Πλαίσιο ανίχνευσης και αντιμετώπισης περιστατικών ασφαλείας σε συστήματα διαδικτυακής τηλεφωνίας

Abstract

Η παροχή υπηρεσιών φωνής μέσω του διαδικτύου προσφέρει σε όλες τις εμπλεκόμενες οντότητες μια σειρά από πλεονεκτήματα, όπως χαμηλό κόστος παροχής της υπηρεσίας, δυνατότητα ανάπτυξης νέων εξελιγμένων υπηρεσιών, ευκολία διαχείρισης και άλλα πολλά. Βέβαια, πέρα από τα πλεονεκτήματα και τους νέους ορίζοντες που δημιουργούνται στις υπηρεσίες τηλεφωνίας, θα πρέπει να αντιμετωπιστούν τόσο τα προβλήματα αξιόπιστης μετάδοσης των δεδομένων, όσο και αυτά της ασφαλείας των υπηρεσιών φωνής. Τα συγκεκριμένα προβλήματα είναι ιδιαίτερα έντονα λόγω των χαρακτηριστικών των δημόσιων δικτύων ανοικτών προδιαγραφών, όπως είναι το διαδίκτυο, που αξιοποιούνται για την παροχή των υπηρεσιών. Τα προβλήματα αξιόπιστης μετάδοσης, κυρίως για τα δεδομένα φωνής, ήταν αυτά που προσέλκυσαν το ενδιαφέρον της επιστημονικής κοινότητας, δεδομένου ότι η αξιοπιστία μετάδοσης είναι αδιαπραγμάτευτο προαπαιτούμενο για την παροχή υπηρεσιών τηλεφωνίας. Σήμερα, υπάρχουν ικανοποιητικές λύσεις για τα περισσότερα από τα προβλήματα που έχουν εντοπιστεί οι οποίες βασίζονται στους κατάλληλους μηχανισμούς κωδικοποίησης. Από την άλλη πλευρά, το ενδιαφέρον για τα ζητήματα ασφαλείας των υπηρεσιών ήταν σχετικά περιορισμένο, παρά το γεγονός ότι η παροχή υπηρεσιών μέσω δημόσιων δικτύων ανοικτών προδιαγραφών προσφέρει πληθώρα δυνατοτήτων εκδήλωσης κακόβουλων ενεργειών. Το διαδίκτυο, ως το πλέον αντιπροσωπευτικό παράδειγμα δικτύου ανοικτής αρχιτεκτονικής, κινδυνεύει τόσο από τα πολυάριθμα γνωστά προβλήματα ασφαλείας, όσο και από νέες ευπάθειες που μπορεί να προκύψουν από τη συνεχή διαδικασία αναζήτησης κενών ασφαλείας σε υπηρεσίες και πρωτόκολλα. Συνεπώς, οι υπηρεσίες που παρέχονται μέσω του διαδικτύου, μη εξαιρουμένων των υπηρεσιών φωνής, κληρονομούν όλες τις εγγενείς ευπάθειες του. Επιπλέον, η εισαγωγή νέων πρωτοκόλλων για την εγκαθίδρυση και διαχείριση συνόδων, όπως το Session Initiation Protocol (SIP), δημιουργεί πληθώρα νέων απειλών που, λόγω της διασυνδεσιμότητας των υπηρεσιών, καθιστούν ολόκληρο το τηλεφωνικό δίκτυο ευπαθές σε επιθέσεις. Η παρούσα διδακτορική διατριβή επικεντρώνεται σε ζητήματα ασφαλείας που αφορούν το πρωτόκολλο σηματοδοσίας SIP. Συγκεκριμένα, αναλύονται όλες οι πιθανές ευπάθειες που μπορεί να ‘αξιοποιηθούν’ για την εκδήλωση επιθέσεων κατά τη διαδικασία εγκαθίδρυσης συνόδων SIP. Στη συνέχεια παρουσιάζονται και αξιολογούνται, ως προς την αποτελεσματικότητα τους, οι μηχανισμοί ασφαλείας που προδιαγράφονται στο πρότυπο του SIP. Τα κενά ασφάλειας που παραμένουν αντιμετωπίζονται μέσω νέων μηχανισμών ασφάλειας που προτείνονται και οι οποίοι δρουν συμπληρωματικά με τα υπάρχοντα μέτρα ασφαλείας. Οι προτεινόμενοι μηχανισμοί έχουν υλοποιηθεί και αξιολογηθεί ως προς την αποτελεσματικότητα και την απόδοση τους μέσω πειραματικού περιβάλλοντος που αναπτύχθηκε. Συνολικά, για την αποτελεσματική αντιμετώπιση των προβλημάτων ασφαλείας στις υπηρεσίες διαδικτυακής τηλεφωνίας, προτείνεται μια αρχιτεκτονική τριών επιπέδων στην οποία εντάσσονται τα κατάλληλα προληπτικά, αναγνωριστικά και ανασταλτικά μέτρα ασφαλείας. Στο πρώτο επίπεδο κατατάσσονται οι κατάλληλοι μηχανισμοί πρόληψης για την αντιμετώπιση περιστατικών μη εξουσιοδοτημένης τροποποίησης των δεδομένων σηματοδοσίας. Στο δεύτερο επίπεδο αναπτύσσονται αυστηρές πολιτικές και μηχανισμοί ελέγχου που βασίζονται στις προδιαγραφές των αξιοποιούμενων πρωτοκόλλων σηματοδοσίας, όπως το SIP, προκειμένου να αποτρέπεται η επεξεργασία μη συμβατών μηνυμάτων από τους αναλυτές μηνυμάτων των υπηρεσιών. Στο τελευταίο επίπεδο άμυνας, υλοποιούνται μηχανισμοί για την άμεση αναγνώριση επιθέσεων πλημμύρας. Η προτεινόμενη αρχιτεκτονική συμπληρώνει τους υπάρχοντες μηχανισμούς ασφαλείας και αποτελεί μια εύκολα κλιμακούμενη αρχιτεκτονική. Οι πάροχοι υπηρεσιών διαδικτυακής τηλεφωνίας, εκτός από την έγκαιρη ανίχνευση και την αντιμετώπιση των επιθέσεων που μπορεί να εκδηλωθούν κατά των υπηρεσιών που προσφέρουν, θα πρέπει να διαθέτουν τη δυνατότητα αποτύπωσης των περιστατικών ασφαλείας μέσω κάποιας κοινής σημασιολογικής περιγραφής. Με τον τρόπο αυτό θα καταστεί δυνατή η ανάπτυξη μιας ενιαίας αρχιτεκτονικής ασφαλείας και προστασίας. Προς την κατεύθυνση αυτή, και συγκεκριμένα για τη δημιουργία ενός ενιαίου τυπικού μοντέλου ασφαλείας για τις υπηρεσίες διαδικτυακής τηλεφωνίας, αποφασίστηκε να αξιοποιηθούν οντολογίες για την ανάπτυξη μίας κοινής «βάσης ασφαλείας» μέσω της οποίας προωθείται η συνεργασία των παρόχων διαδικτυακής τηλεφωνίας στα πλαίσια ενός ασφαλούς περιβάλλοντος παροχής υπηρεσιών τηλεφωνίας. Η οντολογία που αναπτύχθηκε, αναπαραστάθηκε σε κατηγορηματική λογική και εφαρμόστηκε σε πειραματικό περιβάλλον.