Projet sous le thème 

:
Voix sur IP (interconnexion réseaux basés
sur IP)/téléphonie sur IP
Réalisé par :
- Habibi Zakariyae
Jamai Fadoua
El-bejyry Ghayta
Encadré par : Dr Tomader MAZRI
Master :
Systèmes de télécommunication.
Voix sur IP

Table de matières
Introduction générale.................................................................................................................6
CHAPITRE 1 : ETUDE GENERALE DE LA VOIX SUR IP...................................................................7
1 Introduction.........................................................................................................................8
2 Présentation de la VoIP.......................................................................................................8
2.1 Définitions....................................................................................................................8
2.1.1 La voix sur IP (VoIP)...............................................................................................8
2.1.2 Internet protocole (IP)..........................................................................................8
2.1.3 PABX......................................................................................................................9
2.2 Pourquoi la VOIP ?......................................................................................................10
2.3 Principe de fonctionnement......................................................................................10
2.4 Principaux codecs utilisées et Qualité de la voix.......................................................11
2.5 Architecture de la VoIP..............................................................................................12
2.6 Avantages et inconvénients.......................................................................................13
3 Les protocoles utilisées pour la VoIP.................................................................................14
3.1 Les protocoles de signalisation..................................................................................14
3.1.1 Le protocole H.323..............................................................................................15
3.1.2 Le protocole SIP..................................................................................................16
3.1.3 Comparaison entre le H.323 et le SIP.................................................................20
3.2 Les protocoles de transport.......................................................................................21
3.2.1 Le protocole RTP.................................................................................................21
3.2.2 Le protocole RTCP...............................................................................................22
4 Conclusion.........................................................................................................................23
CHAPITRE 2 : SECURISASTION DE LA VOIP..........................................................................24
1 Introduction.......................................................................................................................25
2 Les points faibles de l’infrastructure de la VOIP...............................................................25
2.1 Faiblesses dans la configuration des dispositifs.........................................................25
2.2 Les téléphones IP........................................................................................................25
2.3 Les serveurs................................................................................................................26
2.4 Les points faibles du système d’exploitation.............................................................26
3 Les attaques sur la VOIP....................................................................................................26

Page 2
Voix sur IP
3.1 Sniffing........................................................................................................................26
3.2 Suivie des appels........................................................................................................27
3.3 Déni de service...........................................................................................................27
3.4 Injection de paquet RTP.............................................................................................30
3.5 L’écoute clandestine..................................................................................................30
4 Methodes de sécurité :......................................................................................................31
4.1 Sécurisation du système d’exploitation.....................................................................31
4.2 Sécurisation de l’application......................................................................................32
4.3 Sécurisation protocolaire...........................................................................................33
4.3.1 VoIP VPN.............................................................................................................33
4.3.2 Protocole TLS......................................................................................................34
4.3.2.1 Rôle..............................................................................................................35
4.3.2.2 Processus d'encapsulation..........................................................................35
4.3.2.3 Réception des paquets................................................................................36
4.3.3 Secure RTP (SRTP)...............................................................................................37
4.3.3.1 L’authentification.........................................................................................38
5 Conclusion.........................................................................................................................39
Conclusion générale..................................................................................................................40
Bibliographie et webographie...................................................................................................41

Page 3
Voix sur IP

Table des Figures

Figure 1 : Modèle OSI et modèle TCP/IP.....................................................................................9

Figure 2 : le fonctionnement d'un PABX.....................................................................................9
Figure 3 : le principe de fonctionnement de la VOIP................................................................10
Figure 4 : L'architecture de la VoIP...........................................................................................13
Figure 5 : La pile protocolaire H.323.........................................................................................15
Figure 6 : Zone H.323................................................................................................................16
Figure 7 : Architecture SIP........................................................................................................18
Figure 8 : Scénario d’une communication SIP..........................................................................19
Figure 9 : Sniffing de paquets...................................................................................................27
Figure 10 : DOS vs DDOS...........................................................................................................28
Figure 11 : TCP SYN flood..........................................................................................................29
Figure 12 : attaque SIP flooding................................................................................................30
Figure 13 : attaque injection de paquets RTP...........................................................................30
Figure 14 : Exemple de détournement d'appel " Man in the middle".....................................31
Figure 15 :Modèle de fonctionnement de SSL.........................................................................34
Figure 16 :Empilement des sous-couches protocolaires de SSL...............................................35
Figure 17 :Format d'un paquet SRTP........................................................................................38

Page 4
Voix sur IP

Table des Tableaux

Tableau 1 : principales motivations pour déployer la VOIP.....................................................10

Tableau 2 : Caractéristiques des principaux codeurs de parole...............................................12
Tableau 3 : Les requêtes SIP.....................................................................................................18
Tableau 4 : Les réponses SIP.....................................................................................................19
Tableau 5 : Comparaison entre H.323 et SIP............................................................................21
Tableau 6 :Algorithmes négociés par le protocole Handshake................................................36
Tableau 7 :Suites de chiffrement reconnues par SSL...............................................................36

Page 5
Voix sur IP

Introduction gé né rale
Depuis une dizaine d’années, la transmission de la voix sur le RTC (Réseau Téléphonique
Commuté) présentait une exclusivité dans les systèmes de télécommunications. Mais
aujourd’hui, il est devenu possible de transmettre la voix sur un réseau IP, VoIP (Voice over
IP) qui est une technologie de communication vocale en pleine apparition. Au lieu de
disposer d'un réseau informatique et d'un réseau RTC, une entreprise peut donc, grâce à la
VoIP, tout fusionner sur un même réseau, puisque la voix est convertie en data et ceci
entraîne, une diminution de la logistique nécessaire à la gestion des deux réseaux, une chute
considérable des frais de communication et l’implémentation d’une variété de services
offerts aux utilisateurs.

Les fournisseurs des produits télécoms offrent certaines solutions qui permettent aux
entreprises de migrer vers la VoIP. Il y a des constructeurs de PABX (Private Automatic
Branch eXchange), prenant l’exemple de Siemens, et d’Alcatel qui optent pour la solution de
l’intégration progressive de la VoIP en ajoutant des cartes extensions IP. Cette solution
facilite l’adoption de la téléphonie sur IP (Telephony over IP, ToIP) surtout dans les
entreprises de grandes échelles qui possède une plateforme classique et voulant
implémenter de la VoIP. Cisco et Asterisk proposent le développement des IP PBX (Internet
Protocol Private Branch eXchange) software. Cette solution permet de bénéficier d’une
grande extensibilité, d’une très bonne assimilation au monde des données et de voix, et
surtout d’un prix beaucoup plus intéressant. Cette approche est totalement implémentée
sur les réseaux IP, donc elle est affectée par les failles de sécurité relatives au monde IP.

La VoIP apporte des économies importantes pour les PME (Petites/Moyennes Entreprises)
principalement et surtout celles multi-sites. Mais comme chaque technologie, la VoIP a des
points faibles dont le plus important est la sécurité. Donc l’objectif principal de ce mini-
projet étant l’étude générale de cette technologie en prenant en considération la sécurité
des systèmes Voix sur IP.

Page 6
Voix sur IP

CHAPITRE 1 : ETUDE GENERALE DE LA

VOIX SUR IP

Page 7
Voix sur IP
1 Introduction
La voix sur IP constitue actuellement l’évolution la plus importante du domaine des
Télécommunications. Avant 1970, la transmission de la voix s’effectuait de façon analogique
sur des réseaux dédiés à la téléphonie. La technologie utilisée était la technologie
électromécanique (Crossbar). Dans les années 80, une première évolution majeure a été le
passage à la transmission numérique (TDM). La transmission de la voix sur les réseaux
informatiques à commutation de paquets IP constitue aujourd’hui une nouvelle évolution
majeure comparable aux précédentes.
L’objectif de ce chapitre est l’étude de cette technologie et de ses différents aspects. On
parlera en détail de l’architecture de la VoIP, ses éléments et son principe de
fonctionnement. On détaillera aussi des protocoles VoIP de signalisation et de transport ainsi
que leurs principes de fonctionnement et de leurs principaux avantages et inconvénients.

2 Présentation de la VoIP
2.1 Définitions
2.1.1 La voix sur IP (VoIP)
VoIP signifie Voice over Internet Protocol ou Voix sur IP. Comme son nom l'indique, la VoIP
permet de transmettre des sons (en particulier la voix) dans des paquets IP circulant sur
Internet. La VoIP peut utiliser du matériel d'accélération pour réaliser ce but et peut aussi
être utilisée en environnement de PC.

Cette technologie est complémentaire de la téléphonie sur IP (« ToIP » pour Telephony over
Internet Protocol). La ToIP concerne les fonctions réalisées par un commutateur
téléphonique PABX.

