Bezpečnost VoIP - 2

Je zřejmé, že technologie přenášení hlasu přes sítě IP – Voice-over-IP (VoIP) – představuje budoucnost telefonování. Na počátku šlo o spíše těžkopádný způsob, jak spolu mohli šetřiví nadšenci mluvit pomocí počítače. Teď IP telefonie pokročila mnohem dál – představuje nový způsob, jak dodávat plně vybavené telefonní služby, které slibují velké úspory a otevírají cestu nové nabídce multimediálních komunikačních služeb.

Bezpečnost VoIP


Útoky budou vedeny z různých důvodů, ale domníváme se, že šest následujících bude patřit k nejčastějším.

ÚTOKY TYPU ODEPŘENÍ SLUŽBY (DOS)

Cíl: Snížit kvalitu telefonních služeb, potenciálně až na úroveň, že uživatelé nebudou moci volat a přijímat hovory.

Jak to funguje:
Existují dva hlavní způsoby, jak odepřít přístup k službám IP telefonie.
Pokud jsou hovory směrovány přes veřejný internet (jak je tomu v případě služeb Skype, Vonage a další, stejně jako BT Communicator a BT Broadband Voice) nebo přes jinou síť, která sdílí kapacitu na bázi „first come, first served“ (kdo dřív přijde, ten dřív mele), interference může být výsledkem i naprosto legitimních aktivit, jako je například stahování velkých souborů. Pakety dat, které nesou hovor, mohou být zpožděny, což znamená přerušení konverzace. V nejhorším případě je „linka“ přerušena úplně. Útočníci, kteří chtějí uživatelům zamezit přístup ke službám IP telefonie, mohou využít této slabiny a zahltit síť podvrženými daty, čímž sníží její schopnost přenášet hovory.
Útočník může také zahltit ústřednu příjemce, telefony nebo infrastrukturu IP telefonie pomocí falešných požadavků na obsloužení nebo pomocí neplatných datových paketů. Ty mohou buď zcela zahltit systém a software, nebo výrazně snížit jejich schopnost obsluhovat hovory. V podobných útocích typu odepření služby proti webovým serverům nebo počítačovým systémům používají útočníci viry, červy a další techniky, pomocí kterých donutí různé počítače připojené k internetu, aby se účastnily na útoku, aniž by o tom většinou jejich vlastník věděl. Výsledkem je útok typu distribuovaného odepření služby.
Útoky směřující na systémy IP telefonie mohou stejným způsobem využít slabin v softwarových telefonech (softphonech) a v dalším softwaru.

Jak útokům zabránit:
Když hovory putují přes veřejný internet, není mnoho možností, jak zabránit přetížení sítě – ať již z legitimních nebo podvodných důvodů.
V soukromých sítích je ale možné rozdělit dostupnou kapacitu tak, aby byly vytvořeny dvě (případně více) logické sítě, které mají každá svou vlastní limitovanou kapacitu. Telefonní hovory je tak možno oddělit od přenosů dat, což výrazně snižuje riziko interference.
Nebo je možné použít kontrolu kvality služeb, která rozliší hlasové hovory od ostatního provozu a zajistí, aby telefonáty dostaly vyšší prioritu při uspokojování požadavků na síťové zdroje. Kvalitu je možné dále zajistit tím, že se zavede kontrola přijímaných hovorů. Díky tomu jsou přijímány hovory jen v případě, že je dostatečná kapacita. Při jejím překročení slyší volající tón obsazeno.
K útokům ve velkém měřítku zaměřeným proti ústřednám a dalším infrastrukturám VoIP zatím ještě nedošlo, ale podle zkušenosti s datovými sítěmi víme, že je třeba zkombinovat efektivní obranu s rychlými a efektivními akcemi, abychom útokům jednak předešli a jednak zmírnili jejich následky do té doby, než útok odezní nebo se nám jej podaří zastavit.
Zaměstnanci, kteří zodpovídají za systémy IP telefonie, budou muset umět – stejně jako správci datových sítí a počítačových instalací – rychle rozpoznat útok, jakmile začne, zjistit, jaké mají k dispozici zdroje, a rekonfigurovat síťové zdroje tak, aby minimalizovali důsledky útoku. V současnosti se pracuje na nových nástrojích a technikách, které jim v těchto úkolech pomohou a budou hrát výraznou roli zejména v budoucnosti.

