close
前言：VoIP的市場規模不斷擴大，據Gartner研究報告指出，2007年，北美地區的新裝電話系統，將有高達97％的比例採用VoIP或傳統電話與 VoIP的混合系統。在VoIP用戶數方面，Infonetics Research於2005年10月發表的最新研究數據指出，2008年北美VoIP用戶將突破2,400萬戶大關，其整體營收額2004年約為12.4 億美元，到了2009年，可望增激至234億美元；至於企業用戶方面，Radcati Group則指出，2008年將有44％的企業電話系統屬於VoIP技術。
至於台灣方面，IDC研究報告預估，2005年VoIP的整體營收將首度突破1億美元關卡，到了2008年，則有3.6億美元的巨量規模。Juniper亞太區企業解決方案行銷經理鄧愛茵亦指出，台灣在VoIP方面一直保持強力的成長態勢，2002年到2003年的成長幅度約14％，預估2005年到2008年之間的成長力道更強，並以40％的成長速度不斷擴大之中。
隨著用戶數量與市場規模的不斷擴大，安全問題不但逐漸浮現，今後勢必成為資安防護上的重大議題，在許多安全專家與研究機構的積極呼籲下，安全機制的建立遂成為VoIP導入過程中最重要的事情。
圖說：Infonetics Research研究數據指出，2008年北美VoIP用戶將突破2,400萬戶大關，其整體營收額2004年約為12.4億美元，到了2009年可望增激至234億美元。
VoIP安全問題 致使企業望之卻步
雖然VoIP的規模不斷在成長，但是除了基礎設施營運商之外，市場主要成長力道幾乎全集中在消費端，相形之下，企業導入VoIP的腳步顯得相當保守，但是依照當前趨勢與走向來看，VoIP絕對是企業迎合潮流與節省成本非走不可的一條路，因此，許多企業一直在評估VoIP的導入機制，其中，造成企業卻步的最大關鍵因素，即在安全問題。
究竟當前VoIP面臨什麼樣的安全問題？其嚴重性又如何呢？據德國資訊安全聯邦辦公室（Federal Office for Information Security；BSI）在日前發表的VoIPSEC研究報告歸納指出，當前VoIP所面臨的主要安全問題與攻擊類型，竟然高達19種之多，其中包括身分竊取、資料篡改、傳輸錯誤與話費詐欺……等不同的安全威脅。
由此可見，VoIP的確充斥許多令人憂心的潛在安全風險，尤其當前 VoIP的建置，為了顧及與既有IT資料網路的互通與成本，語音網路多半與資料網路合併，因此，原本資料網路上的安全威脅與漏洞，便轉而成為VoIP的一大負擔。對此，德國BSI呼籲企業用戶，務必針對現有安全防護能力、建置成本與預期效益等各種考量層面，慎審評估導入VoIP的可行性，BSI並建議，一旦決定導入VoIP，VoIP語音與資料網路最好分開建置，如此才可做好集中控管，將可能風險降至最低。
圖說：據德國BSI在日前發表的VoIPSEC研究報告的歸納指出，當前VoIP所面臨的主要安全議題與攻擊類型，竟然高達19種之多，其中包括身分竊取、資料篡改、傳輸錯誤與話費詐欺等不同安全威脅。（圖片來源／BSI網站）
不同於傳統電話，VoIP最大的特點，就是能透過IP網路進行語音互通，所以VoIP可與資料網路統合在同一個網路架構下，因而成為降低營運服務與建置成本上的最大優勢。如果為了牽就安全因素，而完全放棄上述優勢，似乎說不過去；但若不理會安全問題，除了繼續保有TDM／PBX系統既有的非法搭線監聽等安全疑慮外，還可能遭到來自資料網路上肆虐已久的惡意程式、網路釣魚、網址嫁接（Pharming）、拒絕服務（Denial of Service；DoS）的攻擊，而這也是讓企業猶豫是否要跨入VoIP的主因。
