Recent onderzoek van security-onderzoeker H.D. Moore wijst uit dat er op het publieke internet een groot aantal open videoconferencing (H.323)-systemen zijn die een veiligheidsrisico lopen. Wat is nu precies het risico dat ontdekt is en hoe moet je handelen om dit risico te beperken?
De studies beschrijven systemen die aangesloten zijn op het openbare internet. Door simpelweg het scannen van een bepaalde reeks ip-adressen op de H.323 protocol respons (een belangrijke standaard die het mogelijk maakt om multimedia-communicatie tot stand te brengen, waaronder audio, video of andere datacommunicatie), werden honderdduizenden van deze open videoconferencing systemen ontdekt. Veel van deze systemen stonden op ‘auto answer’ (automatisch antwoorden), zodat elke gebruiker een call kan opzetten, zelf de camera kan bedienen en dus de vergaderzaal kan blootstellen aan de hele wereld. Het beveiligingsprobleem is geen softwarebug, maar een gebrek in het ontwerp en solide configureren van de oplossing.
Netwerkinfrastructuur
Het is belangrijk om te begrijpen dat de systemen die zijn aangemerkt als kwetsbaar, allemaal geplaatst zijn op het openbare internet. Als u uw systeem op het internet plaatst, dan moet u beslissen over hoe het zal worden aangesloten. Een systeem dat een directe internetverbinding heeft, zonder firewall ertussen, kan beter niet geconfigureerd worden met 'automatisch beantwoorden'. Een opstelling met een firewall er tussen kan zo geconfigureerd worden dat het alleen toegang van bepaalde herkomst mogelijk maakt. Automatisch antwoord kan hier dus nog wel een optie zijn. Ook moeten er beslissingen worden gemaakt over protocollen; is de webinterface van het videosysteem geblokkeerd bijvoorbeeld?
Ik adviseer altijd om videoconferencing systemen op een prive-netwerk, zoals een mpls vpn, te plaatsen. De beste manier om de veiligheid te beheren is door een virtual private n (vpn)etwork op te zetten. Dit voorkomt dat hackers direct toegang tot het systemen hebben, aangezien de systemen op een apart eigen netwerk staan.
Videoconferencing-infrastructuur
Met behulp van de juiste videoconferencing-infrastructuur kunt u nog steeds internetconnectiviteit leveren ten behoeve van externe-communicatie, maar dan op een beheersbare en veilige manier. Normaal gesproken wordt dit gedaan door een videoconferencing-infrastructuur bovenop het vpn. Dit zorgt voor een centrale toegang tot het publieke internet en biedt tevens provisioning en management functionaliteiten.
Ook is het op deze manier mogelijk om een domeinnaam te bellen, zoals een e-mail adres, en biedt het mogelijkheden voor protocolvertaling en nog veel meer. Verschillende call policies (wie mag met wie communiceren) kunnen hier worden geconfigureerd om het beveiligingsbeleid precies zo te configureren zoals u dat wilt. Een dergelijke oplossing kunt u ook inzetten voor mobiele clients en thuisgebruik, op een schaalbare, beheersbare en veilige manier.
Een woord aan de technologieleveranciers
Het andere deel van het beveiligingsprobleem hier is ‘automatisch beantwoorden (auto answer)'. Veel systemen hebben deze optie ingeschakeld omwille van de gebruiksvriendelijkheid. In complexe vergaderingen verwachten de eindgebruikers (in het bijzonder senior management) dat de call voor hen wordt opgezet. De ceo van uw bedrijf zal waarschijnlijk niet accepteren dat hij zelf een adres moet intypen of pincodes moet invoeren vlak voordat hij een belangrijke toespraak moet houden voor de pers bijvoorbeeld. Dit vereist dat het systeem op automatisch beantwoorden staat. Automatisch beantwoorden, zoals het vandaag de dag wordt geïmplementeerd, is een alles-of-niets-keuze.
Een advies aan de technologie-leveranciers is het leveren van een voorwaardelijke automatisch beantwoorden-functionaliteit. Als er een oplossing kan worden geconfigureerd op een zodanige wijze dat de gesprekken alleen automatisch worden beantwoord als aan bepaalde voorwaarden is voldaan, dan zou dat van groot voordeel zijn voor de gebruikers en de veiligheid. Een systeem zou dan bijvoorbeeld alleen oproepen automatisch beantwoorden die afkomstig zijn van de multipoint conferencing-eenheid, of alleen als de oproep afkomstig is van betrouwbare bronnen (ip of domein), of als het vooraf gepland was.
Ontwerp de juiste oplossing
Er zijn vele andere aspecten om rekening mee te houden bij het ontwerpen van een goed functionerende en veilige videoconferencingoplossing. Denk maar aan encryptie, geconvergeerde netwerken, ip port matrix, dos-aanvallen, isdn-verbindingen, virtuele vergaderruimte, pincodes, et cetera. Maar ook de veiligheid op menselijke niveau, zoals het team van operators die uw oplossing beheren, hun screening, toegangsrechten, omgeving, opname en streaming opties en boekingsproces. De studie van HD Moore is een goede wake up call, maar raakt alleen het oppervlak van de veiligheid van videoconferencing.
Dit artikel is eerder verschenen op het weblog van Talk & Vision.
Rob van de Boomgaard, cto Talk & Vision
