Forenzika VoIP sustava

Split, 04. listopada, 2010.g. Ivan Čulić, dipl. ing.

Sadržaj

1. Uvod .........................................str.3

2. VoIP .........................................str.3 2.1. Uvod ........................................str.3 2.2. Komponente VoIP-a ........................................str.6 2.3. Upravljanje VoIP servisnim zahtjevima .......................................str.10 2.3.1. Minimiziranje kašnjenja (Latency) .......................................str.10 2.3.2. Kolebanje kašnjenja (Jitter) ......................................str.11 2.3.3. Gubitak paketa podataka ......................................str.12 2.3.4. Zaštita pouzdanosti rada mreže ............................str.12 2.3.5. Sigurnosne prijetnje za VoIP mreže ..............................str.12 2.3.6. Sigurnosni mehanizmi VoIP mreže ......................................str.14 2.4. QoS - VoIP mrežna rješenja .......................................str.16 2.5.Specifična VoIP rješenja .....…..............................str.18 3. Protokoli u VoIP tehnologiji .........................................str.18 3.1. H.323 protokol .........................................str.18 3.2. SIP protokol .........................................str.21 3.3. MGCP – Media Gateway Control Protocol …...............................str.26 3.4. MEGACO .........................................str.26

4. Forenzika VoIP-a .........................................str.27 4.1. Uvod .........................................str.27 4.2. Računalna forenzika .........................................str.27 4.3. Mrežna forenzika .........................................str.28 4.4. Forenzika VoIP-a ........................................str.30 4.4.1. Forenzika VoIP sustava u realnom vremenu .......................str.30 4.4.2. Analiza VoIP prometa .........................................str.32 4.5. Zakonska praksa - zakonito presretanje komunikacija ...................str.35 4.5.1. Međunarodna praksa (SAD, Velika Britanija, Njemačka)......str.35 4.5.2. Zakonski propisi Republike Hrvatske ...................................str.38 4.6. Moguća rješenje analize VoIP prometa .....................................str.41 4.6.1. Pasivni način prikupljanja podataka ....................................str.42 4.6.2. Aktivni način prikupljanja podataka .....................................str.46 4.6.3. Rekonstrukcija VoIP-a koristeći memorijsku forenziku .........str.48 4.7. Ciljevi analize VoIP podataka .........................................str.49 4.8. Primjer .........................................str.50

5. Zaključak .........................................str.54

6. Popis literature .........................................str.55

2

1. Uvod

Razvoj telekomunikacija kretao se u smjeru izgradnje posebnih mreža za prijenos različite vrste podataka telefonija, telegrafija, TV distribucija itd., no naglim razvojem širokopojasnih pristupnih mreža (koja je uvjetovana porastom zahtjeva korisnika – znanost, obrazovanje, zabava, …) dolazi do objedinjavanja svih ovih podataka u jedinstvenu digitalnu mrežu. Javna telefonska mreža koristi Public Switched Telephone Network (PSTN) sustav koji primjenjuje tehnologiju komutacije kanala što znači da je predodređeni govorni kanal dodijeljen svakom pojedinačnom razgovoru. Razvojem navedene tehnologije (širokopojasnih mreža integriranih usluga tzv. B-ISDN Broadband Integrated Services Digital Network) telefonske mreže su na migracijskom putu prema VoIP-u (Voice over Internet Protokol). VoIP sustav obavlja digitalizaciju analognog signala, kodiranje i kompresiju, zatim segmentaciju u pakete i prijenos do odredišta. Ovako komprimirana digitalna poruka ne zahtijeva govorni kanal pa će poruka biti poslati preko istih podatkovnih linija koje se koriste za Internet, a na odredište može doći sasvim različitim putanjama. Osim IP tehnike za paketski prijenos govora mogu se koristiti ATM Asynchronous Transfer Mode i Frame Relay tehnike u kojim slučajevima govorimo o VoATM (Voice over ATM) i VoFR (Voice over Frame Relay) no one su puno manje poznate od VoIP-a..

2. VoIP

2.1. Uvod

VoIP telefonija općeniti je naziv za tehnologije (protokole, softwar-e i hardwar-e) koje koriste paketnu mrežu baziranu na IP (Internet Protokolu) protokolu te razmjenu glasovnih i drugih oblika informacija koje se tradicionalno prenose putem klasične telefonske mreže slika 1. Tradicionalna telefonija za prijenos govora koristi tehnologiju komutiranih kanala dok VoIP za prijenos glasa koristi digitalnu IP tehnologiju – govor internetom putuje u paketima koristeći neke od protokola [1,3,35].

3

Slika 1. Procesiranje govora u VoIP mreži

VoIP omogućava obavljanje telefonskog razgovora upotrebom postojećih mrežnih konekcija te predstavlja zamjenu za standardnu telefoniju, kako u lokalnom i međugradskom, tako i u međunarodnom prometu. Velika prednost VoIP tehnologije očituje se i u mogućnost pozivanja mobilnih i fiksnih pretplatnika te ostvarivanje međunarodnih poziva po izuzetno povoljnim cijenama.

VoIP nudi mnogo prednosti u odnosu na klasične PSTN telefonije. U prvom redu to su:

- jednostavna mogućnost proširenja, odnosno dodavanje nove linije.- VoIP telefonija ne ovisi o lokaciji korisnika i time omogućuje jednostavno preusmjeravanje poziva.- jednostavno omogućavanje konferencijskih veza- glasovna pošta - najvažnije niža cijena koja jako dolazi do izražaja kod međunarodnih poziva- bolja iskoristivost prijenosnog kanala (kanal se zauzima kada ima podataka)- održavanje samo jedne mreže (govor i podaci se prenose istom mrežom - Converged Network)

Osim prednosti postoje i nedostaci VoIP tehnologije u odnosu na PSTN-a: - kvaliteta usluge QoS – Quality of Service koja je kod tradicionalne PSTN telefonije na jako visokoj razini.- pouzdanost internetske veze (problem napajanja).- pouzdanost internetske veze uslijed gubitka paketa podataka- problem pozivanja hitnih službi.

Za ispravljanje spomenutih nedostataka potrebno je napraviti nekoliko koraka koji ujedno znače i povećanje troškova izgradnje i održavanja mreže, a samim tim i cijene poziva. Kvaliteta usluge QoS govornog signala može biti uvjetovana ugovorom SLA Service Level Agreement, no s ugovorenom kvalitetom usluge raste cijena. Pošto govorna mreža zavisi od podatkovne mreže zajednička mreža (Converged Network) mora biti redundantno dizajnirana (višestruka oprema i linkovi) što opet podiže cijenu usluge.

Da bi osigurali kompatibilnost opreme raznih proizvođača, standardizacijska tijela donijela su više standarda za VoIP komunikacije. Najpoznatiji i najrasprostranjeniji su: ITU-T-ov H.323 standard i IETF-ov Session Initiation Protocol (SIP). H.323 je skup protokola koji definira video konferencijsku komunikaciju na LAN-u uz pretpostavku da nema zajamčene kvalitete usluge (QoS). Prva verzija izašla je 1996, a druga u siječnju 1998. Standard je izvorno razvijen za video konferencije na LAN-u, a kasnije je dorađen za VoIP. Zagovornici SIP protokola tvrde da H.323 nije pogodan za kontrolu VoIP sustava jer je dizajniran s ATM i ISDN signalizacijom na umu. SIP koristi veći dio polja u zaglavljima, načine kodiranja, kodove pogreški, te princip autorizacije kao u HTTP-u, što ga čini pogodnim za uporabu na Internetu. Kada se govori o sigurnosti i kontroli pristupa tad je H.323 bolji, jer su unutar standarda podržani i specijalni protokoli za autorizaciju, kontrolu pristupa te registraciju. Ujedno je bolja i platforma za kontrolu troškova.

4

Oba protokola se danas koriste i većina proizvođača u svoju opremu ugrađuje podršku kako za H.323 tako i za SIP. Također dosta se radi i na razvoju međudjelovanja ovih standarda, s idejom da se omogući komunikacija između dva terminala koji podržavaju samo H.323 ili SIP. Implementacija protokola za prijenos govora i slike preko IP protokola uvijek se provodi u aplikacijskom sloju referentnog OSI modela.

Protokoli za prijenos govora i slike imaju više funkcija koje transportni protokoli UDP (User Datagram Protocol) i TCP (Transmition Control Protocol) nemaju, tako da se tu nadopunjuju te omogućavaju ovakvu vrstu komunikacije slika 2. U prvom redu treba spomenuti RTP i RTCP koji se, kako se vidi na slici, nalaze odmah iznad transportnog sloja. Prijenos govora ili slike uvijek se provodi UDP-om. Ova činjenica može izgledati čudno obzirom da UDP ne garantira isporuku paketa na odredište niti da će paketi stići u pravom redoslijedu. Međutim, ako se analizira priroda informacije koja se prenosi tada postaje jasno da jednostavno nema “vremena” za retransmisije paketa koji nisu stigli na odredište. Kod prijenosa u realnom vremenu bolje je i ispustiti jedan paket nego čekati na njegovo ponovno slanje (što bi se dogodilo u slučaju prijenosa govora ili slike TCP-om). Kada bismo čekali retransmisije tada bi govor postao isprekidan i nerazumljiv. Svrha RTP-a je da iznad UDP doda kontrolu izgubljenih paketa i redoslijeda paketa tako da aplikacija iznad njega može raditi eventualne korekcije slika 3.

Slika 2. VoIP protokoli

5

Slika 3. Prikaz tipične VoIP arhitekture

2.2. Komponente VoIP-a

Iako imaju različitu tehnologiju i pristup pružanju prijenosa glasovnih usluga, neke od komponenti koje čine javnu telefonsku mrežu (eng. Public Switched Telephone Network - PTSN) ujedno su i dio VoIP mreža. VoIP mreže moraju omogućavati sve funkcionalnosti koje omogućavaju i javne telefonske mreže s dodatkom pružanja usluga prijenosa podataka i signala na postojeću javnu mrežu slika 4. Bilo da je riječ o PSTN ili VoIP mreži postoje neke zajedničke funkcije koje omogućavaju uspostavljanje i odvijanje poziva [1,3,4,12]:

Slika 4. Dijagram VoIP sustava

6

a) baza podataka – omogućuje lociranje krajnjih točaka. PSTN i VoIP mreže koriste baze podataka za lociranje krajnjih točaka (sugovornika) za promatrani poziv i za pretvaranje između adresnih shema dviju (često različitih) mreža. Obično uključuju:baza podataka kontrole poziva, baza podataka koja sadrži podatke ključne za naplatu poziva, dodatne podatke koji omogućuju dodatnu mrežnu sigurnost (podatci o zabrani međunarodnih poziva za određene brojeve i sl.).

Kod PSTN mreža krajnji korisnici se identificiraju svojim telefonskim brojem, a kod VoIP mreža svojim IP adresama i brojem porta. Ove dvije mreže povezuju podatke iz datoteke uspostave poziva s podatcima signalizacije kako bi se koordinirale aktivnosti njihovih mrežnih elemenata.

b) signalizacija – koordiniranje među različitim mrežnim komponentama potrebnim za uspostavu poziva između krajnjih korisnika. U PSTN mrežama krajnji uređaj (telefon) komunicira s TDM-om ili PBX-om za uspostavu i rutiranje poziva. Kod VoIP-a , VoIP komponente međusobno komuniciraju izmjenom IP poruka. Format poruke je određen nekim od standarda koji se mogu koristiti (H.323, SIP, MGCP)

c) uspostava i prekid poziva – mehanizam za prijenos audio sadržaja. Krajnje točke komunikacije moraju biti sposobne ostvariti i održavati komunikacijsku sesiju

Kod PSTN i VoIP mreža postoje funkcije koje se moraju izvršavati ali ove tehnologije to rade na različite načine no pokazati će se da mrežne komponente kod VoIP-a funkcioniraju vrlo slično kao i one kod PSTN-a. Tipična VoIP mreža ima pet glavnih komponenti:

1. VoIP telefoni, konzole , PC aplikacije i drugi uređaji pomoću kojih krajnji korisnici iniciraju i primaju pozive. Krajnji korisnici mogu inicirati i primati pozive upotrebom različitih VoIP telefona i konzola. Potražnja za VoIP uslugama je uzrokovala široki asortiman korisničkih tzv. “end-user“ proizvoda slika 5. kao što su:

- VoIP terminali - obično ti proizvodi imaju posebne dodatne mogućnosti koje nadilaze obične telefone. Neki od takvih proizvoda imaju osnovne funkcionalnosti koje pružaju iste mogućnosti kao i konvencionalni telefoni.- Analogni telefoni spojeni na internet preko ATA (Analog Terminal Adapter) sučelja- Mobilni VoIP terminali - bežične VoIP jedinice postaju sve više i više popularne, pogotovo što organizacije već imaju ugrađene osnovne 802.11Q mrežne komponente. Bežični VoIP predstavlja veliki sigurnosni problem, pogotovo zbog poznatih nedostataka IEEE 802.11 standarda. Uspostava VoIP poziva moguća je korištenjem GSM i WiMAX mreže.- Osobna računala (tzv. Soft Phone sustavi) – sa slušalicama, aplikacijom (npr. Skype, Microsoft NetMeeting) i jeftinom konekcijom na Internet.

7

Slika 5. Korisnički VoIP terminali

2. Call procesing servers – predstavljaju srce sustava i upravljaju kontrolama VoIP konekcija (uspostavljanje i nadziranje poziva, autorizacije korisnika, pružanja osnovnih telefonskih usluga i kontroliranje brzine prijenosa za svaki link) slika 6. Da bi se mogla ostvariti VoIP konekcija mreža treba odašiljati dvije vrste prometa:

- pakete govora- kontrolni promet koji je povezan sa signalizacijskim mehanizmom i služi za uspostavljanje, održavanje i prekid konekcije.

8

Slika 6. Call Processing Server

3. Media/PSTN-VoIP gateway – pretvaraju govorni sadržaj za prijenos preko IP mreže. VoIP mreže koriste media gateways za obavljanje tradicionalnih CODEC funkcija (analogno-digitalna konverzija govornog signala) i kreiranje govornog IP paketa. On osigurava potrebno sučelje za transport govornog sadržaja preko IP mreže. Obično media gatewaya svaku konverzaciju ili poziv pretvara u jednu IP sesiju koja se prenosi RTP protokolom koji radi preko UDP-a. To su ujedno komponente koje omogućuju prelazak između različitih tehnologija (npr. prelazak između IP i ISDN tehnologija). Media gateways također jamči opcionalne mogućnosti kao što su: kompresija govora, poništenje jeke, potiskivanje tišine i prikupljanje statističkih podataka. Media gateways mogu uključivati:

- povezivanje između PSTN i VoIP mreža- kabelski modemi, xDSL uređaji širokopojasni bežični uređaji i drugi gateways koji osiguraju analogno sučelje prema VoIP mreži

4. VoIP gateways i drugi pristupni uređaji koji osiguravaju tradicionalni analogni ili digitalni interfejs prema VoIP mreži.

5. Mrežna infrastruktura - podržava VoIP tehnologiju i može se gledati kao jedna logička glasovna mreža distribuirana preko IP okosnice koja pruža konekciju i prijenos glasovnih paketa preko mreže. IP mreža – tradicionalno se koristi za prijenos podatkovnih usluga krajnjem korisniku s tzv. Best-effort kvalitetom. Međutim govor zahtjeva prijenos u realnom vremenu (real-time) i izuzetno je osjetljiv na kašnjenje, gubitak paketa i varijacije kašnjenja (jitter). U koliko se mreža koristi za prijenos govora i podataka mora biti sposobna razlikovati ove dvije vrste prometa i jamčiti isporuku paketa prema njihovom prioritetu (odnosno mora omogućiti prijenos glasovnih paketa bez ikakvih poteškoća).

9

2.3. Upravljanje VoIP servisnim zahtjevima

Kao i kod drugih usluga u stvarnom vremenu, VoIP zahtjeva da mreža jamči određene perfomanse unutar definiranih granica prijenosnih parametara. Ovdje je prikazan pregled ključnih mrežnih parametara koje organizacija ili davatelj usluga mora pažljivo uzeti u obzir kada uvodi IP rješenja [2,5,35].

