Giao thức bảo mật H.235 sử dụng trong hệ thống mạng voip

JOURNAL OF SCIENCE OF HNUE
FIT., 2011, Vol. 56, pp. 112-123
GIAO THỨC BẢO MẬT H.235
SỬ DỤNG TRONG HỆ THỐNG MẠNG VOIP
Đỗ Như Long(∗)
Trường Đại học Sư phạm Hà Nội
Bùi Hải Bằng
Trường cao đẳng nghề GTVT Trung ương I
Vũ Xuân Bảo
Văn phòng Bộ Y Tế
(∗)E-mail: longdn@hnue.edu.vn
Tóm tắt. Việc tích hợp các mạng truyền số liệu truyền thống với hạ tầng
mạng Internet được các nhà nghiên cứu đặc biệt quan tâm. Việc tích hợp
mạng điện thoại PSTN truyền thống với mạng Internet cũng không nằm
ngoài mục đích đó. Với những ưu thế như chi phí thấp, sự mềm dẻo về mặt
kiến trúc VoIP ngày càng trở nên phổ biến hơn đối với người sử dụng, là thị
trường tiềm năng đối với các nhà khai thác. Tuy nhiên khi xây dựng một
hệ thống VoIP ngoài việc xem xét tới chất lượng dịch vụ, còn phải đặc biệt
quan tâm tới khía cạnh bảo mật của hệ thống VoIP. Việc tích hợp các dịch
vụ thoại, dữ liệu, video.... trên cùng một hạ tầng mạng IP chứa đựng nhiều
nguy cơ tiềm ẩn về bảo mật. Trong bài báo này, chúng tôi xây dựng một
phần mềm VoIP dựa trên mã nguồn mở OpenH323 cho phép liên lạc giữa
2 máy tính trong mạng LAN có áp dụng giao thức bảo mật H.235 sử dụng
giao thức báo hiệu H.323.
1. Mở đầu
VoIP (viết tắt của Voice over Internet Protocol, nghĩa là Truyền giọng nói
trên giao thức IP) là công nghệ truyền tiếng nói của con người (thoại) qua mạng
thông tin sử dụng bộ giao thức TCP/IP. Nó sử dụng các gói dữ liệu IP (trên mạng
LAN, WAN, Internet) với thông tin được truyền tải là mã hoá của âm thanh - Theo
wikipedia. VoIP dựa trên sự kết hợp giữa mạng chuyển mạch gói (mạng IP) và mạng
chuyển mạch kênh [1].
Các hệ thống VoIP ngày nay sử dụng 2 giao thức báo hiệu chủ yếu là H.323
và SIP.
112
Giao thức bảo mật H.235 sử dụng trong hệ thống mạng VOIP
Mục tiêu của Điện thoại IP nhằm khai thác tính hiệu quả của các mạng truyền
số liệu, khai thác tính linh hoạt trong phát triển các ứng dụng mới của giao thức IP
và nó được áp dụng trên một mạng toàn cầu là mạng Internet. Chính vì nền tảng
của VoIP là hạ tầng mạng IP do đó VoIP có rất nhiều nhược điểm về vấn đề bảo
mật. Vấn đề bảo mật trong VoIP rất phức tạp, đòi hỏi các kỹ thuật bảo mật tiên
tiến để hạn chế tối đa các nguy cơ tấn công vào mạng VoIP nhằm bảo mật thông
tin liên quan tới cá nhân người sử dụng cũng như số liên lạc truy nhập sử dụng dịch
vụ của người dùng [10].
Việc đảm bảo an ninh cho toàn bộ hạ tầng VoIP đòi hỏi phải có kế hoạch, sự
phân tích và kiến thức chi tiết về an ninh mạng. Sau đây là các nguy cơ tấn công
phổ biến vào mạng điện thoại VoIP [11,12]:
- DoS : Tấn công từ chối dịch vụ (Denial - of - Service) có thể ảnh hưởng tới
bất kỳ dịch vụ dựa trên mạng IP nào, do đó VoIP không phải là ngoại lệ. Tác động
của một cuộc tấn công DoS có thể dẫn tới sự xuống cấp các dịch vụ cho tới việc
mất mát toàn bộ dịch vụ.
