Захисти свій голос по IP

[ виправити ] текст може містити помилки, будь ласка перевіряйте перш ніж використовувати.

скачати

Олексій Лукацький

Рішення IP-телефонії немислимі без заходів безпеки

IP-телефонія поступово підміняє колишні способи організації телефонного зв'язку. З великою часткою впевненості можна припустити, що через пару років традиційна телефонія буде повністю витіснена своєї більш сучасною та функціональної родичкою, що працює по протоколу IP. Цей напрямок по суті не розвивається навіть традиційними виробниками, оскільки всі їхні зусилля спрямовані тепер на IP-телефонію. Втім, апологети «дискового» антикваріату не поспішають інвестувати кошти в більш сучасний спосіб організації телефонного зв'язку, посилаючись на те, що використовувати протокол IP ризиковано з точки зору безпеки.

Дійсно, при розробці протоколу IP не приділялося належної уваги питанням інформаційної безпеки, однак з часом ситуація змінювалася, і сучасні програми, що базуються на IP, містять достатньо захисних механізмів. А вже рішення в області IP-телефонії і поготів немислимі без реалізації стандартних технологій аутентифікації та авторизації, контролю цілісності та шифрування і т. д. Для наочності розглянемо ці механізми в міру того, як вони задіюються на різних стадіях організації телефонної розмови, починаючи з підняття телефонної трубки і закінчуючи сигналом відбою.

Телефонний апарат

З чого починається звичайний телефонний дзвінок? З підняття телефонної трубки і набору номера. У IP-телефонії, перш ніж телефон пошле сигнал на встановлення з'єднання, абонент повинен ввести свій ідентифікатор та пароль на доступ до апарату та її функцій. Така аутентифікація дозволяє блокувати будь-які дії сторонніх і не турбуватися, що чужі користувачі (наприклад, гості компанії) будуть дзвонити в інше місто або країну за ваш рахунок.

Встановлення з'єднання

Після набору номера сигнал на встановлення з'єднання надходить на відповідний сервер управління дзвінками (в рішеннях Cisco, наприклад, він називається CallManager), де здійснюється цілий ряд перевірок з точки зору безпеки. У першу чергу засвідчується справжність самого телефону - як шляхом використання протоколу 8o2.1x, так і за допомогою сертифікатів на базі відкритих ключів, інтегрованих в інфраструктуру IP-телефонії. Така перевірка дозволяє ізолювати несанкціоновано встановлені в мережі IP-телефони, особливо в мережі з динамічною адресацією. Явища, подібні горезвісним в'єтнамським переговорним пунктам, в IP-телефонії просто неможливі (зрозуміло, за умови дотримання правил побудови захищеної мережі телефонного зв'язку).

Однак аутентифікацією телефону справа не обмежується - необхідно з'ясувати, чи надано абоненту право телефонувати за набраним їм номером. Це не стільки механізм захисту, скільки міра запобігання шахрайства. Якщо інженеру компанії не можна користуватися міжміським зв'язком, то відповідне правило відразу записується в систему управління дзвінками, і, з якого б телефону не здійснювалася така спроба, вона буде негайно припинена. Крім того, можна вказувати маски або діапазони телефонних номерів, на які має право телефонувати той чи інший користувач.

З чим ще стикається пересічний абонент телефонної мережі в момент встановлення з'єднання? З відсутністю сигналу або голосом автовідповідача «Телефонна лінія перевантажена». Перша ситуація виникає у разі дефекту телефонного кабелю або аварії на АТС. Близько року тому центр Москви протягом кількох днів був позбавлений телефонного зв'язку унаслідок пожежі на АТС на вулиці Щепкіна. У випадку ж з IP-телефонією такі проблеми зі зв'язком неможливі: при грамотному дизайні мережі з резервними сполуками або дублюванням сервера управління дзвінками відмову елементів інфраструктури IP-телефонії або їх перевантаження не робить негативного впливу на функціонування мережі.

