基于行為檢測(cè)的非法VOIP探測(cè)研究

王鵬

中國(guó)人民公安大學(xué) 北京 100038

0 引言

自 2008年起，一種新型的網(wǎng)絡(luò)電話詐騙犯罪在國(guó)內(nèi)悄然興起。至 2010年，這種犯罪喧囂塵上，大有越演越烈的趨勢(shì)。這些犯罪份子利用IP語(yǔ)音技術(shù)的靈活性、隱蔽性和透?jìng)餍缘奶攸c(diǎn)，隨意虛擬、修改來(lái)電顯示號(hào)碼，冒充公安、檢察院、法院、銀行、親友等的電話，騙取巨額匯款，再利用各類銀行卡在ATM機(jī)器上異地取款。這種詐騙的手段隱蔽，讓群眾難以判斷其真假，已經(jīng)嚴(yán)重?fù)p害廣大人民群眾利益。經(jīng)調(diào)查，這些VOIP的經(jīng)營(yíng)者都是沒(méi)有經(jīng)過(guò)電信管理部門審核而非法開(kāi)展的VOIP業(yè)務(wù)，他們?cè)O(shè)立網(wǎng)關(guān)都是沒(méi)有戶口的“黑網(wǎng)關(guān)”，是滋生電話詐騙的源泉。打擊這些非法設(shè)立的VOIP，保護(hù)人民利益和守法經(jīng)營(yíng)者的利益是當(dāng)務(wù)之急，而在互聯(lián)網(wǎng)中有效檢測(cè)這些非法VOIP行為特征成為重中之重。

1 VOIP概述

VoIP是 Voice over Internet Protocol的縮寫(xiě)，指的是將模擬的聲音訊號(hào)經(jīng)過(guò)壓縮與封包之后，以數(shù)據(jù)封包的形式在IP 網(wǎng)絡(luò)的環(huán)境進(jìn)行語(yǔ)音訊號(hào)的傳輸，通俗來(lái)說(shuō)也就是互聯(lián)網(wǎng)電話、網(wǎng)絡(luò)電話或者簡(jiǎn)稱IP電話的意思。VoIP技術(shù)是目前互聯(lián)網(wǎng)應(yīng)用領(lǐng)域的一個(gè)熱門話題，中文意思“通過(guò)IP數(shù)據(jù)包發(fā)送實(shí)現(xiàn)的語(yǔ)音業(yè)務(wù)”，它使你可以通過(guò)互聯(lián)網(wǎng)免費(fèi)或是資費(fèi)很低地傳送語(yǔ)音、傳真、視頻和數(shù)據(jù)等業(yè)務(wù)。其基本原理就是通過(guò)語(yǔ)音壓縮設(shè)備對(duì)我們的語(yǔ)音進(jìn)行壓縮編碼處理，然后再把這些語(yǔ)音數(shù)據(jù)根據(jù)相關(guān)的協(xié)議進(jìn)行打包，經(jīng)過(guò)IP網(wǎng)絡(luò)把數(shù)據(jù)包傳送到目的地后，再把這些語(yǔ)音數(shù)據(jù)包串起來(lái)，經(jīng)過(guò)解壓解碼處理后，恢復(fù)成原來(lái)的信號(hào)，從而達(dá)到由IP網(wǎng)絡(luò)發(fā)送語(yǔ)音的目的。其數(shù)據(jù)傳送過(guò)程如圖1所示。

圖1 VOIP數(shù)據(jù)傳送模型圖

2 國(guó)內(nèi)外狀況

國(guó)際上并沒(méi)有一個(gè)關(guān)于 VoIP的嚴(yán)格統(tǒng)一定義，不同國(guó)家對(duì) VoIP的認(rèn)識(shí)有所不同。相同點(diǎn)是全部的或部分的基于IP協(xié)議進(jìn)行信息傳輸，不同點(diǎn)是業(yè)務(wù)集不同，單一語(yǔ)音業(yè)務(wù)還是多業(yè)務(wù)集合。ITU給出的定義則是VoIP是在全部或部分基于以IP協(xié)議為基礎(chǔ)的分組交換網(wǎng)絡(luò)上傳輸融合語(yǔ)音、傳真和其他相關(guān)業(yè)務(wù)的電信業(yè)務(wù)。各國(guó)政府對(duì)VOIP的管制政策差異較大?？傮w來(lái)看，允許 VoIP合法存在的國(guó)家要比禁止VoIP的國(guó)家數(shù)量更多。很多發(fā)達(dá)國(guó)家認(rèn)為VoIP業(yè)務(wù)合法，并提出了明確的規(guī)定，近年來(lái)這些國(guó)家逐步出臺(tái)的各種規(guī)定，趨勢(shì)是要將VoIP和傳統(tǒng)電話一樣納入正常的社會(huì)管制政策要求范圍內(nèi)。大部分的發(fā)展中國(guó)家依然禁止或者要求VoIP服務(wù)者獲得需要專門的業(yè)務(wù)許可。目前的應(yīng)用現(xiàn)狀，按照語(yǔ)音終端的不同組合可分為 PC-PC、PC-Phone、Phone-Phone三種方式。

