IP電話安全戰(zhàn)
陳蔚 2004/07/27
用戶在從傳統(tǒng)語音向IP電話系統(tǒng)遷移過程中，應該注意到融合網絡平臺存在著的安全性問題，在進行產品選型、系統(tǒng)設計時均充分考慮到IP網絡平臺的安全威脅，并對此進行全面的優(yōu)化設計。下面將對IP電話安全架構的具體實現進行詳細的說明。
圖1 IP電話安全架構示意圖
IP語音服務器采用強化的操作系統(tǒng)
IP電話的語音服務器是整個系統(tǒng)運作的核心，而操作系統(tǒng)又是語音服務器的基礎平臺，因此采用一個經過安全強化設計的操作系統(tǒng)，將盡可能減少網絡上病毒和黑客對IP語音運行的影響，比如盡可能采用網絡病毒和黑客對其攻擊相對較少的操作系統(tǒng)；僅僅運行必要的服務和應用；具有一定的入侵檢測功能，可以很好的監(jiān)控系統(tǒng)和配置的變化，并會產生相應的告警；通過內嵌級防火墻提供對運行在服務器上相應服務增強的安全性接入。
安全的管理配置
IP電話系統(tǒng)的各個組成部分通過以下方式進行安全的管理：
- 通過安全的Telnet (SSH),、FTP (SFTP)、文件拷貝(SCP)進行遠程管理；
- 通過SSL/TLS-HTTPS進行遠程Web管理;
- 采用更安全的SNMP v3進行網絡管理；
- 盡可能不采用缺省的SNMP通信字符串；
- 避免采用明文的方式交換密碼；
- 保證不存在后門密碼可以進入系統(tǒng)；
- 盡可能少的用超級用戶、密碼；
語音服務器和語音網關之間控制信令加密
通過將IP電話語音服務器和語音網關之間的控制信令傳輸網絡和普通數據網絡在物理或邏輯上進行隔離，將盡可能少的接口暴露在相對不安全的開放網絡平臺上，從而減少網絡中越來越多的DoS攻擊和網絡病毒對系統(tǒng)的影響。
而如果控制語音服務器和語音網關的控制信令與普通的數據應用運行在一個開放平臺上，應該通過相應的加密認證機制，對控制信令傳輸的私密性、數據完整性等進行保護。
DoS攻擊保護
IP電話的各個組成部分從語音服務器、語音網關到IP電話都能夠對DoS攻擊具有相應的保護功能：
- 丟棄非正常的、惡意攻擊的數據包/幀；
- 在受到Ping Flood、SYN Flood等DoS攻擊時具有相應的自我保護能力，仍然可以正常工作。
通過VLAN實現IP語音和普通數據邏輯隔離
目前各個廠商的系列IP話機均提供2個以太網端口，一個連接網絡交換機，一個可以連接用戶PC，與網絡交換機連接端口支持802.1Q/p，可以實現IP語音和用戶PC劃歸不同的VLAN，而且IP語音包會帶上第二層和第三層的優(yōu)先級標記，可以和客戶具有QoS支持的數據網絡平臺結合，提高IP話音質量。
圖2 用VLAN保護語音安全
RTP媒體流加密
IP電話系統(tǒng)的語音服務器、語音網關以及IP終端通過支持對RTP語音媒體流進行加密傳輸實現IP語音交換的私密性保護。語音服務器、語音網關以及IP終端在IP語音呼叫信令建立過程中，會對媒體加密進行協商，如果決定對一個呼叫進行加密，它們之間會交換加密的相關關鍵參數，比如使用什么加密算法，使用什么加密密鑰。
RTP媒體流加密在以下設備之間實施：
- IP話機－語音網關
- IP話機－IP話機
- 語音網關－語音網關
目前一些對安全比較重視的IP語音設備廠商已經部分和全部實現上述功能。
呼叫控制軟件的安全功能
運行在語音服務器內的呼叫控制軟件，應當具有豐富的控制和限制功能。例如通過服務等級、限制等級的設定，可以將不同的功能和呼叫權限分配給不同等級的用戶，而且用戶在撥打長途或特定號碼前必須輸入正確的密碼，才能獲得相關服務。而在IP電話系統(tǒng)中通過以下技術手段加強接入的安全性：
- 集中式的用戶認證機制；
- 采用一次性口令加強用戶接入密碼的保護；
- IP電話系統(tǒng)可以通過工業(yè)標準的RADIUS、數字證書實現對用戶、設備的認證和授權。
網絡世界(cnw.ccw.com.cn)