Bảo vệ chống nghe lén - chúng tôi xây dựng điện thoại SIP an toàn bằng chính đôi tay của mình. Sau khi hoàn thành đào tạo. Xác thực trao đổi điện thoại

Ngày nay, vấn đề an ninh thông tin trên thế giới ngày càng trở nên cấp thiết. Trên các phương tiện truyền thông, bạn thường có thể bắt gặp tin tức về một cuộc tấn công thành công khác của hacker, một vụ rò rỉ dữ liệu quan trọng lớn hoặc một loại virus ransomware khác làm gián đoạn hoạt động của toàn bộ công ty. Ngay cả khi bạn là một người ở xa sự an toàn và bình yên thông tin công nghệ thông tin, thì bạn có thể đã nghe nói về virus “WannaCry”, các lỗ hổng “Spectre” và “Meltdown”, và thậm chí có thể về cuộc tấn công gần đây vào các thiết bị của Cisco, tấn công các nhà cung cấp lớn và làm tê liệt nhiều dịch vụ và phân khúc mạng.

Tuy nhiên, tin tức về các cuộc tấn công và lỗ hổng trên diện rộng nhằm vào các hệ thống cơ sở hạ tầng phổ biến nhất thường được công bố rộng rãi. Chúng tôi muốn nói về tình hình bảo mật thông tin trong một lĩnh vực riêng - giải pháp điện thoại IP và VoIP. Hãy xem xét các vấn đề quan trọng nhất và xu hướng phát triển trong lĩnh vực này.

Vấn đề bảo mật thông tin trong VoIP

Nếu như trước đây, khi lựa chọn xây dựng hệ thống điện thoại văn phòng, khách hàng quan tâm nhất đến vấn đề chi phí và độ tin cậy thì do tình hình hiện nay, vấn đề bảo vệ, an ninh ngày càng bắt đầu chiếm ưu thế. Mặc dù điện thoại IP có nhiều ưu điểm so với hệ thống điện thoại truyền thống nhưng nó lại dễ bị hack hơn nhiều. Trong trường hợp hệ thống PSTN truyền thống, kẻ tấn công phải có quyền truy cập vật lý vào phương tiện truyền dẫn hoặc các hệ thống có liên quan đến việc trao đổi thông tin giọng nói. Điện thoại IP chủ yếu là một mạng có chuyển mạch gói, được truyền cùng với các dịch vụ khác của công ty - Internet, thư và các dịch vụ khác. Nếu mạng này không được bảo vệ đầy đủ thì kẻ tấn công thậm chí không cần phải ở cùng quốc gia với hệ thống điện thoại IP để có quyền truy cập vào dữ liệu quan trọng, đánh cắp hoặc sửa đổi dữ liệu đó.

Đó là lý do tại sao cần cung cấp bảo vệ đa cấp cho hệ thống điện thoại IP của công ty. Chỉ đặt mật khẩu mạnh cho giao diện quản lý là chưa đủ. Đây phải là một tập hợp rõ ràng các biện pháp cụ thể được sử dụng kết hợp - tường lửa, bảo vệ chống vi-rút, cập nhật thường xuyên phần mềm, mã hóa dữ liệu được truyền và hơn thế nữa.

Cần chú ý đặc biệt đến việc nâng cao nhận thức của nhân viên về các cuộc tấn công từ danh mục kỹ thuật xã hội. Một trong những vectơ tấn công phổ biến nhất thuộc loại này ngày nay là "lừa đảo". Bản chất của nó nằm ở chỗ kẻ tấn công gửi “chuỗi thư” kèm theo các tệp đính kèm độc hại, với hy vọng người đó sẽ mở tệp đính kèm này và từ đó tải phần mềm độc hại xuống máy tính của họ. Bạn có thể tự bảo vệ mình khỏi các cuộc tấn công như vậy ở nhiều cấp độ cùng một lúc:

1. Tường lửa nơi địa chỉ người gửi email lừa đảo phải bị chặn. Bạn có thể tự động hóa quy trình lấy danh sách cập nhật địa chỉ của những người gửi đang hoạt động để chặn trên tường lửa bằng các giải pháp Thông tin về mối đe dọa. Có cả hai giải pháp trả phí từ các công ty như Anomali, ThreatConnect hoặc EclecticIQ và OpenSource như YETI và MISP.
2. Giải pháp bảo vệ máy chủ thư giúp kiểm tra tất cả các thư để tìm các tệp đính kèm đáng ngờ, địa chỉ người gửi và chặn thư rác. Ví dụ về các giải pháp như vậy là Bảo mật Kaspersky dành cho máy chủ thư, AVG Email Server Edition dành cho ME, McAfee Security dành cho Máy chủ Email. Nhân tiện, trong trường hợp này cũng có thể tự động hóa quy trình chặn bằng giải pháp TI.
3. Phần mềm chống vi-rút để bảo vệ các điểm cuối, phần mềm này sẽ chặn tệp đính kèm nguy hiểm nếu phần mềm độc hại tìm cách vượt qua tường lửa và máy chủ thư. Kaspersky Endpoint Security, Norton, Trend Micro và những sản phẩm khác phù hợp cho việc này.

Nhưng nếu bạn có thể tự bảo vệ mình khỏi lừa đảo bằng cách sử dụng chương trình chuyên ngành và các giải pháp phần cứng, các loại tấn công kỹ thuật xã hội sau đây khó chống lại hơn nhiều. Có thể bạn chưa biết nhưng ngoài “lừa đảo” qua email truyền thống, còn có lừa đảo qua điện thoại. Ví dụ: một nhân viên trong công ty của bạn có thể nhận được một tin nhắn thư thoại từ “ngân hàng” cho biết ai đó đã cố truy cập vào tài khoản của anh ấy và anh ấy cần gọi gấp đến số mà anh ấy đã để lại. Không khó để đoán rằng ở đầu dây bên kia, một kẻ tấn công sẽ đợi anh ta, kẻ này sẽ cố gắng làm mọi cách để lấy lòng tin của anh ta, đánh cắp thông tin tài khoản của anh ta và cuối cùng là đánh cắp tiền.

Ngoài ra còn có dịch vụ gọi điện thoại. Kiểu tấn công này nhắm vào tuyến nhân viên đầu tiên nhận tất cả các cuộc gọi đến trong công ty của bạn. TRÊN phòng chung một cuộc gọi đến từ một tổ chức hoặc cá nhân nổi tiếng nào đó, sau đó dùng các phương pháp gây áp lực tâm lý, nhân viên cả tin buộc phải làm điều gì đó. Chớm ban đầu kịch bản hay nhất, người gọi sẽ mạnh mẽ yêu cầu được kết nối với ban quản lý của công ty để cung cấp một số dịch vụ, trong trường hợp xấu nhất là cung cấp thông tin bí mật hoặc quan trọng. Điều gì sẽ xảy ra nếu kẻ tấn công phát hiện ra ngân hàng nào phục vụ công ty của bạn và gọi nhân viên kế toán thay mặt cho “ngân hàng của bạn”? Bạn cũng cần phải chuẩn bị cho việc này.

Có thể bảo vệ chống lại kiểu tấn công này bằng cách sử dụng một số loại tương tự của Thông tin về mối đe dọa cho VoIP - một danh sách các số điện thoại mà từ đó nhận được các cuộc gọi “lừa đảo” và “vishing” để chặn chúng trên PBX. Tuy nhiên, vẫn chưa có giải pháp nào như vậy nên nhân viên sẽ phải được đào tạo về chủ đề an toàn.

Bảo mật đám mây

Bây giờ thật khó để xác định ranh giới rõ ràng mạng văn phòng. Với sự phân phối giải pháp đám mây, phân phối Mạng VPN và ảo hóa nói chung, mạng công ty đã không còn có vị trí địa lý rõ ràng.

Tình hình cũng tương tự trong lĩnh vực VoIP. Mỗi nhà cung cấp điện thoại IP lớn đều có một tổng đài đám mây trong phạm vi dịch vụ của mình, được thiết lập trong vài phút và có khả năng cung cấp điện thoại cho một công ty ở mọi quy mô và bất kể vị trí địa lý của nó. Điện toán đám mây hoặc tổng đài ảo là giải pháp rất tiện lợi, thu hút khách hàng vì không cần phải giữ thêm máy chủ trong tòa nhà và bảo trì chúng. Thay vào đó, bạn chỉ cần thuê dung lượng máy chủ hoặc dịch vụ điện thoại cần thiết. Tuy nhiên, từ quan điểm bảo mật thông tin, tổng đài đám mây là mục tiêu lý tưởng cho các cuộc tấn công của hacker. Bởi vì, theo quy định, các tài khoản để truy cập cài đặt PBX đều được cung cấp công khai. Nếu chủ tài khoản không thèm tạo một mật khẩu mạnh, thì anh ta có nguy cơ phải trả một hóa đơn khổng lồ cho các cuộc trò chuyện qua điện thoại của kẻ tấn công hoặc cung cấp quyền truy cập vào bản ghi âm các cuộc trò chuyện của nhân viên của anh ta. Về vấn đề này, khi chọn nhà cung cấp, bạn cũng nên kiểm tra xem nhà cung cấp đó có cung cấp các biện pháp bổ sung để bảo vệ tính toàn vẹn và bảo mật của dữ liệu hay không. Mã hóa được sử dụng khi kết nối với tài khoản có cài đặt PBX trên nền tảng đám mây và liệu dữ liệu có được mã hóa trong quá trình vận chuyển hay không.

Xu hướng phát triển bảo mật thông tin trong VoIP

Phương pháp phổ biến nhất để bảo vệ cơ sở hạ tầng của công ty là tổ chức một mạng VPN an toàn, khi các kết nối từ bên ngoài được thực hiện qua kênh được mã hóa và dữ liệu trong mạng được truyền đi không được mã hóa. Điều này cũng áp dụng cho lưu lượng thoại. Tuy nhiên, xu hướng phát triển của công nghệ thông tin cho thấy trong tương lai gần, thông tin giọng nói cũng sẽ được mã hóa. Hầu hết các nhà cung cấp VoIP từ lâu đã triển khai các giải pháp hỗ trợ các giao thức như SIP/TLS, SRTP, ZRTP, v.v., khuyến khích người dùng triển khai một mức độ bảo vệ khác. Ví dụ: hầu hết các điện thoại IP và giải pháp hội nghị truyền hình của Cisco, cũng như các hệ thống CUCM, CUBE, Cisco SBC, UCCS, v.v. đều hỗ trợ TLS 1.2 và SRTP. Giải pháp IP-PBX nguồn mở phổ biến nhất, Asterisk, có hỗ trợ các giao thức an toàn để truyền lưu lượng phương tiện bắt đầu từ phiên bản 1.8. Trong phiên bản phần mềm PBX dựa trên Windows 3CX V15, hỗ trợ SRTP được bật theo mặc định.

Các giải pháp VoIP thường được tích hợp rất chặt chẽ với các hệ thống khác của doanh nghiệp như CRM, ERP, CMS, chưa kể các kênh liên lạc kinh doanh như email, Exchange tin nhắn tức thời(trò chuyện) và mạng xã hội, cùng nhau hình thành nên khái niệm UC (Truyền thông hợp nhất). Những lợi ích tiềm tàng mà khái niệm này mang lại rất hấp dẫn nhưng đồng thời cũng tạo ra nhiều điểm dễ bị hacker tấn công. Mức độ không đủ bảo vệ một trong số họ có thể là mối đe dọa cho tất cả Mạng lưới công ty. Vì vậy, các nhà phát triển chắc chắn sẽ tăng cường tính bảo mật của các kênh tích hợp cho các hệ thống này.

Bạn cũng có thể mong đợi sự tích hợp hệ thống điện thoại công ty trong các công cụ bảo vệ như DLP (công cụ bảo vệ rò rỉ), điều chỉnh số liệu VoIP trong hệ thống SIEM (hệ thống quản lý sự kiện và thông tin bảo mật), cũng như sự xuất hiện của cơ sở dữ liệu danh tiếng thống nhất (Threat Intelligence) với danh sách các số nguy hiểm tiềm tàng hoặc các chỉ số khác về sự thỏa hiệp liên quan đến VoIP, sẽ tự động bị chặn bởi các biện pháp bảo mật hiện có.

Bài viết này có hữu ích cho bạn không?

Xin vui lòng cho tôi biết tại sao?

Chúng tôi rất tiếc vì bài viết không hữu ích cho bạn: (Xin vui lòng, nếu không khó, hãy cho biết lý do? Chúng tôi sẽ rất biết ơn nếu có câu trả lời chi tiết. Cảm ơn bạn đã giúp chúng tôi trở nên tốt hơn!

Một bài viết rất thú vị về bảo mật trong điện thoại IP đã được đăng trên trang web linkmeup.ru. Có thể nói, chúng tôi đang đăng nó mà không có thay đổi nào từ tác giả.

=======================

Xin chào các đồng nghiệp và bạn bè, tôi, Vadim Semenov, cùng với nhóm dự án network-class.net, trình bày một bài viết đánh giá đề cập đến các xu hướng và mối đe dọa chính trong điện thoại IP và quan trọng nhất là các công cụ bảo vệ đó khoảnh khắc nàyđược nhà sản xuất cung cấp như một biện pháp bảo vệ (theo ngôn ngữ của các chuyên gia bảo mật, hãy xem xét những công cụ nào nhà sản xuất cung cấp để giảm thiểu các lỗ hổng có thể bị khai thác bởi các cá nhân bất hợp pháp). Vì vậy, ít từ hơn - hãy bắt tay vào công việc.
Đối với nhiều độc giả, thuật ngữ điện thoại IP đã hình thành từ lâu và thực tế là chiếc điện thoại này“tốt hơn”, rẻ hơn so với điện thoại công cộng (PSTN), giàu chức năng bổ sung đa dạng, v.v. Và điều này đúng, tuy nhiên... một phần. Khi chúng ta chuyển từ điện thoại analog (kỹ thuật số) sang đường dây thuê bao(từ điện thoại thuê bao tới trạm hoặc phần mở rộng của trạm) và đường kết nối (đường liên lạc giữa các trạm) không chỉ nằm trong vùng truy cập và điều khiển của nhà cung cấp dịch vụ điện thoại. Nói cách khác, người bình thường không có quyền truy cập vào đó (hoặc thực tế là như vậy, nếu bạn không tính đến ống dẫn cáp). Tôi nhớ một câu hỏi trên diễn đàn hacker cũ: “Hãy cho tôi biết cách truy cập vào PBX? - trả lời: “Chà, bạn lấy một chiếc máy ủi, tông vào bức tường của tòa nhà tổng đài điện thoại và thì đấy.” Và trò đùa này có phần đúng sự thật) Tuy nhiên, với việc chuyển điện thoại sang môi trường IP giá rẻ, chúng tôi cũng nhận được thêm những mối đe dọa mà môi trường IP mở đặt ra. Một ví dụ về các mối đe dọa có được là như sau:

• Đánh hơi các cổng tín hiệu để thực hiện cuộc gọi thu phí bằng chi phí của người khác
• Nghe lén bằng cách chặn các gói thoại IP
• Chặn cuộc gọi, người dùng bất hợp pháp giả làm người dùng hợp pháp, tấn công trung gian
• DDOS tấn công vào các máy chủ báo hiệu trạm để vô hiệu hóa tất cả điện thoại
• Tấn công thư rác, gửi một số lượng lớn các cuộc gọi ảo đến một trạm để chiếm hết tài nguyên miễn phí của nó