圖說：此為VoIP架構示意圖，其中IP PBX電話系統主要職司管理企業電話連線，並扮演與外部語音網路連繫閘道的角色，它是結合交換／路由器與掌控VoIP交換機的整合系統。
由於VoIP是依照TCP／IP協定群組的規範運行，因此，TCP／IP協定所面對的病毒、木馬、間諜軟體、駭客入侵等攻擊，都可能發生在VoIP上。無論如何，要剖析VoIP的安全問題，必須從兩個面向加以分析，一是包括VoIP系統網路的安全問題；另一個則是VoIP語音封包的內容安全。前者關乎 VoIP系統營運商，不論是IP PBX電話交換機、路由器與語音閘道等傳統實體設備，抑或相關電腦網路軟硬體，乃至帳戶資料庫，都可能遭受非法入侵、監聽、特權升級（Privilege Escalation）、系統濫用、竄改封包內容與目的地位址、DoS攻擊或惡意程式攻擊等風險。至於語音封包的內容安全，則關乎用戶端的安全，由於當前 VoIP的安全問題幾乎都集中在用戶端方面，所以斷話、話費欺詐、身分冒用等攻擊，遂成為VoIP用戶最耳熟能詳的安全風險。
安全廠商 McAfee即指出，VoIP安全問題最令人憂心的地方，就是其攻擊可能來自於各種不同層面，我們從德國BSI所列舉的VoIP安全風險即高達19種即可窺見該問題的嚴重性，這也使得安全上的防護遠較其他IT技術更為棘手。為了簡化項目繁雜的VoIP安全問題，Juniper技術經理冼柏齡則將攻擊類型大致歸納成4大類，分別為阻斷式服務（DoS）攻擊、非法存取（Unauthorized Access）、話費詐欺（Toll Fraud）或竊聽（Eavesdropping）等安全上的威脅。
當然，用戶端的VoIP軟硬體應用（尤其是VoIP軟體），也同樣會受到電腦作業系統、應用軟體或VoIP相關通訊協定等安全漏洞的衝擊，其中SIP呼叫控制、RTP語音傳輸或RTCP控制協定的安全漏洞，不但會造成營運系統商的安全風險，同時也會牽累VoIP用戶。
9項常見的VoIP安全問題
長遠地來看VoIP的發展，最讓安全專家引以為憂的，還是垃圾語音問題（Spam over Internet Telephony；SPIT），我們會在後文特別討論，在此先不贅述，至於當前常見的VoIP安全問題，則羅列如下。
1.阻斷式服務攻擊（DoS）
阻斷式服務攻擊一直是駭客在網際網路四處尋求下手目標或企業網站的慣用手法，隨著VoIP的普及，駭客當然會將同樣手法施展在VoIP上。駭客可以對IP PBX電話交換機、語音閘道，或客戶端的數據機等不同目標進行DoS攻擊。
一般來說，要建立VoIP通話，必須將語音訊號轉變成網路封包，若在傳送過程想中斷通話，系統就必須傳送特定訊號來中斷連線，因此駭客可以透過不斷傳送中斷訊號封包的方式攻擊VoIP，使其通話品質大受影響，如果攻擊量夠大，還可能造成斷話的情形。
如果駭客將挾帶巨大流量的DoS攻擊矛頭指向用戶端的ADSL或纜線（Cable）數據機，也會造成網路電話通話品質惡化，此即所謂的流量攻擊（Clipping）。此外，目前VoIP上也常出現所謂的語音信箱炸彈（V-bombing）攻擊，其手法類似垃圾郵件以量取勝的攻擊方式，它是以單一的VoIP語音信箱為攻擊目標，並以同時爆增的巨量語音郵件來癱瘓VoIP的語音留言服務。
