Hype ou realidade na segurança de VoIP
À semelhança de muitas novas tecnologias, a voz sobre IP sofre do problema da segurança ser pensada como afterthought. As manchetes sobre vulnerabilidades VoIP que podem levar a escutas telefónicas, uma nova forma de spam, e mesmo de ataques de negação de serviço que podem derrubar uma rede de comunicações em que as empresas confiam.
Lawrence Orans, analista da Gartner, refere que algumas destas ameaças are overblown e e que não são passíveis de acontecer no ambiente corporativo. Frank Dzubeck, presidente da Communications Network Architects, acredita que, tendo em conta a ausência de segurança no protocolo IP, qualquer coisa pode acontecer. O jornal Computerworld falou com ambos com o objectivo de separar o hype da realidade.

CW: Qual o risco das ameaças de segurança aos sistemas VoIP?
Lawrence Orans: Em primeiro lugar, gostaria de clarificar o termo voz sobre IP (VoIP). A voz sobre IP é um termo que serve de chapéu-de-chuva. É utilizado para todas as formas de voz em formato de pacote, seja telefonia Internet, como o Skype, ou serviços de telefonia disponibilizados pelos operadores de cabo. Vimos ainda ser utilizado o termo Voice over IP intercambiado com telefonia IP, que é muito mais focalizado nas organizações empresariais. E os problemas são reais.
VoIP é apenas outra aplicação a ser executada em cima da rede de comunicações e tem sido a mais segura, pelo que qualquer interrupção ou brecha de segurança é um problema. A ausência de ataques de alto perfil levou a que as pessoas sentissem uma sensação de falsa segurança. No entanto, as ameaças actuais são bem reais. Com a telefonia IP, passamos a ter um segundo computador na secretária; o telefone IP possui memória e possui um sistema operativo. É verdade que é um equipamento, mas continua a poder ser atacado. O servidor PBX também pode ser atacado. E os protocolos, muitos dos quais são relativamente novos ou proprietários e, em qualquer dos casos, não passaram pelo nível de escrutínio de vulnerabilidades que protocolos mais maduros. Globalmente, eu diria que as ameaças são reais e o factor chave é compreender a questão bastante bem por modo a separar as ameaças sobrevalorizadas das ameaças reais.
Frank Dzubeck: A questão está relacionada com o protocolo IP. Este protocolo nunca foi desenhado com a segurança em pensamento. Voz sobre IP é uma aplicação e uma aplicação no interior da organização vai difundir-se a sua utilização. A questão é que possui vulnerabilidades. Se não olhar para os aspectos de segurança da voz sobre IP acabará por enfrentar um tremendo desastre, porque os buracos vão existir.
Estou ligeiramente em desacordo com aquilo que foi dito anteriormente. A evolução para o espaço da Internet não é uma subtileza; é uma peça significativa do puzzle. Integrar voz sobre IP numa LAN e na Internet irá tornar-se uma realidade, e se não liquidar os aspectos de segurança, nunca o fará.

Relatórios de escutas e interferências nas chamadas telefónicas VoIP fazem boas manchetes, mas será que acontecem nas redes de comunicação corporativas?
Lawrence Orans: As escutas telefónicas são um dos exemplos de uma ameaça sobrevalorizada. Claro que tecnicamente é possível realizar um ataque “man-in-the-middle” e capturar pacotes, mas temos de discutir esta realidade no contexto da telefonia IP, a qual é um sistema baseado em LAN. A captura de pacotes numa LAN requer proximidade física – o modo mais fácil de o concretizar é estar no interior do edifício. No cenário típico, Joe Smith na sala de correio captura conversas do CEO. Mas Joe Smith pode fazer o mesmo com as mensagens de correio electrónico e a maior parte das organizações não estão preocupadas com as escutas de mensagens de correio electrónico, a maior parte das quais não são encriptadas. Então qual a razão para encriptar a voz?
Frank Dzubeck: Concordo que as escutas estão sobrevalorizadas, mas a percepção éa realidade. Acredito que a encriptação é o tipo de coisa que faz toda a gente sentir-se melhor, pelo que apesar da ameaça estar sobrevalorizada, o facto é que a encriptação está disponível. Deveríamos encriptar a voz no interior da LAN, e sou um crente de que deveríamos fazer exactamente o mesmo com os dados e com o vídeo a longo prazo.

