Muszyński Józef - Bezpieczeństwo telefonii IP.pdf - # Informatyka - silvegon

IDGBezpieczeństwotelefoniiIP

http://www.idg.pl/cgibin/print.asp

BezpieczeństwotelefoniiIP

raport: KomunikacjaIP

wersjadowydruku

| stronagłówna | wersjaoryginalna |

20070305

BezpieczeństwojestszczególniewaŜne,gdyzastępujesięwiekową,szeroko

rozpowszechnionąirelatywnieodpornąnazagroŜeniasiećkomunikacyjną.ChociaŜŜadne

indywidualneśrodkiochronneniewyeliminującałkowicieataków,podejściewarstwowew

zapewnianiubezpieczeństwaVoIPmoŜewznaczącysposóbograniczyćzagroŜenia.

ZarównouŜytkownicy,jakiusługodawcytechnologiiVoIPsąnaraŜeninaatakipodobnedotych,jakie

moŜnaspotkaćwtradycyjnejtelefoniiiusługachkomórkowych.CelesątesamekradzieŜtoŜsamości

iimpulsów.InfrastrukturypublicznegoVoIPmogąbyćczęściejcelematakówmotywowanych

politycznieczyterroryzmu,natomiastprywatnesieciVoIPwwiększymstopniuzagroŜonesąryzykiem

elektronicznegoszpiegostwaprzemysłowegoipodsłuchem.

ZagroŜeniadobrzeznane

WieleatakówskupiasięnapunktachkońcowychsystemuVoIP.System

operacyjny,protokołyinternetowe,interfejsyaplikacyjneizarządzania

telefonówikomputerów,naktórychpracujeoprogramowanietelefoniiIP,są

podatnenanieautoryzowanydostęp,wirusy,robakiiróŜneatakiodmowy

usługi(DoSDenialofService)wykorzystującepowszechneprotokoły

internetoweiprotokołyVoIP.

VoIPwykorzystujedosterowaniasygnalizacjąprotokółIETFSIP(Session

InitiationProtocol),aprotokółRTP(RealtimeTransportProtocol)dodostarczaniaruchugłosowego.

ProtokołyteorazuzupełniająceprotokołyopisysesjiiprocedursterującychRTP(SDPSession

DescriptionProtocoliRTCPRTPControlProtocol)nieprzewidująjednakodpowiedniego

uwierzytelnianiastronpołączeniatelefonicznego,ochronyintegralnościwukładzie"punktkońcowy

punktkońcowy"orazśrodkówzapewniającychpoufnośćsygnalizacjiidanychnadrodzepołączenia.

JeŜelitakiemechanizmybezpieczeństwaniezostanązaimplementowaneiwdroŜonewusługachVoIP,

napastnicymajądodyspozycjiwielewektorówataku.

WadąprotokołuSIPjestto,Ŝewjegopodstawowejwersjikomunikatyprzesyłanesątekstemjawnym,

coułatwiapodglądichtreści.Bardzopodstawowafunkcjonalnośćprotokołusprawia,Ŝetworzone

róŜnejegorozszerzeniamogąwprowadzaćnowelukibezpieczeństwa.

NadziśSIPiRTPniezapewniająszyfrowaniapakietówsygnalizacjiistrumienigłosowych,takwięc

toŜsamość,referencjeiSIPUniformResourceNumber(numertelefonu)stronyinicjującejpołączenie

mogąbyćprzechwytywaneprzyuŜyciunarzędzipodsłuchuruchusieciowego(snifferów)LANlub

WLAN

(WirelessLAN).NapastnikmoŜewykorzystaćprzechwyconedaneokoncieuŜytkownikado

podszywaniasiępodniegowróŜnychsytuacjach.MoŜetakŜeuzyskaćdostępdopocztygłosowejlub

skierowaćrozmowęnainnynumer.

AtakiwykorzystującepodszywaniesiępodlegalnegouŜytkownikasąpowszechnieuŜywanedo

kradzieŜyimpulsów,abardziejwyrafinowaninapastnicymogąrównieŜprzechwytywaćkonwersacje

głosowewceluuzyskaniawraŜliwychinformacjibiznesowychczyosobistych.

ZalewającstronęodbiorcząwsystemieVoIPpakietamisygnalizacjiSIPmoŜnazablokować

dostępnośćusługi,wymusićprzedwczesnezerwaniepołączeniaczydoprowadzićposzczególne

elementywyposaŜeniaVoIPdocałkowitejniezdolnościprzetwarzaniapołączeń.WyposaŜenieVoIP

moŜebyćtakŜepodatnenaatakiDoSwykorzystująceprotokołyinternetowe.

1z5

2008120721:24

SłabepunktyVoIP

IDGBezpieczeństwotelefoniiIP

http://www.idg.pl/cgibin/print.asp

AtakiodmowyusługisązwiązanezkaŜdąsieciąopartąnaIP.MogąoneprzybieraćróŜneformy,ale

wszystkiezmierzajądotakiegoobciąŜeniainfrastruktury,abyuŜytkownicyniemogliprawidłowo

korzystaćzusług.SieciVoIP,realizująceusługiwczasierzeczywistym,sąszczególnienaraŜonena

tegotypuataki.

NajprostsząmetodąjestzalewaniepakietamiportówwykorzystywanychprzezVoIP.SiećVoIPmoŜe

zostaćwykorzystanadoprzeprowadzeniatakiegoatakunainnąsiećVoIP.

WiększośćsystemówVoIPniezapewniajeszczewystarczającoskutecznejautoryzacji,bezktórej

atakującymoŜewykorzystaćzjawiskopodszywanialubinnetechnikidowykonaniaróŜnegorodzaju

ataków.MoŜeprzechwycićsesjęrejestracjitelefonuIP(callhijacking)alboprzejąćwychodzące

połączenieizablokowaćdostępdotelefonuIP.

SystemyVoIPmogąbyćrównieŜzakłócaneprzezatakispecyficznedla

mediumtransportowego,takiejakEthernetbroadcaststormczyWiFiradio

jamming.SystemyoperacyjneistosyTCP/IPuŜywanewsprzęcieVoIP

mogąbyćpodatnenaatakispecyficznedlaichimplementacji

wykorzystująceusterkioprogramowania.Mogąpowodowaćzawieszenie

systemuoperacyjnegolubzapewnićnapastnikowimoŜliwośćzdalnej,

administracyjnejkontrolinadsystemem.

AnatomiaatakuDDoSna

systemyVoIP

ProgramowetelefonyVoIP(softphony)stanowiąwyjątkowyipowaŜny

problem.AplikacjetelefonicznepracująnakomputerachPCczyPDAuŜytkownikówidlategosą

podatnenaatakikodówzłośliwychwymierzonewdaneiaplikacjegłosowe.Trzebabraćpoduwagę

moŜliwość,ŜetakieatakimogąwymykaćsiękonwencjonalnejochroniePC,np.poprzezwprowadzanie

złośliwegokoduzapośrednictwemaplikacjitelefonicznychVoIP.TelefonyIPsąpodatnegłówniena

usterkioprogramowania.

Spambardzoczęstojestprzykrywkądlaspywareizdalnychnarzędziadministrowania.Wtelefonii

internetowejmoŜeprzenosićniezamawianepołączeniazwiązanezesprzedaŜączyinne,niemniej

kłopotliwe,asprowadzanedosoftfonówoprogramowaniemoŜezawieraćukrytekodyzłośliwe.

BardziejspecyficznedlaVoIPzagroŜeniatofałszywarejestracja,gdynapastnikzgłaszasiędoserwera

rejestracjiSIP,przedstawiającsięjakouprawnionyuŜytkownikUA(UserAgent)ipodającwnimwłasny

adres.OdtegomomentuwszystkiepołączeniaprzychodzącedoprawomocnegouŜytkownikabędą

kierowanenaadresintruza.NapastnikmoŜetylkopośredniczyćwkomunikacjipomiędzyinicjującyma

odbiorcąpołączeniairejestrowaćkonwersacjęwrazzsygnalizacjąlubjemodyfikować(atakmanin

themiddle).

InnymzagroŜeniemjestpodstawioneproxySIP.NapastnikwymuszanaagencieuŜytkownikalub

legalnymserwerzeSIPprzesyłaniewiadomościsterującychdofałszywegoproxySIP,uzyskując

dostępdowszystkichkomunikatówSIPimoŜliwośćmanipulowaniapołączeniami.

AtakinasieciVoIPmogądotyczyćsystemuoperacyjnegourządzeńVoIP(atakiDoSlubprzepełnienia

bufora),lukkonfiguracyjnychurządzeńVoIP,infrastrukturyIP(DoS,SYNflooditp.)orazimplementacji

protokołówVoIP.

KomponentyVoIP,takiejakbramkiIPPBXczytelefonyIP,mogąstaćsięcelematakuopartegona

pakietachIP.SłabymipunktamiinfrastrukturytelefoniiIPsąsystemyoperacyjne,zawierająceczęsto

łatwedowykorzystanialuki,oraznieszczelnośćoprogramowaniaVoIP,ułatwiającapokonanie

zabezpieczeń.

Wiarygodnośćpunktówkońcowych

CorazczęściejjednakwurządzeniachVoIPimplementujesiętakiemechanizmybezpieczeństwa,jak

autoryzacja,uwierzytelnianieorazszyfrowaniesygnalizacjiistrumieniagłosu.

DoautoryzacjitelefonówIPmoŜebyćstosowanystandardLLDP(LinkLayerDiscoveryProtocol)

IEEE802.1AB.ProtokółpozwalanawymianęinformacjiourządzeniachwsieciEthernet.LLDP

definiujestandardowąmetodęrozgłaszaniainformacjidosąsiednichwęzłówprzełączników,routerówi

bezprzewodowychpunktówdostępowychWLAN.ZpomocątegoprotokołumoŜnarozgłaszaćtakie

informacje,jakkonfiguracjaurządzenia,moŜliwościurządzeniaczyidentyfikatorurządzenia.

Telefonyzgłaszająsiędoprzełącznika,podająinformacjeosobie.Serweruwierzytelnianiasprawdza

2z5

2008120721:24

IDGBezpieczeństwotelefoniiIP

http://www.idg.pl/cgibin/print.asp

następnie,czyMACtelefonufigurujenaliścieuprawnionychdokorzystaniazsieci.Popozytywnym

zweryfikowaniu,dotelefonumoŜebyćprzesłanainformacjakonfiguracyjna.Mechanizmwykrywania

LLDPumoŜliwiarównieŜlokalizacjęurządzeniakońcowego.

Ochronapodstawowa

OpisanezagroŜeniapowinnymotywowaćszefówITdoocenyryzykaprzy

wprowadzaniuVoIPiwkonsekwencjizaprojektowaniapolitykiorazplanujej

implementacjimającejnaceluzredukowanietegoryzykazwykorzystaniem

technologiibezpieczeństwabędącychpodręką.

RozwiązaniatelefoniiIPwymagajątakiejsamejpoufnościjakdane.Do

podsłuchutransmisjiwystarczypodpiąćlaptopadosiecilokalnejlubumieścićwzasięgusieciWLAN.Z

tegopowodukoniecznejestuwierzytelnianietelefonówIPorazszyfrowaniesygnalizacjiistrumienia

głosu.

Kryptografiawprowadzadopakietówgłosowychdodatkowedaneizwiększaopóźnienia.IETF

opracowałaprotokółSecureIPzapewniającyszyfrowanietransmisjipomiędzyklientamiVoIPbezich

nadmiernegoobciąŜania.BezpieczeństwoVoIPmoŜnarównieŜzwiększaćdrogątworzeniapodsieci

wirtualnychLAN(VLAN).

VoIPjeststosunkowonowymispecyficznymtypemaplikacjiinternetowej,alewkońcumoŜna

sprowadzićjądojednegozestrumienidanychczasurzeczywistegodostarczanychprzyuŜyciuIP.

DlategoteŜwieleześrodkówbezpieczeństwaszerokostosowanychdzisiajdoochronyinnychaplikacji

internetowychFTP,HTTP,pocztaelektronicznaczykomunikatorymoŜebyćwykorzystanychdo

zwiększeniabezpieczeństwaVoIP.

BezpieczeństwoVoIPjestwduŜejmierzezaleŜneodbezpieczeństwaprotokołuIP.Zabezpieczając

infrastrukturęsystemuVoIP,moŜnaograniczyćzagroŜeniazestronyatakówopartychnaDoS,SYN

flood,przechwytywaniusesji(hijacking)czynasłuchiwaniu.

WiększośćaplikacjiusługiVoIPpracujenapopularnychplatformachserwerowychsystemów

operacyjnych.Wzmacnianiesystemówoperacyjnychserwerówihostowesystemywykrywania

wtargnięćtopodstawowaochronaVoIP.Najczęściejrekomendowaneśrodkibezpieczeństwadla

serwerów,któremogąbyćzastosowanerównieŜdlaserwerówgłosowych,to:

UtrzymywanienaaktualnympoziomiestanułateksystemuoperacyjnegoiaplikacjiVoIP.

Uruchamianienatakimserwerzewyłącznieaplikacjiwymaganychdlazapewnieniaiutrzymania

usługVoIP.

StosowaniesilnegouwierzytelnianiadostępudokontadministracyjnychiuŜytkowników.

UdostępnienieuŜytkownikomkontwymaganychjedyniedlaoperacjiutrzymaniaikonfigurowania.

Stosowaniesurowejpolitykiautoryzacjizapobiegającejnieautoryzowanemudostępowidousług

VoIPidanychokontach.

AudytsesjiadministracyjnychiuŜytkownikaorazdziałańzwiązanychzjakościąusług.

Instalowanieiutrzymywaniezapórogniowychserweraorazśrodkówdopowstrzymywania

atakówkodówzłośliwychiatakówDoS.

BezpiecznekonfigurowanieaplikacjiVoIPwceluzapobieŜenianaduŜyciom,np.białelisty

dozwolonychnumerówkrajowych,zapobiegająceprzekierowaniuwywołańorazsocjotechnikom,

któremogąprowadzićdokradzieŜyimpulsówinieupowaŜnionegouŜytkowania.

Obronarozbudowana

KiedyserweryVoIPiaplikacjenanichpracującesąjuŜbezpiecznieskonfigurowane,moŜnaprzystąpić

dobudowania"obronygłębokiej"poprzezdodawaniepoziomówzabezpieczeńwokółserwera.Serwery

VoIPiwymaganąinfrastrukturę(DNS,LDAP)moŜnaizolowaćodmaszynklienckich(telefonów,

pecetówilaptopów),uŜywającdoprzenoszeniazarządzania,głosuidanychfizycznieseparowanych

lubwirtualnychLAN(VLAN).

DoograniczaniatypówruchuprzekraczającegograniceVLAN,tylkodoniezbędnychprotokołów,uŜywa

sięzapórogniowych.TakieodgrodzeniemoŜeefektywnieograniczaćrozprzestrzenianiesięzłośliwych

kodówzzainfekowanychklientówdoserwerówVoIP,zwłaszczawsiecihomogenicznej(np.Windows).

CzęstomateŜwpływnauproszczeniepolitykibezpieczeństwarozdzieleniejejnaograniczające

3z5

2008120721:24

Fałszywarejestracjarozmowy

IDGBezpieczeństwotelefoniiIP

http://www.idg.pl/cgibin/print.asp

zaporyognioweułatwiazarządzanie,stajesięmniejskomplikowaneniŜutrzymywanieregułpolitykina

pojedynczejzaporzeogniowej.

Segmentacjajestsilnymnarzędziemzapewnianiabezpieczeństwa,takwięcniemoŜnajejzaniechać.

Takiesamemetodysegmentacji,jakiesąuŜywanedopodniesieniabezpieczeństwa,mogąbyć

stosowanedoimplementacjiQoS.PrzydzielenietelefonówSIPdoichwłasnychVLANpomaga

ograniczyćVoIPdodozwolonychurządzeńinadaćwyŜszypriorytetpakietomVoIPprzemieszczanymz

obrzeŜasiecidotakiegosegmentu.

RozwaŜyćteŜmoŜnaoddzielenieagentówVoIPuŜytkownika(softfonów)od

komputerówPCilaptopówuŜywanychdodostępudosieciowychaplikacji

danych.TakasegregacjaobniŜyskutecznośćatakówskierowanychprzeciw

segmentomdanych,rozprzestrzeniającychiinterferującychsięzsystemami

głosowymi.

Wirtualnesiecilokalnepozwalająnalogiczneodseparowaniedanych

głosowychodpozostałychdanychsieciowych.WdroŜeniemechanizmów

QoSwzarządzaniupasmemprzeznaczonymdlaaplikacjigłosowychumoŜliwianadawaniepriorytetów

dlaspecyficznychusług.ZarządzanieprzepustowościąkaŜdegokomponentuVoIPmoŜeograniczyć

atakiSYNfloodczyDDoS.

Mechanizmuwierzytelniania

telefonówzapomocąLLDP

Gdyzastosujesięsegmentacjęirozgraniczaniewykorzystująceregułypolityki,problememmoŜebyć

wydajnośćzaporyogniowej.DlategotakieprzedsięwzięcianaleŜyplanowaćostroŜnie,abyuniknąć

nadmiernychopóźnieńnadrodzetransportustrumieniagłosu.

BezpieczeństwopunktówkońcowychzapewniazewnętrznypoziomochronywsystemachVoIP.

KontroladostępudosieciopartanaIEEE802.1Xiekwiwalentnetechnikiudostępnianiasieci

zapewniajądodatkowypoziomkontroliautoryzacjipoprzezblokowaniedostępudoLANczyWAN

dopókiurządzeniekońcoweniespełniwymagańobowiązującejpolitykibezpieczeństwa.

Administratorzymogąblokowaćurządzeniazainfekowanelubtakie,któreniespełniająinnychkryteriów

dopuszczeniadosieci,jaknp.aktualnełatkiczyodpowiednioskonfigurowanazaporaogniowa.Mogą

teŜskierowaćniespełniającewymagańurządzeniadowyizolowanegosegmentuLAN,któryoferuje

ograniczonyzakresusługlubdoLAN,gdzieuŜytkownicysoftfonówmogąuzyskaćdostępdo

oprogramowania,łatekiaktualnychsygnaturwirusowychzapewniającychspełnienieprzyjętych

kryteriów.Wwieluprzypadkachteśrodkibezpieczeństwamogąbyćpodejmowaneprzed

uwierzytelnieniem,uniemoŜliwiająckodomzłośliwym(np.rejestratoromklawiatury)przechwytywanie

referencji.

TrzebateŜpamiętać,ŜeVoIPjestczęstoproblememdlatradycyjnychzapórogniowych,poniewaŜ

mogąbyćoneniedostosowanedozadańzabezpieczaniastrumieniagłosuidanych.Tradycyjne

sieciowezaporyogniowesąprzygotowanedodopuszczanialubblokowaniaruchunapodstawie

informacjinagłówkowejTCP,UDP(UserDatagramProtocol)iIP.NaprzykładadresIP,typprotokołui

numerportu.

ProtokołyVoIPuŜywająszerokiegozakresuportówUDPiprzydzielająjedynamiczniedostrumienia

głosu.Wieletradycyjnychzapórogniowychjestnieprzystosowanychdotakiegodziałania,tj.duŜego

zakresunumerówportówstaleotwartychdlauŜytkuVoIP.Niektórezaporyogniowenieprzetwarzają

efektywnieUDP.InnenieobsługująmechanizmówQoSzarządzającychopóźnieniemiróŜnicamiw

czasienadejściapakietówgłosowych(jitter)wsposóbzapewniającypołączeniomVoIPjakość

połączeńnieodbiegającąodtelefoniitradycyjnej.

InnymproblemempołączeńVoIPprzechodzącychprzezzaporęogniowąsąwiadomości

sygnalizacyjne.Sąoneignorowaneprzeztradycyjnątranslacjęadresów(NAT).Typowezapory

ognioweniemonitorująrównieŜwszystkichprotokołówVoIPdlaróŜnychtypówataków,któremogą

miećmiejsce.

PoduwagęnaleŜywięcbraćzaporyognioweobsługująceSIP,któremogąwykrywaćiprzeciwdziałać

atakomnakomunikatysygnałoweSIPorazprzetwarzaćstrumieniepakietówRTPbezdokładania

znaczącychopóźnień.

Bramypoziomuaplikacyjnego(proxy)mogąodgrywaćznaczącąrolęwewdraŜaniuVoIP.Włączenie

tuneliSSLdoproxySIPstajesięcorazbardziejpopularnąmetodąulepszeniauwierzytelnianiaoraz

wprowadzaniapoufnościiochronyintegralnościkomunikatówsygnałowychwymienianychpomiędzy

4z5

2008120721:24

IDGBezpieczeństwotelefoniiIP

http://www.idg.pl/cgibin/print.asp

agentemuŜytkownikaiproxySIP.

WwieluimplementacjachbierzesiępoduwagęłańcuchowaniepołączeńSIPwceluochronyruchu

sygnałowegopomiędzyproxySIPwcałejorganizacji,jakrównieŜmiędzyróŜnymiorganizacjami.JeŜeli

organizacjamusiprzekazywaćstrumieniegłosumiędzylokalnymiiglobalnymiadresamiIPorazportami

RTP,odpowiednimrozwiązaniemmoŜebyćzastosowaneproxyRTP.Organizacje,którejuŜpoczyniły

pewneinwestycjewinfrastrukturęIPSec,mogąwykorzystaćjądozabezpieczaniaruchuVoIP

pomiędzyośrodkami.

WpewnychkonfiguracjachmoŜnapróbowaćpreferencyjnegoprzetwarzaniaruchuVoIPpoprzez

tworzenieasocjacjibezpieczeństwaIPSec,którenadająpriorytetruchowimultimedialnemunadruchem

danych.MoŜnateŜstosowaćfiltrowanieruchusygnałowegoistrumienimultimedialnychRCPprzez

SessionBorderController(SBC).SBCmogąstosowaćpolitykębezpieczeństwawodniesieniudo

połączeńpomiędzyprywatnymiipublicznymiagentamiuŜytkownika.PodkilkomawzględamiSBC

zachowujesiępodobniejakproxybezpiecznejpocztyelektronicznej.MoŜezmieniaćnagłówki

wiadomościwceluukryciaszczegółówoprywatnejsieci(takichjakadresy),usuwaćnieznanei

niepoŜądanepolanagłówkaSIP,atakŜezabraniaćspecyficznychpołączeń.

Takieśrodkibezpieczeństwa,wrazzproaktywnymplanemmonitorowaniabezpieczeństwaoraz

systememwykrywaniaizapobieganiawtargnięciom,nietylkopoprawiająbezpieczeństwoVoIP,ale,

poichwprowadzeniuworganizacji,takŜewznacznymstopniuzmniejszająryzykodlasiecidanych.

WieleztychśrodkówbędzienadaluŜytecznychdlaróŜnychwdroŜeń,nawetpowniesieniudo

protokołówiarchitekturyVoIProzszerzeńzwiązanychzbezpieczeństwem.

WprzedsiębiorstwachtrzebatakŜewziąćpoduwagęwdroŜenieodpowiedniegohelpdesku.Usuwanie

problemówzwiązanychzzakłóceniemusługi,podszywaniemsiępodabonentaczykradzieŜąimpulsów

musimiećodpowiedniewsparcie.Rozwiązywaniesporówiprzywracanieusługipracownikom,którzy

padliofiarątakichataków,wymagaodpowiednichzasobówiwpływanaichwydajność.

JózefMuszyński

wersjadowydruku

| stronagłówna | wersjaoryginalna |

Serwisrealizuje wytyczneASMEorazuzupełnieniaIDG dotyczącezasadpublikacjiwmediachelektronicznych.

KorzystaniezserwisuIDGjestjednoznacznezwyraŜeniemzgodynanastępujące warunkiobsługi .

04204Warszawaul.Jordanowska12

tel.(+4822)3217800

fax(+4822)3217888

Kontakt

5z5

2008120721:24

Muszyński Józef - Bezpieczeństwo telefonii IP.pdf

Plik z chomika:

Inne pliki z tego folderu:

Inne foldery tego chomika: