信息安全技术在雪亮工程建设中的应用结合

　　【摘 要】：为了进一步加快建立市域社会治安防控体系的建设，提升社会治理能力，保障人民安居乐业，党和国家将“雪亮工程”的建设作为城市安全保障建设的重要基础建设和规划，因此“雪亮工程”也就成为了维护社会稳定、加强社会治理水平的重要工具，发挥的作用愈来愈重要。然而 随着全国各地“雪亮工程”的大规模部署，各种信息和数据的安全问题也日益凸现，甚至威胁到了国家、社会、企业和家庭安全。那么如何保证数据在过程中不被别人窃取或篡改，保证数据传输的 安全性就成了当前急需解决的问题。本文主要阐述“雪亮工程”在当前建设过程中的一些技术要点， 并从信息安全方面对“雪亮工程”的实施改进和提升作出了进一步的分析。

　　【关键词】：信息安全；雪亮工程；视频安全；

　　引言：“雪亮工程”的形成与发展

　　“雪亮工程”以信息化为基本支撑，以网格化管理为辅助手段，通过建设公共安全视频监控联网设施的信息化工程项目，“雪亮工程”作为维护国家安全、社会稳定的重要基础条件，其公共安全监控设施的完善对于社会治安防控体系的构建发挥了重要作用，提升了公安机关在动态化、信息化条件下的预警预测能力、治安防控、视频侦查、现场处置能力和指挥保障能力，为跨地区、跨部门 信息共享提供全面的视频信息服务，为应急指挥和综合治理提供了可视化信息支撑工作。

　　一、“雪亮工程”中面临的数据安全问题

　　“雪亮工程”通过在不同类型的网络上对接各种类型的监控资源，解决了视频信息资源共建共 享的问题。然而，广泛部署的视频监控系统在为社会公共安全提供全面保障的同时，也因为网络与 信息安全防护机制的缺失，面临着极为严峻的网络空间安全威胁的挑战。社会面的监控资源普遍存 在点位众多、分布广泛的情况，大量的监控点位处于无人值守的环境，而且绝大多数的监控资源的 联网设备没有有效的身份认证机制，在通过互联网传输数据及信令的时候没有采取任何措施，基本 都是采用明文传输方式。一旦网络被非法侵入就面临设备被非法劫持、信息泄露以及被非法篡改的 风险。杭州海康威视数字技术有限公司(即“海康威视”)的监控设备就曾经因牵涉严重信息安全问题被外界所广泛关注。

　　为建全视频数据安全体系，响应视频监控系统安全标准、政策、要求，切实提高视频监控系统安全防护水平，各地视频监控系统建设的主管单位也纷纷在其“雪亮工程”等相关系统建设要求中 加入了视频监控安全的具体要求。

　　二、视频资源的信息安全技术标准

　　2017 年 11 月，中国国家标准化管理委员会正式发布 GB 35114-2017《公共安全视频监控联网信 息安全技术要求》，并于 2018 年 11 月正式实施。根据此标准，“雪亮工程”系统中的各类设备必须能够提供访问用户身份验证功能，设备身份认证、访问用户身份认证、视频数据签名认证、视频加 解密等各项业务和能力。

　　在此基础上，通过以下方式建立监控设施的信息安全能力和体系：

　　（一）监控设施要能够安全分级：处于互联网或其他公共网络上的各类监控设备必须具有基于 数字证书的身份认证以及签名、加密等信息安全保护功能，操作使用终端必须具有基于数字证书的 身份认证功能，并根据安全保护能力的强弱，将具有安全功能的前端设备安全等级设定为 A、B、C 三个级别。

　　（二）所有设备必须实现身份认证：对所有在网络上的用户必须进行基于数字证书的认证；平 台将会对所有接入的设备进行单向设备身份认证或者双向设备身份认证，并对设备的基本信息、属 性以及密码与证书的对应关系作管理；

　　（三）接入至网络的所有设备必须实现授权访问控制：在“雪亮工程”的系统中如果要访问加 密信息，则该用户是必须经过数字证书认证的用户；当需要跨域访问时，则应采用携带信令的用户 身份信息对目标设备进行访问和有权限的控制。

　　（四）传输过程中应对数据进行安全加密：通过在“雪亮工程”中建设信息安全体系，整个系统将支持视频及音频数据进行加密的传输方式。并可以在一定权限范围内对加密信息数据的实时播 放、回放等操作，如果信息资源被导出时，平台可以通过更换信息数据的密钥以及用于加密的密钥 来保障信息的安全。

