Триколор 

Обеспечение защиты информации в ip телефонии. Информационная безопасность в VoIP. Атаки на абонентские пункты

IP-телефония? Ее тоже атакуют!

Принцип действия

Принцип действия технологии IP-телефонии прост. Центральным ее компонентом является сервер (шлюз), который отвечает за соединение телефонной и IP сетей, т.е. он подключен как к телефонной сети и может дозвониться до любого обычного телефона, так и к сети передачи данных (например, Internet) и может получить доступ к любому компьютеру. В функции данного устройства входят:

    Ответ на вывоз вызывающего абонента

    Установление соединение с удаленным шлюзом и вызываемым абонентом

    Оцифровка (кодирование), сжатие, разбиение на пакеты и восстановление сигнала

Данный шлюз (например, Cisco Catalyst 4000 Access Gateway Module или Cisco VG200) на вход принимает обычный телефонный сигнал, оцифровывает его (если сигнал не цифровой) и проводит сжатие полученных данных, после чего передает в IP-сеть в виде обычных пакетов (но не очень большого размера). На другом конце шлюз восстанавливает сигнал в обратном порядке. Данный компонент может и не использоваться, если вы не планируете интегрировать свои IP-телефоны в телефонную сеть общего пользования (см. рис.1).

Для того чтобы можно было построить распределенную сеть IP-телефонии необходимо наличие диспетчера, который отвечает за распределение вызовов между шлюзами (например, Cisco CallManager). Помимо этой задачи диспетчер проводит аутентификацию и авторизацию абонентов, а также обладает интерфейсом к биллинговой системе.

Для удобства администрирования большого числа удаленных шлюзов и диспетчеров может использоваться специальное программное обеспечение, называемое монитором. Ну и, наконец, последним обязательным элементом сети IP-телефонии является абонентский пункт, который может быть реализован как программным (например, Cisco IP SoftPhone), так и аппаратным способом (например, Cisco IP Phone, подключаемые напрямую к Ethernet-порту коммутатора). Причем в первом случае звонки можно осуществлять даже через домашний компьютер, оснащенный звуковой картой и микрофоном, а во втором случае, в качестве абонентского пункта выступает т.н. IP-телефон. Еще одним компонентом архитектуры IP-телефонии можно назвать специализированные пользовательские приложения, возникшие благодаря интеграции голоса, видео и данных (call-центры, системы унифицированной обработки сообщений).

Зачем атакуют IP-телефонию?

Сети IP-телефонии – хорошая цель для хакеров. Некоторые из них могут подшутить над вами, послав вам голосовое сообщение от имени руководства компании. Кто-то может захотеть получить доступ к голосовому почтовому ящику вашего руководства или даже захочет перехватить голосовые данные о финансовых сделках, которыми обмениваются сотрудники финансового департамента или бухгалтерии. Ваши конкуренты могут захотеть подорвать вашу репутацию путем выведения из строя шлюзов и диспетчеров, тем самым, нарушая доступность телефонных услуг для ваших абонентов, что, в свою очередь, может также привести к нанесению ущерба бизнесу ваших клиентов. Существуют и другие причины, например, звонки за чужой счет (кража сервиса).

Возможные угрозы

Главная проблема с безопасностью IP-телефонии в том, что она слишком открыта и позволяет злоумышленникам относительно легко совершать атаки на ее компоненты. Несмотря на то, что случаи таких нападений практически неизвестны, они могут быть при желании реализованы, т.к. атаки на обычные IP-сети практически без изменений могут быть направлены и на сети передачи оцифрованного голоса. С другой стороны, похожесть обычных IP-сетей и сетей IP-телефонии подсказывает нам и пути их защиты, но об этом чуть дальше.

Атаки на обычную телефонию применимы и для ее IP-родственницы - фонарь.

IP-телефония, являясь прямой родственницей обычной телефонии и IP-технологии, вобрала в себя не только их достоинства, но и их недостатки. Т.е. атаки, присущие обычной телефонии, также могут быть применены и для ее IP-составляющей. Перечислю некоторые из них, часть их которых я рассмотрю более подробно:

    Подслушивание телефонных переговоров

    Отказ в обслуживании

    Подмена номера

    Кража сервисов

    Неожидаемые вызовы

    Несанкционированное изменение конфигурации

    Мошенничество со счетом.

Перехват данных

Перехват данных – самая большая проблема, как обычной телефонии, так и ее IP-родственницы.

Однако в последнем случае эта опасность намного выше, т.к. злоумышленнику уже не надо иметь физический доступ к телефонной линии. Ситуацию ухудшает еще и тот факт, что множество протоколов, построенных на базе стека TCP/IP, передают данные в открытом виде. Таким грехом страдают HTTP, SMTP, IMAP, FTP, Telnet, SQL*net и, в том числе, протоколы IP-телефонии. Злоумышленник, который смог перехватить голосовой IP-трафик (а он по умолчанию между шлюзами не шифруется) может без труда восстановить исходные переговоры. Для этого существуют даже автоматизированные средства. Например, утилита vomit (Voice Over Misconfigured Internet Telephones), которая конвертирует данные, полученные в результате перехвата трафика с помощью свободно распространяемого анализатора протоколов tcpdump, в обычный WAV-файл, прослушиваемый с помощью любого компьютерного плейера. Эта утилита позволяет конвертировать голосовые данные, переданные с помощью IP-телефонов Cisco и сжатые с помощью кодека G.711. Мало того, помимо несанкционированного прослушивания злоумышленники могут повторно передать перехваченные голосовые сообщения (или их фрагменты) для достижения своих целей.

Однако сразу хочу отметить, что перехват голосовых данных - не такая простая задача, как кажется на первый взгляд. Злоумышленник должен иметь информацию об адресах шлюзов или абонентских пунктов, используемых VoIP-протоколах (например, H.323) и алгоритмах сжатия (например, G.711). В противном случае, злоумышленнику будет трудно настроить ПО для перехвата трафика или объем перехваченных данных и время для их анализа превысит все допустимые пределы.

Перехват данных может быть осуществлен как изнутри корпоративной сети, так и снаружи. Квалифицированный злоумышленник, имеющий доступ к физической среде передаче данных, может подключить свой IP-телефон к коммутатору и таким образом подслушивать чужие переговоры. Он также может изменить маршруты движения сетевого трафика и стать центральным узлом корпоративной сети через который проходит интересующий его трафик. Причем, если во внутренней сети вы можете с определенной долей вероятности обнаружить несанкционированно подключенное устройство, перехватывающее голосовые данные, то во внешней сети обнаружить ответвления практически невозможно. Поэтому любой незашифрованный трафик, выходящий за пределы корпоративной сети, должен считаться небезопасным.

Отказ в обслуживании

Традиционная телефонная связь всегда гарантирует качество связи даже в случае высоких нагрузок, что не является аксиомой для IP-телефонии. Высокая нагрузка на сеть, в которой передаются оцифрованные голосовые данные, приводит к существенному искажению и даже пропаданию части голосовых сообщений. Поэтому одна из атак на IP-телефонию может заключаться в посылке на сервер IP-телефонии большого числа "шумовых" пакетов, которые засоряют канал передачи данных, а в случае превышения некоторого порогового значения могут даже вывести из строя часть сети IP- телефонии (т.е. атака "отказ в обслуживании"). Что характерно, для реализации такой атаки нет необходимости "изобретать велосипед" - достаточно использовать широкие известные DoS-атаки Land, Ping of Death, Smurf, UDP Flood и т.д. Одним из решений этой проблемы является резервирование полосы пропускания, которого можно достичь с помощью современных протоколов, например, RSVP. Более подробно способы защиты будут рассмотрены далее.

Отказ в обслуживании - серьезная проблема для устройств IP-телефонии. - фонарь

Подмена номера

Для связи с абонентом в обычной телефонной сети вы должны знать его номер, а в IP-телефонии – роль телефонного номера выполняет IP-адрес. Следовательно, возможна ситуация, когда злоумышленник, используя подмену адреса, сможет выдать себя за нужного вам абонента. Именно поэтому задача обеспечения аутентификации не обойдена вниманием во всех существующих VoIP- стандартах и будет рассмотрена чуть позже.

Атаки на абонентские пункты

Необходимо понимать, что абонентские пункты, реализованные на базе персонального компьютера являются менее защищенными устройствами, чем специальные IP-телефоны. Этот тезис также применим и к любым другим компонентам IP-телефонии, построенным на программной основе. Это связано с тем, что на такие компоненты можно реализовать не только специфичные для IP- телефонии атаки. Сам компьютер и его составляющие (операционная система, прикладные программы, базы данных и т.д.) подвержены различным атакам, которые могут повлиять и на компоненты IP-телефонии. Например, Internet-черви Red Code, Nimda, различные троянцы и вирусы, DoS-атаки и их распределенные модификации – все это способно, если не вывести из строя голосовую IP-инфраструктуру, то существенно нарушить ее функционирование. При этом, даже если в самом ПО не найдено уязвимостей (до поры до времени), то используемые им другие программные компоненты третьих фирм (особенно широко известные) могут снизить общую защищенность до нуля. Ведь давно известно общее правило - "защищенность всей системы равна защищенности самого слабого ее звена". Для примера можно привести Cisco CallManager, который использует для своего функционирования Windows 2000 Server, MS Internet Information Server и MS SQL Server, каждый из которых обладает своим букетом дыр.

Атаки на диспетчеры

Злоумышленники могут атаковать и узлы (Gatekeeper в терминах H.323 или Redirect server в терминах SIP), которые хранят информацию о разговорах пользователей (имена абонентов, время, продолжительность, причина завершения звонка и т.д.). Это может быть сделано, как с целью получения конфиденциальной информации о самих разговорах, так и с целью модификации и даже удаления указанных данных. В последнем случае биллинговая система (например, у оператора связи) не сможет правильно выставлять счета своим клиентам, что может нарушить функционирование или нанести ущерб всей инфраструктуре IP-телефонии.

Стандарты IP-телефонии и механизмы их безопасности

Отсутствие единых принятых стандартов в данной области (см. рис.2) не позволяет разработать и универсальные рекомендации по защите устройств IP-телефонии. Каждая рабочая группа или производитель по-своему решает задачи обеспечения безопасности шлюзов и диспетчеров, что приводит к необходимости тщательного их изучения перед выбором адекватных мер по защите.

Безопасность H.323

H.323 - протокол, который позволяет построить VoIP-систему от начала и до конца. H.323 включает в себя ряд спецификаций, в т.ч. и H.235, которая реализует некоторые механизмы безопасности (аутентификацию, целостность, конфиденциальность и невозможность отказа от сообщений) для голосовых данных.

Аутентификация в рамках стандарта H.323 может быть реализована как с помощью алгоритмов симметричной криптографии (в этом случае не требуется никакого предварительного обмена между взаимодействующими устройствами и не так интенсивно нагружается центральный процессор), так и с помощью сертификатов или паролей. Кроме того, спецификация H.235 позволяет использовать в качестве механизма аутентификации IPSec, который также рекомендуется к применению и в других стандартах IP-телефонии.

После установки защищенного соединения, которое происходит через 1300 tcp-порт, узлы, участвующие в обмене голосовыми данными, обмениваются информацией о методе шифрования, которое может быть задействовано на транспортном (шифрование пакетов RTP-протокола) или сетевом (с помощью IPSec) уровне.

Безопасность SIP

Данный протокол, похожий на HTTP и используемый абонентскими пунктами для установления соединения (не обязательно телефонного, но и, например, для игр), не обладает серьезной защитой и ориентирован на применение решений третьих фирм (например, PGP). В качестве механизма аутентификации RFC 2543 предлагает несколько вариантов и, в частности, базовую аутентификацию (как в HTTP) и аутентификацию на базе PGP. Пытаясь устранить слабую защищенность данного протокола, Майкл Томас из компании Cisco Systems разработал проект стандарта IETF, названный "SIP security framework", который описывает внешние и внутренние угрозы для протокола SIP и способы защиты от них. В частности, к таким способам можно отнести защиту на транспортном уровне с помощью TLS или IPSec. Кстати, компания Cisco в своей архитектуре безопасности корпоративных сетей SAFE, очень большое внимание уделяет практическим вопросам защиты IP- телефонии.

Безопасность MGCP

Стандарт MGCP, определенный в RFC 2705 и неприменяемый на оконечных устройствах (шлюзы MGCP могут работать как с компонентами, поддерживающими H.323, так и с компонентами, поддерживающими SIP), использует для защиты голосовых данных протокол ESP спецификации IPSec. Может также использоваться и протокол AH (но только не в сетях IPv6), который обеспечивает аутентификацию и целостность данных (connectionless integrity) и защиту от повторений, передаваемых между шлюзами. В то же время, протокол AH не обеспечивает конфиденциальности данных, которая достигается применением ESP (наряду с другими тремя защитными функциями).

Обеспечение безопасности

Выбор правильной топологии

Не рекомендуется использовать для VoIP-инфраструктуры концентраторы, которые облегчают злоумышленникам перехват данных. Кроме того, т.к. оцифрованный голос обычно проходит по той же кабельной системе и через тоже сетевое оборудование, что и обычные данные, стоит правильно разграничить между ними информационные потоки. Это, например, может быть сделано с помощью механизма VLAN (однако не стоит полагаться только на них). Сервера, участвующие в инфраструктуре IP-телефонии желательно размещать в отдельном сетевом сегменте (см. рис.3), защищенном не только с помощью встроенных в коммутаторы и маршрутизаторы механизмов защиты (списки контроля доступа, трансляция адресов и обнаружение атак), но и с помощью дополнительно установленных средств защиты (межсетевые экраны, системы обнаружения атак, системы аутентификации и т.д.).

Вы должны помнить, что передача голосовых данных по вашей корпоративной сети накладывает на ее проектирование особый отпечаток. Большое внимание вы должны уделить вопросам высокой доступности и отказоустойчивости. Если пользователи еще могут привыкнуть к непродолжительному выходу из строя Web-сервера или почтовой системы, то привыкнуть к нарушению телефонной связи они не смогут. Обычная телефонная сеть так редко выходит из строя, что многие пользователи закономерно наделяют свойством безотказности и ее IP-сестру. Поэтому сбой в работе VoIP- инфраструктуры может подорвать к ней доверие со стороны пользователей, что в свою очередь может привести к отказу от ее использования и нанесению материального ущерба ее собственнику.

Физическая безопасность

Желательно запретить неавторизованный доступ пользователей к сетевому оборудованию, в т.ч. и коммутаторам, и по возможности все неабонентское оборудование разместить в специально оборудованных серверных комнатах. Это позволит предотвратить несанкционированное подключение компьютера злоумышленника. Кроме того, следует регулярно проверять наличие несанкционированно подключенных к сети устройств, которые могут быть "врезаны" напрямую в сетевой кабель. Для определения таких устройств можно использовать различные методы, в т.ч. и сканеры (например, Internet Scanner или Nessus), дистанционно определяющие наличие в сети "чужих" устройств.

Контроль доступа

Еще один достаточно простой способ защиты инфраструктуры VoIP – контроль MAC-адресов. Не разрешайте IP-телефонам с неизвестными MAC-адресами получать доступ к шлюзам и иным элементам IP-сети, передающей голосовые данные. Это позволит предотвратить несанкционированное подключение "чужих" IP-телефонов, которые могут прослушивать ваши переговоры или осуществлять телефонную связь за ваш счет. Разумеется, MAC-адрес можно подделать, но все-таки не стоит пренебрегать такой простой защитной мерой, которая без особых проблем реализуется на большинстве современных коммутаторов и, даже, концентраторов. Узлы (в основном, шлюзы, диспетчеры и мониторы) должны быть настроены таким образом, чтобы блокировать все попытки несанкционированного доступа к ним. Для этого можно воспользоваться как встроенными в операционные системы возможностями, так и продуктами третьих фирм. А так как мы работаем в России, то я рекомендую применять средства, сертифицированные в Гостехкомиссии России, тем более что таких средств немало.

VLAN

Технология виртуальных локальных сетей (VLAN) обеспечивает безопасное разделение физической сети на несколько изолированных сегментов, функционирующих независимо друг от друга. В IP телефонии эта технология используется для отделения передачи голоса от передачи обычных данных (файлов, e-mail и т.д.). Диспетчеры, шлюзы и IP-телефоны помещают в выделенную VLAN для передачи голоса. Как я уже отметил выше, VLAN существенно усложняет жизнь злоумышленникам, но не снимает всех проблем с подслушиванием переговоров. Существуют методы, которые позволяют злоумышленникам перехватывать данные даже в коммутированной среде.

Шифрование

Шифрование должно использоваться не только между шлюзами, но и между IP-телефоном и шлюзом. Это позволит защитить весь путь, который проходят голосовые данные из одного конца в другой. Обеспечение конфиденциальности не только является неотъемлемой частью стандарта H.323, но и реализовано в оборудовании некоторых производителей. Однако этот механизм практически никогда не задействуется. Почему? Потому что качество передачи данных является первоочередной задачей, а непрерывное зашифрование/расшифрование потока голосовых данных требует времени и вносит зачастую неприемлемые задержки в процесс передачи и приема трафика (задержка в 200 . 250 мсек может существенно снизить качество переговоров). Кроме того, как уже было сказано выше, отсутствие единого стандарта не позволяет принять всеми производителями единый алгоритм шифрования. Однако справедливости ради надо сказать, что сложности перехвата голосового трафика пока позволяют смотреть на его шифрование сквозь пальцы.

