一种SIP安全防范视频监控入网控制系统技术方案

本发明专利技术涉及一种SIP安全防范视频监控入网控制系统，包括SIP终端、SIP服务器和认证服务器；所述SIP终端、SIP服务器及认证服务器配合完成设备入网注册，SIP终端、SIP服务器配合完成单播秘钥及安全会话协商，各通信的SIP终端间进行双向身份认证，认证通过交互数据；本发明专利技术采用在线可信第三方的实体鉴别机制，实现网络接入过程中实体之间的双向身份鉴别操作，且需要通信的两个SIP终端间需进行点对点令牌交换实现双向身份认证，建立安全的通信通道后，才能进行数据交互，这为数据的安全传输提供一个可靠的环境。

【技术实现步骤摘要】
一种SIP安全防范视频监控入网控制系统
本专利技术涉及视频监控联网领域，尤其涉及一种SIP安全防范视频监控入网控制系统。
技术介绍
SIP安全防范视频监控联网系统是基于IP网络和SIP协议(用于创建、修改和释放一个或多个参与者会话的应用层信令控制协议)的视频远程监控、传输、存储、管理的系统。该系统将分散独立的视频图像采集点进行联网，实现了跨区域的统一监控、存储、管理和资源共享。系统一般情况下包括以下组成部分：SIP终端(支持SIP协议通信的摄像机、网络硬盘录像机、用户客户端)、SIP服务器、信令安全路由网关。作为一种重要的安全防范系统，近年来，SIP安全防范视频监控联网系统不仅在城市治安视频监控系统乃至平安城市的建设中获得了应用，而且也逐渐在一些民用的设施、居住和工作场所(如酒店、个人住所、办公室)中获得了大规模的推广。但是，由于IP网络固有的开放式特点，IP网络和SIP协议本身存在的安全缺陷以及应用系统的网络安全隐患，设备、系统及其监控数据也就不可避免地面临着一系列的信息安全问题。系统的信息安全，总的来说分为以下3个方面：网络接入安全、传输安全和数据存储、访问安全。其中，网络接入安全是指接入网络过程的安全，包括设备接入网络和用户接入网络两种，设备接入网络的安全是指在监控设备接入网络的过程中，实现设备与网络之间的双向身份鉴别，有效阻止不符合安全要求的视频监控设备访问网络，并且避免设备接入不符合安全要求的网络。用户接入网络的安全则是指在监控用户(客户端)在访问查看视频数据之前的接入网络过程中，网络通过对用户的身份认证实现对用户权限的有效管控。目前，现有系统或标准中建议使用终端安全接入管理机制提供多种安全接入认证，例如使用IEEE802.1x端口访问机制、IEEE802.11i协议等来保障网络接入安全。但是以上现有的安全技术，都存在着单向认证的安全漏洞，未考虑中间人攻击，密钥管理复杂，系统可扩展性和灵活性差等缺陷。
技术实现思路
本专利技术所要解决的技术问题是针对现有技术的不足，提供一种SIP安全防范视频监控入网控制系统。本专利技术解决上述技术问题的技术方案如下：一种SIP安全防范视频监控入网控制系统，包括SIP终端、SIP服务器和认证服务器；所述SIP终端，其用于在进行信息交互前在SIP服务器处经过三元对等身份认证完成注册，并与SIP服务器进行单播密钥及安全会话协商，获取所需密钥；各SIP终端间还进行点对点令牌交换，实现双向身份认证，认证通过的SIP终端间进行数据交互；所述SIP服务器，其用于与认证服务器配合为各SIP终端提供注册服务；与SIP终端进行单播密钥及安全会话协商；作为密钥分发中心，向各SIP终端分发数据交互过程所需的密钥；还用于管理网络中不同SIP终端间的SIP会话；所述认证服务器，其用于为SIP终端和SIP服务器签发数字证书，并且作为在线可信第一方认证服务器，提供SIP终端与SIP服务器间的身份鉴别服务。本专利技术的有益效果是：本专利技术采用在线可信第三方的实体鉴别机制，实现网络接入过程中实体之间的双向身份鉴别操作，首先各SIP终端在接入其他SIP终端前在SIP服务器处进行注册，并与SIP服务器完成单播密钥及安全会话协商，SIP服务器为需要通信的两个SIP终端下发通信链路及所需的秘钥，两个SIP终端进行点对点令牌交换实现双向身份认证，建立了安全的通信通道，为数据的安全传输提供一个可靠的环境。