史庭俊，張穎杰，魏振宇

(揚(yáng)州大學(xué) 信息工程學(xué)院,江蘇 揚(yáng)州 225127)

?

基于TePA視頻監(jiān)控身份認(rèn)證技術(shù)的研究與實(shí)現(xiàn)

史庭俊，張穎杰，魏振宇

(揚(yáng)州大學(xué) 信息工程學(xué)院,江蘇 揚(yáng)州 225127)

視頻監(jiān)控安全問(wèn)題一直備受關(guān)注，如何保障信息傳輸安全是人們研究的重點(diǎn)。傳統(tǒng)基于口令的身份認(rèn)證協(xié)議存在弱口令隱患，導(dǎo)致攻擊者利用口令猜測(cè)攻擊獲取非法信息。然而使用Kerberos協(xié)議要求用戶(hù)設(shè)置強(qiáng)口令以增強(qiáng)認(rèn)證安全，用戶(hù)的體驗(yàn)方式差。設(shè)計(jì)了一種基于三元對(duì)等身份鑒別的視頻監(jiān)控管理方案，引入可信第三方鑒別機(jī)制，實(shí)現(xiàn)對(duì)等實(shí)體之間的雙向認(rèn)證，有效地解決了設(shè)備認(rèn)證的安全問(wèn)題。

口令猜測(cè)攻擊；Kerberos協(xié)議; 三元對(duì)等

0　引言

近幾年安全事件的頻繁爆發(fā)，引發(fā)了人們對(duì)安全領(lǐng)域的關(guān)注，尤其視頻監(jiān)控安全問(wèn)題引發(fā)了人們的密切關(guān)注。視頻監(jiān)控作為一種重要的安防手段，目前被廣泛地應(yīng)用于商場(chǎng)、家庭、甚至于邊防、重要機(jī)關(guān)等場(chǎng)所[1-2]。隨著電子信息技術(shù)的快速發(fā)展，視頻監(jiān)控在許多重要的場(chǎng)所發(fā)揮著不可替代的作用，但由于所控制的區(qū)域和場(chǎng)所對(duì)信息安全的要求較高[3]，一旦被惡意攻擊，包括通過(guò)偷窺或者控制等手段截獲非法信息，帶來(lái)的影響對(duì)公司或個(gè)人將非常嚴(yán)重，而且絕大部分監(jiān)控系統(tǒng)必須要部署在安全因素不高的公網(wǎng)上。

本文提出一種基于TePA視頻監(jiān)控身份認(rèn)證技術(shù)，引入可信第三方對(duì)鑒別服務(wù)器請(qǐng)求實(shí)體和鑒別實(shí)體完成身份的雙向認(rèn)證，利用數(shù)字簽名技術(shù)保證設(shè)備之間傳輸信息的完整性，通過(guò)CA鑒別簽發(fā)實(shí)體的證書(shū)是否被惡意篡改，實(shí)現(xiàn)對(duì)等實(shí)體之間身份確認(rèn)，確保接入實(shí)體的合法性，保證對(duì)等實(shí)體之間建立安全的通信鏈路，有效地解決身份認(rèn)證問(wèn)題。同時(shí)結(jié)合Diffie-Hellman協(xié)議實(shí)現(xiàn)對(duì)等實(shí)體之間臨時(shí)會(huì)話密鑰的安全協(xié)商，保證傳輸信息的安全性。

1　相關(guān)工作

Patras大學(xué)的SERPANOS D N等人在2008年指出現(xiàn)有視頻監(jiān)控系統(tǒng)存在一系列安全隱患，并提供了一些相應(yīng)的解決方案[4]，同時(shí)也提到關(guān)于設(shè)備之間的身份驗(yàn)證問(wèn)題，但并沒(méi)有給出具體的認(rèn)證解決方式。一些視頻監(jiān)控廠商也提出視頻監(jiān)控安全解決方案[5-6]，提出使用終端安全接入保護(hù)措施的一些機(jī)制，但大多端點(diǎn)的安全接入管理功能是基于802.1x認(rèn)證，通過(guò)擴(kuò)展EAP驗(yàn)證和Radius協(xié)議，以此保護(hù)前端接入設(shè)備的安全性。802.1x的引入雖然解決了一些傳統(tǒng)的安全問(wèn)題，但把此認(rèn)證引入到監(jiān)控系統(tǒng)中，還會(huì)帶來(lái)一些其他的安全隱患。主要由于視頻監(jiān)控中的終端和AS交互協(xié)商得到的安全會(huì)話密鑰是通過(guò)AS傳至AP，認(rèn)證方式將生成的會(huì)話密鑰通過(guò)網(wǎng)絡(luò)傳遞，由于網(wǎng)絡(luò)本身存在不安全因素，導(dǎo)致引入的認(rèn)證方式存在新的安全缺陷，而且通信過(guò)程的中間設(shè)備沒(méi)有獨(dú)立的認(rèn)證實(shí)體，認(rèn)證過(guò)程容易受到攻擊，這是802.1x中存在的一個(gè)必然的安全漏洞[7-8]。視頻監(jiān)控業(yè)界開(kāi)放型網(wǎng)絡(luò)視頻產(chǎn)品接口論壇(Open Network Video Interface Forum，ONVIF)標(biāo)準(zhǔn)[9]基于Web Services，而Web Services 主要利用SOAP和HTTP使信息在Web上傳輸。在認(rèn)證方面，該標(biāo)準(zhǔn)主要是使用WSS摘要認(rèn)證、HTTP 摘要認(rèn)證和TLS-based access[10]，但這些認(rèn)證都是單向認(rèn)證，無(wú)法驗(yàn)證交互實(shí)體的合法性，存在主動(dòng)攻擊威脅。

三元對(duì)等鑒別機(jī)制(TePA)是中國(guó)擁有自主創(chuàng)新知識(shí)產(chǎn)權(quán)的信息安全領(lǐng)域的實(shí)體鑒別機(jī)制，可用于訪問(wèn)控制、身份鑒別、數(shù)字簽名、可信計(jì)算等安全系統(tǒng)[11-12]。文獻(xiàn)[13-14]中描述了該機(jī)制的通信流程，通過(guò)五步交互完成對(duì)等實(shí)體的雙向認(rèn)證。文獻(xiàn)[15-17]分別證明TePA鑒別機(jī)制的安全性。本文設(shè)計(jì)的視頻監(jiān)控系統(tǒng)的身份鑒別機(jī)制在原有機(jī)制的基礎(chǔ)上進(jìn)行了相應(yīng)的調(diào)整，結(jié)合密鑰協(xié)商協(xié)議Diffie-Hellman協(xié)議，使對(duì)等實(shí)體在完成5次消息交互后，不僅實(shí)現(xiàn)了安全通信信道的建立并且完成了對(duì)等實(shí)體之間的雙向認(rèn)證，而且對(duì)等實(shí)體之間通過(guò)密鑰協(xié)商Diffie-Hellman協(xié)議在身份認(rèn)證過(guò)程中交換對(duì)等實(shí)體通信之間的密鑰因子，雙向認(rèn)證完成確認(rèn)對(duì)等實(shí)體之間的身份，利用對(duì)等實(shí)體之間傳遞的密鑰因子生成安全的臨時(shí)會(huì)話密鑰，保證雙方通信安全。

2　TePA認(rèn)證技術(shù)

2.1符號(hào)

表1列出了本文使用符號(hào)的具體含義。

表1　文中符號(hào)的含義

2.2TePA認(rèn)證技術(shù)

ASE為引入的可信第三方，擁有對(duì)等實(shí)體當(dāng)前的有效公鑰，AE和ASUE是對(duì)等實(shí)體，且雙方都擁有當(dāng)前ASE的有效公鑰。假設(shè)設(shè)備之間證書(shū)信息通過(guò)安全信道獲取，如圖1給出了三元對(duì)等鑒別機(jī)制的一種形式，對(duì)等實(shí)體之間的信息交互使用私鑰簽名，確保信息交互的完整性，防止數(shù)據(jù)被惡意篡改。

圖1　三元對(duì)等鑒別機(jī)制

圖2　身份認(rèn)證和密鑰協(xié)商

圖1基于三元對(duì)等的身份鑒別方式實(shí)現(xiàn)對(duì)等實(shí)體身份鑒別，實(shí)體之間相互通信需要保證信息的安全性，認(rèn)證完成后再進(jìn)行密鑰協(xié)商。雖然這樣可以確保會(huì)話密鑰的安全協(xié)議，但信息交互次數(shù)增加，將帶來(lái)額外的時(shí)間和資源開(kāi)銷(xiāo)。本文修改后的方案在認(rèn)證過(guò)程中，結(jié)合Diffie-Hellman協(xié)議完成對(duì)等實(shí)體之間身份雙向認(rèn)證的同時(shí)協(xié)商得到安全的臨時(shí)會(huì)話密鑰，保證會(huì)話鏈路的安全建立和會(huì)話密鑰的安全協(xié)商。圖2給出了修改后的三元對(duì)等鑒別機(jī)制，在對(duì)等實(shí)體鑒別過(guò)程中，同時(shí)又完成會(huì)話密鑰的安全協(xié)商。

圖2中ASUE代表接入設(shè)備，AE代表應(yīng)用服務(wù)器，ASE作為認(rèn)證中心負(fù)責(zé)完成對(duì)等實(shí)體的身份鑒別。序號(hào)0～5代表信息交互的順序。設(shè)備在接入時(shí)，首先向AE發(fā)送注冊(cè)請(qǐng)求，AE接收到注冊(cè)請(qǐng)求信息后，執(zhí)行5步三元對(duì)等流程，完成身份確認(rèn)。交互信息包含Diffie-Hellman協(xié)議計(jì)算密鑰所需的密鑰因子，確認(rèn)對(duì)等實(shí)體之間的合法性，通過(guò)雙向認(rèn)證并使用Diffie-Hellman協(xié)議計(jì)算得到本次通信的臨時(shí)會(huì)話密鑰。多個(gè)ASUE接入時(shí)，都會(huì)與AE協(xié)商得到本次會(huì)話密鑰。不同ASUE進(jìn)行通信時(shí)，AE使用ASUE計(jì)算的臨時(shí)會(huì)話密鑰，將ASUE與AE之間的Diffie-Hellman協(xié)議密鑰因子發(fā)送至對(duì)方的ASUE，用于計(jì)算得到ASUE之間的通信會(huì)話密鑰。

圖3　認(rèn)證原型系統(tǒng)

圖3給出了實(shí)際環(huán)境中測(cè)試的原型系統(tǒng)，系統(tǒng)開(kāi)發(fā)過(guò)程使用開(kāi)源軟件，其中認(rèn)證服務(wù)器(ASE)使用開(kāi)源軟件freeradius，對(duì)等實(shí)體包括IPC與NVR端,作為系統(tǒng)中鑒別實(shí)體(AE)，應(yīng)用服務(wù)器使用OpenSips軟件作為系統(tǒng)中鑒別服務(wù)器請(qǐng)求實(shí)體(ASUE)。測(cè)試環(huán)境中需要首先啟動(dòng)NVR端，等待NVR端完成啟動(dòng)后才可以啟動(dòng)IPC端，否則無(wú)法完成對(duì)等實(shí)體之間密鑰協(xié)商且IPC的采集信息無(wú)法保存至NVR。每個(gè)實(shí)體之間的證書(shū)信息由可信第三方簽發(fā)，并通過(guò)安全信道發(fā)送給各個(gè)實(shí)體。

通過(guò)上述流程發(fā)現(xiàn)IPC與NVR各自與SIP Server服務(wù)器完成對(duì)等實(shí)體之間身份的鑒別并協(xié)商得到雙方通信的臨時(shí)會(huì)話密鑰，便于后續(xù)利用SIP Server服務(wù)器交互Diffie-Hellman協(xié)議密鑰因子完成IPC與NVR之間密鑰協(xié)商。

3　性能分析

通過(guò)模擬環(huán)境對(duì)修改的TePA機(jī)制進(jìn)行測(cè)試，分別對(duì)ASE的驗(yàn)證簽名與AE和ASUE對(duì)等實(shí)體之間的驗(yàn)證簽名性能進(jìn)行測(cè)試。由于測(cè)試環(huán)境受限，ASE并發(fā)測(cè)試過(guò)程中模擬多臺(tái)設(shè)備接入，與實(shí)際測(cè)試結(jié)果可能存在偏差，而且測(cè)試結(jié)果僅在局域網(wǎng)中測(cè)試得到，在公網(wǎng)測(cè)試中受到各種環(huán)境影響，與實(shí)際環(huán)境測(cè)試也會(huì)存在一定的誤差。

圖4　ASE鑒別響應(yīng)時(shí)間

如圖4所示，多設(shè)備接入的ASE鑒別響應(yīng)時(shí)間優(yōu)于單設(shè)備接入所需時(shí)間，這可以證明本文所提機(jī)制在應(yīng)對(duì)多設(shè)備ASE鑒別響應(yīng)時(shí)有著較好的表現(xiàn)。如圖5所示，基于三元對(duì)等的身份鑒別機(jī)制相對(duì)于傳統(tǒng)的方法在對(duì)等實(shí)體交互時(shí)間上有著一定的優(yōu)勢(shì)，時(shí)間的消耗趨勢(shì)比較平穩(wěn)，未出現(xiàn)明顯較大的波動(dòng)。ASUE驗(yàn)證簽名時(shí)間如圖6所示，可以看出，本文推薦的身份鑒別機(jī)制在消耗時(shí)間上明顯小于傳統(tǒng)方法驗(yàn)證簽名所需要的時(shí)間，并且本文方法隨著測(cè)試次數(shù)的增多上下波動(dòng)更為平穩(wěn)，這使得系統(tǒng)運(yùn)行更為穩(wěn)定。

圖5　對(duì)等實(shí)體之間交互時(shí)間

圖6　ASUE驗(yàn)證簽名時(shí)間

4　結(jié)束語(yǔ)

本文實(shí)現(xiàn)了基于三元對(duì)等的視頻監(jiān)控身份鑒別機(jī)制，通過(guò)五次消息交互完成對(duì)等實(shí)體之間身份的雙向確認(rèn)，實(shí)現(xiàn)對(duì)等實(shí)體之間建立安全的會(huì)話鏈路。認(rèn)證交互信息利用數(shù)字簽名保證完整性，通過(guò)可信第三方完成對(duì)等實(shí)體之間身份鑒別，實(shí)現(xiàn)雙向認(rèn)證，有效地解決了利用預(yù)置共享密鑰參與加/解密實(shí)施中間人攻擊，以及Kerberos弱口令而導(dǎo)致攻擊者可以實(shí)施口令猜測(cè)攻擊的問(wèn)題。結(jié)合密鑰協(xié)商Diffie-Hellman協(xié)議，完成身份鑒別的同時(shí)也完成對(duì)等實(shí)體之間會(huì)話密鑰協(xié)商，保證設(shè)備之間信息交互的機(jī)密性。

[1] 孫鳳杰, 崔維新, 張晉保,等. 遠(yuǎn)程數(shù)字視頻監(jiān)控與圖像識(shí)別技術(shù)在電力系統(tǒng)中的應(yīng)用[J].電網(wǎng)技術(shù), 2005, 29(5):81-84.

[2] 陳啟軍, 左明. 多媒體圖象監(jiān)控的一種實(shí)現(xiàn) [J].計(jì)算機(jī)工程, 1997, 23(5): 38-40.

[3] 樊莉莉.基于SIP的視頻監(jiān)控系統(tǒng)的安全傳輸[D].太原:太原理工大學(xué), 2011.

[4] SERPANOS D N, PAPALAMBROU A. Security and privacy in distributed smart cameras[J].Proceedings of the IEEE, 2008, 96(10):1678-1687.

[5] 徐志軍.淺談視頻監(jiān)控整體解決方案的現(xiàn)狀與趨勢(shì) [J].中國(guó)安防, 2013(12): 84-86.

[6] 趙克棟.視頻監(jiān)控系統(tǒng)設(shè)計(jì)與工程應(yīng)用[D].北京:北京郵電大學(xué),2009.

[7]MISHRAA,ARBAUGHWA.AninitialsecurityanalysoftheIEEE802.1xstandard[R].TechRepCS-TR-4328,UniversityofMaryland,CollegePark, 2003.

[8]MITCHELLJC,HEC.SecurityanalysisandimprovementsforIEEE802.11i[C].Proceedingsofthe12thAnnualNetworkandDistributedSystemSecuritySymposium(NDSS′05),StanfordUniversity,Stanford,2005:90-110.

[9]GEHRMANNC.ONVIFsecurityrecommendations[S].ONVIFDocument,2010:1-12.

[10] 賀貴明.基于內(nèi)容的視頻編碼與傳輸控制技術(shù)[M].武漢:武漢大學(xué)出版社,2005.

[11] 龍昭華, 楊云鵬, 陳萬(wàn)東,等. 基于TePA的無(wú)線傳感器網(wǎng)絡(luò)用戶(hù)接入認(rèn)證協(xié)議[J].計(jì)算機(jī)應(yīng)用, 2015,35(z1):1-5.

[12] 畢超杰, 張?jiān)拦? 采用TePA技術(shù)大型多域環(huán)境下的信任機(jī)制[J].中國(guó)電子商情·通信市場(chǎng), 2014(2):58-62.

[13] 羅振營(yíng), 龍昭華, 陳萬(wàn)東. 基于TePA的以太網(wǎng)鏈路層安全分析與研究[J].計(jì)算機(jī)應(yīng)用研究, 2014, 31(6):1836-1840.

[14]上官曉麗, 杜志強(qiáng). 基于虎符TePA的信息安全國(guó)際標(biāo)準(zhǔn)提案進(jìn)展[J].信息技術(shù)與標(biāo)準(zhǔn)化, 2013(6):66-68.

[15] 肖躍雷, 朱志祥, 張勇. 三元對(duì)等鑒別機(jī)制的安全性分析[J].計(jì)算機(jī)與現(xiàn)代化, 2015(6):1-6.

[16] 羅振營(yíng), 龍昭華, 陳萬(wàn)東. 基于TePA的以太網(wǎng)鏈路層安全分析與研究[J].計(jì)算機(jī)應(yīng)用研究, 2014, 31(6):1836-1840.

[17] 龍昭華, 陳萬(wàn)東, 王梅,等. 基于TePA的無(wú)線傳感器網(wǎng)絡(luò)安全方案[J].計(jì)算機(jī)應(yīng)用研究, 2013, 30(6):1824-1827.

Research and realization of video and surveillance authentication technology based on TePA

Shi Tingjun, Zhang Yingjie, Wei Zhenyu

(College of Information Engineering,Yangzhou University, Yangzhou 225127, China)

Video and surveillance security issue has been much focused, and how to ensure the security of data transmission is the focus of the study. The traditional identity verification protocol based on the password has weak passwords hazards and the attacker will request llegal messages with the attack of password guesses. However, using Kerberos protocol requires user to set strong password to improve the authentication security and then lead to a bad experience of users.In this paper,a managing scheme of video and surveillance based on the TePA(Three-element Peer Authentication) is designed .It brings in the trusted three-element peer authentication to realize the bidirectional authentication between peer entities and deal with the security problem of equipment certification effectively.

attack of password guesses;Kerberos protocol; TePA

TP393

A

10.19358/j.issn.1674- 7720.2016.15.002

2016-05-09)

史庭俊(1963-)，男，博士，副教授，主要研究方向：無(wú)線傳感器、信息安全。

張穎杰(1992-)，女，碩士研究生，主要研究方向：信息安全。

魏振宇(1990-)，男，碩士研究生，主要研究方向：信息安全。

引用格式：史庭俊，張穎杰，魏振宇. 基于TePA視頻監(jiān)控身份認(rèn)證技術(shù)的研究與實(shí)現(xiàn)[J].微型機(jī)與應(yīng)用，2016,35(15)：8-10,17.