Informe

Las vulnerabilidades de VoIP

Los ataques maliciosos que habíamos observado en otros
soportes asolan ya las llamadas de voz por Internet. En este
informe examinamos las tendencias de las vulnerabilidades,
así como los ataques a nivel de protocolos y aplicaciones.
Presentamos una descripción general y técnica de las amenazas
que se ciernen sobre el protocolo VoIP (Voice over Internet
Protocol), o "voz sobre IP", y una indicación de las medidas
posibles para protegerse contra ellas y detenerlas.

Kevin Watkins, McAfee LabsTM

Informe Las vulnerabilidades de VoIP

Índice
Introducción 3
¿Qué es VoIP? 3

Tendencias y objetivos de las vulnerabilidades de VoIP 3

¿Cómo se producen los ataques? 4

Realización de llamadas VoIP 4

Ataques a nivel de protocolos 5

Escuchas ilegales o interceptación 5

Repetición 6

Denegación de servicio 6

Manipulación de señales y transmisiones multimedia 6

Ataques a nivel de aplicaciones 6

Dispositivos VoIP con servicios abiertos 6

Servicios Web de teléfonos VoIP 6

Vishing (VoIP phishing) 7

Spam VoIP 7

Fraude telefónico mediante VoIP 7

Conclusión 7
Acerca de McAfee Labs 8
Acerca de McAfee, Inc. 8
Notas 8
Informe Las vulnerabilidades de VoIP

Introducción
¿Qué es VoIP?
El protocolo VoIP (Voice over Internet Protocol) es un método para hacer llamadas telefónicas
por Internet o a través de redes privadas. Las llamadas tradicionales deben atravesar una serie de
conmutadores y circuitos, que son propiedad de las compañías telefónicas, que controlan el proceso
y las tarifas. El uso de VoIP permite, tanto a empresas como a usuarios particulares, lograr un
considerable ahorro de costes, especialmente en llamadas de larga distancia.
Desde el punto de vista técnico, VoIP es un método de comunicación que emplea las normas rivales SIP
(Session Initiation Protocol)1 y H.323,2, ambas ampliamente difundidas. Las dos se encargan de enrutar
conversaciones de voz a través de Internet o de redes basadas en IP y definen protocolos inspirados en los
sistemas telefónicos tradicionales. Los protocolos de señalización reemplazan las funciones de las centralitas
privadas ordinarias (PBX) y corren a cargo de servidores PBX IP con software de aplicaciones, como Cisco
Call Manager, Nortel CallPilot y Asterisk. El segundo tipo, los protocolos multimedia, definen los protocolos
utilizados entre dos endpoints o dispositivos telefónicos VoIP, como los teléfonos Cisco de la serie 7900 o
cualquier teléfono inalámbrico VoIP. Se han encontrado vulnerabilidades de VoIP en los protocolos de
señalización y multimedia, el software de gestión de llamadas y en los propios dispositivos telefónicos.
Este informe explica las principales vulnerabilidades de VoIP y analiza cómo se producen los ataques
y cómo protegerse de ellos.

Tendencias y objetivos de las vulnerabilidades de VoIP

La primera vez que McAfee Labs observó un incremento en las vulnerabilidades de VoIP fue a finales de
2006 y, desde entonces, la tendencia alcista se ha mantenido hasta la actualidad. En parte, podemos
atribuir este aumento a la disponibilidad de mejores herramientas para detectar vulnerabilidades en
VoIP, aunque, en gran medida, debe achacarse al creciente número de instalaciones VoIP. Según un
informe de Infonetics Research, el conjunto de la telefonía para empresas creció más del 8% durante
el segundo y el tercer trimestre de 2008. Cisco, Avaya y Nortel encabezan sistemáticamente la lista de los
principales distribuidores para empresas. En los últimos tiempos Cisco ha ocupado el primer puesto con un
crecimiento del 19% durante el tercer trimestre de 2008. Avaya ha crecido un 10% y Nortel les sigue en
tercera posición3. No es de extrañar que los productos de estos tres distribuidores reúnan la mayoría de las
vulnerabilidades de VoIP conocidas.

