امنیت تلفن IP از طریق SIP. رمزگذاری VoIP، حفاظت از هک، VPN. جنبه های عملی حفاظت از شبکه تلفن IP شرکتی

دورانی که اپراتورها نسبت به استفاده از IP-تلفن دلهره داشتند، با در نظر گرفتن سطح امنیت این گونه شبکه ها، گذشته است. امروزه می توان گفت که IP-telephony به نوعی استاندارد واقعی در ارتباطات تلفنی تبدیل شده است. این به دلیل راحتی، قابلیت اطمینان و هزینه نسبتا پایین تلفن IP در مقایسه با ارتباطات آنالوگ است. می توان استدلال کرد که IP-telephony کارایی کسب و کار را افزایش می دهد و اجازه می دهد تا عملیات هایی که قبلاً غیرقابل دسترسی هستند مانند ادغام با برنامه های تجاری مختلف.

اگر از کاستی ها و آسیب پذیری های تلفن IP صحبت کنیم، قبل از هر چیز باید به همان "بیماری هایی" توجه کنیم که سایر سرویس های استفاده کننده از پروتکل IP از آن رنج می برند. این مستعد بودن در برابر حملات کرم و ویروس، حملات DoS، دسترسی غیرمجاز از راه دور، و غیره است. در عین حال تضمین امنیت امروزه تعداد زیادی از شرکت ها در حال ادغام تلفن IP با برنامه های کاربردی دیگر مانند ایمیل هستند. از یک طرف، راحتی های اضافی در این راه ظاهر می شود، اما از طرف دیگر، آسیب پذیری های جدید. علاوه بر این، عملکرد یک شبکه تلفن IP به تعداد زیادی مؤلفه مانند سرورهای پشتیبانی، سوئیچ ها، روترها، فایروال ها، تلفن های IP و غیره نیاز دارد. در عین حال، اغلب از سیستم عامل های غیر تخصصی برای پشتیبانی از عملیات استفاده می شود. از یک شبکه IP به عنوان مثال، اکثر سانترال های IP بر روی سیستم عامل های معمولی و معروف (ویندوز یا لینوکس) ساخته شده اند که از نظر تئوری دارای تمام آسیب پذیری های مختص این سیستم ها هستند.

برخی از IP PBX ها از DBMS و وب سرورهایی استفاده می کنند که آسیب پذیری های خاص خود را دارند. و اگرچه برای یک سیستم عامل جهانی یا پشته پروتکل می توانید از ابزارهای حفاظتی شناخته شده - آنتی ویروس ها، فایروال های شخصی، سیستم های پیشگیری از حمله و غیره استفاده کنید، عدم "تیز کردن" چنین ابزارهایی برای کار با برنامه های تلفن IP می تواند تأثیر نامطلوبی بر روی آن بگذارد. سطح امنیت .

از جمله تهدیدات اصلی که شبکه تلفن IP در معرض آنها قرار دارد عبارتند از:

• ثبت ترمینال شخص دیگری که به شما امکان می دهد با هزینه شخص دیگری تماس برقرار کنید.
• تغییر مشترک؛
• ایجاد تغییرات در ترافیک صوتی یا سیگنالینگ؛
• کاهش کیفیت ترافیک صوتی؛
• تغییر مسیر ترافیک صوتی یا سیگنال؛
• رهگیری ترافیک صدا یا سیگنال؛
• پیام های صوتی جعلی؛
• خاتمه جلسه ارتباط؛
• خود داری از خدمات؛
• دسترسی غیرمجاز از راه دور به اجزای زیرساخت تلفن IP؛
• به روز رسانی غیرمجاز نرم افزار در تلفن IP (به عنوان مثال، به منظور تزریق تروجان یا جاسوس افزار).
• هک سیستم صورتحساب (برای تلفن اپراتور).

این تمام لیست مشکلات احتمالی مرتبط با استفاده از تلفن IP نیست. اتحاد امنیت VoIP (VOIPSA) سندی را ایجاد کرده است که طیف گسترده ای از تهدیدات تلفن IP را توصیف می کند که علاوه بر تهدیدات فنی، شامل اخاذی از طریق تلفن IP، هرزنامه و غیره می شود.

و با این حال، آسیب‌پذیری اصلی تلفن IP، عامل انسانی است که دندان‌ها را در معرض خطر قرار داده است. مسئله امنیت در هنگام استقرار شبکه تلفن IP اغلب به پس زمینه منتقل می شود و انتخاب راه حل بدون مشارکت متخصصان امنیتی صورت می گیرد. علاوه بر این، متخصصان همیشه راه حل را به درستی پیکربندی نمی کنند، حتی اگر مکانیسم های حفاظتی مناسبی داشته باشد، یا ابزارهای حفاظتی خریداری شده باشند که برای پردازش موثر ترافیک صوتی طراحی نشده باشند (به عنوان مثال، فایروال ها ممکن است پروتکل سیگنالینگ اختصاصی مورد استفاده در IP را درک نکنند. راه حل تلفن). در نهایت، سازمان مجبور به صرف منابع مالی و انسانی اضافی برای حفاظت از راه حل مستقر شده یا تحمل ناامنی آن است.

چه چیزی بسازیم؟

از نقطه نظر مدیریت و عملکرد، چنین معماری تلفن IP ترجیح داده می شود، جایی که تمام اجزای حفاظتی در عناصر خود شبکه تعبیه شده است. اگر یک شبکه تلفن IP را بدون استفاده از ابزار امنیتی اضافی در نظر بگیریم، با استفاده از مکانیسم‌های حفاظتی تعبیه شده در سوئیچ‌های شبکه، می‌توانیم به حفاظت نسبتاً قوی در برابر حملات در محیط دست یابیم. عملکرد داخلی به شما امکان می دهد:

• توانایی ایجاد شبکه های محلی مجازی (VLAN) با استفاده از قابلیت های داخلی سوئیچ ها.
• استفاده از مکانیزم های داخلی فیلتر و کنترل دسترسی؛
• محدود کردن و ارائه پهنای باند تضمین شده، که می تواند به طور موثر حملات DoS را سرکوب کند.
• محدود کردن تعداد دستگاه‌های با آدرس‌های MAC مختلف متصل به یک پورت؛
• جلوگیری از حملات به مصرف مجموعه آدرس های سرویس DHCP؛
• جلوگیری از مسدود شدن جداول ARP و "سرقت" آدرس ها.
• جلوگیری از حملات از آدرس های ناشناس؛
• استفاده از لیست های کنترل دسترسی که آدرس گره هایی را که می توانند داده ها را به تلفن های IP منتقل کنند محدود می کند.

علاوه بر این، سیستم کنترل تماس تعبیه شده در معماری شبکه IP، که می تواند به یک شبکه محلی اختصاصی ویژه جدا شده از شبکه کاری سازمان متصل شود، نشان دهنده یک "خط" اضافی در حفاظت است. معایب شامل این واقعیت است که عملکردهای حفاظتی تعبیه شده در تجهیزات شبکه همیشه سطح مناسبی از امنیت را فراهم نمی کند و ممکن است برای افزایش آن نیاز به سرمایه گذاری اضافی در ارتقاء تجهیزات باشد.

علیرغم استفاده از پروتکل IP در هسته خود، تلفن IP همیشه نمی تواند به اندازه کافی توسط راه حل های سنتی محافظت شود. این به دلیل این واقعیت است که آنها ویژگی های آن را در نظر نمی گیرند - انتقال ترافیک در زمان واقعی، کنترل کیفیت و ترافیک در سطح برنامه، و غیره. در حالت ایده آل، زمانی که برنامه های تلفن IP و امنیت آنها به طور جدایی ناپذیری به هم مرتبط و یکپارچه شوند. پلت فرم، از جمله زیرساخت شبکه. این به شما امکان می دهد اثربخشی محافظت را افزایش دهید و هزینه های آن را کاهش دهید. در غیر این صورت، شما باید چهار زیرساخت مستقل یا تقریباً بدون همپوشانی ایجاد کنید: LAN، شبکه تلفن IP، امنیت LAN و زیرساخت امنیتی تلفن IP.