2.1 PC-PC

PC-PC方式的VoIP電話主要是通過(guò)即時(shí)通訊軟件和專用的語(yǔ)音聊天軟件來(lái)實(shí)現(xiàn)，用戶終端采用PC機(jī)，利用軟件實(shí)現(xiàn)語(yǔ)音的壓縮編碼和分組打包。這一業(yè)務(wù)屬于互聯(lián)網(wǎng)應(yīng)用，國(guó)家管制政策對(duì)其沒(méi)有明確的限制，所以從政策角度來(lái)講，目前還不能將其定位于非法 VoIP業(yè)務(wù)。該方式應(yīng)用的典型代表為即時(shí)通信軟件QQ、MSN等。

2.2 PC-Phone

PC-Phone方式的VoIP業(yè)務(wù)通過(guò)部署落地網(wǎng)關(guān)實(shí)現(xiàn)互聯(lián)網(wǎng)用戶到傳統(tǒng)電話用戶的通話功能落地網(wǎng)關(guān)部署的主要目的是為互聯(lián)網(wǎng)用戶提供對(duì)傳統(tǒng)電信網(wǎng)絡(luò)的呼叫，使得長(zhǎng)途線路完全通過(guò) Internet網(wǎng)提供，從而節(jié)省了大量的長(zhǎng)途通話費(fèi)用。PC-Phone方式的VoIP業(yè)務(wù)目前主要有兩種存在方式，第一種是基礎(chǔ)運(yùn)營(yíng)商在某些地區(qū)開(kāi)展的試商用網(wǎng)絡(luò)部署，是經(jīng)過(guò)工信部審批通過(guò)的；第二種是一些地下運(yùn)營(yíng)組織通過(guò)巧立名目向電信部門申請(qǐng)中繼線而經(jīng)營(yíng)的 VoIP業(yè)務(wù)，該方式是國(guó)家嚴(yán)令禁止的經(jīng)營(yíng)行為，屬于非法經(jīng)營(yíng)。

2.3 Phone-Phone

Phone-Phone方式通過(guò)本地接入網(wǎng)關(guān)和遠(yuǎn)端落地網(wǎng)關(guān)的配合，實(shí)現(xiàn)本地PSTN電話與普通異地PSTN電話的語(yǔ)音通信。該應(yīng)用的主要特點(diǎn)為，用戶通過(guò)一個(gè)IP電話接入號(hào)碼將PSTN話音引入IP網(wǎng)絡(luò)進(jìn)行傳輸，實(shí)現(xiàn)長(zhǎng)途語(yǔ)音業(yè)務(wù)IP化，從而使長(zhǎng)途通話費(fèi)用大大降低。該方式的VoIP技術(shù)于99年被傳統(tǒng)運(yùn)營(yíng)商引入，并進(jìn)行了大規(guī)模的商業(yè)部署，成為到目前為止最成功的商用VoIP部署模式。目前，只有6家傳統(tǒng)電信運(yùn)營(yíng)商擁有合法的Phone-Phone IP電話業(yè)務(wù)經(jīng)營(yíng)權(quán)，但是實(shí)際上也有一些非法運(yùn)營(yíng)商在經(jīng)營(yíng)此類業(yè)務(wù)，直接導(dǎo)致了合法運(yùn)營(yíng)商長(zhǎng)話收入的降低。另外由于互聯(lián)網(wǎng)缺乏流量控制的機(jī)制，非法VoIP業(yè)務(wù)侵蝕了大量的互聯(lián)網(wǎng)帶寬資源，使互聯(lián)網(wǎng)合法用戶的帶寬得不到保證。Phone-Phone方式的IP電話還有一種形態(tài)，即企業(yè)內(nèi)部點(diǎn)對(duì)點(diǎn)的IP電話，一般運(yùn)用在公司總部與分支機(jī)構(gòu)的語(yǔ)音通信中，終端仍采用傳統(tǒng)電話機(jī)，通話兩端分別架設(shè)IP語(yǔ)音網(wǎng)關(guān)，通過(guò)租用的IP專網(wǎng)實(shí)現(xiàn)語(yǔ)音通信，從而降低了龐大的企業(yè)通信費(fèi)用。這種方式目前應(yīng)用廣泛，由于其不涉及運(yùn)營(yíng)性質(zhì)，所以它是一種合法的VoIP應(yīng)用。

綜上所述，所謂非法 VoIP業(yè)務(wù)，主要是指未經(jīng)國(guó)家監(jiān)管部門允許而開(kāi)展的與傳統(tǒng)電話網(wǎng)有接駁的 PC-Phone或Phone-Phone VoIP業(yè)務(wù)，而利用VOIP實(shí)施犯罪的，全部存在于非法的VOIP業(yè)務(wù)中。

