La VoIP, ou Voice over IP, désigne la transmission de la voix sur des réseaux IP comme Internet. Elle consiste à numériser la voix pour l'acheminer sous forme de paquets de données, à la manière des données informatiques.
L'essor de la VoIP ces dernières années s'explique par plusieurs facteurs :
Les progrès techniques, notamment la montée en puissance des débits disponibles, qui permettent une qualité de service satisfaisante.
La réduction des coûts par rapport à la téléphonie traditionnelle, la VoIP utilisant les infrastructures réseau existantes.
La convergence télécoms/informatique, les entreprises cherchant à unifier voix et données sur un réseau IP unique.
De nouveaux usages comme la visioconférence, le travail collaboratif, la mobilité.
Aujourd'hui, de nombreuses entreprises ont adopté la VoIP pour moderniser leurs communications internes et externes. Les opérateurs proposent également des offres VoIP grand public. Le marché de la VoIP connaît donc une croissance soutenue.
Menaces et risques liés à la VoIP
L'arrivée de la VoIP (Voice over IP) et des communications unifiées a apporté de nombreux avantages en termes de flexibilité et de coûts pour les entreprises. Cependant, cette technologie s'accompagne également de nouveaux risques en matière de sécurité.
La VoIP utilise les mêmes infrastructures que les données informatiques classiques. De ce fait, elle est vulnérable à de nombreuses attaques qui ciblaient initialement les réseaux de données.
Les principales menaces liées à la VoIP sont :
Interceptions d'appels : les communications VoIP n'étant pas chiffrées par défaut, un pirate peut intercepter et écouter les conversations, violant ainsi la confidentialité des échanges.
Dénis de service : en saturant les infrastructures VoIP ou les terminaux, un attaquant peut rendre le service indisponible et bloquer les communications.
Spam vocal : équivalent du spam email, le spam vocal consiste à recevoir un grand nombre d'appels publicitaires non sollicités pouvant mener à une saturation des lignes.
Usurpation d'identité : un pirate peut usurper l'identité d'un interlocuteur en utilisant son numéro de téléphone.
Attaques par déni de service distribué (DDoS) : inondation massive de requêtes provenant de nombreuses sources dans le but de saturer le réseau.
Ces menaces peuvent avoir des impacts financiers et opérationnels importants pour les entreprises. Il est donc essentiel de renforcer la sécurité des infrastructures VoIP face à ces risques spécifiques.
Sécuriser les infrastructures
Les infrastructures VoIP doivent être sécurisées pour se prémunir contre les cyberattaques et failles de sécurité. Voici quelques mesures techniques à mettre en place :
Chiffrement : Le chiffrement des communications VoIP est indispensable pour assurer la confidentialité des échanges. Il faut chiffrer aussi bien les flux de signalisation que les flux média avec des protocoles comme SRTP et ZRTP.
Pare-feux VoIP : Des pare-feux dédiés à la VoIP doivent être deployés pour contrôler et filtrer les flux VoIP entrants et sortants. Ils permettent de bloquer les trafics indésirables et les cyberattaques.
Sécurisation des serveurs : Les serveurs VoIP comme les proxies SIP, softswitches et SBC doivent être durcis au niveau système et applicatif. L'accès à distance à ces équipements sensibles doit être restreint.
Cloisonnement des réseaux : Il est recommandé de cloisonner les réseaux de téléphonie des autres réseaux informatiques via des VLAN dédiés. Cela limite les risques de propagation en cas d'intrusion.
Supervision : Une surveillance proactive du trafic VoIP permet de détecter les anomalies pouvant indiquer des tentatives d'intrusion ou des éléments de trafic malveillants.
Mises à jour : Appliquer régulièrement les mises à jour de sécurité sur l'ensemble des équipements VoIP, softphones et infrastructures réseau est primordial pour colmater les failles au fur et à mesure de leur découverte.
En adoptant ces bonnes pratiques techniques, les entreprises peuvent sécuriser leurs infrastructures VoIP contre les menaces grandissantes. La sécurité doit être intégrée dès la conception des architectures pour une protection efficace.
Sécuriser les terminaux
La sécurité des terminaux comme les téléphones IP est cruciale pour protéger les communications VoIP. Voici quelques bonnes pratiques à mettre en place:
Authentification
- Exiger une authentification forte pour accéder aux terminaux, par exemple avec un nom d'utilisateur et un mot de passe complexes.
- Désactiver les comptes par défaut et les mots de passe standards sur les terminaux.
- Configurer l'authentification à deux facteurs lorsque cela est possible.
Gestion des mots de passe
- Choisir des mots de passe robustes, d'au moins 8 caractères et contenant des lettres, des chiffres et des symboles.
- Changer régulièrement les mots de passe par défaut.
- Ne pas utiliser des mots de passe faciles à deviner.
- Stocker les mots de passe de manière sécurisée.
Mises à jour logicielles
- Maintenir les terminaux à jour avec les dernières versions logicielles.
- Appliquer rapidement les correctifs de sécurité dès leur disponibilité.
- Configurer les mises à jour automatiques lorsque cela est possible.
En suivant ces bonnes pratiques d'authentification, de gestion des mots de passe et de mise à jour, on améliore significativement la sécurité des terminaux VoIP contre les cyber-attaques.
Sécurité des réseaux internes
La sécurité des réseaux internes est cruciale pour protéger les communications VoIP. Voici quelques bonnes pratiques à mettre en place:
Utiliser un VLAN dédié pour la téléphonie IP afin d'isoler et contrôler le trafic voix. Le VLAN voix ne doit pas être routé vers d'autres réseaux.
Limiter le trafic entrant et sortant du VLAN voix au strict nécessaire (ports SIP, RTP).
Filtrer le trafic avec des ACL pour n'autoriser que les flux légitimes.
Désactiver le sniffing de trames (port mirroring) sur le VLAN voix pour empêcher l'écoute clandestine.
Activer la sécurité 802.1X pour authentifier les téléphones IP avant de les connecter au réseau.
Chiffrer les communications internes avec IPSec ou SSL lorsque c'est possible.
Surveiller étroitement le trafic vocal pour détecter les anomalies.
Séparer physiquement le réseau voix du réseau data si possible.
Maintenir les équipements réseau à jour et patcher rapidement les vulnérabilités.
La sécurisation du réseau interne est un prérequis pour déployer la VoIP en confiance dans l'entreprise.
Sécurité des fournisseurs VoIP
Avec la VoIP, il est crucial de choisir un fournisseur fiable qui accorde une grande importance à la sécurité. Voici quelques conseils pour évaluer et choisir son fournisseur VoIP:
Examiner les garanties contractuelles en matière de sécurité. Le fournisseur doit détailler les mesures techniques et organisationnelles mises en place pour sécuriser le service.
Privilégier un fournisseur connu et réputé, ayant pignon sur rue. Se méfier des offres trop attractives d'acteurs peu connus.
Vérifier que le fournisseur est transparent sur ses pratiques et fait auditer régulièrement la sécurité par un organisme indépendant.
S'assurer que les datacenters hébergeant les infrastructures du fournisseur disposent de normes élevées en matière de sécurité physique et logique.
Le fournisseur doit pouvoir fournir une architecture réseau sécurisée, avec chiffrement des communications de bout-en-bout.
Les mises à jour de sécurité sur les équipements et les logiciels doivent être fréquentes et régulières.
En cas d'incident de sécurité, le fournisseur doit disposer d'une cellule d'intervention d'urgence disponible 24/7.
Un fournisseur VoIP fiable et transparent sur ses pratiques de sécurité est le meilleur garant pour sécuriser les communications sur IP. Les garanties contractuelles doivent détailler précisément les engagements en matière de sécurité.
Formation des utilisateurs
La sécurité des communications VoIP commence par la sensibilisation et la formation des utilisateurs. En effet, de nombreuses failles de sécurité sont dues à des erreurs humaines et à un manque de connaissances sur les bonnes pratiques.
Il est essentiel de former les utilisateurs aux risques spécifiques de la VoIP :
- Ne pas divulguer d'informations sensibles lors d'appels VoIP avec des inconnus
- Eviter d'utiliser des mots de passe faibles pour protéger les comptes VoIP
- Ne pas cliquer sur des liens suspects reçus par message vocal
- Maintenir les terminaux VoIP à jour avec les derniers patches de sécurité
- Signalera rapidement toute anomalie ou tentative de fraude
Les utilisateurs doivent également être sensibilisés pour éviter les erreurs courantes :
- Ne pas désactiver les pare-feux sur les routeurs et terminaux VoIP
- Ne pas donner accès aux comptes VoIP à des personnes non autorisées
- Ne pas installer de logiciels non approuvés sur les téléphones IP
- Ne pas brancher les téléphones IP sur des réseaux non sécurisés
Une formation régulière permet de rappeler ces bonnes pratiques et de s'assurer que tous les utilisateurs sont conscients des menaces pesant sur la VoIP. Des tests de phishing peuvent également aider à évaluer le niveau de sensibilisation. Enfin, il est important d'intégrer la sécurité VoIP dans les procédures d'accueil des nouveaux collaborateurs.
