По какому протоколу работает skype. Передача голоса по IP-протоколу и безопасность программы Skype

Решение проблем 30.11.2019

Решение проблем

Вчера состоялся выпуск первого альтернативного клиента для популярной программы общения через интернет - Skype. В отличие от предыдущих приложений это не оболочка для веб-версии, а полноценная реализация протокола взаимодействия.

Код клиента написан на Си с использованием Net Framework 4 и распространяется бесплатно, под лицензией GPL. Автор потратил несколько лет на изучение работы протокола и реверс инженеринг. На данный момент реализована версия протокола Skype 5.5 и работают только текстовые сообщения.

Программа пока рассчитана для работы в Windows, но учитывая ее свободную лицензию можно рассчитывать на то, что скоро появится версия и для Linux. А пока программу можно запустить и протестировать в Wine, только для этого должен быть установлен Net Framework 4.

Сначала после запуска мы видим окно ввода логина и пароля:

Для отправки сообщений сначала выбираем контакт двойным кликом, затем нажимаем кнопку Refresh VCard, чтобы получить информацию о нем.

Дальше можно набирать и отправлять сообщения. Чтобы загрузить историю переписки нажмите Resv MSG. В дальнейшем планируется эти кнопки убрать и сделать эти действия автоматическими. Программа еще не очень стабильна, но можно видеть, что основная функциональность работает.

Скачать исходники и исполняемые файлы программы можно на .

Политика безопасности

Политика безопасности программы включает в себя:

Уникальные имена пользователей.
Вызывающие абоненты должны ввести имя пользователя и пароль (некий иной код), подтверждающий их подлинность.
Любой вызывающий абонент обязан предоставить некое доказательство идентичности при каждой сессии. При этом, каждый пользователь самостоятельно решает добавлять ли вызывающего абонента в друзья или не добавлять.
Сообщения, которые передаются пользователям предварительно шифруются. Промежуточный узел (маршрутизатор) не имеет прав доступа к содержимому данных сообщений. Хотя, в 2013 году Microsoft начал пинговать уникальный адрес URL пользователей, что говорит о возможности прослушки Skype .

Регистрация

Skype хранит регистрационную информацию как на компьютере пользователя, так и на сервере программы. Данная информация необходима для аутентификации абонентов и для проверки подлинности пользователей. Заметим, что программное обеспечение имеет открытое шифрование RSA.

Система RSA - одна из первых криптосистем с открытым ключом. Широко используется для обеспечения безопасной передачи данных. В такой криптосистеме, ключ шифрования является публичным, а ключ дешифрования - держится в секрете. В RSA эта асимметрия базируется на практических трудностях получения факторинговых произведений 2-х больших простых чисел.

Сервер Skype имеет свой собственный, секретный ключ, который раздает пользователям при каждой копии ПО. В период регистрации, пользователь самостоятельно подбирает желаемый логин и пароль. При этом, программа Skype в локальном режиме генерирует открытые и закрытые (секретные) ключи. Закрытый ключ и хэш пароль хранятся на компьютере пользователя.

Когда 256-битное AES-шифрование устанавливает связь с сервером Skype, программа в автоматическом режиме создает ключ сеанса, используя генератор случайных чисел. Затем, при подтверждении уникальности имени пользователя сервер Skype формирует и подписывает определенный сертификат, который удостоверяет личность (имя пользователя). В результате, сервер связывает имя абонента с уже проверенным ключом и идентификатором ключа.

Нюансы вызовов

Для каждого вызова Skype создает сеанс с 256-битным ключом. Эта сессия существует не только пока общение между абонентами продолжается, но и после завершения разговора, в течении фиксированного времени. При соединении вызова программа надежно передает ключ сеанса для 2-х или нескольких получателей вызова. Этот ключ используется для шифрования сообщений в обоих направлениях.

Криптография сессии

Весь трафик в сессии шифруется с помощью алгоритма AES, который работает в режиме целочисленного счетчика (ICM). Skype шифрует текущий счетчик и ключ сеанса (с использованием 256-разрядного алгоритма AES). В свою очередь данное действие возвращает ключ потока с содержанием сообщений, который затем подвергается операции XOR. Как результат - сообщения пользователей шифруются и передаются получателю (получателям).

