最近發(fā)生的幾起涉及到VoIP運(yùn)營(yíng)商的黑客事件，再一次引起了人們對(duì)安全問題的關(guān)注。然而，安全問題影響范圍能有多廣，還取決于業(yè)務(wù)提供商總體上對(duì)IP安全問題的關(guān)注程度。
VoIP與生俱來(lái)的安全問題雖然是老生常談，但是直到最近，這些討論仍停留在理論狀態(tài)，人們并沒有對(duì)此采取實(shí)際的措施。然而，今年6月份上述情況發(fā)生了改變，這一切源于兩個(gè)高科技小偷被控告從不知情的業(yè)務(wù)提供商那里盜取了價(jià)值100多萬(wàn)美元的通話分鐘。其中一個(gè)小偷是EdwinAndrewPena，他擁有一家貌似合法的VoIP批發(fā)公司Fortes電信，該公司通過包括Net2Phone在內(nèi)的業(yè)務(wù)提供商非法傳輸多達(dá)1000萬(wàn)分鐘的呼叫，并收取費(fèi)用，為了實(shí)現(xiàn)這一點(diǎn)，F(xiàn)ortes電信需要尋找一家愿意合謀的IP-PBX公司來(lái)掩蓋呼叫的真正來(lái)源。Fortes電信的做法并無(wú)太多過人之處，它和很多年前PBX公司曾經(jīng)設(shè)計(jì)的騙局非常相似。
此次事件之所以備受關(guān)注，是因?yàn)樗鞘状喂加诒姷拇笠?guī)模的VoIP欺詐事件，更是因?yàn)槿藗儗?duì)于這一事件的看法截然不同，有人認(rèn)為應(yīng)該就事論事把它視為一個(gè)獨(dú)立事件，而不應(yīng)該把問題擴(kuò)大化，有人認(rèn)為它僅僅是個(gè)開端，由于VoIP用戶眾多，黑客們對(duì)于VoIP的攻擊將會(huì)愈演愈烈。
VoIP的先行者、Vonage公司創(chuàng)始人之一的JeffPulver認(rèn)為，媒體對(duì)于這件事情的炒作有些過火，“從Net2phone竊取通話分鐘是個(gè)再簡(jiǎn)單不過的盜竊事件，但是僅僅因?yàn)楦`取的是IP通話分鐘，所以該事件才廣受關(guān)注�！彼嬖V《亞洲電信》的記者。然而，很多專家認(rèn)為如果VoIP安全問題沒有得到解決，那么會(huì)有非常嚴(yán)重的問題出現(xiàn)，網(wǎng)絡(luò)和安全咨詢公司CoreCompetence的總裁DavidPiscitello注意到，最近一段時(shí)間安全郵件列表以及各種論壇通告的安全事件數(shù)量呈現(xiàn)上升的趨勢(shì)，Piscitello也是最近出版的《理解VoIP的安全》一書的作者之一。Piscitello表示：“越來(lái)越多的VoIP產(chǎn)品的弱點(diǎn)被公布，越來(lái)越多的人詢問怎樣才能通過VoIP協(xié)議和SIP/IPBX配置進(jìn)入網(wǎng)絡(luò)。不難看出，VoIP市場(chǎng)巨大，因?yàn)槔嬲T惑而成為了眾人攻擊的目標(biāo)�！�
當(dāng)然，媒體炒作與安全問題密不可分，例如前段時(shí)間媒體大肆報(bào)道，稱移動(dòng)電話和即時(shí)通信領(lǐng)域也出現(xiàn)了病毒，當(dāng)然這并不是說我們不需要對(duì)這些事情給予關(guān)注。至于VoIP，VOIPSA（VoIP安全聯(lián)盟）主席DavidEndler認(rèn)為，媒體關(guān)注在了不該關(guān)注的領(lǐng)域，Endler也是3Com公司安全部門TippingPoint的主管�！