Информационная безопасность телекоммуникационных систем с выходом в Интернет: Учебно-методическое пособие

М И Н И СТ Е РСТ В О О БРА ЗО В А Н И Я И Н А У К И РО ССИ Й СК О Й Ф Е Д Е РА Ц И И В О РО Н Е Ж СК И Й ГО СУ Д А РСТ В Е Н Н Ы Й У Н И В Е РСИ Т Е Т

И н ф орм а цион н а я б е зопа сн ость те ле ком м ун ика цион н ы х систе м с вы х одом в И н те рн е т

У чебно-метод и ческоепособи еккурсу“И нформаци оннаябезопасность тел екоммуни каци онны х си стем” Специ ал ьность “М атемати ческоеи программноеобеспечени езащ и ты и нформаци и ” (010213)

В О РО Н Е Ж 2004

2

У тверж д ено научно-метод и чески м советом факул ьтета при кл ад ной математи ки , и нформати ки и мех ани ки 20 мая2004 г., протокол № 7.

Состави тел ь

Гол уб В .А .

У чебно-метод и ческое пособи е под готовл ено на кафед ре тех ни ческой ки бернети ки и автомати ческого регул и ровани я В оронеж ского госуд арственного уни верси тета. Рекоменд уется д л я студ ентов 4 курса д невного отд ел ени я специ ал ьности “М атемати ческоеи программноеобеспечени езащ и ты и нформаци и ” (010213)

3

С ОДЕРЖ А НИ Е 1. И нформаци оннаябезопасность сетей GPRS… … … … … … … … … … … .....4 1.1. Структурасети GPRS… … … … … … … … … … … … … … … … … … … ...4 1.2. М ех ани змы обеспечени яи нформаци онной безопасности GPRS… ....6 2. И нформаци оннаябезопасность IP-тел ефони и … … … … … … … … … … ....10 2.1. Структураси стемы IP-тел ефони и … … … … … … … … … … … … … ....10 2.2. У грозы и нформаци онной безопасности IP-тел ефони и … … … … .… .10 2.3. О беспечени еи нформаци онной безопасности IP-тел ефони и … … … .12 Л и тература… … … … … … … … … … … … … … … … … … … … … … … … … … ...15

4

1. И н ф ор м а цион н а я б е зопа сн ость се те йGPRS 1.1. С трук тура се ти GPRS Станд арт сотовой связи GPRS (General Packet Radio Service) явл яется перех од ны м к станд артам третьего покол ени я и пред ставл яет расш и рени е сущ ествую щ и х сотовы х сетей TDMA/IS-136 и GSM, д обавл яя к уж е и мею щ и мся сетям си стему вы сокоскоростной пакетной перед ачи д анны х , на основе которой могут бы ть органи зованы д опол ни тел ьны е усл уги , при сущ и е си стемам связи третьего покол ени я. Суть под х од а станд арта GPRS состои т в разби ени и и нформаци и на мал еньки е пакеты , что позвол яет направи ть сразу нескол ько потоков д анны х и речи по од номуканал у. Си стема GPRS пред назначена д л я перед ачи д анны х с вы сокой скоростью – от14,4 К би т/спри и спол ьзовани и од ного временного сл отаи д о 115 К би т/спри объ ед и нени и нескол ьки х сл отов, т.е. почти в 12 раз бы стрее работы перед ачи д анны х в обы чны х сетях GSM (9,6 К би т/с); реал ьной на сегод няш ни й д ень явл яется скорость 40… 50 К би т/с. Си стема GPRS опти мал ьно при способл ена д л я преры ви стого трафи ка, х арактерного д л я сетей И нтернет. С помощ ью моби л ьного тел ефонаGPRS пол ьзовател и могутработать со своей эл ектронной почтой, с обы чны ми Web-серверами (а не со специ ал ьны ми WAP-верси ями , возмож ности которы х си л ьно ограни чены ), т.е., по-сущ еству, сочетани еGPRS – GSM пред ставл яет моби л ьны й экви вал ент вари анта под кл ю чени я персонал ьного компью тераксети И нтернетпо скоростномуканал усвязи [1]. Т ех нол оги я GPRS, д ействую щ ая в сетях GSM, в отл и чи е от сущ ествую щ и х способов перед ачи д анны х по коммути руемы м GSM–канал ам, обеспечи вает постоянное IP-соед и нени е. В аж ное д остои нство GPRS-сетей состои тв том, что пол ьзовател ь опл ачи вает тол ько объ ем перед аваемой/пол учаемой и нформаци и , а не время нах ож д ени я в сети . Д о разработки тех нол оги и GPRS абонент опл ачи вал все время соед и нени я незави си мо от того, и спол ьзовал он установл енны й канал перед ачи д анны х . И ны ми сл овами , ресурсы сети зад ействованы тол ько во время непосред ственной перед ачи д анны х от тел ефона. В о время пауз(напри мер, просмотр пол ученной эл ектронной почты ) ресурсы сети пред оставл яю тсяв распоряж ени ед руги х абонентов. А рх ите к тура GPRS вкл ю чает сл ед ую щ и е компоненты , д ва и з которы х отсутствую тв тех нол оги и GSM [2]. 1. М об ильн а я ста н ция (MS - mobile station), в качестве которой мож ет вы ступать переносной и л и карманны й компью тер, моби л ьны й тел ефон и л и и ное устройство, под д ерж и ваю щ ее тех нол оги ю GPRS. Ф ункци онал ьно д анны й эл ементсостои ти з2-х компонентов, которы емогутбы ть вы пол нены какв ви д е ед и ного устройства, таки в ви д есамостоятел ьны х устройств [2]: • терми нал ьное оборуд овани е (terminal equipment - TE), напри мер, переносной компью тер; • моби л ьны й терми нал (mobile terminal - MT), напри мер, мод ем.

