新應用帶來新危機
不可否認的，VoIP的確有其存在的價值，但由於VoIP以IP協定為基礎，資料傳送往往會經過公共網際網路，且隨著VoIP繼續從利基市場邁向主流應用，駭客遲早會對VoIP發動嚴重攻擊，因此VoIP天生就和使用同樣傳輸媒介的傳統通訊一樣，必須承受著相同的安全風險，Cisco資深技術經理楊士逸就表示：「VoIP無可避免將承受如同傳統電話一般各類攻擊危機，包括詐騙電話（caller spoofing）、垃圾語音等；另外，VoIP也可能由於不同的設計軟體、硬體、作業平台、網路電話架構和網路裝置等產生系統安全漏洞，導致駭客能夠針對這些安全漏洞發動IP攻擊，或以網路電話為跳板（call redirection）入侵其他用戶端網路服務等。」但多數用戶並不了解實際面臨的風險有多嚴重，這都會讓VoIP的危機成為一顆非常可怕的未爆彈，至於 VoIP究竟還有哪些較嚴重的新安全問題？以下將就VoIP導致危機做闡述和風險劃分。
＊在涉及法律層面上
攔截／竊聽：任何人若能接觸到VoIP閘道器所在網路的硬體，竊聽線路通話就變得相當容易，輕者只是談話內容外洩，嚴重情況將導致機密資料遭竊，如信用卡的帳號、密碼等將嚴重侵犯個人隱私。
話費欺詐（Toll Fraud）：當電話訊務（phone traffic）必須經過數據網路時，話費欺詐的風險將大幅增加，駭客有許多方法能做到這點，最簡單的話費欺詐是未獲授權的使用者透過無人看管的網路電話撥打電話，較複雜的攻擊包括在網路上偷裝網路電話或閘道器，然後利用它們撥打非法電話，這不但可能觸及法律問題，也將造成話務費用暴增。
＊在系統管理層面
非法存取（Unauthorized Access）導致資料遭受侵害：就安全角度而言，非常重要的是必須嚴格管制哪些裝置能夠使用VoIP伺服器服務，若不對系統管理和用戶操作進行嚴格控制，將大幅增加VoIP系統受到攻擊的程度，最終造成系統損害。
＊影響通話品質方面
阻斷服務（DoS,Denial of Service）攻擊：VoIP網路最脆弱元件是通話處理伺服器（call processing server）或IP PBX（通話管理器），通話管理器的職責是傳送和接收來自TCP/IP的通話要求，使得它們都可能受到不同類型的攻擊，且這些伺服器很容易受到針對IP裝置展開的典型阻斷服務攻擊，不難想像受到駭客控制的通話管理器可能會透過網路送出數以千計的通話要求，導致整個語音和資料網路陷入癱瘓。
值得讓人玩味的是，也許有人會問及：「既然VoIP將面臨無可避免的網路危機，但為何絕少聽到企業用戶遭受VoIP攻擊事件？」其主要原因是，由於VoIP普及率仍僅限於少數企業端使用，當事件發生時，企業多會刻意隱瞞攻擊事件，未來一旦使用人數增加之後，涉及隱私權、電話盜打和惡意攻擊等問題勢必加劇，用戶端都將無可倖免。
因應VoIP問題衍生的安全觀點
顯而易見的是，不同於其他網路傳輸的危機，VoIP本身也存有新的安全問題，因此企業在部署VoIP時應事先明瞭其潛在的風險，且視其需求加入相關安全解決方案，否則部署VoIP產生的負面效果大於使用一般傳統電話，那又為何要來徒增麻煩呢！但究竟VoIP必須著重哪些風險處理？在眾多論述中可針對VoIP安全佈局做歸結，包括：其一、重要的VoIP伺服器應置於極度安全的網域中，較不重要的VoIP設備則僅需具備較佳彈性，以緊密與其他終端裝置進行整合；其二、VoIP需結合防火牆功能，且結合Ethernet、VLAN和存取控制機制來劃分不同網域；其三、必須落實對VoIP系統的存取控制，且在穩固的伺服器上部署所有VoIP系統功能等，當然最終就是要強化VoIP整合技術來達到全面性防護機制。既然VoIP的安全管理已有較明確處理方向，目前廠商提出解決方案究竟在安全上的立足原則為何？對於VoIP安全問題又能提供多大助益？以下將依Juniper、Nortel和Cisco等國際大廠的具體VoIP解決方案加以分析。
