Seguridad en Voz IP

Seguridad en Voz IP

Antonio Pérez SánchezAntonio Pérez Sánchez

[email protected]@uib.es

Universitat de lesIlles BalearsUIB

Centre de Tecnologiesde la Informació

CTI@UIB Seguridad en Voz IP 2/33



Índice

IntroducciónIntroducción Arquitectura del sistemaArquitectura del sistema Seguridad en VoIPSeguridad en VoIP Fiabilidad, Robustez y QoSFiabilidad, Robustez y QoS ConclusionesConclusiones




GKGK

Voz IP (I)

TCP-UDP/IPTCP-UDP/IP

Control (H.245/OPTIONS)Control (H.245/OPTIONS)RTP/RTCPRTP/RTCP

Registro (H.225 RAS/REGISTER)Registro (H.225 RAS/REGISTER)Señalización (Q.931/INVITE)Señalización (Q.931/INVITE)Control (H.245/SDP)Control (H.245/SDP)




GWGW

GKGK

Voz IP (II)

TCP-UDP/IPTCP-UDP/IP

PBXPBX

Control (H.245/OPTIONS)Control (H.245/OPTIONS)RTP/RTCPRTP/RTCP

Registro (H.225 RAS/REGISTER)Registro (H.225 RAS/REGISTER)Señalización (Q.931/INVITE)Señalización (Q.931/INVITE)Control (H.245/SDP)Control (H.245/SDP)




Índice

IntroducciónIntroducción Arquitectura del sistemaArquitectura del sistema

- InternoInterno- Interno-ExternoInterno-Externo- Nuestra ExperienciaNuestra Experiencia

Seguridad en VoIPSeguridad en VoIP Fiabilidad, Robustez y QoSFiabilidad, Robustez y QoS ConclusionesConclusiones




Servicio Interno

PrivadoPrivado

PúblicoPúblico InternetInternet

GKGKGWGW

IntranetIntranet

PúblicoPúblico

PBXPBX




Índice







Servicio Interno-Externo

PrivadoPrivado


GKGKGWGW

IntranetIntranet

PúblicoPúblico

PBXPBX

NAT-ALGNAT-ALG(H.323)(H.323)

Túnel VPN

ProxyProxy




Servicio Interno-Externo (I)

PrivadoPrivado


PúblicoPúblico

GKGKGWGW

IntranetIntranet

PBXPBX

Definir Reglas




Servicio Interno-Externo (II)

PrivadoPrivado


PúblicoPúblico

GKGKGWGW

IntranetIntranet

PBXPBX

Definir Reglas

• Packet FilteringPacket Filtering• Stateful InspectionStateful Inspection

• H.323H.323• SIPSIP• MGCPMGCP

Definir Reglas




Servicio Interno-Externo (III)

PrivadoPrivado


PúblicoPúblico

GKGK

GWGW

IntranetIntranetPBXPBX

DMZDMZ

Controlar accesos internos




Servicio Interno-Externo (IV)

PrivadoPrivado


PúblicoPúblico

GKGK

GWGW

IntranetIntranetPBXPBX

DMZDMZ

VLANVLAN

Segmentar

¿PC usuario?




Índice







IbizaIbiza

CampusCampus

MenorcaMenorca

ATMATM

FUEFUE

RDSIRDSI

GigabitEthernetGigabitEthernetCTICTI

WLANWLAN

Nuestra Experiencia (I)

12 edificios Campus12 edificios CampusIbiza, MenorcaIbiza, Menorca18 Centros Universitarios18 Centros UniversitariosOtros centrosOtros centros




InternetInternet

Nuestra Experiencia (II)

ATM 155MbpsATM 155Mbps

CTICTI

MadridMadrid

SalamancaSalamanca

SevillaSevilla

Phoenix, AZPhoenix, AZ

TernopilTernopil

LondresLondres

2’5Gbps

2’5Gbps




GWGW

PhoenixPhoenix

TernopilTernopil

LondresLondres

Interconexión Global

6xxxx6xxxx

xxxxxxxxGSMGSM

PRI-RDSIPRI-RDSI

xxxxxxxx

7xxxx7xxxxVozIPVozIP

PBXPBX

Telefonía Telefonía TradicionalTradicional

MadridMadrid

SalamancaSalamanca

SevillaSevilla

RTCRTC

GKGK




Índice

IntroducciónIntroducción Arquitectura del sistemaArquitectura del sistema Seguridad en VoIPSeguridad en VoIP

- Seguridad H.235Seguridad H.235- Ataques “Operacionales”Ataques “Operacionales”

Fiabilidad, Robustez y QoSFiabilidad, Robustez y QoS ConclusionesConclusiones




Seguridad: H.235 (I)

GKGK

• Captura de PasswordCaptura de Password• Spoofing del ID usuarioSpoofing del ID usuario

• Llamadas no autorizadasLlamadas no autorizadas• Acceso no autorizadoAcceso no autorizado

• URQ Attack: Unregistration URQ Attack: Unregistration RequestRequest

• RegistroRegistro• Señalización de llamadaSeñalización de llamada• Control de llamadaControl de llamada




Seguridad: H.235 (I)

