VoIP Attack 2008.11.05 http://www.netlab.co.kr

SIP Flow Chart http://www.en.voipforo.com/SIP/SIP_example.php User A Proxy User B http://www.en.voipforo.com/SIP/SIP_example.php

SIP Authentication Register User A Proxy REGISTER 1 Authentication Required 2 nonce REGISTER with auth 3 hash_value 200 OK 4 네트워크를 통해 proxy에서 user에게 건네어 지는 nonce 값은 MITM 공격을 방지하기 위해 항상 바뀐다. 따라서 attacker는 hash 값을 가지고 password를 알아 내기 힘들다. hash_value = hash_function(username, password, nonce, …); Nonce value from Proxy to user always changes whenever it is passed through network to protect from MITM attack, so it is hard for attacker to guess password from hash value.

SIP Register Flow Chart REGISTER sip:service.com SIP/2.0 Via: SIP/2.0/UDP 192.168.123.157:5060;branch=z9hG4bK782861688 From: "07012345678" <sip:77012345678@service.com>;tag=1548311646 To: " 07012345678 " <sip: 77012345678@service.com > Proxy-Require: com.appliance_provider.firewall Call-ID: 9999117224@192.168.123.157 CSeq: 2 REGISTER Contact: <sip:7012345678@192.168.123.157:61291;maddr=125.111.222.223>;expires=3600 Proxy-Authorization: Digest username="7012345678", realm="Realm", nonce="MTIyNTgyMjM4MjY1OTZjMzI4NTU3N2RlMGY5YTIyMGYwZWFmYWRlMDdlZjAw", uri="sip:service.com", response="8ce5e1e9c121baxxxxdf536d50b76347", algorithm=MD5, cnonce="234abcc436e2667097e7fe6eia53e8dd", qop=auth, nc=00000001 … attacker는 위에서 보여진 response 값을 가지고 password를 쉽에 알아 낼 수 있을까요? Is attacker able to guess password from hash value(shown in response field)?

Guessing password using brute-force attack Attacker can get information userame and hash value from packet capturing, but it is not easy for him to infer password from hash value directly. So attacker would like to use brute-force attack method. hash(“7012345678”, …, “0000”) = response? hash(“7012345678”, …, “0001”) = response? hash(“7012345678”, …, “0002”) = response? hash(“7012345678”, …, “0003”) = response? … attacker는 잡은 패킷으로부터 username과 hash value를 알아낼 수 있다, 그러나 hash value를 가지고 password을 추론하기는 힘들다. 따라서 attacker는 brute-force attack(무작위 대입 기법)을 사용하곤 한다. http://www.google.com/search?q=sipcrack http://www.codito.de

How to protect from brute-force attack If you can not avoid attack, long password can be good enough!!!  이것을 방지하고 싶다면, 긴암호를 쓰는 것으로도 충분하다 !!! 1 number : only 1 second. 8 number : 10^8 seconds. N alnum character : about (10 + 26 + 26) ^N seconds.

User inputs username and password directly to use the web service. SIP Auto Provision User inputs username and password directly to use the web service. Have you ever inputted SIP account information whenever you would like to use VoIP phone service? 사용자는 웹서비스를 사용하기 위해 username과 password를 입력한다. 당신은 VoIP phone service를 사용하려고 할 때마다 SIP 계정 정보를 입력한 적이 있는가? Image from : http://www.ctintegrators.com/cti/telephones.htm

Is auto provision safe or not? Auto provision service is convenient. But IS IT SAFE? Auto provision은 편리하다. 그러나 그게 안전한가?

Sample of SIP auto provision User A Provision server Even if the protocol is black-box, it can be exposed easily. MAC address username, password and other information used for SIP service SIP auto provision의 예. 프로토콜이 블랙박스이어도 쉽게 노출될 수 있다. Auto provision은 위험할 수 있고, 게다가 hardware firmware를 업그레이드하지 않는 이상, auto provisioning algorithm을 바꾸기는 힘들다. Auto provision can be dangerous, and moreover it is difficult for service provider to change auto provisioning algorithm unless hardware firmware is upgraded.

Some problems of Korean SIP service Standard cipher algorithm for VoIP(SIP over TLS, SRTP and so on) is not widely-used yet. User does not know his own SIP account. User can not change his password. He can not help using device exclusively. Passwords of the specific SSID devices are all the same. Hidden SSID and its password are fixed and can not be changed. It can be dangerous because they are all the same.. What happens if it is exposed? SIP terminal, Access point device, SIP service and internet service are different. VoIP를 위한 표준 암호화가 아직 보급이 안되어 있다. SIP 계정을 알 수 없다. 내 암호도 알 수 없다. 전용 장치를 쓸 수 밖에 없다. 기본 SSID의 암호가 똑간다. 감추어진 SSID는 위험할 수 있다. 그게 만약 노출되면 무슨 일이 발생할까? SIP 단말기, 무선 AP, SIP 서비스, 인터넷 서비스는 다른 것이다.

SIP comes from not telephone but internet. What is SIP? sip:gilgil1973@gmail.com SIP 는 전화에서 출발한 것이 아니라 인터넷에서 유래하였다. All IP 시대는 언젠가는 올 것이다. SIP comes from not telephone but internet. All IP age will come true sometime.

Thank you author : gilgil homepage : http://www.gilgil.net email : gilgil1973 at gmail.com messenger : gilgil1973 at gmail.com