SIP协议及其安全机制的研究与实现_第三章SIP网络安全机制的研究_25_39

第三章 SIP网络安全机制的研究3.1 攻击与威胁SIP系统往往运行在公共因特网等开放的环境里，在这样的网络环境中，攻击者可以方便地读取网络中的任何数据包，因此SIP系统面临着诸多的安全威胁，攻击者可能修改SIP消息，窃取服务，窃听SIP网络元素之间的通信，干扰终端媒体会话等等。

普遍存在于大多数SIP部署中的攻击手段与安全威胁主要有注册劫持、假冒服务器、篡改消息体、中断会话和拒绝服务攻击五种[1]。

3.1.1 注册劫持注册劫持是指攻击者冒充合法用户使用SIP注册机制，对合法用户的注册信息进行恶意修改或删除。

SIP注册机制允许用户向注册服务器登记自己当前所在的位置，注册服务器总是使用REGISTER 消息的From头域进行判断，决定是否可以修改某个用户的地址绑定。

UA的所有者可以任意地改变SIP 请求消息中的From头域，这就使恶意注册成为可能。

如果攻击者也向注册服务器发送REGISTER消息，并在消息的From头域中插入合法用户的AOR地址，就可以向注册服务器冒充合法用户，通过对消息的Contact头域进行一定的设置来恶意修改合法用户的注册信息。

图3-1是一个注册劫持的例子，攻击者Carol冒充合法用户Alice向Alice所在域的注册服务器发送REGISTER消息，将消息的From头域设置成Alice的AOR地址，而将消息的Contact头域设置成自己的实际地址，注册服务器将伪造的地址绑定写入了位置服务中。

这样一来，当用户Bob试图与Alice进行通信时，Alice所在域的代理服务器向位置服务进行查询后得到的却是Carol的位置，从而将本应转发给Alice的消息转发给了Carol。

图3-1 注册劫持注册劫持攻击奏效的原因是注册服务器对UA缺乏认证措施，它说明任何一种提供有价值服务的服务器，包括代理服务器、注册服务器和UAS，都需要对它收到的请求消息进行认证以控制请求发起者所能够访问的资源。

3.1.2 假冒服务器UA通常会通过访问目的域中的服务器以传递请求消息，如果一个攻击者假冒一个远程服务器，就可能使UA发出的所有请求消息不能够到达正确的目的地，而被其它的实体截获。

图3-2是一个假冒服务器攻击的例子。

攻击者是域中的重定向服务器，它冒充成了域中的重定向服务器，用户Bob想要与域中的用户Alice建立会话，攻击者截获了请求消息，并且向Bob返回一个伪造的301 Moved Permanently响应，从而使Bob此后发送的所有请求消息都被重定向到了域。

图3-2 假冒服务器为了防止假冒服务器攻击，需要UA对它发送请求的目的域服务器进行认证。

3.1.3 篡改消息体UA一般通过它所信任的代理服务器路由请求消息。

无论UA是如何对代理服务器进行认证的，它都不希望代理服务器窥视或者修改请求消息的消息体，因为消息体的意义是“端到端”的，只有UA才有权对消息体进行解析。

举例来说，如果UA1在消息体中包含了一个会话密钥，准备将它通过一个代理服务器传递给UA2，尽管UA1信任这个代理服务器，但它并不希望代理服务器的所有者从消息体中获得会话密钥，从而可以解密会话数据，如果代理服务器是恶意的，它甚至可以进行中间人（man-in-the-middle）攻击，修改会话密钥，随意伪造UA1与UA2之间媒体会话的安全特性。

这种攻击的范围包括了所有可能的消息体类型，如MIME消息体、SDP消息体、封装的电话信号等等。

除消息体之外，一些具有端到端意义的消息头域，如Subject头域，也可能会受到这种攻击。

为了防止篡改消息体攻击，UA需要对SIP消息体和某些具有端到端意义的消息头域进行安全保护，包括机密性、完整性和身份认证，这些安全措施也必须是端到端的，即独立于UA与中间媒介（如代理服务器）之间的安全交互机制。

3.1.4 中断会话在一条SIP会话建立之后，会话的参与者可以接着发送某些请求消息，如BYE、re-INVITE等对会话状态进行修改，如果攻击者对这些消息进行伪造，就可以恶意修改甚至中断会话。

图3-3是一个中断会话攻击的例子，用户Bob与用户Alice已经建立了一条媒体会话，攻击者Carol 在Bob与Alice之间会话建立的过程中截获了一些消息，如INVITE请求、200响应等，从这些消息中提取出几个重要的会话参数。

利用这些参数，Carol伪造了一条BYE消息并冒充Bob将它发送给Alice，Alice收到BYE消息后就会断开与Bob之间的媒体会话。

除了BYE消息之外，攻击者还可以伪造CANCEL消息来撤销一条“early”状态的对话，伪造re-INVITE消息来恶意修改会话特性。

图3-3 中断会话攻击如果会话的参与者对请求消息中携带的会话参数进行加密，攻击者就无法从会话中破解关键参数来伪造请求，但是在会话建立过程中，一些中间媒介（如代理服务器）也可能需要用到这些参数，因此不能简单地使用机密性措施。

防止中断会话攻击最有效的方法是对BYE、CANCEL、re-INVITE 消息的发起者进行身份认证，以确保消息的发起者与会话的建立者相同。

3.1.5 拒绝服务攻击拒绝服务（Denial-of-Service, DoS）攻击是网络中最常见的攻击方式之一，它的目的是使一个特定的网络元素失去响应，常用的方法是攻击方将过大的网络流量引导到目标主机的网络接口上，使目标主机过载。

