Asterisk权威文档(第3版)第26章中文翻译

Asterisk权威文档（第三版）Chapter 26 ————Security（安全）

我们总是竭尽全力去寻找安全，然而当我们得到安全时却又恨之入骨！

————John Steinbeck

Asterisk系统的安全至关重要，特别是当系统接入互联网时。一旦系统被入侵，攻击者们可以通过利用该系统实现免费的电话以赚取大量非法钱财。本章将就如何保障你的网络电话部署安全性提供一些建议。

扫描有效账户

如果你将Asterisk系统接入公共网络，几乎可以肯定你会做的其中一件事是扫描有效账户。示例26-1包含了来自于众多Asterisk系统作者的项目之一的日志条目。扫描往往先查找常见账户，之后才继续扫描在编账户。就像命名交换机扩展项一样命名SIP账户是很常见的，我们说的扫描就基于这一事实。而这就是我们下面第一条提示所要解释的关于Asterisk系统安全的问题:

提示1：使用非数字用户名作为你的VoIP账户将使它更难以被猜测，举个例子，在本书部分章节中，我们使用SIP电话本身的MAC地址作为它在Asterisk系统中的账户名。

例26-1账户扫描的日志摘录

[Aug 22 15:17:15] NOTICE[25690] chan_sip.c: Registration from

'"123"' failed for '203.86.167.220:5061' - No matching peer

found

[Aug 22 15:17:15] NOTICE[25690] chan_sip.c: Registration from

'"1234"' failed for '203.86.167.220:5061' - No matching peer

found

[Aug 22 15:17:15] NOTICE[25690] chan_sip.c: Registration from

* The real IP address has been replaced with 127.0.0.1 in the log entries.

'"12345"' failed for '203.86.167.220:5061' - No matching peer

found

[Aug 22 15:17:15] NOTICE[25690] chan_sip.c: Registration from

'"123456"' failed for '203.86.167.220:5061' - No matching

peer found

[Aug 22 15:17:15] NOTICE[25690] chan_sip.c: Registration from

'"test"' failed for '203.86.167.220:5061' - No matching peer

found

[Aug 22 15:17:15] NOTICE[25690] chan_sip.c: Registration from

'"sip"' failed for '203.86.167.220:5061' - No matching peer found

[Aug 22 15:17:15] NOTICE[25690] chan_sip.c: Registration from

'"user"' failed for '203.86.167.220:5061' - No matching peer

found

[Aug 22 15:17:16] NOTICE[25690] chan_sip.c: Registration from

'"admin"' failed for '203.86.167.220:5061' - No matching peer

found

[Aug 22 15:17:16] NOTICE[25690] chan_sip.c: Registration from

'"pass"' failed for '203.86.167.220:5061' - No matching peer

found

[Aug 22 15:17:16] NOTICE[25690] chan_sip.c: Registration from

'"password"' failed for '203.86.167.220:5061' - No matching

peer found

[Aug 22 15:17:16] NOTICE[25690] chan_sip.c: Registration from

'"testing"' failed for '203.86.167.220:5061' - No matching peer

found

[Aug 22 15:17:16] NOTICE[25690] chan_sip.c: Registration from

'"guest"' failed for '203.86.167.220:5061' - No matching peer

found

[Aug 22 15:17:16] NOTICE[25690] chan_sip.c: Registration from

'"voip"' failed for '203.86.167.220:5061' - No matching peer

found

[Aug 22 15:17:16] NOTICE[25690] chan_sip.c: Registration from

'"account"' failed for '203.86.167.220:5061' - No matching

peer found

...

[Aug 22 15:17:17] NOTICE[25690] chan_sip.c: Registration from

'"100"' failed for '203.86.167.220:5061' - No matching peer found

[Aug 22 15:17:17] NOTICE[25690] chan_sip.c: Registration from

'"101"' failed for '203.86.167.220:5061' - No matching peer found

[Aug 22 15:17:17] NOTICE[25690] chan_sip.c: Registration from

'"102"' failed for '203.86.167.220:5061' - No matching peer found

[Aug 22 15:17:17] NOTICE[25690] chan_sip.c: Registration from

'"103"' failed for '203.86.167.220:5061' - No matching peer found

[Aug 22 15:17:17] NOTICE[25690] chan_sip.c: Registration from

'"104"' failed for '203.86.167.220:5061' - No matching peer found

[Aug 22 15:17:17] NOTICE[25690] chan_sip.c: Registration from

'"105"' failed for '203.86.167.220:5061' - No matching peer found

账户扫描利用尝试注册时服务器端返回的信息不同来判断某个账户存在与否。如果账户存在,服务器将请求身份验证。如果这个账户不存在时,服务器会立即拒绝登记。这就是我们第二条提示所要讨论的Asterisk安全问题：