Кстати, если вы все-таки решитесь использовать шифрование, то помните, что, шифруя голосовые данные, вы скрываете их не только от злоумышленника, но и от средств обеспечения контроля качества (QoS), которые не смогут предоставить им соответствующую полосу пропускания и приоритетное обслуживание. Устранив одну проблему (беззащитность), перед вами встает другая (качество обслуживания). И можно быть уверенным, что при таком раскладе вы предпочтете решение второй проблемы, пренебрегая решением первой. Кстати, шифровать можно тоже не все подряд. Сигнальные протоколы, используемые в IP-телефонии, шифровать не рекомендуется, т.к. в этом случае вы зашифруете и всю служебную информацию, необходимую для поддержания работоспособности всей сети.

Но не стоит сразу отказываться от шифрования - все-таки обезопасить свои переговоры также необходимо. Поэтому стоит с умом подходить к шифрованию VoIP-данных. Например, компания Cisco рекомендует вместо туннеля GRE или применения VPN-концентраторов Cisco VPN 3000 использовать команду Crypto в операционной системе IOS своего оборудования, что позволяет защитить данные при сохранении качества обслуживания. Кроме того, можно использовать выборочное шифрование только для определенных полей в VoIP-пакетах.

Межсетевой экран

Для защиты корпоративной сети обычно используется межсетевые экраны, которые с тем же успехом

могут быть использованы и для защиты VoIP-инфраструктуры. Единственное, что необходимо сделать - добавить ряд правил, учитывающих топологию сети, местоположение установленных компонентов IP-телефонии и т.д. Например, доступ к Cisco CallManager из Internet или демилитаризованной зоны обычно блокируется, однако в случае использования Web- ориентированного управления такой доступ должен быть разрешен, но только для 80-го порта и только для ограниченного диапазона внешних адресов. А для защиты SQL-сервера, входящего в состав Cisco CallManager, можно запретить доступ со всех портов кроме 1433-го.

Кстати, существует два типа межсетевых экранов, которые могут быть использованы для защиты компонентов IP-телефонии. Первый из них, корпоративный, ставится на выходе из корпоративной сети и защищает сразу все ее ресурсы. Примером такого МСЭ является CiscoSecure PIX Firewall. Второй тип - персональный, защищающий только один конкретный узел, на котором может стоять абонентский пункт, шлюз или диспетчер. Примерами таких персональных МСЭ являются RealSecure Desktop Protector или BlackICE PC Protector. Кроме того, некоторые операционные системы (например, Linux или Windows 2000) имеют встроенные персональные межсетевые экраны, что позволяет задействовать их возможности для повышения защищенности инфраструктуры VoIP. В зависимости от используемого стандарта IP-телефонии применение межсетевых экранов может повлечь за собой разные проблемы. Например, после того, как с помощью протокола SIP абонентские пункты обменялись информацией о параметрах соединения, все взаимодействие осуществляется через динамически выделенные порты с номерами больше 1023. В этом случае МСЭ заранее "не знает" о том, какой порт будет использован для обмена голосовыми данными и, как следствие, будет такой обмен блокировать. Поэтому межсетевой экран должен уметь анализировать SIP-пакеты с целью определения используемых для взаимодействия портов и динамически создавать или изменять свои правила. Аналогичное требование предъявляется и для других протоколов IP-телефонии.

Еще одна проблема связан с тем, что не все МСЭ умеют грамотно обрабатывать не только заголовок протокола IP-телефонии, но и его тело данных, т.к. зачастую важная информация находится внутри него. Например, информация об адресах абонентов в протоколе SIP находится именно в теле данных. Неумение межсетевого экрана "вникать в суть" может привести к невозможности обмена голосовыми данными через межсетевой экран или "открытии" в нем слишком большой дыры, которой могут воспользоваться злоумышленники.

Аутентификация

Различные IP-телефоны поддерживают механизмы аутентификации, которые позволяют воспользоваться его возможностями только после предъявления и проверки пароля или персонального номера PIN, разрешающего пользователю доступ к IP-телефону. Однако надо заметить, что данное решение не всегда удобно для конечного пользователя, особенно в условиях ежедневного использования IP-телефона. Возникает обычное противоречие "защищенность или удобство".

RFC 1918 и трансляция адресов

Не рекомендуется использовать для VoIP IP-адреса, доступные из Internet, - это существенно снижает общий уровень безопасность инфраструктуры. Поэтому при возможности используйте адреса, указанные в RFC 1918 (10.x.x.x, 192.168.x.x и т.д.) и немаршрутизируемые в Internet. Если это невозможно, то необходимо задействовать на межсетевом экране, защищающем вашу корпоративную сеть, механизм трансляции адресов (network address translation, NAT).

Системы обнаружения атак

Выше уже было рассказано о некоторых атаках, которые могут нарушить работоспособность VoIP- инфраструктуры. Для защиты от них можно использовать хорошо себя зарекомендовавшие и известные в России средства обнаружения атак (intrusion detection system), которые не только своевременно идентифицируют нападения, но и блокируют их, не давая нанести вред ресурсам корпоративной сети. Такие средства могут защищать как целые сетевые сегменты (например, RealSecure Network Sensor или Snort), так и отдельные узлы (например, CiscoSecure IDS Host Sensor или RealSecure Server Sensor).

Несмотря на солидный возраст технологии VoIP и ее широкое распространение в корпоративном и государственном секторе, использование данной технологии вызывает ряд серьезных проблем, связанных с безопасностью: относительно несложно установить прослушивание VoIP-звонков, относительно несложно изменить содержание VoIP-звонков, система VoIP подвержена DoS-атакам.

Существующие решения проблемы

Использование патентованных (закрытых) аудио кодеков

Некоторые производители предлагают решать вопросы безопасности IP-телефонии путем использования закрытых аудио кодеков. Вся защита строится на том, что злоумышленнику неизвестен алгоритм кодирования звука, но как только алгоритм становится известным, система перестает быть безопасной. Современные тенденции таковы, что большинство производителей использует открытые аудио кодеки. Таким образом, данный способ защиты потерял свою эффективность.

Использование VLAN

При построении системы IP-телефонии принято выделять отдельную сеть VLAN, к которой подключаются все IP-телефоны. Данный способ обладает рядом недостатков:

  • Если злоумышленник получит доступ к VLAN системы IP-телефонии, то ему будет доступны для прослушивания все телефонные переговоры.
  • Данное решение никак не может обеспечить безопасность системы IP-телефонии, построенной между двумя и более территориально распределенными офисами.

Шифрование и криптографическая аутентификация VoIP

Данный способ обеспечения безопасности на сегодняшний день является наиболее надежным. Защита современных систем IP-телефонии может быть реализована с помощью различных протоколов таких как SRTP, ZRTP и IPSec. Однако, каждый из этих протоколов обладает рядом существенных недостатков:

  • SRTP, ZRTP используют «слабую» криптографию — ключи шифрования недостаточной длины или некриптостойкие алгоритмы шифрования.
  • IPSec — требует проведения предварительного обмена ключами, часто блокируется различными интернет-провайдерами, в ряде случаев в силу ограничения технологии не позволяет установить защищенное соединение.
  • Помимо частных недостатков, все упомянутые способы криптографической защиты IP-телефонии обладают общим недостатком — отсутствие сертификатов ФСБ РФ и ФСТЭК РФ. Из этого следует, что существующие способы защиты IP-телефонии нельзя использовать в государственных учреждениях.

Решение обеспечения безопасности VoIP от ОАО «ИнфоТеКС»

Основой защиты VoIP является VPN-решение ViPNet CUSTOM, которое обладает следующим функционалом:

  • Шифрование и фильтрация сигнального и голосового трафика всех участников сети IP-телефонии.
  • Обеспечивает беспрепятственное прохождение VoIP-трафика через устройства NAT.
  • Поддержка виртуальных адресов, в том числе в протоколах SIP, H.323 и Cisco SCCP (Skinny Client Control Protocol), является решением проблемы пересечения пространства IP-адресов удаленных офисов.

Преимущества

  • Позволяет организовать защиту гетерогенных систем IP-телефонии.
  • Позволяет организовать защищенное взаимодействие между двумя и более локальными сетями с пересекающейся IP-адресацией без изменения топологии этих сетей.
  • Обеспечивает защиту мобильных пользователей IP-телефонии.
  • Обеспечивает прохождении VPN-трафика в случае использования NAT или противодействия со стороны провайдера.
  • Наличие сертификатов ФСБ и ФСТЭК.
  • Tutorial

Привет, Хабр!
В этот раз хочу рассказать о технологиях шифрования VoIP звонков, о том какую защиту дают разные подходы и как организовать наиболее защищенную от прослушивания голосовую связь с технологическими гарантиями безопасности.
В статье я постараюсь доступно изложить особенности таких технологий как SIP\TLS, SRTP и ZRTP. И продемонстрирую конкретные схемы использования на примере нашего сервиса ppbbxx.com

Немного теории

Любой VoIP вызов состоит из 2-х основных составляющих: обмена сигнальной информацией и передачи между пользователями media потоков с голосом и/или видео.
На первом этапе, в процессе обмена сигнальной информацией, клиенты напрямую либо посредством сервера договариваются между собой о параметрах устанавливаемого вызова. Если связь устанавливается с помощью сервера, на основе сигнальной информации сервер авторизует клиента, устанавливает кто и кому звонит, проводит маршрутизацию и коммутацию. Благодаря данным сигнального протокола клиенты и сервер согласуют метод шифрования, используемые media кодеки, обмениваются ip адресами и номерами портов, где ожидается приём media и тд. Происходит это по таким протоколам как SIP, XMPP и прочим.
Непосредственно «разговор», то есть обмен между клиентами голосовыми данными, как правило происходит по протоколу RTP. Данные внутри передаются в том виде, о котором договорились клиенты и сервер на «сигнальном» этапе. Обмен голосом возможен как напрямую между клиентами, так и через сервер - посредник. Во втором случае сервер может помочь клиентам с прохождением NAT и в выборе кодеков.

Итак, что же собой представляет шифрованный VoIP вызов? Дальше речь пойдёт о SIP протоколе как наиболее популярном.
Как мы уже выяснили, звонок состоит из сигнальной и media частей, каждая из которых может быть зашифрована отдельно с применением специальных методов-протоколов. Для шифрования сигнальной информации применяется SIP\TLS, для шифрования «голоса» ZRTP и SRTP протоколы.

SIP\TLS - грубо говоря, аналог HTTPS для обычного SIP. Протокол позволяет клиенту убедиться, что он общается с нужным сервером при условии, что клиент доверяет предоставленному сервером сертификату. Подробнее можно прочитать на википедии

SRTP и ZRTP - это два разных способа шифровать RTP потоки. Принципиальное отличие между ними в том, что обмен ключами для SRTP происходит в сигнализации (на первой сигнальной стадии установки вызова). А для ZRTP непосредственно в начале обмена RTP пакетами (во второй, «медийной» части) по специальному протоколу , основанному на методе криптографии Диффи - Хеллмана.
Важно то, что для SRTP обязательным условием надёжности шифрования звонка является одновременное использование SIP\TLS + SRTP, иначе злоумышленнику не составит труда получить ключи (которые будут переданы по не шифрованному SIP) и прослушать разговор. В то время как для ZRTP это не важно, RTP поток будет надёжно зашифрован не зависимо от того, шифруется сигнализация или нет. Более того протокол умеет определять наличие «man in the middle» (в том числе серверов услуг!) между непосредственно говорящими клиентами. Это позволяет быть уверенным в том, что разговор невозможно прослушать, по крайней мере с точки зрения прослушивания сети/среды передачи данных.

Схема подключения SIP клиентов с различными настройками шифрования:

Можно выделить следующие схемы установки шифрованного звонка:

  1. Оба пользователя используют SIP\TLS и SRTP. В этом случае обмен ключами для шифрования media происходят по защищенному сигнальному протоколу. Предполагается доверие к серверу, участвующему в установке связи. Посторонние не могут получить доступ ни к сигнальной информации, ни к голосовым данным. Недостаток в том, что пользователь не уведомлен на уровне протокола (клиента) и не убежден, что второй пользователь также использует шифрованное подключение к серверу.
  2. Оба пользователя используют ZRTP, голос при этом проходит через сервер. В этом случае сервер определяется ZRTP протоколом как Trusted MitM (man in the middle). Обмен ключами происходит по алгоритму, основанному на методе Диффи - Хеллмана (что и гарантирует невозможность прослушки) по протоколу RTP. Если при этом используется защищенный SIP\TLS - посторонние так же не могут получить доступ ни к сигнальной информации, ни к «голосу». Как и в первом варианте предполагается доверие к коммутирующему серверу, но в отличии от него для надёжного шифрования голоса не требуется обязательное использование защищенного SIP\TLS. Также, в отличии от первого варианта, каждый пользователь видит, что разговор шифруется до сервера с обоих сторон, а также то, что оба подключены к одному и тому же (доверенному) серверу.
  3. Оба пользователя используют ZRTP, но media устанавливается напрямую между клиентами. Так как обмен ключами проходит напрямую между клиентами, даже сервер, осуществивший коммутацию, не может прослушать разговор. В этом случае оба клиента отображают информацию о том, что установлен безопасный прямой сеанс связи. Убедиться в этом можно сверив SAS (короткие строки авторизации) - они будут одинаковыми. Если требуется скрыть от посторонних сигнальную информацию, следует использовать SIP\TLS. Это самый безопасный вариант, но в этом случае сервер не сможет выполнять многие функции, которые в других ситуациях выполняются на нем, к примеру запись непосредственно разговора, перекодирование голоса для клиентов с разными настройками аудиокодеков и тд.
  4. Один пользователь использует первый метод, описанный выше, а другой - второй. В этом случае так же требуется доверие к серверу. Сигнальная информация шифруется с помощью SIP\TLS. Для пользователя с ZRTP протокол сообщит, что шифрованное соединение установлено до сервера (End at MitM). Используется ли шифрование с другой стороны на уровне протокола узнать не удастся.

На этом закончим с теорией и перейдём к практике! Настроим собственный SIP сервер, создадим SIP пользователей, установим SIP клиенты и научимся совершать шифрованные звонки c помощью бесплатного сервиса облачной телефонии ppbbxx.com

Настройка сервера



Для начала нужно создать собственный сервер. Для этого нужно зайти на сайт услуги ppbbxx.com , пройти простую регистрацию и войти в интерфейс настроек.

Первым делом пройдём в раздел "Internal network -> Domains " и создадим собственный домен, чтобы не быть ограниченным в выборе имён SIP пользователей. Можно припарковать свой домен либо создать личный субдомен в одной из зон сервиса.
Далее необходимо в разделе "Internal network -> Sip Users " создать SIP пользователей и настроить некоторые параметры их клиентов. Имена SIP пользователей могут быть произвольными, но так как на программных и аппаратных телефонах удобнее набирать цифры, мы будем заводить идентификаторы вида [email protected] и подобные. Я завёл 1000, 1001, 1002, 1003. После создания SIP идентификатора нужно не забыть нажать кнопку «Сохранить». Если никаких недозаполненных форм в интерфейсе настроек не осталось, система не будет ругаться и покажет лог изменений со статусом «Done».

Дальше необходимо настроить используемые кодеки и методы шифрования. Для этого нужно нажать значок с шестерёнкой слева от SIP идентификатора. Я планирую использовать SIP клиент (CSipSimple) на смартфоне и хочу использовать метод шифрования ZRTP поэтому в "basic " вкладке настроек выбираю кодеки G729 и SILK, а во вкладке "protection " ZRTP метод.


Вы можете выбрать другие параметры. Важно только заметить, что настройки для SIP аккаунта в интерфейсе услуги должны соответствовать настройкам в SIP клиенте. Это необходимо для обеспечения корректной связи между клиентами с разными настройками кодеков и шифрования. Так же не забываем сохранять созданную конфигурацию.

В целом, для настройки простейшей конфигурации этого достаточно. Можно настраивать SIP клиенты и звонить между ними, набирая их номера 1000, 1001, 1002, 1003. При желании к этому можно добавить общий SIP шлюз для звонков в телефонную сеть и настроить соответствующую маршрутизацию звонков. Но, в таком случае, это уже несколько иная схема использования услуги, которая требует скорее другого рода мер безопасности, нежели шифрование трафика до шлюза.

Перейдём к настройке SIP клиентов

Как я уже сказал, я планирую использовать CSipSimple на андроид смартфонах. Первым делом нужно установить клиент, используя стандартный Play Market, либо скачать на сайте производителя , который кстати открывает исходники своего клиента, что в отдельных случаях может иметь едва ли не сакральное значение. Установить нужно сам клиент и дополнительно кодеки. У меня установлены «CSipSimple», «Codec Pack for CSipSimple» и «G729 codec for CSipSimple». Последний платный и использовать его не обязательно, бесплатные SILK и OPUS обеспечивают достойное качество звонков по 3G сетям.

Запускаем CSipSimple и переходим в интерфейс настройки. Выбираем мастер «Вasic» и настраиваем, используя данные из веб интерфейса. Должно получиться так:

Далее в общих настройках CSipSimple в разделе "Медиа -> Аудиокодеки " нужно выбрать предпочитаемые кодеки. Для звонков через 3G я рекомендую использовать SILK, OPUS, iLBC, G729. Поскольку настройки в интерфейсе сервера и в интерфейсе клиента должны совпадать , а на сервере я выбрал SILK и G729, то в списке аудиокодеков CSipSimple я ставлю галочки только напротив этих кодеков, а остальные снимаю.
В разделе клиента "Сеть -> Безопасный протокол " нужно выбрать желаемые параметры шифрования. Я включаю только ZRTP. Остальное оставляю выключенным. При желании можно использовать SIP\TLS - нужно учитывать что сервер ожидает TLS соединения на 443-м порту. Это сделано специально для слишком умных операторов мобильной связи, блокирующих стандартные для VoIP порты.
Так же нужно учитывать, что SRTP и ZRTP не всегда совместимы и крайне желательно выбирать в клиенте только один из них.