Mặc dù rõ ràng cần phải loại bỏ tất cả các lỗ hổng có thể xảy ra để giảm khả năng xảy ra một cuộc tấn công cụ thể, nhưng trên thực tế, việc thực hiện các biện pháp bảo vệ nhất định phải bắt đầu bằng việc lập ra một lịch trình có tính đến chi phí thực hiện các biện pháp bảo vệ chống lại một mối đe dọa cụ thể. và tổn thất của doanh nghiệp do những kẻ tấn công thực hiện mối đe dọa này. Rốt cuộc, thật ngu ngốc khi chi nhiều tiền hơn cho sự an toàn của một tài sản hơn là giá trị của chính tài sản mà chúng ta đang bảo vệ.
Sau khi xác định được ngân sách bảo mật, chúng ta sẽ bắt đầu loại bỏ chính xác những mối đe dọa có thể xảy ra nhất đối với công ty; ví dụ, đối với một tổ chức nhỏ, điều đau đớn nhất là nhận được một hóa đơn lớn cho đường dài không hoàn hảo và các cuộc gọi quốc tế, trong khi đối với các công ty đại chúng, điều quan trọng nhất là giữ bí mật các cuộc trò chuyện. Chúng ta hãy bắt đầu xem xét dần dần trong bài viết hiện tại với những điều cơ bản - đây là quy định một cách an toàn truyền dữ liệu dịch vụ từ trạm tới điện thoại. Tiếp theo, chúng ta sẽ xem xét việc xác thực điện thoại trước khi kết nối chúng với trạm, xác thực trạm từ điện thoại và mã hóa lưu lượng báo hiệu (để ẩn thông tin về ai đang gọi và ở đâu) cũng như mã hóa lưu lượng hội thoại.
Nhiều nhà sản xuất thiết bị thoại (bao gồm cả Cisco Systems) đã có sẵn các công cụ bảo mật tích hợp, từ hạn chế thông thường về phạm vi địa chỉ IP mà từ đó cuộc gọi có thể được thực hiện đến việc xác thực thiết bị cuối bằng chứng chỉ. Ví dụ: nhà sản xuất Cisco Systems với dòng sản phẩm thoại CUCM (Cisco Unified CallManager) đã bắt đầu tích hợp chức năng “Bảo mật theo mặc định” từ phiên bản sản phẩm 8.0 (ngày phát hành tháng 5 năm 2010; phiên bản 10.5 ngày 5 tháng 5 năm 2014 hiện có sẵn). Nó bao gồm những gì:

• Xác thực tất cả các tệp được tải xuống qua/từ TFTP (tệp cấu hình, tệp chương trình cơ sở cho điện thoại, v.v.)
• Mã hóa tập tin cấu hình
• Kiểm tra chứng chỉ bằng điện thoại đang khởi tạo kết nối HTTPS

Chúng ta hãy xem một ví dụ về cuộc tấn công “man in the middle”, khi một người bất hợp pháp chặn các tập tin cấu hình cho điện thoại, từ đó điện thoại sẽ biết nên đăng ký với trạm nào, hoạt động trên giao thức nào, tải xuống chương trình cơ sở nào, v.v. Sau khi chặn tệp, kẻ tấn công sẽ có thể tự mình thực hiện các thay đổi đối với tệp đó hoặc xóa hoàn toàn tệp cấu hình, do đó ngăn điện thoại của toàn bộ văn phòng (xem hình) đăng ký tại trạm và do đó, tước quyền truy cập của văn phòng. khả năng thực hiện cuộc gọi.

Hình 1 Tấn công trung gian

Để bảo vệ khỏi điều này, chúng tôi cần có kiến ​​thức về mã hóa bất đối xứng, cơ sở hạ tầng khóa công khai và hiểu biết về các thành phần của Bảo mật theo mặc định mà giờ đây chúng tôi sẽ giới thiệu: Danh sách tin cậy nhận dạng (ITL) và Dịch vụ xác minh tin cậy (TVS). TVS là dịch vụ được thiết kế để xử lý các yêu cầu từ điện thoại IP không có tệp ITL hoặc CTL trong bộ nhớ trong. Điện thoại IP liên hệ với TVS nếu nó cần đảm bảo liệu nó có thể tin tưởng vào một dịch vụ cụ thể hay không trước khi bắt đầu truy cập dịch vụ đó. Trạm còn đóng vai trò là kho lưu trữ các chứng chỉ máy chủ đáng tin cậy. Ngược lại, ITL là danh sách khóa chung của các thành phần tạo nên cụm trạm, nhưng đối với chúng tôi, điều quan trọng là khóa chung được lưu trữ ở đó máy chủ TFTP và khóa công khai của dịch vụ TVS. Tại tải xuống ban đầuđiện thoại, khi điện thoại đã nhận được địa chỉ IP và địa chỉ máy chủ TFTP, nó sẽ yêu cầu sự hiện diện của tệp ITL (Hình 2). Nếu nó ở trên máy chủ TFTP, thì tin tưởng một cách mù quáng, nó sẽ tải nó lên máy chủ của nó. bộ nhớ trong và lưu trữ cho đến lần khởi động lại tiếp theo. Sau khi tải xuống tệp ITL, điện thoại sẽ yêu cầu tệp cấu hình đã được ký.

Bây giờ, hãy xem cách chúng ta có thể sử dụng các công cụ mã hóa - ký một tệp bằng hàm băm MD5 hoặc SHA và mã hóa bằng khóa riêng của máy chủ TFTP (Hình 3). Điều đặc biệt của hàm băm là chúng là hàm một chiều. Dựa trên hàm băm nhận được từ bất kỳ tệp nào, không thể thực hiện thao tác ngược lại và nhận được chính xác tập tin gốc. Khi một tập tin được thay đổi, hàm băm thu được từ tập tin này cũng thay đổi. Điều đáng chú ý là hàm băm không được ghi vào chính tệp mà chỉ được thêm vào tệp và truyền đi cùng với tệp.

Hình 3 Ký vào tập tin cấu hình điện thoại

Khi hình thành chữ ký, chính tệp cấu hình sẽ được lấy, hàm băm được trích xuất từ ​​​​nó và được mã hóa bằng khóa riêng của máy chủ TFTP (chỉ máy chủ TFTP mới có).
Khi nhận được tệp cài đặt này, ban đầu điện thoại sẽ kiểm tra tính toàn vẹn của nó. Chúng ta nhớ rằng hàm băm là chức năng một chiều, vì vậy điện thoại không còn gì để làm ngoại trừ việc tách hàm băm được mã hóa bởi máy chủ TFTP khỏi tệp cấu hình, giải mã nó bằng khóa công khai TFTP (và làm sao điện thoại IP biết được nó). ? - và chỉ từ tệp ITL ), từ một tệp cấu hình sạch, tính toán hàm băm và so sánh nó với những gì chúng tôi nhận được trong quá trình giải mã. Nếu hàm băm khớp, điều đó có nghĩa là không có thay đổi nào được thực hiện đối với tệp trong quá trình truyền và tệp có thể được sử dụng một cách an toàn trên điện thoại (Hình 4).

