El documento trata sobre la seguridad en VoIP. Explica los principales protocolos de VoIP como SIP, H.323 y MGCP. Describe los componentes clave de una red de telefonía basada en paquetes como teléfonos IP, gateways, call agents y MCUs. Finalmente, destaca la importancia de implementar una estrategia de seguridad multicapa basada en la evaluación de riesgos, el diseño de seguridad y la protección tanto de la red subyacente como de los sistemas de telefonía IP.

1. Seguridad en VoIP
Seguridad en VoIP
Centro de Nuevas Tecnologías de Galicia
8 de mayo de 2013

2. Seguridad en VoIP
Presentación
• Ponente: Francisco Javier Nóvoa (Grupo Academia Postal)
– En twitter: @fjnovoa_
– http://www.academiapostal.es
– http://cisconetworkingspain@blogspot.com
• Ciclo de Seminarios de Voz sobre IP con Tecnología Cisco (2012-2013)
– Fundamentos de VoIP con Tecnología Cisco (29 de noviembre de 2012)
– Despliegue de VoIP en entornos corporativos con Tecnología Cisco (13 de marzo de
2013)
– Seguridad en entornos VoIP (08 de mayo de 2013)
• Ciclo de Seminarios sobre Seguridad en Redes (2011-2012)
1. Arquitecturas de Seguridad Perimetral
2. Seguridad en Redes de Área Local
3. Firewalls
4. Redes Privadas Virtuales con IPsec

3. Seguridad en VoIP
Presentación
• Grupo Academia Postal es Partner de Formación de Cisco en su programa académico,
desempeñando los roles de:
– Academia Cisco
– Centro de Soporte
– Centro de Formación de Instructores
• Formación Oficial del Programa Cisco Networking Academy:
– CCNA, CCNA Security y CCNP
• Otra formación orientada a Certificación Oficiales Cisco: CCNA Voice
• Formación Oficial de otros fabricantes: Microsoft IT Academy Program
• Colaboración con el Centro de Nuevas Tecnologías de Galicia

4. Seguridad en VoIP
Objetivos
• Dar a conocer las ideas clave relacionadas con la seguridad en entornos IP
• Presentar los componentes básicos de la infraestructura VoIP
• Estrategias de Seguridad Clásicas en Redes IP
• …
• A continuación, Jesús Pérez Rubio de Quobis hablará de aspectos específicos de
Seguridad en Aplicaciones VoIP
“Si conoces a tus enemigos y a ti mismo, en cien batallas nunca saldrás derrotado”
(El arte de la guerra)

5. Seguridad en VoIP
¿Qué es Telefonía IP?

6. Seguridad en VoIP
Introducción
• Factores que determinan la importancia de VoIP:
– Aceptación del uso de IP como tecnología de transporte
– Utilización de redes convergentes que intentan reducir costes
– Dependencia de las organizaciones de los servicios de telefonía
• Ataques a los sistemas de VoIP son especialmente problemáticos
• Gran cantidad de amenazas:
– Propios de la red IP
– Propios de las aplicaciones de telefonía
– Proliferación de herramientas de ataque
– Aprovechamiento económico

7. Seguridad en VoIP
¿Qué es la Telefonía IP?
• Telefonía IP es una tecnología que permite el establecimiento de conversaciones
telefónicas utilizando como medio de transporte el protocolo IP
– La voz es muestreada, cuantificada y codificada  Se transporta en paquetes IP
– Se utilizan 2 tipos de protocolos:
• Protocolos de Transporte de Información (IP)
• Protocolos de Señalización  Ayudan a establecer la llamada

8. Seguridad en VoIP
Principales protocolos de VoIP
• Voz sobre IP en el modelo OSI:

9. Seguridad en VoIP
Principales protocolos de VoIP
• Voz sobre IP en el modelo OSI
– Característica constante: El tráfico de voz se transmite utilizando RTP/UDP.
– Características variables: La señalización
• H.323 y SIP definen métodos de señalización de extremo a extremo (end-to-end)
• MGCP define un método para separar la función de señalización de la función de
llamada.
– MGCP utiliza un “CallAgent” para realizar la señalización de control
– El dispositivo central, el “CallAgent”, participa solamente en la configuración
de la llamada
– El tráfico de voz, va de dispositivo final a dispositivo final