2.3.1. Minimiziranje kašnjenja (Latency) Latency (često se naziva kašnjenje) je vrijeme potrebno paketu da kroz mrežu

dođe do odredišta slika 7. U VoIP tehnologiji to je vrijeme potrebno glasu govornika da dođe do uha slušaoca. Kašnjenje nužno ne utječe na degradaciju kvalitete zvuka telefonskog poziva no može poremetiti ritmiku konverzacije i na taj način otežava komunikaciju. Nekoliko faktora pridonosi kašnjenju u višeuslužnoj mreži uključujući:

- packet creation latency – vrijeme potrebno krajnjoj točki za kreiranje paketa podataka govora. Ovo vrijeme kašnjenja postoji na obje strane konekcije odnosno na strani izvora podataka i na krajnjoj točki glasovne konekcije. Na izvorišnoj strani varijacija vremena kašnjenja zavisi od vremena koje je potrebno da se popuni paket podataka (intencija je da ovi paketi podataka budu što manji kako bi i ovo vrijeme bilo što kraće). Na prijemnoj strani media gateways procesira primljeni paket podataka. Vrijeme kašnjenja u svakoj media gateway jedinici ne treba premašiti 30 ms.

- vrijeme potrebno da se serijaliziraju digitalni podatci na fizičkoj razini opreme za interkonekciju. Ovo je drugi izvor vremena kašnjenja i obrnuto je proporcionalan brzini linka. Što je brži prijenosni medij to je manje vremena potrebno za serijalizaciju digitalnih podataka na fizičkoj razini i samim tim je manje ukupno vrijeme kašnjenja. Utjecaj na vrijeme kašnjenja također ima i link tehnologija i metode pristupa. Na primjer potrebno je 125 μs za smještanje jednog bajta u 2 Mbit okvir, ali za smještanje iste količine podataka u OC-3/STM-1 okvir potrebno je svega 0,05 μs. Jedan dio kašnjenja je nužan ali se ukupno kašnjenje može smanjiti korištenjem manjeg broja međusobnih linkova i korištenjem šireg prijenosnog kanala.

- propagation delay – vrijeme potrebno električnom (ili optičkom) signalu da prijeđe cijelu dužinu vodiča. Pošto je brzina električnog ili fotonskog signala kroz vodič uvijek sporija od brzine svjetlosti uvijek će postojati neko propagacijsko vrijeme kašnjenja. Propagacijsko vrijeme kašnjenja se računa po formuli

propagacijsko vrijeme kašnjenja = udaljenost km/ (299300 km x 0,6) - Queuing delay – vrijeme koje paket podataka provede pohranjen u mrežnim elementima dok čeka na transmisiju (često se naziva kašnjenje u redovima čekanja) i veoma zavisi o mrežnom prometu i karakteristikama mreže. Upravitelji mreže mogu konfigurirati mrežne elemente tako da se govorni paketi zadržavaju u međuspremniku što manje.

- packet forwarding delay – vrijeme potrebno mrežnim uređajima (router, switch, firewall i itd.) da pohranjuju pakete podataka, dok se ne donese odluka o prosljeđivanju paketa.

10

Kod dizajniranja višeuslužne mreže ukupno vrijeme kašnjenja koje signal ili paket podataka akumulira suma je svih prije spomenutih kašnjenja. ITU-T preporukom G.114 definirana je granica jednosmjernog kašnjenja (uz kontrolirani eho) i to:

0-150 ms prihvatljivo za većinu korisnika150-400 ms prihvatljivo za međunarodne vezeIznad 400 ms neprihvatljivo u većini slučajeva

Slika 7. vremena kašnjenja u pojedinim mrežnim elementima

2.3.2. kolebanje kašnjenja - JitterKolebanje kašnjenja vremenska je razlika između trenutka kada je paket

stigao i vremena kada je paket trebao stići na odredište. Ako koristimo codec kod kojeg je vrijeme nastajanja paketa svakih 20 ms (premda to može u konačnici biti i 10 ms, 30 ms, 40 ms, …) očekuje se da će svaki sljedeći paket stići na odredište također svakih 20 ms no zbog prije spomenutih razloga to nije uvijek tako slika 8.

Slika 8. Primjer kolebanja kašnjenja (Jitter)

Kolebanje kašnjenja u višeuslužnim mrežama najčešće je uzrokovano zadržavanjem paketa podataka u redovima čekanja kao i korištenjem ruta različite duljine (paketi ne putuju uvijek istom fizičkom rutom prema odredištu) kako bi došli do odredišta. Većina media gateway-a ima play-out buffers za pohranjivanje paketnog niza kako bi minimizirao utjecaj vremena kašnjenja (ovaj utjecaj se ne može elimininirati kod velikog vremena kašnjenja). U koliko je kolebanje kašnjenja veliko (paketi podataka

11

dolaze van redoslijeda) tada se paket odbacuje i nastaju rupe pri rekonstrukciji govornog signala što u konačnici utječe na kvalitetu signala.

2.3.3. Gubitak paketa podatakaGubitak paketa se događa zbog više razloga ali je na neki način neizbježan.

Za vrijeme zagušenja redova čekanja u router-ima i switch-evima dolazi do odbacivanja paketa podataka. U koliko je riječ o aplikacijama koje ne rade u realnom vremenu to nije kritično jer se koriste protokoli koji pružaju uslugu retransmisije, no kod aplikacija koje rade u realnom vremenu (kao što je VoIP) gubitak paketa nije prihvatljiv jer čak i ako dolazi do retransmisije paketa on može doći na odredište prekasno kako bi se mogao korisno upotrijebiti. Problem izgubljenih paketa rješava se u sklopu codec-a. Postoji više različitih algoritama za ublažavanje efekta izgubljenih paketa, a neki od njih su:

- ignorirati izgubljene pakete ukoliko je riječ o malim postotcima- kod većih postotaka ponavljanje prethodno primljenog paketa. Prijemnik čeka neko vrijeme i tada pokreće strategiju sakrivanja (concealment strategy). Ova strategija se primjenjuje samo ako je izgubljen jedan paket, ako je izgubljeno više paketa skrivanje se pokreće samo jedanput dok se ne primi slijedeći paket.- Izgubljeni paketi se interpoliraju nekom od prediktorskih metoda. Prediktor se „navikava“ na visinu i boju glasa u toku normalne konverzacije, a u slučaju gubitka paketa pokušava predvidjeti kakav je sadržaj nosio taj paket (olakšavajuća okolnost pri tom je što je govor relativno spor proces).

2.3.4. Zaštita pouzdanosti rada mrežeIako se kvarovi u mrežama događaju rijetko, jako je važno da ih se predvidi pri

implementaciji rješenja kako bi mreža mogla funkcionirati u slučaju kvara opreme ili kada pojedini linkovi budu nedostupni. Za poboljšanje pouzdanosti projektiraju se redundantni linkovi i raspoređuje redundantna oprema. Također u smislu povećanja pouzdanosti rada mreže potrebno je imati redundantne media gatweys i media gatweys kontrolere. No kao posljedica su povećavanje troškova implementacije i održavanja mreže što utječe i na cijenu VoIP-a.IP mreže koriste protokole za rutiranje za izmjenu podataka o rutiranju (protokoli za rutiranje nadziru status linkova) i u slučaju detektiranja kvara određuju novu rutu slanja podataka (normalno u koliko ona postoji). Vrijeme potrebno za detektiranje kvara i određivanje nove rute slanja podataka uvelike ovisi o vrsti medija korištenog za prijenos podataka.

Tehnička specifikacija usluga – Voice- maksimalno kašnjenje 150 ms- maksimalno kolebanje kašnjenja 25 ms- maksimalni gubitak paketa 1%- garantirana pojasna propusnot po sesiji 20-110 kbps

2.3.5. Sigurnosne prijetnje za VoIP mrežeNeki od glavnih sigurnosnih problema koji se pojavljuju u VoIP okolinama su

slični ako ne i isti kao i problemi koji se tiču sigurnosti IP mreža. Danas se većina podatkovne komunikacije obavlja preko Interneta, što je moguće korištenjem IP adresiranja. VoIP isto koristi IP adresiranje za lociranje ostalih korisnika na glasovnim komunikacijskim mrežama. Stoga je IP sigurnost veoma važna stavka za zaštitu

12

VoIP mreža, za koje se očekuje da ćepostati okosnica svih glasovnih komunikacija u svijetu. Napadi na sigurnost VoIP-a mogu biti pasivni (kada je cilj doći do informacija koje se prenose, a da se pri tom sami podaci ne mijenjaju) i aktivni (ovi napadi uključuju izmjenu ili generiranje lažnog tijeka podataka) [6]. Prijetnje karakteristične za VoIP mreže: - Neovlašteno praćenje i analiza prometa. Neovlašteno praćenje i prisluškivanje mrežnog prometa (eng. Sniffing/Eavesdropping) može rezultirati otkrivanjem povjerljivih ili nezaštićenih korisničkih informacija. Iskorištavanjem ovog propusta sofisticiranim zlonamjernim korisnicima omogućeno je prikupljanje informacija o VoIP mreži koje se mogu iskoristiti za napade na druge dijelove mreže (podatkovna, nadzorna …). Za rješavanje ovih napada predlaže se primjena neke od dodatnih metoda enkripcije na višim mrežnim slojevima (npr. tuneliranje prometa korištenjem virtualnih privatnih mreža).

- Uskraćivanje računalnih resursa. Napadi uskraćivanja računalnih resursa (eng. Denial of Service - DoS) mogu biti zasnovani na okupiranju računalnih mreža s nepotrebnim podacima ili na rušenju pojedinih komponenti mreže. Ukoliko organizacija koristi tradicionalne komunikacijske kanale za razgovor (javna telefonska mreža) tada čak i u slučajevima kada je podatkovna mreža srušena, organizacija i dalje može komunicirati i obavljati telefonske razgovore. Ukoliko organizacija bazira svoje poslovanje na VoIP mreži, tada DoS napadi mogu biti veoma efikasni protiv tih organizacija. To je prvenstveno rezultat činjenice da DoS napadi prekidaju uslugu ili smanjuju kvalitetu postojeće usluge (eng. Quality of Sevice - QoS) za koju je nužno da bude visoka kako bi VoIP bio funkcionalan. Zbog opasnosti koju DoS napadi predstavljaju za VoIP mreže, proizvođači VoIP opreme sve češće ugrađuju u svoje proizvode različite metode zaštite od DoS napada.

- Distribuirano uskraćivanje računalnih resursa. Distribuirani napadi uskraćivanja računalnih resursa (eng. Distributed Denial of Service - DDoS) slični su prethodno opisanim napadima uz razliku što se ovi napadi ne izvršavaju s jednog nego s većeg broja računala.

- Presretanje poziva. Presretanje poziva (eng. call interception) omogućava nedozvoljeno nadgledanje i snimanje poziva, te glasovnih poruka. Presretanjem i prisluškivanjem poziva unutar organizacija moguće je ukrasti tajne i povjerljive poslovne podatke. VoIP pozivi se mogu presretati tako da se preusmjere na neki posredni poslužitelj koji prema svojoj konfiguraciji nadzire VoIP pozive - tzv. „Man in the middle“ napad. VoIP pozivi se mogu na jednostavan način skupljati i dekodirati ukoliko napadač ima fizički pristup lokalnoj računalnoj mreži preko koje VoIP paketi putuju. Kao protumjere za ovakve napade potrebno je zaštititi fizičke pristupe mreži te implementirati enkripciju s nekom od raspoloživih metoda.

- Krađa identiteta. Krađom tuđeg identiteta napadač može doći do informacija potrebnih za stjecanje kontrole nad tuđim IP telefonom, te preusmjeriti promet na drugu lokaciju. I ukoliko legitimni korisnik nije svjestan preusmjeravanja poziva tada može odavati povjerljiva informacije, a da nije ni svjestan toga.

-Financijska zlouporaba VoIP infrastrukture (eng. Call Fraud). Call fraud je specifičan napad za VoIP mreže koji se sastoji od nezakonitog korištenja VoIP infrastrukture za

13

obavljanje telefonskih poziva. Takvi telefonski pozivi izgledaju kao da su pokrenuti od legitimnih korisnika unutar napadnute mreže pa se njima i naplaćuju.

- VoIP neželjena pošta (eng. Spam over Internet Telephony - SPIT). Iako se čini da je zatrpavanje IP telefona neželjenim SPIT porukama i informacijama samo neugodna nuspojava konekcije na Internet, većina korisnika gubi korisno vrijeme na čišćenje telefona od istih, te tijekom tog vremena nisu u mogućnosti ispunjavati svoje poslovne zadatke. Kako se sve više poslovnih korisnika odlučuje za VoIP komunikacije, VoIP neželjena pošta ima sve veću i veću tendenciju širenja i sve veću populaciju kojoj je namijenjena.

2.3.6. Sigurnosni mehanizmi VoIP mrežePrelazak govornih aplikacija u IP domenu pored niza prednosti nosi sa sobom

rizike inherentne za IP tehnologiju po pitanju sigurnosti govornih servisa koji ranije nisu bili prisutni (u koliko se izuzme prisluškivanje i krađa servisa otprije poznate kod PSTN). Sve vrste opasnosti i napada na mreže podataka su sada prisutne i kao prijetnja prijenosu govora preko IP-a. Kompleksnosti problema doprinosi VoIP arhitektura koja je veoma složena i hijerarhijski organizirana sa mnogo mrežnih komponenti (media gateway, IP telefoni, IP PBX, router, switch, firewalls itd) i protokola koji imaju velike sigurnosne propuste, jer su slabo definirani u tom smislu. Pomnim planiranjem moguće je implementirati VoIP u konvergentnu mrežu sa odgovarajućom sigurnošću, a da se pri tom ne narušavaju performanse VoIP-a. Slika 9. prikazuje tipično okruženje u kojem funkcionira VoIP.

Slika 9. Tipično VoIP okruženje

Kako bi se VoIP sustav učinio što sigurnijim (potpunu sigurnost je skoro nemoguće ostvariti) potrebno je poduzeti odgovarajuće sigurnosne mjere na svim razinama što se postiže uporabom raznih sigurnosnih mehanizama [9,10]. Potrebno je naglasiti da, nažalost, mjere koje se poduzimaju u ovom smjeru utječu na QoS (ogleda se u kašnjenju ili blokiranju poziva od strane firewall-a odnosno u kašnjenju i kolebanju kašnjenja uzrokovanim procesom enkripcije).Neke od smjernica koje treba pratiti pri izgradnji sigurnog VoIP okruženja:

14

- korištenje sistema za detekciju i prevenciju upada u sistem (Intrusion Detection and Prevention Systems)- instalacija ALG-a (Aplication Layer Gateway) na granicama povjerljivih zona- korištenje mehanizama autorizacije, autentifikacije i IPSec- korištenjem VPN za VoIP na kritičnim mjestima- odvajanje govora i podataka na kritičnim mjestima korištenjem VLAN (Virtual Local Area Network)- primjena različitih metoda enkripcije- redoviti update software-a, instalacija antivirusnog programa i njegovo održavanje, onemogućavanje nepotrebnog daljinskog pristupa, onemogućavanje svih nepotrebnih servisa, zaštita prostorija s opremom i sl.

Općenite preporuke za podizanje sigurnosti VoIP mrežaU svrhu zaštite VoIP mreže potrebno je stalno raditi na sigurnosti. Napadi

neprestano evoluiraju i administratori mreže moraju štiti, kako mrežu u cijelosti, tako i pojedine usluge. U nastavku ovog poglavlja navedeni su uobičajeni načini zaštite kojima se minimaliziraju sigurnosni rizici i prijetnje unutar VoIP mreža.

- Fizička sigurnost. Promatrano s aspekta fizičke sigurnosti i konfiguriranja samih VoIP aplikacija preporučuju se sljedeće metode:- sve kritične VoIP mrežne i poslužiteljske komponente trebalo bi locirati u zaštićene i sigurne lokacije odvojene od neovlaštenog pristupa.- IP telefone bi trebalo konfigurirati tako da ne prikazuju svoje mrežne konfiguracijske informacije.-SoftPhone sustave, koji provode VoIP komunikaciju pomoću običnog računala, slušalica i specijalnog programa, trebalo bi izbjegavati.

