Pourquoi un appel par internet peut-il être écouté ?
Lorsque votre entreprise utilise la téléphonie IP (aussi appelée VoIP, Voice over Internet Protocol, ou voix sur le protocole internet), chaque conversation est découpée en milliers de paquets de données qui circulent sur le réseau, exactement comme un e-mail ou une page web. C'est son grand avantage : pas besoin de câblage téléphonique, vous pouvez avoir des postes dans n'importe quelle ville et vous payez beaucoup moins cher.
Le problème, c'est que par défaut, beaucoup de ces paquets circulent en clair, c'est-à-dire sans aucune protection. Quiconque parvient à se placer sur le trajet (un réseau wifi public, un appareil compromis dans vos bureaux, une liaison mal configurée) pourrait voir avec qui vous parlez et, dans le pire des cas, reconstituer l'audio de l'appel. L'Institut national des normes et de la technologie des États-Unis (NIST) le signalait déjà dans son guide SP 800-58 sur la sécurité de la VoIP : la voix sur les réseaux de données hérite des risques de ces réseaux et nécessite ses propres contrôles.
La bonne nouvelle, c'est qu'il existe des normes ouvertes, éprouvées depuis des années, pour fermer cette porte. Il suffit de les activer et de bien les configurer.
Deux choses à protéger : l'enveloppe et la lettre
Un appel par internet comporte deux parties, et chacune se protège différemment. Pensez à une lettre envoyée par la poste :
- L'enveloppe, c'est la signalisation : qui appelle, qui est appelé, quand l'appel commence et quand il se termine. En téléphonie IP, c'est le protocole SIP (Session Initiation Protocol, protocole d'ouverture de session) qui s'en charge, défini par l'IETF (l'organisme qui élabore les normes d'internet) dans le RFC 3261.
- La lettre, c'est la voix : l'audio de ce que vous et votre client dites. Cet audio circule dans un autre protocole appelé RTP (Real-time Transport Protocol, protocole de transport en temps réel).
Si vous ne protégez que l'enveloppe, quelqu'un pourrait encore lire la lettre. Si vous ne protégez que la lettre, on saura à qui vous écrivez et quand. C'est pourquoi un appel réellement sécurisé chiffre les deux.
SIP sur TLS : l'enveloppe scellée
TLS (Transport Layer Security, sécurité de la couche transport) est la même technologie qui protège votre banque en ligne lorsque vous voyez le cadenas dans le navigateur. Selon l'IETF, son objectif est d'empêcher un tiers d'écouter, de modifier ou de falsifier les messages. La version en vigueur est TLS 1.3, publiée dans le RFC 8446 et récemment révisée dans le RFC 9846 ; la version précédente, TLS 1.2, était décrite dans le RFC 5246.
Lorsque la signalisation SIP circule à l'intérieur de TLS, c'est comme placer l'enveloppe dans un coffre-fort que seuls l'expéditeur et le destinataire peuvent ouvrir. De plus, TLS utilise des certificats numériques pour que chaque extrémité vérifie qu'elle communique avec le bon serveur et non avec un imposteur. Le RFC 3261 lui-même le prévoit avec le schéma SIPS, qui exige un transport chiffré par TLS sur le trajet vers le domaine de destination.
SRTP : la voix dans une langue que seuls les deux interlocuteurs comprennent
SRTP (Secure Real-time Transport Protocol, la version sécurisée de RTP) est défini dans le RFC 3711. Il fait trois choses importantes avec la voix :
- Confidentialité : il chiffre l'audio, par défaut avec l'algorithme AES, de sorte que si quelqu'un intercepte les paquets, il n'obtient qu'un bruit dénué de sens.
- Authentification du message : il permet de détecter si quelqu'un a modifié un paquet en chemin.
- Protection contre le rejeu : il rejette les paquets qu'un attaquant tenterait de renvoyer pour perturber l'appel.
Un détail essentiel : SRTP ne distribue pas les clés lui-même ; ce sont des mécanismes externes, négociés pendant la signalisation, qui s'en chargent. C'est pourquoi SRTP et TLS fonctionnent mieux ensemble : si l'enveloppe est ouverte, les clés de la voix pourraient être exposées.
Les attaques les plus courantes contre la téléphonie IP
Pas besoin d'être expert pour comprendre les risques. Le RFC 3261 et le guide du NIST décrivent, entre autres, ces scénarios :
- Écoute (interception) : quelqu'un capture le trafic vocal non chiffré et reconstitue la conversation.
- Usurpation : un tiers se fait passer pour un serveur légitime ou pour un autre utilisateur, ou falsifie le numéro affiché à l'écran pour tromper votre équipe.
- Vol d'identifiants SIP et détournement d'enregistrement : si un attaquant obtient l'identifiant et le mot de passe d'un poste, il peut s'enregistrer à sa place, recevoir ses appels ou utiliser votre ligne pour passer des appels que vous payez ensuite.
