H.323安全研究與標準制定
加入技術(shù)交流群
●拒絕服務(wù)攻擊?；陂_(kāi)放端口的拒絕服務(wù)攻擊。對H.323系統關(guān)鍵設備進(jìn)行同步（SYN）、Internet控制報文協(xié)議（ICMP）數據包的大流量攻擊可導致通信中斷，無(wú)法正常提供業(yè)務(wù)。
●服務(wù)竊取。主要是針對非授權接入。其中包括：竊取用戶(hù)身份假冒合法用戶(hù)身份；冒充合法網(wǎng)絡(luò )節點(diǎn)進(jìn)行服務(wù)欺騙。
●信令流攻擊。由于H.323控制信令的開(kāi)放性，任何人都可以通過(guò)網(wǎng)絡(luò )監聽(tīng)器監聽(tīng)H.323信令流。惡意用戶(hù)攔截并篡改網(wǎng)絡(luò )中傳輸的信令數據包，修改數據包中的域，使H.323呼叫不能正常使用。從而引入會(huì )話(huà)劫持、中間人攻擊、電話(huà)跟蹤等威脅。
●媒體流的監聽(tīng)。H.323系統中RTP/RTCP是在IP網(wǎng)上傳輸話(huà)音信息的協(xié)議。由于協(xié)議本身是開(kāi)放的，惡意用戶(hù)可以通過(guò)網(wǎng)絡(luò )監聽(tīng)器監聽(tīng)媒體流，如果可以理解媒體流內容即可破壞媒體流的機密性。
隨著(zhù)網(wǎng)絡(luò )安全日益成為人們使用IP網(wǎng)絡(luò )最關(guān)注的問(wèn)題，所以，網(wǎng)絡(luò )安全同樣也成為H.323系統面臨的最主要問(wèn)題之一，可以說(shuō)，網(wǎng)絡(luò )安全問(wèn)題不解決，不僅將來(lái)H.323就沒(méi)有發(fā)展前景，現有H.323也很快失去生命力。
一、H.323網(wǎng)絡(luò )安全體系結構
為了加強H.323系統的網(wǎng)絡(luò )安全，國際國內標準組織、相關(guān)廠(chǎng)家開(kāi)展積極的H.323網(wǎng)絡(luò )安全研究工作。圖1為H.323網(wǎng)絡(luò )安全體系示意圖，其中陰影部分是H.323所涉及的安全研究范圍。
從圖1可以看到，H.225.0和H.245是H.323系統的核心協(xié)議。H.225.0負責呼叫控制，主要包括兩部分：呼叫接納（RAS）和呼叫信令協(xié)議。RAS主要用于傳送終端登記信息、認證信息和呼叫處理信息。呼叫信令協(xié)議基于Q.931而制定主要用于完成呼叫建立過(guò)程。H.245用于媒體控制，主要實(shí)現媒體流通信信道的建立、維護和釋放。RTCP是媒體流實(shí)時(shí)傳輸控制協(xié)議，RTP是媒體流實(shí)時(shí)傳輸協(xié)議。媒體流安全傳輸將使用H.245信道中給出的算法與密鑰進(jìn)行編碼。H.323端點(diǎn)之間建立通信關(guān)系一般執行三個(gè)控制過(guò)程：RAS，呼叫控制（呼叫信令）與連接控制（H.245）。
要實(shí)現安全的H.323業(yè)務(wù)，首先要保證終端或MCU與網(wǎng)守之間安全傳遞RAS消息，以完成安全注冊，確保只有合法用戶(hù)可以使用H.323業(yè)務(wù)并進(jìn)行相應的資源使用授權，如國際、長(cháng)途業(yè)務(wù)授權等。在保證RAS安全基礎上，可以建立安全的呼叫連接信道（H.225.0）與呼叫控制（H.245）信道，在此基礎上，為采用RTP協(xié)議的實(shí)時(shí)媒體流通信進(jìn)行加密算法與密鑰協(xié)商，完成媒體流通信機密性。
二、具體安全解決方案
