IDG.bg PC World Computerworld CIO CFO Networkworld Business How Кариерна зона

10 VoIP уязвимости

Networkworld България - брой 5, 2007 г. / Корпоративни мрежи

676 прочитания, 3

Недостатъчна проверка на данни: Във VoIP решенията това може да доведе до атаки от типа „човек по средата“.
Пропуски при изпълнение: Обикновено се използват стандартни бази данни като гръбнак на VoIP услугите. Реализираното VoIP решение трябва „параноично“ да филтрира активното съдържание, като SQL заявки от потребителски доставени данни като потребителски имена, пароли и SIP URL-та. Основните проблеми идват от лош входен филтър и несигурни програмистки практики.
Слаби ресурси: В embeded устройствата ресурсите, които използва VoIP решението, могат да бъдат оскъдни. Малко памет и слаби възможности за обработка от процесора могат да доведат до лесно спиране на VoIP услугите от атакуващ embeded устройствата.
Малка честотна лента: Услугата трябва да е направена така, че да може да поеме натоварването, когато всички потребители провеждат разговори по едно и също време. Когато услугата умишлено се прави flood с хиляди бот клиенти или когато всички потребители решат едновременно да се обаждат, това може да доведе до спиране на цялата VoIP услуга.
Управление на пароли: Единственият начин за идентифициране на VoIP потребител е телефонният номер или SIP URL, и заедно с тях понякога парола за услугата. Паролите се пазят и при клиента, и на сървъра. Ако паролите на сървъра се пазят във формат, който е некодиран, всеки, който има достъп до сървъра, би могъл да се възползва.
Хомогенна мрежа: Непредвидима уязвимост в много мрежови инфраструктури е използването на оборудване от един производител. Ако в цялата мрежа има апарати само от един модел, една и съща защитна стена, прокси и др., една автоматизирана атака от вирус или червей може да срине цялата мрежа.
Липса на резервна система. Когато VoIP мрежата се срине, което рано или късно е вероятно да стане, трябва да има резервни системи. Това изисква внимателно планиране на инфраструктурата.
Качество на физическата връзка и колизия на пакетите. Ако има загуба на пакети, най-вероятно тази мрежа не е готова за VoIP. Закъснението и варирането му трябва да са минимални. Всички скрити до момента проблеми със „стесняването“ на каналите за данни ще излязат наяве, след като се внедри VoIP.
Правилно обработване на грешките: Пример за това е как се обработва невалидна регистрация. Връща се код за грешка 404, ако има невалиден телефонен номер, ако е валиден - се връща 401. По този начин атакуващ може да използва brute-force атака на валидни акаунти или да проверява кои са валидни.
Криптиране: Често се случва данните да не се криптират напълно, дори при наличието на криптиращ механизъм. Това води до възможност за подслушване на разговор.