Ce qui est le plus choquant dans l’offre de Free, c’est l’offre pour les MVNO : 5 c€HT/min . Alors que Free s’était engagé à ouvrir son réseau aux opérateurs virtuels, cette offre est carrément dissuasive.

ET pour conclure, selon les mauvaises langues, Free n’ayant pas allumé sont réseau et utilisant celui d’Orange, le prix de la TA Free n’est pas appliqué !
Et grâce aux futures batteries de hérissons, ce sera peut-être la fin du terme illimité utilisé abusivement, quand de grands avocats vont se saisir de l’affaire !

• rappeler que les 3 opérateurs ont été condamnés pour entente illicite
• dénoncer la complexité des offres dans le seul but de noyer les clients
• dénoncer la honte des forfaits RSA
• rappeler la honte des hors forfaits
• et surtout de mettre fin au contrat à durée minimum

Free ramène les offres mobiles à des prix « normaux ».
Je suis curieux de voir les réactions des 3 gros opérateurs et des MVNO. Chaque offre de chacun de ces opérateurs est directement attaquée. Les MVNO déjà fragiles et liés par des contrats contraignants à un des 3 gros auront surement beaucoup de mal à gagner de nouveaux clients, à moins de se renforcer sur des offres fortement segmentées (incluant de la musique, du cinéma …).
Le PDG de Orange a annoncé il y a quelques jours qu’il était prêt à baisser ses prix selon l’annonce de Free. J’espère que les 3 gros opérateurs qui vont être obligés de réagir, vont aussi faire bénéficier leurs « pôvres » clients engagés encore de long mois de la baisse, sinon, comme l’a si bien dit X. Niel, ils les prennent vraiment pour des « pigeons ».

Bravo aussi pour le forfait à 0€ ! (pour rappel, il contient 60 minutes, 60 SMS, minutes au delà à 0,05 € et réservé au abonné free, sinon, il coûte 2€ – OK, ça commence à faire cher)

Pour conclure, j’ai adoré le film d’introduction rappelant les déclarations de nos têtes dirigeantes du monde des télécoms.
Vidéo lancement offre free mobile

Je ne vais pas vous rappeler l’intérêt (quand on touche au portefeuille, on comprend de suite beaucoup plus vite) de bien sécuriser son serveur de téléphonie. Asterisk est de plus en plus déployé en entreprise, apportant une flexibilité et des fonctionnalités pour un coût incomparable. Asterisk sait gérer plusieurs protocoles de communications dont le SIP. Nous allons voir dans cet article comment sécuriser le SIP.

Cet article est « presque » indépendant de la version d’Asterisk (les différences seront indiquées), ceci étant d’autant plus important que pour des questions de stabilité ou de compatibilité de code, beaucoup de solutions n’ont pas migré vers la dernière version stable. On trouve couramment en production des 1.4 .

Du point de vue SIP, Asterisk est un B2BUA. Un B2BUA (back-to-back user agent) est un élément logique du réseau dans les applications SIP. Il intervient entre les deux terminaisons d’un appel et divise la communication en deux appels indépendants. Tous les messages de controls passent par le B2BUA, ce qui lui permet d’intervenir lors de l’appel afin de lancer si nécessaire des applications comme l’interception, l’enregistrement, la diffusion de messages …
Par contre asterisk n’est pas un proxy SIP. Il intègre quelques unes des fonctions (routage des appels, serveur registrar), mais gère de manière incomplète l’ensemble des messages SIP. Ce n’est tout simplement pas son job.

Afin de protéger notre serveur asterisk, il est judicieux de mettre en frontal un proxy SIP comme Opensips ou Kamailio. Ainsi, toutes les requêtes SIP seront dirigées vers l’interface publique du Proxy SIP. Cela va nous permettre ainsi d’isoler Asterisk. De plus, nous obtenons une architecture plus évolutive (load balancing ou fail over entre 2 serveurs asterisk synchronisés) et plus résistante aux attaques de déni de services. Un proxy SIP a été construit pour supporter un grand nombre de requêtes SIP, ce qui n’est pas le cas d’un serveur Asterisk.

