Каждый раз, когда я развертываю какую-нибудь новую потенциально ценную сетевую технологию, я должен прежде всего посмотреть, какие при этом уязвимости и угрозы добавляются к тем, что уже существуют. А после этого мне предстоит найти новое оружие для борьбы с самыми разными “плохими парнями”.

Самая последняя проблема с безопасностью у меня — это IP-телефония. Я намерен получить определённые выгоды, дополнив имеющийся у нас комплекс унифицированных коммуникаций передачей голоса по IP. В связи с этим я поручил одним сотрудникам изучить проблемы, а другим -- найти оптимальные решения для удовлетворения бизнес-потребностей компании. С помощью именно этих двух разных команд я собирался получить объективные оценки обеих проблем.

Мы знали, что протокол VoIP можно “обмануть”, и мы узанли, как это сделать. Но с удивлением обнаружили, что цифровой контент IP-пакетов, который переносит цифровизованный голос, также можно подменить.

На самом деле вы можете установить звонок, а затем использовать ложный путь для пересылки данных. Поскольку IP-телефон — это просто компьютер с преобразователем цифры в аналог, микрофоном и динамиком, в конечной точке звонка можно собрать фальшивые пакеты.

При этом нужно убедиться не только в том, что звонок идет к реальному человеку, но и в том, что содержание звонка — это цифровизованный голос и ничего больше. Я могу удостовериться, что у владельца IP-адреса есть доступ в директорию для услуг IP-телефонии, но у меня нет гарантии, что я соединен именно с телефоном: так называемые “программные телефоны” широко распространены в форме ПО с открытым кодом, а это упрощает их использование для перестройки пакетов в нечто отличное от аудиопотока.

В случае унифицированных коммуникаций я часто не знаю номер телефона человека, которому звоню. Я просто набираю его имя в директории и нажимаю кнопку “звонок”. Поэтому мне нужна уверенность, что все имена в директории адекватные, а это совсем не простая задача для списка в несколько миллионов входов, 10% из которых меняются каждый месяц.

Кроме того, необходимо проверять полезную информацию каждого VoIP-пакета и определять, является ли он оцифрованным голосом или чем-то еще. А затем надо решить, что с ним делать — пропустить, если все в порядке, или продолжить исследования, если нет. Это следует делать для всего трафика VoIP, как входящего, так и исходящего, поскольку иначе могут уйти данные, которые не должны были уходить и даже может быть украдена информация, которую нужно сохранить.

Хорошая новость состоит в том, что уже существует “умное” ПО, способное различить оцифрованный голос. А плохая новость такова: купить, развернуть и поддерживать еще одно приложение для того, чтобы сделать VoIP безопасным, — это определенные издержки, снижающие те выгоды, которые я мог бы иметь от технологии VoIP.