Figura 1: el número total de vulnerabilidades muestra una rápida tendencia al alza desde 2006. (Fuente: NVD)

3
Informe Las vulnerabilidades de VoIP

Figura 2: Cisco lidera con ventaja el grupo de los tres principales distribuidores en este campo. (Fuente: NVD)

¿Cómo se producen los ataques?

Realización de llamadas VoIP
Para entender cómo se producen los ataques, hay que entender cómo funciona la arquitectura VoIP.
La Figura 3 muestra los componentes de una llamada, desde el momento en que un usuario inicia una
comunicación telefónica con otro usuario (1). La solicitud se envía al software de gestión de llamadas
mediante una petición INVITE del protocolo de señalización/SIP (2). Recibida la petición, el software
de gestión de llamadas localiza el destinatario y le reenvía la solicitud (3). En ese momento, el control
pasa a los dos usuarios, y el protocolo de transmisión multimedia/protocolo RTP codifica y transmite la
conversación multimedia. En este ejemplo se emplea el protocolo SIP, aunque en otros entornos VoIP
las etapas son similares.

Figura 3: VoIP en acción, con el protocolo SIP.

Varias etapas de este proceso están expuestas a vulnerabilidades tales como la denegación de servicio de
las peticiones INVITE, la interceptación de la conversación entre dos usuarios y las brechas en el software
de gestión de llamadas. Vamos a analizar estos ataques y vulnerabilidades.

4
Informe Las vulnerabilidades de VoIP

Ataques a nivel de protocolos

Escuchas ilegales o interceptación
En 2001 advertimos la presencia de VOMIT (Voice Over Misconfigured Internet Telephones, voz sobre
teléfonos mal configurados en Internet)4. Esta herramienta extrae del tráfico de la red un volcado de una
conversación con un teléfono IP de Cisco y lo convierte en un archivo que puede oírse en un reproductor
de sonido normal. VOMIT sólo podía utilizarse con el protocolo H.323/G.711 o con teléfonos IP de Cisco,
aunque otras herramientas como VoIPong funcionan con SIP y el protocolo de transmisión multimedia/RTP5.
La Figura 4 muestra la interceptación de dos teléfonos IP en SIP/RTP y la configuración predeterminada
de Asterisk. El ejemplo utiliza WireShark (antes Ethereal), una herramienta de análisis de redes de código
abierto (o rastreador).
Las escuchas ilegales se producen porque, en muchas configuraciones predeterminadas, el protocolo de
transmisión multimedia que transfiere la conversación carece de cifrado. Éste es el caso cuando se utiliza
RTP como capa de transmisión multimedia. La mejor solución es utilizar RTP seguro (SRTP), que incluye
cifrado y autenticación6.

Figura 4: escucha ilegal en una llamada VoIP.

5
Informe Las vulnerabilidades de VoIP

Repetición
Los ataques de repetición reproducen ante la víctima una sesión legítima (captada normalmente
interceptando el tráfico de la red). Con VoIP, los ataques de repetición se producen en el protocolo
de señalización SIP. Hay un ataque bien conocido que utiliza técnicas de repetición para secuestrar la
información de registro. El protocolo SIP emplea el comando de registro para indicar al software de
gestión de llamadas dónde se encuentra un usuario en función de su dirección IP. El atacante puede
reproducir esta solicitud y sustituir otra dirección IP para desviar todas las llamadas a su propia dirección.
Los ataques de repetición se producen porque hay partes del protocolo SIP que se comunican en
texto normal. Para protegernos contra este tipo de ataques ahora podemos utilizar SIPS (SIP sobre TLS,
seguridad de la capa de transporte). SIPS proporciona integridad y autenticación entre el usuario y el
software de gestión de llamadas.