E no que diz respeito ao spam na telefonia Internet, ou SPIT? É real esta ameaça?
Lawrence Orans: Este é um exemplo de uma ameaça sobrevalorizada. Tecnicamente, o SPIT é possível, mas a chave do problema é o modelo de negócio e não a tecnologia.
Todos nós recebemos spam e o modelo de transacção é diferente no spam doque é no SPIT. No spam, recebe uma mensagem de correio electrónico e clica na ligação e, repentinamente, está a entrar nessa transacção. Por outras palavras, o spam funciona. O SPIT é uma história completamente diferente. Se receber a mensagem na minha caixa de correio de voz, como é que completo a transacção? Tenho que copiar o endereço URL e aceder ao meu computador? Tenho que ligar para alguém? É um modelo de negócio totalmente diferente.
A outra questão é uma questão legal. Nos Estados Unidos possuímos listas Do Not Call [Não Ligar]. Existe uma inibição legal e de negócio e ambas funcionam contra o modelo SPIT. Acredito que é esta a razão para não haver muito SPIT.
Frank Dzubeck:: Concordo em absoluto com a questão legal – existem 137 milhões de pessoas registadas nas listagens Do Not Call; é um programa de sucesso. Mas vejo uma versão de spam voice over IP aparecer no futuro. Existe uma empresa wireless, designada O2, e sempre que entro num país em que a O2 está presente, mesmo que utilize um operador diferente, recebo uma mensagem de texto de boas vindas à O2. Eu não solicitei a ligação, mas recebo uma mensagem de boas vindas.
Utilizando a classificação A, B, C, etc., como classificaria os ambientes de segurança telefonia IP da generalidade das organizações?
Frank Dzubeck:: Não é uma questão da telefonia IP ou da voz sobre IP; é uma questão do protocolo IP, ninguém pode iludir-se de que o protocolo IP ou os layers abaixo são seguros. Isto é, eu daria uma classificação de B+. Poucos A, e muito poucos F; uma grande quantidade de empresas está no meio. Mas ainda não tiveram nenhuma experiência, não estão sob ataque.
Lawrence Orans: Eu atribuiria à maior parte das organizações um D. A maioria das pessoas não compreendem os riscos existentes que deriva do facto de que existe uma separação entre o profissional de segurança e o profissional de comunicações de voz. E não se entendem perfeitamente. Se adicionar todas estas questões, as pessoas são complacentes e estão em risco.

Qual a sua visão do que pode acontecer no espaço de três a cinco anos no que diz respeito a ameaças VoIP?
Frank Dzubeck:: Vai assistir ao aparecimento de questões sérias, seja a nível do servidor ou de um ataque de negação de serviço ao nível dos computadores pessoais, numa organização de grande dimensão nos próximos 24 meses.
Lawrence Orans: Concordo que é uma questão de tempo até assistirmos a ataques a estes sistemas. Já assistimos a vulnerabilidades nos PBX, nos equipamentos telefónicos, pelo que é apenas uma questão de tempo até serem exploradas estas vulnerabilidades.