10. Seguridad en VoIP
RTP
• Real Time Transport Protocol es un protocolo que
opera en capa de sesión (por encima de la capa de
transporte) del modelo OSI, sobre UDP
– RTP se ejecuta sobre UDP:
• UDP  Multiplexación de conexiones (nº de puerto) y comprobación de cabeceras
• RTP proporciona: Nº de secuencia y marcas de tiempo  Reordenar los
datagramas recibidos (nº de secuencia) y utilizar un pequeño buffer para eliminar
el efecto del jitter, proporcionando una reproducción suave del audio
• El campo “payload” de la cabecera RTP indica cuál es la naturaleza del contenido
que transporta: audio o vídeo
– Cuando un dispositivo intenta establecer una sesión de audio, RTP elige un puerto
aleatorio entre 16.384 y 32.767 para cada flujo RTP
• Los flujos RTP son “símplex”, es decir, solamente transmiten información
unidireccionalmente  Comunicación bidireccional  2 flujos RTP, uno en cada
sentido
• Los números de puerto se mantienen durante toda la sesión

11. Seguridad en VoIP
RTCP
• Al mismo tiempo que se establecen las conexiones RTP, se establecen también las
conexiones RTCP  Información estadística de los paquetes que participan en la llamada:
Nº de paquetes, retardo, pérdida de paquetes y jitter
– Proporciona información útil, pero el protocolo no es crítico
– Utiliza un puerto impar (normalmente el siguiente) del mismo rango que RTP
– Intercambia información cada 5 segundos
– Ayuda a determinar causas de error

12. Seguridad en VoIP
Principales protocolos de VoIP
• SIP:
– Es un protocolo IETF que especifica los comandos y respuestas para establecer y
finalizar llamadas
– Proporciona servicios de seguridad, proxy y transporte
– Junto con SAP y SDP, proporciona información acerca de las sesiones multicast
existentes
– Es un protocolo de señalización de extremo a extremo.
– Se basa en HTTP y en la utilización del esquema de nombre URL
– Es el protocolo de señalización más utilizado en la actualidad
• Skinny Client Control Protocol:
– Es un protocolo de señalización patentado por Cisco
– Se utiliza para que los teléfonos IP se registren en el Call Manager y para la
señalización de llamadas a través dicho Call Manager

13. Seguridad en VoIP
Principales protocolos de VoIP
• H.323:
– Es un protocolo estándar ITU definido para realizar conferencias interactivas.
– Se diseñó originalmente para la distribución de multimedia en entornos no orientados a
la conexión.
– En la actualidad, es un conjunto de estándares que define todos los aspectos de la
sincronización de voz, vídeo y transmisión de datos
– Define la señalización de llamada de extremo a extremo
• MGCP:
– Es un estándar de control de pasarelas PSTN o de dispositivos ligeros (RFC 2705)
– Define un protocolo para controlar a las pasarelas de VoIP conectadas da dispositivos
de control de llamadas externos (call agents)
– Proporciona capacidad de señalización para dispositivos frontera (pasarelas) menos
costosa.
– Evita que los dispositivos deban implementar el conjunto entero de protocolos H.323.

14. Seguridad en VoIP
Redes de telefonía basada en paquetes: Componentes

15. Seguridad en VoIP
Redes de telefonía basada en paquetes: Componentes
• Teléfonos: Teléfonos IP, teléfonos software instalados en PCs, teléfonos convencionales
• Gatekeepers: Proporcionan administración y control centralizados del ancho de banda para
todos los dispositivos de una determinada zona (“management zone”).
– Es un dispositivo opcional
– Proporciona el servicio de “Call Admision Control” (evitar la sobresuscripción)
– Traduce números o nombres a direcciones IP para el enrutamiento de llamada (H.323)
• Gateways: Interconectan las redes de VoIP con dispositivos de telefonía tradicional.
– Suelen ser routers con interfaces de voz, a la que se conecta una línea de voz.
– Tienen también interfaces de datos que se conectan a la red de VoIP.
– Recibe una señal de teléfono por la interfaz de voz, la digitaliza, comprime y
empaqueta en IP y la envía hacia su destino en la red IP.
– Realiza la operación contraria cuando recibe paquetes de VoIP dirigidos a un
dispositivo de telefonía tradicional. Ambas operaciones las hace de forma simultánea
(full-dúplex).
• Multipoint Control Units: Es un dispositivo necesario para gestionar conferencias (+ de 2
partes). Los participantes envían los datos al MCU y éste los reenvía a todos los destinos.

16. Seguridad en VoIP
Redes de telefonía basada en paquetes: Componentes
• Servidores de aplicaciones: Proporcionan servicios a los teléfonos IP basados en XML
(Cisco Call Manager Attendant Console).
• Call Agents: Proporcionan control de llamadas, CAC, control de ancho de banda y servicios
de traducción de direcciones a los teléfonos IP o a las pasarelas “Media Gateway Control
Protocol”
– Producto “Call Agent” de Cisco  Call Manager
• Realiza el seguimiento de todos los dispositivos de la red VoIP
• Suele utilizar el protocolo “Skinny Client Control Protocol (SCCP)” para la
señalización a los dispositivos finales
• Para pasar la señalización de llamada a las pasarelas se puede utilizar:
– H.323
– MGCP
– Session Initiation Protocol (SIP)
• Call Manager actúa en cierto modo como una centralita IP
• Dispositivos finales de vídeo: Añaden funcionalidades de vídeo a la voz: Incorporan
elementos para la captura y emisión de vídeo y audio.

17. Seguridad en VoIP
Seguridad en VoIP

18. Seguridad en VoIP
Seguridad en VoIP
• La telefonía IP es un servicio en tiempo real que depende del correcto funcionamiento de
elementos de las 7 capas del modelo OSI durante el proceso de comunicación
– Infraestructura de red subyacente
• Ventajas
• Inconvenientes
– En cuanto a la seguridad:
• Ataques propios en redes IP
• Ataques específicos a aplicaciones de Telefonía IP
• La seguridad en Telefonía IP consiste en proteger todos los componentes del sistema de
Telefonía IP, sobre una infraestructura de red de datos segura, para proporciona tolerancia
a fallos, estabilidad y escalabilidad:
– Teléfonos IP, Servidores, Enlaces, Sistemas de Mensajería, Pasarelas,…
– Infraestructura de red (LAN/WAN), Red Inalámbrica,…

19. Seguridad en VoIP
Seguridad en Telefonía IP: Ejemplo

20. Seguridad en VoIP
Seguridad en Telefonía IP
• Por lo tanto, en primer lugar es necesario proteger la red de datos:
– Arquitecturas de Seguridad Perimetral
– Seguridad en Redes de Área Local
– Firewalls
– Redes Privadas Virtuales con Ipsec
• No debe olvidarse la seguridad en el propio sistema de telefonía IP
• ¿Por qué proliferan los ataque a entornos Telefonía IP?: Motivos económicos:
• Robo de identidad o información
• Fraude de llamadas
• Espionaje
• Interrupción de servicios

21. Seguridad en VoIP
Seguridad en Telefonía IP
• Elementos clave a proteger:
– La infraestructura de red:
• Protección en las redes Ethernet
– Control de acceso, protección de STP, DHCP snooping,…
• Protección en las redes WLAN:
– Control de Acceso, Cifrado
• Control de tráfico entre diferentes zonas de seguridad
– Seguridad Perimetral
– Las conversaciones individuales
• Diferentes tipos de VPN
– Autenticación, Cifrado, Integridad
• Continuidad del negocio
• Valor del negocio

22. Seguridad en VoIP
Cómo Implementar Seguridad en Entornos VoIP

23. Seguridad en VoIP
Metodología de Seguridad en VoIP
• Las amenazas para un sistema de VoIP son tanto internas como externas
• La estrategia de seguridad a utilizar debe ser multicapa  “Defensa en Profundidad”
• Servicios de seguridad básicos:
– Confidencialidad
– Integridad
– Disponibilidad
• Principios básicos:
– La seguridad de la red es un elemento consustancial a la red de VoIP
– La seguridad del sistema de telefonía IP es un elemento fundamental para el buen
funcionamiento de una organización