- Odvajanje IP adresa. Sve VoIP komponente trebalo bi postaviti na odvojene privatne mreže, koje nisu djeljive s ostalim mrežama. U tu svrhu potrebno je koristiti privatne IP adrese (10.0.0.0/8, 172.16.0.0/16 i 192.168.0.0/16) za daljnje odvajanje IP telefonije od podatkovnih mreža. Kada su potrebne mrežne konekcije između VoIP i ostalih podatkovnih mreža (npr. zbog glasovne pošte) potrebno je implementirati NAT koji prevodi javne IP adrese u privatne, te time interna računala odvaja od vanjske mreže. NAT bi trebalo implementirati na dodirnim točkama VoIP i ostalih mreža.

- Virtualni LAN-ovi. Predlaže se odvajanje VoIP-a od ostalih podatkovnih mreža korištenjem virtualnih lokalnih mreža (eng. Virtual Local Area Networks - VLAN). Tehnologija virtualnih LAN-ova omogućuje logičko grupiranje korisnika, neovisno o njihovoj fizičkoj lokaciji, u manje logičke cjeline, tzv. virtualne lokalne računalne mreže (VLAN). Ovakvim pristupom moguće je unutar jednog fizičkog LAN-a kreirati nekoliko manjih međusobno odvojenih virtualnih LAN-ova, od kojih svaki zadržava svojstva klasične računalne mreže. Grupiranje korisnika moguće je realizirati prema različitim kriterijima kao što su MAC adrese mrežnih kartica, IP adrese, portovi preklopnika, itd…Odvajanjem podatkovnih i VoIP mreža smanjuje se “natjecanje“ za mrežnim resursima i samim time smanjuje se vrijeme kašnjenja za prijenosne servise.

- Vatrozidi. Najbolji način za osiguravanje VoIP usluge jest filtriranje prometa između VoIP mreža i podatkovnih mreža korištenjem vatrozida (eng. firewalls). Vatrozid je

15

sustav (programski ili sklopovski) čija je osnovna uloga filtriranje dolaznog i odlaznog mrežnog prometa organizacije. Svoju osnovnu zadaću vatrozid obavlja putem sigurnosnih pravila koja definiraju koji je promet dopušten, a koji zabranjen u skladu sa sigurnosnom politikom organizacije. Jedan od nedostataka vatozidne zaštite je taj što se nakon definicije pravila filtriranja ona više ne mijenjaju, ili se moraju mijenjati ručno. Nažalost, zbog specifičnosti VoIP-a koji za normalan rad zahtjeva korištenje velikog raspona otvorenih portova (protokol koji se koristi za prijenos VoIP podataka koristi raspon portova od 10024 do 65535 za transportiranje paketa), potrebno je koristiti vatrozide koji direktno podržavaju SIP i H.323 protokole.

- Enkripcija. Gdje god je moguće i izvedivo trebala bi se implementirati enkripcija VoIP prometa korištenjem VPN-ova (eng. Virtual Private Networks) ili bilo kojom metodom trenutno dostupnom. Virtualne privatne mreže (tzv. enkripcijski tuneli) omogućavaju sigurno spajanje dvije fizički odvojene mreže preko Interneta bez izlaganja podataka neautoriziranim korisnicima. Nakon što je jednom uspješno uspostavljena, virtualna privatna mreža zaštićena je od neovlaštenih iskorištenja sve dok su enkripcijske tehnike sigurne. Koncept VPN-a omogućava udaljenim korisnicima na nezaštićenoj strani direktno adresiranje računala unutar lokalne mreže, što drugim korisnicima nije moguće zbog NAT-a i filtriranja paketa. Brzina kojom takva udaljena računala komuniciraju s lokalnim računalima mnogo je sporija od one koju računala u lokalnoj mreži koriste. Razlog tome je njihova fizička udaljenost i oslonjenost na brzinu Interneta, ali i procesi enkripcije podataka, filtriranja paketa na vatrozidu, i dekripcije originalnih podataka.

Kako bi udaljeni korisnici uspješno prošli fazu spajanja na lokalnu mrežu potrebno je uspješno obaviti autentifikaciju istih. Ta autentifikacija mora biti kriptirana u svrhu sprečavanja krađe podataka od strane napadača i iskorištenja istih.

- IPsec ili SSH. Za svaki udaljeni nadzor i udaljeni pristup VoIP komponentama preporuča se korištenje IPsec ili SSH (eng. Secure Shell) protokola. Također, gdje god je moguće, preporuča se korištenje IPSec tuneliranja umjesto IPSec transporta iz razloga što tuneliranje maskira odredišnu i izvorišnu IP adresu

2.4. QoS - VoIP mrežna rješenja

VoIP i druge aplikacije koje rade u realnom vremenu donose nove izazove davaocima usluga jer mreže trebaju biti boljih perfomansi, inteligentnije i veće sigurnosti. Prilikom dizajniranja mreža koje podržavaju VoIP (i druge aplikacije u realnom vremenu) moraju se uzimati u obzir aplikacijski zahtjevi, dostupan troškovnik, zahtjevi u pogledu kvalitete usluge i sl. Spomenuti će mo tri načina dizajniranja mreža koje podržavaju VoIP usluge s osvrtom na kvalitetu usluge:

- best-effort mrežni dizajn. Najveći broj mreža trenutno raspoređenih ovakvog je tipa i one rade sasvim dobro ukoliko se prenosi promet neosjetljiv na kašnjenje (web preglednici, e-mail i sl.). Mreža ne garantira nikakvu kvalitetu usluge niti garantira da će paket biti isporučen na odredište no sama mreža će učiniti sve da podatke isporuči.- differentiated services pristup. Omogućuje određenu kvalitetu usluge QoS (kašnjenje – latency, kolebanje kašnjenja – Jitter, gubitak paketa – packet lost) koju mreža pruža korisniku što je od iznimne važnosti za aplikacije koje rade u realnom

16

vremenu npr. VoIP. Mreža koja nudi ovu uslugu omogućava diferenciranje klasa prometa kako bi krajnji korisnici bili u mogućnosti tretirati jednu ili više klasa drugačije od ostalih. Diferencijacija klasa prometa vrši se u svakom usmjerivaču (router-u) prioritizirajući promet u ovisnosti o mrežnim parametrima, a definirana je razinom dogovorene usluge (Service Level Agreement - SLA) između korisnika i pružatelja usluge. Koristi TOS polje (drugi oktet) iz zaglavlja IP paketa podataka.

- MPLS mreža. MPLS (Multi-Protocol Label Switching) je prepoznat kao moderan pristup koji osigurava mrežne karakteristike koje zahtjeva VoIP i druge aplikacije u realnom vremenu jer omogućava mrežnim administratorima preciznu kontrolu tijekova podataka. Za ostvarivanje dogovorene kvalitete usluge koristi signalizacijske protokole kao što su LDP ili RSVP-TE.

Svaki od spomenutih pristupa predstavlja kompromis između cijene i koristi. Best effort mreže su najmanje kompleksne i najisplativije no ne uzimaju u obzir mnoge VoIP zahtjeve. Differentiated services pristup dodaje određenu razinu mrežne inteligencije ali još uvijek nedovoljno. MPLS mreže najbolje podržavaju kritične VoIP zahtjeve.

U cilju ostvarivanja kvalitete usluge u VoIP mrežama koriste se različiti koderi govora [2]. Osnovna funkcija codec-a je konverzija analognog signala u digitalni na izvorištu, te obrnuto na odredištu. Svi CODEC-i su vrlo kompleksni, a razlikuju se po pojasnoj širini koju zahtijevaju (mogućnost kompresije govornog signala) i vremenu kašnjenja koje ta konverzija zahtjeva. Osnovni algoritam kompresije, kako je već spomenuto, je PCM kod kojeg se svaki uzorak kodira s osam bita i osnovni digitalni tijek je 64 kbit/s. Uvođenjem naprednijih algoritama usložnjava se postupak obrade uzorka, unosi dodatno kašnjenje (zbog dužeg vremena obrade uzorka) pa samim tim i narušava kvalitetu prenošenog govora (više puta je već napomenuto da se govor prenosi u realnom vremenu). Popularni koderi koji se koriste u IP telefoniji su: G711 (PCM), G.726 (ADPCM), G.728, G.729 te G.723.1 (CELP). Nakon analogno-digitalne konverzije formiraju se PCM uzorci koji se potom propuštaju do algoritma za kompresiju.

ITU standard Description Bandwidth (Kbps)

Conversion Delay (ms)

Mean Opinion ScoreMOS

G.711 PCM 64 < 1.00 4.4

G.721 ADPCM 32, 16, 24, 40 < 1.00 4.2

G.728 LD-CELP 16 ~ 2.50 4.2

G.729 CS-ACELP 8 ~ 15.00 4.2

G.723.1 Multirate CELP

6.3, 5.3 ~ 30.00 3.65

Slika 10. usporedba karakterističnih CODEC-a

Algoritmi kompresije slika 10. omogućavaju efikasnije iskorištavanje propusnog opsega ali na račun dužeg vremena potrebnog za formiranje paketa i složenijih algoritama čime se narušava kvaliteta prenesenog govora kod VoIP-a. Dakle potrebno je naći kompromis između efikasnije upotrebe propusnog opsega i

17

povećanja kašnjenja. Bitska brzina kodeka za PCM (G.711) iznosi 64 kbit/s dok je za G.723.r53 svega 5,3 kbit/s. Složeniji algoritami kompresije zahtijevaju manji propusni opseg, ali je i kvaliteta prenesenog signala manja. U cilju efikasnijeg iskorištavanja propusnog opsega u VoIP rješenjima je uobičajeno potiskivanje tišine tj. neprenošenje informacije i nezauzimanje prijenosnih kapaciteta kada razina jačine govora padne ispod određene granice tzv. VAD (Voice Activity Detection). Kod VoIP-a vrši se paketizacija govora i tišine ali se upotrebom VAD-a paketi tišine izbacuju (zbog prirode govora korištenjem VAD-a može se uštedjeti do 35% propusnog opsega).

Kvaliteta govora za različite codec-e se obično mjeri subjektivnim testiranjem u kontroliranim uvjetima uz sudjelovanje većeg broja slušalaca MOS (Mean Opinion Score). Na MOS najviše utječu efekt šuma okoline, efekt degradacije kanala (gubitak paketa) i efekt višestrukog kodiranja/dekodiranja uslijed rada s drugim mrežama. MOS je najveći za PCM i iznosi 4.4, a smanjuje se povećanjem složenosti algoritma kompresije tako da za G.729 (CS-ACELP) iznosi 3,92 za G.723.r53 iznosi 3,65.

2.5. Specifična VoIP rješenja

Osim protokola koji za uspostavu poziva koriste standardizirane protokole (prvenstveno SIP i H.323), a za prijenos podataka RTP protokol postoje i VoIP provider-i koji za VoIP komunikaciju koriste vlastito razvijene protokole npr. Skype, Google Talk, Microsoft Live Meeting i sl. [8] Korisnici usluga ovih provider-a u početku su mogli komunicirati samo s korisnicima koji imaju korisničke račune kod tih istih provider-a (npr. Skype korisnik sa Skype korisnikom) no u novije vrijeme razvijene su aplikacije koje omogućavaju međusobno povezivanje ovih razdvojenih VoIP mreža (npr. 3CX Gateway for Skype koji omogućuje povezivanje VoIP Skype korisnika sa SIP VoIP korisnicima i obrnuto). Neki od provider-a kao što je Skype koriste vrlo složene sustave kriptiranja komunikacije (bazirane na AES algoritmu i ključu dužine 256 bita) dok drugi uopće ne koriste kriptiranje.

3. VoIP signalni protokoli

Standard je na ovom području nužan, prije svega radi osiguravanja kompatibilnosti opreme različitih proizvođača, ali i zbog kompleksnosti problema. Signalni protokoli implementirani u VoIP okruženje određuju raspoložive osobine i funkcionalnost [1,3,4].

3.1. H.323 protokol

H.323 je skup protokola specificiran od ITU udruge (engl. International Telecomunication Union) koji definira multimedijsku komunikaciju preko lokalnih računalnih mreža (engl. Local Area Network - LAN) uz pretpostavku da nema zajamčene kvalitete usluge (engl. Quality of Service - QoS). Ovaj standard je prvi klasificirao i razriješio izazove prijenosa multimedije preko LAN-a. Godine 1996. studijska grupa ITU-a objavljuje prvu verziju protokola H.323 kao standarda za videokonferencije u stvarnom vremenu, ostvarene preko lokalnih mreža, bez garancije kvalitete usluge – QoS. Usvajanje specifikacija za signalizacijske protokole

18

i algoritme sažimanja audio i video signala omogućilo je i komunikaciju između terminala različitih proizvođača. Slika 11. prikazuje proces uspostave poziva H.323.

Slika 11. Proces uspostave poziva H.323

Ovaj protokol nije ograničen samo na IP mreže (za koje je prvotno bio namijenjen) već se može koristiti i na IPX i ATM mrežama. Pruža brojne mogućnosti komunikacije od govorne, govorne i video, podatkovne do govorne, video i podatkovne komunikacije. Na slici 12. su prikazane komponente H.323 protokola.

Slika 12. Komponente H.323 protokola

Svaka krajnja točka pripada nekoj zoni, a u svakoj zoni postoji Gatekeeper. Sve krajnje točke jedne zone su registrirane kod svog Gatekeepera. Krajnje točke su H.323 terminali (IP telefoni ili rješenja za osobna računala), te govorni pristupnici s H.323 podrškom koji predstavljaju mostove prema PSTN mrežama (H.323 specificira da terminali moraju, kao minimum, imati podršku za govor).

19

- H.323 terminal. Osnovni je i obavezni element H.323 mreže. Načelno je moguće uspostaviti izravnu komunikaciju dva terminala bez pomoći drugih elemenata H.323 mreže. Osim komunikacije s drugim terminalom, H.323 terminal može komunicirati i s H.323 pristupnikom ili s jedinicom za upravljanje višestranom konferencijom.

- H.323 pristupnik (gateway). Funkcija pristupnika je prevođenje signalizacijskih protokola, načina prijenosa, komunikacijskih procedura i načina kodiranja. Na taj način H.323 pristupnik omogućava međusobnu komunikaciju korisnika različitih tehnologija. Pristupnik koordinira signalizacijske tokove i pretvorbu medijskih tokova, a ona uključuje uspostavu, promjene i raskid veze između medijskih tokova u PSTN i IP mreži za vrijeme trajanja poziva. Nije obavezan element H.323 mreže.

- H.323 upravnik (gatekeeper). Glavne funkcije upravnika su pretvorba podržanih formata adresa krajnjih komunikacijskih točaka u njihove transportne adrese te upravljanje pristupom resursima H.323 mreže onemogućujući neovlašteno uspostavljanje H.323 poziva. Upravnik dozvoljava uspostavljanje poziva, korištenje resursa mreže i svojih funkcija isključivo terminalima, pristupnicima i MCU jedinicama koje se registrirane kao članovi njegove zone. Također, upravnik pohranjuje informacije o ostvarenim pozivima ili ih šalje odgovarajućem poslužitelju kako bi se omogućila naplata korištene usluge. Iako je izuzetno bitan, element H.323 mreže nije njen obavezan element.

- Jedinica za upravljanje višestranim konferencijama (MCU – Multipoint Control Unit) zadužena je za upravljanje konferencijama.

- H.323 graničnik. Upravljaju pristupom svojoj administrativnoj domeni, zahtijevaju izvještaje o pozivima koje su dopustili i izmjenjuju informacije o adresama korisnika koji se nalaze u njihovim administrativnim domenama. Preko njega se odvija komunikacija između administrativnih domena.

Svojstva H.323 standarda:- standardna kompresija/dekompresija,- povezivanje različite opreme,- neovisnost o mreži,- neovisnost o opremi i aplikaciji,- podrška za konferencijsku vezu,- nadzor mreže,- podrška za komunikaciju s više krajnjih točaka.

Kategorije koje standard obrađuje:- transport govora i slike u realnom vremenu,- transport tekstualnih poruka,- kontrole kvalitete veze,- kompresiju govora i slike,- potiskivanje tišine,- uspostavu veze, autorizacija, registracija,- definiciju međudjelovanja mreža.

