送给视频监控系统即可实现对源摄像机视频的替换。能正常替换视频监控画面也可以证明视频流未经加密，也没有针对视频关键帧做防篡改处理。
2）具体实操
实操步骤：
a. 通过安全分析设备实施网络欺骗（具体工具略），改变原视频监控路径从“网络摄像机->交换机->视频监控平台”到“网络摄像机->交换机->安全分析设备->视频监控平台”；
b. 安全分析平台提取视频流数据，无需深度解析包；
c. 将提取的视频流数据，通过流转发到本地的GB/T 28181视频平台，原视频流不转发到原视频监控平台；
d. 通过本地的视频流播放器（如VLC），播放本地GB/T 28181视频监控画面。（播放原视频）；
e. 通过推流工具往安全分析设备的GB/T 28181媒体平台推送“替换”的视频流；
f. 发送控制指令给到本地GB/T 28181媒体平台，由本地媒体平台将“替换”视频流推送到原视频监控平台，实现视频“替换”。
3）实操效果
原有视频监控平台视频监控画面被替换。如下图所示（左，注意时间）：
安全分析设备可以实时正常播放原视频监控画面。如下图所示（右，注意时间）：
四、公共安全视频监控系统安全演示工具箱
基于上一节对视频监控安全的分析，奥联技术团队制作了针对视频劫持和篡改的演示工具箱，让视频监控安全问题可以可视化的呈现给大家。
设备和系统清单
视频安全演示箱集成了“不安全”和“安全”两种演示场景。通过物理切换器可自由切换“不安全”和“安全”模式。
在不安全模式下，网络摄像机与TPLink交换机直连，视频监控平台与TPLink直连。视频安全演示工具与TPLink交换机直连。此时，通过视频安全演示工具的界面可以执行“劫持”和“替换”的安全演示。如下图所示：
注：绿色为视频监控线路
注：红色为视频监控线路
在安全模式下，网络摄像机先与奥联视频安全交换机连接，通过奥联视频安全交换机再与TPLink交换机连接。视频监控平台也先与奥联视频安全网关连接，通过奥联视频安全网关再与TPLink交换机连接。通过奥联视频安全交换机和奥联视频安全网关拒绝“劫持”和“替换”等安全事件发生。如下图所示：
视频安全演示箱主要实现在试验环境中重现视频监控过程中被“劫持”和被“替换”的安全问题。同时通过接入奥联视频安全产品后拒绝“劫持”和“替换”等安全问题的对照演示。演示箱具体能力包括：
1、支持视频监控系统安全问题演示，包括：视频劫持（偷窥），视频篡改（插播），其中视频篡改支持通过手机APP推流插播；
2、支持视频监控安全与不安全对照测试演示，安全采用奥联视频监控安全解决方案产品（OLYM35114-A-4），安全环境可避免视频被劫持，视频被篡改，防止扫描，防止网络欺骗等能力。
一是未使用密码算法对视频流未加密，被劫持后可以直接还原或导出视频进行播放和存储；
二是未使用密码算法对视频关键帧进行签名，被劫持后视频可被轻松替换；
三是可以在网络中实现欺骗。
一是使用密码算法实现对视频流的加密；
二是使用密码算法实现对视频关键帧的签名；
三是参照标准来使用密码算法（现行标准GB35114）。
GB35114核心解读
GB35114使用国密算法，从5个方面解决解决公共安全视频监控网络的信息安全隐患问题。
1） 数字认证，拒绝“替身”
采用基于国密算法和部件的数字证书设备身份认证技术，确定设备身份，解决设备非正常替换问题。
2） 信令认证，防止入侵
基于密钥的信任认证，解决摄像头易被控制问题。
3） 数字签名，去伪存真
基于数字签名技术，保证重要视频数据的真实性、完整性，解决视频证据的可信度问题。
4） 用户认证，严格授权
基本数字证书用户认证管理，解决未授权用户访问视频信息问题。
5） 端到端加密，禁止“裸奔”
采用基于视频帧的端到端视频加密保护，解决视频监控系统重要视频“裸奔”问题。
标准公共安全视频监控系统的网络拓扑，包括：网络摄像机IPC，接入交换机，传输网络（光纤、网线、汇聚、核心等），视频监控平台（信令、媒体、存储等）。如下图所示：
2）安全加密后的视频监控拓扑
通过简单的改造，在标准公共安全视频监控系统网络中使用“奥联视频安全交换机”替换原“接入交换机”，在“视频监控平台”侧前端新增使用“奥联视频安全网关”。实现安全的视频监控，拒绝“劫持”，“篡改”，“欺骗”，“扫描”等。
3）奥联安全产品
视频安全接入终端
视频加密网关
视频安全管理平台
产品定义
该产品/方案是针对公共安全视频监控系统（非家用视频监控）所面临的安全问题（网络安全，如：非法接入，私接、乱接，渗透入侵，非法扫描，网络攻击等；信息安全，如：视频数据的机密性、完整性、不可抵赖性及视频设备和用户的身份认证和安全）和合规性问题而制定的整体安全解决方案，一体化解决从视频数据采集、传输、存储、使用、共享等视频监控环境的安全问题，让视频监控更省心、更安心。
-
产品定位
智能安全交换机：用于解决公共安全视频监控系统的一切安全问题，具备智能、安全、合规、高稳定性、高性能、低成本、易实施、易运维，适用于存量和新建市场!
交换机：是指具备普通交换机的能力，透明处理视频安全问题，无需分配管理IP地址；
安全：从两个方面来解读，其一、网络安全侧能力（物理端口绑定，协议过滤，资产指纹等），其二、信息安全侧能力（GB35114侧能力）；
智能：可升级，具备软件定义安全能力。
-
产品能力
GB35114相关功能：
a. 前端设备与平台间的双向身份认证（SM2/SM9）；
b. 控制信令认证和防篡改（SM3，SM2/SM9）；
c. 视频防篡改（视频关键帧签名，SM3，SM2/SM9）；
d. 视频防泄漏（视频数据加密，SM4，SM2/SM9）；
e. 协议互转GB/T 28181<->GB35114。
网络安全相关功能:
a. 资产探测，资产漏洞扫描；
b. 前端设备资产端口绑定；
c. 前端设备准入控制；
d. 非法协议管控（只允许视频相关协议通行）；
e. 前端设备访问控制（身份认证 ）。
管理相关功能:
a. 运维监控相关（资产、运行状态、自动升级）；
b. 安全管理相关（安全能力配置、安全告警/事件、安全策略）。
产品特色
安全合规：符合网络安全法、密码法、等保2.0、GB39786、GB35114，集网络安全和数据安全于一身，客户可放心使用！
灵活部署：无需更改网络、更换设备、部署简单（普通施工人员即可），透明无IP，不占资源，可当成普通交换机，施工成本低！
安全可视化：统一的资产、安全运维管理及可视化，管理成本低！
本文主要带大家回顾40年来视频监控系统发展历史，同时引出公共安全视频监控系统的结构和元素，在此基础上重点针对视频监控系统中面临的“劫持”和“替换”问题进行了详细分析。
随着信息化的不断发展，视频监控系统的安全问题不仅仅只有“劫持”和“替换”，在GB35114中还有关于设备被替换，控制指令被替换，视频存储被篡改等安全问题的描述，另前端监控摄像机漏洞，视频监控平台本身的漏洞等一系列安全问题，将在后续公共安全视频监控系统安全系列文章中持续跟大家一起深度分析！