「Juniper立足於提供VoIP更具『安全』與『保障品質』的系統整合。」鄧愛茵首先表示，目前Juniper推出了ScreenOS 5.1管理解決方案，主要針對DoS、竊聽和效能等問題提供保護，在DoS攻擊方面提供包括有UDP飽和臨界值（Flooding Threshold）、SIP來源限制（SIP Source Limiting）、SIP攻擊保護等措施，即透過UDP飽和臨界值則能讓客戶限制透過UDP提出VoIP傳輸要求的數目，也允許客戶限制不明來源的連線要求，藉此保護VoIP裝置不受SIP端點所發動的阻斷服務攻擊，同時阻擋不想要的VoIP垃圾語音；在防止竊聽方面提供「虛擬專用網路（VPN,Virtual Private Network）」，可對VoIP通訊連線的資料部份進行加密和認證來防止竊聽。另外，有關QoS效能層面，由於VoIP在傳送資料時必須分割成很小的封包，將對防火牆／虛擬專用網路裝置帶來龐大處理負擔，進而造成傳輸時間延遲，對此將提供網路連線品質（QoS,Quality of Service）功能來設定優先順序和排程，以提供音質清晰的語音通訊。
北電（Nortel）產品技術經理陳學道強調，Nortel的VoIP安全架構繫於Intranet和VPN角度來看，這是基於多數危機都存在於Internet公用網路傳輸過程，因此在VoIP設計理念上就以企業內部Intranet網路環境做為傳輸基礎，但也考慮企業存有分支機構，且員工可能因業務需求在外使用VoIP，為了防範語音、資料在傳輸過程遭到攔截，過程中會透過VPN加密方式進行網路傳輸，以防止機密資料外洩，目前推出的MCS5100即屬於企業級VoIP解決方案。陳學道更提醒用戶，雖然以企業內部Intranet做為VoIP安全的設計方式固然可以減低入侵攻擊的機會，但由於內部員工有意或無意所造成入侵行為也時有耳聞，因此企業內部自我防禦仍必須強化，如此才能進一步確實保障使用VoIP的安全性。當然未來Nortel仍會計畫與相關廠商合作將VoIP的應用擴展至Internet公用網路上，畢竟未來VoIP的發展將不可能僅於Intranet環境中。
至於Cisco又站在何種觀點看待VoIP的安全問題？Cisco資深技術經理楊士逸表示，於Cisco非常強調將安全與基礎建設（Infrastructure）相結合的觀點，所以很早就在Router、Switch、VoIP等設備中加入安全機制；另外，Cisco在網路架構上一直強調系統整合的防禦觀點，因此必須具備智慧型（Intelligence）的自主能力來達成自我防禦的功能（SDN,Self Defending Networks），所謂SDN安全架構涵蓋有Integrated Security、Collaborative System-Level Security和Adaptive Threat Defense等三大部分，而Integrated Security即針對client端進行防禦，例如CSA（Cisco Security Agen）機制會依行為模式有無異常來主動判斷，概念就是從隔離角度出發，對於不正常的行為就予以隔離；另外有關Collaborative System-Level Security是以Network層面進行防衛，必須在各類網路闡道口配置防火牆、入侵防禦／偵測、VPN等工具；而Adaptive Threat Defense主要是關於後端Server base部分做保護，最重要的是必須擬定安全政策來做有效預防攻擊，此三者的安全架構關聯性環環相扣。楊士逸再次重申，Cisco安全解方案是立足於整體性考量的網路系統架構中，只要在各個安全環節上建構好安全基礎，不論任何應用系統，如VoIP、即時通訊（IM , Instant Messaging）等工具使用都能獲得安全保護。
