Ochrona powinna być zaimplementowana we wszystkich warstwach protokołów sieciowych - od okablowania po aplikacje. Największym zagrożeniem dla VoIP pozostaje atak na infrastrukturę sieciową IP.

Dodatkowe problemy przynosi UC, otwierając sieć na ataki wykorzystujące połączenia między sieciami VoIP i korporacyjnymi sieciami danych. Obecnie typowe wdrożenia chronionej komunikacji IP zakładają jak najdalej idące wydzielenie ruchu VoIP (poprzez VLAN), szyfrowanie komunikacji, uwierzytelnianie i jak największe ograniczanie dostępu do urządzeń niezbędnych do obsługi połączeń głosowych.

VoIP-VPN i VLAN

Bezpieczeństwo rozmów zapewnia transmisja pakietów VoIP poprzez wirtualne sieci prywatne VPN (Virtual Private Network), oferujące szyfrowanie strumieni głosu. Usługa ta dostępna jest już u niektórych polskich operatorów.

W lokalizacjach połączonych sieciami VPN można realizować skróconą numerację wewnętrzną i wspólne usługi, bowiem system telefoniczny i terminale IP znajdują się w tej samej logicznej sieci.

Mechanizmem znanym z sieci transmisji danych jest stosowanie wydzielonych podsieci VLAN (Virtual LAN) - oddzielna sieć na dane, oddzielna dla głosu.

Secure RTP

Standardowo dane głosowe są przesyłane w pakietach w sposób niezaszyfrowany. Dla potencjalnego intruza nasłuchującego transmisji (za pomocą snifferów) stwarza to możliwość odczytania transmisji i odtworzenia rozmowy. Zastosowanie protokołu szyfrującego próbki z głosem SRTP (Secure Real-time Transport Protocol) umożliwia zachowanie poufności. Intruz po przechwyceniu zaszyfrowanego strumienia głosowego usłyszy jedynie chaotyczny dźwięk. W przeciwieństwie do systemów opartych na wirtualnych sieciach prywatnych VPN nie wymaga on dodatkowych aplikacji lub urządzeń szyfrujących. Bez znaczenia jest rodzaj wykorzystywanej sieci - przewodowa czy bezprzewodowa. Warto też szyfrować protokoły sygnalizacyjne.

Przyda się uwierzytelnianie

Autoryzacja rozmówcy pozwala na upewnienie się, czy po drugiej stronie linii telefonicznej jest osoba, do której chcieliśmy się dodzwonić. Uwierzytelnianie może być realizowane np. na serwerach RADIUS czy LDAP poprzez wprowadzenie kodu przy włączeniu aparatu, włożenie karty z kluczem itp. Identyfikowane powinny być także urządzenia (adres MAC). Autoryzacja ma szczególne znaczenie w przypadku telefonów zdalnych lub przy usłudze hostowanego IP PBX.

Problemy z zaporą

Wyzwaniem dla administratora jest przepuszczanie ruchu VoIP przez firmowy system zabezpieczeń (firewall, IDS, IPS itp.) bez zmniejszania poziomu bezpieczeństwa. Zgodnie z przyjętą praktyką należy zamknąć wszystkie porty, z wyjątkiem niezbędnych do funkcjonowania danej usługi i to najlepiej otwieranych tylko na czas trwania połączenia. Wymaga to od zapory ogniowej umiejętności współpracy z mechanizmem kontroli połączeń VoIP.

Gwarantowane zasilanie

Skuteczną metodą sparaliżowania systemu telefonicznego jest również odcięcie zasilania. Aby uniknąć takich sytuacji, należy zapewnić redundantne źródło zasilania wraz z podtrzymywaniem napięcia. UPS-y podłączone do przełączników z opcją PoE mogą także zasilać telefony.

Bezpieczeństwo bezprzewodowej telefonii IP

Telefonia IP wdrażana jest również w sieciach radiowych WLAN 802.11 - VoWLAN (Voice over Wireless LAN). Należy zwrócić uwagę na zabezpieczenie zarówno łącza radiowego, jak i transmitowanych danych. Sygnały radiowe "wyciekają" na zewnątrz budynków, a w przypadku korzystania z publicznych punktów dostępu (hot-spot), łatwo można przechwycić cudzą transmisję. W sieciach tych istnieje szczególna potrzeba szyfrowania połączeń i uwierzytelniania użytkowników.

Bezpieczne telefony SIP

W odpowiedzi na wymagania klientów oczekujących bezpieczeństwa infrastruktury VoIP, coraz częściej w urządzeniach implementuje się mechanizmy bezpieczeństwa: autoryzację, uwierzytelnianie, szyfrowanie sygnalizacji oraz głosu.

Uwierzytelnianie realizowane jest przez wymianę certyfikatów cyfrowych pomiędzy urządzeniami, zarówno centralami, jak i telefonami. Certyfikaty te są dostarczane przez producenta lub wgrywane przez administratora. Użytkownicy mogą być też uwierzytelniani przez podawanie hasła. Wówczas dla wybranego telefonu przypisywany jest numer właściwy dla danego użytkownika, a wszystkie rozmowy do danej osoby kierowane są do aparatu, na którym jest ona aktualnie zalogowana. Pobierane są również jego osobista książka adresowa, zakładki oraz jego własne ustawienia.

Do szyfrowania sygnalizacji wykorzystywany jest coraz częściej protokół TLS (Transport Layer Security). Urządzenia najpierw ustanawiają pomiędzy sobą bezpieczny tunel TLS, a następnie przesyłają przez niego komunikaty sygnalizacyjne SIP. Nie dość, że TLS zapewnia poufność sygnalizacji, to jeszcze chroni przed atakami wykorzystującymi słabości protokołu SIP. Komunikacja pomiędzy agentami użytkownika SIP a serwerami Proxy SIP może być też uwierzytelniana protokołem MD5 (Message Digest).

Strumienie głosu mogą być przesyłane w formie zaszyfrowanej za pomocą protokołu sRTP (Secure Real-time Transport Protocol). Ponieważ przeprowadzana jest kompresja nagłówka oraz stosowane są szybkie szyfry strumieniowe, wprowadzenie sRTP nie ma wpływu na QoS połączeń.

Protokół SIP funkcjonuje na bazie wymiany prostych komunikatów tekstowych, podobnie jak HTML. Nie ma on zaimplementowanych mechanizmów uwierzytelniania i szyfrowania. Czyni go to wielce podatnym na różnego typu ataki, jak na przykład wtrącanie komunikatów czy podsłuch. Do szyfrowania wykorzystuje się zatem mechanizm bezpiecznego SIP (Secure SIP - RFC 3261), czyli przesyłania pakietów sygnalizacyjnych w tunelach TLS, tak jak to ma miejsce w HTTPs.

Do szyfrowania sygnalizacji i głosu coraz częściej zaczyna się wykorzystywać również IPSec. Jest to możliwe dzięki wsparciu szyfrowania ze strony infrastruktury - pamiętać bowiem należy, że IPSec wymaga większej mocy obliczeniowej niż SSL/TLS, co przy wolnym procesorze powoduje istotne opóźnienia. Telefonia szyfrowana IPSec oferowana jest przez routery wielousługowe.