Récemment, un groupe de doctorants à l'INRIA a annoncé que le N95-1 avec le firmware V 12.0.013 pourrait être victime d'une attaque DoS (déni de service). L'attaque résulterait de l'exploitation d'une vulnérabilité dans l'implémentation du protocole SIP dans le N95 : l'envoi d'une séquence de messages SIP bien particuliers provoquerait un état instable obligeant l'utilisateur à rebooter le N95. La faille est annoncée ici.
Nous profitons au passage pour parler rapidement des risques de déni de service possible sur un réseau VoIP.
De façon générale, on peut classifier les attaques par déni de service (DoS) sur un réseau VoIP en deux familles :
1.Les dénis de service par exploitation de vulnérabilités :
- messages de signalisation anormalement très longs, malformés ou syntaxiquement incorrects pour exploiter une mauvaise implémentation d’un protocole VoIP (voir les outils de tests de robustesse d’une implémentation VoIP (SIP et H323), développés par l’université d’Oulu de Finlande) ;
- suite de paquets spécifiques exploitant une faiblesse ou faille de sécurité protocolaire ;
- commandes désordonnées.
On peut aussi regrouper dans cette famille d’attaques les attaques exploitant les failles de sécurité des systèmes d’exploitation (Windows par exemple !) présents dans les équipements VoIP :
- vers, virus, trojans, etc. (ces codes malveillants s’appuient sur des failles logicielles et matérielles)
- SQL Slammer, attaque d’injection SQL
- les buffers overflows (ping of Death, l’attaque Teardrop…)
2. Les dénis de service par saturation (ou inondation) :
- Attaques consistant à bombarder un équipement VoIP spécifique avec des paquets bien formés (des messages de signalisation ou des paquets RTP) ; les exemples dans le cas de SIP sont :
o Cible visé : proxy SIP, registrar, serveur de localisation, IP phone
o Messages bombardés : REGISTER, INVITE, RESPONSE, BYE…
o Outils qu’on peut utiliser pour lancer ces inondations : SivUS, VOMIT, SIPhallis, …
- Spam vocal (SPIT, Spam over Internet Telephony) : ces attaques consistent à inonder les boîtes vocales des utilisateurs de systèmes ToIP avec des messages non sollicités ou des publicités.
- Attaques (D)DoS classiques qui visent la couche TCP/IP ou la couche physique (interfaces/liens PE-CE GateKeeper et PE-CE GateWay) :
o ARP spoofing, ARP cache poisoning ;
o attaques SYN, TCP NULL, UDP flooding, Smurf ou Fraggle, Tribal Flood Network, Trinoo, DNS, etc.
Les outils classiques et répandus d'écoute de réseau, d'analyse de flux et d'injection de trafic IP peuvent être directement utilisés pour attaquer un réseau VoIP (attaques par saturation visant la couche TCP/IP). Les outils propres à la voix sur IP sont aussi disponibles, comme VOMIT (Voice Over Misconfigured Internet Telephone), SiVuS (SIP Vulnerability Scanner) et SIPhallis.
Libellés : Attaque DoS, N95, S60, VoIP, Vulnérabilité
Enregistrer un commentaire