SIP (cz. 2): bezpieczeństwo

Otwartość, prostota i uniwersalność protokołu SIP to jego główne zalety. W pewnych okolicznościach mogą się stać jednak poważną wadą. Jako że znaczna część wdrożeń SIP jest powiązana z telefonią IP (VoIP), to bardzo istotny staje się problem zabezpieczenia transmisji danych i komunikatów.

Mechanizmy bezpieczeństwa opisane w dokumentach RFC 3261 i RFC 3329 stanowią jedynie zalecenie i trudno wymagać, by były dołączane do każdej implementacji protokołu. Wśród najpoważniejszych konsekwencji braku zabezpieczeń sieci SIP należy wymienić: podsłuchiwanie rozmów, przeprowadzanie ataków DDoS (Distributed Denial of Service) oraz kradzież konta (tożsamości), powiązana z wyciekiem ważnych danych (vishing). Obecnie większość urządzeń SIP ma dołączone funkcje zwiększające bezpieczeństwo. Największym jednak problemem jest czynnik ludzki, czyli często nieświadomy zagrożeń użytkownik.

SIP (cz. 2): bezpieczeństwo

Avaya IP Office - w wersji dla najmniejszych firm

Jedną z metod, która pozwala m.in. podsłuchiwać czy nagrywać rozmowy, jest użycie fałszywego serwera SIP proxy. Transport komunikatów między serwerami proxy odbywa się zwykle przy użyciu niezabezpieczonego protokołu UDP, co umożliwia atakującemu umieszczenie swojego serwera na drodze transmisji. W tym celu można posłużyć się metodami typu DNS spoofing (podszycie się pod serwer DNS), ARP spoofing (LAN). Zrealizowanie takiego ataku pozwala blokować połączenia, podsłuchiwać je, zestawiać telekonferencje itp.

Zobacz również:

  • Ruszyły testy satelitów Starlink działających w trybie „direct-to-cell”

Innym sposobem na zakłócenie działania sieci SIP jest nieuprawniona rejestracja do serwera (registrar). Włamanie ponownie ułatwia sam protokół UDP używany w procesie rejestracji. Często jedynym zabezpieczeniem ze strony serwera jest monit o login i hasło. Te zaś mogą być łatwo zdobyte (login jest przesyłany jawnie, a hasło można odtworzyć za pomocą ataku słownikowego). Metoda słownikowa jest skuteczna wtedy, gdy urządzenie nie odnotowuje błędnych prób rejestracji, co dodatkowo pozwala bezpiecznie skanować listy użytkowników. Jeśli celem atakującego nie będzie pojedynczy klient, a np. brama medialna czy serwer poczty głosowej, to będzie on mógł podsłuchiwać rozmowy oraz modyfikować ustawienia sieciowe.

SIP (cz. 2): bezpieczeństwo

Transmisja danych, komunikatów SIP musi być odpowiednio zabezpieczona

Niezabezpieczone sieci SIP są też podatne na popularne ataki typu DDoS. Zawieszenie całego systemu telefonii VoIP opartej na SIP czy odmowa usług - mogą skutecznie odstraszyć potencjalnych klientów i zmusić firmę do nieplanowanych przestojów w pracy. Jeśli zabezpieczenia i uwierzytelnianie w sieci nie są właściwe, to przeprowadzenie ataków DDoS staje się stosunkowo proste. Można w tym celu wykorzystać fałszywe pakiety, odpowiednio zmodyfikowane komunikaty, uciążliwe żądania "REGISTER" lub "INVITE". Najprostszą metodą jest "zatykanie" pakietami portów dedykowanych do obsługi VoIP.

Aby odpowiednio zabezpieczyć sieci oparte na protokole SIP, należy pamiętać o wszystkich wymienianych w nich informacjach. Zaszyfrowane powinny być zarówno komunikaty, sygnały sygnalizacyjne (żądania, odpowiedzi), jak i warstwa transportowa. Protokołem transmisyjnym lepiej kontrolującym dane od UDP jest TCP, który zapewnia prawidłowe przesyłanie informacji we właściwej kolejności (numery sekwencyjne, retransmisje zagubionych pakietów).

Zabezpieczenia danych głosowych, które po zestawieniu sesji są standardowo przesyłane w sposób niezaszyfrowany (RTP), można dokonać za pomocą protokołu SRtTP (Secure Real-time Transport Protocol), dzięki czemu ewentualne przechwycenie transmisji nie będzie wiązało się z żadną stratą (atakujący otrzyma pseudolosowe próbki głosu). Piętą achillesową protokołu SIP jest również brak silnego uwierzytelniania użytkownika, co jednak można poprawić, stosując znane techniki (serwery RADIUS, LDAP, ograniczenie autoryzowanych adresów MAC itp.). Dobrym pomysłem jest również zakup certyfikatów cyfrowych, które będą wymieniane między poszczególnymi urządzeniami sieci SIP (bramy, serwery, telefony).

SIP (cz. 2): bezpieczeństwo

SIP Trunking pozwala realizować połączenia głosowe w sieciach IP, bez pośrednictwa sieci PSTN

Do szyfrowania żądań i odpowiedzi jest wykorzystywany protokół TLS (Transport Layer Security), zestawiający bezpieczny tunel między adresatem a nadawcą komunikatów (mechanizm podobny do wykorzystywanego w HTTPS). Sposób, w jaki dane są przesyłane w takim tunelu, określa protokół Secure SIP. W celu doskonalenia ochrony rozmów i danych obecnie coraz częściej w sieciach SIP wdrażany jest IPSec (Internet Protocol Security). Wzrost wydajności systemów telekomunikacyjnych pozwala, głównie w dużych firmach, stosować klucz szyfrowania AES-256, jeden z najsilniejszych mechanizmów zabezpieczających, które są obecnie stosowane.

Czytaj poprzednią część artykułu: SIP: protokół otwartej komunikacji (1) - tutaj.

Czytaj trzecią część artykułu: SIP trunking i open source (3) - tutaj.

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200