24. Seguridad en VoIP
Metodología de Seguridad en VoIP
• Cuando se piensa en un sistema de telefonía IP ¿Qué se piensa en un primer momento
que se debe proteger?
– Servicio de Control de llamadas: Dispositivos relacionados: Servidores SIP, Call
Managers, Gatekeepers…
– Servicio de Buzón de Voz
– Conectividad con la Red Telefónica Pública
– Los dispositivos finales VoIP: Teléfonos, Softphones, …
• ¿Cómo proteger estos componentes?
– Autenticación y Cifrado  Tráfico de Señalización como al Tráfico RTP
– Establecimiento de elementos de control de llamadas
– Conferencias Seguras
– Enlaces troncales seguros
– Etc.

25. Seguridad en VoIP
Metodología de Seguridad en VoIP
• Pero… ¿Qué pasaría si alguien consiguiese atravesar la defensa que se aplica a los
sistemas específicos de VoIP?
• ¿Qué sucedería si un atacante consiguiese hacer “IP spoofing”, “MAC spoofing” o
manipular una tabla ARP?
– La seguridad del sistema de Telefonía IP se vería comprometida
• Enfoque:

26. Seguridad en VoIP
Metodología de Seguridad en VoIP
• La seguridad de los sistemas de Telefonía IP solamente será estable, robusta y escalable si
se asienta sobre otro bloque mayor, qué es la “Seguridad de la Red IP sobre la que se
despliega el Sistema de Telefonía
– Modelo OSI  Estrategia de defensa por capas
• Como todo el mundo conoce, antes de proteger cualquier red IP deben contestarse las
siguientes preguntas:
– ¿Cuál es el nivel de seguridad que se requiere?
– ¿Cuál es la política de seguridad de la organización?
• Una vez contestadas estas preguntas  Planificación y Preparación del Despliegue de
Seguridad: Aproximación “bottom-up”
– Considerar la seguridad como parte de la Arquitectura de la Red de Telefonía IP
• Análisis de Riesgos + Definición de la Política de Seguridad de la Red VoIP
– Verificar el nivel actual de seguridad de la red  Identificar problemas
– Garantizar la seguridad física, de capa 2 y capa 3 de la red subyacente
– Proteger las aplicaciones de VoIP: Servidores, dispositivos finales, buzones de voz …

27. Seguridad en VoIP
Metodología de Seguridad en VoIP
• Por lo tanto, la seguridad de un sistema de Telefonía IP descansa sobre cuatro pilares:
– Evaluación de Riesgos
• Evaluación del impacto en el negocio de amenazas y vulnerabilidades
• Probabilidad de explotación de amenazas
• Ayuda a convertir un “gasto” en una “inversión”
– Arquitectura y Diseño de Seguridad
• Directivas de seguridad corporativas
• Estándares
• Decisiones de gestión de riesgo
• Recomendaciones de la Industria
– Implementación de los Sistemas de Telefonía IP y de Seguridad de Red
• Implementación de procesos y servicios de seguridad, concurrentemente con el
despliegue de los servicios de telefonía
– Operación y Mantenimiento de la Red de Telefonía IP
• Monitorización de los sistemas de seguridad y telefonía
• Descubrimiento de fallos  Mejora Continua

28. Seguridad en VoIP
Evaluar la Seguridad VoIP y Despliegue de la Política de Seguridad
• Es la capa base de la pirámide de seguridad
• La organización define la estrategia de seguridad corporativa
• Evaluación de la seguridad de red:
– Inventario de los componentes de la red
– Ejecución de pruebas de penetración (Pentesting)
• Escáneres de red
• Herramientas de manipulación
• Herramientas de enumeración de dispositivos
– Fases:
• Descubrimiento y recopilación de información: Política de Seguridad de Telefonía
IP y Seguridad Desplegada
• Análisis de la Información: Evaluar la efectividad de la solución desplegada
• Recomendaciones

29. Seguridad en VoIP
Evaluar la Seguridad VoIP y Despliegue de la Política de Seguridad

30. Seguridad en VoIP
Implementación de Seguridad en una Red de Telefonía IP
• “Sin una red IP segura, un sistema de telefonía IP no puede considerarse seguro”
 Implementación de seguridad en la red subyacente:
1. Seguridad Física
2. Seguridad en Capa 2
3. Seguridad en Capa 3
4. Seguridad Perimetral

31. Seguridad en VoIP
Implementación de Seguridad en una Red de Telefonía IP

32. Seguridad en VoIP
Seguridad Física
• Elementos Implicados en la Seguridad Física:
– Candados, Cámaras, lectores de tarjetas de seguridad, cerraduras… guardias de
seguridad
– Elementos propios de una red de soporte para VoIP: routers, switches, servidores,
teléfonos, puntos de acceso, etc.
• Control de acceso
• Principales amenazas:
– Destrucción de los mismos
– Robo de equipos
– Aplicación de procedimientos de recuperación de contraseñas

33. Seguridad en VoIP
Seguridad de Capa 2
• En los entornos LAN, la seguridad en capa 2 es una de las grandes olvidadas, con el
consiguiente riesgo que ello conlleva
– El entorno LAN se considera tradicionalmente como una red interna, y por lo tanto es
una red protegida “por defecto”
– No se aplican los mecanismos de seguridad que se deberían
• Mecanismos de seguridad a tener en cuenta:
– DHCP Snooping
– Autenticación basada en IEEE 802.1x
– Limitación de VLANs en los puertos troncales y en los puertos a los que se conectan
los teléfonos IP
– Limitación del número de MACs aprendidas por puerto
– Control del tráfico de broadcast…
– Protección de STP

34. Seguridad en VoIP
Seguridad de Capa 2
• Amenazas:
– Uso de sniffers para la obtención de contraseñas
– Cambio del switch raíz de la topología STP
– Bloqueo de los teléfonos IP
– Cambio de la pasarela por defecto
– Cambio de los servidores que albergan la configuración de los teléfonos IP
– Sniffing de conversaciones de telefonía IP
– … y muchas otras
• Aplicar medidas de seguridad a partir de la capa 3 no será efectivo si no se considera la
seguridad en capa 2

35. Seguridad en VoIP
Seguridad de Capa 3
• Establece la conectividad de los dispositivos de VoIP de “extremo a extremo”
• Amenazas en capa 3:
– Ataques de DoS
– IP spoofing
– Ataques “Man-in-the-middle”
– Envenenamiento de rutas
– … entre otros
• La protección del intercambio de información en esta capa y de los mecanismos que se
utilizan para establecer cuál es la mejor ruta, son fundamentales para proporcionar
seguridad en las capas superiores

36. Seguridad en VoIP
Seguridad Perimetral
• El perímetro se define como el punto de tránsito entre zonas de diferente nivel de seguridad
en una red corporativa
• Zonas de seguridad típicas:
– Red Interna
– Red Externa
– DMZ
• En este punto deben reforzarse las medidas de seguridad, pues es donde la red corporativa
se conecta con redes públicas
• Mecanismos de Defensa: Firewalls, IPS/IDS, Concentradores de VPNs
• Amenazas habituales provenientes de las redes externas:
– Intentos de intrusión
– Malware
– Explotación de vulnerabilidades
– Ataques contra la privacidad e integridad

37. Seguridad en VoIP
Implementación de Seguridad en las Aplicaciones de VoIP
• Se consideran aplicaciones de VoIP aquellas donde el usuario interactúa utilizando
procesos de alto nivel, es decir, son las aplicaciones que permiten que los usuarios
“hablen”, realicen “vídeo-llamadas” o cualquier tipo de conferencia
• Las vulnerabilidades existentes en la capa de aplicación NO pueden ser mitigadas por los
mecanismos de seguridad de las capas inferiores
 Deben asegurarse servicios y aplicaciones de VoIP:
• Actualización y parcheo de software
• Blindaje de servidores
• Comunicaciones cifradas
• Autenticación fuerte
• Protocolos Implicados:
– HTTP/HTTPS, TFTP/SFTP, DNS, SMTP, Telnet/SSH/RDP/SNMP, SCCP/SIP/H.323/
MGCP

38. Seguridad en VoIP
Implementación de Seguridad en las Aplicaciones de VoIP
• Elementos a proteger:
– Dispositivos de Control de Llamada
– Elementos relacionados con el sistema de buzones de voz
– Elementos de Presencia
– Pasarelas
– “Gatekeepers”
– Dispositivos Finales