周迪

2014年3月27日，中央電視臺報道了多起黑客利用家庭監(jiān)控設(shè)備的漏洞將視頻泄露至網(wǎng)上的事件，引起了大家的高度關(guān)注。相信在這之前不少專家早已預(yù)料到事情會有發(fā)生的一天，熟悉網(wǎng)絡(luò)的人士只要稍微研究下目前安防界普遍采用的為遠程訪問攝像機、錄像機而設(shè)計的所謂私有DDNS系統(tǒng)，就不難發(fā)現(xiàn)其存在的巨大安全隱患。隱患轉(zhuǎn)化為現(xiàn)實災(zāi)難的條件之一當(dāng)然是用戶未及時修改設(shè)備的缺省密碼，或?qū)⒚艽a設(shè)置得過于簡單，但是企業(yè)也不能把責(zé)任完全推脫給用戶，設(shè)計方案和系統(tǒng)時必須充分考慮普通民眾的默認習(xí)慣及其可能引發(fā)的安全風(fēng)險。

本文就民用安防普遍存在的安全隱患和方案對策略作探討，以期拋磚引玉。

賬戶管理

目前很多安防公司普遍采用的私有DDNS 方案的大致架構(gòu)是：企業(yè)在公網(wǎng)部署一個官方網(wǎng)站；用戶的前端設(shè)備放置在SOHO 路由器的內(nèi)網(wǎng)，通過uPNP 協(xié)議或手工靜態(tài)配置讓路由器將其服務(wù)端口映射到公網(wǎng)，并向網(wǎng)站進行注冊；外網(wǎng)的用戶后端設(shè)備（PC、手機、解碼器等）向網(wǎng)站獲取前端設(shè)備的公網(wǎng)IP 地址和服務(wù)端口號，便可向其發(fā)起訪問。此時，外網(wǎng)用戶登錄內(nèi)網(wǎng)前端設(shè)備所要輸入的賬號通常就是設(shè)備本身的賬號，這個賬號因為用戶潛意識的以為處于內(nèi)網(wǎng)的設(shè)備是安全的而不會被及時更改；另一方面，很多網(wǎng)站要求設(shè)備名全局唯一，這樣黑客就可以很輕松的獲得大量在用的設(shè)備名，并以缺省賬號登錄設(shè)備竊取實況和錄像視頻。

從理論上講，任何連接入網(wǎng)的設(shè)備都存在被攻擊的風(fēng)險。用戶應(yīng)該養(yǎng)成及時修改缺省密碼的習(xí)慣，而且密碼設(shè)置不能太過簡單。以目前很常見的雙核計算機為例，如果破解純數(shù)字的6位密碼只需幾秒鐘，那么破解“數(shù)字+ 字母+ 特殊符號”的6位密碼只需要22個小時，而破解“數(shù)字+ 字母+ 特殊符號”的8位密碼則需要23年——當(dāng)然實際破解所需時間還與產(chǎn)品具體登錄流程的設(shè)計相關(guān)，但破解難度大致呈上述比例。所以密碼設(shè)置應(yīng)至少采用 “數(shù)字+ 字母+ 特殊符號”的8位字符串。

對企業(yè)來說，系統(tǒng)設(shè)計應(yīng)該引導(dǎo)用戶及時修改默認賬號和密碼，并對密碼的強度做出一定的限制。

網(wǎng)絡(luò)防范

黑客入侵的前提是設(shè)備和客戶端聯(lián)入互聯(lián)網(wǎng)，聯(lián)網(wǎng)的入口通常是一個SOHO級路由器，通過NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）特性聯(lián)入運營商網(wǎng)絡(luò)。它是抵御攻擊的第一道防線，需要用戶認真規(guī)劃部署，企業(yè)設(shè)計方案時也應(yīng)該充分考慮用戶網(wǎng)絡(luò)的安全性。

