NGN呼喚安全

NGN的遷移之路
　　公共交換電話網(wǎng)絡(luò)（PSTN）天生具有安全性：每路電話只發(fā)出非常簡(jiǎn)單的控制消息; 控制指令無(wú)法輕易偽裝成語(yǔ)音內(nèi)容; 電話交換機(jī)（PBX）的數(shù)字訪問(wèn)管理嚴(yán)格限制了發(fā)送控制消息的功能; 運(yùn)營(yíng)商的核心信令系統(tǒng)（即SS7）受到保護(hù)，能夠防止外部訪問(wèn)。
　　盡管如此，隨著網(wǎng)絡(luò)逐漸向建立在基于分組體系結(jié)構(gòu)上的下一代網(wǎng)絡(luò)（NGN）上遷移，上述這些安全特性將不復(fù)存在。到2010年，PSTN將從面向連接、針對(duì)語(yǔ)音優(yōu)化的服務(wù)遷移到基于分組的體系結(jié)構(gòu)，雖然這種體系結(jié)構(gòu)能夠支持多種不同媒體和內(nèi)容的無(wú)縫集成，但目前還是容易受到多種惡意攻擊。不過(guò)業(yè)界在竭力解決這種體系結(jié)構(gòu)存在的漏洞，Gartner Dataquest預(yù)計(jì)第一批安全標(biāo)準(zhǔn)會(huì)在2004年完成，2005年將開始陸續(xù)推出新產(chǎn)品。
　　NGN的實(shí)施將是漸進(jìn)的方式，新的基礎(chǔ)設(shè)施大多將會(huì)集成防漏洞的功能。NGN的體系結(jié)構(gòu)將在每一層集成防漏洞的功能，所有外部接口都將得到保護(hù)，無(wú)論是客戶設(shè)備、傳統(tǒng)的PSTN，還是包括因特網(wǎng)在內(nèi)的其他IP網(wǎng)絡(luò)。基礎(chǔ)設(shè)施的每一個(gè)部分都將得到“加固”，以防范入侵和拒絕服務(wù)攻擊。最后，所有脆弱的控制和通信流量也將予以加密。
NGN的安全問(wèn)題
　　提供基于IP的網(wǎng)絡(luò)服務(wù)的運(yùn)營(yíng)商不僅要保護(hù)各自的基礎(chǔ)設(shè)施免受攻擊，還理應(yīng)保護(hù)客戶的末端系統(tǒng)。到時(shí)，監(jiān)控安全、防止拒絕服務(wù)攻擊將成為運(yùn)營(yíng)商的一項(xiàng)重要任務(wù)。的確，Gartner Dataquest預(yù)計(jì)各國(guó)政府會(huì)下令運(yùn)營(yíng)商在2010年之前至少保證最低級(jí)別的安全。
　　不過(guò)，雖然NGN與因特網(wǎng)邏輯隔離，但兩者之間還是存在諸多連接點(diǎn)，這包括：NGN到因特網(wǎng)的連接，由每家NGN運(yùn)營(yíng)商部署的這種連接將允許因特網(wǎng)上的語(yǔ)音用戶與NGN用戶進(jìn)行通信。NGN將成為全局IP地址空間的一部分，要求域名系統(tǒng)（DNS）到NGN和因特網(wǎng)之間存在鏈路，客戶端也存在鏈路。這包括用于因特網(wǎng)和NGN通信的設(shè)備，比如軟交換電話和PC。這些連接點(diǎn)無(wú)疑成為NGN的隱患。
　　針對(duì)IP網(wǎng)絡(luò)基礎(chǔ)設(shè)施的攻擊一般基于這樣的現(xiàn)實(shí)：至少一部分網(wǎng)絡(luò)基礎(chǔ)設(shè)施要讓末端系統(tǒng)看到。如果末端系統(tǒng)連域名服務(wù)器和默認(rèn)路由器都看不到，IP通信就無(wú)法進(jìn)行。而這兩種基礎(chǔ)設(shè)施都可能遭到攻擊。常見的攻擊手法利用了設(shè)備中的潛在的已知漏洞，包括緩沖器溢出、無(wú)限路由表和簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議（SNMP）所存在的漏洞。一旦攻擊者獲得了控制路由器或域名服務(wù)器的權(quán)限，就有可能訪問(wèn)IP基礎(chǔ)設(shè)施中的其他設(shè)備。
　　IP基礎(chǔ)設(shè)施允許任意兩個(gè)設(shè)備之間進(jìn)行通信。為了外界能夠訪問(wèn)自己，主機(jī)和服務(wù)器就要通過(guò)DNS來(lái)宣布各自的存在。但域名、IP地址和電子郵件地址的結(jié)構(gòu)使得黑客比較容易猜中連接資源的名字和地址，因而末端系統(tǒng)就有可能遭受入侵攻擊、病毒和拒絕服務(wù)攻擊。
NGN的安全挑戰(zhàn)
　　NGN的安全性在以下幾方面面臨挑戰(zhàn)。
　　網(wǎng)絡(luò)地址轉(zhuǎn)換: 許多企業(yè)在專用網(wǎng)和因特網(wǎng)之間的邊界采用網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）方式。然而，NGN確定用戶位置、建立話路所采用的會(huì)話初始協(xié)議（SIP）卻無(wú)法適用于為實(shí)施NAT而布置的路由器或防火墻中。遺憾的是，雖然目前有很多辦法可解決SIP和NAT問(wèn)題，但還沒(méi)有哪一種成為標(biāo)準(zhǔn)。
　　會(huì)話初始協(xié)議：有些安全漏洞與SIP本身有關(guān)。默認(rèn)狀態(tài)下，SIP消息采用未加密的明文格式發(fā)送，因而容易被截獲和篡改。雖然SIP有一些安全選項(xiàng)功能，SIP消息也可以采用其他安全和加密選項(xiàng)。可是，目前還沒(méi)有什么辦法能夠讓SIP安全地通過(guò)協(xié)商，決定采用哪種安全機(jī)制。這樣一來(lái)，SIP就容易受到“中間人攻擊”及其他攻擊，安全防線也就容易遭受突破。因特網(wǎng)工程任務(wù)組（IETF）正著手解決這些問(wèn)題。
　　可靠傳輸協(xié)議：NGN的會(huì)話將由可靠傳輸協(xié)議（RTP）來(lái)承載。而這種協(xié)議容易被截獲及篡改，比如起始和目的地址被截獲及篡改。如果RTP會(huì)話未經(jīng)加密，NGN無(wú)法防止身份失竊或者會(huì)話內(nèi)容被篡改。早期提案的確規(guī)定采用“臨時(shí)”加密方案，但同時(shí)也規(guī)定將來(lái)需要由較低層協(xié)議來(lái)提供安全。正如針對(duì)其他安全漏洞的方案一樣，RTP安全同樣缺乏一種明確的標(biāo)準(zhǔn)。
　　代碼和腳本攻擊：傳統(tǒng)IP電話、軟IP電話和PBX都有可能受到來(lái)自可執(zhí)行代碼或腳本的攻擊。有人可能會(huì)利用可執(zhí)行代碼和腳本控制用戶或NGN接口，或者傳播其他類型的攻擊，如DDoS攻擊。
　　Gartner Dataquest預(yù)計(jì)會(huì)出現(xiàn)有人企圖偷竊服務(wù)的現(xiàn)象，即黑客將合法用戶的電話服務(wù)改為私用。所以基于IP的語(yǔ)音服務(wù)需要類似保護(hù)企業(yè)數(shù)據(jù)網(wǎng)絡(luò)的防火墻及能防范惡意代碼。
　　此外，無(wú)線升級(jí)、隨地下載可執(zhí)行代碼給用戶或管理員帶來(lái)便利的同時(shí)，也給攻擊者帶來(lái)了可趁之機(jī)。下載用擴(kuò)展標(biāo)記語(yǔ)言（XML）編寫的腳本同樣存在風(fēng)險(xiǎn)。不過(guò)IETF的媒體網(wǎng)關(guān)控制標(biāo)準(zhǔn)有望解決這類問(wèn)題。

計(jì)算機(jī)世界網(wǎng)(www.ccw.com.cn)