敖鼇�(lái)，媒體炒作的焦點(diǎn)是黑客開發(fā)利用現(xiàn)有VoIP網(wǎng)絡(luò)和業(yè)務(wù)的可能性�！盓ndler說。他指的是用戶ID竊取、話費(fèi)欺詐、竊聽、通話劫持等。他認(rèn)為，對(duì)于可能對(duì)IP數(shù)據(jù)庫(kù)造成打擊的安全威脅，媒體卻很少關(guān)注，例如阻斷式服務(wù)攻擊、蠕蟲和病毒等�！疤拱椎卣f，它們對(duì)VoIP的危害更加嚴(yán)重�！盓ndler說。
更多的威脅
對(duì)于涉及幾百萬(wàn)美元的安全事件媒體一般會(huì)給予報(bào)道，但是和安全領(lǐng)域的多數(shù)問題一樣，被報(bào)道的黑客案件通常低于實(shí)際數(shù)量。VoIP業(yè)務(wù)不僅受話費(fèi)欺詐以及Endler提及的各種問題的影響，還受SPIT（通過VoIP傳送的垃圾信息）的沖擊，同時(shí)熱點(diǎn)在與裝載有免費(fèi)語(yǔ)音服務(wù)的移動(dòng)設(shè)施進(jìn)行連接時(shí)也易受攻擊。
AndrewMa是Juniper網(wǎng)絡(luò)公司亞太地區(qū)解決方案和產(chǎn)品營(yíng)銷部門的負(fù)責(zé)人，他認(rèn)為另一個(gè)問題是在一些情況下用戶很難知道自己正在被黑客攻擊。他指出的一個(gè)威脅是VOMIT（基于錯(cuò)誤配置的網(wǎng)絡(luò)電話的語(yǔ)音通信），它是一個(gè)UNIX工具，用于截取錯(cuò)誤配置的網(wǎng)絡(luò)電話上的語(yǔ)音。VOMIT和另一個(gè)UNIX工具TCPdump配合使用，可獲取VoIP數(shù)據(jù)包并將它們重新組裝為可在電腦上播放的WAVE文件�！肮矡狳c(diǎn)上的VoIP服務(wù)尤其容易被竊聽，因?yàn)槭褂猛粺狳c(diǎn)的人可以竊取你的VoIP數(shù)據(jù)包，用VOMIT來(lái)重新構(gòu)造你的對(duì)話�！盡a說。他推薦使用端到端的加密來(lái)保護(hù)VoIP業(yè)務(wù)。另一個(gè)問題是隨著SIP協(xié)議的日益廣泛使用而產(chǎn)生的，SIP是一種類似于HTTP的基于文本的協(xié)議�！癡oIP風(fēng)險(xiǎn)加大，因?yàn)楹诳涂梢院苋菀椎赝ㄟ^試錯(cuò)法來(lái)操縱SIP信號(hào)。同樣，VoIP進(jìn)程是典型的多任務(wù)進(jìn)程，需要以動(dòng)態(tài)方式打開信號(hào)和語(yǔ)音承載通道，因此防火墻和IDP（入侵檢測(cè)和防御）需要更熟悉VoIP協(xié)議才能提供有效保護(hù)。”Ma解釋。
VoIP應(yīng)用層面的攻擊也會(huì)增多，而舊的威脅也會(huì)表現(xiàn)出新的嚴(yán)重性。Endler認(rèn)為，歷史上技術(shù)的發(fā)展總是超出相應(yīng)的現(xiàn)實(shí)安全的要求，VoIP也不例外，對(duì)于VoIP的安全而言，最大的挑戰(zhàn)是語(yǔ)音服務(wù)在已有數(shù)據(jù)網(wǎng)絡(luò)上的融合，而很多已有的威脅可能會(huì)變得更嚴(yán)重。Endler說：“例如，阻斷式服務(wù)攻擊對(duì)傳統(tǒng)網(wǎng)絡(luò)的影響是用戶瀏覽網(wǎng)頁(yè)的速度比平常要低，而在VoIP網(wǎng)絡(luò)中，阻斷式服務(wù)攻擊不僅使瀏覽速度降低，還會(huì)使會(huì)話變得無(wú)法理解。在把VoIP技術(shù)加載到現(xiàn)有數(shù)據(jù)網(wǎng)絡(luò)的時(shí)候，用戶也面臨著解決可用性、QoS和私密性等新的安全需求。”
