Enable Security 首席执行官 Sandro Gauci 分享 VoIP 和实时通信安全领域洞见

二十多年来，Enable Security 公司首席执行官 Sandro Gauci 一直站在 VoIP 和实时通信安全的最前沿。他的职业生涯始于 2000 年代初的马耳他，当时他可能是岛上唯一的全职安全研究员。由于亲身参与渗透测试的机会有限，Sandro 决心深入挖掘 SIP 和 RTP 等语音协议中被忽视的风险，因此于 2008 年创立了 Enable Security。

如今，Enable Security 公司以 SIPVicious PRO 和 ESAP（Enable Security Attack Platform，Enable 安全攻击平台）而闻名，这两款产品都是专为发现和测试实时通信系统中的漏洞而设计的，而一般的安全工具往往无法满足这些要求。在这次 SafetyDetectives 的采访中，Sandro 分享了多年专业安全评估的心得，解释了为什么传统的防御措施对语音和视频协议不起作用，并探讨了人工智能和深度伪造技术在实时通信中带来的新一轮威胁。

以下为采访译文内容。

您能告诉我们您在网络安全领域的历程，以及是什么促使您创立 Enable Security 公司的吗？

我的网络安全之旅始于 2000 年，当时我有幸从学校毕业后应聘到一家软件公司担任安全研究员，这家公司当时正将重点转向信息安全。90 年代的黑客电子杂志和完全公开的文化为我打下了坚实的基础，这基本上就是我训练自己安全知识的方式。当时，我的工作地点在马耳他，一个小岛国，我相信我是岛上唯一的安全研究员。

虽然早期的工作为我提供了宝贵的经验，但我最终还是希望能更好地掌控自己的职业轨迹，并有机会在不同的组织中进行渗透测试，而不是在一家公司担任内部安全研究员。由于马耳他没有几家公司能满足我的这一愿望，我决定成为自由职业者，并最终于 2008 年创立了 Enable Security 公司。这段旅程把我从马耳他带到了英国，最终来到了德国。

在这一转变过程中，我不断在各组织中遇到相同的关键盲点：VoIP 和 SIP 等通信系统在安全评估中始终被当作事后诸葛亮，尽管它们的协议复杂性创造了独特的可利用攻击面。通用安全工具几乎无法触及这些专业协议的表面。

虽然我们开展 VoIP 安全工作已经有一段时间了，但成立 Enable Security 让我们能够专注于一项任务：深入研究实时通信安全，开发工具（如 SIPVicious）和方法，在对手发现漏洞之前，揭露传统评估所忽略的漏洞。

Enable Security 因 SIPVicious PRO 而广受认可，它解决了 VoIP 或 SIP 安全领域中哪些传统安全工具可能忽略的具体漏洞？

SIPVicious PRO 专为理解语音协议本身而设计，例如 SIP 和 RTP 等通用扫描器无法有效处理的协议。我们并未试图将传统的网络或 Web 应用程序安全方法强加于这些专用协议，而是开发了能够在实时通信的独特约束和特性下运行的工具。

对我们来说，SIPVicious PRO 就像一把瑞士军刀，可以抵御各种针对 VoIP 协议的攻击，是我们更广泛安全武器库中的一个关键组件。如今，我们将其集成到 ESAP（启用安全攻击平台）中，用于准备全面的安全测试，特别是针对 VoIP 和实时通信，以及针对其他协议的 DoS 测试。

关键优势在于定制化和可重复性。与缺乏灵活性的传统扫描器不同，ESAP 使我们能够重现渗透测试和安全咨询工作中发现的漏洞，并根据每个客户的具体设置和需求进行定制，例如自定义 SIP 标头或独特的协议实现。这种方法确保一旦发现并修复了漏洞，我们就可以通过可重复的、有针对性的测试来验证它们不会再次发生。

