Auerswald GmbH & Co. KG 2013

Transkript

1

2 Angriffsflächen bei Voice over IP (VoIP) im Unternehmen

3 Lauschen und Kapern Was ist schützenswert? Mögliche Angriffsszenarien, Motivation des Bösewichts"? Wie kann man sich schützen? 3

4 Im System gespeicherte Gesprächsinhalte: Gesprächsmitschnitte Nachrichten auf Anrufbeantwortern Endgeräte mit Mikrofon und/oder Kamera: Abhören/Überwachen (Lauschen) Systemkonfigurationen: Feindliche Übernahme des Systems (Kapern) Gesprächsdaten: Wer hat wann mit wem telefoniert? Wann wird telefoniert? 4

5 Die meisten Angriffe auf das Netzwerk erfolgen von innen Voice over IP kennt keine Punkt-zu-Punkt-Verbindung wie in den klassischen Telekommunikationsnetzen VoIP-Endgeräte sind von jeder Stelle aus dem Netzwerk erreichbar Verwendung von Netzwerk-Switches und Firewalls wiegen die Nutzer in trügerischer Sicherheit 5

6 Netzwerk-Switches mit Managementfunktionen machen Abhören von einem beliebigen Punkt im lokalen Netzwerk möglich: Servicezugänge einiger Router lassen das Lauschen aus dem Internet zu Sicherheitsmechanismen sind nur dann sinnvoll, wenn: alle VoIP-Endgeräte eines ITK-Systems und die Wege vom ITK-System zum Router, Netzbetreiber und den Endgeräten geschützt werden 6

7 Abhören und mitschneiden von Telefonaten

8 Auch sniffing oder phone phreaking genannt Der Angreifer befindet sich zwischen den Kommunikationspartnern, die abgehört werden sollen Der man in the middle übernimmt die komplette Kontrolle des Datenverkehrs zwischen zwei oder mehreren Netzwerkgeräten Er kann die übertragenen Informationen, z. B. die Sprachdaten, aufzeichnen und ggf. sogar manipulieren Doppelköpfigkeit des Janus, der Angreifer täuscht den Teilnehmern das jeweilige Gegenüber vor 8

9 Ziel des Angreifers: Verkauf von Informationen, Informationsvorsprung, pure Neugier Welche Werkzeuge (Software) benötigt der Angreifer? Ettercap sucht nach aktiven Netzwerkgeräten (Opfer) und zeigt sie in einer Liste an Die Opfer werden benutzerfreundlich per Doppelklick ausgewählt Die Datenströme der Opfer werden über den Rechner des Angreifers gesendet Wireshark zeichnet die umgeleiteten Datenströme auf und speichert diese ggf. in Dateien 9

10 Identität vortäuschen: 10

11 Identität vortäuschen: 11

12 Identität vortäuschen: ARP Spoofing / ARP Cache Poisoning 12

13 Feindliche Übernahme des Systems

14 Businessmodell Goldesel, Variante 1 Ziel des Angreifers: Anrufe von Servicerufnummern (0137, 0900, ) vom Anschluss der feindlich übernommenen Telefonanlage, um damit Einnahmen zu generieren Angreifer verschafft sich Zugang zur Telefonanlage und richtet z. B. die Funktion Rufumleitung ein Angreifer findet den Weg zur Telefonanlage über eine URL (z. B. tk-anlage.dyndns.org) und entsprechende Portfreischaltung im Router 14

15 Businessmodell Goldesel, Variante 1 15

16 Businessmodell Goldesel, Variante 1 16

17 Businessmodell Goldesel, Variante 1 17

18 Businessmodell Goldesel, Variante 2 Ziel des Angreifers: Kostengünstige Einwahlzugänge in das deutsche Fest- bzw. Mobilfunknetz Angreifer registriert sich über das Internet als Nebenstelle an der Telefonanlage Einbindung der Amtzugänge der Telefonanlage, um einen lokalen Ausstieg in das Festnetz zu realisieren Durch Testanrufe werden Rufberechtigungen und Amtzugänge geprüft Übernahme der Amtzugänge in das LCR-System des Angreifers 18

19 Businessmodell Goldesel, Variante 2 19

20 Businessmodell Goldesel, Variante 2 20

21 Weitere Angriffsmöglichkeiten

22 Falsche DHCP-Server (Rogue DHCP-Server): Ziel Telefone durch das Übermitteln von falschen Parameter kapern DoS-Attacke (Denial of Service): Ziel Telefonanlagen oder Telefone außer Gefecht setzen Manipulation von Netzwerk-Switches (MAC-Flooting): Ziel Switches in einen Zustand versetzen, dass sie sich wie ein Hub verhalten, um das Mitschneiden von z. B. Telefonaten zu ermöglichen 22

23 Sicherheit ist keine Hexerei

24 Telefonanlage und Telefone niemals per Portfreigabe bzw. DMZ ins Internet stellen: entfernter Zugang nur per VPN Fernzugang über z. B. Fernkonfigurationsserver Daten- und Telefonnetze trennen, z. B. mittels VLAN Nur ausgewählte Geräte im Netzwerk zulassen Mittels Verschlüsselung (SIPS und SRTP) zwischen Telefonanlage, Telefonen und VoIP-Anbieter kann das Mitlauschen wirkungsvoll unterbunden werden Kontrolle ist besser als Vertrauen nicht jedem Zertifikat (SIPS/SRTP/HTTPS) vertrauen 24

25 Verwendung von komplexen Passwörten mit mindestens 8 Zeichen Jeder Benutzer bekommt ein eigenes Passwort Sicherheitsmechanismen der verwendeten Geräte voll ausschöpfen: HTTPS, SIPS und SRTP IP-Sperr- und/oder Freigabelisten Sicherheits-Updates/-Patches einspielen Professionelle Hilfe von geschulten Fachhändlern bzw. Systemhäusern in Anspruch nehmen 25

26 26