在上述技术方案的基础上，本专利技术还可以做如下改进。进一步，所述SIP终端包括第一注册模块、第一单播密钥及安全会话协商模块、终端身份双向认证模块、终端会话模块和第一注销模块；所述SIP服务器包括第二注册模块、第二单播密钥及安全会话协商模块和第二注销模块；所述认证服务器包括第三注册模块；所述第一注册模块、第二注册模块及第三注册模块之间相互配合完成SIP终端的注册过程；所述第一单播密钥及安全会话协商模块和第二单播密钥及安全会话协商模块进行SIP终端与SIP服务器的单播密钥及安全会话协商；所述各SIP终端的终端身份双向认证模块之间交换点对点令牌，实现双向身份认证；所述各SIP终端的终端会话模块之间传递数据；所述第一注销模块和第二注销模块配合实现SIP终端的注销操作，注销认证通过，则SIP终端允许离网。进一步，所述第一注册模块、第二注册模块及第三注册模块之间相互配合完成SIP终端的注册过程如下：步骤1.1：第一注册模块向第二注册模块发送触发注册请求消息M1；步骤1.2：第二注册模块在收到第一注册模块发送的触发注册请求M1后，向所述第一注册模块发送触发注册响应消息M2；步骤1.3：所述第一注册模块验证触发响应消息M2的合法性，若合法，向第二注册模块发送接入认证请求M3；否则返回步骤1.1；步骤1.4：第二注册模块验证所述第一注册模块发送的接入认证请求M3的合法性，若合法，第二注册模块向第三注册模块发送证书认证请求M4，执行步骤1.5；否则向第一注册模块发送注册失败的信息，返回步骤1.1；步骤1.5：第三注册模块验证所述第二注册模块发送的证书认证请求M4的合法性，若合法，则生成验证结果并对验证结果签名，将携带已签名的验证结果的证书认证响应消息M5发送给第二注册模块，执行步骤1.6；否则向第二注册模块发送证书认证失败的信息，返回步骤1.1；步骤1.6：第二注册模块验证证书认证响应消息M5的合法性，若合法，则验证第三注册模块对证书验证结果的签名字段的合法性，若合法，则查看证书验证结果字段中第一注册模块的证书验证结果，根据此字段来决定是否允许第一注册模块接入，进而封装得到接入认证响应消息M6并发送给第一注册模块，执行步骤1.7；否则向第三注册模块发送认证失败的信息，返回步骤1.1；步骤1.7：第一注册模块验证接入认证响应消息M6的合法性，若合法，则验证第三注册模块对证书验证结果的签名字段的合法性，若合法，则查看证书验证结果字段中第二注册模块的证书验证结果，根据此字段决定是否接入该第二注册模块，如决定接入该第二注册模块，则进入待会话状态；否则向第二注册模块发送认证失败的信息，返回步骤1.1。进一步，所述第一单播密钥及安全会话协商模块和第二单播密钥及安全会话协商模块进行SIP终端与SIP服务器的单播密钥及安全会话协商的过程如下：步骤2.1：第二单播密钥及安全会话协商模块向第一单播密钥及安全会话协商模块发送单播密钥和安全会话协商请求M7；步骤2.2：第一单播密钥及安全会话协商模块对接收到的单播密钥和安全会话协商请求M7进行验证，验证通过，则生成单播密钥和安全会话协商响应消息M8，并发送给第二单播密钥及安全会话协商模块；步骤2.3：第二单播密钥及安全会话协商模块对接收的单播密钥和安全会话协商响应消息M8进行验证，验证通过，则生成单播密钥与安全会话协商确认消息M9，并发送给第一单播密钥及安全会话协商模块；步骤2.4：第一单播密钥及安全会话协商模块对接收到单播密钥与安全会话协商确认。进一步，所述各SIP终端的终端身份双向认证模块之间交换点对点令牌，实现双向身份认证的具体实现为：步骤3.1：两个SIP终端的终端身份双向认证模块交换点对点认证令牌；步骤3.2：两个SIP终端分别利用单播数据完整性密钥验证对方的点对点认证令牌中的单播数据消息认证码，验证本文档来自技高网...

