ESCUELA POLITÉCNICA DEL EJÉRCITO

Transcripción

1 ESCUELA POLITÉCNICA DEL EJÉRCITO MAESTRIA EN GERENCIA DE REDES Y TELECOMUNICACIONES SEGURIDAD DE REDES Lic. Julio Ardita CYBSEC S.A. Trabajo Final, Grupo 1 Tema 9.- Seguridad en Voz sobre IP Alex Aldana, Ing. aaldana@andinatel.com Telf: Sandra Cortez, Ing. scortez@andinatel.com Telf: Quito - Febrero 2008 Versión

2 SEGURIDAD EN VOZ SOBRE IP INDICE 1. OBJETIVO INTRODUCCIÓN EMPEZANDO CON LA HISTORIA Desarrollo de la Telefonía Tradicional Nacimiento de VoIP Evolución del mercado VoIP DESCRIPCION DE VoIP Funcionamiento de VoIP Los principales componentes de una red VoIP PROTOCOLOS, ESTANDARES, SEÑALIZACIÓN El estándar H323, punto de partida para VoIP Descripción general de la pila de protocolo H Señalización en telefonía IP Session Initiation Protocol (SIP) Servidores Proxy Protocolos en tiempo real y el NAT InterAsterisk exchange (IAX) Telefonía usando protocolo IP (VoIP) VULNERABILIDAD, PROBLEMAS, SEGURIDAD VoIP Seguridad de las redes VoIP Vulnerabilidades Clasificación de los ataques Accesos desautorizados y Fraudes Explotando la red subyacente Ataques de denegación de servicio Ataques a los dispositivos Descubriendo objetivos Footprinting Escaneando Enumeración Explotando el Nivel de Aplicación Autenticación en VoIP Crackeo de contraseñas SIP Manipulación de la señalización Suplantación de identidad en el registro Desregistrar Usuarios Desconexión de Usuarios Redirección de llamadas Manipulación de la transmisión Eavesdropping Inserción de Audio Fuzzing Ataques DoS INGENIERÍA SOCIAL SPIT: Spam over Internet Telephony Vishing: Voip Phishing ASEGURANDO LA VoIP APLICACIONES Centralita VoIP Panel de Control VoIPNOW: CONCLUSIONES REFERENCIAS

3 MAESTRIA EN GERENCIA DE REDES Y TELECOMUNICACIONES MODULO: SEGURIDAD PARA LA ADMINISTRACION DE REDES Y TELECOMUNICACIONES 1. OBJETIVO 02 de Febrero 2008 SEGURIDAD EN VOZ SOBRE IP Analizar las características de Seguridad de los productos y/o protocolos de Voz sobre IP existentes. 2.- INTRODUCCIÓN El presente trabajo es un extracto de la información recopilada sobre VoIP, sobre la cual se realizará el análisis de la evolución de VoIP, los protocolos y estándares en los que basa su funcionamiento, los problemas, vulnerabilidad y seguridades de VoIP, así como el estudio de una aplicación real. VoIP tendrá un enorme impacto económico y social en la forma que tendremos para comunicarnos en un futuro muy cercano, especialmente cuando se solucionen los problemas asociados con la calidad de servicio QoS (Quality of Service). Es evidente que superados consensualmente estos problemas, la expansión de la VoIP (específicamente la telefonía IP), el impacto en las telecomunicaciones será dramático, ya que esto traerá como consecuencia la definitiva integración de las redes de voz y datos, sobre una plataforma común, que aparentemente no será ATM, sino IP. VoIP es una tecnología de gran interés que está teniendo un desarrollo creciente y acelerado, planteándose como alternativa a otras tecnologías para el transporte de la voz, en donde inversiones en redes bajo este concepto, podrían resultar altamente rentables. Sin embargo, la mayor dificultad está relacionada principalmente con el QoS, debido a que IP no provee en forma natural mecanismos de protección para el tráfico de voz. Entre los problemas asociados se encuentran: Los retardos que podrían ser intolerables y que afectan sin duda la calidad de la voz y de la comunicación; la latencia que altera las conversaciones interactivas; pérdidas de paquetes; problemas de jitter; garantía de un ancho de banda apropiado; supresión de eco y confiabilidad, entre otros. Realmente la integración de la voz y los datos en una misma red es una idea antigua, pues desde hace tiempo han surgido soluciones desde distintos fabricantes que, mediante el uso de multiplexores, que permiten utilizar las redes WAN de datos de las empresas (típicamente conexiones punto a punto y Frame-Relay) para la transmisión del tráfico de voz. La falta de estándares, así como el largo plazo de amortización de este tipo de soluciones no ha permitido una amplia implantación de las mismas. El estándar temporal para Voz sobre IP se denomina comúnmente VoIP/H.323 y esta fundamentado en el estándar H323 de la ITU (International Telecommunication Union). El VoIP/H.323 comprende a su vez una serie de estándares asociados para la paquetización de comunicaciones multimediales. 3. EMPEZANDO CON LA HISTORIA 3.1. Desarrollo de la Telefonía Tradicional La red pública empezó como un PMBX (Este término duro muy poco tiempo en el mercado y se refiere a la época en la cual las llamadas eran transferidas de un circuito a otro manualmente, conectando cables entre los abonados utilizando mujeres o niños para estas labores, en esa época los teléfonos no tenían ruedas o teclados para marcar el numero de destino, para marcar descolgabas el teléfono y le decías a la operadora el abonado de destino o en las ciudades más 3

4 grandes el numero del abonado de destino), esto tenía varios problemas, pero dos en especial, que impulsaron su evolución. El primero era que las operadoras o los niños escuchaban las llamadas. La segunda es que el dueño de una funeraria descubrió que cuando alguien llamaba a preguntar por su funeraria, era conectado con su competencia, así que debía buscar cómo evitar esto. Para resolver esto la única manera es que fuera realizado por maquinas automáticas y no exista el error humano. Así nacieron las primeras centrales públicas electromecánicas, estas eran muy costosas pero eran mucho más eficientes y por no tener tanto personal, no era tan costosa su operación, y para las ciudades eran rentables y podían funcionar las 24 horas, mientras esto ocurría, la electrónica fue avanzando, para permitir que estas centrales fueran electrónicas, con esto consumían mucho menos energía, costaban menos y eran mucho más pequeñas, aunque conservaban algunos relay todavía, ya que la cantidad de energía que pasa por una línea telefónica, es demasiada para un transistor. Del lado de las empresas la primera aproximación fueron los key system, estos tenían precios accesibles pero no tenían ninguna de las funciones a las que estamos acostumbrados. Después empezaron a aparecer centrales telefónicas con mas funciones para uso corporativo y las funcionalidades fueron aumentando casa vez más, Y con esto las primeras centrales digitales o automáticas. En este punto el desarrollo de la telefonía empezó a estar ligado del desarrollo de la computación, y aunque estos nuevos equipos todavía utilizan tecnología convencional su núcleo empezó a ser un computador. Esto empezó a aumentar las posibilidades de agregar funcionalidades ya que es más fácil, rápido y económico, desarrollar software que desarrollar componentes electrónicos. Estos beneficios empezaron a notarse tanto en telefonía pública como en la telefonía corporativa, cada vez teníamos más funcionalidad, mayor capacidad y menor costo Nacimiento de VoIP Por otro lado la gente de la industria de los datos, empezó a trabajar con una tecnología llamada voz sobre redes de datos, pero que todavía no se le veía impacto sobre la industria de la telefonía, inicialmente se utilizo para transportar voz de manera muy similar a como se realizaba en ese momento, pero de manera mas económica, y en la incesante búsqueda por consumir cada vez menos ancho de banda y así continuar reduciendo los costos, nació la VoIP. Después de que la VoIP lograra mayor evolución y la calidad de la voz fuera bastante buena nació la Telefonía IP, esta consiste en tener todos los beneficios de la telefonía convencional (TDM) pero en una red VoIP. En este punto el camino se dividió en dos. Por un lado nacieron las plantas IP nativas, del lado de marcas como 3com y cisco, y del otro lado las plantas hibridas, estas eran plantas convencionales, pero que en uno de sus slots, les colocabas una tarjeta h323 que le permitía realizar conexiones entre diferentes centralitas utilizando VoIP, o conectar a la planta teléfonos IP para tener combinaciones de teléfonos IP y teléfonos convencionales en la misma planta, desde este lado están AVAYA, NORTEL y PANASONIC. Durante este proceso maduro un poco mas el protocolo SIP, permitiendo plantas IP nativas más económicas y las platas hibridas tener más funcionalidades. En este punto de la historia apareció el concepto de softswitch (desde el punto de vista de VoIP, se suele considerar al softswitch como el Proxy o elemento de registro en el protocolo SIP), y la idea de que podía tener en un servidor común y corriente una aplicación que me permitiría tener o funciones de telefonía publica o funciones de telefonía corporativa, incluso funciones de call center y mensajería unificada compleja. Esta idea no era tan nueva, ya que el PBX cisco funcionaba sobre un servidor Microsoft para hardware appliance, siemens sobre un SCO y 3com sobre un VXWorks. Después aparecieron gran cantidad de PBX en sistemas operacionales como Linux, Solaris, VXWorks y Microsoft, aquí ya tenemos un cambio muy importante en el paradigma de que es una central telefónica ya que se convirtió en un servidor mas de nuestro centro de datos, el cual al tener un motor de base de datos conocido, podía intercambiar información con aplicaciones alojadas sobre otros motores de bases de datos. 4

5 3.3. Evolución del mercado VoIP A fines de 1996, la Voz sobre IP aún era considerada una especie de "radio de aficionados" en Internet, una aplicación para un pequeño grupo de amateurs que poseían estaciones de trabajo con PC (Computadora) ataviadas con configuraciones elaboradas de parlantes, micrófonos y shareware de Voz sobre IP (VoIP). La calidad era terrible, no existían normas, y para poder hablar con alguien era necesario llamar primero por teléfono de la manera tradicional para averiguar si estaban conectados. A pesar de que en ese año (1996) proliferó el software nuevo de VoIP (Voz sobre IP) para clientes, la falta de normas y la necesidad de utilizar una tosca PC (computadora) como dispositivo de usuario final desalentaron a los primeros posibles seguidores que esperaban calidad y eficiencia así como originalidad. La tecnología de VoIP (Voz sobre IP) para el mercado empresarial era prácticamente inexistente y los primeros gateways (dispositivos de acceso que pasan las llamadas hacia y desde Internet u otras redes IP, que permiten utilizar teléfonos convencionales) estaban muy lejos de la "clase carrier". Pero no cabe duda de que las cosas hayan cambiado. Varios años de investigación y desarrollo intensos en todas las áreas de las industrias de las redes y las telecomunicaciones dieron lugar a un mercado en el cual las grandes empresas telefónicas tradicionales no sólo reconocen que la telefonía sobre IP es viable sino que también la están adoptando. Hoy en día, la telefonía sobre IP no constituye una simple fuente potencial de ingresos para los proveedores de servicios de todas las formas y tamaños; los analistas y los actores industriales la consideran cada vez más el nuevo paradigma de las comunicaciones de voz y datos del próximo siglo. La voz sobre redes IP VoIP (Voz sobre IP) inicialmente se implementó para reducir el ancho de banda mediante compresión vocal, aprovechando los procesos de compresión diseñados para sistemas celulares en la década de los años 80. En consecuencia, se logró reducir los costos en el transporte internacional. Luego tuvo aplicaciones en la red de servicios integrados sobre la LAN e Internet. Con posterioridad se migró de la LAN (aplicaciones privadas) a la WAN (aplicaciones públicas). 4. DESCRIPCION DE VoIP 4.1. Funcionamiento de VoIP En el transporte de voz sobre protocolo IP, la voz se convierte en paquetes de datos de voz comprimida, adoptando la forma de un datagrama IP, los cuales son transmitidos a través de la red como si fueran datos; la transmisión de voz sobre protocolo IP requiere de un elemento que transforme la voz a datos y realice la división en paquetes IP, este se conoce como DSP, los cuales se incorporan comúnmente en los gateways los cuales son los encargados de transmitir los paquetes IP. En el nodo destino se encuentra otro gateways en donde se produce el proceso inverso. Es posible reservar cierto ancho de banda dentro de la red para mejorar la calidad de la transmisión a través del protocolo RSVP, protocolo que se tratará en el presente trabajo. Para ser más preciso, los gateways en el caso de comunicación entre teléfono y un PC poseen una conexión hacia la RTC y una hacia Internet, digitaliza la voz si es que no lo está, comprime, empaqueta y realiza la traslación entre direcciones IP y números de la RTC, realizando el proceso simultáneamente en ambos sentidos. Cuando la llamada se realiza entre teléfonos a través de la red IP (por ejemplo Internet) pertenecientes a la RTC, el proceso se realiza de forma similar, empleando en este caso dos gateways, uno en cada extremo. En este escenario es posible desviar llamadas telefónicas desde el sistema telefónico tradicional hacia Internet, en donde una vez que se alcanza un servidor cercano al destino, la llamada se traduzca nuevamente a su forma analógica original y puede ser transmitida hacia el teléfono destino perteneciente a la RTC. 5

