正在阅读：VoIP安全威胁是否真的言过其实？VoIP安全威胁是否真的言过其实？

问：Internet电话垃圾邮件，即SPIT，又如何呢？这种威胁的真实性有多大？

Orans：这是另一个言过其实的威胁。的确，从技术上看，SPIT是可能的，但这里的关键问题是业务模型，而不是技术。

　　我们都收到过垃圾邮件，而垃圾邮件的交易模型与SPIT非常不同。对于垃圾邮件来说，你收到一封电子邮件，如果你想为其支付抵押贷款，因此你点击Web链接，那么你就会进入到这种交易中。换句话说，垃圾邮件成功了。而对于SPIT则完全是一个不同的故事。如果我在语音邮件箱中收到语音消息，我如何完成这种交易？是我必须拷贝下这个URL，然后走到我的计算机前吗？还是我必须给某人回电话吗？这是完全不同的业务模型。

　　另一个问题是法律问题。在美国，我们有“请勿打我电话”（Do Not Call）名单。因此，存在一种法律上的威慑力和业务模型上的威慑力，而这两种威慑力都是针对SPIT模型的。我认为，这正是我们到目前为止没有看到大量SPIT的原因。

Frank：我完全同意有关法律问题的观点。目前有1.37亿人在“请勿打我电话”名单上注册，这是我所知道的联邦环境下最成功的计划。

　　但是，我看到一种将在未来出现的VoIP垃圾邮件的版本。现在有一家名为O2的无线公司，每当我进入一个有O2公司业务存在的国家，即便我当时使用不同的运营商，我都会收到一条欢迎使用O2的文本消息。我没有请求获得链接，但我收到了欢迎我的文本消息。

问：按A、B、C、D、E这样的字母评级，您认为大多数企业在保护自己的IP电话环境上能得多少分？你认为今后3到5年中会出现什么VoIP威胁？

Frank：这不是IP电话或VoIP问题。这是IP问题，人们不应当怀疑IP或IP之上各层的安全性。

　　这就是说，我会给出大致为B+的评分。非常少的企业的得分是A，非常少的是E；大多数企业得分在中间范围。

　　但是必须说明的是，这些企业到目前为止都还没有经历过任何事情，因此它们没有受到攻击。

Orans：我的评分标准更严格，我给大多数企业的评分会是D。

　　多数人并不真正懂得存在的风险，这些风险源于安全专业人员与语音专业人员之间存在差距的事实，他们没有充分地了解对方的业务。因此，如果将这些因素综合在一起，我们其实面临很大的风险。

Frank：而对于未来3～5年中企业将面对的VoIP安全问题，我认为你会看到一个越来越严重的局面，不管它是像Orans所说的发生在服务器级，还是今后两年里发生在大型企业实体桌面级上的大规模拒绝服务攻击。原因是机会与漏洞并存。

Orans：我同意关于发生针对这些系统的攻击只是时间问题的观点。我们已经看到了针对PBX和手机的攻击，这些攻击的变种也不断会蔓延到其他的设备和应用领域。因此，我们看到针对这些漏洞的攻击也只是时间问题而已，未来我们不得不面对更多的安全威胁。