- Chặn cuộc gọi và nghe lén: là phương thức mà kẻ tấn công có thể theo dõi
các báo hiệu, luồng dữ liệu giữa 2 điểm thiết bị đầu cuối VoIP, nhưng không có khả
năng sửa đổi dữ liệu. Chặn cuộc gọi thành công tương tự như nghe lén, trong đó
hội thoại có thể bị đánh cắp, ghi lại, phát lại. Một kẻ tấn công có thể đánh chặn và
lưu trữ những dữ liệu này để sử dụng chúng vào những mục đích khác nhau.
-Man-in-the-middle: Các chương trình phân tích gói tin như Network monitor,
Sniffer Pro... thường được các nhà quản trị mạng dùng để quản trị hệ thống, theo
dõi, giám sát, chẩn đoán cũng như khắc phục sự cố của mạng. Lợi dụng những ưu
điểm của các chương trình phân tích gói tin đó các hacker tận dụng chúng để ăn
cắp các thông tin như username, password hoặc các thông tin quan trọng của hệ
thống. Đối với kiểu tấn công này người sử dụng không hề biết mình bị tấn công vì
tiến trình làm việc giữa máy gửi và nhận diễn ra hoàn toàn bình thường.
Trong bài báo này, chúng tôi xây dựng một phần mềm VoIP áp dụng giao
thức bảo mật H.235 và sử dụng giao thức báo hiệu H.323. Chúng tôi tiến hành thực
nghiệm cuộc gọi giữa 2 máy tính trong mạng LAN với 2 trường hợp có sử dụng và
không sử dụng giao thức bảo mật H.235. Trong quá trình thực nghiệm, chúng tôi
sử dụng phần mềm Wireshark để chặn bắt gói tin giữa 2 máy tính trong 2 trường
hợp kể trên để thấy rõ được sự khác biệt bảo mật khi có sử dụng và không sử dụng
giao thức bảo mật H.235 trong hệ thống VoIP.
2. Nội dung nghiên cứu
2.1. Các khái niệm cơ bản
H.323 [8] là chuẩn quốc tế về hội thoại trên mạng được đưa ra bởi hiệp hội
viễn thông quốc tế ITU (International Telecommunication Union). Nó qui định các
113
Đỗ Như Long, Bùi Hải Đăng và Vũ Xuân Bảo
thành phần, các giao thức sử dụng, các thủ tục cho phép truyền các dữ liệu đa
phương tiện (âm thanh, hình ảnh) và số liệu thời gian thực thông qua mạng IP mà
không quan tâm tới chất lượng dịch vụ (QoS). Các đầu cuối của các hãng khác nhau
có thể giao tiếp được với nhau nếu các đầu cuối này tuân theo chuẩn H.323. Một
hệ thống H.323 bao gồm có 4 thành phần chính cho việc truyền tin trên mạng đó
là : Terminal, Gateway, Gatekeeper, MCU(Multipoint control unit).
Các thành phần của giao thức H.323
- Giao thức báo hiệu cuộc gọi H.225 [3]: H.225 RAS, H.225.0 Call Signalling.
- Giao thức điều khiển cuộc gọi H.245 [9].
- Giao thức truyền tải thông tin đa phương tiện RTP/RTCP [2].
- Các chuẩn mã hóa audio: G.711, G.722, G.728, G.729.
- Các chuẩn mã hóa video : H.261, H.263.
