CHAPITRE III : VULNERABILITES DES RESEAUX VoIP ET
MESURES DE SECURITE
III.1 INTRODUCTION
L'opportunité de migrer de la téléphonie
classique vers la téléphonie IP, a offert plusieurs avantages
pour les entreprises, et les a permis de bénéficier de nouveaux
services, tels que la vidéoconférence et la transmission des
données. L'intégration de ces services dans une seule plateforme
nécessite plus de sécurité.
Dans ce chapitre, nous allons décrire les attaques qui
menacent la VoIP, et nous détaillerons quelques-unes. Nous finirons par
une description des bonnes pratiques pour sécuriser les communications
de type voix sur IP.
III.2 APERCUES SUR LES ATTAQUES DANS LES RESEAUX
VoIP
Les attaques sur les réseaux VoIP peuvent être
classées en deux types : les attaques internes et les attaques externes.
Les attaques externes sont lancées par des personnes autres que celles
qui participent aux appels, et ils se produisent généralement
quand les paquets VoIP traversent un réseau peu fiable et/ou l'appel
passe par un réseau tiers durant le transfert des paquets. Les attaques
internes s'effectuent directement au réseau local dans lequel se trouve
l'attaquant. Il existe deux principales classes des
vulnérabilités sur un environnement VoIP. La première
dépend des protocoles utilisés (SIP, H.323...) et la
deuxième est liée aux systèmes sur lesquels les
éléments VoIP sont implémentés. Chaque protocole ou
service a ses propres attaques.
Dans le paragraphe qui suit, nous allons essayer de
disséquer ces différentes attaques et certaines solutions
disponibles.
III.2.1 ATTAQUES SUR LES PROTOCOLES12
Un appel téléphonique VoIP est constitué
de deux parties : la signalisation, qui instaure l'appel, et les flux de media,
qui transporte la voix.
La signalisation, en particulier SIP, transmet les
entêtes et la charge utile (Payload) du paquet en texte clair, ce qui
permet à un attaquant de lire et falsifier facilement les paquets. Elle
est donc vulnérable aux attaques qui essaient de voler ou perturber le
service téléphonique, et à l'écoute clandestine qui
recherche des informations sur un compte utilisateur valide, pour passer des
appels gratuits par exemple.
La signalisation utilise, en général, le port
par défaut UDP/TCP 5060. Le firewall doit être capable d'inspecter
les paquets de signalisation et d'ouvrir ce port afin de leurs autoriser
l'accès au réseau. Un firewall qui n'est pas compatible aux
protocoles de la VoIP doit être
71
configuré manuellement pour laisser le port 5060
ouvert, créant un trou pour des attaques contre les
éléments qui écoutent l'activité sur ce port.
Le protocole RTP utilisé pour le transport des flux
multimédia, présente également plusieurs
vulnérabilités dues à l'absence d'authentification et de
chiffrement. Chaque entête d'un paquet RTP contient un numéro de
séquence qui permet au destinataire de reconstituer les paquets de la
voix dans l'ordre approprié. Cependant, un attaquant peut facilement
injecter des paquets artificiels avec un numéro de séquence plus
élevé. En conséquence, ces paquets seront diffusés
à la place des vrais paquets.
Généralement, les flux multimédias
contournent les serveurs proxy et circulent directement entre les points
finaux. Les menaces habituelles conte le flux de la voix sont l'interruption de
transport et l'écoute clandestine.
Les protocoles de la VoIP utilisent TCP et UDP comme moyen de
transport et par conséquent sont aussi vulnérables à
toutes les attaques contre ces protocoles, telles le détournement de
session (TCP) (session Hijacking) et la mystification (UDP) (Spoofing), etc.
Les types d'attaques les plus fréquentes contre un
système VoIP sont :
III.2.1.1 SNIFFING
Un reniflage (Sniffing) peut avoir comme conséquence un
vol d'identité et la révélation d'informations
confidentielles. Il permet également aux utilisateurs malveillants
perfectionnés de rassembler des informations sur les systèmes
VoIP. Ces informations peuvent par exemple être employées pour
mettre en place une attaque contre d'autres systèmes ou
données.
Plusieurs outils requis pour le sniffing, y compris pour le
protocole H.323 et des plugins SIP, sont disponibles en open source.
| 