5

В зави си мости от ти па оборуд овани я и возмож ностей сети моби л ьнаястанци ямож етработать в од ном и зтрех реж и мов работы [2]: • кл асс A - позвол яетмоби л ьной станци и в од но и то ж е время перед авать как д анны е, так и гол ос, т.е. од новременно работать в GSM- и GPRSсетях ; • кл ассB - позвол яетмоби л ьной станци и перед авать и д анны е, и гол ос, но в разны емоменты времени , т.е. неод новременно; • кл ассC - позвол яетмоби л ьной станци и работать тол ько в реж и меGPRS. П ри под кл ю чени и ксети GPRS моби л ьная станци я (а точнее, терми нал ьное оборуд овани е - TE) пол учает IP-ад рес, которы й не меняется д о момента откл ю чени я моби л ьного терми нал а (MT). М оби л ьная станци я устанавл и вает соед и нени есузл ом обсл уж и вани яабонентов GPRS, опи сы ваемы м д ал ее. 2. Ба зова я ста н ция (BSS - base station system) при ни мает рад и оси гнал от моби л ьной станци и и , в зави си мости от того, что перед ается - гол ос и л и д анны е, трансл и рует трафи к на центр коммутаци и (mobile switching center MSC), явл яю щ и йся станд артны м эл ементом сети GSM, л и бо на узел обсл уж и вани я абонентов SGSN, отвечаю щ и й за обработку вх од ящ и х /и сх од ящ и х д анны х GPRS. 3. Узе л об служива н ия а б он е н тов GPRS (serving GPRS support nodeт SGSN) явл яетсяосновны м компонентом GPRS-сети . О н трансл и руетIP-пакеты , посы л аемы е/пол учаемы е моби л ьной станци ей. П о своей сути это такой ж е центр коммутаци и , как и моби л ьны й центр коммутаци и MSC в GSM, но в отл и чи е от посл ед него, SGSN коммути рует пакеты , а не канал ы . К акправи л о, такой узел построен набазеО С Unix и и меетсвой IP-ад рес. С точки зрени я безопасности , на узел обсл уж и вани я абонентов SGSN возл ож ены функци и [2]: 1. проверки разреш ени й абонентов на пол ьзовани е запраш и ваемы х усл уг (аутенти фи каци я). М ех ани зм аутенти фи каци и GPRS совпад ает с анал оги чны м мех ани змом в GSM; 2. мони тори нг акти вны х абонентов; 3. реги страци яновы х абонентов; 4. ш и фровани е д анны х . А л гори тм ш и фровани я в тех нол оги и GPRS (GEA1, GEA2, GEA3) отл и чаю тсяотал гори тмов ш и фровани яв GSM (A5/1, A5/2, A5/3), но разработаны наи х основе. 4. Узе л м а рш рутиза ции GPRS (gateway GPRS support node - GGSN) отвечает за при ем/перед ачу д анны х и з внеш ни х сетей, напри мер, Internet и л и GPRS-сети д ругого оператора связи . С точки зрени я внеш ней сети GGSN - это обы чны й марш рути затор (как и SGSN, построенны й на базе Unix), которы й при ни мает д анны е д л я всех пол ьзовател ей усл уг GPRS. П оми мо марш рути заци и , GGSN отвечаетзавы д ачу IP-ад ресов и тари фи каци ю усл уг. К д руги м эл ементам GPRS-сети относятся[2]: 1. Home Location Register (HLR) - реестр собственны х абонентов сети , которая х рани т и нформаци ю о каж д ом чел овеке, опл ати вш ем усл уги оператора GPRS и менно д анной сети . В частности , HLR х рани т и нформаци ю о д опол ни тел ьны х усл угах , параметрах аутенти фи каци и , IP-