Телефонна розмова

Які ще небезпеки чатують під час телефонногд розмови? Хоча б банальне прослуховування: зловмиснику не складає труднощів перехопити голосові дані за допомогою жучка, який на радіоринку можна купити за 10-30 доларів. При цьому для перехоплення навіть необов'язково фізично підключатися до телефонної лінії - досить «зняти» електромагнітні наведення, перебуваючи на деякій відстані від неї, і відновити телефонні переговори. Використання скремблеров і вокодеров, звичайно, дозволяє захиститися, тільки от як бути, якщо вам потрібно встановити ці пристрої, кожне з яких коштує не менше 400 доларів, на всі телефонні апарати? При таких витратах навряд чи захочеться говорити про зручність використання телефону.

У IP-телефонії рішення цієї проблеми передбачалося з самого початку. Високий рівень конфіденційності телефонного зв'язку забезпечують перевірені алгоритми і протоколи (DES, 3DES, AES, IPSec і т. п.) при практично повній відсутності витрат на організацію такого захисту - всі необхідні механізми (шифрування, контролю цілісності, хешування, обміну ключами та ін ) вже реалізовані в інфраструктурних елементах, починаючи від IP-телефону і закінчуючи системою управління дзвінками. При цьому захист може бути з однаковим успіхом застосовуватися як для внутрішніх переговорів, так і для зовнішніх (в останньому випадку всі абоненти повинні користуватися IP-телефонами).

Однак з шифруванням, або, як іноді говорять у Росії, кодуванням, пов'язаний ряд моментів, про які необхідно пам'ятати, впроваджуючи інфраструктуру VoIP. По-перше, з'являється додаткова затримка внаслідок шифрування / дешифрування, а по-друге, зростають накладні витрати в результаті збільшення довжини переданих пакетів. І те й інше вирішується шляхом застосування протоколу SecureRTP (RFC 3711); який дозволяє забезпечити ефективний захист розмови без зниження її якості.

Невидимий функціонал

До цих пір. ми розглядали тільки ті небезпеки, яким схильна традиційна телефонія і які можуть бути усунені впровадженням IP-телефонії. Але перехід на протокол IP несе з собою ряд нових загроз, які не можна не враховувати. На щастя, для захисту від цих загроз вже існують добре зарекомендували себе рішення, технології та підходи. Більшість з них не вимагає жодних фінансових інвестицій, будучи вже реалізованими в мережевому обладнанні, яке і лежить в основі будь-якої інфраструктури IР-телефонії.

Найперше і найпростіше, що можна зробити для підвищення захищеності телефонних переговорів, коли вони передаються по тій же кабельній системі, що і звичайні дані, - це сегментувати мережу за допомогою технології VLAN для усунення можливості прослуховування переговорів звичайними користувачами. Хороша практика - використання для сегментів IP-телефонії окремого адресного простору (наприклад, з діапазонів, зазначених у RFC 1918). І, звичайно ж, не варто скидати з рахунків правила контролю доступу на маршрутизаторах (Access Control List, ACL) або міжмережевих екранах (firewall), застосування яких ускладнює зловмисникам завдання підключення до голосових сегментах.

Механізм VLAN реалізується комутаторами локальної мережі. У залежності від виробника комутуючий обладнання дозволяє задіяти і безліч інших механізмів безпеки, вже вбудованих в придбане мережеве обладнання та підвищують захищеність передачі голосових даних по протоколу IP:

VLAN ACL (VACL);

DHCP Snooping;

Dynamic ARP Inspection;

IP Source Guard;

Port Security;

Conditional Trust і т. д.

На відміну від традиційної АТС сервер управління дзвінками в IP-телефонії функціонує під управлінням стандартних операційних систем, тому йому загрожують всі ті ж небезпеки, яким піддаються звичайні комп'ютерні системи: «черв'яки», віруси, шпигунське ПЗ тощо Захиститися від них допоможуть традиційні антивірусні засоби та персональні системи запобігання атакам. Не вірте, якщо вам скажуть: «Наше рішення базується на UNIX, а значить, віруси йому дарма». Це міф, вигідний деяким виробникам. Шкідливих програм, які загрожують неприємностями версій сайту UNIX, цілком вистачає (наприклад, rootkit).

Спілкування з зовнішнім світом

Які б переваги IP-телефонія ні надавала в рамках внутрішньої корпоративної мережі, вони будуть неповними без можливості здійснення та прийому дзвінків на міські номери. При цьому, як правило, виникає завдання конвертації IP-трафіку в сигнал, що передається по телефонній мережі загального користування (ТФОП). Вона вирішується за рахунок застосування спеціальних голосових шлюзів (voice gateway), що реалізують деякі захисні функції, а найголовніша з них - блокування всіх протоколів ТР-телефонії (Н.323, SIP та ін), якщо їх повідомлення надходять з неголосовий сегмента.

