Защита айпи 53 в телефоне

Огромную роль в нашей жизни имеет информация и ее защита. Способы ее передачи могут отличаться, однако о безопасности и конфиденциальности данных важно позаботиться заблаговременно, чтобы защититься от их потери и сохранить их от искажения. Одним из популярных способов для коммуникаций является IP-телефония, и в силу ее особенной уязвимости важно позаботиться о сохранности информации.

Защита IP-телефонии обеспечивается с учетом существующих угроз и способов извлечения данных.

Современные атаки VoIP-сетей

Сетевые данные могут быть подвержены атакам аферистов и мошенников, конкурентов фирм или недоброжелателей, которые могут не только отследить важные корпоративные данные, но и провести их искажение или замену. Среди актуальных типов атак, которым может подвергаться передаваемая информация, выделяют:

1. Перехват телефонного трафика.

Наиболее опасный способ атак, при котором сведения могут передаваться третьему лицу. Для перехвата информации используются современные устройства и технологии, которые внедряют между адресантом и получателем информации третье лицо – злоумышленника, который может прослушивать переговоры. Актуальный способ для недоброжелателей или конкурентов компании, он позволяет отследить отправленные сведения и перехватить их до момента получения. При этом, злоумышленник будет осведомлен в лишней информации и сможет ее использовать в личных целях. Отсутствие шифрования голосовых данных делает IP-телефонию уязвимой.

2. Замена или взлом.

Несанкционированный доступ со стороны третьих лиц к передаваемой информации может привести к подмене сведений. Обычно это возможно при взломе аккаунтов, данная угроза может отразиться на деятельности компании, вызвать большие финансовые траты, сорвать важный контракт или даже повлиять на репутацию компании. Замена сведений осуществляется путем взлома, но при отсутствии защищенных каналов связи, данные могут распространяться и без наличия несанкционированного доступа со стороны мошенников или заинтересованных лиц.

3. Искажение.

Нередко передаваемая информация может искажаться или передаваться в неполной мере. Так вот прослушивание и искажение данных выполняется при отсутствии механизмов аутентификации, что приводит к нарушению безопасности. Далее могут последовать финансовые траты, использование телефонной сети, использование сведений в личных целях.

4. Запрет доступа.

Запрет доступа к передаче данных – это вполне реальная угроза, осуществляемая путем так называемой «перегрузки линии». При высокой нагрузке на сети они отказываются функционировать и исключают возможность работы IP-телефонии. Иными словами, это отсутствие связи между абонентами.

Как повысить безопасность IP-телефонии?

Коммуникационные сети должны быть проведены с учетом некоторых критериев и факторов. Для качественного функционирования и безопасности VoIP-сетей применяются следующие меры:

• Применение закрытых аудио кодеков, неизвестных злоумышленнику. Современные сети используют открытые кодеки, а потому данный способ защиты данных не пользуется большим спросом.
• Внедрение отдельной сети VLAN, которая поможет защитить данные, но она может поддаваться взлому. Особенно, если сеть налажена между несколькими отдаленными друг от друга инстанциями.
• Использование протоколов SRTP, ZRTP и IPSec для шифрования данных и криптографической аутентификации.
• Использование межсетевых экранов, обрабатывающих трафик. Они позволяют настраивать входящий и выходящий трафик, исключать внутренние и внешние атаки.
• Применение шифрованных VPN-туннелей с повышенной безопасностью, которые позволяют исключить постороннее вмешательство в телефонию. Передаваемые пакеты информации отправляются в уже зашифрованном виде, шифр которых понятен только участникам переговоров.

• Настройка серверов телефонии для повышения защиты линий. Для этого используются сложные пароли, отключение гостевых звонков (без авторизации), отключение звонков по причине неверного пароля, блокировка доступа после несанкционированного доступа при регистрации, ограничение направлений, мониторинг взлома.

Для повышения безопасности IP-телефонии важно применять большое количество мер, в противном случае защита данных будет находиться под регулярной угрозой. Репутация компании, ее честность и функционирование могут пострадать от несанкционированных взломов и постороннего доступа в систему коммуникаций.

Лучшее решение для защиты телефонии

Чтобы проделанная работа дала свои результаты, необходимо подойти к решению вопроса безопасности IP-телефонии в комплексе. Для любой телефонной сети важен момент конфиденциальности, чтоб обеспечивается при помощи защиты используемого трафика. Коммуникационная структура должна быть целостной, ее безопасность и надежность проверяются еще перед использованием, чтобы внутренние и внешние переговоры были защищены от прослушивания и постороннего доступа.

Для обеспечения качественной защиты IP-телефонии рекомендуется:

• Подбирать топологию сети для качественной работы оборудования и исключения постороннего воздействия на передаваемые данные;

• Исключить неавторизованных пользователей, которые могут подключаться к используемым устройствам;

• Проводить контроль MAC-адресов для предотвращения подключения посторонних IP-телефонов, которые могут проводить переговоры за ваш счет;

• Настроить все узлы для блокировки несанкционированного доступа;

• Применять системы для обнаружения атак, которые помогут защититься от нападения злоумышленников;

• Использовать адреса из RFC 1918;

• Провести разделение внешней и внутренней сетей;

• Настраивать голосовой трафик;

• Подключать протоколы SIP, H.323 и Cisco SCCP для удаленной связи между офисами;

• Обеспечить качественную систему аутентификации.

При этом, сеть должна быть комфортной для корпоративного использования и доступной всем участникам переговоров. Далее проверяется бесперебойность ее работы и функционирование во время вирусных или посторонних атак.

Министерство 
образования и науки Российской
Федерации 

ГОУ ВПО 
«Самарский Государственный Университет»

Механико-математический
факультет
 
 

Кафедра
безопасности информационных систем

               
Специальность «Организация и 
технология защиты информации»
 
 

Защита 
информации в IP-телефонии

Курсовая 
работа
 
 

                  Выполнил 
                  студент

                  курса 
                  3  группы  20301.10

                  Любичев
                  Андрей Максимович

                  ___________

                  Научный
                  руководитель

                  доцент 
                  Моисеев А.И.

                  ___________

                  Нормоконтроль
                  пройден

                  «__»_________2011г.

                  Работа 
                  защищена

                  «__»_________2011г.

                  оценка___________

                  зав.
                  кафедрой к.ф.-м.н.

                  доцент 
                  Осипов М.Н.

                  _____________ 

Самара
2011

СОДЕРЖАНИЕ 

ВВЕДЕНИЕ..……………………………………………………………………….3

1 IP-телефония..…………………………………………………………………..4

  
1.1 Основные понятия IP-телефонии и
типы архитектур сетей IP телефонии……………………..……………………………………………………4

  
1.2 Архитектура сети IP-телефонии….……………………………………….10

  
1.3 VoIP-шлюз..……………………………………………………..…………..11

    1.4 Уровни
архитектуры IP-телефонии………………………………………14

   
1.5 Стандарт мультимедийных приложений
H.323
…………………………17

  
1.6 Виды соединений при использовании
IP
-телефонии….……………….19

2 Типы
угроз в IP-телефонии………………………………………………………23

3 Способы
и средства защиты информации в VoIP…..…………………………26

  
3.1 Защита от прослушивания…………………………………………………..27

  
3.2 Защищенность сети доступа……………………………………..……….28

  
3.3 Технологии аутентификации………………………………………………32

ЗАКЛЮЧЕНИЕ………………………………………………………………….36

СПИСОК 
СОКРАЩЁННЫХ ОБОЗНАЧЕНИЙ……………………………….39

СПИСОК 
ИСПОЛЬЗУЕМЫХ ИСТОЧНИКОВ………………………………..42
 
 
 
 
 
 
 
 
 
 
 

ВВЕДЕНИЕ 

      Протокол 
IP
стал всемирным стандартом передачи
данных, и является общей платформой для
передачи голосовой, видео и прочей информации.
Крупнейшие телекоммуникационные компании
мира инвестируют в развитие собственных
IP
-сетей и в миграцию существующих голосовых
сетей на IP.

      Обычные
телефонные звонки требуют разветвлённой 
сети связи телефонных станций, связанных 
закреплёнными телефонными линиями.
Высокие затраты телефонных компаний
приводят к дорогим междугородним
разговорам.

      В
связи с повышением абонентской 
платы за использование телефонной
сети, IP-телефония становится более
актуальным и выгодным вариантом передачи
голоса и факсимильных данных.

     VoIP
— система связи, обеспечивающая передачу
речевого сигнала по сети
Интернет или по любым другим IP-сетям.
Сигнал по каналу связи передаётся в цифровом
виде и, как правило, перед передачей преобразовывается
(сжимается) с тем, чтобы удалить избыточность.

     Осталось 
в прошлом то время, когда операторы 
с опасением относились к использованию
IP
-телефонии, считая уровень защищенности
таких сетей низким. Сегодня уже можно
говорить о том, что IP-телефония стала
неким стандартом в телефонных коммуникациях.
Это объясняется удобством, относительной
надежностью и относительно невысокой
стоимостью IP-телефонии по сравнению
с аналоговой связью. Можно утверждать,
что IP-телефония повышает эффективность
ведения бизнеса и позволяет осуществлять
такие ранее недоступные операции, как
интеграция с различными бизнес-приложениями.

     Цель
данной курсовой работы – рассмотреть
и проанализировать основные угрозы, которым
подвергается IP-телефонная сеть, а
также дать рекомендации по решению возникающих
проблем.

1
IP
-телефония

      1.1
Основные понятия IP-телефонии и типы
архитектур сетей IP телефонии

      IP-телефония
– это технология, позволяющая использовать
Интернет или любую другую IP-сеть для
ведения международных, междугородных
или других телефонных разговоров и передачи
факсов в режиме реального времени. Для
организации телефонной связи по IP-сетям
используется специальное оборудование
– шлюзы IP-телефонии. Каждый шлюз должен
быть соединен с телефонным аппаратом
или абонентской линией АТС, пользователи
которых будут являться абонентами IP-шлюза.

       
Два абонента разных IP-шлюзов,
разделенные расстоянием в тысячи километров,
могут общаться в режиме реального времени,
оплачивая только время подключения к
IP
-сети. С равным успехом IP-шлюз может
использоваться и в локальной IP-сети.
Общий принцип действия телефонных шлюзов
IP
-телефонии таков: с одной стороны шлюз
подключается к аналоговым телефонным
линиям – и может соединиться с любым
телефоном мира. С другой стороны шлюз
подключен к IP-сети – и может связаться
с любым компьютером в мире. Шлюз принимает
телефонный сигнал, оцифровывает его (если
он исходно не цифровой), значительно сжимает,
разбивает на пакеты и отправляет через
IP
-сеть по назначению с использованием
протокола IP. Для пакетов, приходящих
из IP-сети на шлюз и направляемых в
телефонную линию, операция происходит
в обратном порядке. Обе составляющие
процесса связи (вход сигнала в телефонную
сеть и его выход из телефонной сети) происходят
практически одновременно, что позволяет
обеспечить полнодуплексный разговор.

      На 
основе этих базовых операций можно 
построить много различных конфигураций.
Для того, чтобы осуществить междугородную
(международную) связь с использованием
технологии IP-телефонии, организация
или оператор услуги должны иметь по шлюзу
(или IP-телефону) в тех местах, куда
и откуда планируются звонки. Стоимость
такой связи на порядок меньше стоимости
телефонного звонка по обычным телефонным
линиям. Особенно велика эта разница для
международных переговоров. IP-телефония
опирается на две основных операции: преобразование
(сжатие) речи внутри кодирующего/декодирующего
устройства (кодека) и упаковку в пакеты
для передачи по IP-сети. В IP-телефонии
используется особая система передачи
пакетов со звуковой информацией, что
обусловлено спецификой передачи данных
по IP-сетям.

      В
традиционных телефонных линиях между 
абонентами во время разговора создается
канал, чем обеспечивается фиксированная
пропускная способность для передачи
сигнала. В то время как IP-сеть представляет
собой систему, реализующую принцип коммутации
и маршрутизации пакетов. IP-сеть не
предоставляет гарантированного пути
между точками связи, вся передаваемая
информация (голос, текст, изображения,
и т.п.) разделяется на пакеты данных, имеющие
в своем составе адреса точек назначения
(приема и передачи) и порядковый номер.
Узлы IP-сети направляют эти пакеты
по сети до окончания маршрута доставки.
После прибытия пакетов к точке назначения,
для восстановления исходного объема
упорядоченных данных используются порядковые
номера пакетов. Для приложений, где не
важен порядок и интервал прихода пакетов,
таких как e-mail, время задержек между
отдельными пакетами не имеет решающего
значения.

      IP-телефония
является одной из областей передачи данных,
где важна динамика передачи сигнала,
которая обеспечивается современными
методами кодирования и передачи информации.
Для обеспечения стабильной телефонной
связи по IP-сетям введены специальные
протоколы передачи данных, например,
RTP
. При передаче в режиме реального
времени до 30% пакетов могут быть утеряны
или получены с опозданием (что в режиме
реального времени одно и то же). Хорошее
приложение IP-телефонии должно возместить
нехватку пакетов, восстановив потерянные
данные. Сам алгоритм кодирования речи
также оказывает влияние на восстановление
данных. Для кодирования звуковой информации
обычно используются следующие кодеки:
G.711
, G.722, G.723, G.723.1, G.726,
G.728
, и G.729 [1].

      Сеть 
IP
-телефонии представляет собой совокупность
оконечного оборудования, каналов связи
и узлов коммутации. Сети IP-телефонии
строятся по тому же принципу, что и сети
Интернет. Однако в отличие от сетей Интернет,
к сетям IP-телефонии предъявляются
особые требования по обеспечению качества
передачи речи. Одним из способов уменьшения
времени задержки речевых пакетов в узлах
коммутации является сокращение количества
узлов коммутации, участвующих в соединении.
Поэтому при построении крупных транспортных
сетей в первую очередь организуется магистраль,
которая обеспечивает транзит трафика
между отдельными участками сети, а оконечное
оборудование (шлюзы) включается в ближайший
узел коммутации (в соответствии с рис.
1). Оптимизация маршрута позволяет улучшить
качество предоставляемых услуг.
 

      Рис.
1 – Пример построения сети IP-телефонии
с использованием магистрали
 

      Для
связи между устройствами внутри
сети и с устройствами других сетей 
IP
-телефонии используются выделенные
каналы или сеть Интернет. По способу связи
оконечных устройств между собой сети
IP
-телефонии можно разделить на выделенные,
интегрированные и смешанные.

      В
выделенных сетях (в соответствии с рис.
2) связь между оконечными устройствами
осуществляется по выделенным каналам,
и пропускная способность этих каналов
используются только для передачи речевых
пакетов.

      Главное
преимущество выделенной сети — это 
высокое качество передачи речи, так 
как такие сети предназначены 
только для передачи речевого трафика.
Кроме того, для обеспечения гарантированного
качество предоставляемых услуг в этих
сетях, кроме протокола IP, применяются
и другие транспортные протоколы: ATM
и Frame Relay.
 

      Рис.
2 – Пример построения выделенной сети
IP
-телефонии
 

      В
интегрированных сетях IP-телефонии
для связи между устройствами используется
глобальная сеть Интернет (в соответствии
с рис. 3). Это может быть уже существующая
собственная сеть или доступ к сети Интернет
через провайдеров. Если оператор имеет
собственную сеть Интернет, то для предоставления
услуг IP-телефонии он лишь устанавливает
дополнительное оборудование, которое
обеспечивает преобразование речи в данные
и наоборот, и модернизирует уже имеющееся
оборудование, чтобы обеспечить качество
предоставляемых услуг. Если оператор
IP
-телефонии пользуется услугами провайдеров
Интернет, то качество услуг такой сети
может быть низким, так как обычные сети
Интернет не рассчитаны на передачу информации
в реальном масштабе времени.
 

      Рис.
3 – Пример построения интегрированной
сети IP-телефонии
 

      По 
разным причинам операторы сетей 
IP
-телефонии для объединения своих устройств
в сети могут использовать выделенные
каналы и сеть Интернет. Такие сети называются
сетями смешанного типа (в соответствии
с рис. 4). Вопрос о том, какие каналы использовать
для связи устройств между собой, решается
оператором индивидуально в зависимости
от возможностей [2].
 

      Рис.
4 – Пример построения смешанной сети
IP
-телефонии
 

      По 
своему масштабу все сети IP-телефонии
можно разделить на международные, региональные
и местные.

      Международная
сеть IP-телефонии имеет точки своего
присутствия в нескольких странах и обеспечивает
терминацию трафика практически в любую
точку мира при минимальном использовании
телефонной сети общего пользования. Чаще
всего, международные сети не работают
с конечными пользователями, а предоставляют
свою пропускную способность другим сетям.
Главной задачей международных сетей
является транзит трафика между сетями
различного уровня. При построении международной
сети в первую очередь строится мощная
магистраль, имеющая большую пропускную
способность. Международные сети строятся
с использованием выделенных каналов
и на базе уже существующих сетей Интернет.

      В
отличие от международной сети национальная
сеть имеет точки своего присутствия в
одной или, в крайнем случае, в нескольких
близлежащих странах и обслуживает абонентов
и местных операторов только этого региона.
С помощью заключения договоренности
с международными сетями национальная
сеть предоставляет своим абонентам и
другим местным сетям возможность терминации
вызовов в любую точку мира.

  • Tutorial

Привет, Хабр!
В этот раз хочу рассказать о технологиях шифрования VoIP звонков, о том какую защиту дают разные подходы и как организовать наиболее защищенную от прослушивания голосовую связь с технологическими гарантиями безопасности.
В статье я постараюсь доступно изложить особенности таких технологий как SIPTLS, SRTP и ZRTP. И продемонстрирую конкретные схемы использования на примере нашего сервиса ppbbxx.com

Немного теории

Любой VoIP вызов состоит из 2-х основных составляющих: обмена сигнальной информацией и передачи между пользователями media потоков с голосом и/или видео.
На первом этапе, в процессе обмена сигнальной информацией, клиенты напрямую либо посредством сервера договариваются между собой о параметрах устанавливаемого вызова. Если связь устанавливается с помощью сервера, на основе сигнальной информации сервер авторизует клиента, устанавливает кто и кому звонит, проводит маршрутизацию и коммутацию. Благодаря данным сигнального протокола клиенты и сервер согласуют метод шифрования, используемые media кодеки, обмениваются ip адресами и номерами портов, где ожидается приём media и тд. Происходит это по таким протоколам как SIP, XMPP и прочим.
Непосредственно «разговор», то есть обмен между клиентами голосовыми данными, как правило происходит по протоколу RTP. Данные внутри передаются в том виде, о котором договорились клиенты и сервер на «сигнальном» этапе. Обмен голосом возможен как напрямую между клиентами, так и через сервер — посредник. Во втором случае сервер может помочь клиентам с прохождением NAT и в выборе кодеков.

Итак, что же собой представляет шифрованный VoIP вызов? Дальше речь пойдёт о SIP протоколе как наиболее популярном.
Как мы уже выяснили, звонок состоит из сигнальной и media частей, каждая из которых может быть зашифрована отдельно с применением специальных методов-протоколов. Для шифрования сигнальной информации применяется SIPTLS, для шифрования «голоса» ZRTP и SRTP протоколы.

SIPTLS
— грубо говоря, аналог HTTPS для обычного SIP. Протокол позволяет клиенту убедиться, что он общается с нужным сервером при условии, что клиент доверяет предоставленному сервером сертификату. Подробнее можно прочитать на википедии

SRTP
и ZRTP
— это два разных способа шифровать RTP потоки. Принципиальное отличие между ними в том, что обмен ключами для SRTP происходит в сигнализации (на первой сигнальной стадии установки вызова). А для ZRTP непосредственно в начале обмена RTP пакетами (во второй, «медийной» части) по специальному протоколу , основанному на методе криптографии Диффи — Хеллмана.
Важно то, что для SRTP обязательным условием надёжности шифрования звонка является одновременное использование SIPTLS + SRTP, иначе злоумышленнику не составит труда получить ключи (которые будут переданы по не шифрованному SIP) и прослушать разговор. В то время как для ZRTP это не важно, RTP поток будет надёжно зашифрован не зависимо от того, шифруется сигнализация или нет. Более того протокол умеет определять наличие «man in the middle» (в том числе серверов услуг!) между непосредственно говорящими клиентами. Это позволяет быть уверенным в том, что разговор невозможно прослушать, по крайней мере с точки зрения прослушивания сети/среды передачи данных.

Схема подключения SIP клиентов с различными настройками шифрования:

Можно выделить следующие схемы установки шифрованного звонка:

  1. Оба пользователя используют SIPTLS и SRTP. В этом случае обмен ключами для шифрования media происходят по защищенному сигнальному протоколу. Предполагается доверие к серверу, участвующему в установке связи. Посторонние не могут получить доступ ни к сигнальной информации, ни к голосовым данным. Недостаток в том, что пользователь не уведомлен на уровне протокола (клиента) и не убежден, что второй пользователь также использует шифрованное подключение к серверу.
  2. Оба пользователя используют ZRTP, голос при этом проходит через сервер. В этом случае сервер определяется ZRTP протоколом как Trusted MitM (man in the middle). Обмен ключами происходит по алгоритму, основанному на методе Диффи — Хеллмана (что и гарантирует невозможность прослушки) по протоколу RTP. Если при этом используется защищенный SIPTLS — посторонние так же не могут получить доступ ни к сигнальной информации, ни к «голосу». Как и в первом варианте предполагается доверие к коммутирующему серверу, но в отличии от него для надёжного шифрования голоса не
    требуется обязательное использование защищенного SIPTLS. Также, в отличии от первого варианта, каждый пользователь видит, что разговор шифруется до сервера с обоих сторон, а также то, что оба подключены к одному и тому же (доверенному) серверу.
  3. Оба пользователя используют ZRTP, но media устанавливается напрямую между клиентами. Так как обмен ключами проходит напрямую между клиентами, даже сервер, осуществивший коммутацию, не может прослушать разговор. В этом случае оба клиента отображают информацию о том, что установлен безопасный прямой сеанс связи. Убедиться в этом можно сверив SAS (короткие строки авторизации) — они будут одинаковыми. Если требуется скрыть от посторонних сигнальную информацию, следует использовать SIPTLS. Это самый безопасный вариант, но в этом случае сервер не сможет выполнять многие функции, которые в других ситуациях выполняются на нем, к примеру запись непосредственно разговора, перекодирование голоса для клиентов с разными настройками аудиокодеков и тд.
  4. Один пользователь использует первый метод, описанный выше, а другой — второй. В этом случае так же требуется доверие к серверу. Сигнальная информация шифруется с помощью SIPTLS. Для пользователя с ZRTP протокол сообщит, что шифрованное соединение установлено до сервера (End at MitM). Используется ли шифрование с другой стороны на уровне протокола узнать не удастся.

На этом закончим с теорией и перейдём к практике! Настроим собственный SIP сервер, создадим SIP пользователей, установим SIP клиенты и научимся совершать шифрованные звонки c помощью бесплатного сервиса облачной телефонии ppbbxx.com

Настройка сервера


Для начала нужно создать собственный сервер. Для этого нужно зайти на сайт услуги ppbbxx.com , пройти простую регистрацию и войти в интерфейс настроек.

Первым делом пройдём в раздел «Internal network -> Domains
» и создадим собственный домен, чтобы не быть ограниченным в выборе имён SIP пользователей. Можно припарковать свой домен либо создать личный субдомен в одной из зон сервиса.
Далее необходимо в разделе «Internal network -> Sip Users
» создать SIP пользователей и настроить некоторые параметры их клиентов. Имена SIP пользователей могут быть произвольными, но так как на программных и аппаратных телефонах удобнее набирать цифры, мы будем заводить идентификаторы вида [email protected] и подобные. Я завёл 1000, 1001, 1002, 1003. После создания SIP идентификатора нужно не забыть нажать кнопку «Сохранить». Если никаких недозаполненных форм в интерфейсе настроек не осталось, система не будет ругаться и покажет лог изменений со статусом «Done».

Дальше необходимо настроить используемые кодеки и методы шифрования. Для этого нужно нажать значок с шестерёнкой слева от SIP идентификатора. Я планирую использовать SIP клиент (CSipSimple) на смартфоне и хочу использовать метод шифрования ZRTP поэтому в «basic
» вкладке настроек выбираю кодеки G729 и SILK, а во вкладке «protection
» ZRTP метод.


Вы можете выбрать другие параметры. Важно только заметить, что настройки для SIP аккаунта в интерфейсе услуги должны соответствовать
настройкам в SIP клиенте. Это необходимо для обеспечения корректной связи между клиентами с разными настройками кодеков и шифрования. Так же не забываем сохранять созданную конфигурацию.

В целом, для настройки простейшей конфигурации этого достаточно. Можно настраивать SIP клиенты и звонить между ними, набирая их номера 1000, 1001, 1002, 1003. При желании к этому можно добавить общий SIP шлюз для звонков в телефонную сеть и настроить соответствующую маршрутизацию звонков. Но, в таком случае, это уже несколько иная схема использования услуги, которая требует скорее другого рода мер безопасности, нежели шифрование трафика до шлюза.

Перейдём к настройке SIP клиентов

Как я уже сказал, я планирую использовать CSipSimple на андроид смартфонах. Первым делом нужно установить клиент, используя стандартный Play Market, либо скачать на сайте производителя , который кстати открывает исходники своего клиента, что в отдельных случаях может иметь едва ли не сакральное значение. Установить нужно сам клиент и дополнительно кодеки. У меня установлены «CSipSimple», «Codec Pack for CSipSimple» и «G729 codec for CSipSimple». Последний платный и использовать его не обязательно, бесплатные SILK и OPUS обеспечивают достойное качество звонков по 3G сетям.

Запускаем CSipSimple и переходим в интерфейс настройки. Выбираем мастер «Вasic» и настраиваем, используя данные из веб интерфейса. Должно получиться так:

Далее в общих настройках CSipSimple в разделе «Медиа -> Аудиокодеки
» нужно выбрать предпочитаемые кодеки. Для звонков через 3G я рекомендую использовать SILK, OPUS, iLBC, G729. Поскольку настройки в интерфейсе сервера и в интерфейсе клиента должны совпадать
, а на сервере я выбрал SILK и G729, то в списке аудиокодеков CSipSimple я ставлю галочки только напротив этих кодеков, а остальные снимаю.
В разделе клиента «Сеть -> Безопасный протокол
» нужно выбрать желаемые параметры шифрования. Я включаю только ZRTP. Остальное оставляю выключенным. При желании можно использовать SIPTLS — нужно учитывать что сервер ожидает TLS соединения на 443-м порту. Это сделано специально для слишком умных операторов мобильной связи, блокирующих стандартные для VoIP порты.
Так же нужно учитывать, что SRTP и ZRTP не всегда совместимы и крайне желательно выбирать в клиенте только один из них.

Совершение звонков с использованием ZRTP

После того, как все настройки выполнены, совершим несколько звонков для того чтоб продемонстрировать работу CSipSimple в звонках между пользователями с различными настройками безопасности.

Сразу после выполнения инструкции звонок SIP пользователя 1001 пользователю 1000 будет выглядит таким образом.
CSipSimple показывает, что в звонке участвует MitM сервер, к которому подключены оба клиента. Параметр EC25 означает, что используется протокол Диффи-Хеллмана на эллиптических кривых с параметром 256 бит. AES-256 — алгоритм симметричного шифрования, который применяется. Статус ZRTP — Verifyed означает, что контрольная строка SAS подтверждена пользователем.

Изменим режим передачи медиа в настройках ppbbxx для обоих клиентов. Установка direct media = yes позволит передавать голос напрямую. В этом случае стороны видят одинаковые строки SAS, используется алгоритм симметричного шифрования Twofish-256. Использование ZRTP в этом режиме требует от клиентов намного большей свместимости и менее надежно с точки зрения установки связи, поскольку сервер не участвует в передаче данных. Обязательно использование одинаковых аудиокодеков на всех клиентах и корректная работа NAT.

Если у SIP пользователя 1001 шифрование не установлено, тогда как 1000 использует ZRTP, то второй клиент покажет, что зашифрованная передача голоса происходит только до сервера (End at MitM).

Резюмируем

Связь полностью защищенную от прослушивания организовать можно. Это сделать не сложно. Наиболее подходящий способ для этого — использование протокола IP-телефонии SIP и метода шифрования медиа данных ZRTP. Сервис

Несмотря на солидный возраст технологии VoIP и ее широкое распространение в корпоративном и государственном секторе, использование данной технологии вызывает ряд серьезных проблем, связанных с безопасностью: относительно несложно установить прослушивание VoIP-звонков, относительно несложно изменить содержание VoIP-звонков, система VoIP подвержена DoS-атакам.

Существующие решения проблемы

Использование патентованных (закрытых) аудио кодеков

Некоторые производители предлагают решать вопросы безопасности IP-телефонии путем использования закрытых аудио кодеков. Вся защита строится на том, что злоумышленнику неизвестен алгоритм кодирования звука, но как только алгоритм становится известным, система перестает быть безопасной. Современные тенденции таковы, что большинство производителей использует открытые аудио кодеки. Таким образом, данный способ защиты потерял свою эффективность.

Использование VLAN

При построении системы IP-телефонии принято выделять отдельную сеть VLAN, к которой подключаются все IP-телефоны. Данный способ обладает рядом недостатков:

  • Если злоумышленник получит доступ к VLAN системы IP-телефонии, то ему будет доступны для прослушивания все телефонные переговоры.
  • Данное решение никак не может обеспечить безопасность системы IP-телефонии, построенной между двумя и более территориально распределенными офисами.

Шифрование и криптографическая аутентификация VoIP

Данный способ обеспечения безопасности на сегодняшний день является наиболее надежным. Защита современных систем IP-телефонии может быть реализована с помощью различных протоколов таких как SRTP, ZRTP и IPSec. Однако, каждый из этих протоколов обладает рядом существенных недостатков:

  • SRTP, ZRTP используют «слабую» криптографию — ключи шифрования недостаточной длины или некриптостойкие алгоритмы шифрования.
  • IPSec — требует проведения предварительного обмена ключами, часто блокируется различными интернет-провайдерами, в ряде случаев в силу ограничения технологии не позволяет установить защищенное соединение.
  • Помимо частных недостатков, все упомянутые способы криптографической защиты IP-телефонии обладают общим недостатком — отсутствие сертификатов ФСБ РФ и ФСТЭК РФ. Из этого следует, что существующие способы защиты IP-телефонии нельзя использовать в государственных учреждениях.

Решение обеспечения безопасности VoIP от ОАО «ИнфоТеКС»

Основой защиты VoIP является VPN-решение ViPNet CUSTOM, которое обладает следующим функционалом:

  • Шифрование и фильтрация сигнального и голосового трафика всех участников сети IP-телефонии.
  • Обеспечивает беспрепятственное прохождение VoIP-трафика через устройства NAT.
  • Поддержка виртуальных адресов, в том числе в протоколах SIP, H.323 и Cisco SCCP (Skinny Client Control Protocol), является решением проблемы пересечения пространства IP-адресов удаленных офисов.

Преимущества

  • Позволяет организовать защиту гетерогенных систем IP-телефонии.
  • Позволяет организовать защищенное взаимодействие между двумя и более локальными сетями с пересекающейся IP-адресацией без изменения топологии этих сетей.
  • Обеспечивает защиту мобильных пользователей IP-телефонии.
  • Обеспечивает прохождении VPN-трафика в случае использования NAT или противодействия со стороны провайдера.
  • Наличие сертификатов ФСБ и ФСТЭК.

Очень интересную статью о безопасности в IP телефонии, опубликовали на сайте linkmeup.ru . Выкладываем ее без изменений, так сказать, от автора.

=======================

Здравствуйте, коллеги и друзья, я, Семенов Вадим, совместно с командой проектаnetwork-class.net представляем вниманию обзорную статью, которая затрагивает основные тенденции и угрозы в IP телефонии, и самое главное, те инструменты защиты, что на данный момент предлагает производитель в качестве защиты (если выражаться языком специалистов по безопасности, то рассмотрим какие инструменты предлагает производитель для уменьшения уязвимостей, которыми смогут воспользоваться нелегитимные лица). Итак, меньше слов– переходим к делу.
Для многих читающих термин IP телефония уже давно сформировался, а также и то, что данная телефония «лучше», дешевле по сравнению с телефонией общего пользования (ТФОП), богата различными дополнительными функциями и т.д. И это действительно так, однако… отчасти. По мере перехода от аналоговой (цифровой) телефонии со своими абонентскими линиями (от абонентского телефона до станции или станционного выноса) и соединительными линиями (меж станционная линия связи) ни много ни мало были только лишь в зоне доступа и управления провайдера телефонии. Иными словами, обычным обывателям туда доступа не было (ну или практически так, если не учитывать кабельную канализацию). Вспоминается один вопрос на старом добром форуме хакеров «Подскажите, как получить доступ к АТС? – ответ: «Ну как, берешь бульдозер – таранишь стену здания АТС и вуаля». И эта шутка имеет свою долю правды) Однако с переносом телефонии в дешевую IP среду мы получили в довесок и те угрозы, которые несет в себе открытая IP среда. Примером приобретенных угроз может служить следующее:

  • Сниффинг сигнальных портов с целью совершения платных вызовов за чужой счет
  • Подслушивание за счет перехвата голосовых IP пакетов
  • Перехват звонка, представление нелегитимным пользователем как легитимный пользователь, атака «человек по середине»
  • DDOS атаки на сигнальные сервера станции с целью вывода из строя всей телефонии
  • Спам-атаки, обрушение большого количества фантомных вызовов на станцию с целью занять все её свободные ресурсы

Несмотря на очевидность в необходимости устранять все возможные уязвимости дабы уменьшить вероятность реализации той или иной атаки — по факту внедрение тех или иных мер защиты необходимо начинать с составления графика, учитывающего стоимость внедрения защитных мер от конкретной угрозы и убытков предприятия от реализации злоумышленниками этой угрозы. Ведь глупо тратить денег на безопасность актива больше, чем стоит сам актив, который мы защищаем.
Определив бюджет на безопасность, начнем устранение именно тех угроз, которые наиболее вероятны для компании, например для малой организации больнее всего будет получить большой счет за несовершенные междугородние и международные звонки, в то время как для государственных компаний важнее всего сохранить конфиденциальность разговоров. Начнем же постепенное рассмотрение в текущей статье с базовых вещей – это обеспечение безопасного способа доставки служебных данных от станции к телефону. Далее рассмотрим аутентификацию телефонов перед подключением их к станции, аутентификацию станции со стороны телефонов ну и шифрование сигнального трафика (для скрытия информации кто и куда звонит) и шифрование разговорного трафика.
У многих производителей голосового оборудования (в том числе и у Cisco Systems) есть уже интегрированные инструменты безопасности от обычного ограничения диапазона ip адресов, с которых можно совершать вызовы, до аутентификации оконечных устройств по сертификату. Например, у производителя Cisco Systems с его голосовой линейкой продуктов CUCM (Cisco Unified CallManager) с версии продукта 8.0 (дата выхода в свет май 2010г.; на данный момент доступна версия 10.5 от мая 2014г.) стала интегрироваться функция «Безопасность по умолчанию». Что она в себя включает:

  • Аутентификация всех скачиваемых по/с TFTP файлов (конфигурационные файлы, файлы прошивки для телефонов т.д.)
  • Шифрование конфигурационных файлов
  • Проверка сертификата с инициализации телефоном HTTPS соединения

Давайте рассмотрим пример атаки «человека по середине», когда нелегитимное лицо перехватывает конфигурационный файлы для телефонов, из которого телефон узнает на какую станцию ему регистрироваться, на каком протоколе работать, какую прошивку скачивать и т.д. Перехватив файл, злоумышленник сможет вносить в него свои изменения либо полностью затереть файл конфигурации, тем самым не дав телефонам всего офиса (см. рисунок) зарегистрироваться на станции, а, следовательно, лишив офиса возможности совершать звонки.

Рис.1 Атака «человек посередине»

Для защиты от этого нам понадобятся знания по несимметричному шифрованию, инфраструктуре открытых ключей и представления о составляющих «Безопасности по умолчанию», с которыми мы сейчас познакомимся: Identity Trust List (ITL) и Trust Verification Service (TVS). TVS – сервис, предназначенный для обработки запросов с IP телефонов, у которых нет ITL или CTL файла во внутренней памяти. IP телефон обращается к TVS в случае необходимости удостовериться может ли он доверять тому или иному сервису перед тем, как начать обращаться к нему. Станция к тому же выступает в роли репозитория, хранящем сертификаты доверенных серверов. В свою очередь ITL представляет собой список из открытых ключей составляющих кластер станции элементов, но для нас важно, что там хранится открытый ключ TFTP сервера и открытый ключ TVS сервиса. При первоначальной загрузке телефона, когда телефон получил свой IP адрес и адрес TFTP сервера, он запрашивает наличие ITL файла (рис.2). Если он есть на TFTP сервере, то, слепо доверяя, загружает его в свою внутреннюю память и хранит до следующей перезагрузки. После скачивания ITL файла телефон запрашивает подписанный конфигурационный файл.