استفاده از فایروال های تخصصی به طور قابل توجهی امنیت شبکه تلفن IP را افزایش می دهد، به عنوان مثال، با فیلتر کردن ترافیک بر اساس وضعیت اتصال ( بازرسی دولتی) که فقط به ترافیک ضروری و اتصالات ایجاد شده در یک جهت خاص (از سرور به مشتری یا بالعکس) اجازه عبور می دهد. علاوه بر این، فایروال این توانایی را فراهم می کند:

• فیلتر کردن مدیریت ترافیک ایجاد اتصالات تلفن IP؛
• انتقال ترافیک مدیریتی از طریق NAT و تونل های شبکه؛
• رهگیری TCP، که بررسی هایی را برای بستن جلسات TCP فراهم می کند، که به شما امکان می دهد در برابر تعدادی از حملات انکار سرویس (DoS) دفاع کنید.

هنگام طراحی شبکه ای که قرار است از ابزارهای امنیتی اضافی مانند سیستم تشخیص نفوذ یا پیشگیری استفاده کند، باید توجه ویژه ای به انتخاب سازنده چنین ابزارهایی داشت، زیرا موضوع مدیریت یک شبکه IP ناهمگن همیشه قابل حل نیست. کارآمد و سریع و تقریباً همیشه نیاز به سرمایه گذاری جدی اضافی دارد.

ترجیحاً سازنده ای را انتخاب کنید که شبکه از قبل روی تجهیزات آن کار می کند، زیرا پشتیبانی و مدیریت دستگاه ها در این مورد به صورت متمرکز و با هزینه کمتر انجام می شود.

محافظت از گوش دادن

پیشرفته ترین راه برای مقابله با چنین دستکاری استفاده از تلفن های IP با رمزگذاری داخلی است. علاوه بر این، رمزگذاری ترافیک بین تلفن‌ها و دروازه‌ها حفاظت بیشتری را فراهم می‌کند. تقریباً همه فروشندگان امروزی، مانند Avaya، Nortel و Cisco، رمزگذاری داخلی را برای ترافیک و سیگنالینگ ارائه می دهند. رمزگذاری ترافیک منطقی ترین راه حل برای محافظت در برابر مکالمات است، اما چنین عملکردی مشکلاتی را نیز به همراه دارد که باید هنگام ایجاد یک اتصال ایمن در نظر گرفته شوند. مشکل اصلی ممکن است تاخیر اضافه شده توسط فرآیند رمزگذاری و رمزگشایی ترافیک باشد. هنگام کار در یک شبکه محلی، چنین مشکلی، به عنوان یک قاعده، خود را احساس نمی کند، اما هنگام برقراری ارتباط از طریق یک شبکه توزیع شده جغرافیایی، می تواند باعث ناراحتی شود. علاوه بر این، رمزگذاری سیگنالی که در لایه برنامه اتفاق می افتد می تواند کار کردن فایروال ها را دشوار کند. در مورد رمزگذاری جریان، تاخیر بسیار کمتر از استفاده از رمزهای بلوکی است، اگرچه خلاص شدن از شر آنها به طور کامل امکان پذیر نخواهد بود. راه حل مشکل می تواند الگوریتم های سریعتر یا گنجاندن مکانیسم های QoS در ماژول رمزگذاری باشد.

QoS

محافظت در برابر جایگزینی تلفن ها و سرورهای مدیریتی

حفاظت از DoS

• تقسیم شبکه شرکت به بخش‌های غیر همپوشانی انتقال صدا و داده، که از نمایش حملات رایج، از جمله DoS، در بخش "صدا" جلوگیری می‌کند.
• قوانین کنترل دسترسی ویژه روی روترها و فایروال هایی که از محیط شبکه شرکت و بخش های جداگانه آن محافظت می کنند.
• سیستم پیشگیری از حمله بر روی سرور کنترل تماس و رایانه شخصی با برنامه های صوتی.
• سیستم های حفاظتی تخصصی در برابر حملات DoS و DDoS؛
• تنظیمات ویژه در تجهیزات شبکه که از جعل آدرس جلوگیری می کند و پهنای باند را محدود می کند، که اجازه نمی دهد منابع مورد حمله توسط جریان بزرگی از ترافیک بی فایده غیرفعال شوند.

محافظت از تلفن های IP

حفاظت از تقلب در شبکه تلفن IP

استانداردهای تلفن IP

نتیجه

از جمله الزامات اولیه برای اطمینان از امنیت شبکه تلفن IP، نیاز به جداسازی داده های صوتی و معمولی است. یعنی تلفن IP باید از شبکه ای که در آن داده های دیگر با استفاده از VLAN ها منتقل می شود جدا شود. تقسیم بندی به شما امکان می دهد یک مرز اضافی ایجاد کنید که از حملات و سوء استفاده ها، از جمله مواردی که در شبکه داخلی منشا می گیرند، جلوگیری می کند. علاوه بر این، هنگام طراحی یک شبکه تلفن IP، ارائه پهنای باند مناسب و به یاد داشته باشید که از مکانیزم های QoS برای اولویت بندی ترافیک تلفن IP استفاده کنید.

و در نهایت، استفاده از ابزارهای حفاظتی با تمرکز بر ویژگی های عملکرد تلفن IP به جلوگیری از "حفره" در امنیت شبکه ساخته شده، مانند "سوء تفاهم" ترافیک IP توسط ابزارهای حفاظتی کمک می کند، بلکه به جلوگیری از سوراخ های اضافی نیز کمک می کند. هزینه های مالی برای ارتقاء تجهیزات موجود یا خرید تجهیزات جدید.

مقاله بسیار جالبی در مورد امنیت در تلفن IP در سایت linkmeup.ru منتشر شده است. ما آن را بدون تغییر، به اصطلاح، از نویسنده پخش کردیم.

=======================

با سلام خدمت همکاران و دوستان، من، وادیم سمنوف، به همراه تیم پروژه network-class.net، مقاله مروری را به شما تقدیم می کنم که به روندها و تهدیدات اصلی در تلفن IP و مهمتر از همه، ابزارهای حفاظتی که سازنده می پردازد، می پردازد. در حال حاضر به عنوان حفاظت ارائه می شود (به زبان کارشناسان امنیتی، بیایید در نظر بگیریم که سازنده چه ابزارهایی را برای کاهش آسیب پذیری هایی که افراد نامشروع می توانند از آنها استفاده کنند ارائه می دهد). بنابراین، کلمات کمتری - بیایید به تجارت بپردازیم.
برای بسیاری از خوانندگان، اصطلاح تلفن IP مدت هاست که شکل گرفته است، و همچنین این واقعیت که این تلفن "بهتر"، ارزان تر در مقایسه با تلفن عمومی (PSTN)، غنی از عملکردهای مختلف اضافی و غیره است. و این درست است، با این حال ... تا حدی. همانطور که انتقال از تلفن آنالوگ (دیجیتال) با خطوط مشترک خود (از تلفن مشترک به ایستگاه یا ایستگاه راه دور) و خطوط اتصال (خط ارتباط بین ایستگاهی) چیزی جز در منطقه دسترسی و کنترل تلفن نبود. ارائه دهنده. به عبارت دیگر، هیچ دسترسی برای ساکنان عادی وجود نداشت (اگر کانال های کابل را در نظر نگیرید خوب یا عملاً همینطور است). من یک سوال را در انجمن هکرهای قدیمی خوب به یاد دارم: «به من بگویید چگونه به PBX دسترسی داشته باشم؟ - پاسخ: "خب، شما یک بولدوزر می گیرید - به دیوار ساختمان ATS و voila می کوبید." و این شوخی سهم خود را از حقیقت دارد) با این حال، با انتقال تلفن به یک محیط IP ارزان، ما علاوه بر تهدیداتی که یک محیط IP باز به همراه دارد، دریافت کردیم. نمونه هایی از تهدیدات اکتسابی عبارتند از:

• استشمام پورت های سیگنالینگ به منظور برقراری تماس با عوارض با هزینه شخص دیگری
• استراق سمع با رهگیری بسته های صوتی IP
• رهگیری تماس، جعل هویت توسط یک کاربر غیرقانونی به عنوان کاربر قانونی، حمله مرد در وسط
• حملات DDOS به سرورهای سیگنالینگ ایستگاه به منظور غیرفعال کردن تمام تلفن
• حملات هرزنامه، فروپاشی تعداد زیادی از تماس های فانتوم به ایستگاه به منظور گرفتن تمام منابع رایگان آن