Для захисту елементів голосової інфраструктури від можливих несанкціонованих впливів можуть застосовуватися спеціалізовані рішення - міжмережеві екрани (МСЕ), шлюзи прикладного рівня (Application Layer Gateway, ALG) і прикордонні контролери сеансів (Session Border Controller). Однак не варто купувати перше-ліпше пристрій, так як протоколи IP-телефонії (наприклад, SIP або RTP) накладають на їх функціонал певні обмеження. Зокрема, протокол RTP використовує динамічні порти UDP, відкриття яких на межсетевом екрані призводить до появи зяючої діри в захисті. Отже, міжмережевий екран повинен динамічно визначати використовуються для зв'язку порти, відкривати їх у момент з'єднання і закривати по його завершенні. Інша особливість полягає в тому, що ряд протоколів, наприклад SIP, інформацію про параметри з'єднання розміщують не в заголовку пакета, а в тілі даних. Тому пристрій захисту повинен бути здатний аналізувати не тільки заголовок, а й тіло даних пакета, виокремлюючи з нього всі необхідні для організації голосового з'єднання відомості. Ще одним обмеженням є складність спільного застосування динамічних портів і NAT.

Деякі виробники випускають тільки спеціалізовані захисні шлюзи для обробки трафіку VoIP, але, перш ніж придбати один з них, слід подумати про те, що все одно не вдасться обійтися без звичайного міжмережевого екрану, вміє аналізувати не тільки протоколи Н.323, SIP і MGCP, але й інші - широко поширені в мережах HTTP, FTP, SMTP, SQL * Net і т. д. Навіщо платити двічі? Чи не краще відразу вибрати МСЕ, який вміє працювати й зі звичайними протоколами і протоколами VoIP?

Висновок

Які ще аспекти безпеки IP-телефонії заслуговують уваги? По-перше, необхідно подбати про захист адміністративного інтерфейсу. У звичайній телефонії доступ до АТС відкриває практично безмежні можливості несанкціонованого зміни конфігурації, перехоплення дзвінків і т. п. У розвинених серверах управління передбачені розширені функції для наділення системних адміністраторів тільки тими правами, які їм потрібні для виконання своїх обов'язків. Інфраструктура IP-телефонії досить розгалужена, тому управління нею повинно здійснюватися по захищеному від несанкціонованого доступу каналу, щоб запобігти будь-які спроби прочитання або модифікації команд, що управляють. Для захисту каналу можуть використовуватися різні протоколи - SSH, IPSec, SSL, TLS і т. д.

По-друге, потрібно забезпечити доступність і захист від атак «відмова в обслуговуванні». З вирішенням цієї проблеми допомагають впоратися як спеціальні системи захисту від атак DoS і DDoS, так і вбудовані в мережеве устаткування механізми. І, звичайно ж, не можна забувати про грамотному дизайні мережі, застосування резервних сполук, механізми балансування навантаження і т. п.

І нарешті, найголовніше Для безпеки IP-телефонії - розуміння всіх ризиків, пов'язаних з нею. Тільки в цьому випадку можна побудувати високоефективну і недорогу систему захисту голосових даних, переданих по єдиному кабелю - разом з файлами, електронною поштою та сторінками Web. LAN

Список літератури

Журнал LAN № серпня 2005


Додати в блог або на сайт

Цей текст може містити помилки.

Програмування, комп'ютери, інформатика і кібернетика | Реферат
24кб. | скачати


Схожі роботи:
Захисти свою інфу
Струмові захисти трансформатора від зовнішніх коротких замикань
Письменник-білінгв свій серед чужих
Авраам Халф поет випередив свій час
Урок з ВІ Далю казка У тебе в самого свій розум
Урок по В І Далю казка У тебе в самого свій розум
Моїм віршам як дpагоценним винам настане свій чеpед
Нікола Тесла Nikola Tesla Геній-одинак ​​або безумець який випередив свій час
Людський голос як інструмент
© Усі права захищені
написати до нас