Disque VoIP para a vulnerabilidade

[ManagerONE]

"A tecnologia Voz sobre IP oferece redução de custos nas chamadas de longa distância. Mas, sem as defesas apropriadas pode expor seu sistema de telefonia aos intrusos, afetando o resto dos sistemas Web."

O serviço de telefonia foi cortado abruptamente em uma corretora de ações depois que um hacker lançou um ataque de DoS (Denial-of-service) em seus sistemas de voz. Um worm passou da rede de dados de um gigante do varejo americano entrando na sua rede de voz, desligando call centers e causando a perda de milhões em vendas. Um impostor entra na rede de telefonia de uma agência governamental e rouba informações confidenciais clonando uma identificação existente de telefone.
Parecem histórias para boi dormir? De acordo com os especialistas em segurança, tais cenários são plausíveis e podem se tornar inevitáveis quanto mais empresas e governos troquem seus sistemas tradicionais de telefonia por sistemas VoIP. Ao fazer ligações telefônicas pela internet, as empresas estão economizando milhões. Mas estão expondo seus sistemas de voz a todas as pragas que hoje atacam as redes de dados, como worms, vírus, spam sobre telefonia internet (SPIT), ataques DoS e fraudes. Além disso, abrem mais portas para que outras áreas da rede também sejam atacadas, afetando a infra-estrutura das redes de dados das empresas e seus sistemas.
Os CIOs que estão ansiosos para começar a utilizar em larga escala o VoIP precisam entender que os firewalls sozinhos não os protegem. Basta olhar o estado da internet dez anos atrás, antes dos famigerados Nimda e Sasser e outros incalculáveis ataques famosos. Para evitar isso, os executivos que controlam as redes de voz devem planejar o uso de encriptação, autenticação, firewalls específicos para VoIP e separar a rede de dados da de voz. Eles precisam assegurar redundância no caso da falta de energia e devem assegurar fisicamente a segurança de servidores e equipamentos do olhar alheio.
Os PBXs tradicionais têm suas próprias vulnerabilidades e os hackers já conseguiram se utilizar delas para entrar em sistemas de voz ou voice mail. Mas o VoIP as expande, oferecendo mais oportunidades. Em um relatório recente, o National Institute of Standards and Technology (NIST) afirma que existem nos escritórios mais pontos para se conectar as LANs do que aos sistemas de telefonia.
Os CIOs que já utilizam sistemas de VoIP aconselham que se deve focar na segurança desde da escolha do equipamento ou do serviço. Assim, se evita o custo e a frustração de se arrumar à porta depois de arrombada. Marcio Lermen, gerente de TI do Sicredi, uma cooperativa de crédito que está presente nos estados do Rio Grande do Sul, Santa Catarina, Paraná, Mato Grosso, Mato Grosso do Sul, Tocantins, Goiás e São Paulo, ajudou a implantar um sistema VoIP na empresa em 2004. “Não nos preocupamos muito porque usamos a voz sobre IP totalmente na rede interna”, esclarece Lermen.
Gary Heller, CIO do departamento de controle de custos da saúde do Estado do Arizona (EUA), instalou recentemente um sistema de VoIP nesse departamento. “Nós estamos confortáveis porque somos pró-ativos no monitoramento da rede VoIP bem como com sua segurança. Caso não tivéssemos feito isso, eu estaria com medo agora”. Eis a descrição do que foi feito por aqueles que já adotaram sistemas VoIP e conseguiram reduzir os custos de suas empresas e salvá-las de potenciais desastres.

