通訊產業市場由傳統的線路交換式電話網路 ( Circuit Switch Network )，轉向成為可同時包含資料、語音與影像的封包式網路服務架構 ( Packet-based Network )。過去數年間，IP 通訊市場一直以 H.323 通訊協定為主流，透過網路標準傳輸方式，讓不同廠商的產品能夠經由共同的標準來運作。

但是，最近竄起的 SIP ( Session Initiation Protocol ) 協定，乃是以網際網路中現有的多媒體架構與訊息傳遞能力為基礎，提供整合語音與其它多媒體通訊服務，達到多媒體通訊協定目的。除了 VoIP 的應用之外，SIP 也適用於視訊會議與即時訊息範疇，因此越來越多的廠商開始發展符合 SIP 協定的產品，投入 VoIP 市場。

SIP 簡介
SIP 是由網際網路工程任務小組 ( Internet Engineer Task Force ; IETF ) 制定的媒體會議訊息通訊協定。SIP 是以 ASCII 文字資料為基礎，用來建立、維持與結束兩點或多點之間通訊應用程式層次之控制協定。如同其他的 VoIP 通訊協定，SIP的設計目的也是用來定義封包式資料電話網路中的訊號取樣 ( single sampling ) 與通訊階段管理工作。訊號取樣讓通訊內容能轉換成為數位化資訊，得以傳遞到網路各個地區；通訊階段管理則提供通話從開始到結束的所有狀態控制功能。

SIP 的構成元件
SIP 是一種點對點「Peer to Peer」的通訊協定，採用分散式架構，透過 URL 來命名位址與使用純文字格式來傳送訊息，使SIP能夠藉由網際網路模型的優點，來架構VoIP 網路與應用程式。

在每一個通訊工作階段中的點(Peer)被稱為使用者代理 ( User Agent ;UA )，而使用者代理可以扮演以下所列之角色：

• 使用者代理客戶端 ( User Agent Client ;UAC ) - 客戶端的應用程式可以發起一個 SIP 的通訊要求。
• 使用者代理伺服器端 ( User Agent Server ;UAS ) - 伺服器端應用程式在收到 SIP 通訊要求時，會回覆通訊訊息。

若由硬體架構上的觀點來區分，SIP 網路中的設備也可被歸納為兩大類：客戶端和伺服器。

SIP 客戶端：

• 電話 – 電話可以扮演 UAC 或是 UAS 任一角色，如軟體電話 ( 安裝具備電話通訊功能軟體 PC ) 或是 SIP 協定 IP 電話，都可以發起一個SIP要求，或是對發話方要求產生回應。
• 閘道器 ( Gateways ) – 閘道器執行通訊的控制功能，並提供多種項目之網路服務。最常見的服務為處理 SIP 通訊端點與其餘終端機型態的轉換動作，這項功能包含了轉換資料傳遞格式，與轉換通訊程序的差異。另外閘道器也負責處理不同聲音與影像編解碼器之間的資料轉譯，與處理不同通訊媒體間，如區域網路與封包交換網路，或通訊呼叫的設立與解除動作。

SIP 伺服器：

• 代理伺服器 ( Proxy Server ) – 代理伺服器扮演類似中間人的角色。代理伺服器在接到客戶端的 SIP 要求時，將視受話端狀態，將 SIP 要求轉送至目的地。基本上，代理伺服器在收到 SIP 訊息後，會立刻將訊息轉送至網路中的下一個 SIP 伺服器，並執行使用者授權、認證、網路存取控制、網路路由判斷與安全控管等功能。
• 轉址伺服器 ( Redirect Serve r) – 提供客戶端關於下一個網路節點或是訊息應該傳送到的網路節點資訊，讓客戶端能夠與下一個節點伺服器或 UAS 直接取得聯繫。
• 註冊伺服器 ( Registrar Server ) – 處理 UAC 送交，註冊 UAS 所在位置之伺服器。通常與代理伺服器或轉址伺服器位於同一台伺服器中。

語音通訊的網路安全問題
雖然 SIP 已被公認為 IP 網路與傳統電信 PSTN 網路整合之關鍵技術，但是因為 SIP 同樣是透過IP網路傳送資料，因此要如何避免網際網路中的病毒與惡意攻擊、避免被網路竊聽 ( Eavesdropping ) 等，已成為採用 SIP 協定產品的最大考量。

SIP 的安全性議題包含兩個層面，第一是語音資料封包之安全，著眼於應用程式層次方面；第二是 IP 網路的安全性，著眼於網路實體層與傳送層的問題。就網路的架構來看，因為 SIP 不僅只應用於企業內部的安全區域內，它的資料封包也會經由充滿威脅與攻擊的網際網路，故將 SIP 網路的威脅來源分為兩種：外部的威脅與內部的威脅。

外部的威脅主要是發生在語音資料封包流經一些不安全的網路、網路設備或是代理者。內部威脅則是來自 SIP 呼叫的發話端或是受話端。一般的企業會將防火牆內部的使用者視為是可以受到信任的安全使用者，一旦這些安全的使用者對 SIP 協定的網路具有危險性，將很難被辨識追蹤出來，更遑論事前防範。

綜合 SIP 在應用層面與網路層面所面臨的威脅，大致上會有下列五種攻擊：

1. 阻絕服務攻擊 ( Denial of Service ; DoS ) - 阻絕服務攻擊將會對網際網路中的 SIP 代理伺服器或語音閘道器，發動未被授權的資料封包炸彈，以停止伺服器的正常運作。
2. 網路竊聽 ( Eavesdropping ) – 未經授權的攔截語音資料封包或是 RTP 的媒體資料流，而後將所獲得的資料進行解碼動作。
3. 封包偽裝 ( Packet Spoofing ) – 攻擊者偽裝成合法的使用者來傳送資料。
4. 重複傳遞訊息 ( Replay ) – 攻擊者不斷重複傳送一個合法的偽造訊息給受話方，導致受話方的 UA 重新處理這個偽造訊息。
5. 訊息完整性 ( Message Integrity ) – 收、發話雙方必須確保訊息傳送的完整性，藉由 HTTP Digest 之類的訊息認證功能，防止攻擊者在訊息資料中插入具備攻擊性資料。

面對以上威脅，網路管理者通常會透過伺服器的設定，以防止阻絕服務攻擊 ( DoS )，或加裝防火牆等設備過濾不正常的資料封包；對傳送的資料封包進行加密動作，例如使用 Secure RTP 通訊協定，以避免網路竊聽威脅；在各個合法的使用者之間，採用位址認證策略，以防止封包偽裝攻擊等。

但是，網路管理者同樣也可透過 SIP 代理伺服器 ( Proxy Server ) 提供各式安全性機制，用來防止上述威脅；包括點對點、伺服器對伺服器間的資料表頭認證欄位與語音訊息本身的加密功能，還有 HTTP 認證等安全機制皆被整合進 SIP 代理伺服器。

另外，如 IPSec 網路安全機制，也可搭配SIP協定，對 SIP 的資料通訊進行網路層與傳送層的加密，以確保傳送資料完整性與私密性。透過SIP 代理伺服器 ( Proxy Server ) 可採用的安全性機制如下：

1. 認證 ( Authentication )
   在 UAC 呼叫期間，攻擊者可能會偽裝成為合法使用者，因此 SIP 網路中，代理伺服器會在對受話方送出「邀請訊息」之前，要求 UA 對身份進行認證的動作；同樣的 UA 也會對代理伺服器或是轉址伺服器提出認證需求，以確保伺服器安全性。
   
   SIP 定義了一些資料表頭做為認證欄位，例如授權 ( Authorization ) 欄位包含經由資料所有通過的設備所運算而來的簽證資料，這個欄位在資料傳送的過程中將會維持不變。另外還有代理授權 ( Proxy-Authorization ) 欄位，為 SIP UA 用來對代理伺服器表明身分的資料。
   
2. 授權 ( Authorization )
   一但 UA 獲得認證後，接下來必須獲得使用各項服務之授權；使用者不見得可以使用它所要求的任何網路服務，有時需要更進一步之認證與授權。
   
3. IPSec
   IPSec 向來就是 IP 網路的主要安全性機制；透過 IPSec 的加密、認證功能，使 SIP 協定在 IP 傳輸層中能夠獲得安全保障。IPSec 實際採用三種安全協定：
   
   
   1. 加密承載協定 ( Encapsulating Security Payload；ESP )
   2. 認證表頭協定 ( Authentication Header；AH )
   3. Internet Key Exchange協定 ( IKE )

IPSec 透過加密、認證與 IKE 機制，在未受信任的不安全網路中，建立一個虛擬的安全通道，以避免上述五項主要網路攻擊。

除了 SIP 代理伺服器本身的認證功能外，尚可結合外部 RADIUS ( Remote Authentication Dial-In User Service ) 認證伺服器，以獲得更完善的中央管理式認證架構。透過SIP代理伺服器中的存取清單 ( Access List )，可以直接限制特定 IP 位址的客戶端連線請求，阻擋非法使用者連線。另外，搭配 IPSec 通訊協定，在代理伺服器與 UA 之間建立安全的 VPN 通道，便能有效遏止惡意攻擊者非法存取，並預防通訊資料被竊聽流失風險。

例如 Cisco 的 VoIP 閘道器產品線，同樣具備了 IPSec 的安全性機制，使 SIP 網路由客戶端到 VoIP 閘道，都能建立一致的 VPN 管道，並能結合集中式認證網路的認證、授權、紀錄 ( Authentication Authorization Accounting；AAA ) 的網路安全控管功能，將企業的網路做最完善的安全管理。

結論
維護網路語音傳遞的安全性，除透過 SIP 代理伺服器的安全性機制外，也可搭配網路防火牆來保護 SIP 網路安全性，讓企業的 MIS 人員，透過網路政策設定，過濾未經授權的使用者，防止駭客及入侵者的破壞，大幅簡化網路安全管理工作。此外，MIS 人員可對整個網路做出妥善的防護設定，而不用對每個 SIP 端點去做安全政策考量。

因為 SIP 能結合語音訊息與網際網路服務特質，在 VoIP 的市場中，聲勢日漸看漲，並在市場佔有率迎頭趕上 H.323 的通訊標準產品。因此，企業在導入 IT 建置時，適當的 SIP 產品，搭配企業現有的網路安全架構，將可輕易的整合 SIP 與 H.323 這兩種主流的 VoIP 架構，以避免重複投資所造成的浪費，享受建置 IP 通訊設備後，所提升的企業競爭力。

轉貼cisco網站->新聞中心->SIP 協定化解 IP 通訊協定之安全疑慮