Совершение звонков с использованием ZRTP

После того, как все настройки выполнены, совершим несколько звонков для того чтоб продемонстрировать работу CSipSimple в звонках между пользователями с различными настройками безопасности.

Сразу после выполнения инструкции звонок SIP пользователя 1001 пользователю 1000 будет выглядит таким образом.
CSipSimple показывает, что в звонке участвует MitM сервер, к которому подключены оба клиента. Параметр EC25 означает, что используется протокол Диффи-Хеллмана на эллиптических кривых с параметром 256 бит. AES-256 - алгоритм симметричного шифрования, который применяется. Статус ZRTP - Verifyed означает, что контрольная строка SAS подтверждена пользователем.

Изменим режим передачи медиа в настройках ppbbxx для обоих клиентов. Установка direct media = yes позволит передавать голос напрямую. В этом случае стороны видят одинаковые строки SAS, используется алгоритм симметричного шифрования Twofish-256. Использование ZRTP в этом режиме требует от клиентов намного большей свместимости и менее надежно с точки зрения установки связи, поскольку сервер не участвует в передаче данных. Обязательно использование одинаковых аудиокодеков на всех клиентах и корректная работа NAT.

Если у SIP пользователя 1001 шифрование не установлено, тогда как 1000 использует ZRTP, то второй клиент покажет, что зашифрованная передача голоса происходит только до сервера (End at MitM).

Резюмируем

Связь полностью защищенную от прослушивания организовать можно. Это сделать не сложно. Наиболее подходящий способ для этого - использование протокола IP-телефонии SIP и метода шифрования медиа данных ZRTP. Сервис

2015. SwitchRay представляет обновленное решение для защиты IP-АТС от фрода


Компания SwitchRay, ведущий поставщик VoIP решений для розничных и оптовых операторов связи, интернет-провайдеров, операторов проводной и беспроводной сети, объявил о доступности новой версии продукта SR-P7000 v1.1 для предотвращения мошенничества на IP-АТС. В отличие от других решений, SR-P7000 v1.1 является независимой и легко совместимой с любым софтсвичом платформой для защиты операторов от потери доходов, вызванной различными формами мошенничества, взломом и прочими нарушениями информационной безопасности.

2013. WebMoney Voice - приложение для безопасной VoIP связи


Платежная система WebMoney выпустила приложение WebMoney Voice (вернее это дополнительный модуль к мобильному клиенту системы), позволяющее проводить безопасные телефонные переговоры через IP-телефонию. WebMoney Voice кодирует данные с использованием специальных алгоритмов и практически исключает возможность перехвата и прослушивания переговоров третьими лицами в любых сетях передачи данных. При этом во время конфиденциального звонка качество звучания голоса собеседника не теряется. За пользование сервисом плата не взимается. В настоящее время приложение доступно для скачивания в Google Play для Android версии 3.0.52 и выше. Планируется выход версий и для других мобильных платформ.

2012. Телфин защищает корпоративные VoIP-коммуникации


Провайдер VoIP-услуг для бизнеса Телфин запустил новый сервис Телфин.VoiceVPN , который предназначен для защиты VoIP-коммуникаций. Дело в том, что технология VoIP предполагает передачу голоса по публичным интернет-каналам, а также в интранете, который не всегда как следует отгорожен от внешней сети. Поэтому, голосовой сигнал может быть перехвачен, и коммерческие секреты - украдены. Телфин.VoiceVPN позволяет и защитить внутреннюю сеть компании от прослушивания, и организовать безопасный канал между отдаленными офисами. Для этого в каждом офисе должен быть установлен VPN-маршрутизатор (который Телфин продает по 3200 руб). Еще 1000 рублей стоит подключение, а потом вы платите абонплату 500 руб/месяц.

2011. БЕЛТЕЛ будет продавать VoIP решения Polycom


Системный интегратор БЕЛТЕЛ объявляет о получении статуса авторизованного реселлера компании Polycom. Полученный статус позволяет компании пополнить свой ассортимент такими продуктами и решениями как аппаратные телефоны для работы с Microsoft Endpoint, голосовые решения на основе IP, а также решениями Video Border Proxy, созданными для предоставления безопасного удаленного доступа к функциям UC, VoIP и Video и обеспечения прохождения мультимедийных данных через корпоративные межсетевые экраны.

2010. PhoneUp повышает безопасность и контролируемость бизнеса


Компания БКС-АйТи представила новый модуль «Приоритет» для своего пакета PhoneUp , расширяющий полномочия определенных групп сотрудников по управлению звонками внутри IP сети, построенной на технологиях Cisco. С помощью нового модуля руководители или сотрудники службы безопасности компании получат возможность прослушивать разговоры путем незаметного подключения к телефону сотрудника, инициировать принудительное соединение с сотрудником (даже если его телефон занят), присоединяться к текущему разговору сотрудника, инициировать запись разговора сотрудника. Кроме нового модуля, пакет PhoneUp включает в себя модули для реализации единого телефонного справочника компании, видеонаблюдения и информирования сотрудников.

2009. WatchGuard XTM обеспечит безопасность IP-телефонии


Важность защиты VoIP коммуникаций от угроз в последнее время заметно растет, и эта тенденция будет только усиливаться, что обусловлено ежегодным ростом объемов VoIP-трафика. Компания WatchGuard Technologies представила новую версию системы обеспечения безопасности корпоративных ip-сетей WatchGuard XTM 8 Series , основными особенностями которой стали инструменты для защиты IP-телефонии. Система обеспечивает защиту VoIP, блокировку приложений мгновенного обмена сообщениями (IM) и P2P-приложений. Особенностью решений WatchGuard XTM 8 Series, кроме того, является обеспечение прикладной защиты для протоколов SIP и H.323, что позволяет маскировать коммерческие VoIP-системы и одновременно укреплять их для отражения атак по сбору директорий, незаконному доступу к проверке вводимых данных и других угроз для VoIP. Решение WatchGuard XTM 8 Series предназначено для крупных компаний, сети которых объединяют от 1 тыс. до 5 тыс. пользователей.

2009. В России проведут спецкурс по безопасности IP-телефонии

Учебный центр «Информзащита» анонсировал спецкурс по безопасности IP-телефонии, посвященный комплексным вопросам анализа защищенности и обеспечения безопасности IP-телефонии. Это уникальный для России курс, в котором рассматриваются современные подходы к построению инфраструктуры IP-телефонии, уязвимости и атаки на ее компоненты, методы защиты, системы мониторинга и методологии анализа защищенности VoIP-сети. Более 50% учебного времени будет отведено на практические работы, в ходе которых моделируются типовые атаки на инфраструктуру IP-телефонии и рассматривается методика использования защитных механизмов. Применяемая в процессе обучения технология виртуализации серверов и рабочих мест позволяет каждому специалисту выполнять практические работы в индивидуальной VoIP-сети. Курс ориентирован на администраторов информационной безопасности, системных и сетевых администраторов, ответственных за эксплуатацию VoIP-приложений, экспертов и аналитиков по вопросам компьютерной безопасности, определяющих требования к защищенности сетевых ресурсов и защите от утечки конфиденциальной информации по техническим каналам.

2009. Евровласти хотят прослушивать Skype

Агентство Евросоюза по координации национальных систем правосудия хочет получить возможность прослушивать системы ip-телефонии, в т.ч. Yahoo Messenger, InternetCalls, Skype. Сейчас деятельность этих voip-провайдеров не регулируется законодательством ЕС и США о прослушивании и хранении данных и, в отличие от телекоммуникационных компаний, они не обязаны сотрудничать с правоохранительными органами. К тому же, шифрование связи, например в Skype, практически делают невозможным его "насильное" прослушивание. В ближайшие недели состоится встреча законодателей стран ЕС по данному вопросу

2008. Cisco защитит унифицированные коммуникации

SIP-защита для унифицированных коммуникаций состоит в использовании протокола SIP в межсетевом экране Cisco IOS Firewall для защиты голосовой связи. Это новшество позволит компаниям принять концепцию распределенного предприятия, повысить производительность труда и минимизировать угрозы, связанные с передачей голоса. Это обновление превращает сетевые решения CISCO Self-Defending Network (самозащищающаяся сеть) в более широкое системное решение, обеспечивающее общую защиту сетей, а также самых разных оконечных устройств, приложений и контента.

2007. VoIP трудно прослушать

Широкое распространение VoIP-услуг приносит проблемы различным спецслужбам. Телефонные звонки по Skype практически невозможно отследить и прослушать, а если используется VPN, то задача усложняется в несколько раз, пишет Australian IT. Быстрое увеличение операторов IP-телефонии и появление доступных способов шифрования данных означает, что времена простого прослушивания телефонных разговоров прошли. Спецслужбы ведут работу в этом направлении, привлекая специалистов и расширяя свои технические возможности. Однако, размер оплаты труда таких специалистов и стоимость оборудования слишком высоки. В этом случае у правительства появляется искушение ввести правила, обязывающие VoIP-провайдеров использовать упрощенные технологии, что, в конечном итоге, может привести к ослаблению сетевой безопасности.

2007. Cisco: профессионалы ИТ-безопасности не боятся VoIP

Опрос, проведённый Vanson Bourne по заказу Cisco, показал, что вирусы стоят на первом месте в списке наиболее важных угроз. В 2007 году первенство им присвоили 55% опрошенных (против 27% в 2006). Несанкционированный доступ к данным назвали главной угрозой 33%, против 50% в прошлом году. Заботой номер один 38% профессионалов ИТ-безопасности назвали сохранность данных, а 33% - необходимость привести процессы в соответствие требованиям регулирующих органов. Ни один из респондентов не выразил «сильной озабоченности» по поводу безопасности VoIP, Asterisk или унифицированных систем связи (интернет плюс проводная связь). При этом половина (49%) согласилась, что при развёртывании IP-коммуникаций необходимо принимать во внимание соображения безопасности. Опрос был проведён среди 100 профессионалов ИТ-безопасности, отвечающих за защиту информации в своих компаниях со штатом более 1 тыс. человек.

2007. Компания Skype стремится повысить безопасность своего ПО

Популярный оператор пиринговой IP-телефонии Skype планирует заключить соглашение о сотрудничестве с компанией, специализирующейся на защите сетей мгновенных сообщений, FaceTime Communications. По данным информационного издания Silicon, Skype таким образом попытается дать больше инструментов контроля над сеансами IP-телефонии с тем, чтобы продвинуть свои услуги в бизнес-секторе. Ожидается, что за этим соглашением последуют ряд других, аналогичных сделок. Намерение Skype сделать свое ПО общедоступным инструментом делового общения, потребовало изменить отношение к проблемам IT-менеджеров предприятий, которые оказались не в состоянии контролировать трафик популярной телефонной системы. По официальным данным Skype приблизительно 30% из 171 млн. зарегистрированных пользователей принадлежат миру бизнеса.

2007. Специалисты по безопасности продолжают пугать будущими проблемами с IP-телефонией

Компании, специализирующиеся на обеспечении безопасности работы компьютеров в сетях, продолжают пугать мировое сообщество потенциальными угрозами, которые вскоре обрушатся на головы многочисленных пользователей IP-телефонии. Отсутствие давно обещанных проблем объясняют недостаточно серьезным развитием этого вида связи, но, опираясь на данные исследований, утверждающих, что к 2010 году число IP-телефонов в бизнесе вырастет более чем в 4 раза, специалисты по безопасности утверждают, что большинство фирм просто не готово к атакам на их VoIP-сети, пишет The Register. При этом производители систем защиты не скрывают, что находятся в ожидании стремительного роста рынка систем безопасности для IP-телефонии, и свои мрачные прогнозы объясняют желанием предупредить об опасности потенциальных клиентов заранее. Специалисты Symantec считают, что главные трудности VoIP-систем будут связаны с фишингом (phishing), Panda Software опасается распространения "червей" через трафик VoIP-модулей IM-клиентов или систем наподобие Skype, а представители ScanSafe утверждают, что VoIP-сети будут особо уязвимы для DoS-атак.

2006. Американские эксперты создают партнерскую группу по безопасности VoIP

Группа американских академиков и промышленных экспертов была недавно создана, чтобы исследовать проблемы безопасности, связанные с технологией VoIP. В партнерскую группу вошли Georgia Tech Information Security Center (GTISC), BellSouth и Internet Security Systems (ISS). Услуги связи переходят на интернет-платформы и значение безопасности повышается в условиях применения новых конвергентных технологий. Исследователи планируют проводить анализ защиты VoIP-протоколов и проблем с аутентификацией, заниматься моделированием VoIP-трафика и поведения устройств, защитой мобильных телефонов и VoIP-приложений. ISS и BellSouth предоставили 300 тыс. долларов на двухлетнюю исследовательскую программу, которая даст возможность GTISC разрабатывать и оценивать решения защиты, а ISS и BellSouth будут иметь доступ к результатам этих исследований.

2006. Session border controller поможет в защите VoIP

Развитие услуг IP-телефонии поднимает со всей остротой новый вопрос, имеющий корни в старых проблемах: о безопасности VoIP. Специалисты предсказывают, что уже к середине 2007 года взлом и вирусные атаки VoIP-сетей будут обычным делом, что не может не тревожить разработчиков VoIP-решений и поставщиков VoIP-услуг. Впрочем, некоторую базовую защиту можно организовать еще на уровне архитектуры сети, используя пограничные контроллеры сессий (session border controllers - SBC), способные предотвращать DDoS-атаки, распространение SPIT (Spam over internet telephony) и вирусных эпидемий, а также вести непрерывное шифрование трафика. Изначально SBC использовались для организации сеансов VoIP-связи позади NAT. Сегодня они умеют выполнять массу защитных функций, благодаря способности исследовать содержимое пакетов в режиме реального времени. В сети контроллеры пограничных сессий скрывают реальный адрес пользователя, что минимизирует возможности DDoS-атаки или взлома, контролируют полосу пропускания, поддерживают QoS, скрывают топологию соседних сетей. В сетях следующих поколений, SBC станет существенным элементом безопасности, наряду с гибкостью и масштабируемостью, отличающийся надежностью и простотой.

2006. Новое шифрование для VoIP на платформе Windows

Новая технология криптографической защиты, позволяющая защитить сеанс VoIP-связи между двумя узлами без обращения к третьей стороне или отдельного хранения ключей, разработана Филом Циммерманом (Phil Zimmermann), легендарным автором ПО шифрования данных PGP. Циммерман заявил, что разработанный им протокол подходит для использования с любой телефонной системой, поддерживающей SIP. С учетом того, что новая версия Zfone работает с Windows, у массового пользователя системами пиринговой IP-телефонии появляется возможность основательно обезопасить свою связь. Технология представлена для утверждения в Internet Engineering Task Force (IETF).

2006. VoIP безопаснее обычной телефонии

При переходе от сетей TDM к VoIP поставщики обслуживания столкнулись с достаточно серьезной проблемой – обеспечением безопасности голосовой связи. Телефонная сеть больше не была изолированной и плохо спроектированная VoIP-система легко могла стать жертвой любой, типичной для интернета, напасти: от DoS-атаки до перехвата данных. К настоящему времени технологий, разработанных для решения этой проблемы, накопилось достаточно для того, чтобы говорить о возможности достижения большей безопасности IP-телефонии по сравнению с обычной телефонной сетью, пишет в своей статье, размещенной в информационном издании Converge, директор по маркетингу компании AudioCodes, Haim Melamed. При этом безопасность отнюдь не какое-то новое понятие для систем телефонии. Для обычных телефонных сетей все нынешние проблемы от прослушивания до отказа в обслуживании также были, в той или иной мере, актуальны. Просто подключение к глобальной сети резко увеличило число потенциальных злоумышленников, получивших возможность произвести несанкционированное действие по отношению к системе связи и обладающих обширным набором отработанных средств. Ранее для этого требовался физический доступ и специальное оборудование, что резко ограничивало число потенциальных преступников.

2006. NetIQ запускает средство защиты VoIP от взлома

Компания NetIQ обнародовала решение защиты VoIP (VoIP Security Solution), которое работает с IP-телефонией от Cisco и защищает от DoS, вирусов, червей, мошенничества с оплатой услуг, подслушивания и других угроз, сообщает NetworkWorld. Новый инструмент дает возможность администраторам иметь в своем распоряжении информацию в режиме реального времени о работе системы, ее доступности и предупреждает о любых угрозах защиты. Решение включает AppManager, который осуществляет мониторинг VoIP-окружения на предмет событий безопасности и изменений конфигурации. AppManager Call Data Analysis исследует записи о неправильных звонках и генерирует отчет, Security Manager for IP Telephony регистрирует и анализирует события защиты. Продажи VoIP Security Solution начнутся позже в этом квартале, стоимость решения рассчитывается исходя из 6 $ за один IP-телефон.

2005. VPN для IP-телефонии от Avaya

Компания Avaya внедрила службу VPN в свое семейство оборудования IP-телефонии. Это позволит бизнес-пользователям безопасно расширить связь своего головного офиса для служащих, работающих дома или временно работающих в небезопасном сетевом окружении. Интеграция нового программного обеспечения VPNremote c IP-телефоном обеспечит служащих связью бизнес класса, которая содержит все функции, необходимые для высокопроизводительных и непрерывных коммуникаций на предприятии. Решение VPNremote для IP-телефонов Avaya 4600 позволяет быстро и рентабельно устанавливать настольные IP-телефоны в домашних или удаленных офисах. Необходимо только, чтобы администратор загрузил программное обеспечение в IP-телефон, а служащий самостоятельно включил его в электрическую розетку, подсоединил к домашнему широкополосному роутеру и ввел пароль.