提示2：将/etc/asterisk/sip.conf选项下的[general] 中的alwaysauthreject选项设置为yes。这个设置将使Asterisk系统把每个账户都当做是有效账户来回应，这能有效遏制尝试扫描有效用户名的行为。

身份验证的弱点

本章第一部分讨论了扫描用户名。即使你有一个难以猜测的用户名，但关键是你也有一个足

够强效的密码。加入一个攻击者获得了一个有效的用户名，他将试图强制破解密码，而一个强效的密码将使这个步骤困难得多。

默认的身份验证方案对SIP和IAX2协议来说都是很容易破解的。现在已经开始使用一种称为MD5的挑战与应对机制的身份验证方式。如果攻击者能捕捉到任何电话流量，比如一台笔记本在一个开放的无线网络下进行的SIP电话，这将使强制破解密码变得更加容易，因为他根本就不需要向服务器发起身份验证请求。

提示3：使用强密码。在互联网上有无数的可用资源帮助定义什么是一个强效的密码。也有许多强密码生成器可用。使用它们!

IAX2提供了可选择的基于密钥的身份验证方式和完整的加密电话。Asterisk系统提供的SIP 支持中包括了提供SIP信令加密功能的TLS支持。

提示4：如果你使用的是IAX2的基于密钥的身份验证方式，这是一个比默认的基于MD5的质询-响应的方法更为强有力的身份验证方式。为了进一步增强IAX2的安全性，使用加密整个呼叫选项。如果你是用的是SIP，用TLS来加密SIP信令。这将有效阻止攻击者捕获你和服务器之间一次成功的信令交换流程。

如果想了解更多关于IAX2和SIP加密设置的内容，请查阅第7章。

Fail2ban

最后两个部分讨论了涉及扫描有效用户名和强制破除密码的攻击。Fail2ban是一个应用程序，该程序可以查看Asterisk系统日志并且通过更新防火墙规则来屏蔽攻击来源以应对多次尝试身份验证失败的情况。

提示5：当你在可靠性低的网络里使用VoIP服务时使用Fail2ban以自动更新防火墙规则来屏蔽攻击来源吧。程序的安装

Fail2ban有许多可用的发行版可以安装。或者，你可以从Fail2ban网站上下载源文件来安装。在Ubuntu系统下安装该程序的话，使用如下指令：

$ sudo apt-get install fail2ban

如果需要在CentOS上安装Fail2ban，你必须启用EPEL（企业版Linux附加扩展包）资源库。欲知更多有关EPEL资源库的信息，参见本书46页的“第三方资源库”。一旦启用了该资源库，Fail2ban就可以通过运行如下命令安装：

$ sudo yum install fail2ban

提示：通过安装包安装Fail2ban时会默认安装一个随内核启动脚本以保证他开机启动。而如果你安装的是官网的源文件，请采取必要的步骤以确保Fail2ban开机启动。

iptables

为了让Fail2ban在检测到攻击后能够采取有效措施，你还需要安装iptables。在Ubuntu系统下安装iptables，使用如下指令：

$ sudo apt-get install iptables

在CentOS系统下安装iptables，则使用如下指令：

$ sudo yum install iptables

你可以通过运行iptables指令来确认iptables已安装。-L选项要求显示当前防火墙规则，在这种情况下，没有规则被配置：

$ sudoiptables -L

Chain INPUT (policy ACCEPT)

targetprot opt source destination

Chain FORWARD (policy ACCEPT)

targetprot opt source destination

Chain OUTPUT (policy ACCEPT)

targetprot opt source destination

发送邮件

允许Fail2ban在屏蔽一个ip时向系统管理员发送邮件是有趣且有用的。为此，必须安装MTA （邮件用户代理）。如果你不确定安装哪个MTA程序，我们在编写本章节时测试阶段用的MTA是Postfix（你也可以用它）。使用如下指令在Ubuntu系统下安装Postfix。安装程序可能会要求你回答几个问题：