علیرغم نیاز آشکار به از بین بردن تمام آسیب پذیری های احتمالی به منظور کاهش احتمال حمله خاص، در واقع، اجرای برخی اقدامات حفاظتی باید با برنامه زمانی آغاز شود که هزینه اجرای اقدامات حفاظتی در برابر یک تهدید خاص را در نظر بگیرد. زیان های شرکت از اجرای این تهدید توسط مهاجمان. به هر حال، احمقانه است که برای امنیت یک دارایی بیشتر از ارزش خود دارایی که ما از آن محافظت می کنیم، خرج کنیم.
پس از تعیین بودجه برای امنیت، ما دقیقاً شروع به از بین بردن تهدیدهایی خواهیم کرد که به احتمال زیاد برای شرکت وجود دارد، به عنوان مثال، برای یک سازمان کوچک دریافت صورت حساب بزرگ برای تماس های بین المللی و بین المللی ناقص بسیار دردناک خواهد بود، در حالی که برای شرکت های دولتی مهم است که مکالمات را محرمانه نگه دارند. بیایید بررسی تدریجی مقاله فعلی را از چیزهای اساسی شروع کنیم - این ارائه یک روش ایمن برای تحویل داده های خدمات از ایستگاه به تلفن است. در مرحله بعد، احراز هویت تلفن ها را قبل از اتصال آنها به ایستگاه، احراز هویت ایستگاه از کنار تلفن ها، و رمزگذاری ترافیک سیگنالینگ (برای مخفی کردن اطلاعات در مورد اینکه چه کسی با کجا تماس می گیرد) و رمزگذاری ترافیک مکالمه را در نظر بگیرید.
بسیاری از تولیدکنندگان تجهیزات صوتی (از جمله سیستم‌های سیسکو) در حال حاضر ابزارهای امنیتی یکپارچه‌ای از محدودیت‌های معمول دامنه آدرس‌های IP دارند که از آن‌ها می‌توان با استفاده از گواهی، با تأیید اعتبار نقطه پایانی تماس گرفت. به عنوان مثال، شرکت سازنده Cisco Systems با خط تولید صوتی CUCM (Cisco Unified CallManager) از نسخه محصول 8.0 (تاریخ انتشار می 2010؛ نسخه 10.5 می 2014 در حال حاضر موجود است) شروع به ادغام عملکرد "امنیت به طور پیش فرض" کرد. شامل چه مواردی می شود:

• احراز هویت تمام فایل‌های دانلود شده از طریق/از TFTP (فایل‌های پیکربندی، فایل‌های میان‌افزار برای گوشی‌ها و غیره)
• رمزگذاری فایل های پیکربندی
• تأیید گواهی با تلفن اولیه اتصال HTTPS

بیایید به نمونه‌ای از حمله «مردی در وسط» نگاه کنیم، زمانی که یک شخص نامشروع فایل‌های پیکربندی تلفن‌ها را رهگیری می‌کند، که از طریق آن تلفن می‌آموزد که باید در کدام ایستگاه ثبت نام کند، روی کدام پروتکل کار کند، کدام سیستم عامل را دانلود کند و غیره. . با رهگیری فایل، مهاجم می‌تواند تغییرات خود را در آن اعمال کند یا فایل پیکربندی را به طور کامل بازنویسی کند، در نتیجه از ثبت تلفن‌های کل دفتر (نگاه کنید به شکل) در ایستگاه جلوگیری می‌کند و در نتیجه دفتر را از دسترسی به آن محروم می‌کند. توانایی برقراری تماس

شکل 1 حمله به "مردی در وسط"

برای محافظت در برابر این، ما به دانش رمزگذاری نامتقارن، زیرساخت کلید عمومی و درک اجزای "امنیت به صورت پیش فرض" نیاز داریم که اکنون با آنها آشنا می شویم: لیست اعتماد هویت (ITL) و سرویس تأیید اعتماد (TVS). TVS سرویسی است که برای پردازش درخواست های تلفن های IP که فایل ITL یا CTL در حافظه داخلی خود ندارند طراحی شده است. تلفن IP در صورت لزوم با TVS تماس می گیرد تا مطمئن شود قبل از شروع به دسترسی به سرویس خاصی می تواند به آن اعتماد کند. این ایستگاه همچنین به عنوان یک مخزن عمل می کند که گواهی های سرورهای مورد اعتماد را ذخیره می کند. به نوبه خود، ITL لیستی از کلیدهای عمومی از عناصر تشکیل دهنده خوشه ایستگاه است، اما برای ما مهم است که کلید عمومی سرور TFTP و کلید عمومی سرویس TVS در آنجا ذخیره شود. در هنگام بوت اولیه تلفن، هنگامی که تلفن آدرس IP خود و آدرس سرور TFTP را دریافت کرد، وجود یک فایل ITL را درخواست می کند (شکل 2). اگر روی سرور TFTP باشد، با اعتماد کورکورانه، آن را در حافظه داخلی خود بارگذاری می کند و تا راه اندازی مجدد بعدی ذخیره می کند. پس از دانلود فایل ITL، تلفن یک فایل پیکربندی امضا شده را درخواست می کند.

حال بیایید ببینیم چگونه می توانیم از ابزارهای رمزنگاری استفاده کنیم - امضای یک فایل با استفاده از توابع هش MD5 یا SHA و رمزگذاری آن با استفاده از کلید خصوصی سرور TFTP (شکل 3). ویژگی توابع هش این است که توابع یک طرفه هستند. بر اساس هش دریافتی از هر فایلی، انجام عملیات معکوس و دریافت دقیقا فایل اصلی غیرممکن است. هنگامی که یک فایل تغییر می کند، هش به دست آمده از این فایل نیز تغییر می کند. شایان ذکر است که هش در خود فایل نوشته نمی شود، بلکه به سادگی به آن اضافه شده و همراه با آن منتقل می شود.

شکل 3 امضای فایل پیکربندی تلفن

هنگام تولید یک امضا، خود فایل پیکربندی گرفته می شود، هش از آن استخراج می شود و با کلید خصوصی سرور TFTP (که فقط سرور TFTP دارد) رمزگذاری می شود.
هنگام دریافت این فایل با تنظیمات، ابتدا گوشی آن را از نظر یکپارچگی بررسی می کند. ما به یاد داریم که هش یک تابع یک طرفه است، بنابراین تلفن چاره ای ندارد جز اینکه هش رمزگذاری شده توسط سرور TFTP را از فایل پیکربندی جدا کند، آن را با استفاده از کلید عمومی TFTP رمزگشایی کند (تلفن IP چگونه آن را می شناسد؟ - اما فقط از فایل ITL)، هش را از یک فایل پیکربندی تمیز محاسبه کنید و آن را با آنچه در طول رمزگشایی دریافت کردیم مقایسه کنید. اگر هش مطابقت داشته باشد، در حین انتقال هیچ تغییری در فایل ایجاد نشده است و می توان آن را با خیال راحت روی تلفن اعمال کرد (شکل 4).