Hình 1. Các thành phần H.323
H.235 [4,5,6,7] là chuẩn về bảo mật dành cho hội thoại qua mạng sử dụng giao
thức báo hiệu H.323 được đưa ra bởi hiệp hội liên minh viễn thông quốc tế ITU
(International Telecommunication Union). H.235 mô tả những cơ sở và kĩ thuật bảo
mật được tận dụng cho những thiết bị đầu cuối đa phương tiện H.3xx. H.235 cung
cấp khả năng dàn xếp dịch vụ, nó liên quan đến khả năng hệ thống, yêu cầu của
ứng dụng và đặc tả về ràng buộc của cách thức bảo mật. Nó hỗ trợ những thuật
toán mã hóa khác nhau và những tùy chọn thích hợp với những mục đích khác nhau
114
Giao thức bảo mật H.235 sử dụng trong hệ thống mạng VOIP
(Ví dụ như độ dài khóa).
2.2. Giới thiệu về hệ thống khi sử dụng giao thức bảo mật H.235
Một hệ thống khi sử dụng giao thức bảo mật H.235 sẽ bao gồm các tính năng
sau:
Authentication (xác thực) Quá trình xác thực nhằm mục đích kiểm tra
đối tượng đang trao đổi thông tin là ai. Quá trình này có thể được hoàn thành bằng
cách trao đổi khóa công khai (public-key) dựa trên chứng nhận điện tử (certificate),
hoặc là trao đổi 1 khóa chung (share secret) giữa các bên tham gia. Nó có thể là
mật khẩu (password) hoặc là một phần thông tin nào đó đã được trao đổi.
H.235 mô tả giao thức trao đổi chứng nhận điện tử (certificate), chứng nhận
điện tử đưa ra một sự bảo đảm cho người kiểm tra rằng: người gửi chứng nhận điện
tử là ai. Mục đích đằng sau chứng nhận điện tử là xác thực người sử dụng thiết
bị đầu cuối chứ không đơn thuần là xác thực thiết bị đầu cuối về mặt vật lý. Sử
dụng chứng nhận điện tử, giao thức xác thực(authentication) này chứng tỏ được
rằng người nhận sở hữu khóa bí mật (private key) tương ứng với khóa công khai
(public key) chứa trong chứng nhận điện tử. Cách xác thực này giúp chống lại kiểu
tấn công man-in-the-middle.
Call establishment security (Bảo mật báo hiệu cuộc gọi - H.225) Có
2 lý do thúc đẩy việc thiết lập kênh bảo mật. Thứ nhất là xác thực đơn giản trước
khi chấp nhận cuộc gọi. Thứ hai là để cấp phép cuộc gọi. Nhiệm vụ của kênh H.225
trong trường hợp này là cung cấp các kĩ thuật bảo mật mà đầu cuối có thể đáp ứng,
xác nhận các kĩ thuật bảo mật đó và trao đổi chứng chỉ điện tử.
Call control security (Bảo mật kênh điều khiển cuộc gọi H.245) Kênh
điều khiển cuộc gọi được bảo mật để cung cấp bảo đảm cho kênh truyền thông sau
đó. Kênh H.245 được bảo vệ sử dụng những kĩ thuật bảo mật đã được trao đổi trước
đó. Bản tin H.245 được sử dụng để báo hiệu thuật toán mã hóa và khóa đã được mã
hóa sử dụng trong kênh chia sẻ, kênh media. Trong hội nghị đa điểm, nhiều khóa
khác nhau được sử dụng cho nhiều luồng với mỗi điểm đầu cuối. Nó đảm bảo an
toàn đối với mỗi điểm đầu cuối trong hội nghị.
Media stream privacy (Bảo mật kênh truyền thông) Khuyến nghị này
mô tả bảo mật truyền thông cho luồng dữ liệu đa phương tiện truyền trên mạng
chuyển mạnh gói.
