安全意識+專門技術(shù)=安全的VoIP網(wǎng)絡(luò)
2009/03/03
通過網(wǎng)絡(luò)語音電話(VoIP)與朋友或同事進(jìn)行交流是一件比較威脅的事情，近日英國安全專家Peter Cox討論了他的“概念證實(shí)”(proof-of-concept)型VoIP黑客工具。
Peter Cox是一個從事VoIP技術(shù)研究的安全專家，他表示，基于網(wǎng)絡(luò)的VoIP電話極不安全,很輕易給黑客造成可乘之機(jī)。為了證實(shí)他這個觀點(diǎn)，他還公開了其可以竊聽VoIP網(wǎng)絡(luò)電話的“概念證實(shí)”(proof-of-concept)型軟件——SIPtap。
通過SIPtap軟件可以竊聽周圍數(shù)個VoIP語音通信，并可以生成后綴為“.wav”的文件供黑客隨后在互聯(lián)網(wǎng)上傳播使用。該軟件利用一個安裝在公司網(wǎng)絡(luò)上的特洛伊木馬軟件,成功對你的VoIP網(wǎng)絡(luò)進(jìn)行監(jiān)聽。Peter
Cox稱，黑客的這一行為可以達(dá)到互聯(lián)網(wǎng)運(yùn)營商(ISP)監(jiān)聽級別。
Peter Cox還稱,他是在和“加密大師”Phil Zimmermann聊天后產(chǎn)生編寫這一程序想法的.此前,Zimmermann曾發(fā)布了一個名為“Zfone”、旨在阻止竊聽VoIP通信的加密軟件原型產(chǎn)品.
Peter Cox的觀點(diǎn)引起了很大的爭論，批評者主要分為三種觀點(diǎn)：第一種認(rèn)為VoIP的被竊聽安全威脅只有在用戶關(guān)閉了加密和其他安全控制的情況下才可能發(fā)生;第二種觀點(diǎn)是VoIP的安全問題已經(jīng)被人們所十分熟悉;第三種是加強(qiáng)VoIP網(wǎng)絡(luò)安全和加強(qiáng)其他基于網(wǎng)絡(luò)的應(yīng)用程序沒有什么區(qū)別。其中一個人在評論中表示：
“如果你的網(wǎng)絡(luò)和IT環(huán)境是安全的話，許多VoIP安全預(yù)防措施已經(jīng)落實(shí)到位�！�
另一方面，Peter Cox的觀點(diǎn)同樣也贏得了很多支持，許多人感謝他讓人們重新審視VoIP的潛在安全威脅。
那么到底真實(shí)的情況如何呢?Peter Cox只是嘩眾取寵?還是VoIP協(xié)議本身確實(shí)存在值得引起人們注意的特有的安全威脅和風(fēng)險?為了回答這些問題，有必要在VoIP和其他網(wǎng)絡(luò)應(yīng)用軟件之間的進(jìn)行一些對比。
普通網(wǎng)絡(luò)威脅之外，VoIP還有新問題
從VoIP的名字就可以看出它運(yùn)行在一個IP網(wǎng)絡(luò)上。這意味著，它和諸如Web和電子郵件等其他網(wǎng)絡(luò)應(yīng)用一樣，存在著共同的安全威脅和漏洞。這些安全威脅和安全缺陷包括所有IP網(wǎng)絡(luò)等級的威脅，它們是一個網(wǎng)絡(luò)管理員和電子郵件管理員每天都要應(yīng)對的安全考驗(yàn)，它們需要標(biāo)準(zhǔn)的網(wǎng)絡(luò)安全技術(shù)和良好的網(wǎng)絡(luò)設(shè)計來進(jìn)行解決。
除了這些網(wǎng)絡(luò)級別的威脅外，VoIP應(yīng)用軟件還面臨著一系列本身所使用協(xié)議和應(yīng)用軟件所特有的安全威脅，以及與VoIP內(nèi)容相關(guān)的特有安全威脅。
VoIP協(xié)議、應(yīng)用所特有的安全威脅源自VoIP應(yīng)用軟件廠商對協(xié)議和服務(wù)的設(shè)計和實(shí)現(xiàn)。VoIP協(xié)議非常復(fù)雜，一方面是因?yàn)閂oIP旨在通過一個IP網(wǎng)絡(luò)實(shí)現(xiàn)實(shí)時的通信服務(wù)，一方面是因?yàn)閂oIP協(xié)議還不得不提供一個對標(biāo)準(zhǔn)網(wǎng)絡(luò)電話系統(tǒng)的接口，同時要滿足某些我們?nèi)粘Ｉ钪械墓潭ê鸵苿与娫挿⻊?wù)體驗(yàn)的功能和工具。
另外，所有VoIP應(yīng)用軟件還提供眾多豐富的非語言服務(wù)，諸如視頻會議、即時消息等。協(xié)議和應(yīng)用軟件安全威脅包含廣泛的flooding攻擊和通話中斷威脅。包含呼叫終止攻擊的中斷威脅是，一個惡意攻擊者可以簡單的切斷一個通話，也可以進(jìn)行劫持攻擊，攻擊者可以對通話進(jìn)行控制。這些VoIP特有的安全威脅中的許多在任何其他網(wǎng)絡(luò)應(yīng)用軟件中并無類似情況。
內(nèi)容相關(guān)的安全威脅會影響一個VoIP通話的“內(nèi)容”，其既會影響個人對個人的通話，也會影響語音會議通話或視頻通話。這一類威脅包含簡單的未經(jīng)授權(quán)的通話監(jiān)視或竊聽，正如Peter
Cox所展示工具實(shí)現(xiàn)的功能一樣;還有劫持或注入威脅，攻擊者可以接管一個通話或插入一個語音或視頻流來削弱或替換原先的會話。
