首頁>>>技術>>>VoIP

研究：基于分層方法的VoIP安全問題

2007/12/26

　　通信服務與IP網(wǎng)絡特別是Internet的結合，是一個伴隨著e-Mail、即時消息的產生而不斷發(fā)展的自然過程。VoIP——在包轉換的IP網(wǎng)絡上傳輸語音——是電信領域呈現(xiàn)的一個最重要的發(fā)展趨勢。VoIP網(wǎng)絡發(fā)展迅猛有兩個重要因素：從傳統(tǒng)的電話到VoIP網(wǎng)絡的轉變帶來成本的降低，而且允許將新的服務和應用(視頻傳輸、會議，等等)加入到標準的電話服務中去。

　　即使是為了達到同一個目的，VoIP與傳統(tǒng)的電話相比擁有完全不同的體系結構。在VoIP網(wǎng)絡中語音和信號是混合的并且和正常的數(shù)據(jù)一樣在局域網(wǎng)、廣域網(wǎng)或者互聯(lián)網(wǎng)上傳播，而在傳統(tǒng)的電話網(wǎng)中每一個會話維持一個私有的、物理的電路，并且獨占信道。VoIP語音是一種普通的IP數(shù)據(jù)，但就服務的質量和實用性來說它與傳統(tǒng)電話是沒有區(qū)別的。

　　隨著技術的不斷發(fā)展，VoIP面臨著許多新的安全風險而且遭受攻擊的機率也大大增加。由于網(wǎng)絡和電話的特點，VoIP將遭受到來自全方位的安全問題。傳統(tǒng)電話的安全問題包括信令攻擊、盜用電話線路，相應于VoIP網(wǎng)絡則是對特定協(xié)議進行攻擊。他們的主要目的只有一個：欺騙。從物理層到應用層，都與VoIP的安全問題相關。在安全性和可靠性不高的互聯(lián)網(wǎng)上傳輸語音數(shù)據(jù)更是增加了遭受攻擊的可能性，并且會導致更多的攻擊行為。

　　Voice over IP特性

　　當研究VoIP安全的時候，許多人往往把它和一般的網(wǎng)絡應用等同起來處理，這種普遍的現(xiàn)象實際上是非常錯誤的。他們并沒有認識到VoIP與其他網(wǎng)絡應用的本質區(qū)別——VoIP的時間敏感性。

　　VoIP對技術的要求非�？量獭Ｋ粌H對時延特性要求敏感而且要求具有一個能夠充分保證服務質量的有效機制。當時延超過150ms或者丟包率超過3%時，通話質量就會大大受到影響。此外，再加上擁塞等一些不可預見性的因素，因此我們可以推斷出VoIP最大的脆弱性就在于：對干擾具有高度的敏感性。

　　廣為人知的拒絕服務攻擊(DoS)就是一種干擾類型攻擊。針對VoIP的攻擊(例如大量發(fā)送經(jīng)過特殊構造的數(shù)據(jù)包)將使VoIP設備產生拒絕服務。當SIP電話終端處理大流量的數(shù)據(jù)時可能會造成系統(tǒng)的停止響應或崩潰。

　　Voice over IP體系結構

　　VoIP技術使用和標準電話通信相似的兩種類型的協(xié)議，即信令協(xié)議和媒體傳輸協(xié)議。目前，在全球范圍內廣泛使用的VoIP結構有兩種，它們分別是H.323結構和SIP結構。

　　H.323是國際電信同盟(ITU)為在基于數(shù)據(jù)包的網(wǎng)絡上傳輸音頻和視頻而制定的一種標準。H.323實際上是一種封裝標準，它對H.225，H.245等標準進行了封裝，每種協(xié)議都在呼叫建立的過程中扮演特定的角色。H.323使用RTP協(xié)議作為標準的媒體傳輸協(xié)議。H.323定義了四種邏輯組成部分：終端、網(wǎng)關、關守(gatekeeper)和多點控制單元(MCU)。

　　SIP是Internet工程工作小組(IETF)為發(fā)起雙向的通信會話而建立的協(xié)議。它是一種應用層控制協(xié)議，用于和一個或多個參與者創(chuàng)建、修改和終止會話。SIP是基于文本的，并且結構與HTTP相似。客戶機發(fā)出請求，并發(fā)送給服務器，服務器處理這些請求后給客戶機發(fā)送一個響應。該請求與響應形成一次事務。SIP可以運行于TCP、UDP或者SCTP之上。

　　SIP網(wǎng)絡的結構(參見圖1)與H.323的結構不同。SIP網(wǎng)絡由端點、代理或者重定向服務器、定位服務器和注冊機組成。注冊機和定位服務器也可以同時運行于代理服務器。