NAT特性有四個運行模式：完全錐型、地址限制錐型、端口限制錐型、對稱型，安全級別依次提升。完全錐型極不安全：只要內(nèi)網(wǎng)的設(shè)備曾經(jīng)訪問過外網(wǎng)的一臺設(shè)備，那么外網(wǎng)的任何設(shè)備都可以訪問該內(nèi)網(wǎng)設(shè)備的對應(yīng)業(yè)務(wù)端口；地址限制錐型也不夠安全，只要內(nèi)網(wǎng)的設(shè)備曾經(jīng)訪問過外網(wǎng)的某臺設(shè)備，該外網(wǎng)設(shè)備的任何進程均可以訪問該內(nèi)網(wǎng)設(shè)備的對應(yīng)業(yè)務(wù)端口；后兩種模式相對安全，只有外網(wǎng)設(shè)備的對應(yīng)進程才可以訪問內(nèi)網(wǎng)設(shè)備的對應(yīng)業(yè)務(wù)端口。

可怕的是，目前網(wǎng)上大部分的SOHO路由器都采用了完全錐型模式。更為可怕的是，安防界普遍采用的私網(wǎng)DDNS方案要求SOHO路由器開啟uPNP協(xié)議或手工配置來映射業(yè)務(wù)端口，也就意味著，即使內(nèi)網(wǎng)設(shè)備未曾訪問外網(wǎng)的任何設(shè)備，任何外網(wǎng)設(shè)備均可以直接訪問內(nèi)網(wǎng)設(shè)備的對應(yīng)業(yè)務(wù)端口。安全級別比完全錐型的NAT模式還要低。

沒有最不安全，只有更不安全。有些SOHO路由器因為存在質(zhì)量問題，或者安防集成商對IT網(wǎng)絡(luò)比較陌生，會直接將路由器配置成DMZ模式。這意味著對應(yīng)的內(nèi)網(wǎng)設(shè)備完全被暴露在了外網(wǎng)——uPNP模式尚且只是對外暴露了對應(yīng)的業(yè)務(wù)端口，而DMZ模式則干脆將內(nèi)網(wǎng)設(shè)備的所有業(yè)務(wù)端口完全暴露了，“裸奔”是非常危險的。

用戶應(yīng)該盡量選擇端口限制型的NAT模式（一般不推薦對稱模式的NAT，因為很多應(yīng)用需要執(zhí)行NAT“打洞”，對稱模式的NAT不具有NAT友好性，給“打洞”帶來困難），禁用DMZ特性，盡量不啟用uPNP特性（除非游戲等應(yīng)用必須開啟）；此外強烈建議關(guān)閉WAN口登錄的功能。

對于企業(yè)來說，功能設(shè)計時盡量避免要求用戶網(wǎng)絡(luò)開啟uPNP等特性，將麻煩留給自己，把安全留給用戶。

視頻傳輸和存儲

談起民用視頻監(jiān)控，很多用戶最直觀的擔(dān)心是視頻被窺視、盜竊和非法傳播，導(dǎo)致隱私泄露。相對于模擬時代的監(jiān)控，數(shù)字監(jiān)控要安全得多，但風(fēng)險依然存在。最直接的方法就是對視頻進行加密：加密傳輸、加密保存。

目前常見的方案分為兩類：DRM（數(shù)字內(nèi)容的版權(quán)管理）和CA（有條件接收）。DRM的工作原理是：建立數(shù)字節(jié)目授權(quán)中心；編碼節(jié)目內(nèi)容時即進行加密（一般采用公鑰），數(shù)字節(jié)目頭部存放著KeyID和節(jié)目授權(quán)中心的URL；用戶點播時根據(jù)KeyID和URL信息向授權(quán)中心獲得解密密鑰（即對應(yīng)的私鑰），節(jié)目方可播放。DRM加密了內(nèi)容，所以不管是實況視頻還是回放視頻或是本地下載的視頻，沒有解密密鑰根本無法觀看，從而避免了竊聽和非法傳播的隱患。CA的工作原理是：發(fā)送端用隨機碼發(fā)生器產(chǎn)生一個隨機碼（稱為控制字CW）對節(jié)目信號進行加擾，然后對控制字進行加密（通常用公鑰），加密后的控制字復(fù)用到視頻流中傳送給接收端，接收端從智能卡中獲得解密密鑰（即對應(yīng)的私鑰）解碼出控制字，再用控制字對視頻進行解擾獲得正常視頻。DRM和CA各有偏重，前者基于文件加密，在發(fā)送端保存的就是加密后的文件，支持復(fù)雜的授權(quán)規(guī)則，比如只看不許錄等，需要雙向交互；后者是基于傳輸層的加密，服務(wù)器保存的是未加密的視頻，播出時才加密，不支持復(fù)雜的授權(quán)規(guī)則，無需雙向交互。DRM和CA可以一起使用，事實上他們也在相互借鑒、相互融合。