Protokoli koje specificira H.323:

20

- audio codec- video codec- H.225 Registration, Admission and Status (RAS) – regulira prijavu, pristup i status, a koristi se za komunikaciju terminala i H.323 gatekeepera- H.225 Call Signaling za signalizaciju kod uspostave veze kroz kontrolni kanal. Signalizacija ovog tipa odvija se između krajnjih točaka tj. H.323 terminala.- H.245 Control Signaling Poruke po H.245 također se razmjenjuju između krajnjih točaka (razmjena mogućnosti, otvaranje logičkih kanala, itd.)- Real-time Transport Protocol (RTP) definiran RFC dokumentima RFC1889 i RFC3550 - transportni protokol za prijenos informacija u stvarnom vremenu, a najviše služi za prijenos slike i zvuka. Može se, među ostalim, koristiti i za interaktivne usluge kao što je, npr., Internet telefonija- Real-time Control Protocol (RTCP) definiran RFC dokumentom RFC3605 - pruža podršku za konferencije u realnom vremenu i mogućnost stalnog nadgledanja kvalitete usluge.

3.2. SIP - Session Initation Protocol

Mnoge VoIP mreže koriste SIP (poznat i kao IETF RFC 2543) signalni protokol za rukovanje uspostavom i prekidom multimedijskih sesija među krajnjim korisnicima. SIP je tekst orijentirani signalni protokol aplikativnog sloja koji definira iniciranje, uspostavu, promjenu i završetak interaktivnih multimedijskih komunikacijskih sesija između korisnika. Sudionici u sesijama mogu biti ljudi ili računalni mehanizmi (računalni poslužitelji koji služe npr. slanju određenog podatka korisniku na koji se on prethodno pretplatio). SIP koristi RSVP za rezervaciju mrežnih resursa, RTP/RTCP/RTSP za prijenos podataka u realnom vremenu, SAP (Session Announcement Protocol) za reklamiranje multimedijalnih sesija i SDP (Session Description Protocol) za opis multimedijalnih sesija. Manje kompleksan i fleksibilniji od H.323 protokola [1,3]. Podržana mobilnost korisnika, jednostavna implementacija i neovisnost o transportnom mediju.

Glavni dijelovi SIP zasnovanog sustava su korisnički agent (UA – User Agent) i server.

1. Korisnički agent je kombinacija korisničkog klijenta UAC-User Agent Clients i korisničkog servera UAS-User Agent Servers. Korisnički agent u svojstvu klijenta predstavlja entitet koji inicira sesiju slanjem zahtjeva, dok korisnički agent u svojstvu poslužitelja vrši obradu zahtjeva i šalje odgovarajući odgovor. Slika 13. prikazuje proces uspostave SIP poziva.

21

Slika 13. Proces uspostave SIP poziva

2. Serveri mogu biti klasificirani kako proxy, redirect, location i register. Razlika između SIP poslužitelja je logička, a ne fizička, što znači da se SIP poslužitelj istovremeno može ponašati kao registar i proxy (Korisnički agenti također mogu biti u svojstvu klijenta ili poslužitelja, pri čemu je razlika opet logička).

- Proxy server slika 14. je odgovoran za rutiranje i isporuku poruke koju šalje u ime korisnika, a može generirati zahtjeve drugim poslužiteljima ili klijentima. Najvažnija funkcija proxy poslužitelja je pronalaženje korisnika.

22

Slika 14. SIP Proxy orijentiran

- Redirect server slika 15. SIP klijent šalje zahtjev SIP redirect serveru koji traži odredišnu adresu. Redirect poslužitelj prihvaća zahtjeve i klijentu koji je inicirao poziv odgovara s 0 ili više mogućih adresa za uspostavljanje veze. Za razliku od proxy poslužitelja on ne može poslati zahtjev, niti kao UA uspostaviti vezu.

Slika 15. SIP Redirect orijentiran

- Location server. Prosljeđuje informacije proxy ili redirect serveru o mogućoj lokaciji pozivatelja.

23

- Register server prihvaća zahtjev za registracijom i ima pristup bazi podataka (Location Server) koji sadrži informacije koje povezuju korisnikovu SIP adresu i njegove kontakt (fizičke) adrese. Korisnik može registrirati jedan ili više uređaja na mreži i time postaje dostupan za kontakt bez obzira gdje se nalazi i to neovisno od pojedinosti u vezi mreže ili uređaja (PC, IP telefon, mobilni telefon). Najčešće se postavlja skupa s redirect ili proxy poslužiteljem.

SIP poslužitelji nisu neophodni za uspostavu veze između dvaju terminala, međutim oni nude dodatnu funkcionalnost i u stvarnim mrežama uvijek se koriste.

Mogućnost proxy i redirect zahtjeva za određivanje adrese krajnjeg korisnika je vrlo važna za podržavanje vrlo promjenjive korisničke baze. SIP omogućuje korisnicima da obavještavaju SIP server o njihovoj trenutnoj lokaciji (IP adresi i URL) šaljući registracijsku poruku u registar.

Pronalaženje SIP poslužitelja može se provesti na dva načina. Pokušajem direktne uspostave veze na temelju host dijela adrese (koja može biti numerička ili alfabetska u kojem slučaju se koristi DNS) ili prosljeđivanju zahtijeva na prvi registrirani proxy poslužitelj.

Zahtjev se prosljeđuje poslužitelju na port naveden u Request-URI polju, ako port nije naveden, tada se koristi port 5060. Također, uvijek se koristi specificiran protokol UDP ili TCP, ako protokol nije specificiran veza se pokušava uspostaviti posredstvom UDP-a. Ako u posljednjem slučaju uspostava veze ne uspije tada klijent automatski pokušava uspostaviti vezu TCP protokolom.

SIP koristi internet URL (Uniform Resource Locator) za adresiranje. Adresa korisnika ima formu ime@domena i sliči e-mail adresi. Zbog ove sličnosti SIP URL se lako može pridružiti korisnikovoj e-mail adresi. SIP podržava Internet i PSTN adrese.Primjeri SIP adresa (SIP URL):sip:ivanculic@iptel.org

U većini slučajeva, usluge koje zahtijevaju uspostavu sesije zahtijevaju i određeni stupanj kvalitete (Quality of Service, QoS). SIP samostalno ne može odgovoriti na QoS zahtjeve takvih usluga, što i nije njegova svrha, niti može osigurati odgovarajuću razmjenu QoS signalizacijskih informacija u cilju ostvarivanja QoS podrške. S tim u vezi, definiran je Real-time Transport Control Protocol (RTCP) s primarnim ciljem da osigura povratnu informaciju o kvaliteti dostavljanja vremenski osjetljivih usluga.

SIP se temelji na HTTP (Hypertext Transport Protocol) transakcijskom modelu zahtjeva i odgovora. SIP se ne koristi za opis obilježja sesije, nego tijelo SIP poruke nosi karakteristike sesije za čiji se opis koristi SDP (Session Description Protocol) protokol ili neki drugi protokol razvijen u tu svrhu.

Razdvajanje funkcije upravljanja uspostavom sesije od ugovaranja karakteristika sesije važna je karakteristika koja SIP predstavlja kao učinkovit protokol, budući da se može koristiti za uspostavljanje bilo kojeg tipa sesije. SIP je zajedno sa drugim IETF protokolima (Real-time Transport Protocol – RTP, Real-Time

24

Streaming Protocol – RTSP, i sl.) sastavni dio arhitekture koja u potpunosti omogućava multimediju. Iako se SIP, zajedno sa navedenim protokolima, koristi u svrhu omogućavanja potpune usluge korisnicima, njegova osnovna funkcionalnost ne ovisi niti o jednom od navedenih protokola.

SIP može koristiti pouzdani ili nepouzdani način prijenosa, kao što su SCTP, TCP ili UDP protokol. Preporučuje se uporaba UDP protokola, s obzirom da se na taj način izbjegava faza uspostave i raskida TCP veze. TCP je sigurniji način prijenosa SIP poruka jer postoji kontrola postojeće TCP veze otvorene za uspostavu sesije. Najveći problem TCP prijenosa je moguće kašnjenje prilikom uspostave veze. UDP protokol karakteriziraju dva nedostatka. Prvi problem predstavlja nedostatak mehanizama za kontrolu mrežnog zagušenja što je neophodno za prevenciju mrežnog kolapsa. Drugi problem predstavlja fragmentacija SIP poruka, s obzirom da je UDP nepouzdan protokol i ne osigurava sredstva za oporavak od izgubljenih fragmenata i promjene njihovog redoslijeda.

U višemedijskim mrežama sljedeće generacije prijenos vremenski osjetljivih tokova i signalizacijskih poruka vrši se odvojeno. TCP protokol je najrasprostranjeniji protokol na prijenosnom sloju IP protokolnog stoga. TCP osigurava pouzdan prijenos u smislu sigurnog prijema i pravilnog redoslijeda svih paketa u toku, ali posjeduje i karakteristike koje ga čine neprihvatljivim za prijenos vremenski osjetljivih i signalizacijskih poruka.

Za prijenos vremenski osjetljivih tokova definiran je Real-time Transport Protocol (RTP). RTP osigurava prijem paketa u ispravnom redoslijedu, nadzor QoS parametara, te identifikaciju i specifikaciju različitih tipova korisnih podataka. Iako je proširiv u smislu definiranja profila za formate i tipove korisnih podataka, RTP posjeduje brojna ograničenja. Bez polja za identifikaciju porta, RTP se mora naslanjati na UDP protokol. Za razliku od TCP protokola, RTP ne nastoji osigurati pouzdan prijenos vremenski osjetljivih paketa preko nepouzdane mreže. RTP ne omogućava rezervaciju resursa, niti garantira QoS za vremenski osjetljive usluge. RTP standard osigurava informaciju drugim mehanizmima izvan standarda radi osiguranja prihvatljive dostave vremenski osjetljivih tokova. Ovi mehanizmi mogu biti jednostavni poput prilagođavanja prijenosne bitske brzine krajnjih uređaja ili pak složeni kao centralni sustav za upravljanje propusnim opsegom.

RTCP protokol definiran je s namjerom da podrži veliki broj funkcionalnosti uključujući kontrolu RTP sesija, nadzor kvalitete i sinkronizaciju više RTP tokova medija. RTCP se temelji na periodičkom prijenosu kontrolnih paketa između svih sudionika sesije. Primarna funkcija RTCP protokola je osiguranje povratne informacije o kvaliteti prijema vremenski osjetljivih podataka uporabom izvještaja pošiljatelja (Sender Report, SR) i izvještaja primatelja (Receiver Report, RR). Korištenjem ovih upravljačkih poruka RTCP protokol vrši prikupljanje i razmjenu statističkih podataka kao što su ukupan broj prenesenih RTP paketa i okteta, ukupan broj izgubljenih RTP paketa, kašnjenje paketa i sl. Na temelju prikupljenih informacija pošiljatelj se može prilagoditi dinamičkim promjenama mreže (npr. korištenjem tehnika adaptivnog kodiranja, povećanjem redundantnosti i formata za niskopropusno kodiranje), a primatelj utvrditi razmjeru eventualno nastalog zagušenja u mreži.

25

3.3. MGCP – Media Gateway Control Protocol

MGCP, opisan u RFC 2705, segmentira funkcionalnost tradicionalnog govornog switch-a u tri funkcionalna dijela: media gateway, media gateway controler i signalizacijski gateway slika 16. Ovo omogućuje mrežnim upraviteljima da upravljaju svakim od VoIP gateway-a neovisno kao posebnim dijelom [5].

MGCP je master-slave kontrolni protokol koji koordinira akcije media gateway-a. Media gateway controler , također poznat kao agent poziva, upravlja signaliziranjem kontrolnih informacija povezanih s pozivom. Media gateways informira media gateways controler o servisnim događajima. Agent poziva daje upute media gateway-u za uspostavljanje i prekidanje konekcije kada su pozivi generirani. U mnogim slučajevima agent poziva informira media gatewaya da uspostavi RTP sesiju između krajnjih korisnika.

Slika 16. MGCP koordinira Media Gateways

3.4. Megaco/H.248

Megaco/H.248 novi je standard nastao kao rezultat suradnje IETF i ITU standardizacijskih tijela. Megaco arhitektura definira media gateways koji omogućava konverziju medija i izvor (odakle poziv potiče) poziva, dok media gateways controler omogućava kontrolu poziva. Arhitektura je vrlo slična MGCP protokolu [5].Megaco definira seriju transakcija koordiniranih od media gateways controler-a za uspostavu poziva. Njegov primarni zadatak je standardiziranje IP telefonske opreme.

26

4. Forenzika VoIP-a

4.1. Uvod

Forenzika ili forenzična znanost je interdisciplinarna znanost koja podrazumijeva primjenu metoda i tehnika prirodnih znanosti, te znanstvene analize, dokumentiranja, priznavanja, prepoznavanja, individualizacije i procjene fizičkih dokaza koji se koriste u pravnom postupku.

Riječ forenzika potječe od latinskog pridjeva forensis (od ili ispred foruma) tj. raspravljanje o nedjelu iznošenjem argumenata tužitelja i optuženog pred grupom javnih osoba, od kuda i dvostruko značenje u današnjoj upotrebi, kao pravni dokaz i javno predstavljanje.

Moderna forenzika vuče svoje korijene od izrade prvih kemijskih testova za otkrivanje otrova (arsena), klasifikacije otisaka prstiju, fizikalne analize povezivanja metka i oružja, korištenjem mikroskopa u raznim analizama do modernih forenzičkih laboratorija koji koriste visoko-tehnološke alate za DNA analize i digitalne tehnike otisaka prstiju s mogućnošću računalnog pretraživanja.

Razvojem računalne tehnologije dolazimo u situaciju da je potrebno detaljno analizirati rad računala i računalni promet kako bi se unaprijedio rad mreža, simulirao rad mreža koje se namjeravaju implementirati, poboljšali sigurnosni mehanizmi postojećih mreža, otkrivale nelegalne aktivnosti, vršile različite analize prometa na zahtjev od za to ovlaštenih ustanova (policija, vojska, sudstvo, …) itd. Da bi se postigli prije spomenuti ciljevi razvijena je posebna grana forenzike tzv. računalna forenzika.

4.2. Računalna forenzika

Računalnu forenziku (često nazivana i digitalna forenzika) čine metode prikupljanja, pretraživanja, analize i prezentacije dokaza koji se mogu naći na računalima, serverima i računalnim mrežama [20]. Najčešće se koristi u postupcima sudskog dokazivanja (ali i u postupcima unutar korporacija, u okviru upravljanja tehničkim i ljudskim resursima), a sastoji se od niza analitičkih metoda za otkrivanje, prikupljanje, ispitivanje i skladištenje podataka, te često podrazumijeva ispitivanje računalnih sustava kako bi se utvrdilo njihovo korištenje u ilegalnim ili neovlaštenim aktivnostima poput krađe poslovnih tajni, uništavanja intelektualnog vlasništva ili prijevare. Računalni sustavi sadržavaju značajne količine podataka koji se mogu iskoristiti kao dokazni materijal (log files, backup files, hidden files, history files, audio/video files, database files, printer files itd.). Metodama računalne forenzike moguće je pronaći takav dokazni materijal, te obrisane ili izgubljene podatke (i u slučaju namjernog uništavanja).

Računalnu forenziku možemo promatrati kao mrežnu forenziku (ovdje opet možemo razlikovati forenziku žičnih i bežičnih mreža) i forenziku pojedinačnog računala (radna stanica ili server).

