امنیت اطلاعات در VoIP امنیت تلفن IP: حداکثر حفاظت برای شبکه های IP شرکتی

دورانی که اپراتورها نسبت به استفاده از IP-تلفن دلهره داشتند، با در نظر گرفتن سطح امنیت این گونه شبکه ها، گذشته است. امروزه می توان گفت که IP-telephony به نوعی استاندارد واقعی در ارتباطات تلفنی تبدیل شده است. این به دلیل راحتی، قابلیت اطمینان و هزینه نسبتا پایین تلفن IP در مقایسه با ارتباطات آنالوگ است. می توان استدلال کرد که IP-telephony کارایی کسب و کار را افزایش می دهد و اجازه می دهد تا عملیات هایی که قبلاً غیرقابل دسترسی هستند مانند ادغام با برنامه های تجاری مختلف.

اگر از کاستی ها و آسیب پذیری های تلفن IP صحبت کنیم، قبل از هر چیز باید به همان "بیماری هایی" توجه کنیم که سایر سرویس های استفاده کننده از پروتکل IP از آن رنج می برند. اینها حساسیت به حملات کرم و ویروس، حملات DoS، غیرمجاز هستند دسترسی از راه دورو غیره. با وجود این واقعیت که هنگام ساخت یک زیرساخت تلفن IP، این سرویس معمولاً از بخش های شبکه ای که داده های غیر صوتی "در آن می رود" جدا می شود، این تضمینی برای امنیت نیست. امروزه تعداد زیادی از شرکت ها در حال ادغام تلفن IP با برنامه های کاربردی دیگر مانند پست الکترونیک. از یک طرف، راحتی های اضافی در این راه ظاهر می شود، اما از طرف دیگر، آسیب پذیری های جدید. علاوه بر این، عملکرد یک شبکه تلفن IP به تعداد زیادی مؤلفه مانند سرورهای پشتیبانی، سوئیچ ها، روترها، فایروال ها، تلفن های IP و غیره نیاز دارد. در عین حال، اغلب از سیستم عامل های غیر تخصصی برای پشتیبانی از عملیات استفاده می شود. یک شبکه IP به عنوان مثال، اکثر سانترال های IP بر روی سیستم عامل های معمولی و معروف (ویندوز یا لینوکس) ساخته شده اند که از نظر تئوری دارای تمام آسیب پذیری های مختص این سیستم ها هستند.

برخی از IP PBX ها از DBMS و وب سرورهایی استفاده می کنند که آسیب پذیری های خاص خود را دارند. و اگرچه برای یک سیستم عامل جهانی یا پشته پروتکل می توانید از ابزارهای حفاظتی شناخته شده - آنتی ویروس ها، فایروال های شخصی، سیستم های پیشگیری از حمله و غیره استفاده کنید، عدم "تیز کردن" چنین ابزارهایی برای کار با برنامه های تلفن IP می تواند تأثیر نامطلوبی بر روی آن بگذارد. سطح امنیت .

از جمله تهدیدات اصلی که شبکه تلفن IP در معرض آنها قرار دارد عبارتند از:

• ثبت ترمینال شخص دیگری که به شما امکان می دهد با هزینه شخص دیگری تماس برقرار کنید.
• تغییر مشترک؛
• ایجاد تغییرات در ترافیک صوتی یا سیگنالینگ؛
• کاهش کیفیت ترافیک صوتی؛
• تغییر مسیر ترافیک صوتی یا سیگنال؛
• رهگیری ترافیک صدا یا سیگنال؛
• پیام های صوتی جعلی؛
• خاتمه جلسه ارتباط؛
• خود داری از خدمات؛
• از راه دور دسترسی غیرمجازبه اجزای زیرساخت تلفن IP؛
• به روز رسانی غیرمجاز نرم افزار در تلفن IP (به عنوان مثال، به منظور تزریق تروجان یا جاسوس افزار).
• هک سیستم صورتحساب (برای تلفن اپراتور).

این تمام لیست نیست مشکلات احتمالیمرتبط با استفاده از تلفن IP. اتحاد امنیت VoIP (VOIPSA) سندی را ایجاد کرده است که طیف گسترده ای از تهدیدات تلفن IP را توصیف می کند که علاوه بر تهدیدات فنی، شامل اخاذی از طریق تلفن IP، هرزنامه و غیره می شود.

و با این حال، آسیب‌پذیری اصلی تلفن IP، عامل انسانی است که دندان‌ها را در معرض خطر قرار داده است. مسئله امنیت در هنگام استقرار شبکه تلفن IP اغلب به پس زمینه منتقل می شود و انتخاب راه حل بدون مشارکت متخصصان امنیتی صورت می گیرد. علاوه بر این، متخصصان همیشه راه حل را به درستی پیکربندی نمی کنند، حتی اگر مکانیسم های حفاظتی مناسبی داشته باشد، یا ابزارهای حفاظتی را خریداری کنید که برای آن طراحی نشده اند. پردازش کارآمدترافیک صوتی (برای مثال، فایروال ها ممکن است پروتکل سیگنالینگ اختصاصی مورد استفاده در راه حل تلفن IP را درک نکنند). در نهایت، سازمان مجبور به صرف منابع مالی و انسانی اضافی برای حفاظت از راه حل مستقر شده یا تحمل ناامنی آن است.

چه چیزی بسازیم؟

از نقطه نظر مدیریت و عملکرد، چنین معماری تلفن IP ترجیح داده می شود، جایی که تمام اجزای حفاظتی در عناصر خود شبکه تعبیه شده است. اگر شبکه تلفن IP را بدون استفاده در نظر بگیریم وجوه اضافیحفاظت، سپس، با استفاده از ساخته شده در سوئیچ های شبکهمکانیسم های دفاعی، امکان دستیابی به یک دفاع نسبتاً پایدار در برابر حملات در محیط وجود دارد. عملکرد داخلی به شما امکان می دهد:

• توانایی ایجاد شبکه های محلی مجازی (VLAN) با استفاده از قابلیت های داخلی سوئیچ ها.
• استفاده از مکانیزم های داخلی فیلتر و کنترل دسترسی؛
• محدود کردن و ارائه پهنای باند تضمین شده، که می تواند به طور موثر حملات DoS را سرکوب کند.
• محدود کردن تعداد دستگاه‌های با آدرس‌های MAC مختلف متصل به یک پورت؛
• جلوگیری از حملات به مصرف مجموعه آدرس های سرویس DHCP؛
• جلوگیری از مسدود شدن جداول ARP و "سرقت" آدرس ها.
• جلوگیری از حملات از آدرس های ناشناس؛
• استفاده از لیست های کنترل دسترسی که آدرس گره هایی را که می توانند داده ها را به تلفن های IP منتقل کنند محدود می کند.

علاوه بر این، یک سیستم کنترل تماس در معماری شبکه IP تعبیه شده است که می تواند به یک اختصاصی اختصاصی متصل شود شبکه محلیمحدود شده از، ایزوله شده از شبکه کارسازمان، نمایانگر یک "مرز" اضافی در حفاظت است. معایب شامل این واقعیت است که عملکردهای حفاظتی تعبیه شده در تجهیزات شبکه همیشه سطح مناسبی از امنیت را فراهم نمی کند و ممکن است برای افزایش آن نیاز به سرمایه گذاری اضافی در ارتقاء تجهیزات باشد.

علیرغم استفاده از پروتکل IP در هسته خود، تلفن IP همیشه نمی تواند به اندازه کافی توسط راه حل های سنتی محافظت شود. این به دلیل این واقعیت است که آنها ویژگی های آن را در نظر نمی گیرند - انتقال ترافیک در زمان واقعی، کنترل کیفیت و ترافیک به سطح کاربردیو غیره. در حالت ایده آل، زمانی که برنامه های IP-telephony و امنیت آنها به طور جدایی ناپذیری در یک پلت فرم واحد از جمله زیرساخت شبکه یکپارچه شده اند. این به شما امکان می دهد اثربخشی محافظت را افزایش دهید و هزینه های آن را کاهش دهید. در غیر این صورت، شما باید چهار زیرساخت مستقل یا تقریباً بدون همپوشانی ایجاد کنید: LAN، شبکه تلفن IP، امنیت LAN و زیرساخت امنیتی تلفن IP.

استفاده از فایروال های تخصصی به طور قابل توجهی امنیت شبکه تلفن IP را افزایش می دهد، به عنوان مثال، با فیلتر کردن ترافیک بر اساس وضعیت اتصال ( بازرسی دولتی) که فقط به ترافیک ضروری و اتصالات ایجاد شده در یک جهت خاص (از سرور به مشتری یا بالعکس) اجازه عبور می دهد. علاوه بر این، فایروال این توانایی را فراهم می کند:

• فیلتر کردن مدیریت ترافیک ایجاد اتصالات تلفن IP؛
• انتقال ترافیک مدیریتی از طریق NAT و تونل های شبکه؛
• رهگیری TCP، که بررسی هایی را برای بستن جلسات TCP فراهم می کند، که به شما امکان می دهد در برابر تعدادی از حملات انکار سرویس (DoS) دفاع کنید.

