VoIP六惑（之二）_voip

VoIP六惑（之二）

2007/08/13

３．VoIP安全吗？

　　VoIP的安全性是一个宽泛的问题，涉及到IP电话系统工作的各个方面，以及VoIP系统的各个网络组件。据有关调查显示，目前VoIP对于多数企业而言还不够安全。

　　50%的认可

　　在最近的一项CompTIA 研究中，只有一半的CIO认为企业VoIP产品和服务中所采用的安全技术能够提供充分的保障。这项调查访问了350家员工人数在500人左右的公司。调查表明，虽然这些企业有很多对VoIP的安全性表示了满意，但无线以及软件等传输方面存在的安全弱点乃是企业所担心的最大门槛。

　　在CompTIA的调查中，人们的担忧不仅局限于VoIP设备和软件可能受到的攻击上，而且也包括蠕虫或病毒的大规模爆发可能对IP语音呼叫的质量构成的影响。蠕虫和病毒会导致企业网络数据流量大增，因此，有可能导致电子邮件投递延误以及应用响应速度变慢，仅延迟一项就可能使IP电话通话完全中断。

　　来自软件的威胁

　　在VoIP产品中，漏洞最多的是IP电话应用系统和操作系统等软件。例如，Cisco在过去18个月中，共发布了9次重大产品漏洞警报，涉及的产品从IP电话和IP PBX到执行VoIP处理和功能的路由器。这9次警报已经具备了足够的严重性，厂商完全有必要发布软件补丁。相比之下，Cisco在同样的18个月中，只公布了两个与VoIP直接相关的漏洞。

　　另外，许多厂商的IP电话处理和消息产品都运行在Linux、Windows、Sun或其他服务器操作系统上。软件电话通常都运行在Windows桌面系统上，而基于VoIP的呼叫中心平台等应用也可能涉及其他多种应用。根据研究性网站Secunia的报告，如果将这些因素都考虑在内，Avaya共公布了25个产品安全性警报，其中既有直接与VoIP产品有关的，也有可能影响到Avaya技术运行的下层软件产品的。而Internet安全系统X-Force漏洞数据库在过去的5年中，共收录了100条与VoIP产品、应用和下层协议有关的漏洞报告。

　　协议的缺陷

　　一些安全研究人员认为，某些VoIP协议的基本技术天生就容易受到黑客、拒绝服务或呼叫截获攻击。

　　Scanit公司的研究员Sheran Gunasekera在一篇报告中指出，如果攻击的目标设备和流量使用的是没有加密的标准协议，那么，VoIP呼叫截获有时是非常容易的。Scanit称，该公司在测试时使用了标准SIP信令协议和实时协议（RTP）作为传输媒介，结果证明这些都很容易被截获。

　　Gunasekera在报告中指出，专门针对基于SIP的VoIP对话的“信令攻击有可能窃听通话的内容，也可能重新路由或者截获这些通话。而且SIP消息的重放或重新发送也很方便，可以很容易地传送给基于SIP的呼叫控制设备，为SIP呼叫增加参与者或者对流量进行重新路由。”

　　此外，“在典型的VoIP实施中，媒体流攻击在执行时也很方便。”攻击者截获任何RTP流后都可以使用相关的音频编码解码器对其进行解码，并且可以记录和收听实际的声音。”

　　其他的新型VoIP威胁还包括恶意VoIP音频编码解码器。理论上来说，这些所谓的“恶意编码解码器”是一种用于使VoIP端点或服务器发生崩溃的VoIP音频流。VoIP业界先驱Henry Sinnreich在运营商MCI公司工作时曾经参与过SIP的早期实施。他最近指出，研究人员已经证实，这类攻击是完全可能的。

　　过度安全忧虑症

　　Gartner公司研究员Lawrence Orans在一次访谈时说：“窃听是一个被过度炒作的威胁。当然，从技术上来说确实可以执行一项中间人式的攻击，并且捕获一些包。但人们对这一问题明显有些反应过度了。最重要的是将注意力集中于更大的威胁上，例如对IP PBX服务器本身的攻击。”

　　VoIP安全联盟（VoIPSA）主席兼安全研究机构、TippingPoint公司创始人David Endler认为：“如果按照最佳惯例来做，完全有可能实现安全的VoIP部署。所有这些系统的安全都是可以实现的，但用户需要一些专业的知识才能达到这一目的。”使用VoIP信令（SIP和H.323）和负载流（通常为RTP和UDP）上的加密技术即可实现安全的VoIP部署。要想确保IP PBX服务器的安全，则需要施加补丁和正确地进行配置，并且需要严格限制可接受IP端点的流量类型。

　　Orans认为，IT安全最佳惯例可以对抗VoIP网络遇到的多数常见威胁。他在报告中指出：“那些认真使用安全最佳惯例的企业完全可以保护其IP电话服务器，防止VoIP威胁给自己的计划带来灾难。”

　　在过去的一些访谈和报告中，他还指出，人们对VoIP安全威胁的担忧多数都源于炒作和臆断，并不是企业IT专家面临的实际安全问题。他甚至指责VOIPSA和其他一些VoIP安全警报机构在过去故意“散布谣言”。

　　他说：“对IP电话实施的威胁被过分夸大了，实际的攻击事件其实非常罕见。”（未完待续）

　　相关链接

　　常见的VoIP安全威胁

Wi-Fi语音传输易被攻击

蠕虫或病毒的大规模爆发

IP电话应用系统和操作系统漏洞

SIP协议信令攻击可能导致通话被窃听或截获

媒体流攻击可记录、窃听通话

恶意VoIP音频编解码器可能使VoIP端点和服务器崩溃

网界网