落地到民用視頻監(jiān)控，架構(gòu)模型稍有不同：視頻產(chǎn)生方和接收方均在用戶這里，而提供協(xié)調(diào)的企業(yè)網(wǎng)站處于公網(wǎng)，這與音樂電影的版本管理模式以及數(shù)字電視的廣播模式稍有區(qū)別。此外，用戶的監(jiān)控系統(tǒng)不一定聯(lián)入互聯(lián)網(wǎng)。針對產(chǎn)品的定位特點，企業(yè)在設(shè)計系統(tǒng)時需要靈活參鑒，變通設(shè)計。

對于民用視頻監(jiān)控而言，靈活的授權(quán)規(guī)則也是一個重要的功能。當(dāng)我們進行視頻共享時，對直系親屬的授權(quán)通常會多一些，而對鄰居朋友可能會多一些限制，例如只允許其實況而不允許其回放或下載。此外共享的時間段限制也是一個現(xiàn)實的授權(quán)需求。

密碼管理

密碼管理是一個復(fù)雜的問題，尤其對于民用安防需要同時兼顧其安全性和易用性，必須人性化的解決用戶日常使用的問題。

首先，如何讓用戶管理密碼？如果讓用戶給設(shè)備配置一個密碼，而解碼端依舊需要輸入解密密碼，那么他共享給他的親朋好友是否也要輸入解密密碼？這樣難免導(dǎo)致解密密碼的不可控制的擴散。一個好的系統(tǒng)中，解碼密鑰應(yīng)該由系統(tǒng)來統(tǒng)一控制，無需用戶手工輸入，最好是用戶根本不知道加解密的密碼，從而杜絕泄露擴散的可能性。

其次，密碼如何傳輸？CA系統(tǒng)的解密密碼是保存在硬件中的，不存在傳輸，比較安全，但是民用視頻監(jiān)控不可能這樣設(shè)計，會影響靈活性，成本也會高很多。交互是必須的，但可以不是最終的密碼，否則難免被攔截竊取。

再次，密碼如何保存？密碼絕對不可以明文形式保存于任何一個節(jié)點，即使是用來生成密碼的種子也應(yīng)該進行加密，這樣即使設(shè)備被竊，視頻也無法破解。加解密的密碼最好是動態(tài)變化的，這樣可以大大增加黑客破解的難度。

最后，為了支持第三方播放器的播放需求，比如將關(guān)鍵錄像作為證據(jù)提交給相關(guān)機關(guān)，系統(tǒng)必須提供轉(zhuǎn)碼功能允許用戶將加密視頻轉(zhuǎn)換成非加密視頻。

終極方案

如果上面幾個方面都做到位了，我們是否可以高枕無憂了呢？其實還有兩個隱患，當(dāng)然發(fā)生的可能性要小很多。一是不小心讓黑客在你的客戶端植入了木馬，這意味著客戶端的整個解碼過程都暴露在了他的面前，但除非他破譯了推算真實密碼的完整算法（例如通過反編譯——如何防止反編譯可以參看相關(guān)教程），否則他還是無法獲得真實密碼來破解視頻；二是企業(yè)的內(nèi)鬼搗亂，由于整個方案系統(tǒng)是由企業(yè)提供的，它擁有相關(guān)的信息，理論上可以為所欲為，這與銀行必要時可以不經(jīng)你同意處理你的賬戶是一個道理——所以企業(yè)內(nèi)部必須實行內(nèi)控，用戶信息必須加密存儲，若需解密起碼需經(jīng)兩級主管的密碼輸入方可授權(quán)進行，這與核武器的管理模式類似。選家用安防產(chǎn)品應(yīng)盡量選擇有品牌保證信譽好的大公司，他們視企業(yè)形象和名譽如生命。