هنگام طراحی شبکه ای که قرار است از ابزارهای امنیتی اضافی مانند سیستم تشخیص نفوذ یا پیشگیری استفاده کند، باید توجه ویژه ای به انتخاب سازنده چنین ابزارهایی داشت، زیرا موضوع مدیریت یک شبکه IP ناهمگن همیشه قابل حل نیست. کارآمد و سریع و تقریباً همیشه نیاز به سرمایه گذاری جدی اضافی دارد.

ترجیحاً سازنده ای را انتخاب کنید که شبکه از قبل روی تجهیزات آن کار می کند، زیرا پشتیبانی و مدیریت دستگاه ها در این مورد به صورت متمرکز و با هزینه کمتر انجام می شود.

محافظت از گوش دادن

پیشرفته ترین راه برای مقابله با چنین دستکاری استفاده از تلفن های IP با رمزگذاری داخلی است. بعلاوه، حفاظت اضافیرمزگذاری ترافیک بین تلفن ها و دروازه ها را فراهم می کند. تقریباً همه فروشندگان امروزی، مانند Avaya، Nortel و Cisco، رمزگذاری داخلی را برای جریان اطلاعاتو آلارم ها رمزگذاری ترافیک منطقی ترین راه حل برای محافظت در برابر مکالمات است، اما چنین عملکردی مشکلاتی را نیز به همراه دارد که باید هنگام ایجاد یک اتصال ایمن در نظر گرفته شوند. مشکل اصلی ممکن است تاخیر اضافه شده توسط فرآیند رمزگذاری و رمزگشایی ترافیک باشد. هنگام کار در یک شبکه محلی، چنین مشکلی، به عنوان یک قاعده، خود را احساس نمی کند، اما هنگام برقراری ارتباط از طریق یک شبکه توزیع شده جغرافیایی، می تواند باعث ناراحتی شود. علاوه بر این، رمزگذاری سیگنالی که در لایه برنامه اتفاق می افتد می تواند کار کردن فایروال ها را دشوار کند. در مورد رمزگذاری جریان، تاخیر بسیار کمتر از استفاده از رمزهای بلوکی است، اگرچه خلاص شدن از شر آنها به طور کامل امکان پذیر نخواهد بود. راه حل مشکل می تواند بیشتر باشد الگوریتم های سریعیا گنجاندن مکانیسم های QoS در ماژول رمزگذاری.

QoS

محافظت در برابر جایگزینی تلفن ها و سرورهای مدیریتی

حفاظت از DoS

• جدایش، جدایی شبکه شرکتیدر بخش‌های غیر همپوشانی انتقال صدا و داده، که از نمایش حملات رایج، از جمله DoS، در بخش «صدا» جلوگیری می‌کند.
• قوانین کنترل دسترسی ویژه روی روترها و فایروال هایی که از محیط شبکه شرکت و بخش های جداگانه آن محافظت می کنند.
• سیستم پیشگیری از حمله بر روی سرور کنترل تماس و رایانه شخصی با برنامه های صوتی.
• سیستم های حفاظتی تخصصی در برابر حملات DoS و DDoS؛
• تنظیمات ویژه برای تجهیزات شبکه، که از جعل آدرس جلوگیری می کند و پهنای باند را محدود می کند، که اجازه نمی دهد منابع مورد حمله توسط جریان زیادی از ترافیک بی فایده غیرفعال شوند.

محافظت از تلفن های IP

حفاظت از تقلب در شبکه تلفن IP

استانداردهای تلفن IP

نتیجه

از جمله الزامات اولیه برای اطمینان از امنیت شبکه تلفن IP، نیاز به جداسازی داده های صوتی و معمولی است. یعنی تلفن IP باید از شبکه ای که در آن داده های دیگر با استفاده از VLAN ها منتقل می شود جدا شود. تقسیم بندی به شما امکان می دهد یک مرز اضافی ایجاد کنید که از حملات و سوء استفاده ها، از جمله مواردی که در شبکه داخلی منشا می گیرند، جلوگیری می کند. علاوه بر این، هنگام طراحی یک شبکه تلفن IP، ارائه پهنای باند مناسب و به یاد داشته باشید که از مکانیزم های QoS برای اولویت بندی ترافیک تلفن IP استفاده کنید.

و در نهایت، استفاده از ابزارهای حفاظتی با تمرکز بر ویژگی های عملکرد تلفن IP به جلوگیری از "حفره" در امنیت شبکه ساخته شده، مانند "سوء تفاهم" ترافیک IP توسط ابزارهای حفاظتی کمک می کند، بلکه به جلوگیری از سوراخ های اضافی نیز کمک می کند. هزینه های مالی برای ارتقاء تجهیزات موجود یا خرید تجهیزات جدید.

مقاله بسیار جالبی در مورد امنیت در تلفن IP در سایت linkmeup.ru منتشر شده است. ما آن را بدون تغییر، به اصطلاح، از نویسنده پخش کردیم.

=======================

با سلام خدمت همکاران و دوستان، من، وادیم سمنوف، به همراه تیم پروژه network-class.net، مقاله مروری را به شما تقدیم می کنم که به روندها و تهدیدات اصلی در تلفن IP و مهمتر از همه، ابزارهای حفاظتی می پردازد. این لحظهتوسط سازنده به عنوان یک محافظت ارائه می شود (به زبان کارشناسان امنیتی، بیایید در نظر بگیریم که سازنده چه ابزارهایی برای کاهش آسیب پذیری هایی ارائه می دهد که افراد نامشروع می توانند از آنها استفاده کنند). بنابراین، کلمات کمتری - بیایید به تجارت بپردازیم.
برای بسیاری از خوانندگان، اصطلاح تلفن IP از مدت ها قبل شکل گرفته است، و همچنین این واقعیت که این تلفن "بهتر"، ارزان تر در مقایسه با تلفن عمومی (PSTN) است، و غنی از انواع مختلف است. ویژگی های اضافیو غیره. و این درست است، با این حال ... تا حدی. همانطور که از تلفن آنالوگ (دیجیتال) با خودش حرکت می کنیم خطوط مشترک(از تلفن مشترک تا ایستگاه یا داخلی ایستگاه) و خطوط اتصال (خط ارتباط بین ایستگاهی) تنها در منطقه دسترسی و کنترل ارائه دهنده تلفن کمتر نبود. به عبارت دیگر، هیچ دسترسی برای ساکنان عادی وجود نداشت (اگر کانال های کابل را در نظر نگیرید خوب یا عملاً همینطور است). من یک سوال را در انجمن هکرهای قدیمی خوب به یاد دارم: «به من بگویید چگونه به PBX دسترسی داشته باشم؟ - پاسخ: "خب، شما یک بولدوزر می گیرید - به دیوار ساختمان ATS و voila می کوبید." و این شوخی سهم خود را از حقیقت دارد) با این حال، با انتقال تلفن به یک محیط IP ارزان، ما علاوه بر تهدیداتی که یک محیط IP باز به همراه دارد، دریافت کردیم. نمونه هایی از تهدیدات اکتسابی عبارتند از:

• Sniffing پورت های سیگنالینگ برای ارتکاب تماس های عوارضیبه هزینه شخص دیگری
• استراق سمع با رهگیری بسته های صوتی IP
• رهگیری تماس، جعل هویت توسط یک کاربر غیرقانونی به عنوان کاربر قانونی، حمله مرد در وسط
• حملات DDOS به سرورهای سیگنالینگ ایستگاه به منظور غیرفعال کردن تمام تلفن
• حملات هرزنامه، فروپاشی تعداد زیادی از تماس های فانتوم به ایستگاه به منظور گرفتن تمام منابع رایگان آن

