中國電信：智聯(lián)可信5G視頻安全白皮書

中國電信集團(tuán)有限公司中星微技術(shù)股份有限公司2023年4月 325G賦能視頻監(jiān)控發(fā)展 42.15G新特征 42.25G為視頻監(jiān)控帶來的價值 4 5 53.2安全要求 845G視頻監(jiān)控安全參考架構(gòu) 55G網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)安全能力 5.15G安全能力增強(qiáng) 5.2端到端安全隔離 6視頻監(jiān)控安全能力和實(shí)現(xiàn) 6.4視頻和圖像數(shù)據(jù) 23 75G視頻監(jiān)控安全應(yīng)用場景及案例 7.3無人機(jī)應(yīng)用場景 7.4布線困難應(yīng)用場景 7.5中國電信面向中小型用戶的5G視頻監(jiān)控運(yùn)營服務(wù) 附錄二：參與編寫單位和編寫人員 40技術(shù)為5G賦能視頻監(jiān)控系統(tǒng)安全提供參考。25G賦能視頻監(jiān)控發(fā)展2.15G新特征 總體來說，5G網(wǎng)絡(luò)的eMBB業(yè)務(wù)能力以及比4G更突出的安全能力為視頻的應(yīng)用場景，例如車輛監(jiān)控，無人機(jī)，政府(城管、公安),智慧工地監(jiān)控，防廠等需要剪辮子的場景等等，5G都可以提供為這些視頻監(jiān)控業(yè)務(wù)提供安全可靠業(yè)，從智慧城市、平安城市到智能交通、園區(qū)監(jiān)控、景區(qū)監(jiān)控，乃至樓宇監(jiān)控、數(shù)量不斷上升，視頻監(jiān)控網(wǎng)絡(luò)事實(shí)上已成為一張承載物特征信息，甚至承載了許多單位機(jī)密的信息，視頻泄漏導(dǎo)致的個人隱私泄漏、2014年，國內(nèi)某視頻監(jiān)控頭部企業(yè)的DVR和NVR產(chǎn)品返修數(shù)量非正常升2016年，美國互聯(lián)網(wǎng)服務(wù)供應(yīng)商Dyn遭受數(shù)次通過Mirai僵尸網(wǎng)絡(luò)發(fā)起的大型DDoS攻擊，從而導(dǎo)致許多網(wǎng)站在美國東海岸無法登陸訪問，其中包括GitHub、Twitter、Reddit、Netflix和Airbnb等。當(dāng)Mirai病毒掃描到一設(shè)備(比如網(wǎng)絡(luò)攝像頭)后就嘗試使用默認(rèn)或弱密碼進(jìn)行登陸，一旦登陸成功，2018年，外媒報(bào)道，數(shù)以萬計(jì)的某品牌視頻監(jiān)控設(shè)備的登陸密碼被緩存在端口上發(fā)送特殊的有效載荷，設(shè)備將以DDNS憑證響應(yīng)從而訪問設(shè)備和其他數(shù)2019年，溫州警方曾破獲了一起非法販賣某品牌APP掃描工具以及利用APP掃描工具對他人的攝像頭進(jìn)行掃描、控制達(dá)到數(shù)十萬只的案件。2020年，黑客攻擊了美國硅谷初創(chuàng)公司Verkada提供的基于云的攝像頭服包括特斯拉工廠和倉庫內(nèi)的222個攝像頭。2022年3月，某情報(bào)中心監(jiān)測到匿名者與其他支持烏克蘭的黑客組織接管400+臺俄羅斯攝像頭，同時behindenemylines網(wǎng)站分享控制攝像頭的實(shí)時信息，此外，視頻監(jiān)控網(wǎng)絡(luò)中存在部分PC終端(windows操作系統(tǒng)),需要對這可能是無線AP、無線小路由等網(wǎng)絡(luò)設(shè)備，為更多非法設(shè)備提供入侵渠能力。