شکل 4 بررسی فایل پیکربندی تلفن IP

فایل پیکربندی امضا شده برای گوشی در زیر نشان داده شده است:

برنج. 5 فایل IP تلفن امضا شده در Wireshark

با امضای فایل پیکربندی، توانستیم از یکپارچگی فایل تنظیمات ارسال شده اطمینان حاصل کنیم، اما از مشاهده آن محافظت نکردیم. از فایل پیکربندی ضبط شده، می توانید اطلاعات بسیار مفیدی را دریافت کنید، به عنوان مثال، آدرس IP مرکز تلفن (در مثال ما، 192.168.1.66 است) و پورت های باز در صرافی (2427) و غیره. آیا این اطلاعات بسیار مهمی نیست که نمی خواهید فقط در شبکه "درخشش" داشته باشید؟ برای پنهان کردن این اطلاعات، سازندگان استفاده از رمزگذاری متقارن را در نظر می گیرند (از همان کلید برای رمزگذاری و رمزگشایی استفاده می شود). در یک مورد، کلید را می توان به صورت دستی در گوشی وارد کرد، در حالت دیگر، فایل پیکربندی تلفن در ایستگاه با استفاده از کلید عمومی تلفن رمزگذاری می شود. قبل از ارسال فایل به گوشی، سرور tftp که این فایل در آن ذخیره شده است، آن را با استفاده از کلید عمومی گوشی رمزگذاری می کند و با استفاده از کلید خصوصی آن را امضا می کند (بنابراین، ما نه تنها از محرمانه بودن، بلکه از یکپارچگی فایل های منتقل شده نیز مطمئن می شویم). . نکته اصلی در اینجا این است که گیج نشویم که چه کسی از کدام کلید استفاده می کند، اما بیایید آن را به ترتیب در نظر بگیریم: سرور tftp، با رمزگذاری فایل با کلید عمومی تلفن IP، اطمینان حاصل کرد که فقط صاحب کلید عمومی جفت شده می تواند باز شود. این فایل. با امضای فایل با کلید خصوصی آن، سرور tftp تأیید می‌کند که کسی آن را ایجاد کرده است. فایل رمزگذاری شده در شکل 6 نشان داده شده است:

شکل 6 فایل IP تلفن رمزگذاری شده

بنابراین، در حال حاضر امکان محافظت از فایل‌های پیکربندی تلفن‌ها را از مشاهده و اطمینان از یکپارچگی آنها در نظر گرفته‌ایم. اینجاست که ویژگی های «امنیت به طور پیش فرض» به پایان می رسد. برای ارائه رمزگذاری ترافیک صوتی، پنهان کردن اطلاعات سیگنالینگ (در مورد اینکه چه کسی تماس می گیرد و کجا تماس بگیرد)، ابزارهای اضافی بر اساس لیست گواهی های مورد اعتماد - CTL، که در زیر بررسی می کنیم، مورد نیاز است.

احراز هویت مرکز تلفن

هنگامی که یک تلفن نیاز به برقراری ارتباط با یک مرکز تلفن دارد (به عنوان مثال، برای مذاکره در مورد اتصال TLS برای تبادل سیگنال)، تلفن IP نیاز به تأیید اعتبار مبادله دارد. همانطور که ممکن است حدس بزنید، گواهی ها نیز به طور گسترده ای برای حل این مشکل استفاده می شوند. در حال حاضر، ایستگاه های IP مدرن از تعداد زیادی عنصر تشکیل شده اند: چندین سرور سیگنالینگ برای پردازش تماس، یک سرور مدیریت اختصاصی (که از طریق آن تلفن های جدید، کاربران، دروازه ها، قوانین مسیریابی و غیره اضافه می شوند)، یک سرور TFTP اختصاصی برای ذخیره فایل های پیکربندی و نرم افزار برای تلفن، سرور برای پخش موسیقی در حالت انتظار و غیره، علاوه بر این، زیرساخت صوتی می تواند دارای پست صوتی، یک سرور برای تعیین وضعیت فعلی مشترک (آنلاین، آفلاین، "در ناهار") باشد. - لیست چشمگیر است و مهمتر از همه، هر یک از سرورها گواهی امضا شده خود را دارند و هر کدام به عنوان مرجع صدور گواهینامه ریشه کار می کنند (شکل 7). به همین دلیل، هیچ سروری در زیرساخت صوتی به گواهی سرور دیگری اعتماد نخواهد کرد، به عنوان مثال، سرور صوتی به سرور TFTP اعتماد ندارد، پست صوتی به سرور سیگنالینگ اعتماد ندارد و علاوه بر این، تلفن ها باید گواهی های مربوط به آن را ذخیره کنند. همه عناصر شرکت کننده در تبادل ترافیک سیگنالینگ. گواهی مبادلات تلفنی در شکل 7 نشان داده شده است.

شکل 7 گواهینامه های خود امضای ایستگاه IP سیسکو

برای وظایف ایجاد روابط اعتماد بین عناصر فوق در زیرساخت صوتی، و همچنین رمزگذاری ترافیک صوتی و سیگنالینگ، به اصطلاح لیست اعتماد گواهی (CTL) وارد بازی می شود. CTL شامل تمام گواهینامه های خود امضا شده از همه سرورها در خوشه ایستگاه صوتی، و همچنین آنهایی است که در تبادل پیام های سیگنالینگ تلفنی (مثلاً دیوار آتش) شرکت می کنند و این فایل با کلید خصوصی یک مرجع صدور گواهینامه مورد اعتماد امضا شده است. شکل 8). فایل CTL معادل گواهینامه های نصب شده است که توسط مرورگرهای وب هنگام کار با پروتکل https استفاده می شود.

شکل 8 فهرست گواهی های مورد اعتماد

برای ایجاد یک فایل CTL بر روی تجهیزات سیسکو، به یک رایانه شخصی با کانکتور USB، برنامه کلاینت CTL نصب شده روی آن و خود رمز امنیتی مدیر سایت (SAST) (شکل 9) نیاز دارید که حاوی یک کلید خصوصی است. و یک گواهی X.509v3 که توسط سازنده مرکز احراز هویت (سیسکو) امضا شده است.

شکل 9 سیسکو eToken

کلاینت CTL برنامه ای است که بر روی رایانه شخصی ویندوزی نصب می شود و با آن می توانید کل سانترال تلفن را به حالت مخلوط منتقل کنید، یعنی حالت مختلط برای پشتیبانی از ثبت دستگاه های ترمینال در حالت های ایمن و ناامن. ما کلاینت را راه اندازی می کنیم، آدرس IP مرکز تلفن را مشخص می کنیم، ورود / رمز عبور مدیر را وارد می کنیم و مشتری CTL یک اتصال TCP را در پورت 2444 با ایستگاه برقرار می کند (شکل 10). پس از آن، تنها دو اقدام ارائه خواهد شد:

شکل 10 مشتری سیسکو CTL

پس از ایجاد فایل CTL، باقی مانده است که سرورهای TFTP را مجدداً راه اندازی کنید تا فایل CTL جدید ایجاد شده را روی خود آپلود کنند و سپس سرورهای صوتی را مجدداً راه اندازی کنید تا تلفن های IP نیز راه اندازی مجدد شوند و فایل CTL جدید (32 کیلوبایت) را دانلود کنند. فایل CTL دانلود شده را می توان از تنظیمات تلفن IP مشاهده کرد (شکل 11)

Fig.11 فایل CTL در تلفن IP

احراز هویت نقطه پایانی

احراز هویت دستگاه باید اجرا شود تا اطمینان حاصل شود که فقط دستگاه های نهایی قابل اعتماد متصل و ثبت می شوند. در این مورد، بسیاری از تولید کنندگان از یک روش قبلاً اثبات شده استفاده می کنند - احراز هویت دستگاه با استفاده از گواهی ها (شکل 12). به عنوان مثال، در معماری صوتی سیسکو، این کار به صورت زیر اجرا می شود: دو نوع گواهی برای احراز هویت با کلیدهای عمومی و خصوصی مربوطه وجود دارد که در تلفن ذخیره می شوند:
گواهی نصب شده توسط سازنده - (MIC). گواهی نصب شده توسط سازنده حاوی یک کلید 2048 بیتی است که توسط مرجع صدور گواهینامه شرکت سازنده (سیسکو) امضا شده است. این گواهی بر روی همه مدل های گوشی نصب نمی شود و در صورت نصب نیازی به داشتن گواهینامه (LSC) دیگر نیست.
Locally Significant Certificate - (LSC) یک گواهی محلی مهم که حاوی کلید عمومی تلفن IP است که با کلید خصوصی مرکز احراز هویت محلی امضا شده است که روی عملکرد پروکسی مرجع صدور گواهی (CAPF) مرکز تلفن اجرا می شود.
بنابراین، اگر گوشی هایی با گواهی MIC از پیش نصب شده داشته باشیم، هر بار که تلفن در ایستگاه ثبت نام می کند، ایستگاه برای احراز هویت، گواهی از پیش نصب شده توسط سازنده درخواست می کند. با این حال، اگر MIC به خطر بیفتد، باید توسط مرجع صدور گواهینامه سازنده جایگزین شود، که ممکن است زمان زیادی را ببرد. به منظور عدم وابستگی به زمان پاسخگویی مرجع گواهی سازنده برای صدور مجدد گواهینامه تلفن در معرض خطر، ترجیحاً از گواهی محلی استفاده کنید.