　　本文對VoIP安全威脅進行討論的方法為分層的方法，采用分層的方法是基于以下兩點原因的考慮：首先，因為對于TCP/IP協(xié)議棧和VoIP SIP協(xié)議體系結構來說有些層可以看成是相似的。SIP會話初始階段和TCP的三次握手就具有很強的相似性，這在許多專業(yè)的文獻中經(jīng)常被引用例如文獻[7]。其次，采用基于源的分層方法可以迅速地找到安全威脅的解決方案，將攻擊限制在特定的層結構中以便將初始解決方案的搜索空間縮小到該層，因此尋找問題的答案更加容易。通常來說，起源于某一層的問題可以在該層內找到解決的方案。下面的內容將集中討論兩個VoIP層：信令協(xié)議層和傳輸協(xié)議層。


（點擊看大圖）


　　信令協(xié)議層

　　該層是最重要并且是VoIP攻擊最多的層。許多源于這一層的攻擊可以利用最少的攻擊達到最大的攻擊效果。其中，最重要、最有效的攻擊如下。

　　基于SIP的拒絕服務攻擊

　　拒絕服務(DoS)是一種使得計算機系統(tǒng)或網(wǎng)絡無法向用戶提供服務的攻擊行為，一般通過消耗目標網(wǎng)絡的帶寬或目標系統(tǒng)的計算資源從而使網(wǎng)絡鏈接或服務失效。DoS攻擊可以通過很多方式進行實施，下面列舉了三種基本的攻擊形式：

　　a.消耗計算資源，例如：帶寬、磁盤空間、或者CPU。

　　b.破壞配置信息，例如：路由信息。

　　c.破壞物理網(wǎng)絡部件。

　　1)SIP炸彈

　　這種攻擊向目標VoIP系統(tǒng)發(fā)送大量偽造的SIP信息，而IP電話對有效性問題非常敏感。對大量偽造的SIP信息進行譯碼和解釋將需要分配大量的計算資源。因為大部分的系統(tǒng)資源都用于處理偽造的信息，正常數(shù)據(jù)的處理速度將會非常低并且整個VoIP通話的性能將會遭到巨大的衰減。

　　2)SIP-Cancel/Bye 拒絕服務攻擊

　　這兩種攻擊在某些情況下非常相似：攻擊者一旦檢測到目標主機與另外一個主機建立了SIP/VoIP會話就向目標用戶發(fā)送一個偽造的SIP信息。圖2解釋了這種類型的拒絕服務攻擊。


（點擊看大圖）


　　有效的SIP-CANCLE攻擊應該在INVITE發(fā)送之后并且在接收最后一個ACK之前發(fā)送。這對攻擊者的要求非常高�？紤]到SIP-CANCLE拒絕服務攻擊的時間窗口非常小，我們可以推斷這種攻擊只有在目標主機的本地網(wǎng)絡才會成功。在這種情況下，攻擊者一旦檢測到目標主機接收到INVITE請求就向其發(fā)送CANCEL報文。攻擊者如何檢測該事件則超出本文討論范圍。

　　與SIP-CANCEL相反，SIP-BYE可以在VoIP會話開始后的任何時間發(fā)送。因此，有效的攻擊時間窗口就是整個會話時間。

　　但是在現(xiàn)實中這兩種攻擊方法很難實現(xiàn)，主要原因有以下兩點：

　　a.攻擊時機監(jiān)測：這兩種攻擊都是基于目標的特定行為的，因此成功的攻擊必須與目標的行為同步。

　　b.報頭復制：成功的攻擊必須能夠將SIP會話的原始報頭復制到CANCEL/BYE報文中以使其成為合法的報文。

　　基于SIP攻擊的解決方案

　　以上描述的所有攻擊都依賴于篡改和構造欺騙性的SIP信息。如果沒有數(shù)字簽名或加密措施的保護的話，標準的SIP信息就會很容易偽造。

　　為了避免遭受這種攻擊，有效的解決方案是防止SIP的內容被篡改，攔截，并且采用高度的加密和認證機制。以下兩種解決方案為比較常用的方法：

　　1)使用TLS

　　在SIP的RFC中為了保護SIP信息采用將TLS(傳輸層安全)加入到代理服務器，重定向服務器和注冊機中的方法。TLS能夠保證SIP信息的完整性、私密性，它能夠為完整的密鑰管理提供相互認證和安全的密鑰分發(fā)機制。在SIP中使用TLS的要求是要有一個可靠的傳輸協(xié)議(基于TCP的SIP信令協(xié)議)。TLS不可以應用于基于UDP的SIP信令協(xié)議。

　　2)使用IPsec

　　IPsec可以用于在網(wǎng)絡層為SIP報文提供加密服務。對于在SIP VPN下的SIP主機(SIP用戶代理)，這種方法尤為適合。IPsec對所有基于UDP、TCP、和SCTP的SIP信令協(xié)議都起作用。IPsec可以用于為數(shù)據(jù)提供認證，完整性和私密性并且支持端到端特性。在SIP的RFC中并沒有指定密碼管理機制，一種普遍接受的密鑰管理機制是Internet密鑰交換(IKE)。IKE協(xié)議能夠為IPsec提供自動的密鑰交換和管理機制。

