淺談VoIP網(wǎng)絡(luò)及其安全性分析

摘要IP網(wǎng)上語音（VoIP）網(wǎng)絡(luò)已逐步得到了廣泛地應(yīng)用，但隨之而來的安全性問題也越來越突出，文章介紹了VoIP網(wǎng)絡(luò)的基本原理及其主要的協(xié)議標(biāo)準(zhǔn)和體系結(jié)構(gòu)。從分析VoIP網(wǎng)絡(luò)安全的重要性入手，對VoIP網(wǎng)絡(luò)存在的安全隱患進(jìn)行了分析，并給出了加強(qiáng)VoIP網(wǎng)絡(luò)安全性的建議和方案。

    1、VoIP簡介及其市場發(fā)展現(xiàn)狀

    1.1VoIP介紹

    IP網(wǎng)上語音（VoIP）是一種通過Internet提供以IP電話為主，并推出相應(yīng)增值業(yè)務(wù)的應(yīng)用技術(shù)，它以IP分組交換網(wǎng)絡(luò)為傳輸平臺，對模擬的語音信號進(jìn)行壓縮編碼，然后把這些語音數(shù)據(jù)按照TCP/IP等相關(guān)協(xié)議進(jìn)行打包經(jīng)IP網(wǎng)絡(luò)把數(shù)據(jù)包傳輸?shù)侥康牡睾?，接收方再把這些語音數(shù)據(jù)包重新組合，經(jīng)過解碼處理后恢復(fù)成原來的語音信號，達(dá)到在IP網(wǎng)絡(luò)傳輸語音的目的，從而實現(xiàn)互聯(lián)網(wǎng)上的語音通信。

    VoIP技術(shù)實現(xiàn)了在傳統(tǒng)電路交換網(wǎng)絡(luò)和IP網(wǎng)絡(luò)之間傳輸語音或直接在IP網(wǎng)絡(luò)上傳輸語音，由信令技術(shù)、語音編解碼技術(shù)、實時傳輸技術(shù)、QoS保障技術(shù)和網(wǎng)絡(luò)傳輸技術(shù)等組成。

    1.2VoIP市場發(fā)展現(xiàn)狀

    VoIP的概念提出至今已有10余年了，先前由于通話質(zhì)量等各方面存在缺陷，端對端的VoIP電話并沒有真正大范圍發(fā)展起來。但近幾年來，隨著全球?qū)拵Ы尤胗脩舻难该驮鲩L和VoIP技術(shù)本身的不斷完善，加上政策、投入上的推動，VoIP這一日趨成熟的技術(shù)再度成為人們關(guān)注的熱點。在電信數(shù)據(jù)業(yè)務(wù)中，IP業(yè)務(wù)已占95%以上，可以說數(shù)據(jù)承載網(wǎng)業(yè)務(wù)已基本IP化。因此，把語音融入數(shù)據(jù)也成為一件很自然的事。VoIP經(jīng)過幾年的持續(xù)發(fā)展已逐漸趨向成熟，不僅語音和服務(wù)質(zhì)量得到了改善，終端、接入技術(shù)也日臻完善，所提供的功能不僅限于語音，還增加了文本、視頻以及許多與Internet服務(wù)相結(jié)合的新功能。在中國，VoIP技術(shù)于1999年被引用到電信運(yùn)營中，由于其“價廉物美”的特點而深受廣大用戶和運(yùn)營商的青睞。到2002年底，IP電話在國內(nèi)長途和國際長途業(yè)務(wù)中的應(yīng)用已經(jīng)遠(yuǎn)遠(yuǎn)超出了傳統(tǒng)電話。隨著Internet的不斷發(fā)展、語音編碼技術(shù)的提高以及成本的進(jìn)一步降低，VoIP取代傳統(tǒng)電話已經(jīng)成為必然的趨勢。

    2、VoIP網(wǎng)絡(luò)及其安全的重要性

    2.1VoIP協(xié)議的體系結(jié)構(gòu)

