これだけは知ってほしいVoIP - IPTPC無線lan上を使う場合は、暗号化は必須。...

これだけは知ってほしいVoIPセキュリティの基礎

2015年12月9日 IPTPC/OKI 千村保文

2015/12/9 ＠IPTPC Copy Right Reserved, OKI Electric Industry Co., Ltd 1

IPTPCセミナ2015資料

1. 身の回りにあるセキュリティの脅威 2. VoIPセキュリティ問題事例 3. VoIPセキュリティ対策（技術編、運用編） 4. IPTPCセキュリティデザイナ資格のご紹介 5. 将来展望：VoIPセキュリティを知ることは、

IoTセキュリティに役立つ。 6. まとめ


本日の目次

１．身の回りにあるセキュリティの脅威


第1位インターネットバンキングやクレジットカード情報の不正利用第2位内部不正による情報漏えい第3位標的型攻撃による諜報活動第4位ウェブサービスへの不正ログイン第5位ウェブサービスからの顧客情報の窃取第6位ハッカー集団によるサイバーテロ第7位ウェブサイトの改ざん第8位インターネット基盤技術の悪用第9位脆弱性公表に伴う攻撃第10位悪意のあるスマートフォンアプリ


情報セキュリティの１０大脅威（IPA発表：2015年版）

https://www.ipa.go.jp/security/vuln/10threats2015.html

２．VoIPセキュリティ問題事例


項目説明

環境個人事業主などの中小企業等が利用しているPBX

概要保守用のWebからPBXに侵入され、端末のID/PWが盗まれた。

原因保守のための回線をつないだままにしており、パスワードを初期設定から変えていない。


端末情報の漏洩

インターネット PBX

WEB サーバー

攻撃者


なりすまし

項目説明

環境通信事業者が提供するPBXを導入する利用者

概要 PBXに不正アクセスされ、SIPサーバのIDとパスワードが窃用された。

原因利用者サポートとして、Web上でSIPサーバのIDとパスワードの案内をしており、そこからIDとパスワードが盗まれた。

インターネット

IP-PBX

攻撃者


乗っ取り

項目説明

環境通信事業者のIP電話サービスに加入し、インターネット回線に直結しているIP電話システム

概要インターネット回線からIP電話システム内のVoIP-GWに侵入し、国際発信に利用された。

原因インターネット回線から内線端末をなりすまして発信し、通信事業者を利用して国際発信した。

インターネット攻撃者

事業者 SIPｻｰﾊﾞｰ VoIP-GW

IP-PBX


盗聴

項目説明

環境公衆無線LAN環境の下でIP電話を使用する利用者

概要公衆無線LANの下でIP電話した際、ID/パスワードや通話を盗聴された。

原因・公衆無線LANの暗号鍵設定がされていない、あるいは暗号鍵が公開されている。・IP電話のパスワードを初期設定のまま使っている

インターネット

AP

３．VoIPセキュリティ対策


技術編 IPTPCセキュリティデザイナテキストより



VoIPの仕組み

IPネットワーク

SIPサーバー

IP電話端末 IP電話端末

①登録

②発信 ③着信 ④通話


VoIPセキュリティの脆弱性

出典：SIPに係わる既知の脆弱性に関する調査報告書（ＩＰＡ）


攻撃対象の調査手法


認証


暗号化


ネットワークでの暗号化


ファイアウオール


NAT問題


NAT問題の対策方法

運用編


システム管理者のパスワードシステム管理者以外には公開しない。定期的に変更する。

ユーザーのパスワード初期値のままで使用しない。定期的に変更する。

無線ＬＡＮのパスワード壁に貼り出すなど、公開しない。定期的に変更する。


パスワード管理上の注意事項

ＩＤ／ＰＷ

使用するポート以外は閉じておく。ＳＩＰでは、ＵＤＰ５０６０番を使用します。保守用のＷＥＢでは、８０番を使用します。

使用しないポートを開けておくと、ＦＴＰやＴＥＬＮＥＴなどを介してシステム内に侵入される危険性があります。


ポート管理上の注意事項

システムのログは記録する。ネットワーク・アクセスシステム・アクセス

システムのログは定期的に確認する。通信事業者でＩＰ電話の通話記録（明細）取得が可能な場合は取得する。国際発信などの記録はないか？普段、通話しない相手との記録はないか？など


ログ管理上の注意事項

国際電話など使用しないサービスは規制する。ＰＢＸベンダや通信事業者に問合せ、国際電話の発信を規制しておくことをお勧めします。


通話制限

４．IPTPCセキュリティデザイナ資格のご紹介



IPTPC技術者認定資格制度

ﾘﾆｭｰｱﾙ

安心・安全なテレフォニーシステム構築・提案に最適な資格。


IPTPCセキュリティデザイナ資格

５．将来展望：VoIPセキュリティを知ることは、

IoTセキュリティに役立つ。


ＩｏＴシステムの特徴ネットワークに常時接続しているデバイスを使用する。センサーなど、画面や操作キーなどが付与されておらず、パスワード設定などは外部から行う。

使用者にとって、これまでセキュリティ設定が必要であったという意識が乏しい。

ＶｏＩＰのセキュリティは、ＩｏＴセキュリティを考える上で先行事例となる。ＶｏＩＰセキュリティのわかるエンジニアを育てることは、将来のＩｏＴビジネスにとって重要。


IoTシステムにおけるセキュリティ課題

まとめ


セキュリティの基礎は、PCもVoIPも同じ。インターネットと接続する場合は、認証、パスワード管理、ポート管理

（不要なポートは閉じておく）が重要。特に、保守用回線は要注意。無線LAN上を使う場合は、暗号化は必須。

（WEPのパスワードを壁に貼っておいては、セキュリティ対策にならない） IoTのデバイス、ゲートウェイもVoIPと同様に環境条件の確認が重要！ IoT時代のネットワークに関わる方に「IPTPCセキュリティデザイナ」は

最適な資格です！


本日のまとめ

1. 情報セキュリティ１０大脅威2015年版（（独）情報処理推進機構）（https://www.ipa.go.jp/security/vuln/10threats2015.html）

2. 総務省研究会資料「なりすましによるIP電話等の不正利用について」（平成27年7月）

3. SIPに係わる既知の脆弱性に関する調査報告書（IPネットワーク上のマルチメディアコミュニケーション・システムのセキュリティ品質向上のために）（2010年9月、（独）情報処理推進機構セキュリティセンター）

4. ボイスオーバーIP（VoIP）アプリケーションのプロテクションプロファイル（2013年10月21日、（独）情報処理推進機構セキュリティセンター）

5. IPTPCセキュリティデザイナ・テキスト（第4版） 6. 「ＩｏＴに対するセキュリティの考察」（日本ＩＢＭＰｒｏＶＩＳＩＯＮ８１）


参考文献

https://www.ipa.go.jp/security/vuln/10threats2015.html

ご清聴、ありがとうございました。 IP電話普及推進センタ（IPTPC）を今後もよろしく

お願いいたします。


これだけは知ってほしいVoIP - IPTPC無線lan上を使う場合は、暗号化は必須。...

Documents

Transcript of これだけは知ってほしいVoIP - IPTPC無線lan上を使う場合は、暗号化は必須。...