ODCIZENÍ SLUŽBY

Cíl: Telefonovat na náklady někoho jiného bez dovolení.

Jak to funguje:
Tento útok vyžaduje přístup nebo připojení k telefonní IP síti nebo zcizení přihlašovacích údajů pro veřejnou službu.
Stejně jako u tradičních telefonních systémů platí, že kdokoliv získá přístup do sídla organizace, může používat jakýkoliv telefon, který funguje a je dostupný. Pokud navíc útočník dokáže získat přístup, může pozměnit routovací software tak, aby při volání na určená čísla nastalo zpětné volání do veřejné telefonní sítě – takzvaný provolávací podvod (dial-through).
Služby VoIP nabízejí mnoho příležitostí, jak telefonovat bez povolení, což je mimo jiné i důsledkem neadekvátní síťové bezpečnosti, neoprávněného připojování různých zařízení a zamoření IP telefonů a počítačů (softwarových telefonů) nebezpečným softwarem, které mění jejich chování.
Protože je číslo telefonu často určeno až ve chvíli, kdy se uživatel přihlásí, zcizené přihlašovací údaje mohou být zneužity k tomu, že poplatky za telefony jsou hrazeny na cizí účet.

Jak tomu zabránit:
Základní jsou hlavní bezpečnostní opatření – omezit přístup do sídla firmy a obezřetně chránit přihlašovací údaje.
Antivirové programy a další systémy mohou také ochránit systémy IP telefonie před útoky a zastavit škodlivé kódy před instalováním.

TELEFONNÍ PODVOD

Cíl: Vydělat pomocí manipulace s telefonem a/nebo účtovacím systémem.

Jak to funguje:
Stejně jako u běžných telefonních systémů mohou podvodníci volat na placené linky, a tak vydělat. Hlavní rozdíl spočívá v tom, že VoIP jakožto počítačová technologie může podobné služby vytáčet automaticky.
Podvodná aplikace se totiž například může poté, co se připojí na webové stránky nebo po přijetí spamu, sama nainstalovat na softphone, který pak vytáčí čísla placených linek, aniž by o tom věděl, třeba po pracovních hodinách.
Přístroj může být případně připojen k podnikové síti bez dovolení a potom vytáčí časté nebo dlouhé hovory na placené linky. Takovéto přístroje mohou nainstalovat například uklízeči nebo údržbáři, kteří mají do kanceláří přístup mimo pracovní hodiny, případně zaměstnanci, kteří mohou využít slabin v bezpečnosti bezdrátové sítě.
Podvodníci se také mohou vlámat do účetního systému a opravit záznamy ve svůj prospěch.

Jak to zastavit:
Servery, které využívá IP telefonie k volání, mohou být konfigurovány tak, aby snížily možnosti pro zneužití systému pro provolávací podvody. Telefony v soukromé síti mohou mít přidělen jen určitý omezený okruh čísel, která odpovídají zaměstnání jejich uživatelů. Hovory na placené linky a mezinárodní hovory by měly být za normálních okolností nastaveny jako zakázané. Server určený pro odchozí hovory by měl být nastaven tak, aby dovolil volání jen těm telefonům, které dokončily automatický proces registrace, jež následuje po připojení do sítě, a jen na ta čísla v rámci dotyčné organizace a na nouzové volání. Tuto možnost automatické registrace je možné většinou úplně vypnout.
Software může být také nastavený tak, aby hlásil všechna nezvyklá volání a podivné vzorce telefonování z „ověřených“ telefonů, aby si administrátor mohl všimnout případných dialerů (software, který vytáčí placené linky bez vědomí uživatele).
Běžné bezpečnostní postupy IT oddělení mohou chránit přístup k účetnictví a k záznamům. Firmy si musejí uvědomit, že jejich slabina spočívá také v neloajálních zaměstnancích – zejména těch, kteří se starají o systém IP telefonie.

OBTĚŽUJÍCÍ TELEFONÁTY

Cíl: Uškodit nebo způsobit problémy.

Jak to funguje:
Spam přenášený pomocí internetové telefonie SPIT (Spam Over Internet Telephony) můžeme považovat za nový, a možná ještě více obtěžující způsob, jak otravovat pomocí telefonátů.
Protože VoIP je datová služba, poplatek za zaslání hlasové zprávy není omezen počtem linek, které má volající k dispozici, nebo poplatkem za vytočení čísla.
Hlasová zpráva může být nahrána do počítače a poslána na mnoho cílových IP adres stejně, jako je spam posílán do schránek uživatelů. Záleží na výkonu počítače a kapacitě sítě – každou minutu je možné vytočit tisíce „hovorů“.
Může jít buď o propagaci produktů a služeb, o které uživatelé nemají zájem, ale v pozadí mohou být daleko zákeřnější motivy.

Jak to zastavit:
Dnes ještě nejde o závažný problém, ale v budoucnu očekávají experti, že se obtěžující SPIT rozšíří, protože IP telefonie bude stále více používaná.
Podobná řešení, jako byla používaná pro odstraňování spamu z e-mailových schránek, budou potřeba, aby zabránila SPIT dostat se do cílové schránky, což vždy znamená zbytečné maření času uživatelů a síťových prostředků.
Toto vše je potřeba, aby bylo dosaženo vyšších úrovní výkonu a zároveň aby nedocházelo k přerušením, které komplikují „legitimní“ hovory.

ODPOSLOUCHÁVÁNÍ

Cíl: Naslouchat hovorům nebo jiným způsobem získávat důvěrné informace.

Jak to funguje:
VOMIT je akronym pro Voice Over Misconfigured Internet Telephony (zfalšované hovory přenášené internetem). Tato technika může být použita, když jsou telefonní hovory přenášeny přes síť, která obsluhuje i data.
Pakety IP telefonie jsou zachycené monitorovacím přístrojem, který je připojený k síti, a jsou poté překódována do souborů ve formátu WAV, MP3 nebo jiných hudebních formátů. Tato technika může být použita pro legitimní účely – například pro ladění programu – ale také umožňuje odposlouchávaní. Znovu rekonstruované soubory mohou být vyzvednuty později, poslány e-mailem nebo jiným způsobem zaslány podvodníkovi.

Jak to zastavit:
Tento problém nastává jen v případě, že data a hlas sdílejí stejnou logickou síť – například ve veřejném internetu – a když je fyzicky možné odposlouchávání.
Toto nebezpečí může být vyřešeno kombinací logické separace hlasové a datové sítě s fyzickým a softwarovým bezpečnostním omezením, které by limitovalo přístup k infrastruktuře IP telefonie a zajistilo, že změny může provádět jen autorizovaný personál.
K zamezení odposlouchávání je možné hovory zašifrovat, ale tento proces může zpomalit pakety IP telefonie a snížit kvalitu hovorů.

PODVOD POMOCÍ ZMATENÍ

Cíl: Oklamat někoho, aby vykonal něco, co umožní krádež nebo podvod.

Jak to funguje:
Podvodníci mohou zfalšovat číslo volajícího a hovor potom vypadá jako legitimní – například od banky. To zvyšuje pravděpodobnost, že volaná osoba prozradí důvěrné informace.
Byla popsaná i metoda „sink-holing“, která mění chování sítě a navíc – kromě svých legitimních využití – může být využita k přesměrování hovorů směrem k útočníkovi.

Jak to zastavit:
Hlavní obrana proti podvodu pomocí zmatení je školení zaměřené na zvyšování uvědomění uživatelů o problémech a jejich potenciálních důsledcích.
Bez ohledu na telefonní číslo nebo další detaily zobrazené na displeji při příchozím hovoru by uživatelé neměli nikdy sdělovat osobní nebo důvěrné informace, jako jsou údaje o bankovních účtech, přes telefon, aniž by si ověřili, kdo je údajný volající. Legitimní volající budou rádi, když jim zavoláte nazpět na číslo, které patří dané organizaci.
Operátoři sítí IP telefonie by také měli využívat kontrolní seznam přístupů a další techniky, které zamezí neoprávněnému využití provozu. Od neautorizovaného přístupu musejí být ochráněny i uživatelská rozhraní softwarového systému, který přesměrovává hovory.
Operátoři systémů IP telefonie musejí brát v úvahu možné zneužití funkcí, jako je sink-holing, aby je mohli efektivně ochraňovat a omezit možnost změny jejich konfigurace pouze na schválené zaměstnance.








Komentáře