Bezpečnost přihlašovacích údajů v ústředně

tls,srtp,zrtp a bezpečnostní potíže VoIP
Odpovědět
GeBu
Příspěvky: 553
Registrován: sob 12. úno 2011 23:14:28

Bezpečnost přihlašovacích údajů v ústředně

Příspěvek od GeBu »

Z tohoto vlákna vím, že přihlašovací údaje (jméno a heslo) SIP účtu lze získat útokem na telefony s chybou v software. Nemáte někdo představu jak jsou na tom přihlašovací údaje uložené v ústředně?
Co mám na mysli: Odorik umožňuje zaregistrovat do účtu účet jiného operátora pro příjem hovorů a dokonce pomocí jiného operátora volat předáním signalizace (sipa). V obou případech se samozřejmě Odoriku musí předat přihlašovací údaje do toho účtu u jiného operátora - to znamená, že k údajům se dostanou zaměstnanci Odoriku.
Mne, ale více zajímá, jak pravděpodobné je, že by se k mým přihlašovacím údajům do jiného operátora uloženým u Odoriku dostal ještě někdo mimo Odorik např. arabové z uzemí zvaného Palestina útokem třeba podobným útoku na software v telefonech.
Jak to tak píši, tak si uvědomuji, že problematičtější je to odchozí volání (sipa), kde je jméno a heslo uloženo přímo v rychlých kontaktech, ke kterým se může dostat někdo i jinak než útokem na software ústředny např. přes program Odorik.exe nebo úplně jenom hloupou ztrátou vytištěných rychlých kontaktů.
Kabek
Příspěvky: 644
Registrován: čtv 03. led 2013 19:44:30

Re: Bezpečnost přihlašovacích údajů v ústředně

Příspěvek od Kabek »

Způsob zabezpečení citlivých údajů obecně je věc, o které se na veřejných fórech nikde nepíše. To by mělo být to "tajné"... Možná by se mohlo zveřejnit, kolik neúspěšných ataků bylo v nějaké době.

Když vím, že někde zadávám přihlašovací údaje, které lze snadno získat, pak je tam neuvádím - tu službu nevyužívám. Nebo u toho druhého operátora mám tak nízký stav peněz, že si eventuálně řeknu, v případě prolomení hesel, že to je poplatek za moji vlastní blbost...

Každý je strůjcem svého štěstí!

Přeji všem klidný zbytek léta!
Uživatelský avatar
xsouku04
Administrátor
Příspěvky: 8139
Registrován: pát 15. říj 2010 11:11:44
Bydliště: Brno
Kontaktovat uživatele:

Re: Bezpečnost přihlašovacích údajů v ústředně

Příspěvek od xsouku04 »

Abyste mohli použít SIPA je nutné u nás zadat jméno a heslo SIP účtu, který hodláte používat. Ano je to svým způsobem slabé místo.
Pokud tam ale máte kredit v hodnotě několik set korun, bát se nemusíte.
Pravděpodobnost, že o těch několik stovek přijdete, je mizivá a škody nejsou zničující.
Odorik.exe doporučuji nepoužívat, pokud nedůvěřujete lidem, co se motají kolem Vašeho počítače! Mějte ale na paměti, že pokud si SIP heslo uložíte do jakéhokoli programu, je pak k dispozici jakémukoli viru, trojskému koni nebo uživateli, který za daným počítačem sedí.
Ono heslo sice může být nějak zašifrované, ale vždy existuje způsob, jak je rozšifrovat. Ledaže by pro zašifrování bylo použito další heslo.

Obecně je tedy velmi nebezpečné používat jakýkoli SIP účet, kde neexistuje žádný strop na provolání.
Používat SIP účet bez nějakého stropu je už ale hloupost sama o sobě. A zadáním tohoto hesla do SIPA nebezpečí jen dále mírně zvýšíte.

Další věc je, že SIP hackeři se zaměřují na metody, které lze použít se všemi SIP operátory na světě.
Tedy nejlépe hackovat samotné SIP telefony / programy, nebo běžné SIP pobočkové ústředny.
A SIPA je do velké míry specialita Odoriku, což samo o sobě poskytuje jistou ochranu. Velká část potencionálních útočníků o tom neví a nemá čas detailně zkoumat možnosti Odorik.cz, aby tam možná našli nějaké slabé místo a okradli pak několik zákazníků o pár stovek - než uděláme změny, které to znemožní.

Trochu lepší je situace, co se týče příchozích hovorů na číslo od jiného operátora. Tam heslo běžný uživatel ani zaměstnanec Odorik.cz nezjistí, ale uložené jej samozřejmě máme také.

Podobné to je, proč je Linux bezpečnější než Windows? Důvody jsou dva:

- Linux používá jen několik % uživatelů, kteří jsou ale nadprůměrně chytří a vlivní - tedy není to příliš dobré prostředí pro šíření viru. Distribuce Linuxu i jejich návyky jsou velmi různorodé a je těžké udělat vir, který by fungoval na hodně různých distribucích.
- Linux je bezpečnější kvůli svojí UNIXové architektuře

Překvapivě oba dva body jsou cca stejně důležité, první bod je asi důležitější.

A třeba Android sice používá linuxové jádro, jinak jde ale vše ostatní proti němu.

O žádném případu zneužití SIP hesla ze SIPA nevíme.
GeBu
Příspěvky: 553
Registrován: sob 12. úno 2011 23:14:28

Re: Bezpečnost přihlašovacích údajů v ústředně

Příspěvek od GeBu »

Děkuji za všechny informace - potvrdily mi moje úvahy. Sám jsem o tom trochu přemýšlel a zajímalo mne, jestli se v diskusi neobjeví nějaká informace, která mne nenapadla.
xsouku04 píše:O žádném případu zneužití SIP hesla ze SIPA nevíme.
Díky za tuto informaci.
Odpovědět