Отметим, что сеансы Skype содержат несколько потоков. При этом, ICM счетчик зависит не только от потока, но и от расположения в потоке.

Генерация случайных чисел

Skype использует случайные числа для нескольких криптографических целей, например, в качестве:

Создания ключевых пар RSA.
Защиты от атак воспроизведения.
Создания AES ключевых половинок для шифрования содержимого.

Безопасность ортогональной сессии (P2P) Skype зависит от качества сгенерированных случайных чисел. При этом, генерация случайных чисел, а, следовательно, и возможность прослушки Skype, варьируется в зависимости от операционной системы пользователей .

Криптографические системы

Skype использует стандартные системы криптографии для достижения своих целей в области безопасности. Программа использует:

Стандарты Advanced Encryption Standard (AES), которые являются спецификацией для шифрования электронных данных, установленных Национальным институтом стандартов и технологий (NIST) в 2001 году.
Стандарты RSA.
Системы ISO 9796-2.
Функции SHA-1 (хэш-функции), разработанные Агентством Национальной Безопасности США. Функции входят в состав федеральных стандартов обработки информации.
Шифр RC4, который применяется в популярных протоколах, таких как: Transport Layer Security (TLS) - для защиты интернет-трафика; WEP - для защиты беспроводных сетей.

Ключ протокола согласования

Ключ согласования создается при использовании системного, симметричного протокола. Для защиты от прослушки, Skype использует случайные 64-разрядные временные промежутки для вызова равноправных узлов пользователей . В результате происходит настройка вызова и возвращение подписей закрытых ключей оппонентов.

При этом, узлы обмена подтверждают удостоверения личности (имя) пользователя и сверяют законность сертификатов. Т.к. удостоверения содержат открытые ключи, каждый конец ключа должен подтверждать подпись оппонента. При этом, любой пользователь вносит некий вклад в создание 128-битного случайного кода (зашифрованное имя пользователя), который входит в состав основного, 256-битного кода сессии.

Автоматическое обновление

Автоматическое обновление можно назвать одним из основных рисков для прослушки Skype . Особенно это касается версий до 5.6, созданных для Windows или Mac OS. Отметим, что обновление можно отключить только в версиях от 5.9 и то, лишь в некоторых случаях.

Прослушка Skype

Китайские, российские и американские правоохранительные органы имеют возможность прослушивать Skype-разговоры . Помимо этого, они имеют доступ к личной информации пользователей, а также их месторасположению. Эта функция была сознательно добавлена Microsoft после приобретения программного обеспечения в 2011 году. Реализуется прослушка Skype через переключение пользователей с системам клиентского шифрования на шифрование серверное. Этот нюанс позволяет распространять незашифрованные потоки данных.

Данный принцип был использован и в шпионских программах подобных VoiceSpy, которые на данный момент позволяют отслеживать личную информацию пользователей и их сообщения (в том числе и речь).

Основные изъяны в системе безопасности

В то время как Skype шифрует сессии пользователей, остальной трафик, в том числе и инициирование вызова, можно контролировать при помощи шпионских программ. Еще две опасности таятся в самих системах пользовательских компьютеров и в интернет-трафике.

В ноябре 2005 года пара изъянов были обнаружены и исправлены. Хотя эти недостатки позволили хакерам запустить в систему некий вредоносный код:

Первая ошибка влияла лишь на системы Microsoft Windows. В результате, злоумышленники сумели использовать переполнение буфера обмена и приводить систему либо к полному краху, либо к выполнению произвольных задач. При этом, злоумышленники обеспечивали формирование неправильных URL, используя формат Skype URI для последующего заражения пользователей программы.
Вторая ошибка безопасности затронула все платформы системы. Они были использованы для переполнения динамической памяти и, как следствие, делали компьютерную систему пользователей уязвимой к любым атакам извне.

