La Sécurité de la Voix sur IP

La Voix sur IP est une des technologies phares du moment mais son déploiement engendre de nouvelles menaces pour l'entreprise. Xmco Partners propose une prestation d'audit des infrastructures VoIP.

Quelle que soit la technologie implémentée (Cisco, Alcatel, Avaya, Nortel, etc), nos experts recherchent les vulnérabilités au plus profond de votre réseaux VoIP : VLAN, Call Managers, serveurs de Messagerie Unifiée, applications CTI, bases de données, enregistrement des communications, gestion des identifiés, etc.

Les vulnérabilités des infrastructures VoIP

• Attaques de type "Man-in-the-middle" afin d'intercepter et d'écouter des communications privées.
• Attaques de type "Déni de Service" dans le but d'empêcher tout échange téléphonique.
• Usurpation de l'identité d'un utilisateur.
• Exploitation d'une faille applicative : Softphone, messagerie unifiée...
• Contournement du système de facturation afin d'effectuer des appels gratuits.
• Écoute passive du réseau pour récupérer des informations sensibles via la composition des touches du pavé téléphonique (code de messagerie, numéro de cartes bancaires, ...).
• Détérioration physique des équipements via l'alimentation sur Ethernet (IEEE 802.3af - PoE).

La méthodologie d'audit VoIP Xmco Partners

Notre démarche consiste à identifier d'éventuelles brèches au sein de l'infrastructure existante et des services connexes comme la messagerie unifiée ou les solutions de secours en cas de sinistre du réseau Voix.

Notre méthodologie d'audit est basée sur notre forte expérience en matière de tests d'intrusion et sur les concepts d'assurance qualité mis en place dans l'industrie. Nous ne nous attachons pas seulement à lister les vulnérabilités du réseau VoIP, mais nous apportons les outils de contrôle et de maîtrise des coûts liés à l'amélioration du niveau de service offert aux utilisateurs.

Notre méthode se focalise sur les points critiques suivants:

• Confidentialité :
  • Usurpation d'identité par l'intermédiaire de paquets forgés.
  • Insertion "discrète" dans les conversations.
  • Écoute du réseau Voix : "Man-in-the-middle", "sniffing", écoute des séquences "DTMF", décryptage de conversations chiffrées.
• Disponibilité :
  • Déni de Service via le changement de "Codec" à la volée.
  • Déni de Service via l'envoi de paquets SIP forgés.
  • Déni de Service via des attaques liées aux protocoles réseaux.
• Intégrité :
  • Attaque sur la facturation : Effectuer des appels en simulant qu'ils n'ont pas aboutis.
  • Attaques des interfaces de configuration accessibles des équipements et des applications.
  • Audit "système" des "Call Manager/IPBX" (OS propriétaire, Windows, Linux, Solaris, ...).
  • Vulnérabilités intrinsèques aux produits implémentés.
  • Évalutation de l'étanchéité des réseaux Voix et Data.
  • Évalutation de l'étanchéité du réseau interne vis à vis d'Internet (Wardialing et rebond).
  • Évalutation des équipements filtrants (Firewalls).
  • Attaques sur l'infrastructure VoIP (TFTP/DHCP/DNS).
• Qualité de Service:
  • Évalutation du niveau de priorisation du réseau Voix.
  • Évalutation du suivi des incidents et des remontées d'alertes
  • Charge, Jiggue, Overload et Burst.
  • Injection de "pourriels" vocaux.
• Plan de Secours :
  • Évaluation du plan de contingence face aux sinistres touchant à l'infrastructure VoIP.
  • Niveaux de priorités des appels d'urgence (112, 18, 15).