VoIP：安全领域的尼斯湖怪兽？_voip_企业通信

VoIP：安全领域的尼斯湖怪兽？

2006/01/17

　　当越来越多VoIP安全的话题在媒体上露面时，现实的应用中，却很少遇到实际的灾难事件。于是，一些人开始困惑，VoIP安全威胁到底是椅子下面的定时炸弹，随时可能引爆；还是传说中的尼斯湖怪兽，只存在于人们的想象里……

谁的奶酪？

　　“对于VoIP安全问题的担忧，也许最大的原因并不是来源于技术本身，而是这个市场。”赛门铁克中国区首席安全顾问田成一语中的。

　　的确，如果单从技术角度讲，VoIP就是将语音通过数据包的方式来传输，它并不会比现有的数据网络“更不安全”。然而这一市场巨大的含金量，却注定让它像藏在身上的巨款一样，无论怎么包裹，总会让人感到忐忑不安。

　　根据市场调研公司In-Stat的预计，从2005年至2009年，亚洲地区VoIP市场每年将增长10亿美元，2009年该市场规模将从目前的50多亿美元飞跃到100亿美元，同期用户数量将增长一倍以上。到那时，VoIP将占到全球电话通信量的近一半。而且据行业分析家预计，企业的应用将更为广泛，估计全球2000强公司到2009年，有三分之二将采用VoIP作为主要的语音通信方式。

　　作为通信业历史上最具革新性的技术，VoIP是一块令所有人垂涎欲滴的奶酪，当然，对于黑客而言也不例外。现在所有的安全企业在谈到新的安全威胁时，都会强调一句话：那就是，黑客攻击越来越受到经济利益的驱动。对他们来说，摆在眼前的VoIP无疑就是一座金山，不要说涉及商业机密的语音仿冒与窃取，单单是话费盗取和欺诈（比如入侵语音网关，花别人的钱打国际长途电话），以及发送语音垃圾邮件，就会产生惊人的收益。

　　田成表示，“尽管从目前来看，赛门铁克全球监测网发现针对VoIP的攻击报告很少，但随着VoIP作为新的通信技术得到广泛认可和部署，攻击者将它作为集中攻击目标只是时间问题。”

　　虽然有些人认为，由于VoIP这样的服务大多是由电信运营商来操控的，安全方面的问题可以依靠管制政策来控制，但是，VoIP的应用远远不只于语音，而且由于IP网络跨越国界，很难在全球范围内实现一致的管制，就可行性而言，VoIP的安全性问题，还是应该主要通过技术手段来解决。那么从技术层面来看，VoIP安全的症结究竟在那里呢？

软肋有多软

　　如果用户就VoIP的安全问题去咨询，那么在IP通信商和专业安全厂商那里会得到截然不同的答案。前者认为VoIP系统至少同传统的语音系统一样安全，而后者则认为其安全问题比电子邮件、Web应用等更加严重。

　　当然，这是站在不同利益立场上的发言，不过，单从技术上来看，在VoIP环境中，话音和数据一样是一个个的“包”，它没有理由可以躲避开各种病毒和黑客攻击的困扰。从理论上来讲，眼下黑客对数据网络的所有攻击手段，都有可能被应用到IP语音之上。

　　比如话费盗取和欺诈，虽然IP话机不能通过并线的方式拨打电话，但通过窃取使用者IP电话的登录密码同样能够获得话机的权限。这就如同在一根普通模拟话机线上又并接了一个电话一样。再比如语音网页仿冒，语音欺诈等。

　　田成也介绍说，未来垃圾邮件的泛滥，同样可能出现在VoIP系统之上。黑客会使用和寻找电子邮件地址一样的目录获取攻击，寻找出大量的合法IP电话地址，然后将一段wav文件放到某台计算机上，就可以发送大量垃圾语音邮件，并且通过假造的IP电话地址，让人无从追查。

　　总之，如果“幸运”的话，包括病毒、蠕虫、木马、DoS攻击、垃圾邮件、网络钓鱼等这些“老朋友”，你都可能在VoIP环境中再次碰到。

　　那么，为什么到目前为止，我们在已经应用的VoIP系统中，并没有看到大规模的攻击事件，难道这些威胁只是存在于技术的理论层面吗？

　　对此，Juniper高级系统工程师王卫认为，之所以目前VoIP还没有任何关于大规模网络攻击或安全系统遭破坏的报道，究其原因，很大程度上是因为VoIP本身尚未成熟，比如大量的非标准化和互操作性问题，这些问题一方面给VoIP的部署应用带来了巨大的麻烦，但另一方面，也给黑客的攻击造成了很大的障碍。

　　我们知道，开放的、标准化的体系最容易受到病毒和恶意攻击的影响，而眼下，VoIP厂商和服务提供商们在为客户安装系统时，通常提供不同种类的防火墙、私有协议、预防侵入系统和其他一些保护装置。此外，很多企业VoIP解决方案通常是封闭的系统，分组语音只在LAN上传送，而大多数外部传输流经过网关在PSTN上传送。不过，随着VoIP的不断成熟演进，走向开放、标准化、纯IP的体系是必然趋势，到那时，VoIP将因为很多语音和数据的融合应用，向整个互联网开放，而安全问题也必将随之大量爆发。

威胁防护与盲人摸象

　　现实的情况是，由于没有看到严重的VoIP安全事件，很多企业总是在已经部署VoIP之后，在逐渐依赖这一系统时，才开始逐步意识到安全的重要性。企业担心的安全问题主要包括通过电话记录或者语音邮件泄漏公司敏感的信息、窃听、恶意软件导致的系统崩溃和其他恶意攻击、以及机构内部和外部人员不正当地使用语音服务等。

　　要完全实现这些安全保障，企业需要在不同的网络层次实施各种安全措施，如认证、语音传输的加密、分离语音和数据网络、对语音服务器实施实时监控，应用一些专门防止黑客入侵和计算机病毒的产品如防火墙等。

　　显然，企业要一步做到所有这些是相当困难的，而且在目前的情况下也并不必要。在对待VoIP的安全问题上，我们不能像盲人摸象一样，每碰到一处就盲目放大，而是要根据实际的应用，结合当前主要的威胁所在，寻找适宜的防护方案。王卫认为目前VoIP的主要威胁可能来自于DoS，应该尽量降低网络暴露，加强网关的防护能力。

　　在网络的安全保护方面，人们首先最容易想到的产品就是防火墙。不过用传统的防火墙来解决VoIP的安全问题却有着很多的困难，首先协同工作就是一个问题。

　　由于语音通信中同时包含了数据流和信号流，语音呼叫信息组成了数据流，而信号流则进行呼叫建立和控制，依据的信号协议通常是H.323、会话初始协议（SIP）或媒体网关控制协议（MGCP）。对于信号信息的通过，我们一般可预留少量端口用于呼叫接入。而对于呼叫本身，由于是基于实时协议（RTP）和采用动态分配UDP端口方式，而不是通常情况下防火墙针对特定用户或应用采用的静态分配方式，因而让VoIP呼叫接入通过，意味着为所有通信打开了通道，当然其中也包括黑客。如此一来，防火墙也就失去了存在的意义。

防火墙的角色

　　那么，在VoIP的安全上，防火墙究竟能够扮演什么样的角色呢？

　　“实际上，现在的防火墙安全设备已经超过了传统的状态检查防火墙，采用深度数据包检测技术大大增强了安全能力和应用范围。” SonicWALL中国区技术经理蔡永生这样解释道。“在VoIP网络中，防火墙的传统角色正在发生本质上的变革。因为VoIP要求因特网上基于IP的资源是可预测的、静态可用的，但防火墙的网络地址转换功能给VoIP网络带来了障碍。通过“pin-holing”和其他技术，安全供应商已经找到了适应VoIP基础设施、保证互操作的方法。”

　　“SonicWALL的防火墙可以对通过的每个VoIP信令和媒体数据包进行状态检测，保证所有业务流的合法性。对于攻击者来说，攻击所使用的主要方法就是利用特殊编制的数据包来窥探和利用软硬件实现的缺陷，从而导致目标设备出现缓冲区溢出等问题。SonicWALL能够在非法数据包到达目标之前检测到它们并将其丢弃。”

　　对此，王卫也向记者作出了解释，他谈到：“与HTTP不同，SIP协议把IP地址放在了消息负载中，而不是消息的头文件中。因此，要让防火墙传递SIP消息，防火墙必须要通过深度检测了解这种应用程序，以便翻译出那个信息。Juniper开发的语音感知应用层网关（ALGs）技术，它使网络能够动态开放和关闭防火墙端口，允许出入呼叫经过防火墙。从而避免了开放大量防火墙端口，使网络暴露在端口扫描和黑客的危险之中。”

　　据王卫介绍，现在，通过扩展的协议支持，NetScreen深层检测防火墙可防止650多种应用级攻击和异常情况。客户可使用预定义的规则，也可创建定制的攻击组，并基于协议或严重程度安排应答顺序，从而为高效的网络保护提供细粒度的控制。

