Les bonnes pratiques de sécurité VoIP se résument à quelques contrôles : n'acceptez le SIP que depuis des adresses IP connues, utilisez des identifiants longs et uniques, tenez le PBX et le SBC à jour, chiffrez la signalisation et le média quand c'est possible, et plafonnez ce que chaque trunk peut dépenser. La plupart des pertes sur les trunks SIP viennent de la fraude téléphonique via un compte faible, pas d'un chiffrement cassé.
Quels sont les principaux risques de sécurité VoIP ?
Pour une entreprise ou un carrier, les principaux risques de sécurité VoIP sont financiers, pas seulement liés à la confidentialité. Classés selon la fréquence à laquelle ils coûtent de l'argent :
| Menace | Ce qui se passe | Défense principale |
|---|---|---|
| Fraude téléphonique | Quelqu'un utilise votre PBX ou votre trunk pour passer des appels coûteux | Authentification par IP, limites d'appels, alertes |
| Fraude au partage de revenus | Les appels sont poussés vers des numéros coûteux qui rémunèrent l'attaquant | Blocage de destinations, plafonds de dépense |
| Scan d'enregistrements | Des bots essaient des milliers de couples poste et mot de passe | Règles de pare-feu, limitation de débit, bannissements de type fail2ban |
| Déni de service | Des inondations SIP font rejeter les vrais appels par le serveur | SBC, limites de débit, filtrage en amont |
| Écoute | Les appels non chiffrés sont captés sur le chemin réseau | TLS pour le SIP, SRTP pour le média |
| Usurpation de caller ID | Des fraudeurs se font passer pour vos numéros auprès de vos clients | STIR/SHAKEN là où il existe, surveillance des numéros |
Le schéma d'attaque derrière les deux premières est décrit dans fraude téléphonique et piratage de PBX et IRSF.
Comment sécuriser un trunk SIP ?
On sécurise un trunk SIP en limitant qui peut y envoyer du trafic et ce que ce trafic peut faire. Une checklist pratique :
- Utilisez l'authentification par IP entre votre plateforme et votre carrier. N'acceptez et n'envoyez du trafic que depuis les IP de signalisation convenues, comme dans une interconnexion SIP classique.
- Si vous devez vous enregistrer avec un mot de passe, utilisez-en un long et aléatoire par trunk et par poste, jamais le numéro du poste ni une valeur par défaut.
- Ajoutez un préfixe technique ou un identifiant de compte convenu avec le carrier, pour que du trafic parasite venant d'une IP autorisée ne vous soit pas facturé par erreur.
- Restreignez les destinations. N'autorisez que les pays que vous appelez. Bloquez les tranches surtaxées et satellite si vous n'en avez pas besoin.
- Fixez des limites de canaux et de CPS sur chaque trunk pour qu'une compromission ne puisse pas remplir des centaines de canaux d'un coup. Voir canaux VoIP et CPS.
- Plafonnez la dépense. Des limites de crédit journalières sur les comptes prépayés transforment une catastrophe en petite perte.
Quelles règles de pare-feu pour un trunk SIP ?
La règle de base du pare-feu pour un trunk SIP est de tout refuser par défaut : ouvrez les ports SIP (5060 UDP/TCP, 5061 pour TLS) uniquement aux IP de signalisation de votre carrier et aux réseaux de vos propres utilisateurs, et n'ouvrez la plage de ports RTP que dans la mesure nécessaire à votre média. Ensuite :
- N'exposez pas l'interface web d'administration du PBX sur internet. Accédez-y par VPN.
- Bannissez automatiquement les IP après des échecs d'enregistrement répétés.
- Rejetez les requêtes SIP dont le user agent correspond à un scanner connu, sans vous reposer uniquement là-dessus.
- Placez un session border controller en bordure si vous exploitez une plateforme carrier ou multi-clients : il masque la topologie interne, normalise le SIP et absorbe les inondations.
- Désactivez le SIP ALG sur les routeurs placés devant le PBX. Il provoque des problèmes audio et n'apporte rien à la sécurité.
Faut-il chiffrer les appels VoIP ?