Za otkrivanje i ispitivanje podataka prilikom rješavanja sigurnosnog incidenta i forenzičke analize obično se koriste forenzički računalni programi i uređaji. Specifični

27

programi i uređaji su vrlo skupi i često se mogu nabavljati od strane samo za to ovlaštenih ustanova (policija, vojska, specijalizirane državne agencije i sl.), ali i od tvrtki koje žele analizom rada (ili simulacijom rada) računalnih mreža poboljšati njihovo djelovanje, poboljšati sigurnosne mehanizme mreže odnosno otkriti sigurnosne propuste i napade na mrežu. U nastavku je dan kratak pregled takvih programa podijeljenih u nekoliko osnovnih skupina:

- programski paketi za stvaranje preslika čvrstog diska. Njihovom upotrebom moguće je kopirati podatke i sačuvati način na koji su datoteke organizirane, kao i njihove međusobne veze.- alati za rekonstrukciju programskih paketa i sklopovlja – takvim je alatima moguće kopirati i rekonstruirati čvrste diskove bit po bit. Alati ne mijenjaju, odnosno ne uništavaju, postojeće podatke u procesu rekonstrukcije. Primjer forenzičkog alata koji nudi ovu opciju je EnCase- alati za rukovanje sažetcima poruka (eng. hash) – koriste se za uspoređivanje izvornih podataka sa kopijama, analizu podataka te dodjelu jedinstvene oznake. Ako su sažetci izvornika i kopije jednaki, kopija npr. čvrstog diska je savršena replika izvornika. Alat koji nudi opciju rukovanja sažetcima poruka je ProDiscover- programi za dohvaćanje obrisanih podataka – koriste se za otkrivanje lokacije podataka na računalu koji su označeni za brisanje, ali još uvijek nisu prepisani. Podaci koji nisu prepisani mogu se dohvatiti, no takvi podaci ne moraju uvijek biti cjeloviti i pohranjeni na istom mjestu. Primjeri spomenutih programa su DT Utilities Digital Rescue, Recover My Files.- programi za dekriptiranje i otkrivanje zaporki – primjeri takvih programa su FileZilla, CrypoTools.- programi za analizu mrežnih protokola i prometa. Primjeri takvih programa su Wireshark, WinDump (koristi ime tcpdump za Linux operativne sustave), Snort itd.- programi za detekciju bežičnih mreža zasnovanih oko standarda 802.11 (Netstumbler)- programi za analizu bežičnog prometa

4.3. Mrežna forenzika

Pod mrežnom forenzikom se podrazumijeva prikupljanje, snimanje i analiza mrežnih događaja. Svrha analize prometa može biti:

- Nadziranje iskorištenosti kapaciteta u konvergentnoj mreži i planiranje daljnjeg razvoja- Identificiranje i uklanjanje pogreški u mrežnom okruženju- Mjerenje i izvještavanje o iskorištenosti mrežnih resursa - Izvještavanje o ispunjavanju zahtjeva definiranih SLA ugovorom (Service Level Agreement)

Zavisno od količine podataka koje je potrebno prikupljati mogu se koristiti mrežna računala kod kojih mrežna kartica radi u tzv. promiscuous mode. U ovom modu mrežna kartica prikuplja sav mrežni promet (tzv. packet Sniffers), a ne samo onaj koji je na nju adresiran slika 17. Nova mrežna rješenja su zasnovana oko switch-a (ne više oko hub-ova) tako da se javlja problem snimanja ukupnog mrežnog prometa (promet se adresira na port kojem je namijenjen). Moderni switch-evi tzv. „menaged switches“ imaju monitor mod koji omogućuje konfiguriranje pojedinih

28

portova kao tzv. monitor portova i kopiraju željeni ili cjelokupni promet na taj port. Ovu tehniku različiti proizvođači mrežne opreme nazivaju različitim imenima npr. Cisco to naziva SPAN - Switched Port Analyzer, 3Com za to ima ime „Roving Analysis“, a HP Monitor Port.

Slika 17. Kontrola prometa korištenjem tzv. monitor porta

Također postoje i vrlo kompleksna rješenja slika 18. koja se mogu koristiti u različite svrhe kao što su nadziranje prometa od strane ovlaštenih državnih agencija, nadziranje prometa od strane bankarskih i drugih financijskih institucija koje raspolažu vrlo osjetljivim podacima i sl. Mrežni forenzični proizvodi koji ovo omogućavaju nazivaju se Network Forensic Analysis Tools (NFATs) [7]. Poznatiji alati koji se mogu koristiti u ovu svrhu su: Windump(Tcpdump), Wireshark (Ethereal), InfiniStream, NetIntercept, NetDetector (Snort), NetWitness itd. Mrežni forenzični sustavi se mogu podijeliti u dvije skupine:

Slika 18. Presretanje cjelokupnog mrežnog prometa

29

- svi paketi koji prolaze kroz određeni mrežni element prikupljaju se i snimaju. Analiza se vrši naknadno i potrebna je velika količina medija za pohranu.

- svi paketi se analiziraju u memoriji i samo određeni, koji zadovoljavaju kriterije pretrage, se snimaju. Ovaj pristup zahtjeva puno manje medija za pohranu, ali zahtijeva brže procesore kako bi mogao analizirati nadolazeći promet.

Kod prvog pristupa pojavljuje se problem s privatnošću jer se prikupljaju svi podaci (uključujući i korisničke podatke). Pružateljima internetskih usluga je zbog tog zabranjeno prisluškivanje ili otkrivanje presretenog prometa izuzev uz odobrenje samog korisnika za ograničeno nadziranje ili sudskom odlukom o prisluškivanju internet prometa. Analizom prikupljenih podataka može se rekonstruirati internet promet kao što je: email, webmail, IM-Yahoo, MSN, File-transfer (FTP), File-fransfer (P2P), HTTP, Telnet, VoIP.

4.4 Forenzika VoIP-a

U prethodnom poglavlju izložena je problematika i složenost forenzike u mrežnoj i računalnoj tehnologiji. U daljnjem izlaganju pažnja će se obratiti na jedan segment te tehnologije, a to je VoIP. Također u okviru VoIP-a imao nekoliko standarda koji se trenutno koriste (najpoznatiji SIP i H.323), te još nekoliko specifičnih rješenja kao Spype i GoogleToolk. Također, kako je prethodno spomenuto, postoje različiti razlozi zbog kojih se vrši analiza (forenzika) mrežnog prometa.

4.4.1. Forenzika VoIP sustava u realnom vremenuJedan od zadataka VoIP forenzike je analiza mrežnog prometa u cilju

otkrivanja i rekonstrukcije ponašanja napadača te zaštita sustava od različite vrste unutarnjih i vanjskih napada u realnom vremenu kao i prikupljanje podataka u cilju rekonstrukcije obavljenog VoIP poziva.

Sustav za VoIP forenziku u realnom vremenu [10,11,12] temelji se na prikupljanju mrežnih podataka u VoIP okruženju, prikupljanje podataka o VoIP signalizaciji i paketima govora, IDS logovi, system logovi i sl. te korištenje automatskih procedra kao odgovor na sigurnosne incidente. Poseban hardver ( Evidence Collector) se ugrađuje u okolinu ključnih djelova VoIP sustava koji služi za prikupljanje spomenutih podataka. Prikupljeni podaci se filtriraju kako bi bilo što manje redundantnih i nepotrebnih podataka (smanjenjem količine podataka skraćuje se vrijeme reakcije na sigunosni incident) te šalju zaštićenom rutom do forenzičkog servera (forenzički server je mehanizam koji služi za obradu i pohranu prikupljenih podataka kako bi kreirao odgovor na sigurnosni incident u realnom vremenu) slika 19.

30

Slika 19. princip prikupljanja podataka

Dinamika djelovanja je sljedeća u trenutku kada IDS detektira napad na neki od djelova VoIP sustava šalje alarm forenzičkom serveru koji pak šalje poruku Evidence Collector-u da pokrene prikupljanje podataka. Ovako prikupljeni i filtrirani podaci služe forenzičkom serveru za otkrivanje i rekonstruiranje ponašanja napadača na VoIP sustav slika 20.

Slika 20. dinamika djelovanja forenzičkog servera

31

4.4.2. Analiza VoIP prometaVoIP kao nova i složena komunikacjska tehnologija postala je vrlo popularna

za ilegalne aktivnosti tako da kriminalci komuniciraju preko VoIP-a i na taj način pokušavaju izbjeći presretanje njihovih poziva od strane za to ovlaštenih ustanova. Zakonska regulativa u ovom području vrlo je striktna jer se radi o osnovnim ljuskim pravima i slobodama te je potrebno biti vrlo pažljiv kako se ne bi u želji da se ostvari probitak na jednom planu postigli negativan učinak na drugom.

Pod forenzikom VoIP sustava podrazumjeva se i presretanje govornih paketa i paketa signalizacije iz kojih se mogu isčitati podaci o komunikaciji (pozivatelj, pozivana osoba, vrijeme poziva, trajanje poziva, IP adrese, MAC adrese i sl) i rekonstrukcijom snimljenih paketa sami sadržaj komunikacije. U ovom razmatranju pažnja će biti posvećena upravo ovom djelu kojeg će mo zvati zakonito presretanju VoIP komunikacija (eng. Lawful Interception - LI) u cilju iznalaženja mogućnosti prikupljanja podataka po naredbi suda ili od za to ovlaštenih ustanova (eng. Law Enforcement Agencies - LEA) [24].

Lawful interception dozvoljava LEA da presreću glasovni i podatkovni promet koji je generiran ili usmjeren prema određenom korisniku (pretplatniku). Uobičajeno je da LEA šalje zahtjev prema operatoru za nadgledanje određenog korisnika. Nadgledaju se informacije o konekciji i preneseni promet koji se odnosi na određenog pretplatnika. LI mora biti implemetirano tako da ne utječe na performanse mreže pretplatnika kojem se promet nadgleda tako da on ni na koji način ne može posumljati da se njegov priključak nadgleda. Cjelokupni promet nadziranog pretplatnika mora se moći dostaviti LEA što iziskiva od operatora da ovakve zahtjeve moraju uzimati u obzir kod određivanja performansi mreže.

Forenzika u VoIP tehnologiji ima za cilj na osnovu podataka koji su zabilježeni o VoIP pozivu, a koji se nalaze u logovima VoIP telefona, VoIP davatelja usluga (register, location i proxy serveri), router-ima i sl., dokazati ili opovrgnuti komunikaciju između jednog ili više sudionika. Zatim se želi omogućiti da za to ovlaštena tijela mogu presresti VoIP poziv, te dobiti uvid u sadržaj komunikacije slika 21. Ovaj podatak (sadržaj komunikacije) može se dobiti naknadnom obradom podataka iako je poželjno da se sadržaj komunikacije dobiva u realnom vremenu.

Jedan od izazova VoIP forenzike je implementiranje sigurnosnih mehanizama u sustav za prikupljanje podataka, kao i izbor mehanizama koji bi jamčili vjerodostojnost prikupljenih podataka (npr. hash funkcije) kako bi se mogli koristiti u eventualnom dokaznom postupku.

32

Slika 21. shematski prikaz presretanja komunikacije

Kod prikupljanja podataka i presretanju (prisluškivanju) VoIP prometa pojavljuju se razni problemi koji korijene vuku iz vrlo raznolike tehnike pristupa internetu (campus network, General Packet Radio Services GPRS, Wi-Fi 802.11, WiMAX 802.16, ADSL, optika i sl.) i dinamičkog pridjeljivanja adrese pozivatelju ili pozivanoj osobi koji se često nalaze iza Network Address Translation (NAT) router-a. Izuzev nazovimo ovog tehničkog djela problema, postoji i pravni kojim je potrebno definirati kako će mjerodavno tijelo doći, na zakonit način, do traženog podatka. Istraživanjem VoIP poziva potrebno je odrediti pozivatelja i pozivanu osobu odnosno njihovu lokaciju. U cilju postizanja spomenutog cilja potrebna je suradnja Network Operators, Access Providers i Service Providers (NWO/AP/SvP) koji moraju snimati određene, unaprijed zadane, značajke prometa. Pozivatelj i pozivana osoba mogu se naći u okviru mreže jednog te istog davatelja usluge, dok je češći slučaj da se pozivatelj i pozivana osoba nalaze kod različitih davatelja usluga. Određivanje parametara po kojima se promet snima MAC adresa (problematično jer se može vrlo lako promjeniti), IP adresa ili broj VoIP priključka je također zahtjevan postupak jer nam on praktično određuje koliko cjelokupni postupak ima smisao. Vrlo je važan i podatak o mobilnosti korisnika VoIP usluge. Ukoliko korisnik VoIP telefoniju koristi tek kao zamjenu za standardni analogni priključak tada je prikupljanje podataka o VoIP prometu vrlo slično klasičnoj PSTN telefoniji. Kada govorimo o mobilnim korisnicima VoIP usluga problem se usložnjava, kako zbog tehnologije pristupa internetu, tako i po pitanju pristupa resursima na kojima su podaci o komunikaciji pohranjeni (VoIP davalac usluge i ISP mogu biti na različitim kontinentima). Lagano kreiranje i korištenje novog VoIP identiteta enormno otežava određivanje ciljane VoIP komunikacije.

33

Podaci o pozivu se u različitim fazama prijave korisnika i uspostave poziva zapisuju u različite baze podataka [16] tako da se dio podataka može zapisivati u log samog telefona, zatim dio u:

- SIP Registrar Server

- SIP Proxy Server

- NAT/DHCP ruter

Cilj analize VoIP prometa može biti i otkrivanje prikrivene komunikacije tzv. steganography. Osim odvijanja javne govorne konverzacije VoIP je zbog sve veće zastupljenosti pogodan za odvijanje prikrivene komunikacije kroz IP mrežu i na taj način inicira sigurnosni incident [17]. Jedan od načina prikrivene komunikacije je umetanje „tajnih“ podataka u redundantna polja IP/TCP/UDP/RTP protokola te njihovo prenošenje na odredišnu stranu. Drugi mogući način je namjerno kašnjenje slanja pojedinih paketa podataka na izvorišnoj adresi kako bi na odredištu bili odbačeni zbog prevelikog kašnjenja, no ne i od strane posebnih algoritama koji te pakete koriste za prikrivenu komunikaciju.

34

4.5. Zakonska praksa - zakonito presretanje komunikacija

4.5.1. Međunarodna praksa (SAD, Velika Britanija, Njemačka)Interes koji su pokazale vlade širom svijeta za pitanje prisluškivanja i

presretanja svih oblika IP komunikacija znatno je porastao nakon 11.09.2001. g. kada se potvrdilo da je AlQaeda koristila Internet i druge napredne komunikacijske tehnologije za planiranje napada. Unatoč tome tek manji broj zemalja uspio je promijeniti svoja zakonodavstva i proširiti policijske ovlasti kako bi se suočili s narastajućom upotrebom novih tehnologija: e-maila, mobitela, Interneta i DSL usluga za počinjenje kaznenih djela, dok je većina, unatoč dostupnosti naprednih tehnologija za prisluškivanje i presretanje komunikacija naišla na brojne pravne i tehničke poteškoće slika 22. Američki Kongres je tako 2001. g. donio Patriotski zakon, Njemačka vlada Uredbu o presretanju telekomunikacija (2202), Britanska vlada Uredbu 1931 prema kojoj je davatelj usluga obavezan tehnički omogućiti stalno presretanje komunikacija, te je 2001. g. održana Konvencija Vijeća Europe o Internet kriminalu koja zemlje potpisnice obvezuje na usvajanje zakonodavnih mjera kojima su davatelji Internet usluga dužni omogućiti presretanje komunikacija u realnom vremenu i dostaviti informacije o tome na zahtjev zemlje potpisnice, te im omogućuje zajedničku suradnju u borbi protiv Internet kriminala [28,30,31,32,33,34]. Izazovi s kojima se suočavaju policijske službe predstavljaju paketni oblici komunikacija u kojima se sadržaj bilo kakve poruke, (pr.email, web stranica) prije dostave, dijeli na pakete, od kojih svaki može krenuti različitim smjerom na Internetu, a spajaju se tek po dolasku na odredište. Štoviše, davatelji internet usluga (ISP) većinom ne evidentiraju stranice koje njihovi korisnici posjećuju ili su suzdržani u praćenju komunikacijskog prometa korisnika. Stoga u cilju presretanja ove vrste komunikacija policijske službe su prisiljene instalirati opremu za stalni nadzor na svaku pojedinu mrežu, ili uz ovlaštenje tražiti od davatelja usluga da sam instalira opremu kojom će se sva komunikacija, prije slanja, usmjeriti na uređaj za snimanje.