Bước đầu tiên trong việc đạt được bảo mật truyền thông là sự cung cấp có
đảm bảo của một kênh điều khiển, dựa trên đó để đặt một khóa mã hóa và thiết lập
những kênh logic sẽ mang những luồng dữ liệu truyền thông đã được mã hóa. Vì
vậy, khi hoạt động trong một hội nghị có đảm bảo, các đầu cuối tham gia có thể sử
dụng một kênh H.245 đã được mã hóa. Theo cách đó, thuật toán mã hóa được lựa
chọn và khóa mã hóa đưa vào trong bản tin H.245 Open Logical Channel được
115
Đỗ Như Long, Bùi Hải Đăng và Vũ Xuân Bảo
bảo vệ.
Dữ liệu đã được mã hóa được truyền trong các kênh logic phải nằm trong kiểu
được đặc tả bởi Open Logical Channel. Thông tin trong phần header gửi đi không
được mã hóa. Sự bảo mật của dữ liệu dựa trên cơ sở mã hóa end-to-end.
2.3. Thực nghiệm
2.3.1. Giới thiệu phần mềm Xcall
* Tổng quan hệ thống
Hình 2. Tổng quan hệ thống
- XCall Application: Là một ứng dụng H.323 client đơn giản được xây dựng
dựa trên bộ thư viện mã nguồn mở Open H.323, cho phép thực hiện các cuộc gọi
bảo mật giữa 2 điểm đầu cuối.
- Open H.323 : Bộ thư viện mã nguồn mở được viết bằng ngôn ngữ lập trình
C++, cung cấp các giao diện cần thiết cho việc thiết lập một hệ thống VoIP sử
dụng giao thức H.323 làm giao thức báo hiệu.
- Codecs: Bộ mã hóa và giải mã tín hiệu audio. Tín hiệu audio trước khi truyền
đi phải được mã hóa, bên nhận sau khi nhận được tín hiệu phải tiến hành giải mã
trước khi phát ra loa.
- RTP : Thư viện được tích hợp sẵn trong bộ thư viện mã nguồn mở OpenH.323,
làm nhiệm vụ vận chuyển tín hiệu audio giữa các điểm đầu cuối.
Các chức năng chính của XCall:
- Gọi điểm - điểm giữa 2 client
- Bảo mật cuộc gọi sử dụng giao thức H.235
* Thiết kế chương trình
Chương trình bao gồm 6 module chính tương tác với nhau:
- XCall: đây là module ứng dụng bao gồm giao diện của phần mềm và xử
lý nghiệp vụ của phần mềm, XCall giao tiếp với OpenH.323 thông qua đối tượng
H.323Endpoint.
116
Giao thức bảo mật H.235 sử dụng trong hệ thống mạng VOIP
Hình 3. Tương tác giữa các module
- OpenH.323 : đây là module lõi của hệ thống thực hiện các chức năng như:
Quản lý các cuộc gọi H.323, trao đổi các khóa bảo mật sử dụng giao thức H.235,
thu, phát, mã hóa và giải mã tín hiệu âm thanh. Module này bao gồm các module
con như: Module thu tín hiệu âm thanh (Recorder), module phát tín hiệu âm thanh
(Player), module mã hóa giải mã (Codecs) và module thực hiện chức năng vận
chuyển tín hiệu giữa các đầu cuối (RTP).
- Recorder : Giao tiếp với thiết bị microphone để thu tín hiệu âm thanh và
chuyển cho khối mã hóa.
- Codecs : Thực hiện chức năng mã hóa tín hiệu âm thanh trước khi truyền đi
và giải mã sau khi nhận được.
- Player : Phát âm thanh ra loa.