علیرغم نیاز آشکار به از بین بردن تمام آسیب پذیری های احتمالی به منظور کاهش احتمال حمله خاص، در واقع، اجرای برخی اقدامات حفاظتی باید با برنامه زمانی آغاز شود که هزینه اجرای اقدامات حفاظتی در برابر یک تهدید خاص را در نظر بگیرد. زیان های شرکت از اجرای این تهدید توسط مهاجمان. به هر حال، احمقانه است که برای امنیت یک دارایی بیشتر از ارزش خود دارایی که ما از آن محافظت می کنیم، خرج کنیم.
پس از تعیین بودجه برای امنیت، ما دقیقاً شروع به از بین بردن تهدیدهایی خواهیم کرد که به احتمال زیاد برای شرکت وجود دارد، به عنوان مثال، دریافت صورت حساب بزرگ برای مسافت طولانی و ناقص برای یک سازمان کوچک بسیار دردناک خواهد بود. تماس های بین المللیدر حالی که برای شرکت های دولتی مهم ترین چیز محرمانه نگه داشتن مکالمات است. بیایید بررسی تدریجی در مقاله فعلی را از چیزهای اساسی شروع کنیم - این شرط است راه امنتحویل داده های خدمات از ایستگاه به تلفن. در مرحله بعد، احراز هویت تلفن ها را قبل از اتصال آنها به ایستگاه، احراز هویت ایستگاه از کنار تلفن ها، و رمزگذاری ترافیک سیگنالینگ (برای مخفی کردن اطلاعات در مورد اینکه چه کسی با کجا تماس می گیرد) و رمزگذاری ترافیک مکالمه را در نظر بگیرید.
بسیاری از تولیدکنندگان تجهیزات صوتی (از جمله سیستم‌های سیسکو) در حال حاضر ابزارهای امنیتی یکپارچه‌ای از محدودیت‌های معمول دامنه آدرس‌های IP دارند که از آن‌ها می‌توان با استفاده از گواهی، با تأیید اعتبار نقطه پایانی تماس گرفت. به عنوان مثال، شرکت سازنده Cisco Systems با خط تولید صوتی CUCM (Cisco Unified CallManager) از نسخه محصول 8.0 (تاریخ انتشار می 2010؛ نسخه 10.5 می 2014 در حال حاضر موجود است) شروع به ادغام عملکرد "امنیت به طور پیش فرض" کرد. شامل چه مواردی می شود:

• احراز هویت تمامی فایل های دانلود شده از طریق/از TFTP ( فایل های پیکربندی، فایل های میان افزار برای گوشی ها و غیره)
• رمزگذاری فایل های پیکربندی
• تأیید گواهی با تلفن اولیه اتصال HTTPS

بیایید به نمونه‌ای از حمله «مردی در وسط» نگاه کنیم، زمانی که یک شخص نامشروع فایل‌های پیکربندی تلفن‌ها را رهگیری می‌کند، که از طریق آن تلفن می‌آموزد که باید در کدام ایستگاه ثبت نام کند، روی کدام پروتکل کار کند، کدام سیستم عامل را دانلود کند و غیره. . با رهگیری فایل، مهاجم می‌تواند تغییرات خود را در آن اعمال کند یا فایل پیکربندی را به طور کامل بازنویسی کند، در نتیجه از ثبت تلفن‌های کل دفتر (نگاه کنید به شکل) در ایستگاه جلوگیری می‌کند و در نتیجه دفتر را از دسترسی به آن محروم می‌کند. توانایی برقراری تماس

شکل 1 حمله به "مردی در وسط"

برای محافظت در برابر این، ما به دانش رمزگذاری نامتقارن، زیرساخت کلید عمومی و درک اجزای "امنیت به صورت پیش فرض" نیاز داریم که اکنون با آنها آشنا می شویم: لیست اعتماد هویت (ITL) و سرویس تأیید اعتماد (TVS). TVS سرویسی است که برای پردازش درخواست های تلفن های IP که فایل ITL یا CTL در حافظه داخلی خود ندارند طراحی شده است. تلفن IP در صورت لزوم با TVS تماس می گیرد تا مطمئن شود قبل از شروع به دسترسی به سرویس خاصی می تواند به آن اعتماد کند. این ایستگاه همچنین به عنوان یک مخزن عمل می کند که گواهی های سرورهای مورد اعتماد را ذخیره می کند. به نوبه خود، ITL لیستی از کلیدهای عمومی از عناصر تشکیل دهنده خوشه ایستگاه است، اما برای ما مهم است که کلید عمومی سرور TFTP و کلید عمومی سرویس TVS در آنجا ذخیره شود. در هنگام بوت اولیه تلفن، هنگامی که تلفن آدرس IP خود و آدرس سرور TFTP را دریافت کرد، وجود یک فایل ITL را درخواست می کند (شکل 2). اگر روی سرور TFTP باشد، با اعتماد کورکورانه، آن را در حافظه داخلی خود بارگذاری می کند و تا راه اندازی مجدد بعدی ذخیره می کند. پس از دانلود فایل ITL، تلفن یک فایل پیکربندی امضا شده را درخواست می کند.

حال بیایید ببینیم چگونه می توانیم از ابزارهای رمزنگاری استفاده کنیم - امضای یک فایل با استفاده از توابع هش MD5 یا SHA و رمزگذاری آن با استفاده از کلید خصوصی سرور TFTP (شکل 3). ویژگی توابع هش این است که توابع یک طرفه هستند. بر اساس هش دریافتی از هر فایلی، انجام عملیات معکوس و دریافت دقیقا فایل اصلی غیرممکن است. هنگامی که یک فایل تغییر می کند، هش به دست آمده از این فایل نیز تغییر می کند. شایان ذکر است که هش در خود فایل نوشته نمی شود، بلکه به سادگی به آن اضافه شده و همراه با آن منتقل می شود.

شکل 3 امضای فایل پیکربندی تلفن

هنگام تولید یک امضا، خود فایل پیکربندی گرفته می شود، هش از آن استخراج می شود و با کلید خصوصی سرور TFTP (که فقط سرور TFTP دارد) رمزگذاری می شود.
پس از دریافت فایل داده شدهبا تنظیمات، گوشی ابتدا آن را برای یکپارچگی بررسی می کند. ما به یاد داریم که هش یک تابع یک طرفه است، بنابراین تلفن چاره ای ندارد جز اینکه هش رمزگذاری شده توسط سرور TFTP را از فایل پیکربندی جدا کند، آن را با استفاده از کلید عمومی TFTP رمزگشایی کند (تلفن IP چگونه آن را می شناسد؟ - اما فقط از فایل ITL)، هش را از یک فایل پیکربندی تمیز محاسبه کنید و آن را با آنچه در طول رمزگشایی دریافت کردیم مقایسه کنید. اگر هش مطابقت داشته باشد، در حین انتقال هیچ تغییری در فایل ایجاد نشده است و می توان آن را با خیال راحت روی تلفن اعمال کرد (شکل 4).

شکل 4 بررسی فایل پیکربندی تلفن IP

فایل پیکربندی امضا شده برای گوشی در زیر نشان داده شده است:

برنج. 5 فایل IP تلفن امضا شده در Wireshark

با امضای فایل پیکربندی، توانستیم از یکپارچگی فایل تنظیمات ارسال شده اطمینان حاصل کنیم، اما از مشاهده آن محافظت نکردیم. خیلی چیزها را می توان از فایل پیکربندی catch به دست آورد اطلاعات مفیدبه عنوان مثال آدرس IP مرکز تلفن (در مثال ما 192.168.1.66 است) و پورت ها را باز کنیددر ایستگاه (2427) و غیره کافی نیست اطلاعات مهم، که دوست ندارید فقط در شبکه بدرخشد؟ برای پنهان کردن این اطلاعات، سازندگان استفاده از رمزگذاری متقارن را در نظر می گیرند (از همان کلید برای رمزگذاری و رمزگشایی استفاده می شود). در یک مورد، کلید را می توان به صورت دستی در گوشی وارد کرد، در حالت دیگر، فایل پیکربندی تلفن در ایستگاه با استفاده از کلید عمومی تلفن رمزگذاری می شود. قبل از ارسال فایل به گوشی، سرور tftp که این فایل در آن ذخیره شده است، آن را با استفاده از کلید عمومی گوشی رمزگذاری می کند و با استفاده از کلید خصوصی آن را امضا می کند (بنابراین، ما نه تنها از محرمانه بودن، بلکه از یکپارچگی فایل های منتقل شده نیز مطمئن می شویم). . نکته اصلی در اینجا این است که گیج نشویم که چه کسی از کدام کلید استفاده می کند، اما بیایید آن را به ترتیب در نظر بگیریم: سرور tftp، با رمزگذاری فایل با کلید عمومی تلفن IP، اطمینان حاصل کرد که فقط صاحب کلید عمومی جفت شده می تواند باز شود. این فایل. با امضای فایل با کلید خصوصی آن، سرور tftp تأیید می‌کند که کسی آن را ایجاد کرده است. فایل رمزگذاری شده در شکل 6 نشان داده شده است:

شکل 6 فایل IP تلفن رمزگذاری شده

بنابراین، در حال حاضر امکان محافظت از فایل‌های پیکربندی تلفن‌ها را از مشاهده و اطمینان از یکپارچگی آنها در نظر گرفته‌ایم. اینجاست که ویژگی های «امنیت به طور پیش فرض» به پایان می رسد. برای ارائه رمزگذاری ترافیک صوتی، پنهان کردن اطلاعات سیگنالینگ (در مورد اینکه چه کسی تماس می گیرد و کجا تماس بگیرد)، ابزارهای اضافی بر اساس لیست گواهی های مورد اعتماد - CTL، که در زیر بررسی می کنیم، مورد نیاز است.