H.323網(wǎng)絡(luò )安全實(shí)現主要有兩種安全機制：通過(guò)網(wǎng)絡(luò )層/傳輸層安全通道（如SEC target=_blank class=qqx_gjz>IPSec、SSL、TLS），實(shí)現H.323安全保護；通過(guò)對H.323協(xié)議簇中所涉及到的信令本身增加安全機制，實(shí)現各種信道安全能力協(xié)商與安全保護。具體H.323網(wǎng)絡(luò )安全可根據實(shí)際網(wǎng)絡(luò )應用環(huán)境，綜合使用以上二種安全機制。由于通過(guò)安全通道進(jìn)行安全保護是通用的安全保護，僅僅進(jìn)行H.323的外部保護，和H.323協(xié)議簇本身沒(méi)有太大的關(guān)系，所以本文重點(diǎn)介紹第二種機制：對H.323協(xié)議簇中所涉及到的信令本身增加安全機制。
根據圖1所示，H.323安全研究?jì)热葜饕ㄒ韵聨撞糠謨热荩航K端注冊安全、呼叫連接安全、呼叫控制安全、媒體流機密性和密鑰管理安全。
1.終端注冊安全
終端注冊安全主要體現為身份認證與完整性方面，不包括網(wǎng)守與端點(diǎn)之間的消息保密。終端注冊安全主要有以下3種方法：
?。?）口令+對稱(chēng)加密認證算法
?。?）口令+散列（Hash）認證算法
?。?）證書(shū)+數字簽名認證算法
以上三種認證方法，既可實(shí)現單向認證（終端向網(wǎng)守），也可實(shí)現雙向認證。每一種認證方法既可以是基于時(shí)間戳的二次握手協(xié)議，也可以使用挑戰/應答的三次握手協(xié)議。對于時(shí)間戳機制，終端與網(wǎng)守之間必須有一個(gè)可接受的時(shí)間基準?？山邮軙r(shí)間偏差數由本地具體實(shí)現所考慮。挑戰/應答協(xié)議使用一個(gè)隨機生成的，不可預測的挑戰數作為來(lái)自于認證者的質(zhì)詢(xún)。每一種認證方法，要求終端與網(wǎng)守的標識符都是可知的。時(shí)間戳認證機制必須精細調整時(shí)間粒度，防止消息重放攻擊。
2.呼叫連接安全
呼叫連接安全涉及到二個(gè)方面：一是在接收呼叫之前，要進(jìn)行認證，以保證呼叫建立與連接信道安全（如H.225.0）；二是通過(guò)對端點(diǎn)的認證來(lái)進(jìn)行呼叫授權。
呼叫連接安全主要有以下3種方法：
?。?）利用獨立的安全協(xié)議實(shí)現呼叫連接安全：在交換呼叫連接信令消息之前，可以通過(guò)在一個(gè)安全的眾所周知端口上使用TLS或IPSEC，保證呼叫信令信道安全。
?。?）利用證書(shū)在不安全信道上實(shí)現安全認證和完整性檢查，并通過(guò)對安全能力與密鑰的協(xié)商機制進(jìn)行擴展，可以確定后續信道的安全。
?。?）在一個(gè)特定業(yè)務(wù)認證（如AAA）基礎上，實(shí)現認證與授權。
H.323網(wǎng)絡(luò )安全模式，在交換呼叫連接消息之前，即呼叫連接信道（H.225.0）與呼叫控制（H.245）信道在第一次消息交換內，就應確定安全的或不安全模式。安全模式是協(xié)商出雙方共同支持的算法與密鑰，以支持媒體流傳輸；非安全模式是以明文消息形式進(jìn)行后面的媒體流傳輸。
3.呼叫控制安全
呼叫控制信道（H.245）應該是安全的，包括認證與機密性，以實(shí)現后續的媒體流加密。
依賴(lài)于所包含的H.323終端是否擁有某些協(xié)商與/或信令方式，整個(gè)H.245信道（邏輯信道0）可以在呼叫信令信道中，使用H.225.0信令來(lái)協(xié)商出所需要的算法和密鑰，然后以一種安全方式來(lái)打開(kāi)。H.245消息的交換期間，可以對媒體流加密算法與加密密鑰進(jìn)行協(xié)商。并且在一個(gè)邏輯信道上，允許不同的媒體通過(guò)不同的機制來(lái)加密。
4.媒體流機密性
媒體流使用H.245信道中給出的算法與密鑰來(lái)進(jìn)行編碼。媒體會(huì )話(huà)密鑰可以使用三種機制進(jìn)行保護。如果H.245信道是安全的，會(huì )話(huà)密鑰不需要施加任何保護；如果H.245信道是不安全的，可以使用證書(shū)（證書(shū)也可以用在安全H.245信道上），利用證書(shū)內的公鑰加密媒體會(huì )話(huà)密鑰。會(huì )議中，任一個(gè)與會(huì )終端（接收者或發(fā)送者）如果懷疑丟失了邏輯信道同步，可以請求一個(gè)新密鑰。這樣作的原因是。主角色終端也可以決定異步分配新密鑰。接收一個(gè)加密更新請求以后，主角色終端將發(fā)出密鑰更新。如果會(huì )議是多點(diǎn)的，MC（也稱(chēng)主角色終端）在把這個(gè)新密鑰給該發(fā)送者之前，應分配這個(gè)新密鑰給所有的接收者。接收者應在盡可能早的時(shí)間內利用這個(gè)新密鑰。
5.密鑰管理安全
H.323安全的兩個(gè)基本要素是加密算法和密鑰管理。由于密碼系統的反復使用，僅靠加密算法已難以保證信息的安全了。事實(shí)上，加密信息的安全可靠主要依賴(lài)于密鑰系統，密鑰是控制加密算法和解密算法的關(guān)鍵信息，它的產(chǎn)生、傳輸、存儲等工作是十分重要的。H.323密鑰管理主要包括RAS密鑰管理和呼叫連接密鑰管理。為了安全傳輸密鑰，可以使用IPSEC/SSL建立一個(gè)安全RAS或呼叫信令信道，或在不安全的明文信道使用公鑰加密和證書(shū)實(shí)現。
三、相關(guān)標準制定情況
由于H.323系統安全問(wèn)題的日益嚴重，國際國內相關(guān)標準組織都非常重視，并針對H.323安全開(kāi)展了大量標準研究工作。
1.國際標準情況
H.323是ITU-T近幾年制定的一個(gè)非常成功的標準。為了保證H.323可以安全穩定應用，ITU-T在H.323開(kāi)始應用的時(shí)候就針對H.323安全問(wèn)題開(kāi)始制定H.235標準，并隨著(zhù)H.323安全研究進(jìn)展多次更新H.235：在1998年2月，發(fā)布了H.235v1；在2000年11月，發(fā)布了H.235v2；在2003年8月，發(fā)布了H.235v3；在2005年9月，發(fā)布了H.235v4。目前，H.235v4是最新版本，該版本最大的特點(diǎn)就是把原來(lái)的H.235拆分為1O個(gè)部分，具體結構如圖2所示。
H.235是H.3xx體系系列中的有關(guān)安全方面的一種標準，主要為基于H.323-、H.225.0-、H.245-以及H.460-的體系提供安全程序。H.235可以應用于任何以H.245作為控制協(xié)議的終端點(diǎn)對點(diǎn)會(huì )議和多點(diǎn)會(huì )議。H.235主要提供了身份認證、數據加密和完整性功能。H.235為人而并非設備提供了一種識別方法。H.235能在通用模式下協(xié)商所需的服務(wù)和功能，并選擇加密技術(shù)和其它功能。這種特定的方式與系統能力、應用程序需求及特定安全策略限制相關(guān)聯(lián)。H.235支持各種加密算法，并支持不同的加密選項用于不同的目的。
2.國內標準情況
CCSA TC8主要負責網(wǎng)絡(luò )與信息安全，研究領(lǐng)域包括：面向公眾服務(wù)的互聯(lián)網(wǎng)的網(wǎng)絡(luò )與信息安全標準，電信網(wǎng)與互聯(lián)網(wǎng)結合中的網(wǎng)絡(luò )與信息安全標準，特殊通信領(lǐng)域中的網(wǎng)絡(luò )與信息安全標準。其中，《H.323網(wǎng)絡(luò )安全技術(shù)要求》是TC8成立以后確立的最早一批標準項目之一，經(jīng)過(guò)一年多的努力，該項目在深入研究國際標準以及結合國內實(shí)際應用的情況下，完成了報批稿。
四、結束語(yǔ)
H.323系統和其它VoIP系統所存在的安全問(wèn)題一直受到大家的關(guān)注。作為IP網(wǎng)絡(luò )上的一種新興的應用，H.323所面臨的一些安全問(wèn)題，實(shí)際是IP網(wǎng)絡(luò )上存在的若干安全問(wèn)題的延續。只要很好地解決了IP網(wǎng)絡(luò )的安全問(wèn)題，同時(shí)配合H.323自身的一些安全機制，H.323的安全問(wèn)題才可以最終解決。另外，H.323安全問(wèn)題的解決也同時(shí)為其它IP業(yè)務(wù)提供了借鑒，從而推動(dòng)整個(gè)IP業(yè)務(wù)安全研究與實(shí)施工作的進(jìn)展。
評論