2.1.2 Internet protocole (IP)

Internet Protocol (abrégé en IP) introduit par Vint Cerf et Bob Kahn en 1974, est une famille
de protocoles de communication de réseaux informatiques conçus pour être utilisé sur
Internet. Les protocoles IP sont au niveau 3 dans le modèle OSI comme le montre la figure 1.
Les protocoles IP s'intègrent dans la suite des protocoles Internet et permettent un service
d'adressage unique pour l'ensemble des terminaux connectés.

Page 8
Voix sur IP

Figure 1 : Modèle OSI et modèle TCP/IP

2.1.3 PABX
PABX ou PBX sont l’acronyme de Private Automatic Branch EXchange, ce qui correspond à
un commutateur téléphonique privé utilisé dans les entreprises. Les utilisateurs d’un
système téléphonique basé sur un PABX partagent un nombre de lignes externes pour
effectuer des appels téléphoniques vers l’extérieur de l’entreprise.

Un PABX connecte les postes internes d’une entreprise mais il les connecte aussi au réseau
public téléphonique commuté (RTC), voir Figure 2. Une des dernières tendances dans le
développement de PABX est le PBX-VoIP, appelé également IPBX, qui utilise le protocole
Internet pour transmettre les appels.

Figure 2 : le fonctionnement d'un PABX

Page 9
Voix sur IP
IPBX ou IP PABX est un système téléphonique PBX logiciel qui accomplit certaines tâches et
offre des services qu’il peut être difficile et onéreux de mettre en œuvre en utilisant un PBX
traditionnel de marque propriétaire.

2.2 Pourquoi la VOIP ?

Dans cette partie, nous allons voir pourquoi la téléphonie IP est devenue importante pour
les entreprises. L'enjeu est de réussir à faire converger le réseau de donnée IP et le réseau
téléphonique actuel. Voici les principales motivations pour déployer la téléphonie sur IP
(Source Sage Research 2003, sondage auprès de 100 décisionnaires IT).

Motivations Pourcentage
Réduction de coûts 75%
Nécessité de standardiser l'équipement 66%
Hausse de la productivité des employés 65%
Autres bénéfices de productivité 64%
Hausse du volume d'appels à traiter 46%
Autres facteurs 50%
Tableau 1 : principales motivations pour déployer la VOIP

2.3 Principe de fonctionnement

Le principe est la numérisation de la voix, c'est-à-dire le passage d'un signal analogique à un
signal numérique, la voix (qui est un signal électrique analogique) est d'abord échantillonnée
numériquement par un convertisseur puis compressée selon une certaine norme de
compression variable selon les codecs utilisés, puis ensuite on peut éventuellement
supprimer les pauses de silences observées lors d'une conversation, pour être ensuite
habillée RTP, UDP et enfin en IP. Une fois que la voix est transformée en paquets IP, ces
paquets IP identifiés et numérotés peuvent transiter sur n'importe quel réseau IP (ADSL,
Ethernet, Satellite, routeurs, switchs, PC, Wifi, etc…). Les étapes sont comme suit :

Figure 3 : le principe de fonctionnement de la VOIP

Page
10
Voix sur IP
 Acquisition : La première étape consiste naturellement à capter la voix à l’aide
d’un micro, qu’il s’agisse de celui d’un téléphone ou d’un micro-casque.
 Numérisation : La voix passe alors dans un convertisseur analogique numérique
qui réalise deux tâches distinctes :
- Echantillonnage du signal sonore : un prélèvement périodique de ce signal
- Quantification : qui consiste à affecter une valeur numérique à chaque
échantillon. Plus les échantillons ne sont codés sur un nombre de bits
importants, meilleure sera la qualité.
 Compression : le signal numérique ainsi formé, est compressé selon l’un des
formats des codecs et le principal but de la compression est de minimiser
l’utilisation de la bande passante.
 Habillage des en-têtes : le signal numérisé et compressé va être après découpé,
en ajoutant des en-têtes, il faut prendre en compte l’ordre du réassemblage du
paquet, le type du trafic de synchronisation.
 Emission et transport : C’est l’acheminement jusqu’au destinataire dans des
paquets IP en utilisant les protocoles du routage.
 Réception : Lorsque les paquets arrivent à destination, il est essentiel de les
replacer dans le bon ordre et assez rapidement. Faute de quoi une dégradation
de la voix se fera sentir.
 Conversion numérique analogique : C’est l’étape inverse de la numérisation
 Restitution : Dans cette étape la voix peut être retranscrite par le haut-parleur
du casque, du combiné téléphonique ou de l’ordinateur.

2.4 Principaux codecs utilisées et Qualité de la

voix
Le mot codec est une abréviation pour Codeur/Décodeur. Un codec est basé sur un
algorithme qui permet la compression des données qu'on lui donne. Il s'agit d'un procédé
permettant de compresser et de décompresser un signal, de la vidéo ou de l'audio, souvent
en temps réel. Le codec permet une réduction de la taille du fichier original (économiser la
bande passante). Le codec compresse et numérise la voix de l'émetteur, ainsi les données
numériques sont encapsulées dans des paquets IP et acheminées vers le destinataire. A la
destination grâce au même codec décompresse et restitue le son. Il On distingue des codecs
sans pertes et des codecs à pertes.

 Codec à pertes : distingue les parties moins importantes des informations et les
supprime pour gagner en taille.
 Codec sans pertes : tout le signal est transformé en binaire et le décodage
restitue des données parfaitement identiques à celles données en entrée. Ce
type de codecs est utilisé quand la qualité de la restitution est importante.

Dans la téléphonie sur IP, les différents codecs retransmettent plus ou moins bien le signal
original. Pour mesurer la qualité de la voix restituée, on parle de score MOS (Mean Opinion
Score). C'est une note comprise entre 1 et 5 et attribuée par des auditeurs jugeant de la
qualité de ce qu'ils entendent. Pour la VoIP, plusieurs codecs peuvent servir. Voici leurs
détails :

Page
11
Voix sur IP

Tableau 2 : Caractéristiques des principaux codeurs de parole

G.711 : Ce codec est le premier à avoir été utilisé dans la VoIP. Même si il existe maintenant
des codecs nettement plus intéressants, celui-ci continue d'être implémenté dans les
équipements à des fins de compatibilité entre marques d'équipements différentes.

G.722 : A la différence du G.711, ce codec transforme le spectre jusqu'à 7kHz ce qui restitue
encore mieux la voix. Les débits que ce codec fournit sont 48,56 ou 64kbit/s. Une des
particularités est de pouvoir immédiatement changer de débit. Ceci est fortement
appréciable lorsque la qualité du support de transmission se dégrade.

G.722.1 : Dérivé du codec précédent, celui-ci propose des débits encore plus faibles (32 ou
24kbit/s). Il existe même des versions propriétaires de ce codec fournissant un débit de
16kbit/s.

G.723.1 : C'est le codec par défaut lors des communications à faible débit. On distingue deux
modes. Le premier, un débit de 6,4kbit/s et le deuxième un débit de 5,3kbit/s.

2.5 Architecture de la VoIP

La VoIP étant une nouvelle technologie de communication, elle n'a pas encore de standard
unique. En effet, chaque constructeur apporte ses normes et ses fonctionnalités à ses
solutions. Les deux principaux protocoles sont H.323 et SIP. Il existe donc plusieurs
approches pour offrir des services de téléphonie et de visiophonie sur des réseaux IP.
Certaines placent l'intelligence dans le réseau alors que d'autres préfèrent une approche
égale à égale avec l'intelligence répartie à la périphérie (terminal de téléphonie IP, passerelle
avec le réseau téléphonique commuté…). Chacune ayant ses avantages et ses inconvénients.
De façon générale la topologie d'un réseau de téléphonie IP comprend toujours des
terminaux, un serveur de communication et une passerelle vers les autres réseaux.

Page
12
Voix sur IP

Figure 4 : L'architecture de la VoIP

 Le routeur : Il permet d'aiguiller les données et le routage des paquets entre deux
réseaux. Certains routeurs permettent de simuler un Gatekeeper grâce à l'ajout
de cartes spécialisées supportant les protocoles VoIP.
 La passerelle (Gateway): Il s'agit d'une interface entre le réseau commuté et le
réseau IP. 
 Le Gatekeeper : il s’agit d’un serveur informatique localisée sur le LAN avec les
postes IP qui Réalise les fonctions H.323 ou SIP.
 Le PABX : C'est le commutateur du réseau téléphonique classique. Il permet de faire
le lien entre la passerelle ou le routeur et le réseau RTC. Toutefois, si tout le
réseau devient IP, ce matériel devient obsolète.
 Les Terminaux : Des PCs ou des téléphones VoIP (softphones ou hardphones).

