Análise de desempenho de tráfego VoIP utilizando o Protocolo IP Security

Análise de desempenho de tráfego VoIP utilizando o Protocolo IP Security Alexandre Passito1*, Edjair Mota1*, Saulo Queiroz1*, Eduardo Bezerra1*, Leandro Galvão1* Laboratório de Voz sobre IP – Universidade Federal do Amazonas (UFAM) Av. Gen. Rodrigo Octávio Jordão Ramos, 3000 – 69077-000 – Manaus – AM – Brasil 1

{apq,edjair,sjbq,ebv}@dcc.ufam.edu.br, [email protected]

Abstract. This paper conducts an investigation of the impacts on the quality of voice over IP using a largely used security mechanism to keep the confidentiality of the data in IP networks, and that will become a security standard for IPv6: the IP Security. The analyses will be based on observations about some of the main parameters that determine the quality of service in VoIP: overall packet delay and lost packages. Finally, we intends to do a comparative analyze of the obtained results using the Blowfish, DES and 3DES algorithms to encrypt the voice data. Resumo. Este artigo realiza uma investigação dos impactos causados na qualidade de ligações voz sobre IP, mediante a utilização de um mecanismo de segurança amplamente utilizado para manter a confidencialidade dos dados em redes IP, e que será adotado como modelo de segurança para o IPv6: o IP Security. As análises serão baseadas em observações sobre alguns dos principais parâmetros que determinam a qualidade do tráfego VoIP: atrasos totais dos pacotes e perdas. Finalmente, pretende-se fazer uma análise comparativa dos resultados obtidos mediante a utilização dos algoritmos Blowfish, DES e 3 DES para criptografar dados de voz.

1. Introdução As comunicações através da Internet têm sido modificadas continuamente ao longo do tempo. Desde a sua criação, quando seu uso era militar e acadêmico, até os dias atuais onde podemos encontrar torradeiras conectadas à rede, ela passou por transformações tanto em relação a seus usuários quanto em relação aos mecanismos utilizados para entrega dos dados em cada ponto da rede. Uma das tecnologias que estão atualmente sendo desenvolvidas para a Internet é a tecnologia Voz sobre IP, a qual reúne um conjunto de protocolos que viabilizam o serviço de telefonia através das redes IP. São várias as motivações para que haja a migração para a telefonia IP: redução de custos em implantação e manutenção, pois a arquitetura utiliza-se das redes de dados IP existentes, o custo alto de se manter uma rede de PBXs e a redução de custos em ligações de longa distância. Outra motivação é a possibilidade de se introduzir novas funcionalidades à telefonia digital, como a integração com a WEB, voice-mails e telefones inteligentes.

1

Parcialmente suportado pelo convênio UFAM/Instituto Nokia de Tecnologia.

O sucesso da implantação do serviço de voz nas redes IP aponta para outro desafio: proporcionar mecanismos de segurança para dados de voz sem comprometer a qualidade do serviço. Tal necessidade surge devido as redes IP não possuírem nenhuma característica de segurança inerente e, desta forma, os serviços de transmissão de voz podem ser alvos de ataques de intrusos como, escutas eletrônicas, ataques de reprodução e falsificação de informações. Implementar mecanismos de segurança eficientes para garantir a confidencialidade desses dados de voz pressupõe a utilização de soluções existentes de criptografia e autenticação, pois devido as características peculiares da tecnologia Voz sobre IP, é necessário verificar o quanto esses métodos influenciam no tráfego de voz, que necessita trabalhar em tempo real, levando em consideração atrasos e perdas de pacotes (HERSENT, 2002). O protocolo IP Security é uma solução proposta pela IETF (Internet Engineering Task Force) para fornecer autenticação, integridade e confidencialidade aos dados na camada de rede. Essa solução propõe novos modelos de cabeçalhos e gerenciamento de chaves a serem utilizados com o IPv6 ou IPv4. O IPSec pode ser utilizado na implementação de VPNs (Virtual Private Networks) que oferecem o serviço de transporte de voz através de um canal seguro, onde os pacotes VoIP ficam protegidos no interior de um túnel criado pelo IPSec através de uma arquitetura robusta de segurança. Esse trabalho se propõe a realizar uma análise de desempenho do tráfego VoIP em um cenário de geração e recepção de chamadas telefônicas, através de parâmetros que determinam a qualidade de serviço, quando esse tráfego está sendo submetido aos mecanismos de segurança oferecidos pelo IPSec. Realiza também uma análise comparativa dos principais algoritmos utilizados na criptografia dos pacotes de voz. Além desta seção introdutória, o artigo é composto de mais sete seções. A seção 2 introduz alguns dos principais conceitos da tecnologia Voz sobre IP. A seção 3 apresenta uma motivação para se oferecer segurança a tecnologia e a seção 4 aborda o protocolo IP Security. As seções 5 e 6 apresentam os cenários e resultados obtidos dos experimentos e a seção 7 apresenta conclusões e sugestões de trabalhos futuros.

