VoIP新威胁

　　如果这一切让人觉得如同末日来临，那就表明，上文中提到的威胁已经出现在实际生活中，尽管VoIP和基于互联网的语音还只是一种新兴技术。

　　有一家厂商就曾记录了几起VoIP网络钓鱼案件。根据该记录，来电显示表明电话呼叫是来自于你经常使用的那家银行，录音信息要求你输入账户信息，一旦你根据要求输入信息，这些信息就会被人偷偷记录下来。另外，VoIP供应商Vonage曾在客户的语音邮件里加入了一段预先录好的宣传其即将首发上市的产品的语音广告，这是表明存在VoIP垃圾邮件的一个有名的早期例子。

　　但有一些情况并没有暴露，比如VoIP可以与臭名昭著的欺诈案件有关。佛罗里达州一位名叫Edwin Pena的男子涉嫌向华盛顿州的一名黑客支付2万美元，购买钻路由器漏洞的技术，旨在欺诈VoIP提供商。联邦检察官指控Pena盗用了长达1000万分钟的电话服务，然后以低价转手卖掉，从中牟利高达上百万美元。

　　该伎俩是使用“蛮力”来扫描路由器漏洞，这是数据领域的一个简单的老把戏，影响不了PSTN。是不是因为PSTN从技术上来说比较安全呢？未必如此。Graydon说：“PSTN交换机都基于与IP路由器及交换机同样的系统，不同的是，后者可以更方便地访问IP世界的路由器和交换机。”

　　更为糟糕的事也正在发生。IT行业向来以此出名：所谓的“革命性”产品匆忙上市，结果却因缺乏安全性和稳定性而落得被人钻漏洞的尴尬地步。VoIP的出现，使得IT行业又多了一个把收入放在安全前面的案例。在推出VoIP产品后，IT厂商开始销售更多的产品来保护原来的产品，当然，这需要用户支付额外的成本。目前，已经有厂商在销售反SPIT软件、VoIP防火墙和VoIP监控及管理软件。这些额外支付的成本会抵消VoIP节省费用的优点，还增加了复杂性。Graydon说：“这让人极其郁闷，难道就没有人汲取以前的教训吗？”

　　不过，这次面临的风险会比以前更大。假设即时通信产品为了满足市场需求匆忙上市，却没有进行合理保护，也不了解相关风险，这当然不是件好事。但一开始人们对聊天安全的预期和假定又有多少呢？恐怕很有限。至于语音，人们在观念上本来有着根深蒂固的预期：语音不会出问题。我们已形成了这种看法，可是现在匆忙上市的VoIP却达不到这种期望值。

　　从某种意义上来说，提供VoIP服务的供应商现在是抱着趁机捞一把的心态。它们希望语音既具备数据的功能，又具有POTS的安全，即便目前还没有这样的平台。于是它们只好把语音作为另一种数据来销售，但同时也承认了语音的特殊性。北电网络公司首席技术官办公室的产品安全架构主管Lawrence Dobranski说：“我认为语音不是数据。从风险管理角度来看，必须从不同的角度来看待它。我们在数据基础设施上共用语音服务，这意味着威胁就呈现在我们面前，人们对语音抱有种种期望，我们不得不确保把VoIP的安全搞好，这并非易事。”

　　De los Reyes是为VoIP服务开发安全功能的AT&T实验室的技术顾问，他对此比较乐观。De los Reyes说，如果觉得安全控制还没有准备就绪，他和AT&T实验室的其他技术专家可以防止该公司开发的VoIP产品进入市场。他说，事实上也做到了这点。他有能力控制匆忙上市的冲动，他甚至认为没有匆忙上市的必要。“人们在VoIP方面的安全意识要比当初在电子邮件等方面的意识强得多。正是由于这种安全意识增强了，人们不想在VoIP上栽同样的跟斗。”

　　但正如牵涉多达15家VoIP公司的Pena涉嫌诈骗案表明，有些新兴公司并没有落实像AT&T这些传统电话公司那样的控制措施，VoIP实现的语音服务正面临着类似数据领域的所有威胁。

　　De los Reyes最后承认，有些公司会匆忙上市，但这只是为了满足那些事先没有考虑过风险的客户的需求。如果公司和个人都考虑过了全面威胁及与之相关的成本和风险，而不是听信于商家宣传的VoIP可以节省每分钟的通话费、带来诸多完美应用等，这根本就不会成为问题。他说:“要是安全人员讲这个你不能做，人们总会找到变通办法。用户会做他们想做的事，所以我们必须保护他们在做的事，这一幕一定会出现。”

　　也许是这样，但你可能希望更好地控制威胁。实际上，有样东西可以防止新的语音服务很快失去控制，那就是PSTN。在许多情况下，仍处在电话连接最后一英里的旧铜线至少可以减慢VoIP激增的步伐，无论是发展潜力的激增还是重大威胁的激增。

　　当然，如果你着眼于VoIP的潜力，那么POTS将是语音通信革命面临的最后一道障碍。但如果你着眼于威胁，那么这项有着百年历史的模拟技术却成为了一道安全控制屏障。

计算机世界网(www.ccw.com.cn)