Ở bài viết này công ty chúng tôi xin giới thiệu đến quý khách hàng Các mối đe dọa và sự tấn công trong VoIP
1.    Các mối đe dọa trong VoIP
Tháng 8/2006, S. Niccolini đã gửi một bản thảo lên IETF trình bày các mối đe dọa đối với VoIP. Nội dung được nêu trong IETF “VoIP Security Threats”. Phiên bản đầu tiên đền cập đến các vấn đề sau:
•    Interception and modification threats
•    Interruption-of-service threats
•    Abuse-of-service threats
•    Social threats
Có nhiều cách phân loại khác nhau, IETF phân loại ra một số loại cơ bản như sau:
■ Gây gián đoạn và quấy rối dịch vụ—Kẻ tấn công (attacker) cố gắng phá dịch vụ VoIP bao gồm ở các mức : hệ thống quản trị, hệ thống dự phòng, hệ thống truy nhập và điều khiển.Việc tấn công vào từ các thành phần mạng gồm có routers, máy chủ DNS, SIP proxies, các phần điều phối phiên (secssion).
Phương thức tấn công có thể từ xa, không nhất thiết phải truy nhập trực tiếp, thông qua việc lợi dụng các lỗ hổng của giao thức dùng trong VoIP, lỗi của hệ thống. Một hình thức quấy rối gọi là SPIT (spam through Internet telephony – tạm dịch là gọi điện quấy rối qua Internet).
■ Nghe trộm và phân tích dữ liệu trên đường truyền— Kẻ tấn công (attacker)  sẽ tìm cách thu thập các thông tin nhạy cảm để chuẩn bị cho các tấn công ở mức độ sâu hơn. Trong VoIP (hoặc trong các ứng dụng đa phương tiện trên Internet), attacker có khả năng giám sát các dòng tín hiệu hoặc dữ liệu không được mã hóa, không được bảo vệ trao đổi giữa các người dùng. Phương thức này là lắng nghe, lưu trữ, phân tích các gói tin hay giả mã thời gian thực trên đường truyền có thể là chủ động hoặc có thể là bị động. Mục đích của các Attacker là các thông tin nhạy cảm như thông tin thẻ tín dụng, các thông tin mật khẩu khác,…
■ Giả mạo và đánh lừa—Kẻ tấn công có thể giả người sử dụng, thiết bị hoặc thậm trí là dịch vụ để xâm nhập vào hệ thống mạng, dịch vụ, các thành phần trong hệ thống hay lấy cắp thông tin. Kẻ tấn công giả mạo thường sử dụng các thông tin giả mạo, truy nhập trái phép thậm trí là gây ra lỗi và xâm nhập khi hệ thống bị gián đoạn. Mục tiêu của tấn công giả mạo là người dùng, thiết bị, các thành phần mạng. Một ví dụ đơn giản là tấn công ARP như DNS poisoning, trỏ địa chỉ mục tiêu sang địa chỉ khác mà hacker đã định trước. Người dùng hoàn toàn không hề biết mình đang truy nhập vào hệ thống khác.
■ Truy nhập trái phép— Là khả năng xâm nhập vào dịch vụ, hệ thống chức năng, thành phần mạng một cách không chính thống. Attacker có thể xâm nhập thông qua các lỗ hổng như tràn bộ đệm, cấu hình mặc định, mức bảo vệ kém có thể bẻ gãy.Ví dụ attacker lợi dụng lỗ hổng vào SIP proxy sau đó chèn các đoạn tín hiệu vào các dòng dữ liệu rồi lại chuyển tiếp làm thay đổi thông tin ban đầu.
■ Gian lận—Khả năng này xảy ra khi kẻ tấn công đã có một quyền gì đó trong hệ thống có thể là do các tấn công khác mang lại. Sau đó attacker có thể lợi dụng quyền hạn có được vào mục đích cá nhân như ăn trộm cước, ăn trộm dịch vụ… Đây là một vấn đề rất được quan tâm đối với các nhà cung câp dịch vụ các nhà phân phối.

2. Sự gián đoạn của dịch vụ (Service Disruption)
Việc tấn công làm gián đoạn dịch vụ có thể là do tấn công từ chối dịch vụ DoS. Trong tấn công DoS có hai loại chính là DoS thông thường và DDoS – DoS phân tán, khi bị tấn công này thì rất ít hệ thống có khả năng chống đỡ được. Hình dưới đây cho thấy các dịch vụ trong VoIP có thể bị gián đoạn khi bị tấn công DoS.

Hình 2. Các điểm có thể bị ảnh hưởng khi bị tấn công DoS

Tấn công DoS có thể thực hiện vào bất cứ thành phần nào của hệ thống.