當(dāng)心寄生蟲
對(duì)于VoIP加劇了IP網(wǎng)絡(luò)本身固有的不可靠問題的觀點(diǎn)，朗訊亞太地區(qū)安全業(yè)務(wù)部門總監(jiān)基思·懷特表示贊同。他認(rèn)為，安全問題是妨礙業(yè)務(wù)提供商和組織機(jī)構(gòu)盡可能廣泛地推廣VoIP的主要原因之一。他也在試圖改變這種情況。“在網(wǎng)絡(luò)安全方面，我們遇到的最大困難是讓組織機(jī)構(gòu)和業(yè)務(wù)提供商理解VoIP網(wǎng)絡(luò)與傳統(tǒng)交換系統(tǒng)之間的主要差異，”懷特說，“IP網(wǎng)絡(luò)本身是不安全的，但是這并不意味著我們應(yīng)該拋棄VoIP。我們只需要按照解決常規(guī)IP安全問題的方式去解決VoIP安全問題即可�！�
懷特認(rèn)為業(yè)務(wù)提供商能夠也應(yīng)該提供安全的VoIP業(yè)務(wù)，而對(duì)于Skype等站在現(xiàn)有運(yùn)營(yíng)商肩膀上的“寄生”服務(wù)商，他則不愿意過多提及。“有兩種VoIP業(yè)務(wù)，一種是大的業(yè)務(wù)提供商通過自己的網(wǎng)絡(luò)提供的真正的VoIP，一種是Skype、Net2Phone、Vonage等提供的‘寄生’式的VoIP，對(duì)于這兩種VoIP，我們應(yīng)該嚴(yán)格區(qū)分。”懷特說。他認(rèn)為，兩種VoIp之間差別明顯，一個(gè)構(gòu)建在特別的用戶基礎(chǔ)上，沒有質(zhì)量控制，也沒有QoS保證，另一個(gè)由專業(yè)的網(wǎng)絡(luò)集成商和業(yè)務(wù)提供商提供，通過嚴(yán)格的監(jiān)控程序以確保QoS�！�
對(duì)于典型的無(wú)線熱點(diǎn)的安全性，他也頗有微詞�！坝械南到y(tǒng)采用了存在潛在不安全因素的VoIP和同樣不安全的無(wú)線熱點(diǎn)，如果我使用這樣的系統(tǒng)，那么我不會(huì)在通話中透露任何機(jī)密，如果基于這樣的系統(tǒng)使用無(wú)線對(duì)講電話，那么我什么都不會(huì)說�！睉烟卣J(rèn)為用戶會(huì)在用戶端使用加密技術(shù)，從而確保自己獲得某種程度上的保護(hù)�！氨M管這種加密技術(shù)會(huì)逐漸打包在應(yīng)用程序中，但是很多人還是希望自己控制這些技術(shù)，以自我確信通信系統(tǒng)的安全性�！彼f。
將要做什么
盡管威脅和潛在的漏洞真真切切地存在，但是大多數(shù)觀察家相信VoIP能夠做到足夠安全。事實(shí)上，所有可用來(lái)保證IP網(wǎng)絡(luò)安全的都已經(jīng)使用了，業(yè)務(wù)提供商和組織機(jī)構(gòu)此時(shí)需要的是好的政策和程序。
ManishSablok在阿爾卡特（新加坡）負(fù)責(zé)語(yǔ)音和應(yīng)用業(yè)務(wù)的市場(chǎng)工作，他提倡分層的安全問題解決機(jī)制，認(rèn)為：“安全問題不是一個(gè)產(chǎn)品而是一個(gè)過程，這個(gè)過程的目標(biāo)是引入多層次的安全機(jī)制，以進(jìn)一步加強(qiáng)對(duì)IP電話提供商的保護(hù)。順利經(jīng)過所有的層次而不被系統(tǒng)管理員發(fā)現(xiàn)，對(duì)于黑客來(lái)說是一件極其復(fù)雜的任務(wù)�！�
Verizon商業(yè)部門亞太區(qū)市場(chǎng)總監(jiān)DarrenDay認(rèn)為，主要的挑戰(zhàn)是從一開始就設(shè)計(jì)一個(gè)考慮了安全因素的VoIP網(wǎng)絡(luò)。他說：“很多公司都是在部署了VoIP網(wǎng)絡(luò)之后才考慮安全問題，但任何成功的VoIP案例都在關(guān)鍵的開頭部分就花費(fèi)時(shí)間來(lái)理解組織需求和考慮相應(yīng)的安全策略。”他同時(shí)認(rèn)為，最好的實(shí)踐，比如使用VPNs來(lái)提供接入、使用強(qiáng)健的補(bǔ)丁管理進(jìn)程以及拒絕外部接入IP-PBX等，也應(yīng)該運(yùn)用到VoIP的部署中。
Juniper公司的Ma也提供了特別的方法，他指出很多業(yè)務(wù)提供商運(yùn)用MPLS、VLAN等網(wǎng)絡(luò)虛擬技術(shù)，以把VoIP業(yè)務(wù)流和其他IP流分開，這樣沒有獲得授權(quán)的終端就不能輕易接入VoIP設(shè)備。他同時(shí)推薦利用邊界會(huì)話控制器，來(lái)進(jìn)行拓?fù)洳㈦[藏IP地址，同時(shí)在網(wǎng)絡(luò)中使用呼叫接入控制機(jī)制，這樣在VoIP受到阻斷式服務(wù)攻擊時(shí)，也能保證滿足足夠的呼叫數(shù)量。
朗訊公司的懷特認(rèn)為，VoIP只是天生就不安全的IP網(wǎng)絡(luò)上的另一種數(shù)據(jù)流，因此需要對(duì)數(shù)據(jù)流和底部網(wǎng)絡(luò)的安全性給予特別考慮，他相信很多系統(tǒng)管理員都是在不安全的IP網(wǎng)絡(luò)上運(yùn)行VoIP，并缺乏對(duì)IP網(wǎng)絡(luò)的安全評(píng)價(jià)和審查。他說：“確保網(wǎng)絡(luò)適合VoIP業(yè)務(wù)是成功的關(guān)鍵，這就需要對(duì)網(wǎng)絡(luò)的全部要素和終端進(jìn)行監(jiān)察，以確保網(wǎng)絡(luò)足夠強(qiáng)健能夠運(yùn)行VoIP。”
懷特最后的一條建議與行業(yè)具體問題密切相關(guān)，他建議對(duì)在網(wǎng)絡(luò)安全領(lǐng)域提供服務(wù)的公司進(jìn)行更好的控制，這樣無(wú)效的運(yùn)營(yíng)商就被淘汰出局。如果你認(rèn)為沒有這個(gè)必要，那么可以看看文章開始所提到的VoIP事件，在這一事件中，與Fotes電信一起被控告的另一家公司是Miami科技和咨詢公司，根據(jù)該公司網(wǎng)站上的消息，這家公司現(xiàn)在仍在提供VoIP安全審查業(yè)務(wù)，這難免會(huì)引起人們的驚慌。
VoIP安全情況概覽
壞消息
—專家認(rèn)為VoIP安全威脅日益嚴(yán)重
—安全問題林林總總，從話費(fèi)欺詐和竊聽到垃圾話音和網(wǎng)絡(luò)釣魚，VoIP安全問題無(wú)所不包
—業(yè)務(wù)提供商需要加強(qiáng)防備以免受攻擊
好消息
—所需要的所有的安全技術(shù)和程序一應(yīng)俱全