　　此外，深层检测防火墙技术还提供应用感知功能，使客户不仅能够抵御攻击，还能控制应用的使用。例如，客户可允许IM聊天，同时拒绝文件传输。

　　随着企业范围的VoIP部署涉及范围越来越宽，网络威胁越来越复杂，对VoIP防护的挑战也在加大。无论如何，要时刻记住，对于黑客来说，所有可能大规模普及的信息应用，都是等待上桌的美餐，VoIP也不例外，我们的企业不能再存有任何侥幸的心理，否则下一个被装入盘中的，可能就是你。

现有VoIP安全性解决方案

无防火墙（或者防火墙不支持VoIP），优点是不影响IP话音和视频应用，缺点是完全没有网络安全性，端点需要公共IP地址。

‘绕过’防火墙的NAT穿透解决方案（如利用STUN协议），优点是不需要防火墙升级/改变，缺点是仅有有限安全性，VoIP设备仍然暴露；对于对称NAT仍然无法工作；仅适用于UDP -C 不支持基于TCP的H.323或SIP。

会话边界控制器（SBC），优点是不需要防火墙升级/改变，调节网络与网络界面之间的网络流量，缺点是主要针对服务供应商而设计，需要额外的设备，成本较高。

全VoIP代理，优点是不需要防火墙升级/改变，缺点是代理（Proxy）仍然暴露在攻击者面前；每个防火墙后都需要代理；增加额外的延迟并成为瓶颈或引入抖动。

状态数据包检测和变换，优点是保护信令和媒体数据；易于使用；支持多种VoIP协议，有良好的互操作性。缺点是前三代防火墙不支持。

编看编想：无知者无畏？

　　关于VoIP安全话题的探讨，让记者对一个更深层的问题感到困惑：人们对于事务的危机感，是不是必须要建立在灾难性的安全事件之后？

　　对于不了解的事务，人们往往并不会心存恐惧。打个不太恰当的比方，如果你用左轮手枪对准一位古代人，所起到的威慑作用，肯定远逊于一把明晃晃的大刀。与此相类似的例子是，在放射性物质刚刚被人们所认知的时候，有的人坚持认为这种看不见、摸不到的射线对人体是无害的，并为了证明这一点，甚至不顾劝阻反复接受照射，其最终的结果可想而知。所有这些正印证了那句话——无知者无畏。

　　当面对未知事务时，人的担心与恐惧感只能来自于两条途径，一是痛苦的经验教训；另一条就是建立在对该事物的了解之上。

　　然而，作为生活在信息社会的现代企业和个人，接触的新事物不断增多，不应该总是要等到出现了负面的后果，才开始补救的行为。亡羊补牢，虽犹为晚，但最好的办法当然还是提前准备，未雨绸缪。

　　因此，对VoIP这类重要信息系统防护行为，更多的应该建立在了解而不是教训的基础之上。当然，从另一个角度来讲，这种防护也绝不能是盲目的，这样做只能造成无谓的浪费。安全防护建设要根据应用的渗透与逐步深入分阶段进行，但最重要的一点，就是始终要领先于潜在的威胁。

　　Fusion通信公司是日本著名的新型VoIP供应商，它也是日本VoIP电信业的先驱，一直走在创新的前沿。作为日本第一家提供大规模IP (旁路长话)电话业务的公司，Fusion通过能够完全绕过传统电话交换网络的专用IP网络提供话音通信业务，开创了行业的先河。

　　作为新事物的领军者，Fusion当然十分重视VoIP的安全和由此带来的风险，不过，初期他们并没有大规模盲目建立防护系统，是更多关注于话音质量和便利性，在安全上的投资，也集中于这方面。

　　现在，Fusion运行着日本最大的IP电话业务，并有了240万忠实的用户，目前，他们的系统已经演进到完全摆脱交换和其他传统系统的“纯IP”网络，承载了更多的全新业务。虽然在运行期间并未发生大的安全事故，但Fusion却反而更加具有危机感。凭借对VoIP越来越深入地了解，Fusion在安全系统建设上不断投入重资，比如在网络中全面部署Juniper公司VF系列会话边界控制器等，以此提高VoIP应用的安全性。就像Fusion CEO所说的“投资（指安全系统的建设）是值得的，因为这个领域不会给我们犯第二次错误的机会。”

　　也许这句话也应该成为更多现代企业的座右铭。

网络世界(cnw.ccw.com.cn)