Re: [OpenSER-Users-ES] Test Sipp: ¿Seguridad en "loose_route()" con " !has_totag()"?

[Saúl Ibarra]

El 1/09/07, Iñaki Baz Castillo <ibc at aliax.net> escribió:
> El Sábado, 1 de Septiembre de 2007, Saúl Ibarra escribió:
> > No se hasta que punto podemos "fiarnos" del !hast_totag(), pero
> > adivinar el valor del tag por casualidad sería _demasiada_ casualidad,
> > y si suponemos (que es mucho suponer) que la peña implementa bien las
> > cosas, no debería haber problema.
>
> En realidad ahora que lo pienso mejor es más sencillo:
> Si un cliente SIP recibe un INVITE (o lo que sea) con un totag directamente lo
> rechaza ya que en una nueva llamada no debe haber totag (ese campo lo rellena
> el llamado cuando hace el OK al aceptar la llamada.
>
> Otra cosa es que la trampa consista en "meterse" en una llamada existente y
> enviar un re-INVITE para, por ejemplo, redirigir el audio a otro sitio y
> cosas así (o por joder sin más).
>
> Aún en ese caso, una llamada (de la que los clientes SIP obviamente sí tienen
> constancia no como un proxy SIP) se identifica con los tags del From y del To
> y con el call-id. Serían necesario que coincidiesen los 3.
>
> Ahora, que si alguien snifa la red y programa un software que pille ese datos
> y envíe un BYE pues ya la tenemos liada... (de hecho me suena haber leído que
> eso ya existe).
>

Si, tienen que coincidir muchas cosas...

>
>
> > No obstante, efectivamente están empezando a surgir ataques contra
> > softphones, mira este que wapo, con exploit y todo! Con sigue el shell
> > de windows: http://www.blueboxpodcast.com/2007/08/blue-box-video-.html
>
> Acojonante.
>

Me quede flipado! :P

>
> > Por cierto, me he dado cuenta que en el re-INVITE yo tengo puesta la
> > autenticación... debería quitarla? quiero decir, un softphone(decente)
> > se autenticaría en un reinvite?
>
> Yo al principio, supongo que por temas paranoicos también la ponía, pero Jesús
> me recomendó no ponerla.
> Eso sí, en el REFER ponla.
>

En el REFER si que tengo, pero en el re-INVITE ahora la quito. Thanks
por el tip! :)

>
>
>
> --
> Iñaki Baz Castillo
>
> _______________________________________________
> Users-es mailing list
> Users-es at openser.org
> http://openser.org/cgi-bin/mailman/listinfo/users-es
>


-- 
Saúl -- "Some people say why, other just say, why not."
----------------------------------------------------------------
http://www.saghul.net/