$ sudo apt-get install postfix

在CentOS下安装Postfix，使用下述指令：

$ sudo yum install postfix

为了测试你的MTA是否安装成功，你可以使用mutt发送一个快速邮件。使用上述安装Postfix 相同的命令来安装mutt，只是安装包名要替换为mutt。然后运行如下指令以测试MTA：$ echo "Just testing." > email.txt

$ mutt -s "Testing" youraddress@https://www.360docs.net/doc/db15792307.html, < email.txt

配置

首先必须设置的是Asterisk系统的日志配置文件。在可用的Asterisk系统中，该文件的位置为/etc/asterisk/logger.conf。请确保你至少配置了数据格式和消息集，因为那是Fail2ban 运行所必须的设置：

[general]

dateformat = %F %T

[logfiles]

console =>notice,warning,error,debug

messages =>notice,warning,error

接下来必须要创建的配置文件是教Fail2ban应着重注意Asterisk日志文件中的哪些内容的文

件。将如下内容写入一个叫做/etc/fail2ban/filter.d/asterisk.conf的文件当中：[INCLUDES]

# Read common prefixes. If any customizations available -- read them from

# common.local

#before = common.conf

[Definition]

#_daemon = asterisk

# Option: failregex

# Notes.: regex to match the password failures messages in the logfile. The

# host must be matched by a group named "host". The tag "" can

# be used for standard IP/hostname matching and is only an alias for

# (?:::f{4,6}:)?(?P\S+)

# Values: TEXT

#

# *** All lines below should start with NOTICE

#

failregex = NOTICE.* .*: Registration from '.*' failed for ''

# - Wrong password

NOTICE.* .*: Registration from '.*' failed for ''

# - No matching peer found

NOTICE.* .*: Registration from '.*' failed for ''

# - Username/auth name mismatch

NOTICE.* .*: Registration from '.*' failed for ''

# - Device does not match ACL

NOTICE.* failed to authenticate as '.*'$

NOTICE.* .*: No registration for peer '.*' \(from \)

NOTICE.* .*: Host failed MD5 authentication for '.*' (.*)

NOTICE.* .*: Failed to authenticate user .*@.*

# Option: ignoreregex

# Notes.: regex to ignore. If this regex matches, the line is ignored.

# Values: TEXT

#

ignoreregex =

接下来，你必须启动你刚刚创建的Asterisk过滤器。为此，向/etc/fail2ban/jail.conf中添加以下内容。你需要修改目的对象，发送方选项来为邮件的收发标题指定合适的目的地址：[asterisk-iptables]

enabled = true

filter = asterisk

action = iptables-allports[name=ASTERISK, protocol=all]

sendmail-whois[name=ASTERISK, dest=me@https://www.360docs.net/doc/db15792307.html,,

sender=fail2ban@https://www.360docs.net/doc/db15792307.html,]

logpath = /var/log/asterisk/messages

maxretry = 5

bantime = 259200

最后，在[DEFAULT]选项下/etc/fail2ban/jail.conf的两个选项需要被更新。Ignoreip选项指定

的ip列表不应该被阻塞。将你所需的ip地址列表是个好主意，这样你永远不会阻塞你自己即使你在试图建立一个通话的过程中不小心犯了错，举个例子，你也应该考虑添加其他的ip 地址到你的列表里，列入你的SIP服务提供者的ip。安全ip地址白名单能有效防止你滥用Fail2ban配置。一个聪明的攻击者会通过使用伪装的ip地址发送一系列数据包而导致Fail2ban屏蔽他们指定的伪装ip地址而使系统拒绝为该ip提供服务。

Destmail选项也应该被设置，该地址将被用于非Asterisk过滤器指定的邮件服务，例如Fail2ban第一次启动时发出的邮件。这里将教你如何配置这些选项：

[DEFAULT]

# Multiple addresses can be specified, separated by a space.

ignoreip = 127.0.0.1 10.1.1.1

destemail = youraddress@https://www.360docs.net/doc/db15792307.html,

媒介加密

注意ip电话的音频传输通常是使用未加密的格式来传输的，任何能够捕获传输信号的人都可以窃听语音通话。不过值得庆幸的是，Asterisk系统支持媒介加密的VoIP通话。如果你正在使用SIP，你可以使用SRTP（安全实时传输协议）来加密你的媒介。IAX2也支持完全的加密通话。关于加密媒介的详细信息你可以通过查阅第7章来了解。