　　傳輸協(xié)議層

　　在SIP VoIP網(wǎng)絡中，基于傳輸層的威脅包括利用RTP/RTCP協(xié)議的弱點進行的攻擊。它們依賴于沒有加密的RTP數(shù)據(jù)流。

　　竊聽

　　最簡單最易于實現(xiàn)的就是竊聽攻擊。竊聽是一種中途截獲并且讀取信息或通話而不被接收人察覺的行為。在VoIP中，竊聽使得攻擊者具有監(jiān)聽和記錄私密電話內容的能力。人們通常會在電話中透露銀行卡賬號等重要信息，因此竊聽可以產生非常重要和意想不到的結果。在商業(yè)領域，竊聽也可以獲取重要的商業(yè)情報。

　　RTP使用標準的編碼方式對音頻進行編碼，他的主要弱點在于使用過的編碼信息可以在每個RTP包的頭部找到。攻擊者截取VoIP媒體流之后對其進行保存然后對RTP流進行解碼便可以進行竊聽。

　　RTP插入攻擊

　　這一類傳輸層攻擊的特征是攻擊者將帶有欺騙性的RTP包插入RTP流中。根據(jù)插入RTP包的形式不同，得到的結果也不相同。

　　1)SSRC沖突攻擊

　　一旦接收到兩個來自不同發(fā)送者的數(shù)據(jù)包但是卻具有相同的SSRC，RTP就會進入沖突狀態(tài)。RTP的沖突處理機制很簡單：如果一個源發(fā)現(xiàn)另外一個源使用與他相同的SSRC，就必須發(fā)送RTCP BYE包然后再隨機選擇一個新的;如果接受者發(fā)現(xiàn)有兩個源發(fā)生碰撞，則它會保持其中一個的包而丟棄來自于另一個的包;兩個源會解決碰撞問題因此碰撞不會持續(xù)。

　　以下兩種DoS攻擊可以用來幫助理解RTP如何處理沖突：

　　a.當攻擊者竊取其中一個對等點的SSRC后，將自己的RTP報文發(fā)送給另外一個對等點。接收者一旦接收到相同的SSRC，就選擇接收從單一源發(fā)送來的數(shù)據(jù)包。因此，攻擊者就可以有效地剔除一個VoIP用戶。

　　b.攻擊者向目標主機發(fā)送帶有目標自身的SSRC的RTP報文。目標主機則被迫放棄當前的RTP流而選擇一個新的，然后沖突釋放了SSRC。這使得所有目標主機參與的會話都會產生中斷。

　　2)其他的SSRC操縱

　　SSRC操縱可以以更加復雜和創(chuàng)新的方式來實現(xiàn)。如果攻擊者知道其中一個對等點的SSRC，他就能夠用相同的SSRC和IP特性偽造報文，但是擁有比合法報文更高的時間戳和RTP序號值。在接收端RTP應用將會首先處理攻擊者的數(shù)據(jù)包而丟棄合法的數(shù)據(jù)包，因為他們的時間戳不合法并且更晚。這種攻擊使得虛假的內容在真實的音頻內容之前播放，這種攻擊也可以看作為一種拒絕服務攻擊。

基于RTP攻擊的解決方案

　　與一些基于SIP的攻擊的情況相同，大部分基于RTP的攻擊都依賴于偽造的欺騙性RTP包并將他們插入RTP中。要是沒有保護措施，可以認為RTP是一種不安全的協(xié)議。如果攻擊者能夠截取到RTP包，那么偽造惡意的數(shù)據(jù)包并在合適的時候將他們發(fā)送出去只是微不足道的事。即使攻擊者無法獲取RTP流，只要攻擊者擁有對等點的一些信息，偽造欺騙性的RTP報文并且發(fā)動攻擊也并不是一件困難的事。

　　與SIP的情況相同，保護RTP流免受攻擊的解決方案就是引入加密機制和類似安全哈希的數(shù)字簽名。

　　結束語

　　目前VoIP安全的發(fā)展還處于初始階段，安全威脅和攻擊還有待于建立起一系列理論。但是在實踐中卻很難執(zhí)行，主要是因為相關基礎知識和攻擊檢測機會的缺乏。但是，隨著VoIP網(wǎng)絡數(shù)量的不斷壯大，攻擊者必將對這一新興的技術產生興趣。選擇分層的方法進行分析強調了消除威脅的解決方案，而且當新的攻擊模型出現(xiàn)時能夠更有效地對其進行定義。

計算機與信息技術


相關鏈接:
Jangl和Pluggd可讓Gmail成殺手級應用 2007-12-26
IP PBX電話系統(tǒng)：對你的業(yè)務有極大的好處 2007-12-26
互聯(lián)網(wǎng)周刊:通信進化 2007-12-25
IP通信將是中小企業(yè)壯大拐點 2007-12-24
8大VoIP網(wǎng)絡電話插件 2007-12-24

分類信息: