UCSniff ou comment capturer des conversations VoIP en haute définition

Par Rédaction, secuobs.com
Le 26/11/2008

---

Résumé : UCSniff est un nouvel outil permettant de capturer des conversations VoIP en haute définition (ou pas) sur les réseaux IP classiques ainsi que sur les réseaux virtuels pour la voix grâce notamment aux techniques de VLAN Hopping déjà existantes. - Lire l'article



Jason Ostrom, chercheur chez Sipera VIPER Lab ( lien ), a réalisé, lors de la conférence Toorcon 08 ( lien ), une présentation de différents outils destinés à évaluer l’exposition des infrastructures VoIP ( voir notre dossier - lien ) face à d’éventuelles menaces.

Parmi ces outils, on trouve UCSniff dont l'objectif principal consiste à rendre moins théorique les attaques à destination des protocoles VoIP et notamment l’attaque Eavesdropping ( lien ). UCSniff se veut comme une preuve de concept initialement développée afin de sensibiliser les usagers de la VoIP vis-à-vis des menaces actuelles relatives à son utilisation.

UCSniff permet, entre autres, d’effectuer des écoutes passives du trafic engendrée par les conversations audio réalisées sur un réseau IP ou sur ensemble de réseaux IP interconnectés ; UCSniff fonctionne selon deux modes opératoires bien distincts : le mode Monitor et le mode Man In the Middle.

L’utilisation spécifique d'un de ces deux modes dépend des fonctionnalités que l’on souhaite utiliser lors d'un audit ; le mode homme du milieu ou MITM présente par exemple la particularité d’un mode intermédiaire dit d'apprentissage pour la familiarisation des moins expérimentés à l'aide d’objectifs prédéfinis qui seront réalisés.

Outre l’aspect « sniffer », UCSnif est en mesure de cartographier un réseau IP en vue d’identifier les différents types de matériel utilisés par les intervenants ; il peut combiner les techniques classiques des audits VoIP avec la technique de VLAN Hopping, introduite par l’outil VoIP Hopper ( lien ).

La technique du VLAN Hopping permet de détecter automatiquement des réseaux de type Voice VLAN via le protocole CDP (Cisco Discovery Protocol) afin d'effectuer des « sauts » entre ces VVLANs.

Une fois la détection et la cartographie opérées, UCSniff permet de s’ingérer au milieu des conversations VoIP en réalisant des attaques de type homme du milieu ou MITM similaires à ce que l’on peut effectuer avec un outil comme Ettercap ( voir notre dossier - lien ) sur des protocoles plus traditionnels.

UCSniff offre la possibilité d’écouter et d’enregistrer des conversations audio encodées à l’aide des deux normes de compression suivantes : le codec G.711 ( lien ) utilisé par les réseaux téléphoniques commutés et le codec G.722 ( lien ) spécifique à la VoIP. Ce dernier se caractérise par l'utilisation d'une bande élargie de fréquences qui offre à la VoIP une qualité supérieure d’écoute.

UCSniff est également capable de détecter et d’exploiter les téléphones IP vulnérables aux attaques de type ARP Cache Poisonning ( lien ), la fonction ARP Saver permet même de restaurer les paramètres ARP initiaux en cas de problème récurrent.

Par ailleurs, on trouve dans UCSniff un outil spécifique (ACE - Automated Corporate Enumerator) pour collecter des données d'identification directement à partir des téléphones IP de marque CISCO qui le permettent.

La version 1.0 de UCSniff s’exécute sous les systèmes d’exploitation de type GNU/Linux cependant une version pour les systèmes Microsoft Windows devrait être prochainement disponible au même titre que le support des flux vidéos MPEG-4 H.264 ( lien ).

UCsniff est dès à présent intégré à la branche 3.x de Backtrack ( lien ), un système d'exploitation qui se présente initialement sous la forme d’un LiveCD GNU/Linux basé sur la distribution Slackware. Backtrack tend à regrouper les principaux outils de sécurité actuels afin de faciliter la réalisation d'audits ; UCSniff peut aussi être utilisé depuis une image virtuelle sous VMWare.

Voir également à ce sujet nos articles sur :

- la sécurité propre aux téléphones VoIP ( lien )
- l’exploitation des flux médias ( lien )
- les insécurités des implémentations de la VoIP ( lien )
- SCTPScan le nmap SCTP des transmissions SS7 over IP ( lien )

Source : Security Bytes ( lien )