令人擔憂的是，殭屍網路（Botnet）攻擊技術的導入，將可能使上述VoIP DoS、Clipping與V-bombing等安全問題雪上加霜，這對企業VoIP的安全與推展造成極大的殺傷力，如果企業VoIP三天兩頭地發生通話中斷的情況，勢將造成業務或營運上的損失與困擾，對於企業而言，不安全的VoIP即使再便宜，也是得不償失。
2.話費欺詐（Toll Fraud）
相信許多人都接過詐騙電話，這類惡意電話多半採用社會工程手法，來誘騙受害者撥打按次收費電話、國際電話或對方付費電話，受害者往往在事後收到天文數字的帳單時，才發覺受騙。而這類傳統電話上的詐騙手法，當然也毫不客氣的如法泡製到VoIP上。
除了社會工程手法的話費欺詐外，駭客還能透過對用戶ADSL或纜線網路進行封包攔截的方式，進而竊取其他用戶的ID帳號來盜打電話，受害者將可能莫明其妙地收到高額帳單。此外，駭客也可直接入侵語音閘道，並盜用某企業或個人的線路，而結果一樣會讓受害者的荷包大失血。
3.竊聽（Eavesdropping）
由於任何網站、系統都可能會被駭客入侵，任何封包也可能遭到駭客攔截，所以同樣身處IP網路的VoIP語音內容，也可能遭到駭客的竊聽或通話攔截（Call Highjack），如此一來，不但個人或商業機密因此外洩，同時也成為駭客藉以敲詐的籌碼。如今，網路上甚至可以下載到免費竊聽工具，如 Libpcap、TCPDUMP與VOMIT（Voice over Misconfigured Internet Telephones）等軟體，其不但可以監控並抓取某特定網段的VoIP封包，還可將VoIP語音內容，重新組裝轉換成為通用的WAV檔。
除此之外，中間人攻擊（Man-in-the-Middle）亦為VoIP上另一種竊聽攻擊手法，主要是由駭客偽裝成SIP代理服務（SIP Proxy），藉此攔截記錄所有VoIP呼叫。面對竊聽，安全專家多半建議以加密方式對語音內容進行保護，這樣一來，即使語音封包被攔截，其內容仍不易解開。
4.通話者身分冒用（Caller ID Spoofing）
通話者身分冒用問題早在傳統TDM電話系統裡即已出現，其原本只是單純的將來電顯示，改變成使用戶想顯示的任何數字或電話號碼，同時網路上亦不乏許多公司提供這方面的服務，但是心懷不軌者卻讓該服務完全變質。
從VoIP推出以來，通話者身分冒用即率先成為嚴重的安全問題，甚至有愈演愈烈之勢。因為駭客可以藉由該服務，冒用他人名義來撥打VoIP，甚至可以藉此躲藏在假冒的電話號碼後頭，進行任何網路詐騙或恐嚇的行徑，例如假冒銀行、公司或客戶的名義或電話號碼，誘騙受害者回電，一旦回電，就可能會陷入話費詐欺的陷阱中。
5.非法入侵（Unauthorized Acess）
在資料網路領域，非法入侵早已是個存在已久的老議題，駭客多半藉助各種管道進行入侵，最常見的方式，就是透過掃描工具來發掘網站伺服器的安全漏洞，抑或透過各種蠕蟲、木馬等惡意程式以及DDoS攻擊，來癱瘓入侵偵測的安全防護設備，尤其是身處網路邊界處的閘道伺服器、代理伺服器，更常成為入侵網路主機的跳板。由於駭客早已累積許多非法入侵的經驗，網路上甚至可以輕易下載各種駭客工具，所以非法入侵也成為當前VoIP的重大安全議題之一。
此外，由於當前許多VoIP的建置，多半將語音網路與資料網路合併在一起，這也使得與VoIP伺服器存在信任關係的資料伺服器，成為駭客攻擊的對象，一旦駭客入侵得逞，也可能獲得存取VoIP伺服器的權限。總而言之，非法入侵會讓駭客任意竊取或篡改通話資料、阻礙或竊取合法用戶使用權，或癱瘓VoIP服務。
6.網址嫁接（Pharming）
