公共安全视频监控系统-安全系列篇2：视频数据安全

创建时间：2022-05-10

넶浏览量：0

在上一篇《公共安全视频监控系统-安全系列篇1：视频劫持和替换》中，带大家回顾了视频监控系统40年发展历史，公共安全视频监控系统的结构与元素，并重点对视频监控系统中面临的“劫持”和“替换”问题进行了讲解及梳理。本文将继续针对公共安全视频监控系统进行分析，剖析视频存储及使用环节的数据安全问题，提出有效的安全解决方案。

一、安全背景

全球经济的高速发展和城市化建设速度的加快，公共安全问题已经延伸到生产、生活、环境、技术和信息等社会各个领域。随着物联网技术和视频监控技术的发展，“平安城市”、“天网工程”和“雪亮工程”等一系列公共安全视频监控联网建设和共享的相关项目快速推进，中国已经建成世界上规模最大的视频监控网，摄像机总数超过2000万只。

与此同时，社会各行各业的视频监控系统也在加快建设，广泛应用于能源、电力、水利、教育、医疗、司法、金融、酒店等众多领域，尤其在后疫情时代，整个社会综合治理防控体系和应急响应系统的建设需求越来越强烈，而视频数据的应用是其中最重要的环节。

然而在视频监控系统中采集、传输、存储大量包含个人和单位的视频图像以及生物特征信息，甚至承载了许多单位机密的信息，视频泄漏导致的个人隐私泄漏、商业机密泄漏、不良社会影响等事件层出不穷。在对网络安全的法律和政策逐渐加强的情况下，如何有效保护这些个人信息和商业秘密不被泄露，成为当前一个非常重要的话题。

二、视频泄密事件频发

目前在大多数视频监控系统的运行和维护过程中，缺乏有效的安全管理措施，一般为非专职人员操作，容易导致信息外流，信息安全难以有效保证。视频信息在调阅的过程中，存在非授权的下载、外发、录屏、偷拍等安全风险。在自媒体时代，突发事件一旦经过恶意传播极易造成为网络爆点，为国家舆论压力、政府公信力及个人带来负面影响。

2012年9月，西安市某高校教授为某专项课题进行授课的专业视频资料不慎被外泄，后来视频资料获取方通过该视频仿效设计，从而造成了“知识产权”上的纠纷；
2013年6月，倪某以自己在度假村消费时丢失了物品为由，调取相关监控录像，最终拷走了视频，导致上海某院5法官行踪网上曝光；
2014年3月，十余名蒙面持刀恐怖分子冲进昆明火车站前广场，售票厅对无辜民众进行攻击，造成29人死亡，在该事件后几天网络中出现了大量的现场视频画面，给社会治安造成了很大的恐慌，也助涨了暴恐分子的嚣张气焰；
2014年6月，上海市民林女士因妇科疾病到闸北区某医院就诊，手术医院在未经患者同意情况下组织了实习医生通过视频图像观摩手术操作，但由于院方管理不善，导致“视频外泄，侵犯了个人隐私权”，被索要10万元赔偿；
2019年2月，枣庄市公安局网警支队在日常巡查中发现，滕州市某中学视频监控系统遭受黑客入侵，网页被植入恶意信息。滕州警方依据《中华人民共和国网络安全法》第21条、第59条规定，对该学校予以警告，责令改正；
2020年4月，据《华盛顿邮报》报道，安全研究员Patrick Jackson在亚马逊云计算平台（AWS）上发现了15000个公开的Zoom会议视频，内容包括医疗会议、商务会议、小学课堂等，很多视频都被保存在单独的、没有密码的线上存储空间里，任何人都能下载观看；
2021年初，由于黑客的攻击，特斯拉工厂和仓库中的实时画面及录像被泄露，画面非常清晰，能够看到装配线上的工人的操作；

2022年1月，B站出现了大批新注册账号，上传了大量公共场所监控视频，其中包括了学校、医院、前台等，并且视频内人物多为女性。此类行为严重侵犯了个人隐私；
2022年2月，社交媒体出现的一段视频完整地展示了美国海军“卡尔·文森”号航母搭载的F－35C隐形战斗机在南海着舰失败落入海中的全过程。该视频未经授权，在“卡尔·文森”号航母仍处于海上部署时期被泄密，暴露出了F－35C隐形战斗机在接近航母时似乎存在控制问题。

