VULNERABILIDADES EN LOS SITEMAS DE VoIP

Entendiendo las debilidades, amenazas y defensas proactivas que pueden tomarse en el desarrollo de una red bajo VoIP.

Si usted cree que su teléfono está a salvo de los hackers, se equivoca, con el analizador de protocolos Wireshark y un barrido tcp/ip es posible escuchar una conversación que tuvo lugar en su red local pocas horas antes, lo que se conoce como: Voz sobre una mala configuración de su teléfono IP. Esto es realmente un problema, y les aseguro que se trata solo de la punta del iceberg.

La forma de hacer negocios ha cambiado drásticamente desde el advenimiento de la Internet. Ahora, con nuevos protocolos de comunicación, es posible entrar al mundo de la Voz sobre Protocolo de Internet (VoIP), lo que sin duda cambiará para siempre la forma de procesar las llamadas telefónicas. Basta con mirar las numerosas ofertas de Vonage, ofreciendo un sistema de VoIP diseñado para reemplazar su teléfono común mediante el uso de la Internet para hacer llamadas locales y de larga distancia.

O veamos Skype, una versión del software de VoIP que monta su conexión a Internet, para poder hacer llamadas a sus usuarios en cualquier parte del mundo de forma gratuita. VoIP convierte las señales de audio analógicas en datos digitales que se pueden transmitir fácilmente a través de Internet. Es por eso que hay millones de usuarios de Skype, los mismos hacen millones de llamadas telefónicas por Internet al día, utilizando sus computadoras de escritorio o portátiles, un micrófono, auriculares, sus propias tarjetas de sonido, el sistema operativo Windows, y el par de software SKYPE a (P2P)

Cómo trabaja VoIP: cuando usted desee realizar una llamada usando este protocolo podrá hacerlo de tres formas diferentes:

- Usando un adaptador para teléfono analógico

- A través de un teléfono IP

- A través del uso de VoIP para redes P2P (redes Persona a persona)

Pero la telefonía usando VoIP tiene sus fallas de seguridad, a continuación se describen las más comunes y otras no tanto:

Esta discusión comienza por presentar y determinar una gran cantidad de amenazas que enfrentará la organización, y que directamente repercutirán en las prioridades de seguridad que deben tener los equipos a ser usados dentro de la empresa. Una firma comercial basará sus preocupaciones primarias en las estadísticas de fraude, mientras que las organizaciones gubernamentales deberán ocuparse en proteger la información de seguridad nacional. Para ambos casos los riesgos que convienen ser ampliamente abordados son los mismos, más no así los procedimientos de implementación. Estos riesgos pueden ser categorizados en tres tipos:

- Confidencialidad

- Integridad de la información

- Disponibilidad de la misma

Podemos recordar fácilmente estas 3 categorías con la regla nemotécnica CID, pero además los riegos más relevantes a cubrir son: fraude, riesgo de daño físico a los Switch telefónicos, daños físicos a la red, y extensiones telefónicas.

VULNERABILIDADES EN LA CONFIGURACIÓN DE PASSWORDS POR DEFECTO

Es muy común que un Switch contenga un default login/ password, o un root /root. Si este password no se cambia al momento de instalar el equipo, la misma se transforma en una vulnerabilidad de nivel primario (en muchos casos no se hace, o no se presta la suficiente atención). Al mismo tiempo se convierte en una vulnerabilidad que permite las escuchas telefónicas de conversaciones en la red con copia de puertos o puentes. Una vez que un atacante tenga acceso al conmutador de interfaz de administración, el atacante puede reflejar todos los paquetes en un puerto a otro, lo que permite la interceptación indirecta e imperceptible de todas las comunicaciones, a esto se le conoce como Wiretapping.

Son varias las formas de afrontar esta vulnerabilidad, la primera; cambiar la clave por defecto, y la segunda; desactive el acceso remoto a la interfaz gráfica de usuario para evitar la interceptación de sesiones de texto sin formato. Algunos dispositivos establecen la posibilidad de una conexión USB directa, además de acceso remoto a través de una interfaz de navegador web, otros puede cerrar sus vías de acceso. También debe considerar desactivar copia de puertos en el Switch.

VULNERABILIDADES CLÁSICAS EN WIRETTAPING (ESCUCHAS TELEFÓNICAS)

La Colocación de una herramienta de captura de paquetes o analizador de protocolos para el segmento de red VoIP facilita el proceso de interceptar el tráfico de voz. ¿Cómo se puede prevenir la intercepción? Una buena política de seguridad física para el entorno de despliegue es un primer paso que generalmente que mantiene el secreto de la comunicación y por tanto la confiabilidad. La desactivación de los hubs en los teléfonos IP, así como el desarrollo de un sistema de alarma para notificar al administrador cuando un teléfono IP se ha desconectado, permitirá la posible detección de este tipo de ataque.

ENVENENAMIENTO DE CACHÉ ARP, E INUNDACIONES ARP

Debido a que muchos sistemas tienen un bajo nivel de autentificación (en muchos casos uno solo), un intruso puede ser capaz de iniciar sesión en un equipo en el segmento de red VoIP, y luego enviar los comandos ARP caché y corromper los ARP del remitente (s) o del segmento de tráfico deseado. El intruso puede incluso llegar a activar la IP. Un ataque de inundación de ARP en el Switch de la red podría hacerlo vulnerable a la escucha de conversaciones. El acto de aplicar un broadcast y asumir una réplica ciega (es decir, se inunda el tráfico con mensajes de broadcast pero no se toman en cuenta las respuesta, lo que ocasionaría un bucle infinito) es suficiente para corromper a muchas cachés ARP.

Por la corrupción de la caché ARP, el atacante puede ahora redirigir el tráfico para interceptar voz y datos. Para evitar este tipo de ataques, los mecanismos de autenticación previstos, deben incrementarse, además de su uso siempre que sea posible y limitar siempre el acceso físico al segmento de la red VoIP.

INTERFACES DE SERVIDORES WEB

Los conmutadores VoIP y terminales de voz es probable que tengan una interfaz de servidor web para la administración remota o local. Un atacante puede ser capaz de olfatear texto sin formato en paquetes HTTP para obtener información confidencial. Esta acción debería darle acceso a la red local donde reside el servidor. Para evitar este tipo de ataque, si es posible, no utilice un servidor HTTP. Si es necesario utilice un servidor web para la administración remota, además, use HTTPS (HTTP sobre SSL o TLS) como protocolo.

VULNERABILIDADES EN LA MASCARA IP DEL TELEFONO

Un efecto similar a la vulnerabilidad de caché de ARP puede ser alcanzado por un atacante al asignar una máscara de subred y la dirección del router al teléfono. El atacante se las ingenia para que esas direcciones o todos los paquetes que transmite el teléfono sean enviadas a la dirección MAC del atacante.

El reenvío IP puede hacerse de la intrusión en todos los eventos, pero son casi imposibles de detectar. La instalación de un firewall con mecanismos de filtrado puede reducir la probabilidad de este ataque. El acceso remoto a los teléfonos IP es un riesgo grave.