2005. VoIPShield выпускает инструмент оценки риска использования VoIP систем

Компания VoIPShield System выпустила новое решение оценки уязвимости систем VoIP (таких как Asterisk), которое позволяет организациям предотвращать угрозы прежде, чем они затронут VoIP услуги. Основанный на базе данных угроз, сервис VoIPaudit является всесторонним и масштабируемым. Он может применяться для мониторинга семейства протоколов VoIP, включая протокол установления сеансов (SIP), протокол H.323, протокол Cisco Skinny, протокол Nortel Unistim и др. Коммуникации VoIP являются критическими, и VoIPaudit предлагает беспрецедентный уровень защиты для всего оборудования и устройств в VoIP сети. VoIPaudit предлагается сегодня, по цене от 10 000 $, включающей обучение и поддержку.

2005. VoIPSA делает первые шаги

После начала своей работы в этом году, организация занимающаяся проблемами безопасности IP-телефонии, Voice over IP Security Alliance (VoIPSA), сделала первый серьезный шаг в деле защиты VoIP-услуг: внятно определила список проблем и уязвимостей, которые могут эксплуатироваться злоумышленниками. Проект, называемый VoIP Security Threat Taxonomy, выложен для открытого обсуждения. В нем всесторонне и детализировано даются определения и описания потенциальных угроз безопасности, что является базой для создания систем противодействия, пишет Computer Business. Несмотря на то, что организации известны факты серьезных атак с использованием уязвимостей VoIP довольно простыми средствами, конкретные примеры руководитель VoIPSA Джонатан Зар (Jonathan Zar) приводить отказывается. В списке потенциальных проблем фигурируют разведка, DoS и DDoS-атаки, использование уязвимостей протокола, подслушивание, удаление и модификация звуковых потоков.

2005. Компания Juniper обеспечивает безопасность VoIP

Компания Juniper Networks Inc. анонсировала систему Dynamic Threat Mitigation, позволяющую поставщикам услуг предоставить предприятиям и частным пользователям расширенную защиту сетевых сервисов и гарантировать предоставление услуг, включая VoIP. Система встраивается в маршрутизаторы Juniper (серии М или серии Е), не требуя установки нового оборудования у клиентов. Решение позволяет идентифицировать нападения по пользователю или по приложению, используя динамическое управление политиками и методы обнаружения и предотвращения вторжений (DoS атаки, проникновение червей). Учитывая большое количество услуг, предоставляемых по IP сетям, использование системы Dynamic Threat Mitigation является естественным и прогрессивным шагом.

2005. Безопасность VoIP окажется под серьезной угрозой через два года

Злоумышленники будут представлять угрозу для IP-телефонии со специальным спамом и вирусами уже через два года. Об этом заявили представители известного изготовителя телекоммуникационного оборудования, компании Nortel. Причем компании, использующие в своей деятельности VoIP, видеоконференцсвязь и другие мультимедийные услуги на базе сетевых технологий, должны готовиться к следующему этапу защиты своей инфраструктуры уже сейчас, пишет информационное издание Silicon. Вице-президент компании, Atul Bhatnager, заявил, что пока вмешательство в работу VoIP-обслуживания скорее экзотика, но хакеры быстро набираются опыта и в дальнейшем пользователи IP-телефонии столкнуться с теми же проблемами, что присущи, из-за злоумышленников, обычным сетям передачи данных: спам и DoS-атаки. Правда, двух лет вполне достаточно, чтобы подготовиться и развернуть достаточно защитных систем, способных к глубокому анализу пакетов данных.

2005. Motorola+Skype

Компания Motorola и фирма Skype Technologies, поставщик услуг интернет-телефонии, подписали соглашение о сотрудничестве, о чем было объявлено на проходящем в Каннах конгрессе 3GSM. На первом этапе сотрудничества компании будут вести совместные разработки новых оптимизированных продуктов серии Motorola Skype Ready для IP-телефонии. В продуктовую линейку войдут гарнитура с интерфейсом Bluetooth, устройства громкой связи и аппаратные средства защиты программного обеспечения и данных от несанкционированного доступа. Кроме того, Motorola планирует выпустить ряд моделей мобильных телефонов с функциями интернет-телефона. Трубки будут оснащены ПО для IP-телефонии, разработанным компанией Skype, что позволит телефонам взаимодействовать как с сотовыми сетями, так и с сетями Wi-Fi. Партнерство компаний позволит сделать доступным сервис голосового общения через интернет не только пользователям персональных компьютеров и наладонников. Возможность звонить в любую точку мира, не беспокоясь об огромных счетах за оплату услуг связи, получат и владельцы новых мобильных телефонов Motorola.

2004. Cisco CallManager 4.1: Беспрецедентный уровень безопасности

Компания Cisco Systems объявляет о выпуске новых средств защиты для систем IP-связи. Новое решение - Cisco CallManager 4.1 - обеспечивает повышенный уровень безопасности голосовой связи и в очередной раз подверждает лидерство Cisco в области IP-технологий. Cisco CallManager 4.1 поддерживает шифрование голосовых данных в новых моделях IP-телефонов Cisco 7940G и 7960G, а также более чем в 2,5 млн. уже установленных IP-телефонов Cisco 7940G и 7960G. Шифрование голосовых данных гарантирует неприкосновенность тайны телефонных переговоров, а шифрование информации о сигналах защищает от манипуляций с пакетами телефонной сигнализации. Программное обеспечение Cisco CallManager 4.1 взаимодействует с широким спектром медиашлюзов Cisco, в том числе с семейством Integrated Services Router. Поддержка шифрования информации для медиашлюзов Cisco дополняет мощные средства Voice over Virtual Private Network (V3PN) и средства защиты от угроз, которые уже содержатся в этих платформах.

2002. Вышла новая версия Avaya IP Office 1.3

Компания Avaya представила новую версию своего VoIP решения для малого среднего бизнеса Avaya IP Office 1.3 . Avaya IP Office Release 1.3 включает в себя новое программное и аппаратное обеспечение, отвечающее разнообразным требованиям бизнеса. ПО увеличивает возможности системы, которая может поддерживать более широкий спектр IP-телефонов Avaya, повышает ее защиту и обеспечивает больше сетевых функций. Новое версия позволяет обслуживать до 256 пользователей и поддерживает до двух одновременных конференций (до 64 участников в каждой) или большее число конференций с меньшим числом участников на расширенной аппаратной платформе. Средства защиты предусматривают специальные режимы конференций и управление доступом с помощью PIN-кодов. VoiceMail Pro позволяет автоматизировать набор номера (вызов по имени). Имеются также функции интерактивного голосового меню (IVR) с открытым API интерфейсом.

2002. Avaya представила новое решение для IP телефонии через VPN

Компания Avaya выпустила новую версию решения Avaya VPNremote с расширенной поддержкой открытых сетевых стандартов. Новое решение позволит компаниям быстро и эффективно организовать доступ удаленных сотрудников ко всем возможностям связи, которыми пользуются в офисах организации. IP телефоны Avaya на базе новой версии VPNremote позволяют удаленным сотрудникам работать в сетях Cisco Systems и Juniper Networks. Новые функции Avaya VPNremote для IP телефонов обеспечивают высокий уровень контроля и качества связи. Avaya VPNremote 2.0 – программное решение, дополняющее IP-телефоны Avaya возможностями защищённого доступа в виртуальные частные сети (VPN). Таким образом, удаленные сотрудники компаний получают возможность работы в корпоративной сети с высоким качеством связи. Новая версия Avaya VPNremote поддерживает VPN-среды компаний Cisco Systems и Juniper Networks.

2001. PGPfone - защищенный разговор через VoIP и IM

PGPfone - это программа, которая превращает ваш персональный компьютер или ноутбук в защищенный телефон. Для того, чтобы предоставить возможность вести защищенные телефонные разговоры в реальном времени (по телефонным линиям и каналам Интернет) в нем используется технология сжатия звука и стойкие криптографические протоколы. Звук вашего голоса, принимаемый через микрофон, PGPfone последовательно: оцифровывает, сжимает, шифрует и отправляет тому, кто находится на другом конце провода и также использует PGPfone. Все криптографические протоколы и протокол сжатия выбираются динамически и незаметно для пользователя, предоставляя ему естественный интерфейс, подобный обычному телефону. Для выбора ключа шифрования используются протоколы криптографии с открытым ключом, так что предварительного наличия защищенного канала для обмена ключами не требуется.

В современном мире информация является одним из ценнейших ресурсов, поэтому ее защита - важная задача. Немалую роль в работе организации любого уровня играют телефонные переговоры. В силу возрастающей популярности IP-телефонии, все острее встает вопрос обеспечения ее безопасности в общем и конфиденциальности разговоров в частности.

Знание основных источников опасности для сетей IP-телефонии, а также понимание методов устранения этих угроз поможет сохранить репутацию и финансовые ресурсы компании. Не смотря на то, что в статье описаны решения под бесплатную платформу Asterisk, проблематика актуальна для любых других платформ IP-телефонии.

