Popularyzacja technologii VoIP niesie zagrożenia dla systemów IT, o których nie należy zapominać w pogoni za oszczędnościami i nowymi, atrakcyjnymi funkcjonalnościami.

Telefonia VoIP zagościła na dobre w wielu przedsiębiorstwach, bo dzięki niej można znacząco obniżyć koszty połączeń, wzbogacić funkcjonalność systemu telekomunikacyjnego o niedostępne dotąd możliwości. Ale poza dość oczywistymi zaletami VoIP wprowadza też nowe zagrożenia, niewystępujące w telefonii tradycyjnej. Dlatego nie zawsze warto ulegać fascynacji tą technologią oraz niskimi cenami sprzętu, zapominając o zabezpieczeniach i ochronie systemu IT, co niestety jest dość częstą praktyką. Nie zawsze łatwość użycia i niska cena idą w parze z dostatecznym zabezpieczeniem zarówno urządzeń, jak i dostępnych na rynku usług.

Telefon i centrala VoIP

Typowy telefon internetowy jest w rzeczywistości małym komputerem wyposażonym we wbudowany system operacyjny, który oczywiście może zawierać luki w bezpieczeństwie. Producenci sprzętu z reguły umożliwiają aktualizację firmware, ale w przypadku typowych tanich modeli telefonów aktualizacja taka odbywa się przez połączenie TFTP albo przeglądarkę internetową. Ze względu na kłopotliwe wykonywanie takich aktualizacji na skalę masową, oprogramowanie tego typu telefonów jest często nieaktualizowane na bieżąco. W efekcie zawierają one powszechnie znane luki w bezpieczeństwie.

Jeśli telefony są włączone do tego samego segmentu sieci lokalnej co komputery, a nie jest to sytuacja wyjątkowa, zagrożenie bezpieczeństwa staje się poważne. Możliwa jest wówczas zdalna podmiana firmware'a takiego telefonu na specjalnie przygotowane oprogramowanie, zawierające np. moduł kradzieży danych. Ponieważ połączenia IP z telefonu VoIP rzadko podlegają audytom sieciowym, kradzież danych tą drogą nie jest trudna. Nie tylko telefony są podatne na ataki włamywaczy - równie dobrze mogą oni opanować centralę VoIP. Takie włamania najczęściej wykorzystują błędy popełnione przez administratora systemu, który nie ustawił odpowiednich zabezpieczeń. Typowe błędy to stosowanie domyślnych haseł, niewłączenie SRTP oraz typowa konfiguracja out-of-the-box.

Telefonia internetowa, w odróżnieniu od klasycznej PTSN, może być powszechnie dostępna przez Internet, zatem jeśli centrala jest osiągalna za pomocą połączenia internetowego, to dostęp do niej jest możliwy z każdego miejsca na świecie. To wygodne dla użytkowników, ale jednocześnie także dla potencjalnych włamywaczy. Oprogramowanie centrali jest skomplikowane, więc również ono może zawierać i najczęściej zawiera jakieś błędy. Liczący się na rynku dostawcy dość szybko dostarczają aktualizacje likwidujące znane luki, ale nie wszyscy administratorzy dbają o ich bieżącą instalację. Ponadto zawsze istnieje ryzyko ataków dnia zerowego.

Osobnym problemem są ataki kierowane przeciw centralom konkretnego producenta, eksploitujące błędy konfiguracji, o których producent nie pisze w podręcznikach instalacyjnych. Usuwanie tego typu błędów jest trudne. Dlatego też warto wzmocnić zabezpieczenia, bazując na innych mechanizmach standardowo dostępnych w infrastrukturze IT.

Wykorzystać istniejące zabezpieczenia

Warto pamiętać, że systemy telefonii internetowej mogą być zabezpieczane przy użyciu istniejących technologii, powszechnie stosowanych w sieciach. Połączenie urządzeń VoIP w separowanej podsieci IP podwyższa bezpieczeństwo i poprawia jakość połączeń, bo obciążenie segmentu LAN, gdzie pracują komputery, nie będzie wpływało na ich pracę. Zamiast podłączać centralę VoIP przy użyciu publicznego adresu IP, a jest to najprostsze i dlatego dość często praktykowane, warto użyć dobrej implementacji sieci VPN. Wtedy połączenie telefon-centrala będzie skutecznie szyfrowane, zaś sama centrala niedostępna spoza firmowej sieci.

Do połączenia z dostawcą usług, który realizuje połączenia z siecią PTSN, należy skonfigurować specjalne połączenie internetowe z odpowiednimi restrykcjami na zaporze sieciowej. Niestety należy się liczyć z tym, że wszelkie takie zabezpieczenia podwyższają koszty implementacji telefonii VoIP, ale nie warto ich lekceważyć.

Zagrożenia niesie Skype

Stosowanie popularnego systemu Skype w firmach niesie bardzo poważne zagrożenia dla bezpieczeństwa systemu IT. Oprogramowanie to ponad wszelką wątpliwość identyfikuje każdy z komputerów, na którym zostało zainstalowane, oraz umożliwia trudny do kontrolowania przez administratora transfer wiadomości lub plików. Skype wykorzystuje własny protokół, specjalnie przystosowany do omijania restrykcji zapór sieciowych. A dodatkowo, informacje przesyłane wewnątrz szyfrowanego połączenia Skype są niewidoczne dla systemów audytu.

Oprogramowanie to daje włamywaczom duże pole do popisu. Najczęściej opisywanym i wykorzystywanym przez włamywaczy atakiem przy wykorzystaniu Skype'a jest skanowanie sieci lokalnej. Nie wyczerpuje to jednak arsenału możliwości, które aplikacja ta im oferuje. Dzięki mechanizmowi wtyczek możliwe jest udostępnienie pulpitu (np. przez wtyczkę RemoteX), aplikacji (Unyte), plików i katalogów (Pando), rejestracji rozmów (Pamela MP3 Call Recorder) i wiele innych. Istnieją także niecertyfikowane wtyczki, które realizują tunel TCP/IP w obrębie szyfrowanego połączenia Skype. Przez tunel VPN wewnątrz Skype'a można nawet montować zdalnie dyski z innych maszyn (bardzo wolno, ale działa).

Aplikacja Skype jest też narażona na ataki za pośrednictwem robaków sieciowych. Notowano już tego typu ataki (MyTob, Warezov Trojan, Ramex i inne), więc opinia, że wykorzystywanie Skype'a w sieci firmowej jest poważnym naruszeniem bezpieczeństwa, ma dobre uzasadnienie. Oprócz tego producent Skype'a nie dostarcza kodu źródłowego aplikacji i maksymalnie utrudnia wsteczną analizę kodu. Wskutek ustawicznych modyfikacji protokołu i wprowadzenia mechanizmów automatycznej i częstej aktualizacji, oprogramowanie sprawia problemy przy detekcji ruchu, zaś wykrywane luki umożliwiające analizę działania tej aplikacji są szybko usuwane. Nasuwa to podejrzenia, że w systemie być może istnieje tylne wejście umożliwiające ingerencję komuś, kto posiada odpowiednie materiały (klucze szyfrujące itp.). Dla aplikacji oraz wtyczek dostępne są wszystkie zasoby lokalnego komputera, włącznie z dyskami sieciowymi i folderami poczty elektronicznej systemów pracy grupowej na poziomie uprawnień użytkownika.

Warto wiedzieć, że fakt szyfrowania połączeń Skype wcale nie oznacza zapewnienia poufności rozmów prowadzonych za pomocą tej usługi. Wiadomo, że istnieje zestaw narzędzi przeznaczonych do podsłuchu rozmów prowadzonych przez Skype'a. Jedną z takich metod jest zdalna, nienadzorowana instalacja odpowiedniego oprogramowania realizującego przekierowanie połączenia. Możliwość podsłuchu rozmów prowadzonych za pomocą Skype'a powinna zwrócić uwagę tym, którzy decydują się na wykorzystanie tego oprogramowania w przedsiębiorstwach.