1 / 26

VoIP lahenduse turvamine kaugjuurdepääsu vahenditega Michailas Ornovskis

VoIP lahenduse turvamine kaugjuurdepääsu vahenditega Michailas Ornovskis. Ettekanne struktuur. VoIP lahenduste liigid võrgude järgi VoIP lahenduste ründamise viisid VoIP lahendused ja kaugjuurdepääs Mida annab juurde kaugjuurdepääsu kasutamine

ely
Download Presentation

VoIP lahenduse turvamine kaugjuurdepääsu vahenditega Michailas Ornovskis

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript


  1. VoIP lahenduse turvamine kaugjuurdepääsu vahenditega Michailas Ornovskis

  2. Ettekanne struktuur • VoIP lahenduste liigid võrgude järgi • VoIP lahenduste ründamise viisid • VoIP lahendused ja kaugjuurdepääs • Mida annab juurde kaugjuurdepääsu kasutamine • Lahenduse arendamise võimalused Asterisk näitel

  3. VoIP lahenduste liigid võrgude järgi • Lahendused siseseks kasutamiseks juurdepääsuga sisevõrgust • Lahendused väliseks kasutamiseks teenusena • Kombineeritud lahendused, kaugjuurdepääsu kasutamine

  4. Lahendused siseseks kasutamiseks • Eraldatud numbrivahemik • Väljund PSTN võrku kas otse või teenuse pakkuja poolt • Mõeldud ettevõtesiseseks kasutamiseks ja/või helistamiseks väljaspoole võrku, kõnede vastuvõtmiseks (Call Center)

  5. Lahendused väliseks kasutamiseks teenusena ISP vaade, teenus mõeldud lõppkasutajatele

  6. Kombineeritud lahendused, kaugjuurdepääsu kasutamine

  7. VoIP lahenduste ründamise viisid • SIP registratsiooni tüssamine (võrguaadressi võltsimine) • Sessiooni pealtkuulamine (Session Eavesdropping) • ARP tüssamine (ARP spoofing) • DoS (Denial of Service – teenuse tõkestamise rünne)

  8. SIP registratsiooni tüssamine

  9. SIP registratsiooni tüssamine

  10. Sessiooni pealtkuulamine • MITM korral kui infoedastus on krüpteerimata kujul, ründajal on võimalus pakettide kinnipüüdmiseks/taasesitluseks/võltsimiseks

  11. ARP tüssamine • ARP tüssamise korral • võltsitakse MAC aadressid ja kogu liiklus käib läbi ründaja seadme

  12. DoS – teenuse tõkestamise rünne • DoS rünnaku korral tulemuseks on süsteemi ülekoormus ja/või süsteemi kaitsemehhanismide käivitamine, mille tulemuseks on kasutatava ressurssi korral (sh ka VoIP) ligipääs sellele kinni.

  13. VoIP lahendused ja kaugjuurdepääs • Kaugjuurdepääsu kasutus VoIP lahenduste juures

  14. Mida annab juurde kaugjuurdepääsu kasutamine • Saab eristada kahe krüpteerimise meetodi kõne jaoks välisvõrgus • Üks neist on nn meediavoo krüpteerimine, mille puhul krüpteeritud kõne edastatakse läbi hariliku võrgu • Teine on kanalipõhine krüpteerimine, ehk siis võrguvahendite kasutamine kõne kaitseks • Kaugjuurdepääs tagab kõne privaatsust välisvõrgus ja lisaks lahendab teisi VoIP’ga seotud probleeme

  15. Mida annab juurde kaugjuurdepääsu kasutamine • Kasutajate autoriseerimine • Kasutajate jaoks üldiselt toimub autoriseerimine kahes etapis • Kõigepealt kasutajat autoriseeritakse vastu tulemüüri (LDAP, AD, Novell, lokaalne baas jm) • Teiseks, kasutajat autoriseeritakse vastu VoIP serverit (nt SIP korral) • Autoriseerimine kahe sammuga suurendab turvalisust

  16. Mida annab juurde kaugjuurdepääsu kasutamine • NAT traversal probleemi lahendamine • NAT traversal probleem võib näiteks tekkida siis, kui kasutajal on ISP poolt määratud dünaamiline IP aadress • On võimalik anda kasutajale sisevõrgu IP aadress ning kogu VoIP liiklus saadetakse sellele aadressile • Kuna kasutaja ja tulemüüri vahel on tekitatud tunnel, siis liiklus garanteeritult jõuab kasutaja seadmesse

  17. Mida annab juurde kaugjuurdepääsu kasutamine • Kasutajate mobiilsus • Kasutajad saavad VPN kliendiga ligi ka näiteks välismaalt • Juhul kui operaatori poolt on IPSec liiklus keelatud, on võimalus kapseldada liiklust UDP paketidesse ja/või kasutada SSL ühendust