說到這里，是不是有點隱私無法保障的感覺，處處都可能被偵聽？其實，無法被偵聽的方案是有的，只是離我們民用產(chǎn)品的應(yīng)用尚需要一小段時間。它就是量子通信。聽起來可能讓人覺得很高深，其實也不是那么莫測。

量子通信具有絕對不可破譯的秘密傳輸?shù)奶攸c，這得益于量子的兩個有趣的特性：

一是同源的幾個光子（稱為EPR對粒子）具有相互糾纏的特性，即使它們相距十萬八千光年，一旦一個光子的狀態(tài)發(fā)生改變，另一個光子也瞬間跟著作相應(yīng)改變。這是經(jīng)過無數(shù)科學(xué)實驗驗證的事實。

二是量子態(tài)的不可克隆特性，即無法測量粒子的量子態(tài)，一旦被測量量子態(tài)即刻塌縮，原有的信息丟失。如同一枚旋轉(zhuǎn)中的硬幣，一旦碰觸，原來的狀態(tài)即可發(fā)生改變，得到只是正面或反面的兩個坍縮后的狀態(tài)之一。

量子通信的商用目前主要有兩種模式，一是量子密碼通信，二是量子隱形傳態(tài)。

量子密碼通信是以EPR對粒子的量子態(tài)作為密碼。利用EPR對粒子實現(xiàn)超遠距離的密碼傳輸具有同步性和不可被偵聽性；以量子態(tài)作為密碼保存具有不可被測量性。這就很好的解決了密碼傳輸和保存的安全性，杜絕了客戶端的木馬和企業(yè)的內(nèi)鬼讀取用戶密碼的可能性。

量子隱形傳態(tài)不涉及信息的加密，而是將原始數(shù)據(jù)（可以以量子態(tài)存在，我們平時接觸的信息稱為經(jīng)典態(tài)，經(jīng)典態(tài)是量子態(tài)的一個特殊狀態(tài)）的信息巧妙的傳遞到接收者那里，而中間傳輸?shù)男畔⒓词贡粋陕犚矡o法恢復(fù)出原始的數(shù)據(jù)信息。原理框架是：發(fā)送方和接收方各獲得第三方機構(gòu)頒發(fā)的EPR對的其中一個糾纏粒子；發(fā)送方對原始信息的量子態(tài)和他手里的那顆糾纏粒子做聯(lián)合量子測量，獲得坍縮后的一個經(jīng)典態(tài)結(jié)果；這個結(jié)果通過傳統(tǒng)途徑（電子郵箱等）發(fā)送給接收方；接收方對收到的結(jié)果和他手里的糾纏粒子進行相應(yīng)的量子變換，即可恢復(fù)出原始的數(shù)據(jù)信息。在這種應(yīng)用模式中，接收端的木馬和企業(yè)內(nèi)鬼由于無法讀取恢復(fù)數(shù)據(jù)所需的糾纏粒子的量子態(tài)，也就無法解碼出原始的信息。

我們常說的安全性其實有兩種標(biāo)準(zhǔn)：計算安全性和無條件安全性。前者指密碼系統(tǒng)在原理上是可破譯的，但是竊聽者破譯所需要的時間（計算）資源是無限的；后者指密碼系統(tǒng)在原理上就是不可破譯的。目前流行的加密手段都屬于前者，而量子通信屬于后者。事實上，一旦量子計算機商用，依靠計算安全性的安全系統(tǒng)就完全成為擺設(shè)了，量子通信在目前的物理學(xué)認知范圍內(nèi)是最可靠的解決方案。

【結(jié)束語】

還記得英國左翼作家喬治·奧威爾的小說《1984》么？估計我們誰也不希望過著沒有隱私的生活。視頻監(jiān)控為安居宜居提供安全保障的同時，監(jiān)控視頻本身的安全保障也就成為了一個相伴相生的重大課題。在為用戶提供各種監(jiān)控產(chǎn)品的同時，系統(tǒng)的安全性也是宇視孜孜不倦追求的目標(biāo)。