Atribua aos fabricantes a tarefa da segurança
Nove perguntas que deverá colocar a alguém que tente vender segurança VoIP.
Quando se trata de implementar sistemas VoIP, definir a segurança como prioridade de topo pode poupar a organização a uma readaptação da protecção após a rede de comunicações ter sido desenvolvida, para não mencionar o esforço causado por uma brecha específica de VoIP.
Uma das maneiras de assegurar que a segurança é uma prioridade desde o início é escolher produtos para a infra-estrutura – nomeadamente IP PBX que incluam medidas de segurança ou que se integrem adequadamente com outras ofertas de segurança. O nível de segurança que está integrado em diferentes produtos para a infra-estrutura pode ser variável.
“Devido à natureza proprietária da VoIP, a segurança de um sistema Cisco VoIP é diferente de um sistema da Avaya que, por sua vez, é diferente da segurança dos produtos da Nortel Networks”, refere Lawrence Orans , analista da Gartner.
Em seguida listamos algumas das questões que as organizações empresariais devem colocar aos fabricantes de produtos para a infra-estrutura de VoIP para as auxiliar a compreender o nível de segurança disponibilizado pelos produtos:
1.) O fabricante comercializa equipamentos de segurança que se instalam em frente do servidor IP PBX para proteger o tráfego de voz? Em caso afirmativo, quais os protocolos com que funciona o equipamento? Em caso negativo, existe uma selecção de produtos de outros fabricantes que funcionam com o equipamento da infra-estrutura?
2.) A segurança do equipamento está configurada para funcionar com tráfego VoIP? Segundo Lawrence, a Nortel Networks é o único fabricante norte-americano de IP PBX que comercializa um firewall pré-configurado para funcionar com tráfego VoIP.
“Tal evidencia a ausência de maturidade do mercado: apenas um fabricante adoptou os passos para que tal acontecesse”, refere. Na medida em que as competências VoIP ainda são uma especialidade emergente, é preferível que sejam os fabricantes a pré-configurarem estes produtos para funcionarem em conjunto do que contratar um consultor externo para o fazer.
3.) Estes produtos também disponibilizam outras funcionalidades, como encriptação e autenticação do tráfego de voz? Tais funcionalidades são particularmente importantes se uma organização está a planear executar tráfego VoIP através da Internet. Os clientes devem determinar a complexidade da configuração destas funcionalidades.
4.) As aplicações VoIP disponibilizam segurança adequada, como administraçãoi multinivel em que o acesso às funcionalidades de gestão não está autorizado aos administradores quando tal não for necessário? Por exemplo, uma aplicação deverá ter condições de permitir a um administrador gerir os direitos dos utilizadores e a outro administrador gerir os planos de chamadas sem ter que expor todos os direitos a todos os gestores.
5.) As empresas deverão perguntar se os produtos de segurança funcionam com Session Initiation Protocol da IETF, a norma que a generalidade dos especialistas acredita que será adoptada, assim como o protocolo proprietário do fabricante do IP PBX.
À medida que as instalações VoIP se multiplicam nos ambientes corporativos, também os produtos que tornam seguras as comunicações.

Hitting on the VoIP security vendors
Apesar de muitos fabricantes de produtos para a infra-estrutura VoIP comercializarem também produtos de segurança dedicados, existem ofertas de outros fabricantes desenvolvidos especificamente para equipamento que procuram adicionar o mesmo tipo de protecção ao tráfego de voz que os tradicionais firewalls, sistemas de protecção de intrusões e outras ofertas de segurança disponibilizam no mundo de dados. Disponibilizados por startups financiadas com capital de risco, tais como Sipera Networks e Covergence, este mercado de produtos de segurança VoIP disponibilizam funcionalidades que vão desde o firewall até à prevenção de intrusões, encriptação ou autenticação – todos desenhados para fortalecer a segurança VoIP para um nível que permita a aceitação corporativa.
Com o objectivo de assegurar que qualquer organização obtém a maior protecção possível dos produtos de segurança VoIP, as seguintes questões devem ser colocadas a qualquer potencial fabricante:
1.)  Quais os tipos de ameaças que o produto protege? Idealmente uma organização quer proteger-se das ameaças conhecidas no mundo dos dados – incluindo spam, phishing, vírus, intrusões, roubo de informação – assim como ameaças específicas às comunicações de voz, como escutas telefónicas. Se múltiplos produtos forem necessários para alcançar esta cobertura, averigúe o modo como funcionam em conjunto.
2.) Quais os protocolos de voz que o produto suporta? Ouça cuidadosamente a resposta a esta questão porque o suporte de protocolos pode ser um aspecto confuso no mundo da voz.
“Existem muitas versões do protocolo SIP [Session Initiation Protocol], pelo que se duas empresas afirmam que suportam este protocolo, podem não funcionar em conjunto,” avisa Mark Slaga, Chief Technology Officer da Dimension Data, uma empresa de serviços de TI que instalou sistemas corporativos VoIP e disponibiliza teste de segurança aos sistemas existentes.
3.) Quais as funcionalidades avançadas que de segurança que o produto disponibiliza? A encriptação tem vindo a emergir como uma funcionalidade indispensável nas comunicações VoIP, particularmente quando o tráfego é enviado através da Internet. Outras funcionalidades avançadas de segurança incluem autenticação, filtros de vírus e spam e definição de politicas de segurança a nível de utilizadores, grupos, equipamento ou outra característica.
4.) Qual a dificuldade de implementação das funcionalidades de segurança avançadas? Se estas funcionalidades, em particular encriptação e controle de politicas granular, requerem que o cliente contacte especialistas em segurança VoIP para configurar, it’s best to find that out up front.