احراز هویت مرکز تلفن

هنگامی که یک تلفن نیاز به برقراری ارتباط با یک مرکز تلفن دارد (به عنوان مثال، برای مذاکره در مورد اتصال TLS برای تبادل سیگنال)، تلفن IP نیاز به تأیید اعتبار مبادله دارد. همانطور که ممکن است حدس بزنید، گواهی ها نیز به طور گسترده ای برای حل این مشکل استفاده می شوند. در حال حاضر، ایستگاه های IP مدرن از تعداد زیادی عنصر تشکیل شده اند: چندین سرور سیگنالینگ برای پردازش تماس، یک سرور مدیریت اختصاصی (که از طریق آن تلفن های جدید، کاربران، دروازه ها، قوانین مسیریابی و غیره اضافه می شوند)، یک سرور TFTP اختصاصی برای ذخیره فایل های پیکربندی و نرم افزار برای تلفن، سرور برای پخش موسیقی در حالت انتظار و غیره، علاوه بر این، زیرساخت صوتی می تواند دارای پست صوتی، یک سرور برای تعیین وضعیت فعلی مشترک (آنلاین، آفلاین، "در ناهار") باشد. - لیست چشمگیر است و مهمتر از همه، هر یک از سرورها گواهی امضا شده خود را دارند و هر کدام به عنوان مرجع صدور گواهینامه ریشه کار می کنند (شکل 7). به همین دلیل، هیچ سروری در زیرساخت صوتی به گواهی سرور دیگری اعتماد نخواهد کرد، به عنوان مثال، سرور صوتی به سرور TFTP اعتماد ندارد، پست صوتی به سرور سیگنالینگ اعتماد ندارد و علاوه بر این، تلفن ها باید گواهی های مربوط به آن را ذخیره کنند. همه عناصر شرکت کننده در تبادل ترافیک سیگنالینگ. گواهی مبادلات تلفنی در شکل 7 نشان داده شده است.

شکل 7 گواهینامه های خود امضای ایستگاه IP سیسکو

برای وظایف ایجاد روابط اعتماد بین عناصر فوق در زیرساخت صوتی، و همچنین رمزگذاری ترافیک صوتی و سیگنالینگ، به اصطلاح لیست اعتماد گواهی (CTL) وارد بازی می شود. CTL شامل تمام گواهینامه های خود امضا شده از همه سرورها در خوشه ایستگاه صوتی، و همچنین آنهایی است که در تبادل پیام های سیگنالینگ تلفنی (مثلاً دیوار آتش) شرکت می کنند و این فایل با کلید خصوصی یک مرجع صدور گواهینامه مورد اعتماد امضا شده است. شکل 8). فایل CTL معادل گواهینامه های نصب شده است که توسط مرورگرهای وب هنگام کار با پروتکل https استفاده می شود.

شکل 8 فهرست گواهی های مورد اعتماد

برای ایجاد یک فایل CTL بر روی تجهیزات سیسکو، به یک رایانه شخصی با کانکتور USB، برنامه کلاینت CTL نصب شده روی آن و خود رمز امنیتی مدیر سایت (SAST) (شکل 9) نیاز دارید که حاوی یک کلید خصوصی است. و یک گواهی X.509v3 که توسط سازنده مرکز احراز هویت (سیسکو) امضا شده است.

شکل 9 سیسکو eToken

کلاینت CTL برنامه ای است که بر روی رایانه شخصی ویندوزی نصب می شود و با آن می توانید کل سانترال تلفن را به حالت مخلوط منتقل کنید، یعنی حالت مختلط برای پشتیبانی از ثبت دستگاه های ترمینال در حالت های ایمن و ناامن. ما کلاینت را راه اندازی می کنیم، آدرس IP مرکز تلفن را مشخص می کنیم، ورود / رمز عبور مدیر را وارد می کنیم و مشتری CTL یک اتصال TCP را در پورت 2444 با ایستگاه برقرار می کند (شکل 10). پس از آن، تنها دو اقدام ارائه خواهد شد:

شکل 10 مشتری سیسکو CTL

پس از ایجاد فایل CTL، باقی مانده است که سرورهای TFTP را مجدداً راه اندازی کنید تا فایل CTL جدید ایجاد شده را روی خود آپلود کنند و سپس سرورهای صوتی را مجدداً راه اندازی کنید تا تلفن های IP نیز راه اندازی مجدد شوند و فایل CTL جدید (32 کیلوبایت) را دانلود کنند. فایل CTL دانلود شده را می توان از تنظیمات تلفن IP مشاهده کرد (شکل 11)

Fig.11 فایل CTL در تلفن IP

احراز هویت نقطه پایانی

احراز هویت دستگاه باید اجرا شود تا اطمینان حاصل شود که فقط دستگاه های نهایی قابل اعتماد متصل و ثبت می شوند. در این مورد، بسیاری از تولید کنندگان از یک روش قبلاً اثبات شده استفاده می کنند - احراز هویت دستگاه با استفاده از گواهی ها (شکل 12). به عنوان مثال، در معماری صوتی سیسکو، این کار به صورت زیر اجرا می شود: دو نوع گواهی برای احراز هویت با کلیدهای عمومی و خصوصی مربوطه وجود دارد که در تلفن ذخیره می شوند:
گواهی نصب شده توسط سازنده - (MIC). گواهی نصب شده توسط سازنده حاوی یک کلید 2048 بیتی است که توسط مرجع صدور گواهینامه شرکت سازنده (سیسکو) امضا شده است. این گواهی بر روی همه مدل های گوشی نصب نمی شود و در صورت نصب نیازی به داشتن گواهینامه (LSC) دیگر نیست.
Locally Significant Certificate - (LSC) یک گواهی محلی مهم که حاوی کلید عمومی تلفن IP است که با کلید خصوصی مرکز احراز هویت محلی امضا شده است که روی عملکرد پروکسی مرجع صدور گواهی (CAPF) مرکز تلفن اجرا می شود.
بنابراین، اگر گوشی هایی با گواهی MIC از پیش نصب شده داشته باشیم، هر بار که تلفن در ایستگاه ثبت نام می کند، ایستگاه برای احراز هویت، گواهی از پیش نصب شده توسط سازنده درخواست می کند. با این حال، اگر MIC به خطر بیفتد، باید توسط مرجع صدور گواهینامه سازنده جایگزین شود، که ممکن است زمان زیادی را ببرد. به منظور عدم وابستگی به زمان پاسخگویی مرجع گواهی سازنده برای صدور مجدد گواهینامه تلفن در معرض خطر، ترجیحاً از گواهی محلی استفاده کنید.

Fig.12 گواهینامه برای احراز هویت نقطه پایانی

به طور پیش‌فرض، گواهی LSC روی تلفن IP نصب نمی‌شود و نصب آن با استفاده از گواهی MIB (در صورت وجود)، یا از طریق اتصال TLS (امنیت لایه انتقال) با استفاده از یک کلید مشترک، که به‌طور دستی توسط مدیر در ایستگاه و با تلفن وارد شد.
فرآیند نصب یک گواهی مهم محلی (LSC) بر روی تلفن حاوی کلید عمومی تلفن امضا شده توسط مرجع گواهی محلی در شکل 13 نشان داده شده است:

شکل 13 فرآیند نصب گواهی LSC قابل توجه محلی

1. بعد از دانلود آی پی گوشی می پرسد لیست مورد اعتمادگواهی ها (فایل CTL) و فایل پیکربندی
2. ایستگاه فایل های درخواستی را ارسال می کند
3. از پیکربندی دریافتی، تلفن تعیین می‌کند که آیا نیاز به دانلود یک گواهی محلی (LSC) از ایستگاه دارد یا خیر.
4. اگر ایستگاه را برای گوشی تنظیم کرده ایم که گواهی LSC را نصب کند (به زیر مراجعه کنید)، که ایستگاه از آن برای احراز هویت این تلفن IP استفاده می کند، پس باید مراقب باشیم که درخواست صدور گواهی LSC - ایستگاه آن را صادر کرده است. به کسی که در نظر گرفته شده است. برای این منظور، می توانیم از گواهی MIC (در صورت وجود) استفاده کنیم، برای هر گوشی یک رمز عبور یک بار مصرف ایجاد کنیم و آن را به صورت دستی در گوشی وارد کنیم، یا اصلا از مجوز استفاده نکنیم.
مثال فرآیند نصب LSC را با استفاده از تولید شده نشان می دهد

ارائه شده توسط SEO CMS نسخه: 23.1 TOP 2 (opencartadmin.com)

مقاله به طور خاص برای linkmeup نوشته شده است.

