VoWLAN的安全性問題的解決方案研究

VoIP和WLAN技術(shù)的融合，讓運營商能夠具成本效益地解決實時語音包的延時和差分數(shù)據(jù)流優(yōu)先級等問題的QoS挑戰(zhàn)，為新型電話應用敞開了大門。這兩種核心技術(shù)的結(jié)合使可靠的端到端WLAN語音(VoWLAN)部署不受網(wǎng)絡類型或地點的限制。但不幸的是，VoIP連接也因此受到WAN所帶來的大量的安全威脅。

在相對安全的封閉網(wǎng)絡里，無需對語音包進行過分的保護，但人們面對危機四伏的WAN，必須竭力避免會話劫持(session hijacking)、監(jiān)視和竊聽、惡意服務破壞或服務拒絕，以及收費欺詐與身份欺騙等風險。為此，語音包及其相關(guān)傳輸信道必須受到保護，同時要求具有PSTN那樣的保真度和性能。而當呼叫在空中被無線網(wǎng)絡嗅探到時，有線VoIP環(huán)境的安全動態(tài)性變得更加復雜。

安全性是一個很泛義的概念，意指通過保證網(wǎng)絡連接的可靠性來處理和平衡用戶與運營商的擔心和需求，從而確保各方的每次語音傳輸都是安全的(見圖1)。使安全性成為可靠部署VoIP的基本要求的5個關(guān)鍵點是：

可靠性：降低拒絕服務(DoS)等惡意攻擊的影響，運營商能夠確保語音包安全通過WAN。

隱私性：對用戶，必須確保其呼叫受到保護，防止非法窺探或監(jiān)視。語音有效載荷(內(nèi)容)和信令(即呼叫記錄)都需要隱私性。

完整性：用戶和運營商都必須確保數(shù)據(jù)傳輸不被干預，一旦有干預，需偵測到當中的改動。

認證：對用戶確保其呼叫到達正確的目的地，對運營商需確保用戶正確，而不會是試圖非法侵入的偽終端。

反拒認(Non-repudiation)：運營商能確保用戶不會拒絕使用服務，保護運營商收取費用并以此創(chuàng)收的能力。

QoS的維護

要成功處理安全性每一個方面的問題，VoIP應用需要使用至少5個不同級別的安全機制：配置、信令、語音包、數(shù)據(jù)包以及包過濾。每個機制都采用不同的安全標準(見圖2)，故可能引入相當大的VoIP處理開銷。除非開發(fā)人員從頭開始設(shè)計一個架構(gòu)來支持安全性，否則開銷會引起嚴重的系統(tǒng)瓶頸問題，這可能破壞VoIP實現(xiàn)方案的可行性。

例如，考慮性能對語音包即時發(fā)送的影響。目前業(yè)界力求網(wǎng)絡每一個中間節(jié)點的延時小于30ms，以獲得不大于150ms的完整端到端通話的延時。呼叫延時長可能導致語音質(zhì)量明顯下降，引起用戶不滿。此外，對安全性任務而言，可變的處理延時增加了抖動和丟包率，這對平均意見得分(Mean Opinion Scores，MOS)有直接影響，并使音質(zhì)迅速惡化到“收費級”之下。若無有效安全措施，性能開銷和延時將會對呼叫質(zhì)量產(chǎn)生直接影響。

圖1：利用眾多不同安全機制(比如認證和加密)可以保護用戶和運營商免受惡意及無意的服務中斷的傷害。

建立網(wǎng)絡連接所需的時間同樣如此，因為VoIP安全性措施可能會使性能下降而危害總體呼叫QoS。在呼叫建立過程的認證和密鑰交換期間，密鑰生成和消息交換可能引起顯著的延時。假設(shè)AES密鑰生成和交換時間多達500ms，這超出了實時VoIP應用可以接受的限度。更麻煩的是，在基于軟件的實現(xiàn)方案中使用IPSec時，建立一個安全關(guān)聯(lián)(security association)往往需要2到10秒的時間。如果涉及到無線節(jié)點，考慮到無線安全措施，總體延時還會增加3秒以上。

重要的是認識到這些機制引入的延時可能具有累加性。例如，通過無線網(wǎng)絡傳輸?shù)臄?shù)據(jù)分組首先必須解決自己的無線保護問題，然后才能處理數(shù)據(jù)包機制以及其后的語音包安全機制。因此，為了獲得維持適當MOS等級所需的最佳延時限制，需要在節(jié)點和基礎(chǔ)設(shè)施方面做一些工作，以加速安全機制的處理和最小化所有安全級別上的處理時間。