目前VoIP最嚴重而常見的安全問題，莫過於網址轉接，可說是網路釣魚（Phishing）的變種手法，與Phishing不同的是，它直接攻擊網域名稱系統伺服器（Domain Name System；DNS），並藉由快取下毒（Cache Poisoning）技術篡改DNS Server的內容。如今，Pharming則進一步從一般網站攻擊上轉攻VoIP，導致使用戶在不知情的狀況下，被莫明其妙地轉接到不明的IP位址上，受害者不僅因而通話費大漲，甚至有可能被駭客胡亂地以電話下單或購買股票。
7.Client端應用程式或通訊協定漏洞
VoIP上的安全問題，除了來自駭客的主動攻擊外，客戶端應用程式、管理工具，甚至VoIP本身所採用的H.323、SIP等通訊協定，也都可能出現漏洞。不過，當前仍以客戶端應用程式的漏洞最多、也最常見。
當前全球最風行的網路電話軟體Skype，前不久即出現一連串的安全漏洞，由於Skype軟體從2003年8月發表以來，其下載次數已突破1.86億次大關，平均同時上線的使用戶高達300多萬人，所以今後任何有關Skype軟體的安全漏洞，都可能造成重大的影響。
前不久，Skype公司即對外公告發現2個安全漏洞，分別可能造成緩衝區溢位錯誤、DoS攻擊或被駭客由遠端操控系統等風險。此外，Secunia安全公司亦發現另一個Skype安全漏洞，該弱點會引發堆疊溢位錯誤（Heap-based Buffer Overflow），進而造成駭客入侵，讓使用者電腦完全癱瘓。
8.電話伺服器等VoIP設備的安全漏洞問題
安全專家表示，電話伺服器等VoIP設備與客戶端應用軟體一樣，都可能因通訊協定的安全漏洞而引發被攻擊的危險，由於VoIP電話伺服器的核心亦靠軟體來運作，所以本身也有漏洞問題。在目前VoIP的營運服務當中，VoIP電話伺服器往往負責了1家企業的通話服務，如果電話伺服器遭受攻擊而停擺，其影響與破壞力是可以想見的。
日前，思科系統公司（Cisco Systems）的CallManager軟體即存在可能引發DoS攻擊的安全漏洞。駭客可藉由該漏洞引發CallManager緩衝區溢位，並造成 CallManager伺服器被迫關機，駭客可藉此重啟並掌控伺服器，以存取VoIP網路中的設備，抑或展開Pharming攻擊、監聽通話等惡意行徑。
安全專家另外指出，由於思科系統的Call Manager電話伺服器支援SQL伺服器，所以SQL Slammer蠕蟲也可能造成思科Call Manager與VoIP網路的危險。
9.安全與語音品質成反比的問題
另一個嚴重的問題，則是安全性似乎永遠和語音品質背道而馳。據Gartner表示，當前VoIP收費級的語音品質，其單向傳輸延遲率不得超過150毫秒，撇開網路傳輸距離不算，光加上語音加密編碼，以及防火牆、入侵偵測等安全防護措施，絕對讓語音品質不及格。
除了當前標榜具備VoIP安全防護功能的多功能防火牆、VPN或IDS等安全設備外，大部分企業所採用的防火牆根本不支援VoIP，但SIP協定至少使用 3個通訊埠號，H.323則佔用2個，所以這些採用傳統防火牆的企業，若要採行VoIP，勢必要打開更多的通訊埠，但如此一來，也使得安全風險為之增高。
圖說：駭客往往採用社會工程手法來誘騙受害者撥打按次收費電話、國際電話或對方付費電話，受害者的荷包因而大失血。（曹乙帆攝影）
圖說：身處IP網路的VoIP語音內容，可能會遭到駭客的竊聽或攔截，如此一來，不但個人或商業機密可能因此外洩，同時也成為駭客藉以敲詐的籌碼。（曹乙帆攝影）
圖說：源自於目前網際網路上的Pharming攻擊，會直接篡改DNS Server內容，進而導致使用戶在不知情的狀況下，被莫明其妙地轉接到不明的IP位址上，受害者可能通話費大漲。