2. A tecnologia Voz sobre IP A tecnologia Voz sobre IP é um conjunto de protocolos que permitem que o tráfego de voz seja transportado em redes IP. A voz é submetida a protocolos de codificação e decodificação (codecs) que definem como os sinais de voz são digitalizados. Uma vez que ela está em forma digital, ela é introduzida em pacotes de dados e enviada através das redes IP utilizando protocolos de transporte como o UDP e o RTP (Real Time Transport Protocol). Quando chegam ao destinatário esses pacotes são reordenados e convertidos de volta para a forma analógica. Protocolos de controle e gerenciamento são definidos para oferecer a sinalização e a funcionalidade da rede.

O desenvolvimento inicial da Internet e do protocolo IP não comportavam a transmissão de mídia de tempo real (BALBINOT et al, 2003) e, dessa forma, os protocolos tradicionais da família TCP/IP, como o TCP e o UDP, não se mostraram adequados para o seu transporte. A transmissão de voz exige certas propriedades como baixa latência (atraso) origem-destino, baixa variação da latência, taxas de perdas de pacotes e erros de bits baixa. Mas a Internet caracteriza-se por perder e atrasar muitos dados em curtos espaços de tempo geralmente onde ocorrem os congestionamentos, e assim interromper o fluxo de dados, que em VoIP é o fluxo de reprodução da fala, causando danos severos à comunicação. Com isso, a complexidade de Voz sobre IP passou a encontrar-se na sutileza de se introduzir um serviço de tempo real em uma rede que apresenta várias desvantagens, como a possibilidade de atraso na entrega dos pacotes ou mesmo o descarte desses pacotes no canal de transmissão. Caracterizar as flutuações do tráfego de voz na rede se torna uma atividade importante para a manutenção da qualidade de serviço (QoS) em Voz sobre IP, pois estas flutuações influenciam diretamente sobre a qualidade da voz que será transportada e executada para o receptor. Em VoIP é importante quantificar os atrasos que a rede impõe sobre os pacotes (atraso fim a fim), a variação desse atraso (jitter) e o número de pacotes que foram descartados ou perdidos durante a transmissão. Protocolos de QoS podem ser utilizados aqui para garantir que esses parâmetros sejam obedecidos, como a arquitetura Diff-serv. Este trabalho se limita a utilizar dois principais parâmetros que medem a qualidade de serviço em uma comunicação VoIP, já que para que o mecanismo de segurança oferecido pelo IPSec seja eficiente, deve-se levar em consideração o impacto sobre esses parâmetros: atraso fim a fim e a perda dos pacotes. A quantificação desses parâmetros é recomendada pela ITU.

