科技时代新浪首页 > 科技时代 > 互联网 > 正文

专家预警VoIP软件安全隐患


http://www.sina.com.cn 2006年12月26日 10:55 ZDNet China

  CNET科技资讯网 12月26日国际报道 以Skype为代表的VoIP软件相当好用--攻击其它人的黑客可能也这么觉得。

  上周知名网络语音(VoIP)软件Skype传出网络安全威胁的消息。最早发出警示的Websense指出,一只蠕虫通过Skype Chat功能,向Skype用户发出要求下载某执行文件的信息,一旦对方执行之后就会被植入间谍程序,不但可窃取使用者信息,还会连接外部主机下载其它
恶意程序。

  Websense随后将之修正为木马程序。而CA则发布通告宣称是同时间出现名为Win32/Chatosky.A的蠕虫,以及Win32/Skiks.A的木马程序,两种恶意程序互不相干,首次出现时间也不尽相同。前者包含无法成功对外连接的URL,后者则会记录键击(keystroke)顺序以窃取用户密码、信用卡号码等机密信息。

  包括Websenese、CA或赛门铁克都因该程序造成灾害轻微、散布区域不大而列为低风险。只要定期更新防毒程序的用户都不致有影响。不过另一方面,安全通报却也印证了今年初安全公司与顾问公司的预言。

  今年三月,国际安全研究组织Communication Research Network警告,由于Skype、Vonage及其它VoIP软件使用专属通讯协议,且传输内容经过加密,外界无法监看传输内容,可能Skype的用户计算机被植入傀儡程序而变成傀儡网络(botnet)大军中的一员。

  六月间,Gartner也发布了一份Skype安全威胁相关报告,指出Skype具有安全威胁,建议企业开放之前必须要先完成Skype的风险评估。

  “可以说恶梦即将成真,”CA台湾安全技术顾问林宏嘉说。

  不只Skype

  包括Skype在内的数种免费的VoIP/IM软件,拜网络普及及通讯技术进步之赐,已成为广受网络使用者欢迎、用以取代市话的通讯软件。以最知名的Skype为例,全球已有700万名用户。

  目前Google、AOL、Yahoo、MSN等大厂的知名实时通讯(Instant Messenging, IM)软件也都具备VoIP功能。

  虽然相当方便好用,然而也正因为如此,此类以通道技术(tunneling)为基础的传输软件可能沦为不肖人士的攻击工具,安全专家指出。

  首先,相较于传统邮件或Web流量,VoIP传递的语音信息更难以管制。语音垃圾邮件(spam over internet telephony,SPIT) 未来也可能像现在的垃圾邮件一样塞爆语音信箱。

  Fortinet安全专家也预测,VoIP难以追查来电者的位置及身份,可能被有心人士僭用,使得困扰许多老人甚至高知识分子的诈骗电话蔓延到网络上。

  近在眼前

  而除了预测式的安全隐忧之外,一种更难以防御的安全威胁则可能已经近在眼前。

  趋势科技台湾技术总监王应达在先前访问中指出,随着人工智能技术的进步,现在已出现恶意程序代码甚至可以冒充使用者IM软件通讯名单的“联络人”,和使用者进行简单对话,诱使使用者不疑有他,依据送来的信息点入网址甚至接受讯息。

  林宏嘉则直指VoIP等信道技术软件的威胁。防毒、入侵侦测等网络防御工具的普及,迫使恶意程序作者的行为朝低调及精准、区域性的攻击转变,他说,VoIP确保通讯内容隐密,却也给了恶意程序逃过监控的机会,而受害者少,更加深样本搜集—以及防毒解药产生—的难度。

  上周出现的Skype攻击程序已经展现新的网络攻击特征。他说,只要再稍加改进,例如包含不固定档案的恶意程序,或是暗中植入而毋需使用者接收,引发的灾难将不堪设想。

  CA已对企业用户发出通报,要求客户注意来自Skype的风险。

  VoIP软件“好用、难管、挡不到、样本少,”他说,“黑客只要够创意,要一次撂到数百万用户并不是不可能的事。”(钟翠玲)

发表评论 _COUNT_条

爱问(iAsk.com)



评论】【论坛】【收藏此页】【 】【多种方式看新闻】【下载点点通】【打印】【关闭




科技时代意见反馈留言板 电话:010-82628888-5595   欢迎批评指正

新浪简介 | About Sina | 广告服务 | 联系我们 | 招聘信息 | 网站律师 | SINA English | 会员注册 | 产品答疑

Copyright © 1996 - 2006 SINA Inc. All Rights Reserved

新浪公司 版权所有