IP телефония

• Протокол H.323 получил неодинаковую трактовку  при реализации в оборудовании различных производителей, что затрудняет, а иногда делает невозможной совместную работу сетей, построенных на таком оборудовании.

• Недорогие  шлюзы не поддерживают стык с биллингом  и не поддерживают нестандартные возможности протокола H.323, которые позволяют стыковать биллинг с контроллером зоны.

2.1.3. Построение сети  с использованием  программного коммутатора

Если  связать шлюзы не напрямую, а через  промежуточное устройство - программный коммутатор, к которому подключена система биллинга, то это позволит с минимальными затратами, без кардинального изменения схемы построения существующих сетей избавиться от типичных недостатков традиционных схем IP-телефонии.

  Softswitch полностью контролирует ход соединения. При потере связи с одним из шлюзов соединение с другим шлюзом корректно завершается, система учета фиксирует реальное время соединения. Взаимодействие со шлюзами других операторов осуществляется с одного IP-адреса (для них Softswitch выглядит как обычный шлюз). Softswitch корректно взаимодействует со шлюзами различных производителей. И еще одна особенность состоит в том, что он позволяет вести учет соединений с корпоративных шлюзов. Схема сети с использованием программного коммутатора показана на рисунке 2.2. 

  Кроме того, Softswitch позволяет скрыть структуру сети IP-телефонии при межоператорском взаимодействии, а также подключать в сеть оборудование с сигнализацией отличной от H.323, например, SIP. На рис. 2.2. приведен пример построения сети IP-телефонии с использованием Softswitch (PSS) (в принципе может быть также реализован вариант, когда PSS используется в качестве вспомогательного устройства, т.е. используется как некий маршрутизатор на границе сетей операторов, в то время как функции привратника и контроля за биллингом отделены и выполняются другими устройствами).

  Резюмируя вышесказанное, можно сказать, что наличие программного коммутатора является неотъемлемой частью сети конкурентноспособного оператора IP-телефонии. Его роль возрастает еще больше, если учесть, что при появлении новых видов услуг, разработка современных протоколов делает неизбежным изменение архитектуры построения IP-телефонных сетей.

2.2 Анализ возможностей  протоколов IP-телефонии  с точки зрения

безопасности  функционирования сети

2.2.1 Обеспечение безопасности  в системах на  базе стандарта H.323

  Для систем IP-телефонии, построенных на базе Рекомендации ITU-T H.323, вопросы безопасности рассматриваются в Рекомендации H.235. Эта рекомендация описывает ряд технических требований, включая вопросы безопасности: аутентификация пользователей и шифрование данных.

  Предложенная схема обеспечения безопасности применима и к простым двухточечным и к многоточечным конференциям для любых терминалов, которые используют протокол управления H.245. Если для IP-телефонии стандарта H.323 используются сети с пакетной коммутацией, не обеспечивающие гарантированного качества обслуживания QoS, то по тем же самым техническим причинам не обеспечивается и безопасное обслуживание. Для обеспечения гарантированной связи в реальном масштабе времени по опасным сетям необходимо рассматривать две главных области обеспечения безопасности – аутентификация и секретность. Или, если смотреть более широко, это проблема доступа к сетевым ресурсам и проблема доступности информации непосредственно в каналах мультисервисной сети. Причем проблема доступа к ресурсам сети не ограничивается только аутентификацией пользователя, в результате которой он фактически лишь получает определенные услуги; речь идет также о доступе к администрированию сети и сетевого оборудования, к базам данных (что очень актуально для компаний, предоставляющих услуги Интернета и IP-телефонии).

  В том числе стоит еще оговорить и возможные проблемы, возникающих в рамках безопасности, при обмене сообщениями аутентификации сетевого оборудования между собой (как то, например, между сетевыми экранами и шлюзом и так далее).

  Что же касается проблемы доступности информации непосредственно в каналах сети IP-телефонии, то тут несомненную опасность представляет угроза подслушивания, кратко описанная в первой главе в разделе типы угроз в сетях IP-телефонии.

