VẤN ĐỀ BẢO MẬT VỚI VoIP (Phần I)

Bài viết liên quan: Vấn đề bảo mật với VoIP (Phần II)



Lời nói đầu

Việc kết nối giữa điện thoại truyền thống PSTN (Public Switch Telephone Network) với mạng IP (Internet Protocol) được coi như là nói đến mạng thế hệ mới NGN (Next Generation Network). Cũng như việc kết nối giữa mạng Internet và mạng không dây là nói đến IMS (IP Multimedia Subsystem). Cả hai kiến trúc này đều giữ vai trò quan trọng trong việc phát triển từ thông tin liên lạc truyền thống nên thông tin liên lạc đa phương tiện. Thuật ngữ triple play là một dịch vụ bao gồm truyền tiếng nói, hình ảnh và dữ liệu đến người dùng hay thuật ngữ quad play là dịch vụ bao gồm truyền tiếng nói, hình ảnh và dữ liệu và truyền thông di dộng.

Dịch vụ VoIP là một dịch vụ chạy trên cả hai mạng dịch vụ NGN và IMS. VoIP là dịch vụ thời gian thực bao gồm đàm thoại, video và trò chơi. Với yêu cầu thời gian thực và tầm quan trọng của dữ liệu nên việc triển khai VoIP đòi hỏi phải có độ an toàn cao. Vấn đề bảo mật với VoIP là khá phức tạp, cần sự phối hợp chặt chẽ của nhiều chuyên gia thuộc nhiều lĩnh vực mới có thể đem lại hiệu quả, bao gồm các chuyên giao về bảo mật mạng, các kỹ sư, các nhà quản lý, các hãng cung cấp sản phẩm.

Trong khuôn khổ bài viết này tôi giới thiệu lại về VoIP ở chương 1 và nêu ra các phương thức, khả năng bị tấn công đối với VoIP ở chương 2, việc giải quyết các vấn đề này tôi sẽ đề cập ở một bài viết có phạm vi lớn hơn.

Một số thuật ngữ dùng trong bài viết

Chú ý : vì tính chính xác của các thuật ngữ này tôi để nguyên định nghĩa tiếng Anh để người đọc có thể hiểu một cách chính xác nhất ý nghĩa của thuật ngữ, tuy nhiên trong bài tôi đã dịch các thuật ngữ theo ý hiểu của tôi.

* The noun ‘hacker’ refers to a person who enjoys learning the details of computer systems and stretch their capabilities.
* The verb ‘hacking’ describes the rapid development of new programs or the reverse engineering of already existing software to make the code better, and efficient.
* Threat – An action or event that might prejudice security. A threat is a potential violation of security.
* Vulnerability – Existence of a weakness, design, or implementation error that can lead to an unexpected, undesirable event compromising the security of the system.
* Attack – An assault on system security that derives from an intelligent threat. An attack is any action that violates security.

Chương 1: Giới thiệu về VoIP

1.VoIP là gì?
Dịch vụ điện thoại IP là dịch vụ ứng dụng cao cấp cho phép truyền tải các cuộc đàm thoại sử dụng hạ tầng mạng IP. Nguyên tắc VoIP gồm việc số hoá tín hiệu giọng nói, nén tín hiệu đã số hoá, chia tín hiệu thành các gói và truyền những gói số liệu này trên nền IP. Đến nơi nhận, các gói số liệu được ghép lại, giải mã ra tín hiệu analog để phục hồi âm thanh.