Nous allons ainsi pouvoir paramétrer de manière précise comment notre proxy va répondre aux demandes selon leurs profils, bannir des adresses IP qui auraient un comportement anormal, et détecter des attaques selon des dictionnaires. On peut aussi bannir par défaut des IP selon leur origine géographique, ce qui est très utile si vos clients ne sont qu’en France ou en Europe par exemple.

De plus, Asterisk ne supporte les communications sécurisées (TLS) que depuis la version 1.8 (une version beta patchée 1.6 existe, mais il n’est pas conseillé de l’utiliser en production). Cela ajoute en plus une charge complémentaire sur le serveur. Dans notre schéma, les flux TLS seront gérés par le proxy SIP qui renverra un flux non crytpé à notre asterisk.

Voilà notre schéma :

SIP Channels (réseau public et privé) < -----> PROXY SIP < -------> ASTERISK < ------> DAHDI, IAX …. channels (réseau privé)

Asterisk fonctionne en Realtime intégrant ainsi dans sa base de données les comptes utilisateurs SIP. Le proxy va vérifier les comptes et l’état des postes SIP dans cette base.
L’authentification est gérée par le proxy SIP. Quand un appel arrive et qu’il est authentifié, le proxy le renvoie vers le serveur asterisk. Si l’utilisateur est est disponible (utilisateur interne ou externe via un trunk SIP opérateur), asterisk renvoie l’appel au proxy SIP qui renvoie l’appel au destinataire final.

Ainsi, lors d’une tentative d’attaque, le serveur asterisk est complètement isolé, et c’est le proxy SIP qui les gèrera.

Voilà, nous avons fini la première étape concernant l’architecture générale. Nous allons maintenant voir comment gérer cette interconnexion dans cet article : Howto : interconnexion de Kamailio en frontal d’un serveur Asterisk en realtime.

J’ai déjà préparé quelques articles qui restent à finaliser, notamment sur la sécurité. La fin d’année à été riche en incidents en tout genre, hacks de serveurs, déni de services, ou attaques VoIP avec à la clé des dizaines de milliers d’euros envolés. L’année 2012 semble être une année record : crise, groupes organisés, attaques de plus en plus poussées …

Encore merci et bonne année à tous

Les attaques protocolaires :
- l’écoute non souhaitée : il est aisée de part la nature des flux (le média est transporté en RTP et la plus part du temps en non crypté) d’écouter les conversations. cela pose un vrai problème de confidentialité. La plus part des configuration par défaut n’utilise ni cryptage ni authentification.
- usurpation d’identité : il est très aisé de présenter n’importe quel numéro, et donc se faire passer pour un autre
- détournement de compte SIP : on retrouve en général 2 types d’authentification, soit par l’adresse IP, soit par un couple user / mot de passe. Grâce à la technique d’IP Spoofing, on peut détourner la première solution, et en sniffant le réseau on peut aisément récupérer les user/mdp. Il est essentiel de ne pas échanger les mots de passe en clair (utiliser md5) et d’utiliser SIPS (attention, tous les systèmes ne le prennent pas en compte).
- Replay : en sniffant une conversation, on récupère les échanges de signalisation SIP. Il suffit de rejouer cet échange !
- Déni de service : en générant de forte demande d’appels, d’authentification …

Les attaques applicatifs :
- les téléphones voip disposent d’une interface web de base souvent non protégée, permettant sa programmation à distance. L’assaillant après un scan et identification des terminaux, va pouvoir récupérer des informations essentielles (mots de passe, adresses …) et détourner à son profit les comptes.
- les téléphones et ipbx proposent des services qui parfois contiennent des failles de sécurité. Une fois exploitée, l’assaillant pourra prendre le contrôle de tout ou partie du système. Il faut bien s’assurer de bien patcher vos équipements.
- la configuration ne prenant pas suffisamment en compte la sécurité : mot de passe évident, compte basique, dialplan non sécurisé …

Ce n’est pas un exposé exhaustif des attaques touchant la VOIP, mais des principales attaques. Maintenant il ne vous reste plus qu’à vérifier votre protection. Bon courage.