最新視頻信息安全設計方案免費下載-資料下載頁

　　

【正文】 為 EAP 方法。由于 EAP 方法除了 15 / 23IETF 定義了一部分外，廠商也可以自定義方法，因此 EAP 具有很強的擴展性。IETF 的 RFC 中定義的方法包括 EAPMDEAPOTP、EAPGTC、EAPTLS、EAPSIM 和 EAPAKA 等。無線網絡中常用的方法包括 EAPTLS、 EAPSIM、 EAPAKA、 PEAP、LEAP 和 EAPTTLS。目前 EAP 在 的網絡中使用廣泛，可擴展的 EAP 方法可以為接入網絡提供一個安全認證機制。 鑰認證機制隨著網絡應用的普及，對系統外用戶進行身份認證的需求不斷增加，即某個用戶沒有在一個系統中注冊，但也要求能夠對其身份進行認證，尤其是在分布式系統中，這種要求格外突出。這種情況下，公鑰認證機制就顯示出它獨特的優越性。公鑰認證機制中每個用戶被分配給一對密鑰，稱之為公鑰和私鑰，其中私鑰由用戶保管，而公鑰則向所有人公開。用戶如果能夠向驗證方證實自己持有私鑰，就證明了自己的身份。當它用作身份認證時，驗證方需要用戶方對某種信息進行數字簽名，即用戶方以用戶私鑰作為加密密鑰，對某種信息進行加密，傳給驗證方，而驗證方根據用戶方預先提供的公鑰作為解密密鑰，就可以將用戶方的數字簽名進行解密，以確認該信息是否是該用戶所發，進而認證該用戶的身份。公鑰認證機制中要驗證用戶的身份，必須擁有用戶的公鑰，而用戶公鑰是否正確，是否是所聲稱擁有人的真實公鑰，在認證體系中是一個關鍵問題。常用的辦法是找一個值得信賴而且獨立的第三方認證機構充當認證中心（Certificate Authority，CA） ，來確認聲稱擁有公開密鑰的人的真正身份。要建立安全的公鑰認證系統，必須先建立一個穩固、健全的 CA 體系，尤其是公認的權威機構，即“Root CA”，這也是當前公鑰基礎設施（PKI）建設的一個重點。 認證協議許多協議在向用戶或設備授權訪問和訪問權限之前需要認證校驗，通常要用到認證相關的機制，前面討論了常用的認證機制，本節介紹使用這些認證機制的協議，這些協議包括 RADIUS、TACACS 、Kerberos、LDAP 等。RADIUS 和 TACACS 通常用在撥號環境中，Kerberos 是在校園網中用的比較多的協議。 LDAP 提供一種輕量級的目錄服務，嚴格來說不能算作一種認證協議，而對用戶進行認證授權只是LDAP 的一種應用。 16 / 23 RADIUS 認證協議RADIUS（Remote Authentication Dial In User Service）協議最初是由 Livingston公司提出的，目的是為撥號用戶進行認證和計費。后來經過多次改進，形成了一個通用的 AAA 協議。RADIUS 協議認證機制靈活，能夠支持各種認證方法對用戶進行認證。可以采用上述任何一種認證機制。RADIUS 是一種可擴展的協議，它進行的全部工作都是基于屬性進行的，由于屬性可擴展性，因此很容易支持不同的認證方式。RADIUS 協議通過 UDP 協議進行通信， RADIUS 服務器的 1812 端口負責認證，1813 端口負責計費工作。采用 UDP 的基本考慮是因為 NAS 和 RADIUS 服務器大多在同一個局域網中，使用 UDP 更加快捷方便。 TACACS 認證協議TACACS（Terminal Access Controller Access Control System）最先是由 BBN 為MILNET 開發的一種基于 UDP 的訪問控制協議，一些廠商對協議進行了擴展，最終形成了一種新的 AAA 協議，其中 CISCO 公司對 TACACS 協議多次進行增強擴展，目前成為 TACACS+協議， H3C 在 TACACS（RFC1492）基礎上進行了功能增強，形成了 H3C 擴展的 TACACS 協議。無論 TACACS、TACACS+還是 H3C 擴展TACACS 協議，其認證、授權和計費是分離的，并且與原始 TACACS 協議相比，TACACS+和 HWTACACS 可以使用 TCP 作為傳輸層協議，端口號為 49。