  В соответствии с Рекомендацией H.235 в системе должны быть реализованы четыре основные функции безопасности:

• Аутентификация;

• Целостность  данных;

• Секретность;

• Проверка отсутствия долгов.

  Аутентификация пользователя обеспечивается управлением доступа в конечной точке сети и выполняется привратником, являющимся администратором зоны H.323. аутентификация основывается на использовании общих ключей с цифровым сертификатом. Для авторизации сертификатов они включают, например, идентификаторы провайдера услуг.

  Рекомендация H.235 не определяет содержание цифровых сертификатов, используемых соответствующим протоколом аутентификации, а также их генерацию, администрирование и распределение.

  Целостность данных и секретность обеспечивается криптографической защитой. Проверка отсутствия долгов гарантируется тем, что конечная точка может отказать в обслуживании вызова. Для обеспечения безопасности согласно рекомендации H.235 могут использоваться существующие стандарты: IP-безопасность (IP Security – IPSec) и безопасность транспортного уровня (Transport Layer Security – TLS). Для обеспечения безопасной связи в системе на базе Рекомендации H.323 используются механизмы защиты информации канала управления вызовом Q.931, информации канала управления для мультимедиа коммуникаций H.245, информации каналов передачи мультимедиа. Канал управления вызовом (H.225.0) и канал сигнализации (H.245) должны оба работать в защищенном или незащищенных режимах, начинающимся с первой станции. Для канала управления вызовом защита сделана априорно (для систем в соответствии с Рекомендацией H.323 безопасность транспортного уровня обеспечивается соответствующим протоколом TSAP [порт 1300], который должен использоваться для Q.931 сообщений). Для канала сигнализации режим «защита» определяется информацией, переданной с помощью протокола начальной установки и подключения терминалов стандарта H.323. 2.2.2. Механизмы безопасности в проекте TIPHON

  Работа над проектом TIPHON (Telecommunication and Internet Protocol Harmonization over Networks) была начата институтом ETSI в 1997г. Основная задача проекта – решение проблем взаимодействия между сетями с маршрутизацией пакетов IP и сетями с коммутацией каналов в части поддержки прозрачной передачи речевой и факсимильной информации. Под сетями с коммутацией каналов далее будем понимать сети ТФОП, ISDN и GSM.

  Основной недостаток архитектуры сети на базе стандарта H.323 заключается в сложности разработки и использования систем IP-телефонии. Охватывая несколько уровней модели OSI, H.323 структурно является довольно сложной рекомендацией, а некоторые ее места допускают неоднозначную трактовку. Так функции безопасности (согласно рекомендации H.235) определены в H.323 версии 2 как необязательные. Наличие механизмов аутентификации, шифрования и обеспечения целостности информации не исключается, но и не является необходимым условием того, чтобы считать продукт соответствующим H.323.

  Упростить процесс внедрения технологии IP-телефонии призван проект TIPHON, реализация которого позволит успешно решить задачи установления, модификации и завершения телефонных соединений, включая процессы межсетевого взаимодействия, управления безопасностью вызова, запроса качества обслуживания, шифрования, аутентификации и другие. В рамках работы нас будет в дальнейшем интересовать направление деятельности рабочей группы TIPHON, касающееся аспектов защиты и безопасности. К ним относится первичная защита сети от случайных или умышленных повреждений, защита информации и доступа, аутентификация и авторизация, шифрование данных.

  В проект включены следующие механизмы защиты для обеспечения безопасности телефонной связи с конечных устройств, основанные на приложении J рекомендации ITU-T H.323:

• Механизм защиты, основанный на цифровых сертификатах (CBSP);

• Механизм защиты, основанный на паролях (PBSP);

• Механизм защиты, основанный на шифровании информации.

  Основным механизмом защиты является использование цифровых сертификатов. Реализация функций безопасности в данном механизме показана в табл.2.1.

  В тех странах, где технология CBSP не реализована, должен использоваться механизм на базе паролей. Однако, следует отметить, что PBSP является самым простым механизмом и не обеспечивает уровень защиты, реализуемый при использовании CBSP. 

  Криптографическая защита информации является необязательным требованием и используется только в сценариях, когда необходимо обеспечить секретность передаваемой информации. Оба механизма CBSP и PBSP используют модель безопасности при маршрутизации через шлюз на базе Приложения F Рекомендации H.323.

2.2.3. Обеспечение безопасности  на базе протокола  OSP

  Компании 3Com, Cisco и ряд других сообщили о поддержке предварительного стандарта IP-телефонии – Open Settlement Protocol (OSP), - который предназначен для решения взаимодействия сетей различных провайдеров. Это простой протокол, позволяющий различным компаниям – владельцам средств связи осуществлять коммуникации в пределах всей страны. К примеру, он позволяет устанавливать автора звонка, санкционировать обслуживание вызова и указывать расчетную информацию, которая будет включена в записи, содержащие подробные данные об этой транзакции.

  Рабочая группа института ETSI одобрила этот протокол, а производители в ближайшее время намерены провести его тестирование. Новый протокол был разработан в рамках проекта TIPHON. Протоколу OSP еще предстоит пройти процедуру окончательной ратификации. Однако ведущие компании, предоставляющие услуги IP-телефонии, включая Ascend, GTE, AT&T и Internet Telephony Exchange Carrier (ITXC), уже заявили о поддержке протокола OSP. В то же время компании Lucent и Nortel выразили свою заинтересованность и в целом готовы поддержать стандарты на IP-телефонию, но от окончательной оценки OSP пока воздержались.

  Основные характеристики спецификации Open Settlement Protocol (OSP):

• Шифрование Secure Sockets Layer;

• Безопасная аутентификация участников сеанса связи  с помощью

шифрования  открытым и частным ключами;

• Поддержка  технологии цифровой подписи;

• Обмен  информации с помощью XML.

  При условии внедрения единого способа выполнения аутентификации и обеспечения взаимосвязи различных сетей значительно упростится задача выбора провайдера услуг IP-телефонии. В настоящее время ни один провайдер не может пока предлагать свои услуги во всех регионах, а стандартный подход позволит им обеспечить более «прозрачные» службы и в более широкой географической области. Однако при этом возникает целый ряд вопросов. В частности, пока не установлено, каким образом сети будут взаимодействовать  друг с другом на уровне расчетов. Кроме того, расширение географии расширит и потенциальные возможности злоумышленников, а следовательно стоит серьезно отнестись к обозначенным механизмам обеспечения безопасности.

2.2.4 Вопросы безопасности  в протоколах SIP и  MGCP

 Данный протокол, похожий на HTTP и используемый абонентскими пунктами для установления соединения не обладает серьезной защитой и ориентирован на применение решений третьих фирм (например, PGP). В качестве механизма аутентификации RFC 2543 предлагает несколько вариантов и, в частности, базовую аутентификацию (как в HTTP) и аутентификацию на базе PGP. Пытаясь устранить слабую защищенность данного протокола, Майкл Томас из компании Cisco Systems разработал проект стандарта IETF, названный "SIP security framework", который описывает внешние и внутренние угрозы для протокола SIP и способы защиты от них. В частности, к таким способам можно отнести защиту на транспортном уровне с помощью TLS или IPSec. Компания Cisco в своей архитектуре безопасности корпоративных сетей SAFE, очень большое внимание уделяет практическим вопросам защиты IP-телефонии.

  Стандарт MGCP, определенный в RFC 2705 и неприменяемый на оконечных устройствах (шлюзы MGCP могут работать как с компонентами, поддерживающими H.323, так и с компонентами, поддерживающими SIP), использует для защиты голосовых данных протокол ESP спецификации IPSec.

  Может также использоваться и протокол AH (но только не в сетях IPv6), который обеспечивает аутентификацию и целостность данных (connectionless integrity) и защиту от повторений, передаваемых между шлюзами. В то же время, протокол AH не обеспечивает конфиденциальности данных, которая достигается применением ESP (наряду с другими тремя защитными функциями).