1 方案背景
1.1 应用背景
近年来，随着“智慧城市”、“平安城市”、“雪亮工程”等重大项目的推进，以及各重要涉密单位对自身安全的重视，以网络摄像机为核心的视频监控系统作为维护公共安全的“数据探针”，被越来越多地部署到城市的各角落，形成了对公共安全要害部位的视频监控全方位覆盖，大大提高了公安机关维护社会治安和应对突发事件的能力和水平。经过多年建设，近亿级的摄像头已形成了覆盖城乡的“天网”。视频监控系统的应用场景覆盖公安、政府、金融、铁路、电力等众多行业和领域。
1.2 视频监控系统的安全现状
由于现有的视频监控系统普遍缺乏有效的安全防护机制，导致视频监控系统安全事件频发，严重威胁个人、企业，乃至国家安全，其中主要存在的安全隐患包括：
- 缺少对口令探测攻击、漏洞攻击等常见攻击的有效防护；
- 视频数据和控制数据，采用明文传输，易被攻击者拦截、还原；
- 缺少设备入网身份鉴别机制，无法阻止非法设备接入网络；
- 无法保证视频数据被替换或者恶意篡改。
在监控摄像头大量部署的背景下，视频传输安全的问题日益凸显，如何有效保证视频监控系统的安全，已经是刻不容缓急需解决的问题。
2 视频安全传输解决方案
2.1 技术思路
- 在视频采集端，提供视频安全模块，将其串接在视频网络中，对视频摄像头等采集端设备进行接入身份认证，并对视频数据进行加密，从源头保障数据安全；
- 在视频管理中心的出入口处，配置视频安全网关，提供视频数据的加解密功能，并保护视频管理中心网络免受非法攻击侵害；
- 在视频管理中心的网络中，部署密钥管理系统，科学、安全地解决各类终端、各级系统之间的密钥产生与分发、身份认证等安全需求。
2.2 解决方案
传统的视频监控网络，一般包括视频摄像机、视频服务器、存储系统等部分。视频安全传输系统，在传统视频监控网络的基础之上，整合了视频安全模块、视频安全网关和密钥管理服务器三个设备。其主要组成结构如下图所示：
图 1 视频安全传输系统组成结构图
2.3 方案说明
（1）视频安全模块
视频安全模块，串接在临近监控摄像头的网络中，能够对摄像头的传输数据进行加密，并保护摄像头不收非法攻击的侵害，亦能防止摄像头被非法替换。
（2）视频安全网关
视频安全网关，部署于视频管理中心网路的出入口，对进出流量进行加密和解密，并可防止非法流量通过。
（3）密钥管理服务器
密钥管理服务器，部署于视频管理中心的内部网络中，对视频安全网关和视频安全模块，提供密钥管理功能，包括初始密钥的生成，密钥的分发、更新、归档，以及基于密钥的身份认证等功能。
3 系统特点
（1）终端适应性强，部署灵活
支持各种不同的视频摄像机或者其他视频、图像采集终端，提供轻量级的视频安全模块，可采用透明方式轻松接入网络，部署简单、灵活。
（2）无感知加密传输，无需改变原有网络结构
视频安全模块和视频安全网关，均支持透明方式接入网络，可对视频数据进行无感知加密解密，且无需改变现有网络结构，即可实现对整个视频系统的加密和安全防护。
（3）支持国密算法和国密标准，兼容国际算法
系统中的视频加密传输，支持国密的SM2、SM3、SM4等算法，并采用符合国密标准的身份认证、密钥管理、加密解决方案，保证整个系统的合规性和安全性。同时，兼容国际标准的AES、SHA1、SHA2等国际算法，能满足各种应用场景的不同需求。
4 典型部署
视频安全传输系统，一般需结合用户现有的视频监控网络情况进行部署。系统支持在同一局域网内、不同网络之间（类似互联网），采用透明模式和路由模式部署。不同网络环境中的常见部署方式如下：
- 透明模式部署
常见的视频监控网络结构如下图所示：
图中，视频服务器位于172.168.1.0/24网段，摄像机处于192.168.1.0/24网段，两个网段采用路由器连接。视频服务器和摄像机可以相互访问。
针对以上用户的网络拓扑情况，现提出采用透明模式部署的安全传输解决方案，其网络部署图如下图所示：
在该部署模式中，视频安全网关透明串接在视频管理中心路由器的左侧，需分配一个192.168.1.0/24网段的独立IP地址，用于设备管理、密钥管理和身份认证；视频安全模块透明串接在摄像头后的网络中，并需分配与摄像头相同网段的独立IP地址，该IP地址用于视频安全模块的设备管理、密钥管理和身份认证；在视频管理中心，还需要部署密钥管理服务器，用于视频安全系统的密钥管理与身份认证。
采用透明模式的适应性较强，不需要改变用户的现有网络结构，支持摄像机和视频服务器位于同一局域、不同网段的局域网或互联网，也支持NAT网络等多种网络环境，可对视频数据进行无感知加密解密，实现对整个视频系统的加密和安全防护。
- 路由模式部署
采用路由模式部署时，摄像机和视频服务器在不同的网段中，视频安全网关部署于两个网络的边界处。常见的路由模式部署结构，如下图所示： 
图中，视频安全网关采用路由模式接入网络，具备网络路由器的功能，其左右两侧需要分配两个不同网段的IP地址，分别为192.168.1.0/24网段和172.16.1.0/24网段；密钥管理服务器位于视频管理中心的172.16.1.0/24网段中。
路由模式是一种比较简单、常见的部署模式，视频安全网关位于不同网段的网络边界处，替代了传统路由器的位置，在用户新建视频监控网络，或者原有视频监控网络就是路由模式时，部署较为方便。