Теперь рассмотрим как мы сможем использовать инструменты криптографии – подписывание файла с помощью хеш-функций MD5 или SHA и шифрование с помощью закрытого ключа TFTP сервера (рис.3). Особенность хеш-функций заключается в том, что это однонаправленные функции. По полученному хешу с какого-либо файла, нельзя проделать обратную операцию и получить в точности оригинальный файл. При изменении файла — изменяется и сам хеш, полученный с этого файла. Стоит отметить, что хеш не записывается в сам файл, а просто добавляется к нему и передается совместно с ним.

Рис.3 Подписывание файла конфигурации телефона

При формировании подписи берется сам конфигурационный файл, извлекается с него хеш и шифруется закрытым ключом TFTP сервера (который обладает только TFTP-сервер).
При получении данного файла с настройками, телефон первоначально проверяет его на целостность. Мы помним, что хеш — это однонаправленная функция, поэтому телефону не остается ничего делать, кроме как отделить зашифрованный TFTP сервером хеш от конфигурационного файла, расшифровать его с помощью открытого ключа TFTP (а откуда его знает IP телефон? – а как раз из ITL файла), из чистого конфигурационного файла вычислить хеш и сравнить его с тем, что мы получили при расшифровании. Если хеш совпадает — значит при передаче в файл не вносились никакие изменения и его можно смело применять на телефоне (рис.4).

Рис.4 Проверка файла конфигурации IP телефоном

Подписанный конфигурационный файл для телефона представлен ниже:

Рис. 5 Подписанный файл IP телефона в Wireshark

Подписав конфигурационный файл, мы смогли обеспечить целостность передаваемого файла с настройками, однако мы не защитили его от просмотра. Из пойманного файла конфигурации можно получить достаточно много полезной информации, например ip адрес телефонной станции (в нашем примере это 192.168.1.66) и открытые порты на станции (2427) и т.д. Не правда ли достаточно важная информация, которую не хотелось бы просто так «светить» в сети? Для скрытия данной информации производители предусматривают использование симметричного шифрования (для шифрования и дешифрования используется один и тот же ключ). Ключ в одном случае может быть введен на телефон вручную, в другом случае шифрование файла конфигурации телефона на станции происходит с использованием открытого ключа телефона. Перед отправлением файла телефону – tftp сервер, на котором хранится этот файл, шифрует его с помощью открытого ключа телефона и подписывает с помощью своего закрытого ключа (тем самым мы обеспечиваем не только скрытость, но и целостность передаваемых файлов). Здесь главное не запутаться, кто какой ключ использует, но давайте разберем по порядку: tftp сервер, зашифровав файл открытым ключом IP телефона, обеспечил тем самым, что этот файл сможет открыть только владелец парного открытого ключа. Подписав файл своим закрытым ключом, tftp сервер подтверждает, что именно он создал его. Зашифрованный файл представлен на рисунке 6:

Рис.6 Зашифрованный файл IP телефона

Итак, на данный момент мы рассмотрели возможность защищать наши конфигурационные файлы для телефонов от просмотра и обеспечивать их целостность. На этом функции «Безопасности по умолчанию» заканчиваются. Для обеспечения шифрования голосового трафика, скрытия сигнальной информации (о том кто звонит и куда звонит), необходимы дополнительные инструменты, основанные на списке доверенных сертификатов – CTL, который мы рассмотрим далее.

Аутентификация телефонной станции

Когда телефону необходимо взаимодействие с телефонной станцией (например, согласовать TLS соединение для обмена сигнализации), IP телефону необходимо аутентифицировать станцию. Как можно догадаться, для решения данной задачи также широко используются сертификаты. На данный момент современные IP станции состоят из большого количества элементов: несколько сигнальных серверов для обработки вызовов, выделенный сервер администрирования (через него добавляются новые телефоны, пользователи, шлюзы, правила маршрутизации и т.д.), выделенный TFTP сервер для хранения файлов конфигурации и программного обеспечения для телефонов, сервер для вещания музыки на удержании и проч, кроме этого в голосовой инфраструктуре может быть голосовая почта, сервер определения текущего состояния абонента (online, offline, «на обеде») – список набирается внушительный и, что самое главное, каждый сервер имеет свой самоподписанный сертификат и каждый работает как корневой удостоверяющий центр (рис.7). По этой причине любой сервер в голосовой инфраструктуре не будет доверять сертификату другого сервера, например голосовой сервер не доверяет TFTP серверу, голосовая почта – сигнальному серверу и к тому же телефоны должны хранить у себя сертификаты всех участвующих в обмене сигнального трафика элементов. Сертификаты телефонной станции изображены на рисунке 7.

Рис.7 Самоподписанные сертификаты Cisco IP станции

Для задач установления доверительных отношений между вышеописанными элементами в голосовой инфраструктур, а также шифрования голосового и сигнального трафика в игру входит так называемый список доверенных сертификатов Certificate Trust List (CTL). CTL содержит все самоподписанные сертификаты всех серверов в кластере голосовой станции, а также участвующих в обмене сигнальными сообщениями телефонии (например, файервол) и этот файл подписывается закрытым ключом доверенного центра сертификации (рис.8). CTL файл эквивалентен проинсталлированным сертификатам, которые используются в работе веб браузеров при работе с https протоколом.

Рис.8 Список доверенных сертификатов

Для того чтобы создать CTL файл на оборудовании Cisco, потребуется ПК с USB разъемом, установленная на нем программа CTL client и сам токен Site Administrator Security Token (SAST) (рис.9), содержащий закрытый ключ и X.509v3 сертификат, подписанный центром аутентификации производителя (Cisco).

Рис.9 eToken Cisco

CTL client — программа, которая устанавливается на Windows ПК и с которой можно перевести ВСЮ телефонную станцию в так называемый mixed mode, то есть смешанный режим поддержки регистрации оконечных устройств в безопасном и небезопасном режимах. Запускаем клиент, указываем IP адрес телефонной станции, вводим логин/пароль администратора и CTL client устанавливает TCP соединение по порту 2444 со станцией (рис.10). После этого будет предложено всего лишь два действия:

Рис.10 Cisco CTL Client

После создания CTL файла, остается перезагрузить TFTP сервера для того, чтобы они подкачали к себе новый созданный CTL файл, и далее перезагрузить голосовые сервера, чтобы IP телефоны также перезагрузились и загрузили новый CTL файл (32 килобайта). Загруженный CTL файл можно просмотреть из настроек IP телефона (рис.11)

Рис.11 CTL файл на IP телефоне

Аутентификация оконечных устройств

Для обеспечения подключения и регистрации только доверенных оконечных устройств необходимо внедрение аутентификации устройств. На этот случай многие производители используют уже проверенный способ – аутентификация устройств по сертификатам (рис.12). Например, в голосовой архитектуре Cisco это реализовано следующим образом: имеются два вида сертификатов для аутентификации с соответствующими открытыми и закрытыми ключами, которые хранятся на телефоне:
Manufacturer Installed Certificate – (MIC). Сертификат, установленный производителем, содержит 2048 битный ключ, который подписан центром сертификации компании производителя (Cisco). Данный сертификат установлен не на все модели телефонов, и если он установлен, то в наличии другого сертификата (LSC) нет необходимости.
Locally Significant Certificate – (LSC) Локально значащий сертификат, содержит открытый ключ IP телефона, который подписан закрытым ключом локального центра аутентификации, который работает на самой телефонной станции Сertificate Authority Proxy Function (CAPF).
Итак, если у нас есть телефоны с предустановленным MIC сертификатом, то каждый раз, когда телефон будет регистрироваться на станцию, станция будет запрашивать для аутентификации предустановленный производителем сертификат. Однако, в случае компрометации MIC-а для его замены необходимо обращение в центр сертификации производителя, что может потребовать большого количества времени. Дабы не зависеть от времени реакции центра сертификации производителя на перевыпуск скомпрометированного сертификата телефона, предпочтительней использование локального сертификата.

Рис.12 Сертификаты для аутентификации оконечных устройств

По умолчанию на IP телефон не установлен LSC сертификат и его установка возможна, используя MIB сертификат (при его наличии), или через TLS соединение (Transport Layer Security) по разделяемому общему ключу, сгенерированному администратором вручную на станции и введенном на телефоне.
Процесс установки на телефон локально значащего сертификата (LSC), содержащий открытый ключ телефона, подписанного локальным центром сертификации изображен на рисунке 13:

Рис.13 Процесс установки локально значащего сертификата LSC

1. После загрузки IP телефон запрашивает доверенный список сертификатов (CTL-файл) и файл с конфигурацией
2. Станция отправляет запрашиваемые файлы
3. Из полученной конфигурации телефон определяет – нужно ли ему загружать локально значащий сертификат (LSC) со станции
4. Если мы на станции выставили для телефона, чтобы он установил LSC сертификат (см.ниже), который станция будет использовать для аутентификации данного IP телефона, то мы должны позаботиться о том, чтобы на запрос об выдаче LSC сертификата – станция выдала его тому, кому он предназначается. Для этих целей мы можем использовать MIC-сертификат (если он есть), сгенерировать одноразовый пароль на каждый телефон и ввести его на телефоне вручную либо не использовать авторизацию вообще.
На примере продемонстрирован процесс установки LSC с использованием сгенерированно

Powered by SEO CMS ver.: 23.1 TOP 2 (opencartadmin.com)

Принцип действия технологии IP-телефонии прост. Центральным ее компонентом является сервер
(шлюз), который отвечает за соединение телефонной и IP сетей, т.е. он подключен как к телефонной
сети и может дозвониться до любого обычного телефона, так и к сети передачи данных (например,
Internet) и может получить доступ к любому компьютеру. В функции данного устройства входят:

    Ответ на вывоз вызывающего абонента

    Установление соединение с удаленным шлюзом и вызываемым абонентом

    Оцифровка (кодирование), сжатие, разбиение на пакеты и восстановление сигнала

Данный шлюз (например, Cisco Catalyst 4000 Access Gateway Module или Cisco VG200) на вход
принимает обычный телефонный сигнал, оцифровывает его (если сигнал не цифровой) и проводит
сжатие полученных данных, после чего передает в IP-сеть в виде обычных пакетов (но не очень
большого размера). На другом конце шлюз восстанавливает сигнал в обратном порядке. Данный
компонент может и не использоваться, если вы не планируете интегрировать свои IP-телефоны в
телефонную сеть общего пользования (см. рис.1).

Для того чтобы можно было построить распределенную сеть IP-телефонии необходимо наличие
диспетчера, который отвечает за распределение вызовов между шлюзами (например, Cisco
CallManager). Помимо этой задачи диспетчер проводит аутентификацию и авторизацию абонентов, а
также обладает интерфейсом к биллинговой системе.

Для удобства администрирования большого числа удаленных шлюзов и диспетчеров может
использоваться специальное программное обеспечение, называемое монитором. Ну и, наконец,
последним обязательным элементом сети IP-телефонии является абонентский пункт, который может
быть реализован как программным (например, Cisco IP SoftPhone), так и аппаратным способом
(например, Cisco IP Phone, подключаемые напрямую к Ethernet-порту коммутатора). Причем в первом
случае звонки можно осуществлять даже через домашний компьютер, оснащенный звуковой картой и
микрофоном, а во втором случае, в качестве абонентского пункта выступает т.н. IP-телефон.
Еще одним компонентом архитектуры IP-телефонии можно назвать специализированные
пользовательские приложения, возникшие благодаря интеграции голоса, видео и данных (call-центры,
системы унифицированной обработки сообщений).

Зачем атакуют IP-телефонию?

Сети IP-телефонии – хорошая цель для хакеров. Некоторые из них могут подшутить над вами, послав
вам голосовое сообщение от имени руководства компании. Кто-то может захотеть получить доступ к
голосовому почтовому ящику вашего руководства или даже захочет перехватить голосовые данные о
финансовых сделках, которыми обмениваются сотрудники финансового департамента или
бухгалтерии. Ваши конкуренты могут захотеть подорвать вашу репутацию путем выведения из строя
шлюзов и диспетчеров, тем самым, нарушая доступность телефонных услуг для ваших абонентов,
что, в свою очередь, может также привести к нанесению ущерба бизнесу ваших клиентов.
Существуют и другие причины, например, звонки за чужой счет (кража сервиса).

Возможные угрозы

Главная проблема с безопасностью IP-телефонии в том, что она слишком открыта и позволяет
злоумышленникам относительно легко совершать атаки на ее компоненты. Несмотря на то, что
случаи таких нападений практически неизвестны, они могут быть при желании реализованы, т.к. атаки
на обычные IP-сети практически без изменений могут быть направлены и на сети передачи
оцифрованного голоса. С другой стороны, похожесть обычных IP-сетей и сетей IP-телефонии
подсказывает нам и пути их защиты, но об этом чуть дальше.

Атаки на обычную телефонию применимы и для ее IP-родственницы — фонарь.

IP-телефония, являясь прямой родственницей обычной телефонии и IP-технологии, вобрала в себя
не только их достоинства, но и их недостатки. Т.е. атаки, присущие обычной телефонии, также могут
быть применены и для ее IP-составляющей. Перечислю некоторые из них, часть их которых я
рассмотрю более подробно:

    Подслушивание телефонных переговоров

    Отказ в обслуживании

    Подмена номера

    Кража сервисов

    Неожидаемые вызовы

    Несанкционированное изменение конфигурации

    Мошенничество со счетом.

Перехват данных

Перехват данных – самая большая проблема, как обычной телефонии, так и ее IP-родственницы.

Однако в последнем случае эта опасность намного выше, т.к. злоумышленнику уже не надо иметь
физический доступ к телефонной линии. Ситуацию ухудшает еще и тот факт, что множество
протоколов, построенных на базе стека TCP/IP, передают данные в открытом виде. Таким грехом
страдают HTTP, SMTP, IMAP, FTP, Telnet, SQL*net и, в том числе, протоколы IP-телефонии.
Злоумышленник, который смог перехватить голосовой IP-трафик (а он по умолчанию между шлюзами
не шифруется) может без труда восстановить исходные переговоры. Для этого существуют даже
автоматизированные средства. Например, утилита vomit (Voice Over Misconfigured Internet
Telephones), которая конвертирует данные, полученные в результате перехвата трафика с помощью
свободно распространяемого анализатора протоколов tcpdump, в обычный WAV-файл,
прослушиваемый с помощью любого компьютерного плейера. Эта утилита позволяет конвертировать
голосовые данные, переданные с помощью IP-телефонов Cisco и сжатые с помощью кодека G.711.
Мало того, помимо несанкционированного прослушивания злоумышленники могут повторно передать
перехваченные голосовые сообщения (или их фрагменты) для достижения своих целей.

Однако сразу хочу отметить, что перехват голосовых данных — не такая простая задача, как кажется
на первый взгляд. Злоумышленник должен иметь информацию об адресах шлюзов или абонентских
пунктов, используемых VoIP-протоколах (например, H.323) и алгоритмах сжатия (например, G.711). В
противном случае, злоумышленнику будет трудно настроить ПО для перехвата трафика или объем
перехваченных данных и время для их анализа превысит все допустимые пределы.

Перехват данных может быть осуществлен как изнутри корпоративной сети, так и снаружи.
Квалифицированный злоумышленник, имеющий доступ к физической среде передаче данных, может
подключить свой IP-телефон к коммутатору и таким образом подслушивать чужие переговоры. Он
также может изменить маршруты движения сетевого трафика и стать центральным узлом
корпоративной сети через который проходит интересующий его трафик. Причем, если во внутренней
сети вы можете с определенной долей вероятности обнаружить несанкционированно подключенное
устройство, перехватывающее голосовые данные, то во внешней сети обнаружить ответвления
практически невозможно. Поэтому любой незашифрованный трафик, выходящий за пределы
корпоративной сети, должен считаться небезопасным.

Отказ в обслуживании

Традиционная телефонная связь всегда гарантирует качество связи даже в случае высоких нагрузок,
что не является аксиомой для IP-телефонии. Высокая нагрузка на сеть, в которой передаются
оцифрованные голосовые данные, приводит к существенному искажению и даже пропаданию части
голосовых сообщений. Поэтому одна из атак на IP-телефонию может заключаться в посылке на
сервер IP-телефонии большого числа «шумовых» пакетов, которые засоряют канал передачи данных,
а в случае превышения некоторого порогового значения могут даже вывести из строя часть сети IP-
телефонии (т.е. атака «отказ в обслуживании»). Что характерно, для реализации такой атаки нет
необходимости «изобретать велосипед» — достаточно использовать широкие известные DoS-атаки
Land, Ping of Death, Smurf, UDP Flood и т.д. Одним из решений этой проблемы является
резервирование полосы пропускания, которого можно достичь с помощью современных протоколов,
например, RSVP. Более подробно способы защиты будут рассмотрены далее.

Отказ в обслуживании — серьезная проблема для устройств IP-телефонии. — фонарь

Подмена номера

Для связи с абонентом в обычной телефонной сети вы должны знать его номер, а в IP-телефонии –
роль телефонного номера выполняет IP-адрес. Следовательно, возможна ситуация, когда
злоумышленник, используя подмену адреса, сможет выдать себя за нужного вам абонента. Именно
поэтому задача обеспечения аутентификации не обойдена вниманием во всех существующих VoIP-
стандартах и будет рассмотрена чуть позже.

Атаки на абонентские пункты

Необходимо понимать, что абонентские пункты, реализованные на базе персонального компьютера
являются менее защищенными устройствами, чем специальные IP-телефоны. Этот тезис также
применим и к любым другим компонентам IP-телефонии, построенным на программной основе. Это
связано с тем, что на такие компоненты можно реализовать не только специфичные для IP-
телефонии атаки. Сам компьютер и его составляющие (операционная система, прикладные
программы, базы данных и т.д.) подвержены различным атакам, которые могут повлиять и на
компоненты IP-телефонии. Например, Internet-черви Red Code, Nimda, различные троянцы и вирусы,
DoS-атаки и их распределенные модификации – все это способно, если не вывести из строя
голосовую IP-инфраструктуру, то существенно нарушить ее функционирование. При этом, даже если
в самом ПО не найдено уязвимостей (до поры до времени), то используемые им другие программные
компоненты третьих фирм (особенно широко известные) могут снизить общую защищенность до
нуля. Ведь давно известно общее правило — «защищенность всей системы равна защищенности
самого слабого ее звена». Для примера можно привести Cisco CallManager, который использует для
своего функционирования Windows 2000 Server, MS Internet Information Server и MS SQL Server,
каждый из которых обладает своим букетом дыр.

Атаки на диспетчеры

Злоумышленники могут атаковать и узлы (Gatekeeper в терминах H.323 или Redirect server в
терминах SIP), которые хранят информацию о разговорах пользователей (имена абонентов, время,
продолжительность, причина завершения звонка и т.д.). Это может быть сделано, как с целью
получения конфиденциальной информации о самих разговорах, так и с целью модификации и даже
удаления указанных данных. В последнем случае биллинговая система (например, у оператора
связи) не сможет правильно выставлять счета своим клиентам, что может нарушить
функционирование или нанести ущерб всей инфраструктуре IP-телефонии.

Стандарты IP-телефонии и механизмы их безопасности

Отсутствие единых принятых стандартов в данной области (см. рис.2) не позволяет разработать и
универсальные рекомендации по защите устройств IP-телефонии. Каждая рабочая группа или
производитель по-своему решает задачи обеспечения безопасности шлюзов и диспетчеров, что
приводит к необходимости тщательного их изучения перед выбором адекватных мер по защите.

Безопасность H.323

H.323 — протокол, который позволяет построить VoIP-систему от начала и до конца. H.323 включает в
себя ряд спецификаций, в т.ч. и H.235, которая реализует некоторые механизмы безопасности
(аутентификацию, целостность, конфиденциальность и невозможность отказа от сообщений) для
голосовых данных.

Аутентификация в рамках стандарта H.323 может быть реализована как с помощью алгоритмов
симметричной криптографии (в этом случае не требуется никакого предварительного обмена между
взаимодействующими устройствами и не так интенсивно нагружается центральный процессор), так и
с помощью сертификатов или паролей. Кроме того, спецификация H.235 позволяет использовать в
качестве механизма аутентификации IPSec, который также рекомендуется к применению и в других
стандартах IP-телефонии.

После установки защищенного соединения, которое происходит через 1300 tcp-порт, узлы,
участвующие в обмене голосовыми данными, обмениваются информацией о методе шифрования,
которое может быть задействовано на транспортном (шифрование пакетов RTP-протокола) или
сетевом (с помощью IPSec) уровне.

Безопасность SIP

Данный протокол, похожий на HTTP и используемый абонентскими пунктами для установления
соединения (не обязательно телефонного, но и, например, для игр), не обладает серьезной защитой
и ориентирован на применение решений третьих фирм (например, PGP). В качестве механизма
аутентификации RFC 2543 предлагает несколько вариантов и, в частности, базовую аутентификацию
(как в HTTP) и аутентификацию на базе PGP. Пытаясь устранить слабую защищенность данного
протокола, Майкл Томас из компании Cisco Systems разработал проект стандарта IETF, названный
«SIP security framework», который описывает внешние и внутренние угрозы для протокола SIP и
способы защиты от них. В частности, к таким способам можно отнести защиту на транспортном
уровне с помощью TLS или IPSec. Кстати, компания Cisco в своей архитектуре безопасности
корпоративных сетей SAFE, очень большое внимание уделяет практическим вопросам защиты IP-
телефонии.

Безопасность MGCP

Стандарт MGCP, определенный в RFC 2705 и неприменяемый на оконечных устройствах (шлюзы
MGCP могут работать как с компонентами, поддерживающими H.323, так и с компонентами,
поддерживающими SIP), использует для защиты голосовых данных протокол ESP спецификации
IPSec. Может также использоваться и протокол AH (но только не в сетях IPv6), который обеспечивает
аутентификацию и целостность данных (connectionless integrity) и защиту от повторений,
передаваемых между шлюзами. В то же время, протокол AH не обеспечивает конфиденциальности
данных, которая достигается применением ESP (наряду с другими тремя защитными функциями).

Обеспечение безопасности

Выбор правильной топологии

Не рекомендуется использовать для VoIP-инфраструктуры концентраторы, которые облегчают
злоумышленникам перехват данных. Кроме того, т.к. оцифрованный голос обычно проходит по той же
кабельной системе и через тоже сетевое оборудование, что и обычные данные, стоит правильно
разграничить между ними информационные потоки. Это, например, может быть сделано с помощью
механизма VLAN (однако не стоит полагаться только на них). Сервера, участвующие в
инфраструктуре IP-телефонии желательно размещать в отдельном сетевом сегменте (см. рис.3),
защищенном не только с помощью встроенных в коммутаторы и маршрутизаторы механизмов
защиты (списки контроля доступа, трансляция адресов и обнаружение атак), но и с помощью
дополнительно установленных средств защиты (межсетевые экраны, системы обнаружения атак,
системы аутентификации и т.д.).

Вы должны помнить, что передача голосовых данных по вашей корпоративной сети накладывает на
ее проектирование особый отпечаток. Большое внимание вы должны уделить вопросам высокой
доступности и отказоустойчивости. Если пользователи еще могут привыкнуть к непродолжительному
выходу из строя Web-сервера или почтовой системы, то привыкнуть к нарушению телефонной связи
они не смогут. Обычная телефонная сеть так редко выходит из строя, что многие пользователи
закономерно наделяют свойством безотказности и ее IP-сестру. Поэтому сбой в работе VoIP-
инфраструктуры может подорвать к ней доверие со стороны пользователей, что в свою очередь
может привести к отказу от ее использования и нанесению материального ущерба ее собственнику.

Физическая безопасность

Желательно запретить неавторизованный доступ пользователей к сетевому оборудованию, в т.ч. и
коммутаторам, и по возможности все неабонентское оборудование разместить в специально
оборудованных серверных комнатах. Это позволит предотвратить несанкционированное
подключение компьютера злоумышленника. Кроме того, следует регулярно проверять наличие
несанкционированно подключенных к сети устройств, которые могут быть «врезаны» напрямую в
сетевой кабель. Для определения таких устройств можно использовать различные методы, в т.ч. и
сканеры (например, Internet Scanner или Nessus), дистанционно определяющие наличие в сети
«чужих» устройств.

Контроль доступа

Еще один достаточно простой способ защиты инфраструктуры VoIP – контроль MAC-адресов. Не
разрешайте IP-телефонам с неизвестными MAC-адресами получать доступ к шлюзам и иным
элементам IP-сети, передающей голосовые данные. Это позволит предотвратить
несанкционированное подключение «чужих» IP-телефонов, которые могут прослушивать ваши
переговоры или осуществлять телефонную связь за ваш счет. Разумеется, MAC-адрес можно
подделать, но все-таки не стоит пренебрегать такой простой защитной мерой, которая без особых
проблем реализуется на большинстве современных коммутаторов и, даже, концентраторов.
Узлы (в основном, шлюзы, диспетчеры и мониторы) должны быть настроены таким образом, чтобы
блокировать все попытки несанкционированного доступа к ним. Для этого можно воспользоваться как
встроенными в операционные системы возможностями, так и продуктами третьих фирм. А так как мы
работаем в России, то я рекомендую применять средства, сертифицированные в Гостехкомиссии
России, тем более что таких средств немало.

VLAN

Технология виртуальных локальных сетей (VLAN) обеспечивает безопасное разделение физической
сети на несколько изолированных сегментов, функционирующих независимо друг от друга. В IP
телефонии эта технология используется для отделения передачи голоса от передачи обычных
данных (файлов, e-mail и т.д.). Диспетчеры, шлюзы и IP-телефоны помещают в выделенную VLAN
для передачи голоса. Как я уже отметил выше, VLAN существенно усложняет жизнь
злоумышленникам, но не снимает всех проблем с подслушиванием переговоров. Существуют
методы, которые позволяют злоумышленникам перехватывать данные даже в коммутированной
среде.

Шифрование

Шифрование должно использоваться не только между шлюзами, но и между IP-телефоном и
шлюзом. Это позволит защитить весь путь, который проходят голосовые данные из одного конца в
другой. Обеспечение конфиденциальности не только является неотъемлемой частью стандарта
H.323, но и реализовано в оборудовании некоторых производителей. Однако этот механизм
практически никогда не задействуется. Почему? Потому что качество передачи данных является
первоочередной задачей, а непрерывное зашифрование/расшифрование потока голосовых данных
требует времени и вносит зачастую неприемлемые задержки в процесс передачи и приема трафика
(задержка в 200 . 250 мсек может существенно снизить качество переговоров). Кроме того, как уже
было сказано выше, отсутствие единого стандарта не позволяет принять всеми производителями
единый алгоритм шифрования. Однако справедливости ради надо сказать, что сложности перехвата
голосового трафика пока позволяют смотреть на его шифрование сквозь пальцы.

Кстати, если вы все-таки решитесь использовать шифрование, то помните, что, шифруя голосовые
данные, вы скрываете их не только от злоумышленника, но и от средств обеспечения контроля
качества (QoS), которые не смогут предоставить им соответствующую полосу пропускания и
приоритетное обслуживание. Устранив одну проблему (беззащитность), перед вами встает другая
(качество обслуживания). И можно быть уверенным, что при таком раскладе вы предпочтете решение
второй проблемы, пренебрегая решением первой. Кстати, шифровать можно тоже не все подряд.
Сигнальные протоколы, используемые в IP-телефонии, шифровать не рекомендуется, т.к. в этом
случае вы зашифруете и всю служебную информацию, необходимую для поддержания
работоспособности всей сети.

Но не стоит сразу отказываться от шифрования — все-таки обезопасить свои переговоры также
необходимо. Поэтому стоит с умом подходить к шифрованию VoIP-данных. Например, компания
Cisco рекомендует вместо туннеля GRE или применения VPN-концентраторов Cisco VPN 3000
использовать команду Crypto в операционной системе IOS своего оборудования, что позволяет
защитить данные при сохранении качества обслуживания. Кроме того, можно использовать
выборочное шифрование только для определенных полей в VoIP-пакетах.

Для защиты корпоративной сети обычно используется межсетевые экраны, которые с тем же успехом

могут быть использованы и для защиты VoIP-инфраструктуры. Единственное, что необходимо
сделать — добавить ряд правил, учитывающих топологию сети, местоположение установленных
компонентов IP-телефонии и т.д. Например, доступ к Cisco CallManager из Internet или
демилитаризованной зоны обычно блокируется, однако в случае использования Web-
ориентированного управления такой доступ должен быть разрешен, но только для 80-го порта и
только для ограниченного диапазона внешних адресов. А для защиты SQL-сервера, входящего в
состав Cisco CallManager, можно запретить доступ со всех портов кроме 1433-го.

Кстати, существует два типа межсетевых экранов, которые могут быть использованы для защиты
компонентов IP-телефонии. Первый из них, корпоративный, ставится на выходе из корпоративной
сети и защищает сразу все ее ресурсы. Примером такого МСЭ является CiscoSecure PIX Firewall.
Второй тип — персональный, защищающий только один конкретный узел, на котором может стоять
абонентский пункт, шлюз или диспетчер. Примерами таких персональных МСЭ являются RealSecure
Desktop Protector или BlackICE PC Protector. Кроме того, некоторые операционные системы
(например, Linux или Windows 2000) имеют встроенные персональные межсетевые экраны, что
позволяет задействовать их возможности для повышения защищенности инфраструктуры VoIP.
В зависимости от используемого стандарта IP-телефонии применение межсетевых экранов может
повлечь за собой разные проблемы. Например, после того, как с помощью протокола SIP
абонентские пункты обменялись информацией о параметрах соединения, все взаимодействие
осуществляется через динамически выделенные порты с номерами больше 1023. В этом случае МСЭ
заранее «не знает» о том, какой порт будет использован для обмена голосовыми данными и, как
следствие, будет такой обмен блокировать. Поэтому межсетевой экран должен уметь анализировать
SIP-пакеты с целью определения используемых для взаимодействия портов и динамически
создавать или изменять свои правила. Аналогичное требование предъявляется и для других
протоколов IP-телефонии.

Еще одна проблема связан с тем, что не все МСЭ умеют грамотно обрабатывать не только заголовок
протокола IP-телефонии, но и его тело данных, т.к. зачастую важная информация находится внутри
него. Например, информация об адресах абонентов в протоколе SIP находится именно в теле
данных. Неумение межсетевого экрана «вникать в суть» может привести к невозможности обмена
голосовыми данными через межсетевой экран или «открытии» в нем слишком большой дыры, которой
могут воспользоваться злоумышленники.

Аутентификация

Различные IP-телефоны поддерживают механизмы аутентификации, которые позволяют
воспользоваться его возможностями только после предъявления и проверки пароля или
персонального номера PIN, разрешающего пользователю доступ к IP-телефону. Однако надо
заметить, что данное решение не всегда удобно для конечного пользователя, особенно в условиях
ежедневного использования IP-телефона. Возникает обычное противоречие «защищенность или
удобство».

RFC 1918 и трансляция адресов

Не рекомендуется использовать для VoIP IP-адреса, доступные из Internet, — это существенно снижает
общий уровень безопасность инфраструктуры. Поэтому при возможности используйте адреса,
указанные в RFC 1918 (10.x.x.x, 192.168.x.x и т.д.) и немаршрутизируемые в Internet. Если это
невозможно, то необходимо задействовать на межсетевом экране, защищающем вашу
корпоративную сеть, механизм трансляции адресов (network address translation, NAT).

Системы обнаружения атак

Выше уже было рассказано о некоторых атаках, которые могут нарушить работоспособность VoIP-
инфраструктуры. Для защиты от них можно использовать хорошо себя зарекомендовавшие и
известные в России средства обнаружения атак (intrusion detection system), которые не только
своевременно идентифицируют нападения, но и блокируют их, не давая нанести вред ресурсам
корпоративной сети. Такие средства могут защищать как целые сетевые сегменты (например,
RealSecure Network Sensor или Snort), так и отдельные узлы (например, CiscoSecure IDS Host Sensor
или RealSecure Server Sensor).

IP-телефония все чаще и чаще начинает применяться в компаниях. Она повышает эффективность ведения бизнеса и позволяет осуществлять многие до этого невозможные операции (например, интеграцию с CRM и другими бизнес-приложениями, снижение издержек на построение и эксплуатацию телекоммуникационной инфраструктуры, создание эффективных Call-центров, снижение совокупной стоимости владения системой и т.п.). Однако, активное развитие IP-телефонии сдерживается тем, что вокруг этой технологии циркулирует много слухов о ее низкой безопасности. Компания Cisco Systems доказала, что это не так и данная публикация призвана развенчать сложившиеся мифы о незащищенности IP-телефонии.

Сразу надо заметить, что Cisco — единственный производитель, обеспечивающий защиту инфраструктуры IP-телефонии на всех ее уровнях, начиная от транспортной среды и заканчивая голосовыми приложениями. Это достигается внедрением решений в рамках инициативы Cisco Self-Defending Network. Высокий уровень защищенности решений Cisco Systems подтверждается и независимыми тестовыми лабораториями. В частности, журнал NetworkWorld (http://www.nwfusion.com/reviews/2004/0524voipsecurity.html) протестировал несколько решений по IP-телефониии и только решению Cisco присвоил максимально возможный рейтинг «SECURE» («защищенный»).

1. IP-телефония не защищает от подслушивания разговора

Решения IP-телефонии компании Cisco используют несколько технологий и механизмов, обеспечивающих конфиденциальность проводимых . Во-первых, это выделение голосового трафика в выделенный сегмент сети и разграничение доступа к голосовому потоку путем использования правил контроля доступа на маршрутизаторах и межсетевых экранах. Во-вторых, весь голосовой трафик может быть защищен от несанкционированного прослушивания с помощью технологии построения виртуальных частных сетей (VPN). Протокол IPSec позволяет защитить телефонный разговор, осуществляемый даже через сети открытого доступа, например, Интернет. И, наконец, компания Cisco реализовала в своих IP-телефонах специально разработанный для обеспечения конфиденциальности голосового потока протокол SecureRTP (SRTP), не позволяющий посторонним проникнуть в тайну телефонных переговоров.

2. IP-телефония подвержена заражению червями, вирусами и троянцами

Для защиты инфраструктуры IP-телефонии от заражения различными вредоносными программами компания Cisco предлагает целый ряд защитных мер, позволяющих построить эшелонированную оборону, препятствующую не только внедрению, но и распространению червей, вирусов, троянских коней и других типов вредоносной активности. Первой линией обороны является применение межсетевых экранов и систем обнаружения и предотвращения атак, наряду с антивирусами компаний-партнеров компании Cisco, для разграничения доступа к инфраструктуре IP-телефонии.

Вторая линия обороны строится на использовании антивирусов и систем предотвращения атак на оконечных узлах, участвующих в инфраструктуре IP-телефонии — Cisco IP SoftPhone, Cisco CallManager, Cisco Unity, Cisco IP Contact Center (IPCC) Express, Cisco Personal Assistant, Cisco IP Interactive Voice Response и т.д.

Последняя по счету, но не последняя по важности линия обороны — инициатива Network Admission Control, предложенная компанией Cisco Systems. В рамках этой инициативы все несоответствующие политике безопасности (в т.ч. и с неустановленным антивирусным программным обеспечением) рабочие станции и сервера не смогут получить доступ к корпоративной сети и нанести ущерб ее ресурсам.

3. IP-телефония не защищает от подмены телефонов и серверов управления

Для защиты от устройств, пытающихся замаскироваться под авторизованные IP-телефоны или несанкционированно подключенных к сетевой инфраструктуре, компания Cisco предлагает использовать не только уже упомянутые выше правила контроля доступа на маршрутизаторах и межсетевых экранах, но и развитые средства строгой аутентификации всех абонентов инфраструктуры IP-телефонии (включая сервер управления Call Manager), для подтверждения подлинности которых используются различные стандартизированные протоколы, включая RADIUS, сертификаты PKI Х.509 и т.д.

4. Злоумышленник с административными правами может нарушить функционирование инфраструктуры 1Р-телефонии

В CallManager предусмотрены расширенные возможности по наделению различных системных администраторов только теми правами, которые им нужны для выполнения своих обязанностей. К таким правам могут быть отнесены — доступ к конкретным настройкам только на чтение, полное отсутствие доступа к ним, доступ на изменение и т.д.). Кроме того, все производимые администратором действия фиксируются в специальном журнале регистрации и могут быть проанализированы в любой момент в поисках следов несанкционированной активности.