【技术保护点】
一种SIP安全防范视频监控入网控制系统，其特征在于，包括SIP终端、SIP服务器和认证服务器；所述SIP终端，其用于在进行信息交互前在SIP服务器处经过三元对等身份认证完成注册，并与SIP服务器进行单播密钥及安全会话协商，获取所需密钥；各SIP终端间还进行点对点令牌交换，实现双向身份认证，认证通过的SIP终端间进行数据交互；所述SIP服务器，其用于与认证服务器配合为各SIP终端提供注册服务；与SIP终端进行单播密钥及安全会话协商；作为密钥分发中心，向各SIP终端分发数据交互过程所需的密钥；还用于管理网络中不同SIP终端间的SIP会话；所述认证服务器，其用于为SIP终端和SIP服务器签发数字证书，并且作为在线可信第三方认证服务器，提供SIP终端与SIP服务器间的身份鉴别服务。

【技术特征摘要】
1.一种SIP安全防范视频监控入网控制系统，其特征在于，包括SIP终端、SIP服务器和认证服务器；所述SIP终端，其用于在进行信息交互前在SIP服务器处经过三元对等身份认证完成注册，并与SIP服务器进行单播密钥及安全会话协商，获取所需密钥；各SIP终端间还进行点对点令牌交换，实现双向身份认证，认证通过的SIP终端间进行数据交互；所述SIP服务器，其用于与认证服务器配合为各SIP终端提供注册服务；与SIP终端进行单播密钥及安全会话协商；作为密钥分发中心，向各SIP终端分发数据交互过程所需的密钥；还用于管理网络中不同SIP终端间的SIP会话；所述认证服务器，其用于为SIP终端和SIP服务器签发数字证书，并且作为在线可信第三方认证服务器，提供SIP终端与SIP服务器间的身份鉴别服务。2.根据权利要求1所述一种SIP安全防范视频监控入网控制系统，其特征在于，所述SIP终端包括第一注册模块、第一单播密钥及安全会话协商模块、终端身份双向认证模块、终端会话模块和第一注销模块；所述SIP服务器包括第二注册模块、第二单播密钥及安全会话协商模块和第二注销模块；所述认证服务器包括第三注册模块；所述第一注册模块、第二注册模块及第三注册模块之间相互配合完成SIP终端的注册过程；所述第一单播密钥及安全会话协商模块和第二单播密钥及安全会话协商模块进行SIP终端与SIP服务器的单播密钥及安全会话协商；所述各SIP终端的终端身份双向认证模块之间交换点对点令牌，实现双向身份认证；所述各SIP终端的终端会话模块之间传递数据；所述第一注销模块和第二注销模块配合实现SIP终端的注销操作，注销认证通过，则SIP终端允许离网。3.根据权利要求2所述一种SIP安全防范视频监控入网控制系统，其特征在于，所述第一注册模块、第二注册模块及第三注册模块之间相互配合完成SIP终端的注册过程如下：步骤1.1：第一注册模块向第二注册模块发送触发注册请求消息M1；步骤1.2：第二注册模块在收到第一注册模块发送的触发注册请求M1后，向所述第一注册模块发送触发注册响应消息M2；步骤1.3：所述第一注册模块验证触发响应消息M2的合法性，若合法，向第二注册模块发送接入认证请求M3；否则返回步骤1.1；步骤1.4：第二注册模块验证所述第一注册模块发送的接入认证请求M3的合法性，若合法，第二注册模块向第三注册模块发送证书认证请求M4，执行步骤1.5；否则向第一注册模块发送注册失败的信息，返回步骤1.1；步骤1.5：第三注册模块验证所述第二注册模块发送的证书认证请求M4的合法性，若合法，则生成验证结果并对验证结果签名，将携带已签名的验证结果的证书认证响应消息M5发送给第二注册模块，执行步骤1.6；否则向第二注册模块发送证书认证失败的信息，返回步骤1.1；步骤1.6：第二注册模块验证证书认证响应消息M5的合法性，若合法，则验证第三注册模块对证书验证结果的签名字段的合法性，若合法，则查看证书验证结果字段中第一注册模块的证书验证结果，根据此字段来决定是否允许第一注册模块接入，进而封装得到接入认证响应消息M6并发送给第一注册模块，执行步骤1.7；否则向第三注册模块发送认证失败的信息，返回步骤1.1；步骤1.7：第一注册模块验证接入认证响应消息M6的合法性，若合法，则验证第三注册模块对证书验证结果的签名字段的合法性，若合法，则查看证书验证结果字段中第二注册模块的证书验证结果，根据此字段决定是否接入该第二注册模块，如决定接入该第二注册模块，则进入待会话状态；否则向第二注册模块发送认证失败的信息，返回步骤1.1。4.根据权利要求2所述一种SIP安全防范视频监控入网控制系统，其特征在于，所述第一单播密钥及安全会话协商模块和第二单播密钥及安全会话协商模块进行SIP终端与SIP服务器的单播密钥及安全会话协商的过程如下：步骤2.1：第二单播密钥及安全会话协商模块向第一单播密钥及安全会话协商模块发送单播密钥和安全会话协商请求M7；步骤2.2：第一单播密钥及安全会话协商模块对接收到的单播密钥和安全会话协商请求M7进行验证，验证通过，则生成单播密钥和安全会话协商响应消息M8，并发送给第二单播密钥及安全会话协商模块；步骤2.3：第二单播密钥及安全会话协商模块对接收的单播密钥和安全会话协商响应...

【专利技术属性】
技术研发人员：芦翔，吕世超，孙利民，石志强，朱红松，潘磊，
申请(专利权)人：中国科学院信息工程研究所，
类型：发明
国别省市：北京;11