Etat des lieux sur la sécurité de la VoIP Loic.Castel@telindus.com CHANGE THINGS YOUR WAY
Quelques chiffres La téléphonie par IP en général Résultat d une enquête In-Stat sur des entreprises nord-américaines : 40% des entreprises n ont aucun plan spécifique pour sécuriser leur infra. VoIP Plus de 50% sont vulnérables à des attaques internes ou externes Durant nos audits 50% de clients n ont pas changé le mot de passe par défaut du Call Server Plus de 95% des clients audités n ont pas mis en place de chiffrement Accès à la totalité du réseau depuis un téléphone dans plus de 4 cas sur 5 - slide 2
AGENDA Tests d intrusion Rappel des principaux risques Exemples d attaques Points clés à prendre en compte lors d un projet de VoIP - slide 3
Penetration Testing Telindus SRC Equipe de 10 ingénieurs dédiée spécialement à la sécurité des SI Nous existons depuis plus de 10 ans Plus d une centaine de tests réalisés par an dans le monde entier But des Tests de sécurité Evaluer le niveau de sécurité selon nos critères de revue Vérifier la conformité à la politique de sécurité de l entreprise L état de l art de la sécurité des systèmes Proposer des recommandations et orientations managériales - slide 4
Application Web Tests d intrusion Interconnexion Internet Mobiles Réseaux Sans-fils Internet VoIP RAS DMZ VPN Access SSL / SSH Server GPRS / UMTS Acces Private or Public APN Mail Server Web Server Intranet Tests Internes Server Remote Access Server RTC/Numeris Scan de lignes PABX - slide 5 PBX
AGENDA Tests d intrusion Rappel des principaux risques Exemples d attaques Points clés à prendre en compte lors d un projet de VoIP - slide 6
Rappel des principaux risques Disponibilité: Bloquer les lignes ou les laisser occupées Déconnexion automatique des utilisateurs ou reboot des postes Destruction du système hébergé sur le PABX Brouillage des communications voix Indisponibilités systèmes et réseaux Confidentialité: Ecoute téléphonique Ecoute des messages du répondeur Enregistrement des appels - slide 7
Rappel des principaux risques Intégrité : Modification des données Usurpation d identité Usurpations des messages de répondeur Injection de sons lors des appels Impact financier: Usage abusif des ressources Charges falsifiées - slide 8
AGENDA Tests d intrusion Rappel des principaux risques Exemples d attaques Points clés à prendre en compte lors d un projet de VoIP - slide 9
Scenario 1 (Depuis l extérieur) Intrusion à distance : Scan d un range de lignes téléphoniques d entreprise Identification d équipements de maintenance (PABX, routeur, ) Identification des produits et de leur version PSTN/ISDN Line Scan Identification de comptes administrateurs PSTN/ISDN CALL SERVER Maintenance Modems - slide 10
Scenario 2 (Depuis le réseau interne) Ecoute téléphonique : Lancement d une attaque MITM avec l empoisonnement du cache ARP Ecoute de la communication, interception des flux RTP Décoder le flux RTP G711, G729, Obtention d un fichier son de la conversation ENTIERE entre les deux utilisateurs - slide 11
Scenario 3 (Depuis le réseau interne) Usage abusif de fonctionnalités : Connexion et déconnexion à distance sur les Téléphone IP Cisco Abuser de cette fonctionnalité pour déconnecter un ou plusieurs postes en particulier - slide 12
Scenario 4 (Depuis le réseau interne) Usage abusif de fonctionnalités : Accès utilisateur depuis l interface web (modification du poste) Identification de vulnérabilités sur l interface HTTP(S) Accès à un autre profil utilisateur (ex: DSI de l entreprise) Connexion et usurpation d identité Triche sur la facturation Vol d identité = Très pratique dans les cas d ingénierie sociale - slide 13
AGENDA Tests d intrusion Rappel des principaux risques Exemples d attaques Points clés à prendre en compte lors d un projet de VoIP - slide 14
Points clés à prendre en compte lors d un projet de VoIP Mesures générales Politique de sécurité globale pour les systèmes de voix Formation et responsabilisation des Utilisateurs et Administrateurs Récupération des désastres et redondance des équipements - slide 15
Points clés à prendre en compte lors d un projet de VoIP Sécurité physique et logique sur le Call Server Accès logique et physique restreint Liste écrite des personnes avec accès administrateur Maintenance à distance seulement à la demande Log de toutes les connexions administrateurs à distance - slide 16
Points clés à prendre en compte lors d un projet de VoIP Sécurité des systèmes et de l infrastructure VLAN voix+ 802.1x Contre-mesures ARP spoofing (désactivation du Gratuitious ARP) Chiffrement des communications et signaux (TLS, SRTP/SRTCP, IPSec) Bastionnage et maintenance des systèmes d exploitation Revue des vulnérabilités et applications des patchs - slide 17
Points clés à prendre en compte lors d un projet de VoIP Fonctionnalités du poste IP Profil par défaut non-joignable depuis l extérieur Profil par défaut ne pouvant pas faire suivre ses appels vers l extérieur Auto-déconnexion la nuit Ajout d authentifiant pour empêcher la récupération d informations Fonctionnalités du Call Server Vérifier les réglages de sécurité du serveur Définir une politique d accès Implémenter cette politique - slide 18
Merci pour votre attention - slide 19