VoIP 系统越来越多地集成到云服务和统一通信平台中，企业在部署这些技术时最常犯的错误是什么？

我们观察到的最严重的错误是，一些组织期望云保护机制（例如 CDN、网络防火墙和 DDoS 清洗器）能够为 VoIP 和 WebRTC 协议提供足够的保护。这种根本性的误解源于他们将语音协议视为 Web 流量，而实际上它们的需求和特性完全不同。

VoIP 和 WebRTC 协议对延迟极其敏感，这使得它们与可能无法理解其特定协议要求的内联安全机制不兼容。传统的网络或 Web 安全设备往往弊大于利，尤其是在 DoS 防护方面，因为它们会产生延迟和处理延迟，从而导致语音通信无法使用。

企业需要认识到实时通信需要专门为这些协议设计的安全方法，而不是试图改造与高质量语音和视频通信所必需的低延迟要求根本相冲突的安全解决方案。

您曾对多种通信产品进行过安全评估，不同供应商之间往往会出现哪些模式或重复出现的问题？

实时通信产品中最持久、最具挑战性的问题与拒绝服务漏洞有关。由于这些系统所涉及的信令和媒体协议本身的复杂性，完全避免应用级 DoS 问题极其困难。

语音和视频通信在可用性和质量方面的严格要求，进一步加剧了这一挑战。即使服务质量稍有下降（例如音频不稳定或掉线），客户也会很快放弃这些提供商。这使得 DoS 漏洞不仅是一个安全隐患，更是一个关键的业务风险。

协议复杂性、在不影响性能的情况下实施强大 DoS 保护的难度以及对服务降级的零容忍环境，使得这成为我们评估的几乎所有供应商和平台反复关注的领域。

实时通信需要低延迟和高可用性。如何在安全强化与 SIP 或 WebRTC 等系统的性能需求之间取得平衡？

平衡安全性和性能的关键在于利用灵活的系统（通常是开源应用程序），以实现精确的定制和优化。这些平台提供了实施安全强化所需的精细控制，而不会引入延迟或损害高可用性要求。

鉴于各种 VoIP 平台的内部复杂性，掌握底层架构并能够微调安全实现至关重要。专有的黑盒解决方案很少能提供有效实现这种平衡所需的灵活性。

该方法需要深入了解安全形势以及实时协议的具体性能特征。在实施安全措施时，必须充分考虑其对延迟、抖动和整体系统响应能力的影响——因为在实时通信中，降低用户体验的安全控制最终会损害整个系统的商业价值。

同样重要的是，拥有能够在 SIP 或 WebRTC 环境中调试安全事件的合适人员。寻找或培训具备此类专业知识的人员并非易事，但这对任何事件的结果都至关重要。当出现问题时，您需要既了解安全隐患，又了解特定协议细微差别的人员来有效响应。

展望未来，您认为确保语音和视频通信安全的最大挑战是什么？尤其是随着人工智能、深度伪造和实时语音合成的兴起？

观察这一切的进展将会非常有趣。我们正在进入一个新时代，之前由于人为和软件的限制而无法规模化的攻击，现在却有可能通过多模态LLM和语音AI功能实现大幅扩张。

其影响远远超出了传统协议安全担忧。当攻击者能够利用人工智能大规模地进行复杂的社会工程攻击，或者当深度伪造技术能够在实时语音通信中令人信服地冒充可信个人时，我们面临的是一个全新的威胁环境。

我正在积极关注这个领域，因为人工智能与实时通信的结合既带来了严重的风险，也带来了有趣的机遇。事实上，这正是我们在 enablesecurity.com/newsletter 每月 RTCSec 新闻通讯中探讨的新兴威胁类型。我们深入探讨 VoIP 和 WebRTC 的安全发展，并发表评论，并促进关于这些不断发展的技术如何影响实时通信安全的讨论。

挑战在于开发安全框架，使其能够检测和缓解人工智能增强型攻击，同时保持用户期望的真实、低延迟通信体验。技术安全漏洞与社会工程攻击之间的传统界限正在变得模糊，这要求安全专业人员不仅要考虑保护基础设施，还要考虑保护通信本身的完整性。随着这些威胁的不断演变，我们将与社区一起分析和讨论这些主题。