3. A segurança na tecnologia Voz sobre IP A tecnologia utilizada para transmissão de voz em redes IP representa um novo vetor para discussões sobre potenciais problemas de segurança, mas não introduz novas vulnerabilidades que não tenham sido encontradas anteriormente na Internet. Se essas tecnologias forem comparadas com a telefonia convencional, onde a interceptação da comunicação deve ser feita por meio físico através de escutas, colocar a voz em pacotes e enviá-los através da rede os torna mais acessíveis e fáceis de interceptar. Mas, com a convergencia de voz e dados em redes IP, pode-se incluir novas funcionalidades de segurança que antes não eram possíveis de ser introduzidas na RTPC, como a criptografia dos dados de voz transmitidos. Segurança e eficiencia são muitas vezes requisitos conflitantes. Apesar de haver áreas na Internet onde o impacto dessas mecanismos de segurança é menor, as aplicações em tempo real como VoIP podem ser seriamente afetadas. Com a introdução de uma outra camada para garantir a segurança, esses serviços oferecidos podem tornar mais lentas as transmissões de pacotes, muitas vezes não sendo aceitáveis para transmissões em tempo real, como alguns mecanismos de criptografia. Então vários aspectos devem ser analisados quando se tenta transmitir esses tipos de mídia através de canais seguros (BARBIERI, 2002).

Duas abordagens podem ser utilizadas na investigação de mecanismos de segurança eficientes para VoIP. Uma é a introdução desses mecanismos na funcionalidade dos protocolos de sinalização. O H.323 possuí a recomendação H.235 que diz quais algoritmos de criptografia e autenticação devem ser utilizados na comunicação de gatekeepers, terminais e gateways. O SIP possuí soluções que devem ser inseridas nas mensagens de controle e no canal de mídia entre os proxies e os agentes usuários. Esses mecanismo são implementados na camada de aplicação. A outra abordagem baseia-se na utilização de Redes Privadas Virtuais seguras para transmissão dos dados de voz. Essas redes virtuais implementam seus protocolos de segurança dentro da camada de rede do modelo TCP/IP garantido a confidencialidade do canal TCP e RTP, que podem ser criptografados e autenticados. Isso significa que ela não interfere diretamente na tecnologia VoIP e pode ser inclusive aplicada a outros tipos de mídia. Qualquer um desses mecanismos garantem a segurança da mídia de voz, não sendo necessária a utilização de duas implementações, uma na camada de rede e outra na camada de aplicação. Este trabalho utiliza a segunda abordagem e como veremos na próxima seção, o protocolo IP Security é uma das opções para se autenticar, criptografar e garantir a integridade dos dados, sendo o principal protocolo de segurança utilizado em VPNs. Essas VPNs poderão oferecer ao serviço de Voz sobre IP técnicas de segurança robustas como algoritmos de criptografia de dados (Blowfish, 3DES e DES), criptografia de chave pública, autenticação de fontes e certificados digitais. A próxima seção demonstra também que o IPSec introduz algumas restrições ao tráfego de voz, como o aumento dos pacotes devido a criação de novos cabeçalhos. Isso aumenta o tamanho do cabeçalho frente ao tamanho do payload, ocupando a maior parte da banda com informações redudantes de cabeçalhos, além do que o tempo necessário para aplicar cabeçalhos e os mecanismos de criptografia podem introduzir uma atraso adicional para a transmissão.

4. O protocolo IP Security O protocolo IP Security é uma plataforma aberta formada por um conjunto de padrões que buscam garantir a privacidade das comunicações sobre as redes IP (IPv6, mas pode ser aplicável ao protocolo IPv4). Esses padrões definem vários novos formatos de cabeçalhos para prover autenticidade e integridade dos dados (KENT, 1998a). O IPSec pode ser utilizado para proteger um canal de comunicação entre dois sistemas finais diretamente conectados ou entre dois sistemas intermediários, chamados de gateways de segurança, onde os sistemas finais estão conectados. Os serviços são oferecidos através de dois protocolos de segurança de tráfego, o protocolo AH (Authentication Header) que realiza a autenticação e o protocolo ESP (Encapsulating Security Payload) que é uma combinação de autenticação e criptografia. Estes protocolos podem ser implementados sozinhos ou ao mesmo tempo, dependendo das necessidades do serviço de segurança.