* Class diagram
Hình 4. Class Diagram
117
Đỗ Như Long, Bùi Hải Đăng và Vũ Xuân Bảo
* Giao diện chương trình
Hình 5. Giao diện chương trình Xcall
2.3.2. Giới thiệu chương trình Wireshark
Hình 6. Chương trình Wireshark
Wireshark là một chương trình bắt gói tin trên mạng. Nó sẽ cố gắng bắt tất
cả các gói tin và hiển thị thông tin chi tiết nhất có thể. Mục đích của việc sử dụng
118
Giao thức bảo mật H.235 sử dụng trong hệ thống mạng VOIP
Wireshark có thể là:
- Quản trị mạng: kiểm tra các lỗi trên mạng
- Bảo mật hệ thống: kiểm tra các lỗi về bảo mật
- Phát triển hệ thống: gỡ rối hoạt động của giao thức
- Các đối tượng khác: học về các giao thức nội tại của mạng
2.4. Kết quả thảo luận
Như chúng tôi đã trình bày ở trên, vấn đề bảo mật trong hệ thống VoIP là rất
quan trọng. Trong phần thực nghiệm cuộc gọi được tiến hành trong thực tế là cuộc
gọi trong mạng LAN giữa 2 PC sử dụng phần mềm Xcall hỗ trợ G711 gọi trực tiếp
cho nhau. Phần mềm wireshark chạy trên máy bị gọi bắt được các bản tin trao đổi
giữa 2 máy. Chúng tôi tiến hành thực nghiệm trong 2 trường hợp hệ thống VoIP có
sử dụng giao thức bảo mật H.235 và không sử dụng giao thức bảo mật H.235.
2.4.1. Đối với cuộc gọi khi không sử dụng giao thức bảo mật H.235
Hai máy trao đổi các bản tin H.225 mà không kèm theo trường Token chứa
khóa
Hình 7. Bản tin Setup
Sau khi trao đổi xong các bản tin điều khiển và mở kênh truyền thông, các
gói tin RTP mang thông tin thoại sẽ được truyền đi giữa 2 PC. Wireshark cũng bắt
được các gói tin này và có khả năng giải nén cũng như nghe lại. Như vậy, khi không
sử dụng H.235, thông tin truyền đi không được mã hóa và có thể bị nghe lén.
119
Đỗ Như Long, Bùi Hải Đăng và Vũ Xuân Bảo
Hình 8. Giải nén gói tin RTP
2.4.2. Trường hợp sử dụng H.235
- Máy gọi gửi cho máy nhận bản tin Setup có thông số DH trong trường token.
Hình 9. Bản tin Setup H.235
- Máy bị gọi nhận được bản tin Setup sẽ chọn thông số DH phù hợp nhất và
gửi lại nó cho bên gọi.
120
Giao thức bảo mật H.235 sử dụng trong hệ thống mạng VOIP
Hình 10. Bản tin Connect H.235
- Hai bên sau đó sẽ trao đổi các bản tin H.245 về các thông số như audio,
video CODEC, master/slave. Sau đó, điểm cuối là master sẽ gửi đi bản tin mở
kênh có kèm theo khóa phiên (đã được mã hóa bởi khóa chung DH) trong trường
encrytionSync.
Hình 11. Bản tin OpenLogicalChannel H.235
- Sau khi mở kênh thoại, các gói tin sau đó sẽ được mã hóa bằng khóa và thuật
toán trao đổi trước đó. Lúc này Wireshark cũng bắt được các bản tin trao đổi giữa
2 PC. Tuy nhiên khi giải nén các gói tin RTP chỉ nhận được các tín hiệu vô nghĩa.
3. Kết luận
Với những ưu thế như chi phí thấp, sự mềm dẻo về mặt kiến trúc VoIP ngày
càng trở nên phổ biến hơn đối với người sử dụng, là thị trường tiềm năng đối với
các nhà khai thác. Tuy nhiên, khi xây dựng một hệ thống VoIP ngoài việc xem xét
tới chất lượng dịch vụ, còn phải đặc biệt quan tâm tới khía cạnh bảo mật của hệ
thống VoIP. Việc tích hợp các dịch vụ thoại, dữ liệu, video.... trên cùng một hạ tầng
121
Đỗ Như Long, Bùi Hải Đăng và Vũ Xuân Bảo
Hình 12. Giải nén gói tin RTP H.235
mạng IP đã mang đến nhiều nguy cơ tiềm ẩn về bảo mật.
