安全的企業 SIP 通信

企業內部的通訊系統一般部署在私網內部，在網路邊緣部署 SBC 或語音閘道與外部進行通信，因此大部分場景下企業通訊都很安全。然而越來越多的企業在雲端部署 SIP 伺服器，而企業內部的 SIP 終端也越來越多地從外部網路連接到企業 SIP 伺服器，這使得部分（或全部）企業通訊系統暴露在公共網路中，安全問題日益嚴重。

企業 SIP 通訊安全涉及網路系統的許多方面，例如防火牆等。僅就 SIP 通訊本身而言必須加密，避免將通訊資訊暴露給其他網路使用者。加密的 SIP 通訊包含兩個部分：（1）SIP 訊息（訊號）加密，以及（2）語音流（RTP）加密，如下圖所示：

网络结构

當然，企業可以部署 VPN 將整個網路系統（不僅是通訊系統，也包括辦公系統等）進行加密，加密的 SIP 通訊也可以建立在 VPN 之上。建立企業 VPN 成本比較高、系統較複雜，本文僅討論加密的 SIP 通信，不涉及VPN 等其他網路安全技術。

SIP 訊息的加密透過「SIP over TLS」實現，雲端 miniSIPServer、本地 miniSIPServer 以及 miniSIPPhone 都支援 SIP over TLSv1.2 / TLSv1.3。請參考線上文檔，本文不再贅述。    

語音流透過 SRTP 傳輸實現加密，SRTP 的 master key 和 master salt 透過 SIP 訊息的 SDP （ RFC4568 ）傳輸、協商，因此 SIP 訊息加密才能確保 SRTP 的關鍵資訊不會洩露，僅僅 SRTP 傳輸加密語音流、但是明文傳遞 SIP 訊息，不能確保整個 SIP 傳輸的安全性。 

RFC4568 中定義了幾種加密套件，目前我們選擇支援預設的 AES_CM_128_HMAC_SHA1_80 ，暫不支援其他加密套件。 

SRTP 協定族包含諸多擴展，目前 miniSIPServer 和 miniSIPPhone 支援最基礎的 RFC3711 協定，這也是絕大多數 SIP 設備（包括伺服器、PBX、SBC 以及終端）都支援的基礎 SRTP 協定。目前不支援 DTLS-SRTP，主要考慮以下幾點：（1）SIP over TLS 已經可以確保 master key & salt 的安全性，與 DTLS 的作用等效；（2）雖然 WebRTC 等互聯網技術廣泛採用了 DTLS-SRTP，但大部分 SIP 設備並不支援 DTLS-SRTP，在企業 SIP 通訊領域會有互聯的通訊領域。

miniSIPServer 和 miniSIPPhone 預設可選擇 SRTP，無需額外的配置。部分 SIP 設備需要明確設定是否選擇 SRTP，例如 MicroSIP 在設定帳號時，「Media Encryption」需做以下設定：


  

  

留言

發佈留言

此網誌的熱門文章

miniSIPPhone 支援 SIP over TCP/TLS

圖片
是的，我們又升級 miniSIPPhone了！ miniSIPPhone V10.10 現在可以支援 SIP over TCP/TLS。 在 SIP 帳戶的設定中新增了「傳輸」一項，用於指定採用哪種傳輸方式連接 SIP 伺服器： 如果採用 SIP over TLS，那麼所有的 SIP 訊息都是加密傳輸。 如果企業通訊系統中的設備（分機或伺服器）是部署在公共網絡，那就非常有必要對通訊內容進行加密保護。 我們知道雲端 miniSIPServer 系統支援 SIP over TLS，而且雲端系統都部署在公有網路中，因此如果客戶端同時部署 miniSIPPhone 的話，整個企業 VoIP 系統顯然會更安全。 當然，miniSIPPhone 也可以與其他支援 SIP over TCP/TLS 的伺服器（或 PBX ）一起工作，共同建立完整、安全的企業通訊系統。        
Read more »

發送和接收即時訊息（Instant messages）

圖片
今天我們發布了最新版本的 miniSIPPhone（一款小巧的、適合企業通訊的軟體電話），主要包含了兩個新功能：（1）通訊錄，以及（2）即時訊息。 miniSIPPhone 用一個新的窗體來建立、管理通訊人清單： 在通訊錄中，您可以選擇一個目標用戶，然後雙擊（或按「C」鍵、或點擊「呼叫」按鈕）發起呼叫。 若希望發送即時訊息，選擇目標使用者後按下「M」鍵（或點選「發送訊息」按鈕），顯示即時通訊窗體發送訊息： 每個使用者對應一個獨立的即時訊息會話窗體。 每個窗體包含三個區域：（1）訊息顯示區域。 本區域顯示會話中的所有即時訊息，包括傳送的訊息和接收的訊息。 （2）輸入區域。 在該區域中可以輸入訊息的內容，然後按下「Ctrl+Enter」鍵發送訊息。 （3）「發送」按鈕，當然也是發送訊息。 miniSIPPhone 使用 SIP-MESSAGE 操作發送和接收即時訊息，目前僅支援純文字訊息，也就是不支援：圖片、檔案、語音以及視訊等內容。 當然，miniSIPPhone依然能夠運作在 Windows 和 Linux 系統（包括 AMD64 和 ARM64 架構）。 實際上，上圖中的兩個軟終端機就運行在不同的系統上。 希望您能喜歡 miniSIPPhone！ :-)        
Read more »

電話號碼URI

圖片
眾所周知 VoIP 域（SIP域）採用 SIP URI 建立呼叫對話。 如果需要連接傳統的 PSTN 電話網絡，我們需要部署 VoIP 網關（或 SBC 會話邊界控制器）用於橋接兩個不同的網路。 大部分 網關 都支援 SIP URI，因此我們採用 SIP 中繼連接 SIP-PSTN 網路時，與連接 SIP-SIP 網路並沒有什麼不同。 但有些 網關 並不支援 SIP URI，它們僅能支援傳統電話號碼格式的URI（RFC3966規範定義了這種 TEL URI格式）。 這種 TEL URI 採用<tel:xxx>格式，而非<sip:name@address>格式。 請參考下圖： 先前版本的 miniSIPServer 總是能接受對方發起的 TEL URI 格式的呼叫，但是 miniSIPServer 本身並不會發起這種格式的呼叫。 最近幾個月先後有幾位客戶向我們反饋，希望 miniSIPServer 能支援採用 TEL URI 格式發起SIP 中繼呼叫，以便和傳統 PSTN 網路的網關進行對接，因此我們升級了 miniSIPServer （V60 build 20250208）擴展 SIP 中繼的功能。 在 SIP中繼的“出呼叫”配置中，可以選擇“採用電話號碼格式”，miniSIPServer 據此將採用<tel> 格式發起呼叫，如下圖配置所示： 對於 SIP 中繼的入呼叫，無需任何改變，miniSIPServer 可以接受對方採用 SIP URI 或 TEL URI 發起的呼叫。
Read more »