Управление конфигурацией IP-телефонов и взаимодействие их с CallManager осуществляется по защищенному от несанкционированного доступа каналу, предотвращая любые попытки прочтения или модификации управляющих команд. Для защиты канала управления используются различные стандартизованные протоколы и алгоритмы — IPSec, TLS, SHA-1 и т.д.

5. CallManager незащищен, потому что установлен на платформе Windows

Несмотря на то, что сервер управления инфраструкторой IP-телефонии CallManager установлен на платформе Windows, он не имеет присущих этой платформе слабых мест. Это связано с тем, что CallManager работает под управлением защищенной и оптимизированной версии Windows в которой:

  • отключены все ненужные сервисы и учетные записи,
  • установлены все необходимые и регулярно обновляемые «заплатки»,
  • настроена политика безопасности.

Кроме того, CallManager дополнительно защищается специальными скриптами, входящими в дистибутив и автоматизирующими процесс повышения уровня защищенности сервера управления инфраструктурой IP-телефонии. Дополнительный уровень защиты CallManager от вирусов, червей, троянских коней и других вредоносных программ и атак достигается за счет применения антивируса (например, McAfee) и системы предотвращения атак Cisco Secure Agent, которые блокируют все попытки злоумышленников вывести из строя основной компонент сегмента IP-телефонии.

6. IP-телефонию легко вывести из строя

Несмотря на то, что различные компоненты IP-телефонии потенциально подвержены атакам «отказ в обслуживании», решения компании Cisco Systems предлагают целый ряд защитных мер, предотвращающих как сами DoS-атаки, так и их последствия. Для этого можно использовать как встроенные в сетевое оборудование механизмы обеспечения информационной безопасности, так и дополнительные решения, предлагаемые компанией Cisco Systems:

  • Разделение корпоративной сети на непересекающиеся сегменты передачи голоса и данных, что предотвращает появление в «голосовом» участке распространенных атак, в т.ч. и DoS.
  • Применение специальных правил контроля доступа на маршрутизаторах и межсетевых экранах, защищающих периметр корпоративной сети и отдельные ее сегменты.
  • Применение системы предотвращения атак на узлах Cisco Secure Agent.
  • Применение специализированной системы защиты от DoS и DDoS-атак Cisco Guard и Cisco Traffic Anomaly Detector.
  • Применение специальных настроек на сетевом оборудовании Cisco, предотвращающих подмену адреса, часто используемую при DoS-атаках, и ограничивающих полосу пропускания, не позволяющую вывести из строя атакуемые ресурсы большим потоком бесполезного трафика.

7. К IP-телефонам можно осуществить несанкционированный доступ

Сами IP-телефоны содержат целый ряд специальных настроек, препятствующих несанкционированному доступу к ним. К таким настройкам можно отнести, например, доступ к функциям телефона только после предъявления идентификатора и пароля или запрет локального изменения настроек и т.д.

С целью предотвращения загрузки на IP-телефон несанкционированно модифицированного программного обеспечения и конфигурационных файлов, их целостность контролируется электронной цифровой подписью и сертификатами Х.509.

8. CallMananger можно перегрузить большим числом звонков

Максимальное число звонков в час на один сервер CallManager составляет до 100000 (в зависимости от конфигурации) и это число может быть увеличено до 250000 при использовании кластера CallManager. При этом в CallManager существуют специальные настройки, ограничивающие число входящих звонков необходимым значением. Кроме того, в случае потери связи с одним из CallManager»ов возможна автоматическая перерегистрация IP-телефона на резервном CallManager, а также автоматическая смена маршрута звонка.

9. В IP-телефонии легко совершить мошенничество

Сервер управления инфраструктурой IP-телефонии CallManager содержит ряд возможностей, позволяющих снизить вероятность осуществления телефонного мошенничества в зависимости от его типа (кража услуг, фальсификация звонков, отказ от платежа и т.п.). В частности, для каждого абонента можно:

  • заблокировать звонки как на определенные группы номеров, так и с них,
  • заблокировать возможность переадресации звонков на различные типы номеров -городские, мобильные, междугородние, международные и т.д.,
  • отфильтровывать звонки по различным параметрам,
  • и т.д.

При этом все эти действия осуществляются независимо от того, с какого телефонного аппарата абонент осуществляет звонок. Это реализуется путем аутентификации каждого абонента, получающего доступ к IP-телефону. Если пользователь не проходит процесс подтверждения своей подлинности, то он может звонить только по заранее определенному списку телефонных номеров, например, в скорую помощь, милицию или внутренний отдел поддержки.

10.Традиционная телефония более защищена, чем IP-телефония

Это самый распространенный миф, который существует в области телефонии. Традиционная телефония, разработанная десятилетия назад гораздо менее защищена новой и более совершенной технологии IP-телефонии. В традиционной телефонии гораздо легче осуществить подключение к чужому разговору, подмену номера, «наводнение» звонками и множество других угроз, некоторым из которых нет аналогов в IP-телефонии (например, war dialing). Защита традиционной телефонии обеспечивается гораздо более дорогими средствами и механизмами, чем в IP-телефонии, в которой эти средства встроены в сами компоненты этой технологии. Например, для защиты от прослушивания традиционное использует специальные устройства — скремблеры, централизованное управление которыми невозможно; не говоря уже стоимости их приобретения и установки перед каждым телефонным аппаратом.

Смартфоны с защитой IP68, планшеты с IP67, умные часы с IP4 – мы видим эти шифры очень часто, но не знаем ни их смысла, ни истинных возможностей устройств, прошедших такую сертификацию. Настало время разобраться с аббревиатурой IPХХ по-взрослому. Давайте вскроем этот код и посмотрим на что способна IP68-степень защиты смартфона.

Класс защиты смартфона IP68: что это за цифры?

Ingress Protection Rating (IP) – это рейтинг корпуса (кожуха, оболочки), защищающего электроприбор (установку, оборудование) от воздействия внешней среды. В числах рейтинг обозначается как IPXX. Причем ХХ – это цифровое обозначение класса защиты.

Первая цифра в классе защиты — уровень защищенности от проникновения предметов: от 0 (защиты нет) до 6 (не проникнет даже пыль).

Вторая цифра в классе показывает на защиту от воды – от 0 (защиты нет) до 8 (работает на метровой глубине).

В итоге, если в спецификации стоит шифр IP67 – смартфоны защищены от пыли и могут нырнуть на 1 метр, но не могут работать под водой.

Если класс защиты IP68 – смартфоны не только не обращают внимания на пыль, но и будут работать под водой в течение 30 минут.

То есть смартфоны с защитой IP68 – это практически вездеходы в мире электроники. Они стоят на ступеньку ближе к абсолютно не убиваемым аппаратам, чем мобильные устройства, соответствующие сертификату IP67.

Смартфоны с защитой IP67

Степень защиты IP67 гарантирует сохранение работоспособности после кратковременного погружении в воду на глубину до 1 метра. Однако защита от пыли тут максимальная. Поэтому, если вы ищите настоящий туристический смартфон, защита IP67 — хорошо, но не совсем то, что нужно.

смартфон защита IP67

Степень защиты смартфона IP67 подойдет городскому телефону, способному пережить и весенний дождь, и пыльное лето, и осеннюю распутицу. Вы даже можете уронить его в лужу, но ничего более. Действительно жесткого обращения смартфоны с защитой IP67 не переживут. Однако у этих мобильных устройств есть очень хорошая черта – IP67 ставят не только на дорогие смартфоны, но и на устройства попроще.

В список не очень дорогих, но очень защищенных смартфонов с IP67 можно включить следующие аппараты:

  • Alcatel OneTouch Go Play 7048X – 5-дюймовый середнячок на Snapdragon 410.
  • Blackview BV5000 – еще один 5-дюймовый смартфон, собранный на базе MediaTek MT6735P.
  • Ginzzu RS93 DUAL – бюджетник с гигабайтом оперативки, экраном на 4,7 дюйма и процессором MediaTek MT6582.
  • Runbo F1 32Gb – аппарат среднего класса с батареей на 5300 мАч и процессором MediaTek MT6752.

Ну а самый знаменитый смартфон с защитой IP67 – это iPhone 7. То есть до этого класса защиты доводят не только корпуса бюджетных китайских смартфонов, но и телефоны премиум-класса. Вот только Apple не распространяет гарантию на случаи, связанные с контактом iPhone 7 с водой или пылью.

Смартфоны с защитой IP68

Этот уровень защиты гарантирует не только сохранение работоспособности смартфона после погружения в воду. Степень защиты смартфона IP68 указывает на то, что устройство будет работать под водой. По крайней мере, на глубине 1 метр и в течение 30 минут. Согласитесь, это уже совсем другой уровень защиты. При этом IP68 ставится как на аппараты среднего класса, так и на премиум смартфоны, а иногда и на бюджетники.

класс защиты ip68 смартфоны

На сегодняшний день в открытой продаже можно найти следующие смартфоны с классом защиты IP68:

  • Blackview BV6000 – шустрый середнячок с 4,7-дюймовым дисплеем, 3 Гб оперативной памяти и процессором Helio P10.
  • Caterpillar Cat S30 – откровенный бюджетник, построенный на базе Snapdragon 210.
  • Samsung Galaxy A7 – имидж-смартфон на базе Snapdragon 615 с 5,5-дюймовым Super AMOLED экраном.

Самые знаменитые аппараты, имеющие класс защиты IP68 – смартфоны корейского бренда Samsung – Galaxy S7 Edge и Galaxy S7. То есть в деле защиты корпуса Samsung сумел обставить вечных конкурентов из Купертино.

IP68 степень защиты смартфона

На сегодняшний день проблемы информационной безопасности в мире приобретают всё большую актуальность. В СМИ часто можно наткнуться на новость об очередной успешной хакерской атаке, крупной утечке критичных данных или очередном вирусе-вымогателе, который срывает работу целых компаний. Даже если Вы человек далёкий от информационной безопасности и мира информационных технологий, то Вы всё равно наверняка слышали о вирусе “WannaCry”, уязвимостях “Spectre” и “Meltdown” и может быть даже о недавней атаке на устройства компании Cisco, которая ударила по крупным провайдерам и парализовала много сервисов и сетевых сегментов.

Однако, широкой огласке обычно подвергаются новости об атаках и уязвимостях, носящие массовый характер, направленных на наиболее распространенные инфраструктурные системы. Мы же хотим рассказать о том, как обстоит ситуация с информационной безопасностью в отдельной в отдельно взятой сфере — IP телефонии и решений VoIP. Разберём наиболее важные проблемы и тренды развития данного направления.

Проблемы информационной безопасности в VoIP

Если раньше, выбирая на чём строить офисную телефонию, заказчиков больше всего волновали вопросы стоимости и надёжности, то в связи с нынешним положением, вопросы защиты и безопасности всё чаще начинают преобладать. Хотя IP телефония имеет массу преимуществ по сравнению с системами традиционной телефонии, её намного легче взломать. В случае с традиционной системой PSTN злоумышленник должен получить физический доступ к среде передачи или системам, которые задействованы в обмене голосовой информацией. IP телефония – это прежде всего сеть с коммутацией пакетов, которые передаются на ряду с другими корпоративными сервисами – Интернетом, почтой и другими. Если эта сеть недостаточно защищена, то злоумышленнику даже не обязательно находиться в одной стране с системой IP телефонии, чтобы получить доступ к критичным данным, украсть их или модифицировать.

Вот почему необходимо обеспечивать многоуровневую защиту систем корпоративной IP телефонии. Недостаточно просто поставить стойкий пароль к интерфейсу управления. Это должен быть чёткий набор определённых мер, применяемых в комплексе – межсетевое экранирование, антивирусная защита, регулярные обновления программного обеспечения, шифрование передаваемых данных и другое.

Отдельно следует уделить внимание повышению осведомлённости своих сотрудников об атаках из разряда социальной инженерии. Одним из наиболее распространённых векторов атаки данного типа на сегодняшний день является “фишинг”. Суть его заключается в том, что злоумышленник рассылает “письма счастья” с вредоносными вложениями, в надежде на то, что человек откроет это вложение и тем самым, загрузит на свой компьютер вредонос. Защититься от таких атак можно сразу на нескольких уровнях:

  1. Межсетевой экран, на котором адрес отправителя фишинговых писем должен быть заблокирован. Автоматизировать процесс получения актуального списка адресов активных отправителей для блокировки на МСЭ, можно с помощью решений Threat Intelligence. Существуют как платные решения от таких компаний как Anomali, ThreatConnect или EclecticIQ, так и OpenSource, например, YETI и MISP.
  2. Решение для защиты почтового сервера, которое проверяет все письма на предмет подозрительных вложений, адреса отправителя, блокирует спам. Примерами таких решений является Kaspersky Security для почтовых серверов, AVG Email Server Edition для ME, McAfee Security for Email Servers. Кстати, в этом случае также можно автоматизировать процесс блокировки с помощью решений TI.
  3. Антивирусное ПО для защиты оконечных устройств, которое заблокирует опасное вложение, если всё-таки вредонос сможет пролезть через МСЭ и почтовый сервер. Для этого подойдёт Kaspersky Endpoint Security, Norton, Trend Micro и другие.

Но если от фишинга можно защититься с помощью специализированных программ и аппаратных решений, то от следующих видов атак, основанной на социальной инженерии, защититься гораздо труднее. Возможно, Вы не знали, но помимо традиционного email “фишинга”, существует также и телефонный. Например, сотруднику Вашей компании на голосовую почту может прийти сообщение от “банка” о том, что кто-то пытался получить доступ к его счёту и что ему необходимо срочно перезвонить по оставленному номеру. Не трудно догадаться, что на другом конце провода, его будет ждать злоумышленник, который постарается сделать всё, чтобы втереться в доверие, украсть данные его счёта, чтобы в итоге похитить денежные средства.

Существует также телефонный “вишинг”. Этот тип атаки направлен на первую линию сотрудников, которые принимают все входящие звонки в Вашей компании. На общий номер поступает звонок от какой-нибудь известной организации или персоны, а дальше с помощью методов психологического давления, доверчивого сотрудника заставляют что-либо сделать. В самом лучшем случае, позвонивший будет агрессивно требовать соединить его с руководством компании, чтобы предложить какие-нибудь услуги, в самом худшем — выдать конфиденциальную или критически важную информацию. А что, если злоумышленник узнает каким банком обслуживается Ваша компания и позвонит бухгалтеру от лица “Вашего банка”? К такому тоже нужно быть готовым.

Защититься от подобного типа атак можно было бы с помощью некоего аналога Threat Intelligence для VoIP – списка телефонных номеров, с которых поступают “фишинговые” и “вишинговые” звонки, чтобы заблокировать их на АТС. Однако, такого решения пока нет, поэтому придётся просвещать сотрудников на тему безопасности.

Безопасность облачных систем

Сейчас уже сложно обозначить чёткие границы офисной сети. С распространением облачных решений, распределённых сетей VPN и всеобщей виртуализации, корпоративная сеть уже перестала иметь чёткую географическую привязку.

Аналогично обстоят дела и в сфере VoIP. Каждый крупный провайдер IP телефонии имеет в своем наборе услуг облачную АТС, которая настраивается в считанные минуты и способна обеспечить телефонией компанию любого размера и неважно где территориально она расположена. Облачная или виртуальная АТС – это очень удобное решение, которое привлекает заказчиков тем, что не надо держать лишние сервера в здании и обслуживать их. Вместо этого, можно просто арендовать необходимые серверные мощности или сервис телефонии. Однако, с точки зрения информационной безопасности, облачные АТС – это идеальная цель для хакерских атак. Потому что, как правило, аккаунты для доступа к настройкам АТС, находятся в открытом доступе. Если владелец аккаунта не озаботится созданием стойкого пароля, то он рискует оплатить немаленький счёт за телефонные разговоры злоумышленника или предоставить доступ к записям разговоров своих сотрудников. В этой связи при выборе провайдера следует также проверить обеспечивает ли он дополнительные мероприятия по защите целостности и конфиденциальности данных. Используется шифрование при подключении к аккаунту с настройками облачной АТС, шифруются ли данные при их транспортировке.

Тренды развития направления ИБ в VoIP

Наиболее распространённым методом защиты корпоративной инфраструктуры является организация защищённой сети VPN, когда подключение извне осуществляется по зашифрованному каналу, а данные внутри сети передаются в незашифрованном виде. Это относится и к голосовому трафику. Однако, тенденции развития информационных технологий указывают на то, что в недалёком будущем голосовая информация также будет подвергаться шифрованию. Большинство VoIP вендоров уже давно имплементируют в своих решениях поддержку таких протоколов как SIP/TLS, SRTP, ZRTP и д.р, стимулируя пользователей применять внедрять ещё один уровень защиты. Например, большинство IP-телефонов и решений видеоконференцсвязи от компании Cisco, а также системы CUCM, CUBE, Cisco SBC, UCCS и д.р поддерживают TLS 1.2 и SRTP. Самое распространённое Open Source решение IP-АТС Asterisk имеет поддержку защищённых протоколов передачи медиа трафика начиная с версии 1.8. В программной Windows-based АТС 3CX версии V15, поддержка SRTP включена по умолчанию.

VoIP решения зачастую очень тесно интегрируются с другими корпоративными системами, такими как CRM, ERP, CMS, не говоря уже о таких каналах бизнес коммуникаций как email, обмен мгновенными сообщениями (чат) и социальные сети, формируя в совокупности концепцию UC (Unified Communications). Потенциальные преимущества, которые несёт данная концепция очень привлекательны, но вместе с тем, создаётся множество точек уязвимых к возможному взлому. Недостаточный уровень защиты одной из них может быть угрозой всей корпоративной сети. Поэтому разработчики, несомненно, будут усиливать безопасность каналов интеграции данных систем.

Можно также ожидать интеграцию систем корпоративной телефонии в такие средства защиты как DLP (средства защиты от утечек), адаптации метрик VoIP в SIEM системах (система управления информацией и событиями безопасности), а также появление унифицированных репутационных баз (Threat Intelligence) со списками потенциально опасных номеров или других индикаторов компрометации, относящихся к VoIP, которые будут автоматически блокироваться имеющимися средствами защиты.

Пожалуйста, расскажите почему?

Нам жаль, что статья не была полезна для вас:(Пожалуйста, если не затруднит, укажите по какой причине? Мы будем очень благодарны за подробный ответ. Спасибо, что помогаете нам стать лучше!

