5 证书和密钥要求
5.1 密码算法
系统使用国家密码管理行政机构批准的非对称密码算法、对称密码算法、密码杂凑算法和随机数生成算法，算法应采用获得国家密码管理行政机构批准的安全密码产品实现。算法及使用方法如下：
a) 非对称密码算法使用SM2椭圆曲线密码算法，用于身份认证、数字签名、密钥协商等；
b) 对称密码算法使用SM1、SM4分组密码算法OFB模式，用于视频数据的加密保护。使用SM4分组密码算法ECB模式，用于密钥协商数据的加密保护；
c) 密码杂凑算法使用SM3密码杂凑算法，用于完整性校验；
d) 随机数生成算法生成的随机数应能通过GM/T0005-中规定的方法进行检测。
５.2 数字证书类型
系统应使用基于非对称密码算法的数字证书体系实现用户身份认证、前端设备认证、服务器设备认证、管理平台间认证等安全功能。应为用户、前端设备、服务器设备以及管理平台签发数字证书。证书类型具体如下：
a) 用户证书：用于对用户的身份认证；
b) 前端设备证书：用于前端设备的身份认证以及对设备产生视频数据的数字签名；
c) 服务器设备证书：用于服务器设备的身份认证；
d) 管理平台证书：用于管理平台的身份认证。
5.3数字证书格式
应支持GM/T0015-中对证书格式和证书撤销列表(CRL)的规定。统一的证书格式见附
录Ａ。
5.4 密钥种类
系统的密钥分为非对称密钥类和对称密钥类。非对称密钥类包括管理平台内功能实体的签名公私钥和加密公私钥、FDWSF签名公私钥、具有安全功能的用户终端签名公私钥等。对称密钥类有视频密钥加密密钥、视频加密密钥等。
６ 基本功能要求
６.1 统一编码规则
系统对FDWSF、服务器设备、具有安全功能的用户终端进行统一编码，见GB/T28181-的附录D中D.1。集成在FDWSF的密码模块，应有唯一的标识，编码规则见附录Ｂ。
６.2 用户身份认证
应对用户基本信息、属性信息以及用户ID与用户证书的对应关系作管理。应对所有用户进行身份认证。应支持基于数字证书的用户认证，认证流程见附录C中C.1。
6.3 前端设备分级
6.3.1 根据安全保护强弱，将FDWSF的安全能力分为三个等级，由弱到强分别是Ａ 级、Ｂ 级、Ｃ 级，见表１。
6.3.2Ａ 级应基于数字证书与管理平台双向身份认证的能力，达到身份真实目标。
6.3.3Ｂ级应具备基于数字证书与管理平台双向身份认证的能力和对视频数据签名的能力，达到身份真实和视频来源于真实设备，能够校验视频内容是否遭到篡改的目标。
6.3.4Ｃ级应具备基于数字证书与管理平台双向身份认证的能力、视频数据签名能力和视频数据加密能力，达到身份真实和视频来源于真实设备，能够校验视频内容是否遭到篡改，能够达到对视频内容加密保护目标。
表１前端设备分级
6.4 设备身份认证
6.4.1 管理平台应对FDWSF的基本信息、属性信息以及FDWSF的IＤ、其密码模块ID与设备证书的对应关系作管理。
6.4.2 管理平台应对所有接入的FDWSF进行单向设备身份认证或者双向设备身份认证。认证流程见Ｃ.２，消息示例参见Ｄ.１和Ｄ.２。
6.5 管理平台间认证
管理平台互联互通时应进行管理平台间的双向身份认证。认证流程见Ｃ.３。
6.6 授权与访问控制
6.6.1 在设备身份认证的基础上，管理平台应采用基于属性或基于角色的访问控制模型对用户进行授
权管理和访问控制。
6.6.2 管理平台访问控制的粒度应至少包含前端设备的安全能力等级以及存储视频是否加密等属性。
6.6.3 在系统中访问加密视频信息的用户应是经过基于数字证书认证的用户，包括对加密视频的播放、回放、下载、删除等操作。
6.6.4 当跨域访问时，应采用信令Monitor-User-Identity携带的用户身份信息进行访问控制。对Ｃ级设备的访问要做严格的控制。
6.7 控制信令认证
6.7.1 管理平台和FDWSF应采用带密钥的杂凑算法SM3对设备遥控等重要的SIP控制信令做认证。
6.7.2 在SIP消息头域中，启用Date域，增加Note域。Note=(Digest nonce=””, algorithm=)，nonce的值为杂凑运算结果经过Base64编码后的值，algorithm的值为杂凑算法名称。控制信令认证的流程和方法规定见Ｃ.４，消息示例参见Ｄ.３。
6.7.3 当跨域访问时，若该信令是由本域的用户发起，则信令安全路由网关应将发送到外域的信令添加Monitor-User-Identity头域，其取值为信令安全路由网关ID 和用户的身份信息；若该信令不是由本域的用户发起，则只在原有Monitor-User-Identity域值前添加信令安全路由网关ID；各段分隔符为 ” ”。用户的身份为用户ID 以及用户身份属性信息（用户身份属性信息包括：用户隶属机构属性、用户类别属性和用户职级属性）。
6.8 视频源签名及完整性校验
6.8.1 所有Ｂ级和Ｃ 级FDWSF应对采集的视频进行视频数据签名操作并基于TCP协议进行传输。
6.8.2 所有Ｂ级和Ｃ 级FDWSF应支持对视频Ｉ帧及其他关键帧的签名。
6.8.3 管理平台应支持对视频数据签名结果的接收、存储和验证，实现视频源的抗抵赖及完整性校验。
6.8.4 视频数据签名和验签的格式和流程见Ｃ.５，消息示例参见Ｄ.４。
6.9 视音频加密
6.9.1 所有Ｃ 级FDWSF应对采集的视频及音频进行加密操作并传输。
6.9.2 管理平台应支持视频及音频加密数据的传输，支持用户在权限范围内对实时加密视音频播放、历史加密视音频回放、加密视音频的存储／下载／分发／导出等操作。
6.9.3 视音频加密格式和流程见Ｃ.６，消息示例参见Ｄ.５～Ｄ.１１。
6.9.4 视频导出时管理平台应更换视频密钥加密密钥，具体流程参见附录Ｅ。
6.9.5 加密视频直接存储到存储设备。
6.10 设备异常管理报警
6.10.1 管理平台应能及时发现FDWSF的异常情况，如非授权处理、密码模块损坏或丢失。
6.10.2 管理平台应能及时感知设备异常情况，如报警等，并同时写入日志。
6.11 安全管理
6.11.1 系统应设置安全管理员、安全操作员和安全审计员三类管理员角色。
6.11.2 安全管理员负责系统的安全参数配置、系统服务器启动和停止，不具有安全业务操作的权限。
6.11.3 安全操作员按其权限进行具体的安全业务操作，包括密钥生成、导入、备份和恢复等操作。
6.11.4 安全审计员负责系统的审计管理，负责对涉及系统安全的事件和各类管理、操作人员的行为进行审计和监督。
6.11.5 系统应使用数字证书和静态口令、动态口令、生物识别等其他认证因子相结合的方式认证安全管理员、安全操作员及安全审计员的身份，身份认证成功后才能登录系统进行操作。
6.12 日志管理
6.12.1 管理平台应对用户认证、设备认证、密钥管理等安全操作和各种异常安全事件，包括密钥协商失败、数据加解密失败、完整性校验失败等记录日志。
6.12.2 管理平台应具备获取FDWSF 各种异常安全事件日志的功能。包括设备认证失败、密钥协商失败、数据加解密失败、完整性校验失败等。
6.13 非对称密钥管理
非对称密钥对及其证书应按照GM/T0034-进行管理。
6.14 对称密钥管理
6.14.1 系统应对所使用的对称密钥进行完整生命周期的管理。
6.14.2 视频密钥加密密钥VKEK在设备注册时更新，并安全传输到具有安全功能前端设备的密码模块中安全存储。管理平台应使用安全模块安全保存所有前端设备的VKEK，保存周期应满足历史视频保存时间的要求。
6.14.3 视频密钥加密密钥VKEK 更新周期不大于１天。视频加密密钥VEK更新周期不大于1h。
7 性能要求
7.1 设备身份认证
在符合GB/T28181-中5.5网络传输质量要求前提下，设备身份双向认证时间延迟不超过400ms。双向认证时间延迟，不包含穿越安全边界平台及设备等实际网络中其他必须存在的设备延时。
7.2视频数据签名
FDWSF视频数据签名，应不小于１次/s。
7.3 视频加解密
Ｃ级FDWSF应能支持全码流加密，在符合GB/T28181-中5.5网络传输质量要求前提下，视频加密/解密增加的延时不超过400ms。
