La descarga está en progreso. Por favor, espere

La descarga está en progreso. Por favor, espere

VoIP (In)security Jose Luis Verdeguer (aka Pepelux) Mail: Blog: Web:

Presentaciones similares


Presentación del tema: "VoIP (In)security Jose Luis Verdeguer (aka Pepelux) Mail: Blog: Web:"— Transcripción de la presentación:

1 VoIP (In)security Jose Luis Verdeguer (aka Pepelux) Mail: Blog: Web: Agradecimientos a: Jesús Pérez

2 ¿Qué es la VoIP? VoIP (Voice over IP) = Voz sobre IP = VozIP = Telefonía IP. Wikipedia: Conjunto de recursos que hacen posible que la señal de voz viaje por Internet. Definición: El término VoIP se refiere a un conjunto de recursos que permiten utilizar el protocolo IP para que la voz se transporte a través de Internet, en forma digital, y mediante paquetes.

3 ¿Qué es la VoIP? Protocolos más utilizados para la negociación: SIP (Session Initiation Protocol): Se encarga de negociar las comunicaciones. Sintaxis similar a HTTP. Posibilidad de cifrado mediante TLS. IAX / IAX2 (Inter Asterisk eXchange): Alternativa a SIP. Creado por Asterisk. H.323 Protocolos para la comunicación: RTP (Real-time Transport Protocol): Utilizado para la transmisión de información en tiempo real (audio y vídeo).

4 Servidores VoIP

5 Diferentes distribuciones de Asterisk

6 Escenario 1: Instalaciones locales Servidor Asterisk montado en una red local (oficina, hotel, etc) Teléfonos IP conectados al servidor Asterisk Tarjeta PSTN para conectar las líneas telefónicas (o SIP-trunk con un operador de VoIP)

7 ¿Quién monta Asterisk? Empresas de telecomunicaciones: Expertos en telefonía pero … … con conocimientos informáticos escasos. Pocos conocimientos de Linux. Pocas nociones sobre seguridad. Instalaciones en oficinas sustituyendo las centralitas convencionales. Renovarse o morir.

8 Principales problemas Instalaciones por defecto del sistema operativo: o Servicios abiertos no necesarios. o Trabajo siempre desde la cuenta de root. o Cuentas sin contraseña o con claves demasiado obvias. o Servidores con sistemas antiguos que nunca se actualizan. Instalaciones básicas de Asterisk: o Contraseñas poco seguras. o Configuración y cuentas por defecto. o Planes de llamada poco restrictivos. o Sistemas administrados por web. Redes locales inseguras: o Conexiones inalámbricas. o Equipos con fallos de seguridad.

9 Problemas de los Front-end

10 What is happening?

11

12

13 ¿Y si nos hackean? Ante un robo de cuenta: Llamadas gratis hasta la próxima factura. Pero, ¿y si el atacante tiene acceso al sistema?: Posibilidad de alterar los planes de llamadas. Creación de nuevos usuarios. Desvío de llamadas. Alteración del identificador de llamada. Escuchas ilegales. ¿Y si el atacante es un hacker experimentado?: Recompilación de Asterisk con un backdoor.

14 La ignorancia es el mayor de los problemas ¿Y qué si me hackean una cuenta y hacen algunas llamadas? ¡ En sólo unas horas la factura puede ser bestial ! o Si no tiene límite de llamadas concurrentes, podrían hablar decenas de usuarios a la vez.

15 La ignorancia es el mayor de los problemas ¿Y qué si me hackean una cuenta y hacen algunas llamadas? ¡ En sólo unas horas la factura puede ser bestial ! o Si no tiene límite de llamadas concurrentes, podrían hablar decenas de usuarios a la vez.

16 Asterisk: ficheros básicos Sip.conf: Extensions.conf:

17 Escuchar una conversación Cómo escuchar una conversación: Basta con añadir al plan de llamadas (dialplan): 9999 => Extensión que marcamos para acceder 1234 => Nuestra contraseña Realizamos una llamada interna al 9999 y tras poner nuestra clave, marcamos la extensión que queremos espiar.

18 Grabar una conversación Cómo grabar una conversación: En el dialplan de la extensión añadimos: 100 => Extensión que monitorizamos. h => Ejecutamos un script al finalizar la llamada. Guardamos la llamada en /tmp. Con un script podemos convertirla a MP3 y mandarla por mail.

19 Demo: Asegurando el acceso al sistema

20

21

22 Técnicas de ataque Ataque a redes inalámbricas: Aircrack-ng. Generación de contraseñas de ciertos proveedores (WLAN, Jazztel, Tele2, Ono,...). Monitorización del tráfico: Tcpdump. Wireshark. Envenenamiento ARP (técnicas de Man in The Middle): ARPspoof. Ettercap. Cain & Abel. Ataque a equipos vulnerables de la red: Metasploit.

23 Contramedidas Usar contraseñas seguras: Tanto en los usuarios de Asterisk como en el servidor. Nuestro sistema: Mantenerlo siempre actualizado tanto Linux como Asterisk. Evitar abrir servicios innecesarios y cuentas por defecto. Crear políticas de llamada personalizadas: Impedir llamadas internacionales si no se necesitan. Restringir el uso a horario de oficina. Reducir el número de canales a 2. Monitorización de llamadas. Usar comunicaciones cifradas (TLS+SRTP) si es posible. No utilizar redes inalámbricas.

24 Escenario 2: Operadores de VoIP Servidor SIP montado en Internet Conexión de todo tipo de dispositivos, otros servidores SIP, proxys, etc

25 Problemas Principales problemas: Muchas centralitas inseguras conectadas. Conexiones directas (endpoints) de usuarios finales: Robo de contraseñas (keylogger, troyanos, etc). Accesible desde Internet: Escaneos masivos. Ataques de fuerza bruta. Ataques de denegación de servicio. Exploits remotos.

26 Contramedidas A nivel de servidor: Uso de iptables para permitir lo estrictamente necesario. Desactivar los servicios no necesarios. Separar otros servicios en diferentes máquinas (correo, web, bases de datos,...). Usar VPNs siempre que sea posible. Dentro de lo permitido por Asterisk: Desactivar servicios de Asterisk no necesarios. No usar nombres de usuario que coincidan con la extensión. Uso de contraseñas seguras. Crear políticas de llamada personalizadas. Monitorización de llamadas. Usar comunicaciones seguras (TLS) si es posible. Además: Usar un puerto por defecto diferente Modificar la "huella" del Asterisk. Bloqueo de IPs con un determinado número de registros inválidos. Establecer un límite de gasto mensual por cliente. Bloqueo de clientes con un consumo excesivo en un corto periodo de tiempo. Usar un frontend propio.

27 Obteniendo cuentas SIP

28 Buscando dispositivos No hay que olvidar que casi todos los teléfonos VoIP son administrables por telnet o por web. Google hacking (algunos ejemplos): o Teléfonos GrandStream: intitle:"Grandstream Device Configuration" Password o CallManager: inurl:"ccmuser/logon.asp" o Teléfonos Linksys: intitle:"Sipura SPA Configuration" Otros: shodan, nmap, sipvicious, … Muchos teléfonos tienen la clave por defecto y en la pantalla de configuración podemos ver el servidor de validación y los datos del usuario.

29 Buscando dispositivos Ejemplo: teléfono Grandstream conectado a Internet y con la contraseña por defecto: "admin" x-O

30 Buscando dispositivos

31

32 Sistemas Click-to-Call Implementados en numerosas webs. ¿Qué podemos hacer?: Llamadas molestas al vecino. Gasto económico a la empresa que ofrece el servicio. En caso de hackeo de la web: Acceso al usuario y servidor SIP. Acceso al usuario y contraseña Manager para este servicio de llamadas externas. Si el manager no está correctamente configurado: Llamadas gratis.

33 Sistemas Click-to-Call Ejemplo de una web con Click-to-Call:

34 Sistemas Click-to-Call Configuración de manager.conf: Si no están bien configuradas las restricciones, podemos llamar desde cualquier lugar.