- Coupure ou manipulation d'appels : à l'aide de faux messages de signalisation, on peut tenter de raccrocher des appels en cours ou d'en altérer le contenu.
- Déni de service : inonder votre système de messages ou d'appels pour le saturer. L'agence de cybersécurité des États-Unis (CISA) consacre des guides spécifiques au déni de service téléphonique (TDoS), dans lequel des avalanches d'appels automatisés saturent les lignes.
Par exemple : un poste avec un mot de passe faible
Imaginez une entreprise de distribution à Medellín avec 40 postes sur un standard téléphonique dans le cloud. Pour accélérer l'installation, tous les postes ont reçu un mot de passe court et proche du numéro du poste, et le serveur accepte les connexions depuis n'importe quel pays.
Un vendredi soir, quelqu'un teste des combinaisons de manière automatisée, devine le mot de passe d'un poste et l'enregistre depuis un autre endroit. Pendant le week-end, il utilise cette ligne pour passer des appels internationaux. Le lundi, l'entreprise découvre la consommation et se rend compte en plus que les appels commerciaux de ce poste ont pu être détournés.
Qu'est-ce qui l'aurait évité ? Des mots de passe longs et uniques, un pare-feu qui n'accepte que les connexions des pays et réseaux où l'entreprise opère, un blocage automatique après plusieurs tentatives échouées, des plafonds de consommation et des alertes de trafic inhabituel. Aucune de ces mesures n'est coûteuse ; ce qui coûte cher, c'est de ne pas les avoir.
Bonnes pratiques pour protéger les appels de votre entreprise
- Chiffrez tout ce que vous pouvez : SIP sur TLS pour la signalisation et SRTP pour la voix, sur les téléphones, les softphones et les trunks.
- Des mots de passe forts et uniques : chaque poste avec son propre mot de passe long, jamais celui d'usine ni un mot de passe basé sur le numéro. Si votre plateforme le permet, activez l'authentification multifacteur sur les portails d'administration, comme le recommande le MinTIC pour les outils professionnels.
- Pare-feu et contrôle d'accès : n'ouvrez que les ports nécessaires et limitez les réseaux autorisés à se connecter. Le NIST recommande d'utiliser des pare-feu adaptés à la VoIP ou des contrôleurs de session en bordure (SBC, Session Border Controller).
- Des logiciels à jour : appliquez les correctifs de sécurité du standard, des téléphones et des serveurs dès que le fabricant les publie.
- Séparez le réseau voix : le NIST suggère de maintenir la voix et les données sur des réseaux logiquement séparés (par exemple avec des VLAN, des réseaux virtuels sur le même câblage), pour qu'un ordinateur infecté n'ait pas d'accès direct aux téléphones.
- Une administration à distance protégée : n'accédez à la gestion que par des canaux chiffrés comme un VPN (réseau privé virtuel) ou SSH.
- Une surveillance constante : examinez les journaux, les tentatives d'authentification échouées et les schémas d'appels inhabituels, et définissez des alertes et des plafonds de dépenses.
Quoi demander à votre fournisseur de téléphonie
Avant de souscrire (ou de renouveler) un service de PBX dans le cloud ou de téléphonie mobile professionnelle, posez ces questions et exigez des réponses concrètes :
- Prenez-vous en charge SIP sur TLS et SRTP sur les postes et les trunks ? Sont-ils activés par défaut ?
- Quelle version de TLS utilisez-vous et comment gérez-vous les certificats ?
- Comment protégez-vous les identifiants SIP et que se passe-t-il après plusieurs tentatives échouées ?
- Puis-je restreindre par pays, par réseau ou par adresse IP les lieux depuis lesquels mes postes s'enregistrent ?
- Disposez-vous d'une surveillance permanente, d'alertes de fraude et de plafonds de consommation configurables ?
- À quelle fréquence mettez-vous à jour votre plateforme et comment communiquez-vous sur les incidents ?
- Qui exploite l'infrastructure : votre propre équipe ou un tiers dont vous revendez le service ?
Si le fournisseur hésite ou répond par des généralités, c'est le signe qu'il faut continuer à chercher. Il vaut aussi la peine de consulter le cadre réglementaire du secteur dans notre rubrique réglementation.
L'open source parle aussi le langage de la sécurité
Une grande partie de la téléphonie IP mondiale repose sur des logiciels open source, et les outils les plus utilisés prennent en charge ces normes. Kamailio, un serveur SIP très utilisé par les opérateurs, inclut un module TLS compatible avec TLS 1.3. Asterisk documente pas à pas comment combiner TLS pour la signalisation et SRTP pour la voix. FreeSWITCH propose également la configuration de SIP sur TLS et de médias sécurisés avec SRTP.
Que le logiciel le prenne en charge ne signifie pas qu'il soit activé : la différence, c'est l'équipe qui le configure, le met à jour et le surveille chaque jour. Chez 19 80 TIC Cloud, notre équipe d'ingénieurs exploite sa propre plateforme de téléphonie IP : ces décisions de sécurité sont donc prises et révisées en interne.
