Mercoledì 30 gennaio ho partecipato ad un convegno organizzato da Duke Italia dal titolo “Sicurezza del sistema IT 2008 – Presupposto ineludibile per la continuità e l’affidabilità del business” presso il Polo per l’innovazione tecnologica della Provincia di Bergamo, a Dalmine.
L’incontro è risultato abbastanza interessante, soprattutto al mattino: quasi tutti i seminari hanno avuto una prima parte introduttiva di carattere generale sulla sicurezza IT nelle PMI e una seconda parte più votata alle possibili soluzioni commerciali.
L’incontro che più ho apprezzato, perché è risultato essere il più tecnico e meno commerciale, è stato il primo: Stefano Ferrari di Geco Sistemi sul tema “Controllo delle minacce IT nella tecnologia VoIP – laboratorio di sicurezza VOIP“.
Dopo una parte introduttiva sulla tecnologia VoIP, sono stati presentati due laboratori, che possiamo ricreare anche noi a casa o in ufficio. Sono necessari due PC Windows, Netmeeting, Gate Keeper, il “centralino” GPL GnuGK, Wireshark (nel primo caso) e Cain&Abel (nel secondo).
Nel primo laboratorio si è effettuata una chiamata NetMeeting tra due PC, “sniffando” il traffico con Wireshark, in modo poi da poter analizzare il tipo e la quantità di pacchetti durante una telefonata VoIP. Nel secondo, invece si è dimostrata un tipico attacco eavesdropping, utilizzando Cain&Abel, un tool in grado di salvare le conversazioni in file Wav.
Al termine di questi due laboratori, sono state proposte alcune soluzioni a possibili vulnerabilità della tecnologia VoIP:
- usare VLAN dedicate per i dati VoIP;
- usare firewall per dividere le VLAN;
- proteggere i PBX IP (centralini IP) con firewall;
- attivare QoS;
- attivare TLS e SRTP.
È probabile che la tecnologia VoIP coinvolgerà nell’immediato futuro le PMI, probabilmente anche i privati. Sicuramente è e sarà soggetta ad attacchi come quello descritto su Webnews!
Se qualcuno di voi ha esperienza in questo campo e vuole dire la sua, soprattutto sulle soluzioni esposte sopra, la discussione è come sempre aperta nei commenti.
