Renseignement boitier Cisco SPA 3102 contre le piratage téléphonique.

[xunil2003]

Bonjour,

Mon fai est Free, pour des raisons économiques je voudrais utiliser le boitier Cisco SPA 3102 (http://www.ldlc.com/fiche/PB00068083.html), pour effectuer des appels de mobile, car depuis un compte sip de free, il est impossible d’appeler un mobile.
Donc avec le boîtier qui serait connecté directement sur ma ligne RTC derrière la freebox, me donnera accès aux numéros de mobile via mes postes sip.
Ce boîtier me permettra également de branché dessus mes téléphones RTC pour avoir accès à asterisk et aux comptes SIP.
Mais j'ai une question, es-ce que le fait de posséder un boîtier Sisco 3102 restes piratables téléphoniquement depuis le net, car même si les communications depuis la ligne RTC (derrière la freebox) des n° de mobiles et gratuite, les n° en 08 ... ne le son pas ainsi que certains n° internationaux ?
Dans ce cas-là quelle solution est elle envisageable ?

Merci.

[therebel23]

Bonjour,

ça dépend ce que tu veux faire avec ton boitier SPA. Si tu le met en IP privée et que tu ne le NATe pas, il y'a peu de risques que tu te fasses pirater.

Ou se trouverait ton serveur asterisk dans ta configuration ?

[xunil2003]

Bonjour,

Merci de votre réponse.

Asterisk ce trouve sur mon serveur a mon domicile.
Mon serveur me sert également d’hébergeur de site web domestique pour la domotique et asterisk, il est ouvert pour l’extérieur afin d’accédé à mon site web et à asterisk depuis mon ip exterieur.

Voilà ou se trouve mon serveur Asterisk dans ma config.

serveur@debian:~$ whereis asterisk
asterisk: /usr/sbin/asterisk /etc/asterisk /lib/asterisk /usr/lib/asterisk /usr/include/asterisk.h /usr/include/asterisk /usr/share/asterisk /usr/share/man/man8/asterisk.8
serveur@debian:~$

Et voici la configuration du parefeux de mon iptables :

serveur@debian:~$ sudo iptables -L
sudo: unable to resolve host debian
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT all -- anywhere anywhere
DROP icmp -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:ftp
ACCEPT tcp -- anywhere anywhere tcp dpt:ftp-data
ACCEPT tcp -- anywhere anywhere tcp dpt:www
ACCEPT tcp -- anywhere anywhere tcp dpt:ipp
ACCEPT tcp -- anywhere anywhere tcp dpt:xmpp-client
ACCEPT tcp -- anywhere anywhere tcp dpt:microsoft-ds
ACCEPT tcp -- anywhere anywhere tcp dpt:netbios-ssn
ACCEPT udp -- anywhere anywhere udp dpts:netbios-ns:netbios-dgm
ACCEPT udp -- anywhere anywhere udp dpt:sip
ACCEPT udp -- anywhere anywhere udp dpts:10000:20000
ACCEPT tcp -- anywhere anywhere tcp dpt:4661
ACCEPT udp -- anywhere anywhere udp dpt:4664
ACCEPT udp -- anywhere anywhere udp dpt:4674
LOG all -- anywhere anywhere LOG level warning prefix `[INPUT DROP]:'

Chain FORWARD (policy DROP)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT all -- anywhere anywhere
serveur@debian:~$


Merci.

[nens]

Hello

je peux peux être me tromper mais cette ligne la me dérange
ACCEPT all -- anywhere anywhere
on dirait que tu accepte tout depuis tout vers tout


A titre de comparaison mes règles INPUT ressemblent à ça!!!

Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
354K 71M BADTCP all -- * * 0.0.0.0/0 0.0.0.0/0
354K 71M CUSTOMINPUT all -- * * 0.0.0.0/0 0.0.0.0/0
51 29049 ACCEPT udp -- * * IPdemonfounisseurSIP1 0.0.0.0/0 udp dpt:5060
49 23059 ACCEPT udp -- * * IPdemonfounisseurSIP2 0.0.0.0/0 udp dpt:5060
0 0 DROP udp -- * * IPFREEPHONIE 0.0.0.0/0 udp dpt:5060 STRING match "Cirpack KeepAlive Packet SIP" ALGO name bm TO 65535
354K 71M GUARDIAN all -- * * 0.0.0.0/0 0.0.0.0/0
354K 71M IPTVINPUT all -- * * 0.0.0.0/0 0.0.0.0/0
354K 71M GUIINPUT all -- * * 0.0.0.0/0 0.0.0.0/0
348K 70M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
5870 950K IPSECINPUT all -- * * 0.0.0.0/0 0.0.0.0/0
5836 940K OVPNINPUT all -- * * 0.0.0.0/0 0.0.0.0/0
4079 410K OPENSSLVIRTUAL all -- * * 0.0.0.0/0 0.0.0.0/0 /* OPENSSLVIRTUAL INPUT */
4079 410K TOR_INPUT all -- * * 0.0.0.0/0 0.0.0.0/0
332 19451 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0 state NEW
0 0 DROP all -- * * 127.0.0.0/8 0.0.0.0/0 state NEW
0 0 DROP all -- * * 0.0.0.0/0 127.0.0.0/8 state NEW
3265 304K ACCEPT !icmp -- green0 * 0.0.0.0/0 0.0.0.0/0 state NEW
482 87001 DHCPBLUEINPUT all -- * * 0.0.0.0/0 0.0.0.0/0
482 87001 OPENSSLPHYSICAL all -- * * 0.0.0.0/0 0.0.0.0/0
482 87001 WIRELESSINPUT all -- * * 0.0.0.0/0 0.0.0.0/0 state NEW
482 87001 REDINPUT all -- * * 0.0.0.0/0 0.0.0.0/0
482 87001 XTACCESS all -- * * 0.0.0.0/0 0.0.0.0/0 state NEW
388 74178 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 limit: avg 10/min burst 5 LOG flags 0 level 4 prefix "DROP_INPUT "
480 86901 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 /* DROP_INPUT */