Hình 3. Các mục tiêu tấn công của DoS

Các mục tiêu dễ tấn công và đem lại xác suất thành công cao khi tấn công DoS là tấn công vào các thành phần của hệ thống, bao gồm:
■ Các thành phần mạng:
- Thiết bị đầu cuối
- Lõi của mạng như signaling gateway,…
- Các thiết bị truyền dẫn :  routers,…
■ Các thành phần của ứng dụng và dịch vụ
- Signaling
- Media
■ Hệ điều hành
- Management
- Billing
- Fraud
- Security
- Provisioning
Chiến lược phòng thủ theo chiều sâu “defense in depth” đòi hỏi VoIP phải được thiết kế và bảo trì các vấn đề an ninh từ mức máy chủ cho đến các thiết bị đầu cuối.
3. Các tấn công liên quan đến dịch vụ điện thoại
Để đảm bảo thông suốt trong hệ thống VoIP thì các hệ thống điện thoại kết nối vào phải hoạt động một cách thông suốt. Đây cũng có thể là mục tiêu của attacker. Các dịch vụ liên quan đến dịch vụ này gồm có :
- Voicemail
- caller ID
- international calling
- telephone number
- call waiting
- call transfer
- location
- confidentiality of signaling hoặc media streams
- lawful intercept
- emergency services
Ví dụ với :
■ Voicemail— Tấn công một cách đơn giản có thể là đoán mật khẩu hay brutefore nếu mật khẩu không đủ mạnh. Một số hành động của attacker là xóa tin nhắn, thay đổi thông tin cá nhân, chuyển cuộc gọi đến một số khác,…
■ Caller ID— Các tấn công phổ biến là dùng spoofing ID nhằm lấy các thông tin cá nhân.
■ Follow-me service— Attacker sử dụng phương pháp hijack để chen ngang vào cuộc gọi.

4. Tấn công từ chối dịch vụ
Tấn công DoS là kiểu tấn công gửi yêu cầu liên tục với số lượng lớn đến dịch vụ cần tấn công, có thể là dựa vào lỗi của mục tiêu. Tùy theo nguồn của các tấn công mà chia thành DoS thông thường và DDoS. Mục đích là làm cho mục tiêu bị ngưng trệ không có khả năng đáp ứng dịch vụ được gửi tới. Mức độ nặng có thể khiến hệ thống bị hỏng, cơ sở dữ liệu bị phá vỡ,…
Đối với hệ thống VoIP các mục tiêu có khả năng bị tấn công DoS là :
■ Content/protocol layer—SDP, encoded voice, encoded video
■ Application—H.323, SIP, RTP, RTCP, Radius, Diameter, HTTP,
SNMP
■ Application-level encryption—TLS/SSL
■ Transport—TCP, SCTP, UDP
■ Network-level encryption—IPSec
■ Network—IPv4, IPv6
■ Link—PPP, AAL3/4, AAL5
■ Physical—SONET, V.34, ATM, Ethernet
Bảng dưới đây cung cấp đầy đủ thông tin về khả năng bị tấn công của các thành phần đó.
Các mục tiêu tiềm năng liên quan đến giao thức SIP:
■ Tấn công ở mức thấp sử dụng các giao thức IPv4, UDP, TCP
■ Tấn công vào  TLS hoặc IPSec
■ Tấn công vào SIP sessions
■ Tấn công vào RTP streams
Một số phương pháp tấn công từ chối dịch vụ với VoIP

a.    Malformed Packet Denial of Service
- Phương pháp này còn gọi là fuzzing, quá trình tấn công sinh ra các gói tin xấu (malformed packets) một cách ngẫu nhiên. Một trong các công cụ tấn công kiểu này là PROTOS được phát triển từ năm 2002 do trường University of Oulu khởi sướng.
- Hình ảnh dưới đây là hình ảnh thử nghiệm tấn công bằng PROTOS năm 2006.

Hình 4. Thử nghiệm fuzzing bằng PROTOS với Ekiga

b. SIP Flooding Attack
Kiểu này tấn công theo kiểu flooding (làm lụt), mục tiêu là giao thức SIP.

Hình 5. Kiểm tra lỗi SIP Fooding

c. SIP Signaling Loop Attack
- Tấn công dựa vào lỗi vòng lặp, tạo nên những vòng lặp vô hạn làm lấp đầy đường truyền.