Trong dịch vụ điện thoại IP có thể có sự tham gia của 3 loại đối tượng cung cấp dịch vụ như sau:

- Nhà cung cấp Internet ISP

- Nhà cung cấp dịch vụ điện thoại Internet ITSP

- Nhà cung cấp dịch vụ trong mạng chuyển mạch kênh

Để có thể sử dụng được dịch vụ điện thoại IP, người sử dụng cần thông qua mạng Internet và các chương trình ứng dụng cho điện thoại IP. Trong khi các nhà cung cấp dịch vụ Internet cung cấp sự truy cập Internet cho khách hàng của họ thì các nhà cung cấp dịch vụ điện thoại ITSP cung cấp dịch vụ điện thoại IP cho khách hàng bằng cách sử dụng các chương trình ứng dụng dùng cho điện thoại IP. Có thể nói rằng dịch vụ truy cập Internet cung cấp bởi các ISP chưa đủ để cung cấp dịch vụ điện thoại IP. Người sử dụng cần phải truy nhập vào nhà cung cấp dịch vụ điện thoại IP khi sử dụng điện thoại IP. Họ không thể gọi hoặc nhận các cuộc đàm thoại thông qua dịch vụ điện thoại IP nếu chỉ có truy nhập vào mạng Internet. Để phục vụ cho việc truyền thông giữa những người sử dụng trên các máy tính đầu cuối của mạng Internet, các công ty phần mềm đã cung cấp các trương trình ứng dụng dùng cho điện thoại IP thực hiện vai trò của ITSP. Đối với người sử dụng trên mạng chuyển mạch kênh, họ sẽ truy nhập vào ISP hoặc ITSP thông qua các điểm truy nhập trong mạng chuyển mạch kênh.

VoIP dựa trên sự kết hợp của mạng chuyển mạch kênh và chuyển mạch gói là mạng IP. Mỗi loại mạng có những đặc điểm khác biệt nhau. Trong mạng chuyển mạch kênh một kênh truyền dẫn dành riêng được thiết lập giữa hai thiết bị đầu cuối thông qua một hay nhiều nút chuyển mạch trung gian. Dòng thông tin truyền trên kênh này là dòng bit truyền liên tục theo thời gian. Băng thông của kênh dành riêng được đảm bảo và cố định trong quá trình liên lạc (64Kbps đối với mạng điện thoại PSTN), và độ trễ thông tin là rất nhỏ chỉ cỡ thời gian truyền thông tin trên kênh. Khác với mạng chuyển mạch kênh, mạng chuyển mạch gói (Packet Switching Network) sử dụng hệ thống lưu trữ rồi truyền tại các nút mạng. Thông tin được chia thành các gói, mỗi gói được thêm các thông tin điều khiển cần thiết cho quá trình truyền như là địa chỉ nơi gửi, địa chỉ nơi nhận... Các gói thông tin đến nút mạng được xử lý và lưu trữ trong một thời gian nhất định rồi mới được truyền đến nút tiếp theo sao cho việc sử dụng kênh có hiệu quả cao nhất. Trong mạng chuyển mạch gói không có kênh dành riêng nào được thiết lập, băng thông của kênh logic giữa hai thiết bị đầu cuối thường không cố định, và độ trễ thông tin lớn hơn mạng chuyển mạch kênh rất nhiều.

Áp dụng VoIP có thể khai thác tính hiệu quả của các mạng truyền số liệu, khai thác tính linh hoạt trong phát triển các ứng dụng mới của giao thức IP. Nhưng VoIP cũng phức tạp và đòi hỏi giải quyết nhiều vấn đề.

2.Kiến trúc và giao thức của VoIP
Theo các ngiên cứu của ETSI, cấu hình chuẩn của mạng điện thoại IP có thể bao gồm các phần tử sau:

- Thiết bị đầu cuối kết nối với mạng IP

- Mạng truy nhập IP

- Mạng xương sống IP

- Gateway

- Gatekeeper

* Mạng chuyển mạch kênh

- Thiết bị đầu cuối kết nối với mạng chuyển mạch kênh

Trong các kết nối khác nhau cấu hình mạng có thể thêm hoặc bớt một số phần tử trên.

Cấu hình chung của mạng điện thoại IP gồm các phần tử Gatekeeper, Gateway, các thiết bị đầu cuối thoại và máy tính. Mỗi thiết bị đầu cuối giao tiếp với một Gatekeeper và giao tiếp này giống với giao tiếp giữa thiết bị đầu cuối và Gateway. Mỗi Gatekeeper sẽ chịu trách nhiệm quản lý một vùng, nhưng cũng có thể nhiều Gatekeeper chia nhau quản lý một vùng trong trường hợp một vùng có nhiều Gatekeeper.