圖說：下載次數已突破1.86億次大關的Skype網路電話軟體，一旦出現安全漏洞，將會造成極大的影響。（圖片來源／Skype網站）
電子時報 記者曹乙帆／台北 2005/12/28
至於台灣方面，IDC研究報告預估，2005年VoIP的整體營收將首度突破1億美元關卡，到了2008年，則有3.6億美元的巨量規模。Juniper亞太區企業解決方案行銷經理鄧愛茵亦指出，台灣在VoIP方面一直保持強力的成長態勢，2002年到2003年的成長幅度約14％，預估2005年到2008年之間的成長力道更強，並以40％的成長速度不斷擴大之中。
隨著用戶數量與市場規模的不斷擴大，安全問題不但逐漸浮現，今後勢必成為資安防護上的重大議題，在許多安全專家與研究機構的積極呼籲下，安全機制的建立遂成為VoIP導入過程中最重要的事情。
圖說：Infonetics Research研究數據指出，2008年北美VoIP用戶將突破2,400萬戶大關，其整體營收額2004年約為12.4億美元，到了2009年可望增激至234億美元。
VoIP安全問題 致使企業望之卻步
雖然VoIP的規模不斷在成長，但是除了基礎設施營運商之外，市場主要成長力道幾乎全集中在消費端，相形之下，企業導入VoIP的腳步顯得相當保守，但是依照當前趨勢與走向來看，VoIP絕對是企業迎合潮流與節省成本非走不可的一條路，因此，許多企業一直在評估VoIP的導入機制，其中，造成企業卻步的最大關鍵因素，即在安全問題。
究竟當前VoIP面臨什麼樣的安全問題？其嚴重性又如何呢？據德國資訊安全聯邦辦公室（Federal Office for Information Security；BSI）在日前發表的VoIPSEC研究報告歸納指出，當前VoIP所面臨的主要安全問題與攻擊類型，竟然高達19種之多，其中包括身分竊取、資料篡改、傳輸錯誤與話費詐欺……等不同的安全威脅。
由此可見，VoIP的確充斥許多令人憂心的潛在安全風險，尤其當前 VoIP的建置，為了顧及與既有IT資料網路的互通與成本，語音網路多半與資料網路合併，因此，原本資料網路上的安全威脅與漏洞，便轉而成為VoIP的一大負擔。對此，德國BSI呼籲企業用戶，務必針對現有安全防護能力、建置成本與預期效益等各種考量層面，慎審評估導入VoIP的可行性，BSI並建議，一旦決定導入VoIP，VoIP語音與資料網路最好分開建置，如此才可做好集中控管，將可能風險降至最低。
圖說：據德國BSI在日前發表的VoIPSEC研究報告的歸納指出，當前VoIP所面臨的主要安全議題與攻擊類型，竟然高達19種之多，其中包括身分竊取、資料篡改、傳輸錯誤與話費詐欺等不同安全威脅。（圖片來源／BSI網站）
不同於傳統電話，VoIP最大的特點，就是能透過IP網路進行語音互通，所以VoIP可與資料網路統合在同一個網路架構下，因而成為降低營運服務與建置成本上的最大優勢。如果為了牽就安全因素，而完全放棄上述優勢，似乎說不過去；但若不理會安全問題，除了繼續保有TDM／PBX系統既有的非法搭線監聽等安全疑慮外，還可能遭到來自資料網路上肆虐已久的惡意程式、網路釣魚、網址嫁接（Pharming）、拒絕服務（Denial of Service；DoS）的攻擊，而這也是讓企業猶豫是否要跨入VoIP的主因。
圖說：此為VoIP架構示意圖，其中IP PBX電話系統主要職司管理企業電話連線，並扮演與外部語音網路連繫閘道的角色，它是結合交換／路由器與掌控VoIP交換機的整合系統。
