Er is al veel over de security van Voice over IP gesproken. Volgens sommige experts is de technologie veiliger dan veel berichten doen geloven, zeker vergeleken met traditionele telefoonsystemen, e-mail en het web. Ook verschijnen er nieuwe security features die VoIP technologie veilig maken, en ervoor zorgen dat er met een gerust hart gebeld kan worden. Dit neemt niet weg dat er wel degelijk dreigingen zijn. Hieronder een kort overzicht van de mogelijke gevaren waar VoIP-gebruikers mee te maken kunnen krijgen.

Ongeautoriseerd gebruik van accounts
Een van de dreigingen waar VoIP gebruikers zich zorgen over maken is dat een aanvaller hun account gebruikt voor het plegen van telefoontjes waar zij uiteindelijk de rekening voor krijgen, of dat een aanvaller de gesprekken van de gebruiker ontvangt. Deze dreiging heeft te maken met hoe de credentials in de SIP signalering gebruikt worden, en hoe deze credentials zijn ingesteld. SIP phones, waaronder softphones, gebruiken Digest authenticatie, wat voorkomt dat wachtwoorden in "plain text" verstuurd worden. Het doet dit door ze met een willekeurig nummer van de server (genaamd een nonce) en een nummer van de client (client nonce) te hashen. Dit voorkomt, zolang de gebruiker geen al te voor de hand liggend wachtwoord kiest, dat zijn account niet misbruikt wordt.

Identiteitsvervalsing
Een ander probleem waar bezorgdheid over is, is dat de "caller ID" identiteit vervalst kan worden, waardoor een aanvaller zich als de gebruiker kan voordoen. Identiteitsvervalsing wordt vandaag de dag voorkomen via het P-Asserted-Identity (PAI) mechanisme, wat vertrouwt op de identiteit die tijdens de Digest authenticatie is verkregen.

Afluisteren van gesprekken
Een van de grootste VoIP angsten is dat berichten worden afgeluisterd en gespreksoverzichten in handen van onbevoegden vallen. Op traditionele netwerken is dit vrij lastig, maar het is wel een probleem bij draadloze netwerken. Sommige aanbieders bieden daarom SIP over TLS aan, Secure Real-time Transport Protocol (SRTP), en Secure MIME om zo afluisteren te voorkomen.

Kapen van sessies
VoIP gebruikers kunnen zich ook zorgen maken over een aanvaller die een gevestigde sessie kaapt. Als een aanvaller de signalering van de sessie kan afluisteren, kan hij berichten maken die de bestaande sessie kaapt of vervangt met die van de aanvaller. Deze aanval is niet mogelijk als de aanvaller de signalering, bijvoorbeeld als die met TLS beschermd is, niet kan afluisteren. Daarnaast vereisen veel providers Digest authenticatie voor elke SIP aanvraag, wat het kapen van sessies voorkomt.

Verliezen van anonimiteit
Een andere angst bij gebruikers is dat ze hun anonimiteit kwijtraken en dat "ongeautoriseerde partijen" achter hun identiteit kunnen komen. Er zijn twee manieren waarop de informatie onthuld kan worden. Via iemand die afluistert of via het signaal van het gesprek met een partij bij wie de beller anoniem wil blijven. EyeBeam 2.0 zorgt ervoor dat de SIP URI van VoIP gebruikers niet bekend wordt als die een anoniem gesprek voeren. Dit werkt voor gesprekken naar het PSTN, maar het publieke IP-adres van de beller is nog steeds zichtbaar in de SIP signalering. Een aanvaller zou het IP-adres kunnen gebruiken om te bepalen waar de beller zich bevindt en het IP adres met adressen van toekomstige of vorige gesprekken vergelijken. Een service provider die een media relay of anonieme IP-adressen aanbiedt kan dit risico voorkomen.

Trojaanse paarden en spyware
Bij sommige experts bestaat de angst dat de softphone als aanvalsvector voor virussen en spyware zal dienen. Theoretisch kan een stukje software dat het netwerk gebruikt als potentiele aanvalsvector fungeren, er zijn echter kenmerken die een bepaalde service interessanter als aanvalsvector maken. Met welke rechten het programma draait, of het programma de mogelijkheid bevat om scripts uit te voeren, het programma veel gebruikt wordt, het programma als een server draait, of het waardevolle gegevens bevat etc. Softphones luisteren naar inkomend verkeer, maar hebben daarnaast geen interessante kenmerken, zoals wel bij internet browsers het geval is.

Spam voor Internet Telefonie (SPIT) en Instant Messaging (SPIM)
Spam behoort tot een van de grootste problemen op het internet, en zou ook VoIP gebruikers kunnen treffen. Veel van de spamberichten die via e-mail verstuurd worden, gebruiken een "valse identiteit". Het terugdringen van identiteitsvervalsing kan de hoeveelheid spam drastisch verminderen. Het IETF werkt inmiddels aan tools die SPIT en SPIM via SIP communicatie moeten voorkomen.

Gebruik van een gecompromitteerde softphone als remote microfoon
Een andere aanval bestaat uit een aanvaller die controle over de softphone heeft, en die gebruikt om de gebruiker af te luisteren. De meeste softphones kunnen op "auto-answer" worden ingesteld, maar dit moet wel door de gebruiker zelf gedaan worden. De meeste softphones geven echter een waarschuwing als ze een gesprek ontvangen en dit automatisch beantwoorden. Een andere zorg die gebruikers hebben is dat spyware of een Trojaans paard de controle over de softphone heeft. De aanwezigheid van een softphone maakt het niet makkelijker om zo'n aanval uit te voeren.

Het niet kunnen bellen van bepaalde nummers of gebeld worden
Het niet kunnen bellen van bepaalde nummers of gebeld worden behoort tot een van de bekendste VoIP dreigingen. Een aanvaller zou bijvoorbeeld een VoIP-netwerk met verkeer kunnen overladen waardoor de dienst niet meer gebruikt kan worden. Er zijn nog altijd geen kant en klare oplossingen voor DoS-aanvallen, toch weet men vaak de bron te localiseren en zo de aanval in de kiem te smoren. Het is belangrijk om te weten dat PSTN ook niet immuun voor DoS-aanvallen is. Dit soort aanvallen zijn ook op traditionele telefoonnetwerken mogelijk en zijn in het verleden wel eens voorgekomen, waarbij duizenden mensen op hetzelfde moment werden "afgesloten".

Een andere manier voor een aanvaller om een Denial of Service te veroorzaken is door het inkomende gesprek te "ontvoeren", waardoor die de gebruiker niet bereikt. Dit kan door het gebruik van TLS voorkomen worden.

Samenvattend
Er zijn wel degelijk dreigingen waar VoIP gebruikers mee te maken kunnen krijgen. Voor alsnog zijn doorsnee internetgebruikers een stuk interessanter voor computercriminelen en werken VoIP-aanbieders aan verschillende oplossingen om misbruik te voorkomen.