Hình 4 Kiểm tra tệp cấu hình bằng điện thoại IP

Tệp cấu hình đã ký cho điện thoại được hiển thị bên dưới:

Cơm. 5 Tệp điện thoại IP đã ký trong Wireshark

Bằng cách ký vào tệp cấu hình, chúng tôi có thể đảm bảo tính toàn vẹn của tệp cài đặt được chuyển nhưng chúng tôi không bảo vệ tệp đó khỏi bị xem. Bạn có thể nhận được khá nhiều thứ từ tệp cấu hình đã chụp thông tin hữu ích, ví dụ như địa chỉ IP trao đổi qua điện thoại(trong ví dụ của chúng tôi là 192.168.1.66) và cổng mở tại ga (2427), v.v. Thế chưa đủ sao? Thông tin quan trọng, thứ mà bạn không muốn chỉ “tỏa sáng” trên Internet? Để che giấu thông tin này, nhà sản xuất cung cấp việc sử dụng mã hóa đối xứng(cùng một khóa được sử dụng để mã hóa và giải mã). Trong một trường hợp, khóa có thể được nhập vào điện thoại theo cách thủ công; trong trường hợp khác, tệp cấu hình của điện thoại được mã hóa tại trạm bằng khóa chung của điện thoại. Trước khi gửi tệp tới điện thoại, máy chủ tftp nơi tệp này được lưu trữ sẽ mã hóa tệp bằng khóa chung của điện thoại và ký tên bằng khóa riêng của nó (do đó chúng tôi đảm bảo không chỉ tính bí mật mà còn cả tính toàn vẹn của tệp được truyền). Điều chính ở đây là không nên nhầm lẫn về việc ai đang sử dụng khóa nào, mà hãy thực hiện theo thứ tự: máy chủ tftp, bằng cách mã hóa tệp bằng khóa chung của điện thoại IP, đảm bảo rằng chỉ chủ sở hữu của khóa chung được ghép nối có thể mở tập tin này. Bằng cách ký vào tệp bằng khóa riêng của nó, máy chủ tftp xác nhận rằng chính anh ta là người đã tạo ra nó. Tệp được mã hóa được hiển thị trong Hình 6:

Hình 6 Tệp điện thoại IP được mã hóa

Vì vậy, tại thời điểm này, chúng tôi đã xem xét việc bảo vệ các tệp cấu hình điện thoại của mình khỏi bị xem và đảm bảo tính toàn vẹn của chúng. Đây là lúc chức năng Bảo mật theo mặc định kết thúc. Để đảm bảo mã hóa lưu lượng thoại, ẩn thông tin báo hiệu (về ai đang gọi và gọi ở đâu) cần thiết công cụ bổ sung, dựa trên danh sách các chứng chỉ tin cậy - CTL mà chúng tôi sẽ xem xét tiếp theo.

Xác thực trao đổi điện thoại

Khi điện thoại cần liên lạc với tổng đài điện thoại (ví dụ: để đàm phán kết nối TLS để trao đổi tín hiệu), điện thoại IP cần xác thực tổng đài. Như bạn có thể đoán, chứng chỉ cũng được sử dụng rộng rãi để giải quyết vấn đề này. Hiện tại, các trạm IP hiện đại bao gồm một số lượng lớn các thành phần: một số máy chủ báo hiệu để xử lý cuộc gọi, một máy chủ quản trị chuyên dụng (điện thoại mới, người dùng, cổng, quy tắc định tuyến, v.v. được thêm vào thông qua nó), một máy chủ TFTP chuyên dụng cho lưu trữ các tập tin cấu hình và phần mềm cho điện thoại, máy chủ phát nhạc chờ... Ngoài ra, hạ tầng thoại có thể bao gồm thư thoại, máy chủ xác định trạng thái hiện tại của thuê bao (trực tuyến, ngoại tuyến, “lúc ăn trưa”). - danh sách này rất ấn tượng và quan trọng nhất là mọi máy chủ đều có chứng chỉ tự ký riêng và mỗi máy chủ đóng vai trò là cơ quan chứng nhận gốc (Hình 7). Vì lý do này, bất kỳ máy chủ nào trong cơ sở hạ tầng thoại sẽ không tin cậy chứng chỉ của máy chủ khác, ví dụ: máy chủ thoại không tin cậy máy chủ TFTP, thư thoại không tin cậy máy chủ báo hiệu và ngoài ra, điện thoại phải lưu trữ chứng chỉ của tất cả các phần tử tham gia trao đổi lưu lượng báo hiệu. Chứng chỉ trao đổi điện thoại được thể hiện trong Hình 7.

Hình 7 Chứng chỉ trạm IP Cisco tự ký

Đối với các nhiệm vụ thiết lập mối quan hệ tin cậy giữa các thành phần được mô tả ở trên trong cơ sở hạ tầng thoại, cũng như mã hóa lưu lượng thoại và tín hiệu, cái gọi là Danh sách tin cậy chứng chỉ (CTL) sẽ phát huy tác dụng. CTL chứa tất cả các chứng chỉ tự ký của tất cả các máy chủ trong cụm trạm thoại, cũng như những máy chủ tham gia trao đổi tin nhắn báo hiệu điện thoại (ví dụ: tường lửa) và tệp này được ký bằng khóa riêng của cơ quan chứng nhận đáng tin cậy (Hình 8). Tệp CTL tương đương với các chứng chỉ đã cài đặt được sử dụng trong trình duyệt web khi làm việc với giao thức https.

Hình.8 Danh sách các chứng chỉ tin cậy

Để tạo tệp CTL trên Thiết bị của Cisco, bạn sẽ cần một PC có đầu nối USB, chương trình máy khách CTL được cài đặt trên đó và chính Mã thông báo bảo mật quản trị viên trang (SAST) (Hình 9), chứa khóa riêng và chứng chỉ X.509v3 được ký bởi xác thực của nhà sản xuất trung tâm (Cisco).

Hình 9 eToken Cisco

Máy khách CTL là một chương trình được cài đặt trên PC Windows và bạn có thể chuyển TOÀN BỘ tổng đài điện thoại sang chế độ được gọi là chế độ hỗn hợp, nghĩa là chế độ hỗn hợp hỗ trợ đăng ký thiết bị đầu cuối ở chế độ an toàn và không an toàn. Chúng tôi khởi chạy ứng dụng khách, chỉ định địa chỉ IP của tổng đài điện thoại, nhập thông tin đăng nhập/mật khẩu của quản trị viên và ứng dụng khách CTL thiết lập kết nối TCP trên cổng 2444 với trạm (Hình 10). Sau đó, chỉ có hai hành động sẽ được đưa ra:

Hình 10 Máy khách Cisco CTL

Sau khi tạo tệp CTL, tất cả những gì còn lại là khởi động lại máy chủ TFTP để chúng tải xuống tệp CTL mới được tạo, sau đó khởi động lại máy chủ thoại để điện thoại IP cũng khởi động lại và tải xuống tệp CTL mới (32 kilobyte). Có thể xem tệp CTL đã tải xuống từ cài đặt điện thoại IP (Hình 11)

Hình 11 Tệp CTL trên điện thoại IP

Xác thực điểm cuối

Để đảm bảo rằng chỉ các điểm cuối đáng tin cậy mới được kết nối và đăng ký, xác thực thiết bị phải được triển khai. Trong trường hợp này, nhiều nhà sản xuất sử dụng một phương pháp đã được chứng minh - xác thực thiết bị bằng chứng chỉ (Hình 12). Ví dụ: trong kiến ​​trúc giọng nói của Cisco, điều này được triển khai như sau: có hai loại chứng chỉ để xác thực với khóa chung và khóa riêng tương ứng được lưu trữ trên điện thoại:
Chứng chỉ do nhà sản xuất cài đặt – (MIC). Chứng chỉ do nhà sản xuất cài đặt chứa khóa 2048 bit, được cơ quan chứng nhận của nhà sản xuất (Cisco) ký. Chứng chỉ này không được cài đặt trên tất cả các kiểu điện thoại và nếu nó được cài đặt thì không cần phải có chứng chỉ khác (LSC).
Chứng chỉ quan trọng cục bộ – (LSC) Chứng chỉ có ý nghĩa cục bộ chứa khóa chung của điện thoại IP, được ký bằng khóa riêng của trung tâm xác thực cục bộ, chạy trên chính tổng đài điện thoại, Chức năng ủy quyền cấp chứng chỉ (CAPF).
Vì vậy, nếu chúng ta có điện thoại cài đặt sẵn chứng chỉ MIC thì mỗi khi điện thoại đăng ký với một đài, trạm đó sẽ yêu cầu chứng chỉ được nhà sản xuất cài đặt sẵn để xác thực. Tuy nhiên, nếu MIC bị hỏng thì việc thay thế đòi hỏi phải liên hệ với trung tâm chứng nhận của nhà sản xuất, việc này có thể mất rất nhiều thời gian. Để không phụ thuộc vào thời gian phản hồi của cơ quan chứng nhận của nhà sản xuất trong việc cấp lại chứng chỉ điện thoại bị xâm phạm, tốt nhất nên sử dụng chứng chỉ địa phương.