6

ад ресе и т.д . О бмен д анной и нформаци ей прои сх од и т меж д у HLR и SGSN. 2. Visitor Location Register (VLR) - реестр перемещ ени й , которы й х рани т и нформаци ю о каж д ой моби л ьной станци и , нах од ящ ей ся в д анны й момент в зоне д ействи я SGSN. В VLR х рани тся та ж е и нформаци я об абоненте, что и в HLR, но тол ько д о тех пор, пока абонент не поки нет географи ческую зону, обсл уж и ваемую эти м реестром перемещ ени й. 3. Equipment Identity Register (EIR) - реестр и д енти фи каци онны х д анны х оборуд овани я, которы й сод ерж и т и нформаци ю , позвол яю щ ую бл оки ровать вы зовы от украд енны х , мош енни чески х и л и и ны х неавтори зованны х устройств. 1.2. М е х а н изм ы об е спе че н ия ин ф орм а цион н ойб е зопа сн ости GPRS В сотовой сети GPRS д ол ж на бы ть обеспечена безопасность сл ед ую щ и х фрагментов [2]: 1. безопасность моби л ьной станци и ; 2. безопасность соед и нени я меж д у моби л ьной станци ей и узл ом обсл уж и вани яSGSN; 3. безопасность д анны х в процессеи х перед ачи по сети GPRS; 4. безопасность д анны х в процессе и х перед ачи меж д у разл и чны ми операторами GPRS-усл уг; 5. безопасность д анны х в процессе и х перед ачи в сети откры того д оступа, напри мер, Internet. Бе зопа сн ость м об ильн ой ста н ции (моби л ьного тел ефона) опред ел яется безопасностью д вух составл яю щ и х : самого аппарата, в состав программного обеспечени я которого вкл ю чены уни кал ьны й номер IMEI и ал гори тм ш и фровани яA5, и SIM-карты . SIM-ка рта (Subscriber Identity Module) - мод ул ь и д енти фи каци и абонента, сод ерж ащ и й и нформаци ю о серви сах , пред оставл яемы х абоненту, незави си мо отти паи спол ьзуемого моби л ьного оборуд овани я. С точки зрени ябезопасности SIM-картаотвечаетзаи д енти фи каци ю абонентаи аутенти фи каци ю моби л ьного тел ефонав GPRS-сети . SIM-картасод ерж и т: 1. PIN-код д л яд оступакфункци ям карты ; 2. и д енти фи катор IMSI; 3. и нд и ви д уал ьны й кл ю чаутенти фи каци и абонентад л и ной 128 би тKi; 4. ал гори тм генераци и кл ю чей ш и фровани яA8; 5. ал гори тм аутенти фи каци и A3. В состав программного обеспечени я тел ефона вкл ю чен уни кал ьны й номер IMEI и ал гори тм ш и фровани яA5. К аж д ы й абонент в GPRS-сети и меет уни кал ьны й меж д ународ ны й и д енти фи катор моби л ьного абонента IMSI (International Mobile Subscriber Identity), х рани мы й в SIM-карте. IMSI состои ти з3 эл ементов [2]: 1. трех разряд ны й код страны (д л яРосси и - 250)

7

2. д вух разряд ны й код сети (д л я М Т С - 01, д л я Би л ай н - 99, д л я СМ А РТ С - 07 и т.д .) 3. д есяти разряд ны й код абонента(Mobile Subscriber Identity Number, MSIN). А л гори тм A8 отвечает за генераци ю кл ю чей ш и фровани я, которы й, и спол ьзуя сл учайное чи сл о, перед аваемое на моби л ьны й терми нал в момент соед и нени я с сетью , и кл ю чKi генери т 64-би тны й кл ю чш и фровани я трафи ка. Т аккаки нд и ви д уал ьны й кл ю чKi и меется нетол ько у абонента, но и х рани тся в реестрах HLR и VLR, то и абонент, и оборуд овани есети созд аю тод и наковы й кл ю чш и фровани я, которы й и и спол ьзуетсяд л язащ и ты перед аваемы х д анны х . А л гори тм A3, отвечаю щ и й зааутенти фи каци ю абонента, пох ож наал гори тм A8 и такж е и спол ьзует сл учайное чи сл о, пол учаемое в момент под кл ю чени я к сети , и и нд и ви д уал ьны й кл ю чабонента. Д л я д оступакфункци ям SIM-карты необх од и мо и спол ьзовать специ ал ьны й персонал ьны й код (д руги ми сл овами , парол ь) PIN (Personal Identification Number), посл е 3-х неправи л ьны х попы ток ввод а которого, SIM-карта бл оки руется. Безопасность самого тел ефона, какуж е бы л о сказано вы ш е, обеспечи вается д вумямех ани змами : • ал гори тмом ш и фровани я A5, которы й обеспечи вает защ и ту д анны х , ци ркул и руемы х меж д у моби л ьной станци ей и узл ом обсл уж и вани я абонентов SGSN; • уни кал ьны м 14-ти разряд ны м меж д ународ ны м и д енти фи катором аппаратуры моби л ьной связи (International Mobile Equipment Identity, IMEI), которы й од нозначно и д енти фи ци руеттел ефон. (У знать этотномер очень просто - д остаточно набрать на тел ефоне комби наци ю *#06#. Н есовпад ени е вы свеченного чи сл а с запи санны м на зад ней кры ш ке тел ефонауказы ваетнавероятны й и мевш и йсявзл ом аппарата.) Н омераIMEI х ранятся в реестреи д енти фи каци онны х д анны х оборуд овани я EIR, которы й вед еттри ти паспи сков IMEI [2]: 1. "бел ы й " спи сок, сод ерж ащ и й и д енти фи каторы всех разреш енны х аппаратов; 2. "серы й " спи сок, сод ерж ащ и й и д енти фи каторы всех незапрещ енны х аппаратов, но и спол ьзуемы х д л я разл и чны х цел ей , напри мер, тести ровани яи т.п; 3. "черны й " спи сок, сод ерж ащ и й и д енти фи каторы всех запрещ енны х аппаратов. И д енти фи каторы IMEI и IMSI - незави си мы меж д у собой. Бол ее того - они реш аю т разл и чны езад ачи : IMEI и д енти фи ци рует моби л ьны й терми нал , а IMSI - абонента. Бе зопа сн ость сое дин е н ия моби л ьной станци и с узл ом обсл уж и вани я абонентов SGSN обеспечи вается ал гори тма ш и фровани я GPRS-A5, вы бор верси и которого прои сх од и т в процессе под кл ю чени я моби л ьной станци и к узл у обсл уж и вани яабонентов SGSN Бе зопа сн ость да н н ы х в проце ссе их пе ре да чи по се ти GPRS меж д у узл ами под д ерж ки (SGSN и GGSN) обеспечи вается с помощ ью специ ал ьного

8

протокол а перед ачи д анны х GTP (GPRS Tunneling Protocol), которы й вкл ю чает в себя л ю бы е пол ьзовател ьски е протокол ы , напри мер, HTTP, Telnet, FTP и т.д . П о умол чани ю GTP-трафи кне ш и фруется. Н евозмож ность прямого д оступа ксетевому оборуд овани ю и з внеш ни х сетей обеспечи вается тем, что опорнаясеть строи тсянабазечастны х IP-ад ресов [2]. Бе зопа сн ость в проце ссе вза им оде йствия с ра зличн ы м и опе ра тора м и GPRS-услуг возл агается на устройства, назы ваемы е пограни чны ми ш л ю зами (border gateway, BG), которы е очень пох ож и на обы чны е меж сетевы е экраны , защ и щ аю щ и е корпорати вны е сети от внеш ни х атак. В частности , этот ш л ю з защ и щ ает оператора от атак, связанны х с под меной ад реса (IP Spoofing). Н астройка такого ш л ю за вкл ю чает в себя созд ани е прави л , разреш аю щ и х вх од ящ и й/и сх од ящ и й пол ьзовател ьски й трафи к, д анны е би л л и нговой си стемы , аутенти фи каци ю роуми нговы х абонентов и т.п. Бе зопа сн ость в проце ссе вза им оде йствия с Internet обеспечи вается преж д е всего на узл е марш рути заци и GGSN, в состав которого вх од и т меж сетевой экран, которы й опред ел яет ти п вх од ящ его и и сх од ящ его GPRSтрафи ка. Зад ача меж сетевого экрана, вх од ящ его в состав узл а марш рути заци и GGSN, - защ и ти ть моби л ьную станци ю отвнеш ни х (и зInternet) атак. Защ и таот атакс д руги х моби л ьны х станци й возл агается на узел обсл уж и вани я абонентов SGSN. Д л япред отвращ ени яд оступаксетевому оборуд овани ю опорной сети от внеш ни х зл оумы ш л енни ков и спол ьзуется трансл яци я ад ресов (network address translation). В се остал ьны е мех ани змы защ и ты могут бы ть взяты и з кл асси ческой практи ки обеспечени я и нформаци онной безопасности Internetсетей и устройств [2]. Проце дура подключе н ия м об ильн ой ста н ции к сети GPRS мож ет бы ть опи санасл ед ую щ и м образом [2]: 1. М оби л ьная станци я посы л ает запрос (Attach Request) на пол учени е д оступаксети , которы й сод ерж и тряд параметров, вкл ю чаяи IMSI. 2. У зел обсл уж и вани я абонентов SGSN, пол учи в такой запрос, проверяет нал и чи еаутенти фи ци рую щ ей д анного абонентаи нформаци и в своей базе. Е сл и такаяи нформаци яотсутствует, то SGSN посы л аетзапросв реестр собственны х абонентов сети HLR, которы й возвращ ает так назы ваемы й аутенти фи каци онны й три пл ет, сод ерж ащ и й : • сл учай ное чи сл о, и спол ьзуемое в ал гори тмах A3 и A8 д л я вы работки кл ю чаш и фровани яи аутенти фи каци и абонента; • 32-х разряд ны й кл ю чаутенти фи каци и абонента, которы й вы рабаты вается на основе и нд и ви д уал ьного кл ю ча, х ранящ егося как на моби л ьной станци и , таки в реестреHLR; • кл ю чш и фровани я д анны х , пол учаемы й такж е на базе и нд и ви д уал ьного кл ю чаабонента. 3. П ол ученноесл учайноечи сл о перед аетсянамоби л ьную станци ю , которая наего основевы рабаты ваеткл ю чш и фровани я и кл ю чаутенти фи каци и . Т аккак и нд и ви д уал ьны е кл ю чи , х ранящ и еся в реестре собственны х абонентов сети HLR и на моби л ьной станци и , совпад аю т, то и кл ю чи ш и фровани я и

9

аутенти фи каци и такж е д ол ж ны совпад ать, что и явл яется фактом правомочности запросад анны м абонентом опл аченны х GPRS-усл уг. 4. П осл е и д енти фи каци и абонента осущ ествл яется и д енти фи каци я оборуд овани я, которое посы л ает на узел обсл уж и вани я абонентов SGSN и д енти фи катор IMEI. У зел обсл уж и вани я абонентов SGSN, в свою очеред ь, провод и т проверку д анного оборуд овани я по реестру и д енти фи каци онны х д анны х оборуд овани яEIR. 5. П осл е аутенти фи каци и абонента и оборуд овани я прои сх од и т процед ура опред ел ени яместопол ож ени яабонента(си спол ьзовани ем реестрасобственны х абонентов сети HLR и реестра перемещ ени й VLR), посл е чего прои сх од и т заверш ени е процед уры под кл ю чени я моби л ьной станци и ксети GPRS. В том сл учае, есл и моби л ьная станци я не смогл а пройти аутенти фи каци ю , то узел обсл уж и вани яSGSN посы л аетнанеесообщ ени е Attach Reject.

10

2. И н ф ор м а цион н а я б е зопа сн ость IP-те ле ф он ии IP-те ле ф он ия - тех нол оги я, позвол яю щ ая и спол ьзовать и нтернет-протокол (IP – Internet Protocol) пакетной перед ачи д анны х в качестве сред ства органи заци и и вед ени я тел ефонны х разговоров и перед ачи факсов в реж и ме реал ьного времени . 2.1. С трук тура систе м ы IP-те ле ф он ии Ц ентрал ьны м компонентом IP-тел ефони и явл яется се рве р(ш люз), которы й отвечает за соед и нени е тел ефонной и IP сетей , т.е. он под кл ю чен как к тел ефонной сети и мож ет д озвони ться д о л ю бого обы чного тел ефона, таки к сети перед ачи д анны х (напри мер, Internet) и мож етпол учи ть д оступ кл ю бому компью теру. В функци и д анного устройствавх од ят[3]: - ответнавы возвы зы ваю щ его абонента; - установл ени есоед и нени есуд ал енны м ш л ю зом и вы зы ваемы м абонентом; - оци фровка (код и ровани е), сж ати е, разби ени е на пакеты и восстановл ени е си гнал а. Н а вх од ш л ю за поступает обы чны й тел ефонны й си гнал , которы й ш л ю з оци фровы вает, сж и мает и перед ает в IP-сеть в ви д е обы чны х пакетов. Н а д ругом конце ш л ю з восстанавл и вает си гнал в обратном поряд ке. Ш л ю з мож ет и не и спол ьзоваться, есл и не пл ани руется и нтегри ровать IP-тел ефоны в тел ефонную сеть общ его пол ьзовани я[3]. Д л я того, чтобы мож но бы л о построи ть распред ел енную сеть IP-тел ефони и , необх од и мо нал и чи е диспе тче ра , которы й отвечает за распред ел ени е вы зовов меж д у ш л ю зами и , кроме того, провод и т аутенти фи каци ю и автори заци ю абонентов. Д и спетчертакж еобл ад аети нтерфейсом кби л л и нговой си стеме. Д л я уд обства ад ми ни стри ровани я бол ьш ого чи сл а уд ал енны х ш л ю зов и д и спетчеров мож ет и спол ьзоваться специ ал ьное программное обеспечени е, назы ваемое м он итором . П осл ед ни м обязател ьны м эл ементом сети IPтел ефони и явл яется а б он е н тскийпун кт, которы й мож ет бы ть реал и зован как программны м, так и аппаратны м способом. В первом сл учае звонки мож но осущ ествл ять через л ю бой компью тер, оснащ енны й звуковой картой и ми крофоном, аво втором сл учае в качествеабонентского пункта вы ступаеттак назы ваемы й IP-тел ефон [3]. 2.2. Угрозы ин ф орм а цион н ойб е зопа сн ости IP-те ле ф он ии Угрозы ин ф орм а ции пе реда ва е м ой посредством IP-те ле ф он ии вкл ю чаю т, преж д е всего, наруш ени е конфи д енци ал ьности и анал и з трафи ка, а такж енаруш ени е цел остности и нформаци и , при чем безопасность IP-тел ефони и мож ет наруш аться как путем атак, при сущ и х обы чной тел ефони и (напри мер, просл уш и вани етел ефонны х переговоров, мош енни чество со счетами и д р.), так и путем специ фи чески х атак, и спол ьзую щ и х особенности этого ви д асвязи .

11

Осн овн ы м и угроза м и ин ф орм а цион н ой б е зопа сн ости IPте ле ф он ии я вля ются [3]: 1. перех ватд анны х ; 2. отказв обсл уж и вани и ; 3. под менаномера; 4. атаки наабонентски епункты ; 5. атаки над и спетчеры . Пе ре х ва т да н н ы х - самая серьезная пробл ема как обы чной , так и IPтел ефони и . О д нако в сл учае IP- тел ефони и эта опасность намного вы ш е, т.к. зл оумы ш л енни ку уж е не над о и меть фи зи чески й д оступ ктел ефонной л и ни и . Си туаци ю ух уд ш ает ещ е и тот факт, что множ ество протокол ов, построенны х на базе стека TCP/IP, перед аю т д анны е в откры том ви д е, напри мер, HTTP, SMTP, IMAP, FTP, Telnet, SQL*net и , в том чи сл е, протокол ы IP-тел ефони и [3]. Зл оумы ш л енни к, которы й смог перех вати ть гол осовой IP-трафи к (а он по умол чани ю меж д у ш л ю зами не ш и фруется) мож ет восстанови ть и сх од ны е переговоры . Д л я этого сущ ествую т д аж е автомати зи рованны е сред ства. Н апри мер, ути л и та vomit (Voice Over Misconfigured Internet Telephones), которая конверти рует д анны е, пол ученны е в резул ьтате перех вата трафи ка с помощ ью свобод но распространяемого анал и затора протокол ов tcpdump, в обы чны й WAV-фай л [3]. П оми мо несанкци они рованного просл уш и вани я зл оумы ш л енни ки д л я д ости ж ени я свои х цел ей могут повторно перед ать перех ваченны егол осовы е сообщ ени я и л и и х фрагменты д л я д ости ж ени ясвои х цел ей. Сл ед ует отмети ть, что д л я перех вата гол осовы х д анны х зл оумы ш л енни к д ол ж ен и меть и нформаци ю об ад ресах ш л ю зов и л и абонентски х пунктов, и спол ьзуемы х VoIP-протокол ах (напри мер, H.323) и ал гори тмах сж ати я (напри мер, G.711). В проти вном сл учае, настройка программного обеспечени я д л я перех вататрафи кабуд етзатруд ни тел ьна и л и объ ем перех ваченны х д анны х и времяд л яи х анал и запревы сятд опусти мы епред ел ы [3]. П ерех ватд анны х мож етбы ть осущ ествл ен каки знутри корпорати вной сети , таки вне ее. Зл оумы ш л енни к, и мею щ и й д оступ кфи зи ческой сред е перед аче д анны х , мож ет под кл ю чи ть свой IP-тел ефон к коммутатору и под сл уш и вать чуж и е переговоры . О н такж е мож ет и змени ть марш руты д ви ж ени я сетевого трафи ка и стать централ ьны м узл ом корпорати вной сети , через которы й прох од и т и нтересую щ и й его трафи к. П ри чем есл и во внутренней сети с опред ел енной д ол ей вероятности мож но обнаруж и ть несанкци они рованно под кл ю ченное устройство, перех ваты ваю щ еегол осовы ед анны е, то во внеш ней сети обнаруж и ть ответвл ени я практи чески невозмож но. П оэтому л ю бой незаш и фрованны й трафи к, вы х од ящ и й запред ел ы корпорати вной сети , д ол ж ен счи татьсянебезопасны м [3]. Отка з в об служива н ии не х арактерен д л я трад и ци онной тел ефонной связи , но пред ставл яет серьезную пробл ему д л я IP-тел ефони и . Э то обусл овл ено тем, что при вы сокой нагрузке на сеть, в которой перед аю тся оци фрованны е гол осовы е д анны е, могут возни кать сущ ественны е и скаж ени я и д аж е пропад ани е части гол осовы х сообщ ени й [1, 3]. П оэтому од и н и зви д ов атакна

12

IP-тел ефони ю мож ет закл ю чаться в посы л ке на сервер IP-тел ефони и бол ьш ого чи сл а“ш умовы х ” пакетов, которы езасоряю тканал перед ачи д анны х , ав сл учае превы ш ени янекоторого порогового значени ямогутд аж евы вести и з строя часть сети IP-тел ефони и (атака “отказв обсл уж и вани и ”). Д л яреал и заци и такой атаки могут бы ть и спол ьзованы и звестны е DoS-атаки . О д ной и з мер защ и ты явл яетсярезерви ровани епол осы пропускани я[3]. Подм е н а н ом е ра в IP-тел ефони и мож ет бы ть осущ ествл ена с и спол ьзовани ем под мены IP-ад реса, которы й и грает рол ь тел ефонного номера. И спол ьзуя под мену IP-ад реса, зл оумы ш л енни кмож ет вы д ать себя за д ругого абонента. П оэтому во всех сущ ествую щ и х VoIP-станд артах стави тся зад ача обеспечени яаутенти фи каци и [3]. А та ки н а а б он е н тские пун кты IP-те ле ф он ии, реал и зованны е на базе персонал ьного компью тера, могут бы ть весьма эффекти вны , как и на л ю бы е д руги е компоненты IP-тел ефони и , построенны е на программной основе. Э то обусл овл ено меньш ей защ и щ енностью таки х устройств, по сравнени ю со специ ал ьны ми IP-тел ефонами . П оэтому на таки е компоненты мож но реал и зовать не тол ько атаки , специ фи чны е д л я IP-тел ефони и , но и атаки , х арактерны е д л я обы чны х компью терны х си стем. Н апри мер, разл и чны е трояны , ви русы , и нтернет-черви , DoS-атаки и и х мод и фи каци и способны сущ ественно наруш и ть функци они ровани е гол осовой IP-и нфраструктуры [3]. П ри этом общ ая защ и щ енность си стемы мож ет бы ть ни зкой , есл и в ней и спол ьзуется уязви мы е программны е компоненты третьи х фи рм (напри мер, д и спетчер Cisco CallManager и спол ьзует д л я своего функци они ровани я Windows 2000 Server, MS Internet Information Server и MS SQL Server, каж д ы й и з которы х обл ад ает сл абы ми , с точки зрени я защ и ты и нформаци и , местами ) [3]. А та ки н а диспе тче ры пред пол агаю т атаки на узл ы , в которы х х рани тся и нформаци я о разговорах пол ьзовател ей (и мена абонентов, время, прод ол ж и тел ьность, при чи на заверш ени я звонка и т.д .) могут при вод и ть какк наруш ени ю конфи д енци ал ьности , таки явл яетсяосновой д л ямод и фи каци и и л и д аж е уд ал ени я д анны х . В посл ед нем сл учае би л л и нговая си стема (напри мер, у оператора связи ) не смож ет прави л ьно вы стави ть счета свои м кл и ентам, что мож етнанести ущ ерб всей и нфраструктуреIP-тел ефони и [3]. 2.3. Об е спе че н ие ин форм а цион н ойб е зопа сн ости IP-те ле фон ии [3] 1. Вы б ор пра вильн ой топологии. Н е рекоменд уется и спол ьзовать д л я VoIP-и нфраструктуры концентраторы , которы е обл егчаю т зл оумы ш л енни кам перех ватд анны х . К рометого, таккакоци фрованны й гол особы чно прох од и тпо той ж е кабел ьной си стеме и черезтож е сетевое оборуд овани е, что и обы чны е д анны е, необх од и мо прави л ьно разграни чи ть меж д у ни ми и нформаци онны е потоки . Э то, напри мер, мож ет бы ть сд ел ано с помощ ью мех ани зма VLAN [3]. Серверы , участвую щ и е в и нфраструктуре IP-тел ефони и ж ел ател ьно размещ ать в отд ел ьном сетевом сегменте, защ и щ енном нетол ько спомощ ью встроенны х в коммутаторы и марш рути заторы мех ани змов защ и ты (спи ски контрол я

13

д оступа, трансл яци я ад ресов и обнаруж ени е атак), но и с помощ ью д опол ни тел ьно установл енны х сред ств защ и ты (меж сетевы е экраны , си стемы обнаруж ени яатак, си стемы аутенти фи каци и и т.д .) [3]. П ри перед аче гол осовы х д анны х по корпорати вной сети особое вни мани е д ол ж но уд ел яться вопросам вы сокой д оступности и отказоустой чи вости , так каксбои в си стемеIP-тел ефони и , значи тел ьно бол ее вероятны е, чем в обы чной тел ефонной связи , могут при вести к отказам пол ьзовател ей от ее и спол ьзовани я. 2. Ф изиче ска я б е зопа сн ость. Ж ел ател ьно все неабонентское оборуд овани е по возмож ности размести ть в специ ал ьно оборуд ованны х серверны х комнатах , а такж е запрети ть неавтори зованны й д оступ пол ьзовател ей к сетевому оборуд овани ю . Э то позвол и т пред отврати ть несанкци они рованное под кл ю чени е компью тера зл оумы ш л енни ка. К роме того, сл ед ует регул ярно проверять нал и чи е устройств, несанкци они рованно под кл ю ченны х к сети , напри мер, напрямую ксетевому кабел ю . Д л я этого могут бы ть и спол ьзованы разл и чны еметод ы и устройства(напри мер, Internet Scanner и л и Nessus) [3]. 3. К он троль доступа . Д л я защ и ты и нфраструктуры IP-тел ефони и мож ет бы ть и спл ьзован контрол ь MAC-ад ресов. Запрет IP-тел ефонам с неи звестны ми MAC-ад ресами на пол учени е д оступа к ш л ю зам и и ны м эл ементам IP-сети , перед аю щ ей гол осовы е д анны е, позвол и т пред отврати ть несанкци они рованное под кл ю чени е “посторонни х ” IP-тел ефонов, которы е могут просл уш и вать переговоры и л и осущ ествл ять тел ефонную связь зачуж ой счет. У зл ы (в основном, ш л ю зы , д и спетчеры и мони торы ) д ол ж ны бы ть настроены таки м образом, чтобы бл оки ровать все попы тки несанкци они рованного д оступакни м [3]. 4. VLAN. Т ех нол оги я ви ртуал ьны х л окал ьны х сетей (VLAN) обеспечи вает безопасное разд ел ени е фи зи ческой сети на нескол ько и зол и рованны х сегментов, функци они рую щ и х незави си мо д руг от д руга. В IP-тел ефони и эта тех нол оги я и спол ьзуется д л я отд ел ени я перед ачи гол оса от перед ачи обы чны х д анны х (фай л ов, e-mail и т.д .). Д и спетчеры , ш л ю зы и IP-тел ефоны помещ аю т в вы д ел енную VLAN д л я перед ачи гол оса. О д нако сущ ествую т метод ы , которы е позвол яю т зл оумы ш л енни кам перех ваты вать д анны е д аж е в коммути рованной сред е[3]. 5. Ш иф рова н ие . И спол ьзовани еш и фровани янетол ько меж д уш л ю зами , но и меж д у IP-тел ефоном и ш л ю зом, д ает возмож ность защ и ти ть весь путь, которы й прох од ятгол осовы ед анны е. О д нако непреры вноеш и фровани е потока гол осовы х д анны х требует времени и зачастую вноси т непри емл емы езад ерж ки в процесс перед ачи и при ема трафи ка, что непри емл емо сни ж ает качество перед ачи д анны х и вы нуж д аетотказы ватьсяоткри птографи ческой защ и ты [3]. П ри и спол ьзовани и ш и фровани я гол осовы х д анны х сред ства обеспечени я контрол якачества несмогут пред остави ть необх од и мую пол осу пропускани я и при ори тетное обсл уж и вани е, что мож ет при вести к сни ж ени ю качества обсл уж и вани я. К роме того, си гнал ьны е протокол ы , и спол ьзуемы е в IPтел ефони и , ш и фровать не рекоменд уется, так как в этом сл учае буд ет

14

заш и фрована вся сл уж ебная и нформаци я, необх од и мая для под д ерж ани яработоспособности сети [3]. 6. М е жсе те вы е э кра н ы , которы е обы чно и спол ьзуется д л я защ и ты корпорати вной сети могут бы ть и спол ьзованы и д л я защ и ты VoIPи нфраструктуры . П ри этом необх од и мо д обави ть ряд прави л , учи ты ваю щ и х топол оги ю сети , местопол ож ени е установл енны х компонентов IP-тел ефони и и т.д . [3]. К роме того, некоторы е операци онны е си стемы (напри мер, Linux и л и Windows 2000) и мею т встроенны е персонал ьны е меж сетевы е экраны , что позвол яет зад ействовать и х возмож ности д л я повы ш ени я защ и щ енности и нфраструктуры VoIP [3]. 7. А уте н тиф ика ция . Разл и чны е IP-тел ефоны под д ерж и ваю т мех ани змы аутенти фи каци и , которы е позвол яю т воспол ьзоваться его возмож ностями тол ько посл е пред ъ явл ени я и проверки парол я и л и персонал ьного номера PIN, разреш аю щ его пол ьзовател ю д оступкIP-тел ефону[3]. 8. RFC 1918 и тра н сля ция а дре сов. Н е рекоменд уется и спол ьзовать д л я VoIP IP-ад реса, д оступны е и з Internet, и наче общ и й уровень безопасности сети буд ет сущ ественно сни ж ен. П ри возмож ности сл ед ует и спол ьзовать ад реса, указанны е в RFC 1918 (10.x.x.x, 192.168.x.x и т.д .) и немарш рути зи руемы е в Internet. Е сл и это невозмож но, то необх од и мо зад ействовать на меж сетевом экране, защ и щ аю щ ем корпорати вную сеть, мех ани зм трансл яци и ад ресов (network address translation - NAT) [3]. 9. С исте м ы об н а руже н ия а та к (intrusion detection system) могут не тол ько своевременно и д енти фи ци ровать напад ени я, но и бл оки ровать и х , не д авая нанести вред ресурсам корпорати вной сети . Т аки есред ствамогутзащ и щ ать как цел ы есетевы есегменты (напри мер, RealSecure Network Sensor и л и Snort), таки отд ел ьны е узл ы (напри мер, CiscoSecure IDS Host Sensor и л и RealSecure Server Sensor) [3].

15

Л И Т ЕРА Т УРА 1. Гол уб В .А . И нформаци онная безопасность тел екоммуни каци онны х си стем. У чеб. пособи е/В .А . Гол уб.–В оронеж : И зд .-во О О О “Студ и яИ А Н ”, 2002.-158 с. 2. Л укацки й А . Безопасность тех нол оги и GPRS / А . Л укацки й // Н И П “И нформзащ и та”.- 2004. http://www.infosec.ru. 3. Л укацки й А . IP-опасность д л я би знеса / А . Л укацки й // НИ П “И нформзащ и та”. - 2004. http://www.infosec.ru.

Состави тел ь В л ад и ми р А л ександ рови чГол уб Ред актор О .А . Т и х оми рова