La VoIP, en el punto de mira de los hackers
La consultora iSec Partners ha detectado diferentes formas de atentar contra los sistemas de telefonía de VoIP (voz sobre IP), que utilizan los protocolos H.323 e Inter Asterisk eXchange (IAX). Hay que estar alerta, los ataques "man in the middle" (aquellos en los que el delincuente adquiere capacidad para leer, insertar y modificar los mensajes entre dos partes sin que ninguna de ellas sea consciente de ello) pueden escuchar su correo de voz.
Himanshu Dwivedi y Zane Lackey, socio de iSec y analista de seguridad respectivamente, también han lanzado herramientas para hacer frente a las debilidades que presentan ambos protocolos. Los dos han explicado durante la conferencia de seguridad Black Hat 2007, celebrada estos días en la ciudad estadounidense de Las Vegas, que han puesto especial hincapié en estos dos protocolos para las comunicaciones de VoIP debido a que, hasta ahora, no se había investigado mucho acerca de ellos, al contrario de lo que ocurre con el protocolo SIP (Session Initiation Protocol).
“Hay muchos problemas conocidos con SIP, pero también hay mucho que decir sobre el H.323 y el IAX”, sostiene Dwivedi, para quien el equipamiento de los H.323 de Avaya, Cisco y Polycom, podría estar afectado por este tipo de ataques.
Estos responsables han explicado cómo un atacante puede detectar en una red corporativa cómo comprometer la autenticación basada en el protocolo H323, que utiliza la técnica MD5 para autenticar el teléfono del usuario. “Hacemos un ataque offline en todo el producto que detectamos en la red. Una contraseña, normalmente utiliza sólo cuatro o cinco dígitos en una extensión de teléfono, de forma que no tienes nada excepto una contraseña numérica”, destaca Dwivedi.
Además, la compañía ha mostrado cómo romper en servidores H.323 Gatekeerper utilizados para registros y autenticación de teléfonos de VoIP, y lanzar ataques de registro y de denegación con una herramienta automatizada. Asimismo, iSec también ha mostrado la forma de actuar de los ataques de denegación de servicio IAX y ha presentado una serie de herramientas para probar si las redes que utilizan voz sobre IP con H.323 y IAX son vulnerables a estos ataques.
En esta línea, el consultor de seguridad en NGS Software, Barrie Dempster, apunta que estos aspectos señalados por iSec son importantes y opina que “la seguridad en los teléfonos de VoIP no es muy buena ya que hace años que se conocen los ataques con burlas e intercepciones de las comunicaciones, así como las estafas, y se siguen sucediendo”. Asimismo, este responsable se muestra pesimista sobre el futuro de la seguridad en estos sistemas ya que, para él, “la voz sobre IP trae problemas, es tan malo como el correo electrónico, la mensajería instantánea y los navegadores web”, concluye.
“Hay muchos problemas conocidos con SIP, pero también hay mucho que decir sobre el H.323 y el IAX”, sostiene Dwivedi, para quien el equipamiento de los H.323 de Avaya, Cisco y Polycom, podría estar afectado por este tipo de ataques.
Estos responsables han explicado cómo un atacante puede detectar en una red corporativa cómo comprometer la autenticación basada en el protocolo H323, que utiliza la técnica MD5 para autenticar el teléfono del usuario. “Hacemos un ataque offline en todo el producto que detectamos en la red. Una contraseña, normalmente utiliza sólo cuatro o cinco dígitos en una extensión de teléfono, de forma que no tienes nada excepto una contraseña numérica”, destaca Dwivedi.
Además, la compañía ha mostrado cómo romper en servidores H.323 Gatekeerper utilizados para registros y autenticación de teléfonos de VoIP, y lanzar ataques de registro y de denegación con una herramienta automatizada. Asimismo, iSec también ha mostrado la forma de actuar de los ataques de denegación de servicio IAX y ha presentado una serie de herramientas para probar si las redes que utilizan voz sobre IP con H.323 y IAX son vulnerables a estos ataques.
En esta línea, el consultor de seguridad en NGS Software, Barrie Dempster, apunta que estos aspectos señalados por iSec son importantes y opina que “la seguridad en los teléfonos de VoIP no es muy buena ya que hace años que se conocen los ataques con burlas e intercepciones de las comunicaciones, así como las estafas, y se siguen sucediendo”. Asimismo, este responsable se muestra pesimista sobre el futuro de la seguridad en estos sistemas ya que, para él, “la voz sobre IP trae problemas, es tan malo como el correo electrónico, la mensajería instantánea y los navegadores web”, concluye.