    VoIP可以被看作是完成一定功能的一組協(xié)議，與VoIP相關(guān)的三組協(xié)議分別是：信令、路由和傳輸。我們一般所說的基于哪種協(xié)議的VoIP網(wǎng)絡(luò)是指基于哪種信令的協(xié)議的網(wǎng)絡(luò)。

    VoIP使用的主要信令協(xié)議有H.323、會話初始協(xié)議（SIP）、H.248、媒體網(wǎng)關(guān)控制協(xié)議（MGCP）四種，分為對等式協(xié)議和主從式協(xié)議兩大類。對等式協(xié)議包括SIP和H.323，主從式協(xié)議包括H.248和MGCP。目前較有影響的VoIP協(xié)議體系包括ITU-T提出的H.323協(xié)議和IETE提出的SIP協(xié)議。

    H.323為ITU于1996年提出最初版本，H.248由ITU-T第16小組提出。而SIP則為IETF的成果，MGCP協(xié)議也由IETF提出。H.323和SIP二者不能互相兼容，H.248、MGCP協(xié)議則不涉及IP電話的體系結(jié)構(gòu)，只涉及基于IP的多媒體業(yè)務(wù)的網(wǎng)關(guān)控制問題。

    2.1.1VoIP主要協(xié)議標(biāo)準(zhǔn)

    H.323協(xié)議是由ITU的第15研究組SG-15提出的多媒體通信協(xié)議系列H.32X中的一個，提供了基于IP網(wǎng)絡(luò)（包括Internet）的傳送聲音、視頻和數(shù)據(jù)的基本標(biāo)準(zhǔn)。H.323的提出在VoIP出現(xiàn)之前，所以它不是針對VoIP提出的。H.323是一個協(xié)議組，包含一系列子協(xié)議：H.225.0協(xié)議具有登記、接納、設(shè)置狀態(tài)、呼叫信令和控制功能；H.245協(xié)議具有媒體信息的描述和控制、終端能力交換，以及對承載媒體信息流的邏輯信道的控制功能。它們和其他協(xié)議一起構(gòu)成了完整的H.323標(biāo)準(zhǔn)，形成了一個H.323媒體信息流和信令傳輸?shù)膮f(xié)議棧。H.323還定義了在無QoS保證的分組網(wǎng)絡(luò)中進(jìn)行多媒體通信所需的技術(shù)要求。

    SIP是由IETF提出的一套多媒體IP的體系結(jié)構(gòu)，是專門針對VoIP設(shè)計的協(xié)議。SIP是文本格式的客戶-服務(wù)器協(xié)議：客戶機(jī)發(fā)起請求，服務(wù)器進(jìn)行響應(yīng)。SIP是在諸如簡單郵件傳送協(xié)議（SMTP）和超文本傳送協(xié)議（HTTP）基礎(chǔ)之上建立起來的協(xié)議體系，沿用了一些HTTP的語法規(guī)則和定義。與HTTP和SMTP不同的是：SIP既可用傳輸控制協(xié)議（TCP），也可以用用戶數(shù)據(jù)報協(xié)議（UDP）來進(jìn)行傳輸。SIP用來建立、改變和終止基于IP網(wǎng)絡(luò)的用戶間的呼叫。為了提供電話業(yè)務(wù)，有時還需要結(jié)合其他標(biāo)準(zhǔn)和協(xié)議，如實時傳送協(xié)議（RTP）、資源預(yù)留協(xié)議（RSVP）、輕型目錄存取協(xié)議（LDAP）、遠(yuǎn)程身份驗證撥號用戶服務(wù)（RADIUS）等。SIP協(xié)議憑借其簡單、易于擴(kuò)展、便于實現(xiàn)等優(yōu)點得到業(yè)界青睞，正逐步成為下一代網(wǎng)絡(luò)（NGN）和3G多媒體子系統(tǒng)域中的重要協(xié)議。

