通過網絡語音電話(VoIP)與朋友或同事進行交流是一件比較威脅的事情，近日英國安全專家Peter Cox討論了他的“概念證實”(proof-of-concept)型VoIP黑客工具。
Peter Cox是一個從事VoIP技術研究的安全專家，他表示，基于網絡的VoIP電話極不安全，很輕易給黑客造成可乘之機。為了證實他這個觀點，他還公開了其可以竊聽VoIP網絡電話的“概念證實”(proof-of-concept)型軟件——SIPtap。
通過SIPtap軟件可以竊聽周圍數個VoIP語音通信，并可以生成后綴為“.wav”的文件供黑客隨后在互聯網上傳播使用。該軟件利用一個安裝在公司網絡上的特洛伊木馬軟件，成功對你的VoIP網絡進行監聽。Peter Cox稱，黑客的這一行為可以達到互聯網運營商(ISP)監聽級別。
Peter Cox還稱，他是在和“加密大師”Phil Zimmermann聊天后產生編寫這一程序想法的。此前，Zimmermann曾發布了一個名為“Zfone”、旨在阻止竊聽VoIP通信的加密軟件原型產品。
Peter Cox的觀點引起了很大的爭論，批評者主要分為三種觀點：第一種認為VoIP的被竊聽安全威脅只有在用戶關閉了加密和其他安全控制的情況下才可能發生;第二種觀點是VoIP的安全問題已經被人們所十分熟悉;第三種是加強VoIP網絡安全和加強其他基于網絡的應用程序沒有什么區別。其中一個人在評論中表示：
“如果你的網絡和IT環境是安全的話，許多VoIP安全預防措施已經落實到位。”
另一方面，Peter Cox的觀點同樣也贏得了很多支持，許多人感謝他讓人們重新審視VoIP的潛在安全威脅。
那么到底真實的情況如何呢？Peter Cox只是嘩眾取寵？還是VoIP協議本身確實存在值得引起人們注意的特有的安全威脅和風險？為了回答這些問題，有必要在VoIP和其他網絡應用軟件之間的進行一些對比。
普通網絡威脅之外，VoIP還有新問題
從VoIP的名字就可以看出它運行在一個IP網絡上。這意味著，它和諸如Web和電子郵件等其他網絡應用一樣，存在著共同的安全威脅和漏洞。這些安全威脅和安全缺陷包括所有IP網絡等級的威脅，它們是一個網絡管理員和電子郵件管理員每天都要應對的安全考驗，它們需要標準的網絡安全技術和良好的網絡設計來進行解決。
除了這些網絡級別的威脅外，VoIP應用軟件還面臨著一系列本身所使用協議和應用軟件所特有的安全威脅，以及與VoIP內容相關的特有安全威脅。
VoIP協議、應用所特有的安全威脅源自VoIP應用軟件廠商對協議和服務的設計和實現。VoIP協議非常復雜，一方面是因為VoIP旨在通過一個IP網絡實現實時的通信服務，一方面是因為VoIP協議還不得不提供一個對標準網絡電話系統的接口，同時要滿足某些我們日常生活中的固定和移動電話服務體驗的功能和工具。
另外，所有VoIP應用軟件還提供眾多豐富的非語言服務，諸如視頻會議、即時消息等。協議和應用軟件安全威脅包含廣泛的flooding攻擊和通話中斷威脅。包含呼叫終止攻擊的中斷威脅是，一個惡意攻擊者可以簡單的切斷一個通話，也可以進行劫持攻擊，攻擊者可以對通話進行控制。這些VoIP特有的安全威脅中的許多在任何其他網絡應用軟件中并無類似情況。
內容相關的安全威脅會影響一個VoIP通話的“內容”，其既會影響個人對個人的通話，也會影響語音會議通話或視頻通話。這一類威脅包含簡單的未經授權的通話監視或竊聽，正如Peter Cox所展示工具實現的功能一樣;還有劫持或注入威脅，攻擊者可以接管一個通話或插入一個語音或視頻流來削弱或替換原先的會話。
盡管VoIP內容相關的安全威脅在電子郵件和網頁中也有類似案例發生，例如垃圾郵件和有惡意的網頁內容，但是VoIP劫持或注入后面所使用的技術明顯與垃圾郵件或惡意網頁內容后面的技術有很大不同。
VoIP內容、協議和應用方面的安全威脅是真實存在的，已經被事實所證明。呼叫竊聽從Peter Cox的工具演示中已經得到證明，其他已經證明的安全威脅包括大量的flooding攻擊、呼叫中斷攻擊、呼叫劫持攻擊和拒絕服務攻擊等，都已經在VoIP中發生。這些都是已經被發現和證明了的已知安全威脅。
安全意識+專門技術=安全VoIP網絡
針對所有這些已知的VoIP安全威脅進行安全防護是完全有可能的。采用標準的安全技術和安全實踐措施是非常必要的一步，諸如使用防火墻和實施良好的設計和運行策略，其中一個辦法是通過虛擬局域網(VLAN)技術來將數據和語言業務分開，讓語音和數據在不同的虛擬局域網上傳輸;將VoIP統一到同一個VLAN中，在同一VLAN中傳輸的數據對服務質量(QoS)要求相同，可以簡化服務質量(QoS)設置。QoS設置簡化后，用戶只需為VoIP虛擬局域網賦予優先級即可。
這種方法帶來直接的好處是，兩者分開還可以將語音網絡從數據VLAN中隱藏起來，可以有效地解決數據欺騙、DoS攻擊等，因此沒有了可能會發起攻擊的計算機，你的VoIP網絡就會安全很多。
但是，使用標準安全技術不是保證VoIP安全的全部答案。標準安全技術只能解決標準威脅，我們還需要采取針對性的措施來完全解決許多VoIP特有的安全威脅。就像人們在保護電子郵件和Web應用的時候可以采用諸如垃圾郵件過濾器、Web內容控制和訪問策略系統等特殊手段一樣。而VoIP的復雜性顯然要比電子郵件和網頁更加復雜的多。
和需要采取專門的安全技術來保護VoIP網絡一樣，也同樣需要采用專門的測試和分析技術來識別VoIP網絡的特有安全威脅。標準的入侵和測試工具或許能夠很好的發現網絡級別的安全漏洞，但是在探測VoIP應用軟件、協議和內容威脅方面還顯得能力不足。
現在已經有專門保護VoIP網絡的專用防火墻，它能識別和分析VoIP協議，而且能對VoIP的數據包進行深度檢查，并能分析VoIP的有效載荷以便發現任何與攻擊有關的蛛絲馬跡。
另外，如果你的VoIP部署使用了SIP協議(Session Initiation Protocol)，那么防火墻就應當能執行下述操作：監控進出的SIP信息，以便發現應用程序層次上的攻擊;支持TLS(傳輸層安全);執行基于SIP的NAT以及介質端口管理;檢測非正常的呼叫模式;記錄SIP信息的詳情，特別是未經授權的呼叫。
盡管如此，我認為更重要的還是人們對VoIP網絡安全問題的正確意識，如果不能認識到這些安全風險的存在和危害，再好的技術和工具都不會完全解決VoIP網絡所面臨的安全威脅。
最后再來反駁一下那些認為SIPtap只有在加密和其他安全控制措施被關閉的情況才能進行竊聽的看法，據2007年11月份在北京舉行的SIPit大會數據顯示，目前只有25%的被測系統支持SRTP。SRTP是用來加密VoIP通話的公認標準，SIPit是一個SIP互聯互通的測試活動。或許這次大會所公布這個數字有些小，但是還是可以讓我們清晰的看到，關閉加密并不是讓VoIP網絡陷入安全威脅的主要原因，問題在于首先要讓VoIP系統廠商意識到要在它們的產品加入加密功能。
京公網安備 11010502049343號