35 Sistemas Click-to-Call Ejemplo de una web con Click-to-Call:

36 Sistemas Click-to-Call Solicitud de llamada a dos números:

37 Herramientas Muchas... pero antiguas: o SIPp (http://sipp.sourceforge.net/) o Voipong (http://www.enderunix.org/voipong/) o Cain & Abel (http://www.oxid.it/cain.html) o Asteroid (http://packetstormsecurity.org/) o Voiper (http://voiper.sourceforge.net/) o SIPDump (http://packetstormsecurity.org/) o Sipcrack (http://www.codito.de/) o Sipsak (http://sipsak.org/) o... VOIPSA (http://www.voipsa.org/Resources/tools.php) Defcon'19: Botnet (moshimoshi) / VPN (http://code.google.com/p/moshimoshi/) VoIP Hopper 2.0 (http://voiphopper.sourceforge.net/)

38 Sipvicious Suite GPL Herramientas: o svmap: escaner SIP. o swar: identifica extensiones de una PBX. o svcrack: crackea contraseñas SIP. o svreport: gestiona los informes generados. o svcrash: intenta anular el uso de svwar y svcrack.

39 Sipvicious Suite GPL Herramientas: o svmap: escaner SIP. o swar: identifica extensiones de una PBX. o svcrack: crackea contraseñas SIP. o svreport: gestiona los informes generados. o svcrash: intenta anular el uso de svwar y svcrack. Immunity Canvas VoIPPack (http://www.enablesecurity.com/voippack) Software privativo Herramientas: o sipscan o sipenumerate o sipcrack o Sipautohack :) Una demo del potencial de esta herramienta:

40 Wireshark - UCSniff Wireshark (http://www.wireshark.org/) UCSniff (http://ucsniff.sourceforge.net/)

41 Voipong Voipong (http://www.enderunix.org/voipong/)http://www.enderunix.org/voipong/ - Sniffer para VoIP programado en C. Funciona en Solaris, Linux y FreeBSD. - Lo que hace básicamente es detectar las llamadas sobre VoIP que estén usando el codec G711 y guardarlas en formato WAV en el directorio que especifiquemos.

42 Sipsak Sipsak (http://sipsak.org/)http://sipsak.org/ Herramienta para realizar test sobre SIP. Ellos la definen como la navaja suiza del SIP.

43 Sipcrack - Sipdump Sipcrack (http://www.codito.de/)http://www.codito.de/ Herramienta para crackear contraseñas SIP obtenidas con una captura PCAP. SIPDump (http://packetstormsecurity.org/files/54829/SIPcrack-0.2.tar.gz.html)http://packetstormsecurity.org/files/54829/SIPcrack-0.2.tar.gz.html Permite monitorizar y capturar autenticaciones. También puede obtenerlas de un fichero PCAP.

44 Otras herramientas Voiper (http://voiper.sourceforge.net/)http://voiper.sourceforge.net/ Juego de fuzzers para testear un servidor SIP. Asteroid (http://packetstormsecurity.org/files/view/51618/asteroidv1.tar.gz)http://packetstormsecurity.org/files/view/51618/asteroidv1.tar.gz Ataques DoS mandando paquetes. Efectivo para versiones 1.2 o inferiores. Cain & Abel (http://www.oxid.it/cain.html)http://www.oxid.it/cain.html Reconstruye capturas de RTP.

45 Toll fraud Shadow Communication Ltd + de llamadas en 2 meses + de euros cobrados Unas 50 personas implicadas

46 Toll fraud

47 SPIT / Vishing SPIT: Spam over Internet Telephony Vishing : VoIP + phising

48 Demo: RTP Insert Sound

49 Gracias por vuestra atención ¿Preguntas? Mail: Blog: Web:


Descargar ppt "VoIP (In)security Jose Luis Verdeguer (aka Pepelux) Mail: Blog: Web:"

Presentaciones similares


Anuncios Google