=======================

با سلام خدمت همکاران و دوستان، من وادیم سمنوف به همراه تیم پروژه network-class.net مقاله مروری را به شما تقدیم می نمایم که به روندها و تهدیدات اصلی در تلفن IP و مهمتر از همه ابزارهای حفاظتی سازنده می پردازد. در حال حاضر به عنوان محافظت ارائه می شود (به زبان کارشناسان امنیتی، بیایید در نظر بگیریم که سازنده چه ابزارهایی برای کاهش آسیب پذیری هایی که افراد نامشروع می توانند استفاده کنند ارائه می دهد). بنابراین، کلمات کمتری - بیایید به تجارت بپردازیم.
برای بسیاری از خوانندگان، اصطلاح تلفن IP مدت هاست که شکل گرفته است، و همچنین این واقعیت که این تلفن "بهتر"، ارزان تر در مقایسه با تلفن عمومی (PSTN)، غنی از عملکردهای مختلف اضافی و غیره است. و این درست است، با این حال ... تا حدی. همانطور که انتقال از تلفن آنالوگ (دیجیتال) با خطوط مشترک خود (از تلفن مشترک به ایستگاه یا ایستگاه راه دور) و خطوط اتصال (خط ارتباط بین ایستگاهی) چیزی جز در منطقه دسترسی و کنترل تلفن نبود. ارائه دهنده. به عبارت دیگر، هیچ دسترسی برای ساکنان عادی وجود نداشت (اگر کانال های کابل را در نظر نگیرید خوب یا عملاً همینطور است). من یک سوال را در انجمن هکرهای قدیمی خوب به یاد دارم: «به من بگویید چگونه به PBX دسترسی داشته باشم؟ - پاسخ: "خب، شما یک بولدوزر می گیرید - به دیوار ساختمان ATS و voila می کوبید." و این شوخی سهم خود را از حقیقت دارد) با این حال، با انتقال تلفن به یک محیط IP ارزان، ما علاوه بر تهدیداتی که یک محیط IP باز به همراه دارد، دریافت کردیم. نمونه هایی از تهدیدات اکتسابی عبارتند از:

• استشمام پورت های سیگنالینگ به منظور برقراری تماس با عوارض با هزینه شخص دیگری
• استراق سمع با رهگیری بسته های صوتی IP
• رهگیری تماس، جعل هویت توسط یک کاربر غیرقانونی به عنوان کاربر قانونی، حمله مرد در وسط
• حملات DDOS به سرورهای سیگنالینگ ایستگاه به منظور غیرفعال کردن تمام تلفن
• حملات هرزنامه، فروپاشی تعداد زیادی از تماس های فانتوم به ایستگاه به منظور گرفتن تمام منابع رایگان آن

• احراز هویت تمام فایل‌های دانلود شده از طریق/از TFTP (فایل‌های پیکربندی، فایل‌های میان‌افزار برای گوشی‌ها و غیره)
• رمزگذاری فایل های پیکربندی
• تأیید گواهی با تلفن اولیه اتصال HTTPS

شکل 1 حمله به "مردی در وسط"

برای محافظت در برابر این، ما به دانش رمزگذاری نامتقارن، زیرساخت کلید عمومی و درک اجزای "امنیت به صورت پیش فرض" نیاز داریم که اکنون با آنها آشنا می شویم: لیست اعتماد هویت (ITL) و سرویس تأیید اعتماد (TVS). TVS سرویسی است که برای پردازش درخواست های تلفن های IP که فایل ITL یا CTL در حافظه داخلی خود ندارند طراحی شده است. تلفن IP در صورت لزوم با TVS تماس می گیرد تا مطمئن شود قبل از شروع به دسترسی به سرویس خاصی می تواند به آن اعتماد کند. این ایستگاه همچنین به عنوان یک مخزن عمل می کند که گواهی های سرورهای مورد اعتماد را ذخیره می کند. به نوبه خود، ITL لیستی از کلیدهای عمومی از عناصر تشکیل دهنده خوشه ایستگاه است، اما برای ما مهم است که کلید عمومی سرور TFTP و کلید عمومی سرویس TVS در آنجا ذخیره شود. در هنگام بوت اولیه تلفن، هنگامی که تلفن آدرس IP خود و آدرس سرور TFTP را دریافت کرد، وجود یک فایل ITL را درخواست می کند (شکل 2). اگر روی سرور TFTP باشد، با اعتماد کورکورانه، آن را در حافظه داخلی خود بارگذاری می کند و تا راه اندازی مجدد بعدی ذخیره می کند. پس از دانلود فایل ITL، تلفن یک فایل پیکربندی امضا شده را درخواست می کند.

حال بیایید ببینیم چگونه می توانیم از ابزارهای رمزنگاری استفاده کنیم - امضای یک فایل با استفاده از توابع هش MD5 یا SHA و رمزگذاری آن با استفاده از کلید خصوصی سرور TFTP (شکل 3). ویژگی توابع هش این است که توابع یک طرفه هستند. بر اساس هش دریافتی از هر فایلی، انجام عملیات معکوس و دریافت دقیقا فایل اصلی غیرممکن است. هنگامی که یک فایل تغییر می کند، هش به دست آمده از این فایل نیز تغییر می کند. شایان ذکر است که هش در خود فایل نوشته نمی شود، بلکه به سادگی به آن اضافه شده و همراه با آن منتقل می شود.

شکل 3 امضای فایل پیکربندی تلفن

هنگام تولید یک امضا، خود فایل پیکربندی گرفته می شود، هش از آن استخراج می شود و با کلید خصوصی سرور TFTP (که فقط سرور TFTP دارد) رمزگذاری می شود.
هنگام دریافت این فایل با تنظیمات، ابتدا گوشی آن را از نظر یکپارچگی بررسی می کند. ما به یاد داریم که هش یک تابع یک طرفه است، بنابراین تلفن چاره ای ندارد جز اینکه هش رمزگذاری شده توسط سرور TFTP را از فایل پیکربندی جدا کند، آن را با استفاده از کلید عمومی TFTP رمزگشایی کند (تلفن IP چگونه آن را می شناسد؟ - اما فقط از فایل ITL)، هش را از یک فایل پیکربندی تمیز محاسبه کنید و آن را با آنچه در طول رمزگشایی دریافت کردیم مقایسه کنید. اگر هش مطابقت داشته باشد، در حین انتقال هیچ تغییری در فایل ایجاد نشده است و می توان آن را با خیال راحت روی تلفن اعمال کرد (شکل 4).

شکل 4 بررسی فایل پیکربندی تلفن IP

فایل پیکربندی امضا شده برای گوشی در زیر نشان داده شده است:

برنج. 5 فایل IP تلفن امضا شده در Wireshark

با امضای فایل پیکربندی، توانستیم از یکپارچگی فایل تنظیمات ارسال شده اطمینان حاصل کنیم، اما از مشاهده آن محافظت نکردیم. از فایل پیکربندی ضبط شده، می توانید اطلاعات بسیار مفیدی را دریافت کنید، به عنوان مثال، آدرس IP مرکز تلفن (در مثال ما، 192.168.1.66 است) و پورت های باز در صرافی (2427) و غیره. آیا این اطلاعات بسیار مهمی نیست که نمی خواهید فقط در شبکه "درخشش" داشته باشید؟ برای پنهان کردن این اطلاعات، سازندگان استفاده از رمزگذاری متقارن را در نظر می گیرند (از همان کلید برای رمزگذاری و رمزگشایی استفاده می شود). در یک مورد، کلید را می توان به صورت دستی در گوشی وارد کرد، در حالت دیگر، فایل پیکربندی تلفن در ایستگاه با استفاده از کلید عمومی تلفن رمزگذاری می شود. قبل از ارسال فایل به گوشی، سرور tftp که این فایل در آن ذخیره شده است، آن را با استفاده از کلید عمومی گوشی رمزگذاری می کند و با استفاده از کلید خصوصی آن را امضا می کند (بنابراین، ما نه تنها از محرمانه بودن، بلکه از یکپارچگی فایل های منتقل شده نیز مطمئن می شویم). . نکته اصلی در اینجا این است که گیج نشویم که چه کسی از کدام کلید استفاده می کند، اما بیایید آن را به ترتیب در نظر بگیریم: سرور tftp، با رمزگذاری فایل با کلید عمومی تلفن IP، اطمینان حاصل کرد که فقط صاحب کلید عمومی جفت شده می تواند باز شود. این فایل. با امضای فایل با کلید خصوصی آن، سرور tftp تأیید می‌کند که کسی آن را ایجاد کرده است. فایل رمزگذاری شده در شکل 6 نشان داده شده است:

شکل 6 فایل IP تلفن رمزگذاری شده

بنابراین، در حال حاضر امکان محافظت از فایل‌های پیکربندی تلفن‌ها را از مشاهده و اطمینان از یکپارچگی آنها در نظر گرفته‌ایم. اینجاست که ویژگی های «امنیت به طور پیش فرض» به پایان می رسد. برای ارائه رمزگذاری ترافیک صوتی، پنهان کردن اطلاعات سیگنالینگ (در مورد اینکه چه کسی تماس می گیرد و کجا تماس بگیرد)، ابزارهای اضافی بر اساس لیست گواهی های مورد اعتماد - CTL، که در زیر بررسی می کنیم، مورد نیاز است.