由於VoIP是依照TCP／IP協定群組的規範運行，因此，TCP／IP協定所面對的病毒、木馬、間諜軟體、駭客入侵等攻擊，都可能發生在VoIP上。無論如何，要剖析VoIP的安全問題，必須從兩個面向加以分析，一是包括VoIP系統網路的安全問題；另一個則是VoIP語音封包的內容安全。前者關乎 VoIP系統營運商，不論是IP PBX電話交換機、路由器與語音閘道等傳統實體設備，抑或相關電腦網路軟硬體，乃至帳戶資料庫，都可能遭受非法入侵、監聽、特權升級（Privilege Escalation）、系統濫用、竄改封包內容與目的地位址、DoS攻擊或惡意程式攻擊等風險。至於語音封包的內容安全，則關乎用戶端的安全，由於當前 VoIP的安全問題幾乎都集中在用戶端方面，所以斷話、話費欺詐、身分冒用等攻擊，遂成為VoIP用戶最耳熟能詳的安全風險。
安全廠商 McAfee即指出，VoIP安全問題最令人憂心的地方，就是其攻擊可能來自於各種不同層面，我們從德國BSI所列舉的VoIP安全風險即高達19種即可窺見該問題的嚴重性，這也使得安全上的防護遠較其他IT技術更為棘手。為了簡化項目繁雜的VoIP安全問題，Juniper技術經理冼柏齡則將攻擊類型大致歸納成4大類，分別為阻斷式服務（DoS）攻擊、非法存取（Unauthorized Access）、話費詐欺（Toll Fraud）或竊聽（Eavesdropping）等安全上的威脅。
當然，用戶端的VoIP軟硬體應用（尤其是VoIP軟體），也同樣會受到電腦作業系統、應用軟體或VoIP相關通訊協定等安全漏洞的衝擊，其中SIP呼叫控制、RTP語音傳輸或RTCP控制協定的安全漏洞，不但會造成營運系統商的安全風險，同時也會牽累VoIP用戶。
9項常見的VoIP安全問題
長遠地來看VoIP的發展，最讓安全專家引以為憂的，還是垃圾語音問題（Spam over Internet Telephony；SPIT），我們會在後文特別討論，在此先不贅述，至於當前常見的VoIP安全問題，則羅列如下。
1.阻斷式服務攻擊（DoS）
阻斷式服務攻擊一直是駭客在網際網路四處尋求下手目標或企業網站的慣用手法，隨著VoIP的普及，駭客當然會將同樣手法施展在VoIP上。駭客可以對IP PBX電話交換機、語音閘道，或客戶端的數據機等不同目標進行DoS攻擊。
一般來說，要建立VoIP通話，必須將語音訊號轉變成網路封包，若在傳送過程想中斷通話，系統就必須傳送特定訊號來中斷連線，因此駭客可以透過不斷傳送中斷訊號封包的方式攻擊VoIP，使其通話品質大受影響，如果攻擊量夠大，還可能造成斷話的情形。
如果駭客將挾帶巨大流量的DoS攻擊矛頭指向用戶端的ADSL或纜線（Cable）數據機，也會造成網路電話通話品質惡化，此即所謂的流量攻擊（Clipping）。此外，目前VoIP上也常出現所謂的語音信箱炸彈（V-bombing）攻擊，其手法類似垃圾郵件以量取勝的攻擊方式，它是以單一的VoIP語音信箱為攻擊目標，並以同時爆增的巨量語音郵件來癱瘓VoIP的語音留言服務。
令人擔憂的是，殭屍網路（Botnet）攻擊技術的導入，將可能使上述VoIP DoS、Clipping與V-bombing等安全問題雪上加霜，這對企業VoIP的安全與推展造成極大的殺傷力，如果企業VoIP三天兩頭地發生通話中斷的情況，勢將造成業務或營運上的損失與困擾，對於企業而言，不安全的VoIP即使再便宜，也是得不償失。
2.話費欺詐（Toll Fraud）
