首頁(yè)>>>技術(shù)>>>VoIP

VoIP安全言過(guò)其實(shí)？

2007/03/19

　　同許多新技術(shù)一樣，VoIP面臨著(zhù)安全問(wèn)題的影響。那些描述可能導致竊聽(tīng)的VoIP安全漏洞、新型垃圾郵件、甚至可以造成企業(yè)賴(lài)以生存的通信網(wǎng)癱瘓的拒絕服務(wù)攻擊的報告屢屢成為頭條新聞。

　　身為資深分析師的Gartner公司研究主管Lawrence Orans說(shuō)，其中的一些威脅言過(guò)其實(shí)，不可能發(fā)生在企業(yè)環(huán)境中。而從事通信業(yè)分析的《Communications Network Architects》總裁Frank Dzubeck則認為，鑒于IP缺少內置的安全性，任何事情都可能發(fā)生。為此，《Network World》高級編輯Cara Garretson采訪(fǎng)了這兩個(gè)人，以弄清VoIP安全威脅是否真的言過(guò)其實(shí)。

問(wèn)：VoIP系統面臨的安全威脅有多嚴重？

　　Orans：首先，我想解釋一下VoIP一詞。VoIP是個(gè)集合術(shù)語(yǔ)。我們看到它用于各種形式的分組語(yǔ)音，不管它是Internet電話(huà)（如Skype）本身，還是有線(xiàn)運營(yíng)商提供的Internet電話(huà)服務(wù)。而這里存在的問(wèn)題是非常真實(shí)的。

　　VoIP實(shí)際上只是另一種運行在網(wǎng)絡(luò )上的應用，并且它一直是最可靠的，當然任何故障或安全破壞都是巨大的問(wèn)題。缺少影響廣泛的攻擊讓人們有了一種虛假的安全感。但是，實(shí)際的威脅是非常真實(shí)的。

　　在使用IP電話(huà)時(shí)，IP電話(huà)機擁有內存、操作系統，實(shí)際上，它是一種加固型專(zhuān)用設備，但仍可能受到攻擊。PBX服務(wù)器本身也會(huì )受到攻擊。此外，協(xié)議本身許多信令協(xié)議仍比較新或是專(zhuān)有的。因此，不管是哪種情況，它們都沒(méi)有經(jīng)過(guò)像協(xié)議那種級別的更成熟的安全威脅審查。因此，從總體看，我認為威脅是非常真實(shí)的，關(guān)鍵在于充分了解這個(gè)問(wèn)題，使你可以將夸大其詞的威脅與真實(shí)的威脅區分開(kāi)。

　　Frank：IP本身就是問(wèn)題。IP在設計上從來(lái)沒(méi)有考慮到安全性。不錯，VoIP是種應用，而作為一種企業(yè)內部的應用，它將成為一種無(wú)處不在的應用。但問(wèn)題是，它存在各種安全漏洞。如果你不預先分析VoIP的安全問(wèn)題，那么由于漏洞的出現，巨大災難將降臨到你的頭上。

　　我不太同意Orans前面說(shuō)過(guò)的話(huà)，即“向Internet領(lǐng)域的演進(jìn)不是難以捉摸的事情；它是這個(gè)拼圖中的一塊；可能出現在局域網(wǎng)上的VoIP與基于互聯(lián)網(wǎng)的IP通信的集成將成為現實(shí)”。如果我們現在不解決安全問(wèn)題，我們很可能將永遠不能解決這些問(wèn)題。

問(wèn)：有關(guān)竊聽(tīng)VoIP的報道屢屢成為頭條新聞，但是這類(lèi)事件真的會(huì )發(fā)生在企業(yè)網(wǎng)絡(luò )上嗎？

　　Orans：竊聽(tīng)是言過(guò)其實(shí)的。的確，進(jìn)行中間人攻擊和抓包從技術(shù)上講是可能的，但是我們應該在IP電話(huà)的背景下討論這個(gè)問(wèn)題。IP電話(huà)實(shí)際上是一種基于LAN的系統。若想在LAN上抓取數據包，一般需要物理上的鄰近性，而做到這點(diǎn)的最容易的途徑是進(jìn)入LAN所在建筑。比如信息中心的某人捕獲來(lái)自CEO的通信，但這個(gè)人也可以對電子郵件做同樣的事情，而大多數企業(yè)并不擔心電子郵件竊聽(tīng)。

　　Frank：我同意竊聽(tīng)言過(guò)其實(shí)的觀(guān)點(diǎn)，但感覺(jué)是真實(shí)的。我認為加密是使所有人感覺(jué)更好的技術(shù)，因此即使這種威脅可能言過(guò)其實(shí)，但既然加密技術(shù)是現成的，何樂(lè )而不為呢？

　　我們應當加密LAN內部的語(yǔ)音，從長(cháng)遠看，我還是對數據和視頻進(jìn)行同樣處理觀(guān)點(diǎn)的支持者。

問(wèn)：Internet電話(huà)垃圾郵件，即SPIT，又如何呢？這種威脅的真實(shí)性有多大？


　　Orans：這是另一個(gè)言過(guò)其實(shí)的威脅。的確，從技術(shù)上看，SPIT是可能的，但這里的關(guān)鍵問(wèn)題是業(yè)務(wù)模型，而不是技術(shù)。