提示6：在不受信任的网络上通话时使用SRTP或IAX2加密来加密你的传输媒介。

Dialplan漏洞

Asterisk的dialplan是另一个需要将安全问题提到表面来说的至关重要的领域。Dialplan可以被分解成多个内容以提供访问控制的扩展。例如，你想通过你的服务提供者使你的办公电话可以向外部打电话。但是你又不希望匿名用户出现在你的公司电话主目录里而能够借用你的服务提供商来拨打电话。使用文本确定只有你指定的用户才能使用你花钱购买的电话服务。

提示7：特别仔细的构建你的dialplan文本，同时避免将任何可能需要花钱的扩展写入[default]文本。

最近的一个被发现并公布的Asterisk dialplan漏洞是一个关于dialplan注入的想法。Dialplan 注入漏洞始于一个有既定模式的扩展，而结束于一段时间都提出的全字符匹配。以如下这个扩展为例：

exten => _X.,1,Dial(IAX2/otherserver/${EXTEN},30)

这个模式的扩展能够匹配任何以数字开头的任何长度的扩展。像这样的模式是非常常见且方便的。之后这个扩展将使用IAX2协议，设置呼叫超时30s，将电话请求发送到另一个服务器上。注意，这里使用的是${EXTEN}变量。而这恰是漏洞存在的地方。

在VoIP的世界里，没有理由要求一个电话呼叫扩展必须数字化。事实上，在使用SIP时通过名字呼叫他人这种情况很常见。正因为一串非数字化字符可能成为呼叫扩展的一部分，那么如果某人向这个扩展发起呼叫将会发生什么呢？

1234&DAHDI/g1/12565551212

这样的电话就是试图利用dialplan注入漏洞的例子。在前面的扩展定义里，一旦${EXTEN}被编译，实际的Dial()语句就会被执行：

exten => _X.,1,Dial(IAX2/otherserver/1234&DAHDI/g1/12565551212,30)

如果系统有配置好的PRI（集群速率接口）时，一个呼叫可能会导致一个呼叫请求从PRI发送到攻击者指定的号码，即使你没有明确指定该呼叫者拥有调用PRI的权限。这个问题很快就会话费你很多钱。

有（至少）两个方法可以避免这个问题。第一个也是最容易的方法是总是使用严格的模式匹配。如果你知道所接受的的扩展的长度，并且只接受数字化扩展，那么使用严格的数值模式匹配。如下例，如果你只接受4位数的数字扩展的话它将行之有效：

exten => _XXXX,1,Dial(IAX2/otherserver/${EXTEN},30)

减少dialplan注入漏洞问题的另一种方法是使用FILTER()dialplan函数。也许你接受任何长度的数字扩展，FILTER()可以轻松安全的实现这个要求。

exten => _X.,1,Set(SAFE_EXTEN=${FILTER(0-9,${EXTEN})})

same =>n,Dial(IAX2/otherserver/${SAFE_EXTEN},30)

如果想了解更多有关于FILTER()dialplan函数的语法的话，去查阅Asterisk CLI（命令行界面）中核心输出部分关于函数FILTER()的指令。

提示8：警惕dialplan注入漏洞，使用严格的模式匹配或使用FILTER() dialplan函数来避免这些问题。

确保Asterisk网络APIs（应用程序编程接口）的安全

FastAGI（快速Asterisk网关接口）和AMI（Asterisk管理接口）是两个Asterisk网络部署时常用的基于网络的API。查阅21章以了解更多关于AGI的细节。参考20章以了解更多关于AMI 的信息。

对于FastAGI，没有可用的认证和加密措施。因此将由管理员确保在Asterisk系统中通信只允许在FastAGI服务器之间进行。

AMI协议包括身份验证，但是安全性很弱。进一步而言，从隐私的角度来说，通过AMI传送的数据通常又是十分敏感的。因此确保AMI连接的安全性至关重要。最好的方式是只在可信赖的网络中应用AMI。但如果它必须在不可信赖的网络中使用的话，我们建议只允许使用SSL（安全套接层）连接。