部分前端設(shè)備老舊，沒有采用基于前端視頻監(jiān)控網(wǎng)絡(luò)中的監(jiān)控PC終端大都為windows系統(tǒng)，缺乏有效的防病毒和補(bǔ)丁管理措施、usb外設(shè)管理措施，病毒和惡意代碼可通過usb接口對監(jiān)控終端應(yīng)用的安全關(guān)系到互聯(lián)網(wǎng)生態(tài)的健康發(fā)展和國家關(guān)鍵信息基礎(chǔ)設(shè)施的安全邊界接入設(shè)備缺乏有效的認(rèn)證與監(jiān)管，目前無技術(shù)工具自動統(tǒng)計(jì)。另外對于大3.2安全要求2016年，《網(wǎng)絡(luò)安全法》正式出臺，主要覆蓋網(wǎng)絡(luò)運(yùn)行安全、個人信息保隨著5G、物聯(lián)網(wǎng)等技術(shù)發(fā)展普及，在DDos攻擊、勒索病毒等傳統(tǒng)網(wǎng)絡(luò)安的重點(diǎn)。在此背景下，《數(shù)據(jù)安全法》于2021年正式出臺，成為我國數(shù)據(jù)安全領(lǐng)域基礎(chǔ)性法律?！稊?shù)據(jù)安全法》對數(shù)據(jù)分類分級、重要(核心)數(shù)據(jù)管理、數(shù)制相應(yīng)網(wǎng)絡(luò)與信息的能力。2020年1月開始施行的《中華人民共和國密碼法》,其中按照《網(wǎng)絡(luò)安全法》第二十一條要求(實(shí)行網(wǎng)絡(luò)安全等級保護(hù)制度，以按照《密碼法》相關(guān)要求頒布的GB/T39786-2021標(biāo)準(zhǔn)《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》,是指導(dǎo)我國商用密碼應(yīng)用與安全性評估工作開展的綱領(lǐng)性、框架性標(biāo)準(zhǔn)，從物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、發(fā)與檢測。GB35114-2017是我國首個關(guān)于視頻監(jiān)控聯(lián)網(wǎng)信息安全方2021年6月，中華人民共和國公安部發(fā)布了GA/T1781-2021《公共安全社會視頻資源安全聯(lián)網(wǎng)設(shè)備技術(shù)要求》,該標(biāo)準(zhǔn)規(guī)定了公共安全社會視頻資源安全國家標(biāo)準(zhǔn)GB/T25724-2010/2017《公共安全視頻監(jiān)控?cái)?shù)字視音頻編解碼技術(shù)對前端設(shè)備進(jìn)行A/B/C三類分級(A級解決身份真實(shí)的問題、B級在A級基礎(chǔ)上加密);GB37300標(biāo)準(zhǔn)規(guī)定了公共安全重點(diǎn)區(qū)域視頻圖象信息采集部位和采集種除了以上標(biāo)準(zhǔn)外，公安部于2021年發(fā)布了《公共安全社會視頻資源安全聯(lián)網(wǎng)設(shè)備技術(shù)要求》(GA/T1781-2021)行業(yè)標(biāo)準(zhǔn)。GA/T1781標(biāo)準(zhǔn)1)保證視頻數(shù)據(jù)從“信源”產(chǎn)生，使用視頻數(shù)據(jù)從源頭具有完整性和不2)保證視頻數(shù)據(jù)在網(wǎng)絡(luò)傳輸、存儲的完整性；在使用視頻時進(jìn)行視頻完3)采用數(shù)字證書進(jìn)行雙向認(rèn)證，保證相關(guān)設(shè)備和用戶的身份真實(shí)；4)采用國密數(shù)字信封方式保護(hù)安全密鑰，保證了關(guān)鍵信息的傳輸機(jī)密5)采用帶密鑰的國密算法摘要技術(shù)，保證了視頻間信令信息的完整性；容國產(chǎn)化服務(wù)器、桌面PC和操作系統(tǒng)等，實(shí)現(xiàn)全信創(chuàng)化解決方案。