Intercettazioni telefoniche: più protetti della Come impedire che i sistemi IP diventino porte d‘accesso per Autori: Heike Cantzler, Head of Corporate Communication, snom technology AG Oliver Wittig, Vice President Enterprise Relations, snom technology AG Al giorno d‘oggi, l‘intercettazione delle telefonate non è più qualcosa che troviamo solo nei film di spionaggio: proprio poco tempo fa, le rivelazioni in merito alle intercettazioni telefoniche ai danni della cancelliera tedesca Angela Merkel sono state l‘ennesima prova della vulnerabilità della moderna comunicazione. E nel mirino degli hacker non ci sono soltanto i contenuti delle conversazioni. La comunicazione basata su IP è anche una potenziale porta d‘accesso a tutte le altre forme di comunicazione digitale, come e-mail e SMS, e può essere quindi utilizzata come trampolino di lancio per un attacco alla rete soggiacente. Nella maggior parte dei casi, perciò, impedire l‘intercettazione delle conversazioni telefoniche non è più l‘unico obiettivo. Tale esigenza è soltanto di una delle numerose componenti di una strategia di sicurezza informatica completa e attenta, che consideri tutti gli apparati coinvolti. Intercettare telefonate e conversazioni tramite la linea ISDN è un gioco da ragazzi: basta accedere anche una sola volta alla presa telefonica, all’apparato ISDN oppure ad un telefono per poter ascoltare clandestinamente le conversazioni che vi transitano. Infatti, basta sostituire la cornetta e il telefono si trasforma immediatamente in una cimice, che permette di ascoltare tutte le conversazioni, anche quelle che si svolgono nell’ambiente circostante. D’altro canto, la linea ISDN trasmette un flusso di dati digitale. È sufficiente impostare il canale di trasmissione desiderato nel menu del dispositivo e stare semplicemente ad ascoltare. Ad ogni modo, queste intercettazioni sono sempre ed esclusivamente limitate al traffico voce. Se da una parte, tramite la linea ISDN, gli intrusi riescono nel peggiore dei casi ad ascoltare le conversazioni, dall’altra, le installazioni Voice over IP (VoIP) dischiudono nuovi scenari di abuso: attraverso un dispositivo VoIP, gli hacker possono ottenere accesso all’intera rete di un’azienda, e quindi anche a tutti i dati che vi vengono trasmessi e salvati. Questo perché, a differenza della telefonia analogica, GSM e ISDN, nella telefonia VoIP le conversazioni vengono trasmesse attraverso lo stesso canale dal quale passa il restante traffico dati. In altre parole: ognuno dovrebbe assicurarsi che tutte le installazioni IT presenti siano sicure. Questo vale, ad esempio, per gli utenti privati, per le password dei servizi di online banking ed in particolare per tutte le aziende che trattano contenuti innovativi e sensibili oppure per gli istituti bancari, che hanno accesso a somme miliardarie e dati personali di milioni di clienti. Chiunque può essere vittima di attacchi ed intercettazioni, senza alcuna eccezione, questo secondo gli ultimi aggiornamenti dell’Ufficio Federale per la Sicurezza Informatica (BSI). La differenza, tuttavia, è rappresentata dall’impegno profuso dagli hacker per ottenere clandestinamente i dati degli utenti privati da una parte, e quelli di banche e strutture governative dall’altra. Di conseguenza, sono differenti anche le contromisure che gli interessati devono adottare per proteggere la propria infrastruttura. Dal momento che il traffico voce dell’azienda viaggia sulla stessa rete dalla quale passa tutto il restante traffico dati e considerando anche il fatto che per effettuare chiamate esterne è necessario disporre di una connessione ad Internet, la telefonia IP offre agli aggressori un’ulteriore porta d’accesso alla struttura IT dell’azienda. Di norma, i telefoni IP offrono una protezione maggiore rispetto a molti PC. Qualora, però, gli endpoint o l’impianto IP non siano sufficientemente protetti, essi consentono sostanzialmente l’accesso all’intera rete aziendale. Pertanto, già al momento della decisione in merito alla soluzione, sia che il PBX venga installato all’interno dell’azienda sia che si tratti di soluzioni cloud, l’azienda dovrebbe verificare che il produttore offra determinati sistemi volti a garantire la sicurezza e che svolga regolarmente tutti i necessari aggiornamenti per i propri terminali. Per capire se il mo- dello di sicurezza adottato da un produttore sia di buona qualità, basta effettuare qualche ricerca nei media del settore oppure semplicemente in Internet. 1. Per iniziare, la semplice implementazione delle password spesso è una prima ed affidabile misura protettiva contro gli accessi non autorizzati. 2. Inoltre, è consigliabile installare un firewall idoneo e scegliere dispositivi che integrino nativamente diverse funzioni di sicurezza. I dispositivi che supportano il protocollo Ipv6 dovrebbero essere in special modo oggetto di verifica e messa in sicurezza. Spesso ci si dimentica che, attraverso l’IPv6 gli endpoint possono essere raggiunti più facilmente, e quindi il firewall deve essere configurato in modo tale da filtrare letteralmente l’IPv6. 3. Gli stessi endpoint IP dovrebbero codificare le proprie connessioni: il protocollo SIP (Session Initiation Protocol), per la realizzazione di un percorso di comunicazione basato sull’IP, può essere ulteriormente protetto dagli accessi non autorizzati grazie al protocollo di codifica TLS (Transport Layer Security), assumendo così la denominazione “SIPS”. I dati voce possono essere codificati tramite il protocollo SRTP (Secure Real-Time Transport Protocol). Se queste caratteristiche sono già integrate nell’endpoint, la comunicazione ne risulta ovviamente più protetta. Ma il miglior modello di sicurezza non serve a nulla se gli utenti non sfruttano le funzionalità offerte. Qualora un hacker riuscisse ad infiltrarsi nel sistema, sarebbe in grado di fare praticamente qualsiasi cosa desideri con i telefoni, come accendere il microfono e intercettare così tutte le conversazioni che avvengono nell’ambiente circostante. Difendersi autonomamente da questo genere di minacce è possibile: basta seguire tutte le indicazioni di sicurezza e configurazione, come ad esempio assegnare le necessarie password e disattivare il server web locale. Perciò, il primo passo verso una maggiore sicurezza nella telefonia IP è l’utilizzo di password appropriate a livello di centralino IP, telefoni e qualsiasi altro dispositivo collegato. In pratica, gli amministratori dovrebbero implementare negli endpoint e nel PBX tutti i meccanismi disponibili per la sicurezza, come ad esempio le restrizioni sulle porte oppure l’assegnazione di porte random ad ogni telefonata. Infatti, ogni sistema è tanto sicuro proporzionalmente a quanto correttamente è stato configurato. Analizzando le raccomandazioni del BSI, è possibile identificare cinque livelli di sicurezza che rispecchiano diverse contromisure per proteggere l’infrastruttura di comunicazione a seconda delle varie esigenze: 4. In alternativa, la sicurezza può essere garantita anche da un luogo centrale, indipendentemente dalle singole applicazioni e dispositivi. I vantaggi di un intervento centrale sono molteplici: l’implementazione avviene una volta soltanto, la manutenzione è minima e vi è anche la possibilità di proteggere le comunicazioni che avvengono tramite software di altri produttori, sulle quali non ci sarebbe altrimenti alcun controllo. Una modalità in cui è possibile realizzare tale gestione centralizzata è la Virtual Private Network (VPN). Tipicamente, la VPN viene implementata per stabilire un collegamento tra i collaboratori che operano fuori sede e la rete aziendale, tra una filiale ed il centro di calcolo oppure tra diversi server o centri di calcolo locali. L’implementazione di tutte le suddette misure offre un discreto livello di sicurezza che, essendo piuttosto difficile da infrangere, può soddisfare diverse esigenze e che dovrebbe scoraggiare la maggior parte degli hacker. E tuttavia vi sono contesti, come