Conferencia brindada en ElastixWorld 2014 - Santiago / Chile

1. Seguridad VoIP en
Open Source
Poniendo el punto sobre la Í
Juan Oliva
@jroliva

2. who I am @jroliva
Bio
 Pentester - Proyectos de Ethical Hacking
 Consultor de soluciones de VoIP, especialmente las enfocadas en seguridad
 Instructor de Elastix para los cursos Elastix Security Master y ECE
 Instructor LPI para curso LPIC-1
 Php y Python lover
 Linux user forever and ever
 Technical writer : Papper “Seguridad en Implementaciones de Voz Sobre IP”
 Twitter: @jroliva
 Blog: http://jroliva.wordpress.com/

3. Seguridad en nuestra
plataforma VoIP

4. Seguridad En Nuestra
Plataforma VoIP
 Asegurar VoIP es una tarea importante para proteger la
información de las personas que utilizan el servicio.
 Recordemos que el servicio SIP no es el único con el que
está involucrado una plataforma VoIP .. También
tenemos ... HTTP, HTTPS , SNMP, SSH , TFTP ,etc,etc.

5. Factores que aumentan la
Inseguridad (1)
 Poca experiencia en el manejo de la plataforma o la
tecnología.
 Mala administración del sistema.
 Centrarse solo en aspectos relativos a la configuración de la
plataforma VoIP.
 Estudio pobre en cuanto la solución a implementar.
 “Descuidos” a la hora de configurar.

6. Factores que aumentan la
Inseguridad (2)
 Poca o inexistente monitorización.
 No estar al día con las actualizaciones de seguridad.
 No conocer completamente por dentro el sistema.
 Entre otros…

7. Que dicen las estadísticas ?

8. Fuente: Communications Fraud Control Association (www.cfca.org)

9. Fuente: Communications Fraud Control Association (www.cfca.org)

10. Fuente: Communications Fraud Control Association (www.cfca.org)

11. VS
Actualidad y requerimientos
 Movilidad
 Billing
 QoS
 Aprovisionamiento automático
 Soporte para múltiples protocolos
 Integración entre la VoIP y la TDM
 Encriptar comunicaciones
 Seguridad anti fradude

12. Tipos de software en el
Mercado

13. •Tipos de software en el mercado
• - Propietarios o de marca

14. •Tipos de software en el mercado
• - Mixtos, que usan software libre en algún punto

15. •Tipos de software en el mercado
• - Basados en Opensource nativos

16. Arquitectura de
soluciones

17. Arquitectura de soluciones

18. Arquitectura de soluciones

19. Motivaciones para
causar fraude

20. •Motivaciones para causar fraude

21. Los ataques mas
comunes

22. •Tipos de ataques
• SIP BRUTE FORCE ATTACK, fuerza bruta contra el protocolo

23. •Tipos de ataques
MAN IN THE MIDDLE , captura y construcción de datos/voz

24. •Mi implementación es de marca !!
•Nunca van a llegar a mi IP

25. •Tipos de ataques
• SHODAN , Exposición de servicios innecesarios

26. •Tipos de ataques
• SHODAN , Exposición de servicios innecesarios

27. •Tipos de ataques
• SHODAN , Exposición de servicios innecesarios

28. •Tipos de ataques
• SHODAN , Exposición de servicios innecesarios

29. •Bueno, pero como soy de marca
• .... no soy vulnerable xD

30. Vulnerabilidades reportadas

31. Vulnerabilidades reportadas

32. •Análisis de vulnerabilidades
• ¿ Qué es eso ?

33. •Análisis de Vulnerabilidades

34. •Análisis de Vulnerabilidades

35. Pero usa Bash ?
osea software libre...
•Análisis de Vulnerabilidades

36. •Tipos de ataques
Vulnerabilidades reportadas

37. •Ahora, quien es mas vulnerable ?

38. Pero como protegemos
plataformas basadas en
Open Source ??

39. Conoces FAIL2BAN ??

40. Conoces IPTABLES ??

41. O te da flojera por que no es
llave en mano ?

42.  Gestión de contrafuegos (Iptables) basado en web
Que trae Elastix
En temas de seguridad

43.  Gestión de contraseñas débiles
Que trae Elastix
En temas de seguridad

44.  Auditoría Web
Que trae Elastix
En temas de seguridad

45. Y por si fuera poco !!

46. Un montón de Addons !!
http://addons.elastix.org/index.php?lang=es

47. Pero no quiero gestionar la
seguridad en la PBX

48. Elastix SIP FIREWALL

49. Elastix SIP FIREWALL
Fingerprinting de dispositivos SIP,
Enumeración de usuarios,
Intento de obtención de contraseñas o password crackging)
Ataques basados en Cross Site Scripting
Ataques basados en anomalías SIP
Vulnerabilidades de proveedores terceros
Servicio de actualización de lista negra dinámica para amenazas VoIP/PBX/Gateways
Soporte para el bloqueo basado en la ubicación geográfica
Provee la opción de aseguramiento contra vulnerabilidades de aplicaciones de PBX

50. No existe seguridad completa
Si no... pregúntale a ellas ...

52. Sin embargo...
Quien es mas inseguro ?
La plataforma
o la persona que lo
implementa

53. Gracias !!
Juan Oliva
Consultor en VoIP y Ethical Hacking
ECE®, ESM, dCAA®, C|EH™, C)PTE™, OSEH, BNS, LPIC-1™, Novell CLA®
•Correo : joliva@silcom.com.pe
•Hangout : jroliva@gmail.com
•Twiter : @jroliva
•Blog : http://jroliva.wordpress.com/