一种基于SIP的多媒体客户端安全接入设计*

王永建，刘永涛，梁伟河，张 鑫，赵志明

（中国通信建设集团设计院有限公司，北京 100079）

一种基于SIP的多媒体客户端安全接入设计*

王永建，刘永涛，梁伟河，张 鑫，赵志明

（中国通信建设集团设计院有限公司，北京 100079）

视频监控系统是平安城市建设的关键，客户端是安全事件的集中源头。为了提高视频监控客户端的接入安全性，基于SIP设计了一种客户端安全接入方案。首先简析SIP协议原理，设计多媒体系统整体结构，定义各主要组成部件的功能，然后分析安全接入标准与要求，从登陆/注销、获取设备属性列表、保活状态等方面设计实现流程与要求。目前，该设计思路已在公安部警务网中应用，效果良好，对多媒体客户端的安全接入设计具有一定的借鉴意义。

Web；SIP；接入网关；重定向

0 引 言

随着移动互联网、云计算、智能终端、Web等技术的发展，B/S（Browser/Server，浏览器/服务器）服务模式以其开发简捷、部署便捷、消耗资源少、维护成本低等特点而广泛应用，而以APP为代表的Web客户端就是典型代表。

随着构建和谐社会的需要，2012年6月1日，公安部发布了《安全防范视频监控联网系统信息传输、交换、控制技术要求》（GB/T28181-2011）等相关文件，正式启动了国家平安城市的建设工作，而视频监控系统的安全尤为重要。信息安全事故的源头主要集中在用户终端，因此视频监控客户端的安全接入非常关键。本文利用SIP（Session Initiation Protocol，会话初始协议）协议，探究多媒体客户端安全接入方案。

1 相关协议分析

1.1 SIP协议分析

SIP是基于HTTP（Hyper Text Transfer Protocol，超文本传输协议）和SMTP（Simple Mail TransferProtocol，简单邮件传送协议）的信令协议，属于一个应用层的控制协议。它基于请求/响应的事务处理模型，使用消息方式完成用户会话的建立和管理[1]，如图1所示。

图1 SIP协议在网络体系中的位置

SIP支持名字映射和重定向服务，将原来请求的地址映射为新地址，只进行重定向，并不参与事务的处理。SIP非常适用于作为客户唯一的外部标志，而无需关系所在的实际网络位置。

SIP消息分为两类：SIP请求和SIP响应。其中，请求消息由客户机发往服务器，响应消息由服务器发往客户机[2]。请求消息和响应消息格式由一个起始行、若干个头字段以及一个可选的消息体组成[3]。请求和响应消息的基本格式如下：

SIP消息=起始行

*消息头部（1个或多个头部）

CRLF（空行）

[消息体]

起始行=请求行/状态行

请求消息的起始行为请求行：

Request-Line=Method SP Request-URI SP SIPVersion CRLF[4]。

响应消息的起始行为状态行：

Status-Line=SIP-Version SP Status-Code SP Reason-Phrase CRLF[5]。

1.2 HTTP摘要认证

SIP协议因其简单性、较好的可扩展性、易于实现等而广泛应用，因此其安全性也越发愈发重要[6]。SIP本身不提供认证机制与加密机制，其默认方法是借助HTTP摘要认证来保证认证鉴权与口令加密传输，从而实现对用户的身份进行鉴别和抵御重放攻击[7]。

HTTP摘要认证是基于预分配用户名密码的一种认证机制，以替代基本认证，防止密码明文传输泄露信息[8]。它采用质询-应答机制（Challenge-Response）。“质询”指服务器向客户端发送一个包含消息头WWW-Auhtelliteate的HTTP响应，状态码为401（Unauhtiorezd），要求客户端发送端认证信息；“应答”指客户端识别出消息头后，向服务器反馈基于HTTP的请求信息[9]。当服务器收到客户端的请求消息时，若该客户端尚未完成身份认证，则服务器会在回应中发起挑战，客户端须提供证明自己身份的信息，以完成服务器对其身份的验证[10]。

2 系统结构

本文将多媒体系统分为中央管理系统CMS（Central Management System），接入网关AG（Access Gateway），媒体分发系统MDS（Media Distribution System），客户端MC（Multimedia Client）以及其他模块，具体如图2所示。

图2 多媒体系统结构

（1）中央管理系统

CMS是多媒体系统的中枢管理系统，直接管理AG和其他模块。作为管理中心，它提供客户端/用户管理；作为存储中心，它存储客户端/用户数据和业务参数配置数据，向Portal提供发布的内容[11]。它提供客户端接入时的呼叫控制功能，接收SIP的呼叫请求。如果被叫是本域的前端，则修改SIP消息中的SDP（Session Description Protocol），根据前端注册的信令地址发起新的SIP呼叫，失败则释放本次呼叫[12]。

（2）接入网关

AG是系统的前端接入网关，以及Web和WAP客户端的Http Portal，是MC注册或者会话时的第一个访问点，部署在MC与CMS之间[11]。AG必须实现本域MC的接入，接收和转发由MC或CMS发来的SIP信令。实现对MC的接入管理，接收、转发来自MC的呼叫控制信令给CMS，转发从CMS接收到的请求或应答消息给MC。

（3）媒体分发系统

MDS是系统的媒体转发/分发单元，负责平台侧的媒体传送，在CMS的媒体调度模块控制下完成音视频传送功能。它可以多级级联和分布式部署[11]。

（4）客户端

MC分为PC客户端、手机客户端。基于Web/ WAP，本文默认为Web。客户端功能可包括呼叫控制、图像浏览、录像回放、云镜控制、快照、解码、对讲等功能，本文只探究安全接入认证。

3 安全接入方案

3.1 接入要求分析

客户端在使用前首先需要向接入的监控平台请求登录认证，监控平台向客户端返回认证结果，鉴权通过后才能使用视频监控平台提供的各项业务功能。

客户端支持通过用户名和密码的方式进行认证，用户名和密码在业务办理或开通时获得。客户端可以选择保存用户名和密码。

用户如果登录失败，客户端能给出正确的提示，如用户名或密码错误。如果连续超过三次输入错误，则提示用户通过其他方式重新获得密码。

客户端正常使用时可执行注销、退出程序等操作。当注销或退出时，客户端中断与平台之间的通讯链路，并停止视频播放和本地录像。

如果客户端的IP地址发生变化，则需要重新向平台注册。

3.2 登录/注销

客户端的安全接入，首先在访问视频监控业务前必须先在平台完成有效注册，以确保用户身份的合法性。当客户端需要退出视频监控业务时，需要请求注销。SIP呼叫一次代理服务器（本文中指AG）的过程需要三次握手确认才算完成[13]。另外，一个CMS下面可能存在多个MC接入网关，MC接入到哪个MC的接入网关上，必须由系统中的CMS进行统一调度。如图3中的AG（A），调度方式可采用SIP的302重定向功能来实现。所以，MC必须支持SIP重定向功能。客户端注册到平台时采用客户端编号进行注册，且登录/注销支持NAT穿越功能，支持RFC3581标准，具体流程如图3所示。

（1）客户端（MC）发送Register消息到AG（A），这里的AG（A）是平台的统一接入网关，即客户端上配置的接入网关；

（2）AG（A）转发请求给CMS；

（3）CMS进行调度，并返回302重定向到AG（B）；

（4）客户端（MC）发送Register消息到接入网关AG（B）；

（5）接入网关AG（B）转发Register消息到CMS；

（6）CMS检测到Register消息中没有登陆请求消息，返回401需要鉴权响应；

（7）接入网关AG（B）转发401需鉴权响应到客户端（MC）；

（8）客户端（MC）收到401响应后，发送携带鉴权信息的Register消息到接入网关AG（B）；

（9）接入网关AG（B）转发携带鉴权信息的Register消息到CMS；

（10）CMS鉴权通过后，返回200 OK注册成功响应消息；

（11）接入网关AG（B）转发注册成功响应消息到客户端（MC）。

图3 登录流程示意

由于注销与注册流程相似，不再赘述注销原理。注销和注册消息唯一的不同是，注销时Register消息中的Expires参数等于0，客户端在注册时使用用户名或者用户ID注册，后续SIP消息头中要与之保持一致，这是SIP协议栈的基本要求。

3.3 获取设备属性列表

客户端经视频监控业务平台授权登陆后，需进一步验证用户权限，如是否权限过期、是否列入黑名单、有哪些禁止/服务权限等。这通过获取设备属性列表实现。设备属性列表中主要包括三种类型的信息：用户相关的信息、设备列表信息和设备动态状态信息。这三个信息分三次不同的请求进行获取[13]。其中，用户的相关信息主要包括用户本身的权限属性等信息，设备列表信息主要包括一些设备列表分组和具体的设备列表信息，而设备动态状态信息主要包括设备IP地址、码流、状态等信息。设备属性列表流程如图4所示。

图4 设备属性列表流程

（1）客户端（MC）向AG发送HTTP请求，获取用户本身相关的信息，在HTTP请求头中未携带鉴权信息；

（2）AG转发请求给CMS；

（3）CMS返回401响应给AG；

（4）AG返回401响应给客户端（MC），需对客户端进行鉴权；

（5）客户端（MC）重新组成HTTP头，并携带鉴权信息向AG发送获取用户信息请求消息；

（6）AG转发请求消息给CMS；

（7）CMS进行认真鉴权成功后，返回具体的用户相关信息给AG，响应消息中包括用户设备列表的时间戳信息；

（8）AG转发给客户端（MC）；

（9）客户端（MC）根据设备列表的时间戳和本地保存的时间戳，判断是否需要重新获取设备静态列表。如果需要，则发送获取设备静态列表给AG；如果时间戳一致，则不需要重新获取设备静态列表，直接获取动态信息；

（10）AG转发请求给CMS；

（11）CMS返回设备静态列表给AG；

（12）AG转发设备静态列表响应给客户端（MC）；

（13）客户端（MC）加载设备列表后，向AG继续获取具体的设备状态信息；

（14）AG转发给CMS；

（15）CMS返回设备状态信息给AG；（16）AG转发响应给客户端（MC）。

客户端的安全接入，仅仅完成登录认证是不够的，还必须保持“活跃”状态。

3.4 保活状态

3.4.1 保活实现流程

客户端在登录后，可能出现一段时间无任何操作。为防止平台误认为客户端“下线”和重放攻击，客户端和管理服务平台之间需要支持心跳保活消息，以确保平台能及时检测到客户端的异常下线。客户端也可以检测与平台之间的连接异常。客户端和业务平台之间的心跳消息使用Options消息，心跳消息间隔是60 s。平台3个心跳周期内收不到任何消息（包括心跳消息及业务消息），则认为客户端下线，保活流程如图5所示。

（1）客户端（MC）发送心跳请求消息Options到接入网关（AG）；

（2）接入网关（AG）更新客户端（MC）的保活状态；

图5 保活流程

（3）CMS发送200 OK响应消息到客户端（MC）；

（4）如果AG在3个心跳周期内没有收到客户端发送过来的心跳消息，则认为客户端已下线；

（5）AG发送客户端下线消息到CMS；

（6）CMS收到下线消息后，配置客户端（MC）状态为下线。

3.4.2 媒体保活数据包

媒体保活包完全采用文本格式，采用类RTSP（Real Time Streaming Protocol）的OPTIONS方法。该类RTSP的OPTIONS媒体心跳保活方法仅仅在TCP传送媒体时使用。UDP传送媒体时，采用RTCP（Realtime Transport Control Protocol）做媒体心跳保活[14]。媒体保活数据包包括请求与响应两种，具体格式定义如下。

（1）TCP媒体保活请求数据包

（2）TCP媒体保活响应数据包

请求和响应通过CSeq进行配对；请求和响应的CSeq都是相同的。OPTIONS中的URL（Uniform Resoure Locator）统一采用SDP中u字段指定的URL；OPTIONS消息周期为15 s；CSeq由请求消息发送方逐次加1。

4 结 语

本文根据SIP协议服务模式，设计了多媒体系统结构，并从登陆/注销、获取设备属性列表、保活状态三方面设计了多媒体客户端安全接入的实现流程与要求。目前，这些设计思路已在公安部警务网中应用验证，运行效果良好。

本文的设计只涵盖多媒体客户端安全接入的基本与通用要求，且HTTP摘要认证本身存在一定缺陷性，如不能双向认证，缺乏私钥协商机制。多媒体客户端的安全接入指标与保障措施远不止这些，可采用的技术仍有很多，如PKI（Public Key Infrastructure）体系、可信计算等。因此，该方面的研究任重道远。

[1] 刘辉,罗晓勇,张杰.基于SIP的无线视频监控系统的设计与实现[J].电视技术,2011,35(19):93-95. LIU Hui,LUO Xiao-yong,ZHANG Jie.Design and Implementation of SIP-based Wireless Video Surveillance System[J].Video Engineering,2011,35(19):93-95.

[2] 曾鹭鹭,陈一民.基于SIP协议的IP电话服务器的设计与实现[J].计算机工程,2007,33(03):278-280. ZENG Lu-lu,CHEN Yi-min.Design and Implementation of IP Phone Server based on SIP Protocol[J].Computer En gineering,2007,33(03):278-280.

[3] 徐轩.嵌入式移动视频采集终端的设计与实现[D].武汉:武汉理工大学,2013. XU Xuan.Design and Implementation of Embedded Mobile Video Acquisition Terminal[D].Wuhan:Wuhan University of Technology,2013.

[4] 亢娟.基于WCDMA网络的智能公交系统接口协议研究[D].太原:太原理工大学,2013. KANG Juan.Research on Interface Protocol of Intelligent Public Transportation System based on WCDMA Network[D].Taiyuan:Taiyuan University of Technology,2013.

[5] 陈莹.基于SIP协议的视频监控系统的实现与应用[D].上海:上海交通大学,2008. CHEN Ying.Implementation and Application of Video Surveillance System based on SIP Protocol[D]. Shanghai:Shanghai Jiao Tong University,2008.

[6] 李学杰,金志刚,戴居丰.基于HTTP摘要认证的SIP安全性设计[J].电子测量技术,2007,30(12):109-115. LI Xue-jie,JIN Zhi-gang,DAI Ju-feng.Design of Secure SIP based on HTTP Digest Authentication[J].Electronic Measurement Technology,2007,30(12):109-115.

[7] 顾晓辉,施佳佳,郭放.SIP的安全机制及其HTTP摘要认证的改进[J].东华大学学报:自然科学版,2010,36(02):165-174. GU Xiao-hui,SHI Jia-jia,GUO Fang.Security Mechanism of SIP and Improvement of HTTP Digest Authentication[J].Journal of Donghua University(Natural Science Edition),2010,36(02):165-174.

[8] 彭焕峰.一种基于改进的HTTP摘要认证的SIP安全机制[J].微型机与应用,2011,30(06):53-55. PENG Huan-feng.SIP Security Mechanism based on Improved HTTP Digest Authentication[J].Microcomputer & its Applications,2011,30(06):53-55.

[9] 陈远志.HTTP认证及其在Web平台中的实现[J].中国数据通信,2004,6(10):77-83. CHEN Yuan-zhi.HTTP Authentication and Its Implem-entation in Web Platform[J].China Data Communicatio ns,2004,6(10):77-83.

[10] 傅有为.基于HTTP摘要认证机制的SIP通信系统的实现[D].大连:大连理工大学,2011. FU You-wei.The Implementation of a SIP Communication System based on HTTP Digest Authentication Scheme[D].Dalian:Dalian University of Technology,2011.

[11] 仝玉选.试论电信级视频监控中心服务平台[J].现代传输,2011(06):55-67. TONG Yu-xuan.Discussion on the Service Platform of the Telecommunication Level Video Monitoring Center[J].Modern Transmission,2011(06):55-67.

[12] 姚楠,王开圣.基于三维GIS的电网视频监控系统[J].中国电力,2012,45(04):96-100. YAO Nan,WANG Kai-sheng.Network Video Monitoring System based on Three Dimensional GIS[J].China Electric Power,2012,45(04):96-100.

[13] Menon V,Kulgod SV,Bangalore J.Fast Connect Procedure for Session Initiation Protocol Using Cached Credentials[A]//Proceedings of IEEE 2014 International Conference on Advances in Computing.Communications and Informatics[C].New Delhi,India:India Chapter & Res Publishing Serv,2014:322-326.

[14] Cao Y,Xu C,Guan J,Zhang H.TCP-friendly CMT-based Multimedia Distribution over Multi-homed Wireless Networks[A]//Proceedings of IEEE Wireless Communications & Networking Conference[C].USA:Press of WCNC,2014:3028-3033.

王永建（1981—），男，硕士，高级工程师，主要研究方向为信息安全与多媒体技术、大数据等；

刘永涛（1981—），男，本科，高级工程师，主要研究方向为数据通信、计算机应用；

梁伟河（1980—），男，专科，助理工程师，主要研究方向为计算机应用；

张 鑫（1984—），男，本科，助理工程师，主要研究方向为多媒体技术；

赵志明（1988—），男，本科，助理工程师，主要研究方向为数据通信、计算机应用。

Design of Multimedia Client Security Access based on SIP

WANG Yong-jian, LIU Yong-tao, LIANG Wei-he, ZHANG Xin, ZHAO Zhi-ming
(China International Telecommunication Construction Group Design Institute Co. Ltd, Beijing 100079, China)

Video surveillance system is the key to construction of safe city, and client the source of security event. In order to improve the security of video surveillance client, a client security access scheme based on SIP is designed. First of all, the principle of SIP protocol is analyzed, and the whole structure of multimedia system designed, and the function of each main component defined. Then, the standards and requirements of security access are analyzed, the implementation process and requirements designed from the aspects of login/cancellation, thus to achieve the property list of equipment and the living condition of client. The design idea, in the paper, is applied to the police network of the Ministry of Public Security, and fairly good effect is achieved. And this is of certain

ignificance for the security access design of multimedia client.

Web; SIP(session initiation protocol); access gateway; redirection

TP393

A

1002-0802(2016)-07-0923-06

10.3969/j.issn.1002-0802.2016.07.024

2016-03-22;

2016-06-22 Received date:2016-03-22;Revised date:2016-06-22