"SIPtap" attaque des réseaux VoIP

Date : 02 Janvier 2008

Au mois de novembre 2007, un article sur la vulnérabilité VoIP ("Voice over IP") a été commenté par un grand nombre de sites de "nouvelles". La plupart de ces sources ont  adopté le ton alarmant de l'auteur initial de la nouvelle, en décrivant une vulnérabilité majeure qui mettrait en danger la téléphonie VoIP. Un nombre plus restreint de sources a au contraire fortement relativisé la dangerosité de la vulnérabilité et dénoncé l'emballement général sur ce sujet.

Nous présentons ici cette vulnérabilité et expliquons pourquoi nous pensons nous aussi que sa dangerosité a été largement exagérée.

La vulnérabilité

Initialement Peter Cox a annoncé qu'il avait développé un nouvel outil, baptisé "SIPtap", qui permet d'espionner les conversations VoIP qui utilisent le protocole "SIP" ("Session Initiation Protocol", un des protocoles VoIP les plus connus). Cet outil est un "proof of concept" (il n'est pas diffusé). Il a pour but de démontrer les dangers auxquels sont exposées les installations VoIP  … et aussi l'expertise de l'auteur dans ce domaine.

L'outil est agrémenté d'une interface web (visualisable sur le site siptap.voipcode.org) qui indique dans un calendrier les conversations VoIP qui ont été capturées chaque jour par l'outil. Il suffit alors de cliquer sur l'une de ces captures pour entendre la conversation VoIP qui a été enregistrée.

En commentaire, l'auteur sous-entend (c'est comme cela que la plupart des journalistes l'ont interprété) qu'il suffit que l'outil "SIPtap" ait été installé sur un des ordinateurs de l'entreprise (par exemple sur un poste de travail infecté par un virus) pour que toutes les conversations SIP de l'entreprise puissent être capturées.

Sa portée réelle
 
L'outil "SIPtap" semble tout à fait réalisable, et d'autres outils disponibles sur Internet proposent déjà cette fonctionnalité de capture VoIP (par exemple les outils "Cain & Abel" et "VoIPong"). En effet, si un outil peut intercepter sur le réseau des requêtes SIP, alors il lui est possible d'effectuer une capture de la conversation qui suivra cette phase d'initialisation.

Par contre, ce qui est beaucoup plus contestable c'est le fait qu'un outil tel que "SIPtap" puisse voir passer les requêtes SIP de toute une installation VoIP. Même s'il existe des attaques permettant de forcer le trafic d'un sous réseau à passer par un poste piraté (par exemple des attaques de type "ARP poisoning"), ces attaques nous paraissent difficilement applicables à un réseau VoIP global. En particulier une des règles de base dans la sécurisation des réseaux VoIP consiste à séparer de façon la plus étanche possible (par exemple dans des VLAN) les équipements DATA (les ordinateurs de l'entreprise) des équipements VoIP (les téléphones IP). Le cas d'une attaque "SIPtap" depuis un poste de travail compromis semble dans ce contexte très difficilement réalisable (il faut que le poste de travail s'introduise sur le réseau VoIP). Réaliser cette attaque sur l'ensemble des conversations VoIP de l'entreprise sous entend de plus que le réseau VoIP a été totalement compromis (toutes les conversations VoIP sont visibles par l'outil "SIPtap" déposé).

Enfin, un autre argument qui va à l'encontre de ce scénario catastrophe est qu'aujourd'hui le protocole SIP n'est en général pas utilisé par la VoIP déployée en interne dans une enterprise (des protocoles propriétaires sont généralement préférés par les constructeurs).

En conclusion, si la technologie VoIP (et plus généralement la migration vers le "tout IP") soulève de réelles questions de sécurité, le cas de la menace "SIPtap" nous parait avoir été largement exagéré par les média.

 Pour plus d'information

Précedent Précedent Suivant Suivant Imprimer Imprimer

© 2024 Cert-IST