6 Figura 1. Esquema de funcionamiento de VoIP Los principales componentes de una red VoIP Son: Teléfonos IP, Adaptadores para PC, Hub telefónicos, Gateways, Gatekeepeer, Unidades de audio conferencia Múltiple (MCU Voz), Servicios de directorios, Terminales, Proxies. El Gateway: Los gateways de VoIP proveen un acceso ininterrumpido a la red IP. Las llamadas de voz se digitalizan, codifican, comprimen y paquetizan en un gateway de origen y luego, se descomprimen, decodifican y rearman en el gateway de destino. Los gateways se interconectan con la RTC según corresponda, a fin de asegurar que la solución sea ubicua. Figura 2: Los principales componentes de una red VoIP El Gatekeeper: Los gateways se conectan con los gatekeepers de VoIP mediante enlaces estándar H.323v2, utilizando el protocolo RAS H.225. Los gatekeepers actúan como controladores del sistema y cumplen con el segundo nivel de funciones esenciales en el sistema de VoIP de clase carrier, es decir, autentificación, enrutamiento del servidor de directorios, contabilidad de llamadas y determinación de tarifas. 6

7 Servidores de Backend: El tercer nivel de la arquitectura de VoIP corresponde a la serie de aplicaciones de backoffice que constituyen el corazón del sistema operativo de un proveedor de servicios. Poseen las bases de datos inteligentes y redundantes que almacenan información crítica que intercambian con los gatekeepers durante las fases de inicio y término de las llamadas. En el entorno de una oficina central, resulta vital preservar la integridad de los datos de las bases de datos de backend. La solución ofrece un enfoque único que garantiza la resistencia de los servidores de backend y la seguridad de sus bases de datos. Los servidores SQL (Structured Query Language) de Microsoft están integrados dentro de la arquitectura del sistema de backend y administran las bases de datos SQL para las funciones de autentificación, mapeo de directorios, contabilidad y determinación de tarifas. Este nivel de la arquitectura fue optimizado a fin de responder a las necesidades exclusivas de seguridad y disponibilidad de los proveedores de servicios. Para implementaciones a menor escala, el sistema ofrece flexibilidad para consolidar las bases de datos en un solo servidor robusto o en la plataforma de un gatekeeper. MCUs (Multipoint Control Unit): Es el sistema encargado del control de las conferencias múltiples, proporciona todos los servicios para establecer comunicaciones multipunto. Terminales: Son los dispositivos que se pueden conectar directamente a IP y soportan H.323. Proxies: Son los sistemas que actúan como intermediarios entre diversas entidades, tal y como lo hacen los proxies en las redes IP (conexión entre la Intranet e Internet, por ejemplo). 5. PROTOCOLOS, ESTANDARES, SEÑALIZACIÓN 5.1. El estándar H323, punto de partida para VoIP Para Voz sobre IP se adoptó como base el estándar existente de la ITU el H323, que cubre la mayor parte de los mecanismos necesarios para la integración de la voz. En 1997 el Forum VoIP, llegó a un acuerdo para permitir la interoperabilidad de los elementos que intervienen en una red de VoIP. H323 no es el estándar VoIP, pero sí su pilar fundamental. Cuando nos referimos al H323 asociado con VoIP, es común usar el término VoIP/H323. El VoIP/H323 tiene como objetivo primordial facilitar y asegurar la interoperabilidad entre equipos de variados fabricantes. Este VoIP/H323 establece los aspectos tales como la supresión de los silencios, compresión y direccionamiento, y el establecimiento de elementos que permiten la interconectividad con la red telefónica conmutada (RTC) tradicional. En la figura 3 se presenta la torre de protocolos del H323: Figura 3: Torre de protocolos H Descripción general de la pila de protocolo H323 Direccionamiento: H.225: RAS (Registration, Admission and Status). Protocolo de comunicaciones que permite a una estación H323 localizar a otra estación H323 a través de una entidad llamada 7

8 Gatekeeper. Realiza el servicio de resolución de nombres en direcciones IP, con el mismo propósito que RAS pero mediante un servidor DNS. Señalización: Q.931: Se emplea para la señalización inicial de la llamada, provee la conexión lógica entre el que llama y el llamado. H.245: Protocolo de control, usado para conectar dos participantes, después del establecimiento Q.931, para el intercambio de información variada relacionada con sus comunicaciones; por ejemplo, tipo de mensaje (audio, video o datos) y formato. En adición provee un conjunto de funciones de control para video conferencia multipartita. RTCP (Real Time Control Protocol): Antes de la descripción de RTCP es adecuado revisar el protocolo RTP (Real Time Transport Protocol). Este protocolo soporta el transporte de media en tiempo real (ejemplo: audio y video) sobre redes de paquetes. El proceso de transporte involucra tomar los flujos de bits generados por el codificador de media, partiéndolo en paquetes, enviando los paquetes a través de la red y luego recobrar los flujos de bit en el receptor. El proceso es complejo, porque los paquetes se pueden perder, retardados por muchas variables y reordenados en la red. El protocolo de transporte debe permitir al receptor detectar estas pérdidas. Debe también llevar información del timing para que el receptor pueda compensar correctamente el jitter (variabilidad en el retardo). Para asistir en esta función, RTP define el formato de los paquetes enviados a través de la red. El protocolo RTCP acompaña a RTP como un protocolo de control, RTCP provee información adicional para los participantes de la sesión. En particular proporciona: QoS feedback: Los receptores en una sesión usan RTCP para reportar la calidad de su recepción a cada enviante. Esta información incluye el número de los paquetes perdidos, el jitter, y retardos round-trip. Esta información puede ser usada por enviantes para aplicaciones adaptivas, que se ajustan codificando los rates y otros parámetros basados en feedback. Intermedia synchronization: Por flexibilidad audio y video son a menudo llevados en flujos de paquetes separados, pero ellos necesitan ser sincronizados en el receptor para proveer lip sync. La información necesaria para la sincronización de fuentes, incluso si son originados por servidores diferentes, es proporcionada por RTCP. Identification: Los paquetes RTCP contienen información tales como: la dirección de , número telefónico y el nombre completo del participante. Esto permite a los participantes de la sesión conocer las identidades de los otros participantes de la sesión. Session Control: RTCP les permite a los participantes indicar que ellos están dejando una sesión (mediante un paquete RTCP BYE). Los participantes pueden también enviar pequeñas notas a otros, tales como por ejemplo: voy saliendo de la oficina. RTCP manda que todos los participantes de la sesión (incluyendo aquellos que sólo escuchan) envíen un paquete periódicamente que contiene la información descrita anteriormente. Estos paquetes son enviados a la misma dirección (multicast or unicast) como media RTP, pero en un puerto diferente. La información es enviada periódicamente, ya que contiene información time-sensitive, como por ejemplo la calidad de recepción que se pone pesada después de alguna cantidad de tiempo. Sin embargo, un participante no puede enviar exactamente un paquete RTCP con un periodo fijo. Ya que RTCP es usado en grupos multicast, podría haber sesiones (como una lectura grande) con centenares o miles de participantes. Si cada uno fuera a enviar un paquete con un periodo fijo, la red llegaría a ser dificultosa con paquetes RTCP. Para corregir esto, RTCP especifica un algoritmo que permite al periodo incrementarse en grupos grandes. Estándares de Compresión de voz: Los estándares recomendados por H323 para la compresión de la voz, son los siguientes: G.711: Modulación por impulsos Codificados PCM a 64kbit/s. G.726: Modulación por impulsos codificados diferencial adaptivo ADPCM, a 16, 24, 32, 40 kbit/s. G.729: Codificador de la voz mediante predicción lineal con excitación por código algebraico de estructura conjugada a 8 kbit/s de complejidad reducida. A estos podemos agregar algunos opcionales como el G.728 (Codificación de señales vocales a 16 kbit/s utilizando predicción lineal con excitación por código de bajo retardo) y G.722 (Codificación de audio de 7 khz). 8