Sistemas VoIP requerem atenção às melhores práticas de segurança
As novas maneiras de penetrar nos sistemas VoIP não são fatais se estiver preparado para elas.
Novas ameaças contra os sistemas VoIP continuam a emergir mas os especialistas referem que estas demonstrações revelam a necessidade de segurança vigilante e que não são deficiências da tecnologia.
Na Black Hat investigadores anunciaram ferramentas de penetração contra os protocolos de sinal VoIP H.323 e AIX, assim como ferramentas para inserir áudio em chamadas VoIP. Na Defcon, uma ferramenta que automaticamente sonda o Session Initiation Protocol para descobrir vulnerabilidades foi anunciada para permitir the covert piggy-backing of data over VoIP streams.
O problema não reside na tecnologia VoIP mas na sua implementação, afirma Barrie Dempster, consultor de segurança da Next Generation Security Software. “Se aplicar a lógica de segurança de redes tradicional à VoIP pode torná-la tão segura como qualquer outro protocolo”, refere.
Notoriedade VoIP
Grand parte da notoriedade das vulnerabilidades VoIP derivam do facto da tecnologia ser relativamente nova e o código não ter sido escrito com a segurança no pensamento – um problema comum a muitas novas tecnologias.
Barrie Dempster cita modos de explorar a aplicação Asterisk, o PBX open source, incluindo sobrecarga da memória intermédia. O consultor refere que esta e outras fraquezas podem ser controladas removendo o código das funcionalidades que não são utilizadas e através da realização de auditorias de segurança às funcionalidades que são utilizadas. “O problema não é as vulnerabilidades. É a maturidade do software. Ainda não existem revisões de segurança”, refere.
O problema está bem reconhecido, e as ameaças conhecidas são publicitadas para auxiliar a desenvolver defesas contra elas. Por exemplo, a VoIP Security Alliance publica um conjunto de ferramentas de penetração no seu site que promove como ferramentas de segurança para testar que os sistemas VoIP gear podem suportar ataques reais.
A segurança VoIP não é intransponível, refere Peter Thermos, CTO da Palindrome Technologies. Revelou vulnerabilidades no Media Gateway Control Protocol (MGCP) que possibilita o redireccionamento das chamadas. Demonstrou ainda a vulnerabilidade da ZRTP, uma norma pendente, um protocolo de encriptação VoIP que não encripta os sons das tonalidades provocadas pelo digitar das teclas do telefone. Esta vulnerabilidade permite que os números de cartões de crédito digitados em linhas VoIP possam ser capturados.
O problema no MGCP irá requerer uma alteração no protocolo mas, entretanto, os utilizadores podem bloquear o acesso às portas utilizadas pelo MGCP uses, refere Peter Thermos. O problema ZRTP envolve a implementação do protocolo e foi resolved através de um patch.
O melhor caminho para as empresas implementarem VoIP é definirem requisitos individuais de segurança com antecedência. Uma instituição financeira ou um organismo governamental podem necessitar de confidencialidade e em consequência mais encriptação que outras empresas, refere
“O erro mais comum que vejo é que os clientes não definem os seus requisitos de segurança para a sua rede de comunicações, e concretizam mais tarde que necessitam de segurança e encaram-na como um custo adicional”. Colocar as ferramentas de segurança em funcionamento desde o início permite ainda a defesa contra ameaças ainda não descobertas.

