VoIP esitlus

1
VoIP lahenduse turvamine kaugjuurdepääsu
vahenditega Michailas Ornovskis
2
Ettekanne struktuur

• VoIP lahenduste liigid võrgude järgi
• VoIP lahenduste ründamise viisid
• VoIP lahendused ja kaugjuurdepääs
• Mida annab juurde kaugjuurdepääsu kasutamine
• Lahenduse arendamise võimalused Asterisk näitel

3
VoIP lahenduste liigid võrgude järgi

• Lahendused siseseks kasutamiseks juurdepääsuga
  sisevõrgust
• Lahendused väliseks kasutamiseks teenusena
• Kombineeritud lahendused, kaugjuurdepääsu
  kasutamine

4
Lahendused siseseks kasutamiseks

• Eraldatud numbrivahemik
• Väljund PSTN võrku kas
• otse või teenuse pakkuja poolt
• Mõeldud ettevõtesiseseks
• kasutamiseks ja/või
• helistamiseks väljaspoole
• võrku, kõnede vastuvõtmiseks
• (Call Center)

5
Lahendused väliseks kasutamiseks teenusena
ISP vaade, teenus mõeldud lõppkasutajatele
6
Kombineeritud lahendused, kaugjuurdepääsu
kasutamine
7
VoIP lahenduste ründamise viisid

• SIP registratsiooni tüssamine (võrguaadressi
  võltsimine)
• Sessiooni pealtkuulamine (Session Eavesdropping)
• ARP tüssamine (ARP spoofing)
• DoS (Denial of Service teenuse tõkestamise
  rünne)

8
SIP registratsiooni tüssamine
9
SIP registratsiooni tüssamine
10
Sessiooni pealtkuulamine

• MITM korral kui infoedastus on krüpteerimata
  kujul, ründajal on võimalus pakettide
  kinnipüüdmiseks/taasesitluseks/võltsimiseks

11
ARP tüssamine

• ARP tüssamise korral
• võltsitakse MAC aadressid ja kogu liiklus käib
  läbi ründaja seadme

12
DoS teenuse tõkestamise rünne

• DoS rünnaku korral tulemuseks
• on süsteemi ülekoormus ja/või
• süsteemi kaitsemehhanismide
• käivitamine, mille tulemuseks on
• kasutatava ressurssi korral (sh ka
• VoIP) ligipääs sellele kinni.

13
VoIP lahendused ja kaugjuurdepääs

• Kaugjuurdepääsu kasutus VoIP lahenduste juures

14
Mida annab juurde kaugjuurdepääsu kasutamine

• Saab eristada kahe krüpteerimise meetodi kõne
  jaoks välisvõrgus
• Üks neist on nn meediavoo krüpteerimine, mille
  puhul krüpteeritud kõne edastatakse läbi hariliku
  võrgu
• Teine on kanalipõhine krüpteerimine, ehk siis
  võrguvahendite kasutamine kõne kaitseks
• Kaugjuurdepääs tagab kõne privaatsust
  välisvõrgus ja lisaks lahendab teisi VoIPga
  seotud probleeme

15
Mida annab juurde kaugjuurdepääsu kasutamine

• Kasutajate autoriseerimine
• Kasutajate jaoks üldiselt toimub autoriseerimine
  kahes etapis
• Kõigepealt kasutajat autoriseeritakse vastu
  tulemüüri (LDAP, AD, Novell, lokaalne baas jm)
• Teiseks, kasutajat autoriseeritakse vastu VoIP
  serverit (nt SIP korral)
• Autoriseerimine kahe sammuga suurendab
  turvalisust

16
Mida annab juurde kaugjuurdepääsu kasutamine

• NAT traversal probleemi lahendamine
• NAT traversal probleem võib näiteks tekkida
  siis, kui kasutajal on ISP poolt määratud
  dünaamiline IP aadress
• On võimalik anda kasutajale sisevõrgu IP aadress
  ning kogu VoIP liiklus saadetakse sellele
  aadressile
• Kuna kasutaja ja tulemüüri vahel on tekitatud
  tunnel, siis liiklus garanteeritult jõuab
  kasutaja seadmesse

17
Mida annab juurde kaugjuurdepääsu kasutamine

• Kasutajate mobiilsus
• Kasutajad saavad VPN kliendiga ligi ka näiteks
  välismaalt
• Juhul kui operaatori poolt on IPSec liiklus
  keelatud, on võimalus kapseldada liiklust UDP
  paketidesse ja/või kasutada SSL ühendust