2.6 Avantages et inconvénients

Différentes sont les raisons qui peuvent pousser les entreprises à s’orienter vers la VoIP
comme solution pour la téléphonie. Les avantages les plus marqués sont :

 Flexibilité : Les solutions de téléphonie sur IP sont conçues pour assumer une
stratégie de migration à faible risque à partir de l‘infrastructure existante. La
transition de la solution actuelle vers la téléphonie sur IP peut donc s'effectuer
en douceur. De plus, la communication par Internet offre la gratuité des
communications intersites ainsi qu‘une facilité d‘intégration des sièges distants.
Également, les standards ouverts (interopérabilité) permettent de changer de
prestataire et d‘interconnecter du matériel de fournisseurs différents. La
convergence facilite l‘intégration avec le système d‘information et simplifie
l‘infrastructure.

Page
13
Voix sur IP
 Réduction des coûts: Les services VoIP sont moins chers que les services
téléphoniques standards et dans de nombreux cas ils sont gratuits. Cela est
particulièrement utile pour les appels interurbains internationaux.
 Portabilité : VoIP peut être consulté partout où vous pouvez accéder à Internet.
Idéal pour les utilisateurs à mobilité élevée. Ce qui accorde de maximiser les
ressources et mieux les manier afin de réaliser des économies substantielles sur
l’administration et l’infrastructure.
 De nombreuses fonctionnalités : VoIP offre de nombreuses fonctionnalités qui
ne sont pas couramment retrouvées dans le téléphone traditionnel : appel à
plusieurs parties, appel en attente / transfert, identification de l'appelant et
blocage de l'ID de l'appelant, pour n'en nommer que quelques-uns. Egalement
aussi la gestion des trois réseaux (voix, données et vidéo) par l’unique transport
IP.

En effet, lorsqu‘on parle de téléphonie IP, quelques problèmes restent à régler. Les
principaux inconvénients de la téléphonie IP sont les suivants:

 Qualité de service : Le service VoIP est sensible à la gigue, aux retards, à l'écho et
à d'autres retards de qualité causés par de nombreux facteurs, du matériel, de la
connexion Internet à la destination de l'appel.
 La sécurité : Les téléphones VoIP sont sensibles aux attaques virales, comme tout
autre dispositif Internet, les vols d'identité, le spamming ou encore les attaques
phishing sont autant d'inconvénients qui peuvent également nuire à leur
fonctionnement.
 Dépendance de l’infrastructure : Les centres de relations IP peuvent être
particulièrement vulnérables en cas d’improductivité de l’infrastructure. Par
exemple, si la base de données n’est pas disponible, les centres ne peuvent tout
simplement pas recevoir d’appels.
 Dépendance énergétique : contrairement aux lignes téléphoniques
traditionnelles, le modem, le routeur, le PC et tout autre matériel VoIP
dépendent d'une alimentation électrique. Sans électricité, aucun des
susmentionnés ne pourrait travailler.

3 Les protocoles utilisées pour la VoIP

Les protocoles de la Voix sur IP sont divisés en deux parties, ils existent des protocoles pour
la signalisation et l’établissement de connexions entre les entités VoIP et des protocoles
pour le transport des flux multimédia.

3.1 Les protocoles de signalisation

Il existe plusieurs protocoles qui peuvent supporter la voix sur IP tel que le H.323, SIP et
SCCP (Skinny Client Control Protocol) qui est un protocole propriétaire CISCO. Mais les deux
protocoles les plus utilisées actuellement dans les solutions VoIP présentes sur le marché
sont le H.323 et le SIP.

Page
14
Voix sur IP

3.1.1 Le protocole H.323

La recommandation H.323 a été spécifiée par l’ITU-T en 1996 dans le cadre de fournir des
communications audio, vidéo et de données sur les réseaux IP. Il a été développé pour les
réseaux qui ne garantissent pas une qualité de service (QoS), tels qu’IP IPX sur Ethernet, Fast
Ethernet et Token Ring. Et il présente un ensemble de trois protocoles (H.225 RAS, H.225 Call
Signaling et H.245) que nous allons les voir en détail ci-dessous :

 H.225 RAS (Registration, Admission and Status) : utilisé entre les end-points
(terminaux) et le Gatekeeper. Il permet à ce dernier de contrôler les end-points
présents dans sa zone H.323.
 H.225 Call Signaling : c’est la signalisation qui permet l’établissement et la
libération des connexions entre les end-points H.323.
 H.245 : Dés que l’appelé décroche, le protocole H.245 établit des canaux
RTP/RTCP pour le transport et le contrôle des données multimédia.

Les protocoles temps réel utilisé avec H.323 pour le transport de flux de données sont RTP et
RTCP. RTP n’assure pas la réservation des ressources et ne se préoccupe pas de la QoS des
transferts tandis que RTCP fournit un minimum de contrôle, nous allons voir les
caractéristiques de ces deux protocoles dans les sections qui suivent. Le protocole RAS utilise
le protocole UDP alors que les protocoles Call Signaling et H.245 utilisent le protocole TCP.

La figure 5 présente la pile protocolaire H.323 :

Figure 5 : La pile protocolaire H.323

Une communication H.323 se déroule en cinq phases :

 l’établissement d'appel.
 l’échange de capacité et réservation éventuelle de la bande passante à travers
Le protocole RSVP (Ressource réservation Protocol).
 l’établissement de la communication audio-visuelle.
 l’invocation éventuelle de services en phase d'appel (par exemple, transfert
d’appel, changement de bande passante, etc…).
 la libération de l'appel.

L'infrastructure H.323 repose sur quatre composants principaux :

Page
15
Voix sur IP

Figure 6 : Zone H.323

 Terminal : qui permet d’établir des communications multimédia avec d’autres

terminales. Il peut être un PC ou un téléphone IP qui supporte au moins un codec
audio et un codec vidéo.
 Gateway : qui assure les communications entre des entités H.323 et d’autres
entités (RTC, RNIS, GSM, …).
 GateKeeper (GK) : est le « chef d’orchestre » du réseau H.323 car il présente le
point central pour tous les appels dans une zone H.323 et il contrôle les end-
points.
 Multipoint Control Unit (MCU) : est une station sur le réseau qui permet aux
trois entités H.323 ou plus de participer à une conférence multipoints. Le MCU a
deux fonctions, contrôleur multipoint (Multipoint Controller, MC) et processeur
multipoint (Multipoint Processor, MP) :
MC : met en œuvre le contrôle et la signalisation pour le support de la
conférence.
MP : reçoit les flux des terminaux, les traitent et les retourne aux terminaux
participants à la conférence.

3.1.2 Le protocole SIP

Le protocole SIP (Session Initiation Protocol) est un protocole normalisé et standardisé par
l'IETF (décrit par le RFC 3261 qui rend obsolète le RFC 2543, et complété par le RFC 3265). Le
protocole SIP est un protocole d’établissement de sessions multimédia, conçu pour
l’Internet. SIP est un protocole client/serveur, sa fonction principale est l’établissement de
session entre deux ou plusieurs utilisateurs ou plus généralement entre des systèmes
possédant des adresses de type URI (Uniform Resource Identifier).
SIP a des fonctions multiples :

 Fixation d’un compte SIP : un compte SIP identifiable par un nom unique et
associé à un serveur SIP d’adresse fixe, sera attribué à un utilisateur SIP pour qu’il
soit toujours joignable.

Page
16
Voix sur IP
 Changement des caractéristiques durant une session : un utilisateur SIP peut
modifier les caractéristiques d’une session active, par exemple il peut changer la
configuration de la session de « voice-only » en « voice-video ».
 Gestion des participants : dans une session déjà active, de nouveaux participants
peuvent joindre cette session directement, en étant transférés ou en étant mis
en attente.
 Adressage : Les utilisateurs disposant d’un numéro (compte) SIP disposent d’une
adresse ressemblant à une adresse mail (sip:numéro@serveursip.com). Le
numéro SIP est unique pour chaque utilisateur.
 Différents modes de communication : Avec SIP, les utilisateurs qui ouvrent une
session peuvent communiquer en mode point à point, en mode diffusif ou dans
un mode combinant ceux-ci.
- Mode Point à point : on parle dans ce cas là d’«unicast » qui correspond à la
communication entre deux machines.
- Mode diffusif : on parle dans ce cas là de « multicast » (plusieurs utilisateurs
via une unité de contrôle MCU – Multipoint Control Unit).
- Combinatoire : combine les deux modes précédents. Plusieurs utilisateurs
interconnectés en multicast via un réseau à maillage complet de connexion.
Pour fonctionner, SIP se base sur une architecture comportant des principaux acteurs Ci-
dessous une description détaillée des différents composants :

 Terminal Utilisateur : Le terminal est l’élément dont dispose l’utilisateur pour

appeler et être appelé. Il doit donc permettre de composer des numéros de
téléphone. Il peut se présenter sous la forme d’un composant logiciel (un
programme lancé à partir d’un ordinateur). Le terminal est appelé UA (User
Agent). Il est constitué de deux sous-entités à savoir la partie cliente, appelée
UAC (User Agent Client) qui est chargée d’émettre les requêtes et la partie
serveur, appelée UAS (User Agent Server), qui est en écoute, reçoit et traite les
requêtes. C’est l’UAS qui répond à un appel. L’association des requêtes et des
réponses entre deux entités de type UA constitue un dialogue.
 Serveur d’enregistrement (Registrar Server) : Lors de l’activation d’un terminal
dans un réseau, la première action initiée par celui-ci consiste à transmettre une
requête d’enregistrement auprès du serveur d’enregistrement afin de lui
indiquer sa présence dans le réseau. C’est la requête REGISTER, que l’utilisateur
envoie à destination du serveur d’enregistrement. Celui-ci sauvegarde cette
position en l’enregistrant auprès du serveur de localisation. L’enregistrement
d’un utilisateur est constitué par l’association de son identifiant.
 Proxy SIP : encore appelé serveur mandataire, le proxy est utilisé lorsque les
deux UA ne connaissent pas leurs emplacements. Il effectue des requêtes pour le
compte des UAC, il les route afin de les acheminer à une entité plus proche de
destination. Et pour ce faire il interroge la base de données (URI<->Adresse IP)
stockée dans le Registrar.
 Serveur de Redirection (Redirect Server) : Le serveur de redirection (Redirect
Server) agit comme un intermédiaire entre le terminal client et le serveur de
localisation. Il est sollicité par le terminal client pour contacter le serveur de
localisation afin de déterminer la position courante d’un utilisateur.

Page
17
Voix sur IP
 Serveur de localisation : Le serveur de localisation (Location Server) joue un rôle
complémentaire par rapport au serveur d’enregistrement en permettant la
localisation de l’abonné. Ce serveur contient la base de données de l’ensemble
des abonnés qu’il gère.

Figure 7 : Architecture SIP

Passons maintenant à étudié Les principaux types et formats du message SIP. Comme nous
avons déjà dit que SIP est basé sur un modèle d’architecture Client/Serveur, donc ces
messages sont divisés en deux parties, les requêtes et les réponses.
Le tableau 3 présente la liste des requêtes SIP.

Tableau 3 : Les requêtes SIP

Page
18
Voix sur IP
Suite au traitement de la requête reçue de la part d’un UAC, l’UAS envoie une réponse sous
forme d’un code d’état, indiquant à l’UAC la façon avec laquelle sa requête a été traitée. Ces
codes sont découpés en 6 catégories qui sont décrites dans le tableau 4.

Tableau 4 : Les réponses SIP

La figure ci-dessous décrit l’établissement d’une communication à travers le protocole SIP.

Figure 8 : Scénario d’une communication SIP

 Une requête INVITE de l'utilisateur au serveur.

 Le proxy envoie un TRYING 100 pour arrêter les diffusions et rediriger la
demande à l'utilisateur poste2.
 L'utilisateur poste2 envoie une sonnerie 180 lorsque le téléphone se met à
sonner, et il est également réacheminer par le mandataire à l'utilisateur.

Page
19
 Voix sur IP
 Enfin, le message 200 OK correspond à accepter le processus (la réponse
utilisateur B de conversation).La communication est établie.

3.1.3 Comparaison entre le H.323 et le SIP

Les deux protocoles SIP et H323 représentent les standards définis jusqu’à présent pour la
signalisation à propos de la téléphonie sur Internet .Ils présentent tous les deux des
approches différentes pour résoudre un même problème.

Une comparaison entre SIP et H.323 de quelques caractéristiques de chacun d’eux est
présentée dans le tableau 5 :

H.323 SIP

Philosophie La norme H.323, développé par l'IUTT,
est utilisée pour l’interactivité en
temps réel (échange audio, vidéo,
données, contrôle et signalisation).
C'est la norme la plus utilisée
concernant la VoIP. Elle hérite de la
norme H320 utilisée pour la voix sur
RNIS. Comme toute norme, elle est
constituée d'un ensemble de
protocoles réalisant les différentes
fonctions nécessaires à la
communication.
Contrairement à la norme H323, SIP
(Session Initiation Protocol) est un
protocole unique de type
requête/réponse très proches des
protocoles HTTP et SMTP. Il commence à
prendre le pas sur la norme H323. SIP est
normalisé par l'IETF (RFC 3261). Il permet
de créer et gérer des sessions entre
participants pour échanger des données
indépendamment de leur nature et du
protocole de transport.

Inspiration Téléphonie http

Nombres d'échanges 6 à 7 allers-retours 1 à 5 allers-retours

pour établir la
connexion

Complexité Elevée Faible

Adapté à Internet Non Oui

Protocoles de TCP TCP ou UDP

transport

Page
20
 Voix sur IP

Avantages - Maturité du protocole (Version 4) - Interopérabilité très bonne

- Beaucoup de constructeurs utilisent - Bonne gestion de la mobilité

Inconvénients - Manque d’interopérabilité entre les -mauvaise implémentation ou une

différentes implémentations implémentation incomplète du protocole
SIP dans les User Agents peut perturber le
fonctionnement ou générer du trafic
- La complexité de mise en œuvre et superflu sur le réseau
les problèmes d'architecture en ce qui
concerne la convergence des services -faible nombre d'utilisateurs
de téléphonie et d'Internet

Tableau 5 : Comparaison entre H.323 et SIP

3.2 Les protocoles de transport

Il y a de nombreux protocoles de couches inférieures à celle qui contient l'information voix
parmi lesquels TCP (Transmission Control Protocol), UDP (User Datagramme Protocol) et RTP
(Real Time Protocol), RTCP (Real Time Control Protocol).

3.2.1 Le protocole RTP

RTP (Real time Transport Protocol), standardisé en 1996, est un protocole qui a été
développé par l'IETF afin de faciliter le transport temps réel de bout en bout des flots
données audio et vidéo sur les réseaux IP. L’utilisation de RTP se fait généralement au-
dessus d’UDP ce qui permet d'atteindre plus facilement le temps réel. Les applications temps
réels comme la parole numérique ou la visioconférence. De plus RTP est un protocole qui se
trouve dans un environnement multipoint, donc on peut dire que RTP possède à sa charge,
la gestion du temps réel, mais aussi l'administration de la session multipoint. Le protocole
RTP a pour but d'organiser les paquets à l'entrée du réseau et de les contrôler à la sortie.

RTP est un protocole de bout en bout, volontairement incomplet et malléable pour s'adapter
aux besoins des applications. Il sera intégré dans le noyau de l'application, Il est aussi un
protocole adapté aux applications présentant des propriétés temps réel.
Il permet ainsi de

 Mettre en place une séquence des paquets par une numérotation et ce, afin de
permettre ainsi la détection des paquets perdus, si les paquets ne sont pas
perdus en trop grands nombres, cependant il est très important de savoir quel
est le paquet qui a été perdu afin de pouvoir pallier à cette perte.
 Identifier le contenu des données pour leurs associer un transport sécurisé et
Reconstituer la base de temps des flux (horodatage des paquets : possibilité de
Resynchronisation des flux par le récepteur).

Page
21
Voix sur IP
 L'identification de la source c'est à dire l'identification de l'expéditeur du paquet.
Dans un multicast l'identité de la source doit être connue et déterminée.
 Transporter les applications audio et vidéo dans des trames qui sont incluses
dans des paquets afin d'être transportées et doivent, de ce fait, être récupérées
facilement au moment de la phase de segmentation des paquets afin que
l'application soit décodée correctement.

Le protocole RTP permet de reconstituer la base de temps des différents flux multimédia
(audio, vidéo, etc.), de détecter les pertes de paquets, et d’identifier le contenu des paquets
pour leur transmission sécurisée.
Par contre, il ne permet pas de réserver des ressources dans le réseau ou d’apporter une
fiabilité dans le réseau. Ainsi il ne garanti pas le délai de livraison.

3.2.2 Le protocole RTCP

Le protocole RTCP (Real-time Transport Control Protocol) est fondé sur la transmission
périodique de paquets de contrôle à tous les participants d'une session. C'est le protocole
UDP (par exemple) qui permet le multiplexage des paquets de données RTP et des paquets
de contrôle RTCP. Le protocole RTP utilise le protocole RTCP, qui transporte les informations
supplémentaires suivantes pour la gestion de la session.
Les récepteurs utilisent RTCP pour renvoyer vers les émetteurs un rapport sur la QoS. Ces
rapports comprennent le nombre de paquets perdus, ces informations permettent à la
source de s'adapter, par exemple, de modifier le niveau de compression pour maintenir une
QoS.
Parmi les principales fonctions qu’offre le protocole RTCP sont les suivants :

 Une synchronisation supplémentaire entre les médias : Les applications

multimédias sont souvent transportées par des flots distincts. Par exemple, la
voix, l'image ou même des applications numérisées sur plusieurs niveaux
hiérarchiques peuvent voir les flots gérées et suivre des chemins différents.
 L'identification des participants à une session : en effet, les paquets RTCP
contiennent des informations d'adresses, comme l'adresse d'un message
électronique, un numéro de téléphone ou le nom d'un participant à une
conférence téléphonique.
 Le contrôle de la session : en effet le protocole RTCP permet aux participants
d'indiquer leur départ d'une conférence téléphonique.

Le protocole RTCP demande aux participants de la session d'envoyer périodiquement les

informations citées ci-dessus. La périodicité est calculée en fonction du nombre de
participants de l'application. On peut dire que les paquets RTP ne transportent que les
données des utilisateurs. Tandis que les paquets RTCP ne transportent en temps réel, que de
la supervision.
On peut détailler les paquets de supervision en 5 types:

 SR (Sender Report) : contient des statistiques de réception et d’émission pour les

participants qui sont des émetteurs actifs.
 RR (Receiver Report) : contient des statistiques de réception pour les
participants qui ne sont que des récepteurs d’une session.

Page
22
Voix sur IP
 SDES (Source Description) : décrit la source par son nom, e-mail, tél, etc.
 BYE : permet à une station d’indiquer la fin de sa participation à une session.
 APP : est un paquet de signalisation spécifique à une application.

Le protocole de RTCP est adapté pour la transmission de données temps réel. Il permet
d’effectuer un contrôle permanant sur une session et ces participants. Par contre il
fonctionne en stratégie bout à bout. Et il ne peut pas contrôler l'élément principal de la
communication « le réseau ».

4 Conclusion
En analysant après l’étude de ce chapitre que, la VoIP est la solution la plus avantageuse
pour effectuer des conversations. A présent il est évident que la VoIP va continuer à se
mouvoir. La téléphonie IP est une bonne solution en matière d’intégration, fiabilité et de
coût. Nous avons vu que la voix sur IP n’a pas encore de standard unique. Chaque standard
possède ses propres caractéristiques pour garantir une fiabilité du service. Effectivement, le
respect des empêchements temporels est le facteur le plus important lors du transport de la
voix.
Mais il faut poser la question suivante : le développement de cette technologie représente
t’il des risques pour les utilisateurs et les opérateurs téléphoniques ?

Page
23
Voix sur IP

CHAPITRE 2 : SECURISASTION DE LA

VOIP

Page
24
Voix sur IP
1 Introduction
La VoIP, actuellement en plein développement, pouvant faire sujet d’attaque des pirates
informatiques, au niveau spécifique des réseaux IP ou la VoIP proprement dite. Celle-ci
présente un nombre de vulnérabilités en termes de protocole, de logiciel, de système
d’exploitation, d’infrastructure physique et d’erreur humaine. Il convient d’étudier avec
précaution ses vulnérabilités dans le but d’établir une protection efficace contre les
attaques.

5 Les points faibles de l’infrastructure de la VOIP 

Une infrastructure VoIP est composée de téléphones IP, Gateway, serveurs (proxy, Register,
etc.) Chaque élément, que ce soit un système embarqué ou un serveur Standard tournant
sur un système d'exploitation, est accessible via le réseau comme N’importe quel ordinateur.
Chacun comporte un processeur qui exécute des logiciels qui peuvent être attaqués ou
Employés en tant que points de lancement d’une attaque plus profonde.

5.1 Faiblesses dans la configuration des dispositifs

Plusieurs dispositifs de la VoIP, dans leur configuration par défaut, peuvent avoir une
variété de ports TCP et UDP ouverts. Les services fonctionnant sur ces ports peuvent être
vulnérables aux attaques DoS ou buffer overflow. Plusieurs dispositifs de la VoIP exécutent
également un serveur WEB pour la gestion à distance qui peut être vulnérable aux attaques
buffer overflow et à la divulgation d’informations .Si les services accessibles ne sont pas
configurés avec un mot de passe, un attaquant peut acquérir un accès non autorisé à ce
dispositif.
Les services SNMP (Simple Network Management Protocol) offerts par ces dispositifs
peuvent être vulnérables aux attaques de reconnaissance ou attaques d’overflow. Plusieurs
dispositifs de la VoIP sont configurés pour télécharger périodiquement un Fichier de
configuration depuis un serveur par TFTP ou d'autres mécanismes. Un Attaquant peut
potentiellement détourner ou mystifier cette connexion et tromper le Dispositif qui va
télécharger un fichier de configuration malveillant à la place du véritable fichier.

5.2 Les téléphones IP

Un pirate peut compromettre un dispositif de téléphonie sur IP, par exemple un téléphone
IP, un softphone et autres programmes ou matériels clients. Généralement, il obtient les
privilèges qui lui permettent de commande complètement la fonctionnalité du dispositif.
Compromettre un point final (téléphone IP) peut être fait à distance ou par un accès
physique au dispositif. Le pirate pourrait modifier les aspects opérationnels d'un tel
dispositif.
La pile du système d'exploitation peut être changée. Ainsi la présence de l'attaquant ne sera
pas remarquée. Aussi un firmware modifié de manière malveillante peut être téléchargé et
installé. Les modifications faire à la configuration des logiciels de téléphonie IP peuvent
permettre:
 Aux appels entrants d'être réorientés vers un autre point final sans que
L’utilisateur soit au courant.
 Aux appels d’être surveillés.
 A l'information de la signalisation et/ou les paquets contenant de la voix d’être

Page
25
Voix sur IP
Routés vers un autre dispositif et également d’être enregistrés et/ou modifiés.

5.3 Les serveurs

Un pirate peut viser les serveurs qui fournissent le réseau de téléphonie sur
IP.Compromettre une telle entité mettra généralement en péril tout le réseau de téléphonie
dont le serveur fait partie.
Par exemple, si un serveur de signalisation est compromis, un attaquant peut contrôler
totalement l'information de signalisation pour différents appels. Ces informations sont
routées à travers le serveur compromis. Avoir le contrôle de l'information de signalisation
permet à un attaquant de changer n'importe quel paramètre relatif à l’appel.
Si un serveur de téléphonie IP est installé sur un système d'exploitation, il peut être une cible
pour les virus, les vers, ou n’importe quel code malveillant.

5.4 Les points faibles du système d’exploitation 

Ces vulnérabilités sont pour la plupart relatives au manque de sécurité lors de la phase
initiale de développement du système d'exploitation et ne sont découvertes qu’après le
lancement du produit.
Une des principales vulnérabilités des systèmes d'exploitation est le buffer overflow. Il
permet à un attaquant de prendre le contrôle partiel ou complet de la machine.
Les dispositifs de la VoIP tels que les téléphones IP, Call Managers, Gateway et les serveurs
proxy, héritent les mêmes vulnérabilités du système d'exploitation ou du firmware sur lequel
ils tournent.
Il existe une centaine de vulnérabilités exploitables à distance sur Windows et même sur
Linux. Un grand nombre de ces exploits sont disponibles librement et prêts à être
téléchargés sur l'Internet.
Peu importe comment, une application de la VoIP s'avère être sûre, celle-ci devient menacé
si le système d'exploitation sur lequel elle tourne est compromis.

6 Les attaques sur la VOIP 

6.1 Sniffing
Le Sniffing ou reniflement de trafics constitue l’une des méthodes couramment utilisées par
les pirates informatiques pour espionner le trafic sur le réseau. Dans la pratique, les hackers
ont généralement recours à ce procédé pour détecter tous les messages circulant sur le
réseau en récupérant des mots de passe et des données sensibles.

Page
26
Voix sur IP

Figure 9 : Sniffing de paquets

6.2 Suivie des appels 

Appelé aussi Call tracking, cette attaque se fait au niveau du réseau LAN/VPN et cible les
terminaux (soft/hard phone). Elle a pour but de connaître qui est entrain de communiquer et
quelle est la période de la communication.
Pour réaliser cette attaque, L’attaquant doit être capable d’écouter le réseau et récupérer les
messages INVITE et BYE.

6.3 Déni de service

C’est, d'une manière générale, l'attaque qui vise à rendre une application informatique ou
un équipement informatique incapable de répondre aux requêtes de ses utilisateurs et donc
hors d’usage.
Une machine serveur offrant des services à ses clients (par exemple un serveur web) doit
Traiter des requêtes provenant de plusieurs clients. Lorsque ces derniers ne peuvent en
bénéficier, pour des raisons délibérément provoquées par un tiers, il y a déni de service.
Dans une attaque de type DoS flood attack, les ressources d’un serveur ou d’un réseau Sont
épuisées par un flot de paquets. Un seul attaquant visant à envoyer un flot de paquets peut
être identifié et isolé assez facilement. Cependant l'approche de choix pour les attaquants a
évolué vers un déni de service distribué (DDoS). Une attaque DDoS repose sur une
distribution d'attaques DoS, simultanément menées par plusieurs systèmes contre un seul.
Cela réduit le temps nécessaire à l'attaque et amplifie ses effets. Dans ce type d'attaque les
pirates se dissimulent parfois grâce à des machines-rebonds (ou machines zombies), utilisées
à l'insu de leurs propriétaires. Un ensemble de machines-rebonds, est contrôlable par un
pirate après infection de chacune d'elles par un programme de type porte dérobée
(backdoor).

Page
27
Voix sur IP

Figure 10 : DOS vs DDOS

Une attaque de type DoS peut s’effectuer à plusieurs niveaux soit :

 Couche réseau : IP Flooding : Le but de l'IP Flooding est d'envoyer une multitude
de paquets IP vers une même destination de telle sorte que le traitement de ces
paquets empêche une entité du réseau (un routeur ou la station destinatrice) de
traiter les paquets IP légitimes. Si l'IP Flooding est combiné à l'IP Spoofing, il est
impossible, pour le destinataire, de connaître l'adresse source exacte des
paquets IP. De ce fait, à moins que le destinatair ne limite ses échanges avec
certaines stations, il lui est impossible de contrer ce type d'attaques.
 Couche transport :
 L’UDP Flooding Attacks : Le principe de cette attaque est qu’un
attaquant envoie un grand nombre de requêtes UDP vers une machine. Le
trafic UDP étant prioritaire sur le trafic TCP, ce type d'attaque peut vite
troubler et saturer le trafic transitant sur le réseau et donc de perturbe le plus
la bande passante. Presque touts les dispositifs utilisant le protocole SIP
fonctionnent au dessus du protocole UDP, ce qui en fait d’elles des cibles. De
nombreux dispositifs de VoIP et de systèmes d'exploitation peuvent être
paralysés grâce à des paquets UDP Flooding visant l’écoute du port SIP (5060)
ou d’autres ports.

 TCP SYN floods : est une attaque visant le protocole TCP et plus
exactement la phase d’établissement de connexion. Celle ci consiste en trois
sous étapes :
1. Le client envoie un paquet SYN au serveur.
2. Le serveur répond avec un paquet SYN-ACK.
3. Le client envoie un paquet ACK au serveur.
L’attaque consiste en l’envoie d’un grand nombre de paquets SYN. La victime
va alors répondre par un message SYN-ACK d’acquittement. Pour terminer la
connexion TCP, la victime ensuite va attendre pendant une période de temps
la réponse par le biais d’un paquet ACK. C'est là le coeur de l'attaque parce
que les ACK final ne sont jamais envoyés, et par la suite, la mémoire système
se remplit rapidement et consomme toutes les ressources disponibles à ces
demandes non valides. Le résultat final est que le serveur, le téléphone, ou le
routeur ne sera pas en mesure de faire la distinction entre les faux SYN et les
SYN légitimes d'une réelle connexion VoIP.

Page
28
Voix sur IP

Figure 11 : TCP SYN flood

 Couche applications : SIP Flooding : Dans le cas de SIP, une attaque DoS peut
être directement dirigée contre les utilisateurs finaux ou les dispositifs tels que
téléphones IP, routeurs et proxy SIP, ou contre les serveurs concernés par le
processus, en utilisant le mécanisme du protocole SIP oud’autres techniques
traditionnelles de DoS.

Voyons maintenant en détail les différentes formes d’attaque DoS :

 CANCEL : C’est un type de déni de service lancé contre l'utilisateur.
L’attaquant surveille l’activité du proxy SIP et attend qu’un appel arrive pour
un utilisateur spécifique. Une fois que le dispositif de l’utilisateur reçoit la
requête INVITE, l'attaquant envoie immédiatement une requête CANCEL.
Cette requête produit une erreur sur le dispositif de l’appelé et termine
l'appel. Ce type d'attaque est employé pour interrompre la communication.
 REGISTER : Le serveur d'enregistrement lui-même est une source
potentielle de déni de service pour les utilisateurs. En effet ce serveur peut
accepter des enregistrements de tous les dispositifs. Un nouvel
enregistrement avec une «*» dans l'entête remplacera tous les précédents
enregistrements pour ce dispositif. Les attaquants, de cette façon, peuvent
supprimer l’enregistrement de quelques-uns des utilisateurs, ou tous, dans un
domaine, empêchant ainsi ces utilisateurs d'être invités à de nouvelles
sessions.
Notez que cette fonction de suppression d’enregistrement d’un dispositif au
profit d’un autre est un comportement voulu en SIP afin de permettre le
transfert d’appel. Le dispositif de l’utilisateur doit pouvoir devenir le dispositif
principal quand il vient en ligne. C’est un mécanisme très pratique pour les
utilisateurs mais également pour les pirates.

Page
29
Voix sur IP

Figure 12 : attaque SIP flooding

6.4 Injection de paquet RTP 

Cette attaque pour but de perturber une communication en cours. L’attaquant devra tout
d’abord écouter un flux RTP de l’appelant vers l’appelé, analyser son contenu et générer un
paquet RTP contenant un en-tête similaire mais avec un plus grand numéro de séquence et
timestamp afin que ce paquet soit reproduit avant les autres paquets (s’ils sont vraiment
reproduits). Ainsi la communication sera perturbée et l’appel ne pourra pas se dérouler
correctement.
Pour réaliser cette attaque, l’attaquant doit être capable d’écouter le réseau afin de repérer
une communication et ainsi repérer les timestamps des paquets RTP. Il doit aussi être
capable d’insérer des messages RTP qu’il a généré ayant un timestamp modifié.

Figure 13 : attaque injection de paquets RTP

6.5 L’écoute clandestine 

L’eavesdropping est l'écoute clandestine d’une conversation téléphonique. Un attaquant
Avec un accès au réseau VoIP peut sniffer le trafic et décoder la conversation vocale. Des
outils tels que VOMIT (Voice Over Misconfigured Internet Telephones) permettent de

Page
30
Voix sur IP
réaliser cette attaque. VOMIT convertit les paquets sniffés en fichier .wav qui peut être
réécouté avec n’importe quel lecteur de fichiers son.

Figure 14 : Exemple de détournement d'appel " Man in the middle"

Le principe de l’écoute clandestine est montré dans la figure comme suit :

1. déterminer les adresses MAC des victimes (client serveur) par l’attaquant
2. Envoi d’une requête ARP non sollicités au client, pour l’informer du changement de
L’adresse MAC du serveur VoIP à l’adresse MAC.
3. Envoi d’une requête ARP non sollicités au serveur, pour l’informer du changement
de l'adresse MAC du client à l’adresse MAC.
4. Désactiver la vérification des adresses MAC sur la machine d’attaque afin que le
trafic puisse circuler entre les 2 victimes.

7 Methodes de sécurité :
7.1 Sécurisation du système d’exploitation
Il est très important de sécuriser le système sur lequel est implémenté le serveur de VoIP.
En effet, si le système est compromis, l’attaque peut se propager sur l’application serveur.
Celle-ci risque d’affecter les fichiers de configuration contenant des informations sur les
clients enregistrés. Il y a plusieurs mesures de sécurités à prendre pour protéger le système
d’exploitation :
 utiliser un système d’exploitation stable. Les nouvelles versions toujours contiennent
des bugs et des failles qui doivent être corrigés et maîtrisés avant.
 mettre à jour le système d’exploitation en installant les correctifs de sécurité
recommandé pour la sécurité.
 Ne pas mettre des mots de passe simple et robuste. Ils sont fondamentaux contre les
intrusions. Et ils ne doivent pas être des dates de naissances, des noms, ou des
numéros de téléphones. Un mot de passe doit être assez long et former d’une
combinaison de lettre, de chiffres et ponctuations.
 Ne pas exécuter le serveur VoIP avec un utilisateur privilège. Si un utilisateur
malveillant arrive à accéder au système via une exploitation de vulnérabilité sur le
serveur VoIP, il héritera tous les privilèges de cet utilisateur.

Page
31
Voix sur IP
 Asterisk in CHROOT : empêcher le serveur VoIP d’avoir une visibilité complète de
l’arborescence du disque, en l’exécutant dans un environnement sécurisé qui
l’empêche d’interagir librement avec le système.
 Sauvegarde des fichiers log à distance : les fichiers log sont très importants, il est
conseillé de les enregistrer sur un serveur distant.
 Installer seulement les composants nécessaires : pour limiter les menaces sur le
système d’exploitation. Il vaut mieux installer sur la machine le système
d’exploitation et le serveur.
 Supprimer tous programmes, logiciels ou des choses qui n’ont pas d’importance et
qui peuvent être une cible d’attaque pour accéder au système.
 Renforcer la sécurité du système d’exploitation en installant des patches qui
permettent de renforcer la sécurité générale du noyau.

On peut aussi utiliser les pare feu ou/et les ACL pour limiter l’accès à des personnes bien
déterminé et fermer les ports inutiles et ne laisser que les ports utilisés (5060, 5061, 4569,
…). Le pare feu (firewall) est un software ou hardware qui a pour fonction de sécuriser un
réseau ou un ordinateur contre les intrusions venant d’autres machines. Le pare feu utilise le
système de filtrage de paquet après analyse de l’entête des paquets IP qui s’échange entre
les machines.
On aura besoin d’ACL pour donner des droits à des personnes bien déterminés selon leurs
besoins et leurs autorités.
Pour un serveur VoIP, il est important d’implémenter les ACL pour sécuriser le serveur en
limitant l’accès à des personnes indésirables. Par exemple, seuls les agents enregistrés
peuvent envoyer des requêtes au serveur.
La liste de contrôle d’accès peut être installée en réseau sur les pare feu ou les routeurs,
mais aussi ils existent dans les systèmes d’exploitation.

7.2 Sécurisation de l’application

Plusieurs méthodes peuvent être appliquées pour sécuriser l'application, ces méthodes
varient selon le type d'application (serveur ou client). Pour sécuriser le serveur il faut :
 L’utilisation d’une version stable, Il est bien connu que toute application non stable
contient surement des erreurs et des vulnérabilités. Pour minimiser les risques, il est
impératif d'utiliser une version stable.
 Tester les mises à jour des softwares dans un laboratoire de test. Il est très important
de tester toute mise à jour de l'application dans un laboratoire de test avant de les
appliquer sur le système en production
 Ne pas tester les correctifs sur le serveur lui-même:
 Ne pas utiliser la configuration par défaut qui sert juste à établir des appels. Elle ne
contient aucune protection contre les attaques.
 Ne pas installer une application client dans le serveur.

Certains paramètres doivent être appliqués de manière sélective. Ces paramètres renforcent
la sécurité de l’application, on peut les activer ou les interdire sur la configuration générale
de l’application, comme on peut juste utiliser les paramètres nécessaires pour des clients
bien déterminé et selon le besoin bien sûr. Ces paramètres protègent généralement contre
le déni de service et ces différentes variantes.

Page
32
Voix sur IP
Il est conseiller d’utiliser les paramètres qui utilise le hachage des mots de passe, et cela
assure la confidentialité.

7.3 Sécurisation protocolaire

La prévalence et la facilité de sniffer des paquets et d'autres techniques pour la capture des
paquets IP sur un réseau pour la voix sur IP fait que le cryptage soit une nécessité. La
sécurisation de la VoIP est à la protection des personnes qui sont interconnecté.
IPsec peut être utilisé pour réaliser deux objectifs, garantir l'identité des deux points
terminaux et protéger la voix. VOIPsec (VoIP en utilisant IPsec) contribue à réduire les
menaces, les sniffeurs de paquets, et de nombreux types de trafic « vocal analyze ».
Combiné avec un pare-feu, IPsec fait que la VOIP soit plus sûr qu’une ligne téléphonique
classique. Il est important de noter, toutefois, que IPsec n'est pas toujours un bon moyen
pour certaines applications, et que certains protocoles doivent continuer à compter sur leurs
propres dispositifs de sécurité.

7.3.1 VoIP VPN

Un VPN VoIP combine la voix sur IP et la technologie des réseaux virtuels privés pour offrir
une méthode assurant la préservation de la prestation vocale. Puisque la VoIP transmet la
voix numérisée en un flux de données, la solution VPN VoIP semble celle la plus approprié vu
qu’elle offre le cryptage des données grâces a des mécanismes de cryptages, puisqu’elle
permet d’offrir l’intégrité des paquets VoIP.
Cryptage aux points terminaux : Vu que notre objectif est d’assurer la confidentialité et
l’intégrité des clients, la nécessité de concevoir des mécanismes d’authentifications et de
chiffrement pour IP. Puisqu’il sécurise le paquet comme un tout (contrairement en mode
transport qui ne sécurise que le Payload IP). Le mode tunnel (réseau privé virtuel sécurisé),
se base sur l’encapsulation de tout le paquet IP et ajoute un nouvel entête pour
l’acheminement de ce dernier, et l’authenticité des paquets reçus assurée par l’utilisation
d’IPSec (Internet Protocol Security) entre les machines concernées.
Ce mode est généralement utilisé pour les routeur-to-routeur (Figure 15). Ses avantages est
sa possibilité de l’utiliser uniquement sur des communications spécifiques (sans perturber
les autres communications), et puisque IPSec est au-dessous de la couche de transport (TCP,
UDP); il est donc transparent aux applications (possibilité d’accroître la sécurité sans
modifier les applications de plus haut niveau). Une fois mis en place, IPSec est transparent
aux utilisateurs.

Page
33
Voix sur IP

Figure 15 :Modèle de fonctionnement de SSL

Donc IPSec fournit :

 Un protocole d’authentification indiqué par l’en-tête d’authentification (AH
(Authentification Header)).
 Contrôle d’accès.
 Authentification de l’origine des données.
 Rejet de paquets rejoués.
 Un protocole combiné chiffrement authentification (ESP (Encapsulating Security
Payload)).
 Confidentialities (chiffrement).
 Confidentialités limitée au flot du trafic.
On a choisi le protocole ESP qui lui a son tour va assurer le cryptage des données et donc la
confidentialité contrairement au protocole AH qui lui ne permet que l’authentification des
paquets et non le cryptage.
Dans ce cas, la solution qu’on propose est ESP mode tunnel qui sera appliqué uniquement
sur les points de terminaison à la voix IP, c’est-a-dire le routeur. Ceci nous permettra donc de
minimiser le nombre de machines qui seront impliquées dans le traitement engendré par la
sécurité. De plus le nombre des clés nécessaires sera réduit.

7.3.2 Protocole TLS

C'est un protocole de sécurisation des échanges au niveau de la couche transport ( TLS :
Transport Layer Security). TLS, anciennement appelé Secure Sockets Layer (SSL), est un
protocole de sécurisation des échanges sur Internet. C'est un protocole modulaire dont le
but est de sécuriser les échanges des données entre le client et le serveur indépendamment
de tout type d'application. TLS agit comme une couche supplémentaire au-dessus de TCP.
Le protocole SSL et TLS est subdivisé en quatre sous protocoles (Figure 16) :
 Le protocole Hanshake : C’est un protocole qui permet au client et au serveur de
s'authentifier mutuellement, de négocier les algorithmes de chiffrement, de négocier
les algorithmes de MAC (Message Authentification Code) et enfin de négocier les clés
symétriques qui vont servir au chiffrement.

Page
34
Voix sur IP
 Le protocole Change Cipher Spec : Ce protocole contient un seul message,
change_cipher_spec. Il est envoyé par les deux parties au protocole de négociation.
Ce message transite chiffré par l'algorithme symétrique précédemment négocié.
 Le protocole Alert: Ce protocole spécifie les messages d'erreur que peuvent
s'envoyer clients et serveurs. Les messages sont composés de deux octets. Le
premier est soit warning soit fatal. Si le niveau est fatal, la connexion est
abandonnée. Les autres connexions sur la même session ne sont pas coupées mais
on ne peut pas en établir de nouvelles. Le deuxième octet donne le code d'erreur.
 Le protocole Record : Ce protocole chapeaute les autres protocoles de SSL et TLS, en
fournissant une interface unifiée pour la transmission des données.

Figure 16 :Empilement des sous-couches protocolaires de SSL

7.3.2.1 Rôle
 Encapsulation : Permet aux données SSL et TLS d'être transmises et reconnues sous
une forme homogène.
 Confidentialité : Assure que le contenu du message ne peut pas être lu par un tiers,
les données sont chiffrées en utilisant les clés produites lors de la négociation.
Intégrité et Identité : Permet de vérifier la validité des données transmises, grâce aux
signatures MAC, cette signature est elle aussi générée l'aide des clés produites lors de
la négociation.

Page
35
Voix sur IP
7.3.2.2 Processus d'encapsulation
Segmentation : Les données sont découpées en blocs de taille inférieure à 16 384 octets
Compression : Les données sont compressées en utilisant l'algorithme choisi lors de la
négociation. A partir de SSL 3.0, il n'y a plus de compression.
Chiffrement: Le paquet obtenu est chiffré à l'aide de l'algorithme de chiffrement. Le choix
peut se faire entre RC2, RC4, DES avec une clef de taille 40 bits ou de 64 bits, ou l'algorithme
de Fortezza. Ce dernier algorithme est un algorithme secret défense aux États Unis. Notons,
qu'il est possible de choisir des échanges en clair.
Algorithme de hachage utilisé, qui peut être soit le MD5, soit le SHA. Il est possible de ne
choisir aucun algorithme de hachage.
La négociation de cette suite de chiffrement se fait en clair pendant l'établissement de la
session.
Le tableau 6 donne l'ensemble des algorithmes supportés par SSL tandis que tableau 7
contient les suites de chiffrement reconnues.