TACACS+允許任意長度和內容的認證交換，與 RADIUS 一樣，具有很強的擴展性，并且客戶端可以使用任何認證機制。由于 TACACS+的認證與其他服務是分開的，所以認證不是強制的，這點與 RADIUS 是不同的。 Kerberos 認證協議在一個分布式環境中，采用上述兩種認證協議時，如果發生賬號改動的情況，每臺機器上的都要進行相應的賬號修改，工作量非常大。Kerberos 是 MIT 為解決分布式網絡認證而設計的可信第三方認證協議。Kerberos 基于對稱密碼技術，網絡上的每個實體持有不同的密鑰，是否知道該密鑰便是身份的證明。網絡上的 Kerberos服務起著可信仲裁者的作用，可提供安全的網絡認證。Kerberos 常見的有兩個版本：第 4 版和第 5 版，目前使用的標準版本是版本 5。Kerberos 是一種受托的第三方認證服務，它是建立在 Needham 和 Schroeder 認證協議基礎上，它要求信任第三方，即 Kerberos 認證服務器（ AS） 。AS 為客戶和服務器提供證明自己身份的票據以及雙方安全通信的會話密鑰。Kerberos 中還有一個 17 / 23票據授予服務器（TGS） ，TGS 向 AS 的可靠用戶發出票據。除客戶第一次獲得的初始票據是由 Kerberos 認證服務器簽發外，其他票據都是由 TGS 簽發的，一個票據可以使用多次直至期限。客戶方請求服務方提供一個服務時，不僅要向服務方發送從票據授予服務器領來的票據，同時還要自己生成一個鑒別碼(Authenticator，Ac)一同發送，該證是一次性的。 LDAP 協議LDAP（Lightweight Directory Access Protocol）是基于 標準的，但是比 簡單，并且可以根據需要定制。與 不同，LDAP 支持 TCP/IP，這對訪問 Inter 是必須的。LDAP 是一個目錄服務協議，目前存在眾多版本的 LDAP，而最常見的則是 V2 和 V3 兩個版本，它們分別于 1995 年和 1997 年首次發布。一般在分布式、跨平臺認證的場景下，LDAP 比前面介紹的認證協議具有一定優勢。LDAP 協議嚴格來說并不屬于單純認證協議，對用戶進行授權認證是 LDAP 協議的一個典型應用。例如 Microsoft 的 Windows 操作系統就使用了 Active Directory Server 來保存操作系統的用戶、用戶組等信息，用于用戶登錄 Windows 時的認證和授權。目錄服務其實也是一種數據庫系統，只是這種數據庫是一種樹形結構，而不是通常使用的關系數據庫。目錄服務與關系數據庫之間的主要區別在于：二者都允許對存儲數據進行訪問，只是目錄主要用于讀取，其查詢的效率很高，而關系數據庫則是為讀寫而設計的。所以 LDAP 協議非常適合數據庫相對穩定，而查詢速度要求比較高的認證場合。3 聯網視頻信息的特點 系統多級架構 網絡狀況復雜 視頻數據量大4 視頻系統信息安全分類通常，視頻監控系統業務數據和媒體數據采用分離的通道進行操作，其傳輸通道類型可分為信令流和媒體流。 18 / 23視頻流和視頻控制信令應以不同的物理通道進行傳輸，視頻控制信令通過信令流傳輸，視頻流通過媒體流傳輸。視頻控制協議是視頻監控終端與視頻設備(視頻管理服務器/ 監控平臺、DVR、攝像頭等設備) 間的控制指令集，即建立視頻監控圖像連接的基本指令集。為保證通信中指令集不包含網絡攻擊指令、其他非法字符集或嵌入機密數據向外泄露。視頻傳輸系統應具備視頻協議安全控制功能，對所有視頻監控交互指令進行嚴格安全過濾，阻斷非法數據傳輸和網絡攻擊的入侵。 信令加密業務數據加密是指每個控制命令或者參數設置命令都必須進行加密處理，采取加密業務信令通道的辦法來保證信息的安全性，保證數據鑒別、防篡改、防窺視、鑒別來源、防止非法訪問、防偽造。　　系統對信令進行加密，所有信令都使用加密技術，為了支持加密技術，需增加會話準備操作，進行握手交換標識，以讀取密碼生成密鑰，進而對分組進行加密。 媒體流加密對于視頻流的實時加密流程與信令流類似，同樣需要進行交換標識，以讀取密碼生成密鑰。5 安全系統的實現 認證中心 19 / 23 視頻安全平臺 系統評價6 系統建成預期效果7 安全技術展望