    MGCP協(xié)議與H.323和SIP不是同一層面的事。MGCP只涉及網(wǎng)關(guān)分解問題，因而它不僅可以用于基于H.323的VoIP系統(tǒng)，也可以用于基于SIP的VoIP系統(tǒng)。MGCP協(xié)議包括簡單網(wǎng)關(guān)控制協(xié)議（SGCP）和IP設(shè)備控制（IPDC）協(xié)議。SGCP協(xié)議是一個簡單的遠(yuǎn)程控制協(xié)議，用于控制語音網(wǎng)關(guān)和網(wǎng)絡(luò)接入服務(wù)器。IPDC協(xié)議用于使公共交換電話網(wǎng)絡(luò)（PSTN）能夠與IP網(wǎng)絡(luò)的第三層進(jìn)行無縫連接。

    H.248協(xié)議作為MGCP的演進(jìn)協(xié)議，繼承了MGCP的眾多優(yōu)點，在擴(kuò)展性、安全性和互通性等方面較MGCP有顯著改進(jìn)。H.248協(xié)議能快速適應(yīng)新業(yè)務(wù)需求，而下一代網(wǎng)絡(luò)又是業(yè)務(wù)驅(qū)動的網(wǎng)絡(luò)，所以H.248協(xié)議將有取代MGCP成為主流媒體網(wǎng)關(guān)控制協(xié)議標(biāo)準(zhǔn)的趨勢。

2.1.2VoIP系統(tǒng)構(gòu)成

    VoIP系統(tǒng)的基本組件：終端、網(wǎng)關(guān)、關(guān)守、網(wǎng)管服務(wù)器、記帳服務(wù)器等。VoIP系統(tǒng)構(gòu)成如圖1所示。

    圖1  VoIP系統(tǒng)構(gòu)成

    2.2VoIP網(wǎng)絡(luò)安全的重要性

    VoIP建立在Internet基礎(chǔ)之上，它繼承了IP網(wǎng)絡(luò)易受攻擊的先天不足，且VoIP的設(shè)備是基于服務(wù)器的，這些服務(wù)器像其他任何服務(wù)器一樣容易受到攻擊，如遭受病毒、網(wǎng)上黑客等的攻擊。許多VoIP設(shè)備具有基于Web的管理功能，因此用戶還必須監(jiān)測和修補(bǔ)基于Web管理功能的隱患與安全漏洞。此外，VoIP還具有很多其他弱點和安全隱患。因此，安全性問題是VoIP中急需解決的關(guān)鍵問題，同時也影響VoIP的進(jìn)一步發(fā)展。

    VoIP通信安全的重要性主要在于以下三方面：

    a）因為語音通信具有高度的隱私性和機(jī)密性，所以應(yīng)當(dāng)采取必要的防范措施以防止任何未被授權(quán)的第三方對信息的非法竊取。

    b）應(yīng)保障VoIP服務(wù)商有權(quán)利獲取有關(guān)語音通信的統(tǒng)計信息，該信息主要用于服務(wù)商們的數(shù)據(jù)統(tǒng)計（例如用于計算用戶話費(fèi)等），而其他任何未授權(quán)的第三方不能獲取和修改這些信息。

    c）保障語音通信質(zhì)量，避免VoIP網(wǎng)絡(luò)遭受DoS、病毒和黑客攻擊，造成系統(tǒng)崩潰。如同針對TCP的控制包攻擊一樣，黑客可以通過發(fā)起針對VoIP協(xié)議的DoS攻擊，使VoIP設(shè)備被大量請求阻塞，導(dǎo)致語音呼叫服務(wù)中斷或處于虛假繁忙狀態(tài)。與計算機(jī)設(shè)備一樣，VoIP設(shè)備感染病毒后也會出現(xiàn)系統(tǒng)性能顯著下降，甚至崩潰。

