Start › Czy telefonia internetowa jest bezpieczna?

Czy telefonia internetowa jest bezpieczna?

Skoro głos płynie przez tę samą sieć co poczta i strony WWW, to czy ktoś może go podsłuchać albo zadzwonić na mój rachunek? To pytanie wraca przy każdej rozmowie o telefonii internetowej. Krótka odpowiedź: mechanizmy ochrony są dojrzałe, a realne straty biorą się nie z łamania szyfrów, lecz ze słabych haseł i braku limitów. Inne typowe obawy wobec telefonii internetowej opisujemy osobno.

Co szyfruje TLS, a co SRTP

Połączenie VoIP to dwa strumienie. Pierwszy — sygnalizacja: protokół SIP ustala, kto do kogo dzwoni, i przenosi dane logowania. Można ją szyfrować protokołem TLS, tym samym, który zabezpiecza strony WWW (zwykle na porcie 5061). TLS chroni hasła, wybierane numery i metadane rozmów, ale nie dotyka dźwięku. Głos szyfruje dopiero SRTP — domyślnie szyfrem AES z kluczem 128 bitów. Ponieważ w najpopularniejszym wariancie klucze do SRTP podróżują w sygnalizacji, oba mechanizmy mają sens razem: SRTP bez TLS to sejf z szyfrem zapisanym na drzwiach.

Przy włączonym TLS z SRTP rozmowy nie podsłucha nikt między aparatem a serwerem operatora — na przykład w kawiarnianym Wi-Fi. Sprawdź w panelu klienta i w ustawieniach urządzenia, czy szyfrowanie jest aktywne. Niektóre aplikacje uzgadniają dodatkowo klucze bezpośrednio między rozmówcami (ZRTP), co zamyka drogę do treści rozmowy nawet pośrednikom.

Zagrożenie numer jeden: przejęcie konta SIP

Konto SIP to w praktyce login i hasło — kto je zna, dzwoni z Twojego numeru i na Twój rachunek. Branża od lat opisuje powtarzalny scenariusz: automaty wyszukują w sieci centrale i konta ze słabymi lub fabrycznymi hasłami, a po włamaniu masowo dzwonią na drogie numery zagraniczne albo o podwyższonej opłacie. Rachunek trafia do właściciela konta. Szczególnie narażone są centrale dostępne z internetu — ważny wątek telefonii internetowej w firmie.

Prezes UKE może wprawdzie nakazać zablokowanie numeru o podwyższonej opłacie i wstrzymanie pobierania opłat, ale odzyskanie pieniędzy za wygenerowany ruch bywa trudne — liczy się prewencja.

Vishing, czyli podszywanie się pod numery

Vishing to wyłudzanie przez telefon: oszust dzwoni „z banku”, a na wyświetlaczu ofiary pojawia się prawdziwy numer infolinii. Umożliwia to CLI spoofing — nieuprawnione posłużenie się cudzą prezentacją numeru. W Polsce zakazuje go ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej; za spoofing, sztuczny ruch i smishing grozi kara pozbawienia wolności od 3 miesięcy do 5 lat.

Operatorzy mają obowiązek blokować rozpoznane podszycia albo zestawiać je bez prezentacji numeru, a od marca 2024 r. Prezes UKE prowadzi jawny wykaz numerów służących wyłącznie do odbierania połączeń (DNO). Banki i inne instytucje wpisują tam swoje infolinie — skoro prawdziwa infolinia nigdy z nich nie dzwoni, połączenie „z” takiego numeru jest z definicji fałszywe. Żaden filtr nie jest jednak doskonały, dlatego numer na wyświetlaczu nie jest dowodem tożsamości: gdy „bank” prosi o hasło lub instalację aplikacji, rozłącz się i oddzwoń na numer ze strony instytucji.

Higiena bezpieczeństwa w pięciu punktach

1. Silne, losowe hasło SIP — długie, wygenerowane, inne niż hasło do panelu klienta.
2. Limity kosztów u dostawcy — konto przedpłacone albo limit wydatków oraz blokada kierunków międzynarodowych i numerów o podwyższonej opłacie; zapytaj dostawcę, jakie bezpieczniki oferuje.
3. Aktualizacje urządzeń — bramka ATA, telefon IP i softphone dostają poprawki bezpieczeństwa jak każde oprogramowanie.
4. Zmiana haseł fabrycznych — także w panelu administracyjnym bramki lub telefonu, nie tylko na koncie SIP.
5. Włączone szyfrowanie — TLS i SRTP wszędzie tam, gdzie dostawca je udostępnia.

Telefonia internetowa nie jest więc ani mniej, ani bardziej „dziurawa” niż inne usługi w sieci — o bezpieczeństwie decyduje to samo co wszędzie: mocne hasła, aktualny sprzęt i rozsądne limity.

Źródła