lze povolit hovory jen v CR a ostatni blokovat?

Diskuze o telefonování a telefonních službách, rady, návody, připomínky, ...
Jan Telefonista
Příspěvky: 78
Registrován: čtv 24. led 2013 8:35:10

Re: lze povolit hovory jen v CR a ostatni blokovat?

Příspěvek od Jan Telefonista »

xsouku04 píše:Útočníci většinou nejsou opravdu chytří IT experti, ale dostávají detailní obecné návody od provozovatelů podvodných linek, podle kterých postupují. Opravdový IT expert si je totiž schopen vydělat poměrně dobré peníze i poctivou prací, tedy tohle nemá zapotřebí.
Opravdovy IT expert si vydela dobre poctivou praci a kdyz to je darebak od kosti, tak si jeste privydela ranec takhle bokem a vetsinou to muze delat i v pracovni dobe (ne, opravdu nemluvim o sobe) :) Pokud existuje treba jen teoreticka moznost zneuzitelnosti neceho, tak toho zneuzito driv ci pozdejs bude a normalni clovek o tom samozrejme nema a ani nemuze mit paru.

Samozrejme, ze pouzivam mnoho opatreni proti tomu, abych to utocnikovi znesnadnil, ale to ze nekomu stizim cestu mi pro pocit bezpeci nestaci (zrejme proto jsem jeste okraden nebyl, coz ovsem nezmanena, ze nebudu dneska odpoledne). Mit nedostupne webove rozhrani je naprosta samozrejmost, bohuzel sip aparat/ustredna ma otevreny nejaky UDP port (i kdyz nestandartni) stale, protoze tak to proste funguje a pak se na ten port, kdyz ho nekdo vykenuje, lze posilat utoky. Technicky sipu sice moc nerozumim, jestli to takto jde, ale kdyz to komunikuje pres UDP, tak se to asi neoveruje a proto by to jit melo.

p.s. Nestandartni port je falesny pocit bezpeci zrovna jako minutovy limit na lince. Samozrejme chapu, ze pokud to je technicky komplikovane, ze se Vam do toho nechce, ale myslim si, ze jakakoliv prekazka je lepsi nez vubec nic, proto bych byl precejen rad mit vic kombinaci falesnych pocitu bezpeci ;)
Kabek píše:Budu malinko obecný. Zde, když mám na účtě max. třeba 300 Kč, o víc nemohu přijít. Mám pravdu? Víte kolik lidí má u kreditky napsaný PIN?! To je nevzrušuje... Jestli má někdo doma nebo v okolí nějakého, promiňte mi ten výraz, blba, který volá na čísla bez základní znalosti ceny volání, pak si to musí řešit ten někdo doma. To snad Odorik nemusí a myslím, že by ani neměl. Odorik poskytuje nějakou službu, která je nějak ošéfovaná zákonem, a měla by být v souladu s tím zákonem... Možná se pletu, pak to zde třeba někdo vysvětlí. Rád si to pak přečtu.
Budu taky malinko obecny a dovolim si nesouhlasit. To je jako kdyby automechanici na svojem foru tvrdili o majitelich felicii s centralem, ze jsou blbci, protoze si nevyvrtali extra diru u zamku pro odvod vzduchu, aby jim nesla otevrit tenisakem :twisted: Samozrejme, psat si pin na kartu je kravina, ale nepsat ho tam neni z tehnickeho hlediska o moc lepsi, clovek se cteckou Vam rekne, ze to je jedno, protoze pin je stejne nahranej na magnetickym prouzku, respektive se tam po zmene nahraje v prvnim bankomatu, ktery potka (par let zpet to takhle urcite fungovalo). Proti zneuziti karty neni PIN, ale sikovne nastaveny limit :evil: Proto jsem mimochodme zacal tohle vlakno.
Forrrest
Příspěvky: 98
Registrován: ned 17. úno 2013 9:41:42

Re: lze povolit hovory jen v CR a ostatni blokovat?

Příspěvek od Forrrest »

Jako obranu proti zneužití karty mě napadlo založit si rovnou 2 účty (u Fio zdarma, takže no problemo), přičemž plat. kartu mám jen k jednomu z nich. Na tom si udržuji jen pár drobáků pro běžné platby. A pokud potřebuji vybrat víc peněz v hotovosti, převedu si je tam těsně před výběrem 8-)
Uživatelský avatar
Largon
Příspěvky: 448
Registrován: pon 07. lis 2011 10:14:09

Re: lze povolit hovory jen v CR a ostatni blokovat?

Příspěvek od Largon »

Forrrest píše:Jako obranu proti zneužití karty mě napadlo založit si rovnou 2 účty (u Fio zdarma, takže no problemo), přičemž plat. kartu mám jen k jednomu z nich. Na tom si udržuji jen pár drobáků pro běžné platby. A pokud potřebuji vybrat víc peněz v hotovosti, převedu si je tam těsně před výběrem 8-)
Takhle to řeším já. Po přihlášení do internetového bankovnictví vidím v rozhraní oba ty (Fio) účty, takže je to i celkem pohodlné.
Uživatelský avatar
xsouku04
Administrátor
Příspěvky: 8157
Registrován: pát 15. říj 2010 11:11:44
Bydliště: Brno
Kontaktovat uživatele:

Re: lze povolit hovory jen v CR a ostatni blokovat?

Příspěvek od xsouku04 »

Opravdovy IT expert si vydela dobre poctivou praci a kdyz to je darebak od kosti, tak si jeste privydela ranec takhle bokem a vetsinou to muze delat i v pracovni dobe (ne, opravdu nemluvim o sobe) :)
Přivydělat si hackováním ale nejde jen tak, když se někdo bude půl dne nudit v práci. Je to prostě oblast, o které běžní i technicky schopní lidi moc nevědí a než vyladí svoje postupy, zabere to přinejmenším týdny práce. Spíše ale roky. A to už vyžaduje nějakou předchozí znalost. Je to práce s nejistým výsledkem. Snad jen nějaké to riziko má jisté, pokud se nějak přihlouple někde prozradí.

Pro něj je důležité především to, že metoda, kterou vymyslí, musí být obecná a škálovatelná. Tedy jemu nevadí, že danou metodou se podaří hacknout třeba jen jedno promile všech VoIP zařízení jednoho typu na světě, které zůstalo na veřejné ip adrese s defaultním portem a jménem a heslem. Důležité pro něj je, že se to dá do velké míry automatizovat. A takových postupů zase není nekonečně mnoho.

Jiný postup byl zkoušet se na ústřednu asterisk přihlásit pod sip číslem 100 a sip heslem v rozsahu 100-99999. Nevadí, že úspěšnost je třeba 0,5 procenta, asterisků běžících na veřejné adrese jsou celosvětově desetitisíce ...

Mit nedostupne webove rozhrani je naprosta samozrejmost, bohuzel sip aparat/ustredna ma otevreny nejaky UDP port (i kdyz nestandartni) stale, protoze tak to proste funguje a pak se na ten port, kdyz ho nekdo vykenuje, lze posilat utoky.
Pokud zařízení nebude na podivné SIP pakety útočníka vůbec nijak odpovídat (opravdu to nemá za potřebí), útočník nepozná, že je port vůbec otevřen nebo že na portu běžní něco se SIP. Tohle je vlastnost UDP. Bohužel ti, co vymýšleli SIP, na tento jednoduchý bezpečnostní přídavek vůbec nemysleli, tedy záleží na vývojářích jednotlivých SIP zařízení. A ty jsou převážně natvrdlí. Nezbývá, než se chránit alespoň částečně použitím nestandardního portu. Používat nestandardní SIP port je také dobré proto, aby vám telefon nezačal vyzvánět jen tak z ničeho nic v noci s tím, že volá číslo 100 nebo 1000 a po zvednutí není nic slyšet.

Přes SIP se útočí hlavně na SIP ústředny. Útočit přes SIP na koncové zařízení, myslím, nemá smysl. Jen tím můžeme zjistit, že na dané ip adrese VoIP zařízení běží, a jaké to je, což je pro útočníka zajímavá informace. A pak si dát tu práci naskenovat všech 65536 TCP portů, jestli si nenechali otevřený web na nestandardním portu.
Těžko lze čekat, že by SIP zařízení mělo takový bug, že když mu útočník pošle nějaký speciální SIP packet, tak mu odpoví svými nezašifrovanými přihlašovacími údaji.

Otevřený TCP port jde detekovat. Ale těžko lze skenovat všechny IP adresy světa a na nich všechny porty. To se zatím nedělá. Nevím, jestli někdy v budoucnu bude... Je to ale 65536krát náročnější a navíc lidé, kteří se o bezpečnost moc nestarají, stejně skoro vždy používají defaultní porty.

Se zákazníky, jejichž SIP číslo a heslo zná útočník, je obvykle i velmi špatná komunikace. Na náš email, aby si zakázali přístup na web z internetu, nebo alespoň změnili port a SIP heslo, tak v 50% případů vůbec nereagují. A my pak jen sledujeme našeho známého Palestince, jak se každou chvíli zkouší registrovat svým automatizovaným skriptem z různých ip adres na světě. https://www.hidemyass.com/ My ale víme, že je to nejspíš stále ten stejný Palestinec :)

Kdybych se chtěl ale živit jako hacker, asi bych se specializoval na OS Windows. Nejlépe bych si nechával posílat vše, co uživatel napíše a na co kliká. Jednu bezpečnostní díru v Javě (kterou zjevně považovali za feature) odstranili až po necelých deseti letech a to zrovna v době, kdy jsem ji chtěl využít pro program vzdálené podpory našich zákazníků.
Program sice musel být podepsán, aby měl plný přístup k počítač, ale každý si jej mohl podepsat vlastní certifikační autoritou :)
Bohužel díru zrovna odstranili a proto nezbylo než udělat samostatný exe program. Program vzdálené podpory tak není možné spustit automaticky přímo z prohlížeče :) http://www.odorik.cz/w/java_tunnel

Ano možností jak hacknout počítač je snad nekonečně mnoho. Metody jak získat SIP přihlašovací údaje z VoIP zařízení jsou naštěstí omezené a spadají do jiné kategorie.
alfi
Příspěvky: 721
Registrován: čtv 03. led 2013 15:31:10

Re: lze povolit hovory jen v CR a ostatni blokovat?

Příspěvek od alfi »

xsouku04 píše: Těžko lze čekat, že by SIP zařízení mělo takový bug, že když mu útočník pošle nějaký speciální SIP packet tak mu odpoví svými nezašifrovanými přihlašovacími údaji.
zrovna tohle jsem někde viděl, ale už si nepamatuju detaily - bylo to něco jako asterisk připojený do další ústředny. pošle se mu SIPem "unauthorized" nečekaně z opačné strany a on odpoví jméném a heslem do té ústředny :-)
Uživatelský avatar
xsouku04
Administrátor
Příspěvky: 8157
Registrován: pát 15. říj 2010 11:11:44
Bydliště: Brno
Kontaktovat uživatele:

Re: lze povolit hovory jen v CR a ostatni blokovat?

