GECAD NET: securitate: Protectia retelelor VoIP

Retelele de telefonie IP PBX (private branch exchange) sunt din ce in ce mai frecvent folosite in cadrul companiilor de dimensiuni medii si mari. Printre motivele raspandirii acestora merita amintite costurile mult diminuate comparativ cu conectarea fiecarui aparat telefonic din companie la o linie externa precum si folosirea in comun de catre sute de utilizatori a catorva linii externe pentru efectuarea de apeluri in afara companiei. In plus, comunicarea interna este mai facila deoarece numerele sunt formate din 3 sau 4 cifre.

Analistii estimeaza ca pana la sfarsitul anului 2009, o cota de 90% din piata va apartine retelelor IP PBX. Totusi, inainte de a implementa o retea VoIP, trebuie sa fiti constienti riscurile la care acestea sunt expuse si sa cunoasteti masurile care pot fi luate pentru a le contracara.

Riscurile la care sunt expuse retelele VoIP

Desi masurile de securitate nu pot elimina in totalitate posibilitatea producerii unor incidente, probabilitatea de reusita a atacurilor poate fi diminuata substantial. Prin implementarea si supravegherea politicilor de securitate se doreste evitarea unor incidente de genul:

- Sniffing - folosirea unor programe care monitorizeaza traficul efectuat pe o retea in scopul sustragerii de informatii. Aceste intruziuni sunt aproape imposibil de detectat si se pot insera in orice punct;

- Folosirea neautorizata a serviciului : prin intermediul unui computer si/ sau a altor dispozitive se poate induce in eroare un sistem de telefonie in scopul efectuarii de apeluri gratuite sau care sa fie taxate unui alt utilizator;

- Spam prin telefonie internet (SPIT) - transmiterea de apeluri nedorite catre casutele vocale ale utilizatorilor;

- Remote acces trojan - ofera atacatorului acces in sistemul afectat pentru a sustrage informatii stocate pe acesta sau pentru a lansa atacuri asupra altor sisteme;

- Broadcast storm - ocuparea intregii latimi de banda prin transmiterea simultana a unui mare numar de mesaje prin retea care solicita dispozitivelor receptoare transmiterea ca raspuns a altor mesaje similare;

- Falsificarea certificarilor Wi-Fi (wireless fidelity) pentru accesul neautorizat in retelele wireless. Acestea sunt emise de Wi-Fi Alliance si garanteaza ca dispozitivele wireless sunt inter-operabile chiar daca provin de la producatori diferiti. Astfel se poate obtine fraudulos accesul intr-un Access Point - "statia de baza" care este conectata la retele wire si ofera accesul internet wireles pe o raza de 50 m.

Utilizatorii VoIP sunt vulnerabili la atacurile indreptate impotriva serviciilor traditionale de telefonie fixa sau mobila, care au ca scop obtinerea de informatii, furtul de identitate sau comiterea unor fraude. Centralele VoIP, responsabile de procesarea apelurilor, a numerelor si a datelor de autentificare, utilizeaza sisteme de operare, protocoale internet, aplicatii si interfete de configurare care sunt vulnerabile la virusi, viermi, spyware, tentative de acces neautorizat sau atacuri de tip Denial of Service (DOS).

VoIP utilizeaza SIP (Session Initiation Protocol) si RTP (Real-time Transport Protocol) pentru transmiterea mesajelor vocale. Acestea nu asigura identificarea corespunzatoare a participantilor la apel, nu protejeaza confidentialitatea si integritatea datelor transmise si receptionate pentru initierea apelurilor si transmiterea datelor (spre deosebire de fluxurile media ce contin semnal audio comprimat si criptat). Pana cand aceste cerinte de securitate vor fi implementate atacatorii ar putea identifica numeroase vulnerabilitati care pot fi exploatate.

Din cauza ca protocoalele SIP si RTP nu cripteaza apelul si fluxurile de semnal audio (voce), atributele de identificare (nume/parola) si numerele de telefon SIP ale utilizatorilor pot fi interceptate prin LAN sau Wireless LAN folosind sniffer-e. Un atacator poate folosi informatiile sustrase pentru a contacta un reprezentant al furnizorului de servicii VoIP (prezentandu-se drept utilizator legitim) sau pentru a accesa interfata de configurare web si a modifica setarile pentru a permite apeluri la numere cu taxare speciala sau in strainatate, pentru a accesa mesageria vocala a clientului sau pentru a schimba numarul de telefon spre care sunt directionate apelurile nepreluate. Furtul de identitate in aceste cazuri este folosit pentru a efactua apeluri costisitoare la mare distanta sau pentru a obtine informatii sensibile de natura financiara sau personala.

