(19)中华人民共和国国家知识产权局
(12)发明专利申请
(10)申请公布号 (43)申请公布日 (21)申请号 201910989533.X
(22)申请日 2019.10.17
(71)申请人 公安部第一研究所
地址 100048 北京市海淀区首体南路1号
申请人 北京中盾安全技术开发公司
(72)发明人 柳娜 王德敏 闫雪 张振环
王健 孙琼芳 栗红梅 常玉兰
孙靖博 尹桂明
(74)专利代理机构 北京中海智圣知识产权代理
有限公司 11282
代理人 杨树芬
(51)Int.Cl.
H04L 29/06(2006.01)
H04L 9/32(2006.01)
H04L 9/08(2006.01)
(54)发明名称
及方法
(57)摘要
本发明公开了一种基于GB35114标准的信令
密码用户管理装置、密钥生成存储装置、密钥备
份恢复装置、密钥归档装置、密钥处理装置、密钥
审计装置、密钥运算代理装置、密码运算装置、密
的单向证书认证、安全设备的双向证书认证消息
规范；注册/注销信令的信令流程消息的上联、下
联调测。本发明解决了公安安全监控联网建设中
没有工具来公平、方便地评估不同厂家的系统、
设备是否能够符合标准以支持互联共享的难题，
解决了相关产品开发厂商没有安全信令调测工
具难以开发出符合标准的产品的问题。权利要求书3页 说明书8页 附图5页CN 110768973 A 2020.02.07
C N 110768973
A
1.一种基于GB35114标准的信令安全测评系统，其特征在于，包括：主控管理装置、密码用户管理装置、密钥生成存储装置、密钥备份恢复装置、密钥归档装置、密钥处理装置、密钥审计装置、密钥运算代理装置、密码运算装置、密钥存储装置；主控管理装置分别与密码用户管理装置、密钥生成存储装置、密钥备份恢复装置、密钥归档装置、密钥处理装置、密钥审计装置、密钥运算代理装置连接；密钥运算代理装置与密码运算装置连接，密钥生成存储装置与密钥存储装置连接。
2.一种基于GB35114标准的信令安全测评方法，其特征在于，包括以下步骤：
步骤1，启动安全信令测评系统，检测IC卡是否正常插入以及卡中数据信息是否正确；
步骤2，校验IC卡成功后，启动安全信令测评系统，并进行PCIE密码卡初始化操作，启动完成；
步骤3，利用安全信令测评系统检测受测设备能否对具有安全功能的标准设备的设备基本信息、属性信息进行查看和编辑且添加、修改后信息能够生效；受测设备即受测编码设备；
步骤4，利用安全信令测评系统检测受测设备能否与标准设备进行单向设备身份认证，且认证流程符合GB 35114中的相关规定，验证过程中需要PCIE密码卡提供生成随机数、签名/验签、生成VKEK、对数据进行Base64编码的功能支持；利用安全信令测评系统检测受测设备能否与标准设备进行单向设备身份认证；
步骤5，利用安全信令测评系统检测受测设备能否与标准设备进行双向设备身份认证，且认证流程符合GB 35114中的相关规定，验证过程中生成随机数、签名/验签、生成VKEK、对数据进行Base64编码的功能由PCIE密码卡内部完成；利用安全信令测评系统检测受测设备能否与标准设备进行双向设备身份认证；
步骤6，利用安全信令测评系统检测平台与受测设备、标准设备与受测设备的交互过程中，控制信令的算法和编码规则是否符合标准，控制信令的认证流程和方法规定是否符合GB 35114中的规定，验证过程中生成/校验签名结果、Base64编码的功能由PCIE密码卡完成；
受测设备既能够发送控制信令也能够接受控制信令，在检测中，要同时检测发送控制信令和校验控制信令的功能，在检测过程中仅区分发送方和接收方，利用安全信令测评系统检测平台与受测设备、标准设
备与受测设备的交互过程中，控制信令的算法和编码规则是否符合标准；
步骤7，当经过安全信令测评系统检测，安全信令均符合GB35114要求，说明受测设备的安全信令符合GB35114标准。
3.根据权利要求2所述的一种基于GB35114标准的信令安全测评方法，其特征在于，所述步骤4中，认证流程符合GB 35114中的相关规定的检测包括以下步骤：
步骤4.1,，在受测设备发送的Register注册消息中，是否存在Authorization字段，值为Capability，携带参数algorithm、keyversion，参数algorithm的值分为四部分，中间以分号分割，多种算法之间用逗号分隔，keyversion密钥版本号格式是否正确；
步骤4.2，安全信令测评系统利用底层安全芯片生成随机数random1伴随401挑战响应发送至受测设备；
步骤4.3，受测设备调用自身安全接口产生random2，利用以下公式(1)生成签名数据：
sign1＝sign(random2+random1+安全信令测评工具所在服务器ID)……公式(1)
其中，sign为签名操作，sign1为签名结果；
步骤4.4，受测设备应重新向安全信令测评系统发送Register请求，将Authorization 取值为Unidirection，代表此为单向认证，携带random1、random2、serverid、sign1、algorithm字段；
步骤4.5，安全信令测评系统收到请求后，校验消息体格式的正确性，校验签名数据的有效性，校验random1的有效性，校验服务器ID是否与自身相符，利用设备证书校验sign1签名结果的正确性；
步骤4.6，校验成功后说明受测设备身份合法，则可向受测设备发送成功响应200OK消息，携带利用cryptkey参数，cryptkey利用以下公式(2)生成：
cryptkey＝Base64[公钥受测设备(VKEK)]……公式(2)
其中，VKEK为视频密钥加密密钥(Video Key Encryption Key)，Base64为GB35114规定的一种编码方式。
4.根据权利要求2所述的一种基于GB35114标准的信令安全测评方法，其特征在于，所述步骤5中，认证流程符合GB 35114中的相关规定的检测包括以下步骤：
步骤5.1，在受测设备发送的Register注册消息中，是否存在Authorization字段，值为Capability，携带参数algorithm、keyversion，参数algorithm的值分为四部分，中间以分号分割，多种算法之间用逗号分隔，keyversion密钥版本号格式是否正确；
步骤5.2，安全信令测评系统利用底层安全芯片生成随机数random1伴随401挑战响应发送至受测设备；
步骤5.3，受测设备调用自身安全接口产生random2，利用下面公式(1)生成签名数据：sign1＝sign(random2+random1+安全信令测评工具所在服务器ID)……公式(1)
其中，sign为签名操作，sign1为签名结果；
步骤5.4，受测设备应重新向安全信令测评系统发送Register请求，将Authorization 取值为Bidirection，表示为双向认证，携带random1、random2、serverid、sign1、algorithm 字段；
步骤5.5，安全信令测评系统收到请求后，校验消息体格式的正确性，校验签名数据的有效性，校验random1的有效性，校验服务器ID是否与自身相符，利用设备证书校验sign1签名结果的正确性；
步骤5.6，校验成功后说明受测设备身份合法，则可向受测设备发送成功响应200OK消息，携带利用cryptkey和sign2，cryptkey和sign2分别利用下面公式(2)、公式(3)生成：cryptkey＝Base64[公钥受测设备(VKEK)]……公式(2)
其中，VKEK为视频密钥加密密钥(Video Key Encryption Key)，Base64为GB35114规定的一种编码方式，
sign2＝sign(random1+random2+受测设备ID+cryptkey)……公式(3)
其中，sign为签名操作，sign2为签名结果；
步骤5.7，受测设备在收到200OK消息后，校验安全信令测评系统签名的有效性；校验random2有效性；校验受测设备ID与自身是否相符；用安全信令测评系统的证书校验sign2签名结果；校验成功，进行正常后续流程；校验失败，发送拒绝服务应答。
5.根据权利要求2所述的一种基于GB35114标准的信令安全测评方法，其特征在于，所述步骤6中，控制信令的认证流程和方法规定的检测包括以下步骤：
步骤6.1，信令发送方发送请求信令时对相关信息做数字摘要生成nonce字段并携带至消息体中发送至信令接收方；
控制信令认证消息体生成说明：注册成功后，信令发送方与信令接收方进行交互时，采用基于带密钥的杂凑方式保障信令来源安全，对除REGISTER消息以外的消息做带密钥的杂凑，启用Date字段，扩展信令消息头域，在头域中增加Note字段，值为Digest，有两个参数nonce,algorithm，消息格式和nonce的值为：