9 5.2. Señalización en telefonía IP Por herencia histórica, la señalización en voz sobre IP sigue unos principios muy parecidos a la señalización en RTB. Las señales y las conversaciones están claramente diferenciadas. Dos protocolos de VoIP que se integran en la futura PBX: SIP e IAX Session Initiation Protocol (SIP) El protocolo de señalización de inicio de sesión, del inglés Session Initiation Protocol (SIP), es una especificación para Internet para ofrecer una funcionalidad similar al SS7 pero en una red IP. El protocolo SIP, desarrollado por el IETF, es responsable de establecer las llamadas y del resto de funciones de señalización. Recuerda que, cuando hablamos de señalización en el contexto de llamadas de voz, estamos hablando de la indicación de línea ocupada, los tonos de llamada o que alguien ha contestado al otro lado de la línea. SIP hace tres cosas importantes: Encargarse de la autentificación. Negociar la calidad de una llamada telefónica. Intercambiar las direcciones IP y puertos que se van utilizar para enviar y recibir las conversaciones de voz. En el siguiente diagrama muestra un ejemplo de establecimiento de llamada con el protocolo SIP Figura 4. Establecimiento de llamada en SIP Antes de iniciarse el proceso de comunicación los dos usuarios, en este caso Alice y Bob se deben registrar en el servidor de registro (Paso 1). Cuando Alice quiere contactar con Bob realiza una petición INVITE hacia el Proxy Server que será el encargado de enrutar el mensaje. El Proxy Server reenvía la petición al destinatario Bob, previamente consultando en el Servidor de localización la dirección de Bob. Cuando Bob descuelga se retransmite un mensaje 200 OK al emisor de la llamada. Y una vez se han enviado los mensajes ACK la llamada queda establecida Servidores Proxy 9

10 Aunque dos dispositivos SIP (teléfonos IP) pueden comunicarse directamente, SIP normalmente hace uso de algunos elementos adicionales llamados proxies para facilitar el establecimiento de las llamadas. Un proxy opera como un representante (apoderado) que se encarga de negociar entre dos partes. Con la ayuda de un proxy se puede mover físicamente un número de teléfono en Internet. Los números no están asociados a un sitio concreto sino que se pueden mover siempre y cuando se notifique al proxy de nuestra (nueva) ubicación. Como el proxy funciona como un intermediario es capaz de indicar a las partes dónde se encuentran los teléfonos. Este servidor intermedio en SIP aprende la posición de sus usuarios durante un proceso que se conoce como registro. Figura 5: El proceso de registro entre clientes y el servidor proxy. La señalización (SIP) y las conversaciones de voz (RTP) viajan por caminos diferentes Protocolos en tiempo real y el NAT En Internet, las conversaciones que usan señalización de tipo SIP resultan en flujo constante de paquetes de pequeño tamaño entre los comunicantes. Estos paquetes de voz hacen uso de otro protocolo llamado RTP. El protocolo de transporte de tiempo real o Realtime Transport Protocol (RTP) es el encargado de llevar las conversaciones (la voz) de un lado a otro. En el RTP se define un mecanismo estándar para enviar audio y vídeo en Internet. De la misma forma que en una conversación existen dos flujos de voz, en una conversación en una red IP tenemos dos flujos de paquetes RTP. Los Network Address Translators (NATs) son los grandes enemigos del RTP. Una red con un NAT consiste en varios ordenadores compartiendo, con el mundo exterior, una sola dirección IP pública. Las máquinas situadas dentro de la red NAT usan direcciones privadas. Aunque el NAT permite conectar más fácilmente ordenadores a la red, lo hace al precio de no permitir una conexión puramente bidireccional. El efecto de un NAT en voz sobre IP es que no se pueden recibir conexiones iniciadas desde el exterior. Existen varios problemas relacionados con NAT y VoIP. El más común de los problemas es conocido como audio en una sola dirección (oneway audio). Como recordarás, una conversación está compuesta por dos flujos de paquetes RTP distintos. En presencia de un NAT, sólo el flujo de dentro a fuera no es bloqueado; el flujo de fuera a dentro no tiene la misma suerte y puede atravesar el NAT. La consecuencia: el que inicia la llamada desde dentro del NAT no puede escuchar a la otra parte. Si los dos comunicantes se encuentran dentro de NATs las cosas se complican aún más, hasta el punto de que ningún flujo de audio llega a su destino final. Por desgracia, las direcciones IP privadas y los NAT están especialmente presentes en todos los lugares de las regiones en desarrollo. Configurar una red con señalización SIP y NATs no es trivial. Esta guía incluye algunos consejos generales en la sección que describe los escenarios prácticos InterAsterisk exchange (IAX) 10

11 La segunda versión del protocolo de comunicación entre Asterisks (InterAsterisk exchange) se conoce como IAX2.16 IAX2 es una alternativa al protocolo de señalización SIP. IAX2 fue creado como parte del desarrollo de la PBX Asterisk. A diferencia del SIP, que usa dos flujos de datos para voz y otros dos para señalización, IAX2 usa sólo un par de flujos donde voz y datos coexisten. Esta forma de enviar tanto las conversaciones como la señalización por el mismo canal se conoce como inband, en contraste con el método que usa SIP, el outofband17. Debido a su diseño, IAX2 es la opción más adecuada en regiones en desarrollo donde existen gran presencia de NATs. Además, IAX2 es capaz de empaquetar llamadas simultáneas en un sólo flujo de paquetes IP. Este mecanismo es conocido como trunking y su implementación resulta en ahorros en el consumo de ancho de banda. El concepto de trunking se puede explicar con la siguiente metáfora: imagínate que necesitas mandar cinco cartas a gente que vive en otro país. Una posibilidad es usar un sobre por cada una de las cartas; la otra es usar un único sobre e incluir el nombre del destinatario final en la cabecera de cada una de las cartas. La agregación de llamadas en telefonía IP funciona de la misma forma y permite enviar múltiples cartas (llamadas) en un único sobre (paquete IP). En resumen, el diseño de IAX2 es más adecuado para regiones en desarrollo por tres razones: Reduce el uso de ancho de banda por llamada. Está diseñado para operar en presencia de NATs (soporte nativo) y es más fácil de usar detrás de los cortafuegos. Reduce aún más el ancho de banda cuando se realizan varias llamadas simultáneas (como resultado del trunking ) Telefonía usando protocolo IP (VoIP) La telefonía IP abarcará un amplio rango de servicios. Estos servicios incluyen no sólo la tradicional conferencia, llamadas a servicios suplementarios de control, transporte de multimedia y movilidad, sino que nuevos servicios que integran Web, , presencia y aplicaciones de mensajería instantánea con telefonía. Además, es generalmente aceptado que la telefonía Internet y la tradicional telefonía de conmutación de circuitos coexistirán por algún tiempo, requiriendo gateways entre los dos mundos. Existen varias formas de transportar telefonía, o para ser más amplio Voz sobre protocolo IP por lo que se hace necesario precisar algunos conceptos: Voz sobre IP: Servicios de transporte de voz (telefonía) sobre redes IP privadas sin realizar una conexión con la red pública conmutada (RTC). Telefonía IP: Telefonía sobre redes IP con interconexión con la RTC. Voz sobre Internet: Transporte de voz y servicios de telefonía sobre la red pública global a través de la interconexión de redes de conmutación de paquetes basadas en el protocolo IP. 6. VULNERABILIDAD, PROBLEMAS, SEGURIDAD VoIP 6.1. Seguridad de las redes VoIP A medida que crece su popularidad aumentan las preocupaciones por la seguridad de las comunicaciones y la telefonía IP. VoIP es una tecnología que ha de apoyarse necesariamente muchas otras capas y protocolos ya existentes de las redes de datos. Por eso en cierto modo la telefonía IP va a heredar ciertos problemas de las capas y protocolos ya existentes, siendo algunas de las amenazas más importantes de VoIP problemas clásicos de seguridad que afectan al mundo de las redes de datos. Por supuesto, existen también multitud de ataques específicos de VoIP como veremos más adelante. 11

12 Figura 6. Capas de seguridad Como vemos la seguridad de VoIP se construye sobre muchas otras capas tradicionales de seguridad de la información. 6.2 Vulnerabilidades En la siguiente tabla se detallan algunos de los puntos débiles y ataques que afectan a cada una de las capas. Aunque posteriormente se analizaran muchos de ellos en profundidad algunos ataques que pueden afectar directamente o indirectamente a la telefonía VoIP no serán explicados al ser problemas comunes a cualquier otra red de datos o al alejarse demasiado de la temática del documento. Se pude apreciar algunos de estos ataques tendrán como objetivo el robo de información confidencial y algunos otros degradar la calidad de servicio o anularla por completo (DoS). Para el atacante puede ser interesante no solo el contenido de una conversación (que puede llegar a ser altamente confidencial) sino también la información y los datos de la propia llamada, que 12

13 utilizados de forma maliciosa permitirán al atacante realizar registros de las llamadas entrantes o salientes, configurar y redirigir llamadas, grabar datos, utilizar información para bombardear con SPAM, interceptar y secuestrar llamadas, reproducir conversaciones, llevar a cabo robo de identidad e incluso realizar llamadas gratuitas a casi cualquier lugar del mundo. Los dispositivos de la red, los servidores, sus sistemas operativos, los protocolos con los que trabajan y prácticamente todo elemento que integre la infraestructura VoIP podrá ser susceptible de sufrir un ataque Clasificación de los ataques Durante los siguientes apartados se va a intentar detallar cuales son las amenazas más significativas que afectan a la telefonía sobre redes IP. Como ya se ha comentado la mayoría los riesgos son inherentes de las capas sobre las que se apoya la tecnología VoIP por lo que muchos de los ataques se basarán en técnicas bien conocidas. Se mostraran, también, ciertas vulnerabilidades que afecta específicamente a las redes VoIP y a sus protocolos. Las amenazas de las redes de telefonía IP las podemos clasificar en las siguientes categorías: Accesos desautorizados y fraudes. Ataques de denegación de servicio Ataques a los dispositivos Vulnerabilidades de la red subyacente. Enumeración y descubrimiento. Ataques a nivel de aplicación Accesos desautorizados y Fraudes Los sistemas VoIP incluyen múltiples sistemas para el control de la llamada, administración, facturación y otras funciones telefónicas. Cada unos de estos sistemas debe contener datos que, si son comprometidos, pueden ser utilizados para realizar fraudes. El costo de usar fraudulentamente esos datos VoIP a nivel empresarial pueden ser devastadores. El acceso a los datos telefónicos (de facturación, registros, datos de cuentas, etc) pueden ser usados con fines fraudulentos. Una de las mas importantes amenazas de las redes VoIP, son los fraudes consecuencia de un acceso desautorizado a una red legal VoIP (por ejemplo haber obtenido anteriormente obtener datos de cuentas). Una vez se ha obtenido el acceso, usuario desautorizados realizan llamadas de larga distancia, en muchos casos incluso internacionales. Principalmente ocurren en entornos empresariales. El control y el registro estricto de las llamadas pueden paliar el problema. A modo de curiosidad cabe señalar que las técnicas utilizadas por estos individuos son descendientes de las que utilizaban los famosos phreakers en las antiguas líneas telefónicas Explotando la red subyacente Paradójicamente una de las principales debilidades de la tecnología VoIP es apoyarse sobre una red potencialmente insegura como son las redes IP. Gran cantidad de ataques hacia las infraestructuras IP van a afectar irremediablemente a la telefonía Ataques de denegación de servicio, inundación de paquetes o cualquier otro tipo de ataque que intente limitar la disponibilidad de la red suponen un gran problema para la telefonía IP tal y como hemos visto anteriormente. Además VoIP será vulnerable a ataques a bajo nivel como el secuestro de sesiones, interceptación, fragmentación IP, paquetes IP malformados y spoofing. Uno de los mayores problemas sea quizás la interceptación o eavesdropping.. Traducido literalmente como escuchar secretamente, es el término con el que se conoce a la captura de información (cifrada o no) por parte de un intruso al que no iba dirigida dicha información. En términos de telefonía IP, estamos hablando de la interceptación de las conversaciones VoIP por parte de individuos que no participan en la conversación. El eavesdropping en VoIP presenta pequeñas diferencias frente la interceptación de datos en las redes tradicionales. En VoIP vamos a diferenciar básicamente dos partes dentro de la comunicación: la señalización y el flujo de datos. Los cuales utilizarán protocolos diferentes. En la señalización nos 13

14 centraremos durante todo el documento en el protocolo SIP mientras que en el flujo de datos normalmente se utilizará el protocolo RTP sobre UDP. El impacto de esta técnica es más que evidente, interceptando comunicaciones es posible obtener toda clase información sensible y altamente confidencial. Y aunque en principio se trata de un técnica puramente pasiva, razón por la cual hace difícil su detección, es posible intervenir también de forma activa en la comunicación insertando nuevos datos (que en el caso de VoIP se trataría de audio) redireccionar o impedir que los datos lleguen a su destino. Las formas de conseguir interceptar una comunicación pueden llegar a ser tan triviales como esnifar el tráfico de la red si los datos no van cifrados. Existen excelentes sniffers como ethereal/wireshark que permitirán capturar todo el tráfico de tu segmento de la red. Por el contrario, lo normal es que nos encontramos dentro de redes conmutadas por lo que para esnifar el tráfico que no vaya dirigido a nuestro equipo serán necesarias otras técnicas más elaboradas como realizar un Main in the Midle utilizando Envenenamiento ARP. Entre las herramientas que podremos utilizar se encuentra el conocido programa ettercap, Cain & Abel, la suite de herramientas para Linux Dsniff y vomit (Voice over misconfigured Internet telephones) por citar algunos ejemplos. Hay que señalar también la creciente utilización de redes inalámbricas supone en muchos casos un vía más a explotar por parte del intruso. Redes Wifi mal configuradas junto con una infraestructura de red insegura puede facilitar e trabajo del intruso a la hora de acceder a la red VoIP para lanzar sus ataques Ataques de denegación de servicio Los ataques de denegación de servicio son intentos malintencionados de degradar seriamente el rendimiento de la red o un sistema incluso llegando al punto de impedir la utilización del mismo por parte de usuarios legítimos. Algunas técnicas se basan en el envío de paquetes especialmente construidos para explotar alguna vulnerabilidad en el software o en el hardware del sistema, saturación de los flujos de datos y de la red o sobrecarga de procesos en los dispositivos. Llegan a ser especialmente dañinos los llamados DDoS o ataques de denegación distribuidos. Son ataques DoS simples pero realizados desde múltiples computadores de forma coordinada. Las redes y sistemas VoIP son especialmente vulnerables a los DDoS por diversas razones: La primera y quizás más importante es la dependencia y la necesidad de garantías en la calidad de servicio, que hacen que las redes IP donde se mantengan llamadas telefónicas tengan una tolerancia mucho menor a problemas de rendimiento. Otra razón es que en una red VoIP existen multitud de dispositivos con funciones muy específicas por lo que ataques contra casi cualquier dispositivo de la red pueden afectar seriamente los servicios de telefonía IP. Muchos de estos dispositivos son muy susceptibles de no manejar, priorizar o enrrutar el tráfico de forma fiable si presentan un consumo de CPU alto. Por lo que muchos de los ataques de DoS se centran en atacar los dispositivos de red y/o inundar la red de tráfico inútil para degradar su funcionamiento y que los paquetes pertenecientes a comunicaciones telefónicas se pierdan o retrasen. La relación de VoIP y los ataques distribuidos de DoS viene reflejada en el siguiente párrafo: Recientemente investigadores de la Universidad de Cambrige y del Massachussets Institute of Technology (MIT) han determinado que las aplicaciones de voz sobre IP como puede ser Skype pueden ser una herramienta ideal para dar cobertura y lanzar ataques de denegación de servicio distribuidos. El descubrimiento de algún fallo en la aplicación o en su protocolo podría dejar al descubierto miles de ordenadores que serían potencialmente secuestrados por los atacantes para realizar un ataque mayor contra algún servicio de Internet. Las aplicaciones y los dispositivos de telefonía IP suelen trabajan sobre ciertos puertos específicos, bombardear dichos puertos con tráfico innecesario pero aparentemente real puede causar una denegación de servicio y que usuarios legítimos no puedan hacer uso del sistema. Modificaciones y ataques al servidor DNS pueden afectar de manera directa al servicio de voz. El robo o suplantación de identidad (del destinatario de la llamada o de algún otro dispositivo VoIP) generalmente deriva en una denegación de servicio. El acceso SNMP a los dispositivos, además de ofrecer una gran cantidad de información permite potencialmente al atacante afectar al servicio de Voz sobre IP. En 14

15 redes VoIP basadas en el protocolo SIP, es posible enviar mensajes CANCEL, GOODBYE o ICMP Port Unreacheable, con el objetivo de desconectar ciertos usuarios de sus respectivas llamadas o evitar que se produzcan no permitiendo la correcta configuración inicial de la llamada (señalización). Hay que destacar también que algunas situaciones VoIP sera vulnerable a ataques de fragmentación IP o envío de resets TCP, que conllevarán la prematura finalización de la llamada Ataques a los dispositivos Muchos de los ataques realizador hoy en día por hackers y crackers hacia las redes de datos tienen como objetivo principal el hardware y el software de los dispositivos. Por lo tanto, en redes VoIP, los gateways, call managers, Proxy servers sin olvidar los teléfonos IP serán potencialmente objetivos a explotar por parte de un intruso. Hay que tener en cuenta que los dispositivos VoIP son tan vulnerables como lo es el sistema operativo o el firmware que ejecutan. Son muy frecuentes los ataques de fuzzing con paquetes malformados que provocan cuelgues o reboots en los dispositivos cuando procesan dicho paquete. Otros ataques de denegación de servicio llamados flooders tienen como objetivo los servicios y puertos abiertos de los dispositivos VoIP. Otro aspecto que hace muchas veces de los dispositivos un punto débil dentro de la red son configuraciones incorrectas. A menudo los dispositivos VoIP trabajan con sus configuraciones por defecto y presentan gran variedad de puertos abiertos. Los servicios por defecto corren en dichos puertos y pueden ser vulnerables a ataques de DoS, desbordamientos de buffer o cualquier otro ataque que pueden resultar en el compromiso del dispositivo VoIP. El intruso a la hora de penetrar en la red tendrá en cuenta estos aspectos e intentará explotarlos. Buscará puertos por defecto y servicios innecesarios, comprobará passwords comunes o los que usa por defecto el dispositivo, etc. En el apartado de Descubrimiento de objetivos se explicaran más detalladamente las técnicas utilizadas en este aspecto. No hay que olvidares de los dispositivos VoIP que utiliza el usuario directamente.: los teléfonos. A pesar de ser dispositivos más pequeños obviamente son igual de vulnerables que cualquier otro servidor de la red, y el resultado de comprometer uno de ellos puede llegar a ser igual de negativo. A modo de ejemplo se detalla una vulnerabilidad de que afectó al teléfono IP Linksys SPA-921 v1.0 y que provocaba una denegación de servicio en el mismo. Figura 7. Modelo: Linksys SPA-921 Version: Tipo vulnerabilidad: DoS Fecha: Octubre 2006 Explicación: La petición de una URL larga al servidor http del dispositivo provoca que el teléfono se reinicie. Un nombre de usuario o un password demasiado largo en la autenticación http provoca que el teléfono se reinicie. Modo de explotarlo: Trivial 15

16 Descubriendo objetivos Una vez que el hacker ha seleccionado una red como su próximo objetivo, sus primeros pasos consistirán en obtener la mayor información posible de su victima. Cuando el intruso tenga información suficiente evaluará sus siguientes pasos eligiendo el método de ataque más adecuado para alcanzar su objetivo. Normalmente el método de obtención de información se realiza con técnicas de menos a más nivel de intrusión. De este modo en las primeras etapas el atacante realizará un footprinting u obtención de toda la información pública posible del objetivo. Más adelante una de las acciones más comunes consiste en obtener la mayor información posible de las máquinas y servicios conectados en la red atacada. Después de tener un listado de servicios y direcciones IP consistente, tratará de buscar agujeros de seguridad, vulnerabilidades y obtener la mayor información sensible de esos servicios (enumeración) para poder explotarlos y conseguir una vía de entrada. Un ejemplo de ataque de enumeración, podría ser utilizar la fuerza bruta contra servidores VoIP para obtener una lista de extensiones telefónicas válidas. Información que seria extremadamente útil para lanzar otros ataques como inundaciones INVITE o secuestro de registro. Durante este apartado se explicaran algunas técnicas de enumeración y descubrimiento de objetos así como la obtención de información sensible que atacante podría utilizar a su favor Footprinting Se conoce como footprinting el proceso de acumulación de información de un entorno de red especifico, usualmente con el propósito de buscar formas de introducirse en el entorno. La herramienta básica para esta etapa del reconocimiento será el todopoderoso Google. Las búsquedas se centrarán entorno a la web de la empresa y en su dominio. Se intentarán encontrar perfiles o direcciones de contacto, correos y teléfonos. Estos datos ofrecerán información al hacker para poder realizar ataques de suplantación de identidad y/o ingeniería social. El contacto del servicio técnico también puede resultar útil para extraer algún tipo de información. Otro tipo de información interesante pueden ser las ofertas de trabajo o los perfiles de personal que busca la empresa. Pueden dar información acerca de la estructura de la organización y de la tecnología que emplea. La mayoría de dispositivos VoIP corren algún servicio web de administración remota. Es posible encontrarlos con google: 16

17 Figura 8. inurl: NetworkConfiguration cisco Algunas otras búsquedas interesantes se resumen en la siguiente tabla: Otras técnicas se centran en intentar localizar a través de google extensiones, para después realizar llamadas a los voic y estudiar la grabación. El objetivo es obtener el fabricante del servidor, que seguramente sea el mismo para el resto de dispositivos VoIP de la red Escaneando A partir de la dirección de red de la victima, se pretende obtener un listado de direcciones IP y servicios activos en la red. La mejor forma es escaneando la red con las herramientas adecuadas. Quizás el mejor escáner de puertos existente hoy por hoy sea NMAP ( que ofrece muchas más posibilidades que un simple escáner de puertos. Entre todas las funcionalidades de nmap existe una que destacaremos especialmente. Y es la identificación del sistema operativo de la máquina escaneada a partir de información que obtiene nmap, como los puertos abiertos que presenta, tipos de servicios, y huellas identificativas de la pila TCP/IP. En el caso concreto que nos ocupa, nmap tiene la mejor base de datos de huellas para identificar dispositivos VoIP. Veamos un ejemplo de cómo lo hace: Vemos resaltado en negrita los detalles del S.O. Una vez ha escaneado los puertos de la máquina y ha obtenido información suficiente, es capaz de identificar de una forma suficiente fiable (al menos mejor que ninguna otra herramienta) el sistema del que se trata. 17

18 A la hora de escáner la red objetivo para identificar sistemas VoIP se debería tener en cuenta que los dispositivos SIP usualmente responden a los puertos tanto en udp como en tcp. En cambio los dispositivos de Cisco que utilicen el protocolo SCCP abrían los puertos tcp Enumeración La enumeración es una técnica que tiene por objetivo obtener información sensible que el intruso podría utilizar para basar sus ataques posteriores. La primera información a obtener es el tipo de servicio que esta corriendo en un determinado puerto, esta identificación ya la realiza correctamente herramientas como nmap, pero se podrían hacer manualmente conectado al puerto.en el siguiente ejemplo conectamos a un servidor SIP utilizando la herramienta netcat bien conocida como la navaja suiza: Al conectar al puerto especificado manualmente se envía una petición OPTIONS genérica al servidor, para poder estudiar su respuesta. En ella podemos observar que nos muestra información clara sobre el tipo de dispositivo que se trata. Algunas otras herramientas a automatizan este proceso son: Smap: Permite identificar dispositivos SIP. Sivus: Un escáner de vulnerabilidades para SIP. Permite entre otra cosa generar peticiones SIP. Nessus: Uno de los mejores escáneres de vulnerabilidades. Permite además identificar los servicios y sistemas. VoIPAudit: Otro escáner VoIP y de vulnerabilidades. Para poder realizar la mayoría de ataques, el intruso deberá conocer nombres de usuario y extensiones telefónicas correctas. Existen diversos métodos para recavar ese tipo de información: Una de las técnicas es utilizando las operaciones de registros de usuario. Cuando un usuario pretende registrarse envía una petición REGISTER al servidor de registro y este le responde con un 200 OK si todo va bien o con un mensaje 4xx si ha habido algún error, el usuario no existe o no tiene los credenciales de autenticación adecuados. Dependiendo del software las respuesta del servidor de registro contra una petición de REGISTER de un usuario existe y no existente puede ser diferente en el sentido de que, si un usuario existe puede que conteste con un mensaje 401 ya que le falte autenticarse pero si el usuario no existe responderá directamente con un mensaje 403 Forbidden. Esta diferencia en la respuesta puede ser utilizada para enumerar y obtener un listado de usuarios válidos de la red VoIP. Un método similar al anterior consiste en utilizar mensajes INVITE para enumerar posibles usuarios de la red. Algunos servidores responderán con un mensaje 401 cuando se intenta llamar a un usuario inexistente. El gran problema de este método es que cuando se acierte y se encuentre un usuario correcto, se estará realizando una llamada y el teléfono del usuario en cuestión sonará y quedará registrada la llamada. Quizás el método más silencioso para enumerar usuarios es el que utiliza peticiones OPTION. Las peticiones OPTION se utilizan para determinar por ejemplo que codecs soporta un determinado UA. El servidor contestará con un 200 OK si el usuario existe y un 404 Not Found si no reconoce el usuario. 18

19 Algunas de las herramientas que automatizan todo este proceso, utilizando diccionarios o fuerza bruta con mensajes REGISTER, INVITE o OPTION son: Sipsak y Sipscan. Dentro de la plataforma VoIP coexisten gran cantidad de servicios que se podrían aprovechar para obtener información. Algunos de ellos son el DHCP y DNS pero se estudiarán algunas técnicas contra el servicio TFTP y el protocolo SNMP. La mayoría de dispositivos telefónicos utilizan el protocolo TFTP para manejar sus ficheros de configuración. Normalmente cada vez que un dispositivo VoIP se conecta intenta obtener su configuración del servidor TFTP. El problema es que el servicio TFTP es un servicio altamente inseguro problema que se agrava con el hecho de que en la configuración de los dispositivos se podrá encontrar todo tipo de información valiosa: extensiones, usuarios, passwords, estructura de la red, servidores, etc. Por lo que los servidores TFTP de configuración se convierten en un objetivo claro para comprometer la red VoIP. La premisa en TFTP es que si se puede averiguar el nombre del fichero de configuración, lo puedes descargar. Muchos dispositivos utilizan nombre por defecto públicamente conocidos, por lo tanto si se identifica el dispositivo puede resultar trivial obtener su configuración del servidor TFTP. Por ejemplo, los dispositivos CISCO el nombre del archivo de configuración mantienen relación con su dirección MAC. Evidentemente el primer paso debería ser localizar el servidor TFTP en la red. Podemos utilizar un escáner como nmap buscando direcciones con el puerto 69 UDP abierto. Una vez localizado el servidor TFTP, el intruso intentará descargare los ficheros de configuración y como ya ha quedado demostrado la única dificultad que se le presenta es adivinar el nombre de los ficheros. Existen herramientas como tftpbrute (que utilizan listados de palabras y diccionarios para atacar el servidor TFTP y descargarse ficheros de configuración. También es posible realizar todo el trabajo manualmente, ya que existen diversas listas que relacionan modelo/fabricante con el nombre por defecto de su archivo de configuración. El protocolo SNMP (Simple Network Management Protocol) que se presenta activo en muchos de los dispositivos VoIP, es otro de los protocolos vulnerables de los que se puede obtener gran cantidad de información. Los pasos serían los siguientes: 1) Buscar dispositivos con soporte SNMP. Usualmente tendrán el puerto 162 UDP. Se pueden utilizar herramientas como NMAP o SolarWindos SNMPSweep. 2) Sino se conoce el OID del dispositivo utilizar la SolarWind MIB para encontrarlo. 3) Con la herramienta snmpwalk y el OID del dispositivo es posible listar la mayoría de aspectos de su configuración Explotando el Nivel de Aplicación El nivel de aplicación de la red IP es quizás uno de los más vulnerables, debido en parte a ue VoIP engloba gran cantidad de protocolos y estándares añadiendo cada uno ellos su ropio riesgo de segundad. Un ejemplo claro de ellos es el protocolo SIP, muy discutido esde el punto de vista de la seguridad. Entre los ataques específicos contra el nivel de plicación de VoIP encontramos ataques de secuestro de sesión, desconexiones ilegales, nundación de peticiones, generación de paquetes malformados, falsificación de llamadas y algunos otros que se explicaran a continuación utilizando el protocolo SIP como base Autenticación en VoIP En toda comunicación, servicio o transmisión de dato existe la necesidad de demostrar que los clientes son quien dicen ser. En VoIP la autenticación requiere que los dos dispositivos que se van a comunicar se autentiquen uno al otro antes de que se produzca cualquier intercambio de información. Esta autenticación mutua esta basada en algún tipo de secreto compartido que es conocido a priori por los dos. 19

20 Autenticación del protocolo SIP El protocolo SIP utiliza la autenticación digest para comprobar la identidad de sus clientes. La autenticación digest fue originalmente diseñada para el protocolo HTTP, y se trata de un mecanismo bastante simple, basados en hashes que evita que se envíe la contraseña de los usuarios en texto claro. Cuando el servidor quiere autenticar un usuario genera un desafío digest que envía al usuario. Un ejemplo de desafío podría ser: Digest realm="iptel.org", qop="auth,auth-int", nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093", opaque="", algorithm=md5 Destacar que nonce es la cadena que genera como desafío utilizando el algoritmo MD5 de algún otro dato. Después de recibir el desafía el UA pedirá al usuario el nombre y la contraseña (si no están presentes en la configuración del dispositivo) y a partir de ellos y del desafío enviado por el servidor generará una respuesta digest como la siguiente: Digest username="jan", realm="iptel.org", nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093", uri="sip:iptel.org", qop=auth, nc= , cnonce="0a4f113b", response="6629fae49393a c4ef1", opaque="" De una forma similar el campo respones contendrá la respuesta generada por el UA. Cabe destacar el significado del uri que indica la dirección sip a la que se quiere acceder y el cnonce que es una cadena utilizada por el cliente y el servidor que ofrece cierta protección de integridad al mensaje. Cuando recibe la respuesta del cliente, el servidor realiza exactamente los mismos pasos. Generando una respuesta digest a partir del desafío y del password del usuario que tiene almacenado en su configuración. Si el hash generado coincide con la respuesta del cliente, el usuario acaba de autenticarse demostrando ser quien dice ser. Cuando el servidor SIP recibe alguna petición SIP, comprueba si en el mensaje se encuentran las credenciales que autentiquen al usuario, en caso contrario, generará un mensaje de error 401 Unauthorized al cliente incluyen el desafió digest para iniciar el proceso de autenticación. El siguiente ejemplo muestra un mensaje REGISTER que contiene las credenciales digest. REGISTER sip: iptel.org SIP/2.0. Via: SIP/2.0/UDP :5060. From: sip:jan@iptel.org. To: sip:jan@iptel.org. Call-ID: c3-bcfea44f-40bdf830-2a557714@ CSeq: 102 REGISTER. User-Agent: CSCO/4. Contact: <sip:jan@ :5060>. Authorization: Digest username="jan",realm="iptel.org", uri="sip:iptel.org",response="dab81127b9a7169ed57aa4a6ca146184", nonce="3f9fc0f9619dd1a712b ea436e839a",algorithm=md5. Content-Length: 0. Expires: Crackeo de contraseñas SIP Una vez entendido el proceso de autenticación se van a mostrar los métodos y las herramientas para romper esa autenticación y crackear los hashes digest con el fin de obtener el password de un usuario y poder utilizar la identidad de la víctima de forma maliciosa. Entre las herramientas encontramos SIPCrack, que como su nombre indica, crackea las contraseñas del protocolo SIP en Linux. Contiene dos programas sipdump para esnifar los hashes de la autenticación y sipcrack para crackear los logins capturados. Se puede descargar de las siguientes direcciones: página oficial o PacketStorm En caso de encontrarnos una vez más en redes 20