相信許多人都接過詐騙電話，這類惡意電話多半採用社會工程手法，來誘騙受害者撥打按次收費電話、國際電話或對方付費電話，受害者往往在事後收到天文數字的帳單時，才發覺受騙。而這類傳統電話上的詐騙手法，當然也毫不客氣的如法泡製到VoIP上。
除了社會工程手法的話費欺詐外，駭客還能透過對用戶ADSL或纜線網路進行封包攔截的方式，進而竊取其他用戶的ID帳號來盜打電話，受害者將可能莫明其妙地收到高額帳單。此外，駭客也可直接入侵語音閘道，並盜用某企業或個人的線路，而結果一樣會讓受害者的荷包大失血。
3.竊聽（Eavesdropping）
由於任何網站、系統都可能會被駭客入侵，任何封包也可能遭到駭客攔截，所以同樣身處IP網路的VoIP語音內容，也可能遭到駭客的竊聽或通話攔截（Call Highjack），如此一來，不但個人或商業機密因此外洩，同時也成為駭客藉以敲詐的籌碼。如今，網路上甚至可以下載到免費竊聽工具，如 Libpcap、TCPDUMP與VOMIT（Voice over Misconfigured Internet Telephones）等軟體，其不但可以監控並抓取某特定網段的VoIP封包，還可將VoIP語音內容，重新組裝轉換成為通用的WAV檔。
除此之外，中間人攻擊（Man-in-the-Middle）亦為VoIP上另一種竊聽攻擊手法，主要是由駭客偽裝成SIP代理服務（SIP Proxy），藉此攔截記錄所有VoIP呼叫。面對竊聽，安全專家多半建議以加密方式對語音內容進行保護，這樣一來，即使語音封包被攔截，其內容仍不易解開。
4.通話者身分冒用（Caller ID Spoofing）
通話者身分冒用問題早在傳統TDM電話系統裡即已出現，其原本只是單純的將來電顯示，改變成使用戶想顯示的任何數字或電話號碼，同時網路上亦不乏許多公司提供這方面的服務，但是心懷不軌者卻讓該服務完全變質。
從VoIP推出以來，通話者身分冒用即率先成為嚴重的安全問題，甚至有愈演愈烈之勢。因為駭客可以藉由該服務，冒用他人名義來撥打VoIP，甚至可以藉此躲藏在假冒的電話號碼後頭，進行任何網路詐騙或恐嚇的行徑，例如假冒銀行、公司或客戶的名義或電話號碼，誘騙受害者回電，一旦回電，就可能會陷入話費詐欺的陷阱中。
5.非法入侵（Unauthorized Acess）
在資料網路領域，非法入侵早已是個存在已久的老議題，駭客多半藉助各種管道進行入侵，最常見的方式，就是透過掃描工具來發掘網站伺服器的安全漏洞，抑或透過各種蠕蟲、木馬等惡意程式以及DDoS攻擊，來癱瘓入侵偵測的安全防護設備，尤其是身處網路邊界處的閘道伺服器、代理伺服器，更常成為入侵網路主機的跳板。由於駭客早已累積許多非法入侵的經驗，網路上甚至可以輕易下載各種駭客工具，所以非法入侵也成為當前VoIP的重大安全議題之一。
此外，由於當前許多VoIP的建置，多半將語音網路與資料網路合併在一起，這也使得與VoIP伺服器存在信任關係的資料伺服器，成為駭客攻擊的對象，一旦駭客入侵得逞，也可能獲得存取VoIP伺服器的權限。總而言之，非法入侵會讓駭客任意竊取或篡改通話資料、阻礙或竊取合法用戶使用權，或癱瘓VoIP服務。
6.網址嫁接（Pharming）
目前VoIP最嚴重而常見的安全問題，莫過於網址轉接，可說是網路釣魚（Phishing）的變種手法，與Phishing不同的是，它直接攻擊網域名稱系統伺服器（Domain Name System；DNS），並藉由快取下毒（Cache Poisoning）技術篡改DNS Server的內容。如今，Pharming則進一步從一般網站攻擊上轉攻VoIP，導致使用戶在不知情的狀況下，被莫明其妙地轉接到不明的IP位址上，受害者不僅因而通話費大漲，甚至有可能被駭客胡亂地以電話下單或購買股票。