Hình 6. Mô hình SIP Signaling Loop Attack

5. Tấn công kiểu quấy rối (Annoyance (SPIT))
- Kiểu tấn công này nhằm đến người dùng làm giảm uy tín của nhà cung cấp dịch vụ. Việc tấn công này có thể là tự động bằng phần mềm hay bán tự động. Chẳng hạn tự động gọi đến một số nào đó vào một khoảng thời gian nhất định, có thể đi kèm nội dung xấu,…
- Để tránh được việc tấn công này hệ thống cần có các biện pháp bảo vệ như blacklist,…

6. Truy nhập trái phép (Unauthorized Access)
Đây là kiểu tấn công phổ biến không chỉ đối với hệ thống VoIP.Ba phương pháp tấn công để lấy thông tin phục vụ cho việc truy nhập trái phép:
■ Mạo danh (Impersonation)
■ Tấn công ở mức trung gian, chủ yếu là mạng (Man-in-the-middle attacks)
■ Total compromise
- Đối với Impersonation: bao gồm ăn trộm mật khẩu, đoán mật khẩu,…
- Đối với Man-in-the-middle attacks: người dùng thực sự không đăng nhập vào hệ thống nhưng khi họ đăng nhập vào hệ thống kẻ tấn công nghe trộm ở mức mạng LAN hay tương tự để lấy thông tin truy nhập hay session khi chưa bị timeout.
- Đối với total compromise: attacker có toàn bộ quyền điều khiển và có thể cài các chương trình gián điệp, virus hay sâu,… vào hệ thống.

Hình 7. Các vị trí có thể xảy ra truy nhập trái phép

- Một số điểm có thể để lộ thông tin truy nhập:
■ Cấu hình mặc định các phần mềm (Ví dụ không xóa tài khoản mặc định, không xóa các phần không cần thiết,…)
■ Để mật khẩu mặc định
■ Không phân quyền truy cập cho các phần có chức năng khác nhau
■ Lỗi xâm nhập qua các dịch vụ: TFTP, FTP, Telnet, RPC
■ Các lỗi với quyền của file và thư mục: để quyền thực thi, để quyền ghi,… đối với những file, thư mục không cần thiết
Để chống lại xâm nhập trái phép các phần sau cần được thiết kế và triển khai cẩn thận :
-    Application controls
-    Network controls
-    Management
-    Billing
-    Provisioning
Một vài ví dụ về tấn công kiểu này:
- SIP Authentication Dictionary Attack

Hình 8. Dò mật khẩu bằng tấn công từ điển

- Exploiting a Software Vulnerability

7. Nghe trộm (Eavesdropping)
Đây là hình thức tấn công tỏ ra rất hiệu quả khi dữ liệu trên đường truyền không được mã hóa. Attacker có thể dựa vào các lỗi ARP, bắt gói tin tại các điểm trung gian như gateway, proxy,…
Việc nghe trộm có thể chia thành 3 loại:
■ Traffic analysis (link, network, và transport layers)
■ Signaling eavesdropping
■ Media eavesdropping
Một vài ví dụ với nghe trộm dùng công cụ Ethereal, Wireshark, Cain & Abel
- Eavesdropping Using Ethereal/Wireshark

- Eavesdropping Using Cain & Abel
- Công cụ này chủ yếu khai thác dựa trên ARP poisoning để tấn công MITM, relay SIP hoặc lấy gói tin RTP.

- Eavesdropping Using VLAN Hopping
- Real-Time Eavesdropping by Manipulating MGCP

8. Giả mạo (Masquerading)
Về nguyên lý phương pháp này rất đơn giản là giả mạo cái gọi là thực. Phương pháp này xuất phát từ chính đời sống xa hội và nó đã ra đời từ thời cổ đại.
Ví dụ kinh điển nhất chính là chiến tranh thành Troy. Sau này có sự ra đời của Trojan horse là lấy theo tên Trojan của chiến tranh Trojan.
Các kiểu tấn công giả mạo:
- Caller ID Spoofing : giả mạo Caller ID
- Presence Hijacking

- Impersonating a Call Manager and Diverting All Calls
- Listing of Masquerading Attacks in VoIP
9. Gian lận (Fraud)
Ngày nay gian lân trực tuyến cũng như gian lận trong VoIP càng trở lên phổ biến. Việc gian lận dễ này ra ở các bộ phận chuyển giao của dịch vụ. Trong năm 2004 FBI cho biết tỷ lệ gian lận trực tuyến tăng 64% so với 2003, tổng thiệt hại là 68.14 triệu $. Vấn đề gian lận trong viễn thông đặc cũng được quan tâm một cách đăc biệt. Vì mạng viễn thông cơ bản tăng chưởng 10%/năm.Gian lận trong viễn thông năm 2003 khiến các nhà cung cấp dịch vụ thiệt hại đến 35-40 tỷ $. Do đó gian lận rất được quan tâm đến trong NGN và IMS trong đó có VoIP.
Một số kiểu gian lận trong VoIP
a.    Fraud Through Call-Flow Manipulation
b. Phishing

c.  Fraud Management