消息格式：Note:Digest nonce＝""，algorithm＝nonce＝base64[algorithm[METHOD+ From+to+CallID+Date+消息体]],
其中，METHOD、From、To、Call-ID，Date、消息体分别提取自信令消息中，algorithm为做数字摘要的算法，base64为一种编码模式，nonce为摘要值；
步骤6.2，信令接收方对控制信令中的消息进行验证，比对date与当前时间，当时间之差在有效区间内则提取METHOD、From、To、Call-ID，Date、消息体、nonce、algorithm，使用algorithm算法对METHOD、From、To、Call-ID，Date和消息体做摘要运算，得到结果nonce；
步骤6.3，分别检测受测设备的校时、心跳、设备目录查询、实时点播、设备遥控、录像、历史视频检索、回放及回放控制、报警设备布撤防、报警、报警复位、设备信息查询、设备状态查询、下载、设备远程启动的控制信令消息是否符合GB35114规范。
一种基于GB35114标准的信令安全测评系统及方法技术领域
[0001]本发明属于公共安防监控技术领域，尤其涉及一种基于GB35114标准的信令安全测评系统及方法。
背景技术
[0002]目前，进入数字高清时代，视频监控实现了数字化、网络化之后就出现了网络安全问题。尤其是目前在大规模联网、云计算和人工智能的新技术普及应用的背景下，视频监控系统所面临的安全威胁和
手段发生了巨大的变化，目前安全态势严峻。《GB 35114-2017公共安全视频监控联网信息安全技术要求》规定了公共安全领域视频监控联网视频信息以及控制信令信息安全保护的技术要求，为各监控设备及监控系统提供了准侧。数字证书是指CA机构发行的一种电子文档，是一串能够表明网络用户身份信息的数字，提供了一种在计算机网络上验证网络用户身份的方式，数字证书又称为数字标识。数字证书对网络用户在计算机网络交流中的信息和数据以加密或解密的形式保证了信息和数据的完整性和安全性。数字签名使用了公钥加密领域的技术，用于鉴别数字信息。一套数字签名通常定义两种互补的运算，一个用于签名，另一个用于验证。只有信息的发送者才能产生的别人无法伪造的一段数字串，这段数字串也是对信息的发送者发送信息真实性的一个有效证明，在安防领域利用此技术能够防止数据泄密、数据篡改和身份假冒，保证信息的保密性、完整性和真实性。身份认证也称为“身份鉴别”，是指在计算机及计算机网络系统中确认操作者身份的过程，确定用户是否具有对某种资源的访问和使用权限，使计算机和网络系统的访问策略能够可靠、有效地执行，防止攻击者假冒合法用户获得资源的访问权限，保证系统和数据的安全，以及授权访问者的合法利益。在监控系统中，能够利用身份认证技术只允许通过认证的设备接入系统以防止非法用户的入侵，保障系统安全。
[0003]目前与本发明接近的技术有GB/T28181《安全防范视频监控联网系统信息传输、交换、控制技术要求》(以下简称GB/T28181)符合性测试技术，其针对GB/T 28181的信令要求规定了测试对象、测试方法和测试内容以确保安全防范视频监控联网系统信息传输即网络视频在安防市场的应用接口标准的将不
同厂商生产的网络视频产品能够互联互通。GB/T 28181符合性测试技术的工作拓扑图和工作流程图分别如图1和2所示：现有技术的工作步骤为：
[0004] 1.分别配置测试服务器上的调测工具和受测设备，使其能够通过网络交换机互连互通；将受测设备注册至测试服务器，受测设备可为标准IPC、标准NVR、受测平台、标准解码器，通过测试服务器上的调测工具可观察受测设备是否能够成功在注册或者注销；
[0005] 2.在调测工具页面中信令消息栏观察受测设备是否能够正常发送心跳消息，保持在线状态；
[0006] 3.在调测工具页面中分别点击校时、设备目录查询、实时点播、设备遥控、录像的按钮，将控制信令发送至受测设备，在信令栏观测受测设备是否能够正常返回消息，在视频播放页观测视频流是否与控制信令同步；
说 明 书
1/8页CN 110768973 A
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议