Denegación de servicio
Dado que VoIP es un servicio de la red IP, está expuesto a los mismos ataques por inundación (flooding)
que afectan a otros servicios basados en IP. Los ataques a infraestructuras incluyen la inundación de
dispositivos telefónicos PBX IP VoIP y VoIP con andanadas de paquetes TCP SYN/UDP (User Datagram
Protocol). En la comunidad de los hackers también son famosos los ataques a protocolos de señalización
y multimedia con herramientas que, por ejemplo, envían oleadas de peticiones INVITE de SIP a un
teléfono IP para agotar sus recursos (flooder) o inyectan peticiones BYE en un flujo de red para poner
fin a una llamada ("Teardown")7, 8.
Los agresores utilizan este tipo de ataques de denegación de servicio como forma de extorsión. Se considera
que el servicio telefónico tradicional tiene una disponibilidad del 99,999% (los "cinco nueves" de la
telefonía) y cabe esperar que VoIP alcance la misma cifra. Sin embargo, VoIP está expuesto a ataques por
inundación (mediante redes de bots y otras herramientas) y en los equipos de VoIP residen numerosas
vulnerabilidades de denegación de servicio.

Manipulación de señales y transmisiones multimedia

Una vez más, dado que VoIP es un servicio de la red IP, es vulnerable a los mismos ataques de
manipulación de redes que otros servicios de red. Uno de ellos es "RTP InsertSound", que permite a
un intruso insertar archivos de sonido en una transmisión multimedia con RTP (conversación de voz
entre dos o más teléfonos IP)9.

Ataques a nivel de aplicaciones

Dispositivos VoIP con servicios abiertos
Muchos teléfonos tienen un puerto de servicio abierto para que los administradores puedan recopilar
estadísticas, información y ajustes de configuración remota. Estos puertos abren la puerta a la divulgación
de información que los agresores pueden utilizar para conocer mejor la red e identificar los teléfonos VoIP.

Servicios Web de teléfonos VoIP

Un número importante de los puertos de servicio en los teléfonos VoIP que ponen los datos en riesgo
también interaccionan como servicios Web y, por lo tanto, son susceptibles de sufrir las vulnerabilidades
habituales, como la falsificación de peticiones y las secuencias de comandos entre sitios. La primera
se produce cuando se inserta un vínculo en una página Web que utiliza las credenciales de la víctima,
normalmente en una cookie. A título de ejemplo, podemos citar la vulnerabilidad que se encontró hace
poco en los teléfonos SIP de Snom Technology. Dicha vulnerabilidad permite a los usuarios cambiar la
configuración del dispositivo, ver el historial de llamadas e incluso hacer llamadas telefónicas mediante
una interfaz Web incorporada. Basta con que el agresor conozca la dirección IP del dispositivo VoIP
para que se produzca un ataque. No tiene más que atraer al usuario del teléfono a un sitio malicioso
y hacerse con sus credenciales para acceder después al teléfono con su dirección IP, como si fuera el
propietario. Este método es particularmente insidioso porque neutraliza el firewall.

6
Informe Las vulnerabilidades de VoIP

Vishing (VoIP phishing)

La verificación de la información personal por teléfono no es algo nuevo y, en general, estamos
acostumbrados a no desconfiar de la identidad del que realiza la llamada. En el caso de las llamadas
tradicionales, a menudo podemos rastrear su origen geográfico y solemos fiarnos del ID de la persona
que efectúa la llamada para su identificación. Con VoIP esta seguridad desaparece. Las llamadas
pueden venir de cualquier lugar de Internet y la verificación del ID del llamante puede falsificarse.
Los ciberdelincuentes actuales aprovechan este anonimato con técnicas de "vishing", es decir, la
combinación entre VoIP y la falsificación de ID de la persona que efectúa la llamada. Al igual que ocurre
con el phishing, el ataque de vishing suele adoptar la apariencia de una institución financiera que pide
información personal, como el número de la tarjeta de crédito o del documento de identidad. Nos
han llegado informes sobre varios de estos ataques. En un ejemplo reciente, un mensaje de correo
electrónico que parecía proceder de un banco ofrecía un número VoIP local como contacto. El hecho
de que el número fuese local daba legitimidad al mensaje10. Si los ID de los llamantes son tan fáciles
de falsificar y resulta tan sencillo crear números VoIP, prevemos que habrá muchos más ataques de
ingeniería social de este tipo.

