Безопасность ip-телефонии — мифы и опровержения

VOIP, IP-телефония — система цифровой связи, обеспечивающей передачу голоса через IP-сети (локальные, интернет). Главные её преимущества — широкий функционал и простота внедрения. Многие с осторожностью относятся к её применению, оставаясь под влиянием устаревших предрассудков и мифов, которые и будут рассмотрены.

IP-телефония легко прослушивается

С момента своего появления IP-телефония обрела несколько технологий для защиты передаваемых данных:

• цифровой поток VOIP идёт по специальным выделенным сегментам сети, защищённым от внешних угроз;
• доступ к голосовому трафику ограничивается с помощью строгих правил на маршрутизаторах и файерволах (межсетевых экранах):
• активно применяются защищённые криптографическими ключами сети VPN (Virtual Private Network), прозрачно работающие в интернете;
• дополнительно используются закрытые протоколы шифрования (например, SecureRTP у Cisco).

Для совершения звонка клиент и сервер вначале обмениваются служебными данными, после них начинают передаваться голосовые данные. Для защиты служебных данных применяется протокол TLS (Transport Line Security), а для защиты голосовых данных — протокол SRTP (Secure Real Time Protocol).

Рисунок 1 Шифрование IP-телефонии

TLS — криптографический протокол для обеспечения защиты передаваемых данных между узлами в сети.

Протокол SRTP для защиты голосовых данных не влияет на качество связи — данные передаются в оригинальном виде. При использовании протокола SRTP каждый совершаемый звонок идентифицируется индивидуальным кодом, что делает невозможным его подмену и прослушивание.

При повышенных требованиях к безопасности VOIP звонков используются VPN-туннели. Содержание передаваемых данных в сети VPN доступно только авторизованным абонентам данной сети, у которых есть криптографический ключ, которым зашифрованы передаваемые данные. При этом известны и незначительные недостатки, которые учитывают при построении VPN-сетей:

• сложность сетевой структуры из-за использования промежуточных узлов шифрования данных;
• повышенная загрузка сетевого оборудования при расчете алгоритмов шифрования каждого передаваемого пакета данных;
• возможное снижение качества голосовой связи из-за введения дополнительных задержек на шифрование/дешифрование голосового пакета.

Рисунок 2 Пример работы CISCO Easy VPN

Возможна подмена телефонных номеров

Ранее были известны ситуации с подключением нелегальных VOIP-телефонов, имитирующих авторизованное устройство. Сейчас успешно работают следующие методы предотвращения несанкционированного доступа:

• установка строгих правил доступа в роутерах (в том числе и по MAC-адресу) для легального абонентского устройства с обеспечением его однозначной аутентификации;
• обеспечение аналогичной защиты и для сервера доступа (виртуальной IP-АТС) для отсечения доступа нелегальных серверов;
• авторизация в сети VOIP с помощью сертификатов RADIUS, X509.

Рисунок 3 Авторизация RADIUS в роутере CISCO CATALYST

Невысокое качество связи VOIP-телефонии

До настоящего времени это один из самых популярных мифов, берущий свое начало со времен медленных интернет-каналов с большими задержками на передачу цифрового сигнала. В то время нередки были проблемы с передачей звука (“металлический” голос, эхо, плавание громкости, выпадения слогов и фраз, делающие речь непонятной). В настоящее время сменилось несколько поколений оборудования, многократно выросли скорости каналов. Теперь, помимо беспроблемной передачи звука, без помех передается и видео.

Невысокая надежность IP-телефонии

Ранее считалось, что из-за хакерских атак на серверы IP-телефонии возможны обрывы связи. Сейчас известны и работает ряд средств защиты серверов, делающих невозможными такие ситуации:

• специальные настройки серверов, не дающих при DDOS-атаках осуществлять подмену IP-адреса;
• ограничение трафика на атакующий узел при обнаружении от него DDOS-атаки;
• установка жестких правил и ограничений для всех абонентов на ключевых серверах и узлах;
• разделение сегментов VOIP-сетей и общих сетей передачи данных.

CISCO предлагает подключение сервера системы контроля доступа CISCO ACS (CISCO Secure Access Control Server), который предлагает обеспечить безопасность совершения звонков:

• защиту междугородных разговоров от несанкционированного доступа;
• предотвращение атак DoS (Denial of Service);
• защиту от прослушивания чужих звонков.

Рисунок 4 Пример работы CISCO ACS в сети учебного заведения

Невысокий уровень защиты серверов IP-телефонии (VOIP-АТС)

Ранее были известны случаи взлома серверов IP-телефонии. Сейчас известны основные правила, при соблюдении которых такая возможность сведена к минимуму.

CISCO предлагает в межсетевых экранах дополнительные системы предотвращения вторжений (IPS) в виде встраиваемых модулей в маршрутизаторы и файерволы серий CISCO ASA  5500, Catalyst 6500.

Рисунок 5 Межсетевой экран ASA5545-K8 ASA 5545-X with SW, 8GE Data, 1GE Mgmt, AC, DES

Высокая стоимость оборудования VOIP-телефонии

В прошлом стоимость VOIP-терминалов (телефонов) была весьма высокой. За последние 10-15 лет их стоимость уменьшилась в несколько раз. С активным внедрением операторами связи виртуальных IP-АТС абонентам достаточно приобрести в офис только терминалы (телефоны), коммутацией вызовов будет управлять оператор на виртуальной IP-АТС. Стоимость офисных IP-АТС уменьшилась до приемлемых величин.

Рисунок 6 IP-телефонная станция Cisco BE 6000

Большие затраты рабочего времени на запуск VOIP-сети

Все предприятия сейчас телефонизированы. В инфраструктуру связи вложены средства, технологии изучены и привычны, осуществлять глобальную перестройку сети связи — затратно как по времени, так и по средствам. Штатный IT-специалист не обладает достаточными знаниями и не обладает свободным временем для осуществления глобальных изменений. Действительно, до недавнего времени настройка, администрирование IP-телефонии были труднодоступны из-за подобных страхов. В настоящее время эти проблемы решены и не представляют особой сложности:

• на переходный период устанавливаются аналоговые VOIP-шлюзы, конвертирующие аналоговый сигнал в цифровой и обратно;
• установкой и обслуживанием VOIP-сетей занимаются компании-интеграторы.

Системный интегратор ВИСТЛАН квалифицированно и в сжатые сроки устанавливает сети цифровой связи на основе многолетнего опыта.