VoIP-beveiliging: zo moeilijk is het niet

Risico’s ip-telefonie worden te vaak overschat

Steeds meer bedrijven omarmen VoIP als nieuwe telefonievorm. Dat is geen verrassing, want de voordelen van een geintegreerd data- en communicatienetwerk staan buiten kijf. Helaas wordt de acceptatie van VoIP onnodig geremd door spookverhalen over de beveiliging. Natuurlijk brengt de nieuwe situatie risico’s met zich mee, maar die zijn heel goed te beteugelen – zolang je maar oplet.

Het is af en toe moeilijk te begrijpen waar de angst voor gesproken communicatie over het normale ip-netwerk vandaan komt. ‘VoIP is onveilig’, wordt er dan geroepen, ‘want het lokale netwerk en internet zijn ook onveilig. Iedereen kan meeluisteren!’ Bij zulke redenaties wordt er gemakshalve volledig voorbijgegaan aan een slecht bewaard geheim, namelijk dat het traditionele telefoonnetwerk misschien nog wel slechter beveiligd is dan internet.

Een telefoontap is zo aangelegd, want normaal telefoonverkeer wordt – in tegenstelling tot bij VoIP – niet eens versleuteld. Als u thuis of op kantoor een draadloze DECT-telefoon gebruikt, dan kan een beetje techneut met een laptop vanuit zijn auto in de straat u probleemloos afluisteren. De reden dat het bijna niet gebeurt schuilt erin dat het lastig is om gesproken communicatie te doorzoeken – en dat geldt voor VoIP net zo hard als voor normale telefonie. Waarom zou je als hacker de moeite nemen om urenlang naar nutteloos gebabbel te luisteren voor die ene scoop, als je net zo makkelijk automatisch grote hoeveelheden documenten of e-mails kunt doorzoeken?

De ‘vakman’ op de hoek

Telefonie over een ip-netwerk hoeft dus meestal niet zwaarder beveiligd te worden dan een PSTN-netwerk. Toch verschilt het benodigde beveiligingsniveau van de telefonie per bedrijf. De schoenenwinkel waar werknemers alleen orders aanvragen via de telefoon heeft relatief weinig te vrezen van een eventuele inbraak op hun telefonienetwerk. Bedrijven die belangrijke en gevoelige informatie uitwisselen via de telefoon, zoals advocatenkantoren, lopen echter veel grotere risico’s.

De bovengenoemde angst is in zulke gevallen niet helemaal ongegrond. Het aanleggen van een degelijk beveiligde VoIP-infrastructuur hoeft niet zo ingewikkeld te zijn, mits het op de goede manier aangepakt wordt. De installateur op de hoek die ‘even’ een ip-netwerkje denkt uit te rollen, stoot echter vaak zijn neus als het op beveiliging aankomt. Dankzij deze ‘vakmannen’ circuleren er toch de nodige schrikverhalen over de complexiteit van VoIP-beveiliging.

Nieuwe taak en extra ingangen

De grootste uitdaging bij de aanleg van een ip-netwerk voor telefonie is dat het reeds gebruikte datanetwerk er een nieuwe taak bij krijgt. Op de bandbreedte die voorheen alleen voor data gereserveerd was, moet nu plaats ingeruimd worden voor spraakverkeer. Dat leidt tot een aantal uitdagingen met betrekking tot het ‘prioriteren’ en routeren van verkeer, maar heeft weinig consequenties voor de beveiliging. Als het ip-netwerk in de oude situatie goed beveiligd was, verandert het niet meteen in een gatenkaas door de toevoeging van VoIP.

De belangrijkste nieuwe beveiligingskwestie is eigenlijk dat er een aantal extra ingangen op het netwerk bijkomen in de vorm van netlijnen. Die zijn zoals gezegd traditioneel niet heel goed beveiligd, iets dat adequaat afgevangen moet worden. De rest van de beveiligingsrisico’s is nagenoeg identiek als bij een ip-netwerk waar geen VoIP bij betrokken is.

Ip-voordeel

Het grote voordeel van één integraal communicatienetwerk is dat het eenvoudiger en overzichtelijker is om één netwerk te beveiligen dan een beschermende muur om alle netwerken binnen het bedrijf op te trekken.

Een mooie bijkomstigheid is bovendien dat bij veel organisaties de beveiliging van het telefonienetwerk niet langer in handen is van facilitair management.

Voorheen waren telefonie en dataverkeer strikt gescheiden. Dat stond een eenduidig beleid voor de beveiliging van enerzijds het telefonie- en anderzijds het dataverkeer in de weg.

Doordat de verantwoordelijkheid voor de beveiliging tegenwoordig steeds vaker bij één afdeling binnen het bedrijf komt te liggen, wordt het eenvoudiger een strikt beleid te voeren en dat nauwkeurig te handhaven. Na de implementatie van een ip-oplossing valt de complete beveiliging dus vaak volledig onder de paraplu van it-management.

Conclusie

De beveiliging van een VoIP-omgeving mag zeker niet onderschat worden, maar al helemaal niet overschat. En dat is nu vaak het geval. Afgezien van de nieuwe netlijningangen behoeft een ip-netwerk geen extra beveiliging bij het gebruik van ip-telefonie. Een goede voorbereiding blijft het allerbelangrijkst. Daarnaast is ondersteuning van buitenaf door een bij voorkeur multi-gedisciplineerde partner die de deelgebieden kent en ze ook weet te adresseren cruciaal. Grote problemen kunnen daardoor voorkomen worden en eventuele struikelblokken zijn tijdig te signaleren. Natuurlijk stelt een overgang van analoog naar ip-telefonie de nodige eisen aan een organisatie. Als er echter al een reden is om niet voor ip-telefonie te kiezen, dan is het in elk geval niet de beveiliging. Want die is goed te doen.