近年來隨著Internet技術的進步及通信帶寬的增大，基于IP分組的Internet多媒體應用勢頭勁猛，VoIP（Voice over Internet）則是最具前景的多媒體應用之一，國內各大電信運營商和很多行業、企業都組建了自己VoIP網絡。VoIP在提供價廉的通信資費和方便快捷的通信方式時，其安全問題也逐漸引起人們的關注焦點。對于VoIP網絡，由于其基于Internet，因此具有目前IP網絡的一切安全問題；再者，由于VoIP的實時性、保密性的特點，它比其他的數據業務對安全有更高的要求。因此，VoIP安全逐漸成為VoIP發展中關注的重點。具體的說，VoIP安全的目標就是要保證服務的可獲得性、會話的私密性、完整性及能夠防止服務的竊取和欺騙。

　　可獲得性指的是VoIP服務提供商保證所有合法用戶能夠正常使用該項業務。系統阻止蠕蟲和其他病毒的攻擊，阻止未授權的用戶使用業務。

　　私密性指在VoIP網絡中所有的數據不被竊聽和截獲，網絡能夠防止私人信息不被無關的人員所獲得。

　　完整性是指所有VoIP網絡功能組件都能正常工作，免收內部或外部用戶的干擾。

　　1、VoIP安全問題分析

　　具體說來，VoIP會受下述的一些安全威脅

　　1.1　DOS攻擊

　　DOS（拒絕服務攻擊）是包括任何導致系統不能正常提供服務的攻擊。一個信令層的攻擊就是利用合理的服務器請求來耗盡服務器的處理能力，從而使合法用戶無法得到服務的響應；攻擊者也可以通過發送偽造的結束信令（例如SIP協議中BYE數據包）或者ICMP端口不可達報文強制VoIP用戶結束會話。也可以用大量的媒體流對VoIP網關進行攻擊，使得網關被迫丟掉一些正常連接的數據包。可以使網關監控每個媒體流數據包的大小和速率，當發現某個連接的數據包的大小或速率不正常時就不予處理。有測試結果表明：“市場上很多采用H.323協議的VoIP系統在H.245建立過程中都存在漏洞，容易在1720端口上受到DOS的攻擊，從而導致系統的不穩定甚至癱瘓”。

　　這個攻擊可以如下方式解決：服務器記錄每個特定端點在一定時間內的請求記錄，然后和服務器的請求數量許可表中對比如果超過許可，就在一段時間內不再響應這個端點的請求。

　　1.2　服務竊取

　　一方面是竊取合法用戶身份，假冒合法用戶身份，例如通過網絡竊聽方式竊取使用者IP電話的登錄密碼就可以獲得使用話機的權利，這與口令的保護有關，也是基于口令的保護方法的局限性所致。另一方面是冒充合法的網絡節點進行相應的欺騙，例如通過冒充合法的網守，在終端沒有進行對網守進行認證的情況下，不法分子獲得用戶的登錄口令等個人信息。

　　1.3　VoIP數據包的截獲與篡改

　　一個典型的VoIP呼叫需要信令和媒體流這兩個建立過程，根據這兩個過程可以對通話造成下面兩種威脅：

　　攻擊者可以截獲和修改用于建立呼叫的信令數據包，修改數據包中的一些字段，使VoIP呼叫的一些性質發生改變。（如改變SIP數據包的REFER-TO字段，可能會使呼叫轉接失敗或者轉接到一個錯誤的用戶，而這個用戶有可能是一個惡意用戶。）

　　媒體流的傳輸采用RTP/RTCP協議，話音的分組傳輸使得話音包的截取非常容易。由于協議的開放性，如果截獲任何一段連續時間的RTP報文，就可以恢復出相應的語音來。如果有人在網絡上獲取所有RTP報文以生成相應的語音，就會導致通話期間一些機密性的東西泄漏。

　　2、解決VoIP安全問題方法

　　我們可以根據VoIP實際應用環境，采用多種機制和措施保障VoIP的安全。主要的方法有以下幾種。

　　2.1　將用于話音和數據傳輸的網絡進行隔離

　　將所有的IP話機放到個獨立的VLAN當中。同時限制無關的終端進入該網段。劃分VLAN是目前保護IP話音系統一個簡單有效的方法，可以隔離病毒和簡單的攻擊。同時，對VoIP的QoS進行設定，還將有助于提高話音質量。

　　2.2　對VoIP軟件運行平臺進行管理

　　對VoIP呼叫管理控制軟件的運行平臺，如Windows或Liuux操作系統或者路由器上不同軟件平臺，應該確保操作系統日常運行的安全性，并且已經安裝了最新的安全補丁。

　　2.3　將數據包進行加密和認證

　　對VoIP數據包進行加密和認證流量可以有效的防止通話受到監聽。IETF RFC 2401定義的安全性IP（IPSec）是常用的安全協議，它提供了加密和認證功能，保護分組數據包免遭竊聽和篡改，可以有效抵御網絡攻擊，為IP網絡通信提供透明的安全服務。為了加解密，終端用戶點之間必須建立安全聯盟（SA）并交換密鑰。下面簡要介紹IPSec的工作原理。

　　2.3.1　IPSec原理介紹

　　IPSec由三個基本要素來保證數據包在Internet上的安全傳輸：認證頭（AH）協議、安全加載封裝（ESP）和互聯網密鑰交換（IKE）協議。認證協議頭和安全加載封裝可以通過分開或組合使用來達到所希望的保護等級。