احراز هویت مرکز تلفن

شکل 7 گواهینامه های خود امضای ایستگاه IP سیسکو

برای وظایف ایجاد روابط اعتماد بین عناصر فوق در زیرساخت صوتی، و همچنین رمزگذاری ترافیک صوتی و سیگنالینگ، به اصطلاح لیست اعتماد گواهی (CTL) وارد بازی می شود. CTL شامل تمام گواهینامه های خود امضا شده از همه سرورها در خوشه ایستگاه صوتی، و همچنین آنهایی است که در تبادل پیام های سیگنالینگ تلفنی (مثلاً دیوار آتش) شرکت می کنند و این فایل با کلید خصوصی یک مرجع صدور گواهینامه مورد اعتماد امضا شده است. شکل 8). فایل CTL معادل گواهینامه های نصب شده است که توسط مرورگرهای وب هنگام کار با پروتکل https استفاده می شود.

شکل 8 فهرست گواهی های مورد اعتماد

برای ایجاد یک فایل CTL بر روی تجهیزات سیسکو، به یک رایانه شخصی با کانکتور USB، برنامه کلاینت CTL نصب شده روی آن و خود رمز امنیتی مدیر سایت (SAST) (شکل 9) نیاز دارید که حاوی یک کلید خصوصی است. و یک گواهی X.509v3 که توسط سازنده مرکز احراز هویت (سیسکو) امضا شده است.

شکل 9 سیسکو eToken

کلاینت CTL برنامه ای است که بر روی رایانه شخصی ویندوزی نصب می شود و با آن می توانید کل سانترال تلفن را به حالت مخلوط منتقل کنید، یعنی حالت مختلط برای پشتیبانی از ثبت دستگاه های ترمینال در حالت های ایمن و ناامن. ما کلاینت را راه اندازی می کنیم، آدرس IP مرکز تلفن را مشخص می کنیم، ورود / رمز عبور مدیر را وارد می کنیم و مشتری CTL یک اتصال TCP را در پورت 2444 با ایستگاه برقرار می کند (شکل 10). پس از آن، تنها دو اقدام ارائه خواهد شد:

شکل 10 مشتری سیسکو CTL

پس از ایجاد فایل CTL، باقی مانده است که سرورهای TFTP را مجدداً راه اندازی کنید تا فایل CTL جدید ایجاد شده را روی خود آپلود کنند و سپس سرورهای صوتی را مجدداً راه اندازی کنید تا تلفن های IP نیز راه اندازی مجدد شوند و فایل CTL جدید (32 کیلوبایت) را دانلود کنند. فایل CTL دانلود شده را می توان از تنظیمات تلفن IP مشاهده کرد (شکل 11)

Fig.11 فایل CTL در تلفن IP

احراز هویت نقطه پایانی

Fig.12 گواهینامه برای احراز هویت نقطه پایانی

به طور پیش‌فرض، گواهی LSC روی تلفن IP نصب نمی‌شود و نصب آن با استفاده از گواهی MIB (در صورت وجود)، یا از طریق اتصال TLS (امنیت لایه انتقال) با استفاده از یک کلید مشترک، که به‌طور دستی توسط مدیر در ایستگاه و با تلفن وارد شد.
فرآیند نصب یک گواهی مهم محلی (LSC) بر روی تلفن حاوی کلید عمومی تلفن امضا شده توسط مرجع گواهی محلی در شکل 13 نشان داده شده است:

شکل 13 فرآیند نصب گواهی LSC قابل توجه محلی

1. پس از دانلود IP، تلفن لیست مورد اعتماد گواهینامه ها (فایل CTL) و یک فایل پیکربندی را درخواست می کند.
2. ایستگاه فایل های درخواستی را ارسال می کند
3. از پیکربندی دریافتی، تلفن تعیین می‌کند که آیا نیاز به دانلود یک گواهی محلی (LSC) از ایستگاه دارد یا خیر.
4. اگر ایستگاه را برای گوشی تنظیم کرده ایم که گواهی LSC را نصب کند (به زیر مراجعه کنید)، که ایستگاه از آن برای احراز هویت این تلفن IP استفاده می کند، پس باید مراقب باشیم که درخواست صدور گواهی LSC - ایستگاه آن را صادر کرده است. به کسی که در نظر گرفته شده است. برای این منظور، می توانیم از گواهی MIC (در صورت وجود) استفاده کنیم، برای هر گوشی یک رمز عبور یک بار مصرف ایجاد کنیم و آن را به صورت دستی در گوشی وارد کنیم، یا اصلا از مجوز استفاده نکنیم.
مثال فرآیند نصب LSC را با استفاده از کلید تولید شده نشان می دهد.
در ایستگاه، در حالت تنظیمات تلفن IP، نشان می دهیم که می خواهیم گواهی LSC را روی گوشی نصب کنیم و در صورتی که کلید احراز هویت در گوشی وارد شود که 12345 تعریف کرده ایم، نصب با موفقیت انجام می شود (شکل 14). .

شکل 14 حالت تنظیمات CAPF روی گوشی

وارد حالت تنظیمات گوشی می شویم و کلید خود را وارد می کنیم (شکل 15):

شکل 15 کلید احراز هویت برای نصب LSC

پس از آن، نصب گواهی LSC بر روی تلفن با موفقیت انجام شد (شکل 16):

شکل 16 تنظیمات امنیتی در تلفن IP

ویژگی استفاده از گواهینامه LSC برای احراز هویت دستگاه های ترمینال این است که اگر خود گواهی به خطر بیفتد، می توان آن را با یک کلید خصوصی جدید توسط مرکز صدور گواهینامه CAPF مرکز تلفن مجدداً امضا کرد.

بنابراین، در حال حاضر ما به امنیت نه تنها فایل های بارگیری شده، بلکه به تأیید اعتبار سرورهای سیگنال از دستگاه های پایانی (تلفن های IP) و همچنین خود دستگاه های پایانی از سمت ایستگاه دست یافته ایم. اجازه دهید اکنون حفظ محرمانه بودن مکالمات را با رمزگذاری ترافیک صوتی و پنهان کردن اطلاعات سیگنالینگ در نظر بگیریم.

رمزگذاری مکالمه - SRTP

شکل 17 باز کردن پیام SIP

پروتکل امن زمان واقعی (SRTP)- این یک پروتکل RTP ویژه توسعه یافته است که برای انتقال صدا و ویدئو طراحی شده است، با این حال، با مکانیسم هایی برای اطمینان از محرمانه بودن و یکپارچگی اطلاعات ارسال شده نه تنها از طریق RTP، بلکه همچنین RTCP تکمیل شده است. برنامه صوتیکه از SRTP پشتیبانی می کنند باید بسته های RTP را قبل از ارسال از طریق شبکه به SRTP تبدیل کنند. عمل معکوس باید در سمت گیرنده انجام شود. معماری SRTP دو نوع کلید را تعریف می کند: یک کلید اصلی و یک کلید جلسه (برای رمزگذاری و احراز هویت) (شکل 18). با این حال، SRTP ترتیب تعویض کلید اصلی را تنظیم نمی کند، برای این منظور باید از TLS یا IPSec استفاده شود. برای تبادل کلید، راه حل استاندارد شده برای SRTP، MIKEY (کلیدینگ اینترنت چندرسانه ای) است، اما پروتکل هایی مانند SDES و ZRTP نیز می توانند مورد استفاده قرار گیرند.

شکل 18 برقراری تماس با استفاده از SRTP

فرآیند پیام رسانی SRTP:

• تلفن و سرور گواهی ها را مبادله می کنند.
• تلفن و سرور یکدیگر را احراز هویت می کنند.
• تلفن کلیدهای TLS را برای احراز هویت SHA و برای رمزگذاری AES تولید می کند.
• تلفن کلیدها را با کلید عمومی ایستگاه رمزگذاری کرده و ارسال می کند. ایستگاه با کلید خصوصی خود رمزگشایی می کند.
• ایستگاه کلیدهای TLS را با هر یک از تلفن‌ها مبادله می‌کند و به تبادل امن پیام‌های سیگنالینگ تلفنی ادامه می‌دهد (تلفن مشترک که زنگ می‌زند).
• ایستگاه کلیدهای جلسه را برای احراز هویت SRTP SHA و رمزگذاری SRTP AES تولید می کند.
• ایستگاه کلیدهای جلسه را از طریق یک اتصال سیگنالینگ ایمن به هر دو تلفن توزیع می کند.
• تلفن ها شروع به تبادل ترافیک صوتی از طریق یک اتصال SRTP ایمن می کنند (تماس گیرنده تلفن را برمی دارد).

شکل 19 نمایه امنیتی در Cisco CallManager

در آن، ما تعیین می کنیم که دستگاه های ترمینال (تلفن ها) در چه حالتی ثبت نام کنند و کار کنند. هنگامی که گزینه Non Secure انتخاب می شود، نه داده های سیگنالینگ و نه صدا رمزگذاری می شوند. احراز هویت - پیام های سیگنالینگ رمزگذاری شده اند، اما صدا رمزگذاری نشده است. رمزگذاری شده - هر دو سیگنال و صدا رمزگذاری شده اند. می توانید رمزگذاری داده های پیکربندی را انتخاب کنید. پس از ایجاد پروفایل، باید آن را به گوشی اختصاص دهید (شکل 20).