三、视频数据安全分析

视频监控数据经由前端摄像机采集和传输网络最终落盘以文件形式存储在NVR或存储服务器中，一般视频文件都以明文方式存储。本文将在试验环境中复现视频数据在存储、使用、分发环境的安全问题。

1. 视频数据安全分析对象

主要分析对象和场景：网络摄像机IPC+NVR+NAS存储方式。

本文将研究和分析视频数据经由NVR存储到NAS存储中的视频文件以及视频文件调用和使用过程中的安全问题，并尝试在实验环境中将安全问题可视化呈现出来。

在进行具体的安全实验分析前，试验团队先从理论上分析视频存储相关安全问题。前端网络摄像机采集的视频数据经由NVR存储到NAS的基本过程如下：

网络摄像机采集的视频信号经过网络传输到NVR，未做安全处理的情况下视频码流是经过视频编码的明文数据；
视频码流数据明文的存储到NAS存储中；
因存储在NAS的视频文件是明文存储的，NAS本身不具备权限管理功能，因此任何人都可以在未授权的情况下从NAS中导出视频文件并正常播放，造成视频监控信息的泄漏；同时也可以很容易地将存储在NAS的视频文件替换为修改后的视频文件，造成正常的视频监控信息被非法篡改；另外即使是通过正常途径导出的视频文件因无安全防护措施可被无限制播放和传播，存在敏感视频监控信息泄漏和被恶意传播的风险。

2. 视频数据安全分析环境

下文主要针对公共安全视频监控系统的视频存储、使用、分发安全进行分析，为了方便研究和分析安全问题，试验团队搭建了一个简化的公共安全视频监控系统试验环境。

简化后的视频监控系统包括：网络摄像机IPC，网络交换机，硬盘录像机NVR，NAS存储四大核心部件以及监控客户端（PC），安全分析设备（PC）。

设备和系统清单如下表所示：

试验环境，网络拓扑示意如下图所示：

1台网络摄像机IPC，网络地址：192.168.200.19；
1台8口普通交换机，接入：网络摄像机，NVR，NAS存储，监控客户端，安全分析设备；
1台NVR，网络地址：192.168.200.254；
1台NAS服务器，网络地址：192.168.200.11；
1台监控客户端PC，网络地址：192.168.200.12；
1台安全分析设备（PC），网络地址：192.168.200.13，安装安全分析工具：视频播放器，视频修改工具FFmpeg，抓包分析工具Wireshark；
视频监控协议：ONVIF/RTSP/GB/T 28181。

3. 视频数据安全分析

在上一篇《公共安全视频监控系统-安全系列篇1：视频劫持和替换》文章中，详细分析了网络摄像机到视频监控平台（或NVR）传输网络中的视频劫持和篡改安全风险问题。

本文将重点关注视频存储相关：视频监控，视频存储，视频文件使用等环节的安全风险问题。

1) 视频监控环节

在试验环境中，使用监控机连接NVR实现视频监控。主要包含两种路径访问NVR进行视频监控，其一，使用浏览器访问NVR管理地址；其二，使用视频流播放器如VLC通过RTSP协议来访问监控视频。

在安全分析设备上，开启Wireshark抓包工具，抓取两种路径的网络数据包。

浏览器访问NVR管理地址，数据包如下图所示：

VLC播放RTSP视频流，数据包如下图所示：

从截获的网络数据包来看，容易发现：

其一，不管是基于浏览器HTTP的监控或基于RTSP的监控，都采用了明文协议，可以轻易的获取账号、密码等敏感信息，甚至直接获取视频流进行还原播放（基于上篇视频劫持和替换的分析）；

