監(jiān)控系統(tǒng)本身的安全防范
2015-03-03 13:57:00
賬戶管理
目前很多安防公司普遍采用的私有DDNS方案的大致架構(gòu)是：企業(yè)在公網(wǎng)部署一個(gè)官方網(wǎng)站;用戶的前端設(shè)備放置在SOHO路由器的內(nèi)網(wǎng)，通過uPNP協(xié)議或手工靜態(tài)配置讓路由器將其服務(wù)端口映射到公網(wǎng)，并向網(wǎng)站進(jìn)行注冊(cè);外網(wǎng)的用戶后端設(shè)備(PC、手機(jī)、解碼器等)向網(wǎng)站獲取前端設(shè)備的公網(wǎng)IP地址和服務(wù)端口號(hào)，便可向其發(fā)起訪問。此時(shí)，外網(wǎng)用戶登錄內(nèi)網(wǎng)前端設(shè)備所要輸入的賬號(hào)通常就是設(shè)備本身的賬號(hào)，這個(gè)賬號(hào)因?yàn)橛脩魸撘庾R(shí)的以為處于內(nèi)網(wǎng)的設(shè)備是安全的而不會(huì)被及時(shí)更改;另一方面，很多網(wǎng)站要求設(shè)備名全局唯一，這樣黑客就可以很輕松的獲得大量在用的設(shè)備名，并以缺省賬號(hào)登錄設(shè)備竊取實(shí)況和錄像視頻。
從理論上講，任何連接入網(wǎng)的設(shè)備都存在被攻擊的風(fēng)險(xiǎn)。用戶應(yīng)該養(yǎng)成及時(shí)修改缺省密碼的習(xí)慣，而且密碼設(shè)置不能太過簡(jiǎn)單。以目前很常見的雙核計(jì)算機(jī)為例，如果破解純數(shù)字的6位密碼只需幾秒鐘，那么破解“數(shù)字+字母+特殊符號(hào)”的6位密碼只需要22個(gè)小時(shí)，而破解“數(shù)字+字母+特殊符號(hào)”的8位密碼則需要23年——當(dāng)然實(shí)際破解所需時(shí)間還與產(chǎn)品具體登錄流程的設(shè)計(jì)相關(guān)，但破解難度大致呈上述比例。所以密碼設(shè)置應(yīng)至少采用“數(shù)字+字母+特殊符號(hào)”的8位字符串。
對(duì)企業(yè)來(lái)說(shuō)，監(jiān)控系統(tǒng)設(shè)計(jì)應(yīng)該引導(dǎo)用戶及時(shí)修改默認(rèn)賬號(hào)和密碼，并對(duì)密碼的強(qiáng)度做出一定的限制。
網(wǎng)絡(luò)防范
黑客入侵的前提是設(shè)備和客戶端聯(lián)入互聯(lián)網(wǎng)，聯(lián)網(wǎng)的入口通常是一個(gè)SOHO級(jí)路由器，通過NAT(網(wǎng)絡(luò)地址轉(zhuǎn)換)特性聯(lián)入運(yùn)營(yíng)商網(wǎng)絡(luò)。它是抵御攻擊的第一道防線，需要用戶認(rèn)真規(guī)劃部署，企業(yè)設(shè)計(jì)方案時(shí)也應(yīng)該充分考慮用戶網(wǎng)絡(luò)的安全性。
NAT特性有四個(gè)運(yùn)行模式：完全錐型、地址限制錐型、端口限制錐型、對(duì)稱型，安全級(jí)別依次提升。完全錐型極不安全：只要內(nèi)網(wǎng)的設(shè)備曾經(jīng)訪問過外網(wǎng)的一臺(tái)設(shè)備，那么外網(wǎng)的任何設(shè)備都可以訪問該內(nèi)網(wǎng)設(shè)備的對(duì)應(yīng)業(yè)務(wù)端口;地址限制錐型也不夠安全，只要內(nèi)網(wǎng)的設(shè)備曾經(jīng)訪問過外網(wǎng)的某臺(tái)設(shè)備，該外網(wǎng)設(shè)備的任何進(jìn)程均可以訪問該內(nèi)網(wǎng)設(shè)備的對(duì)應(yīng)業(yè)務(wù)端口;后兩種模式相對(duì)安全，只有外網(wǎng)設(shè)備的對(duì)應(yīng)進(jìn)程才可以訪問內(nèi)網(wǎng)設(shè)備的對(duì)應(yīng)業(yè)務(wù)端口。
可怕的是，目前網(wǎng)上大部分的SOHO路由器都采用了完全錐型模式。更為可怕的是，安防界普遍采用的私網(wǎng)DDNS方案要求SOHO路由器開啟uPNP協(xié)議或手工配置來(lái)映射業(yè)務(wù)端口，也就意味著，即使內(nèi)網(wǎng)設(shè)備未曾訪問外網(wǎng)的任何設(shè)備，任何外網(wǎng)設(shè)備均可以直接訪問內(nèi)網(wǎng)設(shè)備的對(duì)應(yīng)業(yè)務(wù)端口。安全級(jí)別比完全錐型的NAT模式還要低。
沒有最不安全，只有更不安全。有些SOHO路由器因?yàn)榇嬖谫|(zhì)量問題，或者安防集成商對(duì)IT網(wǎng)絡(luò)比較陌生，會(huì)直接將路由器配置成DMZ模式。這意味著對(duì)應(yīng)的內(nèi)網(wǎng)設(shè)備完全被暴露在了外網(wǎng)——uPNP模式尚且只是對(duì)外暴露了對(duì)應(yīng)的業(yè)務(wù)端口，而DMZ模式則干脆將內(nèi)網(wǎng)設(shè)備的所有業(yè)務(wù)端口完全暴露了，“裸奔”是非常危險(xiǎn)的。
用戶應(yīng)該盡量選擇端口限制型的NAT模式(一般不推薦對(duì)稱模式的NAT，因?yàn)楹芏鄳?yīng)用需要執(zhí)行NAT“打洞”，對(duì)稱模式的NAT不具有NAT友好性，給“打洞”帶來(lái)困難)，禁用DMZ特性，盡量不啟用uPNP特性(除非游戲等應(yīng)用必須開啟);此外強(qiáng)烈建議關(guān)閉WAN口登錄的功能。
對(duì)于企業(yè)來(lái)說(shuō)，功能設(shè)計(jì)時(shí)盡避免要求用戶網(wǎng)絡(luò)開啟uPNP等特性，將麻煩留給自己，把安全留給用戶。
視頻傳輸和存儲(chǔ)
談起民用視頻監(jiān)控，很多用戶最直觀的擔(dān)心是視頻被窺視、盜竊和非法傳播，導(dǎo)致隱私泄露。相對(duì)于模擬時(shí)代的監(jiān)控，數(shù)字監(jiān)控系統(tǒng)要安全得多，但風(fēng)險(xiǎn)依然存在。最直接的方法就是對(duì)視頻進(jìn)行加密：加密傳輸、加密保存。
目前常見的方案分為兩類：DRM(數(shù)字內(nèi)容的版權(quán)管理)和CA(有條件接收)。DRM的工作原理是：建立數(shù)字節(jié)目授權(quán)中心;編碼節(jié)目?jī)?nèi)容時(shí)即進(jìn)行加密(一般采用公鑰)，數(shù)字節(jié)目頭部存放著KeyID和節(jié)目授權(quán)中心的URL;用戶點(diǎn)播時(shí)根據(jù)KeyID和URL信息向授權(quán)中心獲得解密密鑰(即對(duì)應(yīng)的私鑰)，節(jié)目方可播放。DRM加密了內(nèi)容，所以不管是實(shí)況視頻還是回放視頻或是本地下載的視頻，沒有解密密鑰根本無(wú)法觀看，從而避免了竊聽和非法傳播的隱患。CA的工作原理是：發(fā)送端用隨機(jī)碼發(fā)生器產(chǎn)生一個(gè)隨機(jī)碼(稱為控制字CW)對(duì)節(jié)目信號(hào)進(jìn)行加擾，然后對(duì)控制字進(jìn)行加密(通常用公鑰)，加密后的控制字復(fù)用到視頻流中傳送給接收端，接收端從智能卡中獲得解密密鑰(即對(duì)應(yīng)的私鑰)解碼出控制字，再用控制字對(duì)視頻進(jìn)行解擾獲得正常視頻。DRM和CA各有偏重，前者基于文件加密，在發(fā)送端保存的就是加密后的文件，支持復(fù)雜的授權(quán)規(guī)則，比如只看不許錄等，需要雙向交互;后者是基于傳輸層的加密，服務(wù)器保存的是未加密的視頻，播出時(shí)才加密，不支持復(fù)雜的授權(quán)規(guī)則，無(wú)需雙向交互。DRM和CA可以一起使用，事實(shí)上他們也在相互借鑒、相互融合。
落地到民用視頻監(jiān)控，架構(gòu)模型稍有不同：視頻產(chǎn)生方和接收方均在用戶這里，而提供協(xié)調(diào)的企業(yè)網(wǎng)站處于公網(wǎng)，這與音樂電影的版本管理模式以及數(shù)字電視的廣播模式稍有區(qū)別。此外，用戶的監(jiān)控系統(tǒng)不一定聯(lián)入互聯(lián)網(wǎng)。針對(duì)產(chǎn)品的定位特點(diǎn)，企業(yè)在設(shè)計(jì)系統(tǒng)時(shí)需要靈活參鑒，變通設(shè)計(jì)。
對(duì)于民用視頻監(jiān)控而言，靈活的授權(quán)規(guī)則也是一個(gè)重要的功能。當(dāng)我們進(jìn)行視頻共享時(shí)，對(duì)直系親屬的授權(quán)通常會(huì)多一些，而對(duì)鄰居朋友可能會(huì)多一些限制，例如只允許其實(shí)況而不允許其回放或下載。此外共享的時(shí)間段限制也是一個(gè)現(xiàn)實(shí)的授權(quán)需求。
密碼管理
密碼管理是一個(gè)復(fù)雜的問題，尤其對(duì)于民用安防需要同時(shí)兼顧其安全性和易用性，必須人性化的解決用戶日常使用的問題。
首先，如何讓用戶管理密碼?如果讓用戶給設(shè)備配置一個(gè)密碼，而解碼端依舊需要輸入解密密碼，那么他共享給他的親朋好友是否也要輸入解密密碼?這樣難免導(dǎo)致解密密碼的不可控制的擴(kuò)散。
一個(gè)好的系統(tǒng)中，解碼密鑰應(yīng)該由系統(tǒng)來(lái)統(tǒng)一控制，無(wú)需用戶手工輸入，最好是用戶根本不知道加解密的密碼，從而杜絕泄露擴(kuò)散的可能性。
其次，密碼如何傳輸?CA系統(tǒng)的解密密碼是保存在硬件中的，不存在傳輸，比較安全，但是民用視頻監(jiān)控不可能這樣設(shè)計(jì)，會(huì)影響靈活性，成本也會(huì)高很多。交互是必須的，但可以不是最終的密碼，否則難免被攔截竊取。
再次，密碼如何保存?密碼絕對(duì)不可以明文形式保存于任何一個(gè)節(jié)點(diǎn)，即使是用來(lái)生成密碼的種子也應(yīng)該進(jìn)行加密，這樣即使設(shè)備被竊，視頻也無(wú)法破解。加解密的密碼最好是動(dòng)態(tài)變化的，這樣可以大大增加黑客破解的難度。
最后，為了支持第三方播放器的播放需求，比如將關(guān)鍵錄像作為證據(jù)提交給公安機(jī)關(guān)，系統(tǒng)必須提供轉(zhuǎn)碼功能允許用戶將加密視頻轉(zhuǎn)換成非加密視頻。