Supraincarcarea prin flood a retelelor VoIP cu mesaje SIP (prin simularea diverselor faze ale apelurilor - initiere, incheiere sau transmiterea de fluxuri de date media RTP) pot diminua calitatea serviciului, pot provoca intreruperea apelurilor sau pot forta echipamentele sa nu mai proceseze toate apelurile primite. Echipamentele VoIP sunt de asemenea vulnerabile la atacuri TCP SYN sau ping of death. Sistemele de operare si comunicatiile TCP/IP folosite de echipamentele VoIP sunt vulnerabile la atacuri ce vizeaza incetarea functionarii lor sau preluarea controlului de la distanta. Transmiterea si executia de cod arbitrar prin intermediul aplicatiilor softphone ar putea afecta calculatoarele si dispozitivele mobile (laptop, PDA) pe care acestea sunt instalate. Prin spam de multe ori sunt transmise aplicatii spyware sau de control de la distanta, sau mesaje de publicitate nedorite.

Din aceste motive este necesar ca inainte de implementarea VoIP sa fie evaluate riscurile pe care o astfel de initiativa le presupune si sa fie elaborata o strategie de combatere a acestora.

Evaluarea riscurilor din perspectiva operatorilor VoIP

Transmisiunile de voce constituie sursa principala de venit a companiilor de telefonie traditionale, o piata in plina dezvoltare pentru furnizorii de servicii VoIP si un serviciu absolut necesar desfasurarii activitatii de afaceri. Din acest motiv, principalul risc pe care trebuie sa il infrunte operatorii VoIP este intreruperea serviciului. Clientii se asteapta la aceeasi disponibilitate pe care o ofera furnizorii traditionali de servicii de telefonie fixa si mobila. Planul de implementare a VoIP trebuie sa contina masuri de combatere a atacurilor de tip Denial of Service (DOS), care vizeaza incetarea functionarii echipamentelor.

O alta prioritate o constituie prevenirea furtului de identitate si a folosirii abuzive de catre atacatori a conturilor clientilor. Operatorii VoIP sunt confruntati cu amenintari mai grave decat furnizorii de servicii de telefonie fixa sau mobila, deoarece adresele IP de provenienta ale mesajelor nu sunt verificate in centralele VoIP si inca nu au fost adoptate la scara larga metode de certificare coordonata intre furnizori a validitatii identitatilor SIP. Prin urmare operatorii trebuie sa fie precauti in colaborarea cu alti furnizori VoIP si sa nu stabileasca relatii cu acestia fara sa se asigure in prealabil ca sunt respectate procedurile de validare a identitatii si a integritatii centralelor VoIP prin care sunt vehiculate apelurile.

Din cauza ca atacurile interne sunt in general mai frecvente decat cele din afara organizatiei, operatorii VoIP trebuie sa ia in considerare posibilitatea furtului de identitate chiar si atunci cand isi desfasoara activitatea izolat de alti furnizori. Din acest motiv managerii companiilor VoIP trebuie sa puna la punct metode de combatere a furtului de identitate si sa monitorizeze metodele de audit intern pentru depistarea abuzurilor si identificarea celor responsabili. De asemenea, in comparatie cu retelele publice, retelele private VoIP vor fi vizate mai frecvent de actiuni de culegere de informatii legate de activitatile de afaceri.

Furtul de identitate in scopul utilizarii frauduloase sau abuzive a serviciilor VoIP (efectuarea de apeluri costisitoare in detrimentul unor clienti) sunt probleme foarte serioase cu care serviciul de relatii cu clientii se poate confrunta. Rezolvarea reclamatiilor si continuarea asigurarii serviciilor pentru clientii care au cazut victime ale unor astfel de atacuri vor solicita intens resursele companiei si vor afecta negativ productivitatea. Efectele negative pe care incidentele le au asupra consumatorilor, utilizatorilor, managementului sau chiar a increderii propriilor actionari pot fi de lunga durata.

Masuri de securitate

VoIP este o metoda noua de comunicatii Internet bazata pe fluxuri de date in timp real transmise prin IP, motiv pentru care multe din masurile de securitate folosite la scara larga in prezent raman aplicabile. Majoritatea serviciilor VoIP sunt gazduite de sisteme de operare comerciale instalate pe servere. Intarirea securitatii acestora si implementarea unor aplicatii profesionale de detectare a intruziunilor vor diminua considerabil sansele de succes ale atacurilor la care sunt expuse.

Dintre masurile de securitate a serverelor aplicabile si celor care deservesc retelele VoIP enumeram:

- actualizarea permanenta a sistemelor de operare si a programelor VoIP cu ultimele aplicatii corectoare de tip patch lansate de producatori;

- mentinerea pe server doar a aplicatiilor necesare derularii in bune conditii a serviciilor VoIP;

- reguli de autentificare solide pentru accesul administratorilor si a utilizatorilor pe server;

- garantarea accesului pe server pentru un numar minim de conturi de utilizator necesare asigurarii intretinerii si functionarii in bune conditii a acestuia;

- implementarea de proceduri de autentificare complexe pentru a preveni accesul neautorizat la serviciile VoIP sau la datele de identificare ale clientilor;

- derularea de activitati de audit intern privind operatiile desfasurate de administratori si utilizatori;

- instalarea si intretinerea programelor firewall si a aplicatiilor antivirus pentru a combate atacurile de tip Denial of Service (DOS);

- configurarea corespunzatoare a aplicatiilor VoIP - spre exemplu utilizarea unei liste a codurilor de tara apelabile poate evita unele tentative de utilizare neautorizata sau abuziva a serviciilor.

Dupa configurarea corespunzatoare a serverelor si a aplicatiilor pe care acestea le gazduiesc, este necesara construirea de nivele suplimentare de securitate. Serverele VoIP si infrastructura necesara (servere DNS, LDAP) trebuiesc separate de statiile client (telefoane, pc-uri, dispozitive mobile) prin folosirea de retele separate fizic sau virtual (VLAN) pentru vehicularea de voce si date.

Aplicatiile firewall utilizate trebuie sa limiteze traficul catre VLAN numai la protocoalele si porturile necesare. Aceasta separare pe zone este utila in prevenirea transmiterii virusilor de la clientii infectati catre serverele VoIP. In plus, politicile de securitate si administrarea aplicatiilor firewall pentru fiecare zona de retea sunt mai simple decat in cazul in care toate masurile de protectie ar fi asigurate de un singur firewall. Compartimentarea este nu numai un puternic instrument de securitate, ci si o metoda de asigurare a calitatii serviciilor prin mentinerea traficului minim garantat. Spre exemplu, instalarea telefoanelor SIP intr-o retea virtuala proprie ajuta la restrictionarea VoIP la dispozitivele autorizate si confera o prioritate superioara pachetelor VoIP.

Se pot separa telefoanele de calculatoare si dispozitive mobile, pentru preveni raspandirea efectelor unor atacuri asupra sistemelor de voce. La aplicarea compartimentarii trebuie tinut cont de cumularea latentelor la transferurile de date din cauza aplicatiilor firewall. Securitatea centralelor VoIP este imbunatatita si prin folosirea controlului de acces in retea bazat pe port IEEE 802.1X (permite identificarea statiei care incearca sa se conecteze pe un anumit port) si a altor tehnici similare de control al accesului care impiedica dispozitivele sa se conecteze la LAN sau VLAN pana ce sunt finalizate verificarile de securitate.

Administratorii pot decide blocarea accesului pentru dispozitivele infectate cu virusi sau spyware sau pe cele care nu satisfac anumite cerinte (nu au sistemele de operare actualizate corespunzator sau nu au firewall-ul configurat corect). Statiile respinse pot fi directionate catre retele izolate care ofera servicii limitate sau catre retele care le pun la dispozitie, pentru a satisface criteriile de acces, soft, aplicatii corectoare de tip patch pentru sistemele de operare sau aplicatiile VoIP sau actualizari pentru programele antivirus instalate. In multe cazuri aceste masuri de securitate se pot realiza inainte de autentificarea cu nume si parola, pentru a impiedica aplicatiile spyware de tip keylogger sa sustraga datele de identificare ale utilizatorilor.

Configuratiile firewall folosite de companii in mod normal s-ar putea dovedi inadecvate pentru securizarea transferurilor de voce si date. Aplicatiile firewall traditionale sunt concepute pentru a permite sau restrictiona traficul TCP, UDP si a aplica anumite reguli privind traficul efectuat prin procesarea adreselor IP de provenienta a solicitarilor de acces, concomitent cu identificarea portului si a protocolului folosit.

VoIP foloseste un mare numar de porturi UDP pe care le aloca dinamic pentru transferurile de date. Aplicatiile firewall in mod normal nu pot permite desfasurarea unei astfel de activitati fara a lasa porturi permanent deschise pentru VoIP care devin astfel vulnerabile la atacuri. Printre alte deficiente ale aplicatiilor firewall se numara folosirea ineficienta a UDP sau latentele care au ca efect diminuarea calitatii serviciilor. Prin urmare administratorii trebuie sa instaleze/configureze firewall-uri SIP, care pot detecta si combate atacuri cu solicitari SIP special modificate si pot procesa transferuri de date media RTP fara a introduce latente semnificative.

Serverele gateway proxy pot fi foarte utile, datorita posibilitatii de utilizare a tunelelor SSL (protocol securizat de transmitere a datelor prin Internet) pentru a asigura confidentialitatea si integritatea datelor vehiculate. Multe companii folosesc deja conexiuni SSL pentru a proteja serverele SIP proxy, sau IPSec pentru a securiza traficul dintre locatii.

Session Border Controller este un echipament de retea sau o lista de functii esentiala implementarii VoIP datorita imposibilitatii de procesare in timp real a NAT sau a regulilor firewall. Folosind SBC se pot rescrie header-ele mesajelor - portiunile care contin subiectul, originea si destinatia acestora, se pot sterge portiunile necunoscute din datele SIP si se pot restrictiona numerele de la care sunt procesate apelurile.

Aceste masuri de siguranta, alaturi de monitorizarea permanenta si detectarea intruziunilor pot reduce riscurile la care sunt expuse retelele VoIP si vor ramane utile chiar si in conditiile imbunatatirii securitatii aplicatiilor VoIP.