INSTITUTO POLITÉCNICO NACIONAL

Transcripción

1 INSTITUTO POLITÉCNICO NACIONAL ESCUELA SUPERIOR DE INGENIERÍA MECÁNICA Y ELECTRICA UNIDAD CULHUACAN TESINA Seminario de Titulación: Las tecnologías aplicadas en redes de computadoras DES/ ESME-CU /11/2012 Análisis de Fraude Por Bypass en Telefonía Móvil Que como prueba escrita de su Examen Profesional para obtener el Título de: Ingeniero en Comunicaciones y Electrónica Presentan: Carlos Ulises Martínez Lucho Daniel Guzmán Medina Octubre 2012

2

3 Índice Introducción 1 CAPÍTULO 1 Voz Sobre IP Descripción Voz sobre IP Ventajas Funcionalidad Móvil Puerta de Enlace en la Capa de Aplicación H Puerta de Enlace de la Capa de Aplicación del Protocolo de Inicio de Sesión Métodos de Petición del Protocolo SIP Clases de respuestas SIP ALG Puerta de Enlace en la Capa de Aplicación SDP Crear Ojos de Aguja Tiempo de Espera por Inactividad de la Sesión Protección Contra Ataques SIP SIP con Traducción de Direcciones de Red (NAT) Llamadas Salientes Llamadas Entrantes Llamadas Reenviadas Terminación de la Llamada Mensajes de llamada Re-INVITE Temporizadores de Sesiones de Llamadas Cancelación de la Llamada Bifurcación Mensajes del SIP Softphone Skype Descripción General Protocolo 19 CAPÍTULO 2 Telefonía Celular Historia de la Radiotelefonía Móvil Celular Modulación por Impulsos Codificados (PCM) Muestreo Cuantificación Codificación 23 III

4 2.3 Multiplicación por División de Tiempo Radiotelefonía Móvil Celular Reusó de Frecuencias Sistemas Celulares Analógicos en el Mundo (1 a Generación) NMT: Nordic Mobile Telephone (Europa) AMPS: Advanced Mobile Phone System (América) TACS: Total Access Communication System (Reino Unido) Sistemas Celulares Digitales en el Mundo (2ª Generación) TDMA: Time Division Multiple Access Code División Multiple Access Sistemas Celulares Digitales en el Mundo (3G) Push to Talk Over Cellular Voz sobre IP (VoIP) Stack de Protocolos Seguridad en SIM Prueba de un Número Secreto Autenticación BTS y su Interconexión a la Red Área de Cobertura Redes Telefonía Pública Conmutada (PSTN) Mobile Switching Center (MSC) Home Location Register (HLR) Registro de la Localizaci6n del Visitante (VLR) Estación Controladora (BSC) Radio Base (BTS) Conmutación de Llamadas Llamada desde la RTPC a la red Móvil Llamada desde abonado Móvil a la RTPC Códigos de Identificación Red de Señalización de Canal Común Arquitectura de una Red Inteligente 42 CAPÍTULO 3 Fraude Fraude Fraude Interno Fraude Externo Fraude de Suscriptor 47 IV

5 3.1.4 Manipulación de Información Fraude en Roaming CAMEL Fraude de Tercer País Líneas Empresariales Clonación de Líneas celulares Call back o llamada revertida Bypass Fraude Bypass Tipos de Sistemas Bypass Características de un Sistema Bypass SIM Box IVR - Interactive Voice Response Ruta Legal de una Llamada Internacional Ruta Ilegal de una Llamada Internacional 55 CAPÍTULO 4 Análisis y Detección Análisis de Tráfico Irregular Pruebas de Detección de Bypass Prevención y Control 58 Conclusiones 60 Glosario de Términos y Abreviaturas 62 Bibliografía 64 V

6 Introducción El fraude es el acto cumplido intencionalmente tendiente a eludir, herir o menos cavar disposiciones legales. Los fraudes que se producen en el sector de la telefonía celular causan una cuantiosa pérdida económica a las empresas telefónicas en nuestro país y de similar forma en el resto del mundo. Existen muchas formas de realizar fraude en telefonía celular, entre las más conocidas tenemos el bypass que en los últimos años ha causado pérdidas millonarias. De los tipos de fraude existente, el que más perjuicio origina a las operadoras de telefonía, lo constituye el Bypass, que en los últimos años ha causado pérdidas millonarias a las compañías de telefonía móvil. De forma resumida se puede decir que el Bypass encamina directamente el tráfico que viene del exterior hacia las centrales locales, sin pasar por la central de tráfico internacional. El tráfico de llamadas entrantes es aproximadamente 8 veces mayor que el de las llamadas salientes y en este mismo sentido se comete el ilícito del bypass. El bypass se muestra como una ruta alternativa para los carriers internacionales, la cual presenta un costo sumamente menor que el exigido por las compañías telefónicas locales; por este motivo deciden ingresar sus volúmenes de tráfico mediante esta vía alternativa o, fomentar la implementación de sistemas de bypass para ingresar su tráfico a un menor costo. Aunque no solo el fraude por Bypass constituye pérdidas millonarias, sino también los fraudes: por suscriptor, de tercer país, roaming, clonación de línea, interno, de líneas empresariales, etc. En combinación estos tipos de fraude son cada vez más difíciles de controlar, analizar y detectar. Las nuevas tecnologías y el Internet permiten cometer estos delitos con mucha mayor movilidad y libertad, con sus innovadoras aplicaciones, el uso de estos medios ha provocado que se incrementen las posibilidades, la frecuencia, y la magnitud de los delitos que se comenten, pues dificultan la ubicación e identificación del infractor, ya que no se cuenta con algún medio físico que evidencie el fraude y la identificación del infractor. 1

7 Como sucede con muchas nuevas tecnologías, hay potenciales inconvenientes, ya que en algunos casos los defraudadores cuentan con las mejores y más nuevas herramientas, que las compañías telefónicas y es así como se dificulta la detección de fraudes. Las telecomunicaciones constituyen uno de los sectores de mayor desarrollo tecnológico en el mundo, lo cual ha provocado la rápida y cada vez más sofisticada implementación de sistemas de telecomunicaciones fraudulentos, así mismo, esto influyen que las técnicas y estrategias que deben llevarse a cabo para combatirlos, tengan que ser cada vez más complejas, y a su vez, impliquen la necesidad de utilizar herramientas tecnológicas más avanzadas. Es por esto que con este trabajo se pretende analizar las diferentes rutas de fraude que se presenta en la telefonía móvil por bypass, entender todas las rutas y combinaciones entre los diferentes tipos de fraude posibles, para así combatirlo con su pronta detección, prevención y control. 2

8 CAPÍTULO 1 CAPÍTULO 1 Voz Sobre IP 1.1 Descripción Voz sobre IP Voz sobre Protocolo de Internet, también llamado Voz sobre IP, Voz IP, VoIP (por sus siglas en inglés), o Telefonía IP, es un grupo de recursos que hacen posible que la señal de voz viaje a través de Internet empleando un protocolo IP (Internet Protocol). Esto significa que se envía la señal de voz en forma digital en paquetes en lugar de enviarla en forma de circuitos como una compañía telefónica convencional o PSTN. Los Protocolos que son usados para llevar las señales de voz sobre la red IP son comúnmente referidos como protocolos de Voz sobre IP o protocolos IP. Pueden ser vistos como implementaciones comerciales de la Red experimental de Protocolo de Voz (1973), inventada por ARPANET. El tráfico de Voz sobre IP puede circular por cualquier red IP, incluyendo aquellas conectadas a Internet, como por ejemplo redes de área local (LAN) Ventajas La principal ventaja de este tipo de servicios es que evita los cargos altos de telefonía (principalmente de larga distancia) que son usuales de las compañías de la Red Pública Telefónica Conmutada (PSTN)). Algunos ahorros en el costo son debidos a utilizar una misma red para llevar voz y datos, especialmente cuando los usuarios tienen sin utilizar toda la capacidad de una red ya existente en la cual pueden usar para VoIP sin un costo adicional. Las llamadas de VoIP a VoIP entre cualquier proveedor son generalmente gratis, en contraste con las llamadas de VoIP a PSTN que generalmente cuestan al usuario de VoIP. Hay dos tipos de servicio de PSTN a VoIP: Llamadas Locales Directas (Direct In Ward Dialling: DID) y Números de acceso. DID conecta a quien hace la llamada directamente al usuario VoIP mientras que los Números de Acceso requieren que este introduzca el número de extensión del usuario de VoIP. Los Números de acceso son usualmente cobrados como una llamada local para quien hizo la llamada desde la PSTN y gratis para el usuario de VoIP. 3

9 CAPÍTULO Funcionalidad Voz IP puede facilitar tareas que serían más difíciles de realizar usando las redes telefónicas comunes: Móvil Las llamadas telefónicas locales pueden ser automáticamente enrutadas a tu teléfono VoIP, sin importar en donde estés conectado a la red. Lleva contigo tu teléfono VoIP en un viaje, y donde quiera que estés conectado a Internet, podrás recibir llamadas. Números telefónicos gratuitos para usar con VoIP están disponibles en Estados Unidos de América, Reino Unido y otros países de organizaciones como Usuario VoIP. Los agentes de Call center usando teléfonos VoIP pueden trabajar en cualquier lugar con conexión a Internet lo suficientemente rápida. Algunos paquetes de VoIP incluyen los servicios extra por los que PSTN (Red Telefónica Conmutada) normalmente cobra un cargo extra, o que no se encuentran disponibles en algunos países, como son las llamadas de 3 a la vez, retorno de llamada, remarcación automática, o identificación de llamadas. Los usuarios de VoIP pueden viajar a cualquier lugar en el mundo y seguir haciendo y recibiendo llamadas de la siguiente forma: Los subscriptores de los servicios de las líneas telefónicas pueden hacer y recibir llamadas locales fuera de su localidad. Por ejemplo, si un usuario tiene un número telefónico en la ciudad de Nueva York y está viajando por Europa y alguien llama a su número telefónico, esta se recibirá en Europa. Además si una llamada es hecha de Europa a Nueva York, esta será cobrada como llamada local, por supuesto el usuario de viaje por Europa debe tener una conexión a Internet disponible. Los usuarios de Mensajería Instantánea basada en servicios de VoIP pueden también viajar a cualquier lugar del mundo y hacer y recibir llamadas telefónicas. Los teléfonos VoIP pueden integrarse con otros servicios disponibles en Internet, incluyendo videoconferencias, intercambio de datos y mensajes con otros servicios en paralelo con la conversación, audio conferencias, administración de libros de direcciones e intercambio de información con otros (amigos, compañeros, etc.). 4

10 CAPÍTULO 1 Con la Telefonía IP, están disponibles los siguientes servicios digitales: 1.- Contestador automático (Voice ) 2.- Desvío de llamadas inteligente 3.- Bloqueo de llamadas salientes 4.- Filtrado de llamadas entrantes 5.- Multiconferencia hasta 5 participantes 6.- Marcación abreviada (números cortos) extensiones virtuales, 7.- Detalle y facturación de llamadas on-line (en tiempo real) 8.- Identificador de llamada entrante 9.- Llamada en espera 10.-Transferencia de llamada en curso 1.2 Puerta de Enlace en la Capa de Aplicación H.323 La puerta de enlace en la capa de aplicación (ALG) del protocolo H.323, permite asegurar la comunicación de voz sobre IP ( Voice-over-IP o VoIP) entre equipos terminales, como teléfonos IP y dispositivos de multimedia. En estos sistemas de telefonía, los equipos selectores ( gatekeeper ) gestionan el registro y la admisión de llamadas, así como el estado de las llamadas VoIP. Los equipos selectores pueden residir en dos zonas diferentes o en la misma zona Puerta de Enlace de la Capa de Aplicación del Protocolo de Inicio de Sesión. El protocolo de inicio de sesión (SIP) es un protocolo conforme al estándar del equipo de ingeniería para el desarrollo de Internet (IETF) en el que se define cómo iniciar, modificar y finalizar sesiones multimedia a través de Internet. Estas sesiones pueden ser de conferencias, telefonía o transferencias de datos multimedia, con prestaciones como la mensajería inmediata y la movilidad de aplicaciones en entornos de red. Los dispositivos de seguridad Juniper Networks admiten SIP como servicio y pueden monitorizar el tráfico SIP, permitiéndolo o rechazándolo según una directiva configurada por el usuario. SIP es un servicio predefinido en ScreenOS y utiliza el puerto 5060 como puerto de destino. Esencialmente, SIP se utiliza para distribuir la descripción de la sesión y, durante ésta, para negociar y modificar sus parámetros. SIP también se utiliza para terminar una sesión multimedia. El usuario incluye la descripción de la sesión en una petición INVITE o ACK. La descripción de la sesión indica el tipo de multimedia de la sesión, por ejemplo, voz o vídeo. Para describir la sesión, SIP puede utilizar diversos protocolos de descripción; NetScreen sólo admite el protocolo de descripción de la sesión (SDP). SDP proporciona la información necesaria para que un sistema pueda unirse a una sesión multimedia. SDP puede proporcionar datos como direcciones IP, números de puerto, fechas y horas. Los mensajes del protocolo SIP consisten en peticiones de un cliente a un servidor yen las correspondientes respuestas a esas peticiones enviadas por el servidor al cliente con 5

11 CAPÍTULO 1 el propósito de establecer una sesión (o llamada). Un agente de usuario (UA) es una aplicación que se ejecuta en los puntos finales de la llamada y consta de dos partes: el cliente del agente de usuario ( User Agent Client o UAC), que envía peticiones SIP de parte del usuario, y un servidor del agente del usuario ( User Agent Server o UAS), que escucha las respuestas y notifica al usuario cuando llegan. Como ejemplos de UA pueden citarse los servidores proxy SIP y los teléfonos Métodos de Petición del Protocolo SIP El modelo transaccional del SIP contempla una serie de mensajes de petición y de respuesta, cada uno con un campo method que describe el propósito del mensaje. ScreenOS admite los siguientes tipos de métodos y códigos de respuesta: INVITE: Un usuario envía una petición INVITE para invitar a otro usuario a participar en una sesión. El cuerpo de una petición INVITE puede contener la descripción de la sesión. En el modo NAT, las direcciones IP en los campos de encabezado Via:, From:, To:, Call-ID:, Contact:, Route:, y Record-Route: se modifican según consta. ACK: El usuario que generó la petición INVITE envía una petición ACK para confirmar la recepción de la respuesta final a la invitación INVITE. Si la petición INVITE original no contenía la descripción de la sesión, entonces la petición ACK debe incluirla. En el modo NAT, las direcciones IP en los campos de encabezado Via:, From:, To:, Call-ID:, Contact:, Route:, y Record-Route: se modifican según consta. OPTIONS: Utilizado por el agente del usuario (UA) para obtener información sobre las capacidades del proxy del protocolo SIP. Un servidor responde con información sobre los métodos, protocolos de descripción de sesiones y codificación de mensajes que admite. En el modo NAT, cuando la petición OPTIONS se envía desde un NAT fuera del UA a un NAT dentro del proxy, el ALG del protocolo SIP traduce la dirección en Request-URI y la dirección IP del campo To: a la dirección IP correspondiente al cliente interno. Cuando el UA se encuentra dentro del NAT y el proxy fuera del NAT, el ALG del SIP traduce los campos From:, Via: y Call-ID: según se muestra. BYE: Un usuario envía una petición BYE para abandonar una sesión. Una petición BYE de cualquier usuario cierra automáticamente la sesión. En el modo NAT, las direcciones IP en los campos de encabezado Via:, From:, To:,Call-ID:, Contact:, Route:, y Record-Route: se modifican según consta. CANCEL: Un usuario puede enviar una petición CANCEL para cancelar una petición INVITE pendiente. Una petición CANCEL no tiene ningún efecto si el servidor SIP que procesó la petición INVITE envió una respuesta final a dicho INVITE antes de recibir la petición CANCEL. En el modo NAT, las direcciones IP en los campos de encabezado Via:, From:, To:, Call-ID:, Contact:, Route:, y Record-Route: se modifican según consta. REGISTER: Un usuario envía una petición REGISTER a un servidor de registro registrar SIP para informarle de la ubicación actual del usuario. El servidor de registro SIP registra toda la información que recibe en las peticiones REGISTER y pone esta 6

12 CAPÍTULO 1 información a disposición de cualquier servidor SIP que intente localizar a un usuario. En el modo NAT, las peticiones REGISTER se gestionan como sigue: Peticiones REGISTER procedentes de un cliente externo a un registrador interno: Cuando al ALG del SIP recibe la petición REGISTER entrante traduce la dirección IP, si existe, en el Request-URI. Sólo se permiten mensajes REGISTER entrantes a direcciones MIP o VIP. Para la respuesta saliente no se requiere traducción. Peticiones REGISTER procedentes de un cliente interno a un registro externo: Cuando el ALG del SIP recibe la petición REGISTER saliente, traduce las direcciones IP de los campos To:, From:, Via:, Call-ID: y Contact:. campos de encabezado. Para la respuesta entrante se realiza una traducción inversa. Info: Utilizado para comunicar la información de señales durante la sesión a lo largo de la ruta de señales para la llamada. En el modo NAT, las direcciones IP en los campos de encabezado Via:, From:, To:, Call-ID:, Contact:, Route:, y Record-Route: se modifican según consta. Subscribe: Utilizado para solicitar el estado actual y actualizaciones de estado aun nodo remoto. En el modo NAT, la dirección Request-URI se transforma en una dirección IP privada si los mensajes proceden de la red externa y entran en la red interna. Las direcciones IP en los campos de encabezado Via:, From:, To:,Call-ID:, Contact:, Route:, y Record-Route: se modifican según se muestra. Notify: Se envía para informar a suscriptores sobre cambios en el estado al que están suscritos. En el modo NAT, la dirección IP en el campo de encabezado Petición-URI: se transforma en una dirección IP privada si el mensaje procede de la red externa y entra en la red interna. La dirección IP en los campos de encabezado Via:, From:, To:, Call- ID:, Contact: Route:, y Record-Route: se modifican según consta. Refer: Se utiliza para enviar al destinatario (identificado por Request-URI) a un tercero mediante la información de contacto proporcionada en la petición. En el modo NAT, la dirección Request-URI se transforma en una dirección IP privada si el mensaje procede de la red externa y entra en la red interna. Las direcciones IP en los campos de encabezado Via:, From:, To:, Call-ID:, Contact:, Route:, and Record-Route: se modifican según consta. 7

