SIP协议部署在NAT/防火墙环境下的安全性研究

摘要

基于IP的语音技术(Voice over IP，VoIP)是随着20世纪90年代以来开始的Internet商业化革命和网络融合技术发展起来的一门新兴的通信技术。由于其和传统的PSTN电信网相比，具有高效利用网络资源、可提供多种增值服务等显著优点，VoIP技术得以蓬勃发展。SIP协议(Session Initiation Protocol)作为VoIP的核心信令协议，具有呼叫建立过程简单，灵活便于实现，易于业务扩展等优点。 然而在VoIP逐步从试验走向商用的过程中，也遇到了很多实际问题，特别是IP电话用户的接入问题。由于IPv4地址紧缺以及安全等各种原因，当前网上大量的企业网和驻地网基本上都采用私有IP地址进行内部组网，并通过NAT/防火墙接入公网。由于NAT/防火墙技术与SIP技术存在固有的冲突问题，业界己经提出了不少解决方案。然而现有的解决方案应用于部署时都有弊端。其中最重要的是由于很多新方法、新扩展、新协议的引入使得SIP协议在NAT/防火墙环境下的安全脆弱性暴露、安全威胁增加、安全措施实效，直接导致会话的机密性、可靠性、完整性不能得到保证。SIP协议安全面临严峻挑战。 本文在业界研究SIP协议安全性的基础上，在NAT/防火墙部署的特殊环境下，综合研究SIP协议的安全问题。分析NAT/防火墙环境下SIP协议所面临的安全脆弱性、安全威胁以及攻击手段，并且讨论使用何种安全机制、如何使用安全措施才能最大限度的保证NAT/防火墙环境下SIP的安全。 首先对SIP协议和NAT/防火墙具体技术进行综述性介绍。包括SIP协议的安全威胁，SIP协议的安全措施，NAT/防火墙技术原理。然后提出了SIP协议部署在NAT/防火墙环境下的冲突问题，并具体介绍了SIP协议穿越NAT/防火墙常用技术。 接下来文章对SIP协议在NAT/防火墙环境下的安全问题展开研究。本章主要可分为两个部分，安全威胁分析和安全措施分析。安全威胁分析研究了SIP协议部署于NAT/防火墙环境下存在的各种安全威胁，及其所造成的安全危害；安全措施分析对于NAT与防火墙环境对SIP协议安全措施带来的局限进行了深入的剖析。通过分析发现，SIP协议在NAT与防火墙特定场景下，确确实实存在难于克服的安全威胁隐患。 最后，在分析的基础上，针对具体安全威胁，从认证机制和加密机制的角度，提出了应用于具体场景的SIP协议安全措施。包括HTTP认证机制改进，IPSec协议改进等，以保证SIP协议部署的安全。

目录

文摘

英文文摘

声明

第1章绪论

1.1 研究背景

1.2 研究目的

1.3 文章组织

第2章 背景知识介绍

2.1 SIP协议相关技术简介

2.1.1 SIP协议介绍

2.1.2 SIP协议安全性分析

2.1.3 SIP协议安全机制

2.2 NAT/防火墙相关技术介绍

2.2.1 NAT与SIP协议的冲突

2.2.2 防火墙与SIP协议的冲突

2.3 SIP协议穿越NAT/防火墙技术

2.3.1 ALG方式

2.3.2 探针技术(probe)

2.3.3 全代理技术(Full Proxy)

2.3.4 MIDCOM方式

第3章 SIP协议在NAT/防火墙环境下的安全分析

3.1 安全分析原则

3.2安全威胁场景

3.2.1 服务器假扮

3.2.2 SIP协议中间人攻击

3.2.3 SIP协议DoS攻击

3.3 NAT/防火墙环境下的SIP攻击实验

3.3.1 模拟环境搭建

3.3.2 攻击代码设计

3.3.3 攻击过程

3.3A 攻击结论及分析

第4章 SIP协议在NAT/防火墙环境下安全机制改进

4.1 安全措施局限

4.1.1 IPSec

4.1.2 S/MIME

4.1.3 HTTP认证

4.2 认证机制改进

4.2.1 改进目标

4.2.2 认证基础设施

4.2.3 认证流程设计

4.2.4 状态机设计

4.2.5 程序设计

4.2.6 改进分析

4.3 IPSec机制改进

4.3.1 改进目标

4.3.2 IETF解决方案

4.3.3 UDP封装改进

4.3.4 设计与实现

4.3.5 改进的分析

第5章 结束语

5.1 论文总结

5.2 下一步的研究

第6章 参考文献

第7章 致谢