Jak bezpieczne jest VoIP?

Integracja usług transmisji głosu i danych w firmowych sieciach IP staje się powszechną praktyką. Na ostateczną decyzję, związaną z wdrożeniem usługi VoIP (Voice over IP), mogą mieć jednak wpływ obawy o zapewnienie odpowiedniego poziomu bezpieczeństwa. Rozwiązania telefonii IP wymagają bowiem takiej samej poufności jak dane. Treść telefonicznych rozmów na tematy strategiczne i finansowe nie może stać się łupem konkurencji. Ataki DoS mogą spowodować brak łączności w firmie, a u operatorów VoIP - przerwę w świadczeniu usługi.

Integracja usług transmisji głosu i danych w firmowych sieciach IP staje się powszechną praktyką. Na ostateczną decyzję, związaną z wdrożeniem usługi VoIP (Voice over IP), mogą mieć jednak wpływ obawy o zapewnienie odpowiedniego poziomu bezpieczeństwa. Rozwiązania telefonii IP wymagają bowiem takiej samej poufności jak dane. Treść telefonicznych rozmów na tematy strategiczne i finansowe nie może stać się łupem konkurencji. Ataki DoS mogą spowodować brak łączności w firmie, a u operatorów VoIP - przerwę w świadczeniu usługi.

Bezpieczeństwo usług głosowych jest dla administratorów zagadnieniem stosunkowo nowym. Rozwiązania te nie są już tylko domeną dużych operatorów, lecz zaczynają być stosowane w wielu firmach. Często administrator takiej sieci nie zdaje sobie sprawy lub lekceważy zagrożenia dla ruchu VoIP. Warto więc przyjrzeć się rozwiązaniom proponowanym przez producentów. Test skuteczności zabezpieczeń produktów VoIP został przeprowadzony przez zespół specjalistów ds. bezpieczeństwa w amerykańskim oddziale IDG.

Zapora ogniowa

Jak bezpieczne jest VoIP?

Telefon IP Cisco 7970 obsługuje szyfrowanie strumieni głosu (RTP) w standardzie AES-128.

Wyzwaniem dla administratora jest przepuszczanie ruchu VoIP przez firmowy system zabezpieczeń (firewall, IDS, IPS itp.) bez zmniejszania poziomu bezpieczeństwa. Zgodnie z przyjętą praktyką należy zamknąć wszystkie porty, z wyjątkiem niezbędnych do funkcjonowania danej usługi. W przypadku VoIP powoduje to pewne komplikacje. Przykładowo, zestawienie połączenia VoIP wymaga otwarcia do 6 portów dla każdego połączenia: dla sygnalizacji H.323 lub SIP (Session Initiation Protocol - RFC 2543) należy otworzyć dwa porty TCP bądź UDP (po jednym w każdą stronę), dwa porty UDP dla samej transmisji głosu oraz opcjonalnie dwa porty UDP dla protokołu RTCP (Real-Time Control Protocol) w celu kontroli parametrów transmisji QoS i sterowania sesjami protokołu RTP (Real-time Transfer Protocol). Niektórzy producenci zalecają otwarcie nawet 10 portów. Taka liczba tworzy potencjalną dziurę w systemie zabezpieczeń, która może posłużyć do ataku. Rozwiązaniem jest otwieranie konkretnych portów tylko na czas trwania połączenia. Wymaga to od zapory ogniowej współpracy z mechanizmem kontroli połączeń VoIP. Problemem jest jednak fakt, że wiele zapór nie było tworzonych z myślą o dynamicznym zarządzaniu portami dla połączeń typu VoIP. Proces negocjacji otwieranych portów może powodować opóźnienia. Przed zaporą stawia się zadanie aktualizacji reguł filtrowania w czasie kilku milisekund.

Ruch VoIP można podzielić na trzy elementy: sygnalizację, kontrolę połączeń oraz transmisję głosu. Tworząc reguły bezpieczeństwa, należy zapoznać się z funkcjonowaniem oraz wymaganiami odpowiednich protokołów:

  • sygnalizacyjnych: H.323, SIP, MGCP (Media Gateway Control Protocol), SCCP (Skinny Client Control Protocol);
  • transportujących głos: TCP, UDP, RTP, RTCP;
  • pomocniczych dla SIP: SDP (Session Description Protocol), SAP (Session Announcement Protocol);
  • zapewniających QoS: RTSP (Real-time Streaming Protocol), RSVP (Resource Reservation Protocol).
Konieczne jest zagwarantowanie odpowiedniej jakość transmisji, gdyż w przypadku strat powyżej 5% przesyłany głos staje się niezrozumiały.

Czy można stworzyć odporną na ataki sieć telefonii IP?

Jak bezpieczne jest VoIP?

Stos protokołów VoIP

Wyniki przeprowadzonego testu pozwalają odpowiedzieć twierdząco. Jednak w dużej mierze zależy to od tego, jakiego producenta wybierzemy, a także, czy jesteśmy skłonni zainwestować wystarczającą ilość czasu i pieniędzy na zaprojektowanie systemu zabezpieczeń sieci, sprzęt, personel oraz dodatkowe mechanizmy bezpieczeństwa.

Założeniem testu było sprawdzenie rzeczywistej podatności kompletnych rozwiązań na przemyślane i złośliwe ataki. Z pięciu zaproszonych do testów głównych producentów, wyzwanie podjęły jedynie Cisco i Avaya.

Celem czteroosobowego zespołu testującego było przerwanie, uniemożliwienie bądź zakłócenie komunikacji. Przed rozpoczęciem testów napastnicy nie znali budowy sieci. Za pomocą narzędzi do skanowania usiłowano poznać topologię sieci. Po rozeznaniu i identyfikacji "celów" systematycznie przeprowadzano serię ataków, czasami w różnych kombinacjach. Ze względu na przyjęte ograniczenia i czas trwania testów przeprowadzone ataki należy uważać za średnio intensywne, w porównaniu z tymi, jakie mogą wystąpić w realnych środowiskach. Ze względu na ochronę klientów korzystających z danych rozwiązań, wykryte w teście słabe punkty zostaną omówione jedynie ogólnie.

Cisco - jak skała

Jak bezpieczne jest VoIP?

Poziomy bezpieczeństwa systemu VoIP

Konfiguracja sieci VoIP zbudowanej przez Cisco obejmowała wszystkie dostępne obecnie w sprzedaży mechanizmy bezpieczeństwa przy jednoczesnym najbardziej restrykcyjnym ustawieniu ich parametrów. W większości istniejących sieci zwykle nie stosuje się aż takiego arsenału. Nic jednak nie stoi na przeszkodzie w stworzeniu podobnej sieci (oczywiście z wyjątkiem konieczności posiadania odpowiednich funduszy). Architekturę sieci tworzyło: Call Manager 4.0 z kontrolą połączeń, pocztą głosową i bramą; dwie oddzielne zapory PIX (8000 USD każda). Infrastrukturę warstw 2 i 3 oparto na przełącznikach Catalyst 4500 i Catalyst 6500, wyposażonych dodatkowo w IDS w konstrukcji blade. Na potrzeby zarządzania stworzono oddzielną podsieć oraz zainstalowano aplikacje do zarządzania bezpieczeństwem. Łączny koszt systemu zabezpieczeń zamknął się kwotą 80 tys. USD. Dodatkowo nad całością czuwało 6 ekspertów Cisco ds. bezpieczeństwa.

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200