　　（五）支持信息安全管理的能力：通过改造使信令控制服务器、媒体服务器、路由网关等支持信息安全的能力；同时对雪亮工程中最主要的联网共享平台要进行改造和升级，使其支持用户身份 认证、设备认证、密钥管理、权限管理、访问控制与审计、加密数据管理、数据源抗抵赖，信令完 整性验证等一系列保障信息安全管理的能力。

　　以国产商用密码算法为基础，利用公钥基础设施以及安全芯片、智能密码钥匙、密码机、密钥管理系统等密码运算、管理设备，可以实现视频监控联网系统内各类设备、平台、用户的统一身份 认证、信令完整性验证、视频流加解密、视频关键帧签名等安全防护功能，从而防止视频设备、用 户的非法接入，防止信令、视频数据遭到非法获取和篡改，实现视频监控联网系统整体安全能力的 提升，是一套完整的从前端到平台、兼顾安全和非安全设备并存的视频监控安全系统。

　　三、具体的实现方式通过如下措施：

　　（一）统一编码规则：依照 GB/T28181-2016 对前端视频设备、服务器设备、网管设备等具有安 全功能的用户终端进行统一编码，实现统一管理。

　　（二）授权与访问控制：在设备身份认证的基础上，系统应具有采用基于属性或基于角色的访

　　问控制模型对用户进行授权管理和访问控制。

　　通过管理平台与前端设备之间的单向、双向身份认证，以及管理平台之间的双向身份认证，为视频监控网络用户或设备提供基于证书统一的身份认证和访问控制机制，确保进入视频监控系统中各网元实体的身份真实，网元实体包括前端摄像机、安全转换器设备、用户客户端、录像机等。采用用户分级授权管理模式，具备注册、身份认证、权限管理、访问控制等功能，支持跨域及平台间的安全身份认证与消息鉴权传递，以实现设备、用户、系统的级联交互。基于设备的身份真实，系 统可以进而采取基于属性或角色的访问控制模型，实现对设备、用户的细粒度的授权管理和访问控 制。

　　（三）设备异常管理报警：系统能及时发现安全前端的异常情况，如非授权处理、密码模块损 坏或丢失、前端设备异常掉线等。视频监控安全管理平台能及时感知设备异常情况，进行报警，并 同时写入日志。

　　（四）安全管理：按照最小特权设置的原则，系统设置安全管理员、安全操作员和安全审计员 三类管理员角色。

　　安全管理员负责系统的安全参数配置、系统服务器启动和停止，不具有安全业务操作的权限。 安全操作员按其权限进行具体的安全业务操作，包括密钥生成、导入、备份和恢复等操作。安全审计员负责系统的审计管理，负责对涉及系统安全的事件和各类管理、操作人员的行为进行审计和监 督。

　　（五）日志管理：系统对设备认证等安全操作和各种异常安全事件，包括密钥协商失败等记录日志。视频监控安全管理平台具备获取安全前端各种异常安全事件日志的功能。包括设备认证失败、 密钥协商失败等。

　　（六）非对称密钥管理：将国产商用密码与我国视频监控联网应用体系结合，系统非对称密钥 对其证书按照 GM/T 0034-2014 管理。

　　在身份认证的基础上，利用国密杂凑算法实现对设备控制信令做消息认证，避免信令传输过程中被篡改，以实现对信令消息的防护，同时支持对跨域控制指令的鉴权和认证，确保平台与设备间的控制信令是经过真实、可靠并经过合法授权的，避免视频设备遭到恶意控制。

　　（七）对称密钥管理：系统对所使用的对称密钥进行完整生命周期的管理。视频密钥加密密钥在设备注册时更新，并安全传输到具有安全功能前端设备的密码模块中安全存储。视频密钥加密密 钥更新周期可控制在不大于 1 天。

　　针对视频流在传输过程中易遭非授权访问或搭线窃听等攻击场景，对传输的视频流进行加密传输，确保在数据传输的通道上，没有明文视频数据存在。任何被截获的视频数据，都将由于无法获 取解密密钥而无法观看，从而保证了视频数据的安全性。

　　总结：互联网的快速发展，对今天的社会主义建设提出了重要的要求，互联网以及大数据的快速应用，正在将我们逐渐带入一个复杂并且不确定的世界之中，在这样的大形势之下如何保障我们的信息资源不泄密？本文通过阐述雪亮工程信息安全体系建设的方案，充分论证了信息安全建设在雪亮工程中的重要作用，并将这种信息安全的建设参照按照相关标准做出了具体的描述。

　　责任编辑：广汉