Fig.12 گواهینامه برای احراز هویت نقطه پایانی

به طور پیش‌فرض، گواهی LSC روی تلفن IP نصب نمی‌شود و نصب آن با استفاده از گواهی MIB (در صورت وجود)، یا از طریق اتصال TLS (امنیت لایه انتقال) با استفاده از یک کلید مشترک، که به‌طور دستی توسط مدیر در ایستگاه و با تلفن وارد شد.
فرآیند نصب یک گواهی مهم محلی (LSC) بر روی تلفن حاوی کلید عمومی تلفن امضا شده توسط مرجع گواهی محلی در شکل 13 نشان داده شده است:

شکل 13 فرآیند نصب گواهی LSC قابل توجه محلی

1. پس از دانلود IP، تلفن لیست مورد اعتماد گواهینامه ها (فایل CTL) و یک فایل پیکربندی را درخواست می کند.
2. ایستگاه فایل های درخواستی را ارسال می کند
3. از پیکربندی دریافتی، تلفن تعیین می‌کند که آیا نیاز به دانلود یک گواهی محلی (LSC) از ایستگاه دارد یا خیر.
4. اگر ایستگاه را برای گوشی تنظیم کرده ایم که گواهی LSC را نصب کند (به زیر مراجعه کنید)، که ایستگاه از آن برای احراز هویت این تلفن IP استفاده می کند، پس باید مراقب باشیم که درخواست صدور گواهی LSC - ایستگاه آن را صادر کرده است. به کسی که در نظر گرفته شده است. برای این منظور، می توانیم از گواهی MIC (در صورت وجود) استفاده کنیم، برای هر گوشی یک رمز عبور یک بار مصرف ایجاد کنیم و آن را به صورت دستی در گوشی وارد کنیم، یا اصلا از مجوز استفاده نکنیم.
مثال فرآیند نصب LSC را با استفاده از تولید شده نشان می دهد

ارائه شده توسط SEO CMS نسخه: 23.1 TOP 2 (opencartadmin.com)

تلفن IP؟ او هم مورد حمله قرار گرفته است!

اصول کارکرد، اصول جراحی، اصول عملکرد

اصل عملکرد فناوری IP-telephony ساده است. جزء مرکزی آن یک سرور (دروازه) است که وظیفه اتصال شبکه های تلفن و IP را بر عهده دارد. هم به شبکه تلفن متصل است و هم می تواند به هر تلفن معمولی دسترسی پیدا کند و هم به یک شبکه داده (مثلاً اینترنت) و می تواند به هر رایانه ای دسترسی داشته باشد. ویژگی های این دستگاه عبارتند از:

پاسخ دریافت تماس گیرنده

ایجاد ارتباط با یک دروازه راه دور و یک حزب فراخوانی

دیجیتال سازی (رمزگذاری)، فشرده سازی، بسته بندی و بازیابی سیگنال

این دروازه (به عنوان مثال Cisco Catalyst 4000 Access Gateway Module یا Cisco VG200) یک سیگنال تلفن معمولی را به عنوان ورودی دریافت می کند، آن را دیجیتالی می کند (اگر سیگنال دیجیتالی نباشد) و داده های دریافتی را فشرده می کند و پس از آن آن را به شبکه IP ارسال می کند. به شکل بسته های معمولی (اما نه خیلی بزرگ). در انتهای دیگر، دروازه سیگنال را به ترتیب معکوس بازیابی می کند. اگر قصد ندارید تلفن های IP خود را در PSTN ادغام کنید، ممکن است از این مؤلفه استفاده نشود (شکل 1 را ببینید).

برای اینکه بتوانید یک شبکه تلفنی IP توزیع شده بسازید، باید دیسپچری داشته باشید که مسئولیت توزیع تماس ها بین دروازه ها را بر عهده دارد (مثلاً Cisco CallManager). علاوه بر این وظیفه، دیسپچر احراز هویت و مجوز مشترکین را انجام می دهد و همچنین دارای یک رابط با سیستم صورتحساب است.

برای راحتی مدیریت تعداد زیادی دروازه و دیسپاچر از راه دور، می توان از نرم افزار خاصی به نام مانیتور استفاده کرد. و در نهایت، آخرین عنصر اجباری شبکه IP تلفن، ایستگاه مشترک است که هم به صورت نرم افزاری (مثلاً Cisco IP SoftPhone) و هم در سخت افزار (مثلاً Cisco IP Phone مستقیماً به پورت اترنت متصل می شود. سوئیچ). علاوه بر این، در مورد اول، حتی از طریق یک کامپیوتر خانگی مجهز به کارت صدا و میکروفون، و در مورد دوم، به اصطلاح می توان تماس گرفت. تلفن IP. یکی دیگر از اجزای معماری تلفن IP را می توان برنامه های کاربردی کاربر تخصصی نامید که به دلیل ادغام صدا، ویدئو و داده ها (مراکز تماس، سیستم های پیام رسانی یکپارچه) به وجود آمده اند.

چرا به تلفن IP حمله کنیم؟

شبکه های تلفن IP هدف خوبی برای هکرها هستند. برخی از آنها ممکن است با ارسال یک پیام صوتی از طرف مدیریت شرکت، شما را فریب دهند. ممکن است شخصی بخواهد به صندوق پست صوتی مدیریت شما دسترسی داشته باشد یا حتی بخواهد داده های صوتی تراکنش های مالی رد و بدل شده بین کارمندان بخش مالی یا بخش حسابداری را رهگیری کند. رقبای شما ممکن است بخواهند با از بین بردن دروازه‌ها و توزیع‌کننده‌ها، اعتبار شما را تضعیف کنند، در نتیجه در دسترس بودن خدمات تلفنی برای مشترکین شما اختلال ایجاد کنند، که به نوبه خود ممکن است به تجارت مشتریان شما نیز آسیب برساند. دلایل دیگری نیز وجود دارد، به عنوان مثال، تماس با هزینه شخص دیگری (سرقت خدمات).

تهدیدات احتمالی

مشکل اصلی امنیت تلفن IP این است که بیش از حد باز است و حمله به اجزای آن را برای مهاجمان نسبتاً آسان می کند. علیرغم اینکه موارد چنین حملاتی عملا ناشناخته هستند، در صورت تمایل می توان آنها را اجرا کرد، زیرا. حملات به شبکه‌های IP معمولی می‌توانند تقریباً بدون تغییر به شبکه‌های صوتی دیجیتالی هدایت شوند. از سوی دیگر، شباهت شبکه‌های IP معمولی و شبکه‌های تلفن IP راه‌های محافظت از آن‌ها را به ما می‌گوید، اما در ادامه بیشتر در مورد آن صحبت خواهیم کرد.

حملات به تلفن های معمولی برای IP نسبی آن یعنی فانوس نیز قابل اعمال است.

IP-telephony به عنوان یکی از بستگان مستقیم تلفن معمولی و IP-تکنولوژی، نه تنها مزایا، بلکه معایب آنها را نیز جذب کرده است. آن ها حملات ذاتی در تلفن معمولی را نیز می توان به جزء IP آن اعمال کرد. من تعدادی از آنها را ذکر می کنم که برخی از آنها را با جزئیات بیشتر بررسی خواهم کرد:

شنود مکالمات تلفنی

خود داری از خدمات

تغییر شماره

سرقت خدمات

تماس های غیرمنتظره

تغییر پیکربندی غیرمجاز

کلاهبرداری حساب

رهگیری داده ها

رهگیری داده ها بزرگترین مشکل تلفن معمولی و آی پی عموی آن است.

با این حال، در مورد دوم، این خطر بسیار بیشتر است، زیرا. مهاجم دیگر نیازی به دسترسی فیزیکی به خط تلفن ندارد. وضعیت با این واقعیت بدتر می شود که بسیاری از پروتکل های ساخته شده در بالای پشته TCP/IP داده ها را به صورت شفاف انتقال می دهند. پروتکل های HTTP، SMTP، IMAP، FTP، Telnet، SQL*net و از جمله پروتکل های تلفن IP از این گناه رنج می برند. مهاجمی که توانسته ترافیک IP صوتی را رهگیری کند (و به طور پیش فرض بین دروازه ها رمزگذاری نشده است) می تواند به راحتی مکالمات اصلی را بازیابی کند. حتی ابزارهای خودکار برای این کار وجود دارد. به عنوان مثال، ابزار Vomit (Voice Over Misconfigured Internet Phones) که داده های به دست آمده در نتیجه رهگیری ترافیک را با استفاده از تجزیه و تحلیل پروتکل tcpdump آزادانه به یک فایل WAV معمولی تبدیل می کند که می تواند با استفاده از هر پخش کننده رایانه ای پخش شود. این ابزار به شما امکان می دهد داده های صوتی ارسال شده با تلفن های IP سیسکو و فشرده شده با استفاده از کدک G.711 را تبدیل کنید. علاوه بر این، مهاجمان علاوه بر گوش دادن غیرمجاز، می‌توانند پیام‌های صوتی رهگیری شده (یا قطعات آن‌ها) را برای دستیابی به اهداف خود مجدداً ارسال کنند.

با این حال ، می خواهم فوراً یادآوری کنم که رهگیری داده های صوتی آنقدرها که در نگاه اول به نظر می رسد کار ساده ای نیست. مهاجم باید اطلاعاتی در مورد آدرس دروازه ها یا ایستگاه های مشترک، پروتکل های VoIP استفاده شده (به عنوان مثال H.323) و الگوریتم های فشرده سازی (مثلا G.711) داشته باشد. در غیر این صورت، راه اندازی نرم افزار رهگیری ترافیک برای مهاجم مشکل خواهد بود و یا حجم داده های رهگیری شده و زمان تجزیه و تحلیل آن از تمام محدودیت های مجاز فراتر خواهد رفت.

شنود داده ها را می توان هم از داخل شبکه شرکت و هم از خارج انجام داد. یک مهاجم ماهر با دسترسی به رسانه انتقال داده های فیزیکی می تواند تلفن IP خود را به سوئیچ متصل کند و در نتیجه مکالمات افراد دیگر را شنود کند. همچنین می تواند مسیرهای ترافیک شبکه را تغییر دهد و به گره مرکزی شبکه شرکت تبدیل شود که ترافیک مورد علاقه از آن عبور می کند. علاوه بر این، اگر در شبکه داخلی بتوانید، با درجه خاصی از احتمال، دستگاه غیرمجاز را که داده های صوتی را رهگیری می کند، شناسایی کنید، تشخیص شاخه ها در شبکه خارجی تقریبا غیرممکن است. بنابراین، هرگونه ترافیک رمزگذاری نشده خارج از شبکه شرکتی باید ناامن تلقی شود.

خود داری از خدمات

تلفن سنتی همیشه کیفیت ارتباطات را حتی در مورد بارهای بالا تضمین می کند که برای تلفن IP بدیهی نیست. بار زیاد در شبکه که در آن داده های صوتی دیجیتالی منتقل می شود، منجر به اعوجاج قابل توجه و حتی از دست رفتن بخشی از پیام های صوتی می شود. بنابراین، یکی از حملات به IP-telephony ممکن است شامل ارسال تعداد زیادی بسته "نویز" به سرور IP-telephony باشد که کانال انتقال داده را مسدود می کند و در صورت تجاوز از یک مقدار آستانه خاص، حتی می توانند بخشی را غیرفعال کنند. شبکه IP-telephony (یعنی حمله انکار سرویس). به طور واضح، برای اجرای چنین حمله ای، نیازی به "اختراع مجدد چرخ" نیست - کافی است از حملات DoS معروف Land، Ping of Death، Smurf، UDP Flood و غیره استفاده کنید. یکی از راه حل های این مشکل، رزرو پهنای باند است که با پروتکل های مدرن مانند RSVP قابل دستیابی است. روش های حفاظتی دقیق تر در زیر مورد بحث قرار خواهد گرفت.

انکار سرویس یک مشکل جدی برای دستگاه های تلفن IP است. - چراغ قوه

تغییر شماره

برای ارتباط با یک مشترک در شبکه تلفن معمولی باید شماره او را بدانید و در تلفن IP آدرس IP نقش شماره تلفن را بازی می کند. بنابراین، زمانی ممکن است که یک مهاجم با استفاده از جعل آدرس، بتواند مشترک مورد نیاز شما را جعل هویت کند. به همین دلیل است که وظیفه ارائه احراز هویت در تمام استانداردهای VoIP موجود نادیده گرفته نشده و کمی بعد مورد توجه قرار خواهد گرفت.

حملات به نقاط مشترک

باید درک کرد که ایستگاه های مشترک مبتنی بر رایانه شخصی نسبت به تلفن های IP خاص دستگاه های ایمن کمتری دارند. این پایان نامه برای سایر اجزای تلفن IP مبتنی بر نرم افزار نیز قابل اجرا است. این به این دلیل است که نه تنها حملات مخصوص تلفن IP را می توان علیه چنین اجزایی اجرا کرد. خود رایانه و اجزای آن (سیستم عامل، برنامه های کاربردی، پایگاه های داده و غیره) در معرض حملات مختلفی قرار می گیرند که می تواند بر اجزای تلفن IP نیز تأثیر بگذارد. به عنوان مثال، کرم های اینترنتی Red Code، Nimda، تروجان ها و ویروس های مختلف، حملات DoS و تغییرات توزیع شده آنها - همه اینها می توانند، اگر زیرساخت صدای IP را غیرفعال نکنند، به طور قابل توجهی عملکرد آن را مختل کنند. در عین حال، حتی اگر هیچ آسیب‌پذیری در خود نرم‌افزار (در حال حاضر) یافت نشد، سایر اجزای نرم‌افزار شخص ثالث مورد استفاده توسط آن (به‌ویژه موارد معروف) می‌توانند امنیت کلی را به صفر برسانند. از این گذشته، قاعده کلی مدت هاست که شناخته شده است - "امنیت کل سیستم برابر با امنیت ضعیف ترین حلقه آن است." به عنوان مثال Cisco CallManager است که از Windows 2000 Server، MS Internet Information Server و MS SQL Server برای عملکرد خود استفاده می کند که هر کدام دسته ای از حفره های خاص خود را دارند.

حملات به کنترل کننده ها

مهاجمان همچنین می‌توانند به میزبان‌هایی حمله کنند (Gatekeeper از نظر H.323 یا سرور Redirect از نظر SIP) که اطلاعات مربوط به مکالمات کاربر (نام مشترکین، زمان، مدت زمان، دلیل پایان تماس و غیره) را ذخیره می‌کنند. این کار هم برای به دست آوردن اطلاعات محرمانه در مورد خود مکالمات و هم به منظور اصلاح و حتی حذف داده های مشخص شده قابل انجام است. در حالت دوم، سیستم صورت‌حساب (مثلاً در یک اپراتور مخابراتی) نمی‌تواند به درستی صورت‌حساب مشتریان خود را صادر کند، که ممکن است عملکرد را مختل کند یا به کل زیرساخت تلفن IP آسیب برساند.

استانداردهای تلفن IP و مکانیسم های امنیتی آنها

فقدان استانداردهای یکسان پذیرفته شده در این زمینه (نگاه کنید به شکل 2) اجازه توسعه توصیه های جهانی برای حفاظت از دستگاه های تلفن IP را نمی دهد. هر کارگروه یا سازنده مشکلات ایمن سازی درگاه ها و دیسپاچرها را به روش خود حل می کند که منجر به نیاز به مطالعه دقیق آنها قبل از انتخاب اقدامات حفاظتی کافی می شود.

امنیت H.323

H.323 پروتکلی است که به شما امکان می دهد از ابتدا تا انتها یک سیستم VoIP بسازید. H.323 شامل تعدادی مشخصات از جمله و H.235، که برخی مکانیسم های امنیتی (تأیید هویت، یکپارچگی، محرمانه بودن، و عدم انکار) را برای داده های صوتی پیاده سازی می کند.

احراز هویت در استاندارد H.323 هم با کمک الگوریتم‌های رمزنگاری متقارن (در این مورد، نیازی به تبادل اولیه بین دستگاه‌های در حال تعامل نیست و CPU به شدت بارگذاری نمی‌شود) و با کمک گواهی‌ها یا رمزهای عبور قابل پیاده‌سازی است. علاوه بر این، مشخصات H.235 امکان استفاده از IPSec را به عنوان مکانیزم احراز هویت فراهم می کند که برای استفاده در سایر استانداردهای تلفن IP نیز توصیه می شود.

پس از برقراری ارتباط ایمن، که از طریق پورت 1300 tcp انجام می شود، گره های شرکت کننده در تبادل داده های صوتی، اطلاعات مربوط به روش رمزگذاری را مبادله می کنند که می تواند در انتقال (رمزگذاری بسته های پروتکل RTP) یا شبکه (با استفاده از IPSec) استفاده شود. ) مرحله.

امنیت SIP

این پروتکل، مشابه HTTP و توسط ایستگاه‌های مشترک برای برقراری ارتباط (نه لزوماً تلفنی، بلکه مثلاً برای بازی‌ها) استفاده می‌شود، محافظت جدی ندارد و بر استفاده از راه‌حل‌های شخص ثالث متمرکز است (برای به عنوان مثال، PGP). به عنوان مکانیزم احراز هویت، RFC 2543 چندین گزینه و به ویژه احراز هویت اولیه (مانند HTTP) و احراز هویت مبتنی بر PGP را ارائه می دهد. مایکل توماس از سیسکو سیستمز در تلاشی برای رفع نقاط ضعف امنیتی این پروتکل، پیش نویس استاندارد IETF به نام «چارچوب امنیتی SIP» را توسعه داده است که تهدیدات خارجی و داخلی پروتکل SIP و نحوه محافظت در برابر آنها را تشریح می کند. به طور خاص، چنین روش هایی شامل حفاظت در سطح حمل و نقل با استفاده از TLS یا IPSec است. به هر حال، سیسکو در معماری امنیتی شبکه سازمانی SAFE خود، توجه زیادی به مسائل عملی حفاظت از تلفن IP دارد.

امنیت MGCP

استاندارد MGCP، که در RFC 2705 تعریف شده است و برای دستگاه‌های پایانی قابل اجرا نیست (دروازه‌های MGCP می‌توانند با هر دو مؤلفه دارای H.323 و SIP کار کنند)، از پروتکل ESP با مشخصات IPSec برای محافظت از داده‌های صوتی استفاده می‌کند. پروتکل AH همچنین می تواند مورد استفاده قرار گیرد (اما نه در شبکه های IPv6)، که احراز هویت و یکپارچگی داده (یکپارچگی بدون اتصال) و محافظت در برابر پخش مجدد بین دروازه ها را فراهم می کند. در عین حال، پروتکل AH حریم خصوصی داده ها را فراهم نمی کند که با استفاده از ESP (به همراه سه ویژگی امنیتی دیگر) به دست می آید.

امنیت

انتخاب توپولوژی مناسب

استفاده از متمرکز کننده ها برای زیرساخت VoIP توصیه نمی شود که رهگیری داده ها را برای مهاجمان آسان تر می کند. علاوه بر این، به دلیل صدای دیجیتالی معمولاً از طریق همان سیستم کابلی و از طریق تجهیزات شبکه مشابه داده های معمولی عبور می کند، ارزش دارد که بین جریان های اطلاعاتی بین آنها به درستی تمایز قائل شویم. به عنوان مثال، این کار را می توان با استفاده از مکانیسم VLAN انجام داد (با این حال، شما نباید فقط به آنها تکیه کنید). مطلوب است که سرورهای شرکت کننده در زیرساخت تلفن IP در یک بخش شبکه جداگانه (نگاه کنید به شکل 3)، که نه تنها با مکانیسم های حفاظتی تعبیه شده در سوئیچ ها و مسیریاب ها (لیست های کنترل دسترسی، ترجمه آدرس و تشخیص حمله) محافظت می شود، بلکه محافظت می شود. همچنین با کمک ابزارهای امنیتی اضافی نصب شده (دیوارهای آتش، سیستم های تشخیص نفوذ، سیستم های احراز هویت و غیره).

باید به خاطر داشته باشید که انتقال داده های صوتی از طریق شبکه شرکتی شما تأثیر خاصی بر طراحی آن می گذارد. شما باید به مسائل دسترسی بالا و تحمل خطا توجه زیادی داشته باشید. اگر کاربران همچنان بتوانند به قطع کوتاه وب سرور یا سیستم پستی عادت کنند، آنگاه نمی توانند به اختلال در سرویس تلفن عادت کنند. شبکه تلفن معمولی به ندرت از کار می افتد که بسیاری از کاربران به طور طبیعی ویژگی Fail-Safe را به خواهر IP می دهند. بنابراین، نقص در عملکرد زیرساخت VoIP می تواند اعتماد آن را از جانب کاربران تضعیف کند که به نوبه خود می تواند منجر به امتناع از استفاده از آن و خسارت مادی به مالک آن شود.

امنیت فیزیکی

ممنوعیت دسترسی غیرمجاز کاربر به تجهیزات شبکه، از جمله، مطلوب است. و سوئیچ، و در صورت امکان، تمام تجهیزات غیر مشترک را در اتاق های سرور مجهز قرار دهید. این از اتصال غیرمجاز از رایانه مهاجم جلوگیری می کند. علاوه بر این، باید مرتباً دستگاه‌های غیرمجاز متصل به شبکه را که می‌توانند مستقیماً در کابل شبکه «جاسازی» شوند، بررسی کنید. برای شناسایی چنین وسایلی می توان از روش های مختلفی استفاده کرد، از جمله. و اسکنرها (به عنوان مثال، اسکنر اینترنت یا Nessus)، از راه دور وجود دستگاه های "خارجی" را در شبکه تشخیص می دهند.

کنترل دسترسی

یکی دیگر از راه های نسبتا ساده برای محافظت از زیرساخت VoIP، کنترل آدرس های MAC است. به تلفن‌های IP با آدرس‌های MAC ناشناخته اجازه ندهید به دروازه‌ها یا سایر عناصر شبکه IP که داده‌های صوتی را حمل می‌کنند دسترسی داشته باشند. این از اتصال غیرمجاز تلفن های IP "خارجی" که می توانند به مکالمات شما گوش دهند یا با هزینه شما تماس تلفنی برقرار کنند، جلوگیری می کند. البته، آدرس MAC را می توان جعلی کرد، اما با این حال، نباید از چنین اقدام محافظتی ساده ای غافل شوید، که بدون هیچ مشکلی در اکثر سوئیچ ها و حتی هاب های مدرن اجرا می شود. گره ها (عمدتا دروازه ها، توزیع کننده ها و مانیتورها) باید به گونه ای پیکربندی شوند که تمام تلاش های دسترسی غیرمجاز به آنها را مسدود کند. برای این کار می توانید هم از قابلیت های تعبیه شده در سیستم عامل ها و هم از محصولات شخص ثالث استفاده کنید. و از آنجایی که ما در روسیه کار می کنیم، توصیه می کنم از محصولات تایید شده توسط کمیسیون فنی دولتی روسیه استفاده کنید، به خصوص که تعداد زیادی از این محصولات وجود دارد.

VLAN

فناوری شبکه محلی مجازی (VLAN) یک تقسیم امن از یک شبکه فیزیکی را به چندین بخش جدا شده که مستقل از یکدیگر عمل می کنند، فراهم می کند. در تلفن IP از این فناوری برای جداسازی انتقال صدا از انتقال داده های معمولی (فایل، ایمیل و ...) استفاده می شود. مدیران، دروازه‌ها و تلفن‌های IP روی یک VLAN اختصاصی برای انتقال صدا قرار می‌گیرند. همانطور که در بالا اشاره کردم، VLAN به طور قابل توجهی زندگی مهاجمان را پیچیده می کند، اما همه مشکلات مربوط به شنود مذاکرات را برطرف نمی کند. روش هایی وجود دارد که به مهاجمان اجازه می دهد تا داده ها را حتی در یک محیط سوئیچ شده رهگیری کنند.