GKGK

• Autenticación e IntegridadAutenticación e Integridad• IPSecIPSec• SHA: secreto = passwordSHA: secreto = password

• No Repudio No Repudio CertificadosCertificados

• RegistroRegistro• Señalización de llamadaSeñalización de llamada• Control de llamadaControl de llamada

• Firewalls StatefulFirewalls Stateful• CompatibilidadCompatibilidad




Seguridad: H.235 (II)

GKGK

• Captura de conversacionesCaptura de conversaciones• Ráfagas adicionales RTPRáfagas adicionales RTP• Tráfico MultimediaTráfico Multimedia




Seguridad: H.235 (II)

GKGK

• Tráfico MultimediaTráfico Multimedia• Integridad Integridad ¡Pérdidas!¡Pérdidas!• Autenticación Autenticación SeñalizaciónSeñalización• ConfidencialidadConfidencialidad

• DES, 3DESDES, 3DES

• Mezclado (MCU)Mezclado (MCU)• Transcoding (GW)Transcoding (GW)• ¿IP-Phones?¿IP-Phones?




Índice

IntroducciónIntroducción Arquitectura del sistemaArquitectura del sistema Seguridad en VoIPSeguridad en VoIP

- Seguridad H.235Seguridad H.235- Ataques “Operacionales”Ataques “Operacionales”

Fiabilidad, Robustez y QoSFiabilidad, Robustez y QoS ConclusionesConclusiones




Ataques “Operacionales”

InternetInternet

GKGK GWGW

IntranetIntranet

PBXPBX

• Servicios:Servicios:• DNSDNS• NTP/SNTPNTP/SNTP• DHCPDHCP• SMTPSMTP

DNSDNS NTPNTP

SMTPSMTPDHCPDHCP

Proteger ServiciosProteger ServiciosProteger ServiciosProteger Servicios




Proteger ServiciosProteger ServiciosProteger ServiciosProteger Accesos


InternetInternet

GKGK

GWGW

IntranetIntranet

PBXPBX

• GestiónGestión• FTP/TFTPFTP/TFTP• http (IIS)http (IIS)• JavaJava• SNMPSNMP• ICMPICMP• Telnet/sshTelnet/ssh




ClientProxyClientProxy


InternetInternet

GWGW

IntranetIntranet

PBXPBX

• ProtocolosProtocolos• EthernetEthernet• WLANWLAN• IP RoutingIP Routing• MulticastMulticast• TCP/UDPTCP/UDP• NetBIOSNetBIOS

Proteger ServiciosProteger ServiciosProteger Servicios

Proteger Protocolo

s

Proteger Protocolo

s

GKGK





InternetInternet

GWGW

IntranetIntranet

PBXPBX

• SistemasSistemas• VirusVirus• S.O.S.O.• FirmwareFirmware• UpgradesUpgrades• ParchesParches

GKGK

Proteger ServiciosProteger ServiciosProteger ServiciosSistemas

ActualizadosSistemas



Actualizados




Índice





Fiabilidad

FiabilidadFiabilidad ¿Quién nos asegura 99%?¿Quién nos asegura 99%? Dificultad de detectar y localizar fallos en Dificultad de detectar y localizar fallos en

tiempo real: latenciatiempo real: latencia Demasiados componentes: minimizarlosDemasiados componentes: minimizarlos RedundanciaRedundancia

- No es suficienteNo es suficiente- Puede ser la causa de un falloPuede ser la causa de un fallo




Robustez

RobustezRobustez Conflicto: sistema abierto o cerradoConflicto: sistema abierto o cerrado Sobrevivir a un DoS: difícil.Sobrevivir a un DoS: difícil. Minimizar la dependencia operacionalMinimizar la dependencia operacional Evitar los puntos únicos de falloEvitar los puntos únicos de fallo

- Conseguir que la infraestructura crítica Conseguir que la infraestructura crítica esté ampliamente distribuidaesté ampliamente distribuida

- Se complica la gestiónSe complica la gestión




QoS

Asignación de Recursos (QoS)Asignación de Recursos (QoS) No comprometer el rendimiento y la No comprometer el rendimiento y la

escalabilidad: seguridad preservando los escalabilidad: seguridad preservando los recursos.recursos.

Dificultades:Dificultades:- Priorizar sobre un camino no controlado.Priorizar sobre un camino no controlado.- Diseño de capacidad en situaciones Diseño de capacidad en situaciones

masivas.masivas. Colaboración en Redes Ajenas.Colaboración en Redes Ajenas. Asumir riesgos en nuestra red en producción.Asumir riesgos en nuestra red en producción.




Índice





Conclusiones

Queda mucho por trabajar.Queda mucho por trabajar. Protocolo vs. ProductoProtocolo vs. Producto Nos faltan solucionesNos faltan soluciones Importante: la colaboraciónImportante: la colaboración

Los fabricantes: papel clave.Los fabricantes: papel clave. De nada sirve un estándar sin su apoyoDe nada sirve un estándar sin su apoyo Principales Objetivos:Principales Objetivos:

- FiabilidadFiabilidad- RobustezRobustez- CompatibilidadCompatibilidad




Seguridad en Voz IP



[email protected]

¿Preguntas?

Documents

Seguridad en Voz IP