Принцип действия технологии IP-телефонии прост. Центральным ее компонентом является сервер
(шлюз), который отвечает за соединение телефонной и IP сетей, т.е. он подключен как к телефонной
сети и может дозвониться до любого обычного телефона, так и к сети передачи данных (например,
Internet) и может получить доступ к любому компьютеру. В функции данного устройства входят:

    Ответ на вывоз вызывающего абонента

    Установление соединение с удаленным шлюзом и вызываемым абонентом

    Оцифровка (кодирование), сжатие, разбиение на пакеты и восстановление сигнала

Данный шлюз (например, Cisco Catalyst 4000 Access Gateway Module или Cisco VG200) на вход
принимает обычный телефонный сигнал, оцифровывает его (если сигнал не цифровой) и проводит
сжатие полученных данных, после чего передает в IP-сеть в виде обычных пакетов (но не очень
большого размера). На другом конце шлюз восстанавливает сигнал в обратном порядке. Данный
компонент может и не использоваться, если вы не планируете интегрировать свои IP-телефоны в
телефонную сеть общего пользования (см. рис.1).

Для того чтобы можно было построить распределенную сеть IP-телефонии необходимо наличие
диспетчера, который отвечает за распределение вызовов между шлюзами (например, Cisco
CallManager). Помимо этой задачи диспетчер проводит аутентификацию и авторизацию абонентов, а
также обладает интерфейсом к биллинговой системе.

Для удобства администрирования большого числа удаленных шлюзов и диспетчеров может
использоваться специальное программное обеспечение, называемое монитором. Ну и, наконец,
последним обязательным элементом сети IP-телефонии является абонентский пункт, который может
быть реализован как программным (например, Cisco IP SoftPhone), так и аппаратным способом
(например, Cisco IP Phone, подключаемые напрямую к Ethernet-порту коммутатора). Причем в первом
случае звонки можно осуществлять даже через домашний компьютер, оснащенный звуковой картой и
микрофоном, а во втором случае, в качестве абонентского пункта выступает т.н. IP-телефон.
Еще одним компонентом архитектуры IP-телефонии можно назвать специализированные
пользовательские приложения, возникшие благодаря интеграции голоса, видео и данных (call-центры,
системы унифицированной обработки сообщений).

Зачем атакуют IP-телефонию?

Сети IP-телефонии – хорошая цель для хакеров. Некоторые из них могут подшутить над вами, послав
вам голосовое сообщение от имени руководства компании. Кто-то может захотеть получить доступ к
голосовому почтовому ящику вашего руководства или даже захочет перехватить голосовые данные о
финансовых сделках, которыми обмениваются сотрудники финансового департамента или
бухгалтерии. Ваши конкуренты могут захотеть подорвать вашу репутацию путем выведения из строя
шлюзов и диспетчеров, тем самым, нарушая доступность телефонных услуг для ваших абонентов,
что, в свою очередь, может также привести к нанесению ущерба бизнесу ваших клиентов.
Существуют и другие причины, например, звонки за чужой счет (кража сервиса).

Возможные угрозы

Главная проблема с безопасностью IP-телефонии в том, что она слишком открыта и позволяет
злоумышленникам относительно легко совершать атаки на ее компоненты. Несмотря на то, что
случаи таких нападений практически неизвестны, они могут быть при желании реализованы, т.к. атаки
на обычные IP-сети практически без изменений могут быть направлены и на сети передачи
оцифрованного голоса. С другой стороны, похожесть обычных IP-сетей и сетей IP-телефонии
подсказывает нам и пути их защиты, но об этом чуть дальше.

Атаки на обычную телефонию применимы и для ее IP-родственницы — фонарь.

IP-телефония, являясь прямой родственницей обычной телефонии и IP-технологии, вобрала в себя
не только их достоинства, но и их недостатки. Т.е. атаки, присущие обычной телефонии, также могут
быть применены и для ее IP-составляющей. Перечислю некоторые из них, часть их которых я
рассмотрю более подробно:

    Подслушивание телефонных переговоров

    Отказ в обслуживании

    Подмена номера

    Кража сервисов

    Неожидаемые вызовы

    Несанкционированное изменение конфигурации

    Мошенничество со счетом.

Перехват данных

Перехват данных – самая большая проблема, как обычной телефонии, так и ее IP-родственницы.

Однако в последнем случае эта опасность намного выше, т.к. злоумышленнику уже не надо иметь
физический доступ к телефонной линии. Ситуацию ухудшает еще и тот факт, что множество
протоколов, построенных на базе стека TCP/IP, передают данные в открытом виде. Таким грехом
страдают HTTP, SMTP, IMAP, FTP, Telnet, SQL*net и, в том числе, протоколы IP-телефонии.
Злоумышленник, который смог перехватить голосовой IP-трафик (а он по умолчанию между шлюзами
не шифруется) может без труда восстановить исходные переговоры. Для этого существуют даже
автоматизированные средства. Например, утилита vomit (Voice Over Misconfigured Internet
Telephones), которая конвертирует данные, полученные в результате перехвата трафика с помощью
свободно распространяемого анализатора протоколов tcpdump, в обычный WAV-файл,
прослушиваемый с помощью любого компьютерного плейера. Эта утилита позволяет конвертировать
голосовые данные, переданные с помощью IP-телефонов Cisco и сжатые с помощью кодека G.711.
Мало того, помимо несанкционированного прослушивания злоумышленники могут повторно передать
перехваченные голосовые сообщения (или их фрагменты) для достижения своих целей.

Однако сразу хочу отметить, что перехват голосовых данных — не такая простая задача, как кажется
на первый взгляд. Злоумышленник должен иметь информацию об адресах шлюзов или абонентских
пунктов, используемых VoIP-протоколах (например, H.323) и алгоритмах сжатия (например, G.711). В
противном случае, злоумышленнику будет трудно настроить ПО для перехвата трафика или объем
перехваченных данных и время для их анализа превысит все допустимые пределы.

Перехват данных может быть осуществлен как изнутри корпоративной сети, так и снаружи.
Квалифицированный злоумышленник, имеющий доступ к физической среде передаче данных, может
подключить свой IP-телефон к коммутатору и таким образом подслушивать чужие переговоры. Он
также может изменить маршруты движения сетевого трафика и стать центральным узлом
корпоративной сети через который проходит интересующий его трафик. Причем, если во внутренней
сети вы можете с определенной долей вероятности обнаружить несанкционированно подключенное
устройство, перехватывающее голосовые данные, то во внешней сети обнаружить ответвления
практически невозможно. Поэтому любой незашифрованный трафик, выходящий за пределы
корпоративной сети, должен считаться небезопасным.

Отказ в обслуживании

Традиционная телефонная связь всегда гарантирует качество связи даже в случае высоких нагрузок,
что не является аксиомой для IP-телефонии. Высокая нагрузка на сеть, в которой передаются
оцифрованные голосовые данные, приводит к существенному искажению и даже пропаданию части
голосовых сообщений. Поэтому одна из атак на IP-телефонию может заключаться в посылке на
сервер IP-телефонии большого числа «шумовых» пакетов, которые засоряют канал передачи данных,
а в случае превышения некоторого порогового значения могут даже вывести из строя часть сети IP-
телефонии (т.е. атака «отказ в обслуживании»). Что характерно, для реализации такой атаки нет
необходимости «изобретать велосипед» — достаточно использовать широкие известные DoS-атаки
Land, Ping of Death, Smurf, UDP Flood и т.д. Одним из решений этой проблемы является
резервирование полосы пропускания, которого можно достичь с помощью современных протоколов,
например, RSVP. Более подробно способы защиты будут рассмотрены далее.

Отказ в обслуживании — серьезная проблема для устройств IP-телефонии. — фонарь

Подмена номера

Для связи с абонентом в обычной телефонной сети вы должны знать его номер, а в IP-телефонии –
роль телефонного номера выполняет IP-адрес. Следовательно, возможна ситуация, когда
злоумышленник, используя подмену адреса, сможет выдать себя за нужного вам абонента. Именно
поэтому задача обеспечения аутентификации не обойдена вниманием во всех существующих VoIP-
стандартах и будет рассмотрена чуть позже.

Атаки на абонентские пункты

Необходимо понимать, что абонентские пункты, реализованные на базе персонального компьютера
являются менее защищенными устройствами, чем специальные IP-телефоны. Этот тезис также
применим и к любым другим компонентам IP-телефонии, построенным на программной основе. Это
связано с тем, что на такие компоненты можно реализовать не только специфичные для IP-
телефонии атаки. Сам компьютер и его составляющие (операционная система, прикладные
программы, базы данных и т.д.) подвержены различным атакам, которые могут повлиять и на
компоненты IP-телефонии. Например, Internet-черви Red Code, Nimda, различные троянцы и вирусы,
DoS-атаки и их распределенные модификации – все это способно, если не вывести из строя
голосовую IP-инфраструктуру, то существенно нарушить ее функционирование. При этом, даже если
в самом ПО не найдено уязвимостей (до поры до времени), то используемые им другие программные
компоненты третьих фирм (особенно широко известные) могут снизить общую защищенность до
нуля. Ведь давно известно общее правило — «защищенность всей системы равна защищенности
самого слабого ее звена». Для примера можно привести Cisco CallManager, который использует для
своего функционирования Windows 2000 Server, MS Internet Information Server и MS SQL Server,
каждый из которых обладает своим букетом дыр.

Атаки на диспетчеры

Злоумышленники могут атаковать и узлы (Gatekeeper в терминах H.323 или Redirect server в
терминах SIP), которые хранят информацию о разговорах пользователей (имена абонентов, время,
продолжительность, причина завершения звонка и т.д.). Это может быть сделано, как с целью
получения конфиденциальной информации о самих разговорах, так и с целью модификации и даже
удаления указанных данных. В последнем случае биллинговая система (например, у оператора
связи) не сможет правильно выставлять счета своим клиентам, что может нарушить
функционирование или нанести ущерб всей инфраструктуре IP-телефонии.

Стандарты IP-телефонии и механизмы их безопасности

Отсутствие единых принятых стандартов в данной области (см. рис.2) не позволяет разработать и
универсальные рекомендации по защите устройств IP-телефонии. Каждая рабочая группа или
производитель по-своему решает задачи обеспечения безопасности шлюзов и диспетчеров, что
приводит к необходимости тщательного их изучения перед выбором адекватных мер по защите.

Безопасность H.323

H.323 — протокол, который позволяет построить VoIP-систему от начала и до конца. H.323 включает в
себя ряд спецификаций, в т.ч. и H.235, которая реализует некоторые механизмы безопасности
(аутентификацию, целостность, конфиденциальность и невозможность отказа от сообщений) для
голосовых данных.

Аутентификация в рамках стандарта H.323 может быть реализована как с помощью алгоритмов
симметричной криптографии (в этом случае не требуется никакого предварительного обмена между
взаимодействующими устройствами и не так интенсивно нагружается центральный процессор), так и
с помощью сертификатов или паролей. Кроме того, спецификация H.235 позволяет использовать в
качестве механизма аутентификации IPSec, который также рекомендуется к применению и в других
стандартах IP-телефонии.

После установки защищенного соединения, которое происходит через 1300 tcp-порт, узлы,
участвующие в обмене голосовыми данными, обмениваются информацией о методе шифрования,
которое может быть задействовано на транспортном (шифрование пакетов RTP-протокола) или
сетевом (с помощью IPSec) уровне.

Безопасность SIP

Данный протокол, похожий на HTTP и используемый абонентскими пунктами для установления
соединения (не обязательно телефонного, но и, например, для игр), не обладает серьезной защитой
и ориентирован на применение решений третьих фирм (например, PGP). В качестве механизма
аутентификации RFC 2543 предлагает несколько вариантов и, в частности, базовую аутентификацию
(как в HTTP) и аутентификацию на базе PGP. Пытаясь устранить слабую защищенность данного
протокола, Майкл Томас из компании Cisco Systems разработал проект стандарта IETF, названный
«SIP security framework», который описывает внешние и внутренние угрозы для протокола SIP и
способы защиты от них. В частности, к таким способам можно отнести защиту на транспортном
уровне с помощью TLS или IPSec. Кстати, компания Cisco в своей архитектуре безопасности
корпоративных сетей SAFE, очень большое внимание уделяет практическим вопросам защиты IP-
телефонии.

Безопасность MGCP

Стандарт MGCP, определенный в RFC 2705 и неприменяемый на оконечных устройствах (шлюзы
MGCP могут работать как с компонентами, поддерживающими H.323, так и с компонентами,
поддерживающими SIP), использует для защиты голосовых данных протокол ESP спецификации
IPSec. Может также использоваться и протокол AH (но только не в сетях IPv6), который обеспечивает
аутентификацию и целостность данных (connectionless integrity) и защиту от повторений,
передаваемых между шлюзами. В то же время, протокол AH не обеспечивает конфиденциальности
данных, которая достигается применением ESP (наряду с другими тремя защитными функциями).

Обеспечение безопасности

Выбор правильной топологии

Не рекомендуется использовать для VoIP-инфраструктуры концентраторы, которые облегчают
злоумышленникам перехват данных. Кроме того, т.к. оцифрованный голос обычно проходит по той же
кабельной системе и через тоже сетевое оборудование, что и обычные данные, стоит правильно
разграничить между ними информационные потоки. Это, например, может быть сделано с помощью
механизма VLAN (однако не стоит полагаться только на них). Сервера, участвующие в
инфраструктуре IP-телефонии желательно размещать в отдельном сетевом сегменте (см. рис.3),
защищенном не только с помощью встроенных в коммутаторы и маршрутизаторы механизмов
защиты (списки контроля доступа, трансляция адресов и обнаружение атак), но и с помощью
дополнительно установленных средств защиты (межсетевые экраны, системы обнаружения атак,
системы аутентификации и т.д.).

Вы должны помнить, что передача голосовых данных по вашей корпоративной сети накладывает на
ее проектирование особый отпечаток. Большое внимание вы должны уделить вопросам высокой
доступности и отказоустойчивости. Если пользователи еще могут привыкнуть к непродолжительному
выходу из строя Web-сервера или почтовой системы, то привыкнуть к нарушению телефонной связи
они не смогут. Обычная телефонная сеть так редко выходит из строя, что многие пользователи
закономерно наделяют свойством безотказности и ее IP-сестру. Поэтому сбой в работе VoIP-
инфраструктуры может подорвать к ней доверие со стороны пользователей, что в свою очередь
может привести к отказу от ее использования и нанесению материального ущерба ее собственнику.

Физическая безопасность

Желательно запретить неавторизованный доступ пользователей к сетевому оборудованию, в т.ч. и
коммутаторам, и по возможности все неабонентское оборудование разместить в специально
оборудованных серверных комнатах. Это позволит предотвратить несанкционированное
подключение компьютера злоумышленника. Кроме того, следует регулярно проверять наличие
несанкционированно подключенных к сети устройств, которые могут быть «врезаны» напрямую в
сетевой кабель. Для определения таких устройств можно использовать различные методы, в т.ч. и
сканеры (например, Internet Scanner или Nessus), дистанционно определяющие наличие в сети
«чужих» устройств.

Контроль доступа

Еще один достаточно простой способ защиты инфраструктуры VoIP – контроль MAC-адресов. Не
разрешайте IP-телефонам с неизвестными MAC-адресами получать доступ к шлюзам и иным
элементам IP-сети, передающей голосовые данные. Это позволит предотвратить
несанкционированное подключение «чужих» IP-телефонов, которые могут прослушивать ваши
переговоры или осуществлять телефонную связь за ваш счет. Разумеется, MAC-адрес можно
подделать, но все-таки не стоит пренебрегать такой простой защитной мерой, которая без особых
проблем реализуется на большинстве современных коммутаторов и, даже, концентраторов.
Узлы (в основном, шлюзы, диспетчеры и мониторы) должны быть настроены таким образом, чтобы
блокировать все попытки несанкционированного доступа к ним. Для этого можно воспользоваться как
встроенными в операционные системы возможностями, так и продуктами третьих фирм. А так как мы
работаем в России, то я рекомендую применять средства, сертифицированные в Гостехкомиссии
России, тем более что таких средств немало.

VLAN

Технология виртуальных локальных сетей (VLAN) обеспечивает безопасное разделение физической
сети на несколько изолированных сегментов, функционирующих независимо друг от друга. В IP
телефонии эта технология используется для отделения передачи голоса от передачи обычных
данных (файлов, e-mail и т.д.). Диспетчеры, шлюзы и IP-телефоны помещают в выделенную VLAN
для передачи голоса. Как я уже отметил выше, VLAN существенно усложняет жизнь
злоумышленникам, но не снимает всех проблем с подслушиванием переговоров. Существуют
методы, которые позволяют злоумышленникам перехватывать данные даже в коммутированной
среде.

Шифрование

Шифрование должно использоваться не только между шлюзами, но и между IP-телефоном и
шлюзом. Это позволит защитить весь путь, который проходят голосовые данные из одного конца в
другой. Обеспечение конфиденциальности не только является неотъемлемой частью стандарта
H.323, но и реализовано в оборудовании некоторых производителей. Однако этот механизм
практически никогда не задействуется. Почему? Потому что качество передачи данных является
первоочередной задачей, а непрерывное зашифрование/расшифрование потока голосовых данных
требует времени и вносит зачастую неприемлемые задержки в процесс передачи и приема трафика
(задержка в 200 . 250 мсек может существенно снизить качество переговоров). Кроме того, как уже
было сказано выше, отсутствие единого стандарта не позволяет принять всеми производителями
единый алгоритм шифрования. Однако справедливости ради надо сказать, что сложности перехвата
голосового трафика пока позволяют смотреть на его шифрование сквозь пальцы.

Кстати, если вы все-таки решитесь использовать шифрование, то помните, что, шифруя голосовые
данные, вы скрываете их не только от злоумышленника, но и от средств обеспечения контроля
качества (QoS), которые не смогут предоставить им соответствующую полосу пропускания и
приоритетное обслуживание. Устранив одну проблему (беззащитность), перед вами встает другая
(качество обслуживания). И можно быть уверенным, что при таком раскладе вы предпочтете решение
второй проблемы, пренебрегая решением первой. Кстати, шифровать можно тоже не все подряд.
Сигнальные протоколы, используемые в IP-телефонии, шифровать не рекомендуется, т.к. в этом
случае вы зашифруете и всю служебную информацию, необходимую для поддержания
работоспособности всей сети.