盡管VoIP內(nèi)容相關(guān)的安全威脅在電子郵件和網(wǎng)頁中也有類似案例發(fā)生，例如垃圾郵件和有惡意的網(wǎng)頁內(nèi)容，但是VoIP劫持或注入后面所使用的技術(shù)明顯與垃圾郵件或惡意網(wǎng)頁內(nèi)容后面的技術(shù)有很大不同。
VoIP內(nèi)容、協(xié)議和應(yīng)用方面的安全威脅是真實(shí)存在的，已經(jīng)被事實(shí)所證明。呼叫竊聽從Peter Cox的工具演示中已經(jīng)得到證明，其他已經(jīng)證明的安全威脅包括大量的flooding攻擊、呼叫中斷攻擊、呼叫劫持攻擊和拒絕服務(wù)攻擊等，都已經(jīng)在VoIP中發(fā)生。這些都是已經(jīng)被發(fā)現(xiàn)和證明了的已知安全威脅。
安全意識+專門技術(shù)=安全VoIP網(wǎng)絡(luò)
針對所有這些已知的VoIP安全威脅進(jìn)行安全防護(hù)是完全有可能的。采用標(biāo)準(zhǔn)的安全技術(shù)和安全實(shí)踐措施是非常必要的一步，諸如使用防火墻和實(shí)施良好的設(shè)計和運(yùn)行策略，其中一個辦法是通過虛擬局域網(wǎng)(VLAN)技術(shù)來將數(shù)據(jù)和語言業(yè)務(wù)分開，讓語音和數(shù)據(jù)在不同的虛擬局域網(wǎng)上傳輸;將VoIP統(tǒng)一到同一個VLAN中，在同一VLAN中傳輸?shù)臄?shù)據(jù)對服務(wù)質(zhì)量(QoS)要求相同，可以簡化服務(wù)質(zhì)量(QoS)設(shè)置。QoS設(shè)置簡化后，用戶只需為VoIP虛擬局域網(wǎng)賦予優(yōu)先級即可。
這種方法帶來直接的好處是，兩者分開還可以將語音網(wǎng)絡(luò)從數(shù)據(jù)VLAN中隱藏起來，可以有效地解決數(shù)據(jù)欺騙、DoS攻擊等，因此沒有了可能會發(fā)起攻擊的計算機(jī)，你的VoIP網(wǎng)絡(luò)就會安全很多。
但是，使用標(biāo)準(zhǔn)安全技術(shù)不是保證VoIP安全的全部答案。標(biāo)準(zhǔn)安全技術(shù)只能解決標(biāo)準(zhǔn)威脅，我們還需要采取針對性的措施來完全解決許多VoIP特有的安全威脅。就像人們在保護(hù)電子郵件和Web應(yīng)用的時候可以采用諸如垃圾郵件過濾器、Web內(nèi)容控制和訪問策略系統(tǒng)等特殊手段一樣。而VoIP的復(fù)雜性顯然要比電子郵件和網(wǎng)頁更加復(fù)雜的多。
和需要采取專門的安全技術(shù)來保護(hù)VoIP網(wǎng)絡(luò)一樣，也同樣需要采用專門的測試和分析技術(shù)來識別VoIP網(wǎng)絡(luò)的特有安全威脅。標(biāo)準(zhǔn)的入侵和測試工具或許能夠很好的發(fā)現(xiàn)網(wǎng)絡(luò)級別的安全漏洞，但是在探測VoIP應(yīng)用軟件、協(xié)議和內(nèi)容威脅方面還顯得能力不足。
現(xiàn)在已經(jīng)有專門保護(hù)VoIP網(wǎng)絡(luò)的專用防火墻，它能識別和分析VoIP協(xié)議，而且能對VoIP的數(shù)據(jù)包進(jìn)行深度檢查，并能分析VoIP的有效載荷以便發(fā)現(xiàn)任何與攻擊有關(guān)的蛛絲馬跡。
另外，如果你的VoIP部署使用了SIP協(xié)議(Session Initiation Protocol)，那么防火墻就應(yīng)當(dāng)能執(zhí)行下述操作：監(jiān)控進(jìn)出的SIP信息，以便發(fā)現(xiàn)應(yīng)用程序?qū)哟紊系墓?支持TLS(傳輸層安全);執(zhí)行基于SIP的NAT以及介質(zhì)端口管理;檢測非正常的呼叫模式;記錄SIP信息的詳情，特別是未經(jīng)授權(quán)的呼叫。
盡管如此，我認(rèn)為更重要的還是人們對VoIP網(wǎng)絡(luò)安全問題的正確意識，如果不能認(rèn)識到這些安全風(fēng)險的存在和危害，再好的技術(shù)和工具都不會完全解決VoIP網(wǎng)絡(luò)所面臨的安全威脅。
最后再來反駁一下那些認(rèn)為SIPtap只有在加密和其他安全控制措施被關(guān)閉的情況才能進(jìn)行竊聽的看法，據(jù)2007年11月份在北京舉行的SIPit大會數(shù)據(jù)顯示，目前只有25%的被測系統(tǒng)支持SRTP。SRTP是用來加密VoIP通話的公認(rèn)標(biāo)準(zhǔn)，SIPit是一個SIP互聯(lián)互通的測試活動�；蛟S這次大會所公布這個數(shù)字有些小，但是還是可以讓我們清晰的看到，關(guān)閉加密并不是讓VoIP網(wǎng)絡(luò)陷入安全威脅的主要原因，問題在于首先要讓VoIP系統(tǒng)廠商意識到要在它們的產(chǎn)品加入加密功能。
http://safe.zol.com.cn
相關(guān)鏈接: