VoIP安全威胁:事实还是虚构?
来源:网络世界 更新时间:2012-04-13

想象一下这样的情景:入侵者神不知鬼不觉地进入你的VoIP网络,开始监视他所选择的任何谈话,提取敏感信息、公司秘密、甚至包括可用于敲诈CEO的详细资料。

  上个月,ISS(Internet Security Systems)公司发出警告,提醒用户注意Cisco的VoIP产品存在一个有可能发生上述情景的安全漏洞。据该公司说,Cisco的负责处理呼叫信令和路由的Call Manager中存在的这个漏洞可能造成缓冲区溢出,使入侵者可以接入系统监听通过系统传送的所有呼叫。

  成长的痛苦

  ISS的X-Force研发部团队负责人Neel Mehta说:“VoIP在安全性问题上将遭遇成长的痛苦。这仍是一种新出现的威胁,而且是我们需要认真对待的威胁。”

  这类厂商(包括BorderWare、Secure Logix和NFR)敦促使用专用防火墙这样的安全设备。这类防火墙专门设计用于过滤VoIP传输流,查找可疑的模式并切断这些连接。

  但是,找到一家受到VoIP滥用者(无论他们是利用多余的消息阻塞语音邮件信箱的垃圾邮件制造者,监听电话谈话的入侵者还是隐藏自己真实身份的诈骗者)伤害的公司还有些困难。到目前为止,威胁还主要是假设的威胁。

  Burton Group高级分析师Irwin Lazar说:“我认为现在还没有真正的威胁。VoIP仍是相当封闭的系统,几乎没有一家公司将自己的VoIP系统向Internet开放。”不过,他说,一旦这种情况发生变化,公司开始在名片和网站上公布他们在VoIP通信中使用的SIP地址,VoIP安全将变得至关重要。

  去年,VoIP管理厂商Qovia宣布说,它申请了一项涉及捕获VoIP垃圾邮件技术的专利。VoIP垃圾邮件被认为是VoIP网络面临的较直接的威胁之一。Qovia营销副总裁Pierce Reid说,公司曾计划去年推出这种垃圾邮件捕捉模块,但由于市场缺少兴趣而一直没有做这件事。

  热门话题

  不过,Reid说对这类产品的兴趣开始升温,安全问题现在是有关VoIP活动上的热门话题。Reid说:“我们去年想做的部分工作是帮助人们及时提高安全意识,在受到VoIP威胁袭击前保护自己。”该公司计划今年年底推出反垃圾邮件产品。

  北卡罗莱纳州Jacksonville市高级IT专家Bobby Parrish说,市政当局大约3年前安装Cisco的VoIP设备时,将注意力放在了减少费用上,安全性不是主要担心的问题。但是,他的部门采取了一些措施保护语音网络,例如将语音网络与数据网络隔离,为电话提供物理安全措施。

  尽管Jacksonville市的VoIP网络没有遇到任何安全违规事件,但Parrish认为他的部门也许运气不错,并且相信这种运气不会永远存在下去。他说:“我还没有看到恐怖的一面,不过我还没有天真到认为这种事情不会发生的程度。”当Qovia的反VoIP垃圾邮件产品发布时,Jacksonville将评估这种产品。

  我们有一些充分的理由不能忽视VoIP面临的潜在威胁,甚至在它们还没有成为广泛存在的事实前。首先,鉴于病毒、垃圾邮件和网页欺诈等滥用在另一些基于IP的通信系统(特别是电子邮件)泛滥成灾的事实,不难想象类似的威胁也会进入VoIP。第二,如果这些理论上的威胁进入企业,它们会造成严重的破坏。

  小心慢走

  加州Santa Rosa市Exchange Bank信息安全官Bob Gligorea说:“我认为人们不应当部署VoIP,除非他们采取了必需的安全措施。”这家社区银行目前正在安装新的网络硬件,包括ISS安全设备,这样他可以在明年迁移到VoIP上。他说:“我没有听说过发生了这类滥用,但是我会想到为获得竞争优势而偷听,这种事会非常糟。”

  那么, 企业应当对这些威胁做些什么呢?今年年初,美国政府提出了一些建议。1月份,商务部下属国家标准与技术局发表了一份评估VoIP安全的报告,指出IT经理不应当认为由于他们的数据网络得到了保护,所以向他们的系统添加语音也是安全的。这份报告说,“管理人员可能错误地认为由于数字化语音通过数据包传送,因此他们可以简单地将VoIP组件插入到他们已经得到保护的网络中,然后就高枕无忧。但是,这个过程没有那么简单。”

  报告建议采用目前流行的隔离语音与数据传输流的措施,使用可以检测VoIP协议的防火墙这样的安全产品,以及避免通过使用PC和耳机来实现VoIP的“软电话”,从而使网络免于受到病毒和其他恶意软件的攻击。

  SurfControl公司全球威胁分析与研究副总裁Susan Larson说,除了安装可以清除可疑VoIP传输流的特殊产品外,公司还应当考虑自己的VoIP网络如何在总体安全努力中发挥作用。随着Skype(一种使PC用户可在Internet上打电话的免费对等程序—因而建立与外部世界的没有保护的连接)这类应用程序的日益流行,公司必须考虑自己的雇员可能下载什么。Larson说,SurfControl的产品可以阻止从这类站点进行下载,并在带有指向这些网站的嵌入URL的电子邮件进入企业前捕获它们。