Seguridad en las comunicaciones VoIP

Snom comprende la importancia de la seguridad

Snom es un fabricante de VoIP consciente de la importancia de la seguridad, y por tanto, permanentemente concentrado en garantizar el máximo nivel de seguridad en todos los dispositivos y soluciones que ofrece. De hecho, desde junio de 2016, Snom es miembro de la Asociación Federal Alemana "TeleTrusT IT Security".

Gracias a la reestructuración de nuestros procedimientos de desarrollo de las actualizaciones del firmware, llegamos a publicar al menos 4 actualizaciones al año. Esto nos permite no solo ampliar nuestra funcionalidad, sino también afrontar de antemano y de forma proactiva cualquier posible vulnerabilidad de seguridad.

Nuestro concepto de seguridad incluye:

• Cuando se asigna un usuario a un nuevo teléfono, éste cambia automáticamente al modo "Solo HTTPS" para que toda las comunicaciones posteriores estén protegidas por el SSL.
• Generalmente trabajamos con la última versión de TLS.
• Compatible con la autenticación 802.1x.
• Ofrecemos cliente OpenVPN.
• Compatible con todos los protocolos de seguridad habituales, como SIPS y SRTP entre otros.
• Utilizamos "Trusted CA" de Mozilla y la actualizamos con cada actualización del firmware.
• Además de la posibilidad de utilizar la CA certificada de Snom y la clave correspondiente en cada teléfono, también es posible importar fácilmente los propios certificados.
• Destacamos también la posibilidad de autenticar no sólo el teléfono en el servidor, sino el servidor en el teléfono.

La seguridad en la era del VoIP

Cuando los ladrones quieren entrar en una casa, suelen realizar previamente su propia evaluación de riesgos:

Los ladrones tomarán su decisión en función del hecho de que el valor esperado de los objetos que quieren robar supere o no los riesgos a los que se enfrentarán entrando a robar. Cuando se piratea un sistema de telefonía profesional, los principios son similares, pero la escala es diferente.

Se prevé que el mercado mundial de VoIP alcance un valor de 93.200 millones de dólares en 2024, por tanto, el pirateo y la explotación de los sistemas telefónicos (conocido como "cracking") se está convirtiendo rápidamente en una actividad lucrativa para los ciberdelincuentes debidamente cualificados. El valor de estas ganancias ilícitas aumenta exponencialmente cada año, por tanto, es fundamental que todos los integrantes del sector, incluidos operadores de redes, proveedores de servicios, integradores de sistemas, administradores/usuarios de TI y, por supuesto, los propios proveedores y fabricantes de hardware y software, den prioridad y mejoren la seguridad de las redes.

El aumento de la cuota de mercado mundial de la telefonía IP ofrece un objetivo atractivo para los piratas informáticos, pero no solo, también el cambio en el comportamiento empresarial.

Y con el aumento del trabajo a distancia que está evolucionando más rápido de lo previsto, la proliferación del BYOD (la práctica de utilizar el propio dispositivo para trabajar) y las empresas que se pasan cada vez más a las soluciones totalmente IP, el mercado no sólo está creciendo, sino que está cambiando rápidamente. Y donde hay cambios, hay también incertidumbre y acontecimientos impredecibles que representan un terreno fértil para la fantasía de los malintencionados.

Pero, ¿cómo lo hacen?
¿Cuáles son los métodos más utilizados por los piratas informáticos con inclinaciones criminales y conocimientos técnicos (crackers)?
¿Qué ocurre durante una intrusión?

Para acceder a un sistema de telefonía, los crackers necesitan la contraseña del dispositivo en el que desean entrar. Para obtener esta contraseña y comprometer con éxito un sistema IP PBX, los hackers identifican una extensión IP de la red y después prueban numerosas contraseñas con la esperanza de que una de ellas sea la correcta. Esto puede parecer banal, pero muchos usuarios no cambian las contraseñas que se asignan por defecto. Además, los hackers pueden enviar miles de contraseñas al minuto. En muchos casos, no tardan mucho en adivinar la contraseña correcta e iniciar sesión en el sistema IP-PBX. O encuentran vulnerabilidades en el sistema para poder eludir o sobrescribir los requisitos de contraseña, o utilizan métodos de phishing, por ejemplo haciéndose pasar por un administrador informático, para obtener las contraseñas.

Desafortunadamente, el número de amenazas a las redes está aumentando y una simple búsqueda revela una lista siniestra de ataques como

• "Fuerza bruta",
• "Man in the Middle",
• "DDoS" (Denegación de Servicio ) y
• "Spoofing",

todos ellos suponen una grave amenaza para las comunicaciones no seguras.

Una vez que un cracker accede al sistema, hay muchas formas de hacer caer la red de telefonía IP y sustraer potencialmente a la empresa grandes sumas de dinero. Uno de los ataques más comunes, y de hecho más dañinos, consiste en que delincuentes profesionales conecten todo un centro de llamadas al puerto de red bajo ataque y desvíen miles de llamadas a través de ese único puerto en un breve periodo de tiempo. Dependiendo de cómo enrute las llamadas la centralita IP y de la regularidad con la que la empresa reciba las facturas, esta actividad puede prolongarse durante meses antes de que se descubra, disparando astronómicamente los gastos telefónicos.

Aunque éste es el principal método de los crackers y estafadores para explotar un sistema mal protegido, las contraseñas débiles y la falta de cifrado en una infraestructura IP PBX también pueden abrir la puerta a otros tipos de actividades ilícitas. Por ejemplo, la estructura informatizada de la telefonía IP facilita mucho más que los teléfonos fijos la grabación clandestina de conversaciones internas. En lugar de tener que instalar un dispositivo físico, las llamadas se pueden grabar simplemente con un software adecuado. A menudo, este tipo de amenaza proviene de un empleado de la empresa, por lo que resulta difícil protegerse contra ella. Si una empresa utiliza un protocolo VoIP no cifrado, no hay ninguna barrera que impida la grabación de las llamadas. Incluso si la amenaza no proviene de un empleado o de grupos externos con interés por grabar las llamadas telefónicas de una empresa, es posible utilizar un troyano para instalar la herramienta de grabación. Y es todavía peor si el teléfono se utiliza para penetrar en la red de la empresa, en toda la estructura de servidores, como un ladrón que entra en una casa a través del sótano.