Surveillance et détection d'intrusion
La surveillance et la détection d'intrusion sont essentielles pour sécuriser un réseau VoIP. Des outils de monitoring en temps réel doivent être mis en place pour détecter les anomalies et les activités suspectes.
Les administrateurs réseau doivent configurer des alertes automatiques en cas d'incident. Par exemple, des alertes peuvent être déclenchées en cas de :
- Augmentation anormale du trafic vocal
- Tentatives de connexion SSH suspects
- Activité sur des ports non autorisés
- Modifications non planifiées de la configuration des équipements
- Indisponibilité des serveurs VoIP
Ces alertes doivent être envoyées en temps réel aux administrateurs par email, SMS ou via une interface de monitoring centralisée.
Des outils d'analyse de logs et de paquets réseau doivent également être mis en place pour détecter les anomalies. L'analyse de logs permet par exemple de détecter :
- Des tentatives d'authentification infructueuses répétées
- Des appels vers des destinations inhabituelles
- Des activités à des heures non habituelles
L'analyse des paquets réseau peut révéler des activités malveillantes comme des scans de ports ou des tentatives d'intrusion.
Une surveillance rigoureuse et des alertes automatisées sont donc indispensables pour réagir rapidement en cas d'incident de sécurité sur un réseau VoIP.
Plans de reprise d'activité
La mise en place d'un plan de reprise d'activité (PRA) robuste est cruciale pour assurer la continuité des communications VoIP en cas de panne ou de cyberattaque.
Les éléments clés d'un PRA VoIP comprennent:
Solutions de basculement: Il est essentiel de disposer d'un système de basculement vers un centre d'appels secondaire ou des lignes PSTN traditionnelles en cas de panne du système VoIP principal. Les routeurs doivent être configurés pour router automatiquement les appels vers le système de secours.
Sauvegardes: Des sauvegardes régulières des serveurs VoIP, des configurations et des données doivent être planifiées et testées. Les sauvegardes doivent être stockées hors site ou dans le cloud.
Redondance des équipements: La mise en place d'équipements VoIP redondants (serveurs, passerelles, commutateurs) permet d'éviter les points de défaillance uniques.
Alimentation électrique de secours: Des onduleurs et générateurs doivent alimenter les équipements critiques pour éviter les interruptions en cas de panne de courant.
Tests réguliers: Le PRA doit être testé régulièrement pour s'assurer de son efficacité. Des exercices de basculement vers le système de secours doivent être organisés.
Un PRA VoIP rigoureux, associé à une surveillance proactive des systèmes, permet de maximiser la disponibilité des communications et de réagir rapidement aux incidents de sécurité.
En résumé
Avec l'adoption croissante de la VoIP, la sécurité des communications IP est devenue une préoccupation majeure. Bien que la VoIP offre de nombreux avantages en termes de flexibilité et de coûts, elle introduit également de nouveaux défis en matière de sécurité.
Les menaces liées à la VoIP incluent l’écoute clandestine des conversations, le déni de service, le piratage de compte, et l’insertion de contenus malveillants. Il est donc essentiel de mettre en place des mesures de sécurité adéquates pour protéger les infrastructures VoIP, les terminaux des utilisateurs, et les réseaux internes.
Voici un récapitulatif des bonnes pratiques essentielles:
Sécuriser l'infrastructure VoIP avec des pare-feux spécialisés, du chiffrement des communications, et de l'authentification forte.
Durcir la configuration des terminaux VoIP, désactiver les fonctionnalités inutiles, et appliquer les dernières mises à jour de sécurité.
Segmenter le trafic voix/données sur le réseau interne et appliquer des contrôles d'accès stricts.
Choisir un fournisseur VoIP de confiance qui propose des garanties de sécurité.
Former les utilisateurs aux bonnes pratiques pour sécuriser leurs terminaux.
Mettre en place une surveillance proactive du trafic pour détecter les anomalies.
Disposer d'un plan de reprise d'activité en cas d'incident de sécurité majeur.
En adoptant une approche de sécurité à plusieurs niveaux, il est possible de tirer pleinement parti des bénéfices de la VoIP tout en atténuant efficacement les risques associés. La sécurité doit être prise en compte dès la conception des architectures VoIP pour assurer une protection optimale sur le long terme.