13 CAPÍTULO Clases de respuestas SIP Las respuestas SIP proporcionan la información de estado sobre las transacciones de SIP e incluyen un código de respuesta y una frase de razón. Las respuestas SIP se agrupan en las siguientes clases: Informativos (100 a 199): petición recibida, continúa procesando la petición. Éxito (200 a 299): acción recibida correctamente, comprendida y aceptada. Redirección (300 a 399): se requiere una acción adicional para completar la petición. Error del cliente (400 a 499): la petición es sintácticamente incorrecta o no se puede ejecutar en este servidor. Error del servidor (500 a 599): el servidor no pudo cumplir una petición aparentemente válida. Fallo global (600 a 699): la petición no se puede realizar en ningún servidor. Tabla Respuestas de SIP 8

14 CAPÍTULO 1 Tabla Respuestas de SIP 1.2.4ALG Puerta de Enlace en la Capa de Aplicación Existen dos tipos de tráfico SIP, el de señalización y las secuencia de medios ( streams ). El tráfico de señalización de SIP consiste en mensajes de petición y de respuesta intercambiados entre el cliente y el servidor y utiliza protocolos de transporte como UDP o TCP. La secuencia multimedia transporta los datos (por ejemplo, de audio), y utiliza protocolos de la capa de aplicación tales como protocolo de transporte en tiempo real ( Real-time Transport Protocol o RTP ) sobre UDP. Los dispositivos de seguridad Juniper Networks admiten mensajes de señalización SIP en el puerto Basta con crear una directiva que permita el servicio SIP para que el dispositivo de seguridad filtre el tráfico de señalización SIP como cualquier otro tipo de tráfico, permitiéndolo o rechazándolo. La secuencia multimedia, sin embargo, utiliza números de puertos asignados dinámicamente y que pueden cambiar varias veces durante el curso de una llamada. Sin puertos fijos es imposible crear una directiva de direcciones estáticas para controlar el tráfico multimedia. En este caso, el dispositivo de seguridad invoca el ALG de SIP. El ALG de SIP lee los mensajes del protocolo SIP y su contenido SDP y extrae la información del número de puerto que necesita para abrir dinámicamente pequeños ojos de aguja por los que permitir a la secuencia de medios atravesar el dispositivo de seguridad. SIP ALG supervisa las transacciones SIP y crea y administra dinámicamente los ojos de aguja basándose en la información que extrae de esas transacciones. NetScreen SIP ALG admite todos los métodos y respuestas del protocolo SIP. 9

15 CAPÍTULO 1 Puede permitir a las transacciones SIP atravesar los cortafuegos de NetScreen creando una directiva estática que permita el servicio SIP. Esta directiva habilita el dispositivo de seguridad para que intercepte tráfico SIP y ejecute una de las siguientes acciones: permitir o denegar el tráfico o habilitar SIPALG para abrir ojos de aguja por los que entregar la secuencia multimedia. SIPALG sólo necesita abrir ojos de aguja para las peticiones y respuestas SIP que contienen información multimedia (SDP). En cuanto a los mensajes SIP que no contienen SDP, el dispositivo de seguridad simplemente los deja pasar. SIP ALG intercepta los mensajes SIP que contienen SDP y, utilizando un analizador sintáctico, extrae la información que requiere para crear ojos de aguja. SIP ALG examina la porción SDP del paquete y un analizador sintáctico extrae datos tales como direcciones IP y números de puerto, que SIP ALG registra en una tabla de ojos de aguja. SIP ALG utiliza las direcciones IP y los números de puerto registrados en la tabla de ojos de aguja para abrir nuevos ojos de aguja que permitan a las secuencias multimedia atravesar el dispositivo de seguridad SDP Protocolo de descripción de la sesión ( Session Description Protocol ) Las descripciones de sesiones SDP consisten en un conjunto de líneas de texto. Pueden contener información de la sesión y del medio. La información a nivel de sesión se refiere a toda la sesión, mientras que la información a nivel de medio se refiere a una determinada secuencia multimedia. Una descripción de sesión SDP siempre contiene información a nivel de sesión al principio de la descripción, y puede contener información a nivel de medio, que se incluye después. De los muchos campos presentes en la descripción SDP, dos son particularmente útiles para SIP ALG porque contienen la información de la capa de transporte. Ambos campos son los siguientes: c= para información de la conexión Este campo puede aparecer a nivel de sesión o de medio. Se muestra en este formato: c=<tipo de red><tipo de dirección><dirección de conexión> Actualmente, el dispositivo de seguridad admite solamente IN (abreviatura de Internet) como tipo de red, IP4 como tipo de dirección y una dirección IP o nombre de dominio de unidifusión como dirección IP de destino (conexión). Si la dirección IP de destino es una dirección IP unicast, SIP ALG crea ojos de aguja usando la dirección IP y los números de puerto especificados en el campo de descripción de medios m=. m= por anuncio de medio Este campo aparece a nivel de medios y contiene la descripción del medio. Se muestra en este formato: m=<medio><puerto><transporte><lista formatos> 10

16 CAPÍTULO 1 Actualmente, el dispositivo de seguridad admite solamente audio como medio y RTP como protocolo de transporte de la capa de aplicación. El número de puerto indica el destino de la secuencia multimedia (y no su origen).la lista de formatos ( fmt list ) proporciona información sobre el protocolo dela capa de aplicación utilizado por el medio. En esta versión de ScreenOS, el dispositivo de seguridad abre puertos solamente para RTP y RTCP. Cada sesión RTP tiene una sesión RTCP ( Real-time Transport Control Protocol o protocolo de control del transporte en tiempo real) correspondiente. Por lo tanto, siempre que una secuencia multimedia utilice RTP, SIP ALG debe reservar puertos (crear ojos de aguja) tanto para el tráfico RTP como RTCP. De forma predeterminada, el número de puerto para RTCP es el siguiente al del puerto RTP Crear Ojos de Aguja Los ojos de aguja para el tráfico RTP y RTCP comparten la misma dirección IP de destino. La dirección IP procede del campo c= en la descripción de sesión de SDP. Debido a que el campo c= puede aparecer tanto en la porción del nivel de sesión como en la del nivel del medio dentro de la descripción de la sesión SDP, el analizador sintáctico ( parser ) determina la dirección IP basándose en las reglas siguientes (siguiendo las convenciones de SDP): En primer lugar, el analizador sintáctico de SIP ALG verifica si hay un campo c= que contenga una dirección IP en el nivel de medios. Si hay alguno, extrae dicha dirección IP y SIP ALG la utiliza para crear un ojo de aguja para el medio. Si no hay ningún campo c= a nivel de medio, el analizador sintáctico de SIPALG extrae la dirección IP del campo c= en el nivel de sesión y SIP ALG la utiliza para crear un ojo de aguja para el medio. Si la descripción de la sesión no contiene un campo c= en ningún nivel, significa que existe un error en la pila del protocolo, por lo que el dispositivo de seguridad descarta el paquete y registra el evento. La lista siguiente muestra la información que SIP ALG necesita para crear un ojo de aguja. Esta información procede de la descripción de la sesión SDP y de los parámetros del dispositivo de seguridad: Protocol: UDP Source IP: desconocido Puerto de origen: desconocido Destination IP: El analizador sintáctico extrae la dirección IP de destino del campo c= en el nivel de medio o de sesión. Destination port: El analizador sintáctico extrae el número del puerto de destino para RTP del campo m= en el nivel de medios y calcula el número del puerto de destino para RTCP utilizando esta fórmula: RTP port number +one. Life time: Este valor indica el tiempo (en segundos) que permanece abierto un ojo de aguja para permitir el paso de un paquete. Un paquete debe pasar a través del ojo de aguja antes de que caduque este tiempo. Cuando caduca, SIP ALG elimina el ojo de aguja. 11

17 CAPÍTULO 1 Cuando un paquete atraviesa el ojo de aguja dentro del periodo de vigencia, inmediatamente después SIP ALG elimina el ojo de aguja para el sentido de procedencia del paquete. La Figura 1.1 describe una configuración de llamada entre dos clientes SIP y cómo SIP ALG crea ojos de aguja para permitir el tráfico RTP y RTCP. La ilustración asume que el dispositivo de seguridad tiene una directiva que permite el tráfico SIP, abriendo el puerto 5060 para mensajes de señalización SIP. Figura 1.1. Ajuste de llamada de ALG de SIP Tiempo de Espera por Inactividad de la Sesión Normalmente, una llamada termina cuando uno de los clientes envía una petición BYE o CANCEL. SIP ALG intercepta la petición BYE o CANCEL y elimina todas las sesiones de medios de esa llamada. Existen posibles causas o problemas que impedirían a los clientes de una llamada enviar peticiones BYE o CANCEL, por ejemplo, un fallo de alimentación eléctrica. En este caso, la llamada podría continuar indefinidamente, consumiendo recursos en el dispositivo de seguridad. La función de tiempo de espera por inactividad permite al dispositivo de seguridad supervisar el estado vital de la llamada para terminarla si no hay actividad durante un periodo determinado de tiempo. Una llamada puede tener uno o varios canales de voz. Cada canal de voz tiene dos sesiones (o dos secuencias de medios), una para RTP y otra para RTCP. En cuanto a la gestión de las sesiones, el dispositivo de seguridad trata las sesiones de cada canal de voz como un grupo. Los ajustes tales como el tiempo de espera por inactividad se aplican a nivel de grupo, no a cada sesión. 12

18 CAPÍTULO 1 Existen dos tipos de tiempo de espera por inactividad que determinan la duración de un grupo: Signaling Inactivity Timeout: Este parámetro indica el tiempo máximo (en segundos) que una llamada puede seguir activa sin que se señalice tráfico SIP. Cada vez que se genera un mensaje SIP durante una llamada, este tiempo de espera se restablece. El ajuste predeterminado es de segundos (12horas). Media Inactivity Timeout: Este parámetro indica el tiempo máximo (en segundos) que una llamada puede permanecer activa sin que se produzca tráfico de medios (RTP o RTCP) dentro de un grupo. Cada vez que se genera un paquete RTP o RTCP durante una llamada, este tiempo de espera se restablece. El ajuste predeterminado es de 120 segundos. Si cualquiera de estos tiempos de espera caduca, el dispositivo de seguridad elimina todas las sesiones de esa llamada en su tabla, terminando de ese modo la llamada Protección Contra Ataques SIP La capacidad de procesamiento de llamadas del servidor proxy del SIP puede verse afectada por la repetición de peticiones INVITE del SIP, tanto malévolas como por error del cliente o del servidor, denegado inicialmente. Para impedir que el servidor proxy del SIP sea saturado por tales peticiones, puede utilizar el comando SIP protect deny para configurar el dispositivo de seguridad de modo que supervise las peticiones INVITE y las correspondientes respuestas del servidor proxy. Si alguna respuesta contiene un código de respuesta 3xx, 4xx o 5xx (véase Clases de respuestas SIP en la página 16), ALG guarda la dirección IP de la petición y la dirección IP del servidor proxy en una tabla. El dispositivo de seguridad comprueba posteriormente todas las peticiones INVITE realizadas contra esta tabla y, durante un número configurable de segundos (el predeterminado es tres), descarta cualquier paquete que coincida con entradas en la tabla. También puede configurar el dispositivo de seguridad para que supervise las peticiones INVITE a un servidor proxy determinado especificando la dirección IP de destino. La protección contraataques del SIP se configura globalmente SIP con Traducción de Direcciones de Red (NAT) El protocolo de traducción de direcciones de red (NAT) permite a múltiples equipos de una subred privada compartir una sola dirección IP pública para acceder a Internet. Para el tráfico saliente, NAT remplaza la dirección IP privada del equipo dentro de la subred privada por la dirección IP pública. Para el tráfico entrante, la dirección IP pública se transforma en la dirección privada y el mensaje se enruta al equipo apropiado de la subred privada. La utilización conjunta de NAT con el servicio SIP es más complicada, porque los mensajes del SIP contienen direcciones IP tanto en los encabezados como en el cuerpo SIP. Los encabezados SIP contienen información sobre el llamante y el receptor, y el dispositivo de seguridad traduce esta información para ocultarla a la red exterior. El cuerpo del SIP contiene la información del protocolo de descripción de sesión ( Session Description Protocol o SDP), que contiene las direcciones IP y números de puerto para 13

19 CAPÍTULO 1 la transmisión de los medios. El dispositivo de seguridad traduce la información del SDP para asignar los recursos necesarios para enviar y recibir los medios. La forma en que se remplazan las direcciones IP y los números de puerto en mensajes SIP depende de la dirección del mensaje. Para los mensajes salientes, la dirección IP y el número de puertos privados del cliente se remplazan por la dirección IP y el número de puerto públicos de la pared de fuego de NetScreen. Para los mensajes entrantes, la dirección pública de los cortafuegos se remplaza por la dirección privada del cliente. Cuando se envía un mensaje INVITE a través del cortafuegos, SIP ALG recogen formación del encabezado del mensaje en una tabla de llamadas, que utiliza para renviar los mensajes subsiguientes al punto de destino correcto. Cuando un nuevo mensaje, por ejemplo un ACK o 200 OK, ALG compara los campos From:, To:, y Call-ID: con la tabla de llamadas para identificar el contexto de llamada del mensaje. Si llega un nuevo mensaje INVITE que coincida con la llamada existente, ALG lo procesa como REINVITE. Cuando llega un mensaje con información del SDP, ALG asigna puertos y crea una asignación NAT entre ellos y los puertos en el SDP. Dado que el SDP requiere puertos consecutivos para los canales del protocolo en tiempo real ( Real Time Protocol o RTP) y del protocolo de control en tiempo real ( Real Time Control Protocol o RTCP), ALG proporciona puertos pares-impares consecutivos. Si no encuentra ningún par de puertos, descarta el mensaje SIP Llamadas Salientes Cuando una llamada del SIP se inicia mediante un mensaje de petición SIP desde la red interna hacia la red externa, NAT remplaza las direcciones IP y los números de puerto en el SDP y crea un enlace para asignar las direcciones IP y los números de puerto a los cortafuegos de NetScreen. Via:, Contact:, Route:, y Record-Route: los campos de encabezado de SIP, si están presentes, también se vinculan a la dirección IP de la pared de fuego. ALG almacena estas asignaciones para utilizarlas en retransmisiones y para los mensajes de respuesta del SIP. A continuación, SIP ALG abre ojos de aguja en el cortafuegos para permitir el paso de medios a través del dispositivo de seguridad por los puertos dinámicamente asignados, negociados basándose en la información del SDP y de los campos de encabezado Via:, Contact: y Record- -Route: Los ojos de aguja también permiten que los paquetes entrantes alcancen Contact:, Via: y Record-Route:. direcciones IP y puertos. Al procesar el tráfico de retorno, ALG vuelve a insertar los campos SIP originales Contact:, Via:, Route: y Record-Route: en los paquetes. 14

20 CAPÍTULO Llamadas Entrantes Las llamadas entrantes se inician desde la red pública hacia direcciones IP públicas asignadas (MIP) o hacia direcciones IP de interfaces del dispositivo de seguridad. Las MIP son direcciones IP configuradas estáticamente que apuntan a hosts internos; las direcciones IP de interfaz son registradas dinámicamente por el ALG mientras supervisa los mensajes REGISTER enviados por hosts internos al registrador del SIP. Cuando el dispositivo de seguridad recibe un paquete SIP entrante, genera una sesión y reenvía la carga de datos del paquete al SIP ALG. El ALG examina el mensaje de petición del SIP (inicialmente un INVITE) y, basándose en la información del SDP, abre las puertas para los medios salientes. Cuando llega un mensaje de respuesta OK 200, el SIP ALG aplica NAT a las direcciones y puertos IP y abre ojos de aguja en la dirección de salida. (Las puertas abiertas tienen un plazo de vida corto y caducan si no se recibe rápidamente un mensaje de respuesta 200 OK). Cuando llega una respuesta OK 200, el proxy del SIP examina la información SDP y lee las direcciones IP y números de puerto de cada sesión de medios. El SIP ALG del dispositivo de seguridad aplica NAT a las direcciones y números de puerto, abreojos de aguja para el tráfico saliente y restablece el tiempo de espera para las puertas en la dirección de entrada. Cuando llega la señal ACK de 200 OK, también atraviesa el SIP ALG. Si el mensaje contiene información del SDP, el ALG del SIP garantiza que las direcciones IP y los números de puerto no sean cambiados con respecto al anterior INVITE; si lo son, el ALG elimina los ojos de aguja antiguos y crea otros nuevos para permitir el paso delos medios. ALG supervise también los campos de SIP Via:, Contact:, y Record-Route: y abre nuevos ojos de aguja si detecta que estos campos han cambiado Llamadas Reenviadas Una llamada es reenviada cuando, por ejemplo, el usuario A externo a la red llama al usuario B dentro de la red y éste reenvía la llamada al usuario C fuera de la red. El ALG del SIP procesa la señal INVITE del usuario A como llamada entrante normal. Pero cuando el ALG examina la llamada reenviada desde B a C, que se encuentra fuera de la red, y detecta que B y C se pueden alcanzar a través de la misma interfaz, no abre ojos de aguja en el cortafuegos, ya que los medios podrán fluir directamente entre el usuario A y el usuario C Terminación de la Llamada El mensaje BYE se utiliza para terminar una llamada. Cuando el dispositivo de seguridad recibe un mensaje BYE, traduce los campos del encabezado igual que hace con cualquier otro mensaje, pero debido a que los mensajes BYE debe ser confirmados por el receptor con 200 OK, el ALG retrasa el desmontaje de la llamada durante cinco segundos para dar tiempo a que se transmita el 200 OK. 15

21 CAPÍTULO Mensajes de llamada Re-INVITE Los mensajes Re-INVITE se utilizan para agregar nuevas sesiones de medios a una llamada y para eliminar sesiones de medios existentes. Cuando se agregan nuevas sesiones de medios a una llamada, se abren nuevos ojos de aguja en los cortafuegos y se crean nuevos enlaces de direcciones. El proceso es idéntico al establecimiento original de la llamada. Cuando se eliminan una o más sesiones de medios de una llamada, los ojos de aguja se cierran y los enlaces se anulan, igual que con un mensaje BYE Temporizadores de Sesiones de Llamadas El ALG del SIP utiliza el valor Session-Expires para caducar una sesión si no se recibe ningún mensaje Re-INVITE o UPDATE. El ALG obtiene el valor Session-Expires, si está presente, de la respuesta 200 OK al INVITE y utiliza este valor para señalizar el tiempo de espera. Si el ALG recibe otro INVITE antes de que la sesión caduque, restablece todos los valores del tiempo de espera a este nuevo INVITE o a valores predeterminados, y el proceso se repite. Como medida preventiva, el ALG del SIP utiliza valores de tiempo de espera duros para definir el tiempo máximo que una llamada puede existir. Esto garantiza que el dispositivo de seguridad esté protegido en los siguientes casos: El sistema final se viene abajo durante una llamada y el mensaje BYE no se recibe nunca. Usuarios malévolos nunca envían un BYE para intentar atacar un ALG de SIP. Implementaciones pobres del proxy del SIP no pueden procesar Record-Route y nunca envían un mensaje BYE. Fallos de red impiden la recepción de un mensaje BYE Cancelación de la Llamada Cualquier interlocutor puede cancelar una llamada enviando un mensaje CANCEL. En el momento de recibir un mensaje CANCEL, el ALG del SIP cierra los ojos de aguja (que haya abiertos) en todo el cortafuegos y libera los enlaces de direcciones. Antes de liberar los recursos, el ALG retrasa el envejecimiento del canal de control durante unos cinco segundos para dar tiempo a que pase la señal 200 OK final. La llamada se termina cuando expira el tiempo de espera de cinco segundos, tanto si llega una respuesta 487 o una Bifurcación La bifurcación permite a un proxy del SIP enviar un solo mensaje INVITE a múltiples destinos simultáneamente. Cuando llegan los diferentes mensajes de respuesta 200 OK para esa única llamada, el ALG del SIP analiza pero actualiza la información de la llamada con el mensaje primer mensaje 200 OK que recibe. 16

22 CAPÍTULO Mensajes del SIP El formato de un mensaje del SIP consta de una sección de encabezado SIP y del cuerpo SIP. En mensajes de petición, la primera línea de la sección de encabezado es la línea de petición, que incluye el tipo de método, Request-URI y la versión del protocolo. En mensajes de respuesta, la primera línea es la línea de estado, que contiene un código de estado. Los encabezados SIP contienen las direcciones IP y números de puerto utilizados para la señalización. El cuerpo SIP, separado de la sección de encabezado por una línea en blanco, está reservado para la información de descripción de la sesión, que es opcional. Actualmente, los dispositivos de seguridad Juniper Networks sólo admiten el protocolo SDP. El cuerpo SIP contiene las direcciones IP y los números de puerto utilizados para transportar los medios. En el modo NAT, el dispositivo de seguridad traduce la información de los encabezados SIP para ocultar la información a la red exterior. NAT se aplica a la información del cuerpo SIP para asignar recursos, es decir, números de puerto en los que se recibirán los medios. 1.3 Softphone Un SoftPhone es un software que hace una simulación de teléfono convencional por computadora. Es decir, permite usar la computadora para hacer llamadas a otros SoftPhone o a otros teléfonos convencionales usando un VSP. Normalmente, un Softphone es parte de un entorno de Voz sobre IP y puede estar basado en el estándar SIP/H.323 o ser privativo. Hay muchas implementaciones disponibles, como la ampliamente disponible Skype, Windows Messenger o NetMeeting de Microsoft. Los Softphone típicos basados en SIP actualmente funcionan con la mayoría de los ITSP. Se puede conectar usando un teléfono USB o un enlace USB a un SoftPhone y obtener un servicio gratuito VoIP de teléfono a teléfono. El muy popular Skype no es simplemente un SoftPhone sino un servicio P2P VoIP. Los SoftPhone son realmente parte de un grupo tecnológico mayor, algunos SoftPhone están implementados completamente en software, que se comunica con las PBX a través de la LAN-TCP/IP para controlar y marcar a través del teléfono físico. Generalmente se hace a través de un entorno de centro de llamadas, para comunicarse desde un directorio de clientes o para recibir llamadas. En estos casos la información del cliente aparece en la pantalla de la computadora cuando el teléfono suena, dando a los agentes del centro de llamadas determinada información sobre quién está llamando y cómo recibirlo y dirigirse a esa persona. 17

23 CAPÍTULO Skype Es un software gratuito que permite comunicaciones de texto, voz y vídeo sobre Internet (VoIP). Los usuarios de Skype pueden hablar entre ellos gratuitamente. Esta aplicación también incluye una característica denominada YY SkypeOut que permite a los usuarios llamar a teléfonos convencionales, cobrándoles diversas y bajas tarifas según el país de destino, pudiendo llamar a casi cualquier teléfono del mundo. Otra opción que brinda Skype es SkypeIn, gracias a la cual se otorga un número de teléfono para que desde un aparato telefónico, en cualquier parte del mundo, se pueda contactar al computador. La interfaz de Skype es muy parecida a la de otros software de mensajería instantánea, tales como Windows Live Messenger o Yahoo! Messenger, y, de igual forma que en éstos, es posible entablar una conversación de mensajes instantáneos entre usuarios del mismo software. Este programa también permite dejar mensajes de voz (buzón) en caso de que el usuario no se encuentre disponible, siendo ése un servicio de pago que viene incluido con SkypeIn Descripción General Tiene la finalidad de conectar a los usuarios vía texto (mensajería instantánea), voz (VoIP) o vídeo. Una de sus fortalezas es la comunicación gratuita por voz entre usuarios de Skype desde y hacia cualquier punto del mundo. También permite realizar llamadas especiales, a muy bajo costo, entre computadoras y la red de telefonía fija o móvil. Se puede utilizar de las siguientes formas: Comunicación gratuita por texto, voz o vídeo entre dos usuarios de Skype con computadores personales conectados a Internet. Requiere registro y aceptación de las condiciones del servicio, sin costo. Comunicación grupal o conferencia de voz gratuita (videoconferencia grupal es de pago) entre varios usuarios de Skype, todos ellos con PC conectados a Internet. Requiere registro sin costo. Generación de llamadas de voz a bajo costo desde un usuario de Skype con PC conectado a Internet, hacia teléfonos de red fija o móvil. Requiere contrato de pago, mensual o anual. Comunicación y envío de datos a bajo costo (texto y gráficos) desde un usuario de Skype con PC conectado a Internet hacia equipos de fax (o computadoras con software de fax) conectados a redes de telefonía fija. Requiere contrato de pago. Llamadas de voz a tarifa de llamada local desde teléfonos de red fija o móvil al número telefónico de un usuario abonado a Skype con PC conectado a Internet. Si el usuario receptor no está disponible, Skype ofrece un servicio de contestador automático. Requiere contrato de pago por parte del receptor. Las llamadas generadas desde teléfonos móviles pagan las tarifas locales del servicio celular. 18

