• If this is your first visit, be sure to check out the FAQ by clicking the link above. You may have to register before you can post: click the register link above to proceed. To start viewing messages, select the forum that you want to visit from the selection below.
Xin chào ! Nếu đây là lần đầu tiên bạn đến với diễn đàn, xin vui lòng danh ra một phút bấm vào đây để đăng kí và tham gia thảo luận cùng VnPro.

Announcement

Collapse
No announcement yet.

Các Mối đe Dọa đối Với Hệ Thống Voip

Collapse
X
 
  • Filter
  • Time
  • Show
Clear All
new posts

  • Các Mối đe Dọa đối Với Hệ Thống Voip

    CÁC MỐI ĐE DỌA ĐỐI VỚI HỆ THỐNG VOIP


    Tác giả: Nguyễn Thanh Phước


    Việc thoại và dữ liệu hội tụ trên cùng một dây, với bất kỳ giao thức nào được sử dụng, là một vấn đề đối với các kỹ sư bảo mật và các nhà quản trị. Hệ quả của vấn đề hội tụ này là các mạng chính có thể bị tấn công, kiến trúc viễn thông thông tin của các tổ chức sẽ có thể gặp phải rủi ro nguy hiểm. Vì vậy việc đảm bảo kiến trúc cho toàn thể mạng VoIP đòi hỏi các kỹ sư quản trị mạng phải có kế hoạch, có kiến thức chi tiết và phải biết phân tích các tình huống trong từng trường hợp cụ thể .
    Bảng 1 mô tả các cấp độ mà cấu trúc VoIP có thể bị tấn công:


    5.1 Tấn công từ chối dịch vụ (DoS) hoặc phá vỡ dịch vụ VoIP.

    Dịch vụ internet là một chương trình chạy trên một host máy tính chờ đợi một kết nối từ khách hàng. Tấn công DoS ngăn chặn không cho tiếp cận dịch vụ. Đây là loại tấn công trực tiếp và chủ động. Người tấn công không có ý định ăn cắp một cái gì cả. Anh ta chỉ muốn đơn giản là đặt dịch vụ ra khỏi khách hàng. Nhưng không phải lúc nào dịch vụ không được tiếp cận là nguyên nhân của tấn công DoS. Nó có thể là nguyên nhân của cấu hình sai cũng như là nguyên nhân của việc sử dụng sai.

    Phụ thuộc vào các tính chất của các hành động trên mang lại mà các dịch vụ này có thể gặp phần nào một số hậu quả khó khăn, ví dụ như một shop trực tuyến. Một tấn công DoS có thể là một trong ba loại sau đây:
    + Đe doạ vật lý hoặc hay thay đổi các thành phần mạng.
    + Đe doạ hay thay đổi cấu hình thông tin.
    +Tiêu thụ khó khăn, giới hạn hay không thể khôi phục nguồn tài nguyên.
    Các sửa đổi một phần kiến trúc phần cứng của hệ thống được xem như là truy cập đến vùng của nó. Một người tấn công chỉ có thể cố gắng phá hủy các phần cứng vật lý thông qua làm đổi hướng phần mềm. Một tấn công DoS trên internet có thể chỉ là loại thứ hai hay thứ ba. Sự thay đổi cấu hình thông tin cần phải truy cập đến host máy tính. Điều này ám chỉ rằng người tấn công được quản lí hệ thống khi xâm phạm hệ thống. Cách thức tấn công dễ nhất của DoS là giới hạn nguồn tài nguyên, chẳng hạn như băng thông dành cho dịch vụ internet. Tác động của việc tấn công sẽ lớn hơn nếu vị trí bị tấn công từ một vài host ở cùng một thời điểm. Các biến thể của tấn công DoS được gọi là tấn công từ chối phân bổ của dịch vụ DDoS.

    Tấn công DoS có thể ảnh hưởng đến tất cả các dịch vụ trong mạng IP. Hậu quả của tấn công DoS có thể làm giảm chất lượng dịch vụ hoặc nặng hơn có thể làm mất dịch vụ. Ta có các loại tấn công như sau:
    + DDoS (Distributed denial-of-service): đây là kiểu tấn công mà các gói tin làm tràn ngập mạng đích từ nhiều nguồn khác nhau bên ngoài, được mô tả trong hình 1 và 2


    Hình 5.1: mô hình truy cập internet tiêu biểu

    Các luồng traffic trao đổi bình thường giữa các host và server bên trong và ngoài mạng. Hình 2 cho thấy sự tấn công luồng traffic IP trực tiếp từ interface của firewall.


    Hình 5.2: tấn công DoS phân tán.