其二，基于用户名和口令方式的认证并不具备真正意义的身份认证能力，不管是谁拿着正确的用户名和口令都可以认证成功并访问监控视频信息。

2) 视频存储环节

在模拟试验环境中，奥联试验团队通过使用NAS做NVR视频文件的存储，可以很方便查看到NVR存储的视频文件内容和信息。

NVR在NAS存储的视频文件以“.mp4”为扩展名存储，如下图所示：

试验团队直接拷贝NAS存储的某个视频文件“hiv00000.mp4”，并使用任意一种视频播放器即可正常查看此视频文件内容，如下图所示：

另外，使用精心制作的MP4文件替换存储在NAS的视频文件，在NVR回放中可以成功播放被替换的监控视频文件。注意看“IPCamera 02”这路视频回放在“2021-12-1 11:00”左右的未替换和替换后的情况对比。

未替换前视频回放，如下图所示：

替换视频文件后回放，如下图所示：

通过上述简单的操作，我们可以发现：

其一，视频文件是以明文的方式存储在NVR或NAS存储中的，只需要拷贝出来就可以被正常播放，存在监控视频信息被泄漏的风险；

其二，存储在NVR或NAS存储中的视频文件可以被篡改替换，监控视频的真实性和完整性无法保证。

3) 视频使用环节

在试验环境中使用监控机访问NVR的Web管理页面，从管理页面导出监控视频文件。

导出的监控视频文件格式为MP4，可以用任意可播放MP4文件的播放器查看，如下图所示：

结合上面对视频存储环节的分析，可以发现：导出的视频文件是明文的，视频文件易被泄漏和非法传播，且泄漏后无法溯源。

4. 视频数据安全问题总结

整体来看视频数据在存储、使用、分发环节存在的安全风险问题主要包括非授权访问监控视频数据、视频存储文件泄漏和篡改、视频文件非法传播、泄漏无法溯源等，具体如下：

1）视频下载：通过操作席终端导出明文视频录像文件；

2）手机拍摄屏幕：通过数码设备对操作PC机屏幕进行拍摄；

3）截屏、录屏：通过录屏软件对操作席视频画面进行抓图；

4）视频篡改：用视频编辑软件对作为证据的视频进行篡改；

5）非授权调阅：系统内部人员非授权访问其他部门视频，造成泄漏；

6）USB拷贝：用U盘非法拷贝带走视频数据。

四、视频数据安全方案

上一章节奥联试验团队对视频存储及使用过程中的安全问题进行了详细的分析，接下来试验团队将针对这些安全问题逐一提出相应的解决方案，最后汇总成一个完整的视频数据安全解决方案：

关于非授权访问监控视频问题，使用基于国密的身份认证方式，确保只有通过身份认证的用户才能访问监控视频。
关于敏感视频文件泄漏和篡改问题，使用基于国密的签名验签以及加密算法，对视频文件进行加密和防篡改保护。
关于视频文件的非法传播问题，使用基于国密的策略加解密能力、数字水印技术以及专用的播放器，实现只有专门的解密播放器加上相应的策略密钥才能正确解密播放，通过数字水印技术实现视频泄漏溯源。

1. 安全身份认证

监控客户端访问NVR查看监控视频的场景，一般情况下监控客户端使用账号和口令登录NVR后进行相应的操作，账号和口令并不能唯一的确认用户的身份（因任何人拿着账号和密码都可以登录成功）；另外账号和口令在传输过程中并未加密处理，因此容易造成账号口令泄漏风险。

奥联解决方案：在NVR前端串接视频加密网关设备，加密网关设备通过与密码基础设施交互实现用户身份认证的能力；同时给每个监控用户发放代表用户身份的UKEY，在监控用户访问NVR前先插入UKEY与视频加密网关进行身份认证，身份认证成功后才能进一步访问NVR，因视频加密网关串接在NVR之前，此身份认证过程不可被跳过。方案示意如下图所示：

2. 视频文件机密性、完整性保护

在不改变网络摄像机IPC，硬盘录像机NVR，视频存储NAS的情况下，提出了两种实现视频文件机密性、完整性保护的方案：其一，透明模式下在NVR前端串接视频加密网关；其二，透明模式下在NVR和NAS间串接视频加密网关。