Trong bài báo này, chúng tôi đã xây dựng một phần mềm VoIP có khả năng
thực hiện cuộc gọi thoại giữa 2 máy tính trong một mạng LAN áp dụng giao thức
báo hiệu H.323 và sử dụng giao thức bảo mật H.235. Tuy nhiên, hiện tại phần mềm
chỉ hỗ trợ thoại giữa 2 máy tính trong mạng LAN. Trong thời gian tới chúng tôi sẽ
xây dựng phần mềm hỗ trợ thoại đa điểm hội nghị và thoại trên internet.
REFERENCES
[1] Ths. Nguyễn Trọng Minh, 2010. Giáo trình Kỹ thuật chuyển mạch 1, Học viện
Công nghệ bưu chính viễn thông, tr.10-40.
[2] IETF, 1996. RFC 1889 A Transport Protocol for Real-Time Applications(RTP),
Lawrence Berkeley National Laboratory, Internet Engineering Task Force - IETF,
pp.10-39.
[3] ITU-T, 2009. Recommendation H.225.0, Call signalling protocols and media
stream packetization for packet-based multimedia communication systems, Inter-
national Telecommunication Union, pp.8-47.
[4] ITU-T, 2000. Recommendation H.235 - Security and encryption for H-series
(H.323 and other H.245-based) multimedia terminals, International Telecommu-
nication Union, pp.5-21, 32-45, 48-73.
[5] ITU-T, 2005. Recommendation H235.0 - H.323 security: Framework for secu-
rity in H-series (H.323 and other H.245-based) multimedia systems. International
Telecommunication Union, pp.9-24.
122
Giao thức bảo mật H.235 sử dụng trong hệ thống mạng VOIP
[6] ITU-T, 2005.Recommendation H235.1 - H323 security : Baseline security profile.
International Telecommunication Union, pp.5-17.
[7] ITU-T, 2005. Recommendation H235.2 - H323 security : Signature security pro-
file. International Telecommunication Union, pp.7-19.
[8] ITU-T, 2009. Reconmendation H.323 Visual telephone systems and equipment
for local area networks which provide a non-guaranteend quality of service. Inter-
national Telecommunication Union, pp.14-47, 51-70, 81-129.
[9] ITU-T, 2009. Recommendation H.245 Control protocol for multimedia commu-
nication. International Telecommunication Union, pp.8-10, 79-122.
[10] P. Mehta and S. Udani, 2001. “Overview of Voice over IP”, Technical Report
MS-CIS-01-31. Department of Computer Information Science, University of Penn-
sylvania, pp.5-8, 26-28.
[11] D. Richard Kuhn, Thomas J. Walsh, Steffen Fries, 2005. Security Considera-
tions for Voice Over IP Systems. National Institute of Standards and Technol-
ogy(NIST), pp.19-37, 52-68.
[12] Thomas Porter, 2006. Practical VoIP Security. Syngress Publishing, Inc,
Canada, pp.123-143, 239-261.
ABSTRACT
Using seairity protocols H.235 in VOIP network system
The integration between traditional data communication network and inter-
net infrastructure is especially regarded by many researchers. Also the integration
between traditional PSTN telephone network and internet network is also within
these purposes. It have many advantages such as: low cost, users are more and more
familiar with flexibility of VoIP architecture, the potential market for operators. Nev-
ertheless, when building the aVoIP system not only considers the quality of service
but also pay special attention to security aspects of VoIP systems. The integration
of voice services, data, video .... on the same IP network infrastructure has encom-
passed many potential security risk issues. In this study, we develop a VoIP software
based on open source OpenH323 allows communication between twocomputers on
the LAN can apply security protocols H.235 uses H.323 signaling protocol.
123