    3、VoIP存在的安全漏洞和面臨的威脅

    VoIP網(wǎng)絡(luò)存在的安全漏洞以及因此而面臨的威脅主要是以下八點：

    1）VoIP產(chǎn)品本身存在一定的安全漏洞

    目前VoIP各個設(shè)備廠家都有獨立的語音服務(wù)器來提供語音網(wǎng)關(guān)或IP話機(jī)的注冊和控制功能。這些語音服務(wù)器產(chǎn)品有的采用WindowsNT操作系統(tǒng)，也有基于Linux或VxWorks的。這些開放的操作系統(tǒng)都不同程度地存在安全漏洞，無法保證這些產(chǎn)品是否已經(jīng)彌補(bǔ)了安全漏洞。也就是說VoIP網(wǎng)關(guān)的自身安全性存在問題，會造成語音服務(wù)器存在潛在的安全漏洞。

    2）DoS攻擊問題

    VoIP系統(tǒng)采用了很多端口分別用于業(yè)務(wù)傳輸或呼叫建立以及系統(tǒng)管理，如果開放這些端口而又不在呼叫建立的認(rèn)證協(xié)議方面加強(qiáng)，就為DoS攻擊提供了目標(biāo)，可能導(dǎo)致系統(tǒng)的不穩(wěn)定甚至癱瘓。SIP協(xié)議和H.323協(xié)議是VoIP中廣泛應(yīng)用的兩種協(xié)議，二者都采用實時傳輸協(xié)議（RTP）來傳輸媒體，H.323會話可能使用7個～11個端口號，其中只有兩個為靜態(tài)的；SIP至少使用三個端口號，其中只有一個為靜態(tài)的。然而，VoIP會話同時采用TCP和UDP，這些協(xié)議既可以從防火墻的內(nèi)部啟動也可以從防火墻外部啟動。標(biāo)準(zhǔn)防火墻的配置是所有可能使用的潛在應(yīng)用端口都是打開的。對于VoIP應(yīng)用來說，就意味著會打開大量端口，從而產(chǎn)生了令人無法接受的安全漏洞。

    3）VoIP的很多協(xié)議本身也存在著安全漏洞

    例如，默認(rèn)狀態(tài)下，SIP消息采用未加密的明文格式發(fā)送，因而容易被截獲和篡改。基于H.323、SIP的VoIP都可由RTP來承載。而這種協(xié)議容易被截獲及篡改，比如起始和目的地址被截獲及篡改。如果RTP會話未經(jīng)加密，無法防止身份失竊或者會話內(nèi)容被篡改。

    4）監(jiān)聽語音“竊聽”

    由于VoIP數(shù)據(jù)在數(shù)據(jù)網(wǎng)絡(luò)上傳輸，比PSTN等電路交換模式的通信網(wǎng)更容易實現(xiàn)竊聽，通過IP網(wǎng)中的常用竊聽工具，如TCPDUMP、SNIFFER等對數(shù)據(jù)的偵聽就有可能得到語音通信的內(nèi)容。由于協(xié)議本身是開放的，即使是一小段的媒體流都可以被重放出來，而不需要前后信息的關(guān)聯(lián)。如果有人在數(shù)據(jù)網(wǎng)絡(luò)上通過竊聽記錄所有信息，并通過軟件加以重放，將嚴(yán)重影響通信內(nèi)容的安全，造成用戶通信信息泄漏。

    5）對VoIP服務(wù)的盜用

    盡管IP話機(jī)沒辦法通過并線的方式來打電話，但通過IP網(wǎng)絡(luò)竊聽方式竊取使用者IP電話的登錄密碼同樣能夠獲得話機(jī)的權(quán)限。竊取用戶帳戶與密碼信息后，攻擊者可冒用用戶身份進(jìn)行大量語音通話，導(dǎo)致用戶蒙受高額話費(fèi)損失。同時，攻擊者還能夠向特定終端發(fā)送SIP控制包，將用戶當(dāng)前的語音呼叫重定位至不同的設(shè)備，使用戶無法與呼叫目標(biāo)通話。

    6）對通話雙方話音實時內(nèi)容的惡意篡改

    基于IP話音數(shù)據(jù)的分組特性，只要跟蹤并鎖定通過H.323或SIP建立呼叫的雙方，就可以惡意或故意在其中實時加入惡意話音數(shù)據(jù)而導(dǎo)致雙方溝通的完全誤解，達(dá)到惡意的目的。