18
Mida annab juurde kaugjuurdepääsu kasutamine

• Kõnede privaatsus
• Loodud VPN tunnelis liiklus on kaitstud
  erinevate turvameetmetega, sh ka läbi kanali
  krüpteerimise erinevate algoritmidega
• Seanssidesse sekkumine ja nende pealtkuulamine
  on praktiliselt välistatud nii välise ründaja kui
  ka teenuse pakkuja jaoks
• Kõnede pealtkuulamine/lahtikrüpteerimine on
  praktikas välistatud ka julgeoleku asutuste jaoks

19
Mida annab juurde kaugjuurdepääsu kasutamine

• Seadmete valik
• Tulemüür, VoIP server ja ka VoIP klientide valik
  on vaba, tuleb jälgida kokkusobivust VPN kliendi
  ja tulemüüri vahel (oleneb kasutaja platvormist)
• Mõned tulemüürid oskavat hallata VoIP liiklust,
  prioriteseerida seda, vähendada latentsust,
  jälgida portide muutust sessiooni jooksul ja
  vastavalt sellele reageerida
• Meediavoo krüpteerimise osas (näiteks protokolli
  ZRTP puhul) VoIP klientide valik on kitsas ja
  valida saab paarist kliendist PC jaoks

20
Mida annab juurde kaugjuurdepääsu kasutamine

• Kaitse nimetatud rünnakute vastu
• ARP tüssamine, SIP registratsiooni võltsimine ja
  ka sessiooni pealtkuulamine on välistatud, kuna
  kogu liiklus kliendi ja tulemüüri vahel on
  krüpteeritud
• DoS rünnakute vastu VoIP serverid reeglina
  kaitstud ei ole, serveri vastupidavus on ainult
  aja ja jõudluse küsimus
• Kuna kaugjuurdepääsu lahenduses on kasutusel nn
  Behind the Firewall printsiip, siis DoS
  rünnakutega tegeleb tulemüür
• Paljud tulemüürid on hästi kaitstud DoS
  rünnakute vastu kasutusel on blacklistid,
  puzzle tehnoloogia jne

21
Mida annab juurde kaugjuurdepääsu kasutamine

• Lahenduse majanduslik külg
• Investeering toimub seadmetesse ja
  litsentsidesse
• WiMAX, WiFi ja muudes tasuta levialades on VoIP
  vahelised kõned tasuta. Kõnesid välismaalt
  PSTN/GSM võrkudesse maksustatakse kodumaa
  tariifide järgi (tuleb mainida, et neid ei
  krüpteerita)
• Traadita interneti tariifide korral
  (mobiilseadmed) makstakse püsitasu
• Mõnede operaatorite juures traffiku limiidi
  ületamisel on lubatud tasuta kasutamine teatud
  edastuskiirusega
• Kuna koodek on kasutajal valida, siis saab
  kiiruse nõue vähendada ka lt10 Kbit/s

22
Lahenduse arendamise võimalused Asterisk näitel

• Asterisk VoIP serveri funktsionaalsus
• SIP, IAX, IAX2 sisseehitatud toetus toetatud
  ATA adapterid, VoIP telefonid, VoIP tarkvaralised
  telefonid, PSTN telefonid jne
• Kõnepost, automaatvastaja, teenus Leia Mind,
  kõnede suunamised jm kuni telefoni mängudeni
• Asterisk on GPL litsentsiga ja omab tasuta
  versioone
• Asterisk on Linuxi baasil tehtud ja riistvara
  valik oleneb süsteemi piirangutest ja soovitud
  jõudlusest
• Asterisk tehnoloogia VoIP serveritesse saab
  panna Zapata ISDN kaarte, mis annab väljundi PSTN
  võrku otse
• Asterisk serverit saab siduda VoIP telefoni
  numbritega, milliseid väljastab
  telefoni/interneti teenuse pakkuja

23
Lahenduse arendamise võimalused Asterisk näitel

• Asterisk VoIP serveri arendamise võimalused
• Lisamoodulite kasutamine Asterisk serverite
  puhul lisanduvad teenused, sellised nagu kõnepost
  jm
• Site to Site VPN tunnelid lubavad VoIP
  serveri kasutust ka ettevõte partneritele või
  filiaalidele
• VoIP servereid saab omavahel ühendada, kasutades
  näiteks IAX2 protokolli. Sellisel juhul näiteks
  iga ettevõte/filiaali jaoks võib luua oma
  numbriplaani 1XX, 2XX jne
• VoIP serverite ühendamine üle VPN tunneli tagab
  ka võrkudevaheliste ühenduste privaatsust

24
Lahenduse arendamise võimalused Asterisk näitel
25
VoIP lahenduse turvamine kaugjuurdepääsu
vahenditega
Tänan. Küsimused?
26
Tänan! Michailas Ornovskis michailas_at_stallion.ee
1