Hình 12 Chứng chỉ xác thực thiết bị đầu cuối

Theo mặc định, chứng chỉ LSC không được cài đặt trên điện thoại IP và việc cài đặt nó có thể được thực hiện bằng chứng chỉ MIB (nếu có) hoặc thông qua kết nối TLS (Bảo mật lớp truyền tải) bằng khóa chung chung do quản trị viên tạo thủ công tại điện thoại IP. trạm và nhập vào điện thoại.
Quá trình cài đặt chứng chỉ có ý nghĩa cục bộ (LSC) trên điện thoại chứa khóa chung của điện thoại được cơ quan chứng nhận địa phương ký được thể hiện trong Hình 13:

Hình 13 Quá trình cài đặt chứng chỉ LSC hợp lệ cục bộ

1. Sau khi tải yêu cầu điện thoại IP danh sách đáng tin cậy chứng chỉ (tệp CTL) và tệp cấu hình
2. Trạm gửi các tập tin được yêu cầu
3. Từ cấu hình nhận được, điện thoại sẽ xác định xem có cần tải xuống chứng chỉ quan trọng cục bộ (LSC) từ trạm hay không
4. Nếu tại trạm chúng tôi thiết lập cho điện thoại cài đặt chứng chỉ LSC (xem bên dưới), trạm sẽ sử dụng chứng chỉ này để xác thực điện thoại IP này thì chúng tôi phải đảm bảo rằng khi có yêu cầu cấp chứng chỉ LSC, trạm sẽ phát hành nó cho người đó, người mà nó dự định. Với những mục đích này, chúng tôi có thể sử dụng chứng chỉ MIC (nếu có), tạo mật khẩu một lầnđến từng điện thoại và nhập thủ công trên điện thoại hoặc hoàn toàn không sử dụng ủy quyền.
Ví dụ này minh họa quá trình cài đặt LSC bằng cách sử dụng

Được cung cấp bởi SEO CMS phiên bản: 23.1 TOP 2 (opencartadmin.com)

Cung cấp bảo mật hệ thống Các chức năng sau được sử dụng:

• Ngăn chặn truy cập mạng trái phép bằng cách sử dụng từ mã được chia sẻ. Từ mã được tính toán đồng thời bằng cách sử dụng các thuật toán tiêu chuẩn trên hệ thống bắt đầu và kết thúc, và các kết quả thu được sẽ được so sánh. Khi kết nối được thiết lập, mỗi hệ thống điện thoại IP ban đầu sẽ xác định hệ thống kia; Nếu xảy ra ít nhất một kết quả âm tính, kết nối sẽ bị chấm dứt.
• Danh sách truy cập bao gồm tất cả các cổng điện thoại IP đã biết.
• Ghi lại các từ chối truy cập.
• Chức năng bảo mật giao diện quyền truy cập, bao gồm kiểm tra ID người dùng và mật khẩu với quyền truy cập đọc/ghi hạn chế, kiểm tra quyền truy cập vào máy chủ WEB đặc biệt để quản trị.
• Các tính năng bảo mật cuộc gọi bao gồm xác minh ID người dùng và mật khẩu (tùy chọn), trạng thái người dùng, hồ sơ thuê bao.

Khi một cổng thiết lập kết nối với một cổng khác trong vùng của nó, việc xác minh tùy chọn ID người dùng và mật khẩu sẽ được thực hiện. Người dùng có thể bị tước quyền truy cập bất cứ lúc nào.

Thật vậy, trong quá trình phát triển giao thức IP, các vấn đề bảo mật thông tin đã không được chú ý đúng mức, nhưng theo thời gian, tình hình đã thay đổi và ứng dụng hiện đại Mạng dựa trên IP có đủ cơ chế bảo mật. Và các giải pháp trong lĩnh vực điện thoại IP không thể tồn tại nếu không triển khai các công nghệ xác thực và ủy quyền tiêu chuẩn, kiểm soát tính toàn vẹn và mã hóa, v.v. Để rõ ràng, chúng ta hãy xem xét các cơ chế này vì chúng được sử dụng ở các giai đoạn khác nhau của việc tổ chức một cuộc trò chuyện qua điện thoại, bắt đầu bằng việc nhấc máy và kết thúc bằng tín hiệu gác máy.

1. Bộ điện thoại.

Trong điện thoại IP, trước khi điện thoại gửi tín hiệu thiết lập kết nối, thuê bao phải nhập ID và mật khẩu của mình để truy cập thiết bị và các chức năng của thiết bị. Xác thực này cho phép bạn chặn mọi hành động của người ngoài và không phải lo lắng rằng người dùng của người khác sẽ gọi đến thành phố hoặc quốc gia khác và bạn sẽ phải chịu chi phí.

2. Thiết lập kết nối.

Sau khi quay số, tín hiệu thiết lập kết nối sẽ được gửi đến máy chủ điều khiển cuộc gọi tương ứng, tại đây toàn bộ dòng kiểm tra an ninh. Bước đầu tiên là xác minh tính xác thực của chính điện thoại - cả thông qua việc sử dụng giao thức 802.1x và thông qua chứng chỉ khóa chung được tích hợp vào cơ sở hạ tầng điện thoại IP. Kiểm tra này cho phép bạn cách ly các điện thoại IP trái phép được cài đặt trên mạng, đặc biệt là trong mạng có địa chỉ động. Hiện tượng tương tự như các tổng đài khét tiếng của Việt Nam đơn giản là không thể xảy ra trong điện thoại IP (tất nhiên, với điều kiện bạn phải tuân thủ các quy tắc xây dựng mạng an toàn). giao tiếp qua điện thoại).

Tuy nhiên, vấn đề không chỉ giới hạn ở việc xác thực số điện thoại - cần phải tìm hiểu xem thuê bao có quyền gọi đến số mình đã gọi hay không. Đây không hẳn là một cơ chế bảo mật mà là một biện pháp ngăn chặn gian lận. Nếu kỹ sư của công ty không được phép sử dụng liên lạc đường dài, thì quy tắc tương ứng sẽ ngay lập tức được ghi lại vào hệ thống quản lý cuộc gọi và bất kể nỗ lực đó được thực hiện từ điện thoại nào, nỗ lực đó sẽ bị dừng ngay lập tức. Ngoài ra, bạn có thể chỉ định mặt nạ hoặc dãy số điện thoại mà một người dùng cụ thể có quyền gọi.

Trong trường hợp điện thoại IP, các vấn đề liên lạc tương tự như tình trạng quá tải đường truyền trong điện thoại analog là không thể xảy ra: với thiết kế mạng phù hợp với các kết nối dự phòng hoặc sự trùng lặp của máy chủ điều khiển cuộc gọi, lỗi của các thành phần cơ sở hạ tầng điện thoại IP hoặc tình trạng quá tải của chúng không có tác động tiêu cực. ảnh hưởng tới hoạt động của mạng.

