1. Sécurité de la VoIP
faiblesse
Sécurisation
attaques
Réalisé par:
KAID Belkacem
MHIRA Haifa
RIGAULT
Bastien
MANSFELD
Sebastien
CHAKROUN
Amine

2. Plan:
• Failles et attaques subies par la VoIP ---------------- CHAKROUN
Amine
• Retranscrire une conversation chiffrée ---------------- RIGAULT Bastien
• ZRTP: Sécuritédu SRTP----------------- MANSFELD Sebastien
• Démonstration d’attaque ---------------- KAID Belkacem & MHIRA Haifa
• Conclusion

3. Outils d’organisation des communications
SIP
• Protocole de signalisation au niveau de la couche application
• Gestion de différents types de sessions (audio,vidéo)
• Sécurité des échanges assurée à travers le cryptage: de bout en bout,
au saut par saut et par saut du champs
•

4. RTP
• Echange des données sur VOIP en respectant la contrainte du temps
• Sécurisation des données en fonction de leur nature
• Horodatage des paquets pour assurer la non répudiation
•
RTCP
•
• Contrôle du flux de données véhiculé par RTP
-
• Emission périodique de paquets donnant des informations sur la
qualité de sevice

5. Failles de sécurité
De nombreuses failles existent à différents niveaux:
•
• La conception des protocoles et des architectures du réseau
• Le développement des applications utilisant la VoIP
•
• Vérification de l’authenticité des utilisateurs et données qui circulent
•
•

6. Les attaques subies par la VoIp
Le piratage:
• Lancement d’un appel par un pirate avec des informations récupérées
auprès d’un utilisateur authentifié
• Empêcher le bon déroulement des appels
•
Voice phishing
•
• Principe identique au phishing sur internet: contacter les gens à une grande
échelle et les diriger vers des contenus illicites
•
• Inciter les utilisateurs à fournir leurs données personnelles en prétendant
être un organisme de confiance
•

7. Déni de service
• Priver les utilisateurs du service en détruisant le serveur
• Surcharge du serveur à travers l’émission d’un flux de données incessant
• User supported DoS: notifier les utilisateurs de la réception des
messages qui n’existent pas:possible à travers des outils comme
Packetyzer
Spam over IP
• Envoyer des messages vocaux qui sont des publicités à la base
•
• Emission des chevaux de troie dans ces messages: envoi de messages à
l’insu de l’utilisateur et en utilisant sa connexion
•

8. Retranscrire une conversation chiffrée (1)
• SRTP assure la confidentialité avec AES et n’ajoute aucun payload au
paquet.
• Pour optimiser la bande-passante, SRTP utilise des codecs VBR
(variable bit-rate), c’est-à-dire dont le taux de compression dépendra
des évènements sonores entrant.
• On peut alors établir une corrélation entre la taille d’un paquet et
l’évènement sonore chiffré lui correspondant.

9. Retranscrire une conversation chiffrée (2)

10. ZRTP : Définition
•Protocole d’accord de clés pour SRTP (P.Zimmermann: PGP) :
•Pas besoin de PKI, ni de clé persistantes
•Secret partagé via un Diffie-Hellman
•Secret partagé authentifié par une "Short Authentication
String"
•« Perfect forward Secrecy » (clés détruites à la fin de
l’appel)

11. ZRTP : Rappel ÉchangeDiffie-Hellman
•Rappel sur le fonctionnement de l’échange Diffie-Hellman

12. ZRTP : Fonctionnement
•3 Modes d’accords de clé possibles :
•Mode Diffie-Hellman
•Mode Multistream
•Mode pré-partagé

13. ZRTP : Établissement DE session

14. ZRTP : Attaques
•Deux attaques sont possibles :
•Attaque DoS
•Attaque Man in The Middle

15. ZRTP : Synthèse
•Bonne solution pour sécuriser le premier échange de clé Diffie-
Hellman d’une communication SRTP

16. Démonstration d’attaque

17. Conclusion
• Les principales failles du Voip se trouvent principalement au niveau du SIP, car même parfois
les paquets cryptés, quelques-uns passent en clair et peuvent être important pour un
utilisateur malveillant à fin de les utiliser et de les manipuler pour nuire aux principales
conditions de sécurités qui sont : L’intégrité, La confidentialité, La disponibilité, La non
répudiation, et L’authentification.
• Les paquets même cryptés peuvent être exploités comme vu précédemment.
•