VoIP mais segura do que telefones tradicionais
Apesar das genuínas possibilidades de ataque, alguns especialistas referem que a tecnologia VoIP é mais segura que a rede de telefones pública.
“Os sistemas VoIP são mais seguros que os sistemas telefónicos tradicionais”, refere Ari Takanen, fundador e CTO da Codenomicon, empresa de desenvolvimento de ferramentas de teste de segurança. Numa palestra na VON Europe, reconheceu as vulnerabilidades VoIP, mas referiu ainda que não eram insuperáveis. “Os sistemas IP estão mais expostos, mas existe mais segurança do que aquela que pode instalar”, refere.
Cullen Jennings, engenheiro do grupo VoIP da Cisco Systems, refere que o ID das redes públicas é facilmente alvo de entradas ilícitas e a fraude através dos tradicionais PBX é ainda comum. Cullen Jennings refere que a confiança das redes públicas de telefone – a disponibilidade do sinal telefónico – é uma medida da qualidade de serviço. Mas tal não significa que as redes públicas sejam invulneráveis ou melhores que os sistemas VoIP. “Não estou a afirmar que as redes públicas não cumprem objectivos de segurança”. “Se a rede central for abaixo não é importante se a ameaça foi ao ID da chamada” afirma.
Grandes ameaças
As ameaças principais aos sistemas VoIP listadas pelo painel VON eram:
* Problemas para os quais os fabricantes ainda não disponibilizaram correcção.
* A segurança não ser actividade porque é demasiado complexa.
* Vulnerabilidades específicas dos fabricantes que não são endereçadas pelas boas práticas.
As empresas não irão virar as costas à tecnologia VoIP porque estão preocupadas com a segurança, refere Akif Arsoy, da Verisign. Irão adoptar para integrarem voz e dados numa rede convergente. “Os utilizadores finais tomam decisões sobre aquilo que podem fazer com VoIP e que não estão a fazer actualmente com os sistemas tradicionais de voz, salienta Akif Arsoy.
Apesar de tudo, é expectável o aparecimento de mais ameaças a curto prazo, refere Peter Thermos, que afirma que já identificou mais fraquezas no protocolo de sinal e vulnerabilidades de implementação. “Estamos a começar a analisar o início de ameaças que irão emergir nos próximos tempos”, refere.

Segurança VoIP no topo da lista de prioridades
Apesar dos produtos continuarem a evoluir, as boas práticas de segurança estão a ser tentadas e são verdadeiras.
A segurança das redes VoIP há muito tempo que ocuparam o assento traseiro nas prioridades de TI corporativas porque apesar das ameaças a estes sistemas serem conhecidas, ainda não houve nenhuma ameaça de alto perfil para demonstrar a necessidade de segurança VoIP.
Mas os tempos estão a mudar.
No Verão de 2006, dois homens foram apanhados a reencaminhar chamadas ilegalmente através da rede VoIP do fornecedor de serviços Net2Phone. No ano passado, l primeiro ataque de phishing VoIP foi lançado e direccionava os receptores de correio electrónico para ligarem um número 800 que os ligava a um sistema VoIP que enganava o banco e roubava a sua informação pessoal.
Apesar destes exemplos representarem um prejuízo menos quando comparados com worms, vírus e outros ataques causados no correio electrónico, Web e mensagens instantâneas, ilustram o ponto de que a segurança VoIP necessita de ser levada a sério.
“A maioria das organizações são demasiado complacentes e não colocam um foco adequado na protecção dos seus sistemas VoIP”, refere Lawrence Orans, analista da Gartner.
As maiores ameaças à VoIP não são muito diferentes das que atormentam o mundo dos dados: ataques de negação de serviço (DoS), vírus, spam, e fraude.   Mas existem algumas ameaças que são únicas, como seja o caso das escutas telefónicas.
A segurança do tráfego VoIP não é diferente da protecção do tráfego de dados, com a excepção de que, neste momento, existem poucas empresas e produtos focalizados na componente de voz. Firewalls, sistemas de prevenção de intrusão e outros elementos de segurança que se tornaram comuns nas redes de dados ainda estão a emergir no ambiente VoIP, apesar da rápida adopção destas tecnologias. A IDC refere que as despesas com VoIP ultrapassaram 2,9 mil milhões de dólares no ano passado e é expectável que ascendam a 6,9 mil milhões de dólares em 2011.
“Os produtos de segurança necessitam de entender os protocolos de voz”, afirma Mark Bornstein, gestor de segurança da Cisco. “Temos que disponibilizar as mesmas normas de segurança para todos os tipos de tráfego”.
Apesar das organizações não poderem confiar na maior parte dos produtos de segurança centrados em dados para proteger o tráfego de voz, ofertas de segurança especificamente desenhadas para sistemas VoIP estão a emergir.

Um mercado em crescimento
A Adaptive Security Appliance da Cisco Systems, por exemplo, disponibiliza funcionalidades de firewall, prevenção da intrusão e filtro de conteúdos para o tráfego que utiliza protocolos de voz, incluindo Session Initiation Protocol (SIP) e Skinny Client Control Protocol (SCCP), o protocolo proprietário da Cisco Systems. Outros fabricantes de IP PBX, incluindo a Nortel, a Avaya, a 3Com, e outros, comercializam equipamentos de segurança que são instalados em frente do equipamento de voz para proteger o tráfego.
Adicionalmente, existe um mercado crescente para outros produtos VoIP. Empresas como a Sipera, a Ingate, a SecureLogix, a Borderware, a CheckPoint, produzem firewalls SIP, apesar do analista da Gartner referir que maioria das empresas ainda não está a utilizar o protocolo SIP, dependendo de protocolos proprietários que os fabricantes dos equipamentos IP PBX disponibilizam e dos seus equipamentos de segurança.
Outro mercado que começa a formar-se em redor da segurança VoIP são os controladores de limite de sessões, que permitem que dois fornecedores de VoIP diferentes liguem as suas redes e adicionem medidas de segurança como autenticação e encriptação ao tráfego de voz. Estes produtos de empresas como a Covergence, a NexTone, a Acme Packet, a Ditech Communications e outros são particularmente úteis quando as empresas pretendem implementar VoIP no exterior de um único domínio.
Alguma prevenção
Adicionalmente a implementar produtos de segurança específicos para VoIP, as organizações empresariais podem proteger os seus sistemas de telefonia IP assegurando-se que estes sistemas, assim como as redes de dados, os sistemas operativos e as aplicações, seguem as melhores práticas de segurança.
“Tem que aplicar a mesma estratégia às redes VoIP que aplicam às redes de dados” afirma David Endler, presidente da VoIP Security Alliance e director de investigação em segurança da TippingPoint.  “But you can’t have blinders on to just the VoIP system, tem que olhar para a totalidade do ambiente”.
Passos básicos como alterar as palavras-chave em todo o software – incluindo produtos que não parecem estar relacionados com a rede VoIP mas que a podem afectar, como ferramentas de gestão de outros fabricantes – assim como aplicar os patches de segurança pode auxiliar as empresas a proteger-se das ameaças VoIP, refere David Endler.
Por outro lado, arquitectar as redes de maneira a que o tráfego de voz seja separado da rede de dados através de um firewall pode prevenir que um intruso ou malware possa penetrar na LAN virtual.
Implementar politicas de qualidade de serviço (QOS) que estabeleçam prioridades em certo tipo de tráfego é essencial para as redes VoIP, refere o presidente da VoIP Security Alliance. No caso de um ataque DoS ou outro evento que afecte o desempenho da rede, o tráfego VoIP será mais sensível à degradação que poderá tornar a rede de voz inutilizável.
Na medida em que a segurança VoIP ainda é um conceito relativamente novo e ainda pouco compreendido pelos departamentos de TI, muitos estão a recorrer a análises de segurança VoIP realizadas por fabricantes para auxiliá-los a identificar fraquezas e reforçar os sistemas.
Apesar destas análise poderem custar milhares de dólares, este custo é reduzido quando comparado com ser vitima de uma ameaça de alto perfil VoIP.

Pode acompanhar os comentários a este artigo via RSS 2.0.

Notícias Relacionadas