La VoIP, en el punto de mira de los ciberpiratas

La VoIP, en el punto de mira de los ciberpiratas
Gemma Tonijuan
Expansión
25/02/05
Los problemas de seguridad pueden ser un freno para el desarrollo de esta
tecnología. Una de las formas de proteger las conversaciones es encriptar las
llamadas.
La cada vez más popular VoIP –telefonía por Internet–parece llamada a revolucionar el
panorama de las telecomunicaciones. No en vano, esta tecnología permitirá a las
empresas mantener comunicaciones gratuitas a través de Internet con tarifas más
económicas. También simplifica la estructura de redes, evita el doble cableado de
oficinas y rebaja los costes de mantenimiento (voz y datos comparten la misma red).
Estas ventajas podrían convencer a 26 millones de usuarios en 2008, según la
Asociación de Industrias de Telecomunicaciones. En la misma línea, Gartner espera que
en el 2007 un 97% de los sistemas de telefonía que se instalen en Estados Unidos serán
VoIP o híbridos.
Seguridad
Pero a medida que crece su popularidad aumentan las preocupaciones por la seguridad
de las comunicaciones vía VoIP.
Estos problemas de seguridad no sólo comprometen el contenido de una conversación,
sino también la información sobre la propia llamada. Estos datos podrían ser
interceptados y registrados por terceros para conocer las llamadas entrantes y salientes
de un terminal, configurar y dirigir llamadas sin consentimiento del propietario o grabar
los datos de todos sus contactos para “bombardear” sus buzones de voz IP con spit
(Spam over Internet Telephony), técnica bautizada como bombing o Vbombing. Otro
riesgo es que los paquetes de datos sean interceptados para alterar los parámetros de una
llamada, escuchar una conversación o retransmitirla íntegramente. Las llamadas
también están expuestas al riesgo del “secuestro” por parte de hackers, lo que abre una
serie de posibilidades maliciosas que van desde el redireccionamiento hasta el robo de
identidad, también conocido como spoofin.
Una de las formas de proteger las comunicaciones basadas en voz sobre IP es la
“encriptación”, tanto de la señal de la llamada (para que las direcciones de teléfono no
aparezcan con claridad) como de los paquetes de datos (lo que prácticamente impide
insertar palabras en una conversación). Esto implica perder ancho de banda, algo que se
solucionaría, según los expertos, cambiando a la última versión del Protocolo de
Internet (IPv6).
Además, es importante proteger periódicamente de hackers y spammers los elementos
que componen la red VoIP (terminales, gatekeepers, gateways, enrutadores,
conmutadores, etc.) con las actualizaciones y parches oportunos. Estructurar la red
separando vo z y datos para llevar una gestión paralela puede ser de ayuda también a la
hora de garantizar una mayor seguridad y calidad del servicio.
Conscientes de los retos de seguridad que plantea la voz IP, una veintena de firmas de
seguridad y redes –como 3Com, Siemens y Symantec– han constituido la VoIP Security
Alliance (VOIPSA). Su objetivo, contrarrestar los potenciales riesgos de seguridad que
amenazan el despliegue masivo de la voz sobre IP, investigando e informando a los
usuarios sobre formas de proteger sus comunicaciones. Por su parte, el National
Institute of Standards and Technology (NIST) de Estados Unidos ha alertado sobre las
“vulnerabilidades inherentes” al protocolo VoIP, que atribuye, ante todo, a que las redes
de datos están mucho más expuestas al abuso por parte de terceros que las redes
telefónicas tradicionales.
Mientras, la Comisión Federal de Comunicaciones (FCC) de EEUU ha propuesto que
las conversaciones por Internet estén sujetas a la vigilancia de la policía y los servicios
de espionaje, previa autorización judicial. Paralelamente, Bruselas ha instado a sus
reguladores a crear un entorno legal propicio al desarrollo de los servicios de VoIP que
les permita competir con las redes tradicionales.
Pocos ataques
Algunos expertos señalan que los servicios de voz IP han sufrido hasta ahora pocos
ataques porque el número de usuarios –5 millones en todo el mundo, según un informe
de Point Topic– es todavía reducido. Pero lo cierto es que ni los riesgos que comporta
usar el protocolo VoIP son muy distintos de los que amenazan al resto de redes IP, ni
los agujeros de seguridad de su software son más grandes que los de otros programas
que utilizamos habitualmente. En realidad, los problemas asociados a la voz IP son los
propios de una tecnología todavía incipiente que debe perfeccionarse con su uso, pero
también con el abuso que inevitablemente se dará, como ya ha sucedido con
innovaciones como el e-mail.
¿Cuál es el mínimo de seguridad que se puede exigir a la VoIP?
Una solución no demasiado compleja
Francisco Javier Núñez, Gerente de PwC
Los problemas relativos al protocolo VoIP no distan de los que
afectan a las redes de datos convencionales, con el agravante de que
utilizan tecnologías más “populares” y accesib les para los usuarios de la
Red. Esto favorece la posibilidad de ataques de denegación de servicio (DoS), que
producen la interrupción temporal de todas las comunicaciones. A este tipo de
vulnerabilidad se le añaden las propias del protocolo utilizado y de los sistemas
operativos de las máquinas que controlan las comunicaciones (IP PBX, gateways, etc.),
que pueden ser aprovechadas por virus y usuarios malintencionados para escuchar las
comunicaciones, interrumpirlas o incluso realizar llamadas gratis. La solución no es
compleja y pasa por incorporar a la infraestructura de VoIP controles similares a los
adoptados en la organización en una adecuada política de seguridad, como son el
cifrado de las comunicaciones, el establecimiento de niveles de acceso a los recursos,
una apropiada segregación de las redes de datos y voz, la adopción de políticas de
filtrado y el establecimiento de procedimientos seguros de operación y mantenimiento.
El problema es legal
Brian Subirana, profesor del IESE
Cuando aparecen tecnologías rompedoras, la sociedad reacciona con fobias diversas.
Por ejemplo, bajo el pretexto de que estaba contaminado, se prohibió el consumo de
hielo refrigerado por neveras gracias a la presión de los proveedores de hielo. Con
VoIP, está claro que hay problemas relativos a la seguridad, de hecho los mismos que
con el par de cobre. La diferencia es tal vez la facilidad aparente y la escala con la que
se pueden realizar intrusiones. No obstante, existen soluciones técnicas a dicho
problema. La seguridad no es nunca del 100%, pero pueden mitigarse las posibles
vulnerabilidades. En mi opinión, el principal problema no está en las posibles
intrusiones sino en los problemas legales que puedan derivarse de ellas. Por ejemplo, el
hecho de efectuar llamadas por VoIP en las que se discutan temas confidenciales
pueden ser consideradas por un juez prueba de una mala gestión de datos
confidenciales. Posibles problemas derivados de la utilización de VoIP también pueden
ser considerados como un incumplimiento de los niveles de servicio. El marco
regulatorio es, una vez más, un freno para la innovación y difusión de nuevas
tecnologías y una herramienta de defensa para el statu quo.