Но не стоит сразу отказываться от шифрования — все-таки обезопасить свои переговоры также
необходимо. Поэтому стоит с умом подходить к шифрованию VoIP-данных. Например, компания
Cisco рекомендует вместо туннеля GRE или применения VPN-концентраторов Cisco VPN 3000
использовать команду Crypto в операционной системе IOS своего оборудования, что позволяет
защитить данные при сохранении качества обслуживания. Кроме того, можно использовать
выборочное шифрование только для определенных полей в VoIP-пакетах.

Для защиты корпоративной сети обычно используется межсетевые экраны, которые с тем же успехом

могут быть использованы и для защиты VoIP-инфраструктуры. Единственное, что необходимо
сделать — добавить ряд правил, учитывающих топологию сети, местоположение установленных
компонентов IP-телефонии и т.д. Например, доступ к Cisco CallManager из Internet или
демилитаризованной зоны обычно блокируется, однако в случае использования Web-
ориентированного управления такой доступ должен быть разрешен, но только для 80-го порта и
только для ограниченного диапазона внешних адресов. А для защиты SQL-сервера, входящего в
состав Cisco CallManager, можно запретить доступ со всех портов кроме 1433-го.

Кстати, существует два типа межсетевых экранов, которые могут быть использованы для защиты
компонентов IP-телефонии. Первый из них, корпоративный, ставится на выходе из корпоративной
сети и защищает сразу все ее ресурсы. Примером такого МСЭ является CiscoSecure PIX Firewall.
Второй тип — персональный, защищающий только один конкретный узел, на котором может стоять
абонентский пункт, шлюз или диспетчер. Примерами таких персональных МСЭ являются RealSecure
Desktop Protector или BlackICE PC Protector. Кроме того, некоторые операционные системы
(например, Linux или Windows 2000) имеют встроенные персональные межсетевые экраны, что
позволяет задействовать их возможности для повышения защищенности инфраструктуры VoIP.
В зависимости от используемого стандарта IP-телефонии применение межсетевых экранов может
повлечь за собой разные проблемы. Например, после того, как с помощью протокола SIP
абонентские пункты обменялись информацией о параметрах соединения, все взаимодействие
осуществляется через динамически выделенные порты с номерами больше 1023. В этом случае МСЭ
заранее «не знает» о том, какой порт будет использован для обмена голосовыми данными и, как
следствие, будет такой обмен блокировать. Поэтому межсетевой экран должен уметь анализировать
SIP-пакеты с целью определения используемых для взаимодействия портов и динамически
создавать или изменять свои правила. Аналогичное требование предъявляется и для других
протоколов IP-телефонии.

Еще одна проблема связан с тем, что не все МСЭ умеют грамотно обрабатывать не только заголовок
протокола IP-телефонии, но и его тело данных, т.к. зачастую важная информация находится внутри
него. Например, информация об адресах абонентов в протоколе SIP находится именно в теле
данных. Неумение межсетевого экрана «вникать в суть» может привести к невозможности обмена
голосовыми данными через межсетевой экран или «открытии» в нем слишком большой дыры, которой
могут воспользоваться злоумышленники.

Аутентификация

Различные IP-телефоны поддерживают механизмы аутентификации, которые позволяют
воспользоваться его возможностями только после предъявления и проверки пароля или
персонального номера PIN, разрешающего пользователю доступ к IP-телефону. Однако надо
заметить, что данное решение не всегда удобно для конечного пользователя, особенно в условиях
ежедневного использования IP-телефона. Возникает обычное противоречие «защищенность или
удобство».

RFC 1918 и трансляция адресов

Не рекомендуется использовать для VoIP IP-адреса, доступные из Internet, — это существенно снижает
общий уровень безопасность инфраструктуры. Поэтому при возможности используйте адреса,
указанные в RFC 1918 (10.x.x.x, 192.168.x.x и т.д.) и немаршрутизируемые в Internet. Если это
невозможно, то необходимо задействовать на межсетевом экране, защищающем вашу
корпоративную сеть, механизм трансляции адресов (network address translation, NAT).

Системы обнаружения атак

Выше уже было рассказано о некоторых атаках, которые могут нарушить работоспособность VoIP-
инфраструктуры. Для защиты от них можно использовать хорошо себя зарекомендовавшие и
известные в России средства обнаружения атак (intrusion detection system), которые не только
своевременно идентифицируют нападения, но и блокируют их, не давая нанести вред ресурсам
корпоративной сети. Такие средства могут защищать как целые сетевые сегменты (например,
RealSecure Network Sensor или Snort), так и отдельные узлы (например, CiscoSecure IDS Host Sensor
или RealSecure Server Sensor).

Осталось в прошлом то время, когда операторы с опасением относились к использованию IP-телефонии, считая уровень защищенности таких сетей низким. Сегодня уже можно говорить о том, что
IP-телефония стала неким стандартом де-факто в телефонных коммуникациях. Это объясняется удобством, надежностью и относительно невысокой стоимостью IP-телефонии по сравнению с аналоговой связью.
Можно утверждать, что IP-телефония повышает эффективность ведения бизнеса и позволяет осуществлять такие ранее недоступные операции, как интеграция с различными бизнес-приложениями.

Если говорить о недостатках и уязвимостях IP-телефонии, прежде всего следует отметить те же «болезни», какими страдают другие службы, использующие протокол IP. Это подверженность атакам червей и
вирусов, DoS-атакам, несанкционированному удаленному доступу и др. Несмотря на то, что при построении инфраструктуры IP-телефонии данную службу обычно отделяют от сегментов сети, в которых «ходят» не
голосовые данные, это еще не является гарантией безопасности. Сегодня большое количество компаний интегрируют IP-телефонию с другими приложениями, например с электронной почтой. С одной стороны,
таким образом появляются дополнительные удобства, но с другой — и новые уязвимости. Кроме того, для функционирования сети IP-телефонии требуется большое число компонентов, таких, как серверы
поддержки, коммутаторы, маршрутизаторы, межсетевые экраны, IP-телефоны и т. д. При этом для поддержки функционирования IP-сети часто используются неспециализированные ОС. К примеру, большинство
IP-УАТС построено на базе обычных и хорошо известных операционных систем (Windows или Linux), которые теоретически обладают всеми уязвимостями, характерными для данных систем.

В некоторых IP-УАТС применяется СУБД и веб-серверы, имеющие свои элементы уязвимостей. И хотя для универсальной операционной системы или стека протоколов можно использовать давно известные
средства защиты — антивирусы, персональные межсетевые экраны, системы предотвращения атак и т. п., отсутствие «заточенности» таких средств под работу с приложениями IP-телефонии может негативно
сказаться на уровне защищенности.

Среди основных угроз, которым подвергается IP-телефонная сеть, можно выделить:

  • регистрацию чужого терминала, позволяющую делать звонки за чужой счет;
  • подмену абонента;
  • внесение изменений в голосовой или сигнальный трафик;
  • снижение качества голосового трафика;
  • перенаправление голосового или сигнального трафика;
  • перехват голосового или сигнального трафика;
  • подделка голосовых сообщений;
  • завершение сеанса связи;
  • отказ в обслуживании;
  • удаленный несанкционированный доступ к компонентам инфраструктуры IP-телефонии;
  • несанкционированное обновление ПО на IP-телефоне (например, с целью внедрения троянской или шпионской программы);
  • взлом биллинговой системы (для операторской телефонии).

Это далеко не весь перечень возможных проблем, связанных с использованием IP-телефонии. Альянс по безопасности VoIP (VOIPSA) разработал документ, описывающий широкий спектр угроз IP-телефонии,
который помимо технических угроз включает вымогательство через IP-телефонию, спам и т. д.

И все же основное уязвимое место IP-телефонии — это набивший оскомину человеческий фактор. Проблема защищенности при развертывании IP-телефонной сети часто отодвигается на задний план, и выбор
решения проходит без участия специалистов по безопасности. К тому же специалисты не всегда должным образом настраивают решение, даже если в нем присутствуют надлежащие защитные механизмы, либо
приобретаются средства защиты, не предназначенные для эффективной обработки голосового трафика (например, межсетевые экраны могут не понимать фирменный протокол сигнализации, использующийся в решении
IP-телефонии). В конце концов, организация вынуждена тратить дополнительные финансовые и людские ресурсы для защиты развернутого решения либо мириться с его незащищенностью.

Что же строить?

Не будет открытием и то, что чем надежнее защищена IP-телефонная сеть, тем меньше вероятность взлома и злоупотреблений в такой сети. Прозвучит банально, но думать об обеспечении безопасности
необходимо уже на этапе подготовки проекта IP-телефонии и именно на этом этапе необходимо договориться о том, какие механизмы защиты целесообразнее использовать в сети. Будет ли это набор встроенных
механизмов? А может, особенности функционирования данной IP-сети таковы, что необходимы дополнительные и «навесные» средства защиты?

С точки зрения управляемости и производительности наиболее предпочтительной кажется такая архитектура IP-телефонии, где все компоненты защиты встроены в элементы самой сети. Если рассматривать
IP-телефонную сеть без использования дополнительных средств защиты, то, применяя встроенные в сетевые коммутаторы защитные механизмы, можно добиться построения относительно стойкой защиты от атак на
периметр. Встроенный функционал позволяет обеспечить:

  • возможность создания виртуальных локальных сетей (VLAN) с использованием встроенных возможностей коммутаторов;
  • применение встроенных механизмов фильтрации и контроля доступа;
  • ограничение и представление гарантируемой полосы пропускания, что позволяет эффективно подавлять DoS-атаки;
  • ограничение числа устройств с различными MAC-адресами, подключенными к одному порту;
  • предотвращение атак на расходование пула адресов DHCP-сервиса;
  • предотвращение засорения таблиц ARP и «воровство» адресов;
  • предотвращение атак с анонимных адресов;
  • применение списков контроля доступа, ограничивающих адреса узлов, которые могут передавать данные IP-телефонам.

Кроме того, встроенная в архитектуру IP-сети система управления вызовами, которая может подключаться к специальной выделенной локальной сети, изолированной от рабочей сети организации,
представляет собой дополнительный «рубеж» в защите. К недостаткам можно отнести то, что встроенные в сетевое оборудование защитные функции не всегда обеспечивают надлежащий уровень безопасности и для
его поднятия могут потребоваться дополнительные вложения в модернизацию оборудования.

Несмотря на использование в основе своей протокола IP, IP-телефония далеко не всегда может быть адекватно защищена традиционными решениями. Связано это с тем, что они не учитывают ее специфики —
передачи трафика в реальном времени, контроля качества и трафика на прикладном уровне и т. д. Идеально, когда приложения IP-телефонии и их безопасность неразрывно связаны и интегрированы между собой
в единую платформу, включающую и сетевую инфраструктуру. Это позволяет повысить эффективность защиты и снизить издержки на нее. В противном случае приходится строить четыре независимых или
практически непересекающиеся инфраструктуры: ЛВС, IP-телефонная сеть, безопасность ЛВС и инфраструктура безопасности IP-телефонии.

Применение специализированных межсетевых экранов значительно повышает безопасность IP-телефонной сети, например, при помощи фильтрации трафика с учетом состояния соединения (stateful
inspection
), что позволяет пропускать только необходимый трафик и соединения, установленные в определенном направлении (от сервера к клиенту или наоборот). Кроме того, межсетевой экран
предоставляет возможности по:

  • фильтрации трафика управления установкой IP-телефонных соединений;
  • передаче трафика управления через NAT и сетевые туннели;
  • TCP-перехвату, который обеспечивает проверку закрытия TCP-сессий, что позволяет защищаться от ряда атак типа отказа в обслуживании (DoS).

При проектировании сети, в которой предполагается использование дополнительных средств защиты, например системы обнаружения или предотвращения атак, следует особое внимание уделить выбору
производителя таких средств, поскольку вопрос об управлении гетерогенной IP-сетью не всегда может быть решен эффективно и быстро и практически всегда требует серьезных дополнительных вложений.

Предпочтителен выбор того производителя, на оборудовании которого уже функционирует сеть, так как поддержку и управление устройствами можно осуществлять в этом случае централизованно и с меньшими
затратами.

Защита от прослушивания

Виртуальные ЛВС снижают в известной степени риск прослушивания телефонных разговоров, однако в случае перехвата речевых пакетов анализатором восстановление записи разговора для специалиста дело
нехитрое. Главным образом, виртуальные ЛВС способны обеспечить защиту от внешних вторжений, но защитить от атаки, инициированной изнутри сети, могут быть не способны. Человек, находящийся внутри
периметра сети, может подключить компьютер прямо к разъему настенной розетки, сконфигурировать его как элемент виртуальной ЛВС системы IP-телефонии и начать атаку.

Наиболее совершенный способ противодействия подобным манипуляциям — использование IP-телефонов со встроенными средствами шифрования. Кроме того, дополнительную защиту обеспечивает шифрование
трафика между телефонами и шлюзами. На сегодняшний день практически все производители, такие как Avaya, Nortel и Cisco, предлагают встроенные средства шифрования для информационных потоков и
сигнализации. Шифрование трафика является наиболее логичным решением для защиты от прослушивания разговоров, но такая функциональность несет и ряд трудностей, которые необходимо учитывать при
построении защищенной связи. Основной проблемой может быть задержка, добавляемая процессом зашифровывания и расшифровывания трафика. При работе в локальной сети подобная проблема, как правило, не
дает о себе знать, но при связи через территориально-распределенную сеть способна доставлять неудобства. К тому же шифрование сигнализации, происходящее на прикладном уровне, может затруднить работу
межсетевых экранов. В случае применения потокового шифрования задержки гораздо ниже, чем при использовании блочных шифров, хотя полностью от них избавиться не удастся. Вариантом решения проблемы
могут служить более быстрые алгоритмы или включение механизмов QoS в модуль шифрования.

QoS

Принято считать, что основное назначение механизмов QoS (Quality of Service
) — обеспечение должного качества связи. Но не стоит забывать, что они играют важнейшую роль и при решении задач
безопасности. Для передачи речи и данных из логически отдельных виртуальных ЛВС используется общая физическая полоса пропускания. При заражении узла вирусом или червем может произойти переполнение
сети трафиком. Однако если прибегнуть к механизмам QoS, настроенным соответствующим образом, трафик IP-телефонии будет попрежнему иметь приоритет при прохождении через общие физические каналы, и
DoS-атака окажется безуспешной.

Защита от подмены телефонов и серверов управления

Многие элементы IP-телефонии имеют динамическую адресацию, что позволяет злоумышленникам использовать это в своих целях. Они могут «выдать себя» за IP-телефон, сервер управления звонками и т. д. Для
защиты от устройств, пытающихся замаскироваться под авторизованные IP-телефоны или несанкционированно подключенных к сетевой инфраструктуре, можно воспользоваться правилами контроля доступа на
маршрутизаторах и межсетевых экранах. Кроме того, могут пригодиться средства строгой аутентификации всех абонентов инфраструктуры IP-телефонии. Для подтверждения подлинности абонентов могут
применяться различные стандартизированные протоколы, включая RADIUS, сертификаты PKI x.509 и т. д.

Защита от DoS-атак

Атаки типа «отказ в обслуживании» на приложения IP-телефонии (например, на серверы обработки звонков) и среду передачи данных представляют собой довольно серьезную проблему. Если говорить об атаках
на среду передачи данных, отметим, что за передачу данных в IP-телефонии, как правило, отвечает протокол RTP (Real-Time Protocol
). Он уязвим для любой атаки, которая перегружает сеть пакетами
или приводит к замедлению процесса их обработки конечным устройством (телефоном или шлюзом). Следовательно, злоумышленнику достаточно «забить» сеть большим количеством RTP-пакетов либо пакетов с
высоким приоритетом обслуживания, которые будут конкурировать с легитимными RTP-пакетами. В таком случае для защиты можно использовать как встроенные в сетевое оборудование механизмы обеспечения
информационной безопасности, так и дополнительные решения:

  • разделение корпоративной сети на непересекающиеся сегменты передачи голоса и данных, что предотвращает появление в «голосовом» участке распространенных атак, в том числе и DoS;
  • специальные правила контроля доступа на маршрутизаторах и межсетевых экранах, защищающих периметр корпоративной сети и отдельные ее сегменты;
  • систему предотвращения атак на сервере управления звонками и ПК с голосовыми приложениями;
  • специализированные системы защиты от DoS- и DDoS-атак;
  • специальные настройки на сетевом оборудовании, предотвращающие подмену адреса и ограничивающие полосу пропускания, не позволяющую вывести из строя атакуемые ресурсы большим потоком бесполезного
    трафика.

Защита IP-телефонов

IP-телефоны содержат целый ряд специальных настроек, препятствующих несанкционированному доступу к ним. К таким настройкам относятся, например, доступ к функциям телефона только после предъявления
идентификатора и пароля или запрет локального изменения настроек и т. д. С целью предотвращения загрузки на IP-телефон несанкционированно модифицированного программного обеспечения и конфигурационных
файлов, их целостность может контролироваться цифровой подписью и сертификатами X.509.

Защита от мошенничества в IP-телефонной сети

Среди основных типов мошенничества, встречающегося в IP-телефонной сети, можно отметить кражу услуг, фальсификацию звонков, отказ от платежа и другие виды. Защититься от мошенничества в сетях
IP-телефонии можно, используя возможности сервера управления IT-инфраструктурой. Так, для каждого абонента можно заблокировать звонки на определенные группы номеров; заблокировать звонки с
нежелательных номеров; заблокировать возможность переадресации звонков на различные типы номеров — городские, мобильные, междугородные и международные; отфильтровать звонки по различным параметрам.
Все действия могут осуществляться независимо от того, с какого телефонного аппарата абонент осуществляет звонок, — это реализуется путем аутентификации каждого абонента, получающего доступ к
IP-телефону. В случае если пользователь не проходит процесс подтверждения своей подлинности, он может звонить только по заранее определенному списку номеров, например, только по внутренним номерам
телефонов и в экстренные муниципальные службы.

Стандарты в IP-телефонии

Сегодня протокол SIP приходит на смену протоколам H.323, при этом многие разработчики устройств, поддерживающих SIP, фокусируют свои силы на увеличении числа функций, а не на безопасности. В отличие
от стандарта H.323, в рамках которого разработана спецификация H.235, описывающая различные механизмы безопасности, протокол SIP практически лишен каких бы то ни было серьезных защитных функций. Это
заставляет сомневаться в безоблачном будущем IP-телефонии, которое многие эксперты связывают именно с протоколом SIP. Определенные надежды возлагаются на сформированный в июле 2005 года альянс по безопасности IP-телефонии , целью которого является проведение исследований, повышение осведомленности, обучение и разработка бесплатных методик
и инструментов для тестирования в области защищенности IP-телефонии. Но пока единственным результатом работы данного альянса стало создание таксономии атак и уязвимых мест IP-телефонии.