3. Trò chuyện qua điện thoại.

Trong điện thoại IP, giải pháp cho vấn đề bảo vệ chống nghe lén đã được cung cấp ngay từ đầu. Cấp độ cao tính bảo mật của thông tin liên lạc qua điện thoại được đảm bảo bằng các thuật toán và giao thức đã được chứng minh (DES, 3DES, AES, IPSec, v.v.) mà gần như hoàn toàn không có chi phí cho việc tổ chức bảo vệ đó - tất cả các cơ chế cần thiết (mã hóa, kiểm soát tính toàn vẹn, băm, trao đổi khóa, v.v.) đã được triển khai trong các thành phần cơ sở hạ tầng, từ điện thoại IP đến hệ thống quản lý cuộc gọi. Đồng thời, tính năng bảo vệ có thể được sử dụng với mức độ thành công như nhau cho cả các cuộc hội thoại nội bộ và bên ngoài (trong trường hợp sau, tất cả các thuê bao phải sử dụng điện thoại IP).

Tuy nhiên, có một số vấn đề liên quan đến mã hóa mà bạn cần lưu ý khi triển khai cơ sở hạ tầng VoIP. Thứ nhất, có thêm độ trễ do mã hóa/giải mã và thứ hai, chi phí chung tăng do độ dài của các gói được truyền tăng lên.

4. Chức năng vô hình.

Cho đến nay, chúng tôi mới chỉ xem xét những mối nguy hiểm mà điện thoại truyền thống có thể gặp phải và những mối nguy hiểm có thể được loại bỏ bằng việc đưa điện thoại IP vào sử dụng. Nhưng việc chuyển đổi sang giao thức IP mang theo một số mối đe dọa mới không thể bỏ qua. May mắn thay, hiện đã có các giải pháp, công nghệ và phương pháp tiếp cận đã được chứng minh hiệu quả để bảo vệ khỏi những mối đe dọa này. Hầu hết trong số họ không yêu cầu bất kỳ khoản đầu tư tài chính nào, đã được thực hiện trong thiết bị mạng, làm nền tảng cho mọi cơ sở hạ tầng điện thoại IP.

Điều đơn giản nhất có thể được thực hiện để cải thiện tính bảo mật của các cuộc trò chuyện qua điện thoại khi chúng được truyền qua cùng một mạng hệ thống cáp, như thường lệ, là phân đoạn mạng bằng công nghệ Vlan để loại bỏ khả năng nghe lén cuộc hội thoại người dùng thông thường. Kết quả tốt cho phép sử dụng một không gian địa chỉ riêng cho các phân đoạn điện thoại IP. Và tất nhiên, bạn không nên giảm giá trị các quy tắc kiểm soát truy cập trên bộ định tuyến (Danh sách điều khiển truy cập, ACL) hoặc tường lửa, việc sử dụng chúng sẽ khiến kẻ tấn công khó kết nối với các phân đoạn giọng nói.

5. Giao tiếp với thế giới bên ngoài.

Bất kể lợi ích nào mà điện thoại IP mang lại trong mạng nội bộ công ty, chúng sẽ không đầy đủ nếu không có khả năng thực hiện và nhận cuộc gọi đến số điện thoại cố định. Trong trường hợp này, theo quy định, nhiệm vụ phát sinh là chuyển đổi lưu lượng IP thành tín hiệu được truyền qua mạng điện thoại công cộng (PSTN). Nó được giải quyết thông qua việc sử dụng các cổng thoại đặc biệt, cũng thực hiện một số chức năng bảo vệ và quan trọng nhất trong số đó là chặn tất cả các giao thức điện thoại IP (H.323, SIP, v.v.) nếu tin nhắn của chúng đến từ phân đoạn không phải giọng nói .

Để bảo vệ các thành phần của cơ sở hạ tầng thoại khỏi những ảnh hưởng trái phép có thể xảy ra, có thể sử dụng các giải pháp chuyên dụng - tường lửa (FWU), cổng cấp độ ứng dụng(Cổng lớp ứng dụng, ALG) và bộ điều khiển biên phiên (Bộ điều khiển biên phiên). Đặc biệt, giao thức RTP sử dụng động cổng UDP, việc mở nó trên tường lửa sẽ dẫn đến sự xuất hiện của một lỗ hổng trong lớp bảo vệ. Do đó, tường lửa phải tự động xác định các cổng được sử dụng để liên lạc, mở chúng tại thời điểm kết nối và đóng chúng khi hoàn tất. Một tính năng khác là một số giao thức, ví dụ:

Do công nghệ VoIP dựa trên công nghệ IP và sử dụng Internet nên nó cũng thừa hưởng tất cả các lỗ hổng của nó. Hậu quả của các cuộc tấn công này, cùng với các lỗ hổng phát sinh từ các đặc điểm kiến ​​trúc của mạng VoIP, buộc chúng ta phải suy nghĩ về các cách tăng cường bảo mật và phân tích kỹ lưỡng mạng IP hiện có. Hơn nữa, việc thêm bất kỳ dịch vụ mới nào, chẳng hạn như thư thoại, vào cơ sở hạ tầng không được bảo vệ đầy đủ có thể gây ra sự xuất hiện của các lỗ hổng mới.

Rủi ro và lỗ hổng kế thừa từ mạng IP.

Thiết kế mạng kém

Một mạng được thiết kế không đúng có thể dẫn đến một số lượng lớn các vấn đề liên quan đến việc sử dụng và cung cấp mức độ bảo mật thông tin cần thiết trong mạng VoIP. Ví dụ, tường lửa là một điểm yếu trong mạng vì mạng VoIP phải được mở để hoạt động bình thường. cổng bổ sung và tường lửa không hỗ trợ công nghệ VoIP, có khả năng chỉ cần để các cổng đã sử dụng trước đó mở ngay cả sau khi cuộc gọi hoàn tất.

Các tổng đài và cổng IP dễ bị tổn thương

Nếu kẻ tấn công có quyền truy cập vào cổng hoặc PBX, hắn cũng có quyền truy cập để ghi lại toàn bộ phiên (về cơ bản là khả năng nghe cuộc gọi), tìm hiểu các thông số mạng và cuộc gọi. Vì vậy, sự chú ý lớn nhất phải được trả cho tính bảo mật của PBX. Tổn thất từ ​​những cuộc xâm nhập như vậy có thể lên tới số lượng đáng kể.

Tấn công phát lại gói

Một cuộc tấn công phát lại gói có thể được thực hiện trên mạng VoIP bằng cách truyền lại một loạt các gói hợp lệ để thiết bị nhận xử lý lại thông tin và truyền các gói phản hồi có thể được phân tích để giả mạo các gói và giành quyền truy cập vào mạng. Ví dụ: ngay cả khi dữ liệu được mã hóa, vẫn có thể lặp lại gói bằng thông tin đăng nhập và mật khẩu của người dùng và do đó có được quyền truy cập vào mạng.

