首頁>>>技術(shù)>>>VoIP

多層防范VoIP“隔墻之耳”

張靜 2008/01/28

　　即使在VoIP技術(shù)廣泛應(yīng)用的今天，VoIP的安全性仍屢遭質(zhì)疑。英國安全專家、防火墻公司Borderware創(chuàng)辦人之一Peter Cox就在近日公開宣稱，基于網(wǎng)絡(luò)的VoIP電話極不安全，容易給黑客造成可乘之機。為了證實這個觀點，他研發(fā)了可以竊聽VoIP網(wǎng)絡(luò)電話的“概念證實”（Proof—of—Concept）型軟件SIPtap。該軟件利用一個安裝在公司網(wǎng)絡(luò)上的特洛伊木馬軟件，成功對VoIP網(wǎng)絡(luò)進(jìn)行監(jiān)聽，并可以生成后綴為“．wav”的文件供黑客隨后在互聯(lián)網(wǎng)上傳播使用。

　　VoIP成為無論專家還是黑客攻擊的靶子并非偶然。作為一種在網(wǎng)絡(luò)上應(yīng)用的IP技術(shù)，與Web和電子郵件等IP應(yīng)用一樣，VoIP技術(shù)存在特有的威脅和風(fēng)險。這些威脅和漏洞包括所有IP網(wǎng)絡(luò)層面的威脅、VoIP協(xié)議和應(yīng)用的威脅以及與內(nèi)容有關(guān)的威脅等。就如同裸露的皮膚最容易受傷，解決辦法就是給你的VoIP多穿幾層鎧甲——采取多層次安全機制，在潛在入侵者的攻擊路線上盡可能多地設(shè)置各種障礙。

　　建立一個安全的VoIP網(wǎng)絡(luò)，首先要將其從數(shù)據(jù)網(wǎng)絡(luò)中獨立出來。要將虛擬局域網(wǎng)（VLAN）上的VoIP話機設(shè)為非路由的地址，然后禁止連接互聯(lián)網(wǎng)的電腦與VoIP之間有任何交流，還要使用存取控制列表（Access Control Lists）來阻止VLAN之間的通訊。

　　而且，需要一個特別設(shè)計的防火墻，能識別和分析VoIP協(xié)議，對VoIP的數(shù)據(jù)包進(jìn)行深度檢查，并能分析VoIP的有效載荷，以便發(fā)現(xiàn)任何與攻擊有關(guān)的行為。

　　還要在幾個層次上設(shè)置障礙，包括保護(hù)好VoIP網(wǎng)關(guān)，鎖閉網(wǎng)絡(luò)物理層，用IPSec加密，用TLS鎖定會話層和用SRTP來對應(yīng)用層的介質(zhì)進(jìn)行加密。

　　網(wǎng)關(guān)是數(shù)據(jù)進(jìn)出VoIP網(wǎng)絡(luò)的關(guān)鍵點，它會同時連接不同的網(wǎng)絡(luò)，如IP網(wǎng)絡(luò)和公共電話交換網(wǎng)（PSTN）。在網(wǎng)關(guān)上使用授權(quán)機制和存取控制，以便控制可通過VoIP系統(tǒng)撥打和接聽的電話，以及設(shè)定可以執(zhí)行管理任務(wù)的不同人員權(quán)限等。

　　對一個語音網(wǎng)絡(luò)而言，限制對介質(zhì)訪問以及對VoIP服務(wù)器和端點訪問非常重要。 要達(dá)到限制對介質(zhì)訪問或?qū)oIP服務(wù)器和端點訪問的目的，首先對所有呼叫服務(wù)器以及與服務(wù)器有關(guān)的接觸進(jìn)行控制；然后限制對終端的接觸，并將線纜埋設(shè)在墻體中的管道里以保證它們自身的安全；最后還要謹(jǐn)慎選擇無線AP的位置，限制無線交流，限制信號強度，使用屏蔽材料將無線信號盡量阻擋在建筑物之內(nèi)。

　　用IPSec加密來保護(hù)網(wǎng)絡(luò)中的VoIP數(shù)據(jù)，能保證即使攻擊者穿越物理層防護(hù)措施截獲了VoIP數(shù)據(jù)包，也無法破譯其中的內(nèi)容。

　　TLS使用的是數(shù)字簽名和公共密鑰加密，這意味著每一個端點都必須有一個可信任的、由權(quán)威CA認(rèn)證的簽名。也可以通過一個內(nèi)部CA（如一臺運行了認(rèn)證服務(wù)的Windows服務(wù)器）來進(jìn)行企業(yè)內(nèi)部的通話，并經(jīng)由一個公共CA來進(jìn)行公司之外的通話。

　　用SRTP來對應(yīng)用層的介質(zhì)進(jìn)行加密，可以提供信息認(rèn)證、機密性、回放保護(hù)等安全機制。

　　VoIP安全保護(hù)偏方

　　無論VoIP網(wǎng)絡(luò)防范多么嚴(yán)密，攻擊不可避免會發(fā)生。因此，有必要通過部署合適的監(jiān)視工具和入侵檢測系統(tǒng)，發(fā)現(xiàn)試圖攻入VoIP網(wǎng)絡(luò)的各種嘗試。通過仔細(xì)觀察這些工具所記錄下來的日志，有助于及時發(fā)現(xiàn)各種數(shù)據(jù)流量的異常狀況，從而發(fā)現(xiàn)是否有人通過暴力破解賬號的方式進(jìn)入網(wǎng)絡(luò)。

　　與此同時，及時維護(hù)操作系統(tǒng)和VoIP應(yīng)用系統(tǒng)的補丁，對于防范來自惡意軟件或病毒的威脅是非常重要的。

　　還有一個點子可能會有幫助，那就是制定一個計劃，把你自己假想成一個黑客高手，然后嘗試用各種辦法來攻擊你的VoIP系統(tǒng)。沒有找到攻擊入口，并不代表你的VoIP系統(tǒng)是安全的。但是如果你能找到入口，那么別人也可以，那就趕快堵住這個漏洞吧！

中計報(www.ccidnet.com)


相關(guān)鏈接:
2008年提防VoIP漏洞 2008-01-28
統(tǒng)一通信的生態(tài)系統(tǒng)——訪AVAYA公司中國區(qū)總裁 2008-01-25
IP通信本土化競爭成熱點 2008-01-24
關(guān)于NGN若干問題的思考-從VoIP到NGN 2008-01-22
CIO關(guān)注:統(tǒng)一通信能否沖破安全魔咒 2008-01-22

分類信息: