Transformation in die Cloud - welche Cloud darf es sein?
Perspective - Réseaux du Futur

VoIP et sécurité. Laissons les préjugés, regardons les faits

14 juil. 2017

On entend souvent dire que la téléphonie IP ne serait pas assez sûre, surtout depuis que Snowden a déclaré que la NSA mettait Skype sur écoute. Qu’en est-il en réalité ?
Les entreprises elles-mêmes doivent décider du degré de protection que leur VoIP exige.
Un point doit être éclairci pour commencer. La téléphonie IP n’est pas toujours l’équivalent de la téléphonie Internet. Mais les moins convaincus citent souvent les faiblesses en matière de sécurité d’Internet. Il s’agit là de leur principal argument visant à pointer le soi-disant manque de sécurité des informations qui serait le défaut du VoIP. Cela étant, des services de téléphonie peuvent être fournis via des réseaux IP sécurisés, ce qui revient à dire que l’on n’a  pas nécessairement à passer par Internet.
Quiconque veut mesurer la vulnérabilité de la VoIP doit d’abord apprendre à distinguer :
  • Les prestataires de services OTT (over the top – hors fournisseur d’accès à Internet) tels que Skype et WhatsApp, qui n’ont pas leurs propres réseaux et proposent des services de téléphonie principalement par le biais de l’internet public.
  • Les sociétés de télécommunications qui, grâce à leurs propres infrastructures, peuvent proposer une VoIP à travers des réseaux privés sécurisés.
La Deutsche Telekom transporte par exemple les données pour les appels terrestres via son propre réseau, c’est à dire avec des connexions dans le réseau IP de Telekom, logiquement séparées des connexions d’autres services. Par conséquent, la téléphonie IP dans le réseau porteur offre un degré de sécurité comparable à celui du réseau téléphonique à l’ancienne qu’est le RTPC (Réseau Téléphonique Public Commuté). 
L’inconvénient est que si une des personnes impliquées dans l’appel a recours à un autre fournisseur de téléphonie, les données passeront également par son réseau. 
La résistance d’un appel aux mises sur écoute dépend de tous les réseaux impliqués. Mais c’était déjà le cas avec les anciens réseaux téléphoniques.
La plupart des opérateurs de réseaux en Allemagne et aillleurs font tout leur possible pour assurer la sécurité de leurs infrastructures.

RNIS: Accès et réseau interne, un point faible

Fondamentalement, un assaillant a besoin de plus de savoir-faire lorsqu’il attaque une VoIP que dans le cas du RTPC. Il n’y avait pas de dispositions par rapport à l’encodage pendant la « dernière ligne droite » avec l’ISDN ou la téléphonie analogique. L’encodage était dans les réseaux locaux (LAN) chose rare aussi. Pour mettre une conversation sur écoute, l’espion n’avait besoin que d’un accès physique au LAN sur la ligne appropriée ; dans la cave d’un bâtiment par exemple. Dans le cas d’une connexion vocale SIP cependant, l’appel passé entre deux personnes peut être transmis sous forme encodée dans des circonstances particulières, ce qui rend les mises sur écoute pratiquement impossibles. A l’avenir, il sera aussi possible d’encoder certaines connexions Telekom VoIP entre la personne passant l’appel et de nouveaux échanges vocaux : l’outil sécurisé SIP sur TLS (ou SIPS (Session Initiation Protocol Secure) et des protocoles d’encodage SRTP (Secure Real Time Protocol). Pour ce faire, les deux protocoles doivent en revanche être reconnus par les systèmes de télécommunication utilisés ou par la téléphonie SIP du client. 
Cela signifierait-il que les transitions SIP n’auraient absolument rien à se reprocher en matière de sécurité ? Pas tout-à-fait. Après tout, les attaques du passé affectaient plus les infrastructures d’une entreprise que ses réseaux de données. Avec la téléphonie IP, la voix et les données utilisent le même réseau, à savoir le LAN sur chaque site et – dans le cas d’un système TC central – le WAN. La sécurité de la VoIP affecte donc aussi la sécurité des réseaux de données. L’inverse est vrai aussi : un pirate pourrait mettre sur écoute des téléphones d’employés par le biais d’un routeur piraté ou d’un PC connecté au WAN. Or, cela est faisable à distance.