    7）緊急呼叫問題

    傳統(tǒng)PSTN在撥打火警、急救電話等緊急呼叫的同時，可以迅速提供給這些呼叫中心一個確定的物理位置。但是在一個VoIP系統(tǒng)中，這些緊急呼叫號碼可以在IP網(wǎng)絡(luò)的任何位置使用，在撥打緊急呼叫的同時，不能提供其所處的確切位置。目前對于這方面，在VoIP上撥打緊急呼叫的同時能夠迅速反映物理位置的方面還沒有一個標(biāo)準(zhǔn)出臺。從這方面來說，通過VoIP撥打緊急呼叫遠(yuǎn)沒有通過PSTN呼叫方便、可靠。

    8）對數(shù)據(jù)網(wǎng)絡(luò)的安全威脅

    與其他數(shù)據(jù)網(wǎng)絡(luò)設(shè)備一樣，以TCP/IP協(xié)議棧為基礎(chǔ)的IP語音設(shè)備面臨無孔不入的病毒威脅。隨著VoIP的逐步普及，各種IP語音終端和服務(wù)器也會成為病毒、蠕蟲和木馬程序的攻擊目標(biāo)。病毒不但會嚴(yán)重降低VoIP業(yè)務(wù)的性能，甚至?xí)鞑サ綌?shù)據(jù)網(wǎng)絡(luò)的服務(wù)器，使數(shù)據(jù)網(wǎng)絡(luò)遭到破壞。

    4、VoIP安全機(jī)制解決方案

    1）選擇合適的VoIP設(shè)備并及時加強(qiáng)軟硬件的安全升級

    盡管不同廠家的VoIP產(chǎn)品體系構(gòu)架和操作平臺不盡相同，但很多還是有相應(yīng)的技術(shù)來保障其產(chǎn)品抵御病毒侵襲的能力。例如，很多廠家的產(chǎn)品采用了管理網(wǎng)段和用戶的IP話音網(wǎng)段在物理上隔離的機(jī)制，盡可能少地將端口暴露在外網(wǎng)上。但大部分VoIP設(shè)備是基于標(biāo)準(zhǔn)操作系統(tǒng)，傳輸協(xié)議也屬于開放技術(shù)，所以受到攻擊者襲擊的可能性還是相當(dāng)高。而且大部分情況下VoIP設(shè)施需要提供遠(yuǎn)程管理能力，其所依賴的服務(wù)和軟件也同樣可能存在安全漏洞。VoIP的實現(xiàn)依賴于TCP/IP協(xié)議棧的運(yùn)行，所以TCP/IP協(xié)議面臨的所有安全問題我們都無法回避，蠕蟲病毒、木馬程序、DoS攻擊這些讓人頭痛的問題也注定要對VoIP應(yīng)用環(huán)境造成困擾。這些方面的問題除了依賴廠商不斷對設(shè)備進(jìn)行安全強(qiáng)化之外，還需要管理員密切注意跟蹤相關(guān)的安全漏洞信息發(fā)布，及時為VoIP設(shè)備打好補(bǔ)丁，并為VoIP環(huán)境提供防火墻等安全防御設(shè)施的保護(hù)。

    2）利用各種相關(guān)協(xié)議安全性機(jī)制提高VoIP的安全

    不斷完善加強(qiáng)VoIP相關(guān)協(xié)議的安全性機(jī)制是保障VoIP網(wǎng)絡(luò)安全的根本。VoIP可采取兩種方法通過其相關(guān)協(xié)議安全機(jī)制加強(qiáng)其安全性。a）在VoIP協(xié)議的內(nèi)部建立安全機(jī)制，即制定其自身完善的安全協(xié)議，如H.323協(xié)議的H.235安全協(xié)議。b）采用外部協(xié)議的安全機(jī)制，如采用傳輸層安全（TLS）、IP安全性（IPSec）等安全協(xié)議。

