en español
Soyons réalistes : la sécurité de la VoIP est une préoccupation majeure, surtout lorsque plusieurs sites et utilisateurs sont connectés au même réseau : en cas de problème, tout votre système et toutes les personnes qui l’utilisent sont concernés. Heureusement, avec les bonnes pratiques de sécurité, protéger votre réseau VoIP n’a rien de compliqué. Aujourd’hui, je vais présenter les moyens les plus efficaces de sécuriser votre réseau VoIP et expliquer comment appliquer ces bonnes pratiques à votre propre centre de communication.
Chiffrez vos communications avec SIPS & SRTP Pour protéger les informations échangées entre un serveur et un client, les protocoles recommandés sont SIPS ou SIP over TLS, ainsi que SRTP. Ces protocoles chiffrent l’échange des messages de signalisation et du trafic audio, et résolvent les problèmes d’authentification, de confidentialité et d’intégrité couramment rencontrés dans ces situations. L’utilisation de SIPS permet d’établir une connexion sécurisée entre un IP PBX et un terminal IP grâce à TLS (Transport Layer Security). Pour établir une connexion sécurisée entre pairs, une clé est échangée dans le tunnel SSL, ce qui signale le chiffrement de la connexion. L’avantage de SIPS et SRTP est qu’ils chiffrent toutes les informations associées à l’établissement et au traitement des appels, ainsi qu’au trafic audio. Par exemple, pendant un appel, le fichier audio n’est pas le seul élément protégé : toutes les informations connexes, comme l’identifiant de l’appelant, la messagerie vocale, etc., le sont également, ce qui étend la protection à vos données pendant les échanges. Il faut garder à l’esprit que, pour utiliser ces protocoles sécurisés, tous les appareils concernés doivent prendre en charge SIPS et SRTP simultanément, faute de quoi la connexion ne peut pas être établie. Parmi les autres protocoles de chiffrement recommandés figurent SSH pour la connexion à distance d’un ordinateur à un autre, et SSL & HTTPS pour relier un serveur Web et un navigateur.
Protégez votre réseau avec des valeurs et des mots de passe sécurisés et uniques Il est important de renforcer la sécurité et d’utiliser toujours des mots de passe et des valeurs uniques lors de la configuration de votre réseau VoIP. Cette pratique empêche les pirates de deviner les valeurs par défaut et protège votre réseau ainsi que toutes les informations transférées. Par exemple, utilisez toujours un seul nom d’utilisateur et un seul mot de passe pour chaque session d’authentification. Il n’est jamais judicieux d’autoriser plusieurs sessions VoIP simultanées avec les mêmes identifiants, car cela peut rendre votre réseau vulnérable aux pirates. Lors du mappage des numéros et des plans de routage, évitez d’utiliser les alias par défaut pour E.164 et veillez à personnaliser E.164 afin qu’il soit unique. À titre de bonne pratique, utilisez un alias E.164 unique pour chaque nom d’utilisateur et mot de passe. Pour ajouter des couches de protection supplémentaires, tous les appareils VoIP doivent utiliser des codes PIN uniques d’au moins quatre chiffres. Enfin, chaque point de terminaison doit avoir un nom d’alias différent. Si deux points de terminaison tentent de s’enregistrer avec le même nom d’alias, ils doivent recevoir des messages d’erreur afin d’avertir l’administrateur de la présence de valeurs en double.
Mettez en place des pratiques d’authentification sécurisées pour vos protocoles de signalisation d’appel Que vous utilisiez H.323 ou H.225, il est important de configurer ces protocoles avec des pratiques d’authentification sécurisées. Pour commencer, évitez l’authentification H.323 standard qui utilise un hachage MD5 et un mot de passe, car il ne s’agit pas d’une méthode de chiffrement : elle génère toujours les mêmes valeurs de hachage de 128-bit, faciles à retrouver au moyen d’un processus appelé rejeu. À la place, encapsulez H.225 dans un tunnel TLS utilisé pour la protection de la couche de session avec H.323 (H.323 utilisant SSL/TLS). La méthode d’authentification la plus courante est le hachage du mot de passe ; elle combine un mot de passe haché avec MD5, un nom d’utilisateur (H.323 ID ou ID général) et un horodatage pour créer un hachage unique pour chaque demande d’authentification. Gardez toutefois à l’esprit que ce processus comporte des éléments vulnérables en raison de possibles attaques par rejeu. Quant aux protocoles de signalisation H.225, ils utilisent un horodatage pour l’authentification du serveur NTP ; il est donc important de limiter la durée de cet horodatage à 15 minutes au maximum afin d’empêcher les attaques par rejeu. Enfin, que vous utilisiez SIP, H.323 ou IAX, veillez à ce que vos protocoles de session exigent une authentification pour désenregistrer un agent utilisateur ou un point de terminaison.
Configurez des protocoles et des processus sécurisés pour votre réseau La personnalisation d’un plan visant à prévenir les faiblesses et les vulnérabilités du réseau est essentielle pour assurer une sécurité maximale à votre réseau VoIP. Une pratique recommandée consiste à utiliser la gestion des appareils hors bande depuis un réseau de gestion isolé et sécurisé, ce qui crée un chemin sécurisé pour gérer un réseau distant sans perturber le trafic normal. Toutefois, si vous utilisez la gestion des appareils dans la bande, veillez à ce que cette gestion soit chiffrée. Pour les pratiques de gestion quotidienne, il est important de disposer d’un logiciel de gestion VoIP qui consigne les événements ou activités critiques afin qu’ils soient régulièrement examinés ou audités. Pour que les serveurs restent opérationnels sans interruption, il est recommandé d’utiliser deux serveurs DHCP : si l’un tombe en panne, l’autre peut continuer à attribuer de nouvelles adresses ou à renouveler celles des clients existants, tout en contribuant à équilibrer l’utilisation des serveurs. Parmi les autres bonnes pratiques de gestion des protocoles, citons l’utilisation de SSLv3/TLSv1 non auto-signés avec des chiffrements robustes pendant la négociation qui lance le chiffrement. Pour éviter tout environnement non protégé lors de l’échange de communications, les connexions doivent être immédiatement interrompues si un certificat SSL incorrect, expiré ou auto-signé est utilisé. Une bonne pratique consiste à désactiver les options de découverte automatique pour tous les contrôleurs de passerelle externes, car cela peut empêcher tout accès non autorisé à l’entité centrale de gestion qui supervise l’authentification, l’autorisation, l’annuaire téléphonique, le contrôle des appels et le routage. Enfin, placer le réseau vocal derrière un pare-feu et n’autoriser que les accès autorisés en définissant des règles explicites sur le pare-feu ou le dispositif de sécurité peut renforcer considérablement la protection de votre réseau.
Bien qu’il soit impossible de résoudre tous les problèmes de sécurité et que certaines situations soient inévitables, l’établissement d’un plan de bonnes pratiques et de procédures pour protéger votre réseau VoIP peut vous donner une longueur d’avance dans la gestion des crises. Il est essentiel d’établir une liste des éléments de sécurité indispensables à appliquer à votre réseau et de surveiller les aspects susceptibles d’avoir le plus d’impact sur vos communications professionnelles.
Sources : Dwivedi, H. (2009). Hacking VoIP: Protocols, attacks, and countermeasures. San Francisco : No Starch Press.