Příspěvek od xsouku04 »

Setkal jsem se s cca deseti hacknutými Asterisky. A vždy to byla totální hloupost jejich správců.
Bohužel tím se ale nikdo nechlubí.
  • Jako přihlašovací jméno i heslo stejné, něco jako 101,
  • Přihlašovací jméno 101 a heslo 8756
  • Nenastaveno alwaysauthreject=yes , což zabrání útočníkovi zjistit, jaká SIP jména daný server používá. Když útoční zná sip jména, může pak zkusit klidně deset tisíc různých hesel, až se trefí. Klidně pak dělá slovníkový útok nebo zkouší číselná hesla v rozsahu 1-99999.
  • Použili nějakou webovou nadstavbu jako freepbx a zabezpečení webu nechali na děravé implementaci freepbx bez jakéhokoli omezení na ip adresy, počet pokusů a pod. Osobně vždy doporučuji ještě přidat vlastní vrstvu zabezpečení. Jako např. htaccess a htpasswd nebo firewall.
  • ještě hůře - si tam nechali defaultní jméno a heslo
  • Světe div se, ale někdy stačí útočníkovi vytočit pouhé SIP uri Asterisku a může volat zdarma.
  • Některé NATy se chovají nebezpečně a povolí přístup na Asterisk úplně každému z internetu, kdo zkusí poslat SIP paket na port 5060 jeho veřejné adresy. V kombinaci s ne úplně silným SIP heslem je problém na světě. Tohle je asi nejzákeřnější a v kombinaci s tím, že se NAT snaží zachovat stejná čísla portů jako jsou použité v lokální síti - je to přímo smrtící nejen pro VoIP. Zvolit nestandardní náhodný vysoký SIP port je tak dobrá prevence proti tomu, aby telefon začal zvonit z ničeho nic v noci - když útočník zkouší poslat SIP invite na standardní port.
Co útočník dělá, aby nám znásobil škody.
  • Začne provolávat kredit mimo pracovní dobu, aby si toho nikdo pokud možno nevšiml. Nejlépe v pátek večer s tím, že má možná celý víkend pro sebe.
  • Pokud zjistil přihlašovací SIP údaje, volá na přímo, váš hacknutý asterisk už nepotřebuje. Pokud jen zjistil, jak volat přes Váš asterisk zadarmo, hovory požene přes Váš asterisk.
  • Útočník se snaží dělat větší množství hovorů ve stejnou chvíli. Některé billingy s tím nepočítají.
  • Útočník se snaží hovory různě přepojovat, aby zmátl billing .
  • Útočník se snaží volat různá čísla, protože tuší, že některá mohou být již blokována.
I když všechno výše dodržíme, stále nás útočník bude otravovat, zkoušet uhádnout SIP hesla a podobně. Tím zbytečně přetěžovat naše internetové spojení, stroj a zaneřáďovat logy. Proto mohu doporučit následující:
  • Použít nestandardní SIP porty - naprostá většina všech útočníků nás ani neobjeví, tedy nebude otravovat
  • povolit jen přístup z českých ip adress
  • Povolit registraci a veškerou sip komunikaci jen ze známých rozsahů ip adress pomocí firewallu.
  • Automatizovaně monitorovat příchozí SIP pakety, nebo přírůstky v různých lozích a podle toho blokovat útočníkovy IP adresy.

Co se týče hacknutých koncových SIP zařízení, kterých jsem viděl desítky, pokud z něj útočník dostal přihlašovací údaje, zatím to vždy bylo přes nezabezpečené nebo děravé webové rozhraní.
Všechny tyto postřehy píši do tohoto vlákna. http://forum.odorik.cz/viewtopic.php?f=32&t=480
Zatím ještě nikdy nebyl hacknut někdo, kdo by použil nestandardní náhodný port jak pro web tak pro SIP. Samozřejmě neříkám, že je dobré se na to spoléhat, ale asi bych s tím vždycky začal jako první krok, pokud je pro vás nutné, aby bylo zařízení přístupné na veřejné ip adrese.
Další krok je si změnit defaultní heslo (pozor někdy je přihlašovacích jmen a hesel více jako admin a user ), nahrát nový firmware a pod...

Být vyloženě paranoidní může být někdy na škodu tím, že se člověk zabývá až příliš nějakou teoretickou hrozbou a opomenete úplně to nejzákladnější.
Odpovědět