219
Nouveaux protocoles, nouvelles menaces
Chapitre 10
chemin ainsi créé échappe au serveur STUN puisqu’il peut changer en fonction
du destinataire appelé.
Téléphonie IP : quelques remarques
La téléphonie sur IP (Internet Protocol) et sa sécurité constituent un sujet qui mériterait un livre entier, nous n’aurons donc pas la prétention de le traiter ici, mais
nous livrons au lecteur quelques remarques de mise en garde qui doivent beaucoup à des exposés d’Hervé Schauer 2 , de Nicolas Fischbach 3 et de Loïc Pasquiet 4
auxquels le lecteur pourra se reporter pour de plus amples développements.
La première chose à signaler au sujet de la téléphonie sur IP, c’est qu’elle est aujourd’hui inévitable : si l’on consulte les fournisseurs de matériel téléphonique pour
un projet qui dépasse la dizaine de postes, toutes les réponses seront en téléphonie
sur IP, ou peu s’en faut. Il est donc pratiquement impossible d’acheter autre chose,
la téléphonie traditionnelle a vécu, bientôt elle ne sera plus maintenue.
Une grande variété de protocoles peu sûrs
La transmission de la voix sur IP recouvre en fait une grande variété de protocoles :
• H323 est un protocole (en voie de disparition pour la téléphonie) adapté
d’ISDN et normalisé par l’Union internationale des télécommunications.
Ce protocole, par sa conception, n’offre pas de bonnes garanties de sécurité : les risques encourus sont l’écoute des communications, l’usurpation
d’identité et le déni de service.
• SIP est un protocole de signalisation normalisé par l’IETF (RFC 3261) ; il
doit être associé pour le transport de la voix à un autre protocole, qui peut
être RTP, RTCP ou RTSP. Les risques encourus sont les mêmes qu’avec
H323.
• SCCP est un protocole de la maison Cisco ; les risques sont toujours les
mêmes, ainsi d’ailleurs que pour les protocoles privés des autres fournisseurs
(Alcatel, Avaya...).
2 http://www.hsc.fr/ressources/presentations/tenor06-voip-sec/
3 http://www.ossir.org/jssi/jssi2006/supports/1B.pdf
4 http://www.ossir.org/jssi/jssi2006/supports/2A.pdf
Nouveaux protocoles, nouvelles menaces
Chapitre 10
chemin ainsi créé échappe au serveur STUN puisqu’il peut changer en fonction
du destinataire appelé.
Téléphonie IP : quelques remarques
La téléphonie sur IP (Internet Protocol) et sa sécurité constituent un sujet qui mériterait un livre entier, nous n’aurons donc pas la prétention de le traiter ici, mais
nous livrons au lecteur quelques remarques de mise en garde qui doivent beaucoup à des exposés d’Hervé Schauer 2 , de Nicolas Fischbach 3 et de Loïc Pasquiet 4
auxquels le lecteur pourra se reporter pour de plus amples développements.
La première chose à signaler au sujet de la téléphonie sur IP, c’est qu’elle est aujourd’hui inévitable : si l’on consulte les fournisseurs de matériel téléphonique pour
un projet qui dépasse la dizaine de postes, toutes les réponses seront en téléphonie
sur IP, ou peu s’en faut. Il est donc pratiquement impossible d’acheter autre chose,
la téléphonie traditionnelle a vécu, bientôt elle ne sera plus maintenue.
Une grande variété de protocoles peu sûrs
La transmission de la voix sur IP recouvre en fait une grande variété de protocoles :
• H323 est un protocole (en voie de disparition pour la téléphonie) adapté
d’ISDN et normalisé par l’Union internationale des télécommunications.
Ce protocole, par sa conception, n’offre pas de bonnes garanties de sécurité : les risques encourus sont l’écoute des communications, l’usurpation
d’identité et le déni de service.
• SIP est un protocole de signalisation normalisé par l’IETF (RFC 3261) ; il
doit être associé pour le transport de la voix à un autre protocole, qui peut
être RTP, RTCP ou RTSP. Les risques encourus sont les mêmes qu’avec
H323.
• SCCP est un protocole de la maison Cisco ; les risques sont toujours les
mêmes, ainsi d’ailleurs que pour les protocoles privés des autres fournisseurs
(Alcatel, Avaya...).
2 http://www.hsc.fr/ressources/presentations/tenor06-voip-sec/
3 http://www.ossir.org/jssi/jssi2006/supports/1B.pdf
4 http://www.ossir.org/jssi/jssi2006/supports/2A.pdf