Seguridad en Voz IP

1
Seguridad en Voz IP

• Antonio Pérez Sánchez
• toni.perez_at_uib.es

2
Índice

• Introducción
• Arquitectura del sistema
• Seguridad en VoIP
• Fiabilidad, Robustez y QoS
• Conclusiones

3
Voz IP (I)
Registro (H.225 RAS/REGISTER) Señalización
(Q.931/INVITE) Control (H.245/SDP)
TCP-UDP/IP
Control (H.245/OPTIONS) RTP/RTCP
4
Voz IP (II)
Registro (H.225 RAS/REGISTER) Señalización
(Q.931/INVITE) Control (H.245/SDP)
PBX
TCP-UDP/IP
Control (H.245/OPTIONS) RTP/RTCP
5
Índice

• Introducción
• Arquitectura del sistema
• Interno
• Interno-Externo
• Nuestra Experiencia
• Seguridad en VoIP
• Fiabilidad, Robustez y QoS
• Conclusiones

6
Servicio Interno
Internet
Público
Intranet
Público
PBX
Privado
7
Índice

• Introducción
• Arquitectura del sistema
• Interno
• Interno-Externo
• Nuestra Experiencia
• Seguridad en VoIP
• Fiabilidad, Robustez y QoS
• Conclusiones

8
Servicio Interno-Externo
Internet
Público
Intranet
NAT-ALG (H.323)
Público
PBX
Privado
9
Servicio Interno-Externo (I)
Internet
Público
Intranet
Definir Reglas
Público
PBX
Privado
10
Servicio Interno-Externo (II)
Internet
Público
Intranet
Definir Reglas
Definir Reglas
Público

• Packet Filtering
• Stateful Inspection
• H.323
• SIP
• MGCP

PBX
Privado
11
Servicio Interno-Externo (III)
Internet
Público
Controlar accesos internos
DMZ
Intranet
PBX
Público
Privado
12
Servicio Interno-Externo (IV)
Internet
Público
Segmentar
DMZ
PC usuario?
Intranet
PBX
Público
Privado
13
Índice

• Introducción
• Arquitectura del sistema
• Interno
• Interno-Externo
• Nuestra Experiencia
• Seguridad en VoIP
• Fiabilidad, Robustez y QoS
• Conclusiones

14
Nuestra Experiencia (I)
Ibiza
GigabitEthernet
ATM
Campus
WLAN
Menorca
RDSI
12 edificios Campus Ibiza, Menorca 18 Centros
Universitarios Otros centros
FUE
15
Nuestra Experiencia (II)
25Gbps
ATM 155Mbps
16
Interconexión Global
VozIP
7xxxx
xxxx
Telefonía Tradicional
PBX
PRI-RDSI
RTC
6xxxx
GSM
xxxx
17
Índice

• Introducción
• Arquitectura del sistema
• Seguridad en VoIP
• Seguridad H.235
• Ataques Operacionales
• Fiabilidad, Robustez y QoS
• Conclusiones

18
Seguridad H.235 (I)

• Captura de Password
• Spoofing del ID usuario
• Llamadas no autorizadas
• Acceso no autorizado
• URQ Attack Unregistration Request

• Registro
• Señalización de llamada
• Control de llamada

19
Seguridad H.235 (I)

• Autenticación e Integridad
• IPSec
• SHA secreto password
• No Repudio ?Certificados

• Registro
• Señalización de llamada
• Control de llamada

• Firewalls Stateful
• Compatibilidad

20
Seguridad H.235 (II)

• Captura de conversaciones
• Ráfagas adicionales RTP

• Tráfico Multimedia

21
Seguridad H.235 (II)

• Integridad ?Pérdidas!
• Autenticación ?Señalización
• Confidencialidad
• DES, 3DES

• Tráfico Multimedia

• Mezclado (MCU)
• Transcoding (GW)
• IP-Phones?

22
Índice

• Introducción
• Arquitectura del sistema
• Seguridad en VoIP
• Seguridad H.235
• Ataques Operacionales
• Fiabilidad, Robustez y QoS
• Conclusiones

23
Ataques Operacionales

• Servicios
• DNS
• NTP/SNTP
• DHCP
• SMTP

Internet
PBX
Intranet
24
Ataques Operacionales
Internet

• Gestión
• FTP/TFTP
• http (IIS)
• Java
• SNMP
• ICMP
• Telnet/ssh

PBX
Intranet
25
Ataques Operacionales

• Protocolos
• Ethernet
• WLAN
• IP Routing
• Multicast
• TCP/UDP
• NetBIOS

Internet
PBX
Intranet
26
Ataques Operacionales

• Sistemas
• Virus
• S.O.
• Firmware
• Upgrades
• Parches

Internet
PBX
Intranet
27
Índice

• Introducción
• Arquitectura del sistema
• Seguridad en VoIP
• Fiabilidad, Robustez y QoS
• Conclusiones

28
Fiabilidad

• Fiabilidad
• Quién nos asegura 99?
• Dificultad de detectar y localizar fallos en
  tiempo real latencia
• Demasiados componentes minimizarlos
• Redundancia
• No es suficiente
• Puede ser la causa de un fallo

29
Robustez

• Robustez
• Conflicto sistema abierto o cerrado
• Sobrevivir a un DoS difícil.
• Minimizar la dependencia operacional
• Evitar los puntos únicos de fallo
• Conseguir que la infraestructura crítica esté
  ampliamente distribuida
• Se complica la gestión

30
QoS

• Asignación de Recursos (QoS)
• No comprometer el rendimiento y la
  escalabilidad seguridad preservando los
  recursos.
• Dificultades
• Priorizar sobre un camino no controlado.
• Diseño de capacidad en situaciones masivas.
• Colaboración en Redes Ajenas.
• Asumir riesgos en nuestra red en producción.

31
Índice

• Introducción
• Arquitectura del sistema
• Seguridad en VoIP
• Fiabilidad, Robustez y QoS
• Conclusiones

32
Conclusiones

• Queda mucho por trabajar.
• Protocolo vs. Producto
• Nos faltan soluciones
• Importante la colaboración
• Los fabricantes papel clave.
• De nada sirve un estándar sin su apoyo
• Principales Objetivos
• Fiabilidad
• Robustez
• Compatibilidad

33
Seguridad en Voz IP
Preguntas?
toni.perez_at_uib.es