رمزگذاری

رمزگذاری نه تنها بین دروازه‌ها، بلکه بین تلفن IP و دروازه نیز باید استفاده شود. این کار از کل مسیری که داده های صوتی از یک سر به سر دیگر می روند محافظت می کند. اطمینان از محرمانه بودن نه تنها بخشی جدایی ناپذیر از استاندارد H.323 است، بلکه در تجهیزات برخی از سازندگان نیز پیاده سازی شده است. با این حال، این مکانیسم تقریبا هرگز استفاده نمی شود. چرا؟ از آنجا که کیفیت انتقال داده ها در اولویت است و رمزگذاری / رمزگشایی مداوم جریان داده های صوتی زمان می برد و اغلب تاخیرهای غیرقابل قبولی را در فرآیند ارسال و دریافت ترافیک ایجاد می کند (تأخیر 200 ... 250 میلی ثانیه می تواند کیفیت را به میزان قابل توجهی کاهش دهد. از مذاکرات). علاوه بر این، همانطور که در بالا ذکر شد، فقدان یک استاندارد واحد به همه سازندگان اجازه نمی دهد که یک الگوریتم رمزگذاری واحد را بپذیرند. با این حال، انصافاً باید گفت که دشواری های رهگیری ترافیک صوتی تا کنون به شما این امکان را می دهد که به رمزگذاری آن از طریق انگشتان خود نگاه کنید.

به هر حال، اگر تصمیم به استفاده از رمزگذاری دارید، به یاد داشته باشید که با رمزگذاری داده‌های صوتی، آن‌ها را نه تنها از مهاجمان، بلکه از ابزارهای کنترل کیفیت (QoS) که قادر به ارائه پهنای باند مناسب برای آنها نیستند، پنهان می‌کنید. و خدمات اولویت دار . . هنگامی که یک مشکل (ناامنی) را برطرف کردید، با مشکل دیگری (کیفیت خدمات) روبرو می شوید. و مطمئن باشید که در این شرایط راه حل مشکل دوم را ترجیح می دهید و از حل مشکل اول غافل می شوید. به هر حال، همه چیز را نیز نمی توان رمزگذاری کرد. پروتکل های سیگنالینگ مورد استفاده در تلفن IP توصیه نمی شود که رمزگذاری شوند، زیرا در این صورت، تمام اطلاعات سرویس لازم برای حفظ سلامت کل شبکه را نیز رمزگذاری خواهید کرد.

اما بلافاصله رمزگذاری را رها نکنید - از این گذشته، امنیت مذاکرات شما نیز ضروری است. بنابراین، باید در مورد رمزگذاری داده های VoIP هوشمندانه عمل کنید. به عنوان مثال، سیسکو استفاده از دستور Crypto را در سیستم عامل IOS تجهیزات خود به جای استفاده از تونل GRE یا استفاده از Cisco VPN 3000 VPN Concentrators توصیه می کند که به شما امکان می دهد از داده ها با حفظ کیفیت خدمات محافظت کنید. علاوه بر این، رمزگذاری انتخابی را می توان فقط برای فیلدهای خاصی در بسته های VoIP استفاده کرد.

دیواره آتش

برای محافظت از شبکه سازمانی معمولاً از فایروال ها استفاده می شود که با موفقیت مشابهی همراه است

همچنین می تواند برای محافظت از زیرساخت VoIP استفاده شود. تنها کاری که باید انجام شود اضافه کردن تعدادی قوانین است که توپولوژی شبکه، مکان قطعات تلفن IP نصب شده و غیره را در نظر می گیرد. به عنوان مثال، دسترسی به Cisco CallManager از طریق اینترنت یا DMZ به طور معمول مسدود است، اما در صورت استفاده از مدیریت مبتنی بر وب، چنین دسترسی باید مجاز باشد، اما فقط در پورت 80 و فقط برای محدوده محدودی از آدرس‌های خارجی. و برای محافظت از سرور SQL که بخشی از Cisco CallManager است، می توانید دسترسی از همه پورت ها به جز 1433 را رد کنید.

به هر حال، دو نوع فایروال وجود دارد که می توان از آنها برای محافظت از اجزای تلفن IP استفاده کرد. اولین آنها، شرکتی، در خروجی شبکه شرکت قرار می گیرد و از تمام منابع آن به طور همزمان محافظت می کند. نمونه ای از این فایروال ها فایروال CiscoSecure PIX است. نوع دوم شخصی است که فقط از یک گره خاص محافظت می کند که می تواند ایستگاه مشترک، دروازه یا توزیع کننده وجود داشته باشد. نمونه هایی از چنین فایروال های شخصی RealSecure Desktop Protector یا BlackICE PC Protector هستند. علاوه بر این، برخی از سیستم عامل ها (مانند لینوکس یا ویندوز 2000) دارای فایروال های شخصی داخلی هستند که به شما امکان می دهد از قابلیت های آنها برای افزایش امنیت زیرساخت VoIP خود استفاده کنید. بسته به استاندارد مورد استفاده برای تلفن IP، استفاده از فایروال ها می تواند منجر به مشکلات مختلفی شود. به عنوان مثال، پس از استفاده از پروتکل SIP، نقاط مشترک اطلاعاتی در مورد پارامترهای اتصال رد و بدل می کنند، تمام تعاملات از طریق پورت های اختصاص داده شده به صورت پویا با اعداد بزرگتر از 1023 انجام می شود. در این حالت، ITU از قبل "نمی داند" کدام پورت خواهد بود. برای تبادل داده های صوتی استفاده می شود و در نتیجه چنین تبادلی مسدود می شود. بنابراین، فایروال باید بتواند بسته های SIP را تجزیه و تحلیل کند تا پورت های مورد استفاده برای ارتباط را تعیین کند و قوانین آن را به صورت پویا ایجاد یا تغییر دهد. یک الزام مشابه برای سایر پروتکل های تلفن IP اعمال می شود.

مشکل دیگر مربوط به این واقعیت است که همه ITU ها قادر به پردازش صحیح نه تنها هدر پروتکل تلفن IP، بلکه بدنه داده آن هستند، زیرا اغلب اطلاعات مهم داخل آن است. به عنوان مثال، اطلاعات مربوط به آدرس های مشترکین در پروتکل SIP در بدنه داده قرار دارد. ناتوانی یک فایروال در "دستیابی به ته چیزها" می تواند منجر به ناتوانی در تبادل داده های صوتی از طریق فایروال یا "باز کردن" سوراخی در آن شود که برای مهاجمان بسیار بزرگ است.

احراز هویت

تلفن‌های IP مختلف از مکانیسم‌های احراز هویت پشتیبانی می‌کنند که به شما امکان می‌دهد تنها پس از ارائه و تأیید یک رمز عبور یا شماره پین ​​شخصی که به کاربر اجازه دسترسی به تلفن IP را می‌دهد، از قابلیت‌های آن استفاده کنید. با این حال، باید توجه داشت که این راه حل همیشه برای کاربر نهایی مناسب نیست، به خصوص در استفاده روزانه از تلفن IP. یک تضاد معمول "امنیت یا راحتی" وجود دارد.

RFC 1918 و ترجمه آدرس

استفاده از آدرس های IP قابل دسترسی از اینترنت برای VoIP توصیه نمی شود - این به طور قابل توجهی سطح کلی امنیت زیرساخت را کاهش می دهد. بنابراین، در صورت امکان، از آدرس های مشخص شده در RFC 1918 (10.x.x.x، 192.168.x.x، و غیره) استفاده کنید که در اینترنت قابل مسیریابی نیستند. اگر این امکان پذیر نیست، باید از مکانیسم ترجمه آدرس شبکه (NAT) در فایروال استفاده کنید که از شبکه شرکتی شما محافظت می کند.

سیستم های تشخیص نفوذ

قبلاً در مورد برخی از حملاتی که می توانند زیرساخت VoIP را مختل کنند در بالا توضیح داده شده است. برای محافظت در برابر آنها، می توانید از سیستم های تشخیص نفوذ شناخته شده و شناخته شده در روسیه استفاده کنید که نه تنها حملات را به موقع شناسایی می کنند، بلکه آنها را مسدود می کنند و از آسیب رساندن به منابع شبکه شرکتی جلوگیری می کنند. چنین ابزارهایی می توانند هم از کل بخش های شبکه (به عنوان مثال، حسگر شبکه RealSecure یا Snort) و هم از گره های جداگانه (به عنوان مثال، حسگر میزبان CiscoSecure IDS یا حسگر سرور RealSecure) محافظت کنند.