7.Client端應用程式或通訊協定漏洞
VoIP上的安全問題，除了來自駭客的主動攻擊外，客戶端應用程式、管理工具，甚至VoIP本身所採用的H.323、SIP等通訊協定，也都可能出現漏洞。不過，當前仍以客戶端應用程式的漏洞最多、也最常見。
當前全球最風行的網路電話軟體Skype，前不久即出現一連串的安全漏洞，由於Skype軟體從2003年8月發表以來，其下載次數已突破1.86億次大關，平均同時上線的使用戶高達300多萬人，所以今後任何有關Skype軟體的安全漏洞，都可能造成重大的影響。
前不久，Skype公司即對外公告發現2個安全漏洞，分別可能造成緩衝區溢位錯誤、DoS攻擊或被駭客由遠端操控系統等風險。此外，Secunia安全公司亦發現另一個Skype安全漏洞，該弱點會引發堆疊溢位錯誤（Heap-based Buffer Overflow），進而造成駭客入侵，讓使用者電腦完全癱瘓。
8.電話伺服器等VoIP設備的安全漏洞問題
安全專家表示，電話伺服器等VoIP設備與客戶端應用軟體一樣，都可能因通訊協定的安全漏洞而引發被攻擊的危險，由於VoIP電話伺服器的核心亦靠軟體來運作，所以本身也有漏洞問題。在目前VoIP的營運服務當中，VoIP電話伺服器往往負責了1家企業的通話服務，如果電話伺服器遭受攻擊而停擺，其影響與破壞力是可以想見的。
日前，思科系統公司（Cisco Systems）的CallManager軟體即存在可能引發DoS攻擊的安全漏洞。駭客可藉由該漏洞引發CallManager緩衝區溢位，並造成 CallManager伺服器被迫關機，駭客可藉此重啟並掌控伺服器，以存取VoIP網路中的設備，抑或展開Pharming攻擊、監聽通話等惡意行徑。
安全專家另外指出，由於思科系統的Call Manager電話伺服器支援SQL伺服器，所以SQL Slammer蠕蟲也可能造成思科Call Manager與VoIP網路的危險。
9.安全與語音品質成反比的問題
另一個嚴重的問題，則是安全性似乎永遠和語音品質背道而馳。據Gartner表示，當前VoIP收費級的語音品質，其單向傳輸延遲率不得超過150毫秒，撇開網路傳輸距離不算，光加上語音加密編碼，以及防火牆、入侵偵測等安全防護措施，絕對讓語音品質不及格。
除了當前標榜具備VoIP安全防護功能的多功能防火牆、VPN或IDS等安全設備外，大部分企業所採用的防火牆根本不支援VoIP，但SIP協定至少使用 3個通訊埠號，H.323則佔用2個，所以這些採用傳統防火牆的企業，若要採行VoIP，勢必要打開更多的通訊埠，但如此一來，也使得安全風險為之增高。
圖說：駭客往往採用社會工程手法來誘騙受害者撥打按次收費電話、國際電話或對方付費電話，受害者的荷包因而大失血。（曹乙帆攝影）
圖說：身處IP網路的VoIP語音內容，可能會遭到駭客的竊聽或攔截，如此一來，不但個人或商業機密可能因此外洩，同時也成為駭客藉以敲詐的籌碼。（曹乙帆攝影）
圖說：源自於目前網際網路上的Pharming攻擊，會直接篡改DNS Server內容，進而導致使用戶在不知情的狀況下，被莫明其妙地轉接到不明的IP位址上，受害者可能通話費大漲。
圖說：下載次數已突破1.86億次大關的Skype網路電話軟體，一旦出現安全漏洞，將會造成極大的影響。（圖片來源／Skype網站）
電子時報 記者曹乙帆／台北 2005/12/28
全站熱搜
留言列表
認識 馬堤 (3)