—大多數(shù)攻擊和IP安全專家曾經(jīng)應(yīng)對(duì)過的安全問題非常相似
—VoIP評(píng)估系統(tǒng)已經(jīng)問世
評(píng)估風(fēng)險(xiǎn)
不知道是不是與日俱增的VoIP安全問題帶來(lái)的一個(gè)副作用，越來(lái)越多的運(yùn)營(yíng)商和設(shè)備商開始推出或者大力宣傳自己的VoIP安全評(píng)估系統(tǒng)。例如，全球業(yè)務(wù)提供商Verizon商業(yè)部門就宣稱，有近300名專業(yè)安全人員為其業(yè)務(wù)提供支撐。
這一服務(wù)被設(shè)計(jì)用來(lái)識(shí)別和解決潛在的安全隱患，這些隱患在任何硬件商和軟件商提供的客戶端VoIP和主機(jī)IPPBX系統(tǒng)中都存在。這些安全問題范圍廣泛，包括傳統(tǒng)語(yǔ)音和IP數(shù)據(jù)網(wǎng)絡(luò)的內(nèi)在風(fēng)險(xiǎn)（如服務(wù)丟失、話費(fèi)欺詐、隱私受損、服務(wù)阻斷、病毒和垃圾話音），以及和VoIP軟硬件集成和互操作相關(guān)的風(fēng)險(xiǎn)。
按照Verizon商業(yè)部門亞太區(qū)市場(chǎng)總監(jiān)DarrenDay的說法，目前美國(guó)和英國(guó)的客戶可以獲得這些服務(wù)，其他地區(qū)的用戶在某些特定的情況下也可以使用這些服務(wù)。
朗訊科技也通過其專業(yè)服務(wù)部門提供評(píng)估和審查服務(wù)，朗訊亞太區(qū)安全業(yè)務(wù)部門總監(jiān)懷特說，一些工具和方法可以被用來(lái)確�？蛻艟W(wǎng)絡(luò)完全安全，并能提供專業(yè)VoIP服務(wù)所需要的QoS。其中之一就是貝爾實(shí)驗(yàn)室開發(fā)的72點(diǎn)網(wǎng)絡(luò)安全結(jié)構(gòu)模型，該模型已經(jīng)被ITU采納為x.805標(biāo)準(zhǔn)。最近，該標(biāo)準(zhǔn)被ISO采納（ISO-18028），成為一個(gè)用于審查和保護(hù)IP網(wǎng)絡(luò)的方法。
安全聯(lián)盟
最近一個(gè)和安全相關(guān)的組織是VOIPSA（VoIP安全聯(lián)盟），它于去年由一些領(lǐng)先的VoIP設(shè)備商、運(yùn)營(yíng)商和安全研究機(jī)構(gòu)發(fā)起成立。根據(jù)聯(lián)盟章程，VOIPSA的主要工作方式是發(fā)布討論列表和白皮書，支持VoIP安全性研究項(xiàng)目，以及開發(fā)公眾使用的工具和方法，從而幫助所有VoIP公司和組織理解并避免VoIP安全風(fēng)險(xiǎn)。
聯(lián)盟的第一個(gè)任務(wù)是制定VoIP安全威脅分類框架，這個(gè)框架有助于VoIP組織成員定義對(duì)VoIP部署、服務(wù)和終端用戶構(gòu)成威脅的眾多潛在隱患。VOIPSA主席以及3Com公司安全部門TippingPoint的主管DavidEndler認(rèn)為：“困難在于，要設(shè)計(jì)有效的VoIP安全保護(hù)體系，首先需要識(shí)別VoIP安全威脅�！�
Endler告訴《亞洲電信》，聯(lián)盟的下一個(gè)項(xiàng)目是開發(fā)最好的方法，以降低威脅分類所定義的各種安全威脅的嚴(yán)重性。
