隨著互聯(lián)網(wǎng)的飛速發(fā)展，VoIP業(yè)務(wù)得到廣泛開展。在過去的幾年中，由于H.323發(fā)展早而且符合運營商的體系運營思路，故其發(fā)展遠(yuǎn)遠(yuǎn)領(lǐng)先于其它VoIP協(xié)議，并大量部署到運營網(wǎng)絡(luò)中。目前，絕大多數(shù)運營的VoIP業(yè)務(wù)都基于H.323協(xié)議簇。但是，由于互聯(lián)網(wǎng)本身的開放性和缺乏有效監(jiān)控，以及H.323協(xié)議簇本身的協(xié)議漏洞，H.323網(wǎng)絡(luò)安全問題日益凸現(xiàn)，給H.323系統(tǒng)帶來諸多威脅，嚴(yán)重阻礙了H.323的發(fā)展，其主要安全威脅有以下幾個方面：
●拒絕服務(wù)攻擊。基于開放端口的拒絕服務(wù)攻擊。對H.323系統(tǒng)關(guān)鍵設(shè)備進(jìn)行同步（SYN）、Internet控制報文協(xié)議（ICMP）數(shù)據(jù)包的大流量攻擊可導(dǎo)致通信中斷，無法正常提供業(yè)務(wù)。
●服務(wù)竊取。主要是針對非授權(quán)接入。其中包括：竊取用戶身份假冒合法用戶身份；冒充合法網(wǎng)絡(luò)節(jié)點進(jìn)行服務(wù)欺騙。
●信令流攻擊。由于H.323控制信令的開放性，任何人都可以通過網(wǎng)絡(luò)監(jiān)聽器監(jiān)聽H.323信令流。惡意用戶攔截并篡改網(wǎng)絡(luò)中傳輸?shù)男帕顢?shù)據(jù)包，修改數(shù)據(jù)包中的域，使H.323呼叫不能正常使用。從而引入會話劫持、中間人攻擊、電話跟蹤等威脅。
●媒體流的監(jiān)聽。H.323系統(tǒng)中RTP/RTCP是在IP網(wǎng)上傳輸話音信息的協(xié)議。由于協(xié)議本身是開放的，惡意用戶可以通過網(wǎng)絡(luò)監(jiān)聽器監(jiān)聽媒體流，如果可以理解媒體流內(nèi)容即可破壞媒體流的機密性。
隨著網(wǎng)絡(luò)安全日益成為人們使用IP網(wǎng)絡(luò)最關(guān)注的問題，所以，網(wǎng)絡(luò)安全同樣也成為H.323系統(tǒng)面臨的最主要問題之一，可以說，網(wǎng)絡(luò)安全問題不解決，不僅將來H.323就沒有發(fā)展前景，現(xiàn)有H.323也很快失去生命力。
一、H.323網(wǎng)絡(luò)安全體系結(jié)構(gòu)
為了加強H.323系統(tǒng)的網(wǎng)絡(luò)安全，國際國內(nèi)標(biāo)準(zhǔn)組織、相關(guān)廠家開展積極的H.323網(wǎng)絡(luò)安全研究工作。圖1為H.323網(wǎng)絡(luò)安全體系示意圖，其中陰影部分是H.323所涉及的安全研究范圍。
![""]("http://www.voipchina.cn/technology/UploadFiles_9507/200701/20070117122729703.jpg")
從圖1可以看到，H.225.0和H.245是H.323系統(tǒng)的核心協(xié)議。H.225.0負(fù)責(zé)呼叫控制，主要包括兩部分：呼叫接納（RAS）和呼叫信令協(xié)議。RAS主要用于傳送終端登記信息、認(rèn)證信息和呼叫處理信息。呼叫信令協(xié)議基于Q.931而制定主要用于完成呼叫建立過程。H.245用于媒體控制，主要實現(xiàn)媒體流通信信道的建立、維護和釋放。RTCP是媒體流實時傳輸控制協(xié)議，RTP是媒體流實時傳輸協(xié)議。媒體流安全傳輸將使用H.245信道中給出的算法與密鑰進(jìn)行編碼。H.323端點之間建立通信關(guān)系一般執(zhí)行三個控制過程：RAS，呼叫控制（呼叫信令）與連接控制（H.245）。
要實現(xiàn)安全的H.323業(yè)務(wù)，首先要保證終端或MCU與網(wǎng)守之間安全傳遞RAS消息，以完成安全注冊，確保只有合法用戶可以使用H.323業(yè)務(wù)并進(jìn)行相應(yīng)的資源使用授權(quán)，如國際、長途業(yè)務(wù)授權(quán)等。在保證RAS安全基礎(chǔ)上，可以建立安全的呼叫連接信道（H.225.0）與呼叫控制（H.245）信道，在此基礎(chǔ)上，為采用RTP協(xié)議的實時媒體流通信進(jìn)行加密算法與密鑰協(xié)商，完成媒體流通信機密性。