Slika 22. Zakonski i tehnički preduvjeti za zakonito prisluškivanje

Pravni status zakonski ovlaštenog elektronskog nadzora IP komunikacija u SAD regulira se Odredbama Zakona iz 1986. g. („Glava 3.“), Zakonom o privatnosti elektronskih komunikacija („ECPA“) iz 1985. g. dopunjenim Patriotskim zakonom iz

35

2001. I dok se prvim zakonom regulira presretanje „sadržaja“ komunikacija, „žičnih“ ili „elektronskih“, drugi omogućuje uvid u „podatke vezane uz njeno upućivanje“ (informacija o primatelju ili pošiljatelju maila ili pozivanim brojevima). Primjena „žične komunikacije“ na IP komunikacije temelji se na činjenici da njena definicija podrazumijeva „slušni prijenos izvršen...pomoću žice, kabela ili drugom sličnom vezom“ tj .bilo koji oblik komunikacije koji ima komponentu ljudskog glasa, pa stoga i bilo koja IP komunikacija, poput prijenosa glasa IP telefonskih usluga (VOIP), može biti predmet ovlaštenog policijskog presretanja . Također, jasno se može povući veza između „elektronskih komunikacija“ definiranih kao „prijenos znakova, signala, teksta, slika, zvukova, informacija ili podataka bilo kakve vrste“ i svih ne-glasovnih oblika IP komunikacija, kao što su promet Internet-om i e-mailom. Stoga se zakonske ovlasti američke policije odnose upravo na presretanje svakog „pozivanja, usmjeravanja, adresiranja, ili signaliziranja informacije dostavljene pomoću uređaja ili sredstava za slanje žične ili elektronske komunikacije“, što uključuje i Internet korisnički račun ili e-mail adresu, kao i IP adresu ili informaciju o pošiljatelji i primatelju e-maila. Ipak kako bi dobio ovlaštenje za uvid u sadržaj neke IP komunikacije, policijski službenik mora sudu dokazati da postoji „vjerojatni uzrok“na temelju kojeg vjeruje da bi se presretanjem dokazalo jedno od utvrđenih prekršaja sadržanih u Članku 18, U.S.C, te da su se uobičajene istražne radnje iscrpile, pokazale neuspješnima ili preopasnima; da se iz opravdanog razloga vjeruje da su komunikacijska sredstva koja će se prisluškivati već korištena za počinjenje kaznenog djela ili ih osumnjičena osoba uobičajeno koristi; ili da će se nadzor obaviti na način da se presretanje komunikacija koje ne pružaju dokaz o kaznenom djelu svede na najmanju mjeru. Policijski djelatnici također, kada je riječ o „žičnim komunikacijama“ trebaju zatražiti ovlaštenje od Ministarstva pravosuđa, a u slučaju „elektronskih komunikacija“ postupiti u skladu sa pravosudnom praksom Ministarstva prije primjene uredbe iz Glave 3. Po odobrenju Ministarstva pravosuđa i dobivanju potpisa od suca Američkog oblasnog i Prizivnog suda , policijski službenik može do mjesec dana ovlašteno prisluškivati. Ovlašteno prisluškivanje može se odobriti i do 60 dana ukoliko policija prije podnošenja zahtjeva sudu dokaže da je očekivana informacija „relevantna“ za istragu. Također, sukladno Patriotskom zakonu može se ovlašteno prisluškivati bilo gdje u Americi, čak i izvan područja nadležnosti suda koji izdaje ovlaštenje. Američki zakon razlikuje usluge klasificirane kao „usluge informiranja“ tj.„bilo koja usluga koja korisniku omogućuje slanje ili primanje žične ili elektronske komunikacije“ uključujući i elektronsku poštu, a koje se reguliraju Zakonom o privatnosti komunikacija (ECPA) i usluge koje pružaju „nositelji telekomunikacija“ tj. bilo koji davatalj usluge paketnog prospajanja ili prijenosa komunikacija uključujući i IP, a koje se reguliraju Komunikacijskom podrškom Zakona o policiji CALEA (Communications Assistance for Law Enforcement Act) i slične su uslugama poput Verzion ili AT+T.Upravo kako bi se Zakon CALEA mogao odnositi i primjenjivati na sve vrste IP usluga Federalna komisija za komunikacije (Federal Communication Commission - FCC) odlučila je 2004. g. da IP usluge podrazumijevaju i VoIP usluge dostupne javnosti kao sredstvo komuniciranja sa bilo kojim telefonskim pretplatnikom, uključujući i usluge dostupne putem javne prespojne telefonske mreže. Također, FCC je odredila da nositelji IP telekomunikacija moraju ujedno biti u stanju, uz osnovne podatke o pozivanju i usmjeravanju izdvojiti i dostaviti podatke o čekanju, spajanju i prekidu konferencijskog pozivanja, te informaciju o vremenu i biranom broju. Stoga svi proizvođači opreme za prijenos i prospajanje telekomunikacija obvezni su udovoljiti zahtjevima navedenim u Zakonu

36

CALEA kako bi se izbjegle i utvrđene kazne koje mogu iznositi i do $10000 dnevno bilo da se odnose na proizvođače ili vlasnike telekomunikacijskih usluga.

Presretanje i snimanje IP komunikacija njemačko zakonodavstvo regulira Zakonom G-10, kaznenim zakonom, te Zakonom o vanjskoj trgovini i plaćanju (FTPA), čija se primjena temelji na definiciji pojma „telekomunikacije“ sadržanom u Njemačkom zakonu o telekomunikacijama (TKG), koji podrazumijeva „tehnički proces slanja, prijenosa i primanja bilo kakve vrste poruke u obliku znakova, glasa, slika, ili zvukova pomoću telekomunikacijskih sustava.“ Razvidno je da se pojam „telekomunikacije“ tako odnosi na sve vrste IP komunikacija, pa tako i VoIP, podatkovne usluge poput web hosting-a, e-maila i Internet usluga. Primjena zakona na IP komunikacije dodatno se regulira i Tehničkom uredbom TR TKU u kojoj se navode tehnički detalji o presretanju komunikacija. Federalne službe dužne su u skladu sa navedenim zakonima zatražiti od suca ( ili u slučaju opravdane žurnosti od Ureda državnog tužitelja) ovlaštenje za presretanje i snimanje telekomunikacija, na temelju „sumnje“ da je osoba „počinitelj“ ili da „potiče ili sudjeluje“ u obavljanju kaznenih djela, koja uključuju i prijetnju nacionalnoj sigurnosti i krvoproliće, sukladno Kaznenom i FTPA Zakonu. Ovlaštenje za prisluškivanje izdaje se u pismenoj formi i sadrži podatke o „načinu, vrsti i dužini trajanja“ mjere nadzora koja se može provoditi bilo gdje u trajanju od 3 do 6 mjeseci, a aktivnost federalnih službi nadzire Parlamentarni nadzorni odbor i posebna G-10 Komisija. Također, Njemačko zakonodavstvo obvezuje svakog operatera „telekomunikacijskog sustava koji trećoj osobi omogućuje mrežni pristup njegovom sustavu“ da policijskoj službi dostavi: „informaciju o posebnim okolnostima telekomunikacija“; „ e-mail prometu“; da „omogući presretanje i snimanje telekomunikacija“, te „pristup mreži za prijenos dobivene informacije“ tj. da dostavi kopiju o ukupnom toku informacija na svojoj mreži.

Po pitanju presretanja i snimanja komunikacija policijske službe u Velikoj Britaniji djeluju u skladu sa Zakonom o istraživaškim ovlastima (2000) (RIPA) koji je kao i u drugim zemljama, zbog razvoja novih komunikacijskih tehnologija, bio nužna dopuna postojećim zakonima. Zahvaljujući ovom Zakonu policijske službe u Velikoj Britaniji ovlaštene su presretati sadržaj „bilo koje komunikacije koja se prenosi pomoću javne telekomunikacijske usluge“. Pojam „komunikacije“ pak podrazumijeva „ bilo kakav govor, glazbu, zvukove, vizualne slike ili podatke o bilo kakvom opisu; i ...znakove koji služe za bilo kakvo priopćavanje među osobama , između osobe ili stvari, između stvari, ili za aktiviranje ili upravljanje bilo kakvim uređajem.“ Zakon omogućuje presretanje sadržaja bilo koje IP komunikacijske usluge koja je dostupna „znatnom dijelu“ stanovništva V. Britanije, a podrazumijeva i glasovne usluge, email, web hosting i Internet pristup. Uz ovlasti presretanja i snimanja komunikacija , policijske službe također su ovlaštene presretati i „komunikacijske podatke“ vezane uz „komunikaciju“ poput podataka o pozivanju, usmjeravanju,i signaliziranju informacije povazane s telefonskim pozivom ili mailom. Također, od davatelja komunikacijske usluge (CSP), a na temelju naloga za presretanje sadržaja kojeg izdaje ministar unutarnjih poslova , policijske službe ovlaštene su zatražiti uvid u sve komunikacijske podatke koji su „dobiveni ili su povezani sa“ „komunikacijom“ koja se presreće, tj. uvid kako u sadržaj tako i u prateće informacije o bilo kojoj IP komunikaciji. Zakon RIPA također omogućuje određenim vladinim dužnosnicima i policijskim službama tj. „bilo kojoj osobi koja predstavlja ovlašteno tijelo države ili teritorija izvan V. Britanije, a u skladu sa sporazumom o međunarodnoj međusobnoj

37

suradnji“ da zatraži nalog za presretanje komunikacije. Navedeni službenici moraju prethodno dokazati ministru unutarnjih poslova da je „presretanje komunikacije razmjerno cilju koji se želi postići“ i „nužno“ kako zbog interesa nacionalne sigurnosti tako i zbog spriječavanja ili otkrivanja teških zločina, očuvanja gospodarske stabilnosti V. Britanije, te da je zahtjev u skladu s odredbama bilo kojeg međunarodnog sporazuma o zajedničkoj suradnji. Većina naloga izdaje se za razdoblje od tri mjeseca iako zakon omogućuje obnavljanje naloga, i produženje mjere u nekim slučajevima i do 6 mjeseci. Kao protuteža naočigled širokim ovlastima presretanja IP komunikacija Zakon RIPA zabranjuje da se bilo koja informacija, prikupljna na temelju naloga, (koja podrazumijeva i sadržaj i podatak o prometu povezan uz telefonske pozive, mailove i internet stranice) koristi kao dokaz na sudu, te je na taj način primjena ograničena samo na prikupljanje obavještajnih podataka. Sukladno Zakonu RIPA Povjerenik za presretanje komunikacija odgovoran je za zakonitost postupanja kako ministra unutarnjih poslova tako i drugih ovlaštenih službi. Britansko zakonodavstvo također različito obvezuje davatelje IP komunikacijskih usluga čiji broj korisnika prelazi 10000, od onih koji imaju manje korisnika, te toga nisu obvezni udovoljavati nikakvim nikakvim posebnim tehničkim zahtjevima stalnoj mogućnosti nadzora. Tako se od „malih“ davatelja usluga očekuje tek da policijskoj službi omogući instaliranje vlastite opreme (snifer's) u svoju mrežu. Obaveze velikih davatelja usluga podrazumijevaju mogućnost presretanja kako komunikacija tako i pripadajućih podataka u stvarnom vremenu, mogućnost istovremenog prijenosa informacije do određene točke prekapčanja unutar mreže, mogućnost istovremenog presretanja jedne od 1 od 10000 osoba.

4.5.2. Zakonski propisi Republike HrvatskeU hrvatskoj ovu problematiku definira Zakon o elektroničkim komunikacija „NN“ 73/08 od 24.06.2008. g. poglavito u poglavlju XII. Zaštita podataka i sigurnost elektroničkih komunikacija (članci 99, 100,108, 109 i 110.) te Zakon o sigurnosno-obavještajnom sustavu Republike Hrvatske „NN“ 79/06 od 17.07.2006. g. (članci 18. i 19). Kazneni progon je definiran Zkonom o kaznenom postupku „NN“ 62/03 od 14.03.2003. g. (članci190,191,192193 i 194) i Kaznenim zakonom „NN“ 110/97 (članak 131.). Procedura za pokretanje zakonitog prisluškivanja je sljedeća: državni odvjetnik predaje prijedlog za pokretanje istražnom sudcu koji nakon provjere osnovanosti donosi pisani obrazloženi nalog. Nalog izvršavaju redarstvene vlasti u suradnji s operativno-tehničkim centrom za nadzor telekomunikacija. U nastavku su navedeni najiteresantniji djelovi članaka ovih zakona [30,31,32,33].

Članci iz Zakona o elektroničkim komunikacija:

Članak 100.(1) U svrhu osiguravanja tajnosti elektroničkih komunikacija i pripadajućih prometnih podataka u javnim komunikacijskim mrežama i javno dostupnim komunikacijskim uslugama, zabranjeno je slušanje, prisluškivanje, pohranjivanje te svaki oblik presretanja ili nadzora elektroničkih komunikacija i pripadajućih prometnih podataka, osim u slučajevima iz članka 108. ovoga Zakona te u slučajevima utvrđenima posebnimzakonima.

Članak 108.(1) Operatori javnih komunikacijskih mreža i javno dostupnih elektroničkih komunikacijskih usluga moraju o vlastitom trošku osigurati i održavati funkciju tajnog

38

nadzora elektroničkih komunikacijskih mreža i usluga, kao i elektroničke komunikacijske vodove do operativno-tehničkog tijela nadležnog za nadzor elektroničkih komunikacija u skladu s posebnim zakonom kojim je uređeno područje nacionalne sigurnosti.(2) Obveze operatora javnih komunikacijskih mreža i javno dostupnih elektroničkih komunikacijskih usluga prema nadležnom tijelu iz stavka 1. ovoga članka i prema tijelima koja su ovlaštena za primjenu mjera tajnog nadzora elektroničkih komunikacijskih mreža i usluga, u skladu s posebnim zakonima iz područja nacionalne sigurnosti i kaznenog postupka, utvrđuju se tim zakonima i posebnim propisom koji uređuje obveze operatora u području nacionalne sigurnosti.

Članak 109.(1) Operatori javnih komunikacijskih mreža i javno dostupnih elektroničkih komunikacijskih usluga obvezni su zadržati podatke o elektroničkim komunikacijama iz članka 110. ovoga Zakona u svrhu omogućivanja provedbe istrage, otkrivanja i kaznenog progona kaznenih djela u skladu s posebnim zakonom iz područja kaznenog postupka te u svrhu zaštite obrane i nacionalne sigurnosti u skladu s posebnim zakonima iz područja obrane i nacionalne sigurnosti.(2) Operatori iz stavka 1. ovoga članka obvezni su zadržati podatke iz stavka 1. ovoga članka u izvornom obliku ili kao podatke obrađene tijekom obavljanja djelatnosti elektroničkih komunikacijskih mreža i usluga. Operatori nemaju obvezu zadržavanja podataka iz stavka 1. ovoga članka koje nisu proizveli niti obradili.(3) Operatori iz stavka 1. ovoga članka obvezni su zadržati podatke iz stavka 1. ovoga članka u razdoblju od dvanaest mjeseci od dana obavljene komunikacije, bez obzira na odredbe članka 102. stavka 1. i 2. ovoga Zakona.

Članak 110.(1) Obveza zadržavanja podataka iz članka 109. ovoga Zakona obuhvaća sljedeće vrste podataka:– podatke potrebne za praćenje i utvrđivanje izvora komunikacije,– podatke potrebne za utvrđivanje odredišta komunikacije,– podatke potrebne za utvrđivanje nadnevka, vremena i trajanja komunikacije,– podatke potrebne za utvrđivanje vrste komunikacije,– podatke potrebne za utvrđivanje korisničke komunikacijske opreme ili opreme koja se smatra korisničkom komunikacijskom opremom,– podatke potrebne za utvrđivanje lokacije pokretne komunikacijske opreme.(2) Zadržani podaci iz stavka 1. ovoga članka obuhvaćaju i podatke koji se odnose na neuspješne pozive, pri čemu nema obveze zadržavanja podataka o pozivima koji uopće nisu bili uspostavljeni.(3) Zabranjeno je zadržavanje podataka koji otkrivaju sadržaj komunikacije.(4) Podrobnije odrednice o pojedinim vrstama zadržanih podataka iz stavka 1. ovoga članka utvrđuju se posebnim propisom koji uređuje obveze operatora u području nacionalne sigurnosti, u skladu s mjerodavnom direktivom Europske unije o zadržavanju podataka.

