1 Seguridad en SIP Aplicaciones Distribuidas Avanzadas Doctorado Ingeniería Telemática Antonio Guerrero Junio 2003

2 Jun 2003 2 1. Introducción a SIP 2. Amenazas 3. Mecanismos de protección 4. Conclusiones CONTENIDO

3 Jun 2003 3 1. BREVE INTRODUCCIÓN A SIP

4 Jun 2003 4 Telefonía IP: Protocolos

5 Jun 2003 5 SIP: Session Initiation Protocol :Estándar del IETF (RFC 3261) :Protocolo de establecimiento de sesiones multimedia :Interoperable con anteriores VoIP :Diseñado para Internet: similar a HTTP :Escalable y muy flexible – Permite rápido desarrollo de nuevos servicios

6 Jun 2003 6 Ejemplo Operación Flujo Multimedia UAC UAS

7 Jun 2003 7 Mensajes SIP Petición Respuesta (INVITE – ACK – BYE – CANCEL – OPTIONS – REGISTER – INFO – COMET - …) Línea de Comienzo Cabeceras Cuerpo del mensaje

8 Jun 2003 8 2. AMENAZAS

9 Jun 2003 9 Ataques :Suplantación de identidad – Cabecera “From:” – Permite anonimato :Denegación del Servicio (DoS): – Un tercero envía mensajes CANCEL, BYE, errores (4xx, 5xx, 6xx) :Reencaminamiento de la comunicación – Un tercero envía mensaje ACK o de Redirección (3xx)

10 Jun 2003 10 Ataques (cont.) :Registros ilegales – Un tercero registra mi alias con su dirección :Modificación de sesiones activas – Nuevos parámetros de sesión :Información de localización – Servidores de localización ofreciendo información sensible :Análisis de tráfico y escucha – A quién llamo, qué sesión MM establezco

11 Jun 2003 11 3. MECANISMOS DE PROTECCIÓN - BASIC AUTHENTICATION - DIGEST AUTHENTICATION - EXTENDED AUTHENTICATION - PGP - S/MIME - HOP BY HOP

12 Jun 2003 12 BASIC AUTHENTICATION (RFC2616) SIP/2.0 401 Unauthorized … WWW-Authenticate: Basic realm=“ESCUELA" … Authorization: Basic QWRZaW46Zm9vYmFY … BASE64(usuario:contraseña) INVITE sip:[email protected] SIP/2.0 UAC Servidor SIP o UAS

13 Jun 2003 13 DIGEST AUTHENTICATION (RFC1321) SIP/2.0 401 Unauthorized … WWW-Authenticate: Digest realm=“ESCUELA", …, nonce="84e0a095c…", algorithm=MD5, … … Authorization: Digest RZcfd25153b2e4014aW46 … MD5(usuario:contraseña:nonce) NONCE´único para cada request MD5 no reversible Resto de cosas van en claro, podrían ser modificadas INVITE sip:[email protected] SIP/2.0 UAC Servidor SIP O UAS

14 Jun 2003 14 SIP Digest :Draft que extiende el método HTTP WWW-Authenticate : Incluyendo una firma digital del mensaje :Se firman también las cabeceras inmutables y los datos :Se autentifica mensaje del llamante ante proxies y destinatarios :Se autentifica mensaje del llamado ante proxies y llamante

15 Jun 2003 15 SIP Digest

16 Jun 2003 16 PGP Authentication SIP/2.0 401 Unauthorized … WWW-Authenticate: pgp ;version="5.0" ;realm=“WonderLand" ;algorithm=md5 ;nonce="933082051" Authorization: pgp version="5.0" ;realm=“WonderLand" ;nonce="933082051" ;signature="iQB1Aw…" + cabecera “Response-Key” (envío de clave pública) INVITE sip:[email protected] SIP/2.0 Servidor SIP O UAS UAC

17 Jun 2003 17 PGP Encryption Otras cabeceras variables: record route, contact

18 Jun 2003 18 S/MIME :Para cualquier protocolo que utilice datos MIME – HTTP, E-Mail, y SIP :Ofrece cifrado y firma de los datos Tipo MIME Datos MIME

19 Jun 2003 19 HOP-BY-HOP Protection :Mensajes SIP PUEDEN protegerse al nivel de red o de transporte :No hay recomendaciones explícitas. Algunos mecanismos: – IPSec – TLS :Ofrecen autenticación y cifrado :Normalmente especificados FUERA DE BANDA :RFC 3329 propone un mecanismo para negociar protección: PGP, TLS, IPSec, etc. – Mediante nuevas cabeceras SIP (HOP-BY-HOP requiere confianza transitiva)

20 Jun 2003 20 Otros problemas - Privacidad de las respuestas - Cabeceras que iban cifradas DEBERÍAN devolverse cifradas - Se recomienda incluir la clave de sesión en las peticiones - Privacidad del usuario llamado - Los servicios de localización pueden ofrecer a un solicitante información sensible - Las implementaciones DEBERÍAN poder restringir la información de localización y disponibilidad para cada usuario

21 Jun 2003 21 CONCLUSIONES SIP es vulnerable y necesita ser protegido Ataques: suplantación, escucha, DoS, otros Pueden combinarse varias técnicas para ofrecer modelos de seguridad más completos SIP es sólo una parte de un conjunto de protocolos Seguridad SIP todavía en desarrollo