Trong vùng quản lý của các Gatekeeper, các tín hiệu báo hiệu có thể được chuyển tiếp qua một hoặc nhiều Gatekeeper. Do đó các Gatekeeper phải có khả năng trao đổi các thông tin với nhau khi cuộc gọi liên quan đến nhiều Gatekeeper.


Hình 1. Cấu hình mạng điện thoại IP

VoIP sử dụng một số giao thức sau:

* Giao thức truyền tín hiệu
* SS7, Q.931, and Sigtran
* H.323
* RTSP
* SIP
* SDP
* MGCP and H.248/Megaco
* Giao thức truyền dữ liệu đa phương tiện
* RTP và RTCP (IETF RFC 3550 và RFC 3551)
* Các giao thức IP khác sử dụng trong VoIP
* IPv4 and IPv6
* SCTP
* TLS
* DHCP, DNS, and ENUM
* SigComp
* RSVP

Chi tiết chức năng của từng thành phần và chi tiết các giao thức bạn đọc có thể tìm hiểu thêm ở phần tài liệu tham khảo.

3. Các yêu cầu và rủi do trong bảo mật với VoIP

Các vấn đề ảnh hưởng trực tiếp đến an toàn thông tin cũng như an toàn của mạng VoIP:

* Vấn đề tổ chức của điện thoại IP?
* Các thông tin nhạy cảm được truyền qua mạng, hệ thống và các dịch vụ?
* Làm sao để hệ thống có thể phục hồi khi bị lỗi?
* Các dịch vụ phụ thuộc vào công nghệ có hỗ trợ hay không?
* Hệ thống và mạng lưới nào được tích hợp với nhau và có khả năng chống lại các mối rủi do?
* Mỗi một dịch vụ có là một dịch vụ riêng biệt và vấn đề an toàn với nó?
* Vai trò từng bộ phận bên trong mỗi tổ chức?
* Mức thiệt hại khi hệ thống bị sập hoặc mất mát dữ liệu?
* Vấn đề với các lỗi bảo mật đã xảy ra?
* Kế hoạch ngắn hạn và dài hạn cho việc bảo mật?

Với một mạng có khả năng có rủi do thì việc phân tích và đánh giá rủi do là khá quan trọng. Đôi khi hệ thống quá phức tạp và không cần thiết, hệ thống có thể được thiết kế hoặc giảm bớt độ phức tạp theo nguyên tắc KISS (Keep it simple,stupid).

Một số công thức đánh giá rủi do :

Annual Loss Expectancy (ALE):

The mitigated ALE (mALE):


Return On Security Investment (ROSI):


Chương 2: Các mối đe dọa và sự tấn công trong VoIP

1.Các mối đe dọa trong VoIP

Tháng 8/2006, S. Niccolini đã gửi một bản thảo lên IETF trình bày các mối đe dọa đối với VoIP. Nội dung được nêu trong IETF “VoIP Security Threats”. Phiên bản đầu tiên đền cập đến các vấn đề sau:

* Interception and modification threats
* Interruption-of-service threats
* Abuse-of-service threats
*Social threats

Có nhiều cách phân loại khác nhau, IETF phân loại ra một số loại cơ bản như sau:


■ Gây gián đoạn và quấy rối dịch vụ—Kẻ tấn công (attacker) cố gắng phá dịch vụ VoIP bao gồm ở các mức : hệ thống quản trị, hệ thống dự phòng, hệ thống truy nhập và điều khiển.Việc tấn công vào từ các thành phần mạng gồm có routers, máy chủ DNS, SIP proxies, các phần điều phối phiên (secssion).

Phương thức tấn công có thể từ xa, không nhất thiết phải truy nhập trực tiếp, thông qua việc lợi dụng các lỗ hổng của giao thức dùng trong VoIP, lỗi của hệ thống. Một hình thức quấy rối gọi là SPIT (spam through Internet telephony – tạm dịch là gọi điện quấy rối qua Internet).

■ Nghe trộm và phân tích dữ liệu trên đường truyền— Kẻ tấn công (attacker) sẽ tìm cách thu thập các thông tin nhạy cảm để chuẩn bị cho các tấn công ở mức độ sâu hơn. Trong VoIP (hoặc trong các ứng dụng đa phương tiện trên Internet), attacker có khả năng giám sát các dòng tín hiệu hoặc dữ liệu không được mã hóa, không được bảo vệ trao đổi giữa các người dùng. Phương thức này là lắng nghe, lưu trữ, phân tích các gói tin hay giả mã thời gian thực trên đường truyền có thể là chủ động hoặc có thể là bị động. Mục đích của các Attacker là các thông tin nhạy cảm như thông tin thẻ tín dụng, các thông tin mật khẩu khác,…

■ Giả mạo và đánh lừa—Kẻ tấn công có thể giả người sử dụng, thiết bị hoặc thậm trí là dịch vụ để xâm nhập vào hệ thống mạng, dịch vụ, các thành phần trong hệ thống hay lấy cắp thông tin. Kẻ tấn công giả mạo thường sử dụng các thông tin giả mạo, truy nhập trái phép thậm trí là gây ra lỗi và xâm nhập khi hệ thống bị gián đoạn. Mục tiêu của tấn công giả mạo là người dùng, thiết bị, các thành phần mạng. Một ví dụ đơn giản là tấn công ARP như DNS poisoning, trỏ địa chỉ mục tiêu sang địa chỉ khác mà hacker đã định trước. Người dùng hoàn toàn không hề biết mình đang truy nhập vào hệ thống khác.

■ Truy nhập trái phép— Là khả năng xâm nhập vào dịch vụ, hệ thống chức năng, thành phần mạng một cách không chính thống. Attacker có thể xâm nhập thông qua các lỗ hổng như tràn bộ đệm, cấu hình mặc định, mức bảo vệ kém có thể bẻ gãy.Ví dụ attacker lợi dụng lỗ hổng vào SIP proxy sau đó chèn các đoạn tín hiệu vào các dòng dữ liệu rồi lại chuyển tiếp làm thay đổi thông tin ban đầu.

■ Gian lận—Khả năng này xảy ra khi kẻ tấn công đã có một quyền gì đó trong hệ thống có thể là do các tấn công khác mang lại. Sau đó attacker có thể lợi dụng quyền hạn có được vào mục đích cá nhân như ăn trộm cước, ăn trộm dịch vụ… Đây là một vấn đề rất được quan tâm đối với các nhà cung câp dịch vụ các nhà phân phối.

2.Sự gián đoạn của dịch vụ (Service Disruption)

Việc tấn công làm gián đoạn dịch vụ có thể là do tấn công từ chối dịch vụ DoS. Trong tấn công DoS có hai loại chính là DoS thông thường và DDoS – DoS phân tán, khi bị tấn công này thì rất ít hệ thống có khả năng chống đỡ được. Hình dưới đây cho thấy các dịch vụ trong VoIP có thể bị gián đoạn khi bị tấn công DoS.

Hình 2. Các điểm có thể bị ảnh hưởng khi bị tấn công DoS

Tấn công DoS có thể thực hiện vào bất cứ thành phần nào của hệ thống.

Hình 3. Các mục tiêu tấn công của DoS

Các mục tiêu dễ tấn công và đem lại xác suất thành công cao khi tấn công DoS là tấn công vào các thành phần của hệ thống, bao gồm:

■ Các thành phần mạng:

* Thiết bị đầu cuối
* Lõi của mạng như signaling gateway,…
* Các thiết bị truyền dẫn : routers,…

■ Các thành phần của ứng dụng và dịch vụ

* Signaling
* Media

■ Hệ điều hành

* Management
* Billing
* Fraud
* Security
* Provisioning


Chiến lược phòng thủ theo chiều sâu “defense in depth” đòi hỏi VoIP phải được thiết kế và bảo trì các vấn đề an ninh từ mức máy chủ cho đến các thiết bị đầu cuối.

3. Các tấn công liên quan đến dịch vụ điện thoại

Để đảm bảo thông suốt trong hệ thống VoIP thì các hệ thống điện thoại kết nối vào phải hoạt động một cách thông suốt. Đây cũng có thể là mục tiêu của attacker. Các dịch vụ liên quan đến dịch vụ này gồm có :

* Voicemail
* caller ID
* international calling
* telephone number
* call waiting
* call transfer
* location
* confidentiality of signaling hoặc media streams
* lawful intercept
* emergency services

Ví dụ với :

■ Voicemail— Tấn công một cách đơn giản có thể là đoán mật khẩu hay brutefore nếu mật khẩu không đủ mạnh. Một số hành động của attacker là xóa tin nhắn, thay đổi thông tin cá nhân, chuyển cuộc gọi đến một số khác,…


■ Caller ID— Các tấn công phổ biến là dùng spoofing ID nhằm lấy các thông tin cá nhân.


■ Follow-me service— Attacker sử dụng phương pháp hijack để chen ngang vào cuộc gọi.


4. Tấn công từ chối dịch vụ

Tấn công DoS là kiểu tấn công gửi yêu cầu liên tục với số lượng lớn đến dịch vụ cần tấn công, có thể là dựa vào lỗi của mục tiêu. Tùy theo nguồn của các tấn công mà chia thành DoS thông thường và DDoS. Mục đích là làm cho mục tiêu bị ngưng trệ không có khả năng đáp ứng dịch vụ được gửi tới. Mức độ nặng có thể khiến hệ thống bị hỏng, cơ sở dữ liệu bị phá vỡ,…


Đối với hệ thống VoIP các mục tiêu có khả năng bị tấn công DoS là :

■ Content/protocol layer—SDP, encoded voice, encoded video

■ Application—H.323, SIP, RTP, RTCP, Radius, Diameter, HTTP,

SNMP

■ Application-level encryption—TLS/SSL

■ Transport—TCP, SCTP, UDP

■ Network-level encryption—IPSec

■ Network—IPv4, IPv6

■ Link—PPP, AAL3/4, AAL5

■ Physical—SONET, V.34, ATM, Ethernet



Bảng dưới đây cung cấp đầy đủ thông tin về khả năng bị tấn công của các thành phần đó.



Các mục tiêu tiềm năng liên quan đến giao thức SIP:

■ Tấn công ở mức thấp sử dụng các giao thức IPv4, UDP, TCP

■ Tấn công vào TLS hoặc IPSec

■ Tấn công vào SIP sessions

■ Tấn công vào RTP streams


Một số phương pháp tấn công từ chối dịch vụ với VoIP


1. Malformed Packet Denial of Service

Phương pháp này còn gọi là fuzzing, quá trình tấn công sinh ra các gói tin xấu (malformed packets) một cách ngẫu nhiên. Một trong các công cụ tấn công kiểu này là PROTOS được phát triển từ năm 2002 do trường University of Oulu khởi sướng.


Hình ảnh dưới đây là hình ảnh thử nghiệm tấn công bằng PROTOS năm 2006.

Hình 4. Thử nghiệm fuzzing bằng PROTOS với Ekiga

2. SIP Flooding Attack

Kiểu này tấn công theo kiểu flooding (làm lụt), mục tiêu là giao thức SIP.

Hình 5. Kiểm tra lỗi SIP Fooding


3. SIP Signaling Loop Attack

Tấn công dựa vào lỗi vòng lặp, tạo nên những vòng lặp vô hạn làm lấp đầy đường truyền.

Hình 6. Mô hình SIP Signaling Loop Attack