Os protocolos AH e ESP são modulares e não são definidos algoritmos de segurança específicos, mas, por questões de interoperabilidade, estes protocolos estabelecem que todas as implementações IPSec suportem alguns algoritmos prédefinidos. A maioria das implementações devem suportar MD5 ou SHA (Secure Hash Algorithm) para a realizar autenticação da fonte e, para realizar a criptografia suportam o DES e 3DES, embora existam documentações disponíveis que definem o uso de outros sistemas de criptografia (KUROSE, 2003), inclusive o Blowfish utilizado neste trabalho. 4.1 Associação de Segurança (AS) Uma conexão do IPSec oferece criptografia e autenticidade dos dados, sendo necessário que as duas partes comunicantes determinem quais algoritmos utilizar e compartilhem as chaves criptográficas das sessões. Uma associação de segurança (Security Association) é o método que o IPSec utiliza para gerenciar as particularidades das sessões seguras entre duas ou mais entidades, transformando a camada de rede, que não é orientada à conexão, em uma rede com conexões lógicas. Uma associação de segurança é uma "conexão" que viabiliza o tráfego de serviços seguros. Esses serviços são oferecidos por uma AS por meio dos protocolos AH ou ESP. Uma AS é identificada por três parâmetros, consistindo de um SPI(Security Parameter Index), um endereço IP de destino e um identificador do protocolo de segurança (AH ou ESP). O SPI é um valor de 32 bits que identifica uma Associação de Segurança, sendo definido durante uma negociação que antecede o estabelecimento da mesma. O endereço IP de destino (IPv4 ou IPv6) é assumido como unicast, mas sua definição pode ser extendida para os casos de broadcast e multicast. O identificador de protocolo especifica o protocolo de segurança que será aplicado ao tráfego dentro de uma AS. Uma AS pode operar de duas maneiras: transporte e túnel. No modo de transporte, em uma AS entre duas entidades, somente o segmento da camada de transporte é criptografado e autenticado. O cabeçalho do protocolo de segurança (AH ou ESP) aparece imediatamente após o cabeçalho IP e antes dos protocolos das camadas superiores. O endereço IP de origem e destino ainda estão abertos para verificação, caso os pacotes sejam interceptados. No modo túnel, o tráfego IP gerado pelas entidades são capturados por um gateway de segurança e são criptografados. Esses pacotes são encapsulados novamente em pacotes IP, com endereços de origem e destino dos gateways de segurança, e enviados pela rede para um outro gateway de segurança, que irá desencapsular a informação e a enviará para o destino. Sistemas em tempo real como as aplicações VoIP necessitam de confidencialidade e como geralmente a criptografia não é realizada nos sistemas finais, e sim em gateways, a melhor escolha para tornar o tráfego de voz seguro é utilizar o cabeçalho ESP em modo túnel (BARBIERI, 2002).

Figura 1 - Os modos transporte e túnel no IPSec e as associações de segurança criadas.

A maior vantagem do modo túnel é que os sistemas finais não precisam ser modificados para utilizar os serviços do IPSec. O modo túnel também protege contra a análise do tráfego, pois é possível apenas determinar os endereços dos gateways de segurança e não os endereços reais de origem e destino dos pacotes dentro dos túneis. 4.2 Os protocolos AH e ESP O protocolo AH (Authentication Header) é utilizado para oferecer autenticação aos datagramas IP. No modo de transporte, o cabeçalho AH é inserido após o cabeçalho IP e antes dos protocolos das camadas superiores, ou antes de qualquer um outro cabeçalho IPSec inserido anteriormente. No modo túnel, o cabeçalho IP interno, protegido, carrega os reais endereços de origem e destino dos pacotes, enquanto o cabeçalho IP mais externo pode conter os endereços, por exemplo, dos gateways de segurança. O novo cabeçalho IP é gerado com o valor 51 para o seu campo de protocolo, para designar que este datagrama possuí um cabeçalho AH. Assim, nos roteadores e sistemas intermediários esses pacotes são considerados pacotes normais e quando chegam ao destino eles são processados pelo IPSec (KENT, 1998b).

