淺析 IP 網絡的話音傳輸 VoIP 安全技術

基於IP網絡的話音傳輸(VoIP)技術目前已經發展成為一種專門的話音通信技術，其應用范圍越來越廣。但是研究發現，除服務質量等問題外，安全問題是企業首席技術官(CIO)們在做VoIP決策時重點考慮的內容。在現實中，許多客戶表示，安全狀況不能達到企業的應用標准是他們暫時不想部署 VoIP的原因。目前，VoIP面臨的安全議題主要有4個:拒絕服務(DoS)攻擊、非法接入、話費詐欺或竊聽等威脅。

　　市場研究機構的調查結果顯示，亞太區服務供應商在VoIP安全性方面的支出遠遠落後於美國和歐洲。預計2005年亞太區服務供應商在VoIP安全性方面的支出還不到3300萬美元，而亞太區以外的所有地區則將支出8360萬美元，並且這一差距還將進一步加大，預計2008年亞太區在這方面的支出大約為1.7億美元，而亞太以外其它地區的總支出將超過3.7億美元。這種差距顯示了當前亞太區在VoIP安全方面意識的欠缺。

　　VoIP安全聯盟(VoIPSA)是一個旨在提高公眾對網絡電話安全性和保密性意識的開放性組織，旨在發現、理解並避免與網絡電話安全性相關的風險，專注於VoIP安全性的研究和教育。其成員來源非常廣泛，包括廠商、業務提供商、研究人員和顧問人員。其主要活動方式是討論列表、白皮書、支持 VoIP安全性研究項目，以及開發供公眾使用的工具和方法，為VoIP提供更全面的安全理念、安全產品、解決方案以及管理標准等。2005年2月，提出的兩個最初目標是制定威脅分類(threat taxonomy)和定義安全需求。近期，正致力於起草VoIP網絡需要的安全措施以及威脅模式的相關文件。

　　寬帶電話的技術特點和面臨的安全威脅

　　寬帶電話是依據寬帶接入實現的，是目前VoIP的主要商用形式，其安全是以寬帶接入安全為基礎的。寬帶電話隨著寬帶接入的普及而流行。寬帶接入作為逐步成為主流的互聯網接入方式，通過不同的頻道，在一根同軸電纜或光纖上承載多個獨立的信道，有利用電纜調制解調器(cable modem)、數字用戶線(DSL)或光纖等接入方式，其速率一般都超過1 Mbit/s，具有連接地址固定、傳輸速率高等特點。

　　由於寬帶服務一般以包月方式提供，用戶PC等智能終端采用永久連接網絡的方式，這意味著永遠在線，也就存在隨時可能受到入侵和攻擊的威脅。寬帶連接，一方面在時間上給黑客提供了嘗試攻擊的機會;另一方面，永久連接經常使用固定IP地址，目標固定，增加了攻擊成功的幾率。而由於終端功能的智能性、信息內容的豐富性，一旦黑客控制了系統，他們不僅可以盜走敏感信息、破壞文件，甚至利用它作為對其它站點發動攻擊的跳板，進行網絡攻擊。網絡安全直接影響到寬帶電話的安全。　　信息技術的發展和進步超過了實際的安全需求，寬帶電話尤其如此。目前，還沒有出現專門針對主流或商用VoIP的攻擊威脅，但威脅的出現只是時間問題。盡管VoIP威脅並不比其它Web應用面臨的嚴峻，但是要保證安全則更加嚴峻，這是由VoIP的特點決定的。例如VoIP一般需要比Web浏覽和E-mail更多的連接，流媒體連接是動態的，因此安全需求更加復雜。

　　寬帶網絡受到病毒、垃圾郵件、拒絕服務攻擊等威脅，而VoIP還面臨與其他Internet應用不同的安全和隱私問題，如呼叫跟蹤，呼叫劫持，以及偷聽等最危險的威脅。這兩方面的攻擊威脅都給寬帶電話的安全帶來風險。

　　概括而言，寬帶電話受到攻擊的目標可能是電話呼叫各方之間交換的信息內容，呼叫者和被叫者的身份，IP 電話功能實體，IP電話網元，以及服務器、主機等。

　　寬帶電話的安全脆弱性分析

　　1.IP分組網本身的脆弱性

　　IP分組通信網作為開放的網絡，本身固有數據網的安全脆弱性，這包括:

　　·嗅探數據包的話音監聽;

　　·網絡身份欺騙、以免費使用服務;

　　·數據包操縱終止業務;

　　·用戶帳號和設備欺騙，這與接入網絡的數據庫和IP地址有關;

　　·破壞網絡的完整性，修改數據庫或復制設備，使話音網絡擁堵或被控制;

　　·其它安全威脅，包括終端用戶隱私權的洩漏等;新的安全挑戰包括截取、修改呼叫控制(如SIP)數據包，乃至改變數據包的目的地址和呼叫連接等。

　　IP分組網絡的性能無法達到電路交換網的水平，其網絡安全脆弱性加大了寬帶電話的安全風險。因為從風險管理的角度看，如果運營VoIP業務的數據網絡遭受災難，公司將面臨同時丟失話音和數據通信的風險，原來單獨數據網業務的安全威脅被延伸到兩個系統。