釋放處理器周期

VoIP安全機制的5個級別，雖然采用不同的標準，但共享許多程序和進程，包括密鑰生成、會話配置、密鑰交換、單向或雙向認證，以及加密/解密技術(shù)。在許多情況下，不同標準可共享類似的基礎(chǔ)機制，這使眾多標準采用單個硬件加速器成為可能。

通過對加密技術(shù)的硬件加速進行精細調(diào)節(jié)，加密加速器能夠為先進加密標準(AES)、數(shù)據(jù)加密標準(DES)和三重 DES (3DES)等主流格式提供卓越的性能。不過，靈活的硬件加速不僅僅是為了滿足質(zhì)量和性能要求而單純地加快加密速度。例如，單個協(xié)處理器可以使用SHA1或MD5來加速認證，從而減小延時；而密鑰交換加速器通過配置可簡化密鑰實時交換，加快呼叫的建立。

在每一個進程以及每一VoIP安全機制等級里，采用專注于通用安全處理機制的靈活架構(gòu)來進行硬件加密，不僅可顯著改善延時，還能為主要應用處理器釋放大量處理器周期和存儲器模塊。被釋放的處理器周期和存儲器模塊可分配給語音改善處理或其它應用任務，因此無需增加器件成本就可提高音質(zhì)和總體易用性。要實現(xiàn)VoIP產(chǎn)品差異化，并提高在新興VoIP市場的競爭力，這些被釋放的周期對于OEM而言是非常關(guān)鍵的。換言之，OEM可通過采用性能較低的處理器來減少總體功能性，從而降低系統(tǒng)成本和功耗。

圖2：VoMAN應用一般需要使用至少4個級別的安全機制，包括配置、信令、語音、數(shù)據(jù)。

請謹記，試圖完全采用硬件來實現(xiàn)安全機制常常并非最佳方案，最好是利用硬件加速器來加速關(guān)鍵任務的處理。當新的標準出現(xiàn)時，這些新標準需要時間來開發(fā)穩(wěn)定性和不同設(shè)備間的穩(wěn)健的互操作性。比如，盡管基本加密標準一般都趨于穩(wěn)定，但信號發(fā)送和數(shù)據(jù)交換標準本身是不斷變動的。比如新興的安全實時協(xié)議(SRTP)對客戶端設(shè)備(CPE)的語音有效載荷進行加密，和用于會話初始協(xié)議(SIP)之下的TLS(傳輸層安全性)標準，以防竊聽。開發(fā)人員不斷擴展這些標準的適用性，故其能力必須具有靈活性。因此，對于只需要極少的靈活性的加密可采用硬件實現(xiàn)以提供最大的性能。對于密鑰生成等任務可以利用硬件加速來實現(xiàn)SRTP和TLS，但總體處理堆棧的實現(xiàn)仍然需要具備相當?shù)撵`活性。

現(xiàn)在，制造商正在努力實現(xiàn)產(chǎn)品差異化，以在價格不變的情況下提供最好的功能補充，從而提高競爭力。這些功能中有許多是軟件實現(xiàn)的，比如提供豐富的圖形用戶接口或利用寬帶編解碼器實現(xiàn)多方會議。用硬件來加速加密等安全性算法可以釋放更多的處理器周期，這樣一來，制造商不僅能夠提供更安全的解決方案，還可通過應用軟件實現(xiàn)產(chǎn)品差異化。

IP網(wǎng)絡中的可靠性

基于不同加密數(shù)據(jù)或信令交換機制的安全性機制，雖然可抵御大量潛在的攻擊，但卻不足以完好地保護VoIP連接的可靠性。由于VoIP在通過WAN時繼承了IP網(wǎng)絡的不安全性，用戶暴露在拒絕服務(DoS)等各種攻擊之下，這些攻擊以數(shù)據(jù)包的形式進行泛洪式(flooding)擴散或傳遞畸形幀。語音通信需要一致而可靠的帶寬，任何這種針對VoIP終端電話發(fā)動的攻擊都可能破壞連接。

傳統(tǒng)上，可利用防火墻保護LAN免受來自WAN的惡意侵入，以減少DoS攻擊。在企業(yè)級VoIP部署中，這種防火墻可保護VoIP用戶免遭外部威脅，但VoIP設(shè)備仍然很容易受到防火墻之后的網(wǎng)絡內(nèi)部的攻擊。假設(shè)網(wǎng)絡接入限于合法人員，且沒有心懷不滿的員工企圖破壞網(wǎng)絡，一位開發(fā)軟件或安裝網(wǎng)絡設(shè)備的可靠員工也可能無意發(fā)出一個DoS攻擊。

另外，一個帶病毒入網(wǎng)的用戶也可能造成整個VoIP系統(tǒng)的崩潰。IP網(wǎng)絡的安全漏洞還影響到一些重要的應用，比如旅店里安裝的公共VoIP系統(tǒng)。使用IP電話的旅客雖然受保護免遭外界攻擊，但如果在設(shè)備級別上沒有適當?shù)谋Ｗo措施的話，他仍易遭到旅店內(nèi)部其它旅客的攻擊。而且，中小型企業(yè)(SMB)LAN和基于住宅的LAN(VoIP部署的關(guān)鍵市場)，一般都缺乏足夠的防火墻能力。

對IP電話的DoS攻擊的含意是相當直接簡單的。電話可能受到大量信息包的泛洪，以致不能進行呼叫。另一方面，也許這種攻擊只是導致呼叫質(zhì)量的下降。不管哪一種情況，不抵御DoS攻擊都可能對終端用戶的電話呼叫功能造成嚴重影響。

過去，有多種抵御DoS攻擊的方法。第一種是利用防火墻，這種方法可以保護IP電話免受外部攻擊，但無法防止源自防火墻內(nèi)部的攻擊。另一種權(quán)宜之計是采用更大的帶寬，被動等待攻擊結(jié)束。考慮到IP電話的實時要求，這種策略的風險最大。當然，最后一道防線是讓IP電話自身盡力保持呼叫質(zhì)量，同時讓應用處理器設(shè)法過濾掉這些惡意的信息包。但根據(jù)攻擊的持續(xù)時間和嚴重程度不同，IP電話的應用處理器可能因處理這些信息包陷入危機，造成呼叫質(zhì)量下降，甚至完全中斷。

為了成功承受來自IP網(wǎng)絡的攻擊，必須在數(shù)據(jù)包到達電話應用處理器之前抵御DoS攻擊，并改為在IP電話的嵌入式交換機中處理。在交換機中引入靜態(tài)包過濾功能可以把過濾處理的主要負擔從軟件轉(zhuǎn)卸到硬件。靜態(tài)包過濾器掃描(無性能影響)，并檢測進入的數(shù)據(jù)包，判斷是否重復或有可疑意圖。然后從有效VoIP呼叫的關(guān)鍵路徑上清除可疑的數(shù)據(jù)包。這樣一來，就可確?？梢蓴?shù)據(jù)包不會淹沒主處理器，并避免其影響到那些對延時敏感的包。

利用可編程過濾配置實現(xiàn)靜態(tài)包過濾器可確保設(shè)備能不斷更新以抵御新的網(wǎng)絡風險。應用處理器通過一個API對過濾器進行更新，然后再利用過濾器把更新信息廣播給各器件。此外，相比一般依賴路由器和交換機的情況，在VoIP電話中實現(xiàn)過濾可使網(wǎng)絡更新速度快很多，故而進一步提高了可靠性。根據(jù)網(wǎng)絡更新進度表的不同，一個只依賴路由器執(zhí)行過濾的網(wǎng)絡可能有數(shù)月時間受到攻擊。而更新VoIP電話要容易得多，因此也能夠根據(jù)需要頻繁進行，從而減少網(wǎng)絡的安全漏洞。

VoWAN有望為VoIP帶來更高級別的成本效益，而安全機制是讓運營商和用戶相信他們的隱私性、身份和服務收費權(quán)力受到保護的基本要素。不過，對WAN上的VoIP實現(xiàn)方案而言，依賴全軟件實現(xiàn)的VoIP安全功能并非良策，其所需的多級安全機制會迅速壓垮通用應用處理器。通過采用靈活的硬件加速器，在配置、信令、語音處理和過濾等各個級別上，可更有效地實現(xiàn)內(nèi)核安全功能，從而降低了總體延時，改善了服務音質(zhì)，同時又保留了適應標準變化和不斷升級的網(wǎng)絡威脅的能力。