  18. Mida annab juurde kaugjuurdepääsu kasutamine • Kõnede privaatsus • Loodud VPN tunnelis liiklus on kaitstud erinevate turvameetmetega, sh ka läbi kanali krüpteerimise erinevate algoritmidega • Seanssidesse sekkumine ja nende pealtkuulamine on praktiliselt välistatud nii välise ründaja kui ka teenuse pakkuja jaoks • Kõnede pealtkuulamine/lahtikrüpteerimine on praktikas välistatud ka julgeoleku asutuste jaoks

  19. Mida annab juurde kaugjuurdepääsu kasutamine • Seadmete valik • Tulemüür, VoIP server ja ka VoIP klientide valik on vaba, tuleb jälgida kokkusobivust VPN kliendi ja tulemüüri vahel (oleneb kasutaja platvormist) • Mõned tulemüürid oskavat hallata VoIP liiklust, prioriteseerida seda, vähendada latentsust, jälgida portide muutust sessiooni jooksul ja vastavalt sellele reageerida • Meediavoo krüpteerimise osas (näiteks protokolli ZRTP puhul) VoIP klientide valik on kitsas ja valida saab paarist kliendist PC jaoks

  20. Mida annab juurde kaugjuurdepääsu kasutamine • Kaitse nimetatud rünnakute vastu • ARP tüssamine, SIP registratsiooni võltsimine ja ka sessiooni pealtkuulamine on välistatud, kuna kogu liiklus kliendi ja tulemüüri vahel on krüpteeritud • DoS rünnakute vastu VoIP serverid reeglina kaitstud ei ole, serveri vastupidavus on ainult aja ja jõudluse küsimus • Kuna kaugjuurdepääsu lahenduses on kasutusel nn “Behind the Firewall” printsiip, siis DoS rünnakutega tegeleb tulemüür • Paljud tulemüürid on hästi kaitstud DoS rünnakute vastu – kasutusel on “blacklistid”, “puzzle” tehnoloogia jne

  21. Mida annab juurde kaugjuurdepääsu kasutamine • Lahenduse majanduslik külg • Investeering toimub seadmetesse ja litsentsidesse • WiMAX, WiFi ja muudes tasuta levialades on VoIP vahelised kõned tasuta. Kõnesid välismaalt PSTN/GSM võrkudesse maksustatakse kodumaa tariifide järgi (tuleb mainida, et neid ei krüpteerita) • Traadita interneti tariifide korral (mobiilseadmed) makstakse püsitasu • Mõnede operaatorite juures traffiku limiidi ületamisel on lubatud tasuta kasutamine teatud edastuskiirusega • Kuna koodek on kasutajal valida, siis saab kiiruse nõue vähendada ka <10 Kbit/s

  22. Lahenduse arendamise võimalused Asterisk näitel • Asterisk VoIP serveri funktsionaalsus • SIP, IAX, IAX2 sisseehitatud toetus – toetatud ATA adapterid, VoIP telefonid, VoIP tarkvaralised telefonid, PSTN telefonid jne • Kõnepost, automaatvastaja, teenus “Leia Mind”, kõnede suunamised jm kuni telefoni mängudeni • Asterisk on GPL litsentsiga ja omab tasuta versioone • Asterisk on Linux’i baasil tehtud ja riistvara valik oleneb süsteemi piirangutest ja soovitud jõudlusest • Asterisk tehnoloogia VoIP serveritesse saab panna Zapata ISDN kaarte, mis annab väljundi PSTN võrku otse • Asterisk serverit saab siduda VoIP telefoni numbritega, milliseid väljastab telefoni/interneti teenuse pakkuja

  23. Lahenduse arendamise võimalused Asterisk näitel • Asterisk VoIP serveri arendamise võimalused • Lisamoodulite kasutamine – Asterisk serverite puhul lisanduvad teenused, sellised nagu kõnepost jm • Site – to – Site VPN tunnelid lubavad VoIP serveri kasutust ka ettevõte partneritele või filiaalidele • VoIP servereid saab omavahel ühendada, kasutades näiteks IAX2 protokolli. Sellisel juhul näiteks iga ettevõte/filiaali jaoks võib luua oma numbriplaani – 1XX, 2XX jne • VoIP serverite ühendamine üle VPN tunneli tagab ka võrkudevaheliste ühenduste privaatsust

  24. Lahenduse arendamise võimalused Asterisk näitel

  25. VoIP lahenduse turvamine kaugjuurdepääsu vahenditega Tänan. Küsimused?

  26. Tänan! Michailas Ornovskis michailas@stallion.ee 1

More Related