Безопасность Skype в корпоративной среде

[Dmitry Paleev]

Технология VoIP (Voice over IP) в настоящее время развивается очень быстрыми темпами, а программа Skype является наиболее известной и популярной среди пользователей реализацией VoIP. По сравнению с обычной телефонной сетью, Skype позволяет существенно удешевить связь и при этом сохранить качество передачи информации. Еще одно преимущество этой программы – простота. Пользователи всего мира больше не утруждают себя размышлениями, что и как нужно делать. Сегодня достаточно просто установить Skype и подключить микрофон. После этого можно говорить, обмениваться файлами, текстовыми сообщениями и т.д.

Однако программа Skype получила достаточно широкое распространение не только у домашних пользователей, но и в корпоративных сетях. Неудивительно, ведь она позволяет значительно сократить расходы на междугородные и международные разговоры, упростить коммуникации между офисами и отдельными людьми. Кроме того, для установки и использования утилита вовсе не требует привилегий администратора. Поэтому служащие могут бесплатно скачать Skype из Интернета и спокойно установить его на корпоративной рабочей станции. Между тем, именно в этом месте возникает совершенно новая проблема – дополнительные риски информационной безопасности (ИБ), которые возникают в связи с использованием Skype в корпоративной среде.

Отметим, что проблема защищенности Skype сегодня очень актуальна. Это довольно популярная программа, приковывающая к себе внимание, как инсайдеров, так и хакеров. Например, при помощи Skype внутренние нарушители легко могут выкрасть ценную информацию. При этом история таит немало примеров того, как хакеры отыскивали уязвимости в Skype.

Ноябрь, 2004 г. - Обнаруженная дыра позволяла хакеру получить полный контроль над компьютером пользователя посредством переполнения буфера в Skype.

Апрель, 2005 г. - Программа Skype не всегда аккуратно сбрасывала права доступа. В результате злоумышленник мог подменять оригинальные приложения модифицированными вариантами с уже полученной авторизацией.

Октябрь, 2005 г. - Выявлена лазейка, с помощью которой злоумышленник мог вызвать ошибку переполнения буфера на машине жертвы и получить доступ к системе.

Октябрь, 2005 г. - Брешь в Skype позволяла организовать атаку типа отказ в обслуживании на удаленный компьютер.

Май, 2006 г. - Новая брешь давала возможность украсть файл с машины пользователя. Правда, для этого необходимо было послать жертве специально сформированные пакеты, чтобы спровоцировать аварийное завершение программы.

Декабрь, 2006 г. - В нескольких странах распространился червь, инфицирующий рабочие станции с программой Skype, использующейся в режиме чата.

Настоящее исследование является первым российским проектом в сфере изучения возможности безопасного использования Skype в корпоративной среде. Исследование ставило своей целью выявить опасения специалистов в области ИТ и ИБ по поводу применения Skype в интрасетях компаний, определить дополнительные угрозы ИБ, которые этому способствуют, а также причину возникновения этих рисков.

Читать далее

[Avaz Khasankhodjaev]

Может необходимо добавить, что в РУз для коммерческого использования IP-телефонии нужна лицензия. Ведь использование в корпоративной среде и есть коммерческое использование? Так что те, кто пользуется такой связью значительно рискуют и риск этот уже не связан с хакерами.

[Ахадбек Далимов]

Сообщение от Avaz Khasankhodjaev

Ведь использование в корпоративной среде и есть коммерческое использование?

не совсем так - если сипользование в корпоративной среде подразумевает связь между отделениями одной и той же компании например то это не коммерческое использование ( ну проложена уже сеть и все че ж полосу не пользовать).
Под коммерческим использованием следует понимать коммерческое использование возможностей данной системы - т.е. зарабатывание денег, через предоставление услуги на платной основе.

[Efim Kushnir]

Сообщение от Ахадбек Далимов

Под коммерческим использованием следует понимать коммерческое использование возможностей данной системы - т.е. зарабатывание денег, через предоставление услуги на платной основе.

а под это нельзя подвести, что работая и производя какой-то продукт ты в итоге извлекаешь коммерческую выгоду из того, что используешь внутри корпорации такую связь?

[Eldar Fattakhov]

Сообщение от Efim Kushnir

такую связь?

Ефим, так можно и под семейные устои подвести... Типа дешёвые (?) сексуальные связи... Или столование... Потом заставят платить дополнительные налоги со всего этого... Грустно подумать даже.

[Efim Kushnir]

Сообщение от Eldar Fattakhov

Ефим, так можно и под семейные устои подвести... Типа дешёвые (?) сексуальные связи... Или столование... Потом заставят платить дополнительные налоги со всего этого... Грустно подумать даже.

Эльдар, Вы же сами знаете, что маразм некоторых наших чиновников достигает таких невиданных высот, что иногда шея болит смотреть так высоко...
Я спросил, т.к. не знаю, как происходит лицензирование подобной услуги.
Хорошо, что пока разумных людей в достатке, спасибо за ответ :-)

[Erkin Kuchkarov]

Сообщение от Avaz Khasankhodjaev

Может необходимо добавить, что в РУз для коммерческого использования IP-телефонии нужна лицензия. Ведь использование в корпоративной среде и есть коммерческое использование? Так что те, кто пользуется такой связью значительно рискуют и риск этот уже не связан с хакерами.

Использование скайпа есть "коммерческое использование IP-телефонии"?
"Вы меня просто умиляете" (с) Efim Kushnir

[Ахадбек Далимов]

Сообщение от Efim Kushnir

а под это нельзя подвести

нет - лицензия требуется именно на оказание услуг связи.

Оффтоп:

Фима срочно отдыхать - это ж надо - я не думал что можно такое придумать (это я про вопрос твой - и потом, ты опять начинаешь вешать ярлыки )

[Efim Kushnir]

Сообщение от Eldar Fattakhov

Ефим, так можно и под семейные устои подвести... Типа дешёвые (?) сексуальные связи... Или столование... Потом заставят платить дополнительные налоги со всего этого... Грустно подумать даже.

Сообщение от Ахадбек Далимов

Фима срочно отдыхать - это ж надо - я не думал что можно такое придумать

Ну всё, всё, ухожу уже, пойду отдыхать...
"Вы еще танки пригонИте..." (с) Жванецкий. :-)

[Azamat Shamuzafarov]

а я всегда говорил что скайп ацтой. надо юзать gizmo или google talk.