شکل 20 نمایه امنیتی تلفن در Cisco CallManager

در حال حاضر، ما نکات اصلی را در امنیت تلفن IP در نظر گرفته ایم که به ما امکان می دهد با تهدیدات اصلی تلفن مبارزه کنیم، اما این تنها نوک کوه یخ کل امنیت زیرساخت صوتی است) به طور جداگانه، در نظر گرفتن امنیت فیزیکی زیرساخت ضروری است (به عنوان مثال، در اینجا: GOST R ISO / IEC 17799-2005 قوانین عملی امنیت اطلاعات مدیریت)، و می توان موضوع جداگانه ای را به آن اختصاص داد. امنیت شبکه. امیدوارم کسانی که مقاله را تا انتها مطالعه کردند از آن راضی بوده باشند و اطلاعات مفید بوده باشد.
آماده پاسخگویی به هرگونه سوال از طریق پست: [ایمیل محافظت شده]
توسط پروژه network-class.net پشتیبانی می شود

از آنجایی که فناوری VoIP مبتنی بر فناوری IP است و از اینترنت استفاده می کند، تمام آسیب پذیری های آن را نیز به ارث می برد. پیامدهای این حملات، چند برابر آسیب‌پذیری‌های ناشی از معماری شبکه‌های VoIP، ما را به فکر راه‌هایی برای افزایش حفاظت و تحلیل دقیق می‌اندازد. شبکه موجود IP. علاوه بر این، اضافه کردن هر سرویس جدید، به عنوان مثال، پست صوتیورود به یک زیرساخت به اندازه کافی محافظت نشده می تواند باعث ظهور آسیب پذیری های جدید شود.

خطرات و آسیب پذیری های به ارث رسیده از شبکه های IP.

طراحی وب بد

یک شبکه طراحی نادرست می تواند منجر به تعداد زیادی از مشکلات مرتبط با استفاده و ارائه درجه لازم از امنیت اطلاعات در شبکه های VoIP شود. برای مثال، فایروال‌ها آسیب‌پذیری در شبکه هستند زیرا برای عملکرد صحیح شبکه VoIP باید پورت‌های اضافی باز شوند و فایروال‌های غیر VoIP می‌توانند به سادگی پورت‌های استفاده شده قبلی را حتی پس از پایان تماس‌ها باز بگذارند.

PBX ها و دروازه های IP آسیب پذیر

اگر یک مهاجم به دروازه یا PBX دسترسی پیدا کند، همچنین به ضبط کل جلسات (در واقع توانایی گوش دادن به تماس)، دسترسی به تماس و پارامترهای شبکه دسترسی پیدا می کند. بنابراین، امنیت سانترال باید بیشترین توجه را داشته باشد. خسارات ناشی از این گونه نفوذها می تواند به مبالغ قابل توجهی برسد.

حملات بازپخش بسته

یک حمله بازپخش بسته را می توان در یک شبکه VoIP با ارسال مجدد یک سری بسته های معتبر انجام داد تا دستگاه گیرنده اطلاعات را مجددا پردازش کند و بسته های پاسخ را ارسال کند که می تواند برای جعل بسته ها و دسترسی به شبکه تجزیه و تحلیل شود. به عنوان مثال، حتی اگر داده ها رمزگذاری شده باشند، این امکان وجود دارد که کاربر کاربر بسته را با لاگین و رمز عبور تکرار کند و در نتیجه به شبکه دسترسی پیدا کند.

خطرات و آسیب پذیری های خاص شبکه های VoIP

جعل و پوشش بسته بندی
جعل بسته ها با آدرس IP منبع اشتباه می تواند برای اهداف زیر استفاده شود:

ارسال بسته ها به شبکه یا سیستم دیگری

رهگیری ترافیک و حمله انسان در وسط (تصویر زیر)

• مبدل کردنبرای یک دستگاه قابل اعتماد - "انتقال مسئولیت" برای حمله به دستگاه دیگر
• مبهم- بارگذاری سیستم با بسته هایی با اطلاعات ناقص صحیح که باعث بروز خطاهایی در سیستم در حین پردازش آنها می شود، مانند تاخیر در کار، نشت اطلاعات و از کار افتادن کامل سیستم.
• اسکن برای آسیب پذیری های احتمالی- اسکن پورت می تواند داده های اولیه برای انجام یک حمله تمام عیار مانند مدل های سیستم عامل، انواع سرویس ها و برنامه های کاربردی مورد استفاده را به مهاجم بدهد. هنگامی که یک سرویس آسیب پذیر پیدا می شود، یک مهاجم می تواند به کنترل کل شبکه دسترسی پیدا کند و در نتیجه، فرصت ایجاد آسیب بزرگ را به دست آورد.
• قابلیت اطمینان پایین در مقایسه با شبکه های سنتی- به منظور دستیابی به ارتباط با کیفیت بالا، بسته های حاوی ترافیک صوتی و تصویری در مکانیزم های QoS (کیفیت خدمات) اولویت بالایی دارند. با این حال، قابلیت اطمینان VoIP و شبکه های داده 99.9 درصد است که کمتر از قابلیت اطمینان سنتی است. شبکه های تلفن، که این پارامتر به 99.999% تمایل دارد. البته این تفاوت چندان زیاد نیست، اما برای سال این تفاوت به 8.7 ساعت اضافی تبدیل می شود که در طی آن سیستم کار نمی کند. اما باید درک کنید که این نمی تواند به هر شرکتی آسیب برساند.
• حملات DDoS (Distributed Denial of Service).- حملات DoSو DDoSزمانی رخ می دهد که یک مهاجم حجم بسیار زیادی از پیام های تصادفی را به یک یا چند دستگاه VoIP از یک یا چند مکان (به ترتیب DoS و DDoS) ارسال می کند. یک حمله چند سایتی با کمک "زامبی ها" استفاده می شود - سرورها و ایستگاه های کاری در معرض خطر که به طور خودکار درخواست های مخرب را مطابق با نیازهای مهاجم ارسال می کنند. چنین حمله ای زمانی موفق در نظر گرفته می شود که تعداد درخواست ها بیشتر شود قدرت پردازششی، منجر به انکار سرویس برای کاربران نهایی می شود.

سیستم های VoIP به ویژه در برابر چنین حملاتی آسیب پذیر هستند زیرا در فناوری QoS اولویت بالایی دارند و نسبت به شبکه های داده معمولی به ترافیک کمتری برای ایجاد اختلال در عملکردشان نیاز دارند. نمونه ای از حمله DoS علیه یک شبکه VoIP، راه اندازی تماس چندگانه یا حمله سیگنالینگ لغو است که به آن حمله SIP CANCEL DoS نیز می گویند.

• جعل CID- یکی از انواع حملات جعل بسته مبتنی بر دستکاری شناسه تماس گیرنده (شناسه تماس گیرنده یا CID) است که برای شناسایی تماس گیرنده قبل از پاسخگویی استفاده می شود. یک مهاجم می‌تواند این شناسه را با یک رشته متن یا یک شماره تلفن جایگزین کند و می‌تواند برای انجام اقدامات مختلفی که به شبکه یا مالک شرکت آسیب می‌رساند، استفاده کند. علاوه بر این، در شبکه های VoIP هیچ راهی برای مخفی کردن این شناسه وجود ندارد، زیرا شماره تلفن در هدر بسته ها در پروتکل SIP گنجانده شده است. این به یک مهاجم با یک sniffer بسته مانند tcpdump اجازه می دهد تا شماره تلفن را حتی اگر توسط ارائه دهنده سرویس روی "خصوصی" تنظیم شده باشد، پیدا کند.
• نتیجه- استفاده از IP-telephony مزایای زیادی برای هر سازمانی به ارمغان می آورد - راه حل های مبتنی بر VoIP مقیاس پذیرتر، ادغام آسان تر و هزینه آنها کمتر از راه حل های کلاسیک است. با این حال، هر سازمانی که راه حل VoIP را اجرا می کند باید از آن آگاه باشد تهدیدات احتمالیو تمام تلاش خود را برای افزایش درجه امنیت اطلاعات در شبکه به کار گیرد. تنها چند روش حمله ذکر شده است، اما باید درک کرد که ترکیبی از حملات اغلب استفاده می شود و حملات جدید تقریباً روزانه توسعه می یابد. اما اکنون مشخص است که این فناوری آینده است و بعید است در آینده قابل پیش بینی جای خود را به فناوری دیگری بدهد.

یک سیستم تلفن IP باید دو سطح امنیت را ارائه دهد: سیستم و تماس.

برای اطمینان از امنیت سیستم از توابع زیر استفاده می شود:

جلوگیری از دسترسی غیرمجاز به شبکه با استفاده از کلمه رمز مشترک. کلمه کد به طور همزمان توسط الگوریتم های استاندارد در سیستم های آغازگر و پایانی محاسبه می شود و نتایج به دست آمده با هم مقایسه می شوند. هنگامی که یک اتصال برقرار می شود، هر یک از دو سیستم تلفن IP ابتدا سیستم دیگر را شناسایی می کند. در صورت حداقل یک نتیجه منفی، اتصال قطع می شود.

