Outsourcing usług VoIP może się wydawać bezpieczniejszy i tańszy niż samodzielne ich wdrażanie. Trzeba jednak wiedzieć, że operatorzy nie zawsze są w stanie zapewnić bezpieczeństwo samym sobie.

O usługach VoIP od dawna mówi się, że nie są tak bezpieczne, jak usługi telefonii stacjonarnej. Presja na obniżkę kosztów telekomunikacji w firmach skłania je do eksperymentowania i wiele z nich sądzi, że najlepiej oddać taką usługę w outsourcing. Większość firm nie chce martwić się o jakość połączeń, bezpieczeństwo, lecz mieć po prostu problem VoIP "z głowy". Okazuje się, że nie jest to do końca prawda. Operatorzy usług VoIP nie zawsze trzymają się najlepszych praktyk i tak jak wszystkie inne firmy mogą stać się celem włamania sieciowego. Na razie wygląda na to, że "z głowy" klient może mieć co najwyżej nieco gotówki.

Model idealny

Są firmy, które telefonię internetową chcą wykorzystywać wyłącznie na potrzeby komunikacji wewnątrz przedsiębiorstwa. Zazwyczaj takie firmy posiadają rozbudowane sieci prywatne, zapewniające dość bezpieczne kanały komunikacji między oddziałami a centralą. Wszelki ruch jest kierowany do Internetu przez centralną korporacyjną zaporę, zaś ruch VoIP nie ma prawa wydostać się poza sieć prywatną przedsiębiorstwa bez skutecznego szyfrowania.

W tym celu w centrali i oddziałach instaluje się odpowiednie urządzenia, które podłącza się do głównej centrali telefonicznej firmy i ruch telefoniczny między oddziałami jest realizowany za pomocą telefonii internetowej. Daje to bardzo znaczące obniżenia kosztów połączeń. Jest to najbezpieczniejszy model wdrożenia VoIP w firmie, bowiem zakłada całkowite odizolowanie ruchu VoIP od Internetu. Niektóre firmy przeznaczają osobne grupy adresów IP, czy nawet całe ich klasy, tylko do ruchu telefonicznego. Ma to swoje uzasadnienie także ze względów innych niż bezpieczeństwo - można odpowiednio ustawić parametry ToS, zapewniając ruchowi VoIP minimalne opóźnienia.

Dzięki odpowiednio skonfigurowanym zaporom nie ma możliwości łatwego przełamania zabezpieczeń wewnętrznego systemu telefonii IP, bowiem bramy tej usługi nie są i nigdy nie będą dostępne z Internetu. Jeśli przedsiębiorstwo posiadające oddziały zastanawia się nad wdrożeniem telefonii IP do celów komunikacji wewnętrznej, powinno kupić na próbę kilka telefonów mogących pracować w trybie ad hoc. Warto użyć własnej bramy VoIP w sieci prywatnej, gdyż jest to stosunkowo bezpieczne, a przy tym tanie.

Model rzeczywisty

Tyle teorii. W praktyce najprostszym rozwiązaniem jest wydzierżawienie usługi telefonii internetowej od operatora. Jest ich coraz więcej, niemal wszyscy proponują darmowe rozmowy w obrębie sieci, zarabiając jedynie na ruchu wychodzącym. Złożenie technicznej strony telefonii IP na barki operatora wydaje się bezpieczne, ale w praktyce jest to bezpieczeństwo bardzo iluzoryczne.

Oddając usługę w outsourcing, firma ma prawo twierdzić, że bezpieczeństwo jest problemem operatora. Technicznie i formalnie, jak najbardziej. W rzeczywistości całkiem realny jest scenariusz, gdy to klient ponosi finansowe koszty włamania do sieci operatora. Takie włamanie nie służy przecież kradzieży danych operatora, lecz kradzieży "minut" na swoją rzecz bądź na rzecz firm/osób trzecich.

Oto najświeższy przykład. 9 czerwca br. w Stanach Zjednoczonych FBI aresztowała dwóch złodziei internetowych, którzy przełamali zabezpieczenia stosowane przez kilku operatorów telefonii VoIP i weszli w posiadanie identyfikatorów, dzięki którym byli w stanie "po cichu" oferować usługi na koszt niczego nieświadomych prawowitych klientów, inkasując łącznie ok. 1 mln USD.