　　2.VoIP受到的安全攻擊

　　VoIP環境中特別需要注意的安全攻擊威脅包括:

　　·拒絕服務(DoS) 攻擊:如IP電話、VoIP網關(SIP代理) 等端點，可能受到SYN 或ICMP數據包的攻擊，以致通信中斷，無法正常提供寬帶電話服務。

　　·呼叫截取:話音或實時傳輸協議(RTP) 數據包受到非授權的跟蹤。

　　·信令協議篡改: 與呼叫截取一樣，惡意用戶可以監控和篡改建立呼叫後傳輸的數據包，修改數據流中的域，使VoIP呼叫不使用VoIP話機，或者它們可以進行費率更高的呼叫(如國際電話)，使IP-PBX認為呼叫來自另一個用戶。

　　·狀態竊取:假冒合法用戶收發數據。

　　·資費欺騙: 惡意用戶或入侵者撥打欺騙性電話。

　　·呼叫處理操作系統: 許多IP-PBX系統的呼叫處理軟件都是基於操作系統或操作系統組件，它們可能是不安全的。例如，使用Microsoft IIS做為IP-PBX的Web配置工具就會在VoIP環境引入顯著的安全脆弱性。

　　實現寬帶電話服務的安全

　　由於寬帶電話受到IP網絡和VoIP安全兩方面的攻擊威脅，所以寬帶電話的安全應該從保障IP網絡安全和VoIP安全兩方面進行防范。

　　1.保障IP分組網的安全

　　IP網絡是實現寬帶電話的基礎，要保障寬帶電話的安全，首先應該保障寬帶網絡的安全。這方面的防護措施主要包括以下內容:

　　·防火牆:防火牆在兩個網絡之間執行訪問控制策略，可以是軟件或硬件設備。

　　·入侵檢測和防護:在網絡中不同端點安裝和實施，以監測系統、網絡運行狀況和流量，在故障出現之前盡快采取防護和補救措施，將損失降至最低。

　　·反病毒軟件:可以在網元設備和終端上分別安裝和實施。

　　·加密:對於內容敏感的通信，進行加密。

　　·調制解調器安全:調制解調器會存儲配置和驗證信息，要保護這些信息;對於電纜調制解調器連接，要確定服務供應商將網絡和設備采用了基於線纜數據傳輸服務接口標准(DOCSIS)，以提高連接安全性。

　　·內容檢查:Java、JavaScript、ActiveX 等互動技術是寬帶內容站點和E-mail的重要組成部分，同時也是黑客攻擊的潛在媒體，在浏覽器和E-mail中盡量禁止這些功能。

　　·操作系統安全。

　　IP網絡安全是各個網絡層次上安全措施和內容的綜合，一旦一個端點出現漏洞，就會延續到整個IP網絡，因此綜合、全面實施各種安全措施至關重要。

　　2.保障寬帶電話安全

　　在技術上，寬帶電話作為話音技術的一種實現方式，必須保障安全和隱私，因為使用IP技術，並不意味著它只能或可以是不安全的。新服務的實現，不應該以降低服務質量和安全為代價。寬帶電話的安全應該解決以下幾方面的技術問題:

　　·保證帶寬等網絡資源，帶寬是實現較高質量寬帶電話的基礎和優勢所在。

　　· 減少因安全關聯(SA)/密鑰交換、加密操作引起的延遲，減少對話音質量的影響。

　　·合理選擇VPN和加密，平衡安全性和質量。

　　·選擇合適的多VPN隧道模式，如加密的VPN模式和沒有加密的VPN模式。

　　·網絡地址翻譯和呼叫控制，減少操作時間給話音質量帶來的影響。

　　·其它安全措施:包括采用強認證方式，如二元認證，公共密鑰基礎設施(PKI)、SIP和H.323協議中也嵌套了安全功能，包括地址認證; 保證呼叫處理軟件運行平台的安全，如Microsoft或Linux操作系統，應該確保操作系統沒有運行任何非必需軟件的重要性，，並且已安裝必要的安全補丁，服務器、路由器的各個端口，除非必要，一般不要打開。

　　結論

　　在IP網絡上實施寬帶電話的安全功能，運營商需要在不同的網絡層次實施各種安全措施，如認證、加密、防火牆等。消除所有的安全威脅是不可能的，但可以采取幾個簡潔步驟，如:盡量降低網絡暴露，以減少拒絕服務(DoS)攻擊;對於信令協議篡改，可基於執行狀態進行判決;加密VoIP流量可以防止 VoIP呼叫受到監聽，未來VoIP可以實現端到端的加密。

　　此外，實現寬帶電話安全，不僅可以從技術方面采取措施，也可以依靠管制政策來獲得幫助。但是，由於IP網絡跨越國界，很難在全球范圍內實現一致的管制，就易實現程度和可行性而言，應該致力於提高技術方面的安全性，而不是游說外部管制部門。但是，因為安全問題的重要性，ITU已經在考慮有關的IP 電話安全問題，這方面舉措也值得關注和研究。