• به لیست هایی دسترسی داشته باشید که شامل تمام دروازه های تلفن IP شناخته شده است.
• ثبت رد دسترسی
• عملکردهای امنیتی رابط دسترسی، از جمله بررسی شناسه کاربری و رمز عبور با محدودیت های دسترسی خواندن/نوشتن، بررسی حقوق دسترسی به یک سرور وب ویژه برای مدیریت.
• ویژگی های امنیتی تماس، از جمله تأیید شناسه کاربری و رمز عبور (اختیاری)، وضعیت کاربر، نمایه تماس گیرنده.

هنگامی که یک دروازه با دروازه دیگری در منطقه خود ارتباط برقرار می کند، شناسه کاربری و رمز عبور به صورت اختیاری تأیید می شوند. کاربر می تواند در هر زمان از حق دسترسی محروم شود.

در واقع، هنگام توسعه پروتکل IP، توجه کافی به مسائل امنیت اطلاعات صورت نگرفت، اما با گذشت زمان وضعیت تغییر کرده است و برنامه های مدرن مبتنی بر IP دارای مکانیسم های حفاظتی کافی هستند. و راه حل هایی در زمینه IP-telephony بدون پیاده سازی نمی توانند وجود داشته باشند فن آوری های استاندارداحراز هویت و مجوز، کنترل یکپارچگی و رمزگذاری و غیره. برای وضوح، ما این مکانیسم ها را همانطور که در مراحل مختلف سازمان مورد استفاده قرار می گیرند در نظر خواهیم گرفت. مکالمه تلفنی، با برداشتن گوشی شروع می شود و با سیگنال پایان پایان می یابد.

1. مجموعه تلفن.

در تلفن IP، قبل از اینکه تلفن سیگنالی برای برقراری ارتباط ارسال کند، مشترک باید شناسه و رمز عبور خود را برای دسترسی به دستگاه و عملکرد آن وارد کند. چنین احراز هویتی به شما این امکان را می دهد که هرگونه اقدام افراد خارجی را مسدود کنید و نگران نباشید که کاربران دیگر با هزینه شما با شهر یا کشور دیگری تماس بگیرند.

2. ایجاد اتصال.

پس از شماره گیری شماره، اتصال به سرور کنترل تماس مربوطه سیگنال داده می شود، جایی که تعدادی بررسی امنیتی انجام می شود. اول از همه، اصالت خود تلفن تأیید می شود - هم با استفاده از پروتکل 802.1x و هم با استفاده از گواهینامه های مبتنی بر کلیدهای عمومی یکپارچه شده در زیرساخت تلفن IP. این بررسی به شما امکان می دهد تا تلفن های IP غیرمجاز نصب شده در شبکه را به خصوص در شبکه ای با آدرس دهی پویا جدا کنید. پدیده هایی مشابه مراکز تلفن بدنام ویتنامی در تلفن IP به سادگی غیرممکن است (البته با توجه به قوانین ایجاد یک شبکه تلفن امن).

با این حال، موضوع به احراز هویت تلفن محدود نمی شود - باید دریابید که آیا مشترک حق دارد با شماره تماس گرفته شده توسط او تماس بگیرد. این یک مکانیسم حفاظتی نیست بلکه یک اقدام پیشگیری از تقلب است. اگر مهندس شرکتی نتواند از ارتباطات راه دور استفاده کند، قانون مربوطه بلافاصله در سیستم کنترل تماس ثبت می‌شود و مهم نیست از چه تلفنی چنین تلاشی انجام شود، بلافاصله متوقف می‌شود. همچنین می توانید ماسک ها یا محدوده ها را مشخص کنید. شماره تلفن هاکه یک کاربر خاص حق تماس با آن را دارد.

در مورد تلفن IP، مشکلات ارتباطی، مشابه اضافه بارهای خط در تلفن آنالوگ، غیرممکن است: با طراحی مناسب شبکه با اتصالات اضافی یا تکراری بودن سرور کنترل تماس، خرابی عناصر زیرساخت تلفن IP یا اضافه بار آنها انجام نمی شود. بر عملکرد شبکه تأثیر منفی می گذارد.

3. مکالمه تلفنی.

در IP-telephony راه حل مشکل حفاظت در برابر شنود از همان ابتدا پیش بینی شده بود. سطح بالایی از محرمانه بودن ارتباطات تلفنی توسط الگوریتم ها و پروتکل های اثبات شده (DES، 3DES، AES، IPSec، و غیره) با تقریباً هیچ هزینه ای برای سازماندهی چنین حفاظتی ارائه می شود - همه مکانیسم های لازم (رمزگذاری، کنترل یکپارچگی، هش، تبادل کلید). و غیره) قبلاً در عناصر زیرساختی از تلفن IP گرفته تا سیستم کنترل تماس پیاده سازی شده اند. در عین حال، حفاظت را می توان با موفقیت یکسان هم برای مذاکرات داخلی و هم برای مذاکرات خارجی اعمال کرد (در مورد دوم، همه مشترکین باید از تلفن های IP استفاده کنند).

با این حال، تعدادی از مسائل مرتبط با رمزگذاری وجود دارد که باید در هنگام اجرای زیرساخت VoIP در نظر گرفته شود. اولاً به دلیل رمزگذاری / رمزگشایی تاخیر اضافی وجود دارد و ثانیاً هزینه های سربار در نتیجه افزایش طول بسته های ارسالی افزایش می یابد.

4. قابلیت نامرئی.

ما تا اینجا فقط خطراتی را در نظر گرفتیم که تلفن سنتی در معرض آن قرار دارد و با معرفی تلفن IP قابل رفع است. اما انتقال به پروتکل IP تعدادی تهدید جدید را به همراه دارد که نمی توان آنها را نادیده گرفت. خوشبختانه، راه‌حل‌ها، فناوری‌ها و رویکردهای به خوبی تثبیت شده برای محافظت در برابر این تهدیدات وجود دارد. بسیاری از آنها نیازی به سرمایه گذاری مالی ندارند، زیرا در حال حاضر در تجهیزات شبکه پیاده سازی شده اند، که اساس هر زیرساخت تلفن IP است.

ساده ترین کاری که می توان برای افزایش امنیت مکالمات تلفنی در هنگام انتقال از طریق یکسان انجام داد سیستم کابلیمانند داده های معمولی، بخش بندی شبکه با استفاده از فناوری VLAN برای حذف امکان گوش دادن به مکالمات توسط کاربران عادی است. نتایج خوباستفاده از فضای آدرس جداگانه برای بخش های تلفن IP را می دهد. و البته، نباید قوانین کنترل دسترسی را در روترها (Access Control List، ACL) یا فایروال ها (دیوار آتش) نادیده بگیرید، که استفاده از آنها اتصال مهاجمان به بخش های صوتی را دشوار می کند.

5. ارتباط با دنیای خارج.

هر چه که IP-telephony در شبکه داخلی شرکت ارائه دهد، بدون امکان برقراری و دریافت تماس با شماره های ثابت ناقص خواهد بود. در این مورد، به عنوان یک قاعده، مشکل تبدیل ترافیک IP به سیگنال ارسال شده از طریق شبکه تلفن عمومی سوئیچ شده (PSTN) ایجاد می شود. این مشکل از طریق استفاده از دروازه های صوتی ویژه (دروازه صوتی) حل می شود که برخی از عملکردهای محافظتی را نیز اجرا می کنند و مهمترین آنها مسدود کردن تمام پروتکل های تلفن IP (H.323، SIP و غیره) در صورتی که پیام های آنها از یک طرف ارسال شود، می باشد. بخش غیر صوتی

برای محافظت از عناصر زیرساخت صوتی از تأثیرات غیرمجاز احتمالی، می‌توان از راه‌حل‌های تخصصی استفاده کرد - فایروال‌ها (ITU)، دروازه‌های لایه برنامه (Application Layer Gateway، ALG) و کنترل‌کننده‌های مرزی جلسه (Session Border Controller). به طور خاص، پروتکل RTP از پورت‌های پویا UDP استفاده می‌کند که باز شدن آن‌ها روی آن است دیواره آتشمنجر به شکافی در دفاع می شود. بنابراین، فایروال باید به صورت پویا پورت های مورد استفاده برای ارتباط را تعیین کند، آنها را در زمان اتصال باز کند و پس از اتمام آن ببندد. ویژگی دیگر این است که تعدادی از پروتکل ها، مانند SIP، اطلاعات مربوط به پارامترهای اتصال را نه در هدر بسته، بلکه در بدنه داده قرار می دهند. بنابراین، دستگاه امنیتی باید بتواند نه تنها هدر، بلکه بدنه داده بسته را تجزیه و تحلیل کند و تمام اطلاعات لازم برای سازماندهی یک اتصال صوتی را از آن جدا کند. محدودیت دیگر دشواری ترکیب پورت های پویا و NAT است.