打造信創(chuàng)產(chǎn)(視頻和圖像)數(shù)據(jù)安全設(shè)備安全網(wǎng)絡(luò)安全安全基礎(chǔ)設(shè)施安全管理接入安全將是由5G視頻圖像采集到的視頻圖像數(shù)據(jù)通過5G網(wǎng)絡(luò)傳輸接入視頻監(jiān)控云中心主要包括(視頻圖像)應(yīng)用安全、(視頻和圖像)數(shù)據(jù)安全、1)(視頻圖像)應(yīng)用安全：2)(視頻和圖像)數(shù)據(jù)安全：視頻圖像的數(shù)據(jù)安全要遵循GB35114-2017標(biāo)準(zhǔn)要求，包括對設(shè)備身份、客3)系統(tǒng)和環(huán)境安全：視頻監(jiān)控云中心提供網(wǎng)絡(luò)和系統(tǒng)安全通用防護(hù)設(shè)施和密碼基礎(chǔ)設(shè)施，基于GB35114-2017標(biāo)準(zhǔn)要求下，國密技術(shù)上的密鑰管理系統(tǒng)，實(shí)現(xiàn)對視頻設(shè)備身份55G網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)安全能力5.15G安全能力增強(qiáng)5G網(wǎng)絡(luò)延續(xù)了4G網(wǎng)絡(luò)中信令完整性保護(hù)、信令/數(shù)據(jù)機(jī)密性保護(hù)、密鑰算法、接入認(rèn)證等部分安全機(jī)制，并針對4G存在的安全問題進(jìn)行增強(qiáng)與優(yōu)化，擴(kuò)展設(shè)計(jì)了相應(yīng)的安全機(jī)制。5G網(wǎng)絡(luò)提供支持5GAKA和EAP的接入認(rèn)證框架，擴(kuò)展支持包括物聯(lián)網(wǎng)、垂直行業(yè)在內(nèi)等各種新型認(rèn)證機(jī)制。此外，5G網(wǎng)絡(luò)延續(xù)4G網(wǎng)絡(luò)中非服務(wù)化接口的安全機(jī)制，并支持面向服務(wù)化架構(gòu)與網(wǎng)絡(luò)切片等新技術(shù)的安全保護(hù)能力，為控制信令提供更嚴(yán)格的完整性與機(jī)密性保護(hù)、為微服務(wù)化的網(wǎng)絡(luò)功能提供認(rèn)證與授權(quán)保護(hù)。5G網(wǎng)絡(luò)在信令保護(hù)、數(shù)據(jù)保護(hù)、認(rèn)證授權(quán)等方面的安全能力能夠?yàn)橐曨l監(jiān)控業(yè)務(wù)提供基礎(chǔ)安全保障，在視頻監(jiān)控業(yè)務(wù)的安全接入、運(yùn)行等方面發(fā)揮作用。5.2端到端安全隔離中國電信5G網(wǎng)絡(luò)為視頻監(jiān)控業(yè)務(wù)提供端到端安全，基于網(wǎng)絡(luò)切片、VPN、防火墻等技術(shù)，為業(yè)務(wù)提供端到端安全隔離保障。中國電信5GSTN承載網(wǎng)為視頻監(jiān)控業(yè)務(wù)劃分VPN承載接入，通過配合實(shí)施訪問控制策略，提供安全隔離、安全傳輸?shù)劝踩休d服務(wù)，滿足業(yè)務(wù)的安全需求。當(dāng)視頻監(jiān)控業(yè)務(wù)在專網(wǎng)承載時，專網(wǎng)能夠?yàn)闃I(yè)務(wù)提供安全隔離與訪問控制保障。5G端到端示意圖1.網(wǎng)絡(luò)切片隔離5G相較于以往的移動通信技術(shù)，在技術(shù)、架構(gòu)等方面都具有重大創(chuàng)新，網(wǎng)絡(luò)切片作為5G的典型創(chuàng)新技術(shù)，為垂直行業(yè)提供了差異化、個性化的可定制網(wǎng)對無線側(cè)而言，網(wǎng)絡(luò)切片通過利用QoS調(diào)度、無線空口RB資源預(yù)留和載波隔離、基站DU/CU隔離、NG-RAN資源隔離等主要技術(shù)實(shí)現(xiàn)NRRAN的資源隔對傳輸側(cè)而言，網(wǎng)絡(luò)切片可基于VPN、VLAN等技術(shù)實(shí)現(xiàn)承載層面的軟隔2.承載安全根據(jù)視頻監(jiān)控安全業(yè)務(wù)的安全需求，5GSTN承載網(wǎng)可劃分專用或共用的VPN承載視頻監(jiān)控業(yè)務(wù)。對于安全可信度低的平臺系統(tǒng)，應(yīng)與安全可信度高的平臺系統(tǒng)使用不同的VPN承載業(yè)務(wù)；對于安全可信度相同的平臺系統(tǒng)，可使用為滿足視頻監(jiān)控業(yè)務(wù)的交互需求，5GSTN承載網(wǎng)支持提供VPN間的互聯(lián)對于承載視頻監(jiān)控業(yè)務(wù)的VPN,5GSTN承載網(wǎng)支持對接入VPN的平臺系3.專網(wǎng)隔離化場景、差異化需求促使網(wǎng)絡(luò)更加靈活和可定義。中國電信5G專網(wǎng)提供“致在安全方面，專網(wǎng)隔離是維護(hù)5G專網(wǎng)安全的基礎(chǔ)手段之一，能夠?yàn)闃I(yè)務(wù)的運(yùn)行在部署專網(wǎng)承載視頻監(jiān)控業(yè)務(wù)的場景下，中國電信5G專網(wǎng)能夠?yàn)橐曨l監(jiān)控網(wǎng)間通信、網(wǎng)絡(luò)管理等多類場景提供VPN防護(hù)，并支持對業(yè)務(wù)傳輸數(shù)據(jù)實(shí)施加密保護(hù)；其次，中國電信5G專網(wǎng)能夠?yàn)閷＞W(wǎng)邊緣網(wǎng)絡(luò)與企業(yè)網(wǎng)絡(luò)提供安全隔離6視頻監(jiān)控安全能力和實(shí)現(xiàn)公安雪亮工程、互聯(lián)網(wǎng)+監(jiān)管的政策刺激，各行業(yè)社會視頻監(jiān)控接入市場面視頻信息泄露、視頻信息被非法篡改等安全風(fēng)險(xiǎn)。為了保障基于5G通信下的視頻信息安全，視頻監(jiān)控系統(tǒng)應(yīng)符合公安部GB35114要求，即視頻監(jiān)控系統(tǒng)應(yīng)支1)物理防破壞能力。3)網(wǎng)絡(luò)安全能力：包括具備網(wǎng)絡(luò)攻擊或入侵防護(hù)能力；通過固件升級方式4)防信令功能功能：防止前端設(shè)備因接受到錯誤的指令影響工作狀態(tài)。備把原前端設(shè)備輸出的H.264/265等明文視頻流進(jìn)行簽名和加密，轉(zhuǎn)換成GB35114安全視頻平臺1)對前端設(shè)備及其配套設(shè)施(設(shè)備箱等)進(jìn)行物理加固，特殊需求下可以通14視頻聯(lián)網(wǎng)信息安全5G安全加固網(wǎng)關(guān)視頻監(jiān)控云中心請求、其他數(shù)據(jù)(圖片等)傳輸。詢霧系統(tǒng)放播基礎(chǔ)組件層，這些組件是一些開源的軟件組成置，分布式的數(shù)據(jù)庫，分布式的緩存，分布式的索息。這些組件為系統(tǒng)各個模塊的通訊提供中間的消息轉(zhuǎn)發(fā)，數(shù)據(jù)存儲，業(yè)務(wù)服務(wù)層，包括認(rèn)證服務(wù)，目錄服務(wù)，前端接監(jiān)控應(yīng)用層。是實(shí)現(xiàn)監(jiān)控客戶端、管理管理視頻云安全密鑰服務(wù)系統(tǒng)(密碼基礎(chǔ)設(shè)施一部分)為整個視頻監(jiān)控系統(tǒng)(包括前端、平臺、客戶端)提供面向GB35114標(biāo)準(zhǔn)的密碼服務(wù)。數(shù)字證書認(rèn)證系統(tǒng)(CA/RA)、對稱密鑰管理系統(tǒng)和密碼機(jī)服務(wù)等功能。模塊在多臺物理設(shè)備(云密碼服務(wù)器)上實(shí)現(xiàn)同一功能模塊的多機(jī)并發(fā)服務(wù)和備6.4視頻和圖像數(shù)據(jù)1)視音頻數(shù)據(jù)全生命周期完整性和真實(shí)性驗(yàn)證，可以在傳輸、存儲、下載2)視音頻數(shù)據(jù)溯源：可以通過數(shù)字簽名確認(rèn)視頻采集的來源和空間、時間1)視頻圖像顯示水印疊加：可在視頻圖像播放時強(qiáng)制疊加水印，以防止偷2)數(shù)據(jù)訪問控制：有視頻監(jiān)控云平臺根據(jù)用戶屬性和權(quán)限控制對視頻數(shù)據(jù)對于圖像(圖片、短視頻)、(人工智能或物聯(lián)網(wǎng)采集等生成的)結(jié)構(gòu)化信息等數(shù)據(jù)，可以結(jié)合SVAC擴(kuò)展信息功能，在GB35114標(biāo)準(zhǔn)基礎(chǔ)上實(shí)現(xiàn)類似上前端設(shè)備(攝像機(jī)、5G安全接入網(wǎng)關(guān))通過國密安全芯片進(jìn)行簽名算法(SM2+SM3)計(jì)算，使用內(nèi)置于國密安全芯片的的簽名私鑰對視頻幀進(jìn)行簽名，簽名結(jié)果連同前端國標(biāo)設(shè)備每隔一段時間(通常為1小時)生成隨機(jī)數(shù)作為視頻加密密鑰VEK;然再使用VKEK對VEK進(jìn)行SM4算法加密，最后將VKEK版本號(及在需要對視頻流進(jìn)行解密時，首先需要獲得(用公鑰加密的)戶端PC機(jī)IP/MAC地址或UKey信息等)以(半透明)斜條紋、隨機(jī)位據(jù)操作行為(觀看實(shí)時視頻、檢索和播放錄像)控云平臺日志可以回溯一段時間內(nèi)(6個月或以上)訪問視頻數(shù)據(jù)的所改2)脆弱性管理：支持對前端設(shè)備、數(shù)據(jù)中1)人臉識別2)移動車牌識別3)公共交通客流統(tǒng)計(jì)4)駕駛員行為與狀態(tài)監(jiān)測1)兩客一危2)執(zhí)法車輛3)自動駕駛/輔助駕駛7.2.1、應(yīng)用功能7.2.2、行業(yè)應(yīng)用案例1)工地監(jiān)控應(yīng)用因地制宜的快速布控防疫監(jiān)控是對防疫工作的提供信息化手段的最有利的方法，但由于隨地性，布控的場所不一定有可用的有線網(wǎng)絡(luò)，因此需采用5G視頻監(jiān)控力的攝像機(jī)或普通攝像機(jī)加安全網(wǎng)關(guān)盒子方式，再接入到5G通信模塊，根據(jù)防疫需求按需放置使用，通過中國電信5G通信網(wǎng)安全傳輸，匯聚接入到對應(yīng)的應(yīng)3)重大活動保障應(yīng)用5G視頻監(jiān)控系統(tǒng)具有部署快、傳輸容量大和安全性保障等多重優(yōu)勢，已在5G視頻監(jiān)控設(shè)備，并接入到公安等相關(guān)部門視頻監(jiān)控系統(tǒng)中，不僅能讓指揮中7.3無人機(jī)