Figura 2 – A posição de um cabeçalho AH.

O cabeçalho AH possuí além de um SPI, um campo chamado Autenticação de dados, que contém um resumo da mensagem e uma assinatura digital. O resumo da mensagem é calculado em cima do datagrama IP original, fornecendo, desse modo, autenticação do sistema de origem e integridade ao datagrama IP. A assinatura digital é processada utilizando o algoritmo de autenticação especificado na associação de segurança. O protocolo ESP (Encapsulating Security Payload) foi projetado para oferecer um conjunto de serviços de segurança para o IPv6 e IPv4, como autenticação e confidencialidade através de criptografia. Esses serviços dependem das opções selecionadas no estabelecimento da AS.

Como podemos ver na figura 2, um datagrama seguro é criado envolvendo o datagrama IP original com campos de cabeçalho e de trailer e, em seguida, inserindo esses dados encapsulados no campo de dados de um novo datagrama IP. Semelhante ao protocolo AH, o cabeçalho ESP possuí um valor de SPI para identificar a associação de segurança e um número de sequência de datagramas para evitar possíveis ataques de reprodução. O valor presente no cabeçalho de trailer indica qual é o próximo protocolo (UDP, TCP, entre outros). Após o trailer há o campo de autenticação de dados do ESP que é semelhante ao campo de mesmo nome do cabeçalho AH (KENT, 1998c). O campo de protocolo do cabeçalho IP externo conterá o valor 50, indicando que o datagrama possuí um cabeçalho ESP e um trailer ESP. O datagrama IP original e o trailer são criptografados, não sendo possível saber o tipo de protocolo de transporte que está sendo utilizado, evitando que monitoramentos cheguem a conclusões sobre o tráfego.

Figura 3 – A posição do cabeçalho ESP.

4.3 Pacotes de voz com o IPSec O IPSec necessita introduzir novos cabeçalhos no datagrama IP para oferecer seus serviços de segurança. Se considerarmos um pacote de voz típico sem implementar os serviços de segurança, o payload utilizado tem o tamanho de 40 bytes de dados de voz (HERSENT, 2002) e o tamanho do datagrama chega a 80 bytes. Pacotes de voz com o cabeçalho AH e ESP utilizando esquemas de autenticação e criptografia podem aumentar o tamanho dos pacotes drasticamente, chegando a pacotes de 120 bytes e 130 bytes dependendo do serviço de segurança requisitado. Uma consequência desse aumento é que a taxa do tamanho atual do payload em relação ao tamanho total do pacote se degrada, diminuindo a carga útil transportada na banda. Esse aumento do pacote não reflete negativamente apenas na banda, mas também impacta nos atrasos de transmissão, atrasos de roteadores, atrasos de enfileiramento, enfim, no atraso total dos pacotes (BARBIERI, 2002).

5. Arquitetura e cenários: IPSec com VoIP. Essa seção descreve o ambiente experimental utilizado neste trabalho. Os testes foram realizados entre duas sub-redes da UFAM (sub-rede DCC e sub-rede FT) e uma sub-rede do PoP-AM, como mostrado na figura 5. A implementação do IPSec na pilha TCP/IP foi realizada utilizando o software FreeS/WAN, disponível em (FREES/WAN, 2004), devido o seu desenvolvimento ser de código aberto e oferecer maior suporte nas distribuições Linux que utilizamos, SuSE e RedHat.

Figura 4 – Cenário dos experimentos com IPSec e VoIP.

O IPSec foi inserido nos gateways de segurança G1, G2 e G3, através da instalação do KLIPS (Kernel IPSEC Support) para que o kernel do Linux suportasse os protocolos AH, ESP e o manuseamento dos pacotes. Assim, configurou-se três VPNs através dos túneis seguros, TUNEL1 e TUNEL2. Foi necessário ainda redirecionar as rotas padrão das entidades E1, E2 e E3 dentro das redes virtuais envolvidas para que estas direcionassem o seu tráfego para os gateways de segurança. Preferiu-se utilizar o compartilhamento manual das chaves criptográficas devido o domínio ser de apenas três cenários e como as redes da UFAM e PoP-AM estavam protegidas por firewalls, criou-se regras de entrada e saída para os protocolos ESP e AH. A comunicação de voz entre as VPNs foi estabelecida utilizando o gerador de chamadas Callgen do H.323, disponível em (OPENH323, 2004), em uma das entidades comunicantes e na outra utilizou-se o software de comunicação VoIP Ohphone, disponível em (OPENH323, 2004), para atender as chamadas geradas. Essas chamadas foram derivadas de um arquivo que continha dados de voz e períodos de silêncio e através de um script houve a coleta das amostras aleatoriamente com dados RTCP obtidas através do Ohphone. O tempo das ligações foi gerado aleatoriamente para criar cenários mais reais. As amostras foram coletadas primeiramente entre as sub-redes, com o tráfego sendo transportado sem utilizar o IPSec, para que possibilitasse uma análise comparativa ao longo dos experimentos. Após essa fase os testes foram realizados utilizando os protocolos AH e ESP em modo túnel em várias configurações de algoritmos e utilizando o CODEC G.711, como será apresentado na próxima seção. 5.1 Métricas utilizadas As métricas utilizadas nos experimentos tiveram de ser escolhidas com base nas recomendações disponíveis para se conseguir caracterizar QoS em VoIP e selecionando as métricas que serão utilizadas no decorrer deste trabalho.

Segundo (ITU-T, 1996) para que haja a manutenção de uma boa interação entre os sistemas comunicantes é considerado um atraso fim a fim aceitável para a maioria das aplicações de 0 ms a 150 ms. Aceitável, mas com impactos em algumas aplicações se 150 ms a 300 ms e inaceitável acima de 300 ms. A perda de pacotes deve ser evitada ao máximo, sendo que não deve ultrapassar o valor de 10% dos pacotes enviados e é recomendável estar entre 3% e 5%. Deverá haver também uma boa vazão de dados para que não ocorra comprometimento na execução dos pacotes de voz (CALYAM, 2003).

6. Resultados obtidos Quatro configurações foram utilizadas na implementação das VPNs, uma entre FT e DCC e outra entre FT e PoP-AM, onde as conexões de voz dos experimentos foram estabelecidas. A primeira configuração implementava conexões que não ofereciam o serviço de segurança, ou seja, sem implementar técnicas de criptografia e autenticação. A segunda configuração apresenta a utilização do IPSec em modo túnel com o algoritmo de criptografia DES-CBC, que é um dos padrões do IPSec, implementado no interior dos canais de comunicação entre os gateways de segurança G1, G2 e G3. Para a realização de uma análise comparativa de algoritmos de criptografia que melhor se adaptem ao tráfego de voz, optou-se por mais duas configurações: substituiuse o DES-CBC pelo 3DES e pelo Blowfish através de um patch disponível no FreeS/WAN. Para proceder com a autenticação das fontes emissoras de pacotes de voz, todas as configurações do IPSec utilizaram o algoritmo HMAC-SHA-1. Cada amostra apresentada nos resultados refere-se a coleta aleatória das informações oferecidas pela opção de estatísticas de chamadas do Ohphone no final de cada chamada gerada pelo Callgen. Algumas dessas estatísticas são obtidas através do cabeçalho RTCP, enquanto outras são geradas pela própria aplicação. Os gráficos das figuras 5 e 6 demonstram os resultados em relação ao número de pacotes enviados durante cada chamada entre as VPNs. É perceptível uma diferença entre a quantidade de pacotes enviados em uma VNP “insegura” e entre as implementações do IPSec no tráfego de voz. A VPN insegura apresenta de 10% a 40% menos pacotes enviados para o mesmo período de tempo de amostras. Isse ocorre porque o IPSec insere os seus cabeçalhos ESP e AH e um novo cabeçalho IP externo no pacote, aumentando o número de bytes enviados, como mostrado na seção 4.3. Assim, os pacotes de voz são fragmentados em maior número. Observa-se também que o Blowfish introduz uma quantidade de pacotes de 5% a 20% menor que o DES e o 3DES. DCC ­ FT

PoP ­ FT

20000

20000

15000

Plano AES

10000

DES 3DES

5000

15000

Plano AES

10000

DES 3DES

5000 0

0 1

2

3

4

5

6

7

A m o st r a s

8

9

1

11

1

2

3

4

5

6

7

8

9

1 11

A m o st r a s

Figuras 5 e 6 - Pacotes enviados em cada amostra entre DCC e FT e entre PoP-AM e FT.

DCC ­ FT

PoP ­ FT

100

160 140

80

Plano

60

AES

40

DES 3DES

20

120

Plano

100

AES

80

DES

60

3DES

40 20

0

0 1 2 3

4 5

6

7 8

9 10 11 12 13

1 2 3 4 5 6 7 8 9 10 11 12 13

A m o st r a s

A m ost r a s

Figuras 7 e 8 - Pacotes perdidos entre DCC – FT e FT e PoP-AM.

As figuras 7 e 8 exibem uma comparação do número de pacotes perdidos em cada configuração do IPSec em relação aos algoritmos de criptografia utilizados. A diferença é acentuada tanto na VPN no interior da rede da UFAM quanto em sua relação com o PoP-AM, sendo que neste último a diferença é maior devido o aumento do número de nodos entre os gateways de segurança. Na comparação dos algoritmos, o Blowfish apresentou melhor desempenho em relação ao descarte de pacotes pela rede do que o DES e o 3DES. O uso do IPSec introduz cabeçalhos de controle, aumentando o tamanho dos pacotes e elevando a fragmentação dos mesmos. Com isso, a perda do volume de dados reais trafegados é acentuada, o que determina uma perca A porcentagem de pacotes perdidos ficou dentro do limite aceitável para um bom fluxo de voz, de 5% a 9%. Dentro desses valores os protocolos da tecnologia VoIP conseguem recuperar as perdas sem interferir na qualidade (HERSENT, 2002). PoP ­ FT

DCC ­ FT 70

35

60

30 25

Plano

50

Plano

20

AES

40

AES

15

DES

30

DES

10

3DES

20

3DES

5

10

0

0 1 2 3 4 5 6 7 8 9 10 11 12 13 A m o st r a s

1 2 3 4 5

6 7 8

9 10 11 12 13

A m ost r a s

Figuras 9 e 10- Atraso fim a fim entre DCC-UFAM e FT-UFAM.

Os gráficos 9 e 10 apresentam o atraso fim a fim entre as VPNs. A diferença entre a conexão “insegura” e a configuração com o IPSec implementando algoritmos de criptografia e autenticação foi acentuada. Entre as VPNs da UFAM o atraso ficou de 15% a 25% menor na implementação sem segurança e entre a conexão com o PoP-AM essa diferença foi maior devido a distância entre os gateways de segurança. Dentre os algoritmos utilizados para criptografar os pacotes de voz, o Blowfish apresentou melhor desempenho devido a sua eficiencia de processamento.