去了解AMI能提供哪些权限至关重要。如果一个AMI用户被授予的所有权限都是可用的，那么该用户将可以在你的系统上运行任意命令。如果账户有权限更新配置文件，那么他将可以向运行System()应用的dialplan中添加扩展，这将使其能够运行任何他想运行的指令。如果他还拥有发起请求的权限，那么它可以向那些扩展发起请求，这将直接导致那些扩展被执行。要十分谨慎的开放你系统的AMI接入权限，同时谨慎限制/etc/asterisk/manager.conf 目录下每一个用户被授予了什么权限。

提示9：确保Asterisk网络APIs的安全。使用防火墙规则来限制对FastAGI服务器访问的限制。使用AMI 的加密功能，尽可能多的限制AMI账户的接入权限。

IAX2的拒绝服务

SIP是一个基于文本的协议，而IAX2是一个二进制编码的协议。IAX2的标准时RFC 5456，每个IAX2包包含一个呼叫号码，该号码用于将包与一个活跃的电话联系起来，这类似于SIP 协议中的Call-ID头。一个IAX2的呼叫号码拥有15比特的空间，它足够大能够处理一个系统中实际存在的呼叫数。但不幸的是，它也足够小，以至于十分容易被攻击者在短时间内发送足够多的小数据包来消耗掉一个系统中所有可用的号码，最终引发拒绝服务攻击。

Asterisk系统中的IAX2协议支持已经修改为自动防止这种类型的攻击。这种保护被称为调用令牌支持，并且在一个呼叫号码被分配出去之前需要进行三次握手。但是，旧版本的Asterisk 系统和一些无Asterisk系统的IAX2实现可能不支持这种保护，所以有许多选项来让你调整行为。

默认情况下，启用安全机制，不需要更改配置。如果某种情况下你想完全禁用调用令牌支持的话，你可以通过修改这个目录的配置实现/etc/asterisk/iax.conf：

[general]

calltokenoptional = 0.0.0.0/0.0.0.0

maxcallnumbers = 16382

默认配置下，一个能够通过调用令牌交换的主机仍然能使用呼叫号码表。调用令牌交换确保了呼叫号码只会被分配一次当我们确定我们没有收到一个假的源IP地址发送的请求。一旦我们知道一个请求是合法的，每个主机就都能实现执行资源限制。可考虑修改iax.conf目录下的以下选项：

[general]

; Set the default call number limit per host

maxcallnumbers = 16

[callnumberlimits]

; Set a different call number limit for all hosts in a

; specified range.

192.168.1.0/255.255.255.0 = 1024

[some_peer]

; A dynamic peer's address is not known until that peer

; registers. A call number limit can be specified in the

; peer's section instead of the callnumberlimits section.

type = peer

host = dynamic

maxcallnumbers = 512

如果对等实体还不支持呼叫令牌验证，但是你想在一检测到对等实体升级到支持呼叫令牌验证时就立刻启动它的话，有一个选项可以设置来允许这种行为：

[some_other_peer]

requirecalltoken = auto

如果你想允许客户通过IAX2访问，你很可能会想为未经验证的呼叫禁用掉呼叫令牌验证。这将确保最多的人能够通过IAX2呼叫您的系统。然而，一旦你这样做了，你也应该设置一个选项，该选项确定了全局限制下，多少呼叫号码可以被主机分配给未通过呼叫令牌验证的请求：

[general]

maxcallnumbers_nonvalidated = 2048

[guest]

type = user

requirecalltoken = no

任何时候如果你想看到一些关于当前系统中共有多少在使用的电话号码之类的统计时，在Asterisk CLI下执行IAX2的show callnumber usage指令。

提示10：为了解到IAX2已经更新到可以防止因为呼叫号码耗尽而导致的拒绝服务攻击而感到高兴吧。某些情况下如果你必须关掉这些安全特性的话，使用提供的选项设置来限制你可能暴露在攻击下的可能性吧。