Rủi ro và lỗ hổng cụ thể đối với mạng VoIP

Giả mạo và che giấu gói tin
Việc sử dụng các gói giả mạo có địa chỉ IP nguồn không chính xác có thể được sử dụng cho các mục đích sau:

Chuyển tiếp gói đến mạng hoặc hệ thống khác

Chặn giao thông và tấn công trung gian (ảnh bên dưới)

• Ngụy trang dưới một thiết bị đáng tin cậy - “Chuyển giao trách nhiệm” cho một cuộc tấn công sang thiết bị khác
• làm mờ- Tải hệ thống với các gói có thông tin không chính xác đầy đủ, gây ra lỗi trong hệ thống khi xử lý chúng, chẳng hạn như chậm trễ trong hoạt động, rò rỉ thông tin và lỗi toàn bộ hệ thống
• Quét các lỗ hổng có thể xảy ra- Quét cổng có thể cung cấp cho kẻ tấn công dữ liệu ban đầu để thực hiện một cuộc tấn công chính thức, chẳng hạn như mô hình hệ điều hành, loại dịch vụ và ứng dụng được sử dụng. Bằng cách tìm ra một dịch vụ dễ bị tấn công, kẻ tấn công có thể có quyền truy cập để kiểm soát toàn bộ mạng và do đó có khả năng gây ra thiệt hại lớn.
• Độ tin cậy thấp so với mạng truyền thống- Để đạt được truyền thông chất lượng cao, các gói chứa tải trọng thoại và video được ưu tiên cao trong cơ chế QoS (chất lượng dịch vụ). Tuy nhiên, độ tin cậy của VoIP và mạng dữ liệu có xu hướng đạt 99,9%, thấp hơn mức độ tin cậy của mạng điện thoại truyền thống. thông số này phấn đấu đạt 99,999%. Tất nhiên, sự khác biệt không quá lớn, nhưng trong suốt một năm, sự khác biệt này dẫn đến có thêm 8,7 giờ trong đó hệ thống không hoạt động. Nhưng cần phải hiểu rằng không phải doanh nghiệp nào cũng có thể bị tổn hại vì điều này.
• Các cuộc tấn công DDoS (Từ chối dịch vụ phân tán)- Tấn công DoS Và DDoS xảy ra khi kẻ tấn công gửi khối lượng cực lớn tin nhắn ngẫu nhiênđến một hoặc nhiều thiết bị VoIP từ một hoặc nhiều nơi (tương ứng là DoS và DDoS). Một cuộc tấn công đa vị trí sử dụng "thây ma" - các máy chủ và máy trạm bị xâm nhập tự động gửi các yêu cầu độc hại dựa trên nhu cầu của kẻ tấn công. Cuộc tấn công như vậy được coi là thành công khi số lượng yêu cầu vượt quá khả năng tính toánđối tượng, dẫn đến việc từ chối dịch vụ đối với người dùng cuối.

Các hệ thống VoIP đặc biệt dễ bị tấn công bởi các cuộc tấn công như vậy vì chúng có mức độ ưu tiên cao trong công nghệ QoS và yêu cầu ít lưu lượng truy cập hơn để làm gián đoạn hoạt động của chúng so với các mạng dữ liệu thông thường. Một ví dụ về cuộc tấn công DoS chống lại mạng VoIP sẽ là một cuộc tấn công trong quá trình truyền nhiều tín hiệu hủy cuộc gọi hoặc thiết lập cuộc gọi, còn được gọi là cuộc tấn công SIP CANCEL DoS.

• giả mạo CID- Một kiểu tấn công giả mạo gói dựa trên thao tác của ID người gọi (ID người gọi hoặc CID), được sử dụng để nhận dạng người gọi trước khi trả lời. Kẻ tấn công có thể thay thế mã nhận dạng này bằng một chuỗi văn bản hoặc số điện thoại và có thể được sử dụng để thực hiện nhiều hành động khác nhau gây hại cho mạng hoặc chủ doanh nghiệp. Ngoài ra, trong mạng VoIP không có cách nào để ẩn mã định danh này, bởi vì số điện thoạiđược bao gồm trong các tiêu đề gói trong giao thức SIP. Điều này cho phép kẻ tấn công bằng trình thám thính gói như tcpdump tìm ra số điện thoại ngay cả khi chúng có tham số “riêng tư” từ nhà cung cấp dịch vụ.
• Phần kết luận- Việc sử dụng điện thoại IP mang lại lợi ích to lớn cho bất kỳ tổ chức nào - Các giải pháp dựa trên VoIP có khả năng mở rộng cao hơn, dễ dàng tích hợp và chi phí thấp hơn các giải pháp cổ điển. Tuy nhiên, bất kỳ tổ chức nào đã triển khai giải pháp VoIP đều phải nhận thức được các mối đe dọa có thể xảy ra và nỗ lực hết sức để tăng mức độ bảo mật thông tin trên mạng. Chỉ có một số phương pháp tấn công được liệt kê, nhưng điều quan trọng là phải hiểu rằng sự kết hợp các cuộc tấn công thường được sử dụng và các cuộc tấn công mới đang được phát triển gần như hàng ngày. Nhưng rõ ràng là công nghệ này là tương lai và khó có khả năng nhường chỗ cho công nghệ khác trong tương lai gần.

TRONG thế giới hiện đại Thông tin là một trong những tài nguyên quý giá nhất nên việc bảo vệ nó là một nhiệm vụ quan trọng. Cuộc trò chuyện qua điện thoại đóng một vai trò quan trọng trong công việc của một tổ chức ở mọi cấp độ. Do sự phổ biến ngày càng tăng của điện thoại IP, vấn đề đảm bảo an ninh nói chung và Tính bảo mật của cuộc trò chuyệnđặc biệt.

Biết được các nguồn nguy hiểm chính đối với mạng điện thoại IP, cũng như hiểu cách loại bỏ các mối đe dọa này, sẽ giúp bảo toàn danh tiếng và nguồn tài chính của công ty. Mặc dù thực tế là bài viết mô tả các giải pháp theo nền tảng miễn phí Dấu hoa thị, vấn đề này có liên quan đến bất kỳ nền tảng điện thoại IP nào khác.

Các loại mối đe dọa chính đối với mạng VoIP:

• Chặn và thao tác dữ liệu

Lỗ hổng phổ biến nhất trong mạng điện thoại, đặc biệt nguy hiểm đối với điện thoại IP. Khi sử dụng điện thoại IP, kẻ tấn công không cần truy cập vật lý vào đường truyền dữ liệu. Một thiết bị đánh chặn nằm trong mạng công ty rất có thể bị phát hiện; việc nghe lén bên ngoài gần như không thể theo dõi được. Ngoài ra, dữ liệu hoặc giọng nói bị chặn có thể được truyền đi xa hơn khi có những thay đổi. Trong những trường hợp như vậy, toàn bộ luồng giọng nói không được mã hóa phải được coi là không an toàn.

• Thay thế và hack dữ liệu người dùng

Việc từ chối sử dụng hoặc đơn giản hóa các cơ chế xác thực và ủy quyền trong điện thoại IP sẽ mở ra khả năng cho kẻ tấn công truy cập trái phép vào hệ thống bằng cách thay thế dữ liệu người dùng bằng dữ liệu của chính chúng. Cũng có thể hack thông tin xác thực của người dùng thông qua vũ lực hoặc nghe lén các kênh liên lạc không bảo mật. Lỗ hổng như vậy có thể được sử dụng để thực hiện các cuộc gọi đắt tiền với chi phí của nạn nhân, phủ nhận tất cả lợi ích có thể có từ việc sử dụng điện thoại IP. Ngoài ra, lỗ hổng bảo mật này có thể được sử dụng để nhận các cuộc gọi có ý định bị tấn công hoặc ghi lại các cuộc gọi bị chặn trên phương tiện của kẻ tấn công nhằm sử dụng thông tin này cho lợi ích cá nhân.

• Giới hạn sẵn có

Một loại tấn công là Từ chối dịch vụ (DoS). Cuộc tấn công này nhằm mục đích vượt quá Tải cuối cùng mỗi hệ thống một lượng lớn cuộc gọi ngắn hoặc rác thông tin. Nếu không liên tục theo dõi các dấu hiệu của các cuộc tấn công như vậy và sử dụng các biện pháp bảo vệ thụ động, điều này dẫn đến thực tế là các máy chủ điện thoại IP không thể đối phó với tải tăng lên và không thể phục vụ các thuê bao được kết nối.

Bảo mật điện thoại IP – một cách tiếp cận tích hợp!

Khi thiết kế bất kỳ hệ thống truyền thông nào, điều quan trọng là phải hiểu rằng không có hệ thống độc lập nào giải pháp kỹ thuật không thể cung cấp bảo mật bảo vệ tuyệt đối khỏi mọi mối đe dọa có thể xảy ra.