Spam VoIP
Al igual que el servicio telefónico estándar, VoIP también es objeto de comunicaciones no solicitadas ni
deseadas. El spam VoIP también se conoce como SPIT (Spam over Internet Telephony, spam en telefonía
por Internet). Los agentes de telemarketing se han percatado del potencial de VoIP y de la conveniencia
de utilizar la automatización para llegar a miles de usuarios. Estas llamadas no deseadas pueden
consumir recursos rápidamente y generar un ataque de denegación de servicio. Para reducir los riesgos
del SPIT basta con aplicar las lecciones aprendidas con el correo electrónico y el servicio telefónico
tradicional (autenticación, listas blancas, etc.).

Fraude telefónico mediante VoIP

El fraude mediante VoIP consiste en obtener acceso a una red VoIP (gestor de llamadas o gateway)
y realizar llamadas no autorizadas (normalmente de larga distancia o internacionales). Los atacantes
aprovechan el uso de nombres de usuario y contraseñas fáciles, gateways abiertos y otros ataques a nivel
de aplicaciones descritos en este informe. Este tipo de fraude es uno de los ataques más frecuentes contra
la tecnología VoIP. Los agresores atacan pequeñas empresas, como en Perth, Australia, donde realizaron
11.000 llamadas con un coste de más de 120.000 dólares americanos11, o roban más de 120 millones de
minutos VoIP a compañías como Verizon y AT&T con un beneficio de 1,2 millones de dólares11.

Conclusión
La seguridad de la red VoIP requiere combinar dos prácticas principales:
• Diseñar la red VoIP sin perder de vista la optimización de la seguridad: es preciso utilizar técnicas de
cifrado, firewalls y LAN virtuales. Por ejemplo, es preciso emplear SRTP para proteger la red de las
escuchas ilegales y separar la red VoIP en una VLAN independiente. Si es posible, es conveniente utilizar
SIPS. Aplique las mejores prácticas y las normas básicas del sector para proteger desde el principio
la seguridad de los controladores de llamadas y teléfonos VoIP. Garantice la aplicación de un sistema
de administración de parches eficaz: adopte las soluciones necesarias y actualice inmediatamente
todos los sistemas con los últimos parches de software disponibles en cuanto se anuncie un ataque
o vulnerabilidad. Utilice un servicio de gestión de vulnerabilidades para identificar los teléfonos VoIP
y controladores de llamadas expuestos a vulnerabilidades o no actualizados.
• Infórmese sobre las vulnerabilidades de VoIP actuales. Conozca la naturaleza de las amenazas a

la seguridad de VoIP y emplee los últimos productos de seguridad proactivos en el núcleo y en el

perímetro de la red para protegerse de los ataques de tipo zero-day. Cubra especialmente la conexión
en el gateway entre la red VoIP interna y las redes tradicionales externas.

Con la seguridad y las precauciones adecuadas, la tecnología VoIP puede ser incluso más segura que
el servicio telefónico tradicional.

7
 Informe Las vulnerabilidades VoIP

Kevin Watkins es investigador de seguridad en McAfee Labs. Es jefe de contenido y

asignaciones de cumplimiento normativo para los productos de McAfee. Watkins ha
dirigido la implantación de VoIP en McAfee y coopera con los grupos de trabajo que
adaptan VoIP al protocolo SCAP (Secure Content Automation Protocol). Lleva más
de diez años trabajando en el sector de la seguridad y ha diseñado contenido y
software de seguridad que utilizan muchas empresas de la lista Fortune 100, así
como organismos estatales. En su tiempo libre Watkins disfruta de su bicicleta en
las montañas de California o practica snowboard en el lago Tahoe.

Acerca de McAfee Labs

McAfee Labs es el equipo de investigación a nivel mundial de McAfee, Inc. Con la única organización
de investigación dedicada a todos los vectores de amenazas —malware, Web, correo electrónico, redes
y vulnerabilidades—, McAfee Labs reúne información a través de millones de sensores y tecnologías de
reputación basadas en la Web, como Artemis y TrustedSource. Los 350 investigadores multidisciplinares
de McAfee Labs, que trabajan en más de 30 países, siguen en tiempo real la gama completa de
amenazas, identificando vulnerabilidades de aplicaciones, analizando y correlacionando riesgos,
y activando soluciones instantáneas para proteger a las empresas y al público.

Acerca de McAfee, Inc.