ospedali, banche, uffici di autorità o di governo, in cui le esigenze di sicurezza sono eccezionalmente elevate e queste cautele non bastano. In questi casi, si può ricorrere a soluzioni di comunicazione ad elevata sicurezza. Proponiamo di seguito due esempi dalla Germania: 5. Due soluzioni che soddisfano anche i più elevati requisiti di sicurezza, perseguendo però due diverse strategie di protezione. La prima variante sfrutta un meccanismo di codifica che varia costantemente, la seconda una chiave ad altissima segretezza e quindi estremamente sicura. Variante 1: Cryptophone IP 19 by GSMK Per la codifica, il telefono Cryptophone IP 19 utilizza gli algoritmi attualmente più complessi e sicuri: AES256 e Twofish. Inoltre, i telefoni Cryptophone di GSMK sono gli unici telefoni sul mercato garantiti contro le intercettazioni ed il cui codice sorgente completo è a disposizione per effettuare test di sicurezza indipendenti. In questo modo, è possibile avere un controllo permanente sui codec di sicurezza utilizzati trasversalmente dall’intera community. Variante 2: snom 760 secusmart edition Per garantire la massima protezione contro le intercettazioni, uno dei telefono IP di snom è stato dotato di un ingresso per smart card che consente la protezione dei dati del traffico e-mail, SMS e voce. Per la smart card, è stato integrato un NXP SmartMX P5CT072 Krypto-Controller con coprocessore PKI per l’autenticazione in una scheda SD. Un coprocessore aggiuntivo ad alta velocità codifica voce e dati con l’algoritmo AES a 128 bit. Così, la smart card permette la codifica dei dati con 340 sestilioni (340 * 1036) di chiavi diverse - un meccanismo praticamente impossibile da infrangere con gli strumenti odierni e del futuro prossimo. Inoltre, è possibile archiviare fino a 8 GB di documenti nella massima sicurezza. La tecnologia implementata rispetta i massimi standard di segretezza ed è conseguentemente protetta da infiltrazioni. Inoltre, il produttore garantisce che le comunicazioni non avvengono mai tramite server o servizi esterni all’UE. Entrambe le varianti assicurano all’utente una comunicazione estremamente protetta ed offrono agli amministratori la possibilità di garantire la sicurezza del dispositivo nella propria rete, indipendentemente da qualsiasi influsso esterno. Optare per l’una o per l’altra variante è una pura questione di scelta: entrambe sono piuttosto articolate, abbastanza costose e in grado di garantire estremi standard di sicurezza in associazione all’altra. Il principale punto di debolezza della comunicazione, al giorno d’oggi, è rappresentato dall’integrazione degli endpoint mobili, in particolare degli smartphone: da un lato, essi sono collegati ad Internet e, dall’altro, spesso sono connessi al server aziendale, una combinazione che li rende potenzialmente delle perfette porte d’accesso per gli hacker. In occasione del CeBIT di quest’anno, è stata presentata, ad un prezzo accessibile, una soluzione di codifica del traffico voce per cellulari simile al sistema sviluppato per la cancelliera tedesca. La app è però basata su software e quindi la sua suscettibilità potrebbe essere sensibilmente maggiore rispetto alla protezione offerta da un sistema hardware. Garantire la protezione delle connessioni tra smartphone, rete e telefono IP è sicuramente una delle più grandi sfide del futuro a venire. A ciò si aggiunge un assunto pressoché inconfutabile: la sicurezza assoluta non esiste! La recente scoperta del bug di sicurezza “Heartbleed” ne ha dato nuova dimostrazione. Ma questo non significa che rimarremo in balia degli hacker. Agire in modo avveduto e seguire le regole fondamentali di sicurezza può di per sé garantire un discreto livello di protezione già oggi. Gli autori Heike Cantzler laureata in scienze mediatiche e attiva da 6 anni presso l‘ufficio marketing della snom technology AG. Oliver Wittig laureato in scienze informatiche e impiegato dal 2004 presso la snom technology AG.
© Copyright 2024 Paperzz