分布式拒绝服务攻击允许一个攻击者利用多个网络主机造成巨大的网络流量来“淹没”攻击目标。

由于需要为大范围内的所有SIP终端提供服务，SIP代理服务器往往处于公共互联网的边缘，容易受到分布式拒绝服务攻击。

攻击者可以创建包含伪造的源IP地址和相应Via头域的请求消息，把要攻击的目标主机当作请求的发起者，接着把这个请求发送给超大数量的SIP网络元素，利用这些网络元素产生的DoS所需的流量攻击目标主机。

类似的，攻击者也可以通过伪造Route头域和Record-Route头域来达到相同的目的。

如果REGISTER请求没有被注册服务器适当地认证和授权，就有可能发生针对注册机制的DoS 攻击。

攻击者可以删除某些用户的注册信息，从而阻止这些用户收到会话邀请。

攻击者还可以为一个给定的AOR地址注册巨大数量的实际地址，指向同样的目标主机，使这个注册服务器和任何与之相关的代理服务器成为一次DoS攻击中的放大器。

攻击者也可能通过注册超大数量的绑定来耗尽一个注册服务器中的可用内存和磁盘资源。

SIP请求消息的多播能也大大增加了DoS攻击的潜在可能。

3.2 安全机制根据上文中讨论的各种攻击手段与安全威胁，可以总结出SIP系统所要求的基本安全服务，包括：消息的机密性与完整性保护，防止重放攻击或消息伪造，为会话的参与者提供身份认证，预防拒绝服务攻击。

SIP消息所携带的消息体也需要机密性、完整性和身份认证的保护。

最好的机密性保护是对整个消息进行加密，这种方式可以实现端到端的加密保护，防止任何中间人攻击。

但是，为了正确地路由消息，许多SIP消息的组成部分（如Request-URI、Route头域、Via 头域等）必须对传输路径中的中间媒介（如代理服务器）是可见的，因此并不能简单地在应用层直接对SIP消息进行加密，对于SIP系统，低层次的逐跳加密更加适用。

身份认证对于SIP实体至关重要，SIP网络面临的几乎每一种安全威胁都与缺乏认证机制有关。

当一个SIP客户机向服务器发送请求消息时，服务器必须对请求消息中的身份标识进行认证，以确保为一个合法的用户提供服务；在某些情况下，客户机还需要对服务器进行身份认证，以防止假冒服务器攻击。

SIP消息的消息体只具有端到端的意义，传输路径中的中间媒介不得对消息体进行篡改，因此对于消息体需要单独提供端到端的加密与认证措施。

由于SIP协议直接继承自HTTP和SMTP两种Internet协议，所有适用于HTTP和SMTP的安全措施都可以用于SIP系统，因此SIP协议并没有单独定义某种安全机制，而是重用了许多现有的Internet安全协议。

图3-4列出网络层、传输层和应用层三个层次上的SIP安全机制。

网络层使用IPSec协议，传输层使用TLS协议，应用层的安全机制主要是S/MIME和HTTP认证。

3-4 SIP安全机制由于IPSec位于传输层之下，与应用层的SIP协议之间没有特别的关联，在本文中不予讨论。

本节主要对TLS、S/MIME和HTTP认证三种安全机制及其在SIP系统中的应用进行分析。

其中，S/MIME 和TLS都是基于公钥证书的安全协议；HTTP认证分为基本认证（HTTP Basic Authentication）与摘要认证（HTTP Digest Authentication）两种，它们都是基于共享密钥的认证方式，基本认证由于存在明显的安全漏洞，一般并不使用，摘要认证是目前RFC3261中规定的最基本的SIP认证方式。

3.2.1 TLS[14][15]安全套接字层协议（Secure Socket Layer, SSL）是Netscape公司设计的主要应用于Web的安全传输协议，是用于在客户机和服务器之间构建安全通信信道的协议，在Web上获得了广泛的应用，目前有2.0和3.0两个版本。

1999年，IETF将SSL进行了标准化，即RFC2246，称为传输层安全协议（Transport Layer Security, TLS）。

从技术上讲，TLS1.0与SSL3.0差别非常微小，本文中仅使用名称TLS。

图3-5 TLS协议的结构与位置TLS协议结构和位置如图3-5所示。

它在OSI分层结构图中位于传输层的TCP协议和应用层协议之间，利用公钥证书和公钥密码体制在TCP层之上建立了一个安全通道子层。

TLS协议提供的安全通道有以下三个特性：z机密性：在握手协议定义了会话密钥之后，所有的消息都会被加密。

z确认性：客户机和服务器的相互认证，TLS协议既可以为客户机认证服务器，也可以为服务器认证客户机，其中，服务器对客户机的认证是可选的。

TLS是基于公钥证书来提供认证功能的，证书是一个经证书认证中心（Certificate Authority, CA）数字签名的包含公开密钥拥有者信息以及公开密钥的文件，网络通信的双方通过对对方证书的验证确认对方的身份。

一个完整的证书验证过程包含以下几个步骤：1)将客户端发来的数据解密；2)将解密后的数据分解成原始数据，签名数据和对方证书三部分；3)用CA根证书验证对方证书的签名完整性；4)检查对方证书是否有效（当前时间在证书结构中的所定义的有效期内）；5)检查对方证书是否已经作废；6)验证对方证书结构中的证书用途；7)利用对方证书验证原始数据的签名完整性。

如果以上各项均验证通过，则接受该数据。

z可靠性：传送的消息使用消息认证码（Message Authentication Code, MAC），用于消息完整性的检查。