McAfee, Inc., con sede en Santa Clara, California, es líder en tecnología de la seguridad. McAfee ha
adquirido el compromiso continuo de abordar los retos de la seguridad más difíciles a nivel mundial.
La empresa proporciona servicios y soluciones proactivas y probadas que protegen sistemas y redes en
todo el mundo, y permiten a los usuarios conectarse a Internet y navegar y comprar a través de la Web con
seguridad. Respaldada por un equipo de investigación galardonado, McAfee crea productos innovadores
que aportan a los usuarios particulares, a las empresas, al sector público y a los proveedores de servicios la
capacidad de demostrar que cumplen las normativas, proteger los datos, evitar interrupciones, identificar
vulnerabilidades y supervisar continuamente la seguridad, además de mejorarla. www.mcafee.com/es.

Notas
1. "Session Initiation Protocol" (Protocolo de inicio de sesión), Internet Engineering Task Force.
http://tools.ietf.org/html/rfc3261
2. "H.323: Packet-based multimedia communications systems" (H.323: sistemas de comunicación multimedia
basados en paquetes), International Telecommunication Union. http://www.itu.int/rec/T-REC-H.323/e
3. "Is Anyone Really Buying Unified Communications?" (¿De verdad alguien compra comunicaciones
unificadas?) TMCnet. http://intellicom-analytics.com/PressRelease/PDFs/1.pdf
4. "Vomit—Voice Over Misconfigured Internet Telephones" (VOMIT: voz sobre teléfonos mal configurados
en Internet), Monkey.org. http://vomit.xtdnet.nl/
5. EnderUnix. http://www.enderunix.org/voipong/index.php
6. "The Secure Real-time Transport Protocol (SRTP)" (SRTP: el protocolo seguro de transmisión en
tiempo real), ETF. http://tools.ietf.org/html/rfc3711
7. http://www.hackingvoip.com/tools/inviteflood.tar.gz
8. http://www.hackingvoip.com/tools/teardown.tar.gz
9. David Endler y Mark Collier, "Hacking Exposed VoIP: Voice Over IP Security Secrets & Solutions"
(VoIP expuesto a la piratería: secretos y soluciones de la seguridad de voz sobre IP),
http://www.hackingvoip.com/sec_tools.html
10. " ‘Vishing’: Beware of e-mail asking you to phone your bank" (Vishing: desconfíe de los mensajes de
correo electrónico que le piden que llame a su banco), The Age. http://www.theage.com.au/news/
Technology/Vishing-Beware-of-email-asking-you-to-phone-your-bank/2006/07/24/1153593241137.html
11. "VoIP hackers strike Perth business" (Piratas de VoIP atacan las empresas de Perth), ZDNet Australia.
http://www.zdnet.com.au/news/communications/soa/VoIP-hackers-strike-Perth-
business/0,130061791,339294515,00.htm?ocid=nl_SEC_21012009_fea_l1&omnRef
"VoIP toll fraud attack racks up a £57K bill in two days" (Un ataque de robo de llamadas VoIP acumula
una factura de 57.000 £ en dos días), ITProPortal. http://www.itproportal.com/security/news/
article/2009/1/28/voip-toll-fraud-attack-racks-57k-bill-two-days/
12. "Men Charged with Stealing More Than 120 Million VoIP Minutes from Verizon, AT&T" (Acusados
de robar a Verizon y AT&T más de 120 millones de minutos VoIP), TMCnet.com. http://hosted-voip.
McAfee, S.A. tmcnet.com/feature/articles/53861-men-charged-with-stealing-more-than-120-million.htm
Avenida de Bruselas nº 22
Edificio Sauce McAfee y otros productos conocidos relacionados con McAfee incluidos en el presente documento son marcas comerciales registradas o marcas
28108 Alcobendas comerciales de McAfee, Inc. y/o sus empresas filiales en EE.UU. y/o en otros países. El color rojo asociado a la seguridad es el distintivo de los productos
Madrid, España de la marca McAfee. Todas las demás marcas comerciales registradas o no registradas y productos no relacionados con McAfee que se mencionan en
Teléfono: +34 91 347 8535 este documento son meras referencias y son propiedad exclusiva de sus propietarios respectivos. © 2009 McAfee, Inc. Reservados todos los derechos.
www.mcafee.com/es 7528wp_labs_voipvuln_1109