O IPSec não introduziu um atraso substancial as VPNs montadas para os experimentos, apesar da criação dos túneis e das técnicas de criptografia pelos sistemas operacionais. Os atrasos ficaram dentro dos padrões recomendados para a maioria das aplicações (0 ms a 150 ms) sem interferir na qualidade. Mas os atrasos causados por esses mecanismos podem se tornar um “gargalo” para redes onde o número de nodos entre os gateways de segurança é maior e o tráfego de dados de voz abundante, inclusive com a adoção de algoritmos de criptografia incorretos. Para confirmar o processo de criptografia na camada de rede, o tcpdump foi utilizado para coletar amostras de pacotes da rede. Analisando estes, as únicas informações que ficam visíveis são os endereços dos gateways de segurança, o protocolo que está sendo utilizado (ESP:50), a identificação das associações de segurança (SPI) e a seqüência dos pacotes. Também não é possível saber os reais endereços de fontes e destino das ligações e também a natureza destas (UDP, TCP), evitando assim um possível monitoramento do tráfego de voz.

7. Conclusões Esse trabalho visou entender o impacto do mecanismo robusto de segurança que o IPSec implementa em VPNs que oferecem serviços de transporte de dados de voz. Concluíu-se que o seu impacto não foi substancial para prejudicar o bom fluxo dos dados de voz na rede utilizada experimentos, mas com escabilidade esses novos aspectos introduzidos pelo IPSec podem se tornar projudiciais a qualidade do tráfego de voz. Utilizou-se uma arquitetura de experimentos que procurou ao máximo refletir VPNs que transportam dados de voz e testamos chamadas com duração aleatória para refletir cenários mais realísticos dessas VPNs. Modificou-se o algoritmo padrão DES, pelo 3DES e pelo Blowfish, e notou-se pelos dados coletados que ele apresenta um aparente desempenho melhor que os outros algoritmos, pois seu processamento evita maiores atrasos dos pacotes de voz. Os resultados de QoS encontrados pelos experimentos estão dentro dos limites aceitáveis para comunicações VoIP e a diferença entre VPNs inseguras e o IPSec implementado nelas não tornou essa arquitetura de segurança descartável. Trabalhos futuros deverão procurar mecanismos para realizar a compressão dos cabeçalhos, como os realizados em (BARBIERI, 2002). Isso diminuiria a quantidade de pacotes enviados e melhoraria a qualidade do tráfego. Medir o desempenho do IPSec através do Modelo E expressaria também a qualidade da comunicação em termos objetivos, utilizando muito mais parâmetros de rede do que os utilizados neste trabalho.

8. Referências BALBINOT, Ricardo, et al. Voz sobre IP – Tecnologia e tendências. Simpósio Brasileiro de Redes de Computadores, 2003. BARBIERI, R. Voice over IPsec: Analysis and Solutions. Dipartimento di Scienze dell’Informazione: Università degli Studi di Milano, 2002. CALYAM, P. Measurement challenges for Voip infrastructures. Internet2 VoIP Workshop, 2003.

FREES/WAN. Base de dados sobre o software de implementação do IP Security, 2004. Disponível em: . Acesso em: 31 janeiro 2004. HERSENT, O. Telefonia IP – Comunicação multimídia baseada em pacotes. Addison Wesley, 2002. ITU-T - International Telecommunications Union. One-way Transmission Time: Recommendation g.114. ITU-T, 1996. KENT, S. ; ATKINSON, R. Security Architecture for the Internet Protocol. Request for Comments 2401: IETF, 1998a. KENT, S. ; ATKINSON, R. IP authentication header. Request for Comments 2402: IETF, 1998b. KENT, S. ; ATKINSON, R. IP Encapsulating Security Payload. Request for Comments 2406: IETF, 1998c. KUROSE, James F. Redes de computadores e a Internet. Addison Wesley, 2003. OPENH323. Base de dados sobre o protocolo H.323, 2004. Disponível em: . Acesso em: 31 janeiro 2004.