Članci iz Zakona o sigurnosno-obavještajnom sustavu Republike Hrvatske:

Članak 18.(1) Radi obavljanja aktivacije i upravljanja mjerom tajnog nadzora telekomunikacijskih usluga, djelatnosti i prometa te ostvarivanja operativno-tehničke koordinacije između

39

pravnih i fizičkih osoba koje raspolažu javnom telekomunikacijskom mrežom i pružaju javne telekomunikacijske usluge i usluge pristupa u Republici Hrvatskoj i tijela koja su ovlaštena za primjenu mjera tajnog nadzora telekomunikacija sukladno ovom Zakonu i Zakonu o kaznenom postupku, osniva se Operativno-tehnički centar za nadzor telekomunikacija (u daljnjem tekstu: OTC).(2) OTC u suradnji s tijelima koja su ovlaštena za primjenu mjera tajnog nadzora telekomunikacija sukladno ovom Zakonu i Zakonu o kaznenom postupku ima ovlast nadzora rada davatelja telekomunikacijskih usluga u smislu izvršenja obveza iz ovoga Zakona.

Članak 19.(1) Pravne i fizičke osobe iz članka 18. stavka 1. ovoga Zakona obvezne su o vlastitom trošku osigurati i održavati funkciju tajnog nadzora telekomunikacijskih usluga, djelatnosti i prometa iz članka 33. stavka 3. točke 1. ovoga Zakona, kao i komunikacijske vodove do OTC-a. Funkcija tajnog nadzora ostvaruje se ugradnjom odgovarajuće tehničke opreme i programske podrške u telekomunikacijski sustav pravnih i fizičkih osoba iz članka 18. stavka 1. ovoga Zakona.(2) Pravne i fizičke osobe iz članka 18. stavka 1. ovoga Zakona dužne su osigurati OTC-u uvjete za trajan i izravan pristup objektima i tehničkoj opremi te uvjete za samostalnu provedbu mjera iz članka 33. stavka 3. točke 1. ovoga Zakona uporabom odgovarajućih tehničkih sučelja. (6) Pravne i fizičke osobe iz članka 18. stavka 1. ovoga Zakona dužne su na zahtjev OTC-a dostaviti podatke o svim sredstvima za komuniciranje koja su se pojavljivala na određenoj zemljopisnoj, fizičkoj ili logičkoj lokaciji, bez obzira na postojanje telekomunikacijske aktivnosti, u razdoblju od posljednjih 48 sati.

Članci iz Zakona o kaznenom postupku:

Članak 190.(1) Ako se izvidi kaznenih djela ne bi mogli provesti na drugi način ili bi bili skopčani s nerazmjernim teškoćama, na zahtjev državnog odvjetnika istražni sudac može protiv osobe za koju postoje osnove sumnje da je sama počinila ili zajedno s drugim osobama sudjelovala u kaznenom djelu iz članka 192. ovoga Zakona odrediti mjere kojima se privremeno ograničavaju određena ustavna prava građana, i to: 1) nadzor i tehničko snimanje telefonskih razgovora, odnosno sredstava za tehničko komuniciranje na daljinu,

Članak 193.(1) Mjere iz članka 190. ovoga Zakona određuje istražni sudac pisanim obrazloženim nalogom. Nalog izvršavaju redarstvene vlasti. U nalogu se navode raspoloživi podaci o osobi protiv koje se mjere primjenjuju, činjenice iz kojih proizlazi potreba njihova poduzimanja te rok njihova trajanja koji mora biti primjeren ostvarenju njezinoga cilja kao i način, opseg i mjesto provođenja mjere. Operativno-tehnički centar za nadzor telekomunikacija u ovlaštenoj službi, koji obavlja tehničku koordinaciju s telekomunikacijskim operatorima u Republici Hrvatskoj, pri izvršenju rješenja redarstvenim vlastima, istražnom sucu i državnom odvjetniku dužan je osigurati potrebnu tehničku pomoć. Službene i odgovorne osobe koje sudjeluju u postupku odlučivanja i izvršenja mjera iz članka 190. ovoga Zakona dužne su kao tajnu čuvati sve podatke koje su saznale u tom postupku.

40

(2) Poduzete mjere mogu trajati najdulje četiri mjeseca. Na prijedlog državnog odvjetnika istražni ih sudac može produljiti iz važnih razloga za još tri mjeseca. O neslaganju između državnog odvjetnika i istražnog suca odlučuje vijeće županijskog suda (članak 20. stavak 2.) Čim prestanu pretpostavke za nadzor, istražni je sudac dužan odrediti obustavu poduzetih mjera. Ako državni odvjetnik odustane od kaznenog progona, odnosno ako podaci i obavijesti pribavljeni primjenom poduzetih mjera nisu potrebni za kazneni postupak, uništit će se pod nadzorom istražnog suca, koji će o tome sastaviti posebni zapisnik i priložiti ga spisu.

Članak 194.(1) Mjere iz članka 190. ovoga Zakona izvršavaju redarstvene vlasti. O tijeku izvršenja redarstvene vlasti sačinjavaju dnevna izvješća i dokumentaciju tehničkog zapisa koju na posebno traženje dostavljaju istražnom sucu i državnom odvjetništvu.

Članak iz Kaznenog zakona:

Članak 131. (2) Kaznom iz stavka 1. ovoga članka kaznit će se tko posebnim napravama neovlašteno prisluškuje ili snimi razgovor ili izjavu koji mu nisu namijenjeni ili tko omogući nepozvanoj osobi da se upozna s razgovorom ili izjavom koja je neovlašteno prisluškivana ili snimana ili tko neovlašteno prisluškuje ili snimi tuđe poruke u računalnom sustavu.

4.6. Moguća rješenje analize VoIP prometa

Kod VoIP tehnologije kako je već rečeno koristi se signalizacijski protokoli za ostvarivanje uspostave veze između pozivatelja i pozivane osobe dok se sadržaj komunikacije prenosi u RTP paketima. Zbog prirode interneta, paketi podataka koji se izmjenjuju između korisnika na odredište mogu doći različitim putanjama pa je potrebno sustav za presretanje podataka implementirati što bliže korisniku nadziranog VoIP priključka. Ukoliko se koriste VoIP rješenja s garantiranom kvalitetom usluge problem je utoliko manji što su podatkovni tijekovi definirani npr. RSVP (Resource Reservation Protocol) protokolom no i ovi tijekovi se mogu za vrijeme komunikacije mijenjati. Potrebno je da softversko rješenje dekodira i rekonstruira RTP promet između korisnika, podržava što veći broj standardnih CODEC-a, podržava signalizacijske protokole (SIP, H.323), omogućuje dekriptiranje komunikacijskih tijekova te omogućuje zvučnu prezentaciju RTP paketa. Iako se zbog prevelikog kašnjenja neki od paketa podataka odbacuju pri rekonstrukciji govora LEA algoritmi takve pakete moraju koristiti pri naknadnoj rekonstrukciji govornog signala jer moguće sadrže interesantne podatke.

Za svaki poziv se mogu bilježiti podaci o signalizaciji poziva, sadržaju poziva ili oboje. Signalizacija sadrži podatke o krajnjim točkama, početak poziva, kraj poziva i druge specifične informacije poziva. Sadržaj poziva je svaki podatak koji se snimi nakon uspostave poziva do prekida poziva. Ovako dobiveni podaci se mogu snimati lokalno ili slati na udaljeno računalo vodeći računa da su (podaci) na prikladan način zaštićeni od neovlaštenog pristupa za što se mogu koristiti mehanizmi kao SSL i IPSec.

41

Snimanje VoIP razgovora najjednostavnije je u blizini mjesta nastanka razgovora i što se više udaljavamo raste kompleksnost rješenja (pojavljuju se drugi mrežni uređaji) slika 23.

Slika 23. Porast kompleksnosti s udaljenosti od mjesta nastanka govora

Zavisno od signalizacijskog protokola krajnja rješenja mogu biti različita no postoje dva osnovna načina prikupljanja podataka pasivni i aktivni od kojih svaki ima određene prednosti i mane.

Pasivni način je limitiran opremom jer ciljani promet (moguće je postavljanje filtera po IP adresa/port ili MAC adresa na razini network sniffers programa kako bi se reducirala količina prikupljenih podataka) ISP-a treba preusmjeriti na monitoring port i analizirati ga. Ovdje je mogućnost kompromitacije nadziranih ciljeva manja jer se obrada podataka može raditi u izdvojenom okruženju, a ne umanjuje se ni kvaliteta usluge. Prikladan je za prikupljanje podataka u manjim do srednjim okruženjima.

Kod aktivnog načina komponente sustava (softwar-e/hardwar-e) moraju biti implementirati u mrežnim elementima davatelja VoIP usluga (gateway, servers), moraju se uspostaviti linkovi prema LEA centrima gdje se nalazi stanica za udaljeno postavljanje ciljeva i obrađuju podaci (ili samo snimaju u koliko se isporučuje obrađeni zvučni zapis) što povećava mogućnost neovlaštenog pristupa. Pri razradi mrežnog rješenja sigurnost cjelokupnog sustava mora biti na visokoj razini, a posebno treba voditi računa da se LI postavke npr. IP adresa, broj tel. priključka i sl. (koje su upisane u mrežne elemente) ne smiju kompromitirati. Usljed povećane potrebe za signalizacijom, među mrežnim elementima i ugrađenom aktivnom opremom pri uspostavi poziva, može doći do degradacije kvalitete usluge (povećanje kašnjenja, gubitka paketa, kolebanja kašnjenja). Prikladan je za izradu sveobuhvatnog sustava (svi pretplatnici jednog isporučioca VoIP usluge mogu biti nadzirani) za nadzor VoIP komunikacije.

4.6.1. Pasivni način prikupljanja podatakaPasivni način prikupljanja podataka ne znači da komponente sustava ne

djeluju aktivno pri prikupljanju podataka no njihova karakteristika je da nisu sastavni dio aktivne mreže. Kod pasivnog načina uređaj za snimanje (presretanje govora) spojen je na monitor port i dostupan je kod svih telefonskih okruženja gdje se razgovor prenosi RTP paketima.

Pasivni način se zasniva na prikupljanju podataka direktno iz mreže ISP-a tako što računalo (ili drugi specifičan hardwar-e) koristi mrežnu karticu koja radi u tzv.

42

promiscuous modu i snima filtrirani (samo VoIP interesantne pakete) ili cjelokupni promet tzv. packet Sniffers. Ovaj način je pogodan za nadziranje korisnika koji imaju otvoren račun kod nekog od davaoca VoIP usluge u inozemstvu u tom slučaju VoIP poziv se ne uspostavlja kroz VoIP mrežne elemente operatora u domaćem prometu već kao paket podataka mrežom putuje od jednog do drugog sudionika komunikacije (nadziranje VoIP komunikacije se tada provodi kao nadziranje cjelokupnog Internet prometa). Da bi imali pristup podacima ovakvih VoIP poziva moramo snimati cjelokupni (ili točno određeni) Internet promet po poznatim parametrima (IP/port ili MAC adresa računala) i naknadno rekonstruirati poziv.

Kod ovog rješenja potrebno je pažljivo napraviti proračune spojnih putova te eventualno odrediti vrstu podataka koje je potrebno prikupljati kako ne bi zagušili monitor port usljed priliva velike količine podataka. Primjer ovakvog rješenja opisan je u [18,19], a prikazan na slici 24.

Slika 24. LI koristeći network sniffers

Postoje dva podtipa prikupljanja podataka desktop i sever. Desktop verzije slika 25. koristi činjenicu da puno IP telefona ima ugrađen mali svitch na koji se može spojiti računalo i na taj način snimati promet.

43

Slika 25. Pasivni desktop način snimanja podataka

U koliko nemamo mogućnosti snimanja razgovora na mjestu njegova nastanka kao u prethodnom primjeru tada se koristi server način snimanja. Na switch-u je potrebno iskonfigurirati monitor (većina switch-eva ima jedan monitor port i na njega je moguće samo primati promet s izvorišnih portova) port na koji će se preusmjeriti promet s jednog ili više portova, a na njega će se spojiti računalo na koje je instaliran softwar-e za snimanje VoIP-a slika 26.

Slika 26. Server monitor način prikupljanja podataka

U koliko se nalazimo u radnom okruženju gdje su tel. uređaji spojeni na više različitih mrežnih uređaja (uređaji su limitirani brojem priključaka), a opet bi htjeli koristiti samo jedno računalo za snimanje razgovora (jednostavnije je i jeftinije) tada se koristi tzv udaljeni monitoring ( Cisco to naziva RSPAN Remote Switched Port

44

Analyzer) način. Na ovakav način postižemo da se portovi s više različitih switch-eva definiraju kao izvorišni portovi i preusmjere na jedan monitor port slika 27.

Slika 27. Server tzv. RSPAN način prikupljanja podataka

U koliko je mreža podjeljena u virtualne LAN-ove tada se i portovi na switch-evima mogu konfigurirati da budu članovi različitih VLAN-ova (na taj način se govorni i podatkovni promet može odjeliti te rasteretiti monitor portove i VoIP srvere) slika 28.

Slika 28. Server VLAN način prikupljanja podataka

45

Za slučaj kada nije potrebno snimati razgovore u lokalnom prometu (u okviru LAN-a) tada se koristi tzv. Gateway monitoring način koji omogućuje snimanje vanjskih odlaznih i dolaznih razgovora (naravno i lokalnih u koliko je jedan od lokalnioh brojeva u konferencijskoj vezi s vanjskim brojem) slika 29.

Slika 29. Server Gateway način prikupljanja podataka

4.6.2. Aktivni način prikupljanja podatakaKod aktivnog načina prikupljanja podataka uređaj za snimanje je aktivni

sudionik u VoIP mreži, a realizira se dupliciranjem tjekova podataka od koji se jedan preusmjerava na uređaj za snimanje (nadziru se svi telefonski pozivi u mreži te se snimanje željenog razgovora inicira uspostavljenjem konferencijske veze s u ređajem za snimanje). Kod aktivnog načina snimanja tel. razgovora sustav mora imati pristup signalnim informacijama kako bi mogao nadgledati stanje poziva i imao pristup govornim podacima za snimanje. Primjer aktivnog sustava za snimanje razgovora u okviru LAN-a prikazan je na slici 30.

46

Slika 30. aktivni način snimanja VoIP razgovora

Aktivni način zasniva se na prikupljanju podataka tako što se specifičan software ili hardwar-e ugrađuje u mrežu VoIP isporučioca usluga. Aktivni način je pogodniji za prikupljanje podataka od strane LEA no on zahtjeva zakonsku regulativu koja operatore (isporučioce usluge) obvezuje na suradnju s LEA i njegovom striktnom implementacijom se pokrivaju svi VoIP pretplatnici. LEA propisuje vrstu podataka koje je potrebno dostaviti, potrebna sučelja i formate za prihvaćanje podataka. Svaki operator je obvezan osigurati dostavu traženih podataka u propisanom formatu (ukoliko je ISP ujedno VoIP isporučioc usluge tada može LEA-i dostavljati sadržaj nadziranog VoIP priključka kao zvučni zapis umjeto paketa podataka), a sama software/hardware-ska rješenja mogu se razlikovati od operatora do operatora [29]. Ugradnja i održavanje software/hardware-ski komponenti je jako osjetljiva i potrebno je uspostaviti sigurnosne mehanizme pristupa ovim komponentama.

Po prijedlogu autora članaka [21,22,23] globalni sustav za nadziranje VoIP prometa može izgledati kao na slici 31. Ovakav sustav se sastoji iz dva dijela: jedan na strani ISP-a (ili samo VoIP isporučioca usluge), a drugi odgovarajućeg zakonodavnog tijela (LEA).

Service Provider's LI system se sastoji od:

- entiteta za signalizaciju koji sadrži podatke o cilju LI-a (lokacija, IP adresa, MAC adresa i sl.). Prikuplja korisničke podatke, vrši monitoring, osigurava ključ ukoliko su podaci kriptirani, dostavu u LEA-u na pohranu.- podatkovnog entiteta koji služi za prikupljanje podataka o VoIP korisniku (IP adresa, Broj porta), njihovo eventualno dekriptiranje i slanje u LEA-u na pohranu. Podaci koje ovaj entitet pohranjuje nisu mu poznati do uspostave samog poziva jer se ne zna točna IP adresa ili port s kojeg nadzirani VoIP korisnik komunicira.- entiteta za pohranu podataka koristi se za pohranu prikupljenih podataka (RTP paketa) i njihovo slanje u LEA.