13 ноября 2012 года русский пользователь опубликовал описание еще одного изъяна в безопасности Skype, позволяющий любому непрофессиональному злоумышленнику взломать учетные записи пользователей мессенджера, зная лишь их электронную почту и используя 7 простых шагов. Данная уязвимость просуществовала еще в течении нескольких месяцев, пока разработчики смогли ее устранить.

Заметим, что по умолчанию, Skype автоматически записывает все данные о вызовах (но не их содержание) в «Историю», которая сохраняется на компьютере пользователя. При этом, злоумышленники, которые сумели получить доступ к компьютерной системе пользователя, могут считать этот файл.

Skype может потреблять пропускную способность интернет-трафика пользователей. Хотя данный факт и описан в лицензионном соглашении (EULA), однако нигде не прописаны объемы использования трафика данного рода.

В программе существуют порядка 20 тыс. supernode (так называемых суперузлов), которые несут в себе контролируемый трафик до 10 Кб/с. Остальной трафик пользовательских данный распределяется со скоростью 15 Кб/с (данные приведены на основании одного аудиофайла конференц-связи). Такие узлы, как правило, не обрабатывают более одной ретранслируемой связи.

Функция передачи файлов в Skype не интегрируется с продуктами антивирусных систем. Хотя при этом, разработчики программы утверждают, что программный продукт испытывался на антивирусе Shield.

Система ПО не документирует все события в области коммуникации. Этот момент говорит о том, что системные администраторы не могут точно сказать, что делает программа в данный момент времени. Помимо этого, Skype можно легко заблокировать используя межсетевые экраны.

Программа снижает пропускную способность сети даже при простое (не только для суперузлов, но и для прохождения NAT). Например, если было бы в мире лишь 3 пользователя использующих Skype, 2 бы из них общались, а третий все равно бы тратил интернет-трафик, даже если он не применяет программу в данный момент времени. При этом, большое количество пользователей может привести к проблемам производительности компьютерной системы пользователя в режиме ожидания и, как следствие - позволяет нарушить систему безопасности.

Система безоговорочно передает любой поток сообщений, подчиняясь лишь протоколам. Также программа не запрещает введение параллельных сессий.

Отсутствие экспертной оценки запрещает проводить внешнюю проверку кода безопасности.

Skype до версии 3.0.0.216 создавал файл с именем 1.com во временном каталоге, который считывал все данные BIOS. Разработчики программы утверждали, что это необходимо для идентификации компьютеров и обеспечения защиты DRM плагинов. Позже они удалили этот файл, но пока не известно было ли удалено считывание BIOS.

Обработчик URI, который проверяет URL-адреса определенных файлов, использует тематические методы чувствительных сравнений. При этом, не проверяя все возможные форматы файлов.

В то время как мессенджер делает шифрование большинства сообщений, пакеты, содержащие рекламу, остаются незашифрованными, подтверждая межсайтовую уязвимость. Данная реклама может быть легко перехвачена и заменена на вредоносные данные.

Приватность в Skype может быть ограничена. Хотя программа и шифрует сообщения между пользователями, пресс-секретарь Skype не отрицает возможность перехвата данной информации. На вопрос о том, может ли программа прослушивать связь своих пользователей, Сауэр К., начальник отдела безопасности системы, ответил весьма уклончиво: «Мы обеспечиваем безопасность средств коммуникации, и я не обязан обсуждать прослушиваем ли мы своих пользователей или нет?». Это говорит о том, что Skype имеет возможность подслушивать пользователей.

Эксперты по безопасности Biondi и Desclaux полагают, что мессенджер может иметь некую заднюю дверь, через которую программа отправляет личную информацию пользователей. Это подтверждается наличием скрытия функционирования и трафика программы и тем, что интернет-трафик может пересылаться даже когда программа не активирована.

Несколько источников СМИ сообщили, что на встрече о «законном перехвате услуг, основанных на IP», которая состоялась 25 июня 2008 года, высокопоставленные, но не названные чиновники австрийского министерства внутренних дел сообщили о том, что они могут прослушивать разговоры Skype без особых проблем. Австрийское сообщество вещания, с ссылкой на протокол заседания, сообщило что «австрийская полиция в состоянии прослушивать разговоры по Skype». Разработчики программы отказались прокомментировать данную информацию.

Клиенты ПО для ОС Mac могут иметь доступ к защищенной информации адресной книги, даже если интеграция с адресной книгой (по умолчанию) отключена в настройках. При этом, пользователи могут увидеть предупреждение Skype.app при попытке доступа к защищенной информации адресной книги при определенных условиях. Например, при запуске программы во время ее синхронизации с мобильным устройством. Отметим, что Skype не имеет законных оснований для доступа к адресной книге, если интеграция не включена. Помимо этого, степень интеграции, такая как добавление всех контактных номеров адресной книги в список Skype вместе с их телефонными номерами может осуществляется без наличия доступа к любой защищенной информации (имени, цифр, дополнительных данных). Таким образом, попытка доступа к информации выходит за рамки интеграции, независимо от того, включено разрешение в настройках или не включено.

Другие материалы:

Современные мессенджеры стали частью нашей жизни. Программы мгновенного обмена сообщениями помогают нам на работе, в личной жизни, при общении с детьми. Рассмотрим еще один способ использования мессенджеров их запись для последующей обработки и анализа деятельности работников предприятия, детей либо супруга (супруги).

Skype технологии являются собственностью телекоммуникационной компании Microsoft штаб-квартира которой расположена в Люксембурге. Программное обеспечение программы лицензировано. Skype передает голосовые сообщения по IP (VoIP). ПО впервые...

В отличии от коммуникации каналов телефонной сети, IP-телефония является менее надежной, т.к. она не обеспечивает гарантии работы сетевых механизмов. Т.е. в процессе работы системы пакеты данных могут попросту затеряться либо передаться конечному пользователю не в той последовательности.

Общение по Skype пользуется популярностью в бизнес кругах. Оно незаменимо для проведения конференций и совещаний, когда нет возможности присутствовать лично. В любом случае наличие навыка такого общения будет вам только в плюс.

Описаны последствия внедрения в Скайп технологии законного прослушивания разговоров государственными спецслужбами для различных слоёв общества.

Программа для записи skype отлично справилась с созданием клипа встречи выпускников в скайп-конференции.

В настоящее время всё больше контактов в сети Интернет ведется по skype. Для того, чтобы аккуратно и качественно сделать запись разговоров skype, нам потребуется специальная программа. Программа для записи skype, VoiceSpy, подходит для этих целей как нельзя лучше.

Будет ли прослушиваться скайп фсб и другими спецслужбами? Пока skype остаётся для всех "черным ящиком", недоступным для перехвата вне компьютера.

Skype более не является закрытом протоколом. Объявлено, что отечественный хакер взломал протокол и механизмы шифрования данных. Как сообщается, взлом был осуществлен методом реверс-инжиниринга, который обычно используется для взлома программ, игр и т.п.

Что это значит, если разобраться. Взяли клиентскую программу Skype дизассемблировали ее, поняли как работает протокол и механизм шифрования. Сколько на это было потрачено времени не понятно. Но судя по всему хакер работал один. Так как в данный момент он приглашает к сотрудничеству единомышленников (читай других хакеров), который располагают, цитирую: «достаточным запасом времени» для завершения проекта.

«Достаточный запас времени», понятие растяжимое и можно предположить, что хакер потратил не один год на разбор программы, когда работал один. Это хорошая иллюстрация того, что при должном подходе в защите кода программы можно растянуть время понимания ее работы на очень долго. Особенно если хакер не знаком с базовыми принципами построения разбираемой защиты.

Для Skype сейчас могут наступить сложные времена. Помимо того, что компании необходимо срочно решать вопрос со стабильностью работы самой программы (в последнее время она частенько вылетает), необходимо переработать протокол и защиту кода. Причем менять кардинально, иначе следующий взлом не заставит себя ждать. Документация по протоколу, появившаяся в интернете сейчас, позволит другим хакерам на ее основе взламывать код программы значительно быстрее, чем раньше в случае косметических изменений.