Si tu fais un iptables -v -L t'as la même chose ?

[xunil2003]

Bonjour,

A priori ça n'y est plus.


serveur@debian:~$ sudo iptables -v -L
sudo: unable to resolve host debian
[sudo] password for serveur:
Chain INPUT (policy DROP 130K packets, 11M bytes)
pkts bytes target prot opt in out source destination
5184K 522M ACCEPT all -- any any anywhere anywhere state RELATED,ESTABLISHED
42 2520 ACCEPT all -- lo any anywhere anywhere
0 0 DROP icmp -- any any anywhere anywhere
8931 525K ACCEPT tcp -- any any anywhere anywhere tcp dpt:ssh
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:ftp
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:ftp-data
2440 141K ACCEPT tcp -- any any anywhere anywhere tcp dpt:www
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:ipp
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:xmpp-client
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:microsoft-ds
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:netbios-ssn
43256 4177K ACCEPT udp -- any any anywhere anywhere udp dpts:netbios-ns:netbios-dgm
3447 2095K ACCEPT udp -- any any anywhere anywhere udp dpt:sip
0 0 ACCEPT udp -- any any anywhere anywhere udp dpts:10000:20000
4615 245K ACCEPT tcp -- eth0 any anywhere anywhere tcp dpt:4661
0 0 ACCEPT udp -- eth0 any anywhere anywhere udp dpt:4664
0 0 ACCEPT udp -- eth0 any anywhere anywhere udp dpt:4674
130K 11M LOG all -- any any anywhere anywhere LOG level warning prefix `[INPUT DROP]:'

Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination

Chain OUTPUT (policy ACCEPT 97131 packets, 7104K bytes)
pkts bytes target prot opt in out source destination
4118K 7829M ACCEPT all -- any any anywhere anywhere state RELATED,ESTABLISHED
42 2520 ACCEPT all -- any lo anywhere anywhere
serveur@debian:~$

Merci.

[nens]

Si c'est bon ta ligne existe toujours mais avec l'option -v
on remarque que l'interface c'est lo donc loopback .
C'est normal
c'est l'interface lo 127.0.0.1 qui utilise cette régle ...

[tempest69]

Bonjour,
Utilisant maintenant pfsense, je ne suis plus sur de mes restes sur iptables, je me permet de donner quand même un avis sur ce que je viens de lire.
La ligne suivante me parait dangereuse (mais impossible à dire sans connaître le contexte global)
ACCEPT udp -- anywhere anywhere udp dpt:sip
Elle ouvre le port udp:sip à l'extérieur, il risque d'y avoir des robots qui sonnent à la porte d'asterisk...

Mais je présume que eth0 n'est pas relié directement au WAN et qu'il y a un dispositif entre (firewall, box).
Si ce dispositif est paramétré pour rediriger le port udp:SIP du Wan systématiquement sur le serveur (ou pire si le serveur est en DMZ), là il y a un soucis de sécurité.
il faudrait éventuellement réduire en mettant source et/ou destination avec l'adresse ip du serveur sip de free pour filtrer le port udp:sip.
Sauf bien-sur si c'est normal que asterisk soit ouvert sur l'extérieur (dans ce cas bien blinder la partie authentification d'asterisk.... )
Sachant que le "sip" de Free n'est pas un vrai sip (on ne peut pas appeller un abonné free directement par sip, mais un abonné Free peut appeler en utilisant ce protocole - et encore pas sur que l'on puisse appeler des adresses sip). Le fait de réduire le transit sip du wan en entrant/sortant sur l'adresse ip du serveur sip de free devrait régler le soucis sans en créer d'autre.
Bref, déjà essayer de vérifier si possible de se connecter avec un softphone (sur asterisk et pas free sip biensur) et téléphoner depuis chez un ami par exemple...