47

LEA system se sastoji iz :

- sustav za postavljanje konfiguracije na Service Provider's LI strani- selektiranje prikupljenih podataka (signalizacijski tijekovi – SIP, H.323; podatkovni tijekovi – RTP, RTCP; ključevi za kriptiranje/dekriptiranje)- pohrana i analiza prikupljenih podataka

Slika 31. Moguća arhitektura sustava za zakonito prikupljanje podataka

4.6.3. Rekonstrukcija VoIP-a koristeći memorijsku forenzikuPretraživanje radne memorije ciljanog računala naziva se memorijska

forenzika [15]. Rekonstrukcija VoIP poziva moguća je i forenzičkom analizom radne memorije računala u slučaju kada se ono koristi za VoIP komunikaciju (na vrlo sličan način može se vršiti i analiza tzv. hibernation fajla). Ovaj pristup nudi određene prednosti poglavito u slučaju kada sudionici VoIP konverzacije nisu nadgledani od strane neke od ovlaštenih agencija ili su imali otvorene račune kod stranih isporučioca VoIP usluge (ne postoje nikakvi zapisi o VoIP komunikaciji). Da bi se ova analiza mogla izvoditi računalo se ne smije isključiti nakon obavljenog razgovora, a poteškoću predstavlja i sigurnosno pohranjivanje sadržaja radne memorije. Za vrijeme rada računala u radnoj memoriji se, između ostalog, nalaze podaci o otvorenim fajlovima, aktivnim procesima, završenim procesima, pogonskim programima itd. U radnoj memoriji nakon završetka VoIP razgovora ostaje određena količina podataka te je mogućnost da se pristupi tim podacima problenm privatnosti (hakerski napad na računalo te rekonstrukcija djela razgovora odnosno pronalaženje početne i odredišne IP adrese), a ujedno je i izvor podataka za forenzičku analizu VoIP poziva. Prvi korak je dobijanje memorijskog sadržaja ciljanog računala, zatim se pronalaze podatkovni paketi, identificira tip paketa, ekstrahira sadržaj RTP paketa i slaže po redosljedu RTP paketa te se iz takvog fajla dobija zvučni zapis.

48

4.7. Ciljevi analize VoIP podataka

Cilj je prikazati rad sustava za prikupljanje podataka o VoIP pozivima koji su inicirani od strane korisnika unutar nadziranog LAN-a odnosno o pozivima koji su usmjereni prema korisnicima u okviru nadziranog LAN-a.

Koristi se „paket sniffer“ tehnika prikupljanja podataka slika 32. Ovaj tehnika je izabrana jer se može implementirati u testno okruženje bez potrebe za dodatnom suradnjom s ISP ili VoIP isporučiocima usluge (skupa oprema i striktna zakonska regulativa u pogledu snimanja tel. razgovora).

Slika 32. nadziranje VoIP prometa korištenjem packet sniffer tehnike(Packet Capture)

Iz fonda prikupljenih podataka o VoIP pozivima vrši se naknadna rekonstrukcija razgovora (RTP paketi se pretvaraju u govor) i rade odgovarajuća izvješča. Dodatni problem stvaraju tijekovi podataka koji su na neki način zaštićeni (kriptirani) tijekom prijenosa od jedne do druge točke komunikacije. Da bi se mogao dobiti stvarni sadržaj komunikacije potrebno je znati algoritme i ključeve enkripcije. Izvješća sadržavaju sve bitne podatke o pojedinom pozivu (početno i završno vrijeme, vrijeme trajanja, vlasnik broja, broj tel. priključka sugovornika i sl.) kao i kumulativna izvjeća za određeni period (ukupan broj poziva, ukupno vrijeme svih poziva, prosječna zauzetost mrežnih resursa i sl.).

Da bi ostvarili spomenuti cilj potrebno je uzeti u obzir i ograničenja u pogledu broja korištenih protokola (moguće ograničenje samo na SIP protokol).

Na osnovu željenog broja nadziranih portova (odnosno broja korisnika), vrste podataka koji se snimaju i brzine prijenosa podataka treba odrediti je li „monitor port“

49

u mogućnosti kvalitetno prikupljati i pohranjivati podatke te davati odgovarajuće obavijesti.

Kod realizacije sustava potrebno je voditi računa da budu ispunjeni sljedeći uvjeti:

- sva komunikacija nadziranog priključka mora biti presretena- mora biti sačuvan integritet i povjerljivost podataka- samo autorizirani korisnici mogu koristiti opremu za zakonito prisluškivanje- sve informacije smiju biti dostupne samo autoriziranim korisnicima (za svako

korištenje LI opreme kreiraju se logovi)- osoba pod nadzorom ne smije biti u mogućnosti otkriti nadziranje (mjere

nadziranja ne smiju utjecati na kvalitet telekomunikacijske usluge)- Samo ISP ili VoIP isporučioc usluge osigurava potrebne podatke (po potrebi

isključivanje ugrađene enkripcije)

4.8. Primjer

- za izradu laboratorijskog modela korištena su tri računala, switch i router koji su ADSL-om povezani na ISP slika 33. Za prikupljanje podataka korišteni su network sniffers programi jer je njihova dostupnost i upotreba bila daleko jednostavnija [25, 26, 27].

Slika 33. testni laboratorijski model

- Napravljeni profili za VoIP komunikaciju po principu PC to PC. Računi su otvoreni kod besplatnih davatelja ove vrste VoIP usluga iptel.org (tel. broj ivanculic@iptel.org) i callcenteric.com (tel. broj 17772686959).

- korišteni softphone's: VOIP Softphone Express Talk i 3CXPhone.

50

- Snimanje cjelokupnog ili filtriranog prometa između korisnika (korištenjem programa WireShark ver. 1.3.5, rtpdump ili WinDump za Linux OS se naziva tcpdump) slika 34. WireShark ima GUI sučelje dok se WinDump pokreće iz komandne linije slika 35.

Slika 34. snimanje nefiltriranog mrežnog prometa koristeći Wireshark.

Windump –i 2 -s 1500 –B 2000 –n –w testni.pcap

Slika 35. snimanje nefiltriranog mrežnog prometa koristeći Windump.

rtpdump –F dump –o imefajla.pcap

51

- Korištenjem programa Wireshark snimaju se u pcap formatu odvojeni smjerovi komunikacije za izabrani tel. razgovor slika 36. Za određivanje smjera komunikacije koriste se polja: izvorišna/odredišna IP adresa iz IP-a, port na koji se podaci šalju iz UDP-a i SSRC – Synchronization Source Identifier određuju smjer slanja govornih paketa iz RTP-a.

Slika 36. detektirani RTP nizovi

- Rekonstrukcija govornog signala iz snimljenih RTP paketa koristeći programe rtpplay i QuicTime (rekonstrukcija razgovora se može vrlo elegantno napraviti i kroz Wireshark) slika 37.

Slika 37. reprodukcija rtp sadržaja koristeći Wireshark

52

Rtpplay program je dio paketa rtptools koji, kako se da naslutiti iz imena, sadrži, između ostalih i komponente za procesiranje RTP paketa. Komponente rtptools paketa su: rtpplay, rtpsend, rtpdump, rtptrans

Koristeći tekstualni editor napravi se SDP (Session Description Protocol) fajl koji se potom pokreće iz QuickTime player-a (File/Open file) kako bi player podesio da ispravno prima podatke koje šalje rtpplay-er. SDP fajl omogućuje QuickTime programu da uzima podatke s dva porta ( u ovom primjeru su to portovi 61494 i 8000 jer se na jednom snima odlazni, a na drugom dolazni promet) kako bi imali sadržaj komunikacije u oba smjera, te da ih istovremeno reproducira slika 38. Sadržaj file-a:

v=0o=icblenke 2890844526 2890842807 IN IP4 192.168.1.67s=SDPTesti=SDP file for G711 audio on port 8000c=IN IP4 192.168.1.67t=0m=audio 61494 RTP/AVP 0 8 13a=rtpmap:0 PCMU/8000a=rtpmap:8 PCMA/8000a=rtpmap:13 CN/8000m=audio 8000 RTP/AVP 0 8 13a=rtpmap:0 PCMU/8000a=rtpmap:8 PCMA/8000a=rtpmap:13 CN/8000

Značenje nekih od polja:

- 192.168.1.67 - IP adresa računala na kojem se izvodi rtpplay- 61494 - broj port na kojem se odvija RTP komunikacija u dolaznom smjeru- 8000 - broj port na kojem se odvija RTP komunikacija u odlaznom smjeru- PCMU/PCMA - vrsta kodiranja - /8000 - oznaka za 8kHz- 0, 8 i 13 - vrste codec-a koji su korišteni kod VoIP komunikacije- 0 – PCMU - (PCM uzorkovan po µ zakonu )- 8 - PCMA - (PCM uzorkovan po A zakonu )- 13 – CN - (Comfort Noice)

53

Slika 38. reprodukcija rtp sadržaja koristeći QuickTime i rtpplay.

rtpplay –T –f 4.pcap 192.168.1.67/61494

rtpplay –T –f 5.pcap 192.168.1.67/8000

Gdje je:

- 4.pcap - fajl s rtp prometom za jedan smjer komunikacije- 5.pcap - fajl s rtp prometom za drugi smjer komunikacije- 192.168.1.67 - IP adresa računala na kojem se izvodi rtpplay- 61494 - broj porta rtp prometa u odlaznom/dolaznom smjeru- 8000 - broj porta rtp prometa u odlaznom/dolaznom smjeru

Ekstenzija pcap oznaka je za packet capture file-ove, a generiraju je programi kao što su protocol analyzers, packet sniffers, network monitors, network intrusion detection systems, traffic-generators and network-testers.

5. Zaključak

U ovom radu je dan prikaz funkcioniranja VoIP sustava s naglaskom na forenziku VoIP poziva. Forenzička rješenja omogućavaju pohranu podataka o VoIP pozivima, pohranu sadržaja poziva ili pojedini od njih. Zavisno od svrhe za koju je namjenjen sustav može biti dizajniran da nadzire ograničen broj VoIP priključaka (npr. snimanje razgovora pri pozivu sustava 112), snimanje svih/određenih razgovora u okviru tvrtke smještene na nekoliko lokacija ili dizajniranje cjelovitog rješenja za prikupljanje podataka o pozivima koji se mogu odvijati na području cijele države. Bilo da je riječ o software-skim ili hardware-skim nadogradnjama u mreži isporučioca

54

usluge sigurnost mora biti vrlo visoko na listi prioriteta (uređaji koji imaju ovakve mogućnosti moraju biti pažljivo nadgledani od strane ovlaštenih osoba).

Kod aktivnog modela presretanja u kojem se ugrađuje specifična programska i mrežna oprema postižu se sveobuhvatniji rezultati (praktično svi vlasnici VoIP priključaka se mogu kontrolirati) no on zhtjeva blisku suradnju ISP ili VoIP davaoca usluge s odgovarajućim agencijama koje te usluge traže. Također, zbog distribuiranosti sustava, moguće je lakše kompromitirati ciljeve nadziranja ili sadržaj nadziranih VoIP priključaka.

Kod pasivnog modela gdje se koristi tzv. „packet sniffer“ tehnika mogućnost kompromitacije je manja no njen nedostatak je izostanak sveobuhvatnosti i što treba kontrolirati velike količine podataka. Kod vršnog prometa u mreži može doći do gubitka traženih podataka odnosno presretanje poziva je limitirano karakteristikama mrežnih switch-eva i ostale opreme koja se koristi za nadziranje prometa.

6. Popis literature

1. Voice over IP Fundamentals, J. Davidson i J. Peters, Cisco systems, 20002. VoIP service Quality, William C. Hardy, McGraw-Hill, 20033. VoIP Handbook Aplications, Technologies, Reliability, and Security, S. A. Ahson, M. Ilyas, CRC Press, 20094. http://www.juniper.net/solutions/literature/white_papers/200087.pdf , Voice Over IP 101, Juniper Networks, 20075. http://csrc.nist.gov/publications/nistpubs/800-58/SP800-58-final.pdf , National Institute of Standards and Technology, U. S. Department of Commerce, 20056. http://iase.disa.mil/stigs/stig/VoIP-STIG-V2R2.pdf , Internet protocol telephony & Voice over internet protocol, USA Department of Defense, Defense Information Systems Agency, 20067. http://www.dfrws.org/2003/presentations/Brief-Casey.pdf , Forensic Network Analysis Tools, 20038. http://www.tacticaltech.org/files/tacticaltech/Skype_Security.pdf , 20059. http://security.lss.hr/documents/LinkedDocuments/CCERT-PUBDOC-2008-04- 225.pdf10.http://www.academypublisher.net/jsw/vol02/no02/jsw02021929.pdf , Security patterns for Voice over IP Networks, Florida Atlantic University, E.B. Fernandez, J.C. Pelaez, 200711. http://ieeexplore.ieee.org/xpl/freeabs_all.jsp?arnumber=5280070, VoIP Network Forensic Patterns, J.C. Pelaez, E.B. Fernandez , 200912. VoIP Network Security and Forensic Models Using Paterns, J. C. Pelaez, VDM Verlag Dr. Muller, 200713.http://ieeexplore.ieee.org/iel5/4654040/4654041/04654077.pdf , Lawful Interception Scheme for Secure VoIP Communication Using TTP, S. Yoon, J. Jeong, H. Jeong, Y. Won, 200814.http://www.cse.fau.edu/~maria/laccei/Papers/IT148_Pelaez.pdf , Wireless VoIP Network Forensics, J. C. Pelaez, E.B. Fernandez, Florida Atlantic University15.http://delivery.acm.org/10.1145/1370000/1363231/a10-slay.pdf , Voice over ip forensic, J. Slay, M. Simon, University of South Australia, 2008

55

16.http://portal.acm.org/citation.cmf?id=1425556 , A Collaborative Forensics Framework for VoIP Services in Multi-network Environments, H. Hsu,Y.S. Sun,M. C. Chen, 200817.http://arxiv.org/ftp/arxiv/papers/0805/0805.2938.pdf , Steganography of VoIP Streams, W. Mazurczyk, K. Szczypiorski, Warsaw Univerity of Tehnology18. www.edecision4u.com, VOIP_intercept_2009.pdf, 200919.www.edecision4u.com , VOIP_hardware_specs.pdf, 200920.http://forenzika.unist.hr/Portals/6/docs/Materijali za studente/03 Uvod_u_racunalnu_forenziku.doc, 2010, FESB21.http://www.ieeexplore.ieee.org/iel5/4271739/4271740/04271751.pdf Monitoring arhitecture for Lawful Interception in VoIP Networks, B. Karpagavinayagam, R. State, O. Fester, ICIMP 200722.http://www.ieeexplore.ieee.org/iel5/8828/27949/01248010.pdf Distributed System for Lawful Interception in VoIP Networks, A. Milanović, S. Srbljić, I. Ražnjević, D. Sladden, FER Zagreb, Cisco Systems, 200323.http://www.ieeexplore.ieee.org/iel5/8828/27949/01248009.pdf , Methods for Lawful Interception in IP Telephony Networks Based on H.323, A. Milanović, S. Srbljić, I. Ražnjević, D. Sladden, FER Zagreb, Cisco Systems, 200324.http://www.gliif.org/GLIIF/Security_Implications_of_LI_1.0.pdf , Security_Implications_of_LI_1.0.pdf , Global lawful interception industry forum white paper, 200625.http://www.wireshark.org/ 26.http://www.cs.columbia.edu/irt/software/rtptools/ 27.http://www.apple.com/quicktime/download/ 28.http://cyber.law.harvard.edu/globaleconomy/lawful_intercept.pdf , T. Ehrlich, 200429.http://www.ietf.org/rfc/rfc3924.txt , Cisco Arhitecture for Lawful Intercept in IP Networks, 200430.http://narodne-novine.nn.hr , Zakon o elektroničkim komunikacija („NN“ 73/08), 200831.http://narodne-novine.nn.hr , Zakon o sigurnosno-obavještajnom sustavu Republike Hrvatske („NN“ 79/06), 200632.http://narodne-novine.nn.hr , Zakon o kaznenom postupku („NN“63/03 ), 200333.http://narodne-novine.nn.hr , Kazneni zakon („NN“ 110/97),199734.http://portal.acm.org/citation.cfm?id=1298307 , Legal Issues Surrounding Monitoring During Network Research, P. Ohm, D. Sicker, University of Colorado, 200735. http://www.scd.uhp-nancy.fr/docnum/SCD_T_2009_0021_NASSAR2.pdf, PhD from The H. Poincare University „VoIP Networks Monitoring and Intrusion Detection“, M. Nassar, 2009

56