加固网络安全来抑制VoIP风险

每个考虑部署VoIP电话系统的组织都听到过同样可怕的警告：“在数据网络上进行路由语音呼叫会将呼叫内容暴露给窃听者”。

尽管事实上，任何电话呼叫都承受着某种程度被窃听的风险，但VoIP呼叫系统真的本身就具有高风险？在本文中我们会探索VoIP窃听的来龙去脉。

VoIP窃听是可能的

首先澄清一件事情十分重要：窃听VoIP呼叫绝对是可能的。同样也可能窃听使用传统PSTN（publicswitchedtelephonenetwork，公共交换电话网络）的电话呼叫。两者的差别仅在于进行窃听所需的工具和技能集。

在传统的电话网络上，如果某人寻求窃听某个电话呼叫，通常至少在攻击的发起阶段必须物理上要么能访问电话、或是电话线缆。这种类型的攻击是电影中的典型。无论是好人或坏人实施该窃听，某人要么能接触电话听筒、或是电话网络接口箱，后者有时位于房子或办公室的外面，然后在箱子上放置一个窃听的监听设备，持续地监控电话呼叫内容。

可能的VoIP窃听通常遵循同样的过程，但利用了不同的工具。第一个要求是能访问承载语音呼叫的媒介。这个可能通过入侵VoIP电话、运行软电话设备的工作站、或是VoIP网络基础架构组件如网络交换机或线缆来达到目的。下一步，攻击者必须利用软件工具来捕获网络上的流量。类似于在传统窃听攻击中的窃听设备，网络嗅探工具例如开源工具Wireshark能捕捉穿过网络的所有数据报文，并且要么在线分析它们，或是写入到某个文件后离线分析。

最后，攻击者需要搞清楚捕获到的数据的意义。这需要能将数据报文转换为语音通话的翻译工具。同样，线上有可用的免费工具例如VOMIT和VoIPong，这些工具能帮助完成这个任务。

交换机安全至关重要

为减少像窃听这样的VoIP风险，网络管理员能做的最重要的事情之一，就是为网络交换机部署基本的安全控制。虽然终端安全很重要，但网络交换机是流量聚合的地方。大范围的窃听攻击很可能是通过恶意地使用交换机的span端口，相对于来自单个终端的语音流量，该端口能镜像穿过交换机的所有流量。

以下是一些交换机管理最佳实践，能帮助保护这个网络基础设施中重要的组件：

重要的是，确保交换机在物理上是安全地位于被锁着的房间，并有适当的访问控制。如果攻击者能物理上访问到交换机，那么已经全盘皆输了。

组织应为管理交换机和其它关键的基础设施设备使用分隔的网络。对于攻击者来说，他不应该能够通过访问一般目的的网络来尝试获得对网络设备管理端口的访问。

组织必须尽可能地经常更新交换机固件，以便将厂商纠正的已知漏洞打上补丁。

当然，比起这些基本的建议还有更多的事情可以做，从而确保交换机管理的安全。要想了解更多信息，请阅读我们有关交换机安全的文章。

加密技术大大减轻VoIP风险

加密技术也是在VoIP安全军火库中能找到的强大武器。现在所有主要的VoIP提供商都提供加密的能力，该方法使用密码学的技术来混淆发生在终端间的通信。即使设法使用网络嗅探器拦截语音通信，但没有对应的解密密钥，窃听者也无法解密所有经过加密的呼叫内容。

在部署VoIP加密技术前，确保先研究在你网络上应用该技术可能对网络提供服务质量造成的影响。加密要求大量的计算能力，并且如果没有由厂商正确的实施，有可能会降低网络上的呼叫语音质量。也就是说，加密技术是企业应该考虑部署的技术，特别是对于那些可能承载着高敏感度信息的线路来说。

如果组织决定使用加密技术做为网络上的安全措施，不能忽视使用合理的加密密钥管理实践这个需要。如果窃听者能访问企业的加密密钥，那他可以轻易地解密语音流量。

结论

正确防护的VoIP环境不会比传统的电话系统具有更多的风险。将牢固的网络安全与正确部署的加密技术相结合，你可以安全地在组织中充分利用VoIP技术。