從上述廠商實際解決方案來看，Juniper主要是針對VoIP安全問題提出個別解決方案；而Nortel則立足於企業Intranet的傳輸安全的觀點；至於Cisco則一直著重於本身強調的整體性網路安全架構。對未來想使用VoIP企業而言，可依其本身需求來建置不同需求的VoIP解決方案，但值得注意的是，由於對於VoIP仍處於發展階段，可以明顯看出廠商所提的VoIP安全技術仍處於磨合期間，只能針對現有的VoIP安全危機提出相對應的解決方法或基礎安全觀點，未來如何整合安全方案仍有待廠商通盤考量，而企業在導入VoIP之際更必須格外謹慎做好防護工作。
強調應用也不可輕忽危機
基於廠商已陸續推出VoIP安全解決方案，身為監督與業務經營的政府單位和電信業者又有何看法與建議？交通部電信總局副局長高凱聲表示，一般人都基於VoIP網路電話可以藉由網路來免費傳送語音，因此VoIP應用逐漸被人重視，但從1995年發展VoIP技術以來，VoIP攻擊問題不斷衍生，舉實例來看，相較於一般傳統電話能夠輕易追查犯罪來源，一旦VoIP使用浮動IP就難以追蹤，這也是VoIP功能上的缺點。電信總局對此類管理原則是當網路傳輸涉及公用網路就必須接受管理，如Skype與其他網路相互連結等，因為假使不加以歸範將產生灰色地帶造成管理問題；此外，目前VoIP使用沒有硬性要求配置門號，未來將採行配置門號方式才能便於管理使用者。
值得注意的是，電信總局在安全預防方面會採取兩段式追蹤方式，首先會要求電信業者配合針對VoIP使用進行監測，包括記錄使用者是使用哪家網路電話，且記錄由哪一個IP發送資料等才能輕易找出犯罪來源；另外，會要求電信業者必須公告緊急服務的功能，因為適時對用戶端提出警告是必要的。也由於政府逐漸重視VoIP使用的安全問題，透過各類網路偵測方式進行case by case的處理，因此過去台灣每個月約有三萬多通VoIP簡訊詐騙的犯罪行為，現在已逐步遞減中，相信藉由政府與電信業者共同努力下將更能確保VoIP的安全性。
Seednet副總經理李明憲也認為，電話詐欺、垃圾電話在傳統電話中早已存在，不是因為VoIP興起才產生的，防範做法除了要透過與檢、調合作來共同追查犯罪來源，未來也必須規範客戶資料禁止轉為其他用途，除非經由本人同意，否則將施以重罰。李明憲重申，必須嚴格執行網路語音監察，在防範盜打方面也需確實做好身份認證的管理，不僅是帳號、密碼的控管，最好可以做到硬體密碼或通訊線路的鎖定，目前類似身份管控機制已有具體解決方案，但執行方面仍有賴未來積極推動。
此外，針對用戶必須建立自身的安全觀念，這是基於一般使用者往往在付費之後就將安全問題拋諸腦後，例如絕不可在網咖內使用VoIP傳送資料，否則將非常容易導致帳號、密碼被盜取的危險；又對照企業積極佈署防火牆、入侵偵測／防禦等來防範VoIP可能導致的傷害與損失，一般用戶通常僅認為一旦VoIP遭受攻擊充其量僅是語音傳送無法使用，這樣觀點是需要時間來調整和教育的。總而言之，未來VoIP使用必須做好防禦之整合技術，並結合檢調監查等才能保障用戶權益不致受損，這將是企業未來非常重要的安全環節，這類觀點也必須深植於一般使用者身上。
後記
整體來說，VoIP的全新溝通技術的確能為企業機構與一般用戶帶來節省成本、增加運作效率等具體效益，但當企業與一般用戶引頸期盼VoIP積極推展之際，對於VoIP將導致的安全威脅也絕不可猶豫、忽視，必須透過各類型網路安全防護機制來有效杜絕網路相關安全威脅問題，因為唯有在降低VoIP安全風險的同時，企業與一般用戶才能真正享受VoIP所帶來的實際成本降低及運作效益。