Perché una chiamata via internet può essere ascoltata?
Quando la tua azienda usa la telefonia IP (chiamata anche VoIP, Voice over Internet Protocol, cioè voce tramite il protocollo internet), ogni conversazione viene suddivisa in migliaia di pacchetti di dati che viaggiano sulla rete, proprio come un'email o una pagina web. Questo è il grande vantaggio: non ti serve un cablaggio telefonico, puoi avere interni in qualsiasi città e spendi molto meno.
Il problema è che, per impostazione predefinita, molti di questi pacchetti viaggiano in chiaro, cioè senza alcun tipo di protezione. Chi riesce a posizionarsi in qualche punto del percorso (una rete wifi pubblica, un dispositivo compromesso all'interno del tuo ufficio, un collegamento configurato male) potrebbe vedere con chi parli e, nel caso peggiore, ricostruire l'audio della chiamata. Il National Institute of Standards and Technology degli Stati Uniti (NIST) lo segnalava già nella sua guida SP 800-58 sulla sicurezza VoIP: la voce sulle reti dati eredita i rischi di quelle reti e ha bisogno di controlli specifici.
La buona notizia è che esistono standard aperti, collaudati da anni, per chiudere quella porta. Basta attivarli e configurarli bene.
Due cose da proteggere: la busta e la lettera
Una chiamata via internet ha due parti, e ognuna si protegge in modo diverso. Pensa a una lettera che spedisci per posta:
- La busta è la segnalazione: chi chiama, chi viene chiamato, quando inizia e quando finisce la chiamata. Nella telefonia IP se ne occupa il protocollo SIP (Session Initiation Protocol, protocollo di avvio della sessione), definito dalla IETF (l'organismo che crea gli standard di internet) nell'RFC 3261.
- La lettera è la voce: l'audio di ciò che dite tu e il tuo cliente. Quell'audio viaggia su un altro protocollo chiamato RTP (Real-time Transport Protocol, protocollo di trasporto in tempo reale).
Se proteggi solo la busta, qualcuno potrebbe comunque leggere la lettera. Se proteggi solo la lettera, sapranno a chi scrivi e quando. Per questo una chiamata davvero sicura cifra entrambe le cose.
SIP su TLS: la busta sigillata
TLS (Transport Layer Security, sicurezza del livello di trasporto) è la stessa tecnologia che protegge il tuo home banking quando vedi il lucchetto nel browser. Secondo la IETF, il suo obiettivo è impedire che un terzo ascolti, alteri o falsifichi i messaggi. La versione in vigore è TLS 1.3, pubblicata nell'RFC 8446 e rivista di recente nell'RFC 9846; la versione precedente, TLS 1.2, era descritta nell'RFC 5246.
Quando la segnalazione SIP viaggia dentro TLS, è come mettere la busta in una cassaforte che possono aprire solo il mittente e il destinatario. Inoltre, TLS usa certificati digitali perché ogni estremità verifichi di parlare con il server corretto e non con un impostore. Lo stesso RFC 3261 lo prevede con lo schema SIPS, che richiede un trasporto cifrato con TLS nel tratto verso il dominio di destinazione.
SRTP: la voce in una lingua che capiscono solo le due estremità
SRTP (Secure Real-time Transport Protocol, la versione sicura di RTP) è definito nell'RFC 3711. Fa tre cose importanti con la voce:
- Riservatezza: cifra l'audio, per impostazione predefinita con l'algoritmo AES, in modo che chi intercetta i pacchetti ottenga solo rumore senza senso.
- Autenticazione del messaggio: permette di rilevare se qualcuno ha modificato un pacchetto lungo il percorso.
- Protezione dalla ripetizione: rifiuta i pacchetti che un attaccante tenta di reinviare per confondere la chiamata.
Un dettaglio chiave: SRTP non distribuisce le chiavi da solo; lo fanno meccanismi esterni concordati durante la segnalazione. Per questo SRTP e TLS funzionano meglio insieme: se la busta viaggia aperta, le chiavi della voce potrebbero restare esposte.
Gli attacchi più comuni contro la telefonia IP
Non serve essere esperti per capire i rischi. L'RFC 3261 e la guida del NIST descrivono, tra gli altri, questi scenari:
- Intercettazioni: qualcuno cattura il traffico vocale non cifrato e ricostruisce la conversazione.
- Furto d'identità: un terzo si spaccia per un server legittimo o per un altro utente, oppure falsifica il numero che compare sullo schermo per ingannare il tuo team.
- Furto delle credenziali SIP e dirottamento della registrazione: se un attaccante ottiene utente e password di un interno, può registrarsi al suo posto, ricevere le sue chiamate o usare la tua linea per fare chiamate che poi paghi tu.