Основные виды угроз для VoIP-сетей:

  • Перехват и манипулирование данными

Наиболее часто встречаемая уязвимость телефонных сетей, особенно опасная для IP-телефонии. В случае применения IP-телефонии злоумышленнику не нужен физический доступ к линии передачи данных. Находящееся внутри корпоративной сети устройство перехвата, скорее всего, может быть обнаружено, внешнее прослушивание отследить практически невозможно. Кроме того, перехваченные данные или голос могут быть переданы далее с изменениями. В таких условиях весь незашифрованный голосовой поток необходимо считать небезопасным.

  • Подмена и взлом пользовательских данных

Отказ от использования или упрощение механизмов аутентификации и авторизации в IP-телефонии открывает для злоумышленника возможность не санкционированно получить доступ к системе, подменив данные о пользователе своими. Возможен также взлом учетных данных пользователей посредством перебора или прослушивания незащищенных каналов связи. Подобная уязвимость может быть использована для совершения дорогостоящих звонков за счет жертвы, сводя на нет всю возможную выгоду от использования IP-телефонии. Также эта брешь в безопасности может применяться для приема звонков, предназначенных взломанной либо записи перехваченных звонков на носители злоумышленника с целью применения данной информации в корыстных целях.

  • Ограничение доступности

Одной из разновидностей атак является «отказ в обслуживании» (Denial of Service, DoS). Эта атака нацелена на превышение предельной нагрузки на систему большим количеством коротких звонков или информационного мусора. Без постоянного отслеживания признаков подобных атак и применения пассивных средств защиты, это приводит к тому, что серверы IP-телефонии не справляются с возросшей нагрузкой и не в состоянии обслуживать подключенных абонентов.

Безопасность IP-телефонии – комплексный подход!

При проектировании любой коммуникационной системы важно понимать, что ни одно из самостоятельных технических решений безопасности не в состоянии обеспечить абсолютную защиту от всех возможных угроз.

Проанализировав основные источники угроз безопасности IP-телефонии, можно выделить ключевые критерии защищенности:

  • Конфиденциальность

Необходимость обеспечения защиты траффика IP-телефонии для предотвращения перехвата или прослушивания телефонных звонков, внесения изменений в передаваемую информацию, кражи учетных данных пользователей.

  • Целостность

Обеспечение уверенности, что передаваемая информация не подвергается правке со стороны неавторизованных пользователей, что запросы на выполнение определенных задач или функций (например, совершение звонка или внесение изменений в настройки системы IP-телефонии ) инициированы авторизованными пользователями или приложениями.

  • Доступность

Бесперебойное функционирование корпоративной системы IP-телефонии в условиях DoS-атак, различных «червей», «вирусов» и т.п.

Как защитить IP-телефонию?

Рассмотрим наименее защищенный и, при этом, один из самых распространенных примеров реализации IP-телефонии.


Рисунок 1 - Реализация IP-телефонии


Сервер телефонии на базе IP-АТС Asterisk имеет прямой выход в сеть интернет для обслуживания удаленных филиалов и связи с SIP-провайдером, предоставляющим доступ к внешним линиям связи. Аутентификация пользователей происходит по IP-адресам.

Решение задач информационной безопасности должно быть комплексным, поскольку каждый способ защиты не только закрывает свою часть информационного периметра, но и дополняет другие решения.

Настройка сервера телефонии

Последним рубежом защиты является сам сервер IP-телефонии. Существует несколько классических методов защиты сервера от атак.

Метод защиты

Описание

Применение политики сложных паролей

Получение учетных данных методом перебора (bruteforce) требует значительных затрат времени и вычислительных ресурсов, усложнение паролей позволит сделать данный метод атак нецелесообразным

Отключение гостевых звонков

Разрешение на совершение исходящих звонков имеют только пользователи системы. Этой настройкой можно отсечь попытки позвонить извне без предварительной авторизации

Отключение ответа о неверном пароле

По умолчанию Asterisk выдает одну ошибку о неверном пароле для существующего аккаунта и другую для несуществующего аккаунта. Существует множество программ для подбора паролей, поэтому злоумышленнику не составит труда проверить все короткие номера и собирать пароли лишь к существующим аккаунтам, которые ответили «неверный пароль»

Использование систем блокировки доступа после неудачных попыток регистрации

Просмотр отчетов системы на предмет обнаружения попыток взлома позволят выделить и блокировать IP-адрес атакующего. Таким образом, можно сократить количество мусорного SIP трафика и защититься от множественных попыток взлома

Ограничение направлений звонков, доступных абонентам, применение схемы «запрещено все, кроме разрешенного»

В случае получения злоумышленником учетных данных пользователя системы, он сможет совершать звонки только по определенным направлениям. Это позволит избежать несанкционированного совершения дорогостоящих международных звонков

Регулярные проверки системы на предмет попыток взлома, контроль параметров

Организация системы мониторинга состояния системы позволит улучшить качество IP-телефонии и отметить типовые для данной конфигурации параметры. Отклонения этих параметров от полученных типовых значений поможет выявить проблемы с оборудованием, каналами связи и выявить попытки вторжения злоумышленников

Применение межсетевых экранов

Межсетевой экран пропускает исходящий трафик от сервера телефонии к SIP-провайдеру и фильтрует входящий по определенным правилам. Рациональным решением можно считать закрытие на межсетевом экране всех сетевых портов для IP-телефонии, кроме необходимых для ее корректной работы и администрирования. Этот же метод защиты целесообразно применять на самом сервере телефонии, чтобы защитить его от внутренних атак.

Таким образом, сервер телефонии доступен из внешних сетей только по определенным служебным портам, подключение к которым, из соображений безопасности, будет выполняться с применением шифрования.

Шифрование телефонных разговоров

Для защиты конфиденциальных переговоров и минимизации возможности попадания конфиденциальной или коммерческой информации в руки злоумышленника необходимо защитить передаваемые по открытым каналам связи данные от перехвата и прослушивания.

Поскольку для совершения звонка клиент и сервер предварительно обмениваются служебными данными для установления соединения, данную проблему можно разделить на две составляющих – защиту служебных данных IP-телефонии и защиту голосового трафика. В качестве средства защиты могут быть использованы протокол TLS (Transport Layer Security) для защиты SIP сигналов и протокол SRTP (Secure Real Time Protocol) для защиты голосового трафика.


Рисунок 2 - Шифрование IP-телефонии


TLS — криптографический протокол, обеспечивающий защищённую передачу данных между узлами в сети, является стандартным методом для шифрования SIP-протокола. TLS обеспечивает конфиденциальность и целостность передаваемой информации, осуществляет аутентификацию.

После установления защищенного соединения начинается передача голосовых данных, обезопасить которые позволяет применение протокола SRTP.

Протокол SRTP считается одним из лучших способов защиты IP телефонии на базе IP-АТС Asterisk. Основное преимущество этого протокола – отсутствие какого-либо влияния на качество связи. Схема работы протокола SRTP выглядит так: каждому совершаемому вами звонку присваивается уникальный код, который делает подслушивание разговоров неавторизированными в системе пользователями практически невозможным. Благодаря этому протокол SRTP выбирают как для обычных, так и для конфиденциальных звонков.

Не следует забывать о необходимости защиты подключения сервера телефонии к внешним каналам связи (мобильная связь, телефонные сети общего пользования).

Применение шифрованных туннелей VPN

В случае необходимости организации систем с повышенными требованиями к защите IP-телефонии, возможно подключение удаленных пользователей посредством виртуальных частных сетей (VPN). Содержание перехваченных пакетов, отправленных по шифрованным VPN туннелям понятно только владельцам ключа шифрования. Этот же метод применим для защиты подключений к поставщикам услуг IP-телефонии. На текущий момент многие VoIP провайдеры предлагают возможность VPN-подключения.


Рисунок 3 - Схема работы IP-телефонии через VPN-туннель


Однако технология VPN имеет ряд недостатков, ограничивающих ее применение:

  • снижение качества связи из-за задержек, создаваемых шифрованием;
  • повышенная нагрузка на каналы связи и оборудование, вызванная необходимостью шифрования;
  • усложнение сетевой структуры.

Применение перечисленных методов защиты сервера позволит свести к минимуму вероятность взлома, а при успешном обходе системы безопасности минимизировать ущерб.


Рисунок 4 - Комплексная защита IP-телефонии


Абсолютную гарантию безопасности, к сожалению, не сможет дать ни один комплекс мер. Рассмотренные выше аспекты лишь частично решают задачу построения защищенной коммуникационной системы . На практике следует рассматривать всю инфраструктуру корпоративной сети, проводить глубокий анализ требуемого уровня защиты. Необходимо учитывать не только необходимость обеспечения безопасности IP-телефонии , но и выходов на внешние каналы связи (мобильная связь, телефонные сети общего пользования). Только такой подход, вместе с постоянным совершенствованием систем информационной безопасности , позволит создать надежную и защищенную систему.


Для создания полноценной защиты от прослушивания необходимо "спрятать" сервер IP-телефонии, для чего отлично подходит решение «Сервер в Израиле» .

Системная интеграция. Консалтинг