Oui, partout où les deux côtés le supportent. Utilisez TLS pour la signalisation SIP et SRTP pour la voix, surtout pour les utilisateurs distants sur des réseaux publics. Restez réaliste sur les routes wholesale : beaucoup d'interconnexions entre carriers fonctionnent encore en SIP et RTP en clair sur des liens dédiés ou des listes blanches d'IP, et le chiffrement s'arrête en général au premier carrier. Le chiffrement protège le contenu des appels ; il n'empêche pas la fraude téléphonique, qui demande les contrôles ci-dessus.
Comment détecter tôt une attaque VoIP ?
La plupart des fraudes se voient dans les tickets d'appel en quelques minutes, le monitoring est donc le contrôle le plus efficace à lui seul. Surveillez :
- Les appels hors heures ouvrées, surtout la nuit et le week-end.
- Les nouvelles destinations que vous n'appelez jamais, ou les pics vers un pays ou une tranche de numéros.
- Beaucoup d'appels courts, ou beaucoup d'appels simultanés depuis un même poste.
- Un bond soudain de la dépense horaire par rapport à votre niveau habituel.
Déclenchez des alertes sur ces schémas et bloquez automatiquement au-delà d'un seuil. Le monitoring des routes avec les CDR explique quels champs suivre, et les carriers utilisent un système de gestion de la fraude pour le faire à grande échelle. Continuez à appliquer les correctifs : beaucoup de compromissions de PBX exploitent des failles connues de vieilles versions logicielles.
La sécurité quand vous achetez des routes wholesale
Quand vous achetez de la terminaison VoIP wholesale, convenez dès le premier jour avec le fournisseur de l'authentification par IP, des limites de destinations et des limites de crédit, et tenez à jour les contacts pour les alertes fraude. VoIPMatcher source et gère la route pour vous, ces réglages font donc partie de la mise en place. Demandez une route VoIP et indiquez-nous les destinations et les limites dont vous avez besoin.
Questions fréquentes
La VoIP est-elle sécurisée ?
La VoIP peut être aussi sûre que la téléphonie traditionnelle, à condition d'être configurée avec soin. Dans la plupart des incidents, le point faible n'est pas le protocole : ce sont les mots de passe faibles, les ports SIP ouverts, les PBX non mis à jour et l'absence de limites d'appels. Avec des restrictions par IP, du chiffrement et des plafonds de dépense, le risque baisse fortement.
Quel port utilise le SIP ?
Le SIP utilise par défaut le port 5060 en UDP et TCP, et le port 5061 pour le SIP sur TLS. Le média (RTP) utilise une plage de ports UDP élevés définie sur le PBX ou le SBC. Déplacer le SIP sur un autre port réduit le bruit des scans automatiques, mais ce n'est pas une vraie protection : ce sont toujours les règles de pare-feu et l'authentification qui font le travail.
Faut-il désactiver le SIP ALG sur mon routeur ?
Dans la plupart des cas, oui. Le SIP ALG est une fonction du routeur qui réécrit les messages SIP, et beaucoup d'implémentations le font mal, ce qui provoque audio unidirectionnel, enregistrements ratés et appels coupés. Les fournisseurs VoIP conseillent en général de le désactiver et de gérer le NAT sur le PBX ou le session border controller.
Un trunk SIP peut-il être piraté ?
Oui. Les attaquants scannent internet à la recherche d'équipements SIP, devinent les mots de passe des postes puis passent des appels internationaux coûteux, en général la nuit ou le week-end. Le trunk SIP lui-même est rarement cassé : l'attaquant entre par le PBX ou un compte faible et utilise le trunk. L'authentification par IP et les limites d'appels arrêtent la plupart de ces attaques.
Quelles sont les principales menaces de sécurité VoIP ?
Les plus courantes sont la fraude téléphonique via des comptes PBX piratés, la fraude internationale au partage de revenus, le déni de service contre les serveurs SIP, l'écoute des appels non chiffrés et l'usurpation de caller ID visant vos clients. La fraude téléphonique est celle qui coûte de l'argent le plus vite aux entreprises, souvent des milliers en quelques heures.
Besoin d'une route ?
Indiquez la destination, le type de route et le tarif cible. Nous vous répondons avec ce que nous pouvons fournir.