La séparation des réseaux n’est pas envisageable

Naturellement, les entreprises pourraient séparer physiquement la voix et le réseau de données. Cela dit, cela anéantirait beaucoup des avantages de la VoIP. Il en va ainsi de la possibilité de manier la téléphonie et les données via les câbles LAN existants ou d’utiliser les systèmes téléphoniques sur des serveurs standardisés dans le centre de données.
Quelles sont donc les mesures à prendre pour les entreprises pour que la téléphonie et leurs données soient en sécurité ? Il n’y a pas de solution facile. Après tout, chaque société doit évaluer individuellement le niveau de sécurité VoIP qu’elle entend exiger. Il y a toutefois deux aspects fondamentaux : l’utilisation de contrôleurs de sessions en périphérie (SBC, pare-feu VoIP) et la nécessité d’avoir un encodage.

Un mur défensif pour le réseau public

Chaque entreprise entretient un pare-feu entre Internet et le réseau de la société. Dans de nombreux cas, un second mur défensif pour les réseaux vocaux IP est nécessaire pour assurer la sécurité de la VoIP. Selon le niveau de sécurité nécessaire, cette muraille peut être mise en application de trois manières :
  1. Des routeurs individuels sur chaque site : Seul le pare-feu du routeur existant (pare-feu à filtrage dynamique de paquets) ou des fonctions SBS minimales sécurisent la circulation des données vocales entre le réseau local de l’entreprise et la connexion SIP locale. Cette architecture du système de sécurité peut suffire à satisfaire de nombreuses exigences. 
  2. Des routeurs actualisés sur chaque site : Plus de routeurs complexes avec fonctions SBC qui séparent les réseaux interne et externe et soutiennent l’encodage. Cette solution apporte plus de sécurité VoIP. Bien sûr, de tels routeurs sont plus chers. 
  3. Un SBS : cette composante de réseau est spécialement conçue pour la sécurité VoIP. Il reconnaît par exemple les tentatives d’incursions, repousse les attaques décentralisées, soutient l’encodage de signalisation et des données vocales et les convertit en d’autres formats (transcodage). Le Bureau Fédéral pour la Sécurité des Informations (BSI) recommande donc que les entreprises d’envergure mondiale aient recours à un SBC pour sécuriser une connexion de système IP. Néanmoins, le fait qu’un SBC coûte souvent une somme à quatre ou cinq chiffres signifie que s’en servir comme armure sur chaque site n’est pas une bonne affaire. Les entreprises doivent donc revoir la centralisation de leurs infrastructures VoIP et leurs connexions VoIP au réseau porteur via un SBC redondant central. 

Une langue secrète, s’il vous plaît

Il est plus facile pour une entreprise désirant encoder sa téléphonie IP d’avoir recours au ISDN. Après tout, l’encodage IP est un incontournable pour pratiquement tous les systèmes d’exploitation et peut tout aussi bien être utilisé pour l’encodage VoIP. Cette fonction est donc intégrée dans de nombreux softphones, téléphones IP etc.
Les entrepreneurs doivent maintenant se demander quelle importance elles veulent accorder à l’encodage. Pour la communication interne, cela signifie soit uniquement dans le WAN, soit avec le LAN en plus, dans les limites d’un site. 
Les WAN consistent la plupart du temps en des VPN sécurisés sur le protocole MPLS et fournis par un opérateur de réseau. Mais les données d’appel peuvent être encodées plus avant, (SRTP et SIPS par exemple).
Pour assurer les plus hauts standards de sécurité, les chefs d’entreprises peuvent même introduire des encodages supplémentaires pour le MPLS-VPN. L’encodage dans le LAN est une bonne solution pour les entreprises souhaitant empêcher aussi leurs propres employés de pratiquer les écoutes téléphoniques.
Cela dit, encoder les appels téléphoniques externes de bout en bout est une entreprise complexe. Après tout, les appareils utilisés par les interlocuteurs doivent s’appuyer sur le même système de codage. Il n’existe toutefois pas encore de standard établi adéquat pour cette technique. Il suffit donc de fournir aux deux interlocuteurs des smartphones équipés de manière appropriée dans le cas d’appels extrêmement importants, comme entre directeurs de sociétés.

Conclusion

Les services VoIP prodigués par Telekom via ses infrastructures AII-IP sont séparées des autres services de communication, indépendants d’Internet, et offrent un degré de sécurité comparable à celui des appels faits via l’ancien réseau téléphonique RTPC. Ils pourraient même être plus sûrs. Après tout, attaquer un système VoIP requiert plus de connaissances et de savoir-faire en piratage que dans le cas de l’ISDN. Mais les pirates peuvent attaquer les composantes VoIP des sociétés à distance et accéder ainsi à leurs réseaux de données. Des contrôleurs de sessions en périphérie entre le réseau porteur, les réseaux d’entreprise et l’encodage de bout-en-bout des appels importants apportent ici une solution selon les exigences en matière de sécurité de la société.