Заключение

В заключение хотелось бы еще раз отметить, что основной постулат эффективной системы безопасности IP-телефонии — на этапе проектирования думать о том, каким образом будет строиться система защиты
такой сети, с целью максимального соответствия особенностям IP-коммуникаций в организации. Не следует забывать и о том, что IP-телефония — это приложение, которое работает в IP-сети, и адекватные
меры по защите IP-сети в целом лишают злоумышленника

дополнительных возможностей по организации прослушивания, реализации DoS-атак и использованию ресурсов сети в качестве лазейки в IP-телефонную
сеть.

Среди первоочередных требований к обеспечению безопасности IP-телефонной сети следует назвать необходимость разделения голосовых и обычных данных. То есть IP-телефония должна быть отделена от
сети, где передаются другие данные при помощи VLAN. Сегментация позволяет создать дополнительный рубеж, предупреждающий атаки и злоупотребления, в том числе и те, источник которых находится во
внутренней сети. Кроме того, при проектировании IP-телефонной сети важно обеспечить соответствующую полосу пропускания и не забывать о применении механизмов QoS для приоритизации IP-телефонного
трафика.

И наконец, использование средств защиты, ориентированных на особенности работы IP-телефонии, поможет избежать не только «дыр» в безопасности построенной сети, таких как «непонимание» средствами
защиты IP-трафика, но и дополнительных финансовых расходов на модернизацию существующего оборудования или приобретение новых защитных устройств.

Так как технология VoIP базируется на технологии IP и использует Интернет, она так же наследует все её уязвимости. Последствия этих атак, умноженные на уязвимости, которые следуют из особенностей архитектуры сетей VoIP, заставляют задуматься о способах усиления защиты и тщательном анализе существующей сети IP . Более того, добавление любого нового сервиса, например, голосовой почты в недостаточно защищенную инфраструктуру может спровоцировать появление новых уязвимостей.

Риски и уязвимости, наследованные из IP сетей.

Плохой дизайн сети

Неправильно спроектированная сеть может повлечь за собой большое количество проблем, связанных с использованием и обеспечением необходимой степени информационной безопасности в VoIP сетях. Межсетевые экраны, к примеру, являются уязвимым местом в сети, по причине того, что для правильного функционирования VoIP сети необходимо открывать дополнительные порты, и межсетевые экраны, не поддерживающие технологию VoIP, способны просто оставлять открытыми ранее используемые порты даже после завершения вызовов.

Уязвимые IP АТС и шлюзы

Если злоумышленник получает доступ к шлюзу или АТС, он так же получает доступ к захвату целых сессий (по сути – возможность прослушать вызов), узнать параметры вызова и сети. Таким образом, на безопасность АТС необходимо обратить наибольшее внимание. Убытки от таких вторжений могут достигать значительных сумм.

Атаки с повторением пакетов

Атака с повторением пакета может быть произведена в VoIP сети путем повторной передачи серии корректных пакетов, с целью того, что бы приёмное устройство произвело повторную обработку информации и передачу ответных пакетов, которые можно проанализировать для подмены пакетов (спуфинга) и получения доступа в сеть. К примеру, даже при условии зашифрованных данных, существует возможность повторения пакета с логином и паролем пользователем пользователя, и, таким образом, получения доступа в сеть.

Риски и уязвимости, характерные для VoIP сетей

Подмена и маскировка пакетов

Использование подменных пакетов с неправильным IP-адресом источника могут использоваться для следующих целей:

Перенаправление пакетов в другую сеть или систему

Перехват трафика и атака «man-in-the-middle» (рисунок ниже)

  • Маскировка
    под доверенное устройство — «Перенос ответственности» за атаку на другое устройство
  • Фаззинг(Fuzzing)
    — Нагрузка системы пакетами с не полностью корректной информацией, что вызывает ошибки в работе системы при их обработке, например такие как задержки при работе, утечки информации и полный отказ системы
  • Сканирование на предмет возможных уязвимостей
    — Сканирование портов может дать злоумышленнику начальные данные для проведения полноценной атаки, такие как модели операционных систем, типы используемых сервисов и приложений. При нахождении уязвимого сервиса злоумышленник может получить доступ к управлению всей сетью, и, как следствию, к возможности причинить большой ущерб.
  • Низкая надежность по сравнению с традиционными сетям
    — Для достижения качественной связи, пакетам, содержащим голосовую и видео нагрузку присваивается высокий приоритет в механизмах качества обслуживания QoS (качества обслуживания). Однако, надежность VoIP и сетей передачи данных стремится к 99,9%, что ниже чем степени надежности в традиционных телефонных сетях, у которых данный параметр стремится к 99,999%. Конечно, разница не столь велика, однако за год эта разница выливается в дополнительные 8.7 часа, во время которых система не работает. Но необходимо понимать, что далеко не каждому предприятию это может повредить.
  • Атаки DDoS(Distributed Denial of Service)
    — Атаки DoS
    и DDoS
    происходят когда злоумышленник посылает крайне большие объемы случайных сообщений на одно или несколько VoIP устройств из одного или нескольких мест (DoS и DDoS соответственно). Атака из нескольких мест используется с помощью «зомби» — скомпрометированные сервера и рабочие станции, которые автоматически посылают вредоносные запросы в соответствии с потребностями злоумышленника. Успешной такая атака считается в момент, когда количество запросов превышает вычислительную мощность объекта, в следствие чего происходит отказ в обслуживании для конечных пользователей.

VoIP системы особенно уязвимы для таких атак, т.к они имеют высокий приоритет в технологии обеспечения качества обслуживания QoS, и для нарушения их работы требуется меньшее количество трафика нежели для обычных сетей передачи данных. Примером DoS атаки против именно VoIP сети может быть атака при множественной передачи сигналов отмены или установления вызова, которая так же имеет название SIP CANCEL DoS атака.

  • CID спуфинг
    — Один из типов атак с подменой пакетов построен на манипуляциях с идентификатором звонящего (Caller ID или CID), который используется для идентификации звонящего до ответа. Злоумышленник может подменить этот идентификатор текстовой строкой или телефонным номером и может использоваться для осуществления различных действий, вредящих сети или владельцу предприятия. Кроме того, в VoIP сетях нет возможности скрыть этот идентификатор, т.к телефонные номера включены в заголовках пакетов в протоколе SIP. Это позволяет злоумышленнику со сниффером пакетов, например tcpdump узнать телефонные номера даже если они имеют параметр «private» у сервисного провайдера.
  • Заключение
    — Использование IP-телефонии приносит огромное количество пользы для любой организации – решение на базе VoIP более масштабируемы, легко интегрируемы и их стоимость ниже классических решений. Однако, любая организация, внедрив VoIP решение должна быть в курсе возможных угроз и предпринимать всевозможные усилия для увеличения степени информационной безопасности в сети. Были перечислены лишь некоторые методы атак, но необходимо понимать, что часто используются комбинации атак и практически ежедневно разрабатываются новые атаки. Но понятно уже сейчас, что за данной технологией будущее и она вряд ли уступит пальму первенства другой технологии в обозримом будущем.

Защита АндроидВек мобильных технологий диктует свою моду в отношении гаджетов и устройств, возможностей, интеллекта и прочих особенностей. Современные смартфоны имеют большой экран, весьма тонки и выпускаются в различных вариантах отделки. В то же время растет и опасность повреждения телефона от физического воздействия или действий хакеров.

Как можно защитить смартфон

От взлома личных данных помогают различные программы, которые защищают устройство от заражения вирусами и троянами. На большинстве смартфонов находится масса информации, электронные кошельки и другие важные данные, которые не рекомендуется демонстрировать посторонним. Особенностью устройств на любой операционной системе являются встроенные средства защиты. Те или другие предустановленные программы контролируют действия в интернете, работу приложения, подключение к сети.

Если посмотреть на смартфон, который имеет собственную фирменную оболочку (Asus, Meizu, Xiaomi, Samsung и др.), можно заметить, что здесь установлен собственный лаунчер (launcher – программа запуска). Это настраиваемое приложение, которое по умолчанию ставится поверх основной операционной системы. Здесь предусмотрены различные компоненты, которые могут помочь заблокировать доступ к информации посторонним людям, ускорить работоспособность, произвести глубокую очистку памяти.

Фирменная оболочка на телефон Mi

Рекомендации по защите личных данных

Когда на смартфоне находится масса важных данных, платежные сервисы, коды доступа, нужно максимально защитить сохранность информации. Для этого существует несколько приемов:

  1. Создать пароль. Смартфоны предлагают несколько типов разблокировки:
    • Графический ключ. Через девять предложенных точек предлагается провести линию. Она может ломаться в любом направлении, пересекаться, но не повторять уже определенный путь. Задействовать необходимо не менее четырех точек.
    • Пин-код. Для разблокировки предлагается придумать собственную комбинацию из 4-8 цифр.
    • Пароль. Здесь можно придумать целое слово с использованием цифр, букв верхнего и нижнего регистра или символов.
    • Самым надежным способом является создание пароля, где присутствуют цифры, большие буквы и цифры.

После применения определенного способа блокировки нужно убрать галочку в графе “показывать пароль”, тогда во время ввода символы не будут видны, в результате пароль подсмотреть становится сложнее.

  1. Отключение уведомлений.

В настройках смартфона имеется раздел настройки демонстрации информационных сообщений. Уведомления могут отображаться на заблокированном экране полностью, просматриваться из строки состояния или стать недоступными при блокировке смартфона. В сообщениях могут приходить важные данные, например, одноразовый код доступа к какому-либо ресурсу или электронному кошельку. Отображение уведомлений хоть и очень удобно в использовании, но является дополнительной лазейкой для злоумышленников. Уведомления на телефоне

  1. Запрет на установку приложений.

В устройствах на базе Android программы можно скачать из магазина Play Маркет или отдельным файлом Apk в память устройства и последующего запуска. Если вы даете свой смартфон в пользование третьим лицам, то лучше подстраховаться от неприятностей. Злоумышленнику достаточно ввести адрес в поисковой строке браузера, чтобы установить вредоносную программу. Необходимо отключить установку из неизвестных источников и активировать проверку приложений.

  1. Блокировка приложений.

В некоторых оболочках имеются установленные программы, позволяющие задать дополнительный код для входа в приложение. Если предустановленной функции нет, то можно скачать аналог в магазине. Использование программы позволит заблокировать отдельные разделы, при этом пароль может отличаться.

  1. Биометрическая защита.

Сканер отпечатка пальца, функция распознавания лица или сетчатки глаза дают возможность использовать личные физические данные для обеспечения безопасности. В данном случае злоумышленник может добавить отпечаток или другие данные к образцам телефона и получит доступ ко всем функциям.

Сканер отпечатка пальцев

Одной из особенностей современных смартфонов, имеющих сканеры, является то, что после перезагрузки обязателен ввод пароля для запуска системы + ввод пароля каждые 72 часа.

Физическая защита телефона

Физическую защиту устройства обеспечивают специальные усовершенствования корпуса:

  • Усиленное стекло экрана.

Corning Gorilla Glass – алюмосиликатное стекло, имеющее особую прочность. По заверению производителя, этот тип покрытия в три раза прочнее, чем обработанное натриево-кальцивое стекло. Современные устройства, начиная со среднего ценового сегмента, оборудуются им по умолчанию, что позволяет защитить дисплей от царапин, например, если телефон находится в одном кармане со связкой ключей. Толщина стекла составляет 0,3-0,5 мм, поэтому не увеличивает габариты смартфона или его вес.

  • Усиленный корпус.

На производстве изготавливают усиленные рамки, которые позволяют устройствам противостоять вертикальному и косому давлению, сохраняя при этом первоначальную геометрию. Оборудованной такой рамкой смартфон способен выдержать падение на ребро, не повредив «начинку».

  • Защита от влаги и попадания воды.

Каждый мобильный телефон имеет несколько отверстий в корпусе. Динамики, микрофоны, камеры, разъемы питания, порт для наушников и прочие наружные элементы являются уязвимыми для пыли и жидкости. Попадание внутрь лишних частиц может привести к замыканию и выходу из строя устройства. Нежелательные последствия предупреждаются путем уплотнения уязвимых мест, чем обеспечивается высокая степень защиты. Это может быть сделано как скрытыми уплотнителями, так и специальными накладками на корпус.

Уровень защищенности IP телефона

Уровень защищенности указывается в характеристиках устройства. Обозначение происходит в виде двух букв (IP) и следующих за ними пары цифр. Смысл маркировки установлен международным стандартом.

Первая цифра обозначает защищенность от пыли и проникновения твердых посторонних предметов. Определив значение, можно понять, на каком уровне защита предмета:

  • 1 – ограничения в проникновении предметов размером более 5 сантиметров;
  • 2 – защита от твердых частиц размером выше 12 мм;
  • 3 – устройство или механизм недоступно для предметов более 2,5 мм диаметром;
  • 4 – препятствие для элементов размером 1 мм и больше;
  • 5 – предмет частично защищен от проникновения пыли (частицы не нарушают работу устройства);
  • 6 – полная защита от попадания пыли.

В смартфонах для защиты устанавливается максимальный уровень.

Защита от воды на телефоне

Вторая цифра в показателе указывает на защиту от воды и влаги:

  • 1 – защита от вертикально капающей воды;
  • 2 – ограждение устройства от вертикальных и попадающих под углом 15 градусов капель;
  • 3 – защита от брызг или дождя падающих под углом 60 градусов;
  • 4 – устройству не вредят брызги, попадающие с любой стороны;
  • 5 – защита от струи воды с любого направления;
  • 6 – охрана от волн и струй;
  • 7 – устройство можно погружать на глубину до 1 метра, но непродолжительное время;
  • 8 – смартфон может погружаться в воду более чем на 1 метр и на долгое время.

Таким образом, устройство, имеющее уровень IP68 максимально защищено от проникновения пыли и воды.

Цены на защищенные телефоны

Ориентируясь на максимальную степень защиты, приведем несколько примеров устройств:

  • Runbo F1 Plus – 27950 руб.
  • Runbo F1 MAX – 34990 руб.

Две версии усиленного смартфона от китайского производителя. Обе модели имеют класс защиты IP67, отличаются массой, габаритами и размером батареи (plus – 5000мАч, max – 10000 мАч). С таким устройством можно путешествовать по горам под проливным дождем и при этом оставаться на связи.

  • Ginzzu RS97D – 9960 руб.
  • Ginzzu RS9602 – 14990 руб.

Еще два представителя надежных помощников. Модели имеют аккумуляторы 4000 мАч и 5000 мАч, что позволяет им оставаться на связи не одну неделю. Компания известна на российском рынке уже долгое время и имеет массу поклонников, потому как производит устройства доступные для среднего класса.

  • Blackview BV7000 – 8790 руб.
  • Blackview BV9000 Pro – 19290 руб.

Устройства от проверенной временем компании, которые не боятся суровых испытаний. Аккумуляторы заявлены 3500 мАч и 4100 мАч, этого вполне достаточно, чтоб не думать о подзарядке несколько дней. У старшей модели установлено стекло Corning gorilla glass, про младшего брата это не заявлено.

Среди современных смартфонов, обладающих защитой от воды и пыли, с громким именем можно выделить:

  • Sony Xperia Z3 Dual– 29990 руб.
  • Sony Xperia Z5 Compact– 19990 руб.

Отличные аппараты не способные подвести пользователя даже при попадании в воду или песчаную бурю, при этом имеющие весьма привлекательный дизайн.

  • Samsung Galaxy A6 – 15990 руб.
  • Samsung Galaxy A8 – 18990 руб.
  • Samsung Galaxy S8 – 34980 руб.
  • Samsung Galaxy S9 – 42655 руб.

Аппараты линейки Galaxy от корейского производителя поддерживают стиль и демонстрируют превосходное качество. Им не страшно оказаться под дождем или окунуться в воду.

  • Xiaomi Mi6 – 16649 руб.
  • Xiaomi Redmi Note 7 – 17490 руб.

Устройства от популярного китайского производителя, имеющие хорошие характеристики, презентабельный внешний вид и защиту от влаги.

  • DOOGEE S60 – 20990 руб.
  • DOOGEE S55 – 12710 руб.
  • DOOGEE S80 Lite – 23990 руб.

Серия смартфонов от популярного среди ценителей производителя. Отличаются современным функционалом и автономностью.

Настоящие монстры автономности и устойчивости имеют весьма внушительные размеры и массу, это происходит за счет использования объемного аккумулятора, резиновых накладок и прочих средств защиты. Современные элегантные смартфоны пожертвовали емкостью батарей и наличием внешней защиты в угоду моде и легкости.

Аксессуары для защиты смартфона

Конечно же, иметь «неубиваемый» аппарат хотелось бы каждому, но как поступить, если вам приглянулся обычный смартфон или нет денег на приобретение улучшенной версии? На помощь придут аксессуары.

Бампер – силиконовая или пластиковая накладка на заднюю панель устройства. Защищает от царапин, ударов и потертостей. Могут быть как бесцветными, так и цветными или с принтами. Пластиковые версии менее практичны, хоть и более тонки. Силикон лучше амортизирует и защищает в случае падения.

Бампер на телефон

Флип-кейс или чехол-книжка. Защита устройства от механических повреждений со всех сторон. Могут изготавливаться из кожи, ПВХ, кожзаменителя и других материалов. В зависимости от модели оснащаются заклепкой или магнитной застежкой.

Флип-кейс

Защитная пленка. Специальная накладка на экран телефона, имеющая клеевую основу. Может различаться по типу поверхности:

  • Матовая.
  • Глянцевая.
  • Зеркальная.

Выпускается как специально для определенных моделей смартфонов, так и универсального типа. Достоинством является низкая стоимость.

Защитная пленка на экран

Усиленное стекло. Внешне похоже на пленку, но при этом имеет ряд отличий:

  • Большая прочность.
  • Выпускается только под определенные модели.
  • Проще в установке.
  • Выше стоимость.

Защищает экран от царапин и обеспечивает четкость картинки.

Усиленное стекло на телефон

Защитить свой аппарат можно, не прилагая каких-либо усилий. В магазинах электроники и в интернете найдется тысяча вариантов, подходящих для конкретного случая. Если для какой-то модели нет заводских аксессуаров, то можно подобрать не менее качественную универсальную защиту.

Понравилась статья? Поделить с друзьями:
Adblock
detector