Вообще защита кода программы может преследовать различные цели и не только защиту кода самого по себе от анализа. Защита кода это и защита от вирусов, способных модифицировать работу программы в реальном времени и защита от проникновения злоумышленников через уязвимые места программы в систему целиком. И как мы видим на последнем примере, при помощи защиты кода можно решать и вопросы безопасности протокола передачи данных.

Традиционно защита кода программ от анализа и взлома занимает небольшую часть индустрии IT безопасности. Ей уделяют не много внимания и часто опускают. Например, вы вряд ли найдете специализированную выставку или конференцию, посвященную только этому вопросу. Зато защита персональных данных на каждом углу. Наверно следует подумать, что защита любых данных начинается с защиты программ, их обрабатывающих. Так, чтобы хакеру потребовались годы работы прежде чем он сможет понять как устроена программа и уж потом красть какие-то данные, проходящие или генерируемые ею.

Описание

URL-протокол skype: позволяет создавать парные звонки (то есть звонки один на один), а так же конференц-звонки, видео звонки и чаты .

Примечание

По умолчанию, перед осуществлением вызова, локальная программа Skype выводит диалоговое окно подтверждения вызова. В этом диалоговом окне так же имеется возможность отключения его вывода в дальнейшем при осуществлении вызова.

Условия использования

Если список указываемых (с помощью телефонных номеров или логинов Skype) собеседников больше одного, то номера или названия учётных записей (логинов) Skype разделяются точкой с запятой (например, interlocutor1;interlocutor2;...;interlocutorN).

Поддержка браузерами

Статья

URL-составляющие

Аудио и видео вызовы

Аудио вызовы делятся на явные и не явные . Не явные аудио вызовы подразумевают указание в протоколе только списка собеседников.

skype:interlocutor1;interlocutor2;...;interlocutorN.

Явные аудио вызовы подразумевают указание в протоколе « skype: » не только списка участников, но и аргумента « call ».

Call Указывает явный аудио вызов. При этом так же допускается установка дополнительных аргументов, таких как аргумент видео и аргумент темы:

topic ‒ позволяет указать для конференц-звонка строку с темой беседы, которая будет отображаться у всех участников конференции. При этом необходимо помнить, что указанная таким образом тема является частью URL адреса, поэтому строка названия темы должна соответствовать URL критериям, то есть необходимо экранировать некоторые специальные символы. Например, пробел заменяется символами « %20 ». В противном случае если пробелы не заменить на соответствующие символы, то обработчик примет в качестве названия темы символы до первого пробела, а символы после пробела будут восприняты как дополнительные аргументы, которые могут быть проигнорированы или поняты неправильно.
skype:interlocutor1;+1234567890;...;interlocutorN?call&topic=Строка%20темы

Для того что бы конкретно указать аудио вызов без видео необходимо задать аргумент « video » со значением « false » (video=false).
video ‒ Аргумент видео вызова. При осуществлении звонка между пользователями Skype, автоматически включается обмен видео (если в силу технических возможностей таковой возможен) между собеседниками. При указании нескольких участников осуществляется групповой видео вызов. При этом количество участников видео беседы ограничено до десяти, с рекомендуемым количеством не более пяти для обеспечения наилучшего качества вызова.
skype:interlocutor1;+1234567890;...;interlocutorN?call&video=true

Примечание: участники, использующие мобильные устройства могут присоединиться к групповому видео звонку только по средствам голосового общения.

Чаты

Создаёт парные диалоги и групповые чаты .

Если разговор осуществляется с участником или участниками, с которыми в истории уже имеются разговоры, то Skype приложение открывает уже существующий разговор, а если такового разговора в истории Skype не существует, то создаётся новая беседа. Если при этом открывается уже существующий разговор (имеющий определённую тему) и при помощи аргумента « topic » так же указывается тема, то приложение Skype меняет тему разговора на новое значение.

topic ‒ Аргумент темы чата. Специальные символы в значении темы аргумента (например, пробелы), так же как и в случае с аудио звонками должны быть экранированы.
skype:interlocutor1;+1234567890;...;interlocutorN?chat&topic=Строка%20темы