　　認證協議頭是用來增加數據完整性的認證機制，為IP數據流提供高強度的密碼認證，以確保修改過的數據包可以被檢查出來，通過它可以防止地址欺騙攻擊和重發攻擊。它支持的散列算法是MD5和SHA-1。不過由于AH不能加密數據包所加載的內容，因而它不保證任何的機密性。

　　安全封裝載荷通過對數據包的全部數據和加載內容進行全加密來嚴格保證傳輸信息的機密性，它支持的加密算法是DES、3DES和AES等。ESP也能提供認證和維持數據的完整性。由于ESP加密所有的數據，因此需要占用系統更多的處理能力。

　　在VoIP網絡中，有下列兩類數據包：話音和信令分組數據包。信令數據包用于在兩個IP網絡端點之間建立、修改、中止一個會話，比如兩個IP話機之間，信令數據包呼叫端點和協助建立呼叫的服務器之間傳輸，比如代理服務器、重定向服務器等。會話建立以后，就可以在會話終端之間沿著不同的路徑傳輸話音數據包，這時候和普通的數據包傳輸的特性一樣，不同的數據包有可能在網絡上經過不同的路徑到達目的地址。

　　2.3.2　利用IPSec對VoIP的影響

　　由于信令數據包、話音數據包可能經過不同的路徑，所以對這兩種數據包應當各自建立不同類型的SA（安全聯盟），而建立SA時必須交換密鑰信息，從而增加了建立呼叫所用的時間，這在話音通信中有時是不可忍受的。同傳統的PSTN呼叫相比，VoIP建立呼叫所用的時間比較長。

　　在通話過程中，因為要不斷對大量語音數據包加密處理，這必然增加話音數據包的延遲，降低VoIP語音通話質量。尤其是在多個會話同時進行加解密時，對整個語音網關來說是一個很大的負擔。但如果采用合適的加解密方法，就可以將加解密帶來的影響降低到可以忍受的范圍。例如采用硬件加密（如語音網關上的加密卡）代替軟件加密也不失為一種很好的方案，可以有效的降低語音網關上CPU的利用率。

　　筆者曾在某公司試驗了一下IPSec對VoIP質量的影響，在VoIP語音網關上利用基于E-model的測量工具測出了相應的語音MOS（Mean of Score/語音平均質量得分）值。下面簡要介紹一下VoIP的語音質量評價標準。

　　平均主觀值MOS方法：一種主觀的語音質量測量方式，由人耳來感知語音的好壞，在ITU-T P.800中定義。這種方法將人類接聽和感知語音質量的行為量化，人的主觀感覺起主要的作用。一個平均主觀值MOS是4或更高，被認為是比較好的語音質量，而若平均主觀值MOS低于3.6，則大部分接聽者不能滿意這個語音質量。但是在現實中，讓一組人接聽語音和評價語音的質量實現起來是非常困難和昂貴的，于是有了E-model這一客觀測量的方法。

　　國際電聯在G.107標準提出了E-model，它能夠很好地對VoIP語音質量進行評估。E-model最終結果是R值，稱為全面的網絡傳輸等級要素。R值的計算從沒有網絡和設備的損傷影響開始，此時語音質量是最好的，R=R0。R0是無網絡時延和設備損傷因素的基本信號與收發噪聲以及電流、背景噪聲之比，即基本信噪比。但是網絡中對話音質量損傷因素的存在，R值的基本計算公式如下：

　　R=Ro-Is-Id-Ie+A

　　其中，Is：語音信號傳輸同步的損傷；Id：語音信號傳輸延時的損傷；Ie：由設備引入的損傷；A：優勢因素，大部分情況置為0。通過相關測量工具得到相應的R值，然后利用R值和平均主觀值MOS之間的映射關系，就可以得到相關的MOS值。

　　在測試中，采用IPSec Tunnle方式。為評估不同的加密算法對語音質量的影響，分別用AES和3DES兩種算法，且兩種算法的密鑰長度相同。測量的結果顯示，在VoIP未加IPSec時候得到的MOS值可以達到4.3，但是相同的網絡環境下配置了IPSec，使用AES和3DES兩種算法時，MOS值分別為4.1和4.0左右。

　　關于這個結果，筆者認為有兩個原因：由于ESP頭部加到語音包中，導致在網絡中傳輸的包長度增加，導致了Ie系數的增加；而由于每個語音包都要加解密，增加了語音延遲，導致了Id系數的增加。這樣我們在現實中就得采取某種折衷：根據安全需要采用耗時最少的加密算法以帶來語音質量的提升。除了語音質量外，實施IPSec對VoIP造成的另外一個影響是導致最大呼叫路數的降低。在試驗的語音網關上，加了IPSec后能呼起的路數大概只是原來的2/3左右。這一點很容易理解：因為網關的處理能力有限，不足以同時處理加了IPSec的最大呼叫量。

　　　3、結語

　　由于IP分組網本身和VoIP特有的安全脆弱性，VoIP安全問題對于VoIP應用來說至關重要。本文提出了保證VoIP安全的相關措施，就其中的一些措施給出了實際測量，顯示了在保證安全的同時，有時我們必須要犧牲一些相關的性能。相信隨著技術的不斷發展，VoIP在網絡上進行語音傳輸的安全性問題將會得到很好的解決。

文章作者：中國通訊世界網