L'expert en sécurité
informatique

La VOIP la voie royale vers... l'insécurité ? 5/15

En exemple : une trame SIP typique d'invitation à une conversation :

INVITE sip:gildas@nbs-system.com SIP/2.0 Via: SIP/2.0/UDP toundra.nbs-system.com Max-Forwards: 70 To: Gildas From: albert Call-ID: a42c12a21b6130 CSeq: 60 INVITE Contact: Content-Type: application/sdp Content-Length: 132 v=0 o=albert 112454251 112454251 IN IP4 172.16.34.22 s=discussion sur la VOIP c=IN IP4 172.16.34.22 t=0 0 m=audio 20002 RTP/AVP 0

Il est donc simple de lire le protocole et pourquoi pas d'interagir avec le serveur grâce à une simple commande telnet. Rien de catastrophique en soi, mais, si l'on commence à raisonner selon le point de vue d'une personne mal intentionnée, il devient extrêmement simple de scripter des attaques visant à faire sonner tous les téléphones d'une société. En couplant l'attaque à des requêtes Active Directory ou LDAP pour avoir les adresses URI des utilisateurs, on obtient aisément un système qui peut se révéler insupportable en quelques minutes.

 

Bon à savoir :
La sécurité informatique, à l'instar de la sécurité physique, ne vaut que par son maillon le plus faible. La sécurité informatique est avant tout un processus et non pas une accumulation de produits. La Gestion de la Maintenance Assistée par Ordinateur permet la rationnalisation des coûts d'exploitation. Un audit de sécurité peut être partiel ou exhaustif selon le besoin du client, mais il est avant tout collaboratif. La sécurité informatique est plus affaire de bon sens et d'organisation que de technologie. Le test d'intrusion, qu'il soit externe ou interne, permet de vérifier son niveau réel d'exposition face à des personnes qui seraient mal intentionnées. Le cadre légal français est très précis en sécurité informatique et la formation sécurité permet à tous de comprendre ses droits et devoirs.
© NBS System 2000-2007. Tous droits réservés. Entreprise spécialisée dans la sécurité informatique. Nous vous proposons des prestations telles que l'audit de sécurité ou encore le test d'intrusion.