Sau khi phân tích các nguồn chính của mối đe dọa bảo mật điện thoại IP, chúng tôi có thể xác định các tiêu chí bảo mật chính:

• Bảo mật

Sự cần thiết phải đảm bảo bảo vệ lưu lượng điện thoại IP để ngăn chặn việc chặn hoặc nghe lén các cuộc gọi điện thoại, thay đổi thông tin được truyền và đánh cắp thông tin xác thực của người dùng.

• Chính trực

Đảm bảo rằng thông tin được truyền đi không bị giả mạo bởi người dùng trái phép, yêu cầu thực hiện một số nhiệm vụ hoặc chức năng nhất định ( ví dụ: thực hiện cuộc gọi hoặc thay đổi cài đặt hệ thống điện thoại IP) được khởi tạo bởi người dùng hoặc ứng dụng được ủy quyền.

• khả dụng

Vận hành không gặp sự cố hệ thống công tyĐiện thoại IP trong điều kiện bị tấn công DoS, nhiều “sâu”, “vi rút” khác nhau, v.v.

Làm thế nào để bảo vệ điện thoại IP?

Chúng ta hãy xem xét kém an toàn nhất, đồng thời, một trong những ví dụ phổ biến nhất về việc triển khai điện thoại IP.

Hình 1 - Triển khai điện thoại IP

Máy chủ điện thoại dựa trên IP-PBX Asterisk có quyền truy cập trực tiếp vào Internet để phục vụ các chi nhánh từ xa và liên lạc với nhà cung cấp SIP cung cấp quyền truy cập vào các đường truyền liên lạc bên ngoài. Xác thực người dùng xảy ra bằng địa chỉ IP.

Giải pháp cho các vấn đề bảo mật thông tin phải toàn diện, vì mỗi phương pháp bảo vệ không chỉ bao gồm một phần phạm vi thông tin mà còn bổ sung cho các giải pháp khác.

Thiết lập máy chủ điện thoại

Tuyến phòng thủ cuối cùng là chính máy chủ điện thoại IP. Có một số phương pháp cổ điển để bảo vệ máy chủ khỏi các cuộc tấn công.

Ứng dụng tường lửa

Tường lửa chuyển lưu lượng đi từ máy chủ điện thoại đến nhà cung cấp SIP và lọc lưu lượng đến theo các quy tắc nhất định. Một giải pháp hợp lý có thể được coi là đóng tất cả các cổng mạng dành cho điện thoại IP trên tường lửa, ngoại trừ những cổng cần thiết để vận hành và quản trị chính xác. Nên sử dụng cùng một phương pháp bảo vệ trên chính máy chủ điện thoại để bảo vệ nó khỏi các cuộc tấn công nội bộ.

Do đó, máy chủ điện thoại chỉ có thể truy cập được từ các mạng bên ngoài thông qua một số cổng dịch vụ nhất định, kết nối tới đó, vì lý do bảo mật, sẽ được thực hiện bằng mã hóa.

Mã hóa các cuộc trò chuyện qua điện thoại

Vì bảo vệ các cuộc đàm phán bí mật và để giảm thiểu khả năng thông tin bí mật hoặc thương mại rơi vào tay kẻ tấn công, cần phải bảo vệ thông tin được truyền đi kênh mở dữ liệu liên lạc từ việc chặn và nghe lén.

Vì để thực hiện cuộc gọi, trước tiên máy khách và máy chủ trao đổi dữ liệu dịch vụ để thiết lập kết nối, vấn đề này có thể được chia thành hai thành phần – bảo vệ dữ liệu dịch vụ điện thoại IP và bảo vệ lưu lượng thoại. Là một biện pháp bảo mật, giao thức TLS (Transport Layer Security) có thể được sử dụng để bảo vệ tín hiệu SIP và giao thức SRTP (Giao thức thời gian thực an toàn) để bảo vệ lưu lượng thoại.

Hình 2 - Mã hóa điện thoại IP

TLS là một giao thức mã hóa cung cấp khả năng truyền dữ liệu an toàn giữa các nút trên mạng. phương pháp chuẩnđể mã hóa giao thức SIP. TLS cung cấp tính bảo mật và toàn vẹn thông tin được truyền đi, thực hiện xác thực.

Sau khi thiết lập kết nối an toàn, quá trình truyền dữ liệu giọng nói sẽ bắt đầu, dữ liệu này có thể được bảo mật bằng giao thức SRTP.

Giao thức SRTP được coi là một trong những cách tốt nhất để bảo vệ điện thoại IP dựa trên Asterisk IP PBX. Ưu điểm chính của giao thức này là không có bất kỳ tác động nào đến chất lượng truyền thông. Cách hoạt động của giao thức SRTP trông như thế này: mỗi cuộc gọi bạn thực hiện được gán một mã duy nhất, khiến người dùng trái phép gần như không thể nghe lén cuộc trò chuyện. Điều này làm cho SRTP trở thành giao thức ưa thích cho cả cuộc gọi thông thường và cuộc gọi riêng tư.

Chúng ta không nên quên nhu cầu bảo vệ kết nối của máy chủ điện thoại với các kênh liên lạc bên ngoài ( kết nối di động, mạng điện thoại sử dụng chung).

Sử dụng đường hầm VPN được mã hóa

Nếu cần tổ chức các hệ thống có yêu cầu cao hơn về bảo vệ điện thoại IP, có thể kết nối người dùng từ xa thông qua mạng riêng ảo (VPN). Nội dung của các gói bị chặn được gửi qua đường hầm VPN được mã hóa chỉ có thể hiểu được đối với chủ sở hữu khóa mã hóa. Phương pháp tương tự có thể được sử dụng để bảo mật kết nối với nhà cung cấp dịch vụ điện thoại IP. Hiện nay, nhiều nhà cung cấp VoIP cung cấp kết nối VPN.

Hình 3 - Sơ đồ hoạt động của điện thoại IP thông qua đường hầm VPN

Tuy nhiên, công nghệ VPN có một số nhược điểm làm hạn chế việc sử dụng nó:

• giảm chất lượng liên lạc do sự chậm trễ, được tạo bằng mã hóa;
• tăng tải cho các kênh và thiết bị liên lạc do nhu cầu mã hóa;
• tăng độ phức tạp của cấu trúc mạng.

Việc áp dụng các phương pháp bảo vệ máy chủ được liệt kê sẽ giảm thiểu khả năng bị hack và nếu hệ thống bảo mật bị vượt qua thành công sẽ giảm thiểu thiệt hại.

Hinh 4 - Bảo vệ toàn diệnĐiện thoại IP

Thật không may, không có biện pháp nào có thể đảm bảo an toàn tuyệt đối. Những khía cạnh được thảo luận ở trên chỉ giải quyết được một phần vấn đề xây dựng hệ thống thông tin liên lạc an toàn. Trong thực tế, toàn bộ cơ sở hạ tầng mạng của công ty cần được xem xét và tiến hành phân tích chuyên sâu về mức độ bảo vệ cần thiết. Cần phải tính đến không chỉ nhu cầu đảm bảo Bảo mật điện thoại IP, nhưng cũng thoát ra kênh bên ngoài thông tin liên lạc (thông tin di động, mạng điện thoại công cộng). Chỉ có cách tiếp cận này, cùng với việc không ngừng cải tiến hệ thống bảo mật thông tin, mới tạo ra được một hệ thống an toàn và đáng tin cậy.

Để tạo ra sự bảo vệ hoàn toàn chống lại việc nghe lén, cần phải “ẩn” máy chủ điện thoại IP, giải pháp “Máy chủ ở Israel” là tuyệt vời.

Hệ thống tích hợp. Tư vấn