　　我們都收到過(guò)垃圾郵件，而垃圾郵件的交易模型與SPIT非常不同。對于垃圾郵件來(lái)說(shuō)，你收到一封電子郵件，如果你想為其支付抵押貸款，因此你點(diǎn)擊Web鏈接，那么你就會(huì )進(jìn)入到這種交易中。換句話(huà)說(shuō)，垃圾郵件成功了。而對于SPIT則完全是一個(gè)不同的故事。如果我在語(yǔ)音郵件箱中收到語(yǔ)音消息，我如何完成這種交易？是我必須拷貝下這個(gè)URL，然后走到我的計算機前嗎？還是我必須給某人回電話(huà)嗎？這是完全不同的業(yè)務(wù)模型。

　　另一個(gè)問(wèn)題是法律問(wèn)題。在美國，我們有“請勿打我電話(huà)”（Do Not Call）名單。因此，存在一種法律上的威懾力和業(yè)務(wù)模型上的威懾力，而這兩種威懾力都是針對SPIT模型的。我認為，這正是我們到目前為止沒(méi)有看到大量SPIT的原因。

　　Frank：我完全同意有關(guān)法律問(wèn)題的觀(guān)點(diǎn)。目前有1.37億人在“請勿打我電話(huà)”名單上注冊，這是我所知道的聯(lián)邦環(huán)境下最成功的計劃。

　　但是，我看到一種將在未來(lái)出現的VoIP垃圾郵件的版本。現在有一家名為O2的無(wú)線(xiàn)公司，每當我進(jìn)入一個(gè)有O2公司業(yè)務(wù)存在的國家，即便我當時(shí)使用不同的運營(yíng)商，我都會(huì )收到一條歡迎使用O2的文本消息。我沒(méi)有請求獲得鏈接，但我收到了歡迎我的文本消息。

問(wèn)：按A、B、C、D、E這樣的字母評級，您認為大多數企業(yè)在保護自己的IP電話(huà)環(huán)境上能得多少分？你認為今后3到5年中會(huì )出現什么VoIP威脅？

　　Frank：這不是IP電話(huà)或VoIP問(wèn)題。這是IP問(wèn)題，人們不應當懷疑IP或IP之上各層的安全性。

　　這就是說(shuō)，我會(huì )給出大致為B+的評分。非常少的企業(yè)的得分是A，非常少的是E；大多數企業(yè)得分在中間范圍。

　　但是必須說(shuō)明的是，這些企業(yè)到目前為止都還沒(méi)有經(jīng)歷過(guò)任何事情，因此它們沒(méi)有受到攻擊。

　　Orans：我的評分標準更嚴格，我給大多數企業(yè)的評分會(huì )是D。

　　多數人并不真正懂得存在的風(fēng)險，這些風(fēng)險源于安全專(zhuān)業(yè)人員與語(yǔ)音專(zhuān)業(yè)人員之間存在差距的事實(shí)，他們沒(méi)有充分地了解對方的業(yè)務(wù)。因此，如果將這些因素綜合在一起，我們其實(shí)面臨很大的風(fēng)險。

　　Frank：而對于未來(lái)3～5年中企業(yè)將面對的VoIP安全問(wèn)題，我認為你會(huì )看到一個(gè)越來(lái)越嚴重的局面，不管它是像Orans所說(shuō)的發(fā)生在服務(wù)器級，還是今后兩年里發(fā)生在大型企業(yè)實(shí)體桌面級上的大規模拒絕服務(wù)攻擊。原因是機會(huì )與漏洞并存。

　　Orans：我同意關(guān)于發(fā)生針對這些系統的攻擊只是時(shí)間問(wèn)題的觀(guān)點(diǎn)。我們已經(jīng)看到了針對PBX和手機的攻擊，這些攻擊的變種也不斷會(huì )蔓延到其他的設備和應用領(lǐng)域。因此，我們看到針對這些漏洞的攻擊也只是時(shí)間問(wèn)題而已，未來(lái)我們不得不面對更多的安全威脅。

網(wǎng)絡(luò )世界


相關(guān)鏈接:
用多層次方法保VoIP安全 2007-03-19
傲然而為，平實(shí)而威——傲威通信劉宇專(zhuān)訪(fǎng) 2007-03-19
五款常用網(wǎng)絡(luò )電話(huà)軟件橫向評測 2007-03-16
Skype助你擺脫束縛 感受VoIP新感覺(jué) 2007-03-16
基于A(yíng)RM的局域網(wǎng)IP電話(huà)設計 2007-03-16

分類(lèi)信息:              
         
 亚洲精品网站在线观看不卡无广告,国产a不卡片精品免费观看,欧美亚洲一区二区三区在线,国产一区二区三区日韩 武宁县| 安多县| 桦川县| 关岭| 苏州市| 巴南区| 大新县| 修武县| 鄂尔多斯市| 青州市| 江阴市| 景洪市| 响水县| 文昌市| 南木林县| 潜江市| 鄂温| 孟连| 公安县| 南充市| 苏尼特左旗| 青阳县| 花垣县| 忻城县| 息烽县| 昌宁县| 吐鲁番市| 南乐县| 万载县| 霍山县| 调兵山市| 岢岚县| 东丽区| 江北区| 柳江县| 福鼎市| 保德县| 楚雄市| 建湖县| 汉源县| 聂荣县| http://444 http://444 http://444 http://444 http://444 http://444