首頁>>>技術>>>VoIP

VoIP安全迫在眉睫

2005/12/23

  VoIP在安全方面的隱患,增加了網絡風險,但同時,VoIP自身的特殊性,也可能為其提供防御之道。

  VoIP,特別是企業(yè)級VoIP應當在安全方面引起人們的注意,還是有關它的威脅基本上屬于一些別有用心的夸大其詞?這就要看你是在跟誰說話了。

  伯頓集團的高級分析師Irwin Lazar說:“企業(yè)VoIP安全方面的隱患被人為夸大了,人們把過多注意力放在了擔心遭到攻擊上,而不是放在實際有可能發(fā)生的問題上!

  思科公司的安全IP通信營銷經理Roger Farnsworth也認為:“VoIP系統(tǒng)至少能夠做到和傳統(tǒng)的語音系統(tǒng)一樣安全,而未來的IP技術和語音應用會使它們變得更安全。”

  但Mark Collier并不完全認同,作為面向傳統(tǒng)電話系統(tǒng)和VoIP的語音管理和安全平臺廠商SecureLogix公司的CEO,他表示:“由于IP是VoIP的基礎,期望VoIP比電子郵件、Web或者DNS更安全的想法是根本不現實的!彼J為,非常不可靠的IP機制決定了在其上的任何一種業(yè)務和應用都有可能被輕易地攻擊,而電子郵件、Web、DNS等應用已經證實了這一點,匆忙地從服務可靠的傳統(tǒng)企業(yè)電話轉移到與電子郵件一樣不安全的平臺,屬于不明智之舉,現在最大的吸引力不過是VoIP能夠更多地節(jié)約成本,而如果說安全上有所保障,他認為是不可取的。

僅僅是另一種應用

  其實,企業(yè)VoIP實質上只是IP網絡上的另一種應用,和電子郵件、Web瀏覽類似,如今典型的企業(yè)IP電話系統(tǒng)其基本要素包括:(1)呼叫控制服務器,它通常運行在Linux、Windows或者VxWorks等操作系統(tǒng)上;(2)VoIP客戶機,或電話機或軟電話;(3)VoIP網關,它位于網絡邊緣,負責在VoIP和公共交換電話網(PSTN)之間進行轉換。

  這些產品都使用標準的協(xié)議,通常是國際電信聯盟(ITU)的H.323系列協(xié)議,或者因特網工程任務組(IETF)的會話初始化協(xié)議(SIP),主要用在服務器與客戶機上。而媒體網關控制協(xié)議(MGCP)或Megaco/H.248協(xié)議則用于網關上,絕大部分企業(yè)VoIP系統(tǒng)共享數據網絡,依賴和其他應用相同的路由器和交換機進行語音包傳輸,在理想情況下,還能與其他數據應用(包括消息傳送)配合工作。

  所以,VoIP系統(tǒng)和其他數據應用一樣也容易遭到攻擊,至少從理論上講是這樣。面臨的一系列潛在威脅包括:拒絕服務攻擊、病毒、蠕蟲、特洛伊木馬、數據包嗅探、垃圾郵件和網絡釣魚,還會遭到垃圾郵件的侵擾(例如帶寬被占用時,VoIP的效果將大打折扣,甚至出現連接中斷現象),而且網絡釣魚也容易得逞,只要假冒撥號人的身份信息,就可以偽裝成某家合法機構的代表撥打VoIP電話。

  但是VoIP也有其便利之處。BorderWare科技公司的技術副總裁Andrew Graydon說:“如果我想打100個電話,就得撥100次電話或者使用自動撥號器。但有了IP連接,我可以把一個WAV文件上傳到巴哈馬群島的一臺計算機上,按一下鍵,馬上就能發(fā)給2000名員工。” 而且,廠商和分析人士強調說,由于IP PBX運行在不同的操作系統(tǒng)(通常經過精簡和加固)上,并結合使用不斷發(fā)展的標準和更多的專有協(xié)議,譬如思科的Skinny呼叫控制協(xié)議,從而使VoIP應用比通常的數據應用更難成為攻擊目標。

  還有可能面臨的威脅是中間人攻擊(黑客偽裝成SIP代理,然后記錄所有呼叫活動)以及信任關系利用,例如闖入與VoIP服務器有著信任關系的數據服務器,從而獲得對VoIP服務器的訪問;還有話費欺詐,主要的做法是通過闖入語音網關,花別人的錢盜打國際長途電話;再有就是竊聽,如果用戶可以訪問網絡,并且擁有兩種隨手可得的免費工具TCPdump和呼叫偷聽器(VOMIT),就能重新組裝基于IP的語音會話,把它轉換成標準的WAV語音文件。

  此外,VoIP系統(tǒng)常常依賴易受攻擊的應用來正常運行。Collier說:“微軟SQL Server遭到了SQL Slammer的攻擊,但因為思科的Call Manager電話服務器依賴SQL Server,因此它同樣有可能遭受來自SQL Slammer的破壞。”

時延問題

  與其他應用相比,VoIP也面臨自己的獨特挑戰(zhàn)。據Gartner公司負責聯邦業(yè)務分析的主管David Fraley聲稱,為了達到和PSTN相媲美的語音質量,單向流量的時延不得超過150毫秒,否則用戶體驗將非常糟糕!罢Z音編碼可能占用長達30毫秒的時間,而橫跨相當遠的距離在公共IP網絡上傳送的語音呼叫可能占用長達100毫秒、甚至125毫秒的時間!倍@還沒有算上防火墻、加密和入侵防御等安全措施所帶來的時延。

  大多數主流防火墻并沒有把VoIP考慮在內,也沒有顧及SIP和H.323的一些特殊情況。譬如說,SIP至少使用三個端口號,其中只有一個是靜態(tài)的;H.323使用端口7和端口11就屬于靜態(tài)端口,從防火墻內外開始建立會議時,SIP和H.323都使用TCP和用戶數據報協(xié)議(UDP)。這就意味著你必須在標準防火墻上打開大量端口,而這從面臨的威脅角度來看是相當令人頭疼的,除了包頭里面的IP地址外,SIP和H.323還嵌入了IP地址,所以入站呼叫在防火墻和路由器的傳統(tǒng)NAT設置上可能會遇到問題。

  運營商和一些大型企業(yè)可以選用價格稍微昂貴的設備,例如會話邊界控制器(SBC)等,來處理NAT和開放端口問題。CheckPoint、Juniper和WatchGuard等各大防火墻和入侵防護系統(tǒng)廠商出品的較新型防火墻產品也開始具有較強的VoIP功能,采用NAT穿透技術,就能根據對VoIP會話進行嚴格監(jiān)控,動態(tài)地打開及關閉端口,甚至實現某些服務質量(QoS)特性,不過這往往意味著需要不斷地升級軟硬件(即追加投資),所以購買之前應當慎重考慮。

尋找解決之道

  鑒于所有這些潛在的威脅和安全漏洞,VoIP用戶會不會很快發(fā)現自己面臨服務中斷和竊聽的困擾?到目前為止,還沒有出現針對企業(yè)VoIP系統(tǒng)的破壞性極大的大規(guī)模攻擊,但并不意味著這種安全感狀況會一直延續(xù),分析人士給出了幾個令人信服的理由。

  首先,大多數較新的企業(yè)VoIP解決方案是封閉系統(tǒng),語音數據包只是在普通局域網上傳送,而大部分外部流量通過網關在PSTN上傳送。Gartner的Fraley說:“如果你只在局域網上傳送VoIP流量,就比較容易獲得PSTN音質并確保安全!鞭k公室間的流量通常在受保護的辦公室到辦公室的連接上進行傳送,因此在很多情況下,保護內部VoIP意味著對呼叫服務器、交換機和網關的安全進行加固,并且使用合適類型的防火墻和入侵防護系統(tǒng)對它們進行保護。

  廠商還建議把局域網上的語音流量與數據流量進行隔離,保護語音流量遠離惡意軟件、竊聽和拒絕服務攻擊。如果為語音構建獨立的基礎設施,VoIP節(jié)省成本的好處就蕩然無存。不過,你所用交換機具有的802.1q特性提供了很多同樣種類的保護,可以把語音和數據放在不同的虛擬局域網(VLAN)上;而且利用具有語音識別功能的防火墻以及/或者入侵防護系統(tǒng),保護語音VLAN與數據VLAN之間的交匯點,譬如消息傳送服務器。實際上,Cisco提供采用其最新版本的Call Manager的內置入侵防護系統(tǒng)。

  Farnsworth說:“合理使用VLAN還可以防止偶然的VoIP嗅探行為!彼终f,現在比較容易針對語音應用采取恰當的安全措施。

  VoIP廠商和安全專家說,最好避免使用軟電話(即運行在PC上的電話軟件),而改用IP電話機,因為軟電話幾乎不可能隔離語音和數據。把IP電話機的IP地址綁定到其媒體訪問控制(MAC)地址不失為有助于挫敗IP地址欺詐的一個好辦法。有幾種解決方案使用數字證書用于設備和服務器驗證,你還可以要求提供口令或者個人身份識別號才能使用IP電話。對語音-信令數據及VoIP管理交互信息進行加密非常重要;在高度安全的環(huán)境下,甚至有必要對語音流進行加密。

未來挑戰(zhàn)

  這些觀點在今天很具有針對性,也容易實施,但將來呢?隨著各種網絡工具的不斷出現,偵聽工具及黑客關注范圍的不斷擴展,情形又會如何?Graydon說:“最根本的是,企業(yè)希望利用VoIP節(jié)省國際長途電話費!边@意味著,用VoIP干線取代ISDN的基群速率接口(PRI)和PSTN干線,以便把呼叫轉發(fā)至離國際電話目的地比較近的那個網關,成為最終的目標所在。

  Graydon說:“一旦企業(yè)向因特網敞開VoIP,就可能會給自己的網絡帶來可能重大的安全漏洞!睂嶋H上,封閉型企業(yè)VoIP系統(tǒng)的日子已經過去了。Graydon還指出,電信公司正在把內部基礎設施由銅線上的PSTN改為光纖上的IP,以減少自身的費用,并逐漸使用與其他提供商之間的基于IP的對等連接。他說:“重大的IP融合現象正在這方面悄然出現!盋ollier同意這番觀點,他說:“一旦MCI(美國電信運營商,編者注)的VoIP網絡有1000個客戶在使用,要控制安全威脅將變得異常困難。”

  懷疑人士指出,避免使用軟電話、把語音與數據完全隔離是不現實的。Collier說:“語音與數據的互相聯系正是所有那些新穎的融合應用不斷發(fā)展的方向!盝eff Rothel是利用BorderWare公司的VoIP安全解決方案來提供企業(yè)VoIP服務的CentricVoice公司的CEO,他贊同這種說法:“我們計劃繼續(xù)推出把語音直接集成到企業(yè)數據應用的軟件層當中的眾多服務!笔聦嵣希琑othel及其他人看到了這股潮流,企業(yè)從大大小小的許多提供商購買一系列語音服務和應用,它們統(tǒng)一使用IP和SIP標準。

  Rothel聲稱,傳統(tǒng)的語音提供商不是特別了解潛在的VoIP威脅!捌渲杏性S多提供商根本不懂數據領域。它們從未遇到過導致PSTN交換機癱瘓的病毒!

  還有一些顛覆性的應用,譬如來自Skype及其他提供商的對等語音應用!叭缃癯霈F了一大批并不符合標準的企業(yè)VoIP環(huán)境的VoIP應用,它們可能會滲透到企業(yè)當中!盌avid Endler說。此人是入侵防護系統(tǒng)提供商TippingPoint(現隸屬3Com公司)的安全研究主管兼VoIP 安全聯盟主席。VoIP 安全聯盟是由旨在促進安全研究的多家VoIP和安全廠商組成的組織。

  懷疑人士還指出,VoIP廠商建議的許多安全措施不是特別實用,也沒有得到廣泛應用。SecureLogix的Collier說:“當然你可以實施語音與信令加密以及強驗證等機制,但它們配置起來是件頭痛的事!盜T安全提供商Sentegrity公司的CTO Brian Ham說,當前的密鑰交換標準如Diffie-Hellman密鑰協(xié)商協(xié)議擴展性不夠好,無法應用于廣泛實施VoIP驗證和加密機制:“如果你看一下論壇、公布板和行業(yè)領導者,就會發(fā)現大家都在問:‘我們如何才能進行合理的密鑰交換?’”Sentegrity提供自己的輕便型密鑰交換解決方案。

面臨攻勢

  IP電話系統(tǒng)一直沒有遭到大規(guī)模的攻擊并不意味著這類攻擊不會發(fā)生。BorderWare透露,呼叫中心和金融機構早已遭到了攻擊,不過該公司官員不愿透露這些機構的名字。

  Collier說:“除非某項技術得到廣泛部署、自動發(fā)動攻擊的工具出現在大眾面前,否則你通常不會看到大規(guī)模的威脅。”Endler也認為:“隨著應用得到更廣泛的部署,它們會成為更有吸引力的攻擊對象! BorderWare、SecureLogix甚至TippingPoint等VoIP安全廠商已經開始提供專門的VoIP防火墻和入侵防護系統(tǒng),旨在防范可能會在將來影響VoIP的應用層漏洞。

  最終,VoIP可能會開始遭到困擾電子郵件、即時消息及其他PC通信方式的同樣類型的入侵。好消息是,VoIP和安全廠商已開始及早處理這些問題。Kuhn說:“毫無疑問,VoIP安全選項功能很快變得越來越好。”他又說,語音應用和數據應用相融合的好處如此之大,安全問題不可能阻礙用戶部署它們。

  Sentegrity的CEO James Largotta也認為:“VoIP的想法太棒了。一旦部分缺陷得到了解決,它差不多會大獲成功!

計算機世界網(www.ccw.com.cn)


相關鏈接:
Skype已經企業(yè)-ready 2005-12-22
構建新一代運營商級VoIP業(yè)務網的探索與實踐 2005-12-21
朱泉峰 王臻:VoIP欲草寇稱王 2005-12-20
網絡電話期待臨界突破 封殺不是最終辦法 2005-12-19
電信運營商處置Skype 封殺之外需要大智慧 2005-12-14

相關頻道:           文摘   技術_voip_文摘