    Ví dụ trong năm 2004, các trang web của Yahoo, Google và Microsoft đã biến mất trên internet trong vài giờ khi các server của họ bị làm tràn với hang trăm ngàn yêu cầu từ các trang web khác. Điều này làm suy giảm băng thông và các server CPU không thể xử lý nổi.
    + DoS (Denial of Service): điều kiện tấn công DoS xảy ra khi thiết bị ở trong mạng nội bộ là cái đích của việc làm tràn ngập các gói, dẫn đến mất liên lạc giữa các phần trong cấu trúc mạng liên quan đến thiết bị đó. Cũng giống như DoS ở trên, các dịch vụ cũng bị bẻ gãy và làm giảm băng thông và tài nguyên CPU. Ví dụ một vài điện thoại IP sẽ ngừng hoạt động nếu chúng nhận các gói tin UDP lớn hơn 65534 bytes ở port 5060.


    Hình 5.3: tấn công DoS trong mạng nội bộ

    Việc kiểm tra tính toàn vẹn và kể cả việc mã hóa cũng không thể ngăn chặn những tấn công này. Đặc tính của tấn công DoS và DDoS là đơn giản bằng cách gửi một lượng lớn các gói tin đến máy nạn nhân. Mặc dù các gói tin này có được đăng ký với server hay không, nguồn địa chỉ IP là thật hay giả, hoặc được mã hóa với một key không có thật đi nữa thì việc tấn công vẫn có thể xảy ra.
    Tấn công DoS thật khó để chống lại bởi vì VoIP cũng chỉ là một trong những dịch vụ trên mạng IP, nó cũng dễ bị tấn công như các dịch vụ trên mạng IP khác. Hơn nữa tấn công DoS có ảnh hưởng đặc biệt tới các dịch vụ như VoIP và các dịch vụ thời gian thực khác, bởi vì các dịch vụ này rất “nhạy cảm” với trạng thái mạng. Virus và worm nằm trong danh sách gây nên tấn công DoS hay DDoS dựa trên việc tăng lưu lượng mạng mà chúng tạo ra bằng cách tái tạo và nhân bản
    Vậy chúng ta sẽ chống lại tấn công DoS như thế nào? Chúng ta bắt đầu bằng việc tấn công DoS trong mạng nội bộ. Ở hình trên thì VLAN 10 ở bên phải không bị ảnh hưởng phá vỡ dịch vụ bởi VLAN 2 ở bên trái. Với minh họa này thì người quản trị bảo mật có thể ngăn cản tấn công DoS bằng cách chia mạng thành nhiều phần. Mỗi phần có thể “miễn dịch” với tấn công DoS với các phần còn lại.
    Điểm mấu chốt của chúng ta là sẽ làm giảm tấn công DoS một cách có hiệu quả. Như ta đã biết, trong môi trường VoIP sự chứng thực bền vững ít khi được sử dụng. Các thành phần thông điệp phải xử lý chính xác và các thông điệp xử lý có thể là từ người tấn công. Thêm vào đó việc xử lý những thông điệp giả sẽ làm suy kiệt nguồn tài nguyên của server, điều đó dẫn đến tấn công DoS. Việc làm tràn ngập các thông điệp đăng ký SIP và H.323 là một ví dụ điển hình. Trong trường hợp này server có thể giảm nhẹ các nguy cơ tấn công bằng cách giới hạn số thông điệp đăng ký mà nó sẽ xử lý trong thời gian cụ thể cho từng địa chỉ cụ thể (chẳng hạn là địa chỉ IP). Và một hệ thống chống xâm nhập (Intrustion Prevention System-IPS) có thể hữu ích trong một số loại tấn công DoS nào đó. Thiết bị này nằm trên đường dữ liệu và giám sát lưu lượng di qua nó. Khi có một lưu lượng bất thường được phát hiện, IPS sẽ ngăn chặn lưu lượng bất thường này. Một vấn đề nữa mà ta đã thấy với các thiết bị, đặc biệt là trong môi trường yêu cầu lợi ích cao, là việc các thiết bị thỉnh thoảng ngăn chặn các lưu lượng bình thường. Mà điều đó cũng có thể xem là một hình thức tấn công DoS.

    Hơn nữa, các nhà quản trị bảo mật có thể giảm thiểu đến mức tối đa nguy cơ tấn công DoS bởi một điều chắc chắn là điện thoại IP và các server được cập nhật các phiên bản ổn định nhất. điển hình là khi một cảnh báo tấn công DoS được công bố, nhà sản xuất sẽ nhanh chóng vá các lỗi vừa phát hiện.

    Hệ thống VoIP đòi hỏi đặt ra yêu cầu dịch vụ phải chính xác. Dưới đây là một số ví dụ tấn công DoS gây ra có thể làm cho các dịch vụ VoIP mất đi một phần hoặc toàn bộ giá trị thông qua việc ngăn chặn thành công các cuộc gọi, ngắt các cuộc gọi hoặc ngăn chặn các dịch vụ tương tự như là voice mail. Chú ý là các kiểu tấn công bên dưới này không bao hàm hết nhưng cũng minh họa một vài phiên bản tấn công.

    + Khởi động lại kết nối TLS (TLS Connection Reset): nó không khó để tấn công khởi động lại một kết nối trên kết nối TLS (thường dùng cho báo hiệu bảo mật giữa thoại và gateway)- chỉ cần gửi đúng loại gói thì kết nối TLS sẽ bị khởi động lại, làm gián đoạn kênh báo hiệu giữa điện thoại và call server

    + Tấn công chuyển tiếp các gói VoIP (VoIP packet relay Attack): bắt và gửi lại các gói VoIP đến điểm cuối, cộng thêm việc trì hoãn tiến trình cuộc gọi sẽ làm giảm chất lượng cuộc gọi.

    + Đường hầm dữ liệu (data tunneling): không chính xác là một sự tấn công, đúng hơn là tạo một đường hầm dữ liệu xuyên qua cuộc gọi vừa tạo, thực chất đây là hình thức mới truy cập trái phép modem. Việc vận chuyển tín hiệu modem thông qua những gói tin mạng bằng phương pháp điều chế xung mã (PCM-Pulse Code Modulation) để mã hóa các gói hay là bằng cách đặt chúng trong các thông tin header, VoIP có thể được dùng để hỗ trợ cuộc gọi từ modem qua mạng IP. Kỹ thuật này được dùng để bỏ qua hay phá hoại chính sách của modem để bàn và che dấu việc không được phép kết nối dữ liệu. Điều này cũng tương tự như khái niệm “IP over HTTP”, một vấn đề kinh điển đối với tất cả các port mở trên firewall từ các nguồn bên trong.

    + Tấn công thay đổi chất lượng dịch vụ (QoS Modification Attack): thay đổi các trường thông tin điều khiển các giao thức VoIP riêng biệt trong gói dữ liệu VoIP và từ điểm cuối làm giảm hoặc từ chối dịch vụ thoại. Ví dụ, nếu một người tấn công đổi thẻ 802.1Q VLAN hoặc bit To Strong gói IP, cũng giống như là người đứng giữa (man-in-the-middle) hay sự thỏa hiệp trong cấu hình thiết bị đầu cuối, người tấn công có thể sẽ phá vỡ chất lượng dịch vụ của mạng VoIP. Do lưu lượng thoại phụ thuộc vào lưu lượng dữ liệu nên về căn bản, kẻ tấn công có thể trì hoãn việc phân phát các gói thoại.

    + Sự tiêm các gói VoIP (VoIP packet Injection): tức là gửi các gói VoIP giả mạo đến điểm cuối, thêm vào đoạn thoại hay nhiễu hay khoảng lặng vào hoạt động thoại. Ví dụ khi RTP được dung mà không có sự xác thực của gói RTCP ( và cả không có sự lấy mẫu của SSRC), kẻ tấn công có thể tiêm thêm các gói RTCP vào nhóm multicast với SSCR khác, mà điều này có thể làm tăng số lượng nhóm theo hàm mũ.

    + Tấn công DoS vào các dịch vụ bổ xung (DoS against supplementary services): khởi đầu tấn công DoS là chống lại các dịch vụ mạng khác mà dịch vụ VoIP có mối liên hệ ( ví dụ: DHCP, DNS, BOOTP). Ví dụ trong mạng mà đầu cuối VoIP dựa vào địa chỉ đăng ký DHCP, làm mất khả năng của DHCP server ngăn chặn điểm cuối lấy được địa chỉ và các thông tin định tuyến cần thiết dùng cho dịch vụ VoIP.

    + Tràn ngập các gói điều khiển: (Control Packet Flood) : làm tràn ngập VoIP server hoặc đầu cuối với những gói điều khiển cuộc gọi không rõ nguồn gốc (ví dụ trong H.323, các gói GRQ, RRQ, URQ sẽ được gửi đến UDP/1719). Mục đích của kẻ tấn công là làm suy yếu thiết bị hệ thống hoặc tài nguyên mạng. Do đó không thể dung các dịch vụ VoIP. Bất kể các port mở trong tiến trình cuộc gọi và VoIP server lien quan có thể trở thành mục tiêu của kiểu tấn công DoS này.

    + Tấn công DoS Wireless (Wireless DoS) cách này sẽ tấn công vào đầu cuối VoIP Wireless bằng cách gửi những frame 802.11 hoặc 802.1X để ngắt các kết nối. Ví dụ tấn công Message Integrity sẽ làm cho access point cách ly các trạm khi nó nhận 2 frame không hợp lệ trong vòng 60 giây. Dẫn đến mất kết nối này trong vòng 60 giây. Và trong môi trường VoIP thì việc mất dịch vụ trong vòng 60 giây thì không thể chấp nhận được

    + Thông điệp giả (Bogus Message DoS): gửi đến VoIP server và các điểm cuối các giao thức VoIP giả mạo nhằm hủy kết nối hoặc tình trạng bận ở đầu cuối. Kiểu tấn công này làm cho các phone phải xử lý các message giả và các đầu cuối phải thiết lập những kết nối ảo hoặc làm cho người tham gia cuộc gọi lầm rằng đường dây đang bận.

    + Gói tin không hợp lệ (Invalid Packet DoS): gửi đến VoIP server và đầu cuối những gói không hợp lệ để khai thác hệ điều hành thiết bị và TCP/IP để thực hiện từ chối dịch vụ CVEs. Theo sự mô tả của CAN-2002-0880, dùng jolt có thể bẻ gãy Cisco IP phone và sự phân đoạn thong thường dựa trên các phương thức DoS khác.

    + Sự thực thi giao thức VoIP (VoIP Protocol Implementation) : gửi đến server VoIP hoặc đầu cuối những gói tin không hợp lệ để có thể khai thác những điểm yếu trong sự thực thi giao thức VoIP và tạo nên tấn công DoS. Ví dụ, CVE-2001-00546 đề cập đến việc sử dụng các gói H.323 “xấu” để khai thác lỗ hỏng bộ nhớ ISA của Window. CAN-2004-0056 sử dụng các gói H.323 như trên để khai thác điểm yếu của Nortel BCM. Nếu như không thường xuyên cập nhập phần mềm một cách hợp lý thì sẽ tăng rủi ro cho hệ thống

    + Packet of Death DoS: làm tràn ngập VoIP server hoặc đầu cuối với những gói hoặc những phân đoạn TCP, UDP, ICMP ngẫu nhiên nhằm làm suy hao CPU thiết bị cũng như băng thông, phiên TCP… Ví dụ khi gửi một số lượng gói TCP với sự ưu tiên phân phát. Trong quá trình tràn ngập này làm tăng sự xử lý, can thiệp vào tải so với khả năng của hệ thống nhận, để xử lý lưu lượng thật, và kết quả ban đầu là làm trì hoãn lưu lượng, sau cùng là đập vỡ hoàn toàn lưu lượng.
    Đặng Hoàng Khánh
    Email: danghoangkhanh@vnpro.org
    ---------------------------
    VnPro - Cisco Authorised Training
    Discuss about Networking, especially Cisco technology: http://vnpro.org
    Discuss about Wireless: http://wifipro.org or http://wimaxpro.org

  • #2
    5.2. Một số cách tấn công chặn và cướp cuộc gọi:

    + Tấn công replay
    Tấn công replay là tấn công chủ động hướng về nghi thức. Đặc trưng của người tấn công này giành được gói dữ liệu gởi hoặc nhận đến host. Anh ta sửa đổi chúng và sử dụng lại để truy cập vào một số dịch vụ nào đó. Một ví dụ tương ứng với loại thoại IP là người tấn công đạt được trong tay các gói dữ liệu gởi từ một user có quyền để thiết lập cuộc gọi và gởi lại chúng sau khi đã sửa đổi địa chỉ nguồn và IP. Nó có thể bị ngăn chặn bằng cách thực thi hai dịch vụ bảo mật nhận thực thực thể ngang hàng (peer entity authencation) và tính toàn vẹn dữ liệu (data intergrity).

    + Tấn công tràn bộ đệm
    Đây là phương thức tấn công phổ biến. Đây là kết quả chính của việc phát triển phần mềm không đúng lúc. Kỹ thuật này lợi dụng trên thực tế là có một vài lệnh không kiểm tra đầu vào dữ liệu. Chúng được ứng dụng đặc biệt để xâu chuỗi xử lý các lệnh. Quá trình gia nhập với nhiều đầu vào, các lệnh hay là các chương trình có khả năng làm cho bộ nhớ hệ thống bị viết đè lên. Nội dung của bộ nhớ này có thể bắt đầu hoặc quay trở lại địa chỉ của các chương trình subroutine. Trường hợp xấu nhất người tấn công có thể thêm vào đoạn code hiểm để cung cấp cho anh ta các quyền quản lí của hệ thống. Biện pháp đối phó là huỷ tất cả các code “yếu”, chính các lỗ hỗng nhận thức được chứa trong các hệ thống hoạt động và các chương trình ngôn ngữ.

    + Tấn công man in the middle

    Trong tấn công man in the middle người tấn công quản lý để cắt đứt kết nối giữa hai bên gọi. Cả hai bên tham gia kết nối này đều nghĩ rằng chúng truyền thông với nhau. Thực tế, tất cả các dữ liệu được định tuyến qua người tấn công. Hacker đã hoàn thành việc truy cập để thay thế các dữ liệu bên trong. Hacker có thể đọc chúng, thay đổi chúng hoặc và gửi chúng như là dữ liệu của anh ta. Thực tế hacker được xác định ở vị trí ở giữa của hai bên truyền thông mang lại cho người tấn công tên của hai bên truyền thông. Một ví dụ cho tấn công này là thiết lập của việc bảo đảm kết nối được sử dụng bởi bảo mật lớp dữ liệu. Điểm yếu của TLS là nguyên nhân của việc thiết lập phiên này. Ở đây hai bên truyền thông có thể trao đổi hai khóa. Khóa này được đổi có khả năng làm cho người tấn công có thể ở giữa hai bên truyền thông.

    + Chặn và đánh cắp cuộc gọi

    Nghe trộm và đánh chặn cuộc gọi là vấn đề liên quan đến mạng VoIP, định nghĩa nghe lén có nghĩa là một người tấn công có thể giám sát toàn bộ báo hiệu hoặc dòng dữ liệu giữa hai hoặc nhiều đầu cuối VoIP, nhưng không thể biến đổi dữ liệu. Đánh cắp cuộc gọi thành công tương tự như việc nghe trộm trên dây nối, cuộc gọi của hai bên có thể bị đánh cắp, ghi lại, và nghe lại mà hai bên không hề biết. Rõ ràng người tấn công mà có thể đánh chặn và chứa dữ liệu này có thể sử dụng dữ liệu này cho mục đích khác phục vụ cho mục đích của anh ta.

    + Đầu độc DNS

    Một hồ sơ DNS A được sử dụng cho việc chứa các domain hay hostname ánh xạ thành địa chỉ IP. SIP tạo ra việc sử dụng rộng rãi hồ sơ SRV để xác định các dịch vụ SIP như là SIP uỷ quyền và đăng nhập. Các hồ sơ SRV thường bắt đầu với gạch dưới(_sip.tcpserver.udp.domain.com) và chứa thông tin về miêu tả dịch vụ, vận chuyển, host, và thông tin khác. Các hồ sơ SRV cho phép người quản lý sử dụng một vài user cho một domain, để di chuyển dịch vụ từ host đến host với một ít quan trọng hoá, và để bổ nhiệm một vài host như là các server chính cho các dịch vụ.

    Một người có mục đích tấn công, sẽ cố gắng đầu độc DNS hay tấn công giả mạo, sẽ thay thế giá trị lưu trữ hồ sơ DNS A, SSRV, hay NS với các bản tin mà chỉ đến các server của người tấn công. Điều này có thể được hoàn thành bằng cách bắt đầu bằng cách dời vùng từ DNS server của người tấn công đến DNS server nạn nhân, bằng cách yêu cầu server DNS nạn nhân phân tích thiết bị mạng trong domain của người tấn công. Server DNS nạn nhân không những chấp nhận yêu cầu hồ sơ mà còn chấp nhận và chứa các hồ sơ mà server tấn công có.

    Vì vậy việc thêm vào hồ sơ A cho www.Attacker.com, server DNS nạn nhân có thể nhận được hồ sơ giả là www.yourbank.com. Nạn nhận vô tội sẽ bị hướng đến chuyển hướng lại đến attacker.com. Trang web mà bất mà bất kỳ thời điểm nào muốn truy cập là yourbank.com. Trang web mà hồ sơ giả được lưu trữ. SIP URL thay thế cho địa chỉ website, và vấn đề tương tự cũng gặp phải trong môi trường VoIP.

    Các loại đe doạ này dựa vào sự vắng mặt của bảo đảm nhận thực của người tạo ra yêu cầu. Các tấn công trong loại này cố gắng tìm kiếm để phá hoại tính toàn vẹn của dữ liệu đàm thoại.Các thảm hoạ này chỉ ra rằng việc cần thiết phải bảo mật dịch vụ để có khả năng nhận thực thể tạo ra yêu cầu và để kiểm tra nội dung của thông điệp và điều khiển các luồng không bị biến đổi khi phát.

    + Đánh lừa ARP (ARP Spoofing):

    ARP là giao thức cơ sở Ethernet. Có lẽ do nguyên nhân này, thao tác vào các gói ARP là kỹ thuật tấn công thường thấy trong mạng VoIP. Một vài kỹ thuật hay công cụ hiện tại cho phép bất kỳ user nào có thể tìm ra lưu lượng mạng trên mạng bởi vì ARP không có điều khoản cho câu hỏi nhận thực và câu hỏi trả lời. Thêm vào đó, bởi vì ARP là một giao thức stateless, hầu hết các hệ thống hoạt động cập nhật cache của nó khi mà nhận một lời đáp ARP, bất chấp nó được gởi đi từ một yêu cầu thực tế hay không.


    Hình 5.4: Đánh lừa ARP (đầu độc cache)

    Trong số những tấn công này, chuyển hướng ARP, đánh lừa ARP, đánh cắp ARP và đầu độc cache ARP là các phương pháp để phá hoại quá trình ARP bình thường. Các dạng này thường xuyên được xen kẽ hoặc xáo trộn nhau. Dành cho mục đích của chương này, có thể xem đầu độc cache ARP và đánh lừa ARP như là cùng một quá trình. Sử dụng các công cụ tuỳ thích có thể như là ettercap, Cain, và dsnif, và các thiết bị IP có hại có thể đánh lừa thiết bị IP thông thường bằng cách gởi một đáp ứng ARP không yêu cầu đến host mục tiêu. Một đáp ứng ARP giả chứa địa chỉ phần cứng của thiết bị bình thường và địa chỉ IP của thiết bị có ý đồ xấu. Trong hình 5.3, Ned là máy tính tấn công. Khi SAM broadcast một câu hỏi ARP cho địa chỉ IP của Sally, NED, người tấn công, đáp ứng câu hỏi để chỉ ra rằng địa chỉ IP (10.1.1.2) liên quan đến địa chỉ MAC của Ned, BA:DB:AD:BA:DB:AD. Các gói giả sử gửi từ SAM đến Sally sẽ được thay thế gởi đến Ned. Sam sẽ hiểu lầm rằng địa chỉ MAC của Ned tương ứng với địa chỉ IP của Sally. Thực tế, Ned có thể đầu độc cache ARP của Sam mà không cần đợi một yêu cầu ARP từ hệ thống Windows (9x/NT/2k), các mục ARP tĩnh được viết đè lên khi một trả lời câu hỏi được nhận bất chấp có hay không câu hỏi được phát. Mục này sẽ được giữ cho đến khi chúng hết hạn hoặc mục mới thay thế.


    Hình 5.5 Tấn công chuyển hướng ARP

    Chuyển hướng ARP có thể hoạt động hai chiều và thiết bị đánh lừa có thể đưa vào ở giữa của cuộc đàm thoại giữa hai thiết bị IP trên mạng chuyển mạch.(xem hình 5.5). Bằng cách định tuyến các gói trên các thiết bị được nhận các gói, việc gài vào này (được biết như là Man/Monkey/Moron trong việc tấn công ở giữa ) có thể vẫn không được nhận ra cho một vài lần. Người tấn công có thể định tuyến các gói như mong muốn, dẫn đến như tấn công DoS.

    Vì tất cả lưu lượng IP giữa người gởi thực và người nhận thực bây giờ đều đi qua thiết bị của người tấn công, thật bình thường để cho người tấn công tìm ra lưu lượng sử dụng các công cụ tuỳ thích như là Ethereal hay tcpdump. Bất kỳ thông tin nào không được mã hoá (bao gồm email, username và password, và lưu lưọng web) có thể bị chặn đứng và bị xem.

    Sự chặn đứng này có khả năng tác động mạnh đến lưu lượng VoIP. Các công cụ miễn phí như là vomit hay rtpsnif, cũng như là các công cụ công cộng như là VoIPCrack, cho phép chặn đứng và mã hoá lưu lượng VoIP. Các nội dụng chiếm được có thể bao gồm thoại, báo hiệu và thông tin tính cước, đa phương tiện, số PIN. Đàm thoại qua nội mạng IP có thể bị chặn và ghi âm lại sử dụng kỹ thuật này.

    Ở đây cũng có một số biến thể của kỹ thuật kể trên. Thay cho việc phỏng theo các host, người tấn công có thể phỏng theo gateway. Điều này làm cho người tấn công có thể chặn đứng nhiều luồng gói. Tuy nhiên, hầu hết kỹ thuật chuyển hướng dựa vào việc lén lút. Người tấn công trong các trường hợp này đều hy vọng việc không nhận ra của các user mà chúng mạo nhận. Mạo nhận gateway có thể có kết quả trong các user đề phòng sự có mặt của người tấn công xâm phạm bất ngờ trong mạng,

    Trong các thủ tục giới hạn lỗi do thao tác ARP, người quản lí phải thực thi các công cụ phần mềm để giám sát việc ánh xạ địa chỉ IP thành địa chỉ MAC. Ở lớp mạng, ánh xạ địa chỉ MAC/IP có thể được mật mã tĩnh trên switch, tuy nhiên nó thường xuyên không được quản lý tốt.

    Các rủi ro của việc mã hoá lưu lượng VoIP có thể được giới hạn bởi thực thi mật mã. Sử dụng việc mật mã hoá media, các cuộc đàm thoại giữa hai đầu cuối IP phải được sử dụng cùng một dạng mật mã hoá. Trong môi trường bảo mật cao thì các tổ chức cần phải đảm bảo cùng một phương thức mật mã trong bộ codec IP.

    Tiếp theo là một vài ví dụ thêm vào của các đánh chặn hay ăn cắp cuộc gọi hay tín hiệu. Các đe doạ của lớp này khó thực hiện hoàn thành hơn là DoS, kết quả của nó có thể là dữ liệu bị mất hay bị thay đổi. Các tấn công DoS, là do nguyên nhân của các phương pháp hoạt động hay sơ xuất, nó làm ảnh hưởng đến chất lượng dịch vụ và thường gây sự không hài lòng đối với user và người quản trị mạng. Các tấn công đánh chặn và ăn cắp, thường là các tấn công chủ động với việc đánh cắp dịch vụ, thông tin, hoặc tiền như là mục tiêu tấn công. Cần chú ý rằng danh sách này không khái quát hết khía cạnh nhưng cũng bao gồm một vài tấn công cốt lõi.

    + Tấn công đánh lừa đầu cuối VoIP (Rogue VoIP Endpoint Attack):
    giả mạo đầu cuối EP giao tiếp với các dịch vụ VoIP bằng cách dựa trên các đánh cắp hay ước đoán các nhận dạng, các uỷ nhiệm hoặc các truy cập mạng. Ví dụ, một đánh lừa đầu cuối EP có thể sử dụng các jack không được bảo vệ hay tự động đăng ký thoại VoIP để có thể vào mạng. Ước chừng mật mã có thể được sử dụng để giả dạng như là một đầu cuối hợp pháp. Việc quản lí các tài khoản không chặt chẽ có thể gia tăng nguy cơ của việc lợi dụng này.
    + Cướp đăng ký (Registration Hijacking):
    cướp đăng ký xảy ra khi một người tấn công mạo nhận là một UA có giá trị để giữ và thay thế đăng ký với địa chỉ của mình. Các tấn công này là nguyên nhân của việc tất cả các cuộc gọi đến được gởi đến người tấn công.
    + Giả mạo uỷ nhiệm: Giả mạo uỷ nhiệm xảy ra khi một người tấn công đánh lừa một uỷ nhiệm (proxy) trong việc truyền thông với một proxy giả.. Nếu một người tấn công thành công trong việc giả mạo uỷ nhiệm, anh ta có thể truy cập vào tất cả các thông điệp SIP.
    + Lừa tính phí: giả mạo đầu cuối VoIP sử dụng server VoIP để đặt việc tính phí bất hợp pháp của cuộc gọi qua PSTN. Ví dụ, các điều khiển truy cập không đầy đủ có thể cho phép các thiết bị giả đặt phí của các cuộc gọi bằng cách gởi yêu cầu VoIP đến các ứng dụng tiến hành cuộc gọi. Các server VoIP có thể bị hack trong các thủ tục để tiến hành cuộc gọi miễn phí đến đích bên ngoài.
    + Xáo trộn thông điệp: bắt giữ, sửa đổi, và sắp đặt để không xác thực các gói VoIP đến đầu cuối. Các tấn công này có thể xảy ra qua việc đánh cắp đăng nhập, giả mạo uỷ nhiệm, hay tấn công trên bất kỳ một thành phần VoIP thực nào mà tiến hành các thông điệp SIP hay H.323, như là server proxy, registration, media gateway, hay các bức tường lửa.
    Đặng Hoàng Khánh
    Email: danghoangkhanh@vnpro.org
    ---------------------------
    VnPro - Cisco Authorised Training
    Discuss about Networking, especially Cisco technology: http://vnpro.org
    Discuss about Wireless: http://wifipro.org or http://wimaxpro.org

    Comment


    • #3
      5.3 Vấn đề bảo mật của SIP

      Các giao thức được thiết kế để phục vụ cho một mục đích nào đó và theo
      bản chất thì mỗi một giao thức có các đặc điểm của tập đầu vào riêng. Vấn đề xảy ra khi mà giao thức phải nhận những đầu vào không mong đợi, và điều đó tạo nên kết quả khó lường. SIP cũng vậy, các tấn công vào SIP có thể được xem là rất đa dạng

      SIP là một giao thức báo hiệu multimedia được chuẩn hóa bởi IETF. kiến trúc này nổi bật với các đầu cuối User Agent (UA) và một tập hợp các server. Ngay từ những ngày đầu SIP đã giành được rất nhiều sự tin dung và chú ý do hệ thống kiến trúc mở và khả năng mở rộng cho những thiết bị di động và truyền thông multimedia. đặc điểm của giao thức SIP là dựa trên HTTP và mã ASCII, nên nó dễ dang tìm hiểu. chính những đặc điểm này SIP có rất nhiều lỗ hổng trong bảo mật mà rất dễ bị hacker khai thác tấn công. Sau đây là một số điểm yếu quan trọng của SIP:

      + Cướp đăng ký
      Đây chính là một điểm yếu của SIP, tương tự như kiểu tấn công man-in-the-middle. Hacker có thể giám sát các thông điệp REGISTER từ một User và thay đổi phần địa chỉ trong thông điệp này. Khi nhận được những thông điệp giả này, SIP registrar sẽ cập nhật địa chỉ hợp lệ thành địa chỉ giả của hacker. Như vậy với một tấn công man-in-the-middle thành công khi một cuộc gọi đến User, cuộc gọi này sẽ được proxy server đăng ký và chuyển đổi sang thành cuộc gọi cho User tương ứng với địa chỉ giả mạo của hacker.

      + IP Spoofing / Call Fraud

      Hacker sẽ đóng giả một User hợp lệ với ID giả mạo và bởi một thông điệp INVITE hoặc REGISTER. Trong IPv4 chúng ta không thể khóa một IP giả mạo khi một thông điệp SIP được gửi dưới dang clear text và người tấn công có thể dung một địa chỉ IP bất kỳ khác một cách dễ dàng. Khi một địa chỉ IP bất kỳ được gửi để đăng ký tài khoản thay vì gửi địa chỉ IP của User hợp lệ trong thông điệp SIP thì tất cả các cuộc gọi đến User này đều được truyền đến sai địa chỉ và không bao giờ đến đúng User hợp lệ. Nếu một hacker có thể dùng một địa chỉ IP hợp lệ và tạo một cuộc gọi với địa chỉ này thì hoàn toàn có thể tạo nên Call Fraud tức là tạo một cuộc gọi miễn phí

      + Tràn ngập thông điệp INVITE
      Hacker sẽ lien tục gửi những thông điệp INVITE với một địa chỉ ảo và làm tê liệt đầu cuối User hoặc Sip proxy server. Kiểu tấn công này tương tự như tấn công làm tràn ngập tín hiệu SYN trong kết nối TCP

      + BYE Denial of Service

      Một gói báo hiệu SIP theo mặc định khi được gửi sẽ ở dạng clear text vì vậy nó có thể bị làm giả. Nếu hacker giám sát, theo dõi các thông điệp INVITE của chúng ta thì hoàn toàn có thể tạo ra một thông điệp BYE hợp lệ và có thể gửi nó đến một trong các bên tham gia truyền thông, kết quả là làm cho cuộc đàm thoại bị kết thúc một cách bất ngờ.

      + RTP Flooding

      Kiểu tấn công này liên quan đến môi trường truyền. Hầu hết môi trường truyền đều dựa trên RTP. Một hacker có thể tạo nên những gói RTP giả và tấn công vào các đầu cuối, kết quả là làm giảm chất lượng dịch vụ hoặc reboot đầu cuối.

      + Spam over Internet Telephony (SPIT)

      Spam là một vấn đề rất khó chịu đối với bất cứ ai sử dụng email ngày nay. Một cách thích hợp hơn nó còn được coi những email với mục đích thương mại mà người sử dụng không yêu cầu gởi (Unsolicited Commercial Email). Và có khi người sử dụng phải nhận đến hàng ngàn thông điệp như thế một ngày. Chúng ta thử tưởng tượng rằng những thông điệp này không những làm tràn đầy hôp mail mà còn làm cho hệ thống voicemail trong VoIP bị tắc nghẽn và quá tải.

      Để ngăn chặn sự “tấn công” của những spammer thì rất là khó. Với một PC và một kết nối thì bất cứ ai cũng có thể trở thành một Spammer. Mặt khác giá thành phải trả cho một thông điệp là quá nhỏ, không giống như cước phí voice mail ở điện thoại truyền thống. Chỉ với một số tiền nhỏ thôi thì spammer có thể gởi đến hàng ngàn thông điệp. Vì thế các spammer không gặp nhiều khó khăn về cước phí.

      Một đặc điểm khác đó là một địa chỉ Internet thì được chứa trong điện thoại, giống như là SIP URL. Vì thế những người tiếp thị qua điện thoại, hoặc quảng cáo hợp lệ hay không hợp lệ có thể dùng những công cụ tự động để phân phát hàng loạt những thông điệp không mong muốn như thế. Như ta đã biết thì thị trường VoIP đang ngày càng mở rộng một cách nhanh chóng. Chính vì vậy đây cũng là một môi trường để các nhà kinh doanh khai thác để quảng cáo, tiếp thị…lúc này kích thước của bộ nhớ để chứa các thông điệp là một vấn đề thực tế.

      Spam Over Internet Telephony (SPIT) giống tương tự như là spam, một cách tiềm tàng nó có thể làm tràn hộp thư thoại của chúng ta. Những thông điệp này có thể được chỉ có thể được xóa bằng tay, và chúng ta không thể làm thế nào để lọc bỏ nó.

      Trong tình huống xấu nhất, một phần mềm VoIP SPAM có thể dễ dàng phân phát hàng ngàn thông điệp một cách dễ dàng. Lúc này SPIT có thể trở thành một dạng tấn công DoS mới làm tràn ngập tài nguyên của hệ thống mail trong doanh nghiệp.
      Đặng Hoàng Khánh
      Email: danghoangkhanh@vnpro.org
      ---------------------------
      VnPro - Cisco Authorised Training
      Discuss about Networking, especially Cisco technology: http://vnpro.org
      Discuss about Wireless: http://wifipro.org or http://wimaxpro.org

      Comment

      Working...
      X