"Como a maioria dos sistemas de VoIP é construída ao redor das plataformas Linux e Microsoft, eles são suscetíveis aos mesmos problemas dos servidores que utilizam esses sistemas operacionais. No entanto, o problema é que as medidas de segurança aplicadas à rede de dados não funcionam bem com os sistemas de VoIP."
Por exemplo, os firewalls tradicionais podem atrasar ou até mesmo bloquear as chamadas e a encriptação pode causar atrasos e cortes da comunicação. Assim, as técnicas de segurança devem ser especializadas em VoIP.
No Sicredi, a saída para as possível falhas no sistema operacional foi adotar uma solução fechada. “Como utilizamos hardware proprietário (3Com), não estamos falando de um servidor Windows, que é muito mais vulnerável a infecções de vírus”, diz Lermen. Essa foi uma das questões avaliadas na escolha dos equipamentos que seriam utilizados. “Em dois anos de uso, nunca tivemos nenhum tipo de problema. Nosso sistema de VoIP é muito estável”, garante.
A decisão de investir na tecnologia partiu da construção de um novo centro administrativo, uma torre de 12 andares planejada com a infra-estrutura preparada para usar exclusivamente VoIP. Nesta unidade, existem cerca de 700 telefones IP e mais 70 softphones para executivos em viagens. “Neste caso, utilizamos uma VPN para garantir a segurança”, conta Lermen. Além da sede, a Sicredi tem mais de 900 unidades de atendimento e outras entidades que estão em processo de implementação das soluções de VoIP – projeto que deve ser concluído entre março e abril do próximo ano. Até agora, são mais de 100 unidades usam VoIP. De acordo com Lermen, algumas dessas entidades vão usar telefonia IP pura e outras vão adotar apenas um gateway de VoIP para comunicação externa.
A arquitetura da rede de VoIP é a seguinte: no centro administrativo há telefonia IP pura, com uma LAN única para comunicação de voz e dados. Para comunicação entre as filiais, também é usada VoIP sobre a rede de dados corporativa. “É a mesma rede física, mas há separação lógica” O executivo garante que existem alguns mecanismos de proteção para a rede de voz, como, por exemplo, servidores de voz protegidos por firewall – no entanto, tratam-se de firewalls tradicionais, não específicos para VoIP.
De acordo com a empresa de pesquisa Osterman Research, somente uma entre dez empresas americanas implantou redes VoIP em larga escala. Mas isso está mudando. No final de 2006, a Osterman afirma que 45% das empresas já terão alguma forma de VoIP e a adoção irá se acelerar dali para frente. Alguns problemas já apareceram. Um gerente de desenvolvimento para produtos de voz da Merril Lynch disse que vírus, incluindo o Sasser e o Code Red, derrubaram sua rede de VoIP por quatro horas por causa da interconexão existente com a rede de dados. Darrel Epps, diretor de convergência da NextiraOne, uma empresa de consultoria, confirma que algumas das 500 maiores empresas do ranking da revista Fortune, adeptas do VoIP, já sofreram alguma tipo de incidente com hackers que ocasionou problemas na operação do dia-a-dia. Para muitas empresas, entretanto, o custo baixo e a conveniência dos sistemas VoIP são mais fortes que os potenciais riscos existentes.

"CIOs contam como se prepararam para chamadas mais seguras."
Para Steve Novak, CIO da Kirkland & Eliis empresa de advocacia de Chicago que tem entre seus clientes a General Motors e a Motorola, a tecnologia VoIP não é nova. Quando trabalhava na 3COM, Novak fez parte da equipe que efetuou a primeira chamada VoIP em 1997 para um evento em Las Vegas. Desde que se tornou CIO da empresa, entretanto, ele tem se tornado mais cauteloso. Em vez de rapidamente instalar a nova tecnologia dentro da empresa, que tem sete escritórios ao redor do mundo, Novak decidiu se mover mais lentamente usando a tecnologia somente dentro da rede da empresa.
Os especialistas sugerem exatamente essa abordagem para quem está iniciando. Assim, quando começar a usá-la de forma mais insegura, estará familiarizado com a tecnologia. “O fator crítico de sucesso para o uso de VoIP é ter uma infra-estrutura sólida”, diz Novak. No caso dele, isso quer dizer ter sistemas de no-breaks com geradores e uma rede totalmente redundante. Ele sugere a alimentação dos equipamentos use Poe (Power over Ethernet) para ter uma redundância extra. “Você não vai ficar sem falar pela rede por causa de um cabo quebrado”, comenta Novak.
Agora, quando um advogado em Londres telefona para o escritório de São Francisco, a chamada é roteada do PBX e convertida para a rede IP dentro da WAN da empresa. Quando ela chega no destino é novamente convertida para o sistema de PBX. Assim, é eliminada a cobrança de chamadas de longa distância usando a rede IP sem os riscos da conexão com a rede de dados. Em alguns anos, haverá a mudança total do sistema. “Quando isso acontecer nós estaremos mais bem preparados para os problemas de segurança”, diz Novak.
Heeler, do Arizona, concorda. O departamento começou usando VoIP para chamadas de longa distância entre os escritórios. Depois do período inicial de testes ele decidiu substituir os PBXs, exceto os escritórios remotos que ainda usam os sistemas antigos. O departamento está economizando 425 mil dólares por ano na matriz e nos call centers. Mas antes eles implementaram sistemas de segurança como a encriptação do tráfego de voz, a separação das redes de dados e voz e estão usando sistemas de detecção de intrusão e antivírus. Sua equipe também monitora os servidores de VoIP todo o tempo.
Investir nisso pode aumentar os custos. Mas mesmo que isso não seja suficiente para mover toda a infra-estrutura para o sistema VoIP – quando se pensa somente no custo financeiro – as vantagens tecnológicas que a empresa terá, tais como mobilidade e colaboração, são mais do que suficientes para justificar o investimento.
Na Anhembi, fabricante dos produtos Cândida e Qboa, a preocupação com a segurança é constante. “Ao adotar a telefonia por VoIP, procuramos nos assegurar que teríamos a segurança necessária”, comenta Marcio Hoss, gerente de TI da empresa. A Anhembi procurava por uma forma de diminuir custos e aumentar a agilidade de seu sistema telefônico, sem perder em qualidade, já que as ligações entre suas unidades acontecem em grande quantidade e com freqüência. Além disso, era vital manter a segurança no processo. “Fomos orientados a separar a rede de voz do tráfego da internet.“Por isso contratamos uma linha dedicada até o datacenter do provedor do serviço, o que tornou todo o processo mais seguro”. Os gateways instalados permitem firewalls para VoIP como opcional. Do lado do provedor, existem firewalls para garantir o serviço e monitoramento 24 horas por dia.
O mesmo procedimento foi adotado na Pfizer, um dos maiores labortórios farmacêuticos do mundo, onde o uso de VoIP já faz parte da rotina da empresa. Instalado desde 2004 o sistema permite a economia nas chamadas de longa distância e também a flexibilidade na rede interna. Para manter segura a rede de voz e a de dados, elas são totalmente separadas fisicamente. “Com a separação das redes temos uma solução segura”, afirma Eduardo Kondo, coordenador de TI da Pfizer.