24 CAPÍTULO 1 Comunicación y envío de datos a tarifa de llamada local desde equipos de fax conectados a redes de telefonía fija hacia un abonado de Skype con PC conectado a Internet. Requiere contrato de pago por parte del receptor. Comunicación por desvío telefónico y de texto a bajo costo desde teléfonos de red fija o celular hacia un abonado de Skype con PC conectado a Internet. Requiere contrato de pago por parte del receptor. Skype al contar con los servicios de voz, data, fax, contestador automático, conferencia y video-llamada, puede mantener comunicación sin costo y a bajo costo, entre usuarios de Skype, teléfonos móviles, teléfonos de red fija, fax, videoconferencias y obviamente texto, entre los usuarios en ambas direcciones comunicacionales. También, Skype permite el desvío de llamadas y mensajes de texto, lo cual significa que los usuarios del sistema con número telefónico Skype asignado, pueden recibir las llamadas o mensajes directamente en su computadora, o generar el desvío de estos a un teléfono móvil o bien de red fija, en el caso de llamadas Protocolo Skype utiliza un protocolo propietario de telefonía VoIP. Parte de la tecnología usada por Skype pertenecen a Joltid Ltd. corporation. La gran diferencia entre este software y otros estándares de análoga funcionalidad, es que Skype opera con base al modelo P2P (originalmente usado en el software Kazaa en 2001) en vez del usual modelo Cliente- Servidor. El éxito de Skype reside en la gran compresión de datos que realiza, sin afectar prácticamente a la calidad de la transmisión de voz, y en establecer una conexión con un clúster de servidores (servidores redundantes) de Skype para iniciar la sesión de comunicación, durante la que se devuelve la lista de contactos. Cuando se ha iniciado la llamada, se establece una conexión directa con el dispositivo de la persona. 19

25 CAPÍTULO 2 CAPÍTULO 2 Telefonía Celular 2.1 Historia de la Radiotelefonía Móvil Celular En la década de 1860 el físico británico James Clerk Maxwell estableció la teoría de las ondas electromagnéticas en una serie de artículos publicados Figura Onda Electromagnética congelada en tiempo Posteriormente con la invención del sistema de radio por Marconi en 1896 inicia la era de las telecomunicaciones. La cual tiene aplicación en la radio comercial y también para el ejército aun antes de la primera Guerra Mundial. EI desarrollo de la radiocomunicación móvil es usado por primera vez en Detroit en el ano de 1921 por el Departamento de Policía de esta ciudad, al dotar a sus patrullas con este medio de comunicación. En esta época varias unidades recibían desde un puesto central la información. Ellos se comunicaban con el puesto central por medio del mismo canal, por lo que tenían que avisar cuando hacían uso del canal. A este sistema se le conoció como "Push to Talk". Posteriormente, en el año de 1946 se hace la primera interconexión a la Red Pública (PSTN Public Switched Telephony Network). Para los años cincuenta se desarrollan sistemas que usan un canal separado para hablar, estos sistemas de doble banda evitan que el usuario tenga que pedir cambio de canal para ceder su turno, a estos se les conoce como sistemas "Full Duplex" porque la comunicación es simultánea en ambos sentidos. Algunos equipos estaban conectados por una operadora a la red pública la cual se encargaba de la conmutación de estos sistemas. 20

26 CAPÍTULO 2 Figura Comunicación Push to Talk La telefonía celular es ideada en los laboratorios Bell hacia el año de1958 como solución al problema que existía; tan solo en New York tenia21 canales para 543 clientes, en espera con una lista de 3700 personas. Ya que por cada abonado se usaba una frecuencia distinta y como el número de frecuencias es limitado se ideo un método para reutilizar las frecuencias. Sin embargo se requería que los equipos contaran con cierta capacidad o "inteligencia" para recibir órdenes desde un equipo remoto. El advenimiento de los microprocesadores en 1970 da la pauta para el desarrollo de esos equipos y también la utilización de sistemas troncales desarrollados por Bell hacia Ambos hechos dan pie al primer sistema Telefónico Celular en Estados Unidos el HCMT (High Capacity Mobile Telephone) en El cual es el resultado del uso de Centrales AT&T enlazadas por sistemas PCM digitales. Pero su desarrollo definitivo no es conocido sino hasta el año de 1979 con el sistema IMTS (Improved Mobile Telephone System) el cual trabaja en la banda de los 450 Mega Hertz. En este sistema el abonado cuenta con un teléfono y un Transceptor (Transmisor y Receptor en modo Duplex completo) de manera que puede hablar y recibir la señal al mismo tiempo, este sistema cuenta con una central automática y antena que cubre toda el área de servicio, la señalización es automática por lo cual, no requiere de operador para enlazarse a la red Pública como en el caso de la radiocomunicación móvil precedente. En los años 80's son desarrollados sistemas celulares analógicos para operaren las bandas de 800 y 900 MHz, usando entre 666 a 1,000 frecuencias AMPS (Chicago, 1983), TACS (1985) Y NMT900 (1987), se asume que operaran usualmente en ambientes de múltiples recursos de frecuencia. En el futuro la mayor parte del mundo cubrirá sus necesidades de comunicación par media de una nueva Tecnología celular Digital en voz, datos, fax, video, etc. 21