其他缓解风险的措施

在Asterisk系统中，有几个特性可以用来减轻被攻击的风险。首先是使用允许和拒绝选项来为特权用户建立访问控制列表（ACL）。考虑到一个交换机不仅要提供本地SIP网络电话服务，也要接入公共网络提供SIP呼叫服务，通过互联网打进来的电话只被授予访问公司主电话目录的权限，而本地SIP电话则有权限花钱进行外部电话呼叫。在这种情况下，通过设置ACL 来确保只有本地网络中的设备可以使用账户进行电话呼叫是一个很棒的想法。下面就是一个通过设置/etc/asterisk/sip.conf实现这个想法的例子：

[phoneA] ; Use a better account name than this.

type = friend

; Start by denying everyone.

deny = 0.0.0.0/0.0.0.0

; Allow connections that originate from 192.168.X.X to attempt

; to authenticate against this account.

permit = 192.168.0.0/255.255.0.0

允许和拒绝接入选项在几乎所有接入IP服务的设备上都有配置。ACL另一个有用之处要在

/etc/asterisk/manager.conf中配置，以限制AMI账户只能连接到可以调用管理器接口的单一主机上。

提示11：在使用网络服务时尽可能用ACL为每一个特权账户权限。

另一种可以减轻安全风险的方法是配置调用限制。推荐的实现调用限制的方法是使用GROUP()和GROUP_COUNT()两种dialplan函数。下面就是一个限制SIP对等实体同一时间内发起的呼叫次数不超过2次的例子：

exten => _X.,1,Set(GROUP(users)=${CHANNEL(peername)})

; *** This line should have no line breaks

same =>n,NoOp(There are ${GROUP_COUNT(${CHANNEL(peername)})}

calls for account ${CHANNEL(peername)}.)

same =>n,GotoIf($[${GROUP_COUNT(${CHANNEL(peername)})} > 2]?denied:continue)

same => n(denied),NoOp(There are too many calls up already. Hang up.)

same =>n,HangUp()

same => n(continue),NoOp(continue processing call as normal here ...)

小提示12：使用呼叫限制来确保如果一个账户被盗取，它无法被用来在同一时间内发起上千次呼叫。

资源

有时候有些漏洞需要修改Asterisk系统源代码来解决。当这些问题被发现，Asterisk系统开发团队会放出只更新了安全问题修复的新版本，以此来保证系统的快速和便捷的升级。当这种情况发生时，Asterisk开发团队也会发布一个安全指导文件，以讨论漏洞的具体细节。我们建议您订阅

《terisk-announce》https://www.360docs.net/doc/db15792307.html,/mailman/listinfo/asterisk-announce

的邮件列表，以便在问题提出时您能在第一时间得到告知。

最受欢迎的能够进行SIP账户扫描和密码破解的工具之一是SIPVicious。我们强烈建议你去了解一下它，并用它审计一下自己的系统。当你的系统接入互联网时，别人很可能会对您的系统使用这个工具，所以不妨您自己先用一下它来确保自己系统的安全性。

其他一切与VoIP相关的资源你可以VOIPSEC邮件列表获取，它的网址是https://www.360docs.net/doc/db15792307.html,。该网站也包含了其他一些额外的资源。

最后，https://www.360docs.net/doc/db15792307.html,/voipabuse/这个网站有一些有用的系统。作者提供了一个网络攻击来源的地址列表并且说明如何屏蔽列表中的所有地址。作者还提供了一个名为AntiToll的示例脚本，该脚本屏蔽了所有美国本土以外的地址。

结论——一个更好的白痴

科技产业有一句格言是这样说的：一旦某个东西被制造出来去证明白痴，自然就会创造一个更好的白痴！这个格言的意义在于没有任何一件事物的发展可以说是终于结束了。科技永无止境。

当涉及到安全时，你必须时刻记住总有人在处心积虑想利用你的系统。而无论系统多安全，总有人想着破解它。

我们不提倡偏执，但我们认为哪怕是到这里也绝不是我们最后一次提及VOIP系统的安全问题。我们已经尽己所能的去把这本书写的全面，你也必须抱着对你自己的系统安全负责的责任去认真学习。

免费的网络电话越来越常见，而犯罪者们也必然会努力找到这些系统的弱点并利用它。

写在最后，本人系通信专业大四毕业生，此文是本人毕业论文翻译，本来只需要翻译3000字左右，但发现网上并没有本章的中文翻译，抱着为同是Asterisk学习者们尽一份微薄之力的想法便稍微加了班全部翻译完成，但由于本人英文水平有限，本文翻译必有不到之处，见谅！