VoIP heeft patch-probleem

Spraak stelt hoge eisen aan systeembeheer

Al vroeg in de commerciële ontwikkeling van Voice over IP (VoIP) is er nagedacht over de veiligheidsrisico’s. Alle problemen waar een gewone applicatieserver mee te maken heeft, zijn tenslotte ook van toepassing op een VoIP-server. Niet iedereen is het daarmee eens.

Gábor Szabó, security solutions mananger EMEA van Tipping Point, meent dat er wel degelijk verschil is tussen VoIP-servers en ‘gewone’ servers. “Een server loopt het grootste risico als deze niet met de allerlaatste patches is uitgerust”, zei hij tijdens het seminar ‘De risico’s van VoIP’ in het Utrechtse Media Plaza. “Iedere systeembeheerder probeert zijn servers dan ook van deze patches te voorzien zodra deze zijn getest. Daar ligt echter een probleem als het over VoIP gaat. Voor spraakservers geldt namelijk dat die patches door bedrijven als Microsoft niet zijn getest voor VoIP. Dit soort applicaties hebben namelijk de eigenschap dat ze niet alleen puur bovenop het OS liggen, maar veel dieper in de kernel reiken dan bijvoorbeeld een database-applicatie. Het betekent dat een patch die voor de meeste programmatuur perfect werkt, wel eens kwalijke gevolgen kan hebben voor de spraakapplicatie.”

Volgens Szabó gaan de leveranciers van de spraakapplicatie vervolgens zelf aan de slag om te zien of de desbetreffende patch van invloed is op de werking van hun eigen software. “Het kan soms wel weken duren voordat ook zij het groene licht geven om de oplossing te installeren en al die tijd is juist een kritiek systeem als een VoIP-server onbeschermd tegen lekken in het OS.” Tipping Point, dat deel uitmaakt van 3Com, is een van de oprichters van de Voice over IP Security Alliance (VOIPSA). Deze organisatie, die gevormd is door leveranciers, telecomaanbieders en universiteiten, kwam eind vorig jaar met de eerste taxonomie waarin voor het eerst vrijwel alle gevaren van VoIP zijn beschreven en geclassificeerd.

Nog weinig exploits

“De risico’s zijn te verdelen”, zegt Szabó. “Ten eerste zijn er exact dezelfde risico’s als bij elk datanetwerk. Spraak is in dat opzicht gewoon een datastroom, dus dat is je eerste ‘point of faillure’. Daarnaast gebruiken alle leveranciers hun eigen spraakservers die draaien op Linux of Windows; daarom zit in die OS-laag het tweede risico. Vanwege de patchproblemen is dat een groter gevaar dan voor willekeurig elke andere kantoorapplicatie. Als derde risico is daar het protocol en de datapakketjes zelf die gevaar lopen. Deze kunnen afgeluisterd, omgeleid of aangepast worden. We zien nu al dat er callcenters zijn die geen ip-gesprekken aannemen omdat de caller-id van de beller niet meer verifieerbaar is. Hier zien we voor het eerst welke praktische hindernissen er op ons pad komen. Op dit moment zijn er weliswaar nog weinig exploits die zich puur op VoIP richten, maar naarmate de techniek grootschaliger wordt ingezet, zullen de aanvallen gerichter worden. Daarvan moet men zich bewust zijn voordat tot VoIP wordt overgegaan.”