Blog

Comme convenu lors de mes voeux, voici mon premier article technique de 2012 touchant la sécurité informatique et plus précisément comment sécuriser le SIP d’un serveur asterisk.

Je ne vais pas vous rappeler l’intérêt (quand on touche au portefeuille, on comprend de suite beaucoup plus vite) de bien sécuriser son serveur de téléphonie.

Asterisk est de plus en plus déployé en entreprise, apportant une flexibilité et des fonctionnalités pour un coût incomparable. Asterisk sait gérer plusieurs protocoles de communications dont le SIP. Nous allons voir dans cet article comment sécuriser le SIP.

Introduction#

Alors que les attaques sur les systèmes de VoIP sont en constantes augmentation, les vulnérabilités observées augmentent elles aussi de manière exponentielle. (ne me faites pas dire ce que je n’ai pas dit, les systèmes traditionnels sont aussi soumis à des vulnérabilités qui sont d’autant plus facilement exploitées que tout le monde se croit à l’abri et qu’aucune procédure de sécurité n’est appliquée, même les plus essentielles et faciles à mettre en oeuvre - “comment ça, changer le mot de passe, 0000 comme mot de passe, c’est très bien mon bon mossieur !!!”). On peut décomposer les attaques en 2 parties : les attaques au niveau du protocole et les attaques au niveau applicatif.

Grâce à la téléphonie sur IP, il n’est plus nécessaire de disposer de ports dédiés sur une carte de votre autocommutateur afin de raccorder vos postes téléphoniques.

Les offres de raccordements de trunk SIP des opérateurs permettent de se passer aussi de carte numéris.

Alors à quoi bon investir dans du matériel, et ne pas investir sur du logiciel et de l’expertise ?

L’avènement de solutions open source performantes et leurs déclinaisons commerciales proposent une offre concurrentielle apportant des fonctionnalités de communications évoluées. Des constructeurs de renoms ont emboité le pas : Alcatel avec l’offre BICS, Siemens, Aastra …

Combien est-ce frustrant quand vous appeler votre hotline, afin de commander un nouveau service ou réserver une place, d’attendre de très longues minutes sans disposer d’aucunes informations pour se voir parfois raccrocher au nez sans préavis.

La première étape est de mettre en place un numéro téléphonique dédié pour le service en question, le SAV par exemple. Cela évite de passer par un standard automatique (vous savez, tapez 1, puis 3 …) qui véhicule une image négative d’“administration”. Ensuite de définir clairement des jours et des plages horaires d’ouverture et de fermeture et de les annoncer clairement aux correspondants. Vous définissez ensuite la profondeur de la file d’attente, c’est à dire le nombre maximum de personnes à mettre en attente en simultané. Ce nombre va dépendre de divers critères notamment ceux directement liés à votre activité.

Nous allons voir comment résoudre un problème de qualité audio.

Introduction#

Dans l’article, je vais considérer que le site dispose d’un câblage informatique de qualité suffisante et que le matériel déployé est de bonne qualité (switch, routeur, IPBX, postes téléphoniques, passerelles …).

Déterminer l’origine des problèmes#

Il va être important dans un premier de temps de déterminer si le problème vient des communications externes ou si le problème intervient aussi sur les communications sur le même site. Si les appels entre 2 postes IP (important) sur le même site (avec l’IPBX en local si nous ne sommes pas en centrex) sont dégradés, il va falloir dans un premier temps résoudre ce problème. Pour cela, il faut vérifier quelques paramètres cruciaux :

Je vais essayer de répondre à la question : est-ce que asterisk peut remplacer votre IPBX ?

Historique#

Asterisk a été créé en 1999 par Mark SPENCER (un gars exceptionnel que j’ai eu l’occasion de rencontrer plusieurs fois). Le code du logiciel est distribué en open source sous la licence GPL. Le site du projet est tout simplement www.asterisk.org

Présentation d’Asterisk#

Asterisk est un logiciel permettant de mettre en oeuvre un PABX, c’est à dire de relier entre eux des téléphones de technologies différentes et des trunks. Les trunks sont des accès opérateurs, comme les accès numéris, analogique ou SIP. Asterisk est compatible avec tous les postes IP compatibles avec la norme SIP, IAX et SCCP. On peut aussi connecter des postes analogiques et des postes sans fil via des gateways. Une gamme impressionnante de carte permet de se raccorder aux réseaux des opérateurs. Nous l’avons vu, au niveau des périphériques, l’offre est très importante et n’a pas à pâlir des solutions payantes concurrentes. Mais, car il y a un gros mais, quand vous installez Asterisk, vous n’obtenez pas un PABX. Vous avez une excellente base, mais sans programmation, il vous ne pouvait pas passer un appel. Afin de construire votre PABX, il vous faudra programmer toutes les fonctions dont vous avez besoin. C’est là que se situe toute la difficulté, car à moins de maîtriser les langages de programmation propre à Asterisk, vous arriverez juste à émettre et à recevoir des appels, mais sûrement pas à faire des interceptions et encore moins mettre en oeuvre la fonction patron-secrétaire. La mise en oeuvre de fonctionnalités évoluées et une intégration parfaite avec les postes nécessitent une excellente expertise. Vous remarquerez aussi que je n’ai pas parlé de fiabilité et de stabilité. Installer Asterisk pour une personne maîtrisant linux, n’est pas une chose compliquée notamment sur Centos. Sécuriser et fiabiliser cette même installation est autrement plus complexe, notamment quand le volume d’appels à traiter est assez important.

De plus en plus de sociétés utilisent ces numéros dits à “valeur ajoutée”, valeur pas toujours ajoutée par ailleurs, comme par exemple comme cette société xxx ( il paraît que je n’ai pas le droit de donner son nom malgré mon envie ) qui ne dispose que de numéros en 0892 pour être jointe.

Au fait combien coûte un 0892 ?

En fait le coût doit-être inférieur (ou égal) à 0,45 €TTC/min.

De nombreuses marques ont disparu : Telic, Matra, Eritelcom, Barphone, E-Generis, JS Telecom (puis Bosh), Ténovis, Ascotel pour ne citer que les plus connus et récemment le rachat d’Ericsson par Aastra. Certaines ont disparus, d’autres ont été rachetées puis les produits arrétés et rarement les produits continuent de vivre (survivre) comme Ascotel et Matra au sein de Aastra.

Et peut-être la cession de la division entreprise de Nortel à Avaya. Le marché du PABX est réparti et 3 catégories prinicipales : les moins de 10 postes (TPE), les moins de 100 postes (PME) et les plus de 100 postes. Il faut noter que c’est dans cette dernière catégorie, que les sociétés ayant plusieurs sites en réseau et les entreprises multisites trouveront la solution technique adaptée à leurs besoins. En effet, les PABX pour les 2 autres catégories ne proposent que des fonctionnalités trop basiques afin de répondre à leur besoins.

Un des fournisseurs vend à perte, l’autre a pour objectif de rentabiliser rapidement ses investissements dans sa nouvelle Ferrari ? Ou existe t’il une différence technique expliquant ces écarts tarifaires ?

Un lien SDSL est un service de transport de données destiné à raccorder un site d’extrémité (client) à un PoP (Point of Presence) opérateur.

Un lien SDSL est définir par deux composantes (principales) : l’accès et le VC de collecte.Un accès permet de raccorder ledit site à un DSLAM de l’opérateur de boucle locale au moyen des technologies ADSL/SDSL et ATM. Il existe 4 types d’accès :

Historique#

Commençons par un retour vers le passé, un peu d’histoire qui va nous permettre de comprendre l’étendue des risques encourus par les entreprises. Avant l’arrivée de la voix sur IP (VoIP) et du dialogue entre le téléphone et l’informatique communément appelé CTI, les flux voix étaient transportés par des protocoles propriétaires. Le niveau de compétences nécessaires afin de réaliser une intrusion était élevé. Peu d’attaques étaient possibles :