Włamania na konta użytkowników to rzecz codzienna, choćby z powodu prostych haseł, zawirusowanych czy zarażonych spyware komputerów. Włamania nastoletnich pasjonatów skutkujące kradzieżą środków z konta VoIP bądź "darmowymi" rozmowami poprzez kradzież hasła do jednego czy kilku kont VoIP są niejako wpisane w te usługi, podobnie jak telepajęczarze w kablowej telefonii stacjonarnej. Różnica polega na możliwości skalowania: w sieciach stacjonarnych nadużycia mają niewielki zasięg, zaś w sieciach VoIP nie ma granic fizycznych.

Robert Moore i Edwin Pena zostali aresztowani po tym, jak ten drugi na zlecenie pierwszego złamał zabezpieczenia piętnastu operatorów telefonii VoIP. Jeśli chodzi o skalę, sprawa jest bez precedensu. Unaocznia jednocześnie, jak "pięknie" skalować można tę samą metodę włamania nie ruszając się z domu. Uzyskane przez włamywaczy "darmowe minuty" były odsprzedawane poszukującym oszczędności użytkownikom. Interes szedł dwóm dwudziestolatkom naprawdę nieźle - prawdopodobnie wyłudzili oni w ten sposób co najmniej 10 mln minut rozmów do sieci stacjonarnych i komórkowych. Tylko jedna z poszkodowanych firm straciła na wspomnianym procederze ponad 300 tys. USD.

Metoda włamania była najprostsza z możliwych - brutalne łamanie kluczy przy użyciu dość dobrze dopracowanego oprogramowania. Uzyskane w ten sposób informacje o zabezpieczeniach ruchu międzyoperatorskiego umożliwiły przygotowanie ruchu udającego prawdziwego operatora i przekierowanie go za pomocą dostawcy do innych sieci. Skala tego procederu wskazuje na bardzo poważne niedostatki zabezpieczeń telefonii internetowej.

Siła i słabość

Istotą VoIP jest połączenie poprzez Internet, bez względu na lokalizację stron. Użytkownicy telefonii internetowej, takiej jak choćby Skype, wiedzą o tym bardzo dobrze - nie jest istotne skąd się dzwoni, ale do kogo się dzwoni. Oszczędności są dzięki temu ogromne, ale w tym fakcie tkwi także najpoważniejsza słabość systemu. Mianowicie, bramy tych usług muszą być dostępne dla wielu klas adresów IP, dla wszystkich, z których mogą się łączyć klienci tej usługi. Z tych samych klas adresów może więc skorzystać także włamywacz.

Tę słabość można stosunkowo łatwo ograniczyć, stosując dobrze skonfigurowane sieci prywatne wyposażone w dwustopniowe uwierzytelnienie klienta jeszcze przed uzyskaniem dostępu do bramy VoIP. Niestety koszty takiego rozwiązania niwelują zyski finansowe z VoIP. Bezpieczna telefonia internetowa byłaby znacznie droższa od tej, którą znamy teraz. Niemniej, jeśli firma posiada już sieci prywatne z takim uwierzytelnieniem, wdrożenie telefonii VoIP z bramą znajdującą się w obrębie sieci jest uzasadnione. Nadal warto pamiętać, że poziom zabezpieczeń jest poważnie zależny od najsłabszego ogniwa. Najczęściej jest nim człowiek stosujący proste, łatwe do złamania hasła.

"Wystawienie" bramy VoIP w Internecie bez żadnych zabezpieczeń na poziomie protokołu IP jest jednym z najpoważniejszych błędów, jaki może popełnić administrator. Nawet jeśli brama ta nie wiedzie do publicznych sieci telekomunikacyjnych, warto zauważyć, że telefon internetowy służący do rozmów wewnątrz firmy z powodzeniem może być użyty do ataków socjotechnicznych. W końcu "wewnętrzny" to "wewnętrzny", prawda?