Bezpečnost přihlašovacích údajů v ústředně

tls,srtp,zrtp a bezpečnostní potíže VoIP

Bezpečnost přihlašovacích údajů v ústředně

Příspěvekod GeBu » ned 17. srp 2014 22:40:48

Z tohoto vlákna vím, že přihlašovací údaje (jméno a heslo) SIP účtu lze získat útokem na telefony s chybou v software. Nemáte někdo představu jak jsou na tom přihlašovací údaje uložené v ústředně?
Co mám na mysli: Odorik umožňuje zaregistrovat do účtu účet jiného operátora pro příjem hovorů a dokonce pomocí jiného operátora volat předáním signalizace (sipa). V obou případech se samozřejmě Odoriku musí předat přihlašovací údaje do toho účtu u jiného operátora - to znamená, že k údajům se dostanou zaměstnanci Odoriku.
Mne, ale více zajímá, jak pravděpodobné je, že by se k mým přihlašovacím údajům do jiného operátora uloženým u Odoriku dostal ještě někdo mimo Odorik např. arabové z uzemí zvaného Palestina útokem třeba podobným útoku na software v telefonech.
Jak to tak píši, tak si uvědomuji, že problematičtější je to odchozí volání (sipa), kde je jméno a heslo uloženo přímo v rychlých kontaktech, ke kterým se může dostat někdo i jinak než útokem na software ústředny např. přes program Odorik.exe nebo úplně jenom hloupou ztrátou vytištěných rychlých kontaktů.
GeBu
 
Příspěvky: 501
Registrován: ned 13. úno 2011 0:14:28

Re: Bezpečnost přihlašovacích údajů v ústředně

Příspěvekod Kabek » pon 18. srp 2014 11:56:05

Způsob zabezpečení citlivých údajů obecně je věc, o které se na veřejných fórech nikde nepíše. To by mělo být to "tajné"... Možná by se mohlo zveřejnit, kolik neúspěšných ataků bylo v nějaké době.

Když vím, že někde zadávám přihlašovací údaje, které lze snadno získat, pak je tam neuvádím - tu službu nevyužívám. Nebo u toho druhého operátora mám tak nízký stav peněz, že si eventuálně řeknu, v případě prolomení hesel, že to je poplatek za moji vlastní blbost...

Každý je strůjcem svého štěstí!

Přeji všem klidný zbytek léta!
Kabek
 
Příspěvky: 524
Registrován: čtv 03. led 2013 20:44:30

Re: Bezpečnost přihlašovacích údajů v ústředně

Příspěvekod xsouku04 » pon 18. srp 2014 14:24:57

Abyste mohli použít SIPA je nutné u nás zadat jméno a heslo SIP účtu, který hodláte používat. Ano je to svým způsobem slabé místo.
Pokud tam ale máte kredit v hodnotě několik set korun, bát se nemusíte.
Pravděpodobnost, že o těch několik stovek přijdete, je mizivá a škody nejsou zničující.
Odorik.exe doporučuji nepoužívat, pokud nedůvěřujete lidem, co se motají kolem Vašeho počítače! Mějte ale na paměti, že pokud si SIP heslo uložíte do jakéhokoli programu, je pak k dispozici jakémukoli viru, trojskému koni nebo uživateli, který za daným počítačem sedí.
Ono heslo sice může být nějak zašifrované, ale vždy existuje způsob, jak je rozšifrovat. Ledaže by pro zašifrování bylo použito další heslo.

Obecně je tedy velmi nebezpečné používat jakýkoli SIP účet, kde neexistuje žádný strop na provolání.
Používat SIP účet bez nějakého stropu je už ale hloupost sama o sobě. A zadáním tohoto hesla do SIPA nebezpečí jen dále mírně zvýšíte.

Další věc je, že SIP hackeři se zaměřují na metody, které lze použít se všemi SIP operátory na světě.
Tedy nejlépe hackovat samotné SIP telefony / programy, nebo běžné SIP pobočkové ústředny.
A SIPA je do velké míry specialita Odoriku, což samo o sobě poskytuje jistou ochranu. Velká část potencionálních útočníků o tom neví a nemá čas detailně zkoumat možnosti Odorik.cz, aby tam možná našli nějaké slabé místo a okradli pak několik zákazníků o pár stovek - než uděláme změny, které to znemožní.

Trochu lepší je situace, co se týče příchozích hovorů na číslo od jiného operátora. Tam heslo běžný uživatel ani zaměstnanec Odorik.cz nezjistí, ale uložené jej samozřejmě máme také.

Podobné to je, proč je Linux bezpečnější než Windows? Důvody jsou dva:

- Linux používá jen několik % uživatelů, kteří jsou ale nadprůměrně chytří a vlivní - tedy není to příliš dobré prostředí pro šíření viru. Distribuce Linuxu i jejich návyky jsou velmi různorodé a je těžké udělat vir, který by fungoval na hodně různých distribucích.
- Linux je bezpečnější kvůli svojí UNIXové architektuře

Překvapivě oba dva body jsou cca stejně důležité, první bod je asi důležitější.

A třeba Android sice používá linuxové jádro, jinak jde ale vše ostatní proti němu.

O žádném případu zneužití SIP hesla ze SIPA nevíme.
Uživatelský avatar
xsouku04
Administrátor
 
Příspěvky: 6712
Registrován: pát 15. říj 2010 11:11:44
Bydliště: Brno

Re: Bezpečnost přihlašovacích údajů v ústředně

Příspěvekod GeBu » pon 18. srp 2014 19:01:10

Děkuji za všechny informace - potvrdily mi moje úvahy. Sám jsem o tom trochu přemýšlel a zajímalo mne, jestli se v diskusi neobjeví nějaká informace, která mne nenapadla.

xsouku04 píše:O žádném případu zneužití SIP hesla ze SIPA nevíme.


Díky za tuto informaci.
GeBu
 
Příspěvky: 501
Registrován: ned 13. úno 2011 0:14:28


Zpět na Bezpečnost a šifrování hovorů

Kdo je online

Uživatelé procházející toto fórum: Žádní registrovaní uživatelé a 1 návštěvník