    H.323協(xié)議簇中的H.235（又稱為H.Secure）是負(fù)責(zé)身份驗證、數(shù)據(jù)完整性和媒體流加密的?？梢蕴峁┥矸菡J(rèn)證、數(shù)據(jù)加密和完整性功能。有的廠家也會選用各自私有的協(xié)議來保證VoIP的安全性。目前已經(jīng)有一些廠家采用私有的加密協(xié)議進(jìn)行音頻流的保護(hù)，有效地防止竊聽。盡管標(biāo)準(zhǔn)還不統(tǒng)一，但仍在很大程度上提高了IP語音通信的安全。IPv6的IPSec機(jī)制提供了認(rèn)證報頭（AH）用于保證數(shù)據(jù)的一致性，而封裝有效載荷報頭（ESP）兩種服務(wù)用于保證數(shù)據(jù)報級的數(shù)據(jù)的保密性和一致性，加強(qiáng)了IP數(shù)據(jù)報的安全，從而使得基于SIP的VoIP在網(wǎng)絡(luò)層的安全得到了保證，進(jìn)而提高了整個應(yīng)用的安全性。

3）利用VPN技術(shù)增強(qiáng)VoIP的安全性

    一般來說，防火墻、加密是信息安全最行之有效的方法。虛擬專用網(wǎng)（VPN）技術(shù)則綜合了這兩種方法的優(yōu)點，可以在IP網(wǎng)和VoIP網(wǎng)關(guān)之間加上網(wǎng)關(guān)型VPN或在IP網(wǎng)和移動主機(jī)間加上主機(jī)型VPN來增強(qiáng)VoIP的安全性。

    VPN是利用開放性網(wǎng)絡(luò)作為信息傳輸?shù)拿襟w，通過加密、認(rèn)證、封裝，以及密鑰交換技術(shù)在公網(wǎng)上開辟一條隧道，保證合法用戶之間的安全通信。利用VPN的安全機(jī)制來保證VoIP的安全，不但可為用戶提供安全的語音服務(wù)，而且可充分利用企業(yè)現(xiàn)有的網(wǎng)絡(luò)設(shè)施，降低企業(yè)的營運(yùn)成本。

    VPN的安全機(jī)制是通過隧道技術(shù)來實現(xiàn)的。利用隧道技術(shù)，將待傳輸?shù)脑夹畔⑦M(jìn)行加密和協(xié)議封裝處理，經(jīng)過（PPTP、L2TP或IPSec）封裝后的數(shù)據(jù)包，只有源端和目的端的用戶能夠?qū)λ淼乐械那短仔畔⑦M(jìn)行解釋和處理，而對其他用戶是毫無意義的，從而加強(qiáng)了信息的安全性。

    4）將VoIP網(wǎng)絡(luò)和數(shù)據(jù)傳輸網(wǎng)絡(luò)隔離

    這里所說的隔離并不是指物理上的隔離，而是指將所有的VoIP終端放到一個獨立的虛擬局域網(wǎng)（VLAN）中，同時限制無關(guān)的PC終端進(jìn)入該網(wǎng)段。把VoIP終端的IP地址與其媒體訪問控制（MAC）地址綁定，同時配合VLAN劃分，把IP語音設(shè)備和數(shù)據(jù)網(wǎng)從邏輯上隔離，從而起到隔離病毒和防止攻擊的目的。配合數(shù)據(jù)網(wǎng)絡(luò)的QoS設(shè)定，將有助于保護(hù)VoIP語音系統(tǒng)，提高話音質(zhì)量。

    5、結(jié)束語

    目前，隨著VoIP的廣泛應(yīng)用，對其安全問題的研究日益受到重視。VoIP的安全問題將越來越成為制約其推廣應(yīng)用的瓶頸，安全性的解決已經(jīng)成為決定VoIP能否進(jìn)入成熟商業(yè)應(yīng)用的關(guān)鍵因素。因此，應(yīng)進(jìn)一步加強(qiáng)VoIP網(wǎng)絡(luò)安全研究，并結(jié)合VoIP通信應(yīng)用的特點，不斷完善VoIP應(yīng)用安全體系。