應(yīng)用場景5G無人機(jī)，是當(dāng)前最具創(chuàng)新精神的移動通信經(jīng)有很多無人機(jī)，但他們基本都是通過WiFi和藍(lán)牙連接的，只能滿足人們的一1)高清直播1)公共安全視頻監(jiān)控布控控制中心人員通過VR眼鏡的4K高清視頻呈現(xiàn)實(shí)時觀看和與地面安防設(shè)備的同步聯(lián)動，優(yōu)勢互補(bǔ)，最大化安防場景能力；控制中心人員通過VR眼鏡、PAD等地面控制終端經(jīng)由5G網(wǎng)絡(luò)遠(yuǎn)程控制無人機(jī)機(jī)載攝像頭的轉(zhuǎn)向、無人機(jī)的飛行狀態(tài)及路線，進(jìn)一步追蹤鎖無人機(jī)對突發(fā)安防場景問題的預(yù)判以及自動識別的目標(biāo)實(shí)現(xiàn)進(jìn)行自動跟通過智能無人機(jī)飛行平臺以及5G蜂窩網(wǎng)絡(luò)能力的有效引入，促進(jìn)了傳統(tǒng)安2)電力輸電線路巡檢陷的效率較低，因蛇、蟲、蟻等小動物咬傷員工的事件也屢見不鮮。當(dāng)前的4G網(wǎng)絡(luò)只能支持1K的圖傳，對于某些細(xì)節(jié)檢查，視頻和圖片的清晰度明顯不足，而5G網(wǎng)絡(luò)可實(shí)現(xiàn)上行單用戶體驗(yàn)速率100Mbps以上，空口時延10ms,將使得實(shí)時視頻更加流暢、更加清晰、巡查效果更優(yōu)。光雷達(dá)等多種傳感器，傳感器通過連入5G網(wǎng)絡(luò)的CPE將視頻流通過上行鏈路無人機(jī)4K視頻實(shí)時回傳，上行實(shí)時30Mbps帶寬；多機(jī)協(xié)同360°全景拍GIS圖像3D建模失敗，節(jié)約成本30~90%;地面站與管理中心進(jìn)行內(nèi)外場協(xié)同作業(yè)，即時發(fā)現(xiàn)問題并進(jìn)行圖像復(fù)采集，作業(yè)效率提升40~80%。3)運(yùn)營商基站巡檢通過5G網(wǎng)聯(lián)無人機(jī)基站巡檢方式，在降低了人工勞動強(qiáng)度的同時也降低了網(wǎng)聯(lián)無人機(jī)采集、拍攝基站數(shù)據(jù)并回傳數(shù)據(jù)至主服務(wù)器，人工對數(shù)據(jù)進(jìn)行4)無人機(jī)水務(wù)取、防汛抗洪、水土保持監(jiān)測等等。網(wǎng)聯(lián)無人機(jī)水質(zhì)監(jiān)測是在水務(wù)方面的創(chuàng)新5)無人機(jī)物流配送通過5G網(wǎng)絡(luò)，可以實(shí)現(xiàn)物流無人機(jī)狀態(tài)的實(shí)時監(jiān)控、遠(yuǎn)程調(diào)度與控制。在無人機(jī)工作過程中，借助5G網(wǎng)絡(luò)大帶寬傳輸能力，實(shí)時回傳機(jī)載攝像頭此外，結(jié)合人工智能技術(shù)，無人機(jī)可以根據(jù)飛行任務(wù)計(jì)劃及實(shí)時感知的周邊環(huán)利用無人機(jī)靈活性強(qiáng)的特點(diǎn)，當(dāng)災(zāi)害發(fā)生時，使員通信設(shè)備的主動定位，確認(rèn)被困人員的位置及身份信息。同時利用5G網(wǎng)絡(luò)的大帶寬傳輸能力，通過機(jī)載攝像頭實(shí)時拍攝并回傳現(xiàn)場高清視頻畫面，結(jié)合邊緣計(jì)算能力與AI技術(shù)，實(shí)現(xiàn)快速的人員識別及周邊環(huán)境分析，便于救援人員針對性地開展?fàn)I救工作。夠在第一時間得到有效救助，最大程度地減少人員傷亡，