3 VOIP技術(shù)特性

目前，VOIP廣泛使用的協(xié)議是H323協(xié)議和SIP協(xié)議，其中世界上最大的VOIP運(yùn)營(yíng)商中國(guó)聯(lián)通使用的是H323協(xié)議，美國(guó)則使用SIP協(xié)議。這兩種協(xié)議在VOIP中特點(diǎn)如下：

3.1 基于H.323協(xié)議的VoIP的特點(diǎn)：

(1) H.323協(xié)議族大體分為媒體傳輸協(xié)議RTP/RTCP、信令控制H.225.0和RAS，其中RAS基于UDP傳輸，H.225.0基于TCP傳輸，它們使用知名端口號(hào)1718、1719、1720。

(2) H.323協(xié)議的VoIP，每次通話前都有一個(gè)呼叫建立的過(guò)程，在呼叫的消息中帶有建立呼叫的所有信息，包括被叫電話號(hào)碼、遠(yuǎn)端網(wǎng)關(guān)地址等，語(yǔ)音數(shù)據(jù)通過(guò)RTP承載。

(3) H.225.0/Q.931的首字節(jié)是0816H，Setup消息的消息類型是05H。

3.2 基于SIP協(xié)議的VoIP的特點(diǎn)：

(1) SIP協(xié)議可以用TCP承載，也可以用UDP承載，建立使用UDP承載。無(wú)論是TCP還是UDP承載，使用的端口號(hào)都是：5059、5060、5061；

(2) SIP協(xié)議采用文本傳輸，每行以CRLF結(jié)束；

(3) SIP協(xié)議的VoIP與H.323協(xié)議的VoIP一樣，每次通話前都有一個(gè)呼叫建立的過(guò)程，在呼叫的消息中帶有建立呼叫的所有信息，包括被叫電話號(hào)碼、本地網(wǎng)關(guān)地址、遠(yuǎn)端網(wǎng)關(guān)地址等，語(yǔ)音數(shù)據(jù)也是通過(guò)RTP承載；

(4) SIP協(xié)議的呼叫過(guò)程總體上由請(qǐng)求消息和響應(yīng)消息構(gòu)成，其原因是SIP協(xié)議建議承載在UDP報(bào)文上，而UDP在傳輸層不提供確認(rèn)機(jī)制，必須由應(yīng)用層來(lái)負(fù)責(zé)，因此每一個(gè)請(qǐng)求都要有響應(yīng)。

4 基于行為檢測(cè)的非法VOIP探測(cè)

VOIP數(shù)據(jù)包在互聯(lián)網(wǎng)上傳輸時(shí)，遵循網(wǎng)絡(luò)傳輸協(xié)議。其TCP/UDP報(bào)文使用的端口號(hào)是相對(duì)固定的1718、1719、1720和5059、5060、5061六個(gè)端口。通過(guò)對(duì)其使用端口的檢測(cè)及信令解析有無(wú)被叫電話號(hào)碼，可以確定是否為 VOIP數(shù)據(jù)包。前面談到非法VOIP定性是制度定性，即沒(méi)有通過(guò)工信部審批而設(shè)立的VOIP網(wǎng)關(guān)。因此，合法的VOIP網(wǎng)關(guān)地址一定是在管理部門備案的，將合法VOIP網(wǎng)關(guān)地址生成數(shù)據(jù)庫(kù)，以此對(duì)照上面檢測(cè)出的設(shè)立網(wǎng)關(guān)地址，即可知其所設(shè)立的VOIP是否合法。具體流程如圖2。

圖2 流程圖

5 結(jié)束語(yǔ)

基于行為檢測(cè)的非法 VOIP探測(cè)只是開(kāi)啟了非法 VOIP防控及打擊利用非法VOIP技術(shù)實(shí)施犯罪的第一步，對(duì)于非法 VOIP的定位和利用 VOIP 實(shí)施犯罪的取證及對(duì)非法VOIP的阻斷、干擾等方面仍然面臨許多技術(shù)難點(diǎn)和制度阻礙，因此對(duì)非法VOIP及利用非法VOIP實(shí)施犯罪的打擊防控道路任重而道遠(yuǎn)。

[1]馮衛(wèi)國(guó).試論網(wǎng)絡(luò)犯罪及其控制對(duì)策[J].2002.

[2]趙秉志.新千年刑法熱點(diǎn)問(wèn)題研究與適用(上).中國(guó)檢察出版社.2001.

[3]郭潔.網(wǎng)絡(luò)犯罪的刑法制衡[J].甘肅政法學(xué)院學(xué)報(bào).2004.

[4]金其高.犯罪學(xué)[M].中國(guó)方正出版社.2006.