Fonction Algorithme
Echanges de clefs RSA, Fortezza, Diffie-Hellman
Chiffrement symétrique à la volée RC4 avec clefs de 128 bits ou de 40 bits
Chiffrement symétrique en blocs DES, DES40, 3DES RC2, IDEA, Fortezza
Hachage MD5, SHA

Tableau 6 :Algorithmes négociés par le protocole Handshake

Echange de Chiffrement Hachage Signature

Clefs symétrique
Sans MD5 ou SHA
chiffrement MD5
RC4-40
RC4-128 MD5 ou SHA
RSA RC2 CBC 40 MD5
IDEA CBC SHA
DES40 CBC SHA
DES CBC SHA
3DES EDE SHA
CBC
Diffie-Hellman DES40 CBC SHA DSS ou RSA

DES CBC SHA DSS ou RSA

3DES, EDE SHA DSS ou RSA
CBC
Diffie-hellman DES40 CBC SHA DSS ou RSA
Ephémère DES CBC SHA DSS ou RSA
3DES EDE SHA DSS ou RSA
CBC

Page
36
Voix sur IP

Tableau 7 :Suites de chiffrement reconnues par SSL

7.3.2.3 Réception des paquets

A la réception des paquets, le destinataire effectue les opérations suivantes :
 Vérification de l'entête SSL.
 Déchirage du paquet.
 Vérification du champ HMAC (en appliquant la même fonction que ci-dessus aux
données déchiffrées puis en comparant le résultat au HMAC reçu).
 Décompression des données.
 Réassemblage des parties Si au cours de ces vérifications se passe mal, une alarme
est générée.

7.3.3 Secure RTP (SRTP)

SRTP est conçu pour sécuriser la multiplication à venir des échanges multimédias sur les
réseaux. Il couvre les lacunes de protocoles de sécurité existants comme IPsec (IP Security),
dont le mécanisme d'échanges de clés est trop lourd. Il aussi est bâti sur le protocole temps
réel RTP (Real Time Transport Protocol). Il associe aussi une demi-douzaine de protocoles
complémentaires. Il est donc compatible à la fois avec des protocoles d'initiation de session
de voix sur IP tel que SIP (Session Initiation Protocol), ainsi que le protocole de diffusion de
contenu multimédia en temps réel RTSP (Real Time Streaming Protocol). Mais, surtout, il
s'adjoint les services du protocole de gestion de clé MIKEY (Multimedia Internet KEYing).

- Service de sécurités offertes par SRTP

Les principaux services offerts par SRTP sont :
 Rendre confidentielles les données RTP, que ce soit l’en-tête et la charge utile ou
seulement la charge utile.
 Authentifier et vérifier l’intégrité des paquets RTP. L’émetteur calcule une empreinte
du message à envoyer, puis l’envoie avec le message lui même.
 La protection contre le rejeu des paquets. Chaque récepteur tient à jour une liste de
tous les indices des paquets reçus et bien authentifiés.

- Principe de fonctionnement de SRTP

Avec une gestion de clé appropriée, SRTP est sécurisé pour les applications unicast et
multicast de RTP. En théorie, SRTP est une extension du protocole RTP dans lequel a été
rajoutée des options de sécurité. En effet, il a pour but d’offrir plusieurs implémentations de
cryptographie tout en limitant l’overhead lié à l’utilisation des chiffrements. Il propose des
algorithmes qui monopoliseront au minimum les ressources et l’utilisation de la mémoire.
Surtout, il permet de rendre RTP indépendant des autres couches en ce qui concerne
l’application de mécanismes de sécurité.
Pour implémenter les différents services de sécurité précités, SRTP utilise les composants
principaux suivants :
 Une clé maîtresse utilisée pour générer des clés de session; Ces dernières seront
utilisées pour chiffrer ou pour authentifier les paquets.
 Une fonction utilisée pour calculer les clés de session à partir de la clé maîtresse.
SRTP utilise deux types de clés : clef de session et clef maîtresse. Par « clef de session » nous

Page
37
Voix sur IP
entendons une clef utilisée directement dans les transformations cryptographiques; et par
«clef maîtresse », nous entendons une chaîne de bit aléatoire à partir desquelles les clefs de
sessions sont dérivées par une voie sécurisé avec des mécanismes cryptographiques.
 Format du paquet SRTP
Un paquet SRTP est généré par transformation d’un paquet RTP grâce à des mécanismes de
sécurité .Donc le protocole SRTP effectue une certaine mise en forme des paquets RTP avant
qu’ils ne soient sur le réseau. La figure suivante présente le format d’un paquet SRTP.

Figure 17 :Format d'un paquet SRTP

On remarque que le paquet SRTP est réalisé en rajoutant deux champs au paquet RTP :
-SRTP MKI (SRTP Master Key identifier) : sert à re-identifier une clef maîtresse particulière
dans le contexte cryptographique. Le MKI peut être utilisé par le récepteur pour retrouver la
clef primaire correcte quand le besoin d’un renouvellement de clefs survient.
-Authentication tag : est un champ inséré lorsque le message a été authentifié. Il est
recommandé d’en faire usage. Il fournit l’authentification des en-têtes et données RTP et
indirectement fournit une protection contre le rejeu de paquets en authentifiant le numéro
de séquence.

7.3.3.1 L’authentification
Une des méthodes les plus importantes pour anticiper une attaque sur un système de
téléphonie est de déterminer clairement l’identité des périphériques ou des personnes
participant à la conversation.
Plusieurs solutions simples sont mises en oeuvre pour cela, il est recommandé d’utiliser des
mots de passe complexes lors de la configuration des clients SIP ; en effet, il faut savoir que
certains hackers développent des robots en charge de sonder les réseaux informatiques et
dés que l’un d’entre eux réponds au protocole SIP, un algorithme sophistiqué est engagé et
teste toutes les combinaisons possibles de mots de passe. Ainsi, il faut éviter :
• Les mots de passes trop courts
• Les suites numériques (123456) ou alphabétiques (abcd)
• Les suites logiques tels prénoms ou dates
• Un mot de passe unique pour toutes les extensions SIP
• Un mot de passe similaire pour le système linux, la base de données MySql et Asterisk
On ne saurait trop recommander un mot de passe complètement aléatoire de 8 caractères
au minimum, faisant intervenir une combinaison de caractères spéciaux, lettres majuscules,

Page
38
Voix sur IP
lettres minuscules, chiffres non suivis. A proscrire, l’utilisation de 1 et de l (L minuscule) ainsi
que de 0 (zéro) et O de Oscar.
La confidentialité des mots de passes est primordiale : lors de la configuration des
téléphones ou des softphones sur site, il est impératif d’être discret au moment de la saisie
des mots de passe, et bien entendu de ne pas les communiquer aux utilisateurs.

8 Conclusion
Dans ce chapitre ,nous avons présentes les vulnérabilités les plus importants et comment
doit on procéder pour y faire faces ,tout en préconisant un certain nombres de mesures de
sécurités devant être prises en compte dans le but de garantir la qualité de service du réseau
ainsi que sa sécurité.

Page
39
Voix sur IP

Conclusion gé né rale
Les avantages apportés par les services de téléphonie IP en termes de coûts, de facilité
d’utilisation, d’extension et de maintenance, séduisent de plus en plus d’utilisateurs, aussi
bien d’entreprises que particuliers. Alors l’objectif de ce projet est de faire des études sur
voix sur IP et des études de la sécurité de cette technologie.
Dans une première étape, nous nous sommes intéressés à l’étude de cette technologie avec
ses différents protocoles et standards. Et dans une deuxième étape, nous avons étudié les
problèmes de sécurité de la voix sur IP, les attaques, les vulnérabilités sur différents niveaux
et les bonnes pratiques possibles pour les attaques cités.
On a constaté que la sécurisation totale de notre solution est quasi-impossible. La sécurité
de la Voix sur IP est un sujet critique qui pose des problèmes difficiles à résoudre. Avec
l’intégration de la téléphonie dans les systèmes d’information et dans Le monde des réseaux
IP, la sécurisation de cette application devient particulièrement complexe. Les besoins
concernent l’authentification, la confidentialité, l’intégrité, la protection contre l’usurpation
d’identité, le respect de la vie privée ou encore la non répudiation.
La question n’est donc pas de savoir si la sécurité est nécessaire, mais comment mettre en
place une solution robuste et interopérable avec les infrastructures existantes.

Page
40
Voix sur IP

Bibliographie et webographie

https://www.academia.edu/39080897/CHAPITRE_III_RISQUES_ET_METHODES_DE_SECURIT
E_DE_La_VOIP

http://dspace.univ-tlemcen.dz/bitstream/112/10909/1/Ms.Tel.Bendelhoum.pdf

https://www.slideshare.net/MarouaLabidi2/rapport-pfe-voip

Page
41