Приложились те же люди, которые разработали первую программу для файлообмена KaZaA. К сожалению, Skype унаследовал худшие черты своего предшественника: VoIP -программа работает как самоорганизующаяся распределенная пиринговая сеть (P2P). Skype представляет собой эдакий "черный ящик", в котором есть многоуровневая система шифрования. Также система использует антиотладочные приемы исполняемого файла, что, в свою очередь, предоставляет возможность скачивания с компьютера конфиденциальной информации и передачи ее в сеть , используя закрытый протокол . Упомянутый протокол имеет возможность обходить межсетевые экраны, а также ловко маскирует свой трафик , что препятствует его блокированию. Все эти "супер-способности" Skype делают его отличным разносчиком вирусов , червей и дронов, которые основывают внутри сети Skype свои персональные распределенные сети. Вдобавок к этому, Skype достаточно нагло использует ресурсы узла пользователя , напрягая центральный процессор и формируя мощный поток трафика , который редко, а в особенности в России, бывает бесплатным. Получается, что звонки являются бесплатными весьма условно.

В структуре Skype -сети можно обнаружить: обычные узлы (SC - Skype Client) и супер-узлы (SN - Super Node). Узел , имеющий публичный IP-адрес и обладающий довольно широким каналом, автоматически переходит в разряд супер-узлов и служит для прогонки трафика узлов SC, содействуя им в преодолении защиты (например, преодоление межсетевых экранов или трансляторов сетевых адресов) и одинаково распределяя нагрузку между хостами. Эта самоорганизующаяся распределенная децентрализованная пиринговая сеть обладает централизованным элементом - Skype -login -сервером , который является ответственным за авторизацию Skype -клиентов и дает гарантию уникальности позывных для этой распределенной сети.

Появившуюся проблему можно решить с помощью протокола TURN. Этот протокол повышает латентность и возможность потери большого количества UDP-пакетов , а это пагубно отражается на качестве и устойчивости связи.

В этом случае администраторы закрывают UDP-трафик . Skype , тем временем, автоматически подключается на новый TCP. Администратор, конечно, может закрыть все неиспользуемые порты , но не тут-то было, ведь таких портов нет. Соединяясь с удаленным узлом, операционная система присваивает клиенту любой свободный TCP/UDP-порт, который будет использоваться для получения пакетов . В случае если закрыть все порты , установить TCP/UDP-соединения окажется невозможным.

Выход из этой ситуации только один - отключить прямой доступ в Интернет и заставить всех пользователей заходить через proxy-сервер . Хотя и эти меры окажутся бесполезными: Skype "ознакомится" с конфигурацией браузера и будет использовать proxy-сервер как свой родной.

Блокирование трафика Skype

Разработчики Skype предупреждают администраторов, что любые попытки выявления и блокирования его трафика окажутся безуспешными, так как распознавание Skype -трафика очень сложный процесс, а его блокировка возможна только по зашифрованному и не содержащему никаких логичных последовательностей содержимому. Но, в связи с тем, что разработчики Skype пропустили некоторые моменты, есть и незашифрованная часть трафика . Анализатор трафика может выявить UDP-соединение, использующее открытый протокол с целью получения публичных IP-адресов супер-узлов , а RC4-поток дважды используется TCP-соединением, что предоставляет возможность расшифровать часть постоянных полей заголовков протокола Skype и вычислить 10 первых байт ключа путем расшифровки части постоянных полей заголовков Skype -протокола . К сожалению, на данный момент не существует полностью готового блокиратора Skype -трафика .

UDP-трафик намного проще распознаваем, и его легче заблокировать. Двухбайтовый идентификационный номер (ID) и тип пакета (payload) идут в начале каждого фрейма. В UDP-пакете есть 39-байтный NACK-пакет , который пропущен через программу, производящую обфускацию, и содержит в себе данные идентификатора пакета , номера функции (func), который пропущен через обфускатор, IP отправителя и IP получателя.

Из этого следует, что для блокировки UDP-трафика необходимо добавить в брандмауэр следующее правило:

Блокировка UDP-трафика ничем не поможет, ведь Skype автоматически переходит на TCP, но и в этом случае можно кое-что сделать. Заголовки входящих IP-