第一种方案，因不能直接改造NVR实现视频存储文件防篡改，在视频安全网关中提供了基于视频码流的防篡改能力，当视频流经过视频安全网关时，视频安全网关提取视频帧，加密视频帧并使用网关密钥签名后写回到视频帧；通过网络读取视频流经过视频安全网关时，先从视频帧中提取签名值，再使用网关公钥验证签名是否有效从而判断视频是否被篡改，另因视频流经过网关加密存储，只能通过视频网关才能正常访问和播放视频，避免直接接入NVR篡改视频存储文件的问题。

视频加密网关透明部署在NVR前端，如下图所示：

第二种方案，视频加密网关部署在NVR和NAS存储之间，为视频存储文件提供透明的防篡改能力，视频加密网关解析NVR到NAS间的文件协议NFS，使用密码卡提供的密码能力实现针对视频文件的加密、解密、哈希、签名、验签、文件元数据能力，同时提供安全访问控制，管理配置、告警、日志、安全审计等功能。如下图所示：

3. 视频泄漏防护和溯源

从NVR导出的加密视频文件，同时在视频文件中随机植入隐性水印用于视频溯源，在普通播放器上是无法正常播放，需要使用专用视频解密播放器配合UKEY中的策略解密密钥才能解密播放加密的视频文件。专用视频解密播放器，使用UKEY的策略解密密钥实现加密视频文件的基于策略的解密播放，其中解密播放策略包括：允许播放的时间段，允许播放的次数，允许播放的用户等。

如下图所示：

4. 整体解决方案

视频存储NVR加密方案的整体架构，如下图所示：

视频存储NVR加密方案主要包含：密码基础设施，视频安全管理平台，视频加密网关，统一导出工具，专用视频解密播放器，UKEY（硬件）6大组件。主要解决围绕NVR的视频存储安全、视频监控安全、视频文件分享播放安全的问题。

密码基础设施。是整个安全方案的基础组件，为整个安全方案提供统一身份认证，密钥及密钥全生命周期管理，密码运算服务的能力，对外提供标准RESTful API接口。密码基础设施包含2个子组件：密码机和密码服务平台，密码机是基础的密钥生成和密码运算组件；密码服务平台与密码机交互实现密钥全生命周期管理并提供密码运算服务能力。
视频安全管理平台。是针对所有视频加密网关统一集中的监控管理系统，主要实现对视频加密网关的监控和管理，视频加密和策略解密密钥的管理和UKEY生产，具备统一的NVR加密视频文件导出能力及专用视频播放器生产能力，同时具备用户、权限、日志、告警等基础管理功能。管理平台通过标准RESTful API接口与密码基础设施交互完成视频加密方案中涉及的密钥的创建和下载；通过管理协议与视频加密网关交互实现对视频加密网关的监测、管理以及视频存储加密策略的配置；通过密码中间件实现视频播放策略解密密钥的UKEY生产；通过NVR的管理协议实现对NVR的加密视频文件的统一导出能力。
统一导出工具。为多个NVR导出视频存储文件提供了统一的操作界面，在统一导出工具中，可以添加NVR，可以任意选择某个NVR的需要导出的视频文件进行导出。（后续可以提供再加密的能力支持）
专用视频解密播放器。需要配合UKEY一起使用，使用UKEY中的策略解密密钥实现基于策略的视频加密文件的解密并播放解密后的视频。支持MP4，AVI等文件格式的播放。
视频加密网关。是实现透明视频存储加密的关键组件，接收监控摄像机传入的未加密视频流，经过视频存储加密网关加密后，加密存储到NVR中。视频加密网关串接在NVR前端，一般情况下与NVR按照1:1配置。视频加密网关具备简单的配置管理界面，包含基本信息显示、自身基础监控、初始网络配置等功能。通过管理协议与管理平台交互实现身份认证、监控上报、设备管理、操作、管理、处理日志上报（支持溯源）、加密策略配置等能力。
UKEY。主要实现各种密钥的存储（包括：视频解密密钥，视频解密策略密钥，身份认证密钥），需要与专用视频解密播放器或浏览器密码插件配合一起使用实现安全的身份认证、视频解密的能力。