前言：VoIP 安全已成 CIO 決策關鍵門檻

VoIP 技術成熟應用範圍擴大，但安全問題成為企業部署首要考量。調查顯示：亞太區服務商 VoIP 安全投入嚴重落後歐美 (2005 年 3300 萬 vs 8360 萬美元；2008 年預估 1.7 億 vs 3.7 億美元)，凸顯區域安全意識鴻溝。VoIPSA (VoIP Security Alliance) 成立旨在推動威脅分類、安全需求定義、最佳實踐與工具開發。

一、寬帶電話技術特點與安全威脅基礎

• 基於寬帶接入 (Cable Modem、DSL、光纖)，速率 >1Mbps、固定 IP、永久在線。
• 永久在線 + 固定 IP = 攻擊者充足時間與固定目標。
• 智能終端 (PC/IP Phone) 功能豐富，一旦被控可作為跳板攻擊他站。
• VoIP 需求比 Web/Email 更複雜：更多連線、串流媒體動態連線、即時性要求高 (延遲、抖動敏感)。

二、VoIP 獨有安全威脅模型

三、寬帶網路層面防護 (基礎設施安全)

1. 防火牆：網段邊界執行存取控制策略 (軟/硬體均可)。
2. 入侵偵測/防護 (IDS/IPS)：多點部署監控流量異常，事前阻斷。
3. 反病毒/反惡意碼：網元設備與終端雙層部署。
4. 加密傳輸：敏感通訊內容端到端加密 (SRTP、TLS/SIPS)。
5. Modem 安全：保護配置/驗證資訊；Cable Modem 需符合 DOCSIS 安全標準。
6. 內容檢查：瀏覽器/郵件客戶端禁用 Java/JS/ActiveX 等高風險互動技術。
7. 作業系統強化：修補、最小化服務、權限最小化。

IP 網路安全為全層次綜合體系，單點漏洞將延伸至全網，並將原有數據網風險擴展至語音系統 (雙系統同時癱瘓風險)。

四、VoIP 業務層面防護 (業務邏輯安全)

1. 保障頻寬資源：QoS 機制優先保障語音流量，防止擁塞導致品質下降或被 DoS 放大。
2. 降低安全關聯 (SA)/金鑰交換/加密延遲：選擇高效加密演算法 (AES-GCM)、硬體加速、預共享金鑰模式，平衡安全與即時性。
3. 合理選擇 VPN 模式：加密 VPN (安全但增延遲) vs 非加密 VPN (低延遲但風險高) → 業務分級部署。
4. 多 VPN 隧道模式：語音流量走加密隧道，管理/訊號流量分離。
5. NAT 與呼叫控制優化：減少位址轉換與訊號處理延遲，維持 MOS 分值。
6. 強化認證與平台安全：
   • 雙因子認證 (Token/憑證/生物特徵)、PKI 體系。
   • SIP/H.323 內建安全機制 (摘要認證、TLS 傳輸) 全面啟用。
   • 呼叫處理伺服器 OS 強化：移除非必要服務、安裝安全補丁、關閉非必要埠口。

五、結論與策略建議

• 技術面：分層防護 (認證、加密、防火牆、IDS/IPS、QoS)、降低暴露面 (關閉非必要埠口/服務)、訊號竄改以狀態機判決、推動端到端加密 (SRTP/ZRTP)。
• 政策面：ITU 等國際組織推動全球一致管制，但跨國界執行困難，應優先投資技術防護成效，輔以合規框架。
• VoIP 安全非選擇題，而是業務持續性的生存題。企業應納入整體資安治理框架，持續投入、定期演練、威脅情報導向防禦。