"Segundo os especialistas, é fácil interceptar as chamadas VoIP não criptografadas usando um iPod."
Quando um vírus atingiu a rede da Worcester Polytechnic Institute (WPI) em 2004, o sistema de VoIP da universidade não foi afetado. Isso porque Sean O´Connor, diretor de redes e segurança, entendia que o planejamento de segurança era peça-chave para manter alta a disponibilidade.
Além de colocar múltiplos firewalls, ele ainda construiu uma rede virtual para o tráfego de voz, ajudando assim a proteger o sistema contra vírus que poderiam atingir a rede. Quando um vírus atingiu o campus no ano passado acabou não entrando no sistema de VoIP. “A chave é separar o tráfego de voz do tráfego da internet”, diz O´Connor. Uma rede virtual pode proteger o tráfego de voz criando barreiras lógicas.
Redes virtuais, firewalls e gateways podem manter intrusos fora dos sistemas de VoIP, mas não protegem contra hackers internos. Para adicionar outra camada de segurança ao sistema, os usuários devem encriptar as conversas como eles fazem com a rede de dados. Encriptação é importante, independente do protocolo usado. Hoje, os dois principais são: SIP (Session Initiation Protocol) e H.323.
Na sua forma básica, o SIP trafega em texto puro, significando que ele é vulnerável aos softwares espiões. Segundo os especialistas é fácil interceptar as chamadas VoIP não criptografadas usando um iPod. Na Kirland & Ellis, Novak gastou três meses trabalhando com os problemas da encriptação que afetavam a qualidade das chamadas.
Na WPI, migrar para VoIP envolve um cálculo cuidadoso de quanto risco eles podem ter com isso. Por exemplo, eles estão confortáveis em usar o sistema para instrutores e estudantes, mas decidiram deixar os telefones seguros e os quiosques no sistema tradicional. O´Connor diz que no estado atual da tecnologia, as empresas devem decidir quais riscos querem ter. “Telefones e serviços essenciais, a menos que planejados, implementados e mantidos cuidadosamente, serão de alto risco se usados em sistemas de VoIP”, de acordo com o relatório da NIST. O relatório desencoraja o uso de softphones onde a segurança e a privacidade são preocupações. “Worms, vírus e outros softwares maliciosos são extraordinariamente comuns nos PCs conectados na internet”, afirma o relatório.

[ManagerONE]

Senhores,

Aproveitando o gancho, hoje utilizo roteadores Vanguard (Motorola) na rede frame-relay, nos mesmos eu roteio dados e voz sendo que, estou conseguindo um nível de compressão para voz de 5.4kbps por canal (utilizando 20 canais). Não consigo taxas menores que 16kbps com cisco ou outros roteadores mantendo a cripitografia ativa.

Será que alguém já fez algo parecido ou conhece algum equipamento que melhore esta taxa? (os routers estão integrados por E1 na unidade central e canais E&M nas unidades remotas).

Um abraço a todos.