- Interruzione o manipolazione delle chiamate: con falsi messaggi di segnalazione si può tentare di chiudere chiamate in corso o alterarne il contenuto.
- Negazione del servizio: inondare il tuo sistema di messaggi o di chiamate per lasciarlo senza capacità. L'agenzia per la cybersicurezza degli Stati Uniti (CISA) dedica guide specifiche alla negazione del servizio telefonico (TDoS), in cui valanghe di chiamate automatizzate saturano le linee.
Per esempio: un interno con una password debole
Immagina un'azienda di distribuzione a Medellín con 40 interni su un centralino telefonico in cloud. Per velocizzare l'installazione, a tutti gli interni è stata lasciata una password corta e simile al numero dell'interno, e il server accetta connessioni da qualsiasi Paese.
Un venerdì sera, qualcuno prova combinazioni in modo automatico, indovina la password di un interno e lo registra da un altro luogo. Durante il fine settimana usa quella linea per fare chiamate internazionali. Il lunedì l'azienda scopre i consumi e si rende anche conto che le chiamate commerciali di quell'interno potrebbero essere state deviate.
Cosa l'avrebbe evitato? Password lunghe e uniche, un firewall che accetti solo connessioni dai Paesi e dalle reti in cui opera l'azienda, blocco automatico dopo diversi tentativi falliti, limiti di consumo e avvisi di traffico insolito. Nessuna di queste misure è costosa; ciò che costa caro è non averle.
Buone pratiche per proteggere le chiamate della tua azienda
- Cifra tutto ciò che puoi: SIP su TLS per la segnalazione e SRTP per la voce, su telefoni, softphone e trunk.
- Password forti e uniche: ogni interno con la propria password lunga, mai quella di fabbrica né una basata sul numero. Se la tua piattaforma lo consente, attiva l'autenticazione a più fattori nei portali di amministrazione, come raccomanda il MinTIC per gli strumenti aziendali.
- Firewall e controllo degli accessi: apri solo le porte necessarie e limita le reti da cui ci si può connettere. Il NIST raccomanda di usare firewall predisposti per il VoIP o session border controller (SBC, Session Border Controller).
- Aggiornamenti puntuali: applica le patch di sicurezza del centralino, dei telefoni e dei server non appena il produttore le pubblica.
- Separa la rete voce: il NIST suggerisce di mantenere voce e dati su reti logicamente separate (per esempio con VLAN, reti virtuali sullo stesso cablaggio), così che un computer infetto non abbia accesso diretto ai telefoni.
- Amministrazione remota protetta: accedi alla gestione solo tramite canali cifrati come VPN (rete privata virtuale) o SSH.
- Monitoraggio costante: controlla i log, i tentativi di autenticazione falliti e gli schemi di chiamata anomali, e imposta avvisi e tetti di spesa.
Cosa chiedere al tuo fornitore di telefonia
Prima di sottoscrivere (o rinnovare) un servizio di PBX in cloud o di telefonia mobile aziendale, fai queste domande e pretendi risposte concrete:
- Supportate SIP su TLS e SRTP su interni e trunk? Sono attivi per impostazione predefinita?
- Quale versione di TLS usate e come gestite i certificati?
- Come proteggete le credenziali SIP e cosa succede dopo diversi tentativi falliti?
- Posso limitare per Paese, rete o indirizzo IP i luoghi da cui si registrano i miei interni?
- Avete un monitoraggio continuo, avvisi antifrode e limiti di consumo configurabili?
- Ogni quanto aggiornate la piattaforma e come comunicate gli incidenti?
- Chi gestisce l'infrastruttura: un team interno o un terzo di cui rivendete il servizio?
Se il fornitore esita o risponde in modo generico, è un segnale per continuare a cercare. Vale anche la pena consultare il quadro normativo del settore nella nostra sezione dedicata alla normativa.
Anche l'open source parla la lingua della sicurezza
Buona parte della telefonia IP del mondo gira su software open source, e gli strumenti più diffusi supportano questi standard. Kamailio, un server SIP molto usato dagli operatori, include un modulo TLS che supporta TLS 1.3. Asterisk documenta passo dopo passo come combinare TLS per la segnalazione e SRTP per la voce. Anche FreeSWITCH offre la configurazione di SIP su TLS e di media sicuri con SRTP.
Il fatto che il software lo supporti non significa che sia attivo: la differenza la fa il team che lo configura, lo aggiorna e lo sorveglia ogni giorno. In 19 80 TIC Cloud il nostro team di ingegneri gestisce una propria piattaforma di telefonia IP, quindi queste decisioni di sicurezza vengono prese e verificate dall'interno.
